盲评为投稿原稿未经任何编辑改动时评出的五维结构化评分（S 结构精确度 146 ／ D 差异锐度 143 ／ E 纠缠深度 138 ／ I 不可还原性 128 ／ F 可证伪性 147，加权 .20/.25/.20/.20/.15）。近邻比对按全球公开文献口径从严执行，并计入站内自撞。文末三则附论（最近邻补切、站内划界、编辑校订说明）由编辑增补，不计入本分数；正文的判断、论证结构、全部数字与形式表达未经改动。待独立复核。（评分：Claude · 2026年8月15日）
值得信任的人工智能，常被理解为能够说明理由、维持稳定表现，或在失败后回滚和恢复的系统。然而，“错误最终得到纠正”不能直接证明人工智能或部署机构具有同等程度的可纠正能力：修复可能来自自动监测，也可能依赖受影响者识别异常、搜集证据、反复申诉并承担等待成本。由此需要区分观察恢复率、独立恢复率、受影响者纠错负担与恢复归因差。但这些量若共同使用“全部已知错误”作为分母，仍会掩盖一个更基础的问题：错误是否进入记录，本身取决于系统监测、抽样审计、申诉能力、证据门槛和既有错误分类。若只统计已经被投诉或已经被系统看见的错误，一个压低异议可见度的系统反而可能取得漂亮的恢复率。
本文因而把核心判断推进一步：被纠正不等于可纠正；被记录也不等于已经发生的错误总体。可信恢复首先要求说明错误如何进入账本，再说明谁使纠正发生。
为此，本文提出“错误普查—恢复归因”双账结构。对既有错误类型，以事前冻结的决定队列、概率审计和独立判定建立闭集分母，报告检测覆盖率、独立纠正率、受影响者启动纠正率及未纠正率；对尚未被制度分类的新型伤害，则不伪造未知总体率，而报告从首次可信异议到类别承认、规则写回与跨个案复现的路径。两个通道不可互换：独立审计不能垄断什么算错误，受影响者异议也不能被当作免费的系统传感器。
本文进一步给出单一口径编码手册、边界案例、显影来源与纠错来源向量、竞争模型和死亡条件，并对两个机构公开资料入口执行可识别性审计。审计显示，美国消费者金融保护局投诉库只能观察已投诉事件，英国社会保障与儿童抚养法庭统计只能观察进入上诉及审结链条的案件；二者都能描述“异议进入后的处置”，却不能单独估计全部错误、独立发现率或恢复归因差。这一不利结果被保留：公开资料并未验证本文机制，反而显示许多现成仪表盘没有能力回答自己看似正在回答的问题。本文另以合成数据检查分析管线：当两个构造世界在结果与摩擦变量上完全相同、只在纠错来源上不同时，仅使用前一组变量的模型无法区分二者，加入已测量的来源向量后则可以。该检查说明的是观测集的信息边界，不是选择模型的普遍无能，更不是现实来源效应的证据。
但仅有前两道门仍不充分。本文进一步提出写回门：一次异议所确认的新错误类别，能否经过独立复核进入正式检测，使后来同类事件不再依赖受影响者重复识别。这里的估计对象不是独立纠正率的自然时间斜率，而是一个受干预的转移响应。本文证明一项受限的不可识别结论：在允许转移机制不同的部署类中，可以存在当前纠错来源向量完全相同、前瞻未纠正负担却不同的系统；因此，任何只读取当前恢复状态而不识别写回转移机制的指标，都不能成为普遍充分的前瞻能力统计量。若转移机制已知且稳定，这一结论不适用。本文据此定义标准化写回响应，并要求将写回时延、保持率、误报代价和再次依赖同时报告。第二个合成夹具令两个制度在锚点期具有逐重复完全相同的来源向量，只改变同一批已复核新类别是否进入正式检测；夹具验证了存在性与分析管线，却不构成现实效应证据。本文由此把成熟的人机信任界定为一种共同校准关系：受影响者能够改变错误分类和后续规则，但其认识贡献、纠错劳动与承担成本不会在恢复率中消失。
人工智能进入医疗辅助、公共福利、信贷审核和组织决策后，信任研究长期追求“适当依赖”：人的依赖程度应与系统在具体情境中的能力相匹配[1]。可解释人工智能希望通过理由、特征贡献或反事实说明改善理解，但经验研究表明，解释工具可能被赋予超出其能力的意义；迫使使用者先独立判断，有时比增加说明更能减少盲从[2-3]。人际信任理论则区分能力、善意与正直，并研究道歉、承诺和解释如何修复错误后的关系[4-5]。安全工程绕开主观相信，强调监测、隔离、回滚、审计和事件学习[6-7]。
三条路径分别处理理由、关系和恢复，却可能共享同一种结果压缩：只要案件最终关闭、服务恢复、信任回升，纠错便被记作系统或组织的成功。因此首先需要追问：谁使纠正发生？如果移除受影响者的识错、举证和追索，修复便不会发生，那么观察到的纠正不能全部记作系统能力。
但这一判断仍偷偷假设了一个稳定分母：似乎错误先完整地存在于账外，研究者只需观察它最后由谁纠正。现实并非如此。系统日志只能记录被规则定义为异常的事件；随机审计只能寻找预先知道如何判定的错误；申诉者可能发现系统从未命名的伤害，也可能因为不知情、无资源或惧怕报复而保持沉默。于是，“全部已知错误”至少混合了三件不同的事：真实发生的错误、被某条传感路径显露的错误，以及被组织承认为错误的事件。
这个混合会制造反常激励。假设系统A处理了九十件投诉中的八十件，仪表盘显示很高的结案率；系统B随机审计一万项决定，主动发现二百项错误并纠正一百五十项。若只看已投诉事件，A似乎更可靠；若以事前决定队列为母体并估计错误发生，B可能具有更强的检测与恢复能力。更危险的是，A若提高申诉门槛，使大量伤害不再进入记录，其表面恢复率还可能上升。
因此，可信AI的评估不能从“已知错误”开始。它必须先回答：哪些决定有机会产生错误，谁有权判定错误，哪种发现路径把事件带入记录，未被看见的错误如何估计，以及新的异议能否改变既有分类。
诊断性解释能够帮助人定位异常，流畅解释也可能让错误显得更有道理[2-3]。这意味着解释不仅影响人是否相信答案，还影响哪些错误有机会被看见。如果只有具备专业知识、时间和怀疑动机的人才能从解释中识别异常，那么“解释提高检测率”可能主要表示受影响者替系统完成了额外监测。
把这份劳动记入受影响者纠错负担仍然不够，因为那仍可能把被发现的事件视为给定样本。还须增加一个更早的辨别：解释是否扩大了系统自己的检测覆盖，还是只扩大了少数人的自救能力？两种系统可以拥有同样数量的已纠正案件，却对沉默者留下完全不同的风险。
能力、善意与正直不是同一个判断维度[4]。组织主动显示不确定性、通知风险、承担举证与补偿成本，可被理解为善意进入了制度结构；道歉和说明也可能恢复主观信任[5]。然而，信任回升不说明未投诉的错误是否被发现，更不说明投诉者之外的人是否得到同样保护。
如果组织只对能进入流程的人迅速响应，它既可能获得较高满意度，也可能保持很低的错误普查覆盖。此时关系修复与统计选择发生纠缠：愿意、能够且成功投诉的人成为唯一可见样本，沉默者从信任测量和恢复测量中同时消失。善意因而不能只由已结案参与者的态度评分证明，还要看制度是否主动寻找不在样本中的受影响者。
风险管理与安全工程已经提供监测、回滚、冗余、审计和事件响应[6]。有效人类监督还要求监督者具有认识条件、介入权力、自我控制和合适的角色意图[7]。但任何恢复系统都依赖传感器：自动告警、正式操作者、独立审计、客户投诉或媒体曝光。若仪表盘只记录事件是否关闭，而不记录传感器是谁、哪些事件从未触发传感器，就会把“有人替系统看见了错误”压缩成“系统能够恢复”。
这不是要求排除人类。正式操作者、独立审查者和受影响者都可能提供不可替代的知识。问题在于：他们以什么角色参与，是否有报酬和保护，他们的贡献是否被保留，以及系统能否在已知错误类型上逐渐减少对受影响者自救的依赖。
可解释AI、人际信任和安全恢复经常把“错误样本”当作研究入口：解释研究从已设置的错误建议开始，信任修复从已发生并被参与者看见的违背开始，事件响应从已触发的事故或告警开始。这一研究安排是必要的，却容易被部署实践误读为：现实中的错误总体已经被充分看见。
算法可争议性研究自身推翻了这个前提。申诉权能否使用取决于知识、时间、资源和中介支持；边缘群体常需律师或非政府组织长期陪伴才能让伤害成为可受理事件[8-9]。换言之，异议不仅对一个已知错误请求更正，也可能首次使一种错误获得名称、证据格式和制度地位。如果这些发生条件不进入评估，“全部已知错误”就不是自然分母，而是组织传感器与权力关系共同产生的结果。
本文把核心命题压缩如下：
未经独立普查或开放异议校正的错误记录，不能证明系统看见了什么；未经纠错来源分解的结案记录，不能证明系统会纠正什么；未经标准化写回挑战的当前读数，不能证明系统下一次会看见什么。
