生命在扰动、损伤与失序之后重新稳定下来，这一过程被普遍描述为感知、调节、连接与经验回写的连续实现。本文提出：决定它下一次还扛不扛得住的，不是它剩下多少（不是存量），不是它回来得多快（不是速率），也不是它的记录是否连贯（不是链条），而是这一次恢复把多少处原本可以各自失败的连接永久打通了。恢复必然要调用别处的余量，调用必然要打通；而打通之后的关回不属于任何一步工序——它不产生任何产出，不改善任何指标，不做也没有人会发现。本文把这一份被打通而未被关回的连接称为合牵，给出一份可清点的单位改写表、一个整数读数（合牵数 m）与一条统一的判定线（关回率低于 0.20 即判为关回不是常规动作），并把恢复写成五步次序，指出唯一的插手点落在第三步而不是第一步。材料来自三门与本题相距很远的学科：埋藏学（一堆遗骸还算不算一个个体）、冻结食品工程（同样的成分与总量，冰晶数目减少而产品不可逆地坏了）与破产重整法（债权分组使组内成员从此不能各自反对）。本文用七个 Ubuntu 长期支持版本、公开可复算的软件包索引做了一次预注册检验，主假设的判定线被证明设错，方向性主张不成立；而合并被关回的比例（0.077–0.148）稳定地低于分开被撤销的比例（0.141–0.406），四种口径一致。全部不利结果写入正文，并据此把承重命题由频率主张改窄为不可逆性主张。一句不含程度词的问话贯穿全文：上一次扰动过后，被打通的那几处，有没有一次被关回的记录，日期是哪一天。
关键词：合牵；单位改写表；合牵数；各自失败；恢复的次序；扰动
一家医院在流感季把两个病区的护理排班并到一起，因为一个病区忽然缺人。季节过去，排班没有分回来——分回来是一件要开会、要重写班表、要跟两边护士长各谈一次的事，而合着排每天都在正常运转，指标漂亮：床位周转快了，加班时数降了，交接差错还少了。三年后一次院感事件，两个病区同时停摆。事后复盘写的是院感防控，没有一行写排班。
一条河的两个圩区之间，在一次大水里挖开了一道口子，让水从这边漫到那边，以免任何一边先溃。水退之后口子没有堵回去——堵回去要花钱，要占地，而口子在那里也没有妨碍任何事。二十年里这道口子从图上消失了，田从上面种过去，路从上面修过去。下一次大水，两个圩区一起淹。
这两件事有一个共同的形状，而这个形状在关于韧性的全部文献里几乎找不到位置。它们不是没有恢复，恰恰相反，它们的恢复都很成功：人手补上了，水退下去了，全部读数回到了正常值，甚至比扰动之前更好看。它们出问题的地方在恢复完成之后的一个动作上——那个把临时打通的地方关回去的动作。而这个动作有一个致命的性质：
它不产生任何产出，不改善任何指标，不做也没有人会发现，而且它必须由某个人专门决定去做；相反，不做它不需要任何人决定，恢复的完成本身就顺带把它省掉了。
本文要立的判断由此而来。生命韧性的发生，通常被写成四个环节的连续实现：感知扰动、启动调节、调用连接、把经验回写进结构。这个写法是对的，但它漏掉了一个环节，而漏掉的那一个恰好是唯一可以插手的那一个。四个环节里，感知与调节几乎不受意志支配，连接的调用是恢复的定义本身——拒绝调用等于拒绝恢复；而回写这一环写下的是结果与办法，从来不写“我们这一次少了几道分界”。于是每一次成功的恢复都在悄悄地做同一件事：把两个原本可以各自失败的地方，永久地并成一个。
为什么现在问这件事。因为在过去二十年里，几乎所有的组织、系统与个人都被要求“提高韧性”，而提高韧性的通行做法是打通壁垒、拉通资源、建立协同、消除信息孤岛。这些做法在每一次具体的扰动里都是对的，也确实缩短了每一次的恢复时间。本文不打算说它们错。本文要说的是：这一整套做法的代价落在一个从不被计量的位置上，因而它的耗尽不产生任何预警，直到某一次扰动一下子扫过整个系统。
本文的路线是这样的：先让三门与本题相距很远的学科各自把这件事说一遍，指出它们在哪里打架；再找出它们共同假定而从未说出口的那一条，并用其中一门自己的材料把它推翻；由此长出一个新的构念与一份可清点的表；然后把恢复写成一条五步次序，指出插手点；最后用真实的公开数据跑一遍，把跑出来的不利结果原样写进来，并据此改窄本文自己的主张。
埋藏学问的是：一个生物死后，经历了搬运、掩埋、压实、矿化、再暴露，最后留在岩层里的那一堆东西，能不能被当作它生前的样子来读。这门学科的判据全部落在标本本身——关节还连着几处、骨面风化到第几级、大小分选到什么程度、长轴有没有统一定向。Behrensmeyer 在 1978 年给出的骨骼风化分级（0 到 5 级）至今是野外的标准工具；Voorhies 在 1969 年给出的水力分选群，把骨骼按被水流带走的难易分成几组，用来反推一处骨床是原地埋藏还是搬运堆积。
这一门的主张可以写成一句判断：一次扰动之后剩下什么、它还算不算一个可辨认的完整个体，看留下来的那个东西本身，不看它经过了什么。埋藏学之所以能这样主张，是因为它面对的对象已经没有过程可查——过程只能从终态反推。
它自己承认解决不了、又天天不得不用的那件东西，叫时间平均。同一层里的化石个体，可能相隔几百年甚至几千年；它们被埋在一起，看上去像一个同时存在的群落。Kidwell 与 Bosence 在 1991 年系统处理过这件事，而整个古生态学仍然天天把化石组合当群落用。这件东西有一个稳定的形状：写在教科书正文里，这门学科为它专门发展了对策，而它的存在等于这门学科自己承认某个前提不成立。
冻结食品工程问的是：同样的原料、同样的配方、同样的终温，为什么速冻的产品好吃而慢冻的不好吃。答案全部在速率与粘度上。水在结冰时不是均匀地冻住，而是先成核、再长大；降温快则核多而晶小，降温慢则核少而晶大。Levine 与 Slade 在 1988 年把玻璃化转变引进食品体系，说明在最大冻结浓缩相的玻璃化转变温度以下，分子迁移率骤降，一切变化被粘度拖住——稳定的不是状态，是速率。
这一门的主张写成判断是：一次扰动之后能不能重新稳住，看过程走得多快、什么在拖住它，而不看终态的清单。它有硬证据：两包成分完全相同的冰淇淋，一包放在恒温里，一包每天在正负两度之间波动一次，三个月后前者仍可食用而后者已经砂化。Donhowe 与 Hartel 在 1996 年做过控制性加速储藏下的冰重结晶实验，冷链行业由此把核心工艺定成了“别动”，而不是“更冷”。
它自己承认解决不了、又天天不得不用的那件东西有两件。第一件是加速货架期试验不能跨越玻璃化转变外推——温度与速率的关系在转变点两侧服从不同的律，而保质期恰恰是靠外推定出来的。第二件更要紧，本文后面要用它：回火解冻。冻肉要分割，必须先升温到某个区间让它半解冻，否则刀切不动；而这一次半解冻必然造成一次不可逆的重结晶。也就是说，为了让后续加工能进行，工艺明文要求先制造一次不可逆的损伤。
破产重整法问的是：一个已经付不出钱的组织，怎样在不被拆散的情况下重新变成一个能运转的东西。它的全部工具是次序与分组。债权被分成组，同组同权；计划按组表决；受偿按绝对优先次序排列；而无论怎么排，任何一个债权人所得不得低于他在清算中所能得到的（美国破产法第 1129 条第 (a)(7) 项的“债权人最佳利益检验”，我国《企业破产法》第八十七条有对应的清偿保障条款）。
这一门的主张写成判断是：一次崩塌之后能不能重新稳住，看连接与次序——谁先受偿、谁与谁同组、计划怎样被通过并执行完毕，而不看剩下多少资产，也不看走得多快。它的终止性是三门里最硬的之一：法院裁定批准、执行完毕，成败当场结清。
它自己承认解决不了、又天天不得不用的那件东西是：清算价值。整套制度的地基是一个反事实的数——如果不重整、直接清算，每个债权人能拿到多少。这个数永远不会被观察到，因为一旦重整，清算就没有发生；而每一份重整计划都必须做一次清算价值分析，并以它为门槛。Baird 在 1986 年那篇著名的怀疑论文章正是从这里下手的。
三门的失败定义互不可译：定种错与装架错、腐败与中毒、判不下去与判了执行不了。三门的账本单位也不同：一件标本、一批产品、一笔债权。它们的冲突不是同一个问题的三个答案，而是三个互不兼容的结算处。
冲突对
打架点（一句话）
为什么不能同时成立
埋藏学 × 食品工程
恢复的成败在终态的清单上，还是在过程的速率上
同一份成分表可以由两条速率完全不同的路径产生，且终态清单读不出这两条路的差别；若清单足够，速冻与慢冻就该等价——而它们不等价
食品工程 × 破产重整法
决定结局的是快慢，还是次序
重整的成败与走得多快几乎无关，慢而排对了次序照样成；而冻结的成败与次序几乎无关，同样的次序不同速率结局相反
