系统架构、主数据、权限与连续性

10.1 一条预订如何穿过系统

正在绘制业务流程…

接口成功不等于业务成功。渠道返回“确认”后还要有酒店预订号和房量扣减；PMS显示“已支付”要与支付机构权威状态核对；门锁发卡成功不证明身份登记完成；POS挂房成功要核对房账路由；治安登记、营销会员和集团分析是不同目的，不能因技术上可连就无边界互通。

10.2 十类关键主数据

主数据	业务所有者	关键字段	变更控制
酒店/主体	法务+财务	经营主体、许可、地址、收款开票、业主/品牌关系	主体变更须评估合同许可支付发票和数据
物理房间	工程+客房	房号、楼层、逃生/无障碍、设备、门锁	改造后现场复核，不只改PMS
房型	收益+运营	容量、床型、面积/设施、可住人数	渠道逐一映射并回归测试
房价计划	收益+法务/财务	日期、权益、总价、取消、支付、税费	版本化，已成立订单不追溯覆盖
渠道	电商+财务	合同主体、佣金、促销、结算周期、接口	新渠道先沙箱/小流量验证
客户/企业	销售+财务	主体、联系人、协议、额度、发票与付款	关键账户/主体双人复核
服务项目	运营+财税	早餐、会议、洗衣等价格和入账科目	POS、PMS和发票映射一致
支付方式	财务+IT	商户号、结算账户、退款路径、费用	改账户独立回拨与审批
供应商/物料	采购+使用部门+财务	规格、批次、账户、税务、验收	建档、收货、付款权限分离
员工/角色	人力+IT	门店、班次、职责、有效期、代理	入转调离及时撤权，临时权自动到期

10.3 权限矩阵的最小原则

高风险动作	发起	批准	执行/复核	必须留痕
开放停用房	工程提出恢复	工程负责人/值班授权	客房复检+收益接收	故障、复测、时间、人员
手工改房价	前台/收益	按差额阈值	夜审复核	原价、原因、客人同意和版本
冲账/免费房	前台/部门经理	财务/经营授权	夜审独立复核	房账行、原因、工单
退款/赔付	客服/前台	业务+财务	财务原路执行	原交易、受益人、审批、结果
修改收款账户	财务主数据	独立授权人	资金复核后生效	原联系人回拨和银行证明
查住客证件/房号	有明确服务或法定义务岗位	角色预授权	隐私/安全抽查	查询人、目的、时间、对象
导出住客名单	业务负责人	隐私/安全按场景批准	IT限时脱敏导出	字段、接收人、保存期限
改历史营业日	夜审/财务发起	财务负责人	冲正而非覆盖	原版本、新版本、理由

共享前台账号、把管理员密码贴在收银台、让离职员工继续访问云PMS、通过工作群发送证件照或完整住客名单，都会破坏问责。紧急“破窗权限”可以存在，但应限时、说明事件号、实时告警并事后复核；不能把紧急机制变成日常便利。

10.4 数据生命周期

预订前只采集完成报价和确认所需信息；入住登记按明确法定义务和服务目的采集；在住期间按房账、门锁、安全和服务工单分别限制访问；离店后依据合同、会计税务、治安、安全、争议和营销同意确定不同保存期限；到期删除、匿名化或依法继续保存。集团汇总优先使用门店、日期、房型、渠道等非识别指标；研究客群时先问是否真的需要姓名、证件、房号和完整行程。

数据请求要能回答六问：谁请求；为了什么目的；需要哪些字段；由谁批准；传到哪里和保存多久；如何删除与证明。境外总部、海外品牌系统、境外OTA或国际客户要接收大陆住客数据时，不因“同集团”“行业惯例”自动放行，进入R10的数据出境和当地隐私双重决策。

10.5 故障时的降级运行

故障	立即控制	允许的降级	恢复后对账
PMS不可用	冻结高风险改价冲账，启用编号应急表	已确认预订按授权最小登记与手工房卡流程	逐单补录、去重、房账支付核对
渠道接口失败	暂停问题渠道或设置保守房量	人工确认仅限授权值班	推送日志、漏单、重复单和超售回归测试
门锁系统故障	安保控制钥匙和进出	机械钥匙/应急卡双人领用	全部卡撤销、开门日志和房态核对
支付故障	不重复扣款，保存失败码	现金/转账等仅按批准替代方案	银行流水、重复扣、待退款逐笔认领
网络/登记接口故障	联系授权支持并保存时间证据	按业务日主管机关允许的应急要求执行	恢复后依法补报/核验，不自创规则
火警/关键设备报警	生命安全和应急预案优先	不以系统故障为由忽略疏散	事件、设备、人员、录像和恢复批准

每季至少做一次组合演练：晚高峰PMS中断、满房、支付不通并出现一个设备报警。验收不是“系统最后恢复了”，而是应急期间没有多卖房、错发卡、漏登记、重复扣款或丢失审计链，恢复后所有临时记录已对回权威系统。