先说清楚：受控文档管的是什么
几乎每家企业都有一批"发出去就不能随便改"的文件：作业指导书、检验标准、工艺参数卡、安全操作规程、质量手册、图纸、合同模板、供应商准入要求。它们的共同点不是"重要"，而是只要有一个人手里拿的是旧版，就会出事——产线按旧参数生产、检验按旧标准判定、外部审核抽到一份已经作废的文件还在现场挂着。
很多企业今天靠三样东西撑：共享盘里一个"最新版"文件夹、微信群发的 PDF、打印出来贴在机台边的纸。问题是：
- 共享盘谁都能改，改完没有痕迹，也说不清哪一版是"批准版"；
- 微信发出去的文件收不回来，发过几版、发给谁，全靠人回忆；
- 纸贴在机台边，新版来了没人负责把旧的撕下来；
- 外部审核要"文件发放记录与培训记录"，只能连夜补打印、补签字。
受控文档管理要解决的正是这四件事：哪一版是有效版、发给了谁、对方看了没有、旧版收回来了没有。它并不复杂，难点在于把"版本、发放、确认、回收"四件事落到同一个数据底子上，而不是分别放在文件夹、微信群和纸面上。
下面按 Inkwell AI 构建器的落地方式讲：底表怎么建、页面怎么用、手机端怎么配合、上线前查什么。
第一步：把底表建对，后面的页面才有依据
受控文档模块的数据结构不复杂，但字段设错，后面每张报表都会别扭。建议拆成四张表，而不是把所有信息塞进一张"文件表"。
表一：文档主档（document_master）
一行代表"一份文档"，不代表"一个文件"。核心字段：
- 文档编号（规则化，如
WI-车间-012，建议加唯一校验） - 文档名称、文档类别（作业指导书/检验标准/工艺文件/管理程序/表单模板）
- 归属部门、编制人、审核人、批准人
- 当前有效版本号（引用版本表的最新已发布版本）
- 受控状态（草稿/待审/已发布/已停用/已作废）
- 密级（公开/内部/受控/机密）、分发范围（部门或岗位）
- 复阅周期（多少个月需重新确认一次）
- 关联对象（可选：对应哪台设备、哪道工序、哪个客户要求）
表二：版本记录（document_version）
一行代表"一次版本"。文件本体挂在这一层，不是主档层——这一点决定了后面能不能做版本比对和旧版追溯。
- 所属文档（引用主档）
- 版本号（A/0、A/1、B/0 或 V1.0、V1.1，用数据字典统一定义规则）
- 文件附件（走平台文件模块，支持上传、在线预览与下载）
- 变更说明（这一版改了什么，一句话即可，但必须填）
- 生效日期、失效日期
- 发布状态（草稿/审批中/已发布/已作废）
- 编制人、批准人、批准时间
表三：发放与阅读确认（document_ack）
一行代表"某个人被要求确认某一版"。这是整个模块的核心表，也是外部审核最爱翻的表。
- 文档 + 版本（引用版本记录）
- 应确认人（引用平台用户/员工档案）
- 应确认时间、确认时间（未确认留空）
- 确认状态（待确认/已确认/已过期未确认）
- 确认方式（线上阅读确认/纸质签收补录）
- 备注（如"休假中，改由某某确认"）
表四：回收记录（document_recovery）
如果企业有纸质发放，这张表不能省：
- 文档 + 版本、发放对象（部门/工位/个人）
- 发放份数、发放日期、发放人
- 回收状态（未回收/已回收/已销毁）、回收日期、回收人、签收凭证
纸质发放量大的企业，可以只用"发放位置 + 份数"登记到工位级，不必逐人登记，否则执行成本会压垮制度本身。
类别、密级、版本号规则、复阅周期这类枚举，建议直接建到数据字典里，全模块共用一套口径，后续改规则不用改代码，可参考 数据字典：管好下拉选项的统一口径。
下一节讲页面怎么用：发布走什么动作、阅读确认怎么看进度、旧版怎么自动作废。## 页面怎么用：五个页面撑起一个闭环