埋藏学 × 破产重整法
判定权在留下来的那个东西手里，还是在一次表决与裁定手里
埋藏学不承认任何外部裁定能改变标本的保存等级；重整法不承认任何标本式的实测能替代表决——一个组的意见由票数产生，不由资产状况产生
三对全冲突，且都不是靠“判谁对”能化解的：它们根本不在同一个语域里作答。这一点很要紧——若三家在同一根轴上正面对顶，本文能做的只有当裁判，而裁判不产出新东西。
三家争的是同一件事：一次扰动之后的恢复，该在哪一处结清——在留下来的那个东西上、在过程走得多快上、还是在次序与表决上。争到这一步，一个从未被说出口的东西就露出来了：
三家共同假定：恢复的对象是那些单元本身；单元的数目由名义边界给定，恢复不改变它。
把这句话念给三家听，三家都会说“这还用说吗”。埋藏学清点的是标本件数，件是给定的；食品工程衡算的是水、脂、蛋白与总固形物，成分是给定的；重整法登记的是债权笔数与金额，笔是给定的。三家吵得再凶，吵的都是“在这套给定的单位上，该在哪一栏结清”。没有一家问过：这套单位本身，在恢复过程中有没有被改写。
这一条前提之所以隐形，是因为它太像一条记账常识。一份清单在扰动前后当然是同一份清单，否则前后就没法比。而正是这个“否则没法比”，把问题挡在了门外。
冻融重结晶。一包冻品在储存中反复经历微小的温度波动，每一次升温融掉一点小冰晶，每一次降温把融出来的水加到大冰晶上。整个过程结束之后：含水量不变，总含冰量不变，脂肪、蛋白、糖、总固形物一分不少，成分表逐项对得上。变的只有一样——冰晶的数目减少了，尺寸变大了。而产品不可逆地坏了。
这件事在食品科学里不是新闻，是所有冷链工艺的立足点。它回答的问题是“怎么保住质构”，不是“韧性怎么发生”，因此从来没有人把它当作关于记账单位的证据。但它就是那件证据：
清点单位本身在恢复过程中被改写了，而所有账本仍然按旧单位报数，且报出来的数完全正确。
小冰晶不是“损失”了。它的水一分不少地进了大冰晶。在任何一本物料衡算表上，它等于零。而它恰恰是这包东西下一次经受波动时可以缓冲的那一份——一万个小晶粒可以各自长大一点点而口感不塌，一百个大晶粒长大一点点就是砂。
三家由此都无法退回自己的阵地：这件材料是食品工程自己的，而它推翻的那条前提是三家共有的。埋藏学的“件”同样会被改写——两块本属不同个体的骨头被归到同一个体名下，件数从二变一而质量不变；重整法的“笔”同样会被改写——两组债权被合并表决，笔数与金额一分不少而“能单独反对的人”从二变一。
上面那一条是三家的。还有第二层，更难看见，因为互相批判的各派都站在它上面。把最近的几位邻居逐个问一句“它把什么当作给定，因此结构性地看不见什么”，答案的交集是同一条：
一个系统的抗扰能力是它的一项属性，可以在不发生扰动的时候被测量。
必要多样性定律要数的是调节器的状态数，近可分解性要看的是模块划分，松散耦合要判的是耦合强度，响应多样性要算的是功能冗余，自我概念分隔化要测的是评价内容的分布，共因失效分析要评的是共因因子——全部在无扰动期做，全部给出一个横截面读数。一旦承认“能各自失败的单元只有在扰动到来时才被定义”，这些测量就全部失去对象：它们不是测得不准，是没有可测的时刻。这就是“承认它，自己就塌了”的意思。
两层不可互相顶替。三家那一条被推翻，只说明这个判断不是三家的综合；学术界这一块地被动过，才说明它不是既有概念的改名。
把上面两层合起来，长出来的东西是这样一个：
合牵——一次恢复中为调用余量而打通的连接，在恢复完成之后没有被关回；两处从此不能各自失败，而名义单位数、总量与全部恢复指标都不变。
要紧的是它的四条限定，缺一条就不是合牵：
第一，打通必须是恢复所必需的。为了省事、为了协同、为了好看而做的合并不算——那是另一件事，且那件事是有人决定的、可以被反对的。合牵的特殊之处在于它挂在一次正当的救援上。
第二，名义单位数不变。两个病区还是两个病区，两个圩区还是两个圩区，两个二进制包还是两个包名。数目一变，它就落进了任何一份常规报表，就有人会问。
第三，没有关回的时刻。不是“关回得晚”，是记录里根本没有这一栏；问“什么时候关回的”，得到的回答是“没有人管这个”。
第四，它的失效不产生信号。在下一次扰动到来之前，一个被合牵的系统与一个没被合牵的系统，在全部读数上完全相同。
三条不算合牵，写在这里是为了不让这个词被用滥：
常设的协同机制不算。一个从设计之初就把两处连在一起的系统，它没有“关回”这个对象——合牵是一次临时打通留下的残留，不是一种架构选择。
冗余的消耗不算。把备份用掉是存量问题，用掉了看得见；合牵的特点恰恰是什么都没少。
依赖的增加不算。甲要用乙的东西，这是依赖；合牵说的是甲失败时乙会跟着停，而这一点在依赖清单上读不出来——很多依赖是可降级的，很多没有登记的通路是不可降级的。
有必要正面回答一个尖锐的质问：删掉本文提出的这个读数之后，那个东西是不是就不存在了？如果它照样存在、只是不好测，本文做的是操作化，不是发生。
诚实的回答分两半。被打通的那条通路当然存在，它是物理的、可以被指出来的。但“能各自失败的单元”不是一个物理对象：它只有在一次扰动到来时才被定义，在无扰动期它不出现在任何清单上，也不能由任何一份现有台账的重新计算得到——因为所有台账数的都是名义边界（一件、一笔、一个包、一个科室），而名义边界与“一处停另一处会不会跟着停”之间没有确定的对应。就这一半而言，本文提出的不是一个新算法，而是一类原来不算一样东西的东西。
但本文不主张自己已经跨过那条线。合牵的清点仍然依赖一次扰动或一次受控的试撤，而一旦有了那次扰动，它就变成可观察的。它介于“新读数”与“新存在物”之间，本文把这个位置如实写下来，不往上抬。
辨别装置不是一个二维格子。这道题需要的是一次前后对照：同一个系统，在扰动前后各清点一次，比较的不是数量，而是清点单位表本身。
扰动前的单位
扰动后的名义单位
本次打通处
关回时刻
甲病区排班、乙病区排班（各自成表）
甲病区、乙病区（仍是两张表）
两表共用一个候补池
空白
圩区甲、圩区乙（各自闭合）
圩区甲、圩区乙（图上仍是两个）
分洪口未堵
空白
libfoo、libfoo-data（两个可单独安装的包）
libfoo（一个包，另一个成为空壳依赖）
data 并入主包
空白
A 组债权、B 组债权（可各自反对）
A 组、B 组（表决表上仍是两组）
合并表决一次
已关回：计划执行完毕之日
这张表只有四栏，而全部力量在第三栏与第四栏。第一栏与第二栏几乎总是相同——这正是问题所在：任何按名义单位做的报表，看到的都是“没变”。第三栏要靠一次扰动才填得出来；第四栏在绝大多数系统里是空白，而在少数系统里不是。上表最后一行是唯一填了第四栏的：破产重整法有一个明确的时刻叫执行完毕，法院裁定，分组表决的效力到此终止。这一行的存在证明第四栏不是原理上不可填的，它只是通常没有人填。
这张表要打的那一格是：名义单位数不变、第三栏非空、第四栏空白。这一格必须通过全部形式审查——如果它一眼就能看出是坏的，那说明装置选错了，不需要本文。四条签名逐条对照：
签名一：短期指标改善。合牵发生在恢复做得好的那一次；恢复越快，第三栏越长。这一条的误诊阻挡是：若某处打通伴随着可用率下降、交付延误或成本上升，它多半是别的问题，不是合牵。
签名二：失效不产生信号。在下一次扰动之前，读数与没被合牵时完全相同。误诊阻挡：若某处打通立刻带来日常摩擦（协调成本上升、扯皮变多），说明它还没被吸收成常态，还有人记得它是临时的——那还不是合牵，是待办事项。
签名三：自我加固，且动力来自正当性。合着运转久了会长出配套：共用的班表、共用的账号、共用的通道；每一样配套都使关回更贵。误诊阻挡：加固的动力若来自某个人的偏好或利益，那是占位问题，不是合牵——合牵的加固不需要任何人得利。
签名四：关回这一动作没有责任人。问“谁负责把它关回去”，得到的不是一个名字，而是一个表情。误诊阻挡：若能指出责任人且他明确决定不关，那属于风险接受，有决策留痕，本文不管这一类。
四条能同时写满，这一格才成立。本文提请注意第四条：它是四条里唯一一条可以在扰动之前就查的——不必等下一次事故，现在就可以问那句话。
读数是一个整数，不是比率。理由取自埋藏学：时间平均使“哪些个体原本同时存在”在事后不可判定；对应到本题，“原本有几道分界”在多数系统里不可知，因而分母不存在。没有分母就不要造分母。
