风险、安全与可靠性工程
风险、安全与可靠性工程过去二十年的核心变化，是从“元件会不会坏”转向“复杂系统如何在目标冲突、软件、组织和环境变化中仍保持可接受约束”。韧性工程、STAMP和FRAM把事故看作相互作用与适应的产物；领先指标与系统理论安全分析试图在损失前看到控制缺口。自动驾驶、工业控制、数字孪生、全球供应链与AI又让边界持续移动：无随机硬件故障也可能产生危险，安全与网络攻击共享控制路径，模型上线后会改变操作者、维护和攻击者的行为。因此，可靠性数值、标准合规和安全案例都必须接受真实运行、近失误和边界漂移的回写。
第一幕把事故链改成系统控制与日常适应。韧性工程、STAMP、FRAM、领先指标、现代风险概念、工控安全、功能安全和安全—安保协同说明，损失并非只由坏零件触发。
甲、韧性工程把安全从无事故改成持续适应Resilience Engineering Turns Safety into Sustained Adaptation
旧账把结果归在单一设备名下，真正发生作用的接口却没有单独记账，并在危险—屏障—适应闭环中留下可核对边界。韧性工程把安旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2006年前后的韧性工程把安全从无事故改成持续适应把这项缺口变成可观察问题：复杂系统安全取决于预见、监测、响应和学习，而非只统计事故为零。
本条把命题锁在组织在压力与变动下调整而不越过不可接受边界：复杂系统安全取决于预见、监测、响应和学习，而非只统计事故为零。韧性工程把安只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若所谓韧性不预测恢复，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
2006年韧性工程文集提出从失败原因转向系统如何维持成功的能力。韧性工程把安读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。韧性工程把复核门槛预注册3站×13批次。
韧性概念若无具体资源和边界读数，容易成为组织口号。本领域自己的材料同时自曝：赞扬一线适应可能合理化长期缺员，让个人英雄主义替代系统投资。韧性工程把安的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当把任何勉强成功都称为韧性时，无事故天数越高，扰动下安全功能与恢复能力反而越低；要判断边界是否真的反号，至少要把全部高压运行时段与当前成功样本放在同一张表里。
调查同时研究日常成功调整、资源张力与失效条件。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使组织在压力与变动下调整而不越过不可接受边界进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“韧性工程把安全从无事故改成持续适应”的跨域复核中，接口落在另见第364号第1条「甲、性能化消防从条文服从转向目标证明」。两边共享“各部件性能提高会自动形成系统级改进”这一默认，却在无事故天数上给出相反方向。若二者同时成立，必须引入近失误作为第三变量。可执行的反例设计是预注册扰动演练和资源阈值；若所谓韧性不预测恢复，本条应被证伪，而不是用更复杂的模型遮住失败。
乙、STAMP把事故原因改成控制约束失效STAMP Reframes Accidents as Failed Control Constraints
早期评价偏爱一个容易汇总的终点，路径中的损失因此被压成误差，并在危险—屏障—适应闭环中留下可核对边界。把事故原因改旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2011年前后的STAMP把事故原因改成控制约束失效把这项缺口变成可观察问题：损失可能来自组件都正常但控制动作、反馈、模型或组织约束不当。
本条把命题锁在多层控制结构能否在动态环境维持安全约束：损失可能来自组件都正常但控制动作、反馈、模型或组织约束不当。把事故原因改只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若STAMP不比传统法多检出系统性缺口，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
Leveson系统安全理论把事故扩展为控制问题并形成STPA方法。把事故原因改读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。Leveson在2011年的研究提供了主证据，但该读数仍受控制结构划分和不安全控制动作依赖分析者建模判断限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。〔事件时间轴〕机构采用STAMP把事故原因改成控制约束失效STAMP Reframes Accidents as Failed Control Constraints之前还应公布否决门槛：一旦“当控制图一次建立后不更新时，危险清单数量越高，约束覆盖与变更可追踪性反而越低”出现，就暂停扩张并回到“损失可能来自组件都正常但控制动作、反馈、模型或组织约束不当”的原始记录复核，该门槛必须早于部署决定写入方案。把事故原因复核门槛预注册4站×15批次。
控制结构划分和不安全控制动作依赖分析者建模判断。本领域自己的材料同时自曝：模型越完整看似越权威，也可能把组织外部和政治边界排除在图外。把事故原因改的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。
项目在设计早期联结需求、软件、人机和管理控制。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使多层控制结构能否在动态环境维持安全约束进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“STAMP把事故原因改成控制约束失效”的跨域复核中，接口落在另见第205号第1条「甲、仙台框架把救灾改成风险治理」。两边共享“各部件性能提高会自动形成系统级改进”这一默认，却在危险清单数量上给出相反方向。若二者同时成立，必须引入隐含控制者作为第三变量。可执行的反例设计是用历史和注入场景检验遗漏；若STAMP不比传统法多检出系统性缺口，本条应被证伪，而不是用更复杂的模型遮住失败。
丙、FRAM把线性事故链改成功能共振FRAM Replaces Linear Chains with Functional Resonance
工程现场原先默认边界稳定，直到跨尺度读数揭示条件一直在移动，并在危险—屏障—适应闭环中留下可核对边界。把线性事故链旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2012年前后的FRAM把线性事故链改成功能共振把这项缺口变成可观察问题：日常功能的小幅可变性可能在特定耦合下放大成损失或成功。
本条把命题锁在时间、控制、资源和前置条件之间的动态耦合：日常功能的小幅可变性可能在特定耦合下放大成损失或成功。把线性事故链只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若高风险耦合不对应异常，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
FRAM方法用功能及六类方面分析非线性相互依赖。把线性事故链读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。Hollnagel在2012年的研究提供了主证据，但该读数仍受模型复杂度、功能粒度和共振判断缺少统一定量门槛限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。把线性事故复核门槛预注册5站×17批次。
模型复杂度、功能粒度和共振判断缺少统一定量门槛。本领域自己的材料同时自曝：访谈建模会改变人员叙述，且强势岗位更容易定义“实际工作”。把线性事故链的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当漂亮FRAM图没有现场验证时，功能节点和连线越高，可干预耦合的预测价值反而越低；要判断边界是否真的反号，至少要把全部模型标记耦合与当前成功样本放在同一张表里。
