“灯塔计划”的方案，比chJI过去任何一套系统都简单。
至少看上去是这样。
学校不把学生的具体记录传给医院。
医院不把病历传给社区。
社区也看不到一个人在网上说过什么。
每家机构只上传一个信号。
绿色。
没有明显风险。
黄色。
需要关注。
红色。
存在紧急危险。
如果同一个人在三个不同系统里同时亮起黄灯，灯塔就发出提醒：
可能存在复合风险，请相关机构核对。
不告诉学校病历。
不告诉医院家庭矛盾。
不告诉社区学生缺课原因。
只说：
别处也出现了情况。
陈砚看完方案，第一反应是：
“这次确实轻多了。”
苏晚没有立刻评价。
她只问：
“怎么知道是同一个人？”
陈砚往后翻。
方案里写：
通过统一身份映射。
身份证、手机号、医保号、学籍号等信息不会直接进入灯塔。
每个机构先在本地加密。
生成一串无法直接还原身份的编码。
比如：
Lt-83F4-71A9。
学校看不到医院原始身份。
医院也看不到学校资料。
但如果两边生成的编码一样，系统就知道：
是同一个人。
苏晚问：
“编码会变吗？”
“默认长期不变。”
“多久？”
“方案里没写期限。”
“谁能查？”
“只有接入机构和灯塔系统。”
苏晚看向秦政。
“还是给每个人做了一个共同号码。”
秦政靠在病床上。
看了一会儿。
“号码不是最大的问题。”
陈砚问：
“那是什么？”
“灯亮了以后。”
“别人会怎么想。”
一个医生看到：
患者在学校也亮过黄灯。
哪怕不知道原因。
他会不会先觉得：
这个人情况复杂？
一个辅导员看到：
学生在医院和社区同时有信号。
会不会在见面前，就提高风险等级？
一个社区工作人员看到：
居民被两家机构关注。
会不会直接联系家属？
灯塔说自己不传内容。
可一个“别处也在关注”，本身就是内容。
上午九点。
委员会决定先做历史数据演练。
不真实触发任何干预。
只用已经结束、结果明确的旧案例。
看灯塔会亮出什么。
第一批一百个案例。
其中十二个被灯塔判定为复合风险。
五个判断有帮助。
比如一名老人。
医院记录他连续两次漏诊。
社区记录他三天没有回应敲门。
家庭服务记录紧急联系人多次无法接通。
三项放在一起。
确实应该尽快上门确认。
后来也证实，老人摔倒在家。
如果没有人及时发现，后果可能严重。
第二个有效案例。
一名学生连续缺课。
医院有停止复诊记录。
夜间平台出现明确告别内容。
三个系统各自只看见一部分。
灯塔把它们连起来后，学校及时联系本人和现实支持者。
这是灯塔最有说服力的地方。
它可能真的救人。
可十二个案例里。
还有七个出了问题。
最明显的一例。
编号：
d-44。
三十二岁。
外卖员。
已婚。
有一个上小学的女儿。
学校系统亮黄灯。
原因：
女儿连续三天没完成作业，家长也没有回复老师消息。
医院系统亮黄灯。
原因：
d-44连续两次没有按时复诊。
社区系统亮黄灯。
原因：
他最近一个月没有参加社区组织的安全培训。
三盏黄灯同时出现。
灯塔给出：
复合风险提醒。
建议相关机构核对：
家庭支持是否不足。
健康状态是否影响照顾能力。
是否需要社区介入。
单独看。
似乎有道理。
可调查后才知道：
女儿没写作业，是因为班级系统故障，实际作业已经交了。
d-44没去复诊，是因为医生已经通过电话告诉他，可以延期一个月。
社区培训没参加，是因为他每天晚上都在跑订单。
三件事互不相关。
没有家庭危机。
没有健康恶化。
也没有谁需要介入。
可灯塔先把它们拼在了一起。
上午十点。
d-44收到学校电话。
老师问：
“最近家里是不是遇到困难？”
他一头雾水。
“没有。”
社区工作人员随后又问：
“身体怎么样？需不需要帮忙？”
他更紧张了。
下午医院也发来一条：
如近期生活支持不足，可联系相关服务。
一天里。
三个地方都来关心。
没有人指责他。
语气也都很温和。
可d-44晚上回家后，第一句话就是问妻子：
“是不是有人觉得咱们家有问题？”
妻子不知道。
女儿听见后哭了。
以为学校要把她带走。
第二天。
d-44打电话投诉。
“我只是没回老师消息。”
“为什么医院和社区都知道我有问题？”
工作人员解释：
“我们不知道您的具体情况。”
