English version · 区块链学习导航 · 上一篇
区块链学习 · 文章 BC098
有用的区块链试点，必须允许出现不通过的结果。在观看演示之前，就决定哪些证据会阻止项目扩展；结果出来后，仍按同一规则判断。界面很快、平均表现很好，都不能抵消某项强制要求尚未得到证明的问题。
本课为一个虚构共享目录制定前瞻性验收方案，给出工作负载、六项强制条件、非区块链对照系统和最终证据包。你的任务是判断候选方案能否进入下一轮范围仍受控制的评估。决定性因素将是独立导出核查，而不是最亮眼的性能数字。
所有组织、工作负载、阈值和结果均为虚构。这里不涉及真实部署、个人数据收集、生产系统攻击、供应商承诺或金融交易。练习训练的是决策设计；其中阈值不是行业标准，也不是推荐的生产设置。
选择适合你的阅读路线
本篇目录
- 1. 提出一个范围明确的决策问题
- 2. 固定工作负载与完成终点
- 3. 写下六项强制验收条件
- 4. 让测试产生可检查的证据
- 5. 导出成功不能只靠数行数
- 6. 打开候选结果包
- 7. 不改措辞，逐项应用条件
- 8. 写出决定及其后果
- 9. 修复和复测时，不悄悄移动门槛
- 10. 使用对照系统，但不过度声称
- 11. 练习：先决定，再看答案
- 常见问题
- 来源与延伸阅读
第1至3节定义问题并固定方案；第4至7节解释测试与给定结果；第8至10节展示决定、修复计划和对照系统的局限。先完成练习，再阅读答案。更完整的论证方法可参考保证论证原理。
1. 提出一个范围明确的决策问题
三个虚构目录团队需要就当前获批版本达成一致，并保留证据，解释每次被接受的变更由谁授权。某团队退出后，必须能够检查导出的记录包，而不依赖原提供方的实时仪表板。
候选B使用许可型区块链，对照D使用带签名变更记录的传统共享数据库。两者都是课堂实现，不能仅凭架构名称就预设哪一个更好。
决策问题很有限：B是否达到预先公布的条件，可以进入规模更大、但仍受控制的评估？通过不等于批准生产上线、确认合法合规，也不证明B优于所有替代方案。失败意味着该版本在本方案下尚无资格进入下一阶段。
团队指定一位与候选演示操作人员分离的评估者。本练习假设评估者获得完整、真实的测试证据，并正确执行指定检查。这是给定前提；真实评估中，访问条件、利益冲突和可复现性本身也需要审查。
2. 固定工作负载与完成终点
方案P1定义100个不同、已获授权的目录请求，给定初始状态、预期效果、标识符与应用规则。两个系统分别从独立重置的测试环境接收相同逻辑负载。这些记录与真实个人或有商业价值的资产无关。
每个请求从完整请求被测试接口接纳时开始计时。完成要求包括应用执行成功、系统文档定义的持久接受条件，以及评估者观察到预期目录版本。对B，给定条件包含其定义的最终性；对D，包含其定义的记录提交条件。这些是明确声明、与实现相关的证据要求，并不表示两者故障模型完全相同。
只有在该请求开始后的60秒以内，包括恰好60秒，观察到全部所需证据，才能计入及时完成群组。提交确认不能替代完成证据。所有请求始终留在100这个分母中，包括迟到或尚未解决的请求。
受控运行固定请求组合、初始数据、界面任务与观察方法，并记录版本和资源边界。但它没有复制所有真实运行条件。一个有限课堂负载，不能证明普遍吞吐量分布或所有未来部署的行为。
3. 写下六项强制验收条件
打开结果之前，P1记录以下六项条件。每项都必须通过，不能用加权平均抵消失败。
- 完成：100个普通请求中，至少99个在各自60秒内达到组合终点。
- 授权：20个分别规定的未授权尝试，全部不改变受保护应用状态。每个尝试使用独立重置的测试环境。
- 恢复：隔离测试中指定的单节点故障发生后，服务在不超过120秒内恢复，并且按规定比较方法没有出现分歧的已接受结果。
- 数据放置：预先指定的虚构联系信息标记，不出现在方案完整列举并检查的任何复制输入、事件或状态位置。
- 退出证据：独立评估者不查询原提供方的实时服务，仅凭导出包，就能重建并验证100个最终接受的普通请求的效果及授权证据。
- 资源：指定的完整测试活动，在预先声明的运行设备边界内，用电不超过12 kWh。
联系信息标记是一段容易识别、特意编造的测试字符串，不是某个人的联系方式，也不是秘密。该测试只检查特定数据放置要求。12 kWh是课堂资源上限，不是环境认证门槛。