合牵数 m ＝ 单位改写表中“本次打通处”已填而“关回时刻”空白的行数。整数，可为 0，无上界。
m 有一个直接的派生读法，用的是同一张表、同一份编码规则：关回率 ＝ （曾打通处数 − m）÷ 曾打通处数。全篇只有一条判定线，正文、证伪条款与赌注三处引用同一个数：
关回率低于 0.20，即判为“关回不是这个系统的常规动作”。m ≥ 1 即判为该系统落在这一格里。
项
内容
读数名 / 符号
合牵数 / m
定义
自最近一次可指名的扰动起，为调用别处余量而打通、且在任何公开记录中没有关回日期的连接处数
粒度
一处连接 = 一对原本可以各自失败的单元之间的一条通路。边界例：两个科室共用一个备用人员池，记一处；共用三个池，记三处；两个科室之间同时有人员、床位、账目三种通路，记三处而不是一处
编码规则一
打通必须能指到一次具体的扰动与一份具体的动作记录（会议纪要、工单、变更单、调令）。指不到就不进表
编码规则二
关回时刻必须是一个日期，且必须有一份独立于打通方的记录。打通方自己声明“已经恢复原状”不算
编码规则三
名义单位数发生变化的，不进本表——那是重组，另有一套办法管
编码规则四
常设机制不进表。判据：这条通路在最近一次扰动之前的正式文件里已经存在
编码规则五
同一处连接被反复打通又反复关回的，只记最近一次的状态
编码规则六
记录缺失一律按“关回时刻空白”计入 m，并在备注栏标“无记录”。理由见第九节：沉默的方向是固定的
表头
扰动前的单位 ｜ 扰动后的名义单位 ｜ 本次打通处 ｜ 打通日期 ｜ 关回时刻 ｜ 备注
不适用
单元本来就不可能各自失败的系统（如单一物理构件的内部）；名义单位每次扰动都重划的系统；无任何变更记录的系统
三处一致性自查
正文第六节 ＝ 证伪第十四节 ＝ 赌注第十五节，同一定义、同一阈值 0.20、同一份编码规则
一个读数若与既有主要指标高度相关，会被立刻读成那个指标的代理，白造。所以必须举一个“既有指标最好看而这个数最难看”的真实例子。
在本文的公开数据里，这样的例子是现成的：在最近两个长期支持版本之间，那些把二进制包数减下去的软件包，恰恰是维护最积极、发布最勤、依赖关系最干净的那一批——合并的直接动机通常是“这个子包多年没人单独装过，合进来减少维护面”。按维护活跃度、按依赖健康度、按发布频率，它们全部排在前列；按本文的读数，它们的 m 最大。反过来，那些长年无人问津、b 十二年一动不动的包，m 恒为 0。
这条正交性是本文最要害的一条，也是最容易被忽略的一条：它意味着 m 不能被读成“管理不善”的指标。相反，它常常是把事情做好的副产品。
现在可以正面回答那道题了：生命如何在扰动、损伤与失序中逐渐形成新的稳定结构。答案是一条五步次序，而不是四个并列的环节。
步
发生了什么
这一步能不能不做
留痕吗
扰动被暂时限制在若干处，其余处继续运转。此时分界正在起作用
不能。不限住就没有“其余处”可用
有：应急响应记录
为调用其余处的余量，若干道分界被临时打开
不能。拒绝打通等于拒绝恢复
有：调令、变更单、临时授权
扰动过去后，把第二步打开的地方逐处关回
能不做，而且不做不需要任何人决定
几乎没有
合着运转成为新的常态，配套长出来，名义单位仍是原来那些
不能阻止，它是时间的函数
有，但记的是配套，不是合并
记录里写下“我们挺过来了”，写的是结果与办法
不能。回写是必然发生的
有：复盘报告、经验总结
五步里，第一、二、四、五步都不受意志支配：前两步是恢复的定义，后两步是时间与制度的自然结果。只有第三步是可选的，而且它是唯一一步“不做它不需要任何人决定”的。这就是插手点的全部论证：
插手点不在最早的那一步，在唯一一步既可做可不做、而不做没有代价的地方。
这一条与通行的直觉相反。通行的做法是把资源投在第一步（早发现早响应）与第五步（复盘与经验沉淀），因为这两步都有产出、都能被考核、都写得进报告。而第三步没有产出：把口子堵回去，河还是那条河；把排班分回来，人还是那些人。它唯一的收益要到下一次扰动才显形，因而在本轮的任何结算里都是纯成本。
这也解释了为什么“提高韧性”的努力常常在几年之后反而降低韧性：每一次演练、每一次真实事故、每一次成功的应急，都在第二步上做加法，而没有任何一次在第三步上做减法。系统于是越练越熟，越熟越连，越连越经不起一次大的。
第一步，最便宜的一步：在应急响应的收尾清单里加一栏“本次打通处”，与“本次投入人力”“本次耗时”并列。它不要求任何人现在就去关回，只要求把第三栏填上。多数机构的既有记录里已经有工单与变更单，这一栏是从既有记录里派生的，不需要新增采集。
第二步：给每一处打通配一个关回时刻或关回条件，并把默认值从“无限期”翻成一个具体日期。这一步会遇到真实阻力，因为它第一次让“合着运转”变成一件需要说明理由的事。
第三步：把关回这一动作挂到一个会真正停下来的环节上——不是提醒，是某个到期必须做出决定的节点。提醒不停止任何事，因而被忽略不产生后果。
三步里第一步最便宜，第三步才承重。这一点与直觉相反，本文没有回避：前两步只是把问题写出来，写出来的问题若没有一个会停下来的地方去接，仍然什么都不会发生。
上一次扰动过后，被打通的那几处，有没有一次被关回的记录？关回的日期是哪一天？
这句话可以拿去问工单系统、问变更记录、问会议纪要、问验收文件，不必问任何人的判断。下面五个场景的答案互不相同，其中两个是查出来的，并且反过来改了本文。
场景一 · 破产重整。答案：有，且日期明确——重整计划执行完毕之日，法院裁定终结。分组表决的效力到此终止，各债权人恢复各自主张的资格。这一处 m = 0。
场景二 · 冻结食品。答案：没有这个对象。冰晶合并之后不存在“关回”，只能重新经历一次完整的冻结循环，而那要求先全部融化。这一处查出来的东西反过来改了本文，见第十一节的第二处约束。
场景三 · 埋藏学。答案：不可判定。时间平均使“哪两块骨头原本属于不同个体”在事后无法确定，因而第三栏本身填不出来。这一处也反改了本文：m 必须现场记，事后重建不算。
场景四 · 电网解列后的并列。答案：有，而且是本文找到的最完整的一处——解列与并列都有操作票、都有时刻、都有独立于执行者的记录。这一处 m 通常为 0，且它证明第四栏可以被制度化。
场景五 · 公共软件仓库的包合并。答案：没有关回记录，但有合并留痕（见第十节的真跑）。这是一个中间态：合并本身被记录了，而“合并之后两侧是否仍能各自失败”没有任何一栏记。
五个答案互不相同，且其中至少两个不能从本文的命题直接推出来——场景二告诉我们某些系统根本没有关回这个动作，场景三告诉我们读数的可得性有一个时间窗。两条都限制了本文，本文把它们留在正文里而不是脚注里。
编码规则第六条规定：找不到关回记录的，一律计入 m。这条规则会被质疑为把举证责任放错了地方——没记录不等于没发生。这个质疑在一般情形下是对的，在这里不对，理由只有一条：
这个位置上，沉默的方向是固定的。
一次关回如果真的发生了，它几乎必然留痕：要写工单、要通知两边、要改配置、要有人签字，因为关回是一个需要协调的动作。而一次不关回什么都不需要，因此必然无痕。于是“无记录”与“没关回”在这个位置上高度重合，而它们的误判方向是单向的：把没记录的关回误判为合牵，代价是多问一句；把没关回误判为已关回，代价是下一次扰动扫过整个系统。
这条规则也给出了一个可以立刻执行的检验：如果某个机构声称它的关回是常规动作，那么它应当能拿出关回的记录；拿不出，就不能主张做过。这与破产重整法的做法是一致的——执行完毕要有裁定，不能靠管理人自述。
证伪条款不许全是纸面的。本文在成文之前用公开数据把最便宜的一条跑通了，预注册写在附录一，跑之前存档，事后没有改过阈值。下面把结果原样写出来，包括三处不利结果。
数据源是 Ubuntu 官方归档，七个长期支持版本（14.04 至 26.04）的主组件源码包索引与二进制包索引。任何人可以用同样的地址重跑。代理变量明写：一个源码包产生若干个二进制包，每个二进制包可以被单独安装、单独卸载、单独降级、单独出问题，因此以二进制包数 b 作为“能各自失败的单元数”的代理；b 下降即一次合并的代理。这个代理的已知不足是：二进制包之间仍可有依赖关系，所以 b 是上界；包名改动会被误判为消失，因此只统计两版本中源码包名相同的配对。
有一处必须先说清：本栏此前有一篇曾用过同一批归档的另一组字段。两次取的字段不同（那次取的是发行系列的有效期与支持标记，这次取的是源码包与二进制包的产出关系），但数据来自同一个归档，因此两次检验不构成互相的独立验证，同一批数据只能算一次。
