请关闭浏览器的阅读/畅读/小说模式并且关闭广告屏蔽过滤功能，避免出现内容无法显示或者段落错乱。
众源契的退出槽最初有三把实体钥匙。
一把在本人手里，一把在设备安全席，一把在公共调度席。设计者原本以为三方共同保管最稳妥：本人不能隐瞒设备伤害，机构也不能单独强迫继续，城市遇到危险还有调度入口。
压力测试的第一题便让它失败。
假设志愿者在工位内感到不适，按下停止。设备安全席认为波形正常，公共调度席又正处于水压低谷，两把钥匙可以否决本人一把。所谓共同保管，实际把即时停止变成了多数表决。
供能者席当场拆下另外两把停止钥匙。
本人始终可以即时停止，不需等待、解释或取得第二票。设备也可以在检测到明确伤害时自动停，医修和安全席可以远程触发保护停机。公共调度只能降低或切走相应来源，不能阻止停止。
三方共同决定的不是停，而是恢复。
本人停止后，哪怕只是误触，任何机构都不能替他按回去。要恢复，需本人重新确认本次时段、负荷和价格；设备安全席确认故障已排除；若占用公共接口，调度席再确认承接位置。三项少一项，源号保持失效。
旧技师提出紧急例外：“若一个人误触导致医舱即将断能，等三方确认可能来不及。”
岑照微调出硬线图。医舱不应依赖任何单一可撤来源，储能必须覆盖至少三息重算，水轮与降载在队列里待命。若一名志愿者停止便会立即断医舱，错误发生在调度设计，不是本人退出。
“若储能也坏了？”
“先启用公共应急钥匙，切非必要负荷，调用已经授权的备用源。”
“若全部都坏了？”
“那是城市灾情。”岑照微说，“灾情可以触发限期应急，但不能偷偷把个人停止键改成装饰。”
限期应急另有三钥结构，最长一日、实时数据、成本记录与外部复核，不藏在众源契普通退出槽里。两套机制分开，避免每次负荷波动都被叫成灾情。
第二轮压力测试模拟胁迫。
模拟没有让一个人站在台上表演被逼迫。三名自愿测试者分别选了不同场景，且事先约定任何时候都可终止演练。
第一人面对的是雇主以扣工资威胁继续。他按下普通停止，雇主端收到的只有源号结束，无权冻结已经完成的无争议工钱。第二人模拟家属站在身边查看屏幕，使用静默方式后，系统没有弹出暴露意图的确认框，只在调度端正常归零。第三人担心身体僵住无法操作，提前指定独立医修代理；医修触发停止后，只能结束，不能替他恢复或领取款项。
三次演练暴露一项新问题：若胁迫者控制本人住处和通讯，即使能停，也可能在离开工位后受报复。退出槽于是连接一条可选安全转介。本人可在停止时同时请求临时住处、医疗或独立联络，调度席只知道需要承接，不知道去了哪里。费用先从保险与责任准备支付，后续按实际原因核算。
安全转介不是默认搬走。有人只想停工回家，系统不能为了显得周全强制安置；也不能把拒绝安置解释为不存在胁迫。停止权、证据与生活帮助各自分开。
若本人端钥匙被雇主拿走，系统如何知道按键来自本人？若家属强迫继续，或有人用欠租、欠债、身份担保施压，单纯的掌纹验证也只能证明是他的手，不能证明选择自由。
公议所因此增加静默撤回。
本人可提前设一组只在自己端生效的停止方式：一段无意义的触碰顺序、一次呼吸停顿、向医修发送普通复查请求，或者让指定代理触发。系统收到后只显示本人停止，不公开是哪种方式，避免胁迫者知道如何阻断。
静默撤回不能替本人签新的供能，也不能将报酬转走。指定代理只有停的权限，没有开的权限。本人恢复时必须重新独立确认，旧代理关系也可随时撤销。
一名居民担心有人利用静默方式恶作剧，频繁让公共灯闪烁。财务席答，城市需要为可撤来源配置缓冲，频繁切换产生的合理成本可以进入价格；若存在伪造或破坏，调查具体行为，不能先取消所有人的停止权。
第三轮压力测试针对自动续接。
丁七源号此前因居留关联自行亮起，说明旧后台还有多条复接口。程载春把系统里所有“恢复”“重连”“稳定维护”和“延续服务”字段列出，共二十七处。其中十二处会在源号失效后尝试寻找姓名，九处会沿用最近一次负荷，四处听从衡灯院总复接口令，剩下两处由设备维修模式触发。
每一处都被隔离测试。
隔离并非只把代码标红。二十七处接口分别接上一盏无人的测试灯，阵工轮流模拟到期、伤停、设备故障、断网和灾情。任何一盏在没有新确认时亮起，对应路径就不能进入真实试点。
最初二十七盏中有五盏误亮。三盏来自缓存，一盏来自维修复位，最后一盏竟由旧日夜班交接触发。修正后连续测试一百次，误亮归零；记录仍注明只代表当前环境，不保证未来改动永不出错。
公共许可要求以后每次更新都重做这组“无人灯”测试。安装者不得只说程序没有变化，必须让普通观察员亲眼看见无授权时灯不会亮。
寻找姓名的十二处直接封死；沿用负荷的九处改为归零；维修模式只能开空载检查，不能接入公共灯路；最难处理的是岑照微掌握的总复接口令。
那道口令原本用于大规模故障后恢复城市。只要衡灯院技术首席确认，它能把所有最近稳定源一次拉回。岑照微已经交出单独复接权，但口令仍写在主轮深层，换一个技术首席便可能重新使用。