无人借阅怎么上云：开柜会话、库存对账与异常关单幂等

无人借阅的难点不是电子锁，是「柜格-图书-读者会话」三方对账

无人借阅场景通常长这样：读者小程序授权与押金/信用校验 → 扫柜开格 → 取书或还书 → 柜门关闭触发盘点或重量/RFID 复核 → 生成借阅单或还书单 → 逾期与赔付结算。演示日一切顺利；上线两周后出现：柜开了但借阅单没有、还书显示成功库存却仍借出、读者重复扫码双开相邻柜、异常开门后图书去向不明。

这些问题很少靠「再买一批锁」解决，而要靠工程上把开柜会话、库存账本、设备事件幂等和异常关单设计清楚。本文按腾讯云拼装思路拆：领域分层、借还会话状态机、表结构、开柜时序、库存对账、失败模式与观测。不写虚高的柜机数量或报价，只谈系统怎么追得到「哪一格在什么时间对哪一本 ISBN 做了什么」。

领域分层

硬原则：

1. 开锁回执不是借阅成立——借阅成立依赖「关门后的库存差分 + 规则确认」。
2. 库存账本只追加分录——不要只改 status 字段不留流水。
3. 运维远程开柜与读者自助开柜分通道——原因码与审计必须可区分。

借还会话状态机

以「一次开柜会话」为中心，而不是直接改图书状态：

• INTENT_CREATED：读者选择借/还，完成信用校验
• UNLOCK_SENT：已下发开锁
• DOOR_OPEN：门磁确认打开
• ACTION_WINDOW：取还动作时间窗内
• DOOR_CLOSED：门关闭，待盘点
• RECONCILING：RFID/重量/视觉盘点中
• CONFIRMED：借出或还入确认，写库存账本
• EXCEPTION：差分异常（多本、少本、非本柜图书）
• CLOSED：会话关闭
• FORCE_CLOSED：超时或运维强制关单

图书册（copy）状态：IN_CABINET / BORROWED / IN_TRANSIT_EXCEPTION / LOST / MAINTENANCE。册状态只由账本事件驱动。

约束：时间窗超时未关门 → 告警工单，不自动假定借出成功；EXCEPTION 必须人工或二次扫描消解后才能清柜。

表结构草图

1. cabinet / slot：柜机与格口（lock_device_id、sensor_type）
2. biblio / copy：书目与馆藏册（ISBN、barcode、当前 slot_id、status）
3. reader_account：读者与信用/押金
4. borrow_session：开柜会话（reader_id、cabinet_id、slot_id、mode=BORROW/RETURN、status、idem_key）
5. unlock_command：指令（session_id、cmd_id、ack_status）
6. inventory_ledger：库存分录（copy_id、from_status、to_status、session_id、operator、idem_key）
7. loan：借阅契约（copy_id、reader_id、due_at、status）
8. device_event：门磁/RFID 事件（event_id 唯一）
9. exception_case：异常案卷（差分快照、处理结果）

索引：(reader_id, status) 未关会话；(copy_id, status)；loan 逾期扫描；幂等键唯一。

时序：扫码借书

1. 小程序选借书并扫柜码，服务端校验可借额度，创建 borrow_session（INTENT_CREATED），预占额度。
2. 下发开锁，UNLOCK_SENT → 设备 ACK → DOOR_OPEN。
3. 读者取书后关门，DOOR_CLOSED → RECONCILING。
4. 盘点：若 RFID 读到唯一本馆册且规则匹配，写 inventory_ledger 与 loan，会话 CONFIRMED → CLOSED，释放无关预占。
5. 若读到 0 本或多本/外部标签，进 EXCEPTION，锁定格口并开运维工单；读者端展示「待确认」而非假成功。

还书对称：开门前可选扫册号预绑定；关门后校验回格或任意还书格策略。

幂等：会话创建用客户端 nonce；开锁 cmd_id；库存分录 (session_id, copy_id, action)；设备事件 event_id。

库存对账与日终

无人柜最怕「账实长期漂移」。建议：

1. 会话级差分：每次关门盘点与开门前快照比。
2. 日终全柜盘点：低峰对 RFID 巡检，输出差异报表。
3. 借阅中与在柜互斥约束：数据库层用状态检查约束或触发器思想（应用层条件更新）防止双借。
4. 丢书赔付：LOST 由案卷确认后生成赔付单；禁止客服直接改库存无分录。

