摘要

  • 6月26日的正式公报足以证明接管人宣布撤销整个选举程序，也足以证明其公开给出的理由是据报存在违规情形；但它本身不能证明欺诈、受影响选票的身份或数量、计票是否完成、是否存在可认证的票数结果、任何胜者或差额，更不能自动证明较窄的补救都不可行。
  • 全面撤销不是“谨慎”二字的自然同义词。它把一处尚未公开界定的不确定性扩展为所有参与状态、所有席位与整个流程共同承担的后果，因此需要一条能够从缺陷类别通向救济范围的公开推理链。
  • 较窄措施只能作为分析上的比较项，而不是对本案事实或法律的裁断：先保全证据、冻结争议状态、隔离可能受影响的凭证或选票集合、重建受影响阶段、在可能时逐席检验结果实质性、重做不可分离阶段或受影响竞逐，最后才是在记录证明缺陷系统性或不可分时重启全程。
  • 对全面撤销最有力、也最善意的解释是：共同选民名册、资格凭证、保管链或计票环节受到的影响无法可靠拆分，继续认证反而可能固化一个无法重建的结果；若重建又会破坏秘密投票或个人信息，重新开始可能是不平等程度最低的处理。现有公开记录既没有证明，也没有排除这种可能。
  • AFRINIC是私人成员制技术注册机构，是记录维护者、服务提供者与协调者，不是国家。接管人的法院关联身份使其行为连接到可执行法律，却不能免除对具体权限来源、决定理由、审查路径、证据保全与恢复普通成员治理的说明责任。

三天，足以作出决定，却不足以替代理由

6月23日与6月26日之间，只有一个很短的日历间隔。这个间隔容易诱使叙事滑向两个相反方向：一种说法把迅速行动本身当成负责任的证明，仿佛速度越快，风险判断就越可靠；另一种说法把迅速行动当成可疑动机的暗示，仿佛短时间内作出的决定必然轻率。两种说法都越过了证据。时间可以提示我们应该追问什么，却不能替我们回答。

可以确认的事实很有限，也很清楚。23日举行了董事会选举。26日，接管人宣布整个2025年董事会选举程序作废，公开理由是据报存在违规情形。无法确认的部分同样重要：投诉文件没有出现在可供检验的记录中，计票处于什么状态没有被说明，支持这一救济选择的法律意见也没有被提供。我们因而不知道计票是否完成，不知道是否出现过临时结果，不知道程序上是否已经具备认证条件，也不知道任何疑点触及多少凭证、选票或席位。

这种“不知道”不应被加工成指控。它既不能证明有人实施欺诈，也不能证明某张选票无效；既不能推出某候选人获胜，也不能推出任何差额被改变。它真正造成的分析困难是：公众看得见决定的终点，却看不见从所报问题走向整场归零的中间桥梁。制度判断恰恰发生在这座桥上。

一项局部隔离措施只影响被识别为有争议的状态；全面撤销则影响每一名未被指明有问题的参与者。两者不是语气强弱的差别，而是负担分配的差别。前者要求决定者说明为什么某部分能够被可靠分开，后者要求决定者说明为什么任何可靠分开都做不到。只公布“存在违规情形”而不公布这一范围判断，等于公布了触发词，却没有公布救济算法。

公报证明了动作，不证明动作的必然性

正式公报在证据上有不可替代的价值。它把日期、宣布者、制度动作与所述理由固定下来，使讨论不必依赖传闻。接管人宣布了整场撤销；所述理由是据报存在违规情形。这是坚实的起点。

但官方材料的证明力有边界。机构能够证明自己说过什么、做过什么，不能仅凭自己的声明证明这项行为已经满足所有合法性、必要性或比例性要求。否则，任何组织只要发布一份公报，便可以用“我已经决定”同时证明“我有权如此决定”“我有充分事实如此决定”和“没有更小侵害的选择”。那会把记录变成结论，把结论变成授权，再把授权变成自我循环。

