安全与可靠性
FacilityOS 为一条错误指令或一个丢失读数都会造成真实后果的站点而设计。下面的规则由平台强制执行，而不是依赖管理制度。
每一次修改都经过 8 步
- 申请
- 校验
- 审批
- 预检
- 执行
- 回读
- 核对
- 完成
- 申请人不能批准自己的修改。
- 设备处于手动或故障状态、数据不可信时，写入会被拦截。
- 是否成功以回读为准。没有回读就标为「结果不确定」，绝不标为「完成」。
- 急停：任何角色都能按，按下后立即停止所有写入；只有经理可以解除。
生命安全只监视，绝不控制
火灾报警、气体监测系统切断、气柜自动切断和应急电源切换，始终由经过认证或列名的系统自身完成。FacilityOS 监视这些系统，核对应有的联动是否在时限内真的发生，并通知相关人员。它绝不替代这些系统，也绝不向它们发送指令。电气保护继电器同样只读。
安全设计
- 密码用 bcrypt 保存；登录失败会锁定，按 IP 限流；支持 Microsoft Entra ID 单点登录；所有权限在服务器端校验。
- 平台与网关之间：只用 TLS，每台网关有独立账号；下发给网关的每条命令都带 Ed25519 签名和租约纪元，防止重放和旧节点误控。
- 设备凭证和通知密钥加密保存（X25519 + HKDF + AES-GCM）；API 不会返回明文，日志里也不会出现。
- 审计日志是哈希链，可以校验是否被篡改；审计表只能追加。
- 网页设置了内容安全策略（CSP）和安全响应头；外发通知禁止访问内网和云元数据地址（防 SSRF）。
- 2 小时无操作自动退出登录。
- 已完成多轮安全审查，并记录了发现的问题和修复。
可靠性
- 控制在现场：平台断开时，PLC 和 DDC 继续控制设备。
- 网关只向外连接，现场不需要开放任何入站端口。
- 断网缓存补传：断网期间网关把每个读数写入磁盘上的持久化日志（默认最多 30 天或 2 GB），恢复后按原顺序补传；不会丢失，也不会重复；万一写满，缺失时段会被上报并显示为缺口。
- 过期数据标为过期，在趋势图上显示为缺口；绝不编造数值。
- 高可用：多节点主备或多活，自动接管；备份与恢复；Prometheus 监控指标。
有护栏的 AI
AI 助手默认关闭，需要平台、客户和站点三方都开启。发送的内容先脱敏，不含任何凭证和个人信息；API 密钥加密保存且只写不读，每次请求都记入审计。公开演示站只使用本地模拟。