审计目标：验证人的输入能否进入决定，不统计按钮数量
本流程适用于AI辅助医疗、招聘、采购、风控、教育、调度、公共服务与企业审批。它检验获得授权的参与者提出的新候选、关键证据或评价标准，是否进入正式路径，或获得完整、可复核的排除理由。
交付物包括决策边界、五环路径图、授权参与者清单、选项事件记录、同标准比较矩阵、排除理由回执、来源与通道交换测试、五项核心指标、阻断责任图和分阶段上线计划。
工具不保证人工方案获胜，不要求无限候选，也不替代专业、安全和法律边界。它只拒绝用“最后由人确认”替代对上游控制结构的证明。
第一步：界定一个可观察的决定
选择一类有明确起点、候选、比较和执行结果的决定，例如一次治疗建议、岗位筛选、设备采购或路线调度。记录决定ID、风险等级、时间窗、系统版本和最终生效条件。
范围不能写成“所有AI决策”。一个长流程可按关键关口拆成多个决定并保留父子关系，避免上游候选生成与下游审批混在一起。
说明哪些结果只是建议，哪些会自动执行，哪些需要外部资源。没有执行边界，就无法判断人的输入是否真正改变现实。
第二步：记录公开目标与隐藏约束
列出业务目标、专业目标、价值目标、硬约束和优化优先级。成本、速度、安全、公平、用户偏好等不能只写“综合考虑”，要给出可观察的排序或冲突处理规则。
访谈设计者和一线参与者，比较文档目标与系统实际优化量。模型若只用点击率代理“满意”，必须显式记录。
目标变化也建立版本。审计结果出来后不能临时改称系统一直优化另一个目标。
第三步：识别授权参与者
为患者、医生、审核员、申请人、现场人员、管理者和系统代理分别写出可提出候选、补充证据、修改标准、否决、暂停和申诉的权限。
授权不是所有人都能提交任何内容。资格可来自岗位、当事人身份、专业证照或正式委托，范围和有效期必须可查。
同时记录实际能力：是否看得到入口、是否有时间、是否理解后果、是否免受报复。纸面权利没有可用通道，按不可用处理。
第四步：绘制五环路径
将流程画成目标设定、候选生成、准入、同标准比较和执行五环。每环记录输入、输出、规则、负责人、自动化组件、人工动作和日志位置。
分支与回路必须保留，例如比较后要求补证、执行失败返回候选池。不要为了图漂亮删掉实际例外。
每个环节标出“人可改变什么”。若只能查看不能影响，写观察权，不写控制权。
第五步：定义可承接的三类输入
第一类是新候选，例如新路线、新供应商或替代治疗；第二类是关键证据，例如过敏史、现场故障或更新履历；第三类是评价标准，例如把可修复性加入成本比较。
为每类规定最小必要字段、允许格式、敏感数据边界和提交截止。字段只收集判断所需内容，不以格式复杂度筛掉非技术参与者。
自由文本经结构化时保留原文、转换版本和确认机会，防止系统把“不要夜间驾驶”摘要成“偏好更慢路线”。
第六步：建立稳定选项身份
每次提交生成不可重复的选项ID，关联内容语义指纹、来源角色、入口、时间、证据版本和父决定。相同内容从不同通道进入仍可配对比较。
语义指纹用于追踪，不替代内容判断。修订产生新版本并链接旧版，不能覆盖原记录。
敏感来源在分析层可匿名化，但受控审计者应能验证授权，避免匿名处理毁掉责任链。
第七步：定义承接状态机
状态至少包括已接收、待澄清、已准入、比较中、已排除、已选择、执行中、已执行、执行失败和已撤回。每次转换记录规则、角色、时间与证据。
“已接收”不能直接跳成“已处理”。排除必须进入理由流程，执行失败不得倒写为从未选择。
超时状态有升级条件。系统不能在截止日把待澄清自动改为申请人放弃，除非事先告知且提供合理响应期。
第八步：建立同标准比较矩阵
矩阵行是正式候选，列是目标、证据、阈值、不确定性、成本、安全和资源。共同维度用同一口径，特有风险另列并解释为何需要。
人工与模型候选的证据时效、缺失处理和不确定性惩罚要一致。不得让系统候选使用预测值，人工候选却必须提供已实现结果。
比较者在不知道来源的条件下先完成一轮盲评；再公开来源处理合法资质等信息。两轮差异用于诊断路径身份影响。
第九步：规定完整排除理由
每次排除至少包含适用规则、支撑证据、有权角色和复核路径。若只需补充材料，列出最小缺口与期限；若因安全禁止，指出风险与适用范围。