这一命题包含三道不可互替的门。
第一道是显影门：错误如何从可能发生的决定进入可判定、可记录的集合？它检查决定母体、抽样方法、判定标准、发现通道与缺失机制。
第二道是归因门：进入记录的错误最后由谁发现、举证、启动纠正并承担成本？它检查恢复结果的因果来源与信用结算。
第三道是写回门：已经获得的错误意义是否经过独立复核进入下一轮检测规则，从而改变系统自身的显影能力？它检查的不是自然时间中某条曲线是否上升，而是面对同一项已确认的新类别，执行写回与不执行写回会不会产生不同的后续正式检测覆盖。
前两道门的关系已在既有测量文献的延长线上：显影门处理分母，归因门处理分子的来源分解。第三道门改变的是能力的对象。当前纠正来源向量描述系统处于什么恢复状态；写回门识别系统收到一项经复核的新错误知识后，检测规则如何转移。状态与转移机制不能互相替代。本文第4.3节要求稳定下来的新类别迁入闭集审计，正是把受影响者的认识贡献从个案救济变成下一轮正式检测能力。第8.2.1节将把这一关系表述为受限的转移不可识别命题：只有当前状态而没有转移机制时，前瞻恢复能力在允许不同写回规则的部署类中不能被普遍识别；所需的不只是增加一列来源字段，也不只是观察一条未经干预的时间趋势，而是面板资料、明确写回操作与反事实对照。
三道门不通过，后果依次为：显影门不通过，研究者连错误总体都无法估计；归因门不通过，研究者不能把已纠正结果归给具体能力；写回门不通过，研究者可能把两个当前表现相同、收到新错误知识后却走向不同未来的制度误判为能力相同。三道门共同通过仍不意味着理论已经成立，但至少使“高恢复率”成为可以反驳、复核和比较的陈述。
闭集错误是指在研究开始前已有可冻结判定规则的错误，例如福利资格公式使用了错误家庭人数、模型把预设症状映射到错误分诊级别、信贷决定违反已公布约束。对这类错误，可以建立事前决定队列并由与原决定、投诉结果相隔离的审计者判定。
闭集分母不是“数据库里出现过的错误”，而是从决定队列中按已知抽样概率抽取并完成独立核验后，对错误数量作出的设计型估计。每个事件的进入概率必须保留，无法核验的样本不得静默删除。
开集伤害是现有规则无法完整判定、但受影响者提出了可调查差异的事件。例如系统对一种家庭结构持续要求不存在的证明，表面上每个决定都符合规则，但规则本身制造了不对称负担；又如模型准确率合格，却在特定语境中反复把一种表达视为欺诈信号。
这类事件不存在可事先枚举的完整总体，因此不能立即计算一个看似精确的“全部错误率”。应报告的是发生路径：首次可信信号何时出现，组织何时承认调查义务，是否形成新错误类别，类别是否回溯应用于旧决定，以及新规则能否在其他个案复现。受影响者在这里不是低质量传感器，而是错误本体的共同命名者。
只保留闭集审计，会把既有分类误当作世界边界，并压制只有经验主体才能显露的新伤害；只保留开集异议，则无法估计沉默者、未知受害者与未被投诉的已知错误。成熟制度必须同时维持：
对已知错误，尽可能不依赖受影响者首先行动；
对未知伤害，允许受影响者改变审计规则和错误分类；
任何新类别一旦稳定，都应从开集异议迁入闭集审计；
迁移后若仍只能靠相同群体重复投诉，制度学习没有发生。
这四项构成本文所说的共同校准：人的经验改变系统能看见什么，系统则有义务把已获得的意义转化为不再依赖同一群体自救的正式控制。
分析单位不是“投诉”或“工单”，而是一个可能产生可归责后果的决定事件。研究开始前冻结：
决定队列窗口 T₀：哪些决定进入研究母体；
发现窗口 δ：从决定送达到首次有效错误信号；
判定窗口 ω：从信号出现到独立判定完成；
恢复窗口 τ：从错误被判定成立到结果纠正；
写回窗口 κ：从个案纠正到规则、阈值或权限更新。
若不同来源使用不同起点，必须分别报告，不得把“投诉后七日解决”与“决定发出后三十日主动发现”放进同一时延排名。
事件只有满足以下任一入口，才进入已判定错误集：
在事前概率审计样本中，由两名盲态判定者依冻结规则认定为错误；分歧交由第三方裁决；
经自动或正式控制触发后，使用相同判定规则确认；
经受影响者或中介提出异议后，使用相同判定规则确认；
经开集调查形成新类别，并由独立复核确认该类别适用于该事件。
被投诉但未确认的事件只进入异议信号集，不得自动记作错误；没有投诉的事件也不得自动记作正确。证据不足、规则冲突和无法复核分别编码，不得合并为“非错误”。
每个确认错误记录两个不同字段：
discovery_source：谁首先提供足以触发核验的信息；
effective_action_source：谁首先执行了足以改变结果的正式动作。
允许值为：自动控制、正式操作者、独立审查者、受影响者、中介代理、外部曝光、混合来源、无法判定。共同发现不得强行归给单一主体；应保留时间戳和证据链。
两个字段分别服务于两道门。discovery_source形成显影来源向量 η：在估计错误总数中，首先由正式控制、独立审查、受影响者、中介或外部、混合或不明来源发现，以及在发现窗口内仍未发现的比例。effective_action_source形成纠错来源向量 ρ。前者回答谁让错误可见，后者回答谁使结果改变；二者不得合并成一个“来源”字段。
设 NE 为事前决定队列中经概率审计估计的闭集错误总数。在恢复窗口 τ
内，将错误按第一有效纠正来源互斥编码：正式控制纠正数 NF、独立审查纠正数
NR、受影响者启动纠正数 NA、中介或外部启动纠正数 NM、来源不明纠正数
NX，以及未纠正数 NU。则：
NE = NF + NR + NA + NM + NX + NU
相应报告：
检测覆盖率（DCR）：在 δ 内经任何通道被发现的闭集错误占 NE 的比例，并同时报告显影来源向量 η；
独立纠正率（ICR）：(NF+NR)/NE，表示不依赖受影响者或其代理首先行动而完成的纠正；
受影响者启动纠正率（ACR）：NA/NE；
中介启动纠正率（MCR）：NM/NE；
未纠正率（UCR）：NU/NE；
来源不明率（XCR）：NX/NE。
观察恢复率不再单独承担理论结论，而被写成恒等式：
ORRτ = ICRτ + ACRτ + MCRτ + XCRτ = 1 − UCRτ
恢复归因差 RAG=ORR-IRR
会混合受影响者、中介和来源不明事件，因此不作为主指标。本文以纠错来源向量
ρ=(ICR,ACR,MCR,XCR,UCR)
替代单一差值。只有当研究明确把中介归入独立或受影响者一侧，且来源不明率低于预注册阈值时，才允许计算简化RAG，并必须同时报告完整向量。
受影响者纠错负担继续分项报告：发现耗时、提交步骤、重复提交、证据成本、金钱支出、机会损失、心理压力与报复风险。不得用一个总分抵消极端负担，也不得把正式有偿操作者与被迫自救者放在同一分布。若中介承担劳动，还需报告费用来源与受影响者能否普遍获得该中介。
开集通道不报告伪造的发生率，而报告：
承认时延：首次可信信号到组织承认调查义务的时间；
类别形成时延：首次可信信号到新错误类别冻结的时间；
回溯覆盖：新类别形成后，旧决定中被重新核验的比例；
规则写回：新类别是否进入后续自动检测、抽样审计与权限控制；
再次依赖：类别形成后，同类错误仍由受影响者首先发现的比例。
最后一项把意义共创与制度能力连接起来：共同命名不是一次性的参与仪式。新意义若不能进入下一轮检测，组织仍在反复借用同一群体的警觉。
第5.4节的纠错来源向量 ρ_t 描述第 t 期的恢复状态。第三道门需要识别另一类对象：一项由开集异议提出、经独立复核确认且尚未进入正式检测的新错误类别，若被写回检测规则，会怎样改变未来同类事件的显影来源。
令 c 表示在 t 期满足上述条件的新类别，Z_c=1 表示该类别按冻结协议进入自动检测、概率审计或权限控制，Z_c=0 表示个案得到纠正但类别暂不写回。令 F_{c,t+h=1 表示在第 h 个后续周期中，同类错误由正式控制在受影响者行动前发现；w_c 是在观察结果前冻结的暴露量或伤害权重。定义 h 期标准化写回响应：
W_h = Σ_c w_c × {E[F_{c,t+h | do(Z_c=1)] − E[F_{c,t+h | do(Z_c=0)] / Σ_c w_c
