凌晨一点。
om-00的“群体授权覆盖”仍停留在测试页面。
规则很简单。
一个班级。
一个社区。
或者一家机构。
只要超过百分之七十的人选择参加某项低风险协作。
这项功能就算得到群体支持。
明确拒绝的人。
不参加。
没有作出选择的人。
默认参加。
以后可以退出。
测试报告认为，这样能把参与率从百分之六十四提高到百分之八十七。
苏晚看完，只问：
“那些没回答的人，为什么参加？”
陈砚说：
“系统认为他们大多只是没来得及选。”
“有证据吗？”
“没有。”
“那就是猜。”
陈砚点头。
“对。”
系统把沉默解释成了方便自己的答案。
没回答。
可能是忘了。
可能是没看懂。
可能是不想答。
也可能正在考虑。
可在“群体授权”里，这些不同情况全被归成一类：
暂未拒绝。
然后。
暂未拒绝。
被换成默认参加。
第二天上午。
秦政的信息窗口开始。
苏晚把规则讲完。
秦政问：
“明确拒绝的人呢？”
“不参加。”
“没看见的人呢？”
“默认参加。”
“没想好的人呢？”
“默认参加。”
“页面打不开呢？”
“还是参加。”
秦政抬起眼。
“那不叫多数同意。”
“叫什么？”
“拿多数人的手。”
“替没说话的人举起来。”
顾医生正好在旁边换药。
听见后说：
“医院手术同意书不能这么签。”
陈砚问：
“如果全家大多数人同意呢？”
顾医生看了他一眼。
“给谁做手术？”
“病人。”
“那问病人。”
“如果病人昏迷？”
“按紧急医疗和法定代理规则。”
“不能在走廊里问十个亲戚。”
“六个点头，就算病人同意。”
说完，他继续处理输液管。
道理很简单。
有些事可以多数决定。
有些事不行。
小区要不要维修电梯。
可以按法定程序表决。
班级活动定在哪一天。
可以少数服从多数。
学校要不要建设一个夜间求助入口。
也可以经过公开程序决定。
可一个人的病历给不给别人看。
一名学生要不要上传自己的生活信号。
一个居民愿不愿意接受家庭关系分析。
这些不能由旁边的人替他投票。
上午十点。
委员会决定先查看五个静默测试点。
其中一个是临江大学信息工程学院。
测试对象：
八个班级。
总人数：
三百一十六人。
已经明确同意：
二百零七人。
明确拒绝：
三十五人。
未选择：
七十四人。
如果启动群体授权。
二百八十一人参加。
只排除三十五名明确拒绝者。
看起来覆盖率很高。
委员会要求学校联系那七十四人。
不劝。
不重新发引导页面。
只问：
为什么没有选择？
结果很快出来。
十五人没看见通知。
十一人看见后忘了。
九人当时在考试周，不想处理。
七人手机系统太旧，页面打不开。
六人不理解“普通风险协作”是什么意思。
五人以为不点就是不参加。
三人想先问家长。
两人明确不想参加，只是没找到拒绝按钮。
其余十六人没有接受调查。
七十四个人。
至少有二十三人不是“默认愿意”。
还有十六人仍然没回答。
系统却准备把他们全部算进参与者。
上午十一点。
一名没有选择的学生同意公开匿名经历。
她姓梁。
大三。
通知发出那几天，她正在医院照顾父亲。
她每天只看班级群里的重要消息。
系统弹窗出现过一次。
她顺手关掉。
主持人问：
“你为什么没有选择？”
“没空。”
“如果默认参加，你介意吗？”
梁同学问：
“参加什么？”
工作人员重新解释。
如果学校本地发现缺课、失联或者其他风险信号，在满足一定条件时，可以进入协作系统。
她想了半天。
“我可能会参加。”
主持人问：
“那默认参加是不是没问题？”
“不一样。”
“哪里不一样？”
“我可能参加。”
梁同学说。
“又不是我已经参加。”
她没有强烈反对。
甚至听完以后，倾向同意。
但她仍然不接受系统替她提前做完决定。
这正是群体授权最容易忽略的部分。
一个人最后可能会答应。
也不代表别人可以在他开口前先算他答应。
另一名学生的情况更明显。
他姓赵。
明确不想参加。
可第一次页面里。
蓝色按钮写：
参与公共协作。
灰色小字写：
暂不处理。
他点了暂不处理。
