2012 年 8 月 1 日开盘，美国做市商骑士资本上线了一版新的交易软件。45 分钟后，公司亏掉了约 4.4 亿美元——接近它前一年全年利润的四倍，差点直接关门。事后 SEC 的调查结论很直白：新代码没有均匀部署到所有生产服务器，一台漏网的服务器触发了沉睡的老逻辑，系统开始疯狂下错单，而现场没有人能及时叫停。
注意，这不是模型不行，是上线方式不行。新东西直接进生产，没有并行比对，没有一键回滚，赌的就是"一次成功"。
仓库里上 AI，赌的是同一件事。视觉拣选、波次优化、补货建议、异常预警——任何一个模块直接接管现场，错一次都是真金白银：发错货、发错区、整条产线停摆。我干仓储 20 年，看过太多系统上线翻车，WMS 换版、自动化设备联调，翻车的姿势都差不多。所以今天这篇只讲一件事：AI 进仓，别一刀切，先让它当 30 天"影子"。
影子模式：让 AI 先当 30 天"影子"
影子模式这个词不是我发明的。2019 年 4 月特斯拉 Autonomy Day 上，特斯拉公开讲过他们的做法：新版自动驾驶软件先在车上以"影子模式"运行——静默运行，不触碰任何车辆控制，只记录"如果是我，我会怎么开"，再跟人类司机的实际操作逐条比对。特斯拉后来给加州车管局的信里也写明白了：影子模式下的功能在后台静默运行，不触发任何车辆控制，先在真实路况下验证表现，确认没问题才向用户推送。
搬到仓库里，逻辑一模一样：AI 跑它的，人工干人工的，AI 的输出只记录、不执行。比如上"AI 补货建议"：影子模式下，AI 每天照常生成建议单，但单子不下发，拣货员照原来的流程干活；每天下班前，系统把 AI 的建议和老师傅的实际操作逐条比对，记下"一致 / 不一致 / AI 离谱"三类。
这里有个关键区别，很多人搞混：影子模式不是"小范围试用"。试用是拿一小块业务真刀真枪干，错了真赔钱；影子模式是全量业务、零风险比对，错了只记一笔，不影响第二天出货。这 30 天买的是证据，不是信心。厂商跟你吹 99.9% 准确率，你让他拿这 30 天的比对记录说话，拿不出来就别谈上线。
并行期别看热闹，看这三组数
30 天跑完，你手里应该有三组数。我的清单只看这三组，多了都是噪音。
第一组：准确率。AI 的判断和人工最终执行的一致率。我的线是连续两周一致率不低于 99%。注意，是"连续两周"，不是 30 天平均——平均数会藏头藏尾。前两周 95%、后两周 100%，平均下来 97.5% 看着还行，但前两周的问题去哪了？最后两周连续达标，才说明模型是真稳定了，不是蒙的。另外一致率要分场景记：常规 SKU 和异形件、冷藏品得分开统计，混在一起算，短板永远被平均掉。
第二组：时效。AI 从拿到数据到给出输出的延迟。我的线：P95 延迟不超过人工做同样决策耗时的三分之一。AI 比人慢，上线就没有意义，现场等不起。但这条只能在影子期测准，因为真上线之后，延迟直接变成产线的等待时间，到时候再发现就晚了。测的时候记得用生产环境的真实数据量压，别拿测试库那几千条糊弄。
第三组：异常率。AI 输出"离谱结果"的比例。什么叫离谱？建议把冷藏品放到常温区、给已经停产的 SKU 下补货建议、把同一个订单拆到三个波次里——这种错，老师傅永远不会犯。我的线：30 天里一次都不行。准确率可以谈，离谱不行。出过一次离谱，说明模型对业务边界没有概念，这种 AI 今天不出事，明天出。
上线还是叫停：切换前夜的会怎么开
30 天数据齐了，开个会。参会人固定四方：仓库运营负责人、IT、AI 厂商，再加一个你信得过的第三方——可以是外部顾问，也可以是内部真正懂业务的老员工。会议只干一件事：对照三组数，投票放行还是叫停。
放行的标准：三组数全部过线，且最后两周连续稳定，异常清单清零。叫停的标准：任何一组不过线，或者出现过一次"离谱"异常。没有中间选项，没有"再观察观察"——想再观察就等于回到第 31 天的影子模式，数据说话，不行就延长并行期，不延长就下线，没有"带病上线"这个选项。
还有一条很多人漏掉：切换必须灰度切。先切一条产线、一个班次，跑一周没问题再全切。骑士资本的教训反过来读就是：如果他们先在一台服务器上跑新代码，45 分钟的灾难根本不会发生。仓库也一样，先让 AI 在一个班次"转正"，老师傅在旁边盯一周，比开十个评审会都管用。灰度期间每天晨会只看一个数：昨天 AI 接管的那部分，出错了几单。
万一翻车：回滚预案提前写好
回滚预案不是出事了再写，是切换前就写好、演练过。我的清单里，回滚预案就三条，少一条都不行。
第一，一键回滚开关。WMS 里 AI 模块的启用和停用必须是配置项，点一下就关，不能走代码发布。关掉 AI，系统 5 分钟内回到纯人工流程——这个要真演练过，不是文档里写一行字。骑士资本那 45 分钟，从发现异常到手动关停系统，拖了整整 45 分钟。仓库里 45 分钟，够把一个班次的货发错区，够让第二天的承运商排队等货。
第二，数据断点。AI 上线期间产生的数据要打标：AI 调整过的库位建议、AI 合过的波次、AI 改过的补货点，回滚时能一键剔除，不污染人工流程的历史数据。不然回滚之后，系统里混着 AI 留下的"遗产"，下次盘点对账能对到哭。打标规则要在影子期就定好，别等切换了再补。
第三，责任人。回滚谁说了算？我的规矩：现场运营负责人有一票否决权和一键回滚权，不用请示 IT，不用等厂商到场。真出事的时候，每一分钟都是钱，等流程走完，货已经发出去了。这个授权要写进项目文档，开工第一天就定下来，而不是出事那天现商量。
亚马逊的 Sparrow 机械臂 2022 年 11 月发布之后，没有直接铺开，而是先在得州圣马科斯的履约中心试点，试点期间缺陷率降了 65% 才扩大部署。亚马逊这种体量都先试点、拿数据说话，咱们更没理由一刀切。
如果你现在正在谈 AI 项目，合同里加一条：付款里程碑跟影子模式验收挂钩，验收不过，尾款不付。厂商敢签，说明他对自己的模型有信心；不敢签，你正好省了一笔学费。30 天的影子模式，买的是你晚上睡得着觉。