底表建好后，业务人员实际只接触五个页面。设计得越少，执行越不容易走形。
页面一：文档台账（管理视角的入口）
一张列表把主档全列出来，顶部放筛选：类别、归属部门、受控状态、复阅到期、密级。每一行直接显示当前有效版本号和生效日期，让人不用点开就知道现在用的是哪一版。
行内给三个颜色提示：红色＝已到复阅期未确认；黄色＝有新版本但确认率未达标；灰色＝已停用或作废。台账按受控状态默认过滤掉作废件，避免作废文件长期挂在列表首位。
密级和分发范围要配合权限一起用：一份"受控"文件，没被授权的人连台账里那一行都不该看到。具体做法可参考 角色与权限配置：从内置角色到自定义授权。
页面二：版本发布（一次审批动作，不是一个上传动作）
从文档主档点"新建版本"，进入一个表单页：版本号、附件、变更说明、生效日期、应确认人员范围。提交后按平台工作流走审批：编制 → 审核 → 批准，三级还是两级由企业自己定。
发布动作要承担三件事，这是模块设计里最关键的约定：
- 把该版本状态置为"已发布"，并回写到主档的"当前有效版本"；
- 把同一文档的上一版本自动置为"已作废"，失效日期填为本次生效日期（不需要人工再点一次）；
- 按应确认人员范围批量生成"发放与阅读确认"记录，状态为待确认，同时触发站内通知与邮件提醒。
第 2 条很多人会漏。旧版不自动作废，台账上就有两个"已发布"，一线人员无从判断，制度等于没落地。这条规则用平台的数据流规则就可以配：当某文档有新版本发布时，自动更新旧版状态字段，不必人工巡检。
审批环节的流程设计与节点设置，可参考 工作流与定时任务：让重复性工作自动跑。
页面三：我的待确认（执行视角）
一个只显示"与我有关"的列表：待我确认的文档、应确认时间、剩余天数。点开是文件在线预览（不强制下载，手机上看完就能确认），底部一个"我已阅读并确认"按钮，点击后写回确认时间与方式。
关键细节：只给"确认"，不给"跳过"。跳过按钮一出现，确认率立刻失真。确实不需要确认的人，应由文档负责人调整应确认范围，而不是让当事人自己绕过。
页面四：确认进度看板（负责人盯的页面）
按文档 + 版本聚合：应确认人数、已确认人数、未确认名单、确认率。未确认名单支持一键导出，也支持"再提醒一次"（对未确认人重发通知，不新建记录）。
确认率不到阈值时，页面顶部给一条醒目提示，并允许把这条提示同步给文档归属部门负责人。制度真正起作用的地方在这里——不是催一次，而是每周一自动催到责任人面前。
页面五：发放回收清单（审核时导出用）
按文档、部门、状态筛选发放记录，导出 Excel：文档编号、名称、版本号、发放对象、发放日期、确认状态、确认时间、回收状态。外部审核来问"这份作废文件是否已全部回收"，把这张清单打印出来就是答复。
让它自己跑起来：三条定时任务
- 复阅提醒：按主档的复阅周期，到期前 30 天推送给文档负责人，要求"重新确认或修订"；
- 确认催办：发放记录超过应确认时间未确认的，按周向本人与其主管推送未确认清单；
- 失效归档：作废超过设定时长（如 12 个月）的版本，自动转入归档视图，从常规台账里隐去但保留可查。
留痕不能只靠"确认按钮"
阅读确认是"当事人说他看了"，审核时对方往往还会追问一句："他真的打开过文件吗？"平台的文件模块自带访问日志，记录文件的预览与下载行为，可与确认记录交叉核对——确认了但从没打开过的，很可能是批量点掉的。
敏感操作（新建版本、发布、作废、调整应确认范围、修改密级）建议同时落在操作审计日志里，谁在什么时候改了什么，事后能还原。这套留痕机制的用法可参考 AI 监控与审计日志：看清平台里发生了什么。
两者配合的实用价值在于：确认记录回答"该看的人看了没有"，访问日志回答"文件被谁拿走过"。 后者在文件外流、图纸流出这类场景里尤其关键。## 移动端怎么配合
