卷三 · 原则：诚实与立法者思维

开篇

东莞那位老板，今年开春又打来电话。

不是谈新项目。是来问我一件他琢磨了大半年的事——去年花六十万上的那套系统，服务费每月还在交，系统还在服务器上跑着，但生产线没人再用它了。他想知道，他还要不要再追加一笔钱，请人来重新弄一遍。

我说，先别聊追加不追加。我问他一件事。

当初那六十万拍板之前，有没有人跟你说过，这件事可能做不起来？

他沉默了很久。然后说，销售来过三次，每次都很确定；实施的小伙子也来过，待了三周，看上去也很努力。但是没有一个人说过那句话。一个都没有。

他说，这话他听完心里有点不舒服。但他承认，这件事如果当初有人跟他说，他会重新想。

我想了一会儿，又追问他一件事——那位实施的小伙子，待了三周，他是不知道这件事做不起来，还是知道但没说？

他想了更久。然后说，这件事我也问过他，他说，当时提过的，但上面没让继续说。

这句话让我停了一会儿。

一个二十出头的实施工程师，待到第三周，已经看出这件事做不起来，他回去汇报，上面的意思是别继续说。然后这件事按原计划做完，验收，签字，结款。系统上线，没人用，服务费继续交。两年之后老板坐在我面前，重新面对这个问题——而最早那个说"做不起来"的声音，在两年里一次都没有到达过他。

这就是这一卷要回答的问题。在一个所有人都被激励着让你点头的行业里，那个说"这件事不该做"的人，到底从哪来？

写到这里先停一下，把这一卷的边界说清楚。

这一卷只讲原则本身——什么叫诚实，为什么诚实是底线，怎么把诚实落到可执行的形态。卷四会讲如何把诚实变成五个阶段的流程，卷七会用案例验证诚实有没有真的被执行。这一卷不教沟通技巧，不教怎么体面地拒绝客户。拒绝本身就是结果，不是手段。如果你是为了找一个让我教你"如何漂亮地把客户劝退"的教程，这一卷会让你失望。

诚实作为职业底线的具体形态，比你想象的更朴素——它就是五条可被当场执行的判据，加上一个可以被反复引用的判断法典，再加上一个必须在项目启动时写明结束条件的死亡条款。三样东西加起来，构成了 FDE 这个职业的硬约束。

这一卷不抽象。它会用具体的反例、具体的样本、具体的话术，把每一条判据写到能在第一周就用上的程度。判据不能用，就成了口号。口号没有约束力。这本手册不需要口号。

第一章　五条诚实判据

全书只有一条不可变的根——FDE 的职业底线是诚实。

这句话听起来像口号。口号没用。

把它拆开来看，必须能拆成可以在现场执行的具体动作。可以执行的意思是，FDE 进场第一周就能跑一遍，跑完之后项目记录里就能留下痕迹。

诚实以工程问题的形式存在，关系到这个职业能不能成立。如果 FDE 的商业模式是按结果计价、按四周数字验收，那么 FDE 和客户之间的合同，本质上是"我用我的判断换你的真话"。判断这一头如果掺水，客户那一头的真话就会变成自我防卫；客户那一头的真话变成自我防卫，验收口径就会变成互相糊弄的场地。一环腐，全部腐。

这一章先把根的因果链讲透——为什么激励结构是诚实的必要条件，不是充分条件。然后展开五条判据，每条配三件东西——可执行的形态、落地动作、失败信号。

激励结构 × 诚实原则的因果链

在卷一第五章里已经写过，传统驻场实施按人天计费、按人头派遣。这种激励结构奖励的是"待得久"，跟客户利益相反。一个被按人天计费的工程师，他的本能反应是延长项目周期而不是尽早交付价值。在这种结构里，诚实是负资产——说"这件事做不起来"等于缩短自己的工作时间。

FDE 按结果计费的激励结构把这件事反转了。说"这件事做不起来"反而是保护自己的判断力不被污染——因为如果硬做下去，结果拿不到，损失更大。这条反转让诚实从负资产变成正资产。

但反转只是必要条件，不是充分条件。一个按结果计费的从业者，仍然可能在以下三种情况下走向不诚实——

第一种，他对自己判断力的边界没有认知。他在客户那栋楼里待久了之后会高估自己的判断力，把模糊信号当作确定判断，把客户的不同意见当作不理解。这时候"诚实"会变成他对自己不诚实的遮羞布。

第二种，他的客户合同里没有写明"按四周数字"的判据是什么。结果他可以用一套不被客户接受的口径自证成功——客户认为没做成，他认为自己做成了。这种情况下，按结果计费反而给了他操纵结果的空间。

第三种，他的激励来自客户以外的第三方——比如投资人对增长的预期、平台对流量的考核、上级对产出的排名。这些激励会让他主动放弃诚实底线，把客户的真话过滤成对激励方有利的话。

这三种情况下，按结果计费反而让诚实更难。需要补的不是激励结构本身，而是另外三样东西——认知边界的纪律、可被客户签字的验收口径、对激励污染的免疫力。这三样东西对应后面五条判据里的某几条。

把这条因果链看清楚之后，再展开五条判据。

把根拆成五条判据。每一条给出三件东西——可执行的形态、落地动作、失败信号。

一、对客户诚实：不卖你判断不成立的方案

形态：调查没做完不报价。

落地动作三件——

进场头两周，必须先把七问清单逐条问完，逐条写在记录里。问完的实质是，每一条都对应到一次现场观察或者一份具体证据。如果某一条问完了但拿不到对应证据，就空在那里，不许填，不许"按惯例推断"。

报价单里必须单列一句——哪几条判断来自已完成的调查、哪几条来自未完成的调查、哪几条来自经验。后两类必须独立标注工作量与时间窗口在合同里。当一条来自"未完成的调查"的判断被客户用证据推翻，无条件退场或重做。

任何一条报价里写着"基于经验"四个字的判断，原则上不超过两条。

失败信号（三个反例样本）：

反例一，报价单里"基于经验"的判断超过两条。一家做会员画像的客户拿到一份报价，报价单里写"基于行业经验，建议同时上线智能推荐和流失预警"。两条都是经验判断，没有客户数据支撑。客户接受后三个月，智能推荐模块被实际使用，流失预警模块无人使用。前者对了，后者错了。错的那条拖累了整张报价单的信用。

反例二，客户第一次会议就看见完整方案。一家厂的副总在第一次会议上拿到一份 60 页的 PPT，里面写着"基于行业经验，建议从这五个模块切入"。这位副总回去之后把 PPT 转给了销售，销售转给了同行。一个月后这份 PPT 出现在另一家完全不相关的客户那里。方案泄密不算完，更麻烦的是这位副总从此不再信任这位 FDE——因为方案看起来像从模板拷过来的，没经过这家公司的调查。

反例三，项目开始两周后，七问清单还有格子没填，但已经在写代码。一个团队在第一周结束的时候兴奋于"原型已经能跑"，但七问清单里第三条"做成了谁手上的东西会贬值"和第五条"最不受欢迎的那张表"还没有答案。两周后原型在客户的真实数据上跑，结果发现第三张图上那个会输的岗位，恰好是负责验收签字的副总。结果项目卡在验收环节五个月。

