数字化 MVNO 的 USSD 治理

对于数字化MVNO而言，USSD 服务代码命名空间并非遗留接口的附属部分。它是一项受控的客户运营触点，覆盖激活、余额查询、充值券流程、自助服务、SIM Toolkit菜单及特定反欺诈干预措施。当宿主MNO将该命名空间视为核心网默认配置，而 MVNO 将其视为品牌渠道，且双方均不承担路由变更、资费处理、审计证据或结算结果的责任时，治理便会失效。

在技术开通前界定渠道所有权

在配置首个HLR条目、USSD网关规则或OTA参数之前，必须明确商业所有权。短代码的所有权并不自动赋予其菜单树、路由策略、数据源、计费触发条件或客户支持结果的控制权。例如，余额查询服务可使用由 MNO 分配的代码、由 MVNO 编写的内容、由宿主控制的路由，以及对 MVNO OCS账户的查询。

控制模型应覆盖完整交易路径。终端将拨号字符串提交至MSC或IMS互通功能。网关对字符串进行标准化，识别用户，应用路由规则，并将会话交由应用处理。该应用可能查询 HLR 或AuC、调用 OCS、调用 MVNO 后端，或在返回响应前组合执行上述多个动作。每次转换均需指定控制责任方及证据来源。

服务代码登记册应区分网络保留代码、MNO 零售代码、MVNO 专属分配、采用基于IMSI分支的共享代码，以及 MVNO 无权更改的监管或紧急功能。登记册而非网关导出文件或BSS流程说明，应成为合同上的唯一事实来源。其应列明生效版本、生效日期、环境、允许的资费处理方式及退役状态。

服务代码责任方

获授权申请分配、修改及退役的一方

路由责任方

控制网关逻辑、IMSI 查询及应用目的地的一方

计费责任方

对 OCS 配置、资费分类及收入记录负责的一方

内容责任方

批准菜单文本、语言、同意措辞及客户旅程的一方

事件责任方

提供首次响应、升级处理及根因证据的一方

SIM Toolkit 需要单独的治理附表。MVNO 可控制小程序及菜单语言，而宿主保留 OTA 交付、SMSC传输、配置文件容量及安全密钥保管权。因此，RACI 必须涵盖代码创建、路由变更、菜单发布、内容审批、故障通信、CDR留存、欺诈规则变更及退役。

一家 Tier-2 MNO，东南亚，约 1800 万用户，发现三个 MVNO 租户使用相同的余额查询代码，但依赖不同的应用目的地和资费规则。该代码在网关文档中看似统一，但在商业层面并不统一。将控制措施纳入租户专属服务代码登记册后，不同的计费责任方得以明确，模糊的变更授权也被消除。

将路由与开通工程化为版本化控制平面

可用性取决于 SIM 配置文件、核心路由、用户数据库和应用系统之间的协调状态。对于每个代码，工程文档应展示决策顺序：被叫字符串标准化、MCC/MNC及 IMSI 范围识别、可选 HLR 查询、用户状态验证、网关选择及应用交接。仅因应用端点作出响应，并不代表路由已完成。该路由必须针对预期的用户状态和接入条件正确解析。

多 IMSI 方案增加了单独的分支。活跃配置文件可能在漫游导向、宿主迁移或商业配置文件切换后发生变化。相同的拨号代码此时可能到达另一网关、被拜访网络拒绝，或解析至 MNO 零售旅程。路由策略必须识别在切换前后哪些 IMSI 范围接收该代码及菜单处理。运营模型不应假定各配置文件之间具有一致性。

发布排序与验收状态

网关规则、SIM Toolkit 定义、OTA 载荷和后端合约应共享同一发布标识符。进入生产环境需要明确依赖关系和回滚标准。验收测试必须覆盖预激活、已激活、受限、携入待处理、携出待处理、暂停及重新激活用户。测试还应验证MNP结果，此时MSISDN与服务 IMSI 不再意味着相同的商业所有权。

超时需要端到端预算。MSC、网关、应用和 OCS 不应各自消耗独立设定的时限。否则，下游扣费可能在终端会话关闭后才完成。验收计划应说明中间环节的时限分配、最终客户响应，以及应用或计费依赖失效时的回退行为。