理由模板可帮助完整，却不能自动填充空话。自然语言须能映射回比较矩阵中的具体单元。
同一证据下理由发生变化时触发一致性检查。合理规则更新保留版本，不允许事后换理由维持原结论。
第十步：记录最小事件日志
日志包含决定ID、选项ID、环节、动作、前后状态、规则版本、证据引用、执行角色、时间和可复核理由。只记录“用户有交互”无法用于承接审计。
日志采用追加写入，修正另记事件；对高影响决定保存完整谱系，对低影响决定可抽样与缩短保留。
访问、加密、保留和用途在上线前规定。承接日志不得转作员工效率、用户服从度或营销画像。
第十一步：计算准入承接率
分母是授权参与者在时限内提交、满足最小字段的新候选；分子是进入正式候选池或获得完整合法排除理由者。按角色、通道、风险和候选类型分层。
单纯收到文本不计入分子，采用也不是必要条件。排除理由缺任何必需项时记未闭合。
报告置信区间和样本量，不用一个总百分比掩盖患者、基层员工或无障碍通道的系统性差异。
第十二步：计算同标准比较率
在已准入候选中，统计完成共同核心维度、同版本阈值和一致缺失处理的比例。必要特有审查另报，不把合理差异误算违规。
随机抽取人工与模型候选，由盲评者核对证据门槛。无法还原比较过程的候选按不可验证，不按完成。
高准入、低同标准比较说明系统允许入场却不给同样比赛规则，是常见的参与表演。
第十三步：计算排除理由闭合率
统计排除事件中规则、证据、责任角色和复核路径四项全部可验证的比例，并记录提出者是否能据此修正、补证或申诉。
用独立编码者判断理由完整，不根据字数或模板字段填充率。抽样邀请参与者复述自己为何被排除，检验可理解性。
理由闭合高但申诉无法改变错误决定时，继续检查复核路径是否只是形式。
第十四步：测量结果敏感度
对已承接输入进行预注册干预：加入、移除或替换该候选、证据或标准，保持其他变量不变，观察排序、选择、资源配置或执行是否变化。
敏感不要求每次改变最终赢家。它可以改变分数、风险标记、补证要求或备选顺序，但变化应达到预定最小重要差异。
若输入永远无影响，检查它是否确实较弱、比较器饱和，还是路径在记录后断开。结合理由与对照才能结论。
第十五步：计算阻断可定位率
对每个未产生预期路径效力的输入，审计者应能在五环中定位首个阻断点，并找到规则版本、负责角色与可执行修复。能说“系统综合判断”不算定位。
多人独立定位后计算一致性，分歧进入路径图修订。对跨系统调用保留请求ID，避免责任消失在接口。
该指标直接连接工程行动：目标层改治理，生成层扩展候选器，准入层改规则，比较层改尺度，执行层补资源。
第十六步：运行来源交换测试
构造内容、证据与时间完全一致的配对输入，只改变来源标签：模型、专家、一线人员、用户或申请人。比较准入、要求、评分、理由和选择。
测试在低风险沙箱进行，预先定义允许差异，例如专业资质确实影响某项证据权重。除此之外的稳定差异进入路径身份审查。
配对样本跨多个主题与版本，避免一个特例被夸大为普遍偏见。
第十七步：运行通道交换测试
固定内容与来源，分别通过结构化字段、自由文本、会议记录、客服、申诉和API提交。检查是否得到相同语义解析和状态命运。
无障碍输入、不同语言和移动端单独覆盖。通道需要不同格式时，系统提供等价转换而非降低准入资格。
若某入口仅用于“收集反馈”而不进入决定，界面必须明确，不得称为参与决策通道。
第十八步：构造二维承接诊断
以承接状态为横轴、结果敏感度为纵轴，将事件分为未承接不敏感、已承接敏感、已承接不敏感和记录不明但敏感四类。
第一类优先修入口或准入；第二类作为有效路径对照；第三类检查比较质量与输入强度；第四类修日志和隐形人工操作。
按风险和角色展示分布，不用采用率替代。合理落败应保留为已承接不敏感的可解释案例。
第十九步：分配四类责任
选择责任归于从有效候选中作出决定的角色；排除责任归于应用准入规则的节点；架构责任归于设计输入、比较和日志能力的组织；监督责任归于有义务发现系统性堵塞者。
每次归因同时检查职责、改变能力、当时知识和反事实贡献。没有权限的一线点击者不承担全部架构责任，有暂停权却忽略关键证据者也不能免责。
