# 40 人的检查点与授权

平面：责任
governed_by：D-024、D-027、D-028、D-037、D-055
用途：确定哪些判断只能由人做、放在哪几处做、怎样让人真的判得动，以及授权怎样移交才不会在无人察觉中滑走。

## 1. 最小职责与接口

- **它必须做到的**
  - 把人的判断集中在少数状态转换处，不散布在动作流里。
  - 只接收四类问题，且要求提问前先穷尽环境中可直接读取的事实。
  - 让每个检查点便宜到能真判：裁决项、证据、推荐前置。
  - 以带参数的结构化决定形式授权，并保证确认入参与执行入参一致。
  - 用判断带宽约束检查点数量，测量耗时、频率、否决率与队列。
  - 把预批准动作集与仍需判断的操作说明分开声明，授权移交慢变、可审计并附抽样复核。
- **从别的部件拿什么**：从[31 守卫与权限边界](31-守卫与权限边界.md)拿需要人裁决的例外及其预期耗时；从[30 验证与测试](30-验证与测试.md)拿机器判不动的剩余风险；从[32 证据与追踪](32-证据与追踪.md)拿可回读的原始记录与呈现给人的证据；从[22 上下文装配](22-上下文装配.md)拿已穷尽可读事实之后剩下的那几类问题；从[33 评估与演进](33-评估与演进.md)拿结论等级与剩余不确定性。
- **给别的部件什么**：给[10 意图与验收](10-意图与验收.md)意图确认、冻结授权与验收变更的批准；给[31 守卫与权限边界](31-守卫与权限边界.md)不可逆动作的授权、豁免批准与人工检查点的位置；给[20 状态工件](20-状态工件.md)状态转换处的确认、授权与有效豁免；给[21 调度与拆分](21-调度与拆分.md)升级、降级与停机后的决定；给[12 记忆与知识治理](12-记忆与知识治理.md)晋升批准与事后否决；给[23 方法库](23-方法库.md)新增、删除与迁移的批准；给[32 证据与追踪](32-证据与追踪.md)授权记录。
- **它自己维护什么**：检查点清单及各自的呈现格式与带宽度量、预批准动作集及其变更记录、免审批集合的复审周期、抽样复核记录、风险接受记录。
- **未决**：认知覆盖声明（原 P7）已于 2026-09-03 降级为待观测提议，不再以原则形态生效，它本身是否会变成新的判不动检查点，须先观测其耗时与否决率再决定是否推广。
- **已裁**："由 AI 评定低风险后交团队自批"这条授权移交路径不采纳，P7 不变，见 [D-060](决策日志.md#decision-index)。

