八点半旅行社那边开始问是不是系统坏了，一查是对方的 token 凌晨到期没续上。渠道报障的时候，第一句通常是库存不够，第二句才是网络。判据只有一条：从失败响应里能不能在半分钟内分清这是没权限还是没票。分不清，两边就一起瞎查。鉴权这种事平时没人管，一年就爆两回，一回是凭证到期，一回是渠道换了对接人没人通知，两回都能靠一条登记记录躲过去。

一、续期时点定在到期之前，不是失败之后。凭证到期前一天自动申请续期，连续两次续期失败才告警到值班岗，一次失败先重试。人工换凭证要留痕：时间、经办人、通知了对接人没有，三样都写。不要把凭证打印出来摊在台面上，也不要手抄在交接单上传来传去，改一次要能把旧的立刻作废。换凭证的生效时间两边都要留一份，对不上就会出现先改后改两种现象混在同一天的日志里，查起来最费时间。

二、两边时钟差多少会报。校验对时间敏感，两侧时间差控制在一分钟以内，超过就报偏差并先校时再放行。校时每天自动做一次，人工只在报偏差时处理，不要手工拨表，走一次自动校时更省事；有人把设备带回办公室充过电或者现场断过电，时钟最容易飘，这一条要写进班前检查那一栏。判据：鉴权失败但库存查询正常的时段，先看时间戳是不是超差，别看代码。

三、失败日志分五类，处置人不同。凭证过期、无权限、参数不符、库存不足、网络超时，五类各自一条记录。每条记录固定留六栏：发生时间、渠道号、接口、返回类别、处置人、恢复时间，处置人为空的那几条次日晨会点名。前三类走渠道侧：通知对方对接人并要求回确认；后两类走本站：值班带班处理并记录恢复时间。混在一起统称下单失败，一周里能出现几十条，谁也没法判断是渠道改了什么还是自己关了闸。

四、鉴权不通不等于今天没生意。临时预案是让旅行社走人工录单，把当日团名、人数、证件清单交进来，先核销后补录。补录时限写在预案里：当日闭园前补完，逐单登记依据和经办人，值班经理签字；隔了一天的补录一律不认。这条不立，出问题的当天就分成两笔糊涂账，一边说卖了，一边说没卖。

五、改密和停用当天收回入口。渠道换对接人、改一次凭证，要通知到位并要求对方回一句确认，确认时间记下来；停用渠道当天把下单入口一起关掉，只停库存不够，旧凭证照样能提单。权限换人和收回这类动作不要攒到每周统一处理，攒一次就漏一天。通知只发到群里不算到位，要留下渠道方接收人和回复时间，没回复的当天再催一次；停用满一周入口还开着的，按事故记一笔。

先做的只有一件：把失败响应拆成鉴权类和库存类两条记录，字段固定、当班可查。这一步做完，报障时一句你那边几点几分哪个单就能定位，两边不用再吵。第二步定自动续期和两次失败告警，第三步写降级预案。别一上来就换凭证有效期长短，那是最后一档，前两件不定，换多久都会再撞上同一次八点半。