空圈容错, 极限工程, 升维判据, 异构通道, 容错工程
一句话题眼：内层崩，是跑着跑着炸了；外层崩，是根本没燃料跑。这篇专做外层------外层怎么升维，升维之后怎么和内层接上。
导言：为什么要专做"外层"
原版《极限工程实战篇》扫的是"内层"------系统内部怎么运行、怎么控制。但内层控制得再好，外层供给断了，系统还是跑不起来。
这篇只有一条主线：外层怎么升维，再单列一节讲内外层怎么联动。 不写内层怎么升维，不贪，不撕裂。
第一章 外层是什么：供给、基础设施、转化通道、生理资源
外层，不是"系统内部"，是"系统依赖的外部条件"，分四类：
- 燃料/原料：聚变堆的氚、量子计算机的电力与冷却、火星计划的氧气与补给；
- 基础设施：量子计算的稀释制冷机、脑机接口的临床路径、元宇宙的硬件；
- 转化通道：脑机接口的支付机制、元宇宙的产业客户、火星计划的返航能力；
- 生理资源 ：宇航员的肌肉、骨骼、肾脏等身体机能（任务依赖的可耗损资源）；长期任务下这些机能会持续退化，**退化速率本身也要按"补给与兜底预算"来规划。
说明一下归类：本文将任务执行者生理状态划进"系统外部依赖资源"。这是分析上的归类，不是把人当工具 ------是说"人的生理状态"和燃料、硬件一样，是任务依赖的条件，会随任务时长变化、会耗损，得按资源供给来规划；也不意味着把人塞进"可替换零件"的调度表里。人永远是目的，这里只是把"生理能力"当作需要补给与兜底的变量。再硬的工程，也得给"人这台机器会累、会退化"留出供给预算。
外层的共同特征：它不在系统内部，但系统离不开它；它断了，系统不是"性能下降"，是直接停摆。
第二章 外层升维的判据：三关，不是两关
外层升维要过三关：
| 关卡 | 校验什么 | 管的失效 |
|---|---|---|
| 条件 A · 连续零越界 | 降档状态下稳定运行足够长，R1--R4 均无越界 | 跑得稳不稳 |
| R5 · 外推诚实性检查 | 目标是不是建立在"单点外推"上 | 目标有没有吹 |
| 条件 B · 有效收敛（异构独立通道） | 至少两个真正异构的通道，在容差带内指向同一结论 | 是不是自说自话 |
先补两条口径
① "足够长"不预设统一时长 ，由领域在进入测试前预先声明阈值------聚变包层以"等效满功率小时数"计、火星循环以"驻留天数"计、脑机以"随访例数"计；阈值一旦声明，不得事后修改。
空圈容错留的是尺度 ，不是随意。
② 用"有效收敛"，不用"绝对一致性"。
"绝对一致"是理想态的别称；工程上两个通道必有噪声，只要在预设容差带内收敛，就算过关。标题里那个"绝对"，指的是"不被同源污染的绝对独立"，不是"输出分毫不差"。
R1--R8 的分工（别搞混）
- R1--R4 → 条件 A 管（运行推演类：跑得稳不稳）
- R5 → 单列一关（目标是不是单点外推）
- R7 → 条件 B 管（有没有另一条独立通道）
- R6 → 不参与升维判据，但全程兜底 ：哪怕 A、R5、B 全过，只要决策者觉得"还有拿不准的暗处"，仍可主动进 ∅_safe，不强行升维。∅_safe 不只是"没过判据的收容所"，也是"过了判据也能踩刹车"的安全阀。
- R2 与 R7 互为表里 ：R2（同源自指／单点依赖）是"通道被同源污染 "，R7 是"压根没有另一条通道 "。一个源、一条链，验证者与被验证者同源------"单点依赖"是形态，"同源污染"是后果，说的同一件事。条件 A 查污染，条件 B 查缺失，一管污染、一管缺失，两面一起查才叫闭环。
三关全过，外层才算"升维"；任何一关没过，继续待在 ∅_safe 里迭代，待在 ∅_safe 不是终止项目，是暂缓工程落地决策。
第三章 五个案例的外层升维
| 案例 | 外层是什么 | 失效诊断 | 降档目标（缩小到可验证台阶） | 条件 B · 异构通道 |
|---|---|---|---|---|
| 一·人造太阳 | 氚自给 | R1 增殖包层从未完整制造；R3 氚自给参数未验证；R7 缺第二条通道 | 不追"氚自给一步到位"，先证明包层能造出来、能跑起来 | 包层产氚 × 外部供氚 |
| 二·量子计算机 | 电力与冷却（基础设施） | R1 规模化后电力成约束；R3 可复现性在硬件层欠定 | 不追"百万量子比特"，先证明"有界复现"能被工程化定义、能被独立验证 | 不同硬件平台 × 不同编译路径 |
| 三·脑机接口 | 临床转化 | R1 临床路径/证据/支付/医工协同/基层承接全缺；R5 把单点验证外推成临床常规 | 不追"侵入式一步到位"，先以半侵入式做出可复制的单中心有效证据 | 医院临床数据 × 社区康复数据 |
