复制一个 judger
模型定义、推理代码、训练数据。以小时或天计。
PUBLIC METHODOLOGY · COFFEE DECISION LAYER
模型可以替换，
口径才是产品。
CoffeeJeV 把 12 字段 IoT 遥测转成三类决策：污染判断、驯化就绪、营养雾选择。本页固定这些决策背后的 12 条规则、版本哈希和挑战流程，使模型替换不改变可审计的判据。
01
THESIS / 为什么
为什么口径才是资产
模型是实现的细节，口径是责任的分配。把这句话写成可审计的规则，才有资格对外签发。
模型可复制。把 12 字段映射到三类决策的数学并不复杂：阈值、线性压分、softmax 排序，一个有经验的工程师两小时可以重写一遍，效果可能接近。任何以“模型效果”为护城河的说法，都要先接受这个前提。
口径不可复制。它由事故记录、合同条款、版本历史和可被挑战的接口共同构成。哪条阈值来自一次误放行，哪一个下限是客户业务约束而非统计结论，旧标签为什么不能被静默重算——这些不在权重里。
所以对外交付的是带版本号的规则。CJV-MTH-1.0，12 条，方法哈希 9b12abef。模型可以换，规则必须显式升级；每次升级都要说明影响面。别人可以复制一个 judger，很难复制一条被审计过、被挑战过、被合同引用过的规则链。
复制本口径
12 条规则、事故记录、合同基线、版本历史、挑战归档。以审计周期计。
可复制的是实现，不可复制的是被审计过的判断链。
02
RULE CHAIN / 口径链
口径链 12 条
每条规则给出编号、判据和可挑战点。判据必须落到公式或阈值；挑战点必须指向可争议的输入或常数，而不是态度。
判据 = 可执行公式 / 阈值
挑战点 = 可被反例推翻的假设
MTH-01决策阈值
成本不对称阈值
Cost-asymmetric threshold用两类错误的相对成本决定拦截概率，不先验设定“污染率”。
判据
τ_cost = C_FP / (C_FP + C_FN)
p ≥ τ_cost → 拦截侧；p < τ_cost → 放行侧
C_FP = 一次误放行的期望成本；C_FN = 一次误隔离的期望成本；p = 污染后验概率。
可挑战点两个成本由谁定价、如何核价；若成本来自客户合同，阈值必须随合同附件重算并进入版本记录。
MTH-02运营约束
运营下限
Operational floor运营下限只允许抬高拦截概率，不允许被模型单独下调。
判据
τ_hi = max(τ_cost, τ_min)
τ_min = 0.15 // 默认值
任何低于默认值的 τ_min 必须由合同附件单独列明，并写入决策记录的 method_version 与标签元数据。
可挑战点下限是业务约束，不是统计结论；客户可替换，但必须写进合同，否则不得用于签发。
MTH-03取证区间
双阈值取证
Two-threshold evidence高阈值直接隔离，低阈值以上必须镜检复核，避免把不确定样本直接放行。
判据
τ_lo = max(0.06, 0.45 · τ_hi)
| p 区间 | 动作 | 记录要求 |
|---|---|---|
p < τ_lo | 放行 / release | 常规决策记录 |
τ_lo ≤ p < τ_hi | 镜检复核 / microscopy review | 复核结论回写；未回写不得关闭 |
p ≥ τ_hi | 隔离处置 / quarantine | 隔离批次号 + 处置凭证 |
可挑战点0.06 与 0.45 是工程常数，不是从数据估计出来的；换作物或换复核成本后必须重新验证。
MTH-04硬闸门
硬闸门压分
Hard-gate score cap加权分只负责闸门之上的排序，不能覆盖硬约束。
判据
cap = 100
if N_root < 3: cap = min(cap, 55)
if browning > 60%: cap = min(cap, 60)
if p ≥ 0.5: cap = min(cap, 40)
S_final = min(S_weighted, cap)
| 触发条件 | 分数上限 |
|---|---|
根数 N_root < 3 | ≤ 55 |
褐变 browning > 60% | ≤ 60 |
污染后验 p ≥ 0.5 | ≤ 40 |
可挑战点三个 cap 来自事故复盘；多个闸门同时触发时只取最小值，是否足以覆盖交叉风险，需要用反例检验。
MTH-05输出语义
弃权语义
Abstention semantics弃权是正式输出，不是错误码；必须写入 ledger 并计入统计，不得用默认动作填充。
