上一篇补了工装、量具和公用工程条件。现场还会遇到另一类问题：操作员能登录，却没有这项操作的有效资格；终端打开了文件，却拿不出本次采用的版本；产品已经交付，服务人员查到的仍是出厂时的配置。
这些问题横跨 HR、学习管理、IAM、DMS、MES 和售后服务系统。本文把人员与文件接到具体动作，再沿序列号追踪服务记录，最后讨论断网和系统恢复后的业务核对。文中编号、日期与事件均为独立模拟，不代表真实员工、客户或工厂要求。
人员资格怎样约束具体操作
身份、权限、资格与在岗情况分别核对
身份回答操作者是谁，账号权限决定其能够发起哪些系统动作。岗位资格记录其满足哪些工作要求，在岗与派工记录说明当前安排。四类记录可以互相关联，但不能只用一个“人员有效”字段代替。
| 数据责任 | 典型来源 | 进入生产任务时要核对的内容 |
|---|---|---|
| 人员身份与组织 | HR、承包商名册 | 人员编号、组织、任职或合作状态 |
| 账号与授权 | IAM、业务权限配置 | 账号映射、动作权限、授权范围 |
| 学习与能力确认 | LMS、资格管理、业务考核 | 要求版本、考核依据、适用范围与有效期 |
| 班次与派工 | 排班、MES、APS | 当前任务、班次、冲突与交接 |
| 实际执行身份 | MES、服务移动端 | 谁执行、谁复核、何时发生及来源终端 |
LMS 中课程完成，可以作为资格评定的一项证据。某项工作是否还需要实操考核、监督或额外批准，按企业已经确定的要求记录。系统角色叫“操作员”，也不能据此推断它满足所有工序要求。
SAP 的用户资格校验课程给出一个具体产品例子：可针对物料、工序活动和资源设置资格要求，在生产动作发生时检查用户已分配的资格；缺失或过期时阻止开工。该能力需要配置检查过程，不能仅凭系统存了资格记录就假定现场已经启用控制。
核验依据包含任务范围与发生时间
本篇设任务 TASK-SUP-001，采用工序 OP030 / 3 和作业文件 WI030 / E。操作员 EMP-017 的账号映射到相应人员，具备本次动作权限，资格依据 COMP030 / 2 覆盖工厂 A 与该工序，管理有效期至 2026 年 11 月 1 日。
这些是教学条件，不能推导为任意工厂的资格规则。08:30 发起操作时，系统核对人员、动作、工厂、工序、资格范围和文件依据，再保存核验结果。结果应绑定本次动作；一次开工核验不能成为后续所有返工、复核或其他工位操作的长期通行记录。
人员临时换岗或由另一位人员接续作业时，记录真实接手身份和交接范围，重新核对其所需条件。主管代录要区分录入者与实际执行者，保留代录依据，不能把代录者自动登记成实际操作者。审批或签署动作同样保留其身份、权限、对象版本与发生时间；法律效力等要求应另按实际适用制度确定，本文只讨论记录关系。
迟到的撤销消息需要回查历史
再设一条独立变化：资格撤销在 09:30 生效，消息于 10:00 才进入 MES。接收方要保留生效时间、接收时间、来源版本和理由，限制后续相应动作，并筛出本样本 09:30 至 10:00 之间可能受影响的使用记录。
若 09:40 有一次操作，系统将其列为待评估，不能因为消息晚到就认定当时必然有效。08:30 的原核验快照也不能被当前状态覆盖。具体历史影响、产品处置和继续作业条件，由负责人员结合事实与适用程序确定；消息到达不自动撤销全部历史生产记录。
受控文件怎样进入执行基线
文件身份、版本与生效范围一同传递
受控文件需要稳定的文件身份、版本、批准状态、生效范围和历史记录。工艺定义中的作业要求、DMS 中的发布文件和 MES 中的任务引用之间要有明确映射。一个可访问的下载链接，无法单独证明内容适用于当前任务。
Microsoft 的SharePoint 文档审批说明展示了库中文档的批准流程及状态。制造场景在此之外，还需自行定义产品、工厂、工序和任务的适用范围；一般内容审批完成，不会自动产生这些业务约束。
沿用本篇任务，假设 WI030 / F 已经批准，但从 10 月 16 日起只对指定的新任务生效。10 月 15 日的 TASK-SUP-001 继续引用适用的 E 版。终端不能将“版本号最大”或“最近上传”当成选择依据；确需改变当前任务时，记录变更范围、批准结果及新的执行依据。
阅读确认与资格评定分别留痕
文件下发、终端成功下载、人员打开、阅读确认和要求的能力考核分别记录。终端自动回执只证明约定的传输或打开动作，不能生成一条不存在的人员确认。文件变更是否触发重新培训、确认或资格评定，也要有明确的影响判定。