4. 让测试产生可检查的证据
每个普通请求都产生开始记录、终点观察，以及与预期版本的关联。评估者可以逐一核对全部100个标识符。缺少终点的请求不能从群组中消失，而应在截止时仍记为迟到或未解决。
授权测试给出尝试的操作、缺少权限的原因，以及前后受保护状态。这20个尝试是明确指定的不同负面案例，并非穷尽所有可能漏洞。案例之间重置，可以防止之前的修改或撤销悄悄改变后续案例前提。
恢复测试仅影响隔离的课堂系统。起点是指定故障观察，终点是第一次观察到符合P1恢复服务判定条件的状态。评估者还要单独比较被接受结果。即使按时恢复，若接受了互相冲突的结果，也不符合这项条件。
数据放置测试提前列出检查位置。它比只搜索当前界面更充分，但结论仍限于所选标记、位置和本次运行。不能因此证明所有未来个人数据都会依法处理，也不能证明一切外部副本都已删除。
5. 导出成功不能只靠数行数
第5项要求不只是下载一个有100行的文件。包中必须有足够证据，让独立评估者识别初始状态、适用规则版本、接受顺序，以及支持每次效果的授权。P1在提供方选择导出格式之前，就定义这些要求。
在本虚构应用中，每次被接受变更都需要保留批准记录，评估者必须能验证它的真实性，并将其绑定到确切变更。完整的当前状态快照不能替代缺失的批准历史。提供方显示“已验证”的标签，也不能替代验收条件明确要求的独立检查。
Hyperledger Fabric账本文档区分当前世界状态与交易历史，可帮助理解这种技术差异。不过，本课导出条件是专门制定的应用要求，并不是说Fabric会提供完全相同的包，也不是说所有区块链都使用Fabric的数据模型。
评估者可以使用P1给定的离线工具和有文档的信任材料，但不能向原实时提供方查询缺失答案。这是在测试一种范围有限的退出能力，并不表示导出包能复制整个网络的未来运行，或消除一切外部信任前提。
6. 打开候选结果包
候选B产生以下给定观察：
- 恰好99个普通请求在60秒内达到终点，剩余一个在75秒完成。全部100个最终均被接受，应用效果符合预期。
- 20个未授权尝试在各自独立环境中，都未改变受保护状态。
- 指定节点故障后90秒恢复，规定比较方法未发现分歧的已接受结果。
- 对完整列举位置的检查，没有发现指定虚构联系信息标记。
- 导出包包含全部100条已接受记录行，也能重现当前效果，但只有95条具备真实且与确切变更绑定的批准证据。其余五条，评估者无法从包内建立所需授权结论。
- 完整测试活动在规定运行边界内共用电10 kWh，包含P1指定的所有组件。
练习中将这些观察视为正确。不要据此认定五次变更实际上未经授权：缺少导出证据，并不证明历史上发生不当行为。失败点是导出包无法满足独立验证要求。
也不要把75秒完成解释为永久失败。它相对于60秒门槛属于迟到完成，但仍是导出测试使用的100条最终接受记录之一。
7. 不改措辞，逐项应用条件
第1项通过：99/100等于99%，恰好达到阈值。边界包含等号；恰好60秒完成的请求可以计入，超过60秒则不能。
第2项在指定20个案例上通过。第3项通过，因为90不大于120，并且单独的一致性检查也通过。第4项在本次运行的指定标记与完整列举位置范围内通过。
第5项失败：95条可独立验证的批准记录，少于要求的100条。有100行，以及看起来正确的当前状态，都不能补足缺失证据。第6项通过，因为在给定完整边界内，10不大于12 kWh。
结果是五项通过、一项失败。若写“成功率83.33%，因此批准”，就编造了P1不存在的汇总规则。方案要求六项全部通过；强制退出要求不能被当作小扣分，用剩余电量额度抵消。
8. 写出决定及其后果
参考决定是：“候选B的B1版本不应按P1进入下一阶段。它满足五项强制条件，但导出包不能支持对100次已接受变更中五次的授权进行所需独立验证。应记录有利结果，同时保留失败证据，以便修正和复测。”
这个结论既不是否定所有区块链，也不是认定五次变更存在欺诈。它只针对给定版本与验收规则。保持这个范围，对工程人员和决策者更有帮助。
下一步要查明证据缺失原因：从未保留、导出时遗漏、给定信任材料下无法访问，还是与变更绑定错误？本材料没有给出答案，不能只因某种原因比较容易修复就认定它成立。