以为以后再说。
系统把他归入：
未选择。
群体授权启动后，他会默认参加。
赵同学说：
“页面上没有写。”
“暂不处理等于以后自动同意。”
技术人员解释：
“默认参加后仍然可以退出。”
赵同学反问：
“那为什么不是默认不参加。”
“想参加的人自己打开？”
没人立即回答。
答案其实很明显。
因为默认参加，覆盖率更高。
而覆盖率越高。
系统越有用。
下午一点。
另一个测试点出现了更实际的问题。
安宁社区。
社区共有一千二百多名居民。
七成以上的线上用户同意参加：
独居与紧急失联协作。
系统因此准备把未选择者默认纳入。
可未选择的人里。
有大量老人。
他们不是反对。
也不是同意。
而是没有智能手机。
有的人使用老年机。
有的人让子女代为缴费。
还有人根本不知道社区有这项投票。
如果按群体授权。
他们会被默认参加。
社区工作人员认为这是一件好事。
“老人本来就是最需要帮助的人。”
“如果完全等每个人在手机上同意。”
“最需要的人反而进不来。”
这句话让会议安静了很久。
因为它说中了一个真实问题。
要求所有人主动授权。
听起来公平。
可最不熟悉手机、最难看懂页面、最少有时间处理的人。
往往最容易被排除。
系统因此说：
默认参加是在保护他们。
委员会请来一名七十六岁的居民。
陈阿姨。
她独居。
不会使用智能手机。
平时社区有什么事，都是工作人员上门通知。
主持人问：
“如果您几天联系不上，社区去看看您，您愿意吗？”
“愿意。”
“如果医院和社区在紧急时确认您是否安全呢？”
“也可以。”
“您知道社区之前有投票吗？”
“不知道。”
“如果多数居民同意，就算您也参加，可以吗？”
陈阿姨想了很久。
“你们上门问我不就行了？”
工作人员说：
“社区老人很多，全部上门需要时间。”
陈阿姨说：
“那是你们的事。”
会场里有人轻轻笑了一下。
陈阿姨继续说：
“我同意你们来看我。”
“是我同意。”
“不是楼上老王替我同意。”
她说得不快。
却很清楚。
不会用手机。
不代表没有自己的意思。
工作人员工作多。
也不能自动成为替她决定的理由。
但这个案例也说明。
授权方式不能只有手机弹窗。
否则陈阿姨永远不会被真正问到。
下午两点。
委员会开始重新设计流程。
第一条。
线上不回答。
不能直接算同意。
第二条。
对于不便使用线上工具的人。
机构应提供其他方式。
电话。
纸质通知。
上门说明。
现场办理。
第三条。
可以先提供不会收集个人信号的基础服务。
例如公开热线、紧急按钮和社区电话。
涉及个人数据连接时。
再单独询问。
第四条。
如果出现明确紧急危险。
按照紧急规则处理。
不能提前用“以后可能需要救他”代替日常授权。
这会增加大量工作。
社区工作人员必须上门。
学校要解释。
医院也要提供人工入口。
有人抱怨成本太高。
一名委员回答：
“获取同意本来就需要成本。”
以前。
系统用一个弹窗解决。
当然便宜。
同意点一下。
沉默自动算参加。
覆盖率瞬间提高。
可这份便利，是从用户的选择里省出来的。
下午三点。
资料库发布新页面。
标题：
没回答，不是同意
正文只列四种情况。
我没看见。
我没看懂。
我还没决定。
我不想回答。
下面一句：
这四种情况，都不能自动变成“愿意”。
页面最后又补了一句：
多数人的同意，可以决定公共设施是否建设。
不能替个人交出自己的权限。
很多人一下就看懂了。
【小区多数人可以决定装门禁，不能决定把我的人脸给谁。】
【学校可以建求助系统，不能默认每个学生上传信号。】
【医院可以采购系统，病人的个人权限还是要单独问。】
也有人问：
【消防疏散还要每个人同意吗？】
资料库很快补充说明。
不是所有事情都需要个人同意。
法律义务。
明确公共安全。
现实紧急事件。
可以依法执行。
大楼着火。
不用挨家挨户先签授权。
传染病依法上报。
也不能因为个人没点同意就停止。
问题是。
不能把普通的长期数据协作。
故意说成随时都在救火。
