王建军拎着一只保温饭桶来到星辰，问自己为什么成了骗子。
他四十来岁，穿旧军大衣，眉毛上还沾着雪。饭桶用蓝布套包着，一路被他攥得很紧。进门后，他没有坐，也不喝水，把一张模拟试付拒绝通知拍在桌上。
通知写得很克制：参与人未通过风险检查，本次指令暂停，请联系试验人员。
可华北技术资料服务部的业务员转达时，只说了一句：“你在黑名单里。”
“我做了十七年采购，”王建军说，“欠过谁的钱？骗过谁的货？今天我爱人在医院等饭，我请两小时假来问。你们要是有证据，拿出来。”
陈维明正要解释这只是封闭试验，苏雨桐先请王建军坐下。对方仍站着，饭桶里的汤轻轻晃，发出水撞金属的声音。
“我们先查触发原因。”她说，“通知不应该让别人告诉你结论。二十分钟内给第一次答复。如果查不清，明确下一次时间。”
王建军看了一眼墙上的钟：“我十一点半得走。”
小郭从不联网的模拟机调出记录。王建军代表一家仪器厂参与一百笔小额试付前的账户验证。他的姓名与合作客户提供的一份争议人员表完全相同，规则因此自动暂停。
表上也只有姓名。
没有单位，没有证件号码，没有争议日期，甚至没有说明那位“王建军”究竟是欠款、退票还是仅被某个业务员投诉。
“谁给的表？”马飞问。
陈维明承认，是一位老客户听说星辰要做付款试验，主动提供的“业内信用资料”。共七十三个名字，客户保证都是有问题的人。
“你导进系统了？”
“只是测试。做风控总得有坏样本。”
“来源核过吗？”
“都是熟人做生意多年积累的。”
“熟人不是证据来源。”苏雨桐说。
陈维明的脸也沉下来：“我想帮项目少吃亏。你以为骗子会主动签字承认？”
“所以更不能只凭名字。”
王建军听明白了。他与名单上的人可能只是同名，却已经被系统和转述一起变成“骗子”。他气得把通知揉成一团，问星辰是不是还把这个结论发给了别的公司。
“没有。”马飞说，“名单只在离线试验里，尚未用于真实交易，也没有对外发送。但参与客户的一名业务员用了错误说法，我们会更正。”
“你说没发，我怎么知道？”
这个问题比同名本身更难。星辰要求别人相信自己的内部边界，却没有给被判断的人任何查看和纠正途径。
苏雨桐把模拟机屏幕转向王建军，让他看见触发项与访问记录。她没有展示名单上其他人的名字，只说明这一条仅含同名，无法确认属于他。随后，她在纸上写出处理：本次自动暂停撤销；同名记录不再作为拒绝依据；向华北资料部发更正；原错误不删除，标记为误判；王建军可以获得与本人有关的处理副本。
“谁保证以后不会再来？”王建军问。
“不能保证没有误报。”她说，“能保证不把自动命中直接当定罪，有人复核，有申诉入口，有期限，也能追到使用了哪条资料。”
王建军盯着她，怒气没有立刻消。他最终坐下，把饭桶放在脚边。大衣敞开后，露出里面洗得发白的工作服。
“我爱人做手术，厂里同意让我参加试付，是因为以后买材料不用总跑银行。”他说，“现在还没付钱，就先把我名字挂黑。你们这方便，是方便谁？”
屋里没有人能轻松回答。
所谓风控很容易从公司视角出发：少损失、少争议、少承担责任。每拒绝一个可疑人，统计上似乎多一分安全。可对被拒绝的人而言，他需要请假、坐车、解释自己的清白，甚至可能在单位留下不可信的印象。系统节省的成本，被悄悄转移到他身上。
“今天耽误的车费和工时，我们按试验约定补。”马飞说。
“我不是来要十块钱。”
“我知道。更正也会做。但这是我们的误判成本，不该由你一个人付。”
王建军没有再拒绝。他看时间已近十一点，起身要走。苏雨桐从抽屉里拿出牡丹保温瓶，把公司早上烧的热水灌进他的饭桶外层保温槽。原来的水已经凉了。
“医院远吗？”她问。