W_h 不是 ICR 对自然时间的斜率，也不是“写回类别数”与 ICR 变化的简单比值。前者会把外部分布漂移、人员更替和并行模型更新混入能力；后者会奖励把一个类别拆成多个名称。W_h 问的是同一项已确认的新错误知识，在执行与不执行写回的反事实下，未来正式检测覆盖相差多少。随机化、分阶段推广或满足平行趋势的匹配事件研究可以估计它；无法建立可信对照时，只能报告相关轨迹，不得称为写回能力。
单一 W_h 仍不足以进入授权。至少同时报告四项伴随量：写回生效时延 L_h；写回后跨周期保持率 R_h；新增误报或其他附带伤害 C_h；同类错误继续依赖受影响者首先行动的比例 A_h。因而写回门的最小报告单元是 (W_h, L_h, R_h, C_h, A_h)，而不是一个可被单独最大化的分数。
报告纪律有四条。第一，类别必须由与原决定和部署团队相隔离的复核者确认，且在 t 期确实不在正式检测覆盖内。第二，w_c 在结果出现前冻结，并报告未加权结果，防止事后用权重制造改善。第三，Z_c=1 必须由可重放的规则版本、测试样例和生效时间证明，内部备忘录或口头承认不算写回。第四，W_h 必须与 UCR、开集承认时延和群体分布并列；若误报、定义收缩或群体遗漏抵消了覆盖收益，正的 W_h 不构成可信恢复。
不利结果不等于错误。若独立判定确认决定符合冻结规则，事件作为异议信号保留，但不进入闭集错误分母。若大量同类信号质疑规则本身，则转入开集调查，不能以“模型按规则运行”提前关闭。
自动告警与用户投诉可能在数分钟内同时出现。编码应依据时间戳与“足以触发核验”的最低证据判断；无法区分时记为混合来源，不得为了提高ICR而把共同发现归给系统。
医生、福利工作人员或信贷专员可能既使用系统又承受职业后果。角色按该次劳动是否属于明确职责、是否有工具报酬和保护编码，而非按个人身份永久分类。正式职责之外的自救仍计入受影响者负担。
独立发现并不天然优越。若系统主动干预导致更多误报、更迟治疗或更高总伤害，而受影响者启动能以更低成本取得更好结果，ICR不得被解释为规范优越性。来源向量必须与准确性、误报、时延和伤害并列。
开放生成、公共推荐和扩散式内容可能没有清楚的决定队列。此时不得计算闭集恢复率，只能限定具体任务、抽样暴露或报告开集路径。本文不适用于没有可冻结事件单位却仍宣称总体错误率的场景。
医疗价值冲突、内容治理和公共政策中，错误可能不是单一金标准。研究应报告判定者构成、分歧类型和不同规范下的敏感性分析；不得用多数裁决消除真实价值冲突。若核心结论只在一种未辩护的规范下成立，适用范围必须收缩。
写回门的识别对象不是抽象的“变化”，而是一项在锚点期未被正式检测覆盖、后来经独立复核成立的新类别。若领域的错误类型稳定且已被充分覆盖，或研究期间没有任何新类别通过复核，就不存在可实施的标准化写回挑战。此时 W_h 不是零，而是不适用；把“不存在合格挑战”编码成“系统没有学习”会错误惩罚成熟覆盖。
即使环境存在分布漂移，也不能自动推定错误本体发生了变化。输入分布改变、错误类型新增和判定规范修改必须分别记录。本文第9.6节的预测仅适用于能够冻结新类别、证明其此前不在检测范围，并为写回操作建立可信对照的部署环境。缺少任一条件，第三道门退化，评估回到显影门与归因门。
任何进入采购或授权流程的指标都会被优化。W_h 的可操纵路径至少有四条：把旧类别改名为新类别；只挑容易自动化的异议进入挑战集；在写回组同步增加人工审核或更换模型；通过收缩错误定义提高形式上的正式检测率。
对应防护不是呼吁诚实，而是冻结可重放证据：独立复核类别在锚点期确实不能触发正式检测；所有合格类别进入挑战登记册并报告拒绝理由；写回与对照使用相同模型版本、人员资源和外生暴露路径，或明确建模偏离；新规则必须回溯旧决定并同时报告误报、遗漏、承认时延和群体覆盖。若这些防护不能执行，W_h 只能作为描述性诊断，不得进入采购或授权。本文不主张它免疫于古德哈特效应。
完整机制链变为：
决定母体 → 传感器与异议 → 错误判定 → 纠错劳动分配 → 个案纠正 → 来源压缩 → 能力高估 → 再次授权
它包含两个选择过程和一条回路。第一个选择过程决定哪些错误被看见；第二个决定被看见的错误由谁推进到纠正。投诉门槛、解释可读性与审计抽样影响第一过程，证据责任、正式权限和补偿机制影响第二过程。只控制恢复时延而不控制显影选择，仍会把“容易进入数据的错误”误认为全部错误。
回路则从个案纠正返回决定母体：若纠正所依据的新错误意义写回检测规则，下一轮的第一个选择过程被改变，同类错误更早由正式控制显影；若不写回，链条在“能力高估”处闭合，而下一轮的显影选择保持不变。第8.2.1节命题2正是这条回路的测量后果：当前恢复状态记录链条停在哪里，写回响应识别链条收到新知识后怎样转移；前者不能单独恢复后者。
能力高估随后进入采购、续约、自动化级别和监督预算。可调自治与智能委托框架已经研究如何随情境和信誉转移控制[11-12]。本文的新增约束是：信誉输入必须同时保留决定母体、检测覆盖和纠错来源。若动态授权使用投诉条件下的结案率，它会把高申诉能力群体的自救误读为系统信誉，并把风险转给较少发声的人。
可争议性关心能否挑战决定、获得复核和救济[8-9]。本文接受这一入口，同时追问未提出异议的人如何进入错误估计，以及成功异议如何进入系统能力账。一个程序可以高度可达，却仍无法估计未投诉错误；也可以处理投诉很快，却不把新类别写回审计。
统计学能够处理抽样权重、非响应与非随机选择。海克曼模型的经典贡献，正是把非随机进入样本造成的偏误写成可估计的模型设定问题[15]。因此，本文不能靠宣称“选择模型看不见来源”制造差异：只要发现来源被测量并进入模型，选择模型当然可以使用它。真正的边界在模型之前——部署资料是否记录了来源，以及汇总结果能否反推出未记录的来源。
把结果—摩擦观测写为 Z，把纠错来源向量写为 ρ，把下一轮授权写为 A。考虑两个部署世界 W1 与 W2：它们在决定母体、真实错误率、最终纠正比例、恢复时延、补偿和程序正义上具有相同分布，即 P(Z| W1)=P(Z| W2)；但纠错来源向量分布不同，并且这种差异可能对应不同的后续授权，即 P(A| Z,W1)≠ P(A| Z,W2)。对任何只以 Z 为输入的估计器 g(Z)，其输入分布在两个世界中相同，因而不能仅凭 Z 识别世界身份或来源差异。这里成立的是一个条件性不可识别结论：纠错来源没有被测量时，准确估计总体错误率或最终恢复率，仍不能从汇总结果中恢复“谁使纠正发生”。
这个结论不排斥更丰富的选择模型。相反，它把争论转化为数据要求：若研究者测量 ρ、发现机制及规则写回，就可以把它们纳入选择模型，并检验它们是否带来行动增量；若没有测量，则不能借助模型复杂度凭空补回。第11.4节只对这一观测集边界执行合成管线检查。
到此为止，命题1只是一个数据要求，本文必须承认这一点：它说的是“记录来源这一列”，而记录一列变量不构成独立的理论对象。本文的独立性因此不能停在命题1。以下命题2给出一个更强但受限的结论：即使 ρ 已被完整测量，在允许写回转移机制不同且该机制尚未被识别的部署类中，单期读数仍不足以支持前瞻授权。
8.2.1 命题2：当前恢复状态不能普遍识别写回转移
令 X_t 表示在第 t 期可完整观测的恢复状态，其中至少包括决定母体估计、纠错来源向量 ρ_t、时延、补偿、程序正义和受影响者负担。令 T 表示制度收到一项经复核的新错误类别后，将其转成未来正式检测覆盖的转移机制；令 Y_{t+1:t+H 表示随后 H 期的未纠正负担。
考虑允许不同转移机制的部署类 C。若 C 中存在两个系统 S_1 与 S_2，满足 P(X_t | S_1)=P(X_t | S_2)，但因为 T_1≠T_2 而有 E(Y_{t+1:t+H | X_t,S_1)≠E(Y_{t+1:t+H | X_t,S_2)，那么任何只以 X_t 为输入的统计量 s(X_t) 在两个系统中同分布，不能普遍识别它们的前瞻未纠正负担。由此得到：
命题2（状态—转移分离）。 在转移机制未被固定或已知的部署类中，存在当前完整恢复状态同分布、前瞻未纠正负担却不同的系统。因此，只读取当前恢复状态的统计量不是该部署类上的普遍充分统计量；识别前瞻可纠正性还需要转移机制，或能够识别该机制的干预与面板资料。
证明只有一步：若 s 仅是 X_t 的函数，而 X_t 在两个系统中同分布，则 s(X_t) 也同分布；但目标 Y 的条件期望不同，故 s 不能在两者间同时充分。第11.5节用完全相同的锚点快照和不同写回规则给出一个构造实例。
