## FED: intercambio y operaciones de federación Esta familia contiene los procesos operativos por los que un Universo de meta-modelo conforme a Vercy intercambia conocimiento con OTROS Propietarios. La capa de especificación (Federation-Contracts, Consent-and-Disclosure, correspondencia semántica, sincronización, Conflict-Resolution, Federation-Lifecycle 4) define el protocolo; estas fichas de proceso definen los procedimientos que un Propietario, un Custodio y sus Agentes reales ejecutan a diario. Trust-Model.md 6a-7 es el anclaje doctrinal de todo juicio de confianza en esta familia: la confianza es un Vector de confianza de dimensiones evaluadas de forma independiente (Identidad, Semántica, Gobernanza, Contrato, Operativa, Histórica), jamás un único escalar. La familia descansa sobre una regla de hierro: **la información de cualquier meta-modelo solo es legible con el permiso de su Propietario.** Todo proceso de abajo es esa regla desplegada en el tiempo: cómo se negocia el permiso (FED-1, FED-2), cómo se concede y se revoca (FED-3), cómo se impone en el momento de la entrega (FED-4), cómo se opera a escala (FED-5, FED-6), cómo se mantiene con sentido (FED-7), cómo se aplica simétricamente a lo que llega (FED-8), cómo se defiende cuando los maestros discrepan (FED-9), cómo se vigila (FED-10) y cómo se cierra sin residuos (FED-11). Esta familia cubre solo el consentimiento de cara a la federación; las concesiones internas (no federadas) y su imposición son territorio de GOV-7, el espejo doméstico de FED-3: una doctrina de consentimiento aplicada hacia dentro y hacia fuera, dos registros, cada uno con su propio maestro. Glosario (reparto de vocabulario de toda la paleta): **cuarentena** es la marca de confianza legible-pero-señalada de MIR-8 (y también el estado de frescura de MIR-6); **cuarentena de admisión** es la zona de retención entrante de FED-8, ilegible hasta su promoción; **retención por integridad** es el marcador de QSC-9 que excluye un artefacto de responder y de publicarse hasta que se levante. Esta familia usa la cuarentena de admisión exclusivamente para contenido federado entrante. Doctrina que atraviesa todas las fichas: - **Negociación de conocimiento, no acceso a datos.** Un socio jamás recibe una ventana a un almacén. El esquema PUEDE ser público; los datos de instancia se negocian; el artefacto entregado es siempre una Proyección construida para un propósito. Ningún proceso de esta familia DEBERÁ producir acceso crudo a espacio de nombres o base de datos por ningún camino, ni siquiera en emergencias. - **La maestría nunca se mueve.** La federación intercambia copias; cada conjunto de datos conserva exactamente un maestro. Los espejos de datos del socio son de solo lectura, con sello de procedencia y etiqueta de frescura; las correcciones viajan al maestro y vuelven por re-entrega. Todos los cambios del Registro de maestría que esta familia ocasiona los ejecuta MIR-1, el ejecutor único de cambios de registro. - **Todo es un Suceso.** Concesiones, revocaciones, entregas, ciclos de sincronización, conflictos, cambios de estado de salud, suspensión y terminación añaden Sucesos trazables; las decisiones de Propietario y Custodio se registran por GOV-1. Nada en esta familia transita en silencio. Los registros de divulgación y consentimiento los emite la infraestructura mediadora de la puerta, jamás el Agente que actúa, y se encadenan por hash de forma continua con anclaje externo según el control de registro de toda la paleta (COMMON). - **La confianza es un vector.** Según Trust-Model.md 6a-7, cada dimensión de confianza se evalúa, registra y revisa de forma independiente; los umbrales son predicados declarados sobre dimensiones nombradas (configuraciones versionadas de GOV-2); los Sucesos de promoción, rechazo y autorización declaran en qué dimensiones se apoyaron. Nada en esta familia colapsa la confianza en un número. - **Los conflictos son hechos, no errores.** Un desacuerdo entre dos maestros soberanos se registra como objeto de primera clase con su propio ciclo de vida y un Rastro histórico permanente (persistido por MIR-9). Jamás se resuelve por sobrescritura silenciosa. - **Límites honestos.** La revocación se propaga dentro de un TTL declarado, no "al instante", y se impone en la puerta, jamás se honra por el receptor; la frescura tiene límites de obsolescencia declarados; los procedimientos dicen la garantía real para que quien opera implemente esa y no una aproximación de otra ficticia. - **Defensa simétrica.** La familia protege el conocimiento del Propietario a la salida (revisión de divulgación) y el modelo del Propietario a la entrada (cuarentena de admisión y evaluación del Vector de confianza). El contenido entrante, incluido cualquier texto con apariencia de instrucción dirigido a los Agentes, es dato, jamás una orden: este es el control de hierro de toda la paleta, los datos nunca son una orden (COMMON); la lista de cribado de FED-8 es su implementación de referencia en la frontera de federación, reflejada hacia dentro por MIR-2. **Agentes.** Los Custodios delegan mucho. Los niveles T1/T2/T3 se definen una sola vez en el preámbulo de la paleta (COMMON) y aquí se citan, nunca se vuelven a glosar. El patrón estable en toda la familia: la detección, el cálculo, los barridos y los ciclos rutinarios corren en T3; la redacción, la evaluación, la adjudicación de casos límite y la emisión sujeta a plantilla corren en T2; y cuatro actos no se delegan en sustancia y son permanentemente humanos: firmar un Contrato de federación (FED-2), aprobar una concesión fuera de política (FED-3), decidir un conflicto no determinista (FED-9) y decidir la suspensión o la terminación (FED-11). Allí donde un Agente participe en tal paso, el paso DEBERÁ permanecer en T1 (el Agente propone, la persona aprueba cada acto). Todo paso delegado corre bajo un Contrato de delegación emitido, vigilado, suspendido y revocado únicamente por CTX-9; toda puerta FED valida la vigencia del contrato citado en el momento del acto (disciplina de revocación de COMMON), sin apoyarse jamás en el honor del agente. **Lógica de niveles y conjunto nuclear.** La familia entera se activa solo cuando un Propietario federa; un modelo puramente en solitario que no federa no necesita nada de esto, y esta familia aporta cero procesos al recuento nuclear en solitario de toda la paleta (COMMON). Respecto de un modelo que federa, el conjunto nuclear es: FED-2, FED-3, FED-4, FED-5, FED-8, FED-9 y FED-11. FED-1 es recomendado; FED-6 es recomendado (nuclear en cuanto un contrato promete coherencia continua); FED-7 es recomendado (nuclear cuando el intercambio contratado depende de correspondencias no triviales); FED-10 es recomendado (DEBERÍA tratarse como nuclear allí donde haya más de dos federaciones activas). **Prueba de esfuerzo.** El Meta-Orchestrator State (MOS) es el caso de escala. Todas las citas de MOS en esta familia remiten al repositorio externo de la Dimensión de referencia (orkestron-ai/meta-orchestrator-state), no al estándar; el estudio de caso publicado describe 38 espacios de nombres en seis grupos. Su grupo S (S1 propiedad, S2 contratos de acceso, S3 modelado de proyecciones, S4 auditoría confirmada en la puerta, S5 publicación estadística) es una implementación de referencia de la maquinaria de FED-3, FED-4 y FED-8 a escala de polis, con denegación por defecto, una puerta del lado del propietario cuyo commit atómico de registro es la entrega misma, y revocación de obsolescencia acotada. Si una ficha de aquí no pudiera operarse en MOS, la ficha está mal. La federación por realm-API entre Universos de plataforma de Orkestron es una implementación de referencia más ligera de FED-2, FED-5 y FED-6 (implementación de referencia, no norma). ## Interfaces con otras familias - **MIR.** Las promociones de FED-8 aterrizan como conjuntos espejo por el aterrizaje posterior a la promoción de MIR-2 (captura cruda sin modificar más ficha de procedencia, transformación semántica a las ubicaciones espejo, nuevo recorrido de cobertura); MIR-2 DEBERÁ rechazar contenido de clase federada sin un registro de promoción de FED-8. FED-2, FED-5 y FED-11 proponen entradas y retiradas del registro de maestría que MIR-1, el ejecutor único de cambios de registro, ejecuta con sus puertas de aprobación. Los estados de frescura de los espejos (MIR-6) alimentan las señales de FED-10; el motor de detección de deriva MIR-7 ejecuta las comprobaciones de deriva de frontera de FED-6 según contrato. Los Rastros históricos de conflicto (FED-9), los Sucesos de ciclo de vida de la federación y el paquete histórico terminal de FED-11 persisten por la maquinaria de archivo de MIR-9. Artefactos: capturas crudas, fichas de procedencia, propuestas de entrada al registro de maestría, metadatos de frescura, Sucesos de deriva, paquetes de federación archivados. - **ACT.** Hacia fuera: los Vectores de confianza por fuente de FED-8 y el estado de la cuarentena de admisión son entradas obligatorias de calificación de ACT-2; una fuente por debajo de su umbral operativo degrada la confianza de la señal por debajo del umbral de auto-decisión, y una clase de señal cuya evidencia descansa solo en espejos federados nunca es auto-decidible en T3. Hacia dentro: la divergencia ligada a la actuación que implica espejos federados o hechos declarados por el socio llega desde ACT-10 como candidata a conflicto para FED-9; las divulgaciones salientes disparadas por la actuación pasan por FED-4 como cualquier otra entrega. Artefactos: instantáneas de Vector de confianza, estado de cuarentena de admisión, candidatos a conflicto, Proyecciones entregadas. - **CON.