使用 AI 辅助交换机运维
AI 辅助完成一次受控变更和故障复盘
本课问题：怎样让 AI 参与变更又不替代人工责任？ 学完你能：人工核验并修订 AI 候选计划，在实验执行、验收、回滚演练后完成签字复盘。
前置知识
- 隐私与安全：什么信息不能发给公共 AI
课堂开场
本课问题：怎样让 AI 参与变更又不替代人工责任？
学完结果：人工核验并修订 AI 候选计划，在实验执行、验收、回滚演练后完成签字复盘。
预计时间：40 分钟。前置课：隐私与安全：什么信息不能发给公共 AI。
范围控制：本课禁止 AI 直接连接生产设备或自动执行任何命令。
02基础知识讲解
团队用 AI 起草新增访客 VLAN 与限制内部访问的方案，但最终核验、审批、实验执行和责任签字必须由人员完成。
本课最小拓扑或状态图：Guest PC—Access1 VLAN30—Core1 ACL3000—DNS/Internet；AI 仅离线生成候选，无设备凭证与连接。
直觉解释：AI 可以写初稿，人工必须逐条证明、修改和决定；执行权、停止权、验收和责任不能转交。
正式定义：AI 辅助受控变更由 AI 生成候选计划，人工完成版本核验、风险评审、实验、审批、执行、验收、回滚演练与复盘签字。
判断依据：复盘记录 AI 建议、人工修改、实际结果和责任人。
| 重点 | 你要理解 | 判断依据 |
|---|---|---|
| 重点 1 | AI 生成候选，学员负责核验、审批和最终决定。 | 人工纠正 AI 遗漏的 DNS 允许规则，在实验验证正反例和 VLAN20 回滚后，由变更负责人批准。 |
| 重点 2 | 执行前必须备份、设维护窗口和停止条件。 | 事实：终端口无标记、上联带标签，证明当前二层成员关系；未知是生产拓扑是否相同。 |
| 重点 3 | 复盘记录 AI 建议、人工修改、实际结果和责任人。 | 确认 AI 没有设备连接、生产凭证或自动执行能力。 |
03正确理解与常见误解
正确示例：人工纠正 AI 遗漏的 DNS 允许规则，在实验验证正反例和 VLAN20 回滚后，由变更负责人批准。
错误示例：把生产账号交给 AI 代理自动登录执行，失败后以“AI 建议”替代责任人和审批记录。
- 术语与判断：AI 生成候选，学员负责核验、审批和最终决定。
- 术语与判断：执行前必须备份、设维护窗口和停止条件。
- 术语与判断：复盘记录 AI 建议、人工修改、实际结果和责任人。
04老师演示
演示环境：设备 SW1，华为 S5735-L24T4X-A，VRP V200R022C00SPC500，当前提示符 <SW1>，隔离课程网络。教师准备执行前检、配置和验证序列：
安全说明：命令来自“创建与命名 VLAN”华为实现，用于华为在系统视图创建 VLAN，并在 VLAN 视图使用 description 记录业务含义。 执行前已确认当前设备、版本、视图、影响对象、停止条件和输出脱敏范围。
脱敏真实输出：
<SW1>display vlan 10 <SW-LAB> display vlan 30 VLAN30 active; GE1/0/10 untagged; uplink tagged ACL3000: DNS permit +1, internal deny +3, unexpected drops 0
异常输出：
AI plan omitted DHCP/DNS dependencies Human decision: REJECT until validation and rollback are complete 差异说明：AI 计划遗漏依赖是事实，因此人类拒绝执行是正确控制；下一步由责任人补齐依赖、测试、停止条件和回滚，并在受控实验复核后再决定。 此时不能套用正常结论；先保存采集时间，再执行“创建基础 IPv4 ACL”对应的最小只读检查。
05逐行读懂输出
结论：当前输出可以支持“人工核验并修订 AI 候选计划，在实验执行、验收、回滚演练后完成签字复盘。”中的基础判断，但仍要完成跟做任务和业务验收，不能把单份输出当作全部证明。
- 第 1 行“<SW-LAB> display vlan 30”：事实：这是实验设备上 VLAN30 的只读前检。
- 第 2 行“VLAN30 active; GE1/0/10 untagged; uplink tagged”：事实：终端口无标记、上联带标签，证明当前二层成员关系；未知是生产拓扑是否相同。
- 第 3 行“ACL3000: DNS permit +1, internal deny +3, unexpected drops 0”：事实：ACL 允许 DNS、拒绝内部网且无意外丢包，证明实验正反例通过；责任人仍需评审 DHCP/DNS 依赖和回滚。
06学员跟做