所以，至少要把三个问题拆开。第一个是事实问题：发生了什么被报告的缺陷，它位于流程哪一阶段？第二个是救济问题：这一缺陷能否隔离、能否重建、是否可能改变某一席位的结果？第三个是权限问题：谁根据哪一项公司或法院关联权限作出什么范围的决定，谁可以复核？公报明确回答了“采取了何种动作”，却没有在可见记录中完整回答上述三个问题。

这不是说公报不可信，也不是说撤销一定不必要。恰恰相反，严肃对待公报，就应当精确限定它能证明的内容。它证明了正式制度行动，而不是所有潜在前提。把这两个层次混为一谈，既会夸大机构陈述，也会损害决定本身获得理解与服从的机会。

救济范围本身就是一个事实主张

当一个决定只冻结一项凭证时，它隐含的事实主张是：疑点可以被定位，其他部分暂时不必受牵连。当一个决定撤销整场程序时，它隐含着更强的事实主张：疑点不是可安全切下的一小块，或者剩余记录已不足以支撑可靠结果。范围越大，所需支撑就越具体。

这就是比例救济的核心。它不要求决定者总选最轻的动作，也不承诺每个缺陷都能被外科手术式地切除。它要求救济负担与已识别问题的范围相连，并要求当决定者跨过较窄选项、选择全局性后果时，留下为什么跨过的记录。比例性不是温和偏好，而是一种可核查的连接方式。

全面撤销把未知的局部范围转换成已知的整体后果。无论某名成员的参与是否受到任何争议，无论某一席位是否可能受影响，原有程序状态都不再向认证方向推进。这里不能预设每个参与者拥有何种法律权利，也不能预设任何人的投票已经形成可执行结果；但可以说，未受指明的参与劳动、尽调安排与制度期待一并被重置。这一负担需要理由，不因为它难以量化就不存在。

反过来，狭窄救济也不是免费的。隔离错误对象可能让真正的系统性问题继续扩散；重建失败可能制造虚假的确定性；逐席判断在共同输入已受影响时，可能只是把同一不可靠基础分装成多个看似精细的结论。因此，比例性检验不能把“较窄”机械等同于“较好”。它必须先问：较窄是否可靠，是否平等，是否会伤害秘密性，是否能在现有记录上完成。

一架救济梯，而不是一把预设答案的尺

理解整场撤销，可以先把可想象的应对方式排列成一架由窄到宽的救济梯。它不是对本案可用法律工具的清单，也不是事后替接管人下结论；它只是帮助公众看见，每向上一阶扩大范围，都需要新增的事实理由。

最低的一阶是保全。收到问题报告后，首先固定现有材料，避免凭证状态、选票载体、访问记录或相关流程记录继续变化。保全并不预判任何投诉成立，它只确保之后还有东西可检验。与保全相伴的可以是有限冻结：暂时冻结被指为争议的状态，而不是立即让整个程序永久失效。这里的关键是“暂时”和“有限”，因为冻结是为了让事实调查成为可能，不是用一个未解释的暂停替代最终决定。

第二阶是隔离。如果问题可以被界定为某一凭证或某组不能与其他状态混同的选票，决定者可以检验这部分是否能独立审查，同时保持其他记录不变。必须强调，这只是一种比较情景。现有材料没有告诉我们争议对象是什么，也没有证明它可被隔离。隔离之所以重要，是因为全面撤销的必要性很大程度取决于隔离为什么失败。

第三阶是重建受影响阶段。缺陷可能不落在单个对象，而落在资格核验、凭证发放、保管或计票的某个共同环节。若该环节有完整、相互核对的记录，或许可以在不暴露秘密内容的条件下重新执行核对；若记录之间不能可靠对应，重建就可能失去基础。决定记录不必披露私人材料，却应说明重建是否尝试、依靠何类记录、在哪一个可信性门槛上失败。

第四阶是在可能时检验结果实质性。这里绝不能编造票数或差额。所谓实质性检验，只是询问：即使假定最不利的争议状态，它是否可能改变某一席位的结果？若无法知道计票状态，或者共同输入本身不可依赖，这个检验可能无法进行。无法进行也是一个可说明的结论，前提是说明为什么，而不是让“不确定”自动变成“整场必须重来”。

