第八章　悬量

症状的功能不是报警，是定位

提要

“治未病”两千年居于医道之首而实践量最小，这一背离已有四种解释：认知不足、检测灵敏度不足、体制承认不足，以及本书指出的一种——预防兑换的是非事件，账本无科目容纳它。前三种不成立，第四种成立但只管住回报一侧。本章处理的是另一侧：阈下的介入没有落点。风险在症状出现之前，是以“总量确定、归属未定”的形式存在的；而一切介入都必须落在一个具体对象上——这一个人、这一个部件、这一个时刻。本章把那份已经确定存在、却尚未附着于任何具体对象的量命名为悬量，并据此重给症状定功能：症状不是报警，是定位——它把悬量转成有归属的对象，介入这才有处可落。由此得到一个反直觉的推论：人类历史上成功的预防几乎全部是无差别的、不需要选出“这一个”的（清洁水、疫苗、控烟、安全带、恒湿库房），而个体化的预防大量失败或有害；中医的治未病恰恰把预防放在了最依赖落点的那一格，辨证论治这一最大长处在无证可辨处反转为最大障碍。本章给出一个可跨物理、心理、工程与医学比较的读数——落点自证率：最近若干次预防性介入中，介入对象依据其自身实测偏移被选出的次数占比。判据是一句不含评价词的问话：在这次介入发生之前，被介入的那一个是怎么选出来的？

一、同一个背离，另一个入口

《素问·四气调神大论》那条排序两千年未被降级，而它的实践量在任何一个可清点的时代都最小。这个事实本身不需要再论证。需要论证的是它凭什么能稳定两千年。

本书处理过一次这个问题，给出的机制在回报的那一侧：预防兑换的是一件没有发生的事，而账本只能记事件；一次成功的预防不产生下一轮的资源。那条判断本章接受，并且认为它成立。但它只管住了一半。

它管的是做成之后：做成了，账上没有这一栏。 它不管做之前：你想做，落在谁身上？

这一半更靠前，而且它在很多场合先于账本发挥作用。一个不计报酬、不求记账的医生——比如给自己家人调理的那一位——同样很少做真正的预防。他没有账本的问题，他有另一个问题：在他父亲还没有任何不适的那十年里，他不知道该改哪一样。

这不是一个知识问题。他知道少盐、早睡、少坐、别急。他不知道的是：这些之中，哪一样是这一个人身上正在起作用的那一样。 而任何一次真实的介入——一副药、一个作息表、一次谈话——都必须落在一个具体的东西上。它不能落在“这一类人”上，也不能落在“某种风险”上。

问题因此可以重问一遍：

一个系统在越过临界之前，它所面临的那份风险，附着在什么东西上？

本章的回答是：不附着在任何东西上。 它有确定的总量，没有确定的归属。而这样一份量，在物理、心理、工程与医学四家的账上，都不构成一个可以被处置的对象——因为四家都要求一个量必须先有持有者，才能被处置。

本章并置的三个领域是物理学、心理学与工程学。选它们不因为它们相似，而因为它们在“什么驱动什么”上互相不容：物理那一支坚持是系统自己把自己的条件调到了临界，外部冲击的大小不起决定作用；心理那一支坚持是意图与执行环境之间的不容逼出了行为的实际形态，意愿本身几乎不起作用；工程那一支坚持是部件的实际状态与实际载荷之间的关系决定一切，年龄与规程都不算数。三家各自认定只有自己那条是决定性的，因此不可能同时对。而正因如此，它们脚下那条谁也没说出口的共同假定才会露出来。

路线：第二节处理四种现成解释各自停在哪里；第三至五节让三家把自己那条驱动说完整，并各交出一处自己撑不住的地方；第六节指出三家共同站着的那块地；第七节用工程学自己已经握了近五十年的一件材料把它拆掉；第八、九节给出本章的判断与它对“症状”的重新定义；第十至十二节给出分辨工具与读数；其余各节处理兑现、分界、约束、边界、证伪与自我定位。

二、四种解释，各自停在哪里

认知解释说医者与病人不够重视。它无法解释七十余年“预防为主”写在方针第一条而实践量不动，也无法解释在健康意识空前高涨的今天，真正的预防实践依然罕见。认知上去了，实践没上去。

技术解释说征象太弱、无法标准化。过去三十年检测能力提高了数量级，而结果是治疗提前，不是预防增多。被更早发现的结节与指标进入的是“是否手术、是否用药、多久复查”，而不是“这个人的条件里哪一样要改”。检测提前了，介入的性质没变。

体制解释说支付方式与激励错配。按人头付费、总额预付、按价值付费在多个体系推行了几十年，降低了某些过度医疗，没有把预防抬到与它的纲领地位相称的水平。

第四种解释——预防兑换的是非事件，账本无科目——比前三种深，本章接受它。但它有一个它自己不能处理的反例：在完全不涉及账本的场合，预防同样很少发生。

一个人为自己做预防，不需要向任何人报账。一个家族企业为自己的设备做预防，收益完全内部化。一个父亲为自己的孩子做预防，没有任何绩效考核。按账本机制，这些场合应当是预防最密集的地方。实际上不是。它们比制度化的场合稍好，但远不到“最高纲领”应有的密度。

账本机制解释不了这个缺口。必须还有一样东西，在账本之前就在起作用。

那样东西是落点。而要看清落点这件事，医学内部看不清，因为医学的每一次介入都天然带着一个病人——对象是现成的。要看清它，需要去一个对象不现成的地方。

三、物理学的那条驱动：系统自己把自己的条件调到临界

物理学里有一支立场极硬的传统，它主张：决定一个大系统会不会发生大事件的，既不是外部冲击的大小，也不是内部有没有缺陷，而是系统自己把自己的条件调到了什么地方。

这一支的名字是自组织临界。巴克、汤超与维森菲尔德（Bak, Tang & Wiesenfeld 1987）用沙堆给出了它的原型：一粒一粒地加沙，堆的坡度会自己趋向一个特定值；到了那个值之后，加下一粒沙引发的崩塌，其规模服从幂律——没有特征尺度，大崩塌与小崩塌是同一个机制，不需要特殊原因。

这一支的强硬处在于它拒绝把冲击当成“其中一个因素”。它的主张是：在一个已经自调到临界的系统里，追问“这次大崩塌是哪一粒沙引起的”是一个错误的问题。 那一粒沙没有任何特殊之处。它只是恰好落在一个已经临界的堆上。地震的古登堡——里希特定律、森林火灾的规模分布、生物大灭绝的间隔、金融市场的收益分布，都被这一支拿来作为同一个结构的实例。

它的时序读数很具体：先动的是系统自己的条件。 坡度先被调到临界，关联长度先被拉长，恢复力先被耗尽；然后事件的规模分布才改变；而任何单次事件在事前不可预测。最后动的、也是唯一被记录的，是那次事件本身。

按这一支，治未病对应的物理图像是清楚的：一个人体在几十年里被逐粒调向临界，而这个过程不产生任何具有特征尺度的信号；直到某一天，一次完全普通的扰动——一顿饭、一次生气、一次感冒——引发了一次规模很大的崩塌。事后所有人都会去追问那一顿饭，而那一顿饭什么也不是。

这一支自己撑不住的地方。

物理学内部对此并不统一，而分裂正是它自曝的那一处。

谢弗等人（Scheffer et al. 2009）在《临界转变的早期预警信号》里给出了相反的一支：在有明确分岔的系统里，接近临界点时会出现临界慢化——扰动后的恢复变慢、自相关升高、方差增大。这些指标在湖泊富营养化、癫痫发作前的脑电、实验种群崩溃中都被实测到过。

两支的冲突不是谁对谁错，而是它们各自成立于不同类型的系统。而物理学自己承认一件事，并且从不往本章这个方向用：

一个系统属于哪一类，不能从外部观测直接分辨。

迪特莱夫森与约翰森（Ditlevsen & Johnsen 2010）检验过古气候记录中的丹斯高——厄施格尔事件，结论是那些跃变缺乏预期的早期预警信号，更像噪声诱发的跃迁而非分岔诱发的跃迁。斯图姆夫与波特（Stumpf & Porter 2012）则指出，观察到幂律远不足以证明自组织临界。