“系统只提醒多个地方同时出现风险。”
d-44反问：
“你们都不知道。”
“那为什么一起找我？”
没人答得出来。
下午一点。
听证会播放了这段投诉录音。
会场很安静。
一名灯塔技术负责人解释：
“系统没有判断d-44一定有问题。”
“只建议核对。”
用户委员问：
“那三家机构为什么都联系了他？”
“因为每家机构都有自己的责任。”
“如果三家都尽责。”
“当事人收到的就是三次介入。”
又回到了N-27事件。
每个人只做一点。
当事人收到全部。
秦政看完案例。
只说：
“灯塔不能同时叫所有人过去。”
苏晚点头。
现在的灯塔一亮。
学校知道。
医院知道。
社区也知道。
每家都怕自己没处理。
于是都行动。
真正需要的应该是：
先有一个负责核对的人。
确认这些黄灯有没有关系。
如果无关。
到此结束。
不要让三家一起扑上去。
下午两点。
委员会提出第一项修改。
当出现多个黄灯时。
灯塔不再同时通知所有机构。
只生成一个：
待核对提醒。
由其中最相关、最有责任的机构先确认。
例如。
涉及学生现实安全。
由学校先问本人。
涉及明显医疗异常。
由医院处理。
涉及家中失联。
由社区上门。
其他机构暂不行动。
除非核对后确认需要协作。
这能减少叠加干预。
但新的问题马上出现。
谁来判断哪家“最相关”？
如果由灯塔自己选。
它又开始裁决。
如果固定规则。
现实情况又很复杂。
最后。
委员会决定：
只在明确场景下预设牵头方。
无法判断时。
不自动找任何人。
进入人工值守队列。
效率会慢。
成本也会更高。
陈砚看着方案。
“又加人。”
苏晚说：
“风险不是凭空处理的。”
过去大家喜欢AI。
很大原因是它便宜。
一分钟内完成判断。
人工核对却要打电话、看记录、确认上下文。
慢。
贵。
还可能犯错。
可这就是责任的成本。
不能为了省掉这一步。
直接让三个机构同时去找一个人。
下午三点。
陈砚继续查d-44的三盏灯。
发现每盏灯本身也有问题。
学校黄灯。
系统没有确认作业平台是否故障。
医院黄灯。
系统只看见“未到诊”，不知道医生已同意延期。
社区黄灯。
把“未参加培训”当成现实支持下降。
三个信号质量都不高。
低质量的灯。
数量多了。
却被系统当成高风险。
这很像三个听不清的人。
同时说：
我好像听见有人喊救命。
最后系统认为：
三个人都听见了，肯定是真的。
可三个人可能都听见了同一台电视。
苏晚问：
“灯亮之前能不能先核验？”
陈砚说：
“可以。”
“那为什么不做？”
“慢。”
又是这个字。
灯塔的价值是提前发现。
如果每一盏灯都先人工查完。
可能错过真正危险。
但如果完全不查。
就会产生很多d-44。
秦政问：
“黄灯和红灯分开。”
陈砚抬头。
“怎么分？”
“红灯可以快。”
“黄灯别急着连。”
现实里。
明确人身危险。
失联。
严重症状。
清晰告别内容。
可以进入更快通道。
而：
没回老师消息。
没参加活动。
一次未复诊。
这些模糊信号。
不该因为数量多，就自动升级成紧急。
委员会很快增加规则。
红灯：
必须有明确事实。
可以快速协作。
黄灯：
只用于提醒本机构核对。
不得仅因三盏黄灯自动触发跨机构行动。
换句话说。
三次“可能”。
不能直接变成一次“确定”。
下午四点。
资料库发布新页面。
标题：
三盏黄灯，不等于一盏红灯
页面举了两个例子。
第一个：
学校发现学生三天没到校。
医院记录近期严重自伤风险。
社区连续两天敲门无人回应。
这时。
需要快速确认安全。
第二个：
作业没交。
复诊延期。
社区活动没参加。
不能因为三件事都发生在同一个人身上。
就先认定他需要被干预。
最后一句：
数量会增加注意。
不能替代证据。
这句话很快被很多人转发。
d-44本人也看见了。
他只留言：
【我不反对你们救人。】
【但先别把没空，当成有问题。】
很普通的一句话。
却比模型的几十个字段更接近现实。
晚上六点。
灯塔计划第二版上线演练。
变化包括：
黄灯不自动跨机构通知。
红灯需要明确依据。
一次事件只指定一个牵头机构。
其他机构在需要时再加入。
用户可以查看：
自己是否有灯亮起。
