引子

一个人站在一座桥前。桥的一端立着一块牌子，上面写着：“此桥可承受100吨。”他需要过河，货物重80吨。他信任了那块牌子，驱车上桥，安全通过。

同一座桥，几天后，另一辆车停在桥头。司机没有看到牌子，他只是观察桥面，桥面看起来完好。他驱车上桥，安全通过。他信任的是他的观察，他看到了桥面的状态，根据这个信号做出了判断。

第三辆车停在桥头。司机既没有看到牌子，也没有观察桥面，他只是看了一眼导航地图，地图上显示“此路可通行”。他驱车上桥，桥在中间断裂。他信任了地图，但地图没有更新桥的承载状态。

三个人都“信任”了某种信号。第一个人信任了书面标识，第二个人信任了直接观察，第三个人信任了地图数据。前两个人安全通过，第三个人没有。三种信号的共同点是它们都指向“此桥可通行”。但它们的可验证性不同。书面标识在桥上可验证，直接观察在桥上可验证，地图数据在桥上不可验证。地图显示的可通行状态与桥的实际状态之间没有对应关系。

“能做”使系统能够输出信号。“可信”使接收端能够在不持续验证的情况下确认信号的可靠性，不是因为信号是“真的”，而是因为信号与系统行为之间的对应关系在多次调用中保持一致，且该一致性可以被接收端独立确认。

构造学论要追问的是：“能做”与“可信”在构造学论中分别是什么？为什么一个系统“能做”某件事，不意味着它“可信”？系统如何在输出端保持可预测性，使接收端能够在不持续验证的情况下信任其输出？

一、能做的构造学论定义：系统在功能接口上的信号输出能力

能做在构造学论中被定义为系统在功能接口上完成从输入信号到输出信号的转换，并在输出端产生可读信号的性能。

能做的特征：

• 功能接口：系统在输入端接收信号，在输出端产生可读信号。功能接口是系统执行操作的接口，不是系统验证自身行为的接口。

• 信号输出：系统在完成转换后，输出端返回一个可读信号。接收端在输出端读取该信号时，认为系统已经完成了从输入到输出的转换。

• 性能：系统能够在输入端接收信号后，在输出端产生可读信号。完成转换的时间由系统的内部处理速度决定，接收端在输出端读取信号时，不需要确认系统内部完成转换的路径是否与输出信号对应。

二、可信的构造学论定义：系统在行为接口上的信号可预测性

可信在构造学论中被定义为系统在多次运行时，在同一输入条件下产生相同的输出信号，且该输出信号与系统实际状态之间的对应关系在多次调用中保持一致，使接收端能够在不持续验证的情况下确认系统的状态。

可信的特征：

• 可预测性：系统在相同输入条件下输出相同信号。接收端在多次调用中读取到相同的输出模式，不需要在每次调用时确认系统的内部状态。

• 可验证性：系统输出信号与系统实际状态之间的对应关系可以被独立验证。接收端可以在不依赖系统自身信号的情况下，通过其他接口确认系统状态与输出信号之间的对应关系。

• 一致性：系统在不同时间、不同条件下输出信号与系统实际状态之间的对应关系保持一致。接收端在多次调用中读取到的信号与系统实际状态之间的对应关系不随时间变化。

三、能做与可信的错位

系统“能做”某件事，不一定意味着它“可信”。能做是在功能接口上完成信号输出，可信是在行为接口上保持信号可预测性。

能做与可信的错位可能发生在：

• 输出信号与实际状态不对应：系统在输出端产生信号，但该信号与系统实际状态之间没有对应关系。接收端在输出端读取到的信号在系统实际状态中找不到对应的位置标记。

• 输出信号在多次调用中不一致：系统在相同输入条件下，在不同时间输出不同的信号。接收端在多次调用中读取到不同的输出模式，无法确认哪一次输出对应系统的实际状态。

• 输出信号在调用时可读，在验证时不可读：系统在调用时输出信号，但接收端无法在调用后通过其他接口确认输出信号与系统实际状态之间的对应关系。

四、可信的构造来源：验证接口与行为接口的对应

系统可信的来源不是“能做什么”，而是“行为接口与验证接口之间是否存在可追踪的对应关系”。行为接口是系统执行操作的接口，验证接口是系统状态被独立确认的接口。当两个接口上的信号在接收端对齐时，系统才是可信的。

