企业知识库功能规划，多部门多模型需求蓝图

近期结合 AI 梳理了一套面向多部门的企业级知识库系统应具备的功能清单，形成了一份完整的需求文档。感兴趣的朋友可以基于这份蓝图，继续深入构思技术设计和落地方案。

本文档仅规划「系统应该具备哪些能力、如何组织」，不涉及具体技术选型、排期或实施细节。

• 模块① 组织与权限管理

• 模块② 部门知识库管理

• 模块③ 知识检索问答

• 模块④ 数据源与问数

• 模块⑤ 项目组知识库

• 模块⑥ 大模型管理

• 模块⑦ 用户个人空间

• 模块⑧ 知识库运维

• 模块⑨ 通知中心

• 模块⑩ 系统运营后台

• 模块⑪ 对外知识库接口

• 知识处理流程规划

• 权限隔离规划

• 角色功能视图

• 治理规划

• • *

一、系统定位

这是一个面向企业多部门的知识库问答系统，核心特征如下：

• 部门组织为树形层级结构：每个部门拥独立的知识库。
• 跨部门项目组：支持从不同部门抽调成员组成临时项目组，项目结束后可解散。
• 多样化知识补充：支持上传文件与手动录入文字两种方式。
• 严格检索边界：调用大模型问答时，仅在本部门及下级部门、所属项目组、个人空间的知识范围内检索与作答。
• 自然语言问数：支持用大白话提问，自动查询业务数据库并返回结果。
• 多模型管理：在管理台统一配置模型，各部门按授权范围选用。
• 多模态问答：提问时可上传文件或图片，由大模型进行多模态理解，附件会存入用户个人空间并做长期向量化处理。
• 层级化隔离：子部门之间数据互不可见，父部门可向下继承并查看子部门的知识。

二、功能模块总览

系统按使用者视角，划分为十一大模块：

模块	使用者	核心职责
① 组织与权限管理	超级管理员	管理部门、用户、角色与权限分配
② 部门知识库管理	部门管理员 / 成员	文件上传、文字录入、文档维护、知识审核
③ 知识检索问答	部门成员	基于本部门知识库的大模型问答（含多模态、模型选择）
④ 数据源与问数	部门管理员 / 成员	数据库表结构解析、自然语言查数据库
⑤ 项目组知识库	项目组管理员 / 成员	跨部门临时项目组的独立知识库
⑥ 大模型管理	超级管理员 / 部门管理员	模型对接配置、部门模型授权、多模态能力管理
⑦ 用户个人空间	部门成员	个人知识管理、多模态附件暂存、个人对话历史、个人收藏
⑧ 知识库运维	部门管理员 / 项目组管理员	解析状态监控、检索测试、知识体检
⑨ 通知中心	全体用户	审核通知、授权到期、解析失败、权限变更等统一收口
⑩ 系统运营后台	超级管理员	用量统计、审计日志、全局监控、数据备份与合规
⑪ 对外知识库接口	超级管理员 / 外部系统	为客服系统等外部应用提供知识库问答 API、API Key 管理与调用审计

三、模块一：组织与权限管理

3.1 部门管理（树形结构）

• 部门组织为树形层级结构，支持父部门 → 子部门的多级关系。
  • 例：集团 → 技术中心 → 研发部 / 测试部
• 支持创建 / 编辑 / 停用部门。
• 每个部门的关键记录：部门编码、父部门 ID、层级路径、知识库审核开关。
• 层级路径（path） 是权限继承的核心，形式如 /集团/技术中心/研发部。
• 停用部门时，需先停用或迁移其下属子部门。

知识库审核开关

每个部门有一个审核开关（require_review），控制该部门的知识入库流程：

开关状态	入库流程	适用场景
开启	员工提交知识 → 待审核 → 部门管理员审核通过 → 解析入库 / 审核驳回 → 退回提交人	知识质量要求高、需人工把关的部门
关闭（默认）	员工提交知识 → 直接解析入库	信任度高、知识更新频繁的部门

• 此开关由超级管理员或部门管理员设置。
• 开关是部门内独立的，各部门互不影响。
• 状态变更不影响已入库的知识，仅影响后续新提交。
• 开关开启后，部门管理员会收到待审核提醒。

3.2 部门层级与知识可见性规则（核心）

当前用户所属部门	可见知识范围
子部门（叶子节点）	仅本部门知识
中间部门	本部门 + 所有直属下级部门知识
顶级部门	本部门 + 所有子部门（全树）知识

即：父部门向下继承可见，子部门向上不可见。研发部员工看不到技术中心其他子部门（如测试部）的知识，但技术中心负责人能看到研发部和测试部的所有知识。

3.3 用户管理

• 支持用户账号的创建、停用。
• 每个用户归属且仅归属一个部门。
• 用户调动部门时，其历史对话归属原部门，新产生的问答归属新部门。

3.4 角色体系（五层）

角色	归属	权限范围
超级管理员	全局	管理所有部门、用户、系统配置；可查询任意部门信息，不直接编辑知识库内容
部门管理员	部门内	管理本部门及所有下级部门知识库（上传、删除、审核、成员管理、检索测试）+ 数据源接入与表权限配置 + 审核开关设置
部门成员	部门内	本部门知识库问答、数据库问数、查看文档列表
项目组管理员	项目组内	管理项目组知识库、成员、审核、授权引用部门知识、生命周期管理
项目组成员	项目组内	项目组知识问答、提交知识

超级管理员的问答权限：超管可查询任意部门的知识库信息，但不直接编辑知识库内容。如需体验问答，可通过“模拟用户”功能以某部门成员身份登录，操作将记入审计日志。

双角色机制：一个用户可同时拥有部门角色和项目组角色，两者独立不冲突。例如，张三在研发部是普通成员，同时在项目A是管理员。部门角色决定其部门内的权限，项目组角色决定其项目组内的权限，两者按操作所属范围判断。