假设
预注册的判定线
实测
判
H1 相邻版本间同名源码包 Δb ≤ 0 的占比
≥ 0.60
0.8974 / 0.9336 / 0.9511 / 0.9597 / 0.9510 / 0.9527
字面通过，实质无信息
H2 合并组的二进制包带合并留痕字段的比例
≥ 0.50
近距 0.6115（对照 0.3313）；远距 0.2947（对照 0.4382）
近距通过，远距反向
H3 元数据字段中记录“合并后两侧是否仍能各自失败”的覆盖率
= 0
55 个字段，覆盖率 0.0000
通过
H4 只产出一个二进制包的源码包占比随版本单调上升
无一次下降
0.5462 / 0.4474 / 0.4417 / 0.4922 / 0.5105 / 0.5159 / 0.5141
判负
H1 的占比在六次版本跃迁上全部超过 0.90，看上去是一次漂亮的通过。它不是。这个占比被“b 根本没变”的那一大批包主导了——六次跃迁里，未变动的配对分别是 1798、1662、1711、1898、2040、2074 个，而变动的只有一两百个。把不变算进“合并”一侧，等于用一个恒真的分子去除以一个大分母。
剥掉不变的，只看真正变动的那一批，合并所占的比例是：0.3155、0.6361、0.7586、0.6654、0.4581、0.3614。方向在摆动，中位数约 0.55，两端甚至是拆分占优。本文原本打算主张的那句更强的话——“每一次恢复都在做合并”——不成立，被自己的数据推翻。
这处失手改变了本文的承重命题。原来的主张是频率主张（合并比拆分频繁），现在改成不可逆性主张：
合并不比拆分频繁；合并的特殊之处在于它几乎不被撤销，而拆分常被撤销。
顺着上一条往下追，得到本次检验中最结实的一组数。把七个版本里全程在场的 1404 个源码包逐个取出它的 b 序列，统计两类事件此后有没有被抵消：
口径
合并事件数 / 此后被关回
拆分事件数 / 此后被撤销
比值
全窗口（不限其后版本数）
623 / 88 = 0.1413
495 / 153 = 0.3091
2.19
其后 1 版内
582 / 45 = 0.0773
440 / 62 = 0.1409
1.82
其后 2 版内
518 / 57 = 0.1100
372 / 120 = 0.3226
2.93
其后 3 版内
406 / 60 = 0.1478
313 / 127 = 0.4058
2.75
每包只计第一次事件
477 / 70 = 0.1468
325 / 119 = 0.3662
2.49
四种口径一致：合并被关回的比例在 0.077 到 0.148 之间，全部低于本文写死的判定线 0.20；拆分被撤销的比例在 0.141 到 0.406 之间，全部高于合并侧，比值稳定在 1.8 到 2.9。窗口做了配平（只取其后确有相同版本数可观察的事件），每包只计一次的口径也做了，结论不随口径改变。
这一组数不是本文预注册的主假设，是被主假设的失败逼出来的。本文按诚实要求把它标为探索性结果，并在证伪条款里给出一条独立的、可在别的数据上重做的检验（见第十四节 F2）。
H2 原本是想证明“合并在包管理层面是留痕的”。近距（最近一次版本跃迁）成立且有对照组差异：合并组的二进制包带留痕字段的比例是 0.6115，未变动组只有 0.3313。但十二年的远距比较反向：合并组 0.2947，反而低于未变动组的 0.4382。
追下去发现了原因，而这个原因比原假设有意思：合并留痕本身是有保质期的。在长跨度合并的 314 个源码包里，中途版本确曾带过留痕字段的有 142 个，而到最新版本已经完全不留任何留痕的有 39 个，占 27.46%。也就是说，包管理体系确实要求合并时留痕，但那份留痕的目的是让升级不出错；等到不再需要为升级兜底，它会被当作历史包袱清掉。
必须同时说清这一条的限度：全库带留痕字段的比例在七个版本上是 0.2770、0.2516、0.2332、0.2773、0.2642，没有单调下降。所以“痕迹被系统性清除”只能主张为部分（约四分之一），不能主张为普遍。本文按偏严一侧写。
最稳的一层在这里。最新版本主组件的二进制包索引共 6099 条，字段全集 55 个，逐个看过：
Package、Architecture、Version、Priority、Section、Origin、Maintainer、Bugs、Filename、Size、四种校验和、Description、Installed-Size、Depends、Pre-Depends、Recommends、Suggests、Enhances、Breaks、Conflicts、Replaces、Provides、Multi-Arch、Built-Using、Task、Essential、Protected 等等。没有任何一栏记录“这一次合并把哪两个原本可以各自失败的单元并成了一个”，也没有任何一栏记录关回的时刻。覆盖率 0.0000。
最接近的四栏是 Replaces（0.277）、Provides（0.192）、Breaks（0.188）、Conflicts（0.108）。它们确实是为包被合并、改名、取代而设的，Debian 政策为此有专门条款。但它们记的是升级冲突怎么解决，不是独立性有没有丧失。这是一个很干净的分界：
字段存在，而它回答的是另一个问题。装了这个包会不会跟那个包打架，有四栏管；这两个包从此会不会一起坏，一栏也没有。
这一条同时是本文分层引用结构里最容易检验、也最不依赖前两层的一层：即使合牵这个构念被推翻，即使那张单位改写表被证明不好用，“公开记录里没有这一栏”这件事仍然成立，而且任何人半天之内可以在别的记录体系上复核。
跨域不是单向取材。三门里有三处反过来削弱了本文原本打算主张的东西，逐条写清削掉了什么。
本文原本会写下这样一句更强的话：分界应当尽量保住，合并应当尽量避免。破产重整法把这句话拿走了。分组正是重整得以完成的条件——若每一个债权人都能单独反对，任何计划都通不过，组织只能被拆散清算。合并在那里不是代价，是使恢复成为可能的手段本身。
削掉之后，本文只剩下一个弱得多、但站得住的主张：合并不必避免，关回的时刻必须有人写。这是价值排序上的一次实质让步——本文从此不能被引用为反对协同、反对拉通、反对打破壁垒的论据。
本文原本会写下：被打通的地方总是可以被关回的，问题只是有没有人去关。食品工程把这句话拿走了。冰晶一旦粗化，不能靠“关回去”复原；要恢复原来的晶粒分布，只能重新经历一次完整的冻结循环，而那要求先把整包东西全部融化。
于是本文的适用范围收缩到两类系统：分界的重建成本有限的，或系统能承受一次受控的全融的。对不能全融、而分界重建成本又极高的系统，本文只能给出一条负面判断——这一处已经不可复原——给不出处方。哪些系统属于这一类，本文没有判据，如实记为一个洞。
本文原本会写下：m 可以事后逐处清点出来。埋藏学把这句话拿走了。时间平均意味着，一旦经过足够长的时间，“哪两个单元原本可以各自失败”在事后不可判定；能读出的只有当下的连结状态，读不出它是什么时候、由哪一次打通造成的。
因此本文必须补一条硬纪律：m 是现场读数，不是事后重建的读数。它必须在扰动的收尾环节被记下，过了那个窗口，能做的只有从现在起开始记。这一条同时说明了为什么第七节的第一步（在收尾清单里加一栏）比它看起来更要紧——它不是一件文书工作，它是这个读数唯一的取得时机。
类比是“像”，兑现是“在那个领域里也能据此预测一件具体的事”。下面十二处各给一条可去核对的预测。
领域
打通的那一处
可核对的预测
医院护理
两个病区共用候补人力池
共用池建立后的第二个年度，两病区同时减员事件的比例上升，而单病区减员事件比例下降；两者之和不变
堤防与分洪
应急分洪口未回填
在有历史分洪记录的圩区中，回填有明确日期者的联合受淹频次低于无日期者
电力系统
解列后并列
有操作票制度的调度单位，其“并列后未恢复原接线方式”的条目数接近零；没有操作票的低压侧则不然
软件仓库
两个包合并为一个
合并后的包，其严重缺陷同时影响两类用户的比例上升；而缺陷总数不上升
企业组织
两个部门共用一名关键岗位
该岗位缺席时两个部门同时停摆的次数上升，而该岗位的绩效读数改善
财政专项
两项专项资金归并使用
归并后，某一项被压减时另一项同步被压减的年份占比上升
供应链
双源改单源的应急切换未切回
