关键词　概率判定；社会模拟；Moran’s I；置换检验；随机基线；可复现性

1　问题的提出

让大模型扮演「读者」，主流做法是生成式的：给每个人格一份档案，让它写评论、发帖子、互相转发。Generative Agents 是这条路线的代表 [1]。生成范式的问题在测量端：输出是自由文本，不可复现、难审计，而且贵。另一条路线是「硅基抽样」：Argyle 等人让模型以不同人格身份回答问卷，用概率分布预测人群态度 [2]；Santurkar 等人则发现模型的意见分布系统性偏向特定人群 [3]——这提示，若要用模型模拟人群，人格场必须是显式构造的，而不是指望模型「自己知道」边缘群体怎么想。

本系统取概率判定路线，并且把它推到底：模型不写一个字。判定模型（TypeSafe Jev [6]）只对类型化问题返回概率——多在意、选哪个反应、最高愿付多少；引擎基于开源项目 gaborishka/jevtown（MIT）[5] 的架构改造为中文版（其思路谱系源自 a16z 的 ai-town）：一个 Cloudflare Worker + D1 + 无框架前端，作者写一段文字，一万个 AI 人格在几秒内给出反应。

这样的反应场读数是否可信，本文拆成三个可检验问题：

• Q1（判别力）：真实判定与随机过程可区分吗？区分发生在哪个环节？
• Q2（空间结构）：「反应是成片的还是零散的」可测量吗？
• Q3（排序效度）：第一波发给「最可能在意的人」，这个排序的承诺兑现吗？

外加一条工程命题：读数可复现、成本可记账。

2　系统与方法

2.1　反应场的三要素

人格场。人格由 (池， 网格坐标) 经确定函数生成，不经 LLM、不入库：100×100 = 10000 格，一格一人；年龄沿 y 轴分布，主兴趣按 8 列分块——所以网格邻居就是相似的人，每格约 200 个同龄同好；城市按人口加权抽取。模型读到的是一行英文档案（”Yiran, 34, accountant, Chengdu; into gardening…”），界面显示中文词表——语言约定全文一致：题目指令用英文，被评文本保持作者语言。人格打包成 286KB 的整数字段文件，全城装载约 20 ms。

判定器。一次检查的流水线：开局一个请求打包三类题——对 60 组人群（市场类帖 83 组：额外加 19 项「想买」与 4 档预算）各一道五档在意度评分、7 道审核是非题、最多 3 道文本理解题；随后传播阶段每批 100 人、每人一道选择题（反应枚举随文本类型而异，如闲置帖：划走 / 停下 / 收藏 / 询价 / 举报）；收尾只问「停下的人」。三个关键语义：反应按模型返回的概率分布种子化抽样（种子含人格 id 与版本号，刷新重放同一批人）；单点最高概率低于 0.35 记为「模型在猜」，不强行归类；开局审核设双闸（任一审题概率 ≥ 0.5 不进公共流，≥ 0.85 拒发，阈值由 20 条文本标定：滥用类实测 0.89–0.99，严厉批评 / 骗局 < 0.3）。

传播层。四道波，新到达人数 600 → 1500 → 3000 → 其余；每波内含一小段随机尾巴（100/150/300 人纯随机入波）——每次检查自带一个从未上报的随机对照组（见 5.2）。净情绪 = 波内各反应的 tone 值之和 ÷ 人数；净情绪 ≥ 0.1 才续传下一波。

2.2　测量与验证口径

空间统计。反应场以 rook 邻接（上下左右，只连被判定到的格）的 Moran’s I 度量，显著性用置换检验：次数随判定人数收缩（≤2000 人 199 次、≤5000 人 99 次、否则 49 次），p = (1+极端数)/(1+置换数)，判定不足 30 人不出结论；置换种子取版本号哈希，回放可复现。局部热冷用原始态度而非离均差——中性多数派不应构成假冷区。仪器本身先过合成图校验：同值块 I = +0.798，正负棋盘 I = −0.500，全体同值无方差。两版文本的差分场（变好 / 变差）复用同一套统计。

差分口径。两版之差只统计两版都被判定到的人——只被一版排到的人不是「变中立」，是这次没轮到；「差 0」与「不可比」在编码上分开。

复现纪律。波次名单有逐行金样；219 个测试全部走 mock（测试禁止调用真实 API 是明文规则）；重构的行为保持不用肉眼验证，用旧代码跑今日金样——CSR 邻接重构时以 git archive 取旧版跑当前金样，16 行逐行相等、全城 exposure 逐位比对零差异。mock 通道的认识论地位由 ADR 明文规定：「mock 数字不可用于成本 / 传播预估」（实证见 4.3）。

2.3　成本与部署

记账按阶段（开局 / 各波 / 追问 / 收尾）记录 tokens、费用与模型耗时。实测：单波 600 人约 $0.0158 / 5.0 s；一条文本跑满 4 波（到达 2100 人）约 $0.032；三臂完整对照一条文本 $0.0894 / 212 万 tokens / 102 次请求；全城一万人估计 $0.10–0.15。默认通道为 Zen 免费档（$0）；访客可自带 key（BYOK，只存浏览器 localStorage，站方零 secret——上线一周后线上站方 key 实删核验）。限额只剩每 IP 每日 20 次检查，保护对象是 D1 的每日写入配额。

3　结果

3.1　判别力：与随机可区分，但方向反直觉

三臂对照（2026-10-02）：A 臂真实判定；B 臂纯随机——不看人、不看帖，在反应枚举表上均匀抽，零成本；C 臂洗掉形状——每人发全波平均分布，仍问模型。三臂同种子、同波次，模型的答案问一次三臂共用（漏了缓存就是三遍，实测第一版 128 次请求、修后 101 次）。抽样纪律：随机臂显式 Fisher–Yates 洗牌并断言三臂互斥——否则变成有放回，探针自己撞出过「两臂抽中同一个人 8554 次」。

B 臂四波全过、传遍一万人，各波净情绪 +0.155 ~ +0.190。这是构造决定的，不是模型强：均匀抽样的期望（+0.167，SD 0.687，600 人一波标准误 0.028）本就在续传闸门（0.1）之上。

A 臂给出真正的区分。三段文本，随机臂全部传遍一万人，真实判定给出 600 / 600 / 2100 的到达漏斗：咖啡馆转外卖帖第 1 波净情绪 +0.005（z = −5.76），第 1 波即停；二手电动车帖 600 人 1 波停；iPhone 转让帖 +0.102（z = −2.32）过闸，第 2 波 +0.02 后停在 2100 人。

结论因此转向：反应场的价值不在「让好文本传」——随机传得更彻底；在「把没人要的文本判死在第一波」。闸门的功能是判别，不是背书。

3.2　闸门低于随机基线：以自报告代替重标定

0.1 的续传阈值低于随机基线 +0.167，仓库报告的原话是：这条线画在「零信息」以下——净情绪落在 0.1 附近的一波，一个骰子也能掷出来。

处理方式不是重标定（那需要更多真实样本文本），而是把零假设交给读者：报告新增一节「和纯随机比，谁更想要它」，逐波给出 z 值与一句人话结论；z ≤ −2 时必须写明「这是真答案，不是没读出来」——防止把「模型判死」误读成「没判」。测量的自我怀疑做进了产品界面。

3.3　空间结构是可测量的

「这次反应是成片的还是零散的」由 2.2 的 Moran’s I 回答：三档结论（成片 / 零散 / 不可判），成片的格子可在地图上描环；整体零散时仍可能存在局部小簇。改一版再发后，同一套统计原样套在差分场上——「翻盘是成片的还是零散的」。邻接表折叠成 CSR 紧凑排布后，全城一万格的判定从约 9–10 ms 降到 7.7–8.0 ms，读数与旧实现逐位相同。具体文本的 I 读数随内容而变，本文不代读，读者可在站上对任意文本复现。

3.4　排序效度：第一波不是随机样本

第一波发给谁，由开局 exposure 排序决定：83 组在意度分的折立方加权和（兴趣 / 领域权重 1，年龄 0.6，「想买」1.5，预算 0.6）。对账用两条真实文本：

• 首末十档的停下率之比 28.92（另一条文本 14.49，乐见率之比 25.20）；
• 第一波 600 人中 505 人落在最高档（前 3 档合计 88%），这 600 人拿走全城 exposure 的 37.5%——随机期望只有 6.0%；
• 开局复读噪声 MAD 0.0042 / 0.0092，而首末档分差 0.850 / 0.643——信号比噪声大两个数量级。

这条结果有两面。正面：第一波的「最可能在意的人」承诺兑现了。反面：第一波的情绪读数系统性高于全城——它偏采的正是最在意的人。这正是每波埋随机尾巴的理由（5.2）。

3.5　显著分组是稀缺事件

反应按七维切片（兴趣 / 领域 / 年龄 / 性情 / 预算 / 购物 / 城市，共 115 项）。在停下人数 ≥ 8 的 97 个切片里，提升倍数过显著线（lift ≥ 1.3，切片另有最小样本门 25 人）的只有 8 个——最高 shopping:phone 16.81×，最低 city:昆明 1.56×。换言之，在这批文本上，反应主要由文本决定、不由人群决定；「哪个群体特别买账」是稀缺事件，值得单独报，而不是默认存在。

3.6　工程读数

三项与测量可靠性直接相关的工程事实。其一，收波统计从「每波全量读一万行」改为增量快照，每波只合并本波新行。其二，默认免费通道（Zen）对 Cloudflare Worker 的共享出口持续 429——按出口 IP 判、与 key 无关，浏览器直发又被 CORS 挡死；落点是客户端指数退避（2 s → 30 s 共六轮带抖动，409 认领冲突同样重试）。其三，2026-10-31 的全功能验收轮抓到一个潜伏六天的缺陷：缓存键碰撞使已完成报告的「人格声音」整节静默消失——「两次拉取逐字相同」类缓存断言对「第一次就算错」免疫，教训是这类断言必须配一份独立来源的对照。

4　讨论

4.1　与生成式社会模拟的分工

概率判定范式牺牲了人格声音的丰富性（折中是收尾提问：划走的人为什么走、停下的人会被什么留下，按概率和聚合），换来三样生成范式难给的东西：可复现（全链路种子化，刷新即重放）、可审计（概率即原始数据，每次判定可回放）、低成本（$0.016 一波）。生成范式与判定范式是同一光谱的两端，选择取决于你要叙事还是读数。

4.2　零假设应当内嵌在仪表里

传统 A/B 实验把 p 值报给内行；本系统把随机基线画进产品报告，让写作者自己看到 z 值。3.1 的教训是：一个不对照随机的传播读数是可以被骰子冒充的。下一步现成的改进是每波那段从未上报的随机尾巴——把内置对照组读出来，每次检查就自带一场免费的效度检验，而不必专门跑三臂。

4.3　mock 的认识论地位

mock 通道的存在是为了工程对拍，ADR 明文禁止它作为证据，背后是三次实证：mock 让 iPhone 帖传遍全城而真实判定停在 2100 人；一次两版对照实验里 mock 的 A−B 净情绪为 0.000（真实为 +0.330），且 mock 的停下率分组方向相反。假数据能验证管道，不能验证世界。

4.4　与棋类系统的呼应

同一个判定模型，在作者的棋类系统里充当「判断层」（见姊妹篇《廉价判断与确定性知识》）。两处合看有一个初步分界：棋类系统里，结构（接管链）承担了 65%–76% 的决策，随机判断与真实判断的冒烟差异不可检出；本系统里，结构只决定「谁能读到、按什么顺序」，「谁在意」必须由概率本身承重——于是随机与真实的差异恰好是全部产品价值。模型概率的边际价值，取决于结构给它留下了多大的发言空间。

5　威胁效度

5.1　构念效度：「净情绪」是被构造的量

反应枚举的 tone 赋值（乐见 +1、反感 −1 等）由人工定义；五档在意度折算到 0–1；「按概率抽样」与「期望值」是两种读数——前者含单次运气（种子固定后可复现），后者免请求但抹平个体。两者不可互换，报告需注明口径。人格档案为英文字段而界面为中文，判定过程存在语言错位，其影响未单独检验。

5.2　内部效度：偏置被测量后固定，而非消除

答案列表不洗牌——实测模型偏向排前的答案，处理方式是固定顺序并记录在案，让偏置在所有文本间恒定。三臂抽样的洗牌与互斥断言来自一次真实的错误（8554 次同人碰撞）。每波随机尾巴至今未上报，是现成而闲置的对照。

5.3　外部效度：单模型、单语、四预设

全部判定来自 jev-1.13 模型族的单一中文人格池与四类预设文本。上游项目曾提供「自定义受众」路径，实测其秩相关仅 0.264 后被弃用——「问模型它会怎么分群」不可靠，改为作者挑群体、与真实停下分布对账。结论向其他模型、其他语言、其他文本类型的推广未检验。

5.4　统计结论效度

置换检验次数（199/99/49）在万人样本上功效有限，故判定不足 30 人直接不出结论；分组显著线在文档与代码间出现过漂移（文档 1.6×，代码 lift ≥ 1.3 且 ≥ 8 人），以代码为准；闸门 z 值的判读纪律是「2 以上才算不是碰运气」。凡涉及个位数百分点的比较，须对照随机基线。

6　结论

本文的贡献不是「一万个 AI 人格」，而是把读者反应做成了一件测量仪器：可复现（全链路种子化）、自带零假设（随机基线进报告）、可做空间统计（Moran’s I 与置换检验）、成本可记账（$0.016 一波）。三个测量结果：判别力集中在「判死」而非「捧红」；传播闸门必须对着随机基线读；第一波的排序承诺兑现到 28.92 倍——但代价是它系统性地偏采最在意的人。

154 次提交里，直接与模型打交道的不足五分之一，其余是并发、缓存、限额、渲染与口径。这与姊妹篇的观察一致：智能的增量不在模型的权重里，在结构里；而结构的每一分都花得可见。

数据与复现

代码与实验记录在 https://github.com/tripodxu/jevtown，线上系统 https://jevtown.logicc.top，引擎基于 gaborishka/jevtown（MIT）[5] 改造。关键原始文档：docs/research/wave-baseline-report.md（三臂实验与随机基线）、docs/research/real-api-report.md（真实通道耗时与成本）、docs/research/exposure-calibration-report.md（开局排序对账）、docs/MEMORY.md（项目记忆，最新在上）。波次金样在 test/golden-waves.txt，空间统计在 public/shared/spatial.js，地形探针在 scripts/probe-terrain.js。判定模型的棋类用法见姊妹篇《廉价判断与确定性知识》。

参考文献

[1] Park J S, Popowski L, Cai C J, et al. Generative agents: Interactive simulacra of human behavior. Proceedings of the 36th Annual ACM Symposium on User Interface Software and Technology (UIST), 2023.

[2] Argyle L P, Busby E C, Fulda N, et al. Out of one, many: Using language models to simulate human samples. Political Analysis, 2023, 31(3): 337-351.

[3] Santurkar S, Durmus E, Ladhak F, et al. Whose opinions do language models reflect? Proceedings of the 40th International Conference on Machine Learning (ICML), 2023.

[4] Moran P A P. Notes on continuous stochastic phenomena. Biometrika, 1950, 37(1/2): 17-23.

[5] Habor I. gaborishka/jevtown [CP/OL]. GitHub, MIT License. https://github.com/gaborishka/jevtown.

[6] TypeSafe. Jev · System One 决策模型 [CP/OL]. https://typesafe.ai.