“三站车，再走十分钟。”
“现在走赶得上。”
王建军接过饭桶，动作慢了一点。临出门，他回头说：“名单上那个人如果真欠钱，也该把事情写清楚。不能只剩个名字。”
这句话被写到风险规则第一页。
下午，华北资料部那名业务员来道歉。他说“黑名单”三个字是图省事，没想到王建军会直接找上门。高经理在电话里训了他半小时，又要求星辰别因为一次误判就把所有风险规则撤掉。
“当然不撤。”苏雨桐说，“撤掉规则和迷信规则，都是逃避判断。”
七十三人名单被立即停用。陈维明起初很难接受。他为了得到这份资料，请了客户两顿饭，还答应以后提供行业查询趋势。如今纸上内容不能用，之前的交换也暴露了另一个问题：他差点拿星辰的数据规则做口头人情。
“我没给个人查询。”他说。
“但你承诺之前问过吗？”马飞问。
“只是行业趋势。”
“可以做匿名汇总，也要先定义范围和最低样本，不能一句趋势就什么都给。”
陈维明坐在锦旗下面，许久没说话。他擅长在不完整信息里建立关系，这曾帮星辰拿到第一笔客户与资金。现在公司进入支付领域，同一种本领若没有边界，也可能把未经核验的名单、口头承诺和私下交换带进系统。
“两顿饭算我个人交学费。”他说，“不报销。”
“饭不是核心。”苏雨桐说，“以后任何外部风险资料要登记来源、用途、可纠正方式和使用期限。没有这些，不进规则。”
星辰重新设计风险处理。
自动规则只能做三种动作：提示、增加验证、短时暂停。永久拒绝必须有可说明的事实与人工复核。通知不得只写“未通过风险检查”，至少要告诉参与人是哪类信息触发、他能提供什么材料、谁在何时答复。
对于无法披露他人隐私或调查细节的情况，也不能编造理由，只能明确可披露范围与复核路径。
苏雨桐又建立两张表。一张统计漏过的风险，一张统计被错误拦住的正常人。陈维明问为什么给“误伤”单独做指标，她说如果只统计损失，最容易得到零损失的办法就是拒绝所有人。
“那肯定安全。”小郭说。
“也肯定没有支付。”
当天晚上下起大雪。公交停得早，马飞和苏雨桐步行送更正通知到华北资料部。路面积雪被踩成黑泥，鞋很快湿透。高经理已经下班，值班的老杜替他们收件，又从煤炉上拿两只烤馒头让他们带走。
“王建军爱人手术怎么样？”苏雨桐问。
“顺利。”老杜说，“他下午回厂还被人问，是不是欠钱上了黑名单。气得差点跟业务员打起来。”
更正来得再快，也追不上流言。
马飞让老杜次日开早会时公开说明是星辰同名误判，与王建军信用无关；书面通知同时交给仪器厂。老杜答应了，说这事不能只让年轻业务员私下道歉。
回程没有公交，两人沿着结冰的人行道慢慢走。苏雨桐把一个烤馒头掰开，里面没有馅，只在表面抹了一点盐水。她把较热的一半递给马飞。
“我们今天解释清楚了吗？”他问。
“在系统里清楚了。”
“人嘴里呢？”
“慢得多。”
路灯把两人的影子拉得很长。自动规则只用了一瞬间就把一个人挡在门外，恢复他的名字却要电话、书面更正、当面说明和第二天的公开澄清。
这份不对称不会因为算法更聪明就自动消失。
一周后，王建军重新参加模拟。他用自己的身份提交一笔六百元付款，规则没有因同名拦截。另一项金额变化过大的测试则被暂停，并清楚显示需要补充采购单。
他完成后没有夸系统，只说：“这次知道为什么等。”
对星辰而言，这已经足够重要。
黑名单没有被改成白名单。那种简单的颜色划分被彻底取消。取而代之的是来源、事实、置信、期限、复核与申诉。
系统仍会拒绝人，也仍可能犯错。
但从王建军拎着饭桶走进办公室那天起，星辰不能再把一个命中的名字当成完整的人，更不能让任何自动判断在无人负责的情况下变成社会判决。