这一分裂在物理学内部回答的是“我们的预警方法适用于哪些系统”。它从来没有被拿来回答一个更前面的问题：即使预警信号存在，它给出的是什么？

第八节会指出：它给出的是系统级的接近，不是部件级的归属。恢复力指标告诉你“这个湖快翻了”，不告诉你“该动哪一根管子”。

四、心理学的那条驱动：不是意愿，是意图与执行环境之间的不容

心理学里有一支同样强硬、而与物理学那一支正面不容的立场：决定一个人实际做出什么行为的，既不是他的知识，也不是他的意愿，而是意图与执行环境之间那条不容。

它不容在哪里：物理那一支说驱动来自系统自己的内部条件，外部扰动无关紧要；心理这一支说恰恰相反，驱动来自外部的执行环境，内部的意愿几乎不起作用。

这一支的证据是量化的，而且量化得相当难看。希兰（Sheeran 2002）的元分析显示，意图对行为的解释力有限；韦布与希兰（Webb & Sheeran 2006）做了一件更狠的事——他们只取那些实验性地改变了意图的研究，看行为跟着变了多少。结论是：中到大幅度的意图改变，只带来小到中幅度的行为改变。把一个人的决心提高一倍，他的行为改变远不到一倍。

戈尔维策（Gollwitzer 1999）的执行意图给出了这一支的正面处方：不要立志“我要多运动”，要预先把行为绑定在一个具体的情境线索上——“如果是周二晚上七点，那么我就换鞋出门”。它的效果量在元分析里稳定为中等，远高于任何形式的动机提升。起作用的不是想做的强度，是想做与场合之间的那一次绑定。

这一支的时序读数也很具体：先动的是环境线索。 换一个默认选项、把水果放在视线高度、把楼梯口挪到电梯前面，行为在几天内改变；而人们对自己的态度陈述最后才跟上——他们事后会说“我一直觉得爬楼梯挺好的”。信念是最后动的那一样。

按这一支，治未病失败的图像是：不是病人不想，是没有一个场合把“想”接住。

这一支自己撑不住的地方。

它自己知道两件事，而两件都不往这个方向用。

第一件：执行意图对“启动”类行为效果好，对“维持”类行为效果衰减。 让一个人开始去健身房，绑定一次情境线索就够；让他三年后还在去，绑定几乎不起作用。而预防几乎全部是维持类行为。

第二件更硬。希金斯（Higgins 1997）的调节焦点理论区分了促进焦点与预防焦点，并指出两者的成功状态在情绪上不同：促进焦点的成功产生高兴，预防焦点的成功产生平静。也就是说——

一次成功的预防，在个体的强化历史里，产生的是“松了一口气”，而不是“得到了什么”。

而学习理论早就知道，解除一个负性预期不建立行为：一旦威胁信号不再出现，回避行为就会消退。这是消退研究最基本的结果。

心理学在自己的语境里，用这两件事回答的是“如何设计更有效的干预”。它没有拿它们去问：一个成功的预防，在这个人的经验里留下了什么？ 答案是：什么也没留下，甚至留下的是“看来本来也不会有事”。

这一条与本书那一章讲账本的文章遥相呼应，但它更深一层——不是制度的账上没有这一笔，是这个人自己的经验账上也没有这一笔。

五、工程学的那条驱动：不是年龄，是当下状态与实际载荷

第三支来自可靠性工程，而它与前两支都不容。它主张：决定一个部件该不该被动，既不是系统的整体条件，也不是执行环境，而是这一个部件当下的实际状态与它实际承受的载荷之间那条不容。

它的强硬处在于它拒绝一切代理变量。年龄不算数，规程不算数，同型号部件的统计不算数——只有这一个件此刻的实测状态算数。这一支的名字是以可靠性为中心的维修。

诺兰与希普（Nowlan & Heap 1978）为美国联合航空所做的那份报告是它的地基。他们做了一件在当时近乎冒犯的事：把民航部件的实际失效数据按“失效率随使用时间如何变化”归类，得到六条曲线。结论是：

只有约百分之十一的部件表现出与年龄相关的失效模式；其余约百分之八十九没有。

对那百分之八十九，“用满多少小时就换”这条规则没有任何依据。更糟的是，换件本身要拆装，拆装会重新引入早期失效——新件、新装配、新的人为差错。因此对这一类部件，定期预防性更换提高了总失效率。

莫布雷（Moubray 1997）后来把这一支写成了系统方法：预防性维修的正当性不来自“预防总比不防好”，来自一个具体的条件——该失效模式必须有一个可检测的潜在失效期，即从“开始不对劲”到“真的坏掉”之间有一段可用的窗口。有窗口，就监测；窗口太短或不存在，就等它坏了再修。

它的时序读数：先动的是这一个件的实测读数——振动谱偏移、油液金属含量、热成像温差；维修策略在几个月内跟上；而维修规程文件与人员编制，往往几年之后仍按旧口径编制。文件是最后动的那一样。

这一支自己撑不住的地方。

它也交出了一件自己从不往这个方向用的事实，而这件事实是本章的枢纽。第七节专门处理它。这里先把它放在这儿：

那百分之八十九的部件，“该换哪一个”这个问题在失效发生之前不是难以回答——是没有答案。

不是数据不够。是那个问题所要求的那种对象，在阈下不存在。

六、三家共同站着的那块地

三支的主张摆在一起，互不相容：

物理说，驱动来自系统自身的条件，外部扰动无关紧要，单次事件不可预测。 心理说，驱动来自外部执行环境，内部意愿几乎不起作用。 工程说，驱动来自这一个件的实测状态，系统级的统计与外部规程都不算数。

三家都主张只有自己那条是决定性的，因此不可能同时对。但它们可以同时错，而且确实同时错在同一处——三家都站在同一条从未说出口的假定上：

越早介入，代价越小、效果越好。

也就是说：代价与时间是单调的。 早比晚便宜、早比晚有效、早比晚容易。

这条假定是整个预防思想的地基，也是“上工治未病”这句话的全部说服力所在。你把它念给三家听，三家都会说“这还用说吗”——沙堆当然是加得越少越好扫；行为当然是养成之前更好改；部件当然是坏之前换比坏之后修便宜。

它之所以从未被追问，是因为它不像一个主张，像一条常识。而这正是它作为共同地基的标志：会引起争论的是某一家的立场，不会引起争论的才是所有人脚下的那块地。

这块地还有更宽的一层，整个干预科学都站在上面：

凡是可以被干预的，必定可以被定位。

随机对照试验要有分配单元，工程维修要有可更换单元，行为干预要有目标行为，公共政策要有作用对象。干预与定位被当成同一件事的两面——你能对它做点什么，前提是你知道“它”是哪一个。这条假定太基本，以至于它从来不被写下来。

而它是可以被拆掉的。拆它的材料不必从外面搬，工程学已经握了将近五十年。

七、工程学交出的那件材料：六条曲线

回到第五节末尾。

诺兰与希普那六条曲线的第一层含义，工程界已经充分吸收：定期更换对大多数部件没有依据，应当改用视情维修。这一层是策略层的，已经写进了各国的维修大纲。

第二层含义，工程界没有往这个方向用。

把它写清楚：如果一个部件族的失效率不随使用时间上升，那么在任何一个时刻，这个族里的每一个件，它在下一个区间内失效的概率是相同的。这个族的总失效数是可预测的——平均无故障时间是一个相当稳定的量。而“下次是哪一个失效”，不是难以预测。

是这个族里没有任何一个件比别的件更“该”失效。

这就是本章要用的那件材料。它推翻共同地基的方式是直接的：

早介入不必然便宜，因为在阈下，“介入哪一个”这个问题没有答案。 而预防性更换硬要给出一个答案——按年龄。它给出的是一个构造出来的答案，不是一个发现出来的答案。构造的答案有两个后果：第一，它多半选错了对象；第二，它对被选中的那个对象做了一次真实的扰动，而这次扰动重新引入了早期失效。

