照片归档整理 SOP

1. 模式判定（开工第一步，必做）

先判断走哪条路，再进入流程。术语见 references/terminology.md。

判定问题：「这些照片是都要保留，还是只要好看的？」——前者走 A，后者走 B。
判定不清时直接问用户，不要假设。

两套模式共用第 3 章的 P0–P2、P8，以及第 7–10 章全部。

1.1　模式串联（B → A）

两种模式可以先后作用于同一批照片：先用 B 从散乱照片中精选出 YYYYMM-事件名（AI整理），再用 A 把这些结果合并进更大的共享相册大区（如 家人照片/）。串联时遵守四条规则：

命名过渡（规则 1 + 2 + 3 的合成结果）：

B 产出：  201809-动物园孔雀（AI整理）
            ↓ 进入 A，日期已识别、语义已明确、来源已知
A 结果：  201809-动物园孔雀（AI整理）      ← 保持不变
            ✗ 不得变成 201809-动物园孔雀-成员B

需要在 A 阶段附加来源时（如确有 成员A/成员B 之分），先问用户；用户确认后才追加，且对带 （AI整理） 的目录一律跳过。

2. 四区模型

关键：归档区与隔离区可以存在同名文件夹（混合事件部分剔除时）。判定去留必须按文件 md5，不能按文件夹名。

3. SOP 主流程

按顺序执行，标注 [自动] 的可直接跑，标注 [需确认] 的必须先取得用户同意。

模式 B 在 P7 之后通常还要走第 4 章的语义清理循环，多轮迭代。

模式 A 附加流程（脚本 ↔ 步骤映射）

模式 A 在共用 P0–P2、P8 之外，走这条独立的迁移链路：

模式 B 不使用 migrate.py 系列，改用下一节的 6 个脚本。

3.1　最小可行路径（首次使用先跑这条）

不必一次启用全部能力。首次使用或照片量不大时，跳过语义清理与判别器，只跑主干：

python scripts/date_infer.py       --root SRC  --out dated.json  --apply
python scripts/extract_features.py --dated dated.json --out feats.json \
                                   --visual-out visual.npy --apply
python scripts/cluster_events.py   --feats feats.json --visual visual.npy \
                                   --out events.json --apply
#   人工命名事件 → 按 events.json 复制进归档区（YYYYMM-事件名/）
python scripts/verify_gates.py     --archive ARCHIVE --cap 40 --min-files 3

跑通后再逐步加能力：

4. 语义清理循环（模式 B）

当无法查看图像时，按此循环逐轮收敛：

① 文件夹名分档 → ② 训练判别器打分 → ③ 生成联系表 → ④ 用户分档确认 → ⑤ 移入隔离区 → ⑥ 六道闸检验
       ↑                                                                              │
       └────────────────── 上一轮的保留集/剔除集 = 下一轮的标注 ◀──────────────────────┘

第 ③ 步用 make_contact_sheet.py 生成自包含 HTML（点击可看大图，红框标出 ≥ 阈值的项），交用户逐张确认：

python scripts/make_contact_sheet.py --scored scores.json --out review.html \
    --mark 0.55 --only-marked --apply

三类清理目标（难度递增）：

1. 非照片——文档、截图、票据、PPT。最易识别。
2. 场景不对——会议室人像是真照片但属办公场景，文档判别器抓不到，需另训场景判别器。
3. 边界内容——路牌、产品包装、游戏屏。识别成本高于收益，通常放弃。

判别器配方见 references/classifier-recipes.md。四条铁律：

• 标注零成本：正样本取上一轮保留集，负样本取上一轮剔除集
• 阈值禁止自动选，"召回最大化"会误杀六成真实照片
• 保护名单：纯背景照片（证件照、制服照、棚拍）必被误判，分数再高也不删
• 分数只是提议，批量删除前必须分档提问并给出具体数字

5. 信息补偿机制

无法查看图像时，按下表逐项用可复算的客观数据替代视觉判断。每个通道都必须记录其失效边界，便于事后追溯错在哪一步。

每一轮都在为下一轮生产标注数据，所以多轮迭代是越做越准，不是重复劳动。

6. 人机协作协议

决策权分配

提问规范

批量操作前必须提问，且每个选项都要带具体数字。
反例：「要合并还是独立建组？」
正例：「合并去重每组不超 40 张（补 87 张）/ 合并不设累计上限（补 731 张）/ 第二轮独立成组（补 731 张，需新建 35 个文件夹并命名）」

选项数量 2–4 个，用户可用「其他」补充。

待溯源协议（模式 A）

对无法推断日期的文件，严格执行三步，禁止硬猜：

1. 分析：挖命名线索（子文件夹名、文件名日期碎片、人物/地点关键词），产出含 confidence 和 needs_user 的分析表
2. 询问：把 needs_user=yes 的项提交用户
3. 执行：按用户建议移动，默认 dry-run

7. 约束体系

硬约束（不可违反）

• 禁用文件系统时间推断日期（云盘同步会篡改）
• 所有剔除先入隔离区，不硬删
• 销毁必须过双闸门（见第 8 章）
• 日期/事件不可推断时排除，绝不猜测
• 备份区全程只读

软约束（用户可调，默认值）

8. 风险控制与异常处置

8.0　验证隔离原则（前提约定）

已完成整理的目录列为只读区，任何验证、测试、演示都不得直接操作它们。

需要跑通流程或复现问题时，复制子集到独立临时目录（如 .workbuddy/_test/），在副本上执行，结束后清理副本。理由：

• 整理成果往往只有「归档区 + 备份区」两份，副本上出错还有退路，正本上出错不可逆；
• 脚本在真实数据上跑通之前，行为未经验证；
• 分批删除、md5 索引这类操作一旦路径算错，在正本上的代价无法承受。

8.1　风险控制五件套

1. 隔离区（软删除）——所有剔除先移入 quarantine/<轮次>/，随时可整体还原。
2. 幂等——写入按 md5 索引去重，脚本可重复执行。
3. 分批——销毁操作每批 50 个，失败不影响其他批次。
4. 可追溯——每轮导出删除清单 CSV（源文件、备份文件、md5、大小、归档位置）。
5. 双闸门——删除源文件必须同时满足：
   - 该文件 md5 已存在于归档区
   - 备份区存在 md5 完全一致的镜像

任一不满足 → 跳过并记入 unverified。容忍度 0。

8.2　异常处置

9. 检验闸门（每轮必跑六道）

详细判据与对账模板见 references/verification-gates.md。

10. 环境适配（Windows 沙箱）

三条必须记住，完整清单见 references/pitfalls.md：

其他：路径清单用 newline='\n'；临时脚本写工作目录（/tmp 会解析成 D:\tmp）；脚本勿命名 copy.py/select.py。

11. 资源索引

按需加载，不要一次全读：

12. 依赖

Python 3.10+、Pillow、pillow-heif（HEIC 必需，需 register_heif_opener()）、numpy、scikit-learn。
所有脚本默认 dry-run，加 --apply 才执行写操作。