这是一项受限命题，而不是“所有单期模型都失败”的宣言。若部署类的转移机制已知且固定，或 X_t 已包含足以确定未来的完整规则状态与转移核，那么当前状态可以成为充分统计量。一般的状态空间、面板或施为预测模型也完全可以表示 T。本文的差异不在发明动态模型，而在规定一个此前容易被结案率压缩掉的制度转移：受影响者提出、独立复核成立的新错误知识，是否减少后来同类事件对受影响者再次行动的依赖。
这一结论与命题1的补救不同。命题1要求把 discovery_source 与 effective_action_source 写入记录；命题2要求对经复核的新类别实施可比较的写回操作，并观察未来正式检测覆盖。仅增加一列来源字段不能识别 T；仅观察自然时间斜率也不能排除并行更新和外部漂移。第5.7节的 W_h 因而是转移机制的候选识别量，而不是对所有动态方法的替代。
命题2也使规范主张与测量主张真正相接。第4.3节要求稳定的新类别从开集异议迁入闭集审计；第5.7节则要求检验这项迁移是否改变后来同类错误的发现来源。若真实研究发现 W_h 在控制时延、误报、模型更新与外生暴露后不改变前瞻负担或授权，第三道门没有独立行动价值，本文应退回两门结构。
有效监督关心人是否有能力和权力介入[7]。本文进一步区分正式监督、独立审查、受影响者和中介，并要求用事前决定母体检验正式控制是否真的覆盖未知投诉。拥有庞大客服团队不等于具有独立检测能力。
关系性问责强调伤害如何被认识、组织并带入责任关系[10]；认识不公能够解释某些证言为何不被承认。本文把这些洞见压到可重放接口：新异议是否形成可编码类别，该类别是否回溯旧决定并进入下一轮概率审计，以及迁移后系统排序和授权是否改变。若没有这些差异，本文只是既有理论的测量附录。
信任修复预测错误后态度如何变化[5]，动态授权讨论控制如何随信誉调整[11-12]。本文提供的是进入二者之前的输入审计：没有错误普查与来源向量，信任校准和信誉更新可能精确地学习一个被选择过程污染的指标。
部分识别从点识别不成立出发，转而报告数据能够支持的界[16]。命题2与之不同：它先指定一个部署类，再指出当前状态在该类上不能普遍确定前瞻负担；若转移核已知，问题可以消失。因此本文不是把所有动态不确定性重新命名为“不可识别”，而是要求研究者说明自己是否观测或干预了转移机制。
更强的近邻来自施为预测。预测部署会改变目标分布，状态化施为预测进一步把上一期分布纳入转移映射[17-18]。这已经覆盖“当前状态相同而转移不同”的一般数学结构，也意味着本文不能把状态—转移分离本身登记为新技术。持续学习与概念漂移研究同样关心新任务到来后的迁移表现。可争议性设计甚至已经指出，反馈可能要求修改业务规则和政策，而不只是调整技术参数[19]。
敌意替换之后仍留下的关系性剩余只有一项：这些近邻通常把反馈、任务或环境反应当作系统输入，本文要求保留一条特定的认识与劳动路径——新类别由谁提出、如何被独立复核、是否进入正式检测，以及进入后能否减少同类受影响者再次承担识错与申诉。W_h 不是新的动态估计器，而是把这一制度转移变成可干预、可拒绝的审计对象。若加入现有可争议性、状态化施为预测或持续学习变量后，这条来源—写回—再次依赖关系不再改变任何预测或行动，第三道门应被近邻吸收。
本文没有证明真实部署中的 W_h 为正，也没有证明它与前瞻伤害存在普遍函数关系。任何合适的面板、因果推断或状态空间方法都可以估计它；本文主张的只是：在评估共同校准时，不能用当前结案状态替代这项转移，也不能用未经对照的自然时间斜率冒充它。
按投诉条件结案率排名时，申诉门槛高、响应迅速的系统A可能优于主动审计但发现更多错误的系统B；改用事前决定队列和概率审计估计后，排序可能反转。若跨两个领域加入显影校正从不改变系统排名、采购或监督预算，显影门没有行动价值。
将真实错误率、最终纠正比例、发现来源、时延与补偿保持一致，只改变有效纠正由正式控制执行，还是必须由受影响者举证后启动。本文预测，后者带来更低的下一次默认授权、更高退出率和更强的自我监控预期。若控制摩擦、程序正义和结果后纠错来源不再有增量，归因门应降级。显影来源效应则在另一项操纵中保持纠错来源不变、只改变谁首先提供有效错误信号，以免两道门相互冒充。
受影响者异议形成新错误类别后，若类别被写入审计，下一批同类错误应更多由正式控制发现，ACR下降、ICR上升；若只有个案纠正，类别虽被口头承认，纠错来源分布不会改变。该预测把意义共同生成与制度学习区分开来。
在申诉资源不平等时，只看投诉样本会高估高资源群体的恢复覆盖，也无法识别低资源群体的未显影错误。概率审计加入后，群体间差距可能扩大而不是缩小。若审计与投诉样本在错误率和错误类型上持续等价，选择偏差解释失去支持。
提高独立纠正率可能诱使组织缩减异议入口，从而失去发现新错误类别的能力。成熟制度不是最大化ICR，而是同时保持闭集独立恢复与开集异议权。若提高ICR且减少异议入口不损害新类别发现、群体公平或长期错误率，这一双通道规范主张应收缩。
在能够建立事前决定母体和新类别登记册的领域，先用预注册等效界确认两个部署制度在锚点期的 ρ_t、DCR、时延、误报与负担可视为等效；随后将经独立复核的新类别按随机化或分阶段推广进入写回与暂缓写回条件。本文预测：正的 W_h 将提高后来同类错误由正式控制首先发现的概率，降低 A_h 与前瞻未纠正负担，并可能使基于当前状态的授权排序发生反转。
这不是“差异不显著”加“未来显著”的选择性比较。等效界、锚点期、h、类别权重、主要终点和挑战登记规则必须在观察结果前冻结。所有合格类别均进入分析；若采用分阶段推广，使用尚未写回类别作为同时期对照，并报告预趋势与并行更新。
否证条件明确：若跨两个异质领域，写回相对暂缓写回不能提高未来正式检测、不能降低再次依赖或未纠正负担，或者任何收益均被误报和其他伤害抵消，则 W_h 没有独立行动价值；第5.7节降为描述性附录，第3节核心命题退回两门表述。若现有状态化施为预测或可争议性变量在不保留来源—复核—写回链条时取得相同的跨领域留出预测与授权建议，第三道门被近邻吸收。
本文是理论论文，不报告现实效应。正式检验应在两个低风险模拟领域开始，例如福利资格复核与临床分诊辅助。所有错误为预先植入材料，不影响真实权益或医疗决定。研究对象在观察结果前锁定为理论论文；模拟只验证操纵和分析代码，不得冒充生态有效性。
本设计分三阶段，前两阶段为截面，第三阶段为面板。
第一阶段检验闭集显影与归因。研究者先生成完整决定队列并保存真实错误标签，随后只向参与者与系统暴露不同传感通道。随机化：解释质量、正式审计覆盖、纠错启动者和规则写回。主要终点是迁移阶段对AI作为默认决策者的授权概率；次要终点包括DCR、来源向量、退出率、再次受损、主观信任和受影响者负担。
第二阶段检验开集类别迁移。研究材料包含一种未进入初始审计规则、但能够由参与者经验稳定识别的系统性负担。比较成立异议仅纠正个案、形成类别但不写回、形成类别并写入审计三种条件。主要判决是后续同类错误的发现来源是否从受影响者转向正式控制。
第三阶段检验写回门。研究在观察结果前冻结新类别纳入标准、等效界、h、权重和主要终点。每个由盲态复核确认且尚未进入正式检测的类别，按类别簇随机进入立即写回或延迟写回；无法随机化时采用分阶段推广，并把尚未写回类别作为同时期对照。写回必须由规则版本、测试样例和生效回执证明。主要判决是 W_h；共同主要安全终点是 C_h。次要终点包括 L_h、R_h、A_h、UCR和前瞻未纠正负担。至少一个领域使用相同模型版本与固定外生暴露的低风险模拟，另一个领域使用真实但不影响权益的影子决定队列。第11.5节夹具只能证明构造与代码路径可实现，不能替代这一阶段。
结果—摩擦模型M0使用最终纠正、恢复时延、补偿、解释质量、程序步骤和主观程序正义预测后续授权。
显影—归因模型M1在M0基础上加入审计估计错误率、DCR、显影来源向量 η、纠错来源向量 ρ、类别是否被承认以及当前规则状态。
写回转移模型M2在M1基础上加入写回处理、相对时间、类别簇和二者交互，并联合估计 W_h、C_h 与 A_h；采用分阶段推广时使用能够处理异质处理时点的事件研究估计，不以简单双向固定效应系数替代。M1与M2的比较是第三道门的关键裁决：若M2相对M1没有可重复的跨领域留出增益，或 W_h 的收益被 C_h 抵消，第三道门按死亡条件11退场。M2要求面板与可验证干预；第一、二阶段仅比较M0与M1。
