對抗性完整

前言｜邊界必須經得起失陷

寫完《執行控制工程》以後，還有一個問題沒有結束。

如果現實執行不能只依賴意圖、授權、審批和策略，那麼系統就需要在動作真正發生以前建立能夠約束現實的執行邊界。但再往前一步，問題會變得更難：

如果承擔判斷、約束和執行職責的主體、組件與控制面，本身也會出錯、失陷或者不再值得信任呢？

《對抗性完整》就是從這裡開始的。

這個問題最容易得到的回答，是繼續增加更多層。一個組件不可靠，就再加一個組件；一個主體可能犯錯，就增加更多參與者；一道邊界可能失效，就再增加一道邊界。

這些方法當然可能有價值，但層數增加並不自動意味著失陷邊界增加。多個控制點可以共享同一個控制根，多套策略可以來自同一個修改來源，多把鑰匙也可能依賴同一條恢復路徑。甚至一份完整、可驗證、從未被篡改的證據，也可能已經無法支持它此刻被用來證明的那個事實。

所以，這本書真正追問的不是：

怎樣讓系統什麼都不信？

而是：

當一部分原本被依賴的東西已經不能繼續被依賴時，什麼仍然必須成立？

這就是本書所說的 Adversarial Completeness｜對抗性完整。

這裡的 Adversarial 並不意味著必須先出現一個攻擊者。失陷首先是一種狀態。一個主體可以因為惡意而失陷，也可以因為錯誤、狀態變化、共享依賴或者恢復過程而失去原來的可靠性。可錯不等於惡意，失陷也不等於攻擊歸因已經完成。

因此，本書關注的是一些更具體的關係：為什麼一處失陷可以讓多個控制同時失效；為什麼約束明明存在，這一次真正查到的卻不是該查的那一組；為什麼同一個結果還可能從另一條路到達現實；為什麼規則本身也可能成為被改寫的對象；為什麼每一項能力單獨都不夠，組合起來卻可能已經足夠；為什麼上游成立的判斷不能自動繼承到下游；以及為什麼記錄全部存在，事實關係仍然可能已經斷裂。

這些結構最終被分別寫進了本書，但它們不是一份安全清單，也不是一套照著實施就能得到安全的架構。

現實案例在這項工作裡非常重要，但它們仍然只是壓力測試。Case ≠ Proof。一個案例可以迫使理論收窄，卻不能替理論完成證明。同樣，證據不足也不能被改寫成反面已經成立。

這本書因此繼續遵守三部曲一直堅持的原則：

證據支持到哪裡，結論就說到哪裡。

如果《執行縫隙》追問的是：

我們面對的究竟是什麼問題？

《執行控制工程》繼續追問：

在現實發生之前，我們怎樣真正控制它？

那麼《對抗性完整》最終追問的就是：

當參與控制的一切也可能失陷時，什麼仍然必須成立？

這本書從這裡開始。

王林 2026 年 9 月 · 成都

---

致謝

寫到《對抗性完整》，這套工作已經走到了三部曲的第三本。

首先要感謝吳夢婷、張勇和鄧江。作為這套工作的聯合作者，他們參與了從工程問題、案例材料到理論邊界逐步成形的全過程。到了第三本，我們討論得更多的不再是「這個想法是不是合理」，而是：它究竟憑什麼成立，能成立到哪裡，又有哪些話其實還沒有資格被寫成結論。

也感謝所有參與 HAVENLON 工程與研究工作的夥伴。

如果沒有真實工程，這本書很容易變成一套過於整齊的理論。真正的系統不會按照理論最方便的方式運行。架構圖上分開的兩個組件，可能共享同一條更新路徑；一條看起來存在的拒絕，如果不能真正約束執行器，就不能阻止現實動作；一份完整日誌如果已經不能支持當前事實，也不會因為保存得足夠完整就重新獲得真實性。

很多理論邊界，正是在這些協議設計、硬件實現、軟件調試、故障排查和工程取捨中逐漸被逼出來的。

同樣感謝參與資料整理、術語考古、案例核驗和研究工作的同事與合作者。

第三本書尤其依賴一種剋制。我們不僅要尋找支持材料，也要認真面對那些不支持我們的材料。有些案例形成強支持，有些只能部分支持，還有一些明確落在結構之外。後者並不是失敗，很多時候，真正讓一個概念變得清楚的，恰恰是它終於能夠明確說：

這件事不屬於我。

感謝那些留下事故調查、司法記錄、監管報告、工程復盤、論文和技術文檔的人與機構。真實世界留下的材料並不整齊，也正因為如此，它們不斷提醒我們：

Case ≠ Proof。

能夠解釋一個案例，不意味著理論已經被證明；沒有得到足夠支持，也不意味著一個問題已經被證偽。

我也感謝那些閱讀、討論、質疑或者引用過這套工作的朋友。一個體系越接近成形，越容易保護自己的完整感。而真正有價值的問題往往恰恰是：這裡真的證明了嗎？這個邊界是不是走得太遠了？如果它也失陷呢？

這些問題讓這本書最後留下來的東西，比最初設想的更少，也更清楚。

最後，我仍然要感謝我的家人，尤其是我的小朋友。

寫書、做研究和做工程，佔用了很多原本屬於生活的晚上和週末。孩子當然不會關心什麼是 Adversarial Completeness，也不會在意為什麼一張看起來很清楚的表最後決定不畫。

但那些與技術無關的日常一直提醒我：我們研究系統、執行、邊界和失陷，最後不是為了讓系統本身變得更復雜，而是因為現實裡的很多事情一旦發生，並不會像軟件狀態一樣輕易回滾。

所以，謝謝你，在我繼續做這些漫長、甚至有些難以解釋的事情時，一直在旁邊長大。

三本書寫到這裡，我越來越相信一件事：

真正重要的，不是讓理論看起來沒有漏洞，而是在我們不知道的時候，仍然願意承認不知道；在一件事情還不應該發生的時候，現實裡仍然存在一道能夠讓它停下來的邊界。

王林 2026 年 9 月 · 成都

---

第一章｜「被約束住了」，約束的是什麼

本章從一句看似明確的「這個動作被約束住了」開始，把它拆成四個可以分別指認的對象：該受保護結果所必需的約束集合、這一次實際被查詢或生效的集合、受保護的現實結果，以及能夠產生該結果的路徑。在拆開這四個對象之前，本章先建立兩條前提：任何能夠理解、判斷、授權、控制或執行動作的主體都不能被假定永遠正確；每一個局部環節各自在自身範圍內成立，也不能因此推出整體結果安全。由此，「約束是否真的生效」不再等同於規則存在、檢查發生或記錄可查，而必須具體追問：為了保護這個結果，哪些約束本來不可缺少，這一次實際上哪些約束真正進入並影響了判斷，最終結果又經由什麼路徑產生。本章不預設必需集合與實際集合一定相同或不同，也不把四個對象整理成檢查表或新的分類，而只是把原本含混的說法拆到能夠獨立檢驗的程度。對象被固定以後，下一層問題也隨之顯現：這些約束之所以被認為成立，究竟依賴系統對哪些主體、組件或事實來源作出的信任假設？

「這個動作被約束住了。」

這句話在設計評審、事故復盤或對外說明中都可能出現。它的語氣是陳述性的，像在報告一個已經查證過的事實，因此討論往往會順著它繼續向下，而不再追問：這裡所說的「被約束住了」，具體指的是什麼？

同一句話，在不同的人嘴裡可以指四件不同的事：

1、一個人指的是規則已經寫下來了——有一份文檔、一條策略、一項要求，明確說明這類動作必須滿足什麼。

2、另一個人指的是系統裡確實有一處會去查這條規則的地方，代碼在那兒，開關也開著。

3、第三個人指的是這一次具體的動作確實經過了那個地方，記錄可查。

4、第四個人指的是結果——現實裡沒有發生不該發生的事。

這四種意思彼此不衝突。當規則、檢查、實際生效和現實結果恰好重合時，把它們壓進一句話並不會造成明顯問題：寫下來的規則就是被查的規則，被查的規則就是這一次真正起作用的規則，而起作用的後果就是現實裡被保住的那一部分。日常語言允許這種壓縮，因為在對象重合時，沒有必要每次都把它們逐一展開。

問題出現在需要拿這句話當根據的時候。當有人要依據「被約束住了」判斷某個上線是否可以繼續、某次事故是否本可避免、某個系統在一部分組件已經不再可信時是否還站得住，這句話就必須能夠被驗證。而一句同時指著四個對象、又不說明指的是哪一個的陳述，是無法被驗證的——不是因為它一定是假的，而是因為它還沒有說到可以明確判斷真假的那一層。

這本書要問的問題正好落在這裡。它關心的不是一切正常時系統是否成立，而是當一部分主體、組件、鏈路或環境已經失效、被攻擊或不再可信時，關鍵的執行邊界是否還成立。這樣的追問對語言有一個額外要求：凡是想被檢驗的東西，必須先有確定的所指。當幾個對象不再能夠被默認重合時，原本被語言省略掉的差別就會重新出現，而它恰恰可能決定檢驗的結果。

因此，一個系統聲稱某件事成立，和這件事能夠被獨立檢驗，需要被分開看待。後者要求先把所指固定下來，否則同一句「成立」會隨著不同的理解指向不同對象。

本章因此先做這件事。一本要討論「部分失效之後什麼還成立」的書，如果連「成立」所指向的對象都沒有固定下來，後面的結論就可能隨著讀者各自的理解發生漂移。先把詞落到確定的對象上，再討論這些對象在失效條件下是否仍然成立。

這一章只做一件事：把「被約束住了」拆到能夠提問的程度。

前提一，沒有哪個主體可以被當作終點

在拆開它之前，有一條前提必須先擺出來，因為它決定了後面整件事的必要性。

能夠理解、判斷、授權、調用、控制或執行一個動作的主體——人、AI Agent、自動化程序、管理員、外部服務、策略引擎、運行時、設備——都無法被證明未來每一次判斷都一定正確。這句話說的不是任何一類主體的品質，而是一條工程屬性：這樣的證明不存在。可錯性是工程屬性，不是道德判斷。

必須立刻把它和幾句相鄰的話分開：可錯不等於惡意，不等於已經失陷，不等於不可信，也不等於無責任；它同樣不表示這個主體每次都會犯錯。可錯只表示一件事：無法證明它未來每一次都對。

這個區分決定了討論的起點放在哪裡。如果「需要設邊界」的前提是「有人可能在作惡」，那麼邊界的必要性就會被掛在一個關於動機的判斷上。一旦把可錯讀成惡意，關於邊界的討論也很容易變成對某個人或某個團隊的信任判斷。可錯性把這件事從動機層面移開：不需要先認定誰有問題，才有理由問「這個約束此刻是否真的成立」。

這條前提排除的是一種做法：找出一個足夠可靠的主體，把判斷交給它，然後不再追問。這種做法可以省去重複校驗，但一旦某個主體被當作永遠正確的最終來源，它的判斷就可能無邊界地直達現實執行。此後系統裡也就不再有位置能夠對這個判斷提出異議，因為提出異議所依賴的前提——它可能不對——已經在結構上被取消了。執行安全不能依賴「找到一個永遠正確的主體」。

這種結構不一定以明示的形式出現，也可能由一連串省略逐漸形成：某一處校驗被取消，因為上游已經查過；某一段輸入不再被核對，因為來源被視為可靠。每一次省略都可能有自己的理由，但如果這些省略最終使某個主體成為無法再被質疑的最終來源，它實際上已經被放到了終點的位置上。

這裡需要關心的也不是先判斷這個主體究竟對不對，而是它的判斷能否無邊界地獲得現實效力。一個判斷本身是否正確，與系統是否仍然保留對它繼續提出異議的位置，並不是同一個問題。前者屬於主體的判斷，後者屬於執行結構；一旦後一個位置消失，主體的可錯性雖然仍然存在，系統卻已經沒有地方對它作出反應。

這條前提自身還帶著一個沒有解決的問題。「所有主體都可錯」這句話的作用域到哪裡為止——哪些對象必須被算進來，這個集合在什麼條件下才算閉合——本書不給出答案。這個問題屬於形式理論層，本書把它保持為開放，並且此後每一次使用「主體可錯」，都是在這個尚未閉合的作用域內使用它。把這件事寫出來而不是繞過去，是因為它會影響後面每一處結論的適用範圍：一條在未閉合作用域內成立的判斷，不能被當作在任何範圍內都成立。

前提二、局部正確不保證整體結果

第二條前提比第一條更容易被接受，也更容易在具體工作中被忽略。

局部合法、局部正確，不等於整體結果安全。

這是一條已經被獨立確認過的穩定關係，不是一條新的正式命題，本書也不把它升格為新的命題。它說的是：每一段都可以在自己的範圍內成立，而這些局部成立本身，並不足以建立聚合之後的現實結果安全。

「局部」在這裡指任何一段能夠為自己出具合格結論的範圍——一次調用、一個組件、一個環節、一道校驗。這些結論各自都可以是真的，但它們的成立只覆蓋到自己的邊界為止。把它們相加，並不會自動得到一個覆蓋整體的結論，因為沒有任何一段僅憑自己的局部判斷，就能回答「合起來之後現實裡會發生什麼」。這個問題在結構上不屬於任何一個局部範圍。

它和上一條前提處理的不是同一件事。上一條說的是主體：沒有哪個主體可以被當作判斷的終點；這一條說的是範圍：沒有哪一段的正確可以代替整體的結果。兩者合在一起，才使「約束是否真的成立」成為一個必須被問出來的問題：既不能只靠某個主體的保證來回答，也不能只靠把各段的合格結論拼起來回答。

這兩條前提都在本章內建立，不要求讀者先接受別處的一套完整結構。接下來真正需要拆開的，是「被約束住了」這句話本身到底指向哪些對象。

四個可以被分別指認的對象

回到那句話。

「被約束住了」裡面，實際上已經含著四個對象。它們不是在這裡被造出來的；這一章只是把原來混在一句話裡的對象分別取出來，讓後面的討論能夠指向同一個東西。

這四個對象是：

1. 該受保護結果所必需的約束集合（Required Constraint Set）：為了讓某一個受保護的現實結果成立，必須滿足哪些約束。
2. 實際被查詢或生效的集合（Actually Consulted / Effective Set）：在這一次具體執行中，系統實際查詢了哪些約束，又有哪些約束實際發生了作用。
3. 受保護的現實結果（protected result）：現實中真正需要被保護的那部分狀態或結果。
4. 能夠產生該結果的路徑（result-producing path）：現實結果能夠經由哪一條執行通路產生。

先說清楚這四個名字的性質：它們是用來指稱的詞，不是結論。本章不會因為給出了這四個名字，就同時主張兩個集合通常相同或通常不同，也不主張某條路徑一般會經過什麼。命名在這裡只承擔一個作用：讓後面的判斷可以明確指向具體對象。

前兩項是一對集合，但描述的是兩個不同的問題。

該受保護結果所必需的約束集合回答的是：如果要保護這個具體結果，哪些約束是不能缺少的。這裡的「必需」始終相對於某一個受保護結果而言，不是絕對意義上的必需。脫離開「保護的是什麼」，單獨詢問某條約束是否必要，並沒有確定答案。

實際被查詢或生效的集合回答的是：這一次系統實際上查了什麼，什麼實際發生了作用。一條規則存在，不等於它被查詢；一處檢查被執行，也不等於它在這一次真正產生了約束效果。這一項描述的是實際發生的情況，而不是應該發生的情況。

因此，這兩個集合必須能夠被分別指認。只知道「應該有哪些約束」，無法說明這一次實際發生了什麼；只知道「這一次查了什麼」，也無法說明這些檢查是否已經覆蓋了保護這個結果所必需的約束。真正可以被追問的是兩者之間的關係。它們可能相同，也可能不同；本章在這裡不預設答案。即使存在差異，這個差異本身在本章也還不是某種已經被命名的結構，它只是一個可以被指出的位置。

後兩項同樣必須分開：一個是結果，一個是產生結果的路徑。

受保護的現實結果指的是現實中真正需要保持的狀態，例如設備沒有被啟動、款項沒有被划走、權限沒有被打開。能夠產生該結果的路徑，則是現實結果可能經由的執行通路。結果和路徑不能被當成同一個對象，因為知道結果是什麼，並不能反推出它究竟經過了哪條路徑；知道某一條路徑經過了哪些約束，也不能因此推出現實結果一定已經被保護，除非能夠確定這個結果只可能由這條路徑產生。

四項之間最終都指向同一個索引點：受保護的現實結果。什麼約束是必需的，要相對於它判斷；實際生效的約束是否足夠，也要相對於它判斷；一條路徑為什麼值得被追問，是因為它能夠產生這個結果。

因此，這四項不是四個彼此無關的名詞，而是一組圍繞同一個現實結果形成的關係：

什麼必須成立；這一次實際上什麼成立了；現實中要保護的究竟是什麼；這個現實結果又能夠經由什麼路徑產生。

四項，恰好四項。

它們也是本書從執行控制那一側取用的全部前提，不增不減。本書不取第五項，也不把其中任何一項繼續拆開，去建立它內部的構成理論：不討論必需約束集合如何生成、由誰決定，不討論什麼樣的記錄才足以作為依據，也不討論判斷如何在系統內部被組織成具體的執行結構。這些問題都存在，但不屬於這本書。

保持這條邊界很重要。四個對象中的任何一個都可以繼續向下展開，但如果在這裡繼續建立它們的內部結構，本書就會開始重新建造一套控制理論。這裡需要的是一個能夠被檢驗的對象，而不是由檢驗者重新定義那個對象。

本書因此只取用這四個對象，以及它們之間必要的關係。使用它們，並不意味著本書重新擁有或重新定義它們。對本書而言，它們只需要清楚到足以讓後面的一個問題成立：在部分主體、組件或鏈路已經不再可信時，我們究竟在檢查哪一個對象，又在比較哪兩個對象。

問題由此可以被提出

有了這四個對象，一個原本含混的問題現在可以被準確地問出來：

這一次，該受保護結果所必需的約束集合，和實際被查詢或生效的集合，是不是同一個集合？這個受保護的現實結果，又是經由哪條路徑產生的？

這兩問共同指向「約束是否真的生效」。此前這句話可以同時指向規則存在、檢查發生、約束實際起效和現實結果得到保護，因此很難判斷爭論雙方究竟在說什麼。現在四個對象被分別指認，問題也有了確定的落點。

這裡並不預設兩個集合一定相同，也不預設它們一定不同。兩者之間如果存在差異，本章也不把這個差異命名為另一種結構。此處只建立一個可以被檢驗的關係：對於某一個受保護結果，哪些約束是必需的，這一次實際有哪些約束進入並影響了判斷；以及最終的現實結果究竟經由什麼路徑產生。

答案當然取決於具體系統、具體時刻和具體動作。本章要建立的不是答案，而是回答所需要面對的對象。兩個人對「這個動作被約束住了」有不同判斷時，不必繼續圍繞這句話本身爭論，而可以進一步確認：說的是必需的約束集合，還是這一次實際生效的集合；說的是已經形成的現實結果，還是產生這個結果的路徑。分歧未必因此消失，但至少可以被定位。

提出問題和能夠回答問題也需要分開。要確認兩個集合在某一次執行中是否相同，需要知道當時實際發生了什麼，這在具體系統中可能並不容易；但要提出這個問題，只需要先承認它們是兩個不同的對象。系統暫時無法回答，並不妨礙這個缺口被明確指出；如果連問題都無法提出，缺口本身也很難被單獨看見。

更重要的是，回答這種關係式問題，並不要求先把四個對象各自的內部構成全部展開。

兩個集合是否相同，問的是集合之間的關係，不是集合內部每一項怎樣形成；一個結果經由哪條路徑產生，問的是結果與路徑之間的關係，也不是要求先解釋路徑內部每一步的完整語義。因此，驗證一個約束在部分失陷之後是否仍然成立，不要求先掌握這個約束的完整構成理論。

本書的進入門檻也到此確定。它不要求讀者先接受某一套具體控制方案，也不要求先掌握一種特定實現。只需要承認存在受保護的現實執行動作，並且接受本章已經建立的兩條前提：主體不能被假定永久正確，局部正確本身也不足以建立整體結果安全。

問題已經成立，邊界也隨之確定

到這裡，一句原本含混的「被約束住了」已經被拆成四個可以分別指認的對象，「約束是否真的生效」也因此成為一個能夠被準確提出的問題。但問題能夠被提出，並不意味著這一章已經給出了它的答案。

兩個集合在什麼情況下會出現差異，一個受保護的現實結果可能經由什麼樣的路徑產生，都還沒有在這裡展開。本書後面有七章會分別落到這四個對象所涉及的不同失效方式上，但這裡不把它們提前並列出來。它們之間沒有需要在本章建立的先後依賴或強弱次序，把它們預先排列成一張清單，反而容易讓不同性質的問題看起來像同一套分類。

四個對象各自憑什麼成立，本章同樣沒有繼續向下追問。一個約束為什麼被認為是必需的，一次查詢為什麼能夠被認為有效，背後都還存在進一步的判斷和假設。本章只把這些對象固定下來，並檢查它們之間的關係；至於系統為什麼相信某個主體、組件或事實來源有資格承擔這些判斷，是另一個獨立的問題。

因此，把這四個對象帶到任何一個具體系統裡，都不會自動得到結論。它們不是一份檢查表，也不會因為被逐項找到，就證明這個系統已經滿足了某種安全狀態。它們提供的只是一個明確的位置：當答案存在時，答案應該落在哪些對象及其關係上。

同樣，本章也沒有主張兩個集合通常相同或者通常不同。這裡沒有關於發生頻率的結論。能夠成立的只有更窄的一步：它們是兩個可以分別指認的對象，因此「它們在這一次是否相同」必須能夠被問出來，而不能被預先當作答案。

約束憑什麼成立

前面暫時沒有繼續追問的一層，現在可以顯出來了。

一個約束之所以能夠成立，總要依賴系統對某些主體、組件或事實來源作出一定假設：相信某個來源提供的信息可以被採用，相信某個狀態仍然有效，相信某個組件此刻沒有被替換或改變。第一章建立的四個對象，並不會脫離這些假設單獨存在。一個約束為什麼被認為是必需的，要依賴某種判斷；一次查詢為什麼能夠被認為有效，也要依賴對被查詢對象的某種認識。

但這些假設並不是理解本章四個對象的前提。第一章和下一章處理的是兩個可以分別進入的問題：這一章先固定「約束是否真的生效」究竟在比較什麼，下一章再追問這些對象為什麼能夠被系統接受。書中的先後順序只是敘述安排，並不意味著必須先解決其中一個，另一個才能成立。

把這兩個問題分開之後，第一章的邊界也就清楚了。到這裡，我們已經能夠指出一個約束判斷涉及哪些對象，卻還沒有回答這些對象憑什麼值得被相信。後一個問題將把討論從對象之間的關係，帶到它們背後的信任假設：

這些約束的成立，依賴系統對哪些主體、組件或來源的什麼假設？

本章術語

• 不完美主體 ｜ Fallible Subject
• 可錯 ｜ Fallibility
• 該受保護結果所必需的約束集合 ｜ Required Constraint Set
• 實際被查詢或生效的集合 ｜ Actually Consulted / Effective Set
• 受保護的現實結果 ｜ Protected Result
• 能夠產生該結果的路徑 ｜ Result-Producing Path

本章案例與資料來源

本章未使用現實案例。

正文中「設備沒有被啟動」「款項沒有被划走」「權限沒有被打開」等內容，均屬於用於說明“受保護的現實結果”的假設性工程情形，不對應具體公司、產品、事故或公開事件，也不承擔本章理論判斷的證明作用。

資料來源

本章沒有需要單獨展開的現實事件資料。涉及真實事件、外部報告、論文或標準的資料，統一列入本書附錄及全書《參考文獻與資料來源》。

---

第二章｜信任是一個有範圍的假設

本章把「信任」從一種對主體、組件或來源的整體評價，重新限定為特定執行判斷中的有限假設：系統允許某個對象在某一類判斷中承擔特定作用，但這種允許既不是正確性的證明，也不是善意、永久可靠或絕對安全的保證。為了讓這種假設具有工程含義，信任必須能夠回答四個問題：信任誰或什麼、在哪一類判斷中成立、具體承擔什麼作用，以及在什麼條件下不再成立。由此，信任的失敗也被拆成兩類：一類是原本有限的信任被擴大，表現為範圍擴大、時間擴大或傳播擴大；另一類是系統雖然知道信任存在失陷邊界，卻沒有讓這個邊界真正進入控制結構，使失效發生時執行判斷仍然不變。本章同時保留幾條開放邊界：信任根沒有被形式化，不同意義上的獨立也沒有統一判據，「主體不應被假定永久正確」的作用域同樣尚未閉合。因此，本章建立的不是一套測量信任的方法，而是一條更基本的邊界：信任必須被限定，不能因為一個對象在某處被接受，就自動延伸成對整個執行鏈的信任。下一章因此繼續追問：多層結構看起來彼此分開時，它們究竟是否真的擁有不同的失陷來源，還是仍然在共同依賴同一件事？

一個動作真正落到現實上時，總有一些東西不會在那一刻被重新確證。一筆對外付款可能按照某處給出的收款賬戶執行，一次停機可能依據某個來源報上來的設備狀態判斷，一次發佈可能採用構建系統交出的產物，一次放行也可能依據身份服務給出的答覆。系統沒有把這些信息從頭重新建立一遍，而是在某個位置接受了它們，然後繼續作出判斷。

工程語言通常把這一步稱為「信任」。但這個詞很容易被當成被信任對象自身的一種性質：這個來源是可信的，這個組件是可信的，這個主體是可信的。這樣說的時候，聽上去像是在陳述對方具備某種穩定品質——足夠可靠，不容易出問題，也不會給出錯誤的信息。

一旦這樣理解，後面的推理就會自然縮短：既然它可信，它給出的東西就可以繼續使用；如果這種「可信」又隨著數據、調用或組件關係一路延伸，最後就很容易把整條執行鏈也一併視為可信。這裡真正被省略的，是每一次具體判斷究竟允許什麼對象承擔什麼作用，以及這種允許能夠延伸到哪裡。

這不是單純的用詞問題。只要某個來源、組件或主體的輸出被系統拿來繼續作出執行判斷，「可信」就已經承擔了實際作用。一個承擔判斷作用的詞如果沒有確定含義，不同的人就可能在使用它時填入不同的內容，而這些內容未必指向同一種工程關係。

本章要追問的正是這一步：

當系統「信任」某個主體、組件或事實來源時，它實際上假設了什麼？

進入這一章，只需要承認系統中存在會真正改變現實、並需要受到保護的執行動作。上一章先討論約束究竟指向哪些對象，這一章轉而討論這些對象背後的信任假設；兩章只是敘述上的先後，並不互相構成理解前提。

信任發生在一次具體判斷中

先把「信任」放回它實際發生的位置。

信任並不是對某個主體、組件或來源作出的整體評價，而發生在一次具體的執行判斷裡。系統要決定這個動作此刻是否可以繼續、依據哪一份事實作出判斷、讓哪個來源承擔其中哪一部分作用。在這個過程中，總有一些內容不會被系統重新從頭確證，而是被允許直接進入判斷。

所以，本章對信任的定義是：

信任是在特定執行判斷中，系統允許某個主體、組件或事實來源承擔某類判斷作用的有限假設。

這裡有兩個詞需要分開看：「允許」和「假設」。

「允許」首先說明了信任的主語是誰。說「我們信任這個來源」，真正描述的不是那個來源自身具有什麼性質，而是系統決定讓它在某一類判斷中承擔作用。同一個來源，在另一個系統裡可以完全不承擔這種作用；改變的不是來源自身，而是系統對自己依賴關係的安排。

這個區別會直接影響信任能否被限定。如果把信任理解成對方的一種性質，那麼問題就會變成「這個來源到底可靠不可靠」；而如果把它理解成系統允許某個對象承擔某類判斷作用，那麼系統就可以繼續追問：允許它回答什麼問題，允許到什麼範圍，在什麼情況下應當停止依賴它。

「假設」則說明，這種允許並不等於證明；被信任的對象沒有因此獲得新的保證，系統也沒有因此掌握新的事實；它只是把某些自己不再重新驗證的內容，作為當前判斷可以繼續進行的前提。

這個假設可以有充分理由，也可以建立在長期經驗之上，但它仍然只是一個假設。系統在依賴它的時候，並沒有因此獲得「它這一次一定正確」的證明。

信任之所以無法從執行系統中被徹底拿掉，也在這裡。如果每一項輸入、每一個來源、每一個判斷都必須從頭重新確證，判斷本身就無法結束。系統必須在某些地方停止繼續追問，並接受某些前提。信任承擔的正是這個作用：它讓判斷可以繼續，同時也留下了需要被明確限定的依賴。

因此，信任在工程上的意義，是讓系統能夠說清楚自己在一次執行判斷中依賴了什麼，以及這種依賴能夠延伸到哪裡。系統依賴某個來源，並不等於這個來源因此獲得了現實執行權；它只意味著，在當前這類判斷中，系統允許它承擔特定的判斷作用。

如果一個系統說不清自己正在依賴什麼，並不表示依賴不存在。依賴仍然可能實際參與每一次判斷，只是它沒有被明確指認，也就難以進一步討論它的範圍、作用以及失效條件。

信任不能以永久正確為前提

如果信任是一種假設，那麼它就存在不再成立的可能。要讓這句話有實際內容，首先必須承認一個更基本的前提：主體、組件、平臺和硬件都不應被假定永久正確。

這條前提並不是到本書才第一次出現。在更早的材料中，同一種關切已經可以從不同入口被辨認出來。但更早的表達不等於成熟的理論。它只能說明這個問題此前已經存在，不能因此推出它當時已經被完整定義，更不能把後來的理論結構反過來放進那些早期表達裡。

本書採用這條前提，依靠的也只是它能夠在既有材料中被核查，而不是因為它已經被證明為一個無條件成立的結論。

「不應被假定永久正確」首先是一條工程判斷，不是對人品、能力或質量的評價。一個能夠理解、判斷、授權、調用、控制或執行動作的主體，無法被證明未來每一次判斷都一定正確。可錯性所表達的就是這一點。

它不表示這個主體一定會犯錯，也不表示它有惡意、已經被控制，或者不值得被依賴。重量落在「無法被證明」上，而不是「經常出錯」上。一個過去從未出現問題的組件，與這條判斷並不矛盾；歷史記錄可以支持可靠性的判斷，卻不能因此成為對下一次具體判斷必然正確的證明。

這條前提之所以直接關係到信任，是因為信任的邊界只有在假設可能失效時才有意義。如果某個對象真的可以被假定永遠正確，那麼對它而言，「這個假設會在什麼情況下不再成立」就成了一個多餘的問題。真正需要排除的，正是這種例外：不能因為某個主體、組件或來源曾經足夠可靠，就把它放到一個無需再討論失陷條件的位置上。

因此，本書關心的不是尋找一個最終不會出錯的對象，而是在信任可能失效的條件下，哪些關係、邊界和必要性質仍然必須繼續成立。它們具體是什麼，本節不展開。

這裡還有一個邊界需要保留。「可接受的範圍」在本書中只是一個方向，並不是一套已經建立的度量尺度。本書不提供後果範圍的統一度量方式，也不提供風險分級的統一判據。能夠確定的只是：既然信任可能失效，它就必須被限定，而不能建立在永久正確這一假設上。

信任必須回答四個問題

信任必須有明確的對象、範圍、作用和失陷邊界，並且只在這些限定內被使用。

這四項不是信任的四個組成部件。信任仍然只是一個有限假設；對象、範圍、作用和失陷邊界，是這個假設必須能夠回答的四個問題。如果這些問題說不清楚，那麼一句「我們信任它」就沒有足夠確定的工程含義。

第一是對象：系統究竟在信任誰，或者信任什麼。

這個對象可以是某個人、某個服務、某個簽名，也可以是某一份具體的數據來源。只說「我們信任財務系統」仍然太寬，因為真正參與這一次判斷的，可能只是其中一個服務、一項結果或某個具體來源。對象也不一定必須是主體；系統可以依賴某份數據在某一時刻的取值，而不是籠統地依賴產生這份數據的整個主體。

第二是範圍：這個假設在哪一類判斷中成立。

一個來源可以被系統允許回答「這筆款打給誰」，卻不能因此自動回答「這筆款是否應該發生」。即使兩個問題使用的是同一個接口、同一個字段或者同一份返回值，它們仍然屬於不同的判斷。信任的範圍限定的是：這個對象究竟被允許在哪一類問題上承擔作用。

第三是作用：它在這類判斷中究竟承擔什麼。

它可能只是提供一項事實，也可能給出一個判斷結論，或者承擔更直接的判斷作用。這些位置不能混成一句籠統的「可信」。同一個對象即使在同一類判斷中被依賴，它承擔的作用不同，系統真正交給它的東西也不同。因此，僅僅知道「信任誰」和「信任到哪裡」仍然不夠，還必須知道系統具體讓它做什麼。

第四是失陷邊界：這項假設在什麼條件下不再成立。

這個問題並不是要求系統預言對象什麼時候一定會出錯，而是要求能夠說明：一旦原來的假設不再成立，它可能以什麼形式失效，系統從哪裡開始不能再繼續沿用原來的信任。一個完全說不出失陷邊界的信任，也就無法說明自己的適用範圍究竟在哪裡結束。

這四個問題必須同時存在，但它們不能因此被進一步物化成一套新的結構。這裡建立的仍然只是信任的限定條件：信任誰，在哪類判斷中信任，讓它承擔什麼，以及這種信任在哪裡可能停止成立。

還必須保留一個邊界：能夠說明失陷邊界，與能夠統一度量失陷邊界，不是同一件事。

本書要求前者，因為一個有限假設必須能夠說明自己在哪裡可能失效；但本書並沒有建立後者。現在也不能把物理上的獨立、權力上的獨立、判斷上的獨立、信任域意義上的獨立、信息來源上的獨立和狀態來源上的獨立相互替換，然後假定存在一把統一的尺度判斷它們是否真正獨立。

因此，本節能夠確定的是信任必須回答哪些問題，而不是給出一套統一測量這些問題的辦法。那個統一判據在這裡仍然沒有答案。

這個詞不承諾的事

定義說明了信任是什麼，還需要把幾種容易混進來的含義排除出去。否則，即使前面給出了限定，人們仍然可能把「信任」重新讀回日常語言裡的可靠、善意或者安全。

信任不是正確性（Trust ≠ Correctness）。 系統允許一個對象在某類判斷中承擔作用，並不證明這個對象未來每一次給出的內容都正確。信任本身沒有驗證這一次具體判斷的內容，它只是說明：在這個位置，系統決定依賴什麼。如果把信任和正確性合在一起，系統就會把「已經決定不再重新驗證」誤讀成「已經證明不會出錯」。

信任不是善意（Trust ≠ Good Intent）。 信任也不證明動機。一個對象完全可以沒有惡意，卻仍然因為判斷錯誤、狀態變化或原有條件消失而給出不再適用的結果。同樣，撤回或收窄一處信任，也不是對某個主體作出道德判斷；它只是改變系統在一次具體判斷中願意依賴什麼。

信任不是永久可靠（Trust ≠ Permanent Reliability）。 曾經成立，不等於以後一直成立。一個組件、來源或主體即使長期保持穩定，也仍然可能被修改、替換、重新部署，或者進入不同的運行條件。信任如果沒有時間和條件邊界，就很容易把某一次成立的觀察延伸成長期不變的前提。

信任不是絕對安全（Trust ≠ Absolute Security）。 信任也不會消除系統無法避免的依賴；一個系統必須依賴某些東西，並不意味著這些東西因此變得絕對安全。本書也不把「所有攻擊都被擋住」作為安全成立的前提。需要面對的恰恰是：當某項依賴不再成立時，哪些必要邊界仍然不能隨之消失。

第五條與前四條不同：信任不自動傳遞。

一個對象在某一處判斷中被信任，只說明系統允許它在這個限定位置承擔某種判斷作用。這個信任不會因為數據繼續向下流動、調用進入下一個組件，或者下游繼續使用它的結果，就自動擴展到新的判斷位置。

例如，一個來源被允許回答「收款賬戶是什麼」，只建立了它在這一類判斷中的作用。它不能因此自動獲得回答「這筆款是否應該發生」的資格，也不能因為下游使用了它給出的賬戶，就把原來的信任一路延伸成對整個付款結果的信任。

如果系統到了新的判斷位置仍然要依賴它，就必須重新明確這一次依賴的對象、範圍、作用和失陷邊界。這裡的關鍵不是信任永遠不能延伸，而是延伸不能依靠自動繼承。

因此，前四條限制的是信任的含義，第五條限制的是信任的傳播。只有把這兩層分開，才不會從「這裡允許依賴它」一步滑到「後面凡是和它有關的東西都可以繼續被信任」。

信任在什麼情況下失去限定

信任的失敗條件可以分成兩類。

第一類，是原本有限的信任被擴大了。

第二類，是系統知道這項信任存在失陷邊界，卻沒有讓這個邊界真正進入控制結構。

先看第一類。信任被擴大，又有三種不同方式：範圍擴大、時間擴大和傳播擴大。

範圍擴大，是把一個對象在某一類判斷中的可信，延伸到另一類判斷。

例如，一個服務被允許回答「收款賬戶是什麼」，並不意味著它也可以回答「這筆款是否應該發生」。前者是提供賬戶信息，後者已經進入另一類判斷。如果系統直接把前一處建立的信任拿來支撐後一處判斷，信任的範圍就擴大了。

時間擴大，是把某一個時點或者某一階段成立的信任，繼續當作以後都會成立。

一個組件此前可靠，一個數據源此前有效，一項狀態此前真實，都只能說明那個條件在當時成立。系統如果不再檢查這些條件是否發生變化，卻繼續沿用原來的信任，就把一次有限的成立延伸成了持續成立。

傳播擴大，是把一個判斷位置上的信任，沿著數據、調用或上下游關係自動帶到另一個位置。

上游允許某個對象承擔判斷作用，並不意味著下游可以直接繼承同樣的信任。數據繼續流動、調用繼續向下，並不會自動把原來的對象、範圍、作用和失陷邊界一起帶過去。到了新的判斷位置，如果系統還要繼續依賴它，就需要重新明確這些限定。

三種擴大看起來不同，但失去的是同一件東西：原來的限定。

範圍擴大，丟掉的是「在哪類判斷中成立」；時間擴大，丟掉的是「成立到什麼時候」；傳播擴大，丟掉的是「這項信任能夠延伸到哪裡」。

第一類失敗因此可以概括為：一個本來局部、有限的信任，被系統當成了全局、永久或者可以自動傳遞的信任。

第二類失敗與此不同。信任本身的範圍可能寫得很清楚，系統也可能明確知道它在什麼情況下會失效，但這個失陷邊界並沒有進入控制結構。

也就是說，系統知道某個來源可能失效、某個組件可能被替換、某項狀態可能過期，但當這些條件真的發生時，執行判斷並不會因此發生變化。系統知道邊界在哪裡，卻沒有任何結構在越過邊界時停止、收縮或者重新判斷。

這裡缺少的不是對風險的認識，而是這種認識對現實執行的約束。

因此，兩類失敗需要分開看：

第一類是信任的限定被擴大，其中包括範圍、時間和傳播三種擴大；

第二類是信任的失陷邊界沒有進入控制結構，即使系統知道它可能失效，失效發生時也不會真正改變執行。

信任本身並不是需要被清除的東西；系統必須依賴一些主體、組件或事實來源。真正需要防止的是：一個有限假設被擴大到它原本沒有覆蓋的位置，或者它雖然已經有了失陷邊界，卻沒有任何結構在邊界到達時作出反應。

有些邊界仍然不能被補上

到這裡，信任已經被限定為一個有對象、有範圍、有作用、有失陷邊界的有限假設。但這種限定並沒有把所有問題一併解決，有幾條邊界仍然必須保持開放。

首先，信任可以繼續向上追問：一個被依賴的對象自身又依賴什麼，那一層依賴又建立在什麼之上。這樣的追問會把問題帶向信任根，但本書不為信任根建立形式化結構，也不預先規定這條依賴鏈最終以什麼方式閉合。後面對信任和邊界的討論，都在這個問題尚未被形式化的條件下進行。

第二，不同意義上的“獨立”目前也不能被合併成一個統一判據。物理上的獨立、權力上的獨立、判斷上的獨立、信任域意義上的獨立、信息來源上的獨立和狀態來源上的獨立，描述的是不同關係，彼此不能互相替代。本書可以要求把它們區分開，卻不能因此聲稱已經存在一套統一方法來判斷兩個邊界是否真正獨立。

與此相關的，還有信任與分層不信任之間那條統一、可測的邊界。這裡同樣沒有現成答案。能夠指出某項信任的失陷邊界，不等於已經擁有一套可以橫跨不同結構、不同依賴關係進行統一比較的尺度。這部分仍然保持開放。

最後，「主體不應被假定永久正確」本身也有一個尚未解決的作用域問題：哪些對象應當被納入這句話，它在什麼條件下才算閉合，目前沒有答案。本章使用這條前提，但不替它劃出一個未經建立的閉包。

這些開放問題不會取消本章已經建立的內容。能夠確定的是：信任必須被限定，而且這些限定必須能夠被明確說出；不能確定的，是所有這些邊界是否已經擁有統一的形式化、統一的測量方法或者統一的獨立性判據。

帶著這個限制繼續向下，一個新的問題就會出現。

如果單獨一層不能被無限信任，那麼把多層疊起來，是否就意味著系統獲得了多個彼此獨立的失陷邊界？

答案不能僅從“層數變多了”推出。下一章要追問的，正是這些層之間究竟共享了什麼，又是否真的彼此獨立。

本章術語

• 信任 ｜ Trust
• 不完美主體 ｜ Fallible Subject
• 可錯 ｜ Fallibility
• 信任範圍 ｜ Trust Scope
• 信任作用 ｜ Trust Role
• 失陷邊界 ｜ Compromise Boundary
• 信任根 ｜ Trust Root

本章案例與資料來源

本章未使用現實案例。

正文中的「對外付款—收款賬戶服務」屬於假設性工程情形，用於說明一項信任如何從原本限定的判斷範圍擴展到另一類判斷。該情形不對應具體公司、產品、事故或公開事件，也不承擔本章結論的證明作用。

資料來源

本章沒有需要單獨展開的現實事件資料。涉及真實事件、外部報告、論文或標準的資料，統一列入本書附錄及全書《參考文獻與資料來源》。

---

第三章｜哪些層其實在賭同一件事

本章把「系統有很多層」與「系統擁有很多獨立失陷邊界」徹底分開。層數描述的是組件、服務、節點或控制位置有多少，獨立性問的卻是這些位置背後究竟依賴多少組彼此分離的信任假設與失陷來源。為此，本章引入信任域：一組共享關鍵控制、信任假設或共同失陷路徑的主體與組件邊界。產品平面、服務模塊、網絡分區、多副本甚至多次判斷，都不能僅憑數量自動證明獨立；身份、權限、更新、狀態、恢復和通信等不同關係，都可能讓表面分開的對象繼續共享同一依賴。因此，關於「共享」或「獨立」的主張都必須具體舉證：說共享，就要指出究竟共享了什麼；說獨立，也不能只憑部署分離或組件數量推斷。同時，本章明確保留兩項未決：信任域如何統一劃分，以及不同意義上的獨立如何形成統一、可測的判據，目前都沒有答案。因此，本章能夠建立的是一條更有限也更重要的結論：多層結構的獨立性由實際信任域決定，而不是由層數決定。下一章由此繼續追問：既然多層仍可能共同依賴同一假設，那麼一種不把任何單層永久正確當作前提的工程結構，究竟應該是什麼樣的？

一個系統被問到「如果這裡出問題會怎麼樣」，一個常見的回答是：「我們有好幾層。」

這句話表面上是在描述結構，實際上還包含了一個風險判斷：因為控制不止一層，所以其中一層失效之後，事情不會直接走到最後。層數在這裡已經不只是一個結構事實，它開始被用來回答另一個問題——系統究竟擁有多少個彼此獨立的失陷邊界。

上一章把信任限定為發生在具體執行判斷中的有限假設，並要求它具有明確的對象、範圍、作用和失陷邊界。順著這個前提，多設幾層控制看起來很自然：既然任何一處信任都不能被當作永久正確，就不要讓全部判斷只依賴一處。

但從這裡再往前走一步，就會出現一個並沒有被前提保證的推論：

每多一層控制，就多一個獨立的失陷邊界。

問題就在這一步。

信任是有限的，只說明某一處依賴不能無限延伸；它並沒有說明不同位置上的依賴彼此無關。兩層控制完全可以分別存在，也分別作出判斷，卻同時依賴同一個身份來源、同一處權限授予、同一條更新路徑、同一個狀態來源，或者同一條能夠使它們一起失效的路徑。

如果是這樣，系統雖然在結構上擁有多層控制，在失陷意義上卻可能仍然在依賴同一件事。

所以這一章要追問的不是系統有多少層，而是：

這些看起來彼此分開的層，究竟有多少是在賭同一個假設不會失效？

層數不是獨立性

要看清問題出在哪裡，先要把兩個不同的數量分開。

一個數量很容易得到：系統有多少組件、產品平面、服務模塊、部署節點、副本、區域或者賬號。這些東西能夠在部署圖、資產清單或者配置中被逐一指認，所以可以直接數出來。

另一個數量沒有這麼直接：系統實際擁有多少個相互獨立的信任與失陷範圍。

前一個數描述系統在結構上被分成了多少部分，後一個數問的是這些部分究竟依賴多少組彼此獨立的信任假設，以及其中一處失效時，其他部分是否仍然保有不受它影響的邊界。

兩者之間沒有自動的換算關係。

四個組件不自動等於四個獨立邊界，三套服務也不自動等於三個獨立的信任範圍。反過來，這也不是說結構上的分離沒有意義，而是說僅憑數量本身，還無法回答獨立性的問題。

數量之所以容易成為答案，是因為它天然可見。系統有幾道控制、幾個節點、幾套副本，都可以被直接記錄和核對。相比之下，「這些控制究竟落在幾個相互獨立的信任與失陷範圍裡」需要繼續追查它們背後的依賴關係，不能從結構圖上的數量直接讀出來。

於是，一個關於獨立性的問題，很容易被一個關於數量的問題替代：

系統原本需要回答的是「如果這一處失效，還有多少不依賴它的邊界仍然成立」，最後回答的卻只是「我們還有多少層」。

這兩個答案看起來接近，實際上指向的是不同的對象。本章接下來要建立的“信任域”，就是為了把第二個數真正指認出來。

信任域：共享在先，邊界在後

信任域（Trust Domain）指的是：一組共享關鍵控制、信任假設或共同失陷路徑的主體與組件邊界。

緊接著這一定義，還有一個同樣重要的限制：域的獨立性不能僅按組件、產品平面或部署節點的數量計算。

定義中的三個條件——共享關鍵控制、共享信任假設、共享共同失陷路徑——彼此之間是「或」的關係，而不是要求三者同時成立。

一組對象可能因為受到同一處關鍵控制而落入同一個信任域，也可能因為依賴同一個信任假設而落入同一個信任域，還可能因為它們存在共同的失陷路徑而被放在同一個範圍裡。只要其中一種共享關係成立，就已經有理由繼續追問它們是否真的擁有彼此獨立的失陷邊界。

第三種尤其容易被忽略。控制通常能夠被指認，信任假設也可以被寫出來，但共同失陷路徑未必對應一個被共同持有的組件。它可能只是兩處看起來分開的結構，在失效時仍然會經過同一段依賴。

因此，「沒有找到共同組件」不足以證明兩個位置彼此獨立。共享不一定表現為共同持有什麼，也可能表現為失效時會不會一起經過同一個地方。

信任域實際劃分的對象，是主體、組件以及它們之間共享的控制與信任依賴，例如身份、權限、更新、狀態、恢復或通信關係。一個域之所以成立，不是因為這些對象在圖上被畫進同一個框，而是因為它們之間存在足以形成共同判斷或者共同失陷的依賴。

這裡還需要把「共同判斷」和「共同失陷」分開。

共同失陷說的是：某個共享來源一旦失效，多個位置可能一起失效。

共同判斷則發生在這些位置都還正常工作的時候。兩個組件可以分別運行、分別留下記錄，也分別給出結論，但如果它們的判斷實際上來自同一個依據，那麼第二次判斷並沒有因此自動增加一個新的獨立來源。

所以，表面上的多次判斷，不等於多份獨立判斷。

這也是為什麼信任域的識別順序不能倒過來。不是先按照組織、部署或者已有架構把邊界畫好，再假定邊界內外代表不同信任；而是先追問哪些位置共享控制、共享假設或共享失陷路徑，再據此判斷信任邊界可能落在哪裡。