这三条反例都不是假设。每一个反例都来自具体的项目记忆，每一个反例都对应一条独立的失败信号。

二、对自己诚实：判断错了当日记录

形态：判断错了当天记下来，不许事后美化。

这件事最难的点不在于记，而在于当日。

落地的形式是判断日志。格式固定为四列——第一周判断、实际情况、在第几周因为什么信号发现、信号可迁移的部分。四列任何一列空着，这条判断就算没记完。

不允许跨日补写。这是硬规矩。当天不写，隔一天再补，记录里就会开始出现"按今天的理解改"的痕迹——那种痕迹是诚实的反义词。

每周复盘把当周最贵的一条错判挑出来，发到团队群。"最贵"的标准是时间乘以金额，不是情绪。

判断日志的样例——

真日志样本（项目 A，第三周）：

回填过的日志样本（项目 B，第六周）：

两份日志并排看的差别是一目了然的。真日志里的"信号可迁移"那一列是新的判断，回填日志里的那一列是编出来的安慰。回填日志最危险的地方不是它撒谎，而是它把"我应该当时就记"的信号吞掉，让团队失去对自己判断失误模式的认知。

每周复盘把最贵的错判挑出来发到团队群。这件事看起来很小，做起来阻力很大。一个团队成员在群里公开写"我这个判断错了"，需要一种特殊的团队文化——做错了不丢人，藏着不记才丢人。卷八会专门展开这种文化的具体建法，本章只立原则。

失败信号：判断日志出现"事后重写"或"按今天的理解改"的项目；项目复盘里找不到一条"判断错了"——这意味着要么这个项目真的全对了（极少见），要么所有人都没把错判拿出来说（极常见）。后者就是对自己不诚实的标准形态。

三、对数字诚实：验收口径用客户的数据

形态：验收口径用客户的数据，不用自己的口径。

这一条是五条里最容易在工程上做到、也最容易被忽略的一条。

落地形式是验收口径表，五栏填齐——指标定义、数据源、统计窗口、剔除规则、争议仲裁人。五栏任何一栏空着，这张表不算成立。

口径表必须在验收会议之前由客户签字。签字之后任何争议按口径表执行；签字之前任何争议按侦察记录执行。

任何数字必须带来源类型——政策文件、公开报道、作者实测、估算。后两类在写入交付物之前必须先向客户确认。

交付物里不允许出现"提升 N%"而无对照基线。一句"我们提升了 30%"前面没写明基线、统计窗口、剔除规则，这句话等同于没说。

客户口径 vs 自己口径的冲突案例（三组对照）：

对照一：会员复购率。客户的口径是"30 天内同一会员 ID 下单两次及以上"。FDE 的口径是"30 天内同一手机号关联的所有订单"。两者差别在"会员 ID 与手机号的关系"上——客户系统里一对多的会员关系不少，按手机号口径算出来的复购率显著高于按会员 ID 算。FDE 想用客户口径，FDE 的销售想用手机号口径。冲突时按客户口径——因为合同里写的是客户的数据。

对照二：库存周转天数。客户的口径是"月末库存账面值 ÷ 当月销售成本 × 30"。FDE 的口径是"日均库存 ÷ 日均出库 × 当月天数"。两者在库存账面值与日均库存之间存在"账面值是否包含在途"的差别。客户口径取账面值（不含在途），FDE 口径取日均（含在途）。按哪个？按客户口径。如果 FDE 觉得自己的口径更准确，应该先跟客户讨论修改客户口径，不应该在合同之外私自换口径。

对照三：缺陷率。客户的口径是"客户投诉件 ÷ 同期销售件"。FDE 的口径是"工厂内部识别的次品件 ÷ 总生产件"。前者是外部口径，后者是内部口径。按哪个？前者。因为客户花钱买的不是"我们觉得我们做得好"，而是"客户认为我们做得好"。内部口径可以用于内部改进，不能用于对外验收。

这三组对照的共同特征是：客户口径看起来比 FDE 口径"更宽松"或"更难达成"。这是为什么 FDE 不想用客户口径——按客户口径更难成功。但 FDE 仍然必须按客户口径，因为合同写的就是客户的数据。如果 FDE 觉得客户口径不合理，应该在签字之前提出，不能在签字之后偷换。

失败信号：客户的口径表被自己的口径覆盖；交付物里出现无法回溯到原始数据的数字。

四、对失败诚实：什么死了必须写明

形态：每个项目写清楚什么死了、为什么死。

这件事最深的一层，不是写，而是承认。

落地的形式是六段解剖的第六段。每条死法归入六型——需求本身不成立、找错了人、工作流改动幅度超过收益、数据源不稳定、唯一的推动者走了、我们自己没跟上。死因可多选，选不进则自述。

第六段空着或写"无"的记录不成立。一个团队连做三个项目都找不到一条死法，这意味着他们要么在做上帝做的事，要么在写假报告。

六型的实证样本（卷七副案例对应）：

型一，需求本身不成立。卷七 A3 案例的部分子项目——客户提出"AI 自动生成营销文案"，但其行业合规要求每条文案必须人工审核，AI 输出不能直接发布。需求看起来合理，深入调研后发现不能端到端满足。死因归类为需求本身不成立。

型二，找错了人。卷七 A6 案例的部分子项目——客户的对接人是 IT 主管，业务侧无人承接收盘。FDE 进场后发现 IT 主管签字不算数，业务副总不认账。死因归类为找错了人。

型三，工作流改动幅度超过收益。卷七 A1 案例的会员画像模块——门店店长每日的会员识别动作超过三十分钟，省下来的券成本覆盖不掉工时投入。死因归类为工作流改动幅度超过收益。

型四，数据源不稳定。卷七 A6 案例的客流热力图模块——摄像头夜间切换红外模式后客流计数严重漂移，热力图结论不可用。死因归类为数据源不稳定。

型五，唯一的推动者走了。卷七 A5 案例的某个子项目——客户内部唯一的项目推动者离职后，新接任者没有同等动力，项目停摆。死因归类为唯一的推动者走了。

型六，我们自己没跟上。每一个项目都会有这一型的一些成分。客户的需求理解超出了团队当时的能力边界——比如卷七 B1 案例（商单系统 FAIL），团队在 57 项测试里 36 通过 18 失败 3 跳过，明文写了"launch blocked"。死因归类为我们自己没跟上。

