把不确定性写进城市：智慧社会技术愿景的边界工程

智慧社会技术愿景经常被写成一张能力清单：感知、连接、计算、孪生、智能决策。清单越长，越像展厅。问题在边界。去年秋天在南京老城南一个社区服务中心，我看见一块互动屏，旁边贴着“系统升级中”的纸条。工作人员说，不是设备坏，是数据接口换了三轮，没人敢继续用。这个细节很小，却把智慧社会的真实难点暴露出来：技术能不能持续运行，取决于责任、接口和退出机制，而不只是算法精度。

感知层先要回答“谁有权看见”

智慧社会的底座是感知。摄像头、环境传感器、智能水表、车载终端、手机信令——城市被翻译成数据流。技术原理不复杂：边缘节点做预处理，云端做汇聚分析，模型输出事件。但感知不是中性的。一个智慧灯杆如果同时集成摄像、Wi-Fi探针和环境传感，技术上可行，治理上却需要拆分授权。这里有个容易被忽略的陷阱：数据最小必要原则不是口号，它必须落到字段级和时长级。比如交通流量分析只需要匿名计数，不需要可回溯到个人的轨迹。联邦学习、差分隐私、安全多方计算能降低汇聚风险，但它们有成本：通信开销、精度损失、工程复杂度。条件不满足时，隐私计算会变成昂贵的装饰。反例并不少见：某园区把门禁、消费和定位数据打通，初衷是便利，结果形成过度画像。要避免这种滑坡，架构上应默认不汇聚原始数据，先问“这个字段是否必须离开边缘”。感知系统的伦理不是后置审查，而是接口设计的一部分。

决策链路越长，责任越容易蒸发

从感知到决策，中间有数据清洗、特征工程、模型推理、规则引擎、人工复核。链路一长，责任就分散。数字孪生是典型：交通推演模型可以模拟信号配时，辅助应急疏散。它有用，但依赖模型校准。如果传感器漂移、地图版本滞后、参数没有随季节更新，孪生体会产生“看起来精确”的错误。高风险场景不能把自动决策当作默认选项。医疗分诊、社会救助资格初筛、校园安全预警，这些都应由人机协同，保留可解释的拒绝理由和申诉通道。这里需要停一下：可解释性不是给每个模型画热力图。它更像一份决策档案——输入是什么、版本是什么、置信区间多大、谁在什么条件下推翻了机器建议。没有这份档案，事后追责只能追溯到“系统”。系统不会承担责任。人也不会因为一句“算法输出”就自动免责。

把“反愿景”写进架构：可退出、可审计、可降级

技术愿景需要反愿景条款。听起来别扭，却很实际。智慧社会的系统应具备三种能力：可退出、可审计、可降级。可退出意味着社区或部门更换供应商时，数据和模型能迁移，不被人为锁定；可审计意味着日志、模型版本、数据血缘可查，且审计者不只包括建设方；可降级意味着网络中断或模型失效时，公共服务仍能以低技术方式运行。比如适老化终端，不能只剩一块必须联网的屏。保留电话、人工窗口和纸质流程，不是落后，而是韧性。实现路径上，可以把隐私计算放在边缘侧，把授权做成细粒度策略，把数字孪生限定在推演而非直接执行。条件也很清楚：预算、运维能力和跨部门协调缺一项，系统就会退化成演示项目。趋势上，平台中心正在向分布式可信架构移动，数据从“汇聚优先”转向“可用不可见”，评价指标从效率扩展到包容与恢复力。这不意味着技术退场。它意味着技术要承认不确定性。

愿景的成熟度，体现在它允许失败

智慧社会技术愿景不该承诺一座永不出错的城市。它应承诺：出错时，影响可被限制，责任可被定位，服务可被恢复。南京那个社区服务中心的互动屏后来换了接口，也保留了人工窗口。这个组合不炫目，却更接近可运行的社会技术系统。技术原理、实现路径、应用边界和风险，最终都要回到一个朴素问题：当系统失效，谁还在场？如果答案只有“云端”，这个愿景就还没有完成。