关键词　实时生成；决策预算；候选集；承诺—实现缺口；归因；可观测性

代码与工程记录　https://github.com/tripodxu/jev-piano（公开仓库，含 73 轮逐条记忆、4 篇 ADR 与全部量化口径）

1　问题的提出

把一个生成模型接进实时系统，最常见的投入方向是提升生成质量：换更强的模型、调更细的提示词、加更多约束。离线的端到端音乐生成已有成熟范式 [1][2]，这些改进方向在批处理里成立；在实时系统里却可能整体失效——因为实时系统的失败模式不是”生成得不好”，而是”没有东西可播放”。

由此产生三个与直觉相反的次序问题：

• H1：在实时出声系统中，时限是质量的前置条件，而非与之并列的指标——时限缺失时，质量改进不可观测。
• H2：当模型接口的契约只能表达离散量时，把离散答案当连续量使用会摧毁音乐意图；正确修法是在渲染层重新解释答案，而不是照单全收。
• H3：系统的主要缺陷类别不是”算错”，而是”说错/没做”——承诺与实现之间的缺口（死参数、未接线机制、假归因），其共同特征是签名与测试齐备，只有实现不在。

H1 关于约束次序，H2 关于接口形状，H3 关于工程缺陷的分类学。三者共同回答一个工程问题：当系统”看起来在正常工作”时，你怎么知道它没有在说谎。本文给出的答案是标题里的第三个词——对账：把每一句承诺，放回真实数据分布上量一遍。

2　系统与方法

2.1　三个部件

判断层：TypeSafe 的 Jev 模型，输入为一段结构化文本 state，输出为一组类型化问题的答案。每小节发出八个问题（和声功能、和弦、左手织体、右手节奏型、音高轮廓、强度、呼吸、发展手法），并行请求，九个和弦候选。单小节约 1860 输入 token、约 $0.000078，一次 32 小节演奏约 $0.0025（轮次 13 真实渠道实测校准的文档口径；其他生产样本在 1,170–2,000 token/小节间浮动）。

约束层：候选集由代码按乐理与风格生成，模型只能在其中选择，非法和声不可表示。候选全集为”风格进行池 ∪ 调式全色板”，并叠加声部进行加权（smoothness = 共音数 − 0.25 × 五度圈环形距离）、功能转移矩阵与两条反重复断路器（根音疲劳、循环锁死）。模型答案若越界（含以标签作答、报出刚被剔除的和弦），一律驳回并回落到最高权重候选。

调度层：lookahead 调度，提前两小节做决策，把 0.4–2 s 的 API 延迟藏进小节时长（60–140 BPM 下为 0.86–4 s）。

三个部件的关系不是”模型决定一切、其余兜底”，而是”模型在一组已经合法的选项里表达偏好”[5]。这个约束先于模型存在，与模型的强弱无关——它是乐理与产品规则的形式化，不是模型能力的产物。

2.2　干预与测量

系统以编号轮次推进，每轮一个可复述的假设，收尾时写一条记忆（做了什么、为什么、坑、验证指标、遗留项）。至 2026-10-31 为第 73 轮，累计 123 次提交、51 篇详细记忆（另有逐轮压缩索引，每轮必有）、4 篇架构决策记录、21 个前端模块（5,574 行）、267 项单测。

测量口径如下：回归门取 12 个种子、每条 32 小节的平均值，四项指标为和弦种类、和声熵、旋律唯一小节数、左手唯一小节数（32 小节中逐种子判定的均值），门槛集中于单一配置对象（8.5 / 2.3 / 28 / 28）并被单测锁死，CI 每次推送执行；单测由 node --test 驱动，覆盖纯逻辑，浏览器行为另做人工冒烟；判定规则在轮次开始时登记：门槛不过即不合并，即便某一项看起来更好；结构约束可执行化：test/limits.test.mjs 让”每个文件 ≤800 行”这条 ADR 条款变成红灯，而不是一句意图。

2.3　一条附加判据

本轮引入并要求全文使用的一条判据：文档、接口与日志所承诺的行为，必须在可执行代码里存在，并与实际路径一致。

它不是一个测试断言，而是产品契约：界面上每个音符都可溯源，溯源信息一旦与真实路径不符，整套可视化就从”解释”退化为”装饰”。3.4 与 3.5 是这条判据的两次应用。

3　结果

3.1　时限缺失的两种终局

上线后的首个致命症状被使用者描述为一句话：“只能弹两小节”。不是报错，是静音。

诊断用虚拟时钟驱动真实的调度器与合成器，测 10 种上游场景。根因不在合成器，在调度：缓冲深度是两小节（60–140 BPM 下约 1.7–8 s）；而单次决策时间无界——请求重试 2 次、单次超时 8 s，最坏约 17 s，可达缓冲的数倍。

表 1　时限缺失的失效形态（修复前 / 修复后）

两种终局值得区分。静音间隙是缓冲被抽干；楔死是超时信号不生效时 nextBar 永不返回、调度器的”决策中”标志永远为真——后者不会自愈，因为没有任何路径会把它复位。同一”静音”症状下，一个是资源问题，一个是状态机问题。

还有一处判读陷阱：Web Audio 对排程在过去时刻的乐音是立即发声，因此”排程时刻”本身是谎言。正确的听感判据是 max(排程时刻, 派发时刻)——只看排程会得到”一切正常”的假象，而界面正在假装演播。

3.2　修复只改变路径，不改变音乐

修法是把决策时间交给音频时钟：起播期以 1.2 小节封顶（放行正常延迟、砍掉病态延迟），入队后按”队列音频还能撑多久”收紧，余量 300 ms，下限 500 ms、上限 8000 ms。预算先耗尽则由同构的确定性离线决策器顶替该小节并标记，下一小节仍重试真实渠道；真实答案先到必须用真实的。另有一条：迟到的小节连同时间锚点整体平移到现在，否则整小节会被压成一声。

关键结果不是”播不断了”，而是音乐指标一位没动：

表 2　回归门四项指标（12 种子 × 32 小节，修复前后）

测试由 171 增至 177（新增六例：预算内不误伤、超预算顶替并标记、迟到的真实响应被丢弃且序号不错位、挂住不楔死、渠道挂住时八小节全播、迟到小节顺延）。指标逐位一致，恰好证明这是路径级改动而非音乐级改动——它只在渠道不健康时生效。

这为 H1 提供了一个干净的证据形态：时限修复不产生任何质量增益，但没有它，此前及此后的一切质量增益都无法被观测。

3.3　受限接口摧毁连续量，修法是重新解释

强度问题暴露了接口形状的破坏力。模型按 API 契约只能回答 0–3 的整数，而计划弧线是连续曲线（2.4 2.3 2.3 2.2 2.1 …）。代码把这个整数直接当绝对值渲染，于是动态变成噪声：3 2 3 2 0 2 3 3 3 2 2 0 1 0 0 0 …。

动手前先量：12 种子 × 32 小节共 372 次相邻跳变，平均跳变 1.032 档（四档量表上整整一级），跳 ≥2 档占 26.9%（100/372），跳 ≥3 档占 6.2%。听觉后果是力度 0.35↔0.85 的 2.4 倍落差，而左手织体的三个分支阈值会在整数档翻转时同时换音色。

修法两步，都在渲染层，都不夺走模型的决定权（ADR-0001）：把整数回答重新解释为相对计划弧线的偏移（模型同意计划就得到计划，偏离则保留一半偏离）；再对变化率而非目标值施加限制——这正是音频压缩器的 attack/release 与 MIDI CC 平滑的同一思路。参数不是试出来的，是用录下来的真实序列重放模拟 7 组组合后选的：

表 3　强度平滑方案的重放模拟（372 次跳变）

最后一行指标更漂亮，但没有采纳：0.414 与 0.495 的听感差别，远小于”模型还剩多少发言权”的差别。平滑不该以架空模型为代价——这是本项目中”判断层与约束层如何分权”的一次定价。

代价是左手唯一小节数降了 1.16：强度平滑后更多相邻小节落进同一个织体分支。但左手指纹护栏把”相邻字面重复”守在 0——上面那层让音乐更顺，下面那层保证不因此重复。两层机制在这里接上了力。

H2 由此得到支持，且支持的方式值得记：整数档不是模型的错，是接口的形状；渲染层该做的是重新解释（整数→偏移），而不是照单全收（整数→绝对值）。

3.4　承诺—实现缺口

H3 是本次重读仓库后新增的命题。它来自四件表面无关、结构相同的事：

表 4　四类「承诺—实现」缺口

四者的共同点是全部通过了当时所有的检查：语法正确、单测全绿、CI 全过、真渠道也能跑。静态检查与单测验证的是”已写下的代码是否自洽”，而缺口恰恰位于”没有写下的那部分实现”——那里没有任何东西可以断言。

发现它们的方式也一致：不是读代码读出来的，是对着真实数据分布量出来的。 轮次 11 是拿承袭小节与动机逐音比对（2/70 完全一致），轮次 16 是把 384 小节中的承袭小节单独切出来看其中有多少被呼吸取消（16/66），轮次 52 是把文档表和 wc -l 对一遍，轮次 1 是把 JSDoc 和函数体对一遍。四种手段都叫对账，都不需要更聪明的模型。对账的边界随后还在外扩：部署后的线上核验对 17 个片段逐字节比对——npm test 全绿只证明磁盘对，不证明线上对，连 CDN 注入的 4 字节统计信标都要单独解释。

轮次 52 之后，这类缺口第一次有了机器可执行的对账：test/limits.test.mjs 让行数条款变成红灯，并且用”临时放一个 801 行的文件”验证过它真的会红——一条从没红过的断言，比没有断言更危险。

3.5　归因偏离：单点修复只覆盖被观察到的路径

承诺缺口中最贵的一类在记账上。呼吸本应是时值指令（延后进入），实现里却被写成了门禁（不许使用素材）。后果两层：音乐层，四分之一的”重述”什么也没重述；记账层，日志仍记”承袭”，界面照旧显示括线、动机卡照旧计数一次”回来”。

12 种子 384 小节的广谱诊断给出了偏离量级：发展手法分布中承袭占 17.2%，呼吸小节占 15.9%，而承袭中被呼吸取消者为 16/66，即 24.2%。

首轮修复把承袭挪出这道门，并把兜底路径的归因强制改为”新句”。但同一类缺陷在另外三种手法上原封不动，因为那轮的归因兜底只写了一行 if (dev === 'repeat')。

表 5　呼吸同现小节与素材的平均音程差（10 种子，单位：半音）

推广后的抽象是一句话：呼吸是时值指令，不是否决指令——它表示”延后进入”，不表示”不许用素材”。修复方式随之统一：素材照用，整组音按它自己的最小节奏间距整体后移。延后量从音乐自己的节奏里取，不是拍的常数。

倒影一行需要单独交代，因为它暴露了判据本身的不可靠。倒影后音程取反，”与素材的逐音差”必然变大，于是修复”成功”的倒影被判成更差——5.16 不是退化，是指标在说谎。改用镜像关系做定向校验后（平均 |r+p| = 1.01 半音，30 例中 20 例满足 ≥70% 音程符合镜像），结论才与事实一致。

H3 在此得到加强：缺口的修复粒度取决于依据的是”被观察到的案例”还是”共用该条件的逻辑路径”。前者修一次不够，后者的判据是还有哪些路径走同一段逻辑——这条判据后来被写进了项目宪法的高危区说明里。

3.6　时间基准不唯一

同一系统里曾经同时存在两种”现在”：声音以音频上下文时钟为准，而琴键亮灭走挂钟定时器——正是 Web Audio 社区反复警告的”两座时钟”问题 [3][4]。全项目共 4 处挂钟实现，后果逐条可列：事件循环拥塞时误差累积；固定 30 ms 轮询使每个音最多晚一个 tick；亮灭时长按音符时值算而声音实际响到”时值 + 释音”，键永远比声音早灭约 300 ms；排程被推迟时键仍按请求时刻亮；未补偿输出延迟；用户点击琴键时没有任何按下视觉。

改法是把时钟做成必填注入项（不传即抛错，不给”忘了接音频时钟”静默退化的机会），定时到下一个事件本身而非固定轮询，且长卡顿后过期事件不补亮。这与 3.1 是同一问题的两端：“按时”不只要求给决策定一个上界，还要求所有参与者对”现在几点”有同一个答案。

3.7　改进的分布极不均匀

123 次提交分布在 8 个工作日上，其中 4 天连续占了 93 次。

表 6　提交与轮次的时间分布

音乐性集中在前四天，稳定性集中在事故当日，可玩性集中在 10-25 与 10-31。中间空了三周。

三周空白不是拖延。它的功能等价于一个需求采样期：使用者（即作者）在这三周里反复弹它，才知道下一个该改的地方在哪里。这一点无法用指标证明，本文只记为观察，不作为结论。

4　讨论

4.1　时限是架构约束，不是性能指标

把”决策太慢”当作性能问题，会自然地去优化平均延迟：换更近的节点、压提示词、减少问题数。这些都对，但都不解决 3.1 的失效——因为失效来自没有上界，而不是来自平均值偏高。平均值 300 ms 的系统，只要尾部长到 17 s，一样会在第三小节静音。

上界一旦存在，慢就从”事故”降级为”降级策略”：这一小节用离线答案，下一小节再试。这是把不可控的外部依赖，转换成一个可控的内部状态。

顺带一个反例：曾试图压缩提示词以节省 token，实测全面压缩后 token 降 5.5%，但真实渠道的和弦种类从 10 掉到 6；把语义挪回后质量只回到 7、token 优势只剩 0.8%。该配置对措辞高度敏感——任何改写都会让真实输出移动 ±2 种和弦。在这个系统里，省成本的正确位置不在提示词，在候选集与调度。

4.2　「尽力而为」必须配「如实记账」

系统里有一条设计惯用法反复出现：硬性不变量违反算失败（测试红），软性约束违反算尽力（记录在案并可见）。二者不可互换——若软层也判失败，系统天天红；若软层不记账，”尽力而为”就成了假承诺。

3.5 与 3.6 都是这条惯用法的应用：兜底分因，是给”降级”记账；归因修正，是给”实际路径”记账；时钟统一，是给”时间”记账。它们的共同点是宁可难看，不可说错。

一条具体证据：兜底曾被拆成两类——渠道故障（429、断网、跨域拒绝、缺密钥）与渠道跟不上（决策超预算）。两者共用同一套离线顶替逻辑，但记账彻底分开，状态栏后缀也不同（·兜底 与 ·跟不上）。这不是文案工作：如果两类失败混在一个计数器里，”今天兜底 40 次”这句话不可解释——你不知道该去查网络，还是该承认模型太慢。

4.3　可解释性是记账属性

第 3、9、12 轮把归因字段做得越来越显眼——功能轨、段落标注、动机卡。等到第 16 轮发现承袭有 24% 根本没发生时，代价已经不只是”少了一次重复”，而是整个界面在为一个未发生的事实作证。

由此得到一条与直觉相反的关系：界面的可见度越高，归因错误的代价越大。 一个只有日志的系统说谎，损失是排障变慢；一个把归因画进界面的系统说谎，损失是使用者对全部可视化的信任。所以可解释性不是前端任务，它的成本中心在后端与调度层——界面只是把已经存在的账目读出来。

4.4　一条被证伪的改动，和它暴露的架构约束

第 14 轮试图让和声也拥有主题：承袭时给同功能和弦加权。基线先量的结果是，承袭小节的和声功能与动机相同者仅 22.7%，低于全局最常见功能（下属 38%）的基线——和声对”主题”毫无概念。

改动被证伪，且证伪得干净：

• 循环依赖：和弦候选集必须在发请求前构造（要发给模型），而”这一小节是否承袭”来自同一次请求的回答。尝试在解析答案后重算候选，权重根本没进驱动选择的那份数据，对齐率纹丝不动。
• 窄触发有效但被稀释：改用请求前可判定的信号后，对齐率升到 40%（基线 37%），机制确实生效；但只有约 6% 的小节触发，0.056×100% + 0.944×37% ≈ 41%，实测 40% 与理论完全吻合。机制是完美的，覆盖面太窄。
• 放宽触发反而更差：用发展手法权重去预测”会不会承袭”来扩面，对齐率从 40% 掉到 34%。
• 加重权重压不过风格惯性：权重扫描从 0 到 3.0，0.6 在所有配置下都是峰值（40%），更高一律变差。原因是段落首候选里主和弦靠进行池的基础权重领先 0.4 分，加权补不回来——池的基础权重是风格身份的一部分。
• 最后发现测错了集合：真正有提升的是”承袭延续”这条触发，而不是我以为的”段落首”；而改动还让上一轮验证过的段落首承袭率从 45.8% 回退到 29%。全部回退。

