HERO FOUNDATION

Hero Canon 002 是推导 HeroOS 的理论基础（Foundation）。它定义可问责价值创造所需的命题、关系、边界、反方主张和检验方式。

它不是正式的 HeroOS 规范。Canon 006 可以规定运行角色、权限、记录、状态、工作流、接口、控制和一致性要求。

Hero Foundation 面向创始人、CEO、产品与工程负责人、架构师、领域专家，以及其他需要在丰裕智能时代（Age of Abundant Intelligence）设计价值创造系统（Value Creation System）的人。

Hero 始于稀缺性的转移。当智能与执行能力（Capability）更容易获得和组合时，可问责的人类判断会变得更加重要，而不是失去重要性。

这套理论必须解释：为什么仍然需要可识别的人类中心，组合能力如何放大人的作用，证据（Evidence）与后果（Consequence）如何使价值（Value）可以接受检验，以及执行如何形成组织学习（Organizational Learning）。

每个主要章节都承担五项论证义务：

1. 定义： 主张究竟是什么？
2. 推导： 它为什么能够从既定前提中成立？
3. 反例： 什么情况看起来会推翻它？
4. 边界： 它在什么地方停止适用？
5. 可证伪性： 什么证据会要求修订或拒绝该主张？

[S1] 等来源编号对应本版本的 研究来源 附录，以及 Canon 源文件包中的配套来源登记。

章节目的

明确 Canon 002 必须回答的问题，并把它与技术预测、管理潮流或道德口号区分开。

理论正文

长期以来，组织一直把执行能力视为主要约束。专业知识存在于人身上，软件的建设和修改成本很高，协作依赖反复交接，获得专业能力通常需要招聘、层级或采购。因此，组织设计自然会集中于获取劳动力、分配任务、监督工作和提高吞吐量。

当这一假设不再充分时，Hero 才开始成立。

某些由智能增强的执行正在变得更便宜，也更容易获得。一个人可以调用模型、软件服务、平台、工作流、远程专家和其他能力单元（Capability Unit），完成研究、分析、写作、设计、编码、监控和协调的一部分。智能并没有变得无限、平均分布、可靠或免费。真正发生变化的，是一个人在扩充传统团队之前可以尝试的行动范围。

更多可执行选项并不能决定组织是否创造价值。组织仍须判断什么问题重要、谁的利益应被考虑、什么风险可以接受、哪些能力值得信任、什么证据会改变判断，以及谁必须为结果作出回答。更大的执行能力可能提高错误选择的代价，也可能放大薄弱假设、隐藏偏见和无人承担的后果。

因此，Hero 把**价值承诺（Value Commitment）**作为基础分析单位。价值承诺是由一个可识别的人，在明确边界内，对追求特定价值作出的可问责承诺，并要求其评估由此产生的结果（Outcome）与后果。它不是任务、提示词、智能体、团队或输出。

人的重要性不取决于亲自完成每个步骤，而在于目的、正当解释、负责任的判断、对组合能力的治理，以及对重大后果的答责。Hero 周围可以存在大量人类和非人类执行，但价值承诺不能失去承担者。

之所以需要人类中心，是因为价值存在争议，权衡会影响不同的人，而责任在不确定条件下仍须能够归属。这并不假设人的判断总是正确。美国国家标准与技术研究院（National Institute of Standards and Technology，NIST，美国联邦标准机构）在《人工智能风险管理框架》（Artificial Intelligence Risk Management Framework，AI RMF）中提出了相近立场。该框架把治理视为贯穿各环节的要求，并重视以人为中心、社会责任、可持续性、情境（Context），以及不同 AI 参与者对预期和非预期影响的关注。S5 Hero 提出一个更具体的主张：每项价值承诺都必须保留一个具名的主要问责中心（Primary Accountability center）。

推导

论证如下：

1. 在越来越多的领域，由智能增强的执行变得更容易获得和组合。
2. 更大的执行能力增加了可采取行动的数量和速度。
3. 可以采取行动，并不能决定什么是正当价值。
4. 价值需要解释、权衡、证据，以及对重大后果的接受。
5. 这些判断需要一个可识别的问责中心。
6. 因此，执行越丰裕，可问责的人类判断就越重要，而不是越不重要。

这是一套关于组织约束的理论，不是关于人类永远正确的主张。Hero 对已接受范围内的负责任判断承担答责，但不保证成功，也不被假定为无所不能。

必须建立的主张

• Hero 回应的是智能经济性与可获得性的变化。
• 分析单位是可问责的价值创造，而不只是任务完成。
• 人的重要性从独占执行转向目的、判断、问责与后果。

必须完成的论证

• 把丰裕智能定义为可获得性和可组合性的提高，而不是无限或免费的智能。
• 说明为什么更多执行能力不会自动创造更多价值。
• 解释为什么在模糊性和利益冲突中，价值创造需要一个问责中心。

必须回应的反例

一个全自动系统可能看起来无需某个人逐项决策，也能产生有用结果。

边界

这套理论不要求人在每一次执行中同步介入。

可证伪检验

如果非人系统能够在不归属于任何人或人类机构的情况下，持续且正当地承担重大后果的问责，这一主张就会被削弱。

章节目的

把 Hero 的环境前提定义得足够清晰，使其能够被挑战和检验。

理论正文

Hero 所说的“丰裕”是相对且可操作的概念。它意味着某类有用的智能或执行变得更容易获得、调用成本更低、复用速度更快，也更适合被组合。它并不表示所有能力都已经可用、质量已经得到保证，或边际成本已经归零。

这个区别很重要，因为“智能”一词经常混合了四件不同的事：

• 智能：在某个领域进行解释、推理、生成或决策的能力；
• 能力：在明确条件下，反复产生可验证结果的能力；
• 执行能力：合格能力可以被执行的数量、速度与并发程度；
• 结果：在现实世界中产生的变化，必须根据价值接受评估。

推理成本（Inference Cost）下降，是智能获取经济性改变的证据，而不是价值已经实现的证明。斯坦福大学以人为本人工智能研究院（Stanford Institute for Human-Centered AI，Stanford HAI，大学研究机构）发布的《2025 年人工智能指数报告》显示：达到 GPT-3.5 同等 MMLU 表现的模型，其调用成本从 2022 年 11 月每百万 Token 20 美元，下降到 2024 年 10 月的 0.07 美元，降幅超过 280 倍。S1 这说明某些机器智能更容易借用，但不能证明被借用的能力适合具体情境、组织能够完成集成，或最终结果有益。

现实生产率证据具有明显差异。美国国家经济研究局（National Bureau of Economic Research，NBER）对 5,179 名客户支持人员的研究发现，使用生成式 AI 助手后，每小时解决问题数量平均提高 14%；新手和较低技能人员提高 34%，但对经验丰富和高技能人员的影响很小。S2 同一类工具对执行能力的影响，会随人员经验和任务情境变化。

反向证据同样重要。独立非营利研究机构 METR 在 2025 年初的随机研究中发现：经验丰富的开源开发者在自己熟悉的存储库中使用 AI 工具时，完成任务反而多花费 19% 的时间。S3 METR 明确反对把这一结果推广到大多数软件开发。其 2026 年 后续研究 又指出，更广泛的 AI 采用与选择效应 使后续估计不可靠；研究人员认为 效率提升 很可能已经增加，但其幅度只有薄弱证据。S4

这些研究既不支持“普遍丰裕”，也不支持“普遍无效”。它们支持一种与情境相关的转变：访问成本和机器能力可以快速改善，而实际执行收益仍取决于经验、任务结构、隐含要求、质量门槛、集成实践与时间。

丰裕指标

当以下多个指标共同改善时，一个领域才是在走向执行丰裕：

• 获得明确能力的成本下降；
• 从意图到合格执行的等待时间下降；
• 能力可以跨承诺复用，而不需要大量重新建设；
• 多个能力单元可以组合，且不会产生不成比例的协调成本；
• 资格认定（Qualification）与证据能够跟上执行扩张；
• 组织可以增加执行能力，而不需要同比例增加人员规模。

任何单一指标都不充分。廉价但不合格的输出不是丰裕能力；快速但不可观察的执行不是可治理的规模；脱离情境的 基准测试表现 不是可靠组织能力。

不均匀的丰裕

丰裕智能时代不会同时到达所有领域。数字知识工作的访问成本可能下降，但体力工作仍受到设备、能源、材料、地点、安全和人在现场的限制。一项决策在技术上可以执行，却可能在法律上不可委托。高度依赖关系的决策可能需要无法由输出质量替代的信任。组织即使能够访问强大模型，也可能缺少干净数据、许可、集成或治理。

因此，丰裕性 是某个能力在特定情境与特定时间中的属性，不能仅根据某项技术已经存在就作出判断。

必须建立的主张

• 在许多知识工作领域，智能驱动的执行正在变得更便宜、更易获得。
• 软件、AI、平台、服务与专业人员，越来越能够作为能力单元。
• 丰裕在不同领域、地区、组织与物理约束下并不均匀。

必须完成的论证

• 区分智能、能力、执行能力与成功结果。
• 提出可观察的丰裕指标，例如获得成本、响应时间、复用程度与组合速度。
• 解释为什么物理型、强监管、安全关键与高度依赖关系的领域仍可能受执行稀缺约束。

必须回应的反例

在物理运营中，稀缺设备、材料、许可或熟练劳动力仍可能是真正瓶颈。

边界

Hero 不主张执行永远不再是瓶颈。它主张相对稀缺结构正在改变，而且必须按领域验证。

已确认的稀缺性转移假设

“执行不再是瓶颈”继续作为 Manifesto 语言成立。Canon 002 使用有边界的理论主张：

执行不再是普遍或默认的瓶颈。在越来越多由智能增强的工作中，真正形成约束的稀缺性，正在转向价值判断、问责、治理、证据与后果。

当所需能力可以获得、组合、得到充分资格认定并可验证，执行成本或等待时间持续下降，必要数据、工具与访问权限存在，而且物理、法律、安全或关系约束没有继续占据主导时，该假设成立。

在物理生产、现场服务、稀缺设备或劳动力、安全关键与强监管工作、高度依赖信任的工作、尚未形成可复用能力的探索性工作，以及缺少数据、权限或基础设施的组织中，执行仍可能是主要瓶颈。

对于一项价值承诺，实际检验问题是：

如果合格执行能力增加一倍，预期结果是否会显著改善？

如果会，执行仍可能是关键约束。如果不会，约束可能来自价值不清晰、权限不足、问责模糊、能力无法治理、证据薄弱或判断延迟。

稀缺性转移假设主张：随着可获得、可组合的执行能力扩张，组织约束将逐渐从“工作能否执行”转向“什么值得执行、谁接受问责，以及如何判断结果”。

可证伪检验

如果在 Hero 所适用的大多数领域中，执行能力仍长期是主导约束，那么这一广义主张必须缩小适用范围。

章节目的

推导“问责成为新的稀缺资源”，而不是只把它作为宣言使用。

理论正文

当一种约束的扩张速度超过另一种约束时，稀缺性就会转移。如果合格执行越来越容易获得，但合法判断、明确承诺、治理与后果承担关系的能力没有同步增长，问责就会成为真正限制组织的约束。

这不意味着更少的人需要负责，而是执行被委托得越多，组织越需要知道最终回答关系位于哪里。一个 Hero 可以使用许多能力单元，许多人也可以承担责任或独立问责。真正的问题出现于系统已经可以行动，却无法清晰回答四个问题时：

1. 这项行动准备创造什么价值？
2. 谁拥有作出重大判断的权限？
3. 什么证据可以确认或挑战该决定？
4. 谁必须解释并响应其后果？

技术不会因为产生更多输出就自动回答这些问题。事实上，执行能力越大，问题可能越困难，因为更多行动可以在影响被理解之前被启动、组合与重复。NIST AI RMF 把治理描述为贯穿各环节的职能，并指出 AI 生命周期中不同参与者 可能拥有不同的风险视角和责任。S5 Hero 接受这种责任多元性，但拒绝因为责任多元，就让价值承诺变得无人承担。

责任与问责

责任与问责相互关联，但不能相互替代。

责任是采取行动、执行、支持、审查或确保工作发生的义务。复杂工作需要许多贡献者和控制，因此责任可以被拆分。

问责是在明确范围内，对判断、价值与重大后果作出最终回答的关系。它必须保持可识别，因为执行委托无法回答：为什么接受这项价值承诺，如何解释相互冲突的证据，以及为什么接受某项风险。

