安全與可靠性
FacilityOS 為一條錯誤指令或一個丟失讀數都會造成真實後果的站點而設計。下面的規則由平臺強制執行，而不是依賴管理制度。
每一次修改都經過 8 步
- 申請
- 校驗
- 審批
- 預檢
- 執行
- 回讀
- 核對
- 完成
- 申請人不能批准自己的修改。
- 裝置處於手動或故障狀態、資料不可信時，寫入會被攔截。
- 是否成功以回讀為準。沒有回讀就標為「結果不確定」，絕不標為「完成」。
- 急停：任何角色都能按，按下後立即停止所有寫入；只有經理可以解除。
生命安全只監視，絕不控制
火災報警、氣體監測系統切斷、氣櫃自動切斷和應急電源切換，始終由經過認證或列名的系統自身完成。FacilityOS 監視這些系統，核對應有的聯動是否在時限內真的發生，並通知相關人員。它絕不替代這些系統，也絕不向它們傳送指令。電氣保護繼電器同樣只讀。
安全設計
- 密碼用 bcrypt 儲存；登入失敗會鎖定，按 IP 限流；支援 Microsoft Entra ID 單點登入；所有許可權在伺服器端校驗。
- 平臺與閘道器之間：只用 TLS，每臺網關有獨立賬號；下發給閘道器的每條命令都帶 Ed25519 簽名和租約紀元，防止重放和舊節點誤控。
- 裝置憑證和通知金鑰加密儲存（X25519 + HKDF + AES-GCM）；API 不會返回明文，日誌裡也不會出現。
- 審計日誌是雜湊鏈，可以校驗是否被篡改；審計表只能追加。
- 網頁設定了內容安全策略（CSP）和安全響應頭；外發通知禁止訪問內網和雲後設資料地址（防 SSRF）。
- 2 小時無操作自動退出登入。
- 已完成多輪安全審查，並記錄了發現的問題和修復。
可靠性
- 控制在現場：平臺斷開時，PLC 和 DDC 繼續控制裝置。
- 閘道器只向外連線，現場不需要開放任何入站埠。
- 斷網快取補傳：斷網期間閘道器把每個讀數寫入磁碟上的持久化日誌（預設最多 30 天或 2 GB），恢復後按原順序補傳；不會丟失，也不會重複；萬一寫滿，缺失時段會被上報並顯示為缺口。
- 過期資料標為過期，在趨勢圖上顯示為缺口；絕不編造數值。
- 高可用：多節點主備或多活，自動接管；備份與恢復；Prometheus 監控指標。
有護欄的 AI
AI 助手預設關閉，需要平臺、客戶和站點三方都開啟。傳送的內容先脫敏，不含任何憑證和個人資訊；API 金鑰加密儲存且只寫不讀，每次請求都記入審計。公開演示站只使用本地模擬。