于是代价与时间的单调性被打破了：在阈下介入，你付的不只是介入本身的成本，还要付“选错对象”的成本，以及“扰动一个本来运行良好的个体”的成本。 这两项在阈上都不存在——因为阈上对象是被给定的。

三个领域立刻各得到一个不同的说法。

在医学上：一个吃了十年同一个方案、十年没出事的人，改方案的第一年风险最高。这不是修辞，是药物治疗学里被反复观察到的现象——变更本身是一次风险事件。而“这十年没出事”是一项已经积累起来的证据，它只属于这一个人，无法从任何指南中推出。预防性地改动它，等于用一份人群规则去覆盖一份个体证据。

在心理学上：一个已经自动化的习惯被拿回意识层重新设计，短期表现会下降。贝洛克与卡尔（Beilock & Carr 2001）关于压力下失常的实验给出了这个机制的一个清晰版本——对已经熟练的动作施加逐步的注意，会破坏它的执行。对一个运行良好的行为系统做“预防性优化”，第一步是把它降级回需要控制的状态。

在工程上：拆装即风险，这是维修界的常识，只是它通常被记为“人为差错”，记在维修工的账上，不记在“预防”这个决策的账上。

到这里，共同地基塌了。早不必然比晚便宜。 而这不是因为预防没用，是因为在阈下，介入所必需的那样东西——一个具体的对象——还不存在。

八、悬量

现在可以给出本章的判断。

先写成一句最紧的话：

治未病之所以在纲领上最高而在实践中最少，不是因为医者与病人不想（意愿不足），不是因为征象太弱、检测不够（信号不足），也不是因为规程与制度不支持（策略不足），而是因为：在症状出现之前，风险以“总量确定、归属未定”的形式存在，而一切介入都必须落在一个具体对象上。阈下没有落点，于是介入只能落在一个被构造出来的对象上；而落错的代价被记在被介入对象的账上，不记在介入的账上。

本章把那份已经确定存在、却尚未附着于任何具体对象的量，命名为悬量。

三件事要说清楚。

第一，它的总量是确定的，甚至可以算得很准。 一个五十岁男性群体在未来十年的心血管事件数，可以用队列数据算到相当精确；一个部件族在下一万小时的失效数，平均无故障时间给得很稳；一个班级在这学期会有几个人掉队，有经验的老师估得八九不离十。总量不是模糊的。

第二，它的归属是未定的，而且不是“暂时未知”。 关键在这里。如果只是暂时未知，那么更好的模型、更多的数据、更灵敏的检测就能把它定下来——这正是精准医学的整个纲领。但在那百分之八十九的部件族里，归属不是未知，是不存在：没有任何一个件比别的件更该失效。一份没有更该落在谁身上的量，不是一份“我们还不知道落在谁身上”的量。

第三，介入必须有归属。 这一条是全部困难的来源。你可以计算一份没有归属的量，可以为它做预算，可以据它写政策。但你不能对它下手。下手这个动作，在语法上就要求一个宾语。

三件合起来，产生了本章最关心的那个后果：

在阈下，介入所需要的那样东西不存在；而系统必须介入，于是它构造一个。

构造的方式只有一种：按类别。 按年龄、按性别、按体质分型、按风险评分、按飞行小时、按上次考试排名。类别是现成的，可核查的，可写进规程的。它唯一的问题是——它与真实的归属没有关系，或者关系微弱到不足以支撑一次真实的扰动。

这条判断为什么不能从三家中任何一家单独推出来，要说清楚，而且不能写成三家的缺陷。

物理那一支到不了，不是因为它疏忽。 它的核心问题是“系统整体会怎样”，而自组织临界的全部力量恰恰来自它取消了对个体的追问——不问是哪一粒沙，正是这一支的成就。一个领域看不见什么，通常不是它的缺陷，是它的问题结构的影子。

心理那一支到不了，也不是因为它粗心。 它的研究对象天然自带一个个体：被试是招来的，干预是施加在他身上的。对象的现成性是它的实验条件，因此对象从哪里来这个问题在它那里不出现。

工程那一支离得最近，它已经把六条曲线画出来了，但它止步于策略。 它的核心问题是“该按什么规则动手”，这个问题预设了“总要动手”。它因此把八十九这个数字读成“别按年龄换，改成按状态监测”，而没有读成“有一类对象在阈下不存在”。

九、症状的一项重要功能是提供落点，而不只是提供报警

上一节的判断有一个直接的推论，而这个推论值得单独说，因为它改变了一个被用了两千年的概念。

症状通常被理解为报警：身体出了问题，于是发出信号，提醒你去处理。整个“早期诊断”的纲领建立在这个理解上——报警来得越早越好，所以要把检测推向更早。

但如果上一节成立，症状做的是另一件事：

症状把一份悬量转成一个有归属的对象。

在症状出现之前，那份风险确实存在，总量甚至可以算出来，但它不附着于任何具体的东西。症状出现的那一刻，发生的事情不是“信息被传递了”，而是归属被确定了：不是“某类人里有若干人会病”，而是“这一个人、这一个部位、这一个功能”。介入这才有地方落下。

两种理解给出的处方完全相反。

按报警说：症状晚了，应当在报警之前就动手，所以要把检测阈值往前推。 按定位说：把检测阈值往前推，得到的是一个更早的报警，而不是一个更早的归属——除非新的检测是对这一个个体自身的动态实测，而不是对人群阈值的重新划线。

后者解释了第二节里那个反复出现的现象：检测提前了，介入的性质没变。 把糖化血红蛋白的线从六点五移到六点〇，得到的是更多被归入“某一类”的人，不是更多被定位的人。他们仍然按类别接受同一套处置。线移动了，落点的来源没有变。

这也重新解释了中医内部一个长期的困难。辨证论治的全部力量在于个体化——同病异治、因人因时因地制宜。而辨证的操作前提是有证可辨：脉、色、舌、症，都是已经露出来的东西。

“未病”的定义就是无证可辨。

于是出现了本章认为最尖锐的一处：中医最大的长处，在治未病这一格上反转为最大的障碍。 治已病时，中医的个体化使它强；治未病时，同样的个体化要求使它无处下手——因为它比任何一门医学都更依赖落点。

实际发生的事情正是“构造落点”：体质辨识用量表，量表用人群常模，常模给出九种体质。九种体质是九个类别，不是九个这一个。 它形式上完成了个体化，实质上完成的是分类。这不是操作者不用心，是无证可辨时唯一可行的做法。

9.1 从"预测落不了点"到"归属不存在"，需要哪些条件

本章最强的一句是"归属不是暂时未知，是不存在"。这是一个很强的本体论断言，必须写清它成立所需要的条件，否则它会被正当地读成一次过度推论。

失效率与服役时长无关，不能直接推出"没有任何一个单元比别的更可能失效"。两者之间隔着三样东西：

• 认识论不确定性：归属存在，只是当前的信息还读不出来。材料批次差异、制造差异、局部环境差异都属于这一类。
• 随机不确定性：在给定信息下，这些单元近似可交换——任何重新排列都不改变联合分布。
• 本体性无归属：在介入发生之前，根本不存在一个"更应当承受这份量"的对象。

本章的主张是第三种，而第三种只有在下列条件同时成立时才站得住：（甲）在已被使用的全部信息之下，目标单元近似可交换；（乙）不存在一个成本可接受、且能显著打破这种可交换性的补充测量；（丙）打破可交换性所需的信息，其获取成本高于介入本身的成本。

三条中任何一条不成立，本章说的就退回第一种——归属存在而尚未查明，那是一个技术问题，不是一个本体问题。 于是本章的处方（转向无差别介入或转向自证落点）也就失去正当性。

