第十二部分：迭代路线图

12.1 演进原则

先证明单设备纵向闭环，再建设稳定消息链路和数据底座；先建设租户隔离，再开放客户接入；先提供受控模板，再考虑通用低代码。每个阶段都以可观测、可回滚和可验收为完成条件。

12.2 里程碑

M0：可运行 MVP（已交付）

• 管理后台、Node.js API、微信小程序三端贯通。
• 产品、设备、用户绑定、遥测、指令、告警、审计核心用例。
• 确定性自动测试和本地启动文档。

退出条件：本地 npm test 全部通过，后台实际可操作，小程序工程结构完整。

M1：生产数据与认证底座（建议 2～3 个迭代）

• PostgreSQL 表结构、迁移、连接池、事务和唯一约束。
• TimescaleDB 遥测分区、保留策略和聚合查询。
• Redis 会话/缓存/在线 TTL/分布式幂等。
• OAuth2/OIDC 管理端认证，真实微信 code2Session，设备凭据加密与轮换。
• OpenAPI 规范生成、统一分页、错误码、requestId、结构化日志。

退出条件：数据迁移演练通过；备份恢复满足 RPO/RTO；越权、重放和密钥泄漏测试通过。

M2：真实设备消息闭环（建议 2～4 个迭代）

• EMQX TLS、设备鉴权、Topic ACL、连接事件。
• Kafka 消息总线、Schema 版本、死信、消费幂等和重放工具。
• Transactional Outbox 指令发布、ACK 状态机、超时重试与取消。
• 完整 desired/reported 设备影子、乱序保护和离线补偿策略。
• 设备模拟器、固件联调环境和 100/1,000 台阶梯压测。

退出条件：真实开关/网关完成连续 7 天稳定联调；不丢业务数据；重复消息不产生重复副作用。

M3：本司设备试点上线（建议 2 个迭代）

• 设备批量导入、产线烧录/凭据交付、二维码标签。
• OTA 任务、灰度、版本分组和失败回退。
• 告警规则、通知、运维工单和设备诊断包。
• 管理后台工程化、浏览器 E2E；小程序隐私合规、体验优化和发布流程。
• 监控面板、SLO、值班手册、容量模型和故障演练。

退出条件：试点设备运行 30 天；重大故障为零；核心 SLO 达标；用户和运维验收通过。

M4：企业多租户与开放接入

• Tenant、组织、成员、角色、设备组、站点和数据授权。
• 企业自助产品/物模型/设备注册，接入 SDK 和在线调试。
• 租户级 API Key/OAuth Client、scope、限流、调用日志、Webhook 重试。
• 租户隔离自动化测试、账单计量预留、数据导出/删除。
• 白标小程序先采用主题与页面模板，不开放任意代码执行。

退出条件：租户交叉访问测试 100% 阻断；首个企业客户完成沙箱联调和数据授权确认。

M5：企业服务履约与低代码

• 安装工单、派单、签到、物料、图片、工时、远程协助和验收。
• OEM/ERP 连接器、字段映射和客户专属 OpenAPI 套餐。
• 受约束的页面 DSL、组件白名单、预览、审批、版本和回滚。
• 多品牌构建和发布流水线、配置审计和运行分析。

退出条件：现场服务全流程线上化；低代码产物通过安全沙箱和发布审核；至少两类企业方案可复制。

12.3 优先级 Backlog

12.4 不应提前建设的内容

• 未有稳定物模型前建设通用拖拽页面，会把不稳定协议扩散到 UI DSL。
• 未有租户隔离前开放客户设备，会造成数据边界返工和安全风险。
• 未有指令 ACK 与幂等前批量控制，会放大不可确认和重复执行问题。
• 未有真实容量数据前上复杂微服务/Kubernetes，不利于定位产品闭环问题。

12.5 每阶段质量门禁

需求和验收条件已编号；API 契约和数据库迁移向后兼容；单元/集成/端到端/设备联调测试通过；权限与租户隔离有反向用例；监控和容量预算更新；发布包含升级、验证、回滚步骤；故障复盘形成下一迭代工作项。