留下一句可复用的架构结论：在”模型选、代码渲染”的架构里，渲染层无法用后验信息修正模型对同一次请求的选择。 这是一条架构约束，不是实现疏忽。第 13、14 两轮连着都是”测量否决了改动”，这不是停滞——把路走死的成本，远低于让一条看似合理的改动沉淀进主干。

4.5　与「廉价判断」的关系

把判断层的开销摊开看：每小节八问、九个候选、约 1860 输入 token、约 $0.000078、延迟 0.4–2 s。这是一个极廉价的判断源。

而本系统中真正决定输出质量的，几乎都不是”模型更强”，而是三件与模型无关的事：候选集保证非法和声不可表示；指纹护栏保证相邻小节不字面重复（六层反重复机制，硬层违反即测试红）；决策预算保证它不会因为想得太久而失声。前者是乐理知识的形式化，中者是产品约束的代码化，后者是实时约束的架构化。

这与姊妹篇《廉价判断与确定性知识》的”廉价判断 + 手写知识”设想相容，但它给出的归因与设想不同：判断层提供的是偏好（同一组合法和弦里选哪个、同一动机用哪种手法重述），而质量下限由约束提供。约束写得越准，判断层需要的智力越低。极端例子是强度：当接口只能给整数时，模型的一半发言权必须先被”重新解释”才能变成音乐。

值得注意的是，这套约束并不便宜。它由 73 轮里大部分”没有新功能”的轮次堆出来，而且每一轮都在和 3.4 那类缺口作战。约束的成本不在写，而在对账。

5　局限

其一，单用户，且无听感实验。 73 轮调音服务的是一个使用者，全部”好听”的判断都不可外推。本文能主张的只有工程结构上的结论（时限次序、接口形状、缺口分类），不能主张任何关于音乐听感的普遍结论。若要检验后者，需要至少一组对照听众与可复述的听感量表，本文未做。

其二，deadlineMiss 没有线上打点。 表 1 证明修复在构造场景下有效；线上唯一一次生产实测（第 60 轮端到端，32 小节）为 0 兜底、0 超预算，但该样本不足以回答”渠道跟不上”的发生率，也无法回答”预算实际救回了多少小节”——这是设计缺口，不是结论。

其三，fixture 全绿不等于真实渠道健康。 第 29 轮的真实渠道回归打破了此前从未破过的硬性不变量：相邻字面重复 = 6（离线 12 种子全为 0）。根因是答案分布的形状而非候选集质量——真实模型连续 6 小节回答”承袭 + 呼吸”，且该动机渲染后不含任何强拍，于是锚定完全失效，每小节原样输出同一旋律；离线渠道按权重采样，永远不会生成这种极端序列。修复（首音锚定 + 逐音枚举删除的耗尽契约）后回到 0，旋律唯一小节 26/32→32/32。结论：护栏的测试必须包含对抗性的极端答案序列，而不只是跑自己会产生的路径。

其四，判据与测量工具都会撒谎。 除 3.5 的倒影一例外，还有一次更彻底：为修正和弦拼写而写的取证脚本，按根音集合判定”降号调”，于是把 C 小调判成升号调，报告”0 处错误”，而实际 32 小节里有 14 小节（44%）拼写错误。修好实现后，同一个脚本又反过来报”14 处错误，应为 G#”——因为它的期望值过期了。测量工具的错误比被测对象的错误更难发现，因为它看起来正是你要的答案。 凡涉及此类指标，本文只报量级并交代判据来源。

其五，样本为一个系统、一个模型族、一种交互形态。 结论的外部效度受限：无法区分”实时生成必须如此”与”这一种实时生成如此”。

6　结论

本文的核心发现有三条：在实时生成系统中，时限是质量的前置条件，而非与之并列的指标；接口的形状会决定音乐的形状，离散契约必须被重新解释而非直接采纳；而系统里最持久的缺陷类型不是算错，是承诺与实现之间的缺口——它通过了语法检查、单测、CI 与真渠道冒烟，只能被”对着真实数据分布对账”发现。

对工程实践的含义有三条。若目标是”不断”，应优先建立由上界驱动的降级路径，其收益不可见（指标不动）但不可省；若目标是”像”，应检查接口粒度是否摧毁了你要的连续量，并在渲染层重新解释；若目标是”可信”，应把归因当作契约维护，其修复粒度必须落在共用逻辑的路径上，而不是落在被观察到的那个案例上。

对”廉价判断 + 手写约束能否获得较高智能”这一主张，本文给出的判定是结构性支持、量级上保守：判断层以每小节约 $0.000078 的成本提供了可用的偏好信号，但输出质量的下限由候选集、护栏与预算三条约束承担；判断层变强会抬高上限，而约束写错会立刻击穿下限。这与姊妹篇《廉价判断与确定性知识》在棋类系统中观察到的”知识负责不失、判断负责在知识沉默处不崩”是同一形状的结论。

数据与复现

代码、测试与全部工程记录在 https://github.com/tripodxu/jev-piano。文中数值取自该仓库的 docs/memory/（每轮一条记忆：诊断、根因、验证指标、遗留项）、docs/adr/（四篇架构决策及其被否决方案）、AGENTS.md（代码地图、模块行数表与高危区契约）与 MEMORY.md（压缩索引与任务板）。回归门门槛集中于 GATE_CONFIG 单一配置对象；决策预算常量（MIN_BUDGET_MS / MAX_BUDGET_MS / BUDGET_MARGIN_MS）与迟到小节顺延逻辑集中在调度层；”每文件 ≤800 行”由 test/limits.test.mjs 守成红灯。均随仓库同步更新。

仓库：https://github.com/tripodxu/jev-piano
线上系统：https://jevpiano.logicc.top

参考文献

[1] Agostinelli A, Denk T I, Borsos Z, et al. MusicLM: Generating music from text. arXiv:2301.11325, 2023.

[2] Copet L, Kreuk F, Gat I, et al. Simple and controllable music generation. Advances in Neural Information Processing Systems (NeurIPS), 2023.

[3] Wilson C. A tale of two clocks. HTML5 Rocks, 2013. https://www.html5rocks.com/en/tutorials/audio/scheduling/.

[4] W3C. Web Audio API. W3C Recommendation. https://www.w3.org/TR/webaudio/.

[5] Kambhampati S, Valmeekam K, Guan L, et al. LLM-Modulo: A More Realistic Framework for Evaluating and Enhancing LLMs’ Planning Capabilities. arXiv:2402.01817, 2024.

关键词　判断模型；确定性规则；接管链；能力归因；双过程

1　问题的提出

把一个大模型接进棋类程序，最常见的做法是让它直接选点。这条路的问题不在效果，在成本与可解释性：一次判断的代价与模型规模成正比，而棋类决策中大量手位是可判定的——「这一步能连五」「对方下一步能连五」不需要概率，只需要穷举。

棋类 AI 的两条主流路线都绕开了这个问题。AlphaZero 用自我对弈训练策略网络，以深度搜索换取决策质量 [1]；DeepMind 2024 年的工作则证明，在人类棋谱上训练的小型变换器不靠搜索也能达到特级大师水平，代价是海量训练数据与专用训练流程 [2]。对大模型的规划能力，近年渐成共识的判断是：生成可以交给模型，验证必须交给外部，Kambhampati 等人将其概括为 LLM-Modulo 框架 [3]。本系统是这个判断在完全信息博弈上的一个实例——判断模型生成逐点概率，一层手写的确定性过程负责验证与接管。但本文不问这个架构能否变强，它能，且数据充分。本文问的是一个归因问题：如果这样的系统确实表现不错，那份「不错」应当记在谁账上？

系统立项时写下过一个设计论点：「先模式识别缩小范围，再让模型选择」。它背后是一个更大的类比：判断模型像天赋给的直觉——快、廉价、不可解释，负责灵感式的第一步；知识层像后天习得的知识——慢、可查、可修订，负责「能不能这么走」的规则认知；接管链像元认知习惯，负责分类哪些问题必须先回答、哪些手不必算。若把「模型权重冻结」读作天赋不可变、「规则档生长」读作教育，这个系统就成了一个关于智能发生学的可控标本：每一次学习都被记录，可审计、可回滚。类比不是论证，但它把大问题拆成了可检验的命题：

• H1：知识层承担了大部分决策，而非仅作为判断失败时的兜底。
• H2：在判断模型固定的条件下，知识层的扩充单独即可带来棋力提升。
• H3：在同一知识层下，提高判断层的自主权会带来可检出的提升。
• H4：判断层的概率分布在知识层覆盖区间内不可被均匀随机替代（直觉存在正边际；对照渠道已登记，运行状态见 5.1）。

H1 与 H2 关于知识是否主导，H3 关于判断层自主权的价值，H4 关于直觉本身的边际。若 H1–H3 成立且 H4 也成立，该架构是「直觉 + 知识」的互补；若 H3 与 H4 都不成立，更准确的表述是「知识主导、直觉填充」——这两种表述对上述类比的含义完全不同。

2　系统与方法

2.1　三个部件

判断层：模型（TypeSafe Jev，jev-1.13 系）对棋盘上每个空点输出一个概率，不输出理由。单次往返耗时 400 ms 至 2.1 s。成本只按上游输入 token 计（输出不计费），单步输入 1–3K token；自记口径下最贵的一轮真实验（4 局、902 次调用、259 万输入 token）总成本约 $0.11，摊到每步约万分之一美元。「廉价」在这里是字面意义。

知识层：一组确定性过程，用本地引擎在局部穷举可判定事实——本手成五、对方下手的成五点、连续冲四链、冲四与活三混合的威胁链、双方的做四点计数等。单次耗时中位数约 200 ms，最坏可达数秒。工程上它叫战术层或规则层；本文统一称知识层，理由在 4.1 讨论：它的每一次否决都可被穷举复核，性质上更接近形式化知识，而非习得的直觉。

仲裁层：一条十四级的接管链，按事实确定性降序排列：

1
2

win → block → open4 → threat → vcfAttack → vctAttack → vcfDefense → vctDefense
    → pressureGate → live3Attack → live3Defense → parry → parry3 → parry4

每一级是一个问句式的判定，任一级给出结论即终止；仅当十四级全部沉默时，判断层才在候选点上按概率采样。链自身也是版本化的：v11 插入 vctAttack 成十二级，v12 插入 vctDefense 成十三级，v13 插入压力闸门成十四级。这条链常被一句话概括为「局面分类」，这低估了它——它分类的不是局面类型，而是「这一手该由谁决定」，即发言权分配。接管纪律在实现里写成一句话：事实优先于概率，模型概率只用来在同一层的候选点之间挑一个，层与落点由确定性事实决定。

判断层另有一个对照渠道 random：自由手按逐点均匀分布采样，零上游成本，但走同一条接管链，强制层照常接管。它的用途见 5.1。

2.2　干预与测量

系统的全部规则行为由一张版本登记表约束（src/core/tactics-versions.ts）：21 个档位，每档登记启用的机制位与搜索预算，未登记的机制在该档连算都不算。版本号自 2026-10-08 起不再递增，新改动按「基线 + 增量」登记（v14.1、v14.2），使任意两档可以逐键对齐。这使单变量干预成为可能：改一层、跑一轮、其余逐字不变。

对局实验经 SSH 批量编排器（submit / status / pull / elo）在空闲远端机器上串行运行，锁上游渠道腿、固定随机种子、同开局换色双跑；每轮以实验标签（exp-〈时间戳〉）归档，结果落 D1 或本地 JSONL。全部数据底座为 936 局 / 56723 手、60 个实验标签，本文引用的样本均出自可复核的归档。

测量口径如下：每局记胜 / 和 / 负，以得分率（胜计 1、和计 0.5）与不败率并列报告，不单报胜率；配对样本用双侧精确符号检验，同门对弈（两臂为同系统的不同档）改用逐对分差均值的配对 t 检验——符号检验在同门对弈下结构性失效，已弃用；逐手记规则层单独耗时（tac_ms）与单手墙钟，二者不混用；成本按上游输入 token 计。分辨率上，同档独立重跑的得分率轮间方差达 17.5 个百分点，因此一切跨轮的粗比较都不可判，可检出的效应要么来自配对设计，要么来自足够大的效应量。

判定规则在实验前登记：负局数不得高于基线，且不败率不得低于基线。不满足即不晋升，即便得分率更高。

3　结果

3.1　知识层承担了大部分决策

对 rapfi@2000ms 的一轮 20 局、760 手逐手统计「谁最后拍板」，结果见表 1。

表 1　接管分布（v14 档对 rapfi@2000ms，n = 760 手）

注：各行占比四舍五入，合计以原始计数为准。第 4 级 threat 在全部 760 手中零接管，原因是结构性的：其判据与第 3 级同源，而含该层的档位必含 open4，链中 open4 又在前——它永远抢不到活。

知识层合计 494 手（65.0%）。将对手思考时间抬高后该比例继续上行：rapfi@3000ms 为 71.1%（315/443），rapfi@5000ms 为 76.2%（378/496）。方向与直觉相反：对手越强，判断层的发言权越小。这一分布否证了「规则层是兜底」的读法——兜底的特征是低频、异常触发；此处知识层在多数手位上首先发言，判断层只在链完全沉默处介入。

3.2　知识层扩充单独带来棋力提升

2026 年 10 月 2 日，同一开局、同一对手（rapfi@500ms）、同一判断模型，仅更换规则档，各 12 局：

表 2　版本序列与得分率（对手 rapfi@500ms，各 n = 12）

从 25.0% 到 100% 的跨度发生在约十八小时内（实验标签 exp-20261001174212 至 exp-20261002115126），期间判断模型未作任何改动。这是 H2 最直接的证据：在该系统中，棋力增量可以与模型无关。

三次扩充的动因都是对败局的逐手复盘，不是参数调优。v10 之前，「能造活三」靠标签匹配判定；复盘 27 局对 Rapfi 的归档（11 胜、11 负、5 和），每一局都出现过对手可造活三的局面，系统拆掉 13 次、漏掉 14 次，v10 因此把判定改成真推演。v11 的发现更典型：v10 的活三点只是「落子后盘面上出现两个以上活四制造点」的启发式，它反而覆盖掉了算得清的必胜链——复算显示，纯冲四搜索 7 层可见 22 手必杀，加深到 11 层也只多 2 手，而把活三并入逼迫搜索（VCT）后可见 42 手，其中 20 手是纯冲四搜法在原理上看不见的。v14 修正的是判据本身：原实现把盘面上既有的活三误记为本手新造，重放 316 手测得 22 手（7.0%）属幻影，候选点由 2481 降至 972。

这条阶梯还有后半段：覆盖越完善，同量级改动的效应越小，后期增量只能靠配对设计检出，见 3.3 的整合档对照。

3.3　提高判断层自主权：两级检验均未检出效应

链里唯一在非强制局面替模型做主的，是压力闸门（pressureGate，v13 引入）：按双方做四点计数决定是否抢先削点，不抢活三。把这一层降级为纯咨询（softGate）——事实照算、照注入提示，但不再接管——是立项论点「先识别缩小范围，再让模型选择」的直接检验，也是单变量开关。

先导轮 n = 20：挑战档 5 胜 9 和 6 负（47.5%），基线 6 胜 9 和 5 负（52.5%），落在预注册的不可判带内，按规则挂起。

该开关随后并入整合档 v14-plus（v14.1 的防线重排 + v14.2 的闸门让权 + 防守预算减法），整合档在晋升轮通过判定（见下）。为拆开「合并收益里有没有让权的份」，2026 年 10 月 18–19 日又补了两轮 n = 120 的锁腿同 seed 配对（对手 rapfi@10s，60 完整配对）：