“不可转移”不表示一个人吸收所有法律、道德、专业或运营责任。它表示执行不能被用来消解附着于价值承诺的主要问责。在安全、合规、专业完整性或制度边界需要独立判断时，独立问责仍然必要。

为什么问责会变得稀缺

执行往往可以通过资本、软件、平台、外部服务或增加能力单元被复制。可问责的判断更难扩张，因为它需要情境、合法权限、注意力、解释能力，以及接受重大后果的意愿。

真正稀缺的不是愿意获得某个头衔的人数，而是这样的能力：作出明确承诺、保留足够情境、抵抗误导性输出、响应 反向证据，并在结果不确定或不利时继续作出回答。

Hero 组织不会通过把所有人都称为可问责的来解决这种稀缺。没有区分的共享问责会让判断的位置变得更不清楚。系统必须区分主要问责、分布式责任、独立问责与制度性问责。

集体结构

董事会、委员会、合伙关系与法人可以拥有真实的制度权限与责任。Hero 不否认集体治理，而是要求集体结构保留可识别的决策权与人类角色承担者。

委员会可以共同讨论，但其 授权范围 必须说明：决定如何获得授权、治理哪项价值承诺、如何处理分歧与冲突，以及谁必须确保证据与后果获得响应。一个机构可以继续承担法律问责，同时由一名具名 Hero 对具体价值承诺承担主要问责。只要范围明确，这些层次可以并存。

真正的选择不是集体治理与个人英雄主义之间的选择，而是可问责的集体治理与责任消失在角色之间的结构之间的选择。

必须建立的主张

• 委托执行并不等于委托最终的 答责。
• 可选行动越多，对选择、解释与后果承担的需求越高。
• 问责不能仅由头衔、权力或与执行的距离推断。

必须完成的论证

• 用真实组织结构检验已经确认的责任与问责区分。
• 定义在明确范围内，什么使问责可识别且不可转移。
• 回应个人、共同、制度、法律与道德问责的不同形式。

已确认的塑形基线

责任 是采取行动、履行职责或确保明确工作得以发生的义务。责任可以被分配、委托或共同承担。

问责 是在明确范围内，对判断、价值与重大后果作出最终回答的关系。执行可以委托，但问责不得因委托而消失。

每个价值承诺都必须存在一个可识别的 主要问责 中心，即一名明确的人类 Hero。这并不意味着其他问责会消失。

• 分布式责任 可以分配给人员、团队与能力单元。
• 独立问责 可以由其他人针对安全、风险、合规、专业或制度约束独立承担。
• 制度性问责 可以由组织在法律或治理层面承担，但必须通过明确角色和可识别的人类角色承担者实现。
• 共享问责 只有在责任范围、决策权与冲突解决机制都被明确时才成立。Hero 不接受“所有人共同负责，但无人最终回答”的模糊共同问责。

必须回应的反例

董事会、合伙关系、委员会与法人经常承担集体或制度性问责。

边界

一个主要问责中心并不意味着单方面权力、无限责任、无所不知或取消独立治理。它意味着价值承诺在集体结构中不能失去可识别的人类最终回答关系。

问责受到已接受的价值承诺、合法决策权、合理可预见性、实际控制或影响能力，以及明确评估周期的限制。但这些边界不允许 Hero 在明知缺少必要权限的情况下接受承诺。

可证伪检验

如果问责可以被彻底分割，以至于不再需要任何可识别的人对判断与重大后果负责，那么“不可转移”主张就必须修正。

章节目的

解释人的首要地位，但不声称人必须执行每项任务，也不声称人在每项执行中都更优秀。

理论正文

价值既不始于生产，也不始于衡量。它始于有人把“值得追求的改善”与“仅仅可能发生的变化”区分开来。输出描述产生了什么；效率 描述投入与产出之间的关系；收入 记录一次交换；偏好 记录一个主体声称或通过行为表现出的愿望。它们都可以成为价值的证据，但没有任何一项单独足够。一个系统可以高效地产生无人需要的输出，可以通过把伤害转移给其他人而获得收入，也可以满足受益者的即时偏好，却损害其长期利益。

因此，价值同时是一项规范性判断和经验性判断。它具有规范性，是因为必须选择目的、受益者，以及可以接受的后果分配；它具有经验性，是因为所宣称的改善及其后果必须持续接受证据的检验。Hero 因而拒绝两种简化：价值不是决策者个人偏好的任何事物，也不是某项指标能够优化的任何事物。个人偏好并不天然拥有支配所有受影响者的合法权限；优化指标则会继承其目标函数中被遗漏的内容、时间跨度与利益相关方假设。

价值的人类中心，是这些假设最终必须得到回答的位置。这个人不必亲自执行工作、计算最优解或批准每个局部决定。这个中心是人类主要问责所在，它必须能够解释：为什么某个受益者是合法的，为什么这项改善值得追求，考虑了哪些相互竞争的利益，接受了哪些后果，以及什么情况会导致承诺被修订或停止。制度可以通过法律、使命、受托义务、专业标准、民主授权或治理结构，授权并约束这种判断。这些制度扩展了人类判断的合法性，但不会取消在具体价值承诺中识别一个人类中心的必要性。

受益对象与合法性

合法受益者可以是人、组织或社会。这三类并不相互排斥，也不意味着利益必然相等。一个产品可能同时创造客户效用、员工机会、组织收入、供应商需求与公共税收，也可能产生环境成本。因此，多类受益对象的存在并不能直接证明整体结果是合法的，而是产生了一个判断问题。

合法性通过四个相互连接的问题建立：

1. 目的：这项改善是否与价值创造系统获得授权的目的相关？
2. 利害关系资格：哪些人、组织或公共利益受到重大影响，因此有资格被纳入考虑？
3. 边界：哪些法律、宪法、合同、伦理、专业或制度边界约束这项选择？
4. 后果：重大收益、负担、风险、可逆性与时间跨度是否被清楚呈现，而不是被排除在价值声明之外？

这些问题不会自动产生公式，而是约束判断。利益相关方的利益经常发生冲突；宣布每个利益相关方都重要，并不会让冲突消失。例如，美国商业圆桌会议（Business Roundtable，美国主要公司首席执行官协会）的公司宗旨声明同时承诺客户、员工、供应商、社区与股东的长期价值。它说明商业价值可以明确包含多类利益相关方，同时保留经济价值要求；但它没有证明这些利益天然一致，也没有提供解决所有权衡的方法。S6

当利益发生冲突时，Hero 不能把冲突隐藏在一个综合分数之中。Hero 应明确：谁的状态预期得到改善，谁的状态可能恶化，哪些约束不可交易，接受了怎样的分配，以及哪些证据会要求重新判断。即使某个方案在技术上更优，如果目标函数排除了具有 利害关系资格 的主体，把受保护的边界当作可交换变量，或把重大后果外部化到评估时间跨度之外，它仍可能不合法。

经济可持续性

经济可持续性不等于短期利润，但对商业系统也不是可选项。一项承诺可以通过 创造、保护、赋能 或 正当使用资源 创造价值。这四条路径避免把每个局部行动都包装成虚假的直接收入声明，同时仍要求解释资源使用。员工安全、监管合规、基础设施、能力建设以及履行正当社会义务，可能消耗资源而不立即产生利润；只要其目的、后果与经济关系明确，它们仍然可以是价值。

然而，在完整的商业价值创造系统层面，承诺的整体组合必须在相关时间跨度内保持可信的利润路径。缺少这一路径，组织最终会失去继续服务任何受益者的能力。在公共或社会系统中，对应要求是可持续治理：资源、权限、制度信任与运行能力不能在缺乏合理更新或优先级依据的情况下被持续消耗。因此，可持续性是价值的边界，而不是价值的唯一含义。

当不存在一个能够合法吸收上述所有问题的稳定目标函数时，人的首要地位最为重要。一旦合法目标、运行边界与升级规则已经建立，机器完全可能比人更擅长计算、搜索、预测或执行。Hero 并不把执行保留给人，而是把对价值的可问责解释以及对后果的接受，保留在人或由人授权的制度秩序之中。

必须建立的主张

• 价值不等于输出、偏好满足、收入或效率。
• 价值取决于目的、利益相关者、权衡、时间跨度与被接受的后果。
• Hero 是这些解释最终变得可问责的人类位置。

必须完成的论证

• 定义人在模糊条件下进行判断的作用。
• 检验利益相关者发生冲突时，合法价值如何被建立。
• 说明正当性与技术优化之间的区别。

已确认的塑形基线

价值 是对合法受益对象产生的实质性改善。受益对象可以是人、组织或社会。该改善必须可以被识别、能够通过证据接受评估、与其重大后果一并考虑，并具有可持续的经济或资源基础。

价值的合法性来自相关目的、受影响的利益相关方，以及制度或宪法性边界。Hero 负责解释、权衡并接受价值承诺的问责，但不能依据个人偏好单方面发明什么算作价值。

对于商业组织，每项价值承诺不一定直接产生利润，但必须通过以下至少一条路径说明它与经济价值的关系：

• 创造：增加收入、利润率或利润。
• 保护：减少损失、风险、责任或经营合法性的丧失。
• 赋能：建立未来创造价值与利润所需的能力、资产、知识或选择权。
• 正当使用资源：为正当的人类、社会、法律或制度义务使用经济资源。

在完整的商业价值创造系统层面，经济可持续性以及可信的利润路径仍然是必要条件。在公共或社会系统中，对应约束是对财政、制度及其他稀缺资源的可持续治理。

必须回应的反例

当目标函数稳定且已被接受时，优化系统可能比人类决策者表现更好。

边界

人的首要地位适用于对价值的解释与后果承担，不意味着人在每个任务中的执行质量都更高。

可证伪检验

如果存在争议的价值可以在没有任何人类判断或人类授权制度的情况下，被正当地定义与修订，该主张就不成立。

章节目的

建立一个理论单位，使人、软件、服务、平台、工作流 与 AI 的执行能力可以被比较，同时不把它们视为相同事物。

理论正文

能力是在明确条件下，能够反复产生可验证结果的能力。它是一种能力，而不是拥有它的主体；是一类结果，而不是一次输出；是一项经过资格确认的依赖声明，而不是对潜力的描述。因此，说某个人、模型、服务或平台“能够”做某件事，弱于说该能力可以被负责任地用于一项价值承诺。

五个要素使这项依赖声明具有意义：

• 结果：确定能力预期产生的结果类别，包括相关质量与后果边界；
• 可重复性：意味着在一类有意义的场景中可以依赖该结果，而不是每次执行都使用完全相同的步骤或产生完全相同的内容；
• 验证：提供区分可接受结果与貌似可信失败的方法；
• 运行条件：说明依赖声明成立的情境，包括输入、环境、权限、依赖、规模、时间及重大假设；
• 资格认定：基于证据作出的判断，即某个具体能力单元适合在预期用途下提供该能力。

这一定义把能力与相近概念区分开来。一个人或工具可以拥有多项能力；任务是一次工作实例，可能需要多项能力；角色聚合预期的问责与责任；输出是一次产生的 产物 或行动。能力单元 是经过资格确认、能够在指定条件下执行某项能力的可识别人、团队、软件组件、AI 系统、服务、平台、工作流 或制度机制。

资格认定是关系性的，而不是绝对的。一个语言模型可能适合在有人类复核时起草低风险备选方案，却不适合发布具有约束力的法律决定。一个支付服务可能只在特定货币、交易上限、司法辖区与可用性目标下合格。一个专家可能在熟悉领域中合格，却在知识时效、独立性、工作负荷或授权条件不满足时失去资格。因此，同一项能力可以由多个合格的能力单元提供，同一个单元也可以在不同情境中具有不同资格认定。

NIST 的系统工程指南把保障定义为基于客观证据、将不确定性降低到可接受水平而形成的 有正当依据的信心（justified confidence），并要求工程活动的严谨程度与系统元素被赋予的信任相称。S7 Hero 接受这一方向，但不把某一套工程认证方案扩展为普遍规则：对能力的信心必须由与价值承诺及其重大后果相称的证据加以证明。

胜任性、退化与过期

能力并不是一旦获得就永久存在。运行环境变化、依赖漂移、数据分布移动、接口改变、技能衰退、工作负荷超出限制、权限过期，或新证据揭示失败模式，都可能导致适用性退化。资格认定也可以按设计到期，因为旧证据已不足以支持当前依赖。曾经合格的能力单元不应被永久推定为合格。