六型里前五型都是外部条件，第六型是内部能力。第六段里没有第六型的项目记录，通常意味着团队对自己的能力评估偏高。

六段解剖的格式和样例在卷四与附录 B 详写，这里只立原则。

五、对认知诚实：不懂就承认不懂（2026 年 8 月增补）

形态：不懂就不懂，不明白就不明白，想不通就想不通。对客户承认，对自己承认。

这一条比前四条更基础。它是前四条的边界条件。前四条约束行为，第五条约束认知边界。前四条缺一还能开工，第五条缺了，前四条都会被幻觉污染。

第五条是 2026 年 8 月才增补进五条判据里的。前四条在 2026 年初卷一写作时已经定型，第五条是在反复审稿过程中被加进来的。增补的背景是——生成式工具在过去两年里大幅降低了"看起来像答案"的输出成本。一个从业者在客户面前用工具秒回一个听起来非常专业的回答，比承认"我不懂"更容易。但秒回的回答里如果掺着幻觉，它会污染后续所有判断。这种污染在 2024 年之前还可以靠从业者的专业基础挡一挡，在 2026 年之后——工具能给出超出从业者专业基础的具体数字、具体方案、具体判例——挡不住了。

落地动作三件——

进场前对客户的任何问题，可以用"我现在还答不了，需要看到 X 之后才能答"的句式回，但不能用"应该是这样"或"通常来说"替代。"应该是这样"与"通常来说"在客户耳朵里听起来像回答，在自己的判断日志里必须留一条"我没看懂"作为独立条目。

遇到超出自己认知边界的领域，停下来找该领域的人，不硬上。"硬上"的成本极高——它会在两周之后变成一个六段解剖第六段里"我们自己没跟上"的死因。

团队的判断日志里允许出现"我没看懂"作为独立条目。一支不允许写"我没看懂"的团队，写出来的东西全是确定的；一支确定的东西，全是可疑的。

五条之间的关系

前四条是行为约束，第五条是认知边界。

一个 FDE 如果只背前四条而忽略第五条，他会在客户的术语堆里失去坐标，会把客户的转述当成判断，会在交付物里写出非常自信的胡说。

反过来说，只强调第五条而忽略前四条也不行——只承认自己不懂而不去做行为约束，等于把认知边界当借口逃避该做的事。认知诚实的前提是行为诚实。

五条之间的关系用一句话说清楚——前四条并行，第五条垫底。任何一条缺位，其余四条都会被扭曲。

这一卷到此为止，原则本身。下一章讲怎么把原则变成可被引用的判断标准。

第二章　立法者思维三件套

FDE 不是工程师的延伸。

一个工程师接到的是一份写清楚的需求文档，他照着做。FDE 接到的是一家运转中的公司，他要把这家公司的某个运转方式在短期内改造掉。改造失败他走人，改造成功他留下方法库。

FDE 与客户工程师的核心差异可以追溯到 Palantir 2008 年前后那个原型。当时的语境是政府与情报客户——数据在客户那儿，不能带出来；系统在客户那儿，不能远程；需求说不清楚，因为说清楚本身就涉密。在那种约束下，唯一可行的方式是把工程师送进去。被送进去的工程师同时被赋予了两样东西：基于现场判断做什么的权限，和对交付结果负责的归属。这两样东西绑在一起，就是 FDE 角色最早的结构形态。这件事在卷一已经详细展开过，此处不重复。

在这个意义上，FDE 是客户的临时立法者。客户原有的运转方式在他的临时立法下要被改造——具体怎么改造由 FDE 决定，但改造的边界由 FDE 自带的职业底线决定。这是一种特殊的权限配置——既是临时的（项目结束就撤销），又是自主的（立法权完全交给 FDE）。

临时立法者必须自带三件套——不可变的根、判断法典、死亡条款。少一件会出问题。

第一节　不可变的根

一句话：FDE 的职业底线是诚实。

这一句话先于客户需求，先于商业利益，先于个人名声。当不可变的根与项目目标冲突时，项目目标让步。

这一句话不接受客户修改。客户没有权力让你做出"判断不成立"的方案——这一条不接受协商。如果客户因为坚持要求你做出判断不成立的方案而放弃合作，这是这一卷最希望看到的结果。

根与项目目标冲突的三个典型场景——

场景一，价格让步。客户说："你的报价太高，能不能打个八折？"如果报价是基于已完成调查写的，价格让步意味着 FDE 要么降成本要么自己承担差额。降成本会动到质量底线，自己承担差额会动到商业可持续性。两者都破坏对客户诚实——成本压缩之后质量下降，等于卖给客户一个判断不成立但价格更低的方案。

场景二，范围让步。客户说："你能不能把模块 X 加进去？原报价不动。"模块 X 在原调查里没有被识别为真问题。加进去之后要么挤压其它模块的工时（破坏对客户诚实——交付物质量整体下降），要么 FDE 自掏工时（破坏对自己诚实——判断错了不记，反过来用行动补偿）。两者都破坏诚实底线。

场景三，时间让步。客户说："能不能两周内交付？原合同是六周。"时间被压缩之后，FDE 要么跳过侦察直接交付（破坏对数字诚实——口径没对齐就抢进度），要么跳过回灌直接交付（破坏对失败诚实——没有时间写第六段）。两者都破坏诚实底线。

三个场景的共同结构是——客户在三个维度（钱、范围、时间）上的让步要求，本质上是要求 FDE 把诚实底线从"约束"变成"可选项"。一旦 FDE 在某一个场景里让步了，根就松动了。松动一次就会有第二次，到第三次客户就不把根当回事了。

失效条件：当行业出现统一的、强制性的职业伦理规范且获得官方背书，本句可被替代；目前不具备。

这里"目前不具备"的具体含义——目前软件工程行业最有影响力的伦理规范是 ACM/IEEE 联合发布的软件工程职业伦理规范（ACM Code of Ethics and Professional Conduct，2018 年 6 月 22 日由 ACM 理事会通过；IEEE-CS/ACM 联合任务组的软件工程职业伦理与实践规范 v5.2）。这份规范给出了八项原则——公共利益、客户与雇主、产品、判断力、管理、行业、同行、自我——以及每个原则下的细则。

结构上它确实是"统一的、强制性的职业伦理规范"，但目前它仅约束 ACM 会员的成员资格（违反者可被取消 ACM 会员资格），并不构成对全行业的职业执业门槛。中国软件行业的职业伦理建设目前更弱，没有对应的国家级职业伦理规范，更没有强制的执业伦理认证。

所以"目前不具备"是一个真实的现状判断，不是悲观判断。在 ACM/IEEE 之外，行业内目前没有第二个统一的强制性伦理规范可以被 FDE 这个职业拿来替代"不可变的根"。

借用 ACM/IEEE 的结构是被允许的——它给了我们"原则 + 细则 + 失效条件"的三段式结构启发，但具体条文必须按 FDE 这个职业的实际约束重新写。这是为什么本卷的判断法典不从 ACM/IEEE 翻译过来，而是从 FDE 现场约束自下而上地长出来。