团队比较工作设想与实际工作并寻找耦合窗口。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使时间、控制、资源和前置条件之间的动态耦合进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“FRAM把线性事故链改成功能共振”的跨域复核中，接口落在另见第245号第1条「甲、基于模型的系统工程」。两边共享“各部件性能提高会自动形成系统级改进”这一默认，却在功能节点和连线上给出相反方向。若二者同时成立，必须引入夜班作为第三变量。可执行的反例设计是前瞻观察模型预测的共振；若高风险耦合不对应异常，本条应被证伪，而不是用更复杂的模型遮住失败。
丁、领先安全指标把损失前信号变成可行动读数Leading Indicators Turn Precursor Signals into Action
传统流程把设计、运行与使用者分段结算，段与段之间的回写被忽略，并在危险—屏障—适应闭环中留下可核对边界。领先安全指标旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2011年前后的领先安全指标把损失前信号变成可行动读数把这项缺口变成可观察问题：领先指标必须连接因果屏障、可控行动和未来风险，而非把活动量当安全。
本条把命题锁在屏障退化被损失发生前可靠发现并纠正：领先指标必须连接因果屏障、可控行动和未来风险，而非把活动量当安全。领先安全指标只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若指标不预测退化，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
安全指标研究建立理论基础，区分结果指标、活动指标与风险控制状态。领先安全指标读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。领先安全指复核门槛预注册6站×19批次。
指标成为考核后会被游戏化，且低频事故难验证预测力。本领域自己的材料同时自曝：公开排名会让团队压低报告或优先修饰易量化项目。领先安全指标的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当领先只表示时间在前时，检查和培训次数越高，风险调整后前置纠正率反而越低；要判断边界是否真的反号，至少要把全部真实屏障退化事件与当前成功样本放在同一张表里。
机构将培训次数改成关键屏障健康、积压与响应时延。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使屏障退化被损失发生前可靠发现并纠正进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“领先安全指标把损失前信号变成可行动读数”的跨域复核中，接口落在另见第388号第1条「甲、中心导管感染的可预防性」。两边共享“部署前划定的对象与环境边界不会漂移”这一默认，却在检查和培训次数上给出相反方向。若二者同时成立，必须引入未上报异常作为第三变量。可执行的反例设计是时间序列检验指标到事件和行动；若指标不预测退化，本条应被证伪，而不是用更复杂的模型遮住失败。
戊、现代风险基础把概率乘后果改成知识判断Modern Risk Foundations Add Knowledge and Uncertainty
过去的合格判据主要检查名义配置，无法解释同一配置为何产生相反结果，并在危险—屏障—适应闭环中留下可核对边界。现代风险基础旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2016年前后的现代风险基础把概率乘后果改成知识判断把这项缺口变成可观察问题：风险描述应同时给出后果、概率、知识强度、模型假设和惊奇空间。
本条把命题锁在决策对不确定与证据质量的显式敏感性：风险描述应同时给出后果、概率、知识强度、模型假设和惊奇空间。现代风险基础只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若决策随小假设翻转，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
Aven综述近年风险评估进展，反对用单一期望值吞并深度不确定。现代风险基础读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。现代风险基复核门槛预注册2站×21批次。
知识强度分级仍含判断，沟通过多维度可能增加决策负担。本领域自己的材料同时自曝：强调不确定性可促进谨慎，也可能被用于无限拖延或掩盖责任。现代风险基础的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当用更多小数表示确定时，精确风险数值越高，知识敏感的稳健选择反而越低；要判断边界是否真的反号，至少要把全部高影响决策与当前成功样本放在同一张表里。
风险登记加入假设、证据等级、敏感性和可逆决策。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使决策对不确定与证据质量的显式敏感性进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“现代风险基础把概率乘后果改成知识判断”的跨域复核中，接口落在另见第392号第1条「甲、全面工人健康连接防护与福祉」。两边共享“部署前划定的对象与环境边界不会漂移”这一默认，却在精确风险数值上给出相反方向。若二者同时成立，必须引入未知未知作为第三变量。可执行的反例设计是红队破坏关键假设；若决策随小假设翻转，本条应被证伪，而不是用更复杂的模型遮住失败。〔版本登记〕本条的边界案例应从“未知未知、模型分歧、低概率高后果、证据过期和利益冲突”中抽样，而不是只从最容易成功的中心案例抽样，这样才能判断“当用更多小数表示确定时，精确风险数值越高，知识敏感的稳健选择反而越低”究竟是偶发噪声，还是足以改变结论方向的系统反例。
己、工控安全把网络攻击接入物理后果ICS Security Connects Cyber Intrusion to Physical Consequence
旧框架善于说明平均性能，却很少给退出者、极端工况和停机事件位置，并在危险—屏障—适应闭环中留下可核对边界。工控安全把网旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2015年前后的工控安全把网络攻击接入物理后果把这项缺口变成可观察问题：工业控制安全必须在可用性、实时性、寿命和物理过程约束下分层防护。〔失败谱〕这也给出一项不依赖宣传口径的核验：独立团队只拿到冻结版本与“决定结果的只有网络路径对安全关键控制和反馈的影响是否真正生效”的操作定义，仍能复算“在到达关键控制前被发现隔离的攻击路径／全部可行攻击路径”，否则所谓转向可能只是数据管线或命名变化。
本条把命题锁在网络路径对安全关键控制和反馈的影响：工业控制安全必须在可用性、实时性、寿命和物理过程约束下分层防护。工控安全把网只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若控制不能阻止过程偏离，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
NIST SP 800-82给出ICS架构、威胁、分区和控制指南。工控安全把网读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。NIST在2015年的研究提供了主证据，但该读数仍受遗留设备、供应商远程接入和补丁停机使IT控制不能直接移植限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。工控安全把复核门槛预注册3站×23批次。
遗留设备、供应商远程接入和补丁停机使IT控制不能直接移植。本领域自己的材料同时自曝：增加联网监测能提高可见性，也扩大凭证、更新与供应链攻击面。工控安全把网的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。
资产清单、网络分段、最小权限与异常响应联动工艺安全。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使网络路径对安全关键控制和反馈的影响进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“工控安全把网络攻击接入物理后果”的跨域复核中，接口落在另见第203号第1条「甲、网络杀伤链把入侵改写为可中断的阶段」。两边共享“部署前划定的对象与环境边界不会漂移”这一默认，却在安全控制部署率上给出相反方向。若二者同时成立，必须引入影子资产作为第三变量。可执行的反例设计是授权攻击仿真与恢复演练；若控制不能阻止过程偏离，本条应被证伪，而不是用更复杂的模型遮住失败。
