；总急停加透明护罩和触觉标记，掀开时会以声音、震动和图形同时提示影响范围。不会读字的人也能知道将停几项。

    安全区门锁从总急停线路剥离，改为失压时保持可手动开启；医疗冲洗水增加一只不受总断流器影响的重力储罐，只够十五分钟急救。停主系统不再等于切掉最后救命余量。

    赵川参与测试，但可以随时退出。他先拉注射臂局部绳，只停眼前机械臂；再在罗婶陪同下掀总急停护罩，听完八项影响后选择放下，没有真的按。

    理解范围本身也是有效测试，不必每个人制造一次事故。

    第三台泵无法现场复原。唐雀发现它的叶轮可拆给另外两台作备件，方砚接受，明确把“恢复三台”目标降为“两台稳定＋一套备用叶轮”。不为iii评级修一台必坏设备。

    系统复核局部停止与总急停，要求满载测试。二十名能表达的使用者分组参加，身份待查者可以只观察。测试中，一条局部拉绳卡涩，第二次返工；第三轮全部在规定距离停止。

    赵川没有参加第三轮。第二轮后他明确表示今天不再接近红柄，罗婶接受退出，换另一名使用者测试触觉提示。不能以“修正错误”为名强迫当事人反复经历恐惧。

    【停止范围：可识别。】

    【移动工位iii级资格恢复。】

    资格恢复时，赵川没有被从代表记录里删除，也没有被写成事故罪人。他主动选择暂停加入公修约一天，保留安全区使用者身份。

    实体代价仍在：第三台泵永久报废，备用能力从三降为二，八份净水用于急救与清洗。即使制度回修通过，这些损失不会由评级恢复自动返还。

    加入可以撤回，不影响继续喝水和避热。

    这一点比重新升回iii更重要。

    多方维护模式没有证明一群人永远比一个人正确。它只证明犯错后，能把错误拆开、允许受影响者停止、让责任不集中压到最弱的人身上，再带着一台永久损坏的泵继续工作。

    外层窄路的七日试运行还在计时。

    陈默决定进入故障区的人数不超过五个。安全区必须留下技术与生活两套轮值：石同负责冷却复核，罗婶继续代表使用者，唐雀只观察泵，岑野留在她身边做文字与报码转换。

    前行者是陈默、沈青璃、周七、方砚和卫寒声。

    卫寒声不算同伴，只因窄路尽头的巡禁司原档需要他的剩余权限。

    出发前，罗婶把总急停红柄交给赵川看了一眼，再挂回公共记录板。

    没人因为他曾按错，就把红柄藏到只有工程师够得着的地方。

    赵川自己复盘了误停前后的视线：红柄旁只有“紧急”两字，没有标明会同时切断哪三条支路。方砚给每条支路加机械状态旗，唐雀用不同敲击声对应泵、照明和运输。改完后由另一个不识字的人重新试按，确认不用猜也能知道后果。

    错误没有消失，却从“某个人不可靠”变成一处能够被重新设计的界面。

    系统事故摘要试图自动生成“误停一次”。罗婶将它改成“总急停范围设计错误，使用者成功触发”。同一场事故换了主语，未来看到记录的人才不会只学会防赵川。

    赵川仍能看见那只红柄。下次是否按下，靠的不是羞耻，而是他已经知道每条支路会发生什么。