切回有记录的企业，其单点断供事件的影响面小于无记录者，而两者的采购成本无系统差异
家庭分工
一次疾病期间的角色接管未交还
接管未交还的家庭，在下一次任一方生病时的整体运转中断时长更长，而日常满意度读数不低
消防分区
防火门被长期常开
常开门所在楼层，一次火情蔓延至相邻分区的比例上升，而日常通行效率读数改善
数据系统
两套库为救急互相直连
直连未拆除者，其一次故障导致双库同时不可用的比例上升，而查询延迟读数下降
生态修复
两个生境斑块之间的应急廊道
廊道保留者在一次病害中两斑块同时受损的概率上升，而物种流通读数改善
个人生活
一次危机中把工作与生活的界限打通
界限未恢复者，在下一次任一侧出问题时另一侧同时受影响的概率上升，而危机期的应对速度更快
十二处里有一个共同的形状值得单独指出：每一条的后半句都是一个改善。这不是修辞安排，是第五节第一条签名的必然结果——若合牵伴随的是恶化，它早就被发现了。
下面十位是最容易与本文混为一谈的既有说法。每一位写四件：出处、它说到哪一步、分离线、以及一条判定形式。判定形式的意思是：观察到什么就说明本文对而它错，观察到什么就反过来。凡是写成“本文更强调、更深入、视角不同”的，等于承认被覆盖，这里一条都不写。
松散耦合（Weick, K. E., 1976, Administrative Science Quarterly, 21(1), 1–19）。它说到哪一步：组织的各部分之间连接可松可紧，松则一处出事不牵动全局，紧则相反，而教育组织多半是松的。分离线：松散耦合是一个结构属性，它的强度在无扰动期就可以评估，而且它把耦合当作系统的一种状态；本文说的是一次一次的事件——哪一处、在哪一次扰动里、被哪一份工单打通、有没有关回的日期。判定形式：若观察到耦合强度评级不变而合牵数 m 上升，且下一次扰动的波及范围扩大，则本文对而它不覆盖；若 m 恒为 0 而波及范围仍随时间扩大，则本文错。
近可分解性（Simon, H. A., 1962, Proceedings of the American Philosophical Society, 106(6), 467–482）。它说到哪一步：复杂系统多半可以近似分解成层级子系统，子系统内部互动强、子系统之间互动弱，因而可以分开研究、分开演化。分离线：它把分解结构当作系统的给定架构，问的是“它是怎么分的”；本文问的是“它这一次少了几道分界，而谁负责把它加回来”。判定形式：若两个近可分解度相同的系统，其 m 不同而下一次扰动的波及范围随 m 而不随分解度变化，则本文对。
必要多样性定律（Ashby, W. R., 1956, An Introduction to Cybernetics, Chapman & Hall）。它说到哪一步：只有调节器的多样性不小于扰动的多样性，扰动才可能被压住。分离线：它算的是调节器的状态数，是一个能力读数；本文算的是承担者的可分性，是一个结构读数，而且本文主张这两者可以背离——调节能力上升的同时可分性下降，正是本文所说的那一类恢复。判定形式：若观察到调节手段种类增加而 m 同步上升、下一次扰动的波及面扩大，则本文对而必要多样性不足以解释。
生态韧性（Holling, C. S., 1973, Annual Review of Ecology and Systematics, 4, 1–23）。它说到哪一步：韧性是系统吸收变化并保持关系存续的能力，与工程上的“回到平衡点有多快”是两回事。分离线：Holling 把韧性定义在系统整体上，问它会不会翻到另一个吸引域；本文不问吸引域，问的是这一次翻回来的路上，几处分界被并掉了。判定形式：若两个系统在吸引域宽度上相当而 m 不同，且扰动的实际波及面按 m 排序，则本文补的是它没有的那一格。
自我概念的分隔化（Showers, C. J., 1992, Journal of Personality and Social Psychology, 62(6), 1036–1049）。它说到哪一步：一个人的自我概念可以是分隔的（好的一面与坏的一面分属不同的自我方面），也可以是整合的；分隔化在积极面占优时有利，在消极面占优时反而放大打击。分离线：它测的是评价内容在自我方面之间的分布，是一次横截面的问卷读数；本文测的是一次具体的危机之后，哪两个生活领域被打通而没有被分回来，且要求指到具体的事件与日期。判定形式：若分隔化量表分数不变而 m 上升、下一次打击的跨领域扩散加剧，则本文对；若 m 上升而扩散不加剧，则本文错。这一位是心理学内部离本题最近的一位，本文不回避它。
常态适应负荷（allostatic load；Sterling, P. & Eyer, J., 1988, in Fisher & Reason eds., Handbook of Life Stress, Cognition and Health, Wiley；McEwen, B. S., 1993, Archives of Internal Medicine, 153(18), 2093–2101）。它说到哪一步：每一次应激调节都有代价，代价在体内累积，长期累积导致多系统损伤。分离线：它是一个存量在增加，可以在无扰动期用一组生物标志物读出来；本文是一个可分数在减少，且在无扰动期读不出来。两者可以背离：负荷读数完全正常而可分性已经耗尽。判定形式：若负荷指标在正常范围内而 m 已高、下一次扰动一次扫过多个系统，则本文说的不是负荷；若两者始终同向，本文应当被它吸收。
寻常的魔法（Masten, A. S., 2001, American Psychologist, 56(3), 227–238）与韧性作为常见轨迹（Bonanno, G. A., 2004, American Psychologist, 59(1), 20–28）。它们说到哪一步：韧性不是稀有的英雄品质，而是普通适应系统正常运作的结果；多数人在重大丧失之后走的是稳定轨迹。分离线：它们描述的是结局的分布，回答“多少人恢复了、恢复得怎么样”；本文问的是恢复完成之后的那一个动作，它对结局分布没有直接主张。判定形式：若在同一条“已恢复”的轨迹内部，m 高者的第二次事件反应更重，则本文补的是它们没有分开的两类人；若 m 与第二次反应无关，则本文对这一领域无话可说。
常态事故与紧耦合（Perrow, C., 1984, Normal Accidents: Living with High-Risk Technologies, Basic Books）。它说到哪一步：交互复杂加上紧耦合，事故就成为系统的正常产物，无法靠加装安全装置消除。分离线：Perrow 把紧耦合当作技术的既定属性来分类系统；本文说紧耦合有一部分是被一次次成功的救援长出来的，而且长出来的那一部分不在设计图上。判定形式：若同一套技术在两个组织里表现出不同的耦合紧度，而差别可由各自的 m 解释，则本文对。
有效多样性数（Hill, M. O., 1973, Ecology, 54(2), 427–432；Jost, L., 2006, Oikos, 113(2), 363–375）。它说到哪一步：一个群落的“有效物种数”不等于名义物种数，要按丰度加权算出来；这套算法把“名义数与实际数不同”这件事做成了标准工具。这是本文方法上最危险的一位——它的形式与本文一模一样：名义单位数不等于有效单位数。分离线有两条。其一，有效多样性数是一次横截面计算，只要有丰度表就能算，不需要任何扰动；本文的 m 需要一次扰动或一次受控试撤才能读出。其二，有效多样性数按丰度加权，均匀度越高它越大；本文按“能不能各自失败”计数，与丰度无关。判定形式：若在有效多样性数最高的那一批系统中出现 m 最大的个体，且它们的扰动波及面按 m 而不按有效多样性数排序，则两者是两样东西；若二者的秩相关高于 0.6，本文应当并入这套算法而不是另立一个读数。
共因失效分析（common cause failure；Fleming, K. N., 1974, Proceedings of the Annual Reliability and Maintainability Symposium；IEC 61508 系列标准）。它说到哪一步：冗余部件可能因同一个原因同时失效，可靠性计算必须为此加一个因子。分离线：共因失效问的是“有没有一个共同的原因”，它的对象是原因；本文问的是“这两处之间有没有一条被打通而未关回的通路”，对象是通路，且本文说的这条通路多半不是共同原因，而是一条被临时借用后忘了还的路径。判定形式：若一次同时失效可以追到一条具体的、有打通记录而无关回记录的通路，而找不到任何共同原因，则本文对而共因分析漏了它。
