远程公房维修分诊系统：为何我选择对租户隐藏模型置信度

为偏远社区打造一套维修分诊系统，听起来像是标准的运筹优化问题。但当算法给出的置信度严重失真、而错误代价是让居民继续数周断水时，技术选择就变成了伦理选择。Team Top Enders 在 CDU IT Code Fair 2026 AI Challenge 中构建的 ReachNT，正是这样一个案例。

问题：算术造成的服务鸿沟

北领地偏远社区的一户人家断水，拨打维修热线。在达尔文，水管工通常几天内就能上门；但在丛林地区，同样的维修可能拖上数周。

原因并不复杂。派一名技工前往偏远社区只为处理一个工单，成本极高，于是偏远工单被不断降级。城镇的紧急维修数日内完成，偏远地区的同一工单却要等待数周。ReachNT 正是为弥合这一差距而建：一套面向北领地偏远公共住房的维修分诊系统，公平地为维修排序，并智能规划出行。

该系统由 Aashish 和作者作为 Team Top Enders 团队为编程竞赛构建，是一个可运行的演示，而非生产系统。它读取租户的维修报告，按需求排序，将邻近社区批量安排进共享的每周出行，并向每位租户提供通俗易懂的解释，说明其维修为何等待了那么久。

数据边界：真实地理与合成请求

公开的北领地工单数据集并不存在，这是系统设计的前提。无法用真实维修请求训练模型，于是团队编写了整整一年的合成请求。

真实的部分包括：70 个社区、房屋数量、维修队枢纽、道路封闭情况、简易机场和响应时间数据，均来自真实地理信息。合成请求在产品内部被明确标记为合成，演示页面不假装自己是真实工单记录。

这一边界被直接构建进产品，而非埋在 README 里。任何点击浏览的人都能看到哪些部分是真实地理、哪些是模拟数据。这种透明度是建立信任的基础。

排序原则：紧迫性是故障的属性

第一个设计决策是：排队位置不得依赖租户的任何特征——不看出报时间，不看联系渠道，不看描述详细程度，不看英语水平。紧迫性是故障本身的属性，而非描述者的人的属性。

紧迫性模型读取租户的通俗语言维修报告并打分。在模型训练中未见过的措辞上，ROC-AUC 为 0.84，属于中等结果——排名多数情况下准确，但仍会出错。作为包含人工审核的整体系统的一部分，它能捕获 99.3% 的危险工单。

关键在于“作为整体系统的一部分”。模型本身不是安全故事的全部，围绕它的系统才是。

校准问题：一个不该展示的数字

模型排序尚可，但置信度堪忧。当模型声称至少有 90% 把握时，实际正确率只有 56%。这是一个校准极差的模型，向租户展示这些数字是不诚实的。

因此，租户永远看不到置信度百分比。42% 的危险报告在任何决策做出前就会被转给人工处理。

这是项目中最艰难的决策之一。置信度分数看起来信息量很大，是仪表盘喜欢展示的那种数字。但一个错误率如此之高的数字，展示给正在等待维修的人，会造成真实伤害——要么虚假安慰，要么无谓担忧。团队选择向租户展示真实的东西：一段通俗易懂的解释，说明维修为何等待了那么久。展示解释，而非概率。

更广泛的观点是：校准是没人做基准、但人人都该关注的指标。一个模型可以排序良好，却仍不适合展示自己的确定性。修复方法不是更好的模型，而是承认模型做不到的事并围绕它设计。

校准（calibration）与判别力（discrimination）常被混为一谈，但它们是两个独立指标。 判别力衡量模型把正例排在负例之前的能力，ROC-AUC 正是其代表；校准衡量模型输出的概率与真实频率是否吻合。一个模型可以 AUC 很高、排序很准，却系统性地高估或低估自己的把握——例如总在“九成确信”时实际只对五成。常用的校准度量包括期望校准误差（ECE）与可靠性图，修正手段有 Platt 缩放、等渗回归与温度缩放。对面向终端用户的系统而言，校准往往比 AUC 更重要：用户可以容忍模型偶尔排错并交由人工兜底，却无法容忍被告知一个虚假的概率。这正是本文选择隐藏置信度的技术依据。

共享出行：用 H3 网格降低偏远服务成本

排序只是系统的一半，另一半是在不烧光预算的前提下把技工送到现场。批量调度基于 Uber 的 H3 网格实现。

H3 将北领地划分为六边形网格，落入相邻单元的社区被分组到共享的每周出行中，一名技工一次行程可覆盖多个社区。在五个随机合成年份中，共享出行每次维修节省 67 至 76 美元。以每次维修约 821 美元为基准，这是实实在在的削减。

批量调度必须与紧迫性排序协同。共享出行只有在其中的紧急工单仍优先完成时才有意义。规划器在每个行程内按需求调度，因此分组社区绝不意味着紧急维修排在表面性维修之后。批量调度省钱，排序决定顺序，二者互不覆盖。

