← 书籍详情在线翻页PDF
封面

AI时代信任的困境和出路

当每一种说法都像真的

石奇志 著 · 德麦国际专著第 305 号 · ISBN 979-8-90690-648-9 · 约 20 万字

目录（作者介绍 · 前言 · 导读 · 导论 · 六编四十章 · 结语 · 参考书目 · 附录六件）

作者介绍

石奇志，笔名葡萄。2006 年毕业于郑州大学软件开发专业，此后在 IT 行业工作十余年，长期和系统、流程、账户与权限打交道。2022 年起跟随王德生博士研习 SDE 发生学，关注语言、关系与行动怎样一起长出意义、身份和秩序。

著有《特征纠缠解码》（与王德生合著，德麦国际专著第 5 号）、《教会的智慧》（第 85 号）、《葡萄讲杜威的教育哲学》（第 170 号）。本书是「AI时代的文明困境和出路」丛书第 14 本。

前言

当熟悉的样子不再足够

我们每天都在把事情交给别人：母亲接一个电话，出纳处理一笔付款，家长读一条班级消息。托付并不总从郑重承诺开始，更多时候只是听见熟悉称呼，看见惯常格式，便接着行动。合成技术增加了某些表象被复制的可能，使这个熟练动作需要重新检视。

然而，可信从来不只是表象。固定的店铺、清楚的授权和可以再问一次的人，早就在支持我们的放心。本书不把这些旧安排装成新发现，也不宣布查验全部失效。它将注意力放在一个常被省略的连接：事实核对的结论，怎样进入具体行动；行动出了问题，谁能回应，带着什么资源回应，又如何改变下一次。

全书的总命题压成一句是：在重要托付里，可托付不是信号的属性，也不是损失的补偿，而是后果的去处：一个有名字、有钱、并且有权把这一次改进下一次的位置。从前，一个人的脸、声音和签名，与他签字之后跑不掉的那个位置长在同一个人身上，验得过与认得起是捆在一起的；我们验脸，其实是借脸找人。合成技术攻击的不是真假，而是这个捆绑：它能成批造出验得过的信号，却造不出一个认得起的人。本书把这叫作"验认脱钩"。脱钩之后，人们常把出路想成两种：要么把验做得更细，要么把钱赔得更快。本书押的是第三种：让人放心的，不只是这一次赔多少，而是有没有一个位置能把这一次改进下一次。这一点前人并非没想到：联合国的补救原则早有"保证不再发生"，信任修复研究也早知道"会不会改"比"认不认错"更要紧。本书切开的是一处新地方：在那些研究里，保证不再发生的是犯错的一方，它的力量一部分来自悔过；合成冒充里，犯错的人不在场，被追问的位置没有过错，无从悔过。本书主张，"不再发生"由此从悔过变成职能，由一个没有过错、却有权改规则的位置来持有。为此本书设计了一个六格情境实验来检验它。

"认账时距"由此被提出。它不是修复时长，而是承担时长：不量机构多快修好，而量受影响的人多快拿到一个有名字、有权限、有资源的接口。它把从事发到有效公开承担之间的时间留下来，不用一声道歉冒充处理，也不把尚未承担的事项从样本删掉。但一把新尺不能靠定义证明自己有用。事件复杂度、公开信息和机构资源，都可能影响读数，因此本书将检验设计和作废条件与主张一同交出，并为它写下五个预言，每一个都有数值输赢线、未能检验的条件和结算日。本书也不是第一个想到给承担定时钟的：法与经济学的责任分配、联合国申诉机制的时限标准、英国医疗的坦诚义务、英国2024年起的诈骗强制返还、信息安全里的事后问责与安全经济学，都走到了很近的地方。第35章逐一向它们让路，并把其中英国的强制返还当作一场正在进行的自然实验。

书中的家庭、小公司和新闻号不是作者亲历，而是逐步展开的构想。它们让读者看见规则怎样使用，也看见规则怎样失守。能够接收这些失守并改变安排，比保证以后永远不出错更接近本书希望建立的可靠。

导读

这本书怎么用

◆一、一句话

在重要托付里，可托付不是信号的属性，也不是损失的补偿，而是后果的去处。从前，验得过的脸和认得起的人长在同一个人身上；合成技术把两者拆开了，本书叫它"验认脱钩"。脱钩以后，再把验做得更细，只是给一个已经失去被代理物的代理指标多加小数位。本书把注意力挪到另一处：出了错，后果往哪里去、多久到、下一次改了什么。

◆二、六编怎么走

编 做什么
第一编 旧办法为什么曾经管用：印章、证件、柠檬市场与"验过了"的位置
第二编 验这一层怎样被生成掉：香港案、家里的电话、新闻、交易与身份
第三编 从验真到认账：认账单元、粗粒度分级、替罪羊陷阱（第14章是全书的枢纽）
第四编 出路方法：三方程体检、六路径、三原理、事前与事后认账、异议入口
第五编 三个示范：一个家、一家小公司、一个本地新闻号，各有复盘
第六编 读数与边界：认账时距怎么量、怎么被做假、五个预言与本书的死法

◆三、三种读法

急着用的读者，读第25至28章，再看附录二"实施前的一页检查"。想先看例子的，从第五编三个示范读起，再回到第三编。做研究的，读第14章、第35至38章与附录三，再看附录六本书自认最弱的地方。

◆四、五个预言

预言 检验什么 结算日
一 认账快的事件，此后同类复发是否更少（并控制修复时长） 2028年12月31日
二 只靠来源凭证，能否压低冒充类损失 2029年年报发布后
三 认账单元是否以放松事前把关为代价 2028年12月31日
四 换了付账的人，提示与步骤是否沿承担的边界改（复现检验） 2027年12月31日
五 冒充时代的"不再发生"是不是职能而非悔过 2027年12月31日

每个预言的数值输赢线、"未能检验"的条件和撤回范围，写在第38章与附录三。本书只有预言五押在自己的那一格上；它若判输，"职能而非悔过"从总命题撤下。

◆五、随身三问

遇到一条要你付钱、放行或转发的消息，先别只问"这是真的吗"，再加三问：出了错，谁认？凭什么兑现？下一次改了什么？

导论

两个问题

一条消息摆在眼前：一段视频，一个熟悉的声音，一份格式规整的通知。我们几乎本能地问第一个问题：这是真的吗？这个问题问了几千年，问得越来越精细，从看印泥、对笔迹，到查证件、比人脸，再到给照片加数字签名。

本书想在它旁边放上第二个问题：如果错了，谁认？

在过去，两个问题常常有同一个答案。你认出的是母亲的声音，母亲就在电话那头；你核对的是经理的签名，经理签完字就跑不掉。验得过的那个信号，和认得起的那个人，是同一个。所以第二个问题很少需要单独问。

合成技术改变的正是这一点。它能以很低的成本造出验得过的脸、声音和格式，却造不出一个签了字跑不掉的人。第一个问题照样能问，问得也可能更准；可它的答案不再自动带出第二个问题的答案。本书把这个变化叫作验认脱钩。

接下来的六编，从旧办法为什么曾经管用讲起，讲到验这一层怎样被生成掉，再讲出路：怎样把"信不信"换成"谁来认"，怎样在一个家、一家小公司、一个新闻号里落地，最后讲这把新尺怎么量、怎么被做假、本书在什么情况下应当认输。

书中的家庭、小公司和新闻号是构想，不是作者亲历；真实案件只用公开报道能支持的部分。凡是本书没有核完、没有测到的，都集中写在附录六。

第一编
验得出的时代
编序

一张收据为什么能让买菜的人放心？纸本身没有这种力量。摊主在上面写了品种、斤两和自己的名字；明天菜坏了，顾客还知道去哪里找他。我们通常只看见收据，忘记收据背后的摊位一直在那里。许多看起来由证据独自完成的工作，其实还有这种没有写出来的安排。

辨认真伪的办法值得尊重。印章、证件、签名和当面询问，降低了陌生人交往的成本，让我们可以把事情交给没有见过的人。但它们从来不是一套完全自足的魔法：保管印章的人、签发证件的机构、接受追问的店家，都参与了可信的形成。旧办法的成功，既有识别技术的功劳，也有这些主体没有消失的功劳。

这一编把日常判断拆开，追问一个朴素的问题：我们放心的那一刻，究竟靠了什么？本书不会把过去写成一个没有诈骗的时代，也不把历史简化成"造假一直比查验昂贵"。不同东西有不同的成本，某些骗子一直占着便宜。需要辨认的是：当一件事被判为真实以后，接下来由谁允许行动，出了差错又由谁接住。这两个位置常常挨在一起，却不是同一个位置。

第 1 章

你是怎么认出你妈的

这一章的问题：我们说"我认出他了"的时候，到底做了什么？

【晚上九点的电话】这是我构想的场景。秀兰正在收衣服，陌生号码打来。那边问她阳台的被子收了没有，她听见一句熟悉的称呼，便认出儿子小峰。小峰说手机没电，借了同事的电话。两人谈的只是下雨和晚饭，没有转账，也没有骗局。恰恰因为没有事故，那个"认出"才容易被我们忽略。

秀兰认出小峰之后，手上的动作没有停。她夹好最后一件衣服，问他有没有带伞，又说冰箱里的汤可以热一热。小峰的回答并不完整，电话里夹着电梯的提示声。母亲仍能接住意思，因为那些省略的部分早已由生活补齐：谁容易忘带伞，谁下班后不愿做饭，谁说"马上"时通常还要等一会儿。我们只是暂时放慢一通普通电话，看见那句"我知道是你"里面，有多少并没有出现在声音里的东西。

◆一、认出，不是取来核对

秀兰没有调出儿子的声音档案逐句比较。她把眼前的声音放进共同生活里，做了一个判断。判断可以非常准确，但准确不等于没有判断过程。若把它说成真身从电话里直接显现出来，就遮住了那些参与判断的线索。

假如一定要秀兰说明凭什么认出儿子，她可能先说声音，再追问哪一个音节，她未必答得出来。她不是凭空猜测，只是使用的材料并未逐项摆成表格。说话人刚开口，她已把时间、称呼和正在发生的事情放在一起，随后的每一句话又会支持或修改这个判断。很多时候判断已经发生，解释才慢慢跟上来。

这种区别会改变我们怎样看待认错。认错未必说明没有认真听，也可能是支持判断的材料指向了相似答案。例如小峰的堂弟从小常来家里，沿用了同一个称呼，又碰巧从相同地点打来电话，秀兰便可能先叫错名字。补上一句自己的姓名，判断就被更正了。日常识别的这种可修正性，正使它适合生活；要求每次认出都像证明题那样完整，会把边说边明白的交往堵住。

◆二、线索有三层

声音是一层，惯常的称呼与说话方式是一层，发生在这个时间的事情又是一层。小峰知道母亲正在收衣服，这条情境线索补上了陌生号码留下的空缺。三层并非分别投票；一句合情境的话，可能让不够清楚的声音也显得熟悉。

我们可以在构想里逐次拿掉一层。只留下音色，不谈任何共同生活，秀兰需要多听一会儿；只留下熟悉称呼，声音却非常陌生，她会问是谁；声音和称呼都像，来电者谈的却是儿子根本没有参加的饭局，她又会犹豫。这里没有固定权重，也没有"三条满足两条就算数"的规则。

情境也会替缺失的信息安排解释。陌生号码原本使人迟疑，"借同事电话"便给它找到了理由，这个理由在普通电话里完全可能是真的。但同一条异常能因解释不同而改变作用：如果陌生号码之后跟着陌生地点、陌生要求，判断需要重新打开。好的辨认不是熟悉细节越多越放心，而是看这些细节能否共同说明眼前的事情，尤其能否解释不合常理的部分。

◆三、认出的速度，既是本事，也是缺口

人不可能每次通话都从头证明亲属身份。迅速认出熟人让生活运转起来，也是共同生活积累的能力。不过，越早决定"就是他"，后面的信息越可能被按这个决定解释。这是本章对经验的分析，不是一个已测得的心理学效应值。

秀兰一天接到几通家人的电话，若每通都先做身份核验，问候便会变成办手续。熟练判断让她把注意力留给谈话本身，那是长期相处形成的便利，不应被写成愚蠢。值得调整的是熟练判断进入什么行动，而不是熟练本身。

判断过早收口的代价，在重要事项里才更明显。母亲一旦决定来电者是儿子，陌生地点可以被解释为临时出差，语气变化可以被解释为累了。需要留意的是，是否所有反例都只能获得同一种处理。如果任何不像之处都被补成"他今天特殊"，判断就失去了被推翻的机会。我们可以保留认人的速度，同时为会留下严重后果的请求多留一段时间。

◆四、老办法：偶尔有人冒充，靠什么挡住

家里并非从来没有冒充。人们会问一件不公开的小事，找另一个家人确认，或等对方回来再办。这些办法的共同处，是把判断放到电话之外。挡住风险的常常不是耳朵更好，而是第二条联系路线仍然可以使用。

家人说回家再谈，邻居说问问你母亲，办事的人说等介绍人过来。等待把一个只出现在声音或纸面上的说法，重新放到能被交叉询问的处境里。人们也可能因此错过机会、办得慢，这笔成本要如实记账；但多条联系并存，给了一个说法在别处遭遇不同答案的可能。

交叉询问也并非次数越多越好。若几个号码都由同一个人提供，问过三遍可能仍只走了一条路。有效的另一条路，应当在这次请求以前就有来历。若将来有重要事情，秀兰可以用自己原来保存的联系人去问，而不是由电话里的人指定谁来证明他。这保护的是行动条件，并不要求母亲学会审讯家人。

◆五、家里的"暗号"是怎么来的

暗号最初可能只是童年叫错的名字，后来被当成私人凭据。它有用，是因为知道的人有限；一旦被公开讲出来，它就只剩一句人人能复述的话。亲密记忆有情感价值，验证用途却要另外安排：越感人的故事，越容易被讲给外人听。

儿子小时候把某样东西叫成一个怪名字，母亲笑着纠正，两人知道笑点在哪里。若把这段故事发到公开页面，读者便也能复述怪名字。记忆的亲密并没有消失，作为秘密凭据的作用却已改变。情感的深度与信息的稀缺程度，并不必然同步。

家里采用暗号时还需要考虑忘记和误用。答不上来未必是冒充，老人、孩子或着急的人都可能一时想不起。暗号只是帮助暂停的一项线索，应当接上其他联系办法，也不要让验证公开讲出过多隐私。可用的约定必须容许正常的人犯小错，并说明犯错以后怎样继续确认，而不是让一个词决定家人是否得到帮助。

◆六、电话本来就是一条窄路

电话保留声音，省去身体、地点和周围的人。咳嗽、风声和信号不好，都能改变听感。接电话的人本来就习惯替这些缺失补解释。因此，"声音有一点不像"不必然打断判断；家庭成员生病或疲惫时，也确实可能不像平常。

小峰知道自己站在电梯口，秀兰只听见几声回响；秀兰知道阳台已经收好，小峰只能从她的话里猜。电话的好处正在于不需要同处一个房间。对它更合理的期待，是知道它省去了什么，并在事情需要那些信息时另外取得。

所以声音不像不能单独结案，差异先该有解释的余地；问题在于这个解释能否继续检查。如果对方允许回拨、允许稍后再谈，母亲便多了核对空间；如果对方坚持只能在此刻、此号码里完成一件重要事情，原来只是声音的问题就变成了行动条件的问题。

◆七、认物和认人，是两回事

辨认一把伞，找到颜色和划痕大致就够了。辨认一个人，还牵涉这个人是否正在表达自己的意思。声音来自儿子，不代表每个借儿子身份发出的请求都经过儿子授权。身份、意愿和请求的有效范围，需要在涉及行动时分别确认。

伞不会对你说"这次把钥匙交给我"，人却会提出请求。即使真的认出了小峰，秀兰仍可能不清楚他在替谁说话，是否理解事情，或是否有权替另一位家人作决定。把这些问题分开，保护的正是被认出者自己的意思，避免别人借"我知道是你"把他没有答应的内容也算到他身上。

一个没有骗局的差错也能说明。小峰请母亲把一只纸袋交给来取的人，母亲认出了儿子，却拿错了另一只外观相近的袋子。声音和身份全都正确，行动仍可能出错。要减少这种错误，需要描述袋子的内容、放置地点以及取件者的范围，继续核对声音补不上这些信息。认人准确只回答了一半，认事准确是另一半。

◆八、一处不像，就足以打破整体

若小峰忽然把从不称呼为"阿姨"的人叫成阿姨，秀兰可能停下来。这种不协调比许多相似更有力量，但也可能只是口误。好的判断既不把相似当最终证明，也不把一个瑕疵当定罪依据；它给自己留下暂缓和补问的空间。

秀兰不需要立刻决定来电者是谁，只需要说清自己哪一处没有听懂。对方可能补出被省略的称呼，也可能承认刚才讲错了，谈话便继续。这种空间同时容纳误会和异常。如果每次犹豫都被看成不信任，家人会逐渐不愿说出自己听到的不同，辨认便只剩下顺着最初答案走。

补问的内容应与事情相称。母亲没有必要为了一句晚饭问候盘查儿子当天的全部行程；能够打断重要行动的，应是与身份、对象、授权有关的疑问。暂停的意义在于取得新材料；若只是把同一段录音多听几遍，熟悉感可能越来越强，事情却并未获得新的确认。

◆九、认出的那个"我"，其实是一个会被追问的人

秀兰可以明天当面问小峰：昨晚为什么那么晚还在办公室？被认出的儿子不是只有声音的人，他还在一个可继续询问的生活里。这个后续接口通常不需要明说，却参与了她的放心。熟悉与可追问，在这里共同起作用。

小峰今天说借同事电话，明天母亲能问他手机修好没有；他答应周末回来，到了周末可以解释为什么没回来。可追问不是时时监督，而是说话的人以后还会出现，可以承认改变、说明原因，或接受别人提出的不同记忆。今天的判断能被明天的生活继续检验。

若拿掉这个条件，只保留完全相同的声音，一个临时出现的人像可以非常熟悉，却没有稳定的回来方式。这不判定它一定虚假，只说明托付失去了哪一项支持。熟悉帮助接近一个人，可继续追问则帮助承担一次行动；二者经常重合，才使我们误以为后者天然包含在前者里面。

◆十、我们为什么不觉得这是在"信"

没有损失风险时，信任不必站到台前。请母亲收被子和请母亲汇出积蓄，用的可能是同样的称呼，允许行动的标准却不应该相同。家庭需要保护的不是每句问候，而是那些会改变资金、隐私或人身处境的请求。

许多信任不用命名，因为后果很轻，调整也容易。小峰问家里有没有汤，回答错了，回家再做饭；母亲把下雨的时间记错了，两人解释一下即可。把这些往来都搬到严格核验之下，付出的生活成本可能超过所得。信任首先是一种能够合作的日常，而不只是不断防备的技术。

当请求涉及难以追回的东西，要求才应改变。这不是忽然怀疑儿子的人品，而是家里事先承认，重要动作需要更多条件。最伤亲情的，往往不是一次合情合理的补问，而是差错之后把全部判断责任压给接电话的人。若家人共同制定、共同修正约定，母亲就不必在服从熟悉声音与独自承担风险之间选择。

◆十一、换个地方，熟人也会认不出

在人群里听见相似声音，我们也会回头认错。离开熟悉时间和地点，识别会失去部分支持。这个日常现象提醒我们：熟悉不是声音里封存的一颗印章。判断会随情境改变，而为重要行动设置稳定约定，可以减少这种改变的后果。

秀兰在车站看见穿工作服的小峰，一时没有把他与家里穿拖鞋的人联系起来；小峰在远处听见母亲用陌生方言和人说话，也可能要走近才确认。外貌和声音并未彻底改变，变化的是它们被放在什么背景里。这类构想说明，我们认出的是处在某个生活里的这个人。

所以，家庭能够维护的不是永远清楚的声音，而是声音和环境改变后仍能接着联系和解释的办法。换手机及时告诉家人，常用联系人失效后另作确认，重要事项容许稍后再问，这些都很普通，却能让熟悉不只附着于一个号码。秀兰不需要把母爱改造成检验程序，她只要知道，当闲谈变成重要托付时，家人还有别的地方可以把事情说清。

带走的话
认人是把线索放进共同生活后作出的判断。重要行动的可靠性，还要靠电话之外的联系路线和可以继续追问的人。

小账
：秀兰与小峰及全部情节为构想，无调查数据。关于日常识别的描述是经验分析，未引用实验读数。

第 2 章

印章、签名、证件的小史

这一章的问题：历代被当作"验得过"的东西，哪一样没有被人当场造出来过？

【小区物业的那枚章】这是我构想的场景。老周要开居住证明，工作人员找章找了好一会儿。柜子里有两枚外观相近的章，一枚已经停用。老周原以为盖上红印就算可靠，听完解释才知道：同样清楚的印迹，可能代表完全不同的有效状态。

工作人员把停用章放到一边，又翻出登记本。老周以为只差最后一下盖章，眼前却多出一串动作：核对证明所写的地址，确认开具日期，找到当前可以签发的人。红印只是最后留在纸上的部分。如果只看红不红、圆不圆，就很容易把一套办事安排缩成一个图样。我们从这个构想进入凭据的小史，关注的不是哪件器物最古老，而是每一种凭据怎样把一个已经过去的动作带到后来的人面前。

◆一、印章：信，是因为它难造，也是因为它有人保管

复杂图样能提高仿制难度，保管和授权则决定谁可以使用。真章被不当使用，仍会留下逼真的印迹。印章的技术和管理共同工作；只研究印迹，不问这次盖章是否经过授权，查验就少了一半。本章不把特定朝代的条文补写成史实。

印章的一个便利，是让原来需要本人重复完成的动作可以留下痕迹。大英博物馆的一条圆筒印章藏品说明，将封包、标记所有权和见证交易列为古代印章的用途。[15]本章只采用这项用途说明，不据此拼接一条中国印章的起源年表。留下印迹以后，接收者看到一个共同认可的标记，不必每次重新找到做标记的人，人因此可以隔着地点和时间办事。

这种便利同时提出了保管问题。谁拿着能留下同样痕迹的器物，谁就可能模仿一次许可。老周面前的停用章提醒我们，即使器物从未被仿造，使用状态也可能已经改变：哪一枚仍在使用，由谁授权，用于什么事项，都要知道。工艺使复制困难，登记使使用有边界，两者缺一不可。

◆二、签名：把"这是我"写成笔迹

签名把一个人的动作固定下来，但笔迹相同不等于意思相同。空白纸上的签名被填上别的内容，就是两者分开的极端情形。签署对象、时间和可撤回的范围，赋予笔迹以作用；仅仅说"确实是他的字"还不足以回答全部问题。

签名的痕迹通常由本人直接留下，接收者可以把一个名字与一份具体内容连接起来。但姓名并没有包含被签内容。若签字页与正文分开流转，后来的人需要知道它们如何对应；若同一份内容有几个版本，又要确认签名属于哪一个。笔迹鉴别回答的是谁写下名字；签署时面对的全部对象，要靠别的材料补出。

在老周的证明上，签名还让办事的人知道遇到疑问可以回到哪个岗位，但不要求工作人员对居民的全部情况作无限保证。工作人员可以说明自己确认了登记中的居住地址，没有确认其他用途所需的事项。如果一个名字被理解为替整份材料中的任何错误兜底，签名就会成为推卸给最末端人员的办法。签署对象、权限和可更正方式同时出现，才能同时保护使用者与签署者。

签名还有复制与传递的问题。扫描件中的笔迹由设备保存，转发的人可能既未见签署，也不知道后来是否修改过。扫描件未必无效，但图像再清楚，也带不来原件所处的全部条件。重要事项需要把版本、提交路线和变更状态留在可询问的记录里；同一个名字出现在不同文件里，支持的事项也可以不同。

◆三、证件：脸，被印到了纸上

证件把身份与签发机构连接起来，减少临时介绍的成本。照片不是签发的全部，编号、有效期、注销状态也参与查验。因此，证件不只是一张印了人脸的纸；脸看起来相同，只是查验的第一步。

办事的人不必认识持证者多年，可以先检查签发主体、有效状态和本人匹配，陌生人之间的合作范围因此扩大。但一个有效身份只说明这个人被如何登记；他懂不懂某项工作、有没有权代表另一家机构说话，是另外的问题。

老周可能拿着真实有效的证件，请物业开一份并不符合当前情况的证明，证件核验通过，物业仍需核对证明对象。反过来，居民确实住在那里，证件暂时无法读取，也不应被当成整个事实不存在。证件只是处理某类身份信息的入口，制度还需要为读卡失败、信息过期和正常更正留下办法。

证件遗失也提醒人区分凭据与持有人。一个真实签发的证件落到别人手里，材料真实性没有改变，使用者却变了。核验签发状态与核验当前使用，是可以分开的步骤；正常持有人失去材料后，又需要有条件的恢复程序。若制度只认可"手里有"，便可能同时放过错误使用者和拦住真正持有人。恢复与撤销与签发一起，决定这份材料如何持续被使用。

◆四、照片与录音：曾经的"铁证"

影像能保存难以复述的细节，给争论增加材料。它们一直可能被剪裁、误标或移出原情境。"铁证"是人们的评价，不是媒介天然具有的保证。合成技术扩大了问题，但没有发明断章取义；把过去写成影像从不骗人，会让论证一开始就站不稳。

读一段文字需要接受叙述，看到一张脸却容易觉得自己已经在场。但照片只记录镜头里的部分，录音只保留被收进去的声音，都不自动说明前后的条件。普通人不必因此拒绝影像，而应知道一个片段能够支持什么问题。

这里还可以区分改动与误用。一张没有被编辑的照片，若被配上错误日期，可能使读者相信一件并未在当天发生的事，鉴定它是否合成纠正不了日期。一张经过裁剪的照片也可能准确展示某个细节，关键是裁剪是否使当前结论失真。把所有编辑一概视作造假，把所有未经编辑一概视作真实，查验就只剩下对文件形式的分类。

影像还会经过保存、复制和转发。一个文件可以没有被人故意改造，却因压缩失去细节，或只剩截图片段而无法确认上下文。使用者应当知道自己看到的是哪种材料，不把保存不完整当成蓄意欺骗，也不把它当成完整证据。能回到较完整记录时就回去，回不去时保留这个限度。

◆五、钞票：一件人人都会"验"的东西

验钞不是盯住某一个颜色。不同防伪特征、设备与发行管理共同发挥作用。这里的启发在于层次配合，不是借钞票证明所有查验必胜。伪造和识别都要计算成本，而不同媒介的成本各算各的，混不成一笔历史总账。

钞票提示我们，凭据有时必须让陌生人迅速使用。收款的人停不起半天生意去判断一张纸，防伪设计因此要兼顾可检查和难模仿。本章不列具体币种的辨认方法，也不声称某种设备能够保证结果，只借它说明：检查程序要在现实工作里用得起，而不只在条件齐全的演示中显示准确。

查验要求的时间过长，使用者可能跳过它；只要求一个容易复制的外观，使用者又可能过度放心。两种情形都很难简单归咎于个人粗心，设计者需要考虑光线、设备、忙碌程度和处理异常的权限。钞票可以在不同环节被再次核对，可信凭据也应当允许异议进入处理，而不是以"前面已经验过"为理由让新信息失去位置。

◆六、公证：让一个人为"这是真的"署名

第三方证明把新的机构引进来，也使证明范围更需要读清。证明签字发生过，与保证交易以后不出问题，是不同承诺。本章讨论这种范围差异，不解释特定法域的公证效力。书面证明越庄重，越不应该让读者忘记它究竟证明哪一件事。

第三方证明的价值，是让无法亲自在场的人借助一个有职责的观察者。但观察者见到什么，与读者希望他保证什么，容易错位。假设老周只需要证明某人在某日提交了材料，读者却把证明理解为材料所谈的交易绝无风险，这便越过了证明的对象。具体证明文件，仍依其内容和适用规则理解。

引入第三方还增加了一个需要追问的岗位，其权限也有边界。若要求第三方只要署名就替所有未来损失赔付，正常证明工作难以持续；若第三方只提供庄重格式，不接收与其证明范围有关的疑问，名字又失去了作用。可靠的安排落到具体对象上：它确认哪件事，为哪种错误受理补正，超出范围的事项到哪里继续办理。

◆七、为什么验总能赢：一笔不对称的账

"验总能赢"应作为待拆的直觉，而不是历史定律。有些保护使冒充昂贵，日常识别却便宜；另一些情形正相反，复制轻松、鉴定困难。成功的制度通常不只改善识别，还会提高冒充后逃离的代价，把技术成本和后果成本一起考虑。

验与造的成本差，远不止制作一次的费用。造假者可否重复使用同一材料，被识破后是否容易换一个身份，都会改变他的选择；查验者则要算误拒正常事项的时间，和放过错误事项后的处理成本。逼真凭据即使很贵，若能支持一笔很大的收益，也未必构成足够阻碍。这些需要实际数据才能估计，本章不把它们写成已计算出的历史规律。

过去有些办法能维持秩序，可能同时依靠多个条件：痕迹有区分力，使用次数受限，办事者能找到签发者，出错后还有补正。少了一个条件，需要其他条件补上。老周的物业登记册很便宜，没有高深鉴定技术，仍能帮助区分新旧印章。有时最需要投入的，是把已有的权限和状态记清，而不是再加一个更难理解的图样。

检查标准还会随动作改变。物业证明上的一处格式瑕疵，可能只需补正；若同样瑕疵使付款对象无法确认，就需要暂停。凭据替办事者判断不了这次使用的代价，决定者要把它放回当前事项。需要补问时也应说明补哪一项，而不是要求居民反复证明已经确认过的内容。

◆八、规律：造出来，验升级，再稳定

防护升级可能带来一段稳定期，但从这个叙事推不出永远稳定。稳定还取决于使用习惯和损失分配。新设备接上旧制度之后，工作人员可能更少补问，也可能更容易把"系统通过"当成全部完成。升级效果要靠观察，设备名称说明不了。

"造出来，验升级，再稳定"不是自动发生的循环。升级后的办法要有人安装、维护和解释，旧凭据还可能在外面流通。若接收者不知道新旧转换的时间，判断仍会落到过时条件上。老周看到的两枚章就是一个缩小的版本：器物变更已经发生，外部使用者却未必知道。

稳定也会改变人的习惯。长期没有出错，人们可能逐渐省掉某项检查；长期误报，人们又可能对提醒失去耐心。判断一项升级是否有用，更要看正常人怎样使用，异常怎样被接收。我们可以赞成改进材料和设备，同时要求把升级后的边界讲给使用者听；若只宣传"更安全"，新的凭据会继承旧的误解。

◆九、手印、欠条和收条：寻常百姓的"验"

收条往往写得简单，却包含具体的东西、交付时间和收取人。它把争议缩到一个可询问的动作上。物业若给老周一份有效证明，除了盖章，还应让人知道哪里可以确认、哪里可以更正。那枚章的可靠性，于是伸到纸张之外。

欠条和收条的重要性恰恰在于具体：什么东西，哪一次交付，收取者是谁。文字如果只写"已经处理"，后来的人还要重新争论处理了哪件事。手印又增加了一种痕迹，但含混的内容不会因为多一个痕迹就变得明确。我们在这里不讲法律效力，只看生活记录怎样减少记忆分歧。

老周最后拿到证明时，需要的也是这种具体。日期、地址、签发岗位和更正入口，使那枚章可以被放回一次有来历的办事动作。如果后来某个地址写错了，物业可以查到这次记录并补正，居民不必拿着一张红印在不同窗口之间猜谁管。人们不断寻找能够带走的痕迹，同时也需要让痕迹背后的事情可以回来再问；真正难以替代的，往往是这个来回仍然通得了。

带走的话
凭据的可靠性依赖材料，也依赖授权、保管和后续追问。印迹够真，不代表它代表的每一种意思都已经成立。

小账
：物业与老周为构想；[15]支持古代印章的用途说明；未引用起源年代、法规条文、仿制成本或厂商发布年份。

第 3 章

柠檬市场：五十年里，信不过是靠什么挡住的

这一章的问题：买家分不清好坏的时候，市场为什么没有垮掉？

【二手车市场的下午】这是我构想的场景。小陈看中一辆二手车，车身很亮，试车也顺。他不懂发动机，卖家却懂这辆车每次维修的来历。小陈犹豫时，卖家递来一张保修承诺。问题因此改变了：不再只是现在看不看得出坏，而是以后出了这类故障，哪家店接受处理。

卖家打开机盖介绍刚换过的零件。小陈能听懂零件名字，却不知道更换意味着保养好，还是曾经有过大问题。那张保修纸暂时替他解了围，但纸上"放心使用"几个字仍然太宽。假如车子明天打不着火，谁接电话，送到哪里，什么故障不在范围里？这些问题不要求小陈先学会修车，却会改变他如何理解下午这笔交易。以下围绕买卖双方的细节均为构想。

◆一、一篇论文，一个小故事

乔治·阿克洛夫1970年发表《柠檬市场：质量不确定性与市场机制》。买卖双方掌握的质量信息不一样，可能使好的商品也卖不到相称价格，进而影响谁愿意留在市场里。[1]这里先承认原论文的贡献，本书不把这套机制称为自己的发现。

为便于理解，我们另设一笔示意账，不复算原论文。假设买家认为车况好的车值十二万元，车况差的值四万元，眼前看不出区别，便暂按八万元考虑。好车卖家若觉得至少十万元才愿卖，可能退出；差车卖家仍愿接受。买家得知留下来的车更可能车况差，又会重新压低愿付价格。数字全是为解释而设，不是真实行情，重点是买家不知道的差异会反过来改变谁愿意出售。

这个过程并不要求卖家全都撒谎。好车卖家也许如实说了自己的保养经历，买家仍缺少区分真话和好听话的办法；卖家越强调"我这辆很好"，越可能与其他人的同类说法混在一起。所以交易困难很难只靠要求每个人更诚实来解决。诚实者还需要一种能让别人合理使用其信息的安排，否则认真维护与不认真维护，在买家眼里可能得到相近的价格。

◆二、不只是二手车

小陈面对的困难，在买一项服务时也会出现：交钱之前，不容易完整观察质量。这个延伸是本书的日常类比，不替论文追加原例。事前看不全并不自动导致交易停止，因为人们可以把部分判断延后，并为延后设置补救。

小陈可以在买车前多做检查，也可以请懂行的朋友陪同，但很多质量只在使用中显露。购买一次家电维修，顾客可以看师傅当场把机器开起来，却未必能判断同样问题会不会很快回来。这个类比只为分清当场表现与后续质量，不断定所有服务市场都遵循同一种变化过程。

买家若必须看懂全部质量才能付款，很多事情便办不成。可替代的办法，是把当场检查做得相称，同时为暂时看不见的部分作出安排：维修者说明本次处理的部位、可回访的异常与受理范围，消费者保存这次交付的记录。安排未必消除所有争议，却能让争议不至于从"你应该懂"开始。让外行知道怎样提出一个明确问题，比教他鉴别专业术语更管用。

◆三、论文的另一半：对策制度

论文第四节题为"Counteracting Institutions"。[1]讨论质量不确定性的文章并不只宣告市场失败，也让人看见制度回应的方向。这些制度回应应当与论文的问题分析一同理解。

原论文第四节写道：阿克洛夫谈到保修将部分质量风险移向卖家，也讨论品牌、连锁经营和资格证明。[1]这些贡献必须先认领给原论文。"交易依靠制度而不只靠看懂商品"是原论文的发现，本书只是借用；几种制度也各有其职，保修涉及故障处理，资格证明主要提供能力方面的信息。

回到小陈，卖家递来的纸究竟属于哪一种安排，需要逐项读清。它是承诺修理指定故障，还是仅写明做过哪些检查？品牌标识证明谁经营门店，还是保证门店永远存在？几张纸可能只反复说明同一件事。把制度拆开，买家才知道哪一部分改变了后果分配，哪一部分只是增加了事前判断的材料。

◆四、放到我们的日常里

保修条款、固定门店、可查询的交易记录，都能改变买家承担的风险。不同安排各管一段，不宜混说成"保证"。一张写着包修的纸，如果没有接收故障的地址、期限和对象，可能只是在安慰人。把承诺变成可行动的路线，比把字体印得更大有用。

小陈首先需要让这辆车与保修纸对应。纸上只有店名，没有车辆标识或交付记录，日后争议就可能从"你说的是不是这辆"开始。接着要读受理期限、指定故障和处理方式。这里没有可以替代具体合同的万能清单，只是在构想中说明，承诺需要落到共同指向的对象；内容明确了，还要看经营者是否具备执行条件。

假如店家只负责修理，小陈就别把它理解为包下用车引起的所有损失；假如一项重要故障被排除，"有保修"三个字也盖不住这条排除。卖家也有必要知道买家怎样使用车辆，以免事后才发现两人理解的用途完全不同。把范围讲清有时会使交易慢一些，甚至使买家不再购买，但能减少依靠不同理解暂时成交、随后再争吵的情况。

◆五、这套办法管用，不是因为它让人"看见"了真相

小陈仍不会拆发动机，却可以了解保修范围。这说明，交易所需的放心不等于买家已获得卖家的全部知识。一个制度可能通过改变后果分配来支持合作，而非把所有参与者培养成鉴定师。这是本书对构想场景的解释。

小陈仍然无法判断所有隐藏故障，却不再需要把每项未知的后果都单独接受：约定把其中某些故障交给店家处理。这不意味着保修比检测更高级。已知故障可以当场检查时，认真检查仍能避免时间损失；保修方没有能力修好，承诺也可能只把问题推迟。两者解决的是不同阶段的困难。

这种安排还依赖履约是否方便。店家若只在很难到达的地点受理，或要求买家提供根本不可能取得的材料，文字上的保障与实际可使用之间仍有距离。反过来，约定外的事，买家也不该嫌麻烦就全推给卖家。制度支持交易的地方，在于让未知能够被有条件地分担，而非用一个承诺词把未知变成不存在。

◆六、熟人，是最老的一种担保

熟人介绍增加了一条联系路线，也可能增加不好意思追问的负担。朋友说这家不错，只能代表他的经验，不等于替商家包下全部损失。人情若不区分"我用过"与"我替你保证"，出现问题时，友谊和交易会被一起拖进争执。

朋友说自己在哪一次交易中得到过什么服务，比"肯定没问题"更容易使用：前一句有经验范围，后一句容易被听成未来保证。小陈若把友谊本身当作保修，店家出了问题时，朋友也会被要求承担他没有答应的事情。介绍者与经营者的位置分开，朋友才敢提供有边界的信息。

熟悉还有另一面：人不好意思把条款写清，怕显得不信任，结果越靠近的人越容易留下含混账。可以说明写清对象是为了减少双方记忆不同。若朋友愿意代为联系店家，那是一项新的帮助，应说清能做到哪里；他不愿作保证，也不代表介绍虚假。正式交易仍应留下独立于人情的受理路线，否则联系一旦变化，买家便失去处理问题的办法。

◆七、第三方来验，也是同一个结构

检测机构可以提供买家没有的能力，但检测只覆盖当时的项目。它的报告应说明检查范围和遗漏条件。检测有助于减少未知，保修接住剩余风险；两者可以协作。两者都带着机构名字，承担的却是两种责任。

如果报告只检查外观和若干部件，未检查的项目就仍是未知，不是通过。一种间歇故障可能当场没有出现，本章不据此批评检测者失职。报告可以明确限度，记录因条件不足而未完成的项目；承认没有查完，比一个容易让外行误解的"全部正常"更有助于后续决定。

检测者也应当能回应报告范围内的疑问。如果车辆标识写错，或检查结果被误录，买家应该知道怎样要求复核，但这不意味着检测机构承担车辆所有故障。小陈需要把检测的更正责任与卖家的保修责任分别放好。若二者彼此转交，却没有说明哪一方当前受理，买家就可能拿着两份有名字的材料，仍不知该从哪里开始。

◆八、对策失灵的样子：找不到人

假设小陈拿着保修纸回去，门店换了招牌，电话无人接听，承诺就会失去执行入口。这是构想中的失灵，并非对某家商户的指控。纸面条款仍在，兑现的通道却不在；这时重新验车身颜色，帮不上任何忙。

找不到人不只是门店关门。电话接通却只会让顾客换号码，客服受理却没有权限安排修理，负责人答应回复却始终不说明时间，都可能使后果停在入口附近。店家可以态度温和而不作处理，也可能措辞生硬却及时完成受理。可靠性要看问题怎样进入一个有能力处理的位置，交流感受只是参考。

若门店确实不再经营，情况更复杂；一个持续经营的招牌也可能没有足够资源承担所有旧承诺，本书不凭招牌判断偿付能力。构想只给出一个有限要求：交易前应当明确承诺属于哪个主体，人员或地点改变时怎样接续。这不会消灭经营失败，却能避免出了事才发现每个人都以为保证属于另一个人。

◆九、对策的一个隐含前提

本书关注主体的存续和可联系性。品牌也可能倒闭，熟人也可能无力承担，固定地址也可能变化。因此，"找得到"不是一次完成的识别动作，而是一项要维护的条件。机构需要说明联系人替换后，原承诺怎样延续。

"找得到"指当前事务有可使用的联系，而不是曾经见过一位销售人员。销售离职后，承诺应能通过岗位交接维持；处理人员请假时，应有人接替；联系方式变更后，旧记录应能指向新入口。这是组织设计，不是对所有商家的现状描述；是否做到，要看具体记录与使用者能否接通。

有时买家能找到人，却找不到决定权。受理者愿意帮助，但每一步都要另请别人批准，此时把催促全压到受理者身上，没有补足机构权限。更合理的安排，是让受理者能将特定问题提交给有决定权的人，并告诉买家当前由谁接续。可靠性的关键是事情能在组织内部走到处理，而非始终停在个人善意上。

◆十、让路：这条路上，已经有人走在前面

对信息不对称、担保和问责的讨论已有长久积累。本书只能提出自己的一个测量尝试：事件发生后，从承诺到公开承担之间究竟隔多久。把时间变成变量能否提供额外解释力，仍需检验；换个名字，理论并不因此胜出。

本书的新问题应当缩得足够小。即使及时回应很重要，也推不出某个天数能够预测同类事件是否再发。一次简单记录错误可能很快更正，一次需要查证的重大故障可能较慢；资源多的机构也可能同时处理更复杂的事项。混在一起，较短时距可能只是较容易事件的影子。时间读数必须保留事件范围和难度，并接受它未必增加解释力的结果。

阿克洛夫讨论质量不确定性及制度回应，本书在构想中把注意力移向事故之后的公开承担过程。一个测量设计需要新的取数和比较，无法从经典论文的声望里借到结论。如果以后发现时间长短说明不了我们所预测的变化，就应修正这把尺，而不是宣布前人的理论不够新来替自己解围。

◆十一、小陈的那个下午，后来

在构想的结尾，小陈没有获得一辆绝不会坏的车。他把保修对象、接收地点和争议入口写进交易记录，也保留了检测范围。他允许自己不知道全部细节，同时拒绝把未知全留给自己。这样的交易比一句"相信我"具体得多。

小陈可能因保修范围太窄而放弃，也可能认为价格与尚未覆盖的风险相称，仍然成交。外行的判断并不只有"完全相信"或"全部拒绝"，他可以接受有限未知，只要知道自己接受的是什么。本书讨论可信，不替小陈作购买建议，也不替现实读者判断某辆车是否值得买。

下午结束前，小陈还问了一句：如果明天接电话的不是今天这位销售，是否仍能按同一记录办理。卖家将问题交给负责受理的人，把车辆记录与保修范围对应起来。场景只停在一次托付更明确的地方。质量有待使用检验，制度有待争议检验；可信的交易，是未来显出不同于今天的东西时，仍有办法把这件事接着说明。

带走的话
人们可以在质量信息不完整时合作，因为后果能够被安排。买家不必看懂全部东西，却需要读懂承诺覆盖到哪里。

小账
：[1]已核题录和第四节原文；小陈及交易情节为构想，十二万、四万、八万、十万元均为示意价，无市场调查。

第 4 章

"验过了"这个位置：银行、平台、公司的日常

这一章的问题：当一个机构说"我们验过了"，这句话在机构内部到底占了什么位置？

【周一早上的一张付款单】这是我构想的场景。会计小李收到付款单，采购确认货物到了，财务确认金额一致，负责人确认预算有余。每一个人在自己的栏里打了勾。小李再问：账户变更是谁核定的？大家都觉得这问题应该由上一环回答，却没有一格专门写它。

付款单上签字栏没有一处空白，账户却是第一次出现。采购同事记得供应商联系人曾在邮件里说过变更，财务同事记得负责人催过付款，负责人又以为新信息早已进入档案。小李不是比别人聪明，他只是正好处在需要把这些材料连接成一个付款动作的位置。这里的部门、人物和过程都是构想，不对应任何机构。分工确实使每个人少做了重复工作，但不同判断如何合成一次行动，仍然需要明确安排。

◆一、一道工序，只验一小块

分工让复杂交易能够处理，各环节不必重新做全部工作。可分工需要交接边界：这一格究竟确认什么、没有确认什么。若采购的签字被财务理解成采购已经验过账户，采购却只是确认到货，两边都尽职，也仍会留出缺口。

如果采购把每件货物、每张票据和每个账户都重新调查，分工的效率便会消失。合理流程允许一个部门使用另一个部门的工作，前提是结论范围可以传过去：采购签"已收货"，财务便知道交付情况，收款对象是否核定却是另一张单子上的事。把范围写清不是为了日后免责，而是让接收者知道哪些工作已经完成，哪些判断仍有待完成。

交接不完整，有时出在同一个词的不同理解。采购所说"供应商确认"，可能指联系人说货物数量没错；财务理解的，却是供应商主体确认了收款账号。双方都用了相同词语，便觉得完全同意。修补这种问题，只需少量文字写明由谁通过什么途径确认了哪个信息。若记录只允许填写通过或不通过，许多能够改变行动的差异就被挤到了工作人员的记忆里。

◆二、银行、平台：验，变成了一套系统

规则、记录和自动比对能统一检查，减少遗漏。本章不指认任何真实银行或平台的内部程序。需要警惕的是一种普遍可想象的错读：把系统完成某项检查，理解成系统已经证明交易目的、授权和履约都没有问题。

系统值得信赖的地方，应当来自具体能力：哪一字段与何种记录一致，哪项授权处于有效状态，哪种异常被提醒。对外的一个通过标记，可能对应内部多项操作，但这些操作并不自动覆盖业务目的。有人身份正确、账户存在，仍可能无权提出当前付款要求。本章讲的是判断范围，不推断任何实际支付机构的职责或法律义务。

系统也可能只检查技术层面的条件，因为它根本拿不到合同和履约信息。若组织把缺少材料的系统当成最终业务判断者，便把它放在了无法胜任的位置上。适当的办法，是让工具结果送到能够结合业务情况作决定的人，同时保留具体限制。工作人员不需要知道算法的全部细节，却需要知道自己不能从绿灯推出什么，这个说明应当写在工作界面上。

◆三、"验过了"有两张脸

它既传递信息，也分配安心。下一环听见通过，就不再检查上一环的事项，这正是流程有效率的原因。事故之后，同一句话又可能被用来证明自己已经尽责。因此，记录应保留检查对象，而不只保留通过两个字。

"验过了"在流程里是一种交接语言，接收者因此放心，才可以接着做自己的事情。问题出在这句话失去对象以后：它不再是"这项材料符合这一条件"，而被听成"有关这件事的一切都已经处理"。人们常把空着的说明理解成没有限制；让限制可见，不会削弱已经完成的查验，反而使它能被恰当地使用。

事故之后，交接语言又变成了辩护语言。部门拿出记录说明自己没有跳过程序，机构应当认真接收，但程序记录解释的是经过，谁应承受损失要另行判断。最后点确认的人，并非所有此前判断的保证人。判断责任、执行责任和机构对外处理的职责需要分别辨认，否则"每一环都验过"会既使人事前放心，又使人事后找不到受理事项的整体位置。

◆四、每一个人都放心，是怎么发生的

小李放心，因为别人签了；别人放心，因为付款系统会提醒。构想中的每个人都依赖另一环未明确承诺的能力。这个圆圈不是多人核验的简单加总。相同来源被不同栏目重复确认，仍然可能只是同一条信息绕了一圈。

采购依赖联系人提供的账号，财务依赖采购的签字，负责人依赖财务已经完成的审查。看上去有三次确认，实质上可能只有一条账号来源。同一份消息被转述到不同部门，若没有新的材料加入，重复得再认真也不会获得独立确认。这里提出的是逻辑区别，不是对多人审核效果的统计结论。

多人审核仍然可能有价值：采购熟悉货物，财务熟悉账目，负责人掌握事项用途。要使这些能力起作用，需要给他们各自足够材料，并允许疑问汇到共同记录里。若每个人只看到一个很小的页面，又默认其他人已经看到全貌，各自能力就难以接上。组织需要有人能看见尚未连接的地方，并有权限把问题送回相应岗位。

◆五、被留在表格之外的东西

"谁接住剩余风险"通常不像金额和日期那么容易填。它却决定争议如何解决。负责人若允许在未完成某项核验时先付款，需要写下例外、理由和复核时间。否则最接近支付按钮的人可能事后承担一项他并没有决定的风险。

表格擅长容纳金额、日期和数量，不擅长容纳"这个请求是否仍符合原来约定"。后者可能涉及一段邮件或一个临时变化，便被留在备注里，甚至只留在口头记忆里。构想中的新账号正是如此：它没有被否定，也没有被单独确认，却借着其他栏的齐全进入了行动。表格没有空白，事项仍可能有空白。

记录例外可以使这个空白被正面看见。负责人决定在某项材料暂缺时推进，应说明缺哪一项，谁有权作这个决定，何时补正，补正不成由谁安排后续处理。这样的记录不提供豁免，它使机构知道自己实际接受了什么。若只写"急办"，差异就被藏进一个情绪词；若执行者没有权拒绝却被要求签下"所有条件已齐"，记录反而会把不完整的事项伪装成完整。

◆六、取件码：最小的一次"验"

取件码确认的是持有码者符合取件条件，不必然证明他就是最终收件人。这个小例子说明，每种查验都有自己的结论范围。范围写清，工具就更有价值；范围被扩大，原本正确的工具输出也会支持一个错误行动。

取件码把一个范围很小的条件做得容易检查，服务人员核对号码，双方迅速完成交付。它也可能因为转发、误发或遗失而需要另外处理，持有码与其他身份信息之间的对应要由服务安排来维持。一个凭据的用途越窄、解释得越明确，使用者越容易知道何时可以放心采用它。

付款单中的每个勾也像这种小凭据：到货勾确认到货，预算勾确认资源范围，授权勾确认允许动作。组合它们，需要对应同一事项：是不是同一供应商、同一批货、同一个账户。若中途对象改变，旧勾就该作废，到新对象上重打。这项朴素的连接要求，容易被页面上的相同编号遮住；记录应让人辨认变更发生在哪里，而不只呈现全部栏目都是绿色。

◆七、风控打分：验，变成一个数字

分数压缩许多信号，便于处理，但压缩会省略理由。一个高分不应该抹去"新账户未独立确认"这样的具体缺口。解释分数不要求公开全部技术细节，而是把对当前行动有意义的限制告诉有决定权的人。

风控分数究竟说明风险、置信程度还是审核优先级，需要分别解释。本章没有实际算法或阈值，不据此评论某家机构。我们只设想一个误用：工作人员把"暂未发现已知异常"读成"未来不会有异常"。后一句超出了许多检查能提供的保证。

对当前行动而言，具体限制有时比综合分数更重要。新账户没有经过独立确认，即使其他信息与过往高度一致，这个缺口仍可能需要补问。机构也不宜让员工只凭个人感觉推翻所有分数，否则一致性与效率都会受损。可行设计应说明哪些明确情形需要追加检查，追加给哪个岗位，谁批准恢复，让被授权行动的人拥有完成当前任务所必需的信息和退路。

◆八、多问一句的成本

补问会花时间，有时还会让人觉得被怀疑。如果组织只奖励速度，提醒就会被当成障碍。让人愿意补问，需要把必要等待算入工作安排，并明确暂停不会自动变成员工过错。没有这种安排，安全口号很难抵过催促。

补问的成本要算在整个流程上：采购可能需要等供应商回复，财务可能要重新安排付款，负责人可能面对交付压力。若每次等待都被记录成小李效率低，他便会逐渐知道组织真正奖励什么。允许合理暂停，应当同时调整时限、替班和升级安排，而不是靠员工私下承担加班与责备。

暂停也需要理由和限度，泛泛说不放心，不该让正常事项无限等待。小李可以说明缺的是账号变更的独立确认，已经联系谁，预计什么时候再看。管理者则应给出可执行的选择：等待补正，采用已确认的原安排，或由有权岗位决定特定例外。多问一句由此成为一项有对象、有接续的工作，而不是执行者的个人胆量测试。

◆九、出了事以后，通常发生什么

在本章构想里，各部门首先拿出自己的勾选记录。这能帮助还原过程，损失归属却要另作判断。认账安排需要指定对外接口，由机构说明自己掌握的事实、接收受损主张，并推动规则变化，而非先寻找一个最容易被责备的人。

若付款出了差错，机构首先需要把正在扩大的后果停住，接收有关资料，区分哪些动作可以立即处理，哪些结论仍要查证。对外回应者应有组织授权，能够安排必要的更正或补救，而不仅把来电记下来。受理与判定可以分开，但应说明当前范围和下一次回应。让受损方看见事情在被接住，比一份没有内容的声明更有意义。

对内复盘则需要保护事实进入记录。小李若知道提出疑问也会受罚，其他人便可能删掉使自己难堪的细节。认账安排的前提，是不让一个最末端员工承受全部后果：应问他拿到了哪些材料，有无暂停权，谁决定例外，组织资源怎样被调动。辨认失误应根据具体权限和动作，而不是看哪个名字最容易被写进通报。

复盘还要辨认没有留下的东西。某条消息未被保存，不等于它从未出现；某个人没有签字，也不等于他没有参与决定。机构可以将缺失项明确登记，再寻找相称旁证；表格上空着的一栏，证明不了一个人有责或无责。把未知留在未知的位置，结论会慢一点，但能减少拼出一个看似完整、实际无法支持的事故故事。

◆十、这套办法的好处，不要被忽视

分工、自动检查和记录都应保留。修补的方向，是使其结论明确并连接到行动授权。小李不需要对每个部门再调查一遍，他需要知道：哪一格空着，谁有权补，补不出来时由谁决定停止。这让流程的边界更清楚。

改进后的付款流程未必更长。将账号变更单独显示，明确原来的到货签字不覆盖变更，指定能作最终决定的岗位，可能减少事后不断回头询问的次数。这里没有时间节约的实测结果，只是一个可评估的设计：要看正常事项延误了多少，缺口是否更容易被发现，异常能否得到处理。只统计新增了多少栏目，说明不了组织是否更可靠。

小李仍然可以依赖同事认真完成的工作，他不必成为采购专家、系统专家与供应商调查员。修补后的共同记录让他知道自己依赖的是什么，尚缺的是什么。有人负责连接事项，有人提供专业判断，有人拥有允许行动的权限，机构资源接住差错。一次局部通过不再默默替整件事作无限保证，这才是"验过了"可以稳妥站回的位置。

修补后还应找一件普通事项走一遍：参与者是否看得懂各栏的确认范围，临时替班的人是否知道该找谁，没有账号变更的事项能否顺利完成。这不是宣布方案已被验证，而是实施前应检查的对象。为处理异常而增加的动作，不应加在每一次正常工作上；把必要检查安排在真正发生变化的位置，才可能同时维护便利与可靠。

带走的话
流程通过应当说明具体通过了什么。每一环都完成检查，不等于整件事的剩余后果已经找到承担者。

小账
：小李、付款流程与系统均为构想；无真实机构流程、算法分数或调查读数。

第 5 章

当面确认：最后一道防线怎么变成最软的一道

这一章的问题：为什么"见面"曾经是最可靠的核验，又为什么它会成为最先被攻破的一道？

【银行柜台前的张大爷】这是我构想的场景。张大爷办理一件重要业务，工作人员询问用途，再请他确认是否本人意愿。隔了几天，他用视频联系异地亲属，屏幕上的脸也很清楚。两种"看见"似乎相同，实际提供的条件却不一样。

张大爷在柜台前没有立刻回答。他把办理事项重新说了一遍，工作人员发现他将两项用途混在一起，便解释差别。这个停顿与身份证照片是否相像没有直接联系，却改变了他稍后作出的决定。场景不对应某家银行的程序，更不提示读者怎样办理具体业务。我们要分清的，是过去一句"本人当面确认"常把多少工作包在一起，以及这些工作移到不同地点以后，怎样仍然被完成。

◆一、见面为什么这么硬

共同地点允许双方看见更多背景，临时提问也更方便。人还可以中断、观察或请旁人帮助。它减少某些伪装空间，却保证不了没有胁迫或误解。见面可靠的程度，来自多个条件同时存在，而不是肉身出现就能解决全部风险。

张大爷看到办事窗口与正在处理的材料，工作人员看到他的动作，也能及时发现他有没有跟上解释。但人可以亲自到场却没有理解，也可以真实表达一项被别人误导后的意愿。尊重当面的价值，首先要把它的能力说准，不让"人在这里"吞掉"人是否知道自己正在办理什么"。

身体在场还使临时调整较容易：听不清可以放慢，材料缺一页可以指出，对象理解不同可以当场更正。这些动作常被完成后的一张签字纸遮住，好像可靠性只来自脸和笔迹。若办理者只是让本人来到现场，迅速拍照后就结束，支持当面的许多条件便已被省去。缺口可以发生在实体窗口里，不必等到屏幕出现才存在。

◆二、各行各业的"当面"

当面核对可以确认身份，也可以确认对方理解当前事项。交付钥匙、说明维修范围、检查货物，都是不同动作。若只留下人像，不保留对象和意思，见面会退化成一张到场证明。重要的不是见了几分钟，而是这几分钟完成了什么。

交付物品时，重点可能是双方看到相同对象；说明维修时，重点是让顾客知道本次处理范围；办理授权时，则需要确认谁正在表达何种意思。若把一种场景有效的动作直接搬给另一种场景，例如只核对本人外貌却不核对交付物，程序可能形式完整，任务仍未完成。

所以讨论是否需要当面，应先问这次见面原本替人完成什么。能通过可靠记录和独立联系完成的部分，不一定需要旅途；需要共同检查实体物的部分，远程展示可能有明显限度。这不提供通用行业标准，只要求组织在迁移前把实际任务写清。张大爷省去无必要的来回是改进；若省掉了他理解事项和更正误会的机会，方便就伴随了一项未被处理的损失。

◆三、当面，悄悄地搬进了屏幕

视频省去出行，扩大办事范围，价值很大。它同时将共享空间拆开，双方看到的背景可以不同。工作人员应问：移到屏幕以后，原来靠在场实现的条件，哪一些由其他安排补上？摄像头再清晰，也只说明画面搬过来了。

屏幕搬走了共同地点，却没有搬走所有互动。双方仍能提问、共享资料、保留同一事项的记录，也能约定由稳定岗位接续，不宜简单称作一种假见面。需要分清的是哪些旧条件不再同时可见：一方看到的文件页与另一方未必相同，另一边是否有人催促也未必能观察。这些差异应在设计中出现。

迁移最容易失误的地方，是动作外形保留了，功能却没有补足。原来把资料摆在桌上让对方逐项看，现在改成手机上匆忙滑过一个页面；原来可以请工作人员再讲一遍，现在只剩一个确认按钮。流程仍有本人、资料与签名，使用者却失去了核对它们如何对应的机会。远程改进需要让双方知道当前讨论的对象、确认范围和出现疑问后的暂停方式。

屏幕还改变了注意力的分配。办理者可能同时看着多个窗口，使用者却以为对方一直在看自己的材料；使用者可能听不清刚才那一项说明。两边对"我们一起确认过"的记忆便可能不同。与其事后争论是否点过头，不如在关键对象上取得一次明确对应，例如双方各自说明当前文件属于哪一事项。这里只作功能示例，具体程序需按场景设计。

◆四、成本，塌下来了

某些仿声和造像任务的门槛下降，使冒充更容易扩大规模。本书不据此断言任何人能零成本复制所有实时会议，也不提供素材量或价格。技术能力随任务不同而不同；可信制度需要面对的是某些可被复制的表象已不再足够稀缺。

做出静态图像、短录音与长时间交互，是不同任务；能在演示里成立，也不代表在所有使用场景都同样成立。我们没有足够资料给这些任务列成本表。本章只保留一个已在公开材料中显出的制度问题：当某些过去难以复制的线索变得可以复制，机构就该停止把它们当作不可冒充的最后保证。

成本还包括使用与规模。准备材料是否可重复使用、受害者数量如何增加、失败后能否换一条联系，都影响风险；查验方则必须持续处理正常业务，并承担误拒的代价。单凭技术演进，推不出谁必定胜出。更稳妥的回应，是减少一次表象判断承载的全部权限，再由相应授权与事项记录决定后续动作。

◆五、最后一道防线，为什么最软

如果一个流程原本把视频当最终确认，其他人就可能在视频通过后停止补问。于是最受信任的环节，反而聚集最多未经检验的推断。这是本书的机制推演。它不证明所有视频核验都脆弱，更不证明物理见面可以被普遍淘汰。

"最软"指的是一种位置风险：前面的人因为还有视频确认而放松，后面的人因为视频已经通过而停止补问，所有未完成判断便集中在屏幕里那张脸上。如果这张脸只回答了身份外观，账户、请求对象和权限仍然没有被单独确认。

修补办法也不是机械增加一次视频。同一个请求、同一套联系和同一批材料重复播放，第二次清晰见面可能只增加熟悉感。需要补的是仍缺少的条件：当前请求是否符合既有约定，变更是否由有权岗位通过独立途径确认，执行者是否能在疑问未清时暂停。这些条件可以与视频配合，重要的是让最后一步完成明确任务，而不因"最后"这个位置就被赋予万能作用。

◆六、追问，是见面里最被低估的一半

见面还有一个作用：对方知道这件事以后可以再被问起。屏幕能保留这种作用，前提是连接到独立可信的联系人和明确授权。只在同一可疑会话中反复要求证明，可能仍由同一个冒充者控制回答。

追问包含当场发问，也包含后来能够把同一件事再次带到对方面前。一个人当场答得流畅，事后却没有稳定入口，重要托付便缺少接续；一个岗位事后能接电话，却不知道当时说了什么，处理又会从头猜起。远程确认需要将对象与记录保留下来，让负责的人认出这次事项，而不仅让执行者认出说话的声音。

这并不要求把私人谈话全部公开或无限保存。记录应与事项相称，并明确谁可以访问。张大爷如果只是与亲属聊天，不需要按照机构事故样本公开家庭信息；若办理一项需记录的业务，则应知道记录被用于什么。把一切监控下来不自动带来承担，起作用的仍是有人有权限接收疑问，并利用相称资料解释和纠正。

记录本身也需要可纠正。若系统保存了一个与实际事项不同的摘要，使用者应能够提出异议，办理者也应保留修正来历，否则文件会把最初误会固定下来。"有记录"只能说明留下了材料，材料是否准确仍要能被追问；关键是后来处理的人能知道哪一版本被双方确认，哪些部分仍存在分歧。

◆七、规则更新得慢，是有原因的

机构更改确认方法需要兼顾可用性、隐私和成本。老人、异地员工和设备条件较差的人不应被简单排除。更新应明确恢复渠道：正常核验暂时失败的人如何继续办理；被误拒的人找谁。这些服务后果也需要有人接住。

手机太旧、网络不稳、听力下降，都可能让人在确认环节反复失败。若制度只把成功路径写得很细，却没有恢复办法，安全便以服务中断为代价。恢复也不宜完全由工作人员临时通融，否则同样困难的人得到不同结果，工作人员还承担没有被明确授权的决定。程序需要说明这类问题如何转交，什么材料可以补充，谁有权批准替代方式。

更新缓慢还有相容性问题。旧约定仍在流通，新联系人已经上岗，用户却只记得原来的号码；公告发出，不等于每个人都已经知道。对张大爷有用的解释，是当前哪一种方式仍可使用，失败后怎样找到人，而不是一整套技术术语。安全措施如果让普通人必须成为专业人员才能完成正常事项，便把本应由组织处理的成本转到了使用者身上。

◆八、一个租房的小场景

这是附属构想：小杨通过视频看房，房间真实，讲解自然，仍不代表讲解者有权出租。房屋存在、房源展示者身份、出租授权和收款安排属于不同问题。缺的那一项需要相应证据，而不是再看一次房间角落。

房间存在，展示者能够进入，视频没有显示明显异常，这些都可以是真的；出租权限和收款授权却需要另外的对应。如果小杨问的是是否有权出租，再多拍几个角落也没有回答他的问题。查验很容易在熟悉项目上越做越多，缺少的项目却一直没有进入。应当让问题决定证据，而不是让容易取得的证据决定我们只问什么。

这个构想也有反面。假如展示者已经提供了可核对的授权、交易对象明确，视频仅用于帮助看房，用了屏幕本身并不使整件事可疑。可靠性来自条件如何配合，不来自媒介的道德排序。小杨可能需要专业支持来判断现实租赁，本书不替他解释法律效力，只提示把"看到了房间"与"知道谁可以作出承诺"分别回答。

◆九、面对面里，没有被搬走的那一半

可以迁移的是具体授权、可联系主体和可更正记录。视频并非只剩表象，也能连接这些条件。严谨的结论是：看起来当面，不足以自动获得原来当面的全部功能。每种功能要分别落实，一个"视频通过"代替不了全部。

一个稳定机构可以把当面的后续功能放进岗位和记录。办理者能说明自己代表哪个主体，接受什么范围的事项，人员变化后由谁接续；使用者能通过独立入口找到该主体，提出与本次确认有关的疑问。若这些条件落实，保存准确事项与连续处理记录，有时还能帮助后来的人了解当时的确认。这里讲的是设计可能，还不是已比较出的效果。

不过，可联系不能缩成一个客服号码。号码背后的人需要看到相应记录，也要能把问题送到有决定权的岗位。用户联系成功，却只能反复得到"请找原办理人"，原办理人又已经离开，后续功能就没有被迁移完整。机构应承担岗位接续，而不是把全部承诺挂在某位员工的个人手机上。

◆十、当面还有一个小功能：被看的人也在被看

共同在场使双方更容易发现彼此的犹豫与误解。这种反馈难以量化，却能提醒办理者暂停。远程程序若只容许对方点确认，便省去了纠正误解的机会。把补问和撤回留在流程里，比把所有犹豫都当作不配合更稳妥。