3.5 权限隔离规则

• 任何用户只能访问自己所属部门及其下级部门的知识库与数据源。
• 父部门管理员可管理（上传、删除、编辑）本部门及所有下级部门的知识库。
• 父部门成员可检索查看本部门及下级部门知识，但不可管理下级部门知识。
• 子部门用户不可向上访问父部门及其他兄弟部门。
• 超级管理员可查询任意部门的信息，并可通过模拟用户功能体验问答。
• 所有检索、问答、问数请求的部门归属，均由系统从登录态推导，不接受外部指定。
• 管理员权限分级（可选，适用于管理跨度大的组织）：
  • 部门管理员可设置对下级部门的管理模式：“完整管理”（可上传/删除/编辑）或“仅查看”（只能检索查看不能修改）。
  • 默认为完整管理，超管或上级管理员可调整为仅查看。

3.6 文档级权限控制（部门内知识分级）

部门内的知识并非全公开，需支持文档级别的可见性控制：

可见性级别	可见范围	适用场景
公开（public）	部门内所有成员可检索	制度规范、操作手册、FAQ
内部（internal）	仅部门管理员及以上可检索	人事考评、内部讨论稿
机密（confidential）	仅指定成员可检索（按 ACL 列表）	薪资制度、合同模板、敏感项目文档

• 文档上传或录入时设置可见性级别，默认为「公开」。
• 「机密」级文档需指定可访问成员列表（ACL）。
• 检索时自动附加可见性过滤：普通成员仅检索 public；管理员可检索 public + internal；confidential 按 ACL 过滤。
• 对外接口（API）仅可检索 public 级文档。
• 管理员可批量调整文档可见性级别。

3.7 用户批量导入与 SSO 集成

• 批量导入:
  • 支持通过 Excel 模板批量导入用户（姓名、工号、部门、角色）。
  • 导入时自动校验部门存在性、工号唯一性。
  • 生成导入结果报告（成功数、失败数及失败原因）。
• SSO 集成（可选，按部署环境选择）:
  • 支持 LDAP / Active Directory 对接，同步组织架构与用户。
  • 支持 OAuth 2.0 / SAML 单点登录。
  • SSO 对接后，用户密码由统一身份系统管理，本系统不存储密码。
  • 支持定时同步组织架构变更（新员工入职自动创建账号，离职自动停用）。

四、模块二：部门知识库管理

4.1 文件上传

• 支持拖拽或选择文件的批量上传方式。
• 支持的文件类型：
  • 办公文档：Word、PDF、TXT、Markdown
  • 表格数据：Excel、CSV
  • 演示文稿：PPT
  • 图片：PNG、JPG（含扫描件，需 OCR）
• 上传时必须选择业务类型（从系统级公共业务类型中选择，如“制度规范”、“操作手册”、“FAQ”、“技术文档”等）：
  • 业务类型由超级管理员统一维护，跨部门通用。
  • 每个文档必须选择一个业务类型，不支持为空。
  • 用途：文档归类展示、按类型筛选检索、对外接口按类型过滤。
  • 详见 4.5 业务类型说明。
• 上传时需设置文档可见性级别（公开/内部/机密，参见 3.6）。
• 上传后根据部门审核开关走不同流程：
  • 审核关闭：待解析 → 解析中 → 已入库 / 解析失败
  • 审核开启：待审核 →（审核通过）→ 待解析 → 解析中 → 已入库 / 解析失败；（审核驳回）→ 已驳回
• 文件去重：支持识别相同内容，不重复入库。
• 单文件大小限制、部门存储总量配额。
• 批量导入：
  • 支持文件夹批量上传（保留目录结构转为分类）。
  • 支持通过 Excel 模板批量录入 FAQ/知识条目（标题+正文+标签+分类+业务类型）。
  • 同样受审核开关控制。
• 文档有效期（可选）：
  • 上传时可设文档有效期（如1年），过期后自动标记为「可能过时」并降低检索权重。
  • 可按业务类型设置默认有效期（如「制度规范」默认2年、「FAQ」默认1年）。
  • 过期文档不自动删除，由管理员决定更新或下线。

4.2 文字补充录入

• 提供富文本编辑器，手动录入知识条目。
• 每条文字知识可设置：标题、正文、标签、分类、业务类型（必选，与文件上传一致）。
• 录入的文字知识与上传的文件同等对待，参与检索问答。
• 与文件上传一致，受部门审核开关控制。
• 支持编辑、删除、重新入库。

4.3 文档管理与向量级联删除

• 文档列表：按名称、类型、上传时间、状态、可见性级别筛选（含待审核/已入库/已驳回等状态）。
• 单文档操作：查看解析结果、重新解析、删除、更新版本、在线预览。
• 文档在线预览：
  • 支持 PDF / Word / PPT / 图片的在线预览，无需下载。
  • 预览时标注文档来源、业务类型、可见性级别。
  • 原文下载需权限控制（机密文档仅 ACL 成员可下载）。
  • 预览不影响向量检索，仅为展示原文内容。
• 支持按分类/标签组织文档。
• 文档更新（版本替换）：
  • 上传新版本文件替换旧版本→旧向量级联删除→新文件解析入库→向量重新生成。
  • 项目组引用自动指向新版本（绑定 doc_id 不变）。
  • 保留版本历史记录（可查看、可回退）。
  • 更新同样受审核开关控制。
  • 版本更新时采用乐观锁机制，若多人同时编辑，提示冲突。
• 全文搜索入口：
  • 除“问答”外，提供独立的文档搜索能力。
  • 支持按文件名、文档内容、标签、分类关键词搜索。
  • 搜索范围与用户权限一致（部门含下级/项目组/个人空间）。
  • 搜索结果展示文档名、匹配片段高亮、分类、上传时间。
  • 点击结果可直接预览或跳转问答。