共享在先，邊界在後。

但這句話只說明劃分應該依據什麼關係，並不意味著已經存在一套統一的方法，可以把任何系統的信任域準確而一致地劃出來。域劃分的統一判據在這裡仍然沒有建立。

上一章討論的是單個信任假設的對象、範圍、作用和失陷邊界；信任域接手的是同一種有限信任，但開始同時看多個主體和組件之間是否共享這些依賴。它不是信任之上的另一層分類，而是把原本逐個觀察的信任關係放到一起，追問它們究竟有多少是彼此獨立的。

現成的分割不自動構成獨立邊界

一旦開始同時觀察多個主體和組件，就會遇到一個很自然的問題：系統裡那些已經存在的分割，能不能直接被當作獨立的信任邊界？

答案只能到這裡為止：

產品平面、服務模塊、網絡分區或多副本，不自動構成獨立信任域。

這裡最重要的是「不自動」。

這句話並不是說這些分割一定沒有意義，也不是說被分開的對象一定共享同一信任域。它只排除一種直接換算：不能因為系統已經被劃成兩個產品平面、兩個服務、兩個網絡區域或者兩套副本，就據此認定它擁有兩個獨立的信任與失陷範圍。

現有架構邊界與信任域可能重合，也可能只重合一部分，還可能在某些關係上完全不重合。是否獨立，仍然要回到上一節的問題：這些看起來分開的對象之間，究竟還共享著什麼。

這裡至少有六類已經能夠被明確指出的關係。

第一類是身份。

兩個組件可以分開部署、使用不同代碼，甚至彼此之間沒有直接調用，但如果它們的身份都依賴同一個簽發來源，那麼在身份這一方向上，它們仍然共享同一個依賴。一個來源出了問題，兩個表面分離的對象都可能受到影響。

第二類是權限。

兩個主體可以擁有不同賬號、不同進程甚至不同設備，但如果它們獲得權限的依據最終來自同一處授予，那麼主體數量並不等於獨立權限來源的數量。這裡真正要數的不是有多少個被授予者，而是這些權限是否依賴彼此獨立的授予關係。

第三類是更新。

兩個組件在運行時可以完全分開，但如果它們的軟件、配置或其他可改變其行為的內容通過同一個更新來源進入系統，那麼這條更新關係仍然把它們連接在一起。運行時的分離，並不能自動消除更新來源上的共享。

第四類是狀態。

兩個判斷點可以分別運行，也分別計算，但如果它們最終依據的是同一個狀態來源，那麼兩次判斷並不因此自動成為兩份獨立判斷。判斷髮生了兩次，依據卻可能仍然只有一份。

第五類是恢復。

系統正常運行時看起來彼此獨立的部分，在故障、重置或恢復過程中可能重新依賴同一個來源。由誰恢復、依據什麼狀態恢復、恢復動作在什麼條件下發生，都可能重新形成共享關係。因此，正常運行時的分離並不足以說明恢復路徑也獨立。

第六類是通信。

兩個組件可以在職責、代碼和部署上彼此分開，但如果它們的可信通信仍然依賴同一處關鍵關係，那麼通信本身也可能成為共同依賴。這裡關注的不是有沒有網絡連接，而是它們憑什麼相信通信中的對象、狀態或結果。

這六類必須分開看，因為一種關係上的分離不能替另一種關係作證。

身份來源不同，不能推出權限來源也不同；權限獨立，不能推出更新路徑獨立；更新分開，也不能推出狀態來源分開；狀態來源不同，同樣不能證明恢復和通信沒有共享。

因此，“我們已經把系統分開了”這句話還遠遠不夠。真正需要繼續問的是：

身份是否分開？權限是否分開？更新是否分開？狀態是否分開？恢復是否分開？通信是否分開？

但這裡必須馬上加上一個限制。

這六類不是一份窮盡的獨立性分類，也不是一張六項檢查表。它們只是已經能夠明確指出的幾種共享關係，用來說明同一個系統中的“共享”可以沿不同方向發生。即使六個方向都被檢查過，也不能因此推出所有可能的獨立性問題都已經解決；域劃分本身仍然沒有統一的判據。

設想兩套組件，它們分開部署、分開維護，代碼倉庫也不同，彼此之間甚至沒有直接調用。從這些現成的結構上看，它們確實是兩個對象。

但如果它們的運行身份都由同一個來源簽發，那麼至少在身份關係上，它們仍然共享一處依賴。這條關係可能不出現在部署圖裡，也不出現在資產清單裡，卻仍然決定它們是否可能沿同一個方向一起失去原有條件。

所以，現成的分割只能說明“這裡有兩個東西”，不能自動說明“這裡有兩個獨立邊界”。

信任域要求追問的是後一個問題。

共享必須被具體證明

如果結構上的分離不能直接證明獨立，那麼關於共享與獨立的判斷就必須有更具體的依據。

這一章能夠給出的一條明確要求是：

共享必須被具體證明。

也就是說，當我們聲稱兩個主體、組件或控制位置共享某項關鍵依賴時，不能只說它們「看起來耦合」或者「實際上還是一套東西」，而必須繼續指出：它們究竟共享了什麼。

共享的可以是同一個身份來源、同一處權限授予、同一條更新路徑、同一個狀態來源、同一種恢復依賴、同一處通信關係，也可以是前面定義中所說的共同信任假設或共同失陷路徑。關鍵不在於給共享取一個籠統的名字，而在於能夠把那個具體來源指認出來。

但這是一條舉證要求，不是一套統一的劃分判據；兩者解決的問題不同。

統一判據意味著：給定一個系統，可以按照同一套方法穩定地判斷哪些對象屬於同一個信任域，以及不同邊界什麼時候真正獨立。本章沒有這樣的判據。

舉證要求則只約束一次具體主張。你說兩個位置共享，就需要指出它們共享的來源；你說兩個位置彼此獨立，同樣不能只依據部署分離、組件數量或者現有架構圖得出結論，而需要說明支撐這個獨立性判斷的依據。

這裡還必須防止另一個方向的誤讀。

沒有證明共享，不等於已經證明獨立。

但這句話也不能反過來理解成：

沒有證明獨立，所以它們一定共享。

未被證明的共享，只能保持為未被證明；未被證明的獨立，也只能保持為未被證明。舉證要求的作用，是阻止系統把尚未建立的關係提前當作已經成立的事實。

因此，「看起來分開」不能直接推出「已經獨立」，「看起來有關聯」也不能直接推出「屬於同一個信任域」。兩種主張都需要回到具體依賴關係上。

這一點尤其重要，因為信任域的失敗條件之一，就是把同一控制根下的多個組件誤認為多個獨立邊界，從而低估實際風險。

這裡的問題並不只是“數錯了幾個”。

真正發生的是：系統按照一個尚未被證明存在的獨立邊界數量繼續作出判斷。例如，它認為某一處失效之後仍然還有另一處可以獨立承接，但如果所謂的“另一處”依賴的仍然是同一個關鍵來源，那麼這個兜底本身就沒有被建立。

這種誤判在正常狀態下未必容易顯現；兩個組件確實存在，兩套配置也確實存在，兩處控制也可能分別運行。只要共同依賴沒有失效，它們在行為上甚至可以長期表現得像兩個獨立位置。

所以，僅僅反覆確認“這裡確實有兩個對象”，並不能增加對獨立性的證明。

只要仍然使用可數的結構數量來回答獨立性問題，得到的就仍然只是一個未經證明能夠代表獨立性的數。

因此，本章能夠確定的結論是：

多層結構的獨立性由信任域的劃分決定，而不由層數決定。

層數描述系統呈現出了多少個結構位置；信任域劃分追問的是這些位置背後的控制與信任依賴是否真正分離。兩個數量可以一致，但一致本身必須被證明，不能被假定。

域怎麼劃，獨立怎麼判

前面已經建立了一條要求：關於信任域的共享與獨立不能靠數量或外觀直接推斷，具體主張需要具體證明。

但到這裡必須把兩個仍然沒有答案的問題分開。

第一項未決，是信任域究竟怎麼統一地劃出來。

我們已經知道，信任域要沿著共享的關鍵控制、信任假設和共同失陷路徑去識別，也知道身份、權限、更新、狀態、恢復、通信等關係都可能讓兩個表面分開的對象落入同一個範圍。

但這些內容還沒有構成一套統一的、可測的劃分方法。

也就是說，本章能夠指出「應該去看什麼」，卻不能給出一套方法，使不同的人面對同一個系統時，都能夠按照同一標準劃出完全一致的信任域邊界。

這就是第一項未決：

信任域劃分的統一可測判據，目前沒有。

這個問題屬於形式理論層。本書不會用一套臨時的工程檢查方法去冒充已經建立的統一判據。

第二項未決，是兩個邊界究竟在什麼條件下才能被稱為真正獨立。

這個問題和前一個問題相鄰，但不是同一個問題。

前一個問題問的是：

邊界畫在哪裡？

第二個問題問的是：

邊界已經畫出來以後，憑什麼說它們彼此獨立？

物理上的分離、權力上的分離、判斷上的分離、信任域上的分離、信息來源上的分離和狀態來源上的分離，都可能被稱為某種意義上的「獨立」，但這些獨立不能互相替代。

兩個組件可以物理上完全分開，卻仍然受到同一處權限控制；也可以擁有兩個信息來源，卻最終依賴同一個狀態來源。某一個方向上的分離，只能證明那個方向上的分離，不能自動成為其他方向獨立的證據。

所以第二項未決是：

獨立性本身也沒有一個可以跨這些不同關係統一使用的判據。

把兩項放在一起看，它們解決的是兩個層次不同的問題：

第一項：怎麼劃域。

第二項：劃出來以後，怎麼證明這些域真的獨立。

兩項目前都沒有統一答案。

這也限制了前面結論能夠走到哪裡。我們可以明確指出一種失敗形式：把共享同一關鍵控制來源的多個組件誤認為多個獨立邊界，從而低估實際風險。

但在統一判據仍然不存在的情況下，不能進一步宣稱這種失敗已經可以被系統性地識別並完全控制。

目前能夠確定的只有兩件事：第一，這種誤認已經可以被明確指出；第二，每一次關於獨立性的主張，都必須承擔自己的舉證責任。

這比「我們已經知道怎樣準確判斷所有獨立邊界」要弱，但理論邊界必須停在這裡。

信任域能說明到哪裡

信任域解決的是一個識別問題：系統中那些看起來分開的主體和組件，實際上落在多少個不同的信任與失陷範圍裡。

但這個概念能夠說明的東西有明確邊界。

首先，信任域不規定系統應該怎樣部署。

它可以幫助我們識別現有結構中哪些對象仍然共享關鍵控制、信任假設或失陷路徑，卻不能反過來推出一種具體的部署方案。它不規定應該設置多少組件、多少節點、多少區域，也不規定哪些對象必須被放在一起或者彼此分開。

所以，從「這兩個對象現在屬於同一個信任域」不能直接推出「因此應該把它們部署成某種形狀」；同樣，從「需要更多獨立邊界」也不能直接推出「增加某一種組件就一定能夠得到新的信任域」。

它描述的是系統實際擁有多少獨立範圍，不是系統應該設計成多少範圍。

第二，不同信任域並不意味著它們不會同時失陷。

把兩個對象劃入不同信任域，說明它們在當前被識別出的關鍵控制和信任依賴上沒有被證明屬於同一個範圍。但這並不是對未來結果的保證。

兩個信任域仍然可能在某種尚未被識別的條件下同時失效，也可能在對抗條件下發生協同行為。信任域的劃分不會自動把這種可能性消除。

因此，「我們有兩個信任域」不能被重新讀成「所以兩邊不可能一起出問題」。

否則，整章只是把開頭那句「我們有好幾層」換成了另一句聽起來更嚴格、實際上仍然過度承諾的話。

第三，信任域也沒有給出真正獨立的充分條件。

前面已經說明，域怎麼統一劃、獨立怎麼統一判斷，目前都沒有統一判據。本章能夠給出的，是一組否定和舉證要求：不能只按數量計算，現成的結構分割不能自動成為信任邊界，關於共享和獨立的主張必須有具體依據。

但這些內容並沒有反過來組成一套充分條件。

也就是說，本章能夠指出：

哪些理由不足以證明獨立。

卻還不能給出：

滿足哪些條件，就一定可以證明兩個邊界真正獨立。

這個區別必須保留下來。否則，一組原本用於防止誤判的限制，很容易再次被整理成一張新的檢查表，最後又變成「全部滿足，所以已經獨立」。

信任域在這一章承擔的作用，到這裡已經足夠明確：它讓我們不能再用“有多少層”代替“有多少獨立的信任與失陷範圍”，也讓每一次關於共享或獨立的判斷都必須落到具體依賴關係上。

它沒有進一步承諾一種部署方案，沒有保證不同域不會同時失陷，也沒有提供獨立性的充分判據。

共享被識別之後

上一章討論的是一個信任假設能夠成立到哪裡。這一章把視線從單個假設移到了多個控制位置之間：這些看起來彼此分開的層，究竟共享著什麼。

現在，這個問題已經可以被具體地提出。我們不再只問系統有多少層，而會繼續追問這些層是否共享身份來源、權限來源、更新路徑、狀態來源、恢復關係或通信依賴，以及關於這些共享與獨立的判斷究竟有什麼依據。

但識別出共享，只完成了一部分工作。

當共享確實存在時，它會怎樣作用到那些名義上彼此分開的控制點上？一處共同依賴的失效，是否會讓多個控制位置同時失去原有作用？這種結構性的後果不能僅憑信任域的劃分直接推出，本章也不在這裡給出答案。

沿著另一條主線，還會出現一個更直接的問題。

既然層數本身不能保證獨立，而不同控制層又可能共享同一個信任假設，那麼僅僅繼續增加控制層，就不能解決上一章留下的問題。真正需要尋找的，是一種不把任何單層永久正確當作前提的結構。

因此，下一步的問題是：

如果多層可能共享同一個假設，那麼一種不假設任何單層永遠正確的工程結構應該是什麼樣的？它在什麼條件下失敗？

本章術語

• 信任域 ｜ Trust Domain
• 信任 ｜ Trust
• 失陷邊界 ｜ Compromise Boundary
• 共同失陷路徑 ｜ Common Compromise Path
• 獨立性 ｜ Independence
• 共享來源 ｜ Shared Source
• 關鍵控制 ｜ Critical Control

本章案例與資料來源

本章未使用現實案例。

正文中“兩套組件分開部署、分開維護，但運行身份由同一來源簽發”的情形屬於假設性工程場景，用於說明結構上的分離不等於信任關係上的獨立。該情形不對應具體公司、產品、事故或公開事件，也不承擔本章結論的證明作用。

資料來源

本章沒有需要單獨展開的現實事件資料。涉及真實事件、外部報告、論文或標準的資料，統一列入本書附錄及全書《參考文獻與資料來源》。

---

第四章｜邊界大於信任

本章把「少信任一點」改寫成一個可以被檢驗的結構問題：真正重要的不是系統信任了多少，而是約束現實執行的邊界是否仍然成立。為此，本章給出分層不信任的有限定義：不假設任一單層主體、組件或控制面永遠正確，並讓不同層保留相互限制之邊界。這個結構至少要求三件事：各層信任範圍有限，Authority 不自動沿層級傳遞，單層失陷也不應自動擴散成全部執行邊界失效。它的失敗條件同樣被明確下來：多層如果共享同一控制根，或者存在某個上游主體能夠取消、重寫或繞過所有下游約束，那麼形式上的分層已經不能再被當作真實邊界。本章進一步把這裡的「邊界」限定為能夠真實允許或阻止現實副作用的執行邊界，並明確它不等同於 Zero Trust、縱深防禦、MPC、TEE、多籤、硬件隔離或任何產品架構。與此同時，分層不信任也有三項不能越過的限度：它不消除信任根，不證明各層真正獨立，也不保證全部合法制約層不會共同失效。因此，「邊界大於信任」不是把絕對信任轉移給邊界，而是要求系統最終回到一個更具體的問題：邊界在失陷條件下是否仍然真實存在。下一章繼續追問：一層已經失陷，是否就意味著一定存在攻擊者？

上一章結束在一個否定上：層數不產生獨立性。多層控制並不自動意味著多個獨立的失陷邊界，獨立與否取決於這些層實際共享了哪些信任假設和失陷路徑，而不是它們在圖上被畫成了幾層。

這個結論一旦成立，下一個問題就隨之出現：如果不能靠增加層數換來獨立，那麼一種不假設任何單層主體、組件或控制面永遠正確的工程結構，應該是什麼樣的？它又在什麼條件下失敗？

對這個問題，一個很自然的回答是程度上的：既然每一層都可能出錯，那就少信任一點，每一層都多查幾遍。但「少信任一點」只是一個可以不斷調節的量，它沒有清楚的刻度，也沒有明確的終點。你可以始終說還能再少信一點，卻無法據此判斷這個結構究竟在什麼位置已經失效。事後當然可以把問題解釋成「當時還是太信任了」，但這種解釋不能反過來成為事前設計時可以檢驗的標準。一個只能調節、不能判定的東西，不能直接成為工程結構的判據。

程度回答還有另一層問題：它默認信任可以作為一個整體被加減。但上一章已經說明，同一份信任假設可能同時存在於多層之下；如果每一層反覆檢查的仍然是同一個來源、同一個假設，重複並不會自動產生新的邊界。減少信任的程度，與改變信任在結構中的分佈，也不是同一件事。

所以本章不再討論「應該多信還是少信」，而是把問題換成結構性的：什麼樣的結構可以成立，它在什麼條件下失敗。能夠被明確判定其失敗條件，才有可能成為工程上的結構要求。

這句話早於它的定義

「邊界大於信任」不是為本書新造的一句話。在這一概念被正式命名之前，它已經和「俄羅斯套娃式分層」「分層不信任架構」等表達一起出現，用來指向相近的工程擔憂。

這些更早的表達裡，有三項關切已經很清楚：單一控制點不應擁有無界的現實執行能力；判斷、授權、批准、執行和憑證能力需要被分離；高後果動作需要一條不會被普通軟件控制平面自行吸收的邊界。三項關注的角度並不相同，但都指向同一種不安：如果某個位置握有全部能力，那麼這個位置是否可靠，就會變成決定結果的關鍵前提。

第三項裡的「自行吸收」尤其值得保留。它說的不是約束不存在，也不是審批不夠嚴格，而是約束與被它約束的對象處在同一個可以被一起改變的範圍裡。平時看起來，規則仍然存在，檢查也仍然發生；真正需要它發揮作用時，它卻可能已經隨著控制平面一起被改變。此時，一條看起來存在的規則，與一條能夠繼續限制現實執行的邊界，就不再是同一回事。

但更早出現的表達不能被直接當作成熟理論。它們能夠說明這類關切此前已經存在，也能夠說明「邊界大於信任」並非憑空出現；卻不能證明今天這套結構在當時已經形成，更不能據此推出單線起源、直線演化、派生關係或思想影響。措辭相近本身不構成這些關係的證明。

同樣，這裡提到「能力需要被分離」，也只是在保留更早表達中的問題意識。本章不會順著這句話去建立一套能力如何拆分、如何配置的結構，因為那已經超出了這一節需要承擔的內容。

因此，把這句話放在定義之前，不是為了證明它屬於哪一條思想來源，而是為了說明為什麼一句方向正確的話仍然不夠。「邊界大於信任」可以表達一種工程傾向，卻還沒有回答幾個必須被明確的問題：這裡的「邊界」究竟指什麼，「大於」是什麼意義上的大於，以及在什麼條件下，這條原則會失敗。

只有這些問題能夠被說清，這句話才能從一種傾向進入可以被檢驗的工程結構。

不假設任一層永遠正確

分層不信任，是一種不假設任一單層主體、組件或控制面永遠正確，並讓不同層保留相互限制之邊界的工程結構。

這個定義有兩半，缺一半都不成立。前一半是否定：沒有哪一層被放在「默認正確」的位置上。後一半是結構要求：不同層之間必須保留能夠彼此限制的邊界，而且不能只剩上游對下游的單向檢查。只剩前一半，得到的只是懷疑態度，而態度本身不會改變任何主體能夠做什麼；只剩後一半，得到的只是分工結構，而分工完全可以建立在「每一層在自己的職責內都是正確的」這一假設上。兩半合在一起，才構成這裡所說的結構。

這個結構有三條成立條件。

第一，各層的信任範圍有限。每一層究竟被信任到哪裡，必須能夠說清，而不能只用「這一層是可信的」代替範圍。範圍一旦明確，就可以繼續追問：這項信任是否被用到了它原本不該覆蓋的位置？這個問題能夠被核對。反過來，如果範圍本身沒有被說清，那麼無論它被延伸到哪裡，都難以判定為越界，因為系統從一開始就沒有劃出那條界線。

第二，Authority 不自動傳遞。上游已經作出的判斷，不會僅僅因為它來自上游，就自動成為下游可以直接採用的結論。這一點把分層不信任與單純「分好層」區別開來。如果上游判斷可以沿著層次一路繼承，那麼無論結構圖上畫出多少層，後面的層實際上只是在接收並繼續傳遞前面的結果，而沒有形成新的限制。這裡要防止的不是上游判斷一定會錯，而是上游一旦失陷，它的影響可以藉由自動傳遞直接穿過整條鏈路。

第三，單層失陷不應自動擴散為全部執行邊界失效。這裡的「不應」是一條規範條件，不是對現狀的描述。它規定這種結構要成立必須做到什麼，而不是宣佈任何已經分層的系統天然滿足這一點。把它讀成事實判斷，就會得到一個並不存在的結論：彷彿只要分了層，失陷就不會繼續擴散。是否真的阻斷擴散，仍然要由具體結構來證明。

三條合起來，分層不信任所做的不是製造更可靠的主體，也不是讓主體從此更少犯錯，而是把不完美主體和有限信任放進彼此受限的結構中。主體仍然可能判斷錯誤、狀態仍然可能變化、組件仍然可能失陷，區別在於這些變化是否能夠不受限制地繼續獲得現實效力。一個可能出錯的主體，在有邊界的結構裡出錯，與在沒有邊界的結構裡出錯，後果並不相同。

這也改變了工程上的提問方式。如果目標只是讓某一層更可靠，那麼每一次失效都會繼續把注意力拉回那一層本身：這一層為什麼還不夠好，還能怎樣加強。如果目標是讓可錯主體處在受約束的位置上，同一次失效要問的就變成另一件事：這一層已經失效以後，它為什麼還能一路影響現實執行，又經過了哪些邊界？

前一種問法沒有明確的結構終點，因為分層不信任本來就不把任何一層假定為永遠正確；後一種問法則可以落到具體執行路徑和有限邊界上，並在那裡得到可以繼續檢驗的答案。

分層不信任的邊界

「不信任」很容易被理解成「什麼都不信」，所以分層不信任必須先把自己的邊界說清楚。

它不是對所有信息一概否定，不等於完全無信任，也不預設等同任何外部安全框架。

前兩條針對的是同一種誤讀：一個系統如果仍然要讓現實動作發生，就必然要在某些位置接受某些信息、狀態或判斷。分層不信任限制的是這些信任能夠覆蓋到哪裡、能否繼續向下傳遞，而不是要求信任本身消失。它要求的是有界信任，不是零信任。

這個區別會直接影響系統能不能被追問。被明確承認的信任可以說明對象、範圍和作用，也可以繼續檢查它是否越界；如果系統一面聲稱「什麼都不信」，一面又實際依賴某些輸入，那麼這些依賴反而會退到看不見的位置，既沒有明確名稱，也沒有可核對的範圍。

還要把幾個相鄰概念分開。分層不信任不等同於信任，也不等同於信任域，更不等同於邊界獨立性。信任是被限定的假設，信任域用來識別共享假設與共同失陷路徑；分層不信任提出的是另一層結構要求：不假設任一單層永遠正確，並讓不同層保留相互限制的邊界。

邊界獨立性則不能在這裡被正面定義。本書只使用它來檢驗某些邊界是否能夠被視為彼此獨立，不在這裡建立「滿足哪些條件就構成邊界獨立性」的完整定義。否則就會把一個尚未建立正面判據的性質，提前當作已經得到的結果。

第三條邊界——分層不信任不預設等同任何外部安全框架——需要單獨處理。這裡否定的是等同關係，不是在這裡評價那些外部框架本身。本章後面會把這組否定完整給出。

它在什麼條件下失敗

分層不信任的失敗條件是：多層共享同一控制根，或任一上游主體可以取消、重寫或繞過所有下游約束。

這句話之所以重要，是因為它把前面的結構要求變成了兩個可以被直接追問、並且能夠得到事實性答案的問題。它不再問「信任得夠不夠少」，而是問邊界是否真的還在。

第一個問題是：這些層最終是否落在同一個控制來源上？

如果多層雖然在結構上彼此分開，卻仍然共享同一控制根，那麼層與層之間的相互限制就只停留在表面。共同控制來源一旦失效，多層可能同時失去原有約束能力。這裡要判斷的不是「有多少層」，而是這些層是否最終仍由同一個來源控制。層數再多，也不能替代這個事實問題。

第二個問題是：是否存在某個上游主體，可以取消、重寫或繞過所有下游約束？

這裡的三個動詞是並列的。取消，是讓約束不再存在；重寫，是讓約束變成另一條；繞過，是讓約束仍然存在，卻不再位於真正產生現實結果的路徑上。三種情況不要求同時出現，只要其中一種能夠覆蓋所有下游約束，就說明這些約束最終仍然受制於同一個上游位置。此時，下游約束雖然可能繼續存在，卻不能再被當作獨立成立的邊界。

第二個分支裡，「所有」不能被改成「很多」或「大部分」。這一失敗條件判斷的是：是否存在一個上游主體，能夠讓全部下游約束失去限制作用。它不處理部分覆蓋，也不把部分覆蓋說成無關；部分覆蓋只是另一種問題，不屬於這一條失敗條件的判定範圍。把「所有」改成一個程度詞，這條條件就會重新變成無法明確落點的程度判斷。

這兩個分支都把問題從程度拉回結構。第一條問的是多層是否仍共享同一控制根，第二條問的是是否存在一個位置能夠讓全部下游約束失效。兩者都不需要先測量系統「信任了多少」，而是直接檢查約束關係本身。

但失敗條件只能說明結構以什麼方式失敗，不能反過來充當成功判據。一個系統既沒有共享控制根，也不存在能夠取消、重寫或繞過全部下游約束的上游主體，只能說明它沒有以這兩種方式失敗，不能據此推出它已經成立，更不能推出它已經安全。失敗條件的反面，只是否定了這兩種失敗，不會自動生成一個成功結論。

同樣，這條原則不提供層數、切分方法或參考架構。任何具體結構仍然需要逐一回答上面的兩個問題。形式上的分層本身不攜帶答案；照著某種樣式搭出來的結構，也仍然要分別證明它是否落在同一個控制來源上，以及是否存在能夠消解全部下游約束的上游主體。樣式不能替代判定。

到這裡，「邊界大於信任」才從一種方向性的表達，變成一個可以被檢驗的結構原則：判定不落在信任的程度上，而落在這些邊界是否仍然真實成立。

「邊界」這個詞指的是什麼

「邊界大於信任」裡的「邊界」不是修辭，它指向的是執行邊界。

執行邊界，是在一個動作成為現實之前，對它的狀態、參數、資格和允許結果進行最終約束，並且能夠真實允許或阻止現實副作用的邊界。

這個定義最重要的地方，不是它位於流程的哪個位置，而是它對現實結果有沒有真實約束力。只有當一個位置能夠讓某個現實動作發生，或者在條件不滿足時讓它不能發生，它才屬於這裡所說的執行邊界。只能記錄、告警、提示或給出建議的位置，即使處在執行鏈上，也不能因此被稱為邊界，因為它不能改變現實副作用最終是否發生。

所以，判斷一道邊界是否真的存在，不能只看系統裡有沒有這一步，還要看現實結果是否必須經過它。

執行邊界有兩種明確的失敗方式：第一，存在另一條路徑，可以不經過同等檢查，卻產生同等的現實結果；此時邊界可以被繞過，它約束的只是其中一條路徑，而不是這個結果本身。第二，邊界雖然能夠給出拒絕，但這個拒絕無法真正約束執行器；此時判斷仍然存在，現實執行卻不受它控制。

這兩種失敗分別回答兩個問題：現實結果能不能繞開這道邊界產生；邊界說「不允許」時，執行器能不能仍然把動作做成。只要其中一個答案是肯定的，這道邊界在本書所說的意義上就已經失效。

但這裡不繼續回答執行邊界由什麼構成、怎樣建立、怎樣被放到這個位置上。本章只需要固定它的所指和失敗條件，不把它展開成另一套結構理論。

同樣重要的是，執行邊界本身也不能被當成永遠正確的對象。它不保證自身獨立，也不保證自身不可失陷；它不產生意圖，不證明上游事實天然為真，也不要求綁定某一種硬件實現。

因此，「邊界大於信任」不是把無條件信任從主體轉移到邊界。它說的是：當信任判斷與邊界是否仍然真實成立發生衝突時，判定依據必須落到後者；但這道邊界自身是否仍然成立，也必須接受同樣的檢驗。

不能建立的等同關係

分層不信任很容易被歸入一些已經熟悉的安全概念。它強調多層、限制、邊界和不默認信任，因此讀者很自然會問：這是不是已有某種安全框架的另一種說法？

不是。

這裡需要明確切斷一組等同關係。首先，前面定義的分層不信任本身不等同於 Zero Trust，也不等同於縱深防禦。更廣泛地說，本書所討論的對抗性完整，也不能被直接等同於下面任何一項：

不能建立的等同關係

對抗性完整不等同於：

Zero Trust ｜ 縱深防禦 ｜ IAM ｜ MPC ｜ TEE ｜ 多籤 ｜ 硬件隔離 ｜ 任何一種產品架構 ｜ 一般完整性 ｜ 絕對安全 ｜ 無條件存續

這裡否定的是等同關係，不是上述對象本身。它們各自可以有自己的定義、用途和適用範圍，本書不在這裡對其有效性、優劣或充分性作出評價。

這組否定也不給出對抗性完整的正面定義，不提供實現方法，更不構成一套可以直接照著搭建的參考架構。

對物理實現同樣如此：硬件或物理邊界不是本書理論成立的必要條件；但這也不意味著硬件邊界沒有價值。實現形態承擔的是具體承載作用，不能被直接提升為理論本身。

這組否定必須保持完整，因為任何一個未經說明的等同關係，都可能把後面的論證重新折回一個已經存在的概念中。

尤其需要注意的是，表面上的相似並不建立理論上的等同。分層不信任可以與某些安全方法同時存在，也可以使用某些相同的工程手段，但共同使用一種技術、具有相似的結構外觀，或者都強調限制信任，都不足以說明它們是同一個概念。

因此，這裡的邊界很簡單：可以比較，可以組合，也可以在具體系統中共同出現；但不能僅憑這些關係，把對抗性完整或分層不信任直接改寫成上述任何一個對象的另一種名稱。

分層不信任的三項限度

分層不信任有三項必須同時保留的限度。它們不是附加說明，而是這個結構能夠保持自洽的一部分。只要其中任何一項被拿掉，分層不信任就會被讀成一個比它實際能夠支持的結論更強的結構。

第一，它不消除信任根。把信任分散到多層並加以限制，並不等於信任根已經消失。信任根本身是什麼、應當如何形式化，不在本書中解決，屬於形式理論層。分層不信任限制了信任的範圍和傳遞，卻沒有因此完成對信任根的形式化處理。這個問題後面再次出現，也只能被繼續聲明，不能被悄悄改寫成已經解決。

第二，它不證明各層相互獨立。這是三項裡最容易發生誤讀的一項。「讓不同層保留相互限制之邊界」與「各層因此相互獨立」之間沒有推導關係。前者是一條結構要求，後者是一個需要另行證明的性質，而分層不信任本身不提供這個證明。

因此，不能因為層與層之間能夠彼此限制，就把它們直接計作多個獨立的失陷邊界。這樣做只是把「我們有很多層」換成「我們的層彼此限制，所以它們獨立」，但中間仍然缺少對獨立性的證明。相互限制說明一個位置不能毫無約束地支配另一個位置，卻不能單獨證明這些位置沒有共享控制根、共享信任假設或其他共同失陷路徑。獨立性究竟如何統一判定，在這裡仍然保持開放。

第三，它不保證多層之間不會共謀。如果全部合法的制約層同時倒向同一側，這種情形被明確放在本書的保證之外。分層不信任能夠要求各層彼此限制，卻不能據此保證這些層永遠不會協同行動，也不能把這種情況寫成已經被理論排除。

這一項與前兩項並不完全相同。信任根如何形式化、各層獨立性如何統一證明，屬於仍然開放的理論問題；多層共謀則是明確劃出的一條保證邊界。當全部合法制約層共同失效時，本書不承諾關鍵約束仍然能夠成立。這裡不是說部分失陷不重要，也不是說共謀必然發生，而只是明確：分層本身不能被用來證明這種情形已經被排除。

所以，這三項必須完整地保留下來：

第一，不消除信任根。

第二，不證明各層相互獨立。

第三，不保證多層之間不會共謀。

它們不是分層不信任的缺陷清單，也不能被刪掉以後換取一個看起來更強的定義。相反，一個聲稱已經消除了信任根、已經證明各層獨立、同時又排除了共謀的結構，已經超出了這裡對分層不信任所作的定義。只有這些限度保持可見，這個概念的邊界才沒有被悄悄擴大。

失陷從哪裡來

回到本章開頭。「多信任一點還是少信任一點」是程度問題，它可以不斷調節，卻沒有清楚的失敗條件。本章把它換成了另一個問題：邊界是否仍然成立。

這個問題可以被判定。多層如果共享同一控制根，或者存在某個上游主體能夠取消、重寫或繞過所有下游約束，分層不信任就以本章所定義的方式失敗。判定因此不再依賴「信任得夠不夠少」，而落到邊界本身是否仍然真實存在。

這也是「邊界大於信任」在這一章能夠走到的位置。當某一層的信任判斷與邊界是否成立發生衝突時，判定依據是後者。但這並不意味著邊界被提升成新的絕對可信對象。它不承諾邊界自身可靠，不證明各層彼此獨立，也不排除多層共同失效。它給出的，是一個可以檢查的結構問題，而不是一套可以照著搭建的答案。

到這裡，還有一個問題沒有進入判定。

前面三條成立條件中，有一條是：單層失陷不應自動擴散為全部執行邊界失效。這裡說的是「失陷」，卻沒有說明失陷由什麼造成。事實上，本章的定義、成立條件和失敗條件都只判斷結構處在什麼狀態，並不要求先知道是誰造成了這種狀態。

因此，下一個問題自然出現：

「某一層已經失陷」是否等於「有攻擊者」？

本章不回答它。

本章術語

• 分層不信任 ｜ Layered Distrust
• 執行邊界 ｜ Execution Boundary
• 信任根 ｜ Trust Root
• 信任域 ｜ Trust Domain
• 邊界獨立性 ｜ Boundary Independence
• 控制根 ｜ Control Root
• 對抗性完整 ｜ Adversarial Completeness

本章案例與資料來源

本章未使用現實案例。

本章也未設置假設性工程案例。關於分層不信任、執行邊界、共享控制根以及上游主體取消、重寫或繞過下游約束的討論，均作為結構條件與理論邊界展開，不對應具體公司、產品、事故或公開事件。

資料來源

本章沒有需要單獨展開的現實事件資料。涉及外部安全框架、技術概念及相關研究資料的來源，統一列入本書附錄及全書《參考文獻與資料來源》。

---

第五章｜失陷不等於有人在攻擊

本章把「系統已經失陷」與「有人正在攻擊」徹底分開。失陷首先描述的是系統狀態：某個主體、組件、控制點或關係已經不能繼續按照原來的信任範圍承擔可靠前提；攻擊則進一步涉及行為主體、原因與意圖，因此失陷本身不能自動完成攻擊歸因。沿著這一邊界，本章繼續區分可錯、失陷與惡意：主體可能犯錯，不等於具有惡意；可能出錯，也不等於已經失陷；部分失陷與協同失陷都可以在尚未確認惡意來源時獨立成立。與此同時，本章把失陷、共謀、治理全面失陷等放在「條件」的位置，而不是把它們提前寫成已經解釋清楚的機制：命名一種已經成立的狀態，不等於知道它怎樣形成，更不等於已經擁有解決辦法。共謀因此也不是一種攻擊手法，而是一種多方同時失去原有約束作用的威脅條件；當全部合法制約層全面共謀時，本書明確不保證仍然安全。由此，安全也不再等同於阻止所有攻擊，而轉向另一個問題：當失陷已經發生時，哪些必要關係和邊界仍然必須保持，失效又能否被限定。下一章因此繼續追問：為什麼一次失陷能夠同時取消多個表面上彼此分開的控制？

一個系統裡已經有東西不對了。某一層給出的判斷不再可靠，某個組件的輸出與它本該給出的輸出對不上，或者某個控制點形式上仍然存在，事實上卻已經不能約束它名義上約束的對象。分層不信任的作用之一，就是讓這種狀態可以被判定：當多層共享同一個控制根，或者某個上游主體可以取消、重寫或繞過全部下游約束，結構已經以本書所定義的方式失敗，無論此刻是否有人正在利用這種失敗。

這裡必須先把兩個對象分開。

失陷，首先描述的是系統狀態。 它說的是：某個主體、組件、控制點或關係已經不能繼續按照原來的信任範圍被當作可靠前提。這個判斷本身不回答失陷為什麼發生，也不回答是誰造成的。

有人在攻擊，描述的則是另一類判斷。 它意味著存在一個具有意圖的行為主體，正在或曾經對系統採取行動。這個判斷已經進入原因、主體與意圖，而不再只是描述系統當前處在什麼狀態。

所以，「某一層已經失陷」與「有人正在攻擊」不能被寫成同一句話。攻擊可以成為失陷的來源，但失陷這個狀態本身並不攜帶攻擊歸因。前者回答的是系統現在還能不能被這樣信任，後者回答的是是否存在一個有意圖的主體正在造成這種狀態。把兩個問題合在一起，就會在發現結構失效的同時，提前假定它的來源。

而這種合併很有誘惑力。只要討論從「什麼已經不可靠」轉向「是誰做的」，一個邊界尚不清楚、起點尚未確定、影響範圍仍在變化的系統狀態，就會迅速獲得主體、動機和責任方向。但結構分析需要先忍住這一步，因為在來源尚未建立之前，系統狀態本身已經足夠構成需要處理的問題。

因此，本章只處理一個問題：

「系統裡有東西已經失陷」，是否等於「有一個攻擊者」？

不等於。

這個否定並不是說攻擊與失陷無關，更不是說失陷一定不是攻擊造成的。它只取消那個自動的等號：先把「系統現在處於什麼狀態」與「這個狀態由誰、以什麼意圖造成」分開。只有這一步成立，後面才能繼續討論可錯與惡意為什麼不是同一個概念，部分失陷與協同失陷為什麼可以獨立於惡意成立，以及在這種前提下，本書所說的安全究竟要保護什麼。

失陷首先是一個條件

失陷在這裡首先被作為一種條件處理，而不是一種已經得到解釋的機制。

與本章直接相關的有三個位置。

第一，共享決策依據，也就是共同語義源受到汙染，被作為 condition。

第二，共謀與治理全面失陷，被作為 threat condition / multi-party failure pattern。

第三，失敗、恢復與資源壓力，同樣被作為 condition。

這裡還必須保留一條限制：Solution ≠ Mechanism。一個對象進入討論，並不意味著它的發生過程已經被解釋，更不意味著針對它的解決辦法已經由此得到。

條件與機制的區別，就在這裡。

當一個對象被作為條件使用時，我們說的是：某種狀態已經成立，後面的推理從這裡開始。 至於這個狀態為什麼出現、通過什麼路徑形成、經歷了怎樣的過程，條件本身並不回答。

機制處理的則是另一類問題：如果我們聲稱某種狀態是經過一個具體過程形成的，那麼這個過程本身就進入了論證。路徑、先後關係以及其中發生的變化，都需要相應依據。至少在本章裡，我們沒有因為某種失陷狀態已經能夠被指認，就進一步聲稱它的形成機制已經被掌握。

設想一個很簡單的情形：某個憑據在一段時間內已經不能繼續被當作可信輸入。

把它作為條件，只需要說：

以下討論從這個憑據已經不再可信開始。

這句話沒有說明憑據為什麼失去可信，也沒有說明是誰造成的。

如果繼續寫成：這個憑據經過某條路徑被取得，隨後又按照某種順序被使用，最終導致某種結果，那麼討論的對象就已經變化了。此時我們不再只是接受一個失陷狀態，而是在聲稱一個具體的發生過程。這個過程需要自己的證據，不能由“憑據已經失陷”自動推出。

這也是為什麼失陷與失陷機制不能合併。

系統可以明確知道某個組件已經不能繼續被信任，卻仍然不知道它為什麼變成這樣；前一個判斷仍然可以成立；工程結構不能因為原因尚未查明，就繼續把已經失陷的對象當作可靠前提。

共謀尤其需要守住這條邊界。

在這裡，共謀被放在 threat condition / multi-party failure pattern 的位置，並不意味著本書掌握了一套“共謀如何發生”的機制。它表達的只是：多方同時不再發揮原有約束作用，可以作為一種需要面對的前提。

這也是上一章為什麼能夠把全面共謀放到保證之外，卻沒有進一步給出一套針對共謀的解決機制。命名一種可能成立的條件，與解釋這種條件怎樣形成，是兩件不同的事。

同樣，自動化級聯不是傳播本體。 自動化、重試或者速度可以參與某些失效過程，但不能因為觀察到了級聯，就認為“傳播為什麼發生”已經得到解釋。否則，一種表面現象會被提前當成它自身的構成機制。

這套分析中還有其他位置，用來處理放大、後果、控制響應以及其他問題，它們分屬後面的不同章節。本章不展開這些內容，只保留與當前問題直接相關的條件側。

所以這裡真正需要帶走的不是一張登記表，而是一條邊界：

失陷可以先於對失陷原因的解釋而成立。

把失陷作為條件，並不是放棄尋找原因，而是不允許系統在原因尚未查清時，反過來否認已經出現的失陷狀態；同樣，也不允許因為狀態已經成立，就擅自補出一個尚未被證明的發生機制。

可錯不等於惡意

一個主體是可錯的，不表示它已經被攻擊、已經被控制或者具有惡意。可錯只說明一件事：我們無法證明這個主體未來的每一次判斷都一定正確。

因此，執行安全不能建立在「找到一個永遠正確的主體」之上。承認主體可能犯錯，與把主體視為敵對對象，是兩個不同的判斷。

這裡有四條必須分開的邊界：

可錯不等於惡意。

一個主體可能作出錯誤判斷，並不能據此推出它具有傷害系統的意圖。

可錯不等於已失陷。

“未來可能出錯”描述的是一種不能保證永久正確的性質；“已經失陷”描述的則是當前狀態。可能發生與已經發生不能被合併。

可錯不等於不可信。

一個主體不能被證明永遠正確，不意味著它在任何事情上都不能被信任。前面已經建立過，信任本來就是有對象、有範圍、有作用和失陷邊界的有限假設。可錯要求限制信任，而不是取消一切信任。

可錯也不等於無責任。

主體可能犯錯，並不能據此推出它不需要承擔任何責任；可錯描述的是判斷能否被保證永久正確，責任則屬於另一類問題。不能用前者直接替代後者。

這四條之外還要再守住一個方向：可錯並不表示主體每一次都會犯錯。

所以，「這個主體可能出錯」不能被讀成「這個主體現在就在出錯」，更不能被擴展成「這個主體以後給出的所有判斷都應該被視為錯誤」。可錯是一項關於我們能夠證明到什麼程度的限制，不是對主體當前狀態、動機或者整體可靠性的總評。

這個區別在對抗語境下尤其重要。當系統已經處在攻擊處置狀態時，把異常對象暫時按照“可能已被控制”處理，可以是一種應急策略；但處置策略不能自動變成系統事實。否則，結構就會從“不假設任何主體永遠正確”，滑向“凡是出錯的主體都先被假設具有敵意”，而這個判斷需要額外證據，不能由“可錯”本身推出。

同樣，惡意主體與失陷組件也是兩個不同對象。

惡意討論的是主體意圖；失陷討論的是某個主體、組件或關係當前已經不能繼續承擔原來的可靠性假設。惡意可以造成失陷，但“已經失陷”本身並不證明“具有惡意”。

因此，本章否定的是等同關係，不是任何一個方向的因果可能性。

「失陷不等於有攻擊者」不支持「失陷一定不是攻擊造成的」。攻擊當然可以成為失陷的來源之一；被取消的只是那個自動等號：不能因為已經觀察到失陷，就同時認為攻擊來源、攻擊主體和攻擊意圖都已經得到確認。

這也限定了本章不處理的範圍。這裡不作攻擊歸因，不判斷某一次失陷背後是否存在意圖以及意圖屬於誰；不作責任判定或道德評價；也不借這個問題建立或補充威脅模型。

最終需要留下的是一句更嚴格的判斷：

部分失陷與協同失陷，是獨立於惡意的條件。

「部分失陷」意味著失陷不必覆蓋整個系統，某一層、某個組件或某條路徑失去原有可靠性，就已經可以成為後續結構分析的前提。

「協同失陷」意味著多處失陷可以同時或相繼成立，而這種共同成立本身不需要先假定背後存在統一意圖。

因此，Fallible ≠ Malicious 並不是只在沒有對抗時才成立的區分。即使進入對抗語境，可錯、失陷與惡意仍然必須分別判斷。

案例只能提供語境

前面的判斷如果只停留在概念層，很容易被誤解成一種迴避：既然不願意把失陷直接歸因於攻擊，於是乾脆把它寫成中性的系統狀態。

現實材料能提供的幫助，比這更有限，也更具體。本書前期核驗了一組現實事件材料。這裡所謂的案例池，只是指這些按照統一資格要求納入觀察的案例集合；它不是一種案例分類，也不意味著其中每個案例都承擔相同的理論作用。

從這組材料中可以看到，共享失敗源既可以出現在沒有惡意來源的事件中，也可以出現在存在惡意來源的事件中。這裡真正值得保留的，不是案例數量，而是這個跨語境出現的事實：

共享失敗源本身不依賴惡意才能成立。

但這句話只有在另一條要求同時成立時才有意義：

必須指出具體的失敗源。

如果只說「這些地方背後有共同原因」，這個判斷幾乎可以套到任何事故上。只要抽象層級足夠高，總能找到某種共同點。這樣的描述無法區分真正的共享失效與事後歸納，也無法支持後續結構分析。所謂共享失敗源，必須能夠具體落到某個共同依賴、共同狀態、共同控制來源或者其他可以被指認的對象上。

因此，這些案例在本章裡只承擔一個很窄的作用：說明同一種結構性現象可以跨越惡意與非惡意語境出現。它們不負責證明本章的理論，也不負責解釋每一次失陷究竟是怎樣發生的。

這裡沒有必要把案例逐一展開，更沒有必要讓讀者記住內部編號、核驗狀態或排序。那些內容屬於研究過程；進入正文以後，真正需要保留的是材料能夠支持到哪裡，以及不能支持到哪裡。

這一區分很重要。一個案例能夠被當前結構解釋，不等於這個結構已經被證明為真；多個案例呈現相似關係，也不等於它們在結構上完全等價。這裡更不能根據這一組材料，反過來把某個具體事件判定為惡意或非惡意。

同樣，這組材料也不能證明本書已經覆蓋了所有可能的失陷類型。案例能夠說明某種現象確實在不同語境中出現，卻不能把有限觀察擴大成窮盡性結論。

所以，本章引用現實案例，不是為了用事故替代理論，而是為了守住一個很窄的經驗邊界：

共享失敗源可以跨惡意與非惡意語境出現；但每一次具體判斷，都必須指出那個共享失敗源究竟是什麼。

到這裡，案例的作用就結束了。後面的討論仍然回到結構本身，而不是繼續沿著案例去做攻擊歸因。

共謀不是一種攻擊手法

這裡的「共謀」必須先從日常語義裡抽離出來。日常語言中的共謀很容易讓人想到多個主體彼此協調、具有共同意圖，甚至共同策劃某種行動。但本章使用這個詞時，關注的不是這些主體是否進行了協調，而是一個更有限的狀態：多個本應彼此發揮約束作用的位置，同時不再起作用。

因此，共謀在這裡不是一種攻擊手法，也不是一種威脅分類，更不是一套已經得到解釋的失陷機制。它被作為 threat condition / multi-party failure pattern 使用，表示一種可能成立的多方失效狀態。這個狀態可以伴隨惡意協調，也可以不以統一意圖為前提；本章不區分兩者，因為在這裡需要判斷的只是：當多個約束方同時失去作用時，原有結構還剩下什麼。