各模型使用相同训练折和跨领域留出；同一机构、同一决定队列或同一匹配对必须整体进入同一折，避免相关事件跨训练集与测试集泄漏。比较预注册的留出预测对数密度与校准误差。若M1相对M0的增益小于一个标准误，且来源和类别迁移效应均落入授权优势比0.90至1.11的等效区间，则不支持独立理论。BIC只作稳健性检查，不与交叉验证择优混用。
不在没有先导数据时伪造效应量。先导只验证操纵、估计审计判定一致性、组内相关、申诉放弃率和来源不明率。正式样本量由冻结后的模拟功效脚本决定，并以来源效应、类别迁移效应及二者跨领域留出为约束。
闭集错误判定报告 Krippendorff's alpha 及分歧类别，不以总体一致率掩盖稀有错误。无法完成核验的抽样事件使用设计权重与界限分析，不静默排除；投诉缺失不视为无错误。所有排除、阈值、时间窗和代码哈希在收集正式数据前公开。
为避免把理论设计停留在纸面，本文对两个公开资料入口执行字段级审计。目标不是用观察数据证明因果，而是检验现有资料是否足以计算本文指标。
本节审计遵循证据层级声明：D1（文档层级）指依据机构公开的数据字典、字段说明与统计公告核实某字段是否存在、某数字是否已被发布；D2（微数据层级）指实际取得并核验逐笔记录。以下两项审计均停留在D1：本文于2026年8月13日访问机构网页与统计公告，没有下载或分析两方微数据。检索条件限定为CFPB公开投诉库的数据说明与字段说明，以及英国司法部2026年1月至3月法庭季度统计的SSCS章节。这一限制被计入结论本身，而非留待读者自行折扣：D1层级足以回答“这些现成资料能否单独计算本文指标”这一否定性问题，却不足以肯定性地估计任何本文提出的量。
该数据库公开投诉收到日期、产品、问题、提交渠道、发送企业日期、企业响应类别、是否及时回应及投诉编号等字段[13]。它明确声明，数据库不是消费者市场经历的统计样本，低投诉量不表示低伤害；人可能受害却不投诉，或不知道应把伤害归因于产品或服务[13]。
因此，该库可以计算投诉条件下的及时响应率、不同响应类型及处理时长，却不能单独提供：全部决定队列、未投诉错误、独立审计发现、错误是否被第三方确认、第一次有效动作来源或规则写回。用它计算ORR、ICR或总体错误率将越过可识别边界。它最重要的信息是一个否定性结果：真实且大规模的公开投诉数据仍不能把“没有投诉”编码为“没有错误”。
英国司法部2025/26年度统计显示，社会保障与儿童抚养案件中，进入听证并结案的案件有59%的原决定被改为有利于申请人；2026年1月至3月听证结案中，60%被推翻，平均结案案龄为35周[14]。统计公告同时披露SSCS未结案件数存在约五千件的潜在高估并仍在调查。上述数字表明进入上诉链条后存在大量决定改变，但其分母是已进入法庭处置或听证的案件，不是全部初始行政决定，更不是所有错误决定。
该统计可描述上诉条件下的推翻率、案件量、积压和时延，却缺少未上诉决定的独立核验、错误发现来源、举证负担及规则写回。它不能证明原系统总体错误率为60%，也不能判断推翻是制度主动恢复还是申请人长期追索的结果。
两套数据都记录异议进入后的处置，却没有独立错误普查。它们适合估计“显影后的响应”，不适合估计“错误总体中的恢复”。这个结论没有验证本文核心效应，却落实了一项最低可识别性检查：如果现成数据无法区分投诉选择与错误发生，就不能用更复杂回归补出缺失的研究对象。
下一步最小真实测试不是下载更多投诉行，而是在合作机构或低风险实验中建立一个事前决定队列，对概率样本执行盲态复核，并把审计发现与投诉发现配对。只有这种设计才能同时估计沉默错误与纠错来源。
第10.1节与10.4节已声明，模拟只能验证操纵和分析代码。在取得真实决定队列之前，本文用合成数据实现预测9.2的最小识别夹具，检查第8.2节所述的条件性不可识别是否被分析管线正确表达。
设计。 生成300对匹配决定队列，每个队列包含200个决定事件，生成时的错误率设为8%。每一对中的两个世界共享同一组错误事件、最终纠正判定、恢复时延、补偿与程序正义值；这些结果—摩擦变量逐对完全相同，最大绝对差为0。该夹具不操纵显影来源，只操纵已纠正错误的第一有效纠正来源：“独立主导”世界（IND）以80%的概率将有效动作赋给正式控制或独立审查，“申诉主导”世界（CPL）以20%的概率如此赋值。授权结果再由研究者预先写入的来源项 2.2×(ICR-ACR) 与少量噪声生成。换言之，来源效应是夹具的输入，不是夹具的发现。
管线读数。 ICR均值在IND与CPL世界分别为0.743和0.194，ACR均值分别为0.181和0.730；UCR逐对相同。生成的授权率分别为0.750和0.247。为防止同一匹配对跨入训练集与测试集，模型比较采用5折配对分组交叉验证。只使用最终纠正比例、时延、补偿与程序正义的M0得到AUC=0.490、log loss=0.698；加入ICR、ACR与UCR的M1得到AUC=0.794、log loss=0.546，后者较前者下降21.8%。只读取总体错误率的程序面对的是逐对完全相同的输入，因而无法区分两个构造世界。
证据边界。 这次检查只说明三件事：操纵没有泄漏到M0变量；分组交叉验证代码能恢复研究者已经注入的来源信号；当观测集不含来源时，汇总结果不能反推出来源。它不说明现实授权是否受来源影响，不说明效应大小为2.2，也不证明海克曼模型或其他选择模型原则上不能使用来源变量。真实检验仍需建立事前决定队列、独立错误判定与来源记录，并让来源效应面对零效应、程序正义和一般选择偏差等竞争解释。固定随机种子、脚本与生成数据作为随文材料提供。
第11.4节检查来源未被记录时的观测集边界。本节检查命题2的受限存在性：来源和当前恢复状态即使完整相同，不同写回转移是否仍可产生不同未来。夹具不从随机轨迹中事后搜索一个“差异不显著”的交点，而是在生成协议中直接冻结锚点相等，并在两个制度间复用完全相同的外生错误与随机抽样路径。
设计。 生成200个匹配重复，每个重复包含“冻结”与“写回”两个制度。锚点期两个制度的 ρ=(ICR,ACR,UCR) 均被固定为 (0.70,0.13,0.17)，逐重复最大绝对差为0。随后运行12个周期，每周期4000项决定，生成时错误率8%；60%的错误来自两制度共同覆盖的旧类别，40%来自同一批已独立复核但尚未进入正式检测的新类别。正式控制对已覆盖类别的发现概率为0.90，受影响者在正式控制未先发现时的发现概率为0.45。两个制度共享每项错误的类别、正式检测随机数和受影响者发现随机数；唯一差异是新类别在两期后进入正式检测，还是只完成个案纠正而不写回。
管线读数。 锚点 ρ 的逐重复最大绝对差为0，不使用“p值不显著”替代相等。以第2至第5期为预设窗口，写回制度相对冻结制度的新类别正式检测率差 W4 为0.9006，跨重复2.5%至97.5%区间为0.8757至0.9267。第1至第12期累计未纠正错误均值分别为968.5与274.8，匹配路径内平均减少693.7，跨重复2.5%至97.5%区间为642.0至751.1。
证据边界。 所有差异都是数据生成规则的输入。该夹具只验证三件事：命题2的存在性构造可实现；匹配外生路径与锚点精确相等检查能够运行；W_h 的代码路径能够恢复已注入的写回响应。它没有证明现实中 W4 接近0.9006，没有证明写回必然降低693.7件错误，也没有验证误报、组织阻力、类别争议或生态有效性。真实检验必须使用第10.2节的独立复核、随机或分阶段写回、伴随安全终点与跨领域留出。固定种子、脚本和逐周期数据作为随文材料提供。
本文命题必须在以下结果出现时收缩或死亡：
显影无反转：跨两个异质领域，概率审计与投诉样本的错误率、类型和群体分布持续等价，加入显影校正不改变任何排名或行动。
来源无增量：控制结果、摩擦和程序正义后，来源向量不再预测授权、退出或再次受损，M1相对M0没有可重复的留出增益。
类别迁移无效：新错误类别写入审计后，同类错误仍不能更早被正式控制发现，或者规则写回不降低再次依赖。
只剩统计修正：标准选择模型在不记录发现角色、认识贡献和规则写回时完整预测全部结果。此时论文应降级为缺失数据与测量误差应用。
