*限流**：不让请求无限增长。否则任何系统都会被拖死。

***分层**：不是所有请求都同等紧急。把真正的**险优先。

***替代**：限流会引发焦虑，必须有替代通道承接需求。

清算所技术负责人提出一种传统做法：“全量限流+排队”。

周砚摇头：“排队会产生‘谁先撤谁安全’的心理。挤兑里排队是一种放大器。”

顾明补充：“我们需要的是‘分层断路器’，让风控系统知道：你不是被拒绝，而是被转入更可预测的验证方式。”

最终，协调组达成一个方案——**断路器三件套**：

**A.限流：验证接口进入配额模式**

*每个合作方风控系统拥有基础配额；

*超出配额自动进入“延迟验证”，不立即返回失败，而返回“已受理+预计时间”；

*任何超时不被计为验证失败，避免触发更高预案。

**B.分层：风险级别优先**

*L3系统件优先验证（涉及大规模数据、关键基础设施）；

*L2次之（涉及核心业务连续性）；

*L1最低（例行抽查、营销性验证）被强制延迟或转入微型窗口。

**C.替代：离线验证包+第三方快照**

*在断路器触发时，清算所自动生成“离线验证包”快照（含哈希、时间戳、抽样证据）；

*合作方可以用离线包验证关键事实，不必实时拉接口；

*第三方审计机构提供“快照签名”，作为公信力补充。

这三件套的核心逻辑是：

**不让验证系统成为新的黑箱，同时不让验证系统被过载打垮。**

---

###四、最难的部分：对外公告怎么写

断路器方案有了，下一步是公告。

公告的每一个字都可能决定恐慌扩散还是收敛。

行业协会代表担心：“如果公告说‘接口过载’，大家会觉得你们撑不住了。”

监管观察员强调：“必须真实披露，否则就是信息误导。”

周砚说：“公告必须包含三层信息：事实、边界、替代。”

他现场写出公告骨架：

1）**事实**：当前验证请求量异常上升，清算所启动预案保障可用性；

2）**边界**：断路器触发，不是关闭透明，而是进入配额与分层验证；

3）**替代**：离线验证包与第三方快照签名上线，关键合作方不受影响；

4）**承诺**：断路器解除条件公开，解除后会发布统计摘要；

5）**反通