第五阶是重做不可分离的阶段或受影响的竞逐。如果一个环节确实无法修复，但其他阶段仍有独立可信基础，范围可以停在那个不可分的阶段；如果只有某一席位的竞逐可能受到实质影响，也可以把重做范围与该竞逐相连。我们不知道这些办法在6月26日是否依法可用、操作上安全或事实充分，因此不能断言当时应当采用。它们的价值是迫使全面撤销的理由回答：为什么边界不能画在这里？

最高一阶才是全程撤销。当共同选民基础、凭证系统、保管链或计票过程受到的影响无法分离，任何局部修复都会依赖同一个不可靠输入，整场重启可能是最公平的选择。全面撤销因此不是禁区，也不是必然越权；它是一项需要最高强度范围说明的救济。

可分离性：问题能否被画出边界

“可分离”听起来像技术术语，实际是很直观的制度问题：把被怀疑的部分拿开后，剩下的记录是否仍能独立说明自己可靠？若答案是肯定的，全面撤销就需要解释为什么仍有必要；若答案是否定的，决定者应说明不可分离发生在哪里。

可分离性至少有四个层面。第一是对象层面：某项凭证、某组状态或某一竞逐能否被识别，而不会把其他参与者一并卷入。第二是阶段层面：资格、凭证、保管、计票等过程是否有清楚接点，使一个环节可以重做而不污染其他环节。第三是证据层面：记录是否足以把前后状态相互核验，而不要求公开秘密选票或个人数据。第四是结果层面：被隔离的问题是否可能改变某一席位的结果。

四个层面不一定得出同一答案。对象或许可以识别，但其状态已经进入一个共同汇总过程，因而难以从结果中拆出；阶段或许可以重做，但重做会破坏参与者之间的同等条件；证据或许足够确认发生了程序偏差，却不足以恢复一个可信结果。正因为存在这些组合，公开说明不应只有“可分”或“不可分”两个标签，而应指出在哪一层、基于何种证据类型得出结论。

这也解释了为什么不能从“据报存在违规情形”直接跳到“整场撤销”。“违规”描述的是与某项规则不一致的可能状态；“不可分离”描述的是该状态与其他流程部分之间的关系。前者不会自动包含后者。决定者需要作出并记录这一步关系判断。

结果实质性：没有数字，也可以把问题问准确

谈论选举救济时，人们很容易被票数吸引。但这里没有可供使用的票数、差额、胜者或完成计票的事实。负责任的分析不能用想象出来的数字填补空白，也不能暗示某个结果已经存在。我们仍然可以解释，结果实质性检验在制度上要解决什么。

它问的不是“发生的问题是否令人不安”，而是“即使问题成立，它在多大范围内可能改变可认证结果”。若一个争议状态不可能触及某一席位，其救济未必需要覆盖该席位；若共同环节使任何席位都无法可靠评估，则逐席测试可能失去意义。两种情况都需要依据，而不是态度。

实质性也不是唯一标准。有些缺陷即使无法证明改变结果，也可能触及平等参与或秘密性，使简单忽略并不合适。但这不意味着范围判断可以消失。决定者仍需解释，为什么某种制度损害只能由全面重启修复，为什么保全、隔离或阶段重做不足以恢复平等。

当计票状态本身未知，公开记录可以诚实地说：无法进行结果实质性检验。这样的说明并不软弱。相反，它把决定建立在真实的信息限制上，同时进一步回答：为何这种无法检验是共同性的，而非仅限于某一部分；为何无法检验使认证风险不可接受；为何其他重建方式不能降低这种风险。准确承认不知道，比用笼统严重性替代分析更有制度力量。

重建不是重演，更不是凭空复原

重建的目的，是利用已经存在且可核验的记录恢复流程关系，不是根据希望得到的结果重新讲一个故事。它与全面重来不同：重建尽可能保存未受影响状态，全程重启则放弃原程序整体的继续效力。是否能够重建，因而是二者之间最重要的分水岭之一。

一份合格的决定记录应说明：哪些阶段仍有稳定记录；哪些记录由谁保管；不同记录之间是否能交叉核对；重建是否会泄露秘密内容或个人信息；重建后是否还能保持参与者的同等地位。如果某个关键接点缺失，导致任何重建都只能猜测，那么放弃重建可能完全合理。但公众需要知道失败的是哪个接点，而不是只得到“风险太高”的抽象结论。

