成熟工作流必须允许失败。系统出错后连续重试，可能扩大文件修改、重复发送或重复写入。第一动作应该是停止影响，再确定状态。