第二节　判断法典

不可变的根是抽象的，必须翻译成可被引用的判断标准。

翻译的形式是一组编号条文。判断法典的载体是一套分两层的结构——规则法典与判断法典。

规则法典回答"这件事做不做"。它的条文从行业规范、法律底线、合规红线里来。违反规则法典的，不允许做，无论客户怎么要求。这一层的依据是外部的、不许谈判的。

判断法典回答"这件事该怎么做"。它的条文从 FDE 自己积累的判断里来。这一层的依据是内部的、可以生长的、必须可证伪的。

每条条文三段——原文、推论、失效条件。

原文是条文本身。推论是这条条文在现场被引用时的标准展开。失效条件是这条条文不再成立时的明示退出标准。

示例一条：判断法典条目 · 调查未完不报价——报价的前提是七问清单的全部答案至少有一条已被现场数据验证。

推论：报价单里写"基于经验"的判断超过两条，报价无效。

失效条件：客户书面要求紧急交付并接受按经验报价的风险自担，附签字。

判断法典的最小集合——五条判据各自对应若干条文，至少二十条起步。每条条文给三个具体落地场景。

下面给出十条核心条文作为最小集合的起点。每条都按三段式（原文、推论、失效条件）写，外加三个落地场景的索引。完整的判断法典在卷三附录与附录 A。

条文 J-01：调查未完不报价。

推论：报价单里写"基于经验"的判断超过两条，报价无效。

失效条件：客户书面要求紧急交付并接受按经验报价的风险自担，附签字。

落地场景：(1) 客户在第一次会议上要求先出方案再报价；(2) 客户要求在合同里写明"按经验估算"；(3) 客户对项目预算有明确上限，但实际工作量无法在两周内被调查验证。

条文 J-02：判断错了当日记录。

推论：判断日志四列任意一列空着，该条判断视为未记录；超过 24 小时补写视为回填。

失效条件：当日因不可抗力（健康事故、网络中断）无法记录者，须在第二日补并标注"补写"。

落地场景：(1) FDE 当日完成一项关键判断但忘记记录；(2) FDE 当日完成一项判断但客户会议拖到次日零时；(3) 团队周会当天发现有人上周的判断未记录。

条文 J-03：验收口径用客户的数据。

推论：合同里写明的口径表必须由客户签字，签字之后任何争议按口径表执行。

失效条件：客户书面同意修改口径，按新口径重新签字。

落地场景：(1) 客户在验收会议上要求改口径；(2) 客户的实际数据与口径表定义不一致；(3) 验收争议涉及多个指标，需要明确优先级。

条文 J-04：失败必须写明。

推论：六段解剖第六段（什么死了）不允许空着或写"无"；死因归入六型之一。

失效条件：项目周期短于一周且没有实质交付的，可以写"无实质失败"。

落地场景：(1) 项目上线后四周内某模块未被使用；(2) 项目验收前客户关键岗位离任；(3) 项目撤项但未走完四周法则。

条文 J-05：认知边界敢于承认。

推论：FDE 在客户面前可以用"我现在还答不了，需要看到 X 之后才能答"的句式，不可以用"应该是这样"或"通常来说"。

失效条件：当客户明确表示不接受"我不知道"这种回答，且坚持要 FDE 给出倾向性判断——FDE 给出"基于我个人经验有 X% 把握"的形式判断，并标注"非现场数据"。

落地场景：(1) 客户问"我们这个行业明年的趋势是什么"，FDE 不在那个行业的现场；(2) 客户问"这套方案的失败概率是多少"，FDE 尚未做过完整评估；(3) 客户问"你们之前做过类似项目吗"，FDE 没有类似项目的完整记录。

条文 J-06：否决权来自两件事。

推论：FDE 行使否决权必须同时满足两个条件——到过现场看过设备读过仪表盘（事实依据），且愿意承担否决的代价（意愿依据）。任何一件缺了，否决权退化为抱怨。

失效条件：当事实依据完备但客户不接受 FDE 的判断时，FDE 应主动升级给客户的更高一级决策者，而不是反复说服同一对象。

落地场景：(1) FDE 否决了一条与七问清单第三条答案冲突的需求；(2) FDE 否决了一条违反合规红线的需求；(3) FDE 否决了一条超出自己认知边界的方案调整。

条文 J-07：可证伪的失败信号。

推论：每条判据至少配三个失败信号——客户会议第一天就看见完整方案、判断日志出现事后重写、客户口径被自己口径覆盖、六段解剖第六段空着、交付物出现无法回溯到原始数据的数字。

失效条件：失败信号是经验性指标，不是合同条款；当客户的实际情况不匹配信号定义时，按客户实际重新定义信号。

落地场景：(1) 团队在季度复盘时核对五条判据的失败信号清单；(2) 新成员加入时由老成员对照清单讲解；(3) 项目复盘会上用清单做交叉检查。

条文 J-08：判断日志可被引用。

推论：判断日志是 FDE 自己积累的资产，客户出问题时可以依据日志逐条反驳，FDE 出问题时无法用日志之外的话术辩解。

失效条件：当客户在合同里明确要求实时查看 FDE 的判断日志时，FDE 应在交付的版本里删除客户身份信息但保留判断本身。

落地场景：(1) 客户在项目结束后要求查看判断日志；(2) 团队在跨项目复盘时引用某条判断；(3) 客户与 FDE 在验收争议上引用日志作为证据。

条文 J-09：六段解剖格式固定。

推论：六段的顺序不允许调换，第六段（什么死了）不允许空着；记录格式参附录 B。

失效条件：当项目被判定为"未实际启动"时，第六段可写"未启动——原因记录于第四段"。

落地场景：(1) 项目计划未启动但已完成调查；(2) 项目启动后四周内撤项；(3) 项目上线后未通过四周法则。

条文 J-10：脱敏三层检查。

推论：实体层（客户名、人名、独有的产品名已清，地点一律不带）；数字层（经营数据模糊化为量级，流程数据原样保留）；时间层（满十二个月方可公开，时间模糊到季度，业务动作时序改为相对时序）。三层任何一层未过，整篇回炉。

失效条件：当客户书面同意公开身份时，脱敏可解除，但脱敏解除记录必须保留在项目档案里。

落地场景：(1) 案例需要写入方法库时；(2) 案例需要在公开演讲中引用时；(3) 案例需要接受第三方审计时。

十条条文合起来构成判断法典的最小集合。完整法典在卷三附录里会扩展到二十条以上，包含所有五条判据各自的支撑条文，以及与卷一、卷二、卷四、卷七的交叉引用条文。

判断法典约束的对象首先是 FDE 自己。客户出问题时可以依据法典逐条反驳，FDE 出问题时无法用法典之外的话术辩解。这条"自我约束优先"是法典与营销话术之间的本质区别。

完整的判断法典在卷三附录（卷三附录的规格——判断法典卡片集，每张卡片三段式：原文/推论/失效条件）。卷八会把判断法典上升为组织级的双法典（规则法典/判断法典）。

第三节　死亡条款（日落）

项目启动时，必须写明它应该在什么时候结束。

死亡条款包含三个口径——何时算死、何时算活、从死到活的复盘动作。

何时算死：功能 X 上线后四周未使用；客户关键岗位离任；业务指标无显著变化。这三条任一条触发，项目判死。

何时算活：四周法则——上线后连续四周仍在使用的东西才算活。这是卷四第五阶段的退出条件。

从死到活的复盘动作：六段解剖第六段（什么死了，为什么死）必须写满。

死亡条款不进合同，进项目章程第一页。

失效条件：当客户要求无限期驻场且不接受日落条件，应拒绝或转单。

日落条款的具体格式——Open TSC 项目模板里五个必填项之一；与卷一第八章呼应。模板规格如下：

项目名称：  
启动日期：  
日落评审日期（项目自验收日起满 [N 个月] 触发）：  
触发条件（如满足以下任一条件，提前触发）：
  - 客户书面要求延续
  - 四周法则未通过
  - 客户关键岗位离任
  - 业务指标 [N 个月] 内无显著变化