腾讯云上可用消息队列异步跑日终，COS 存盘点原始报文，TDSQL-C 存账本，CLS 查链路。

失败模式

1. 门开超时未关：会话保持 DOOR_OPEN，推送提醒 + 值守；不创建借阅。
2. 重复扫码：同一读者对同柜未关闭会话则返回原会话，不第二把锁。
3. 邻格误开：指令绑定 slot 与柜地址校验；固件拒绝越权格号。
4. 还书放错格：策略可「任意还入再调度上架」或「严格原格」；严格模式下进异常。
5. 网络断开：柜端本地拒绝新开锁或进入安全模式；恢复后事件补传去重。
6. 押金解冻竞态：还书确认事件驱动解冻；重复事件幂等。

小程序 / 柜端 / 运维 H5

• 读者小程序：找柜、借还、我的借阅、逾期支付。
• 柜端平板（可选）：辅助扫码、显示格口。
• 运维 H5：远程开柜、消异常、补书上架；所有远程开柜写审计。

接口与事件

• POST /borrow-sessions 创建意图
• POST /borrow-sessions/{id}/unlock
• POST /device-events 门磁/RFID
• POST /exception-cases/{id}/resolve
• GET /loans 我的借阅

事件：DoorClosed、LoanConfirmed、ReturnConfirmed、InventoryException、ForceClosed。

观测与测试

指标：开锁成功率、会话确认率、异常率、平均开闭门时长、账实差异数、逾期回收率、远程开柜次数。

测试：重复开柜意图、关门无差分、多本误取、还书错格、事件重放、日终对账、押金解冻重放、断网补传、运维强制关单。

信用、押金与逾期结算

无人借阅若只有「开柜」，没有「契约与结算」，坏账与纠纷会淹没运营。建议把借阅契约 loan 与费用单据拆开：

1. 借出确认时写入 due_at（按馆藏规则或读者等级）。
2. 日批扫描逾期，生成 overdue_charge（可宽限期）；支付成功写分录，失败保持欠费标记并限制新开柜。
3. 押金账户独立：冻结、解冻、扣赔都走资金账本，与图书库存账本分离，避免「还了书却解冻失败」时互相覆盖字段。
4. 丢书赔付由 exception_case 确认后生成赔付单；读者小程序可见凭证与申诉入口，申诉不直接改库存，只开工单。

云上可用异步队列跑逾期批处理，支付回调用 pay_request_id 幂等。切记：前端显示「已还清」必须以结算单成功态为准。

RFID / 重量传感器融合时怎么定「真相」

单一传感器会骗人：RFID 漏读、金属柜体干扰、重量漂移、读者把包放在柜沿。工程上建议定义「确认策略」配置，而不是写死在代码：

1. STRICT_RFID：关门后必须读到期望集合才确认；否则 EXCEPTION。
2. RFID_OR_WEIGHT：RFID 成功优先；失败则看重量差分是否落在册重容忍区间（需维护册重数据，冷启动难）。
3. MANUAL_CONFIRM：读者在小程序勾选所取 ISBN 并拍照，运维抽检；适合早期试点。

会话在 RECONCILING 应记录本次使用的策略版本与原始传感器报文对象键，便于日后改策略后回放旧案。切忌用前端「我确认拿走了」单独作为借出真相，除非明确接受欺诈成本并配套押金与风控。

并发读者与柜侧队列

高峰期同一柜机多人扫码：

• 柜级互斥：同一 cabinet_id 同时只允许一个 DOOR_OPEN 会话（或按门分组互斥）。
• 读者队列：后者进入等待态并收到预估等待；前者超时未开锁则轮到后者。
• 防饿死：等待时长上限后失败返回，引导去邻柜。

实现可用 Redis 分布式锁 + 会话租约；锁键必须包含柜 id，禁止全局一把大锁把整馆打串行。

补书上架与调拨

运维补书走独立 restock_session：远程或钥匙开柜 → 放入 → 关门盘点 → 写 IN_CABINET 分录。调拨出柜同样留分录。禁止运维为了省事直接改 copy.slot_id 无会话，否则日终对账永远有幽灵册。

隐私与未成年人

借阅记录属于敏感个人信息范畴时，导出与值守查看需权限与审计；展示层默认脱敏。若业务包含未成年人读者，开柜策略与时长限制应可配置，并与监护人账号关联（产品规则），技术侧保留闸门而不是事后手工改库。

小结

无人借阅上云的关键，是把 开柜会话、设备事件、库存账本、借阅契约 拆开又用幂等键对齐。腾讯云的网关、TDSQL-C、消息队列与 IoT 可以承载这条链，但若用「开锁成功就借出」的短路逻辑，柜机越多，对账越疼。先把状态机与分录模型做对，再谈更多传感器融合。