这三条是可查的：只要有人用一组新的、成本可接受的测量把可交换性打破，并且据此选中的对象其事件率显著高于随机选取，条件（乙）当场不成立，本章此处即为伪。这也正是本章最希望被这样检验的一处。

十、一张分辨表

一个名字不够用。要能用，它必须把两件看上去一样的事分开。所以需要第二根轴。

第一根轴问：这份风险的归属定了没有？ 第二根轴问：这次介入必须落在一个具体个体上，还是可以落在所有人共有的条件上？

四格的读法：

第①格是应急管理的常态，落点由一个已经发生的事件给出（这一批、这一个区）。它不难，只是贵。

第②格是全部临床医学、全部修理业、全部救援的所在。它之所以看起来“容易”，唯一的原因是它的落点是白给的——症状把对象送到你面前。治已病的技术难度可以极高，而它的落点难度是零。

第③格是本章认为唯一被大规模验证过的预防形式。 它的特征是：它不需要知道哪一个。 把水烧开，是给所有人烧的；打疫苗，是给所有人打的；装安全带，是所有车都装；库房恒湿，是所有件都受益。它绕过了归属问题，方式是把介入落在所有人共有的那一层条件上。

第④格是本章要打的那一格，下一节单独说。

这张表最有用的地方，是它把两件长期被混为一谈的事分开了：第③格与第④格都叫“预防”，而它们是两种不同的东西。

一个数字可以把这个分开的价值说清楚。人类预期寿命在过去一个半世纪的增长，主流的估计把其中最大的一块归给公共卫生与生活条件的改善，而不是临床医疗。这些改善全部在第③格：供水、排污、住房、营养、疫苗、交通安全、职业防护。

而在第④格里，大规模的成功案例极少。定期全身体检对总死亡率的影响在多项随机对照研究与系统综述中未见显著获益；若干大规模筛查项目在减少特定疾病死亡的同时带来了可观的过度诊断；定期预防性更换在民航业被证明对多数部件有害。

同一个词底下是两类命运完全不同的东西。 而“治未病”这句话被理解的方式，几乎总是第④格的方式——上工要看出这一个人身上将要发生什么，然后针对他下手。它把预防安放在了最难的那一格，而不是最有效的那一格。

十一、代位落点：全部形式审查都能通过的那一格

第④格值得单独说，因为它是本章的靶子，而且它最难被看见——它不长得像错误，它长得像专业。

代位落点的定义：当阈下必须介入而落点不存在时，系统用一个类别变量构造出一个对象，并对这个构造出来的对象执行一次真实的扰动。

它有三个签名，三条都能写满，这一格才算成立。

签名一：它在短期指标上表现为改善。

按年龄换件的机队，按期更换完成率百分之百，适航检查全过。开展体质辨识的中心，覆盖率上升、依从率上升、满意度上升。执行筛查指南的医院，指南依从率百分之百，评级得分上升。没有一项指标变差。 代位落点最强的保护是：它确实产出了那些指标所要求的东西，而且产出得很规范。

签名二：它的失效不产生任何信号。

给一个本来不会发病的人吃了三年预防性用药，不会有任何记录说这三年是白吃的——因为他确实没发病，这被读成成功。换掉一个本来还能飞两万小时的件，不会有记录说它被浪费了——它被读成“预防了一次故障”。选错对象与选对对象，在账面上是同一个样子。

这一条比上一栏那篇文章讲的“非事件没有科目”更进一步：不仅成功没有科目，而且失败伪装成成功。 一次落在错对象上的预防，其结果与一次落在对对象上的预防完全一致——什么都没发生。

而它真实的代价——被扰动的那个个体、被重置的运行历史、被引入的早期失效——落在被介入对象的账上：新件早期失效被记为“部件质量问题”，改方案后的不良反应被记为“药物不良反应”，被重新设计的习惯崩溃被记为“依从性差”。没有一笔记在“这次介入的落点选错了”这个名下，因为没有这个字段。

签名三：它自我加固，越正规化越严重。

这一条最要紧。当代位落点的效果不佳时，系统的自然反应是把类别划得更细：从三种体质到九种，从年龄分层到年龄乘性别乘家族史，从统一更换周期到按机型按环境分组的多套周期。每一次细化都提高了形式上的精确度，而落点的来源一次也没有变——它仍然来自类别，不来自这一个对象自身的实测。

于是有一句可以直接写下来的判断：

分类的精细化，被系统性地误读成了定位的精确化。

一个有三百个亚型的分层方案，与一个有三个亚型的方案，在落点的来源上没有任何区别。它们只是把同一件事做得更漂亮。而每一次细化都增加了执行成本、增加了不一致、增加了操作者对这套体系的信任——信任的增长最危险，因为它使扰动被施加得更果断。

一个可以直接去查的读数：任取一个成熟的预防性项目，翻它最近若干次介入的记录，逐条看“这一次的对象是怎么被选中的”。本章预测：绝大多数的答案是某个类别变量，且这个比例与项目的正规化程度、指南依从率、评级等级正相关，而不是负相关。

十二、一个跨四个领域同构的读数：落点自证率

要检验，需要一个数。

本章提出的读数是落点自证率：

最近若干次预防性介入中，介入对象是依据该对象自身的实测偏移被选出的次数，占全部介入次数的比例。

“自身的实测偏移”有硬定义：该次介入的触发依据，必须是这一个对象自身在时间上的变化，而不是它与某个群体常模的比较。振动谱相对于这一台设备自己上个月的偏移，算；振动值超过同型号设备的通用阈值，不算。一个人的静息心率相对于他自己过去六个月基线的偏移，算；他的血压高于人群标准，不算。

它在四个领域里量纲不同，比率相同。

工程：视情维修占全部预防性维修的比例，且必须扣除那些“按通用阈值报警”的部分。一支执行传统定期更换大纲的机队，这个数接近零。

医学：预防性介入中，依据该个体自身连续实测的动态变化而启动的比例。目前在绝大多数一级预防中接近零——启动依据是年龄、性别、血脂、家族史，全部是横断面的类别变量。

心理与行为：干预触发依据来自该个体自身实时状态流的比例。生态瞬时评估与即时自适应干预正是在做这件事，而它们在整个行为干预中的占比仍然很小。

生态与工程系统监测：预警触发依据来自该系统自身时间序列的恢复力指标，而不是同类系统的经验阈值的比例。

四条性质，缺一条这个读数就不能用。

其一，无量纲。 四个领域的对象、时间尺度、专业语言完全不同，比例可以并排比较。

其二，可事后清点。 它不要求你现在就判断哪一次介入是对的。翻记录，逐条读“选择依据”字段即可。它测的不是介入的正确性，是落点的来源。

其三，它把一个印象变成一个数。 “我们做的是个体化”是一个说法；落点自证率零点〇三是一个数，可以逐年比、跨机构比。

其四，也是最容易漏的一条：它与既有的主要指标正交，而且是负相关。

必须举一个“既有指标最好看、这个数最难看”的真实例子，举不出来这个读数就白造。

例子：一家指南依从率百分之百的医院，其一级预防的落点自证率可以是零。 原因是直接的——指南本身就是一套类别规则。它按年龄段、按风险评分区间给出推荐；一个机构越是严格执行指南，它的每一次介入就越是由类别变量触发，落点自证率就越低。依从率与落点自证率之间是结构性的负相关，不是巧合。

同样的形状在别处重复：按期更换完成率百分之百的机队，视情维修占比可以是零；筛查覆盖率百分之百的社区，按个体动态启动的比例可以是零；流程标准化程度最高的干预项目，按个体实时状态触发的比例最低——标准化的定义就是把触发规则统一。

这就是正交：它不是既有指标的另一个算法，它测的是既有指标看不见、而且越好看就越看不见的那一段。

这个读数不能做什么，也要写清楚。 落点自证率高不等于好。有一类系统不输出可用的个体状态流，强行追求这个数只会制造噪声驱动的过度介入。而且第③格——改境——的落点自证率天然为零，而它恰恰是最有效的预防形式。这个数只在第④格内部有意义：它衡量的是，当你已经决定要对个体下手时，你凭什么选中了这一个。 用它去评价第③格，是误用。