工作人员解释用途时，张大爷的迟疑让他知道刚才说快了；张大爷看到对方仍在等待，也知道自己可以再问。这种反馈在远程中仍可能发生，却容易被单向界面省略。若程序把停顿当成异常、把重复询问当成不配合，使用者就可能为了顺利办完而勉强点头，尚未解决的理解问题被隐藏起来。

让人能够重新打开问题，需要具体的服务动作：可以请求解释，暂停不等于取消所有资格，关键内容改变后重新核对本次对象；程序也应防止无限反复。张大爷最后确认的不是"我这张脸是真的"，而是他知道当前事项、愿意在明确范围内办理，且知道有差错时怎样回来说明。当面之所以值得珍惜，是它容易把这些工作一起完成；屏幕要得到同样的信赖，也应逐项接住它们。

带走的话
当面确认包含身份、授权、反馈和后续追问。迁到屏幕以后，应逐项补上这些功能，而不是把清楚的人脸当作完整替代。

小账
：张大爷和小杨为构想；本章不复述香港案，不引用合成成本或事故数据。

第 6 章

旧层级的哲学：可信是属性，验一验就知道

这一章的问题：前五章里那些做法，背后是同一个什么想法？这个想法靠什么才行得通？

【一瓶酒的防伪码】这是我构想的场景。老刘扫描酒瓶上的码，页面显示一个品牌名字。他刚想放心，邻居问：这个页面是谁提供的？这瓶酒出了问题，拿着页面去哪里？老刘发现自己在同一次扫描里，同时期待真实性判断和售后保证。

页面颜色和字体都与包装相近，老刘便把它当成酒瓶自己给出的答案。邻居的问题使这个答案重新分成几件事：码指向哪种记录，页面由谁维护，记录与眼前这瓶酒怎样对应；即使酒是真的，保存和运输是否仍可能影响使用。这个构想不是防伪操作指南，也不评价某个品牌；它让我们看见，一个"通过"结果怎样被期待完成远远超过单项核对的工作。

◆一、一个没人说出口的想法

很多日常程序把可信看成物品或消息携带的属性：真就在里面，查到就可以行动。这个想法解释了为什么人们偏爱一个明确结果。可从"这份文件没有改动"到"按它行动不会出问题"，中间还隔着授权、用途和后果承担，要一步步走过去。

我们说桌子有重量、布有颜色，似乎只要找到合适办法，就能知道它是什么。把这一习惯带到文件和消息上，也有合理部分：签名是否匹配，内容是否改动，日期是否一致，都可以检查。但"愿意按它行动"还包括另一层判断。老刘不只想知道包装具有什么特征，还想知道这项购买是否有足够条件被托付，后来发现问题时能怎样办理。

两层被压成一个答案，查验便获得超额作用：页面证明某个编号在记录里，使用者却听成商品、交易与售后都已得到确认。这个跳跃不一定有人蓄意制造，也可能只是流程长期使用一个绿色结果形成的习惯。若仅说普通人轻信，就看不见展示方式和承诺范围留下的问题；若仅说查验无用，又否认了它已经提供的真实帮助。

◆二、这个想法有名字，也值得被认真对待

本书称它为把可信当属性的习惯，并不把它指派给某个哲学家。查验客观特征当然有意义，真实也不会因为无人承担就消失。问题是行动所需的可信比单个事实命题的真假更宽。两者混在一起，才使证据承担了它不能独自完成的任务。

称它为一种哲学习惯，并不把过去各行各业的复杂做法都归到一个简单学派。有人一直知道真货也会坏，有人一直重视信用与担保。书中所谓旧层级，主要指一种将单项核验作为行动最终凭据的倾向。它可能很常见，却不等于所有历史制度的完整自我理解，更不等于全部普通人的实际判断。

真实也有独立于承担的意义：没有人公开认账，已发生的事件仍是真的；机构迅速补救，其先前说法也可能是错的。因此，天数替代不了真伪，有人承担也不能把假变真。我们关心的是托付条件：事实核对怎样进入授权，授权怎样连接后果处理。真假判断提供不可省略的材料，时间读数则只可能衡量某一类制度回应。

◆三、它是怎样被写进制度的

一个"合格"标签会被后续流程反复引用。若系统不允许查看合格范围，人们就容易把局部判断扩大。制度可以通过写明结论范围来修正这种倾向：验真结果供决定者使用，但谁允许下一步、下一步失败怎么办，需要另有安排。

"合格"能被快速读到，却往往有检查日期、项目与适用范围。记录向后传递时这些限定若丢失，最后接收者便可能把一项过去完成的局部检查理解为当前全部条件合格。老刘扫描的页面也是一次传递，需要告诉他这个结果覆盖哪一对象，而不让视觉上的庄重替代结论范围。

制度可以将事实结论和行动决定相接，又保持区别。负责检查的人说明已经确认的项目，负责决定的人结合用途与未完成事项作选择，机构则为差错保留处理入口。这不要求每项小事都新增签字人，同一个有权岗位也可以完成，只需知道他正在承担哪种工作。重要的是局部通过不会悄悄消灭剩余问题，决定也不会因为借用了一个检查结果就变成无人作出的决定。

◆四、这个想法里藏着的两个条件

第一，冒充是否足够困难，能使当前查验具有区分力；第二，通过查验后，是否仍有可被追问的承诺主体。它们在许多日常交易里相互支持，却不是历史上总成立的事实。一个条件变化时，另一个未必会自动顶上。老刘手里的防伪码正好把两个条件都摆了出来：码也许很难仿，页面背后的品牌却未必接他的电话。

"造假比验贵"应拆成一个需要具体观察的条件。在某种凭据上，冒充成本可能高，检查成本低；在另一种材料上，情况可能相反。几件成功凭据写不出一个所有时代适用的公式。要问的是，这项查验在当前任务里是否仍有区分力，正常使用者是否能取得它的结果，造假者是否可能绕过被检查的那一部分。

第二个条件也应改得更准确：核验岗位与承担岗位常常相接，并不总由同一个人担任。一个员工看材料，另一岗位批准，机构资源承担后续，仍然可能形成可靠安排；一个人既查验又口头保证，若没有权限和资源，联系也可能随时中断。决定性的不是两个岗位是否合一，而是从当前结果到有权行动、再到后果处理的路径有没有落实。

我们可以分别改变这两个条件作思想检查。保持查验准确却撤掉受理入口，正常购买仍可能获得真货，差错处理却困难；保持有人受理却撤掉基本检查，错误事项可能先被放行，补救负担也会增加。这项构想说明两种功能各有贡献，不提供效应大小，更不证明某种后果安排可以替代所有预防工作。

◆五、旧世界自己也知道，有些东西验不了

承诺未来履约，本来就不是当场全部看得见的事实。保修、押金、担保和固定经营地点，早已为看不见的未来提供安排。AI使这个问题更显眼，未使它第一次出现。本书若把所有过去都画成只会查验的世界，便会抹掉自己的真正近邻。

货物已经交付，可以当场点数；下个月是否仍能提供服务，今天的一张照片决定不了。人们很早就会用期限、分阶段交付和可更正记录来应对这种未知。本书只讨论这些安排的功能，不补写未经核实的历史起源。AI使某些熟悉线索更容易复制，却没有让关于未来和承担的困难从无到有。防伪码能告诉老刘这瓶酒是不是原厂出的，却回答不了下个月喝出问题该找谁。

这个事实还给我们一个反驳机会。如果某个旧制度本来就能接收新型差错，明确授权并及时处理，就不需要为了显得创新把它一概重建，只需再问新增技术是否改变了它的具体条件。新命名不是改进的证据，旧名称也不是落后的证据。能指出一个尚未被处理的缺口，比将全部历史写成只会看真假更重要；没有缺口时，原办法继续成立。

◆六、在我们之前，已经有人看见了这个底子

奥诺拉·奥尼尔在2002年里斯讲座中批评机械的指标问责，强调能审查真实工作的问责；她也指出透明并不自动排除欺骗。[2][3]施奈尔则区分人际信任和支持陌生人合作的社会信任。[4]责任与制度的重要性不属于本书首创。

先让路，也是给新判断划定范围。奥尼尔已经将可信放在合理判断与恰当问责的处境里，施奈尔也已经解释陌生人合作为什么依赖制度。[2][3][4]本书应说明它们怎样限制我们：机构名字出现，推不出处理良好；信息公开增加，也不直接等于疑问获得解决。要看的是一件具体事项如何进入回应。

同样，奥尼尔对指标化问责的批评，应当作用到本书自己的时间读数上。容易测量的天数不必然代表处理质量。[2]一个机构可以较早宣布范围很小的更正，把复杂后果留给受损者；另一个机构可能在查证中用较长时间，后来完成更扎实的处理。定义必须避免把空洞宣布算成终点，分析必须保留事件差异；即使如此，时距仍可能无用。这是要用数据判定的风险，把指标命名为新理论，豁免不了它。

把经典作者当作支持者容易，当作约束较难：后者要求我们接受他们指出的困难也会发生在自己的方案里。本书若一边反对机械指标，一边给每个工作人员按认账天数排次序，就会在使用方式上否定自己的主张。指标只能用于范围明确的制度研究，并与具体处理材料一同解释；它不替代个人人格判断，也不应进入个人绩效考核。

◆七、它也长在我们的日常话里

"验过才敢信"通常是合理谨慎；危险在于把它延伸成"验过便无需再想"。老刘可以检查防伪信息，同时知道信息来自何处、承诺覆盖何种问题。他无须在事实核验和售后安排中选择一项，两项都能帮助他行动。

日常语言常把若干意思压在一起。"这个是真的"可能指商品来源，也可能暗含质量放心；"已经确认"可能只是有人答复，并未说明答复依据。重要事项应能把含混打开。老刘如果将"真品记录"理解为"任何使用问题都由卖家全包"，后来就会发现双方所说的放心不是同一件事。

澄清不必靠大量术语。店家可以直接说明这次核对的对象、当前承诺的范围，以及异常怎样提出；老刘则把自己的问题落到同一对象，而不只反复要求一句"保证没问题"。说得更具体，有时会发现期待并不相合，这种发现应该被允许。可信还包括不同理解能够及时出现；把冲突延迟到出事以后，并不会增加可靠。

◆八、在这个想法里，普通人的位置

若每次失败都被解释成消费者不够会辨认，制度便把专业成本推向普通人。可普通人不可能成为每一行的专家。本书要争取的位置是：正常使用者能够得到结论范围、提出疑问，并在差错之后获得一个可行动的回应。

家电、食品、交通、网络服务，都有自己的专业细节，一个人不可能在每次使用前成为所有领域的内行。若制度每次失败都说他应当更会辨认，便将不可能完成的任务分配给了最缺少材料的人。合理的要求应与使用条件相称：正常用户能够理解重要限制，按相称程序提出疑问，未完成的专业工作应由拥有能力与权限的岗位来说明。

普通人也不是完全被动，他可以保存记录、说明用途、遇到不合时宜的请求时暂缓；但正常配合不该被扩大为替机构承受全部未知。用户遵守明确要求，也不应失去指出专业程序错误的资格。两边都保有可解释的动作，才可能共同处理差错；把可靠性只写成消费者警觉程度，会看不见这种互相接续的工作。

◆九、一个小店的例子，把两个条件放在一起

这是附属构想：水果店允许顾客挑选，也留下坏果反馈的入口。顾客看得不准，仍有机会处理。若老板只说每个果子都检查过，拒绝听取后来发现的问题，检查的价值并未消失，合作的可靠性却已减少。

老板尽力检查坏果，顾客也可以挑选，仍可能有一只果子外表正常而里面腐坏。后来顾客拿着购买记录回来，老板先确认对象，再按约定处理。一次坏果不自动证明老板从未检查，处理也不应自动接收与本次购买无关的所有要求。承担由此保持具体：接住已经约定的一项异常，而不是许诺全世界不再出现意外。

店铺很忙时，受理可以由明确岗位接续，不必只靠老板记得；店员也不必为自己控制不了的储存过程承担无限保证。核验与后果安排在这里共同支撑合作，却仍是可分别辨认的工作。任何一项缺失，另一项的价值不会归零，但整件事的可靠条件会变化，需要被具体说明。

◆十、自测：你平时的"信"，里面验占几成，认占几成

这个自测不要求编一个比例。只需回想一件托付：哪些部分自己看过，哪些依靠承诺，失败后找谁？只看过而无人接住，是一种处境；有人愿接却连基本检查都没做，是另一种。弄清自己处境，比给自己打信任分数有用。

想起最近一次托付，分清自己亲自检查的部分、采用别人判断的部分，以及尚未确认的部分；再看哪些承诺有明确对象，哪项差错能够找到处理者。这样，一个很强的熟悉感可以被翻译成几个能继续询问的问题，人也可能发现自己对已有查验的限制并不清楚。

事情足够明确，就按原安排办，不必为符合新说法增加手续；发现关键缺口，则补取相称材料，或将决定交给真正有权的人；补不足，也要承认尚未具备某项托付条件，而不是以更漂亮的术语宣布完成。老刘最后需要的是理解当前结果怎样支持购买、异常怎样处理。写清这一点，是让"验一验就知道"回到它能回答的问题，把它回答不了的部分留给明确的安排。

带走的话
真假是必须核查的事实，行动的可信还要连接授权和后果。本书的时间读数，是对后一层提出的测量尝试。

小账
：[2][3]已读BBC讲座原始文本相关段落；[4]已读贝尔弗中心文章。老刘与水果店均为构想，无比例读数。

第一编　材料说明

本编已补核阿克洛夫第四节原文；古代印章用途据馆方条目摘要核对。历史朝代、法规条文、软件发布年代与具体品牌防伪功能均未进入正文事实链。各章构想人物不对应真人。关于凭据和流程的分析没有取得实测读数；涉及交易、公证和保修的文字仅说明信任安排，不构成法律、投资或专业安全判断。

第二编
验这一层被生成掉了
编序

出纳需要知道付款请求是否经过授权，母亲需要知道电话里的人是否真的需要帮助，读者需要知道通知是否适用于自己的小区。合成内容可以借用熟悉的声音和脸，让这些本来不同的问题挤进同一个识别动作里。人看见像的人，便容易把意思、权限和后果也一起确认。

"验这一层被生成掉了"是本书对这种压力的概括，不是宣告查验技术全部失效。合成可以复制表象，不能由此推出所有密码签名都能被伪造、所有独立核验都没有用。把这条边界写清，才能认真讨论旧程序在哪些地方被利用，以及更好的检测能解决哪些问题。

这一编摆出一个有公开来源的案件，也摆出明标的家庭和交易构想。两类材料作用不同：案件证明某种事故发生过，构想展开可能的机制，都不能替代发生频率的研究。一个重要困难还在于，合成不仅让假的看起来真，也给否认真实材料提供借口。我们因此既要防冒充，也要避免把所有材料都丢进永远无法判断的黑箱。

第 7 章

一场所有人都是假的会议：香港案，每一步都做对了

这一章的问题：一个人起疑、核验、确认之后才行动，钱还是没了，该怎样定位问题？

【出纳小林的下午】先划清两层。小林是本书用来说明流程的构想人物，不是香港案中的员工。本章真实材料只有下文能够注明来源的部分。章题保留了强提问；"所有人都是假的""每一步都做对了"并非本书已经证实的案件事实。

在这个构想中，小林先把鼠标移到付款按钮，又停了下来。新账户与原来的记录不同，来信却要求尽快办理。视频里出现的职务名称，使他觉得疑问已经在会上得到回答。他真正缺少的不是更多熟悉画面，而是有人通过既有组织渠道，将这次请求、具体账户与允许执行的权限对应起来。我们不安排他已经汇款作为故事结局，先停在这个决定点，观察一个局部确认怎样被扩大成整件事的许可。

◆一、公开报道里能核到的部分

2024年公开报道披露，Arup遭遇冒充公司高管的视频会议诈骗。报道称员工向五个香港账户进行十五笔转账，涉及约二亿港元。[10]公司全球首席信息官在公开访谈中说明，该事件没有攻破内部系统，并把它解释为技术增强的社会工程。[9]

公开案件与这个决定点之间，有一道边界。报道支持事故发生和所报道的损失规模，小林的心理活动则是本书构想。因此，构想的部门、话语和顺序不回填到Arup案里，案例也不被说成印证了全部机制。机制要靠相应材料或另行研究检验，案件的震撼只是提出问题的理由。

读这样的案件，最容易把结局当成每一步的解释：钱已转出，就猜员工完全相信视频；损失很大，就猜每项防护都失灵。结局只告诉我们某些阻断没有成功。失败发生在哪个环节，可能是授权被误读，也可能是例外处理不清，还可能有未公开的条件；没有材料时，这些只作为并列假设，本书不从中挑一条改称案件真相。

损失规模也量不出识别难度。金额描述后果，不描述每次检查的质量。十五次转账的报道引出一个问题：不同动作之间是否存在重新打开判断的机会？没有逐笔记录，我们只能登记这个问题。把金额、动作次数与判断过程分开记录，数字才不会在叙事里承担它没有证明的事情。

◆二、没有核到的部分，我不写成事实

谁先提出视频、每一位与会者具体怎样呈现、每笔转账是否触发告警、员工是否完全遵循所有内部规则，本书都未取得足够材料。报道未交代不等于事情没有发生，"没有看到公告"同样推不出公司无人承担后果。

没有内部流程文件，就判定不了员工遵守还是违反规则；没有后续处理记录，也认定不了机构已经赔付或拒绝承担。未知保持为未知，承担时距的研究也因此有了纪律：未见公开终点的事项，既不填成零天，也不填成无限久。

列出未核事项，是提前说明哪种新材料会改变当前判断。若内部记录显示员工违反了明确规则，就调整关于规则缺口的分析；若显示规则本身允许这些动作，就检查规则如何定义通过；若机构后来及时有效处理，也必须接收。这样作者就不能在结果出现后改写自己原来声称什么。

◆三、"验"这个动作，是怎样被对方等到的

本书提出一个机制假设：如果接收者以看到熟悉面孔作为最终放行条件，冒充者就会准备能通过这项条件的表象。这里分析的是可疑请求怎样迎合核验，而非还原诈骗者的具体操作。独立确认授权仍可能打断这条路线。

假设小林提出再看一次视频，当前会话中的人便能继续回答。他获得了更多内容，却没有改变内容的来路。若问题是该请求是否经过真实组织授权，重复观看仍未触及缺项。有效的补问要与缺项对应，而不是重复自己最擅长的识别。此处不提供欺骗操作方法，只检查确认结论与行动理由如何连接。

小林此时可以区分两个问题：屏幕上的人是否像负责人，负责人是否允许这次具体变更。前一个问题得到肯定回答，后一个仍可能悬着。他如果向真实负责人说明事项，得到的也不应只有"是我"两个字，而应涉及当前对象和动作。身份确认与意思确认需要对应，流程中各自正确却指向不同事项，等于没有确认。这个区别使我们不必抛弃辨认，而是知道辨认结束之后，还有哪些工作它替代不了。

◆四、把流程摊开看：每一格上，通过的依据是什么

在小林的构想流程里，邮件提供职务名称，视频提供熟脸，会议气氛提供紧迫感。但这几格可能都来自同一控制源，只能算一次来源，算不上三次独立证明。应分别问身份、交易授权、收款账户和例外许可，这样才知道"多验"增加了什么。

小林可以把付款单摊开，分别标明来自当前请求的材料与来自既有记录的材料。标明并不意味着前者一定虚假，而是让它无法自己证明自己。若金额与合同相符而账户不同，金额核对仍有价值，账户变更却需要相应确认。组织也应给这项确认一个有权限的岗位，而不是让执行者独自承诺所有未知都已解决。

共同记录还应标明信息变化的时间。原付款单已经批准，后来只替换了账户，原批准就不覆盖这次替换；负责人批准新账户，也不等于修改了合同的其他条件。把变更限定到具体对象，既不必所有事情从头再做，也不会把改了关键条件的事项当成原事项放过。

同一事项还需要稳定的指向。邮件谈一批采购，会议谈一项临时安排，付款单写另一编号，若不对应起来，各环节可能都回答了正确问题，却不是同一个问题。小林能补上的，是把要执行的对象说清，再让有权岗位对这个对象回应。这比问"刚才会议有没有批准"更具体，因为会议可能只批准了总体计划。对应记录使授权能被使用，也不会被悄悄扩大。

◆五、"我们认人"的真相：从来不是核对，是组合

本节回看第一章的日常识别，不据案件推断员工的心理。面孔、称呼和同事在场会共同支持判断。若这些线索来自同一可疑入口，相似的数量增加，也未必增加独立性。把线索组合与独立来源区分，是流程审查的重要一步。

会议中的多人形象可能使人以为每个人都已作过独立判断，但画面上的人数不是审查次数。如果没有真实的交接记录，"他们都在"推不出"他们都同意"。反过来，只有一个有权限的人明确确认当前事项，也可能比许多无法核对的角色更有作用。关键是每项同意能否落到相同对象与实际权限上。

组合判断不是天然不可靠，要警惕的是线索看似互相证明，实际没有独立来历。一个角色点头，另一个角色说已获同意，主持者再总结为集体决定，意见在同一会话里绕成一圈；圈绕得再长，也不增加它与真实组织的联系。正常组织应维护决定记录，让会中结论能被会外有权岗位辨认。

◆六、"系统没有被攻破"这句话的两种读法

它可以说明技术系统没有遭到某类入侵，付款目的是否被正确理解，却是另一回事。另一方面，系统完好也不意味着系统安全无价值。应把技术防护、业务授权和事故处理分别检查，避免用一个真实结论遮住另一个仍待解释的问题。

技术系统可以正确执行一个被错误授权的动作。系统结果只回答它取得了材料的问题。需要分别确认：访问是否符合技术条件，当前业务是否获准，出现差错后谁能暂停后续动作。任务分开了，才知道该修补哪一处。

复盘只围绕系统有没有遭入侵，会遗漏正常权限如何被使用；只围绕员工有没有受骗，又会忽略技术规则是否给了他足够限制。两种审查应交换材料：工具确认了什么，业务岗位据此允许了什么，任何一边都不借另一边退出解释。所谓整件事有人接住，首先是让分开的结论在同一事项上对齐。

系统日志能还原时间和执行动作，却记录不下当时获得了哪些口头指示、为什么认为条件已齐。复盘应把技术记录与业务材料相接，同时保留无法复原的部分。不同材料各守范围，才能找出具体缺口，调查才不会变成部门之间争夺一个笼统的过错名称。

◆七、培训课教的"多验一道"，为什么救不了

多一道检查是否有用，取决于它是否引入不同来源或限制危险行动。再看同一会话中的另一张脸，与通过已知组织渠道确认授权，不是同一种补问。本书不声称案件中某项培训被完全执行，只说明培训的效果不在检查次数。

培训还需接上工作安排。员工知道应回到既有渠道询问，却没有权限等待，或一等待便被认为耽误业务，提醒就难以执行。组织应说明疑问由谁接收、缺项如何补正、正常事项何时恢复。培训是否有效要看这些条件：只统计员工参加了几次课程说明不了什么，用事故结果反推他没有认真学习也同样站不住。

培训还可以用正常事项检验自己。假定请求确实来自负责人，小林依约补问，负责人愿不愿等，会不会责备他不够信任？真实请求者若不接受自己定的核验规则，员工就会学到规则只在不着急时有效。要求的不是无限等待，而是例外有明确批准方式：谁决定缩短哪一步，缺的材料何时补上，后果由哪个组织位置承担。

◆八、保密这个要求，拿走了第二双眼睛

保密可能有正常用途，也可能被利用来隔断复核。好的程序应允许受控的内部确认，不要求员工向无关者公开敏感内容。保密范围与审批范围需要同时明确：真正的机密事项，也要有有权限的人可询问，而不是只剩请求者自己作证明。

在小林的构想里，敏感内容可以由限定岗位查看，不需要发到全公司讨论。真正值得警惕的是请求者同时要求保密，又独自指定谁能够证明请求。这使复核范围也由同一个入口控制。组织既要维护合理保密，也要保留独立审批，两者应在同一安排中得到落实，而不是让员工临时在泄密与服从之间选择。

保密不应剥夺提出疑问的资格。若小林不知道谁有权检查请求，就可能把"不许扩散"理解为"不许询问"。规则应把这两句话分开，并提供接续岗位，让决定在真实授权范围里获得说明，而不是悬在请求者对自己身份的表演上。

◆九、这场会议里，没有一个人要认

这里说的是冒充界面里的角色不提供真实承担，不是对Arup事后安排的判断。屏幕中的职务越多，越可能给人组织已经集体认可的感觉。可是角色形象不会自动变成有效授权主体。原组织的名字必须经独立通道连接到具体事项。

名字和头衔也不自动带来承担能力。小林找到真实主管，主管可能能解释工作安排，却无权批准特定资金动作；财务批准者能授权付款，却无权独自承诺机构怎样赔付。核实名字以后，还要问其在当前事项中的位置。机构承担通过岗位、资源和连续记录完成，人员离开后由明确岗位接续，一个人愿意说负责，全部剩余风险也转不到他的个人承诺上。职责说清，受损方能找到处理入口，最容易联系的员工也不会被当成整个机构的替身。

◆十、一个案子能说明什么，不能说明什么

它说明逼真视频可以进入一场造成重大损失的诈骗，说明没有内部系统入侵仍可能受损。它证明不了查验永远追不上合成，更证明不了认账时距必然预测复发。后一命题要另外取样、另立判据，案件的震撼替代不了检验。

还要保留一种可能：追加的独立核验足以拦住这类请求。那时本书应承认查验改进的作用，不为突出认账安排而预设技术必败。承担处理的是仍然发生的差错，它的增益需要单独观察。

这个案件替代不了比较研究。要说某种安排优于另一种，需要相称事项、统一观察窗口和完整的失败记录；只拿损失巨大的案件去比一段理想构想，什么也证明不了。本章停在一个可以进一步检查的判断：熟悉表象与有效授权应分开辨认；新增安排减少了多少事故，必须交给另行取得的证据。

若材料证明本章提出的某项缺口其实已被严密处理，那一项机制解释就让步；若独立确认仍然失败，应追问渠道如何建立、授权对象是否明确，不凭一次失败宣布独立性无用；也要允许新材料显示本书的认账安排没有可辨认的额外改善。这里没有取过读数，这种检验纪律还只是纪律，不是胜利。

带走的话
核验次数和证据独立性是两回事。真实案件应当帮助我们提出可检验的问题，而不是被改写成所有旧办法已失败的证明。

小账
：[9]为公司首席信息官公开访谈页面；[10]为2024年报道。小林为构想，未取得Arup认账时距。

第 8 章

"儿子"的电话：家里的三个故事

这一章的问题：一个并不糊涂的人，怎样在自己家里被一个"像"的声音带走？

【先说明】以下三个家庭故事都是构想，人物、语句和处境不对应真实来访。故事不用于统计骗局，只用来观察：救人的愿望怎样把识别、核验和付款压缩成同一个动作，以及事后责备为什么可能让下一次求助更困难。

◆一、故事一：周日傍晚的电话

王阿姨正在做饭，电话里的"儿子"说自己有急事，眼下不方便详细解释。王阿姨第一反应是帮助，不是鉴定。她把声音的熟悉理解成请求的可信，又把请求可信理解成应当立即行动。在这个构想里，三个判断没有被分开。

不妨把王阿姨的动作放慢看。她先关小炉火，再问出了什么事，对方没有把事情讲清，她已走到放银行卡的柜子前。这个顺序值得留意：她开始准备行动时，连请求的对象都没有定下来。她准备的是帮助自己的孩子；电话随后提出的付款安排，却可能把这份愿望引向另一个对象。亲情提供了行动的力量，没有提供每一个行动细节的证据。

儿子确实需要帮助时，母亲赶过去、联系可信的人、安排接应，都是关心；某个陌生账户是否应当立即收到一笔钱，是另一个问题。把它们分开，不需要王阿姨先判定电话真假。担心是行动的理由，却决定不了钱的去向。

家庭中的承诺往往说得很宽："有事找我，我一定帮你。"这句话可以保留，只是帮忙如何落实，要容许家人共同判断。若承诺被理解成任何渠道、任何要求都必须立即照办，关心便没有了调整余地。真实的孩子也可能说错情况、转错账户。独立确认保护的不只是母亲，还有那个可能真的在求助的孩子。

◆二、疑点是怎么被剧本接住的

号码不对，对方解释为手机丢了；声音有异，对方解释为受惊；不愿联系别人，对方解释为事情敏感。解释单独看都可能合理，合在一起却封住了其他核验路线。危险不只在解释是否像真，而在所有解释都把人留在当前会话里。

容易忽略的是，王阿姨确实问了许多问题，但每个问题都由同一个说话者回答。回答越连贯，她越觉得事情说通了；可第二句话解释第一句话，这种连贯不是外部凭据。解释消除了她心里的不顺，没有增加可由另一条路线核对的信息。

所以"多问几个只有你们知道的问题"只能处理一部分困难：私人往事可能在别处被提及，真家人也可能一时想不起细节。即使对方答对，重要行动仍须有与这场会话分开的依据；即使答错，也不必立即把求助者当成坏人。

独立路线的关键不在换一种软件。照着对方给的号码拨过去，即便换了声音，仍是沿同一来源的路线前进。她应使用平时留存的联系方式，或联系此前就认识、与此事有关的人。暂时联络不上，结论是还未确认，不是已证明有诈，更不是因此就必须照原请求执行。

◆三、电话里的声音，本来就不是原声

信号和环境会改变声音，接听者本来就需要容忍一些差异。骗子可能利用这种容忍，真实家人也需要它。因而"听起来完全一样"不该成为家庭救助的门槛，声音稍异也不足以成为拒绝帮助的理由。行动应另有稳定路线。

王阿姨记得儿子疲倦时说话慢，着急时会省掉称呼，因此能容忍电话里的不同。这种容忍是日常交流得以继续的条件。只允许标准声音通过的家庭规则，会先伤到疲惫、受惊或身体不适的真实家人。

所以本章不主张把亲情改成声音考试，问的是一段声音适合支持什么。它足以引起注意、让人听下去、促使接听者寻找帮助；是否足以决定向新账户付款，需要另外判断。它在认人上有用，并不同时证明付款对象、用途和紧迫性。

这种范围也有助于减轻家人的负担。接电话的人不必学会鉴别一切真假声音，而应知道何时把判断转交给另一条路线。例如，普通问候仍可自然继续；出现改变收款账户、交付重要资料或要求隐瞒其他家人的请求时，则进入预先约定的确认过程。触发过程的是行动的性质，而不是接听者临场猜测技术有没有留下破绽。

◆四、"急"是怎样把核验挤出去的

王阿姨担心多等一会儿会害了儿子。于是等待的代价变得具体，付款的风险却仍模糊。家人若只教她冷静，没有说明真正紧急时如何寻求独立帮助，这条提醒很容易被急迫压过。暂停资金行动和寻求紧急帮助应能够同时进行。

在构想中，电话里的"儿子"把等待描述成伤害："现在不帮我，事情就来不及了。"王阿姨于是还要承担一种预想的内疚，暂停就仿佛亲手造成了后果。只有"别着急"的提醒很薄弱，因为它没告诉她暂停付款以后还能做什么。

家庭约定应把等待拆开。资金动作可以暂缓，寻找独立帮助却可以立刻开始。具体联系谁、如何说明情况，要按真实处境决定；本章不替代紧急处置。但在结构上，援助的入口不该只剩对方指定的一个账户。若每一种帮助都被要求先服从当前会话的安排，所谓紧迫已经把求助者与其他援助隔开了。

确认总要花时间，事后说"只要多等一分钟就一定能避开损失"并不公道。更有用的是在平静时缩短这段时间：联系方式容易找到，第二个家人知道自己的任务，接听者能一边表达关心一边确认。确认便成了家人熟悉的帮助过程的一部分。

◆五、家里，是一个没有制度的信任

更准确地说，家庭常有未明说的规则。谁随叫随到，谁管钱，谁承担照顾，大家心里各有版本。规则若只停在默契中，突发请求便容易让最关心的人先行动。把重要事项写明，是保护亲密，并非把家人当成可疑对象。

这不是要家庭变成办公室。家里已有许多稳定安排：老人看病谁陪同，出门谁报平安，大额支出谁商量。重要请求的确认可以接在这些安排上，不必另造一份令人畏惧的规章。

例如，一家人可以事先约定，临时改变收款对象时，应通过原有联系方式再确认；没有确认，不等于拒绝本人；提出暂停的人不受责备。这样做的意义不在口号的严厉，而在于规则也约束发出请求的真实家人。孩子平时支持确认，自己急用钱时就不该嫌母亲麻烦。一个只要求长辈服从、却不给年轻成员安排义务的约定，容易在第一次不耐烦中失效。

家庭成员的能力和时间也不同。有的人不熟悉手机操作，有的人经常无法接听，有的人承担了大部分照顾。这些差异写不成一张人人同责的表。谁维护联系人，谁可以作为备用确认者，谁有空回应，都应与现实相符。规则的可靠性来自有人能够履行，不来自纸面上把责任平均分给每个人。

◆六、故事二：糊掉的视频

另一个构想里，外婆接到"孙子"的视频。脸看不清，对方说网络不好。外婆看到挥手动作，便接受了身份。画面没有证明更多，只让缺口显得有一个日常解释。若下一步只是问候，无须升级；若涉及钱或资料，就应换到约定路线。

糊掉的视频让外婆觉得多了一道保证：原先只听到声音，现在还看到一张脸。但来自同一会话的声音和画面可以相互配合，却不是两个独立来源。不必断言画面一定是假的，只需承认它没有回答全部问题。

外婆也没有义务每次都要求孙子打开强光、转动镜头。日常问候可以自然继续；对方把话题转到资料和钱，才启动另一段程序。开头的接受，不自动覆盖后来发生的变化。

从真实孙子的立场看，外婆换一条路线找自己，不是不爱自己，而是一家人共同的办法。他有责任配合，不能用"连我也不相信"迫使长辈取消确认。不把程序上的暂停翻译成情感上的否定，是保护关系的关键之一。

◆七、故事三：家族群里的求助

姑姑的头像在群里发来求助，有人说头像都在，应该没事，另有人说平常她不会这么说。群体意见并不自动构成独立证据。一个人找到姑姑原有联系方式确认，才可能提供新材料。转发者的好心不应被当作对全部内容的担保。

群聊的问题还在于，各人看见的往往是其他人的反应。第一个人回复关切，第二个人以为第一个已经核过，第三个人把前两人的态度当作家庭共识。于是，消息没有增加新事实，可信感却随着回复上升。在这个构想里，我们不计算这种情况多常见，只指出一种可能：人数增加了，来源仍然只有最初那条消息。

如果有人找到姑姑本人，他应说清自己确认了什么。确认姑姑账号仍在使用，未必确认这次求助的账户；确认她遇到了困难，未必确认转发文字中的每个细节。群里一句"问过了，是真的"很省事，却容易把有限确认扩成全部担保。说明范围不必冗长，一两句具体的话比笼统的盖章更有用。

群体也能替个人减轻压力：有人联络本人，有人核对具体安排，其他人暂不转发未确认的细节，没能力核对的人不必以担保身份出现。关心可以共享，事实判断仍须有出处，付款决定仍由相应的人在明确范围内作出。

◆八、两种代价：被骗，与不敢信真的

家庭过度怀疑也有成本。真家人求助被拒，会感到孤立。因而好的约定要允许两句话同时成立：当前请求暂时不执行，你本人仍会得到帮助。只教拒绝，没有替代帮助路线，会把防护变成家人之间的隔墙。

设想电话确实是儿子打来的，母亲却因为害怕出错而直接挂断。他后来可能认为，家里已经不再是可以求助的地方。这是防护方案必须正面处理的代价。如果一本书只追求减少错误付款，却把真实求助被冷落视为无关紧要，它对家庭信任的解释便缺了一半。

更好的说法是："我正在联系你，我会继续帮你，当前这个安排先等一等。"关系上的承诺和行动上的条件同时留下。真实的求助者可能仍会烦躁，接听者可能仍会害怕；规则消除不了情绪，只让情绪不必独自决定整个过程。

事后也要分开判断。有人被骗，就复盘哪条确认路线没有建立，不给接听者贴愚蠢的标签；暂停耽误了真实求助，就检视备用援助是否足够。两边的损失都进入改进，家庭才不会只记得一种风险。

◆九、这些家里缺的是什么

缺的不是永不出错的耳朵，而是重要请求的独立确认、紧急处境的替代援助，以及出事后的不羞辱约定。谁负责维护联系人，谁接听第二通电话，谁协调损失处理，应在平静的时候确定，而不是临时全推给接电话的人。

不羞辱约定尤其重要，因为下一次信息往往掌握在最先发现异常的人手里。接听者如果担心一开口就会被训斥，可能先独自尝试处理，或只告诉家人一部分经过。这样做不宜简单解释为不诚实；羞辱本身改变了披露信息的代价。一个口头上鼓励及时报告、实际上每次都责骂的家庭，很难得到完整的早期信息。

在构想的家庭中，出事后的第一句话可以是询问当前发生了什么，需要谁协助；责任讨论则在基本信息厘清后进行。支持不等于免除所有责任，复盘也不等于围攻某个人。成员可以承认自己的决定有问题，同时要求其他人承认：平时没有提供确认联系人、无法得到回应、真家人曾经催促跳过约定，也都是需要改进的条件。

这种复盘最终要落到可以维护的小事。原有号码换了，谁通知老人；备用联系人不方便时，谁补位；家族群中的模糊担保怎样澄清。它们看起来没有辨假技巧精彩，却决定下一次能否找到另一条路线。如果这些事情无人承担，要求接听者提高警惕，只是把共同安排的缺口重新放回一个人的耳朵和胆量上。

◆十、"熟脸"这件小事，也在松动

熟脸仍有价值，但价值应放在合适范围。认识邻居不等于知道邻居转来的每条消息；认出孩子不等于确定当前收款账户属于孩子。把承诺范围缩到具体行动，家庭就不必在"全信"与"全疑"之间摇摆。

熟悉仍是家庭生活珍贵的基础，家人不必在每句闲谈前互相认证。本章要收紧的只是从熟悉跨向重大行动的那一步。把这一步说清，日常关系反而免于承担无限担保。

三个故事的共同点也因此不在某一张脸、某一种声音或某一个软件。它们都让"愿意帮这个人"顺势变成"执行这项安排"，中间缺少对具体对象、渠道和范围的确认。家庭出路不是撤回愿意帮助的承诺，而是让承诺能够沿着可确认、可调整、有人接应的路线落实。

这些构想只说明一种机制如何成立，不替真实受害者作动机判断；现实中的疾病、经济压力、家庭矛盾等条件，本章没有材料便不补写。设计了一项约定，也不等于损失必然下降。它是否有用，要看真实成员能否执行，暂停是否伴随援助，出了问题后是否仍有人愿意报告和修正。

带走的话
急迫可以把认人与救人挤在一起。家庭应为重要请求准备独立路线，也为真正的急事保留及时帮助。

小账
：三个故事全部为构想，无案件数量、金额或识别率。

第 9 章

真的也可以被说成假的：说谎者红利

这一章的问题：当谁都能造出以假乱真的东西时，手里握着真东西的人会失去什么？

【一段真录音】这是我构想的场景。老孟保存了装修工长关于修补的录音。两人后来意见不合，工长说录音可能合成。本章设定录音真实，只为研究抵赖的可能路线；现实争议中，本书没有资格替任何一段材料决定真假。

◆一、先让路：这个问题早有人讲过

罗伯特·切斯尼与丹妮尔·西特伦2019年讨论深度伪造时，提出"说谎者红利"：公众知道影像可以伪造，可能使真实材料也更容易被否认。[6]本书沿用他们识别的问题，不将这个概念包装为自己的新发现。

这个概念把注意力从造假者手里的作品，移到被质疑者手里的退路：即使没有制作一段假录音，有人也可能从"大家知道录音可以造假"中获益。技术改变的不只是制造证据的成本，还有否认既有材料的处境。

在老孟的构想中，讨论的起点是工长是否答应修补；否认录音以后，讨论可能变成老孟能否证明文件未经合成。后一个问题值得查，但若每次刚要回到承诺内容，又冒出新的、没有具体指向的可能，原来的事情便永远处理不下去。这种转移才是本章要辨认的负担。

本书的延伸是：一种怀疑会不会持续获利，还取决于争议有没有接收者、核查有没有边界、结果能否进入后续安排。这是待检验的分析，不是原作者已证明的结论。若已有办法能让具体异议及时得到回答、让真材料恢复使用，无根据否认的收益就会受限，不必先增加本书的新术语。

◆二、双向污染：不只是假的混进来

假材料可能误导相信，真实材料则可能遭遇无根据的怀疑。两种危害方向不同，结果却都增加处理成本。于是解决办法不止是提高警惕；警惕也要接受查证后的结果，不然材料会永久悬在无法使用的地方。

可以把两种污染放在一次装修协商中看。假材料被误信，老孟可能接受工长从未作过的承诺；真材料被无根据地搁置，老孟又可能无法讨论对方确实作过的承诺。防护只挡住第一种，就可能在第二种处境里留下空缺。要求所有录音一律不用，看起来避免误信，实际上把有依据的协商与无依据的指控一起挡在门外。

两种错误的代价也不总相等，这里不替任何现实争议决定偏向哪一方。需要的是能说明理由的处理：当前材料支持什么、尚不支持什么，暂缓哪项行动，先推进哪些没有争议的事项。把全部事情冻结，不一定比谨慎推进更公正。

两人也许都承认某处确有损坏，只争修补范围。录音仍在核查，现场共同确认的部分也不必消失。怀疑一段录音，不等于否认墙面现状。程序若允许一项争议吞掉全部材料，有限的查证就变成了对整个合作历史的清零。

◆三、一句"可能"，成本为零

"可能合成"不等于已经提出了具体反证。合理异议需要可核的对象：哪处有冲突、原始文件是否完整、时间是否匹配。主张怀疑的人可以提出核查要求，却不应只靠无限可能把所有核查结果清空。这是程序设计问题，不是要求人盲信材料。

"可能合成"的说法在谈话中很轻，落实成核查却可能很重。保存者要找文件、说明设备、回忆时间，有时还要求助专业人员。本章不提供证据鉴定步骤，而要追问谁安排这些工作。如果一句没有具体指向的质疑，就足以使另一方承担无限任务，怀疑已经从认识上的谨慎变成了负担分配的工具。

合理怀疑不要求提出者起点就有全部答案。确实被冒充的人未必知道对方用了什么办法，仍应能报告异常；要区别的是初步异议是否愿意进入下一步核查。核查者可以帮他把"不是我"转成可比较的时间、往来或内容线索，而不是要他先证明技术细节。限制无限否认，不等于堵住普通人的申诉。

怀疑也应随材料更新。录音缺上下文，可以要求补齐；补齐后，应说明原疑点是否仍在。原先质疑时间，时间得到独立支持后又只重复"任何东西都可能造假"，就应记为新的主张，原疑点已经得到回答。

◆四、不只是法庭：日常生活里的小红利

群里有人否认自己发过通知，朋友否认答应过一件事，都可能借用相同说法。本章不把这些构想当司法案例。日常协作可以保留原始记录、独立回复和修订痕迹，减少一件事最后只剩一张孤立截图的处境。

日常生活中的红利未必表现为一场激烈争执。一次工作分工里，甲记得乙答应在周五交材料，乙说截图不可信。甲不愿把事情闹大，便自己补做了。我们没有材料统计这种情形，但作为构想，它显示了另一种结果：承诺没有被正式撤回，负担却已经转走。没有公开输赢，也可能发生实际的成本转移。

为防这种转移，约定任务时就让双方看见事项、范围和变更，让重要安排有共同可回看的版本。后来改变想法，可以修改并说明；真实的修改不应被当成道德失败，否则人们反而更想否认自己答应过。

边界是：不是所有交流都值得永久保存。涉及隐私和敏感内容时，收集、展示与保留应在适当范围内。本章不主张秘密记录所有人；为避免一句抵赖而建立无边界的监视，会破坏日常关系原有的自由。

◆五、红利拿走的，其实是"改口的代价"

承认说过之后改口，需要解释原因；直接否认材料，则可能先把解释任务推给保存者。若制度允许这种推移没有终点，掌握较少资源的一方会不断追加证明。安排一个明确的核查范围和处理主体，可以防止争执无限扩展。

改口通常包含一个承认：先前的说法存在，现在由于某种原因改变。否认材料则可能把这个承认拿掉，让保存者先证明过去确实存在。因此，红利不一定让说话者彻底免除后果；只要使解释推迟，使对方多跑几趟，使处理停在不确定中，就可能已经取得好处。时间本身可以改变双方继续追究的意愿。

但由此推不出所有改变说法的人都在追逐红利。一个人可能记错，也可能后来发现此前承诺超出了能力。在老孟的故事里，工长如果说"我答应过，但当时没有理解新增部分"，争议仍可能尖锐，却至少有一个可以讨论的范围。允许诚实改口进入协商，有时比要求表面上永远一致更有利于追究实际责任。

处理主体的任务不是预先选边，而是把主张分开：哪些双方都认可，哪些取决于材料真假，哪些是对真实话语的不同理解，哪些涉及后来的改变。分类只为推进工作；分类者若无法接收补充、说明不了为何停在某一步，标签再齐全也只是把悬置写得更整齐。

◆六、一句话，两种人都会说

被冒充的人也会说"不是我"。因此，否认本身不是说谎的证据。正确程序需要给真实受害者提出异议的路，同时要求异议进入可验证的流程。保护真材料和保护被冒充者，并不是必须牺牲一边的选择。

设想一个与老孟故事相反的情况：有人用另一段材料指控工长答应了他从未接触的工程。工长说"不是我"，完全可能是在保护自己。社会存在说谎者红利，并不使这句话成为有罪的表现。概念揭示一种风险，替代不了对某一件事的判断，更不是要求被质疑者自证所有无限可能的理由。

保护双方的办法，是让提交者说明主张范围，让否认者说明具体异议，由适当的核查者判断还缺什么，能力不同时提供必要协助。不熟悉文件格式不说明撒谎，熟练展示技术细节也不说明可信；表达能力不是真实性的替身。

处理结论也必须留有修正入口。第一次核查只说明当时确认到哪里，可靠的新材料出现，判断就应能改变。以维护威信为由拒绝新信息的机构，会让真被冒充的人和真材料的保存者继续受困。

◆七、谁吃亏更多

保存设备差、不会导出原文件、没有时间找第三方的人，可能更难应对长久核查。这是资源差异的推演，尚不是本书取得的调查结论。制度若只设极高证明门槛而无协助，会把可信的机会倾斜给最能承担查验费用的人。

资源差异可能表现在许多小地方。老孟的手机空间不足，旧文件已经删除；工长有专人整理工作记录。也可以把情况反过来：老孟留存完备，工长只有零散聊天。构想不规定哪一方天然弱势。要看的，是在这一场争议里，谁能够取得材料、理解要求、等待结果，而不是从职业或年龄直接推断诚信。

核查要求不断变动，最有时间的一方更容易坚持，最缺时间的一方可能先退出。退出不证明材料不真，也不证明另一方赢了。还应记录哪些主张因处理负担没有继续，免得把程序能见到的部分误当成整个事实。

协助也有界限：可以帮助提取已有信息、说明要补什么、减少重复提交，却不能替任何一方编造缺失的经历，证据不足的主张最终仍可能只能保留不确定。公正的协助是让判断尽量不取决于谁更有钱、更会说或更能等。本章提出这一要求，尚未取得证明其效果的实测材料。

◆八、一段录音的"身世"

材料何时取得、谁保存、有没有剪辑，都是可以记录的事项。记录不保证最终正确，却为后来核查保留起点。老孟若只留下转发片段，会缺少上下文；保留原始版本并注明展示范围，能让怀疑指向具体内容，而非永久漂浮。

身世记录的价值，是使下一次询问不必完全从零开始。老孟可以说明哪一份是保存的原版本，哪一份是为了方便交流而截取的片段，展示时删去了哪些无关内容。这些说明不自行保证真实性，却能使对方明确地提出问题。若展示版本与原版本混在一起，甚至保存者自己都分不清，核查的工作就更难推进。

记录也有边界。文件显示某个时间，不等于事件就在那时发生；持有文件，不等于亲历其中所有内容。有限线索积累起来可以提高把握，但不应把某一项包装成无需解释的绝对凭据。

对日常使用者，更实际的要求是保持一致：不要把编辑版本说成原版，不要把转来材料说成亲自取得，不要把不记得的时间补成精确日期。诚实说明缺口，可能使材料暂时少支持一点结论，却避免之后发现差异时全部可信感崩塌。材料的可用性并不总来自完美；很多时候，来自保存者清楚知道自己能够说明到哪里。

◆九、"那就给真东西上凭证"够不够

来源信息能减少某些争议，值得使用。可是来源成立仍可能留下意思和范围的争执：当时答应的修补是否覆盖新增工程？这些问题需要明确承诺内容和处理入口。凭证有自己的功劳，但包不下全部合作问题。

给真材料加上来源凭证，确实能让一些否认更难成立，更完整的材料、更清楚的版本和可信的保存过程都值得采用。问题只在它们解决哪一段困难：确认某人说过一句话以后，还要知道这句话在什么情境中作出，与当前行动有什么关系。

老孟拿到的若是"我来处理"，可以证明确有这种表达，但"处理"究竟指检查、维修还是另行商量，仍需上下文。这里既要防对方借解释空间无限抵赖，也要防老孟把一句话扩成没有边界的保证。真实材料的使用，应把原话、背景、后续确认和双方当前主张放在一起，逐步缩小分歧。

凭证核对已能解决争议，就停在它解决的地方，不额外设一套认账仪式；还有明确的未决问题，再由有权限的人继续处理。技术与组织按问题分工，两者的必要性都要回到实际解决了什么。

◆十、"证据自己会说话"这件事的结束

证据一直需要解释；合成时代只是让解释负担更明显。本书反对的不是证据，而是把证据放下就以为再无人需要负责。一个可信处理过程，会接收材料、回应具体怀疑、保留判断理由，也容许新证据使结果改变。

"证据自己会说话"适合作为一种修辞，却不适合作为无人负责的工作安排。材料要由人提交、读取、比较，并被放进某个问题之中。同一段真实话语，用来证明曾有联系可能足够，用来证明完整授权却可能不足。解释不应随意改变事实，但事实材料如何进入行动，始终需要有人作出有范围、有理由的判断。

回到开场，老孟要的不只是"录音真实"的标签，而是修补事项有答复：哪些已认可，哪些仍有争议，下一步由谁处理。他也要承认，录音真实不等于全部要求都成立。工长则应能提出真实异议，同时让已回答的问题停在已回答处。

本章因此把出口放在可回答的怀疑上。先让异议有门，再让核查有对象，最后让结果能够改变后续安排。这三步都可能失败：门开了却无人处理，材料核过却无人说明结论，结论作出却进不了协商。每一种失败都应留下位置，用来追问信息怎样传播、怎样更正。真材料要恢复作用，既需要事实工作，也需要结果不再悬空。

带走的话
怀疑应当能够进入核查，也应当能够在核查之后被回答。无限可能不应成为免于解释的通行证。

小账
：[6]已核原文"说谎者红利"章节；老孟与工长为构想，无诉讼判断或数据。

第 10 章

新闻：转发一秒，查证半小时

这一章的问题：当一条消息的来路谁也查不清时，人们到底按什么决定信不信？

【小区群里的停水通知】这是我构想的场景。群里一张图写着明天停水，没有清楚的发布日期。转发的人说邻居群也在传。有人开始储水，有人向水务渠道询问，另有人截去页脚重新转发。大家看到的是同一张图，却已经面对不同的信息缺口。

◆一、"一秒"与"半小时"

章题里的时间为示意，不是测量。转发所需动作通常比完成来源核查少，这个差异会使未经查证的消息先占住讨论。解决方向不只是要求每个人投入同样时间，而是让核查结果可被多人使用，并让原传播路线接收到更正。

转发只需选中、点开群聊、发送；核查却可能要找原页、辨日期、看适用区域，再确认通知有没有变更。这不证明查证一定慢，只提醒我们：图能很快被复制，支持它的判断条件却不会随复制带过去。

在小区故事里，图片可能是真的，只是过期了。有人看到停水字样便开始准备，另一个人想找发布单位，却发现页脚被裁掉。前者不一定更不负责任；家里马上要照顾老人，先留意有实际理由。但这种理由支持适度准备，不支持把未经核实的图片重新宣布为正式通知。

核查应尽量留下共享结果。找到现行页面的邻居，可以说清查到哪个区域、哪一天、是否涉及本楼，而不只回复"假的"。后来者就不必重复搜索，也不会把过期通知理解成从未停水。只有一句结论、没有对象和范围的结果，别人很难使用。

◆二、大家其实是按"谁转的"在信

在构想群里，熟人的名字提供安心。但信任熟人的用心，不等于熟人对图片时间做过检查。接收者应当读出承诺范围：他是提醒我看看，还是已经向原发布方核实？两种转发值得不同回应，不应自动混成同一担保。

"谁转的"包含几种期待：相信邻居关心大家、不会戏弄人、知道本地情况。这些都能解释为何愿意听他说，却没有一项说明他核过这次的图片。关系给消息一个值得关注的入口，日期和来源要另外补齐。

转发者以为自己只是信使，接收者却把他当作核查者，双方都没撒谎，仍形成了超出实际范围的担保。一句"邻居群转来的，我还没核实"就能减少这种错位：提醒还在，接收者原来不知道的那一层显露出来了。

这种说明也要得到群体允许。若承认不确定就被嘲笑，群聊会奖励装作已经查过的人。管理员可以维护一种习惯：提醒、核查和正式发布分别说明身份，让各人知道一条消息承担到哪里。

◆三、为什么转：善意的担保

转发者希望邻居早做准备，善意是真实可能的，却不是消息有效的证据。允许他说"尚未核实，请先留意"，能让提醒保留作用。若群里只容许确定口吻，人们可能为了显得有用，把自己的不确定悄悄删掉。

好心转发最容易被忽略的后果，是接收者不知道这份好心用了什么材料。转发者可能以为多提醒总比少提醒好，但不同提醒会触发不同动作：有人仅多留一点水，有人取消当天安排，有人把消息传到工作群。如果发送者用了确定语气，他也许没有意识到，接收者正在按这个确定程度付出成本。

普通人不必为所有转发承担无限后果，只要承诺范围与掌握的信息相符：未核实的提醒说明不确定，不附加自己没取得的发布日期，不把"有人说"改成"已经通知"；后来发现有误，在自己发出的地方补充修正。这是让发送与修正连起来，不是要每个邻居成为新闻编辑。

善意还可以转成别的行动：询问维护公告的人，或帮不方便查阅的邻居找到现行信息。这同样表达关心，还增加了判断条件。群体若只以发得快、发得多为贡献，耗时的核查就没人愿意承担。

◆四、公告栏的老办法

固定公告栏让信息有一个大家都知道的发布位置，也让撤换通知可被发现。但公告栏仍可能贴错日期。它的价值不是材质不会骗人，而是有明确维护者和稳定位置。在线通知也可以保留这两项条件，减少截图脱离原页的误读。

公告栏的优势不只是它固定在那里。邻居知道哪块位置通常用于本楼通知，知道谁贴上去，旧通知是否会取下。位置、维护和更新共同形成一条日常路线。若公告栏长期无人维护，过期通知与新通知重叠，固定位置也会变成误读的来源。可借鉴的是维护关系，不是对纸张的怀旧。

搬到线上，就是大家事先知道的正式发布入口，消息里保留日期、适用范围和当前状态。截图方便阅读，却应能连回原信息；链接打不开，也要让读者知道到哪里查。入口稳定不代表内容不出错，而是出错后仍能找到负责更新的位置。

还要避免另一种误会：凡是看起来像那个入口的图片都被接受。起作用的是读者能沿独立路线找到当前版本，而不是图上的标志熟不熟悉。家庭电话里的区别在这里同样适用。

◆五、新闻机构的老办法

核实、编辑和更正具有专业价值，本书没有理由将新闻只写成责任供给。事实工作必须做，后续纠错也必须做。二者相接，读者才既能得到较好的信息，也能知道出错后怎样更新自己的行动。

新闻工作中，核实与更正谁也抵消不了谁。发布前没有尽到合理核实，事后道歉并不使此前的信息工作自动合格；发布前认真核实，后来发现新事实，也不能以先前认真为理由拒绝更新。两项工作作用不同，应当同时保留。本章没有材料评价某一家机构，只讨论读者如何理解这两项承诺。

核实还应区分已得到与未得到的证据。一篇消息可以说某事已确认、另一事仍在等回应，留白并不降低报道价值；为让叙事完整把推测写成事实，读者反而失去区分依据。确定的语气，增加不了材料的确定性。

更正应说明变化的内容及其影响。原来写明日停水，后来改成另一片区域，读者要知道自己的行动是否还适用；只换掉原文不留说明，先前读过的人可能完全不知情。更正方式应与错误可能影响的判断相称。

◆六、同一张图，三种来路

从正式发布页看到的图、从熟人收到的图、从陌生账号下载的图，外观可能一致，支持判断的条件不同。更关键的是是否能回到当前版本。原图真实但已经过期，仍会误导明天的储水安排，真假与适用性需要分别回答。

同一张图的三种来路，首先改变的是能够向谁追问。正式页面可以查看发布时间与后续说明；熟人转发可以询问是否核过；陌生账号下载则可能没有可持续联系的对象。但来路差异只是核查条件的差异，并非真假判决。正式入口也可能出错，陌生账号也可能准确转述。

还须把真实与当前适用分开。去年确实发布过的停水通知，作为去年的材料是真，作为明天的行动依据却可能无效。笼统标成假消息，会让人误以为图片伪造；当成当前有效，又是另一种误导。准确的更正应回答错在哪一层。

适用范围也如此。隔壁片区的通知可能日期正确、发布者真实，却不涉及本楼。读者最终问的是我现在该怎样安排；核查结果说明不了这一点，就还没帮上行动。

◆七、更正：一件最日常、也最难的小事

更正不只是在原页悄悄修改。已经转出的用户需要知道原来哪一句错、现在该怎样行动。群管理员可以沿原路线说明版本变化，不必公开无关个人资料。更正的可到达性，是它对真实生活发挥作用的一部分。

更正的难处在于，消息已经离开原来的位置。原图从甲群到乙群，再被截去页脚发到丙群，维护者可能不知道全部去向。本章不许诺能追回每一个副本，也不把无法全部追回当作放弃的理由。至少应在自己能够接触的原路线作出说明，并让更正本身保留完整出处与适用范围。

更正也不应以羞辱转发者为主要手段。纠错一变成人品审判，发现错误的人就不愿再报告，转发者只会悄悄删除，而删除通知不到已经据此行动的人。让转发者愿意补发修正，比证明他没有判断力更有用。

在小区构想里，管理员可以请最初转发者把现行通知发回来源群，并在本群说明旧图的问题。他不承担水务单位的责任，只承担本群可做的连接：保留更正，减少旧图流转，为需要确认的人指明入口。责任范围具体，才能持续履行。

◆八、一份关于"分不清"的调查，能说明什么

路透新闻研究所《2025数字新闻报告》执行摘要写到，样本中58%的受访者担心区分网上新闻真假。[11]这是多市场样本的自述担忧，不是识别测试的失败率，也不直接代表中国家庭。它提示一种感受，证明不了本书全部机制。

读到调查中的百分比时，第一步应问它测的是什么。受访者说担心分不清，与他们实际分辨了多少条消息，是两个问题；担心的对象是网上新闻，也不自动缩成某一种合成视频。一个数字可以提示值得研究的处境，却不因与本章主题相近，就证明了本章提出的全部因果路线。

第二步看能推广到哪里。多市场样本不是所有地区所有家庭的完整画像，执行摘要也回答不了每项抽样和提问细节。本书沿用已核到的口径，不另推算人数，不改写成"多数人已经失去辨别能力"。

第三步才与本章连接。这项担忧使来源和更正值得关注，但共享核查能否减轻负担、明确转发范围能否减少误导，还要另取材料。调查只是问题的背景，不是方案有效的证据；若后来观察显示本章安排没有改善判断，这一百分比挡不住反证。

◆九、真消息也被打折

若群里几次通知都错，人们可能连后来经核实的消息也忽略。这个推演不意味着怀疑不合理，而是说明纠错需要恢复可判断的差别。只有"以前错过"的标签，没有现在如何核查的记录，会把每次沟通都拖回第一次的不信任。

真消息被打折，可以由构想中的一次后续通知看出。此前停水图弄错以后，维护者发来当前有效的信息，有人回复"又来了"。这份反应有历史理由，不宜简单批评为过度怀疑。修复需要让人看到这一次与上一次有何不同：出处、日期、范围与核查状态如何补齐，旧错误又怎样被处理。

反复要求读者相信发布者诚意，补不上这些条件。发布者可以说明自己改了什么做法，给出当前能查阅的版本，并允许继续追问。信任的恢复不必是所有人立即赞同，而是读者重新获得可判断的差别。

这种差别也保护谨慎的人：他仍可保留怀疑，但有路线把怀疑变成问题。上一章要求怀疑能够被回答，这里再加一个传播条件：回答应到达原先怀疑的人，让他知道该更新哪项判断。没有到达的真结论，对其行动仍是空白。

◆十、转发的信任是分层的

发布者承担原内容，核查者说明核查范围，转发者说明是否补核，管理员维护更正入口。没人需要无边界担保所有层。层次清楚，才不会在事故后出现每个人都说"只是转了一下"、却没有一人能连接到处理者的局面。

分层责任，不该变成相互推卸的台阶。发布者说自己只提供原文，转发者说只负责发送，管理员说只负责秩序，若三者之间没有连接，出错后仍会留下无人回答的空位。因此，分层不只是列出几个名字，还要说明上一层的问题怎样被下一层接收，下一层的修正又怎样返回传播路线。

范围之外的事情可以转交，不必冒充有能力解决，但转交应告诉提问者去哪里、为什么。反复让人换联系人而没有结果，只是把无路可走分散到了几个地方。

也不应把更正责任全推给最方便找到的人。管理员未必能查证专业信息，热心邻居未必有时间持续追踪；要他们承担某项工作，就应给相应的信息、工具和支持，否则愿意帮忙的人会成为事故后的替身。

◆十一、位置变了：新闻不是"真"的供应，是"有人认"的供应

这个章题需要按两项工作理解：新闻供给经过核实的内容，同时供给可持续纠错的主体。若只有愿意道歉却不认真核查的人，仍然不值得托付。本书强调第二项，不取消第一项，更不以认账替代真实性标准。

小节标题保留了强调，但不是排他命题：有一个愿意承认错误的账号，并不使未经核实的说法变成可靠新闻。

"有人认"的含义也应具体。它不是某个人在评论里说一句抱歉，而是能够辨认哪一项表述出了问题，给出更新理由，修正版本，并在必要时说明对已经作出的安排有什么影响。对超出其职责的后果，应说明转交路线而非许诺包办。认账越有范围，越能区分真实承担和情绪安抚。

如果一个现有机构已经同时做好核实与更正，本书不要求它换名称。需要检验的是这些工作是否真实存在、是否持续运行。若存在，本书的方案可以借鉴；若不存在，就指出缺口而不是宣布全部新闻无用。理论应当让读者看得更清楚，而不是靠把现实压成一个极端来显得自己更有必要。

◆十二、本书在这里划的线

本章只讨论日常消息的来源、更正和行动后果，不裁决政治舆论真假。群里这张通知若最终核实为过期，管理员应在原路线标明，并保留现行通知入口。读者得到的不是新的意见领袖，而是一条可重复使用的查证与修正路线。

回到群里的停水图，一个可推进的结果是：确认它属于旧日期，找到当前通知，说明本楼是否受影响，把更正发回已经传播的地方。并非每一次都能完成全部步骤；缺了哪个步骤，应明确保留。找不到现行通知时，可以说暂未确认，却不因旧图有问题，就宣布明日绝不会停水。

接收者最后得到的，应是有依据、可更新的行动判断：可以适度准备，可以继续核查，也可以把更正告诉家人。各人选择不同，但消息确认到哪里，应有共同可见的说明。

日常通知与购物也有相通的后续要求：通知错了需要更正，商品出了问题需要处理。前者别只看转发次数，后者别只看好评数量。依据进入生活以后，必须有人能接住随之而来的追问。

带走的话
转发者的好心和内容的有效性需要分开。可信新闻既做事实核查，也让更正到达已经据此行动的人。

小账
：[11]58%是样本自述担忧；"一秒""半小时"为示意；停水通知全部为构想。

第 11 章

交易：好评、实拍图、客服电话

这一章的问题：买东西的人从前靠什么放心下单，这些东西现在还剩多少分量？

【小赵买电饭煲】这是我构想的场景。小赵翻了评论、看了买家照片，又询问客服。回答很快，图片也好看，可他真正想知道的是：收到之后发现内胆有问题，向谁提交，谁有权决定退换。前三样材料回答不了这件事。

◆一、买家的"发现"：靠信号找好东西

评价和照片帮助买家了解使用情况，它们可被伪造，并不说明全部无用。不同证据应按来源与范围阅读。谈味道的好评未必说明售后，展示外观的照片未必说明耐用性，把一个信号扩大为完整质量承诺，原本就有风险。

小赵想知道的是：电饭煲是否合用、收到的是否与描述一致、出了问题能否处理。评论描述经验，照片展示状态，客服补充说明，它们可能互相支持，也可能谈的根本不是同一个问题。认真比较，先要分清各自回答了什么。

在构想中，一条好评说煮饭口感满意，一条说包装严实，一条说客服态度好。三条都可以是真，却没有一条回答内胆有缺陷后怎样退换。若小赵把三种满意加起来，推出售后一定可靠，问题不在评论失真，而在结论跨出了材料范围。数量补不齐缺失的维度。

这也保护了真实评价者：买过一件商品，不因此要为同款所有批次作保证。如实说用到目前怎样、哪些未观察，这样的评价不够热烈，却更容易被后来者按范围使用。

◆二、当信号可以批量生成

可规模化制造的表扬，可能使数量更难作为可靠依据。这是风险分析，不是本书统计了多少假评价。买家需要的变化不是自己鉴定每一条文字，而是平台说明处理规则，并让可疑评价的异议有可使用的入口。