表 3　n = 120 归因轮的配对结果（对手 rapfi@10s，60 完整配对）

负局 42 对 42，不败率 65.0% 对 65.0%，两条预注册底线逐项持平；配对符号检验 22 : 21，p ≈ 1.000。仅让权档对仅重排档（v14.1）直配 26 : 20，p ≈ 0.461，同样不可判。需要说明的是，此轮基准自身已含同款让权，检验的严格说是「让权档能否单独复现整合档的收益」；纯粹的闸门单变量证据只有先导轮，方向偏负。两层证据合起来，H3 不被支持。

作为反衬，整合档本身在同一套方法论下是通过判定的：218 对，逐对分差均值 +0.0459（配对 SE 0.0175，t = 2.628，95% CI [+0.0117, +0.0801]，预注册统计量为逐对分差均值）。机制层重放（36 局、4441 个局面逐点）显示增益挂在哪：让权后 pressureGate 开火 0 次（基线 842 次），vctDefense 接管 396 次（基线 101 次），两档决策指纹的差异仅 9.23%，且全部落在防线排序的事实键上——可检出的变化发生在排序，不在让权。

还有一个更朴素的结构性解释：在串行的接管链下，「让权」不等于「交给模型」。先导轮的逐手数据里，压力闸门沉默后释放的手位大部分被更低的层重新吸收（冲四预挡层接管 171 手，基线 38 手）；模型只在十四级全部沉默时才有发言权。零结果因此有两层来源：被释放的手位多半没到模型手里；到了模型手里的部分，见 3.4，也未能转化为胜势。

3.4　失败模式单一，且不在知识层

晋升轮（vplus2，436 局 = 218 对）中，晋升档 v14-plus 共 122 个败局。逐手省察 2516 个己方落子，按五类失误计数：送杀、漏挡、漏胜、漏链、压力恶化。

五类计数均为 0。干净手占 66.7%，压力赤字占 28.4%（定性为对手与轮次性质），已败手占 4.8%（每局恰一手，即终局手）。

而这 122 个败局共有一个签名：「算不出强制胜」。这不是本轮的孤立观察——此前五轮对 Rapfi 的对照是同一结构：输在「算不出强制胜，且早晚被对手织成网」，不是漏防。知识层在其可判定范围内零失误，败局全部落在它不可判定的区间，即 3.1 中那 24%–35% 由判断层接手的局面。

3.5　知识层的上界：对称拆解无法破局

2026 年 10 月 1 日的 4 局自对局（v9 档对 v8 档，两侧同用知识层）全部以 225 手满盘和棋结束，无一方成五。

这不是程序错误。两侧的拆解能力对称，任何一方的造势都在成型前被拆掉，攻击无法积累——复盘的原话是「两侧都算不出强制胜」，被动挨打的回合远多于主动起链。该观察给出知识层的一个上界：它能保证不失，不能保证得手。破局需要判断层在无强制胜的局面中给出优于对称解的首步，而这正是 3.4 指出的失效区间。

4　讨论

4.1　与「直觉—知识」二分的关系

上述分工与心理学中的双过程划分在结构上相似：快速、整体、给出候选的一侧，与缓慢、可检、可否决的一侧 [4][6]。本文只主张结构相似，不主张机制相同——双过程文献反复提醒两类加工的划分不应被当作解剖事实 [5]，而此处的知识层也不是习得的模式识别，是人工编写的可判定过程，它的每一次否决都可被穷举复核，更接近形式化后的专家规则，而非内隐经验。

真正与人类决策同构的，或许不是两个部件本身，而是第三件东西——仲裁顺序。十四级接管链把「哪类问题必须先回答」写成固定次序，其功能是元认知式的 [8]：先判断该不该信直觉，再决定是否采纳直觉。专长研究的经典结论也是专家强在知觉而非搜索：Chase 与 Simon 对棋手组块的分析显示，大师的优势在于更快识别局势类型，而不是算得更深 [7]。「知道哪些手不必算」正是这套链写死在代码里的东西，也是立项类比中「分类哪些需要做、哪些不需要做」的那个部件。

4.2　为什么「让模型多说话」无效

H3 的零结果需要解释，否则只是「样本不够」的另一种说法。与现有数据相容的解释有三层，由浅入深。

其一，链式再吸收：串行接管链是逐级的事实过滤器，关掉一层不等于把那一层的手位交给模型，释放出的手位多半被更低层接走（3.3）。「判断层自主权」这个干预变量在链式架构下并不真正落在模型头上。

其二，夹逼。在知识层可判定的区间内（65%–76%），判断层提供的概率不携带新信息——该走哪里已由事实唯一确定，此时授权模型只增加方差，不增加期望。在知识层不可判定的区间内（24%–35%），判断层是唯一的信息来源，但其判断质量低于对手的搜索：所有败局集中于此（3.4）。两端夹逼的结果是，判断层的价值既不体现在被覆盖的区间，也未能在未覆盖区间胜出；它能被观测到的贡献只剩「填满剩余局面且不崩」——必要条件，不是充分条件。

其三，计量：让权档与基准的两条预注册底线恰好持平，意味着效应即便存在也小于该设计的分辨率。三层解释不互斥，现有证据无法裁决；能排除的只有「自主权立刻带来大幅提升」。

4.3　学习发生在系统之外

本系统有 21 个登记档位、350 次提交、2892 行工程记忆、七棋种共 5510 手逐手冻结的回归金样。这些数字容易被误读为「系统在学习」。实际不是：判断模型的权重自始至终未变，知识层的每一次变更都由人（与一个辅助智能体）在阅读败局后手工写入，并以冻结金样防止回退。

更准确的描述是：学习被外置了。经验以版本表、决策指纹与回归样本的形式存在于模型之外，可读、可审、可回滚。这与人类以文本、定式、教科书外置经验的做法同构，但与「模型自身变得更强」是两件事。混淆二者，会把工程纪律误认成能力增长。

这也让立项时的类比站得更稳：天赋（模型权重）在整个实验期没有变化自由度，知识层是唯一被允许生长的自由度。在此架构下，「能力增量主要来自知识层」近乎结构必然而非巧合——它不是「天赋不重要」的证据，只是「天赋不可变」的结果。天赋有没有边际价值是另一回事，即 5.1 的 H4：把直觉换成均匀随机，系统是否还剩下同样的棋力。这个问题的回答成本接近零，而它的答案将决定这套类比更接近「教育几乎全包」，还是「直觉—知识互补」。

4.4　熟练的另一面：分布漂移

各层阈值是在同族版本自身生成的棋谱分布上标定的，改写任何早期层的行为，后续层就要面对一批未参与标定的局面。项目在这一点上撞过墙：换防点、降权、重排三个挑战者三轮 60 局无一胜过 v14；n = 120 归因轮的两个单变量档与预算恢复档（v14.3）也没能晋升。唯一的例外是这条规律的反证：把三个已验证改动合并的整合档在 218 对下检出了约 4.6 个百分点——「墙」不是绝对的，但穿过它要把样本量扩大一个量级，且效应衰减到早期阶梯的十几分之一。

这与人类技能的一个已知特征同构：经验提高效率的同时收窄了感知范围——判断变准，是因为见过的局面变少而变深。在此意义上，「僵化」不是实现缺陷，而是任何在自身经验分布上标定的决策系统的结构性代价。

5　威胁效度

5.1　内部效度：判断层对照臂

系统内已实现均匀随机的判断渠道（random）：逐点均匀、零上游成本，但走同一套规则管线，强制层照常接管——它隔离的正是「非强制手位的分布质量」这一个变量。该渠道已小规模运行过：2026-09-29 的 10 局渠道自检，以及 2026-10-03 远端批量对多档 Rapfi 的 14 局（6 胜 0 和 8 负，合并 Elo 1481.4，恰好落在 rapfi@0 的 1503.1 与 rapfi@500ms 的 1463.6 之间）。但这些都是定位性冒烟，样本远在可判定线以下。因此本文只能主张「知识层贡献了 25% 至 100% 这段增量」，不能主张判断层贡献了多少；冒烟数据甚至提示，在知识层高覆盖的档位上，分布质量的边际可能小到难以检出——这使正式对照（同规则、同开局、预注册，零上游调用，本地数小时）更有必要，而不是更没必要。H4 记为待检验。

5.2　构念效度：接管统计不等于贡献归因

表 1 记录的是「谁最后拍板」，而非「谁提供了正确信息」。被判为「无接管」的手位中，模型可能采纳了规则层已计算但未接管的信息；被判为「接管」的手位中，模型原本也可能选对。反事实贡献需逐点重算，本文未做。

5.3　外部效度：单系统、单棋种、单模型族

全部数据来自一个五子棋系统与一个模型家族的若干版本。已有的渠道等价性检验只证明同族不同接入点等价（众数一致率 95.0%，McNemar p = 0.157）；更早的一批跨轮比较曾被渠道腿混合污染（单边决策差异约 39%），项目为此把「跨轮先做腿成分体检」写成了纪律。结论的外部效度因此受限：无法区分「廉价模型足够」与「该棋种对判断质量不敏感」。

5.4　统计结论效度：分辨率

同一档位重跑一轮的得分率方差达 17.5 个百分点，大于任何两个档位之间的差。四档阶梯（1 s / 2 s / 3 s / 5 s）得分为 79.2% / 52.5% / 77.5% / 62.5%，非单调，不能解释为剂量—反应关系，只能视为四次独立观察。中途读数同样不可信：某 120 局挑战轮在 23 局时读数 69.6%，跑满后落到 61.3%。目前可检出的最小效应（约 4.6 个百分点）靠 218 对配对取得。基于此，凡涉及 5 个百分点量级的比较，本文一律不作结论。

6　结论

本文的核心发现是：在一个可判定的领域内，能力增量主要来自知识层，判断层的作用区间被压缩到规则沉默之后。这一结论对系统设计的含义是明确的：若目标是提高下限（不失、不漏、不送），应投入知识层，其收益可验证、可归因、可回滚；若目标是提高上限（在均势中破局），则须提升判断层，而当前架构并未为此提供有效手段——这正是 3.5 中对称拆解无法破局的原因。

对「廉价判断 + 简单规则即可获得较高智能」这一主张，本文给出的判定是部分支持：结构上成立，量级上成立（该系统自 v10 起稳定胜过 500 ms 搜索的专用引擎，对 1–5 s 档互有胜负），但归因上不完整——判断层的独立贡献仍是未测量量。随机对照臂已有冒烟级信号；把它跑成预注册对照的成本极低（零上游调用、本地数小时），本文更愿意把它记为一项待办，而不是一项结论。

回到立项时那个更大的类比——廉价的直觉加上后天知识，能否长出较高的智能（相对其成本而言）——本项目给出的阶段性答案是：下限可以，上限还没。下限由知识层保证：单条规则简单、逐条可验证，一个月败局驱动的学习把系统从 25.0% 教到 100%，这个过程与人类专长习得同样地慢、费力、由失败驱动。上限尚未被直觉抬高过：对称知识下无法破局（3.5），提高自主权无增益（3.3），直觉相对随机是否有边际仍是未测量量（5.1）。当前数据更支持的图景是「教育几乎全包、天赋存疑待查」，而不是「直觉主导、知识辅助」。哪个图景为真，由 H4 的对照实验裁决——它已在待办清单上，是这套方法论里最值钱的一步棋。

数据与复现

代码、实验脚本与全部工程记录在 https://github.com/tripodxu/board-games。文中数值取自 docs/status.md（逐轮比分、接管直方图、耗时与成本口径）与 docs/memory/MEMORY.md（判定规则、失败复盘、口径修正），两份文档随仓库同步更新。接管链的层级与顺序见 src/core/takeover.ts；规则版本由 src/core/tactics-versions.ts 的登记表约束，搜索预算冻结于 src/core/tactics-budget.ts；回归金样在 test/fixtures/golden/。实验面默认本地存储、直连上游，不依赖线上服务。

仓库：https://github.com/tripodxu/board-games
线上系统：https://jevqipan.logicc.top

参考文献

[1] Silver D, Hubert T, Schrittwieser J, et al. A general reinforcement learning algorithm that masters chess, shogi, and Go through self-play. Science, 2018, 362(6419): 1140-1144.

[2] Ruoss A, Delétang G, Medapati S, et al. Grandmaster-Level Chess Without Search. arXiv:2402.04494, 2024.

[3] Kambhampati S, Valmeekam K, Guan L, et al. LLM-Modulo: A More Realistic Framework for Evaluating and Enhancing LLMs’ Planning Capabilities. arXiv:2402.01817, 2024.

[4] Kahneman D. Thinking, Fast and Slow. New York: Farrar, Straus and Giroux, 2011.

[5] Evans J St B T, Stanovich K E. Theory and metatheory in the study of dual processing: Key issues and future directions. Perspectives on Psychological Science, 2013, 8(3): 263-271.

[6] Sloman S A. The empirical case for two systems of reasoning. Psychological Bulletin, 1996, 119(1): 3-22.

[7] Chase W G, Simon H A. Perception in chess. Cognitive Psychology, 1973, 4(1): 55-81.

[8] Nelson T O, Narens L. Metamemory: A theoretical framework and new findings. In: Bower G H, ed. The Psychology of Learning and Motivation, Vol. 26. San Diego: Academic Press, 1990: 125-173.

[9] Gomocup — The Gomoku AI World Championship. https://gomocup.org（对手引擎 Rapfi 为其参赛引擎）.

把 13 款主流大模型在 7 家渠道（小米 MiMo、DeepSeek、智谱、StepFun、Command Code、OpenCode、TierFlow）的价格全部折算成统一口径「元 / 1M tokens」之后，结论相当扎眼：同一个模型，最便宜和最贵的买法能差 100 倍。StepFun 官方 Plan 能把 Step 系列打到牌价的 1%，而 GLM-5.3-FlashX 只能按牌价原价买。这份内参把每个模型的「最优渠道 + 次选 + 应避开」全部列成表，附完整明细与可复算脚本。

发布时间

2026-09-25 23:40

数据基准日

2026-09-23（REV.6）

短链接

logicc.top/posts/beb2f34c.html复制

汇率 / 负载权重

7.2　0.2 / 0.7 / 0.1

🚀 TierFlow 全新上线：新用户注册即送 ¥30 额度，使用邀请码被邀请额外得 ¥5（注册到手 ¥35）；邀请 1 人再得 ¥20（每人每天 5 人封顶）。支持 TierFlow 自家模型、GLM-5.3 系列、DSF 系列（暂时下架）。邀请码：lGP8smhgqvWr / T5tJZs3uDtYR，按量定价公布后即纳入比价。

核心结论速查（有 API 的最优渠道）

三句话总结：

1. 订阅折扣是最大杠杆。Command Code / OpenCode 的「月费 ÷ 包含额度」在 0.10×–0.25× 之间，但 $1 的 Go 档不提供 API，API 用户实际从 GOAT（0.143×）起步。
2. 官方 Plan 的折扣力度天差地别。StepFun 折到 1%–12% ＞ 智谱 11%–78% ＞ 小米 Token Plan 仅 77%–94%，基本要靠夜间 0.8× 和首购 88 折才有看头。
3. 渠道分工明确，没有全网通吃。StepFun 系只认官方 Plan；GLM / MiMo / DeepSeek 认聚合订阅；FlashX 只认官方 API；GPT / Muse 系只能在 Command Code Pro 及以上拿。

完整报告（交互版）

下面嵌入的是完整分析报告：8 个章节、逐模型比价总表、限额窗口、风险核实清单，支持目录跳转与邀请码一键复制。

附件下载

三个配套文件，改掉脚本顶部的汇率与负载权重假设就能重跑出全套数字：

1

Invoke-Expression (Get-Content -Raw -Encoding UTF8 '.\渠道比价计算.ps1')

使用前提与风险提示

• 所有「订阅价」都假设额度 100% 用满，用不满按比例变贵（例如 GOAT $10 只用掉 $35 名义额度，倍数就从 0.143 涨到 0.286）。
• 单模型月度限额普遍只有 $15–$20 名义额度，重度使用会被卡；突破后回落按量价或改走官方 Plan / 拉新抵扣金。
• 小米拉新 300 抵扣金有效期 40 天、先到先扣，不可抵 Token Plan、不可提现；StepFun Credit 月末清零；智谱积分 7 天刷新不累积。
• DeepSeek 工作日 9–12、14–18 为双倍高峰价，能排程的批处理流量尽量放到空闲时段（半价）。
• 海鲜市场收购 StepFun 首登资格存在账号归属 / 封号 / 实名风险；TierFlow 为全新平台，建议先小额验证。
• 汇率按 1 USD = 7.2 CNY；7.1–7.3 区间内各渠道排序不变。