这一点首先是理论要求，而不是流程规定：每项资格认定都具有情境与时间边界。过去成功的证据只有在当前用途仍保持关键相似性时，才能提高信心。重大情境变化会削弱过去证据的继承效力，并可能要求限制、重新验证或撤销。Canon 006 可以进一步规定记录、复核周期与控制；Canon 002 只建立为什么必须存在某种机制。

能力的可信度也受验证限制。当结果生成成本很低、检查成本很高时，表面的能力可能比可靠能力增长得更快。如果评估者无法区分有效结果与有说服力的错误，反复生产就不构成有意义的可重复性。验证可以是直接检查、抽样、独立复核、约束测试、与下游结果对照，或由保障论证 支持。方法可以变化，但依赖声明必须能够被挑战这一要求不变。

创意、探索与紧急能力

创意、探索与紧急工作不会使这一定义失效。它们可重复的单位通常不是相同输出或固定程序，而可能是产生相关备选方案、进行有纪律的探索、在压力下作出可靠判断，或在遵守约束的同时达到一类可接受结果的能力。验证可以检查推理质量、来源、约束满足、专家复核、获得的学习或避免的后果，而不必预先预测完全相同的答案。

边界仍然重要。一次成功如果不能为未来依赖提供合理依据，它只是一次 成功实例，还不是经过资格确认的能力。相反，只要判断过程与可接受结果类别能够被评估，无法预知精确输出并不意味着能力不可重复。Hero 的能力概念必须足够宽，能够容纳人类专业能力与探索；也必须足够严格，能够区分负责任的依赖与希望。

必须建立的主张

• 能力不等于人、工具、任务、角色或一次性输出。
• 能力单元是经过资格确认的能力执行者。
• 资格取决于适用条件、证据、限制与持续胜任性。

必须完成的论证

• 定义结果、可重复性、验证、运行条件与资格确认。
• 解释能力如何退化、过期或失效。
• 说明为什么同一个能力可以由多个合格的能力单元实现。

必须回应的反例

创意、探索或紧急工作可能无法在狭义流程层面重复。

边界

可重复性可以指对某类结果或判断具有可靠性，而不是每次都使用完全相同的步骤或产生完全相同的输出。

可证伪检验

如果该定义排除了那些能够被负责任地依赖、但无法满足任何有意义的重复或验证条件的重要价值创造能力，就必须修订。

章节目的

解释规模如何扩大，同时避免把 规模 等同于 人员规模 或无治理自动化。

理论正文

能力组合是对两个或更多能力单元的有意安排，使其组合运行能够产生任何单一单元不被期待独立产生的结果，或以更大的规模、速度、质量、韧性或 覆盖范围 产生结果。组合可以包含人、团队、软件、AI、服务、平台、工作流、控制与制度。它的力量来自专业化与协同；它的风险来自一个事实：整体行为不能仅由各部件的资格认定完整描述。

必须区分四种关系。组合 是能力与依赖的整体安排；编排 协调其中的顺序、信息、决定与交接；委托 授权另一个主体或单元执行有边界的工作或作出有边界的决定；治理 建立选择、观察、约束、挑战、改变和停止该安排的依据。编排可以自动化，委托可以宽也可以窄；只要组合可能对价值承诺产生重大影响，治理就不可缺少。

组合会产生新的接口。每个接口都可能转换信息、遗漏情境、延迟信号、重新解释权限，或使完成状态产生歧义。组合也会产生依赖：一个合格单元可能依赖其可见边界之外的身份服务、数据集、模型供应商、运行方、网络、批准或供应方。失败可以沿接口传播，共享依赖还可能使多个看似独立的单元同时失效。因此，只有当失败模式足够独立且协调逻辑本身值得信任时，冗余 才会提高信心。

系统工程与安全研究为“部件级信心”提供了重要反证。NIST SP 800-160 指出，可信的系统行为不仅需要可信部件，还需要部件以可信方式相互作用，并把复杂性、依赖、不确定性、验证与系统级保障视为相互连接的问题。S7 美国国家航空航天局（National Aeronautics and Space Administration，NASA）的《系统安全手册》 同样要求整体性地看待系统及其组成部分的交互，指出复杂度增加可能超出传统部件级 危害分析方法的识别能力，而 情景分析 必须处理交互、依赖与 组合效应。S8 这些来源并不能证明 Hero 的问责分配，但支持一个关键主张：合格部件不会自动形成合格组合。

组合的可信度

组合可信度 是对组合在目标情境中行为的有依据声明。它不能通过平均部件可信度或计算合格单元数量得出，而受到重大依赖、接口不确定性、相关联的失败、编排逻辑、可观察性与干预能力 的限制。一个高度强大的组件，如果引入无法观察的关键依赖，或使系统运行超出 Hero 限制重大后果的能力，反而可能降低整体可信度。

只有当部件资格认定的证据与其在组合中承担的作用相关时，可信度才能被继承。情境改变、输出在验证之前被转换、下游单元把概率性输出当作事实、控制与批准集中于同一主体，或组合缺少可靠 停止路径，都会削弱可信度。当重大行为来自交互，而不是任何孤立部件时，必须存在系统级证据。

下述八项治理条件在本 Canon 中不是实施清单，而是理论有效性条件。如果能力未定义、适用性未证明、权限无边界、运行不可观察、失败传播未知、无法干预、重大决定缺乏独立检查，或资格认定无法撤销，那么 Hero 就没有合理基础为该组合接受问责。Canon 006 可以规定这些条件如何被记录和测试。

共享与不透明能力中的问责

Hero 对在价值承诺中使用某个组合承担问责，但不会吸收所有位于其他边界内的问责。共享能力的承担者可以对其资格范围内的运行、证据、限制与变更沟通承担独立问责。Hero 可以依赖这项问责，同时继续为选择、情境适用性、接口设计、监控与响应负责。明确分离的问责使规模成为可能；模糊的共同责任则隐藏了挑战最终应由谁回答。

不透明并不自动意味着不合格。人们经常依赖无法完整检查的系统，也没有任何 Hero 能够理解复杂价值创造系统的每个内部机制。关键问题是：不透明是否由充分的外部证据、有边界的许可、合同或制度保障、独立评估、运行信号、隔离控制、升级与可替换性得到补偿。如果一项重大依赖无法被观察、限制、挑战或替换，Hero 就不能把无知转换成信心。

这也回应了“复杂系统超出一个人的理解能力”这一反例。Hero 问责不要求一个人能够在头脑中完整模拟系统，而要求其作出判断：建立适当治理、取得专业与独立保障、承认现有证据的限制，并在组合无法被负责任治理时拒绝、重新界定、暂停或升级承诺。只有当问责架构随能力架构一同成长时，规模才是合法的。

必须建立的主张

• 多项能力可以组合成价值创造结构。
• 组合会带来接口、依赖、故障传播与证据需求。
• Hero 对为某项价值承诺选择和治理的组合继续承担问责。

必须完成的论证

• 定义 组合、编排、委托与治理。
• 确定有效组合的最低条件。
• 解释能力的可信度如何在链路中被继承、限制或削弱。

已确认的能力组合治理基线

只有当 Hero 有合理依据去信任、观察、限制并改变用于价值承诺的组合时，能力组合才有效。

最低治理条件包括：

• 能力定义：明确预期结果与运行条件；
• 资格认定：每个能力单元都有证据证明其适用于目标情境；
• 范围与权限：允许的决策、访问、数据、工具与行动具有明确边界；
• 可观察性：执行、结果信号、异常 与相关证据可以被检查；
• 失败 边界：已知限制、依赖、重大失败模式与传播风险得到理解；
• 升级与停止条件：当边界被突破时，Hero 可以暂停、替换、隔离或升级；
• 职责分离：在同一主体不得同时产生和批准重大决策的场景中，存在独立检查；
• 重新验证与撤销：当情境或证据改变时，资格认定可以过期、被挑战、被限制或撤销。

Hero 继续对组合的选择、它是否适合价值承诺、接口治理以及对证据的响应承担问责。负责某项共享能力的人或制度，可以对该能力在资格范围内的运行承担独立问责。不同问责必须明确，而不能被合并成模糊的共同责任。

只有当外部证据、限制、控制与升级路径足以支持负责任治理时，才可以使用内部不透明的能力单元。如果一项重大依赖无法被观察、限制、挑战或替换，该组合就还没有充分的问责基础。

组合的可信度必须考虑最薄弱的重大依赖、共享依赖与相关性失败。增加更多能力单元不会自动增加可靠能力。

必须回应的反例

复杂系统可能超出任何一个人的直接理解与控制能力。

边界

承担问责不要求无所不知，而要求有依据的治理、升级机制、证据与对自身边界的承认。

可证伪检验

如果组合能力能够在完全没有 可问责选择、治理或升级 的情况下，持续可靠地产生重大价值，该模型就必须修订。

章节目的

定义连接人的问责、能力与结果的核心承诺。

理论正文

只有当有人必须回答以下问题时，意图才真正具有运行意义：预期改善什么、为谁改善、在哪些边界内改善，以及如何评估这项主张。价值承诺 就是完成这一转换的结构。它是对追求并评估一项合法实质改善所作的 可问责承诺，不是对成功必然发生的预测，也不是声称不确定性已经消失。

这一区分同时保护雄心与诚实。如果承诺意味着保证成功，那么只有琐碎或已知的工作才能被接受；如果它仅意味着真诚努力，那么任何失败都可以通过活动数量得到辩解。价值承诺因此约束 Hero 在已接受边界内的判断、能力治理、证据、响应与学习质量。它不会使 Hero 无所不能，也不会使所有结果都变得可控。

价值意图先于能力架构，因为“什么应该得到改善”必须治理“什么能够采取行动”的选择。如果从现有工具出发，再为工具寻找理由，这个顺序就被颠倒了。组织追求的将是能力使用，而不是价值创造；成功 也会被重新定义成所选工具恰好产生的东西。承诺提供判断依据，使能力可以被选择、组合、限制、改变或拒绝。

承诺与相近概念

价值承诺与目标、任务、要求和 绩效目标 相关，但不能相互替代。

• 目标 描述期望方向或状态，但可能没有说明受益者、正当性基础、问责中心或评估逻辑；
• 任务 描述需要完成的工作，但不证明完成为什么重要；
• 要求 约束解决方案或流程必须满足什么，但不一定表达完整价值主张；
• 绩效目标 规定一个可测阈值，但它可能只是某个 指标，甚至可以在没有预期结果的情况下达成；
• 价值承诺 把目的、受益者、实质改善、正当性、经济或资源逻辑、边界、问责与证据整合成一个可回答的主张。

目标、任务、要求与 Target 都可以位于一个价值承诺之中，但不会自动成为价值承诺。一个团队可能完成所有任务、达到所有局部 Target，而受益者没有获得重大改善，或某个被外部化的主体承担了不可接受的后果。

不确定性下的最低清晰度

承诺要求足以支持 答责 的清晰度，而不是虚假的精确性。接受时，Hero 至少必须能够说明：

1. 合法受益者类别与预期 实质改善；
2. 使该价值主张具有合法性的目的与制度基础；
3. 使承诺保持可持续的 经济或资源逻辑；
4. 当前可见的重大利益相关方、约束、假设与可能的负面后果；
5. 人类主要问责中心与相关独立问责边界；
6. 可用权限、资源、决策权、访问、治理支持与升级路径；
7. 基线、预期结果、评估周期、先行证据与滞后证据，以及否证证据；
8. 必须拒绝、改变、暂停、升级或结束承诺的条件。

这些要素在不同情境中不需要具有相同细节，其严谨程度应与不确定性、可逆性、规模与重大后果相称。英国 Magenta Book 同样把评估视为应在干预实施前、实施中和实施后持续发挥作用的活动，并要求尽早检验干预如何工作、为什么可能失败、不确定性位于哪里、使用什么基线，以及出现了哪些非预期后果。S9 Hero 把它作为考虑评估的承诺的支持性证据，而不是照搬公共政策方法。

探索承诺

探索工作不是价值承诺的例外，它只是改变了承诺的对象。当解决方案与最终价值路径都尚不可知时，Hero 可以承诺降低某项重大不确定性、检验某个因果假设、识别可行的受益者需求，或决定是否应接受一项更大的承诺。