被近邻完整吸收：可争议性、有效监督或关系性问责的既有变量无需增加显影门和来源向量便完整预测全部结果。此时本文只作为测量附录。
角色边界反例：当受影响者本就是有报酬、有工具、有保护的正式操作者时，较高ACR不产生额外负担、公平或授权风险。适用范围应缩至非自愿决定对象。
不利反转：主动审计持续带来更多误报、更大伤害或更差总体校准，而受影响者启动以更低总成本取得更好结果。此时独立纠正不能作为规范优越性的充分条件。
开集通道无价值：关闭异议入口不降低新类别发现、群体覆盖或长期错误控制。此时双通道规范主张死亡，只保留闭集测量方案。
不可判定性：关键领域无法建立可辩护的错误判定或决定母体，敏感性分析跨规范方向相反。此时不得输出统一恢复能力排名。
管线不可复现或识别前提被推翻：独立研究者使用相同脚本、环境和随机种子不能重现第11.4或11.5节的数据与读数，则撤回相应管线验证；若有人在不扩展观测集的条件下，从同分布的 Z 一致恢复未记录的来源差异，则删除命题1；若在允许不同转移机制的部署类中，仅凭同分布的 X_t 即可同时充分预测不同的前瞻负担，则重写或删除命题2。新增代理变量、规则状态或已知转移核属于扩展信息集，不是从原观测中恢复缺失对象。
写回门无独立价值或被近邻吸收：跨两个异质领域，预注册写回相对暂缓写回不能提高未来正式检测、降低 A_h 或未纠正负担；或现有状态化施为预测、持续学习与可争议性变量在不保留来源—复核—写回链条时给出相同的跨领域留出预测和授权建议。此时命题2的形式存在性仍可成立，但关系性剩余没有行动价值；第三道门删除，第3节退回两门表述，W_h 降为描述性附录。
写回响应被防护措施击穿：若第6.8节的挑战登记、独立复核、版本回执、并行更新控制和伴随安全终点无法执行，或执行后仍不能阻止 W_h 被旧类别改名、选择性纳入、定义收缩或额外资源投入抬高，则 W_h 不得进入采购或授权判据。若正的 W_h 被 C_h 所示误报或其他伤害抵消，同样取消其规范用途。
失败后的处置必须与原因对应：显影无反转则删除显影门；来源无增量则降级为程序摩擦研究；类别迁移无效则把共同校准改写为参与式命名而非制度学习；只剩统计修正则撤回独立理论地位；不可判定则保留多规范描述，不作总分结算；管线不可复现则收回相应代码验证；识别反例成立则重写或删除第8.2节命题；写回门无独立价值或被近邻吸收则退回两门表述；防护被击穿则 W_h 只作诊断不作判据。
第一，本文改变“错误”的研究地位。错误不是一个等待统计的天然集合，而是决定母体、传感器、判定规则与异议权共同显露的事件。承认这一点并不否认客观错误，而是要求说明从发生到被认定之间的路径。
第二，本文改变受影响者在人机系统中的位置。受影响者既可能承担被外包的检测劳动，也可能提供现有审计无法产生的认识贡献。把前者浪漫化为参与，会掩盖不公平；把后者删除为噪声，会冻结既有分类。成熟制度必须同时承认贡献与减少依赖。
第三，本文把意义共创变成可检验的制度变化。共同生成不由参与者是否“被倾听”证明，而由异议是否形成新类别、回溯旧决定、进入概率审计，并使后续同类错误不再主要依赖同一群体发现来证明。人的经验由此不只是丰富叙述，而是改变系统下一次能够看见什么。
第四，本文为动态授权提供更可靠的输入。高结案率可能来自低错误率、强独立恢复、高申诉能力或低异议可见度。只有把显影与归因分开，授权策略才不会奖励善于压低分母的系统。
第五，本文暴露一个不可消除的张力。系统若追求完全独立发现，可能关闭异议并失去新意义；系统若无限依赖异议，又会把风险和劳动留给受影响者。因此，可信AI不是一个不断减少人类参与的系统，而是一个能把人的新发现转化为正式能力、同时保留人继续改变分类权利的系统。
第六，本文把“共同校准”从态度变化推进为制度转移。要求新类别写回检测，并不意味着任何稳定 ICR 都是停止学习，也不意味着自然时间上的上升斜率就是能力；稳定可能来自成熟覆盖，上升也可能来自外部漂移或额外资源。真正需要识别的是：对同一项经复核的新错误知识，执行写回是否改变未来正式检测并减少再次依赖。承认这一点的代价是明确的：研究必须保存类别谱系、规则版本、干预时点和对照资料，比单期仪表盘更昂贵、更慢。这不是优点，而是把“下一次会看见什么”纳入信任判断所需支付的识别成本。
解释可以让错误变得可见，信任修复可以让关系继续，安全工程可以让服务恢复；但这些成功都可能建立在一个被选择过程塑造的错误样本上。一次纠正以前有一道显影门：错误如何进入记录。一次纠正以后有一道归因门：谁使修复发生，成本由谁承担。而在下一次纠正以前，还有一道写回门：这一次获得的错误意义，是否改变了系统下一次能够看见的范围。
三道门的关系不是并列的清单。前两道门修正同一期读数的分母与分子；第三道门区分当前恢复状态与收到新错误知识后的制度转移。在允许不同转移机制的部署类中，两个系统可以拥有相同当前状态，却在同一项标准化写回挑战后走向不同未来。于是，单期读数不能独自承担前瞻授权；但若转移机制已知且稳定，或领域没有合格的新类别挑战，第三道门应退化而不是强行成立。
因此，成熟信任的最低证据不只是“错了以后能改”，而是能够回答六个问题：决定母体是什么，未被投诉的错误如何估计，谁首先使错误可见，谁推动有效纠正，新异议是否改变下一次审计，以及这种改变在多次异议之后是否累积为系统自身的检测能力。只有当这些路径被保留，恢复率才不再是一张把人的警觉擦去的成绩单。
本文最重要的判断，不是给“已知错误”补一个定义，而是撤销它作为天然分母的资格。对已知类型，制度应通过概率审计减少对自救的依赖；对未知伤害，制度必须保留异议改变错误意义的入口。可信AI由此不是独自正确、独自解释或独自恢复的主体，而是一种能把共同发现转化为共同校准、又不吞没贡献来源的关系安排。
[1] Lee, J. D., & See, K. A. (2004). Trust in Automation: Designing for Appropriate Reliance. Human Factors, 46(1), 50–80. https://doi.org/10.1518/hfes.46.1.50_30392
[2] Kaur, H., Nori, H., Jenkins, S., Caruana, R., Wallach, H., & Wortman Vaughan, J. (2020). Interpreting Interpretability: Understanding Data Scientists’ Use of Interpretability Tools for Machine Learning. CHI 2020. https://doi.org/10.1145/3313831.3376219
[3] Buçinca, Z., Malaya, M. B., & Gajos, K. Z. (2021). To Trust or to Think: Cognitive Forcing Functions Can Reduce Overreliance on AI in AI-assisted Decision-making. Proceedings of the ACM on Human-Computer Interaction, 5(CSCW1). https://doi.org/10.1145/3449287
[4] Mayer, R. C., Davis, J. H., & Schoorman, F. D. (1995). An Integrative Model of Organizational Trust. Academy of Management Review, 20(3), 709–734. https://doi.org/10.5465/amr.1995.9508080335
[5] Pareek, S., et al. (2024). Trust Development and Repair in AI-Assisted Decision-Making during Complementary Expertise. FAccT 2024. https://doi.org/10.1145/3630106.3658924
