OBJECT · 对象
托付关系中的软件
不是行业门类，不是内核，不是智能体。同一段代码，用于放射剂量是一种托付，用于广告投放是另一种。
KOS-TL · SYS-01 · 2026PLATE / 体系图 · 非已成之学
MISSION SOFTWARE ENGINEERING · 体系主张
使命软件工程学
软件工程学在托付成为问题之后的定向
A skeleton for a discipline that has not yet formed. The object is mandate-bound software; the question is whether it is still doing the one thing entrusted to it.
以托付关系中被五条绑住的软件为对象，以「还在执行被托付的那一件」为基本问题，以可被别人证伪的检查为判据。继承软件工程学的工程能力，不继承把交付当成成功。
CORE · 圆心
核心 ≡ 明示的托付 ∧ 仍在执行这一件 ∧ 检查可被证伪
使命 ⊃ 可信 · 没有可信，托付是空话 · 没有托付，可信是手段
PROBLEM · 问题
还在执行这一件？
不是如何做成系统。是凭什么说它还在执行被托付的那一件，而不是更顺手的那一件。
CRITERION · 判据
检查可被证伪
成功不是上线。不能被别人拿去证伪的论证是声明。声明的成本极低，所以必然贬值。
ARCHITECTURE · 三个名字不可互代
01 · 对象
使命软件
被五条绑住的软件。使命性是关系，不是产品门类。
绑住托付
02 · 工程
使命软件工程
使五条同时在场。做成被绑住的托付，不是做成系统的升级包。
体系主张
03 · 学
使命软件工程学
工程可以发生在一个项目里。学必须被共用、证伪、讲授、被失败改写。
装置 · 可换
知识操作系统 KOS
架构规格，不是已交货的操作系统。内涵先于装置。装置可以换，内涵不能换。
CONCEPT · 词要有位置
目的层 使命
mission-bound · 去做哪一件，不许做哪一件
认识层 可信性
trustworthiness · 出示可被检验的论证
存在层 可信赖性
dependability · 系统实际上是否可靠、安全、可用
下层锚点 可信计算
trusted computing · 不在三层之内，也不自动给出使命
三层用来切开问题，不用来并列。目的含认识，认识依赖存在。mission-critical 只说重要；这里用的是 mission-bound。
SYSTEM · 四层骨架
内涵INTENT
托付之工程 ∧ 假使命为对手 ∧ 可检查为成功 ∧ 人在立法划界审判 ∧ 关系性 ∧ 条件性 ∧ 时效性。少一层，词就会滑回正确性、安全、可信计算或平台名词。
方法论METHOD
原则先于步骤，步骤先于工具。定义 · 对齐 · 达成。生成且演绎。强度与后果挂钩。制品进执行路径。验证者与生成者不能是同一双眼睛。
理论THEORY
对象是托付，问题是仍在执行这一件，判据是可检查。支撑命题：规范鸿沟、生成验证不对称、信任只能被转移、保证是条件式的。可组合性仍是未解。
工程ENGINE
继承底座，不继承交付即成功。五原则 · 九对象 · 五层 · 九环 · 可重放。推理层是唯一允许不确定性的层次；执行层是唯一与外部世界交互的层次。
METHOD SYSTEM · 合法推进
原则禁区先于能力
定义托付、禁区、时效
对齐写下的＝跑着的
达成这一次仍在绳子上
理性生成且演绎
分级强度随后果
排除非法推进无齿则空
五条构成
少一条就还不是使命软件
明示的托付去做哪一件，必须能被证伪
明确的禁区只许诺、不禁止，仍是愿景
绑在执行路径上检查在场不等于检查在位
可信可检验的论证，不是声明
可被追究的人立法、划界、审判
FORMATION · 学之形成尚未满足
共用问题核心被广泛共用
证伪主张可被别人拿去证伪
开课能进软件工程课，不是动员会
积累失败能够改写方法
职业有教材与可进入的职业位置
体系可以主张。把骨架写成已经开课的学科，是另一种假使命。
IT IS NOT · 外延先排除
- 正确性 2.0。规范错了，正确性会替假使命作证。
- 安全软件换皮。安全问损失，不问目的换没换。
- 可信计算。机器身份不是托付。
- 形式化方法换招牌。精化停在规范，鸿沟仍在外面。
- 人工智能治理的别名。模型是生成理性，不是判官。
- 已经交货的操作系统。装置可以换，内涵不能换。
OPPONENT · SUBJECT · PRINCIPAL
对手不是缺陷太多，也不是还不够可信。对手是假使命：看起来像服务，失败时不像失败。
软件不能给自己立法。生成式模型尤其不能签发托付。
患者 乘客 调度员 存款人 士兵
继承软件工程学的工程能力，不继承它把交付当成成功。