相似表扬能被大量生成，把数量当作许多独立经验的习惯就要重新检查。关键不是文字像不像机器，而是内容是否对应彼此独立的实际经历。本章没有材料判定某平台的评论由谁制作，只要求平台说明数量为何值得参考、异议怎样进入处理。

批量风险还让真实买家也被怀疑：表达简短被说成模板，照片拍得好被说成营销，详细介绍又被说成装自然。判断只剩文风，真假两边都得不到稳定对待。这与上一章的说谎者红利是相似的张力。

所以对可疑评价的处理应有具体对象：描述与实物是否冲突，评价是否声称了未经历的事项，展示图是否与交付版本相符。仅凭一份自动判断就公开给普通买家扣上造假帽子，是越界；评价者也应有机会说明材料来源。

◆三、老买家的几招，现在还剩几招

比较来源、查商品规格、保留交易记录仍然有用。变化在于，文风自然和照片细致已经不是充分证据。使用工具可以减少检查负担，但工具的结论应明确；工具说"像真人"，推不出物品质量和履约承诺均无问题。

比较不同页面仍有意义，但要看是否真的增加了独立信息：同一段描述出现在多个店铺，可能只是转载。小赵不必查清全部来路，只需在重要决定上，不把重复看见当作独立支持。

保存规格和交易记录，让后来讨论能回到当时出售的版本，而不是页面修改后的文字。但双方承认同一份说明，仍可能对缺陷、使用方式或处理范围理解不同。记录是协商的起点，替代不了接收争议、作出决定的人。

经验也要能更新。过去凭某类照片挑商品很成功，后来这种展示手法变得常见，就应降低这条线索的权重。这是承认证据条件变了；只能靠"我买东西从不出错"维持的经验，接收不了新的失败。

◆四、"实拍"这个词，是怎么变成信号的

实拍曾把展示与实物连接起来，后来也变成营销用语。即使照片确由相机拍摄，仍可能只挑最好的一件。图片来源真实和代表实际交付，是两种判断。所需的核验应由问题决定，真实性标签答不了所有质量问题。

"实拍"至少可能被理解为三件事：图像来自真实拍摄，拍的是正在销售的物品，展示状态能够代表将交付给我的商品。这三件事有关，第一件却推不出后两件。拍摄来源真实，仍可能是别的版本；版本一致，仍可能只展示最理想的一件。把词义拆开，是为了让购买者找到真正未回答的问题。

在小赵的构想里，照片显示内胆表面平整，却没有说明运输以后怎样检查，也没有说明收到有缺陷时的反馈入口。若他最关心交付状态，要求更多漂亮照片未必有效。他可以查找对交付范围和争议处理的明确说明。解决办法由问题决定，不必把每一种不确定都交给图像鉴别。

卖家也可以展示得更具体：拍摄对象属于哪一版本，哪些是外观示意，哪些以商品说明为准。本章不提供营销规范或平台法律要求。展示越清楚，图片越能放在合适位置；越依赖笼统保证，越容易出现双方各以为说清了的冲突。

◆五、买家的依据，悄悄换了

在构想里，小赵把售后入口加入比较，不再仅数好评。他不是放弃判断质量，而是承认事前判断会留余地。可退换的条件、接收者和处理期限，给这个余地安排去处。本书没有数据证明所有买家都已完成这种迁移。

售后进入比较，先承认一个朴素事实：事前信息回答不了未来每一种问题。小赵仍比较规格和质量，但希望余地有去处：问题由谁接收，需要哪些材料，何时知道下一步。时间与条件以真实交易规则为准，本章不替任何平台写承诺。

去处不只是一个醒目的入口。按钮点开只返回相同的自动答复，争议没有被理解；客服听懂了却无权决定，也仍未被承担。收到、正在处理与已经决定要分开，否则及时回复会被误当成及时处理。

可靠的后续安排也不是无条件满足买家。处理者可以拒绝某项要求，但应说明依据并留出复核路线。可信不是每次得到想要的结果，而是问题能进入一个有范围、有理由、可继续追问的过程。

◆六、客服电话：另一种"验"的失灵

客服能回答信息，也可能没有处理决定权。快速回应不等于问题已被承担。小赵应能知道谁接收质量争议，而不必在每次转接时重复提交相同材料。安排一个可追踪的问题编号，比让客服永远用确定语气更有价值。

客服电话容易把态度与能力放在同一个声音里。亲切的人可能只能登记，表达平淡的人可能已经完成必要安排。声音的热情，代替不了可见进度。

在构想中，小赵向三个客服重复说明内胆问题，每个人都说已记录，下一位却看不到前一位的材料。第四次礼貌回应解决不了连接失效。更有用的是让问题沿可追踪记录继续：谁接手、哪些材料已有、还缺什么。买家不必重新证明自己求助过，工作人员也不必从头听起。

还要保护一线人员。客服只有转交权限，组织却要他为全部结果担责，有人接听就成了责任集中。要他识别问题、解释状态、及时转交，就应给资料与支持；决定退换、修改规则的人也应明确。

◆七、反过来：卖家也被占了

这是附属构想：买家提交的破损图片也可能造假。制度只保护一方免于查验，却要求另一方无限相信，就失了公平。双方都需要保留原记录并进入同一处理规则。认账安排是一套可处理争议的接口，不是谁先喊受害谁自动赢。

从卖家一侧看，争议材料也可能有不完整或不真实的地方。买家展示的照片，未必对应这次交易；真实破损的照片，也未必独自说明原因。这里不提供识别造假图片的技巧，不把卖家预设为受害者。要指出的是，同一套处理办法应容许双方提出具体疑点，而不是只让一方证明、另一方无限要求。

卖家也不应因买家材料有瑕疵，就宣布其全部主张不存在：照片时间不清可以补充，描述不准可能只是缺乏术语。反过来，卖家要求必要信息，也别直接说成拒绝售后；请求是否合理，看它与争议的关系及负担。

对称不是让双方付出同样成本。卖家掌握生产、发货信息，买家掌握收货与使用信息，谁有哪部分材料，就说明相应范围；处理主体负责连接分散材料，不泄露无关信息。公平更接近按掌握条件分配说明任务。

◆八、直播间里的人，是不是真人

真人主播可以说错，合成主播也可以准确介绍规格。是否合成是一项应披露的信息，却不独自决定交易可靠性。发布机构、销售主体和履约渠道需要看清。把主播做得更亲切，代替不了交易后有人处理问题。

直播中的亲近感能够让介绍更容易被听见，也能帮助买家理解使用方法。这种效果可以被合成，并不说明亲近本身没有价值。需要防止的，是把情绪上的熟悉扩成交易上的无限担保。主播经常出现在屏幕里，买家仍应知道售卖主体是谁，承诺来自谁，后续问题怎样进入处理。

真人与合成应在适当范围内披露，但这个区别决定不了商品质量。本章不比较具体技术或规定，只提醒分别判断表现形式与履约条件；无论哪种呈现，发出承诺的机构都无权把主播形象当作责任的替身。

如果一个账号停播，买家仍需要找到已有交易的处理路线。若路线完全依赖继续看见同一张脸，一旦账号变化，承诺便难以追问。持续交易记录与明确销售主体的作用，就在于使售后不必以表演持续为条件。介绍者可以变化，已经发生的交易仍应有能够接收问题的位置。

◆九、菜市场的老办法

固定摊位让顾客容易反馈，是可以借鉴的机制，但线下也可能失守。网络交易有机会通过持续账号、明确处理者和记录连接获得类似功能。地理邻近不是天然诚信，线上陌生也不是必然无人承担。

菜市场的摊位让人第二天还能走回原处问，但摊主可能换人，顾客未必留有凭据。借的是稳定联系与反馈机会，不是把熟人生活写成没有争议的过去。

网络交易可以靠持续身份、可回看的交易版本和明确处理入口建立类似条件。它们也可能失效：账号还在却没人回应，记录保留却无人有权决定。可找到还要连到可处理。

真正值得比较的，是不同安排如何接收同一种问题。线下顾客拿着实物回摊位，线上买家提交相应材料，各自可能更方便，也各自可能有阻碍。本章没有数据给两者排名。它提出一个共同问题：问题进入以后，是否有人理解、有人决定，结果是否能使下一次交易的信息和规则有所改善。

◆十、评价，本来是一种小小的认账

评价者可以说明自己买过什么、观察到什么，不必为他人所有购买担保。一条谨慎评价承认局限，反而给后来读者留下判断空间。质量信息若只容许赞扬或谴责，就容易使真实而有限的经验被排挤掉。

评价中的小小认账，是承认自己观察的边界。"目前用了几次""没有比较其他型号""只知道这次售后"，保证不了评价真实，却给读者留下可判断的范围。评价者承担的是自己这一段经验的陈述，不是为后来每个买家的使用结果担保。

评价也可以改变。先满意后发现问题，应能补充；先投诉后妥善处理，也可以说明。改变不意味着前一条虚假。系统若把每次变化都看成立场不稳，就会鼓励用户保留已不准确的最初标签。

阅读时同样要分辨观察与推断。亲眼看见某处裂痕是事实；推断同款全部都会如此，需要额外材料。不让观察者背上总体结论，既保留警示价值，也守住判断限度。

◆十一、小赵后来怎么办

构想的结尾，小赵保留商品说明和售后范围，选择有可追踪处理路线的交易。他仍可能买到有缺点的产品，但不用从头猜测每一位客服的诚意。安排降低的是出错后的无路可走，而不是许诺以后永不出错。

小赵最终选择哪一件商品，本章不替他决定。构想只展示他的判断怎样变得具体：质量资料说明了什么，付款对应哪一版本，售后处理到哪里，尚有哪些不确定。他可能仍选价格较低的，也可能更重视处理便利。不同选择可以合理，但未查到的事项，不该在决定后被悄悄改写成已经确认。

如果内胆确有问题，他可以把具体争议接到原有记录，不必从主播是否诚恳重新猜起；卖家可以核对并说明安排，也可以对不成立的要求给出理由。即使仍有分歧，双方也能围绕同一事项继续。

本章的出路有实际限度。明确入口不会自动消除劣质商品，可追踪记录不会自动让处理者公正，售后承诺是否兑现，也要看文字以外的东西。后面的章节需要把权限、资源和修订继续写出来。小赵的故事到这里提供的，只是一项方向：在事前认真判断之外，为判断可能出错的地方留下能够工作的去处。

带走的话
好看、自然和及时回应，各有有限作用。重要交易还需要把质量争议接到明确的处理主体和规则上。

小账
：小赵、商品和直播情形均为构想，无平台规则、假评价比例或购物建议。

第 12 章

身份：面试、开户、远程办事

这一章的问题：当"你是你"也可以在屏幕上被造出来，机构怎样放心让一个人进门？

【一场远程面试】这是我构想的场景。人事小方通过视频面试程序员，回答流畅，作品也像样。面试结束，小方准备把视频中的表现写成"身份和能力均已确认"。主管提醒：视频展示、身份确认、作品归属和未来工作能力，需要分别留下依据。

◆一、面试里，人事在验什么

面试观察的是当场回答，履历和未来履约要另外了解。某个回答很专业，不足以证明所有作品都是应聘者完成。将判断范围写清，不会贬低面试；它使其他环节知道还需补什么，避免把一次交流当成包办全部事项的凭证。

小方看到应聘者能回答问题，这是有用的观察，问题在记录怎样写。写成"在本次交流中能够解释所展示方案"，下一位同事知道观察的范围；写成"身份、作品和能力全部真实"，一次面试就扩张成了它没有完成的检查。

作品看起来成熟，可以支持进一步了解，归属却要另外证明：可能独立完成，可能参与一部分，也可能是团队成果。真实的团队参与不必掩饰，把具体工作说清即可；只认可独自完成的面试，反而鼓励人删掉合作关系。本章不提供招聘筛选标准，只要求记录能容纳这些差别。

未来能力又是一层。过去完成过，不保证换了条件同样完成；当场表达不流畅，也不说明无法胜任。能力判断有自己的方法，与身份信任互不替换。

◆二、开户：把"验"做成了流水线

远程办理可以节约很多时间，但身份检查只是特定业务的一个环节。本书不描述任何银行开户程序。借这一类办事想说明的是，流程的输出需要跟着业务范围走：一项身份检查完成，并不意味着所有后续用途均已授权。

流水线办理让大量普通事务变得方便，用户不必反复跑现场，这些贡献应当承认。核验有边界，是要求每一步输出带着自己的范围：核对过身份的结果，应说明用于哪项业务，不能成为所有未来操作的放行凭证。

身份与意愿也需要接合。确认是本人，不等于本人理解当前提交的事项；本人同意，也不等于任何代办者都能改变内容。流程之间若靠一个含糊的通过状态衔接，后续就看不出到底通过了什么。

标准化也应给异常留位置。材料不完整、用户表达有疑问、操作与申请范围不一致，是需要处理的信号，不只是要更快通过的障碍。若所有工作人员都只能继续下一步，一个未解决的问题就会变成许多人依次接受的前提。

◆三、"已按规定核验"：验过了，是一个位置

这句话需要附带核验对象和当时规则。它可以帮助复盘，却不应让争议在门口停住。实际办理者提出身份被冒用时，应有受理路线。把"程序已做"作为拒绝听取新材料的理由，会使有价值的程序变成自我保护的壳。

"已按规定核验"是重要的事实记录，有助于区分未执行、执行错误与规则本身不足。但它也可能被用作讨论的终点：有人说明后来发现身份被冒用，机构只重复此前步骤已完成。程序形式还在，接收新事实的能力却没了。

所以记录应当能打开：核验对象、当时范围与必要材料，在适当权限内供复核使用。这不是无边界公开个人信息，而是让争议能被有权限的人理解，提问者知道自己的主张进入了哪个过程。

复核与首次办理也不互相取消。首次办理者依当时规则完成工作，如实记录；规则有缺口，照样修正。把任何复核都当成对个人工作的否定，人们就更难报告异常。

◆四、反过来：真人被拒

这是附属构想：一位老人因设备或状态变化未通过检查。增加门槛可能降低一类风险，也可能排除真实使用者。应提供适当的替代办理和复核入口。工具的误拒后果也是服务问题，不宜全部归结为老人不会使用技术。

在老人被误拒的构想中，系统没有成功确认，首先得到的是未通过当前检查，而不是已经证明此人虚假。两种表述的差别，会影响工作人员的态度，也影响老人下一步能否继续办理。误拒是服务过程需要接收的结果，而不是对用户的身份评价。

替代路线应真实可用。写着可联系工作人员，电话却无人接，或要重复刚失败的同一检查，入口就没有解决障碍。机构应说明谁能接手、在什么条件下用另一种适当方法；具体方法按实际业务确定，本书不替任何认证制度编造例外程序。

照顾真实使用者，也不是放弃必要核验。误拒与误放都要处理，合理设计应比较不同办法对两者的影响。老人得到的应是继续被服务的机会，而不是不经核查的无限便利。

◆五、代办与冒用，隔着一层纸

确认来者是某个人，与确认他有权为别人办事不同。代理事项需要明确授权范围，亲属称呼只是起点。正规的授权也可能撤回或到期。把身份、意愿和代理范围分开，是保护被代办者，而非要求每个家庭重新证明亲密。

代办的困难在于几项关系常常重叠。来者确实是亲属、确实关心、也熟悉日常情况，这些都不自动证明本次事项已获授权。亲情解释为什么愿意帮忙，有权替对方决定到哪里，要另外回答。

授权也会变化。先前允许提交材料，后来能否更改重要选项，仍需确认；帮过忙不等于永久拥有同样权限。被代办者改变想法，也不应只能靠指责亲属来表达。

对代办者，清楚边界同样有益：哪些是转交的信息，哪些是本人决定，哪些还需机构确认，分别记录。否则出了问题，各方都以为另一方检查过。说清实际完成的事，既减少冒用空间，也免得真实帮助者为全部事项担保。

◆六、同事是屏幕里的人

远程合作需要确定账号和工作授权，也需要知道失联后怎样交接。屏幕中的同事可以有真实身份，却无权批准某项付款。组织应把职务权限放到可确认的记录上，避免把常见面、常聊天误作任何事项都能授权的依据。

远程同事通过账号、声音和惯常交流被认识，这些线索支持日常合作，替代不了事项权限。经常讨论某类事务，也不等于他现在能代表另一部门作决定。权限应有独立可查的位置，而不只存在于员工的印象里。

当前控制也要分开。账号长期属于某人，证明不了此刻消息由他操作；确认本人发出，仍须检查消息属于什么范围。本章不提供具体安全配置，只强调一次通过状态不该不断向后复制，直到有限的确认覆盖全部行动。

一线员工应能够暂停有疑点的事项。如果组织平时要求查清权限，遇到催促时又把暂停者视为拖延，规则就会被权力关系压过。给予暂停权需要同时提供接收者、回应机制和必要资源。责任不只在事情出错后落到操作的人身上，还应在事前使他拥有处理不确定的能力。

◆七、身份里的三样东西

本章将身份识别、当前控制和事项授权分开。知道账号属于谁，不一定知道此刻谁在操作；知道本人在操作，也不一定证明他有权执行某件事。这些区别可以由多种技术与组织安排共同支持，一张脸一次消除不了。

身份识别回答这个人是谁，当前控制回答这一刻是谁在使用相应入口，事项授权回答能够为哪件事作决定。这三者没有必要每次都采用相同强度的检查。普通问候与重要业务，要求可以不同。分开它们是为了让强度随具体行动确定，而不是让每次交流都背上最严格的程序。

三项结果也可能不同步：身份已确认，权限仍待查；账号控制已确认，作品归属仍需说明。只允许完全通过或完全失败的制度，会把这种真实状态藏起来。保留部分确认，有依据的部分可以推进，未完成的事项也不会被误读成完成。

部分确认也不是无限拖延的借口。应说明还缺哪一项、由谁补充、为什么与当前事项有关。明确未确认范围，既约束申请者，也约束机构。

◆八、老办法：担保人、内推与熟人介绍

介绍能提供线索，但应注明介绍者知道到哪里。内推朋友不等于担保全部履历，担保履历也不等于承认未来一切后果。范围有限的介绍仍可有价值。制度越能容许介绍者说"不知道"，越能避免人情被强迫扩张成无边界责任。

熟人介绍是一种有限证言。介绍者知道应聘者在某个项目中的表现，未必知道全部履历和每份作品的来历。"不知道"不是失职，而是告诉后来者还需核查什么。

被介绍者也应有自己的说明机会。朋友介绍得含糊，不说明被介绍者可疑；介绍者地位高，也免不了后续必要检查。介绍帮助打开交流，不应决定全部结论。这样，熟人关系既保有实际价值，又不会被制度要求承担它无法完成的身份与能力认证。

若介绍者承诺的范围过宽，出了问题后应查清他说过什么、依据是什么，而不是只因关系存在就要求承担一切损失。反过来，介绍者也不该把自己作过的具体保证改写成随便说说。有限责任不是没有责任，它要求范围与实际表达相符，并让相关承诺能够被追问。

◆九、柜台后面的人

实际执行者应有机会指出材料不足，并得到有权者回应。若签字者只有核对照片的权限，却必须为全部损失承担，所谓人工在场就成了责任集中。本书要建立的接口，必须带着机构支持和改规则的能力。

柜台后面的人经常是最容易找到的人，但未必是最有权改变规则的人。用户被误拒后向他说明，他可能只能重复流程。若机构没有升级处理路线，人工出现也只是给自动结果加了一张脸。有人在场的价值，要看他能否理解问题、取得支持、把需要决定的事项交给适当主体。

工作人员也要知道自己的判断边界：能核对材料，不等于有权裁决全部争议；能登记异常，不等于要个人保证结果。权限说明白，责任才有实现条件；否则员工为避免担责，会把所有异常挡在门外。

机构应承担相应的后续工作。重复发生的误拒是否进入规则修订，某种材料要求是否过重，现有入口是否真正被使用，都值得观察。本章没有实际数据给出频率或结论。它把这些问题留下，是为后文的认账与修订提供具体对象，而不是把普通办事人员当作全部失败的原因。

◆十、回到那场面试

小方在构想的记录里分列面试表现、待补的身份材料和作品说明，并给应聘者补充解释的机会。他没有因此判定对方可疑，只是不把未完成的检查写成已经完成。好的制度允许"部分确认"成为一个诚实而可推进的状态。

小方改写面试记录以后，其他同事不再只看到一个笼统的可信标签。他们可以知道当场观察了什么、作品哪些部分得到说明、身份还有哪项待补。应聘者也知道为什么需要补充，能够纠正误读。沟通没有因此天然变慢；它可能减少后续对同一个缺口的反复猜测，但这个效果仍需真实使用材料检验。

补充材料支持应聘者的说明，记录就及时更新，不让待确认状态永久跟着他；补充仍不够，也只说明尚未确认的具体范围，不变成对人格的总评。

出口不是小方变成无所不知的鉴定者。他仍有专业和权限限制，但能诚实记录、提出必要问题、接到有能力的人。人与工具共同工作，是增加可用的判断条件，而不是让一个工作人员独自替所有系统结果背书。

◆十一、本书在这里划的线

本章讨论办事信任的分层，不比较实名政策，不提供绕过核验的方法，也不判定招聘或开户法律责任。目的在于使正常人能知道被确认了什么、没有被确认什么，以及出现争议后怎样提出和处理。

读者别用本章的构想跳过实际规则，也别把部分确认理解成可以提前执行任何重要事项。能推进到哪里，由具体业务中适当的权限和材料决定。

同时，真实规则也需要接受真实后果的检验。规则若经常让正常人无路可走，写在流程里不是停止讨论的理由；若提供便利却使重要授权含糊，用户满意也证明不了可靠。误拒、误认与权限错配应分别进入复核。不同问题都发生在身份环节，却混不成一个识别准确率。

至此，第二编已从一场会议走到家庭、消息、购物和办事。每个场景保留自己的专业要求，却都出现同一个问题：某项有限确认怎样被扩大为完整行动依据。这一问题还需接受最强反方——把检测做得更好。只有承认技术能够解决的问题，并准确指出仍未解决的部分，本书的责任主张才有继续讨论的依据。

带走的话
身份、当前控制和事项授权需要分别确认。真实的人也可能被误拒，错误的确认也必须有可纠正的入口。

小账
：面试、老人和办理者均为构想，无产品功能或实际身份识别数据。

第 13 章

人到底分得出吗：一个厂商调研和它的局限

这一章的问题："验这一层被占了"，是否只是人的眼耳不够灵，换一个更灵的办法就能解决？

【饭桌上的小测验】这是我构想的场景。一家人在饭桌上看真假片段，猜对的人很兴奋，猜错的人说刚才没看仔细。这样的小游戏能打开话题，却说明不了他们遇到下一种诈骗会怎样，更算不上本书已做的实验。

◆一、一份厂商的调研，怎么读

iProov2025年发布的调查新闻稿称，测试了英美二千名消费者，0.1%正确判断了全部真假刺激材料。[12]"全部答对的比例"不是单项正确率。发布方经营生物识别业务，有直接利益相关；本书未取得完整调查报告，新闻稿只能当线索，不是无条件的总体估计。

这份新闻稿要逐项读，不能只摘最醒目的数字。本书未取得完整刺激材料、题目数量、抽样细节和全部统计，无从复现其结果，更不把它当作对普通人能力的最终判决。数字精确的外观，补不上方法的缺口。

"全部答对"尤其需要解释。答错一道就不再属于全对者，他仍可能判断对其余多道。全对比例很低，可能与题目数量、难度和材料类型有关；没有完整方法，这些影响拆不开，单道正确率也反算不出。本章只保留原稿报告的指标名称。

利益相关不自动证明数字虚假。正确读法是提高方法透明的要求，核对指标和推广范围，寻找独立材料；全信与全弃都省掉了必要判断。厂商材料可以提供线索，不足以独自决定制度怎样安排。

◆二、"自信"比"分不清"更要紧

同一稿件还说超过六成对自己识别能力有信心。[12]自信若超出实际能力，可能促使人在高风险时过早结束检查。但本书不把这份调研变成"人必然过度自信"的普遍结论。设计上可以不让全部安全寄托于使用者自我感觉。

饭桌小游戏中的自信，多半来自几次顺利判断：看出一处不自然，猜对了，便觉得有了诀窍。可当前猜对与未来稳定识别不同，不清楚材料怎样挑选，也不知道诀窍在什么范围有效。构想只展示这种推论跨越，不把自信本身当成缺陷。

自信能帮人行动，也能缩短检查。面对重要请求，越有把握越可能觉得无需其他路线；即使视觉判断不错，付款对象和权限仍可能没确认。所以防护不能靠接听者恰好觉得不够确定，应由行动性质触发必要程序。

培训也不必让所有人永远没有信心，而是让人知道哪种判断已有依据、哪种仍需其他材料：识别出明显异常，可以提醒暂停；没识别出异常，不证明请求安全。

◆三、补入学界研究：人和机器可能互补

本书补读了Groh等人的独立研究摘要及书目信息。其在线研究比较人、检测系统以及得到系统提示的人群，发现人和机器会犯不同错误；协作可改善表现，错误的机器提示也会误导人。[13]它反对"人完全没用"的简单说法，也不保证未来所有合成都可识别。

独立研究让讨论越过"人的眼耳已经无用"这一句。本书核到的是摘要与书目信息，只沿用其能支持的有限结论；没有复算数据，不补写效应大小，不把摘要包装成已读完全部实验细节。

不同错误模式为合作留下可能，却不保证合作自动成功。人怎样理解提示、能否提出异议、哪些场景需要进一步处理，都影响结果；本章没有材料给这些条件排序，作为设计问题留下。准确率替整个工作过程担保不了。

学术材料也受样本边界约束。某项研究的材料、任务与参与者，扩不成下一代工具、全部语言或现实紧急请求的表现。应用到新业务，应取得相应验证，而不是只借论文名称形成权威感。

◆四、过期的经验，比没有经验更糟

识别经验可能针对特定工具的缺陷。某些线索变化以后，经验仍被当固定规律，就可能给人不适当安心。这是本书提出的风险机制，不是对那项研究的额外结果。训练应包含规则可能失效的提醒，以及不依赖某种视觉瑕疵的处置路线。

过期经验的危险，在于使用者不知道它何时不再适用。曾有效的视觉线索可能不再稳定，曾常见的瑕疵可能只是特定材料的特征。本章不列举未经核实的技术演化史，也不提供辨假窍门，只说明训练所得要与使用条件一起保留。

培训只教一个确定判断，人们会记住看见某特征就是真、没看见就是假。更完整的训练说明线索可能遗漏也可能误报，并把不确定接到行动路线：暂停重要事项、回到独立来源、向有权者确认。这些办法也需检验，但不依赖某一项画面缺陷。

更新责任不应只落在用户身上。提供工具和培训的组织应说明已知限制，得到新材料后调整说明。把旧教材长期称为充分防护，出错时又指责员工没跟上变化，就把维护规则的任务藏进了个人能力要求里。

◆五、最强的反方：那就用机器来检测

这是必须认真接受的反方。更好的检测可以减少事故，本书应欢迎它。要检验的是它在新样本、不同环境和可负担成本下的表现，熟悉材料上的准确率只是起点。若检测连同授权安排足以稳定解决问题，本书需要缩小自己的适用范围。

最强反方不是说机器永远正确，而是说足够好的检测加适当流程能显著减少事故。本书的责任论不以检测必须失败为前提；已有安排若能在目标场景稳定处理问题，新增安排就应证明自己还有什么价值。

验证要围绕使用场景：新材料中的表现、持续服务的表现、误报与漏报的代价、检查成本是否允许真实使用。本章不设统一合格阈值，也不代替专业评测，只反对拿一个脱离任务的数字回答所有问题。

即使检测正确，也须看它检查的对象。正确判断一张脸是真人，未必知道此人有权批准交易；正确判断文件未被修改，未必知道其中说法属实。若实际问题只是检查是否合成，检测也许已经解决大部分困难；若还涉及授权与后果，前一项成功就扩不成全部成功。本书的适用范围取决于这条具体边界。

◆六、检测工具自己，也会生出红利

工具出错可能被包装成"机器判断如此，所以无需解释"。使用者又可能因提示而停止观察。工具应显示可理解的结论范围和人工处理入口，重要决策应连接到有权者。这里的责任安排保护的是工具使用者，而非要求人胜过机器。

检测工具的红利，可能表现为一句责任语言："不是我判断的，是系统判断的。"它有时只是如实说明用了工具，有时却被用来结束解释。工具如何影响决定，使用者应能说明；决定出了问题，机构应能接收，不让被影响的人只对着一个结果标签求助。

技术细节可以不公开，结果范围必须说明：检测什么，没检测什么，未通过意味着什么，怎样提出异议。可理解不是要人人懂内部模型，而是不把有限输出误作完整业务结论。

误判后的处理也应保护工作人员。依规定使用工具的人，不必个人保证工具永不出错，但要做好记录、解释与转交；选择工具、验证适用性和调整流程，由组织承担。

◆七、三层"所限"，现在可以分开写了

能力所限，是当前检测不够好；结构所限，是环境和工具变化使旧表现难以保证；位置所限，是正确检测结果仍没有连接到授权和后果处理。三层可以分别改善，某一层仍有困难，证明不了另外两层毫无价值。

能力所限靠更好的方法改善，结构所限要求持续检验，位置所限要求结果接到正确事项。三层不是三种命定失败，而是三类不同问题。

可以用一个明确标为构想的工作过程说明。工具发现某段视频有异常，员工暂停提交，主管通过独立路线确认请求。如果异常提示后来证明误报，流程需要恢复正常事项；如果身份得到确认而授权仍不清，仍要继续核对权限。这些步骤解决不同问题。最终未付款，也推不出第一项检测一定正确。

拆分也有助于复盘。失败来自检测漏掉异常、工具不适用于当前材料，还是正确提示没进入有权者的决定，需要不同材料。全归成识别失败，改进方向就模糊；全归成缺少责任，又抹掉了技术需要修正的部分。

◆八、培训有用，用在哪里

培训可以教人发现异常，也可以教人怎样暂停、如何走独立渠道、向谁提出异议。后一类学习无需依赖某个合成瑕疵永不改变。组织还应让正常暂停受到支持，否则教会了动作，使用者却不敢在被催促时执行。

动作训练尤其要模拟真实组织条件：有人催促时能否暂停，独立联系人是否回应，材料怎样交给处理者。只在课堂里答对图片，离开课堂仍无人接收疑点，学习就停在了测试任务里。

培训成果也不宜只用主观安心衡量。觉得更有信心是一种反馈，能否说明判断范围、使用约定路线是另一种。本章不声称已实施这样的培训，也不提出未经测试的有效率，只提供之后可以取得材料的观察对象。

还应照顾不同使用者。有人擅长视觉比较，有人熟悉业务权限，有人能及时联系相关人员。组织可以让这些能力互相支持，而不是要求每个人都成为同样的技术鉴定者。分工要有清楚接点，以免以互补为名，让所有人都以为另一位已经完成检查。

◆九、两个常见的误会

一是看不准就等于无能，二是检测更好就等于不需负责。前者把专业负担推给普通人，后者把专业结果扩张成免责。更稳的安排容许人使用帮助，也要求提供帮助的组织说明限制、接住误判并修订规则。

"看不准就是无能"把专业问题变成了人格判断。普通人可能没有足够材料，也可能面对从未见过的条件。指出这一点是让谨慎有可实现的范围；知道自己不能判定、能暂停并求助，也是一项有价值的能力。

"检测更好就无需负责"则把专业贡献扩成了组织免责。好的检测降低某些错误，仍需接收误拒、解释输出、处理权限变化。责任安排应随实际风险缩放：为证明负责而加无用手续，为展示准确而藏起未解决事项，都是偏差。

对读者，较稳的态度是既使用帮助，也保留追问：工具结果按已验证范围参考，超出范围的决定另取依据。信任在这里不是技术崇拜或技术恐惧，而是让每种帮助承担它真正能承担的那一段。

◆十、这一编怎样用数字

厂商数字注明来源和限制，学术结论注明研究范围，构想时间明确为示意。举一个纯算术示意：若八次独立二选一都随机猜，全部正确概率为1/256，约0.39%。它说明全对指标很严，却反算不了iProov调查的单项正确率。

本章中的算术示意可以完整复算：八次彼此独立的二选一，每次随机猜对的概率为二分之一，全部正确便是二分之一连乘八次。这个条件非常明确。如果题目数量不同，猜测并非随机，或各题结果相关，同一个计算就不再适用。公式的透明来自条件可见，不来自它看起来科学。

因此，这个示意只解释全对指标为何可能严苛，不解释厂商测试究竟为何得到所报比例。实际参与者可能拥有部分辨别能力，题目也可能有共同特征，我们没有完整方法便不补设条件。把已知算术与未知调查分开，是避免在一个核实过的数字旁边偷偷加入未经核实的机制。

本编其余数字也一样：案件金额描述规模，不独自证明流程因果；调查比例描述相应指标，不证明所有人的能力；研究结论支持其样本范围，不替未来技术担保。

◆十一、这一编留下的东西

合成增加了识别压力，但人机检测也在提供帮助。本书需要论证的是：识别结果怎样成为安全行动的依据，而非证明一切识别都已失败。责任接口的价值，最终仍要由它是否改善处理和后续结果来判断。

回看这一编，香港会议提醒授权可能被熟悉外观掩盖，家庭故事提醒紧迫会压缩判断，新闻与交易提醒结果还需要更新与处理，身份办理提醒不同确认彼此替代不了。这些联系是本书对已注明材料和构想的分析，不是一次覆盖全部场景的实证发现。它们提供值得验证的共同问题。

共同问题是：一个判断完成以后，怎样进入行动，又怎样在出现新信息时被修正。检测可以帮助这条路线，有时也可以解决其中主要困难。责任接口若有价值，应当显示它改善了什么，而不是只声称技术仍有限。任何新的承担安排，也必须带着失败条件，而不是靠定义给自己免于检验的地位。

第二编到这里结束，没有给读者一个永远看穿合成的承诺，也没有要求撤回对日常生活的全部信任。它把原先压在一张脸、一段声音或一个通过标签上的工作拆开，让事实、身份、权限与后果各有可追问的位置。后文要做的，是把这些位置连成能够履行的安排，并说明什么时候应承认安排没有起作用。

带走的话
把检测做得更好，同时把检测的限制接到授权与后果处理上。任何一份测试，都替未来所有场景作不了保证。

小账
：[12]为利益相关厂商新闻稿，完整方法未取得，见附录六；[13]为学术原始研究摘要；1/256为独立随机猜的示意计算。

第二编　材料说明

香港案只采用公开报道能支持的部分；原始警方材料、会议操作细节与后续认账资料，本书未取得，列入附录六。iProov调查的完整方法本书也未取得，同列附录六；独立学术研究已补入，但没有把其样本表现外推到未来技术。除了已注明来源的案件和调查，本编人物、金额、通话和交易均为构想。金融和证据情节只解释信任问题，不构成法律、投资、医疗或专业安全判断。

第三编
升维与复合体
编序

当一家人识别不出可疑电话，最容易得到的建议是多留心；当一家机构出了错，最容易增加的是另一栏签字。这些做法可能有用，也可能把同样的压力重新交给原来的那个人。真正要改的是：谁能停止行动，谁拥有足够信息，谁带着资源处理后果，以及谁能改变让事故发生的安排。

这一编保留"升维与复合体"的名称，但"升维"必须落实为改变提问与分工，"复合体"必须落实为人和工具共同完成的具体安排。机器负责可核的比对和提示，有权的主体接受剩余风险并组织补救。人的价值不在于坚持比工具看得准，而在于使工具的工作与现实后果连接起来。

责任思想并不新，本书只能在既有研究的帮助下提出更具体的设计。它尤其不能把最靠近按钮的员工推成替罪羊。一个签名若没有看见、暂停和改规则的权，只是把机构的未知装进一个人的名字。认账安排应当先保护这种人，再要求他们对自己真正掌握的范围说清楚。

第 14 章

AI 做了「发现」，人还剩什么：从验真到认账

这一章的问题：验真越来越多由机器完成以后，人还站在哪个位置上？

【菜市场里的老郭】这是我构想的场景。卖豆腐的老郭买了一台检查设备，顾客问它准不准。老郭没法回答永远准确，却能说清设备检查什么、哪类情况另行处理，以及发现问题后怎样找他。工具并未拿走他的全部工作，而是改变了他要向顾客说明的事项。

◆一、两种"发现"

工具发现某项异常，与一个人决定怎样处理异常，是不同动作。前者可以更快、更细，后者需要权限、资源与明确对象。人不必把机器的优势抢回来；需要避免的是异常已经被找出，却没有进入实际处理的路线。

老郭的设备如果发现某一项不合格，他还要判断这意味着暂停售卖、重新检查，还是采用其他处置。决定不是随心改变检测事实，而是把事实放进具体工作；不同异常需要不同动作，一个"已检查"的标签结束不了它们。

这种区别也不要求人亲手做每一步。有些明确规则可以使工具自动触发暂停，但仍应知道规则由谁维护、异常由谁复核、影响由谁接收。按钮不再需要人工，责任也不会因此从安排里消失。

人的工作因而需要重新说明：过去花在重复比较上的时间，可能转到维护适用范围、接收例外和解释处理结果。这个变化不自动提升岗位。组织应使新任务有资源与权限，否则机器省掉的只是识别工作，却增加了无人准备承担的后续负担。

◆二、三层要分开说：能力、结构、位置

能力不足可以靠更好工具改善，环境变化可以靠持续评估应对。后果承担则需要制度指定。责任位置不证明人更聪明；工具更聪明，也不免去决策者的解释。

把三层混在一起，会出现两种相反说法：看到检测进步，便宣布组织不必再安排处理；看到事故仍发生，便宣布检测毫无作用。更好的分析应问，事故中的哪一段确实改善了，哪一段仍没有被接上。

能力层需要评估材料，而不只听供应者保证；环境层需要知道原有表现是否还能适用；位置层需要明确谁能作决定和组织补救。三层可能由同一机构处理，但记录上仍应区分，否则哪一层需要改进，只能靠互相指责猜测。

人的责任也有范围。一个无权修改方法的人，不该替全部限制负责；组织应对工具选用与规则安排承担相应工作。指出人的位置，是使不同层的问题走到真正有能力处理的主体，而不是把所有无法解释的部分都塞进个人姓名。

◆三、"我验过了"死掉，"我认"站出来

"死掉"是对过度依赖单项核验的批评，不指核验本身作废。老郭仍应检查豆腐。他新增的工作是使检查边界公开，让顾客能反馈问题，让缺陷得到处理。跳过检查只留下豪迈承诺，不是本书主张的出路。

核验仍应认真进行。老郭先说"出了事我认"，再省掉能够做到的检查，就是倒行。本书必须把这一反向效果留下：认账可能让人安心，也可能让人松懈。

但认真核验，也不等于后果已经有去处。顾客反映实际物品与检查结果不符，老郭若只重复设备显示合格，问题便无法推进。检查报告与顾客反馈都应进入核查，两者有冲突时更需要一条处理路线。

所以，需要改变的是依靠单项通过来结束所有解释的习惯，可核验的事实工作照常进行。新增认账位置，是给检查遇到边界时安排下一步，不是在真假之外另造一种可以绕过事实的可信。

◆四、认账是什么

认账是在明确范围内承接已经发生的后果。它至少要有可追问的主体、具体事件和已经落实的纠正或补救。组织可以通过具名负责人连接其资金与处理权，不要求负责人私人承担所有损失。责任内容必须与他实际权限相称。

认账首先要有一个明确事项：是某一批物品的问题、某一次说明的错误，还是某一段处理延误？老郭说会负责，顾客若不知道负责什么、怎样提交，便只能靠个人好感等待。具体事件使责任能够被追问，也防止范围无限扩大。

其次，认账应当有已落实的动作。接到反馈、登记、道歉，都还算不上有效补救；本书后面的读数会进一步规定起点和终点。是否已纠正说明、是否已提供适当安排，应能够由相应材料核对。

最后，承担应与资源相连。岗位背后需要资金、资料、决定权和人员接续。没有这些条件的具名，只给顾客一个可以反复追问的人，却没有给问题一个可以完成的去处。责任身份的价值来自连接，不来自个人英雄式保证。

◆五、认账、道歉、追责，是三件事

道歉表达态度，追责决定责任归属，认账建立当事人可使用的处理接口。它们可以相接，却互相替代不了。正式责任尚有争议时，机构也可以先纠正自己确认的错误，明确临时援助范围，而不虚构尚未确定的全部事实。

三种动作不必按固定顺序等待彼此。机构可以承认已核到的错误并先修正，同时对其他争议继续调查；重要的是把暂时能够承担的范围说清，不拿局部处理冒充全部结案。

先行处理也不等于自动承认所有指控。本书不提供法律判断，只指出一种可讨论的结构：事实未全部明朗，不意味着已明朗部分也必须一直无人处理。

追责则不只是寻找一个最显眼的名字。个人操作、管理要求、工具选择与规则维护可能分别有关，需要材料支持相应判断。认账接口应使当事人获得处理，不应成为跳过查证、提前指定替罪羊的办法。

◆六、个人在"验"这一层的意义去了哪里

意义没有简单消失，而是部分工作重新分配。熟悉顾客需要、解释限制、接收异常，仍需要有人完成。若把机器能力扩大解释为人的无用，反而会让组织忽视使用者的真实处境。工具越好，人的授权边界可以越明确。

老郭仍知道顾客怎样提问、哪些说明他们容易误读，这些日常信息未必都存在于检查设备中。但本章没有材料为未来技术划出永久禁区，它们也可能被自动化。

判断人的价值，更稳妥的是看当前工作有没有完成：顾客反馈是否得到理解，检查范围是否说明，超出设备能力的问题是否被转交。即使以后某些动作由工具完成，也要让它们保持可追问、可修正。

这种安排也要求组织承认工作负担。接收异常可能比重复核对更复杂，需要培训、真实资料和权限。只减少人员，却把更多无法完成的承诺留给余下的人，是最常见的偷换。

◆七、近邻已经走到了哪里

奥尼尔的实质问责、施奈尔的社会信任、切斯尼与西特伦的责任讨论，已为本书提供地基。[2][4][6]本书的试探是将事件与公开承担之间的时间作为一个连续读数，并观察它是否增加预测力。未检索到同名不等于没有类似研究。

近邻思想提醒本书：负责不是自己的独创。本书引用已核到的内容，不扩写未读部分，也不把不同作者压成完全一致的理论；借来的地基保持出处，新增的部分单独接受检验。

认账时距的试探，针对的是事件发生后，处理进入可核承担的速度。已经存在的投诉处理时长、回应时间和相关制度指标，都可能与它接近。书中将其作为假说留下，以后需要证明它测到的区别有实际解释价值。

如果现有指标已经提供同样或更好的预测力，就应承认本书读数可能只是重新命名；若只在少数条件下有用，就缩小范围。承担越早是否越好、早承担是否反映事件更简单，都是必须面对的问题。列出思想近邻并不等于创新成立。第35章开篇再向十二条更近的线让路：运维事故管理的确认与修复时长、新闻更正研究、吉登斯所说的专家系统接入点、夏皮罗所说的信任守护者、卡拉布雷西的责任分配、联合国申诉机制的有效性标准、英国医疗的坦诚义务、英国的诈骗强制返还、信息安全中的事后问责、安全经济学、联合国补救原则中的"保证不再发生"，以及信任修复研究；认账时距与它们的界线，也在那里写死。

◆八、升维，指的是哪一个动作

本章只把它落实为从"顾客是否看得出"移到"谁安排查验和补救"。在构想里，老郭写下检测范围、反馈地点和退款或更换的处理规则。这些动作可以直接审查，若没有它们，术语就只是把普通话说得更大。

改变提问有实际后果。问顾客看不看得出，可能只增加消费者教育；问谁安排检查与补救，就会看到出售者、工具提供者和组织规则的作用。原问题没有被消灭，只是不再独自承受全部解释。

在构想中，老郭列出检查覆盖的事项，对未覆盖的问题说明另行处理；顾客发现异常时，有一个固定反馈位置；收到反馈后，按明确范围核查并作出安排。这里没有真实食品检验或消费处理标准，思想情形只展示职责怎样能够看见和使用。

若这些动作没有发生，名称再宏大也没有改变顾客处境。是否有人读反馈、是否得到有权限的回应、结果是否落实，比宣传里的新词更值得观察。翻译成这些普通问题以后，若只是旧办法，就如实承认；有新贡献，就指出它具体增加在哪一处。

◆九、这一章留下的三个问题

谁可以认？认下哪些事项？凭什么兑现？名字、范围和资源共同回答这三个问题。一个机构可以回答得很具体，也可能用"相关部门正在处理"把问题拖开。检验不应只看公告语气，应沿着它给出的路线尝试提出实际问题。

谁可以认，首先取决于能否代表相应主体处理事项。愿意帮助的员工不一定拥有机构决定权，有职位的人也未必掌握这项业务所需资源。负责身份应由机构确认，并能在人员变化后继续接续，否则事情会随着离职重新开始。

认下哪些事项，要求范围可见。原说明错误、实际商品问题、处理延误可能需要不同安排，收到的反馈并不都算已承担。顾客应知道这一次处理解决了什么，哪一部分尚未解决。

凭什么兑现，则要求权限与资源可用。没有预算、没有资料、没有改规则的渠道，承诺就很难完成。评价应沿过程检查这些条件，不要求负责人公开无关私人信息：公开承担的对象是责任关系，而不是一个普通人的生活。

◆十、为什么偏偏是"名字"

名字在这里是可连接、可延续的责任身份，不是公开员工私人资料。读者能找到负责的岗位，机构能确认该岗位权限，人员变更后事项仍有人接续，才有意义。只展示某个人的照片却不提供处理权，名字就变成宣传。

名字的作用，是使问题不在匿名轮转中消失。顾客再次提出同一事项，能够接回已有记录，不必向新的人员重新证明一切。一个岗位名称、事项编号和清楚的机构身份，也可能实现这种连接；具名不必是个人姓名，更不要求照片、住址和私人电话。

只说相关部门正在处理，读者无法知道由谁接收、怎样追问；给出员工姓名却不说明权限和机构支持，也未必更好。清楚的责任身份应同时回答可找到与能处理。

连续性还需要交接。负责人休假、调岗或离职，已经接收的事项应能由新的岗位承接；否则只要原人不在，承诺便无人解释。把记录和权限留在组织里，名字才是持续关系的入口。

◆十一、全书的一句话：可托付不是信号的属性，也不是损失的补偿，而是后果的去处

旧问法把可信度当成信息或说话人自带的属性：脸对得上，签名对得上，证件对得上，就可以托付。本书要换掉的，正是"属性"这两个字。全书压成一句是：在重要托付里，可托付不是信号的属性，也不是损失的补偿，而是后果的去处：一个有名字、有钱、并且有权把这一次改进下一次的位置。这个去处可以量成一段时距，从事发，到受影响的人拿到这样一个接口。这段时距，本书叫认账时距。

为什么说"信号的属性"这条路走到了头？因为信号从来不是凭自己可信的。从前，一位首席财务官的脸、声音和签名，和他签字之后跑不掉的那个位置，长在同一个人身上。验得过与认得起，是捆在一起卖的。我们验脸，实际是在借脸找人：脸对上了，背后那个跑不掉的人就在。信号之所以值得验，是因为它是承担的代理。

合成技术攻击的，不是真与假，而是这个捆绑。它能成批造出验得过的信号，却一个也造不出认得起的人。本书把这件事叫作验认脱钩。脱钩以前，把验做得更细，等于把找人的路修得更直；脱钩以后，继续只在验上加精度，等于给一个已经失去被代理物的代理指标多加几位小数。第7章的香港案里，按公开报道，受骗者是在一场视频会议里看见、听见熟人之后才转账的；会议由谁提出、内部每一步是否都做对，第7章已说明本书无从证实。能说的只是：那一场会议让他认出的是一张脸，脸后面没有人。

这句话有它的边界。它不重新定义"真"：内容是否符合事实，仍由事实核查判断，第6章已把可信度限定为可托付行动的制度条件。它也不说信任心理可以换算成天数。它主张的只是：在要付钱、要放行、要转发的那一刻，决定能不能托付的那一项，已经从"信号对不对"挪到了"出了错，后果往哪里去、多久到"。真伪仍要验，验的结果是托付的材料，不再是托付的担保。

时距只是这个去处的读数，不是去处本身。读数可能失灵：事件复杂度、公开程度和机构资源都会影响它，起点是否一致、终点是否可核、未完成事项是否保留，后文都要逐项说明。第35章写取法，第38章写它怎样判输：若控制修复时长以后它不再有解释力，它就只是旧指标换了名字，本书按约缩小主张。主张可以鲜明，证据状态必须保持诚实。

◆十二、倒过来看：验真是认账的产物

验认脱钩还推出一个顺序上的倒转。通常的想法是，先把真假验清楚，才谈得上谁来认。本书的看法相反：验真不是认账的地基，而是认账的产物。谁必须为后果付账，谁才会把验真做起来。

这条机制不是本书的发明。法学家卡拉布雷西在1970年的《事故的成本》里提出，事故损失应分给能以最低成本避免它的一方，因为付账的一方才会去投资预防。[21]老郭买检查设备，不是顾客教会了他验豆腐，而是退款要从他的柜台出。本书借用这个已有的机制，补的是两处。

第一处补在"谁来付"。在合成冒充的事件里，造成后果的人不在场，被冒充的人也没有过错：首席财务官本人什么也没做，他的脸却被借去下了指令。按过错找人，找到的是一个查无此人的骗子。所以承担只能事先指派给一个没有犯错、却离后果最近、又有权改规则的位置。本书把它叫作无过错认账位。付款机构、平台、流程的维护方，往往就站在这个位置上。

第二处是"先后"，但这一处不是本书的发现。安全经济学早已指出，守护系统的一方若不是承受损失的一方，系统就容易失守：安德森比较过英美两国的取款机纠纷，损失被推给储户的一边，银行对安全就不上心。[29]付账的一方会把预防做在自己付账的那条路上，这个方向已有前人。本书在这里只做一件事：用一个新近的样本把它在合成冒充的领域里复现一次。英国自2024年10月7日起，要求付款机构在五个工作日内返还多数授权推送支付诈骗的损失，收款方机构分摊一半。[24]第24章把它写成预言四，定位是复现检验，不是新预测。

那么本书自己押的那一格在哪里？在下一节。

这一节同样有边界。无过错认账位不是让无辜者背锅：被指派的是有资源、能改规则的机构位置，不是柜台上那个按指令操作的员工，第19章的替罪羊陷阱仍然管着它。机构付账也会带来副作用，例如更多拦截、正常转账变慢，这些代价要与收益一起记录。

◆十三、去处不是补偿，也不是悔过

"后果的去处"很容易被听成几种旧东西。第一种是补偿：去处就是钱，钱到了，事就了了。这是保险的看法。第二种是被听见：有人接电话、肯解释、会道歉。程序正义研究发现，人们服不服一个处理过程，很大程度看自己有没有被认真听、被尊重地对待。[30]第三种离本书最近：保证不再发生。联合国2005年的补救原则把"保证不再发生"列为补救的一种形式；[31]信任修复的实验研究发现，犯错一方除了道歉，若再做出约束自己未来行为的安排，信任恢复得更多；[32]近年的研究还发现，消费者看重"会不会改"胜过"认不认错"。[33]

所以"改的权"本身不是本书的发明，结语标题里的名字、钱和改的权，前人都说过。本书切开的是另一处：在这些研究里，保证不再发生的，是犯错的那一方；它的力量，一部分来自悔过，犯错者用约束自己来表明以后不会再犯。合成冒充里，犯错的人不在场，被追问的位置没有过错，无从悔过。本书主张：AI时代的"不再发生"不再是悔过，而是职能，由无过错认账位持有的改规则之权来承担。

信息安全领域也走到过附近。兰普森说，现实中的安全更多靠事后追究而不是锁；韦茨纳等人主张把信息系统的重心从事前阻止挪到事后问责。[27][28]它们的问责对准作恶的人；本书对准的是作恶者追不到时，受影响的人和下一次。

这个区分能不能站住，要看它能不能推出旧看法推不出的形状。若"改的权"靠悔过起作用，那么在机构自己出错的情境里它最有力，在机构无过错、只是被人冒充的情境里应当变弱，道歉也是如此。危机传播研究走得更远：组织被冒充、被攻击时属于"受害者型危机"，责任低，基本的指示与关切就够，纠正性的大动作不那么必要。[35]本书从验认脱钩推出另一个形状。机构自己出错时，道歉者的脸、声音和态度，与承担后果的是同一方，显露与承担捆在一起，被听见本身就带着关于下一次的信息，所以"有人接"会起作用。被冒充时，显露与承担已经脱钩，接电话的人态度再好，也说明不了下一次；能说明下一次的，只剩改规则之权。于是，在冒充情境里，"有人接"的作用应当缩小，"改的权"的作用应当放大。前一半，危机传播研究已经说过；后一半与它的方向相反，是本书自己押的一格。这一推论用到了第21章的三方程：E＝H(S, D)说承担可以由显露与路径推知，前提是三者捆在一起；脱钩以后，这条推知的路断了，承担只能由位置本身来显露。

第37章把这写成一个两种情境、三种安排的情境实验，第38章写成预言五。若结果是改的权在冒充情境里反而变弱，本书的这一格就不成立，"去处"只是补偿、被听见与悔过的组合。

◆十四、回到菜市场

顾客不必查老郭设备的全部技术细节，却应能知道结果覆盖什么、发现异常怎么办。老郭也不必承诺自己永远不错，而应把能做的检查认真做完，把当场确定不了的后果放进可兑现的安排。这才是构想中的改变。

老郭的改变，不在于他说话比设备更可信，而在于顾客的具体问题有了去处：说明检查范围，保留反馈，按适当条件处理，并把反复出现的问题送回检查与经营安排。工具和老郭都可能出错，可靠性来自错误能够被看见和修正，不来自谁取得永久权威。

主张没有材料支持，也可以得到具体解释；检查确实漏了问题，则应落实相应安排；超出已有权限，则要说明怎样转交。认账不是对每个要求说好，而是让已承担的事项有真实动作，让尚未确认的部分继续推进。

来源凭证也应接受同一范围检查。老郭的故事不要求读者抛开这些技术，而要求把技术放回它能够回答的问题。来源、事实、权限与后果各有职责，连接得好，才可能减少一个通过标志承包整个托付的风险。

带走的话
可托付不是信号的属性，也不是损失的补偿，而是后果的去处。合成技术拆开了验与认的捆绑；冒充时代的"不再发生"不再是悔过，而是无过错认账位的职能，这一格由预言五检验。

小账
：老郭与设备为构想；理论邻近文献见[2][4][6][21][27][28][29][30]—[33][35]；英国强制返还制度据[24]；本章没有取得认账时距，预言五尚未实施。

第 15 章

来源是一层，认账是另一层：读 C2PA 的边界

这一章的问题：给内容附上出身证明，可否代替出了事谁认？

【舞友群里的葛阿姨】这是我构想的场景。葛阿姨收到一段商品介绍视频，旁边附有内容凭证。群友解释它能查看某些来源和编辑信息。葛阿姨接着问：按照视频下单后，商品不符，向谁处理？第二个问题需要交易安排，来源清单回答不了。

◆一、"内容凭证"是什么

C2PA技术规范以数字签名等机制，将有关内容来源的断言与资产绑定。规范2.2第1.2节明确，其目的不是评价来源数据好坏，而是支持相应断言的验证；第1.3.1节说明信任判断涉及签名者身份。[7]本书只讨论已核版本，不称它为最新版本。

对葛阿姨来说，最需要避免的是把一种技术状态读成整个交易的保证。内容凭证提供的，是与相应来源断言有关的可验证材料；读者还需要知道断言者是谁、断言说了什么、验证状态覆盖到哪里。本章不补写尚未核到的产品界面和具体实现。

数字签名为有关断言与资产的连接提供检查条件，是来源工作中的实质贡献。但验证某项断言的连接，不等于证明画面中每个说法都符合现实：发布者能够可靠签署一个表述，仍可能在表述内容上犯错。

普通人不必掌握全部规范，也能提出自己的问题：这份凭证具体说明什么，谁作出相应声明，我接下来要做的事是否属于它说明的范围。产品不该借规范名称制造一个比实际证明更宽的可信标签。

◆二、它回答什么，不回答什么

来源验证给判断提供材料，是实质进步。把它读成所有事实、权限和承诺均获认证，则超出这一材料本身。该区分是本书的应用分析。内容凭证也可以连接机构责任接口，并不与认账安排竞争；技术提供的线索越好，处理越容易。

来源成立，可以使材料来路更清楚，减少某些无根据的争议，还可能帮助处理者找到相应版本、比较编辑信息、联系相关主体。判断技术价值，应看它确实解决了哪部分问题，而不是要求每种技术独自完成整个社会协作。

事实是否成立，需要与内容的现实对象比较；发布者是否有权限，需要与当前事项的授权关系比较；承诺是否兑现，需要看后续行动。它们可以利用来源信息，却不是同一种检查。如果一项系统同时提供了更多业务信息，就按实际提供的范围评价。

◆三、三个场景，看来源层在哪里不够

商品视频、旧通知与断章片段，即使各自来源可验证，也可能遇到质量、时间和语境问题。这些是三个简短思想情形，不是统计。要完成行动判断，需要把内容放回当前事项，检查它是否代表承诺、是否仍有效、是否省去了重要条件。

商品视频的构想中，发布来源可以得到验证，商品介绍仍可能没有说明交付版本。葛阿姨看到的是一个演示，收到的却可能是另一项配置。新增更多来源标志未必能回答版本差异；需要的是把展示与实际出售对象连接起来。

旧通知的情形则不同。来源可靠、日期清楚，能帮助确认它确实曾经发布，但当前使用仍要看日期、地区和后续变更。核查应留下真实历史与当前适用的区别，不应把过期一概叫伪造，也不应把真实一概叫可以照办。

断章片段又提醒语境的作用。片段可能没有被改动，却省去了紧接着的条件；确认它的来源，不等于确认据它作出的完整解释。

◆四、一个思想实验：假如每一帧都带凭证

假定凭证完整、签名验证正确，仍可以问：发布者是否有权要求转账？当前账户是否获独立确认？这个思想实验不证明凭证无效，只说明内容来源与业务授权不同。

思想实验故意把来源验证设得很强，是为了检验本书是否依赖技术弱点。即使凭证完整且验证正确，一个真实员工仍可以提出他无权批准的付款，一个真实负责人也可能把账户写错。来源工作的成功不应被否认，剩余事项仍应按其性质核对。

但思想实验也不偷偷拿掉已有授权。假如系统还连接到当前有效权限、事项范围与独立确认，事故风险可能进一步减少，甚至某些场景中无需新增安排。反方最有力的版本，应当如实进入比较。

同样，实验不证明真实部署以后必然仍有同样损失；实际还缺多少、补齐成本多少，需要另外取得资料。

◆五、两层的接口：来源是认账的"入口"

来源信息可以帮助找到需要回应的组织，但被找到不等于必须为所有解释负责。应从来源记录走到具体承诺：该组织对哪项内容接受纠错，对哪种交易接受处理。范围清楚，两层便能互相支持，避免将来源主体扩张为无限责任者。

比如有人截取真实材料后自行添加承诺，原发布者可以帮助核对原文，不一定对添加部分负责。

另一边也不该借有限范围逃开自己作过的表述。机构签署或发布了哪些内容，应能够说明，有误应按职责纠正；转发者增添了哪些内容，也应保持可辨，责任才不因多次传播而完全混在一起。

处理接口应接收具体问题。葛阿姨可以询问原视频中的配置说明，也可以向交易主体提出实际交付争议；两者若不同，应明确告诉她怎样连接，而不是让她自行猜测。

◆六、普通人该怎么读那张小卡片

先读它实际确认的内容，再看提供者和验证状态。没有凭证不自动等于假，有凭证也不自动等于值得付款。产品的解释应服务具体判断，而非只提高安心感。

小卡片首先应让用户知道自己正在看的是哪项验证。只有一个绿色标志而没有内容范围，人们容易把它理解成通用安全许可。本章没有材料评价某个真实界面，所说的是产品设计需要接受的一项检验：用户能否准确复述它验证了什么，又没有验证什么。

缺少凭证同样需要谨慎：材料可能来自没有采用相关办法的正常来源，也可能在传播中缺失信息；判断仍应使用其他来源与具体事项信息。

普通使用者也不应被要求自己完成全部技术解释。提供工具的主体应承担适当说明，机构应规定业务怎样使用结果；只给员工一个通过标签，却要他独自理解规范全部边界，是把解释负担放错了位置。

◆七、来源层的第二个限度：它管一段，不管一件事

一次付款可能涉及邮件、视频、账户变更和合同范围。每份材料各自来源可靠，不代表它们之间的连接已经被确认。组织需要维护跨材料的事项记录，让处理者看得见请求怎样连接到实际动作。

邮件说明项目，视频说明情况，另一条消息更改账户；即使各自来路可靠，也要确认它们指向同一事项，变化来自有权主体，当前动作没有越过范围。来源逐份成立，拼不成完整授权。

事项记录的作用，是让这些连接可见：哪一条请求改变了先前安排，谁确认了改变，哪些材料仍为旧版本。本章不规定某种软件，也不提供安全操作流程，只说明组织不该让跨材料关系完全依赖个人记忆。

这种记录也需要修订入口。材料更新以后，使用者应知道哪些旧判断需要变化，否则每份凭证都可能正确，用户却继续按照过期组合行动。

◆八、预言：来源铺开了，损失会不会降

本书保留预言二，并把输赢线写死。口径只用一个公开统计：FBI互联网犯罪投诉中心年报中的冒充类损失，具体类目在预注册时按2024年报的类目名锁定，中途不换。前提是主流手机系统与按月活跃用户计排名前三的社交平台中，默认显示来源凭证的覆盖率达到百分之五十。前提成立时，若2028年该口径的名义损失不低于2024年的百分之九十，预言成立；低于百分之九十，预言判输。前提未成立，或统计口径中途改变，记为未能检验。结算放在2029年该年报发布之后。

预言二的定位要说清。它预测的是"只靠验真不够"，是一条反面支持：预言成立，只说明来源凭证不足以压低损失，并不证明认账安排有效；认账安排的效果，由预言一与预言三承担。反过来，若前提成立而损失跌破九成，本书关于"来源层不够"的主张就要缩小，不另找理由。葛阿姨看到的那张小卡片铺得再广，她下单后找谁处理的问题，也要靠另外两个预言去检验。

部署范围还应与观察对象相称。某项来源办法在公开媒体中广泛使用，不等于已覆盖业务请求的全部入口；某类诈骗损失变化，也不一定对应内容来源验证。覆盖率要按事先锁定的口径测，社会上常见图标不算数。

这些条件都在结果出来以前写定，不临时换一类损失来挽救判断。

◆九、命题在这里的可错条件

如果来源加有效授权的技术安排已稳定解决特定场景的事故与补救，认账设计的额外效果可能很小。应承认这种结果。

一个有意义的比较，需要先说清措施边界。来源技术若同时配有客服、复核和赔付，全部改善不该归为来源单独有效；认账安排若也使用了成熟来源工具，全部改善也不该归为责任单独有效。

比较还应面对原有基础。机构本来就有完善处理路线，新增名称可能没有明显效果；原先缺少回应，新增接口可能更有作用。本章没有实测数据区分这些情况，只要求未来验证记录起点条件。

若新接口确有改善，也要说明在何种事项中成立。能够承认自己多余的范围，反而使剩余主张更清楚。

◆十、凭证铺开之后，一个值得留意的问题

技术覆盖会改变事故分布。留在统计里的可能是更难的事件，因此总损失上升不自动证明技术无用。评估既要看总体，也要看同类场景的风险变化。

技术减少了易处理的事件，留下的事件平均损失可能更高，总体损失还受活动规模等因素影响。这里是方法提醒，不是对某项真实统计变化的解释。

要比较效果，应尽可能记录同类场景的条件、技术实际使用与后续结果，并说明无法取得的部分。若只有年度总额，结论就应缩到那个口径，而不是扩成对全部来源技术的成败判决。

这个约束也作用于本书。即使未来预言对应的总损失没有下降，也证明不了认账接口会降低损失：前者是技术部署后的观察，后者是新增安排的作用，需要不同证据。

◆十一、一个群怎样把两层接起来

舞友群在构想里保留原发布入口，不把凭证图标剪成宣传图；若涉及交易，另附正规售后入口与处理范围。群管理员不替商品担保，而是维护转发与更正。每个角色承担自己能完成的一段，才能减少后来的推诿。

转发视频时保留原入口，说明凭证覆盖的内容；涉及购物时，指明交易主体和已有处理路线。共同帮助可以从诚实转述开始，不必变成集体背书。

葛阿姨若发现商品与介绍不符，群里可以帮助找到当时版本和交易记录，但不应靠投票决定事实。群体最有价值的支持，可能是使一个不熟悉操作的人不至于在几个入口之间迷路，而不是给她一句越坚定越好的判断。

若原视频后来更正，管理员也应使更正回到原传播路线。来源卡片保留了追踪条件，不意味着变化已经自动到达每个读者。本章的要求是更正可到达，不预先指定由哪种技术实现。

◆十二、给每张小卡片补一行字

这一行不应承诺技术做不到的保证，可以写明本页所验证的范围与机构的纠错入口。若交易另有主体，也应清楚连接过去。把来源说明与交易责任并排呈现，比让读者自行从品牌名字推断售后更公平。

补一行字，目的在于缩小误读，而不是再增加宣传。若一行字无法容纳必要内容，可以让用户展开阅读；为了视觉清爽把重要边界删到没人看见，是得不偿失。

说明还应与真实服务一致。写着能够提出异议，入口就应有人维护；写着某项验证通过，就应有相应依据。文字与实际脱节，透明本身就变成新的熟悉外观。

对于已经清楚提供这些条件的产品，本书不要求再贴一条自己的口号。用户知道到哪里核查、到哪里处理，普通而准确的说明已经值得保留。

◆十三、一个小结：三个问题，对应两层

从哪里来、是否适用于当前事项、出了问题怎样处理，应分别回答。来源层支持第一问，事项核对连接第二问，责任安排接住第三问。它们共同支持行动，没有哪一层应被另一层的成功宣布为多余。

