现场事故处理与证据保全

本页用于处理安装、更新、网络、登录、缓存、订单和机台控制中的异常。目标是先保护数据和现场，再缩小故障范围，最后选择恢复或回滚。它不是让使用者自行执行高风险维修；涉及开机箱、物理插拔、磁盘替换或凭据轮换时，应交给获得授权的维护人员。

先判断严重程度

P0：立即停止操作

满足任一条件时，停止新的写入和重启：

• 机台循环重启、持续黑屏或出现明显存储错误；
• 账号数据、相片或缓存疑似被错误覆盖；
• 访问码、Token、私钥或包含敏感信息的备份已经公开泄露；
• 正在运行的恢复、安装或订单应用状态不明；
• 现场有人身、用电、散热或设备安全风险。

第一动作是保持现场状态、停止传播敏感材料并联系管理员。不要用另一个版本覆盖当前目录，也不要为了“试一下”再次提交恢复。

P1：暂停高风险动作

包括登录持续失败、网络反复断开、订单长时间不动、资源缺失、配方保存后效果不一致。可以做只读刷新和记录，但暂停删除、恢复、重启、订单切换和批量写入。

P2：可以在维护窗口处理

包括页面样式、统计延迟、单张缩略图失败、非关键提示文字异常。记录复现条件，先完成正常使用，再安排修复。

十分钟内的固定动作

发生异常后的前十分钟只做以下动作：

1. 记录本地时间和时区；
2. 记录页面、机台阶段和最后一个成功动作；
3. 截取当前画面，但遮盖账号、二维码、访问码、地址、密钥和现场人员；
4. 保存非敏感的错误文字；
5. 查看并记录最后上报时间、订单状态和磁盘摘要；
6. 暂停重复点击、重复上传和重复重启；
7. 如果涉及数据，先下载当前可见缓存或上传缓存；
8. 通知当前维护负责人。

这十分钟的目的不是解决故障，而是避免新的操作覆盖证据。

证据分层

A 类：可以提交

• 页面名称和操作名称；
• 发生时间和时区；
• 脱敏后的机台/账号别名；
• 非敏感错误消息；
• 当前分支、订单名称和安装项名称（如果允许公开）；
• 最后上报时间和非敏感状态；
• 已经尝试的动作及结果。

B 类：只交给授权管理员

• 脱敏后的完整网络检查结果；
• 备份文件的哈希值和大小；
• 受保护位置中的日志片段；
• 需要关联用户或机台的内部编号；
• 已加密的恢复包或现场照片。

C 类：不要发送到群组、工单或文档

• Token、密码、访问码、二维码原文；
• 私钥、授权码、机台密钥；
• 原始 Hosts 内容、完整服务 JSON；
• 未脱敏的备份、照片、日志和订单包；
• 任何能让第三方直接登录或控制的内容。

如果 C 类内容已经被发送，按“凭据泄露”处理，不要只删除消息就结束。通知账号所有者或管理员，按要求失效、轮换和重新绑定。

按现象分流

安装或恢复中断

先看 U 盘是否仍连接、指示灯是否有活动、屏幕是否正在自动重启。能够等待时不要拔盘；无法继续时记录停留阶段和时间，再由维护人员决定是否断电。

恢复后不要立刻恢复全部缓存。先验证启动、网络、Token 和只读页面，再恢复一份同账号备份，并记录恢复返回的条数和消息。

更新下载停滞

区分“没有速度”“正在校验”“等待发布时间”“空间不足”和“服务不可达”。刷新健康和订单状态，比较两次记录的时间和进度。若进度在变化，继续等待；若长时间完全不变，暂停创建新订单并联系管理员。

机台启动成功但内容缺失

先确认缺失范围：单项、单资源、单分支还是全部内容。查看订单安装项、可选/黑名单、删除列表和磁盘空间。不要通过改文件名、复制另一台机台目录或删除缓存来“修复”。

网页可以操作但机台没响应

网页成功只表示请求被服务接受，不能证明机台动作已完成。查看健康上报时间、最近操作结果和机台是否空闲。页面上的取消通常只停止浏览器等待，不一定撤回已送达的动作。

登录失败或账号看起来变了

先用网页验证当前 Token，再确认账号选择器中的本地显示名、服务端账号和机台昵称不是同一个概念。生成新的临时访问码，完成一次最小登录，不要立即删除本地账号或恢复其他账号的备份。

数据缺失或恢复后为空

保留当前状态，下载现有备份和上传缓存。确认备份来源、账号、时间范围和恢复响应。count 只表示服务处理的条目数量，不保证每种页面都立即建立索引。恢复后重新登录或刷新，并给同步队列留出时间。

是否重启的判断

情况	推荐动作
只读页面加载慢	先刷新网页和网络状态，不重启机台
配方读取异常	记录原值，重新读取，不立刻重启
保存成功但页面未刷新	重新读取，确认是否已持久化
页面明确提示重启	等机台空闲后执行一次
启动配置/挂载/运行库变化	维护窗口内冷重启
下载仍在进行	不重启，除非公告或页面明确要求
循环重启/黑屏	停止尝试，准备恢复流程

连续重启不会提高网络质量，也不能替代订单校验。每一次重启都要记录开始和完成时间。

回滚前的检查点

回滚是高风险写入，开始前确认：

1. 目标回滚版本与机台硬件和当前分支匹配；
2. 有可识别的恢复介质；
3. 当前状态、错误画面、订单和日志摘要已经留档；
4. 当前可读取的数据已下载；
5. 现场没有新的玩家操作；
6. 管理员明确同意回滚；
7. 回滚后要执行的验收项目已经写好。

回滚后先做网络和账号验收，再恢复缓存和内容。不要直接把新版本目录删除来模拟回滚；保留现场以便判断问题来自版本、数据还是硬件。

事故反馈模板

级别：P0 / P1 / P2
脱敏后的机台/账号：
发生时间（含时区）：
页面或机台阶段：
最后一个成功动作：
错误文字：
当前分支/订单/安装项：
最后上报时间：
是否正在下载或恢复：
已做动作（按时间）：
当前数据保护动作：
是否有敏感信息泄露：
希望管理员确认的问题：

只提交解决问题所需的最小信息。管理员需要原始文件时，使用受保护的单独传输渠道，并在问题关闭后按保留策略删除副本。

关闭事故

事故不能以“页面能打开”作为结束标准。至少确认：

• 机台有新的健康上报；
• 测试账号能登录和退出；
• 记录、成绩、相片和缓存读取正常；
• 订单状态清晰；
• 关键内容已经最小验收；
• 临时文件和敏感截图已清理；
• 现场记录写明最终版本、分支和是否保留回滚点。

如果只恢复了网页而没有恢复机台、数据或内容，结论应写成“部分恢复”，不要标记为“已解决”。