这套方法做什么、不做什么
这套方法用于审查一个流程何时宣布“够了”、停止接收或形成结论，以及后来材料能否进入并改变解释、补救或状态。适合订单、审批、模型训练、项目结项、证据评估和组织决策。它不主张所有系统持续开放，也不把关闸本身视为错误，而是要求触发与后续入口分别有理由。最小试点选择一项可回退、非安全关键且近期发生过重开争议的流程。抽取十次关闭事件，为每次填写触发卡和余门卡，回放一条新材料怎样被接收或拒绝。
先只改一个入口或一个触发规则，影子运行一周期，不直接批量改变生产状态。输出包括闭合事件表、多重闸图、余门服务标准、复位权限和停止报告，不合成“开放度”总分。当前流程完整留档，任何试验写明最长时段、质量下限和回退人。若无法安全恢复，不启动干预，只做只读审计。启动前由流程所有者、执行者和受影响者代表共同确认对象与用途。三方若对“什么已经关闭”理解不同，先不改系统，补画事件时间线。试点不纳入个人绩效，也不以重开数量奖励团队，避免参与者为了展示开放而制造争议。
- 不负责主张所有系统永远开放。
- 不负责绕过法定期限、安全停机和终局程序。
- 不负责保证迟到材料必然改变结论。
先守住边界
健康、安全、法定救济与紧急服务优先，测试不得延误处置或强行重开危险系统。对象可拒绝把材料放入试验入口并随时退出；退出后管理员删除非必要副本并通知接收者。每道闸在开始前写明拒绝、退出、删除、通知和升级按钮：拒绝不受惩罚，退出不损失原权利，删除有责任人，状态变化会通知，紧急事项升级给原有法定人员。余门只接收被授权材料，不是万能后门；涉及终局权利或不可逆风险时，原决策者无权借试点私自复位。
关闭与重开都不得延误申诉、救助、治疗或安全处置。对象可拒绝把迟到材料放入试验余门，退出后删除工作副本并保留正式渠道。接收者若无权改变任何状态，必须明示而非制造希望；紧急材料直接升级给法定责任人，试点人员不能私自跨越终局或危险闸。
这套方法用于审查一个流程何时宣布“够了”、停止接收或形成结论，以及后来材料能否进入并改变解释、补救或状态。适合订单、审批、模型训练、项目结项、证据评估和组织决策。它不主张所有系统持续开放，也不把关闸本身视为错误，而是要求触发与后续入口分别有理由。
先定位：问题究竟卡在哪一环
选一次系统宣告“已经结束”以后仍有合格材料进入的事件，把闭合决定和后续材料放在同一时间轴。五问全部列在这里：这次闭合由数量达到还是执行动作触发？ 真正关闭的是哪个对象和多大范围？ 闭合以后新材料由谁接收？ 合格材料能否改变解释、补救或状态？ 触发条件消失后系统会不会重新计算？
答案必须附数量阈值、执行指令、对象范围、收件记录和重新开启权限。达到法定数量只是一个触发事实，不等于所有行动都已完成；有人实际落闸也不能证明后来材料没有效力。缺失环节单列，不用零件齐全的假设填补。
闭合二轴图将达量闭合与执行闭合拆开，达量闭合误差记录阈值和真实状态错位的案例，执行闭合误差查落闸动作是否超出授权对象。余门可加载率只看闸后材料能否进入既有处理链，法定数量触发差比较法律数量与现场容量的偏离。
请复核者拿一份确实合格的迟到材料试走全程：能收但不能改变任何状态，余门只是仓库；能改变却无人担责，入口仍未加载。定位结果须明确接收人、可改变的范围、告知时限与再闭合条件，使“还有门”落实为可执行关系。
一张不下结论的事实底稿
事实底稿按一次关闭列对象范围、法定数量或容量、落闸指令、执行者、关闭时点、闸后材料、接收者、处理动作与状态变化。事实栏只放规则版本和事件记录，推断栏才写“系统已经结束”。闭合二轴图拆开触发与执行，达量闭合误差比较数量和承载，执行闭合误差查动作是否越权，余门可加载率只算材料真正进入处理链，法定数量触发差保存法律数字与现场状态。字段不能改变收件、复核或复位决定就删去。