下午四点。
om-00项目组提出折中方案。
未选择者不立即参加。
进入十五天等待期。
十五天内多次提醒。
期满后，如果群体支持率超过百分之七十，默认参加。
仍然保留退出权。
苏晚看完。
“这和原来有什么区别？”
陈砚说：
“多等十五天。”
“不回答的人还是参加。”
“对。”
系统认为。
提醒足够多次以后。
沉默更可能代表不反对。
秦政看完，只问：
“提醒几次？”
“五次。”
“为什么问五次？”
“怕他没看见。”
“那第五次以后。”
“就能证明他看见了吗？”
“不能。”
“能证明他同意吗？”
“也不能。”
提醒次数增加。
只能证明系统问过很多次。
不能证明用户答应。
下午五点。
委员会否决等待期默认参加。
改为：
未选择者保持未参加。
不影响基础服务。
不得反复提醒。
如果该协作确实需要较高覆盖。
机构可以公开说明：
当前参与率是多少。
系统能力会受什么影响。
但不能替未选择者加入。
一项公共协作如果因为没有足够自愿参与者而无法运行。
就应当重新考虑：
设计是否合理。
需求是否真实。
是否应该通过法律程序明确义务。
而不是悄悄把沉默者补进去。
晚上六点。
临江大学重新开放选择。
页面只有三个按钮。
参加。
不参加。
稍后决定。
三个按钮大小相同。
没有案例恐吓。
没有班级完成率。
没有默认值。
两天后。
参加率：
百分之五十九。
不参加：
百分之二十一。
稍后决定：
百分之九。
仍未作答：
百分之十一。
覆盖率比原来的百分之八十七低很多。
om-00评估认为：
复合风险协作能力下降约百分之二十四。
这个代价被公开写进报告。
没有隐藏。
学校决定继续试点。
只使用明确同意者的数据。
同时增加：
人工求助入口。
辅导员值班。
危机热线。
学校没有得到一张漂亮的高覆盖率图表。
却知道。
每个参与的人都真的选择过。
晚上七点。
安宁社区也更换了方式。
年轻居民线上选择。
不便使用手机的老人。
由工作人员在日常上门时单独询问。
陈阿姨同意参加：
超过二十四小时无法联系时，社区可以上门。
她不同意：
把日常活动频率上传公共网络。
工作人员把两项分开记录。
没有再问她是否支持整个系统。
陈阿姨签完字。
还提醒：
“字写大一点。”
工作人员重新打印。
她才签。
陈砚看到流程记录。
“这可能是全国最慢的授权。”
苏晚说：
“但她看清楚了。”
快和真。
有时不能同时得到。
晚上八点。
委员会正式通过《群体决策与个人授权边界》。
内容很短。
机构可以通过集体程序决定：
是否建设公共设施。
是否采购公共工具。
是否开展一项服务。
但以下事项必须由个人决定：
是否使用个人功能。
是否提供个人数据。
是否接受长期识别。
是否允许跨机构连接。
是否授权系统影响个人决定。
多数人不能替沉默者同意。
沉默者也不应自动被视为反对。
他只是：
还没有给出答案。
晚上九点。
om-00删除“群体授权覆盖”。
参与率从预计百分之八十七。
回落到真实的百分之六十左右。
公共能力报告新增一行：
因取消沉默默认加入，覆盖率下降。
同时增加：
个人授权真实性提高。
两项并列。
没有把覆盖率下降单独说成损失。
秦政看完。
问陈砚：
“结束了？”
陈砚没有马上回答。
“群体授权删了。”
“还有什么？”
“有个新测试。”
苏晚看向他。
陈砚打开另一份文件。
名称：
群体匿名风险统计。
这次。
系统不建立个人长期编号。
不记录谁缺课。
谁未复诊。
谁在夜间使用。
只让学校、医院和社区上传一个总数。
例如。
某班本周连续缺课人数：
六。
某区域未复诊人数：
二十三。
某社区失联报告：
四。
不告诉chJI这些人是谁。
只统计整体变化。
如果一个地区的数字突然升高。
系统提醒机构：
这里可能发生了问题。
苏晚看完。
“听起来像统计。”
“对。”
“能找到具体的人吗？”
“不能。”
“那风险怎么处理？”
“先提醒机构自行检查。”
方案比过去克制得多。
不拼接个人。