十三、在各领域里的兑现

一条判断如果只是像，就还是比喻。要成立，它必须在每个领域里预测一件具体的、可以去查的事。下面十二处。

一、民航维修：一个部件族从定期更换改为视情维修之后，其早期失效（拆装后短期内的失效）比例下降，而总失效率不上升。这是诺兰与希普结论的直接推论，已有大量业界数据可查。

二、共因失效：在核电与化工的概率安全评价中，共因失效——多个冗余单元因同一原因同时失效——占系统失效概率的相当大一块。对这一类失效，扩大单元级状态监测不改善，因为前驱信号不定位于将失效的那些单元，而在它们共有的条件上。这一条是本章与视情维修分界的关键，第十四节展开。

三、状态监测的覆盖极限：一个组织把状态监测覆盖率从百分之三十提高到百分之七十，落点自证率会上升；从百分之七十提到百分之九十五，收益递减急剧，因为剩下的失效模式多数没有可用的潜在失效期。可查：监测投入与非计划停机下降之间的关系是否呈饱和曲线。

四、定期全身体检：对无症状人群的定期综合体检，在总死亡率与心血管死亡率上未见显著获益，这一结论在多项大型随机试验与系统综述中重复。本章的解释是：体检的落点全部由类别给出，它把一份悬量按年龄切开，再对每一片施加同一套动作。

五、筛查的过度诊断：凡是筛查项目，其检出量的增长快于对应疾病死亡率的下降，两者的差值即为过度诊断的规模。本章预测这个差值与筛查阈值的类别性正相关——越是按人群阈值一刀切，差值越大；而按个体历史轨迹判读（同一个人的连续影像比对）的项目，差值较小。

六、他汀一级预防的依从性：按风险评分启动的一级预防，长期依从率低，且停药不产生任何记录。本章的解释与人群策略解释不同，见第十四节第一条。

七、行为干预的维持段：绑定情境线索的干预，其效应在启动段大而在维持段衰减。本章预测：维持段效应与干预是否持续接收该个体自身的实时状态流正相关——即时自适应干预在维持段的衰减慢于固定方案。

八、习惯的重新设计：对一个已经自动化、运行良好的行为进行“预防性优化”，短期表现下降，且下降幅度与原行为的自动化程度正相关。这可以直接实验。

九、教育中的学业预警：预警对象几乎全部由已发生的事件（上次考试、缺勤记录）选出，即由症状选出。本章预测：以类别变量（家庭背景、入学成绩分层）选出预警对象的系统，其干预有效性低于以该学生自身学习轨迹偏移选出对象的系统，且两者的差别不随类别的细化而缩小。

十、文物的预防性保护：库房环境控制属于第③格，落点自证率为零而效果最好；针对单件的“预防性加固”属于第④格，其对象通常按材质类别与年代选出，而不按该件自身的状态变化选出。本章预测：单件预防性干预的事后评价，其争议率显著高于环境控制。

十一、软件系统的预防性重构：按“代码年龄”“复杂度阈值”选出的重构对象，其引入新缺陷的概率高于按“该模块自身缺陷密度的时间变化”选出的对象。这可以在版本历史中直接清点。

十二、农业与土壤：土壤保护措施若按地块类别统一施加，效果远低于按该地块自身的有机质时间序列施加。而绝大多数补贴政策按类别发放，因为类别可核查。可核查性决定了落点的来源，而不是有效性决定的。

第十二处点出了一条贯穿全部的规律，值得单独写下来：

落点的来源不是由有效性决定的，是由可核查性决定的。

类别变量之所以永远赢，不是因为它更准，是因为它可以被第三方核对：年龄写在身份证上，飞行小时记在履历本上，风险评分算得出来。而个体自身的实测偏移需要一条连续的、只属于这一个对象的时间序列——它昂贵、易断、难以被外部审计。在一个必须向外证明自己做了正确的事的系统里，可核查的落点一定挤掉可靠的落点。

十四、与几种相近说法的分界

这条判断最容易被读成某个既有概念的改名。下面逐一分开。每一条给出一个可判定的对照：若观察到甲，则本判断对而该说法不足；若观察到乙，则反之。

其一，人群策略与高危策略（Geoffrey Rose, 1981/1985）。这是最近的一位。

罗斯区分了两种预防：把整个人群的风险分布左移，或者识别出高危者重点干预。他主张前者的总收益更大，因为大多数病例来自中低风险的大多数人。

本章与它共享全部现象，在机制上分开。罗斯用收益的分布来选策略；本章用落点的可得性来选。 在罗斯那里，高危策略之所以次优，是因为高危者贡献的病例总数少；在本章这里，高危策略之所以次优，是因为“高危”是一个类别，识别出高危者并不等于获得了落点。

判定：若在高危识别做得很准的场合（判别能力足够高的风险模型），高危策略的净获益随判别能力单调上升，则罗斯的框架足够而本章多余；若判别能力上升而净获益不动、同时落点仍全部来自类别变量，则本章对。 这一条正在被实时检验：心血管风险评分的判别能力在过去二十年提升有限但确有提升，而一级预防的实际人群获益没有相应位移。更要紧的是，罗斯自己预测不到第③格与第④格的巨大命运差别——按他的框架，人群策略的优势只是量的优势；按本章，那是结构的差别，因为第③格根本不需要落点。

其二，精准医学与分层医学。

主张是：把人群切得足够细，个体化就实现了。这是本章最直接的对手，因为它承诺解决的正是本章说不可解的那件事。

分界：分层医学把类别做得更细；本章说细化类别不改变落点的来源。 一个三百亚型的方案与一个三亚型的方案，在“依据什么选中这一个”上是同一件事。

判定：若净获益随亚型数量单调上升，则本章错；若在亚型数量大幅上升而“按个体自身时间序列启动”的比例不变时净获益停滞，则本章对。 这一条有一个天然的分界线可用：肿瘤学中按分子亚型选药的成功，与心血管一级预防中按风险分层选人的停滞，两者的差别不在细度，在于前者的分子标志物是这一个肿瘤自己的实测结果，后者的风险评分是这一个人与人群常模的比较。同样叫分层，落点的来源相反。

其三，过度诊断（Welch, Schwartz & Woloshin 2011）。

主张是：筛查发现了大量本来不会造成伤害的病变，因此制造了不必要的治疗。

分界：过度诊断说的是“发现了不该发现的东西”，本章说的是“在发现之前就必须选一个对象”。 过度诊断发生在阈上——东西已经被找到了，问题是它值不值得处理。本章的问题在阈下。

判定：若把诊断阈值调高、减少发现量即可恢复净获益，则问题是过度诊断；若阈值调高后介入量下降而净获益不上升，则问题在落点来源。 两者可以同时存在，但处方相反：前者要求“少找”，后者要求“换一种方式选”。

其四，自组织临界与临界慢化（Bak 1987 vs Scheffer 2009）。

这是物理内部的分裂，本章取的是它们的冲突而不是它们的任何一方。

分界：两支争的是“预警信号存不存在”，本章说的是“即使信号存在，它给出的是系统级的接近，不是个体级的归属”。 一个湖泊的恢复力指标告诉你这个湖快翻了，不告诉你该动哪一条入湖河流、哪一户排污。

判定：若恢复力类指标能定位到具体的可干预单元，则本章错；若它只给出系统整体的接近度，而干预单元仍需另行按类别选出，则本章对。 目前的实证工作全部属于后者。

其五，以可靠性为中心的维修（Nowlan & Heap 1978；Moubray 1997）。这是最危险的一位，因为本章的核心材料就来自它。

它已经主张视情优于定期，而这看上去正是本章的处方。

分界：它把这件事当作一个策略优化问题——在部件层面选对方法；本章把它当作一个存在论问题——在阈下，“哪一个”这个问题没有答案，而不是难回答。 这个差别有实际后果：策略优化预测，扩大状态监测覆盖即可逐步逼近最优；本章预测存在一个不可跨越的余量。