有效的探索承诺必须说明：哪项不确定性重要、降低它为什么具有价值、将收集什么证据、哪些 备选方案 仍然开放、探索将支持什么决定，以及在什么情况下继续探索不再合理。其结果可以是一个得到支持的方向、一个被拒绝的 假说、一个收窄的 选项 集合，或者一个负责任的不继续决定。只产生研究 产物、却没有改变决定基础，只是活动，不是已经完成的探索价值。

这一边界避免两种相反失败。过早精确化 会把未知工作强行写成虚假确定性；无边界探索则让不确定性永久成为逃避问责的庇护所。即使无法承诺最终解决方案，探索承诺仍需对降低不确定性的质量与后果负责。

权限、接受与改变

权限是承诺接受基础的一部分。它不仅包含正式决策权，也包含取得信息、资源、能力、治理机制 与升级的实际能力。如果 Hero 缺少作出或影响范围内重大判断的手段，就不能负责任地接受对此的最终 答责。

必要回应是拒绝、重新界定或升级。这条规则适用于接受之前，也适用于任何重大权限缺口 变得可见之时。后来发生且无法合理预见的权限变化，不会反向证明原始接受不负责任；但它会形成一个新的决定节点。Hero 必须披露缺口，并寻求恢复权限、改变范围、转移、暂停或升级，而不能假装问责基础没有变化。

因此，承诺是持久的，但不是不可改变的。当受益者、情境、证据、权限、风险、能力、经济基础或评估周期发生重大变化时，承诺可以改变。重大改变要求重新进行判断并明确重新接受；否则组织会在执行一个新承诺的同时，仍用旧承诺进行评估。原始基线、理由与证据必须保持足够可见，以解释为什么改变。

承诺也可能相互冲突。两项合法承诺可能竞争同一资源、产生不相容后果，或受到不同独立问责约束。仅仅宣布两者都是优先事项，并不能解决冲突。组织必须明确决定范围、顺序、资源、权限或更高层级价值，同时保留那些不能被合法交易的约束。

当评估基础已经满足、承诺被明确替代、周期或成立条件到期，或证据表明预期价值在已接受边界内不再合法或不可实现时，承诺应结束。拒绝与负责任终止都是有效的问责结果。为了保持表面一致而继续一个已经失效的承诺，不是坚持，而是逃避判断。

必须建立的主张

• 价值意图先于能力架构。
• 价值承诺指明受益对象类别、预期实质改善、合法性来源、经济或资源逻辑、相关利益方、约束与承担问责的 Hero。
• 承诺不是成功保证，而是对追求并评估明确价值所作的 可问责承诺。

已确认的承诺-权限规则

Hero 不能一边接受价值承诺，一边在之后以权限不足为理由逃避问责。

在接受承诺之前，Hero 必须判断现有决策权、访问权限、资源、治理支持与升级路径是否足以支撑负责任的判断。

如果条件不足，Hero 必须采取以下三种行动之一：

1. 拒绝承诺；
2. 重新界定其范围、权限或成立条件；
3. 在接受之前，或在尚未解决的权限缺口形成重大风险之前及时升级。

一旦接受价值承诺，已经知道或经过合理检查本应发现的权限缺口，就不能成为免责理由。它说明该承诺在缺少充分问责基础的情况下被接受。

已确认的证据承诺规则

在接受价值承诺时，必须说明足够的评估逻辑，以区分预期价值与已经得到证据支持的价值。理论上至少需要：

• 相关基线；
• 预期结果；
• 可以显示可信进展的先行证据；
• 可以验证实际价值的滞后证据；
• 可能出现的负面或外部化后果；
• 评估周期；
• 能够挑战或推翻价值主张的证据。

Canon 002 定义这些要素为什么必要。Canon 006 可以在未来规定其正式表达方式与生命周期。

必须完成的论证

• 定义价值需要清晰到什么程度，同时不假装不确定性可以消失。
• 区分 承诺、目标、任务、要求与绩效目标。
• 解释 承诺如何变更、到期、冲突或被拒绝。

必须回应的反例

探索工作可能在价值或解决方案尚无法精确定义时就必须开始。

边界

价值承诺可以承诺降低不确定性或发现可行价值路径，但其证据与决策条件必须明确。

可证伪检验

如果价值承诺在实践中无法与普通目标或分配任务区分，这个概念就没有成立。

章节目的

防止 Hero 把输出数量、活动强度或有说服力的叙述当作价值。

理论正文

如果把不同概念压缩成同一个词，价值评估就会失效。

• **输出（Output）**是执行产生的内容。
• **结果（Outcome）**是受益者或系统的状态或行为变化。
• **价值（Value）**是在考虑后果之后，对某项结果是否构成正当重大改善所作的判断。
• **证据（Evidence）**支持或挑战该判断。
• **后果（Consequence）**是承诺产生的预期或非预期、正面或负面、直接或间接影响。

这些区别不仅属于语言，也属于因果关系。输出可能促成结果，但不能证明结果；结果可能出现，却并非由该项承诺造成；测量到的变化可能使一名利益相关方受益，同时伤害另一名利益相关方；一段有说服力的叙述也可能在事后把行动、结果和价值连接起来，却没有可靠证据。Hero 因此要求建立从行动到输出、从输出到结果、再从结果到价值的明确链路，并让假设和其他解释保持可见。

英国财政部（His Majesty's Treasury，HM Treasury）与英国政府分析职能体系（UK Government Analysis Function）共同发布的《洋红皮书》（Magenta Book），对监控、收益管理和评估作出了类似区分。它所说的评估包括：干预是否有效、如何以及为什么有效、产生了哪些额外或非预期影响、如果没有干预会发生什么，以及观察到的变化在多大程度上可以归因于或关联到该项干预。S9 这支持 Hero 的立场：仅有绩效监控，不能证明价值已经得到验证。

证据是一种关系

证据不是某种天然具有权威性的文件。同一份记录对一个主张可能是强证据，对另一个主张可能是弱证据，对第三个主张则可能完全无关。证据存在于观察、主张、情境（Context）和判断（Judgment）之间的关系中。

• **来源（Provenance）**说明观察来自哪里，以及如何产生。
• **相关性（Relevance）**解释观察与主张之间的关系。
• **可靠性（Reliability）**说明它在多大程度上值得信任。
• **时间边界（时间 Boundary）**说明它适用于什么时期。
• **局限（局限）**说明它不能证明什么，以及可能存在什么偏差。
• **可挑战性（Challengeability）**允许反证、冲突和其他解释改变结论。

证据是否充分，同样取决于关系和情境。需要考虑后果的重大程度、因果主张的不确定性、决定是否可逆、错误成本，以及能否获得更强证据。低风险且可逆的决定可以在有限证据下负责任地进行；高影响或不可逆的承诺则要求更强的独立性、覆盖度、可靠性和审查。Canon 002 不规定数值阈值，而是解释为什么证据负担必须随着后果负担上升。

任何单一指标都不能代表完整的价值主张。数量可能掩盖质量，平均值可能掩盖分布，较短的观察周期可能掩盖延迟伤害，成功标准也可能驱动行为去改善指标而不是实现目的。一旦某项指标成为强目标，人和系统可能改善可见信号，同时损害真实结果。

解决办法不是放弃测量，而是保留因果解释。重大决定可能需要多种形式的证据、对分布和负面后果的检查，以及在机构中保存反证的能力。

相互冲突的证据不能自动作为噪声被平均掉。冲突可能揭示不同情境、利益相关方经历、时间范围、数据产生方法或因果机制。Hero 必须解释：冲突是否降低可信度、收窄主张、要求新证据，或表明价值分布并不均匀。无法承受可见反证的结论，只是用证据作装饰，并不是以证据为基础。

因果、贡献与延迟结果

价值往往在执行之后才出现，也可能由多种原因共同造成。Hero 不要求完美的因果归属，但要求准确说明当前知道什么。可信的反事实或比较可以支持更强的归因主张。因果关系分散时，更准确的说法可能是贡献：该项承诺通过有证据支持的机制影响了结果，但不是唯一原因。

在宣布成功之前，因果链应说明假设、外部影响和预期时滞。S9 的变革理论（Theory of Change）指南同样要求明确因果链、参与者、受影响群体、必要条件、假设、证据强度和更广泛情境，并区分早期或中期结果与长期影响。S9

预期价值（Intended Value）、有证据支持的进展（Evidenced Progress）、暂定价值（Provisional Value）、已验证价值（Verified Value），以及未决或已驳回（Unresolved or Refuted）这些认知状态保留了时间维度。它们防止组织把意图称为结果，或把先行指标当作最终验证。先行证据（Leading Evidence）可以支持继续投入，或增强对当前方向的信心；滞后证据（Lagging Evidence）可以在以后说明预期结果是否持续，以及延迟后果是否改变原有结论。

代理指标（proxy indicator）只有在其与预期结果的关系得到解释并保持可挑战时才有效。培训完成率可能说明人员接触过培训内容，却不能证明实践已经改变；功能使用量可能说明参与度，却不能证明受益者处境改善；安装风险控制措施可能说明已经采取保护行动，却不能证明损失已经下降。如果代理指标改善而预期结果停滞，这就是对原有因果关系的反证，不能成为围绕代理指标重新定义价值的理由。

当评估周期（Evaluation Horizon）超出 Hero 的任期、角色或交付机构时，问责不会在移交时消失。接受承诺的 Hero 必须明确后续复核责任，保存基线（Baseline）与评估逻辑，移交相关证据及其局限，并允许后续判断继续挑战原始主张。未来复核者可以承担新的评估问责，原始决定则必须保持可追溯。

重大后果

后果使价值评估完整，因为收益和负担很少只停留在预期受益者内部。后果可能是预期或非预期、即时或延迟、集中或分散、可逆或不可逆，也可能由内部承担或被外部化。如果一项承诺只是把成本、风险、劳动、延误或伤害移出测量边界，从而改善了局部结果，它仍然没有证明价值成立。

重大性受到已接受范围、正当权限（Authority）、合理可预见性、实际影响力和评估周期的约束。这些边界防止无限问责，但不能成为漏洞。范围不能被划得过窄，以至于已知受影响者从分析中消失。可预见性要求合理调查，而不只取决于 Hero 偶然注意到了什么。实际影响力不仅包括直接控制，也包括停止、重新设计、披露或升级的能力。

真正无法预见的事件，以及由另一个明确独立问责中心（Independent Accountability center）治理的决定，可以位于 Hero 的最终答责范围之外。即便如此，Hero 仍须对是否披露已知限制、是否治理接口、是否监控证据，以及在边界变得可见时是否升级作出回答。问责针对的是有边界不确定性下的负责任判断，不是事后拥有发生的一切。

一些重要结果始终只能被部分观察。Hero 因此允许三角验证、定性证据、专家判断、情景分析、贡献分析和明确的不确定性，但不允许虚假的确定性。正确状态可能仍然是暂定、未决或已驳回。一个强迫所有重要价值都接受即时数值验证的框架，会偏好容易测量的内容而牺牲真正重要的内容，也会因此无法通过自身的可证伪检验。

必须建立的主张

• 输出、结果、价值、证据与后果是不同概念。
• 证据支持判断，但不能消除解释。
• 后果包括预期、非预期、延迟、分散和外部化影响。

已确认的证据基线

**证据（Evidence）**是具有可追溯来源，并能够支持或挑战以下判断的信息、观察或记录：某项价值承诺是否产生了预期结果、重大后果或学习（Learning）。

证据必须有能力改变判断。如果一项信息无论显示什么都不会影响结论，它只是记录或装饰，不是有意义的证据。

证据至少必须提供来源、相关性、可靠性、时间边界、明确的局限和可挑战性。

一项指标不会仅仅因为可以测量就自动成为证据。它与价值主张之间的关系必须得到解释。输出证据不能自动证明结果或价值。

证据支持判断，但不能替代判断。

已确认的延迟结果基线

当结果延迟出现或暂时无法直接观察时，价值主张必须保留明确的认知状态：

• 预期价值（Intended Value）： 存在价值意图，但尚无结果证据。
• 有证据支持的进展（Evidenced Progress）： 证据支持当前方向，但预期结果尚未出现。
• 暂定价值（Provisional Value）： 已经出现初步结果，但评估周期尚未结束。
• 已验证价值（Verified Value）： 证据已经满足声明的评估基础。
• 未决或已驳回（Unresolved or Refuted）： 证据不足、相互矛盾，或已经推翻价值主张。