执行记录可以保存文件 ID、版本、内容摘要校验值、发布依据和访问或确认回执。摘要值帮助确认取到的字节是否一致，不能单独证明文件已经批准或适用。历史查询按任务当时采用的版本打开，避免服务人员点开旧记录时被统一跳转到最新内容。
缓存和打印件需要可追踪的使用范围
离线终端缓存应保存内容、版本、适用范围、取得时间和失效规则。失联后能否继续某项动作，按事先批准的离线运行策略决定；无法确认条件时，保留未决，不把缓存存在直接等同于获准执行。涉及关键条件时，策略可以规定必须在线核验。
纸质文件可以登记受控副本号、版本、发放对象与回收状态。打印出来并不天然失去控制，但也不能假定通知已发出就完成旧副本回收。后续修订保留实际换版和确认记录；历史执行仍引用当时依据，不能为了让界面看起来统一而批量改成新版本。
交付后的产品怎样继续留下履历
出厂配置与当前配置分开保存
产品出厂履历保留装配、测试与放行时的配置。客户现场的在役档案记录当前位置、当前组成件、服务状态和已发生的改装。两个视图按稳定产品身份关联；一次现场更换不能抹掉原始装配记录。
本篇另设产品序列号 SN-SVC-001 与在役资产 ASSET-SVC-001，对应模拟产品 FAN-100。这套服务样本独立于前文风机订单，不表示先前订单已经交付或发生了售后故障。初始配置含部件实例 PART-SVC-01，服务后可能换成 PART-SVC-02。
资产还需要区分所有者、实际使用方、服务账户与安装位置。Microsoft 的功能位置说明展示了客户地点中的位置层级，以及客户资产、工单与位置的关联。位置标识帮助找到服务对象，无法替代产品序列号；产品搬迁或转售后，也要保留位置与责任关系的历史变化。
客户报修与现场处置形成不同对象
客户问题记录保存其描述、时间、现象和附件。服务案例管理受理与协作，服务工单组织需要执行的工作，调度和预约再安排人员、时间、地点与资源。同一案例可能拆成多张工单，多次上门也不能简单覆盖为一条“维修完成”。
| 对象 | 本例身份 | 需要保留的依据 |
|---|---|---|
| 产品与在役资产 | SN-SVC-001、ASSET-SVC-001 | 出厂关联、位置与当前配置 |
| 客户问题 | REPORT-SVC-001 | 客户原话、现象、时间与附件 |
| 服务案例 | CASE-SVC-001 | 身份核对、受理范围与责任人 |
| 服务工单 | WO-SVC-001 | 工作范围、批准依据与所需条件 |
| 调度或预约 | VISIT-SVC-001 | 人员、资格、地点和时段 |
| 实际执行事件 | EXEC-SVC-001 | 实际人员、动作、部件与测试 |
| 配置变更记录 | CFG-SVC-001 | 拆出件、装入件、时刻和证据 |
保修或服务合同需要核对实际对象、覆盖范围与期间。本文不规定保修期限、收费或责任归属；是否免费处理不能只凭序列号存在或工单关闭来判断。安排现场工作时，还需核对人员资格、适用文件、备件状态和所需许可。
更换部件同时核对库存与配置
假设本样本一次批准的服务动作拆下 PART-SVC-01，装入 PART-SVC-02，并完成要求的测试记录。事件保存实际发生时间、部件身份和安装位置。只有存在足够执行证据，才更新当前配置视图；预约中写了新部件，不能提前改变在役资产。
假设服务车库存最初有 3 件可用备件，本次实际领用安装 1 件，没有其他收发或退回，则车库存剩 2 件。重复上传同一个执行事件不会再次扣减备件，也不会生成第二次安装。拆下的旧件另记去向，例如待检、返修或批准处置，不能默认为一件可用库存。
库存与资产更新可能分别成功。系统保存每项处理回执与待核对差异，重试失败的一项，避免把整份报告再执行一遍。发现扫描身份或实物不符时保持待处理，不能用工单计划用量补出一条实际安装成功。
服务问题经评估进入质量与工程变更
现场现象、推测原因、验证后的根因和处置效果分别保存。服务人员提交报告，不应直接生成一个已经验证的根因。QMS 可关联同类问题与相关生产履历，判断是否需要进一步调查或处置；工程团队再评审候选改进、验证依据和适用范围。
确需变更时，按PLM 工程变更一篇的规则形成批准记录。新的产品定义、文件或服务方案明确适用于哪些新生产任务或在役产品，不能自动覆盖全部已交付产品的历史配置。现场维修完成、客户确认、费用结算和质量问题关闭也可能发生在不同时间，各自保留状态。
运行支撑怎样恢复可核对的业务