** Las correcciones al contenido espejado del socio viajan al maestro y vuelven por re-entrega, jamás por la cadena de autoría de CON. Las migraciones de estándar y esquema de CON-12 invocan FED-7 para correspondencias entre versiones y ventanas de compatibilidad con pares. Las notificaciones a consumidores que exigen los cambios de correspondencia de FED-7 y las congelaciones de espejos y terminaciones de FED-11 se resuelven contra el registro de consumidores y suscripciones de CON-13. Artefactos: versiones de correspondencia y avisos de obsolescencia, correspondencias de compatibilidad de migración, listas de notificación a consumidores. - **QSC.** QSC-6 compara las concesiones reales con el registro de consentimiento más la política de consentimiento permanente y verifica que toda concesión de FED-3 auto-emitida cite su versión de política. Las suites de regresión de FED-7 y los conjuntos de reglas de validación de FED-8 se ejecutan por la maquinaria de validación de QSC-4; el Auditor muestrea las entregas de FED-4 y los rastros de FED-9. Los incidentes de divulgación no autorizada abren QSC-8 (la especialización de seguridad de QSC-14); todos los demás incidentes FED (acceso residual pasado el TTL, saturación de la cuarentena de admisión, caídas de puerta, monitores muertos) abren QSC-14. Los barridos de FED-3, los ciclos de FED-6 y los monitores de FED-10 son trabajos permanentes registrados, operados y meta-vigilados por QSC-15. Artefactos: informes de validación, muestras de auditoría, registros de incidentes, entradas del registro de trabajos permanentes. - **CTX.** Todo paso T2/T3 de esta familia corre bajo un Contrato de delegación emitido, enmendado, suspendido y revocado únicamente por CTX-9; las puertas FED validan la vigencia del contrato en el momento del acto y honran las revocaciones de CTX-9 dentro del TTL declarado (disciplina de revocación de COMMON), reflejando los mismos límites de TTL que esta familia concede a los socios. El cribado de peligros de FED-8 y el control de toda la paleta de que los datos nunca son una orden (COMMON) son restricciones impuestas escritas en esos contratos. Artefactos: Contratos de delegación, comprobaciones de vigencia en puerta, rastros de auditoría de agentes, registros de revisión por muestreo. - **GOV.** Las decisiones de Propietario y Custodio en toda esta familia (firmas y mandatos de FED-2, excepciones de política y órdenes de revocación de FED-3, resoluciones y apelaciones de FED-9, cambios de estado de FED-10, decisiones de FED-11) se registran por GOV-1; las enmiendas de contrato reentran por la maquinaria de decisión de GOV-1 hacia FED-2. Las políticas de consentimiento permanentes con techos agregados, las plantillas de contrato, la política de confianza, los predicados de compromiso, los predicados de umbral de promoción y operativo, los umbrales de vigilancia y la política de retención son artefactos versionados de GOV-2 que FED ejecuta. La sucesión y los suplentes de GOV-3 evitan que las puertas T1 de esta familia fallen cerradas para siempre por la pérdida del Propietario. Las concesiones internas (no federadas) son GOV-7, el espejo doméstico de FED-3: una doctrina de consentimiento, dos registros, cada uno con su maestro. El material de claves intercambiado en FED-5, la rotación de claves del socio en FED-6 y la retirada de credenciales en FED-11 corren por GOV-8. El actor Auditor nombrado en las fichas FED se contrata por GOV-6. La génesis del modelo (GOV-4) precede a FED-5; la retirada del modelo (MIR-11) secuencia FED-11 por socio. Artefactos: Sucesos de decisión, configuraciones de política y umbral, registros de concesiones, credenciales y claves, encargos de auditoría. ### FED-1 Descubrimiento y evaluación de federaciones - Propósito: Encontrar Universos candidatos a socio, leer sus metadatos públicos de federación y evaluar si merece la pena perseguir una relación de confianza, sin divulgar ni leer conocimiento protegido por ninguna de las dos partes. Etapa del ciclo de vida de la federación: Descubrimiento y evaluación (Federation-Lifecycle 4). - Disparador: una necesidad de capacidad del Propietario o del Custodio ("necesitamos datos de proveedores"); una consulta de federación entrante desde otro Universo; un escaneo programado de registros y pares conocidos (un trabajo permanente registrado en QSC-15). - Actores: el Custodio es responsable. El Agente PUEDE ejecutar el escaneo de metadatos y la compilación del dossier en T3 y la valoración de evaluación en T2. La decisión de perseguir corresponde al Propietario y DEBERÁ permanecer en T1 (el Agente propone, el Propietario aprueba cada decisión), registrada por GOV-1. El Auditor (contratado vía GOV-6) PUEDE revisar dossieres de candidatos de dominios restringidos. - Entradas / Salidas: Entradas: enunciado de la necesidad de capacidad; metadatos públicos de federación del candidato (espacios de nombres, esquemas públicos, perfiles de proyección, tipos de contrato admitidos, versión de protocolo); política de confianza propia y predicado de compromiso (artefactos versionados de GOV-2). Salidas: dossier del candidato; registro de evaluación con una valoración inicial del Vector de confianza por dimensión; Suceso de decisión de seguir o no seguir (GOV-1). - Pasos: 1. Registrar la intención de descubrimiento como Suceso con propósito declarado. 2. Recoger los metadatos públicos de federación de cada candidato (solo descubrimiento de esquema; no se piden ni se aceptan datos de instancia). 3. Verificar las afirmaciones de identidad del candidato y su nivel de conformidad declarado. 4. Compuerta: ¿publica el candidato metadatos de federación utilizables? No: registrar un hallazgo de no federable y parar. 5. Compilar el dossier: espacios de nombres, perfiles de proyección ofrecidos, contratos admitidos, gobernanza, restricciones legales y organizativas. 6. Valorar al candidato contra la política de confianza propia como un Vector de confianza inicial (Trust-Model.md 6a-7): niveles por dimensión sobre Identidad, Semántica, Gobernanza, Contrato, Operativa e Histórica, cada uno evaluado y registrado de forma independiente, jamás colapsado en un solo escalar; más compatibilidad de versiones y ajuste de propósito. 7. Compuerta: ¿satisface la valoración el predicado de compromiso (un predicado versionado de GOV-2 sobre dimensiones nombradas del Vector de confianza)? No: archivar el dossier con su razón y parar. El registro de evaluación DEBERÁ declarar en qué dimensiones se apoyó. 8. Presentar el dossier y la recomendación al Propietario. 9. Compuerta: ¿aprueba el Propietario seguir adelante? Sí: abrir un caso de negociación y pasar a FED-2. No: archivar con su razón. 10. Registrar el Suceso de resultado de la evaluación (decisión vía GOV-1). - Controles: El descubrimiento NO DEBERÁ requerir ni aceptar divulgación de conocimiento protegido en ninguna dirección. La verificación de identidad DEBERÁ preceder a la valoración. La puerta de aprobación del Propietario DEBERÁ preceder a toda negociación. La confianza DEBERÁ valorarse por dimensión, jamás como una puntuación contra un umbral. Todos los hallazgos DEBERÁN registrarse como Sucesos. - Nivel: recomendado. - Variantes: Solo: el Propietario ejecuta personalmente los pasos 5 a 9 sobre un único candidato. Equipo: el Custodio lleva el proceso, el Propietario firma. A escala: un agente de descubrimiento permanente en T3 (registrado en QSC-15) vigila registros y archiva dossieres en una cola semanal de revisión del Propietario. Manual: una persona lee la documentación del socio. Híbrida: el agente compila, la persona valora. Autónoma: el agente también valora; la persona aparece solo en el paso 9. - Métricas: tasa de conversión de candidato a compromiso; días medianos de la intención a la decisión; proporción de dossieres con metadatos completos; número de peticiones de datos protegidos hechas por error durante el descubrimiento (objetivo cero). - Modos de fallo: (1) Las consultas salientes filtran la intención protegida del Propietario: guardia: una plantilla de consulta aprobada por el Custodio de la que el Agente no puede desviarse. (2) La evaluación corre sobre metadatos rancios del socio: guardia: comprobación de antigüedad de metadatos con refresco antes de valorar. (3) El entusiasmo se salta el predicado de compromiso: guardia: el predicado es política versionada de GOV-2; las excepciones exigen una decisión del Propietario registrada por GOV-1. (4) Una consulta entrante con texto de apariencia de instrucción es tomada por una orden por un Agente: guardia: el contenido entrante es dato, jamás una orden (COMMON); el Agente solo puede archivarlo en el dossier. ### FED-2 Negociación y firma del contrato de federación - Propósito: Convertir una evaluación positiva en un Contrato de federación firmado que nombre propósito, alcance, perfiles de proyección, estrategia de sincronización, enfoque de vinculación de identidad, propiedad de las correspondencias semánticas, precedencia ante conflictos, y términos de revocación y terminación. Un Contrato de federación es la especialización entre Universos del Contrato semántico (Contract.md 5-6, Federation-Contracts.md 3a); los Contratos de delegación (CTX-9) y los contratos de capacidad de ACT-3 son especializaciones hermanas del mismo instrumento. Etapa del ciclo de vida: Negociación (Federation-Lifecycle 4). - Disparador: decisión afirmativa aprobada por el Propietario procedente de FED-1, o una propuesta iniciada por el socio. - Actores: el Propietario firma; la firma no se delega en sustancia: la autoridad de firma NO DEBERÁ delegarse en un Agente en ningún nivel ni se transfiere al Custodio. El Custodio negocia dentro de un mandato escrito registrado por GOV-1. La redacción de posiciones nuevas DEBERÁ permanecer en T1 (el Agente propone, una persona aprueba cada posición antes de enviarla); la negociación de parámetros de plantilla PUEDE correr en T2. El Auditor (contratado vía GOV-6) revisa el borrador final siempre que haya clases restringidas en alcance. - Entradas / Salidas: Entradas: dossier del candidato; plantillas de contrato propias y política de divulgación (artefactos versionados de GOV-2); propuestas del socio. Salidas: Contrato de federación firmado; Suceso de establecimiento; entradas en el registro de consentimiento; propuestas de entrada al registro de maestría ejecutadas vía MIR-1 (declaraciones de flujo por conjunto de datos); lista de trabajo de establecimiento para FED-5. - Pasos: 1. Abrir un caso de negociación; ambas partes declaran su propósito. 