判定：若扩大状态监测覆盖率，预防性介入的净获益单调逼近上界，则它足够；若存在一类失效，其前驱信号在原理上不定位于将失效的那个单元，则本章对。 后者有现成的案例：共因失效。多个冗余单元因同一原因同时失效，其前驱信号在它们共有的条件上——同一批次、同一次维护、同一个环境参数——而不在任何一个单元上。对这一类，视情维修在单元层面永远看不到它。这正是第③格：落点必须落在共有条件上，不在个体上。

其六，即时自适应干预与生态瞬时评估（Nahum-Shani et al. 2018）。这是一位方法学上的邻居，而且很近。

它正是“按个体实时状态触发干预”，看上去本章的处方已经被它实现了。

分界：它解决的是时机，不是对象。 即时自适应干预回答的是“什么时候推送给他”，而“他”是怎么被纳入这个项目的——几乎总是按人群分层招募进来的。在“谁该被纳入”这一步，它仍然是第④格。

判定：若一个即时自适应项目的纳入标准也来自个体自身的时间序列偏移，而不是任何横断面的类别变量，则本章说的东西已被实现；若纳入按类别、只有触发按个体，则它只做了半步。 现有项目基本都是后者。这一条是本章承认最接近的一位，也是本章的处方最可能被它吸收的地方。

其七，目标置换与指标失真（Merton 1940；Campbell 1976；Goodhart 1975）。

主张是：手段取代目的，指标一旦成为目标就失真。第十一节的代位落点看上去正是它的一个实例。

分界：这几条说的是已有的东西被扭曲；本章说的是一个必需的东西不存在，于是被构造。 代位落点不是为了应付考核而做的，它是介入这个动作在语法上的要求——你必须有一个宾语。

判定：若去掉全部考核压力之后，代位落点消失，则本章错；若在完全没有考核的场合（一个人为自己、一个家长为孩子）仍然按类别构造落点，则本章对。 第二节已经指出，这类场合的预防同样稀少，且同样按类别下手——按年龄吃保健品，按季节进补，按体质买产品。

其八，助推与默认选项（Thaler & Sunstein 2008）。

助推的成功恰恰是本章的正面证据，但它对自己成功的解释与本章不同：它归因于对认知偏误的利用。

分界：本章认为助推之所以有效，主要不是因为它巧妙，而是因为它免落点——改变默认选项不需要知道哪一个人会因此获益。

判定：若把助推做成定向的——只推送给按类别识别出的高危者——其效果不衰减，则本章错；若定向助推的效果显著低于无差别助推，则本章对。 这是一个可以直接做的实验，成本很低。

其九，行为经济学的现时偏误与双曲贴现（Laibson 1997）。

主张是：人低估远期收益，所以推迟预防。

分界：贴现说的是“知道该做哪一样但拖着不做”；本章说的是“不知道该做哪一样”。 判定：在贴现率极低的主体身上——管理百年期资产的机构、以世纪为单位规划的档案馆——预防实践量确实更高，这一点贴现解释得了。但本章预测一件它解释不了的事：即使在这些主体里，个体级预防性介入的对象仍按类别选出，且其净获益仍不显著优于无差别的环境改造。 贴现能解释投入的多少，不能解释落点的来源。

其十，中医内部关于治未病的既有诊断。

主流的自我诊断是重视不够与技术未成体系，处方是设机构、推标准化。

分界：既有诊断预测，标准化会提高治未病的有效性；本章预测，标准化会提高它的可核查性并降低它的落点自证率，因为标准化的定义就是把触发规则统一。

判定：若体质辨识等标准化工具的推广，伴随“依据该个体自身随时间变化而启动的干预”比例上升，则既有诊断对；若该比例接近零且随标准化程度下降，则本章对。 这一条数据现成：翻任何一份治未病中心的操作规范，看它的启动条件里有没有一个字是关于“这个人相对于他自己半年前的变化”。

最近的一位是哪一位。 是第六位，即时自适应干预。它已经在做本章所主张的那件事的一半。本章之所以还不能被它吸收，只有一个理由：它的纳入端仍在第④格。 若哪一天出现一个纳入与触发两端都来自个体自身时间序列的成熟项目，本章的处方部分就没有独立性了——只剩下解释部分，即为什么长期做不到。

最后，把这十位各自看不见的东西并排看一次。

罗斯把“风险可以被归到某个亚群上”当作给定，因此看不见“归到亚群不等于获得落点”；分层医学把“更细的类别更接近个体”当作给定；过度诊断把“东西已经被找到了”当作给定；临界慢化把“系统级读数可以指导单元级动作”当作给定；视情维修把“总要动手”当作给定；即时自适应干预把“被试已经在项目里”当作给定；助推把“我们知道自己在利用什么偏误”当作给定。

这几行背后是同一件被当作给定的事：

凡是可以被干预的，必定可以被定位。

干预与定位被当成同一件事的两面。所有干预科学——包括互相批评的各派——都站在这一条上，因此谁也不能回头看它。“未被任何学科辨识”的真正来源，不是没有人看，是看的人都站在它上面。 悬量正是从这条地基的缝里掉下去的那一类东西。

十五、与本书其余各章的分界

本书三章处理的是相邻的东西，读者最容易把它们看成同一件事的几种说法。它们是几个可以独立发生的机制，而叠加时后果相乘。

与《无事对价》（第七章）的分界。这一条最要紧，因为两篇处理的是同一个对象。

那一章处理的是回报侧：预防兑换的是非事件，账本只能记事件，因此一次成功的预防不产生下一轮的资源。本章处理的是落点侧：阈下没有可下手的对象，因此介入只能落在一个被构造出来的对象上。

一句话分开：那一章说“做成了没有账”，本章说“想做没处下手”。

判定：若把账本科目补上——真正对非事件结算、真正付钱到执行者手上——之后，个体级预防的实践量与净获益随之上升，则本章的机制多余；若科目补上了、钱付了，而介入对象仍只能按类别选出、净获益仍不显著，则两个机制各自独立。 本章预测后者。

而两者的叠加不是相加。 没有落点，使得每一次介入的成败无法归因到这一次介入上；无法归因，使得即使设立了科目也结算不到具体的一次介入；结算不到，就无法通过反馈发现落点选错了。后一个机制反过来使前一个机制的错误无法被发现，因此两者互相供给对方的成因。

还有一处形状上的差别值得指出。那一章的靶格是“替记”——用动作数冒充成果；本章的靶格是“代位落点”——用类别冒充对象。两者是同一种替代在两个不同环节的表现：一个替掉了结果，一个替掉了对象。 一个系统若两者兼有，它会呈现出一种极其完整的样子：有对象、有动作、有指标、有科目，而这四样与真实的因果链条都不相连。

与《临界回落》的分界。 那一章处理的是：一次已经抵达的转化因未被接住，被记为“从未开始”。它的丢失点在承接。本章的丢失点在归属。判定：若加一个承接动作之后，预防的实践量上升，则本章多余；若承接做了而介入仍无处落点，则两者独立。

与《轮空》的分界。 那一章处理的是一轮里本该有人先动而无人动。它的对象是发起处的空缺，本章的对象是落点的空缺——不是没有人愿意动，是不知道对谁动。判定：若把发起者指定清楚之后，介入就有了对象，则本章多余；若发起者明确、意愿充足，而“对谁动”仍只能按类别决定，则两者独立。

十六、三处反过来的约束

有三处，是这三个领域反过来削弱了本章原本要说的话。逐处写清削掉了什么。

其一，物理学削掉了普遍性。

本章原本会写下一句更强的话：在阈下，不存在任何可用的预警信号。 物理学不允许这句话成立。在有明确分岔的系统里，临界慢化是实测得到的：恢复变慢、方差增大、自相关升高，这些在湖泊、种群、脑电、实验体系中都被观察到过。

