祝融说。

第二十章把新岸计划从一次整体表决改写为一串错得起的实验。但实验无论怎样诚实，最终都要落回选择：某条航道方案被采用，某种调度安排被推广。于是一个在表决之前不可见的问题进入前台——那些在实验中落选的替代路径，此刻在哪里、以什么状态存在、由谁付账？第九章批判过替代路径怎样在效率的名义下收缩；本章处理它的另一半：收缩已经发生或即将发生之后，保留意味着什么，保留得起什么，在哪个尺度上保留。这个问题不能以“多保留总是更好”来回答。保留替代路径要占用容量、人手、知识与维护，这些占用都有具体的承担者；在失稳条件下，资源占用本身就是从别处转移来的。本章要论证的方向因此是：替代路径不是在一切尺度上保留一切，而是按失效相关性与恢复时间两个变量分层配置——有些替代必须在局部活着，有些只需在区域可以调用，有些只需保有再造的知识与能力；判据从来不是路径的条数，而是失效模式的独立性与恢复时间的覆盖。

未选路径的保留价值

低损耗实验购买了信息，信息的一部分是“哪条路更好”。但账本若没有“落选路径去向”这一栏，实验就只完成了一半：它改进了选择，却默认了处置。而处置的默认选项从来不是中立的封存，而是萎缩——不再投资、不再演练、熟练者流失、入口废弃。落选路径的处置需要与选择本身同页写明：退役、封存、降频维持还是转为他用，各自意味着什么、谁受影响。

一条路径在某轮实验中落选，是关于它在被检验条件下的相对表现的陈述，不是死刑判决。第二十章已说明结果不能脱离条件外推；同一原则反方向也成立——条件移动时，落选者可能重新成为最优。条件变化可能增加保留某些替代的价值，也可能使新旧路径同时失去用途。能否保留仍须比较维护成本、未来适用的可能性与其他用途；不能仅凭“环境失稳”推断备用越多越有价值。

第九章站在收缩端，分析多条路径如何共享条件、共同倒下；本章站在恢复端，问的是当收缩被判定为过度、或需要预防过度时，保留什么、在哪保留。恢复端有自己的经济学：保留不免费，每一项保留都在与其他用途竞争同一份资源。问题于是从“要不要保留替代”改写为“在哪个尺度、以什么形态、由谁支付地保留”——这个改写贯穿全章。

替代路径的两个决定变量

下表把失效条件与可等待时间分开。它是本章的比较框架，不是港口工程的配置标准；实际容量和切换时间需要另行测量。

四行不是四级评分。每一项关键功能都应分别判断，可能需要不止一种安排。

第九章的核心发现是：所有权分散、地图分散、信息多样，都不自动构成替代，关键在共同依赖与共同失效。这直接给出保留配置的第一变量：两条路径若在某一失效条件下一起不可用，第二条就不能应对此种中断；它仍可能在其他情境中分担负荷。因此应逐项识别共同依赖、失效条件与可用容量，不能把路径数或所谓“独立失效模式个数”直接当作可靠性的总分。

第二个变量是恢复时间：某项功能中断之后，多长时间内必须恢复。如果可容忍的中断时间足以覆盖采购、制造、培训和重建，保留再造能力可能是一种方案；如果不足，则需要更快可用的承接安排。这里没有通用的“按日只留图纸、按小时必须在场”阈值，实际方案还取决于容量、运输、授权与风险。恢复时间不是由路径自己决定的，而是由功能决定的——第十九章的核验、照料、纠错入口与基础供应，恰好落在恢复时间最不可压缩的一端，这个事实后面单独处理。

两个变量合成配置原则：替代按失效相关性与恢复时间分层，而不是在每一处保留一切。处处复制所有设施会占用大量资源，也未必能避开共同失效。若维护责任下放而经费与权限没有同时提供，资源薄弱的层级可能难以持续承担。分层配置承认三种尺度上保留的形态、成本结构与承担者各不相同，下面三节分别进入。

局部、区域与全局的替代

局部尺度的替代必须在使用中存在。第八章说过备用角色需要时间与授权才能保持可用，不同备用有不同维护方式。部分设施需要定期运行，部分物资适宜封存、检查和轮换，人员替补则需要技能与授权。不能要求所有备用都保持日常流量；应根据失效条件验证保存方式、启用时间与容量。

最低使用量有成本，而成本的承担者要进入第十八章以来的账本传统：谁为这条低流量航道付费，谁在轮换中承担额外班次，谁的地界被低频使用占用。维持替代的占用常常落在小承担者身上，收益却在失效之日才显现。这个时间差是政治性的：日常成本可见，备用收益不可见，于是削减备用永远看起来像清理浪费——这正是下一节要说的抽空机制得以流行的土壤。