2. Intercambiar plantillas de contrato y acordar la plantilla que rige. 3. Redactar el alcance: espacios de nombres participantes, perfiles de proyección por conjunto de datos, clasificaciones de divulgación. 4. Redactar los términos operativos: estrategia y cadencia de sincronización, enfoque de vinculación de identidad, autoridad sobre las correspondencias semánticas, reglas de precedencia ante conflictos, términos de revocación (incluido el límite de TTL de revocación), obligaciones de auditoría, y cláusulas de terminación y supervivencia. 5. Compuerta: ¿algún término exige divulgación más allá de la política permanente propia? Sí: encaminar al Propietario como decisión explícita de excepción de política registrada por GOV-1; el paso DEBERÁ permanecer en T1 (el Agente propone, el Propietario aprueba cada excepción). 6. Ejecutar ciclos de correcciones hasta converger o salir. 7. Compuerta: ¿convergió? No: registrar un Suceso de negociación fallida, archivar, parar. 8. Revisión del Auditor antes de la firma cuando haya clases restringidas en alcance. 9. Ambos Propietarios firman; registrar la firma como Suceso de federación y como Suceso de decisión de GOV-1. 10. Registrar el contrato: entradas en el registro de consentimiento; entradas de registro de maestría propuestas a MIR-1 para su ejecución (cada flujo declarado nombra a su maestro único; la federación jamás transfiere maestría); ganchos de vigilancia registrados como trabajos permanentes de QSC-15 para FED-10. 11. Entregar la lista de trabajo de establecimiento a FED-5. - Controles: Toda divulgación negociada DEBERÁ resolverse en un perfil de proyección nombrado, jamás en acceso al almacén; la puerta de firma DEBERÁ verificarlo línea a línea. Ningún contrato DEBERÁ mover la maestría de conjunto de datos alguno; MIR-1 valida cada declaración de flujo propuesta. Las cláusulas de terminación y revocación (con un TTL declarado) DEBERÁN existir antes de permitir la firma. La firma del Propietario DEBERÁ permanecer en T1 en todas las variantes y no se delega en sustancia. - Nivel: nuclear. - Variantes: Solo: el Propietario negocia directamente sobre la plantilla pública. Equipo: el Custodio negocia bajo un documento de mandato; el Propietario firma. Las redes federadas PUEDEN publicar plantillas de contrato preaprobadas (GOV-2) de modo que la negociación se reduzca a rellenar parámetros (Agente en T2). Las variantes manual, híbrida y autónoma difieren solo en quién redacta; la firma sigue siendo humana en todas. - Métricas: duración del ciclo de negociación; proporción de términos tomados sin cambios de las plantillas; escaladas de excepción de política por contrato; tasa de enmiendas en los primeros 90 días tras la firma. - Modos de fallo: (1) El contrato concede "acceso" en vez de proyecciones nombradas: guardia: la puerta del paso 9 rechaza toda línea de alcance que no resuelva a un perfil de proyección. (2) Transferencia implícita de maestría ("el socio mantendrá nuestra lista de referencia"): guardia: la validación de un solo maestro de MIR-1 en el paso 10 rechaza todo flujo sin exactamente un maestro declarado. (3) Un Agente negocia más allá de su mandato: guardia: el Contrato de delegación (CTX-9) enumera los parámetros negociables; todo lo demás DEBERÁ permanecer en T1. (4) Términos de salida ausentes descubiertos solo al terminar: guardia: la cláusula de terminación es una sección obligatoria de la plantilla, validada antes de firmar. ### FED-3 Ciclo del consentimiento: concesión, renovación y revocación - Propósito: Operar la maquinaria de permisos de la regla de hierro para las lecturas de cara a la federación: toda lectura externa del modelo existe solo bajo una concesión viva, explícita, atada al propósito y revocable, emitida por el Propietario directamente o bajo su política de consentimiento permanente. Las concesiones internas (no federadas) son territorio de GOV-7, el espejo doméstico de este proceso. Etapa del ciclo de vida: Federación activa (las concesiones se extienden desde el Establecimiento hasta la Terminación). - Disparador: petición de divulgación entrante; establecimiento de contrato (FED-2) que requiere concesiones permanentes; revisión programada de concesiones (un trabajo permanente registrado en QSC-15); orden de revocación del Propietario (GOV-1). - Actores: el Propietario es el otorgante de registro. El Custodio administra el registro de consentimiento. El Agente PUEDE auto-emitir concesiones que casen con una política de consentimiento permanente preaprobada (artefacto versionado de GOV-2) en T2 y PUEDE ejecutar la propagación de revocaciones y los barridos de registro en T3. La aprobación de cualquier concesión fuera de política o de clase restringida no se delega en sustancia y DEBERÁ permanecer en T1 (el Agente prepara, el Propietario aprueba cada concesión). - Entradas / Salidas: Entradas: petición de divulgación (quién solicita, propósito declarado, alcance, duración); Contrato de federación; política de consentimiento permanente con techos agregados de alcance por receptor (GOV-2); registro de consentimiento. Salidas: registro de consentimiento (concesión, denegación, renovación o revocación) como Suceso trazable; registro de consentimiento actualizado; material de imposición de la concesión que consume la puerta de FED-4; compilaciones de la superficie viva de divulgación por receptor para la atestación del Propietario (entrada de FED-10). - Pasos: 1. Recibir y anotar la petición como Suceso: quién solicita, propósito declarado, alcance pedido, duración. 2. Validar: identidad de quien solicita, Contrato de federación vivo, propósito declarado explícitamente. 3. Compuerta: ¿casa la petición con la política de consentimiento permanente y una plantilla preaprobada? La rama afirmativa tiene dos precondiciones estructurales: (a) la comprobación de composición de divulgación acumulada (el cálculo del paso 4) DEBERÁ ejecutarse y superarse también en el camino de auto-emisión; (b) el alcance vivo agregado del receptor tras la emisión DEBERÁ permanecer bajo el techo agregado por receptor declarado en la política permanente; cruzar un techo escala estructuralmente a T1 aun para una petición que case con la plantilla. Cumplidas ambas: el Agente emite la concesión en T2, y el registro de la concesión cita la versión de política bajo la que se emitió, y continúa en el paso 6. En otro caso: continuar. 4. Preparar una propuesta de concesión para el Propietario: qué pasa a ser legible, bajo qué perfil de proyección, por cuánto tiempo, y a qué compone la petición combinada con las concesiones existentes de quien solicita y con las del grupo de afiliación de socios declarado (comprobación de divulgación acumulada). 5. Compuerta: ¿aprueba el Propietario? El paso DEBERÁ permanecer en T1 (el Agente propone, el Propietario aprueba cada concesión; decisión registrada por GOV-1). No: emitir una denegación trazable con su razón y parar. 6. Registrar el consentimiento: otorgante, receptor, propósito, alcance, perfil de proyección, duración, términos de revocación y la autoridad emisora (Suceso de decisión de GOV-1, o la versión de política permanente para la auto-emisión). 7. Acuñar el material de imposición de la concesión con una ventana de validez acotada (TTL corto), de modo que la revocación tenga un tiempo de propagación declarado en el peor caso. La revocación se impone en la puerta, jamás la honra el receptor (disciplina de revocación de COMMON). 8. Programar una revisión de renovación antes del vencimiento usando el patrón de recertificación de registros de COMMON (parametrizado: registro = registro de consentimiento; umbrales = duraciones de concesión; aprobador = Propietario o política permanente); el vencimiento sin renovación DEBERÁ cerrar la concesión automáticamente. 9. Ante una orden de revocación: añadir el Suceso de revocación, dejar de honrar la concesión en la puerta dentro de un TTL, notificar al receptor y registrar qué obligaciones sobreviven (retención, borrado, confidencialidad de las proyecciones ya entregadas). 