A6.21.3Tool reliability bounds safe offloading设计
外部记忆工具本身的可靠性与可得性决定卸载策略是否安全
别名: 卸载的安全边界 · 外部存储可靠性 · availability heuristic risk
概念解释
人会不会把一条信息交给外部工具而不再费力记住，取决于对这个工具"用的时候一定还在、一定能打开"的信任程度，而不是取决于信息本身有多重要。这意味着认知卸载是否安全，是工具的属性，不是信息的属性：同一条关键信息，交给一个从不掉线、随手可查的工具是安全的卸载，交给一个可能断网、可能被清空、可能不在身边的工具，就是把风险转嫁给了未来那个记不起来、又查不到的自己。
机制
卸载行为背后是一个隐性的成本—收益判断：只要预期未来能以足够低的成本重新获取，继续在脑子里维持这条信息就是多余开销。这个判断依赖的是对工具可得性（能不能在需要的那一刻打开）和持久性（内容会不会丢失、被覆盖、过期）的预期，而这两项预期一旦形成，往往会被当作稳定事实来使用，很少在每次使用前重新核实。风险恰恰出在这里：可得性与持久性判断一旦形成就趋于固化，工具本身条件发生变化（网络环境变差、账号迁移、存储清理策略调整）时，用户不会同步更新自己的信任度，卸载策略却已经绑定在旧的信任基础上，直到需要用的那一刻找不到，风险才会兑现。
边界
不是所有卸载场景都需要同等程度的可靠性保证：信息一旦查不到造成的后果越轻（大不了重新问一次、重新查一次），对工具可靠性的要求就越低；后果越不可逆、越紧急（安全相关的操作步骤、无法重新获取的一次性凭证），对工具可靠性的要求就越高，这时哪怕工具平时表现良好，也不能把它当成唯一的记忆载体。工具可靠性也不是一次性判断——离线场景、跨设备同步延迟、账号到期等具体条件都会让同一个工具在不同情境下的可得性发生变化，评估卸载是否安全必须绑定具体使用场景，而不是笼统地问"这个工具靠不靠谱"。
怎么落地
- 设计任何"鼓励用户不用记、随时来查"的功能时，先问清楚查不到时的后果等级：后果轻的（历史记录、可重新生成的内容）可以放心鼓励卸载；后果重的（一次性验证码、无法重新触发的操作凭证、离线时必须依赖的关键信息）需要额外提供离线可用的备份形式或强提醒，不能只靠"云端随时可查"这一句承诺。
- 对需要跨设备、依赖网络的记忆型功能，在设计上明确标出哪些内容依赖实时连接、哪些是本地持久保存，让用户对卸载的可靠边界有实际认知，而不是默认"存了就等于永远能查到"。
- 验证办法：模拟断网、账号未同步、存储已清理等场景，测试用户此前卸载给该功能的信息在这些条件下是否仍可获取；凡是不可获取又会造成不可逆后果的内容，需要重新设计成有本地或离线备份的形式。