Bab 32 — Institusi yang Dapat Diverifikasi, Direvisi, dan Dikembangkan

第三十二章　可验证、可修订与可演化的制度

制度一旦进入技术系统，就不再只以文字存在。谁可以提交贡献、何种证据使其进入确认程序、什么条件下形成收益请求、谁能修改参数、何时可以暂停执行，都可能成为实际运行的权限与状态转换。技术使规则更易被持续执行，也使规则中的缺口、偏差和权力分配更直接地影响参与者。因而，制度技术不能只追求“按既定代码自动运行”，还要能说明其规则、检查其后果、纠正其错误，并在有效授权下演进。

本书的基本判断在这里达到一个新的层次。区块链可以使多方对某些记录和操作保持一致，却不负责决定共同创造的全部价值，更不会让制度自动正当。可验证，是检查事实、规则和执行之间能否对上；可修订，是承认既有设计可能不完善并设立更正途径；可演化，是在长期合作中积累经验、调整安排，同时保护参与者有理由信赖的承诺。三者必须同时成立，才有可能让制度技术支持共同成长。

前章讨论不同组织如何解释和组合各自的规则。本章作为正文最后一章，把视角转向制度自身的检查、试验与修订，并强调一个不能交给系统自动完成的判断：什么改变是改进，什么改变只是把成本转嫁给更弱的一方。

一、从制度文本到可检查的规则模型

制度文本通常用概念、原则和例外来表达共同意图。它允许解释，也依赖人们对具体情境作出判断。要把其中一部分放进数字系统，首先需要找出哪些内容已经足够明确，哪些仍留有裁量。若“重大贡献”“合理分配”尚未确定证据和程序，就不能假装通过一段代码把它们变成精确事实。规则模型应当暴露未决问题，而不是掩盖它们。

一个可检查的模型至少要说明主体、角色、权限、对象、状态、触发事件和义务。以贡献确认为例，应区分提交者、被归属者、验证者和异议者；区分“已提交”“待补证”“已确认”“被驳回”“争议中”“已更正”；规定每种状态由谁、凭什么证据改变，以及改变后是否产生新的请求。规则模型还要指出哪些后果由程序直接执行，哪些只能在具有权限的人作出决定后生效。

从文字到模型，不能省掉权利的相对面。有人取得收益请求，就应能找到负责核算和履行的主体；有人获得治理权限，就应能说明其授权来源和作用范围；有人能够撤销贡献确认，就应能看到通知、理由与复核程序。若模型只包含账户余额和操作按钮，缺少义务主体与救济路径，它可能是可运行的软件，却不是充分表达资本治理关系的制度模型。

可检查性有不同层次。结构检查问是否存在无主体、无依据或无期限的权利状态；一致性检查问相同条件是否在不同模块得到冲突结果；过程检查问未经授权者是否可能改变已确认记录、争议期间是否可能继续错误支付；效果检查则问规则运行后是否真的改善了协作。前三者可以在一定范围内借助形式化描述、测试和审计；最后一项不能只由代码推导，必须观察真实参与者与组织行为。

规则模型还应把关键的“不应发生”写清楚。例如，一项贡献不经确认不能直接生成已到期收益；退出不能自动消灭此前已归属请求；同一任务不能被重复结算；处理自身争议的审查者不能同时充当唯一裁决者。这类约束可以转为系统不变量并在有限模型中检查。TLA+ 的模型检查资料〔1〕说明，形式工具能检查所建模型的行为是否满足所写性质；它不能证明模型遗漏的现实事实不存在，也不能代替对性质本身是否公正的判断。因此，形式检查的成果应与制度审议并列，而非取而代之。

规则版本、证据类型及术语解释也应纳入模型。一项“已验收”究竟意味着收到文件、质量合格还是开始实际使用；相同字段在不同组织中是否指同一事实；证据被撤销后依赖它的请求如何处理，都需要明确。可检查的制度，不是把所有复杂性消除，而是使各方能定位复杂性所在，并知道谁有权解释和处理。