上面五位里，有五个人从五个方向逼近同一件事，而都差最后一步：必要多样性定律问的是调节器够不够多，近可分解性问的是它是怎么分的，松散耦合问的是连得紧不紧，响应多样性问的是功能重不重复，有效多样性数问的是名义数与实际数差多少。五位全部把“分界的数目”当作系统的一项属性、一个设计选择或一次横截面的计算结果。
没有一位问：这些分界是在哪一次恢复里、被哪一个动作合掉的，以及合掉之后有没有一次关回的记录。本文补的正是这一步。这不是说五位不够深入——他们各自的问题结构使这一步成为不必要：Ashby 的问题是调节的下界，分界从哪来不影响下界；Simon 的问题是复杂系统为什么能演化得快，分界的来历不影响演化速度；Weick 的问题是组织为什么不像理性模型那样运转；Hill 的问题是怎样让不同群落的多样性可比。一个领域看不见什么，多半不是它的缺陷，是它的问题结构的影子。
本栏近期有几篇在形式上与本文相邻，必须逐一分开，各给一条判定形式。
《绝摘》问的是一个部件还能不能被单独摘下来，它是一个静态的可摘性等级；本文问的是一次恢复过后被打通的连接有没有被关回，它是一个带日期的事件计数。判定形式：若观察到可摘性等级不变而 m 上升、下一次扰动波及面扩大，则两者是两样东西；若两读数的秩相关高于 0.4，两篇应当合并处理。
《空承》问的是一项工作的名义归属方最近一次自己完整执行是什么时候，它数的是承载的迁走；本文数的是分界的合并。两者可以独立发生：一处工作被别人接走（空承）而两处仍能各自失败；两处被合牵而各自的工作仍由各自完成。判定形式：若一个系统 m 高而空承距为零，则两者分开成立。
《壳存》说的是一样在流程图上没有位置、不参与任何转化而决定可及性的东西；本文说的是流程图上有连线、而这条连线的关回没有记录。判定形式：本文的第三栏总能指到一条具体通路，《壳存》的对象指不到——若某次分析里指得到，那是本文的对象不是它的。
《隔计》说的是一个退出者的价值由本行当之外的计价者赋予；本文与计价无关。两者唯一的接触面是都用了“隔”这个直觉，而所指完全不同：那一篇的隔是计价口径的隔，本文的隔是失败传导的隔。
另有两篇与本文同期、同一个题面家族，必须单独处理——它们是本文最近的两位，而彼此通常互不引用。
一篇问的是“它还是不是它”：一次改变里同时属于改变前与改变后的那一份，是判定同一性的材料。它数的是跨过那次改变的东西；本文数的是改变之后没有被关回的连接。两者的对象方向相反——一个看两侧共有物，一个看两侧之间的通路。判定形式：若一次改变里两侧共有物很多（同一性判定毫无困难）而 m 同时很高、下一次扰动波及面扩大，则两者是两样东西；若“共有物为零”的那一类恰好总是 m 最高的那一类，两篇的读数不独立，应当合并处理。
另一篇问的是“为什么没塌”：过渡期在场、实际承担、而两端名册都查不到的那一类承担者。它的对象是人或单位在名册上的缺席；本文的对象是通路在记录上没有关回。两者可以独立发生：一个系统可以每一位承担者都在册（该篇的名单为空）而两处之间的通路一处也没关回（本文的 m 很高）；反之亦然。判定形式：若两篇的读数秩相关高于 0.5，应当合并；低于 0.3 则各管各的一段。
三篇的分工可以写成一行：还是不是它 ｜ 这一次为什么没塌 ｜ 下一次还扛不扛得住。本文只管最后一段，而且只管那一段里的一个动作。
先写出最强的竞争解释，那句最朴素、最难反驳的“其实不就是……吗”：其实不就是系统变复杂了吗。规模扩大、耦合增多、依赖变密，下一次扰动波及面当然更大，跟“有没有关回”没关系。
要排除它，需要一个只有本机制成立才会出现、而复杂化解释预测不出的独有变量：关回记录的有无。复杂化解释预测波及面随规模与连接数增长，而与“这些连接里有多少是应急期打通并留下的”无关。因此全部证伪条件都要在控制规模与连接总数之后，看这个独有变量还起不起作用。
F1（主件，控制竞争解释）：控制系统规模与连接总数后，若合牵数 m 与“一次扰动的波及单元数”之间不存在剂量—反应关系，则本判断为伪。样本纪律：同一制度环境内的同质多单元，N ≥ 6，如同一集团下的多家工厂、同一路局下的多个站段、同一医院的多个病区；严禁用两个国家或两个行业充数。
F2（本次真跑那一条的独立重做）：在任何一个有版本序列的公开记录体系中，合并事件此后被撤销的比例应低于 0.20，且低于同一体系中分开事件被撤销的比例。若在两个互相独立的记录体系里，这两个比例的差不显著，或方向相反，则本文第十节剥出来的那条不对称为伪。
F3（第三层，最便宜）：在任意三类公开的运行记录（应急响应收尾单、变更管理记录、演练复盘报告）中，设有“本次打通处”或等价栏目者的比例低于 5%。若高于 20%，本文的第三层主张不成立，本文应当降级为对既有做法的一次说明。
F4（正向的顺序预测）：在同一系统内，某处连接的打通日期应当早于该处出现“两侧同时失效”的第一次记录，且中间不存在关回日期。若观察到大量同时失效的处所其打通日期晚于首次同时失效，则因果方向反了。
F5（轮次预测）：若本文成立，在一个建立了关回制度的系统里，第一轮扰动之后 m 应回落，第二轮扰动的波及面应小于第一轮同等强度扰动的波及面；若两轮波及面无差别，则关回这一动作不承重。
F6（正交性）：若 m 与现有的成熟指标（可用率、平均恢复时间、耦合度评级、有效多样性数）中的任意一个秩相关高于 0.6，则 m 是那个指标的代理，本文白造，应当并入。
F7（最小实验）：取同一组织内 12 个可比单元，在一次真实的小型扰动收尾时，随机对其中 6 个执行“逐处关回并留下日期”，另 6 个照旧。半年后比较两组在下一次扰动中的波及单元数。本文预测执行组更小。若无差别，或执行组反而更大（因为关回制造了新的摩擦），本文为伪。
F8（编码稳健性）：任何以文本匹配或字段有无为基础的 m 读数，必须先声明归一化规则，并报告两种合理编码下的结果。若同一份记录在两种合理编码下的 m 相差超过两倍，则该次读数不可用。这一条是从本栏此前一次踩坑里搬来的。
如果本判断被证伪，我们会学到什么：如果 F1 落空，说明波及面确实由规模与连接总数决定，那么干预的正确方向是控制规模而不是管理关回，这与现在的通行做法一致而与本文相反；如果 F3 落空，说明这一栏其实已经被广泛记录，本文的价值就只剩下把它命名了一次。
到 2033 年 12 月 31 日之前，在应急管理、运维变更或安全生产三类公开的行业标准、规范或监管要求中，至少有一类把“本次应急期间打通的连接处及其关回时刻”列为收尾环节的强制填报栏目。
本文押它不会发生。写死什么不算命中，共五条：
笼统要求“恢复正常状态”不算——它没有具体的清点对象，也没有日期栏。
只要求机构自行说明“已恢复原状”而不要求给出逐处的关回日期，不算。
只出现在事故调查报告的建议部分而未进入常规填报栏目，不算。
只在演练脚本中出现而不适用于真实事件，不算。
把它写成一份提醒或倡议、没有任何环节会因它未填而停下来，不算。
单一口径提示：本条赌注中的“关回时刻”与第六节的定义、第十四节的判定线完全一致，同一份编码规则，阈值同为 0.20。
一个判断若不说清它在哪里不成立，它就不能被检验。本文有五条不适用，逐条写死。
其一，单元本来就不可能各自失败的系统。一根钢梁的两半、一块芯片的两个区域、一个细胞内部的两条通路，它们之间不存在“可以各自失败”的原始状态，因而没有分界可合。把本文往这类对象上套，得到的只会是一个比喻。
其二，名义单位每次扰动都重划的系统。有些组织每年重组一次，扰动前后的单位表根本不可比，单位改写表的第一栏与第二栏填不出来。对这类系统，本文只能提出一个更弱的问题：这一次重划把哪几处原本分开的合到了一起，而这个问题的答案通常没有人保存。
其三，分界的重建成本极高而系统又不能承受一次受控全融的场合。这是第十一节第二条约束划出来的地带。本文对它只能给出负面判断——这一处已经不可复原——给不出处方，而哪些系统属于这一类，本文没有判据。
其四，扰动之后已经过了记录窗口的场合。埋藏学那一条约束在这里生效：过了窗口，能读出的只有当下的连结状态，读不出它是哪一次打通造成的。这时唯一诚实的做法是从现在起开始记，而不是回溯重建一个假的 m。