评审输出三项：
  1. 功能存活清单（按四周法则评估）
  2. 待交接工作（按断奶清单评估）
  3. 待撤离人员（按交接完成度评估）

触发后的处置：
  - 客户书面同意延续 → 延 [N 个月]，重新评审
  - 客户不同意延续 → 项目关闭，触发四周观察后再评估
  - FDE 主动要求撤离 → 同上

这个模板与卷四第五阶段的撤离章配套使用。日落条款进项目章程，不进合同——因为合同是商业契约，日落是工程约定。两者性质不同，混在一起会让客户把工程约定当成可议价的商业条款。

失效条件：当客户业务面临人身安全或重大公共利益风险时，日落条款可以暂时失效，参照第四章第四节伦理红线的失效条件处理。

三件套的顺序：根是锚点，法典是工具，条款是边界。三者缺一根会漂，缺一法典会乱，缺一条款会长成赘生物。

这一章立的是判断框架。下一章讲一个具体的执行——FDE 的否决权。

第三章　为什么 FDE 必须有权判客户需求死刑

一位 FDE 进场看一份三十页的需求文档，他必须有权说——第十五条到第二十条不在本项目范围内，因为它们的前提假设不成立。

这种否决权是 FDE 的核心职责之一。

否决权在四方对照表里的位置在卷二第二章已经写过——FDE 是四方对照中唯一明确"有，而且必须是核心职责"的那一格。这一章要给一个更深的论证：否决权作为 FDE 这个岗位存在的理由之一，由现场事实与承担意愿共同支撑。

第一节　否决权与激励结构的关系

否决权来自两件事。

一是他到过现场、看过设备、读过仪表盘、问过那个没人愿意回答的问题。他掌握了否决所需的事实。

二是他愿意承担否决的责任。否决是要付代价的——可能丢这一单、可能得罪销售、可能让项目经理不高兴。一个没有否决意愿的人，手里再多的现场事实也变不成否决动作。

这两件事凑在一起，FDE 才能行使否决权。任何一件缺了，否决权就退化为抱怨。

没有否决权的 FDE 退化为实施员：客户说什么他做什么，做完验收签字走人，下一个项目重复同样的失败模式。

否决权用得越频繁越便宜，用得越稀少越贵。稀少意味着 FDE 已经放弃了对真实问题的发言权，下一个项目里客户会默认把所有判断推回给他，他的判断力会变成客户的背书工具。

否决权的"使用频率"作为自检指标——如果一个 FDE 半年没行使过否决权，他的判断力很可能已经被腐蚀。一个项目周期通常 8–12 周，半年意味着至少经历了一个完整项目。一个完整项目里连一次否决都没用过，FDE 要么在做一个完美匹配客户需求的项目（极少见），要么已经主动放弃了否决权（极常见）。后者是判断力被腐蚀的早期信号。

第二节　TL 报价案——一项调查做完了也没资格报价的实证

这一节写一个真实案例。它不是虚构的。

2026 年 6 月初，一个教育留学业务的咨询项目走到了尽头。

事情经过大致是这样——前面几个月，我完成了这个项目的全部调查。客户是谁、钱怎么赚、谁会输、过去两年做过什么项目、真实的工作节奏、最不受欢迎的那张表、影子系统长什么样——七问清单基本跑完。

然后到了报价环节。

v3 报价按孤立模块组织，对客户七个交付物的覆盖率 29%。我自己发现这个数字不行，重构成 v4——把报价重组为一个统一系统，对客户七个交付物的覆盖率 100%。结构变了，工作量变了，但总价不变：180 万。

付款方式从四段调整为五段，前置比例从 60% 降到 40%。

这份 180 万的报价单，在 2026 年 6 月初的私聊里发给了客户。

然后客户拒绝了。

在记录里，这次拒绝没有附带具体理由。这种不附带理由的拒绝，与不降价不拆分的报价一起，构成了这件事最干净的部分。

内部复盘留下的判断（实证）：180 万相对行业参照明显偏高，"一次性签七位数不现实，先做一个场景再聊后续"。换句话说，这份报价在结构上是完整的，在调查上是充分的，但它在客户的购买决策里依然不成立——因为它假设客户有能力一次性承受七位数的前期投入，而这个假设与客户的真实现金流不符。

这是一个教科书式的"调查做完了也没资格报价"的实例——

调查做完了，意味着你知道了这件事该不该做的全部事实。

但"该不该报价"与"该不该做"是两件事。在客户行业天花板、单笔预算上限、推进节奏这三个口径上不匹配，再充分的调查也撑不起一张报价单。

七问清单 vs 报价资格——这是卷四侦察章需要单独成节的核心论断。本节先立论断，卷四再展开操作细节。

正确的回应方式在那份内部复盘里也写到了——"先做一个场景再聊后续"。这是判断法典条目级的话术。结构完整的报价被拒之后，最诚实的下一步是把动作切小，让客户能在自己的决策区间里接受，而不是继续以七位数的整体强行推动。

这件事之后，业务线记录的状态是 abandoned。一个 180 万的合同，当场死亡。

这个死亡是诚实的死亡。签不下来比签下来更好。

TL 案的三级证据分级——

实证级：(1) 客户在报价发送当天或次日拒绝（具体日期有 1 天出入，未锁定）；(2) 拒绝未附带具体理由；(3) 业务线记录标记为 abandoned；(4) v3 报价覆盖率 29%，v4 重构覆盖率 100%；(5) 总价 180 万不变，付款四段改五段，前置比例 60%→40%。

合理推断级：(1) 拒绝理由一是价格与风险错位——七位数固定前置与客户期望的风险共担方式冲突；(2) 拒绝理由二是价值错位——客户第一优先级是获客增长，报价可承诺的是系统指标，明确不保增量。

未记录：(1) 客户拒绝的原话；(2) 客户回复原文；(3) 谈判过程细节；(4) 替代供应商；(5) 客户后续。

客户此前留下的最接近原话（三句话均早于拒绝，不能冒充拒绝原话）：「你不能把我叫的叫退堂鼓」（预算有限但愿意投入）、「挣多少钱都是一人一半」（50/50 分成提议）、「没有人能操控AI技术」（怕烂尾）。这三句话作为客户画像的实证被保留，但不可作为拒绝理由的实证使用。

TL 案的细节扩写——客户原话、对接人特征、谈判过程、替代供应商（未记录）——全部留待卷七扩写时用户口述确认。初稿只立承重论断。

第三节　否决权的判据与话术

否决权的判据必须明确——什么样的需求 FDE 可以否决、什么样的需求 FDE 必须否决、什么样的需求 FDE 不能否决。

可以否决：与调查阶段得出的核心症状不一致的需求。例如客户在侦察完成后提出一个与七问清单第三条答案（谁手上的东西会贬值）相冲突的新功能，因为提出这个新功能的人就是那个会输的人。这种需求可以否决。

