Xây Deployment và Rollback Plan #27

Nội dung này phục vụ mục đích giáo dục, không phải hướng dẫn deploy, rollback, cấu hình hay vận hành hệ thống giao dịch.

Trả lời ngắn: Deployment và Rollback Plan trong bài là tờ kế hoạch học tập ghi điểm cần đọc và điểm cần dừng trước một ý mock. Nó không deploy, không rollback, không là runbook, không thay đổi cấu hình, không cấp quyền và không chỉ dẫn thực hiện hành động nào.

Đọc xong, bạn sẽ hiểu:

• Vì sao một plan ghi trigger/stop không phải command hoặc hành động thật.
• Cách đọc Plan Card D-27 mà không gọi state là approval.
• Cách dùng ba card mock để giữ trigger thiếu, điểm dừng và role riêng.

1. Plan card đặt điểm dừng, không deploy hay rollback

Khi thấy chữ deployment hay rollback, người mới thường nghĩ ngay tới một nút bấm, một môi trường và một chuỗi thao tác. Bài này không có những thứ đó. Deployment Plan ở đây chỉ là một tờ mô tả chuẩn bị: nó giúp người học viết “đang nhìn vào việc gì”, “điều gì khiến mình dừng” và “ai cần đọc tiếp”. Tờ giấy không làm sự việc xảy ra.

Ta gọi record mock là Plan Card D-27. Sáu ô là Purpose, Scope, Trigger, Stop, Boundary và Review State. Card giữ các từ dễ gây hiểu nhầm ở ngoài sáng. Nó không có environment, credential, config, service, code, platform hay thao tác nào. Dù một ô ghi TRIGGER, card vẫn không có command để gọi; dù một ô ghi STOP, card vẫn chưa rollback một thay đổi thật.

Ví dụ quầy thư viện: tờ nhắc có thể ghi “nếu thấy hai nhãn ở cùng kệ thì dừng và hỏi cô trực quầy”. Tờ nhắc không đổi nhãn, không mở kho và không quay lại cách xếp kệ cũ. Nó chỉ làm một điểm dừng hiện rõ trước khi ai đó tưởng mình có đủ quyền để làm tiếp.

Hình 1 — D-27 đặt Trigger cạnh Stop và Boundary; footer PLAN ≠ DEPLOY nhắc giấy ghi không phải hành động thật.

2. Sáu field nói về chuẩn bị, không nói về action

Purpose là câu hỏi của card. “Nếu nhãn kệ khác nhau thì cần đọc điều gì?” là Purpose. Scope khoanh phần mock đang nói tới, ví dụ một kệ sách. Purpose và Scope không biến câu hỏi thành nhiệm vụ phải thực hiện.

Trigger là điều kiện được ghi để đọc tiếp. “Thấy hai nhãn” là Trigger trong ví dụ. Nó không phải command, tức câu lệnh làm một việc xảy ra. Giữ hai từ này riêng là rất quan trọng: điều kiện xuất hiện không tự tạo thao tác.

Stop là điểm card không được đi tiếp. Stop có thể viết “dừng để hỏi role phù hợp”. Nó không phải rollback, nghĩa là việc đảo một thay đổi thật. Trong D-27 không có thay đổi thật nào để đảo; Stop chỉ bảo vệ bài tập khỏi việc tưởng tượng ra một bước tiếp theo.

Boundary nói rõ card không deploy, không rollback, không sửa config và không kết luận. Review State là READ — STOP CLEAR, HOLD — TRIGGER MISSING hoặc HANDOFF — ROLE REQUIRED. State ghi reason cho lượt đọc sau, không phải approval.

Điểm dừng cũng không phải dấu hiệu có một sự cố thật ở phía sau. Trong bài tập, Stop đơn giản là hàng rào đọc: nó nhắc người học đừng bịa thêm bước khi record không mang đủ context. Ví dụ “dừng để hỏi cô trực quầy” không nói quầy thư viện đang hỏng, cũng không buộc cô phải đổi kệ. Nó chỉ xác định người đang cầm card đã chạm giới hạn của mình. Nếu bỏ Stop, người mới dễ nối Trigger với một hành động tưởng tượng và quên mất Scope, Boundary hoặc role chưa hề cho phép điều đó. Giữ Stop trên giấy giúp câu “chưa đi tiếp” rõ ràng hơn câu “có lẽ làm được”. Nó còn cho người đọc sau biết phần nào cần làm rõ trước khi context thực được đem vào thảo luận với role phù hợp.

NIST AI RMF Playbook nêu documentation, roles, review và change-management trong bối cảnh quản trị. Bài chỉ mượn bối cảnh để giải thích vì sao điểm dừng và role nên được nói rõ; NIST không cung cấp D-27 và không phải hướng dẫn deploy hoặc rollback. NIST AI RMF Playbook — Govern

3. Ba D-27 mock cards: read, hold trigger và handoff role

D-A hỏi về hai nhãn ở kệ mock. Trigger đã được ghi là “thấy hai nhãn”, Stop là “dừng để đọc”, Boundary cấm đổi nhãn. State là READ — STOP CLEAR. Read nói card có thể được đọc vì điểm dừng rõ, không nói bất cứ thay đổi nào được phép xảy ra.

D-B hỏi về chuông lớp buổi sáng nhưng Trigger là MISSING. Có thể người viết nhớ đã nghe chuông, nhưng chưa ghi điều kiện nào card đang chờ. State là HOLD — TRIGGER MISSING. Hold không phải một lỗi kỹ thuật; nó là sự trung thực với field còn trống.