最低使用量还要经受日常排程的考验。替代与主路径争夺的不是预算表上的同一栏，而是同一批人手、同一段泊位、同一份注意：旺季来了，替用航道让不让给主线的加班船；人手紧了，替用班次是不是第一个被借走。每一次“先顾眼前”的让路都是单次合理的，累计起来却是替代的慢性让渡。替用让路的记录因此要入账——不是禁止让路，而是让让了多少、由谁决定、何时归还，有账可查。

替代路径不只是设施，还有知道怎样让它运行的人。局部尺度的知识附着于具体的承载者：熟悉旧工艺的手艺人、知道阀门脾气老师傅、能在断电时接管调度的值班长。保留替代在这些载体上就是保留人。这不能简化为“人手冗余”——第八章已把角色冗余与把人当零件区分开来；这里要补充的是时序：知识型替代的腐化先于设施型替代，设备还在，会修的人先走，等设施需要大修时，两者已一起失效。

小系统负担不起完整的自我复制，第八章指出透明脆弱性也是一种保护，此处给出它的正面用法：小社区的替代策略不是备份一份自己，而是知道自己的单点在哪里、公开它、把它接入区域互助的通道。把脆弱性公开不是耻辱的记账，而是让上一尺度知道该在何处兜底；伪装自足的小系统，恰恰在失效时最不可救，因为没有人提前知道要救什么。

区域尺度：互备而非复制

区域尺度的合理形态是互备而非每地复制：几个局部各自保有不同侧面的余量，约定失效时互为替代。互备的真实性取决于条件结构——各方的余量是否真的互补，还是像第九章那样共享同一条运输线、同一个供应商、同一种天气；调用的规则是事先写明，还是留给出事时刻的善意。事到临头由善意决定的互助，会被每一方自己的失效压力压垮。

区域替代有切换时滞：人要移动，物资要运输，权限要交接。时滞决定了区域备份只对恢复时间允许时滞的功能有效，这把恢复时间变量再次带上场。容量同样要校验：按“只有一方失效”配置的互备，未必能覆盖共同失效；是否足够取决于实际需求、容量及其他支援。第九章的共同失效分析在区域尺度转写为容量问题——最需要互备的时刻，恰恰是大家都自顾不暇的时刻，所以互备容量要按共同失效的情景校验，而不是按孤立失效的平均值。

互备本身是一条路径，也有自己的失效方式：约定被岁月磨损，长期单方付出的成员退出，强势成员把互助网络改造成自己的依赖结构。互备的账目要平衡到什么程度、不平衡时谁可以退出、退出须提前多久声明——这些规则不是执行细节，是互备能否在失稳时兑现的先决条件。一个从未共同演练过的互备约定，与一个从未回滚过的实验承诺，认识地位完全相同。

全局尺度：能力与知识而非设施

全局尺度的保留形态不是把每条路径都在某处库存一份设施——那既不可能也不必要。全局保留的是再造能力：知道怎样重建一条已被放弃的路径，包括工艺、图纸、培训方式与组织经验。再造能力占用的是知识与教学的资源，而不是平行的设施。与维持平行设施相比，这种方式可能减少设备占用，却仍需持续保存技能、验证资料和维护供应条件。它的成本与重建时间不能仅凭“全局”尺度确定；只有经验证的重建时间短于可容忍的中断时间时，它才适合承担相应的备用职责。

再造能力的载体是文档、课程、教师与定期的小规模重建。它的腐化最隐蔽：文档还在但无人能按它行事，课程还在但教的是早已失效的版本，演练还在但演的是表演性的成功——第八章说过测试要产生修正而非表演，这里的变体是：实际重建是重要检验，文档审查、部件测试和模拟也能提供不同范围的证据。需要说明验证到哪一层，不能把局部结果当作完整再造已获证明。没有重建记录的再造能力，其主张的强度要相应打折。

全局尺度上最大的诱惑是标准化：统一可能降低部分协调成本，也可能减少实现方式的差异；是否削弱替代，要看各路径是否因此增加了共同依赖。这里必须先承认——标准化与规模效率有真实收益，不是幻觉；对标准化的批判不能滑向对一切标准的浪漫主义反对。紧张的正确位置在失效模式上：标准化的真实代价是失效相关性上升，大家用同一个标准，就共享同一个错误。因此在关键处保留对标准的偏离权，比一般地反对标准更准确；偏离权同样要论证，不是任性的许可。

全局尺度还有一层必须正面处理的推论：再造能力若由单一机构独占，保留就蜕变为筹码。掌握“怎样重建”的一方，实际掌握着其他所有人在失效之日的存亡入口；它可以用重建的优先顺序施加影响，用知识的发放范围划分圈内圈外——这不需要阴谋，只需要独占事实本身。对策与第十九章对替代承载者的处理同构：再造知识的教学、副本与重建演练入口不得由单一承载者把持，知识的公共性本身要按可检验的形态配置。