同样，重建不应被浪漫化为万能的较轻手段。如果底层共同输入已不可靠，再精致的复核也可能只是在重复不可靠状态。比例救济要求认真考虑较窄措施，不要求假装它们一定成功。记录的价值在于让“考虑过并有理由排除”与“从未说明是否考虑”成为两种可区分的制度状态。

在这一点上，保全先于重建。没有完整保存的材料，后来很难知道重建为何失败，也难以让复核者区分真正不可分与事后不可查。证据保全不是对任何人的有罪推定，而是对未来可解释性的最低投资。它还应当与明确的保管责任、访问边界和状态记录相连，避免“已保全”成为另一个无法检验的口号。

为全面撤销提出最强的善意解释

严肃的比例分析必须面对全面撤销最有力的理由，而不是只挑一个最容易反驳的版本。这个最强版本可以这样表述：所报问题也许触及所有参与者共同依赖的输入或环节，例如共同的选民基础、资格凭证系统、保管过程或计票阶段；问题也许已经深到无法确认个别状态与其后续影响，任何隔离都会带着同一个不可靠前提继续前进。

在这种情形中，允许程序走向认证可能把不可重建的不确定性固化成正式结果。逐项公开证据又可能暴露投诉人身份、个人资料、凭证信息或秘密选票。重建如果不能同时保护秘密性与平等待遇，就可能为了保存旧流程而制造新的不公平。此时，拒绝认证并重新开始，可能不是最严厉的选择，而是各参与者受到相同处理、最少偏袒任何一方的选择。

这个解释完全值得认真对待。它没有指控任何人，也不依赖一个想象的票数。但它仍然只是一种可能。现有公开材料没有证明共同输入确实受影响，也没有证明可靠隔离或重建确实不可能；同样，现有材料也没有排除这些情况。分析的边界必须同时保留两面。

善意解释不能自我证明，是因为任何全局性救济都能事后用“也许系统性”来辩护。如果仅有可能性就足够，那么比例检验永远不会真正发生。所需的不是披露所有敏感材料，而是一份能在保护隐私的同时确认判断结构的记录：缺陷属于哪一类，位于哪个阶段，谁保管证据，做过什么可分离测试，为什么重建失败，何种实质性判断可做或不可做，哪些较窄措施被排除，以及谁依据什么权限作出最后选择。

隐私不是沉默的许可证

选举相关材料可能包含受保护的投诉、身份、凭证与选票。公开讨论必须承认这个边界。要求解释不等于要求公布姓名，不等于要求展示选票，也不等于要求让私人凭证进入公共领域。一个制度如果为了证明透明而破坏秘密性，便以另一种损害替代原有风险。

然而，隐私保护与公开理由不是非此即彼。决定者可以描述缺陷类别而不描述当事人，可以说明受影响阶段而不披露凭证内容，可以记录可分离测试的结论与方法而不公布单张选票，可以说明为什么无法做结果实质性检验而不透露票数。还可以公开证据由何种职能保管、是否已冻结、谁有受控访问、何时可由适格复核者检查。

一份隐私安全的说明采用“结构披露”而非“原始材料倾倒”。结构披露告诉成员：决定所依赖的事实位于何处，判断经过哪些门槛，哪个门槛导致救济扩大，以及怎样挑战或复核。原始材料仍留在受保护边界内。这样既避免让隐私成为遮蔽全部推理的幕布，也避免让公开压力侵蚀秘密投票与个人资料。

真正困难的情况是，即使描述缺陷类别也可能间接识别个人。此时说明可以更抽象，却仍应保留程序骨架。例如，它可以不写明受影响对象，却写明问题发生在资格核验而非计票；可以不公布数量，却说明是否足以进行逐席实质性检验；可以不披露法律意见全文，却标明决定所依赖的公司或法院权限类型和可复核路径。越需要隐去事实细节，越应该完整公开判断程序。