这些术语说明当前知道什么，不规定 HeroOS 的工作流或生命周期。

延迟出现的价值并不等于没有价值，但在所需证据到达之前，它仍未得到验证。

只有在代理指标与预期结果的关系及其局限均已明确时，才可以使用该指标。代理指标改善不得被表述为价值已经得到验证。

Hero 必须说明什么能够确认价值，也必须说明什么能够推翻价值。

已确认的重大后果基线

**重大后果（Material Consequence）**是由某项价值承诺造成或受到其重大影响，对个人、组织或社会产生显著作用，并处于 Hero 已接受的范围、正当权限、合理可预见性、实际影响力和声明评估周期内的后果。

Hero 对负责任的判断承担问责，而不是对无所不能负责。

Hero 仍须负责：

• 定义价值及其边界；
• 作出或组织重大价值判断；
• 以合理审慎选择和治理能力；
• 监控可获得的证据；
• 在风险或权限超出已接受边界时停止、拒绝、重新界定或升级；以及
• 解释决定、已知取舍和由此产生的学习。

Hero 不会自动对真正无法预见的事件、明确超出已接受范围与实际影响力的事项，或由另一个明确独立问责中心治理的决定承担问责。只有在 Hero 已作出合理判断、披露已知限制并使用必要升级路径时，这些排除才成立。

必须完成的论证

• 定义证据质量、来源、相关性、及时性与充分性。
• 解释结果延迟或只能被部分观察时应如何评估。
• 回应指标冲突与 古德哈特式（Goodhart）测量失效。

必须回应的反例

某些高价值决定无法在决策者任期内得到评估，也无法通过直接因果归属进行判断。

边界

Hero 要求明确的证据逻辑，而不是完美测量或即时确定性。

可证伪检验

如果这套框架的证据要求系统性偏好短期、可测量的输出，而牺牲重要的长期价值，就必须修订该框架。

章节目的

解释为什么每次执行都应让组织更有能力，而不仅仅留下记录。

理论正文

学习是证据改变未来判断、行为或能力所产生的变化。信息可以被接收却没有被理解；Insight 可以发生却没有被保留；经验教训可以被记录却从未被使用。因此，Hero 区分 记录、个人学习、组织学习 与 组织记忆。

记录 保存信息；个人学习改变一个人的理解或行为；组织学习改变共享实践、治理 Choice、能力或决定模式；组织记忆则使这种学习在原始人员离开或遗忘之后，仍然可以被恢复并持续发挥作用。这四者可以同时发生，但任何一项都不能仅凭 存储 推断出来。

NASA 的《项目与计划知识政策》 for Programs and Projects 提供了一个有用的制度案例。它把捕获、保留、使用与共享视为不同活动，把经验教训信息系统放在更广泛的知识转移、发展、活动与工具体系中，并要求把经验教训注入方法论、标准、培训与实践。S10 这并不能证明 Hero 的四部分定义，但支持一个重要区别：拥有存储库不等于改变组织运行。

从证据到记忆

组织记忆需要一条可追溯的转换：

留存证据
+ 保留情境
+ 明确判断
+ 运行改变
= 组织记忆

留存证据 保留当时观察到什么，包括重大场景中的冲突或负面结果；保留情境 记录证据与判断相关时的条件，包括目的、利益相关方、基线、权限、能力、假设、时间、约束与环境；明确判断 说明得出了什么结论，以及不确定性、备选方案与局限；运行改变 把结论嵌入组织未来会做什么，例如决定规则、能力资格认定、设计原则、控制、培训实践、监控问题、工作流、工具或升级条件。

这个公式不是 数据库 结构规范，而是有效性检验。没有情境的证据容易被错误应用；有情境与证据、却没有判断，会迫使未来每个使用者重新构造决定；没有证据的判断会变成 缺乏依据的教条；前三者都有、却没有运行改变，只会形成一个允许组织重复同类错误的经验教训档案。

记忆通过保留、检索、解释与应用发挥作用。保留保持材料可用且真实；检索把相关材料带入未来决定；解释检查旧情境是否适合新情境；应用改变当前判断或行动。任何一环失败都会破坏记忆职能。无法找到的材料不是 运行记忆；没有情境却被检索出来的材料，可能比已经遗忘的材料更危险。

因此，情境适配 是强制要求。学习把情境(n) 改变为情境(n+1)，但得到的判断并不能普遍复用。在危机中、某项法规下、基于特定能力或针对某类受益者学到的实践，可能在其他环境中失效。复用必须检查哪些因果条件仍然成立、哪些已经变化，以及新证据是否挑战旧结论。

隐性学习与持久性

组织有时会改变行为，却没有保留显式证据。惯例、故事、督导、文化与 熟练模仿 都可以承载隐性学习。当 改变后的行为可观察时，Hero 承认这是真实的组织学习，但不会自动称其为持久的组织记忆。

隐性传递 有自身优势：它可以保留难以形式化的判断，并通过实践进行适应；但它也很脆弱，可能随 人员流动 消失、在无法挑战的情况下变形、保留过时假设，或成为没有人能够解释来源与边界的规则。在涉及重大后果时，组织应使足够的证据、情境与判断显式化，以支持质疑与负责任的复用。目的不是记录每个 直觉，而是防止关键学习依赖无法追溯的继承。

退出、替代与容量

记忆不会仅仅因为持续存在就具有价值。一个能够学习、却不能取消已经失效学习的组织，会积累相互冲突的规则、过时假设、有害偏差与过度检索 噪声。因此，组织记忆与准入机制一样需要退出机制。

活跃、条件性、已退役或已被替代、已归档与已处置描述的是记忆与当前判断的不同关系，而不是 Canon 006 的生命周期状态。活跃记忆（Active Memory） 默认影响决定；条件性记忆 仅在情境条件成立时适用；已退役或已被替代 记忆 不再拥有当前决定权限；已归档证据 继续用于审计、研究或历史追溯；已处置材料 因规律、隐私、安全性、保留或正当资源约束被删除。

记录管理提供了一个外部类比，但两者并不相同。美国国家档案和记录管理局（National Archives and Records Administration，NARA）区分到期后应销毁的临时记录、必须永久保存并移交的永久记录、已经被替代的权限，以及需要复核与需要更新的保留计划；它还警告，“不再需要时销毁”这种模糊指令可能同时导致过度保留与过早销毁。S11 组织记忆比联邦记录管理更广，但这个案例支持明确的处置、权限、复核，以及当前使用与历史保存之间的分离。

只有当决定影响真正改变时，退出才成立。一项被标记已过时的记忆，如果仍然被默认搜索、AI 检索、资格认定规则、培训、控制或工作流返回，它在实践中仍然活跃。替代必须保留可追溯性，同时把当前判断指向新结论。处置必须合法删除材料，但不能假装删除信息就证明组织已经取消了曾经嵌入的行为。

容量限制作用于活跃影响，而不是全部历史。在合法、安全、有用且成本合理时，历史性证据可以大量存在；活跃记忆则会竞争组织注意力，并可能产生矛盾、延迟或自动偏差。因此，正确目标是支持负责任的判断的最小充分活跃集合，而不是统一统一最大条目数。什么算充分，取决于领域复杂性、后果、变化速度、检索质量，以及组织解决冲突的能力。

每个活跃记忆条目必须具有足够的承担关系与边界，才能持续接受质疑：适用情境、支持证据、明确判断、运行影响、生效日期、复核或到期 条件，以及已知的依赖或冲突。Canon 006 可以决定如何表达、复核、计数或自动化这些内容；Canon 002 只建立为什么没有承担关系、边界与 Exit 的记忆不能继续被信任。

当结果在 Hero 任期结束后才成熟时，组织记忆负责把评估延续下去。基线、因果假设、证据状态、局限、复核周期与后续承担者必须在 交接 后继续存在。缺少这种连续性，长期价值会在结构上变得无法验证，而组织则会因在后果出现之前宣布收益而获得奖励。

必须建立的主张

• 被存储的信息不会自动成为组织记忆。
• 学习需要在未来行动、判断或可用能力中产生可观察变化。
• 记忆必须保留证据，也必须保留解释证据所需的情境。

已确认的组织记忆基线

组织记忆 是被保留的证据、情境与判断，它们已经被嵌入未来的行为、治理或能力，使学习不依赖某个人继续留在组织中。

留存证据
+ 保留情境
+ 明确判断
+ 运行改变
= 组织记忆

• 证据记录当时观察到了什么。
• 情境保留证据与判断成立时的条件。
• 判断记录组织得出了什么结论，包括不确定性和被放弃的选项。
• 运行改变将学习嵌入未来决策、规则、能力资格认定、工作流、控制、工具、培训 或 monitoring。

只有存储而没有运行改变的内容，是 档案或知识存储库，而不是组织记忆。缺少证据与情境支持的规则，是 缺乏依据的规则。只存在某个人脑中的知识，是脆弱的隐性知识，而不是组织级记忆。

没有情境的记忆，最终会变成组织迷信。

已确认的记忆退出与容量规则

一个能够学习的组织，也必须能够取消已经失效的学习。组织记忆必须支持准入、按情境使用、复核、限制、替代、退出、归档与合法删除。

在概念上，记忆可以处于：

• 活跃记忆：当前并默认影响判断、治理或能力；
• 条件性记忆：仅在明确情境条件成立时适用；
• 已退役或已被替代 记忆：不得继续指导当前决策；
• 已归档证据：仅为审计、研究或历史追溯保留，不再拥有当前决策权；
• 已处置材料：因隐私、法律、安全或保留规则要求而删除。

记忆退出时，必须从实际决策影响中移除，包括默认检索、AI 检索与情境、决定规则、能力资格认定、工作流、控制和培训。已经标记已退役、但仍被当作当前内容检索的记忆，实际上没有退出。

当情境改变、出现更强反证、相关能力或法律变化、有效期结束、重复或冲突增加、产生有害偏见、价值承诺已结束，或合法保留规则要求删除时，记忆应被复核、限制、替代、退出或删除。

活跃记忆应当是支持未来负责任判断所需的最小充分集合。Canon 002 不规定统一的项目数量，但要求每一项活跃记忆都具有承担者、适用情境、支持性证据、明确判断、运行影响、生效日期、复核或 Expiry 条件，以及已知依赖或冲突。

在合法且有用的前提下，历史证据可以大量保留。真正需要被限制的资源，是组织的主动注意力与当前决策影响。

没有退出机制的记忆，最终会变成组织惯性。

必须完成的论证

• 定义 保留、检索、解释与行为改变。
• 解释过时或有害的 记忆如何被挑战与退役。

如果评估周期超出 Hero 的岗位任期，Hero 仍然负责建立证据交接、后续复核承担者与继续评估所需的组织记忆。

必须回应的反例

组织可能通过行为变化产生隐性学习，却没有保留显式证据。

边界

组织记忆不要求每一条历史记录都保持活跃。它要求留存证据与情境、明确判断，以及被嵌入未来运行的改变之间存在可追溯关系。正式 生命周期状态、配额、保留期限与自动化 属于 Canon 006。

可证伪检验

如果有用的组织学习反复发生，却既没有保留证据，也没有改变行为、判断或能力，这一主张必须缩小。

章节目的

推导五个要素之间的关系，同时避免把模型变成僵化工作流。

理论正文

Hero 模型是对 可问责的价值创造 的概念完整性检验。它检查五项必要功能是否存在：目的、责任、能力、价值 与 学习。这些功能形成循环，是因为每一项都会改变其他功能被解释的条件；但这个循环不是必须遵循的 会议、阶段或交接顺序。

Hero 模型有意小于一套完整运行系统。它不描述交付产品、服务、政策或使命所需的每项活动，而只识别最小概念功能，防止执行与意义、人类 义务、适用性、后果和适应脱离。

为什么五个要素不能相互替代

目的 建立什么重要以及为什么重要。它定义行动被判断时所依据的方向、正当受益者、制度性基础与相关周期。只有目的、没有责任，仍然只是愿景。它可以激发活动，却不能说明谁有义务行动或确保行动发生。

责任 建立采取行动、执行、贡献或确保工作发生的职责。它可以在参与者之间分配、委派或共享。只有责任、没有能力，是缺少可信执行手段的义务。它可以制造压力，但压力不是执行能力。