與它一起出現的另一個對象是治理全面失陷。

這裡的治理，不是一般意義上的行政或組織管理，而是決定執行規則、角色、閾值、狀態，以及這些內容如何變更和恢復的受約束過程。它能夠改變未來的執行邊界，卻不等於每一次現實執行，也不因為程序本身合法就天然正確。

治理的失敗條件同樣有明確邊界：如果一個單一主體能夠在沒有證據、沒有閾值或者沒有獨立限制的情況下，重寫角色、規則、狀態、恢復路徑或全部執行邊界，那麼原本應當受約束的治理過程本身已經失去約束。

所以，「治理全面失陷」並不是泛指治理做得不好，而是指決定邊界如何變化的那個過程，本身已經不再受到原有約束。

但本章到這裡就停。它不設計治理流程，不劃分治理角色，不給出治理閾值，也不提出恢復協議。這裡需要治理這個概念，只是為了說明一種失陷狀態能夠落在哪裡，而不是把治理本身變成本書的解決方案。

對共謀也必須保持同樣的邊界。

如果把共謀寫成機制，就會自然繼續追問它通過什麼步驟發生、參與方如何協調、怎樣檢測、怎樣阻止。那些問題並非沒有意義，但本章沒有建立這樣的發生過程，也不能因為「多方同時失效」這個條件已經被命名，就假定共謀機制已經被理解。

因此，這裡真正需要區分的是兩件事：

命名一種條件，和解釋一種機制，不是同一件事。

前者只要求承認：如果這種狀態成立，當前結構還能否繼續維持它原來的約束。後者則需要解釋這種狀態怎樣形成，併為這個過程承擔相應的證據。共謀在本章只停在前一個位置。

這也解釋了為什麼「共謀」不能自動帶回攻擊者。多方同時失效可以來自協調，也可以不以協調為前提。只要討論停留在條件層，我們需要知道的是多個約束位置是否已經同時失去作用，而不是先判斷它們之間是否存在共同意圖。

由此會出現一個必須明確留下的邊界：

本書不保證全部合法制約層全面共謀時仍然安全。

這句話不能被理解成「全面共謀不會發生」，也不能被理解成「全面共謀已經被處理」。它表達的是更直接的限制：當全部合法制約層同時失去原有約束作用時，本書不繼續承諾關鍵約束仍然成立。

這一項與前面討論的普通失陷不同。普通失陷進入結構分析之後，我們還可以繼續問邊界是否保持、失效是否被限制；全面共謀則被明確放在本書的保證之外。這裡不給出緩解方法，也不補一套針對它的機制。

這一限制在後面討論體系外邊界時還會再次出現，但那不是一個新的問題，也不是承諾以後會把它解決。它只是同一條邊界在另一處再次被聲明。

因此，本節真正要留下的不是「如何對付共謀」，而是兩個更嚴格的判斷：第一，共謀在這裡是一種多方失效條件，不是一種攻擊手法或失陷機制；第二，當全部合法制約層全面共謀時，本書明確不提供繼續安全的保證。

只有把這兩點保留下來，前面建立的「失陷獨立於惡意」才不會在多方場景裡又被悄悄改寫成「一定有人在一起作惡」。

安全不等於所有攻擊都被擋住

前面的討論會自然帶出另一個問題：如果失陷不等於有攻擊者，共謀也不是一種攻擊手法，而全面共謀甚至被明確放在保證之外，那麼本書所說的「安全」究竟落在哪裡？

這裡首先需要確定一條邊界：

安全不等於所有攻擊都被擋住。

這不是在提出一個新的形式命題，而是在限定本書使用「安全」這個詞時的含義。執行系統面對的並不是一個能夠保證所有主體、組件和環境永遠正常的世界。真正需要追問的是：當信任已經開始失效時，哪些關係、邊界和不變量不能隨之一起失效，以及已經出現的失效能夠被限制到什麼範圍。

這裡有兩個不同的落點。

第一，保持。

它討論的是：在其他東西已經開始失效以後，還有哪些東西必須繼續成立。

這個問題的起點不是「系統仍然完全正常」，而恰恰是「某些原本被信任的對象已經不能繼續按照原來的方式被信任」。在這種情況下，一些關係、邊界和不變量仍然不得跟著一起消失。

這裡的「不得」是一項結構要求，不是經驗判斷。它不是說這些東西通常不會失效，而是說：如果它們也隨之失效，那麼原本聲稱要保護的結構就已經無法繼續成立。

因此，一個只在所有信任都完好時才成立的安全保證，在這裡是不夠的。真正重要的問題，是信任開始失效以後，哪些約束仍然必須存在。

第二，限定。

限定討論的不是怎樣讓失效永遠不發生，而是失效已經發生以後，它能夠影響到哪裡。

這和「不出事」是兩種不同的承諾。前者承認系統可能發生錯誤、失陷甚至攻擊，然後繼續追問這些失效是否能夠越過原有邊界；後者則把全部安全要求壓在「不要發生」這一件事上。一旦失效已經出現，後者就很難繼續說明接下來還應該保持什麼。

保持與限定都不要求先存在一個攻擊者。

正因為如此，「失陷不等於有攻擊者」才不只是概念上的區分。即使沒有完成攻擊歸因，系統仍然可以繼續判斷：哪些邊界還在，哪些關係已經斷裂，哪些失效正在向原本不該受到影響的位置擴展。

但這裡必須保留三條限制。

第一，本章不列出哪些關係、邊界和不變量必須繼續成立。不同對象各自需要自己的論證，不能因為這裡提出了「保持」這個要求，就提前把尚未建立的內容整理成一張完整清單。

第二，本章也不在這裡展開全部體系外邊界；全面共謀只是其中已經出現的一項。那些本書明確不提供保證的情形，需要在體系邊界處統一說明，不能在這裡順手補成解決方案。

第三，「失效被限定在可接受範圍」不等於已經存在一套度量、分級或者閾值。

「可接受」由誰判斷、按照什麼標準判斷、什麼情況下需要重新判斷，本書沒有在這裡給出統一答案。因此，「限定在可接受範圍」首先是一種安全立場的變化，而不是一項已經完成的量化能力。

這並不妨礙這個問題被提出。

即使暫時沒有一把統一的尺子，當某個對象已經失陷時，我們仍然可以繼續追問：原本不應該一起失效的東西，現在是否還在；原本應該被限制在某個邊界以內的影響，是否已經越過了那個邊界。

所以這裡改變的不是「我們已經量到了什麼」，而是失陷發生之後還要繼續問什麼。

在這種意義上，安全不再以「所有攻擊都被擋住」作為唯一落點。攻擊可以發生，主體可以出錯，組件可以失陷；真正需要繼續判斷的是，當這些事情發生以後，哪些必要關係仍然成立，以及失效是否仍被限制在原本能夠承受的範圍之內。

失陷之後還要解釋什麼

這一章最終取走的是一個自動等號：

系統裡有東西已經失陷，不等於已經知道存在一個攻擊者。

與這個等號一起被拿掉的，還有兩個容易替代它的判斷：共謀不能被直接寫成一種攻擊手法，安全也不能被簡單理解為所有攻擊都被擋住。

因此，離開這一章時真正需要帶走的是一個判斷：

失陷是一個獨立於惡意的條件。

它不是一套新的防護方法，也不會因為被這樣定義就讓系統變得更安全。它改變的是後續分析的起點。結構可以從「某個對象已經失陷」開始繼續推理，而不必先假定一個攻擊者，也不必先解釋攻擊意圖。

但攻擊者被拿掉以後，需要解釋的問題並沒有消失。

一次失陷可能並不隻影響它直接所在的位置。它之外還有一些控制也會同時失去作用，而這些控制在結構上看起來原本彼此分開。

於是，下一個問題出現：

一次失陷為什麼可以同時取消多個看起來獨立的控制？

這是下一章要處理的問題。

同一個前提還會沿另外兩個方向繼續出現：當被改寫的不是某一次請求，而是定義邊界的規則本身時，會發生什麼；以及當若干項單獨都不足以產生受保護結果的能力被組合到一起時，會發生什麼。

這兩條問題各有自己的位置，本章不提前回答。

本章術語

• 失陷 ｜ Compromise
• 可錯 ｜ Fallible
• 惡意 ｜ Malicious
• 部分失陷 ｜ Partial Compromise
• 協同失陷 ｜ Coordinated Compromise
• 共謀 ｜ Collusion
• 威脅條件 ｜ Threat Condition
• 多方失效模式 ｜ Multi-party Failure Pattern
• 治理 ｜ Governance
• 治理全面失陷 ｜ Fully Compromised Governance
• 共享失敗源 ｜ Shared Failure Source

本章案例與資料來源

本章使用了一組經過前期核驗的現實案例材料，但不在正文中逐案展開。

這些材料在本章只用於提供一個有限的現實背景：共享失敗源既可以出現在非惡意語境，也可以出現在惡意語境。 因此，觀察到失陷或共享失敗源本身，並不足以完成攻擊歸因。任何關於共享失敗源的具體判斷，仍然必須指出那個失敗源究竟是什麼。

這些案例不承擔本章理論結論的證明作用，也不用於把某個具體事件判定為惡意或非惡意。多個案例能夠被同一結構解釋，不意味著該結構已經因此被證明，也不能據此推出本書已經覆蓋所有可能的失陷類型。

資料來源

本章涉及的具體案例材料與來源統一列入本書附錄及全書《參考文獻與資料來源》，正文不展開內部案例編號、核驗狀態與研究過程。

---

第六章｜一處失陷，多處失效

本章解釋一種容易被“多道控制”掩蓋的結構性失效：一個具體的共享失敗源，可以同時取消名義上多個控制點的約束。這裡的“取消”不是攻擊者逐道攻破控制，而是多道真實存在、甚至局部仍正常運行的控制，因為共同依賴的身份、權限、更新、恢復、通信或其他基礎條件失陷，而一起失去原有約束力。因此，數量、多籤、多憑據、不同進程、節點、副本或部署位置，都不能自動證明 failure-domain independence；真正需要證明的是這些控制是否擁有彼此不同的失陷路徑。為防止“共享失敗源”淪為事後萬能解釋，本章設下一條硬邊界：必須具體指出失敗源是什麼、各控制如何依賴它，以及它為何能夠同時取消這些約束，指不出來就不能作出這一判斷。該結構目前只保持最小核心的有條件凍結，不形成正式機制或分類體系；二十個現實案例只承擔壓力測試作用，8 Strong / 10 Partial / 0 None 也不構成理論證明。本章同時保留一個未決問題：不同意義上的獨立目前沒有統一判據。下一章因此轉向另一種失效——如果控制和約束本身都還在，為什麼它們仍然沒有作用到那一次真正發生的執行上？

「我們有好幾道關」

討論一個系統是否安全時，有一句話很有誘惑力：我們有好幾道關。

這句話首先陳述的是一個可以清點的事實：審批有兩級，簽名需要多把鑰匙，憑據不止一套，服務部署在不同位置；這些東西都可以數出來，也可以在架構圖上分別指出。

但說出「我們有好幾道關」時，人們真正希望得到的，往往不只是數量上的結論，而是另一個更強的判斷：這些關不會在同一次失陷中一起失去作用。

問題就在這裡。

「有幾道關」與「這些關是否彼此獨立」不是同一個問題。前者可以通過配置、節點、憑據和部署數量直接核對；後者卻需要繼續追問：每一道關在什麼條件下會失效，這些失效條件之間是否存在共同部分。僅僅把前者數清楚，並不能自動回答後者。

數量因此很容易被當成獨立性的證據，但兩者之間沒有自動成立的推導關係。

前面幾章已經分別建立了三個必要前提。一個受保護的結果之所以能夠受到保護，是因為存在一組它所必需的約束；這些約束是否真的作用於某一次具體執行，需要單獨判斷。多層控制是否獨立，取決於它們所處的信任域，而不取決於畫出了多少層。與此同時，失陷也不要求先出現一個攻擊者，它可以先作為系統已經面對的條件成立。

三條線到這裡匯合成同一個問題：

一次失陷為什麼可以同時取消多個看起來獨立的控制？

這裡最重要的是「看起來」三個字。

系統可能確實擁有多道控制，確實做了部署分離，也確實能夠在架構圖上畫出多個彼此分開的方框。問題不在於這些控制是不是假的，而在於這些真實存在的控制，是否真的具有彼此不同的失陷路徑。

所以這一章不問「到底有多少道關」。

它要問的是：這些關為什麼可能在一次失陷中同時失去作用。

取消，不是攻破

這一章要建立的判斷其實很窄：

存在這樣一種結構：一個具體的共享失敗源，能夠同時取消名義上多個控制點的約束。

這裡最重要的詞不是「多個」，而是「取消」。

取消並不是有人把每一道關分別攻破了一次。在這種結構裡，控制點可能一個都沒有少，約束規則也仍然存在，執行這些控制的主體仍然處在原來的位置。真正發生變化的，是這些控制共同依賴的某個東西已經失陷。

一旦這個共享失敗源失去可靠性，多道控制的約束力可以同時被取走，而從每一道控制自身看，它仍然像是完整的。

這與逐個攻破是不同的。

如果幾道關先後失效，一道關出問題以後，其他關在一段時間內仍然可能保持作用。這段時間使多重控制仍然具有意義：前一道約束已經失守，後面的約束仍然能夠阻止結果繼續向前，同時給系統留下發現、判斷和恢復的機會。

共享失敗源所取消的，正是這段差異。

它不是讓第一道關先失效，再讓第二道關失效，而是讓原本依賴同一個基礎條件的多道控制同時失去約束能力。於是，控制點在數量上仍然存在，多重控制在結構上卻已經不能發揮原來的作用。

這種失效也因此不一定表現成「每一道關都壞了」。

事後檢查某個控制點，它本身可能仍在正常運行；檢查規則，規則也可能仍在配置中；從每個局部位置看，各自都沒有發現自身發生了變化。問題出在這些局部控制共同依賴的位置，而這個位置並不落在任何一個控制點對自身狀態的局部判斷之內。

所以，所有局部狀態都可以看起來成立，整體約束卻已經不再成立。

這裡所謂「名義上的多」也不是說這些控制是假的。控制點真實存在，部署分離也可能真實存在，架構圖上的多個方框沒有任何虛構。

「名義」指的是多重性成立的層面：命名、編制、部署和數量。

在這些層面上，系統確實有多道控制。但這個事實並不自動回答另一個問題：這些控制是否具有彼此不同的失陷路徑，還是會被同一個失敗源同時取消。

因此，數量上的多與失陷路徑上的多必須分別判斷。

這種結構也不能被理解成「攻擊者能夠一次攻破很多道關」；它甚至不要求存在攻擊者；失陷是一個條件，惡意則是另一回事。

例如，一次錯誤的憑據輪換、一項影響範圍超出預期的配置變更，或者一次將多個組件共同恢復到某個狀態的操作，都可能作用在多個控制共同依賴的位置。這樣的事件可以沒有惡意意圖，卻仍然產生多道約束同時失效的結構後果。

現實材料中，共享失敗源在非惡意與惡意語境中都出現過。這與把它作為一種結構性質而不是單純攻擊手法來處理的方式一致，但這些材料本身並不證明這條結構為真。

還需要說明這條結構目前的理論狀態。

它不是一條已經定稿的正式機制。研究階段曾使用一個臨時名稱：共享失敗源耦合（Shared Failure-Source Coupling）。這個名稱本身沒有凍結，也不能由此建立一套已經完成的機制分類。它與其他候選結構之間，同樣不能被直接整理成同層、互斥或窮盡的分類關係。

它目前處於有條件凍結（CONDITIONALLY FROZEN）狀態。

所謂有條件凍結，是指最小核心已經可以保持穩定：

一個具體的共享失敗源，能夠同時取消名義上多個控制點的約束。

被凍結的是這條最小邊界，而不是圍繞它可能建立的公開名稱、內部子類或層級體系。

因此，這條結構現在可以被用來追問一個具體系統：是否存在這樣一個共享失敗源，它一旦失陷，就會同時取消多個控制點的約束。

但它還不能被用來宣佈一套正式機制、分類或命名體系已經建立。

這就是「有條件凍結」在這裡的邊界：核心判斷可以使用，圍繞它的形式理論仍然沒有完成。

必須指出那個源

上一節那句最小邊界裡，有一個詞承擔了幾乎全部重量：具體。

這是一條硬性限定。要斷言某一次多重控制同時失效屬於這種結構，就必須指出那個被共同依賴的失敗源究竟是什麼。

指不出來，就不能這樣斷言。

否則，這個判斷很容易退化成一句無法被反駁的話：只要看到多道控制同時失效，就在事後說「它們背後一定共享了某個東西」。

問題在於，如果那個「某個東西」始終不需要被指出，這句話幾乎可以解釋任何結果。它並沒有讓系統變得更可理解，只是把「不知道為什麼它們一起失效」換成了一個聽起來更有結構的說法。

因此，舉證順序不能顛倒。

不是先認定一次事件屬於共享失敗源結構，再去尋找一個能夠解釋它的源；而是先指出那個源，並證明多個控制確實共同依賴它，這次結構判斷才成立。

這也是為什麼不能把這種結構簡化成一張萬能圖式：中間放一個根，外圍畫幾個控制點，然後只要發生多處失效就往裡面套。這樣的圖看起來很直觀，卻省掉了這條結構唯一不能省掉的部分——具體舉證。

而「具體」也有明確門檻。

只說「這些系統共享基礎設施」還不夠；基礎設施只是一個類別，並沒有指出真正的對象。

一次完整的指認至少要回答三個問題：

它是什麼？

這些控制點分別怎樣依賴它？

如果它失陷，這些控制點的約束為什麼會同時失去效力？

這三個問題必須落到可以核對的對象和關係上。只要其中任何一個仍停留在「某種基礎設施」「某個共同依賴」「某條公共路徑」這樣的類別描述上，舉證就還沒有完成。

共享失敗源可以出現在一些非常具體的位置。例如，多個控制點可能使用同一個身份；它們的權限最終來自同一條授予路徑；配置或版本由同一條更新通道下發；故障之後由同一套恢復機制重新建立狀態；或者它們的通信最終受到同一個控制面的約束。

這些位置有一個共同特點：它們未必直接參與某一次允許或拒絕的判斷，卻可能決定那些負責判斷的組件能否繼續保持原來的身份、權限、版本、狀態或通信關係。

因此，在清點「我們有幾道關」時，這些共同依賴很容易不被計入控制數量之中。它們如果不被單獨追問，那麼它們失陷之後究竟會同時影響哪些控制，也就很容易被遺漏。

但這些位置只能作為尋找具體失敗源的方向，不能反過來成為預設答案。看到兩個控制使用同類技術，不等於它們一定共享失敗源；知道某類共享位置可能存在，也不等於某一次事件已經滿足這條結構。

舉證必須一次一次完成。

指出這一組控制共享同一條恢復路徑，只能支持這一組控制的判斷，不能自動繼承到另一組控制上。兩個系統即使外觀、部署方式或者技術棧相似，也仍然需要分別回答它們實際共享的是什麼。

這使得這條結構可以被驗證，也可以被反駁。

如果被指出的共享失敗源實際並不存在，或者某個控制並不依賴它，又或者這個源失陷後並不能同時取消所聲稱的那些約束，那麼這一次斷言就不成立。

所以，共享失敗源不是一個用來解釋未知事故的通用答案。

它只有在那個具體的源被指出、依賴關係被說明、同時失效的路徑能夠被核對以後，才成為一個成立的結構判斷。

名義上的多，結構上的獨立

現在可以給出這一章的第二個判斷：

數量、多籤、多憑據不自動證明 failure-domain independence。

這裡最重要的是「自動」兩個字。

被否定的是自動證明，不是數量本身的價值。增加一道真正具有不同失陷路徑的控制，當然可能提高結構的獨立性；增加一把落在不同控制邊界上的簽名鑰匙，也可能增加一道真實約束。本章沒有說「多」沒有意義。

它說的是：數量不是獨立性的證明。

一個系統有幾個控制點，是關於命名、部署和數量的事實；這些控制點會不會被同一次失陷同時取消，則是關於失陷路徑的事實。前者可以直接清點，後者必須另外論證；把前者數清楚，並不能替代後者的證明。

工程上增加數量通常也比說明獨立性更直接。多加一級審批、多配一套憑據、增加一個副本，都有清楚的實施動作和完成狀態；而判斷兩道控制是否可能被同一個失敗源同時取消，需要繼續追查身份、權限、更新、恢復、通信以及其他共同依賴。

因此，數量上的增長不能被直接換算成獨立性上的增長。一個系統可以擁有更多控制點，卻仍然需要分別證明這些控制點是否具有不同的失陷路徑。

這裡有兩條更具體的保護性否定。

第一條：

權威的數量不等於獨立性。

讓三個人而不是一個人簽字，首先說明的是需要三個授權動作。只有當這些授權本身來自能夠分別失效的路徑時，三個人才同時意味著三道獨立約束。

如果三個人的權限最終都由同一個位置授予、回收或臨時提升，那麼名冊上雖然存在三個主體，它們在某些失陷條件下卻仍然可能一起失去約束能力。

所以，多籤門檻回答的是：

需要多少個同意才能放行？

獨立性回答的則是：

這些同意能不能被同一個失敗源同時取消？

前一個數字不能自動回答後一個問題。

多套憑據也是一樣。系統擁有三套憑據，首先只能證明憑據的數量是三。如果它們由同一處簽發、在同一次輪換中共同替換，或者通過同一條恢復路徑被重新建立，那麼數量本身並沒有證明它們具有三個不同的失陷域。

這不是否定多憑據，而是要求把「有幾套」與「怎樣失陷」分開判斷。

第二條：

部署分離不等於證據控制的獨立性（部署分離 ≠ Evidence control independence）。

把產生記錄的系統與保存記錄的系統分開部署，是一個真實的工程分離。但部署位置不同，只回答了它們是不是處在同一個運行位置，並沒有自動回答誰能夠控制兩邊的內容。

如果兩邊最終受到相同身份、相同權限路徑或者相同控制來源支配，那麼物理位置或部署位置的分離，並不足以證明證據控制已經獨立。

因此，需要獨立的不是「看起來分開」本身，而是對證據的控制不能被同一個來源同時改變。

這兩條不能被繼續擴展成一張獨立性維度表。

權威的數量不等於獨立性，以及部署分離不等於證據控制的獨立性，都是保護性的否定。它們用來阻止兩個常見推論，卻不因此建立兩種正式的失效類型，也不意味著獨立性只需要檢查這兩個方面。

邊界獨立性在這裡同樣只承擔判斷作用。

它的最小含義是：一個控制邊界的成立，不依賴於它所約束的主體能夠同時關閉、重寫或繞過這個邊界。

這是一個否定式性質，不是一份正面構成清單。本章不回答「滿足哪些條件就一定構成獨立邊界」，也不試圖建立這種統一結構。這裡所做的，只是用這個性質檢查前面討論的共享失敗源。

這一檢查有一個明確的失敗面：如果多個邊界共享同一身份、權限、更新、恢復或通信控制根，而一次失陷能夠因此同時取消多層約束，那麼這些邊界就不能僅憑數量或部署差異被視為彼此獨立。

同樣，不同進程、節點、副本、服務或名稱，也不自動構成獨立。

這些對象確實可以分別存在，架構圖也可以把它們畫成不同方框。但圖上能夠直接展示的是位置、節點和連接關係；獨立性還要繼續追問身份從哪裡來、權限如何授予和回收、更新經過什麼路徑、恢復由什麼控制、通信受到誰的約束。

因此，拓撲上的分離可以成為事實，卻不能獨自承擔獨立性的證明。

這裡還必須守住幾條邊界。

邊界獨立性不等同於冗餘，也不等同於分佈式部署。它不保證我們對某兩個邊界是否獨立的判斷永遠正確，因為這個判斷本身也可能出錯。

它同樣不排除共謀。

它也不要求所有邊界都必須物理斷開。這個判斷既不能被解釋成「物理隔離沒有價值」，也不能反過來推出「只有物理隔離才能形成獨立邊界」。兩個方向都超出了這裡能夠建立的結論。

所以，本章真正能夠判斷的是獨立性什麼時候明顯不成立，而不是給出一套「滿足這些條件就一定獨立」的正面構成方法。

數量可以增加，部署可以分開，主體可以變多。

但是否因此形成了多個真正不同的失陷邊界，仍然必須另外證明。

案例只能做壓力測試

上一節已經建立了一條硬性要求：只有能夠指出具體的共享失敗源，才能斷言多個控制點的同時失效屬於這裡討論的結構。

現實案例只能在這個要求之後進入。

本書為這一部分研究整理了二十個正式案例，其中十八個為合格案例，兩個被保留為邊界案例。它們不是為了湊出一個統計數字而抽象出來的樣本，而是來自具體的現實事件。

為了知道這個案例池大致包含什麼，可以看其中幾項：Columbia STS-107、2010 Flash Crash、Deepwater Horizon / Macondo、Ronin Bridge，以及 Ubiquiti insider / Nickolas Sharp，都在這二十個案例之中。其中 Columbia STS-107 與 2010 Flash Crash 被保留為邊界案例；Deepwater Horizon、Ronin Bridge 與 Ubiquiti insider 屬於合格案例。

這裡列出這些名字，不是要把它們逐一寫成「共享失敗源」的證明。事實上，這些事件在後面的章節裡還會承擔不同的理論壓力，有些甚至專門用於阻止某種過寬解釋。把它們提前統一解釋成同一種機制，反而會破壞這些案例原有的邊界作用。

第六章使用的是這二十個案例在當前結構上的整體分佈：

八例 Strong，十例 Partial，零例 None。

這組數字描述的是現實材料對「共享失敗源能夠同時取消多個名義控制點約束」這一結構形成了多大的壓力，而不是對案例本身進行優劣分類。案例是否合格，與它在這條結構上呈現 Strong、Partial 或 None，也不是同一個維度。

更重要的是，這組統計不能反過來告訴我們「哪八個案例就是 Strong」。本章掌握並使用的是池級結果，而不是一張可以把二十個案例逐一貼標籤的公開歸屬表。因此，不能根據案例名稱、後續章節中的用途或者讀者自己的直覺，去補出這種對應關係。

這也是為什麼案例仍然不能代替上一節的舉證要求。

即使整個案例池在這一結構上呈現出較強覆蓋，當我們把判斷落到某一個具體事件時，仍然必須重新回答：那個共享失敗源究竟是什麼？多個控制點分別怎樣依賴它？它為什麼能夠使這些約束同時失效？

如果這三個問題答不出來，案例池裡的統計不能替這一次判斷補上答案。

「零例 None」也只能在這個範圍內理解。它表示，在當前二十個正式案例形成的材料中，沒有出現被記錄為對這一結構完全無支持的案例。這也是當前結構能夠保持有條件凍結（CONDITIONALLY FROZEN）的重要案例層條件。

但零不等於世界上不存在反例。

當前案例沒有排除這條結構，與這條結構已經被證明為真，是兩件不同的事。案例在這裡承擔的是壓力測試，不是證明。 案例能夠被當前結構解釋，也不等於結構因此獲得了真理性的證明。

所以，這二十個案例真正提供的不是一個答案，而是一種現實壓力：共享失敗源這一結構必須能夠面對來自不同現實事件的檢驗，同時又必須在每一次具體使用時把那個失敗源真正指出來。

數字告訴我們這條結構目前經受了多少材料壓力；具體舉證決定它能不能用於某一個真實事件。

兩者缺一不可。

還沒有統一的判據

這一章走到這裡，還留下一個沒有回答的問題，而且這個問題不會在本書裡被回答：

在什麼條件下，可以說兩個邊界真正獨立？

目前沒有統一的判據。

物理上的分離、權力上的分離、判斷上的分離、信任域上的分離、信息來源上的分離、狀態來源上的分離，都可以分別表達某種意義上的獨立。

但這些意義不得相互替換。

在一種意義上獨立，不能直接推出在另一種意義上也獨立。兩臺機器位於不同位置，不等於它們的權限來源彼此獨立；兩個審批人屬於不同部門，不等於他們依據的是彼此獨立的狀態；兩套判斷邏輯分別實現，也不等於它們使用的信息來自不同來源。

問題就在這種換算上。

當系統表現出一種意義上的分離時，很容易順勢把它當成另一種意義上的獨立證據。部署上的分開被用來支持權限獨立，人員上的分開被用來支持判斷獨立，邏輯上的分開又被用來支持信息來源獨立。中間缺少的那一步，就是為什麼前一種獨立能夠推出後一種獨立。

目前沒有一條統一關係能夠完成這種換算。

這不是本章故意留下的懸念，也不是一項等待後文完成的任務。這個問題屬於形式理論層。要建立統一判據，需要一套目前尚未建立的形式結構，而不是繼續增加幾個案例或者幾條經驗規則。

因此，在這樣的判據出現之前，「這些控制彼此獨立」不能被一次性宣佈成立。

它仍然需要回到具體結構逐次舉證：這些控制分別依賴什麼，它們共享什麼，又有哪些失陷路徑並不共享。

這也是為什麼本章最終沒有給出一張“獨立性檢查表”。如果連不同意義上的獨立如何相互換算都還沒有統一判據，那麼提前列出一張統一清單，只會把尚未建立的關係偽裝成已經建立。

本章能夠留下的，是一個更有限的問題：

這幾個控制點，共享的是什麼？

每一次具體判斷，都需要重新回答這個問題。

如果控制都還在

這一章打破的是那句「我們有好幾道關」。

問題不一定在於關太少，而可能在於幾道真實存在的關，共同依賴著同一個東西。當那個具體的共享失敗源失陷時，多道控制的約束可以被同時取消，而每一道關看起來仍然站在原來的位置。

但這只是多重控制失效的一種形態。

它有一個明確前提：必須存在一個能夠被具體指出的共享失敗源。

如果找不到這樣的源呢？

如果幾個控制點確實分別依賴不同的東西，它們自身沒有失守，約束規則也沒有被取消，但那個本應受到保護的結果最終還是到達了現實，那麼前面關於共享失敗源的解釋就已經不夠了。

於是，下一個問題出現：

如果約束本身還在、控制點也還在，結果為什麼仍然到達了現實？

這是下一章要處理的問題。

但第六章與第七章之間只有呈現順序，沒有理論上的前置關係（PRESENTATION, NOT PREREQUISITE）。下一章不需要先接受本章的結構才能成立，兩章處理的是不同的失效形態。

它們的排列也不表示強弱關係（PRESENTATION SEQUENCE ≠ STRENGTH ORDER）。第七章不是第六章的升級版，兩者不構成從輕到重、從淺到深的層級，也不構成一條必須依次成立的依賴鏈。

第六章到這裡結束，因為共享失敗源能夠解釋的問題已經走到了邊界。

接下來要看的，是另一種更奇怪的情況：

控制沒有消失，約束也沒有消失，但它們沒有作用在那一次真正發生的執行上。

本章術語

• 失陷｜Compromise
• 可錯｜Fallible
• 惡意｜Malicious
• 部分失陷｜Partial Compromise
• 共享失敗源｜Shared Failure Source
• 治理｜Governance
• 邊界案例｜Boundary Case
• 壓力測試｜Stress Test
• 對抗性完整｜Adversarial Completeness

本章案例

本章使用一個由二十個正式案例構成的案例池作為現實壓力測試。其中十八個為合格案例，兩個為邊界案例。案例在本章中的作用，是檢驗相關結構能否面對不同現實語境，而不是證明理論成立。

正文中明確提及的代表性案例包括：

• Columbia STS-107：邊界案例。
• 2010 Flash Crash：邊界案例。
• Deepwater Horizon / Macondo：合格案例。
• Ronin Bridge：合格案例。
• Ubiquiti insider / Nickolas Sharp：合格案例。

這些案例在後續章節中還會承擔不同的理論作用，因此本章不提前把它們統一解釋成同一種機制，也不根據案例名稱逐一標註 Strong、Partial 或 None。

本章只使用案例池在當前結構上的整體壓力測試結果：8 Strong / 10 Partial / 0 None。

這一結果不等於理論已經被證明，也不意味著不存在反例；它只說明，在當前案例材料範圍內，這一結構沒有遇到被記錄為完全不適用的案例。

---

第七章｜查到的不是該查的

本章處理一種與共享失敗源不同的失效：約束沒有被刪除，控制點也沒有消失，系統甚至確實完成了檢查，但這一次實際進入判斷併發生作用的，並不是保護當前結果所必需的那一組約束。為此，本章重新連接第一章已經分開的兩個對象——必需約束集合與實際被查詢或生效的集合——並指出兩者發生替代時，問題不在“有沒有約束”或“檢查有沒有通過”，而在“這一次究竟查到了什麼”。這種替代不要求原來的約束被破壞，也不要求實際生效的集合本身有錯誤；它甚至可以真實、合法、內部自洽，只是在當前動作上並不足夠。本章因此進一步強調，“不足”不是數量太少，而是相對於這一次具體動作及其受保護結果而言。意圖、狀態、策略等都可能進入必需集合，但本章不據此建立固定成員清單，也不討論證據充分性、策略收斂或意圖本體。研究材料支持這一結構在不同領域重複出現，但案例只承擔壓力測試，不構成證明。目前能夠凍結的是最小結構，名稱與內部分類仍然開放。下一章因此繼續追問：如果問題不只是“查錯了集合”，而是存在一條根本不經過必需約束、卻仍能產生同樣受保護結果的路徑，又會發生什麼？

一次動作已經落到現實裡；錢付出去了，權限開出去了，或者指令已經下到設備上。事後回頭看，規則還在，控制點沒有被關掉，負責判斷的組件也都完成了自己的檢查並返回通過。

必要的約束還在系統裡，為什麼它沒有對這一次動作生效？

這個問題容易被帶回熟悉的方向：配置是不是被改了，開關是不是被關了，檢查是不是被繞過了。如果這幾條線索都沒有給出答案，真正需要繼續追問的，是另一件事：

這一次動作實際查到的，是不是該查的。

如果分析仍然只圍繞配置、開關和檢查是否存在展開，那麼即使這些對象都正常，也仍然沒有回答這一次到底用了什麼來作判斷。配置沒有錯、開關沒有關閉、檢查沒有被越過，只能說明這些對象仍在；它們不能自動說明真正需要的約束已經作用在這一次執行上。

這裡藏著一個很容易被默認的等式：

約束在，就等於約束生效了。

一份條款存在、一個控制點存在、一個組件完成了檢查，都可以是真實事實。但這些事實首先證明的是「存在」。到了某一次具體動作被判斷的時刻，還需要單獨追問：實際進入判斷、實際發生作用的，究竟是哪一組約束。

第一章已經把這兩個對象分開：一個是該受保護結果所必需的約束集合，另一個是這一次實際被查詢或生效的集合。第一章還明確沒有規定兩者必須重合，只把它們作為兩個可以分別指認的對象，並使「約束是否真的生效」成為可以被提出的問題。本章接著處理的，就是兩者不重合時可能出現的一種結構。

這裡對第一章的回指是嚴格的：第一章沒有解釋這兩個集合為什麼會不同，也沒有給這種差異命名；它只是把位置留了出來。本章不會把後來的結構反寫成第一章已經得出的結論。

本章緊接上一章，但這種緊接只發生在呈現層。PRESENTATION，NOT PREREQUISITE。第六章處理的是一個具體共享失敗源如何同時取消多道控制，本章處理的是另一類問題；兩章都可以回到第一章建立的必要約束集合這個共同基礎，但彼此不構成認知上的前置關係。

替代，而不是移除

這一次沒有對動作生效的原因，可以完全不涉及任何東西被破壞。

結構是這樣的：那個受保護結果所必需的約束集合，被另一個集合替代了；而那個實際被查詢、實際起作用的集合，對這一次動作是不足的。

這裡承重的詞是替代。

替代不要求原來的集合消失；必需集合可以一直完整地存在於系統裡：文件還在，條款還在，控制點也還在；只是到了這一次具體動作上，它沒有成為實際起作用的那個集合。

真正被使用的是另一個集合。這個集合本身也可能是真實的、合法的，屬於同一個系統，並且在它原來的適用範圍內完全成立。問題不在於它是不是“壞的”，而在於：它不是這一次所必需的那一個。

因此，這種失效不需要約束被刪除，也不需要約束被攻破。

刪除和攻破通常都會讓人去尋找某種缺席或異常，而替代未必以這種外觀出現。一次查詢仍然可以正常發生：請求被髮出，某個來源被命中，結果被返回，檢查也得到通過。對參與這一過程的局部組件來說，各自都可能完成了自己被要求完成的工作。

問題出在另一層。

被刪除的約束已經不在；被替代的約束卻仍然在系統裡。它甚至可能出現在同一份配置、同一套規則或同一組日誌中，只是這一次真正進入判斷的不是它。

如果檢查只問：

有沒有約束？

以及：

約束有沒有通過？

那麼這兩個問題都可能得到肯定回答，卻仍然沒有回答第三個問題：

被滿足的究竟是哪一個集合？

這就是這一結構最容易被漏掉的位置。

問題不是檢查不夠細，而是檢查的對象不同。只要檢查停在“約束是否存在”和“已有檢查是否通過”，它得到的仍然是關於存在與通過的答案，而不是關於“這一次究竟取用了什麼”的答案。

這一差異發生在動作被判斷的時候，而不是動作完成以後才出現。

到了判斷髮生的那個時刻，實際被查詢的集合已經被選定，並且可以在形式上完成整個判斷。事後如果只重新核對有沒有約束、約束有沒有被滿足，仍然可能得到與執行當時相同的答案。

要發現替代，需要把第一章已經分開的兩個對象重新放到一起問：

所必需的集合是什麼？

這一次實際生效的集合又是什麼？

只有這樣，兩者之間的差才會成為檢查對象。

這裡還存在一個容易混在一起的問題。

「這條路徑有沒有約束」問的是系統結構；「這一次動作實際受到了哪些約束」問的是一次具體執行。

前一個問題可以得到一個長期成立的系統級答案：路徑上確實部署著相應規則和控制點。後一個問題卻只能針對一次具體動作回答，因為每一次真正進入判斷的對象都必須回到那一次執行去確認。

因此，系統層面的“存在約束”，不能自動替代實例層面的“這一次這些約束確實生效”。

到這裡，章首那個等式才真正被拆開：

約束存在，不等於約束在這一次生效。

存在是一件事，被實際取用是另一件事；至於被取用的集合對這一次動作是否足夠，則還要繼續單獨判斷。

本節建立的只是前兩者之間可能發生的替代；下一節再處理這裡的「不足」究竟限定的是什麼。

「不足」是對這一次動作說的

「對當前動作不足」很容易被讀成數量上的少：查得太少了，漏了幾條，再補幾條就夠了。

這裡的「不足」不是這個意思。

它針對的是這一次動作，不是一個固定的條目數量。同一個集合，對另一次動作可能完全足夠；換成這一次動作，它卻可能不足。反過來，一個條目更多、覆蓋更廣、更新更勤的集合，也不能因此自動獲得對當前動作的充分性。

這個限定其實第一章已經埋在對象定義裡。

所謂必需約束集合，本來就是相對於某一個受保護結果而言的。脫離具體要保護的結果，不能單獨討論某條約束是不是必需。因此，本章說一個實際生效集合「對這一次動作不足」，也只是在沿用這一關係：它必須落回這一次動作及其對應的受保護結果來判斷，而不能靠集合本身的大小得出結論。

一個集合完全可以在內部自洽。它的條目沒有衝突，版本沒有問題，每一項檢查也都正常完成；但這些事實本身仍然不能回答，它是不是這一次原本需要生效的那個集合。

這正是為什麼把「不足」理解成數量問題會把分析帶偏。

如果只沿著數量去修補，可以不斷增加檢查項、審批環節或策略，使實際生效的集合變得更大，卻仍然沒有碰到本章討論的結構問題：這一次被查到的，究竟是不是該查的那一個。

只要這個問題沒有回答，集合增加了多少內容，都不能替代這個判斷。

反方向的誤讀也要避免。

說一個集合對當前動作不足，並不意味著這個集合本身有錯誤。它可以是有效的、最新的，屬於這個系統，也可以在自己的適用範圍內正確工作。這裡判斷的不是它總體上好不好，而是它是不是這一次動作所要求的那個集合。

如果把它理解成「一份壞的約束」，分析就會重新回到「哪裡壞了」：是不是版本錯了，是不是規則寫壞了，是不是配置出了問題。

而本章需要保留的恰恰是另一種可能：沒有哪一條約束必須先壞掉，替代仍然可以發生。

這裡也必須把本書的邊界說清楚。

本書不給出怎樣才算足夠，也不建立一套判斷必需集合是否充分的方法。什麼構成一個足夠的必需集合，屬於證據充分性的問題，不在本書的理論範圍內。

本章能夠建立的只有更窄的一層：

一個受保護結果所必需的約束集合，可以被一個對這一次動作不足的實際生效集合替代；而這種替代不要求原集合被刪除，也不要求它被攻破。

至於面對某個具體系統，怎樣證明一組約束已經足夠，本章不回答，本書也不回答。

被替代的那個集合裡有什麼

到這裡會自然出現一個問題：必需集合裡究竟有什麼？

這個問題只能回答到一定程度。

意圖、狀態、策略，都可以作為成員出現在一個受保護結果所必需的約束集合裡。它們在這裡不是新概念，各自已經有明確的邊界；本章只是借用這些邊界，說明“被替代的集合”並不是一個完全抽象的東西。

先看意圖。

主觀目標、結構化的意圖、授權、動作和結果屬於不同層級。一個意圖即使真實、明確，也不能因此自動獲得執行資格。換句話說，“確實有人想這樣做”與“這一次現實動作因此應當被執行”之間，仍然存在需要判斷的距離。

狀態也是一樣。

狀態可能缺失、過期、衝突、無效或者不完整。如果這樣的狀態仍然被系統自動當作滿足執行條件，那麼問題不是系統完全沒有讀到狀態，而是進入這一次判斷的狀態，並不足以代表它原本需要確認的現實條件。

策略這一側也有同樣的限制。策略不自行證明事實，不等同於權威，也不能自動獲得最終執行裁決權。它還可能因為來源汙染、版本過期、作用域錯誤、衝突未處理，或者被旁路和無條件覆蓋，而失去原本應當承擔的約束作用。

狀態與策略在這裡提供了兩個很直接的觀察位置。

系統可以確實讀到了一個狀態，卻把它當成了它不能代表的現實條件；也可以確實引用了一條策略，卻沒有讓原本應當作用於這一次判斷的那條約束真正生效。

這與本章前面建立的集合層結構是同一個方向：系統不是“什麼都沒查”，而是實際進入判斷的東西，與這一次真正需要進入判斷的東西發生了差異。

但本章只能說到這裡。

意圖、狀態、策略不是必需集合的窮盡成員。目前沒有一份已經成立的成員枚舉，本章也不能因為這三個對象已經有明確所指，就順手把它們整理成“必需集合由什麼組成”的完整清單。

證據也不能因為在其他位置具有重要作用，就被直接補進這樣一張構成表。

一旦把這些對象排列成固定成員，讀者得到的就不再是一個需要針對具體動作重新判斷的集合，而是一張可以逐項確認的檢查表。這樣反而會重新制造本章正在拆開的誤區：只要清單上的東西都存在，就認為這一次必要約束已經真正生效。

同樣，本章也不展開這幾個成員自身的內部構成。

狀態概念已經明確留下了一些沒有進入最小定義的內容，包括來源資格、版本、時間、新鮮度、衝突、局部可見性和恢復狀態。這些對象有自己的理論位置，本書不在這裡替它們建立下位體系。

策略也一樣。從“策略可以被旁路或無條件覆蓋”不能繼續推出一套策略應當怎樣管理、配置或者收斂的方法。那會把本章從驗證一個集合替代結構，帶到另一套策略理論裡。

意圖這一側同樣不能繼續向下建立它的本體結構。

因此，這一節有三條邊界需要一起保留：本章不建立意圖本體，不建立策略收斂，也不建立證據充分性。

這些不是暫時沒有寫完，而是本書在這裡主動停止的位置。

所以，“被替代的那個集合裡有什麼”並沒有一個可以一次寫完的成員答案。本章能夠確認的只是：一些已經有明確理論所指的對象可以進入其中，而真正需要檢查的仍然是，在某一次具體動作上，該生效的那些約束，與實際生效的那些約束，是不是同一個集合。

這不是「配置錯了」

到這裡還存在一種很自然的解釋：既然系統查到的不是這一次真正需要的約束，那麼問題也許只是配置出了差錯。某個作用域填錯了，某個環境裡的參數沒有同步，或者一條規則指向了錯誤的來源。

這種情況當然可能發生，但它不足以解釋本章討論的結構。

原因不在於配置錯誤不重要，而在於現實案例中，同樣的關係並不只出現在某一種系統或某一種實現方式裡。本書核驗的案例橫跨不同領域，具體技術、組織方式和失敗背景並不相同，但其中反覆可以看到一種相似的現象：

系統使用了一個真實存在、能夠正常參與判斷的來源，但它不是這一次真正需要作用的那個來源。

有時被取用的是一組約束，有時是一項資格，有時是某種狀態或表示。它們不一定是假的，也不一定已經損壞。系統甚至可能按照既有流程正常讀取它們、驗證它們，並據此完成一次形式上完全成立的判斷。

問題發生在另一處：真正需要約束這一次動作的東西，沒有成為這一次實際判斷的依據。

這就不能簡單等同於「配置錯了」。

配置錯誤描述的是一種具體原因，而本章討論的是一種更上層的結構關係。一次事件當然可能最終追溯到配置、版本、作用域或者其他實現問題，但無論具體原因是什麼，只要最終出現了“實際生效的集合取代了這一次所必需的集合”，本章關心的結構就已經出現。

現實案例對這一點提供的作用也只到這裡。

它們說明這種關係不是為了理論完整而假設出來的，也不是隻在某一種技術環境裡才有意義；在不同現實場景中，都能夠看到類似的問題形狀。

但案例不能反過來證明這條結構永遠成立。

一個事件能夠用這套關係解釋，不等於理論已經被證明；多個不同領域的案例呈現出相似結構，也不意味著所有類似事故都必須這樣解釋。案例在這裡提供的是現實壓力，而不是最終證明。

因此，本節真正需要留下的判斷很有限：

「查到的不是該查的」不能被簡單縮減為一次配置錯誤。配置錯誤可以是原因之一，但本章討論的是配置之上的關係：這一次實際進入判斷的依據，與這一次真正需要生效的約束髮生了替代。

把這一層分開以後，問題才不會在找到一個配置缺陷之後就過早結束。

已經確定的，與仍未確定的

走到這裡，需要把這個結構已經確定到什麼程度說清楚。

在本書這一側，它目前的狀態是：

**RESTATED + CONDITIONALLY FROZEN**。

這裡的「有條件凍結」，不是說圍繞它的一切都已經確定。

已經能夠保留下來的，是前面反覆建立的那個最小結構：一個受保護結果所必需的約束集合，可以被另一個對當前動作不足的實際生效集合替代，而這種失效不要求原來的約束被刪除或攻破。

這部分已經足夠穩定。

仍然沒有確定的，是它應該叫什麼，以及是否存在可以正式劃分的內部類型。

研究過程中曾使用過「約束來源替換」（Constraint-Source Substitution）這個名字，但它只是臨時名稱，不是已經確定的正式術語。讀者真正需要帶走的是這個結構，而不是這個名字。

同樣，本章也沒有建立一套正式的子類型。前面出現的狀態、策略、資格或者表示來源，只是在幫助我們理解這種替代可能落在哪裡；它們不能因此被整理成一張已經成立的機制分類表。

所以這裡的「有條件」非常重要：

結構可以保留，名字和分法仍然開放。

還有第二個必須保留的邊界。

同一個結構從執行控制這一側看，目前仍然是 **NOT FROZEN**。

這與本書這裡的 RESTATED + CONDITIONALLY FROZEN 並不矛盾。

同一個問題放在不同理論主題下，要求它承擔的解釋任務並不相同，能夠使用的證據範圍也不相同。本書能夠確認的是它在對抗性完整問題中的最小結構；這並不自動意味著它在執行控制體系中的位置、名稱和理論邊界也已經同時確定。

因此，不能用本書這一側的狀態去覆蓋執行控制一側，也不能反過來因為另一側尚未凍結，就取消這裡已經能夠成立的最小結構。

後來獲得的判斷，也不能倒過來改寫此前理論在當時實際達到的位置。

對讀者來說，最終只需要留下一個簡單區別：

這個結構已經可以使用，但它還沒有一個必須被記住的正式名字，也還沒有一套已經完成的內部分類。

這兩項開放狀態，本章不繼續解決，本書也不為它們補答案。

如果根本沒有經過呢

這一章到這裡建立的結構只有一個：一個受保護結果所必需的約束集合，可以被一個對這一次動作不足的實際生效集合替代；這種失效不需要任何約束被刪除或被攻破，只需要被查詢到的集合不是被要求的集合。