文档与向量的级联删除（强制约束）：

任何文档在向量库中都有对应的若干知识片段（chunks），双方必须维持一一对应的关联关系。删除文档时必须级联清除所有关联数据，不得残留孤儿向量。

删除场景	级联处理
管理员删除已入库文档	删除原文 → 删除该文档所有 chunks → 删除向量库中对应的全部向量
管理员删除待审核文档	删除原文（向量库中无对应数据，无需清理）
管理员删除已驳回文档	删除原文（向量库中无对应数据，无需清理）
批量删除文档	逐文档执行级联删除，确保每条都清理干净
项目组引用的部门文档被删除	部门侧级联删除向量 + 项目组内引用自动失效（该文档不再可检索）
个人空间文件被删除	删除原文 → 删除该文件所有 chunks → 删除向量库中对应的全部向量
部门停用	级联删除该部门所有文档并清除向量（需二次确认）

关联关系保障：

• 每条向量记录必须携带 doc_id，通过此 ID 可定位文档的所有向量。
• 每条 chunks 记录必须携带 doc_id 和 vector_id，构成文档→chunks→向量的完整链路。
• 删除操作以 doc_id 为单位，一次性清除该 ID 下的所有 chunks 与向量。
• 删除后执行完整性校验，确认向量库中已无该 doc_id 的任何向量。

4.4 知识审核（部门审核开关开启时生效）

当部门审核开关开启后，员工提交的知识先进入审核流程：

审核流程：

员工提交知识（文件/文字）
   │
   ▼
状态：待审核（此时不解析、不入向量库）
   │
   ▼
部门管理员审核
   ├─ 通过 → 进入正常解析流程（待解析 → 解析中 → 已入库）
   └─ 驳回 → 状态：已驳回，通知提交人（附驳回原因）
              │
              ▼
         提交人收到驳回通知，可选择：
         ├─ 修改后重新提交 → 状态：待审核
         ├─ 放弃提交 → 状态：已放弃，归档保留记录
         └─ 不处理 → 长期待在已驳回状态，定期清理提醒

驳回后修改再提交细则：

• 提交人可在已驳回条目上直接修改内容后重新提交：
  • 文件类：重新上传文件，或修改标题/标签/分类。
  • 文字类：直接编辑内容，修改标题/标签/分类。
• 重新提交后，状态变回待审核，重新进入审核队列。
• 重新提交时保留驳回历史记录：记录历次驳回原因、修改内容、时间，审核时可查修改轨迹。
• 管理员审核时，可对比修改前后的差异以加速审核。
• 同一条知识被驳回次数过多（如超过3次），系统提醒提交人与管理员沟通。

审核相关的操作与权限：

• 审核操作能力：审核列表筛选、单条/批量通过、驳回并填写原因、预览文件内容、记录审核人与时间。
• 审核权限：
  • 部门管理员可审核本部门及所有下级部门提交的知识。
  • 项目组管理员可审核本项目组成员提交的知识。
  • 部门成员只能查看自己提交的审核状态。
  • 超管可查看审核情况，但不直接参与审核。
• 多审核人与审核委托：
  • 部门管理员可设审核代理人（协同审核）。
  • 单人审核（默认）：任一审核人通过即可入库。
  • 会签审核：所有指定审核人均需通过才入库。会签模式下追踪每位审核人状态，全部 approved 才入库，任一 rejected 则驳回。
  • 审核委托/转交：审核人可委托他人（设有效期），委托期间受托人可见待审知识，操作留痕。
  • 审核人缺位处理：待审知识积压超阈值时，系统告警并通知超管，可临时指定代理审核人。
• 审核通知：
  • 新知识提交通知审核人。
  • 审核结果通知提交人，驳回时附带原因且优先级更高。
  • 支持多渠道触达：站内通知、邮件、企业微信/钉钉。
  • 审核积压告警通知管理员和超管。

4.5 知识分类与标签

• 每个部门可自定义知识分类（如“制度规范”、“操作手册”、“FAQ”）。
• 文档可打标签，支持按标签筛选。
• 分类与标签部门内独立，不跨部门共享。
• 按分类设置审核（精细化管理）：
  • 审核开关支持分类级别配置。
  • 例：“制度规范”类需审核，“讨论笔记”类不需审核。
  • 部门级开关为默认值，分类级开关可覆盖默认。

业务类型（系统级公共类型）

除部门级分类外，系统提供跨部门统一的业务类型，用于标准化归类与对外接口过滤：

维度	业务类型（系统级）	部门分类（部门级）
维护者	超级管理员统一维护	各部门管理员自定义
作用范围	全部门通用	仅本部门内有效
是否必选	上传文档时必须选择	可选，可为空
核心用途	标准化归类、对外接口按类型过滤、跨部门统计	部门内部组织与管理
示例	制度规范、操作手册、FAQ、技术文档、培训资料	研发部下的“架构设计”、“编码规范”等

• 已被文档使用的业务类型不可删除，仅可停用。
• 向量化时，业务类型作为元数据标签随向量存储，检索时可按此过滤。
• 外部系统调用 API 时，可指定业务类型参数，仅在对应类型的文档中检索。

五、模块三：知识检索问答

5.1 对话界面

• 流式输出回答（打字机效果）。
• 支持多轮对话，保留上下文。
• 对话历史保存、查看；新建/删除会话。
• 对话历史搜索：支持按关键词、时间、范围（部门/项目组/个人）搜索历史问答，结果高亮并可跳转。
• 热门问题推荐：展示“热门问题”和“你可能想问的”以降低使用门槛。
• 对话导出与分享：对话可导出为文本/图片/PDF；可生成带权限校验和有效期的分享链接。

5.2 回答质量约束

• 回答必须基于用户所选检索范围内检索到的内容。
• 知识库无法覆盖的问题，明确回复“未找到相关信息”，不得编造。
• 回答末尾标注引用来源：文档名、所在章节、原文片段，并标注来源 scope（部门/项目组/个人空间）。
• 用户可点击来源跳转查看原文。
• 0 结果引导：当检索命中为0时，引导用户换种问法、切换检索范围，或提供快速入口提交新知识。