能力 使追求成为可能。它提供在明确条件下产生 结果 的合格能力，可以来自人、软件、AI、服务、平台、工作流或 机构。只有能力、没有价值，是缺少合法检验的力量。它可以产生输出、规模与 效率，却同时远离目的。

价值 在考虑证据与后果后，评估结果是否构成合法的重大改善。只有价值、没有学习，会使评估成为孤立结论。组织可能已经认识到 成功 或失败，却带着相同假设、资格认定、控制与 盲点 进入下一项承诺。

学习 改变未来判断、行为、能力、治理或情境。只有学习、没有重新检验目的，可能继续优化已经不再合法的昨日优先级。因此，学习只有在改变下一轮的起始条件时，才真正关闭本轮循环。

没有任何要素是另一个要素的同义词。目的不能执行，责任不能创造适用性，能力不能定义正当性，价值不能自行保存，学习也不能永久决定什么应该重要。只有这些不同功能保持连接、又不被合并时，模型才完整。

贯穿循环的问责

问责不是第六个要素，因为它不是在学习之后执行的另一项工作。它是有边界的 最终答责，治理 Hero 在完整循环中的判断：如何解释目的、如何组织责任、为什么认为能力适用、如何评估价值与后果，以及学习改变了什么。

责任可以在系统中移动，而问责必须保持可追溯。Hero 可以委派执行、依赖独立问责或使用共享能力，而不必对每个局部行动承担责任；但在价值承诺边界内，Hero 仍需为选择、集成、响应证据与升级作出回答。因此，问责是包围决定的关系，而不是任务清单中的一项任务。

情境、反馈与非顺序工作

情境包围 Hero 模型，因为每个要素都会随条件改变含义。目的依赖正当受益者与 机构；责任依赖权限与角色边界；能力依赖运行条件；价值依赖基线、证据、时间 与后果；学习依赖哪些因果条件仍然有效。

这个关系可以表示为：

箭头表达依赖与 反馈，而不是强制 时间顺序。真实工作可能从危机、现有能力、意外证据、新的 法律约束或继承的组织记忆开始。危机可能在目的完整表达前就产生 即时责任；新能力可能揭示过去不可能实现的价值；证据可能在 计划执行完成之前就推翻承诺；学习也可能迫使组织重新考虑目的，而不是简单开始下一次 交付循环。

在每种情况下，Hero 模型检查哪些功能已经存在、哪些仍然隐含，以及在工作可以负责任地继续之前，哪些功能必须变得可回答。中断、迭代与并行 与修订因而都是模型的原生特征。失败不在于从“错误步骤”进入，而在于因为工作从其他位置开始，就让某个必要功能消失。

NASA《系统工程手册》 为线性解释提供了一个有用反例。它把工程过程描述为贯穿生命周期的 递归和迭代 活动，并区分“证明符合要求”的验证，与“确认产品在目标环境中服务 预期目的和利益相关方期望”的确认有效性。S12 Hero 不导入 NASA 的流程架构，但这一差异加强了两个命题：概念循环不必是线性工作流；符合要求的输出也不等于已经验证的价值。

反馈可以按不同速度发生。即时证据可以在执行中改变能力使用；结果证据可以在 交付后修订价值判断；长期后果可能更晚才改变组织记忆。Hero 模型必须保持这些循环连接，防止快速执行跑在较慢评估与学习之前。

HERO 四原则继续作为公共记忆结构，帮助人们记住相关原则；但它不能替代 Hero 模型，因为助记框架本身不会建立目的、责任、能力、价值、学习、问责与情境之间的完整关系。两者承担不同功能，不应被强迫相互替代。

必须建立的主张

• 目的定义什么重要。
• 责任建立人采取行动、履行职责或确保工作得以发生的义务。
• 能力使价值追求成为可能。
• 价值评估这项追求是否真正重要。
• 学习改变下一轮循环。

问责不是第六个顺序步骤，而是贯穿整个循环，对判断、价值与重大后果形成约束的最终回答关系。

必须完成的论证

• 解释为什么五个要素不能相互替代。
• 定义反馈以及情境的角色。
• 说明模型如何容纳迭代、中断与修订。

已确认的情境基线

情境 是决定目的、责任、能力、价值、证据、后果与学习如何被解释的条件集合。

情境包括受益对象与利益相关方、基线、权限与问责边界、时间地点、资源条件、法律与伦理约束、风险、假设与不确定性、能力运行条件、证据环境，以及相关历史判断或组织记忆。

情境不是第六个顺序步骤，而是包围完整 Hero 模型的跨周期解释边界。

情境(n)
    |
Hero 模型循环
    |
学习
    |
情境(n+1)

学习会改变下一轮判断发生的情境。任何判断都不能脱离其证据产生时的情境被直接复用。因此，复用需要进行情境-fit check，而不是简单重复历史结论。

必须回应的反例

真实工作很少按整洁顺序展开，也可能从证据、危机或现成能力开始。

边界

Hero 模型是概念完整性检验，不是强制执行顺序。HERO 四原则仍是公共记忆结构，不替代 Hero 模型。

可证伪检验

如果存在一类反复出现的 可问责的价值创造，其中必需的核心要素无法由五段循环或情境表达，模型就必须修订。

章节目的

解释 Hero 最小可用的组织表达，同时不宣称传统团队已经过时。

理论正文

单一 Hero 团队是一种问责拓扑，而不是规定人员规模、汇报线 或 用工模式。它的定义中心，是一个人类对一项价值承诺承担主要问责。围绕这个中心，是追求、评估并从该承诺中学习所需的受治理能力。

One（单一） 指主要问责中心可以被识别，不代表单方面权力或独自工作；团队 指对价值承诺的协调参与，不只包括向 Hero 汇报的人。一个能力单元可以只参与一次决定、一个阶段、一次执行，也可以参与多项承诺；它可以是内部或外部、人类或技术、专用或共享。

最小概念结构包括：

• 具有正当受益者、边界与评估基础的价值承诺；
• 一名在该边界内承担主要问责的具名 Hero；
• 为行动、绩效、复核与支持分布的责任；
• 针对目标情境进行组合的合格能力单元；
• 明确的权限、独立问责与制度性约束；
• 证据、升级、干预与 停止路径；
• 可以超越个人参与而持续存在的学习与组织记忆。

这是一种理论结构，而不是组织模板。传统产品团队可以满足它；临时任务组、采购网络、公私合作计划、专业事务团队或人机协作安排也可以满足。相反，一个成员稳定的部门，如果无法识别价值承诺与主要问责，也不构成单一 Hero 团队。

参与与治理

团队成员关系 是能力参与。相关问题不只是“谁属于这位管理者”，而是“这项承诺依赖哪些合格能力、在什么条件下依赖、具有怎样的责任、权限、证据与 Exit 路径”。这一视角使共享服务、专家、承包方、平台与 AI 变得可见，同时不假装它们具有相同法律或道德地位。

资格认定 证明为什么某个单元可以在目标情境中被依赖；委托 分配有边界的工作或决定，而不让主要问责消失；协调 治理单元之间的 顺序、信息、接口与冲突；替换 确保适用性失效时单元可以被限制或改变；升级 把团队连接到 Hero 边界之外的权限与独立问责。

这些功能之所以必要，是因为能力组合改变了失败的性质。强大的单元可能被用于错误情境，两个合格单元可能交换不完整信息，一个共享服务可能同时使多个团队失效，而专家也可能发现一个 Hero 无权解决的约束。因此，团队治理既治理个体 绩效，也治理关系与接口。

S12 把系统定义为共同运行、产生所需能力的 要素组合，并指出超出各部分的独立贡献的系统层面的价值，主要由 各部分之间的关系创造；它也把 多学科集成描述为把相互冲突的约束平衡成 连贯整体，而不是让单一学科 支配整体。S12 这支持单一 Hero 团队对受治理关系的重视，但 Hero 的问责模型仍然是独立理论主张。

主要与独立问责

一个主要问责不意味着一个人作出所有决定。安全、安全性、财务、规律、职业伦理、民主治理权限、审计等领域可能要求具有独立决策权、批准、否决权或职责的独立问责。这些约束不是 Hero 可以优化掉的从属能力。

当每项问责都具有明确对象 与边界时，结构仍然一致。Hero 为价值承诺作答；安全权限可以为已接受安全约束作答；数据保管人可以为合法使用作答；共享能力承担者可以为共享服务的资格认定与 运行作答。这些中心发生冲突时，需要授权的解决路径；如果只宣布问责是共享、却没有边界，就没有任何中心能够可靠作答。

主要问责同样具有边界。Hero 不需要对共享能力在整个组织中的所有用途负责，而需要对在本承诺中依赖它的决定、情境适用性、接口治理，以及证据变化后的响应负责。共享能力承担者则继续对该单元被表示为合格时所依据的基础承担独立问责。

规模与价值创造系统

Hero 中的规模，是通过受治理能力组合创造的可问责的价值，而不是向管理者汇报的人数。增加人员规模、智能体、服务、自动化或并行工作会增加名义执行能力；只有当价值承诺、接口、证据、权限与失败边界仍然可治理时，才会增加正当规模。

因此，单一 Hero 团队之上的单位是 价值创造系统：相关价值承诺、Hero 团队、能力单元、治理边界、证据与组织记忆构成的网络。它的边界由价值、问责、能力依赖与后果决定，可以跨越多个部门，也可以位于一个部门内部；可以临时存在，也可以长期存在。汇报层级 无法单独定义它，因为 层级结构 未必跟随价值或失败的流动。

问责不会自动向上聚合。管理多名 Hero 的管理者不会自动成为所有承诺的 上级 Hero。只有当某个人接受一项独立的系统层面的价值承诺，拥有充分权限，并具有不能被局部承诺替代的评估基础时，才存在系统层面 Hero。该系统问责负责协调和判断系统价值，但不会消除局部主要与独立问责。

这种处理方式允许系统嵌套和连接，而不要求组织中的所有后果最终都由一个人承担。它在每个已接受价值边界上保留可识别答责，并要求在承诺竞争、依赖跨边界或后果传播时建立明确治理。

必须建立的主张

• 团队成员关系可以被理解为能力参与，而不仅是雇佣或汇报线。
• 人类专家、AI 智能体、服务、平台与工作流 都可能成为能力单元。
• 规模是通过受治理的能力组合创造的 可问责价值。
• 单一 Hero 团队由一个主要问责中心、分布式责任、必要的独立制衡与明确的制度边界共同构成。

必须完成的论证

• 解释 资格认定、委托、协调、替换与升级。
• 回应职责分离，以及必须由多个人分别承担不同问责的场景。

已确认的多 Hero 系统基线

单一 Hero 团队之上的单位是 价值创造系统：由相关价值组织起来的价值承诺、Hero 团队、能力单元、治理边界、证据与组织记忆网络。

每个价值承诺继续保留一个具名的人类主要问责中心。问责不会自动向上聚合成一个“上级 Hero”。

只有当某个人明确接受一项独立的系统级价值承诺，并拥有充分权限、范围、证据与治理支持时，才存在系统级 Hero。该系统级问责不会消除系统内部已有的主要或独立问责。

共享能力单元可以服务多个 Hero 团队。维护共享能力资格的问责，与每个使用方 Hero 判断该能力是否以及如何适用于具体价值承诺的问责，是两种不同责任。

价值承诺之间发生冲突时，必须存在明确的治理 授权范围、决策权、优先排序 基础与升级路径。不能仅依靠模糊共享问责或汇报层级解决。

价值创造系统可以嵌套或相互连接，但其边界应由价值、问责、能力依赖与后果决定，而不能默认等同于部门。

必须回应的反例

安全关键、强监管、民主治理或高冲突领域，可能要求多个独立决策权。

边界

单一 Hero 团队不代表一个人拥有单方面权力、执行所有工作或替代制度治理。当范围与决策权明确时，同一个价值承诺周围可以并存独立的问责。

可证伪检验

如果该结构无法表达需要独立检查的领域，除非把问责重新变得模糊，就必须修订。

章节目的

展示从哲学到操作模型的推导，同时把正式要求保留给 Canon 006。

理论正文

Hero 首先是一套 可问责的价值创造 理论。当这套理论必须在重复承诺、多个人与 机构、组合后的能力、长期评估周期、人员流动、冲突与组织规模中继续可靠成立时，它就变成一个运行系统问题。

