L1.05.1intervention before consequence设计研究
介入点需在后果发生前
别名: 事前介入 · 后果前闸门 · pre-consequence gate
概念解释
人在回路不是「系统旁边坐着一个人」，是在因果链上有一处闸门：没有人的放行，后果不落地。闸门若装在邮件已经发出、款项已经划走、内容已经公开之后，人就只是目击者。后果前介入（intervention before consequence）把回路的位置钉在不可逆效果发生之前。
事后通知、事后撤销入口，都不是这一处闸门。它们是补救。
机制
自动化把感知—决策—执行收成连续过程。人要打断的是执行跨越世界边界的那一拍：对外发送、写入生产、删除、公布。这一拍之前，状态还在系统里，改动便宜；这一拍之后，状态在别人的收件箱、银行、搜索引擎里，改动变成交涉。
产品常把「回路」理解成仪表盘上有个审核员座位。座位若只在执行之后刷新，审核员看到的是已完成的历史。Parasuraman 的自动化层级里，决策与行动是分开的级；人要保留的是行动级之前的否决，不是决策级之后的评论。
怎么研究
把同一代理任务做成两种时序：执行前确认 vs. 执行后摘要。后果用真的外发（测试收件箱、测试账本）。因变量：有害动作被拦住的比例、从发现到拦下的时间、人是否以为自己还在回路里。自变量：后果是否可逆、通知是否打断。
「以为自己在回路里」是关键的主观量。许多人看见实时日志就报告「我在控制」，直到问「你现在按什么能让它停下」。
边界
可逆且廉价的动作（改本地草稿、生成预览）不需要这道闸，闸会变成摩擦。技术上可删但社交上不可逆的动作（群发、公开发帖）仍算后果已发生。实时性要求极高的控制回路（某些工业急停）介入点必须更早、更快，设计约束不同，但方向仍是「效果落地前」。这条不讨论介入时人手里要有什么信息，也不讨论形式上的按钮是否等于控制。
怎么落地
- 列出所有跨越世界边界的动作：发、付、删、改权限、公布。每一项在跨越前设闸，默认停，放行是显式的。
- 闸的另一边必须是「不发生」，不是「发生了再尽量撤回」。撤回可以存在，但不能作为闸的替代。
- 日志和「进行中」视图不能冒充闸。没有那一个必须按下的放行，人就不在回路里。
- 验证：在测试环境让代理走完整条有害路径，看世界边界上有没有一次人为放行。没有，就把回路宣传从产品里拿掉。再问值班的人「此刻你怎么让它别发出去」——答不上来，点也不在后果前。