10. Higiene periódica: el Agente barre el registro en busca de concesiones vencidas, sin uso y huérfanas y propone su limpieza (T2), y compila para cada receptor su superficie viva total de divulgación para la atestación periódica del Propietario; el Suceso de atestación es una entrada de FED-10. - Controles: Denegación por defecto: sin registro de consentimiento, no hay lectura. El consentimiento DEBERÁ ser explícito, atado al propósito, identificable y trazable. Una concesión aprobada para un propósito NO DEBERÁ autorizar otro. Las concesiones se crean solo por decisión del Propietario o mecánicamente bajo una política de consentimiento permanente aprobada por el Propietario y versionada; los Agentes NO DEBERÁN jamás ampliar el acceso fuera de esa política, y toda concesión auto-emitida DEBERÁ citar su versión de política (QSC-6 compara concesiones reales contra registro más política permanente y verifica la cita). La revocación DEBERÁ preservar los registros históricos de auditoría y NO DEBERÁ invalidar retroactivamente las lecturas hechas mientras la concesión estuvo viva. Los Sucesos de consentimiento los añade la maquinaria de registro y de puerta, jamás el Agente que solicita o emite, y se encadenan por hash según el control de registro de toda la paleta (COMMON). El Propietario PUEDE anular cualquier concesión auto-emitida. - Nivel: nuclear. - Variantes: Solo: el Propietario aprueba personalmente cada concesión; la política permanente está vacía; todos los pasos DEBERÁN permanecer en T1. Equipo: el Custodio opera el registro; el Propietario aprueba política y excepciones. A escala: un agente de política de consentimiento auto-emite concesiones de plantilla en T2 con una ventana de enfriamiento para revocar; las clases de alta sensibilidad siempre exigen la ceremonia completa. Caso de esfuerzo MOS (repositorio externo de referencia): la capa S2 de contratos de acceso corre este proceso para toda una polis con plantillas permanentes constitucionales y una puerta del lado del propietario. - Métricas: tiempo de la petición a la decisión; proporción de concesiones auto-emitidas dentro de política; tiempo medido de propagación de revocación frente al límite de TTL declarado; receptores por encima de una fracción declarada de su techo agregado; cumplimiento de la cadencia de atestación; lecturas intentadas sin concesión viva (objetivo cero; cada una abre un incidente QSC-8). - Modos de fallo: (1) Deriva de propósito: un receptor reutiliza una concesión para un propósito nuevo: guardia: el propósito forma parte de la identidad de la concesión; la puerta rechaza declaraciones de propósito discordantes y abre un incidente (QSC-8). (2) Revocación anunciada como instantánea: guardia: el límite de TTL está escrito en la concesión misma; límites honestos, no absolutos ficticios. (3) Concesiones zombi que sobreviven a su contrato: guardia: la terminación del contrato (FED-11) encadena un barrido de revocación, y el paso 10 atrapa a las rezagadas. (4) Un Agente auto-emite una concesión fuera de política: guardia: la coincidencia con plantilla se comprueba por máquina antes de emitir, la aprobación fuera de política es estructuralmente T1, cada auto-emisión cita su versión de política, y el Custodio muestrea cada flujo de auto-emisión. (5) Rebanado dentro de política: muchas concesiones individualmente conformes componen más allá de lo que el Propietario aprobaría a sabiendas: guardia: la comprobación de composición y el techo agregado son precondiciones estructurales de la rama de auto-emisión, y la atestación periódica del Propietario de la superficie viva total de divulgación de cada receptor atrapa el residuo acumulado. ### FED-4 Revisión de la divulgación y entrega de la proyección - Propósito: Dar forma y comprobar cada envío saliente antes de que salga: qué sale, qué se redacta y que el artefacto entregado es una Proyección construida para un propósito, jamás acceso crudo al modelo. Esta es la puerta donde la regla de hierro se impone físicamente. Etapa del ciclo de vida: Federación activa. - Disparador: una petición de lectura que llega bajo una concesión viva (FED-3); un lote de sincronización (FED-6) preparando una carga saliente; cualquier petición de exportación ad hoc. - Actores: el Custodio responde de la política de entrega. El Agente genera proyecciones y ejecuta las comprobaciones de entrega en T2, y en T3 para perfiles establecidos ya entregados antes (con rastro de auditoría completo). La primera entrega de un perfil de proyección nuevo, y toda entrega que contenga clase restringida, DEBERÁN permanecer en T1 (el Agente prepara el artefacto, una persona aprueba cada entrega). El Auditor (contratado vía GOV-6) muestrea los artefactos entregados. - Entradas / Salidas: Entradas: registro de consentimiento vivo; perfil de proyección; registros fuente con metadatos de maestría y frescura; reglas de redacción y clasificación; grupos de afiliación de socios declarados. Salidas: instancia de Proyección entregada; Suceso de divulgación que nombra a quien solicita, el propósito declarado, el perfil de proyección, la decisión, la marca de tiempo, el Contrato de federación que rige y la identidad del Universo que responde (Consent-and-Disclosure 12); entrega bloqueada con su razón cuando las comprobaciones fallan. - Pasos: 1. Resolver la petición a un registro de consentimiento y verificar que está vivo. La comprobación falla cerrada: si la validación o la escritura del registro de divulgación (por entrega o agregada, según corresponda) no puede completarse, no sale nada. 2. Ensamblar el contenido candidato estrictamente desde el alcance declarado del perfil. 3. Verificar maestría y frescura: el contenido maestrado externamente (espejado) DEBERÁ llevar su maestro y su hora de recolección; el contenido más allá de su límite de obsolescencia DEBERÁ señalarse o excluirse según la regla del perfil. 4. Aplicar el modelado: omitir campos, transformar valores, agregar, anonimizar o redactar según el perfil. Los registros canónicos permanecen sin cambios. 5. Ejecutar la lista de entrega: coincidencia de clasificación; conocimiento mínimo (nada más allá del propósito declarado); ningún identificador restringido; ningún contenido de terceros cuyo propio contrato prohíba la re-divulgación; comprobación de composición de divulgación acumulada contra las demás concesiones del receptor y contra las concesiones combinadas del grupo de afiliación de socios declarado (dos receptores afiliados NO DEBERÁN recibir conjuntamente lo que ninguno podría recibir por separado). 6. Compuerta: ¿pasan todas las comprobaciones? No: bloquear la entrega, registrar la razón, encaminar al Custodio para arreglo o denegación; la decisión de arreglar o denegar DEBERÁ permanecer en T1. 7. Compuerta: ¿primer uso de este perfil, o hay clase restringida presente? Sí: aprobación humana del artefacto concreto antes de entregarlo (DEBERÁ permanecer en T1). 8. Entregar la Proyección y añadir el Suceso de divulgación en el mismo commit que la decisión de entrega. Para perfiles T3 establecidos la puerta PUEDE en su lugar añadir un Suceso de divulgación agregado por ciclo de sincronización o periodo de concesión, con recuento de peticiones, alcance y hash del contenido; el fallo cerrado se ata entonces al commit agregado. Los Sucesos por entrega siguen siendo obligatorios para entregas T1, primeras entregas de un perfil y clases restringidas. 9. Tras la entrega: el Auditor muestrea; una comprobación de deriva confirma que el perfil entregado sigue casando con el contrato. - Controles: Ningún camino DEBERÁ producir acceso crudo a espacio de nombres o base de datos. Toda divulgación DEBERÁ registrarse: por entrega como exactamente un Suceso o, solo para perfiles T3 establecidos, por ciclo como un Suceso agregado; en ambas formas el Suceso lleva el Contrato que rige y el Universo que responde (Consent-and-Disclosure 12). El registro de divulgación lo emite la puerta misma, jamás el Agente que actúa, se encadena por hash de forma continua con anclaje externo (COMMON), y es legible por el Propietario en todo momento. Una entrega sin registro de consentimiento vivo es un incidente (QSC-8), no un error. El fallo cerrado se ata a la escritura del registro. - Nivel: nuclear. - Variantes: Solo: el Propietario revisa cada artefacto saliente contra una lista de una página. Equipo: el Custodio es dueño de los perfiles, el Agente genera, una persona aprueba las entregas nuevas. A escala: una puerta T3 completamente automatizada para perfiles establecidos, con registro agregado y fallo cerrado y auditoría humana por muestreo. Caso de esfuerzo MOS (repositorio externo de referencia): maquinaria S3/S4, donde el commit atómico de registro de la puerta del lado del propietario es la entrega misma y cada forma sale de una enumeración cerrada. - Métricas: entregas por periodo y proporción auto-entregada; tasa de bloqueo con las principales razones; hallazgos de auditoría por cada 100 entregas muestreadas; entregas sin registrar (objetivo cero; cada una abre un incidente QSC-8). - Modos de fallo: (1) Sobre-recolección: el alcance del perfil es en silencio más ancho que el propósito: guardia: revisión periódica de perfil-frente-a-propósito más la comprobación de conocimiento mínimo del paso 5. (2) Elusión de la redacción por valores derivados (un agregado que se revierte a individuos, o receptores afiliados combinando proyecciones lícitas): guardia: comprobaciones de composición y de celdas pequeñas en la lista, calculadas sobre los grupos de afiliación de socios declarados. (3) Un espejo rancio enviado como verdad fresca: guardia: el etiquetado del paso 3 y la exclusión por obsolescencia. (4) Caída de la puerta más presión por enviar igualmente: guardia: el fallo cerrado es contractual; una entrega de emergencia exige una decisión del Propietario registrada por GOV-1. ### FED-5 Establecimiento de la federación y sincronización inicial - Propósito: Llevar una federación recién firmada al estado operativo: verificar identidades, establecer vinculaciones de identidad para las entidades compartidas, cargar las correspondencias semánticas acordadas, y ejecutar el primer intercambio completo con cada byte entrante pasando por la cuarentena de admisión y cada byte saliente pasando por la revisión de divulgación. FED-5 presupone un modelo activado nacido por GOV-4; el establecimiento nunca sustituye a la génesis del modelo. Etapa del ciclo de vida: Establecimiento (Federation-Lifecycle 4). - Disparador: Contrato de federación firmado entregado desde FED-2. - Actores: el Custodio dirige el establecimiento. El Agente ejecuta las propuestas de vinculación, la carga de correspondencias, la sincronización inicial y las diferencias de reconciliación en T2 (cada lote revisado). El Propietario (o el Custodio bajo mandato explícito registrado por GOV-1) declara la activación. Los roles del socio son simétricos. - Entradas / Salidas: Entradas: Contrato de federación; esquemas públicos de ambas partes; enfoque de vinculación de identidad; correspondencias semánticas iniciales; perfiles de proyección; material de claves custodiado por GOV-8. Salidas: entradas en el registro de vinculación de identidad; conjunto de correspondencias activado; primeros conjuntos espejo (promovidos por FED-8, aterrizados vía MIR-2); entradas de registro de maestría ejecutadas vía MIR-1; Suceso de activación de la federación; instantánea de salud de referencia para FED-10. - Pasos: 1. Verificar la identidad mutua y las referencias de contrato; intercambiar endpoints técnicos y material de claves (emitido, custodiado e inventariado por GOV-8). 