在很小的规模上，Hero 原则可以通过非正式方式体现。一个人可以记住承诺、认识 协作者、检查工作、保留证据，并把学习带入未来。这是对“每种 Hero 实践都需要具名平台、形式程序或正式计划”这一主张的有效反例。非正式实践 不会仅仅因为非正式就失效。

当答责开始依赖记忆、人员接近性、人员稳定性 或 异常严格的个人自律 时，限制就出现了。随着价值创造系统扩大，能力与问责跨越边界，证据在 交接 之后到达，共享单元发生变化，独立约束发生冲突，旧学习在新情境中被检索。此时，可重复性需要机制，使理论关系在直接参与者之外仍然可观察、可治理。

HeroOS 是这一运行模型推论的名称。它不一定是软件，也绝不只是软件。它可以包含 社会实践、制度性权限、治理、记录、人类 惯例、技术工具、接口与自动化。它的目的，是在这些关系无法仅靠非正式记忆可靠维持时，继续保存 Hero 理论所要求的关系。

推导必要功能

推导从失败条件开始：

• 如果无法识别目的与价值承诺，能力可能在没有合法价值主张的情况下被优化；
• 如果无法识别主要与独立问责，委托与 层级结构 可能使答责消失；
• 如果无法把权限与范围关联到承诺，Hero 可能接受一个无法负责任治理的 承诺；
• 如果无法描述能力与资格认定，访问可能被误认为适用性；
• 如果无法观察组合、接口与失败边界，规模可能放大 隐藏依赖与相关联的失败；
• 如果无法跨时间评估结果、证据与后果，输出可能被表述成价值；
• 如果学习无法成为组织记忆，系统将依赖个人保留并重复可预防失败；
• 如果记忆无法被挑战与退出，过去学习会变成当前 惯性。

这些失败条件推导出承诺识别、问责与权限、能力资格认定与组合治理、证据与后果评估、升级与干预，以及组织记忆等概念功能。它们并不决定实现这些功能时使用的正式角色名称、记录字段、状态机、工作流、阈值、软件或一致性检验。

NASA《系统工程手册》 提出了一个相关的功能性观察：无论这些功能由管理者、工程师、内部团队还是承包方 执行，系统工程职能都必须被完成，而 正式程度和文档要求应随类型、规模和复杂性调整。S12 HeroOS 采用“必要功能、按比例实现”的原则，而不采用 NASA 的具体角色或流程体系。

比例性与最小性

只有当 HeroOS 能在规模中保持答责与价值时，它才有正当性。更多流程不会自动带来更多治理。一个只产生记录、不改善判断，把权限隐藏在形式程序后面，延迟干预，或使活跃记忆过载的机制，反而会破坏它原本要实现的理论。

因此，理论要求是 最小充分运行结构。结构必须足够强，使承诺、问责、能力、证据、后果与学习保持可追溯和可挑战；也不应比情境与重大后果所要求的更复杂。低风险、短周期 承诺可能只需要很少显式结构；受监管、安全关键、长周期 或多机构的价值创造系统则可能需要更多。

技术中立性由此产生。HeroOS 不能等同于 AI 平台、工作流产品、项目管理方法、组织结构图或数据存储库。它们都可能实现运行模型的一部分，但没有任何一种能够仅凭品牌或部署证明一致性。

为什么需要 Canon 006

Canon 002 只能证明某些职能与有效性条件在理论上必要。如果不进一步规定组织如何识别角色与许可、表达承诺与证据、治理生命周期与状态转换、管理接口与升级、控制访问与保留，并判断必要条件是否满足，HeroOS 就无法被检验。

这一 规范制定任务属于 Canon 006。只有 Canon 006 可以把理论描述转换成正式要求与一致性检验。Canon 002 中预期价值、已验证价值、活跃记忆、资格认定或撤销等术语，在 Canon 006 明确定义 实施契约 之前，继续只是描述语言。

这一边界也保护 试验空间。在 HeroOS 标准化之前，不同组织可以通过不同结构体现 Hero 理论，其实践可以为 Foundation 提供支持或反对证据。不能因为某种 实施方式 看起来有用，就把 Canon 006 偷渡回 Canon 002。

如果非正式实践可以在组织规模上可靠保存全部 Hero 关系，而完全不需要任何 可重复机制，那么这一推导就失败，HeroOS 这个名称也可能没有必要。但如果缺少持久机制时，承诺、问责、能力、证据、后果与学习会反复消失或变得模糊，那么运行模型就不是可选项，只有它的实现形式仍然开放。

推导

如果价值需要一个可识别、承担问责的人，操作模型就需要识别 Hero 与价值承诺的机制。

如果价值可以通过能力组合追求，操作模型就需要描述、确认资格、选择与治理能力和能力单元的机制。

如果输出不足以证明价值，操作模型就需要结果、证据与后果评估。

如果执行应该改善组织，操作模型就需要学习与组织记忆。

这些需要推导出 HeroOS 的概念功能，但尚未规定角色、状态、仪式、schema、interface、控制 或 conformance rule。

Canon 边界

Canon 002 可以定义这些功能为什么必要、彼此如何关联。Canon 006 必须定义正式运行要求与可检验的 一致性模型。

已确认的 Canon 002 / Canon 006 边界

Canon 002 解释：为什么一套有效的 Hero 理论必须包含某个概念、关系、边界或必要条件。

Canon 006 规定：谁在什么时候，通过什么角色、权限、记录、状态、接口、控制、阈值或一致性检验执行什么行动。

Canon 002 可以定义理论命题、概念关系、有效性的必要条件、反方观点、边界与可证伪检验。它可以规定能力需要资格认定、组合需要可观察性与撤销、价值需要证据、组织记忆需要退出机制。

Canon 006 必须定义正式角色与权限、必填字段与结构规范、生命周期与状态转换、工作流与批准、升级与撤销程序、保留规则、接口、运行指标、阈值与一致性要求。

只有 Canon 006 可以正式判断某个运行实现是否符合 HeroOS。Canon 002 中的活跃记忆、已验证价值或预期价值等术语是理论描述语言，不自动成为 HeroOS 生命周期状态。

Canon 002 必须保持技术无关，不规定具体组织头衔、软件平台、AI 产品或实现机制。

编辑判断是：

• 如果一句话回答“为什么这是有效 Hero 理论的必要条件？”，它属于 Canon 002；
• 如果回答“谁在什么时候，通过什么运行机制或控制做什么？”，它属于 Canon 006。

必须回应的反例

一个组织可能在没有安装或命名某种操作模型的情况下，非正式地体现 Hero 原则。

可证伪检验

如果 Hero 的主张可以在组织规模上成立，却完全不需要关于 承诺、能力治理、证据、后果和学习 的可重复机制，这一推导就不成立。

这里所说的可证伪性

可证伪性比“允许批评”更严格。如果一套理论每次失败后都重新定义自己的术语，它就可以吸收无限批评。Hero 必须进一步说明：什么样的证据会使某项命题被保留、收窄、增加限定、替换或拒绝。

并非每一种 Hero 主张都以同一种方式接受检验。稀缺性转移假说这样的经验性主张，可以与成本、可获得性、生产率、失败和约束的实际变化比较。价值经过验证需要证据这样的结构性主张，可以由反例挑战：如果某种结构能够持续产生有根据的评价，却不需要 Hero 所提出的关系，这一必要性主张就会减弱。以人为价值正当性中心这样的规范性主张，不能仅由生产率数据证明；它还必须接受伦理、法律、政治、制度推理与实际后果的检验。若不区分这些主张类型，看似精确的检验反而会造成误导。

因此，Canon 002 并不声称 S1-S12 已经证明 Hero。它们建立情境、案例、反向证据或相邻学科依据。Hero 自有的理论关系仍然是需要独立比较、实地证据与专业审查的假说和论证。

适用范围限制

Hero 不是关于人、道德、政府、经济、意识或智能的普遍理论。它是一套有边界的理论，讨论在能力可以被获取、组合、委派或自动化的条件下，如何进行有问责的价值创造。

当工作具有重大后果、存在多种可能手段、结果不确定，并且需要把判断与最终答责和学习连接起来时，这套理论最为相关。如果行动是琐碎的、完全由规则预定的、没有实质后果的，或某个既有制度已经用不同名称保存同样的必要关系，Hero 可能不会增加太多价值。

采用 Hero 词汇并不能证明 Hero 有效。把产品承担者、管理者、专业、公职人员 或 自主智能体监督者 改称 Hero，什么也没有证明。只有当这组组合命题能够解释既有模型无法同样充分解释的失败，或支持更好的判断时，Hero 才获得独特性。

反方观点 1 - 执行仍可能是瓶颈

反方观点。 在许多领域，智能增强的能力并没有使执行变得丰裕。物理劳动、受信任的关系、隐性专业能力、监管批准、资本、基础设施、注意力、协调与本地情境仍然可能稀缺。正如 S3 与 S4 的有边界证据所示，额外 AI 甚至可能拖慢处理高情境工作的资深实践者。

当前回应。 Hero 不要求执行在所有地方都变得廉价。稀缺性转移假说主张的是：在某些情境中，相对约束会移动。随着某些执行形式更容易获得，选择值得追求的价值、接受有边界的问责、治理能力组合、评价后果与形成学习，会成为更显性的约束。S1 与 S2 支持这种可能性的部分内容；S3 与 S4 阻止它被写成普遍规律。

边界与不确定性。 这种转移可能不存在、只发生一部分、只是暂时出现，或者发生逆转。它也可能只出现在某个价值创造系统的一个阶段，而其他阶段继续受到执行约束。

修订触发器。 如果跨相关领域的比较证据显示：智能增强的能力的可获得性提高，并没有实质改变约束位置、人类判断的分配或对 可问责选择 的需要，就应收窄或拒绝稀缺性转移命题。Hero 仍可能作为一套问责理论成立，但不能再以广泛的稀缺性转移作为理论基础。

反方观点 2 - 问责可以是集体或制度性的

反方观点。 复杂结果经常由集体产生和治理。董事会、法院、专业共同体、民主治理机构、事件指挥体系、合伙关系与社区都可能作为制度合法答责。要求一个人类主要问责中心，可能过度简化共同因果关系、抹除独立职责、制造归责对象，或赋予某个人不应拥有的权限。

当前回应。 Hero 区分分布式责任、针对有边界价值承诺的主要问责，以及针对不同约束的独立问责。个人中心的目的，是防止最终答责消失，而不是宣称个人具有唯一因果关系、单方面权限或拥有全部后果。第 3 章与第 11 章明确保留了围绕主要中心的制度性和独立问责。

边界与不确定性。 当前理论尚未证明，每一项合法的价值承诺都能够或应该设置一个个人主要问责中心。某些宪制、司法、科学、信托、合作制或民主决定，可能只有在最终答责真正保持复数时才有效。

修订触发器。 如果比较性制度证据表明：稳定的集体或制度结构能够在不制造无人负责承诺的前提下，与个人中心同样好或更好地保存有边界的最终答责、可挑战性、权限对齐 与学习，就应以更广义的“可识别问责”规则替代“单一人类中心”的要求。

反方观点 3 - 受治理的机器判断可能更可靠或更正当

反方观点。 人类判断会受到偏见、不一致、疲劳、腐败与不可获得性的影响。受治理的机器系统可能在准确性、一致性、可审计性或平等待遇方面优于个人。在某些得到狭义授权的决定中，正当性也可能来自法律、公共程序或制度设计，而不是由某个具体的人亲自判断。

当前回应。 Hero 并不把 分析、建议、优化，甚至有边界的决策执行专属地保留给人类。它保留的是：在人类机构内，针对重大后果的价值正当性与最终答责。NIST AI RMF 支持以人为中心的治理与分布在 AI 参与者之间的责任，但没有证明 Hero 的具体分配方式。S5 可靠性与正当性并不相同：更好的预测本身不能确定谁的利益应被计算、哪些伤害可以接受，以及系统出错时由谁最终答责。

边界与不确定性。 人类复核可能只是仪式，复核人员可能比机器更不了解情况，也可能根本无法改变结果。如果一套理论只是把名义上的人插入自动化链条，它就不符合自身的问责标准。

修订触发器。 如果某种受治理的非人决定安排能够被证明具有正当权限，能够参与质疑与救济（Remedy），能够承担或可靠分配后果，并且可以在没有人类问责中心的情况下持续形成答责，就应收窄或替换人类主要问责要求。在此之前，机器性能优越支持更广泛的能力委托，而不支持人类制度性问责消失。