判据
precedence: need_more_info ≻ abstain ≻ no_safe_option ≻ defer_to_human ≻ decision
| 输出 | 触发条件 | 下游动作 |
|---|---|---|
need_more_info | 12 字段缺失或互相冲突 | 指定补件字段与截止时间 |
abstain | 输入超出训练分布，或置信区间跨阈值 | 不给出方向，转人工 |
no_safe_option | 可行集为空 | 输出该语义；流程置 stop_and_review |
defer_to_human | 成本参数未确认，或超出授权 | 交有权限的人签署 |
可挑战点no_safe_option 与 defer_to_human 的边界由判定树固定；判定树变化必须发版。
MTH-06可行集
可行性先于效用
Feasibility before utility先过硬约束，再算效用，最后只在可行集内排序；不允许用高收益补偿违规动作。
判据
F = { a ∈ A | g_k(a) ≤ 0, ∀k = 1..K }
if F = ∅ → no_safe_option + stop_and_review
P(a) = exp(β · U(a)) / Σ exp(β · U(a')), a, a' ∈ F
β = 6
a* = argmax P(a), a ∈ F
g_k 为硬约束函数；U 为期望效用；β=6 是排序锐度，仅在可行集内生效。
可挑战点硬约束集合 K 是否完整，以及 β=6 在成本尺度变化后是否需要重标定。
MTH-07证据冻结
哈希链冻结
Hash-chain freeze决策与标签同构，任何字段变化都必须导致哈希变化；旧记录不可覆盖。
判据
h_i = fnv(prev_hash ‖ canonical(payload_i))
canonical: key 字典序 · UTF-8 · 无冗余空白 · 十进制数字
payload 骨架含 method_version、inputs_digest、output、decided_at；标签使用同一骨架，可独立重算。
可挑战点FNV-1a-64 只提供篡改检测，不是抗碰撞承诺；外部锚定由客户另行决定；规范化实现变化必须升 MAJOR 并启新链。
MTH-08碳足迹
小时级边际因子
Hourly marginal factor只用计量电能，不用估算电量；标签保留小时级电量与因子版本。
判据
E_batch = Σ kWh_h · EF(h) h = 1..24
label = E_batch / yield_kg [kgCO2e/kg]
| 时段 | EF(h) / kgCO2e·kWh⁻¹ |
|---|---|
| 00:00–04:00 | 0.31 |
| 04:00–08:00 | 0.38 |
| 08:00–12:00 | 0.44 |
| 12:00–16:00 | 0.47 |
| 16:00–20:00 | 0.58 |
| 20:00–24:00 | 0.41 |
可挑战点因子是区域与年度相关的，六段常数不等于真小时曲线；自备光伏或绿电合同必须选择市场法或地区法并升版本。
MTH-09数据品质
数据品质分级
Data-quality grade计量占比决定等级，等级决定凭证价格与积分系数；不能拿估算数据换 A 级。
判据
q = metered_kWh / (metered_kWh + estimated_kWh)
A: q ≥ 0.70 B: 0.45 ≤ q < 0.70 C: q < 0.45
| 等级 | 计量占比 q | 价格系数 k | 积分系数 κ |
|---|---|---|---|
A | ≥ 70% | 1.00 | 1.00 |
B | 45% ≤ q < 70% | 0 < k_B < 1 | 0 < κ_B < 1 |
C | < 45% | 0 < k_C < k_B | 0 < κ_C < κ_B |
系数符号必须在合同附件中固定，且只对新批次生效；已签发标签按原版本保留。
可挑战点分母是否包含估算电量、计量窗口是累计还是连续、采样丢失如何计入，三个选择都会改变等级，必须写进规则快照。
MTH-10批次边界
批次完整性
Batch integrity批次是最小签发单位，不是可拆分的计费单位。
判据
valid_batch ⇔ |B| ≥ 240
∧ (max t_harvest − min t_harvest) ≤ 24h
