拥有中央控制室、生产厂区和远程变电站的企业，需要在正常运行时共享调度态势。当某个厂区失去WAN连接时，工作人员仍然需要本地应急通话、安全广播和无线协同。架构必须明确各站点能够独立运行的功能，以及之后如何恢复中央权限。
将中央管理与关键本地服务分开
光纤中断、路由器故障、VPN中断、防火墙变更或中央服务器故障，都可能使仍在工作的本地设备陷入隔离。即使是同一建筑内两部电话之间的通话，也可能依赖远程SIP信令或远程媒体中继。在将服务称为本地服务前，应追踪这两条路径。
| 故障 | 连续性要求 |
|---|---|
| WAN或VPN不可用 | 本地注册、路由、认证和媒体接入 |
| 中央SIP或调度服务不可用 | 经过测试的备用服务或本地控制器 |
| 中央操作席位不可用 | 有人员值守的本地或替代应答组 |
| 中央数据库不可用 | 按需提供本地事件存储与录音 |
| 仅部分站点重新连接 | 各站点独立的状态和控制权归属 |
将功能分配到三个通信层
中央层通过调度控制台、SIP服务、录音、告警、数据库及可选GIS协调已连接的站点。它维护组织统一的号码规划、角色及路由策略，并可建立获得授权的跨站点电话或无线组。
站点层可以采用本地SIP服务器、本地容灾网关、广播控制器或调度设备。应明确其在隔离期间实际支持哪些本地通话、应急号码、告警输入、无线网关及广播分区。全局目录、视频、报表和跨站点会议可能不可用。
现场层包括工业电话、呼叫站、对讲终端、麦克风、扬声器、无线电终端及接口。在提供兼容接口和本地路由的条件下，网关可连接模拟电话、公共广播功放或无线系统。仅支持SIP并不意味着具备这些集成功能。
贝克通信融合通信系统介绍了更广泛的集成背景；拟议配置的本地持续运行能力、容量、许可证及依赖项仍须确认。
在故障前明确权限
总部通常负责跨站点协调和公共配置。本地操作员响应站点的即时紧急事件，保留获批的本地广播权限并维持本地无线信道。中央监控不得成为发出紧急本地警告的前提。组织范围的优先覆盖需要明确授权的角色和经过测试的优先级策略。
记录每个事件和分区的负责人、谁可请求接管以及谁确认移交。正在处理的本地紧急事件可保持本地控制，直至结束或正式交接。在两端控制台显示当前负责人和可用功能；不要将隔离站点显示为可达。
将回退设计为受控切换
通过适当的心跳、注册检查及路由监测发现服务故障；路由器可达不代表调度正常。
在配置的时间内重试，再测试可用的备用服务器或独立网络路径。
满足回退条件后，启用获批的本地拨号计划、应答组、广播及网关接入。
显示隔离状态，限制不可用的跨站点操作，并记录切换及后续操作。
部分终端支持多个注册目标；其他终端需要兼容网关、DNS设计或集群机制。应按终端类别验证重试间隔、注册恢复、回归行为及活动通话处理。兼容SIP并不意味着无缝切换或现有通话得以保留。
服务自动回退可以与主管批准指挥权接管并行。使用稳定性计时器及明确的状态变更，防止链路时断时续时反复切换。应测试一端能够发送但无法接收的非对称故障。
检查依赖项并保护本地接入
本地控制器无法弥补LAN故障、PoE交换机断电或功放不可用。备用电源计算应涵盖所需交换机、服务器、网关、扬声器及操作席位。风险评估要求时，应避免冗余服务共用主机、上联及供电回路。
在无法访问中央服务时，验证本地DNS、地址分配、凭据、证书、授权、时间服务、存储及许可证行为。提供受控的本地账户、最小权限角色、安全管理、受限的信令与媒体路径以及受保护的录音。不能仅因站点隔离就绕过认证。
蜂窝、卫星或区域备用路径只有在覆盖、电源、容量、路由及安全仍然可用时才有效。容量受限时，应优先保障关键告警摘要和语音，而非大批录音或视频。外线呼叫需单独测试：本地分机服务可用不能证明公共网络路由仍然可用。
防止部分恢复期间发生控制冲突
为各站点维护独立状态。已连接的厂区、隔离的变电站以及使用备用链路的站点，可能同时需要不同控制模式。站点标识及分区映射必须防止呼叫或命令到达错误地点。
为避免分裂控制，平台需要经过测试的控制权归属与隔离机制，拒绝无权控制器发出的命令。如果两个控制器仍都接受操作，单独的状态标记并不足够。应明确无法确认控制权归属时的行为，并在经过认证的交接完成前限制中央操作。
为并发广播设定确定性规则：总部的日常音频不得挤占本地疏散消息。任何更高优先级的中断、排队或拒绝，都必须得到控制器、网关及接收设备的共同支持。SIP注册不能证明支持优先级或抢占。
恢复服务并核对记录
恢复控制权前，先通过稳定连接验证SIP、调度、数据库、认证及媒体服务。检查活动告警和未完成任务。在设计允许时保留正在进行的紧急通话与广播；否则应记录中断风险及操作流程。两端都须确认移交。
上传本地保存的事件和录音时，应使用持久事件标识、站点和设备身份、原始时间戳及接收时间。重试须避免重复，保留失败传输，并报告文件缺失、存储耗尽及未解决冲突。应关联重复事件记录，而不是静默覆盖确认状态或删除证据。
维持适当的本地时间源或经过评估的时钟保持能力。记录时钟质量和校正；时钟漂移时，单靠时间戳无法可靠排列事件。NTP同步时钟，但不会核对事件数据库，也不保证隔离运行期间的准确性。
测试完整的故障与恢复场景
分别断开WAN和VPN，停止中央SIP及应用服务，撤去中央操作员，隔离多个站点并逐一恢复。应在通话和广播进行中、中央与本地同时请求、身份服务不可用以及存储受限条件下重复测试。纳入适合该设计的LAN和电源故障。
测量检测时间、新呼叫恢复时间、中断的通话、可用的降级服务及受控回归时间。验证现场双向音频、实际扬声器输出、无线接入、时间戳及已传输文件。注册、呼叫已应答或存在录音条目，都不能证明广播可被听到。操作员应演示降级流程及恢复交接。
常见问题
站点必须独立运行多长时间？
应根据站点风险及预计修复时间设定时长，再据此配置电源、人员、存储和许可证。不存在通用的回退持续时间。
多个站点能否共用区域备用中心？
可以，前提是存在独立且可用的连接路径。关键站点可能仍需要现场服务，因为一次区域故障就可能切断两个中央节点。
模拟电话能否保持可用？
可以，通过有电源的本地网关或PBX，配备合适的模拟接口及独立本地路由。应在预期故障条件下确认完整通话路径。
SIP产品是否自带本地持续运行能力？
不一定。应分别验证终端故障切换、本地服务器功能、网关集成、录音容量及许可证。针对终端的运行方式，可参阅调度平台故障期间的本地通信。
技术参考
RFC 3261定义SIP会话信令；RFC 3550说明RTP传输及其交付限制；RFC 5905规定NTP时钟同步。上述连续性及权限要求属于系统设计决策，须通过项目验证。