| 四·元宇宙 | 产业落地与硬件 | R1 消费级硬件不达标；R5 把"消费级遇冷"外推成"彻底失败" | 不追"全民元宇宙"，先让产业级虚实融合稳定付费、持续降本增效 | 工业数字孪生 × 文旅场景 |
| 五·火星计划 | 生理资源与返航 | R1 生理能力持续下降；R5 把近地可返回数据外推到 300 天不可返回；R7 没有"回地球修一下"的通道 | 不追"两年任务"，先证明封闭循环能在月球长期驻留中自给自足 | 月球驻留数据 × 地面模拟数据 |
"R7 在'失效诊断'里是'缺第二条通道'，在'条件 B'里是'要求至少两个异构通道有效收敛'------一体两面：诊断说它缺，条件 B 说它该补。"
案例三补一句：降档不是断言半侵入式一定成，而是把目标从"临床常规"缩到"可复制的单中心有效证据"。连单中心都过不了 A/B，就继续待 ∅_safe。
案例二补一句：可复现性属内层运行约束 ，此处只作为"外层供给能否支撑内层去解决它"的联动项点出，不归为外层本身------外层只管电力与冷却。
各案例的升维条件（写法统一）
- 条件 A：降档后的小目标跑得稳，R1--R4 无越界，且"足够长"按本章口径预先声明；
- R5 检查：目标本身不是单点外推；
- 条件 B：表中那对异构通道，在容差带内有效收敛。
任何一条过不了 → 该循环/该路径整体归入 ∅_safe，暂不纳入正式工程决策。
第四章 内外层怎么联动（专节）
4.1 双向要求
- 内层升维后，外层要接住：聚变堆跑得久，氚耗速率要匹配；量子纠错规模变大，电力冷却要匹配；脑机解码精度提高，临床路径要能容纳；元宇宙更沉浸，硬件要撑住；火星任务变长，封闭循环要匹配。
- 外层升维后，内层要用上：氚自给做到了，内层要用得上稳定氚；电力冷却够了，内层要用得上稳定基建；临床通道通了，内层要用得上临床。
接不住、用不上，就是"互动失效"，升维立刻降档。
4.2 先后不犯毛病
可以先内层升、外层不动（只要外层接得住）；也可以先外层升、内层不动（只要内层用得上）。
"先后"不犯毛病，"接不住"才犯毛病。
4.3 最终一起升维，但不死锁
不是"必须同时升"，是"都升到能互相接住的水平"。内层到 A、外层停在 B，若 A 的需求超出 B 的供给，这个组合就互动失效------外层得跟上到能接住 A 的水平，两边才形成有效互动。
防死锁 ：外层卡住时，内层不必冻结。∅_safe 里，内层仍可在"不新增外层依赖"的维度上升维（聚变优化能量约束、脑机优化解码算法），只要新需求不超出外层当前上限，等外层跟上，进步直接兑现。但若外层长期跟不上，内层投入要受**"机会成本闸门"**约束------别把十年赌在一个等不来的供给上。
哪方接不住就降档，等另一方升上来，再一起升。
4.4 外层稳定，保什么、不保什么
外层先升，对内层解除的是供给约束 ，不是所有约束。
外层稳定，保证的是"内层不会因为供给中断 / 供给劣化而崩"，不保证"内层不会因为自身运行缺陷（可复现性、控制架构、诊断精度）而崩"。
R6 在这里兜底：即便 A/R5/B 全绿，只要还有暗处，就能踩刹车。敢不升，也是一种能力。
第五章 一句话总结
- 外层是系统依赖的外部条件（燃料/原料、基础设施、转化通道、生理资源）；它断了，不是性能下降，是直接停摆。
- 升维判据是三关：条件 A 连续零越界（R1--R4，跑得稳）＋ R5 外推诚实性（目标没吹）＋ 条件 B 有效收敛（不是自说自话）。R6 全程兜底（A/R5/B 全过也能踩刹车）；R2 与 R7 互为表里（A 查污染、B 查缺失）。
- 五条异构路径 （通道归通道，降档归降档）：
- 聚变：包层产氚 × 外部供氚
- 量子：不同硬件平台 × 不同编译路径
- 脑机：医院临床数据 × 社区康复数据
- 元宇宙：工业数字孪生 × 文旅场景
- 火星：月球驻留数据 × 地面模拟数据
- 内外联动：双向要求、先后不犯毛病、最终一起升维；接不住就降档，外层卡住时内层可异步推进但受机会成本闸门约束。
- 外层稳定的边界：保内层不因供给中断/供给劣化而崩，不保内层不因自身缺陷而崩。
附：这篇的定位
专写"外层怎么升维"，再单列一节"内外层怎么联动"，一条主线，不撕裂。
它自己也得留空圈------R8 自指闭锁：若把这套框架当成"不可挑战的终极审判"，它就违背了自己"所有 M 层都有边界"的初衷。能审判边界的方法论，先审判自己。