C4 合规架构图 — 把法条画成着色组件，长文#5 初稿开骨架

日期: 2026-09-18 阶段: Phase 3 - AML 调查 Copilot 标签: #c4-model #compliance-as-architecture #gap-analysis

核心问题

W14 要交两样东西：一张 C4 合规架构图，和长文#5《合规即架构》的初稿。这天的核心命题是反直觉的——合规不是一张 checklist 附在架构旁边，合规本身就是架构的一个视图。

具体回答三件事：

1. C4 的哪一层最适合承载合规？ 不是最上面的 Context 图（太粗，看不到组件），也不是 Code 图（太细，没人想看类图）。是 Component 图——它把一个容器（这里是 AML Copilot 后端）拆成组件，每个组件恰好是「一条合规义务的落点」。今天把每个组件按合规状态着色：绿=已实现、黄=部分、红=缺口。
2. 为什么「合规即架构」是论点而非口号？ 引一手监管口径论证：架构决策就是合规决策，policy 文档存在不等于证据存在。
3. AI Practitioner 考试窗口二：D91 若未约到考位，今天是第二窗口；本节交代备考与考试本身和这份蓝图的关系（合规域 28% 权重直接复用蓝图素材）。

这天不写新代码——C4 图是对已建组件（src/aml/、src/agent/）的合规重投影，长文#5 是把这张图讲成一篇可发布的叙事。诚实前提：图中红色「缺口」组件是真实未建的，不谎称已实现。

关键内容

A. 为什么 Component 图是合规的天然载体（C4 四层选层）

C4 模型（Simon Brown）是「一组层级化抽象」（"a set of hierarchical abstractions"，c4model.com 2026-06 抓取），四层从粗到细：System Context → Container → Component → Code。选哪层画合规，取决于「合规义务的颗粒度」：

关键洞察：合规义务的自然颗粒度 = 组件颗粒度。 「SAR 文本要按 Article 50 标注 AI 生成」这条义务，落点是 sarDraft.ts + Article 50 标注组件，不是整个后端容器，也不是某个函数。Component 图恰好在这个粒度上。C4 本身是「Notation independent / Tooling independent」（c4model.com），所以给组件着色是合法扩展——我借用一套合规状态配色，不破坏 C4 语义。

着色编码（三态，借交通灯隐喻，与本项目风险评分配色一致）：

🟢 GREEN  = 已实现且有证据（代码 + 单测 + 可链接文件）
🟡 YELLOW = 部分实现 / 设计就位但运营动作未跑（如「每月重算 κ」是上线后动作）
🔴 RED    = 缺口（义务存在，组件未建，蓝图里诚实标红）

B. C4 合规组件图（文字版组件视图）

容器边界：AML Copilot 后端（一个 Container）。下列是它的 Component 视图，每个组件标注「承载的合规义务 → 来源法规 → 着色状态 → 证据文件」：

┌─────────────────────────────────────────────────────────────────────┐
│  Container: AML Copilot 后端                                          │
│                                                                       │
│  ┌──────────────┐   ┌──────────────┐   ┌──────────────┐              │
│  │ 证据汇集组件 │──▶│ 类型学比对   │──▶│ SAR 草稿生成 │              │
│  │ 🟢 evidence  │   │ 🟢 typology  │   │ 🟢 sarDraft  │              │
│  │ SR11-7 数据  │   │ SR11-7 模型  │   │ Art.50 标注  │              │
│  │ 质量/血缘    │   │ 可解释性     │   │ 🟡(标注设计) │              │
│  └──────────────┘   └──────────────┘   └──────┬───────┘              │
│         │                  │                   │                      │
│         ▼                  ▼                   ▼                      │
│  ┌──────────────┐   ┌──────────────┐   ┌──────────────┐              │
│  │ eval/judge   │   │ 风控网关     │   │ HITL 复核    │              │
│  │ 🟢 evalChecks│   │ 🟢 riskGate  │   │ 🟢 Agent UX  │              │
│  │ NIST/SR11-7  │   │ DORA ICT/    │   │ Art.50 编辑  │              │
│  │ 持续监控     │   │ 最小权限     │   │ 责任豁免触发 │              │
│  └──────────────┘   └──────────────┘   └──────────────┘              │
│         │                  │                   │                      │
│         └──────────────────┴───────────────────┘                     │
│                            ▼                                          │
│  ┌──────────────────────────────────────────┐                       │
│  │ 不可篡改审计轨迹组件                       │                       │
│  │ 🟡 audit-trail (observability 部分就位)    │  ◄── DORA/Art.50      │
│  │ DORA 事件日志 + SR11-7 三道防线证据        │      共同要求          │
│  └──────────────────────────────────────────┘                       │
│                                                                       │
│  ┌──────────────────────────────────────────┐                       │
│  │ 🔴 模型变更治理 / 版本审批门 (未建)        │  ◄── SR11-7 第二道防线 │
│  │ 🔴 偏见/公平性监测 (未建)                  │  ◄── NIST AI RMF       │
│  └──────────────────────────────────────────┘                       │
└─────────────────────────────────────────────────────────────────────┘