5.3 检索范围控制

• 检索范围由后端从用户身份推导，禁止前端指定。
• 用户可在可见范围内切换知识范围（场景化命名）：
  • “问部门知识”（本部门含下级）
  • “问项目知识”（用户所属的某个项目组）
  • “问我的资料”（个人空间）
  • “全部范围”（部门 + 项目组 + 个人空间）
• 支持在选定范围内按分类/标签缩小范围。
• 可设置排除某些文档不参与本次问答。

5.4 用户反馈

• 每条回答支持 👍 / 👎 反馈。
• 👎 反馈可补充原因（答非所问 / 信息过时 / 内容错误）。
• 反馈数据沉淀，用于后续知识库优化。

5.5 新用户引导与帮助

为降低新用户使用门槛，提供以下引导：

• 首次登录引导：通过3-5步气泡提示介绍提问、切换范围、上传、问数等功能，可跳过。
• 帮助中心入口：常驻帮助入口，提供使用手册、FAQ、操作视频。
• 场景示例库：问答界面提供“示例问题”按钮，按场景分类填充示例。
• 空状态引导：知识库/对话历史/个人空间为空时，显示对应的操作引导。
• 知识库初始化向导（为新部门/项目组冷启动设计）：
  • 引导管理员完成首批知识上传。
  • 推荐上传文档类型清单、提供标准文档模板下载。
  • 引导使用批量导入功能。
  • 完成后进行首次检索测试。

六、模块四：数据源与自然语言问数

这是与文档问答并列的能力：文档问答查的是“知识库里的文字”，而自然语言问数查的是“业务数据库里的数据”。两者共享对话入口，但走不同的处理链路。

6.1 数据源接入

• 每个部门可接入自己的业务数据库（如 MySQL / PostgreSQL 等）。
• 数据库连接信息按部门隔离存储，一部门一数据源（或可按需扩展为多数据源）。
• 超级管理员不直接查看各部门的数据库连接凭证。
• 支持连接测试以验证连通性。

6.2 表结构自动解析

• 接入数据源后，系统自动解析该数据库的表结构：表名、字段名、类型、注释、主外键关系。
• 解析结果形成数据库 Schema 画像，作为自然语言转 SQL 的基础。
• 支持手动补充表/字段的业务语义说明（如 order_amt 是“订单金额（含税）”），这能极大提升 NL2SQL 的准确率。
• 可标记哪些表参与问数、哪些排除（敏感表不开放查询）。

6.3 自然语言问数流程

用户用自然语言提问："上个月销售额最高的三个部门是哪些？"
   │
   ▼
1. 意图识别：判断该问题走"文档问答"还是"数据库问数"
   ├─ 问数据、查统计、要数字 → 数据库问数
   ├─ 问制度、查规范、要说明 → 文档问答
   ├─ 混合意图（同时要文档+数据）→ 并行走两条链路，合并结果
   │（也可由用户在界面手动切换模式）
   │
   │ 意图识别优化闭环：
   │ - 系统在回答中附带"识别为XX模式"，用户可一键切换重新执行
   │ - 用户切换后自动记录误判案例（原始问题 + 误判结果 + 正确链路）
   │ - 误判案例定期分析，用于优化意图识别 Prompt 和规则
   │
   ▼
2. 加载本部门的数据库 Schema 画像（含业务语义标注）
   │
   ▼
3. 大模型生成 SQL
   ├─ 输入：用户问题 + 表结构 + 字段语义 + 少量示例
   └─ 输出：SQL 语句 + 查询意图说明
   │
   ▼
4. SQL 安全校验（关键！）
   ├─ 只允许 SELECT，禁止 INSERT/UPDATE/DELETE/DROP
   ├─ 只允许查询本部门已授权的表
   ├─ SQL 复杂度限制（防全表扫描拖垮库）
   └─ 敏感字段脱敏（如手机号、身份证号）
   │
   ▼
5. 执行 SQL，获取结果
   │
   ▼
6. 大模型将结果转成自然语言回答
   ├─ 文字描述 + 数据表格 + 必要的图表
   └─ 附带"查询了哪张表、用了什么条件"的可追溯说明
   │
   ▼
7. 返回回答 + 数据表格 + 可下载结果

6.4 问数能力的交互设计

• 模式切换：用户可选择“问知识”、“问数据”或“自动识别”。
• 结果展示：包含文字结论、可排序导出的数据表格、简单图表（柱/折/饼图）。
• SQL 透明化：可展开查看生成的 SQL。
• 追问：支持基于上次结果继续提问。

6.5 问数的安全与权限

安全项	规则
SQL 类型	仅允许 SELECT
表级权限	只能查本部门授权表，跨部门数据不可见
跨部门聚合	父部门管理员可查所有下级数据源的聚合数据（应用层合并，非直接跨库 JOIN），递归遍历整棵子树
字段脱敏	手机号、身份证、薪资等字段自动脱敏或禁查
行级权限	按需控制可见行（如只能看本部门产生的数据）
查询限流	限制单次行数、超时时间，防拖垮业务库
SQL 审计	所有 SQL 与执行结果记入审计日志
只读账号	数据库连接强制使用只读账号

6.6 问数效果优化

• 查询示例库：为每张表维护“问题→SQL”示例，作为大模型的参考（Few-shot），显著提升准确率。
• Schema 语义标注：人工补充的业务含义越全，准确率越高。
• 错误反馈闭环：用户标记“查错了”时，记录案例用于补充示例库。
• 复杂查询降级：多表 JOIN 等复杂查询失败时，引导用户拆解问题。

6.7 问数与文档问答的关系

维度	文档问答	数据库问数
数据来源	上传的文件、录入的文字	业务数据库的表数据
回答形式	文字 + 来源引用	文字 + 表格 + 图表
处理链路	向量检索 → LLM 生成	NL2SQL → 执行 → LLM 总结
隔离方式	统一向量库 + scope 标签过滤	部门独立数据源 + 表权限
典型问题	“报销制度是什么”	“上月报销总额多少”