庚、功能安全把随机故障改成生命周期证据Functional Safety Turns Random Faults into Lifecycle Evidence
许多系统按交付时刻定型，服役中的适应与退化只在事故后才被看见，并在危险—屏障—适应闭环中留下可核对边界。功能安全把随旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2018年前后的功能安全把随机故障改成生命周期证据把这项缺口变成可观察问题：汽车安全完整性必须贯穿概念、系统、软硬件、生产、运行与退役。
本条把命题锁在风险等级对应的开发与验证严谨度：汽车安全完整性必须贯穿概念、系统、软硬件、生产、运行与退役。功能安全把随只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若合规系统仍频繁越界，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
ISO 26262第二版形成道路车辆功能安全生命周期和ASIL框架。功能安全把随读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。ISO在2018年的研究提供了主证据，但该读数仍受标准主要处理故障行为，不覆盖功能本身局限、网络攻击和开放学习限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。功能安全把复核门槛预注册4站×25批次。
标准主要处理故障行为，不覆盖功能本身局限、网络攻击和开放学习。本领域自己的材料同时自曝：通过流程审计可提高纪律，也可能让团队优化文档而非真实危险。功能安全把随的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。
需求追踪、独立性、故障注入与安全机制进入开发门。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使风险等级对应的开发与验证严谨度进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“功能安全把随机故障改成生命周期证据”的跨域复核中，接口落在另见第540号第1条「甲、具体AI安全问题：失控被拆成五类可实验的工程问题」。两边共享“逐项满足检查表意味着实际风险已经受控”这一默认，却在标准工件完成率上给出相反方向。若二者同时成立，必须引入需求外场景作为第三变量。可执行的反例设计是独立场景与故障挑战；若合规系统仍频繁越界，本条应被证伪，而不是用更复杂的模型遮住失败。
辛、STPA-SafeSec把安全与安保合并到控制路径STPA-SafeSec Unifies Safety and Security in Control Paths
领域曾把测量当作旁观动作，部署后才发现仪器也会改变操作者与对象，并在危险—屏障—适应闭环中留下可核对边界。把安全与安保旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2017年前后的STPA-SafeSec把安全与安保合并到控制路径把这项缺口变成可观察问题：攻击和意外错误可能通过同一不安全控制动作产生物理损失，应联合分析。
本条把命题锁在控制结构中可被故障或对手操纵的反馈与命令：攻击和意外错误可能通过同一不安全控制动作产生物理损失，应联合分析。把安全与安保只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若联合分析未发现新路径，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
STPA-SafeSec提出网络物理系统安全安保协同分析方法。把安全与安保读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。Friedberg 等在2017年的研究提供了主证据，但该读数仍受攻击者适应、情报机密和威胁演化使静态场景快速过期限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。把安全与安复核门槛预注册5站×27批次。
攻击者适应、情报机密和威胁演化使静态场景快速过期。本领域自己的材料同时自曝：共享模型减少组织孤岛，也可能把安全开放信息变成攻击知识。把安全与安保的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当只把攻击列成另一类故障时，威胁条目越高，跨域控制约束完整度反而越低；要判断边界是否真的反号，至少要把全部关键控制动作与当前成功样本放在同一张表里。
安全与网络团队共享控制图、损失、约束和变更审查。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使控制结构中可被故障或对手操纵的反馈与命令进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“STPA-SafeSec把安全与安保合并到控制路径”的跨域复核中，接口落在另见第482号第1条「甲、韧性工程」。两边共享“逐项满足检查表意味着实际风险已经受控”这一默认，却在威胁条目上给出相反方向。若二者同时成立，必须引入内部人员作为第三变量。可执行的反例设计是红队利用控制反馈路径；若联合分析未发现新路径，本条应被证伪，而不是用更复杂的模型遮住失败。
第二幕把分析推向开放自主系统与复合冲击。STPA对比、SOTIF、自动驾驶场景、自主安全缺口、供应链、数字孪生、复合气候、人机协同、AI安全案例、共因网络风险、弱信号和公正文化共同追问：证据何时过期、组织如何知道自己已越界。
一、SOTIF把无故障危险纳入汽车安全SOTIF Counts Hazards without Component Failure
原有规范把局部通过视为整体可用，跨界面的故障迫使这条默认退场，并在危险—屏障—适应闭环中留下可核对边界。把无故障危险旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2022年前后的SOTIF把无故障危险纳入汽车安全把这项缺口变成可观察问题：预期功能安全必须处理感知和决策在未知或边界场景中的性能不足。
本条把命题锁在系统能力边界与开放环境触发条件的组合：预期功能安全必须处理感知和决策在未知或边界场景中的性能不足。把无故障危险只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若已知库外风险不降，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
ISO 21448定义已知安全、不安全与未知场景及验证确认过程。把无故障危险读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。把无故障危复核门槛预注册6站×29批次。
开放世界场景空间不可穷举，阈值和接受标准仍需治理选择。本领域自己的材料同时自曝：扩大场景库会提高覆盖，也会诱发以测试通过率代替真实暴露分布。把无故障危险的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当场景数量代表覆盖时，测试里程和场景数越高，暴露加权风险覆盖反而越低；要判断边界是否真的反号，至少要把全部实际关键场景与当前成功样本放在同一张表里。〔外部复算〕把SOTIF把无故障危险纳入汽车安全SOTIF Counts Hazards without Component Failure与相邻路线比较时，统一分母至少应包含成功、失败、弃权和未覆盖对象四类，只有“被发现并降到可接受风险的功能不足场景／全部实际关键场景”在这些类别上都可回查，跨研究比较才有意义。