H3 是 Uber 开源的分层六边形地理索引系统。 它把地球表面递归划分为一系列分辨率层级，每个六边形单元拥有一个 64 位整数编码的地址，可低成本地由父单元展开到子单元。相比经纬度网格，六边形在邻域距离上更均匀：每个单元恰好有六个等距邻居，避免了正方形网格中“对角邻居更远”的畸变，因此特别适合做邻域聚合与区域分组。在调度场景中，H3 常用于把空间上邻近的点归入同一单元，从而以固定粒度做批处理或分区。本文用它把相邻社区分进同一趟每周出行，正是利用了六边形邻域的均匀性来近似“顺路”这一概念；分辨率越高单元越小、分组越精细，分辨率越低则出行越集中。

每周规划器：求解器速度与人工签字

每周计划来自 CP-SAT 求解器。在 26,018 个每周计划中，99.5% 被证明为最优，中位求解时间为 8 毫秒。

速度很重要，因为计划在人工签署前只是草稿。每个每周计划在发出前都需一位具名协调员签字。求解器优化成本与故障天数，但拒绝牺牲紧迫性顺序——一个更便宜却将紧急维修排到常规维修之后的计划，不是有效计划。

签字的意义在于：当租户询问维修为何等待时，有一个批准了计划的人，而不是一个黑箱。求解器快速且接近最优，但其输入是合成请求和排程距离。熟悉道路和社区的协调员会在计划发出前审阅。

CP-SAT 是 Google OR-Tools 中的约束规划求解器，面向整数与布尔变量上的组合优化问题。 它把问题表达为变量、约束与目标函数，内部结合 SAT 求解、线性松弛、割平面与大邻域搜索等技术，在调度、排程、装箱等 NP 难问题上常能在毫秒级给出可证明最优或近似最优的解。与线性规划求解器不同，它天然擅长处理逻辑约束（如“若 A 则非 B”）和不可整除的指派关系。本文中“99.5% 被证明为最优”意味着求解器不仅找到了解，还给出了最优性证明；中位 8 毫秒的速度则让“每次重算计划”在经济上可行。需要留意的是，最优仅相对于建模时输入的目标与约束成立，若目标函数未涵盖公平性，求解器会精确地优化一个错误的量。

数据对比：每次维修成本与公平的权衡

在一个合成年份中，ReachNT 平均每次维修 821 美元，十分之九的偏远紧急维修在 3 天内修复，加权故障天数为 61,700。最便宜优先的基线平均每次维修 561 美元，但偏远紧急维修等待 62 天，而城镇为 3 天，故障天数达 233,100。

最便宜优先看起来每次工单更便宜，却产生了一个偏远家庭为紧急维修等待两个月、而城镇只等三天的系统。ReachNT 每次维修成本更高，但弥合了差距。该工具公开地为公平权衡定价，而非将其隐藏在平均值中。

作者也坦承局限：这是合成评估。维修请求是编造的，租户行为是编造的，在合成文本上训练的模型在真实报告上的行为未知。若获得真实工单，首要三件事是：用真实租户措辞重新训练紧迫性模型；重新运行校准分析；用实际出行模式而非排程距离测试共享出行批量调度。团队正提议在 Katherine 枢纽的 16 个社区进行试点。

对抗性审计：一个安全临界缺陷

上线前，团队对系统进行了多智能体 AI 审计。它发现了一个真实缺陷：一个危险的生命支持维修仅凭一张照片就可能被降级。

这意味着：租户上传照片，有人根据图像重新评估报告，一项维持医疗设备运行的维修被重新归类为常规。在一个以紧迫性决定顺序为前提的系统中，这是最糟糕的失败模式。

修复进入三个层面：门户在 UI 中阻止该降级路径；服务器进行验证；数据库设计记录原始严重程度，使后续编辑无法悄然抹除。一个缺陷，三层防护，因为只存在于一层的安全属性只是建议。

审计是项目中最值得做的一件事。ReachNT 中的其他一切都是有意识选择的权衡，而这是一个未被选择的权衡，审计在租户遇到之前发现了它。对于安全临界路径，应在发布前而非发布后获得对抗性审查——这是本案例最值得带走的实践。

多智能体对抗性审计指让若干具备不同角色设定的 AI 智能体相互攻防，以暴露系统的失效模式。 典型配置是红队智能体尝试构造绕过、降级或欺诈路径，蓝队智能体负责防御与修补，另设裁判智能体评估发现的有效性。相较传统人工渗透测试，它的优势是成本低、可并行覆盖大量边界情形，尤其擅长发现“合法操作序列导致的非法状态”这类逻辑缺陷——如本文中仅凭一张照片即可把生命支持维修降级。其局限同样明显：智能体的攻击面受限于提示与工具，生成的发现需要人工复核，且无法保证覆盖完整。“安全临界路径应在发布前而非发布后获得对抗性审查”是可移植的工程原则：把审计视为测试套件的一部分，而非上线后的补救环节。