起始状态：使用隔离课程环境，SW1 当前配置保持阶段基线，学员已登录但尚未执行本课检查。目标状态：人工核验并修订 AI 候选计划，在实验执行、验收、回滚演练后完成签字复盘。
操作步骤：①用脱敏上下文让 AI 输出方案、假设、风险和回滚候选；②人工按版本资料和命令库逐条修订并完成审批；③在隔离环境执行允许、拒绝、停止条件和完整回滚；④提交 AI 原建议、人工修改、实际结果、责任人与签字复盘；⑤进入“阶段考核：AI 辅助受控变更”独立完成相同目标。
成功标准：输出与规划一致，立即闯关全部目标通过，并能用自己的话说明三个重点。失败检查顺序：①确认 AI 没有设备连接、生产凭证或自动执行能力；②检查备份、窗口、停止条件和回滚是否在执行前验证；③核对复盘明确记录人工最终决定与责任人。
- 保存教师演示命令和本次学员输出，文件名含设备、日期和课次。
- 步骤标题只提示检查对象，不复制最终答案。
- 失败时一次只验证一个假设，不连续粘贴未知命令。
07安全、验证与回滚
本课包含配置。
- 前检
- 核对 SW1、目标接口/对象、当前配置、业务基线和带外路径。
- 风险
- 误选对象会中断业务或管理连接。
- 停止条件
- 管理连接中断、合法业务失败、错误计数持续上升或输出偏离预期。
- 回滚方法
- 只撤销本课变更，按“先由人工停止执行并保留 AI 建议与实际差异 → 撤销 ACL 应用后删除本课 ACL → 撤销本课接入口与 VLAN 配置 → 按变更前基线完成正反例和管理通道复测”恢复前检保存的值，再重复相同验证；验证通过后才考虑保存配置。
- 密码、Token、私钥、SNMP 团体字、完整配置和未脱敏日志不得发送给公共 AI；
- AI 不得连接生产设备或自动执行命令；
- 用途、影响范围或回滚无法解释的命令不得执行；
- “适用于所有版本”的说法不能替代型号与版本核验；
- AI 输出不能替代审批、备份、维护窗口和人工责任；
- 删除配置、重启、清表、重置协议或升级镜像必须停止并人工复核；
- 不确定时必须明确写出“不确定”和所需证据，禁止编造命令或输出。
验证必须同时回答：配置或输入是否正确、设备状态是否符合预期、真实任务“人工核验并修订 AI 候选计划，在实验执行、验收、回滚演练后完成签字复盘。”是否完成。
08本课关联资源
按顺序完成：先看命令 → 立即闯关 → 可选加练 → 案例步骤 → 返回本页复盘。
- 必学命令：创建与命名 VLAN打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：创建基础 IPv4 ACL打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：采集变更前后状态基线打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 必学命令：使用基线配置受控回退打开资源 →目标：核对本课涉及的华为主线命令及四厂商差异｜完成标准：能解释用途、视图、版本范围、验证和回滚。
- 立即闯关：阶段考核：AI 辅助受控变更打开资源 →目标：独立完成“人工核验并修订 AI 候选计划，在实验执行、验收、回滚演练后完成签字复盘。”对应的最小任务｜完成标准：规则引擎全部目标通过并保存关键输出。
- 加练闯关：限时：访客 ACL 误伤 DNS打开资源 →目标：在另一厂商或异常状态重复本课能力｜完成标准：不看最终答案完成并写出证据顺序。
- 关联案例：访客网互联网单向访问控制打开资源 →目标：在“访客网仅允许互联网访问”案例中，让 AI 只生成候选访问矩阵和变更计划；人工补齐 DHCP/DNS、核验 Huawei V200R022 命令，在实验完成允许/拒绝与回滚，并提交责任人签字。｜完成标准：提交该任务的输入、输出、判断和回滚记录。
09自测一：概念判断
先判断对错，再写出为什么。
- 判断 1：以下做法是正确的——把生产账号交给 AI 代理自动登录执行，失败后以“AI 建议”替代责任人和审批记录。
- 判断 2：以下做法是正确的——人工纠正 AI 遗漏的 DNS 允许规则，在实验验证正反例和 VLAN20 回滚后，由变更负责人批准。
10自测二：输出解读
重新阅读老师演示的第 2 行输出：它能直接证明什么？还不能证明“人工核验并修订 AI 候选计划，在实验执行、验收、回滚演练后完成签字复盘。”中的哪一部分？请写出下一条最小验证证据。
11自测三：小型操作
在隔离环境或纸面拓扑中完成：人工核验并修订 AI 候选计划，在实验执行、验收、回滚演练后完成签字复盘。 保存关键输出，按“现象—证据—结论—下一步”写四行记录；不得复制本页最终结论。
答案与复盘
13下一课
全部课程完成。请在人工审核下复核 AI 辅助变更记录、实验结果和责任签字，不把 AI 输出当作最终事实。