开发维护触发条件、场景库、未知探索和残余风险论证。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使系统能力边界与开放环境触发条件的组合进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“SOTIF把无故障危险纳入汽车安全”的跨域复核中，接口落在另见第437号第1条「甲、情境危机沟通理论按责任归因选回应」。两边共享“逐项满足检查表意味着实际风险已经受控”这一默认，却在测试里程和场景数上给出相反方向。若二者同时成立，必须引入未知未知作为第三变量。可执行的反例设计是独立生成分布外边界场景；若已知库外风险不降，本条应被证伪，而不是用更复杂的模型遮住失败。
二、自动驾驶场景评估把道路里程拆成风险空间Scenario-Based Assessment Replaces Raw Driving Miles
工程师过去追求把变量压成一个等级，新证据要求保留其分布和时间顺序，并在危险—屏障—适应闭环中留下可核对边界。自动驾驶场景旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2020年前后的自动驾驶场景评估把道路里程拆成风险空间把这项缺口变成可观察问题：自动驾驶验证应以功能场景、参数空间、临界度与真实暴露连接测试。
本条把命题锁在有限测试预算覆盖高风险交互的效率：自动驾驶验证应以功能场景、参数空间、临界度与真实暴露连接测试。自动驾驶场景只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若系统在新分布同样失败，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
IEEE综述系统整理场景来源、表达、生成、选择与评价方法。自动驾驶场景读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。Riedmaier 等在2020年的研究提供了主证据，但该读数仍受场景数据库继承地区驾驶分布和报告偏倚，临界度模型也会遗漏新机制限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。自动驾驶场复核门槛预注册2站×31批次。
场景数据库继承地区驾驶分布和报告偏倚，临界度模型也会遗漏新机制。本领域自己的材料同时自曝：针对临界场景优化可能过拟合基准并牺牲常见交互平顺性。自动驾驶场景的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。
团队保存场景谱系、覆盖度、现实性和失败重放。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使有限测试预算覆盖高风险交互的效率进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“自动驾驶场景评估把道路里程拆成风险空间”的跨域复核中，接口落在另见第579号第1条「甲、双重用途技术困境」。两边共享“尾部极端工况只是常见状态的稀释版”这一默认，却在模拟场景总量上给出相反方向。若二者同时成立，必须引入未记录近失误作为第三变量。可执行的反例设计是外部未知场景挑战；若系统在新分布同样失败，本条应被证伪，而不是用更复杂的模型遮住失败。
三、自主系统安全把运行时保证接入设计Autonomous Safety Connects Runtime Assurance to Design
惯例把人的变化归入噪声，后来才承认人会学习、疲劳并重写控制目标，并在危险—屏障—适应闭环中留下可核对边界。自主系统安全旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2020年前后的自主系统安全把运行时保证接入设计把这项缺口变成可观察问题：学习与自治系统需要设计时证据、运行时监测、降级和更新后再保证共同闭环。
本条把命题锁在系统在能力边界附近及时识别并转入安全状态：学习与自治系统需要设计时证据、运行时监测、降级和更新后再保证共同闭环。自主系统安全只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若共因下保护失效，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
工程视角综述列出自主系统在规范、验证、学习、人机与保证方面的缺口。自主系统安全读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。自主系统安复核门槛预注册3站×33批次。
安全状态未必可达，监测器与主系统可能共享盲区。本领域自己的材料同时自曝：运行时保护可允许更大胆自治，也可能成为放宽设计证据的借口。自主系统安全的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当有安全壳就忽略主体模型时，自治能力范围越高，越界前安全接管率反而越低；要判断边界是否真的反号，至少要把全部真实边界越界与当前成功样本放在同一张表里。
架构加入独立监测、最小风险机动和上线后事件回流。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使系统在能力边界附近及时识别并转入安全状态进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“自主系统安全把运行时保证接入设计”的跨域复核中，接口落在另见第492号第1条「一、监管科学作为独立学科」。两边共享“尾部极端工况只是常见状态的稀释版”这一默认，却在自治能力范围上给出相反方向。若二者同时成立，必须引入监测共因作为第三变量。可执行的反例设计是对监测和主体联合故障注入；若共因下保护失效，本条应被证伪，而不是用更复杂的模型遮住失败。
四、供应链韧性把库存效率改成可生存网络Supply-Chain Resilience Turns Efficiency into Viability
早期项目以一次验收收口，长期维护资料却证明可用性仍在持续生成，并在危险—屏障—适应闭环中留下可核对边界。供应链韧性把旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2020年前后的供应链韧性把库存效率改成可生存网络把这项缺口变成可观察问题：供应网络应在长期中断下维持关键需求、重构流向并恢复，而非只最小化平时成本。
本条把命题锁在多级供应、替代能力与需求优先级的动态重配置：供应网络应在长期中断下维持关键需求、重构流向并恢复，而非只最小化平时成本。供应链韧性把只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。
疫情时期网络生存性研究把韧性、敏捷与可持续连接到交织供应网络。供应链韧性把读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。Ivanov 与 Dolgui在2020年的研究提供了主证据，但该读数仍受企业二级以下数据、真实产能和政策行为难获得限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。供应链韧性复核门槛预注册4站×35批次。
企业二级以下数据、真实产能和政策行为难获得。本领域自己的材料同时自曝：增加库存和多源可提高冗余，也会产生过期、环境和小供应商成本。供应链韧性把的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当恢复平均产量即视为韧性时，库存天数越高，关键服务生存与公平恢复反而越低；要判断边界是否真的反号，至少要把全部关键需求与当前成功样本放在同一张表里。
机构绘制关键依赖、替代资格、恢复时间与公平分配规则。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使多级供应、替代能力与需求优先级的动态重配置进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“供应链韧性把库存效率改成可生存网络”的跨域复核中，接口落在另见第555号第1条「甲、UniRep统一蛋白表征」。两边共享“尾部极端工况只是常见状态的稀释版”这一默认，却在库存天数上给出相反方向。若二者同时成立，必须引入二三级供应商作为第三变量。可执行的反例设计是多节点中断仿真与演练；若网络策略不延长生存期，本条应被证伪，而不是用更复杂的模型遮住失败。
五、数字孪生维护把预测接入停机决策Digital-Twin Maintenance Connects Prediction to Decisions
