English course · 简体中文版（扩展课程）
人工智能与制度 · 第 6 课，共 8 课
连接发现、质疑、诊断、决策权限、补救和学习各环节。
建议约 75 分钟，包括练习。
配套阅读 Better Answers, Worse Decisions（《更好的答案，更差的决策》，暂译）： 第13章. 该书另行销售。本课程不提供书稿或章节下载。
列出一个重要错误必须经过的处理阶段：发现、独立质疑、专业诊断能力、叫停或撤销的权限、补救，以及制度性学习。这是一个设计框架，并不是说所有机构都遵循同样的顺序，也不是说有了检查清单就能保证成功。有些步骤会同时发生；有些需要外部机构参与。重点是让各环节之间的连接清晰可见。
即使有一整套控制措施，纠错路径也可能在其中断裂。监测工具可能发现了漂移，却没有通知负责该项决策的团队。调查人员可能查明了原因，却无权暂停系统。针对个人的补救，可能没有触及共同原因。应测试证据能否在不同阶段之间传递，并改变下一步行动。
对于每一处连接，都应记录输入信息、接收方、时限、需要作出的决定，以及保留的证据。“已上报管理层”过于笼统，无法测试。具体是哪一个管理岗位？需要哪些信息？如果此人不在场怎么办？何时，回应延迟本身就会触发另一种行动？一个可用的计划应经得起棘手个案的考验，而不只适用于各方都配合的情况。
既要考虑后续风险，也要回溯既有影响。暂停有故障的流程可以防止新的风险暴露，却无法找出所有已经受到影响的人。更正数据库，并不意味着依赖它的决定都会被重新审视。补救可能需要沟通、重新评估、恢复业务运行或赔偿。适当的形式取决于实际义务和损害，而不是哪一种技术修复最方便。
应保留当时已知的信息、原始决定，以及修改决定的原因。否则，机构可能看起来从一开始就是正确的，理解失误所需的证据也就丢失了。应保存版本，并区分更正后的输出与曾经影响行动的历史输出。
修复之后，要测试根本原因是否已改变，以及纠错是否产生了其他问题。应复测受到影响的依赖环节，而不只是检查最终显示的界面。应记录证据的局限。一次成功的纠错，只能支持对该项修复作出有限结论，不能成为整个系统安全的证明。
针对虚构的资格判定错误，分配一个个案标识，并记录源数据版本、受影响的规则、发现时间、已知影响范围，以及不确定之处。第一位接收者应当能够判断所请求的行动，而无须重新拼凑整个事件。应在保存任何更正后状态的同时，保留原始输入和决定；绝不能修改历史记录，让原决定看起来像是正确的。
设置六个检查点：发现问题的证据、质疑已被受理并进入调查、诊断获得证据支持、暂停或撤销已获授权、受影响的决定已得到补救，以及修复已接受复测。每个检查点都应描述一个可观察的结果。一条写着“已发送给团队”的消息，只能证明发送，不能证明调查。数据库经过修改，只能证明数据发生了变化，不能证明所有受影响者都已获得补救。
在中断之后增加核对步骤。如果某条指令可能已经执行，应先检查实际结果，再决定是否重复执行。否则，一次恢复尝试可能造成重复付款、重复通知或重复记录。在书面推演中，要求学员维护待处理、已确认和不确定等状态，并列出允许每次状态转换的证据。不要仅仅因为工作流程包含一个标识，就声称它能保证“恰好执行一次”。
向每个小组提供一份停在不同阶段的事件日志：已更正输入、已授权撤销，或已完成下游更新。要求他们指出哪些事项尚未解决，以及需要什么证据才能了结。由另一个小组加入接收者缺席或更新版本发生冲突的情况。学员必须保留那些更新的工作，而不能为了完成自己的检查清单就将其覆盖。
提交一页交接日志，以及一份结案说明。英文原版的篇幅要求为250词；如用中文作答，可选择约500字的适配篇幅，这不是逐词对应的等值换算。结案说明必须指出已经核实的修复、其适用范围，以及任何剩余的不确定性。在复盘中，对比纠正眼前结果与改变产生该结果的流程之间的区别。
本课程虚构示例
在一项虚构服务中，一个导入字段错误地排除了一部分申请者。监测发现了差异，但工作人员最初只修正了显示值。
由此可得： 如果数据看起来已经正确，但过去的决定和下游副本仍然有误，那么纠错就还没有完成。
先作答，再查看反馈
选择一个虚构错误。写出包含六个阶段的纠错路径，并加入一种中断：负责人不在场、某个来源不可用，或首次质疑被拒绝。说明路径如何继续推进。
有说服力的计划应设置获授权的替代接收方，以及符合比例原则的临时处置状态。它不会悄悄删除不利记录，也不会假定修复源头就能自动修复所有依赖该源头的决定。它还会说明哪些事项目前仍无法核实。
可选扩展 · 约 15 分钟，另计于核心课程用时
某虚构服务从一个稳定总体中独立抽取100个案例，测试纠错流程。每个案例的结果只有成功或失败，所有失败均能被发现，真实失败概率p保持不变。试验未观察到失败。这些是教学假设，不是真实服务已经得到验证的性质。
用零失败的概率(1 − p)^n，检验“流程已无实质性剩余风险”这一主张。下面计算针对事先确定的固定样本，不适用于反复检验直至得到满意结果的做法。
| 试验 | 测试案例数n | 观察到的失败数 | 观察到的成功数 |
|---|---|---|---|
| A | 100 | 0 | 100 |
| B | 300 | 0 | 300 |
A试验中，0.99^100约为36.60%。即使真实失败概率为1%，观察到零失败也并不罕见；它不能证明风险为零。
解得p_upper = 1 − 0.05^(1/n)。A试验的上限约为2.95%，B试验约为0.994%。这是题设模型下的精确单侧二项分布置信上限，不是双侧95%置信区间。
所需样本量满足n ≥ log(0.05) / log(0.99)，约为298.073，因此至少需要299个零失败案例。这是样本量计算，不是普遍适用的部署要求。
置信水平描述该方法在假设成立时的长期覆盖率。它不是“本次未知p低于所算上限的后验概率为95%”，也不保证下一个案例会成功。
案例相互依赖、失败发现不完整或总体改变，都可能使计算失效。应记录抽样方案、失败定义、发现方法、流程版本和相关群体。随后区分统计不确定性与纠错失败的后果；低发生率本身不能证明损害可接受。
NIST统计手册介绍了失败数较少时的精确二项分布置信限。本题的零失败单侧计算由二项模型教学推导而来；虚构试验和决策练习不是NIST的研究发现。
形成性练习
这是开放式自测，不是保密考试，也不颁发证书。下方提供答案与解析。你填写的答案不会发送到服务器。
笔记仅保留在当前标签页中，不会提交或自动保存。离开前请下载副本。请使用虚构或公开信息，不要填写个人或客户机密。