先给结论：人用工具补判断，是半人马。人被雇来给生成器当感官和替罪，是反半人马。后者要求你按机器速度，把统计上最像正确的错误抓出来，再在十倍产量上签字。你抓不完，锅在你。这是问责坑，不是「人在回路」。回路要人决定何时用、用多快、哪段不用。令牌排行榜、强制使用、产量指标，会把判断者骑成零件。

为什么「有人盯着」会变成「人被用尽」

痛点是把签字当成审过。审过需要时间、需要能看见不规则。生成器产量把时间抽走，错误又专挑规则过度、肉眼难辨的那种。盯着的人从驾驶员变成传送带末端的灯。灯会灭，传送带不会停。灭了仍要签字，签字就是坑。

两种安排差在谁有节奏权。自己决定这段手写、那段生成、生成完有空再看，工具为你加速。被命令必须用、必须达倍数、必须在仪表盘上留下令牌，你为仪表盘加速。仪表盘不关心制品能不能在真实系统里活。它关心消耗。消耗可以靠两个模型互相提示空转刷出来。刷出来的是排行，不是工程。

个人项目、一次性脚本、不接别的系统的小工具，适合自选生成。接支付、接身份、接长期维护的代码，生成速度不是工程速度。工程速度含复核、含回滚、含有人懂。倍数指标把这些删掉，只留签字。

五步把人从零件收成驾驶员

1. 强制使用从质量门删除。质量门只问：测试、复核、可回滚、有人能讲清这段为什么存在。不问用了多少生成。
2. 产量倍数不准单独存在。有倍数必须有对等的复核工时。没有复核工时，倍数作废。作废的任务不准进人签字。
3. 令牌榜、使用率榜，禁止当绩效。当了，空转互刷会赢。赢的是消耗，输的是制品。
4. 签字人必须有权说「这段不用生成」。无权拒绝，签字无效。无效签字不能当合规。
5. 高风险路径默认手写或可信侧复现。生成只许出草案。草案进主干，当事故。

现场有三条。其一，会判断的人喜欢工具，不等于工具能替换班组。喜欢来自节奏权。拿走节奏权，同一批人会变成最恨它的人，因为他们最看得见那些最像真的错。恨不是守旧，是还没被用尽。其二，问责坑会赶走能抓错的人，留下只能签字的人。留下的人更抓不住幻觉包名。坑会自我加深。其三，写代码不是软件工程。工程含接口、故障、他人接手。生成把「写出字符」加速，把「能接手」变难。字符当资产，维护当负债。负债在倍数政策里不记账。

度量五件事：质量门是否问令牌、倍数是否配复核工时、榜是否进绩效、签字人能否拒绝生成、草案是否进主干。五件说不清，回路是坑。坑上的人是零件，零件会坏，坏了仍要签字。

有人会说不强制就没人用。那就让会判断的人用，用出对照数据。对照是墙钟和故障，不是使用率。使用率可以靠罚来。故障不能靠罚消失，只会靠藏。

建设者该把拒绝权做成提交检查：无「人工确认不使用生成」或「复核工时」字段，合入失败。部署的人该把令牌榜从团队首页拿掉。首页决定什么会被优化。

若只能改一处：先把强制使用从晋升和发版条件里删掉。删掉之后，节奏权回到能看见错的人手里。人手里有权，半人马才存在。没有权，名字叫回路，实际是骑。

机器不会累，人会。政策若按机器不累来排班，人只能装成不累。装的方式是签字而不看。不看的签字，是把最难的错直接运进生产。

排班按复核小时，不按生成行数。行数是机器的，小时是人的。人的小时用尽，当天生成权关闭。关闭不是惩罚，是承认感官会疲劳。疲劳后的签字，法律上像审过，工程上等于没审。

问责坑要在事故后拆开看：哪一段是生成的、复核记录写了什么、签字人当时还有没有拒绝权。没有拒绝权，责任回到下倍数命令的人，不回到传送带末端。

个人一次性脚本可以保持自选。接了支付或身份，生成权默认关，开要单独票。票上写复核人姓名和小时。姓名空的票，流水线当无效。

疲劳要可观测：连续复核超过约定小时，系统拒签。拒签比装不累更安全。装不累的班次，最像真的错会成批通过，成批通过才是事故的形状。

结论：人可以驾驶工具，不能被当成工具的感官

反半人马按机器速度抓最像真的错，还要担责。这不是安全回路。回路要有拒绝权、有复核工时、有不进绩效的消耗榜。还把倍数当工程，工程会变成问责坑。

你下次看「人在回路」流程图，先问签字的人能不能说不用。不能，这张图是坑的说明书。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源