隔离网络中的客户要求通过离线介质更新模型、提示配置和知识索引，同时必须能够验证来源并快速回退。你会怎样设计更新流程？
考察说明
考查离线供应链、版本治理和可回滚交付能力。
回答思路
- 把模型权重、运行时、提示配置、工具定义和知识索引拆成独立且可追踪的制品，明确每类制品的来源、依赖、兼容范围与版本。
- 交付包使用客户认可的签名与校验机制，并附带组件清单、变更说明和安全扫描结果；导入端拒绝来源不明或校验失败的介质。
- 更新先进入与生产隔离的验证环境，运行代表性回归、权限、安全、性能和数据迁移检查，不能在生产节点上边安装边试错。
- 为索引重建和配置迁移设计双版本并存或原子切换，保留旧制品与数据快照，确保失败时能够恢复完整链路而不只是回退模型。
- 生产切换记录批准人、制品摘要、执行步骤和验证结果，并在观察窗口内检查任务成功、延迟、资源和高风险错误。
- 与客户约定更新频率、紧急安全补丁、介质保管和长期支持责任；如果环境无法验证或回退，就缩小变更而不是强行升级。