两者在对话界面统一入口，通过意图识别自动路由或用户手动切换。

6.8 异常场景处理

• 意图识别错误：用户可一键切换链路，系统在回答中附带“识别为XX模式”。
• SQL 执行失败：提示“查询执行失败”及原因，建议换种表述。
• 查询超时：建议缩小查询范围或增加过滤条件。
• 权限不足：提示“需要更高权限”，不暴露表结构。
• 空结果：提示“未查询到符合条件的数据”，并展示 SQL 供核对。

七、模块五：项目组知识库（跨部门协作）

除常设的行政部门外，企业还存在大量为特定目标组建的临时项目组。项目组知识库是独立于部门树之外的横切知识空间。

7.1 项目组与部门的区别

维度	部门知识库	项目组知识库
组织性质	常设行政组织，长期稳定	临时业务编组，有生命周期
成员来源	本部门成员	跨部门抽调，成员仍属原部门
层级关系	树形层级，父可见子	扁平，无父子继承
知识归属	属于部门	属于项目组，独立
生命周期	长期存在	创建、归档、解散
知识可见性	按层级路径继承	仅项目组成员可见

7.2 项目组管理

• 创建项目组：指定名称、负责人、描述。
• 项目组拥有唯一标识（project_id）作为知识库的 scope 标签。
• 项目组独立于部门树，不挂在某部门下。
• 项目组同样支持知识库审核开关。
• 生命周期管理：
  • 进行中：可上传、问答、管理。
  • 归档：只读，可查询，不可编辑。
  • 解散：知识可迁移至某部门或永久删除。

7.3 项目组成员管理

• 负责人可添加/移除成员，成员保留原部门身份。
• 一个用户可同时属于多个项目组。
• 成员角色分为项目组管理员（通常即负责人）和项目组成员。

7.4 项目组知识库内容

• 功能与部门知识库一致（文件上传、文字录入、文档管理等）。
• 知识向量化时携带 scope=project + project_id 标签。
• 项目组知识不参与部门层级继承。

7.5 引用部门知识（避免重复上传）

项目组可引用部门知识，分为两个层级：

部门知识库授权（知识库级）

项目组管理员可将自己所属部门（含下级）的知识库授权给项目组使用：

• 授权后，全体成员可检索该部门知识库的全部内容。
• 可授权多个部门知识库（仅限管理员有权访问的部门）。
• 授权关系含过期时间（expire_at），到期自动取消，支持续期和到期前提醒。
• 可随时取消授权，授权取消后不再检索该部门知识。

文档级引用（细粒度）

• 可从所属部门中选择具体文档引用到项目组。
• 引用不复制副本，仅在检索时同时检索该文档的向量。
• 可随时添加或移除引用的文档。

通用规则

规则	说明
权限约束	只能引用/授权管理员自己有权访问的部门
成员发起授权	成员可申请授权自己部门的知识库，管理员审批后生效
来源标注	[部门：研发部 → 授权至项目组：XX项目]
原文档删除	引用自动失效
原文档更新	引用自动指向新版本
混合检索	部门授权 + 文档引用 + 项目组自上传，三者混合检索，统一排序

7.6 项目组问答

• 对话界面同样支持知识范围切换。
• 问答检索按所选 scope 过滤向量库。
• 来源引用时标注“来自项目组：XXX”。

7.7 项目组与部门知识的混合检索

用户提问后，系统确定检索范围：

   ├─ 部门范围：按 dept_path 前缀过滤（本部门及下级）
   ├─ 项目组范围：按 project_id 过滤（含授权和引用的部门知识）
   ├─ 个人空间：按 user_id 过滤
   └─ 混合范围：以上并集

统一向量检索并标注每条来源。

7.8 项目组解散时的知识处置

处置方式	说明	适用场景
归档保留	转为只读，可查询不可编辑	有长期参考价值的项目
迁移至部门	迁移到某部门知识库（需管理员同意）	成果需沉淀到部门
永久删除	清除所有向量与原文	敏感或无保留价值的项目

八、模块六：大模型管理

对接哪些大模型、哪些部门能用、模型有什么能力，统一在管理台配置。问答时按部门授权的模型列表选择使用。

8.1 模型对接配置（超级管理员）

• 在管理台添加大模型供应商与模型，配置项包括：
  • 供应商（OpenAI / 通义千问 / DeepSeek / 文心 / 本地私有化等）
  • 模型名称（如 gpt-4o, qwen-max, deepseek-v3）
  • API 地址与密钥
  • 模型类型：对话模型（Chat）/ Embedding 模型（向量化）/ 多模态模型（图文理解）
  • 能力标签：支持图片、文件、长上下文等
  • 调用参数默认值
  • 成本信息（token 单价）
• 支持配置多个同类模型，可做 A/B 对比或主备切换。
• 模型配置的增删改不影响已有对话，仅影响新对话。

8.2 部门模型授权（超级管理员 / 部门管理员）

• 超级管理员为每个部门授权可使用的模型列表。
• 部门管理员在授权范围内为本部门选择默认模型。
• 模型授权支持按层级继承：父部门的授权，子部门自动继承。
• 多模态模型单独授权，按需开通。

8.3 项目组与个人空间的模型使用规则

场景	模型使用规则
项目组问答	使用项目组管理员所在部门的授权模型列表
个人空间问答	使用用户本人所属部门授权的模型列表
多模态附件	需当前可用模型中至少有一个支持多模态

设计原则：模型授权始终绑定部门，项目组和个人空间复用成员所属部门的授权。若项目组管理员部门变更，项目组可用模型列表立即切换。进行中的会话不受影响，新对话使用新模型列表。

模型选择器来源标注：在不同 scope 下会标注当前可用模型的来源，如「由你所在部门授权」、「由项目组管理员（XX部门）授权」。

模型状态变更通知：发生模型移除、停用、授权变更时，系统会通知相关的部门管理员和成员，并建议替代模型。

8.4 模型选择与使用（部门成员）

• 对话界面提供模型选择器，列出当前用户可用的模型。
• 用户可为每次对话选择模型，也可设置个人偏好。
• 选择模型时提示模型的能力范围。
• 若上传图片但所选模型不持支多模态，系统会自动提示切换或自动切换。

