Progettare l'illuminazione per il giorno in cui qualcosa manca.

Il percorso essenziale deve essere il più corto.

Separa quattro livelli: potenza e uscite, controllo locale, integrazione nella LAN e servizi remoti opzionali. Un comando fisico essenziale dovrebbe raggiungere il controller senza attraversare Internet. La configurazione locale dovrebbe restare accessibile anche se l'account del fornitore non esiste o non è disponibile.

Scrivi il comportamento prima di provocare il guasto.

• Internet assente: comandi locali e configurazione essenziale restano disponibili.
• Access point assente: pulsanti o ingressi locali mantengono le funzioni definite.
• Riavvio controller: uscite tornano in uno stato sicuro e documentato.
• Integrazione bloccata: timeout impediscono che una richiesta trattenga il sistema.
• Fornitore non disponibile: configurazioni e interfacce documentate restano al cliente.

Proprietà significa poter operare e migrare.

Il cliente deve sapere dove sono configurazione, log e credenziali, come esportarli e chi può modificarli. Le integrazioni dovrebbero usare interfacce documentate e identità revocabili; non account condivisi o segreti inseriti senza inventario.

Aggiornamenti e accesso remoto richiedono una politica separata: autenticazione, firma, rollback, finestra di manutenzione e comportamento se l'aggiornamento fallisce. Local-first non significa mai aggiornare; significa non perdere il controllo operativo per aggiornare.

Collauda senza Internet, non soltanto con Internet.

Durante la consegna scollega WAN, spegni temporaneamente l'access point, riavvia alimentatore e controller e simula l'indisponibilità dell'integrazione. Registra quali funzioni continuano, tempi di recupero e stato delle uscite. Il risultato diventa parte della documentazione dell'impianto.