Z8.02.4Human fallback channel设计研究
故障时缺少人工替代通道会让服务完全中断
别名: 人工兜底通道 · service continuity · 服务连续性
概念解释
无接触与自助化把人工从日常环节移除，但人工同时是系统的兜底通道：自助终端死机、断网、识别失败、用户不会用时，服务连续性靠人工通道维持。移除日常人工而不保留故障人工，服务的可用性就等于设备的可用性——设备故障即服务归零，服务从「有冗余的系统」退化成「单点故障」。
这与「数字通道排除人群」是两个问题：人群排除是常态下谁用不了（那是替代通道对等性的事），故障时刻服务是否还存在则是另一个独立的问题。前者关乎公平，后者关乎连续性；两者常常一起失败，但病因与处方不同。
机制
- 有人服务的隐性冗余：传统柜台模式里，设备故障被人员即时吸收——换一台机器、手工办理、口头指引。这种吸收是隐性的，砍掉人工时不出现在成本表上，也就不出现在风险表上；等它消失，每台设备的故障率直接暴露为服务中断。
- 故障率不为零且不均匀：户外与高使用强度终端（温度、湿度、灰尘、破坏、断网）故障率显著高于室内低频设备；故障率乘以无兜底后果等于中断期望——流量越大的自助点，越承受不起无兜底。
- 可见性错位：对运营方，故障是工单与修复时间；对用户，故障是「门关了」——用户不知道故障范围、不知道何时恢复、没有别的去处信息，只能放弃或投诉。故障沟通本身缺失时，短故障也产生长损失。
- 软故障最危险：设备外观正常但功能失效（识别总失败、不收某种票卡、屏幕漂移点不准），用户视角与硬故障无异，运营方仪表盘却不报警——心跳监控测不出「看起来在线其实不可用」。无兜底系统里，软故障可以持续数天不被发现。
怎么研究
- 可用性工程计算：把人工通道建模为与设备并联的冗余路径，用平均无故障时间与平均修复时间计算服务可用性——这是把「要不要留人工」从争论变成计算的成熟方法；输入需要目标环境真实故障率，而非厂商 MTBF。
- 案例与事后研究：公共服务数字化后的服务中断事件（无人车站故障期服务完全停止、无现金商户断网拒收）构成一类周期性出现的案例文献；中断损失（弃单、投诉、舆情）可从运营数据回溯。
- 实测通过率：以「用户视角完成率」而非「设备在线率」度量服务——定期抽样真实用户走完核心流程，完成率与在线率的差就是软故障的规模。
方法论注意点：设备在线率是运营方视角的健康指标，完成率是用户视角的服务指标，两者背离的缺口正是软故障与流程失败所居；只用前者监控的系统，会在「一切正常」中失去服务。
边界
- 兜底不等于恢复全套人工：故障态兜底只需覆盖核心交易（买票、进门、登记、支付），不是全流程人工柜台——核心清单之外的服务可以在故障期明确暂停并告知。
- 远程兜底可能优于驻场：低流量场所用视频远程协助替代驻场人员，成本与响应的权衡可以算；判据是故障期望损失乘以流量，而不是「有没有人站在那里」。
- 完全无人场所有硬边界：偏远站点、深夜时段的兜底只能远程或延时；此时设计目标转为可预期的降级——明确告知最近人工点、预计恢复时间、替代方案，而不是假装故障不发生。
- 人群侧的对等替代（老年人、无手机者日常能否用）属于替代通道设计的事，故障时刻的连续性是另一个维度，验收时应一并核对两者。
怎么落地
- 为每个自助服务定义核心交易清单，并为核心交易指定至少一条兜底路径：邻近人工位、远程视频协助、电话通道——三选一以上，标注在设备与空间指引里。
- 故障态的用户侧表达要物理存在：设备本身的屏幕可能就是失效部件，兜底指引必须以贴纸/立牌形式贴在设备旁（故障请至 X 窗口或拨 Y 电话），不依赖故障设备来显示故障指引。
- 软故障监控：按「单用户连续失败次数」「同操作放弃率突变」报警，与设备心跳并行；把用户侧完成率纳入日常看板。
- 验证办法：定期故障演练——主动停机或断网，测核心交易的完成率与用户平均恢复时间；监控侧验证「软故障注入」（如人为调高识别阈值）能否在当天触发告警。演练不过关的兜底设计等于没有。