二、在仿真与有限试验中检验制度后果

规则在纸面上自洽，不代表其激励和分配后果可接受。贡献计量可能鼓励拆分任务以多领分数，审核门槛可能使小组织难以进入，自动结算可能在错误证据被纠正前完成不可逆支付。仿真与有限试验的价值，是在影响扩大之前寻找这些后果，并检验制度是否具备纠错能力。

仿真应从问题出发，而不是把一组理想参与者放入系统后展示漂亮曲线。至少要纳入不同资源与议价能力的主体、正常与恶意行为、证据延迟、系统故障、规则版本变化和退出。可以设置若干边界情境：贡献被多人共同完成，验收者与受益者存在利益关系，外部智能体批量提交近似成果，支付后发现凭证错误，某个大型参与者威胁退出。观察的不是“平台运行了多少笔交易”，而是风险由谁承担、谁能及时提出异议、错误能否被纠正。

仿真结果依赖所设假设。参与者是否会为长期声誉克制短期套利、审核者是否有足够时间复核、客户是否愿意提供真实反馈，都不能从模型自身得到保证。应公开关键假设，做敏感性分析，并记录哪些结论会随参数变化而反转。仿真没有发现问题，只表明在给定场景、参数和模型边界内尚未发现；不能宣布制度已经通过现实检验。

有限试验则应把范围、时间和损失边界事前确定。先选择可追溯的业务流程、有限数量的参与者及明确的退出方式，运行完整的“承诺—投入—交付—确认—回报—评价—修订”闭环。试验要包括真实的申诉和更正，而非只验证正常路径。涉及权益的承诺应说明其效力、资金或资源来源及争议处理方式；不能把尚未获授权的实验积分呈现为已成立的财产权。

评价需设置对照。没有区块链时，用数据库、签名日志或现有合同程序能否达到类似效果？若多方对账更快，是账本机制的作用，还是参与者因试点而集中投入了更多管理资源？若争议减少，是规则变清楚，还是弱势者放弃申诉？应将技术效果、制度效果与经营效果分别记录，并观察成本是否从组织转移给个人或合作伙伴。试验的成功标准应在启动前确定，避免结果出现后调整叙事。

有限试验还要设计停止条件。若虚假贡献无法有效识别、错误支付不能及时纠正、隐私泄露风险超出控制能力、关键参与者缺少可行的申诉渠道，就应暂停扩大范围，并先修订相应制度。试验不以“必须上线成功”为使命；诚实地发现不适用条件，也是制度研究的重要产出。

三、反馈、审议、授权与版本演进

制度演进不等于参数自动优化。参与者的反馈可能指出事实错误，也可能指出规则本身不公平；运营数据可能显示执行缓慢，却无法解释等待是否来自必要的审查。要使反馈可用，需要区分服务故障、证据缺陷、规则解释分歧、权力配置失衡和外部环境变化，再分别进入技术修复、个案救济或制度修订程序。

反馈通道应允许受影响者表达具体后果。提交意见后，制度应说明谁受理、何时答复、是否可以请求复核，以及重复出现的问题如何上升为规则议题。只让高频用户或大额持有人参与反馈，容易使不经常使用系统、但承受较高风险的人被忽略。投诉数量低也不能直接表明制度良好，可能是渠道难用或参与者担心提出异议后的合作机会。

规则修订需要可审议的提案。提案应列明要改变的条款、拟解决的问题、受影响主体、预期收益、可能损失、实施成本和替代方案；若涉及收益、治理或退出条件，还应分别分析已有请求和未来关系。支持者可以提出效率理由，反对者也应有机会提供反例。审议不是机械计算赞成票，而是让影响和理由能够被看见、回应并记录。

授权应与改变的性质相称。修正明显错误的显示文字、调整不影响实质权益的技术参数，与改变贡献评价权重、收益资格或申诉期限，并非同一等级。前者可由受托运营者按限定权限处理；后者可能需要更广泛的代表、通知、表决、个别同意或其他有效程序。即使协议层多签已经通过，也仍须核查签署者是否有权改变相应承诺。技术授权是制度授权的一部分，不是其全部。

