第三部分 — 信任层的九项原则

原则三 — 每个工件都有地址

在一条可审计的流水线中，原子单位不是文件，而是工件：工作所产生的任何不可变产物——数据集、图形、表格、报告、日志、清单。这条原则陈述起来很简单：每个工件都有身份、有谱系、有归宿。

身份意味着内容寻址。工件的名称派生自其内容的哈希，就像指纹派生自一个人。相同的内容，相同的地址，在任何地方，永远如此。不同的内容，不同的地址——自动如此，不需要任何委员会来命名。

谱系意味着每个工件记录自己的父辈：输入数据快照、规格版本、代码版本、运行环境、它所消费的父工件。这些边的集合构成一张有向图——流水线的真实历史，由流水线自己书写。

归宿意味着工件存放在一个可寻址且持久的存储中，因此 "第 42 次运行的输出"不是某个人维护的文件夹，而是系统可以回答的一次查询。

寻址带来了什么

从这一条原则中自然涌现的性质，与其成本完全不成比例。

完整性是结构性的。 两个声称同一地址的工件必须逐字节相同；若不相同，其中之一必在撒谎，而哈希无需争辩便指出这一点。损坏、截断、静默的部分写入——共享磁盘上的瘟疫—— 从依赖抽查才能发现，变成在构造上即可检测。

去重是免费的。 输入不变的重渲染产生不变的地址，这意味着系统能认出"这个结果我们已经算过了"，而不是重新计算。缓存正确性——在分布式系统中通常是个难题——在这里变成了同义反复。

溯源是一次遍历。 "这个数字是从哪里来的？"是沿谱系图向上的一次行走；"这份快照影响了什么？"是向下的一次行走。影响分析——每次数据更正的噩梦——变成了一次有确定答案的查询。

重放是机械性的。 因为图谱精确记录了哪些父辈产生了哪个子代，复现就不再是根据文档进行的重建，而是沿已记录的边重新执行。这正是信任层的重放职责所立足的地基。

内容寻址有一种人类常常觉得不舒服的诚实。它无法被谈判。一个工件要么是它声称的东西，要么不是，不存在"差不多就行" 的版本。因此，采用它的团队必须无例外地接受两条规则：

不允许无地址的侧门。 如果结果可以通过任何绕过存储的路径到达消费方——邮件附件、文件夹拷贝、一次"快速导出"—— 图谱就会静默地停止描述现实，而建立在它之上的一切都会继承这个谎言。地址系统必须是唯一的出路。
时间戳是语境，不是身份。 一个数字何时产生很重要，但绝不能影响它的身份。内容才是身份；时间只是元数据。混淆这两者的系统，每天午夜都会凭空发明一个新工件，并亲手毁掉自己的去重能力。

一个有用心智模型：工件图谱就是流水线的复式记账。每一笔借项(被消费的父辈)和贷项(被创建的子代)，都在发生的那一刻，由行为者自己记录。账簿自己就能轧平，事后无法作假——而且，与审计师的账簿不同，它们从不是凭记忆补写的。

检验。 任选你最新报告中的一张图，问："有没有一个我可以引用的字符串，能精确命名这个工件的内容？系统能否从它出发，走到产生它的每一个输入？" 如果你能拿到的最好标识符是一个带日期的文件名，那你的流水线没有记忆。它只有纪念品。