必须否决：违反规则法典的需求。例如要求把客户敏感数据送到境外模型做训练、要求在视频项目中保留可识别人脸帧、要求把判断日志改成"我们一致认为本项目非常成功"。这一类不允许做，无论客户怎么要求。

不能否决：与核心症状无关的、属于客户内部偏好的需求。例如配色、字段命名、汇报频次。这类 FDE 应该接受，因为否决它们只会消耗否决权的可信度。

否决权的节约使用——否决权像火警按钮，按得太多就没人信。一个 FDE 如果每个项目行使十次否决权，他的否决权会逐渐失效——客户会默认他的"否决"是一种工作姿态而不是一种严肃判断。一个 FDE 在一个 8–12 周的项目里通常行使 1–3 次否决，是合理的节奏。0 次是判断力被腐蚀的信号，5 次以上是滥用否决权的信号。

话术三步走——

第一步：引用判断法典对应条目，给出依据。

第二步：引用失效条件，说明如果客户坚持这条不变会进入哪种失效场景。

第三步：提出替代方案或退出条件。

三步走完客户不接受——走人。FDE 的拒绝成本必须高于沉默成本，否则沉默会赢。

话术样本三种否决场景——

场景一，与核心症状不一致的需求：

FDE：「根据我们侦察阶段对七问清单第三条的判断（答：客户某岗位的工作量会被替代），您刚才提的这个需求会让那个岗位的工作量上升。这跟我们的核心判断相反。我建议把它从本期范围剔除，放入下一期评估。如果您坚持要在本期做，我可以做，但我会建议把这件事记到六段解剖第六段，作为"工作流改动幅度超过收益"的备选案例。」

场景二，违反规则法典的需求：

FDE：「这件事涉及把客户敏感数据送到境外模型做训练。这条在规则法典里是禁止的——不是因为技术上做不到，而是因为它会触发 [具体法律条款] 的合规风险。我不能做。但我可以帮您做合规框架内的等价方案——比如本地部署、用国产替代模型、或者对敏感字段做脱敏预处理。如果您坚持要做这件事，我建议我们一起评估一次合规风险，把评估结果归档，再决定下一步。」

场景三，与核心症状无关的偏好：

FDE：「这件事跟核心症状没有直接关系，属于您内部偏好。我的判断是接受，不否决。如果您觉得这件事需要我额外投入时间，我们可以单独约定一个工作流——但这件事不会进本期交付的核心范围。」

三段话术的共同结构是：第一步给依据（事实或法典），第二步给失效场景（如果坚持会怎样），第三步给替代方案或退出条件。这种结构的核心是把否决权变成一次可被记录的对话，而不是一次情绪化的对抗。情绪化的对抗在客户关系里会留下痕迹，记录下来的对话不会。

第四节　否决权的失效条件

否决权在被使用时存在失效场景——

失效场景一，客户在合同里强制剥夺 FDE 的否决权，例如"乙方必须接受甲方全部需求文档作为验收依据"。这种条款一出现，FDE 应拒绝签约。这条不接受协商，因为签字之后 FDE 的否决权会失去合同层保护。

失效场景二，客户的高一级决策者明确推翻 FDE 的判断。这种情况下 FDE 应在判断日志里记录"判断被推翻"作为独立条目，但执行按高一级决策者的指令走。判断日志的"被推翻"条目本身就是对未来决策的预警信号。

失效场景三，FDE 的判断本身超出了自己的认知边界。这种情况下 FDE 应主动声明"超出认知边界"，把判断交给客户的领域专家或第三方意见。FDE 的否决权不延伸到认知边界之外。

否决权的存在不是 FDE 凌驾于客户之上的权力，而是 FDE 在客户的运转方式改造中承担后果的对等物。客户改造失败的损失由 FDE 承担（声誉、时间、机会成本），客户改造成功的收益也由 FDE 分享（信任、复购、口碑）。否决权是这个对等关系的操作形态。

第四章　职业伦理的边界

这一章写清楚 FDE 这个岗位的伦理边界。

边界不是一个清单。边界是一道线——线的这一侧是 FDE 可以做也应该做的事，线的那一侧是 FDE 拒绝做的事。边界存在的意义不是限制，而是为了让线这一侧的事可以持续做下去。

第一节　FDE 能做什么

FDE 能做的事有八件——

调查现场。读协议。写代码。跑模型。做原型。训客户。出判断日志。写六段解剖。组织复盘。

每一件都对应一种可被审计的交付物。调查现场对应侦察记录；读协议对应协议分析卡片；写代码对应代码仓库的提交记录；跑模型对应评估集的分数；做原型对应客户真实数据上的跑通截图；训客户对应客户的接班人手册；出判断日志对应日志本身；写六段解剖对应六段格式记录；组织复盘对应复盘会议纪要。

八件事的"留痕迹"原则——可审计是边界存在的前提。每件事的产出必须是可被第三方（比如客户的合规部门、监管机构、或者下一位 FDE）独立审计的工件。工件可以是纸面的、电子的、协议的，但必须可被检索、可被复现、可被质询。

不留痕迹的"能做什么"其实不能做。一个 FDE 如果在客户那栋楼里待了三周，但留下的工件只有三次会议的 PPT 和一个未签字的验收单，那他事实上没做这件事。这件事没被记录，等于没发生。这条原则的反面是——如果一件事被记录了但工件不可被审计（比如一份手写便签、没有时间戳的草图、缺签字的协议），那这件事虽然被记录了，但事实上的可审计性是零。

可审计性是边界存在的工程条件，不是道德要求。一个团队如果把"留痕迹"当成道德要求来执行，它会被繁琐的文书工作拖垮。一个团队如果把"留痕迹"当成工程条件来执行，它会自然地把工件格式收敛到最小的可审计集合。

第二节　FDE 拒绝什么

FDE 拒绝的事有五类——

客户要求按 FDE 自带数据口径验收——拒绝。理由：违反对数字诚实的判据。验收口径的制定权必须在客户。

客户要求隐藏对 FDE 不利的失败记录——拒绝。理由：违反对失败诚实的判据。六段解剖第六段不允许被客户审查后修改。

客户要求把判断日志改为"我们一致认为本项目非常成功"——拒绝。理由：违反对自己诚实的判据。判断日志是 FDE 自己的记录，不是客户的对外宣传材料。

客户要求 FDE 在没有第一手观察的领域出具专业意见——拒绝。理由：违反对认知诚实的判据。例如客户问"我们这个行业明年的趋势是什么"，FDE 不在那个行业的现场，只能回答"我不知道"。

