IOSOR 知识库

上线徽章前的故障切换闸门

在有序备份路径完成密钥库绿灯与冒烟验证之前，不要把走廊或通道翻成 Live——先做到 white-label 预付诚实，再做生产承诺。

Live 徽章向买家承诺：流量可以跑、资金可以动、故障按生产事故处理。若主通道没有已证明的备份、密钥库缺失、或冒烟从未通过，该承诺就是假的。故障切换闸门必须挡在徽章之前——而不是等第一张中断工单之后。

IOSOR 是 white-label prepaid。Live 表示运营就绪，不是「销售说可以」。USD 20 试点底线用来换证据；接近每月 USD 1,000 的 soft review 才发现备份从未冒烟，已经太晚。同主题：主通道失败时的有序备份路径（无双重扣款）。本文不同于富媒体通道的密钥库与模板闸门与 SMS API 采购清单。闸门证据必须可导出给运维与财务，不能只靠口头「差不多可以上线」。未过关的走廊一律保持 in setup，不要用销售话术顶替冒烟证据。

Live 意味着备份已被证明

只有主通道的 Live，是把单点故障打扮成就绪。徽章之前必须过关：

闸门	通过证据	阻止 Live
备份密钥库	备份通道密钥存在且范围正确	缺失或过期凭证
有序路径	已写明 primary → backup 与负责人	「出事再决定」
冒烟	试点密钥下备份端到端送达	UI 绿但无 delivered 冒烟
资金身份	故障切换冒烟只结算一次扣款	同一 intent 键二次结算
White-label UI	客户端状态无上游品牌名	webhook 泄漏品牌字符串

五关全过，否则保持 in setup。

徽章前先 vault-green 与冒烟

Vault-green 指备份通道能认证并路由，无需把密钥粘贴进聊天。冒烟指可控试点发送并得到可导出的终态结果——不是被 mock 的 accept。在实验室走廊强制主通道下线，确认有序切换与账本诚实。

把资金止损绑到生产流量前的钱包止损线，以免坏备份在第一次真实事故掏空钱包。环境切换见沙箱密钥切到生产；故障切换冒烟仍红时，不要提升生产密钥。

不同于富媒体或 SMS 买家闸门

富媒体密钥库/模板闸门问的是 WhatsApp 或 RCS 模板与密钥是否就绪。SMS 买家清单问的是 API、钱包与合规是否可买。故障切换 Live 闸门问的是：若主通道明天挂掉，有序备份是否已能无双重扣款、无品牌泄漏地工作？

交叉清单会制造假绿灯。走廊可以通过 SMS 买家就绪却仍失败于故障切换冒烟。文章可互链；证据必须分开。

沙箱切产不是故障切换就绪

沙箱 → 生产密钥只证明环境卫生，不证明备份顺序、第二通道密钥库就绪或资金安全切换。顺序：沙箱诚实 → 试点上的故障切换冒烟 → 生产密钥 → Live 徽章。跳过中间一步，会把第一周中断变成双重扣款与混乱状态。

写明谁可翻 Live、谁可重排通道、谁在切换期间拥有面向客户的文案。

Live 徽章前的买家清单

备份密钥库是否绿灯且密钥有范围——不是共享粘贴传说？
是否在强制主通道下线后冒烟过有序备份？
冒烟是否对一个 intent 只结算一次扣款？
两条通道上的客户端状态是否都是 white-label？
生产流量前钱包止损线是否已启用？
任一闸门为红时 Live 是否被挡住？

从 IOSOR 开始

产品保持「筹备中」，直到有具名故障切换演练：强制主路倒下、一次备份发送成功、一笔扣款对上 intent、导出已附上。然后才翻 Live。主路 OTP 正常不是这道闸，这也不是客户警报节奏或 02:00 文件。

IOSOR 要点

Live 表示本产品的备份已被证明，不是主路看起来健康。

要做：没有演练导出就别点亮徽章。不要：因为 OTP 已到达就涂 Live，或因为别的通道已经 Live。

这篇指南有帮助吗？