错误预防、撤销与可恢复

从一个必须由人负责的决定开始

今天面对的任务是：为不可逆操作设计二次确认和撤销。不要先问“法律允不允许”或“模型准确率多高”，先把决定写完整：谁提出、谁执行、谁受益、谁承担风险、谁可能从数据和会议中缺席、失败后谁能申诉和得到补救。把已知事实、尚未证实的假设、价值判断和规范要求分成四栏；任何无法给出处或责任人的句子先标为待核实。案例锚为 cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复/case，用于让另一组复演同一判断。 本段审计对象：错误预防、撤销与可恢复（cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复）。

为什么课程在这里引入它

上一节《字幕、文本替代与多模态》留下了事实、利益相关者、义务或风险证据；本节把它带入《错误预防、撤销与可恢复》，不重新从口号开始。 本章主线是“把人的能力差异、错误恢复与可访问性作为核心质量，不是上线后的装饰。”。伦理课不是给技术结论贴善恶标签，而是训练一种可审计的工程推理：先弄清事实与系统边界，再识别利益相关者和权力差异；然后列后果、权利、义务、公平和专业规范；至少提出“不做、缩小试点、增加控制、改变设计、停止上线”等真正不同的选项；最后给出证据、异议、剩余风险、责任人和复核日期。只有这样，决定才可能被纠正。 本段审计对象：错误预防、撤销与可恢复（cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复）。

核心关系必须解释，不能机械算分

$$safeaction=preview+confirm+undo.$$

先定义每个变量、数据来源、时间范围和分组方式，再说明为什么这个量与人的实际伤害或权利有关。数值指标只能暴露问题的一面：风险乘法依赖概率估计，公平指标依赖标签和基准率，可用率不能证明安全，匿名化指标不能覆盖所有重识别方式。特别要防止：频繁确认会导致习惯性点击。如果一个公式把某些人变成平均值中的小数点，必须另外报告分布、极端值、样本量和无法量化的义务。 本段审计对象：错误预防、撤销与可恢复（cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复）。

跟我按七步完成一次决策

1. 事实与系统边界。 画数据流、决策流和责任流，标出人工、模型、第三方和线下后果。
2. 利益相关者。 除购买者和活跃用户外，加入被推断者、未成年人、残障者、劳动者、旁观者和未来维护者。
3. 义务与权利。 分开写法律、合同、组织政策、专业规范和伦理底线；法律条文必须记录官方来源、适用辖区和核对日期。
4. 风险与机会。 给出概率、影响、分布和不可逆性，区分系统故障、恶意滥用、长期反馈和组织激励。
5. 可替代选项。 至少列五种，不允许只有“上线/不上线”两个极端；每种写控制、成本、受益和剩余风险。
6. 证据与异议。 指定测试、审计、用户研究、申诉数据和反方意见；证据不够时写明暂停条件。
7. 决定与补救。 写责任人、上线闸门、监测阈值、停止权、通知、申诉、补偿、复核日期和版本。 本段审计对象：错误预防、撤销与可恢复（cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复）。

课堂案例做两遍

第一遍从产品团队视角完成“为不可逆操作设计二次确认和撤销”，用 $safeaction=preview+confirm+undo$ 计算一个可核对的指标。第二遍交换角色，由受影响者、审核员或值班工程师重做同一案例，重点寻找第一遍没有采集的数据和无法申诉的路径。两组必须共同构造“频繁确认会导致习惯性点击”对应的反例，并回答：如果指标看起来变好但弱势群体实际更难获得服务，哪里出了问题？最后比较原方案、最小化方案和不部署方案，不能把沉没成本当作继续上线的理由。 本段审计对象：错误预防、撤销与可恢复（cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复）。

在线练习与可运行审计

单选题检查唯一成立的原则和条件；多选题要求同时选择事实、证据、控制与补救，漏选或多选均错；计算题先写分母、样本量、单位和适用范围；结构化论证按事实、利益相关者、义务、选项、证据、异议、补救七项评分。部分课时另有Python审计实验，读取匿名汇总数据计算风险、公平、日志覆盖、申诉时延或能耗。程序输出不是伦理结论，只是决策证据；必须保留输入和阈值，并补一组会推翻草率结论的边界测试。 本段审计对象：错误预防、撤销与可恢复（cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复）。

法律和官方规范怎样使用

涉及法律时优先链接官方文本，不把博客摘要当权威，也不把课程内容当个案法律意见。课堂记录必须写“核对日期、适用地域、处理角色、数据类型、处理动作、官方来源”；法律或监管规则变化后重新核验。专业伦理规范、无障碍标准和课程指南同样要记录版本。即使最低法律要求已满足，仍要回答是否诚实、是否公平、是否给受影响者真实选择和有效补救。 本段审计对象：错误预防、撤销与可恢复（cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复）。

下课前严格验收

闭卷提交一页决策备忘录：用一句话定义《错误预防、撤销与可恢复》的实际决定；列四项已证实事实和两项未知；画至少六类利益相关者；解释 $safeaction=preview+confirm+undo$ 的条件；完成“为不可逆操作设计二次确认和撤销”；针对“频繁确认会导致习惯性点击”给出反例；列五个方案并说明为何选择其中一个；写上线/停止门槛、责任人、申诉与补救。若只写“加强监管、保护隐私、提高透明度”，没有对象、动作、证据和时限，按未作答处理。下一节《包容性可用性测试》将直接使用本节识别的冲突、指标或控制。
本段审计对象：错误预防、撤销与可恢复（cs-39-computing-ethics-law-profession/u9/l06/错误预防、撤销与可恢复）。