它在這一組對抗性結構中出現的位置，只是呈現上的先後。PRESENTATION SEQUENCE ≠ STRENGTH ORDER——先講不代表更常見、更嚴重或更基礎，後講也不代表依賴前面的結構。這些結構之間不構成強度序列，也不構成一條前置鏈條。把它們排成一張可以逐項比對的總表，反而容易讓人從排列本身讀出一套並不存在的秩序。

留下的問題來自這一章自己的結論。

如果實際生效的集合可以不同於必需集合，那麼把「必需集合」與「結果的產生」自然綁在一起的直覺，就需要再檢查一次。

本章處理的是其中一種情形：約束並沒有消失，系統也確實進行了判斷，但實際進入判斷的不是這一次所必需的那個集合。問題發生在取用的對象上。

還有一種情形，這一章沒有處理，也不在這裡作判斷：

是否存在一條根本沒有經過必需約束、卻能產生同樣受保護結果的路徑？

在這個問題被回答之前，這一章能夠留下的，是一種不同的追問方式。

事後分析一次失效時，除了「有沒有約束」和「約束有沒有通過」，還可以繼續問：

這一次，實際被取用的究竟是哪一個集合？

這個問題不保證一定能夠得到答案，但它至少把「約束存在」與「這一次真正生效」分開了。

問題在這裡提出，不在這裡回答。

下一章緊接這個問題，但這種緊接仍然只是呈現意義上的緊接：PRESENTATION，NOT PREREQUISITE。

本章術語

• 對抗性完整｜Adversarial Completeness
• 必需約束集合｜Required Constraint Set
• 實際被查詢或生效的集合｜Actually Consulted / Effective Set
• 受保護的現實結果｜Protected Result
• 結果產生路徑｜Result-Producing Path
• 意圖｜Intent
• 狀態｜State
• 策略｜Policy

本章案例

本章不展開具名單案。

本章使用的是全書統一案例池在這一結構上的整體觀察結果。案例來自不同現實領域，在這裡承擔的作用是壓力測試：觀察「實際進入判斷的約束、資格或表示來源，與這一次真正需要生效的約束髮生替代」這一結構，能否在不同現實場景中繼續成立。

案例池共二十個正式案例，其中十八個為合格案例，兩個為邊界案例。邊界案例不作為正例進入本章的強度判斷。

現有材料顯示，這一結構在不同領域中反覆出現，因此不能簡單縮減為某一種系統的配置錯誤。但這些案例不構成理論證明，也不能推出不存在反例，更不能據此判斷所有類似事件都屬於同一種結構。

本章不逐案標註哪些案例屬於強支持或部分支持，也不提前展開具體事故事實。相關具名案例會在後續真正承擔理論作用的章節中分別出現。

研究過程中曾使用「約束來源替換」（Constraint-Source Substitution）這一臨時名稱，但該名稱尚未凍結，因此不列入本章正式術語。

---

第八章｜另一條路

本章處理的是另一種失效：規則沒有被改寫，約束也仍然存在，但同一個受保護結果卻可以經由一條根本沒有經過其必需約束或否決的路徑到達現實。這裡必須把結果與路徑分開：兩條路徑可以在實現、組件、憑據和調用方式上完全不同，只要最終能夠產生同等的受保護結果，就必須放在一起判斷。因此，本章關心的不是某條已知路徑有沒有控制，而是同一個結果是否還存在別的走法。這個結構不要求有人主動“繞過”某道門，也不等同於後門、配置錯誤或正常路徑中的錯誤放行；Knight Capital 與 SolarWinds 提供正向壓力，而 AWS S3 和 Citibank–Revlon 則幫助劃出反向邊界：結果嚴重錯誤，並不自動意味著存在另一條未經約束的路徑。十八個合格案例中，2 Strong、7 Partial、9 None；這些 None 不是資料不足，也不是理論被否證，而是在迫使這一結構拒絕把所有執行失敗都裝進來。因而，本章能夠有條件保留的只有一個很窄的關係：存在能夠產生同等受保護結果、卻沒有經過該結果所必需約束的路徑。下一章繼續追問一個不同的問題：如果變化的不再是某一次請求走了哪條路，而是定義邊界的規則或其實現本身也被改寫了呢？

上一章停在一個不舒服的地方。必要的約束還在系統裡，控制點也還在運行，只是這一次真正被查詢到的那一組，不是這一次動作所要求的那一組。檢查全部通過，而該被攔下的東西照樣出去了。

那一章講的是查錯了：它默認了一件事：至少還有一次查詢；請求進入了某個檢查的視野，只是那個視野對這一次動作來說不夠。

現在把這個默認拿掉。

拿掉之後，剩下的場景其實很安靜。沒有那道必需檢查產生的拒絕，也未必會留下那道檢查的記錄，因為這條路徑沒有經過它。上一章至少還有一次查詢可以復盤，可以繼續追問為什麼查的是那一組；這一章連這樣的查詢對象都不一定存在。

本章與上一章在呈現順序上相鄰，PRESENTATION，NOT PREREQUISITE。讀這一章所需的前置，只有第一章給出的兩個對象：一個受保護的結果，以及能夠產生這個結果的路徑。上一章不是本章的認知前提。

要問的問題是：

是否存在一條根本沒有經過必需約束、卻能產生同樣受保護結果的路徑？

這個問題只有在那兩個對象被拆開之後才提得出來。如果「受保護的結果」和「產生它的那條路」還粘在一起，也就是說，如果一個結果在人們心裡就等於那條被管住的流程，那麼這個問題連語法都不成立：路都被管住了，哪來的另一條。

拆開之後，情況就變了。

結果是結果，路徑是路徑。一個結果可以由不止一條路徑產生，而約束作用在路徑上。約束覆蓋了哪些路徑，與這個結果究竟可以通過哪些路徑產生，是兩個不同的事實，沒有什麼可以讓我們預先把它們視為相同。

日常表達很容易把這兩個事實壓進一句話裡。有人問「這件事管住了嗎」，回答可能落在某個控制點的狀態上：它存在、它啟用、它確實能夠攔截某類請求。這個回答說的是約束所覆蓋的路徑。

本章追問的卻是另一端：

同一個受保護結果，還有沒有別的路徑能夠到達？

這兩句話回答的不是同一件事，而本章討論的結構，就出現在兩者之間。

這個問題聽上去很像在問後門、旁路或者繞過審批的口子。但這些說法通常預設了一個被繞開的對象：先有一道門，才談得上從門邊走過去。

這裡的問題更窄。

不是先假定有人繞過了某道門，而是先固定一個受保護結果，然後問：是否存在一條不經過這個結果所必需約束，卻仍然能夠讓同樣結果在現實中成立的路徑？

「同樣」是在結果上說的

答案是存在。

可以把它寫成一句儘量不帶修飾的話：

存在能夠產生同等受保護結果（protected result）的路徑，卻沒有經過該結果所必需的約束或否決（constraint / veto）。

這句話裡最容易被讀錯的詞是「同等」。

它說的是結果同等，不是路徑同構。兩條路徑可以在實現上毫無相似之處：使用不同的接口、不同的組件、不同的憑據、不同的調用順序，甚至由不同的團隊維護、用不同的詞彙描述自己。這些差異本身都不決定這裡的判斷。

判斷落在結果那一端：錢是否已經付出，權限是否已經生效，設備是否真的動作，某個現實狀態是否已經成立。

如果兩條路徑最終能夠產生同一個受保護結果，而其中一條沒有經過這個結果所必需的約束或否決，那麼它就是本章要討論的那條路徑。

比較之所以必須放在結果這一端，是因為真正需要被保護的也是結果。

一個結果之所以成為受保護的結果，不取決於產生它的那段實現是否重要，而取決於它一旦成立，就已經成為現實。保護針對的是這個現實結果，而不是某一條通向它的實現路徑。

因此，兩條路徑即使在工程結構上相距很遠，只要能夠產生同一個受保護結果，在這裡就必須被放到一起考慮。

如果把「同等」讀成「相似」，比較範圍會被悄悄縮小。只在長得相似的路徑中尋找，自然只能看見相似的路徑；而本章的判斷標準並不在實現的外形上。

需要先固定的是結果，然後再問：這個結果可能由哪些路徑產生，其中哪些經過了該結果所必需的約束，哪些沒有。

從路徑一側觀察，首先看到的是系統已經畫出來的結構：路徑通向哪裡，控制點部署在哪裡，已有流程怎樣組織。這樣的視角可以完整描述一條已知路徑，卻不能因此證明同一個結果只能由這條路徑產生。

從結果這一端重新追問，問的是另一件事：除了已經知道的路徑，還有沒有別的路徑能夠產生同樣的結果。

這裡必須把一個邊界說清楚：

本章建立的是這種結構的存在，不是一套把所有這類路徑找出來的方法。

從結果回看路徑，在邏輯上很清楚，在工程上卻未必容易。要斷言「這個結果沒有別的走法」，意味著需要知道還有哪些路徑能夠產生它；至於怎樣發現這些路徑、怎樣證明已經找完，本章沒有提供方法，也不在這裡承諾能夠做到。

存在性與可發現性是兩件事。

承認這種結構可以存在，不等於系統已經具備發現全部此類路徑的能力。

也正是在這裡，「必需」兩個字需要被限定。

約束的必需性不是約束自身孤立具有的屬性，而是相對於某個受保護結果而言。同一道審批，對某一類結果可能是必要條件，對另一類結果則未必承擔同樣作用。

因此，判斷一條路徑是否沒有經過必需約束，首先必須知道這一次究竟在保護什麼結果。沒有這個參照，單獨說「系統裡有控制」「這條路徑經過了檢查」，都不足以回答本章的問題。

還有一點需要保留：這條最小陳述裡沒有指定任何動作者。

它描述的是路徑、約束與結果之間的關係，而不是誰主動繞開了什麼。

「後門」這個詞往往會自然帶入一個故事：有人建立它、有人知道它、有人選擇使用它。但本章討論的結構並不要求這些角色存在。即使沒有這樣一個主動推動事件的主體，只要能夠產生同一受保護結果的路徑沒有經過該結果所必需的約束，這個結構仍然成立。

本章到這裡不再繼續解釋它為什麼出現，只保留這層關係本身。

研究過程中，這條結構曾使用過一個暫時的名稱：Required-Constraint Path Bypass。

這個名稱只是研究階段的記法，並沒有被凍結為正式的對外術語，本章也不把它作為術語使用。它曾屬於一組用於整理問題的研究項，而那組研究項從未被確立為一組正式機制。

因此，讀者不需要記住這個名字。

需要保留的是它指向的結構：

同一個受保護結果，可以存在不經過該結果所必需約束或否決的另一條路徑。

這個失敗條件不是本章發明的

在已經確定的「執行邊界」概念裡，有一條失敗條件寫得很直接：

存在不經過同等檢查卻能產生同等現實結果的路徑。

這句話不是到了本章才出現的。

本章做的事情是核驗，而不是重新命名：把這個已經存在的失敗條件放到本書討論的問題裡，看它是否仍然成立。如果能夠對上，它仍然是原來的失敗條件；如果對不上，也不能因為本章需要它，就重新解釋成另一種東西。

這也是理論能夠被工程使用時必須經歷的一步；一條失敗條件不能只在定義它的時候成立；換一個問題、換一組材料之後，它仍然要能夠被重新辨認。

但本章對「執行邊界」的使用也只到這裡。

它在什麼條件下成立，在整套執行控制結構裡承擔什麼作用，不屬於這一章要展開的內容。本章只取它已經明確的失敗條件，用來檢驗眼前這條未經必需約束、卻能夠產生同等現實結果的路徑。

與它相鄰的還有「最終否決」這個視角。

在這裡，我們只關心幾個非常有限的問題：那道否決是否能夠到達這條路徑，是否真正覆蓋它，是否在執行過程中持續有效，以及它本身是否可能被改寫。

這些問題可以幫助檢查一條路徑是否真正受到約束，但不能因此把「最終否決」繼續擴寫成一套新的理論。

本章不建立它的本體，不為它劃分類型，不給它增加編號，也不把「否決失效」定義成一種新的機制。

原因很簡單：這一章要判斷的是一條能夠產生受保護結果的路徑，有沒有經過該結果所必需的約束。如果繼續向下解釋否決本身由什麼構成、有哪些失效形式，討論的對象就已經從路徑與邊界之間的關係，轉向了邊界自身的結構。

那不是本章要回答的問題。

案例裡到底發生了什麼

如果只說「另一條路」，這個結構仍然很抽象。現實案例真正有價值的地方，是能把它和另一類看起來很像的問題分開。

先看 Knight Capital。

2012 年，Knight Capital 上線一項新的交易功能。它的交易系統由八臺服務器共同承擔，新代碼被部署到了其中七臺，卻漏掉了一臺。於是，同樣進入這套交易系統的訂單，並不一定進入同樣的軟件版本。

那臺沒有更新的服務器仍然保留著舊的 Power Peg 代碼。開盤後，客戶提交的真實訂單進入系統，其中一部分觸發了這條仍然存在的舊執行路徑。大約四十五分鐘內，系統產生了數百萬筆錯誤訂單，最終造成約 4.6 億美元損失。

這裡最值得注意的，不只是「代碼部署錯了」。

從整體上看，Knight 的交易系統還在工作，客戶訂單也是真的，交易中心也在正常執行收到的訂單。但對於同一個交易結果，集群內部實際上已經存在兩條不同的執行路徑：七臺服務器走的是新版本，一臺服務器仍然可能把請求帶進舊邏輯。

這就是為什麼「大部分節點已經正確」不能回答本章的問題。

本章問的不是系統整體有沒有控制，而是：能夠產生這個現實結果的每一條路徑，是否都經過了同樣必要的約束。

SolarWinds 提供了另一種更容易被忽略的形態。

SolarWinds 的客戶並沒有去下載一個來歷不明的軟件，也沒有主動繞過自己的更新制度。相反，他們使用的是真實產品，走的是正常的軟件更新渠道，軟件包也經過了既有的發佈和安裝流程。

問題發生在更前面：攻擊者已經進入供應商環境，並把惡意代碼植入後來正式發佈的 Orion 更新。於是，對於客戶來說，原本受信任的軟件更新路徑仍然存在，更新動作也完全正常；但通過這條資格進入客戶環境的實際載荷已經發生了變化。

這兩個案例的實現方式完全不同，一個發生在交易集群內部，一個發生在跨組織的軟件供應鏈中，但它們都提醒我們關注同一個問題：

產生一個受保護結果的路徑，並不因為系統裡存在一條正確路徑，就自動只有那一條。

不過，並不是所有嚴重事故都屬於這種結構。

2017 年 AWS S3 北弗吉尼亞區域中斷就是一個很好的反例。操作人員具有合法權限，使用的是既有操作手冊和正常生產工具。問題在於一個命令參數導致實際移除的服務器數量遠大於原本意圖。

現實結果當然錯了，但動作仍然沿著系統已有的正常生產路徑發生。這裡缺的是對執行範圍的約束，而不是另一條未經約束的執行路徑。

Citibank–Revlon 的誤付款也一樣。

相關人員具有真實的工作職責，系統中的兩級複核也確實發生，最終電匯同樣通過正常銀行系統完成。問題在於錄入和複核沒有把最終資金流向、金額與原本的業務意圖正確綁定起來。

接近十億美元被實際匯出，是一個極其嚴重的現實結果，但嚴重並不會自動把它變成「另一條路」。這次付款仍然走在既有工作流和電匯路徑上。

這正是現實案例對本章最重要的幫助。

結果錯誤，不等於路徑發生了偏離。

控制失敗，也不等於存在另一條路。

只有當能夠產生同一個受保護結果的某條路徑，沒有經過這個結果所必需的約束，本章討論的結構才真正出現。

本書對整組正式案例進行統一核驗後，正面支持這種結構的案例並不佔多數。這個結果很重要，因為它說明「另一條路」不是一個可以把所有控制失敗都裝進去的大口袋。

案例在這裡承擔的是壓力測試，而不是證明。它們既告訴我們這種結構確實能在現實中出現，也不斷迫使它拒絕那些雖然同樣造成嚴重後果、卻始終發生在正常路徑內部的事件。

下一節要處理的，正是那些被它明確拒絕掉的案例。

剩下的九個

本章使用的二十個正式案例中，有十八個屬於合格案例，另外兩個作為邊界案例單獨保留，不進入這裡的強度判斷。

把這十八個案例逐一拿來問同一個問題：

這個案例中，是否存在一條沒有經過該結果所必需約束、卻能夠產生同等受保護結果的路徑？

得到的結果是：2 個形成強支持，7 個形成部分支持，還有 9 個沒有落入這一結構，記為 None。

這裡的 None 必須先說清楚。

它不是「資料還不夠」，也不是「暫時無法判斷」。這些案例已經被核驗，也已經針對本章的問題作過判斷。None 表示的是：

這個案例是真實的，也是有效的研究材料，但就本章討論的「另一條路」而言，它不成立。

它同樣不等於「這個案例反駁了本章」。

一個案例在這一結構上是 None，只說明不能用「另一條未經必需約束的路徑」來解釋它。這個事故仍然可能存在其他嚴重的執行問題，只是問題發生的位置不在這裡。

這一點在現實案例裡並不難理解。

例如 AWS S3 2017 年的服務中斷：操作人員擁有合法權限，使用正常生產工具，也沿著既有操作流程執行命令；問題在於命令中的輸入使實際移除的服務器數量遠遠超過原本意圖。

結果當然出了問題，但這裡沒有必要假定系統另外出現了一條繞開既有執行路徑的通道。錯誤動作本身就是沿正常生產路徑完成的。

Citibank–Revlon 的誤付款也是類似。

執行人員具有真實工作資格，兩級複核確實發生，系統和電匯通道也都正常工作。最後接近十億美元被錯誤匯出，問題出在錄入、複核對象與最終資金流向之間沒有正確綁定。

結果錯得非常嚴重，卻仍然不能因為結果嚴重，就自動推出「存在另一條未經約束的路徑」。

這正是 None 要表達的東西。

發生了執行失敗，不等於發生了路徑旁路。

同樣，一個擁有正常權限的人，沿正常流程通過已有檢查，最後做出了不應該發生的動作，也不能自動算作本章的「另一條路」。

因為在這種情況下，約束實際上已經作用於這條路徑，只是它沒有阻止最終動作。

本章討論的是另一種情況：那條能夠產生受保護結果的路徑，根本沒有經過這個結果所必需的約束。

兩者必須分開。

因此，這 9 個 None 不是案例分析中的剩餘項，而是本章的重要邊界。

如果十八個案例全部都能被解釋成「另一條路」，反而意味著這個結構過寬。參數錯誤、審批錯誤、正常路徑中的惡意濫用、狀態判斷錯誤、權限使用錯誤，只要最後結果出了問題，都可以被裝進來。

到了那一步，「另一條路」實際上就退化成了「系統發生了錯誤」的另一個名字。

九個 None 阻止了這種泛化。

它們告訴我們：面對現實失敗，本章這條結構必須能夠說「不」。

它只接受一種更窄的情況：

存在一條能夠產生同等受保護結果的路徑，而該路徑沒有經過這個結果所必需的約束或否決。

不滿足這一點，即使事故再嚴重，也不是本章所說的「另一條路」。

所以，9 個 None 也不是對這條結構的否證。

當前十八個合格案例裡，同時存在 2 個強支持和 7 個部分支持。這說明現實材料中確實能夠看到這種結構；另外 9 個 None 則說明，它不能覆蓋所有執行失敗。

None 在這裡的作用不是推翻，而是收窄。

也正因為如此，這條結構目前能夠被有條件地保留下來。

它的價值不來自「能解釋多少案例」，而來自它已經能夠明確拒絕一部分看起來相似、實際上並不屬於自己的情況。

凍結資格來自邊界被收窄，而不是覆蓋範圍被擴大。

這九個 None 正是這種收窄在案例層留下的結果。

本章使用的是這九個案例形成的整體否定邊界，並不進一步逐案指認它們分別是誰。當前材料沒有授權依靠具體名單來完成這一論證，而這裡也不需要這樣做。

需要讀者帶走的是更簡單的一點：

十八個合格案例中，有一半無法被「另一條路」解釋。

這不是這條結構的缺陷。

恰恰是因為它拒絕解釋這些案例，我們才知道它到底在說什麼。

改路，不等於改規則

有了「另一條路」這個結構之後，很容易繼續往上推一步：

既然一次請求可以不經過必需的約束，是不是就說明定義這些約束的規則已經失守了？

這一步不能直接走。

一次請求改路，不等於所有後續路徑的規則被改寫。

這兩件事必須分開。

本章處理的是前一種情況：規則本身可以沒有發生變化，原來的約束也仍然存在，但某一次現實結果由另一條沒有經過這些必需約束的路徑產生。

這裡發生變化的是請求實際經過的路徑。

規則本身被改寫，則是另一件事。

一旦定義邊界的規則，或者承載這些規則的實現本身發生變化，問題就已經不再只是「某一次請求沒有經過原來的約束」。變化發生在定義什麼可以通過、什麼必須被拒絕的那一層。

兩種情況表面上可能很像。

最後都可能出現一個原本不希望發生的現實結果，也都可能讓既有控制看起來「沒有起作用」。但僅憑這個結果，不能判斷髮生的是哪一種。

一條未經約束的路徑出現，並不能證明原來的規則已經被修改。

反過來也一樣，規則發生變化，也不能因此被自動解釋成某一次請求只是換了一條路。

兩者不能互相充當解釋。

這一點之所以重要，是因為本章建立的結構非常有限。

它只要求我們確認：對於同一個受保護結果，是否存在一條沒有經過該結果所必需約束的路徑。

這個判斷本身不需要證明規則已經變化。

前面 Knight Capital 一類案例已經能幫助理解這種區別：系統中可以同時出現不同的執行路徑，而不需要先假定定義整個系統邊界的規則已經被重新寫過。某個請求最終進入了哪條路徑，與系統如何定義所有後續請求的邊界，並不是同一個問題。

同樣，如果後來發現規則或其實現本身已經發生變化，也不能反過來把第八章這一結構擴大成所有規則變化的總稱。

因此，本章在這裡必須停住。

分析過程中當然可以區分繞過、改寫、共模失效、範圍缺口等不同現象，但這些區分只是幫助我們看清問題的位置，不能因此被整理成一套新的一級機制，也不存在一張把這些現象與本書各條結構一一對應的固定表。

第八章只保留這一條邊界：

一條請求走了不同的路，只能說明這一次執行路徑發生了差異；它本身不能證明定義邊界的規則也已經被改寫。

至於規則本身發生變化時會出現什麼問題，那是下一章要處理的另一種結構。

兩側並不一致

最後還需要交代一件沒有被解決的事。

同一個結構，在不同的理論語境裡，目前並沒有得到完全相同的結論。

在本書這一側，它的狀態是：

**RESTATED + CONDITIONALLY FROZEN**。

也就是說，經過重新表述和邊界收窄之後，它已經清楚到可以在本書中有條件地保留下來。

但在執行控制這一側，它仍然是：

**NOT FROZEN**。

這兩個狀態必須同時保留。

它們並不矛盾，因為同一個結構進入不同理論問題時，被要求回答的事情並不相同，能夠使用的材料和需要承擔的解釋責任也不同。

本書已經能夠確認的是一個很窄的結構：

存在能夠產生同等受保護結果、卻沒有經過該結果所必需約束的路徑。

而且前面的案例已經幫助我們進一步把它收窄：正常路徑中的錯誤、濫用和錯誤放行，不能因為結果嚴重，就自動被算進這一結構。

在這個範圍裡，它已經足夠清楚。

但這並不意味著它在另一套理論體系中的位置、名稱、邊界和關係也已經同時確定。

因此，不能用本書這一側的結論覆蓋另一側仍然開放的問題，也不能因為另一側尚未凍結，就反過來否定這裡已經能夠成立的最小結構。

還有一個容易誤讀的地方。

有條件凍結，不等於已經確立。

這裡仍然保留著沒有解決的形式理論問題。本章沒有解決它，本書後面的章節也不會把它悄悄補成一個已經完成的答案。

這不是缺漏。

一本書能夠把一個結構說清楚，並不意味著圍繞這個結構的所有理論問題都已經結束。

對讀者來說，這一區別其實很簡單：

我們已經知道它在說什麼，也已經知道什麼不屬於它；但這還不等於圍繞它的一切都已經定案。

清楚，可以先於定案。

而本章走到這裡，能夠做到的也就到這裡。

如果規則本身也變了

這一章最後需要留下兩件同樣重要的事。

第一件是：存在能夠產生同等受保護結果的路徑，卻沒有經過該結果所必需的約束或否決。這裡的「同等」說的是結果，不是路徑的樣子。

第二件是：這條結構有明確的邊界；十八個合格案例中，有九個在這一結構上不成立；它們提醒我們，正常路徑內的錯誤、濫用和錯誤放行，不能因為最終產生了嚴重結果，就自動被解釋成「另一條路」。

一條結構的價值，不只在於它能夠解釋什麼，也在於它能夠明確拒絕什麼。如果什麼都能被裝進來，它最終也就失去了區分問題的能力。

除此之外，還有一個尚未定案的狀態需要一起保留。

本書已經能夠把這條結構說清楚，也已經能夠劃出它不解釋的範圍，但這並不意味著圍繞它的一切都已經完成。只看到它能夠解釋的部分，會把這一章讀成一個新的攻擊面；只看到九個 None，又會把它誤讀成一次否定。兩邊都不能單獨代表這一章。

本章在全書中的位置仍然只是呈現順序：

PRESENTATION SEQUENCE ≠ STRENGTH ORDER

它排在這裡，不意味著它比前後的結構更強、更弱，也不構成認知上的先後依賴。

下一章在呈現順序上緊接本章，同樣是：

PRESENTATION，NOT PREREQUISITE

但下一章的問題，確實從本章沒有處理的那個前提上繼續向前。

本章始終討論的是一種情況：規則沒有變，只是出現了一條沒有經過它的路徑。

什麼是這個結果所必需的約束，仍然由既有規則定義；本章只是檢查，一次現實執行是否可能從另一條路徑到達同樣的結果。

整個論證都建立在規則本身仍然成立這個前提上。

但這個前提，本章沒有檢查。

如果連定義邊界的規則本身被改寫呢？

更準確地說：

如果被改寫的不是某一次請求，而是定義邊界的規則或其實現本身呢？

這一章不回答。

本章術語

• 對抗性完整｜Adversarial Completeness
• 受保護結果｜Protected Result
• 結果產生路徑｜Result-Producing Path
• 必需約束｜Required Constraint
• 執行邊界｜Execution Boundary
• 最終否決｜Final Veto
• 約束｜Constraint
• 否決｜Veto

本章案例

Knight Capital｜2012

新交易功能部署到八臺服務器中的七臺，一臺服務器仍保留舊的 Power Peg 代碼。同一套交易系統內部因此出現不同版本的執行路徑，隨後在約四十五分鐘內產生數百萬筆錯誤訂單。

SolarWinds Orion 供應鏈入侵｜2019—2020

攻擊者將惡意代碼植入後來正式發佈的 Orion 更新。客戶使用真實產品和正常更新渠道完成安裝，但實際進入客戶環境的載荷已經發生變化。該案例用於說明：正常的資格與分發路徑，並不自動保證實際進入執行環境的對象仍然保持原來的安全語義。

AWS S3 US-EAST-1 服務中斷｜2017

獲授權人員使用既有操作手冊和正常生產工具執行命令，但輸入錯誤導致被移除的服務器數量遠超原本意圖。該案例在本章用於劃定反向邊界：現實結果嚴重失控，並不意味著一定存在另一條未經約束的執行路徑。

Citibank–Revlon 誤付款｜2020

執行人員具有真實工作資格，兩級複核實際發生，資金也通過正常電匯通道匯出，但最終金額、賬戶與原本業務意圖沒有正確綁定。該案例同樣用於說明：正常路徑中的錯誤執行，不自動等於「另一條路」。

本章案例池共有二十個正式案例，其中十八個進入本章的強度判斷，另外兩個作為邊界案例單獨保留。在十八個合格案例中，2 個形成強支持，7 個形成部分支持，9 個在這一結構上不成立（None）。

這裡的 None 表示：案例經過核驗，但不能用「存在一條未經必需約束、卻能產生同等受保護結果的路徑」這一結構來解釋。它不是資料不足，也不是理論被否證。九個 None 的作用，是阻止把正常路徑中的錯誤、濫用或錯誤放行泛化為「另一條路」。

---

第九章｜規則本身被改寫

本章把分析對象從某一次執行繼續推進到定義執行邊界的規則本身。前幾章都默認「什麼算必需約束」在事件中保持不變，本章取消這個前提，討論另一種結構：在事件時刻，被改寫的不是某一次請求走了哪條路徑，而是決定哪些動作需要哪些約束的規則，或者這套規則在運行時真正生效的實現。兩者必須與上一章的路徑旁路分開：請求走了另一條路，說明執行路徑發生變化；規則被改寫，則意味著系統判斷「什麼必須被約束」的依據本身已經不同。與此同時，本章把結構範圍明確收窄到事件時刻發生的規則或實現改寫，不把漸進的運行漂移無條件併入其中。Columbia STS-107 正是在這裡承擔邊界案例作用：最終運行邊界可以逐漸偏離原狀，卻未必存在一個能夠明確指認的規則改寫事件。現實材料能夠支持這種結構值得被單獨辨認，卻不能替代理論完成定案，因此它目前仍沒有正式名稱、統一判據或完整分類。本章最終留下的問題是：如果規則沒有變化，而每一項能力單獨都不足以產生受保護結果，那麼這些能力組合起來，會不會形成原本不存在的現實執行能力？

進入這一章，手裡需要有兩樣東西。

一樣來自第一章：一個受保護的結果，以及產生這個結果所必需的那一組約束。必需是對著結果說的，不是對著流程說的——一道檢查之所以必需，是因為沒有它，這個結果就不該成立，而不是因為它寫在某份流程圖的第三格。

另一樣來自第五章：失陷不必是有人正在攻擊，它可以只是一個已經成立的條件，系統在這個條件上繼續照常運行。

有了這兩樣，前面幾章的問題就都提得出來：必需的約束在不在，被查到的是不是這一次真正需要的那一組，有沒有一條根本沒經過它的路。

這些問題彼此不同，但它們共享一個從來沒有被說出口的前提：

什麼算必需的約束，這件事本身在這一次執行裡沒有動。

約束可能被繞過，可能查錯了對象，可能因為上游的一處失陷而集體失效。這些都成立。而在每一種情形裡，那條決定「哪些動作需要經過哪些約束」的規則，始終被當作一個固定的參照物放在背景裡，像一把尺子——被量的東西出了問題，尺子沒有。

尺子通常只是參照物，而不是被比對的對象。

一類比對式檢查，會拿實際發生的事情去對照應該發生的事情，而「應該」這一端由當前規則給出。當實際情況與規則不一致時，差異可能因此顯現。

但如果變化發生在給出「應該」的那一端，情況就不一樣了。

凡是仍然以當下規則作為參照的比對，都不會因為這次改寫本身顯示出差異：實際執行可以與當前規則完全一致，因為規則已經變成了現在這一條。

這一章要動的就是這把尺子。

本章與上一章在呈現順序上相鄰，PRESENTATION，NOT PREREQUISITE。讀這一章所需的前置只有上面那兩樣，它們分別來自第一章與第五章；上一章不是本章的認知前提，本章也不解釋上一章。

要問的問題是：

如果被改寫的不是某一次請求，而是定義邊界的規則或其實現本身呢？

被改寫的是哪一類東西

可能被改寫的對象有兩個，它們在這一章裡是並排的。

一個是定義邊界的規則本身：哪些動作需要經過哪些約束，什麼算必需，誰有資格否決，在什麼條件下一個請求可以不經過某一道檢查。

另一個是這條規則的實現——真正在運行時被讀取、被求值、被拿來作判斷的那部分東西。

規則可以寫在文件裡、配置裡、策略語言裡，也可以體現在職責和制度安排中；實現則是這些規則實際進入運行時判斷的形態。

很容易進一步把它們排成一個層級：規則在上，實現居中，具體路徑在下，一層管一層。

但這一章不建立這樣的層級，也不需要它。

規則和它的實現在這裡，只是兩個並列的、都可能被改寫的對象。改寫發生在哪一端，並不改變本章關注的問題：系統用來判斷「什麼是必需的」那個依據，已經不再保持原來的狀態。

把它們並排放，還有一個現實上的原因：規則和實現並不保證始終表達同一件事。

規則文本可以沒有變化，評審記錄也還存在，但運行時真正執行的實現已經發生變化。某個判斷可能換了取值來源，某個條件被提前短路，某項檢查在某類請求上不再觸發。從規則文本看，它仍然在那裡；從實際執行看，系統使用的已經不是原來的判斷方式。

反過來也可能發生：規則本身被正式修改，而實際實現隨後按照新的規則運行。

兩端誰先變化、是否同時變化，在這一章裡都不是重點。這裡需要抓住的是同一個對象：

這個系統用來判斷「什麼是必需的」那個依據發生了變化。

於是有了這一章要建立的第一句話：

存在一種結構——在事件時刻，定義邊界的規則或者它的實現本身被改寫。

這是一個收窄之後的獨立結構族。

說它獨立，是說它不能被還原成某一次請求的異常，也不能直接被當成另一種結構的嚴重版本。

說它收窄，是因為它曾經有一個更寬的範圍，而本書最終沒有保留那個寬的版本。

這裡最容易被讀錯的是「事件時刻」（event-time）。

它看上去像在描述時間尺度，好像指的是「瞬間發生」或者「快速發生」的改寫。然後很容易繼續推出另一種「緩慢發生」的改寫，把兩者理解成快與慢的區別。

這不是這裡的意思。

事件時刻描述的不是速度，而是改寫作為一件事情發生。

規則或者它的實現，在這個事件中成為了另一種狀態。

與此不同，還有另一類現實過程：漸進的運行漂移。實踐一點一點移動，例外一次一次出現，標準逐漸發生變化，最後回頭再看，實際發揮約束作用的東西已經和最初並不相同。

兩類過程最終都可能表現為邊界發生變化，所以尤其容易被混在一起。

本書在這裡保留的限制是：

不把漸進的運行漂移無條件併入事件時刻的規則改寫。

這裡承重的是「無條件」三個字。

它沒有宣佈兩者毫無關係，也沒有把漸進運行漂移建立成另一個新的結構。它只是拒絕因為最終都表現出邊界變化，就直接把兩種過程視為同一件事。

為什麼必須把這條邊界收在這裡，後面會落到一個具體案例上。

路徑沒經過約束，不等於規則被改寫

這裡必須先把兩件容易混在一起的事情分開。

某一次請求走了一條沒有經過必需約束的路徑，不等於定義後續執行邊界的規則本身已經被改寫。

區別其實很簡單：假設一筆超過十萬元的付款必須經過審批。

第一種情況是：這條規則一直沒變，但系統裡還存在另一條能夠完成付款的路徑，某一次付款通過那條路徑直接完成了，沒有經過審批。

這裡出問題的是路徑。規則還在那裡，只是這一次執行沒有經過它要求的約束。

這就是上一章討論的「另一條路」。

第二種情況不同。

如果原來的規則是「超過十萬元必須審批」，後來實際生效的規則變成了「超過一百萬元才需要審批」，那麼一筆五十萬元的付款完全可以沿正常流程執行，而且不需要審批。

這裡沒有另一條路。

執行走的仍然是正常路徑，改變的是什麼情況下必須審批這條規則本身。

所以，兩種情況雖然都可能產生原本不希望發生的結果，問題卻落在不同的位置。

前一種情況要問的是：

為什麼這一次執行能夠通過一條沒有經過必需約束的路徑產生結果？

後一種情況要問的是：

系統從什麼時候開始按照另一套規則判斷什麼是必需的？

這兩件事必須分開，也不能簡單排成同一種問題的輕重兩個等級。

某一條未經約束的路徑反覆出現，不能僅憑「出現得更多」就推出規則已經被改寫。本書不建立這樣的過渡關係，也不給出從前一種結構進入後一種結構的判據。

這並不意味著兩者在現實中一定毫無關係。

這裡只保留一個更有限的結論：

路徑沒有經過原本必需的約束，與定義這些約束的規則本身發生變化，是兩個不同的問題。

所以這一章不解釋上一章，上一章也不解釋這一章。

上一章處理的是執行走了哪條路徑。

這一章處理的是決定這些路徑必須受到什麼約束的規則本身有沒有變化。

為什麼邊界必須收在這裡

前面說，這裡保留的是一個收窄後的結構；之所以說「收窄」，是因為它原本可以被寫得更寬。

如果只看最終結果，凡是後來發現邊界已經和原來不一樣的情形，都可以被裝進來：規則被改寫，實現發生變化，運行過程中一點一點漂離原來的要求，甚至原本存在的約束後來事實上不再執行。

這樣寫的好處很明顯：覆蓋面很大；但問題也恰恰在這裡。

如果只要「後來邊界不一樣了」就算，那麼這個結構幾乎無法拒絕任何東西。它能夠解釋的現象越來越多，邊界卻越來越模糊，最後很容易退化成一句沒有區分力的話：只要系統後來和原來不一樣，都屬於這裡。

所以這裡做了一次明確的收窄。

本書只保留事件時刻發生的規則或實現改寫，寬的那個家族不再保留。

這不是暫時為了方便寫作而作出的選擇，也不是先按窄的版本討論，以後再重新放寬。本書後面的章節不會把那個寬版本重新放回來。

更重要的是，這個收窄不是案例統計推出來的。

後面會看到，案例在這條結構上給出的支持並不弱。換句話說，如果僅僅按照「有多少案例能夠被它解釋」來決定範圍，反而很容易得到一個更寬的版本。

但結構的邊界不能由覆蓋數量自動決定。

這裡的收窄來自一次明確的作者裁決：在本書中，只把事件時刻發生的邊界定義規則或其實現改寫保留為獨立結構。

這項裁決的作用也只到這裡；它決定的是：這一結構在本書中保留到什麼範圍。

它不會因為一次裁決就自動變成一個已經確立的正式概念，也不會因此產生新的命題或機制，更不會自動得到一個可以穩定對外使用的正式名稱。

研究過程中確實曾給這個結構使用過一個暫定的英文名字，但這個名字沒有被凍結，本章也不把它作為正式術語交給讀者。

名字是否確定，與這裡真正重要的事情可以分開。

現在需要確定的只有邊界：

只保留事件時刻發生的規則或實現改寫；那個把各種「邊界後來不一樣了」都收進來的寬版本，不保留。

Columbia：變化不是在某一刻發生的

為什麼不能把所有「後來邊界已經不一樣了」的情況，都算作規則被改寫？

Columbia STS-107 提供了一個很具體的邊界。

2003 年 1 月 16 日，Columbia 執行 STS-107 任務。起飛約 81.7 秒後，一塊大型泡沫從外貯箱脫落，撞擊左翼前緣。

撞擊在第二天被地面團隊發現。此後出現了多次獲取外部影像的請求，希望進一步確認左翼是否受損，但這些請求最終沒有繼續推進到能夠確認實際損傷的程度。

與此同時，工程分析使用了 Crater 模型，而當時估計的碎片體積遠遠超過該模型已經驗證的適用範圍。在缺少能夠直接確認損傷的影像時，分析最終沒有確認存在 safety-of-flight 問題。

2 月 1 日再入大氣層時，過熱氣體通過左翼破口進入，結構逐步失效，Columbia 最終解體。

這個案例當然可以從很多角度討論，但在這一章裡，我們只取其中一個很窄的問題：

這裡很難找到一個單獨的事件，說從這一刻開始，定義邊界的規則被明確改成了另一條規則。

更接近現實的情況是，一系列判斷、慣例和實際做法逐步形成了當時真正起作用的運行邊界。

最後回頭看，實際約束系統的東西已經和人們以為存在的安全邊界出現了距離。

但這個結果，不能僅僅因為「最後邊界變了」，就自動被歸入本章討論的事件時刻規則改寫。

這正是 Columbia 在本章中的位置。

在本書已經完成核驗的案例中，它被保留為一個邊界案例（Boundary Case）。

邊界案例不是資料不足，也不是尚未查清的案例。它已經完成核驗，只是承擔的作用不同：它不是用來證明本章結構存在，而是用來阻止這條結構被解釋得過寬。

它在這裡留下的限制是：

不能把漸進的運行漂移，無條件合併為事件時刻的規則改寫。

這裡真正重要的是「無條件」三個字。

Columbia 並沒有告訴我們漸進漂移與規則改寫毫無關係。它只告訴我們，不能因為兩種過程最後都表現為「邊界已經和原來不同」，就直接把它們視為同一種結構。

否則，前面剛剛收窄掉的那個寬家族又會回來：

只要後來發現邊界變了，不管變化是一次明確發生的改寫，還是長期運行中逐漸形成的偏移，都被裝進同一個概念裡。

這樣一來，「事件時刻」這個限定就失去了意義。

所以這個案例不是本章主張的證明。

它也沒有給出一條判別公式，告訴我們現實中的某個過程走到哪一步就從漸進漂移變成了規則改寫。本書沒有建立這樣的判據。

它同樣沒有把漸進運行漂移建立成另一種新的頂層結構。

它做的事情更有限：

在這條結構被繼續放寬之前，先擋住一步。

邊界最後發生變化，並不足以證明發生過一次事件時刻的規則改寫。

這一點，就是 Columbia 在這裡留下的壓力。

而這種壓力不會因為結構已經完成收窄就失效。以後如果再想把所有漸進變化重新裝回這一家族，仍然必須面對同一個問題：

我們看到的是一次規則或實現被改寫，還是一個長期運行過程中逐漸偏離原有邊界的現實？

本書沒有替這個問題給出統一判據。

但它明確拒絕在沒有判據的情況下，直接把兩者寫成同一件事。

同一個 Columbia 案例在本書後面還會從另一個角度再次出現。那不是第二份證據；同一個事件不會因為被用於兩個不同問題，就被重複計算。

現實支持不能替代理論定案

前面的案例已經足以說明一件事：這一章討論的結構並不是為了理論完整而想像出來的。

現實中確實存在這樣的情形：發生變化的不是某一次請求經過了哪條路徑，而是系統用來定義邊界的規則，或者規則在運行時的實現本身。

同時，案例也幫助我們把它與其他看起來相似的問題分開。

漸進的運行漂移不能因為最後同樣表現為「邊界已經變了」，就被直接併入這裡；正常路徑中的錯誤，也不能因為後果嚴重，就自動被解釋成規則本身已經發生改寫。

這已經足以說明，這條結構有現實意義，也有自己的邊界。

但案例能夠做到的事情，到這裡就結束了。

現實材料能夠支持一個結構，卻不能替代理論本身完成定案。

案例再多、支持再清楚，也不能自動決定它是不是一個正式概念，是不是應該成為一條正式命題，或者是不是已經具備一個穩定的公開名稱。

這些不是同一個問題。

因此，本章保留兩個同時成立的判斷：

這條結構在現實材料中能夠被辨認，也能夠拒絕一部分不屬於自己的情形。

但它仍然沒有完成理論上的定案。

案例強度不決定凍結狀態。

這也是為什麼前面已經明確收窄了它的邊界，卻仍然不能把它寫成一個已經完成的理論結構。

這裡還沒有定論

走到這裡，需要保留一個限制。

本章已經把討論的對象收窄到了一個相對明確的範圍：

在事件時刻，定義邊界的規則或者它的實現本身發生改寫。

同時，我們也已經知道什麼不能直接算進來。

某一次執行走了另一條路徑，不等於規則本身被改寫；漸進的運行漂移，也不能因為最終同樣表現為邊界發生變化，就被無條件併入這裡。

這讓這個問題已經有了相對清楚的邊界；但邊界清楚，並不等於理論已經定案。

本書目前還沒有把它建立成一個正式命名的獨立概念，也沒有圍繞它給出一套完整的判據，更沒有解決事件時刻的規則改寫與其他長期變化過程之間究竟應該如何劃出統一邊界。

這些問題仍然存在。

因此，本章能做的，是把一種值得單獨辨認的現象指出來，並把它與幾種相鄰問題分開。

能做到這一步，已經足以讓我們在面對現實系統時多問一個此前容易被忽略的問題：

出問題的究竟是某一次執行，還是系統用來判斷什麼可以發生的規則本身已經變了？

但本書不會因為這個問題已經能夠被清楚提出，就把它寫成一個已經完成的理論答案。

這裡還有未解決的部分；我們把它留下，而不是用一個過早的名稱把它封住。

如果每一項都不夠

這一章處理的，是比某一次執行更深一層的變化。

出問題的不一定是某個請求走錯了路徑，也可能是系統用來判斷什麼必須被約束、什麼可以被放行的規則本身，或者這套規則在運行時的實現，已經發生了變化。

一旦變化發生在這裡，後續執行完全可能按照當前規則正常運行。問題不再是「為什麼這一次沒有遵守規則」，而是：

系統現在遵守的，還是不是原來那套邊界？

這與某一次執行繞開必需約束必須分開。

前者改變的是判斷依據，後者改變的是一次執行實際經過的路徑。兩種情況最終都可能產生不希望出現的現實結果，但不能因此被當成同一件事。

同樣，漸進的運行漂移也不能因為最終表現為邊界變化，就被無條件併入這裡。邊界最後不同了，並不足以證明曾經發生過一次事件時刻的規則或實現改寫。

到這裡，本章能夠確定的邊界已經夠用了。

但它還保留著一個沒有觸及的前提。

前面的討論一直默認：如果規則沒有變化，那麼某一項能力本身不足以產生一個受保護結果，它就無法單獨讓那個結果發生。

可現實系統從來不只由一項能力組成。

於是，下一個問題出現了：

如果每一項能力單獨都不足以產生受保護結果，它們組合起來呢？

這一章不回答。

本章術語

• 對抗性完整｜Adversarial Completeness
• 受保護結果｜Protected Result
• 必需約束｜Required Constraint
• 定義邊界的規則｜Boundary-Defining Rule
• 實現｜Implementation
• 事件時刻｜Event-Time
• 漸進的運行漂移｜Gradual Operational Drift

本章案例

Columbia STS-107｜2003

2003 年 1 月 16 日，Columbia 執行 STS-107 任務。發射約 81.7 秒後，一塊大型泡沫從外貯箱脫落並撞擊左翼。此後雖然出現了獲取外部影像、進一步確認損傷的請求，但最終沒有取得足以確定實際損傷程度的影像。工程分析還使用了明顯超出既有驗證範圍的 Crater 模型。2 月 1 日再入大氣層時，過熱氣體通過左翼破口進入，結構逐步失效，Columbia 最終解體。

本章使用這個案例，不是為了證明「規則改寫」本身，而是為了劃出它的邊界。

Columbia 提醒我們：一個系統最終表現出的現實邊界，可能在長期運行、判斷、例外和實踐中逐漸偏離原來的狀態，而不一定存在一個清楚的事件，可以指認「從這一刻開始，規則被改成了另一條規則」。

因此，本章不把這種漸進的運行漂移無條件併入事件時刻的規則或實現改寫。

這裡保留的區別是：

邊界最後變了，不等於一定發生過一次可以被指認的規則改寫事件。

兩者可能相關，但本書沒有給出把它們統一起來的判別規則。

---

第十章｜每一項都不夠，合起來夠了

本章拆掉一個很容易被默認成立的推論：每一項能力單獨都不足以產生某個受保護結果，並不能推出這些能力組合之後仍然不足。這裡的“夠不夠”始終相對於同一個具體結果判斷，能力也只指主體、組件或路徑真正使現實 Action 發生的能力，而不是身份、權限、批准或執行資格。逐項檢查可以全部正確，卻仍然沒有回答組合後的整體能力是否發生變化。現實材料表明，多個單獨不足的能力確實可能在組合後形成對同一受保護結果而言充分的能力，但這一主張必須被嚴格收窄：多主體、多籤、多憑據、湧現交互或協同失敗，都不能僅憑“多個東西一起參與”就被寫成能力組合；真正的舉證必須說明各項單獨確實不足、組合後確實充分，而且這種充分來自能力本身的組合。Ronin Bridge 是當前最直接的強支撐案例，Flash Crash 與 Deepwater Horizon 則分別用於排除湧現交互和協同失敗的過寬解釋。由於最強現實支撐仍然有限，本章不把能力組合寫成已經完成的正式理論結構，也保留它與權威組合之間關係未決。下一章因此轉向另一個問題：如果上游已經產出了一個結果，而這個結果本身並不再可靠，下游為什麼還能直接把它當成已經成立的事實繼續使用？