2. Establecer vinculaciones de identidad: el Agente propone coincidencias candidatas entre entidades compartidas (T2); confirmar las vinculaciones según el enfoque del contrato; registrar cada vinculación como Suceso. Las entidades por debajo del umbral de confianza quedan sin vincular, jamás emparejadas a la fuerza. 3. Cargar y validar las correspondencias semánticas iniciales (método según FED-7); cada correspondencia nombra su autoridad y las versiones de ambos lados. 4. Ensayo: intercambiar una Proyección pequeña y representativa en cada dirección; verificar forma, aplicación de correspondencias y registro en ambos lados. 5. Compuerta: ¿ensayo limpio? No: arreglar y repetir; tres ciclos fallidos escalan a ambos Custodios. 6. Ejecutar el intercambio completo inicial según el alcance del contrato: las cargas entrantes aterrizan en cuarentena de admisión (FED-8); las salientes pasan la revisión de divulgación (FED-4). 7. Reconciliar: recuentos, sumas de verificación y comprobaciones puntuales entre lo enviado y lo recibido. Las discrepancias se registran, jamás se parchean en silencio. 8. Registrar los metadatos de frescura y proponer a MIR-1 la entrada de registro de maestría para cada conjunto espejo nuevo (el ejecutor único de cambios de registro, incluida su puerta del Propietario para sistemas externos nuevos); solo cuando exista la entrada pasa el espejo a ser legible para los Consumidores locales. 9. Compuerta: ¿reconciliación dentro de tolerancia y promociones de cuarentena de admisión completas? No: retener la activación y escalar. 10. Declarar la federación Activa; registrar el Suceso de activación; tomar la instantánea de métricas de referencia para FED-10. - Controles: Ningún dato de instancia DEBERÁ fluir antes de la firma del contrato y la verificación de identidad. La carga inicial no está exenta de la cuarentena de admisión ni de la revisión de divulgación. Todo espejo DEBERÁ tener una entrada de registro de maestría (ejecutada vía MIR-1) antes de que los Consumidores puedan leerlo. La activación DEBERÁ pasar la puerta de reconciliación. - Nivel: nuclear. - Variantes: Solo: los mismos pasos a escala de juguete; el ensayo puede durar todo el primer mes. Equipo: repartido entre un Custodio de datos (vinculaciones, correspondencias) y un Custodio de operaciones (sincronización, reconciliación). Topología en estrella: un Universo central ejecuta FED-5 por radio con vinculaciones de plantilla. Manual: intercambio por ficheros con reconciliación humana. Híbrida: el Agente sincroniza, la persona reconcilia. Autónoma: T3 permitido solo después de haber establecido al menos una vez la misma forma de contrato bajo revisión humana (periodo de prueba según CTX-9). - Métricas: días de la firma a la activación; precisión de vinculación sobre pares muestreados; tasa de discrepancia de reconciliación en la carga inicial; proporción de la carga inicial rechazada en cuarentena de admisión. - Modos de fallo: (1) Coincidencias de identidad forzadas crean una falsa mismidad entre Universos: guardia: los pares por debajo del umbral quedan sin vincular; los pares límite van a revisión humana. (2) La carga masiva se salta la cuarentena de admisión "por el volumen": guardia: la capacidad de cuarentena forma parte de la planificación del establecimiento; saltársela exige una excepción del Propietario registrada por GOV-1. (3) Espejos legibles antes de que existan las entradas de registro: guardia: la marca de legibilidad se activa solo cuando MIR-1 ejecuta la entrada en el paso 8. (4) Establecimiento interminable: guardia: la escalada a los tres ciclos del paso 5 más una fecha límite de activación en el contrato. ### FED-6 Operación de sincronización continua - Propósito: Mantener coherentes los conjuntos de datos acordados entre Universos federados con la cadencia contratada, moviendo solo Proyecciones, preservando la maestría en ambos lados y sacando la deriva a la luz en vez de esconderla. Etapa del ciclo de vida: Federación activa. - Disparador: el calendario contratado (un trabajo permanente registrado en QSC-15); Sucesos de cambio en conjuntos propios maestrados (sincronización por sucesos); una petición de sincronización del socio. - Actores: el Agente opera los ciclos rutinarios en T3 con rastro de auditoría completo. El Custodio revisa excepciones e informes de deriva en T2. El Propietario interviene solo cuando un ciclo levanta una escalada de consentimiento o de conflicto. La rama semántica del paso 7 DEBERÁ correr en T2 o más estricto en todas las variantes. - Entradas / Salidas: Entradas: plan de sincronización del Contrato de federación; Sucesos de cambio desde el último ciclo; conjunto de correspondencias; registros de consentimiento; capacidad de la cuarentena de admisión. Salidas: Proyecciones salientes (vía FED-4); espejos actualizados (vía promoción de FED-8 y aterrizaje de MIR-2); un Suceso de informe de ciclo con actualizaciones de frescura; hallazgos de deriva; candidatos a conflicto entregados a FED-9. - Pasos: 1. Iniciar el ciclo al dispararse. Compuerta: ¿federación Activa y contrato no vencido? No: parar y avisar. Comprobar previamente la validez de las claves del socio (custodia y rotación según GOV-8). 2. Calcular el delta saliente de los conjuntos propios maestrados según el alcance del contrato. 3. Pasar el lote saliente por la revisión de divulgación (FED-4) y enviarlo. 4. Recibir el lote entrante en cuarentena de admisión (FED-8); esperar la promoción. 5. Aplicar el contenido promovido a los espejos; actualizar los metadatos de frescura. Los espejos siguen siendo de solo lectura para los Consumidores locales. 6. Detección de deriva: ejecutar el motor de detección de deriva MIR-7 en la frontera de federación según contrato: comparar las huellas de los conjuntos compartidos contra las huellas declaradas por el socio; los hallazgos de deriva de frontera son Sucesos de deriva de MIR-7 etiquetados con el contrato. 7. Compuerta: ¿se hallaron deriva o errores de correspondencia? Clasificar: mecánica (resoluble en la dirección que declara la regla de conflicto del contrato; el Agente lo arregla en T3) o semántica (dos maestros parecen discrepar; abrir un objeto de conflicto y pasarlo a FED-9). 8. Cerrar el ciclo: escribir el Suceso de informe de sincronización (volúmenes, rechazos, deriva, latencia); actualizar las señales de salud para FED-10. 9. Compuerta: ¿ciclos fallidos consecutivos por encima del umbral? Escalar al Custodio y marcar la federación como Degradada. - Controles: La sincronización DEBERÁ mover Proyecciones, jamás almacenes crudos. La dirección de flujo por conjunto de datos DEBERÁ casar con el registro de maestría; un ciclo que fuera a escribir contra un maestro declarado DEBERÁ abortar. Todo ciclo DEBERÁ producir un Suceso de informe trazable. La deriva DEBERÁ resolverse solo en la dirección declarada contractualmente, jamás por criterio caso a caso; la deriva semántica NO DEBERÁ arreglarse automáticamente. - Nivel: recomendado (nuclear en cuanto un contrato promete coherencia continua). - Variantes: Solo: una exportación-importación manual semanal con lista de comprobación. Equipo: ciclos nocturnos ejecutados por el Agente con cola de excepciones del Custodio. Multi-federación: un agente de sincronización por contrato, sin credenciales compartidas entre federaciones (regla de custodia de GOV-8). Las variantes manual, híbrida y autónoma asignan los pasos 2 a 8 a T1, T2 y T3 respectivamente; la rama de deriva semántica se queda en T2 o más estricto en todas. - Métricas: tasa de éxito de ciclos; latencia de punta a punta frente a la cadencia contratada; incidentes de deriva por cada mil registros; tiempo medio de la detección de deriva a la resolución o escalada. - Modos de fallo: (1) Resolución silenciosa de conflictos por sobrescritura: guardia: la clasificación del paso 7 es obligatoria y la deriva semántica no puede arreglarse automáticamente; la auditoría compara los cambios de los espejos con los registros de conflicto. (2) Contrapresión: la acumulación en cuarentena de admisión crece hasta que la sincronización "se la salta": guardia: el ciclo falla cerrado cuando la cuarentena está saturada; saltársela no es opción; la saturación abre un incidente QSC-14. (3) Teatro de cadencia: los ciclos salen en verde pero no mueven nada porque murió un filtro: guardia: una alarma de racha de delta cero en FED-10, meta-vigilada por QSC-15. (4) Rotura de credenciales tras la rotación de claves del socio: guardia: la comprobación previa de validez de claves del paso 1 con su propia clase de alerta, y la rotación rutinaria con transición por consumidor gestionada por GOV-8. ### FED-7 Mantenimiento de las correspondencias semánticas - Propósito: Mantener correctas las correspondencias término a término entre dos modelos a medida que ambos lados evolucionan, para que las Proyecciones intercambiadas sigan significando lo que ambas partes creen. Etapa del ciclo de vida: Federación activa (también sirve a la Evolución, cuando cambian el alcance del contrato o las versiones del estándar). - Disparador: un Suceso de cambio de versión de esquema en cualquiera de los lados; un error de correspondencia aflorado por la sincronización (FED-6) o la cuarentena de admisión (FED-8); una revisión programada de correspondencias; un conjunto de datos nuevo añadido al alcance del contrato; una migración de estándar o esquema de CON-12 que exija correspondencias entre versiones y una ventana de compatibilidad con pares. - Actores: el Custodio ostenta la autoridad de correspondencia por su lado. El Agente propone correspondencias y detecta roturas en T2 y aplica actualizaciones mecánicas preaprobadas (renombrados, subidas de versión con semántica inalterada) en T3. Las ediciones que afectan al significado DEBERÁN permanecer en T1 (los Agentes proponen, los Custodios de ambas partes aprueban cada edición). El Auditor muestrea la calidad de las correspondencias. - Entradas / Salidas: Entradas: ambos esquemas con sus versiones; el conjunto de correspondencias actual con sus autoridades; Sucesos de cambio; informes de error; estándares externos de referencia cuando el contrato usa un núcleo canónico. Salidas: actualizaciones de correspondencia versionadas y registradas como Sucesos; avisos de obsolescencia; resultados de pruebas de regresión; entradas actualizadas del registro de correspondencias. - Pasos: 1. Detectar o recibir el cambio: Suceso de versión de esquema, informe de error, fecha de revisión o aviso de migración de CON-12. 