受控文档的执行现场在车间、在机房、在项目工地，不在电脑前。手机端承担三件事，就够用了：
- 确认：工作台上"我的待确认"卡片，点开即阅读，划到底部点确认。一线人员的动作越短越好，最好两次点击完成。
- 扫码看作业文件：机台或工位贴一张二维码，扫码打开当前有效版本的作业指导书，附件直接在线预览。扫出来永远是最新版——这是纸质张贴做得到、但做不到"永远最新"的那一步。二维码内容是文档编号，不是文件链接，否则文件改版后码就失效了。
- 补录回收签收：回收纸质文件时，现场勾选发放位置、拍照留证、提交，回收记录当场闭环，不用回办公室补录。
手机端与 PC 端的数据是同一套，模块发布时同步生成移动页面，不需要额外开发。具体机制与界面构成可参考 移动端使用指南：工作台、模块页与手机上的 AI 构建。
上线前要查的八件事
模块能跑起来不等于能过审。上线前逐条对一遍，能省下后面返工的时间：
- 文档编号规则是否唯一：编号重复会让版本归错主档，建议在建表时就加唯一校验；
- 旧版自动作废是否真的触发：拿一份测试文档走两次发布，确认台账上只有一个"已发布"；
- 应确认范围是否按岗位而不是按人：按人定向，人员一调动就出缺口；按岗位/部门，交接自动继承；
- 权限是否与密级对齐：受控以上密级先做反向测试——用普通账号登进去，确认看不到不该看的行与附件；
- 附件预览是否可用：只允许下载、不能在线预览，手机端确认率会明显下降；
- 提醒通道是否通：站内信、邮件至少通一条，且在测试环境收得到；提醒发不出去，制度就靠不住；
- 导出清单字段是否够用：按外部审核常问的项目核对一遍（编号、版本、发放对象、确认时间、回收状态）；
- 存量文件怎么迁：先迁"当前有效版本"和历史版本说明，作废件可以先只建索引、附件后补，别一开始就全量导入。
第 8 条最容易被低估。存量几百份文档的企业，建议第一周只上线"最常被审核抽到的 30 份"，跑通发布、确认、回收完整链路，再分批扩面。
之后可以往哪延伸
受控文档很少单独存在，它通常是别的模块的"依据"：
- 接到质量与检验：检验标准作为受控文档，检验单上选择标准版本，判定时依据的是当时有效的那一版。可参考 来料与成品检验：把判定规则从老师傅脑子里搬进系统；
- 接到批次追溯：批次记录关联当时的作业指导书版本，出了质量问题能复盘"当时按哪版工艺做的"，参见 生产批次追溯：从原料批号查到成品去向；
- 接到不合格品处置：整改完成后常伴随文件修订，把修订任务从处置单里直接发起，形成"问题—改文件—再培训"的闭环，参见 不合格品处置：从评审到返工返修闭环；
- 接到合同与证书：合同模板、供应商资质证书同样有有效期与复阅需求，可参考 合同台账与到期预警：关键日期不再靠人记。
- 接到培训：确认率低的文档，往往就是培训没做到位的地方，把未确认名单直接作为培训计划输入。
适用边界：什么时候它帮不上忙
说清边界比夸大能力更有用：
- 它管的是"文件与确认"的关系，不管文件内容本身的质量。文件写得对不对，还得靠专业评审；
- 它记录"看过并确认"，但不等于人真的理解了。真正需要掌握的技能，仍要配合培训、考核与现场验证；
- 纸质流程无法被完全消灭。有法定签收要求或客户要求纸质件的场景，模块的作用是把纸质发放与回收登记成可查记录，而不是替代签字；
- 它不能替代行业强制的文控系统认证。如果企业面对的是有明确体系文件管理要求的审核，本模块提供的是数据与记录支撑，具体条款符合性仍需按体系要求逐条核对。
一句话记法：主档定身份，版本定有效性，确认记录定"谁知道了"，回收记录定"旧版死了没有"。 四件事落在同一套底表上，受控文档才算真的受控。