器必须是公开规则的一部分，并且在断路器触发时，必须提供替代通道。我们不是关灯，我们是切换供电模式。”
这句话把所有人的注意力集中到一个问题：
**断路器怎么设计，才能既止损又不失信？**
---
###三、断路器三件套：限流、分层、替代窗口
周砚把白板分成三栏，写下三个词：
1）限流
2）分层
3）替代
他解释：
***限流**：不让请求无限增长。否则任何系统都会被拖死。
***分层**：不是所有请求都同等紧急。把真正的**险优先。
***替代**：限流会引发焦虑，必须有替代通道承接需求。
清算所技术负责人提出一种传统做法：“全量限流+排队”。
周砚摇头：“排队会产生‘谁先撤谁安全’的心理。挤兑里排队是一种放大器。”
顾明补充：“我们需要的是‘分层断路器’，让风控系统知道：你不是被拒绝，而是被转入更可预测的验证方式。”
最终，协调组达成一个方案——**断路器三件套**：
**A.限流：验证接口进入配额模式**
*每个合作方风控系统拥有基础配额；
*超出配额自动进入“延迟验证”，不立即返回失败，而返回“已受理+预计时间”；
*任何超时不被计为验证失败，避免触发更高预案。
**B.分层：风险级别优先**
*L3系统件优先验证（涉及大规模数据、关键基础设施）；
*L2次之（涉及核心业务连续性）；
*L1最低（例行抽查、营销性验证）被强制延迟或转入微型窗口。
**C.替代：离线验证包+第三方快照**
*在断路器触发时，清算所自动生成“离线验证包”快照（含哈希、时间戳、抽样证据）；
*合作方可以用离线包验证关键事实，不必实时拉接口；
*第三方审计机构提供“快照签名”，作为公信力补充。
这三件套的核心逻辑是：
**不让验证系统成为新的黑箱，同时不让验证系统被过载打垮。**
---
###四、最难的部分：对外公告怎么写
断路器方案有了，下一步是公告。
公告的每一个字都可能决定恐慌扩散还是收敛。
行业协会
本章未完，请点击下一页继续阅读！