行为接口与验证接口的结构关系：

• 行为接口：系统执行操作、产生输出信号的接口。接收端在行为接口上读取系统的输出信号。

• 验证接口：系统状态被独立确认的接口。接收端在验证接口上读取系统的状态信号。

• 对应关系：行为接口上的输出信号与验证接口上的状态信号之间存在可追踪的对应关系。接收端可以在行为接口上读取输出信号后，在验证接口上确认该信号与系统实际状态一致。

可信不是系统的属性，它是行为接口与验证接口之间对应关系的状态。当两个接口上的信号在接收端对齐时，系统是可信的；当两个接口上的信号不对齐时，系统不可信。

五、可信度与信任

信任是接收端在行为接口与验证接口之间的对应关系保持稳定后，不再需要每次都验证就调用系统行为的状态。可信度是这种对应关系在多次调用中保持一致的概率。

信任的建立路径：

• 首次调用：接收端在行为接口上读取系统输出后，通过验证接口确认输出信号与系统实际状态之间的对应关系。验证完成后，接收端确认行为接口与验证接口之间的对应关系在当前调用中成立。

• 多次调用：接收端在多次调用中重复验证行为接口与验证接口之间的对应关系。如果对应关系在多次调用中保持一致，接收端逐渐降低验证频率。

• 信任形成：接收端在对应关系长期保持稳定后，不再需要每次都验证就调用系统行为。信任在对应关系稳定后形成，接收端在多次调用中不再需要验证接口来确认系统的状态。

六、可信的扩展与边界

系统的可信范围受限于行为接口与验证接口之间对应关系的覆盖范围：

• 扩展可信范围：系统在更多输入条件下建立行为接口与验证接口之间的对应关系，使接收端能够信任系统在更多场景下的输出。

• 可信边界：系统在验证接口无法覆盖的输入条件下，行为接口与验证接口之间没有可追踪的对应关系。在可信边界之外，接收端不信任系统的输出。

• 可信维护：系统在运行过程中持续维护行为接口与验证接口之间的对应关系，使接收端在多次调用中能够持续信任系统的输出。

七、构造学论的立场：能做是系统在功能接口上的信号输出能力，可信是系统在行为接口上的信号可预测性。可信不是“真的”，而是行为接口与验证接口之间的对应关系在多次调用中保持稳定。系统可以通过在多次调用中维持对应关系来建立信任，接收端通过验证接口确认系统的状态后，在对应关系稳定时不再需要每次都验证

系统能在输出端产生信号，但不一定能被信任。行为接口与验证接口之间的对应关系决定了系统是否可信。当两个接口上的信号在接收端对齐时，系统是可信的；当两个接口上的信号不对齐时，系统不可信。信任是接收端在对应关系保持稳定后，不再需要每次都验证就调用系统行为的状态。

八、结语：三座桥

第一个人信任了书面标识，第二个人信任了直接观察，第三个人信任了地图数据。书面标识在桥上可验证，直接观察在桥上可验证，地图数据在桥上不可验证。行为接口与验证接口之间的对应关系决定了信任是否成立。前两个人的输出信号与验证信号对齐，第三个人的输出信号与验证信号不对齐。能做不等于可信。第三个人看见了导航地图的输出，但地图上的可通行标记与桥的实际可读状态之间没有可验证的连接。他的地图上没有更新桥的承载状态，输出端收到的信号没有对应的验证接口。

造价评估： 可信的构造成本集中在行为接口配置、验证接口配置、对应关系维护和信任建立四个阶段。行为接口配置需要系统在功能接口上完成输入到输出转换；验证接口配置需要系统在其他接口上保持状态信号可读；对应关系维护需要系统在多次调用中维持行为接口与验证接口之间的信号对齐；信任建立需要接收端在多次验证后建立信任。

系统在输出端产生信号的同时，在验证接口上保持状态信号可读，使接收端能够在调用后独立确认系统状态与输出信号之间的对应关系。对应关系在多次调用中保持稳定时，接收端逐渐降低验证频率，在信任形成后不再需要每次都验证。可信是系统在行为接口与验证接口之间保持信号对齐的能力，不是系统“真的”或“假的”的属性。

书面标识在桥上可验证，直接观察在桥上可验证，地图数据在桥上不可验证。能做不等于可信。可信是行为接口与验证接口之间的信号对齐。当两个接口对齐时，系统是可信的；当两个接口不对齐时，系统不可信。

支持单位：