闭合二轴图先禁止把达到数量和完成动作混成一件事。达量闭合误差、执行闭合误差分别记录两轴错位；余门可加载率检验闸后材料能否改变系统，法定数量触发差则保存法条数字与现场承载之间的距离。五项并列，不生成“开放程度”总分。给复核者一份闭合记录，他必须指出哪一轴先动、关闭了谁、后续材料走向何处。若只能说“系统满了”，名称尚未完成区分。余门也不能因存在收件箱就算可加载；只有材料进入解释、补救或状态变更，并且责任人可追，才记一次成功。
建立闭合二轴图
每次闭合记录对象、时间、范围、触发事件、依据来源、计量单位、阈值或执行动作、责任角色和有效期。触发类型先分达量与执行，允许两者并存，也允许未知。不要根据按钮名称分类，要查看哪项变化首次让状态从开放转为关闭。
达量项写清数量是否会下降、多久更新、下降后是否重算；执行项写清谁改变状态、为何执行、复位需要何种授权。若“达到时限”由时钟自动触发，它仍是可观察阈值；若负责人到时另作判断，则记录为执行动作。模糊案例保留事件序列，不强行选一类。
抽两名分析者独立编码同一批事件，计算分歧并讨论定义。若无法稳定分类，先修触发卡，不进入机制比较。每季度复查一批旧事件，防止产品改版后字段名字未变、实际触发已经迁移。触发卡还要记录替代解释：表面达量可能其实由固定时刻决定，表面人工执行可能只是机械照阈值批准。选择能让状态变化的最小事件做干预，其他条件保持不变。若因风险不能干预，就把分类标为推断，并降低结论强度。
动作甲：分别标数量到达与执行落闸；动作乙：找一宗两者错开的案例。流程管理员负责，独立接收者复核，时限为当日；禁止用“已满”替两个事件，图可撤销重画。
计算余门可加载率
余门卡记录关闭后还接受哪些材料、入口位置、接收者、回复时限、判断标准、能改变哪一层、拒绝理由和升级路径。状态分为不接收、只收件、进入复核、可改解释或补救、可改主状态，避免一个“可申诉”字段把不同能力混在一起。用三次探针测试：提交一条原事实错误、一条条件重大变化、一条重复意见。真实余门应识别前两类并给出可追踪处置，对第三类可按规则关闭。若三类都收到自动回执却无人读取，判为只收件；若有人回复但无权调阅原决定，也不能写成可复核。卡片同时标时间与范围。执行中临时封门、结束后开放复盘，与永久拒绝不同；只能修改下次规则、不能改变当前决定，也要如实写明。入口变更时通知受影响者，旧入口保留转接期，避免技术迁移制造事实封闭。每个入口做可达性检查：不同语言、移动设备、辅助技术和无内部关系的当事人能否找到并使用。收费、复杂证明、短时限和报复担忧都可能把形式入口变成实质封闭。发现障碍时先修可达性，再评价当事人是否“没有提交新材料”。
动作甲：拿一份合格闸后材料试走全程；动作乙：记录它是否改变解释、补救或状态。余门接收者负责，对象代表复核，时限为法定范围内；禁止只凭回执算加载，材料可退出。
记录达量闭合误差
真实系统常同时有容量、时间、安全、预算和授权多道闸。为每道闸画独立节点，写触发、解除、余门和负责角色，再用“且”“或”连接总状态。
订单下降可能解除容量闸，却碰不到安全闸；主管批准可能解除授权闸，却不能改变预算耗尽。不要用一个总风险分隐藏不同路径。
分数相同的两个案例可能一项安全不合格、另一项只是容量不足，所需钥匙完全不同。若业务必须展示总状态，仍在后台保留分闸原因，并向复核者展示哪些节点实际阻断。