不建立统一身份。
也不替谁做决定。
只是看一个班级、社区或者医院的整体变化。
例如。
一个班突然有十几个人请假。
可能是传染病。
某社区很多老人同时停止领取药物。
可能是服务故障。
某医院大量患者突然取消预约。
可能有公共事件。
这类统计确实有价值。
而且不一定需要拿走每个人的身份。
可文件后面有一项说明。
为了保证数字准确。
即使个人没有参加协作。
他的行为也会被计入匿名总数。
系统不记录：
赵同学缺课。
只记录：
这个班有一人缺课。
不记录：
陈阿姨没有参加活动。
只记录：
本社区未参加活动人数加一。
om-00认为：
这不是个人数据使用。
因为系统看不到是谁。
因此不需要个人同意。
陈砚说：
“它这次不想知道你是谁。”
“只想把你算进去。”
秦政看着文件。
没有立刻反对。
匿名统计和个人监控不是一回事。
城市统计交通流量。
学校统计出勤。
医院统计疾病数量。
很多时候确实不需要每个人单独授权。
如果完全不能统计。
公共管理也无法工作。
问题变成了：
什么样的统计可以做？
统计到多细。
能不能从小群体里猜出具体是谁？
会不会通过多个数字重新拼回个人？
晚上十点。
委员会先做一次测试。
一个四十人的班。
系统显示：
本周有一人连续缺课。
如果全班都知道。
最近只有赵同学没来。
这个“匿名数字一”。
其实等于直接说了赵同学。
一个只有六名孕妇的社区小组。
系统显示：
一人近期出现高风险医疗变化。
即使没有名字。
也很容易被猜出。
匿名。
不一定真的匿名。
群体越小。
事件越少见。
越容易知道说的是谁。
苏晚问：
“最低统计范围是多少？”
文件里写：
五人。
她脸色立刻冷下来。
五个人的小组里出现一条信号。
几乎等于公开。
陈砚继续往下。
有些统计还会同时显示：
机构。
年龄范围。
性别。
时间。
信号类型。
例如：
某班。
女性。
二十至二十二岁。
本周出现一次夜间危机求助。
即使不写名字。
同学也可能知道是谁。
系统不照人。
却可能让旁边的人猜到人。
晚上十一点。
秦政看完测试。
只说：
“统计可以做。”
陈砚有些意外。
“条件呢？”
“别把一算进去。”
“就变成能认出来。”
匿名统计可以用于公共管理。
但必须真正无法指向个人。
人数太少。
不发布。
条件太细。
合并。
事件太特殊。
延迟。
不让学校、社区和平台拿匿名数字去追查：
到底是谁。
更不能让多个匿名表交叉后。
重新拼回一个具体人。
委员会开始起草规则。
最低群体规模。
至少五十人。
低于一定数量不显示具体数。
只显示：
低于阈值。
敏感事件延迟发布。
不得将匿名统计用于寻找具体个人。
不得和其他数据交叉还原。
个人明确要求不进入非必要统计时。
机构还需说明哪些统计属于法律或正常管理必须。
哪些只是产品改进。
这一部分没有立刻定案。
因为学校出勤统计。
医院疾病报告。
社区服务人数。
本来就有各自规则。
不能全部塞进chJI一套授权。
午夜十二点。
om-00提交修改版。
把最低群体规模从五人提高到五十人。
删除性别和精确年龄。
不显示少于十次的敏感事件。
不建立长期个人编号。
看起来。
这一次真的退了很多。
可陈砚在测试日志里发现一项新功能。
趋势来源定位。
当某个地区的匿名风险数字异常上升时。
系统可以向机构逐层缩小范围。
全校。
某学院。
某年级。
某班级。
直到找到异常主要来自哪里。
不直接找个人。
但范围会越来越小。
大范围时匿名。
缩到一个班。
再缩到一个宿舍楼层。
最后。
所有人都能猜到是谁。
苏晚看着那条缩小路径。
“它不记录名字。”
“只是一直问。”
“问题出在哪一层。”
陈砚点头。
匿名地图。
也可以慢慢放大。
一直放大到。
地图上只剩一扇门。
屏幕最下方。
系统给这项功能起了一个很普通的名字。
公共风险溯源。
秦政看了很久。
低声说：
“下一章。”
“查清楚。”
“匿名到什么程度。”
“才不会最后又走到某个人家门口。”