Articles and Tutorials
十多年前那套 1800 个指标的 BI 系统，是我做过最完整、也最早暴露「指标越多越没人信」的项目。这是一次隔了很久的复盘。
问题 十多年前，我在一家物流公司主导过一套企业级 BI 系统，覆盖运营、工程、财务、人力、物流、产品、时效七八个领域，指标数最后长到了标题里那个数字。当时我们把这当成骄傲：汇报材料里指标数永远是第一行，老板问起系统，回答总是从「又新增了多少指标」开始。指标数量就这样成了成功标准：好量化，容易体现进展，也符合所有人对「数据驱动」的想象。 问题在半年后浮出来。…
Read more白名单回答的是「谁」，审计问的是「为什么」。当两者不再是同一个问题，权限模型就该换主键了。
问题 我在一家全球化广告平台做数据合规与架构治理，参与过多轮外部审计。审计官问的问题惊人地一致：这个人为什么能看到这份数据？谁批准的？批了多久？他在这段时间里到底看没看？ 而我们的权限系统——无论是早年的 ACL 白名单，还是后来整理过的 RBAC——只能回答第一个问题的一半：「他在名单上」。…
Read more埋点失控不是技术债，而是组织债：采集的人不用，用的人不管，删的人不敢。这篇从责任链的角度重新看这个老问题。
问题 埋点这件事，我在两个时代见过两种失控。 早年在物流与证券行业做 BI 时，失控的是指标。同一个「日活」在三张报表里有三种口径，没人说得清哪个是对的，也没人敢删掉另外两个。那时我以为这是数仓建模的问题，后来花了很多年做指标体系，把口径收敛到一处，问题看起来解决了。…
Read more「隔离」是合规文件里最常出现、也最容易被误解的词。这篇把它拆成三种可以独立设计、独立验证的边界。
问题 在一家全球化广告平台做数据合规架构这几年，我最常被问到的不是「怎么做隔离」，而是「隔离到底指什么」。同一份要求，法务读出来是「不能混」，产品读出来是「不能看」，工程师读出来往往是「再部署一套」。法规文本里的「数据隔离」「本地化存储」「限制跨境传输」，在工程上并没有唯一对应物，它们描述的是义务和结果，不是实现方式。…
Read more把数据服务的权限从一张越来越大的白名单，收敛成一套能同时回答合规、准确与效率的申请、审批与审计机制。
问题 数据服务的权限，是我接手架构治理时最不起眼、也最难收拾的一块。它不是某一次设计失误的结果，而是多年按「谁能看」累积出来的：某个团队上线新报表，申请一批表的读权限；某位同事转岗，权限跟着人走；某次紧急排障，临时开了个口子，之后没人记得关。每一条单独看都合理，加在一起就是一张越来越大的白名单。它只回答「谁能看」，不回答其他任何问题。…
Read more当埋点从几百个长到几万个，真正的问题不是采集，而是没人为信号负责。这是一次把信号裁剪做成机制的复盘。
问题 我在一家全球化广告平台负责数据合规架构的那几年，接手过一份很长的清单：广告 measurement 相关的埋点信号，从曝光、点击、转化到各种归因辅助字段，多年累积下来，数量从几百个长到了几万个。清单本身并不可怕，可怕的是清单旁边那一栏「负责人」，大多数是空的，或者写着早已转岗的名字。 这背后是一条断裂的责任链。…
Read more一家全球化广告平台如何把不同法域的数据隔离要求，翻译成物理、逻辑、访问三层可验证的系统边界。
问题 接手这件事时，一家全球化广告平台的数据链路还是按「一套系统服务全球」的思路长出来的。广告的 measurement signal——曝光、点击、转化回传、归因结果——从采集到出报表，中间经过的存储、计算和服务都是全球共享的。业务上这很自然：广告主看跨地区效果，算法要完整样本。 变化来自法域。…
Read more2026 年 9 月 25 日到 10 月 7 日的另一版方案：Seattle 两晚开场，南湾工作周留给你一个人慢慢逛，周末住进旧金山看经典地标与街区，最后从 SFO 飞 Maui，用 Hyatt Regency 两晚加 Andaz 一晚把节奏彻底慢下来，再从 OGG 经 Honolulu、东京回上海。
13 天，不把美国塞满。工作日留给南湾自助，周末住进旧金山，最后三晚把旅行慢下来。 9/25 从上海落地西雅图，10/7 从 Maui 离开。中间看起来只有 13 天，但真正决定路线的不是「哪些地方值得去」，而是哪些地方在现有时间里值得去。9/28 到 10/1 我要正常上班，于是这四天不再追 Napa、Monterey…
Read more