：“断路器必须是公开规则的一部分，并且在断路器触发时，必须提供替代通道。我们不是关灯，我们是切换供电模式。”

这句话把所有人的注意力集中到一个问题：

**断路器怎么设计，才能既止损又不失信？**

---

###三、断路器三件套：限流、分层、替代窗口

周砚把白板分成三栏，写下三个词：

1）限流

2）分层

3）替代

他解释：

***限流**：不让请求无限增长。否则任何系统都会被拖死。

***分层**：不是所有请求都同等紧急。把真正的**险优先。

***替代**：限流会引发焦虑，必须有替代通道承接需求。

清算所技术负责人提出一种传统做法：“全量限流+排队”。

周砚摇头：“排队会产生‘谁先撤谁安全’的心理。挤兑里排队是一种放大器。”

顾明补充：“我们需要的是‘分层断路器’，让风控系统知道：你不是被拒绝，而是被转入更可预测的验证方式。”

最终，协调组达成一个方案——**断路器三件套**：

**A.限流：验证接口进入配额模式**

*每个合作方风控系统拥有基础配额；

*超出配额自动进入“延迟验证”，不立即返回失败，而返回“已受理+预计时间”；

*任何超时不被计为验证失败，避免触发更高预案。

**B.分层：风险级别优先**

*L3系统件优先验证（涉及大规模数据、关键基础设施）；

*L2次之（涉及核心业务连续性）；

*L1最低（例行抽查、营销性验证）被强制延迟或转入微型窗口。

**C.替代：离线验证包+第三方快照**

*在断路器触发时，清算所自动生成“离线验证包”快照（含哈希、时间戳、抽样证据）；

*合作方可以用离线包验证关键事实，不必实时拉接口；

*第三方审计机构提供“快照签名”，作为公信力补充。

这三件套的核心逻辑是：

**不让验证系统成为新的黑箱，同时不让验证系统被过载打垮。**

---

###四、最难的部分：对外公告怎么写

断路器方案有了，下一步是公告。

公告的每一个字都可能决定恐慌扩散还是收敛