系统、数据、接口与权限

10.1 一条可信的资产状态链

正在绘制业务流程…

系统集成的目标不是“所有数据进一个大屏”，而是关键事实只有一个权威来源：客户主体由CRM/主数据治理，合同订单由租赁ERP，物理状态由EAM结合授权事件，维修由CMMS，计费结果由ERP，凭证和回款由财务。BI只汇总，不允许反向随意改明细。

10.2 资产主数据最小字段

资产ID、序列号、制造商型号、权属主体、登记/备案状态、融资限制、购置成本、启用日、经济寿命、残值、所在网点、当前状态、当前订单、小时/里程、能源、保险、检验、下一维护、关键附件、事故标签、物联设备、照片和处置状态。任何资产若没有唯一ID，不得进入订单。

10.3 状态与物理现实必须定期核对

系统显示“可租”但实物在客户现场，是重大问题；显示“维修”但设备已发出，同样危险。每天自动找重复锁定、无订单移动、物联离线、维修未关闭却放行、检验到期、退租未回场和财务仍计费等异常；每月做实物盘点与系统对账。差异不能通过直接改状态消除，要先建差异事件和调查责任。

10.4 最小权限矩阵

动作	申请	审批/执行	禁止组合
改报价与折扣	销售	授权价格岗	销售自批超限折扣
改信用额度	销售/信用	独立授权人	同人建客户并放额度
标记安全冻结	维修/安全	安全可立即冻结	无人可阻止紧急冻结
解除安全冻结	维修提交测试	安全放行	销售/调度直接解除
修改计租事件	客服/运营	双人复核	财务用手工覆盖原始事件
保证金退款	客服/财务	授权复核	收款人单独改账户并退款
损伤扣款	交接/维修	法务财务会签	单凭照片自动扣全款
资产处置	资产岗	经营/财务法务	建档人独自低价出售

10.5 车辆和物联数据

位置、轨迹、驾驶证、身份证、面部核验和行为数据应遵循目的限定与最小必要。销售看客户联系信息，不应默认看到全量轨迹；维修看故障和设备位置，不一定需要身份证；客服处理事故需要临时扩大权限时，要有事件号、时限和日志。对分时租赁平台，还要把账号、车辆控制、用户资金、异常登录和远程指令纳入安全测试。

10.6 数据质量的六项自动门

1. 资产ID在任何时点只能有一个主要物理状态；
2. 在租状态必须关联有效合同、客户和计租规则；
3. 安全冻结资产不能被新订单锁定；
4. 计租开始不得早于有效交付证据，终止不得晚于已批准退租口径；
5. 开票金额与批准对账一致，差异必须有折让/变更单；
6. 保证金余额等于逐客户收取、扣款与退款流水之和。

10.7 网络中断与手工降级

现场无网时可以使用预编号离线交接包，但不得用无编号白纸替代。恢复网络后由交接人上传原始文件，系统保留离线时间、上传时间、定位和审核人；若关键数据冲突，计费进入待审核而非自动选择对公司更有利的版本。远程停机或车辆控制必须评估人身安全，任何系统功能都不得让客服在不知道现场状态时一键执行危险动作。