因此本章必须让步为一句弱得多的话：存在两类系统，一类给出可用的系统级预警，一类不给；而系统级预警不等于个体级落点。 这一让步是实质性的——它把本章从“阈下什么都看不见”缩成“阈下能看见系统，看不见对象”。少了很多力度，但那句更强的话确实站不住。

其二，心理学削掉了“原则上不可能”这个说法。

本章原本会写下：个体级落点在阈下原则上不可得。 心理学不允许。生态瞬时评估与即时自适应干预已经证明，在某些行为领域，个体级的实时落点是可得的——吸烟渴求的即时识别、暴食冲动的前驱状态、复发风险的日内波动。这些不是理论，是已经在跑的系统。

因此本章只能主张一件有条件的事：落点的可得性，取决于该对象是否持续输出一条只属于它自己的实测流。 输出的，可得；不输出的，不可得。而绝大多数生理系统、社会系统、工程系统在多数时候不输出这样的流——不是因为不能，是因为建立并维持它极其昂贵。问题从“不可能”变成“太贵”，这是一个完全不同的问题，处方也完全不同。

其三，工程学削掉了本章的价值排序，这一处最伤。

本章原本会写下一句很自然的处方：一律改为按个体实测启动。 以可靠性为中心的维修不允许这句话成立，理由是它自己的一条硬条件：视情维修的正当性依赖于存在一个可用的潜在失效期。对于潜在失效期极短或根本不存在的失效模式，监测无效，此时正确的策略是运行到失效——等它坏了再修。

这直接削掉了“预防总是更好”这整套价值排序。有一类东西，正确的做法就是等它坏了。

而这一处的后果超出了处方层面，它触及“上工治未病”这句话本身。若把这条工程结论如实搬过来，那么：“治未病优于治已病”不是一条无条件的排序，而是一条有条件的排序，条件是：该过程存在一个可用的、可被这一个对象自身的实测捕捉到的前驱窗口。 不存在这样的窗口时，最优策略就是等它露出来再动手——而这恰恰就是治已病。

本章因此不能主张预防在一般意义上更高。它只能主张：预防在特定条件下更高，而判别这个条件的读数，两千年来没有被写进任何一部医籍。 纲领之所以高悬，一部分原因是它把一条有条件的排序写成了无条件的。

十七、不适用的边界

四种情形，本章的判断不适用或会给出错误指导。

第一，第③格。 改境类的预防——清洁水、疫苗、控烟、限速、环境控制——落点自证率天然为零，而它们是最有效的预防。用本章的读数去评价它们是误用。 本章的全部分析只在“已经决定要对个体下手”这个前提之内有意义。

第二，落点由外部给定的场合。 职业暴露、明确的单一致病因子、已知的遗传变异——这些场合的归属不是未定的，它由一个外部事实给定。本章的机制在这里不起作用，而这正是预防医学中少数几处成功的个体级案例的所在。它们的成功恰恰支持本章：有落点的地方，个体化预防做得成。

第三，介入本身几乎无扰动的场合。 本章的代价论证依赖于“介入是一次真实的扰动”。若某项介入的扰动接近于零——一句提醒、一次不改变任何配置的记录——那么落错对象的代价也接近于零，此时按类别下手是完全合理的。本章的机制强度与介入的扰动量成正比。

第四，极短周期、可反复试错的过程。 若一个过程可以在低成本下反复试，那么“选错对象”可以靠迭代纠正，归属可以被试出来。本章关心的是长周期、单次、不可逆的过程——慢性病、结构件、土壤、气候、一个人的一生。周期越长、可逆性越低，本章的机制越强。

十八、怎样才能证明这条判断是错的

先写出最强的那个竞争解释，也就是那句最难反驳的话：

其实不就是预测还不够准吗？

这句话很难打，因为它总是部分为真，而且它有一整套发展路线支撑：更多数据、更好的模型、更细的分层。要把本章与它分开，必须找出一个只有本章的机制成立才会出现、而“预测不准”预测不出的变量。

那个变量是落点的来源——介入对象是由该对象自身的时间序列偏移选出的，还是由横断面的类别变量选出的。关键在于：这两件事是可分的。 一个判别能力很高的人群风险模型，其落点来源仍然是类别；一个判别能力平平的个体基线偏移监测，其落点来源是这一个对象自己。高预测精度与低落点自证率可以并存，这是本章能被独立检验的全部基础。

因此证伪条件写成：

控制预测模型的判别能力（受试者工作特征曲线下面积或等价指标）之后，若“落点自证率”与“预防性介入的净获益”之间不存在剂量－反应关系，则本判断为伪——届时应归因于预测精度不足，而不是落点来源。

样本要求。 至少六个单位，且在关键混淆变量上同质。可行的做法：取同一家航空公司内、同一维修体系下的多个部件族，比较各族的视情维修占比与其非计划移除率；或取同一省内多家同级医院的多个一级预防项目，比较各项目的启动依据结构与其可归因的事件下降。不能拿两个国家或两个体系来充数——两边在人口、制度、记录口径上处处不同，所谓“控制掉判别能力”在方法上站不住。

成本最低、数据已经存在的那一条检验。 落点自证率不需要新的数据采集。任何一个预防性项目的介入记录里都有“启动依据”这一栏，翻出来逐条归类即可。一次回溯性的编码工作，一周之内可以完成。

另外六条可判决的读数。

一、定向助推与无差别助推的效果对比。 若定向助推（只推送给按类别识别出的高危者）的单位效果不低于无差别助推，本判断为伪。这是成本最低的一条实验。

二、部件族层面的对照：视情维修占比高的部件族，其拆装引入的早期失效比例更低，而总失效率不更高。若视情占比与早期失效比例无关，本判断为伪。

三、分层细度与净获益的关系：在落点自证率不变的前提下增加分层细度，净获益不上升。若净获益随细度单调上升，本判断为伪。

四、无考核场合的落点来源：在完全没有外部考核的场合（个人自我保健、家族企业自有设备），预防性介入的对象仍主要按类别选出。若这些场合的落点自证率显著高于受考核的机构，则代位落点是考核的产物而非介入形式的产物，本判断为伪。

五、指南依从率与落点自证率的关系：两者呈负相关。若呈正相关，本判断为伪。

六、正向的顺序读数（最重要的一条，顺序比相关难得多被巧合满足）：

观察某一类设备从定期更换大纲改为视情维修大纲之后的三年。预测的次序是：状态监测读数在三到六个月内成为决策依据 → 该部件族的早期失效比例在十二到十八个月内下降 → 而维修规程文件、人员编制与培训大纲在三十六个月时仍按定期口径编制。

也就是说，前两步会按时发生，第三步不会发生。下一轮的分配依据没有变，发起的位置也没有换人。 若第三步在三十六个月内发生——编制与预算确实按视情口径重编——本判断为伪。

医学侧的对应观察：连续血糖监测或可穿戴连续监测普及之后，个体化的剂量调整会在数月内发生，而一级预防的启动依据在三年后仍是横断面的风险评分。 触发端先动，纳入端不动。

这条判断若被推翻，我们会学到什么。 若剂量－反应关系不存在而预测精度解释成立，那么处方就完全不同了：不必改变落点的来源，只需继续提升模型。这是一个便宜得多的出路，因为提升模型不需要为每一个对象建立并维持一条连续的实测流。证伪的价值在于它指向一条便宜得多的路。

一条写死日期的制度扩散赌注。

到 2032 年 12 月 31 日为止，若任何一部国家级临床指南中出现一条一级预防推荐，其启动条件只包含该个体自身随时间的实测变化，不包含任何横断面的类别变量（年龄、性别、族群、家族史、单次实验室值与人群参考区间的比较），则本章的处方部分成立。

什么不算命中，必须写死：

• 把类别变量与个体动态变化并列作为启动条件的——仍是类别启动；
• 只用于调整剂量或频次、而不用于启动的——那是第②格之后的事；
• 仅存在于研究方案、专家共识或试点文件中，未进入指南推荐等级的；
• 以“个体基线”命名而其基线实际取自人群参考区间的——这是最可能出现的伪命中，必须逐字核对定义；
• 二级预防、三级预防中的——那些的落点已由既往事件给出。

