一句话导读
我们没去考 ISO 9001 认证，但用工程手段把它的精神落成了三件套：门禁（过程检查点）· 版本（文件化信息受控）· 审计（PDCA 闭环）。对照 ISO 9001 与 CMMI 五级阶梯，我们大约在 L2~L3，正向 L4（量化）爬。
我们没去考 ISO 9001 认证，但用工程手段把它的精神落成了三件套：门禁（过程检查点）· 版本（文件化信息受控）· 审计（PDCA 闭环）。对照 ISO 9001 与 CMMI 五级阶梯，我们大约在 L2~L3，正向 L4（量化）爬。
一、现状：我们的质量体系三件套（🟢 本机实测）
| 体系件 | 实现 | 对应标准概念 |
|---|---|---|
| 门禁（G1 质量门禁） | 五连：check_spec_versions / tag_zones / check_zones / test_links / check_dualsync，部署前强制全绿 | ISO 9001 过程方法 / 验证；12207 验证过程 |
| 文件化信息受控 | 规范版本号 + 文首版本块 + versions.json 注册表 + CHANGELOG | ISO 9001 7.5 文件化信息（标识/版本/评审批准/保留） |
| 审计闭环（PDCA） | 周六审计触发 + 交接表 + 日志连续性 + 门禁记录周趋势（record_gates.py） | ISO 9001 内审/管理评审/持续改进；CMMI L4 量化 |
| 风险显式化 | 信号灯（🟢 实测 / 🟡 推理 / 🔴 无依据）+ 部署护栏 | ISO 9001 风险思维；ISO 27001 风险评估 |
| 过程成熟度自评 | CMMI 五级自评：L2✅ / L3✅大 / L4🟡 / L5🔴 | CMMI 1-5 级 |
二、经验教训（踩过的坑）
教训 1：门禁不是「越多越好」，是「拦该拦的」
五连门禁现在每轮跑 20-30 秒，但早期出现过「为过门禁而门禁」的倾向（比如 test_links 把外部链接也算进去导致误报）。经验：门禁只拦「会真实伤害上线质量」的事——断链、区域错、双根失同步、规范版本错，其余交给人工。门禁是护栏不是监狱。
五连门禁现在每轮跑 20-30 秒，但早期出现过「为过门禁而门禁」的倾向（比如 test_links 把外部链接也算进去导致误报）。经验：门禁只拦「会真实伤害上线质量」的事——断链、区域错、双根失同步、规范版本错，其余交给人工。门禁是护栏不是监狱。
教训 2：版本受控的根是「单一来源」，不是「多份副本」
曾出现规范 v1.6.1 在 docs/、根目录、site 三处存在，改一处漏一处，最后靠全库批量替换收尾。ISO 9001 7.5 的「评审批准 + 版本控制」只有配合「单一来源（md）→ 派生（html）→ 门禁校验一致性」才真正闭环。现在的 gen_site + check_spec_versions 就是这个思路。
曾出现规范 v1.6.1 在 docs/、根目录、site 三处存在，改一处漏一处，最后靠全库批量替换收尾。ISO 9001 7.5 的「评审批准 + 版本控制」只有配合「单一来源（md）→ 派生（html）→ 门禁校验一致性」才真正闭环。现在的 gen_site + check_spec_versions 就是这个思路。
教训 3：审计 ≠ 登记，闭环才算数
铁律8 的教训：登记三同步（版本表+快照+CHANGELOG）只是「登记」，只有春哥敲章（通过/回滚）才是「审计闭环」。这正对应 ISO 9001 的「管理评审」——检查了不改进，等于没检查。周六审计就是我们的 PDCA 触发器。
铁律8 的教训：登记三同步（版本表+快照+CHANGELOG）只是「登记」，只有春哥敲章（通过/回滚）才是「审计闭环」。这正对应 ISO 9001 的「管理评审」——检查了不改进，等于没检查。周六审计就是我们的 PDCA 触发器。
教训 4：量化是下一站
门禁记录才开张两天，还不足以形成趋势。CMMI L4 的「量化管理」要求用数据说话——门禁通过率、断链数、修复周期积累满 4 周才能看到趋势、才能谈优化。这是我们对调研报告「缺量化」建议的落地中。
门禁记录才开张两天，还不足以形成趋势。CMMI L4 的「量化管理」要求用数据说话——门禁通过率、断链数、修复周期积累满 4 周才能看到趋势、才能谈优化。这是我们对调研报告「缺量化」建议的落地中。
三、行业现状对照
- 有认证派：中小团队为投标/信任拿 ISO 9001 / CMMI 3 认证，文档完备但常「为证而证」，体系与研发脱节；
- 工程化派（我们的路线）：不拿证，但用 CI/门禁/版本控制把质量内建到流程里——行业里叫「Policy-as-Code / Quality-as-Code」；
- 两者折中：认证 + 工程化双轨，多见于需要对外背书的服务商。
我们的位置：工程化派。对个人工作区这是正确解——认证体系（审核员、文件化审核）的成本远超收益。
四、下一步改进
- 门禁留档跑满 4 周：形成趋势后，每周审计固定看「通过率/断链数/修复周期」三个指标；
- 单一来源再收紧：排查是否还有「多副本规范文件」残留（如根目录 vs docs 的重复）；
- 审计敲章仪式化：周六审计呈报模板固定，含「上次闭环确认」首项。
⚠️ 实践篇（🟢 现状为本机实测 / 行业现状为 🟡 公开资料归纳），标准对照以官方文本为准。