未受争议者为何也是原则上的当事人

全面撤销的特别之处，在于它不只处理被报告的问题，也重新安排所有没有被公开指明存在问题的参与状态。这里不应夸大为已证明的财产损失或权利剥夺。公开材料没有量化费用、时间、延迟或参与率，也没有证明任何个人遭受特定损害。但制度负担仍可被清楚描述。

成员为参加一项公司治理程序需要作出注意、判断与安排。候选人、投票者和其他参与者依赖流程规则来决定何时行动。整场撤销意味着这些参与状态不再继续通往原定的认证路径，并可能需要在新的程序中重新投入。是否发生了某种具体费用无法从现有记录判断；可以确定的是，救济把重新参与与持续不确定性的风险分配给了全部相关成员。

这正是比例说明需要把“谁承担后果”列入考虑的原因。若缺陷确实不可分，所有人共同重来或许是最平等的负担分配；若缺陷可以可靠隔离，让所有人归零就可能超过修复所需。无论答案是哪一个，未受争议者都不是背景。他们是范围选择所直接影响的主体。

成员也不是抽象的“共同体意志”。私人成员组织可以通过规则形成内部决定，但成员之间可能有不同利益和判断。不能用一个宽泛的“社区需要”替代具体的授权与理由，也不能把参与内部治理提升为行使公共主权。清楚区分成员、机构、接管人和受影响运营者，才能看见谁作决定、谁承担成本、谁有资格请求复核。

网络运营者承担的是连续性不确定性，不是已证明的技术事故

依赖稳定注册服务的网络运营者也是这项制度决定的利益相关者，但必须准确描述其处境。没有证据显示这次撤销造成了中断、路由变化、注册记录改变、编号资源损失或RPKI变化，也没有可用材料量化任何经济损害。把治理争议直接写成技术灾难，会制造一个并未发生在记录中的故事。

真正可信的关切是制度可预测性。一个技术注册机构的治理安排若处于不确定状态，运营者会关注核心登记与服务职能是否能同治理救济隔离，临时控制何时结束，普通治理何时恢复，以及未来决定能否被稳定解释。这些是连续性风险，不是事故报告。

因此，全面撤销的说明还应明确技术账本与公司选举救济之间的边界。董事会选举出现争议，不应让人误以为互联网号码记录本身变成政治授予物；技术登记连续运作，也不应被用来证明公司治理决定天然正确。两种现实同时存在，却处于不同层次：一边是窄而重要的记录维护与协调，另一边是私人成员公司的内部治理。

如果决定记录能够写明治理措施的范围、持续时间、复核与交还路径，它就能减少运营者面对的制度不确定性，而无需夸张任何已实现损害。可预测性来自边界明确，不来自把机构描绘得无所不能。

AFRINIC不是国家，重要性也不会把它变成国家

AFRINIC是私人成员制技术注册机构，是记录维护者、服务提供者与协调者。它拥有零主权权力、零立法权力、零监管权力、零警察权力、零检控权力、零惩罚权力、零没收权力，也拥有零公法裁判权力。这个界定不是贬低其服务的重要性，而是把机构放回正确的法律与现实层次。

一个记录维护者可以掌管极其重要的记录，一个协调者的决定可以产生广泛实际影响，一个成员制公司也可以制定董事会选举规则。但重要性、影响力与内部规则都不会自行生成国家权力。技术基础设施的关键地位不是主权来源，成员参与也不是公共立法授权。

这种区分可称为“记账者边界”。账本需要准确、连续且可复核；服务需要稳定；协调需要可信。但当记账者开始以无边界的公共权威姿态解释自身时，实际控制与法定权限就会被混为一体。现实中的操作能力可能很强，象征语言也可能显得宏大，法律上的权限却仍然必须来自具体公司规则与可执行法律。

因此，对6月26日决定提出比例性要求，不是向一个互联网政府索取行政法判决书，而是要求一个法院关联接管状态下的私人成员公司，对一项全局性内部治理救济留下足以让成员理解、让适格渠道复核的记录。这个要求因机构是私人组织而更需要精准，不因其技术角色重要而自然消失。