被叫字符串标准化

对前缀、末尾井号及本地拨号变体的规范化处理

用户选择器

用于路由的 IMSI 范围、MSISDN 范围、HLR 状态或 BSS 分群

响应超时

端到端上限、中间超时分配及明确的回退方案

发布依赖

网关规则、应用发布、OCS 策略、SIM 菜单或 OTA 活动

回滚触发条件

故障阈值及获授权恢复活跃配置的一方

使计费、结算和收入分配可观察

技术成功并不能确立商业处理方式。每个代码均应被分类为零资费客户服务、可计费自助服务、高资费或第三方增值服务、鉴权、充值券交互或内部运营功能。该分类必须识别资费规则、责任方、适用时的税务处理以及结算基础。同时还必须说明漫游状态下的接入是否改变收费。

为每类结果选择权威事件记录

各方应识别每项收费和冲正的权威记录。候选记录包括网关 CDR、OCS 扣费记录、话单处理输出、BSS 交易记录、第三方应用回执或漫游结算记录。任何单一记录都不会天然成为每个旅程的权威依据。网关事件可证明会话处理发生，但未必能证明充值券已签发、余额转移已完成，或下游购买已履约。

收入分配可依据会话发起、响应完成、OCS 成功扣费、下游交易履约或复合规则。多步骤服务通常需要最后一种方法。协议应规定扣费后超时、重复请求、OCS 预留到期、应用确认失败及客户在既定时间间隔内重试的异常处理方式。冲正责任及执行时间应为可衡量的义务，而非非正式运营惯例。

对账应比较代码级会话、计费结果和投诉情况。按 IMSI 范围、资费套餐、接入网络、拜访网络及应用版本进行分群，可使发布缺陷和路由泄漏变得可见。月度汇总量无法确定哪一方应作出更正，特别是在多个租户共用同一代码或网关的情况下。

一家服务于 EMEA 12+ 个租户的MVNE发现，网关总量在月度容差内与话单处理结果一致，但其中一个租户的成功扣费量显著高于已履约交易量。租户级应用回执揭示了后端发布引入的超时问题。由于其他租户的偏差方向相反，汇总对账掩盖了这一损失。

当 MNO 保留网关控制权时，MVNO 需要可审计的导出数据，其中应包含会话标识符、时间戳、用户选择器、路由结果、应用响应、计费参考号及故障代码。数据访问可通过留存和隐私控制进行治理，但不能以仅包含尝试数和完成数的月度电子表格替代。

将渠道作为受控的反欺诈与运营触点

USSD 和 SIM Toolkit 可发起账户变更及支付事件，因此其控制措施应与交易风险相匹配。对于 SIM 卡更换处理、PIN 重置、余额转移、资费迁移、账户恢复或DCB同意，仅凭 SIM 卡在网或 IMSI 匹配并不足以构成充分保障。较高风险流程可能需要第二因素、近期账户变更检查、交易上限或转介人工客服。

速率限制应按 MSISDN、IMSI、可获得时的终端标识符、基站或位置模式以及代码类别执行。单一的全局阈值很可能阻断合法的客户服务使用，同时让分布式攻击无法被发现。策略责任方应将查询流量与转移价值或修改凭证的操作区分开来。

调查记录应关联菜单选择、会话时间戳、网关路由、OCS 结果、后端决策、OTA 活动版本及最终响应。该统一记录可减少协调独立宿主与租户时间线所需的时间。紧急程序必须明确谁可移除路由、抑制菜单、撤销计费策略并向客户运营团队通报。对于已确认的泄露事件，应在标准变更窗口之外保留相应授权。

漫游需要独立的测试和策略集。拜访网络的 USSD 支持、CAMEL或 OCS 交互、时延、字符处理及本地限制均可能改变可访问性和可计费性。多 IMSI 切换还可能暴露不同的代码命名空间。因此，本地网络的结果不足以证明漫游客户旅程。

渠道治理应纳入更广泛的 MVNO 运营模型。宿主和租户在开通、计费、证据访问、欺诈响应及发布审批方面的职责，应一并协商，而非分散在互不关联的技术附表中。Averon 在运营商合作与赋能计划中构建此类控制机制，适用于服务代码所有权与核心接入、eSIM、多 IMSI 及计费责任相交的场景。

USSD 和 SIM Toolkit 应作为共享运营商渠道进行治理，并从开通直至结算保留明确的控制责任方和事件级证据。随着数字化 MVNO 组合增加多 IMSI、eSIM 及 DCB 用例，未形成文档的服务代码安排将直接导致收入流失、事件风险及与宿主 MNO 的摩擦。