## 2. 原则

- **P1 检查点集中在五处状态转换。** 确认意图、接受计划、批准集成、授权发布、抽查自动决策。人不进入动作级关键路径：构建期的动作不弹确认，只在集成与发布这类转换前要人；触发责任的转移不等于判断责任的转移。｜防的失败：审批疲劳与快速点头；团队因打断过密绕过整套流程 ｜删除条件：写不出（责任结构型：哪些状态转换必须有人在场，是责任的分配而不是效率取舍；"触发责任的转移不等于判断责任的转移"这一句尤其不随能力变化）
- **P2 判断带宽是检查点数量的上限，判不动的必须合并或移除。** 每个检查点记录自己的带宽度量，字段随 Gate 合同（见[31 守卫与权限边界](31-守卫与权限边界.md)）；其中否决率与验收队列时长是必测量——否决率长期为零或队列持续变长，都说明它已不再产生判断。并行自主流的数量上限等于人能认真审查的数量；审查者可以标注"无法判断"，这本身触发该检查点的复审。事实门禁那一类的数量上限另有来源（见[31 守卫与权限边界](31-守卫与权限边界.md)）。｜防的失败："已经审过"的假象；验收积压不可见、平均响应趋零 ｜删除条件：写不出（责任结构型：人是稀缺资源，判不动的检查点制造"已经审过"的假象，而假象的后果仍记在授权链上）
- **P3 只上交四类问题，提问前须穷尽可读事实。** 四类是价值排序、范围边界、权限授予、不可逆选择。提交时附已查证的事实与待决选项两栏，缺前者退回；面向人的输出先给少量决策点，确认后再展开；记录选项、取舍、建议、默认影响与决定人。默认授予只读探索权限，好让"能不能看到某个文件"根本不成为一个要问人的问题。｜防的失败：向人请示本可自查的事实；跳过已发现的依赖导致返工 ｜删除条件：运行类型限定——"提问前须穷尽可读事实"以输入读得完为前提，接手型运行中输入预算耗尽本身即构成合法的提问理由（见[00 总览 §3](00-总览.md#default-scope)）；分流部分可删于可查事实的提问率在评估集上趋零且跳过依赖类返工消失（能力补偿类）；投放节奏部分写不出（责任结构型：人侧带宽约束）
- **P4 人工确认点必须让人判得动。** 呈现顺序固定：待裁决项、证据与推荐在前，全文与差异作附录；目标环境与受影响对象来自可观察事实而不是模型陈述；不可逆性与变更预览必须显示；面向人的数字由确定性程序重算，模型只做命名与解释，摘要只作索引不作证据。｜防的失败：看到"删除"却不知道是生产还是测试；摘要替代证据 ｜删除条件：写不出（责任结构型：人在检查点上承担后果，呈现的内容必须足以支撑那次承担；看不见就承担不了）
- **P5 授权是带参数的结构化决定，确认入参与执行入参必须一致。** 参数至少含方式、范围、批准人、时间窗、**动作的粒度**与**反向方案**，而不是一次无上下文的是与否。**粒度**由"能否作为一个整体撤销或补偿"划定：不能整体撤销的动作不是一个动作，须按可整体撤销或补偿的段划分，每段各自留回执，进度以水位表达，未完成段进待补偿；**段界即状态转换**，闸门的触发单位、恢复的重放起点与证据的绑定单位都以它为准（见[31 守卫与权限边界](31-守卫与权限边界.md) §2 P4 与[20 状态工件](20-状态工件.md) §2 P8）。**反向方案**随授权一并呈现；**"无反向方案"这一事实本身也须呈现并被明确接受**——本项是授权的准入条件，不是事后登记的一栏。自动补全须发生在确认之前，或在确认界面上显示；执行前由非模型组件核对实际入参与被授权记录一致后才放行。不可逆动作的授权只能由人产生，经模型不可写入的通道传递。**具名位置空缺的语义**：本套正文要求具名的位置（原批准人、权威记录源的指派人、条目归属人、升级目标）为空时，与[31 守卫与权限边界](31-守卫与权限边界.md) §2 P5 的"应答缺席等于拒绝"同构——依赖该位置的状态转换记未定并转为显式阻塞（带待指派责任人与复查条件），不由执行者代行，也不由下一个接手者默认继承；位置的转移本身是慢变、可审计的授权变更，形态同 P6。｜防的失败：发布方式与回刷范围由模型自行决定；具名责任人离场后授权链静默断开或被代行；补全值未经人看见就被执行 ｜删除条件：写不出（责任结构型：授权的边界就是参数本身，无上下文的是与否等于签一张空白支票；粒度、反向方案与具名位置的空缺语义同属这一侧）
- **P6 预批准动作集与仍需判断的操作说明分开声明。** 预批准动作集由具名责任人事先枚举并批准，触发条件满足即可由执行者机械触发；操作说明面向重复情境但仍需人的判断，不构成授权。两者的变更都是慢变、可审计的授权变更，并附风险加权的抽样复核；新的自动审查者先观察一段时间的判断模式再获得权力。交互式确认不得沉淀为永久授权，免审批集合的枚举、扫描与复审见[31 守卫与权限边界](31-守卫与权限边界.md)。**不可逆动作可以进入预批准动作集**，条件是它可事先枚举、每次触发留回执、且粒度已按 P5 划定；这与[31 守卫与权限边界](31-守卫与权限边界.md) §2 P8 禁止的形态不同——预批准是枚举在先的慢变授权，那里禁止的是逐次交互确认沉淀成永久授权。推论是：不可事先枚举的动作（例如部署一个尚不存在的修复）因此不可预批准，可预批准的只有可枚举的处置动作。｜防的失败：风险接受权在无人察觉中移交给模型；把"经常批准"洗成"已获授权" ｜删除条件：写不出（责任结构型：两者的区别是"是否已经授权"，混同即把重复出现的批准洗成常设授权）
- **P7 完成判定与风险接受不下放。** 人接受产品结果，执行者提供机器结果与可复查证据，不自封完成；最终验收由非生产者完成。实现者不能自行接受其产生的重大风险；风险接受记录风险描述、可能性与影响、受影响用户或数据、剩余风险、责任人与期限；反向方案（含"无反向方案"）已由 P5 前移为授权准入条件，不在此处重复登记。验收条目的确认与冻结见[10 意图与验收](10-意图与验收.md)，记忆晋升的审批见[12 记忆与知识治理](12-记忆与知识治理.md)；本章只要求这些决定都落在具名的人身上。｜防的失败：自封完成；重大风险被产生它的人顺手接受 ｜删除条件：写不出（责任结构型：只有人能继承后果（[09 §2](09-跨工具通用性.md#criteria-whether)的责任判据）；产生风险的一方接受自己的风险，等于承担方与产生方同一）
- **P8 外行加 AI 可以提出挑战，不能替代有验证能力者的最终判断。** 非专业操作者的验证点放在集成之前，作为输入而不是验收；他们的验收能力须刻意建设，例如由系统派生、明确标注为非权威的能力清单在澄清环节直接呈现。｜防的失败：外行接受了自己无法验证的判断；只核格式的"自验收" ｜删除条件：写不出（责任结构型：验收责任要求验收者具备验证能力，没有验证能力的"接受"不构成接受）

## 3. 从 L0 到 L3

| 档 | 形态 |
|---|---|
| L0 一人一工具 | 五处确认由同一个人在同一处做；问题攒起来一次问，附上已经查到的事实与待决选项。 |
| L1 一人多会话 | 确认点有固定的呈现顺序；不可逆动作单列一张清单，逐次确认并记下方式、范围与时间窗。 |
| L2 团队 | 检查点带耗时与否决率统计，判不动的合并或移除；预批准动作集与操作说明分开维护，变更走审批并抽样复核。 |
| L3 无人值守 | 人只出现在五处，其余交给事实门禁；并行流数量按验收队列长度回调；每次自动决策留下可抽查的记录。 |

## 4. 追溯

本章的写作期内容——它解决什么问题、源章节与主题综合的映射、每条原则的证据强度——在[追溯账本](追溯账本.md#ch-40)，效力为零。