執行控制工程

摘要

《執行控制工程》從《執行縫隙》停下的地方繼續：如果意圖、審批、授權與策略都不能自行建立「這一次現實動作應該發生」，那麼真正決定它能否發生的究竟是什麼？本書把這個問題當成工程問題，而不是政策問題。它先把經常被放在一起討論的對象拆開——意圖、授權、狀態、證據、策略、裁決、邊界與執行者——因為在「當前狀態、當前對象、當前邊界下，這一次具體動作是否仍然具備執行效力」這件事上，它們各自承擔的職責並不相同。由此展開的是這個問題本身要求的一系列區分：Capability 不等於 Authority；Authorization 不等於當前執行資格；過去批准過不等於現在仍然成立；Evidence 不是 Log，證據是否充分必須被論證而不是被假設；多個帶範圍的規則側輸入只能收緊最終範圍，不能放寬；最終執行裁決權不必屬於單一持有者，增加參與者本身也不等於完成了分權；部署上分開不等於真正獨立；裁決必須形成確定、可終止、可驗證且有約束力的判斷，既不因此成為新的 Authority，也必須發生在現實副作用關閉之前，而不是只在事後的審計與覆核中出現。即使所有正向資格都已成立，有效的否定性約束仍然必須能夠阻止動作進入現實，這也帶出「拒絕本身會怎樣失效」的問題。當必要條件無法被充分建立時，Fail-Secure 固定的是失效方向：不充分本身不得產生 ALLOW，也不得被用來擴大執行能力。全書以經過核驗的現實失敗與邊界案例作為壓力測試，並與 Book I 共用同一套案例事實基線；附錄明確保留證據邊界、官方材料之間尚未解決的分歧，以及本書研究用語與調查機構自身結論之間的區別。本書拒絕把理論寫成封閉體系：它說明自己建立了哪些條件，也把九個問題留在現有證據停下的位置，因為「已經建立」並不等於「已經窮盡」。

關於本書

作為 Execution Engineering Trilogy 的第二卷，本書把第一卷界定的問題推進為一組條件：一次具體動作如何在現實副作用發生之前取得執行效力。它從工程實踐與經過核驗的現實失敗中形成判斷，保留官方材料之間的分歧與證據邊界，並明確指出自己哪些問題仍未得到回答，而不是用假設把它們關閉。

核心主題

• 意圖綁定、授權、狀態、證據、策略、裁決、邊界與執行者
• Capability、Authority 與當前執行資格
• 證據充分性，以及 Evidence 與 Log 的區別
• 邊界獨立性、分散的最終執行裁決權與拒絕失效
• 作為失效方向的 Fail-Secure，以及仍然未決的九個問題