通道断网还得放行，靠的是提前下发到设备里的名单。名单放什么、多久发一次、删掉的票怎么从设备上清掉，全量和增量各有各的坑。坑的大小不看包有多大，看设备上有没有留下半套名单。

一、名单的最小集合。可核验的键加有效期加状态位，够用就行：票号或证件摘要、使用时段、允许入园次数、是否已核销。状态位在终端上是只读的，现场改不了，只能从服务端下发去改。完整证件号不要下发到设备，机器里存了一整列证件号，出事就不是配置问题而是数据问题。核验键用摘要也可以，前提是两边算法一致，并且规则里写清"从哪天起换算法"。换算法要留双跑批次，一批名单里两套键都带上，跑通两周再撤旧的。

二、全量的三个坑。第一个是时长：白天全量会把通道的链路占住，动作放到闭园后一到两小时执行。第二个是失败处理：拉到一半断线，必须整批作废，作废要写一条日志，带上批次号和作废原因，宁可设备继续用上一版全量，也不能留半套——半套名单里撤销的还在、新增的没到，比没名单更难查。第三个是对齐确认：每台设备回写"已应用批次号"，服务端逐台比对，不一致的列成清单，只看"下发成功多少条"是最常见的自欺。

三、增量的核心坑是删除。只传新增的增量，撤销、退票、挂失在设备上清不掉，废票照样能过人。增量记录必须带操作类型，新增、更新、删除三种都要有。删除项留墓碑记录，写清票号和删除时间，一直留到下一次全量把它对齐掉。序号要连续，发现缺口不要只补那一条，直接触发一次全量——补单条会把顺序问题永久留在设备上，日后查不到是哪一台。

四、频率、时效和插队口。常规节奏按退票高峰定，一天两次全量加每五分钟一轮增量。团队临时取消、批量退订这类动作要能插队，插队入口给值班经理，不给窗口，一次插队要记操作人和影响票数。增量失败重试三次，仍失败就把这台设备标成"名单待确认"，标记要出现在通道监控页面上，通道同步改人工核验，直到设备回写的批次号对齐才解除，解除也要签名和时间。

五、断网期间的判定顺序。本地名单命中就放行，不命中是拒还是转人工，只能写死一种：名单未同步期间走人工登记。登记条数当天要能回传补录，补录按设备流水序号上传，不按时间戳，避免积压半小时的记录时间倒着排。恢复网络之后先对齐还是先继续放行，提前定：先对齐批次号，再恢复自动放行，中间这段由值守盯。对齐超过两分钟还没完成，就把这台设备从自动放行里摘出来，人工顶到闭园，不要让它带着旧名单一直放。

先做哪一件：先把删除动作放进增量并留墓碑记录，其它都排在后面。名单只传新增跑了半年的场子，几乎都会在批量撤票那天出问题，而且是当天最晚才发现的那一种。