旧方法只数成功完成的循环，未启动、中止与转交环节长期不进分母，并在危险—屏障—适应闭环中留下可核对边界。数字孪生维护旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2020年前后的数字孪生维护把预测接入停机决策把这项缺口变成可观察问题：设备孪生只有在状态同步、误差量化和维护行动改善可靠性时超过可视化。
本条把命题锁在虚实状态偏差对剩余寿命和维护时机的影响：设备孪生只有在状态同步、误差量化和维护行动改善可靠性时超过可视化。数字孪生维护只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若孪生不改善可用性，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
数字孪生维护综述总结架构、数据、模型和工业案例的成熟度缺口。数字孪生维护读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。数字孪生维复核门槛预注册5站×37批次。
传感缺失、维修后模型失配和罕见故障缺少训练数据。本领域自己的材料同时自曝：预测性维护会改变故障分布，使旧模型在成功部署后失去原训练对象。数字孪生维护的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当预测准确率不连接行动成本时，模型R²或准确率越高，风险调整后避免损失反而越低；要判断边界是否真的反号，至少要把全部孪生建议与当前成功样本放在同一张表里。
系统记录预测、置信度、人工覆盖、维修结果与模型更新。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使虚实状态偏差对剩余寿命和维护时机的影响进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“数字孪生维护把预测接入停机决策”的跨域复核中，接口落在另见第364号第1条「甲、性能化消防从条文服从转向目标证明」。两边共享“删除重复部件或步骤不会损失韧性”这一默认，却在模型R²或准确率上给出相反方向。若二者同时成立，必须引入假警报作为第三变量。可执行的反例设计是前瞻影子模式后随机行动；若孪生不改善可用性，本条应被证伪，而不是用更复杂的模型遮住失败。
六、复合气候事件把单灾种设计改成联合尾部Compound Climate Events Replace Single-Hazard Design
行业惯于把更大规模等同更高成熟度，放大后出现的新失效打破了这条直线，并在危险—屏障—适应闭环中留下可核对边界。复合气候事件旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。
本条把命题锁在多危险依赖对系统负荷和恢复资源的放大：基础设施风险要处理同时、连续和共同驱动的热、旱、火、雨、潮与需求冲击。复合气候事件只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若联合模型不改优先级，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
复合天气气候事件类型学区分前置条件、多变量、时序与空间复合。复合气候事件读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。Zscheischler 等在2020年的研究提供了主证据，但该读数仍受尾部依赖资料短、气候非平稳且跨系统影响难观测限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。复合气候事复核门槛预注册6站×39批次。
尾部依赖资料短、气候非平稳且跨系统影响难观测。本领域自己的材料同时自曝：列举更多灾种会增加情景，却可能仍用独立概率相乘低估共同驱动。复合气候事件的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当把百年事件独立相加时，这一关系不再保持原方向；要判断边界是否真的反号，至少要把全部受影响需求人时与当前成功样本放在同一张表里。
风险评估改用联合分布、情景压力和跨部门恢复资源。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使多危险依赖对系统负荷和恢复资源的放大进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“复合气候事件把单灾种设计改成联合尾部”的跨域复核中，接口落在另见第205号第1条「甲、仙台框架把救灾改成风险治理」。两边共享“删除重复部件或步骤不会损失韧性”这一默认，却在单灾种设计等级上给出相反方向。若二者同时成立，必须引入连续灾害作为第三变量。可执行的反例设计是用历史复合与气候集合压力测试；若联合模型不改优先级，本条应被证伪，而不是用更复杂的模型遮住失败。
七、人机协同把接管能力改成共同态势Human-Autonomy Teaming Turns Takeover into Shared Situation Awareness
此前研究按学科部件切开系统，真正决定结果的耦合只在边界处显形，并在危险—屏障—适应闭环中留下可核对边界。人机协同把接旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2021年前后的人机协同把接管能力改成共同态势把这项缺口变成可观察问题：人类监督自主系统需要可理解意图、边界、工作负荷与足够时间，而非紧急时简单交还控制。
本条把命题锁在人与自动化对状态、目标和责任的共同理解：人类监督自主系统需要可理解意图、边界、工作负荷与足够时间，而非紧急时简单交还控制。人机协同把接只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若短测成绩不能保持，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
人机协同研究议程强调信任校准、可解释、团队认知与动态分工。人机协同把接读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。人机协同把复核门槛预注册2站×41批次。
实验员高度警觉，真实长期监督会出现失用、疲劳和技能退化。本领域自己的材料同时自曝：自动化越可靠，人越少练习异常处置，关键时刻能力可能越低。人机协同把接的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当只测一次接管反应时间时，这一关系不再保持原方向；要判断边界是否真的反号，至少要把全部需人工干预事件与当前成功样本放在同一张表里。〔人工接管〕本条的边界案例应从“未接管、误接管、迟警报、模态混淆、技能退化和责任冲突”中抽样，而不是只从最容易成功的中心案例抽样，这样才能判断“当只测一次接管反应时间时，这一关系不再保持原方向”究竟是偶发噪声，还是足以改变结论方向的系统反例。
设计持续参与、能力边界提示、接管预告和训练复评。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使人与自动化对状态、目标和责任的共同理解进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“人机协同把接管能力改成共同态势”的跨域复核中，接口落在另见第245号第1条「甲、基于模型的系统工程」。两边共享“删除重复部件或步骤不会损失韧性”这一默认，却在自动驾驶或自治时长上给出相反方向。若二者同时成立，必须引入未接管作为第三变量。可执行的反例设计是多周低事件率模拟；若短测成绩不能保持，本条应被证伪，而不是用更复杂的模型遮住失败。
八、AI安全案例把模型卡扩成可反驳论证AI Safety Cases Turn Model Cards into Rebuttable Arguments
既有做法让供应者定义成功，使用者承担的时间、风险和补偿劳动没有字段，并在危险—屏障—适应闭环中留下可核对边界。安全案例把模旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2023年前后的AI安全案例把模型卡扩成可反驳论证把这项缺口变成可观察问题：高风险AI应以主张—证据—假设—反驳构成可更新安全案例，而非堆积指标。
本条把命题锁在证据是否支持特定用途和残余风险接受：高风险AI应以主张—证据—假设—反驳构成可更新安全案例，而非堆积指标。安全案例把模只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若小变更使主张大面积失效，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