其五，个人的心理与关系领域，本文只提供一个提问方式，不提供判据。第十三节已经点了自我概念分隔化那一位，那是这一领域里最近的说法。本文不主张一个人应当在危机之后把生活的各部分重新分开——很多时候不分开正是活下来的原因。本文只主张：那一处打通有没有一个被说出来的时刻，比它有没有被关回更要紧。
一个判断若被制度采用，最省事的实现方式往往恰恰摧毁它要保护的那样东西。本文的反噬有三条，全部写在这里，不放在脚注。
第一条：m 一旦进入考核，最省事的达标法是在文书上把两处写成两处。改组织图、改命名、把共用的池子拆成两个名字而实际调度仍然一起走——这在记录上与真正的关回完全一样，而在下一次扰动里毫无作用。这一条与本文的编码规则第二条（关回记录必须独立于打通方）有部分对抗能力，但只有部分：独立的记录也可以是形式上的。
第二条，更危险：为了让 m 好看，拒绝在真实扰动中调用别处的余量。这会直接杀死恢复本身。本文的第五步次序里说得很清楚，打通是恢复的定义，不是恢复的缺陷。一个把 m 当作扣分项的机构，最终会培养出“各扫门前雪”的应急文化，那比合牵坏得多。
第三条：把关回做成一次仪式。走完流程、签完字、开完会，而通路仍在。这一条的识别办法是问那句零情态词的问话，问的是日期与记录，不是问程序有没有走完；但一个足够正规化的机构可以把日期与记录也做出来。
三条合起来，本文看不到出口。一个读数一旦进入考核，最省事的达标法通常就是在文书上做手脚，而本文提出的这个读数尤其如此——因为它的对象本来就是“记录里有没有那一栏”。本文不能靠再加一层记录来解决记录被伪造的问题。这一处如实写下：我看不到出口。
本文的产物是一个可以被拿去考核人的整数，因此必须写死三条，缺一条这篇稿子不该被发表。
其一，这个读数指的是位置，不是人。m 记的是某一处连接的状态，不是负责那一处的人的能力或态度。一处合牵之所以存在，恰恰是因为没有人负责关回——把它算到某个人头上，是把本文的核心判断读反了。
其二，不得为了把这个数做好看，而在安全关键的系统里制造分离或安排轮换。在电力、医疗、化工、交通这类系统里，一处连接是否该关回是一个专业判断，必须由该系统自己的规程决定；本文提供的是一栏记录要求，不是一条操作指令。
其三，已经据此对某个单位或个人作出不利安排的，必须公开编码规则并给出复核通道。第六节的清点手册就是为此写的：粒度、编码规则六条、表头、不适用范围，全部可核，任何被评的人可以拿同一份规则重算一遍。
另加一条不属于三条之内的提醒：本文不建议任何人拿这个构念去解释自己或亲近的人在一次危机之后的状态。第十六节第五条已经说明，个人领域里本文只提供提问方式。把“我被合牵了”当作一个自我诊断，既没有判据，也没有处方。
反身的发生不可自我封顶。本文提出的判据必须对本文自己适用，而适用的结果不利于本文。
本文的三门是三个原本可以各自失败的单元。在开工之前，埋藏学的结论、冻结食品工程的结论与破产重整法的结论互不相干：任何一门被推翻，另外两门照样成立，这正是三条支撑必须互不包含的意思。而写作过程做了什么？它为了让一个判断站住，把三门的材料互相调用了——用食品工程的材料去推翻三家共有的前提，用埋藏学的约束去限制读数的可得性，用破产重整法的反例去拿掉本文的价值排序。
按本文自己的单位改写表填一遍：扰动前的单位是三门各自的结论；扰动后的名义单位仍然是三门（本文通篇都在说“三门”）；本次打通处三条，逐一可指；关回时刻——空白。本文没有做过任何一次“把三门重新分开、看拿掉一门之后判断还站不站得住”的检验。
所以本文的 m ＝ 3，关回率 ＝ 0，本文自己正落在这一格里。这不是一句自谦，它有具体后果，写死三条：
后果一：本文此后不能被引用为“三条独立证据支持同一判断”。三门在本文里已经被合牵，它们的支撑不再互相独立；一门若被推翻，另外两门在本文语境里的可信度会同步下降。任何引用本文的人，应当把它读成一条判断加三处例证，不是三次独立验证。
后果二：本文的第十节真跑与第十四节 F2 用的是同一个归档、同一套代理，而本栏此前另有一篇也用过这个归档。三次取的字段不同，但同一批数据只能算一次。本文不能用“已经跑过了”来抵挡 F2 要求的独立重做。
后果三（自减条款）：本栏此后凡以“三门互不相通、因而构成三条独立支撑”为前提的篇目，须先做一次逐门移除检验——拿掉一门，看承重命题还成不成立——并把结果写进正文。本文自己没有做，如实记为亏欠。
还有一处更难看的。本文批评所有人不给关回留一栏，而本文自己在写作过程中打通的那三处，也没有留下任何关回的时刻——正如第七节所说，关回不产生产出，不做也没有人会发现。本文是它自己所描述的那样东西的一个标本，且是一个新鲜的标本。
洞一：分不开“没有关回”与“关回了但没记”。第九节给出的辩护是沉默的方向固定，这个辩护在有变更管理的组织里站得住，在没有的地方站不住。而恰恰是没有变更管理的地方，合牵最可能高发。本文对这一段没有办法。
洞二：判定线 0.20 没有理论来源。它是本文写死的一个数，写死是为了让赌注可裁决，不是因为 0.20 有什么性质。真跑的结果落在 0.077 到 0.148，都在线下，但那只说明这一次没有踩到线上。任何一次落在 0.18 到 0.22 之间的读数，本文都无法给出理由说该判哪一边。
洞三：合牵与“本来就该合”分不开。第四节的第一条限定要求打通必须是恢复所必需的，但很多合并事后看确实更合理——两个包合并是因为子包多年无人单独安装，两个病区合排是因为规模本来就不该分开。本文没有判据能在事前分开“合牵”与“一次迟到的正确重组”。本文能说的只有：无论哪一种，那一栏都该有人填；而这一句比本文原本想说的弱。
生命韧性的发生，不是一个从损伤走向新稳态的连续过程，而是一条有五个步骤的次序，其中第三步没有工序、没有产出、没有责任人，因而在绝大多数系统里被整体略过。略过它不需要任何人决定；每一次成功的恢复都在悄悄地把两处原本可以各自失败的地方并成一个，而名义单位数、总量与全部恢复指标毫发无损。
本文把这一份被打通而未被关回的连接命名为合牵，给出了一张四栏的单位改写表、一个整数读数与一条判定线，并把插手点定位在第三步。本文用七个公开归档做了一次预注册检验，主假设的判定线被证明设错，方向性主张被自己的数据推翻；被逼出来的那条不对称——合并极少被关回，而分开常被撤销——在四种口径下一致。本文据此把承重命题从频率改窄为不可逆性，并把三处不利结果全部留在正文。
如果本文只剩下一句话可以带走，那就是那句不含程度词的问话：
上一次扰动过后，被打通的那几处，有没有一次被关回的记录？关回的日期是哪一天？
这句话不问任何人的判断，只问记录。而在目前能查到的绝大多数记录体系里，它的答案是同一个：没有人管这个。
日期：2026 年 8 月 13 日。检验对象：核心构念的可清点性，以及第三层主张“记录里没有这一栏”。
数据源：Ubuntu 官方归档，七个长期支持系列（14.04 / 16.04 / 18.04 / 20.04 / 22.04 / 24.04 / 26.04）的主组件源码包索引与二进制包索引，公开、可复算、任何人可重跑。
代理变量：一个源码包为一次被维护的整体；其产出的二进制包可被单独安装、卸载、降级、出问题，故以二进制包数 b 作为“能各自失败的单元数”的代理；b 下降为一次合并的代理。已知不足：二进制包之间仍可有依赖，b 是上界；包名改动会被误判为消失，故只统计源码包名相同的配对。
假设与阈值（先写死，事后不改）：H1 相邻版本间同名源码包 Δb ≤ 0 的占比 ≥ 0.60；H2 在 Δb < 0 的源码包里，后一版本的二进制包带合并留痕字段者 ≥ 0.50；H3 二进制包元数据的字段全集中，记录“合并之后两侧的失败是否仍互相独立”的覆盖率 = 0；H4 只产出一个二进制包的源码包占比随版本序单调上升，出现任何一次下降即判负。
统计口径：每版只取主组件源码索引，一次下载，不抽样；Δb 的粒度为一个源码包在一次版本跃迁中记一条，不按包大小加权；报告全部四条的结果，含判负的，一并写进正文。
扰动前的单位
扰动后的名义单位
本次打通处
打通日期
关回时刻
备注
填表时机：应急响应的收尾环节，不是事后复盘。过了这个窗口，第三栏不可重建。
第三栏的粒度：一对单元之间的一条通路记一行。人员、床位、账目三种通路记三行，不是一行。
第五栏必须是日期，且记录须独立于打通方；打通方自述“已恢复原状”不填入。
第五栏空白即计入 m；若确无记录，备注栏标“无记录”。
