X4.06.3Fail-safe handoff rollback设计研究
转移失败或未被确认时系统应保持原有控制状态
别名: 移交回滚 · 未确认保持 · handoff failure
概念解释
失效安全的移交回滚（fail-safe handoff rollback）是在确认缺失、通信中断或任一关键组件未完成切换时，保持原控制者及其已知约束，而不是进入无人控制或混合残留状态。新控制权只有在完整提交后存在，未完成应视为没有发生。
机制
移交跨越消息、权限、命令路由、显示和执行器，多组件更新可能部分成功。若旧控制提前释放，新控制未接管，产生空档；若两者都生效，产生冲突。事务式协议保留旧状态直到所有提交条件满足，并用超时和幂等事件处理丢包与重复消息。
怎么研究
应注入丢包、延迟、重复确认、控制器重启与显示故障，记录实际控制者、双重命令、空档、任务后果和恢复时间。正常网络下的成功演示不足。还需检验人员是否理解转移未生效并避免按新模式行动。
边界
原控制状态本身若已不可安全维持，回滚应转入预定最小风险状态，而不是坚持故障自动化。跨组织或远程控制中需要明确哪个系统拥有最终权威。保持原状态不等于继续原任务，可安全暂停。
怎么落地
- 使用带唯一事务标识的两阶段提交，旧控制直到完成事件才释放。
- 定义超时、重试、重复消息和接收方崩溃后的唯一状态，并同步外显。
- 通过网络故障注入验证任何时刻都有且只有一个主控制者，失败时进入已定义安全状态。