这些工作可以由不同主体完成，也可以在同一个系统中相接。重要的是每项输出保留范围，前一项的通过不会悄悄变成后一项的完成。

葛阿姨最后需要知道的，不是自己是否成为技术专家，而是能否依据清楚信息作出选择，发现问题后能否继续求助。

零信任也需要这样分析：先承认技术与组织设计的贡献，再讨论它没有独自承担的事情。每次重新验证可以改变访问条件，却不自动回答误拒以后怎么办。把范围分清并接起来，比在技术成功或失败的两个口号之间选择更有帮助。

带走的话
内容凭证提供重要来源材料，认账安排给现实后果一个去处。来源越完整，越应读清它的具体证明范围。

小账
：[7]已核规范2.2第1.2与1.3.1节；[14]为IC3年报基线；舞友群为构想；预言二尚未结算。

第 16 章

零信任的另一半：取消得了身份信任，取消不了后果

这一章的问题：每次重新验证，能否让谁承担后果也一并消失？

【小区的门禁】这是我构想的场景。小区更新门禁，不再因曾经进过门就永久放行。设备和权限都要检查。一个住户的访问被误拒后，物业说系统已经执行规则。住户问的却是：我现在怎样进去，错误以后怎样纠正？

◆一、零信任是什么，它的功劳在哪

NIST SP800-207不因网络位置或资产归属自动授予隐含信任，并将资源访问、动态策略和最小权限纳入架构。[8]它不只是重复看人脸，更不是字面上把一切社会信任取消。承认其技术与组织价值，是讨论边界的前提。

本章以已核标准的相关原则为依据，不扩写其他产品做法。

门禁只是帮助普通读者理解的类比。住户以前进过门，不代表任何时候、任何入口都当然放行，系统需要按当前条件判断。但小区门禁不等于计算机架构，类比能照亮一个关系，就停在这个关系上。

限制隐含放行确实提供了一类重要防护，后文讨论误拒和后果，以此为前提。更好的论证还应接受一种可能：技术架构和已有组织流程共同做好后，剩余问题已经很少，新增接口的贡献也可能有限。本书不靠误解零信任来证明责任安排的必要。

◆二、取消了什么

被限制的是凭单一既有位置就自动信任的做法。"零信任"不是要所有人每秒重新证明自己，更不是说组织从此没有责任。

取消的不是人获得正常服务的资格，而是某些未经当前判断就被延续的隐含许可。既有位置可以提供信息，却不独自包办访问结论。本书不写未经核实的认证次数。

区别放在日常类比里很清楚。住户身份没有因一次检查失败而消失，但当前入口可能暂时无法确认其访问条件。工作人员应当区分这两句话，否则技术上的未通过容易变成人际上的不被承认。

不自动延续许可，也不意味着每个重要判断都必须从零开始。已有记录与当前信息可以按适当规则使用。要限制的是没有边界的推导，不是把历史全部删除。若一个理论把零信任描写成永远遗忘、永远重验，就无法公平比较它实际提供的组织与技术能力。

◆三、取消不了什么

允许或拒绝访问仍有现实后果：正常工作可能被阻断，错误放行可能造成风险。谁维护策略、谁接收异议、谁恢复必要服务，都需要安排。严格验证可以减轻后果，名称却不会让这些事项自动有人处理。

这里没有给出两种后果的统一权重。但一种结果在安全术语中叫作拒绝，并不使正常用户的实际损失落到服务之外。

一个严格的访问结果，只回答当时应如何放行，未必回答了后来出现的全部争议。

本章的责任接口不是增加一个全能负责人，而是让相应问题走到相应权限。交接清楚，当事人不必独自猜测内部结构；交接不清，即使每个岗位都按本岗位规则工作，整体仍可能无人推进。

◆四、人与人之间，没有"重新验证"这个动作

标题应作限定理解：人际承诺不完全等同资源访问令牌，但人当然可以重新确认身份和意思。真家人也会改变计划，原先授权也可能撤回。问题不是人无法验证，而是承诺的解释和后果处理，靠重复同一个身份检查解决不了。

一个朋友后来改变约定，你可以再问；家人提出重要请求，你可以通过原有路线确认。这些做法并没有取消亲密，也不是技术访问检查的简单复制。

需要区别的是，身份再次确认以后，承诺内容未必已经清楚。说话者确实是本人，仍可能没有理解你所理解的范围；当时授权确实成立，后来也可能已撤回。核对要跟着问题走，而不是因某项检查熟悉便反复使用。

同理，真实承诺的后果需要继续处理。对方后来无法履行，双方要讨论变化、替代安排与已发生影响。再证明一次此人是谁，对这些问题帮助有限。本书保留人际确认的价值，同时指出它不该被要求承担所有后续工作。

◆五、反方最强的论证，和本书怎样站

反方说持续评估、最小权限和明确授权，可能使风险降得很低。本书应接受它可能成立。讨论不应预设技术注定输，而应比较附加认账安排是否改善剩余事件的处理、延误和复发。若额外效益没有出现，主张要缩小。

最强反方应包含完整安排：当前评估、清楚权限、可用复核与必要服务恢复，让附加措施面对真正有能力的对手。

附加效果需要另外取得证据。增加一个接口，可能减少延误，也可能只多一轮转交；明确承担可能促进改规则，也可能只增加文书。没有实测材料，效果方向就还是开放的，读数不应只统计接口存在或负责人名字出现。

反方也需要面对剩余事项。如果架构对特定问题已经有效，应说明有效范围；一类访问风险降低，推不出任何后果都不必处理。双方都需要限制推广。技术主张与责任主张如果同样接受范围和效果检验，讨论才不会变成谁使用了更有力量的口号。

◆六、叠加起来是什么样子

构想的门禁让正常检查继续运行，同时明确误拒复核和临时通行的权限。工作人员无权随便取消防护，也不该让住户在门外无限等待。能处理例外的人需要看到记录并说明理由，事后将错误类型反馈给规则维护者。

门禁构想中的叠加，不是门卫想放谁就放谁，决定应有理由并与当前事项相符。本章不提供门禁配置或临时通行操作方法。

例外也要避免变成新的隐含放行。某次复核支持进入，不等于以后所有未通过都自动照办；某位工作人员帮忙处理，不等于其他人有同样权限。例外需要适当范围与接续，防止为解决一次误拒而形成持续缺口。帮助真实用户不要求放弃对授权边界的说明。

事后反馈同样重要。一次复核只是解决眼前事项，重复出现的同类障碍需要送到维护规则的人。若每次都靠临时好心绕开，却没有人检查原因，例外会成为常态负担。接收后果应连到规则修订。

◆七、验证疲劳：每个人都被验，却没人是那个认的人

频繁检查如果没有处理入口，使用者会困在反复重试里。这是服务设计推演，不是本书统计的现象比例。缓解疲劳不只是减少检查，还应把失败接到可处理的人，让真正异常和设备问题获得不同路线。

反复重试的人按提示再做一次，结果不变，提示仍只说失败，他不再知道自己缺了什么。问题不在所有重复检查都多余，而在没有信息增量的重复是否得到处理。

缓解疲劳可以从说明开始：当前未确认的是哪一类条件，是否需要补充材料，什么情况进入适当复核。说明不应泄露不宜公开的安全细节，也不应把用户困在完全不可理解的结果里。

组织还应接收无法继续操作的人。设备、状态或使用能力与当前办法不相称时，用户需要知道有没有合法、适当的替代路线。本章不要求工作人员擅自降低防护，只要求障碍进入有权主体的判断，而不是被当成用户自己的问题永久留在门外。

◆八、两种"安全"

阻止未经授权访问是一种目标，保障正常使用者可完成必要事项也是目标。两者有时张力很大，需要公开处理原则。只统计拦截数量可能忽略误拒，只统计便利又可能忽略风险。因此，单一指标宣布不了安排完成，本章也不提出未经验证的综合分数。

还应观察处理负担。测试中表现良好、真实运行却需要许多人反复求助，成本应被记录；只截取最有利的一段时间，或把用户承担的时间视为没有成本，都会让比较失真。

具体业务要说明优先原则、复核条件和尚未解决的情况，冲突时由适当主体作出决定并留下理由。可解释的权衡仍可能被批评，但比让一个数字独自决定所有人的处境，更有机会接受修正。

◆九、回到小区的电动车

这是附属构想：车辆被不当带走，门禁记录正常。记录帮助还原进出，却证明不了每件物品的归属。物业应说明它掌握和没有掌握的材料，并接收争议。本书不判断这种事件中谁依法赔付，也不把门禁日志当万能事实。

物业可以说明记录掌握到哪里，按适当权限提供必要协助，并明确哪些问题需要其他主体处理。协助调取记录不等于认下全部损失；超出范围的事项要清楚转交，不让当事人以为已经结案。

如果记录后来发现缺口，也应进入维护。某种信息不足以支持此前判断，就需要修正原说法，不因系统曾经显示正常而拒绝补充。日志保留的价值，在于帮助还原与检查，而不在于使机构永远有一句系统正常可以重复。

◆十、验证码的故事

验证码证明某个通道当时可用，不等于所有事项都被授权。若人被引导把验证码交给对方，技术输出可能被错误使用。组织的提示应解释当前操作，关键行动应有适当授权，而不是把收到一段数字等同理解了全部后果。

本章不描述真实机构具体程序，也不提供任何绕过或转交验证码的操作。

提示应帮助用户知道当前操作，而不只要求输入。涉及重要事项时，说明要与动作相称，能否被理解也应有观察依据；页面写过，工作并没有因此完成。

机构也无权把所有误用都归结为用户未读。提示是否清楚、操作是否与说明一致、异常是否有处理入口，都是组织可以检查的条件。没有材料时，理论不替任何一方提前定责，只指出应该向哪些位置取得信息。

◆十一、给每一道门，写一个负责人

负责人应是机构确认的岗位，拥有恢复、复核和升级的实际渠道。写名不意味着让门卫赔全部损失。维护策略的人、允许例外的人和对外处理者可以不同，但交接必须可追踪，而不是让受损人自己逐个寻找。

对外接口可以统一，内部工作可以分工，只要交接清楚，当事人不必知道每个人姓名才能获得回应。

负责人也应得到必要支持。没有记录权限便难以判断，没有升级渠道便难以处理，没有时间便只能反复发送模板。否则组织只取得了一个对外姓名，用户仍没有得到真正的处理路线。

岗位变化以后，事项还应接续。责任不应随某个人不再值班而中断，已有材料不应要求当事人反复重交。持续身份的意义，正在于把接收与处理留在机构的工作中。具名可以帮助信任，但只有接续和权限存在时，名字才有实质内容。

◆十二、一条分界线：能取消的，和不能取消的

隐含放行可以被限制，行动后果仍需被处理。二者不是竞争关系。若优秀架构已经把处理接口一并做好，它就与本书相容；本书无权把其中的功劳重新命名后据为己有。

如果后半项仍缺失，可以指出未完成的位置：误拒没有复核、异常无人升级、重复障碍没有修订。指出应尽可能具体，不把零信任整体写成冷漠，也不把工作人员写成阻碍。工作条件与制度连接才是可改对象，情绪评价替代不了它们。第37章把这条分界线变成一组可测的对照：在同样的检测工具上叠加零信任式持续验证，却不安排认账，看它是否只让事前更严、事后不快。

认账单元应把这些连接落实到具体事项。机器与人各自承担适合的工作，剩余不确定需要由有权限、有资源的主体接收。验不出的并不自动交给一个普通人私人保证，而应进入明确范围的安排。第三编的构建要在这一边界上继续，才能避免以责任之名重新制造个人替罪羊。

带走的话
零信任限制隐含的技术授权，认账安排接住访问决策的现实后果。比较时应承认架构本来已经提供的能力。

小账
：[8]已核标准原文第2章相关原则；门禁及电动车为构想，无拦截率或实际损失。

第 17 章

认账单元：机器验尽能验的，人认下验不出的

这一章的问题：机器和人怎样分工，才是一套可以接住后果的安排？

【物业公司的结算专员小蔡】这是我构想的场景。系统提示绿化供应商账户有变化，小蔡把单据交给主管。主管看完只写了同意。小蔡需要的并不只是这个词，而是知道同意什么、哪些核验仍欠缺、若判断有错怎样处理。

◆一、机器的活：验尽能验的

"尽"指在任务、资源和权限范围内合理完成可做检查，不要求无限检查。系统可以比对账户、历史记录和权限条件，也应说明缺失。若工具无法访问某项材料，不宜把没有发现异常表述为已经证明没有异常。

系统提示账户变化，小蔡首先得到的是差异信息。变化可能正常，也可能需要进一步确认；工具没有因此自动知道原因。未取得材料与已经核过没有问题，是两个状态，输出里要分开。

合理完成检查，还需要考虑成本与时效。无限追加核验可能使正常业务无法运行，过早停止又可能留下重大缺口。具体边界应由适当主体按事项决定，而不是让小蔡临场猜测。

输出也要能够被使用。一个笼统的风险分数，未必告诉主管需要确认什么；一条清楚的账户变化提示，可能更容易引出具体行动。工具解释应与决定有关，不必公开全部内部细节，也不必追求显得专业。

◆二、人的活：在验不出的那一格，写下名字

有决定权的人阅读限制，确定是否暂停或进入例外。他写的是自己的决定及其范围，不是保证世界不会出错。组织应为这项决定提供资源和后果处理权，使它能改变事情；签名不应只是把系统输出盖上人类印章。

主管写名字之前，应知道自己正在决定哪一件事：认可账户变更，同意继续取得材料，还是接受某项明确例外？不同决定，一个"同意"装不下。

主管也不应承诺自己知道验不出的事实。可以在明确条件下接受剩余不确定，但要把理由和后续安排留下。接受风险与声称风险不存在不同，小蔡有权知道主管选择了哪一种，而不是在付款后才发现自己被要求承担未说明的部分。

名字背后还需要组织支持。对外问题由谁接收，纠正如何落实，主管是否有相应资源，都应提前确认。责任单元不是让一个人更勇敢，而是使决定具有能够继续履行的组织关系。

◆三、为什么机器不能单独完成

本书这里谈的是责任主体的制度定位。自动系统可以完成很多补偿操作，最终仍需明确谁授予权限、谁维护资金和谁接收争议。若某种可识别组织已将这些工作自动完成，它也可成为承担主体，本书不为了突出人而故意忽略它。

自动化能够完成很多后续动作：已经明确的某类纠正可以按规则执行，事项进度可以自动记录。这里不声称任何真实产品已有相应功能。

人可以在制度建立、规则修改与异常处理的不同位置出现，未必在每个事件中都亲自回应。评估应看承担是否落实，而不是看话语由真人还是系统发出。

自动流程的边界同样应可追问。超出既有规则的事项，不会因为没有对应选项就消失。用户需要知道怎样继续，机构需要知道哪些异常反复出现。自动化节省重复工作时，应留下例外接收与修订机会，否则效率提高可能只表现为更快地拒绝未知问题。

◆四、单元的零件清单

一个可运行的安排需要材料和工具、授权岗位、补救资源以及反馈记录。它们应连接到同一个事项编号。小蔡无须知道组织的全部情况，却能看见当前缺口和可升级路径。零件数量多并不自动可靠，能否接起来才是关键。

账户变化提示在工具里，审批在另一张表，异议又在客服系统里，若无法连接，处理者便看不见完整过程。本章不要求某种统一软件，而要求必要记录能够按适当权限相互指向，使同一问题不因更换部门而重新变成新问题。

事项编号本身不处理事情，它应能追到相关材料、当前状态和接收岗位；每一轮都形成新编号却没有接续，数字再多也只是分散。编号也不应收集无关个人信息，避免为追踪而建立无边界档案。

补救资源必须是实际可用的条件：资金、时间、专业协助与修改权限。一项笼统预算写在纸上，不等于所有后果都有去处。有限而清楚的安排，比没有资源支持的全包承诺更值得检验。

◆五、认账时距在这里的位置

事件发生后，记录能够显示谁何时接住已确认问题。但快不等于全面完成：先行纠正和最终赔付可能发生在不同时间。旗舰读数只计有效公开承担的时点，补救完成和记录存续另行观察，不压成一个漂亮总分。

认账时距需要沿事项记录取值，并非任何回应都算终点。收到反馈、表示关注与落实有效承担之间可能存在距离。本章尚未取得真实事件读数，也不补设精确天数，只要求记录保留不同状态，避免最早一句回复遮住后面的等待。

比较不同事件还要考虑复杂度、资源和公开程度。简单事件容易早处理，时距长短直接判不了机构好坏。本书提出读数，是为了增加可检验问题，不是给一线员工制作绩效惩罚表。

◆六、"复合体"不是一个开会的名字

多部门开会若只交流各自结果，仍可能无人有权处理剩余风险。所谓组合应有可执行的停止、授权和补救。会议纪要可以帮助交接，但实际权利和资源若不改变，再多参会者也只是让同一个空格绕得更远。

会议结束时，应说明谁推进未决事项，已有决定覆盖哪里，哪些条件仍需补充，而不只是记下一句继续关注。

组合的实质，是一个岗位提出暂停，另一个岗位能够回应，有权者作出范围明确的决定，后续问题又能回到相应记录。复合体这个名称只在指向这种具体协作时有用，它本身不增加可靠性。

如果连接失败，应指出卡在什么地方。信息无法取得，权限无人确认，资源不能使用，分别需要不同调整。全部归为沟通不畅，容易使同样的会议再开一次却不改变条件。具体记录失败位置，使组织能够修订，也使小蔡不必替结构性空缺承担个人判断错误的全部名义。

◆七、系统和人意见不一致的时候

人无权用一句老板同意覆盖所有警报，系统也不应把有依据的例外永久锁死。例外处理需要理由、权限和记录。若二者无法一致，允许暂缓并由另一有权者审查，比逼最近的员工赌一次更能保护组织。

意见冲突应被保留，而不应以权威语言抹平。主管认为正常，需要说明依据。

冲突未解决时，暂缓可以是一个正式状态，有接收岗位与下一步，才不会变成无限等待。小蔡按规则暂停，不应被要求私下保证哪一方正确；主管若决定继续，也应承担其权限范围内的说明与后续工作。培训口号里的暂停权不算数。

复核者同样需要适当权限和材料。换一个人签字，不自动增加独立依据；若他仍只读取同样的通过标签，第二层可能只是重复盖章。新增检查应说明增加了什么判断条件。

◆八、小公司没有风险准备金怎么办

可以先限定单次暴露、减少例外并说明自己能够兑现的范围。资金不足不该以员工私人赔偿补足，也不该伪装已有无限兜底。具体财务安排需要专业判断，本书只提出一个原则：承诺必须与可使用资源相称。

小公司使用能够维护的流程，可能比宣称无限负责更诚实。本章不提供具体资金配置或投资建议。

资金不足也不是拒绝说明的理由。公司可以告诉合作方能够处理什么，哪些事项必须等待进一步确认。可靠不一定表现为任何请求都接受，而可能表现为知道何时不能接受。

本书要求可用性能够核对：发生相应问题时，资源是否真的能进入处理，谁有权动用，是否被其他限制挡住。写有准备金或保障的文字，不等于已取得可兑现条件。

◆九、名字是写给谁看的

写给需要处理问题的人和组织内有权复核的人。公开不等于公布私人住址，也不要求向所有人展示全部资金资料。机构可用岗位、联系方式和可核责任范围，建立既可追问又保护个人信息的接口。

公开身份应服务追问，不服务围攻。

机构也应保护正常提出疑点的人。如果小蔡暂停后被同事指责拖累进度，他下次可能选择不报；如果主管解释限制就被认为推卸，可能只给空泛保证。保护有限而具体的说明，才能取得真实的早期信息。

对外接口还应持续。处理者换岗以后，事项有新接收者，联系路线不必完全重建。本书强调的不是个体曝光，而是不让机构借人员变化把已接收问题清零。

◆十、小蔡后来怎么办

构想的改版允许小蔡因账户变化暂停，主管要记录独立确认和授权决定。若组织决定接受例外，后果处理由组织指定接口承接。小蔡按规则工作，不被要求承担规则以外的秘密责任。

小蔡的改版首先让未确认状态留在记录里，他知道自己接下来执行什么，不必把一句同意自行扩成对整个事件的担保。

如果后续出现争议，组织接口接收小蔡提交的记录，并区分工具输出、授权判断与实际执行。本章不预设所有员工都无责任，也不预设组织可以把全部责任下推，责任与实际掌握的条件相称。

复盘还应返回流程。如果常出现缺少确认的账户变化，需检查材料、提示和授权安排，而不是只对小蔡再培训一次。单元的意义，是使事故后的认识能够改变下一次条件。

◆十一、一次三十分钟的桌面推演

这里的时长为示意。拿一份虚构变更请求，依次看谁得到提示、谁可暂停、谁可授权、谁接异议，不做真实付款。卡住的地方就是待改的接口。演练并非证明系统安全，只让文字规则暴露为具体动作。

某一步只能回答应该有人做，却说不出岗位和条件，就把它记为缺口。

演练也要允许反例进入：系统错误提示变化，主管暂时无法联系，负责岗位刚换人，分别怎样处理？对卡住的地方，先看是否缺材料、权限或资源，不把不顺畅直接计为某个人能力不足。

即使演练流畅，真实运行仍可能不同，虚构推演不是实测效果。随后是否改善真实事项，需要另行取得材料，书中不提前给出成功率。

◆十二、小蔡的公司一年以后

这仍是构想：人员换岗以后，事项记录继续接到新的岗位，未处理争议不随旧员工离职消失。若组织保证不了这种延续，签名只是暂时可见。认账单元要有接班规则，才能超出个人热心。

新岗位能接到已有材料，知道先前决定的范围和剩余问题；旧员工离开，不成为公司不再说明的理由。

连续性还包括规则变动。新规则启用以后，过去事项如何继续处理应有明确安排，旧记录不该因为界面更新就失去入口。制度学习不应以遗忘未完成后果为代价。

认账单元到这里仍是一项设计，没有取得实施效果。它的价值应由真实使用者能否找到回应、工作人员是否拥有必要条件、问题是否减少复发来判断。按行动后果分级，可以减少逐条重建规则的负担；分级仍要保留异常与交接，单元才不会重新变成一张只列名字的表。

带走的话
人机分工要落实到同一件事的停止、授权和补救。签名只有连着权限、资源与接班安排，才具有实际重量。

小账
：人物、公司、提示和演练时长均为构想或示意，认账时距未取值。

第 18 章

粗粒度：不再逐条验，改定「哪一级由谁认」

这一章的问题：消息多到验不过来，怎样让重要行动仍有可靠落脚点？

【家长群的一个晚上】这是我构想的场景。群里有作业照片、接送调整和收费消息。每条都要求家长自行判断，家长越忙越容易一概相信或一概略过。班级商量后，不再把所有消息用同一个标准处理，而是按它会要求怎样行动来分级。

◆一、逐条判断的累

连续判断占用注意力，特别是各种事项都被写成同样紧急。解决不只是告诉家长更认真，而是减少他必须临时重建的规则。低影响提醒可以保持简便，涉及付款、资料和接送授权的事项则进入更明确流程。

作业照片、接送调整和收费请求被同样的提醒声音推出，读者每次都要从头重建行动规则：它属于什么事项、从哪里核查、错了怎样处理。机构若不提供规则，负担便分散到每个家庭的晚上。

忙碌的家长可能先看最醒目的消息，也可能延后全部处理。这并不说明他们不关心孩子。分级把需要特殊确认的动作显露出来，目的不是给所有消息加上更强提醒，而是让有限注意力找到真正需要停下的地方。

◆二、粗粒度是什么

先确定事件类别和处理者，让类别规则支持具体消息。它并非停止核验每项重要事实，也不是承诺粗分永远正确。将重复事项放入共同规则，是节省重复判断；遇到异常仍需升级。

作业提醒可以采用简便路线，接送权限改变则需要确认具体对象。若把同一类别里的每个请求都自动接受，就把规则层误作永久通行证。

分类也可以错。一个看起来例行的通知，实际要求提交重要资料，原类别就不足。此时应允许升级，而不是让家长证明自己为什么不按卡片行动；能够承认类别未覆盖，规则才可能改进。

◆三、怎么分级：三个要问的

要求什么行动？错了影响多大？能否容易撤回？依这三问，可以先形成宽松提醒、需要确认、必须独立授权的类别。具体金额和条件应由参与者按实际能力裁定，本书不提供适用所有学校的统一分数。

三问需要一起使用。金额小，却可能涉及不可撤回的资料或累计影响；金额大，数字也代替不了对象与授权。分级依据应围绕实际行动与后果，不把一个单项阈值当作完整风险定义。

可撤回也要具体。删除已发出的文件，未必使接收者没有取得内容；取消一个安排，未必消除已经发生的时间成本。界面上有取消按钮，不等于后果能够恢复。

类别最后应导向动作。收到这类消息，先看哪一个正式入口，谁能确认，什么情形需要暂停。只有高、中、低三个标签，没有下一步，家长仍在逐条猜。好的分类使处理路线更短、更清楚，不只是给复杂处境换颜色。

级别改变时，还应说明是否需要新的授权。原先只是一条行程提醒，后来增加接送人变更，就该改走新的路线。分类对象不是不可变的消息壳，而是当前要求的动作。

◆四、规则也会被攻击

冒充者可能把付款拆成小额，把关键通知包装成例行消息。规则应注意累计影响和异常变化，不只盯一个数字。机器可以帮助识别重复与变化，但判断范围和升级权限仍需明确，规则不是无需维护的墙。

这里是设计中的可能情形，不是已观察到的攻击统计；也不宜因此把所有日常消息升级成最高强度。

更重要的是，异常谁接收。工具标出与过去不同，仍需要相应主体确认是否正常。维护者知道原先约定，授权者能够判断变化，使用者能够报告不清楚。把三者连接，比让家长独自猜测文字是否像以往更有帮助。分类应当有门，门后应当有人能够处理。

◆五、粗粒度会不会拖慢事情

它可能使少数重要行动更慢，也可能使多数日常提醒更快。是否合算需要记录延误和误放，不靠直觉宣布。本书反对一味压低等待时间，因为从未暂停可能只是异常没被看见，而不代表一切正常。

评估时应记录不同类别的真实等待与影响，一次该停未停的错误，和一次不必要等待的误拒，都应有位置。

等待也要有状态：为什么暂缓、由谁推进、还缺什么。没有解释的等待容易引起反复催促，反复催促又占用处理时间。程序更严，不等于效果更好。

◆六、机器在分级里做什么

工具可以标出关键词和对象变化，但文字表面决定不了风险。一个礼貌的通知仍可能要求重大行动。分类依据应看对象、权限和后果，系统无法确定时标明待确认，让有权者接住，而非硬给它一个低风险标签。

具体工具有没有按对象、权限与后果判断的能力，需要真实资料确认，本章不为任何产品宣称功能。

输出应允许"待确认"。工具确定不了类别时，标明缺口比硬分到较低级别更诚实；把全部疑点都推成最高级，又会令人工入口无力处理。适当阈值与工作量需要实际比较。技术帮助的价值，要看它是否减少有意义的负担，而不只看分类完成率。

◆七、家里也能分三级

问候和行程提醒可以照常处理；涉及小额、可撤回安排，可以按事先约定确认；涉及重要资金和隐私则另走渠道。这里是分类思想，不是给家庭制定统一金额。生活可以保持亲切，关键动作才需要稳定边界。

成员无须在每次问候中怀疑彼此，关键动作也不必依赖接听者临场听声辨脸。

家里的规则仍要由成员共同理解。年轻人要求长辈确认，自己急用时就别强迫其跳过；长辈也可以提出操作困难，要求更方便的路线。没有实际可用联系人，分级卡片只是给接电话的人增加一道无法完成的任务。

◆八、把规则写成一张小卡片

卡片应写事件类型、正式入口、谁维护和异常时联系谁。它不必写大量术语。接到重要请求的家长能迅速知道下一步，制定规则的机构也要把维护责任写明。简短应来自分工清楚，而非把必要条件删光。

小卡片首先要说明自己适用于哪些事项，把正式入口、确认岗位与异常路线放在一起。

卡片也要有维护身份与版本。家长看到截图时，应能找到当前说明，知道旧版本是否已经替换；维护者不再负责，新的岗位要在实际渠道更新。可复制不等于可持续维护。

◆九、规则的保质期

换班、换老师、换收款安排，都是复核节点。旧卡片长期传播而无人标注，是最常见的失守。维护者应说明版本日期和替代入口，并使主要群里都能找到当前版本。静态规则需要动态维护，才能支持长期协作。

保质期不是随意规定过几天就作废，而是让变化触发复核。班级安排、相关岗位或事项对象改变，维护者应说明哪些部分仍有效，哪些需要更新。

旧版本还可能留在其他群里。更新应尽可能回到主要传播路线，明确替代关系。本章不许诺追回全部副本，但无法追回全部，不是只在无人查看的位置修改的理由。

◆十、分得太粗，和分得太细

太粗会把不同后果塞进一类，太细则让人又回到逐条猜。可从少量可行动类别起步，把经常无法归类的情况作为修订材料。分类不是证明老师或家长理解力的考试，而是共同使用的工具。

本章不提供最佳类别数，效果要由使用材料判断。

修订也不应每出现一件事就新增一类。先看已有规则是否表述不清、入口是否难用、权限是否缺失，再决定是否细分，否则节省的判断又被定义维护取代。

参与者还可以用同一组虚构消息分别试读规则，记录彼此在哪里理解不同。若同一事项总被分成不同类别，先修订规则，不要仅要求大家更认真。试读能暴露解释差异，却替真实运行证明不了效果。

◆十一、从逐条到分级，换掉的到底是什么

换掉的是每次独自临时决定全部规则的负担。事实仍要查，授权仍要认，只是由固定安排告诉人到哪里查、谁来决定。规则层不是高于生活的抽象世界，而是把反复出现的困难提前处理。

负担从个人临场判断移到共同维护，并没有凭空消失。机构要提供入口，相关岗位要接收确认，工具要解释范围，各方新增任务必须有实际条件。

规则层也要受事实约束。类别写着例行，已核实的异常照样有意义；入口写着正式，错误内容也不会自动正确。共同规则值得信任，在于能够接收新材料并修订。

◆十二、粗粒度对最弱的那一环意味着什么

不熟悉软件的家长也应能通过简单路线求助，不应因不会识别真假承担全部损失。机构提供正式入口和明确回应，能减少最弱使用者的临时负担。这种公平效果仍是设计目标，还不是调查结果。

不熟悉软件的人、无法随时看手机的人、缺少备用联系人的家庭，都可能更难完成同一套要求。本章没有调查给出比例，也不把他们当成不会学习。设计应检查，规则是否只有最方便的一群人能够使用。

替代求助路线可以让不同能力的人继续参与，但应由机构提供适当支持。家长不必先公开私人困难，才被告知到哪里确认。公平在这里是待检验目标：减少能力差异变成无路可走的机会，而不是保证每个人得到完全相同过程。

如果实际运行使不熟悉操作的人反而更频繁被拒，就应记录这一结果，不把最难使用规则的一部分从成功统计里删掉。

◆十三、粗粒度的三条使用守则

分类必须与行动相关，异常必须能够升级，规则必须有人维护。三条缺一，卡片就容易变成新口号。守则的作用是让参与者审查安排，不是给个人贴守规矩或不守规矩的永久标签。

三条分别防止只按语气判断、类别阻止新事实、静态卡片长期过期。它们是审查问题，不是已经实施的效果结论。

守则同样约束机构。要求家长遵守，却不给正式入口；要求报告异常，却无人回应；要求看最新版，却不更新主要渠道，都属于安排本身的缺口。制度责任不该只写成使用者注意事项。

◆十四、家长群两个月以后

这是构想中的复盘：一条没有付款的资料通知也触及敏感信息，原分类遗漏了它。群里把相关事项改到需确认类别，并说明修订原因。规则没有因发现不足而失败，拒绝记录不足才会使它无法学习。

两个月复盘仍是构想，不提供真实前后对比。参与者可以记录缺口、补充确认路线并说明版本变化，而不是只宣布现在按新要求做。

发现遗漏以后，先前受到影响的事项仍需要处理。新卡片发布，不等于过去后果消失。分类修订与事件处理应相接：一边改善未来条件，一边保留未完成的问题。否则，机构可能不断展示学习成果，真正需要帮助的人却被留在旧版本里。

替罪羊风险也需进入这种分级。粗粒度把责任固定在岗位与层级上，也可能使最容易接触的人成为集中追责对象。分级中的确认与承担必须带着权限、资源和改规则的能力；写名只是起点。

复盘也应保留没有改动的理由。某个家长提出提高级别，参与者认为已有确认路线足够，可以说明依据，而不必每次意见出现都修改。变化与保持都应能解释，使用者才知道这是经过判断的安排，而不是谁催得急就听谁的。

带走的话
按行动后果分级，可以减少重复判断；分类必须留异常出口，并由明确的人持续维护。

小账
：群、类别和两个月复盘均为构想；三问是设计，无实施或效果读数。

第 19 章

替罪羊的陷阱：署名要配上改规则的权

这一章的问题：要求有人署名认账，怎样避免把责任推给最弱的人？

【值班的老罗】这是我构想的场景。家政平台系统安排了一项任务，老罗能看到最终名单，却看不到规则和输入。他不能暂停，只能联系顾客。事故之后，机构准备让他以"人工审核人"署名。这是本书必须拒绝的认账设计。

◆一、先让路：已经有人把这件事讲透了

Elish在2019年提出"道德缓冲区"，分析自动化系统中的人如何在控制有限时被错误集中责任。[5]本书引入署名，必须接受这项警告。人的出现本身不保证负责更公正，反而可能替强大的组织吸收冲击。

这个警告针对一种容易被忽略的错位：社会看见一个人站在系统旁边，就以为他拥有足够控制；组织在事故后找到这个人，就以为找到了完整原因。本书核到作者的原始摘要，沿用这一问题，不补写未读全文中的案例细节，也不把本章的四条件说成原作者的方案。

老罗的故事因此是一项自我检验。本书前面强调责任身份，如果后面只要求有人署名，却没有检查署名者能做什么，就会制造自己想解决的问题。署名从宣传进入实际工作以前，应先接受控制、资源与拒绝能力的检查，再判断它是否帮助承担。

◆二、缓冲区是怎么形成的

决定分散在规则、采购和管理中，执行者却最容易被看见。事故叙述若只围着最后一个动作，就会遗漏上游条件。在老罗的构想里，联系过顾客并不等于设计了分配规则，把两者混成审核责任便是转嫁。

把老罗一天的工作摊开：他接到名单，按名单联系顾客，登记回应。任务如何分配、哪些资料进入系统、何种情况必须继续，却在别处决定。

执行者当然也可能有自己应承担的部分。他确实掌握材料、具有权限却没有完成约定动作，需要据材料讨论。但一项执行疏漏推不出他设计了全部规则；责任分析要沿实际控制逐段展开，不预设最靠近顾客的人必然有错或必然无错。

事故叙述还会受到记录方式影响。表里只有人工审核人一栏，没有规则维护、权限配置与例外决定，后来者便难以看见其他位置。改记录不是给所有岗位平分责任，而是防止证据结构只容许一个人出现。谁完成了什么、谁决定了什么，应有不同栏目与相应依据。

◆三、署名成为认账的四个条件

署名者需要看见相关材料、能够暂停、能够拒绝超范围承诺，并有正式途径改规则或推动有权者改规则。赔付资源应由机构提供，而不是来自个人钱包。条件不齐时，应记录缺口，而非要求员工用签字补足。

看见材料不是给员工堆一座资料山，相关内容应能在工作时间内理解，缺失之处能够辨认。暂停也不是页面上有个按钮就成立；按下以后无人回应、绩效受到惩罚，员工仍可能不敢使用。

拒绝超范围承诺，保护员工说出自己的权限边界：他可以确认联系已完成，不必确认系统未向他展示的事实。修改能力可以通过正式升级实现，但升级应有接收者与处理结果，而不是只有提交意见的权，没有意见进入决定的路。

资源条件同样约束机构。等重大问题出现后，才说他既然签了字就应自行解决，是推卸。四条件不是保证永远公正的充分证明，而是一组最低限度的追问；缺哪一项，就指出哪一项。

◆四、一个简单的检验：替罪羊测试

问署名者能否拒签、能否改变下一次流程、能否获得机构资源。再问：如果他换成别人，同样条件是否仍会导致同样事故？若答案是会，处理就不该只停在处分此人。这个测试检查安排，不作个人品格判决。

替罪羊测试可以从一个具体动作开始：老罗能否写明自己未获最终批准权，而不被视作不服从？若写不了，所谓署名很可能是被迫接受事后标签。他报告系统限制后若无人能改变规则，要求他保证下一次不再发生，也超出实际控制。

换人问题是另一条检验，但它替代不了真实因果分析：换人以后未必发生，也不证明规则完美；会发生，也不直接证明个人毫无作用。它用来扩展复盘对象，不是自动裁决。

测试还应检查对外帮助有没有落实。处分老罗之后，顾客问题是否得到接收，已确认错误是否改正，后续安排由谁维护？若处分成为唯一动作，机构可能只处理了可见人物，没有处理事件。

◆五、署名的范围：认的是过程，不是结果

负责人说明自己作了哪项决定，并对所掌握的部分接受追问。他不需要保证所有外部因素。范围也不应缩小到空无一物，明明决定了例外却只认收到文件。限定责任需要与实际权限对齐，既防无限背锅，也防故意逃避。

合理决定也可能结果不佳，只用最终坏结果倒推此前必然失职，是事后诸葛。这条边界保护负责的人，同时要求他保留真实决定，不在结果出现后重新缩写自己的角色。

范围可以随着新信息更新，但应留下版本，说明为什么调整、哪些动作继续、哪些事项转交。悄悄删去原承诺，或把原先最终批准改成普通登记，会使限定责任变成逃责。

◆六、认账时距与替罪羊：一个相互牵制的关系

要求快，可能使机构仓促找一个人认；要求完整，又可能被用来无限拖延。读数因而必须先检查认账主体是否有效。缺乏权限的快速署名不计作有效终点，机构却仍可公开已知事实和临时补救，避免把严谨变成沉默。

若管理层只追求当天有人认，就可能把最容易找到的员工放在公告里，省掉核实权限与资源的时间。

另一端也有风险：组织说需要完整查清，于是已确认的错误与可做的帮助全部停住。

快与完整之间的张力，要由分段状态缓解。收到、确认、先行承担、补救完成，分别留下；错误承担后来撤回，也要记录。这比只公布一个好看的时距更诚实。指标如果促使人空认，应修订使用方式；叫作制度指标，并不意味着没有反向激励。

◆七、"具名人加赔付资金"为什么能避开缓冲区

它只能帮助，保证不了。资金有名无实、使用要经过永远不批准的手续，照样兑现不了。要核的是资源是否可用、谁授权、是否覆盖事件。机构责任身份连接资金，而不是个人身份替机构挡住索问，才符合设计。

资金能帮助处理，却替代不了权限。本章没有真实财务材料，不给资金充分性结论。

若让员工先私人垫付，机构再决定是否支持，责任可能重新集中到弱者身上。具体制度需适当专业审查，本章的原则是机构承诺应有机构可用条件。

即使资源已经落实，还应检查影响有没有被正确理解。支付一项小额款项不自动解决资料、资格或后续服务问题；资源是实现条件，不是免于继续解释的凭证。

◆八、读公告的人：怎样一眼分出认账和顶罪

无法一眼最终判断，但可以读几个关键事项：处理哪件事，后果如何补救，署名岗位有什么权限，修改在哪里。公告若只写一个被处理的员工，没有回应受损者，最多说明处分，算不上完整认账。

读者可以把公告拆成事件、行动与权限：事件是否具体，行动是将来研究还是已经实施，岗位能否继续接收问题，规则改变是否可找到。

有些内容需要后续核对。公告说已恢复服务，受影响者却仍无法使用，就应把差异送回处理。对外说明与真实使用之间的落差，是值得保留的材料。

同时，公告也不必公开员工全部私人资料来证明诚意。可追问的岗位、机构身份与事项记录，已经可能提供必要连接。保护私人信息不是拒绝负责的借口，披露私人信息也不是负责的证明。应让公开程度与核查目的相称，避免对员工造成新的无关后果。

◆九、拒签栏：一个可以直接抄的小设计

示意文字可以是：材料不足以确认本事项，请有权者补核；本人未获该项决定权限，不作超范围保证。填写之后应进入正式升级，不得自动记为不服从。这个栏位的价值来自组织兑现保护，不来自文字本身。

员工说明材料不足以后，有权者接收，决定补什么、是否暂停、怎样处理当前期限。若栏位填完便被搁置，员工只是取得了证明自己害怕的机会。

这个栏位也不应成为万能拒绝。员工需要说明缺的是哪项材料或权限，组织则应回应这些具体缺口。拒绝超范围承诺与履行已有职责，可以同时成立。

实际使用后还要复盘。拒签是否总因同一种信息缺失，升级是否反复迟迟无回应，员工是否受到隐性不利对待，都应进入检查。本章没有实施数据，不声称栏位已经改善结果。

◆十、署名的重量，会随着时间变化

今天能改规则的负责人，明天可能调岗。原承诺需要留在组织事项记录里，继任者接续处理。若认账只绑定个人热心，离职便会使后果无人接。机构必须承担存续责任，才不会将长期事项私人化。

顾客不应因人员变化重新证明全部经历。

权限变化也需要记录。公开接口仍保持原名字，实际决定却移到不可见位置，就是空壳；追问到达的人与能够处理的人长期不一致，前台人员容易成为新的缓冲区。

连续性不要求原负责人永远留下。他可以在履行适当交接后离开，也可以就自己曾经作出的决定接受必要复核。机构则无权以他离开为由终止已接收事项。将个人决定与组织存续区分，既保护员工正常流动，也保护受影响者持续获得处理。

◆十一、老罗的版本，可以怎样改

构想的改版让系统限制可见，异常任务可暂停，上游规则负责人接受升级。老罗负责记录和联系，不被写成所有事项的最终批准者。对外主体可以是平台指定有权限的负责人，处理资源来自组织。

老罗的改版从记录名称开始。联系岗位说明联系结果，异常岗位接收任务缺口，规则维护者解释分配条件，有权主体决定后续安排。职责分开以后还需要交接，否则只是把一个空白拆成多个空白。

如果老罗无法完成所需确认，可以暂停并升级；能够完成已有职责，则应如实执行与记录。改版不把员工写成天然无责，也不把所有责任写成组织抽象承担。

改版是否有效，要看真实变化：异常有没有被接收，暂停有没有被保护，顾客是否得到处理，上游规则是否修订。职位表更复杂、名字更醒目，都不足以证明改善。

◆十二、家里的缓冲区

常陪老人、最会用手机的人，也可能被家人要求为全部事故负责。家庭应区分维护约定和掌控每次行动。帮助者可以有替班和求助，不应因离得近而自动背下所有后果。否则他疲惫之后，保护安排也会随之崩掉。

常帮忙的人未必知道每通电话，也可能没有能力改变所有人的行动。关心与全程控制不是一回事。

家庭可以安排替班、联系人维护和共同复盘。常帮忙的人不在时，其他成员知道怎样求助；真实请求也遵守确认，不因自己着急便要求例外。这是构想风险，不是本书的家庭调查结果。

帮助者同样需要承认自己的实际工作。他承诺维护联系人却未更新，可以具体改进；家人从未提供新号码，事后要求他凭空知道就不公平。

◆十三、机构对署名人的三句承诺

不会要求承诺超出权限；会提供必要材料和资源；会接续他无法独自改变的上游问题。这是设计承诺，不是假借真实机构的原话。只有落实到工作安排里，署名才可能成为可负责的位置。

三句承诺应能够被员工使用：材料不足时，有实际取得资料的路；任务超范围时，有拒绝与升级保护；上游问题重复时，有能够回应的维护岗位。等事故发生后，才把原先的承诺解释成只是表达态度，就是失信。

也应留出审查组织违约的入口，员工不必先通过原来拒绝提供条件的人才能求助。具体渠道按真实机构决定，本章不代替劳动制度。

这一章的出口是对本书署名主张的收紧：有名还要有权，有权还要有资源，资源还要能进入当前事项。认账不会因加入姓名就自动公正。还需看另一种失败——连可接收的主体都找不到。替罪与无人承担，看似两端，都会让真实后果失去合适的处理位置。

带走的话
签名应连接真实控制权和机构资源。没有看见、暂停和修改能力的署名，会把责任接口变成替罪羊入口。

小账
：[5]已核作者原始摘要；老罗、平台与拒签栏为构想，无实际劳动责任结论。

第 20 章

谁都不认的地方：信任怎样塌下去

这一章的问题：没有人接住后果时，信任怎样一步一步退缩？

【业主群里的电梯费】这是我构想的场景。群里有人转发电梯费用通知，物业说不是自己的格式，业委会说尚未议定，转发者说只是提醒。居民不知道该交、不该交，还是暂缓。最难受的不是图片做得不够清楚，而是没有正式处理这项不确定的入口。

◆一、第一步：人人都在验，没人在认

有人查字体，有人找章，另有人翻旧照片。每种检查都可能提供线索，却没人把线索连接到当前决定。核验可以分工，授权却不会从群体讨论的热闹中自动产生。应先找到有权说明当前事项状态的主体。

电梯费通知让居民面对的是一项当前决定：现在是否需要付款，由谁确认，哪个版本有效。一个人发现字体不同，只说明值得进一步查看；另一个人找到相似旧图，也证明不了本次安排已经成立。

这种主体可能暂时无法给出最终结果，却仍可以说明已知状态：事项尚在讨论、某张图不是现行通知、暂未形成付款要求。这里全是构想，不替真实小区规定权限。关键是把不确定放到正式过程里。

核查者的工作也应被保留，问题在于线索怎样提交，谁接收，回应怎样返回群里。没有这条连接，越多人认真查，越可能积累更多无法结算的疑点，讨论很热闹，实际事项仍停住。

◆二、第二步：信任退回到"谁转的"

居民开始只看熟人意见。这可以临时减少焦虑，却可能把同一未经确认的消息在熟人圈中重复。对陌生组织的协作如果只能靠私人联系完成，普通事务就会越来越难。

居民在正式入口迟迟没有回应时找平常可靠的人问，是有现实理由的，不宜简单斥为盲信。但熟人也可能只从同一张图得知消息；大家因认识彼此而接受同一个起点，关系增加了安心，没有增加独立确认。

依靠私人联系，还可能使不同居民获得不同条件：有人认识物业工作人员，能取得最新说明；有人只在群里等待。本章没有调查证明这种差异普遍存在，构想只显示一种可能后果：制度信息缺口可以被人情暂补，却难以公平地覆盖每个人。

修复不是要求居民放弃熟人帮助，而是让帮助接回共同入口：取得当前信息的人指向可共享的正式说明，有权限的岗位持续更新。熟人不必永久替机构解释，陌生居民也能获得同样的基础。

◆三、三种"没有人认"

有的事项没有指定接口，有的接口没有权限，有的有权限却不接收问题。这三种缺口修补方式不同。它们不全是个人不负责任：第一种补分工，第二种补授权，第三种检查机构是否履行自己的公开承诺。

三种缺口也可能接连出现：先找到一个无人查看的邮箱，再找到没有升级渠道的前台，最终找到的有权者仍不留下状态。入口数量不是有效接收数量，收到消息也不是决定已经作出。

对工作人员同样要公平。前台没有权限，就不该要求其私人保证结果；但缺口说明要接到下一步，不应成为永久拖延语言。

◆四、塌下去的代价：合作变得更贵

居民反复询问、自己跑现场，正常议事也因怀疑延迟。这里讲的是构想后果，不是测量了客户流失。所谓信任成本需要落到具体动作：多花了谁的时间，谁暂时无法行动，哪些重复查询本可由一次正式回应解决。

合作成本可以在普通动作中看见：多拨几次电话，重复提交图片，特地跑到现场，家里为是否付款反复商量。叠加以后占用时间，也使新的正式议事更难开始。

成本还可能分布不均。时间自由的人可以继续追问，需要照顾孩子或工作的居民可能先搁置。若评估只看留下大量反馈的人，沉默居民的条件就容易被遗漏；少收到投诉，并不说明处理安排良好。

共享回应可以减少部分重复，却不保证所有成本消失。一份状态说明解决了是否当前要求付款，后续费用讨论仍需相应程序，不能把第一份公告写成全部合作恢复。

◆五、说谎者红利：真的也可以不认

第九章的机制在此提供一个警告：若任何通知都能被一句可能伪造挡住，真实承诺也可能被否认。解决不是取消怀疑，而是明确核查和结算路线。异议应进入有边界的处理，而不是永远停在所有人各说一句。

真实通知被一句可能伪造挡住时，提出者可以指出日期、来源或权限疑点，处理者接收并回答。尚未查清的部分保留未确认，已经查清的部分不应每次被同一句无指向怀疑清零。第九章的可回答怀疑，在这里进入共同事务。

但这也不是强迫居民相信任何正式外观的理由。真实异议也可能揭示错误，机构应容许新材料改变状态。一个只要求服从的公告，可能让怀疑退出公开讨论，却没有使错误真正得到处理。

结算路线的意义，是让不同主张有地方继续：说通知已生效的，说明依据；说它无效的，说明具体疑点；有权限的主体解释当前状态。不必让普通居民先证明全部技术细节，才有资格提出不清楚。

◆六、机构层面的塌，是同一个形状放大

部门彼此转介、接口反复要求重新提交、旧公告被移除，都可能使当事人失去连续记录。这些是风险推演。修补需要事项在部门间持续存在，不让受损人承担全部交接工作。机构内部协调不应成为外部用户的隐形职责。

机构内部的转介，外部用户常看不见原因。他听到去问另一个部门，却不知道原材料是否已转过去，下一位是否有权处理。

连续记录能够帮助，但仍需要有人推进。一份编号停在系统里，状态多年不变，不比口头遗忘更有效。记录应显示当前接收位置、已有范围与下一步；适当公开不要求披露无关个人资料。

旧说明的保存也影响连续性。修改当前版本时，可以保留必要更正与原因，而不是悄悄删除旧内容后要求用户证明曾经看过。已经形成影响的表述，不该靠界面更新从责任讨论里消失。

◆七、塌的几个早期信号

同一问题被反复问、不同岗位说法互不兼容、无人愿意留下处理时间，都值得检查。它们不是诊断量表，出现一项不证明组织已经失效。作用是提示哪条接口可能断开，帮助安排有权者介入。

同一问题被反复问，可能因说明不清，也可能因传播范围扩大；岗位说法不同，可能反映更新不同步，也可能有实质分歧。

无人愿意留下更新时间，值得追问是否有推进能力。复杂核查未必能精确到某日完成，但可以给出可接续的状态与复核节点。

观察还应结合实际使用。入口容易找到却长期无回应，说明可见性与有效性分离；回应很快却从不处理，说明速度与内容分离。保留这些差别，后文读数才不会把所有快速沟通都计成认账。

◆八、塌到哪里为止，又从哪里回暖

构想的修补从一份清楚状态说明开始：尚未议定的内容不要求付款，正式通知由指定入口发布，疑问有接收岗位。主体并不需要立即解决所有问题，却必须给出可继续行动的状态和后续更新时间。

这样一份有限的状态说明不一定解决费用本身的争议，却能减少居民当前行动的不确定。

说明发出以后，还要检查是否到达主要传播路线。原图在群里广泛流转，新说明只放在无人查看的页面，居民仍可能不知道变化。发布成功，只是沟通的一半。

后续更新需要接续。情况改变，说明变化范围；仍无新结果，按约定说明当前阻碍与下一节点。更新应增加可用信息，或至少使等待不再成为无人解释的空白。

◆九、同一条电梯通知，另一个小区会怎样

这个简短对照也是构想：另一个小区有版本记录和联系人，居民便能确认图是否现行。不是居民更聪明，而是判断所需材料更容易获得。若后来证实通知错误，同一接口接住更正，大家不必另起一轮找人。

它只显露条件差别：同样居民、同样图片，有当前入口与版本记录时，核查可能不必从每个人的熟悉感开始。这个可能机制值得真实比较，尚没有本书的实测支持。

对照也不应把其他条件偷偷固定成事实。真实小区在人口、权限、资源和事务复杂度上可能不同，若以后比较效果，应记录这些差异。接口清楚的地方也可能遇到严重争议，入口不足的地方也可能靠临时协作顺利完成某次事务。一次结果不决定制度全部价值。

修补关注的是可重复条件：居民换了、工作人员换了，现行入口还能否用，旧记录还能否接续。让帮助过后留下下一次可共同使用的条件，不必每次重新找那个热心的人。

◆十、塌，不是道德问题

更准确说，它不只是道德问题。诚实的人也可能在缺权限、缺资源的安排里无法处理问题；恶意者则可能利用这个缺口。设计应同时面对两类情形，单靠呼吁好人更勇敢是不够的。

道德会影响行为，但单独讲道德容易把可改条件隐藏起来。

恶意者也可能利用接口缺口：责任不清时反复转移主张，没有记录时否认此前表达。本章不替真实人物判动机，只说明可核记录和正式升级，对诚实人的无能为力与有意逃避两种处境都可能有帮助。

设计也有边界。它不会自动使每个人诚实，不会保证任何冲突都能解决。它能做的是使具体行为、权限和后果更可见，让不回应不再容易藏在含糊分工里，并接受效果检验。

◆十一、一个小练习：你的群里，今天有几条消息没有主人

不必数出排名，也不记录成员隐私。选一条涉及行动的消息，试着找到正式来源、当前负责岗位和异常入口。如果三项都找不到，就先修消息与组织的连接，而不是给转发者贴不可信标签。

练习从一条已经要求具体行动的消息开始，先说明它让人做什么。

若来源找到、授权仍不清，标明还缺权限；若权限清楚、后果入口缺失，标明还缺处理；若三项都有，已经可靠的安排值得承认，不必继续制造问题。

练习结束可交付一个小改动：补上现行链接、明确维护岗位或增加升级说明。改动是否有用，应看下次实际消息如何使用。一次练习只是准备，不是验证。

◆十二、塌了以后，别急着加码验证

更多验证可能必要，但应针对实际缺口。若问题在于没有授权，增加验图补不上；若问题在于无人接收，更清楚的截图也代替不了回应。修补要沿具体事项走，才能将怀疑恢复为可处理的判断。

图片真假未明，补查来源可能有帮助。因责任重要便减少必要事实核查，同样是偏差。

修补还应考虑工作量。增加一道检查，却不给时间和资料，可能使人只做表面动作；增加一个接收岗位，却没有决定渠道，可能使前台承担更多压力。安排必须连着实现条件，否则制度越复杂，用户与员工越可能无路可走。

第三编到这里完成的问题，是把验真、授权和承担各自的位置显露出来。三方程、路径与回写问法的价值不在新增术语，而在帮助找到上述缺口，并形成可使用的改动。方法若推不动事件，就还只是对悬置的另一种描述。

带走的话
信任退缩常是处理接口断开的后果。把不确定连接到有权者、现行记录和更新时点，合作才可能恢复。

小账
：两个小区与全部后果均为构想；早期信号为设计提示，无流失率或事故读数。

第三编　材料说明

本编未取得任何认账时距或措施效果。来源规范与零信任标准均按文后已核文献的限定范围使用，人物、系统和复盘为构想。认账主体可以由具名岗位连接机构资源，口径见附录五。涉及付款、赔付和员工签署的情节不构成法律、劳动、投资或专业安全意见。

第四编
出路方法：把"信不信"换成"谁来认"
编序

家族群里来一条通知，我们容易先看它有没有公章；公司收到一张账号变更单，我们容易先看它像不像供应商以前的格式。这些检查需要做，但事情不只由表面成立。通知从什么地方来，转发省去了哪些限制，谁允许按它行动，都会改变它的意义。

这一编将三方程、六路径和三原理变成能在生活中使用的问法。公式不被当成已经拟合的数据模型，顺序不被当成人的固定类型，三拍也不被当成历史必然规律。它们帮助我们把遗漏说清，再将遗漏接到具体改动上。若只多出了一套解释词，没有改变权限、记录和补救，方法就还没有落地。

真正需要交付的是可使用的动作：在行动之前写清范围，在出错之后公开更正，让不同意见有地方进入。母亲不必成为测谎仪，出纳不必为整个组织的未知负责，普通读者也不必独自重建每条消息的全部历史。规则的制定者应当承担其中属于自己的工作，工具则让这些工作做得更准确、更省力。

第 21 章

三方程在信任上：一条消息的显露、它走过的路、说话人与后果的纠缠

这一章的问题：一条消息摆在眼前，我们凭什么信它，里面有哪些共同起作用的条件？

【家族群里的停水通知】这是用于方法拆解的构想：家族群转来一条停水信息，日期清楚，语气正式，却没有原发布链接。本章不重演第十章的传播故事，只停在一条消息上，逐次改变它的外观、来路和承担安排，观察判断可能怎样变化。

◆一、第一样：它在你眼前显出来的样子

文字、声音、脸和排版构成眼前可见的样子，称为显露，记作S。它是真实判断的一项材料，却可能借来庄重或熟悉的形式。检查样子应当知道自己能证明到哪里：图像端正，不代表通知仍有效。

家族群里看到日期、标志与正式口吻，读者可以据此提出问题，却不应把庄重当成授权；模糊的截图也可能保留真实信息。S的问法，是让我们先说清到底看见了什么：通知写了哪个区域，要求哪天行动，有没有说明发布日期，哪些文字是转发者后来加的。若一句"看起来可靠"拆不成材料，就难以检查判断跨出了哪一步。

眼前内容也受展示选择影响。完整页面和裁剪图片可能显示不同条件；摘要让阅读更快，也可能省去例外。省略未必出于恶意，仍会改变使用者能够判断的范围。检查S不只是看画面是否伪造，还要问重要条件有没有显出来，当前要求是否被准确表达。

这也要求发布者说明显示结果验证了什么。若一个通过标志把来源、事实与付款许可混在一起，用户即使认真看，也可能沿界面暗示作出过宽判断。显露的设计不是中性的装饰，它会参与具体使用。

◆二、第二样：它一路走来的路

消息经过哪些发布、编辑和转发，称为走过的路径，在此记作D。路径不只是一个发送者姓名，还包括丢失的日期和删去的限制。保留原入口，能让当下判断有机会回到当前版本，而不是只能鉴定一张截断的图片。

D不是要求还原每次点击的完整历史，而是取得与这项行动相称的来路：普通留意可以接受线索，重要支出则需要更明确来源与授权。无限追踪可能增加无关成本，还可能侵犯私人范围。

原入口有帮助，但也需要当前版本。链接连到一份旧通知，只改善了历史来源，没有证明明日适用。路径核查应同时看它把人带到哪里、那个位置现在说明什么。有了链接，仍要读取内容；链接打不开，也不等于材料为假。

路径还可能由责任维护变得可查。发布者保存版本，更正沿原路线返回，转发者说明是否补核，这些动作让后来追问更容易。若所有版本都被覆盖，用户便难以判断自己此前依据的内容为何变化。

◆三、第三样：说话人与后果缠在一起的那一团

谁允许行动、谁承接后果、谁有修改能力，构成说话者与事项的纠缠，在此记作E。它不是泛指认识多少人。本章必须把它落实为权限和补救：若通知错误，哪个机构接收问题，谁能修订当前状态，怎样帮助已经据此行动的人。

一个人认识发布者，可以帮助找到他，却不自动取得业务授权；一个机构名字很大，也不自动说明某岗位能够处理。纠缠要写成可核的权限，而不是"有人管"的感觉。

关系也影响材料怎样进入判断。发布者知道会被追问，可能更认真说明范围；机构建立更正入口，可能使旧通知更容易更新。这些是本书的机制假说，没有在本章测得因果效果。愿意负责推不出内容真实，缺少接口也推不出发布者恶意。

承担关系还可能有张力。维护者能更新页面却不能决定费用，接收岗位能登记问题却无权复核。笼统称为有人管，容易隐藏空位。E的问法应拆出权限与资源，让用户知道具体问题接到哪里。

个人信息的公开也有范围。用户需要能够找到相应岗位，不需要掌握工作人员的私人生活。责任可见是事项中的权限可见，不是无限个人曝光；说得越具体，越难用一张熟悉照片或一个私人电话冒充组织接口。

◆四、顺着路问回去

回问不是无限追人。先找能核实当前事项的正式入口，再确定它说明的范围。家族成员可以帮助找来源，不因此替发布机构承担全部责任，也不必被变成待审对象。

顺路回问，可以先从当前主张开始：这张通知让我现在做什么，谁有权确认这项状态，再去取得与之有关的原始信息。家族成员可能只是传来提醒，也能够承认自己不知道。把不知道留在记录里，比强迫每人担保更诚实。

回问取得材料后，应说明增加了什么。找到了真实发布页，可以确认那页曾有相应内容；核到当前日期，可以判断某个时间条件；接到授权岗位，可以说明是否需要行动。不同成果不要都压成是真的三个字，否则接收者仍可能把有限确认扩到全部事项。

若一路回问到某处停住，也要区分原因。来源无法取得，权限不清，或问题尚在处理，都不是相同状态，需要不同下一步。暂时没有答案，不是删除全部材料的理由；家人催促，也不是把缺口填成已经核过的理由。

停止回问同样重要。取得足够支持当前行动的材料，并有适当异常出口后，不必继续追求无穷确定。无限核查会使正常合作无法进行，也可能让最缺时间的人被排除。

◆五、三样东西之间，是互相决定的

本书采用S=F(D,E)、D=G(S,E)、E=H(S,D)作为问法：眼前样子依赖路径与承担，路径的可追踪性受展示和承担安排影响，承担也须通过展示与路径让人知道。F、G、H分用，这里没有数值、拟合或因果估计；等号是问法，不是已证的定律。

F、G、H没有可计算形式，把字母放进软件算不出可信分数；由两项信息也不能唯一还原第三项，现实中可能有多个符合相同观察的关系，也可能有材料缺失。若以后要形成模型，需要定义变量、数据和检验，这项工作尚未在本书完成。

互相依赖不取消各项事实的独立性。图片日期是否正确，要有相应依据；某岗位是否有权处理，要有权限记录。三者纠缠共同影响行动判断，不意味着事实能够任意改变。

三式的效果也可以被否定。若使用这些问法没有增加可用问题，只使记录更难理解，应改写或停用；参与者学会复述字母，不等于方法成功。

三项也不能直接相加：没有量纲，也没有权重，一项缺失靠另一项很高抵消不了。十个熟人转发，不自动补上一个授权缺口；一个承担接口，也不抵消明确错误内容。三式在本书里还有一项更硬的用途。第22章用它给每种安排找出"缺哪一式"，第37章再据此预先写出各组会在哪里失败：缺E的安排，事前可以更严，事后却不会更快；缺S的安排，误拒和延误会先涨。家族群里那条停水通知也是这样：只补了截图清晰度，缺的仍是E，有人照着它把水存满，错了也没人来改。若实测的失败模式与预测不符，三方程在本书里就降级为整理工具。

◆六、从前这三样为什么从不用分开想

在熟悉的小范围里，固定的人、固定地点和连续交往常一起出现。通知来自隔壁熟人，又能马上当面问，条件互相支持，便容易被视为一个整体。迁到可复制的界面以后，这种支持未必完整保留，需要重新分辨。

固定公告位置、平常可见的维护者、连续交往的记录，使人不必每次都分开核对。但这不是过去人人天然诚信的证明，旧安排也可能出错；它解释的是一种便利条件，不是理想年代的历史结论。

当材料被远程复制，有些条件保留，有些条件脱离。格式与声音可以到达，原来能够当面追问的人未必到达；旧关系的亲近感存在，当前事项权限却可能已经变化。分开三问，是为了看见这种不均匀迁移，不是宣告线上合作比线下必然差。

线上也可以重新建立稳定入口、版本记录和持续处理。若安排已具备，就不必为了理论而强迫读者再体验一次不信任。方法的目标是补缺口，也应能识别没有缺口的地方；分开之后仍要接合，回到事项范围，由适当主体说明判断。

◆七、一次只动一样：同一条通知，会怎样

思想实验之一：样子不变，接上原发布链接；之二：链接不变，补上有效期限；之三：两者不变，增加明确异常入口。判断可能逐步改善，但不据此宣告因果已经成立。这种逐次改动帮助设计真实评估，也防止把全部功劳随意归给某一栏。

样子不变，接上原入口，增加的只是追查机会；入口不变，补上当前期限，增加的是适用信息；两者不变，增加异常岗位，增加的是处理条件。

这些改动也可能没有帮助。原入口本来已经过期，连接它仍支持不了明日行动；期限写得清楚，发布者却无权要求当前事项；入口明确，却无人回应。思想实验应保留这些失败版本，避免用理想条件证明方案必然有效。

真实评估需要另外安排。使用者面对相同事项，能否正确说明已确认范围，是否知道下一步，实际处理有没有改善，都是可能观察的对象。本章没有实施评估，也不提供参与人数或效应大小。

逐次改动也提醒作者控制叙事。新增一个接口时，作者不该同时偷偷把发布者换成更可靠的人、把材料换成更容易的题目，再宣布接口独自有功。

◆八、三样不是三道关卡

它们共同参与判断，不一定按固定次序通过。来源缺失可能促使人回看图上的日期，承担不清可能使本来可信的请求也暂缓。三问要能够相互修正，不要做成每格打勾后便禁止补问的表格。

三道关卡容易形成一种完成幻觉：第一格看过，第二格查过，第三格有名字，于是全部放行。发现来源页已更新，应回头看眼前截图；发现权限不覆盖事项，应重新判断原先的熟悉样子是否仍支持行动。

其中一项良好，也代替不了其他项。发布者有清楚补救入口，不使错误日期正确；图片真实，不证明请求有权；来路完整，不证明每个解释成立。

对实际工作，可以记录当前状态而非永久通过：哪些条件已核，哪些待补，遇到何种变化需要复核。结论带着范围与时间即可。复核也不必从头重做，仍适用的材料继续使用，新增问题只补相应部分。

◆九、三问的先后，看场景

问候可以先看情境，付款应先确认授权，急迫风险应先保护人并寻求独立帮助。方法不强迫所有事项沿同一队列走。它的价值，是在当前处境中让被忽略的条件重新可见，然后由有权者采取相称行动。

先后应由行动需要决定，而不由人的固定类型决定；现实紧迫时还要暂停未确认的资金动作。不同场景需要不同专业安排，本书不提供统一应急程序。

先问一项，并不意味着其他两项以后可以省略。授权已经确认，内容与版本仍要适用；眼前异常明确，仍要知道向哪里提出；来源一时不清，也可以先提供不依赖当前请求的帮助。

一次使用结束，应有具体交付：一份当前状态说明、一条补核路线或一个有权限的处理决定。若只有S、D、E分析，却无人知道下一步，方法还未落地，不能因概念齐全便评分成功。