应用恢复与生产恢复分别确认
ITSM 记录故障、影响范围、责任人、处置与恢复证据。监控发现应用可访问，只说明某项技术检查通过；MES、WMS 或服务系统能否继续处理任务，还要检查业务状态和依赖。恢复过程中保留当前授权、资格、文件发布与业务锁定状态，不能从旧备份里恢复出已经撤销的资格后直接放行。
备份范围需要覆盖数据库、附件、版本文件、映射配置、消息处理位置及必要的安全配置，并采用适用的恢复保护措施。恢复点目标与恢复时间目标是计划目标，实际是否达到要由演练或故障恢复的测量证据确认。本文不设通用分钟数，也不把一次数据库还原视为整个制造业务已经恢复。
例如 MES 还原到 09:00，而仓库保留到 09:20 的实际出库。恢复后需核对这段期间的事件、库存回执和现场实物，识别已完成但 MES 暂缺的动作。不能将工单回到旧状态后再次发起全部领料，也不能为了对齐时间而撤销真实发生的出库。
离线记录保留业务时间与上传时间
移动服务端或车间终端离线时，按批准范围记录实际动作、身份、文件基线、来源设备及本地事件序号。上传时间单独保存，不能替代实际发生时间。设备时钟不可靠时记录其质量，并将相关先后关系列为待核查。
网络恢复后按稳定业务事件去重，再核对服务工单、物料、配置和资格历史。若服务器期间已经撤销工单或变更配置，离线事件保留事实与冲突，由相应责任人处置；不能使用“最后上传覆盖”让较旧的现场记录抹掉已确认的新状态。
恢复演练除了确认能登录，还应挑一组跨系统样本，核对订单、任务、领料、执行、测试、库存和回执是否一致。演练结果记录缺口、补偿动作及批准范围，正式继续运行前再完成所需确认。
业务系统分别保有自己的决定权
BPM 可以组织审批，但一次流程结束不自动等于 MES 已获准开工、QMS 已放行或 ERP 已结算。审批对象、版本、决定内容、适用范围与下游执行回执需要逐项关联。文件后来改变或任务发生实质变化时，确认原批准是否仍适用。
HR 保存组织与身份依据，资格管理保存能力确认，IAM 管理访问控制，DMS 保存受控文件，MES 和 FSM 记录实际执行，ITSM 管理运行故障。企业可以由同一产品承载多项职责，集成时仍应明确谁有权改变哪项业务状态，以及其他系统读到的是原始决定还是派生视图。
接口与 Agent 怎样验收
一条动作记录能回到当时的依据
接口共用稳定身份与映射，保留来源系统、对象编号、业务时间、接收时间、版本和处理结果。人员资格、文件发布、服务配置和执行结果各有自己的版本，不应压成单一“最新状态”。同一个动作涉及多项写入时，逐项留回执和差异，按业务事件识别重复。
| 样本 | 预期核对结果 |
|---|---|
| 有账号权限但缺岗位资格 | 本次受限动作不通过，说明缺失依据 |
| 任务仍适用 E 版，新 F 版未来生效 | 保留 E 版引用，不按最大版本号替换 |
| 09:30 生效的撤销到 10:00 才收到 | 圈定相关时段和范围，09:40 使用列为待评估 |
| 终端下载成功但无人员确认 | 只记传输回执，不补出阅读或培训完成 |
| 同一安装事件重传三次 | 仅一次备件消耗和安装关联，保留处理回执 |
| 备件扣减成功、资产更新失败 | 显示部分完成与差异，只重试未完成动作 |
| 旧部件拆下后未检验 | 保留去向与限制，不自动增加可用库存 |
| 服务工单完成但根因未验证 | 服务事实保留，质量问题继续待评估 |
| 恢复备份时有后续实物出库 | 先对账，不重复发料或改写实际发生时间 |
| 服务器已取消任务，离线记录随后上传 | 保留原事实和冲突，按权限评估后续处置 |
这些样本用于接口与流程验收设计，不表示本文站点实现了相应业务系统。上线前还需结合实际产品配置、现场角色、数据粒度和适用规则执行验证。
Agent 可以查差异和整理处置草稿
Agent 可按任务整理人员资格与文件依据，说明某次核验采用了哪条记录；按序列号列出出厂与当前在役配置差异；汇总服务问题与质量调查证据；恢复后列出需要人工核对的缺失回执。回答同时带上来源、时段、版本与未知项。
资格授予、权限调整、文件发布、在役配置修订和业务恢复批准分别使用相应的授权流程。Agent 检索到一份文档或归纳出一条建议，不能据此生成批准结果。人员和客户资料也按实际访问范围查询，不因跨系统汇总而扩大可见权限。
本篇补上了任务前的人员与文件依据，以及交付后的服务和运行恢复记录。下一篇进入工业数据平台、数字孪生与 Agent 接入，继续讨论这些分散记录怎样形成可查询、可验证的数据关系。