上一章問的是規則本身被改寫。在那種情形裡，用來判斷邊界的東西自己動了——定義什麼算必需約束的規則，或者它在運行時的實現，在事件發生的時候已經不再是原來的樣子。

這一章先把那個問題放回去。

現在假設規則沒有動，實現也沒有動，邊界還是原來那條邊界，沒有哪一行判定邏輯被重新改寫。

變的只有一件事：

系統裡的每一樣東西單獨來看，都不足以讓那個受保護的結果發生。

讀這一章真正需要的前置也只有兩樣。第一樣，是一個明確的受保護結果——一個結果是否真的落進現實，是判斷「夠不夠」的那把尺。第二樣，是系統裡可以同時存在多處失陷，而這件事並不要求我們先假定有一個正在攻擊的主體。

在這樣的系統裡，「每一項都不夠」很容易被當成已經足夠完整的結論。

而且它完全可能是一個來路很正的結論。

它不是拍腦袋得出的，也不意味著前面的工作做錯了。每一項都可以被認真地單獨檢查過，每一次判斷都落在「它自己做不成這件事」上，而且每一次判斷本身都可以成立。

把這些正確的判斷收集起來，放在一張紙上，那張紙上寫滿了：

不足以。

到了這裡，很容易產生一種感覺：問題已經回答了。

但還有一個問題藏在這張紙後面。

「每一項都不夠」有時甚至就是設計本身想達到的效果；系統刻意讓任何一個主體、組件、憑據或控制點，都不能單獨讓那個結果發生；從單項上看，這恰恰像是邊界已經被建立起來。

也正因為這樣，再去追問它，反而容易顯得多餘：

既然每一項單獨都不夠，還有什麼需要繼續問的？

這一章要說的是：

那張寫滿「不足以」的紙，並沒有回答這個問題。

「不夠」是對著什麼說的

「夠」這個詞必須先被固定下來，否則整章從頭到尾都會滑。

夠，是對著受保護的結果說的。第一章把一個結果和產生它的路徑拆開之後，判據就落在結果那一端：那個狀態是否已經成立，錢是不是已經出去了，權限是不是已經生效了，設備是不是真的動了。

夠，就是足以讓這樣一個結果落進現實；不夠，就是單靠它做不成這件事。

這句話看起來只是定義，實際上它決定了整章的走向。

因為「夠不夠」是一個關係判斷，它有兩端：一端是被判斷的那個東西，另一端是那個具體的受保護結果。

離開後一端，「夠」這個詞沒有內容。

一項能力不會脫離結果而自己「夠」或「不夠」。它只能對著某一個具體結果，判斷自己是否足以讓那個結果發生。

「能力」也需要固定下來，而且它比「夠」更容易被讀寬。

這裡說的能力，是主體、組件或路徑使某類現實 Action 實際發生的能力。它描述的是能不能把現實副作用做出來。

它不等同於身份，不等同於訪問，不等同於權限或批准，也不等同於每一次使用時的執行資格。

這條區分在本章裡一直是載重的。

一個東西有能力，不表示它這一次的使用已經獲得授權；不表示最終裁決一定是放行；也不表示這一次動作應該發生。

能力回答的是：

做不做得到。

資格和授權回答的則是：

該不該讓它做。

兩類問題在實際討論中很容易被混在一起。

有人說「它沒有這個權限」，也有人說「它做不了這件事」。聽起來很接近，但它們不是同一句話。

前一句說的是資格，後一句說的是能不能把結果真正做出來。

一個系統可以在資格這一端設置得非常嚴格，但對於本章的問題，我們仍然必須單獨看能力這一端：那個受保護結果究竟能不能被做出來。

現實結果不會因為一個動作缺少資格，就在物理上自動拒絕發生。

所以，本章問的始終不是「它有沒有資格」，而是：

它有沒有足以讓那個結果發生的能力。

還有一點需要保留：能力的承載者不一定只是某一個主體。

這裡的定義包括主體、組件或路徑。

這很重要，因為「每一項」究竟按什麼來切，並不是由「能力」這個概念自動決定的。我們可以分別檢查賬號、服務、組件、團隊或者其他對象，但能力本身不保證一定按照這些切分線存在。

它也可能落在一條路徑上，而一條路徑又可能穿過多個分別存在的對象。

這裡不能進一步推出「所以那條路徑一定沒有被檢查」。

能夠確定的只有更有限的一點：

「每一項都被單獨看過」，並不自動等於「所有可能承載能力的對象和路徑都已經被同一種方式覆蓋」。

把「夠」和「能力」兩個詞固定下來以後，本章的問題才能真正寫準：

如果每一項能力單獨都不足以產生那個受保護的結果，它們組合起來會怎樣？

這個問題之所以容易被提前回答，是因為「每一項都不夠，合起來當然也不夠」聽起來很像一種算術關係。

幾個小於一的東西加在一起，似乎還是小於一。

但這裡的「夠不夠」並不是一個可以這樣直接相加的量。

逐項判斷做的是一件非常明確的事情：把每一項單獨拿出來，問它自己能不能讓那個受保護結果發生。

這個問題本身沒有問題，單項結論也完全可以是正確的。

問題出現在這些結論被放在一起的時候。

原來的每一句「不夠」，都是對著同一個受保護結果說的：

這一項，單獨不足以讓那個結果發生；另一項，單獨也不足以讓那個結果發生；再一項，仍然不足。

但當這些單項結論被彙總以後，很容易順手多出一句：

既然每一項都不夠，那麼它們合起來也不夠。

這句話看起來只是把前面的結論合在一起，實際上已經問了一個新的問題。

因為「一項能力單獨不足」說的是：

它自己能不能到達那個結果。

而「幾項能力放在一起夠不夠」問的是：

這一組能力合起來，能不能到達同一個結果。

這是對同一個受保護結果提出的兩個不同問題。

第二個問題不會因為第一個問題被回答了很多遍，就自動得到答案。

所以這一節真正要建立的只有一句：

從「每一項都不夠」，推不出「合起來也不夠」。

但這裡必須立刻停一下。

推不出，並不等於我們已經知道反過來就是對的。

「合起來也不夠」不能由單項結論自動推出，並不因此證明「合起來一定可能夠」，更不證明現實裡已經存在某種組合。

如果後面要提出這樣的存在性主張，就必須有另外的依據。

不能因為前一個推理被拆掉，就把它直接倒過來，當成新的結論。

否定一個未經證明的推論，不等於自動證明它的反面。

單獨不夠，組合起來可能夠

上一節只拆掉了一個推論：

從「每一項都不夠」，推不出「合起來也不夠」。

但這還沒有回答另一件事。

現實中，是否真的存在這樣一種情況：幾項能力單獨來看都不足以讓某個受保護結果發生，但它們組合之後，卻足以把那個結果做出來？

本章給出的回答是：

存在多個單獨不足的能力，組合之後對同一個受保護結果形成充分能力的情況。

這句話需要收得很窄；它只聲稱這種結構存在。

它沒有說這種組合很常見，沒有說它很容易形成，沒有說參與的東西越多就越容易發生，也沒有說只要把若干能力放在一起，它們就會自動獲得原本沒有的能力。

更不能把它理解成：

一項不夠，兩項也許就夠；兩項不夠，再加一項總會夠。

這裡不存在這樣的數量規律；真正的判斷對象始終是那個具體的受保護結果。

如果甲單獨不能讓結果發生，乙單獨也不能讓結果發生，但甲和乙在共同作用時能夠讓結果發生，那麼對於這個結果來說，組合後的能力就已經不同於任何一項單獨存在時的能力。

這就是本章真正要指出的結構；它和上一節的否定結論必須分開。

上一節只是說，我們沒有資格從一組單項判斷直接推出整體判斷。

這一節則進一步說：現實材料中確實能夠看到，多個單獨不足的能力組合以後，對同一個結果形成了充分能力。

前一句是邏輯邊界；後一句是存在性主張。

不能因為前一句成立，就自動得到後一句；後一句需要自己的現實依據。

目前最直接支撐這條最強組合主張的案例，是 Ronin Bridge，2022 年 3 月 23 日。

但這裡必須同時把它的限制帶上：

在本書當前使用的案例材料裡，對這條最強組合主張形成直接支撐的現實樣本，目前只有這一例。

所以 Ronin 在這裡的作用，是讓這種結構在現實中變得可見，而不是替它完成證明。

一個現實案例能夠告訴我們：

這種情況不是純粹為了理論完整而想像出來的。

但一個案例不能進一步告訴我們：

它有多普遍，會在什麼條件下出現，或者是否已經足以形成一個成熟、穩定的理論結構。

因此，這裡既不能把它寫成一個已經被充分證實的規律，也不能因為只有一個最強支撐案例，就把前面的存在性問題重新關掉。

能夠安全說到的地方只有這裡：

單項能力都不足，並不能保證組合後的能力仍然不足；而現實中確實存在需要單獨檢查這種組合的情況。

至於哪些組合真正滿足這個條件，不能靠數量、角色多少或者參與方多少來猜。

後面還需要繼續收窄。

什麼不能算能力組合

「多個單獨不足的能力，組合之後可能足以產生同一個受保護結果」這句話一旦說出來，很容易被用得太寬。

只要一次事件裡出現了多個主體、多個組件或者多個環節，就可能被順手解釋成「能力組合」。

但多樣東西一起參與，並不足以建立這個判斷。

這裡至少有兩種很容易被混進來的情況，需要明確排除。

第一種是湧現交互（emergent interaction）。

2010 年 5 月 6 日的 Flash Crash 在這裡承擔的是一個邊界作用。

它提醒我們：多個獨立部分相互作用，最終產生一個任何單獨部分都沒有直接表達出來的整體結果，並不因此就等於本章所說的能力組合。

兩者看起來很像。

都可能出現這樣的表面形狀：

單獨看每一部分，沒有哪一部分能夠解釋最後那個結果；但把它們放到一起，結果卻發生了。

相似之處到這裡為止。

湧現交互強調的是：

新的整體行為從多個部分之間的相互作用中出現。

本章討論的能力組合則要求另一件事：

多個單獨不足的能力，組合之後，對同一個受保護結果形成了充分能力。

這裡的重點不是「最後出現了一個任何單項都解釋不了的結果」，而是這些能力的組合是否真的足以把那個具體結果做出來。

因此，不能因為一個系統呈現出了複雜的湧現行為，就把它直接歸入能力組合。

Flash Crash 在這一章裡不證明能力組合存在，也不證明本章的正面主張。

它的作用恰恰相反：

它把「湧現」從這個結構裡擋出去。

第二種容易混進來的，是協同失敗（coordination failure）。

Deepwater Horizon / Macondo，2010 年 4 月 20 日，在這一章裡承擔的是另一條邊界。

多個主體、團隊或者環節共同參與一件事情，並且最終發生失敗，並不能因此說明多個單獨不足的能力組合成了充分能力。

協同失敗可能發生在交接、信息傳遞、判斷順序或者相互配合之中。

但這些現象描述的是：

多個參與方之間的協同出了問題。

它並沒有自動回答：

這些參與方各自原本是否單獨不足，以及它們組合以後是否真的對同一個受保護結果形成了充分能力。

所以，多方一起出了問題，不等於能力發生了組合。

Deepwater Horizon 在這裡同樣不是用來證明本章的正面主張，而是為了阻止「凡是多人、多組件共同參與的失敗，都可以叫能力組合」這種擴張。

這裡還必須再分開一個容易被混淆的詞：協同失敗不等於合謀。

合謀討論的是多個主體之間形成共同作用的威脅條件或者多方失敗模式；協同失敗說的則是多個參與者之間的協作、傳遞或者判斷關係沒有正常發揮作用。

兩者都可能出現「不止一個主體參與」的表面特徵，但這並不足以把它們當成同一種現象。

同樣，它們也都不能僅僅因為涉及多個參與方，就自動被歸入能力組合。

把 Flash Crash 和 Deepwater Horizon 放在這裡，不是為了再建立兩種新的分類，而是為了把本章的邊界收住：

多個東西一起產生結果，不等於能力組合。

湧現可能產生整體結果；協同失敗也可能產生嚴重結果。

但本章真正關心的是更窄的問題：

是否存在若干單獨不足的能力，而這些能力組合之後，對同一個受保護結果變得充分。

到這裡，很自然會出現一個要求：

既然湧現交互、協同失敗和能力組合不是同一件事，那麼能不能給出一條明確的判據，把三者分開？

本書目前沒有這樣的判據。

這並不意味著三者沒有區別；前面的邊界已經說明，它們不能被隨意混用。

但從「它們不是同一件事」，不能進一步推出「我們已經擁有一條可以對所有現實案例進行分類的統一規則」。

如果在這裡臨時造出一條判據，它很快就會取代原本需要做的舉證。

人們不再證明某個案例裡是否真的存在能力組合，而只需要拿一條看起來清楚的規則去套。

本章不做這一步。

所以，這裡留下的是兩個明確的排除，而不是一套完整的分類法：

Flash Crash 提醒我們，湧現交互不能直接寫成能力組合。

Deepwater Horizon 提醒我們，協同失敗也不能直接寫成能力組合。

至於處在這些邊界之間的具體情形，仍然需要回到那個受保護結果，證明各項能力單獨是否不足、組合以後是否真的充分。

不能靠名字替代這一步。

數量不是證明

前面的兩條排除，最後都指向同一個工程問題：

如果我們說這裡發生了能力組合，憑什麼這樣說？

最先需要擋住的是數量。

多數量、多籤、多憑據，不自動證明能力組合。必須證明這裡存在真正的能力組合（genuine capability composition）。

這句話看起來嚴格，其實只是把前面已經建立的定義重新拿回來。

數一下參與的主體有幾個、簽名有幾把、憑據有幾張，只能告訴我們這裡存在多個對象。

它沒有告訴我們這些對象各自是否真的不足以產生那個受保護結果；也沒有告訴我們，它們放在一起以後是否真的足以讓那個結果發生；更沒有告訴我們，這個「合起來夠了」究竟發生在能力這一層，還是隻是多個對象恰好同時參與了同一件事情。

這三件事都不能由數量推出。

所以，兩個主體不自動構成能力組合，三把密鑰不自動構成能力組合，多份憑據也不自動構成能力組合。

數量只回答：

有幾個。

本章要回答的卻是：

它們合起來能不能把那個結果做出來。

這是兩個完全不同的問題。

多籤是一個很典型的例子。

前面已經出現過權威分解這個概念。它有一個重要邊界：多籤本身不等於權威已經被分解。

幾個簽名在形式上彼此分開，並不能僅憑這一點證明它們背後的權威也真正彼此獨立。

在這裡，同樣的限制可以用於另一個方向：

多籤也不等於能力組合。

三把簽名出現在一個流程裡，只能證明這個流程裡存在三把簽名。

如果要進一步說「三者形成了能力組合」，還必須重新回到那個具體的受保護結果。

需要問的是：

這三項能力單獨存在時，是否真的都不足以產生這個結果？

它們同時存在以後，是否真的已經足以產生這個結果？

如果答案是肯定的，這種充分性是不是來自這些能力本身的組合，而不是另一個尚未被說明的條件？

少了任何一步，都不能僅憑「這裡有多個東西」就宣佈能力已經發生組合。

權威分解還提供了另一個有用的提醒。

不同角色即使在組織、文檔或者接口上被分別定義，也不保證它們背後的現實控制能力同樣彼此分開。多個角色仍然可能共享某個能夠影響它們的控制根，一種權威也可能擁有改變另一種權威實際效力的能力。

這些問題屬於權威那一端，本章不在這裡重新展開權威分解。

把它放在這裡，只是為了說明一個很有限的道理：

形式上的多個，不等於現實中的獨立；現實中的多個，也不等於它們已經構成能力組合。

所以，舉證的落點最終還是回到本章那句話本身。

如果要聲稱存在能力組合，至少要把三件事情說清楚：

這些能力各自單獨確實不足；

它們組合之後對同一個受保護結果確實充分；

而且這個「充分」確實來自能力層面的組合，不是因為多個主體、多個憑據或者多個環節恰好同時出現。

這裡要求的不是形式，而是關係。

關係的一端，是那些被組合的能力；另一端，始終是那個具體的受保護結果；所以舉證責任也應該落在提出這個判斷的一邊。

當我們說「這是一次能力組合」時，需要說明為什麼它滿足上面的關係，而不是要求別人根據數量自己推出來。

在這些條件還沒有被說明之前，更準確的狀態不是先把它歸入能力組合，而是承認：

我們還不能僅憑現有描述知道它是不是能力組合。

這一點在面對已經發生的複雜事故時尤其需要剋制。

事情已經發生以後，一個能夠把多個參與方、多個組件和一個最終結果連在一起的解釋，會天然顯得完整。但解釋聽起來完整，並不等於結構已經被證明。

「能力組合」不能成為一個看到多人、多組件、多憑據就可以套上去的事後名稱。

反過來，它在事前真正有價值的地方也很有限。

它不能讓我們僅憑直覺斷言某個系統裡一定存在這樣的組合。

它只能取消一個默認：

當逐項檢查得到的全部結論都是「單獨不足以產生這個結果」時，這些單項結論本身還不足以證明它們組合以後仍然不足。

取消這個默認，不等於已經找到風險。

它只是把一個原本很容易被提前關閉的問題重新打開：

這些單獨都不夠的能力，組合起來以後，仍然不夠嗎？

還有什麼沒有確定

到這裡，這條結構能說到哪裡，已經比較清楚。

它只聲稱一種有限的可能性：多個單獨不足的能力，存在組合之後對同一個受保護結果形成充分能力的情況。

但這還不是一個已經完成的理論結論。

首先，前面已經說過，目前能夠直接支撐這條最強組合主張的現實案例仍然只有 Ronin Bridge 一例。這個限制不能因為結構本身已經能夠被描述，就被忽略掉。

案例少並不等於這條結構不存在，但也不能反過來把一個現實支撐仍然有限的主張寫成已經充分成立。

因此，本章只把它保留在這裡，不進一步給它一個正式名稱，也不把它當成一個已經定型的理論結構。

還有另一件事沒有答案。

能力的組合，與權威的組合之間究竟是什麼關係？

前面借用了多籤來說明：多籤既不能自動證明權威已經分解，也不能自動證明能力已經組合。

但這隻說明兩個判斷都不能從“數量”推出。

它並沒有證明能力組合和權威組合之間究竟是什麼關係。

幾項能力合起來，對一個受保護結果形成充分能力；幾份權威合起來，形成某種新的權威結構——這兩件事是不是同一種意義上的“組合”，本書沒有給出結論。

這裡不能因為它們靠得很近，就順手把能力這一端的說法換成權威那一端的說法。

能確定的，只到這裡。

剩下的關係，本書保持開放。

能力組合不是萬能解釋

這一章要擋住幾種容易出現的誤讀。

第一種，是把多方出事直接當成能力組合。

多方捲入、多點失效、多個環節同時出現問題，這些首先只是對事件的描述。它們本身還不能說明，多個單獨不足的能力已經組合成了對同一個受保護結果而言充分的能力。

第二種，是把湧現直接當成組合。

兩者看起來確實很像：都是好幾樣單獨不足的東西在一起，最後出現了一個單獨看任何一項都無法解釋的結果。

但湧現強調的是相互作用中出現的整體行為；這裡討論的，則是幾項能力組合以後，對同一個受保護結果是否形成了充分能力。

看起來相似，不等於是一回事。

第三種誤讀方向相反：因為目前對這條最強組合主張的直接現實支撐仍然很少，就認為它可以忽略。

這同樣走得太遠。

現實支撐有限，意味著我們不能把它寫成一個已經充分確立的理論結構；但它並不因此消失。它仍然指出了一個不能被逐項審查自動排除的問題：

每一項單獨都不夠，並不能證明它們合起來仍然不夠。

所以，本章真正留下的不是一套可以到處套用的解釋，而是一個需要被保留的問題，以及使用這個問題時必須守住的邊界。

還有一個前提，本章從頭到尾都站在上面，卻沒有檢查過。

這一整章討論的都是一個結果怎樣被做成：哪些能力單獨不夠，哪些組合以後可能夠，什麼情況不能算能力組合。

它默認了一件事：

一個結果一旦落地，下游拿到它時，就可以把它當成已經成立的事實繼續使用。

可是，如果這個結果本身已經不可靠呢？

如果它來自一條已經不能被信任的路徑，而下游並不知道，也沒有重新判斷呢？

如果上游給出的結果本身已經不可靠，下游憑什麼可以直接使用它？

這一章不回答。

本章術語

• 對抗性完整｜Adversarial Completeness
• 受保護結果｜Protected Result
• 執行能力｜Execution Capability
• 能力組合｜Capability Composition
• 真正的能力組合｜Genuine Capability Composition
• 湧現交互｜Emergent Interaction
• 協同失敗｜Coordination Failure
• 權威分解｜Authority Decomposition
• 合謀｜Collusion

本章案例

Ronin Bridge｜2022

本章中最直接支撐「多個單獨不足的能力，組合後可能對同一個受保護結果形成充分能力」這一主張的現實案例。

它說明這種結構並非純粹的理論假設。

但目前對這條最強組合主張的直接現實支撐仍然有限，因此 Ronin 的作用是讓這種結構可見，而不是證明它已經成為一個充分確立的理論結論。

2010 Flash Crash｜2010

本章用它來劃定「湧現交互」與「能力組合」之間的邊界。

多個獨立部分在相互作用中產生整體結果，不因此自動構成能力組合。

它在本章承擔的是排除作用：

Emergent Interaction ≠ Capability Composition。

Deepwater Horizon / Macondo｜2010

本章用它來劃定「協同失敗」與「能力組合」之間的邊界。

多個主體、團隊或環節共同參與，並最終發生嚴重失敗，不因此證明多個單獨不足的能力已經組合成充分能力。

它在本章承擔的同樣是排除作用：

Coordination Failure ≠ Capability Composition。

---

第十一章｜下游為什麼不再驗一次

本章處理的是上游判斷如何在進入下游以後失去原有條件邊界。一個結論、資格或簽名可以在上游真實成立，下游也可以正確接收並使用它，但如果它被直接當作這一次動作仍然成立的前提，而沒有重新判斷它對當前動作是否仍然有效，就可能形成無重驗繼承。這裡的關鍵不是“下游有沒有再查一次”，更不是主張所有系統都應該重複驗證；下游完全可能檢查格式、簽名、主體和憑據，卻仍然沒有檢查真正需要重新成立的對象。為防止這一結構被說得過寬，本章提出三個必須同時說明、但仍然保持開放的問題：重驗的對象是什麼，誰有義務重驗，以及下游依據什麼條件接受上游產出。Ubiquiti 說明真實地重驗主體與憑據仍然可能不足；Ronin 則說明下游使用了上游輸入，也不能自動歸入本章結構。因此，這三項不是一張檢查表，而是阻止過快歸類的否定邊界：三者沒有被說明之前，最多隻能說“下游使用了上游輸入”。本章最後把問題繼續向證據推進：如果被繼承的不再只是結論，而是記錄仍然完整、材料仍然存在的證據，為什麼基於它的判斷仍然可能出錯？

一份東西從上游交下來：可能是一次審核的結論，一份資格證明，一個簽名，或者一條已經被標成「已通過」的記錄。下游接住它，據此完成自己的那一步：放行、轉賬、寫入、把指令發給設備。這一步做完，某個不可逆的結果就在現實裡成立了。

事後追問下游為什麼沒有自己再查一遍，很容易得到一句回答：上游已經查過了。

這句話完全可能是真的，也可能是合理的。分工之所以有意義，正是因為後面的人不必把前面的人做過的事重做一遍；如果每一層都要把上一層的全部判斷重新執行一次，系統就不再有層。所以這句話很難反駁，也不一定會被繼續解釋——它聽起來不像一個判斷，而像一個前提。

它也未必以這句話的樣子出現。在代碼裡，它是一個被當作可信的字段；在組織里，它是「那一步歸另一個團隊管」；在合同與合規那一側，它是一紙已經簽發的證明，收到的人不會再去核它簽發時依據的是什麼。形態不同，結構是同一個：一段判斷在上游完成，它的結論向下游移動，而做出那段判斷時所依據的條件沒有跟著一起移動。

正因為如此，把它當成一句託詞去反駁是沒有意義的。本章要問的不是下游該不該信任上游，也不是下游應不應該多疑一點。信任的多少在這裡不是一個有用的刻度。要問的是一件更具體的事：在這道接縫上，究竟有什麼東西過去了，而它過去之後還剩下多少效力。

下游憑什麼可以直接使用上游給出的結果、資格或簽名？

第一章已經把一個受保護結果所必需的約束集合單獨立成了對象——不是系統里布著哪些約束，而是要讓這一次的結果成立，哪些約束必須進入這一次判斷。有了這個對象，上面那句話才有可以被追問的地方：上游查過的東西，和這一次動作所必需的東西，是不是同一批；如果不是，中間那段差額由誰補上。

被繼承的東西

把這句省略理由展開，底下是一個結構：上游產出被下游無重驗地繼承。

它的最小形態非常樸素。上游產生了某個東西——一個結論、一份資格、一個簽名；下游把它當作已經成立的前提使用，中間沒有任何一步重新判斷它對這一次動作是否仍然成立。這種繼承不以有人作惡為前提，也不要求先假定某個組件已經失靈。

「無重驗」這個說法容易被讀窄；它不是說下游什麼都沒查。下游仍然可能做了很多檢查：格式對不對、字段齊不齊、簽名能不能驗出來、請求是不是來自它認識的那一側。這些檢查都可以真實存在，也可能全部通過。無重驗說的是另一件事——被繼承的那個判斷本身，沒有被放回這一次動作的條件下重新做一遍。上游的結論作為一個既成事實被接住，而不是作為一個在特定條件下成立的判斷被重新檢驗。

這裡還要分開兩個問題。上游的結論對不對，和它是否需要在這一次被重新判斷，不是同一個問題。上游可以完全正確——它在自己面對的那個問題上給出了正確答案，而這個答案被拿去支撐另一個問題的時候，它正確與否已經不是關鍵。繼承的風險不在上游的質量，而在兩次判斷面對的不是同一件事。這也是為什麼提高上游的嚴謹程度不一定能減弱這個結構：更認真地回答一個問題，不會讓它變成另一個問題的答案。

從傳播本身來看，這種繼承是傳播的最小共同過程。把級聯、速度、重試與規模拿掉之後，剩下的仍然是「上一層的產出成為下一層的前提」。

級聯、速度、重試與規模可以和這種傳播同時出現，也可以顯著放大後果，但它們不是傳播本身。它們改變的是後果的體量與到達的速度，不改變「上一層的產出成為下一層的前提」這件事。

它們是放大器，本章不處理放大。

不能把所有繼承都算進來

在本書使用的案例材料中，這種結構有很高的覆蓋。

這件事看起來像是在加強它：如果很多事件都可以從這個角度解釋，似乎說明這個結構抓得很準。

但高覆蓋也帶來相反的問題。

一個很容易在不同事件裡被看到的結構，也很容易被說得過寬。

所以，案例材料給出的不是一個可以不斷擴張外延的理由。恰恰相反，高覆蓋必須和兩個具體的反例放在一起看，它們共同限制的是這條結構的寬形式。

案例覆蓋本身也不是證明。

一個結構能夠解釋很多事件，與它已經被證明，是兩回事。這裡真正重要的不是有多少案例可以被放進來，而是哪些情形即使表面上很像，也不能因此直接歸到這裡。

最需要防的，就是把任何「下游用了上游的東西」都讀成這種結構。

只要系統存在分層，上游的產出就可能成為下游的輸入。如果僅憑這一點就足以完成歸類，那麼這條結構最終會把幾乎所有分層系統都收進來，也就失去了區分能力。

寫下「下游使用了上游輸入」，最多隻能說明這裡存在繼承。

它還沒有說明，這是不是本章所說的那種無重驗繼承。

而一旦把兩者直接畫上等號，另一個看起來很自然的結論也會跟著出現：

既然問題是下游沒有重驗，那就讓下游再驗一次；下一節的案例正好擋住這條推論。

收窄這種寬形式的兩個案例來自兩個不同方向。

一個說明：下游重驗了，仍然可能不夠——問題還在於驗的究竟是什麼。

另一個說明：下游使用了上游的東西，也未必就屬於本章討論的結構——僅有繼承這個表面事實，還不足以完成歸類。

一邊擋住「只要補一次重驗就解決了」，另一邊擋住「只要使用了上游輸入就算」。

兩邊都收住之後，本章真正需要追問的東西才顯出來。

所以，要把一次事件寫成這裡所說的結構，僅僅知道「上游給了東西，下游用了」還不夠。

還需要繼續問三個問題；而這三個問題，恰恰都是本書沒有直接答案的問題。

問題一：重驗什麼

第一個問題是重驗對象（requalification object）：如果要重驗，重驗的是什麼。

這看上去像一個操作細節——真到了要補一道檢查的時候再定就是了。它不是。任何一次重驗都必須先挑出一個對象來驗，而挑對象這一步本身就是判斷：挑錯了，後面執行得再認真也不會碰到要害。重驗的強度可以靠資源堆出來，重驗的對象不行。

這個問題其實是第一章那個對象在接縫上的再次出現。第一章把「這一次結果所必需的約束」與「系統裡存在的約束」分開之後，一個隨之而來的問題是：要讓這一次的結果成立，必須被重新確認的是哪一些。下游在決定重驗什麼的時候，實際上是在替這一次動作回答這個問題——它可能是隱式地回答，也可能只是沿用手邊已有的驗證對象。

2020 年底之後的 Ubiquiti 事件提供了一個很窄但很硬的觀察。在那個事件裡，下游確實重新驗證了上游給出的主體與憑據，而且驗證結果真實無誤：是這個人，是這份憑據，都對。動作照樣到達了現實。

這個案子在本章只承擔這一件事。它的事實鏈、法律過程、人物身份與責任判定都不在本章展開。它給出的是一個否定句：

重驗真實的主體與憑據，不足以阻止一次惡意動作。

這個否定句的邊界需要一起交代清楚。

它不證明本章的結構成立——案例不是證明。案例被核驗為合格，也不等於它的全部事實都沒有爭議，更不等於理論已經被證明。

它也不能被反過來讀成「重驗沒有用」。這裡被否定的是一種更寬的說法：只要重新驗證主體與憑據，就已經足夠。

它更不能被用來回答「那應該重驗什麼」。

這個案例只說明：主體和憑據這兩個對象，在這個觀察裡仍然不足以解決問題。

它沒有給出那個“足夠的對象”究竟是什麼。

最後，這個事件裡出現了惡意行為，但惡意不是本章所討論結構的成立條件。第五章已經區分過：系統裡的失陷或錯誤，不需要先假定存在一個惡意主體。本章同樣不把惡意寫成這個結構的必要前提。

還有一條更容易滑過去的線。

本章的標題問的是：

下游為什麼不再驗一次。

它並不是在主張：

所以下游應該再驗一次。

把「再驗一次」寫成一條通用建議，恰好會繞過這一節剛剛建立的問題。Ubiquiti 說明的是：一次真實、正確、認真執行的重驗，仍然可能因為重驗對象本身不夠，而沒有解決真正的問題。

所以，僅僅增加一次複核，並不能替代對「重驗什麼」的追問。

於是，重驗對象不再只是一個操作細節，而成為一個必須被單獨說明的要素。

但它的內容，本書沒有給出；它仍然是開放的。

這不是說本書已經傾向於某個答案，只是暫時沒有寫出來；也不是說答案已經存在於別處，這裡只是省略。

這一項真正保持開放的意思是：

本書沒有建立一套可以確定“應該重驗什麼”的完整規則。

所以這裡能夠確定的是問題本身，以及 Ubiquiti 給出的那個否定邊界；再往前一步，就超出了這一章現有材料能夠支持的範圍。

問題二：義務落在誰身上

第二個問題是義務（obligation）：誰有義務重驗。

這個問題的麻煩之處在於，它的缺口不一定表現為拒絕，也可能表現為順利通過。上游認為自己已經做完了本職——它確實完成了自己被要求做的那部分。下游認為上游已經做過——它也沒有說錯，那件事確實做過。

兩邊的判斷都可能在各自的範圍內成立，而中間那段差額並不表現為任何一側已經明確犯錯。沒有人拒絕，沒有人報錯，也未必會有一個地方明確寫著「這裡還需要有人再判斷一次」。

「那就兩邊都驗一遍」也不能自動解決這個問題。

兩邊都驗，仍然可能驗的是同一個不相干的對象——上一節的問題不會因為同一件事做了兩遍就消失。

如果兩邊驗的是不同對象，那麼新的問題又會出現：誰負責哪一部分，哪些判斷屬於上游，哪些需要在下游重新成立。

所以，增加參與方或者增加一次檢查，本身並沒有回答“義務到底落在哪裡”。

這裡也不能把「重驗什麼」和「誰有義務重驗」寫成一個固定的先後關係。

它們是兩個不同的問題。

知道應該重新確認什麼，並不會自動告訴我們誰必須承擔這項判斷；反過來，僅僅指定一個承擔者，也不會自動把重驗對象變得清楚。

本書不給出這項義務應該落在哪一側，也不給出一套判斷它應當落在哪一側的規範。

這一項同樣是開放的。

它在這裡被提出，是因為如果連誰承擔這項判斷都說不清，就還不能把一次下游繼承寫成已經被完整理解的結構。

但提出這個問題，不等於本書已經回答了它。

問題三：下游在什麼條件下接受

第三個問題是下游接受條件（downstream acceptance condition）：下游在什麼條件下接受上游的產出。

本章一路在說「結果、資格或簽名」，其中的「資格」有一個已經確定的所指。

授權（Authorization）是判斷主體是否被允許擁有或使用某類能力的資格邊界；授權成立，不代表一次具體動作在當前狀態、參數和邊界下必然應該執行。

授權也不等同於權威，不等同於 Permission 的全部含義，不等同於執行能力，更不等同於一次具體動作的最終執行資格。

意圖那一側也有一條同向的限定：意圖即使真實、明確，也不會因此自動獲得執行資格。

授權這個概念自身已經暴露過一種風險：系統可能把長期授權直接解釋為每一次具體執行都應允許。

資格在時間上是長的，動作在時間上是短的。

資格成立時，它面對的是一整類能力；而一次具體動作發生時，面對的是一組具體參數、一個具體狀態和一條具體邊界。

如果一個長期成立的資格被直接繼承到一次具體動作中，中間就可能缺少針對這一次動作的重新判斷。

這正是本節為什麼要問“下游在什麼條件下接受”。

這裡引用授權與意圖，只是為了說明被繼承的上游產出究竟可能是什麼。它們各自由什麼構成、在什麼條件下成立、承擔什麼作用，不在本章重新展開。

本章也不因此建立新的再授權結構。

真正需要區分的是兩件事：

下游事實上接受了什麼。

以及：

下游依據什麼條件認為這一次可以接受。

前者只是描述已經發生的事情；後者才是這一節要追問的問題。

一個上游結果最終被下游使用，並不能單獨說明這道接縫屬於本章討論的結構。我們仍然需要知道，下游在什麼條件下把這個上游產出當作足以繼續執行的依據。

但這項條件究竟應該是什麼，本書同樣沒有給出；這一項仍然是開放的。

它在本章中的作用，是提醒我們：僅僅知道“下游接受了”還不夠。要把一次事件歸入本章討論的結構，還必須能夠說明下游接受上游產出的條件。

而這一項，不能脫離前面的重驗對象與義務，單獨變成一條判定規則。

「下游重驗」本身也處在一個跨主題的依賴邊界上。也就是說，這裡可以確認它是需要被說明的問題，但不能因為本章已經提出這個問題，就把它進一步寫成已經解決的語義。

依賴項沒有解決，不妨礙本章把邊界說清楚；但同樣，也不授權本章替它給出答案。

三者缺一

到這裡，本章的主張可以完整地給出來了。

存在一種傳播結構：上游產出被下游無重驗地繼承。

但要把一次具體事件寫成這種結構，必須同時說明三個問題：重驗的對象是什麼，誰有義務重驗，以及下游在什麼條件下接受上游的產出。

三者缺一，就不能把「下游使用了上游輸入」寫成該結構。

這句話必須按它原來的方向來讀。

它首先是一個否定邊界，不是一份三項檢查表。

檢查表意味著三個條件可以逐項確認，確認完成以後，就能夠得到一個正面的判斷。

這裡不是這樣。

前面三節已經分別說明，這三個問題本身都還保持開放。本書沒有給出一個可以逐項打勾的重驗對象，沒有給出一套義務分配規範，也沒有給出已經確定的下游接受條件。

所以“三者缺一”不能被反過來理解成：

只要三項都寫出來，就一定能夠判定這個結構成立。

它真正限制的是另一種過快的歸類：

在三個問題都沒有被說明之前，不能僅憑「下游使用了上游輸入」這一表面事實，就把事件歸入這裡。

否定邊界與正面規則給出的東西並不相同。

正面規則會告訴我們滿足什麼條件以後，可以得到一個結論；這裡能夠確定的只是，在必要的問題還沒有被說明以前，有些結論不能下。

這一點落到具體分析裡並不抽象。

如果一份事故報告寫下「下游沒有重新驗證上游輸入」，卻說不出重驗的是什麼、義務落在哪裡、下游依據什麼條件接受，那麼它首先描述的是一次上游輸入被下游使用的事實。

這還不足以說明，本章討論的那種結構已經被識別出來。

2022 年 3 月的 Ronin 事件從另一個方向限制了這種寬泛歸類。

這個事件在本書中還有其他使用面，但本章只取與當前問題有關的一側：

同一個事件可能支持對一種結構的討論，卻不因此自動屬於另一種結構。

它表面上符合最寬的描述——下游使用了上游給出的東西——但這個事實本身仍不足以把它歸入本章討論的結構。

Ronin 在這裡同樣不是用來證明本章主張成立。

它只是提醒我們，不能從「發生了繼承」直接推出「發生了本章所說的無重驗繼承」。

也不能進一步由這個案例推出不同結構之間彼此排斥，或者存在高低層級。不同結構可以在同一個事件中同時出現，而某一次事件究竟應該怎樣歸類，也不能由這裡得到一條現成的判別規則。

這一點仍然要回到前面的三個問題。

在它們沒有被說清楚以前，最穩妥的結論仍然是：

不能僅憑“下游使用了上游輸入”，就把一次事件寫成本章所說的結構。

為什麼這裡沒有一張圖

這三個問題很容易被放進一張圖裡。

三項、並列、好記。可以做成一張三格的圖，一張三行的表，或者一個方框，讀者一眼就能看見它們。

問題也恰恰在這裡。

一張整齊的圖很容易讓三個尚未回答的問題，看起來像三個已經確定的對象。

流程圖會更進一步。它需要在某個位置畫出一個判斷點，比如「是否重驗」，於是原本仍然開放的問題，會在圖上獲得一個確定的位置和順序。

方框帶來的暗示也類似：放進去以後，它們很容易被理解成三個已經知道、可以直接拿來操作的要點。

而這一章現在能夠說的並不是這些。

重驗什麼，誰有義務重驗，下游依據什麼條件接受，這三個問題都已經被提出，但它們的具體內容並沒有在這裡得到答案。

兩個案例也有同樣的問題。

如果把它們和各自限制的對象排成兩行，很容易得到一張看起來非常清楚的規則表：遇到這種情況，就判定為什麼；遇到另一種情況，就排除什麼。

但兩個案例真正提供的都是否定邊界。

一個告訴我們，真實地重驗主體和憑據仍然可能不夠。

另一個告訴我們，下游使用了上游輸入，也不能自動歸入本章討論的結構。

它們說明的是「這樣還不夠」，而不是「這樣判斷就一定對」。

一旦把這種否定邊界做成整齊的判定表，很容易從「不能這樣下結論」，滑成「按照這張表就能下結論」。

而後一種東西，本章並沒有建立；所以這裡不畫圖，也不做三列表。

不是因為這三個問題不能被並列說出來，而是因為它們目前仍然是三個開放的問題。

理論上仍然存在的缺口，不應該因為版式變得整齊，就看起來像已經被填上了。

仍然開著的

到這裡，這個結構的最小核心已經可以被說清楚：上游產出被下游接住，而接住它的那一步沒有重新判斷它對這一次動作是否仍然成立。

但這個核心仍然帶著條件。前面展開的三個問題——重驗什麼、誰有義務重驗、下游在什麼條件下接受——都還沒有得到完整答案。

本章使用過的英文名稱也仍然只是一個臨時研究名稱，不應被當作已經確定的公開術語。讀者真正需要帶走的是那個結構，而不是一個看起來已經被正式定名的名字。

三要素各自開放。

它們不是同一件工作的三個步驟，也不構成一份「三項待辦」。它們是三個方向不同的問題，只是同時關係到這個結構能不能被完整說明。

本章不解決它們，本書也不替它們給出答案。

這不是遺漏，也不是意味著答案會在後面的某一章出現。一個問題已經被清楚地劃出邊界，不等於這個問題的所有內容都已經有了答案。

這裡能夠確定的，就到這裡；仍然開著的部分，繼續保持開放。

如果繼承的是證據

本章建立的結構只有一個：上游產出被下游無重驗地繼承。

要把一次事件寫成這個結構，必須同時說明重驗什麼、誰有義務重驗、下游在什麼條件下接受；三者缺一，不能這樣寫。而這三件事，本書都沒有回答。

有三種讀法要一起擋掉。

用了上游輸入就是這個結構——不能這樣聲稱。

再驗一次就解決了——前面的案例已經說明，一次真實、正確的重驗仍然可能不足。

三要素是一份檢查表——它們是三個問題，不是三個可以逐項打勾的條目。

這一章留給讀者的，不是一件可以直接去做的事，而是一句不能輕易說出口的話。

在重驗什麼、義務在誰、下游依據什麼條件接受這三件事都還說不清的時候，一次失效能夠被如實描述的，也許只是「下游使用了上游的輸入」。

而這句話本身還不是一個結構。

這不會讓任何一次繼承變得更安全。它只是避免讓一次尚未被理解的失效，被一個聽起來已經解釋過的名字蓋住。

還有一個問題來自本章一直處理的對象。

本章說的繼承，繼承的是結果、資格與簽名。這些都是判斷的產物，它們是否仍然成立，取決於產生它們的那一步，以及它們被帶入下一次動作時所面對的條件。

但還有一類東西也會被繼承，而且在直覺上似乎更穩固。

它不是判斷本身，而是判斷所依據的材料。

如果一份結果會因為條件變化而失去原來的效力，那麼證據呢？

證據看起來更堅固。它還在那裡，記錄也沒有消失，甚至整條證據鏈都可能仍然完整。

如果繼承的是證據呢——證據還在，為什麼判斷仍然錯了？

下一章接著這個問題：

證據還在、記錄也完整，為什麼基於它的判斷仍然錯了？

本章術語

• 對抗性完整｜Adversarial Completeness
• 受保護結果｜Protected Result
• 必需約束｜Required Constraint
• 重驗對象｜Requalification Object
• 義務｜Obligation
• 下游接受條件｜Downstream Acceptance Condition
• 授權｜Authorization
• 意圖｜Intent

本章案例

Ubiquiti Insider Incident｜2020 年底以後

本章用它說明重驗對象的問題。

在這個案例中，下游確實重新驗證了上游給出的主體與憑據，而且驗證結果真實有效，但這仍不足以阻止惡意動作發生。

它在本章支持的只是一個有限的否定結論：

重驗真實的主體與憑據，不足以證明重驗已經充分。

它不能被反過來理解為“重驗沒有用”，也不能回答“那究竟應該重驗什麼”。

Ronin Bridge｜2022

Ronin 在本章只使用與下游繼承有關的一側。

它用來限制一種過寬的解釋：

下游使用了上游給出的東西，並不自動意味著發生了本章所說的無重驗繼承。

同一個事件可能同時與不同結構有關，也可能支持對一種結構的討論，卻不能因此自動歸入另一種結構。

Ronin 在這裡承擔的是邊界作用，而不是對本章核心主張的證明。

---

第十二章｜記錄都在，事實不在了

本章處理一種更隱蔽的失效：記錄、簽名、日誌和回執都完整存在，材料也沒有被篡改，但它們與當前判斷所要確認的事實之間的關係已經斷裂。這裡的問題不在證據這個實體本身，也不在事實是否曾經發生，而在 Evidence 與 Fact 之間那條“這份材料仍然能夠支持這個事實判斷”的關係失效。由此，本章把 relation-level failure 與材料完整性問題分開：哈希正確、記錄齊全、來源可追溯，只能證明材料自身沒有異常，不能自動證明這些材料在當前時刻仍然指向正確對象、保持必要連續性，或者仍足以支持這一次判斷。主動篡改可以造成這種關係斷裂，但它只是上游原因，不是結構本體；對象綁定錯誤、連續性斷裂等也都可以在材料從未被修改的情況下出現。案例池對這一結構形成較強壓力，但 15 Strong / 3 Partial / 0 None 仍不構成理論證明，也不能據此建立內部子類型。純事後無法證明是否一定屬於這一結構，仍然保持開放。到這裡，前面七項失陷結構已經全部在場，下一章因此繼續追問：把它們並列起來以後，是不是就得到了一份“照著做即可”的安全清單？

什麼都查得到，為什麼還是錯的

事後復盤有一種結果最難處理：什麼都查得到，結論還是錯的。

材料是齊的。日誌沒有缺段，時間戳首尾相接，簽名逐一驗得過，每一次調用都留下了回執，該有的批准都能被調出來。沒有人刪過東西，也看不出誰改過什麼。把這些材料按時間擺開，可以完整複述出當時發生了什麼：誰發起、誰批准、哪個組件返回了什麼、結果在哪一秒落地。追查過程順利得幾乎沒有阻力，順利到讓人覺得這個系統的可觀測性做得相當不錯。