8.5 多模态能力管理

模态类型	说明	典型场景
纯文本	只接受文字输入	纯知识库问答
图片理解	接受图片输入，理解图片内容	上传截图问“这个报错怎么解决”
文件理解	接受文档文件，直接理解内容	上传合同问“违约条款是什么”
图文混合	文字 + 图片 + 文件混合输入	上传报表截图 + 文字追问

• 模型的多模态能力在配置时标注，控制上传入口的开放与否。
• 未授权多模态模型的部门，其用户看不到文件/图片上传入口。

8.6 模型用量与成本

• 按部门、按模型、按项目组统计调用量与 token 消耗。
• 部门模型用量上限可配（防滥用）。
• 模型不可用时自动降级到备用模型（若已配置）。

九、模块七：用户个人空间

用户在问答时上传的临时文件、图片，不进入部门或项目组知识库，而是存入用户个人空间，并做长期向量化参与个人检索。

9.1 个人空间与知识库的区别

维度	部门/项目组知识库	用户个人空间
归属	部门或项目组	用户个人
可见性	按层级/成员共享	仅用户本人可见
内容来源	管理员/成员主动沉淀	问答时上传的附件、主动上传的文件
向量化	是	是
生命周���	长期保留	长期保留，可设过期清理策略
用途	知识沉淀与复用	个人知识沉淀 + 辅助问答

9.2 问答时上传临时文件

• 对话输入框支持上传文件/图片作为临时附件。
• 附件处理方式：
  • 默认存入个人空间并向量化，长期参与后续检索。
  • 仅本次对话有效（用户可取消勾选），附件不长期保留。
  • 处理进度反馈，大文件处理完成前用户可继续输入，但附件暂不参与检索。
• 附件内容不混入部门/项目组知识库检索。

9.3 多模态问答流程

用户提问 + 上传附件（图片/文件）
   │
   ▼
判断附件类型与所选模型能力
   ├─ 支持多模态 → 直接将附件内容发给模型
   ├─ 不支持但为文档 → 提取文本，拼入 prompt
   └─ 不支持且为图片 → 提示切换多模态模型
   │
   ▼
同时进行知识库检索（部门/项目组知识 + 个人空间知识）
   │
   ▼
组装上下文：检索结果 + 附件内容 + 用户问题
   │
   ▼
调用多模态大模型生成回答
   │
   ▼
返回回答 + 知识库来源引用 + 附件处理说明

9.4 个人空间管理

• 我的文件：管理个人空间文件列表，可手动将文件转存到部门/项目组知识库。
• 个人对话历史：按 scope 分组查看。
• 个人收藏：收藏有价值的问答。
• 存储配额：有容量上限，超限时提示清理。
• 过期清理：临时文件可设自动过期。
• 向量膨胀控制：30天未使用的个人文件自动取消向量化（保留原文），用户可手动重新向量化。定期提示清理低价值文件。

9.5 个人空间的隔离

• 个人空间内容仅用户本人可见，不参与任何部门/项目组检索。
• 用户离职或停用时，个人空间按策略处置（保留N天后清理或导出后删除）。
• 个人空间内容不计入部门知识库的体检与统计。

十、模块八：知识库运维

10.1 知识库概览仪表盘

管理员进入后一眼看清知识库健康状态，包括：文档总量与新增趋势、待审核数（红色提醒）、解析失败数、热门问答、低质文档提醒、授权到期提醒、存储使用率等。

10.2 解析状态监控

• 查看本部门所有文档的解析状态。
• 列出解析失败的文档及失败原因，支持重新触发解析。

10.3 审核状态监控

• 查看待审核知识条目列表及统计（待审/已通过/驳回/平均时长）。
• 审核积压告警。

10.4 检索测试工具

输入测试问题，系统展示召回了哪些知识片段、相似度分数和最终回答，用于诊断检索问题。

10.5 问数测试工具

输入自然语言查询，系统展示意图识别结果、生成的 SQL、执行结果和最终回答，用于诊断 NL2SQL 问题。

10.6 知识库体检

• 统计文档总量、有效片段数、存储占用。
• 识别低质量文档（内容过短、重复度高）和未被命中的文档（长期闲置）。
• 文档活跃度分析：识别“零命中文档”，建议下线或更新。
• 向量膨胀治理：部门/项目组的零命中文档（>180天）可下线；个人空间（30天）自动取消向量化。

10.7 数据源体检

• 统计接入表数量、字段语义标注覆盖率（低覆盖率影响问数准确率）。
• 统计问数的命中率、失败率、常查表等。

10.8 知识更新提醒

• 文档超期标记“可能过时”。
• 数据库 Schema 变更提醒重新解析。
• 项目组/部门授权到期、长期不活跃提醒。

十一、模块九：通知中心

系统中各类通知统一收口，确保用户不遗漏重要信息。

11.1 通知类型

通知类型	接收人	触发条件
审核提交通知	部门/项目组管理员	新知识提交
审核结果通知	提交人	通过/驳回
解析失败通知	上传人及管理员	文档解析失败
授权到期通知	项目组管理员	授权将到期前7天
权限变更通知	受影响用户	用户调动、角色调整
项目组变更通知	项目组成员	归档/解散/成员调整
知识更新通知	部门成员（可选）	关注的文档被更新
存储预警通知	用户/部门管理员	空间接近上限

11.2 通知渠道

• 站内通知（右上角铃铛）
• 邮件（重要通知同步发送）
• 企业微信/钉钉（需配置对接）
• 用户可自定义通知渠道偏好。

11.3 通知管理

• 通知列表按时间倒序，未读优先。
• 支持标记已读、全部已读。
• 通知可关联跳转到对应功能页。
• 通知保留 N 天后自动清理（可配）。

十二、模块十一：对外知识库接口

系统需对外开放知识库问答能力，外部系统（如客服、机器人、门户）可通过 API 接入，按指定部门/范围进行检索与问答，无需登录系统界面。

12.1 接口定位与适用场景

适用场景	说明
客服系统	调用 QA API，基于指定部门知识库自动回复
智能助手	接入企业IM，员工在 IM 中直接问答
企业门户	嵌入搜索框，访客/员工搜索制度文档
第三方集成	合作方系统通过 API 检索已授权知识