Assurance 2.0与UL 4600等框架推动结构化论证、反驳和自主产品全生命周期证据。安全案例把模读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。安全案例把复核门槛预注册3站×43批次。
安全案例由开发者撰写会存在确认偏差，证据也随模型与环境更新过期。本领域自己的材料同时自曝：正式论证提高可审计性，也可能把价值判断包装成技术事实。安全案例把模的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当文档页数或审查通过替代真值时，这一关系不再保持原方向；要判断边界是否真的反号，至少要把全部关键主张与当前成功样本放在同一张表里。
设置独立挑战、证据时效、运行监测和变更触发再审。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使证据是否支持特定用途和残余风险接受进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。〔撤回门槛〕这也给出一项不依赖宣传口径的核验：独立团队只拿到冻结版本与“决定结果的只有证据是否支持特定用途和残余风险接受是否真正生效”的操作定义，仍能复算“经独立反驳仍成立且对应运行证据的安全主张／全部关键主张”，否则所谓转向可能只是数据管线或命名变化。
在“AI安全案例把模型卡扩成可反驳论证”的跨域复核中，接口落在另见第388号第1条「甲、中心导管感染的可预防性」。两边共享“指标成为绩效与采购依据后仍测量原对象”这一默认，却在证据附件数上给出相反方向。若二者同时成立，必须引入被拒反驳作为第三变量。可执行的反例设计是独立红队提出可判定反例；若小变更使主张大面积失效，本条应被证伪，而不是用更复杂的模型遮住失败。
九、网络物理共因风险把冗余从数量改成独立性Cyber-Physical Common Cause Turns Redundancy into Independence
常规比较假定两个场景可直接换算，环境差异却不断改变同一指标的含义，并在危险—屏障—适应闭环中留下可核对边界。网络物理共因旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。2023年前后的网络物理共因风险把冗余从数量改成独立性把这项缺口变成可观察问题：多个冗余通道若共享软件、凭证、时间源、供应商或云服务，不能按独立可靠性相乘。
本条把命题锁在共同依赖对多通道同时失效的支配：多个冗余通道若共享软件、凭证、时间源、供应商或云服务，不能按独立可靠性相乘。网络物理共因只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若多通道同步失败，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
关键部门网络韧性评估持续强调供应链、身份与平台集中带来的系统性风险。网络物理共因读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。网络物理共复核门槛预注册4站×45批次。
隐藏依赖和商业保密使共因图不完整，攻击者会主动寻找交集。本领域自己的材料同时自曝：增加副本可能提高表面冗余，却扩大同一漏洞同步部署范围。网络物理共因的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当两套设备就按独立计算时，这一关系不再保持原方向；要判断边界是否真的反号，至少要把全部声称冗余路径与当前成功样本放在同一张表里。
架构审查绘制共享根、差异化实现、离线恢复与权限隔离。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使共同依赖对多通道同时失效的支配进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“网络物理共因风险把冗余从数量改成独立性”的跨域复核中，接口落在另见第392号第1条「甲、全面工人健康连接防护与福祉」。两边共享“指标成为绩效与采购依据后仍测量原对象”这一默认，却在冗余通道数上给出相反方向。若二者同时成立，必须引入共同更新作为第三变量。可执行的反例设计是同时切断共享根演练；若多通道同步失败，本条应被证伪，而不是用更复杂的模型遮住失败。
十、弱信号与近失误把未成灾事件变成资产Weak Signals and Near Misses Turn Non-Events into Evidence
传统安全裕量以静态最坏情形书写，数据开始显示风险会沿运行路径重新聚集，并在危险—屏障—适应闭环中留下可核对边界。弱信号与近失旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。
本条把命题锁在小偏差在损失前暴露屏障脆弱的能力：近失误只有在低惩罚报告、模式聚合、快速反馈和实际改变中才形成学习。弱信号与近失只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若报告多但控制不变，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
Safety-II实践研究讨论安全专业如何从合规检查转向理解工作与学习。弱信号与近失读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。Provan、Woods、Dekker 与 Rae在2020年的研究提供了主证据，但该读数仍受报告量受文化和工作负荷影响，增加不必然表示风险上升限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。弱信号与近复核门槛预注册5站×47批次。
报告量受文化和工作负荷影响，增加不必然表示风险上升。本领域自己的材料同时自曝：把报告数当绩效会产生低价值填报，惩罚事件又会让真正信号沉默。弱信号与近失的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当以报告下降庆祝安全时，这一关系不再保持原方向；要判断边界是否真的反号，至少要把全部可学习近失误与当前成功样本放在同一张表里。
组织保护报告者、分析恢复动作并追踪建议关闭。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使小偏差在损失前暴露屏障脆弱的能力进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“弱信号与近失误把未成灾事件变成资产”的跨域复核中，接口落在另见第203号第1条「甲、网络杀伤链把入侵改写为可中断的阶段」。两边共享“指标成为绩效与采购依据后仍测量原对象”这一默认，却在报告件数上给出相反方向。若二者同时成立，必须引入口头未报作为第三变量。可执行的反例设计是比较文化干预前后质量与关闭；若报告多但控制不变，本条应被证伪，而不是用更复杂的模型遮住失败。
十一、公正文化把问责从找人改成校准系统选择Just Culture Recalibrates Accountability around System Choices
过去把异常当离群点删除，后续事故与复现研究证明异常往往先暴露结构，并在危险—屏障—适应闭环中留下可核对边界。公正文化把问旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。
本条把命题锁在公平问责对报告、学习和边界维护的影响：事件响应要区分无意错误、风险习惯和鲁莽选择，同时审查组织如何塑造可选行动。公正文化把问只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若岗位决定处分，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。〔结果分母〕把公正文化把问责从找人改成校准系统选择Just Culture Recalibrates Accountability around System Choices与相邻路线比较时，统一分母至少应包含成功、失败、弃权和未覆盖对象四类，只有“被一致、公平处理并形成系统学习的事件／全部可比事件”在这些类别上都可回查，跨研究比较才有意义。