尺度衔接及保留的异化

分层不是画在图上的三个框，是靠通道、报表、联席会议与联合演练实际运转的，而这些都有成本。衔接工作的部分收益表现为避免中断，较难单独归因；调用时间、差错率和演练结果仍可提供材料。在预算紧张的设定下，这些工作可能被削减，也可能因风险较高而获得优先保障。判断削减的后果，需要保留决定依据及后续变化，不能预设所有成本都只在失效时出现。衔接预算因此应被视为保留配置的一部分，而不是可以随时牺牲的行政开支。

局部失效何时升级为区域事件，取决于衔接通道：局部是否如实报告，区域是否有接手的权限与容量。掩盖失效的激励始终存在——承认单点失败在政治上先于实际失败发生。升级条件若不预先写明，区域的备份就被局部的面子扣留了；写明的内容包括何种观察触发上报、上报给谁、隐瞒的后果由谁承担。

备份从上一尺度调下来不是物流事件，是权力事件：谁决定调用、调给谁、调用期间谁指挥。第九章的决策权限单点在此重现于尺度之间——每一层都可能把“可以调用”悄悄改写成“由我裁量”。调用的规则、上限与时限要在平时写明；这与第八章要求备用权限自带结束条件同构：调用进来要有限期，指挥权要随事态回落而归还。

分层配置要工作，前提是失效相关性知识与恢复时间知识在各层之间流动。上层不掌握下层的真实单点，下层不知道上层兜底的范围，分层就退化为各层自说自话。信息通道本身也是一条需要维护的路径，它失效的形态通常不是中断，而是各层持有过时的地图，都以为别的层已经覆盖了某个缺口——缺口在两层之间的缝隙里安然存活。

以冗余之名的保留如何变成保护

替代路径也可能借冗余之名免于接受检验。要区分必要保留与保护既得位置，需要回到本章的两个问题：它针对哪种失效，能在多长时间内提供多少可用能力？

机制并不复杂：低效的路径、机构、供应线，在绩效审查面前本应退出，却以“战略备用”“安全保障”的名义延续。判据在此被偷换——不再问“它与现行路径是否失效不相关、在所需恢复时间内是否可达”，只问“它是否存在”。存在本身成为免除一切检验的理由。这与第十九章关键性宣称的正当化功能完全同构：一个保命的范畴，被用作免审的通行证。

受益者是路径的现有承载者：岗位、合同与地位因“备用”二字延续。成本承担者有两层：为维持付账的财政与消费者，以及被挤占的真备用——资源被假备用占用，真正失效独立的替代反而得不到维护。识别它不需要动机指控，承载者完全可以真诚地相信自己是备用；证据门槛是结构性的：备用记录、失效独立性的论证、按使用条件的定期验证，第八章的审查清单、第九章的验证要求与第十九章的可证伪检验，在这里合并适用。

这个推论有边界，并非一切保留低效路径都是保护主义。反例的形态清楚：一条确实落后但失效独立的旧线，在主导线因共同模式失效时接住过全局——事后看，它的“低效”正是价值所在。边界因此划在这里：判据是失效相关性与恢复时间，不是效率排序。以效率之名砍掉一切失效独立的替代，与以备用之名保留一切低效路径，是同一个错误的两半：都不看失效相关性，只看自己偏好的那一个指标。

由此，退役机制是保留制度的必要组成：一条替代路径应当能够被判定为不再需要而体面退役。第八章说过，维护要能接受“不再需要”的结论；这里加上程序的一半——退役的判定者不得是替代的受益者，退役决定可以申诉、必须留痕。缺少复审和退役机制，会使已经不适用的备用更难退出；有申诉与留痕也不自动保证判断正确，还须公开适用的失效条件、容量和成本依据。

名义保留与实际失效

本章第二个严厉推论更安静：替代路径名义上保留，实际上被抽空。形态清单并不长：备用设施在，维护预算逐年递减；备用编制在，空缺常年不补；备用权限在纸上，激活流程要走完失效当日根本走不完的审批；备用文档在，内容已与现实版本脱节。每一项单独看都是合理的节约，合起来是一个只存在于文件里的替代体系。

抽空的机制与第十九章断供的可否认性同构：没有人下令废除备用，只是培训取消、演练降级为桌面推演、预算暂时挪用、熟练者退休后岗位被优化。这种逐步变化有时不对应一份统一的废除决定，使责任追踪更困难。对抗的办法同样是记账：备用状态的每一次实质下调——容量、人手、演练频率、授权时效——都应有可查的决定者、理由与恢复条件，使容量下降及其原因更容易被发现和追问。