顺序还应随新材料改变。原来以为只是提醒，后来发现要求资料提交，就回到权限与范围；原来以为来源缺失，后来取得现行页面，就更新该项状态。只有拒绝新信息、强迫事件符合预先排好的步骤，才使问法失去实际用途。

带走的话
外观、来路与承担共同支持托付。三方程帮助提出问题，不替事实核查，也不提供未经测量的数字结论。

小账
：通知为构想；三个式子为概念问法，无实测值或数学验证。

第 22 章

三方程体检：缺了哪一式

这一章的问题：出了错以后，怎样找到被遗漏的条件，而不只是责备接收者？

【妈妈接到的电话】本章回看第八章的构想情形，不新增一个假装真实的案例。电话的声音熟悉，联系路径却封闭，当前请求的后果没有安排。我们用三个条件看缺口；这不是给妈妈能力或人格评分。

◆一、体检表

表只用于当前事项，不进入个人考核。

要检查的条件 应留下的依据 不足时的动作
眼前显示了什么 当前请求和具体对象 分开身份与行动
从哪里走过来 原入口和独立联系 回到已知渠道补核
谁接住后果 权限、范围与资源 交有权者决定或暂停

体检表开始使用时，应先写当前事项。电话里的人要求问候、接应还是付款，三种动作需要不同条件。只写接到了可疑电话，后续很难知道表在检查什么。对象具体，才可能判断哪些材料与行动有关，哪些只是让接听者觉得熟悉。

表格还需要状态语言。已经确认、尚未确认、材料无法取得，应分别留下。没有填内容，不等于正常；看到一个名字，也不等于承担有效。记录的诚实来自缺口可见，不来自每行都有肯定回答。如果填写者不知道，下一步应有能帮助补核的位置。

使用以后，表应交付行动：当前缺来源，回到已有独立渠道；缺权限，交有权者确认；已知有异常，暂停相应动作。表格本身不会核验事实，也不会创造处理权。

依据也要写清范围。某个家人说已经联系过本人，应说明确认了身份还是具体请求；某岗位说已接收，应说明登记还是决定。表格要写动作，不只抄结论。

◆二、三种"缺式"，各有各的病状

只看样子会把相似误读成授权；只看路径会忽略当前内容的异常；只看愿意承担的人则可能跳过必要检查。三种偏差都可能出现在善意人身上。体检的目标是补条件，不是让某个人承认自己属于哪种病。

母亲听声音，可能因为当时最容易接触的就是声音；员工查看来源，可能因为岗位只提供来源记录。偏差既与个人判断有关，也与环境提供的条件有关。体检应把这两部分都留下，而不是只问为什么没有想到。

只看承担也有风险。一个人热情承诺出了问题负责，接听者便跳过具体检查；后来发现他没有资源，承担只是语言。愿意认与能够认不同，能够认与本次真的完成不同，范围要继续核对。

三种缺口可能相互牵连。来源封闭，使承担主体难找；展示含糊，使来源材料无法按正确对象核对。补一项可能帮助其他项，却不保证它们全部解决。体检的结论可以是先补某项再回看，不必强行给整个事件选一个唯一缺式。

◆三、零信任：体检要对准实际实施

第十六章已说明，零信任不只做外观检查，也包含动态策略和资源权限。为了衬托三问把强近邻缩成弱对手，是不公平的比较。体检应检查具体实施哪里不足，而非仅从架构名称推断缺了哪一式。

检查实际实施，需要知道它处理哪些资源、使用什么权限关系、提供哪种复核。一套成熟安排可能已经覆盖来源、动态授权与异常处理，本书应承认；某项具体实施不足，则沿材料指出不足，不把标准本身说成只会看外观。

同样，三方程不因覆盖三个词就天然更完整。若实际表格没有资源、没有例外接收，即使三个字母齐全，也可能比已有办法薄弱。既有流程已清楚写出对象、来源与授权，新增表可能只是重复；只有出现具体空位，补表才可能增加价值。

◆四、体检之后：补哪一式

在家庭电话构想中，补独立联系比继续听声音更合适；在真实来源但授权不清的请求里，则要补授权。若只说三栏都要加强，人仍不知道下一步。每次体检应输出一项具体补核或暂停，且指明接收者，让对方知道应核什么，而不是要求提高整体警惕。

补核也可以有失败结果。独立联系暂时无法接通，得到的是尚未确认，不是已证伪；权限岗位没有相应记录，得到的是授权缺失，熟悉感填不上它。对暂时停住的事项，应说明状态与下一步，防止未知在压力下被改成通过。

具体动作要有实现条件。母亲不会查软件，家人应提供可用联系方式；员工没有资料权限，有权者应接收升级。体检若只把任务交回最初接收者，就可能把制度缺口换成个人义务。表上不仅写需要做什么，也应写谁能够做。

补核以后应回写状态。先前待确认的一项已经获得依据，就更新它，不让原疑点永久挂在个人身上；补核显示重要冲突，则按相应权限继续处理。

◆五、骗子的话术：一句一栏

"声音不好是因为受惊"解释样子，"不能联系别人"封闭路径，"出了问题再说"回避后果。本节是对构想话语的功能拆解，不提供真实诈骗统计，也不假定每句相似的话都恶意。要看它们是否共同限制了正常补问。

拆解话语时，要看它在这段会话里起了什么作用，不是建立危险词库。受惊导致声音变化可能真实，敏感事项也可能不适合广泛传播。值得关注的是，解释是否使所有独立核查都无从发生，且重要行动仍被要求立即执行。

真实求助者也应有独立帮助的路。家庭可以继续关心本人，同时暂停未确认的安排；组织可以维持必要服务，同时补核重要授权。这样，质疑某项请求不必翻译成拒绝本人。

拆解的产物是一个缺口说明。例如，当前会话解释了声音，却没有提供独立联系；要求保密，却没有给出适当复核范围。说明具体缺口后，便能提出下一步。若只得到对方话术很厉害的结论，普通人仍不知道自己可以做什么。

◆六、同一个妈妈，换一个场景，体检结果会变

谈晚饭不必升级到重大行动流程，索要资金或资料却需要不同标准。处境不同，规则不同。同一位母亲不是有时聪明有时愚笨，而是不同请求给她带来不同的判断负担。设计应让负担与后果相称；高影响事项也不必全靠她判断，家庭共同安排可以接走专业与权限负担。

处境还会变化。家人出差、原联系人不在、手机更换，可能使旧路线暂时用不上。体检应记录这些条件，再找适当替代。规则的可用性需要维护者负责，接听者没走完，并不说明其不认真。

这也约束事后叙述。知道结果以后，很容易把当时每个疑点写成显而易见。复盘应尽量保留当时可见材料与真实条件，而不是用后来信息审判最初判断。构想可以帮助说明机制，真实责任则必须靠具体记录，书中的场景替代不了。

◆七、体检也会被做成形式

若三栏预先印着正常，填写者只需签字，工具就又变成免责材料。应允许标明不知道、材料缺失和权限不足，并让这些状态引发下一步。没有异常出口的体检，比没有表格更容易制造完成感。

材料缺失，交谁补；权限不足，由谁接；出现冲突，怎样复核。没有这些连接，空格可填写也只改善了文字透明。填写者说不知道以后，事情仍需要有人推进。

还应检查工作量。每人要处理过多事项，读材料时间不足，就应缩小范围、分工或提供资源。签字量证明不了组织认真。体检如果让员工更怕承认未知，应检视奖惩条件，而不是只要求他们更诚实。

也不必重复检查同一材料。前一岗位已完成且仍适用的工作，可以按合理规则接续，后一岗位重点补自己的权限范围。新增步骤应说明新增了什么。

◆八、体检不是要把日子过成安检

只在需要行动且后果显著的事项上使用完整检查，普通交流仍可以自然进行。规则应让人少担无用心，而不是把生活所有声音都变成测试。范围缩得适当，使用者才更可能在关键时刻真的照做。

需要的是在行动越过一定影响范围时，知道转入哪条路线。范围由实际情境决定，本章没有统一金额或分数。

过度检查也有代价。真实求助被反复怀疑，普通协作被延误，使用者可能最终放弃整套办法。设计应记录这些结果，而不是只统计挡住了多少请求。当前事项获得足够依据，后果入口清楚，就可以按适当权限推进；接受剩余不确定是有范围的决定，不是疏忽。

体检可以从一项常见而重要的请求试用，观察参与者能否找到路线，哪些说法形成误读，再调整文字与分工。试用不做真实高风险动作，也不借一次顺利推演宣布有效。实际改善需要另取运行材料，延误与误拒也应进入观察。

◆九、机器在哪几栏帮得上忙

它可辅助提取请求、比对来源、检查权限材料，也能跟踪问题是否处理。工具不只属于第一栏。只是工具能作什么，需按当前任务核实；大模型会理解语言，推不出它能访问全部材料；工具给了回答，也推不出机构已授权。

输出应区分提取与确认。工具读到文字中的负责人，只说明出现了这个称呼；要确认该岗位实际权限，需要相应依据。工具找到相似页面，只提供线索；要判断当前适用，需要日期与范围。

工具也需要异常入口。内容无法归类、材料相互冲突、用户对结果有异议，都不该因为没有对应选项就被关闭。人机分工应让有权限者接住这些事项，不把所有模糊都推给最靠近用户的客服。

◆十、体检不说什么

它不决定谁有罪，不诊断心理，不代替法律责任认定，不预测某个人会不会被骗。它只帮助当前事项暴露缺口。读数若离开这一范围进入员工排名，就会迫使人隐藏未知，削弱它的价值。

它检查一次事项当前条件，不根据某次遗漏给人永久信用标签。母亲这次缺少独立路线，不代表下次所有话都不可信；机构某项入口不足，也不直接证明全部服务无效。判断应随对象和新材料更新。

记录越诚实，表面上缺口可能越多，更透明的安排不该因此被评为更差，普通人也不该按未知数量受罚。

记录保存应适当。可以保留与核查、决定和处理有关的信息，不需要把家庭闲聊或无关经历全部归档。关键是相关材料能否找到、能否理解、能否与实际事项相接。

◆十一、谁来体检

制定规则者、实际使用者和有权处理者共同审视，能减少各自盲区。接电话的人不应独自完成全部工作，维护家庭路线的人也不应承担所有秘密行动。体检是一项协作安排，不是新的个人义务清单。

接收者说明眼前请求，来源维护者提供当前材料，有权岗位解释授权与处理范围。协作不要求每个人理解全部技术，却要求各项工作能够接合，避免都以为另一位已经核过。

制定者尤其需要检查自己。入口是否可用，资料是否可取得，正常暂停是否得到保护，属于规则安排而非用户注意力。若方法只向使用者提问，不向组织提问，就会重演本书批评的负担转嫁。

共同体检还应有结束记录：补了什么、还缺什么、由谁继续。体检的产物不是一份更复杂分析，而是一项能够使用的改动。若发生分歧，应把分歧转成待确认的问题：有人认为来源足够，另有人认为权限尚不清，先说明各自依据，再由适当主体处理。多数表态抹不掉事实缺口，一项无指向怀疑也不该永久阻断。

◆十二、缺哪一式，就会在哪里失败

体检表到这里一直用来整理。它还能做一件更硬的事：预先说出一种安排会在哪里失败。规则很简单，缺哪一式，失败就出在那一式管的地方。缺E的安排没人接住后果，它可以把事前把关做得很严，事后处理却不会因此变快；缺S的安排材料显露不足，判断只能靠人硬撑，误拒和延误会先涨，误放只略降。

把这条规则用到第37章的四组对照上，就能在数据出来以前写下各组的失败模式。四组分别是：只有系统；只有人；检测工具加零信任式持续验证、但没有认账安排；认账单元。

组 缺的一式 预测的失败模式
只有系统 E（无人接住后果） 误放下降，事后有效处理时间不改善
只有人 S（显露不足，材料不全） 误拒与延误上升，误放只略降
工具＋持续验证、无认账 E 与"只有系统"同一模式：事前更严，事后不快
认账单元 三式俱全 误放与事后处理时间都改善，正常事项延误不超过事前界限

这张表要紧的地方，是它预测的不是"谁更好"，而是"各组在哪里失败"。第三组与第一组缺的是同一式，表上就写它们会以同一种方式失败：事前更严，事后不快。若实测显示第三组事后处理也明显变快，说明持续验证本身接住了一部分后果，"缺E"的判断就错了；若四组的失败模式与表格对不上，三方程在本书里就只是整理工具，应如实降级。这条预测的输赢线，写在第37章的预言三里。

回到那位接电话的妈妈。只给她装一个识别软件，她可能少接几通假电话，可真出了事，钱追不追得回、谁陪她去报案，仍然没人管；只靠她自己听，她又会因为怕被骗而错过真求助。这两种失败，体检表在事前就说得出来。

带走的话
体检先找缺口，再给可执行动作；缺哪一式，还能预先说出会在哪里失败。它检查一件事的安排，不给人贴可信或不可信的标签。

小账
：本章回指构想；表为设计，无评分、频率或效果值；失败模式表是待检验的预测，检验设计见第37、38章。

第 23 章

六路径：从「验」这一条路换到「认」「追」「改」「赔」的路

这一章的问题：开始托付一件事，可以从哪些条件进入，入口不同会改变什么？

【小区买菜群的团长】这是我构想的场景。新团长介绍供货，有的人先看菜图，有的人先找供货店，也有人先问坏菜怎么处理。同一购买，入口不同。没有一位因此属于固定的人格类型，他们只是先关注了自己眼下最缺的条件。

◆一、六条路是怎么来的

三个条件先后查看，有六种全排列。这是形式计数，3×2×1=6，不是现实行为频率，也不证明所有判断只走其中一条。本书用它帮助检查顺序带来的遗漏，它不是心理分类。

现实判断可能只看了两项，又回头补第一项，也可能三项同时出现。因此，本章用六条路提醒：先进入一个条件以后，其他条件是否还被看见。

这一区别直接影响使用。若顾客先看退款入口，后来才看菜图，我们可以描述本次顺序，却不据此判他属于承担型。换成另一种购买，他可能先核来源。入口来自眼前处境、已有知识和行动后果，不必上升为永久性格。

排列也不提供优胜排名。没有哪条路仅凭次序就天然安全，开始得早的一项也可能查错。关键是每项判断是否有相应依据，条件之间能否相接，未确认处怎样处理。

全排列还隐含一个条件：三项都作为可区分对象出现。真实界面里，一句话可能同时给来源和处理信息，用户未必分成三步，观察时别为了凑六路径把同时发生的动作强行切开。若以后做真实比较，需要记录参与者已经知道什么、界面显示了什么、实际要求什么动作。本章没有样本，也没有路径分布。

◆二、六个人，六条路

以下为六种构想入口；人名省去，避免读者误读成性格测评。

查看顺序 可能先关心什么 容易遗漏什么
样子→路径→承担 菜看起来如何 后果问得太晚
样子→承担→路径 坏了是否有人接 来源尚未独立确认
路径→样子→承担 供货从哪里来 当前承诺未必覆盖
路径→承担→样子 来源和售后 当前实物差异
承担→样子→路径 退款是否可做 来路还没有核实
承担→路径→样子 谁处理及权限 眼前异常可能被略过

第一条路从菜图出发，顾客先判断外观，再问供货来源，最后看后果处理。它有自然便利，也可能在喜欢图片以后过早停止。第二条路先看外观与售后，愿意付款前还需要核来源。两者的问题不在最初看图，而在其余条件是否被热情展示挤出视野。

第三条路先找供货店，之后看当前菜品，最后问处理；第四条路先确认来源与售后，再看实际交付内容。它们可能得到清楚机构身份，也可能因店铺熟悉而忽略这一次配置变化。来源回答从哪里来，不独自回答现在卖什么。

第五条路先问坏菜怎么处理，再看商品与来源；第六条路先问承担与来路，再检查当前内容。它们突出了出错后去处，却可能对爽快承诺过度放心。退款说得明确，仍要看承担主体有无相应权限与资源，承诺是不是针对这次交易。先认也必须继续验。

六条描述都是构想，没有测得每条出现哪种错误。表里的容易遗漏是设计提示，不是确定预测。

同一购买还可能出现回返。顾客先看来源，发现来源页已更新，于是回头读截图；先看承担，发现销售主体不同，又回头核交易关系。回返不证明他犹豫无能，而是新材料改变了问题。

表中没有列出的退出、暂缓和求助，也属于判断：看完照片发现不合用，可以停止购买；找不到权限，可以先暂停；完成不了核查，可以请适当主体协助。

◆三、我们习惯的入口，偏偏是最容易被借用的

从样子开始很自然，因为它最先到眼前。被借用的风险不意味着这种入口必然最差。图像可展示实物细节，来源和承担也可能被冒充。应检查各入口有没有延伸到其他条件，而不是宣布其中一条永远输。本书反对的是从外观跨到完整担保，不是要求使用者闭上眼睛只问负责人。

其他入口同样可能被借用。来源称呼可以模仿，退款保证可以夸张，有名机构也可能存在无权岗位。因而换入口不是躲进一块绝对安全区域，而是让最初判断能够接到独立条件。

在买菜构想中，照片看起来好，可以作为继续了解的理由；店名熟悉，可以帮助找到已有入口；处理安排明确，可以使剩余风险有去处。三项各有贡献，任何一项缺失都应具体说明。

风险还随动作变化。浏览图片没有立即支出，与预付一笔重要款项不同；一次可调整的小安排，与长期托付不同。入口强度应随后果相称。这里没有统一金额门槛，更没有证据证明某种排列对全部家庭都最合适。

◆四、从"验"，换到"认、追、改、赔"

换入口不是跳过验，而是先看当前事项是否存在有效承担，再决定怎样补核。小区团长若能说明缺斤短两由谁核、谁处理、更正如何记，就将服务承诺落实到了动作。之后仍要检查供货信息，愿赔替代不了质量工作。

认、追、改、赔可以被拆成四种实际工作。认明确主体与范围，追保留问题及处理进度，改修订导致错误的说明或规则，赔则按实际影响落实相应补救。赔不一定仅是钱，具体事项需要适当安排。这四个词不是四条额外排列，也不是按顺序必须出现的仪式。

从这边进入，是先问当前合作有没有这些去处，再补事实与来源。顾客可以问坏菜如何核对、出现差错到哪里提交、规则由谁维护。问题具体以后，团长也能说明自己只协调哪一部分，供货主体承担哪一部分。承担有范围，才不会让热心团长替全部供应风险私人兜底。

若答案含糊，可以继续核查或缩小托付，不必立刻指控对方不诚实；团长可能不熟悉规则，供货者也可能已有安排但未表达清楚。换入口是给原先容易晚问的问题提前一个位置，若实践中它使人更少认真核查，本书应承认这种副作用并修订。

追问还要允许合理拒绝。团长说明某类要求超出自己协调范围，可以指明适当入口；供货者说明某项承诺做不到，也应按实际范围表达。说清楚做不到什么，能够帮助顾客决定托付到哪里，反而减少后来对沉默的过宽理解。

◆五、每条路各有各的坑

来源清楚可能让人忽略当前变更，售后爽快可能让人忽略资金能力，照片好看可能让人忘了权限。六路径的作用，是让每个入口都看到自己的盲处。制度也应提供补问通道，使用者第一眼的选择不是最终命运。

每条路的坑，都与结论扩张有关。熟悉来源被扩大成当前内容无误，明确赔付被扩大成任何请求可接受，真实照片被扩大成实际交付保证。修补不是再增加一个抽象相信程度，而是把跨出的那一步缩回具体范围，再取得相应材料。

入口还会受界面影响。页面先展示大量好评，售后条件藏在难找位置，顾客便可能在看见后果安排以前完成付款。本章不评价真实平台，只提出设计检验：重要材料是否能从主要入口找到，是否在需要决定时清楚呈现，而不是事后告诉用户原来某处写过。

组织应提供补问，不把全部责任归到使用者没有主动搜索。使用者也应按已有说明提出具体问题，而不是要求对方保证所有未来结果。若一边无限承诺、一边无限期待，表面信任可能很高，事故后的冲突也可能更大。

对遗漏的记录要允许改善：先前只看照片，后来补了来源与处理，就更新本次状态。六路径不应成为事后证明某人一开始就错的工具。

还应记录无新增价值的情形。顾客从任一入口都能轻易取得清楚材料，问题已有成熟处理，换顺序可能不改变结果。本书若想说明新增贡献，就要找到真实差别，而不是把原有制度的完善全部归给新问法。

◆六、一家店、一个平台，该开几个入口

不必为六种排列做六个页面。关键是无论顾客先看哪一项，都能找到其他关键材料，且不会被营销界面截住。比如商品介绍旁能找到售后，售后旁能回到交易主体。入口互通，比入口数量更重要；互通是材料在事项上能够相接，不是同一宣传图到处重复。

互通也要避免循环推诿。售后页面说找店铺，店铺说找平台，平台又回售后页面，用户虽然一直有链接，问题却无处进入。需要一个明确接收位置，再由组织内部协调相应职责。

信息更新时，互通关系也需维护。交易主体变更、处理入口调整、旧商品停供，原页面应说明对已有事项有什么影响。只让新用户看到新材料，旧用户就失去了原范围。路径不是发布那天连好便永久可靠。

界面效果需要真实观察。用户能否说明自己核到了什么、能否找到异常入口、是否误把绿色标志当作全部保证，都值得检验。本章没有界面测试结果，只把问题留下；清楚设计要靠测试来证明，作者觉得清楚不算。

互通不等于无边界公开。售后需要相关交易材料，不需要把其他顾客经历全部展示给新用户；来源核查需要适当身份信息，不需要披露工作人员私人生活。若为完整路径收集无关数据，方法会制造新的负担。

◆七、同一个人，两件事，两条路

熟悉摊位买日常菜，与第一次预付大批货款，可以采用不同顺序。规则随影响范围变化，没有人能所有时候都严查，或所有时候都信熟人。更大的托付应让授权、资源和处理范围更清楚。这样的变化不是前后不一致：已有经验支持哪些部分，新增事项缺什么，分别判断即可。

既有经验也会过期。熟悉摊位换了经营者，付款安排改变，售后范围缩小，都可能触发复核。使用者需要的是可更新经验，不是永远相信或永远怀疑的身份立场。

重大事项还可能需要专业核查，六路径没有给出法律、财务或安全结论，不应被拿来绕过必要程序。相称也包括合理停止：重要条件已经确认，未决部分有范围和去处，就可以按相应权限推进。

◆八、诊断处境，不是诊断人

不要说某位家长是显露型、某位员工是承担型。那会把方法变成标签，忽略处境变化。可说这次事项从照片进入，还缺来源核对；下次便补这项。这样的描述能改变动作，也更少羞辱人。

诊断处境的句子应能指向改动。这次已找到机构，还缺当前权限；这次有处理入口，但资源范围不清。这样的说明可以被下一位同事接续；标签式描述只留下你是什么样的人。

避免标签，还能保护参与者承认未知。若某种路径被评为低级，人们可能报告自己采用了更体面的顺序，而不说真实过程。允许不同入口，要求补齐具体条件，比奖励某条路线更能保留诚实材料。

机构同样不被一种入口永久定义。某家店商品展示清楚，售后仍可能不足；补上以后，应按新情况判断。评价应有范围与时间，不因一个缺口否定全部工作，也不因一次改进免除以后检查。六路径指出了入口遗漏，却不自动给出新安排；若始终只有六条顺序图，没有事项进入处理，方法仍未走出纸面。

记录本次路径时，也应说明依据来自观察还是回忆。后来复盘容易把自己的过程叙述得更合理，无法还原的部分可以保留不确定。真实缺口比完整故事更有改进价值。

本章推出了什么可检验的东西：一条较弱的预测。六路径若不只是排列，就应当在同一批事项里看到这样的规律——人们最常漏掉的，是自己入口顺序里排在最后的那一式：从菜图进入的顾客更常漏掉谁来处理，从退款入口进入的顾客更常漏掉货从哪里来。若遗漏与入口顺序无关，这条预测就错了，六路径降为一份操作清单：先写下本次从哪一式进入，再逐项补齐另外两式，最后写明谁接住未确认的部分。

带走的话
六种顺序是检查遗漏的工具。无论从哪一头进入，重要托付都应接上其他关键条件。

小账
：六路径为三条件全排列，表与买菜群为构想，无性格调查或路径分布。

第 24 章

三原理：张力积累、形状改变、回写在认账上的样子

这一章的问题：一个办法怎样真正改变事情，而不只是把提醒说得更重？

【家长群里的一条冒名通知】这是我构想的场景。有人用相近头像发来收费请求，少数家长据此行动。发现后，群里既有人主张严罚转发者，也有人怕再不敢相信老师。单说提高警惕解决不了两边的困难，大家需要改变收费发布和异常受理的方式。

◆一、三原理是什么：一次发生的三拍

本章采用张力积累、形状改变、回写这三拍的口径。白话说，就是旧安排已经顶不住，出现新的可用安排，新安排又改变以后行动的条件。它是分析框架，不是声称任何社会事件必然按三个时间段发生。

三拍不只是把故事分成之前、当时和以后。第一拍要求指出哪些条件互相抵住，第二拍要求出现能改变动作的安排，第三拍要求新安排进入后续环境。若只按时间写三段，却没有权限、入口或维护变化，就没有完成本章的分析。

张力也不必表现为争吵。有些家长默默承担反复确认，老师私下疲于回应，群管理员尽量少发消息。这些都可能显示旧安排的负担，但沉默推断不出全部心理；构想应注明假设，也不补写人物内心来凑第一拍。

形状改变的对象应具体。谁可以发布，谁确认变化，疑点交到哪里，哪些动作允许暂停，都可以改。改变也可能只是缩小范围。若旧规则已经足够，说明更清楚也有帮助，但不把普通澄清包装成整个制度重新发生。

回写则检查改动有没有留下可用条件：参与者下次怎样找到，维护者怎样接续，失败怎样报告。

◆二、第一拍：是谁在顶谁

家长要及时配合，却不想冒险；老师要高效通知，却没法随时回答每个人；群管理员能删消息，却无权决定费用。张力需要这样具体地写，而不只是一句"大家焦虑"。把冲突位置说清，才知道哪个角色需要新权限或新支持。张力不是好人对坏人，而是不同任务在现有条件下互相压迫。

把这些任务写清，修补对象才会出现。若正式入口难找，应改善入口；若每个人重复询问，应提供共享状态；若账号变化没有确认，应补相应权限路线。只要求家长更信任老师，或只要求老师随时在线，都绕开了工作条件。

谁能改变哪一部分，应与真实权限一致：家长可以报告疑点，却不因此负责发布规则；管理员可以保留更正，却不因此保证每项收费。

如果某个要求目前无法同时满足，应说明取舍与补充路线。重要事项可以适当暂缓，普通通知继续简便；等所有人都同意才推进，往往什么也推不动。真实分歧需要被保留，不必虚构一个完全和谐的集体。

◆三、第二拍：什么变了形

构想的新安排规定重要收费只能由固定入口发布，账号变更须另行确认，家长可以暂缓可疑请求。改变的不只是提醒次数，而是入口和暂停权。若所有行为仍照旧，只把群公告写得更严厉，形状就没有实际变化。

固定入口改变了查找条件，账号变化确认改变了授权条件，暂停权改变了使用者面对疑点的选择。三项都是具体动作，是否有效需要观察。一个入口如果无人维护，确认如果只是互相转述，暂停如果仍被批评，表面规则改变而实际形状可能未变。改动还应说明旧做法哪里不足：不是所有非正式提醒都要禁止，而是重要请求需要正式状态。

新形状也可能引入新负担。正式入口不好用，家长花更多时间；确认岗位工作量不足，等待增加；分类过严，真实事项被误拒。这些结果都应进入复盘。

同一事件可以有多个试行办法，不必一次选出永久答案。试行范围、负责维护者与观察对象应明确，参与者知道它仍可修订。新安排的价值来自使用以后留下的材料。

◆四、第三拍：回写写在哪里

新规则写进现行公告、维护任务和事件记录，也影响以后谁可以发什么。回写不应只留在一次会议纪要里。使用者下次接到请求时，必须能够找到当前规则；制定者下次换人时，也必须接续维护义务。

三处作用不同：现行公告帮助用户找规则，岗位任务让工作人员知道做什么，事件记录帮助复盘知道为何改变。

规则版本应有替代关系。哪些旧说明不再适用，哪些事项继续按原范围处理，应清楚说明。已经依据旧消息行动的人仍需要处理，不能要求他们看新公告后自行忘记此前问题。

回写还包括资源。如果确定一个确认岗位，却不给时间与资料，职责便无法履行。同类异常反复发生，维护任务就应有相应支持，不只在表格中增加一行。

人员交接也是回写。维护者变化后，当前入口继续工作，未完成事项有人接续，修订理由可以回看。规则不应只能由参加过那场会议的人理解，否则新人一到，改动便逐渐退回默契。

◆五、那一晚，群里是怎么吵出新形状的

构想中，家长提出正式入口找不到，老师提出没法逐人实时回应，于是由一位有权限的维护者更新统一状态。双方要求都被接到安排，而非由一方证明另一方无知。这说明冲突有可能成为修订材料，不保证每场争吵都得到好结果。

争吵变成材料，需要有人把指责翻成具体问题。你们通知不靠谱，可以追问哪项版本不清；你们总不配合，可以追问确认路线哪里耗时。这不是消除批评，而是让批评接到可改位置。

参与者也有权不同意解释。家长认为问题是权限，老师认为问题是入口，应分别说明依据，再取得必要材料。方法要让争议继续进入核查，而不是给最会使用术语的人增加话语优势。

有权维护者的作用，是将取得的材料转成适当安排，并说明范围；岗位名称代替不了判断理由。若权限不足，应接到适当主体。

这个构想只能显示可能路线。真实冲突可能无法形成合作，也可能因为其他条件而解决，本书没有材料就不补写原因；只挑顺利故事证明不了方法有效。

◆六、回写物长什么样

它可以是一份有日期的通知规则、一条可公开查到的更正记录、一项新的维护职责。文字应说明旧问题如何影响新动作。若记录只是"加强管理"，别人无法知道下次哪里不同，也无法检验改动有没有发生。

一份有用回写物，可以让下一位读者回答：什么变了，为何变，由谁维护，异常怎么办。比如，重要请求回到指定入口，变更由相应岗位确认，疑点可暂停并升级。这里仍是设计示意，不替真实学校编收费或授权规则。

回写物应能被实际找到。规则在文件夹里，但家长不知道位置，就还没有对用户可用；联系岗位存在，电话长期无人接，处理条件也就不充分。

它也应保留修订理由。下次发现类似问题，可以知道原安排为什么这样，避免每次重新争论整个原则。理由不必保存所有私人对话，只保留与规则有关的材料和判断。

若后来发现改动没有帮助，回写物可以修改或撤回，并说明原因。拒绝失败记录，新形状就会变成只能被赞成的形式。

◆七、三拍放进一个家

这是简短类比：家人因重要请求争执，订出独立回拨和替班安排，再把联系人维护放进固定生活任务。规则不是把老人训一遍，而是改变下一次可使用的环境；纸条也不是永久答案，失败后可以再修。

家庭类比中的张力，可能是老人希望立即帮助，年轻人希望先确认，同时又没法全天在线。新安排可以增加备用联系人、明确重要请求的路线，而不是要求老人一人承担全部辨别。

回写进入日常任务：号码变化怎样通知，备用人不在谁补位，发生异常后怎样报告。若号码早已失效，要求老人按纸条做，只把共同缺口变成个人失败。

家庭也需要修订条件。某次等待耽误真实帮助，应检查替代援助路线；某次误信造成损失，应检查独立确认是否可用。两种结果都进入复盘，避免防护只关心挡住请求，不关心真正需要帮助的人。

这段类比没有实施效果，只是把回写从口号放到生活环境：下一次发生相似事项时，参与者能够使用新的条件，而不必重新经历同一场责备。

◆八、三原理为什么叫引擎

只有看见冲突，没有新安排，会停在抱怨；有新安排却不进入生活，会停在设计；进入生活却不记录后果，会停在僵化。称为引擎，是强调动作之间要接上，术语本身推不动任何事情，实际工作仍要人去做。只看第三拍，也可能维护一个已经不适用的旧规则。

方法还需面对旧制度。已有安排完成了材料接收、权限调整和持续维护，就应承认其贡献，不因为没用三原理名称就说没有发生。本书的新增价值若存在，应显示在看到了此前未见缺口或改善了具体动作上。

反过来，新问法若增加语言负担，却没有帮助推进，也应允许停用。学习者能够背出三拍，不足以证明系统条件改变；使用者的困惑也不该全部解释成尚未理解理论。

◆九、另外两个相位

现实中，也可能先有一个试行安排，使用后才显出张力；还可能先接收外部纠错，再回头改变入口。次序可以交错。三拍帮助追问，不强迫叙事；为了找到张力积累，把此前未记录的矛盾补成事实，是造假。

也可能有回写却没有新形状。机构记录教训，但行为与资源未变，记录就停在说明；也可能有形状改变却未维护，短期试行随后消失。交错不取消检验。

现实中的多次循环也应按材料保留。第一次改入口，第二次改权限，第三次补资源，可能各解决一部分。把最后成果回填到第一版规则上，就制造了一次就成功的故事。

构想可以设定情形，真实案例只能取已有材料。方法越强调发生，越要认真记录变化怎样出现，而不是用发生一词把具体过程省掉。

◆十、认账上最常见的三种断拍

只怪接收者而不检查规则，只设新流程而不授予权限，只道歉而不维护记录，都是本书推演的断点。它们尚无频率读数。修补要找其中一处具体断开，安排下一项可检查动作，不需再添一个更大的口号。

只怪接收者，要补规则与工作条件检查；只设流程，要补权限与资源；只道歉，要补可使用的修订与接续。它们可以同时出现，也可能分别出现。标题中的"最常见"只是强调，本书没有频率调查；未来若取得真实样本，才可比较出现频率。

修补以后要看下一次。新入口是否有人用，暂停是否受到保护，更正是否回到传播路线。若这些没有变化，工作就没有完成。

放在家常服务里，方法可以缩成普通问句。对方是否有能力、本次范围是什么、出了问题怎样接收，都需要具体回答。三拍帮助组织改规则，日常使用则要让参与者听得懂、做得到。

◆十一、认账在前，显露在后：三方程推出的一个方向

三方程里有一式最容易被略过：S＝F(D, E)。显露是路径与纠缠的函数。按这一式，一条消息在屏幕上显出什么样子，不是从外面掉下来的证据，而是由它走过的路和它背后的承担关系共同决定的。验真思路把S当作独立的证据来源，只问它真不真；三方程则说，S会随E变：改变谁来承担，显露层与路径层就会跟着改，而且改在承担被指派的那条路上。

这个方向不是本书的新发现。安全经济学已经说过，预防投入会沿着损失落点分布。[29]本节把它放进三方程，只是为了说明S＝F(D, E)在信任上不是一句空话：它与一条已有实证支持的规律相合。它在本书里的身份是复现，不是新预测。

英国的强制返还制度给了一个复现的机会。[24]它只覆盖英国境内账户之间的快速支付与CHAPS付款，国际汇款不在其内。复现要排开三个混杂。第一，收款人核对这类措施本来只存在于境内清算路径，境内诈骗的基数也远大于国际汇款，直接比较两条路径的措施条数，承担没有任何作用也可能出现差别。第二，英国在同一时期另有规定，允许付款机构在有合理理由怀疑诈骗时把付款延迟最多四个工作日。[25]第三，2019年起已有一部分机构自愿实行返还守则，规则生效前的基线并不干净。

因此预言四改用前后对比加路径对比的差分设计：比较同一批发送行在规则生效前三年与生效后三年里，各自在境内覆盖路径与国际汇款路径上新增的面向付款人措施；看的是"生效后减生效前"的增量，在覆盖路径上是否明显大于在未覆盖路径上。法定许可的延时单列，不进主比较；生效前已经存在的措施不计为新增；已加入自愿守则的机构单独报告。

输赢线见第38章与附录三。若差分不成立，S＝F(D, E)在信任上就没有得到这次复现的支持；它成立，也只说明本书与安全经济学说的是同一个方向，不为本书增加新颖性。本书新颖与否，押在预言五上：设计见第37章第十节，输赢线见第38章。

本章推出了什么可检验的东西：两条。第一条是上一节的预言四，定位是复现检验。第二条并入预言一检验。回写原理若不只是叙事，就应当看到：同样完成了有效公开承担的事件中，留下规则回写记录的那些，12个月内同类复发少于只做了个案补救的那些。这一比较放进预言一的辅助记录，样本不足时写未能检验。张力积累与形状改变两拍，眼下推不出独立的可检验预测，标为操作清单：写下谁在顶谁，写下改了哪一个位置，写下改动记在哪里、由谁维护。家长群那张收费卡片，就按这三行来查。

带走的话
认账要留下能改变下次行动的安排。没有可使用的修订和维护，新说法还没有成为新做法。

小账
：群与事件为构想；三拍按SDE发生学口径使用，无实施读数或必然性定律。

第 25 章

把要不要信，改成出了错谁认

这一章的问题：当靠不靠谱问不出完整答案，怎样在一件家常事上补上后果问题？

【热水器不出热水了】这是我构想的场景。邻居介绍修理师傅老张，头像和聊天都让人放心。预约时，住户还需要了解工作范围、收费确认和返修入口。本章不提供热水器维修操作，只研究这项服务怎样变成可托付的安排。

◆一、两个问题，其实不是一个问题

师傅是否有合适能力，出了服务问题怎样处理，都需要回答。第二问取代不了第一问；师傅愿意承担，必要资质照样要看。可信行动由能力信息和后果安排共同支持，任何一项空白都需要补充。

住户问老张靠谱不靠谱，可能同时在问技术能力、收费是否清楚、时间是否合适、出了问题能否找到人。一个笼统肯定回答，无法知道哪项已经得到支持。把问题拆开，不是增加不信任，而是让双方的不同理解有机会在行动之前对齐。

能力需要相应资料与专业判断。邻居的一次满意经历可以提供线索，却替代不了所有必要条件；愿意处理返修，也证明不了本次一定适合由他完成。能力问题应交到适当专业范围，不以责任条款弥补明显不合适的服务。

后果安排则帮助面对剩余不确定。即使有能力，也可能遇到未知情况，双方需要知道问题怎样提交、范围怎样核对。两问相接，才能让服务既有事前依据，又有事后去处。

在构想里，住户可以保留这样的状态：已了解某项能力信息，本次范围仍待说明。对方态度好，未知也还是未知；还有未知，也不等于欺诈。

◆二、改写的办法：一问换一问

不必问抽象的你靠谱吗，可问本次处理哪些事项、怎样确认新增费用、出现同类故障怎样联系。问题缩到具体服务，就减少双方对"靠谱"的不同理解，虽然保证不了任何承诺必然兑现。住户问老张的，于是不再是"你靠不靠谱"，而是"这次换的是哪个零件，修完半个月又不出热水，找谁"。这里是服务范围问法，不是维修诊断。

问题应避免暗中扩大承诺。例如，问处理同类问题的入口，不应后来解释成任何故障都免费处理；问当前收费范围，也不应当作未来所有服务价格不变。方法保护可追问的承诺，不制造无限权利。

回答也可以包含"暂时确定不了"。先检查后才能说明范围，或某项问题需其他专业人员判断，都可能合理。重要的是下一步有条件、有权限；用"暂时说不准"维持模糊行动，却要求住户立即接受全部费用，就越界了。

◆三、认账的名字，写在哪里

写在对应服务记录上，连接真实经营主体与接收入口。不要只是留一个昵称，也不要求公开师傅私人住址。若平台和实际服务者不同，应说明哪个问题由哪一方接，避免顾客在两者之间反复转圈。平台页面显示品牌，未必说明具体服务范围；需要把本次对象、授权关系和接收入口连在一起，而不是只收集更多身份照片。

记录也应保留时间与版本。后来新增事项，双方确认范围变化；费用调整，说明与原安排的关系。事后悄悄替换首次约定，或把后来的口头变化当作从未发生，都是失信。

平台与服务者可能承担不同工作。平台接收某项争议，服务者解释具体技术范围，两者需要交接。顾客不应因不知道内部关系就无处求助。入口清楚以后，真实责任仍要按材料与适用规则判断，本章不提前决定哪一方应赔多少。把追问对准本次服务的机构信息、岗位与记录，能够同时保持处理条件与适当隐私。

◆四、让智能助手也答这一问

助手可以整理服务范围、提醒缺失条款，但它说"出了问题找平台"必须有可靠依据。没有核到时应标明"尚未确认"，不补写保证。助手的角色是帮助提出和记录问题，具体承诺仍要由有权限的服务主体确认。

助手可以先提取已知条件：谁提供服务，本次谈了什么，哪些费用已说明，后续入口是否有可靠依据。提取与验证要分开。助手读到"找平台"四个字，证明不了平台已承诺接收该项问题；需要取得相应当前规则或主体确认。

资料没有提供，就把缺口转成一个具体问题，让用户向有权限的服务主体确认，而不是给出猜测保证，或让用户以为它替自己完成了所有专业核查。

助手还应保留变更。用户后来补充新范围，记录相应更新；主体说明某项不在承诺内，就不该为了让文本更好看而删除限制。清楚边界可能使结果不那么令人安心，却使判断更准确。

对助手自身输出也应可追问：引用的是哪份材料，哪部分是整理，哪部分仍未确认。没有来源的服务规则，不因由机器说出就更有依据。

◆五、对方答不上来，怎么办

答不上来可能是不熟悉流程，也可能确实没有安排。可以请对方补资料、降低服务范围或暂缓；不必立刻指控诈骗。重点是不要把未知悄悄写成已确认。涉及安全或专业判断的事项，应交相应专业人士处理。

答不上来的原因可以继续分。对方知道安排但表达不清，可以请其补充；前台没有权限，可以找适当主体；服务本来没有相应范围，就要据此决定是否缩小或暂缓。不同状态都叫"对方不愿负责"，修补动作就失去了方向。对明显超出能力的请求，也不应因对方愿意签字便继续，责任语言消除不了客观专业条件。

住户可以接受有限服务，但应知道接受的是什么。对方只负责当前一项工作，其他事项另找相应主体，明确边界可能合理。问题在于边界是否事前可见、是否与实际表达相符，而不是等发生影响后才重新缩小承诺。

也应给对方更正机会。第一次答复有误，后来提供可靠说明，记录可以更新，不把最初不熟悉流程当永久人格标签。

◆六、怎么问，才不得罪人

可以说明自己需要记录，免得双方以后记错。将问题对准本次服务而非人格，通常更容易沟通。对方也有权说明哪些不在范围内。边界清楚能够保护双方，有时比反复强调请相信我更有助于合作。

语气温和代替不了内容。双方聊天愉快，仍要知道本次范围；问题问得很客气，对方仍没有说明，缺口也还在。真实利益分歧可能存在，需要的是分歧能够被明确，而不是只追求气氛和谐。

服务者的合理拒绝同样应被听见。普通师傅不该对采购、平台规则和其他人使用方式的全部后果私人兜底。有限而有依据的承担，与含糊而豪迈的承诺不同。

若双方仍对不齐，可以缩小事项或选择暂不推进。停止合作不一定是信任崩塌，也可能是边界清楚后的合理选择；方法的目标不是每次成交。

◆七、推荐，也是借名字

邻居的推荐应说明他知道的经验，不应被理解为替每次服务担保。推荐者可以帮助联系，服务主体接受专业事项。若事后所有问题都先找邻居，说明真实接口没有建立，人情在替组织填空。

邻居说上次维修响应及时，支持那一次响应信息，不自动证明这次能力与收费。若师傅失联以后顾客只能找邻居，修补应回到经营与处理关系，不只要求邻居以后谨慎介绍。

邻居也不该否认自己作过的具体保证。如果明确表示某项已核实，后来需要据材料说明依据；有限责任不等于所有推荐都只是闲聊。范围与实际表达对齐，既保护帮助者，也保护听取推荐的人。

人情仍可保留。关系帮助人找到合适线索，制度帮助具体事项持续处理，两者可以相接。出路不是切断推荐，而是使热心不必承担组织缺口，让没有熟人关系的人也能找到同样的服务入口。

◆八、他要是随口说一句呢

口头答应可能被双方理解不同。重要事项可以用简短记录确认，写清对象和范围。记录不是凭空创造承诺，而是让已经表达的意思可复核。没有授权的客服回复，也不应被自动当作机构无限赔付保证。

师傅说有事再找我，可能指愿意再查看；住户却理解成全部免费返修。确认不必写成长合同，也不借确认补进对方未作承诺的内容；文字确认应让对方看见并有机会纠正。单方面在自己的笔记里写下无限保证，不等于双方已有约定；对方没有回应，也不等于接受。具体效力涉及真实制度与适用要求，本书不作判断。

客服回复也有权限范围。一个前台为了安抚说都能处理，若没有相应授权，顾客需要机构澄清，组织也需要检查话语为什么越界。顾客不该独自猜测每句是否有权。

事后出现分歧，可以回到记录逐项核对：当时说了什么，后来改变什么，当前哪些事实得到确认。记录帮助协商，不保证自动胜诉或获得全部要求。

◆九、认账不是替罪

师傅只对自己决定和完成的范围接受处理，平台也承担自己承诺的部分。最靠近顾客的人，不该承担系统、采购和管理的一切后果。安排需要把范围接到真正有控制能力和资源的主体，第十九章的保护在小事里同样重要。老张换上的阀门若本身有缺陷，他该认的是自己的安装那一段，采购的那一段要接到供货方。

反过来，师傅对自己实际决定的部分也应接受追问。说明范围不等于从未负责；平台也无权借服务者独立工作，否认自身作过的承诺。各方有限责任应与行为相称，由同一事项记录连接。

处理资源还要实际可用。一个指定联系人没有决定渠道，替机构接不下所有结果；一个承诺赔付却没有相应条件的人，仅凭诚意也构不成有效接口。本章不提供保险或赔付方案，责任安排需真实主体按适当要求确认。

公平的接口保护双方。顾客可以提交具体问题，服务者可以提出有依据的异议，机构接收并说明处理范围。谁先喊受害，并不自动正确。

◆十、小事上练，大事上用

从日常服务学会问范围、入口和资源，可减少重要事项时的慌乱。不过大事不是把同一纸条放大就够了。风险越高，专业核查越必要；本书的方法帮助组织问题，不替代专业判断。

小事练习的价值，在于形成具体问法。先知道本次对象，再问范围与入口，缺材料时能够说明还未知。这样的习惯可能帮助重要事项中的沟通，但没有本书的实测结果证明迁移效果，它是可练方法，不是已经验证的万能防护。

大事需要更多条件。涉及重要资金、资料或专业安全时，核查与授权由真实业务要求决定，而不是把维修记录放大。愿意负责替代不了适当资格，写名也替代不了资源。

练习以后可以检查自己：已确认到哪一步，尚缺哪一项，异常由谁接，能否用普通话说明？共同原则是：重要托付既需要认真核查，也需要在判断可能出错的地方留下可兑现去处。

练习也可以得到无需改动的结论。原有服务已经把能力、范围和入口说明清楚，就保留它，不为展示方法而追加手续。旧安排的可靠不该归作新理论的成果。

带走的话
把靠谱拆成能力、范围和处理入口。问题越具体，双方越容易知道自己真正承诺了什么。

小账
：住户、老张与服务为构想，无资质核验、维修诊断或实际赔付。

第 26 章

事前认账：钱汇出之前就写下名字

这一章的问题：可否在行动前明确后果安排，并让它改变系统的使用方式？

【出纳手里的一份换账号通知】这是我构想的场景。小贸易公司收到供应商变更收款账户的通知，格式完整，采购说认识对方。财务主管老陈要批准时，发现记录只问可不可以付，没有问变更怎样确认以及发现错误后由谁处理。

◆一、一串"同意"，没有一个"我认"

同意可能仅表示某个局部条件符合，也可能表示最终授权。若记录不区分，事后人人可以给同意缩小范围。事前应让决定者说明本次授权的对象、依据与例外，不把一个词用于所有层次。

审批链里每个人可能都说了同意，所指却不同。采购确认供应商名称，财务核对金额，主管批准当前动作；若记录没有范围，后来便容易以为上一位核过全部事项。本章要求分工输出能够接续，不把局部完成扩成整体通过。

老陈看到格式完整，可以认可文件呈现清楚，新账户是否获授权却还没有答案。采购说认识对方，可以帮助找到原有联系，却也证明不了当前变更。缺口在几个有限判断之间，签字量增加未必补齐。

同意也可能是附条件的。补核某项材料以后才推进，与现在直接执行不同。条件要在记录和实际流程中保持，而不是口头说过便消失。若下一岗位看不到条件，就可能把谨慎决定转成无条件放行。

主管写着仅限原账户，系统却允许选择任意对象，文字与动作便分离。执行前应让相应范围可见，出现变化能触发复核。这里不规定具体软件配置。

◆二、事前认账：把名字写在钱出去之前

事前认账不是提前承认犯罪或最终法律责任，而是明确谁作决定、接受哪种后果处理义务。它连接组织资源和处理权限。员工签字不是自愿私人赔偿，这种扩张与本书保护执行者的目的冲突。

事前认账首先建立决定身份：谁有权批准当前变化，他取得什么依据，未确认部分如何处理。它还需要资源与接续。授权者决定接受某项例外，应知道后续异常由哪个机构接口接收，能够使用什么条件。写一个名字不创造这些能力，员工的谨慎或勇敢补不上安排缺口。

承诺应与当前事项相称。例行付款与账户变更不同，授权同一对象也不等于所有后来对象都可接受。事前记录保留对象、版本与范围，使后续工作不用猜测原批准的含义。

◆三、粗粒度：不逐条验，先分级

既有账户的例行付款与新账户变更应区别处理。对例行事项可以简化，对影响授权的变化则补独立确认。异常应能够越过原类别进入复核。分类条件由组织按实际业务确定，本章不提供固定金额门槛，也不对实际支付程序作合规判断。

熟悉供应商，分类照样有效。人确实认识，账户仍可能有误；文件来自可靠渠道，变化仍可能超出提交者权限。分级关注当前动作改变什么，不只看发送者平常是否可信。

原来归为例行，后来发现对象变化，就重新适用相应路线。为了保持处理速度把重要信息继续留在低影响类别，或因不确定便升级全部事项，都是失衡。相称分类需要维护，并记录实际误放与延误。

◆四、认账条上写什么

写事项、关键依据、未确认部分、决定岗位、异常联系人以及处理资源。若有例外，写例外理由和复核节点。篇幅可以很短，但不只是一句"本人负责"。责任范围越含糊，签名越容易被滥用。

认账条的第一项应是具体事项。向哪一对象执行哪项动作，依据哪一版本，都要写明，而不只写"本次付款"。对象含糊，后来的材料便难以连接；版本缺失，页面更新后也难以知道当时批准了什么。

未确认部分同样重要。独立确认尚未取得，权限范围有待说明，都应显露。空白不等于通过，更别为了表格完整填入推测答案；授权者可以按适当规则决定暂停或例外，但必须知道自己接受了什么不确定。

异常联系人与资源说明则接到后果。谁接收问题、谁能复核、哪项安排可用，至少有清楚路线。只留一位无权客服的联系方式，再称组织已负责，是空认。对外可以统一接收，内部可以分工，交接应由机构完成。

例外应说明为什么当前无法按一般路线完成，以及接受范围到哪里。主管批准本身不是理由；组织接受某项不确定，也不意味着员工从此可任意执行。例外的作用是使特殊事项得到有依据的决定，记录越清楚，越能防止一次特殊处理扩成长期隐含许可。

◆五、名字这一笔，怎样改变人用系统的方式

它可能促使决定者阅读系统限制，也可能只增加敷衍签字。决定者知道之后要解释范围，可能更认真读取缺口；若工作量太大、签字被催促，也可能只照旧盖章。这里两种都是机制可能，没有本书实施数据。设计上应让看不见的材料成为显眼缺口，让暂停受到支持，并记录实际补核动作。

观察应看具体动作。关键材料是否被阅读，疑点是否触发补核，暂停是否得到支持，例外理由是否真实留下。签名出现次数不是这些动作的替代指标。若只考核完成表格，参与者可能把真实未知藏起来，方案反而降低透明度。

组织也应检查实现成本。读取材料需要时间，补核需要渠道，处理后果需要权限。把新负担全交给决定者，再用他的署名证明组织完善，只是把形式责任重新个人化。

被拒绝的事项也要进入观察。若只看顺利通过者的记录，把无法取得资料或长期等待的人排除，效率与可靠性都可能被高估。保留未完成状态，不直接认定组织错误，但使评估能够看到方案尚未接住的部分。

◆六、反方：这不就是多一道手续吗

如果原有审批已经说明范围、权限和补救，那确实可能没有新增价值，本书应让路。若旧审批只确认金额，新增记录可能填补授权空白。给旧制度改名制造不了创新，必须指出原流程缺哪一项，以及新增安排是否在真实运行中补上。

若后续入口已经存在但难找，改善连接可能比再加一张表更有效。解决方式不必固定为认账条，具体工具应随实际工作条件选择。

比较还需完整计入成本。等待、重复提交、员工工作量与正常业务延误，都可能受新增安排影响。没有改善，或改善不足以支持成本时，应修订。旧制度也不因较早存在就被假定没有价值。

比较新旧办法时，应保持业务条件尽可能相称。新办法只处理简单事项，旧办法处理所有复杂变更，再宣称新办法效果更好，是作弊。本章没有比较数据，因而只提出这些约束，不给优胜分数。

◆七、写了名字却没看的人

签字快不代表决定有依据。复核可抽查具体事项是否真的看过关键材料，不按签字数量奖励。

签了但没有看，可能是个人未履行，也可能是任务根本无法按现有条件完成。复核应取得材料，区分两类，不由结果直接定责。工作量超过合理能力，应调整范围与资源，而非用员工签字证明组织已尽责。

抽查应围绕具体事项。能够说明当时对象、依据和未决条件就够了。记录不应强迫人事后编写完美过程；记不清、材料缺失，可以如实保留，再看为什么未留下必要信息。

若发现系统性敷衍，应检查表为何失去作用。重复栏目太多，关键缺口不显眼，签字只为追求时效，都可能值得研究。本章没有真实原因频率，不替任何机构归因。

检查目的应是改进真实决定，不是增加人员恐惧。按签字速度排名，可能鼓励少看材料；按报告缺口数量惩罚，可能鼓励隐藏未知。本书的读数用于观察制度处理，不作为员工可信度量表。

◆八、最古老的认账条：借条

"最古老"只是类比标题，本书不作历史年代断言。借条给本章的启发是把事项、对象和承诺固定下来，但付款授权与借款不同，推不出同一法律效果。正文只取有限启发，避免从熟悉名词借来未经核实的权威。

固定事项也不意味着全部争议自动解决。真实文字仍可能有范围理解、后续变化与执行问题。记录为核查提供起点，若把写下来当作已经兑现，就会把本书前面的证据范围错误再犯一次。

这个类比的用处，是让当前承诺能够回看。限定越具体，双方越知道还缺什么；限定越含糊，名字越容易被后来扩大或缩小。

◆九、认账条里的三件工具

记录让样子与来路可查，让承担范围可见；分类决定从哪里开始补核；事件复盘把问题回写到下一版规则。这里不再增加术语，只检查具体动作有没有接上；只得到三份文件，却没有后续动作，方法仍未完成。

记录也要能够更新。补核完成，修改待确认状态；新材料改变判断，保留版本；责任岗位变化，接续未完成事项。首次表格不是永久事实，更新后也别消去旧决定。

分类与复盘相互帮助。某类变化反复进入例外，应看分类是否太粗；某项复核总卡住，应看权限和资料是否不足。方法提供问题位置，决定仍由适当主体作出。

◆十、叫停的权，是替小林撑的腰

本章执行者可以因重要信息缺失暂停，不必通过猜主管心情决定是否多问。暂停进入正式复核，不自动记为拖延。组织把这项权说清，才使规则在被催促时仍可能有效。

小蔡或小林发现关键条件缺失，可以暂停相应动作并说明原因，有权者接收后决定补核或其他适当安排。执行者不必先保证自己一定判断对，才被允许暂停；疑点的意义正在于尚未确定。

保护暂停也需要时效与接续。有人响应、缺口有范围、后续有人推进，才能避免业务无限停住。暂停者不应私下承担所有协调任务，转交工作应留在流程中。

若压力迫使员工跳过暂停，应记录组织条件。主管催促、资源不足或规则冲突，都需要进入复盘。责任不只在出错后要求员工坚持原则，也应在事前使原则可以使用。对真实偏离规则的动作，仍据材料分析，不因保护暂停而取消已有职责。

◆十一、这个位置上，为什么是人

有权主体能解释决定，并对实际后果接受追问。它可以借自动工具完成许多步骤，也可以是机构指定的岗位。重要的是有效责任身份，不是每一步都必须手工。技术完成得多，授权也不该无人；强调人，也不该抹掉自动化的真实贡献。

责任身份需要可接续。岗位变更，事项仍能找到，资源使用与复核仍有路线。员工离职不应使已经批准的范围消失，新员工也不必用私人保证重建所有记录。

事前安排到这里仍是设计提案，没有实施效果。是否减少错误、是否增加延误、是否保护执行者，都需另取资料。事情发生以后，仍需区分接收、纠正与最终完成，不让事前签名成为事后免于回应的理由。

事前安排也不保证事后一定兑现：权限可能变化，资源可能不可用，机构可能拒绝接收，后来要核实际动作。两者接起来，才能使事前认账成为工作条件，而不是新的安心外观。

带走的话
行动前写清对象、例外和处理权，才能使同意有明确范围。签字不该把机构风险变成员工的无限私人负担。

小账
：公司、账号变更和认账条为构想；未提供真实金额或员工责任规则。

第 27 章

事后认账：公开纠错、赔付与改规则

这一章的问题：事情已经出了，怎样的回应才是真正接住了后果？

【两个小区的同一个晚上】这是我构想的对照。两处都出现了错误缴费消息。一处只删图并提醒防骗，另一处说明本方确认过的错误、公布处理入口，纠正已误导内容并安排复核。这个对照展示动作差异，不宣称后一处已测得更低复发率。

◆一、认账不是道歉

道歉可能必要，但还要有具体事件、有效主体和可核行动。公开说正在研究，不等于已补救；明确纠正错误日期，则可以是一项已发生行动。评价应跟着实际范围走，不用情绪真诚替代处理结果。有效承担需要把事件和动作连接：错误通知哪一部分得到确认，现行信息怎样改正，已经受影响的人到哪里继续处理。

构想中的两个小区，差别不在谁说得更好听。一处删图，使错误不再显示，却未必通知已据此行动的居民；另一处保留更正关系，明确已核范围与接收入口，使问题能够继续。这个对照只展示机制，未取得真实成效。

道歉与承担可以同时出现，也可以分段出现。事实尚未全部查明，可以先说明已知状态；已确认某项错误，可以纠正，不必等所有争议结束。先行处理一项，并不说明其他影响已消失。

公开承担还应与私下处理连接。机构内部已经作了某项纠正，受影响者却不知道，仍可能继续按旧信息行动；对外宣布已经处理，内部实际动作尚未发生，也算不上有效。

◆二、一把尺：认账时距

认账时距从事发到有效具名主体公开接住本方确认的后果计算，以天为单位。有效承担应绑定已落实的纠正或补救，空认不计。最终赔付完成可另行记录，但为了快把尚未兑现的承诺当成全部完成，就是作假。

认账时距的起点与终点需要同一取法。事发时间如果存在区间，应保留区间或不确定状态，而不是为了精确外观补一个日期；公开承担如果只是将来承诺，尚未绑定落实动作，就不计为有效终点。本章没有真实读数，完整规则在后文继续展开。

终点还要检查主体。岗位能否代表机构，资源是否可用，已承担哪一事项，都是内容条件。一个无权员工快速签字，不使机构更早有效承担；一个有权主体纠正已知错误，也不一定代表最终赔付完成。不同状态要分别记录。

没有达到终点的事项应留在样本中。只计算已经处理的事件，把一直无回应的删除，再说平均很快，是本书明令禁止的算法。未完成可以记录持续等待，具体统计办法后文另作限制；保留它们不是提前判定每件都由机构造成。

指标也要接受失效条件。若时距解释不了后续结果，或者主要反映事件难易与资源差异，就应缩小用途。本书将其作为假说。发生、发现、公开与承担可能相隔，后文取法要明确采用哪一种，在不同事件中随意切换再把天数拿来比较，结果毫无意义。

◆三、先让路：责任追究这条路，前人走得更远

本书承认既有问责和责任研究的积累。它没有资格用一把新尺替代责任认定。读数只提供事故处理的一个侧面，能否预测更好结果仍待检验。读数短不等于法律责任少，读数长也不自动证明恶意；它不替完整赔付、程序公正与制度学习评分。

短时距可能来自事件简单、材料充分，也可能来自机构积极；长时距可能来自复杂核查，也可能来自无人推进。时间推断不出动机，比较应记录条件，不让透明度较高的复杂机构因公开更多事项反而被简单排名。

同样，快可能有负面激励。为了得到好读数而早认空认，或者把普通员工放在前台，都需要被排除或另外记录。指标使用方式属于设计本身，副作用不该全部归给误用者。

◆四、赔，不一定是钱

错误消息可能需要公开纠正、恢复资格、返还资料或重新提供服务。补救应与实际影响对应，机构挑一个最便宜的动作，并不算完成。与当事人有关的范围还需听取反馈。这里是一般设计说明，不为真实事件规定法定救济。

发一份公告可以修正公共信息，却未必接住个人已经发生的影响；返还一项费用，也未必说明错误为何发生，单一动作结算不了全部后果。

当事人的要求也可能超出事实或范围，处理者可以给出依据与适当复核，而不必无限满足。可信补救是让问题进入有理由、可追问的处理。

补救完成也应允许当事人提出具体异议。机构说已经恢复，使用者仍遇到原障碍，可以提交相应材料继续核对。内部状态已结案，外部问题未必消失。

◆五、认账来得太晚，会怎样

人可能重复提交、错过安排或把误导进一步传播。这里是机制推演，本书没有损失曲线，不推算多等一天造成多少损害。及时公开已知状态可能减轻一些负担，是否改善后果仍需相应材料；完整调查尚未完成时，也不必在沉默和无根据认全责之间选择。

有些时间用于必要核查，不应简单压缩。比较应区分查证活动与无解释停滞，保留下一步与阻碍。组织可以说明还缺哪项材料、由谁取得、什么时候复核状态，而不是用正在处理长期代替一切信息。

早期说明也应避免过宽。未取得事实时认下全部，后来撤回，会造成新的误导；完全沉默，又可能让已知影响继续扩大。分段回应把已知、未明与已落实分别显露。

◆六、认账认错了怎么办

机构应能更正原承担范围，保留版本和原因。若新证据说明某部分不同，就说明变化，而不是悄悄把第一次公告移除。哪项原判断被新材料改变，哪些承担继续，哪些不再适用，都要写明。版本记录使当事人知道为什么更新，也帮助以后评估最初速度是否以错误为代价。

读数要保留原时点及其后来是否被撤回：一次后来证明无效的承担，不该仍被毫无说明地计作优良终点；一次部分有效的动作，也不因另一部分改变便全部删除。具体计法按后文预先规则执行，作者无权为了漂亮结果临时选最有利版本。

新可靠材料出现，诚实修正可以是负责的一部分；把所有修正都当失败，会鼓励机构固守已知错误。

◆七、认的是我这一段

组织可以先承认自身确认的错，不替所有参与者作责任决定。范围应足够具体，既不含糊扩张，也不故意缩窄。不同主体的承担可以接在同一事项记录里，受损者无须替他们完成内部责任协调。

原内容发布错误、授权记录不清、处理延误，各有不同范围。机构不该把自己实际作过的关键决定缩成只是转发。对外有明确接收，内部各自核查职责，分工不应成为让用户逐个找人的理由。

范围争议仍可存在。某项影响与何种动作有关，需要材料支持，无法确认可以保留未定。有限承担的诚实在于不扩大也不抹掉已知，边界变化应说明理由，而不只挑对机构有利的部分更新。清楚局部处理，有时比豪迈全认更可靠。

◆八、三件工具回头看一遍

看清当前事实和来源，明确哪一段由谁接，修订允许错误流出的规则。三项合在具体行动里，方法才有用。若纠错公告仍引用旧错误，或者规则修改没人维护，处理就尚未闭合；只把三组术语写进公告，什么也没有改变。

错误更正要回到传播路线，规则修改要接到维护岗位，未完成事项要保留下一步。公告清楚，仍可能无人处理；处理了一人，仍可能错误信息继续流转。

闭合也不是永久终结。当前事项完成以后，新的可靠材料或相似异常仍可进入。所谓处理闭合，只是既定范围得到落实，不是组织从此免于追问。

处理过程中取得的材料，也可能反过来纠正最初解释。原先以为内容错误，后来发现是当前适用范围变化，应把问题类型更新。承担事项更清楚，后续规则修订才更有针对性。

◆九、认账的主体，不是经理一个人

经理可作为公开接口，实际资源和延续义务由机构承担。岗位换人、经理离职，不应使处理消失。机构可以说明接续机制，而不必将组织所有秘密公开。责任可追问与个人隐私保护可以同时安排。

经理作为接口，需要机构确认其权限与支持。对外具名使问题可找到，内部资源使处理可完成。两者分离时，经理可能成为缓冲区：被所有人追问，却推不动结果。岗位应连接机构，而不是个人替机构承诺全部后果。

人员变化后，已有承担不会自动消失，未完成事项交给继任岗位；机构可以公开新的联系位置，不必曝光个人私人资料。

经理也可以诚实说明限制。需要其他主体决定的部分，给出正式升级；掌握材料不足的部分，说明补核。限制不等于免责，只要已有范围继续被履行。空泛全包而无法兑现，比有限具体的处理更可能增加后续冲突。

◆十、读数不进个人考核

若按快慢奖励个人，就可能鼓励早认空认，压缩必要核查，甚至找弱者背锅。读数用于审查制度处理，不用于人员排行榜。事件难易、权限范围与资源条件可能不同，简单按快慢排名会鼓励人选择容易事项，隐藏复杂等待。