设计原则：对外接口只读不写，仅提供检索与问答能力；检索范围严格受 API Key 授权范围限定。v1 版本仅支持文档知识库问答与检索，不支持 NL2SQL 问数。

接口版本管理：所有接口路径包含版本号（如 /api/v1/qa），旧版本保留至少6个月过渡期，旧版本仅做安全修复。接口返回结果中包含 api_version 字段。

12.2 问答接口

请求参数：

参数	必填	说明
question	是	用户的问题
scope	是	检索范围：dept / project
scope_id	是	部门ID或项目组ID（须在 Key 授权范围内）
business_type	否	业务类型过滤
top_k	否	返回的来源引用数，默认3
include_source	否	是否返回来源引用，默认 true

返回结果包含 answer（回答）、sources（来源引用）、confidence（置信度）、request_id（追溯ID）。

12.3 文档检索接口

与问答接口不同，不做大模型生成，仅返回匹配的文档片段。请求参数与问答接口类似，返回 fragments（匹配片段列表）、total（匹配总数）、request_id。

12.4 API Key 管理（超级管理员）

• 为每个外部系统签发独立 API Key，记录其归属与用途。
• 每个 Key 绑定可访问的部门/项目组范围，并可限制业务类型。
• 配置配额：日/月调用量上限、QPS 限流。
• 可设有效期，支持随时停用/启用。
• Key 加密存储，仅在签发时展示一次完整值。
• 支持 Key 轮换，旧 Key 设过渡期后失效。

12.5 安全与限流

• 认证：请求头携带 Authorization: Bearer <api_key>。
• 范围强制限定：scope_id 须在 Key 授权范围内。
• 强制 HTTPS，返回内容中的敏感信息自动脱敏。
• 调用限流（429），可选 IP 白名单。

12.6 调用统计与审计

• 按 Key、按系统统计调用量、成功率、响应时间、token 消耗。
• 记录每次调用的详细日志，便于追溯和异常告警。
• 对外接口日志与内部问答日志分开存储。

十三、模块十：系统运营后台

13.1 用量统计

• 多维度统计（部门、项目组、个人空间、模型、对外接口）。
• 统计包括文档量、存储量、问答/问数/多模态次数、token消耗、成本分布、调用趋势等。
• 支持按日/周/月统计。

13.2 审计日志

• 记录所有关键操作，覆盖上传、删除、审核、问答、问数、多模态、数据源变更、模型变更、项目组变更、权限变更、部门变更、对外接口调用、API Key 管理等。
• 操作日志按部门/项目组隔离，仅超管可全量查看，支持组合条件检索与导出。
• 异常告警：批量删除、非工作时间大量操作、异常导出等行为自动触发告警。

13.3 系统监控

• 监控文件解析队列、各模型 API 调用情况、向量检索响应时间、问数 SQL 执行情况、多模态处理队列、项目组活跃度、个人空间使用率等。

13.4 数据备份与恢复

• 知识库、向量库、对话历史等均需支持定期备份与灾难恢复。
• 文档删除后进入回收站，保留 N 天可恢复，超期后物理清除。
• 定期验证备份可用性。

13.5 合规与数据保留策略

数据类型	保留策略
审计日志	至少保留1年（可配）
对话记录	保留6个月（可配），超期归档
个人空间	用户离职后保留30天清理
待审核知识	驳回后保留90天，未处理超90天归档
项目组知识	解散后按策略处置

13.6 数据导出管控

管控项	规则
导出审计	所有导出操作记录审计
批量审批	单次超500条需超管审批，超2000条双重确认
水印	导出文件含“导出人 + 时间 + 部门”水印
范围与频率限制	按权限导出，单用户每日次数有限制

13.7 并发控制

场景	机制
文档版本更新	乐观锁，冲突提醒
审核操作	行锁，避免重复审核
向量入库	按 doc_id 串行化
API Key 调用	QPS/日/月配额限制

13.8 会话管理

• 允许多设备登录，可视在线设备。
• 默认8小时无操作登出（可配），支持强制下线。
• Access/Refresh Token 机制。
• 可选异常登录告警。

13.9 移动端安全策略

• 当前以 Web 端为主，移动端纳入后续规划。上线时需满足截屏控制、本地缓存清理、设备绑定、不提供文档下载等安全要求。

十四、知识处理流程规划

系统存在两条并行处理链路：文档知识链路与数据问数链路。文档链路同时服务于部门、项目组和个人空间，通过 scope 标签区分。

14.1 文档知识链路

知识录入（文件/文字）
   │
   ▼
审核检查（根据开关）
   ├─ 关闭 → 直接进入下一步
   └─ 开启 → 待审核（通过/驳回）
   │
   ▼
内容提取（按文件类型提取文本、表格、OCR等）
   │
   ▼
内容分块（按语义/行/页分块）
   │
   ▼
向量化与入库（携带 scope + dept_path/project_id/user_id + business_type 标签）
   │
   ▼
可被检索问答（按 scope + 层级 + 业务类型过滤）

14.2 数据问数链路

接入数据源 → 自动解析表结构（Schema 画像） → 补充业务语义（人工标注） → 可被自然语言查询

用户提问后，系统根据加载的 Schema 画像，完成 生成 SQL → 安全校验 → 执行 → 结果转自然语言的全过程。

14.3 检索问答流程（含意图路由与多模态）

1. 意图识别：判断走文档问答还是数据库问数（支持用户手动切换）。
2. 确定检索范围（scope 过滤）：由身份推导，按 dept、project、personal 或 mixed 范围过滤。
3. 处理多模态附件：根据模型能力选择直接发给多模态模型，或提取文本作为上下文，并处理个人空间暂存。
4. 混合检索：在确定的范围内，进行语义检索和关键词检索，融合排序。
5. 精排（可选）：对候选片段二次排序。
6. 调用大模型生成回答：组装检索结果、附件内容和用户问题，调用已授权模型。
7. 返回带来源引用的回答。