数据全部由 渠道比价计算.ps1 基于 15 条官方来源（引用清单见报告 §8）换算得出，欢迎用脚本复算校验。

关键词　错误可见性；凭据边界；上游契约；投递语义；零构建前端；Cloudflare Workers

1　问题的提出

临时邮箱产品的用户只给三十秒：打开页面、建一个箱、等验证码、复制、关掉。这个约束决定了产品的全部工程取向——首屏要快、收信要快、错误要在第一次点击时就被看见，因为没有第二次访问来弥补信任。

本项目 fork 自一个 MIT 许可的社区项目（原始版权保留于 LICENSE）。2026-09-19 的第一批提交做了一件不寻常的事：把上游的 700 次提交与 65 个版本 tag 压缩为单一快照（git 历史重写，CHANGELOG 保留源流声明），随后解除与上游的自动同步——从「跟随上游」转为「自主演进」。分叉点有两处：前端整体重写为零构建静态站，以及新建 /v1、/v2 两套对外 API 面。40 天、153 次提交构成了本文的观察窗口。

考察三个问题：

• Q1（错误可见性）：一个以「快速拿到结果」为唯一承诺的产品，哪些失效不会报错？对策属于哪一层？
• Q2（凭据边界）：访客、用户、管理员、外部程序、AI agent 同时存在时，权限怎么不越界？
• Q3（上游契约）：收信依赖一个不承诺语义的第三方服务，健康与自愈怎么建？

工程事实先行：40 天 153 次提交、27 份数据库迁移与 23 张表、worker 端 117 个 TS 文件约 2 万行、前端 32 个 JS 模块约 25 页三面（访客 / 用户 / 管理）、端到端 79 个 spec 跑在 19 个容器服务上。

2　系统与方法

2.1　三面与零构建前端

三面同仓：访客面（分拣台建箱、槽位、收信、验证码）、用户面（注册登录、Passkey / OAuth2、地址簿、发件箱）、管理面（约 25 个作业页）。前端是零构建的：浏览器原生 ES modules、无打包步骤、无 npm 依赖，第三方库（DOMPurify、postal-mime、SimpleWebAuthn）以本地 vendor 文件引入——「文件即部署产物，改完即生效」，部署配置里没有构建步骤。视觉体系叫「邮政分拣台」：14 色板（邮戳红、象牙纸底、墨黑）、打字机展示体加等宽数据体、全站直角（唯一例外是 50% 圆形邮戳）、阴影一律「零模糊偏移实心影」；验证码以「图章砸落」动效呈现（缩放 2.6→1、倾斜 −24°→−7°），未读回执 2 分钟自焚。样式按 L0 令牌到 L6 偏好查询七层组织，z-index 全站只有一个来源。中英双语就地注册、路由前缀切换，四个 i18n 断言（键位对齐、字面键、动态键家族、图标存在性）进静态门禁。

2.2　收信链路与投递语义

邮件经 Cloudflare Email Routing [1] 投入 Worker，随后是一条八段旁路的管线：黑名单（故障时放行，不拒收）、垃圾判定、未知地址策略、大附件剥离、原始信件入库，之后并行触发转发、AI 验证码提取、Telegram、webhook、Web Push、自动回复。这条管线的语义约束来自投递系统本身：Email Routing 是至少一次投递 [4]，任何一段旁路抛错都会让整个处理失败、触发重投——所以每段旁路独立 try/catch，重复投递则被去重短路、零副作用。

去重键的演化是一条由真实回归驱动的链：无去重 → (地址, Message-ID) 永久去重 → 24 小时窗口 → (地址, Message-ID, 内容指纹) 三元组。方向始终一致：宁可重复，不可丢失——丢一封验证码的代价远大于偶尔多看一封。MIME 解析 [2] 现由 postal-mime 承担；仓库里另有一份 Rust WASM 解析器的 npm 包源码（约 185 行 Rust）作为兼容性备选——README 保留着上游的「高性能 Rust WASM」宣传语而实现已是 postal-mime,这处文档与实现的脱节见 5。

2.3　凭据矩阵

八种凭据各有边界：匿名访客（浏览器指纹 + IP 双槽计数，默认 strict 口径——清指纹或换 IP 都不能回血）、注册用户（账号令牌 + 一小时角色令牌自动续期）、管理口令（其关闭开关的状态不向匿名前端广播，防扫描器侦察）、/v1 API 密钥（tmk_live_ 前缀，服务端只存 SHA-256,明文只显示一次）、/v2 网关凭据、地址密码（前端散列后传输、服务端不回显）、一次性恢复凭证（tmr1.<id>.<secret>,建箱成功时一次性发放,换取 30 分钟短期地址令牌;secret 只存加盐散列）、Telegram webhook。匿名建箱的并发正确性不在应用层,在数据库：槽位预约表以（口径、日期、槽位）为主键,至多 N 行存在即是至多 N 次创建——并发超额由主键冲突直接拒绝；建箱失败退还槽位,主动销毁不返还。

2.4　上游网关与自愈

/v2 网关把一个第三方临时邮箱服务商（temptom）的会话当作资源池管理。其契约被冻结为最小面：单端点 api.php、恰好六个动作、一个 PHP 会话对应一个并发邮箱——全仓只允许一个文件出现该端点字样；会话由人类人工过人机验证后导入，禁止任何打码或自动化规避。自愈是三层设计：读路径遇验证过期（428）立即退休；创建路径的失败用连续 403 计数判定——3 次且落在 120 秒滑动窗口内才退休，成功即清零；另有 cron 每 5 分钟对空闲会话做廉价探活（每会话 10 分钟节流、最久未探测优先轮转）。会话凭据 AES-GCM 加密落库，并发轮转靠 cred_version 乐观锁（输家重读合并）——防慢写者覆盖新凭据后误杀健康会话。

2.5　验证体系

端到端是全仓的门面：79 个 spec、5 个 Playwright 项目、19 个容器服务，另配 11 种 worker 变体各证一种部署形态。两条纪律：其一，CI 永不打真上游——假上游实现同样的六动作并带故障注入场景（引导 403、仅创建要人机验证），使「死会话」这类故障可以在 CI 里重放；其二，对生产站的活体探针独立成目录（鉴权拒绝面、全量 API、真实收信——由发信器发随机验证码再比对 AI 提取结果；该目录含真实密钥，不入库）。视觉回归只有一种可靠手段：40 组合 A/B 截图加纯 Node 的像素对比——「量几何比读图可靠」，某次首元素选择器不命中的 CSS 塌陷，结构校验、i18n 门禁与类名覆盖全绿，只有像素对比抓住了它。

3　结果

3.1　静默答错的六例

这个项目最贵的缺陷都不报错，只答错。

**其一，错误被遮罩盖住。**用户实测反馈「点了没反应」。排查发现错误提示的 z-index: 1001 低于弹窗遮罩的 1002——错误其实弹了，全程被压着。代码没错、逻辑没错、用户就是看不见。修复是把它提级，并把「弹窗内反馈必须可见」写成层级令牌的注释约定。

**其二，补丁只写了一半。**一条提交信息写着「补上 pruneDeadMailboxes 函数定义（上次 patch 写回前中断导致只有调用没有定义）」——上一次自动化补丁在写回前中断,构建通过、产物里带着调用,运行时被框架静默吞掉,清理从未执行。

其三，健康检查恒绿。/health_check 一度被静态资源回退以 index.html 加 200 应答——服务死了,监控全绿。

**其四，路由规则吞掉 API。**前端路由配置里一条 /*.json 的排除规则盖过了包含规则,站点域名下所有带扩展名的 API 路径静默返回 200 的 HTML——上游时代即存在,长期无人发现。

**其五，版本号按字符串比。**数据库迁移版本 "v0.0.9" > "v0.0.10" 按字典序为真——老库的迁移端点永久 500。

**其六，测试存在但从不运行。**管理台导航注册表的守护测试 09-25 就提交了、五项断言全过，但从未挂进 npm test——测试运行器只执行脚本里显式列出的文件。10-28 接入后门禁从 7 项变 12 项,并用两次变异注入（删标签键、造重复 slug）证明它真的会红。

六例的共同点：门禁通过、页面能开、日志无错,唯独功能不在。对策也分属两层——「错误必须可见」是产品级约束（层级令牌、语义化探针）,「写入必须原子」「测试必须接线」是工具级约束（原子写回、把测试挂进门禁并用变异验证它会红）。两者都不能靠「多加测试」自动获得：六例里有四例,出事时测试或检查本来就是绿的。

3.2　死会话伪装限流

09-26 是最难的一天。上游把「会话的人机验证过期」与「创建频率超限」返回同一个 403 need_turnstile。而本地的处理逻辑是：读路径遇到 428 会退休会话,创建路径却一律把它放回空闲池——结果是死会话永生：每次建箱认领它、403、再被报成「限流」。

第一版判据是「看引导页是否可达」：页面能开但创建被拒 = 真限流;连引导页都拒 = 会话已死。这个判据被实测否证——该上游的首页无论会话死活都返回 200(人机验证只挡接口),探针永远触发不了。第二次才根治,方案是 2.4 的双信号:创建连续 403 计数(3 次且跨 120 秒)加 cron 定期探活,全部参数是代码里可指认的常量。教训不在判据本身:**凡拿「上游某个页面能不能打开」当健康信号,等于把判据外包给一个不承诺语义的接口。**配套动作是把这套故障搬进 CI:假上游带故障注入,「死会话」从此可以在每次提交里重放。

3.3　凭据边界的越权三连修

09-23 到 09-25 收口三件越权:API 密钥按代际分家(v1 与 v2 密钥互拒,存量兼容档放行);/v1 的邮箱令牌增加归属校验——此前任何合法密钥拿到他人的地址与令牌就能完整操作那个邮箱,修复后严格比对来源、无权与不存在统一 404 防枚举、默认关闭;凭据恢复改为一次性发放的 tmr1 凭证,换 30 分钟短期令牌,secret 只存加盐散列。后续两批安全收口:10-24 的 19 个提交做了 Telegram webhook 的常量时间比较(先散列定宽再比,错误长度与错误值无法用时序区分 [3])、/v1 幂等键重放时重签邮箱令牌(201 是令牌唯一出处,防超时重试拿到死邮箱)、/v2 会话凭据的乐观锁;10-25 的六修做了发信显示名的 CRLF 控制字符剥离(防邮件头注入)、自动回复无限回环的根治,以及一次性凭证从 KV 迁入 D1——KV 的最终一致传播窗内一次性令牌可能被双消费,改成单行 SELECT→DELETE 以变更行数判定恰一赢家。

3.4　AI agent 作为一等用户

三十秒命题有一个机器版本:程序取验证码比人更快。系统为此提供了两层。/v1 公共 API(14 端点,OpenAPI 3.1 [5])给强契约:长轮询 25 秒内返回新信,验证码直达 code 字段——三十秒命题的 API 化。专用 agent skill 则刻意收窄边界:不处理建箱——人机验证必须由人完成,agent 只拿用户自供的地址令牌,先验活、再取已解析信件(不可用时降级为拉原始信件本地解析),轮询纪律写死(3 秒起步、指数退避封顶 10 秒、绝不快于每秒一次、尊重 429)。给 agent 的入口与给人的入口遵守同一套限流与凭据矩阵——「Agent 友好」不是放行,是把同样的规则写给机器看。

3.5　匿名额度的三段演进

匿名建箱的配额三个月里改了三次口径:按出口 IP 计数(换网络即重置,同出口互蹭)→ 指纹优先(单点修复)→ strict 双槽(IP 与指纹都计数,取大者)→ 最终以槽位预约表实现,把「额度」从计数器问题变成主键问题。额度算错和额度被绕开,是两个不同的问题;而并发正确性,计数器永远给不了——主键可以。

4　讨论

4.1　错误可见性是产品级约束

六例静默答错横跨 UI、构建、监控、路由、数据库、测试六层,共同点是「报 200、答错误」。这与姊妹篇《不会报错的错误》同题不同例:那边是数据静默(删除复活、备份被拒),这边是界面与门禁静默(错误被盖住、监控恒绿);与 ART/RANK 的「百分比差异会骗人」、钢琴系统的「承诺—实现对账」同属一族——**跨系统看,失效的第一形态不是崩溃,是安静地答错。**对策因此都在失效的显形通道上:层级令牌让错误浮上来,语义化探针让健康有定义,门禁接线加变异验证让测试的「存在」变成测试的「生效」。

4.2　「能查到」与「该查到」

凭据系统里,「能查到」和「该查到」是两个判断,而代码通常只实现了前者——三连修对应的三类越权(跨代际、跨账户、恢复通道)都属此类。收口的两个模式值得记录:统一 404 防枚举(拒绝与不存在不可区分),以及散列后常量时间比较(时序侧信道 [3] 连密钥长度都测不出来)。八种凭据不是复杂度,是边界的最小颗粒度:每一种凭据对应一类主体,越权修复才能落在「哪两个主体之间」而不是「哪个接口上」。

4.3　上游契约:冻结、自愈、重放

对不承诺语义的依赖,本系统的三步走有一般性:先冻结契约(单文件承载全部端点字样,六动作之外无面),再自建健康信号(不信任上游页面,只用自己可计数的失败),最后重放进 CI(假上游 + 故障注入,让最坏情况在每次提交里预演)。人工过验证导入的会话池是这套设计的现实约束——红线明文禁止打码与自动化规避,自愈的目的不是绕过人机验证,是让「验证过期」这种正常损耗不至于伪装成限流。

4.4　fork 的自主演进

git 历史重置通常被理解为抹除,这里的作用是改变跟随对象:上游仓库的自动同步被解除后,「上游」一词从 git 仓库变成了邮件服务商——需要冻结与重放的对象随之明确。分叉点的两处投资(零构建前端、/v1 /v2 API 面)都发生在解除同步之后。fork 的价值不在代码快照,在契约自主权。

5　威胁效度

**其一,「功能占比」不可考。**按提交前缀,feat 占 30%(46/153),但提交分类不是功能度量——本文不主张「功能少」或「功能多」,只记录成本去向。旧稿曾写「加功能不到一成」,无仓库依据,已撤。

**其二,解析器的宣传与实现脱节。**README 保留上游「高性能 Rust WASM」表述,实现实际是 postal-mime;全仓无解析性能基准,本文不对两者作性能比较。

**其三,安全收口是欠账不是迭代。**常量时间比较、幂等重放、CRLF 剥离都发生在功能上线近一个月后(10-24/10-25 两批),它们本该随功能落地。

**其四,发信的关闭不是安全决策。**开放发信在 09-20 按文档启用、29 分钟后关闭,原因是当时账户的发信绑定只允许发往已验证地址——能力受限,而非「开放中继风险」的主动权衡(旧稿此说无出处,已撤)。发信能力此后以受限形态存在(用户面发件箱、余额制)。

**其五,活体探针含真实密钥。**对生产站的 API 测试台不入库(gitignore),其配置含真实凭据——复现时需自建。

**其六,样本单一。**一个产品、一个上游服务商、40 天窗口;「少做高危功能与没出事故」之间没有因果证据。

6　结论

三个问题的答案。错误可见性:静默答错的失效横跨六层,对策没有一个是「多加测试」——层级令牌、原子写回、语义化探针、门禁接线,都是让失效显形的通道工程;四例出事时检查本来就是绿的。凭据边界:八种凭据的最小颗粒度让越权修复落在主体之间而非接口之上;并发正确性可以下沉到数据库主键。上游契约:判据不可外包——「首页可达」被一次实测否证;健康信号要自建、契约要冻结、最坏情况要用假上游在 CI 里重放。

回到三十秒命题:一个只有三十秒耐心的产品,工程价值几乎不体现在功能清单上。它体现在三处——错误被看见、凭据不越界、依赖可重放。这三处都没有用户会注意到,而每一处失效,用户都会在三十秒内离开。

数据与复现

代码在 https://github.com/tripodxu/cloudflare_temp_email，线上站点 https://mails.logicc.top（API mail.logicc.top）。收信管线在 worker/src/email/（去重与旁路隔离见 storage.ts 与 index.ts 注释）；匿名配额与槽位表在 worker/src/anonymous_create_limit.ts；上游网关契约冻结在 worker/src/upstream_gateway/temptom.ts，自愈参数在 upstream_gateway/service.ts 与 refresh.ts；视觉体系见 DESIGN.md 与 frontend/css/dispatch.css；agent skill 在 skills/cf-temp-mail-agent-mail/SKILL.md；端到端的假上游与 11 种部署变体见 e2e/README.md。fork 源流声明在 CHANGELOG.md「历史说明」，原始版权在 LICENSE。项目记忆在 MEMORY.md（最新在上），多 agent 协作规范在 docs/agents/。

参考文献

[1] Cloudflare. Email Routing documentation. https://developers.cloudflare.com/email-routing/.