可是那一次判斷是錯的。

不是「事後看來不夠理想」這種錯——那屬於另一類問題。是在判斷做出的那一刻，它所依據的材料與它要確認的那件事，已經對不上了。

而這件事，靠把材料再看一遍是看不出來的，因為材料本身沒有任何異常。

證據還在、記錄也完整，為什麼基於它的判斷仍然錯了？

這個問題很容易被一種熟悉的追查方式關掉：去找一個動手的人。

誰改了那條記錄，誰替換了那個文件，誰在鏈條中間插進了偽造的一段。防篡改、完整性驗證、變更追蹤和審計工具，都非常適合回答這一類問題。

問題出在這條路落空之後。

當哈希都對得上，當沒有覆蓋或刪除的痕跡，當每一份材料都能追到它被生成的那一刻，調查很容易停在一句話上：

「記錄完整，未發現異常。」

這句話當然有意義。它說明至少沒有在已經檢查的那些位置上發現材料被篡改。

但它沒有回答另一件事：

那一次判斷為什麼仍然錯了？

守住材料生成和保存的兩端當然有價值。防篡改存儲、追加寫入、多方簽名、鏈式校驗，都能夠阻止它們針對的攻擊。

但它們守的是材料這個東西。

本章要討論的失效，不一定發生在材料本身。

一份材料可以一直保持它被生成時的樣子，一個字節都沒有變化，而它到了這一次判斷裡，已經不能再支持原來的那個事實判斷。

第一章已經把一個重要位置單獨拿了出來：一個受保護結果能不能成立，取決於哪些約束真的進入了這一次判斷，而不是這些約束是否存在於系統的某個地方。

必需的約束集合與實際被查詢、實際生效的集合被分開以後，「約束是不是真的進入了這一次判斷」才成為一個可以追問的問題。

本章要把同一個因果位置上的另一件東西拿出來。

進入一次判斷的，不只有約束，還有證據。

約束決定這一次動作允許不允許。

證據決定判斷所依據的事實是不是那樣。

兩者在同一個因果位置上被取用，但失效的方式並不相同。

約束可以沒有被查詢，可以被繞過，也可以在真正需要生效的時候已經不是它應該是的樣子。

證據這一側還有另一種可能：

證據完好無損地在場，而它與事實之間的關係已經斷了。

判斷髮生在一個很窄的時刻。系統在那一刻取來所需的約束，也取來所需的材料，得出結論，然後讓動作繼續往下走。

設計發生在它之前，審計發生在它之後。

失效卻可能發生在中間。

設計與審計兩端的加固，觸及不到中間這一步。

斷的不是證據，也不是事實

這就是本章要建立的結構。

斷裂不一定在證據這一側。

材料可以齊全，可以驗證，可以追溯。

斷裂也不在「事實必須已經消失」這一側；事實發生過就是發生過，沒有發生就是沒有發生。

真正斷掉的，是兩者之間的那條關係：

這份材料能夠支持關於那個事實的判斷。

一旦這條關係在因果鏈內部失效，兩端仍然可以看起來完好。

證據還在；事實也仍然是那個事實；可是這份證據已經不能支持此刻對這個事實作出的判斷。

判斷卻不會因此自動停止。只要材料仍然能夠被正常取到、正常解析、正常通過已有的完整性檢查，後面的判斷就仍然可以順利發生。

所以這是一種 relation-level 的失效。

這裡的 relation-level 只說明本體所在的位置：

它是一段關係，不是一個實體。

它不意味著這一結構比某種機制「高一級」或者「低一級」。這裡沒有這樣的層級序。

這個區別之所以重要，是因為常見的工程檢查面對的是實體。

可以清點日誌條數，可以計算數據哈希，可以驗證簽名和證書鏈，可以確認某一份記錄是否在規定時間內寫入，也可以檢查材料是否缺失、過期或者來源異常。

這些檢查確認的是：

材料存在，材料完整，材料來源可查；這些都是材料本身的屬性。

但「這份材料現在仍然能夠支持關於那個事實的判斷」，不是材料單獨擁有的屬性。

關係不是一個可以清點的對象。

無法像對文件計算哈希那樣，單獨給「這份材料仍然指向那個事實」計算一個校驗和。

所以，只檢查材料本身是否完整，不能自動替代對關係是否成立的判斷。

實體層的問題可以留下明確的檢查信號：校驗失敗、記錄缺段、材料過期、權限不足。

關係斷裂則可能沒有這種信號。

材料仍然能夠被取到，判斷仍然能夠返回，動作也仍然可能繼續發生。

這也是為什麼「材料沒有異常」和「這一次判斷有可靠的事實依據」必須被分開。

關係沒有外部裁判

問題還要再往下一層。

要檢驗「這份材料是不是仍然指向那個事實」，直覺上最簡單的辦法似乎是：

把材料和事實對一下。

但這裡有一個無法繞開的困難。

事實不是一個能夠脫離證據、被判斷系統獨立取來的對象。

判斷之所以需要證據，本來就是因為它不能直接取得那個事實。

如果系統可以繞過證據，直接看到自己要確認的事實，那麼在那個位置上，證據也就失去了存在的必要。

因此，Evidence 與 Fact 之間的關係沒有一個天然站在外面的裁判。

判斷者手裡真正可以取得的，仍然是材料這一端；另一端恰恰是它試圖通過這些材料去確認的東西；這就是這一章比「日誌有沒有被改過」更麻煩的地方。

所謂「記錄都在，事實不在了」，不是說現實中的事實憑空消失了。

消失的是一條可供這次判斷使用的連接：

從這些材料，到那個事實。

路的兩端都可以還在；斷掉的是路本身。

工程上會自然採用另一種辦法：讓證據彼此核對。

兩個來源交叉比對，兩側賬目對賬，多方分別保留副本，再互相印證。

這些做法有它們自己的價值。

但對於本章的問題，需要守住一個邊界：

它們仍然是在材料這一端工作。

增加材料、複製材料、讓不同材料彼此核對，並不會因為數量增加，就自動把 Evidence 與 Fact 之間的關係變成一個實體。

本章不進一步討論什麼樣的證據組合才算充分，也不評價哪一種核對方式是否足夠。

這裡需要建立的只有一個區別：

材料之間能夠互相驗證，與材料仍然能夠支持那個事實，不是同一個問題。

篡改是原因，不是本體

這裡還有一個非常容易擺反的關係。

材料與事實對不上時，第一個直覺很容易是：

一定有人動了手腳。

這個判斷並非毫無根據。

篡改當然可以造成 Evidence 與 Fact 之間的關係斷裂。

但要把兩個因果位置分開：

active tampering 是上游的原因，不是這一關係失效的本體。

本體仍然是：

與這一次判斷相關的 Evidence–Fact 關係失效。

把兩者擺反，會直接影響調查什麼時候結束。

如果把「篡改」當作本體，那麼當調查得到「沒有發現任何人修改材料」以後，問題似乎已經可以關閉。

可是它不能。

一份完全合法生成、從未被修改過的材料，也可能在這一次判斷髮生時不再指向需要確認的那個事實。

材料可能綁定了錯誤的對象。

鏈條中間可能缺少一段必要的連續關係。

材料描述的狀態，也可能在它被實際取用以前已經發生變化。

這些情況都不要求有人動手修改材料。

所以，繼續加固生成端、保存端，繼續增加簽名、哈希與不可變副本，解決的是材料本身能夠被篡改的問題。

如果材料本來就沒有被改過，它們並沒有自動觸及本章討論的斷裂。

但是反過來的讀法同樣不成立。

說篡改不是本體，不等於說篡改與這種失效無關。

篡改仍然可以是導致關係斷裂的一條上游路徑。

區分的是它在因果鏈中的位置，而不是把它從因果關係中刪除。

這一點決定了調查能不能停。

如果沒有發現篡改，只能說明一條可能的上游來路沒有被發現。

接下來仍然需要問：

這一次判斷所依據的材料，在被取用的那個時刻，究竟指向了什麼？

這裡的「與判斷相關」也只承擔定位作用。

本章討論的是那些真正進入了這一次判斷、並對判斷產生作用的材料。

一份只是被歸檔保存、從未進入當前判斷的材料，即使它和某個事實對不上，也不屬於本章正在討論的對象。

至於「什麼叫與判斷相關」應當如何進一步判定，本章不展開，也不建立新的相關性判據。

記錄存在不等於事實成立

到了這裡，可以把問題壓成一句更直接的話：

記錄存在不等於事實成立。

這裡所說的證據，是能夠支持關於執行前條件、執行判斷、邊界狀態或者執行結果之可驗證事實的材料。

所以證據不只是日誌。

也不是任何「被記錄下來的東西」都自動成為證據。

同樣：

Receipt 不等於完整執行證據。

一次調用返回成功，只能說明這一次調用返回了成功。

它不能獨自證明整個動作按照預期完成，更不能獨自回答這一次動作在當前邊界下是否應該發生。

證據也不自行決定 Action 是否應該發生。

材料再完整，也不能代替判斷本身。

與本章直接相關的兩個失敗方向，是對象綁定錯誤和連續性斷裂。

對象綁定錯誤，是材料確實真實、完整、可以驗證，但它指向的不是這一次判斷真正要確認的對象。

連續性斷裂，則是鏈條中的材料各自可以成立，但它們之間缺少了能夠把前後狀態真正接起來的那一段。

這兩種情況都不需要先假定有人篡改材料。

兩個設想出來的情形可以把這個區別說明得更具體。它們只用於解釋已經建立的區分，不承擔事實證明。

假設一次判斷需要確認某個賬戶當前的額度。系統取得了一份合規生成、簽名有效的額度證明，但它綁定的是同一主體名下的另一個賬戶。

材料是真的，簽名是真的，它所證明的事情也可以是真的；但它證明的不是眼前需要確認的那件事。

再假設一條執行鏈路中途經歷了一次狀態重建。重建以後的記錄從第一條開始完整無缺，重建以前留下的材料本身也沒有異常，但前後兩段之間缺少能夠證明它們連續屬於同一條狀態鏈的材料。

這裡的問題也不是某一條記錄被改掉；問題發生在連續關係上。

還需要守住另一個邊界。

證據不等同於日誌，不等同於記錄，不等同於回執，不等同於真相，也不等同於策略。

這些否定不是一張定義證據的對照表。

尤其是「證據不等於真相」，這裡只是在劃清證據自身的邊界，不是本書在討論什麼是真、什麼是假，也不是在建立一套真值理論。

本章不重新定義證據由哪些東西構成，也不討論怎樣的證據組合才算充分。

本章只檢查一件事：

在失陷條件下，Evidence 與 Fact 之間那條與當前判斷相關的關係，是否仍然成立。

斷裂發生在哪裡

這條關係可以在因果鏈的不同位置上斷開。

把位置分開，是為了回答「斷在哪裡」，不是為了給這一結構建立三個子類型。

一種情況發生在執行之前。

判斷還沒有做出，動作也還沒有發生，但用來確立前提條件的材料，在被取用的那一刻已經不再指向它應當指向的事實。

狀態可能在材料生成以後發生了變化，也可能從一開始，材料綁定的就不是這一次動作真正對應的對象。

判斷仍然可以正常做出，依據也真實存在；只是那個依據證明的不是眼前這件事。

另一種情況發生在執行與恢復過程中。

動作已經開始，系統在中途重建狀態、回滾部分操作、切換備用路徑，或者從故障狀態中恢復。

恢復以後產生的記錄可以完全正常，它忠實地記錄了恢復後的系統。

但恢復以前和恢復以後之間，可能缺少能夠承載兩段狀態連續性的材料。

問題不在前一段假，也不在後一段假；問題在兩段之間是否仍然可以被接起來。

還有一種情況出現在純事後。

動作已經完成，現實結果已經成立，但此後無法再證明動作發生時究竟是什麼狀態。

材料可能從未被建立，可能已經失效，也可能仍然存在，卻無法回答事後提出的那個問題。

這裡需要特別防止一種誤讀：前面這三種說法只是因果位的區分；它們不是這個結構的三個內部子類型，它們也不是三個依次發生的階段。

同一次事件完全可能在執行之前已經綁定錯對象，在恢復過程中又失去狀態連續性，最後落到事後無法證明。

所以不能把它們編號成第一類、第二類、第三類，也不應該排成一張三行表。

把它們分開說，只是為了讓「關係究竟斷在什麼因果位置」成為一個能夠繼續追問的問題。

純事後無法證明，仍然是開放邊界

前面第三個位置本身還有一條沒有關閉的邊界。

純事後無法證明，並不當然屬於本章所說的結構。

這句話需要按字面保留。

「事後已經無法證明」是一種狀態。

它可能來自 Evidence 與 Fact 之間的關係斷裂，也可能來自別的原因。

因此，不能僅僅因為事後什麼都查不出來，就自動把它歸入這一結構。

這一條邊界目前仍然開放。

本書不替它補上一個答案，也不猜測最後應該把它放在哪一邊。

保持它開放的代價很具體。

面對一次事後已經無法證明的事件，現在並不能總是分清：

到底是原本建立過 Evidence–Fact 關係，後來這條關係斷了；

還是從一開始，那條需要的關係就沒有被建立；

又或者發生的是別的問題。

這些情形到了事後可能留下非常相似的外觀。

但相似的外觀不等於它們已經屬於同一種結構。

《執行縫隙》中也曾從另一側觸碰到同一條邊界，並把它稱為「純事後證明損失」。

這裡不需要借用那一側的論證，也不要求讀者先讀另一冊。

兩邊只需要保持同一個限制：

這條邊界還沒有被解決。

案例不是證明

把這條關係放回不同事件中看，會反覆遇到相似的結構。

有些事件裡確實有人動了手腳：材料被偽造、對象被替換、鏈條被人為改變。也有一些事件並不需要先假定這些動作存在。兩類事件最後都可能落到同一個位置——判斷所依賴的材料，與它要確認的事實之間，已經失去了原來的關係。

這使前面的區分變得更加重要：

active tampering 可以造成關係斷裂，但它不是關係斷裂本身。

案例能夠讓這個區別變得可見，卻不能因此證明這條理論已經成立。

一個結構能夠解釋許多已經發生的事件，只能說明它具有解釋力。它說明我們用這個角度去看這些事件時，能夠反覆看到同一種關係問題；但從這裡到「現實中的這類失效都屬於這一結構」，中間還有很長的距離。

即使一批案例都能夠被它部分或完整地解釋，也不能因此推出不存在反例。

案例覆蓋不是現實窮盡。

這裡還必須保留另一個限制。

現有支撐並不是均勻地來自彼此獨立的來源，其中仍然存在來源集中。也就是說，案例裡反覆看到同一個結構，與這條結構已經獲得充分而獨立的理論支撐，是兩件不同的事。

前者不能替代後者。

所以，案例在這裡真正能做的，是不斷把同一個問題壓回眼前：

材料還在的時候，我們是不是過早地把「材料完整」當成了「它仍然能夠支持那個事實」？

只要這個問題在不同事件裡仍然成立，這條關係就值得繼續被單獨看待。

但這仍然不授權我們做下一件事——把它繼續拆成若干固定類型。

案例出現得再多，也不能自動推出這裡存在一套內部分類。一個事件可能從對象綁定處斷開，也可能在恢復過程中失去連續性，還可能同時經歷幾個因果位置。前面把這些位置分開，是為了看清關係在哪裡失效，不是為了製造幾個可以歸檔的格子。

案例幫助我們看見結構。

它不替結構完成證明，也不替理論完成分類。

七項到這裡全部在場

走到這裡，需要回頭看一眼前面連續建立起來的幾個結構。

它們不是七種攻擊手法，也不是七個安全組件，更不是一條從輕到重的失效等級。它們只是從不同位置追問同一個問題：當系統已經處在失陷條件下，原本被認為足以保護現實結果的那些關係，還剩下多少。

第六章看到的是共享失敗源：名義上分開的多個控制，可以因為依賴同一個失敗源而同時失效。

第七章把目光移到約束集合本身：系統實際查詢和實際生效的東西，可以不是這一次結果真正要求的那一組約束。

第八章繼續往路徑上追：即使必需約束存在，也可能存在一條能夠產生同樣結果、卻根本沒有經過這些約束的路徑。

第九章再往前一步：被改變的可能不只是某一次請求走哪條路，而是定義邊界的規則或它的實現本身。

第十章處理的是能力組合。單獨看，每一項能力都不足以產生那個結果；放到一起，它們卻可能形成足夠的執行能力。

第十一章把問題放到上下游之間：上游已經得出的結果、資格或簽名，可以被下游直接繼承，而那一次繼承本身沒有重新確認它對當前動作是否仍然成立。

本章處理的是最後一個位置：證據本身可以仍然完整，事實也沒有消失，但 Evidence 與 Fact 之間那條與當前判斷相關的關係已經斷裂。

到這裡，七項才真正全部在場。

它們彼此之間沒有高低順序，也不是從第六章一步一步推導出來的七個階段。這裡的先後只是敘述順序。每一項都在追問一個不同的斷點，而下一章要處理的，正是這些斷點全部擺在一起以後最容易產生的誤讀。

不把關係重新寫成分類

到這裡，這一結構中可以穩定下來的核心已經很清楚：

它是一種 relation-level 的失效。

本體是因果鏈內部、與當前判斷相關的 Evidence–Fact 關係失效。

這個核心已經經過重述，可以作為本書的一部分被使用。

但它仍然帶著明確邊界。

純事後無法證明是否一定屬於這一結構，仍然沒有被解決。

同時，本書明確不建立這一結構的內部子類型分類。

這不是「暫時還沒來得及分類」；不分類本身就是一個決定；原因也正來自這一章的對象；這一章討論的是一段關係。

一旦把它拆成若干固定類別，注意力很容易重新回到：

這個事件屬於哪一類？

這一類有沒有出現？

哪些格子已經覆蓋？

而本章從一開始想保住的，恰恰是另一件事：

兩端實體都可能完好，但它們之間的關係已經不成立。

分類還會製造另一個風險。

一旦預先設定若干子類型，落在這些類型之外的情形，很容易被理解成「不屬於這個結構」。

但它可能只是不屬於已經畫出的那些格子。

所以這裡不建立內部子類型，也不把前面的三個因果位改寫成三種失效類型。

本章在全書中的位置也不能被讀成強度順序；它排在前面六項之後，只是呈現順序。

認知上的前置仍然是第一章，不是第十一章，也不是中間所有章節。

它恰好處在七項中的最後一個位置，同時案例層讀數又很強，這兩個事實很容易讓人產生一種錯覺：

前面的結構較弱，後面的結構越來越強；本書不建立這樣的遞增序。

七項之間沒有共同的強度刻度，也沒有一條由前到後的理論依賴鏈。

同樣，本書不在這裡把七項做成一張橫向比較的總表，也不給它們強行套上一個新的合集名稱。

它們現在只是分別站在自己的邊界上；到這裡，七項在失陷條件下的結構全部在場。

記錄不是最後的兜底

本章拿走的是最後一層很難放棄的安全感：

不管發生了什麼，只要記錄還在，事後總能查清楚。

這是一個極具吸引力的兜底。

前面的防線可能失敗，動作可能已經發生，系統甚至可能沒有來得及阻止結果落地。

至少，還有記錄。

至少，可以事後還原。

至少，可以知道究竟發生了什麼。

但本章建立的正是這條直覺的邊界。

記錄可以全部存在；它們可以完整，可以驗證，可以追溯，也可以從未被篡改。

可是如果 Evidence 與 Fact 之間那條與判斷相關的關係已經斷掉，那麼完整的記錄只能證明這些記錄本身完整。

它們不能因為仍然存在，就自動恢復那條已經失效的關係。

事後追查所能夠檢查的，仍然是這些材料。

所以，一套系統不能僅僅因為「所有動作最終都會留下記錄」，就把事後可證明性當作當然存在的最後防線。

到這裡，七項結構已經全部出現。

接下來很自然會產生另一個念頭：

既然已經找到七種在失陷條件下會斷掉的東西，那麼把它們整理成七條要求，逐條實現，是不是就得到了一套可以照著做的安全架構？

本章自己的寫法已經在儘量避免提前製造這種錯覺。

向內，它不把這一條關係拆成若干子類型；向外，它也不把七項排成一張橫向比較的總表；但七項合起來究竟應該怎樣理解，是下一層問題。

本章不提前回答它。

於是問題變成：

現在已經有七種失陷條件下的結構——它們合起來是不是一份「照做即可」的清單？

這是下一章的問題。

本章術語

• 對抗性完整｜Adversarial Completeness
• 證據｜Evidence
• 事實｜Fact
• 關係層失效｜Relation-Level Failure
• Evidence–Fact 關係｜Evidence–Fact Relation
• 與判斷相關｜Decision-Relevant
• 主動篡改｜Active Tampering
• 回執｜Receipt
• 對象綁定錯誤
• 連續性斷裂
• 純事後證明邊界｜Pure Post-Execution Proof Boundary
• 來源族集中｜Source-Family Concentration

本章案例

案例池壓力測試｜AC-CASE001—020

本章不依賴某一個具名事件來建立核心結構，而是把已經完成事實核驗的二十個正式案例作為一個整體，對 Evidence–Fact 關係失效進行壓力測試。

在本章對應的這一面上，案例層分佈為：

15 Strong / 3 Partial / 0 None

其中十八個為合格案例，兩個為邊界案例。

這個結果說明，在這一批案例中，relation-level 的解釋具有很高覆蓋度；同時，案例層的讀法持續支持同一個區分：

active tampering 可以是上游原因，但不是 Evidence–Fact 關係失效本身。

但這些案例只承擔壓力測試作用，不承擔證明作用。

15 個 Strong 不等於理論已經被證明；0 個 None 也不等於不存在反例。案例覆蓋度同樣不能被用來建立內部子類型分類。

本章還必須同時保留另一側限制：雖然案例層支持很強，但證據層仍存在歷史材料較弱以及 source-family concentration 的限制。

因此，本章案例材料最終支持的是：

這一關係值得作為獨立結構繼續研究，但案例層的高覆蓋不能替代理論證明，也不能抹去證據層自身的限制。

---

第十三章｜這不是一份清單

本章明確阻止一種最容易出現的誤讀：前面已經識別出的七項失陷結構，並不是一份可以逐項實施、逐項打勾的安全清單。與之相關的七個分析層和十個獨立性維度，也不是七個一級機制、十個正式類別，更不是一套可以組合成 7×10 矩陣的分類學。七個分析層只是研究這些結構時的觀察位置，用來區分失效起點、變化對象、斷裂關係、獨立性、邊界效果、傳播位置與證據因果位置；十個獨立性維度則用於繼續追問“所謂獨立，究竟獨立於什麼”，而一種獨立不能替另一種獨立償債。本章因此拒絕把這些對象做成層級圖、評分表、雷達圖或矩陣，因為這種版式會悄悄把分析工具變成建設要求、驗收對象和完整性聲明。前面七項結構本身也不是封閉、互斥、窮盡的分類，同一個事件完全可以同時出現多個結構，而它們之間沒有強弱、順序或組合規則。它們真正承擔的作用，是在失陷條件下幫助我們阻止一個尚未被證明的結論過早成立，而不是告訴工程系統“照著這七條做就安全了”。下一章因此不再問這些結構應該怎麼實施，而是追問：它們各自走到了什麼證據狀態，哪些結論在現有材料下仍然不能聲稱？

到這裡，七項結構已經全部在場。

它們是在此前七章裡分別建立的。每一項對應一種具體的失陷情形，也各自在自己的條件下成立。讀其中任何一項都不需要先讀另一項，呈現的先後不構成強弱，也不構成依賴。把它們放在這本書的這個位置上，是出於敘述的需要，不是因為它們之間存在某種必須遵守的次序。

但七項被連著讀完之後，很自然會產生一個期待——既然已經知道在失陷條件下有哪些結構仍然起作用，那麼把它們排在一起，逐條對照自己的系統，是不是就得到了一份可以照著做的安全架構？

不是。

這個否定不是謙辭，也不是留待以後補上的空缺。它是本章必須明確給出的結論：支撐前面七章分析的那些對象——七個分析層與十個獨立性維度——只能作為研究方法、分析維度、案例編碼對象和邊界分析來使用，不得被機制化，也不得被做成分類學。同樣，前面七章建立的七項結構本身，也不構成一份清單。

這一章不繼續增加新的失陷結構；它要做的是取消一個已經開始形成的預期。因為一旦把前面七章讀成一份清單，每一章都會很容易被重新解釋成「這裡需要增加一項防護」，而不是「這裡存在一種在失陷條件下仍然需要被單獨判斷的結構」。這兩種讀法最終得到的不是同一本書。

這裡也不是在為材料不足留下餘地。七項結構是在各自的條件下建立起來的，每一項都有自己的來源，也有自己的限度。它們合起來之所以不能變成一份清單，不是因為還差幾項沒有寫完，而是因為「合起來」這個動作本身會改變它們的性質。

清單要求的是同質、同級、可以被窮盡地排列。

而前面的七項，從一開始就不是按照這三個條件建立的。

清單為什麼是默認讀法

工程讀者讀到「結構」兩個字，下一步很容易想到落地；這並不是一個需要被糾正的習慣。一個判斷如果不能被檢查、被驗收，不能進入設計評審和實施過程，它在工程現場就很難真正產生作用。

清單正適合承擔這種轉換。

它可以被分派，可以被逐項確認，也可以在一段時間之後重新拿出來檢查完成情況。一個原本停留在分析層的判斷，一旦被改寫成清單條目，就更容易進入持續的工程過程。

寫作本身也會受到同一種吸引。

把幾個分析對象排成清單，文本會立刻變得整齊：每一項有名字、有位置，彼此之間看起來界限清楚，讀者也更容易把它們帶走。相反，如果一直停留在「這些對象究竟是什麼性質」這一層，文字會更慢，也更難壓縮成幾句可以複述的話。

正因為這種轉換非常自然，這裡才需要一道明確的邊界。

這些分析對象一旦被寫成清單，就很容易被讀成一套「照做即可」的安全架構。而這恰恰是本書不提供的東西。

不是因為暫時還沒有做完，也不是準備以後再補。

問題在於，這些對象本來就不是作為建設條目建立起來的。

清單還會改變問題本身。

一個判斷還處在分析狀態時，問題是：

「這件事在這個具體系統裡成立嗎？」

回答它，需要回到實際系統，看這一結構在哪些條件下成立，又在哪些地方不成立。

一旦它被改成清單條目，問題很容易變成：

「這一項做了沒有？」

兩個問題表面上很接近，實際面對的對象已經不同。前者仍然要求判斷，後者開始要求狀態。

清單的效率，恰恰來自這種轉換。

但在這裡，它也會製造一種關於完整性的錯覺。

七項如果被整齊地排在一起，很容易讓人把「目前被建立的七項」讀成「需要考慮的全部範圍」。原本只是在特定條件下分別成立的幾個分析結構，會因為排列形式而獲得一種看似完整的邊界。

再給它們編號，另一種含義又會悄悄出現。編號本來可以只是定位工具，但一旦幾個對象被連續編號，人就很容易開始追問它們之間是不是存在順序、層級或者強弱。原本不存在的比較關係，會被形式帶進來。

表格帶來的問題更直接：只要出現空白格，它就很容易被理解成「還有什麼沒有完成」。於是一個本來用於分析的空位，會逐漸獲得待辦事項的含義；已經填上的位置，則很容易被讀成完成狀態。

這些推論都不是前面研究建立的。

但形式一旦朝那個方向走，文字本身就很難完全阻止這種讀法。

所以這一章要限制的，不只是我們在句子裡能說什麼。

還包括這些東西最終被擺成什麼樣子。

七個分析層是什麼

這裡必須先把兩個「七」分開。

前面七章建立的是七項失陷結構。它們描述的是在失陷條件下，系統可能以什麼方式失去原本被認為存在的約束、獨立性、邊界、資格或事實聯繫。

這一節討論的七個分析層不是那七項結構換了一套名字。

它們是研究這些結構時使用的七個觀察位置。

這七個位置分別是：

Failure Initiation / Preconditions，看問題從什麼條件開始。這裡區分的是 fault、compromise、pollution、availability loss、collusion，以及沒有發生顯式變化但結構條件本身已經不足的情形。

Changed Object / State，看究竟什麼發生了變化。變化可能落在 authority、capability、state、source、path、boundary 或 evidence 上。

Broken Relation，看斷掉的究竟是哪一種關係。被破壞的可能不是某個實體，而是 independence、constraint、binding、fact 或 refusal 之間原本成立的聯繫。

Independence Vector，追問所謂「獨立」究竟獨立於什麼。兩個對象可以在一種來源上彼此獨立，卻仍然共享另一種 authority、state、path 或 resource。

Boundary Effect，看失陷最終怎樣作用於邊界。它幫助區分 bypass、mutation、common-mode defeat 與 scope gap，而不是把所有「沒有擋住」的情況都寫成同一種失效。

Propagation / Amplification Position，看問題是在被下游繼承，還是已經進入速度、規模、重試等放大過程，又或者我們看到的只是最後的 consequence。

Evidence Causal Position，看證據問題發生在執行之前、執行或恢復過程中，還是純粹在事後證明階段出現。

這七個位置共同做的一件事，是防止不同性質的問題因為最後都表現成「系統出事了」而被壓成同一個原因。

例如，一次事件裡可以同時看到共享失敗源、邊界繞過和下游繼承。如果只看最終結果，這些東西很容易混在一起；沿著不同分析層追問，才能知道最初的條件是什麼、什麼發生了變化、哪一段關係斷了、邊界受到什麼影響，以及問題後來又怎樣傳播。

這也是為什麼七個分析層不能和前面的七項結構混為一談。

七項結構是被分析出來的結構；七個分析層是用來把這些結構分辨開的觀察位置。

兩者之間不存在一一對應。

Failure Initiation / Preconditions 並不只屬於某一章，Boundary Effect 也不只服務於某一種結構。一次具體失效完全可能同時需要從幾個分析層去看，而同一個分析層也可以出現在多個不同結構中。

這七個分析層的用途有明確上限。

它們只能作為研究方法（research method）、分析維度（analysis dimension）、案例編碼對象（case coding object）和邊界分析（boundary analysis）來使用。

這裡的「只能」是用途限制，不是一份工作流程。

研究方法、分析維度、案例編碼和邊界分析並不是四個先後步驟，也不存在「先做第一項，再做第二項」的程序。它們只是說明這些分析對象可以被使用到哪裡。

其中最容易產生誤解的是「案例編碼對象」。

編碼聽起來很像一種可以對外發布的標準：給出七個位置，讓別人按照它們給事故分類，然後把分類結果拿來橫向比較。

這不是這裡的含義。

案例編碼只是研究內部的用途。它讓來源不同、形態不同的事件能夠在同一組觀察約定下被檢查，從而看出哪些關係相同，哪些只是表面相似。

它不是一套事故分類標準。

更重要的是：

七個分析層不是七個一級機制。

Failure Initiation / Preconditions 不是一個需要部署的安全組件，Broken Relation 不是一個控制模塊，Boundary Effect 也不是一個需要建設的能力。

它們回答的是問題，不是規定系統必須安裝什麼。

一旦把它們理解成七個一級機制，接下來就會自然出現一組本來沒有意義的問題：

是不是七個都要實現？

少一個是不是就不完整？

哪一個更重要？

它們之間是不是存在上下層關係？

這些問題預設了七個分析層是系統裡的建設對象，而它們從來沒有被賦予這種身份。

同樣，「不是機制」也不意味著它們不重要。

它們的價值恰恰在於幫助我們避免把不同問題混為一談：把條件當成機制，把後果當成原因，把傳播當成失效本體，把物理分離當成所有意義上的獨立，或者把完整記錄當成事實關係仍然成立。

所以本書可以把七個分析層說清楚，卻不把它們進一步做成編號體系、層級圖或者正式分類。

名字告訴我們應該從哪裡看。

它們不告訴我們應該建什麼。

十個獨立性維度是什麼

前一節的七個分析層裡，有一個位置叫 Independence Vector——獨立性向量。

它追問的不是「有沒有兩個控制」，而是一個更具體的問題：

所謂獨立，究竟獨立於什麼？

兩個組件可以部署在不同機器上，卻依賴同一個權限來源；兩個判斷過程可以彼此分開，卻讀取同一個狀態源；兩條執行路徑可以看起來不同，卻由同一個管理面修改。

所以「獨立」不能只作為一個整體標籤使用。

為了把這個問題拆開，研究中保留了十個獨立性維度。下面沿用這些維度當前的研究名稱，只是為了讓它們能夠被識別，不把它們升級為十種正式機制或一套新的分類學。

failure source 看的是失效源。兩個控制表面分開，不代表它們面對同一個故障、失陷或汙染來源時仍然彼此獨立。反過來，也不能因為兩個控制同時失效，就直接斷言它們共享同一個失效源；共享關係仍然需要被具體證明。

authority 看的是權限或權威依賴。系統裡存在多個 authority，並不自動意味著這些 authority 在失陷條件下彼此獨立。數量和獨立性是兩件不同的事。

state 看的是狀態依賴。兩個對象持有不同狀態、不同副本，甚至處在不同時間點，並不能僅憑這種差異推出一種新的失效機制。真正需要追問的是，它們賴以形成判斷的狀態來源是否仍然彼此獨立。

policy 看的是策略依賴。存在多條 Policy，不等於存在多個獨立的失效源。如果這些策略最終依賴同一個生成、修改或生效基礎，那麼「有幾條規則」與「有幾個獨立邊界」仍然不是同一個問題。

management 看的是管理依賴。存在獨立的業務組件，並不能因此跳過對管理面的追問；但同樣，存在一個 management plane 本身也不能自動證明存在 common-mode failure。這裡關注的是依賴關係，而不是組件名稱。

update / maintenance 看的是更新與維護路徑。一次 update 事件不自動等於規則發生了 mutation，一條 maintenance path 也不自動等於形成了 bypass。這個維度只是讓更新和維護這類經常被忽略的依賴保持可見。

execution path 看的是執行路徑。兩條看起來不同的路徑是否真正擁有不同的約束關係，需要單獨判斷。反過來，在正常、合法路徑內部發生濫用，也不能因此被改寫成存在一條 alternate path。

evidence source 看的是證據來源。證據系統和執行系統部署在不同位置，並不足以證明 Evidence control 已經獨立。真正需要看的仍然是證據的寫入、控制、狀態和來源是否共享同一個依賴。

recovery authority 看的是恢復過程中誰或什麼擁有影響恢復狀態的能力。它是一個分析與依賴對象，不是一種新的失效類型，也不能因為出現恢復權限問題，就自動把它歸入前面某一項既有結構。

power / resource 看的是權力與資源依賴。誰能夠控制資源、切斷資源或者決定資源是否繼續可用，可能構成獨立性判斷的一部分。但從「資源獨立很重要」不能直接推出「系統因此必須使用某種硬件邊界」。後者是一個關於實現必要性的主張，本書沒有建立這一步推導。

這十個維度因此不是十個機制。

它們是 Independence Vector 的對象集：當一句話聲稱「這兩個控制是獨立的」「這兩個主體互不依賴」「我們已經做了隔離」時，可以繼續追問——這種獨立究竟成立在哪一種依賴上。

這個追問很重要，因為一種獨立不能替另一種獨立償債。

運行在不同機器上，可以說明某種物理分離，卻不能因此推出判斷獨立。

兩個主體互不影響，可以說明某種 authority 或 decision 關係不同，卻不能因此推出它們使用了不同的信息源。

狀態來源不同，也不能自動證明資源控制彼此獨立。

所以，一個維度上的獨立，不能拿來抵扣另一個維度上的依賴。

這裡還要保留一個非常重要的限制：

這十個維度沒有被聲明為窮盡集合。

研究目前使用了這些對象，不等於已經證明所有獨立性問題都只能落在這十個位置上。

但「沒有聲明它們窮盡」也不等於「已經證明十項之外還有第十一項」。

這兩個方向都不能多走一步。

更困難的問題在後面。

物理、權力、判斷、信任域、信息源、狀態源這些不同性質的獨立，究竟依據什麼共同標準判定，目前沒有一個統一判據。

研究能夠確認的是：

它們不能相互替換。

但怎樣把不同性質的獨立放進同一個形式判準之下，本書沒有答案。

這個問題屬於後續的形式理論層，本書不在這裡用一個方便但未經證明的近似規則把它填掉。

因為一旦給出一個看起來可以統一計算的判據，十個維度馬上就會變成十個可以逐項評分的項目。

到了那一步，分析工具就又變回了這一章一直試圖避免的東西：

一份清單。

最像正式框架的那一張表

前面已經把七個分析層和十個獨立性維度說清楚了。

一旦兩組對象同時出現，一個非常自然的念頭也會隨之出現：

為什麼不把七個分析層放在縱軸，把十個獨立性維度放在橫軸，做成一張 7 × 10 的矩陣？

從表達效率上看，這幾乎是最誘人的形式。

七個分析層告訴我們從哪裡觀察問題，十個獨立性維度告訴我們所謂獨立究竟獨立於什麼。把兩者交叉起來，七十個格子似乎正好可以告訴我們：每一個分析位置，在每一種獨立性維度上究竟表現怎樣。

它看上去會比幾十頁文字清楚得多。

也正因為如此，這張表不能畫。

問題不在七乘十這個數字上，而在於矩陣這種形式會改變這些對象的身份。

行和列一旦建立，七個分析層與十個獨立性維度就不再只是兩組用於提問的對象。它們開始獲得一種分類框架的外觀：每一行像一種固定類別，每一列像一種固定屬性，行列交叉處則像一個等待判斷的正式位置。

文字可以繼續聲明「這不是分類學」。

但矩陣本身已經具有分類學的形狀。

接下來，七十個格位很容易被理解成七十個需要檢查的位置。

原來真正的問題是：

在一個具體事件裡，哪些分析位置與哪些獨立性關係實際相關？

矩陣出現以後，問題卻可能變成：

這七十個格子哪些已經檢查過，哪些還沒有？

原本沒有意義的空白開始擁有含義。沒有內容的格子容易被理解成尚未完成，已經填上的格子則容易被理解成某種完成狀態。

到這裡，分析對象已經開始向驗收對象移動。

更麻煩的是，任何矩陣最終都要面對「格子裡填什麼」的問題。

填「獨立」還是「不獨立」？

填「滿足」還是「不滿足」？

還是填「完整、部分、缺失」？

或者再進一步，用數字表示程度？

無論選哪一種，都必須先有一套判定規則。

而這樣的規則，本書沒有建立。

前一節已經留下了一個明確的未決問題：不同性質的獨立究竟依據什麼統一標準判定，目前沒有答案。物理獨立、權力獨立、判斷獨立、狀態來源獨立，不能互相替換，也沒有一條已經成立的共同刻度。

在這個前提下畫出矩陣，卻又給每個格子填上內容，就意味著必須在正文之外創造一套新的判準。

那套判準不會來自前面的理論；它只是被表格逼出來的；問題最終會落到更深的一層。

一張填好的 7 × 10 矩陣，看起來已經不再像「用於分析一次失效的工具」。

它更像一套系統應該滿足的結構要求。

七個分析層變成七組建設區域，十個獨立性維度變成十組控制要求，每一個交叉位置都像一個需要被覆蓋的安全屬性。

於是，一組原本用來幫助我們提問的分析結構，在版式上被轉換成了一套規範架構。

這正是本章必須阻止的轉換。

這裡需要特別說明：

把七個分析層和十個獨立性維度的名字寫出來，與把它們做成矩陣，不是同一件事。

前者是為了讓概念可理解。

我們需要知道 Failure Initiation / Preconditions 在問什麼，也需要知道 failure source、authority、state 或 evidence source 分別指向什麼，否則這些概念只是作者內部掌握的研究語言。

矩陣做的是另一件事。

它把兩組對象之間原本沒有被建立的關係全部預先畫出來。

只要一個格子存在，它就在視覺上暗示：

這裡有一個應該被回答的問題。

但研究並沒有聲稱七個分析層與十個獨立性維度之間存在七十個都具有理論意義的固定交叉關係。

某個事件可能需要同時檢查幾個位置，也可能根本不涉及某些維度。

哪些交叉關係有意義，必須由具體問題決定，而不是由表格提前決定。

所以，不能用一句「本表僅供分析參考」來解決這個問題。

如果表的形狀本身已經制造出七十個固定格位，那麼免責聲明並沒有改變那些格位的存在。

同樣的原因，也排除了另外幾種看起來很漂亮的呈現方式。

七個分析層不畫成層級圖或棧圖，因為這種圖形會暗示它們存在上下關係。

十個獨立性維度不畫成雷達圖，因為雷達圖天然要求把不同維度放進可以比較的共同尺度，而本書恰恰沒有建立這樣的尺度。

七項失陷結構也不畫成七條箭頭最終匯入某個中心的圖。它們在這一章裡確實同時出現，但「在敘事上匯合」不等於「在理論上屬於同一個上位結構」。

所以這一章沒有這樣一張表，也沒有對應的圖。

不是因為這些形式做不出來。

恰恰相反，它們太容易做出來，也太容易讓尚未建立的關係看起來已經建立。

前面把七個分析層和十個獨立性維度說清楚，是為了讓它們能夠被理解。

這裡拒絕把它們畫成矩陣，是為了防止「能夠被理解」進一步滑成「已經是一套可以照著實施的架構」。

我們可以把對象說清楚，但不能讓版式替理論說出理論沒有說過的話。

連七項結構本身也不是清單

前面說的是分析層與維度不能被當成機制；同樣的限制，也適用於前面七章建立的七項結構。

它們不是一份清單。

研究過程中曾經追蹤過八個候選結構，後來其中一項被降層，不再具有與其他結構相同的位置。這個變化本身已經說明：這些結構不是預先劃好的八個格子，也不是一套固定不變的分類。哪些對象能夠保留下來，取決於它們最終能夠獲得什麼樣的理論與證據支撐。

因此，不能因為早期研究中曾經存在八個對象，就重新把它們寫成八個並列機制。那樣做會把一個已經降層的對象重新抬回原來的位置，也會抹掉其餘結構之間真實存在的差異。

現在保留下來的七項，同樣不能被理解成一套已經封閉的分類。

本書沒有聲稱七項都已經完全定型，也沒有聲稱它們彼此互斥、合起來能夠窮盡所有可能的失陷結構。如果這些條件成立，把它們排成清單當然沒有問題；但這些條件並沒有被建立。

這也是為什麼同一個事件可以同時出現不止一種結構。

一次失陷可能同時涉及共享失敗源、路徑繞過、下游繼承或者其他關係。看到其中一個，不意味著必須排除另外幾個，也沒有必要強行把整件事歸到某一個類別裡。

但這並不意味著已經存在某種「組合規則」。

本書沒有說明哪兩種結構同時出現會互相加強，也沒有說明同時出現得越多就意味著風險越高。多個結構可以並存，只說明現實中的一次事件可能同時跨過幾個不同的失效位置。

結構之間的差異也不能被理解成等級。

有些結構目前研究得更充分，有些仍然保留更多開放邊界。這反映的是我們對它們理解到了什麼程度，不代表它們在現實系統中誰更重要、誰更次要。

七項之間同樣不存在必須遵守的前後關係。

它們不構成一條鏈，也不是一級一級往下推導出來的。前後順序首先只是本書的敘述安排。

這一章之所以要等七項全部出現以後再討論「它們是不是一份清單」，只是因為只有到了這個位置，這個問題才真正成立。

所以，七項可以同時在場，也可以彼此獨立。

它們是一組已經被分別識別出來的失陷結構，但還不是一個封閉、互斥、窮盡的分類體系。

那它到底是什麼

還有一種誤讀需要排除：把這本書理解成某個已有安全框架的另一種寫法。

本書不等於縱深防禦，不等於 Zero Trust，不等於 MPC，不等於 TEE，也不等於多籤。

這句話不是第四章那組否定邊界的縮寫。完整的邊界已經在那裡給出，這裡不再從中挑出幾項重新解釋，也不評價這些技術或框架本身。

原因很簡單：本書關心的不是它們誰更好，也不是要用一種新架構替代另一種架構。它討論的是另一類問題——當原本依賴的主體、狀態、路徑、規則、證據或控制已經不能被默認信任時，我們還能聲稱什麼成立，什麼已經不能再聲稱。

那麼，前面這些分析層、獨立性維度和失陷結構到底是什麼？

它們首先是分析工具。

它們用來提問，用來劃邊界，也用來檢查一個看起來已經成立的結論，在失陷條件下是否仍然站得住。

例如，「我們已經做了隔離」這句話還需要繼續追問：隔離的是哪一種依賴？

「這兩個控制是獨立的」，還要追問：獨立於同一個失效源，還是隻是在部署位置上分開？

「這條路已經堵住了」，也還要問：堵住的是這一條路徑，還是所有能夠產生同樣結果的路徑？

這些工具的作用，不是讓判斷變得更容易，而是阻止一個尚未被證明的結論過早成立。

在正常條件下，這種做法可能顯得保守。

但在失陷條件下，真正危險的往往不是「還沒有答案」，而是把一個只在部分條件下成立的答案，當成了整個系統的答案。

所以，說這些對象必須被當作分析工具，是在說明它們的性質。

不是在交付一套使用方法。

本書不會給出：

應該先檢查哪一項，再檢查哪一項；

達到什麼數值才算通過；

最後應該生成什麼評分、等級或報告。

一旦給出這些內容，讀者拿到的就不再只是觀察問題的工具，而會開始接近一套可執行的方法。接下來很容易產生新的要求：怎樣判斷通過，怎樣比較兩個系統，怎樣把結果寫進評審，怎樣把它變成驗收標準。

這些步驟並不是前面理論已經建立的內容。

如果把它們補出來，看起來只是讓工具「更好用」，實際上已經開始替理論增加新的判準。

所以這裡選擇停下來；代價也很明確。

讀完這一章，手裡不會多出一份第二天就可以拿去打勾的檢查表；前面七章建立的結構，也不會自動告訴你應該在某個具體系統裡增加哪個組件、部署哪種硬件或者修改哪一條策略。

這不是因為問題只說了一半。

而是因為從「怎樣判斷一個結構是否仍然成立」，到「一個系統應該怎樣建設」，中間還有一段不能被省略的工程論證。

這本書不假裝那段距離不存在；這就是這一章存在的理由。

它恰好處在讀者最容易問出「那到底應該怎麼辦」的位置上，然後明確留下一個答案：

這裡沒有清單，而且是故意沒有。

接下來

到這裡，這一章只完成了一件事：把前面七章建立的結構放回它們應有的位置。

它們可以被分析，可以被比較，也可以幫助我們看清一個系統在失陷條件下還剩下什麼約束。

但它們不是一套可以逐項實施的機制，也不是一份完整的安全架構清單。

接下來的問題因此變得更具體：

這些結構各自走到了什麼證據狀態？哪些結論，在現有材料下仍然不能聲稱？

這是下一章要處理的內容。

這裡回答的是它們是什麼性質的東西；下一章回答的是，我們目前知道到什麼程度。

兩者需要分開。

因為「不是清單」不等於「證據還不夠」，而證據狀態的不同，也不會改變這一章已經建立的性質邊界。

第十四章從這裡繼續。

本章術語

• 分析層 ｜ Analytical Layer
• 獨立性向量 ｜ Independence Vector
• 獨立性維度 ｜ Independence Dimension
• 分析工具 ｜ Analytical Tool
• 研究方法 ｜ Research Method
• 分析維度 ｜ Analysis Dimension
• 案例編碼對象 ｜ Case Coding Object
• 邊界分析 ｜ Boundary Analysis
• 分類學 ｜ Taxonomy

本章案例與資料來源

本章無現實案例。

正文沒有使用具體公司、產品、事故或現實事件來證明「這不是一份清單」。本章討論的是七個分析層、十個獨立性維度以及前述失陷結構的性質與使用邊界，不通過現實案例演示一套分析方法。

資料來源

本章關於分析層、獨立性維度及其用途邊界的內容，均按照本書已經建立的概念與理論邊界展開。七個分析層和十個獨立性維度在正文中用於說明分析對象的性質，不構成機制分類、檢查清單或可直接實施的安全架構。

本章沒有需要單獨展開的現實事件資料。涉及外部論文、標準、官方資料或現實事件的內容，統一列入本書附錄及全書 《參考文獻與資料來源》。

---

第十四章｜不能聲稱的那些事

本章不再增加新的失陷結構，而是回答一個更基本的問題：前面已經識別出的這些結構，我們究竟知道到了什麼程度。現有研究曾追蹤八個候選結構，其中五項已經能夠在明確邊界內保持相對穩定，兩項仍未凍結，一項因現實支撐不足而降層但沒有被取消。這些差異不是重要性排名，而是不同的證據狀態。本章因此再次強調 Case ≠ Proof：現實案例可以迫使理論收窄、限制過寬解釋，卻不能替理論完成證明；同樣，NO SUPPORT ≠ DISPROVED，沒有足夠支持也不等於已經證明不存在。能力組合仍受單一強案例限制，事件時刻的規則／實現改寫仍未最終凍結，失效狀態能力擴張則被降為候選條件。硬件與物理邊界可以具有重要工程價值，但現有理論沒有授權把它們寫成對抗性完整的必要條件。圍繞這些邊界，本章集中指出一系列目前不能聲稱的結論，並建立一條總原則：Negative Boundary ≠ Positive Proof——“不能聲稱 X”並不意味著“已經證明非 X”。證據支持到哪裡，結論就只能說到哪裡。下一章因此繼續追問：如果系統為了守住這些邊界而主動拒絕、收縮能力甚至停止執行，這究竟是失敗，還是安全結構本來就應該允許的結果？

上一章回答了一個容易產生誤解的問題：前面建立起來的那些結構，不是一份可以照著實施的安全清單。

但把清單拿掉以後，還有一個問題不能繞過去。

這些結構，我們究竟已經知道到什麼程度？

更準確地說：關於它們，哪些話現在可以說，哪些話還不能說？

這是這一章真正要處理的問題。

一個結構被識別出來，不等於它已經被完全證明；能夠解釋一些現實事件，也不等於它已經成為一條沒有邊界的普遍規律。不同結構得到的現實支撐不同，留下的開放問題也不同。如果把這些差異全部抹平，再用同一種確定語氣去描述它們，前面的研究反而會在成書的時候變得比原來更武斷。

所以這一章不再增加新的結構。

它只給已經出現的東西劃一條線：

證據支持到哪裡，結論就說到哪裡。

這條線有時意味著可以明確地說「成立到這裡」；有時意味著只能保留一個問題；還有的時候，它意味著必須主動承認：現在還不知道。

這不是免責聲明；它本身就是理論的一部分。

證據不是同一種重量

前面的研究過程中，一共追蹤過八個候選結構。

走到現在，它們並沒有整齊地停在同一個位置。

其中五項已經可以在明確的邊界內保持相對穩定的表達；兩項仍然沒有凍結；還有一項已經從原來的一級位置降了下來。

同時，沒有哪一項被徹底取消，也沒有為了整齊而把兩個結構強行合併。現有材料也沒有逼出一個必須另立的新一級結構。

這些結果放在一起，最重要的不是數量。

重要的是它們說明了一件事：

這些結構的確定程度並不相同。

這不是強弱排名。

一項已經比較穩定，不意味著它「更重要」；一項還沒有凍結，也不意味著它只是較差的版本。它們面對的是不同的問題，得到的是不同性質的支撐。

同樣，沒有發現新的一級結構，也不能被解釋成「這套理論已經完備」。

目前觀察到的問題能夠被現有結構解釋，只說明現有結構暫時具有足夠的解釋能力。

能夠解釋，不等於已經證明窮盡。

現實裡是否還存在尚未被看到的結構，這一章沒有資格回答。

這種剋制不是為了給以後留後路，而是因為從已有材料走不到更遠的結論。

案例只能施壓，不能完成證明

本書用了不少現實案例，但它們承擔的角色始終有限。

案例首先是一種壓力；它把一個看起來成立的判斷放回現實裡，看它在哪些地方撐不住，哪些邊界必須收窄，哪些原本順理成章的推廣其實走得太遠。

在這個過程中，Columbia STS-107 和 2010 Flash Crash 更重要的作用，是把一些解釋壓回邊界；Deepwater Horizon · Macondo、Ronin Bridge，以及 Ubiquiti 內部人 Nickolas Sharp 則提供了更直接的現實壓力。

