把”在本地运行”和其他十几条要点并列罗列很容易，仿佛它只是众多功能中的一项——介于 导出选项和深色模式之间的某处。我们认为它属于另一个范畴。工具在何处完成工作，决定了 它能够向你承诺什么，而本地优先正是一个你不得不去信任的承诺与一个你可以去核实的承诺 之间的区别。

这一区别就是全部论点所在。大量软件要求你相信，你的数据在某个你看不见的地方被妥善 处理。本地优先要求你相信的东西要少得多，因为需要相信的东西本就少得多。当工作在你 所在之处发生时，那些保证不再是关于某个遥远系统行为的担保，而开始成为关于你自身系统 的事实。

一个你可以核实的承诺

当工作在你自己的机器上发生时，隐私不再是一项政策，而成为一种属性。没有一份你的数据 副本搁在服务器上，等着被保护、被泄露、被传唤或被挪作他用——因为根本就没有任何副本。 没有账户在悄悄把你的活动与你的姓名相关联，也没有遥测在后台衡量你做了什么。你不会被 要求相信数据在视线之外的某处被妥善处理；数据根本就从未离开视线。

这正是我们拒绝把”本地”当作一项功能的原因。功能是供应商可以给你、也可以在下一个版本 中同样轻易收回的东西。这类承诺是结构性的：它源自计算在何处发生，而你可以用核实任何 有形之物的同样方式来确认它——即留意到什么都没有离开。这种验证不在于阅读我们的政策、 相信我们的说辞，而在于数据身在何处，而那处地方正是你所掌控的。

数据驻留作为客户的选择

本地优先并不意味着一种僵硬而单一的安排。在临床场景中，诚实的立场是：数据合适的存放 之处取决于机构，而决定权应属于机构——而非供应商。因此我们所秉持的原则是，数据驻留是 客户的选择。

在我们整个临床平台上，边缘工具与各类 pod 既可在本地部署，也可采用混合方式部署，而 这一选择可从一家小型诊所一直扩展到一所大型医院。希望一切都留在自己围墙之内的诊所 可以本地部署，让信息系统与归档存放在它所拥有并掌控的设备上。出于种种理由需要把某些 功能集中、把另一些功能留在本地的机构，则可选择混合方式，并把界线划在其自身治理（而 非我们的治理）认为应当所在之处。平台的职责是让两种选择都切实可行，而不是把所有人都 推向运营起来最便利的那一种。

各类 pod 让这一点变得具体。EndoPod、PathoPod 与 TomoPod 各自把信息系统与归档带到 诊疗发生之处——内镜、病理、放射——并且是在医学其余领域早已使用的标准之内做到这一点： DICOM 与 HL7，全程采用符合 HIPAA 的处理方式。选择本地或混合，并不意味着走出生态 系统；它意味着在不放弃与其他一切互操作性的前提下，决定你的数据安身于何处。

为何混合方式仍然信守承诺

声称只有完全本地部署才算数、任何沾上云的东西都已背弃承诺，会更省事。这种说法过于 武断而难以成立，而假装如此也无助于那些有正当理由两者并用的机构。

混合方式仍能信守承诺，原因在于：边缘与任何集中部分之间的交换是异步且有意为之的， 而不是一种在工作得以开展之前必须先够得着的实时依赖。诊疗现场的工具在诊疗所在之处 完成工作；信息按其自身的时间表在边缘与更大的系统之间移动。这一设计选择有两个在此 要紧的后果。其一是韧性：诊疗不会因为某个远程连接缓慢或中断而停滞，因为本地系统并 不依赖一次往返才能运转。其二是掌控：由于数据的移动是机构所配置的、而非随每一次操作 隐式发生的，界线便始终停留在客户划定之处。

以这种方式实现的混合，并不是承诺中的一个漏洞。它是在另一组约束之下兑现的承诺——机构 仍然决定什么留在本地、什么不留，而当与更广阔世界的链接并不完善时，系统仍然照常工作。

信任、韧性，以及随时间变化的权力平衡

本地优先也改变了随时间变化的权力平衡。某处的某项服务可以更改其规则、抬高其价格，或 直接关停，而你几乎无能为力。一个在你所在之处运行的工具，会按你的条件继续工作：没有 会在错误时刻断开的连接，没有会因为某家公司决定另谋他途而不再属于你的东西。这种独立 是无声的，但它正是全部要旨所在。

在临床环境中，这种独立所牵涉的利害远不止于不便。一套依赖远程服务的工作流程，是一套 可能被完全在诊所掌控之外的事物所打断的工作流程。把工作留在本地——并把数据驻留留在 机构手中——意味着对诊疗负责的人，也正是掌控诊疗所发生条件的人。在这一视角下，信任 并非对供应商的一种感受，而是事物在何处运行、由谁决定的结果。

我们有意做出的取舍

这一切都不会让本地优先成为易于构建的选择。它更难，而且封堵了一些便利的捷径。我们 有意接受这一取舍，因为另一种选择会要求使用我们工具的人去信任他们本不该被要求信任的 那么多。一个你可以验证的承诺，胜过一个你只是被要求凭信念接受的承诺。

这正是我们所说的本地优先是一种承诺而非一项功能的含义。功能是我们所添加的东西。承诺 是我们所亏欠的东西，而我们信守它的方式，就是在构建之时确保：你的数据安身于何处，是 你的决定而非我们的决定——从而使我们所做出的最重要的那项保证，成为你永远无需凭信念 接受的保证，因为你大可径直看到它确实成立。