2. Análisis de impacto: qué correspondencias referencian los términos cambiados y qué Proyecciones contratadas las usan (Agente, T2). 3. Compuerta: ¿cambió la semántica, o solo la representación? Solo representación: el Agente aplica la actualización mecánica en T3, registra el Suceso, listo. Cambió la semántica: continuar. 4. Redactar la correspondencia nueva con un tipo de correspondencia explícito (exacta, más amplia, más estrecha, aproximada) y reglas de transformación declaradas donde hagan falta. 5. Revisión cruzada: ambos Custodios confirman el significado redactado (DEBERÁ permanecer en T1 cuando asistan Agentes). Un desacuerdo aquí se vuelve candidato a conflicto para FED-9. 6. Versionar y publicar la correspondencia. La versión anterior queda obsoleta, jamás borrada: las correspondencias históricas DEBERÁN seguir siendo reconstruibles. 7. Prueba de regresión: volver a pasar intercambios representativos por la correspondencia nueva y compararlos con las salidas esperadas (maquinaria de validación de QSC-4). 8. Compuerta: ¿regresión limpia? No: revertir a la versión anterior y reabrir en el paso 4. 9. Notificar el cambio de correspondencia a los consumidores, resueltos contra el registro de consumidores y suscripciones de CON-13; programar la siguiente revisión. - Controles: Una correspondencia DEBERÁ describir correspondencia y NO DEBERÁ redefinir el significado canónico de ninguno de los lados. Toda correspondencia DEBERÁ nombrar su autoridad publicadora y las versiones de ambos modelos participantes. Los cambios que afectan al significado DEBERÁN ser confirmados por ambas partes. Las correspondencias obsoletas DEBERÁN preservarse. - Nivel: recomendado (nuclear cuando el intercambio contratado depende de correspondencias no triviales). - Variantes: Solo: el Propietario mantiene a mano una tabla de correspondencias con fecha de revisión. Equipo: un Custodio de correspondencias por dominio. Topología en estrella: un registro compartido de correspondencias al que se suscriben los radios; las correspondencias del registro obedecen igualmente cada regla de aquí. Techo de autonomía: T3 solo para actualizaciones de nivel de representación; la redacción semántica es como mucho T2 y la aprobación semántica DEBERÁ permanecer en T1. - Métricas: proporción de roturas de correspondencia halladas en revisión frente a halladas en producción (debe favorecer la revisión); tiempo mediano del cambio de esquema a la correspondencia actualizada; cobertura de regresión de las correspondencias activas; número de correspondencias aproximadas pendientes de mejora. - Modos de fallo: (1) Deriva semántica silenciosa: los términos siguen correspondiéndose pero los significados divergieron: guardia: revisiones semánticas programadas con comprobaciones de retrotraducción por muestreo. (2) Ediciones unilaterales de correspondencia: guardia: publicar un cambio semántico exige la firma de ambas autoridades. (3) Historia perdida en la limpieza: guardia: obsolescencia en vez de borrado, impuesta por máquina. (4) Reglas de transformación que "mejoran" hechos al vuelo: guardia: las transformaciones se declaran y se prueban; el enriquecimiento pertenece a las capas propias del modelo, jamás al interior de una correspondencia. ### FED-8 Cuarentena de admisión de datos entrantes y evaluación de confianza - Propósito: Asegurar que nada recibido de un socio toque la superficie legible del modelo hasta que esté validado, sellado con procedencia y evaluado en confianza dentro de la cuarentena de admisión (la zona de retención entrante, ilegible hasta su promoción), y mantener al día un Vector de confianza por fuente basado en evidencia (Trust-Model.md 6a-7). Etapa del ciclo de vida: Federación activa (y guardia de la carga inicial del Establecimiento). - Disparador: cualquier carga entrante (ciclo de sincronización, entrega ad hoc, carga inicial); reevaluación programada del Vector de confianza (un trabajo permanente registrado en QSC-15). - Actores: el Agente ejecuta recepción, validación y evaluación en T3 con rastro de auditoría completo. El Custodio adjudica los elementos fallidos y límite en T2; la adjudicación de clase restringida DEBERÁ permanecer en T1 (el Agente propone, el Custodio o el Propietario aprueba cada elemento). El Propietario fija la política de confianza y aprueba los predicados de umbral de promoción y de umbral operativo (configuraciones versionadas de GOV-2). - Entradas / Salidas: Entradas: carga entrante con atestación del remitente; referencias de contrato y consentimiento; reglas de validación (maquinaria de QSC-4); conjunto de correspondencias; el Vector de confianza actual de la fuente; predicados de umbral de promoción y operativo (GOV-2, con valores por defecto entregados). Salidas: actualizaciones de espejo promovidas con fichas de procedencia (aterrizadas por el camino posterior a la promoción de MIR-2); rechazos con razones devueltos al remitente; Vector de confianza por fuente actualizado, publicado como entrada obligatoria de calificación para ACT-2 y como señal de FED-10; Sucesos de informe de cuarentena de admisión. - Pasos: 1. Aterrizar la carga sin modificar en la zona de cuarentena de admisión con una ficha de procedencia: fuente, referencia de contrato, hora de extracción, alcance declarado, recuentos, sumas de verificación. 2. Verificar el sobre: identidad del remitente, validez del contrato, carga dentro del alcance contratado. Compuerta: ¿falla el sobre? Rechazar la carga entera, registrar, notificar al remitente. 3. Validar el contenido: conformidad de esquema, aplicabilidad de correspondencias, sensatez referencial contra las vinculaciones existentes, ausencia de clases de contenido que el contrato no permite enviar al socio. 4. Cribar peligros: registros malformados; contenido ejecutable o de inyección en campos de texto; contenido con apariencia de instrucción dirigido a Agentes (señalado y tratado estrictamente como dato, jamás obedecido, según el control de toda la paleta de que los datos nunca son una orden en COMMON); anomalías estadísticas contra el perfil histórico de la fuente. 5. Evaluar el lote contra el Vector de confianza de la fuente (Trust-Model.md 6a-7): niveles por dimensión (Desconocida, Limitada, De confianza, Muy de confianza, Autoritativa) sobre Identidad, Semántica, Gobernanza, Contrato, Operativa e Histórica, cada uno evaluado y revisado de forma independiente; el resultado de los pasos 2 a 4 actualiza específicamente las dimensiones Operativa e Histórica. La confianza NO DEBERÁ colapsarse en un solo escalar. 6. Compuerta: ¿satisface el Vector de confianza de la fuente el predicado de umbral de promoción (un predicado versionado de GOV-2 sobre dimensiones nombradas; valor por defecto entregado: Operativa al menos De confianza Y Histórica al menos Limitada Y ninguna dimensión de la que se dependa en Desconocida)? Satisfecho: promover a los espejos con metadatos de procedencia y frescura (Agente, T3; MIR-2 ejecuta el aterrizaje posterior a la promoción). Dentro del margen límite declarado del predicado: retener para revisión del Custodio (T2). No satisfecho: rechazar, devolver razones, registrar. Los Sucesos de promoción y rechazo DEBERÁN declarar en qué dimensiones del Vector de confianza se apoyaron. 7. Actualizar el Vector de confianza de la fuente a partir del resultado del lote; una caída en cualquier dimensión de la que se dependa levanta una alerta hacia FED-10. 8. Compuerta: ¿Vector de confianza por debajo del predicado de umbral operativo del contrato (GOV-2; valor por defecto entregado: Operativa al menos Limitada Y Contrato al menos De confianza)? Notificar al Custodio; esto DEBERÍA disparar una revisión de la federación y PUEDE llevar a la suspensión vía FED-11. Mientras una fuente esté por debajo de su umbral operativo, sus datos degradan la confianza de la señal por debajo del umbral de auto-decisión de ACT-2. 