反方观点 4 - 价值可能通过探索才逐渐出现

反方观点。 科学研究、设计、创业、诊断、探索、艺术与应急响应，经常在有价值的结果尚不可知时就必须开始。要求先定义价值，可能奖励虚假确定性、压制发现，并把学习错误地定义成失败。

当前回应。 价值承诺不必承诺一个预定解决方案或已经验证的收益。它可以承诺一个有边界的目的、受益者、问题、学习目标、选项创造、风险降低，或在明确不确定性下本身有价值的决定。第 7 章允许证据改变对价值的理解时修订承诺；它不允许在没有 可问责的继续理由 的情况下无限活动。

边界与不确定性。 某些探索在开始时甚至可能无法稳定界定受益者或结果框架。事后的叙事也可能把没有目的的探索包装成有意创造的价值。

修订触发器。 如果实地证据显示，即使只是 暂定的预先承诺 也会系统性破坏有价值的探索，就应为价值承诺要求增加限定。如果开放探索在完全没有事先声明目的、受益者、约束或学习价值的情况下，仍能保持 可治理、可挑战且资源使用有正当依据，就应拒绝它作为普遍进入条件。

反方观点 5 - 证据可能延迟、政治化或不完整

反方观点。 结果可能多年后才出现，因果关系 可能高度分散，受影响的人可能彼此不同意，强势主体也可能控制测量内容。证据可能制造虚假信心、偏袒可测量利益，或者到达得太晚，无法支撑有意义的问责。

当前回应。 Hero 区分 预期价值、有证据支持的进展、暂定价值、已验证价值 以及未决或已驳回价值语言。它要求来源、相关性、可靠性、时间边界、局限 与可挑战性，同时承认贡献，而不是要求不可能的完整 完整归因证明。S9 支持早期评估设计、不确定性、反事实推理、非预期后果与 长期评估；它并不能消除政治判断。

边界与不确定性。 更好的证据规则不能使所有后果都变得可观察或中立。证据本身也是在权力关系中选择的。有些重大价值部分是定性的、存在争议的，或无法压缩到共同衡量标准。

修订触发器。 如果在某些明确领域，尽管经验证据长期不完整，透明判断与 争议 仍能维持有效问责，就应收窄证据要求。如果当前模型可预测地让可测量对象获得正当性，却排除重大但未测量的后果，就应替换它。无法存在 可挑战的证据时，应拒绝已验证价值主张；但不能把证据缺失自动转换成失败、成功或不存在的证明。

反方观点 6 - 能力组合可能破坏多于创造的价值

反方观点。 每增加一个人、智能体、服务、模型、供应方或接口，都会增加依赖与新的失败路径。治理成本、安全性暴露风险、不透明性、协调负荷与相关联的失败可能比名义执行能力增长得更快。

当前回应。 Hero 把组合定义为受治理的系统关系，而不是简单聚合。单元资格认定并不充分；接口、可观察性、撤销、失败传播、证据与按比例治理都很重要。S7S8S12 更大的组合不会仅因为能够产生更多输出就变得更好。

边界与不确定性。 Foundation 没有提供一个普遍方法，预测组合从何时开始产生净伤害。治理本身也可能成为瓶颈，或只是制造一种控制幻觉。

修订触发器。 如果在计入风险与治理成本后，更简单或更少治理的安排持续优于受治理的组合，就应收窄组合命题。如果主导性的经验模式是不断增加且无法治理的后果，而不是可问责的价值，就应拒绝“可组合性具有普遍优势”的想法。此时 Hero 必须把主动不组合与能力克制从例外提升为核心。

反方观点 7 - 学习可以保持隐性

反方观点。 团队、专业共同体与社区经常通过师徒传承、实践、故事、习惯与共享文化学习，而不显式保留证据。正式记忆系统可能冻结过时判断、降低心理安全、鼓励表演式文档，或丢失专家的隐性知识。

当前回应。 Hero 不把组织记忆等同于存储库。第 9 章要求证据、情境、判断与运行改变，因为 仅有存储而没有行为改变并不充分。NASA 知识政策同样把捕获只视为 培育、转移、使用与融入运行 的一部分。S10 隐性实践可以成为一种有效的记忆载体。

边界与不确定性。 明确的可追溯性并非总是可能或值得追求。在稳定、关系紧密的环境中，隐性记忆可能保持可靠；正式记录也可能主动造成误导。

修订触发器。 如果纵向证据表明：组织可以在没有留存证据或明确判断的情况下，保存 可挑战的学习、把它跨越相关边界传递、使它适应变化后的情境，并在过时时退出，就应扩展或替换四要素记忆检验。如果隐性机制在其他环境中同样可靠，则应把组织记忆主张收窄到高后果、高流动、分布式或存在争议的环境。

反方观点 8 - 现有模型或非正式实践可能已经充分

反方观点。 产品管理、敏捷交付、系统工程、职业伦理、安全实践、评估、记录治理、公共行政与制度性规律，已经在处理目的、责任、执行、证据与学习。管理良好的组织也可能非正式地体现全部 Hero 关系。Hero 可能只是为既有实践提供了新词汇，而不是一套独立理论。

当前回应。 Hero 对独特性的主张更窄：在智能增强的执行越来越容易获得的条件下，它把可问责的价值选择、人类主要问责、受治理的能力组合、考虑后果的证据与组织记忆组合起来。本版本使用的 Sources 表明，每一个相邻学科都提供必要概念；但没有任何来源能证明 Hero 的特定综合方式是必要的。

边界与不确定性。 如果综合能够澄清真实缺口，相似性本身不是弱点；但仅仅改名没有理论价值。Canon 002 尚未完成与最强版本既有模型的系统比较。

修订触发器。 如果既有模型单独或以已经存在的连贯组合，能够同样好或更好地解释相同失败模式、保存相同必要关系并指导判断，而且不需要 Hero 特有概念，就应替换或拒绝 Hero 作为独立理论。如果非正式实践能够在组织规模上可靠维持这些完整关系，就应删除 HeroOS 的必要性推导。如果证据最多只支持 HERO 是一种有用的 传播框架，就只以这一较窄身份保留它。

理论层面的修订结果

当重大挑战得到支持时，Foundation 必须记录五种结果之一：

• 保留（Retain）： 命题在已经声明的范围内经受住挑战。
• 收窄（Narrow）： 命题只在更小的情境集合中继续可信。
• 限定（Qualify）： 命题保留，但必须明确增加条件、例外或不确定性。
• 替换（Replace）： 另一项命题能够更好解释证据与反例。
• 拒绝（Reject）： 该命题不再值得留在理论中。

修订不能隐藏在“编辑澄清”之中。未来版本必须说明哪项命题发生改变、什么证据或推理引发改变，以及哪些下游章节需要重新考虑。

评估规则

Canon 002 必须用有边界的推理、比较性证据与可见的限制回应反方观点。如果证据不充分，正文必须把结论写成 假说 或研究问题，而不是既定规律。一个反例可能只暴露适用范围限制，并不必然推翻整套理论；但如果一项主张可以不断适配、却没有任何可能被拒绝的条件，那么它就不具备可证伪性。

以下来源为本 Foundation 中的命题提供支持、限制或挑战。收录某项来源，不表示 Hero 接受其全部结论。每项来源都必须在已经声明的情境与局限中阅读。

S1 - Stanford Institute for Human-Centered AI, AI Index Report 2025

使用的证据：达到 GPT-3.5 同等 MMLU 表现水平的 推理成本（Inference Cost），从 2022 年 11 月每百万 Token 20 美元下降到 2024 年 10 月的 0.07 美元。这支持某一类智能增强的执行的获取成本正在下降。

限制：Benchmark-equivalent 推理成本（Inference Cost）不等于成功的组织执行、已经实现的价值或物理稀缺性下降。

Source：Stanford AI Index 2025

S2 - Erik Brynjolfsson、Danielle Li 与 Lindsey R. Raymond, Generative AI at Work

使用的证据：对 5,179 名 Customer-support 智能体 的研究发现，每小时解决问题数量平均提高 14%，新手与较低技能人员提高 34%，而资深与高技能人员的变化很小。

限制：单一运行环境不能建立普遍生产率 Effect，也不能证明执行不再是瓶颈。

Source：NBER Working Paper 31161

S3 - METR, Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity

使用的证据：随机研究报告，在熟悉存储库中工作的资深 Developer 获准使用 AI 工具后，完成任务反而多花费 19% 的时间。这支持额外能力可能增加高情境工作执行时间的反方观点。

限制：METR 明确限制结果的推广范围，并在后来说明 2025 年初的结果已经不能代表当前工具。

Source：METR Early-2025 Developer Study

S4 - METR, We Are Changing Our Developer Productivity Experiment Design

使用的证据：更新报告了参与者与任务选择效应、Concurrent-agent Measurement Difficulty 与更广泛的 AI 采用。它支持情境、时间边界与 Measurement Humility。

限制：该更新没有给出一个可靠的单一生产率 Estimate。

Source：METR Uplift Update

S5 - National Institute of Standards and Technology, AI Risk Management Framework 1.0

使用的证据：该框架把治理视为 Cross-cutting Concern，并强调人类 Centricity、Social 责任、Sustainability、情境、预期与非预期影响，以及跨 AI Actor 的责任。

限制：它是一项自愿风险管理框架，不能证明 Hero 的具体问责理论正确。

Source：NIST AI RMF 1.0

S6 - Business Roundtable, Statement on the Purpose of a Corporation

使用的证据：该声明同时讨论 Customer 价值、Employee、供应方、社区、环境与 Long-term Shareholder 价值，支持商业系统中的多元利益相关方价值。

限制：它是一项自愿 Corporate Statement，不能解决利益相关方冲突，也不能建立 Hero 的价值理论。

Source：Business Roundtable Statement

S7 - National Institute of Standards and Technology, Engineering Trustworthy Secure Systems

使用的证据：NIST SP 800-160 Volume 1 修订 1 以目标证据建立保障，并把复杂性、依赖、不确定性、验证、生命周期与 Compositional Trustworthiness 视为系统 Concern。

限制：系统-security 工程指南不能建立 Hero 的价值理论，也不能证明主要与独立问责的分配方式。

Source：NIST SP 800-160 Volume 1 Revision 1

S8 - NASA System Safety Handbook, Volume 1

使用的证据：该 Handbook 以整体方式看待系统，并处理交互、依赖、组合效应、复杂性、情景分析 与不确定性，支持系统层面 失败传播 推理。

限制：NASA 的安全 Method 与 风险 Tolerance 不能机械地迁移到每一个 Hero 情境。

Source：NASA System Safety Handbook

S9 - HM Treasury and UK Government Analysis Function, Magenta Book

使用的证据：该指南要求在实施之前、期间和之后开展评估，包括变革理论、基线、不确定性、失败、非预期后果、Counterfactual、贡献或 Attribution，以及长期评估推理。

限制：英国公共政策指南不定义 Hero 问责，在其他情境中必须按比例调整。

Source：The Magenta Book

S10 - NASA 《项目与计划知识政策》

使用的证据：该政策区分 Cultivating、Identifying、Capturing、Retaining、Using 与共享知识，并要求把经验教训融入标准、培训、方法论与 Operation。

限制：NASA 政策不能证明 Hero 的四要素组织记忆有效性检验，也不能建立普遍记忆生命周期。

Source：NASA NPD 7120.6A

S11 - US National Archives and Records Administration, Guide to Records Inventory, Scheduling, and Disposition

使用的证据：该指南区分 Temporary 与 永久记录、保留与 Destruction、Superseded 权限与 Schedule 复核，支持明确的记忆 Exit 与复核区分。

限制：记录管理不等于组织记忆；改变决定影响与行为需要的不只是处置记录。

Source：NARA Records Scheduling Guide

S12 - NASA Systems Engineering Handbook

使用的证据：该 Handbook 通过 Element 与关系定义系统，描述 递归和迭代 流程，区分验证与确认有效性，并指出必要职能可以由不同角色以 Proportional Formality 执行。

限制：Technical 系统-engineering 指南不能建立 Hero 的价值、问责、团队 Topology 或组织理论，也不能被转化为 HeroOS 流程 Specification。

Source：NASA Systems Engineering Handbook