安全要求

哪些检查不能省

FSP 在操作执行前校验对象、操作和系统，并在资源独占条件下复核会变化的现场条件；设备本地控制器保留最终硬件保护权。编译、仿真或自然语言内容不能绕过任一层。

身份与权限 → 请求解析与幂等查询 → 契约版本与参数检查
→ 对象和系统预检查 → 资源预留及受理持久化
→ 锁内复核状态、修订号与安全围栏 → 下发 → 实际结果验证

动作前检查失败，服务端不得下发物理动作。受理前的解析、鉴权等错误可以使用厂商接口的错误格式；受理后失败必须保留对象、操作、系统三个维度的结果。返回幂等历史结果仍须校验读取权限，不得因重新检查旧版本号而把同一已受理请求变成一次新执行。

必要的限位、单位、坐标、校准或对象身份无法确认时，必须拒绝相应动作，不得把缺失约束解释为无限制。调用方省略围栏字段不能关闭服务端强制围栏。取消任务不是物理急停，软件也不得把控制器 ACK 解释为机械机构已经停止。

每次操作至少记录调用方、设备、操作标识、对象摘要、操作参数摘要、系统版本号、任务标识、实际结果、安全检查、注意事项和诊断编码。日志不得记录密码、内部堆栈或未脱敏样品秘密。