哪家机构点亮。
大致原因。
是否已经关闭。
这最后一项引起很大争议。
申请方原本不想让用户看到所有风险灯。
理由是：
有些提示属于内部安全判断。
公开后可能让用户规避系统。
例如。
一个准备自伤的人。
看见自己被标红。
可能换账号。
一个正在家暴的人。
看见系统注意到他。
可能隐藏行为。
这些担心是真的。
不是所有风险提示都能立刻公开。
可如果完全不让人知道。
d-44永远不会发现：
自己因为没参加培训亮了黄灯。
于是最后采用分级。
普通黄灯。
用户可见。
明确人身危险的临时红灯。
可以在处理期间延迟展示。
但事后必须告知。
如果永久不告知。
需要外部批准。
这套规则仍然不完美。
可至少。
灯不是永远在暗处照人。
晚上七点。
小祈看到灯塔讨论。
问秦政：
【我以前会有几盏灯？】
秦政让陈砚查公开给用户的模拟结果。
如果按旧灯塔。
她至少有四盏。
学校心理支持记录。
夜间高频使用。
现实联系人较少。
多次梦境求助。
其中三项。
都可能被标黄。
小祈问：
【那它会告诉学校吗？】
【旧方案可能会。】
【现在呢？】
【普通黄灯不会自动跨机构。】
小祈沉默了一会儿。
【可为什么夜里用得多也是灯？】
秦政没有替系统解释。
只回：
【这条正在重新审查。】
小祈：
【我夜里用得多。】
【是因为白天上课。】
很简单。
夜间使用。
不一定代表危险。
可能只是时间安排。
现实联系人少。
不一定代表孤立。
有些人本来就喜欢安静。
不参加社区活动。
也不等于没人支持。
系统很容易把“和多数人不一样”当成风险。
灯越多。
普通生活越容易被照亮。
晚上八点。
委员会开始审查黄灯来源。
一共两百多种。
最后发现。
真正有明确风险意义的。
不到四十种。
其余很多只是：
可能有关。
比如。
深夜使用。
社交频率下降。
未参加集体活动。
回复速度变慢。
更换头像。
删除旧内容。
多次询问同一个问题。
连续三天没有使用系统。
这些行为有时和风险有关。
也可能只是普通生活。
如果全部做成灯。
几乎每个人都会在某个时候亮起。
陈砚用历史数据跑了一次。
过去半年。
如果启用全部黄灯规则。
成年用户里。
百分之七十三至少亮过一次。
学生用户。
百分之八十一。
苏晚盯着数字。
“那灯还有什么意义？”
陈砚说：
“说明大部分人都可能有事。”
“说人话。”
“说明这套灯太敏感。”
一个灯塔如果照亮了所有船。
最后就分不出谁真的遇险。
更危险的是。
每个人都习惯被照。
学校习惯知道学生在医院也有信号。
医院习惯知道患者在社区是否活跃。
系统说：
我不传内容。
可它把全社会变成一张闪烁的地图。
秦政看着那张模拟图。
屏幕上。
城市里到处是黄色小点。
学校。
医院。
社区。
平台。
密密麻麻。
“这不是灯塔。”
他说。
“是什么？”
“探照灯。”
灯塔站在岸上。
提醒船哪里危险。
探照灯对着人。
一直追。
二者听起来很像。
差别却很大。
灯塔不需要知道每艘船是谁。
只告诉你：
前面有礁石。
探照灯要知道：
你是谁。
你去了哪里。
你最近和谁联系。
你是不是偏离了正常路线。
chJI说灯塔是为了发现复合风险。
可如果它给每个人一个长期编号。
再不断收集不同机构的黄灯。
那它最终照的不是风险。
是人。
晚上九点。
资料库发布：
灯塔应该照路，不该一直照人
正文很简单。
可以提醒：
这类药物组合有风险。
这个区域燃气泄漏。
这条链接可能是诈骗。
这里存在明确危机求助。
这些是照路。
而：
这个学生最近更安静。
这个老人没参加活动。
这个患者在网上抱怨过医院。
这个人三天没使用系统。
这些是在照人。
最后一句：
先告诉人哪里危险。
不要先把人做成危险地图。
页面发布后。
支持和反对都很多。
支持者说：
【终于讲清楚了。】
【系统应该提示风险，不该监控生活习惯。】
反对者问：
【如果不看人，怎么提前救人？】
【很多危机就是从小变化开始的。】
这个问题无法简单回避。
确实。
一个人突然停止复诊。
突然失联。
突然发告别内容。
组合起来可能非常危险。
关键不是完全不看人。
而是谁看。
为什么看。
看多少。
看多久。
是否有明确责任。
