P26 治理与后果相称
表述：每一条规则、每一道确认、每一个必填字段都有成本。治理的强度要和它所防范的后果相称：可逆的、系统内的动作轻治理；不可逆的、对外的、花钱的动作重治理。
依据#
- 结论二：治理本身可以成为失败的原因。
- 命题九 治理相称。
- 安全 II D（Hollnagel, 2014）；STAMP D（Leveson, 2011）：约束要放在真正可能导致危害的控制行为上。
- 国家的视角 D（Scott, 1998）：为了「可读」而施加的标准化，会摧毁系统运作所依赖的地方性知识。
对产品的含义#
v3 建议的后果分级：
| 级 | 动作类型 | 例子 | 治理 |
|---|---|---|---|
| G0 | 系统内、可逆、不写正本 | 起草、整理、分析、派生视图 | 只留日志 |
| G1 | 写模型正本，可回滚 | 状态更新、普通证据的置信度移动 | 留日志，日复盘批量查看 |
| G2 | 主人层 | 目标改写、信念准入、宣布目标发生 | 人确认；可以批量 |
| G3 | 对外、不可逆、花钱、以本人名义承诺 | 发送消息、付款、公开发布 | 人确认或在授权内执行；事前写副作用底线 |
- 〔建议修改〕信念准入的权力仍然归人（主人层），改的是准入的方式：只影响可逆小动作的候选信念，可以先作为「工作假设」使用（标为很低置信度），在周复盘批量准入或驳回；影响不可逆或高成本决定的候选，逐条确认。见 S3。
- 〔建议修改〕把 A8、A12、A14、A15 和签到签退从理论公理降级为工程规范：照旧执行，但不再作为新增规则的理由。见 S6。
反模式#
- 一条行动契约改了很多版、每版都要授权，而它碰到的现实是零。
- 所有动作都走同一套最重的流程。
检验#
- 每级动作的平均人工确认次数；G0、G1 动作的确认次数接近 0；G3 动作的事前确认率 100%。
与 v2 的关系#
修改 A7（准入）：准入权保留在人，准入的方式按后果分级。