[6] National Institute of Standards and Technology. (2023). Artificial Intelligence Risk Management Framework (AI RMF 1.0). NIST AI 100-1. https://doi.org/10.6028/NIST.AI.100-1
[7] Sterz, S., Baum, K., Biewer, S., Hermanns, H., Lauber-Rönsberg, A., Meinel, P., & Langer, M. (2024). On the Quest for Effectiveness in Human Oversight: Interdisciplinary Perspectives. FAccT 2024. https://doi.org/10.1145/3630106.3659051
[8] Lyons, H., Velloso, E., & Miller, T. (2021). Conceptualising Contestability: Perspectives on Contesting Algorithmic Decisions. Proceedings of the ACM on Human-Computer Interaction, 5(CSCW1). https://doi.org/10.1145/3449180
[9] Karusala, N., et al. (2024). Understanding Contestability on the Margins: Implications for the Design of Algorithmic Decision-making in Public Services. CHI 2024. https://doi.org/10.1145/3613904.3641898
[10] Metcalf, J., Moss, E., Watkins, E. A., Singh, R., & Elish, M. C. (2022). A Relationship and Not a Thing: A Relational Approach to Algorithmic Accountability and Assessment Documentation. Proceedings of the 2022 ACM Conference on Fairness, Accountability, and Transparency, 864–876. https://doi.org/10.1145/3531146.3533150
[11] Scerri, P., Pynadath, D. V., & Tambe, M. (2002). Towards Adjustable Autonomy for the Real World. Journal of Artificial Intelligence Research, 17, 171–228. https://doi.org/10.1613/jair.1037
[12] Tomašev, N., Franklin, M., & Osindero, S. (2026). Intelligent AI Delegation. arXiv:2602.11865. https://doi.org/10.48550/arXiv.2602.11865
[13] Consumer Financial Protection Bureau. (2026). Consumer Complaint Database; How We Share Complaint Data. https://www.consumerfinance.gov/data-research/consumer-complaints/ ; https://www.consumerfinance.gov/complaint/data-use/ (accessed 2026-08-13)
[14] Ministry of Justice. (2026). Tribunal Statistics Quarterly: January to March 2026. https://www.gov.uk/government/statistics/tribunals-statistics-quarterly-january-to-march-2026/tribunal-statistics-quarterly-january-to-march-2026 (accessed 2026-08-13)
[15] Heckman, J. J. (1979). Sample Selection Bias as a Specification Error. Econometrica, 47(1), 153–161. https://doi.org/10.2307/1912352
[16] Manski, C. F. (2003). Partial Identification of Probability Distributions. New York: Springer. https://doi.org/10.1007/b97478
[17] Perdomo, J. C., Zrnic, T., Mendler-Dünner, C., & Hardt, M. (2020). Performative Prediction. Proceedings of the 37th International Conference on Machine Learning, PMLR 119, 7599–7609. https://proceedings.mlr.press/v119/perdomo20a.html
[18] Brown, G., Hod, S., & Kalemaj, I. (2022). Performative Prediction in a Stateful World. Proceedings of the 25th International Conference on Artificial Intelligence and Statistics, PMLR 151, 6045–6061. https://proceedings.mlr.press/v151/brown22a.html
[19] Alfrink, K., Keller, I., Doorn, N., & Kortuem, G. (2023). Contestable Camera Cars: A Speculative Design Exploration of Public AI That Is Open and Responsive to Dispute. Proceedings of the 2023 CHI Conference on Human Factors in Computing Systems, Article 8. https://doi.org/10.1145/3544548.3580984
数据与代码可用性
第11.4节的合成数据生成脚本与数据随文提供，随机种子固定为20260813。第11.5节的写回门夹具与逐周期数据一并提供，随机种子固定为20260814；脚本不使用进程随机化的字符串哈希，重复运行生成相同文件哈希。两份夹具均只复现构造性结论与分析管线，不包含CFPB、英国司法部或任何真实个体与部署系统的微数据。第11.5节的0.9006与693.7等数值完全由预设错误率、类别构成、发现概率和写回规则产生；更换设定会得到不同数值，不能把它们解释为现实效应量。
本节由本站编辑增补，不属作者原稿，不计入本页盲评分数。全球公开文献敌意检索发现三族与本文三道门高度同构、而正文与二十四条参考文献均未触及的正主。列出它们不是为了削弱本文，而是因为本文的不可还原性只能在与它们分开之后才成立。
