离线可用是硬要求
别名: 离线优先 · 断网可用 · disconnected operation
概念解释
离线优先维护信息（offline-first maintenance information）指在隧道、地下、屏蔽厂房或网络故障的条件下，系统仍能提供已获授权的必要文档、资产数据与作业记录能力，并在网络恢复后可审计地完成同步。"硬要求"针对的是安全相关任务的连续性，不代表所有云端功能都必须原样离线复制——离线能力的边界应该由风险决定，而不是追求功能对等。
机制
如果身份验证、内容检索、搜索和记录提交全部依赖在线服务，一次网络中断就会同时夺走作业指导和记录能力，这是一种共同原因失效（common-cause failure）：表面上是"网络问题"，实际后果却是"人既不知道该怎么做，也没法留下自己做了什么的证据"。受控本地缓存把这种依赖解耦开来，让关键内容不必等待网络，但这个解耦同时引入了新的一致性问题：缓存的内容会随时间变得陈旧，多个终端离线期间各自产生的编辑或记录在恢复联网后可能相互冲突，设备丢失或长时间离线还会导致身份凭证过期。真正可靠的离线设计不是简单地"把数据存一份在本地"，而是要让数据的年龄、同步状态和冲突情况对使用者始终可见，并且预先规定好冲突发生时该如何处置，而不是等冲突发生了才现场决定。
怎么研究
在任务进行到一半时主动切断网络连接，测量人员能否继续取得正确版本的资料、能否完成任务记录、遇到版本冲突和数据丢失的频率，以及恢复联网后同步过程中出现的错误。测试必须覆盖长时间离线（不是几分钟的演示性断网）、设备时钟与服务器时钟存在偏差、身份凭证在离线期间过期，以及多人在离线期间各自修改同一份记录这几种情形——短暂的飞行模式演示无法揭示这些累积性问题，真实故障往往发生在离线时间足够长、多个变化同时累积之后。
边界
某些实时许可判断、当前联锁状态或高度敏感的数据可能出于安全或合规原因不能被授权离线缓存，此时离线能力应该支持的是"安全地停止或暂缓作业"而不是"无论如何都要能继续工作"——离线优先不等于离线全能。缓存的有效期限、加密强度这些具体参数取决于所在行业的风险等级与法规要求，不存在一个可以套用到所有现场的统一数值，需要按具体场景单独评估。
怎么落地
- 预置离线期间最可能用到的关键资料与任务队列，并在界面上清楚显示每份内容的版本号、下载时间、适用的设备构型范围，以及判断内容是否已经过期的具体依据。
- 离线记录采用不产生冲突的事件日志形式（只追加、带时间戳，而不是可覆盖的字段），联网同步时把差异清楚地呈现给人工判断，而不是自动静默地用某一方覆盖另一方。
- 验证办法：通过长时间断网、使用过期缓存、模拟终端丢失和多人并发编辑几种演练场景，检验系统能否安全降级并在恢复联网后正确合并数据，而不只是验证短暂断网下的基本可用性。