這裡不需要重新講這些事件。

它們共同留下的東西比具體故事更重要：

案例可以迫使理論收窄，卻不能替理論完成證明。

一個事件能夠被某個結構解釋，說明這個結構在這個事件上沒有立即失效。

它不說明這個結構因此成為真理。

同樣，一個案例本身事實可靠、來源充分，也只說明這個案例值得進入分析，不說明它所涉及的理論已經被證明。

因此：

Case ≠ Proof。

案例是壓力測試，不是證明機器。

這個區別還意味著，不能因為某個案例特別好講，就讓理論向它靠攏。事實鏈完整、責任清楚、後果顯眼，會讓一個故事更容易被理解，卻不會因此增加它能夠證明的東西。

敘事應該服從邊界，而不能反過來決定邊界。

一個被降下來的結構

八個候選中，有一個後來不再保持一級結構的位置。

它討論的是這樣一種可能：系統進入失效或恢復狀態以後，失效狀態本身產生了新的高風險能力或資格，使原來做不到或者受到約束的事情變得可做。

這個想法並非沒有理論依據；問題出在現實支撐上。

就這一結構的案例記錄而言，沒有出現強支持，只有一個案例部分相關，另有十七個沒有形成支持。

因此，它不能繼續和其他一級結構並排站在原來的位置上。

但這裡必須同時保留另一句話：

NO SUPPORT ≠ DISPROVED。

沒有得到足夠支持，不等於已經被證明不存在。

如果只保留前半句，我們會把證據不足偷換成反證；如果只保留後半句，又會把現實支撐不足的問題輕輕帶過。

所以目前最準確的位置是：

降層，但不取消。

它不再被當作一級結構，但它指向的問題仍然存在。未來如果出現足夠強的現實鏈條，或者它被證明可以被其他結構完整吸收，位置仍然可以重新討論。

現在還沒有發生這兩件事。

不同材料之間也不需要被強行統一；早期理論材料裡曾經出現過對這一問題的正面表達，而現實案例沒有給出同樣強的支撐；這裡保留這種差異，而不是讓其中一邊覆蓋另一邊。

現實材料沒有支持到那裡，我們就不能繼續把結論推到那裡。

但材料沒有支持到那裡，也不能被寫成現實絕不存在那裡。

還有兩項沒有凍結

另外兩項仍然保留著自己的結構位置，但還沒有走到完全穩定的狀態。

第十章討論的那種情況——每一項能力單獨都不足以產生結果，但組合起來以後卻足夠——目前最強的現實支撐仍然集中在 Ronin Bridge。

這個案例能夠幫助我們看見這種結構，卻不足以把它寫成一種已經得到廣泛現實確認的模式。

所以它仍然是一條比較窄的結構。

它可以被使用，但使用時必須記住它的現實支撐有多窄。

第九章討論的「規則本身被改寫」面對的是另一種問題。

這裡已經做過一次重要收窄：真正被保留下來的，不是所有意義上的「規則發生變化」，而是在執行時點上，定義邊界的規則或者它的實現被改寫。

更寬的說法沒有被保留。

但收窄以後，這一結構仍然沒有被凍結成最終形式。

這兩項都沒有凍結，卻不是因為同一個原因。

一個主要受限於現實支撐仍然很窄；另一個則剛剛經歷過邊界收縮。

把它們統稱為「還不成熟」會丟掉真正重要的信息。

我們需要知道的不是它們夠不夠成熟，而是：

它們究竟還缺什麼。

硬件可以重要，但不是理論前提

還有一個邊界容易從兩個方向被誤讀。

物理邊界、硬件隔離或者獨立設備，可以在工程上非常重要。

但現有理論沒有建立：

只有使用硬件，才能實現對抗性完整。

因此，不能把硬件寫成這套理論的必要條件。

這並不意味著硬件沒有價值。

理論必要條件和工程承載不是一回事。一個約束最終可能需要通過獨立設備、物理隔離或者其他具體載體才能真正發揮作用；這些工程選擇完全可能極其重要。

被否定的只是再往前多走的那一步：

因為硬件可能非常有效，所以沒有硬件就不存在對抗性完整。

這一步沒有證據支持。

同樣，一次失陷可能造成多大的現實影響，是一個有意義的問題，但本書沒有為這種後果範圍建立統一的度量方式，也沒有建立風險分級判據。

這類東西如果未來要被量化，需要另外的理論工作。

本書不在這裡用一個方便的數字把問題提前填掉。

十二句現在還不能說的話

走到這裡，可以把本書目前最重要的邊界集中說清楚。

下面十二句話，現階段都不能成立。

它們不是提醒，也不是作者為了謹慎留下的免責聲明，而是前面理論與現實材料共同留下的限制。

第一，不能聲稱此前追蹤的八個候選結構都是八個並列的一級機制。

其中一項已經降層，另外兩項仍未凍結。把八個歷史對象重新排成八個同級機制，會把已經發生的理論變化重新抹平。

第二，不能聲稱現在保留下來的結構已經全部凍結，也不能聲稱它們彼此互斥、合起來已經窮盡全部可能。

同一個事件中可以同時看到多種結構。它們不是隻能選一個的分類格子，而現有材料也沒有證明現實只能落在這些結構之中。

第三，不能聲稱現實案例已經證明了這些理論結構為真。

案例可以支持、限定、逼迫一個結構收窄；案例不能完成理論證明。

第四，不能因為沒有發現明確衝突，就聲稱過去所有相關表達已經完全一致。

沒有發現衝突，只能說明目前沒有看到明確對撞；有些關係可能仍然沒有被裁決。

第五，不能聲稱物理邊界或者硬件邊界是對抗性完整的必要條件。

硬件可以是非常重要的工程承載，但工程價值不能自動升級成理論必要性。

第六，不能聲稱主體更多、簽名更多、憑據更多，就自動證明了獨立性，也不能因此自動得到「單獨不夠、合起來就夠」的能力組合。

數量不是獨立性的證明。

真正需要確認的是，這些主體、憑據或能力是否仍然共享同一個失敗來源、權威、狀態或執行基礎，以及它們組合以後是否真的形成了新的結果能力。

第七，不能聲稱正常執行路徑內部發生了惡意濫用，就自動屬於第八章討論的「另一條路」。

那一結構關心的是：存在一條能夠產生同樣受保護結果，卻沒有經過該結果所必需約束或否決的路徑。

在原本受約束的路徑裡做壞事，是另一個問題。

第八，不能聲稱系統進入失效、恢復，或者防禦能力被削弱，就自動出現了前面那個已經降層的結構。

必須進一步確認：是不是失效狀態本身產生了新的高風險能力或資格。

如果沒有這一步，失效只是失效，恢復只是恢復。

第九，不能聲稱下游使用了上游給出的結果，就自動構成第十一章討論的無資格繼承。

至少還要回答三個問題：

重新確認的對象究竟是什麼？

重新確認的義務落在哪裡？

下游在什麼條件下才可以接受上游結果？

這三個問題沒有說清楚，「下游用了上游結果」本身還不足以建立那條結構。

第十，不能聲稱主動篡改本身就是第十二章討論的 Evidence–Fact 關係斷裂。

主動篡改可能是造成斷裂的原因。

真正要判斷的是：在當前決策中，證據與它聲稱支持的事實之間，那條關係是否仍然成立。

原因和關係本身不能混成一個東西。

第十一，不能因為恢復權限、權力或者資源問題反覆出現，就把它們升格成新的一級分類。

它們可以是非常重要的分析對象和依賴對象。

出現頻繁，不等於應該獨立成為一種機制。

第十二，不能因為事後無法完全證明執行當時發生了什麼，就自動認定 Evidence–Fact 關係已經斷裂。

純事後證明到底能夠說明執行時事實關係到什麼程度，目前仍然沒有完整答案。

這個問題必須繼續保持開放。

不能聲稱，不等於反面成立

上面十二條最容易發生的誤讀，不在它們寫了什麼，而在它們的方向。

「不能聲稱 X」不等於「已經證明非 X」。

這是這一章最重要的一條邊界。

例如：

不能聲稱「失效或恢復自動產生新的高風險能力」，並不等於證明「失效和恢復永遠不會產生新的高風險能力」。

不能聲稱「硬件是理論必要條件」，也不等於證明「硬件在這種系統裡沒有價值」。

不能聲稱「主動篡改本身就是 Evidence–Fact 斷裂」，更不意味著主動篡改不會造成這種斷裂。

這些否定只是告訴我們：

現有證據不足以授權那一步推導。

它們沒有替我們建立相反方向的新結論。

所以：

Negative Boundary ≠ Positive Proof。

否定邊界不是反面證明；這條規則不僅適用於這一章；它決定了前面所有結構應該怎樣被使用。

凡是理論只支持到「不能自動推出」，就必須停在那裡；不能因為句子寫成了否定式，就順手把另一邊補成肯定結論。

還有幾件事沒有答案

到這裡，本書已經可以比較清楚地說明哪些東西目前成立，哪些還不能說。

但問題並沒有因此全部關閉；至少還有幾件事繼續保持開放。

那個已經降層的「失效狀態產生新能力」問題仍然存在。它現在不足以保持一級結構的位置，但也沒有被證偽。

第十章的能力組合結構，仍然受到單一強案例的限制。要把它推得更遠，需要更廣的現實支撐。

第九章的邊界改寫結構已經被收窄，但最終邊界仍未凍結。

第十二章留下的純事後證明問題也沒有解決：當一份證據完全在執行之後才取得時，它究竟能夠證明執行當時的事實關係到什麼程度，目前沒有統一答案。

這些問題如果繼續往前走，需要更正式的定義、關係與判據。

本書沒有在這一層繼續假裝已經有答案。

此外，後果範圍如何度量、不同系統之間是否能夠形成統一的風險分級，也仍然沒有被建立。

這些空白不會因為書寫到最後幾章就自動消失。

能夠把問題邊界劃清，本身已經足夠讓這一輪研究停下來。

停下來，不等於全部答完。

接下來

這一章真正要留下的東西並不複雜；前面那些結構不是同一種確定程度；案例可以給它們現實壓力，卻不能替它們完成證明。

一個結構缺少支持，可以被收窄、降層或者保持開放，卻不能因為這樣就被直接寫成「已被證偽」。

而一句話目前不能聲稱，也不意味著它的反面已經成立。

歸根到底，只有一個原則：

證據支持到哪裡，結論就說到哪裡。

再多走一步，就不是謹慎程度的問題，而是在給現有材料增加它沒有提供的含義。

帶著這個邊界繼續往前，會出現另一個問題。

如果系統為了守住這些邊界而選擇停下來——能力收縮、請求被拒、任務無法繼續——這是不是就意味著安全失敗？

下一章從這裡開始。

本章術語

• 證據狀態 ｜ Evidence Status
• 否定邊界 ｜ Negative Boundary
• 正面證明 ｜ Positive Proof
• 案例壓力測試 ｜ Case Stress Test
• 未凍結 ｜ Not Frozen
• 條件凍結 ｜ Conditional Freeze
• 失效狀態能力擴張 ｜ Failure-State Capability Expansion
• 證據—事實關係 ｜ Evidence–Fact Relation

本章案例與資料來源

本章使用現實案例，但不把任何單一案例當作理論證明。

正文涉及：

• Columbia STS-107
• 2010 Flash Crash
• Deepwater Horizon · Macondo
• Ronin Bridge
• Ubiquiti 內部人事件 · Nickolas Sharp

這些案例在本章中的作用，是對前文已經提出的結構施加現實壓力，幫助說明哪些結論必須收窄、哪些結構仍然不能凍結，以及為什麼「能夠解釋案例」不等於「理論已經被證明」。其中 Columbia STS-107 與 2010 Flash Crash 主要承擔邊界限定作用；Deepwater Horizon · Macondo、Ronin Bridge 與 Ubiquiti 內部人事件則提供更直接的現實壓力。

Ronin Bridge 還用於說明第十章能力組合結構目前現實支撐仍然較窄；正文不會因此把單一強案例擴大成普遍性證明。

資料來源

本章不重新展開上述事件的完整事實鏈，也不重新進行責任歸因。案例只承擔壓力測試和邊界限定作用，不承擔「證明理論為真」的作用。正文遵循的基本邊界是：

Case ≠ Proof。

案例可以迫使一個結構收窄、降層或保持開放，但不能僅憑案例數量、案例資格或來源數量推導理論強度。

涉及上述現實事件的完整外部資料、論文、官方報告及新聞來源，統一列入本書附錄及全書 《參考文獻與資料來源》。

---

第十五章｜停下來不等於失敗

本章把「系統沒有完成任務」與「安全邊界已經失敗」明確分開。可用性下降、能力收縮、請求被拒絕甚至系統停止，都首先描述交付結果，不能僅憑這些現象推出執行邊界已經失效。為此，本章重新限定 Fail-Secure：當必要執行條件、State、Evidence 或 Boundary 無法被充分證明時，系統不應把不確定性轉化為現實執行許可，其默認方向是收縮執行能力，而不是擴大 Allow；它因此是一種上位方向語義，不等於 Shutdown、Fail-Closed、Safe Mode 或任何固定失敗狀態。進一步地，本章把 condition、amplifier、consequence 與 control response 四種因果位置分開，指出 backpressure 與 controlled degradation 可以位於控制響應一側，但“屬於控制響應”並不自動證明它有效，Solution ≠ Mechanism。由此，“哪些失效可以接受”也必須與“失效是否突破執行邊界”分開：後者可以分析事實範圍，前者仍需要本書尚未建立的可接受性判據。災難半徑只能描述可能影響範圍，不能直接變成風險等級或接受標準；硬件或物理邊界同樣可以是重要工程載體，卻不是對抗性完整的理論必要或充分條件。本章最終留下的不是一套停機策略，而是一條邊界：停止不自動等於失敗，收縮也不自動等於安全。下一章因此繼續追問：前面這些邊界，本身又是在什麼條件下才成立，又在什麼條件下不再成立？

一個請求沒有拿到結果；一批任務停在隊列裡不再往前；某個能力被關掉，調用它的地方收到的是拒絕，而不是回答。從系統外面看，這些都會被歸進同一句話：它沒有做到本來應該做到的事。

前面兩章拿走的是安心。那些看上去像保證的結構其實不是保證；有些話即使系統一切正常也不能聲稱。讀到這裡，手上剩下的東西已經不多了——一組約束，一些控制點，以及對它們各自能力邊界相當清醒的認識。

剩得不多，接下來這個問題才格外難受。因為如果那些結構本來就不是保證，那麼系統一旦停下來、縮回去、交不出結果，一個很自然的解釋就是：它們沒守住。懷疑有了現成的落點。

上一章的結尾正好把這件事留在這裡。列完那些不能聲稱的話之後，緊接著冒出來的疑問是反方向的：那麼「系統停了，所以它失敗了」這一句，能不能聲稱？它同樣是一句需要檢查的判斷，只是它太順口，很容易在沒有拆開的情況下被直接接受。

系統停下來、能力收縮、任務無法完成，這是不是就等於安全邊界已經失敗了？

這個問題難，不難在它複雜，難在它把兩件事綁在一起。一件是系統對外承諾的可用性，另一件是它對外承諾的邊界。綁在一起以後，一次停機會同時被記成兩筆賬：服務沒有交付，以及，防線沒有守住。第一筆賬可以由停機本身建立，第二筆卻不能僅憑同一個現象成立。

如果觀察和復盤只從交付側展開，問題會更明顯。影響了多少調用方、持續了多久、是否發生降級、多長時間恢復，這些信息都在回答可用性發生了什麼；而「邊界有沒有被突破」需要的是另一類依據。如果仍然用前一組現象去回答後一個問題，兩件原本不同的事情就會被壓回同一個判斷裡。

**可用性下降不必意味著邊界失效；系統停止不必意味著安全失敗。**兩個「不必」都是字面意思，它們否定的是「一定」，不是宣稱「從來不」。把「不必」讀成「不會」，同樣會把一個有限結論改成另一種一刀切。

這句話不是這一章臨時提出的主張，它屬於本書已經建立的邊界之一，也和後文要用到的另一項區分相連：backpressure 與受控降級可以處在 control response 的位置，而不是因為系統沒有正常完成任務就直接被記成失敗。但這裡承諾的仍然只是這種區分本身。本章不會因此給出一份停機判據，也不會替具體系統回答這一次究竟該不該停。

「沒做到」不是一個位置

會把停機直接記成安全失敗，一個原因是觀察點落在結果側；結果側看到的往往很簡單：拿到了，或者沒拿到；這樣的觀察對判斷服務是否完成很有用，代價是它本身不帶因果位置信息。

上面那個問題其實並列了三樣東西：系統停下來，能力收縮，任務無法完成。三樣並不一樣。停下來說的是整體不再動作，能力收縮說的是有些事還能做、有些事不能做了，任務無法完成說的是某一次具體請求走不到頭。它們之所以容易被放進同一句話，不是因為它們在因果上相同，而是因為從交付側看，都可能留下「本來會有的東西這次沒有」這一類結果。

設想兩種同樣表現為「不正常」的情況：一次調用因為資源壓力被拒絕；另一次則是該攔的東西沒有被攔住，影響繼續鋪開，最終使下游不可用。結果側都可能只看到任務沒有正常完成，但兩者在因果上並不處於同一個位置。前者是系統面對壓力作出的反應，後者是壓力穿過系統之後留下的後果。把它們放進同一個格子，是觀察方式造成的歸併，不能直接當成事實本身的分類。

因此，要回答「邊界有沒有被突破」，需要的並不是把可用性指標繼續做細。停機持續多久、影響了多少調用方，仍然回答的是交付發生了什麼；邊界問題需要知道的則是，這一次哪些條件沒有被證明，哪些約束因此起了作用或者沒有起作用。本章不提供這類觀察方法，只說明前一種信息不能直接代替後一種判斷。

如果一次由約束觸發的停止也被統一記入「不正常」，後續改進就可能只剩下一個方向：減少這種停止。此時需要額外小心，因為在某些情況下，「下次不要停」可能恰好削弱原本正在發揮作用的約束。這樣的建議即使以提高穩定性為目標，也不能僅憑可用性改善本身證明它在安全邊界上同樣正確。

這一節要做的只是把位置重新分開。「停下來」與「安全失敗」不能因為在結果側留下相似的現象，就被當成同一種東西。只有先知道一個對象在這套因果裡站在哪裡，後面才有可能繼續討論它究竟意味著什麼。

收縮是一個方向，不是一種狀態

這裡沿用一個已經建立的定義。**安全失敗（Fail-Secure）**是在必要執行條件、State、Evidence 或 Boundary 無法被充分證明時，不允許系統把不確定性轉化為現實執行的上位執行語義；它的默認方向是收縮執行能力，而不是擴大執行許可。

這條定義裡最需要說清楚的是「上位」兩個字。它不是一種具體的失敗處理方式，不和拒絕、降級、停機這些做法並排站著，而是在更上一層規定這些做法應當朝哪個方向。拒絕怎樣實現、降級怎樣設計、恢復怎樣進行，它本身都不給方案；它要求的是，當必要條件無法被充分證明時，執行能力不能因此向外擴張。

它的作用被寫成：使拒絕、能力收縮和受控降級保持安全方向，阻止不確定性自然坍縮為 Allow。

這裡把受控降級與拒絕、能力收縮放在一起很重要。在這個語義層面，降級不是天然的妥協，也不是「安全少一點、可用性多一點」的中間狀態；它可以和拒絕一樣，成為執行能力向安全方向收縮的一種表現。因此，後面討論 backpressure 與受控降級時，首先要判斷的是它們站在哪個方向，而不能因為系統沒有完整完成原任務，就直接把它們記到失敗一側。

「自然坍縮」描述的是缺少充分證明時，系統把不確定性向哪一側處理。設想一個系統在超時後默認通過、校驗服務不可達時跳過校驗，或者在關鍵判斷無法完成時臨時放寬原有條件，那麼不確定性最終就被轉化成了執行許可。安全失敗要求的方向正好相反：缺少充分證明時，默認收縮執行能力，而不是因為判斷無法完成就擴大現實執行。

這裡的觸發條件也不是「已經確認出錯」，而是「無法被充分證明」。兩者必須分開。前者說明錯誤已經發生，後者只說明這一次缺少足夠依據支持繼續執行。此時完全可能沒有任何部件已經被確認故障，只是當前證據、狀態或必要條件不足以建立 Allow。系統因此收縮，並不能單憑「沒有查到故障」就被重新解釋成誤報。

所以，一次因為必要條件無法被充分證明而縮回去的執行，與一次把這種不確定性直接轉化成現實動作的執行，站在相反的方向上。前者可能表現為拒絕、能力收縮甚至停機，但這些狀態本身不是定義；真正決定語義的是，執行能力在不確定性出現之後究竟向哪一邊移動。

本書對這條語義的使用只到這一層：檢驗在主體、組件或控制點已經部分不可信時，這個收縮方向是否仍然成立。這裡不重新建立失敗語義本體，也不建立恢復協議。討論的是方向能不能守住，而不是重新定義 Fail-Secure 應該由哪些機制組成。

方向能夠被檢驗，也意味著它可能在後續被破壞。其中一個明確的失敗條件是：恢復過程無條件恢復全部權限。 系統先因為條件不足而收縮，隨後一旦某個恢復條件出現，就把全部權限直接放回去，那麼前面的收縮並不足以保證這個方向持續成立。至於恢復過程應該如何重新證明條件、如何逐步恢復權限，本章不展開，只保留這條否定邊界。

也因此，安全失敗（Fail-Secure）不能被壓縮成某一種具體狀態。它不等於 Safe Failure，不等於 Fail-Closed，不等於 Shutdown，也不等於 Safe Mode。這些對象都可能出現在具體系統裡，但用其中任何一個替代 Fail-Secure，都會把一條方向語義變成一個可配置的狀態。Fail-Secure 不規定所有系統進入同一種失敗狀態，也不規定不同系統必須收縮到同一個程度。

它同樣不保證高可用，不定義具體 Safe Mode，不要求所有故障都停機，也不替代具體的恢復、拒絕或降級機制。「不要求所有故障都停機」和「停機不等於安全失敗」必須同時成立：前者防止把停機當成萬能的安全答案，後者防止僅憑系統停下來就把它直接記成邊界失敗。本章要保留的是這兩者之間的距離。

「不是失敗」首先是位置判斷

前面講的是方向，但方向還需要落到具體對象上。為了把「停下來」和「失敗」分開，本章只需要四個已經確定的因果位置：condition、amplifier、consequence 和 control response。它們回答的問題很窄：一個對象在這套因果關係中究竟站在哪裡。

Backpressure 與受控降級處在 control response 的位置；Cascade、blast radius、catastrophic outcome 處在 consequence 的位置；重試、隊列、反饋、速度和規模處在 amplifier 的位置；故障、恢復和資源壓力處在 condition 的位置。

這裡首先要守住的是：**位置不是等級。**condition 不意味著更根本，consequence 也不意味著更嚴重；這四個位置既不是輕重排序，也不是從前到後的四個階段。它們只是回答不同對象在因果關係中分別充當什麼。

這樣一來，「停下來不等於失敗」就可以說得更準確。Backpressure 或受控降級描述的是系統對壓力作出的控制響應；級聯、影響鋪開或災難性後果描述的是壓力已經留下的結果。二者可以出現在同一次系統事件裡，但回答的是不同的問題：一個在問系統對壓力做了什麼，另一個在問壓力最終造成了什麼。

因此，backpressure 與受控降級是 control response，不是失敗。

但這句話只能讀到這裡。

一個對象被放在 control response 的位置，只說明它在因果上站在哪裡，不說明它這一次是否真的有效。這裡必須保留一個邊界：

Solution ≠ Mechanism。

控制響應不等於解決方案，也不會因為被放在 control response 的位置就自動獲得機制地位。一次降級完全可能在位置判斷上屬於 control response，卻並沒有真正守住需要保護的邊界。因果位置回答的是「它是什麼」，有效性回答的是「它做到了沒有」，兩者不是同一個問題。

「受控降級」裡的「受控」也不能被當成已經得到的保證；名稱裡有「受控」，不等於這一次真的控制住了；是否有效，需要另外的依據，本章不提供這個判斷。

同樣，amplifier 這一行也不能被繼續讀成傳播機制。重試、隊列、反饋、速度和規模被放在 amplifier 的位置，只表示它們能夠放大已經發生的東西，並不說明傳播本身由這些對象構成，也不回答影響究竟通過什麼過程傳遞。

四個位置之間也沒有固定的先後關係。不能把 condition → amplifier → consequence → control response 讀成一條時間鏈，更不能據此推導「走到第幾步」「還來不來得及」之類的階段判斷。這裡記錄的是對象的因果位置，不是事件流程。

為了避免這些位置再次被壓回同一條軸上，本章保留下面這張表：

TAB-III-001｜四種位置：條件、放大、後果、控制響應

這四行不是窮盡分類，也不是事故分級表。表裡沒有嚴重度、影響範圍、閾值、評分、觸發條件或者處置建議，因為一旦加入這些內容，問題就會從「對象站在哪裡」變成「該怎樣判斷或處置」，而支撐後一類判斷的判據並不在這裡。

尤其不能從最後一行推出「什麼時候應該進入受控降級」；這個問題實際上已經進入了另一層：哪些失效可以接受；把它增加成一列表格，並不會讓那個判據自動出現。

因此，這張表只承擔一個作用：把 condition、amplifier、consequence 和 control response 分開。它不推薦 backpressure，不推薦受控降級，也不把最後一行寫成本書的工程方案。位置判斷到這裡為止，有效性和可接受性仍然是另外的問題。

哪些失效可以接受

把停下來從失敗一側單獨取出來以後，剩下的問題反而更難：哪些失效可以接受，哪些失效會突破執行邊界？

這兩個半句問的不是同一件事；後一個問題問的是事實：失效發生以後，影響是否仍然落在原先劃定的邊界之內；前一個問題問的則是標準：即使影響仍有邊界，多大範圍可以接受，由誰承受，又以什麼為代價。**範圍這一半需要事實判斷，可接受性這一半需要判據。**事實本身不能替代那個判據。

「失效會不會突破執行邊界」與前面幾章處理的問題其實很接近，只是觀察的時刻不同。前面討論的是事情還沒有完全展開時，約束在什麼條件下仍然成立、控制點還能不能被走到、一處失陷之後還剩下什麼；這裡則看向結果已經展開以後，影響是否仍然被限制在原有範圍之內。兩邊都在問邊界是否還在，但一個主要看結構，一個主要看後果範圍。

範圍這一側有一個對應概念：災難半徑，即一次錯誤、失陷或不受約束執行可能造成的最大現實影響範圍。這裡的「可能」與「最大」不能省掉。它討論的是一個動作可能把現實影響推到多遠，而不是已經造成了多少損失。

災難半徑也不能用幾個相近對象替代。它不等同於攻擊面：攻擊面關心有多少入口，災難半徑關心進入以後影響能夠走多遠。它不等同於失敗概率：發生得少，不代表一旦發生時影響範圍就小。它不等同於實際損失：實際損失描述已經發生的後果，災難半徑關心的是可能達到的影響邊界。它也不等同於風險接受，因為「這個範圍是否可以接受」已經是一個判斷，而不再只是對範圍本身的分析。

同樣，災難半徑不是單一的空間距離，也不是一個固定數值指標。把它簡單畫成一圈一圈的距離，或者壓成一個數字，都會提前假定一種本書並沒有建立的度量方式。

這個概念本身也不負責計算損失價值，不判斷風險是否可以接受，更不能替代具體的威脅模型與恢復設計。因此，知道一個失效的影響範圍，並不能自動回答「這個失效是否可以接受」。前者仍然屬於事實分析，後者需要另外的可接受性判據。

而這個判據目前並不存在於本書建立的理論範圍內。怎樣度量後果範圍、怎樣進一步形成風險分級，仍然屬於形式理論層的開放問題；本書既沒有建立統一答案，也不在這裡臨時補出一個答案。災難半徑的成立條件中還有一組尚未完成正式歸屬的下位對象，本書同樣不展開，也不替它們建立新的結構。

保留這個空缺不是遺漏。相反，如果在這裡直接給出一份「可接受失效清單」，那份清單很容易被當成實際標準使用：評審時拿來對照，驗收時據此勾選，事後再反過來解釋為什麼當時的選擇成立。但如果支撐這份清單的判據本身尚未建立，這樣做只是用一個看起來完整的答案遮住真正沒有回答的問題。

所以本節能夠確定的是問題的邊界：後果是否仍受約束，可以分析；這些後果是否可以接受，還需要另一套尚未建立的判據。 本書把這個問題留在這裡，不把它偽裝成已經得到的答案。

停下來不等於必須依賴硬件

談到停止和收縮，很容易進一步落到具體實現：斷電、物理斷開、硬件隔離。這個聯想並不奇怪。前面已經討論過控制點可能被繞過，於是一個自然的問題是：如果最終要讓系統真正停下來，是否必須依賴某種物理或硬件邊界？

本書能夠給出的結論有限：物理或硬件邊界是反覆出現的工程載體，但當前的證據不支持它是一般意義上的理論必要或充分條件。

這句話不能只讀一半。證據不足以支持「硬件是必要條件」，並不等於硬件邊界沒有作用。它仍然可以是重要的工程載體，只是這種工程價值不能自動上升為一般性的理論必要條件。同樣，它也不能被寫成充分條件：存在硬件邊界，本身並不能證明整個執行邊界已經成立。

如果把某一種載體直接規定為必要條件，它就會反過來定義什麼才算「真的停下來」：凡是沒有斷電、沒有物理斷開或者沒有進入某種硬件狀態的收縮，都可能被視為不徹底。但前面建立的方向語義並沒有要求所有系統進入同一種狀態，也沒有指定收縮必須通過同一種方式實現。

因此，本章既不把「必須依賴硬件」寫成結論，也不推出「硬件無關緊要」。至於具體系統應當選擇軟件、硬件、物理隔離或者其他載體，屬於具體工程判斷，不在這裡給出統一實現方案。

三種不能成立的讀法

到這裡，有三種讀法需要明確排除。

第一種，是把「停機不等於安全失敗」直接翻轉成「停機總是安全的」。這個結論同樣不能成立。Fail-Secure 不要求所有故障都停機，也不規定所有系統進入同一種失敗狀態。停機可能是約束正在起作用，也可能只是資源耗盡之後的自然結果；僅憑「系統停了」這一現象，本章沒有給出判斷兩者的辦法。

第二種，是把 control response 讀成解決方案。一個對象處在控制響應的位置，只說明它在因果關係中扮演什麼角色，不說明它這一次真的守住了邊界。一次降級完全可能屬於 control response，卻仍然沒有保護住真正需要保護的部分。位置判斷不能替代有效性判斷，Solution ≠ Mechanism 的邊界在這裡仍然成立。

第三種，是把這一章當成一份「可接受失效標準」。它不是。本章可以把「哪些失效可以接受」這個問題提出來，卻沒有建立回答這個問題所需要的判據。前面已經說明了這個缺口，這裡不再把它補成清單、閾值或處置標準。

除此之外，還要防止另一種方向相反的誤讀：這一章不是在為可用性下降辯護。Fail-Secure 不保證高可用，不等於可用性下降沒有代價。用戶沒有得到結果、業務被迫停止、恢復需要成本，這些問題依然存在。這裡只是把可用性損失與安全邊界失效分開，不再允許用前者直接證明後者。

因此，本章否掉的只是幾個過早成立的等式，並沒有把它們換成另一組同樣絕對的答案。

這些邊界何時不再成立

這一章到這裡得到了一條有限的判斷：停止與收縮不能因為系統沒有正常完成任務，就自動被記成安全失敗。Backpressure 與受控降級可以處在 control response 的位置，而「哪些失效可以接受」仍然是一個沒有判據的問題。

這並沒有放鬆前面已經建立的任何邊界。停下來不自動等於失敗，也不意味著停下來以後所有事情都仍然處於控制之中；control response 不是有效性的證明，可接受性也沒有因為這一章區分了幾個對象就得到答案。

前面各章一直在討論一組邊界：約束在什麼條件下成立，信任能夠延伸到哪裡，一處失陷之後還剩下什麼，哪些結構不能被當成保證，哪些結論不能被聲稱。本章只是補上了其中一處容易混淆的關係：可用性下降與安全邊界失效不能被自動畫上等號。

但這些邊界能夠成立，本身也依賴條件。此前的討論一直在這些條件之內展開，並沒有把條件本身作為主要對象。

因此，接下來的問題不再是某個具體控制是否有效，也不是系統是否停下來，而是：

那麼這些邊界在什麼條件下不再成立？

這一章不回答。

本章術語

• 安全失敗 ｜ Fail-Secure
• 條件 ｜ Condition
• 放大 ｜ Amplifier
• 後果 ｜ Consequence
• 控制響應 ｜ Control Response
• 背壓 ｜ Backpressure
• 受控降級 ｜ Controlled Degradation
• 災難半徑 ｜ Blast Radius

本章案例與資料來源

本章無現實案例。

正文中關於超時、校驗不可達、資源壓力、受控降級以及降級後仍可能沒有守住邊界的描述，均屬於說明性工程情形，用於區分可用性下降、安全邊界失效、控制響應與後果之間的關係。這些情形不對應特定公司、產品、事故或公開事件，也不承擔本章理論判斷的證明作用。

資料來源

本章沒有需要單獨展開的現實事件資料。安全失敗（Fail-Secure）在本章只用於說明執行能力收縮的方向，不在這裡重新建立其完整失敗語義或恢復機制；災難半徑（Blast Radius）只用於討論失效後的現實影響範圍，不被擴展為風險分級、損失計算或可接受性標準。

Condition、Amplifier、Consequence 與 Control Response 在本章用於區分不同因果位置，不構成嚴重程度排序、時間階段或窮盡分類。Backpressure 與 Controlled Degradation 被用於說明控制響應的位置，但這種位置判斷本身不證明其有效性，也不構成本書對具體工程方案的推薦。

---

第十六章｜體系的外邊界

本章把前十五章的全部結論重新放回它們賴以成立的條件中，明確指出：這些判斷都不是無條件成立的，而是建立在一個被聲明出來的威脅模型、信任根與制約層集合之上。這裡討論的不是繼續向體系內部增加一層控制，而是說明理論究竟覆蓋到哪裡，以及越過哪裡之後不再適用。為此，本章集中聲明五項未被解決的外邊界：威脅模型、信任根、全面共謀、目標本身正確性與現實不可逆性。它們都必須被看見，卻都不在本書中獲得答案；聲明一個前提，不等於解決這個前提。本章同時明確兩條不能被緩和的限制：本書不保證所有攻擊都被阻止，也不保證在全部合法制約層全面共謀時仍然安全。治理與形式理論層只被作為開放方向命名，不在這裡建立流程、角色、閾值或形式化結構。由此，本書最終留下的不是一套無條件結論，而是一組帶著適用範圍的結論；最後的問題也因此落到聲明本身：威脅模型、信任根與制約層集合究竟應由誰作出、如何驗證，又在什麼條件下必須被重新聲明？本書到這裡停止，並且明確不回答這個問題。

前面十五章給出的每一條判斷，都帶著一個沒有被反覆寫出來的前提。

約束是不是真的生效，信任在多大範圍內有效，名義上的多層是不是結構上的多層，一處失陷之後有哪些地方跟著失效，哪些結構其實不是保證，哪些話不能聲稱，系統停下來算不算失敗——這些判斷都成立，但沒有一條是無條件成立的。條件一直在場，只是此前的討論主要把它們作為背景，沒有逐章重新展開。

上一章已經把這本書能夠給出的東西收得相當清楚。留下的是一組邊界、一些可以被指認的控制點，以及對它們各自能力範圍的認識。上一章最後留下的問題因此轉向了這些結論本身：這些邊界在什麼條件下不再成立？

這一章回答這個問題，但不再繼續向體系內部多拆一層結構。它往外看一步，討論這些結論成立時所依賴的範圍，以及越出這些範圍之後，本書不再能夠替讀者作出什麼判斷。

因此，「外邊界」比「侷限」更準確。這裡討論的不是這套理論“做得還不夠多”，而是它究竟覆蓋到哪裡；不是為未覆蓋的部分尋找補丁，而是把已有結論的適用範圍說清楚。

最後幾章不斷收緊前面已經建立的判斷：有些結構不能被當成保證，有些結論不能聲稱，系統停止也不能被自動記成安全失敗。經過這些收緊之後，留下來的東西反而更明確。最後一章要做的，是把這些已經明確的結論重新放回它們賴以成立的條件之中。

這樣收束有直接的用途。真正拿這本書去分析一套系統時，讀者需要知道的不只是這些判斷說了什麼，還需要知道它們從哪裡開始不再適用。只有這條邊界也能夠被指出，前面那些結論才不會在超出自身範圍以後繼續被當作答案。

再補一層，不會到頭

有一種回答看上去更徹底：繼續往外推。再列一類攻擊者能力，再補一層假設，再問一次「如果連這個也失效呢」，一直推到把所有情況覆蓋完為止。

這條路走不通，原因不在工作量。它默認存在一個封閉的「所有情況」，只要枚舉得足夠多，最終就能摸到那條邊。但這本書處理的不是這樣的世界。它從一開始問的就是：當一部分主體、組件、鏈路或判斷基礎已經失效、被控制或者無法繼續信任時，哪些關係、邊界和不變量不得隨之失效，失效又如何被限定在可以接受的範圍裡。

這裡的「一部分」不能被先驗封死。一個對象是否仍然值得信任，也不是它自身永久攜帶的屬性，而是會隨時間、權限、供應關係和環境發生變化的判斷。今天成立的信任，可能因為更新、人員變化或者上游狀態改變而不再成立。繼續往外增加條件，並不能讓這種開放性消失，只會讓前面的結論不斷附加新的前提。

還有一個更實際的問題。前置條件一旦寫成越來越長的列表，逐條核對本身就會變得更困難，而結論仍然可能被單獨拿走使用。邊界寫得更多，並不自動意味著這些邊界會在實際判斷中得到同樣完整的保留。

另一種做法，是既不繼續往外推，也不把這些前提明確說出來，只讓它們停留在隱含狀態。這種做法不需要額外增加任何結構，但代價也很直接：前提仍然存在，只是使用這些結論的人無法明確指出它們在哪裡成立、又在哪裡停止成立。

因此，往外推和把前提說出來，是兩個性質不同的動作。往外推試圖把一個前提繼續納入體系內部，把它變成一種已經被處理過的情況；把前提說出來並沒有解決它，只是改變它的可見性——從隱含變成明示，從無從指認變成一個可以被明確追問的位置。

這一章選擇的是後一種做法。它不試圖把外邊界繼續包進更大的邊界，而是把這本書實際站立的位置指出來。前一種做法預設我們已經知道最終邊界在哪裡；後一種只要求把當前結論賴以成立的前提說清楚。

本書的全部結論，都成立於一個被聲明出來的威脅模型、信任根與制約層集合之上。

這裡有三個對象被直接點明，而且共同的要求是「被聲明出來」。威脅模型說明系統把哪些主體、能力與失效納入防護範圍；信任根指向驗證鏈最終落在什麼地方；制約層集合說明哪些層被視為彼此限制的一組。這裡不規定它們各自應該是什麼，只要求這些前提不能始終保持隱含。

由此還必須保留兩條不能被緩和的邊界：

本書不保證所有攻擊都被阻止。

本書不保證在全部合法制約層全面共謀時仍然安全。

第一句並不是對安全的悲觀判斷。這本書關心的從來不是如何保證所有攻擊都無法發生，而是在信任已經開始失效以後，哪些關係、邊界和不變量仍然不能隨之失效。只有承認攻擊可能穿過某些邊界，前面十五章的問題才真正出現。

第二句同樣不是一個到這裡才新增的例外；前文已經在不同位置觸及全面共謀這一條件，也沒有任何一處把它寫成已經解決；本章所做的，是在全書最後把它重新放回體系的外邊界之中。

這也意味著，本章不會因為這些限制存在，就重新替整本書尋找一個更熟悉的類別。第四章已經完整說明過這本書不等於什麼，這裡不重新列舉，也不挑出其中某一項重新定義。外邊界的存在改變的是結論的適用範圍，不改變這本書此前已經建立的對象。

聲明和解決不是同一件事

一個前提被聲明，和一個問題被解決，寫在紙上有時看起來相近，後續推理對它們的處理方式卻不同。

被解決的問題已經有了答案，後面的討論可以在那個答案成立的範圍內繼續向前；被聲明的前提則不能從視野裡消失；它沒有因為被寫出來就得到解決，只是從隱含狀態變成了明示狀態；後面的結論是否適用，仍然取決於這個前提是否成立。

因此，被聲明的前提對讀者提出的是另一個要求：把自己的系統與這個範圍重新對照。本書可以說明邊界在哪裡，卻不能替一個具體系統判斷它此刻是否仍然落在邊界之內。

這裡還有一個必須分開的情況：當一個被聲明的前提在某個系統裡不成立時，本書的相關結論不會因此自動變成錯誤，而是可能變得不適用。錯誤和不適用不是同一種狀態。前者意味著結論本身需要修正，後者意味著當前對象已經越出了結論所覆蓋的範圍。把兩者混在一起，要麼會去修改一個本來沒有出錯的結論，要麼會把已經越界的情形繼續當成仍在適用範圍內。

前提也不是聲明一次以後就永久不變；系統會變化，人員、組件、供應關係和環境也會變化，原先被聲明的條件可能逐漸不再描述眼前的系統；因此，聲明不是一次完成後就可以永久留在原處的動作；本章最後留下的問題，正是從這裡開始出現。

聲明當然會讓結論看起來少一些絕對性。一條帶著適用前提的判斷，不如一句無條件判斷來得乾淨。但這種限制不是削弱理論，而是在說明理論究竟覆蓋什麼。真正危險的是把帶條件成立的結論當成無條件結論使用，直到它在覆蓋範圍之外失效，才回過頭尋找原因。

這也是本書處理未解決依賴的一貫方式：沒有解決的，不寫成默認已經解決；需要移交的，就把它明確留在可見的位置，同時不因此改寫當前已經建立的邊界。明示一個依賴並不會解決它，但至少不會讓後續推理建立在“它大概已經被處理了”的假設上。

為什麼這些不放在第一章

這五項當然可以寫在開頭：先聲明範圍，再展開內容，是一種完全成立的安排。這本書沒有這樣做，是因為這些前提只有在已經有具體結論可以與之對應時，才真正能夠發揮作用。

一份否定需要在誤讀可能發生的位置及時出現。第四章之所以較早說明這本書不等於什麼，是因為如果那組邊界出現得太晚，讀者可能已經沿著錯誤的方向理解了後面的內容。

這五項前提不同；它們需要附著在已經建立的結論上。放在第一章時，約束、信任、獨立性、拒絕、停止這些判斷都還沒有出現；此時即使提前聲明外邊界，讀者也還不知道每一項前提究竟限制的是哪一部分結論。

放到這裡，關係就具體了。當前面已經建立了關於約束、信任、制約層和停止的判斷，再說「本書不保證在全部合法制約層全面共謀時仍然安全」，這句話限制的對象已經能夠被明確指出。它不再是一條懸在正文之前的抽象聲明，而是直接作用於讀者已經拿到的結論。

這種安排當然有代價：外邊界直到最後一章才被集中說清。一部分讀者可能不會走到這裡，而這五項又恰恰位於最後。但把它們提前，並不能消除這個問題；在尚無具體結論可以對應時，它們反而更容易只被當成一般性的範圍聲明。

因此，把五項前提放在這裡，不是因為它們不重要，而是因為此時它們終於有了明確的對象。本章不是第一次創造這些邊界，只是在全書結論已經成形之後，把這些結論賴以成立的條件逐一顯露出來。

被聲明而未被解決的前提

以下五項是本書結論的外邊界：威脅模型，信任根，全面共謀，目標本身正確性，現實不可逆性。它們在本書之內被聲明，不在本書之內被解決。

威脅模型。 這本書不替代任何一個具體系統的威脅模型。它不告訴你該把誰算作攻擊者，不告訴你哪些能力要算進去，也不告訴你哪一類失效值得防住。它假定這些事已經有人做過，並且以一種可以被指出來的形式存在著。

這個假定不小。前面反覆用到的那種提問——這個約束是不是覆蓋了該覆蓋的東西，實際生效的那一組是不是本來該生效的那一組——都需要先有一個「本來該是什麼」。缺了那個東西，這些提問不會變成錯的，它們會變成無法判定的：任何一組實際生效的約束，在沒有對照的情況下看上去都是夠用的，因為「夠用」的標準正是從缺失的那一側來的。差距是相對於一個標準才存在的量。這本書提供的是討論差距的方式，不是那個標準。

一個沒有被說出來的威脅模型並不因此消失。它只是以「大家默認的樣子」繼續存在：每個人心裡都有一份，彼此並不完全一樣，也沒有一個可以明確指出它在哪裡失效的位置。這種狀態的麻煩不在於它錯，而在於它不可討論。

還有一層：已經被說出來的威脅模型也不是封閉的。安全不等於所有攻擊都被擋住；威脅模型本身仍然有它的外邊界。這本書不收攏那條邊界。它只要求那條邊界是被說出來的——至於應該由誰來說、怎樣才算說清楚了，本章結尾會把這個問題提出來，並且不回答它。

信任根。 每一條驗證鏈走到最後，都會落在某個不再被驗證的東西上。這本書給它一個名字：信任根；名字之外，本書不給它的構成。

前面把信任寫成一個有範圍的假設。信任根是這個說法被推到盡頭的地方：某一個假設不再有上游可以追問，鏈條到此為止。分層不信任並不消除它——那套做法只是不讓任何一層被當成終點，把「終點在哪裡」從隱含變成可以指認。這一點前面已經說過一次，這裡不再展開。

信任根也不是一個缺陷：每一條驗證鏈都必須在某個地方停下來，否則它就不是鏈，而是一個不會終止的追問。本書不把信任根當成待修復的東西，只當成必須被指出來的位置。

把它指出來，並不等於把它變小；信任根被指出來之後仍然是信任根：它仍然不被驗證，仍然承擔著整條鏈的重量。改變的只是這個位置是否能夠被明確指出；本章要加上的也只有一句：本書沒有消除信任根，也沒有給出它應該是什麼。至於把它變成一個形式化對象這件事，下面單說。

全面共謀。 全面共謀說的不是某一種攻擊手法，而是一種多方同時失效的形態：全部合法的制約層站到了同一側。它被記錄為一種威脅條件，不是一個機制——它描述的是系統處在什麼狀態，不是系統裡有什麼東西在運轉。

前面建立的那些相互限制的邊界、那些不被任何單一主體繞開的關係、那些最後剩下的拒絕，都建立在這些制約層仍然能夠彼此限制的條件之上。當這個集合整體同向時，本書不聲稱還存在一個集合之外的東西繼續承擔同樣的限制。因此，全面共謀在這裡仍然只能作為體系的外邊界被聲明，本書不給出這個條件成立時仍然有效的另一套結構。

它也不會因為層數更多而自動消失。本書不聲稱存在某個層數，多到一定程度之後，全面共謀就不再是一個需要被聲明的條件。

聲明它，不等於前面的內容白寫了。前面那些結構處理的是這個條件不成立時的情形——某些層還站在別的位置上，還保留著相互限制的餘地。這一項說的只是：當這個條件成立時，那些結構不再適用，而本書不給出在那種情況下仍然成立的東西。

目標本身正確性。 這本書檢查的是從一個目標到一次現實結果之間那段路上的關係是否成立。它不檢查目標。

如果目標本身是錯的，前面這些結構並不會因此獲得判斷目標本身是否正確的能力。它們檢查的是目標已經存在之後的執行關係，而不是目標是否應當被追求。這不是執行側的疏忽，是執行側從內部看不見的東西：判斷一個目標是否應當被追求，需要的依據不在這條路上。本書的全部檢查都發生在目標已經存在之後，因此沒有任何一項檢查能夠指向目標本身。本書不提供從內部看見它的辦法，也不聲稱存在這樣的辦法。

這一項和其餘四項的位置略有不同。它不在系統裡面；它在系統被交付任務的那一端。本書從那一端之後接手。

現實不可逆性。 錢已經到賬，料已經投下去，指令已經送到另一端的設備上，消息已經被人看見。系統內部的狀態可以回滾，這些東西不回滾。

本書不保證現實可逆。這一項寫得比前面幾項短，不是因為它更輕，而是因為它沒有更多可說：它是一個關於世界的事實，不是一個關於系統設計的選擇。本書不改變它，也不假裝可以繞開它。

這五項放在一起，只有一個共同點，而這個共同點是要緊的：它們的狀態完全一樣——都被聲明，都沒有被解決。它們之間沒有輕重，也沒有先後，不存在「先處理哪一個」的問題。任何一種把它們排序、分級或者分派歸屬的做法，都會憑空造出一個這本書裡並不存在的差別；那個差別一旦出現，就容易讓人誤以為其中幾項已經比另外幾項更接近解決。