接管人连接可执行法律，却不能被写成主权者

正式撤销公告应归于接管人，而不是笼统归于AFRINIC、ICANN、NRO或某个没有边界的“互联网共同体”。接管人的法院任命使这一职务与可执行法律相连，这一点与普通机构声明不同，也必须得到承认。

但法院关联不等于权限无限。现有记录没有提供授权6月26日救济的精确法院命令、具体条款、被委托签署方式或法律意见。我们不能据此断言接管人无权行动，也不能反向断言法院关联身份足以覆盖任何范围的救济。两种绝对结论都超出材料。

正确的分析方式是沿着实际权限链提问：哪一项法院或公司权限允许接管人处理选举程序？该权限容许保全、暂停、拒绝认证、部分重做还是整场撤销中的哪些动作？决定是否需要特定签署、通知或复核？这些问题不是为了写一份一般性的“谁有权”矩阵，也不是要在缺少文本时替法院解释命令，而是为了确定这一次全程救济的具体法律落点。

权限与比例性还应彼此独立。某人即使拥有采取某类救济的权限，也仍需说明为何在本案选择这个范围；一项救济即使看似事实合适，也仍需由适格主体依适当权限作出。把“有权”当成“有理”，或把“有理”当成“有权”，都会遗漏一半的制度审查。

机构自述能证明什么，不能证明什么

官方AFRINIC材料是确认日期、程序名称与公告动作的第一手记录。没有理由因为它来自机构就忽略它；同样，没有理由因为它来自机构就赋予它超出文本的证明力。来源层级的成熟用法，不是盲信或拒信，而是逐项限定。

例如，公报能证明接管人宣布了整场撤销，并把据报存在违规情形作为公开理由。它不能单独证明违规属于哪一类别、影响多少对象、计票进展到哪里、是否存在可认证结果或较窄救济为何失败。选举页面能确认23日举行选举，却不能填补后来决定所欠缺的投诉与法律分析。

同理，机构对自身使命、代表性或重要性的描述，也不能独立证明其拥有主权或公法权力。一个组织可以真诚表达自身角色，却仍需由外部法律与公司文件界定权限。公共语言容易把“协调”写成“治理互联网”，再把“治理”误读为“拥有统治权”。精确写作必须阻止这种层层放大。

这不是语义洁癖。若把技术角色写成主权角色，成员可能误以为没有外部可执行法律能够约束机构；若把法院关联身份写成无限委任，公众又可能误以为任何救济范围都已被法院具体决定。二者都会遮蔽真正需要查明的权限文本与决定理由。

一份最低限度的救济决定记录应当包含什么

围绕6月26日行动，最缺少的公共责任对象不是更多形容词，而是一份隐私安全的“缺陷—救济”记录。它不需要公布投诉全文，不需要披露个人身份、凭证或选票，也不需要公开受法律保密保护的意见内容。它需要把决定的结构留下来。

第一，缺陷类别。记录应说明所报问题属于资格、凭证、保管、计票、程序通知或其他哪一类，而不是只使用“违规”这个覆盖一切的词。若进一步分类会识别个人，可以在足够高的抽象层级描述，但必须让人知道问题落在哪个制度区域。

第二，受影响阶段。问题是在参与资格形成之前、凭证发放时、选票进入保管链后，还是计票相关阶段被发现？阶段不同，可能的隔离和重建方法也不同。说明阶段不等于重建保管链的每一个细节；它只是确定救济从哪里开始扩张。

第三，证据保管者与保全状态。谁负责固定材料，哪些类别已经保全，是否禁止进一步变更，谁可在受控条件下访问？这不是要求公开原始证据，而是确保以后能够复核，也确保任何重启不会覆盖旧记录。

第四，可分离性测试。决定者应说明是否检查了争议状态能否同其他参与状态分开、受影响阶段能否独立重做、剩余记录能否自证可靠。如果判断不可分，应写出不可分的连接点，而不是只写结论。

第五，结果实质性测试。在有足够信息时，是否逐席检验问题可能改变结果？如果计票状态或共同输入使这种测试不可能，记录应明确“无法测试”及其原因。这里不必公开票数，更不能捏造差额。