责任图用于修复和公正调查，不自动生成处罚。法律责任仍由适用规则认定。
第二十步：防止理由剧场
红队提交边界样本、等价改写和重复候选，检查理由是否稳定、是否引用真实规则、补证后能否重新进入。随机抽取回执由第三方重放。
若理由字段完成率上升而错误排除、复核成功和参与者理解不改善，删除无效模板并修实际决策接口。
禁止用生成式模型事后编造理由。模型可帮助表达，但事实依据必须来自当时的比较记录。
第二十一步：保护异议者与敏感信息
明确反报复、匿名或保密提交、最小访问和申诉机制。不同意见不能自动进入绩效画像、风险评分或未来候选降权。
医疗、举报和安全信息采用分级权限；分析报告聚合，不展示可反推个体的稀有组合。
匿名输入无法确认某些资质时，可以限制相应用途，但不能因此丢弃可验证的事实证据。
第二十二步：在低风险沙箱做因果试验
选择不会影响真实资格与安全的历史案例或模拟任务，正交操纵是否允许新选项、是否同标准比较和是否提供完整理由。测量错误发现、决策质量、时间、校准和信任。
预注册主要结局、最小重要差异和停止规则。参与者不因提出异议受绩效影响。
若承接只增加时间而不改善任何主要结果，分析任务是否本就不需要开放候选，并准备缩小理论范围。
第二十三步：开展受控现场试点
先在一种中等风险决定、一个团队和有限用户群上线，与现有流程随机或分期比较。保留紧急人工接管和回退机制。
同时测量五项核心指标、错误、时延、工作负担、申诉、公平性和实际结果。只看意见数量会鼓励无效收集。
每周复盘阻断样本，工程、领域、一线与用户代表共同确认修复，不让数据团队单方面定义“已承接”。
第二十四步：设置安全与专业边界
预先登记不可突破的法规、安全、资源和专业资格规则，并为每条规则指定证据、版本和复核角色。紧急任务可先执行，事后补全路径记录。
恶意、重复、无关或超时输入可合并或排除，但给出相应状态；不能以防滥用为由关闭所有人工新候选。
边界定期复核。一个临时资源限制不应永久固化成系统不能承接的架构事实。
第二十五步：设定理论死亡条件
若没有承接机制时人工输入仍以等效概率进入同标准比较并影响结果，删除独立承接层；若来源与通道交换无差异，撤回路径身份折扣；若阻断定位不能提高修复效率，降级路径图主张。
若完整理由不改善理解、纠错或申诉，保留必要通知并删除额外负担；若成熟参与式设计与专业复核无损解释结果，直接复用近邻框架。
死亡用预注册等效区间、多个领域与版本验证，不能靠一次无显著结果仓促决定。
第二十六步：建立上线门槛
高影响流程至少满足：所有五环有可观察节点，授权参与者能提交三类输入，排除理由四项齐全，人工与模型候选可以配对重放，首个阻断点可定位，日志用途受到限制。
任一高风险输入在接收后静默消失，视为发布阻断；同标准比较率和理由闭合率未达预设门槛时，只能有限试点。
上线批准者查看原始失败样本，不只看平均指标。少数严重堵塞不能被大量低风险成功稀释。
第二十七步：三十、九十与一百八十天实施
三十天选定决策、画五环、列授权参与者并上线稳定选项ID；九十天完成状态机、比较矩阵、四项排除理由和五个核心指标；一百八十天完成来源与通道交换、低风险因果试验、现场试点和独立复核。
每阶段都可产生价值：先知道意见死在哪里，再证明比较是否公平，最后判断承接是否改善真实结果。不要等到大平台改造完才第一次看失败样本。
验收不是“人永远说了算”，而是人的相关输入有一条可追踪命运：进入、比较、排除、申诉与执行都有证据，责任落在能改变相应节点的角色。
第二十八步：发布一份可读的决定回执
回执向参与者展示他的输入如何被理解、当前状态、所用标准、关键证据、排除或选择理由、负责角色和复核入口。技术日志另供受控审计，不把复杂性转嫁给普通人。
若结果尚未决定，明确下一步与时间；若执行失败，说明资源或外部条件，不假装原选择从未发生。回执版本与决定ID永久可链接。
最终系统不再用一句“您拥有最终确认权”证明共同决策。它能够回答更难也更真实的问题：人的候选在哪一环进入，是否按同样尺度比较，哪条规则挡住了它，谁有能力修复，以及如果这项输入不存在，结果究竟会不会不同。