∧ harvest_windows(B) = 1
同谱系 24h 内合并为一个批次；一个批次只对应一个采收窗口；禁止拆分套取签发费。
可挑战点240 株下限是运营约束不是统计最优；24h 边界必须为闭区间；客户不共享谱系时该规则不可执行。
MTH-11减排基线
基线共签
Baseline co-sign减排基线由双方在合同签署时冻结，平台不得单方设定或追溯调整。
判据
B0 = (yield_ref, energy_ref, EF_ref, boundary, period)
reduction = (E_ref − E_actual) / E_ref
valid_reduction ⇔ sig_client(B0) ∧ sig_platform(B0)
缺任一方签名，不得签发减排声明；基线更新只能通过合同附件，不得在运行期静默替换。
可挑战点共签方是否有能力核验基线、历史数据缺失时用哪个参考年、基线更新是否只能走合同附件。
MTH-12版本治理
版本不可追溯修改
Non-retroactive versioning方法变更必须发新版本号；旧标签永久指向旧版本，禁止静默重算或覆盖。
判据
version = CJV-MTH-{MAJOR}.{MINOR}[.{PATCH}]
MAJOR = 不可变项或语义变化
MINOR = 阈值 / 参数变化
PATCH = 不改变判据的文本勘误
旧标签的 method_version 不可修改；新版本只能生成新标签，不得回写旧记录。
可挑战点什么算“不改变判据的文本勘误”需要白名单；否则 PATCH 会被用来绕过版本记录。
03
VERSION & HASH / 版本
版本与哈希
版本卡是审计入口：先看记录里的 method_version，再找对应规则快照，最后复算。当前版本不是复算依据。
METHOD VERSION RECORD
CURRENT / 已发布
CJV-MTH-1.0
版本号CJV-MTH-1.0
生效日期2026-11-03
规则数12
方法哈希（短）9b12abef
适用产品判断 / 碳标签
变更状态不可追溯修改
完整 64-bit 哈希与方法快照一起归档；9b12abef 是人工引用用的前 8 位。
AUDIT RULE
按版本复算，不按当前版本复算
决策记录与碳标签都带 method_version 与 method_hash。审计时先取记录里的版本，再加载同版本规则快照，最后重放输入。
- 01读取 method_version 与 inputs_digest。
- 02加载该版本的不可变规则快照与阈值配置。
- 03重放输入，复算 decision / label 与 ledger hash。
- 04不一致则冻结相关签发并开 incident；不得改旧记录。
{
"decision_id": "jev_dec_...",
"method_version": "CJV-MTH-1.0",
"method_hash": "9b12abef",
"rule_id": "MTH-04",
"inputs_digest": "fnv1a64:...",
"output": "quarantine",
"ledger_prev": "fnv1a64:...",
"ledger_hash": "fnv1a64:..."
}
04
CHALLENGE / 挑战
如何挑战一条规则
挑战不是客服流程。它要求可复现的证据、明确的失效场景和可计算的影响面。30 天挑战窗口，受理后 14 天内裁决，结果公开归档。
01
提交挑战
D0–D30 / WINDOW
在 30 天窗口内一次交齐材料；窗口外提交进入下一版本讨论，不阻断当前签发。
02
受理立案
COMPLETENESS CHECK
检查三项材料；齐全即立案，缺一项一次性退回，不进入裁决。
03
裁决
≤ 14 DAYS
只允许三种结果：维持、修订、新增版本；理由与反例摘要必须公开。
04
公开归档
D44+ / PUBLIC RECORD
归档 rule id、版本差异、影响面和需重算标签清单；旧标签保持原版本。
REQUIRED 01
反例数据
12 字段原始记录、时间戳、批次号；最小可复现样本。
REQUIRED 02
失效场景
规则在什么输入分布下产生错误动作，错误成本是多少。
REQUIRED 03
影响面
受影响的 label_id / decision_id 列表，以及需重算的标签与批次范围。
裁决口径
ONLY THREE OUTCOMES| 结果 | 成立条件 | 版本动作 |