前团队、客户名、联系人名以任何形式进入交付物——拒绝。理由：脱敏纪律。这是 FDE 的边界保护，也是客户的边界保护。

脱敏纪律的进一步展开——卷七副案例调用。脱敏不只是对 FDE 的自保，也是对客户的保护。一个客户的真实身份一旦被泄露，他面对的不只是舆论风险，还有同行模仿、对手挖角、内部追责等多重连锁风险。FDE 替客户把脱敏做好，是 FDE 对客户的保护义务的一部分。FDE 不在交付物里写客户真名，等于替客户把一道防火墙立在那里。这道防火墙的受益方首先是客户自己，其次才是 FDE。

脱敏三层检查在判断法典条文 J-10 里已经给出，这里不重复。

第三节　怎么拒绝

拒绝以过程的形式存在。结论本身只是一句话，过程才是把边界立住的部分。

三步走——

第一步：判断法典逐条对照。客户提出来的要求，落在哪一条拒绝清单上，就把那一条拿出来，逐字对照。

第二步：引用失效条件。失效条件以陈述的形式出现——如果这条要求被执行，进入哪种失效场景，对客户与 FDE 双方都不利。

第三步：提出替代方案或退出条件。例如客户要求按 FDE 自带口径验收——替代方案是双方在第三周前把口径表对齐；客户拒绝——退出条件是合同到此为止，已交付物按已发生工作量结算。

三步走完不接受——走人。

拒绝的话术样本（五种拒绝场景）——

场景一，拒绝自带口径：

FDE：「合同里写明的验收口径必须由您签字。这是合同条款，不是偏好。如果您觉得目前的口径不合理，我们可以在第三周前一起修订。但修订之后必须签字，按新口径执行。在新口径签字之前，我不会按任何未经您签字的口径验收。」

场景二，拒绝隐藏失败：

FDE：「六段解剖第六段是项目档案的一部分，它的修改权在我。如果您不希望某些失败被外部引用，我们可以在项目结束后把这些内容放进您专属的保密库。但项目档案本身必须真实。修改档案这件事我不能做。」

场景三，拒绝美化判断日志：

FDE：「判断日志是我的工作记录，不进入您对外的宣传材料。我可以在交付物里给您一份"项目总结"，这份总结经过我的判断后可以写得比较好看。但判断日志原文不会被修改。」

场景四，拒绝超出认知边界的专业意见：

FDE：「我没有在您这个行业的现场做过调研，关于明年趋势的问题我只能给您一些通用框架。要给出对您有意义的判断，我需要至少在您这个行业花一周做访谈。如果您愿意，我可以在侦察阶段加这一周；如果不愿意，我会在交付物里标注"行业趋势判断基于通用框架，非现场数据"。」

场景五，拒绝前团队/客户身份进入交付物：

FDE：「我的交付物里不会写您公司的名字，也不会写我之前的工作单位。这是我对您的保护——您的真实身份一旦在交付物里出现，对您和对我都构成长期风险。如果您需要交付物里有您公司的名字，请单独签一份免责协议，把责任明确转移。」

五段话术的共同结构是——第一步给法典依据，第二步给失效条件，第三步给替代方案或退出条件。这种结构对客户的杀伤力小于情绪化拒绝，但长期可信度高于情绪化拒绝。一个 FDE 用这套话术拒绝客户一百次之后，他的客户群体会知道——他说"不"是真"不"，说"能"就是真"能"。

FDE 的拒绝成本必须高于沉默成本。

如果一个 FDE 在客户面前沉默的成本比拒绝的成本低，沉默会赢。沉默赢的结果是判断被腐蚀——FDE 嘴上答应但心里知道这事不对，回去把判断日志改一改，让它看起来像没问题。这一连串动作一旦走完，诚实底线就被磨损了一次，且不可逆。

拒绝成本 vs 沉默成本的经济学——卷一第五章已展开。这里要做更深一层。

在传统咨询业里，沉默成本长期偏低，原因有二。第一，咨询顾问的业绩核算不包含"客户项目失败"——一份漂亮的失败报告比一份丑陋的成功报告对顾问的长期声誉更有利。第二，咨询顾问的现场暴露时间短——通常 2–3 个月就撤离，沉默的代价不需要长期承担。

FDE 的按结果计价结构把这两件事都反转了。第一，FDE 的业绩核算包含"四周法则是否通过"——沉默换来的虚假成功会在四周后被数字打脸，业绩核算里立刻反映出来。第二，FDE 的现场暴露时间比咨询长——通常 8–12 周，加上撤离期可能接近 6 个月，沉默的代价要承担得久。

按结果计价的激励结构把沉默成本显性化了——沉默不再是低成本选项，沉默是有代价的高成本选项。这件事是 FDE 商业模式相对传统咨询业的结构性优势。

但激励结构的反转不自动消除沉默的诱惑——它只让沉默变得更贵。FDE 仍然可能在某个项目里选择沉默换取短期利益。这种情况下激励结构救不了 FDE，能救 FDE 的是判断法典与团队纪律。

第四节　伦理红线的失效条件

有一条边界会在极特殊的情况下被允许突破——当客户业务面临人身安全或重大公共利益风险时，FDE 应在保证自身安全的前提下突破常规拒绝边界，提供最低限度协助并同步报告。

例如医疗设备失效、危化品数据丢失、公共卫生紧急事件。这一类场景下，规则法典的常规条文可以被压缩，但不可被跳过。

失效条件的边界——这本身是一个需要严肃论证的子节。需要讨论"突破常规"与"放弃职业底线"的临界点在哪里。

医学领域有一条可被参考的结构——希波克拉底誓言里的"首先不伤害"原则（primum non nocere）。这句话不是希波克拉底原始誓言里的原文（原始誓言里更接近的是"I will abstain from all intentional wrong-doing and harm"），但在现代医学伦理里它已经演化成一个被广泛引用的工程原则。1964 年 Lasagna 写下的现代版本希波克拉底誓言被美国多数医学院沿用至今，它的核心结构是把医生的责任边界从"治病"扩展到"不伤害"——病人没被治好但被伤害了，比不治还糟。

医学誓言对 FDE 工作的可借鉴之处不在具体条文——FDE 不是医生，病人不是项目——而在它的失效条件的边界设计。Lasagna 版本里有一条"我将不会因为任何理由对任何人施行堕胎或类似的手术"这种绝对条款——这是边界条件的极端形态。对 FDE 来说，对应的极端条款是"客户业务面临人身安全或重大公共利益风险时，FDE 突破常规拒绝边界"。这种条款的存在不是鼓励 FDE 频繁突破，而是让 FDE 在真正面对人身安全时知道有这一条可援引。

借用这一条结构，FDE 的伦理红线失效条件被设计为三层边界——

第一层边界，常规业务场景：拒绝按自带口径验收、拒绝隐藏失败、拒绝美化日志、拒绝出具超出认知边界的专业意见、拒绝泄露身份。这些条款不允许突破。

第二层边界，人身安全场景：当客户业务面临人身安全或重大公共利益风险时，常规拒绝条款可被压缩——FDE 可以在合规框架内提供最低限度协助。"可被压缩"指条款的严格程度可以降低，但不允许跳过。