用四种组合测试每对关键闸：只解除甲、只解除乙、两者都解除、两者都不解除。事前预测总状态，再做影子运行。预测与结果不符时更新依赖图，不能临时靠人工覆盖而不留版本。
闸图还要标出信息流与状态流：材料送到哪、谁读取、哪个状态被写回、哪些下游收到通知。很多系统并非没有钥匙，而是复位只停在主库，缓存与合作方仍锁定。每条传播边设置负责人、最长同步时间和失败报警。每次新增闸都要说明它与旧闸的优先级，禁止用默认顺序掩盖冲突。
动作甲：比较阈值到达与真实容量；动作乙：在数量回落时查是否重算。容量记录员执行，服务负责人复核，时限为一个运行周期；禁止跨对象合并分母，误差结论可撤回。
记录执行闭合误差
按触发类型与余门状态建立四格：达量且门开、达量且门关、执行且门关、执行且门开。为每格找至少两个真实事件，匹配对象、风险与时段。目的不是让四格数量均匀，而是检查同一种触发下是否真的存在不同余门，从而证明两项可以分开设计。测试达量事件时只改变数量，观察系统是否收到变化、重新计算、改变状态；三步分别记录。测试执行事件时提供与原动作不同来源的合格材料，观察是否进入复核。
若同时改数量、权限和人员，结果无法归因，应重做小范围测试。对照报告必须列资源差异和未知项。开放组若多一支客服，不能把全部效果归给余门；封闭组若承担更高安全风险，也不能简单视为错误。无法匹配时只报告机制线索，不扩大因果结论。每格至少保留一次不符合预期的案例，分析是编码错误、执行偏差还是机制反例。若所有异常都被剔除，四格只是在整理成功故事。对照结束后让未参与设计的人按卡片复判，检查结论是否依赖作者的事后解释。
动作甲：核对落闸对象与授权范围；动作乙：抽查一次局部关闭是否扩成全局。执行者记录，权限审查者复核，时限为两日；禁止原执行者独判越权，发现扩大立即恢复。
检查法定数量触发差
若闸由数量触发，复位钥匙可以是数量回落加质量复核；若闸由内部执行触发，钥匙应来自独立检测、另一角色授权或明确新事实。钥匙与闸完全同源，容易形成原系统自己证明自己；完全无关，又会让复位失去依据。
设计目标是来源不同、对象相同、证据可核。钥匙卡写材料类型、提交者、验证者、作用闸、适用期限和一次性或持续效力。复位不是删除旧关闭记录，而是新增状态事件，说明哪项依据已改变。
若只解除部分闸，总状态继续关闭，并向提交者说明剩余阻断，避免“材料有效却无回应”的误解。高风险系统采用双人复位或职责分离，普通低风险流程可自动重算但保留抽检。
任何万能后门、共享密钥或口头特批都不算余门，因为无法稳定审计、容易权力滥用。紧急通道也要事后复核和到期关闭。定期演练一把合法钥匙和一把无效钥匙。前者应在时限内解除目标闸并留下通知，后者应被拒绝且不泄露敏感规则。演练使用模拟对象，不碰真实权益。若合法钥匙长期打不开，先修权限链；若无效钥匙能绕过，立即封闭漏洞。
动作甲：把法定数量与现场触发并列；动作乙：标数字不变但结果改变的案例。法务记录者负责，现场责任人复核，时限为结项前；禁止用现场便利改法定门槛，只能报告差异。
角色与权限分开
执行者记录门槛、落闸和闸后材料，不自行重开。决策者决定关闭范围与状态变更，并说明依据。复核者检查两轴、授权和加载结果，原决策者不得独自复核自己。对象是被关闭的具体流程及材料权利受影响的人，不是抽象系统；对象拥有拒绝试验、退出和获知状态的入口。余门接收者只负责收与转，不当然拥有复位权；法定责任人处理紧急升级和终局限制。计算者报告误差，不得用数字触发未授权行动。通知人确保关闭、重开和驳回都到达对象。 制度禁止只放表单不配处理权，也禁止用“特殊情况”让少数人绕过所有规则。每个入口公开适用材料、回复时限、处理角色和升级路径；每个紧急复位记录理由、影响范围和到期时间。正常申诉与管理特批分开审计，不能互相伪装。每季度抽取被拒、被改和长期未结各类案例，检查理由是否引用实际材料、相似案例是否一致、弱势群体是否承担更高门槛。入口若连续两轮不改变任何解释、补救或规则，评估关闭或重构，不用收件数量证明价值。