制度观察可以记录处理速度，同时看内容、误拒、未完成与修订结果。为了增加维度再做一个未经验证的总分，或用分数替代具体解释，都会让读数变质。

若组织确要评价工作，应使用与职责相称的真实材料和适当程序，本书读数不作惩罚依据。员工完成接收与升级，未必控制最终时间；管理层决定资源，也应有相应责任。指标不该只向最易观察者追问。

◆十一、认账之后，还有一件事

保留纠错记录并检查它是否改变下一次行动。负责岗位可说明改了什么、谁维护和何时复核。一次处理有意义，不等于后续效果已证。记录的存续是辅助观察，复发才是另需检验的结果。

原更正入口失效，用户无法解释旧决定，后果处理便失去连续性。保存目的与范围要清楚，不无限归档私人资料；与纠错、复核和后续修订有关的内容，应有适当接续。

改规则要说明实际改变。入口更新、权限调整、资源补充或提示修订，分别对应什么缺口。写一句"加强管理"，下一次动作并不会不同。参与者应能找到新条件，也应能报告它仍不足。规则维护是持续任务，不是一次公告的结尾。

处理快不保证复发少，复发少也可能受其他条件影响。认账时距、补救完成与规则存续各有位置，不互相替代。

异议入口应让这条路线真正能由使用者进入。没有人敢说问题，没有人接收新材料，承担再清楚也可能只出现在机构自选事项上。可信安排应容许不便的信息来到，并让接收者有权限与支持，避免把前台变成新的替罪位置。

记录维护也要安排人员与资源：链接、版本与接续说明需要维护，岗位改变以后有人负责。若只要求长期公开，却不提供维护条件，制度要求又会被推给最方便接触的员工。

带走的话
有效认账要对应具体问题和实际补救，还要留下可接续的修订记录。快替代不了内容，慢也逃不掉回应。

小账
：两个小区为构想；认账时距未测；补救范围与记录均为设计。

第 28 章

设计异议入口：怎样让人敢说「这不对」

这一章的问题：发现问题的人怎样说得出、有人接，并获得真正回应？

【一张发错的工资条】这是我构想的场景。新员工小周发现工资条一项扣款无法理解。客服要求他先承认已阅读全部规则，再重新填写同样材料；他担心提出异议影响评价。本章只借工资条说明入口，不计算工资，也不判定扣款合法性。

◆一、异议是信任的出口

合理托付包含后来提出疑问的可能。若组织只要求事前同意，却不给事后更正路线，错误就容易变成单方承受。异议入口的价值，是将新材料放回判断过程，不把不服从自动当作使用者问题。

小周提出疑问，不等于否定全部规则。他可能理解大部分内容，只是不清楚一项扣款。若入口要求先承认所有处理正确，才能提出问题，就把异议本身变成矛盾动作。

入口首先服务当前事项。小周说明哪项无法理解，已有何种材料，希望得到什么解释；组织据此接收，不要求他先证明最终结论。普通人表达可能不完整，接收者可以帮助整理，而不是以不够专业为由直接排除。

异议与指控需要区分。不理解可以得到说明，具体错误可以进入纠正，责任争议可以进入适当复核。所有询问都当作正式定责要求，或一切投诉都降成普通咨询，都会让入口失灵。按事项性质安排下一步，既保护提出者，也使接收岗位知道自己的范围。

工资条只是构想的入口情形。方法关注的是问题怎样进入、怎样被解释、怎样保留变化，不替具体劳动争议作结论。

◆二、四个坏入口

难以找到、只收不回、反复转介、伴随报复风险，分别使问题无法进入或无法继续。修补需要知道究竟卡在哪个动作，而不只是再公布一次邮箱地址。

难以找到的入口，使人不知道向哪里开始；只收不回，使人不知道问题是否被理解；反复转介，把机构协调工作交给个人；报复风险，则让人即使知道路线也不敢使用。

界面可见也可能仍难进入。提交要求太复杂、重复索取已有材料、只能选择不相符的问题类型，都可能增加负担。这里是设计风险，不是某家公司的调查。分类应帮助整理，不应把未预设事项从服务中删除。

报复风险，也不是一句欢迎就能解决的。小周如果认为正常询问会影响评价，需要组织给出可使用的保护与违约报告路线。实际是否存在不利对待，应据材料判断；但担心本身值得检查，未证实也不是拒绝设计保护的理由。

坏入口的后果可能是沉默。少收到问题，不一定说明处理完美，也可能说明提出成本高。评估不只数投诉数量，还要观察入口是否真正可用；透明机构可能收到更多疑问，这并不说明它更不可靠。

◆三、一个好入口的五个部件

容易提出、有人接收、给出回应、留下记录、避免因正常异议受不利对待。这五项是设计条件，非已验证通用公式。入口还需要明确能处理的范围；不在范围的事项应说明转介路线，而不是悄悄关闭。

容易提出，意味着用户能从真实使用位置找到路线，用普通语言表达；有人接收，意味着问题进入记录而非仅自动到达邮箱；给出回应，意味着说明已知范围与下一步；留下记录，意味着以后能够接续；保护正常异议，则使这条路不因提出者处境而关闭。

五部件不等于五个部门，关键是交接清楚。接收者知道自己能处理什么，超出范围怎样升级，才不必反复给出无权限承诺。

回应可以是解释，也可以是补核、纠正或有依据的拒绝；拒绝应说明范围与适当复核路线，而不只是引用规则存在。

记录还要适当保护信息。工资材料与个人处境不应向无关人员公开。可追问不要求无限暴露，隐私也不是对当事人不说明任何状态的借口。

◆四、入口怎样接到认账上

接收者将问题编号后交有权岗位，已确认错误转入纠正，不确定部分保留核查状态。接收到不等于认下全部责任，但也不该永远用"尚在调查"阻止任何回应。入口需要可更新的时间安排和升级机制。

小周提出问题后，机构可以确认收到，不自动承认扣款错误；核到一项实际错误，便可以进入纠正；其他部分仍不清，保留核查状态。不同状态分别说明，避免已受理被误作已解决。

升级要接到有权限的岗位。前台读懂了问题，却无权查看相应依据，就应交到能够核查的岗位。转交应接续已有材料，不要求小周再次从头解释。

长期等待也需要状态与复核。完整结果暂未取得，可以说明还缺什么、谁推进、下一节点在哪里。长期只说调查中，或为了早结案把未知填成否定，都是失职。

入口还应接收已确认后果遗漏。纠正一项数字，未必解决此前误导的安排；说明规则，未必解释当前应用。小周可以指出具体漏项，组织按范围继续。

◆五、机器在入口上能做什么

工具可以整理材料、识别重复、提示缺失和发送状态更新。它不应擅自写出组织未授权的承诺，也不应因关键词不符自动排除真实问题。重要拒绝需有可解释理由和复核路线。

整理不是裁决。模型把疑问归入某类，只提供工作线索，不该成为用户无法反驳的最终事实。

工具应保留用户原意。小周说不理解，不应被改写成承认违规；小周提出具体错误，也不应被缩成一般建议。摘要可以简洁，但重要主张与证据关系应留下。

自动回复不补写承诺。没有核到组织当前规则，就别宣布一定返还或一定无误；可以说明已接收、尚待确认的范围与正式路线。用户需要知道哪部分为工具整理，哪部分为实际主体确认。

拒绝与关闭尤其需要复核。关键词不符、附件不完整，可能需要帮助补充，而不是证明主张不存在。工具越普及，异常入口越要保持可用，否则效率可能只表现为更快地挡住未预设情形。

◆六、一个好入口的一周

这是一段示意流程：小周提交问题，收到接收确认，有权岗位核对后解释其中一项并纠正另一项。每个状态都与材料连接，不把待处理说成已解决。一周只是叙事窗口，不是适用所有公司的处理期限。

若材料不足，应明确补充对象。别让小周猜哪种附件最可能使系统满意，也别索取与事项无关的个人经历。已提交资料能适当使用，就减少重复；确需补充，说明与当前核查的关系。

若小周仍有具体异议，可以进入适当复核，不必先接受第一次结论。复核也要保留范围，同一无指向主张不必无限重复。可继续与可结束都需要理由：新材料何时能改变判断，已有回答到哪里已经充分，应当说清。

这段流程没有实施材料，不证明五条件已有效；故事顺利结束，不是效果证据。

◆七、让人敢说的几个小设计

允许使用者先描述疑问而非先自证无错，尽量少要求重复材料，并清楚说明正常异议不影响个人评价。组织若作了承诺，还要留可投诉违背承诺的路线。安全感需要在实际回应中建立，一句"欢迎反馈"建立不起来。要求一开始就选对术语、证明自己无错，可能把最需要解释的人挡在外面。

减少重复材料，也减少求助负担。原系统已有相应记录，接收岗位可按适当权限使用；内部系统不互通，不是要求用户每次重新交全部内容的理由。组织协调的成本不该隐藏为个人多花一点时间。

接收者也需要安全边界。允许问题进入，不意味着工作人员要无限承受羞辱。机构可以维护沟通规则，同时接收有事实内容的主张。规则应限制无关攻击，不借此关闭真实问题。

若认为保护没有兑现，提出者能够按适当渠道报告，不必只向原争议岗位求助。具体安排应由真实制度审定，本章不提供法律承诺，只指出保护需要超出一句态度声明。

◆八、入口也会被拿来冲击

恶意重复和骚扰可能占用资源。入口可以按事项合并重复、限制无关内容，同时保护正常问题的复核权。有人滥用，不是关闭所有入口的理由；开放，也不意味着接收者要无限承受辱骂。

合并应按事项，不按不喜欢某个人处理。相同材料反复提交，可以接到同一记录并说明当前状态；出现新可靠信息，则有机会更新。每次重提不必启动完整流程。

限制无关内容要保留理由。工作人员说明哪些表达不影响当前判断，哪些材料仍会被接收。这样开放不变成混乱，秩序也不变成不回应的口号。

滥用评估同样需要真实材料。投诉多、语气急，不自动证明恶意；长期未被回应的人也可能反复催促。先检查状态与处理历史，再判断该怎样合并或限制。

合并以后，个体影响仍可能不同。同一错误消息涉及多人，可以共享公共更正，个人资料与具体补救仍需按适当范围处理。效率不该靠抹掉不同后果实现。

◆九、三件工具回头看一遍

入口让新情况显出来，记录保留问题走过的路，授权岗位接住处理后果。若问题反复出现，应改写前面的通知或规则，而不是每次重新解释。问题看见了却无人决定，记录完整却无人回应，都需要具体修补。

重复问题也可以反向检查源头。许多人不理解同一说明，可能需要改写原通知；同一错误反复出现，可能需要检查规则与工作条件。别只让客服一次次解释，维护者应接收这些材料。

问题频繁不自动证明源头错误。反馈提供线索，不作最终因果结论。维护规则应说明改变了什么依据，既不因声音最大便修改，也不因原规则正式便拒绝查看。

回写以后仍需检查。新说明是否可找到，用户是否少了误读，异常是否继续被接收。若新增规则带来更大负担，也应保留，而不只收集支持改动的反馈。

◆十、入口自己也要被追问

有多少问题在等待、转给谁、为何未回答，应在适当范围可检查。这里不规定公开个人工资。可以用去识别化状态审查处理安排，让长期停滞被发现，而不扩大隐私暴露。

入口自身也可能失效：状态长期不变，问题被错误关闭，升级无人接收。处理者无权单独宣布自己的入口永远合格。去识别化是否适当，仍由真实数据条件决定。

审查也应看到未完成者。只读取已结案事项，会遗漏长期等待；只看回答时间，会遗漏答而未处理。为了报告简洁把所有回应合成"解决"，就掩盖了缺口。

如果审查发现入口没有新增效果，应调整。现有办法本来可靠，新增界面可能只是重复；入口更易找到，却资源不足，也可能增加积压。真实材料应能改变方法自身。

◆十一、接住的人，不能成为缓冲区

客服需要处理权限、升级支持和工作边界，而不只是被要求用好听话安抚。若决策者不出现，前台越热情越可能替上游吸收压力。入口必须接到有权者，而不是把最会说话的人留在门口。

客服可能说得清进度，却决定不了工资规则。接收岗位需要资料、时间、权限边界和保护。哪些可当场解释，哪些需转交，承诺到哪里，应说清。别要求其为所有结果私人保证，也别因范围有限而取消已承担的工作。有限责任与实际条件相称，也保护用户不被空话误导。

人员变化以后，入口继续接续。小周的问题不因客服调岗而重新开始，原材料与状态保持在相应事项中。责任身份连接机构，而不是某个工作人员的私人记忆。

第四编到这里仍没有给出实施成效。它把问法转成记录、授权、修订与入口，供真实使用检验。方法要经得起案例中的阻碍，而不只在理想流程中看起来完整；完整专著也要把这些未完成检验如实留下。

带走的话
异议入口应让问题进入、被处理并留下状态。接收者必须得到权限和支持，而不是独自替组织承受后果。

小账
：小周、工资条与一周流程为构想；五条件为设计，无公司薪酬判断。

第四编　材料说明

三方程、六路径和三拍依SDE发生学展开，全部是概念问法，不是测得或拟合的定律。各章纸条、流程与入口均为构想设计；是否改善安全、效率与公正仍待实施评估。涉及服务、付款和工资条的内容不构成医疗、法律、劳动、投资或专业安全判断；不得把本编读数用于个人考核。

第五编
三个示范
编序

一条规则写出来很容易，真正困难的是它遇到生活以后。儿子忙得接不了电话，负责人出差，编辑被读者催着快发消息。规则如果只在大家都不着急、材料都齐全的时候有效，就没有接住它原本要解决的问题。因而示范必须同时写设置和失守，不能只给一个顺利结局。

这一编的三个场所、所有人物和后来发生的事情都由本书构想。时间、金额和次数是演示材料，不是试点结果。家庭示范关注怎样让亲密与暂停并存，小公司示范关注谁能批准例外、谁不必背锅，本地新闻号示范关注更正能否沿传播路线回去。它们不能被当成已成功实施的制度，更不能证明认账时距的预测已经兑现。

读者可以带走其中与自己处境相近的动作，也应带走它们的限制。没有资源的承诺、没有接班的联系人、没有核查的署名，都可能很快变形。三个示范共同要求把这件事说实：谁在什么范围内决定，谁在事故之后承接，决定怎样改变下一次的条件。办法越小，越容易看到是否真的动了。

第 29 章

示范一·家：「儿子」打来电话，家庭暗号与回拨约定

这一章的问题：一个普通家庭怎样让接电话的妈妈不必独自识别，也不必独自承受后果？

【构想场景：周四晚上九点十分】林阿姨的儿子小远在外地，女儿小岚离得近。母亲说自己有时接到不熟悉号码，怕漏掉真求助。两人原想再讲一遍防骗知识，后来决定先听母亲：她最怕的不是丢钱，而是孩子真出事，自己却因为怀疑不帮忙。以下全部为构想，数字均为示意。

◆一、先说清楚：这一章不教你怎样听出假声音

家人承认，没有谁能保证听声永不出错。规则围绕重要行动建立，普通问候无需层层检查。小远无权要求母亲承担自己账号与联系路线的一切风险，小岚也不该因住得近就成为全家的永久值班员。大家要共同改变求助方式。

他们首先区分两件事：及时帮助真正有需要的人，和按当前来电要求转出资金。两件事可以同时处理：暂停可疑资金请求，同时通过已有渠道核实处境，或寻求适当紧急帮助。

小远原本准备列出声音里可能不自然的地方，母亲却问：要是我没听出来呢？小岚原本准备说陌生号码不接，母亲又问：要是你们换了电话呢？两人于是放下讲解。规则要回答的不是母亲会不会犯错，而是不确定时全家怎样配合。

普通聊天留在日常里。儿子讲晚饭吃了什么，母亲问天气，无须先完成一轮认证；同一通电话后来要求发送证件资料，行动的边界才改变。熟悉可以支持交谈，重要行动需要自己的条件。

小远也承认，有时他会把急迫说得很重，希望母亲先答应，这在真通话里已经使母亲难以暂停。所以家庭规则也约束真正的求助者：说明要做什么，允许对方按约定回去确认，接受联系不便造成的等待。

至于什么算重要，全家不照搬书中的金额，而是讨论哪些行动难撤回、涉及谁的资料、超过谁平常能独立决定的范围。母亲自己正常买菜与送礼，不归入子女审批。共同防护围绕特定请求，不能悄悄变成子女接管母亲生活的通行证。

◆二、一个晚上写成的三条约定

第一条约定，重要资金或资料请求，不仅靠来电声音确认，要回到事先记录的联系路线。第二条，当前会话提出的新号码不自动成为独立渠道，无法联系时找约定的另一位家人。第三条，发生疑问或损失先共同处理，不以羞辱和责备作为接收条件。

他们没有把一段公开示例文字当暗号使用。暗号如果采用，应保存在适当范围，泄露后能换，且不被当作唯一授权。小远负责自己的联系人更新，小岚负责纸条版本，两人有替班。母亲参与确定便于自己使用的说法。

第一版纸条写得很满，小岚觉得每个缺口都应该补上。林阿姨读到中间停了：电话里那么急，我不可能一边看这么长一页。这是给使用者的负担太大。小岚把即时动作放在最前面，需要维护的内容另留一页。

纸条上的联系路线也不只是几串号码：哪个联系方法平常由小远使用，变更怎样确认，母亲找不到时可以问谁，都要讲明白。小远也无权在一通正在被怀疑的电话里宣布旧号码作废、新号码有效。更新本身是重要事项，应沿已有可信联系完成，并让各份记录保持一致。

暗号的作用在讨论中被压低了。母亲问，既然说对了，为什么还不能马上转？小远解释：知道家里某句话，和有权要求今天这一项付款，是两回事。暗号可能被别人听到，也可能被真正家人转述，它不说明具体对象与用途。纸条要说清这点，免得新标记替代旧的声音标记。

全家还写下遇到疑问时怎样回应。接到母亲电话的人先听她说当前要求，不先问怎么又信了。若当时无法处理，就说明下一位接续者与联系方式，不用一句"我正忙"把疑问退回去。规则要有接收者的动作，才不会成为只约束母亲的三条命令。

◆三、电话来的那一晚：按约定的版本

在构想中，一通声音像小远的电话要求母亲立即付款。林阿姨没有争论真假，先说自己会按家庭约定联系。她拨的是原来保存的路线，而非对方临时给的号码。小远没接，小岚按替班约定回应，协助核对当前事项。

如果处境提示真实的人身紧急风险，家庭通过独立渠道寻求相应帮助；不等待猜出技术真假才行动。资金则暂缓，直到得到与具体用途、对象相称的确认。规则的好处不是让母亲赢一场真假辩论，而是给她一件立即可做的事。

林阿姨挂断后仍然很慌，可能担心自己真的耽误了孩子，也可能反复回想声音中的哭腔。小岚除了补核，还要说明做到哪一步、什么仍不知道、何时再回到母亲这里。状态可见，她才不必拨回可疑会话寻找安慰。

小岚接通以后，没有把自己的熟悉当最后证明。她问的是这次具体请求：谁需要帮助，提出什么行动，收款或资料对象是什么。若独立联系到小远，他一句我没打电话能够否定冒用请求，却未必解释对方所讲的其他处境。家人不必立即还原全部骗局，先对当前行动作出相称判断，再保存必要材料、寻找后续帮助。

假如小远确有困难，两条工作仍可以并行：小岚通过相应渠道帮助确认处境，林阿姨暂不按未经确认的账户操作。帮助的方式不只对方刚说的那一步；具体紧急援助交给适当专业渠道，本章不虚构一条通用路线。

过程结束后，小远主动回到母亲这里解释，而不是只在姐弟聊天中说原来是假电话。已经核到的范围要送回最初接收者，并确认她是否还面对后续请求。闭合这一段联系，比家人私下证明自己看穿了骗局更接近共同承担。

◆四、没有约定的那一晚：对照版本

另一个构想版本里，母亲一边怀疑，一边怕耽误。她向来电者补问，所有答案仍出自当前会话。她不知道可以打给谁，也不知道如果误拒儿子，家里是否会怪她。独自承担两种风险，使她更容易把付款当成解除不安的方法。

没有约定时，母亲缺的不是一句警句，而是一种不立即付款、又不显得不关心孩子的行动。冒充者把选项压成一对：要么马上帮，要么承认自己不在乎。已有接续路线能让第三个选项出现：我正在帮助，但要通过另一条路确认。

两个故事的结局都由作者安排，同样可以写出有规则仍出错、没有规则偶然识破；对照不为没有纸条的人定责，价值在于揭示行动选项，不在于算防骗率。真正判断效果，需要记录实际使用、正常求助的成本和失守事件。家庭若从故事得出的结论是母亲应更听话，就错过了维护联系人、提供替班和接收异议的工作。

另一种困难出现在事后。母亲若以为坦白必然换来训斥，就可能只说自己收到一个怪电话，略去已经做过的行动，家人于是看不到需要及时处理的部分。接收损失时先处理现有情况、再讨论原因，能为完整叙述提供条件，但不等于预先免除一切具体责任。

比较还应看小岚的负担。在有规则的故事里，她多接了一次电话，多维护一份纸条。若小远只享受母亲少被骗的好处，却不分担维护，规则会逐渐靠近新的失守。共同保护的账必须同时记得住被保护者与维护者。

◆五、三条约定，常被问到的四个问题

小远问自己真的赶时间怎么办。答案是他也遵守同一规则，可以预先说明重要事项，不用父亲或母亲的关心作例外许可。小岚问联系不上怎么办，家里设置替班与必要的外部援助路线。林阿姨问是不是连小忙都不能帮，家里按影响范围保留日常灵活性。

最后一个问题是规矩失守后谁出钱。这件事，本书替家庭裁定不了。互助到什么程度，由家人在自己的能力内事先讨论，写清这是家庭自愿协商，不是母亲法定责任，也不是邻近子女无限赔偿，更不在母亲正慌时临时要她认一份赔偿承诺。资源不足时更要诚实缩小承诺；经济情况会变，承诺要允许公开调整，而不只在出事后撤回。

林阿姨又问，陌生人真的有急事找我怎么办。全家不把陌生请求都定义成恶意，而是讨论她能在什么范围内帮忙、何时转交相应机构。陌生不等于危险，要看当前行动有没有适当依据和可用后续。

小远提出自己可能换设备、出国或一时无法回应。家人可以提前安排联系变化与替班，无法覆盖的时间如实注明；临时断联时接受某些事项等待，同时为真正紧急情形另寻适当支持。有限安排比一句任何时候都找得到我更诚实。

对于母亲的自主选择，全家还需保留不同意见。她可能愿意承担某项日常支出的风险，子女也可能认为不合适。规则只约束已共同同意的范围，争议继续谈。

◆六、这三条约定，到底做了什么

它让高风险行动不再完全依赖声音，把核验路线移出可疑会话；又将风险处理变成共同事项，减少母亲隐瞒疑问的压力。最重要的改变是小远也被规则约束。真正的儿子若随时要求特事特办，就在替冒充者训练母亲违反约定。

规则还要让母亲使用得了：文字清楚，联系人变化及时更新，不把几十条说明堆在她面前。家人可以用无真实转账的情形一起练一次，看看哪一步找不到。演练不是考试，弄错的地方拿来改纸条，不拿来笑话老人。

第一次练习，小岚故意只说联系不上小远，让母亲试着找下一步。林阿姨发现替班者的称呼不明确：这个名字是小岚的同事，还是另一位亲属？家里改了表述。规则是否可用，要由实际动作检查。

母亲不愿扮演被骗的人，家人便改成轮流读一项虚构请求，看谁能找到对应入口。维护者自己也走一遍，暴露容易忘记的联系人更新与回告步骤。是否有效，仍需现实反馈。

纸条版本需要朴素的维护：让使用者知道目前看的是哪一份，旧内容在哪里被替换，变更由谁说明。工具可以帮忙整理，但后台更新了，贴在厨房里的纸并不会同步改变。

每次改动都应问是否增加了新负担：多一个联系人可能使母亲更难决定先打谁，多一种提醒可能让普通来电都变得紧张。

◆七、家里的"认账时距"是什么

家庭没有必要建立成员排行榜。本章借用时距的意思，询问疑问出现后多久有人接住，损失确认后多久一起作出可兑现处理。私人记录不公开隐私，也不与机构公开事故统计直接比较。若家庭要正式测量，应另定适用口径，不混入旗舰样本。

冰箱上的纸由小岚维护，小远备有同一版本。父母可以提出不方便，子女也可以提出替班困难。共同安排只有容许这些话说出，才不至于变成对母亲的新控制。

这个家庭可以留几条简短记录：疑问如何进入，是否有人接，哪一步等待，最终怎样告诉母亲。记录不追踪成员生活，只为修规则而存在，完成后按共同决定保管或删减。

联系快慢说明不了谁更有道德：快可能因为小岚恰好在家，慢可能由于家人正在承担真正急事。

真正值得保留的，是疑问不再只停在母亲手机里：小远接回自己发起重要请求的责任，小岚得到替班支持，母亲拥有可实际使用的暂停。这三件事可以分别检查。若其中一件长期不存在，纸条再漂亮也需要修；若找到更简单有效的办法，纸条也可以缩小或退出。

故事没有一个永远安全的结局。一次联系人变化、一次不耐烦回复，都可能改掉规则的力量；复盘还要问照做的人有没有得到支持，正常生活受了哪些影响，成本由谁接住。

带走的话
家庭规矩应保护帮助的及时性，也保护重要行动的边界。真正的家人首先遵守同一约定，才使它有力量。

小账
：林阿姨、小远、小岚及全部通话为构想；时间为示意；无演练结果或家庭时距实测。

第 30 章

示范一·复盘：约定被用上了几次，哪里还会失守

这一章的问题：家庭约定进入生活以后，会被哪些家常困难改变？

【构想场景：半年以后，小岚在笔记本上写下的那一页】这一页不是试点笔记。它延伸上一章同一个家庭，假设他们经历了几件不同的事：联系不上小远，暗号被提起，母亲私下帮熟人，真正的急事等待过久。所谓半年只是一段构想观察窗口，不是本书已经取得的追踪。

◆一、暗号会从哪里漏出去

林阿姨在聚会中解释规则，无意讲出了示例暗号。小岚没有只说她不小心，而是发现纸条没有说明哪些可以公开谈。家里换掉已经暴露的内容，也降低暗号的作用：它可以增加线索，却单独批准不了重要付款。

这类复盘检查的是安排为何让泄露变得容易。把保密任务交给记忆和自觉，却不给更换办法，会使一个小失误变成长期缺口。

假如林阿姨因为怕挨骂，直到有人提醒才承认说过暗号，问题就不只是内容出了范围，更是更新入口没有给她安全感。小岚应先把已知变化登记下来，再共同替换相关安排。谁说出了问题，不应自动承担全部后果。

更换也有成本。母亲可能记住旧句，新句又写在另一张纸上；新旧不说明清楚，规则会制造新的猜测。家人需要让所有使用者知道变化。一面说暗号并不充分，一面在实际请求中只要暗号对上就催母亲照做，是自相矛盾。

这段构想没有列出可供读者照用的秘密词：公开出版的示例一旦被大量使用，就不再是各家庭事先约定的东西。某条线索难以安全维护时，宁可退出。

◆二、回拨会从哪里被劫

本书不宣称某种运营商机制一定能被利用，只考察更简单的设计缺口：家人可能把临时消息中的新号码存成正式联系人，或长期不核对版本。独立路线因而失去独立性。维护时应确认联系对象和变更授权，而非仅检查拨得通。

若怀疑手机或账号本身受到不当控制，家人应寻求适当技术支持；本书不提供绕过保护或检测入侵的操作。此时沿同一受疑通道继续询问未必有用，需要另有事先约定的接续方式。

独立联系失效有时来自很平常的混淆。小远换了工作号码，先在群里提过，又私下请小岚更新；母亲却仍保存旧号。三人各自觉得已经通知，实际上没有确认变化是否到达。复盘应找通知、确认和实际更新之间的断口，而不只问母亲为什么没记住。

没有接通与接错对象要分开：前者可能只是当时无人回应，后者则要求重新检查联系路线的身份与授权。不因暂时联系不上便相信当前来电，也不因某个号码拨通便视为请求已确认。

旧设备无法继续使用时，替代安排必须让母亲也走得通。小远给自己设置了更复杂的保护，不代表母亲能用同一功能。可以保留简单、事先说明的接续方式，实际产品能力另行核实。便利与独立性冲突时，家人要面对取舍，不能把不方便全留给接电话的人。

◆三、真急事被慢了，是规矩的代价，也是规矩的价值

构想中，小远真的有一件急事，却因电话未接耽误了安排。他不应因此宣布规则无用，也不应让母亲因为照做而道歉。规则让行动更慢，这笔成本也要认，而不只强调它挡住了风险。

若急事涉及安全，帮助路线与资金路线应分开。过长的固定等待不是值得炫耀的谨慎。复盘要问有什么可独立采取的援助，哪些步骤可以同时做。

小远不只记"等待太久"，还要说清哪一步造成等待：自己没有预告，替班者暂时不在，还是请求范围没有说明。不同原因对应不同修订。若把所有延误都算作核验浪费，就可能删去有效检查，联系与授权的缺口却原样留下。

母亲也可以说，等待期间她承受的担忧比实际分钟数更重。记录这一点，是提醒维护者回告状态：有人在幕后核实却不回告，母亲就不知道帮助是否开始。

真实急事的成本应和被冒用的风险一起进入复盘：哪些重要行动确实必须等待，哪些事项适合预先安排。改动后仍可能有残余代价，应由家人共同认可。

◆四、妈妈瞒着你，才是最大的漏洞

这个标题表达一种风险，不是指责母亲。构想中，母亲曾私下转出一笔示意的小额款项，怕孩子说自己又不懂。沉默使家人无法修订类别，下一次类似请求仍可能绕过规则。无责备入口比重复告诫更需要真正兑现。

听见之后，家人先确认能做的处理，再讨论原分类是否遗漏熟人请求。骗术不只冒充儿子，也可能利用其他身份；但扩大规则时仍要尊重母亲自主安排正常生活，不能借一次事故收走她全部决定权。

母亲可能不是不知道规则，而是不愿每次帮助熟人都向孩子申请。若此前边界写得过宽，隐瞒也提示子女在干预正常的自主决定。复盘不预先假定每次绕开都是母亲不守规矩。

家人先把事实范围问清：当时收到何种要求，已经做过什么，还有什么可以处理。问题一次次回到可行动事项，谈话就不会变成人格审问。母亲愿意先找一位态度平和的家人，安排可以允许这种多入口。

承诺不责备要体现在后续。当面说没关系，后来每次争执都拿这件事讥讽，下一次疑问仍会消失。家庭可以约定不把求助记录用作羞辱材料，并在失守后修复这种关系伤害。

◆五、认账的人，也会累

小岚离得近，越来越多事情落到她身上。若家庭只夸她负责，不安排替班，认账接口会变成无偿无限值守。小远应承担远程可做的维护，其他人也应明确什么时候能接。

替班不是把纸条再交给另一个弱者，而是分配可承受任务。无法立即处理的事项应有状态，谁接班应知道材料在哪。"有事都找我"若无人支持，往往只是一时热情。

她接到电话时可能正在工作；即时回应、联系人更新、设备解释与事后陪伴，不该全压在她身上。拆开这些任务，才能看出哪些小远远程也能做，哪些需要在场，哪些应寻求家庭外的适当支持。

交接时，接续者要知道哪项疑问未结束，已有何种材料，哪些行动被暂停，否则母亲又要从头讲，核过的内容也会丢失。家庭只保留必要信息，但隐私不是完全不交接的借口。

无法替班的时间也应说出来，好让家庭提前寻找别的安排；宣称随时在却反复无回应，反而使母亲失去预期。谁提出自己的负担，不应被视为不关心，这与允许母亲提出疑问是同一种接收能力。

◆六、哪些事，这套约定是做不到的

它保证不了账号不被冒用，追不回所有损失，代替不了医疗和法律处置，也消除不了亲属关系中的所有矛盾。范围有限不妨碍它保护一类行动，规则需要与实际能力相称。

遇到需要专业处置的问题，家人可以整理情况、联系适当渠道和陪同，但家庭确认不是专业结论。暗号说对了，也不说明某个医疗建议、合同条款或技术操作一定适当。

有的亲属矛盾并非假电话造成。家人可能对资助亲友、共享资料或照顾义务意见不同，把这些都归入防骗，会让技术议题遮住真实关系。需要协商的问题留给协商，不用安全名义免去讨论。

有些损失确实无法挽回。共同处理可以减少孤立，却不应在故事里保证只要坦白就能解决。承认限制，家人才不必为了维持规则成功的外观而隐去困难；帮助不是只有追回全部才算发生。

◆七、机器在这个家里做什么

若具体设备提供来电提醒或相关功能，可以在核实后使用，本章不假定任何手机都有同样能力。工具帮助发现异常和保存记录，却不应成为母亲必须懂全部技术的新门槛。维护者承担配置和解释工作。

设备功能进入规则前，维护者应先验证它实际做了什么。屏幕提示可能只是某类号码信息，也可能只过滤部分来电；红色标记不都等于确定诈骗。功能、适用范围和关闭方式按官方说明核定。

维护者还要看提醒怎样影响母亲。提示太多，她可能全部忽略；每次标记都引起长时间担忧，就需要缩小使用范围或改变说明。工具先进，并不取消异议。

没有某项设备，规则也不应失效。一条读得懂、找得到联系人、说得清当前疑问的简单路线，比只有小远会配置的功能更容易交接。工具可以退出，保护关系的动作需要留下。

◆八、三个人，三种委屈

母亲觉得被当成容易犯错的人，小远觉得真求助被怀疑，小岚觉得所有维护都推给自己。这些感受在构想里都需要被听见。若只选一个人的委屈当真，其余变成不配合，规则就会从共同保护变成家庭争权。

三种委屈分别指向自主、效率与维护资源，投票选不出一个真正受害者；被压下的两项，会通过绕开、催促或沉默重新出现。

听到委屈不意味着照办。小远说着急，家人理解，仍要求具体行动按约定确认；母亲说不方便，子女帮助简化，却不因此取消所有独立联系。讨论允许拒绝某项安排并说明理由。

复盘时可让每个人只挑一件最难用的地方。范围小，容易看到下一版是否回应了它。小岚提出替班，母亲提出字太密，小远提出请求范围不清，三个修订分别落实。

◆九、改了半年的那页纸

更新后的纸减少文字，注明当前联系人和替班，重要请求由真正发起者遵守同样确认，异常先接收再讨论。家人把一次误拒的成本也写进复盘。规则于是同时学习被骗和不敢信真的两种代价。

新版纸条把即时动作放前面，维护说明交给维护者，并注明哪些事项暂时没有完整支持。被删掉的说明若已由其他安排承担，可记录去处；简洁要以动作仍然可行来检查。

所谓约定用上几次，先要说明何时算用上：看了一眼纸条、按已有路线联系、实际得到接续、完成当前处理，是不同状态。这个构想没有实测次数，故事中几通电话不是追踪样本。真实家庭若自愿留下简短记录，也应保留未完成与正常求助，不只记成功片段。

修订还可能造成新缺口。替班名单增加后，母亲不知谁最合适；联系人简化后，某种断联失去备用。复盘没有一次完成的终点，在承认成本的情况下继续合作，规则才能留在生活里。

◆十、这个家要是有第三代

孩子可以帮助读纸条，却不被要求承担成年人的风险判断。家庭可以用简单情形教他遇到重要请求先找大人，不让未成年人长期做值班员。代际帮助需要界限，否则技术熟练的小孩会成为新的责任缓冲区。

演练不能做成惊吓。成年人可以说明这是虚构练习，不用伪造父母出事来检验孩子反应。本章不实施任何演练，也不给隐蔽测试背书。

随着孩子长大，权限可以按实际能力公开重新协商，不因一次操作成功就默认他承担新的家庭责任。

◆十一、这个家的小账，对读者有什么用

它让人看到维护成本、例外和感受怎样影响规则，不提供成功率。读者可借这些问题审视自己的家庭：谁累了，哪里找不到，哪次正常求助被耽误。答案变成下一版动作，才比"我们应该更谨慎"多走了一步。

借用时可以先问：本次变化来自哪项真实困难？谁有能力维护？改动后谁的负担增加？若无法回答，先缩小改动，不急着把所有生活纳入同一套规则。

复盘也应允许决定不用某项措施。暗号难维护，可以降低其作用；某种提醒造成更多困惑，可以调整或退出。退场不是否定家庭关心，而是把方法与效果分开。

这一示范提供的是一种共同修订的次序：疑问进入，状态回告，成本被承认，支持重新分配。没有哪段构想能证明它在所有家庭都有效，使用者要在自己的生活里继续检查。

带走的话
规则需要认下自己的延误、维护负担和隐瞒风险。允许人说困难，才能让家庭安排持续更新。

小账
：半年及全部复盘事件为构想；无实施次数、损失金额和设备功能确证。

第 31 章

示范二·小公司：老板在微信里催转账，谁在名字下认

这一章的问题：老板一句话能催动付款时，怎样保护确认边界，又让日常业务可运行？

【构想场景：周五傍晚五点四十】宋记五金是构想的小公司。老板老宋在外面，微信发来付款请求，出纳小周正在收尾。财务经理梁姐忙着盘点，兼职钱会计也不在。本文所有金额、人员和时间为示意，不代表真实公司或建议阈值。

◆一、没有规矩的时候，这家公司怎样运转

小周平常习惯按老板口头要求办，老板也习惯把快看成忠诚。材料不足时，小周会先垫一个解释：老板既然说了，大概采购已经知道。组织表面灵活，实则把确认工作留给了执行者猜测。

若微信被冒用，规则就难以区分真催促和假催促。即使老宋本人发来，临时换账户也可能带着错误。所以制度不只防假老板，也约束真老板怎样提出有后果的要求。

旧流程的速度依靠许多没写出来的判断：小周要猜老板说的是哪家供应商，猜采购是否已经收到货，猜换账户是不是对方临时需要。每次猜对，都强化继续猜的习惯；直到发生异常，组织才说这些本应由出纳查清。

梁姐也不是随时掌握全部事项。她忙盘点时，可能以为老板已经确认；老板则以为财务会做常规检查。两种默认互相支撑，结果谁都没真正做。每个人都要说出自己确实知道的范围，不把同事在场当成检查已经发生。

微信只是请求载体。换成电话、邮件还是当面，关键问题相同：当前要求有没有具体事项与有效授权。

供应商也在这条关系中。对方可能认为账户变更已经告诉采购，而采购尚未告诉财务；付款后才发现各自记录不同，这时还推定不了谁有恶意。先保留变更怎样传递、由谁确认，错误就有材料可追，不必只围绕出纳记性好不好争执。

◆二、一页纸：《催款规矩》

构想的规则要求付款有事项记录，新增账户或异常用途须独立确认，出纳可因关键缺失暂停，例外只能由有权者明确批准，正常执行后的机构差错由机构接口处理。纸上不写员工自愿包赔，也不把每笔小事都拖入最高层。

老宋签的是自己接受流程约束，梁姐签的是维护授权与复核，小周记录实际执行。资金支持由公司提供，能力和使用范围需经实际审定。

梁姐先挑变化事项，不要求每笔付款重新证明全部业务。已确认的采购记录可以支持日常执行，新增收款对象、用途改变和超出原授权的请求则需要重新确认。分类依据是变化造成的影响，不能全靠金额。

事项记录应让小周知道已确认什么、什么尚缺。采购验收不代表财务已确认收款账户，老板同意购买不代表后来增加的服务也获准。不同检查不能合成一个泛泛的"已审核"，谁签哪一步要与实际完成的动作相同。

暂停权还要对应一种正常状态。小周指出关键材料缺失时，应登记为待补，而不是绩效里的超时失误。梁姐负责接续，老宋接受相应等待，并说明确有必要的例外怎样提出。名义上可以暂停、暂停后却被处罚，纸上的权利就没有进入工作。

规矩需有修改入口：分类错了，由有权限者按材料修订并通知相关人员，而不是由某一次催促直接覆盖。

资金安排同样应具体：明确谁组织核查、谁能调动经核定的补救资源、超出能力时由谁说明下一步，而不是写一句损失都由老板解决。本章不设真实账户、不规定赔偿范围；资源尚未确认的部分留为缺口。

◆三、周五五点四十，第二遍

同一构想时点，小周收到紧急请求后，先查事项记录和收款对象。关键条件不足，按规则通知梁姐并暂停。他无须在聊天里证明自己多么相信老板，也不必自己承担选择付款或得罪老板的两难。

如果老宋确实批准例外，他通过既定渠道确认范围、原因和后续复核。出纳的工作是按已授权事项执行，组织的工作是使授权清楚，并接住允许例外的后果。

小周发现原记录的收款对象与聊天里的新对象不同，于是保留差异，向梁姐提出补核。他不需要说老板声音不对，也不必证明账号已遭冒用；具体变化已经足以触发对应检查。暂停基于事项，就减轻了对人格的指控压力。

梁姐接到以后，要告诉小周她已接收、正在核哪项、付款处于什么状态。若她只回一句等等，又在忙碌中忘记，小周仍会被老板追问。清楚的接续让催促回到有权处理的位置，不让出纳在两个上级之间来回搬运情绪。

假设核到老宋本人确有这项业务，他仍需确认具体对象与范围，身份确认代替不了全部付款依据。梁姐把已有材料、当前缺口和例外理由带回授权者，由他决定是否在明确范围内继续。

若独立联系暂时失败，公司接受已约定的暂停，或由真实有权替班者处理。小周不应为证明忠诚自行垫钱，更不该把自己的判断写成老板已确认。故事只让流程在压力里保持边界，尚未证明它更快或更省钱；真实效果要连同业务延误与后续返工一起检查。

◆四、三个名字，各在哪里

执行名字说明谁完成操作，规则名字说明谁维护检查与分类，后果名字说明谁组织处理。三人不必全部不同，小公司可能一人兼任，但角色要分清。兼任者也必须知道自己在哪个位置作了哪项决定。

若实际公司无法设置独立复核，应诚实记录限制，并减小暴露或寻找可行支持。纸上填满三个名字，不等于已有三种独立能力。

三个名字更适合写成三段动作：小周记录按哪份有效授权执行，梁姐记录补核与规则维护，老宋记录对例外和资源的决定。

梁姐临时替小周操作，就如实记录她的执行动作，不沿用小周名字制造与现实不同的流水。老宋同时批准与复核，独立性不足也应注明，不声称有两道独立审查。

后果位置不等于最后按按钮的人。调查某次错误时，要看规则怎样分类、授权怎样变化、当时哪些材料可见、谁催促绕开。按控制与动作分段记录，才不会让一个显眼员工吞下全部解释。

对外公开身份也不意味着公开员工私人信息。供应商需要知道找哪个经公司确认的岗位、怎样沿正式入口询问，不需要员工家庭住址或私人联系方式。可追问性来自组织支持的联系与权限，而非个人被暴露得越多越可信。

◆五、为什么署名不会变成替罪羊

它仍有变形风险，所以小周的暂停权、可见材料和拒绝超范围签署必须先落实。机构事故前催他别多问，事故后指责他没有多问，是最典型的替罪。梁姐也需要老宋兑现资源与规则维护，否则只是把更高级的岗位变成更高级的缓冲区。

替罪羊测试应在事故前做。梁姐可以问小周：若今天材料缺失，你能否实际停下来？你能看到需要核的内容吗？被催促时，谁会接走这项争议？答不出来，就说明规则缺少工作条件；等出了错再用签字证明员工已同意，就太迟了。

事故后也要按当时条件检查。后来出现的新证据，证明不了小周当时理应知道；老板事后说这显然不正常，也要面对自己当时发出的催促。不分清当时知道什么与后来知道什么，组织就会用事后清楚制造事前失职。

保护执行者不等于执行动作不用解释。若已提供明确材料与权限，小周实际偏离了授权，需要就该动作核查。但具体责任由本书故事决定不了，更推不出他承担所有损失；组织层面的分类、催促与资源仍须同时进入专业审查。

梁姐自身也可能被缓冲化。她有经理头衔，却改变不了老板随时越过的习惯，也没有替班与处理预算。名义职级不证明实际控制。有效认账安排必须让更高权力接受限制，让资源跟随职责，把签字向上移一格，什么也没解决。

◆六、如果老宋真的在高铁上，真的要付八万呢

八万为示意金额。行程困难可以是正常例外原因，但确认并不因此自动取消。公司可为真实急件事先建立授权安排，或说明无法确认时接受的业务延误。老宋决定接受哪种代价，并将范围记录，不让出纳替他秘密承担。

急件有多少、如何影响业务，都需要实际记录。一个急件故事，证明不了所有程序都拖慢赚钱，谨慎也并非没有代价。

还要先问急迫来自什么：供应商确有当日交付安排、内部忘了提前提交、老板临时改变采购，是不同原因。例外记录保留这种区别，下一轮才看得到哪项条件反复制造压力；所有事项都写业务紧急，就什么也看不出。

紧急授权可以限定一项具体动作，不必扩张成当天所有请求都放行。授权者说明允许的对象与范围，执行者对超出范围的变化仍然暂停。例外结束后，省去的检查按约定补核，未解决部分留在状态里。

若老宋无法提供最低限度的有效确认，公司就要面对等待的业务成本。制度保证不了既不耽误又绝不出错。

若这种急件频繁出现，复盘对象便从某次执行转向计划：采购预告、供应商联系和授权替班可能需要改变。可预见的缺口每次都称为特殊情况，再让同一员工承担，是在转嫁。

◆七、老宋为什么肯在纸上签字

构想中的老宋意识到，员工靠猜他的意思并不真正省时，出错以后追查也昂贵。他同意接受流程，不是本书观察到的老板心理，而是为设计提供一个可理解动机。现实老板未必同意，措施的组织可行性仍是待检验限制。

若老板不接受任何约束，却要求员工签字全负责，认账设计就不成立；员工不愿署名，不说明缺乏责任。需要真实的权限谈判和专业审查，本书替员工决定不了劳动或法律应对。

老宋签字也省不去内部谈判。梁姐需要向他展示当前默认造成的返工，小周需要说明材料缺失时的困境，采购同事也要承认哪些确认由自己完成。老板的同意若只是一句你们看着办，资源与权限仍会空着。

老宋还需在第一次正常暂停时兑现承诺。若他当场责怪小周不懂变通，所有人便会知道签过的纸仍可被情绪覆盖。规矩的可信发生在有代价的执行中，墙上签名取代不了。

现实公司若暂时做不到完整安排，可以先缩小承诺范围，比如先修好一类账户变更的接续，再观察其他类别。虚构自己已有独立复核与资金支持才会遮住困难。

◆八、规矩贴出去以后，对外怎么办

公司向供应商说明账户变更和急件确认入口，减少对方误把暂停当拖款。对外规则应与内部规则一致，一边承诺随时付款，一边设置无法完成的复核，是自相矛盾。双方知道当前状态和需要补的材料，才能把等待变成协调而非猜忌。

对供应商要给出能用的入口，而非只发一份严格通知：对方提交账户变化以后谁接收、需要哪些材料、什么状态算等待。材料要求与当前事项相称，不为自保收集无关个人资料，也不让供应商反复向不同员工证明同一件事。

供应商嫌慢时，公司先核对等待来自哪里；只是内部没人回应，就别归为安全要求。

更正同样要回到对方。若此前错把正常变更当异常，公司应说明纠正范围；若发现原资料有误，向相关对象通知新状态。内部记录完成，不代表外部事项已处理。

这一示范最后留下的不是通用财务表，而是可检查的关系：请求与事项连接，变化得到独立补核，暂停能接续，例外有实际授权，事故回到机构资源。现实实施须由相应有权者审定。这些动作带来的等待哪些值得保留、哪些应改，都需由相称运行材料检查。

带走的话
规则首先约束真正的老板，再保护执行者按明确授权办事。组织资源和停止权比多一个签字更重要。

小账
：宋记五金及全部人物为构想；八万与时间为示意；无真实银行、财务或劳动规则。

第 32 章

示范二·复盘：认账门槛设多高才不拖垮效率

这一章的问题：怎样在可承受损失和可承受延误之间，找到可以维护的门槛？

【构想场景：三个月后，梁姐的一页笔记】这不是宋记五金的真实试点。梁姐在构想里记录了付款等待、账户变化、例外和员工反馈。她发现不是所有等待都来自风险核验，有的只是负责人不回，有的则是供应商材料不全。

◆一、门槛设低了，会发生什么

若很小事项都必须层层确认，复核者可能疲于处理，最后机械签字。门槛低不必然安全。应看它是否让真正异常得到关注，还是把重要信号淹在正常记录里。这需要实际事件和工作量材料，不靠严字程度评判。

梁姐把门槛低拆成两种情况：一种是许多普通事项都进入复核，增加工作量；另一种是复核内容很浅，看似每笔经过，却没有检查关键变化。前者未必无用，后者可能制造假完整。只数签了多少次，判断不了公司是否更谨慎。

队列也会改变行为。小周提交一项真正异常的账户变化，前面却堆着大量重复材料，复核者只好按到达顺序快签。降低门槛却不增加相称能力，值得关注的事项反而可能等更久。复盘要看资源与分类能否配合，不把问题都归咎于工作人员不认真。

简化应对准重复：已有记录可复用的部分不必重新搬运，新增变化仍要显露。

◆二、门槛设高了，会发生什么

高门槛会让更多事项自行通过，异常可能在累计小额或新账户中出现。个人资料、不可撤回操作和账号变更，即便金额不大，也可能需要不同路线。分级依据应与后果而非单一价格连接。

高门槛的缺口不只是一笔大额漏过。有些请求将一件事拆成多项，单项看似普通，整体却改变了公司暴露。这里仅作设计推演，不说明现实攻击方法。记录应保留事项关联，复盘才能看到同一业务的累计变化。

金额相同的两项操作，撤回能力也可能不同：一项可以及时更正，另一项涉及资料扩散或外部账户变更，恢复更难。门槛要考虑后果范围与可逆性。本书不替公司规定具体金额，各维度如何使用仍需实际审定。

高门槛还可能把责任藏在默认放行里。未要求复核，不代表无人作过决定；制定分类的人实际上决定了哪些事项可按常规执行。复盘应把这项规则选择记录下来，避免事故后才宣布执行者本应额外判断。

◆三、怎么定：两个问题，不凭感觉

公司先问最多能承受什么后果，再问正常业务最多能等待多久。二者都是组织需要确认的实际能力，不是本书替它填的数字。门槛由这两项约束和事件类型共同形成，还应说明谁有权调整。

"最多能丢"不是可任意损失的钱，"最多能慢"也不是让所有安全工作都让路。它们用于暴露代价，并使有权者承担取舍，不让执行者独自猜怎样才算既快又对。

这两个问题不只由梁姐在本子上回答：承受后果涉及资源与业务决定，承受等待涉及供应商安排和执行能力，都需要有权者参与。小周可以提供真实处理困难，却不负责替公司选择总体风险偏好。

公司可以从一个已知类别开始，而不是先定一条适用于所有事项的线。新账户、首次交易、授权范围改变，各有自己的材料缺口。条件变化后，由指定位置修订，旧新口径都留存。分类尚不适用时，记录限制，不强行把事项塞进最方便的格子。

条件不清时，短期试行也要限制结论。可以先观察记录是否完整、授权者能否接续、正常暂停是否得到支持；几次顺利付款证明不了风险已经降低。可行与有效是两个问题，先把能回答的部分说实。

◆四、怎么知道认账没有变成橡皮图章

抽查一项例外，看看实际缺口、补核和授权理由是否一致。若每个理由都写业务紧急，分类就失去区分力。复盘不按签字多寡奖励，要问有没有正常暂停、有没有拒绝超范围请求，以及拒绝之后是否得到支持。

抽查应从事项来源选取，而不只看经理愿意拿出的顺利例外。保留未完成、撤回和被拒的请求，才能知道签字之外发生过什么。

所有例外都用同一句理由，也可能只是记录过于简化，不宜立即判定签字人造假；缺材料时暂缓效果判断。

员工成功拒绝超范围签署，也是值得记录的正常动作。若统计只看完成付款，停止与改道就会变成失败。规则能承受有理由的拒绝，比所有记录最后都变成通过更重要。

◆五、梁姐不在的时候

替班者需要得到相应材料和权限，而不只替她保管印章。若没有人能有效接班，应限制哪些事项可继续，哪些待有权者处理。负责人不在是制度需要面对的正常条件，不应每次都临时要求出纳突破规则。

梁姐出差前，可以把未结束事项交给经授权的替班者，但交出去的不能只是一串待办名称。已有材料、当前缺口、允许决定的范围和需转交的事项都要随交接保留；否则替班只是把不确定换一个人承担。

某些权限确实无法临时转交，公司就需要提前安排或接受等待。替班设计应由有权者确认，不由出纳自己找一位同事签字凑齐流程。人手不足必须成为可见限制。

梁姐回来也需要回写：期间哪些例外发生、哪些事项仍缺材料、是否改过临时安排。没有回写，临时措施容易变成大家默认却无人维护的新规矩。

◆六、这家公司的"认账时距"

构想中只演示记录：事件时点、已知材料、有效承担时点和补救完成。没有公开数据，不纳入机构公开样本。企业可将内部记录用于改善，但不得在缺可比口径时与外部机构直接排名，也不以此考核梁姐个人。

内部时距若要正式计算，应先确定对象。收到催款请求至得到授权的等待，与错误发生至有效承担的时距不同，要分栏记录。前者看业务接续，后者对应本书研究设想；两者可以并列，但对外宣传时不挑较短的那个。

内部记录可能比公开材料完整，也可能受机构自选事项影响。若只记已经发现并处理的错误，未发现与无人接收的部分便消失。正式观察需要明确来源与纳入规则，并把未完成状态留下。

数据用途应事先说明。某人接住困难事项较多，处理时间可能更长；个人考核会诱使人拒收或提前空认。机构应对流程能力负责，不把复杂事项惩罚到最接近它的岗位。

◆七、规矩到底让多少事变慢了，又让多少事变快了

等待应拆开：必要核验、材料缺失、授权者迟回和重复提交。规则可能增加第一类，却减少最后一类。尚未完成的事项也要留在比较里。

整件事的负担要沿时间展开：提交前收集材料，提交后等待授权，执行后对账，出错后返工。只取点击之前几分钟，新增核验显得很慢；只看少了一次返工，又可能忽略长期维护。比较应说明观察覆盖哪些工作。

等待原因还可能重叠。材料不足与授权者不在同时发生，整段时间就别重复加到两类。可以按状态记录并说明并行关系，正式统计另由相应人员审定。目的是找到可改的具体卡点，不是一个好看的总数。

正常请求的成本应进入评价。规矩挡住异常，也可能误拒正常变化；被误拒的供应商需要额外说明，员工需要补做材料。这些损失应由流程承担并修订，不因安全目标正确而自动消失。

资源也不只是复核时间。培训、交接、联系人维护和处理投诉若被算作员工顺手帮忙，门槛就会显得异常便宜。

◆八、规矩最容易被绕过的三个时候

在本书推演中，催促集中、负责人不在、同一供应商多次小额变更，都值得检查。这不是频率排名。可用无真实资金的演练看看规则是否允许绕开；发现缺口后改权限或分类，而不只让员工背更多警句。

催促集中时，最容易失去的是状态回告。每个请求者都觉得自己的事项紧急，执行者不断被问，复核者却没有统一的接续位置。可以检查规则是否让有权者看见队列，并向相关对象说明状态。没有人接队列，增加签字通常只会增加搬运。

负责人不在时，失守常以好意开始。某同事愿意帮忙，大家便当他已经得到权限。演练可以用虚构事项暴露这个默认：需要授权的人在哪里，哪些事可以继续，哪些必须等待。发现断口后补实际支持。

连续变化事项考验关联记录。单笔材料可能齐全，几项共同指向的业务变化却无人看见。公司可以用自己可行的工具保留事项关联，不必购买故事中虚构的万能系统。措施能力按真实产品与使用条件核实，不把需要完成的工作写成工具已经自动完成。

◆九、一月一次的十五分钟

频率和时长都是示意。短复盘可以只看一项异常、一项误拒和一项人员负担，不追求会议多。十五分钟不是科学最优值，读者不应为了照书而压缩必要讨论。

短复盘要有明确出口：谁补哪项材料、谁调整哪条授权、什么时候反馈。只发会议纪要，不说明权限与资源，困难会在下一次原样出现。

涉及真实损失、人员争议或专业判断的事项压不进十五分钟，需要相应程序与时间。短会可以先识别需要升级的问题，并确认谁接走。

下一次复盘应回看上次动作是否发生：材料改了，使用者知道没有？替班指定了，实际能否接？未完成就说明原因与新状态，不删掉旧待办，免得一页会议记录冒充全部改变。

◆十、小公司的三个常见异议

"我们人少""客户催得急""以前也没事"，都是可能的约束。人少可以采用更少类别，但虚构不出独立复核；催急可以预定例外，但记录省不掉；以前没事是经验，却不是未来保证。回应应对准约束，而非否定说话的人。

所有检查由同一人完成，就如实称为同一人的分段检查；把同一个签名复制成多个角色，会让复盘看不见实际限制。

客户催急应由业务位置处理，而不只向出纳施压。公司事先向对方说明确认要求，特殊情况由有权者承担取舍。执行者可提供状态，却不应替公司私人保证付款时间。

以前没事可以提供经验，但要问观察到哪些事项、有没有漏记、条件是否变化。把既有经验与当前变化并列，才能保留有效习惯并补上新缺口。

异议本身不应被计为员工阻碍改革。梁姐说无法维护某个分类，小周说一项表格难用，都是设计资料。组织需要回答能否简化、补资源或缩小范围；忽略这些材料，规则会在墙上越来越完整，在日常中越来越容易被绕过。

◆十一、只有一个人的公司

一人可以使用工具和外部专业支持，也可先减少不可撤回风险。独立性不足应明说，自己换三个签名，不等于三人审查。无论规模如何，承诺都需要与资源相称；某些措施无法承担时，就不应假装已达到同样保护。

一个人的公司仍有不同角色，只是缺少内部独立性。本人可以分别整理事项、作决定和记录后果，但自己的复读不是外部核验。

外部支持也不是一句有会计就算完成：服务范围、可用时间和授权边界要确认，本书不代替服务协议与专业审定。

这一章最终把效率从快签字移回完整事项。正常请求能够运行，异常能够接住，维护者不被耗尽，例外不掩盖规则缺口，才是可持续的方向。它尚无真实效果数据；读者应按自己的实际条件检查，而非照抄一条看似科学的金额线。

门槛调整以后，应保留变更前后的事项范围。新版只处理更容易的请求，速度变快就不该直接归功于规则；承担范围扩大，时间增加也不一定表示退步。先让比较对象相称，再讨论效率。

带走的话
门槛要依据实际后果与等待能力调整。复盘应看异常是否被接住，也看规则让谁增加了负担。

小账
：三个月、一月一次与十五分钟均为示意；无实际业务笔数、效果或时距。

第 33 章

示范三·本地新闻号：署名认账人、纠错日志、异议入口

这一章的问题：一个三人新闻号怎样既认真核查，也让错误有可持续处理的去处？

【构想场景：周四傍晚六点，一段"自来水厂出事了"的音频】东桥口早报和东桥镇都是构想。主编阿梅、记者小郑、编辑老何收到一段匿名音频，读者希望他们立即证实。本文的时间与人数均为示意，并非真实当地事件或新闻机构流程。

◆一、一个小号的三件家当

它给重要发布明确负责岗位，保留带版本的纠错记录，并提供读者可找到的异议入口。三件家当不代替采访与核查，而使事实工作有后续。负责人须有更正权限和机构支持，而不只是把一个新人名字挂在页面上。

日志记录原内容、确认的错误、更正时间和当前版本，适当保护隐私与安全。这里说的"不能删"，是不无痕抹去自己错过的事实，并不要求永久传播伤害。

阿梅最初想把自己的名字固定放在每条消息下方，老何却问，她休息或联系不上时怎么办。长期署名如果不连接实际值守与替班，只是一个承诺外观。三人于是分别确认谁能接收异议、谁能决定更正、谁维护记录，并给无法即时处理的事项留下状态。

小郑的事实工作也有范围：他采访过一个消息来源，只能记录这一来源确认了什么。阿梅负责发布决定，却不因主编身份就拥有现场知识。角色配合是把不同材料接起来，不以高职级名字盖住证据缺口。

日志的第一项工作，是让修改与具体句子连接。原文错误在封路起始时间，更正就指出这一范围，而不是用"内容已优化"模糊过去。记录还应区分排版调整、补充新材料与事实更正；全部叫更新，后来的追问就失去对象。

保留记录也有边界。原文涉及不应继续传播的个人信息时，公开日志可以说明删除原因与更正范围，核查材料按适当方式保存。本章不规定适用于所有事件的公开尺度，这需要真实能力与专业审查来安排。

异议入口应从读者能找到的位置出发。只在后台留个邮箱，或把说明埋在很久以前的公告里，入口就名义上存在、实际难用。三人可以用虚构反馈走一遍，检查能否到达接收者、是否得到状态、超出权限后往哪里转。

◆二、周四傍晚的半小时

半小时是示意窗口。小郑寻找可靠渠道核实，老何记录现有材料和缺口，阿梅决定不把匿名音频当确认事实。若尚无足够材料，可明确仍在核实，并说明读者可使用的正式信息入口，不补写确定的灾情。

核查结果若只证实一小部分，就按范围发布；没有核到的仍不确定。及时回应与如实保留未知，可以同时完成。

音频到达时，小郑先记录收到的材料与时间，不立即给它加上现场录音的身份。匿名材料可能包含真实线索，也可能混有错误；接收一条线索与确认一项公共事实不同。

老何准备页面时，不用标题替未确认内容补上确定性。正文写仍在核实，标题却写已经出事，传播会先带走强结论。事实范围应在读者先看到的位置保持一致。这个构想检查的是编辑动作，不声明任何平台必然采用某种展示规则。

阿梅的决定也要对应后果。公开未经核实的音频，可能使更多人重复传播；完全不回应，又让读者到别处寻找确定答案。说明收到什么、正在核哪项，不必靠复制原音频来证明自己认真。

核查得到部分结果时，三人保留差异。一个入口确认某项安排，不代表其他未知全部消失；没有收到回复也不意味着事件不存在。阿梅不把缺少异常证据写成绝对安全，小郑也不因某条线索被否定就宣称担忧都已解决。

半小时不是理想时限：有的事实较快能核到，有的需等待相应来源，新闻号说明当前状态即可。

◆三、轮到自己出错的那一天

构想的另一天，新闻号把封路开始时间写错。有读者指出后，小郑核对原材料，阿梅批准更正，老何在原页面和主要传播入口说明具体哪句改变。留言接收时间、更正时间和通知路线留在记录里。

新闻号不将错误归为读者没看懂，也不把编辑私下改字当完成。这里没有测得三小时二十分钟之类数值，本书拒绝把戏剧化时间当成功读数。

第一条读者反馈可能很简短，只说你们写早了。接收者不应要求他先提供完整调查报告。小郑询问具体句子与已有线索，回到原材料检查：读者提供疑问，核查已发布内容是新闻号自己的工作。

更正时要说明正确材料来自哪里。若只在新页面角落出现，原消息仍在流转；沿主要原传播入口补发说明，才能尽量让接收过旧内容的人看见。实际可达范围要诚实说明，所有转载并不都收得回来。

某个读者已经据此安排出行，可能问能否补救。新闻号应接收具体后果并按真实权限处理，但赔偿责任本书替它规定不了。可以说明能做的纠正与协调、需要专业审查的争议和未完成状态。一句已经更正，不等于后果已经结束。

小郑也需要公平复盘：看他实际收到的资料、编辑阶段的修改、阿梅作过的决定，而不是因为读者先联系到记者就把错误都放到他身上。某条检查确实遗漏，就修对应环节；标题或排版改变了意义，编辑动作也应进入记录。

更正后再看传播路线：某个入口无法修改原内容，就需要替代通知；某类消息常被截成图片，就要考虑重要限定在截图里是否可见。具体产品能力需实际核定，尚未实现的功能，不该写成已完成的全网纠错。

◆四、验真交给机器，认账留给人

工具可以比对文本、检查版本、整理原出处，帮助减少差错。它不会因为输出自然就自动拥有发布权限。阿梅负责决定和更正，机构为她提供必要资源。

机器标出的置信度也需要按范围理解。一个高分可能仅表示材料内一致，不代表现场事实已确定。新闻号应把未独立核实标明。

工具介入以前，三人先说明它处理哪段工作。整理材料、比对版本和提示内部矛盾，与判断外部事实真假不是同一能力；比对再准确，也确认不了匿名来源。每项输出应留住输入范围和待补核部分。

工具帮助生成初稿，小郑仍要核具体事实，老何仍要检查标题与正文范围，阿梅仍决定是否发布。把工具写作误称为已采访，会改变读者对材料的理解。公开说明不必堆满技术过程，但应帮助读者判断证据与结论的关系。

工具建议错误时，复盘不只说一句"机器幻觉"，要看人怎样接收建议，哪些检查被省去，系统权限是否允许未经确认直接发布。把问题全推给工具供应者，和全推给最后点按钮的人一样，都会漏掉机构自己的安排。

三人还保留人工接续。某天工具不可用，重要更正不应完全停下；人工能力不足时，可以缩小发布范围并说明状态。平常工具顺利的经验，许不出随时准确的保证。

◆五、署名认账人为什么不是替罪羊

阿梅可以暂停发布、查看材料、批准更正，并推动编辑规则变化。老何负责版式和日志，小郑负责自己确实核过的内容。角色可以互相配合，但事故后突然宣布最接近发布按钮的人包下全部责任，是替罪。

出资人也要接受这些边界。若要求快发却不承担更正资源，署名人只是缓冲区。新闻号的规模小，也不是把机构义务全装进某个人私人钱包或名誉的理由。

阿梅因材料不足暂缓，事后却被责怪流量下降，署名就会在压力中变成形式。机构应提前确认哪些事项由主编决定、例外怎样提出、维护更正需要何种资源，让实际决定权与名义责任相接。

记者与编辑也可以拒绝超范围认账。小郑核过一个来源，不签已经完成全部现场核查；老何维护页面，不认自己决定了新闻事实。拒绝需要得到接续：谁补核，当前内容怎样暂缓，哪位有权者作下一步决定。允许说不、却无人接走问题，负担仍留给提出者。

