每一笔数字都拿得出依据的结算层
企业希望不必买下整张证书也能出资，事后又能清楚说明自己究竟出资买了什么。我们把这两半一起撑住：每一笔价值流动下面是复式记账，每一个数字下面是可以逐步重算的计算记录。
- 行业环境权益市场与企业报告
- 合作方式端到端设计与开发的平台
- 状态在我们运营的云基础设施上生产运行
买的是金额，不是证书
运营方从登记机构批量买入环境权益证书，集中归池，再通过 API 出售其中的份额。企业买的是一个金额而不是一张证书，因此同一张证书由多家买方共同出资，直到足额为止。之后它只被注销一次，每一家出资企业都拿到属于自己那份出资的凭证。
旁边是报告这一侧：按各自行业公开方法学计算的足迹模型，覆盖住宿业和葡萄酒生产。企业可以先算清自己的排放，再决定出资买什么。
共同持有，加上无法证明的数字
一张证书由多家买方共同出资的市场，会打破电子表格的全部假设，而下面的数字还得经得起审计。
一张证书，多个持有人，只能注销一次
一张证书只能注销一次，可为它出资的钱来自一队买方，每一家在不同时点为不同份额付款。记错了不是报告口径问题，那是别人的钱。
谁也重算不出来的足迹数字
报告上的一个数字，值多少取决于它能否被重新还原。若没有记录用了哪些输入、走了哪些步骤、套用了哪一版系数，一年后再解释一个修订过的数字就无从说起。
输入是以文件形式送来的
足迹背后的证据是发票和公开的来源文件，不是现成的数据。人工阅读慢，自动阅读又恰恰是错误数字进入系统并留下来的地方。
市场下面是会计纪律，每个数字下面是记录
每一项能力存在的理由，都是有人必须能核对系统对他的钱或他的数字做了什么。
每一笔价值流动下面都是复式记账
价值不会凭空出现，也不会凭空消失，它只在有名字的账户类别之间移动：客户、资金池、证书、登记机构、收入、已注销。这由账本本身强制执行，所以一个应用层缺陷无法把账做不平。
- 有名字的账户类别，每一笔转账都有一借一贷
- 后台进程持续把账本与业务记录对账，两边一旦对不上立即告警
- 每次写入都带防重键，重发的请求不会重复扣款，也不会重复分配
并发之下仍然严格先进先填
一笔购买在单个事务内先填最早尚未足额的证书。顺序由数据库记录的加锁次序保证，而不是指望两笔购买永远不会同时到达。
- 并发购买以相同次序锁定队列，既排除插队也排除死锁
- 一笔购买可以只出资一张证书的一部分，也可以一次覆盖多张
- 扫描触及上限时会告警，而不是悄悄少分配
能被重算的计算，而不只是能被重跑
每一次足迹计算都会写下一条不可更改的记录：输入、走过的每一步，以及所套用的每个排放系数的版本。相同输入产出相同记录，修订过的数字才解释得清。
- 每次计算一条不可更改的记录：输入、步骤，以及当时生效的系数版本
- 结果给出的是不确定性区间，而不是一个没有说明的单一数字
- 行业模型遵循该行业实际据以报告的公开方法学
文件变成带评级的数据，最后仍由人签字
上传的发票会被拆解成一条条明细，带着出处进入足迹计算，每一条各自带有数据质量评级。排放系数从不就地修改：新版本连同自己的生效日期一并追加。
- 每条解析出的发票明细都带数据质量评级，计算结果对外报告其中最差的一档
- 系数只追加并带版本，修订过的数字始终能追到当时生效的那一版
- 机器可读的官方数据源可以自动生效；凡是从文件里读出来的，都要等第二个人批准
这套系统真正保证了什么
这里没有数字。这是我们自己构建并深度演练的平台，不是我们在转述某个客户的成果。
可追溯
每个数字
公开的数字可以一路回溯到它的输入、产出它的步骤，以及当时生效的系数版本，不需要任何人再手工重算一遍。
按顺序
每次分配
即便多笔购买在同一瞬间落地，出资仍先填最早的那张证书；账本不是被默认可信，而是被持续对账。
已构建并测试
目前进度
平台已建成，各服务经过充分运转，并在我们运营的基础设施上生产运行。本页描述的控制是每天在跑的控制，而不是路线图。