切换进行到第十分钟，成功率往下掉了一截，几个人围着一张判据表。表是上线前打印出来的，回滚判据一行一行写在上面，末尾签着双方经办人的名字，旁边站着带班的，手里是同一张表的复印件。票务系统的切换失败，从来不是现场临时讨论要不要退，而是判据到点之后必须执行的动作。带班的把表上的条目逐条念了一遍，没人改口。

回滚判据记在哪几处，才有人肯按

判据不能只存在当班人的手机里，要记三处：切换方案正文里一段、上线前核对单上一栏、现场群里置顶一条，三处写的必须是同一句话。核心链路那一行的回滚判据写死两个数：成功率连续 5 分钟低于 95%，触发回滚判定；判定成立后，10 分钟内必须执行。5 分钟和 10 分钟这两个数，是切换失败时唯一不用商量的东西，谁想改就得在下一版判据表上重新签字，票务系统的止损时点也照这两个数走。

票务系统止损，止到哪一步才算止住

止损的边界不是页面能打开，是单据不再新增失败，而且已经成交的那一批一张都不丢。回滚期间已成交单据不得作废，一律走补核销：客人手里的门票照样有效，闸机按补核销记录放人，不让窗口重打一遍，也不让对面售票系统里那笔已支付的订单再走一次支付。每次回滚还要出一份含判据的事件记录，把当时的成功率、依据的是判据第几条、执行到完成各用了多久都写进去。补核销的清单要收在同一份记录里，当天再交一份给对面，免得第二天两头各算一遍，谁都不认这笔账。

现场能当场做的检查动作，是拿最近一次票务系统回滚事件的时间表，看三个点：开始、判定、完成，各精确到分钟。开始到判定的间隔超过 5 分钟，说明阈值没人盯；判定到完成超过 10 分钟，说明回滚要靠临时找人点头。这三个时刻还要能在回滚判据对应的事件记录里逐一找到，抄在一张纸上，比事后复盘讲十遍都有用。

自动退还是人工拍板，高峰那天谁更安全

两条路各走一遍。达到阈值自动回滚：5 分钟一到就退，人只做事后确认，切换失败的头几分钟不必再等人抬头。人工拍板回滚：判据到了还得多一个人点头，还得打电话。客流高峰那几天，窗口和闸机口都排着队，自动那条更安全，因为等签字的几分钟里，对面的售票系统还在往这边送单，失败的单据堆着不走，多出的时间全部变成窗口前的解释。人工拍板只留给一种情形：对面只切了一半，退回去反而两头不一致。

只有在失败只碰到报表的时候，不退回：仅影响报表的旁路失败不回滚，走延迟补偿，等下一个整点重算一次就行。报表晚出一步，跟游客刷不进是两回事。回滚判据上本来就该单列一行旁路，并写清哪些算旁路，免得有人把核销延迟也说成报表问题。把旁路也拿去回滚，等于为了对账把售票系统那条线整段停下，止损时点反倒被拖得更长。