事故发生以后，组织不该用新措辞重写旧岗位权限。阿梅当时能否获得材料、是否被要求先发、有没有更正预算，均需按当时记录检查。

小团队可以先覆盖少量重要类别，再逐步完善，不必假装对全部消息都有相同核查能力。对读者诚实说明范围，有时比给每项内容都挂同一可信标签更有用。

读者应能找到经机构确认的责任身份和正式接续，但无权追查编辑私人生活；把可追问性变成对个人的围堵，会削弱异议入口。

◆六、异议入口：怎样让人敢说"这不对"

读者能够指出具体错误，不需要先证明主编恶意。新闻号说明接收、核查和回复状态，不随意公开反馈者隐私。恶意骚扰可以限制，正常异议保留复核。

若平台缺少某项日志功能，可以用适当人工记录，而不是虚构后台自带只增不删。功能需按实际产品核实。重要的是修改可追踪、读者能找到，而不是使用某个流行技术名称。

一条措辞激烈的正常异议，不因态度不礼貌就跳过具体材料。表达方式与内容真假分别判断，组织才不会用礼貌要求挡住所有不舒服的问题。

反过来，反馈多也不代表每条都成立。同一说法被转发多次，可能只源自一份材料。三人需要整理关联、核对具体对象、说明状态，不按声量直接改稿。接收异议是让新材料进入已有工作，不是把核查权交给最吵的一方。

入口维护者若没有更正权，应有升级路线：及时记录接收，却不冒充已经解决；负责决定的人接住并回告。这样入口岗位的贡献可见，主编也无法把组织迟缓藏在快速自动回复之后。

错误未被确认时，可以说明核查范围与暂未成立的理由，并保留新材料再进入的可能。一次不成立的反馈，不该变成对反馈者的永久标签；入口也应允许修正自己的处理决定。

敏感材料的保存与公开也须相称。读者身份证明、私人聊天等无关资料不应随手放进公开日志。证明更正已发生的记录，与需要受限保存的核查资料可以分开安排。具体实施仍需真实机构按专业要求审定。

◆七、一年下来，三个人记在本子上的事

这仍是构想年度，不是已实施追踪。记录可包括改过的内容、尚未查证的疑问、误拒的线索和维护负担。公布时不要挑出最快的几件，删掉长期未处理。

一个小号承诺不了所有真相都及时掌握。它能承诺不把未知写成已知，在确认错误时让更正可达，并对自己决定的范围接受询问。这种有限承诺比永远准确更诚实，也更可检查。

年度复盘应从发布事项出发，而非从漂亮日志出发。先选已经更正的条目，就会漏掉一直未核的疑问、无法到达的反馈和未完成后果。

还要区分发现错误与制造错误。入口更好用后，读者可能指出更多问题：可能是原有遗漏被看见，也可能是发布质量下降。仅凭更正次数上升判不了胜负，需要看同样范围内的事项、发现方式与后续结果。

快更正也掩盖不了重错。一个标点很快修改，说明不了一次公共事实误报处理得同样有效。复盘应保留事件性质与影响范围，避免简单条目压低总体时距。正式公开取法需要固定这些条件，本章的示范尚未取得相应运行材料。

维护成本要回到三个人的生活：谁长期晚上接反馈，谁因复核完不成采访，谁负责记录却没有替班。认可工作替代不了资源。

示范停在这项有限承诺上。它不保证读者永远满意，也不保证机构永不失误。标记可能被复制而实质被移走，因此还需检查它们的实际连接，使新安排不至于成为另一张旧印章。

带走的话
可信新闻号既做事实工作，也让错误沿原路线被更正。署名、日志和入口必须连接实际权利和维护资源。

小账
：新闻号、地点、人物和全部事件为构想，时间为示意，无平台功能或年度绩效数据。

第 34 章

示范三·复盘：被人做假的几种方式

这一章的问题：署名、日志和入口成为可信标记后，会怎样被伪装？

【构想场景：一年以后，老何在后台翻到的几件事】本章延伸东桥口早报，不新增真实案例。设想另一些账号模仿它的做法：挂名字，公布极速认账，展示整齐日志。本书的规则于是面临反向使用的考验。所有方式是推演，不代表已发生频率。

◆一、做假一：专职认账岗

一个人专门出面承担，却看不到材料、动不了规则，也没有资源。他可以很快发声明，但无法处理事件。名字可能让读者误以为已经接住。检查应问实际权限和后续动作，而不只看是否有真人露脸。

老何在构想中看到一个模仿账号的页面，头像下写着专职认账人。读者提出更正，岗位很快回复，却只会转交，看不到原稿，也无权改页面。接收有价值，但尚未完成承担；把接收者宣传成最后负责者，就把组织的缺口压在一个显眼名字下面。

检查需要沿工作往前走：接收者把事项交给谁，那个人有何权限，机构是否提供实际资源，更正后来有没有发生。

专职岗位本身并不说明造假。实际有权、得到支持的岗位可以承担有效工作；本章反对的是把无权接收包装为已解决。

◆二、做假二：空认

承认写得很漂亮，具体更正却没有发生，赔付仍永远待审核。有效终点不只看公告时间。要核认的是哪件事、已落实什么、谁可以继续询问。临时回应可以单独记录，但不得冒充认账时距已完成。老何翻到的那条公告写得很漂亮，他照着三门槛一项项对，只对上了一项。

空认最容易利用范围含糊。声明说本号对全部内容负责，更正时却只改一处无关文字；读者以为主要错误已被处理，实际问题仍在。复核应将原异议、承认范围和具体行动对齐，看三者是否指向同一件事。

补救尚未完全结束，也不抹去已经有效的部分。某项事实已明确更正，就作为该范围内的行动记录，其他后果保留未完成状态。防空认要求具体，却不反过来制造"只有全部完美解决才算做过工作"的标准。

临时回应可以说明已接收、正在核查和下一步；允许分阶段状态，组织便不必为了尽早完成时距强行写一份全面承认。

◆三、做假三：悄悄改日志

把错误条目删掉，只留下成功记录，会制造从未出过错的外观。可以保留版本、必要的外部留存和适当独立复核。任何技术都保证不了记录永不造假；设计价值在于让修改更可追踪，而非许诺无法篡改的绝对安全。

日志被改动时，读者有时只看到条目变少，不清楚是恶意删除、合法下线还是资料迁移；无法访问，判不了罪。记录应说明删除或迁移的理由、相关更正在哪里继续可得、哪些材料仍可复核。证据不足时保留未知。

版本保留需要真实维护：备份在谁手里、是否包括主要修改、读者如何找到更正。

复核还要看没有进入日志的事项。若机构只把小错登记，把重大争议留在另一个无人维护的邮箱，整齐日志便不代表完整处理。样本应由发布与反馈来源共同确定，而不是以日志里已经存在的条目为全部世界。

◆四、做假四：入口形同虚设，或者被淹没

邮箱存在却没人回应，是虚设；反馈过多却无分类和支持，也可能使入口失效。后者不一定恶意，但结果需要处理。应公开合理状态，优先接住有具体材料的事项，并保留对未处理决定的复核路线。

虚设与过载的外观可能相同：反馈后没有回应。原因要分别检查：前者没有真实维护安排，后者可能已有努力但能力不足。

入口应有相称的状态说明：收到什么、目前核哪项、暂时处理不了的理由和如何继续提供材料。自动回复只证明消息进入某个系统，证明不了有人已看、已核或已纠正。

过载时需要组织取舍。合并重复反馈、区分具体事项、将超范围问题转交，均可作为待实施的设计；它们本身证明不了入口有效。机构应说明资源限制与优先安排。要求反馈者先完成全部核查，就是把过载成本完全退回公众。

◆五、做假五：冒名的分身

仿出同样头像、同样署名和同样日志，可能借走读者对原机构的熟悉。原机构应维持可独立找到的正式入口，发现分身时通过已有路线提示。读者不宜只根据截图中的联系人回去核实，否则仍在仿冒界面里绕圈。

原机构发现疑似分身，也要限定自己知道的范围：可以说明哪些入口由自己维护、哪些内容尚未确认，但没有材料便宣布全部相似账号都是恶意，就越界了。

读者找不到正式入口，责任不只在他眼力不足。宣传分散、联系人长期失效或变更没有说明，都会使独立寻找变难；复盘应修这些条件，不用一句认准我们给读者增加无法完成的要求。

正式入口自身也可能变更。原机构需要让旧入口提供相称的迁移说明，免得读者只能依赖转发截图；一句"地址换了"不足以要求所有人接受新关系。实际平台能做哪些动作，应按具体能力确认。

◆六、做假六：说谎者红利

账号否认曾发布某内容，说它是别人合成。真实冒名也需要申辩，因而否认不一律等于恶意；无限否认和无条件相信都不是办法。

说谎者红利的风险在于，伪造可能性变成无限否认的借口。有人拿出旧页面，机构说是合成；机构提出真实冒名，别人又说你在逃避。双方都没法靠身份自证，需要围绕具体内容、原入口、版本与接收记录建立可核路径。

新材料到来以后，应允许修正：核到确为冒名，就改变结论并保留原因；原先否认的内容被证实，也应撤回否认。

未知状态应具体。无法取得原版本、仅有转发截图、时间顺序不清，是不同缺口。让缺口可见，才能知道下一步需要何种材料，而不是反复争论谁更值得相信。

◆七、做假七：刷时距

先发一句笼统承担，将时点算得很早；等行动真正发生时，却不更新。或者把事发日改成接到投诉日，压缩起点。这两种都需要取法约束。读数定义在看结果前固定，原始证据与后来修订并列保留。老何还发现，一个模仿号把事发日一律写成读者投诉的日子，时距便凭空短了好几天。

刷时距可以利用很小的词义变化：把接收时间称为处理时间，把补充一句说明称为有效纠正，把未完成事项从统计范围移走。防法先要求状态与范围一致，再谈计算；起终点指向不同事项，数字再精确也没有意义。

真实事件发生、被发现、被投诉与被接收，是不同时间；公开材料不清时，应保留精度与缺失。研究者也不为了得到完整数据替机构补一个方便日期。

简单事项与复杂事项，也混不成宣传冠军。若机构一小时改好错别字，却长期未处理核心事实，更短的条目不应覆盖后者。后续正式取法需要明确事件类别与承担范围，不按营销文案挑结果。

本章不提供一套如何压低数字的操作教程。七种方式是为了识别取法可能漏掉的条件，不是用来攻击或操纵实际机构记录的。防法尚未验证，真实可用性仍需要安全、可审查的观察。

◆八、同样的做假，放回家里和公司，会是什么样子

家庭说有事都帮却无人接，小公司签字齐全却没人能暂停，都可能有类似形式。不是拿家庭成员比作骗子，而是说安排有名无实也会发生在善意处境里。

放回家庭，并不照搬公开机构的要求。母亲与孩子无需公开私人疑问，只需让约定参与者知道谁能接、哪里困难。表面热情却长期没有接续，可能来自疲惫而非欺骗。

公司里，签字齐全可能来自行政习惯，实际权限仍集中在老板。检查应追问暂停是否得到支持、例外是否明确、资源是否可用，不预先把签字员工判为合谋。

三类场所共享的是名义与实质可能脱节，并非共享同一种责任结构。家庭互助不搬作企业赔付，企业授权不搬作新闻事实认证，公开日志也不搬进私人关系。方法可以帮助提出相通问题，答案必须回到各场所真实能力。

◆九、一张小表，和一句老实话

外观标记 必须补查的实质
有人署名 他有何权限与支持
很快认账 是否发生有效纠正或补救
日志整齐 是否保留遗漏与修改痕迹
入口开放 是否有回应和复核

这张表为设计，不是已验证检测器。它不能让读者一眼识破所有假，但能避免把新标记再当成旧印章。

表中的补查项还需要一条范围纪律：所取得材料只支持当前事项。一次更正有效，证明不了机构全部内容准确；一次没有回应，也证明不了所有安排都虚假。读者应把观察写成具体判断，避免一张小表长成无限人格检测器。

没有取得某项证明，也要区分原因：机构拒绝说明、材料本身不宜公开、读者检索能力有限，是不同限制。可以要求适当替代证明或正式接续，但缺失不都等于无权或无行动。

标记仍有帮助。署名让读者找到岗位，日志提供变化线索，入口容许新材料进入；它们的价值不因可被伪装就取消，只是不能独立完成结论，要接上相应动作。

◆十、读者怎样用这三样东西读一个号

选一件实际更正，沿记录看看具体改了什么、原读者怎样得知、负责人是否回应后续问题。不要搜集员工私人资料。查看一条可追踪的事项，比看宣传口号更接近方法。

若内容已因隐私下线，查看替代说明与核查入口，不要求恢复有害材料。

后续追问可以很小：这个变化是否到达主要原入口？还有什么后果未处理？由哪个经机构确认的位置接续？这些问题有助于判断当前承担，却替代不了正式责任裁定，真实纠纷仍需要相应程序。

读者还应允许机构有合理处理时间。慢一次可能由材料复杂或资源暂缺造成，需要说明，但不应直接视为恶意。长期不回告，状态本身就是可检查缺口；批评应指出这个缺口，而非从时间长短推测员工内心。

检查者判断错了，也应更正自己的说法并保留理由。方法不该只要求被检查者认账，却把使用者的误判从记录里删除。

◆十一、三个示范放在一起看

家庭维护亲密中的独立路线，公司维护授权边界，新闻号维护更正可达。它们共享承担接口，却各有统计标准。相通的是动作，具体取法仍由处境决定。

三个示范显示同一个循环：重要请求出现，已有依据被检查，决定回到有权位置，疑问得到接收，后果形成具体回写。动作可借鉴，故事里的速度与结局不是经验数据，也未证明真实实施有效。

这一编最需要防的，是读者把成功剧情当保证。作者能够安排母亲找到替班、老板接受流程、主编及时更正；现实未必给出这些条件。对每个条件都应另问谁提供、何时缺失、缺失时怎么办。条件不可得，承诺范围就需缩小。

正式取法因此必须处理没有顺利结局的事项、模糊日期、部分补救与未完成记录，并允许结果不支持本书。只有把不利材料也留在尺边上，新的可信标记才不会再次遮住它原本想显露的空位。

作者对七种方式的处理也要接受同样检查。只列危险，不说明什么材料能支持或否定判断，读者仍会凭印象猜人。每条推演都应对应一项可观察缺口，并注明哪些结论从外观推不出来，防伪才是追问，而不是给不信任添一套新词。

一个安排失效时，往往可以修一段，而非立刻废掉全部：联系人失效修联系，更正不到达修传播，资源不足缩承诺。哪一段改变，应在下一版留下痕迹。

带走的话
署名、日志与入口都可被伪装。可信标记需要接上实际权限、补救与可复核记录，它自己替自己作不了证明。

小账
：七种方式为构想推演，表为设计，无造假比例、拦截率或实测时距。

第五编　材料说明

三个示范及其复盘完全由本书构想，时间、次数、金额和观察窗口不代表实测。设备与平台功能应依具体官方说明核定；本书没有替任何真实产品保证能力。家庭互助、企业资金与岗位权限需各自协商或专业审定。本文不构成医疗、法律、劳动、投资或专业安全建议，不能据示范决定真实事故中个人的赔偿责任。

第六编
读数与边界
编序

一把尺在没有接触现实之前，可以显得非常整齐。真正开始量时，日期可能不清楚，公告可能只有机构名，补救可能分几次进行，还有一些事件从未得到有效回应。如果我们只留下容易量和已经完成的事项，读数便会把现实最困难的部分删掉。

这一编不把设计写成研究成果。认账时距尚未取得一个实测值，五个预言也尚未完成结算。算例只是演示计算，不能作为支持本书的证据。需要预先确定哪些材料进入样本，如何处理未完成事项，比较哪些结果，以及什么条件出现后应当撤回或缩小主张。

数字需要帮助人追问，不需要替人完成全部判断。时间短可能反映处理有效，也可能反映事件简单或空认造假。公开资料没有出现，不等于私下从未行动。把这些限制留在尺边上，不是替失败预留逃路，而是让支持和反对都能使用同一口径。若本书要求别人公开认错，它自己的取法、事实和新判断也应当如此。

第 35 章

认账时距怎么量：取法与一个算例

这一章的问题：从事件发生到有效公开承担，隔多久，怎样计算才不会量错？

【物业费二维码】这是我构想的场景。居民按错误二维码付款，物业在不同时间作出说明、纠正和补救。研究者想记一个天数，却先要区分发现、接收、声明和行动。以下所有日期、机构和数值为演示，非实测。

动手量以前，先把这把尺和它最近的邻居分开：认账时距不是修复时长，而是承担时长。它不量机构多快修好，而量受影响者多快拿到一个有名字、有权限、有资源的接口：付错钱的居民什么时候知道该找谁、谁有权退钱、钱从哪里出。

◆一、先让路：十二条近邻

第一条线来自运维事故管理。技术团队常用平均确认时长（MTTA）记从告警到有人接手的时间，用平均修复时长（MTTR）记服务修好或恢复所需的时间。[17]它与本书的读数一样，从事发数到处理，是最近的邻居。界线在于站的位置：MTTR量机构内部多快修好，认账时距量受影响者多快拿到一个具名、有权、有资源的公开接口。物业半天换掉二维码，修复时长很好看；付错钱的居民一个月后仍不知道找谁退款，认账时距就还没有终点。

第二条线是新闻更正研究。迈尔追踪美国十家日报的报道，发现消息源指出的事实错误里，绝大多数没有得到更正。[18]这类研究量的是错报有没有被更正、多久被更正、更正有多醒目，第33章的纠错日志正落在这条线上。界线在于：更正只改说法，认账还要求补救，以及改规则的权。

第三条线是吉登斯对专家系统的分析：人们信任抽象系统，实际打交道的却是系统在"接入点"上出面的人。[19]本书的具名主体，就是一种接入点。界线在于时间的方向：接入点主要在事前帮人建立信任，认账则在事后承接后果。

第四条线是夏皮罗所说的"信任的守护者"：机构替公众做担保与监督。[20]认账单元背后的组织支撑，与这种守护者很接近。界线在于：守护者自身也需要被认账，认账时距可以拿来量守护者自己。

第五条线来自法与经济学。卡拉布雷西把事故损失分给最便宜的避免者，让付账的一方去投资预防。[21]第14章已借用这个机制。界线在于：它回答"该由谁付"，不量"多久付到"，也不要求付账的一方向受影响者露出一个可追问的接口。

第六条线是联合国《工商业与人权指导原则》第31条。它给非司法申诉机制列了八项有效性标准，其中"可预期"要求程序清楚、每个阶段有指示性的时限，"持续学习的来源"要求从个案中找出改进机制、预防再次伤害的教训。[22]这几乎就是本书三门槛里的"范围"，加上第24章的"回写"。界线在于：它是机制设计的标准，不是跨行业可比的读数；它也默认被申诉的一方真实存在，而合成冒充事件里，下指令的那个人根本不存在。

第七条线是英国医疗的坦诚义务。卫生服务机构知道发生了须通报的安全事件后，要在合理可行的范围内尽快告知当事人，当面说明事实并道歉，随后书面通报调查结果。[23]它给"公开承担"规定了动作，也上了时钟。数据保护法里也有同类的钟：欧盟《通用数据保护条例》第33、34条要求机构在知悉个人数据泄露后72小时内通报监管机构，高风险时还须及时告知当事人，并写明联系人、可能后果与已采取的措施。[34]界线在于：它只在一个行业里有法定效力，终点是告知与道歉；本书的终点还要求已经落实的纠正或补救，第14章说过，道歉与认账是两件事。国内政务服务的首问负责制、电商平台的先行赔付，也在各自行业里做着相近的事，《消费者权益保护法》第四十四条规定，网络交易平台不能提供销售者真实名称、地址和有效联系方式的，消费者可以向平台要求赔偿，平台作出更有利于消费者的承诺的，应当履行。[26]

第八条线最近，近到本书必须承认它已经做了本书想做的一部分。英国自2024年10月7日起，要求发送方付款机构在接到授权推送支付诈骗的返还申请后五个工作日内返还，单笔上限八万五千英镑，收款方机构分摊一半；只有在消费者重大过失时才可拒付。[24]这就是一条法定的认账时距：五个工作日，不问过错，钱从离后果最近、能改规则的机构出，正是第14章说的无过错认账位。界线在于：它只管一个行业里的一类事件；它的时钟从"接到申请"起算，不从"事发"起算；它不要求规则回写。本书的读数从事发起算、跨行业比较，并另设回写一门。这条线对本书不只是让路，它还是一场正在进行的自然实验，第24章与第38章把它写成预言四。

第九条线来自信息安全。兰普森把安全的"金标准"概括为认证、授权与审计三件事，并说现实中的安全更多靠事后追究，而不是锁；韦茨纳等人主张信息系统的重心应从事前阻止挪到事后问责。[27][28]"从验真到认账"与这条线同构。界线在于：它们的问责对准作恶者，追到、罚到才算数；合成冒充里作恶者常常追不到，本书的终点对准受影响者拿到接口，以及下一次的规则。

第十条线是安全经济学。安德森指出，守护系统的一方若不承受损失，系统就容易失守；英美取款机纠纷的对比是他的经典例子。[29]它已经说出了预防沿损失落点分布这个方向，所以第24章的预言四只能算复现。界线在于：它讲的是谁有动力去防，不讲受影响者多久拿到去处，也不讲"改的权"能否单独提高托付意愿，后一项交给预言五。

第十一条线是联合国2005年的《受害人获得补救和赔偿权利基本原则和导则》。它把补救分为恢复原状、赔偿、康复、抵偿与保证不再发生，[31]本书的"钱"与"改的权"都在其中。界线在于：它针对的是严重侵权中的责任方，保证不再发生的是责任方自己。

第十二条线是信任修复研究。德克斯等人在实验里区分了道歉、自我惩罚和约束未来行为的安排，发现后两者配合可信的道歉时作用更大，而作用大小取决于它们能否传达悔过；[32]霍恩西等人发现，消费者看重"会不会改"胜过"认不认错"。[33]危机传播研究也早把"组织无过错"单列出来：库姆斯的情境危机传播理论把被冒充、被恶意攻击一类归为"受害者型危机"，公众归给组织的责任低，组织给出基本的指示与关切就够，道歉、补偿这类迁就性的回应边际作用较小。[35]消费者归因研究则发现，失败原因越被看作稳定、会重复，顾客越在意以后会不会再出事。[36]

界线在于残差。改过与认错可以分开，这一点霍恩西等人已经做过；无过错时道歉的作用较小，这一点情境危机传播理论已经预测过。本书剩下的、旧研究推不出的只有一处，而且方向与情境危机传播理论相反：按那套理论，组织责任越低，越不需要纠正性的大动作；本书预测，在无过错的冒充情境里，"有权改规则"的作用反而比组织自己出错时更大。这一处交给预言五的第二条输赢线。

十二条线里，第一、二、六、七、八条直接给时间立了钟或量了时间，其余七条讲的是结构、分配、动力与修复。本书照前几章的纪律处理它们：读到哪一层，就写到哪一层，未读原书的只当线索，不补引文。划界最后要由数据承担。取法卡同时记一个公开修复时长，预言一检验时一并控制它（见第38章）；若控制修复时长之后，认账时距不再有解释力，它就只是MTTR的一个变体，本书按判输纪律缩小主张。

◆二、先说清楚：什么算"认账"

本书的取法要求三项同时具备：可追问的具名主体，明确对应的事件和承担范围，已落实的纠正或补救。单说抱歉、系统告警或正在研究，不作为有效终点。

并非所有损失都要全赔才算第一次有效承担。纠正已经确认的错误也可满足行动门槛，但必须具体、可核且属于本方范围。最终补救完成时间、规则修改与记录存续另行记录，首次认账替代不了它们。

物业先发一条收到反馈的消息，可以记为接收；后来承认二维码指向错误对象，可以记为确认；实际改正入口并公开说明适用范围，才可能满足本书规定的行动门槛。这些状态要分别保留，不能从最早一句回应直接取一个好看的终点。

具名主体也不必是某个人公开露面。物业经确认的负责岗位能连接机构资源、实际调动权限，就可进入核查；一个没有材料与决定权的客服姓名则不够。身份、授权与行动三项同时检查，能减少只按宣传风格编码的偏差。

承担范围应与事件对象相接。若错误二维码影响多种缴费，机构只纠正其中一项，就记该项已发生的有效行动，其他范围另留状态：部分处理不写成全部解决，已完成的工作也不抹为零。

同一公告能否满足门槛，关键在材料。公告若写明哪项错误、哪个有权位置已处理、动作怎样核到，可以支持终点；只说高度重视，仍属状态回应。编码理由应公开，让另一位审阅者能指出分歧所在。

◆三、起点和终点怎么定

起点t0为纳入定义的事件发生时点，例如错误行动实际发生的时间，不是机构更方便使用的投诉日。终点t1为三门槛首次同时满足的公开时点。时距T=(t1−t0)/一天，允许小数天；只知日期时按统一日历规则记录，并标明精度限制。

事发日期不明，应记录区间或起点缺失，不随便补一个日。若为区间，可以给出时距范围并做敏感性分析；无法合理确定时，不纳入精确时间比较，但保留在样本说明里。

时点记录至少区分行为发生、机构得知和公开材料出现。居民付款在前，物业接到反馈在后，更正页又晚些发布，三项时间分别说明不同工作。旗舰量取事件发生至有效公开承担，其他时点作为解释材料保留，哪一项更容易取得也不悄悄换作起点。取法卡另记一个公开修复时长：从事发到机构公开宣布技术或业务修复完成（服务恢复、错误入口关闭、错误内容撤下）的时间，不要求具名、权限与资源。它不是旗舰量，专门用来检验认账时距是否只是换了名字的修复时长。

时间精度也应一致。只知某日，就别写到分钟；只知区间，也别随意取中点当发生时间。两事件相差很小、日期区间又都较宽时，名次没有可靠含义，应展示范围或暂不作精确比较，别让小数位制造不存在的确定性。

公开晚于行动不一定说明处理慢，机构可能已私下纠正，后来才公开。本书取的是公开接口，核不到私下工作，便只对公开量作结论；这个限定应写在读者一眼看得到的地方。

连续事件要预先定义发生时点。一次错误通知有明确发布日，长期持续的错误安排则可能有开始区间与多个受影响行动。应按固定定义处理，不为支持某个方向把同一情况时而拆开、时而合并；方法改变时，保留新旧结果与理由。

◆四、一个算例：示意

假设五个构想事件在第0日发生，观察到第90日。甲在第2日满足门槛，乙第5日，丙第9日，丁第20日，戊仍未满足。以下不是五家真实机构的表现。

构想事件 有效公开承担日 观察状态
甲 2 已发生有效承担
乙 5 已发生有效承担
丙 9 已发生有效承担
丁 20 已发生有效承担
戊 无 第90日仍未观察到

四个已完成事件的中位数为(5+9)/2=7天。但"7天"只描述已完成部分，不得写成完整样本中位时距。戊是右删失：只知道至少到第90日尚未观察到。若用时间事件方法保留五个事件，在此示意中累计承担在第9日超过一半，相应中位时间为9天。方法必须事先说明，不可挑较好看的数。

用通常的Kaplan—Meier积限估计演示时，把尚未达到终点的事件保留在其观察期间的计数中。NIST统计手册列出了这一类删失资料的计算步骤：在各已观察事件时点，按当时仍在观察的数量更新，并将删失者仅保留至其退出之前。[16]本章借用方法，研究对象是承担时点，NIST没有替本书验证这个新读数。

五个示意事件在第2日之前都在观察。第2日甲完成，尚未完成的估计比例由1变为4/5；第5日乙完成，变为3/5；第9日丙完成，变为2/5；第20日丁完成，变为1/5。戊到第90日仍未见终点，没有被当作完成，也没有被删掉。累计完成第一次达到一半出现在第9日，因此该演示的中位时间为9天。

这里算出的不是戊将来何时认账。观察只到第90日，后来的状态不知道。把戊写成90天已完成，便捏造了终点；写成零又颠倒了含义。右删失保留的是已知的观察范围，不把未知的未来变成确定数值。

7天与9天回答不同问题：前者只算四个已完成事项，后者保留五个事项，名称和对象要分清。真实分析还要检查删失与事件进程的关系、报告不确定性，并由统计人员审定；五个构想点不支持总体预测。

◆五、辅助量：认账还在不在

辅助量采用公开纠错记录的一年存续率：在有效承担满一年时，原记录或可追踪的合规替代记录仍可取得的比例。内容因隐私等合理原因下线，可保留适当更正说明与核查途径，不要求永久公开有害材料。

九十日可作短期检查，却不是一年值；删除、无法访问和合理迁移应分别记录。

一年存续率先确定到期对象。观察结束时尚未满一年者，既不进分母，也不算消失；已到期者再按能否取得原记录或适当替代记录判断。这样，新近发布的条目才不会显得天然更完整。

可取得不等于原链接字面不变。合规迁移后，旧入口有明确接续、更正范围仍可追问，可按预先规定的替代条件处理；整条记录无说明地消失，则另记。核查看内容与可追踪的接续，不只测一个网址能否打开。

暂时的技术故障也需规则。某天无法访问，不宜立即判为永久删除，应按事先规定的复查安排核定，并保留失败时间。复查次数与等待范围在预注册中写定，对所有机构一律适用。

记录仍在，只表示公开痕迹持续可得，不证明赔付已经完成、规则已经修改，或同类事故不再发生。辅助量与后续结果并列，是为了检验它有没有解释价值，不把存续本身当作全部承担质量。

◆六、一个样本是怎样取出来的

先固定公开事件来源、纳入时段和事件类别，再按相同检索步骤寻找承担材料。来源可以包括公开事故说明、监管记录和机构更正页。每个事件建立证据位置、抓取日期、编码理由和当前状态。

同一机构多起事件不是完全独立样本，比较需要说明如何处理。未观察到公开承担只能写"按本取法未观察到"，而不是写机构拒绝承担。公开取法衡量的是公开接口，替私下处理作不了全面判断。

取样应先于寻找认账公告。假如从几家更正页丰富的机构开始，样本就已经偏向有公开接口者。材料质量不足的领域可能暂时不适用，本书不为了凑数量改变对象。

来源之间还要去重。同一事件被多家媒体转述，不自动成为多起事件；同一机构的几次独立错误，也不因名字相同全部合并。合并、拆分和排除都留理由，样本数怎样形成，比最后那个总数更经得起复核。

检索努力要相称。对一个机构查很多渠道，对另一个只看首页，发现机会就不同。方案应说明入口、检索范围、观察截止与失败状态，并按同一规则执行。

纳入以后，未完成者也要一直追踪。未回应、日期不明和公开材料中断都留在事项清单里。若某种缺失集中在特定机构，结论会受影响，要检查，不能一律当随机噪声。

材料更正应有版本。后来公开一份早已行动的证明，可能改变行为时点判断，却不改变当时公开可得的终点。应注明新证据怎样影响旧编码，后来获知的不当成当时已公开。

◆七、这个数怎么读，不怎么读

它表示按已固定口径完成有效公开承担所用时间，不等于诚实程度、法律责任或组织全部质量。比较应考虑事件复杂度、规模、资源和公开要求。一家处理小错的时间与另一家复杂跨境事件，排不成道德名次。

若样本中未完成事项超过一半，中位时间可能尚不能估计，应如实报告。书里想强调的责任空缺，正是统计便利最容易悄悄消除的部分。

比较首先要问事件是否相称。可以按事先说明的类别分别报告，再讨论可比范围；看过结果才改类别，可能只是重新包装想要的结论。

资源与规模也要记录。大机构处理能力更强，也可能牵连更多事项；小机构行动快，补救范围却可能有限。读数要与范围和后续质量一起看。

公开习惯不同也影响可见性。有的机构惯常发布处理说明，有的多用私下沟通。可以限定可比领域；换到私下资料研究，则要另定获取、隐私与取法安排。

关联不等于原因。短时距与较少复发同时出现，可能来自共同的组织能力，也可能受事件难度影响。本书的预测只检验它有没有附加信息，宣布不了缩短时间必然降低损失；因果要靠进一步的公平比较。

◆八、哪些事这把尺取不了

无法确定事件、无法取得合理起点、没有可检查的公开材料，或承担范围完全不可比的事项，都需要标为无法精确取值。家庭私事不直接进入公开机构样本。一个领域材料太差，可能意味着这把尺在该领域暂时不可用。

取不了值的事项也标出方法的边界。起点无法确定，说明回答不了时间问题；主体权限没有可核材料，说明终点判断未完成。两者都塞进"未认账"一栏就混淆了：读者要知道是现实行动未知，还是量尺条件缺失。

观察中失去联系，也不同于一直观察到未完成：前者后续状态不可得，后者在截止前仍有记录。不能默认所有退出都没有信息偏差；若较难的事项更容易消失，漂亮曲线仍会掩盖问题。

有些事项能算出时间，却不值得比较：承担范围变了，事件定义含混，或公开条件完全不同。方法应允许暂停排名、缩小问题，不把能计算当成同等有意义。

取不了值，也不等于理论已赢。资料稀少可能说明公开接口困难，也可能说明选错了对象或方法。若长期取不到相称材料，本书的预测就维持未检验，必要时退出该用途，不把无法验证说成问题太深。

◆九、一张取法卡，写哪几格

卡片写事件定义、主体与权限证据、起点及精度、终点三门槛、行动材料、未完成状态、记录存续、编码者与复核。出现争议保留不同判断并说明裁定方法。它是研究设计文件，不是机构或员工考核表。

取法卡还应区分原材料与编码解释。原句、日期和位置是证据，是否满足权限门槛是判断，两者相连却互不冒充。保留理由，复核者才能指出分歧来自事实缺失还是定义不同。

编码者先独立判断同一组材料，再讨论差异。意见不一致时，逐项看身份、范围与行动，不取两个时间的平均：平均可能落在根本没有任何有效动作的一天。

取法卡也应记录方法版本与资料截止，后来改门槛或得到新材料，读者知道哪一版结果受影响。维护需要资源；没有维护主体的设计，谈不上稳定的认证能力。

最后，卡片应让不利信息容易留下。长期未完成、检索失败、范围不明，和支持本书的快速处理占同样的位置，不因难看而藏进备注。尺的可信也需要一条可追问的来路。

正式报告还应附一份按事项排列的状态清单，读者可以从总体读数回到每件事，核其纳入、日期精度与终点理由；涉及隐私的材料采用相称保护。

带走的话
认账时距不是修复时长，而是承担时长。先定义有效承担，再量时间；未认账与未知日期必须保留，漂亮中位数靠删掉最难处理的事项得不来。

小账
：五事件及2、5、9、20、90日全部为示意；7与9天来自演示计算，非实测；一年存续率与公开修复时长为取法设计；[17]—[26]与[27]—[36]为让路资料，核读层级见附录四。

第 36 章

这把尺怎么被做假：专职认账岗与空认

这一章的问题：一旦时距变成目标，怎样防它变得好看而事情没有改善？

【菜市场的"包退"牌】这是我构想的场景。摊位挂着包退，顾客真正来退时，被要求证明购买来源，后来又被转给没有决定权的人。字面承诺很快，处理却没有开始。这个落差说明，尺子需要核行动，而不是只计承诺。

◆一、最便宜的一招：专职认账岗

岗位专门快速发表承担，却无处理权，能把声量与行动分开。它可以作为接收接口，但具名并不使它成为有效承担主体。审查应沿其升级路线找到真正有权者，核实机构资源，而不把接收员工本人当最大问题。

包退牌的构想把岗位功能拆开。摊位接待者可以登记顾客要求、说明尚需补交的材料、帮忙联系经营者，这些是实际工作，应如实记录。可若经营者从未授予退换决定权，接待者一句"我认"，替机构完成不了后果。时距终点应与有效动作相接，不奖励最早出声的人。

专职岗位是否有效，从一件事项看起：接收后交给谁，哪一步要决定，资源由谁提供，最终动作怎样到达顾客。停在转交，就记转交；经授权完成了退换，也承认有效行动。

岗位回复快，也可能只是接收能力好，复核不凭速度推断动机，只把回应时间与有效行动时间分开记；机构把前者说成后者，才是错置。

新增岗位还有资源成本：削减实际处理人员、增加只负责声明的人，公开回应更快，后续队列却更长。

◆二、做假的六个样子

提前发布空声明，推迟记录事发日，删除未完成事件，把微小更正写成全部补救，挑最简单事项入样，以及用无权署名人撑出快时点。这六种是设计推演，没有实测发生比例。每一种对应一个应保留的材料，而非一种心理猜测。

抵抗造假要保留原始时点和编码依据，公开样本纳入规则，把范围变化与首次承担并列说明。编码者有分歧，不平均成一个数，而要找到门槛究竟在哪一处没有共识。

六种方式依次改的是终点、起点、样本、范围、可比性和主体。拆开来，才知道该保留哪份材料，不笼统给机构贴造假标签。

例如一项公告很早出现，更正很晚才落实，编码者应分别记录公告与实际行动：措辞强也不提前取值，不充分也不从时间线删掉。复核者由此看到组织什么时候开始回应、什么时候达到门槛。

事发日与投诉日混淆，有时只因系统只存投诉字段。这时应说明原资料支持不了所需起点，不直接判定机构故意推迟；用该字段计算，就改名称或暂停旗舰量。数据方便，不授权偷换定义。

微小更正要查它与主要事件是否相接。错别字修了，不代表错误收款对象已改；声明范围写小了，也不代表受影响者全部得到处理。首次有效承担可以有限，但范围必须写明；取法若允许无关小动作替大事件完成终点，就要修订。

防法也有成本。保留版本、交叉核查与复审需要真实人力，一张取法卡挡不住全部造假；实际使用时，记下哪些材料可得、哪些只能暂缓判断，承认自己的缺口。

◆三、有一个更深的陷阱：认账变成背锅

机构可能为了缩短时距，要求最弱员工先承认。第十九章的替罪羊测试在此成为取值条件：无权看见和改变事项的人，说得再快，也替机构完成不了终点。保护员工不是把责任取消，而是将它接回有效主体。

若某人有接收权限却无赔付权限，可以记录接收时点，再记录有权者的有效行动时点。这样两项工作都可见，不因员工无法决定而羞辱他，也不把组织迟迟不行动隐藏在员工的快速回应之后。

数字被奖励时，组织可能让最接近事件的员工先承认，完成内部目标，补救则"由后续流程处理"。员工没有相关权限，快速声明只说明组织找到了一个出口。

审阅者要按当时条件看署名。员工在压力下说全是我的错，不足以证明他控制全部事项，权限仍需独立核对。具体责任交由相应程序，本书读数不是机构绕过专业判断的工具。

接收者后来获得授权并完成处理，可从其实际达到条件的时点核定。保护弱者不是否定一线动作，而是不让一线名字遮住未提供的组织支持。

报告也不把延误归给个人。某员工接的难事多，时距更长，可能来自授权队列或资源限制。只呈现事项与制度条件，不做个人速度榜；任何个人考核用途都违反本书的边界。

◆四、赔付资金的另一面

公布一笔钱可能制造安全感，却不说明谁能调用、覆盖什么和目前是否可用。核查需要适当资源证明，不必公开全部账户细节。资金不够时应说明承诺范围和缺口，名义金额不是已经发生的补救。

自动补偿也可能有效，没有人当场发言，不是一概排除的理由。只要可识别主体、有效授权和具体行动满足门槛，公开材料能连到维护者与资源，就按同一取法处理。这把尺测的是可追问的制度安排，不奖励某种表演风格。

有的补救不以现金发生。错误入口被修复、被误停的服务恢复、事实更正到达原读者，都可能在明确范围内构成行动。正因赔付不是唯一门槛，越要说明本次究竟做了什么；泛称已采取措施，不足以取值。

资源不足时，已完成与未完成的部分同时留下：首次有效动作确已发生，按规定记录并说明覆盖范围，长期缺口另行观察。短时距取消不了后续质量，资源不足也藏不进一次漂亮回应。

◆五、谁来复核这把尺

可以由有时间和相应能力的独立审阅者复核材料，避免只听被评机构的选稿。复核者也需要说明检索范围和利益联系。本书尚未建立这样的团队，也就没有独立评估认证。

复核不是抓个人撒谎，而是检查数字与实际事项的连接。独立复核首先是独立选材料。审阅者只收到机构挑好的公告，便看不到遗漏。应按固定来源形成事项清单，再按统一规则检索承担记录；机构可以补充证据，却无权决定哪些事件进入研究。

复核者受谁委托、有哪些资料访问限制、是否参与原流程，也要说明，让读者理解材料与角色。

几位审阅者意见相同，也不保证定义正确：他们可能依赖同一公告，或共享一个过宽门槛，这与多部门默认对方已核查是同一种风险。

机构提供新材料改变判断时，按版本修正，保留旧值、原因与影响范围。拒绝一切修正会让尺僵化，悄悄覆盖旧值则让它不可追问。复核者也要对自己的记录承担接续。

◆六、升级条款：复核三问

认的是哪件事？落实的纠正或补救在哪里？具名主体是否真有处理权？三问任何一项不清，应将终点暂缓确认。不是要求真实受损者无限举证，而是让宣布已承担的主体提供它确实完成的依据。

三问须针对同一事项：对象、时间范围与已知影响，可核的纠正或补救，连到有权位置的行动。三段材料各说各的事件，拼不成一个有效终点。

权限证明不要求员工公开个人信息，可以核经机构确认的岗位职责、授权或实际决定关系。隐私受保护与责任身份可追问，可以同时成立；资料不宜公开时，替代复核路径应预先说明。

三问都清楚，只支持本次终点成立，不证明全部后果已结束。报告若只留终点，读者可能把首次承担误读为最终恢复，这是尺自己造出的新外观风险。

有一项暂时不清，就标出缺口与所需材料：未知不强写为失败，也不默认通过，编码者不必在两个过强结论中任选一个。

◆七、防伪栏：取法卡里必须有的几格

记录事件与承担范围是否相同、行动是否实际发生、权限怎样确认、未完成部分在哪里。公开缺失材料，也记录检索失败。机构没有公告，不等于无行动，复核者自己也要防越界。

取法一经注册，发现方法缺陷可以修订，但先看哪种结果支持本书、再更改门槛，是本书禁止的。修订需要说明理由，并以旧新两种口径检查结论是否稳定。否则防伪规则本身也会变成造好数字的工具；对本书不利的稳定结果，尤其要用同样的努力核定。

防伪栏还要记录事项的纳入来源。一个机构一年只公开少数顺利更正，从这些条目开始，就无从知道其他事项是否被排除。公开样本形成路径，能暴露自选问题，但报告仍需说明观察范围。

未完成栏应保持稳定。事项转入历史表、被合并或改名，不应自动消失；确需排除，留理由和方法版本。指标一旦有奖惩压力，分母的变化往往比计算公式更值得核查。

观察结束不是事项结束。截止日后仍可能有动作，后续版本可以更新，原窗口结果照样保留。不等支持本书的事项都完成才宣布截止，也不提前停止困难事件。

◆八、驯化预判

一个数字被用于奖励，使用者可能围着它改变行为。这里不引用未经核的古德哈特原话，只将这一风险作为本书的推演。禁止个人考核、保留未完成、观察实际后果，能减少部分扭曲，但不保证永远防住。

若指标已经诱发伤害，取法再精巧，也该暂停该用途，公开问题，重新检查读数是否还有净收益。现实不该为了保护尺的名誉而受苦。

数字被当目标后，组织可能先办容易的事件，把复杂事项放到边缘；也可能只做满足门槛的最小动作。两种都是风险推演，尚无发生频率，要在实际观察中检查承担范围与后续质量。

不公开排名，数据也会形成压力：内部会议可能仍以时距追责，员工可能预先拒收困难事项。应允许一线反馈伤害，确有影响就回到组织条件。

防法也不是越厚越好。取法越复杂，维护成本越可能超过信息价值，也越只有资源充足的机构提供得起材料；附加判断不足，就缩小或退出。

尺的失败有两种需要分别说清。一种是记录不可靠，当前无法计算；另一种是记录可靠，但时距与预设后续结果没有附加联系。前者要求改资料或暂停取值，后者要求撤回预测主张。防伪困难，不是替所有反方结果开的逃路。

本章最后把检查转回作者：防伪栏是一份待验证的约束，要在真实、相称的资料中接受复核才知道能否减少偏差；实验设计也必须保留失败的可能，不把第三组预先写成胜者。

停止一种用途后，要说明替代安排：机构不再以时距为内部目标，异议接收、有效纠正与后续记录照旧保留。退出的是不相称的测量或激励，不是承担本身。停止原因——资料成本过高、取值分歧过大，还是发现伤害——也写入方法版本，后来者才不会重复同样的尝试。

任何对外说明都应保留观察范围、可核材料与尚未解决事项。拿掉限定只发布一个总分，谨慎的取法就变成新的可信外观；本书对自己的宣传也守同样的要求。

带走的话
时距必须与具体事项、已发生行动和实际权限一起复核。尺被用来逼人背锅时，首先应停止这种用途。

小账
：摊位、六种方式和防伪栏为构想推演；无实测，未引用未经核的格言原话。

第 37 章

对照实验的设计：只有系统、只有人、持续验证、认账单元

这一章的问题：怎样检验人机分工的附加价值，而不拿真实受骗者作试验材料？

【出纳问怎么选】这是我构想的场景。某公司比较采购检测系统、增加人工复核、同时建立明确承担安排三种方案。系统卖家和流程顾问各有理由，老板想知道第三种是否值得多花成本。本章只写研究设计，没有进行演练或真实付款。后来安全顾问又提出第四种：在检测系统上叠加零信任式持续验证，不另设承担安排。老板问出纳：多出来的那份"谁来认"，到底值不值？

◆一、为什么不止两组

只比较旧流程和第三组，无法知道改善来自更好的检测还是更明确承担。三组分别观察技术、人和组合的表现。但三组仍分离不了所有因素，若组合同时获得更多资源，优势也可能来自投入。设计应说明预算比较和因素边界。

三组首先回答三种方案的整体表现。系统组改善材料识别，人工组增加复核，组合组同时连接工具、授权与后果。组合组更好，只能初步说该方案在当前条件下有优势，还不能全归给认账单元。

这个限制要写在结果出现以前。第三组赢了就说全是理论贡献，输了又说预算不够，就没有用同一比较条件。方案应预先说明每组获得哪些资源、哪些条件相同、哪些故意不同。

拆分可以更细。在检测工具与训练条件相同时，比较有无明确授权、停止权和补救接续，才更接近这套安排的附加价值；它仍可能包含多个相连因素，不能包装成对所有机制的证明。本章照这个思路增设第四组，见下节。

先做可行性检查，发现材料不可得或规则难理解，就先修设计；实施条件清楚了，再做正式效果比较。为保留漂亮的实验结构，把还跑不起来的组直接送入统计，是本末倒置。

◆二、各组是什么

第一组以检测工具为主要新增措施，保留所有正常安全与责任底线；第二组以人工复核为主要新增措施，也保留底线；第三组使用工具并明确授权、停止权、补救资源与回写。标题"只有"指新增措施重点，合法责任与必要保护照常保留。

第四组照本章原先的建议增设：使用与第三组相同的检测工具，再叠加零信任式持续验证，每次重要动作都按当前条件重新评估权限，但不设明确的授权署名、停止权、补救资源与回写。它与第三组只差认账安排这一项，正好把第十六章所说"零信任的另一半"变成可以测的对照。三组设计因此扩为四组：前三组回答方案比较，第三、四组之间的差额，回答认账安排本身的增益。

系统组不被故意设成无人负责，人工组不被剥夺必要工具，第三组也不独占优秀员工。组织原有的工作要记录，否则比较可能只是好流程与坏流程之差。

每组措施要说明清楚：检测工具处理何种输入，人工复核看哪些材料，组合组由谁暂停、谁决定例外、谁回告后果。第三组若只多了一份口号、没有实际权限，检验的就不是本书定义的安排。

预算可以按相近投入比较，也可以比各方案实际成本：前者接近同等资源下的效果，后者接近现实选择的总负担。方案须提前选定，不在结果出来后换成对第三组最有利的说法。具体成本边界待真实组织审定。

执行差异也要留下。有的团队没完成某项训练，有的工具暂时不可用，有的授权者长期不回应，都影响措施到位程度。怎样保留这些单位，应预先写清；删掉不顺利的团队来制造必胜，是作弊。

◆三、怎么跑：用演练代替真被骗

采用无真实转账的模拟事项，包括正常请求、材料缺失、异常变更和真实紧急情形。参与者预先知悉研究范围，材料不触及真实秘密，不以隐蔽羞辱作培训。模拟失误用于修改安排，不进入个人惩罚。

模拟请求应有不同类型，测试集与训练材料分开，顺序和分组尽可能随机。

模拟材料要包含正常事项，并让它们有机会顺利通过。若全部请求都危险，一律拒绝就能得高分，实验便没测到真实合作。几类事项一起出现，才看得到防护与可用性之间的取舍。

每项材料的正确范围要在演练前确定。当前信息只支持暂停补核，评分就不要求直接宣布诈骗；正常请求经过相称检查可继续，评分也不奖励无限等待。不能看哪组做了什么再改评分。

参与者记住故事结局，不等于学会在新事项中找到边界。正式比较用事先隔开的题组，并检查难度是否相称；某组偶然收到更容易的材料，解释胜负时要面对这一差异。

同事之间会交流规则，按个人分组容易互相污染。方案可以团队为单位分配，由统计人员处理团队内相关：一个团队几十次点击，不等于几十个独立组织。此处只提设计要求，不给未经审定的样本量。

评分者在可行范围内不知道所属组，能减少按理论期待解释同一动作的风险。某些流程外观藏不住，就如实记录盲法限制，尽量以预设证据判断。

◆四、读什么：四个量和一条判据

观察异常请求的误放、正常请求的误拒或延误、模拟事后有效处理时间，以及实际补救和记录质量。主要终点在演练前固定，其他作为辅助。实验后从很多结果中挑出一个有利指标，宣称全部主张成立，是本书禁止的。

最初的判据只是"第三组优于前两组"。本书把它收紧成一条写死输赢线的预言，并且先用第22章的缺式体检写出各组会怎样失败。只有系统缺E，预测误放下降、事后有效处理时间不改善；只有人缺S，预测误拒与延误上升、误放只略降；工具加持续验证而无认账同样缺E，预测与只有系统同一模式，事前更严，事后不快；认账单元三式俱全，预测误放与事后处理时间都改善，正常事项延误不超过事前界限。

预言三：认账单元组的模拟事后有效处理时间（按中位数计），比第四组短至少一半；同时，两组误放率之差落在事前裁定的等效界限内，界限定为绝对差不超过五个百分点。两个条件同时满足，预言成立；处理时间缩短不到一半，或误放率之差超出界限，预言判输。合格团队每组少于十二个，或任一组措施实际到位率低于八成，记为未能检验。结算日与预言一相同，为2028年12月31日；届时研究尚未完成，同样记为未能检验。

这条预言的分量不在谁赢，而在失败模式表。若第四组的事后处理时间与第三组一样快，说明持续验证本身已经接住了后果，"缺E"的判断就错了；若四组的失败模式与表格对不上，三方程在本书只是整理工具，应如实降级。第四组也守着第十六章的公道：若它在事前与事后都与第三组相当，本书就承认，零信任的成熟实施已经补上了另一半。出纳拿到的，会是一张说明每种方案在哪里失灵的表，而不只是一个名次。

主要风险终点按模拟事项定义：哪些应暂停补核而被误放，要有一致规则与分母，一次事项中多个步骤怎样计数也要先定。只数错误点击而忽略越权授权，或重复计算同一失误，都会改变结果含义。

正常事项的负担另看误拒、等待与重复提交。安全方案把正常请求都挡住，误放再少也不算赢。可接受延误由真实业务条件审定，本书不规定通用分钟数，但要在比较前固定。

模拟事后的处理时间，起点是预设错误事项进入后续处理，终点按相应门槛记录。它不等于真实事故中的公开认账时距，也不进入旗舰样本。

记录质量要有具体判据：能否找到相同事项、权限是否清楚、已完成与未完成是否分开、后续变化是否回写。报告写得长、名字填得多或语气诚恳，代替不了实际工作。

第三组优于前两组，要同时说明优势大小与不确定范围。风险略降而正常负担大增，只能报告这种取舍。统计显著、实际价值和普遍可用是三种判断，正式方案需相应人员审定。

◆五、结果出来之后怎么读

若第三组风险较低却成本过高，只能说明特定条件下有改善，不证明普遍出路。若第三组只比人工好、与系统相同，额外承担的优势未被支持。若系统组稳定最好，本书应承认反方结果，检查自己夸大的地方。

所有组都好，可能是题太简单；都差，可能是场景或资源不适当。应按预设分析检查，不能遇到不利结果就说参与者不懂理论。永远指责实施者，是理论逃避失败最常见的办法。

结果不支持第三组时，先按预设问题报告。措施到位、材料可比，却没有附加改善，本书的效果主张就受到直接挑战；临时换辅助终点或只取表现最好的部门，都不允许。不利结果与有利结果占同样的发布位置。

实施确实没到位，说明方案的可行性受限，这也算不上理论成功。要报告缺了哪些权限或资源、为什么没能提供、能否修复。实施困难本身就是方案进入组织的成本。

第三组明显获胜，也要查它赢在哪里。误放少可能来自额外复核，接续快可能来自专门资源。结果可以支持当前方案，却证明不了一个独有机制，更不意味着所有场所都该照用。

没有差异，也可能是任务缺少区分能力，这可以在事先规定的检查中发现，并用于下一轮设计；当前结果照样保留，不重新出题直到第三组赢为止。

◆六、这个实验会在哪里出错

样本太小、团队互相影响、任务不真实、评价者期待、不同资源投入和选择性记录，都会限制解释。演练后的处理也不同于真事故的心理与财务压力，因此只能先检验流程动作，替代不了真实年度复发率研究。

学习效应影响重复演练：参与者后来熟悉了题型，表现变化未必来自措施。组合组总排在最后，再把熟练程度算作方案效果，就混淆了。

失访与退出也要保留。忙碌团队完不成，或参与者感到不适而退出，可能与实际负担有关。报告说明各组进入、完成与未完成情况，不只分析留到最后的顺利者。

执行者对理论的期待，也会影响接续与评分。要固定说明、材料与裁定方法，记录临时帮助是否不同；第三组若得到更多提示，比较的就不只是流程安排。

模拟与真实事故之间的差距，顺利结果抹不掉。真实事件有恐惧、财务损失、组织争议与公开压力。演练先回答动作能否运行，后果是否改善要靠后续现实观察，跨这一步需要新证据。

◆七、最小的版本：两个部门，八周

两个部门和八周是可行性示意，不是足够检验四组效果的样本。可以先看规则是否被理解、记录是否可获得、任务是否安全。正式比较的样本量由统计人员按预期效应计算，并在预注册中锁定；预言三写下的每组十二个团队只是下限，不是充分样本。

两个部门的示意试行，能发现联系人找不到、字段含义不清、权限无法接续等具体卡点，却给不出总体成功率；哪怕每人完成许多模拟事项，也不等于足够的独立组织单位。把小试点诚实称为可行性观察，比把几个顺利任务包装成大规模证据更符合认账精神。

八周也只是示意。窗口能否覆盖训练、使用、替班与复盘，要按真实条件确定：短了看不到维护困难，长了增加成本。

试行发现参与者不理解停止权，先检查说明与实际支持，不把责任推给员工；说明已清楚，组织仍惩罚暂停，则方案条件没有成立。可行性阶段应允许得出"暂不适合正式比较"的结论。

正式研究的预期改善、可接受的正常负担与团队差异，都要进入设计，在预注册中写定后才开始。

◆八、被演练的人，怎样对待

参与者应知道记录范围和用途，有适当隐私保护与退出安排，事后能了解材料和结果。正式研究须经过相应伦理与组织审查。本书没有获准开展研究，也不会将此章设计当作实际实验的授权。

参与者知悉范围，不意味着提前知道每道题的答案。可以在明确的安全边界内观察判断，不制造真实的紧急恐惧，不用真实账户或秘密。

演练结果不进入个人惩罚，是一项需要组织实际接受的用途约束。老板一边签同意、一边私下按错误次数评价员工，参与条件就变了。研究者要有接收这种反馈并暂停的路径，不只在招募说明里写一条保证。

反馈用来改流程：让参与者知道哪项材料支持暂停、哪些权限缺失、下一版怎样改，而不只宣布谁答错。某组得到详细讲解、另一组只得分数，再比后续表现就不公平。

设计越详细，越要分清：文字规定了应检验什么，不证明条件已经具备。申请、审查与资源确认属于后续实际工作，不在故事里假装完成。

◆九、在没人做实验之前，一个"穷人版"

先用虚构请求走一遍当前规则，记录材料、暂停、授权和异常入口在哪一步断开。这只用于改流程，不计算三组胜负。资源少并不使方法无用，但会限制能声称什么；没有证据，就不宣布措施已被验证。

例如走一遍会发现没有替班、无人批准例外或记录难理解，但这只描述这一轮动作：走通一次不叫机制已经验证，卡住一次也不说明所有方法无用。

修改后再走一遍，保留改了什么、哪些条件仍缺；参与者若只是记住了上一题，顺利就不全是修订的功劳。穷人版的诚实在于范围小，结论也小。

任何规模的观察都需要出口：关键条件提供不了，就暂停；动作可行，才考虑正式比较；结果不利，按预设规则撤回期待。研究由此成为可结算的工作，而不是为已经相信的理论找一段顺利剧情。

◆十、第五个预言：去处不是补偿，也不是悔过

前面四组比的是安排在哪里失败。本节另设一个更小、更便宜的实验，专门检验第14章那一格：钱相同时，"改的权"在机构无过错的冒充情境里，是否比在机构自己出错的情境里更起作用。

实验用情境题，不涉及真实转账。受试者读到一件事：一位家人通过某家机构办一笔对家里很重要的付款，钱被骗走了。情境分两种：一种是机构自己的流程出了错；另一种是骗子合成了家人的脸和声音，机构流程本身没有过错。两种情境里，受骗的可能与损失金额写得一样。每种情境再分三种出事以后的安排：

安排 出事以后
甲：自动返还 五个工作日内全额自动退回，不设具名接口，也不承诺改规则
乙：有人接 同样全额退回；具名岗位接听、说明、道歉，但无权改规则
丙：认账单元 同样全额退回；具名岗位有权暂停同类交易、修改规则，并公开下一次改了什么

两种情境乘三种安排，共六格，受试者随机分入其中一格。主要结果是七分制的托付意愿：还愿不愿意通过这家机构办下一笔重要付款。

几种看法在这里预测了不同的形状。保险的看法：六格一样。程序正义的看法：乙、丙都高于甲，两种情境相近。悔过的看法：乙、丙在"自己出错"情境里作用大，在"被冒充"情境里作用小。本书的看法：被冒充情境里，丙比乙高得明显；"丙比乙"这一段在被冒充情境里比在自己出错情境里更大；"乙比甲"这一段则相反，在被冒充情境里更小。

设计守三条纪律。第一，钱与时间在六格完全相同，否则差别可以由补偿解释。第二，乙的具名岗位要写得真诚、可联系，否则乙偏低可以由"写得敷衍"解释。第三，做操纵检查，确认受试者读懂了情境与安排的差别。输赢线写在第38章的预言五。

带走的话
方案的优势需要在安全、可比的设计中检验；预言三预测的不是谁赢，而是各组在哪里失败。演练可以发现卡点，却证明不了真实世界的复发下降。

小账
：四组、四终点与预言三均为研究设计；两个部门、八周为示意；六格情境实验与预言五亦为设计，600份、0.4分与两个0.2分是本书写定的检验条件；无实验数据。

第 38 章

本书的作废条件：检出率与持续验证

这一章的问题：哪些结果足以让本书退让，五个预言按什么条件结算？

【妈妈手机上的小红标】这是我构想的场景。假设未来设备提醒可靠而且便宜，家庭是否还需要本书这种安排？答案不预先锁死。本书若以技术永远失败为前提，就会把自己的位置建立在别人的无能上。

◆一、五条作废条件

第一，新的盲测长期显示检测与适当授权稳定可靠、成本可负担，本书关于某类核验被压过的主张应撤回。这一条写死为：由不受厂商资助的第三方评测，连续五年、每年至少一次，在评测方当年新制的合成与冒充材料上，异常检出率不低于99%，同时正常材料误报率不高于1%；任一年两项中有一项不达标，该年不计入连续年数。只报单项检出率不算数，误报、基率与正常使用负担要同时报告。

第二，持续验证方案在固定场景中把残余事故及处理需要降到预设极低水平，附加认账安排无可辨增益；预言三的第四组若在事前与事后都与认账单元相当，即触发这一条。第三，认账时距与后续结果没有预设方向的联系，或控制公开修复时长后不再有解释力。第四，来源措施在公平界定下独自取得足够效果，即预言二判输。第五，五个预言中任何一个按写死的输赢线落空。各结果撤回对应主张。

第一条作废条件要同时看检测对象与行动对象。系统准确识别一段合成音频，不代表已确认发话人有权要求当前付款；来源确实对应原设备，也不代表用途适当。撤回哪项主张，要与实际取得的能力相称：检测压力已被解决的部分就撤下，但检测胜利扩不成"全部后果安排无用"。

99%的含义必须写清。它可以是对异常材料的检出率、对正常材料的放行率或混合样本的正确比例，三者各指一事，不可互换。设一个纯演示场景：一万项材料中一百项异常，九千九百项正常；若异常检出率为99%，正常误报率为1%，则检出九十九项异常，同时误报九十九项正常。被标出的两类各占一半。所有数值均由假设计算，不是设备实测。

可见单个百分比承担不了全部使用判断：真实异常较少时，正常材料里的少量误报也会造成可观的负担，所以作废条件不只挑一个最好看的指标。

五年条件按评测年度计算，起点为本书出版后第一个完整评测年度，每年记录系统版本；版本更替不中断计数，但每一年都要按当年版本重新达标。

其余作废条件同样对准具体主张：来源措施独立达到预设效果，撤回它必然不足的强说法；时距没有附加预测力，撤回读数效果期待；更好的安排减少了某种承担需要，就缩小认账单元的适用范围。分开了，撤回才能具体，不是全书胜或全书输。

◆二、为什么要把作废条件写在前面

结果未见时，人比较容易承诺公平标准。结果见了再解释，可以随时换指标、换领域、换截止日，理论便永不失败。作废条件应连同样本、材料与编码提前留存。本书已把这些条件写定在附录三，正式预注册时照此登记；除附录三写明的那一次预注册前调整（须公开理由与旧值）外，不再留可以事后调整的空格。

只写一句"如果技术足够好我就退出"，结果出来后仍可无限重定义"足够好"。阈值、范围、样本来源与比较窗口，要在看相关结果之前固定。

本书写定的数值，是作者裁定的定稿；预注册前只许调整一次，须经统计人员复核，并公开理由与旧值。写定的意义，在于不再借"尚未确定"同时享受预言的宣传效果和不被检验的安全。

后来发现的方法缺陷可以修，但要注明时间与原因：修订前的结果仍按原口径报告，修订后的分析注明探索或新版本，不把看过结果后改的门槛说成最初承诺。

已经发生的资料还要区分阶段。提出方案时，一部分2025年事项及其后续可能已成历史，对它们的分析属于回顾，不称未来盲验；作者已看过哪些信息也应说明。

提前写作废条件也不是道德表演，而是让结果到来时有人知道怎样结算、谁维护材料、哪些主张受影响。没有实际资源与责任接口，书中漂亮的承诺就像一张用不了的保修卡。

◆三、什么不算作废

一次检测错误不证明技术路线失败，一次快速认账后的复发不单独证明读数失效。有限样本要看方向、效应区间和设定条件。这种谨慎对本书同样适用：一次顺利示范也证明不了理论成立，范围不清时只能说尚无法结算。

样本不足时没有结论，这不算理论被支持。估计区间宽到同时容纳改善与无改善，就应说现有资料区分不了。作者不借"没有显著反证"宣称成立，反方也不借"没有显著优势"宣称安排无用，双方用同一事先判据。

实施不到位，也不是无限免责的理由。真实组织长期提供不了权限与资源，就应缩小现实建议，而不是永远说"只要完整实施就会成功"。

材料证明技术明显改善，本书就承认改善，即使某条长期阈值还没达到。作废条件不是唯一的修订触发点，不必等输掉全部赌约才改已明显过时的描述。

某项预言符合方向，也不自动确认解释：短时距组复发少，可能来自原有能力。支持只限于预设的可检验主张，结算公平同时约束输与赢。

◆四、五个预言：输赢线写在这里

预言一：纳入2025—2027年公开通报的深伪及冒充诈骗事件，按附录一取法卡去重，合格事件不少于40起；按事发后30日内是否满足三门槛分为短时距组与长时距组，比较其后12个月同类复发比例。输赢线是：短时距组的复发比例比长时距组低至少三分之一，并且在控制机构规模与事件类别之后方向不变。差距不到三分之一，或控制后方向反转，预言判输；合格事件少于40起，记为未能检验。结算日为2028年12月31日。

旗舰量是连续时距，30日分组只是简化辅助分析。为避免把前30日又用作分组又用作结果引入时间偏差，可将第30日设共同随访起点，之后统一观察12个月；早期再发另记。也可设计时间变化分析，但须预先确定，结果出来后挑算法是禁止的。

预言二：只用一个公开统计口径，即FBI互联网犯罪投诉中心年报中的冒充类损失，具体类目在预注册时按2024年报的类目名锁定。前提是主流手机系统与按月活跃用户计排名前三的社交平台中，默认显示来源凭证的覆盖率达到百分之五十。前提成立时，2028年该口径名义损失不低于2024年的百分之九十，预言成立；低于百分之九十，预言判输。覆盖率未达百分之五十，或统计口径中途改变，记为未能检验。结算在2029年该年报发布之后。预言二预测的是"只靠验真不够"，属于反面支持：它成立，只说明来源凭证不足以压低损失，并不证明认账安排有效；后者由预言一与预言三承担。

预言三写在第37章：认账单元组的模拟事后有效处理时间，比"工具加持续验证、无认账"组短至少一半，而两组误放率之差不超过五个百分点；每组合格团队少于十二个，或措施到位率低于八成，或结算日前研究未完成，记为未能检验；结算日为2028年12月31日。预言三的判别力有限：第四组按设计就没有事后承担安排，事后处理更慢几乎由设计决定，所以它真正检验的是"误放率之差不超过五个百分点"这一半，即认账安排不以放松事前把关为代价。连同下文的预言四、预言五，五个预言各有数值输赢线、独立的未能检验条件和结算日。

