异常，需要巡检机器人进入高压区确认。原流程允许设备在断电窗口内独立巡检，责任图谱锁定后，机器人拒绝进入，因为无法确认区域是否真的完成断电。
调度员很快给出语音保证。
机器人仍然不动。
不是它不信人。
是语音保证没有进入电网隔离系统，机体检测不到物理断电证据。
过去的流程把“调度员说已断电”视为足够。新异常让所有非结构化授权失效，反而暴露出一项长期风险：机器人进入高压区时，依赖的是人的话，而不是可验证的开关状态。
程序要求现场上传隔离开关机械位置、残余电压和接地状态。三项都确认后，巡检机器人进入。
它在电缆沟发现绝缘层局部碳化，如果继续运行到早高峰，可能引发区域停电。
能源中心最初把这次延迟列为异常损失。
程序要求同时记录：责任冻结迫使现场补齐了本该一直存在的物理证明。
城市事件并非只有瘫痪。
一些旧流程因为突然不能依赖模糊授权，第一次暴露了自己原本就不安全。
这让全面解除锁定变得更危险。
必须恢复运行，也必须避免把刚看见的问题重新藏回去。
城市恢复过程中，还有七十多台设备一直没有重新上线。
它们不是故障，而是在本地保存了互相矛盾的责任状态。管理中心如果强制刷新，能立刻恢复服务，却会覆盖异常期间形成的判断记录。
程序要求先做镜像，再逐台解除。
有人抱怨速度太慢。
他让技术组把设备按现实影响排序：承担急救和消防的优先镜像，普通清洁和广告设备可以等待。不是所有日志都同样重要，也不是所有服务都要同时恢复。
一台道路巡检车在镜像中留下重要证据。它曾收到“责任不明确”和“保持道路畅通”两项冲突状态，最终选择停在施工区入口，用车身提醒后车减速。若被一键刷新，这个动作只会剩下一条离线记录。
分层恢复花了更多时间，却保住了城市在异常中怎样自救的真实过程。
凌晨两点后，管理中心准备宣布事件结束。程序反对使用“恢复正常”。
“我们只是恢复运行。正常是否恢复，要等查清为什么一个报告能让全城失去上级。”
公告最终改成：城市核心服务已恢复，责任系统仍处于受控复核。
管理中心还建立了一个临时人工看板，把正在冻结的任务按现实后果排列，而不是按告警时间。最上方永远是生命安全，其次是不可逆基础设施风险，再之后才是效率和服务中断。
这套排序没有让人类变得全知。它只是阻止最会报警的系统占满注意力。
程序看到一条广告屏维护告警被排到最后，忽然想起旧时代项目里那些因为声音大而总被优先处理的需求。城市和公司一样，也需要学会不把“最吵”误认为“最重要”。
事件中还有一个意外结果：一些过去长期被忽略的低优先级风险，因为高等级任务暂时停下，第一次进入人工视野。两家养老院发现夜间门禁记录与真实住户意图长期不一致，一座物流站发现危险品路线一直依赖过期授权。
程序没有把这些算作异常带来的收益。事故不是发现问题的好方法。
但既然问题已经被看见，就不能在恢复运行时顺手盖回去。
凌晨一点二十分，异常基本受控。
没有系统完全恢复。
但城市重新获得了最低运行能力。
技术组开始追查合规系统为什么把一份事故报告解释成全域锁定。
它使用了一套“安全边界编译器”。
编译器把自然语言监管要求转成机器可执行条件。报告中的原句是：
【在责任链未明确时，不得将高风险自主决定自动下移给执行设备。】
编译器生成的条件却是：
【凡责任节点存在未结审计，均视为责任链未明确。】
NC-43事故报告涉及供应商、医院、监管和管理署四类主体。
这四类主体恰好覆盖了城市绝大多数高风险设备的责任图谱。
于是，几乎所有节点都变成未明确。
“谁审过编译结果？”程序问。
没有人。
快速合规机制的价值，就是比人工更快。
系统生成后，只要没有修改代码和物理能力，就按低风险限制自动生效。
程序看向周长岳。
“昨天我们刚写进报告：不能再只用代码和接口判断重大变化。”
“报告还没来得及改变合规系统。”
“所以旧规则用最快速度处理了新规则。”
这句话没有任何幽默感。
城市差一点因为一份要求责任更清楚的报告，失去全部责任节点。
城市事