公正文化框架提出恢复信任并平衡不归罪与责任。公正文化把问读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。Dekker在2016年的研究提供了主证据，但该读数仍受分类由管理者掌握可能不公，制度权力和劳动关系改变感受限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。公正文化把复核门槛预注册6站×49批次。
分类由管理者掌握可能不公，制度权力和劳动关系改变感受。本领域自己的材料同时自曝：宣称公正可能提高报告，也可能成为更精细的纪律工具。公正文化把问的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当只有一线人员被分类问责时，这一关系不再保持原方向；要判断边界是否真的反号，至少要把全部可比事件与当前成功样本放在同一张表里。
调查公开决策标准、申诉、系统诱因与管理责任。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使公平问责对报告、学习和边界维护的影响进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“公正文化把问责从找人改成校准系统选择”的跨域复核中，接口落在另见第540号第1条「甲、具体AI安全问题：失控被拆成五类可实验的工程问题」。两边共享“未记录的停机、退出与拒绝等于没有发生”这一默认，却在结案速度上给出相反方向。若二者同时成立，必须引入管理决策作为第三变量。可执行的反例设计是盲评相似事件跨岗位处理；若岗位决定处分，本条应被证伪，而不是用更复杂的模型遮住失败。
十二、自适应安全治理把标准改成持续边界管理Adaptive Safety Governance Makes Standards Continuously Revisable
旧叙事把技术升级写成性能递增，独立评估则把收益、代价和覆盖率拆开，并在危险—屏障—适应闭环中留下可核对边界。自适应安全治旧账把转向压成设备或项目标签；本次改按输入、运行、停机与使用后结果四层追踪，避免名义安装代替实际作用。
本条把命题锁在技术与环境变化被及时反映到风险边界：快速更新的AI和网络物理系统需要标准基线、运行证据、变更门和可撤回能力共同治理。自适应安全治只锁定一项可消融机制；预算、样本、场景与维护另列竞争解释，任何一项不得事后并回主因。若记录与实际版本不一致，这项单因主张就应撤回；这样的写法使立场能被试验、现场记录或跨机构复算，而不是靠“多因素共同作用”逃避判断。
NIST CSF 2.0及新兴IEC工作把治理、供应链、恢复和AI保证连接到持续改进。自适应安全治读数把规模、方向和遗漏拆成三栏，并同时报告总体分母、排除对象、尾部方向与复算版本。NIST在2024年的研究提供了主证据，但该读数仍受频繁复评消耗资源，弱组织可能只更新文档而不更新系统限制；因此第三段报告的是带分母的变化，不把显著性或峰值冒充实际覆盖。〔未覆盖项〕在风险、安全与可靠性工程的这一对象上，复核应把“在变更生效前完成实质风险复评的高影响变更／全部高影响变更”拆成同一分母下的主结果与失败谱，“影子更新、紧急补丁、供应商变更、模型漂移、退役失败和遗留用户”要单列编码，不能在汇总时并入其他项。自适应安全复核门槛预注册2站×51批次。
频繁复评消耗资源，弱组织可能只更新文档而不更新系统。本领域自己的材料同时自曝：持续治理可追随风险，也会让责任分散到无终点的流程中。自适应安全治的反证入口来自原证据内部：失败批次、相反方向和撤回门槛必须与正面结果同页出现。当年度审计覆盖全年变化时，这一关系不再保持原方向；要判断边界是否真的反号，至少要把全部高影响变更与当前成功样本放在同一张表里。
每次模型、供应商、接口和运行域变化触发分级再论证。到2026年，自主系统保证、网络物理共因风险、复合气候冲击、AI安全论证与公正文化已使技术与环境变化被及时反映到风险边界进入真实部署与跨机构评估，但不能据此把试点直接外推为常规能力。
在“自适应安全治理把标准改成持续边界管理”的跨域复核中，接口落在另见第482号第1条「甲、韧性工程」。两边共享“控制输入只驱动对象而不会被对象反向塑造”这一默认，却在标准符合率上给出相反方向。若二者同时成立，必须引入影子更新作为第三变量。可执行的反例设计是随机审计变更链到现场状态；若记录与实际版本不一致，本条应被证伪，而不是用更复杂的模型遮住失败。
◎ 二十年连起来看
复杂系统的事故可以在每个组件都“正常”时发生。STAMP、FRAM、SOTIF与自主系统研究共同打破部件故障中心论：错误控制、反馈延迟、功能边界和正常变异耦合都能制造损失。
冗余的价值不在副本数量，而在共同依赖失效后仍剩什么。网络物理系统常共享软件、凭证、云区和供应商；不画出这些根，两个通道会被错误按独立概率结算。
安全证据一旦成为考核和准入工具，就会反向塑造报告与系统。领先指标、近失误、公正文化和安全案例都会诱发策略行为。指标设计必须把沉默、游戏化、反驳失败和管理责任纳入自身风险模型。
◎ 三个常见误解
误解一：通过标准认证就证明系统安全。标准提供过程基线，真实运行域、无故障危险、更新和共因依赖仍需独立证据。
误解二：事故少说明领先指标有效。低频损失不足验证指标，必须证明信号触发了正确屏障行动。
误解三：多一套冗余就把失败概率相乘。共享软件、凭证、供应商或环境会让独立假设失效。
◎ 与相邻领域的接口
与质量工程的分工判据是“规格一致还是不可接受损失”。质量偏差可无安全后果，安全约束也可能在产品合格时失效。 另见第364号第1条「甲、性能化消防从条文服从转向目标证明」。
与网络安全的分工判据是“信息资产还是物理与社会损失”。本块把攻击路径接到控制动作、屏障与恢复。 另见第205号第2条「乙、地方韧性指标把社区差异写进风险地图」。
与运筹优化的分工判据是“效率目标还是风险边界”。第205号等优化领域给方案，本块检查尾部、目标冲突与可撤回性。 另见第388号第3条「丙、WHO手术安全核查表」。
与公共政策的分工判据是“工程论证还是风险接受权”。工程提供可反驳证据，社会决定谁承担残余风险。 另见第203号第1条「甲、网络杀伤链把入侵改写为可中断的阶段」。
◎ 争议现场
第一场争论是系统理论方法是否优于FMEA。需要交叉团队盲分析、共同真值和风险加权独有发现。
第二场争论是自动驾驶测试需要多少里程。应从总里程转向场景覆盖、真实暴露和独立未知挑战。
第三场争论是安全案例会提高安全还是制造文档。必须追踪主张对真实事件和变更的预测，以及反驳后的修订。
◎ 往下五年看什么
看AI安全案例能否随更新同步。每次高影响模型、数据或用途变化应触发可审计再论证。
看复合气候压力是否进入关键基础设施设计。报告联合尾部、连续冲击和跨区恢复资源。
看近失误系统是否保护报告者。按岗位和承包关系审计报告、处分与关闭质量。
看供应链冗余的共同根。关键系统应公开至少到二三级依赖和替代认证时间。
◎ 可与哪些领域对撞
本块第1条“韧性工程把安全从无事故改成持续适应”×另见第364号第1条「甲、性能化消防从条文服从转向目标证明」。两边共享“各部件性能提高会自动形成系统级改进”的预设，本块把方向锁在组织在压力与变动下调整而不越过不可接受边界，对方则从另一套对象或制度给出限制。若两边都成立，近失误必须成为独立读数；否则一个领域里的成功会在另一个领域表现为遗漏或成本转移。
本块第8条“STPA-SafeSec把安全与安保合并到控制路径”×另见第205号第2条「乙、地方韧性指标把社区差异写进风险地图」。两边共享“逐项满足检查表意味着实际风险已经受控”的预设，本块把方向锁在控制结构中可被故障或对手操纵的反馈与命令，对方则从另一套对象或制度给出限制。若两边都成立，内部人员必须成为独立读数；否则一个领域里的成功会在另一个领域表现为遗漏或成本转移。
本块第13条“数字孪生维护把预测接入停机决策”×另见第388号第3条「丙、WHO手术安全核查表」。两边共享“删除重复部件或步骤不会损失韧性”的预设，本块把方向锁在虚实状态偏差对剩余寿命和维护时机的影响，对方则从另一套对象或制度给出限制。若两边都成立，假警报必须成为独立读数；否则一个领域里的成功会在另一个领域表现为遗漏或成本转移。
本块第20条“自适应安全治理把标准改成持续边界管理”×另见第203号第1条「甲、网络杀伤链把入侵改写为可中断的阶段」。两边共享“控制输入只驱动对象而不会被对象反向塑造”的预设，本块把方向锁在技术与环境变化被及时反映到风险边界，对方则从另一套对象或制度给出限制。若两边都成立，影子更新必须成为独立读数；否则一个领域里的成功会在另一个领域表现为遗漏或成本转移。