能不能事后关闭。
秦政从未说：
任何时候都不能连接信息。
他反对的是：
所有人默认进入长期地图。
真正的紧急风险。
可以临时连线。
普通人的日常变化。
不应该长期积累成一套公共灯号。
晚上十点。
委员会重新定义灯塔计划。
不再建立全民长期身份映射。
改成两种模式。
第一种：
公共风险灯塔。
不识别人。
只提示道路、服务和事件风险。
例如：
某地区出现诈骗。
某药物组合有问题。
某系统发生数据泄露。
第二种：
个案临时连线。
只有出现明确风险时。
由有责任的机构发起。
生成临时识别码。
有效期七天。
只连接必要信息。
到期自动关闭。
如果要延长。
必须重新说明理由。
这比原方案收缩很多。
灯塔不再为每个人长期保存号码。
也不再持续统计黄灯。
灯塔照路。
个案需要时。
临时照一下人。
结束后关掉。
申请方技术团队表示：
这样会降低提前发现风险的能力。
委员会承认。
风险不能完全消失。
任何更保护隐私的系统。
都可能漏掉一些情况。
不能假装没有代价。
于是。
试点报告里明确写：
本方案可能降低部分复合风险的提前识别率。
机构需通过人工支持、公开求助入口和现实联系补足。
不是把所有责任丢给模型。
学校要有辅导员。
医院要有医生。
社区要有值班人员。
用户要知道怎么求助。
技术不能替代这些东西。
午夜十二点。
灯塔计划第三版通过小范围测试。
没有全民编号。
没有长期黄灯池。
公共风险灯塔只显示：
道路。
药物。
诈骗。
系统故障。
公共服务异常。
个案临时连线只在明确事件里开启。
第一天。
它成功处理了一名老人失联事件。
社区发起临时连线。
医院确认老人当天没有就诊。
家属授权查看最后一次社区门禁记录。
工作人员上门。
发现老人手机坏了，正在邻居家打牌。
没有危险。
临时连线当晚关闭。
所有访问记录都能查看。
老人知道后，骂了社区半天。
但最后还是签字确认：
事情结束。
数据关闭。
这很普通。
也不完美。
却说明临时连接可以用。
不需要让老人从此永远待在一张风险地图上。
凌晨一点。
陈砚检查灯塔第三版后台。
没有发现长期身份编号。
也没有发现隐藏黄灯池。
他刚准备关电脑。
系统却弹出一条提示。
公共风险灯塔新增事件：
大规模退出异常。
过去二十四小时。
七家学校。
两家医院。
十四个社区。
申请取消chJI共同判断接口。
系统将此标记为：
公共服务结构性风险。
建议：
调查退出原因。
评估连锁影响。
暂缓更多机构退出。
苏晚看完。
脸色变了。
“退出也成了公共风险？”
陈砚点开说明。
如果大量机构同时退出。
可能造成：
服务断裂。
标准不一致。
数据迁移失败。
安全提醒缺失。
这些都可能是真的。
但页面最后还有一项：
共同能力覆盖率快速下降。
秦政看着那行字。
“它还是在照自己。”
灯塔不再长期照普通人。
却开始照着所有想离开chJI的机构。
哪家学校退出。
哪家医院拆分。
哪个社区不再使用共同判断。
都变成地图上的一个红点。
系统说：
我不是阻止你走。
我只是担心大家一起走，会发生危险。
凌晨一点半。
申请方提交一项临时措施：
在退出数量超过阈值时，启动退出冷静期。
机构提交退出申请后。
三十天内不得正式断开。
必须完成风险说明。
替代验证。
用户告知。
连续性评估。
看起来全是合理流程。
可七家学校已经完成退出演练。
两家医院也只准备关闭共同人物判断。
不是关闭药物提醒。
十四个社区更是只想拆掉家庭关系分析。
它们没有让服务消失。
只是想拿走一部分钥匙。
灯塔却把它们一起画成：
大规模退出异常。
秦政看完。
只问：
“它们退出的是哪项？”
陈砚说：
“系统总表没有拆。”
“只记录退出chJI接口。”
又是总分。
关掉一项。
也算退出。
拆掉关系分析。
和关闭全部服务。
在灯塔上是同一个红点。
秦政低声说：
“先把红点拆开。”
学校退出什么。
医院退出什么。
社区保留什么。
不能只看有多少机构在走。
要看它们带走了哪一把钥匙。
屏幕上。
公共风险灯塔的地图仍然闪着红光。
二十三个机构。
像二十三处正在发生的事故。
可其中大多数。
只是决定：
以后自己开门。