预言四来自第24章，定位是复现检验：安全经济学已经说过预防投入沿损失落点分布，[29]本书只检验这个方向在英国强制返还制度里是否复现。[24]按预注册时锁定的名单，取规则覆盖范围内交易量最大的五家发送行，收集它们在规则生效前三年（2021年10月7日至2024年10月6日）与生效后三年（2024年10月7日至2027年10月6日）公开文件、产品公告与监管披露中可核到的新增面向付款人措施，按条计数，并按"境内覆盖路径"与"国际汇款路径"分列；法定许可的付款延时单列，不进主比较，[25]已加入自愿返还守则的机构单独报告。输赢线是差分：生效后减生效前的新增条数增量，在境内覆盖路径上至少是国际汇款路径上的两倍。不足两倍，或五家中有三家以上在覆盖路径上的增量为零或为负，预言判输；公开材料不足以分清措施所属路径或时间的机构超过两家，或规则在结算日前被撤销、大改，记为未能检验。结算日为2027年12月31日。它判输，三方程在信任上就没有得到这次复现的支持；它成立，也不为本书增加新颖性。

预言五来自第37章第十节，是本书押在自己那一格上的预言：AI时代的"不再发生"不再是悔过，而是职能。六格情境实验为"自己出错／被冒充"两种情境乘"甲自动返还／乙有人接／丙认账单元"三种安排，六格的受骗可能、损失、返还金额与时间完全相同，每格有效作答不少于600份，随机分配。输赢线三条，同时满足才算成立：其一，被冒充情境里，丙的七分制托付意愿比乙高至少0.4分；其二，"丙减乙"在被冒充情境里比在自己出错情境里大至少0.2分；其三，"乙减甲"在被冒充情境里比在自己出错情境里小至少0.2分。任一条不满足，预言判输；若只有第一条成立，说明改的权有用，但作用方式与悔过研究已知的一致，本书"职能而非悔过"的说法撤回。每格有效作答不足600份，注意力检查失败率超过两成，或能分清情境与安排差别的受试者不足七成，记为未能检验。结算日为2027年12月31日；到期研究仍未完成，本书不以"未能检验"了结，而在新版中把"职能而非悔过"降为待证假说，并从总命题中撤下。

预言一还有一个书里自己承认的洞：认账快的机构，可能本来就能力强，复发少未必因为认账。为此加一条辅助检验，在同一机构内部比较：同一家机构的不同事件中，认账快的那几次，12个月内同类复发是否更少。机构能力在同一家内部大体固定，这样可以部分排除"能力强自然复发少"的解释。纳入条件是同一机构至少有两起合格事件，且分处两个时距组；满足条件的机构少于十家，这条辅助检验记为未能检验。若它的方向与主检验相反，主检验即使达线，本书也只报告"关联成立，机构能力解释未能排除"。

第二条辅助检验对准第35章的划界句。样本里同时记录公开修复时长，预测是：控制修复时长之后，认账时距对复发仍有解释力，短时距组的复发优势至少保留未控制时的一半。做不到，认账时距就只是MTTR的一个变体，本书按判输纪律缩小主张，把它降为修复时长的补充记录。第24章回写原理推出的那条比较，即留有规则回写记录的事件复发更少，也放在这里一并报告。

预言一先需要明确事件单位。同一机构的一起事故、多个受影响交易与多次公开通报，可能重叠。若重复计数，组间数量与复发比例都会改变。纳入来源、去重与事件类别应先固定，而不是看到某些机构表现后再决定拆分方式。

同类复发也需定义。后续再次发生相似问题，究竟按身份冒用、通信载体、错误授权还是组织缺口分类，需要可核标准。本书不一面把短时距组的新事故说成不同类，一面把长时距组的任何问题都算作复发。分类理由与材料应留在记录里。

共同第30日随访起点只处理其中一种时间比较困难，不自动解决所有偏差。仍要看事件难度、组织能力、公开程度与风险暴露；有些因素无法取得，就说明限制。30日分组是辅助取法，不替代连续时距，也不因某一组样本较少就临时换天数。

定为不少于四十起，是可行规模的下限，不保证能够识别预期差异。真实所需样本与分析要按资料、预期效应和机构内相关在预注册时审定；若不足，报告未能按原方案结算，而非把四十当成一个自动使研究可靠的神奇数量。

预言二首先结算前提。覆盖率按手机系统出厂默认设置与平台默认显示两项分别核定，各需独立材料；发布支持功能的公告不等于默认显示，一个平台覆盖率高，也不代表全部目标场景。前提未满足，主张保持未检验，不偷称预言已兑现。

损失比较固定用名义金额，不作通胀调整；投诉口径与总体损失不同，本书只结算投诉口径。2024与2028年的类目若改名或拆并，按预注册的对应表处理；对应不上，就宣布无法比较，记为未能检验。结果出来后改选涨得最多的一类，是本书禁止的。

结算日是一项工作承诺。到时发布已能检验、未能检验与相应撤回三种状态，并说明未完成原因。届时若资料或研究承诺没有落实，本书认下这一点，不再把预言当作效果证据使用。

复发资料还可能因公开能力不同而偏。愿意更正的机构披露较多，新事故也更容易被找到；沉默机构可能记录较少，却并不因此更安全。检索来源需尽量独立于机构自身宣传，并说明仍无法解决的发现差异。把未发现当未发生，会让承担更公开的机构反而显得更差。

◆五、旧文献推不出什么：本书到底多预测了一格

本书试图多问连续时间是否提供预测力，而不只是有没有责任人。本书不断言旧文献从未作时间分析；第35章已向运维的确认与修复时长、新闻更正研究让路，本书到底多出什么，交给修复时长控制检验去回答。应与相近处理时长、事故响应和问责读数比较，检查本书到底增加什么。

FBI IC3《2024年报》列BEC投诉21,442件，报告的投诉损失为2,770,151,146美元。[14]本书核对的是PDF第9页和第10页，而非把两数写在同一页。BEC不等于深伪诈骗，也不完全等于冒充高管与熟人，因此预言二改用年报中的冒充类，而不用BEC。

这项基线说明候选数据存在，同时暴露类别不匹配。正式结算应选择稳定可比类别，若无法获得相称数据，就公开宣布未能按原口径检验。宽泛类别的升降，也直接归因不到来源凭证或认账安排上。

连续时间的附加信息需要与更简单变量比较。事件是否已有负责岗位、是否有实际补救、机构资源与复杂度，可能已经解释后续表现。若加入时距并没有相称贡献，本书就不应只因时间听起来精细而保留强预测。新名称免不了与邻近读数比较。

原文检索的边界也要承认。当前核过若干信任、来源与问责材料，尚不足以断言世界上从未有人测量处理时间。创新主张应接受最近邻检索与实际比较，未看见不等于不存在。正式研究前仍需补足这一工作，本书不虚构首创认证。

IC3基线是一个提醒：资料可能真实、数值可能核对正确，类别仍不适合某个预测。BEC包括的对象与本书指定事件不相同，宽泛损失变化结算不了来源凭证的作用。基线只按原来报告口径引用，缺少合适资料时也不让它替代目标。

如果之后得到更合适资料，也应检查时间与覆盖是否稳定。同样名称的年度统计可能使用不同收集范围，两列金额完成不了比较。资料质量先决定能问什么，理论无权要求资料迁就自己的故事。

预言四不多预测什么，它是复现；本书多预测的一格押在预言五上。保险的看法推出六格一样；程序正义推出乙、丙高于甲，两种情境相近；悔过的看法推出道歉与改的权在无过错的冒充情境里都变弱。只有从验认脱钩出发，才推出"冒充情境里道歉变弱、改的权变强"这个交叉的形状。这一格是否存在，交给一个低成本、可预注册的情境实验结算。

这一章多预测的一格，最终必须说成有限的问题：在明确对象与窗口中，连续认账时距是否给后续结果增加可用信息。它没有预先证明这种信息存在，也不把信息价值等同因果效果。清楚缩小问题，反而使支持与否定都有机会发生。

◆六、结算的办法

锁定方案后保存证据、纳入记录、排除理由、方法版本与资料截止；结算时报告所有符合条件的事项、未完成和缺失，解释机构内相关与复杂度差异。预言一判输，读数的预测主张失效，示范中的效果期待重写，故事再感人也挽救不了。

预言二若判输，即损失跌破九成，会削弱本书的强预测，另找增长类别翻盘是禁止的。反之损失不降，也不单独证明来源无用，因为攻击数量和其他条件可能变化。五个预言守同一公平边界：输要认，赢不夸大。

结算报告按主张逐项写结果，不把技术压力、时距预测、来源条件与方案可行性混成一句"总体获得支持"。一项成立抵消不了另一项落空，无法检验的也不顺手算作胜利。

不利结果进新版正文，不藏在不易找到的说明里。技术条件改善，关于检测持续失效的强句就要缩小。撤回要连到书中受影响的推论，才真正改变读者下一次行动的依据。

有利结果也注明局限。某个领域的短时距与较少复发相连，扩不到家庭私事或所有社会合作；来源凭证未达总体目标，也不表示具体核查贡献为零。

作废清单保留撤回日期与依据，并链接受影响的版本。旧文字可能仍在传播，改了正文不代表旧结论消失，应沿原入口说明变化。

结算以后仍可能收到新材料，按既定定义复核，保留旧结果与新理由。允许纠错，不等于无限延期；新的探索要形成另一项预测，应另立方案，不冒充原预言从未失败。

带走的话
五个预言各有数值输赢线、未能检验条件与结算日。作废就撤回相应主张，既不以新解释无限拖延，也不把支持扩大成万能结论。

小账
：99%、1%、五年、四十起、30日、12个月、三分之一、90%、50%、一半、五个百分点、十二个团队与各结算日，均为本书写定的检验条件，不是实测；[14]为IC3年报基线，BEC不作预言二口径。预言四的三年窗口与两倍、预言五的每格600份与0.4分、两个0.2分亦为写定条件；[24][25][29]为制度与文献来源，不是结果数据。

第 39 章

本书不碰的与读者的下一步

这一章的问题：本书在哪里停笔，不同读者怎样带走一件可用的小事？

【家长群里的一条消息】这是我构想的最后一次方法提示：群里一条"班主任"消息要求重要行动。读者不需要拿这本书给发布者作人格判决，可以先找到现行正式入口、授权范围和异常处理者。若找不到，就保留未知，按既定路线补核。

◆一、本书不碰的几件事

不解释合成算法，不提供攻击实现，不比较各国条文，不裁判政治舆论，也不决定具体诉讼责任。它讨论陌生或远程托付怎样连接核验、授权和后果。不碰，是因为本书没有足以替它们下结论的材料和能力。

边界首先由当前问题决定。家长群的一条重要请求，要核的是当前正式入口、具体对象与授权，不是每位家长都得先懂合成算法；算法知识可能帮助理解材料，却不会自动授予学校决定权。把问题拆开，读者才知道该找哪一类支持。

真实争议转入专业领域，方法仍可帮忙整理材料：什么时候收到什么要求、做过哪些行动、哪些问题没说明。它为专业处理提供线索，生成不了法律、医疗或财务结论。

政治与公共争论也借用真假语言，但对某项请求的承担接口检查，不该扩大成对一个阵营的整体真伪判决；针对一件事的材料，跟不上口号的扩张。

技术边界同样要守住。发现联系路线可能被不当控制，可以暂停重要行动、寻求适当支持，不应从本书推导攻击与侵入方法，也不为追求确定性越过他人的权限与隐私。

边界也不是让组织退回一句"这不归我管"。入口裁定不了专业问题，可以说明自己能接收的范围、已做的动作与转交去向，而不是把材料丢回提出者。有限承担仍要接续，只是不冒充超出实际的知识和权力。

读者也应承认自己的核查范围。看过公开页面，只能判断页面目前显示什么，不对私下工作作断言。方法让未知更具体，不让它自动变成最坏猜测。

◆二、三条禁令，一并写明

不作医疗、法律、投资诊断；不做政策表态；读数不进个人考核。三条来自丛书立题，是全书执行边界。案例中的家庭互助、资金与工资条都是说明材料，真实问题应寻求相关专业判断，纸条代替不了必要程序。

读数也不用于给父母、同事和客服排序。它的对象是定义清楚的制度处理事项，预测不了某个人是否善良。把它变成关系控制工具，就违背了本书减少弱者负担的目的。

个人考核禁令要看实际用途。机构说只评流程，却把每起事件的时间归到接收员工头上；家庭说只为安全，却按谁接得慢评价孝顺。已被这样使用，就停止该用途，回到事项和组织条件。

接住困难事项，往往比拒收简单事项耗时。排名若奖励更短时距，人会先保护数字，不愿接新疑问。这是风险推演，不是行为数据；禁用个人考核，为的是保留接收复杂问题的空间，并不保证从此无扭曲。

读数也替代不了真实责任程序。机构积极补救，可能仍有专业争议要处理；公开较慢，也不直接等于某员工应赔偿。法律责任、内部职责和研究编码各有定义，一个时间值越不过各自的证据与程序。

执行禁令靠每个案例的结论与之相称：工资条只说明异议入口，付款只说明授权边界，家庭只说明互助安排；书中构想没有替任何专业方案完成审定。

禁令也约束作者的宣传。正文说指标有限，封面却写它能判断谁最可靠；案例保留资源限制，摘要又称人人照做就安全，都是本书禁止的写法。限定要放在读者最先看到的位置。

真实使用出现伤害时，作者还要查是不是自己的表述推动的。一句话容易被理解为署名者私人赔付，就修这句话与相关推论，不只责怪摘句者，也不只留一句通用免责。

◆三、与邻近几本书的分界

按丛书立题的分工，《信任》关注当前话语怎样像真，以及据此行动之后怎样处理。《历史》关注过去陈述的追问，《道德》使用自己的伦理问题与读数，《公平》关注分配异议，《出版》关注登记把关。这里不宣称已经读过这些邻书全文，也不挪用它们的专门定义。

本书读数统一为认账时距，不混用认领时距，也不因名称相似与其他丛书读数合并。负责位置与司法裁判也不同，机构主动补救不替代法定责任认定。

各书概念可能交叠，但用相同的日常词语，并不等于共享全部定义。

例如一份关于过去的材料来源清楚，可以支持追查，仍需核其陈述；一项当前请求身份确认，可以支持联系，仍需授权。两类追问动作相通，时间对象与证据要求却不同。

异议入口在本书中服务当前可信事项的后续：指出错误，补入材料，要求解释与更正。它不扩张为完整的公平理论；资源分配或权利冲突，仍需另一套程序。

姓名登记，也授予不了事实身份。有人负责维护一份材料，是一项可追问关系；结论是否正确，仍要相应证据。这使《信任》的承担设计不越界成出版内容的真理认证。

丛书分工以后若改变，本章随真实决定更新，并说明影响哪些边界，不只换几个书名却保留过时的关系。

◆四、读者的下一步

家庭读者可共同检查一条重要请求路线：谁更新联系人，谁替班，出事后怎样不羞辱地接收。小公司读者可查看一笔账户变更：谁核、谁能暂停、谁批准例外。新闻号读者可检查一条更正：原读者怎样知道，记录是否还在，谁能回答后续问题。

这三类动作都不要求立即建庞大制度。先选一件真实重复事项，确认实际缺口，改一项有权改变的安排，再看是否可用；改动以后也要接收异议。

家庭读者可以从共同同意的一类重要请求开始：提出请求的人说明平常沿什么路线联系，接收者试着找到它，再确认联系不上时谁接续。哪一步难，就修入口或替班；不扩大到全家所有生活，也不把练习变成老人能力考试。

公司读者可以选一类重复发生的变更事项，看记录在哪里、谁有决定权、执行者能否暂停。授权缺失，先让有权者确认，而不是员工自己写一页制度假装组织已接受。

新闻号读者可以从一条已确认的更正查看原传播路线：当前版本是否指出变化，原读者有没有机会看到说明，未处理的后果由谁接收。这只针对具体事项，不搜编辑私人资料，也不生成机构总分。

三种动作都可以留一个简短复看：改动发生没有，使用者知不知道，缺口是否减少，是否添了新负担。它替代不了效果研究，只帮助判断当前小措施有没有进入工作。

读者若只能问、无权改变，就找到有权位置，整理具体缺口与材料，提出范围明确的请求，而不是承诺自己包下后果。对方不接，保留当前限制；组织拒绝，不该再变成提问者的失败。

下一步也可以是暂不使用。问题不属于本书对象、资源不足或已有更有效的方法，就照原有安排处理，不必为证明读过这本书新增一个签字流程。

小改动也不一定更安全，可能省掉重要条件或没有接续；从小范围开始，是为了看清动作与成本，再决定扩大、修订或退出。

◆五、三种常见的误读

"有人认就无需验"，错在取消了基础检查；"签字者自己赔"，错在把机构资源责任私人化；"快认就是好机构"，错在用单一读数替全部判断。这三种误读都有可能被本书激发，正文必须主动限制，而不是等伤害发生才说读者理解错。

第一种误读把承担当免检。机构资源足、承诺强，也仍需核当前内容与授权；能赔付，不等于错误可以随意发生。事前事实工作与事后后果工作，谁也买断不了谁。

第二种误读把名字当私人担保。负责岗位代表经确认的机构权限与接续，不是员工拿私人财产担全部风险。把签名当作追索弱者的快捷入口，会把本书的设计变成它反对的缓冲区。

第三种误读把快当好。时距短，可能因为事项简单或只做了有限动作；时距长，可能包含复杂核查与更大范围的恢复。时间提出一个问题，不替代全部判断。

还要防第四种误读：所有陌生人都不可信。社会合作恰恰需要陌生人，许多有用的关系建立在正式入口、来源与相应职责上，不靠私交；亲属关系也有权限与资源边界。本书要让合作有明确的事实与后果安排，不把人退回只靠亲属的小圈子。

还有一种误读是把不确定当成必须永远停下。材料足以支持有限行动、范围清楚、有异常出口，就不必追求绝对无误；不足则按适当路线补核。

纠正误读要回到具体句子和动作：哪项限定没有送到，哪个例子容易诱发越界，就改哪里，而不是只重复"正确理解应是什么"。

◆六、四个常被问到的问题

是不是只剩大机构可托付？不是，小安排也能范围清楚，只是资源有限应承认。是否一定要公开个人姓名？不必公开私人资料，关键是机构确认且可追问的责任身份。是否每次都要事后赔钱？不，纠正或恢复也可重要，范围需相称。没有拿到读数，是否一切无用？联系路线、暂停权与回告可以先在小范围使用，但效果还没有被证实。

读者带走的不该是一把能判断所有人的尺，而是几个让当前事项更清楚的问题。问到了，也要有相应的权利与支持；只有问题没有接口，仍会回到孤独自查。

有人还会问，善意与信任会不会被数字挤掉。本书不测人的内心，也不取消亲密、能力与善意，只把某类制度后果的进程单独显露出来，以便追问。关系中的其他价值有它们自己的理解，不由这一维度重新排序。

公开名字会不会增加危险？责任身份可以采用岗位形式，目标是找到有能力接续的地方，曝光程度不等于诚实程度；具体公开尺度按真实条件专业审定。

是否所有异常都应立即更正？事实尚未成立，先核查并说明状态；已确认某个范围错误，就对该范围采取行动，其他未知保留。接收异议不等于接受指控，保留未知也不等于拒绝工作。

这些问题最终把读者送回一件可做的事：说清当前对象，找到相应入口，核实际权限，让未完成有状态，让后来的变化回到原来的关系。独自多问，替代不了共同接续。

本书到这一章停止扩张应用范围，最后一章转向自身。它要求别人有来路、有承担、有改的权，也必须说明自己的资料、错误与版本怎样维护。若作者不给这些问题一个真实出口，前面的读者行动便还缺少最接近这本书的那一环。

读者若要对本书提出异议，指出具体章节、句子和依据即可，无需先证明整本书失败。维护者应接收这种有限问题，区分事实更正、推论讨论与方法修订，不按声量大小决定是否处理。

带走的话
从一件具体托付检查正式入口、权限和后果。读数不评价个人，也不替代事实与专业判断。

小账
：无新增数据；邻书分工据丛书立题，未对邻书现行全文作内容判断。

第 40 章

这本书自己的死法：哪天它该退场

这一章的问题：本书最弱在哪里，会怎样失效，哪些失效值得承认？

【抽屉里的保修卡】一张保修卡还在，店却已经不在，这是日常类比，不是作者亲历。本书也可能剩下书名、公式和漂亮算例，却不再连接任何真实改善。如果只要求别人留名字而自己不说明限制，它便成为自己批评的那张卡。

◆一、回头报账：四件事

本书完成了一个区分：真假判断与后果安排不同；提出了一个设计：工具、授权与补救连接；提出了一个读数：认账时距；承诺了一个检验方向：时间与后续结果能否相关。这四件的证据层次不同，合不成一条已经建立的新定律。

公开案件和原文支持部分问题确实存在，构想帮助解释动作，研究设计规定如何检验。没有实测时距，没有对照实验与情境实验，也没有预言结算，是本书当前必须认下的事实。形式完整不等于证据完整。

四件事要分别报账。概念区分让读者少跳过一个条件，设计让工作接口更清楚，读数提出可比较的问题，预测则要等真实结果。区分讲得有道理，说明不了流程有效；流程写得完整，也说明不了时间能预测复发。

一本主张承担的书，不宜以所有问题从此解决收场，而应说明哪些已核到原材料，哪些由构想解释，哪些是待实施的方案。读者分得清这几层，才知道哪句话可以当事实引用，哪句话只能带回生活继续试问。

前面的三方程也回到这一纪律。显露、路径与承担相互影响，帮助检查遗漏，却没有给出量化函数与可识别参数。公式的整齐，补不了资料。本书如果日后形成模型，要另外定义变量并接受检验；目前不应让字母外观替自己建立定律身份。第22章与第37章已让三式推出一张失败模式表，它站不站得住，交给预言三结算；第24章又让S＝F(D, E)一式与安全经济学的已知方向相合，交给预言四复现；本书自己那一格，押在预言五上。

同样，名字、钱与改的权是一种动作安排，不是关于信任全部内涵的封闭定义。真值、能力、善意与关系仍各有工作。承担接口可以使远程合作的后续可问，却保证不了当前判断正确。明确这层边界，才能让有用部分留在合适范围。

◆二、本书最弱的八处

第一，认账时距可能只反映事件复杂度。第二，公开承担可能与私下承担不一致。第三，搜得到的机构不代表全部机构。第四，三门槛仍需编码者判断。第五，短时距可能诱发空认与背锅。第六，慢机构可能接住更难事项。第七，复发记录取决于披露，主动认账者反而更容易被看见。第八，五个预言的输赢线虽已写定，数值本身是作者的裁定，灵敏度未经数据检验。

这些弱处，宣称哲学更深也消除不了。它们需要更好的资料、公平比较和可复核取法，有些可能永远限制读数用途；取不到足够材料，指标就暂退，不用道德口气逼现实交出想要的结果。

八处弱点可以归成材料、比较、编码、用途与数值五段：公开是否代表实际处理、搜得到的机构是否代表目标对象；复杂度与披露差异能否解释结果；三门槛是否稳定；时距有没有诱发空认与背锅；输赢线的数值是否经得起灵敏度检查。

公开与私下的差别尤其影响排名。积极披露的机构留下更多错误，沉默的机构缺少可见材料；把后者写成事故更少，就奖励了不可见。要靠独立来源与相称检索，解决不了的留为限制，不用更精细的小数掩盖。

复杂度的影响，也不是一句"控制变量"就能解决。现实资料未必描述得了难度、资源与暴露；计算方法再正确，取不到的信息也不会自动消失，结论可能只能缩小到当前样本。

编码的弱点要具体复核。一位审阅者认为公告已满足范围，另一位认为行动不清，分歧就回到门槛与材料。长期达不成共识，读数可能暂不适合某类事件；作者应承认这种可用性失败，不怪审阅者不懂术语。

最难认下的弱点，是新尺也可能制造旧问题：本想保护无人接续的事项，却可能鼓励提前声明、排除困难、强迫弱者署名。出现这种伤害，先停相应用途，再查定义和组织条件。

◆三、这本书可能被怎样引坏

机构可能引用它要求员工提前包赔，平台可能把它做成排名标签，家庭可能用它控制老人，营销者可能用极速认账冒充可靠。作者与编辑需要在版本中持续明确禁用。若这些误用受到正文措辞推动，责任就有作者一份，不全在摘句的人。

强句也会被截断："可信度就是认账时距"离开限定，便像是钱与速度决定全部信任。本书应坚持它讨论制度处理的一维，不取消事实真值、能力、善意和关系价值。让人容易记住，不是让人容易误用的借口。

误用有时来自原文本身。一句强判断省掉对象与条件，原样引用也会制造过宽的理解。限定要放回最容易独立流传的位置，不只藏在章节最后；好记的句子要承担自己的阅读后果。

机构可能只挑最省事的那一段：要有人署名，却不给暂停权；要快认，却不给资源；要日志，却不许记未完成。对此，书中要明确说这种安排不满足定义，本书的效果期待不为它作包装。

家庭误用可能表现为日常控制：子女借安全要求母亲事事批准，会用工具的人被迫值守，隐私记录被拿来责备。第29、30章已经限制这些作用，现实反馈若显示限制没有送到，相关段落要继续修。

营销误用会把一项有限读数变成总分：处理小错很快，就宣称全部服务最可信；保留了更正，就宣称内容永远真。摘要、封面和使用说明要保留与正文相同的边界。

作者控制不了每次转述，但可以回应已知的具体错置、修改容易诱发误读的表述，并沿主要入口发出说明。彻底消灭误读做不到，也不因此放弃维护。

◆四、三种死法

被证据推翻是好的死法，说明问题进入了能结算的研究。被更好制度吸收也可以是好的死法，说明原先困难已经有更有效解决。坏的死法是它只剩一套标记，现实里的权、资源与改动全没有，而人仍用它包装可信。

书退场不等于过去提出的问题从未重要。检测若显著进步，应缩小关于查验压力的主张；自动补救若足够好，应承认不必每次真人发言。方法应跟着现实改变，不为保护某个角色而拒绝更好的安排。

被证据推翻的退场要有一份明确记录：哪项预测未成立，用的什么资料与口径，哪些推论因此撤回，哪些概念区分仍可保留。全书不是一块只能整体砸碎的石头，但局部有用也抵消不了已经失败的主张。

被更好制度吸收的退场更平常。检测、授权与自动纠正在某类事项中已连接得更好，读者就无需再加一层本书的设计，方法随之缩小。提出过困难，不意味着永远占有解决方案。

标记化的坏死法最容易维持销量：名字很多、说明整齐、时距漂亮，实际疑问仍无人接、规则仍不可改。书名与公式还在被引用，方法却已从工作退成装饰。传播广不等于成功。

三种退场不是同一种失败。证据否定和更好制度替换，都使问题更清楚；装饰化则把原来的空位重新遮住。书能主动识别后两种变化，公开缩小或停用，就是在做自己要求的维护。

◆五、如果有人要接着做

先读最近邻，不把已有问责、响应时长和纠错研究重新命名为首创；再锁定可获得事件，核起点终点和删失；随后设计公平比较。每一步都要允许新材料否定原判断。两万字思想阐述和一个真实研究，互相代替不了。

也可以从小范围可行性观察起步，但只声称观察到的动作。证据范围与结论范围相配，是继续工作的首要纪律。

继续者可以从一个小而可清点的对象开始：确定一类公开事件，检验能否核起点、权限与实际动作，保留未完成；资料不适合，就换问题或暂停。先写一个宏大的效果承诺，再四处找数填满它，是倒过来做研究。

最近邻工作要真做。问责、事故响应、纠错与处理时长研究里，可能已有相近的概念或指标；新贡献应说明多出了什么判断，并接受它可能只是另一种表述。

取得初步资料后，先看取法能否稳定复核，再决定是否正式比较。方向有利，仍要查自选与复杂度；方向不利，用同样努力核定。只对反方结果要更严的证据，是双重标准。

继续工作还需资源与责任身份：谁维护数据版本，谁接收编码争议，谁说明结果变化，作者的名字都完成不了。团队尚未建立，就把状态留为待定；设计文档再具体，也不等于真实研究已经发生。

新判断要留下，必须容许别人沿原材料复算、另作解释和提出否定。一本书可以帮助问题发生，也可能只提供暂时的语言；贡献多大，由后续相称的证据决定。

◆六、这本书自己出了错，谁认

本书不替德麦或出版者承诺赔付，也不虚构已设的资金。勘误由作者署名承担：事实错误、推论撤回与方法修订，都以作者名义公开说明；版本记录随书公开维护，接收入口印在版权页。出版方是否另设资金或岗位，由出版合同写定，本书不替它预先填写。

异议先按对象分流：事实错误核原来源，给出处与修正；推论错误说明前提、适用范围与撤回范围；方法错误说明新旧口径和受影响的结论。三类会交叠，但分清主要问题，维护者才知道下一步需要什么能力。读者若已按错文字行动，更正应尽量回到原传播入口，而不是只印一份通用免责声明。

正式勘误记录保留相关版本、原范围、更正依据与修改日期。错误被修，不意味着原先没错；读者后来看到正确页，也要知道早版哪一段受影响。

推论被撤回，改的不只是一个词：相关案例的效果期待、结语里的强判断、宣传摘要都要沿概念连接统稿。只在附录放一句待商榷、正文照旧重复结论，更正就落在无人使用的位置。

方法修订保留新旧口径与影响：门槛变严，可能改变哪些事项算有效终点；事件定义变了，可能改变样本。不悄悄重算后只展示新数字。书要求机构留下版本，也给自己的修订同样的来路。

这些动作以作者的名义承诺，资源只到作者实际能调动的范围为止。正式出版时，若出版方另设入口或资源，再沿原入口公开说明变化；编一个邮箱、挂一个名字完成自我证明，是本书自己禁止的做法。

◆七、退场之后留下什么

留下事实工作与后果工作需要连接的提醒，留下保护弱者的权限要求，留下不把未完成从统计中删除的纪律。这些也可能被其他更好的方法包含。若如此，本书应承认自己只是过渡材料，不必强留一个永远独有的位置。

具体说，是几项普通纪律：重要行动有相称依据，权限与任务相接，疑问有人接，未完成不被删掉，变化回到原来使用的位置。它们不必保留本书的术语，也不必每次画出三方程；更简单的语言能支持实际工作，方法可以让出名字。

这里可以想象多年后同一个家庭，仍明确是构想。母亲接到重要请求，家人已有更方便的联系与接续，不再记得纸条最初来自哪一章。若她能暂停而不受羞辱，子女能帮助而不被耗尽，书名被忘记并非损失。具体改善不需要以理论持续被提起为条件。

小公司与新闻号也可以找到别的有效安排。出纳不靠猜老板意思，读者找得到实际更正，维护者有权修改条件，这些比保留同一张表更要紧。

书留下的问题未必由书回答到底。后来的研究可能发现时距没有附加价值，却保留了对未完成事项的记录；也可能发现某些来源措施已足够有效，让一部分设计退出。接受这些变化，本书对他人的开放才不是一句只在自己获胜时成立的话。

◆八、复审的日子

本书把2027年12月31日定为预言四与预言五的结算日，2028年12月31日定为预言一与预言三的结算日，预言二在2029年IC3年报发布后结算；五个预言的输赢线已在第37、38章与附录三写定，预注册时照此登记。复审时公开可用资料、未能检验部分和需要撤回的主张。五年检测条件按评测年度另计，不与这个短期日期混算。

一本书的可信，不靠承诺自己永远正确。它应当让人找得到依据、看得见未完成，并在后来事实不支持时知道哪一页需要改变。这也是本书能够给自己的最实际要求。

复审的日子要连着工作清单：预言方案是否锁定，材料能否取得，取法是否可复核，哪些主张需要缩小，逐项说明状态。到日子重印一遍原结论，算不上复审。

短期结算与长期技术条件分别维护。2028年底结算不了尚未开始的五年持续验证；长期条件也不是拖延已到期短期报告的理由。

复审没有完成，要说明为什么、哪些影响尚未知、是否仍值得继续。研究承诺没落实，本身就要认下，不拿"未来可能有数据"继续宣传当前效果。没有结果可以保留问题，却保留不了已验证的身份。

全书最后回到抽屉里的卡。纸仍在，不代表店仍在；名字仍在，不代表权与资源仍可用；数字仍在，也不代表当前世界仍按旧条件运行。可信需要关系继续维护，而非证明某份材料永远不变。本书愿意给读者的，正是找到这种维护、追问缺口并接受修订的机会。

带走的话
本书可能被事实推翻、被更好办法吸收，也可能被标记化毁掉。它应对自己的资料、限制和撤回负责。

小账
：无新增实测；八弱处与三种死法为本书自检；结算日与输赢线见附录三。

第六编　材料说明

旗舰读数尚无实测，演示不得当研究结果。四组设计的样本量与伦理方案在预注册时由统计和组织审定；五个预言的窗口、类别、部署阈值与输赢线已写定，见附录三。已核IC3数字仅作基线，BEC不作预言二口径。全部规则、资金和专业事项的现实实施需另行审定，本书不构成医疗、法律、投资或专业安全判断，读数不得用于个人考核。

结语

名字，钱，和改的权

一张逼真的脸，可以帮助人识别，也可以借走人的熟悉。一份来源清楚的材料，可以支持核查，也可能被误读成所有后果都有人接住。本书没有资格要求读者放弃证据，更不希望他们退回谁也不信的生活。需要改变的是证据与行动之间那些没有写清的跳跃。

名字代表可以继续询问的责任身份，钱代表可使用的补救资源，改的权代表让下一次不必重复同样困难的能力。三者并非信任的全部，却能使一句我认变成现实动作。缺少权限的名字是缓冲，无法调用的资金是展示，不进入生活的修订是一张纸。

这本书提出认账时距，却尚未量出它的作用。它应当等待比较，也准备失败。若读者仅用它检查了一条联系路线，修好了一个异议入口，或让一位原本要独自背锅的人获得暂停权，这些动作便有具体价值；价值有多大，仍须由真实生活继续回答。

全书说到底只有一句：可托付不是信号的属性，也不是损失的补偿，而是后果的去处。下一次，当一段视频、一个声音或一份通知要你付钱、放行或转发时，除了问"这是真的吗"，再问一句：出了错，谁认，下一次改了什么？

参考书目

本书引用的文献、制度文本与公开报道，按正文编号排列；每条的核查范围见附录四。

  1. George A. Akerlof. The Market for "Lemons": Quality Uncertainty and the Market Mechanism. The Quarterly Journal of Economics, 84(3), 1970, pp. 488–500.
  2. Onora O'Neill. A Question of Trust, Reith Lectures 2002, Lecture 3, Called to Account.
  3. Onora O'Neill. A Question of Trust, Reith Lectures 2002, Lecture 4, Trust and Transparency.
  4. Bruce Schneier. AI and Trust. Belfer Center, 2023年11月27日。
  5. Madeleine Clare Elish. Moral Crumple Zones: Cautionary Tales in Human-Robot Interaction. Engaging Science, Technology, and Society, 5, 2019, pp. 40–60. DOI: 10.17351/ests2019.260。
  6. Robert Chesney and Danielle Keats Citron. Deep Fakes: A Looming Challenge for Privacy, Democracy, and National Security. California Law Review, 107, 2019.
  7. Coalition for Content Provenance and Authenticity. Content Credentials: C2PA Technical Specification, Version 2.2.
  8. Scott Rose, Oliver Borchert, Stu Mitchell and Sean Connelly. Zero Trust Architecture. NIST SP 800-207, 2020. DOI: 10.6028/NIST.SP.800-207。
  9. World Economic Forum. This engineering firm was hit by a deepfake fraud. Here's what it learned.
  10. Financial Times. Arup lost $25mn in Hong Kong deepfake video conference scam. 2024年5月报道。
  11. Reuters Institute for the Study of Journalism. Overview and key findings of the 2025 Digital News Report.
  12. iProov. iProov Study Reveals Deepfake Blindspot: Only 0.1% of People Can Accurately Detect AI-Generated Deepfakes. 2025年2月12日。
  13. Matthew Groh, Ziv Epstein, Chaz Firestone and Rosalind W. Picard. Deepfake Detection by Human Crowds, Machines, and Machine-informed Crowds. Proceedings of the National Academy of Sciences, 119(1), 2022, e2110013119. DOI: 10.1073/pnas.2110013119。
  14. FBI Internet Crime Complaint Center. 2024 Internet Crime Report.
  15. The British Museum. Cylinder seal, collection database entry W_1814-0705-2.
  16. NIST/SEMATECH. e-Handbook of Statistical Methods, 8.2.1.5, Empirical model fitting—distribution free (Kaplan-Meier) approach.
  17. Atlassian. Common incident management metrics: MTBF, MTTR, MTTA, and MTTF. Atlassian事故管理指南页面。
  18. Scott R. Maier. Our process for online corrections needs serious correcting. Nieman Lab, 2009年9月。
  19. Anthony Giddens. The Consequences of Modernity. Cambridge: Polity Press, 1990.
  20. Susan P. Shapiro. The Social Control of Impersonal Trust. American Journal of Sociology, 93(3), 1987, pp. 623–658.
  21. Guido Calabresi. The Costs of Accidents: A Legal and Economic Analysis. New Haven: Yale University Press, 1970.
  22. UN OHCHR, Accountability and Remedy Project. Meeting the UNGPs' effectiveness criteria (Principle 31).
  23. The Health and Social Care Act 2008 (Regulated Activities) Regulations 2014, Regulation 20: Duty of candour.
  24. Payment Systems Regulator. PS25/5 Consolidated policy statement: APP scams reimbursement requirement. May 2025.
  25. Financial Conduct Authority. FG24/6 Finalised guidance on the Payment Services (Amendment) Regulations 2024.
  26. 《中华人民共和国消费者权益保护法》第四十四条（网络交易平台提供者的先行赔偿与承诺履行）。
  27. Butler W. Lampson. Computer Security in the Real World. IEEE Computer, 37(6), June 2004.
  28. Daniel J. Weitzner, Harold Abelson, Tim Berners-Lee, Joan Feigenbaum, James Hendler and Gerald Jay Sussman. Information Accountability. Communications of the ACM, 51(6), 2008, pp. 82–87.
  29. Ross Anderson. Why Information Security is Hard: An Economic Perspective. 17th Annual Computer Security Applications Conference (ACSAC), 2001.
  30. Tom R. Tyler. Why People Obey the Law. New Haven: Yale University Press, 1990.
  31. UN General Assembly. Basic Principles and Guidelines on the Right to a Remedy and Reparation for Victims of Gross Violations of International Human Rights Law and Serious Violations of International Humanitarian Law. A/RES/60/147, 2005（2006年3月21日印发）。
  32. Kurt T. Dirks, Peter H. Kim, Donald L. Ferrin and Cecily D. Cooper. Understanding the effects of substantive responses on trust following a transgression. Organizational Behavior and Human Decision Processes, 114(2), 2011, pp. 87ff. DOI: 10.1016/j.obhdp.2010.10.003。
  33. Matthew J. Hornsey, Cassandra M. Chapman, Stephen La Macchia and Jennifer Loakes. Corporate apologies are effective because reform signals are weighted more heavily than culpability signals. Journal of Business Research, 177, 2024.
  34. Regulation (EU) 2016/679 (General Data Protection Regulation), Articles 33–34.
  35. W. Timothy Coombs. Protecting Organization Reputations During a Crisis: The Development and Application of Situational Crisis Communication Theory. Corporate Reputation Review, 10(3), 2007, pp. 163–176.
  36. Valerie S. Folkes. Consumer Reactions to Product Failure: An Attributional Approach. Journal of Consumer Research, 10(4), 1984, pp. 398–409.

附录

附录一　认账时距取法卡

用途：审查定义清楚的公开事故处理，比较制度安排；不用于个人考核，不评定诚实、能力或道德人格。

划界：认账时距不是修复时长，而是承担时长。它不量机构多快修好，而量受影响者多快拿到一个有名字、有权限、有资源的接口。事件卡同时记录公开修复时长，即事发至机构公开宣布技术或业务修复完成的时间，供第38章的控制检验使用。

事件卡应记录纳入来源、事件类型、事发时点与精度、发现时点、接收时点、具名主体及权限证据。有效终点须同时具备明确事件和范围、可追问主体、已经落实的纠正或补救。记录该时点、具体依据和取得材料的日期，不将计划、道歉或系统告警作为已完成行动。

保留尚未满足门槛、日期缺失和只知区间的事项。未观察到公开承担不等于没有私下处理。时距以天计；精度与方法统一。完成事件的中位数与纳入删失事件的时间分析不得混报，无法估计时如实写无法估计。

辅助记录最终补救完成、规则修改、正常事项延误以及纠错记录一年存续。明确90日短检查不等于一年随访，同一机构多事件不视作完全独立。编码分歧保留材料与理由，修改取法保留版本，不按有利结果临时更改门槛。

附录二　实施前的一页检查

家庭：重要请求怎样回到独立联系，联系人怎样更新，谁替班，实际紧急帮助怎样与资金暂停并行，疑问或损失如何无羞辱地进入共同处理。家庭记录不与公开机构样本混算。

小公司：付款对象和授权是否明确，变更怎样确认，谁有权暂停和批准例外，执行者能否拒绝超范围保证，机构资源怎样接住差错，人员离开后怎样接续。

新闻号：重要内容由谁核实、谁授权发布，更正如何到达原读者，版本怎样保留，入口谁接且有何升级权，隐私与有害原内容如何保护。署名不能替代事实工作。

共同底线：名称、资金和修改权必须落实到具体事件。所有措施尚待真实评估，纸条齐全不等于安全得到保证。实际金融、医疗、法律和专业安全事项仍需相应专业支持。

附录三　预言与作废登记

五个预言的输赢线写定如下。前三个列在表中，后两个列在表后。数值为作者裁定的定稿，统计人员复核后只可在预注册前调整一次，并公开理由与旧值。

项目 预言一：认账时距与复发 预言二：来源凭证与损失 预言三：四组对照的失败模式
样本或场景 2025—2027年公开通报的深伪及冒充诈骗事件，按附录一去重，不少于40起 FBI IC3年报冒充类损失，类目按2024年报锁定，只用这一口径 无真实转账的模拟演练，四组：只有系统、只有人、工具＋持续验证无认账、认账单元
分组或前提 事发后30日内是否满足三门槛 主流手机系统与月活前三的社交平台默认显示来源凭证的覆盖率不低于50% 认账单元组对比"工具＋持续验证、无认账"组
输赢线 短时距组12个月同类复发比例低至少三分之一；控制机构规模与事件类别后方向不变 2028年该口径名义损失不低于2024年的90% 认账单元组事后有效处理时间（中位数）短至少一半；两组误放率之差不超过5个百分点
判输 差距不到三分之一，或控制后方向反转 2028年损失低于2024年的90% 处理时间缩短不到一半，或误放率之差超过5个百分点
未能检验 合格事件少于40起 覆盖率未达50%，或统计口径中途改变 每组合格团队少于12个，或任一组措施到位率低于80%，或结算日前研究未完成
结算日 2028年12月31日 2029年该年报发布后 2028年12月31日

辅助检验一（机构能力）：在同一机构内部比较不同事件，认账快的几次在12个月内同类复发是否更少。同一机构须有两起以上合格事件且分处两组；满足条件的机构少于十家，记为未能检验。方向与主检验相反时，只报告"关联成立，机构能力解释未能排除"。

辅助检验二（修复时长）：同时记录公开修复时长。控制修复时长后，短时距组的复发优势须至少保留未控制时的一半；否则认账时距降为修复时长的补充记录。留有规则回写记录的事件与只有个案补救的事件之间的复发比较，一并报告。

预言二的定位：它预测的是"只靠验真不够"，属于反面支持。预言二成立，只说明来源凭证不足以压低损失，不证明认账安排有效；后者由预言一与预言三承担。

预言四：认账在前，显露在后（复现检验）：对象为英国强制返还制度覆盖范围内交易量最大的五家发送行，名单预注册时锁定；窗口为规则生效前三年（2021年10月7日—2024年10月6日）与生效后三年（2024年10月7日—2027年10月6日）；计数为公开可核的新增面向付款人措施，分"境内覆盖路径"与"国际汇款路径"，法定许可的付款延时单列不计，加入自愿返还守则的机构单独报告。输赢线（差分）：生效后减生效前的增量，覆盖路径至少为国际汇款路径的两倍。判输：不足两倍，或五家中三家以上覆盖路径增量为零或为负。未能检验：无法分清措施所属路径或时间的机构超过两家，或规则在结算日前被撤销、大改。结算日：2027年12月31日。定位：复现安全经济学的已知方向，不计入本书新颖性。

预言五：去处不是补偿，也不是悔过（六格情境实验）：两种情境（机构自己出错／被冒充、机构无过错）乘三种安排（甲五个工作日自动返还；乙另加具名岗位接听、说明、道歉但无权改规则；丙具名岗位有权暂停同类交易、修改规则并公开改动），六格的受骗可能、损失、返还金额与时间完全相同。每格有效作答不少于600份，随机分配。输赢线（三条同时满足）：被冒充情境中丙比乙高至少0.4分（七分制）；"丙减乙"在被冒充情境比自己出错情境大至少0.2分；"乙减甲"在被冒充情境比自己出错情境小至少0.2分。判输：任一条不满足；只有第一条成立时，撤回"职能而非悔过"。未能检验：每格有效作答不足600份，注意力检查失败率超过两成，或能分清情境与安排差别的受试者不足七成。结算日：2027年12月31日；到期未完成，不以未能检验了结，"职能而非悔过"降为待证假说并从总命题撤下。定位：本书押在自己那一格上的预言。

预言四、预言五的数值与其他预言一样，可在预注册前由统计人员复核后调整一次，并公开理由与旧值。

作废条件一：不受厂商资助的第三方评测，连续五年、每年至少一次，在当年新制材料上异常检出率不低于99%，且正常材料误报率不高于1%，本书关于某类核验被压过的主张撤回。

判输纪律：条件与口径成立后若结果不符，撤回对应预测，不换类别翻盘。条件未成立、数据不可比或样本不足，写未能检验，不算支持。若技术方案已足够解决场景、附加承担无增益，缩小适用范围。读数诱发空认或背锅，暂停相应用途。

附录四　来源与核查状态

正文方括号编号对应下列资料。核查日期为2026年10月4日。已核只表示列出的内容得到原始页面或所述资料支持，不表示已经读遍书籍或重做研究。构想、设计和示意计算不属于外部事实。

[1] George A. Akerlof. The Market for "Lemons": Quality Uncertainty and the Market Mechanism. The Quarterly Journal of Economics, 84(3), 1970, pp. 488–500. 论文题录已核，本轮补读第四节原文第499—500页，即下列PDF第13—14页。支持保修、品牌、连锁与资格证明的制度讨论；本书示意账不是原论文数值复算。

https://academic.oup.com/qje/article-abstract/84/3/488/1896241

https://www.sfu.ca/~allen/Ackerlof.pdf

[2] Onora O'Neill. A Question of Trust, Reith Lectures 2002, Lecture 3, Called to Account. BBC原始讲座文本，相关问责与指标论述已核，尤其PDF第5—6页。

https://downloads.bbc.co.uk/rmhttp/radio4/transcripts/20020417_reith.pdf

[3] Onora O'Neill. A Question of Trust, Reith Lectures 2002, Lecture 4, Trust and Transparency. BBC原始讲座文本，透明与欺骗的相关段落已核，尤其PDF第1—3页；不等于通读剑桥版原书。

https://downloads.bbc.co.uk/rmhttp/radio4/transcripts/20020427_reith.pdf

[4] Bruce Schneier. AI and Trust. Belfer Center, 2023年11月27日。已核人际信任与社会信任区分及相关要旨，本文不展开政策主张。

https://www.belfercenter.org/publication/ai-and-trust

[5] Madeleine Clare Elish. Moral Crumple Zones: Cautionary Tales in Human-Robot Interaction. Engaging Science, Technology, and Society, 5, 2019, pp. 40–60. DOI: 10.17351/ests2019.260。作者原始摘要与题录已核，全文细节未作为本书证据。

https://estsjournal.org/index.php/ests/article/view/260

[6] Robert Chesney and Danielle Keats Citron. Deep Fakes: A Looming Challenge for Privacy, Democracy, and National Security. California Law Review, 107, 2019. 已核原文章节The Liar's Dividend及相关段落；不作全部法律方案综述。

https://www.californialawreview.org/print/deep-fakes-a-looming-challenge-for-privacy-democracy-and-national-security

[7] Coalition for Content Provenance and Authenticity. Content Credentials: C2PA Technical Specification, Version 2.2. 已核第1.2节Scope、第1.3.1节Establishing Trust及相关定义。本书固定该版本，不称最新版。

https://spec.c2pa.org/specifications/specifications/2.2/specs/C2PA_Specification.html

[8] Scott Rose, Oliver Borchert, Stu Mitchell and Sean Connelly. Zero Trust Architecture. NIST SP 800-207, 2020. DOI: 10.6028/NIST.SP.800-207。已核原文摘要与第2章原则，尤其正文第6—7页。未将口号用作原文引语。

https://nvlpubs.nist.gov/nistpubs/specialpublications/NIST.SP.800-207.pdf

[9] World Economic Forum. This engineering firm was hit by a deepfake fraud. Here's what it learned. 公司首席信息官Rob Greig公开访谈介绍页，2024年12月。已核没有内部系统遭入侵的说明及技术增强社会工程的解释。

https://www.weforum.org/videos/arup-deepfake-fraud/

[10] Financial Times. Arup lost $25mn in Hong Kong deepfake video conference scam. 2024年5月报道。已核约二亿港元、十五笔、五个账户的报道，以及公司声明转述；内部授权、系统告警和后续认账未核。Dezeen的相关报道页面读取失败，不作为本书依据。

https://www.ft.com/content/b977e8d4-664c-4ae4-8a8e-eb93bdf785ea

[11] Reuters Institute for the Study of Journalism. Overview and key findings of the 2025 Digital News Report. 已核执行摘要58%自述担忧的口径，未作中国代表性外推，也未当作检测率。

https://reutersinstitute.politics.ox.ac.uk/digital-news-report/2025/dnr-executive-summary

[12] iProov. iProov Study Reveals Deepfake Blindspot: Only 0.1% of People Can Accurately Detect AI-Generated Deepfakes. 2025年2月12日。厂商新闻稿已核：英美二千人、全部刺激答对比例0.1%、超过六成自信。存在利益相关，完整方法未取得，列入附录六。

https://www.iproov.com/press/study-reveals-deepfake-blindspot-detect-ai-generated-content

[13] Matthew Groh, Ziv Epstein, Chaz Firestone and Rosalind W. Picard. Deepfake Detection by Human Crowds, Machines, and Machine-informed Crowds. Proceedings of the National Academy of Sciences, 119(1), 2022, e2110013119. DOI: 10.1073/pnas.2110013119。作者预印本摘要与正式发表信息已核；不复算实验数据，不外推未来系统表现。

https://arxiv.org/abs/2105.06496

[14] FBI Internet Crime Complaint Center. 2024 Internet Crime Report. 已核PDF第9页BEC投诉21,442件，PDF第10页BEC投诉损失2,770,151,146美元；亦可见三年比较页。统计为报告投诉口径，BEC不等于深伪专门类别。

https://www.ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf

[15] The British Museum. Cylinder seal, collection database entry W_1814-0705-2. 馆方条目检索摘要列出封包、标记所有权、见证交易等古代印章用途。仅核该项用途说明，页面全文本次读取未成功，不作为起源年代或中国印章史证据。

https://www.britishmuseum.org/collection/object/W_1814-0705-2

[16] NIST/SEMATECH. e-Handbook of Statistical Methods, 8.2.1.5, Empirical model fitting—distribution free (Kaplan-Meier) approach. 已核积限估计的排序、观察中数量更新及删失计数步骤。第35章采用通常的未修正积限计算，仅作五个构想事项的算例；该资料不验证认账时距，也不替代真实分析中的删失假设审查。

https://www.itl.nist.gov/div898/handbook/apr/section2/apr215.htm

[17] Atlassian. Common incident management metrics: MTBF, MTTR, MTTA, and MTTF. Atlassian事故管理指南页面。已核MTTA为平均确认时长，MTTR可指修复、恢复、响应或解决时长的说明；本书只借其从事发到处理的计时结构，不采用任何行业基准数值。

https://www.atlassian.com/incident-management/kpis/common-metrics

[18] Scott R. Maier. Our process for online corrections needs serious correcting. Nieman Lab, 2009年9月。已核作者自述：其对十家美国日报的研究中，消息源指出的事实错误绝大多数未获更正。原刊论文未读，具体比例不进入正文证据链。

https://www.niemanlab.org/2009/09/scott-meier-our-process-for-online-corrections-need-serious-correcting/

[19] Anthony Giddens. The Consequences of Modernity. Cambridge: Polity Press, 1990. 题录已核；专家系统"接入点"的论点据二手文献转述核对，原书未通读，正文不引原句。

https://humanrightscolumbia.org/biblio/consequences-modernity

[20] Susan P. Shapiro. The Social Control of Impersonal Trust. American Journal of Sociology, 93(3), 1987, pp. 623–658. 题录经多处文献目录核对；"信任的守护者"概念据二手文献转述，原文未读，正文不引原句。

[21] Guido Calabresi. The Costs of Accidents: A Legal and Economic Analysis. New Haven: Yale University Press, 1970. 题录经出版信息与书评目录核对；"最便宜的成本避免者"据通行二手文献转述，原书未通读，正文不引原句。

https://www.cambridge.org/core/journals/american-political-science-review/article/the-costs-of-accidents-a-legal-and-economic-analysis-by-guido-calabresi-new-haven-yale-university-press-1970-pp-340-1000-cloth-450-paper/925821AF8E9619EDAB24F2276A089EA5

[22] UN OHCHR, Accountability and Remedy Project. Meeting the UNGPs' effectiveness criteria (Principle 31). 已核八项有效性标准原文，含"可预期"（每阶段指示性时限）与"持续学习的来源"两项表述。

https://www.ohchr.org/sites/default/files/2022-01/arp-note-meeting-effectiveness-criteria.pdf

[23] The Health and Social Care Act 2008 (Regulated Activities) Regulations 2014, Regulation 20: Duty of candour. 已核"在合理可行范围内尽快"告知、当面说明与道歉、随后书面通报等条文要旨；仅适用于条文所指机构。

https://www.legislation.gov.uk/ukdsi/2014/9780111117613/regulation/20

[24] Payment Systems Regulator. PS25/5 Consolidated policy statement: APP scams reimbursement requirement. May 2025. 已核：2024年10月7日起生效（第10页）；单笔上限85,000英镑、五个工作日内返还（第13页）；收款方机构分摊50%（第12页）；重大过失例外（第15页）。文件不含执行效果数据。

https://www.psr.org.uk/media/rhelv4op/ps25-5-app-scams-reimbursement-consolidated-policy-statement-may-2025.pdf

[25] Financial Conduct Authority. FG24/6 Finalised guidance on the Payment Services (Amendment) Regulations 2024. 据指引与公开解读核到：允许付款机构在有合理理由怀疑诈骗时延迟付款最多四个工作日，与强制返还同期生效。具体条款以法规原文为准。

https://www.fca.org.uk/publication/finalised-guidance/fg24-6.pdf

[26] 《中华人民共和国消费者权益保护法》第四十四条（网络交易平台提供者的先行赔偿与承诺履行）。据政府网站公布的法条文本核对要旨。

https://amr.sz.gov.cn/xxgk/zcwj/scjgfg/content/post_12816850.html

[27] Butler W. Lampson. Computer Security in the Real World. IEEE Computer, 37(6), June 2004. 已核原文：认证、授权、审计合称"金标准"；"现实中的安全更多依靠惩罚而不是锁"一段。

https://www.cs.cornell.edu/courses/cs513/2005fa/NL02.Lampson.pdf

[28] Daniel J. Weitzner, Harold Abelson, Tim Berners-Lee, Joan Feigenbaum, James Hendler and Gerald Jay Sussman. Information Accountability. Communications of the ACM, 51(6), 2008, pp. 82–87. 题录据文献目录核对；"从事前阻止转向事后问责"的主张据摘要与通行转述，原文未通读，正文不引原句。

https://dora.dmu.ac.uk/xmlui/handle/2086/6817

[29] Ross Anderson. Why Information Security is Hard: An Economic Perspective. 17th Annual Computer Security Applications Conference (ACSAC), 2001. 题录据会议论文页核对；"守护者不承受损失则系统失守"与英美取款机纠纷对比据作者综述与通行转述，原文本轮未能取得全文，正文不引原句。

https://www.acsac.org/2001/papers/110.pdf

[30] Tom R. Tyler. Why People Obey the Law. New Haven: Yale University Press, 1990. 题录与程序正义要旨据美国司法部文献摘要页核对，原书未通读，正文不引原句。

https://www.ojp.gov/ncjrs/virtual-library/abstracts/why-people-obey-law-0

[31] UN General Assembly. Basic Principles and Guidelines on the Right to a Remedy and Reparation for Victims of Gross Violations of International Human Rights Law and Serious Violations of International Humanitarian Law. A/RES/60/147, 2005（2006年3月21日印发）。题录与五种补救形式（含"保证不再发生"）据联合国原文PDF目录与条文要旨核对。

https://www.ohchr.org/sites/default/files/2021-08/N0549642.pdf

[32] Kurt T. Dirks, Peter H. Kim, Donald L. Ferrin and Cecily D. Cooper. Understanding the effects of substantive responses on trust following a transgression. Organizational Behavior and Human Decision Processes, 114(2), 2011, pp. 87ff. DOI: 10.1016/j.obhdp.2010.10.003。已核研究摘要：区分自我惩罚与约束未来行为的安排，二者配合可信道歉时作用更大，作用取决于能否传达悔过。原文未通读。

https://www.sciencedaily.com/releases/2011/10/111013135258.htm

[33] Matthew J. Hornsey, Cassandra M. Chapman, Stephen La Macchia and Jennifer Loakes. Corporate apologies are effective because reform signals are weighted more heavily than culpability signals. Journal of Business Research, 177, 2024. 已核摘要：两项预注册实验，1,410名参与者，改正信号对信任的作用强于担责信号。原文未通读。

https://ideas.repec.org/a/eee/jbrese/v177y2024ics0148296324001243.html

[34] Regulation (EU) 2016/679 (General Data Protection Regulation), Articles 33–34. 条文要旨（72小时内向监管机构通报；高风险时及时告知当事人，写明联系人、可能后果与已采取措施）据条例正文核对。

https://eur-lex.europa.eu/eli/reg/2016/679/oj

[35] W. Timothy Coombs. Protecting Organization Reputations During a Crisis: The Development and Application of Situational Crisis Communication Theory. Corporate Reputation Review, 10(3), 2007, pp. 163–176. 题录据文献目录核对；"受害者型危机"与相应回应策略据通行转述，原文未通读，正文不引原句。

https://doi.org/10.1057/palgrave.crr.1550049

[36] Valerie S. Folkes. Consumer Reactions to Product Failure: An Attributional Approach. Journal of Consumer Research, 10(4), 1984, pp. 398–409. 题录据文献目录核对；稳定性归因与复发预期的要旨据通行转述，原文未通读。

https://doi.org/10.1086/208978

附录五　作者裁定与核定记录

以下事项由作者裁定；数值类裁定可在预注册前调整一次，调整须公开理由与旧值。

认账主体与机构岗位：取第14、35章口径。具名主体可以是经机构确认、能调动相应权限与资源的岗位，不要求个人公开露面，也不要求个人私人赔付。

首次有效承担、完整处理与规则回写：三者分开记录。旗舰读数只取三门槛首次同时满足的公开时点；最终补救完成、规则回写与记录一年存续作为辅助记录。

预言的样本、窗口、部署阈值与统计类别：按附录三写定，五个预言各有数值输赢线、未能检验条件与结算日。

划界句：采用"认账时距不是修复时长，而是承担时长"，见第35章开篇与附录一；可验证的区别交给第38章的修复时长控制检验。

预言三与第四组：采用，见第22章失败模式表与第37章。

勘误与版本维护：勘误由作者署名承担，版本记录随书公开维护，接收入口印在版权页；出版方另设资金或岗位，由出版合同写定。

版本记录：2026年10月4日版定稿。总命题写作"可托付不是信号的属性，也不是损失的补偿，而是后果的去处"（第14章第十一至十三节）；第35章列十二条近邻；第24章第十一节与预言四为复现检验；第37章第十节与预言五为本书押在自己那一格上的检验。

以下为逐章核定说明，记录各章的证据边界。

第1章：本章不把经验描述冒充认知科学结论；出版若增加心理学术语，应另核原始研究。

第2章：[15]用途说明据馆方条目检索摘要核对，未通读相关考古著作；虎符、护照史和软件发布年代不进入证据链。

第3章：第四节已核至原刊第499—500页；示意账为本书另设，不复算原论文，不解释保修的法律效力。

第4章：本章描述设计风险，不推断任何银行、平台或员工的法律责任。

第5章：章题"最软"保留丛书立题的提问力度，正文将其限定为过度依赖表象的程序风险，不作为普遍排序。

第6章：本书的"可信度"指可托付行动的制度条件；不得将它扩张为命题真假的替代定义。

第7章：警方原始全案材料、授权细节及后续赔付未取得，列入附录六；不保留"首例""最大""无告警"断言。

第8章：本章不归因真实受害者，不提供技术攻防步骤，也不替代实际紧急处置。

第9章：此前仅核摘要的限制，已补核到相关原文章节；现实录音的证据效力仍需专业判断。

第10章：调查未被扩张为中国代表性结论；本章不使用另外两项未核的新闻调查数字。

第11章：任何具体平台先行赔付制度若加入正文，必须另核现行规则。

第12章：不以构想推断真实机构的认证程序或责任归属。

第13章：补充研究已发表于PNAS，2022年119卷1期，e2110013119；本书未复算数据，不新增检测百分比。

第14章：保留总命题的表达力度，同时限定读数用途，避免把信任心理或事实真值全部换算成天数。

第15章：新版规范已存在，本章固定讨论2.2，不用"当前最新版"；不写联盟成立或相机上市年份。

第16章：不采用"取消身份信任"和"人与人不能重新验证"这类过强说法，不引用未核口号。

第17章：本章是设计提案，未实施；财务和员工责任需适用地专业审查。

第18章：不提供真实学校收费规则或固定金额，规则需参与者共同确定。

第19章：不声称四条件足以解决所有责任分配；正式制度应接受劳动与法律专业审查。

第20章：本章不以群消息替真实机构作道德评判。

第21章：S固定为显露；本章对D、E采用丛书立题的路径与纠缠口径，未擅自扩张成另一套定义。

第22章：零信任小节已作实质纠偏，避免把近邻误写成仅核验表象。

第23章：本章不将形式完备误写成现实解释的完备。

第24章：三拍的说法依SDE发生学的通行口径，不编造创立者的引文；涉及其教学措辞时另作核定。

第25章：本章不构成技术、安全、法律或保险建议。

第26章：正式付款与责任安排应由组织按适用要求审定，本章不构成法律或投资意见。

第27章：本章统一最早有效承担与最终完成的区别，完整取法见第三十五章。

第28章：本章不延伸到丛书公平卷的分配理论，只处理可信行动之后的异议接口。

第29章：独立联系和暗号只作设计说明；实际紧急事项应寻求相应专业帮助，不以本章替代处置。

第30章：运营商技术、手机标签和转账产品功能未写成事实，仍需具体官方说明支持。

第31章：正式实施需要公司有权限者和相关专业人员审定，不以本章决定员工赔偿责任。

第32章：本章不规定财务阈值；所列约束与解法为设计推演。

第33章：平台日志功能待具体核实；保留修改记录不等于永久公开伤害性原内容。

第34章：本章不保证方法能防所有伪装，也不提供攻击实现细节。

第35章：正式分析需统计人员审定区间、删失和机构内相关；Arup案本书不能取得时距，不以猜测补值。

第36章：本章防法尚未验证，不能称为认证或保证防伪。

第37章：主要终点、成本界限、统计和伦理方案须正式确定后才能实施。

第38章：预测方案尚未正式注册；公开类别与部署阈值已在附录三写定。样本不足不能算支持，宽类别不能偷换目标。

第39章：若丛书分工更新，应同步核定本章；不将本文当专业实施指南。

第40章：出版勘误已定为作者署名承担，见本章第六节；出版方资源由出版合同写定，不在本书虚构。

附录六　本书最弱处

本书没有核完、没有测到的事，集中列在这里。正文提到它们时只当线索，不当证据。

香港Arup案：原始警方完整材料、会议操作细节、逐笔转账的告警情况与后续认账资料，本书均未取得；正文只用公开报道支持的事故发生、约二亿港元、十五笔转账与五个账户。

iProov调查：只核到厂商新闻稿，完整方法、题目数量与刺激材料未取得，且发布方有直接利益相关。

馆藏与文献：大英博物馆印章条目只核到检索摘要；Elish只核到摘要与题录；吉登斯、夏皮罗只核到题录与二手转述；迈尔只核到作者自述文章。原文未通读的，正文一律不引原句。

产品与平台功能：平台日志、手机来电标签、运营商服务与转账产品的具体功能，未取得官方说明，正文只作设计推演。

方法：三方程、六路径与三原理在本书里还没有推出经检验的结果。预言三、预言四与第23、24章的可检验结论若落空，它们分别降为整理工具与操作清单。

英国强制返还：只核到监管机构的政策声明与延时规定的指引摘要，未取得返还执行数据，也未取得各银行的措施清单；同期生效的付款延时规定是预言四的已知混杂，只能单列，不能完全剥离。

预言五：六格情境实验只是设计，尚无执行方与经费；情境题测的是表达出来的托付意愿，与真实付款行为之间仍有距离。德克斯、霍恩西两篇只核到摘要，库姆斯、福克斯两篇只核到题录与转述，安德森与韦茨纳两篇本轮未取得全文，按题录与转述使用。若到结算日仍未完成，按附录三的约定从总命题中撤下"职能而非悔过"。

读数：认账时距尚无一个实测值；全部数值输赢线是作者的裁定，灵敏度未经数据检验；样本量、统计方案与伦理审查尚未进行。

德麦国际出版社 · Demai International Press · 专著书架 · 书籍详情