最讽刺的退化是：名义保留的记录反过来堵死真替代。审计写着“替代路径已保留”，据此拒绝投入新的替代——旧的存在记录成了新的不存在理由。检验判据回到第九章：备用须在使用条件下验证。没有经过适用条件验证的备用，其可用性仍有不确定性；这不等于已经失效。验证可以组合检查、分析、仿真和受控测试，选择哪种方式须同时考虑证据强度及测试可能造成的中断。

可信的保留需要与风险相称的验证计划。真实切换能提供重要证据，也可能危及正在运行的关键服务，不能被设为不分情境的义务。岬湾港的比较框架要求记录验证覆盖了什么、没有覆盖什么、剩余风险由谁判断，以及测试的代价由谁承担。无法进行真实切换时，应说明替代证据与限制，而不能把“未经实切”直接裁为“已失效”。实际设施的验证周期和负载须依据适用规范与专业评估确定。

替代的验证与关键功能

第二十章的认识论在此取得恢复端的含义：每一次低损耗实验，无论成败，都在生产替代路径的知识——哪条路在什么条件下怎样失效，恢复要多久，切换时谁接手。实验序列因此是替代知识的主要生产线。把实验结果只用于选优，浪费了它一半的产出：失败路径的行为数据，正是未来失效之日那本恢复手册的原材料，应当在实验记录中按可检索的形态留痕。

替代路径需要接受实际检验，允许超时、失效和未知依赖显现。检验同样有风险，应预先核对边界、停止条件、回滚资源与责任，并说明损耗由谁承担。限制规模不保证损失封顶，切回原路径也未必撤销已经发生的后果；超出预估时仍需停止扩展、记录和补救。这与第二十章的有限实验具有相同的约束。

保留不是保存标本。条件移动，主导路径在变，替代要应对的失效模式也在变：旧备用工艺可能恰好与新一代主导路径共享同一种脆弱。替代路径因此需要世代更替——每个世代按当期的失效相关性与恢复时间重新论证一遍，而不是继承上一代的位置。“我们一直保留着它”在分层配置里不是理由，是惰性的名字；用上一代的失效地图为这一代导航，与没有地图的差别并不大。

关键功能的替代分布

第十九章的核验、照料、纠错入口与基础供应，按恢复时间变量天然落在保留配置的最内层：它们的恢复时间最不可压缩，替代必须在场而非可再造。但四者在三种尺度上的形态不同——照料与基础供应的替代主要在局部与区域，因为它们的失效直接落在身体；核验的独立渠道可以跨尺度布置；而纠错入口，那个让所有人继续追问“这真的关键吗、由谁证明、错了怎么改”的功能，必须在每一尺度都在场，以便本层出现问题时仍有人能够提出并追踪；通道受阻是一种风险信号，但并非所有失效的共同起点。

保留关键功能的替代，不豁免对这些替代本身的检查。第十九章说过保留不等于豁免审查；替代路径作为“被保留的好东西”，恰恰最容易带着未经检查的内部安排长期存续：替代照料安排里谁被照料、谁被绕过，替代供应线上的承担者是否又是历史上的重复承担者。备用的账本与主路径的账本适用同一结构：当前代价与维持代价并列，按主体分列，历史累计，修订留痕。

收束：分层保留的过渡护栏

本章的结论收拢为一句：保留替代路径的正确计量单位不是路径的条数，而是失效模式的独立性与恢复时间的覆盖——按此在局部保活用、区域保互备、全局保再造，三层各付各的成本，各留各的记录，各受各的检验。

过渡护栏因此是：落选路径的处置与选择同页入账，退役有判定者、申诉与留痕；保留配置按失效相关性与恢复时间分层论证，论证文件公开共同依赖与失效模式，而非仅列清单；局部替代采用与对象相称的运行、封存和维护方式，其成本承担者入账可见；区域互备按共同失效情景校验容量，调用规则与上限平时写明，指挥权随事态回落归还；全局再造能力分层验证，并说明实际重建覆盖的范围；备用按风险与对象选择测试周期、负载和方式，切换损耗按受益者、承担者、上限同页的规则分配；备用状态的实质下调入账留痕，使抽空无法以不决定的方式发生；关键功能按四类分层布置，纠错入口在每一尺度在场。

分层保留不承诺失效不发生，也不承诺任何一次切换成功——备用会失灵，互备会不够用，再造会来不及。它承诺的与第二十章的低损耗同构：当主导路径失效时，替代是否可用不取决于事到临头的决心，而取决于平时是否用真实负载赎回过可用性，取决于失效相关性与恢复时间是否被真正计算过，而不是被“存在”二字搪塞。标准化的收益是真实的，偏离权只保留在关键处；效率的收益也是真实的，退役与保留服从同一个判据。保留替代路径的完整含义由此不是“多留几条路”，而是让每一次失效来临之时，仍然存在一条被使用验证过、被记录赎回过、被承担者同意过的路——它可能狭窄，可能昂贵，但它在。