名义单位数发生变化的，不填本表；那是重组，另有一套办法管。
最近一次扰动之前的正式文件里已经存在的通路，不填本表；那是常设机制。
Ashby, W. R. (1956). An Introduction to Cybernetics. London: Chapman & Hall.
Baird, D. G. (1986). The uneasy case for corporate reorganizations. The Journal of Legal Studies, 15(1), 127–147.
Behrensmeyer, A. K. (1978). Taphonomic and ecologic information from bone weathering. Paleobiology, 4(2), 150–162.
Bonanno, G. A. (2004). Loss, trauma, and human resilience. American Psychologist, 59(1), 20–28.
Donhowe, D. P., & Hartel, R. W. (1996). Recrystallization of ice in ice cream during controlled accelerated storage. International Dairy Journal, 6(11–12), 1191–1208.
Efremov, I. A. (1940). Taphonomy: a new branch of paleontology. Pan-American Geologist, 74, 81–93.
Fennema, O. R. (Ed.) (1996). Food Chemistry (3rd ed.). New York: Marcel Dekker.
Fleming, K. N. (1974). A reliability model for common mode failure in redundant safety systems. Proceedings of the Annual Reliability and Maintainability Symposium.
Hartel, R. W. (2001). Crystallization in Foods. Gaithersburg: Aspen Publishers.
Hill, M. O. (1973). Diversity and evenness: a unifying notation and its consequences. Ecology, 54(2), 427–432.
Holling, C. S. (1973). Resilience and stability of ecological systems. Annual Review of Ecology and Systematics, 4, 1–23.
Jost, L. (2006). Entropy and diversity. Oikos, 113(2), 363–375.
Kidwell, S. M., & Bosence, D. W. J. (1991). Taphonomy and time-averaging of marine shelly faunas. In P. A. Allison & D. E. G. Briggs (Eds.), Taphonomy: Releasing the Data Locked in the Fossil Record (pp. 115–209). New York: Plenum Press.
Levine, H., & Slade, L. (1988). Principles of cryostabilization technology from structure/property relationships of carbohydrate/water systems. Cryo-Letters, 9, 21–63.
Masten, A. S. (2001). Ordinary magic: resilience processes in development. American Psychologist, 56(3), 227–238.
McEwen, B. S., & Stellar, E. (1993). Stress and the individual: mechanisms leading to disease. Archives of Internal Medicine, 153(18), 2093–2101.
Perrow, C. (1984). Normal Accidents: Living with High-Risk Technologies. New York: Basic Books.
Showers, C. J. (1992). Compartmentalization of positive and negative self-knowledge. Journal of Personality and Social Psychology, 62(6), 1036–1049.
Simon, H. A. (1962). The architecture of complexity. Proceedings of the American Philosophical Society, 106(6), 467–482.
Sterling, P., & Eyer, J. (1988). Allostasis: a new paradigm to explain arousal pathology. In S. Fisher & J. Reason (Eds.), Handbook of Life Stress, Cognition and Health. Chichester: Wiley.
Voorhies, M. R. (1969). Taphonomy and Population Dynamics of an Early Pliocene Vertebrate Fauna, Knox County, Nebraska. University of Wyoming Contributions to Geology, Special Paper 1.
Weick, K. E. (1976). Educational organizations as loosely coupled systems. Administrative Science Quarterly, 21(1), 1–19.
11 U.S.C. §1122; §1129(a)(7); §1129(b)(2)(B)（美国破产法典关于债权分类、债权人最佳利益检验与绝对优先原则的条款）。
《中华人民共和国企业破产法》(2006) 第八十二条、第八十七条。
IEC 61508（功能安全标准系列，关于共因失效因子的处理）。
Ubuntu 官方归档（archive.ubuntu.com），dists/{trusty,xenial,bionic,focal,jammy,noble,resolute}/main/source/Sources.gz 与 main/binary-amd64/Packages.gz，取数日期 2026-08-13。
数据可复算说明与人机分工声明
数据可复算说明：第十节的全部数字来自上列最后一条所示的公开地址，取数与统计脚本为四个短脚本（索引解析、H1 与 H4、不对称检验、留痕检验），逻辑已在正文与附录一中完整描述，任何人可用同样的地址与同样的口径重跑。预注册文本先于取数写成，见附录一，事后未改动阈值。全部四条假设的结果，包括两条判负与一条“字面通过而实质无信息”，均已写入正文第十节。
人机分工声明：本文的选题、三门学科的指定、学科配置与成文要求由作者提出；材料梳理、结构组织、数据取用与初稿撰写在人机协作下完成；全部判断、取舍与对不利结果的处理由作者负责。文中不含任何未经核对的引注；凡本文无法确认出处的说法，一律未写入。
版本与字数：第一稿，2026 年 8 月。正文二十节，附录二则，参考文献二十六条。