无人值守最怕的不是没人，是断网

做无人值守的人，前半年想的都是怎么少雇人，后半年想的都是断网怎么办。这个转变很正常：人少了，一旦系统停了，现场就完全没人能处理。有人值守的门店断网，店员手写登记、收现金、开门放人，生意照样做；无人值守的门店断网，客户站在门口扫码没反应，只能打投诉电话。

更麻烦的是断网往往不是全断。有时候手机还有信号，能付款，但门禁连不上云端，校验失败不给开门；有时候门禁正常，支付通道挂了，客户付不了钱。这两种半瘫状态比全断更难排查，因为客户描述不清，运维远程也看不到现场。兜底方案必须把这两条通道分开设计。

三种断网形态：断互联网、断局域网、断云端

第一种是现场断互联网，宽带断了或路由故障。这种情况局域网还在，门禁和本地服务器能互通，只是连不上云。第二种是局域网内部出问题，交换机挂了或者网线松了，门禁之间都通不了。第三种最隐蔽：网络全好，但云端服务挂了或接口超时，对外表现和断网一样。

三种形态的处理方式不同。断互联网靠本地缓存顶上，断局域网要靠门禁自身存储，断云端则要看设备是否把校验完全依赖云接口。采购前必须问清一件事：门禁的权限校验是本地的还是云端的。如果每次开门都要请求云端接口，那云端一抖，全部门都开不了，这种架构在无人值守场景基本不可接受。

门禁离线缓存：能撑多久，怎么设计

离线缓存的核心是提前把可能用到的权限放到本地。做法是云端在客户下单成功后，把授权记录推送到对应门禁的本地存储，门禁按本地记录校验，不依赖实时请求。缓存要包含三样东西：凭证标识、有效时段、可通行点位。凭证标识用动态码的哈希值，不存明文。

缓存有效期是个需要权衡的参数。设太短，断网两小时就失效；设太长，客户退单后仍能进门。常见做法是缓存二十四小时，同时设一条强制刷新规则：设备连续在线超过一定时长后必须成功拉取一次全量授权，拉不到就进入降级模式，只放行白名单。白名单是长期租户和管理员，保证最坏情况下核心人员能进。

支付挂账：没网怎么收钱

支付这条链比门禁更难兜底，因为钱必须过第三方通道。断网时线上支付走不通，只剩下三种选择：挂账后补、现金、离线码。挂账适合有实体会员或长期客户的场所，客户先消费，网络恢复后自动扣款；现金需要现场有收钞设备，无人值守场景少见；离线码是提前生成的定额码，客户扫码后延迟扣款。

实际项目里最常见的是挂账加押金。客户首次使用要绑定支付方式并预授权一笔额度，断网时消费先记账，网络恢复后批量扣款。额度要设得合理，一般覆盖一到两次消费。这个方案的前提是客户愿意预授权，所以通常只对复购客户开放，一次性客户断网时直接引导改天再来，损失可控。

挂账还需要一条兜底：客户拒付怎么处理。断网时的记录客户可能不认，尤其是当场没收到扣款提醒的那种。做法是网络恢复后先推一条消费明细，写明时间、时长、金额，给二十四小时确认期，无异议再扣。跳过确认直接扣款，投诉率会明显上升，而且这类投诉很难解释清楚。

本地记账与恢复后对账

断网期间产生的所有记录必须落本地，而且要有唯一标识。门禁的放行记录、消费的开始结束时间、金额，全部写进本地数据库，带上设备编号和本地流水号。网络恢复后按流水号增量上传，云端按设备编号加流水号去重，避免重复记账。

对账是断网兜底最容易出错的一环。常见故障是恢复后补传失败，或者补传了但云端不认识这个订单。做法是双写校验：本地记录上传成功后云端返回确认，本地标记已同步；超过一定时间没收到确认的，进入重试队列，重试三次仍失败的推给人工处理。绝不能让记录静默消失。

分级告警：什么时候该叫人

断网告警最容易犯的错是一有异常就打电话，运维被吵几次之后就学会忽略，真正出事时反而没人看。正确做法是分级：单台设备离线、短时断网属于一级，只记日志不通知；同一区域三台以上同时离线，或者断网超过三十分钟，升级为二级，推消息给值班；全站断网、或者断网叠加营业时段，才升级为三级，打电话叫人。

分级之外还要有确认机制。每条告警必须有人点确认，没人确认就按时间梯次升级。这个机制听起来繁琐，实际能解决一个真问题：夜里的告警没人看，第二天早上才发现，损失已经发生了。设置三级升级，凌晨也能把人叫起来。

还有一个更隐蔽的形态：单台设备离线。交换机某个端口坏了，只有这一路门禁掉线，其他都正常。平台会显示一台设备离线，但因为不影响大部分业务，很容易被当成噪音忽略。实际上一台设备离线往往意味着那一片区域的门全靠缓存撑着，撑过缓存期就彻底开不了门，必须当成二级告警处理。

常见问题（FAQ）

断网的时候门禁到底能撑多久

取决于缓存时长和设备存储。通行权限缓存通常设二十四小时，放行记录本地可存数千条，按日均客流算能撑一周以上。真正限制时长的是支付，不是门禁。所以断网预案里，门禁和支付要分开评估，不能笼统说能撑多久。

断网期间的消费怎么证明

靠本地记录加客户侧留痕。本地记时间、金额、设备号，客户手机上有下单页面的截图或记录。两边一对就能确认。所以下单页面在断网时也要能正常展示，不能白屏，否则客户连自己消费了什么都说不清，事后争议无法处理。

要不要给门店配 4G 备份线路

建议配，但要想清楚用途。4G 备份主要解决宽带故障，不是解决云端故障。宽带断了自动切换 4G，业务基本无感；云端挂了，4G 也没用。所以 4G 是必要不充分，还得配合本地缓存才完整。成本上，一条 4G 备份一年几百块，比一次断网停业划算。

云端接口超时算不算断网

对客户来说算，对运维来说不算。这类问题最难排查，因为网络监控一切正常。做法是在客户端加超时埋点，超过设定时长没响应就上报一次，后台按天统计超时率。超时率超过阈值就说明接口有问题，这时候要查的是服务端，不是网络。

断网期间产生的订单会不会丢

设计得当不会丢，但必须双写加确认。本地写一份，上传后等云端确认，确认到了才标记完成。很多系统的问题在于只写本地不追踪同步状态，恢复后补传失败也没人知道。加一张同步状态表，定期扫未完成的记录，这一条是兜底的底线。

全国服务热线：400-6537-085