票务系统的维护公告通常写“预计停机两小时”。真实情况是：停机两小时，恢复售卖半小时，中间排队解释一小时。问题不在技术时长，在于没人提前定义这几段各自结束的条件。

第一段：停售，但不停核销

先把售卖端关掉，核销端保留。这两件事关掉的方式不同——售卖关掉之后新单进不来，核销关掉则会让手里有票的游客全部拦在门外，那是最坏的结果。停售要提前，给已经下单未支付、正在使用小程序的游客留出完成时间，一般至少留出一个下单流程能走完的时长。分销渠道也要提前通知，外部渠道如果在停售期间继续出票，产生的售后只能在恢复后处理，扯皮成本高。

停售期间窗口是否继续出票，要单独决定。多数景区的选择是窗口停、自助机停、线上停，只保留服务台应急手工票，手工票当天补录。

第二段：只出不进，把在园人数压下来

切换动作真正怕的是并发写入。入园核销是写，出园记录也是写。如果流程上能先关闭入园通道、只让园内游客出园，系统的写入压力会明显下降，切换时间更好估。这一段适逢上午或下午的空档期最好，选时段的基本依据是历史入园曲线，而不是当天天气。

这一段的出口条件应该写在方案里：在园人数降到某个值以下，或者最近一段时间没有新的未完结核销记录。

第三段：验证不是看页面能不能打开

恢复售卖前最少验五件事：一个真实票种能否下单并出票；已售票能否在闸机上正常核销；退款能否走通并回写状态；分时库存是否显示为切换前的余量；渠道对账数据里当天的记录有没有断档。只验第一项的景区，通常会在当天下午发现核销异常——因为核销走的是另一套数据。

验证用的票要真买真退，别用测试账号绕过去。测试账号绕开的正好是支付和核销这两段，也就是最容易出问题的两段。验完的记录当天单独标注，退款时不要按游客票处理。

第四段：恢复要有回滚判断线

恢复售卖后前一到两小时是观察期。要预先定好什么情况立刻回滚：下单成功但不出票、核销大面积失败、库存明显对不上。这三种情况里任何一条出现，回滚比现场排查更快。回滚的前提是切换前做过一次完整备份，且备份是可用的——这句话在方案里通常只写一次，但它决定出问题时有路可退。

所有升级安排都要留一份现场说明：什么时候恢复、期间客人怎么办、由谁答复。闸机旁的工作人员手里没有这句话，就会各自临场发挥，事后投诉记录里会出现互相矛盾的答复。