每次修订都应形成版本关系：旧规则适用于哪些事件，新规则何时生效，进行中的任务如何过渡，已确认贡献与已归属请求如何保留，软件升级与数据迁移怎样实施，以及如果新规则失败如何恢复。版本记录应允许参与者回答“当时适用哪份规则、由谁批准、我为何受到影响”。版本可追溯，才有可能在争议中还原共同承诺；只有最新版本而没有过渡依据，反而会让制度演进成为追溯改写。

反馈可以持续，正式修订却需要节制。过于频繁的参数变化会使参与者无法预期投资和合作回报；长期拒绝修订又会把早期设计错误固化。可设置定期评估与有限的紧急修订通道，前者用于系统性调整，后者仅处理明确、迫切、范围可控的风险。紧急决定要有期限、理由、事后复核及补偿安排，不能把“安全”当作永久绕过共同决策的通行证。

四、演化边界：基本权利、稳定承诺与人的最终责任

制度能够演化，不意味着一切都可由多数、平台或算法重新分配。首先应保护参与者作为人的基本地位：有机会知悉与自身有关的重要决定，能够质疑错误事实，拥有合理的隐私与退出路径，不因技术能力不足而被任意排除。不同组织和地区对这些要求有不同具体规定，本书不以技术模型替代适用法律；但在制度设计上，若没有最低限度的知情、申诉和责任通道，“共同治理”就缺少实际基础。

稳定承诺是第二条边界。参与者依据公开规则投入时间、资源与声誉后，制度不能在结果已出现时单方改写归属。应区分尚未形成的未来资格、附条件的期待、已经归属的请求和已经到期的履行义务。未来规则可以经过授权调整，既有请求则需要按原约定和适用法律处理；确有必要修改时，应说明依据、受影响范围、个别同意或过渡措施及救济。对不确定性的诚实披露，比含糊地许诺“永久权益”更能建立长期信任。

人的最终责任是第三条边界。模型可以推荐贡献分配，智能合约可以执行明确条件，共同账本可以保存决定过程，但谁制定评价目标、谁批准高影响变更、谁面对错误承担解释和补救义务，仍须落到可识别的人或组织。不能因为算法复杂，就把歧视性结果说成“数据自己的选择”；也不能因为多数节点同意，就取消受影响者的合理救济。技术越能自动行动，责任主体越需要在事前明确。

这些边界并非阻碍创新，而是区分“演化”与“漂移”。演化是观察后果、提出理由、征求意见、按权限修订并检验新结果；漂移则是在无人负责的参数更新、平台规则和默认设置中，使参与者的地位悄悄改变。判断一项修订是否改进，应同时看协作效率、真实成果、权利兑现、风险分配和受影响者的可参与程度，而不是只看交易吞吐量或短期总收益。

五、制度编译、回归检验与发布门槛

制度从文本进入运行，可以被理解为一条受治理的“编译链”：原则和条款先转化为主体、权限、状态、事件与约束，再转化为流程、配置或合约，最后在具体数据和行动中产生结果。这个比喻不意味着制度只是程序，而是要求每次转化都能回到上一级依据。若代码中存在一个改变收益的参数，却找不到相应批准文本；若文本承诺了申诉，系统中却没有可到达的入口，都说明编译链已经断裂。

回归检验用于防止一次修订破坏先前保护。每个版本至少应保留一组制度不变量和反例：未确认贡献不能直接产生到期收益；争议中的局部记录不能冻结无关请求；退出不能抹去已归属权利；任何高影响自动操作都能追溯到有效授权；紧急权限不能无限期持续。新版本即使提高效率，只要使这些保护失效，就不能以普通软件升级名义发布。