[2] Resnick P, ed. Internet Message Format. RFC 5322, IETF, 2008.

[3] Kocher P C. Timing attacks on implementations of Diffie-Hellman, RSA, DSS, and other systems. Advances in Cryptology — CRYPTO ‘96, LNCS 1109. Berlin: Springer, 1996: 104-113.

[4] Kleppmann M. Designing Data-Intensive Applications. Sebastopol: O’Reilly Media, 2017.

[5] OpenAPI Initiative. OpenAPI Specification 3.1.0. 2021. https://spec.openapis.org/oas/v3.1.0.

关键词　LLM 内容管线；墓碑同步；LWW；数据正确性；设计令牌；PWA

1　问题的提出

背单词产品的常见投入方向是内容与题型：更多词、更多花样。本项目最初也这样起步——第一天搭出能跑的界面，题源是「能出题」的水平。真正决定这个产品可信度的，是三类与题目无关的问题。它们共享同一个名字，也就是标题里那个悖论——不会报错的错误：失效不抛异常、不弹红字，只在未来的某台设备、某一次导出、某一天凌晨的临界时刻安静地显形。它们拆成三个可检验的问题：

• Q1（内容）：LLM 生成的教育内容，质量能不能靠「把判据写成可执行的检查」守住，而不是靠人工抽查？
• Q2（数据）：记忆类应用的正确性为什么由「删除」和「换账号」决定？靠什么机制守住？
• Q3（前端）：单人维护的产品，设计与性能的底线如何机器化？

工程事实先行：46 天、82 次提交、9 个数据库迁移、22 章 / 3568 词题源全量精编、六层验证（218 项单测 + 69 项静态一致性 + 69 项接口端到端 + 105 项浏览器冒烟 + axe 八次扫描 + 36 项线上只读核验）。

2　系统与方法

2.1　内容管线：规范即提示词，判据即可执行

题源由 LLM 分片生成（每片 40–60 词），但质量约束不在提示词的措辞里，在管线的结构里。规范即提示词：出题提示词从规范文档的标记区段提取，规范与提示词是同一份文件——单一事实源。合并先校验：分片合并前先跑校验器，有错不写入。校验器即规格：v1.0 只查四选一与解析长度；v1.1 加入互换测试法、义项覆盖、词性 / 反义词配额的机器判定与长度比 0.5–2.0；v1.1b 补反向题规范；v1.2 把解析上限提到 120 字并禁止硬截断——这一版不是规划出来的，是一次事故的产物：文档写 40 字上限、代码早已放宽到 120,规范与校验器脱节,由此确立「改版本必须同步规范、22 个分片 JSON 与校验器」的常青约定。

逐题缺陷扫描输出十个标签（错误 / 歧义 / 错位 / 模板 / 英文解析 / 同因重复 / 通用解析 / 长度越界 / 万能项 / 无备注），配合逐章修复清单做约束式逐题修复。管线里还沉淀了两条带血的红线：其一，「禁止任何脚本事后只替换 text」——历史上有 916 条辨析因脚本只换文本不换依据而错位；其二，截断扫描的豁免判定必须用「相等」而非「前缀匹配」——词库释义自带省略号,前缀匹配的逻辑必然漏报假绿。

2.2　同步与数据正确性：删除比写入难

第二天（09-17）就把第一版数据模型重写了：同步原本按整章一个 JSON blob 存,两台设备一起答题,后写的整章覆盖先写的——这不是 bug,是数据模型选错了。重写为按词存储（主键：用户、章、词），旧 blob 在首次拉取时自动迁移为按词行。

之后的所有正确性设计都围绕两类「不会报错的错误」。删除：生词取消不物理删除,写 starred = 0 的墓碑;整章重置在服务端写 cutoff 时间戳,旧客户端的延迟上传不能复活已重置的数据;备注与配图删除各有墓碑表——共四张墓表 / cutoff 表。墓碑本身按条 LWW 收敛 [1]：两台设备各自删同一个词,结果必须收敛为「已删」,不能来回翻。换账号：本地存储的键一律带用户后缀——历史上发生过换账号互看备注的事故;切换账号时,排队中的本地写入若不先落盘,会用新账号的键算出存储位置,把数据写进别人的命名空间——所以切换函数的第一行必须是强制 flush。

LWW 的细节值得交代：时间戳是客户端本地毫秒（学习状态用 seen_at,生词用 updated_at）;学习状态同时间戳时按掌握等级定序;生词同毫秒删除优先。两个容易被忽略的实现事实:迁移完成与否不能看行数——重置会暂时删空行,若因此重新导回旧 blob,用户刚做的重置会被撤销,所以迁移完成单独建表;同步队列有防饿死上限(防抖 800ms,但最长 4s 必须放行),关页补发被截断时不清脏集合——读不到响应,下次全量重发。

2.3　设计与 PWA：每一屏只有一个视觉主角

第六期界面「单词即海报」的设计命题是一句话:每一屏只有一个视觉主角(当前词)。双主题(暖纸 / 墨舱)——暖纸的纸纹用 SVG 噪声滤镜生成,零图片请求;三层设计令牌(primitive → semantic → component),组件样式裸写十六进制即门禁失败;词面用衬线栈并禁止中文 webfont(兆级文件会毁掉离线与首屏),计时数字一律等宽;图标全部内联 SVG sprite 且 sprite 单源——四页原先各内联一份 28 符号的重复块,已收编;六色主题调色盘与 z 层级七级阶梯(新增浮层「只许挂档、不许写数字」)。动效走 View Transitions,全部受 prefers-reduced-motion 约束。

PWA 侧:词库与界面离线可用,Service Worker 现为 v23。HTML 与代码网络优先——从 stale-while-revalidate 改过来的理由写在注释里:SWR 会把旧代码先喂给页面,发版后要多刷一两次;带内容指纹的资源 cacheFirst,连 304 都省;/api/* 一律不拦截,后台页不进缓存。

2.4　验证体系：六层门禁与无 CI 的替代

仓库没有 CI,验证纪律由六个独立层级替代:218 项单测(判分、出题、D1 接口、认证、生词 LWW、会话守卫、前端守卫、备份导入)、69 项静态一致性检查(含设计 lint:裸十六进制 / emoji / 移除焦点轮廓 / 外部字体源)、69 项真实 workerd 接口端到端、105 项浏览器冒烟、axe 四页 × 明暗八次扫描(critical/serious 非零即失败)、36 项线上只读核验。push 到 main 自动部署,约 1 分钟,部署后跑线上核验——线上是验证的一层,不是最后一步;这与姊妹篇 ART/RANK 写成成文铁律的「未到线上实机验证不标完成」是同一纪律的两种写法。无障碍扫描的注入本身有个坑:必须经页面上下文求值而非脚本标签注入,后者会被 CSP 静默拦截,门禁会「长期跑不过而无人发现」。

3　结果

3.1　内容质量：判据可执行化之后的修复量

09-20 一天内,3568 道题从原始模型分片重建,并完成第一轮逐题整改;此后三轮整改共 3710 条次:校验错误 199→0,模板化解析 892→0,硬歧义(义项覆盖)49→0,万能干扰项 63→0,备注覆盖 2777→3568(100%)。截断损伤单独成役:扫描器按三种形态(句末省略号、无省略号的静默截断、开头缺词名)共补全 2876 条。

诚实的另一半是残留:约 180 条干扰项长度比在 2.0–2.5 之间(判据内合格、听感偏长)、约 24 处软错位(辨析落在近义词上)、12 个词找不到任何形近或同根词而无法出反向题(同章兜底,rev 覆盖 3555/3568)。这些是判据之外的质量,只能靠人,且不可规模化——把它们如实标注出来,比假装门禁全绿诚实。

3.2　「看起来在工作」的五类缺陷

10 月下旬的全量审查抓到五个缺陷,其中三个同构:报告页分模式正确率的分母只累加答错数(正确率可显示 >100%);题源校验器的「兼容版本集合」漏了当前版本,22 章题源全部误报不一致——噪声把真信号埋了;注册接口的限流只查不记,拦截过期时间恒为零,等于可无限枚举邮箱。它们都是代码看起来在工作,其实从未生效——不报错,只让门禁变绿。第四个更隐蔽:后台「近 7 天报错」拿 ISO 时间里的 T 与 SQLite 时间戳里的空格做字典序比较,空格小于 T,临界那一天整天算错。第五个:登录表单写了 novalidate: "false"——布尔属性存在即生效,原生校验全被关掉,一个语法合法的「关闭关闭」。

同期的两次「上线即坏」级别事故同样有教育意义。其一,引入构建工具当天起,线上产物缺失、整站无样式,靠真实截图走查才发现——修法是产物入库、缺产物时回落源码、线上核验逐个校验资源可取。其二,应用自己导出的备份 100% 被自己的导入器拒绝——写入端与校验端的模式漂移;修法除接受运行时实际形状外,加了一条防漂移单测:把导出函数的真实输出直接喂给导入校验器。而最早的 09-17,第一次真实端到端就抓到两个单测不可见的缺陷:注册按钮实际打的是登录接口;新设备登录后恢复进度但不恢复章节。这件事沉淀为习惯:功能写完先跑真实路径,别信单测的绿——单测只验证「代码按我写的逻辑跑」,不验证「我的逻辑是不是对的」。

3.3　性能：先测后改，病灶不在直觉处

重度用户存档 2600 词 / 376KB,每次点「下一题」的主线程同步处理 p50 为 10.4ms——其中约 8ms 是两次 376KB 的 JSON.stringify(切题函数与渲染函数末尾各一次),而 setItem 本体只有 0.3ms。测量基础设施本身有个插曲:本机构建工具起不来(其自身把路径当参数的缺陷),改用 Node 静态服务器 + 浏览器自动化直连源码目录自建探针。修法很小:落盘函数置脏后排队到微任务,同一任务只写一次最终状态;p50 降到 2.8ms,写入 2→1 次。

但它立刻引出新问题:微任务能赶上关页吗?不能保证。于是必须另开同步出口,在 beforeunload / pagehide / visibilitychange 三处现场落盘,并在切换账号前强制执行;还有一条可靠性专测:点完立刻刷新,进度必须在盘上。**任何「延后写入」的优化,都必须同时回答「什么时候不能再延后」。**这个问题答不上来,优化就是把丢数据的时间窗口从零扩大到一次任务。同构的问题在姊妹篇 ART/RANK 里也出现过,两处修法一致。其余性能数字同源:构建迁移后入口脚本 141→77KB、讲义脚本 77→36KB;词库缓存从「localStorage 只留 2 章」迁到 IndexedDB 全 22 章驻留;空闲预取下一章;指纹化资源配合缓存策略,二次切章零网络请求。

3.4　设计的门禁化

设计规范自称「界面改动唯一事实源」,它的执行靠四项 lint:裸十六进制、界面 emoji、移除焦点轮廓、外部字体源,任何一项出现即检查失败。无障碍不是自查:axe 实测抓出三个语义色在次级面板上不达 AA,改值后把新值写进门禁。z 层级的七级阶梯把「弹层被弹层盖住」这类问题从品味问题变成挂档问题。这一层的共同点是:设计的每条规矩都能失败——不能失败的规范只是愿望。

4　讨论

4.1　教育内容的质量是管线属性,不是模型属性

同一批模型分片,第一版「能出题」,重建后「能考人」——差别不在模型,在判据。把质量判据写成可执行检查之后,质量工作从「抽查这一次」变成「拦住下一批」:三轮整改的 3710 条次全部由机器定位、按约束修复、再由机器复核。这与姊妹篇钢琴系统的「承诺—实现对账」、ART/RANK 的「先测后改」是同一个方法论:测量先于改进,判据先于测量。人的位置也被如实界定:机器不可约的残留(180 条长度比、24 处软错位)留给人工,并且永远会有——管线的目标不是零人工,是把人工从「大海捞针」压缩到「已捞出的针堆」。

4.2　删除与换账号：记忆应用的两道真正难题

写入错误的暴露是即时的,用户自己就是测试;删除错误的暴露是延迟且跨设备的——那个词在另一台设备上复活时,用户不会报错,只会失去信任。本文的做法是用三层机制把「删除」变成与「写入」同等级的一等公民:墓碑让它可见,cutoff 让它不可被旧数据推翻,同毫秒删除优先让它收敛 [1][2]。换账号则是同一问题的命名空间版本:键不带用户后缀、flush 不在切换前执行,数据就会跨账号串号——这类错误同样不报错。数据系统文献把这概括为一句话:正确性很少败给写入路径,多败给副本之间的协议 [3];单用户产品也不例外。

4.3　性能优化的次序

两遍序列化的病灶不在渲染、不在算法,在「同一任务内写了两次」——直觉很少指向这里。本文的经验次序是:先建探针、再找病灶、最后回答「延后之后什么时候不能再延后」。三步里最贵的是第二步之前的那个问题:如果不测,10.4ms 的主线程占用会被「感觉不卡」掩盖;如果不回答第三个问题,优化本身就制造了一次 P0。

4.4　无 CI 的验证纪律

没有 CI 不是缺陷的借口,但需要替代物:push 即部署(约 1 分钟)+ 部署后 36 项线上只读核验,把「线上」变成验证的一层而不是最后一步。这个体系两次抓住静态检查与单测不可见的缺陷(注册按钮打错接口、备份导出被自家导入器拒绝),也付出过代价——最新一轮线上核验 36 项中有 1 项未通过,事后定位是本机网络中断而非产品缺陷,如实记录而不粉饰。

5　威胁效度

**其一,LWW 假设客户端时钟大致可比。**收敛基于客户端本地毫秒时间戳,设备时钟被手动改过,结果会偏向「更晚」的那台;同毫秒删除优先只堵「复活」,不堵时钟偏移。逻辑时钟是已知未做项 [1]。

**其二,性能数据样本极小。**p50 10.4→2.8ms 来自一台机器、一份伪造的 376KB 存档;JSON.stringify 的开销与结构相关,不只是字节数,词量翻倍不能线性外推。

**其三,「重写」没有对照。**第二天重写数据模型是对的,但无法证明「在整章 blob 上打补丁」一定更差——这是一次被结果支持的直觉判断,不是实验结论。

**其四,内容质量的「机器不可约残留」意味着判据覆盖不完备。**约 180 条长度比、24 处软错位在现行判据下合格,质量上限由判据决定;判据的演进(v1.0→v1.2)本身依赖事故驱动,是反应式的。

**其五,文档会漂移。**README 的单测计数(217)落后实际(218)——引仓库文档时以代码与门禁输出为准。

6　结论

三个问题的答案:内容——LLM 生成的教育内容,质量可以是管线属性;规范即提示词、判据即可执行检查之后,质量从抽查问题变成门禁问题,人的位置被压缩到机器不可约的残留上。数据——记忆类应用的正确性确实由删除与换账号决定:墓碑、cutoff、同毫秒删除优先、切号前 flush,四件小事各守一道不会报错的错误。前端——单用户产品的设计与性能可以门禁化,前提是每条规矩都能失败;性能优化必须先测后改,并且回答「延后之后什么时候不能再延后」。

46 天 82 次提交,功能只占其中一部分;另一半花在让「不会报错的错误」无处藏身。这与四篇姊妹篇的结论同形:系统的可信度不在它做对了什么,在它错了的时候会发出声音。

数据与复现

代码在 https://github.com/tripodxu/vocab，线上系统 https://vocab.logicc.top（push 即部署）。题源管线在 scripts/（quiz.mjs 生成与合并、quiz-lib.mjs 校验器、quiz-truncation-scan.mjs 截断扫描、quiz-flag.mjs 逐题缺陷扫描），生成规范与提示词同源在 docs/选择题资料生成规范.md。同步与正确性：迁移 migrations/0003（按词存储）、0006–0008（墓碑 / cutoff / 迁移标记），LWW 规则在 worker/index.js，客户端队列在 public/sync.js，落盘与 flush 在 public/storage.js。设计系统见 docs/设计规范.md 与 public/tokens.css。项目记忆在 MEMORY.md（最新在上）。

参考文献

[1] Lamport L. Time, clocks, and the ordering of events in a distributed system. Communications of the ACM, 1978, 21(7): 558-565.