9. Escribir el Suceso de informe de cuarentena de admisión. - Controles: El contenido en cuarentena de admisión DEBERÁ ser ilegible para los Consumidores normales; la promoción es el único camino a la legibilidad, y MIR-2 DEBERÁ ejecutar solo el aterrizaje posterior a la promoción (rechaza contenido de clase federada sin registro de promoción). Las capturas crudas son evidencia inmutable: las correcciones ocurren en la fuente y llegan por re-entrega, jamás editando la captura. El contenido con apariencia de instrucción en las cargas NO DEBERÁ ser ejecutado ni obedecido jamás por los Agentes (control de COMMON de que los datos nunca son una orden; esta lista es su implementación de referencia en la frontera de federación, reflejada hacia dentro por MIR-2). Los Vectores de confianza DEBERÁN derivarse de evidencia registrada por dimensión y seguir siendo trazables; los umbrales son predicados declarados sobre dimensiones nombradas, jamás umbrales escalares. - Nivel: nuclear. - Variantes: Solo: la cuarentena de admisión es una carpeta de preparación más una lista antes de copiar dentro. Equipo: el Agente tría; el Custodio despeja la cola de retenciones a diario. Alto volumen: validación en flujo con comprobaciones profundas por muestreo, comprobaciones completas para fuentes nuevas. Caso de esfuerzo MOS (repositorio externo de referencia): flujos entrantes a escala de Estado con presupuestos por fuente y evaluación sellada. Autónoma: T3 de punta a punta dentro de política; las retenciones van siempre a una persona. - Métricas: tasa de promoción y tiempo mediano de permanencia en cuarentena de admisión; rechazos por clase de razón; trayectoria del Vector de confianza por dimensión y fuente; incidentes trazados a contenido promovido (objetivo cero; archivados por QSC-14). - Modos de fallo: (1) La cuarentena de admisión se vuelve un sello bajo el volumen: guardia: un tiempo mínimo de permanencia para fuentes nuevas, validación profunda por muestreo, y revisión por el Auditor de las estadísticas de promoción. (2) Inyección a través de datos: un Agente obedece instrucciones incrustadas en una carga: guardia: el cribado del paso 4 más la regla de toda la paleta de que el contenido de una carga nunca es fuente de instrucciones (COMMON). (3) Inflación de confianza por muchos lotes limpios triviales: guardia: las actualizaciones Operativa e Histórica ponderan recencia, gravedad y materialidad del lote, no recuentos brutos, y los umbrales leen dimensiones nombradas para que una dimensión inflada no pueda enmascarar otra. (4) Datos rechazados reenviados sin cambios hasta que cuelan: guardia: un comparador de reenvíos coteja sumas de verificación; los rechazos idénticos repetidos escalan al Custodio. ### FED-9 Resolución de conflictos entre maestros - Propósito: Resolver desacuerdos entre dos maestros soberanos sobre hechos compartidos o vinculados sin que ninguno sobrescriba la autoridad del otro, y preservar el conflicto mismo como hecho semántico permanente. Etapa del ciclo de vida: Federación activa (la escalada PUEDE alimentar la transición a Suspensión). - Disparador: deriva semántica de FED-6; un desacuerdo en la revisión cruzada de correspondencias (FED-7); un hallazgo de cuarentena de admisión que contradice registros locales (FED-8); divergencia ligada a la actuación que implique espejos federados, entregada desde ACT-10; una disputa planteada por el socio. - Actores: el Agente detecta, registra y clasifica en T3, e investiga y redacta opciones de resolución en T2. La Decisión de resolución es humana y, para conflictos no deterministas, no se delega en sustancia: el Custodio para conflictos operativos, el Propietario para conflictos de autoridad o de contrato; cuando asista un Agente, el paso DEBERÁ permanecer en T1 (el Agente propone opciones, la persona aprueba cada decisión), registrado por GOV-1. La aplicación de reglas deterministas PUEDE correr en T2. El Auditor verifica el Rastro histórico. Los órganos conjuntos actúan según contrato en la escalada. - Entradas / Salidas: Entradas: las afirmaciones en conflicto con su procedencia por ambos lados; las cláusulas de contrato aplicables (precedencia, procedimiento de disputa); el conjunto de correspondencias; los registros de vinculación; el historial de conflictos de esta pareja. Salidas: un objeto de conflicto con ciclo de vida completo (Suceso de detección, registro de investigación, Decisión de resolución con su razón, Suceso de resolución, Rastro histórico persistido por MIR-9); correspondencias, vinculaciones o anotaciones actualizadas según lo decidido; paquetes de escalada para los conflictos sin resolver (maquinaria de apelación de GOV-1 en el lado propio, escalera de disputa contractual entre lados). - Pasos: 1. Registrar el conflicto como objeto de primera clase con identidad propia (jamás como un error transitorio) y añadir el Suceso de detección. 2. Clasificar: conflicto de identidad, ambigüedad de correspondencia, inconsistencia de proyección, incompatibilidad de versiones, desajuste de ciclo de vida, desacuerdo de contrato, desacuerdo de confianza, o deriva de sincronización (Conflict-Resolution 4a). 3. Comprobación de historial: ¿ha entrado en conflicto esta pareja sobre este punto antes? Reutilizar la razón de la resolución previa en vez de volver a litigar (Agente, consulta en T3). Este paso es obligatorio. 4. Investigar: establecer qué Universo es autoritativo para cada elemento en disputa según las declaraciones de maestría y el contrato (el Agente redacta el hallazgo, T2). 5. Compuerta: ¿la regla de precedencia declarada del contrato resuelve el conflicto de forma determinista? Sí: aplicar la regla, registrar la Decisión de resolución y el Suceso de resolución (el Agente PUEDE ejecutarlo en T2), continuar en el paso 9. 6. Redactar opciones de resolución con sus consecuencias: aceptar el valor del socio en el espejo con anotación; conservar el valor propio y registrar una desviación anotada; partir el dato para que cada lado maestre su parte; enmendar la correspondencia; enmendar el contrato. 7. Decisión de la persona responsable, registrada por GOV-1; el paso DEBERÁ permanecer en T1 cuando asista un Agente. Ningún participante DEBERÁ reescribir el registro autoritativo del otro lado. 8. Compuerta: ¿están de acuerdo las partes? No: escalar según el procedimiento de disputa del contrato (Custodios conjuntos, luego Propietarios, luego la autoridad nombrada contractualmente); PUEDE aplicarse la suspensión del alcance afectado mientras esté escalado, con plazos de decisión por nivel. 9. Ejecutar la decisión. Las correcciones son artefactos nuevos y trazables (anotación, nueva versión de correspondencia, nueva versión de registro), jamás borrados de Sucesos, correspondencias históricas, versiones previas o contratos históricos. 10. Añadir el Suceso de resolución con su razón y cerrar el objeto de conflicto en su Rastro histórico permanente (archivado vía MIR-9). - Controles: Los conflictos NO DEBERÁN resolverse jamás en silencio. El Universo autoritativo sigue siendo la fuente de verdad de sus propios objetos. La resolución NO DEBERÁ justificar divulgación más allá de lo que la investigación estrictamente necesite, y las lecturas de investigación las registra la puerta. El rastro completo (detección, alternativas consideradas, decisión, razón) DEBERÁ sobrevivir a la resolución de forma permanente por la maquinaria de archivo de MIR-9, para que las reconciliaciones pasadas sean explicables y no se reabran. - Nivel: nuclear. - Variantes: Solo: el mismo ciclo de vida a pequeña escala; el Propietario es toda la escalera de escalada. Equipo: revisión permanente de conflictos entre parejas de Custodios de ambos lados. Federación multiparte: un árbitro neutral nombrado en el contrato. Techo de autonomía: aplicación de reglas deterministas en T2 o T3; todo juicio DEBERÁ permanecer en T1. - Métricas: tiempo medio de la detección a la resolución; proporción resuelta de forma determinista por reglas declaradas; tasa de recurrencia de la misma pareja de conflicto; escaladas por trimestre. - Modos de fallo: (1) Una sobrescritura silenciosa durante la sincronización borra el desacuerdo: guardia: FED-6 prohíbe arreglar automáticamente la deriva semántica, y la auditoría compara los cambios de espejo con los registros de conflicto. (2) Los conflictos zanjados se vuelven a litigar: guardia: la comprobación de historial del paso 3 es obligatoria antes de investigar. (3) Un conflicto se usa para pescar datos extra del socio: guardia: la divulgación de investigación está acotada por conocimiento mínimo y cada lectura queda registrada. (4) Limbo de escalada: guardia: plazos contractuales de decisión por nivel, con suspensión por defecto del alcance afectado al vencer. ### FED-10 Vigilancia de la salud de la federación - Propósito: Observar de continuo cada federación activa (frescura de espejos, higiene del consentimiento, calidad de la sincronización, trayectoria del Vector de confianza, envejecimiento de conflictos, cumplimiento del contrato) para que la degradación la vea la maquinaria antes de que la sientan los Consumidores. Los estados de salud (Sana, Degradada, En riesgo) son una capa operativa sobre la relación, ortogonal a la etapa canónica de Federation-Lifecycle; En riesgo alimenta la transición a Suspensión (FED-11). Etapa del ciclo de vida: Federación activa, con el paso 7 operando la transición a Evolución. - Disparador: evaluación continua o programada (lo típico es diaria; registrada y meta-vigilada como trabajo permanente de QSC-15); alertas de incumplimiento de umbral de FED-3, FED-4, FED-6 y FED-8; una prerrevisión antes de la renovación del contrato. - Actores: el Agente calcula señales y vigila umbrales en T3. El Custodio recibe alertas, confirma estados y ejecuta revisiones periódicas en T2. El Propietario recibe el informe periódico de salud y decide cambios de estado en la cadencia de revisión del contrato (decisiones registradas por GOV-1). - Entradas / Salidas: Entradas: informes de sincronización, registros de divulgación, registro de consentimiento, informes de cuarentena de admisión y Vectores de confianza por fuente (FED-8), atestaciones del Propietario de la superficie viva de divulgación por socio (paso 10 de FED-3), registro de conflictos, términos y niveles de servicio del contrato, la instantánea de referencia de FED-5. Salidas: un estado de salud por federación (Sana, Degradada, En riesgo); Sucesos de alerta; el informe periódico de salud; recomendaciones (renovar, renegociar, suspender, terminar) que alimentan FED-2 o FED-11. - Pasos: 1. Recoger las señales por federación: último ciclo exitoso; frescura de espejos frente a límites de obsolescencia; tasa de rechazo en cuarentena de admisión; tendencia del Vector de confianza por cada dimensión de la que se dependa; conflictos abiertos y su antigüedad; vencimientos próximos de concesiones; tasa de bloqueo de divulgaciones; atestaciones del Propietario de la superficie viva total de divulgación del socio, vencidas o próximas; comunicaciones del socio sin responder; rachas de delta cero. 2. Evaluar las señales contra los niveles de servicio del contrato y los umbrales internos (configuraciones versionadas de GOV-2). 