读数、采集办法与代价
一次落闸后仍收到合格材料的关闭事件先定材料边界，各项读数分别报告，不生成总分： - 闭合二轴图｜来源：门槛记录与落闸指令；频率：每次关闭一次；缺失：表示触发或执行缺证；反向优化：把两个时点写成同刻；改善上限：能找到一次交叉即可。 - 达量闭合误差｜来源：数量阈值与真实承载；频率：一个运行周期一次；缺失：表示容量不可比；反向优化：调整分母美化门槛；改善上限：只用于判断是否需重算。 - 执行闭合误差｜来源：授权范围与实际关闭对象；频率：每次落闸后；缺失：表示执行边界不明；反向优化：少报局部扩张压低误差；改善上限：发现越权即恢复，不追求统计量。 - 余门可加载率｜来源：闸后合格材料和状态变化；频率：每轮闭合后一次；缺失：表示没有收到材料，不算失败；反向优化：发送容易材料冲高加载；改善上限：能确认真实处理而非收件即可。 - 法定数量触发差｜来源：法条数字与现场状态；频率：规则或容量变化时；缺失：表示两者不可比；反向优化：改现场口径贴合法数；改善上限：只报告差异，不以缩小为目标。
闭合二轴图按一次关闭事件记录数量触发与执行动作。
最容易把方法做坏的三种方式
闭合二轴图一旦脱离自己的材料，最先出现以下三种坏法： - 坏法：建了收件箱便宣称余门存在，材料从不改变状态。保护：保护措施是用合格材料试走处理链，只收件不计加载。 - 坏法：把余门当万能后门，私自绕过安全与终局程序。保护：保护措施是写明授权范围和法定升级人。 - 坏法：只报加载率，诱导团队发送容易处理的迟到材料。保护：保护措施是保留材料类型与未知项，不设越高越好目标。
制度禁止只放表单不配处理权，也禁止用“特殊情况”让少数人绕过所有规则。每个入口公开适用材料、回复时限、处理角色和升级路径；每个紧急复位记录理由、影响范围和到期时间。正常申诉与管理特批分开审计，不能互相伪装。每季度抽取被拒、被改和长期未结各类案例，检查理由是否引用实际材料、相似案例是否一致、弱势群体是否承担更高门槛。入口若连续两轮不改变任何解释、补救或规则，评估关闭或重构，不用收件数量证明价值。同时保护结案能力：重复材料可在说明后关闭，恶意攻击可按安全规则处理，处理者不必无限回应。
什么时候应该停，什么时候说明理论可能不对
操作停手线：试验延误救济、重开危险系统、闸后材料无人负责或通知不到对象时停；恢复原关闭状态并升级法定人员。
理论撤回线：达量与执行始终不可分，只改变余门也不改变任何后续状态，双轴不能预测接收和重算时，撤回余门的独立解释。
出现安全、医疗、合规、隐私、严重服务下降、越权复位、弱者承担试验成本或法定权利受阻时，立即停止并恢复基线。时间敏感问题转专业程序，不等待样本。无法回退的动作只做只读审计，不能为了验证两轴制造真实伤害。若大量案例中触发类型总能唯一预测余门状态，不存在交叉组合；只改变触发必然改变余门，只改变余门也必然改变触发；两名分析者无法稳定分类；或两轴不能比普通停止规则多预测任何行为，那么母文框架应被削弱或放弃。试点连续两轮没有减少误封闭、高代价漏纠或下游残留，或复核成本达到上限，也应结项。报告保留有效的普通流程改进、反例与未知，删除不必要数据，通知入口变更。重启需新证据、新风险评估和新授权，不能用“门还不够开”无限延长项目。