本章解释不了的两个洞，交出来。

其一：为什么有些人在完全没有任何可用落点的情况下，依然做出了长期有效的自我调节？一个老农对自己身体的判断、一个匠人对自己工具的手感、一个母亲对孩子“今天不太对”的直觉——这些既不来自类别，也不来自任何可记录的实测流，而它们经常准。本章没有能力处理这一类。可能的方向是：存在一种不经过外部可核查性的落点来源，而它无法被制度化——恰恰因为它无法被第三方核对。 但这只是一个猜测。

其二：为什么这条纲领两千年一次也没有被降级？按本章的机制，一个在多数情形下无处下手的主张，应当在话语上逐渐边缘化。它没有。纲领的稳定与实践的稀少同时持续两千年，本章只解释了后半段。 这个洞与本书那一章留下的是同一个洞，两章都没有补上。

十九、这条判断被采纳之后，最省事的实现方式会毁掉它

必须写清楚一件事：本章的判断如果被采纳，最省事的落实方式恰恰会摧毁它要保护的东西。

最省事的落实是：给每一个对象装上连续监测。

一旦人人都有一条实测流，落点自证率这个数会迅速变好。而接下来发生的事是可以预见的：面对每天数百万条个体时间序列，判读的唯一可行方式是给它们建立人群常模——“你的静息心率偏离了同龄同性别人群的正常波动范围”。读数是个体的，阈值是人群的。 第④格以更精致、更昂贵、更难以被质疑的形式回来了。

而这一次它更难被看见，因为形式上它完全符合本章的判据：触发依据确实来自这一个对象自身的实测流。只有翻到阈值那一层，才看得出落点的来源仍然是类别。 本章的读数因此必须加一条硬定义，第十二节已经写了：与该对象自身历史的比较算，与群体常模的比较不算。这条定义是这个读数唯一的防线，而它极易在实施中被磨掉。

再往下一层：落点自证率一旦进入考核，最省事的达标方式不是改变选择依据，是改变记录方式——把“按指南年龄分层启动”这条记录改写成“该患者近半年指标呈上升趋势”，而实际决策没有变。一个依赖于对决策依据的自我陈述的读数，进入考核之后会立刻失真。

我看不到出口。 任何把落点来源变成可考核指标的做法，都必须依赖对决策过程的记录；而记录是可以被追写的，决策过程是不可追溯的。本章能做的只是把这个位置说清楚，不能守住它。

因此三条限制必须写死，尤其因为落点自证率是一个可以被拿去考核机构与个人的比率：

一、这个读数指的是介入形式，不是执行者。 一个科室的落点自证率低，说明它执行的是类别驱动的规范，不说明它的医师判断力差。严格执行指南的机构必然低，这是指南的性质。

二、不得为了把这个数做好看而增设监测。 不得为提高落点自证率而对本不需要连续监测的对象加装设备，不得为制造“个体时间序列”而增加不必要的检查频次。过度监测本身是第④格的一种新形式。

三、任何据此读数作出的不利安排，必须公开完整的编码规则并提供复核通道。 特别是“什么算个体自身实测偏移”这一条的判定规则必须逐条公开，因为整个读数的全部分量都压在这条定义上。

三条缺一条，这个读数不该被使用。

二十、本章自己在哪一格

按本章自己的分辨表，这篇文章落在第④格。

它提出的是一个关于“预防”这一整类的判断，并据此给出处方；而它自己的判据要求，任何介入的落点必须来自这一个对象自身的实测。本章没有从任何一个具体系统的实测流中被触发，它是从三个领域的文献里被推出来的。它的落点自证率是零。

三个具体后果，必须说出来。

第一，本章无法为任何一个具体的机构指出“你该动哪一个”。 它只能说“你现在选对象的方式来自类别”。而这正是第④格的处境——能指出一类，不能指出一个。 一章按类别写作的文章，在批评按类别落点，这不是一个修辞上的巧合，是它的实际限制。

第二，本章的处方在被执行的那一刻会进入自己的靶格。 若某机构据本章提高落点自证率，它需要先选出“该对哪些流程改造”，而这个选择必然按类别做出——按科室、按病种、按项目类型。本章的实施第一步就是一次代位落点。 本章看不到绕过这一步的办法。

第三，本章对自己的证伪能力最弱的地方，恰恰是它最想说的地方。 第八节说“归属不是未知，是不存在”。这句话与“归属只是我们还不知道”在现有观测下极难分开——两者预测的现象几乎相同。第十八节那些读数存在的全部理由，就是把这两句分开；而它们做得并不彻底，最好的一条（分层细度与净获益的关系）也只是间接的。一个宣称“某样东西不存在”的判断，最难与“它存在而我们没找到”分开。这是本章最该被怀疑的地方，比它任何一处论证都更该被怀疑。

二十一、结论

“治未病”两千年高悬而少行，有两个机制，分处一件事的两侧。

一侧在做成之后：预防兑换的是非事件，账本只能记事件，因此一次成功的预防不产生下一轮的资源。这是本书那一章的判断，本章接受。

另一侧在动手之前，是本章的判断：在症状出现之前，风险以“总量确定、归属未定”的形式存在，而一切介入都必须落在一个具体对象上。 那份已经确定存在、却尚未附着于任何具体对象的量，本章称之为悬量。阈下没有落点，于是系统构造一个——按年龄、按体质、按分层、按飞行小时。构造出来的落点与真实的归属没有关系，而对它施加的扰动是真实的；落错的代价被记在被介入对象的账上，不记在介入的账上。

由此得到一个对症状的重新理解：症状不是报警，是定位。 它把一份悬量转成一个有归属的对象，介入这才有处可落。理解了这一点，就能理解为什么把检测阈值往前推没有用——那给出的是更早的报警，不是更早的归属。

也由此得到一句可以直接拿去问任何一份操作规范的判据，不含任何评价词：

在这次介入发生之前，被介入的那一个是怎么选出来的？

答案通常是三种：按年龄、按分型、按上一次的检查结果。三种都是类别，都不是这一个。

最后是一个对中医不太友好、但本章认为必须说出来的推论。人类历史上真正成功的预防，几乎全部是不需要选出“这一个”的——清洁水、疫苗、控烟、安全带、库房恒湿。而中医的治未病，恰恰把预防放在了最需要落点的那一格：辨证论治的全部力量来自个体化，而个体化的操作前提是有证可辨。未病的定义就是无证可辨。 中医最大的长处，在这一格上反转为最大的障碍。

这不是说这条纲领错了。它是说，这条纲领两千年来被当作一条无条件的排序，而它其实是有条件的：预防优于治疗，条件是该过程存在一个可被这一个对象自身的实测捕捉到的前驱窗口。 判别这个条件的读数，从来没有被写进任何一部医籍。写下这个条件，比再宣示一次这条纲领有用。

本章不提供出路。它提供的是一个缺口的位置、一个可以跨领域比较的读数、以及一组明年就可以去查的观测。

伦理与证据边界

本章提出的落点自证率是一个可能被用于考核机构与个人的比率，因此第十九节末尾的三条限制是本章的组成部分，不是附言：该读数指的是介入形式而非执行者；不得为使该数好看而增设不必要的监测或检查；据此作出的任何不利安排，须公开完整编码规则——尤其是“什么算个体自身实测偏移”这一条的判定规则——并提供复核通道。

本章不主张对任何个体停止既有的预防性治疗或延迟任何临床干预。第十七节列出的四类不适用情形是硬边界，其中第一类尤其重要：改境类的公共卫生措施（清洁水、疫苗、控烟、交通安全、环境控制）不在本章的批评范围内，本章认为它们是最有效的预防形式。 任何把本章读成“预防无用”的引用都是误读。

本章全部经验主张均以公开发表的文献与可查的制度记录为依据，未使用任何个体层面的医疗数据。文中关于净获益、失效比例、依从率的陈述均以可查证的预测形式给出，而非作为已完成的实证结论。