第三层边界，FDE 自身安全场景：当 FDE 自身面临不可承受的人身风险时，FDE 拒绝一切请求，包括第二层边界的请求。这条不接受协商。

三层边界的关系是——第三层覆盖第二层，第二层覆盖第一层。任何一层触发，常规条目的执行力发生改变，但 FDE 自身的安全永远优先。

把这一条与医师誓言的结构做一个对照。医师誓言里"我将不会因为任何理由对任何人施行堕胎"这种绝对条款的工程含义是——把"医师对病人的责任"与"医师对自己职业身份的尊重"绑在一起，让医师在面对灰色地带的请求时有一条硬约束可以引用。FDE 的失效条件做的是同样的事——把"FDE 对客户的最低限度协助义务"与"FDE 对自身安全的最终拒绝权"绑在一起，让 FDE 在面对极端场景时有一条可以向上引用的结构。

这条结构借鉴的是医学誓言，不是复制。FDE 不是医生，工程师也不是医师。把医学誓言的结构搬到 FDE 这件事是有边界的——具体条文必须按 FDE 这个职业的实际约束重新写，不能直接照搬。

失效条件的边界——这条失效条件本身的失效条件：当 FDE 自身面临不可承受的人身风险，应拒绝一切请求，包括这一条。

这一层边界不被任何场景突破。它是 FDE 伦理体系的最后一道防线。

把这一章与前三章合起来看，这一卷的论证链就完整了。

第一章立五条判据——把"诚实"从一个口号拆成五条可被当场执行的判据，每条配三件东西：可执行的形态、落地动作、失败信号。

第二章立立法者思维三件套——把抽象的根翻译成可被引用的判断法典，把项目边界写成不可越过的死亡条款。

第三章立否决权——把 FDE 区别于上一代角色的核心职责讲清楚，用一个真实案例（TL 案）验证"调查做完不等于有权报价"的承重论断。

第四章立职业伦理边界——把 FDE 能做什么、拒绝什么、怎么拒绝、以及边界本身的失效条件讲清楚。

四个章节合在一起，构成 FDE 这个职业的承重柱——原则。下一章进入方法——把原则变成五阶段可操作的流程。

本卷法条

FDE 第三法 · 诚实底线律

原文：FDE 的职业底线是诚实。五条判据并列——对客户诚实、对自己诚实、对数字诚实、对失败诚实、对认知诚实。调查未做完不报价，判断错了当日记录，验收用客户口径，失败必须写明，认知边界敢于承认。

推论：本书后续所有方法论与案例，在客户场景下生效的前提是这一法先被承认。客户与 FDE 之间的任何争议，按这一法优先于合同条款解释。立法者思维三件套——不可变的根、判断法典、死亡条款——必须同时存在，缺一根会漂，缺一法典会乱，缺一条款会长成赘生物。否决权是 FDE 的核心职责之一，由现场事实与承担意愿共同支撑，行使频率越频繁越便宜。职业伦理边界的失效条件按三层边界设计——常规拒绝、人身安全场景下的最低限度协助、FDE 自身安全场景下的最终拒绝权；三层边界的关系是第三层覆盖第二层，第二层覆盖第一层。

失效条件：当行业出现统一的、强制性的职业伦理规范且获得官方背书，本法可被替代；目前不具备。当 FDE 自身面临不可承受的人身风险，本法的常规条文可被压缩但不可被跳过。当客户业务面临人身安全或重大公共利益风险，本法的常规拒绝边界可被突破，但事后必须复盘并归档。

本节附带失效条件——

一，五条判据的失效条件：若五条判据中的某一条被业界普遍放弃且无替代机制出现（例如对认知诚实这条被工具普及替代），本卷对应章节需重写。判断观察口径：业界对"我不懂"这种回答的容忍度变化。

二，激励结构 × 诚实原则因果链的失效条件：若 FDE 行业出现按工时计费回潮且被从业者主动接受，本卷关于"按结果计费是诚实必要条件"的判断作废。

三，TL 案的失效条件：若客户回复原始记录出现并推翻 QC 文件里给出的"价格与风险错位"与"价值错位"两条合理推断，本案第四段、第六段需按原始记录重写。

四，判断法典最小集合的失效条件：若 FDE 行业出现强制性的法典认证机制且覆盖十条核心条文，本卷判断法典条文可以被替代，但本卷关于"法典约束 FDE 优先于客户"的承重论断不失效。

五，否决权失效条件：若客户在合同层强制剥夺 FDE 否决权的条款成为行业普遍接受条款（"乙方必须接受甲方全部需求文档作为验收依据"），本卷关于"否决权是核心职责"的论断作废。

六，三层伦理边界失效条件：若医学伦理领域出现"医师对病人的最低限度协助"被立法强制替代的行业案例，且工程师领域出现对应立法，FDE 伦理边界的三层结构需按立法重写。

七，作者实测数字的失效条件：本卷未引用作者实测数字，所有判断均来自已公开材料或结构性推理。

八，本卷所引 ACM/IEEE 职业伦理规范的结构（原则 + 细则 + 失效条件）以来源标注的发布日为准。若 ACM/IEEE 在 2026 年下半年对该规范做实质性修订，本卷关于"目前不具备统一的强制性职业伦理规范"的判断应同步重新评估。来源标注：ACM Code of Ethics and Professional Conduct（2018-06-22 ACM 理事会通过）；IEEE-CS/ACM 软件工程职业伦理与实践规范 v5.2。

九，TL 案三级证据分级的失效条件：若新证据出现，本案四级判断（拒绝事实、拒绝理由的合理推断、谈判过程、替代供应商）应按新证据重新分级。实证级不得降为合理推断级；合理推断级可以升为实证级（如新证据出现）或降为未记录（如原证据被推翻）。

十，本卷关于"医师誓言结构借鉴"的判断建立在"工程伦理与医学伦理在不同职业场景下结构同构"的假设上。若该假设被严肃的伦理学研究推翻，本卷第四章第四节的结构借鉴论述需重写。

本卷末尾给一个总收束。

这一卷的核心承重论断只有一条——诚实是职业底线，不可让渡。

这本书的前六卷（卷一到卷六）会反复回到这条底线。卷一讲"为什么是现在"——诚实在执行成本塌方的时代成为可被执行的底线。卷二讲"FDE 是什么"——诚实在结构上对应激励配置与权限配置。卷三讲"诚实的具体形态"——五条判据、三件套、否决权、伦理边界。卷四讲"诚实如何变成流程"——五阶段让诚实可被审计可被复盘。卷五讲"诚实如何被技术放大"——人和 AI 在诚实底线上的分工。卷六讲"诚实如何面对逆向现场"——硬件与现场的物理约束与诚实的兼容性。

这一卷是这六卷里最短的一卷。它不该长——诚实本身的形态是朴素的，不需要用大量的篇幅去包装。它该有的是锋利度——五条判据每一条都能在现场被立刻执行。三件套每一件都能在被客户挑战时被立刻引用。否决权每一次被行使都留下可被审计的痕迹。伦理边界每一道线都有失效条件做兜底。

把这卷读完的读者不需要被教育需要被允许。这一卷做的事是——把诚实在 FDE 这个职业里被允许的程度写到最清楚。