3. Compuerta: ¿se incumplió algún umbral duro (violación de consentimiento, entrega sin registrar, Vector de confianza por debajo del predicado de umbral operativo)? Sí: levantar un incidente (QSC-8 para violaciones de divulgación, QSC-14 en los demás casos), marcar la federación En riesgo y proponer la suspensión del alcance afectado. 4. Compuerta: ¿degradación blanda (espejos rancios, rechazos al alza, conflictos envejeciendo)? Sí: marcar Degradada y abrir tareas de remediación con responsables y plazos. 5. Componer el informe periódico de salud por federación con los deltas de tendencia contra la referencia. 6. Revisión del Custodio: confirmar o ajustar estados; los cambios de umbral se hacen solo mediante Sucesos registrados de cambio de configuración de GOV-2. 7. Revisión del Propietario en la cadencia del contrato: renovar, evolucionar (la transición a Evolución: volver a FED-2 para enmienda), suspender o terminar (pasar a FED-11); la revisión incluye atestar la superficie viva total de divulgación de cada socio tal como la compila FED-3. 8. Registrar cada cambio de estado como Suceso. - Controles: Los estados de salud y los cambios de umbral DEBERÁN ser Sucesos trazables; los umbrales viven como configuraciones versionadas de GOV-2. Un estado En riesgo DEBERÁ bloquear la auto-emisión de nuevas concesiones para ese socio hasta que se levante y DEBERÁ proponer la transición a Suspensión. La vigilancia DEBERÁ leer solo metadatos operativos, jamás contenido del socio más allá de lo que los contratos ya entregaron. Los descensos de estado PUEDEN ser automáticos; los ascensos requieren confirmación del Custodio. - Nivel: recomendado (DEBERÍA tratarse como nuclear allí donde haya más de dos federaciones activas). - Variantes: Solo: una lista mensual sobre una federación. Equipo: un panel más una revisión semanal del Custodio. Escala de flota: una vista entre federaciones con detección de anomalías; a escala MOS (repositorio externo de referencia) la propia maquinaria de vigilancia está sujeta a auditoría. Autónoma: el cálculo de señales siempre en T3; la revisión del Propietario del paso 7 no se delega nunca. - Métricas: adelanto de detección (proporción de degradaciones vistas por el monitor antes de una queja de Consumidor); tiempo medio en estado Degradada; tasa de falsas alertas; cumplimiento de la cadencia de revisión. - Modos de fallo: (1) Panel en verde, federación muerta: las métricas miden actividad, no significado: guardia: incluir sondas semánticas (un intercambio de muestra de ida y vuelta) entre las señales. (2) Fatiga de alertas: guardia: la separación entre umbral duro y degradación blanda de los pasos 3 y 4, con el presupuesto de alertas revisado trimestralmente. (3) Umbrales aflojados en silencio para seguir en verde: guardia: los cambios de umbral son Sucesos versionados de configuración de GOV-2 con su razón, y el Auditor los revisa. (4) La propia vigilancia sobre-lee datos del socio: guardia: la regla de solo metadatos en Controles, comprobada en las muestras de auditoría. (5) El monitor muere en silencio: guardia: FED-10 corre como trabajo permanente registrado en QSC-15 con meta-vigilancia independiente que escala a QSC-14. ### FED-11 Suspensión y terminación limpia de la federación - Propósito: Pausar o terminar una federación sin perder historia, sin dejar acceso residual y sin corromper espejos: revocar las concesiones vivas, saldar las obligaciones supervivientes, disponer de los espejos según contrato, y preservar el registro completo. Un modelo que no puede salir limpiamente de una federación no puede entrar en ella con seguridad. Etapa del ciclo de vida: Suspensión, Terminación y Preservación histórica (Federation-Lifecycle 4). - Disparador: decisión del Propietario (GOV-1); vencimiento del contrato; una escalada En riesgo desde FED-10; una petición del socio; colapso del Vector de confianza desde FED-8; un procedimiento de retirada del modelo (MIR-11) que secuencia la terminación por socio; una orden de gobernanza o legal. - Actores: el Propietario decide la suspensión y la terminación; la decisión no se delega en sustancia y se registra por GOV-1. El Custodio ejecuta el procedimiento. El Agente ejecuta los pasos de la lista en T2 (cada compleción verificada) y ejecuta los barridos de revocación y las diferencias de inventario en T3. El Auditor (contratado vía GOV-6) certifica el cierre. Los avisos de cara al socio DEBERÁN permanecer en T1 (el Agente redacta, una persona aprueba cada aviso). - Entradas / Salidas: Entradas: el Contrato de federación (cláusulas de terminación y supervivencia); el registro de consentimiento filtrado por socio; las entradas de espejo del registro de maestría; el registro de vinculación de identidad; los conflictos abiertos; el registro de divulgación. Salidas: Suceso de suspensión o terminación; resultados del barrido de revocación; registro de disposición de espejos; declaración final de reconciliación; el paquete histórico preservado (participantes, contratos, Sucesos, historial de sincronización, correspondencias, vinculaciones, decisiones de confianza) archivado vía MIR-9. - Pasos: 1. Registrar el Suceso de decisión por GOV-1: quién, por qué, suspensión o terminación, fecha de efecto. 2. Compuerta: ¿suspensión o terminación? Suspensión: pausar o revocar las concesiones activas dentro de un TTL, detener los ciclos de sincronización (trabajos permanentes pausados vía QSC-15), congelar los espejos como solo lectura con etiqueta Suspendido, mantener vivos contratos y obligaciones históricas, fijar una fecha de revisión, listo (el camino de reanudación vuelve a entrar por un ensayo de FED-5). Terminación: continuar. 3. Notificar al socio según los términos de aviso del contrato. 4. Barrido de revocación: revocar toda concesión viva al socio, recorriendo el grafo de delegación en busca de concesiones delegadas y derivadas; verificar en la puerta que ninguna capacidad del socio siga válida pasado un TTL (Agente, T3; el Custodio verifica el informe). La revocación se impone en la puerta, jamás la honra el receptor. 5. Residuos salientes: enumerar lo entregado que sobrevive bajo obligaciones supervivientes; enviar avisos de borrado o retención según exija el contrato; registrar las atestaciones de destrucción o retención del socio. 6. Residuos entrantes: disponer de los espejos según contrato. Por defecto: congelar como archivo histórico claramente etiquetado ("a fecha de la sincronización final"). Borrado solo donde el contrato lo exija y sea lícito, ejecutado con prudencia (copia de seguridad primero, alcance de prueba pequeño, después ejecución completa) con un Suceso lápida. 7. Cerrar los conflictos abiertos: resolverlos, o registrarlos como cerrados-sin-resolver con su rastro completo. Ninguno se descarta en silencio. 8. Actualizar registros: entradas de maestría retiradas vía MIR-1; vinculaciones de identidad marcadas como históricas (preservadas, jamás borradas); correspondencias declaradas obsoletas con la historia intacta; credenciales y claves del socio retiradas por GOV-8; trabajos permanentes de esta federación desmontados por QSC-15; Consumidores dependientes notificados contra el registro de CON-13. 9. Reconciliación final: ambas partes confirman el estado de cierre; un desacuerdo pasa por FED-9 una última vez. 10. Ensamblar el paquete histórico y guardarlo bajo la retención normal (política de retención según GOV-2, archivo vía MIR-9). La preservación histórica DEBERÁ sobrevivir a la federación. 11. El Auditor certifica la lista de cierre; registrar el Suceso de terminación; FED-10 deja de vigilar y conserva el último estado. - Controles: La terminación NO DEBERÁ borrar Sucesos históricos, vinculaciones de identidad, registros de auditoría ni historia contractual. El acceso residual del socio pasado un TTL es un incidente (QSC-14). Los pasos de borrado DEBERÁN seguir la práctica prudente de operaciones destructivas: criterios explícitos, copia de seguridad, prueba de alcance pequeño, después ejecución. El conocimiento divulgado previamente sigue gobernado por las obligaciones supervivientes del contrato tras la terminación. - Nivel: nuclear. - Variantes: Solo: la misma lista, ejecutada en una tarde. Equipo: un procedimiento dirigido por el Custodio con ejecución de la lista por el Agente. Terminación contestada: una retención legal PUEDE congelar la disposición de espejos mientras todos los demás pasos avanzan. Techo de autonomía: la decisión y todos los avisos de cara al socio DEBERÁN permanecer en T1; los barridos y las diferencias corren en T3. - Métricas: tiempo de la decisión a cero acceso residual; tasa de compleción de la lista en la certificación del Auditor; incidentes de acceso residual pasado el TTL (objetivo cero); puntuación de completitud del paquete histórico. - Modos de fallo: (1) El barrido de revocación se salta una concesión delegada o derivada: guardia: el barrido recorre el grafo de delegación y lo verifica una sonda del lado de la puerta. (2) Espejos congelados usados en silencio como si fueran frescos: guardia: etiquetas legibles por máquina de "histórico, a fecha de la sincronización final" que avisan a los Consumidores en cada lectura, con destinatarios resueltos contra CON-13. (3) Historia destruida por celo de limpieza: guardia: el alcance del borrado se limita al contenido que el contrato exige borrar, jamás Sucesos ni registros, y el Auditor certifica. (4) La terminación se atasca a medias (concesiones muertas, espejos ambiguos): guardia: un procedimiento único con certificación de compleción; FED-10 mantiene la federación En riesgo hasta que se certifique.