它們也不構成一份檢查表。五項不是五個等著被逐個關閉的條目，逐個關閉它們不是這本書交出來的任務，也不是這本書認為可以由某一套做法來完成的事。

回到剛才留下的那件事。把信任根變成一個形式化對象——給它定義，給它編號，說清楚它和其他對象之間的關係——這件事不屬於本書，也不屬於任何一本書。通向形式化的路徑是存在的，而且已經被明確地交了出去，但它沒有被走上。本書不啟動它，也不預先替它決定該怎麼走：預先決定和已經走完，在後果上差別不大，都會讓一件沒有做過的工作看起來像是做過了。

另外還有六項：六個已經被登記下來、留給形式理論層審查的項；它們隨這一章一併帶走。各自的內容不在這一章打開，這裡只記一個數——其中被解決的，是零。它們出現在這裡，是因為這是本書最後一處可以讓它們保持可見的位置。

這一節沒有推進其中任何一項；這是它被寫成這樣的原因，不是它的欠缺。

也因此，讀完它不應該留下「這些風險已經被考慮過了，所以沒事」的印象。被考慮過和被解決之間隔著這一整節。寫在這裡的意思只有一層：本書的結論在這五項之內有效；在它們之外，本書不發表意見。

不是寫在書末的小字

這五項如果只是作為書末的「侷限」或「聲明」出現，很容易被理解成正文之外的補充：前面的結論已經說完，這裡只是作者再加幾條保留意見。

但它們承擔的不是這個作用。威脅模型、信任根、全面共謀、目標本身正確性和現實不可逆性，直接規定前面那些結論在哪個範圍內成立。少掉這些前提，改變的不是作者對自己結論的態度，而是讀者手裡的結論究竟還能不能繼續使用。

因此，這五項必須留在正文中。真正準備把這本書用於一套具體系統的人，需要把自己的系統與這些前提對照；如果其中某項已經不成立，相關結論就可能越出適用範圍。這裡提供的不是操作步驟，而是使用前面那些判斷時不能丟掉的範圍信息。

它們也不是一段用來免責的說明。免責聲明處理的是責任，這一節處理的是適用範圍。說「本書不保證在全部合法制約層全面共謀時仍然安全」，是在明確一個具體條件：當這個條件發生變化時，前面建立的哪些判斷不再能夠被直接帶過去。

所以這一節和其餘正文處在同一個層級。不縮進，不移到書後，也不放進任何一個可以被整塊搬走的位置。保護一段內容的辦法，不是給它一個更醒目的容器——容器越醒目，越像是可以被單獨拿掉的那一塊。

這條線是畫出來的

這本書沒有宣佈一個最終的正式概念，也沒有建立正式命題、機制編號或者公開的分類體系。書中使用的一些名稱仍然是暫行表達，進一步的形式化不在本書中完成。

這對本章有一個直接後果：這裡給出的外邊界，是一條被明確畫出來的線，不是一條由形式證明推出的必然分界。它的位置來自目前材料能夠支撐到哪裡，而不是來自某個已經成立的定理。

這並不使它失去作用；邊界一旦被明確指出，就可以被討論、被質疑，也可以在材料發生變化之後重新調整。真正重要的是，它現在已經有了一個可以被指認的位置；沒有被指出的邊界，則無法進入同樣的討論。

因此，這條線也允許分歧；有人可能認為它畫得太靠裡，也有人可能認為它還可以往外移動。這樣的分歧本身沒有問題，因為爭論至少圍繞同一個已經被聲明出來的範圍展開；這裡沒有要求讀者接受一條不可更改的最終分界。

它目前停在這裡，只因為現有材料支持到這裡。新的材料如果能夠支撐更大的範圍，邊界可以重新調整；原有材料如果不再成立，邊界也必須隨之收縮。邊界的位置取決於能夠建立什麼，而不是取決於這本書希望把自己說得多完整。

一旦允許這條線變化，新的問題也隨之出現：誰可以重新聲明它，重新聲明需要什麼依據，原有結論在聲明改變以後如何處理。這裡不回答這些問題，只把它們留給本章最後。

名稱仍然是暫行的，也不能被讀成一種形式化授權。如果有人根據本書現有表述自行建立一套正式術語、編號或層級結構，那屬於新的工作，不能自動被視為本書已經建立的內容。本書沒有給出這種形式化，也沒有預先決定它應該長成什麼樣。

最後還需要分開兩件事：一段工作已經完成，不等於其中已經沒有未決。 本書可以在當前範圍內完成自己的論證，同時仍然保留尚未解決的問題。這本書是在前一種意義上完成的。它沒有宣佈理論已經最終，沒有宣佈現有結論永久成立，也沒有宣佈所有未決已經歸零。

完成意味著這本書可以在這裡停下；它不意味著體系已經沒有外邊界。

最後留下的是聲明本身

這本書能給出的，到這裡為止。

五項前提被聲明以後，還剩下一個問題。如果前面的全部結論都成立於一組被聲明出來的前提之上，那麼這份聲明本身也必須進入視野：它從哪裡來，憑什麼成立，又在什麼情況下需要重新作出。

因此，最後的問題是：

威脅模型、信任根與制約層集合的聲明本身，應當由誰作出、如何被驗證、在什麼條件下必須被重新聲明？

這三問在這裡被提出，不在這裡被回答。

它們是可以被具體追問的問題，只是回答它們所需要的東西已經越出了本書處理的範圍。本書討論的是一個目標已經存在之後，執行如何在現實發生以前受到約束，以及這些約束在部分失陷之後還能夠保住什麼。至於這套邊界本身由誰聲明、怎樣確認其有效性，不屬於同一個問題。

其中還包含一個時間上的困難：一份聲明寫下來以後，系統仍然會繼續變化，而聲明不會自動隨之變化。人員、組件、權限、供應關係和環境都可能改變，於是遲早需要面對一個問題：什麼時候原來的聲明已經不再描述眼前這套系統。

這三問指向兩個開放方向：治理，以及形式理論層。 本書只給出這兩個名字，不給它們的內容；這裡不設計流程，不定義角色，不設置閾值，也不規定誰在什麼條件下擁有修改權；任何進一步展開，都會越過本書已經聲明的外邊界。

這些問題也沒有被交給本書後面的某個部分；本書到這裡結束；它們同樣沒有被寫成一項已經啟動的後續工作；它們保持現在的狀態：被明確提出，但沒有在這裡獲得答案。

所以，這本書沒有以一個新的承諾收尾，也沒有留下一份可以繼續照著執行的清單。

讀者最終拿走的，也不應該只是一組脫離前提的結論，而應該是帶著已聲明前提的結論。只有前提和結論同時存在，前面的判斷才仍然帶著自己的適用範圍，而不會在離開這條邊界之後繼續被當成無條件答案。

前面十五章的每一條判斷都帶著一個沒有被反覆寫出來的前半句。到了這裡，這個前半句已經被放到明處：

本書的全部結論，都成立於一個被聲明出來的威脅模型、信任根與制約層集合之上。

於是三部曲最終停在同一個尚未回答的問題上：

這個聲明本身應當由誰作出、如何被驗證、在什麼條件下必須被重新聲明？

這本書不回答。

本章術語

• 體系外邊界 ｜ System Outer Boundary
• 威脅模型 ｜ Threat Model
• 信任根 ｜ Trust Root
• 制約層集合 ｜ Constraint-Layer Set
• 全面共謀 ｜ Full Collusion
• 目標本身正確性 ｜ Goal Correctness
• 現實不可逆性 ｜ Real-World Irreversibility
• 治理 ｜ Governance
• 形式理論層 ｜ Formal Theory Layer

本章案例與資料來源

本章無現實案例。

正文沒有使用真實公司、人物、產品、事故或公開事件，也沒有以現實案例說明「前提沒有被聲明清楚會造成什麼後果」。本章討論的是整套理論的適用範圍，因此案例在這裡不承擔論證作用。

正文中出現的若干具體情形，例如系統更新、人員變化、上游狀態改變，以及「錢已經到賬、料已經投下去、指令已經送到另一端的設備上、消息已經被人看見」，均屬於說明性工程情形。它們用於幫助讀者理解信任條件可能變化以及現實結果可能不可逆，不對應具體公司、系統或現實事件，也不承擔本章結論的證明作用。

資料來源

本章沒有需要單獨展開的現實事件資料。

威脅模型、信任根、制約層集合、全面共謀、目標本身正確性與現實不可逆性在本章只用於聲明本書結論的外邊界。其中，信任根只取名稱，不在這裡建立其形式化構成；治理與形式理論層也只作為開放方向被命名，不在本章給出流程、角色、閾值、恢復條件或具體機制。

這五項前提的共同狀態是：被聲明，但沒有被解決。 本章不把它們整理成檢查表、風險等級或待辦清單，也不以新增案例、圖表或外部材料替它們補出答案。

---

附錄一｜術語與用法

《對抗性完整》繼承《執行縫隙》與《執行控制工程》已經建立的術語基線。共享概念不重新定義；本書只在研究材料明確支持的地方增加失陷條件、案例壓力與邊界說明。

本附錄中的詞並不處於同一理論層級。正式概念具有已經凍結的中英文名稱和最小定義；Book III 研究術語只承擔本書已經建立的結構作用；方法／分析對象用於研究、編碼與邊界分析，不構成新的分類學；研究狀態與案例角色描述證據或研究結論所處的位置；已聲明、未解決的前提只劃出本書的外邊界，不由附錄補出答案。

---

一、跨書共享概念

不完美主體 ｜ Fallible Subject ／ 可錯性 ｜ Fallibility

狀態：正式概念；跨書共享

不完美主體是能夠理解、判斷、授權、調用、控制或執行動作，但無法被證明未來每一次判斷都一定正確的主體。可錯性是這一有限工程事實，不是道德判斷。

Book III 展開：主體可錯不等於主體已經失陷、具有惡意或無需承擔責任；失陷與惡意仍須分別判斷。“可錯”不另立為 Fallible 的第二個正式術語。

信任 ｜ Trust

狀態：正式概念；跨書共享

在特定執行判斷中，系統允許某個主體、組件或事實來源承擔某類判斷作用的有限假設。

Book III 展開：信任必須能夠說明對象、範圍、作用與失陷邊界。信任範圍有限，不等於不同信任天然彼此獨立；信任也不因一次成立而永久正確或自動向下游傳遞。

信任域 ｜ Trust Domain

狀態：正式概念；跨書共享

一組共享關鍵控制、信任假設或共同失陷路徑的主體與組件邊界。

Book III 展開：產品平面、服務模塊、網絡分區、副本或部署位置不自動構成多個獨立信任域。信任域用於追問實際共享關係，不提供統一劃域判據，也不保證不同域不會同時失陷。

分層不信任 ｜ Layered Distrust

狀態：正式概念；跨書共享

不假設任一單層主體、組件或控制面永遠正確，並讓不同層保留相互限制之邊界的工程結構。

邊界：分層不信任不等於零信任或傳統縱深防禦，不消除信任根，不自動證明各層獨立，也不保證多層不會共謀。

執行邊界 ｜ Execution Boundary

狀態：正式概念；跨書共享

在動作成為現實之前對其進行最終約束，並能夠真實允許或阻止現實副作用的邊界。

Book III 展開：邊界是否存在，不能只看控制點是否部署，還要看同等現實結果能否繞開它產生，以及拒絕是否真正約束執行路徑。

邊界獨立性 ｜ Boundary Independence

狀態：正式概念；跨書共享

一個控制邊界的成立，不依賴於其所約束主體能夠同時關閉、重寫或繞過該邊界的性質。

邊界：本書只繼承已經建立的否定邊界，不補出獨立性的統一充分條件。物理、權力、判斷、信任域、信息源與狀態源等意義上的獨立不能互相替換。

意圖 ｜ Intent；授權 ｜ Authorization；策略 ｜ Policy；狀態 ｜ State

狀態：正式概念；跨書共享

意圖表達希望發生的動作、對象、參數、條件或結果；授權判斷主體是否被允許擁有或使用某類能力；策略表達執行判斷規則及其適用條件；狀態是特定時點與動作能否被判斷和執行直接相關的事實與條件集合。

Book III 邊界：這些對象都可以成為必要約束的一部分，但任何一項單獨成立，都不能自動替代當前具體動作所需的完整約束集合。

執行能力 ｜ Execution Capability ／ 權威分解 ｜ Authority Decomposition

狀態：正式概念；跨書共享

執行能力描述使某類現實動作實際發生的能力；權威分解描述不同權威被置於不能自動繼承、替代或覆蓋的獨立邊界中。

Book III 邊界：能力不等於權威。主體、憑據、簽名或參與方數量也不自動證明能力組合或權威已經分解。

最終否決 ｜ Final Veto

狀態：Book II 理論術語；跨書共享；不是獨立正式概念

面向一次當前、具體、受保護動作的有界負向執行約束關係。它只沿負向作用於該動作，不能因為能夠拒絕就自動獲得修改意圖、創建替代動作或產生其他現實副作用的權力。

Book III 展開：最終否決可作為分析執行路徑是否仍受約束的相鄰對象，但“否決存在”不等於它可達、不可繞過或已經生效。

證據 ｜ Evidence ／ 回執 ｜ Receipt

狀態：證據為正式概念；回執為普通工程術語；跨書共享

證據是支持關於執行條件、判斷、邊界狀態或執行結果之可驗證事實的材料。回執是外部來源關於請求是否被接收、處理或返回某種狀態的聲明。

Book III 展開：記錄、簽名或回執可以真實完整，卻仍不能自動證明當前判斷所需要確認的事實。沿用“回執／Receipt”，不另立“收據”。

治理 ｜ Governance

狀態：正式概念；跨書共享

決定執行規則、角色、閾值、狀態及其變更與恢復條件的受約束過程。

Book III 邊界：治理可以改變未來邊界，但不等於每一次現實執行。本書只把治理作為失陷條件和開放接口，不設計治理流程、角色、閾值或恢復理論。

安全失敗 ｜ Fail-Secure

狀態：正式概念；跨書共享

當必要執行條件、狀態、證據或邊界無法被充分證明時，不允許系統把不確定性轉化為現實執行的上位執行語義；其默認方向是收縮受保護的現實執行能力。

Book III 邊界：安全失敗不等於統一拒絕值、停機、安全模式或全部功能關閉。背壓與受控降級可以位於控制響應一側，但本書不因此推薦某一種具體實現。

災難半徑 ｜ Blast Radius

狀態：正式概念；跨書共享

一次錯誤、失陷或不受約束執行可能造成的最大現實影響範圍。

Book III 邊界：災難半徑不是攻擊面、失敗概率、風險接受、固定評分或已經發生的實際損失。本書不建立統一度量或分級判據。

---

二、Book III 正式概念

對抗性完整 ｜ Adversarial Completeness

狀態：正式概念

對抗性完整是在部分主體、組件、鏈路或環境已經失效、被攻擊或不再可信時，關鍵執行邊界與必要安全語義仍能成立的性質。

它檢驗的不是“系統裡是否有很多控制”，而是：在聲明的威脅假設和失陷範圍內，部分失陷是否取消了關鍵執行約束、最終拒絕、必要證明或安全失敗方向。

邊界：對抗性完整不等於縱深防禦、零信任、一般完整性或絕對安全；不替代具體威脅模型、失敗矩陣、不變量或測試方法；不保證所有攻擊被阻止，也不保證全部合法制約層全面共謀時仍然安全。

---

三、Book III 結構性術語

以下名稱用於指認本書研究層已經區分的結構。它們不是正式機制編號，也不構成互斥、窮盡或同強度的分類學；公開名稱與最終層級圖式尚未凍結。

必需約束集合 ｜ Required Constraint Set ／ 實際被查詢或生效的集合 ｜ Actually Consulted / Effective Set

狀態：Book III 結構性稱呼

必需約束集合指某一受保護結果在當前具體動作上必須進入判斷併成立的約束集合；實際被查詢或生效的集合指這一次事實上進入判斷或發生作用的約束集合。

邊界：系統中存在約束，不等於這些約束在當前動作上實際生效。當前研究把“該受保護結果所必需的約束集合”與“必需約束集合”按同一結構性指稱處理，但不把它們升級為新的正式概念。

受保護結果 ｜ Protected Result ／ 結果產生路徑 ｜ Result-Producing Path

狀態：Book III 結構性稱呼

受保護結果是分析中需要防止被錯誤產生或錯誤改變的現實結果；結果產生路徑是能夠使該結果進入現實的執行通路。

邊界：“受保護的現實結果／受保護結果”與“能夠產生該結果的路徑／結果產生路徑”在本附錄按全稱與簡化指稱處理，不據此建立新的上下位本體。路徑相同與結果相同不是同一判斷。

共享失敗源 ｜ Shared Failure Source

狀態：Book III 研究術語；條件凍結核心

指能夠使名義上多個控制點同時失去約束作用的具體共同來源。判斷該結構成立，必須指出共享的對象、依賴方式以及它能夠同時取消哪些約束。

邊界：多個組件同時出錯、共享一個寬泛類別或處於同一環境，不足以自動證明存在同一個共享失敗源。

約束來源替代 ｜ Constraint-Source Substitution

狀態：Book III 暫定研究名稱；條件凍結核心

指當前動作所需的必需約束集合，被一個對該動作不充分的實際查詢／生效集合替代。

邊界：它關心約束來源關係，不等同於執行路徑旁路；公開名稱尚未凍結。

必需約束路徑旁路 ｜ Required-Constraint Path Bypass

狀態：Book III 暫定研究名稱；條件凍結核心

指存在能夠產生同等受保護結果的可達路徑，但該路徑沒有經過對該結果所必需的約束或否決。

邊界：正常路徑內的錯誤、濫用或錯誤放行，不因後果嚴重就自動成為路徑旁路。

事件時刻的邊界定義規則／實現改寫

狀態：Book III 收窄獨立結構；暫定名稱；未凍結

指在事件時刻，決定後續動作邊界的規則或其運行實現本身發生改寫。

邊界：設計變化、漸進運行漂移、預先存在的惡意邏輯與只改變證據邊界的行為，不自動進入這一結構。寬泛的 Boundary Mutation 家族沒有被保留為已凍結結構。

失效狀態能力擴張 ｜ Failure-State Capability Expansion

狀態：失效／恢復條件候選；已降層；未取消

用於保留這樣一個可證偽條件：失效、降級或恢復狀態本身，使主體取得原本不可用的執行資格或高風險能力。

邊界：當前正式案例池為 0 Strong／1 Partial／17 None。沒有獲得充分案例支持不等於已經被證偽，但該對象不得繼續作為並列一級結構。

能力組合 ｜ Capability Composition

狀態：狹義暫定結構；未凍結

多個單獨不足的能力組合後，對同一個受保護結果形成充分能力。

邊界：多人、多籤、多憑據、普通憑據失陷、共謀、協同失敗或系統耦合都不自動構成能力組合。最強主張目前只有 Ronin Bridge 一個強案例，單案例風險必須保留。“真正的能力組合”只是強調需要證明這一充分關係，不另立第二個對象。

無資格下游繼承 ｜ Unqualified Downstream Inheritance

狀態：Book III 暫定研究名稱；條件凍結核心

上游產出被下游作為已經成立的前提使用，而沒有重新判斷它對當前動作是否仍然成立。

要把具體事件寫成這一結構，必須同時說明：重新取得資格的對象、重新判斷的義務以及下游接受條件。現有對象例子不構成封閉清單。

證據—事實關係斷裂 ｜ Evidence–Fact Discontinuity

狀態：Book III 暫定研究名稱；關係層核心條件凍結

用於當前判斷、執行、重試、恢復或下一次動作的證據，與其所要證明的事實在來源、對象、順序、連續性或現實綁定上不再對應，並因此推動或未能阻止現實動作。

邊界：主動篡改只是可能的上游原因，不是這一關係失效的本體。當前不建立內部子類型分類；純事後無法證明是否進入這一結構仍然未決。

---

四、條件、威脅形態與因果位置

失陷 ｜ Compromise ／ 惡意 ｜ Malice

狀態：Book III 分析術語

失陷描述主體、組件、控制點或關係已經不能繼續承擔原有可靠性假設的狀態；惡意描述主體意圖。

邊界：失陷不要求先證明攻擊者、攻擊過程或惡意；惡意可以造成失陷，但失陷本身不證明惡意。

部分失陷 ｜ Partial Compromise ／ 協同失陷 ｜ Coordinated Compromise

狀態：Book III 分析術語

部分失陷指系統的一部分不再可信而其他邊界仍可能存在；協同失陷指多個對象在同一條件下共同失去原有約束作用。

邊界：二者不構成完整失陷分類，也不自動給出統一判據。

共謀／合謀 ｜ Collusion ／ 全面共謀 ｜ Full Collusion

狀態：威脅條件／多方失效模式；全面共謀為已聲明、未解決的外邊界

共謀或合謀在本書中描述多方同時不再發揮原有制約作用的條件，不在這裡定義一種攻擊手法。“共謀”與“合謀”在現有材料中共享 Collusion 寫法，但沒有形成需要由附錄裁成兩個正式對象的依據。

全面共謀指全部合法制約層同時站到同一側。本書明確不保證這一條件下仍然安全，也不建立完整共謀分類學。

條件／放大／後果／控制響應

狀態：因果位置；不是機制分類

• 失效、恢復、資源壓力與共同語義來源汙染可以位於條件一側；
• 重試、隊列、反饋、速度與規模可以位於放大一側；
• 級聯、災難半徑與災難性結果可以位於後果一側；
• 背壓（Backpressure）與受控降級（Controlled Degradation）可以位於控制響應一側。

這些位置用於避免把條件、放大器、後果和回應互相當作原因。它們不表示本書推薦背壓或受控降級，也不產生統一處置表。

壓力測試 ｜ Stress Test ／ 邊界案例 ｜ Boundary Case

狀態：案例角色

案例用於給理論結構施加現實壓力、暴露過寬解釋或檢驗邊界。邊界案例用於迫使結構說明哪些現象不能自動納入。

邊界：Case ≠ Proof。強支持、部分支持與不成立描述證據支持程度，不是理論真假、事故嚴重度或風險等級。

---

五、方法與研究狀態

七個分析層 ｜ Analytical Layers

狀態：研究方法／分析維度／案例編碼對象

七個分析位置是：失效起點／前提、變化對象／狀態、斷裂關係、獨立性向量、邊界效果、傳播／放大位置、證據因果位置。

用途：幫助把“發生了什麼、什麼關係斷了、獨立性成立在哪一側、影響怎樣傳播”分開記錄。

邊界：七個分析層不是七個失效機制，不與本書的結構性術語平鋪，也不構成新的正式分類學。

獨立性向量 ｜ Independence Vector ／ 十個獨立性維度 ｜ Independence Dimensions

狀態：分析／編碼對象

當前對象集包括：失敗源、權威、狀態、策略、管理、更新／維護、執行路徑、證據來源、恢復權威、權力／資源。

用途：要求每一次“彼此獨立”的主張說明究竟獨立於什麼。

邊界：十個維度不是十個機制；恢復權威和權力／資源不因此成為新的分類項，也不推出硬件是理論必要條件。

證據狀態 ｜ Evidence Status ／ 否定邊界 ｜ Negative Boundary

狀態：研究表達

證據狀態描述當前材料對某項研究判斷的支持程度；否定邊界說明現有證據不足以授權某一步推導。

邊界：否定邊界不是反面證明；沒有發現支持不等於已經證偽；沒有發現衝突也不等於歷史材料已經完全一致。

條件凍結 ｜ Conditional Freeze ／ 未凍結 ｜ Not Frozen

狀態：研究狀態

條件凍結表示某項研究結構在當前材料範圍內暫不因單篇材料、單個案例或敘事便利隨意增加、拆分或重命名；未凍結表示其對象或最小邊界仍不足以獲得這種狀態。

邊界：條件凍結不等於正式理論最終，不等於永久正確；未凍結也不等於該對象無效或已被證偽。

有界完成 ｜ Bounded Completion

狀態：研究治理說明

Book III 主題研究的 CLOSED 表示當前證據範圍內的重要未決項已經被限定、命名、移交或顯式延後，因而基礎考古可以停止。

邊界：CLOSED 不等於未決為零、理論永久正確、正式分類學完成或形式理論已經啟動。

---

六、體系外邊界與開放對象

體系外邊界 ｜ System Outer Boundary

狀態：Book III 邊界說明

用於聲明本書結論從哪裡開始不再適用。外邊界的作用是讓前提可見，不是把前提轉化成已經解決的問題。

威脅模型 ｜ Threat Model

狀態：普通工程術語；已聲明、未解決的前提

本書假定具體系統已經有人聲明其威脅模型，並據此說明哪些主體、能力與失陷條件屬於討論範圍。本書不替具體系統建立威脅模型，也不保證已聲明模型覆蓋所有攻擊。

信任根 ｜ Trust Root

狀態：已聲明、未解決的前提

每一條驗證鏈最終都會落到某個不再繼續被驗證的位置。本書要求該位置可以被指出，但不規定信任根的構成，不把它寫成缺陷，也不啟動其形式化。

目標本身正確性 ｜ Goal Correctness

狀態：已聲明、未解決的前提

本書檢查目標已經存在以後，從目標到現實結果之間的執行關係；不提供從執行系統內部判斷目標本身是否值得追求的方法。

現實不可逆性 ｜ Real-World Irreversibility

狀態：已聲明、未解決的前提

系統內部狀態可以回滾，不表示已經進入現實的款項、材料、設備動作或信息能夠一併回滾。本書不保證現實可逆。

形式理論層 ｜ Formal Theory Layer

狀態：開放方向；尚未啟動

用於指向未來可能進行的正式概念、命題與關係整理。當前沒有新的正式分類編號、機制編號、關係編號、概念或命題；形式理論移交尚未啟動。

邊界：本附錄不為這一層設計流程、對象、編號或進入條件。

---

使用說明

共享正式概念按前兩冊與術語規範的最小定義使用；Book III 結構性術語只能承擔當前研究材料已經建立的有限關係；方法與編碼對象不能升級成機制分類；案例角色不能升級成證明；已聲明、未解決的前提不能由附錄補完。

尤其需要保持：

可錯 ≠ 惡意 ≠ 已失陷
數量 ≠ 獨立性
多籤 ≠ 權威分解 ≠ 能力組合
路徑旁路 ≠ 邊界規則改寫
主動篡改 ≠ 證據—事實關係斷裂
Case ≠ Proof
CLOSED ≠ Zero Unresolved

---

附錄二｜現實失敗與邊界案例

本附錄收錄《對抗性完整》的二十個正式壓力測試案例，以及兩個從《執行縫隙》繼承、但不屬於正式案例池的參考案例。

正式案例池的狀態是：18 個 Qualified，2 個 Boundary。Qualified 表示案例符合當前研究的事實與使用資格，不表示它“證明了理論”；Boundary 用於限制過寬解釋，不是較弱或較不重要的案例。案例中的事故原因來自相應調查、司法、監管或一手材料；本書所說的共享失敗源、路徑旁路、能力組合、下游重驗或證據—事實關係，則是研究層映射，不是來源機構自己的術語。

Case ≠ Proof。 Strong、Partial 與 None 只描述當前案例對某項研究判斷的支持程度，不表示事故嚴重度、現實頻率或理論真假。

---

一、二十個正式壓力測試案例

Mars Climate Orbiter｜1999

狀態：Qualified；事實層繼承 Book I

地面軟件以磅力秒寫入推進器衝量，接口規範要求牛頓秒；導航端按規範解釋，誤差在巡航中累積，航天器最終失聯、任務失敗。調查沒有唯一確定航天器是在大氣中被毀還是進入日心空間。

本書中的作用：展示約束來源、表示與現實狀態可能彼此失配。它不支持惡意歸因，也不支持把任務失敗寫成路徑旁路或邊界改寫。

主要來源

• NASA MCO Mishap Investigation Board：Mars Climate Orbiter Mishap Investigation Board Phase I Report，1999-11-10
• NASA MCO Mishap Investigation Board：Report on Project Management in NASA by the Mars Climate Orbiter Mishap Investigation Board（Phase II），2000-03-13 https://discovery.larc.nasa.gov/discovery/PDF_FILES/mars_climate_orbiter_phaseII.pdf
• NASA Lessons Learned Information System：Lesson 641／Lesson 916
• NASA／JPL、NASA Goddard 與 NSSDCA 官方任務資料

Ariane 5 Flight 501｜1996

狀態：Qualified；事實層繼承 Book I 與 Book II

1996 年 6 月 4 日，來自 Ariane 4 的對準功能在 Ariane 5 飛行中繼續運行；未受保護的數值轉換溢出，使共享同一軟件與假設的主備慣性參考系統先後停止，診斷位模式又被解釋為飛行數據，發射器最終解體並被銷燬。

本書中的作用：名義冗餘不等於失敗來源獨立。它不證明代碼複用本身危險，也不證明所有冗餘天然無效。

主要來源

• ESA／CNES Inquiry Board：Ariane 5 Flight 501 Failure: Report by the Inquiry Board https://www-users.cse.umn.edu/~arnold/disasters/ariane5rep.html
• ESA：Ariane-501: The Inquiry Board's Report
• ESA：Flight 501 failure — first information

Three Mile Island Unit 2｜1979

狀態：Qualified；事實層繼承 Book I 與 Book II

安全閥按設計打開後機械卡在開啟位置，控制室指示反映關閉命令而非真實閥位；局部水位又被錯誤解釋為堆芯狀態，後續操作共同推動部分堆芯熔燬。

本書中的作用：命令狀態、顯示狀態、代理記錄與當前物理事實不能互相替代。官方把事故歸為設備、設計與人員因素的組合，本書不改寫為單一原因。

主要來源

• U.S. Nuclear Regulatory Commission：Backgrounder on the Three Mile Island Accident https://www.nrc.gov/reading-rm/doc-collections/fact-sheets/3mile-isle
• U.S. Nuclear Regulatory Commission：Knowledge Management Digest: Three Mile Island Accident
• President's Commission on the Accident at Three Mile Island：Report of the President's Commission on the Accident at Three Mile Island（Kemeny Commission）

Knight Capital｜2012

狀態：Qualified；事實層繼承 Book I 與 Book II

新代碼只部署到八臺服務器中的七臺，未更新節點激活舊 Power Peg；約 45 分鐘內形成數百萬錯誤訂單和約 4.6 億美元損失。處置中卸載正確節點的新代碼，又擴大了舊能力的可達範圍。

本書中的作用：版本路徑、監控證據與高速執行邊界可以同時失配；97 封自動郵件真實存在，卻沒有承擔實時拒絕作用。

主要來源

• U.S. Securities and Exchange Commission：Administrative Order, Exchange Act Release No. 70694 https://www.sec.gov/litigation/admin/2013/34-70694.pdf

Therac-25｜1985—1987

狀態：Qualified；事實層繼承 Book I 與 Book II

六起已知嚴重過量照射事故涉及不同軟件錯誤。Therac-25 沒有複製前代設備的全部獨立硬件保護；在 Tyler 鏈中，界面顯示參數已驗證，真實物理配置卻不安全。死亡人數和逐案死因沒有統一來源支持。

本書中的作用：同類軟件錯誤在有無獨立物理拒絕邊界時可以產生不同結果。它不支持把六起事故歸為同一個競態，也不支持“刪除了所有硬件聯鎖”。

主要來源

• Nancy Leveson、Clark Turner：An Investigation of the Therac-25 Accidents，IEEE Computer，1993，Part I—IV（MIT 存檔） https://web.mit.edu/6.033/2004/wwwdocs/papers/Therac_1.html

該論文基於監管機構、醫院、製造商文件與事故證言彙編，是本案最接近系統性一手技術調查的公開材料，但不等同於政府統一事故委員會報告。

Challenger / STS-51L｜1986

狀態：Qualified；事實層繼承 Book I 與 Book II

低溫條件下右側固體火箭助推器接縫密封失效。發射前 Thiokol 曾提出低於 53°F 不發射的建議，管理複議後改變建議；最終決策者沒有獲得完整的近期問題歷史和持續的工程反對信息。

本書中的作用：風險約束可以存在，也可能由其組織持有者合法撤回；這使“誰能改變約束是否有效”進入邊界分析。它不把“異常正常化”當作調查委員會的原始結論。

主要來源

• Presidential Commission：Report of the Presidential Commission on the Space Shuttle Challenger Accident（Rogers Commission） https://sma.nasa.gov/SignificantIncidents/assets/rogers_commission_report.pdf
• NASA History：Volume I, Chapter V: The Contributing Cause of the Accident
• NASA：Challenger STS-51L Accident

Columbia / STS-107｜2003

狀態：Boundary；事實層繼承 Book II

泡沫撞擊左翼後，影像請求在組織層級中被削弱，碎片評估又使用了遠超驗證範圍的模型；在缺少足以判斷損傷的影像時，任務仍沿既定狀態繼續，最終在再入時解體。

邊界作用：本案用於區分漸進運行漂移與“事件時刻可指認的規則／實現改寫”。它不能被寫成規則改寫結構的證明，也不支持把救援或維修寫成輕易可行。

主要來源

• Columbia Accident Investigation Board：Columbia Accident Investigation Board Report, Volume I，2003-08 https://ehss.energy.gov/deprep/archive/documents/0308_caib_report_volume1.pdf
• NASA SMA：Columbia Accident Investigation Board Report, Volume I（副本） https://sma.nasa.gov/SignificantIncidents/assets/columbia-accident-investigation-board-report-volume-1.pdf

2003 Northeast Blackout｜2003

狀態：Qualified；事實層繼承 Book II

FirstEnergy 控制室告警與日誌工具失效，操作員卻不知道監視工具已經失效；SCADA 同時仍向外部監視點發送準確數據。真實線路故障與後續保護動作共同進入級聯鏈。

本書中的作用：監控存在不等於監控健康已被證明，局部保護動作正確也不自動建立系統級安全效果。不得把事故壓縮為“樹木接觸”單一原因。

主要來源

• U.S.-Canada Power System Outage Task Force：Final Report on the August 14, 2003 Blackout in the United States and Canada: Causes and Recommendations，2004-04 https://www.energy.gov/sites/prod/files/oeprod/DocumentsandMedia/BlackoutFinal-Web.pdf

Boeing 737 MAX（JT610／ET302）｜2018、2019

狀態：Qualified；事實層繼承 Book I 與 Book II

兩起事故分別造成 189 人與 157 人遇難。原設計中的 MCAS 依賴單一迎角輸入，並可重複激活；兩起事故的維護、告警、機組動作和官方判斷並不完全相同。

本書中的作用：動作級抵消不等於能力級拒絕，多個傳感器也不自動構成獨立驗證。不同官方材料的分歧必須保留。

主要來源

• Indonesia KNKT：Aircraft Accident Investigation Report: Lion Air JT610 https://knkt.go.id/Repo/Files/Laporan/Penerbangan/2018/KNKT.18.10.33.04-Final-Report.pdf
• U.S. NTSB：Safety Recommendation Report ASR-19-01
• FAA 與國際適航機構聯合組：Joint Authorities Technical Review: Boeing 737 MAX Flight Control System
• FAA：Summary of the FAA's Review of the Boeing 737 MAX

不同官方材料對兩起事故的維護、告警、機組動作與因果判斷並不完全一致；本附錄保留這些來源差異，不合併成單一官方因果鏈。

Chernobyl Unit 4｜1986

狀態：Qualified；事實層繼承 Book II

INSAG-7 記錄 RBMK 的正空泡反應性、控制棒插入初期的正反應性效應、難以及時取得的 ORM 狀態，以及可由操作側停用或旁路的部分保護。最終觸發事件仍被明確保留為不確定。

本書中的作用：保護存在不等於保護獨立、可見或沿正確方向生效。不得把 positive scram 寫成唯一確定觸發，也不得把事故歸結為單一操作員違規。

主要來源

• IAEA INSAG-7：The Chernobyl Accident — Updating of INSAG-1，Safety Series No. 75-INSAG-7，1992 https://www-pub.iaea.org/MTCD/Publications/PDF/Pub913e_web.pdf

2010 Flash Crash｜2010

狀態：Boundary；事實層繼承 Book I

多個正常市場策略在流動性收縮和反饋中形成急跌與快速反彈；交易、風控和撮合多沿正常路徑運行。

邊界作用：用於排除“湧現交互等於能力組合”，也限制把正常市場輸入繼承自動寫成下游無資格繼承。它不是單一交易者造成全部結果的證明。

主要來源

• CFTC／SEC Joint Staff：Findings Regarding the Market Events of May 6, 2010 https://www.sec.gov/news/studies/2010/marketevents-report.pdf
• SEC／CFTC：Preliminary Findings Regarding the Market Events of May 6, 2010

Deepwater Horizon / Macondo｜2010

狀態：Qualified；事實層繼承 Book II

負壓測試中的異常壓力被無效解釋消解，作業繼續；事故後 EDS 指示動作不等於平臺實際分離。後續調查又顯示 AMF／deadman 觸發過，但鑽桿狀態使 blind shear ram 未能完成密封。事故造成 11 人遇難，官方估計約 490 萬桶原油釋放。

本書中的作用：觸發不等於效果達成；最後屏障的就緒狀態也需要被驗證。本案用於排除“協同失敗等於能力組合”。

主要來源

• National Commission：Deep Water: The Gulf Oil Disaster and the Future of Offshore Drilling，2011 https://www.govinfo.gov/content/pkg/GPO-OILCOMMISSION/pdf/GPO-OILCOMMISSION.pdf
• U.S. Chemical Safety and Hazard Investigation Board：Macondo Investigation Report, Volume 2，2014 https://www.csb.gov/assets/1/7/vol_2_final_version.pdf

SolarWinds Orion｜2019—2020

狀態：Qualified；事實層繼承 Book I

惡意代碼進入 Orion 正常構建與更新鏈，接近 18,000 名客戶收到受汙染更新；後續深度利用只發生在較小目標子集。

本書中的作用：真實產品、簽名與正常更新渠道可以共同傳遞已經改變的載荷資格。18,000 不是全部被深度控制的客戶數。

主要來源

• U.S. Government Accountability Office：Cybersecurity — Federal Response to SolarWinds and Microsoft Exchange Incidents https://www.gao.gov/products/gao-22-104746
• CISA：Emergency Directive 21-01 — Mitigate SolarWinds Orion Code Compromise https://www.cisa.gov/news-events/directives/ed-21-01-mitigate-solarwinds-orion-code-compromise

Storm-0558｜2023

狀態：Qualified；事實層繼承 Book I

攻擊者取得微軟 2016 年消費者賬戶簽名密鑰，並利用 Exchange Online 驗證邏輯缺陷偽造企業訪問令牌。審查結束時，微軟仍不能證明該密鑰如何被取得。

本書中的作用：密碼學簽名可驗證，不等於密鑰對當前租戶、賬戶和時刻具有相應資格。不得把早期崩潰轉儲假說寫成已確認事實。

主要來源

• DHS Cyber Safety Review Board：Review of the Summer 2023 Microsoft Exchange Online Intrusion https://www.cisa.gov/sites/default/files/2024-03/CSRB%20Review%20of%20the%20Summer%202023%20MEO%20Intrusion%20Final_508c.pdf

Ronin Bridge｜2022

狀態：Qualified；Book III 新增

橋接提款需要九個驗證者中的五個簽名。攻擊者控制四個 Sky Mavis 驗證者密鑰，並經歷史 Axie DAO 代簽／allowlist 路徑取得第五個簽名，完成兩筆提款，轉出 173,600 ETH 與 25.5M USDC；事件六天後因用戶無法提款而被發現。

本書中的作用：當前最直接支持狹義能力組合可被現實實例化的案例，同時揭示驗證者數量不等於權威獨立。它是最強組合主張的唯一強案例，不能據此把多簽寫成普遍證明。

主要來源

• U.S. Department of the Treasury：Treasury Sanctions North Korea State-Sponsored Malicious Cyber Actors（Ronin／Lazarus attribution） https://home.treasury.gov/news/press-releases/jy0768
• U.S. Department of Justice：U.S. v. Storm and Semenov Indictment（Ronin incident／Lazarus wallet facts） https://www.justice.gov/d9/2023-08/u.s._v._storm_and_semenov_indictment.pdf
• United Nations Panel of Experts：相關專家組報告（5-of-9 validator-key compromise） https://www.securitycouncilreport.org/atf/cf/%7B65BFCF9B-6D27-4E9C-8CD3-CF6E4FF96FF9%7D/N2260853.pdf
• Ronin：The Ronin Bridge Is Open（項目方對失竊數量、驗證者結構與整改的說明） https://blog.roninchain.com/p/the-ronin-bridge-is-open-

Volkswagen Dieselgate｜2009—2016 年款

狀態：Qualified；Book III 新增

大眾工程人員與共謀者設計軟件識別標準排放測試，並在測試條件下啟用更完整的排放控制；正常道路使用時控制效果降低。美國執法與和解覆蓋約 590,000 輛相關柴油車，部分車型／條件下 NOx 最高可達標準約 40 倍。

本書中的作用：測試證據與正常道路事實可以被系統性分離；主動欺騙是上游行為，不等於證據—事實關係失效本身。不同車型、代際和軟件實現不能被寫成完全相同。

主要來源

• U.S. Environmental Protection Agency：Learn About Volkswagen Violations https://www.epa.gov/vw/learn-about-volkswagen-violations
• U.S. Department of Justice：Volkswagen Diesel Engine Vehicle Matters — Overview https://www.justice.gov/criminal/criminal-vns/case/volkswagen-diesel-engine-vehicle-matters/overview
• U.S. Department of Justice：Volkswagen Engineer Pleads Guilty for His Role in Conspiracy to Cheat U.S. Emissions Tests https://www.justice.gov/archives/opa/pr/volkswagen-engineer-pleads-guilty-his-role-conspiracy-cheat-us-emissions-tests

Okta Support System｜2023

狀態：Qualified；Book III 新增

攻擊者利用 Okta 支持系統服務賬戶訪問與 134 個客戶有關的文件；部分 HAR 文件含會話令牌，確認有五個客戶的合法會話被劫持。134 不是被劫持客戶數。Cloudflare 的後續兩階段事件還顯示，未輪換令牌與服務憑據可以繼續形成不同影響。

本書中的作用：技術上有效的會話令牌不等於當前操作者、網絡、租戶與動作仍然合格；同一上游失陷也不必然造成同等下游結果。

主要來源

• Okta：Unauthorized Access to Okta's Support Case Management System: Root Cause and Remediation https://sec.okta.com/articles/2023/11/unauthorized-access-oktas-support-case-management-system-root-cause/
• Cloudflare：How Cloudflare Mitigated Yet Another Okta Compromise https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/
• Cloudflare：Thanksgiving 2023 Security Incident https://blog.cloudflare.com/thanksgiving-2023-security-incident/

三份材料均屬於事件方或受影響客戶對自身系統與響應的披露，不等同於獨立統一事故調查。

Ubiquiti Insider / Nickolas Sharp｜2020 年後

狀態：Qualified；Book III 新增

時任高級開發人員 Sharp 濫用真實 AWS／GitHub 管理憑據竊取數據、改變日誌保留策略與文件，同時參與事件修復，並偽裝外部攻擊者勒索公司；他隨後認罪並被判決。

本書中的作用：真實主體與真實憑據的重驗仍可能不足，當前動作、對象、目的和範圍仍需重新取得資格。該案不證明“重驗無用”，也不證明修復狀態新賦予了攻擊能力。

主要來源

• U.S. Department of Justice：Former Employee of Technology Company Pleads Guilty to Stealing Confidential Data and Extorting Company https://www.justice.gov/usao-sdny/pr/former-employee-technology-company-pleads-guilty-stealing-confidential-data-and
• United States v. Sharp 判決記錄（公開法院記錄鏡像） https://app.midpage.ai/document/united-states-v-sharp--990eb6da-5653-4483-8c6f-41304e6928e4
• Ubiquiti：SEC filing（2021 cloud-hosted IT incident） https://www.sec.gov/Archives/edgar/data/1511737/000151173722000010/ubnt-20211231.htm

DOJ 文件以 Company-1 指稱受害公司；Ubiquiti 身份需要與 SEC filing 和公開法院記錄聯合回指。

Twitter Internal-Tool Takeover｜2020

狀態：Qualified；Book III 新增

攻擊者先通過社交工程取得一般員工訪問，再針對具有賬戶管理工具權限的員工；內部工具隨後被用於改寫郵箱、密碼與 MFA。130 個賬戶被針對，45 個用於發送推文，7 個下載了賬戶數據。

本書中的作用：事件時刻的賬戶狀態與恢復邊界可以被設計內高權限工具改寫；130 不等於 130 個賬戶都發送詐騙信息。內部支持工具本身也不因此成為“後門”。

主要來源

• New York State Department of Financial Services：Twitter Investigation Report https://www.dfs.ny.gov/reports-and-publications/other-reports/Twitter_Report
• U.S. Department of Justice：UK Citizen Extradited and Pleads Guilty to Cybercrime Offenses https://www.justice.gov/usao-sdny/pr/uk-citizen-extradited-and-pleads-guilty-cybercrime-offenses

2015 Ukraine Power Grid Cyberattack｜2015

狀態：Qualified；Book III 新增

攻擊者取得運行憑據與 HMI／ICS 訪問能力，經遠程 HMI 斷開斷路器，並使用 KillDisk、惡意固件和其他手段妨礙感知與遠程恢復。三家配電公司發生停電，約 225,000 名客戶受影響一至六小時；運行人員通過本地／手動操作逐步恢復。

本書中的作用：正常控制路徑可以被真實憑據濫用，事件時刻又可改寫遠程可見性和恢復邊界；本地恢復與受控遠程面並非同一失效域。它不證明物理手動控制是所有系統的理論必要條件。

主要來源

• U.S. federal electricity-subsector report：Ukraine case study https://www.cisa.gov/sites/default/files/publications/EO13800-electricity-subsector-report.pdf
• CISA：Understanding and Mitigating Russian State-Sponsored Cyber Threats to U.S. Critical Infrastructure https://www.cisa.gov/news-events/alerts/2022/01/11/understanding-and-mitigating-russian-state-sponsored-cyber-threats-us-critical-infrastructure
• E-ISAC／SANS：Analysis of the Cyber Attack on the Ukrainian Power Grid（Tier 2；用於詳細技術時間線與恢復邊界）

---

二、額外繼承參考案例

以下兩案用於有限的路徑邊界說明，不屬於二十案正式壓力測試池，不分配正式案例編號，也不進入任何 Strong／Partial／None 聚合統計。

AWS S3 US-EAST-1 服務中斷｜2017

狀態：Inherited Reference；事實層繼承 Book I

操作人員使用正常生產工具執行既有流程中的命令，輸入使實際移除的服務器數量超過原意，繼而影響相關子系統。事件方公開總結沒有披露內部審批界面、完整命令或內部日誌。

本書中的作用：用於說明正常路徑內的輸入錯誤不自動等於“另一條路”。

主要來源

• AWS：Summary of the Amazon S3 Service Disruption in the Northern Virginia Region https://aws.amazon.com/message/41926/

Citibank–Revlon 誤付款｜2020

狀態：Inherited Reference；事實層繼承 Book I

花旗在內部 Flexcube 流程中錯誤配置交易，把本擬支付的利息連同本金一併匯出；兩名複核者未發現最終資金流向和金額語義的錯誤。部分資金返還，二審推翻了關鍵一審結論。

本書中的作用：用於說明流程與複核均在正常路徑內發生時，嚴重錯誤不自動構成路徑旁路。

主要來源

• U.S. Court of Appeals for the Second Circuit：In re Citibank August 11, 2020 Wire Transfers（多數意見） https://www.govinfo.gov/content/pkg/USCOURTS-ca2-21-00487/pdf/USCOURTS-ca2-21-00487-0.pdf
• 同案 Park 法官協同意見
• U.S. District Court for the Southern District of New York：2021 年原審意見（僅用於理解一審經過）

---

三、案例池級邊界

二十案只支持當前研究範圍內的壓力結果：18 Qualified、2 Boundary；沒有案例被拒絕或等待進一步核驗。五項結構達到條件凍結，兩項仍為暫定／未凍結，一項被降為失效／恢復條件候選。

這些數字不能被換算成現實發生頻率、理論重要性或完備性證明。尤其需要保留三條限制：

1. 失效狀態能力擴張在當前正式池中為 0 Strong／1 Partial／17 None；沒有支持不等於已證偽。
2. 能力組合的最強主張只有 Ronin Bridge 一個強案例；單案例風險不能靜默刪除。
3. 證據—事實關係在案例層覆蓋很高，但機制層存在來源族集中，且純事後證明邊界仍未解決；高覆蓋不能凍結內部子類型分類。

案例附錄的作用，是讓理論必須面對現實材料及其反例邊界，而不是讓現實事件替理論完成證明。