组件→义务→状态对照清单（合规组件清单表）：

反直觉洞察①（红色组件比绿色组件更值钱）：作品集的本能是「全画绿色显得完整」。但对 AISA/SA 面试，诚实标红的缺口组件恰恰是最强信号——它证明你能把抽象法条（SR 11-7「三道防线」）下钻到「我缺一个模型变更审批门」这种组件级判断。Architecture & Governance（2025-12-30）的论点正在此：「Regulation... introduces a requirement for architectural decisions to be defensible over time, not merely acceptable in the moment」。绿色组件只说明「做了」，红色组件证明「我知道还差什么、为什么差」——后者才是架构师与执行者的分界线。一张全绿的图在评审里会被一句「那 SR 11-7 第二道防线呢」当场击穿。

C. 「合规即架构」的论证 + AI Practitioner 考试窗口二

论点不是口号，有一手监管/行业口径支撑：

1. 架构决策即合规决策：合规团队「将被要求提供技术性、数据驱动的监控与控制证据，覆盖数据流、访问与架构」（Corporate Compliance Insights 2026 macrotrends，2026）。即「architectural decisions about data storage, processing, and transfer become compliance decisions」——存储/处理/传输的架构选择就是决定你能服务哪些市场的合规选择。
2. policy 存在 ≠ 证据存在：「Most AI compliance programs fail when a regulator asks for evidence, because the policy documentation exists but the actual logs, lineage, and recovery proofs sit on infrastructure that was never designed to produce them」（同上）。这正是 🟡 审计轨迹组件存在的理由——证据必须由架构生产出来，不能事后补。
3. 治理须嵌入架构制品本身：「governance cannot exist solely as documentation or forum-based oversight; it must be embedded within architectural practices and artefacts themselves」（Architecture & Governance，2025-12-30）。C4 合规图就是把治理嵌进架构制品的具体做法。

AI Practitioner 考试窗口二：D91（09-13）若未约到考位，今天补考。AIF-C01 五域权重（AWS 官方 exam guide，2026-06 抓取）：

考试本身：65 题（50 计分 + 15 不计分）、90 分钟、scaled score 100-1000、过线 700、$100、建议 ≤6 个月 AWS AI 接触（AWS exam guide 2026-06）。

反直觉洞察②（认证只是 JD 门槛，蓝图才是能力证明）：AIF-C01 是 foundational 级，明确把「Implementing security or compliance protocols」「Developing governance frameworks」列为 out of scope（AWS exam guide）。所以认证证明的是「认识合规概念」，而这张 C4 合规图证明的是「能把合规落成架构组件」——后者远超认证范围。认证只对云厂商/SI/银行 JD 是硬门槛（2-3 周可拿），别把它当能力护城河；它和蓝图是「门票 vs 作品」的关系，不可互替。

