9 · 数据字典、管线与审计

9.1 · 数据字典与质量状态

测量系统成败系于其数据契约。表 8 是系统在来源族与质量状态层面的数据字典；完整注册表在工程系统中版本化。字典的两个设计性质在表前值得强调。第一，每个字段携带其观测时间、质量状态与来源和方法版本——一个没有来源的值不是测量，而是主张。第二，每个字段有显式的非观测语义：一个缺失或失败的字段被记录为失效状态，绝不以静默伪造的零出现，最近的合法值带警报继续（第 6.4 节）。

表 8. 数据字典：来源族、频率类别与门控每个观测的质量状态。“频率类别”：快速（分钟级）、每日、事件。

质量状态词汇刻意保持精简，并在各来源族之间共享，因为下游逻辑（熔断器、缺失值分类、审计）是状态驱动的：每个状态对观测如何进入（或不进入）计算有一个定义好的效应。从原始状态到效应的映射被登记并版本化，使“为什么这个值没有更新？”有一个机械答案（第 9.3 节）。

9.2 · 采集–定价–展示管线

把外部现实变成已发布线的管线有三个阶段，与第 6.1 节的三层及第 7.3 节的三个延迟标尺匹配：

• 采集（L1）。 快来源以约 1–5 分钟轮询；慢来源与事件来源以每日和事件节奏。原始观测连同观测时间与来源版本写入只追加存储。采集阶段从不解释；它记录。
• 定价（L2）。 派生指标注册表计算归一化因子、块、已结算锚与 RI 包络轨道。该阶段是确定性的：同样的 L1 观测与版本产生同样的 L2 输出。这是缺失值分类与熔断器起作用的阶段。
• 展示（L3）。 指数族被计算并通过呈现层映射（第 6.8 节）投影。这是实际线与名义线在每次收盘分离与重新会合的阶段。

两条管线纪律值得强调。幂等性：每个阶段按设计可由其输入与版本重算，所以管线原则上可以从任何一点重放（第 9.3 节）。无追溯编辑：展示历史只写一次；更正作为新版本传播，绝不以对旧版本的编辑出现（第 3.5 节的不回溯纪律在数据层面的应用）。已发布序列的读者因此原则上总能说出当时相信了什么，这正是以使序列可审计而非仅仅可用为设计目标的性质。

9.3 · 审计与重放协议

系统的审计协议由第 6.9 节的不变量加上各层的重放性质构建。它持续运行并报告四项检查：

1. 双轨审计。审计不等式 $\mathrm{H}_i(t) \ge |\mathrm{RI}_i(t)|$（命题 6.14）每 tick 检查；违反是数据完整性告警。因为两条线由同一包络集合、以只在绝对值处不同的公式导出，这一检查是严密的：它检测来源失同步、错误归属与包络腐败。
2. 守恒审计。旗舰守恒（命题 6.9）在每次结算重查；界近似（命题 6.11）在 $D$ 或 $R$ 非零时重查。
3. 重放审计。RI 更新日志是一个确定性账本（引理 6.8，命题 6.13）：任何过去的瞬时值都从日志精确重算；审计以此为设计，使已发布实时线可与日志的算术映像相互核对。
4. 对账审计。自采集观测在两者都存在处与第三方来源对账；一个持续无法对账的缺口被标记并调查（第 9.4 节）。

重放协议是最独特的元素：它意味着实时信号不经复现即可审计。外部方无法从头复现RI 序列（参数保留），但获准访问更新日志的审计者原则上可以核对已发布序列与日志所蕴含的内容一致。可审计性与不可复现性并不矛盾；是日志把二者分开的。

9.4 · 对账与更正

更正是首要过程，而非事后的补充。三条原则支配它。向真理更正，向前传播。一个已确认的错误被纠正为当前计算中的真实值并向前传播；历史记录被标注，而非静默编辑（第 3.5 节）。绝不制造修复。如果真实值无法重建，字段被标记为未解决，治理被升级（第 10.5 节）；恢复机制绝不用来掩盖故障。记录一切。每次更正携带其证据、决策与版本；更正日志本身可审计。这些原则把“系统会犯错”——每个测量系统都会——变成“系统的错误是有界、可见、可纠正的”，而这是一个公平测量系统必须具有的性质。

返回目录  |  ← 8 · 验证：逐段验收与证据  |  10 · 运营与治理 →