[2] Shapiro M, Preguiça N, Baquero C, et al. Conflict-free replicated data types. Proceedings of the 13th International Symposium on Stabilization, Safety, and Security of Distributed Systems (SSS), 2011: 386-400.

[3] Kleppmann M. Designing Data-Intensive Applications. Sebastopol: O’Reilly Media, 2017.

[4] W3C. Web Content Accessibility Guidelines (WCAG) 2.1. W3C Recommendation, 2018. https://www.w3.org/TR/WCAG21/.

[5] W3C. Service Workers. W3C Working Draft. https://www.w3.org/TR/service-workers/.

关键词　成对比较；Bradley–Terry 模型；主动学习；设计令牌；主题系统；Cloudflare Workers

1　问题的提出

「从看过的电影里选出 Top 10」，现有工具几乎都是打分制：豆瓣星级、IMDb 评分、各种榜单。分数回答的是「公众觉得它如何」，回答不了「我更想留下哪一个」。成对比较是心理物理学中测量偏好的经典范式 [1]——它不要求用户给绝对分，只要求在两件作品之间做一次取舍；把无数次取舍组织起来，就能得到一份带不确定度的个人名次。

ART/RANK 把这个范式做成了产品：电影、书籍、音乐、其他四类媒介，每次比较只问「这两件里，你真正想留下的是哪一件」，比较序列经过验证与回环检测，最终输出可保存、可导出、可与他人比较的「艺术人格画像」。本文不评述产品体验，只考察它的三个工程问题：

• Q1（算法）：比较次数与结论质量可以按需换挡吗？每一档的代价与边界在哪里？
• Q2（设计）：12 套主题、可导入的主题包、WebGL 开场特效——个性化做到这个规模，如何不牺牲安全与功能确定性？
• Q3（工程）：695 次提交的钱实际花在了哪里？

工程事实先行：695 次提交、30 个数据库迁移、78 个测试文件约 962 个用例、12 套主题、545 个设计令牌。

2　系统与方法

2.1　排序引擎：四种可换挡的档位

经典档（默认）：主动式二分插入——每个新候选与已排序列表的中位比较，逐步收缩插入区间，比较次数 Σ⌈log₂(min(i, topN)+1)⌉，即 O(n log n)。配对冷却 3、作品冷却 4，防止相邻比较被重复问。

简易档：守门员截断——榜单满员后，候选先与榜末「守门员」比一次，输即出局（1 次比较），赢才升级为二分插入且只在守门员之前定位。比较成本估算约为每落选件 1.3 次（模拟拟合的经验系数），适合大清单。

精确档：在经典档上加两类校准。其一，验证数加倍至 max(4, ⌈topN/2⌉)；其二，主动学习 [2]——Top 内从未被直接比较过的相邻对（它们的先后关系全部靠二分传递推断）主动入队复测。完成时报告校准一致率 = 复测一致数 / 复测总数。成本估算 ×1.4。

自适应档：不走二分插入，由在线 Bradley–Terry 模型驱动 [1]。批量坐标上升做 MAP 拟合（先验收缩 0.05），强度方差取对角 Laplace 近似；下一问选「探测方差」最大的一对——information = p(1−p)(σᵢ²+σⱼ²)，外加 0.35 倍的对手覆盖度（保证每件作品接触过至少两个不同对手，防孤岛）；预算 clamp(4n, n−1, n(n−1)/2)。输出不是只有名次：期望名次 = 1 + Σ P(对手排我之上)，名次方差做 Delta 传播后给出 90% 名次区间。θ 与 σ 不新增任何持久化字段，全部由决策日志重推——结论可审计，回放即复现。

回环检测与「真实张力」。每次取舍写一条有向边（胜者→败者）；新偏好产生时在边图上做 BFS，找到从败者回到胜者、长度 ≥3 的路径即偏好回环（A→B→C→A）。回环中每一对入验证队列复测：全部边复测一致且零冲突，才标记为 persistent——「真实张力」。经典/精确/简易档下，复测不改变排序，只记录偏好证据；唯一例外是自适应档：复测结论回流 BT 模型，全部复测结束后按完整模型重建榜单——「复测不再问了白问」。这是对测量学的诚实：有些偏好本来就不满足传递性，系统的选择是保留张力并标注强度，而不是抹平它。

验证阶段。排序完成后自动复测少量相邻对：经典档 min(4, ⌈topN/3⌉) 对榜首先相邻对，简易档只复测守门员边界（榜单尾部），精确档额外入队上述主动学习对。

2.2　设计系统：令牌、主题包与特效

地基是设计令牌：545 个 CSS 变量、194 处 color-mix。12 套内置主题（经典七套 + 新系列五套）建立在同一令牌集上——新系列里的 editorial 族带组件级结构覆写与条件渲染，atlas 则刻意只用变量就做出辨识度，作为「纯令牌能走多远」的样板。主题与布局正交（data-theme 与 data-layout 各自独立）。

主题包的安全模型是本文认为最值得记录的设计。主题包本质是用户生成的 CSS 变量块，注入方式不是过滤而是重建：变量名白名单 77 个、必需集 21 个缺一拒绝、值字符白名单（拒 ;{}@<> 与 url(）、括号平衡校验、单包 ≤16KB、浏览器累计 ≤64KB、只存本浏览器。这与后端「出站请求唯一入口」（2.3）是同一条原则在样式域的复制：安全判定必须有唯一入口。

开场特效走注册表：宿主持有 WebGL 渲染器，四种特效（plasma / halo / blackhole / ribbon）只操作场景；three.js 只允许动态 import——有一条测试守着首屏依赖图，静态引入会被绊线拦截。性能纪律写死：粒子上限 1200、设备像素比钳制 2、additive 混合一律关闭深度写入;prefers-reduced-motion 全局豁免。

无障碍：统一 Modal 组件内嵌 87 行的 FocusTrap（Tab 循环、Esc 关闭、aria-modal），单日为 12 处弹窗接入；44px 触控基线；正文次级色对比度从 4.11:1 修到 4.62:1 过 WCAG AA [3]。

性能：五大视图 React.lazy 拆包，入口 chunk 1072→964 KB（gzip 307→279 KB）；Three.js 从主包摘出后再降 28.4% gzip；海报分页懒加载；PWA 构建期预缓存全部哈希产物。视觉回归以 270 张截图 ×2 轮零差异为基线门禁。

2.3　外部依赖管道与安全收口

数据源是外部的，这决定了系统的一半性格。电影走 suggest API → 搜索页 → Top250 索引 → IMDb 备用四级降级；简介走豆瓣官方详情页（零歧义）→ 维基百科消歧打分（标题/类型声明/年份守卫）→ 百度百科兜底；音乐无 suggest API，详情经网易云与一个部署在 Deno Deploy 的透明代理（它存在的唯一理由是 Cloudflare 出口被上游 520）。防限流参数：4 个 Edge UA 轮换、同域串行节流 800ms、403/418 冷却 (尝试+1)×5s 最多 3 次、单请求 15s 超时。海报解析有五层缓存（内存 → sessionStorage → D1 侧表 → isolate LRU → Edge Cache），其中「D1 侧表」是一次事故的产物：海报 URL 曾混进画像数据导致超 512KB 限额，此后海报 URL 绝不进 items、只走侧表。

安全收口只有一处：全部出站请求必须走 fetchBounded——精确 host 白名单、redirect: manual 逐跳按同一策略复核、响应字节上限；另有一条测试只许减不许增地锁住全仓裸 fetch 计数（一轮审查从 21 处降到 17 处）。用户凭证（网易云 Cookie、豆瓣 dbcl2）一律 AES-GCM 加密入库，断开即删。这些都与 2.2 的主题包白名单同构。

2.4　LLM 的位置：决策而非生成

LLM 在本系统有明确边界，写成四条原则：key 不内置（访客自带）、决策而非生成（与姊妹篇棋类系统「模型只做选择」一脉相承）、降级可用（主链路永不依赖模型）、非关键路径先行。已上线三项：AI 快排（≤255 件一次调用、每件一个 0–100 分直接成榜，千件约 $0.002）、AI 代判（置信度 ≥ 阈值自动落位、可撤销、默认关）、AI 点评。未接通的一项更有教益：维基消歧的模型判决端点已上线，前端却零调用——凭证只存在浏览器 localStorage，而批量消歧发生在 Worker 端，架构错位使端点悬空。消歧的需求本身来自一个真实案例：搜索「Journey」时，「道奇 Journey」与游戏「風之旅人」评分只差 1 分——分数不是置信度，判错了用户看到的就是一辆汽车。

3　结果

3.1　换挡的边界：自适应模式的一条诚实声明

信息量选对的成本先被量出来再被优化：300 件清单上，旧实现每步扫描产生约 4.5 万个临时对象、耗时 17.2ms（占单次取舍 20ms 预算的 85%）；改为一遍扫描零分配后，选出的对手逐字不变（有 golden 指纹看守），300 件全程从 15.5s 降到 3.8s。

更重要的结果是可靠边界。固定 4n 比较预算、回答完全一致的条件下：n ≤ 20 时 Top N 全对；n ≥ 30 时（30/50/100 三组实测）出现排错——未比较对的先验方差（σ² ≈ 40）主导了调度，边界序对信息不足。产品没有隐藏这条边界：设置页据此提示大清单改用经典档。一个算法档位公开自己的失效条件，比把它藏进 FAQ 便宜得多。

另一个反直觉的实测：逐条在线更新 BT 模型是路径依赖的——12 件清单 50 次比较只命中 3/5 名，而二分插入 26 次就 5/5。这就是自适应档改用批量拟合的原因：同一份数据，喂法不同，结论不同。

3.2　回环是信号不是噪声，撤销的病灶在别处

复测纪律如 2.1 所述：不改排序、全边一致才升级「真实张力」、张力分两级标注。工程上更有趣的是撤销：自适应档 300 件清单撤销一步曾耗时 16.4s。直觉指向回环检测的 BFS——实测改成邻接表几乎没变；真正的病灶是撤销每步都在重新拟合 BT 模型（约 12ms/步 × 1309 步）。改为快照栈后撤销 2ms（约 8500 倍），并在代码里留下一条注释：别再把这条当性能病灶来改。先测后改，两次都是——病灶很少长在直觉指的地方。

3.3　设计工程的三次测量

零变更焕新。一次全站界面焕新用了 46 次提交，功能零变更。流程是工具先行、基线冻结、绊线测试锁死高危耦合；期间发现「百分比差异会骗人」——某网格布局的像素差异只有 0.0014%，实际是 display: block 把 grid-template-columns 整个空化了。视觉回归若只看差异百分比，这次破坏会全绿通过。

可及性按数字修。次级文字对比度实测 4.11:1，未过 WCAG AA；调到 4.62:1 收口 [3]。12 处弹窗的焦点陷阱单日接完，接在统一 Modal 上而不是散在各弹窗里。

拆包先做事实核查。首包优化的第一直觉是「qrcode 库太重」——实测后发现错的；真正的大头在路由未拆分。拆完后入口 gzip 从 307KB 到 279KB。优化前先量，直觉的两头都会错。

3.4　外部接口的账单

09-07 一天 28 次提交，几乎没有一次在加功能：海报 502（改为允许跟随重定向、超时放宽、逐段容错——带重试的完整修复要等 09-17）、搜索评分渲染成 [object Object]（接口返回对象不是数字）、管理端鉴权查询漏了 .bind()。09-08 详情抓取被反爬阻断，加「详情失败回落搜索」双路，回落后又冒出同名不同作，再用 subject ID 过滤。09-09 两个经典坑：搜索关键词不能用 + 前缀——URLSearchParams 会把它编码成 %2B，而受害者是维基百科的搜索接口；同天把分享从「整份榜单 base64 塞进 URL」改成短链——base64 链接长到发不出去。

这一段支持一条可推广的判断：依赖外部接口的项目，前期成本与对方接口的整洁程度成正比，与自己的设计水平关系不大。 另有一场典型战役：音乐试听四连误判（CDN 出口被封 → 上游被封 → 网易云出口被封 → 换 Deno Deploy 可达），上线仍全挂，真因是本站 CSP 的 connect-src 缺域名、浏览器静默拦截——症状与上游故障完全一致。跨平台抓取故障要先分清：网络不通、被反爬、被 CSP 拦、被限流，四者的修法互不相干。

顺带一条方法论脚注：仓库时间线文档称 09-12 是「历史上最密集的一天」，git 记录却是 09-09（112 次提交）。文档会漂移，引用前先对 git。

3.5　抽象的账单

09-14 拆分 1000+ 行的根组件：抽工具函数与路由 Hook（−73 行）、抽认证 Hook（−149 行）、抽排序 Hook（−185 行），累计 −407。09-16 三处回归找上门：草稿无限写循环、自动同步无限 PUT、登出保存竞态。仓库的事后归因很朴素——Hook 提取丢失了 effect 依赖数组与守卫；把它综合成一句：原本隐式绑在一起的两件事被拆开后，隐式契约变成了显式契约，而显式契约写错时编译器不会说话。 减掉的 407 行与三条回归，是同一笔交易的两半。

3.6　运行时只有部署才知道的事

10-25 的安全审计里有一条只在目标运行时出现：模块顶层生成随机哑盐，部署直接报 workerd 错误 10021——workerd 禁止在全局作用域调用 getRandomValues。哑盐本来只用于对齐时序，改成固定零盐。同期的平台事实还有一条：PBKDF2 迭代 60 万次在 workerd 全线超时，硬帽实测 10 万；哈希格式自带迭代数字段，此后上调可以平滑进行。加上 3.4 的 CSP 静默拦截，这类错误的共同特征是：本地跑得通、构建通过、类型检查干净，只有部署到目标运行时才暴露。仓库因此有一条成文的铁律：未到线上实机验证不标完成。 另一条同类教训来自「延后写入」：草稿落盘改 500ms 防抖后，切页必须同步 flush——第一次实现里 flush 分支条件互斥、永不可达，成了 P0；修法是给「延后」配一个「不能再延后」的出口，绑在离开排序视图与 pagehide 上，而不是绑在用户的耐心上。

4　讨论

4.1　排序是品味的测量仪器

本文的系统与姊妹篇《不写字的读者》共享一个更深的结构：那边把「一万读者的反应」做成测量仪器，这边把「一个人的偏好」做成测量仪器。两者都在做同一件事——把主观判断变成带不确定度的读数：名次区间、校准一致率、张力分级，都是读数的误差栏。Jev 四原则「决策而非生成」也与《廉价判断与确定性知识》的「模型只做选择」同源：三个系统、同一个模型家族，模型都只被允许在一组结构给出的选项里表达偏好。路线图上的下一步是 Plackett–Luce 品味似然 [4] 与「真实张力 vs 噪声」的模型校准——测量仪器的下一档分辨率。