设计要点/决策表

对本项目的落地

• 新建 docs/aipa/c4-compliance-component.md（或 .dsl）：承载本日 B 节组件视图，每组件三态着色 + 义务 + 来源法规（带状态）+ 证据文件路径。文字版优先（可直接入长文#5、可在面试口述），后续可转 Structurizr DSL（C4 reference 实现）渲染。只移植架构 120 天已建的 C4 方法论（docs/arch），不重教 C4 基础。
• 着色状态以代码现状为准（诚实门）：🟢 仅给「有代码 + 单测 + 可链接文件」的组件（证据汇集/类型学/eval/风控网关/HITL）；🟡 给 sarDraft.ts 的 Art.50 标注（标注逻辑设计就位，机器可读标记 50(2) 推迟到 2026-12-02 故未实装）和 observability/（部分就位）；🔴 给「模型变更治理门」「偏见监测」两个真实未建组件。绝不为图好看把红改绿。
• 长文#5 骨架对齐本图：长文#5《合规即架构》初稿三段——(1) 论点（C 节三条一手口径）→(2) 方法（C4 Component 图 + 三态着色，B 节那张图直接做插图）→(3) 逐组件走读（义务→法规状态→着色→证据，用 B 节清单表）。与长文#2 红队报告同骨架范式：一手叙事「我对自己的 copilot 做了合规映射、发现哪些组件是红的」，而非「合规综述」。
• 与 day94/95 蓝图的关系：day94（DORA 叠加）、day95（SR 11-7/NIST/ISO 三线对照表）产出的是「法规→组件」文字对照；本日 C4 图是把那些对照可视化成一张着色组件图，是蓝图的「图形封面」。三者构成完整合规蓝图：法条精读（49/94/95）→ 对照表（95）→ C4 着色图（96）。
• 诚实限定语：C4 图与长文#5 用计划/设计语气标注未建组件；🟡/🔴 是 P3 截止时的真实状态快照，不谎称已实现。「每月重算 κ」「偏见监测上线」等是上线后运营动作，归入 🟡/🔴。

参考资料

1. c4model.com — The C4 model for visualising software architecture：四层层级抽象（System Context/Container/Component/Code）；「Notation independent / Tooling independent」（2026-06 抓取）
2. AWS — AWS Certified AI Practitioner (AIF-C01) Exam Guide：五域权重（20/24/28/14/14%）；65 题（50 计分）；90min；过线 700；out-of-scope 含「implementing compliance protocols」「developing governance frameworks」（2026-06 抓取）
3. Architecture & Governance Magazine — From Policy to Practice: Architecture Lessons from Regulated Industries：「governance must be embedded within architectural practices and artefacts themselves」；「architectural decisions to be defensible over time, not merely acceptable in the moment」（2025-12-30）
4. Corporate Compliance Insights — 3 Macrotrends That Will Reshape Risk, Compliance and Data Architecture in 2026：「architectural decisions... become compliance decisions」；「policy documentation exists but the actual logs, lineage, and recovery proofs sit on infrastructure that was never designed to produce them」（2026）
5. Structurizr — C4 reference 实现，支持 DSL 渲染 Component 图（2026-06 调研）
6. 本仓库 src/aml/*（generator/typology/sarDraft/evalChecks/observability）、src/agent/gateway/、src/components/aml/AmlSarPanel.tsx；docs/arch C4/ATAM 方法论（移植源）（2026-06）

SOTA 检查 (2026-09-18)

• C4 model 仍是 2026 软件架构可视化的轻量标准：c4model.com、Structurizr（reference 实现）、visual-c4 教程（2026）口径一致，未见替代框架取代 C4 四层抽象；用 Component 图承载合规是合法扩展（notation-independent），非本笔记独创但属较少被显式记录的用法。
• 「合规即架构」在 2026 升温为主流论述：Architecture & Governance（2025-12）、Corporate Compliance Insights（2026 macrotrends）、NICE Actimize FCA 2026 报告（「compliance now requires proof, not just detection」）多方印证——监管从「看结果」转向「看系统与控制证据」，即架构必须生产合规证据。本图的 🟡 审计轨迹组件正对此趋势。
• AIF-C01 在 2026-09 仍是现行 AWS AI 基础认证（AIF-C01 自 2024 推出，未见退役公告；对照 AI-102 已于 2026-06-30 退役→AI-103、AWS ML Specialty 2026-03-31 退役）。考试窗口二有效。
• 过时认知警示：把「合规」理解成「写一份政策文档 + 一张 checklist」已过时——2026 监管要求架构本身可追溯地产出 logs/lineage/recovery 证据（Corporate Compliance Insights）。C4 着色图正是把这一要求落到组件级的工程化做法。
• 待跟踪：🔴 模型变更治理门、偏见监测两组件是 P4/后续真实缺口；长文#5 定稿（D97）前复核 Art.50(2) 机器可读标记 2026-12-02 期限是否随 Digital Omnibus 后续再变；Structurizr DSL 渲染留作可选增强。