第六，重建测试。是否存在相互独立的记录可用于复核受影响阶段？重建是否会损害秘密性、个人信息或同等待遇？若重建被排除，应说明失败门槛。

第七，比较过的替代措施。保全、有限冻结、隔离争议状态、阶段重做、受影响竞逐重做等是否被考虑？记录不必承诺这些措施依法一定可用，而应说明它们为何在该次决定中被认为不足、安全性不够或没有事实基础。

第八，拒绝较窄救济的理由。这是整个记录的核心。它应把缺陷的已知范围与全面撤销的范围连接起来，解释为什么局部措施会留下不可接受的不可靠性或不平等，而不是用“谨慎起见”一笔带过。

第九，决定权限。应标明接管人所依赖的法院或公司权限类型、相应决定主体与签署基础。无需在公开版复制受保护法律意见，但应让成员知道这项行动不是由一个模糊机构声音凭空产生。

第十，复核路径。受影响成员在哪里、在什么条件下提出异议或请求检查？谁能接触受保护材料并在不公开隐私的情况下复核？若某些渠道不可用，也应清楚说明。

第十一，通知与后续边界。成员应被告知哪些状态已冻结或失效、哪些技术服务不受影响、之后的程序步骤由何种决定触发。这里不需要评判后来任何重选，只需让6月26日救济的边界可理解。

第十二，交还。接管状态下的非常控制在何种条件下结束，证据与决定记录如何保存，普通成员治理何时恢复承担其应有责任？一项临时性救济若没有交还节点，容易从问题处理方式变成长期制度状态。

这十二项不是为了制造官样篇幅，而是为了让一个外部读者能够重走决定路径：先识别问题，再定位阶段，再检查可分离与实质性，再比较替代办法，最后确认权限、复核和交还。敏感事实可以遮蔽，推理顺序不应消失。

公开理由的尺度：足以检验，而非足以围观

公共问责常被误解为最大限度公开。对选举材料而言，最大公开可能伤害秘密性与个人信息，也可能使投诉机制失去作用。合适的目标不是让所有旁观者看到所有证据，而是让受影响者与适格复核者能够判断决定是否沿着一致、相关的标准作出。

“足以检验”至少意味着三件事。第一，理由必须与救济范围相关。描述问题严重，却不说明为何严重性扩展到全程，仍然不够。第二，理由必须允许区分替代方案。若记录没有说明局部隔离为何失败，公众无法知道全面撤销是经过比较的选择还是未经解释的起点。第三，理由必须留下可以被纠正的接口，包括复核主体、受保护材料访问方式与决定更新机制。

公开版与受保护版可以分层存在。公开版说明缺陷类别、受影响阶段、测试方法、结论、权限与复核路径；受保护版保存投诉、身份、凭证、选票以及必要的法律材料。这样的分层不保证决定一定正确，却使错误有被发现的可能，也使正确决定不必依赖权威姿态来获得信任。

如果连抽象类别都不能公开，记录至少可以确认哪些问题已经被问过，哪些测试因何无法完成，谁能够在保密条件下验证。制度可信度不来自无所不知，而来自对知识边界的诚实管理。

比例性不是事后挑错，而是决定时的工作方法

比例救济最容易在争议发生后被当成评论者的武器：列出所有较窄选项，再责问为什么没有采用。这种用法不完整。真正有价值的比例性，是决定者在行动之前或同时使用的一套工作顺序。

先保全，再分类；先问能否隔离，再问能否重建；有条件时检验席位层面的结果实质性；只有当这些路径不能可靠、平等、保密地处理问题时，才扩大到不可分阶段、受影响竞逐乃至整个流程。每一步都允许答案是“不可行”，但答案必须有记录。

这种顺序还有一个重要好处：它迫使决定者区分证据不足的不同含义。证据不足可能意味着暂时需要冻结以便查明，也可能意味着旧流程已无法重建；前一种不足支持保留更多状态，后一种不足可能支持全程重启。若不作区分，同一个“信息不足”既能被用来反对行动，也能被用来支持最大行动，决定就失去可检验性。

记录还应随着信息变化而更新。6月26日时可以得到的结论，未必等同于后来在受保护复核中能够得到的结论。承认决定具有时间位置，不是削弱它，而是避免把紧急判断伪装成永恒真理。若新信息不改变范围，也应说明为什么；若改变，则应有纠正路径。