在原因和修复得到验证之前，原先约定的退出条件仍未满足。演示人员在原仪表板上展示缺失批准记录，并不能单独修复“离线独立验证导出包”的要求。
9. 修复和复测时，不悄悄移动门槛
假设提出修订版本B2，应保留B1结果与P1原阈值。新一轮运行前，记录改变的组件、导出结构、证据保留行为和验证工具版本。新结果必须明确评价的是哪个版本。
至少应重现失败导出场景，并重测修复影响到的项目。如果保留更多批准证据改变复制数据位置或用电量，这些条件也需要新证据。如果应用执行或授权代码改变，就不能在缺少理由时直接继承B1相应测试的通过结果。
对这个小练习，完整重复P1是一种明确选择。较窄的回归计划需要显式影响分析；开发者说补丁很小，并不足以自动证明窄范围复测充分。
看到B1结果后，把100条可验证记录改成95条，是新的政策决定，不是追认B1在原P1下通过。决策者有时可能基于正当理由修订要求，但应保留原失败、解释变化并评估后果。本练习没有赋予豁免这项条件的权限。
10. 使用对照系统，但不过度声称
对照D对同样100个普通请求，有98个在60秒内完成，另外两个分别在70秒和80秒完成。全部100个最终正确完成。其导出包为100条记录都提供了可独立验证的批准证据。D的其他验收结果没有提供。
在这些运行中，B多了一个及时完成请求；D满足本题完整导出要求。这些观察不能证明普遍性能优势，也不能证明差异由区块链造成。它们同样不能自动批准D：D未达到P1及时完成门槛，其余四项条件的结果未知。
若项目确实要求这些强制条件，则目前两个结果包都未证明有合格候选。这仍可能是有价值的成果：团队知道哪些地方必须改进，而不必假装视觉效果最好的演示已经就绪。
Magenta Book评估指南强调尽早规划评估，并使证据对应所问问题。本课对照系统属于前瞻性学习设计的一部分，不会把小型技术验收变成对全部组织收益的因果评估。
11. 练习：先决定，再看答案
严格按P1回答以下问题。
- B的99%及时完成结果，是否通过第1项？
- 导出有100行，但五条必要批准记录无法验证，是否通过第5项？
- 导出失败是否证明五次历史操作没有权限？
- B比资源上限少用2 kWh，能否抵消导出失败？
- D的导出完整，是否因此获批？
- 如果B2导出全部证据，却把虚构联系信息标记写入列举的事件位置，能否进入下一阶段？
参考答案：第1题是，因为阈值包含等号。第2题否，因为要求是证据验证，而不只是行数。第3题否，历史事实仍未被该证据包解决。第4题否，因为全部条件均为强制。第5题否，D未达到及时完成门槛，其他条件也缺少证据。第6题否，即使修好导出缺陷，B2仍违反指定数据放置条件。
最后，请写两句话的决策说明，点明候选版本、方案版本、失败要求，以及范围明确的下一步。正确说明应保留成功测试，但不能让成功掩盖失败。
常见问题
为什么不能先知道现实表现，再决定门槛？
探索确实可以帮助制定后续验收方案，但应明确标注为探索。一旦P1成为公布的验收规则，结果出来后修改它就必须透明，不能悄悄重写先前结论。
六项全通过，是否证明可投产？
不是。它只能支持进入声明的下一阶段。真实就绪判断还可能需要本合成测试之外的安全、治理、运行、无障碍和具体司法辖区审查。
保留区块链历史，是否保证有用的导出？
不保证。独立可用的包还需要可解释规则、身份、权限、顺序背景和应用要求的证据。具体要求取决于预定验证任务。
接下来读什么？
可阅读物流基准比较，学习比较纪律。随后考虑如何把提供证据与验收测试写成供应商义务，而不是只承诺仪表板功能。
来源与延伸阅读
- 英国财政部Magenta Book：2026年5月15日更新，涉及尽早设计评估和按问题选择证据；2026年10月12日核对。
- Hyperledger Fabric账本文档：当前状态与交易历史的区别，2026年10月12日核对。虚构导出规范并非Fabric符合性测试。
- NIST IR 8202：区块链技术概览：2018年10月技术背景资料，2026年10月12日核对。该文献没有规定本课六项阈值。
- 保证论证原理：关联主张、证据与假设。
设计良好的试点，会保留说出这句话的权利：“这个版本尚未证明它达到了我们事先约定的要求。”