本文最强的近邻不在人工智能文献里，而在药品安全监测里。药物警戒的标准链条是：自发报告（患者与医务人员上报）→ 信号检测（对报告库作不成比例分析）→ 信号验证与评估 → 写入常规监测、说明书变更或风险管理计划。欧洲药品管理局把最后这一段直接定义为「信号管理」，即从信号检测到行动建议的全套活动。这条链与本文的显影门、归因门、写回门逐段对应，而且它已经有分母问题的成熟自觉：自发报告系统的欠报、缺少对照、暴露量不可测，是这一领域的教科书前提。
更贴身的是本文第一节那个 A/B 思想实验——只看已投诉事件会把主动审计的系统判得更差。药物警戒里有它的真实数据版：在同一批抗肿瘤药物上，主动监测检出 160 例不良反应而自发报告只检出 50 例，且平均早 6.5 天。本文的推演在另一个领域已被实测。
分离线在分析单位与分母的可构造性。信号管理的单位是「药—事件对」，分母是暴露人群，而暴露量通常只能估计；本文的单位是「一个可能产生可归责后果的决定事件」，并要求分母来自研究开始前冻结的决定队列与已知抽样概率。这一差别不是措辞：药物警戒可以在没有可靠分母的情况下运行整套信号检测（不成比例分析本就是为了绕开分母），本文第 6.5 节则明确规定「无法建立决定母体时不得计算闭集恢复率」。两者对同一份记录会给出不同判决——这正是可以把它们分开的观察。
但本文欠药物警戒一笔。信号管理里已有「报告者类型」字段（医务人员／患者／上市许可持有人），这与本文 5.3 节的 discovery_source 是同一件事的较早版本；本文真正新增的是把它与 effective_action_source 拆成两个不可合并的字段，并要求二者各自成向量。补切之后，本文的贡献应被重述为：把一个在药品领域已经制度化、却从未被移植到算法决策领域的三段结构，改写成一个分母可冻结、来源可分解、写回可反事实识别的报告协议。
本文 5.5 节把受影响者纠错负担拆成发现耗时、提交步骤、重复提交、证据成本、金钱支出、机会损失、心理压力与报复风险。公共行政领域早已有一个覆盖其中大半的框架：行政负担被界定为公民与国家互动中承受的学习成本、合规成本与心理成本三类，且该文献的核心政治判断是——负担不是行政疏漏的副产品，而是一种可以被有意配置的政策工具。
分离线在负担的功能位置。行政负担研究问的是负担如何影响「取用」——谁因此不申请、不续期、不使用；本文问的是负担如何影响「计数」——谁因此不出现在错误分母里，从而让系统的恢复率虚高。前者的因变量是受益人覆盖，后者的因变量是测量效度。这一分离给出一条判决性观察：一项把申诉门槛降到极低但不建立独立普查的改革，按行政负担框架应判为改善，按本文应判为「显影门仍未通过」——因为已知错误的发现仍然全靠受影响者首先行动。
本文 4.2 节说，受影响者「不是低质量传感器，而是错误本体的共同命名者」。这句话的正主是诠释性不正义：当集体的解释资源里没有某种经验的名字，承受者就无法把自己的遭遇说成一件可被受理的事——该理论的经典例证正是「性骚扰」这个词被造出来之前的处境。这一框架已经被用在事故调查上，用来解释为什么多方视角的学习在制度上很难真正发生；也已经被用在算法环境里，指出算法造成的认知碎片化会阻碍新伤害被识别与概念化。
分离线在补救的形态。诠释性不正义的补救是解释资源的扩充——概念、词汇、可讲述的叙事；本文的补救是检测规则的变更，且要求可重放的规则版本、测试样例与生效时间为证，明说内部备忘录或口头承认不算写回。也就是说：一个组织完全可以在诠释层面接受了新概念（承认这是一类伤害、在文件里使用这个词），而写回门仍然不通过（该类别没有进入自动检测、概率审计或权限控制）。这一格恰恰是本文最有价值的一格，而它只有在与诠释性不正义分开之后才看得见。
三族拿走之后，本文仍然独有的是三件：其一，把显影、归因、写回压成三道不可互替的门，并给出各自不通过时研究者具体不能说什么；其二，第 5.7 节把写回响应写成反事实量 Wh，并规定最小报告单元是 (Wh, Lh, Rh, Ch, Ah) 五元组而非一个可被单独最大化的分数；其三，第 8.2.1 节那条受限的转移不可识别命题——只有当前状态而没有转移机制时，前瞻恢复能力在允许不同写回规则的部署类中不可普遍识别。第三件是本文真正的形式贡献，也是三族里没有任何一家做过的。
本节由本站编辑增补，不属作者原稿，不计入本页盲评分数。作者站上已有二十余篇，本篇正文对其中任何一篇均无引述；下列第一、第二条是正面自撞，必须先处理。
那篇的结论是：一个系统可以拥有清晰的角色表、完整的批准链和可追踪的日志，同时没有任何人对决定结果的关键主张负责。本篇的结论是：一个系统可以拥有很高的结案率与恢复率，同时没有任何独立通道知道错误总共有多少。两篇都在拆「记录看起来完整」这件事，词面也近。
分离线在被拆开的那一对。那篇拆的是签名与承担——名字在场、责任缺席；本篇拆的是记录与总体——事件在册、分母缺席。因此两篇在同一份日志上可以一真一假：一个组织可以责任归属极清晰（每条决定都有具名负责人、每次纠正都可追到人），而显影门完全不通过（所有错误仍只能靠受影响者投诉进入记录）；反过来，一个组织也可以有很好的概率审计与独立普查，而纠正后的主张仍然无人承担。两篇合起来才给出一句各自单独给不出的话：可追责性与可测量性是两条独立的失败线，修好任何一条都不会自动修好另一条。
那篇讲人工监督如何同时生产控制证据与控制失效——审查越多，可展示的合规材料越厚，实际可改动的空间越窄。本篇第三道门问的正是相反方向的同一件事：一项已确认的新错误类别，能否真的改变下一轮检测规则。
分离线在被卡住的环节。那篇卡在执行侧（改动的通道被审查程序自身堵死），本篇卡在认识侧（新类别根本没有进入检测规则，因此下一次仍需同一群人重新发现）。判决性观察是：在一个审查极轻、改动通道畅通的组织里，那篇预测控制失效不发生，本篇预测写回门仍可能不通过——因为通道通畅不等于有人把这条新知识写进去。两篇构成一条完整的失效谱：改不动与不知道要改什么。
那篇的模型是「修订请求—制度承接—路径变化—深层学习」，与本篇写回门的形状同构：一方提出异议，制度是否接住并改变后续路径。分离线在可反事实操作性：那篇的对象是课堂的具体走向，改道与否在现场即可观察；本篇要求的是同一项已确认新类别在「执行写回」与「不执行写回」两种反事实下的后续正式检测覆盖之差，并明说无法建立可信对照时只能报告相关轨迹、不得称为写回能力。前者可以做过程追踪，后者非随机化、分阶段推广或满足平行趋势的匹配事件研究不能成立。
那篇的核心是选项承接：人的能动性不在于每次都改变结果，而在于其差异能否迫使系统重新比较。本篇第 5.3 节的两个字段与之相邻但不同层：那篇问的是一个在场的选项是否被接住，本篇问的是一个错误是否有机会成为可计数事件，以及成为之后由谁首先执行了足以改变结果的正式动作。前者的单位是提案，后者的单位是决定事件与其错误判定。
本站在不改动作者判断、论证结构、任何数字与形式表达的前提下，作了以下技术性处理与核对：
一、外部数据已逐条复核。正文引用的英国司法部《法庭统计季报（2026 年 1 月至 3 月）》三个数字，本站已对照该公报原文核对，全部相符：2025/26 年度 101,000 件结案中 63% 经听证、其中 59% 原决定被改为有利于申请人；2026 年 1 至 3 月经听证结案中 60% 被推翻；该季度平均结案案龄 35 周。美国消费者金融保护局投诉库入口亦为公开可访问。
二、形式记号原样保留。恒等分解 NE = NF + NR + NA + NM + NX + NU、恢复率恒等式、纠错来源向量 ρ、显影来源向量 η 与写回响应 Wh 的定义式，按原稿逐字保留，仅作独立排版；下标写法沿用原稿。
三、研究状态声明为编辑归纳。原稿未设独立的研究状态声明段，但第 6 节与第 8 节多处自设边界（两个夹具「验证了存在性与分析管线，却不构成现实效应证据」；审计结果「不是选择模型的普遍无能，更不是现实来源效应的证据」）。本页把这些散落的自我限定归纳前置，文字为编辑所拟，判断全部取自原稿。
四、未作任何内容改动。方法论术语泄漏扫描为零；无审稿人残留；无以本文旧稿充当近邻的情况；全文无一处百分比或统计量出自虚构。附论一指出的三族缺口未在正文中补入，仅在此指明。
五、定位提示。本文属测量协议与研究设计论文，两个构造夹具是合成数据，三道门尚未在任何真实部署上完整运行过。请读者按此定位阅读：本页给出的是一套可以让「高恢复率」变成可反驳陈述的报告协议，不是一项经验发现。