4.2　主动学习进了消费级产品

精确档的「从未直接比较过的相邻对」与自适应档的信息量选对，本质都是主动学习 [2] 的两个档位：前者探索假设空间里最欠证实的区域，后者按预期信息增益采样。工程上的差别是后者有闭式的信息量（BT 模型给出 p 与 σ），前者只有结构性的判据（从未相遇）。两者在产品里都以「多问几个问题」计价，用户看得见价格——这大概是主动学习文献里少有的一节：被询问者知情。

4.3　设计系统的安全边界

主题包是本系统最「设计」的功能，也是安全上最小心的一处：用户生成的 CSS 走重建式注入而非过滤式清洗，白名单拒绝一切执行语义。这与 fetchBounded 的出站收口是同一条纪律——凡用户可控的输入域，安全判定只留一个入口。设计自由度的价格被显式定价（77 个允许的变量名、16KB 单包上限），而不是靠「相信前端」。

4.4　成本结构：先跑起来，再像样

功能在第二周就基本完成。之后的工作按提交分布看，主要花在三处：别人的接口（降级链、节流、消歧）、目标运行时（workerd 的两条硬约束、CSP）、自己的重构（−407 行与三条回归）。原稿给这篇文的标题「先跑起来，再像样」如今看是对成本结构的压缩表达：先建立可测的完整回路，再让每一层像样——因为只有跑起来，才知道哪里最不像样。

5　威胁效度

其一，提交数不可作进度。 无法区分「必要」与「返工」：拆 Hook 减 407 行、引入 3 处回归是可量化的交换，但更多提交是「上游变了 → 改解析器」式的被动响应。用提交数衡量进度在此严重失真。

其二，回归数量不可外推。 「拆 Hook 引入三处回归」是一个项目的观察，不是一条规律。

其三，审计结论有时效。 3 high / 4 medium / 4 low 是 09-27 那一刻的状态；每加一个接口数字都可能回升。安全审计是周期，不是事件。

其四，两个统计量有定义无实测。 校准一致率与 90% 区间覆盖率在代码中有严格定义，但未发布实测值——本文不给出未经测量的数字，二者是现成的下一步实验。

其五，设计判断来自单用户。 「好听 / 好看」的全部判断不可外推；本文能主张的只有结构与测量层面的结论。

其六，仓库文档自身会漂移。 迁移数在 README 中出现过 29 与 30 两个值，「最密集一天」与 git 矛盾。本文引用处一律以代码与 git 为准。

6　结论

三个问题的答案如下。算法：比较成本可按档换挡（1.3 次/件 → O(n log n) → ×1.4 → 4n），但每一档要公开自己的失效条件——自适应档的 n ≤ 20 是实测出来的边界，不是拍出来的参数；回环与张力说明偏好测量必须容忍非传递性。设计：个性化可以规模化的前提是每一层都有机器可查的契约——令牌地基、重建式注入、绊线测试、零差异基线；「百分比差异会骗人」一例足以说明为什么设计需要工程。工程：695 次提交的钱花在别人的接口、目标运行时与自己的重构上，而不是花在更多功能上；铁律只有一条——未到线上实机验证不标完成。

数据与复现

代码在 https://github.com/tripodxu/film-sort，线上系统 https://sort.logicc.top。排序四档位实现于 src/lib/ranking.ts（简易/经典/精确）与 src/lib/adaptiveRanking.ts、src/lib/preferenceModel.ts（自适应 BT 模型与 90% 区间）；回环检测与张力分级同在 ranking.ts。主题系统见 src/lib/theme.ts 与 docs/THEME-PACKS.md（重建式注入的安全模型），特效见 docs/ORB-EFFECTS.md。外部管道与防限流参数见 docs/ARCHITECTURE.md 与 docs/DOUBAN_API.md。历史决策见 docs/memory/DECISIONS.md，战役复盘见 docs/memory/EPISODES.md，发布铁律见 docs/agents/CONVENTIONS.md §8。判定模型在三个姊妹系统中的另两个用法见本博客《廉价判断与确定性知识》与《不写字的读者》。

参考文献

[1] Bradley R A, Terry M E. Rank analysis of incomplete block designs: I. The method of paired comparisons. Biometrika, 1952, 39(3/4): 324-345.

[2] Settles B. Active learning literature survey. Computer Sciences Technical Report 1648, University of Wisconsin–Madison, 2009.

[3] W3C. Web Content Accessibility Guidelines (WCAG) 2.1. W3C Recommendation, 2018. https://www.w3.org/TR/WCAG21/.

[4] Plackett R L. The analysis of permutations. Journal of the Royal Statistical Society: Series C (Applied Statistics), 1975, 24(2): 193-202.

2009

网络层——IPV4

2010

数据链路层——介质访问控制

2011

应用层——万维网

2012

传输层——TCP

2013

网络层——路由算法与路由协议

2014

网络层——路由算法与路由协议

2015

网络层——IPV4

2016

传输层——TCP

2017

数据链路层——流量控制与可靠传输

2018

网络层——IPV4

2019

网络层——网络层设备

2020

网络层——IPV4

2021

应用层——万维网

2022

网络层——IPV4

2023

应用层——文件传输协议

2024

网络层——路由算法与路由协议

2025

数据链路层——流量控制与可靠传输

1.

注意：（1）（2）（3）GBN协议；（4）信道利用率

数据链路层——介质访问控制

1.

注意：（1）最长最短检测冲突时间，（2）有效传输速率

网络层——IPV4

1.

注意：（1）子网划分（2）路由信息，注意互联网的目的IP和子网掩均为0,0,0,0( 使用默认路由)（3）路由聚合

2.

注意：（1）DHCP分配子网时，主机号全0，全1不可以使用；DHCP的报文信息（2）ARP相关（3）配置子网掩码和默认网关

3.

（important）注意：（1）注意分配给路由器的IP地址；（2）注意分片必须要为8的整数倍

4.

(important) 注意：（1）NAT的配置（2）数据报经过转发之后的原IP地址和目的IP地址的变化（只有一个变化，出的路由器改变源地址，入的路由器改变目的地址）

http的端口号为80

5.

注意：（1）的多种设备的隔离方式；（2）最短帧长的计算（以太网为64B）；（3）DHCP的过程；（4）AP与802.11

前往2016年的36题 前往802.11帧

网络层——路由算法与路由协议

1.

注意：（3）边界网关协议及其所用分组

去往知识点

2.

(important)注意：（1）的路由合并根据最短的代价确定转发端口；（3）互联网使用0.0.0.0

3.

（important）注意：全部

网络层——网络层设备

1.

注意：（1）（2）（4）

传输层——TCP

1.

（important）注意：全部

2.

去往TCP断开连接

(important)注意：全部

应用层——文件传输协议

1.

（important）注意：全部，尤其是FTP的序号问题；以及慢开始部分收到一个确认，拥塞窗口就加1

应用层——万维网

1.

（important）注意：全部

2.

（important）注意：（1）（2）

算法题

2009 链表
2010 顺序表
2011 顺序表
2012 链表
2013 顺序表
2014 二叉树遍历
2015 链表
2016 交换排序
2017 二叉树遍历
2018 顺序表
2019 链表
2020 顺序表
2021 图的存储
2022 二叉树遍历
2023 图的存储
2024 图的应用

应用题

2009 图的应用
2010 散列表
2011 图的应用
2012 树的应用
2013 顺序查找
2014 图的应用
2015 图的存储
2016 二叉树概念
2017 图的应用
2018 图的应用
2019 队列
2020 树的应用
2021 归并/基数/计数排序
2022 选择排序
2023 外部排序
2024 散列表

2009

算法题：链表
应用题：图的应用

2010

算法题：顺序表
应用题：散列表

2011

算法题：顺序表
应用题：图的应用

2012

算法题：链表
应用题：树的应用

2013

算法题：顺序表
应用题：顺序查找

2014

算法题：二叉树遍历
应用题：图的应用

2015

算法题：链表
应用题：图的存储

2016

算法题：交换排序
应用题：二叉树概念

2017

算法题：二叉树遍历
应用题：图的应用

2018

算法题：顺序表
应用题：图的应用

2019

算法题：链表
应用题：队列

2020

算法题：顺序表
应用题：树的应用

2021

算法题：图的存储
应用题：归并/基数/计数排序

2022

算法题： 二叉树遍历
应用题： 选择排序

2023

算法题：图的存储
应用题：外部排序

2024

算法题：图的应用
应用题：散列表

线性表——顺序表示

1.

注意：使用倒转的方法进行三次循环，或者更易想到的是借助辅助数组

2.

注意：另解更易想到，但时间复杂度会高一点为O（n）

3.

注意：经典算法，但不需要死磕最优解

4.

注意：观察要求是在空间上最优还是时间上最优，这道题运用了桶排序的思想

5.

注意：具体问题具体分析，转换为已知的问题，化繁为简

线性表——链式表示

1.

注意：快慢指针

2.

注意：还是快慢指针，或者使用头插法倒置，寻找到第一个下一位指针不同的节点即为所求节点，但这会破坏链表，时间复杂度一致

3.

注意：使用辅助数组记录是否出现过，进行时间上的优化

4.

注意：快慢指针（确定中间节点）+倒排（使用了头插法）+交错遍历合并链表

倒排过程中可以将p看成头指针，r是暂存指针，q->next = p->next;是将对象指针插到头节点之后（即该链表的最前面）；p->next = q;是重新确定头指针

交错遍历合并链表过程中q->next = s->next;是将q节点放到s节点的下一节点之前，s->next = q;是将s放到q之前

队列

1.

注意：循环队列

树与二叉树——二叉树的概念

1.

注意：

（1）有m个非叶节点，那么就有mk个由非叶节点的孩子，去除掉非叶节点（根节点除外，除了根节点外其他非叶节点也是非叶节点的孩子节点）（m-1），即为叶节点

树与二叉树——二叉树的遍历与线索二叉树

1.

注意：两种方法计算WPL

2.

注意：中序遍历的变式

3.

注意：！！

解法一的优化版：

二叉搜索树需要满足的条件是：任一结点值大于其左子树中的全部结点值，小于其右子树中的全部结点值。中序遍历二叉搜索树得到一个升序序列。

使用整型变量 val 记录中序遍历过程中已遍历结点的最大值，初值为一个负整数，对二叉树进行中序遍历。若当前遍历的结点值小于等于 val，则算法返回 false，否则，将 val 的值更新为当前结点的值。

2）算法实现

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

// val 存储中序遍历中访问到的最大值
// 返回值：当前子树是否为 BST
bool solve(SqBiTree *tree, int k, int *val) {
  if (k >= tree->ElemNum) {
    // 空结点
    return true;
  }
  // 判断左子树是否为 BST
  bool ret = solve(tree, 2*k+1, val);
  if (!ret) {
    return false;
  }
  int cur_val = tree->SqbiTNode[k];
  if (cur_val == -1) {
    // 空结点
    return true;
  }
  // 判断中序序列是否递增
  if (cur_val > *val) {
    *val = cur_val;
  } else {
    return false;
  }
  // 判断右子树是否为 BST
  ret = solve(tree, 2*k+2, val);
  if (!ret) {
    return false;
  }
  return true;
}

树与二叉树——树的应用

1.

注意：（1）

2.

注意：（1）（3）

图——图的存储与基本操作

1.

2.

3.

图——图的应用

1.

2.

注意：（1）（3）关键路径的求法和暴力枚举

3.

注意：计算机网络与数据结构融合

4.

注意：（2）

5.

注意：（1）（3）

6.

注意：拓朴排序是否唯一

查找——顺序查找和折半查找

1.

注意：（2）

查找——散列表

1.

注意：（1）的装填因子（2）的查找失败次数

2.

排序——交换排序

1.

注意：快速排序

排序——选择排序

1.

注意：即维护一个当前状态下满足条件的数据结构

排序——归并排序，基数排序，计数排序

1.

注意：分析（3）

排序——外部排序

1.

注意

1.1操作系统的基本概念

1.2操作系统发展历程

1.3操作系统的运行环境

1.6虚拟机

微内核的特点

操作系统的引导过程

2.进程与线程

2.1进程与线程

进程

概念

特征

组成

进程的状态和转换

进程控制

创建

中止

阻塞与唤醒

进程的通讯

线程

概念

线程VS进程

属性

线程的状态和转换

线程控制

线程的实现方式

多线程模型

2.2CPU调度

调度的概念

概念

层次

三级调度的关系

调度的实现

调度程序（调度器）

调度的过程

进程调度的方式

闲逛进程与两种线程的调度

调度的目标

进程切换

CPU调度算法

先来先服务（FCFS）算法

短作业（SJF）优先算法

高响应比优先算法

优先级调度算法

时间片轮转（RR）算法

多级队列算法

多级反馈队列算法（较优）

基于公平原则的算法

总结

多处理机调度

2.3同步与互斥

概念

实现临界区互斥的基本方法

软件

单标志法

双标志先检查法

双标志先检查法

Peterson算法

硬件

中断屏蔽

硬件指令–TestAndSet

硬件指令–Swap

互斥锁

信号量

整型信号量

记录型信号量

利用信号量实现互斥

利用信号量实现同步

利用信号量实现前驱关系

经典问题

生产消费者问题

读者写者问题

哲学家进餐问题

管程

2.4死锁

概念

死锁的定义

死锁与饥饿

产生原因

死锁产生的必要条件

死锁的处理策略

死锁预防

死锁避免

安全状态

银行家算法

安全性算法举例

银行家算法举例

死锁检测和解除

死锁检测

死锁解除

3.内存管理

前往计算机组成原理的存储系统

3.1内存管理概念

内存管理的基本原理和要求

逻辑与物理地址

程序的链接和装入

进程的内存映像

内存保护

内存共享

内存分配与回收

连续分配管理方式

单一连续分配

固定分区分配

动态分区分配

原理

基于顺序搜索的分配方法

基于索引搜索的分配算法

基本分页存储管理

概念

基本地址变换机构

具有快表的地址变换机构

两级页表

基本分段存储管理

分段

段表

地址变换机构

分页和分段的对比

段的共享与保护

段页式存储管理

3.2虚拟内存

请求分页管理方式

页表机制

缺页终端机构

地址变换机构

页框分配

驻留集的大小

内存分配策略

物理块调入算法

调入页面的时机

从何处调入页面

如何调入页面

页面置换算法

最佳置换算法

先进先出算法

最近最久未使用算法

时钟置换算法

简单时钟算法

改进型clock算法

抖动与工作集

页框回收

页面缓冲算法

页框回收

内存映射文件

虚拟存储器的性能影响因素

地址翻译

4.文件管理

4.1文件系统基础

文件的相关概念

定义

属性

分类

文件控制块与索引节点

文件控制块

索引节点

文件的操作

基本操作

文件的打开与关闭

文件的逻辑结构

文件的物理结构

连续分配

链式分配

隐式链接

显式链接

索引分配

文件保护

4.2目录

目录的操作

目录的结构

目录实现*

文件共享

硬链接

软链接

4.3文件系统

文件系统结构

文件系统布局

文件系统在磁盘中的结构

文件系统在内存的结构

文件存储空间管理

空闲表法

空闲链表法

位示图法

成组链接法

虚拟文件系统

5.输入输出管理

前往计算机组成原理的输入输出系统

5.1I/O管理概述

I/O接口

I/O端口

I/O软件层次结构

5.2设备独立性软件

缓冲区

单缓冲

双缓冲

缓冲循环

缓冲池

对比

设备分配与回收

虚拟设备属于可共享设备

设备分配的数据结构

设备分配的步骤

逻辑设备名到物理设备名的映射

假脱机技术（SPOOLing技术）

设备驱动程序接口

举例

5.3磁盘和固态硬盘

磁盘

磁盘的管理

磁盘调度算法

存取时间

调度算法

FCFS

最短寻道时间优先

扫描算法（电梯算法）

循环扫描算法

比较

减少延迟时间的方法

提高I/O速度的方法