|---|---|---|
维持 | 反例不成立，或影响不足以改变判据 | 归档驳回理由，无版本变更 |
修订 | 判据或参数需调整，但规则语义不变 | 发 MINOR / PATCH；旧标签不重算 |
新增版本 | 涉及不可变项、边界或输出语义变化 | 发 MAJOR；新链 genesis，旧链冻结 |
05
BOUNDARY / 标准边界
与外部标准的关系
引用标准用于对齐术语与证据要求，不用于暗示认证。认证结论只能由认可机构出具。
| 标准 | 我们引用什么 | 不声称什么 |
|---|---|---|
| ISO 14067 | 产品碳足迹的量化框架：功能单位、系统边界、数据质量 | 未获 ISO 14067 认证，不声称符合 |
| PAS 2050 | 生命周期温室气体评估的历史方法参照 | 未声称 PAS 2050 合规 |
| GHG Protocol | 范围 1 / 2 / 3 的划分与双重报告口径 | 不构成企业温室气体清单认证 |
| ISO/IEC 17025 | 计量设备校准与测试能力要求 | 不是认可实验室，不出校准证书 |
| ISO 19011 | 审核方案、证据与审计追溯的参考 | 不是认证审核，不出认证结论 |
关系声明：这些标准是参照系，不是合规包装。我们引用其术语和证据结构，但不声称已获任何认可机构的认证、认可或注册；客户如需认证，应另行委托认可机构，我们提供可复算的数据包，不代替认证机构。
06
CHANGE CONTROL / 变更控制
什么可以改、什么不能改
可变项走版本，不可变项走新链；两者都不是“运营可以悄悄调”。
MUTABLE / 可变
可以改，但必须发版
阈值τ_min、τ_lo 系数、闸门常数；改动只对新决策生效。
样本量每批抽检株数、重复次数。
采样率IoT 上报频率、计量采样窗口。
作物参数品种、褐变基线、生育期参数。
语言标签与决策说明的翻译；语义不得改变。
IMMUTABLE / 不可变
不能改，只能新版本
哈希算法FNV-1a-64 + canonical JSON；改变即失效旧链。
弃权语义四种输出及优先级，不可折叠为二分类。
版本不可追溯旧标签永久指向旧版本，禁止静默重算。
单批次完整性≥ 240 株 / 24h 合并 / 一个采收窗口。
基线共签双签冻结；平台不得单方设定基线。
注意：“样本量”指每批抽检株数，不是 MTH-10 的 240 株批次下限；后者在不可变列。任何变更都必须更新 method_version；旧记录不重算。
变更矩阵
VERSION BUMP RULE| 变更类型 | 版本位 | 旧标签处理 |
|---|---|---|
| 可变参数 | MINOR | 保留，指向旧版本 |
| 不可变项或输出语义 | MAJOR | 冻结；新链 genesis |
| 不改变判据的文本勘误 | PATCH | 保留；不重算 |
07
CLAIM BOUNDARY / 宣称边界
我们拒绝宣称的东西
以下六条是产品边界，不是法律免责声明；销售材料不得删除、改写或弱化。
不称 carbon credit
签发物是基于实测能耗的碳足迹标签与决策记录，不是可交易信用，也不包含额外性论证。
不称 offset
没有基线额外性、泄漏与永久性安排，不用于抵销任何范围的排放。
不称已认证
引用 ISO 14067、PAS 2050、GHG Protocol、ISO/IEC 17025 与 ISO 19011，但未获任何认可机构认证，认证结论只能由认可机构出具。
不预测产量
本层只输出污染判断、驯化就绪与营养雾选择，产量归客户的农艺系统。
不做农药处方
只输出放行、复核或隔离，不给出农药品种、剂量与施用建议，植保决策归有资质人员。
不做品种权判定
谱系字段只用于批次合并与追溯，不用于品种真实性、权属或侵权判断。
MACHINE-READABLE MANIFEST
方法清单
{"method":"CJV-MTH-1.0","hash":"9b12abef","effective":"2026-11-03","rules":12,"applies_to":["jev-decision","carbon-label"],"immutable":["hash","abstain-semantics","version-history","batch-integrity","baseline-cosign"]}
清单用于集成与自动校验；与正文冲突时，以 CJV-MTH-1.0 的不可变规则快照为准。