X4.08.3Incident decision provenance设计研究
事故记录需可追溯决策来源
别名: 事故决策溯源 · 控制来源记录 · incident audit trail
概念解释
事故决策来源溯源（incident decision provenance）记录一次机器人动作由人命令、自动策略、安全控制还是共享仲裁产生，并保留当时输入、权限、模式、版本和时间。它使调查能够重建谁能影响什么，而不是从最终轨迹倒推责任。
机制
同一执行器可接收多个来源，命令又可能被裁剪、延迟或覆盖。只记录最终输出会抹去人原始意图和自动修正；只记录按钮点击又不能证明命令生效。端到端因果标识把输入、仲裁、执行和反馈连接起来，并揭示模式切换中的责任空档。
怎么研究
可用已知根因的故障注入，让独立调查者从记录重建控制来源、事件序列和可预防点，测量一致性、时间与缺失证据。需测试时钟漂移、离线缓存、重启、版本更新和日志访问限制。调查者猜对结果不等于记录充分。
边界
日志可能包含影像、位置和个人行为，保留需满足最小化、访问控制与保留期。可追溯性支持事实判断，不自行确定法律或道德责任。日志系统也会故障，关键证据需完整性和缺失标记。
怎么落地
- 为每条关键命令记录来源身份、权限、模式、原始输入、仲裁变化、执行确认和同步时间。
- 使用跨重启事件标识、版本签名和完整性校验；缺失数据必须显式而非补写。
- 定期由独立人员重放采样事故，统计无法归因、时间线冲突和隐私越权。