部署关注点
故障回退与人工接管
说明连接、遥测、BMS 接收动作或设备条件变化时，ClimaMind 如何让现场运营人员保留控制权。
故障回退是部署边界，不是营销承诺。批准后的现场设计必须定义 ClimaMind 何时只观察、何时建议、何时写入、何时暂停，以及何时回到 BMS 原生故障回退。这是在操作员批准的控制边界内承担责任的自主优化。
故障回退触发条件
哪些情况应该暂停或收窄控制
具体阈值要按现场确定，但这些类别应在受监督写入启用前完成审查。
连接中断
如果边缘设备、BMS 路径或批准后的网络路径不可用，ClimaMind 应停止依赖主动写入，并保持现场已批准的故障回退状态。
遥测失效或过期
如果必需点位停止更新、超出可信范围，或与设备状态冲突，写入应在证据完整前暂停。
BMS 拒绝写入
被 BMS 拒绝的命令本身就是运行信号。系统不应在约定命令路径或数值限制之外持续重试。
人工接管
人工权限始终属于设施团队。操作员的修改、模式切换或手动命令应进入记录，并被优化工作流尊重。
控制状态
用明确的运行模式表达权限
当现场能区分观察、建议和受限写入权限时，部署边界会更清楚。
只读监测
ClimaMind 读取批准范围内的 BMS、计量和运行数据，但不建议或写入控制动作。
- 适合数据校验、安装后检查和问题调查。
- BMS 原生故障回退是唯一主动控制路径。
建议模式
ClimaMind 可以生成建议，但设施团队或 SI 决定是否执行以及如何执行。
- 建议动作应包含原因、受影响点位、预期方向和已检查约束。
- 在可用情况下，应记录操作员接受或拒绝。
受监督写入
ClimaMind 只能写入部署审查中批准的点位、范围和变化速率。
- 写入权限应保持窄边界：点位清单、数值范围、变化速率、日程和运行模式。
- BMS 原生故障回退和本地设备保护措施仍然保留。
操作员权限
现场团队应始终掌握什么
人工接管不只是紧急功能，而是监督系统部署后的正常运行模型之一。
- 运营人员可以通过约定的现场工作流暂停、接管或反转优化。
- 在数据可用时，ClimaMind 应记录控制动作、连接中断、点位过期、人工接管、BMS 拒绝和恢复写入决策。
- 除非客户批准其他边界，BMS 仍是操作员界面、报警层、原生控制序列层和本地安全权威。
- 故障回退行为应足够平稳：ClimaMind 控制丢失后，现场应回到明确的 BMS 控制状态，而不是混合控制的模糊状态。
恢复
恢复写入必须经过明确判断
一次故障回退事件本身不能自动证明闭环控制已经可以恢复。
- 确认遥测新鲜度、命令路径健康状态、BMS 接收情况和相关设备状态。
- 判断人工接管是紧急动作、维护动作，还是常规偏好反馈。
- 如果问题改变了批准后的运行边界，应先回到只读监测或建议模式。
- 如果事件影响验收、M&V 解释或客户批准，受监督写入恢复前应记录未关闭事项。