十五、权限隔离规划（核心）

15.1 存储模型：单向量库 + scope 标签 + 层级继承

• 统一存储：所有知识向量存入同一个向量数据库集合。
• scope 标签：每条向量携带 scope (dept / project / personal) + 对应ID + 部门层级路径 dept_path。
• 三维度隔离：通过标签和路径前缀进行精确或前缀过滤。

15.2 部门层级路径设计

示例：

集团（path: /集团）
  ├─ 技术中心（path: /集团/技术中心）
  │    ├─ 研发部（path: /集团/技术中心/研发部）
  │    └─ 测试部（path: /集团/技术中心/测试部）
  └─ 市场部（path: /集团/市场部）

15.3 知识可见性矩阵

用户身份	可见知识范围	过滤条件（伪表达）
研发部成员张三	本部门 + 所属项目组 + 个人空间	dept_path=研发部 ∪ project_id ∈ 张三项目组 ∪ user_id=U001
技术中心负责人	技术中心 + 子部门 + 所属项目组	dept_path 前缀匹配 /集团/技术中心 ∪ ...
集团负责人	全部部门知识 + 项目组 + 个人空间	dept_path 前缀匹配 /集团 ∪ ...

核心规则：部门知识按层级继承，项目组知识按成员身份精确匹配，个人空间仅本人可见，三者正交独立。

15.4 模型��用权限

权限维度	规则
模型配置	仅超管
部门模型授权	超管授权，按层级继承
项目组模型	使用管理员所在部门授权
个人空间模型	使用用户本人部门授权
多模态模型	单独授权
模型密钥安全	仅服务端存储与调用

15.5 隔离维度总表

系统从知识存储、层级继承、项目组/个人空间隔离、数据源、问数权限、对话历史、审计日志、文档向量、并发控制、会话管理、数据导出、对外接口等多个维度，进行了全面细致的隔离与安全设计。

15.6 安全保障措施

1. 后端强制推导：过滤条件由后端从登录态计算，不信任前端传参。
2. 模型授权校验：每次调用前校验。
3. 标签完整性：入库时强制写入标签，无标签拒绝入库。
4. 路径变更同步：部门调整时批量更新 dept_path。
5. 项目组与个人空间清理：遵循既定策略，确保不残留无主数据。
6. 审计可追溯：记录每次检索的 scope、ID 和使用的模型。
7. 测试验证：变更后自动化测试验证权限边界。
8. 级联删除保障：删除文档时级联清除所有关联数据，删除后执行完整性校验，并定期扫描孤儿向量。

十六、角色功能视图

16.1 超级管理员

全局最高权限，管配置，不直接编辑知识库内容。能力涵盖部门与用户管理、模型配置与授权、数据源查看、项目组查看、业务类型管理、对外接口管理、全局监控与运维、审计日志查看导出，以及通过“模拟用户”体验问答等。

16.2 部门管理员

部门知识库的管理者，管理本及下级部门的知识。能力包括知识上传与审核、文档管理与权限设置、数据源接入与Schema标注、运维体检、成员管理等。

16.3 部门成员

日常使用者，负责贡献与消费知识。可提交知识、查看审核状态；进行知识问答、问数、多模态对话；管理个人空间、对话历史和收藏；参与项目组协作。

16.4 项目组管理员

跨部门项目组的管理者，管理项目全生命周期。可管理成员与知识库、审核项目组知识、引用/授权部门知识、管理项目组生命周期（含解散处置）等。

16.5 项目组成员

被抽调的协作成员，在项目组范围内提交知识、参与问答，其权限为“部门成员”职能在项目组维度的增量。

各角色的功能权限在详细的对照总表中一目了然，规划清晰。

十七、知识内容治理规划

为确保长期运营，内容治理相关规划包括：

• 去重、时效与版本管理。

• 失效下线与文档活跃度治理（>180天低质文档下线）。

• 向量膨胀全局治理：覆盖部门、项目组和个人空间。

• 质量反馈闭环：定期复盘 👎 反馈，定位是检索问题还是答案问题。

• 意图识别优化闭环：利用用户手动切换链路的反馈优化意图识别模型。

• Schema 与语义标注治理：同步数据库结构变更，持续推进字段语义标注覆盖率。

• 问数错误闭环：记录 Bad Case 补充进示例库。

• 项目组与授权生命周期治理：监控不活跃项目组和即将到期的授权。

• 模型成本与状态治理：监控成本并实时通知状态变更。

• scope 标签一致性校验。

• 审核积压与效率治理。

• 孤儿向量与数据导出管控治理。

• 审计日志异常告警。

• • *

总结：内容规划的十二大支柱

1. 组织权限层——部门树、项目组、个人空间，层级化隔离是底线。
2. 知识入库层——多格式文件解析、文字录入，分类标签与业务类型。
3. 检索问答层——混合检索、scope 过滤、多模态、拒答与引导。
4. 数据问数层——NL2SQL、安全校验、异常兜底。
5. 项目组协作层——跨部门临时空间、部门知识授权引用。
6. 大模型管理层——多模型配置、部门授权与继承、成本治理。
7. 用户个人空间层——个人知识沉淀、向量膨胀控制。
8. 运维治理层——概览仪表盘、知识体检、质量闭环。
9. 通知中心层——审核、授权、解析失败等统一收口。
10. 运营审计层——用量统计、审计日志、系统监控。
11. 数据安全与合规层——备份恢复、回收站、数据保留与导出管控。
12. 开放接口层——只读 API、Key 授权与限流、版本管理。

十二层有机结合，共同构成一个可长期运营、部门自治、跨部门协同、多模态智能、层级有序、安全合规、能力开放的多部门知识库与问数系统。

访问 云栈社区 与更多开发者交流技术方案和架构设计。