景区的应急从来不是小概率：山里光缆被挖断、夏天用电紧张跳闸、节假日并发把服务压到没响应，三种情况都发生在人最多的那两个小时。区别只在于有没有提前配好、有没有练过。演练过一次的组织，现场是排队慢慢走；没练过的组织，现场是闸机全开随意进。

哪些数据必须能离线

不是所有数据都值得离线，能离线也不能太多。真正必须落在本地的只有四类：当天的票种与价格表，用于窗口继续出票；当日有效订单的关键信息，用于检票口判断能不能放人；核销规则，包括一票一人、限次、有效期；以及操作员自己的身份和工号。游客画像、历史报表、二次消费的库存这些，断网时本来也用不上。离线包要能设置下发时间和版本号，在后台看得到每台设备当前用的是哪一天的包——这一条决定了事后追责时能不能说清楚。

/d/file/news/hyzx/2022/05-25/9f9f8d5a38c78c79bb1d11c545aa14d8.jpg

兜底存哪，以及存多少

设备本地缓存是第一个兜底，但它有容量上限，而且必须加密、必须绑定工号。闸机侧要问清两件事：离线能攒多少条记录、攒满之后是停检还是覆盖最早的数据，后一种是事故来源。第二个兜底是编号段登记的纸质应急票，按连号发、事后按号回收，比现场手写名字靠谱得多。第三个是人工放行，但人工放行也要记账：谁开的、开了多久、大概过了多少人，事后按这个数补录，否则客流曲线会出现一个无法解释的坑。

恢复之后怎么补账

补账最容易出问题的不是漏，是重。设备恢复网络后会整批上传，同一个人在两条通道各刷过一次，或者一次刷了但没进，都会出现重复核销。口径要定死：以服务端收到的时间为准还是以设备记录的时间为准，两者要同时留，报表按其中一个算。重复记录要有去重规则，去不掉的人工确认。易买票在这一步的做法是恢复后先出一份异常清单，按通道和时段分组，让值班的人逐条签字，签完才允许改库存。不签就自动入账，事后一定查不到是谁放的行。

/d/file/news/hyzx/2022/06-01/559c14426afdbc468dbd7e203c72481a.jpg

窗口也要能离线出票，但只放一种票

闸机离线解决的是检票，窗口离线解决的是收款。断网时能不能继续卖，取决于当天的票种、价格和额度有没有同步到本地。可行的口径是只允许现场卖一种通用票并做纸质登记，不卖分时段的、不卖需实名的、不卖含二次消费的。这不是技术上限，而是事后对账撑得住的范围：离线出的每一张票，恢复网络后都要人工补进库存，种类越复杂，补账越容易出错。

停电和卡住的处理顺序不一样

停电是物理问题，闸机要能手动开、要能UPS撑住最后十分钟把在园的人放完；UPS只保通道不保网络，这个容量规划要在现场实测一次。系统卡住是逻辑问题，最忌讳的是操作员反复点退款、反复提交，一次点击背后可能是三五笔重复请求。应急动作应该是：先切到只出不进的通道模式，再手工记录，等接口恢复后一次性补。

三套动作各写在一页纸上，贴在窗口和闸机控制柜内侧，比几十页的预案有用。页面上只写三行：谁有权决定启用、启用后记在哪个本子上、恢复后交给谁补账。最难定的是第一行——现场员工往往不敢自己拍板，等电话问回来，队伍已经排到停车场。授权要写在纸面上，也要在每次交接班时口头确认一次。