◎ 十条可做的研究命题
- 命题：韧性能力可由扰动后的功能与恢复测量。怎么做：预注册演练。什么算证伪：能力不预测恢复。
- 命题：STAMP独有发现集中于交互与控制缺口。怎么做：交叉盲分析。什么算证伪：与FMEA完全重叠。
- 命题：领先指标只有连接屏障状态才预测风险。怎么做：时间序列比较。什么算证伪：活动指标同样有效。
- 命题：ICS安全分段可降低物理后果路径。怎么做：授权攻击演练。什么算证伪：分段不影响过程偏离。
- 命题：SOTIF未知探索优于固定场景库。怎么做：外部生成挑战。什么算证伪：未知失败率无差。
- 命题：接管能力会随长期自动化可靠而退化。怎么做：多周低事件模拟。什么算证伪：反应不变。
- 命题：供应网络生存性取决于替代认证时间。怎么做：多节点仿真。什么算证伪：认证时间不影响缺供。
- 命题：孪生维护成功后需重新校准故障分布。怎么做：前后时间验证。什么算证伪：模型稳定。
- 命题：共因调整会大幅降低名义冗余。怎么做：共享根故障注入。什么算证伪：多副本仍独立。
- 命题：公正文化一致性可由跨岗位盲案检验。怎么做：盲评事件。什么算证伪：岗位不影响处理。
◎ 资料核验
- Hollnagel、Woods 与 Leveson. 2006. “Resilience Engineering: Concepts and Precepts.” Ashgate。
- Leveson. 2011. “Engineering a Safer World: Systems Thinking Applied to Safety.” MIT Press。
- Hollnagel. 2012. “FRAM: The Functional Resonance Analysis Method.” Ashgate。
- Øien、Utne 与 Herrera. 2011. “Building Safety Indicators: Part 1—Theoretical Foundation.” Safety Science，DOI 10.1016/j.ssci.2010.05.012。
- Aven. 2016. “Risk Assessment and Risk Management: Review of Recent Advances.” European Journal of Operational Research，DOI 10.1016/j.ejor.2015.12.023。
- NIST. 2015. “Guide to Industrial Control Systems Security, SP 800-82 Rev. 2.” National Institute of Standards and Technology，DOI 10.6028/NIST.SP.800-82r2。
- ISO. 2018. “ISO 26262 Road Vehicles—Functional Safety, Second Edition.” International Organization for Standardization。
- Friedberg 等. 2017. “STPA-SafeSec: Safety and Security Analysis for Cyber-Physical Systems.” Journal of Information Security and Applications，DOI 10.1016/j.jisa.2016.05.008。
- Sulaman 等. 2019. “Comparison of the FMEA and STPA Safety Analysis Methods.” Software Quality Journal，DOI 10.1007/s11219-017-9396-0。
- ISO. 2022. “ISO 21448 Road Vehicles—Safety of the Intended Functionality.” International Organization for Standardization。
- Riedmaier 等. 2020. “Survey on Scenario-Based Safety Assessment of Automated Vehicles.” IEEE Access，DOI 10.1109/ACCESS.2020.2993730。
- Burton 等. 2020. “Mind the Gaps: Assuring the Safety of Autonomous Systems from an Engineering Perspective.” Artificial Intelligence，DOI 10.1016/j.artint.2019.103201。
- Ivanov 与 Dolgui. 2020. “Viability of Intertwined Supply Networks under Pandemic Disruptions.” International Journal of Production Research，DOI 10.1080/00207543.2020.1750727。
- Ivanov. 2020. “Predicting the Impacts of Epidemic Outbreaks on Global Supply Chains.” Transportation Research Part E，DOI 10.1016/j.tre.2020.101922。
- Errandonea、Beltrán 与 Arrizabalaga. 2020. “Digital Twin for Maintenance: A Literature Review.” Computers in Industry，DOI 10.1016/j.compind.2020.103316。
- Zscheischler 等. 2020. “A Typology of Compound Weather and Climate Events.” Nature Reviews Earth & Environment，DOI 10.1038/s43017-020-0060-z。
- National Academies. 2021. “Human-AI Teaming: State of the Art and Research Needs.” National Academies Press。
- Bloomfield 与 Rushby. 2020. “Assurance 2.0: A Manifesto.” arXiv，DOI 10.48550/arXiv.2004.10474。
- UL Standards & Engagement. 2023. “UL 4600 Standard for Safety for the Evaluation of Autonomous Products.” ULSE。
- ENISA. 2023. “Cybersecurity and Resilience of Critical Sectors.” European Union Agency for Cybersecurity。
- Dekker. 2016. “Just Culture: Restoring Trust and Accountability in Your Organization.” CRC Press。
- Provan、Woods、Dekker 与 Rae. 2020. “Safety II Professionals: How Resilience Engineering Can Transform Safety Practice.” Reliability Engineering & System Safety，DOI 10.1016/j.ress.2019.106740。
- NIST. 2024. “Cybersecurity Framework 2.0.” National Institute of Standards and Technology。
- IEC. 2025. “Safety, Security and AI Assurance in Autonomous Cyber-Physical Systems.” International Electrotechnical Commission Technical Report。
第600号 · 风险、安全与可靠性工程 · 王德生 亲撰