制度回归还要包含分布后果。相同规则可能对资源充足者和小型参与者产生不同负担；平均处理时间缩短，不能掩盖少数申诉被长期搁置。测试情景应覆盖不同角色、能力、信息和依赖程度，检查谁得到便利、谁承担新增证明成本、谁失去议价或退出能力。模型无法替代受影响者表达，但可以迫使设计者在发布前呈现这些差异。

发布门槛应与变更影响相匹配。低风险文字或界面修正，可以由受托运营者处理并留档；改变计算逻辑、权限或证据要求，需要独立复核和限定试验；改变收益资格、治理权、退出或救济条件，则应进入正式制度修订，并对既有请求作专门评估。软件部署完成不是制度生效的充分条件，制度批准完成也不表示技术已经正确部署。系统应分别显示批准、部署、核验和正式适用状态。

对于高影响版本，可以采用影子运行：新规则在不改变正式权利的条件下处理同一批输入，把结果与现行规则比较，发现差异后由有权主体审议。影子运行不能长期秘密评价参与者，也不能把实验结果用于事后追溯处分。其用途是暴露后果、验证迁移和准备救济，而不是绕过正式生效程序。

制度演化的最小闭环因此是：提出问题，形成可比较方案，检查规则模型，运行有限试验，公开影响，取得有效授权，分阶段发布，监测后果，提供救济，再决定维持、修订或回退。区块链可以保存版本和决定的关联，也可以约束部分发布条件；“哪一种后果值得追求”仍然必须由负责任的人和组织在可审议的制度中决定。

六、未来命题卡：受宪制约束的制度演化

这里的“可验证”始终是有范围的：可以检查明确写入的结构、约束和行为，不能证明未被表达的价值判断已经正确。这里的“可演化”也始终是受约束的：它允许在证据和审议基础上改善制度，不允许算法、平台或一时多数自行取得追溯改写基本权利和稳定承诺的权力。

本书从区块链的制度技术属性起步，经由数字资产转移、共同账本、共识机制、贡献证据、资本形成与多方治理，走到可演化制度的门口。未来的可能性不在于把所有关系写进一份不可更改的代码，而在于让共同创造的事实更容易被核验，让承诺更可靠地得到执行，让错误更有程序地得到纠正，让制度改进仍受参与者控制。这些都还是需要持续检验的命题。只有当技术始终服务于清楚的权利义务和真实的共同成长，它才配得上“利益相关者资本治理的底层技术”这一称谓。

定稿补强：把未参与者和退出者纳入制度反馈

制度反馈不能只来自活跃参与者。没有进入系统的人、曾经退出的人、少数群体以及受到间接影响的主体，往往最能揭示准入、成本、权力和救济的问题。只从成功完成流程的人取样，会系统性低估沉默、放弃和被排斥的成本。

制度试验应预先定义受影响群体，设置退出访谈、未完成路径、申诉与沉默数据，并允许独立研究或代表机制补充难以直接发声的群体。评价结果按群体拆分，检查平均改善是否掩盖少数人的显著损失。制度演化的证据，既包括系统内部的效率，也包括谁无法进入、谁承担代价以及谁选择离开。

本章工具与图表

本章的制度关系可结合附录八、附录十三使用。附录用于形成可填写、可核对的工作成果，不能把模板中的默认项视为已经生效的组织规则。

图32-1　制度版本演进与稳定承诺保护。 演化发生在授权程序中；基本权利、既有承诺和人的最终责任构成外部边界

本章注释

1. [SRC-056] Leslie Lamport：TLA+ 的模型检查资料。原文或官方页面
   • 本章引证：TLA+ 的模型检查资料。
   • 支持范围：用于展示具体实现方式、工具接口或实践中的可行安排，本书引用主题包括：TLA+ 的模型检查资料。
   • 使用边界：实现资料用于说明可行技术路径，不等同于独立安全审计、法律效力或经营效果证明。
   • 证据等级：C（实现层或第三方技术资料，用于说明具体工具与实践）；链接状态：已完成可访问性核验，核验日：2026-10-08。