D-C hỏi về thẻ mượn ở quầy trả. Trigger và Stop đã có, nhưng điều tiếp theo cần người có role phù hợp xem. State là HANDOFF — ROLE REQUIRED. Handoff chuyển record và reason, không chuyển authority, credential hay quyền thao tác.

Hình 2 — D-A/D-B/D-C dừng ở reason riêng; state không phải lệnh, approval hay hành động.

Nhìn ba card cùng lúc giúp người học thấy “dừng” không luôn giống nhau. D-A dừng vì Stop rõ. D-B dừng vì Trigger thiếu. D-C dừng vì role còn ở ngoài bài tập. Không card nào cần được “chạy” để phần này có ích.

4. Bốn nhầm lẫn biến kế hoạch giấy thành runbook

Nhầm lẫn đầu tiên là biến Trigger thành command. “Hai nhãn xuất hiện” chỉ là điều kiện được ghi; nó không ra lệnh đổi nhãn. Nhầm lẫn thứ hai là gọi Stop là đã rollback. Stop chỉ là điểm không đi tiếp, còn rollback là hành động thật ở một context khác.

Nhầm lẫn thứ ba là gọi một Plan Card là permission. Card nói được “không thay đổi gì”, không nói được “đã được thay đổi”. Nhầm lẫn thứ tư là để người đọc tự thành approver. Approval là quyết định của role phù hợp ngoài card, không phải phần thưởng vì một bảng được điền đủ.

NIST SP 800-218 nói về các thực hành được ghi chép trong phát triển phần mềm an toàn. Đây chỉ là bối cảnh cho việc làm rõ process; bài không hướng dẫn code, config, service, runbook hay tool instruction. NIST SP 800-218 SSDF

Vì vậy D-27 không là deployment procedure, recovery instruction, rollback guide, test plan hay release approval. Nếu một câu hỏi cần environment, credential, config, service, code hoặc tiền thật, card phải dừng.

5. Checklist: ghi trigger, nêu stop, rồi handoff

1. Viết Purpose như câu hỏi học tập, không đặt sẵn một hành động.
2. Khoanh Scope để card không nói hộ phần ngoài khung.
3. Gắn nhãn Trigger là điều kiện để đọc, không gọi nó là command.
4. Viết Stop trước khi người đọc tưởng có bước kế tiếp.
5. Ghi Boundary: không deploy, rollback, sửa hay kết luận.
6. Chọn READ, HOLD hoặc HANDOFF cùng reason cụ thể.
7. Nếu cần environment, role có quyền, credential, config, service, code hoặc tiền thật, dừng bài tập và handoff record/reason.

Checklist này không làm plan “sẵn sàng chạy”. Nó làm người học thấy đúng lý do tại sao plan vẫn phải ở trên giấy.

6. Practice Bridge 15 phút: Plan Card trên giấy hoặc Sheets

Dùng giấy, Google Sheets hoặc LibreOffice Calc. Không dùng terminal, code, account, broker, API, nền tảng, giá, chart, lệnh hay tiền thật. Năm phút đầu kẻ Card, Purpose/Scope, Trigger/Stop, Boundary/State. Năm phút tiếp chép ba hàng. Năm phút cuối, đọc mỗi Stop cho một người khác và nói reason.

Mẫu đối chiếu đã điền

Hoàn thành khi bạn nêu được trigger nào thiếu ở D-B và role nào còn thiếu ở D-C. Không thử deploy, rollback hoặc thay đổi bất cứ thứ gì bên ngoài bài học.

Hình 3 — Worksheet giữ Trigger và Stop cạnh nhau để một kế hoạch mock không bị đọc thành runbook.

7. Tổng kết: plan tốt biết rõ chỗ dừng

D-27 dạy một thói quen đơn giản: ghi điểm dừng trước khi nghĩ tới bước tiếp. Bài trước, Xây Validation Report #26, đã tách evidence/limit khỏi kết luận; bài sau, Xây Risk Limits và Escalation Matrix #28, sẽ dùng matrix mock để tách nhãn limit khỏi quyền hành động.

Năm ý chính

• Deployment Plan trong bài là tờ mô tả học tập, không phải deploy hay rollback.
• Trigger là điều kiện để đọc, không phải command.
• Stop là điểm phải dừng, không phải rollback đã xảy ra.
• Boundary chặn card suy ra permission, action hoặc outcome.
• Review State ghi reason cho lượt đọc/handoff, không thay approval.

Câu hỏi tự kiểm tra

• Trigger khác command như thế nào?
• Stop có phải rollback không?
• Vì sao plan không tự tạo permission?
• Handoff không chuyển điều gì?

Gợi ý đáp án

Trigger có làm hành động xảy ra không?

Không. Trigger chỉ là điều kiện được viết ra để đọc card; nó không phải command. → Xem lại mục 2 và mục 4.

Stop khác rollback ở đâu?

Stop là điểm không đi tiếp trong record; rollback là hành động thật không có trong D-27. → Xem lại mục 2 và mục 3.

Vì sao một plan không là permission?

Plan chỉ mô tả câu hỏi, trigger và stop; quyền quyết định vẫn thuộc role phù hợp bên ngoài card. → Xem lại mục 4 và mục 5.

Handoff không trao điều gì?

Handoff chuyển record/reason, nhưng không trao authority, credential, approval hay action. → Xem lại mục 3 và mục 5.

Thuật ngữ cần nhớ

Nguồn tham khảo

• NIST AI RMF Playbook — Govern
• NIST SP 800-218, Secure Software Development Framework

Bài viết chỉ phục vụ giáo dục. Plan Card D-27 là ví dụ mock để học cách ghi trigger, stop và boundary; nó không là runbook, hướng dẫn triển khai/rollback hay chỉ dẫn dùng tiền thật.