不能让严重性语言代替因果连接

制度危机中最常见的捷径，是使用越来越强的形容词：严重、重大、根本、不可接受。形容词或许表达合理关切，却不能完成从问题到救济的推理。一个问题即使严重，也可能范围有限；一个范围广的问题即使没有戏剧性，也可能需要全面处理。

所需的是因果连接：某类缺陷如何影响共同输入，为什么该影响无法在记录中分离，为什么无法逐席评估，为什么重建会不可靠或不平等，因而为什么全程撤销是可接受的最窄范围。每个“为什么”都应对应一项记录，而不是对应更响亮的修辞。

同样，不能用“公众信心”作为万能理由。信心是结果，不是证据。没有说明的强力行动可能短期展现控制，却长期增加不确定性；有边界的说明即使承认未知，反而能让成员知道决定基于什么。信任来自可预测的判断方式，不来自机构要求被信任。

这也符合一种更朴素的治理观：现实不能被标签改变。把私人成员公司称为互联网治理中心，不会赋予它主权；把一次全面撤销称为维护完整性，不会自动证明范围适当；把未知称为系统性风险，也不会让不可分离性凭空成立。名称可以组织讨论，证据与权限才决定行动边界。

不作指控，仍然可以提出严格问题

在材料有限时，严格与克制并不冲突。我们不需要指控任何法官、接管人、董事、律师、候选人、投票者、成员或机构具有不当动机，也不需要推测欺诈、串通、伪造或隐瞒，就能指出公开决定记录的不足。

问题可以非常具体：缺陷属于什么类别？位于哪个阶段？材料由谁保管？是否先冻结了争议状态？哪些部分不能分离？逐席实质性检验为何可做或不可做？重建需要什么记录，缺失了哪个接点？较窄措施如何被比较？接管人依赖何种权限类型？谁可以复核？普通治理何时恢复？

这些问题不预设答案。若答案显示共同环节确实不可重建、隐私无法在局部处理下得到保护、所有席位都依赖同一不可靠输入，那么全面撤销会得到更强的公共理由。若答案显示问题可以可靠隔离，决定者则需要解释为何仍扩展范围。两种可能都由记录决定，而不是由评论者的偏好决定。

克制还要求拒绝把缺失记录当成相反事实的证明。没有公开法律意见不等于没有法律意见；没有公开计票状态不等于计票已经完成，也不等于从未开始；没有投诉文件不等于没有投诉。缺失证明的是公众无法检验这些项目，不是任何一方一定错了。

一项反事实演练：如果决定记录先于全面归零

可以想象一种不改变任何已知事实、只改变制度记录方式的处理顺序。23日选举后收到问题报告时，相关材料首先被保全，争议状态在必要范围内冻结；记录将问题按阶段分类，并由明确的证据保管者维持原状。这个设想不声称当时实际做过或没有做过这些事，只用于说明最低程序如何运转。

下一步，决定者测试争议对象是否可隔离，检查受影响阶段是否可由独立记录重建，并在信息允许时逐席评估结果实质性。若计票状态不足以完成测试，记录明确写出“不可能判断”以及该限制如何影响所有或部分竞逐。秘密选票、个人身份和投诉内容继续受到保护。

然后，决定者依次写明为何保全加有限冻结不足、为何隔离不可靠、为何阶段重做或受影响竞逐重做无法恢复平等。只有在这些理由指向共同、不可分的缺陷时，全面撤销才成为记录中的下一步，而不是第一句之后的跳跃。

最后，文件标明决策权限、通知对象、复核路径、保全持续时间以及交还普通成员治理的条件。即使最终动作仍然是6月26日宣布的整场撤销，这条路径也会显著改变制度品质：成员看到的不再只有结果，而是从问题到范围的可追踪判断。

反事实演练的意义不是声称较窄措施当时一定合法或可行。我们没有这种事实基础。它说明的是，一份记录如何在不替代决策者的情况下，使全面救济能够被检验。制度问责不总是要求不同结果；很多时候，它首先要求相同结果有可见理由。