# ACT 族：施动与来自现实的回馈

## 教义

一个合规的元模型，是现实的首要数字倒影。MIR 让这倒影保持为真（现实变了，模型跟上）。ACT 是这条教义的另一半：经元模型去影响现实。一个生在模型里的信号（越过了某个阈值、触动了某条合约条款、记下了某个决定、排定的变更到期了）成为决定，决定成为给执行器的命令，执行器改变现实，而感知确认现实确实变了。把回路闭上的是证据，绝不是下令这个动作本身。回路两头都闭：ACT 的强制重采请求（ACT-8）与独立感知请求（ACT-9）都是登记在册的 MIR-2 触发，它们的摄入与核验事件按 MIR-10 的分类打上施动核验的原因码。

这一族沿着回路严格分开四件制品：

1. **信号**：模型里的一种事实图样，由一份写明的可行动性合约标为值得动作。信号是事件，不是命令。
2. **决定**：架在信号之上、系于权柄的意图。在任何东西碰到现实之前，决定就点名动作、执行器、核验判准与回滚计划的要求。
3. **命令**：模型与现实之间的边界制品；在一份能力合约之下发给某个登记在册的执行器（人、外部系统、设备或智能体）的一条指令，带着幂等键。
4. **效果与证据**：现实中被感知到的变动，记为以因由引用连到该命令上的事件。只有证据能把回路闭上。

**变更的先后依执掌登记（MIR-1、sources.yaml）而定。**合法的模式有两种，哪一种适用由登记决定：**意图在前（ACT-7）**用于模型执掌的数据集（模式 M）：模型先把打算达到的新状态记为一个独立的待定版本，再驱使现实与之相符，然后依核实过的证据晋升；**现实在前（ACT-8）**用于外部执掌的数据集（模式 E）与有界的应急施动：现实先变，模型经采集进自己的镜像跟上，绝不靠手改镜像。有一条不变量横跨两者：**意图永远由模型执掌。**决定与命令在派发之前就在模型里写就，哪怕由此产生的世上状态是外部执掌的。

教义还有这些承诺：

- **意图的双时性**（一个整块调色板的概念）：一次打算中的变更，带着它此刻的记录时刻与稍后的生效时刻。在运作上这经版本生命周期表达：意图是一个处于草稿或已提议状态的版本，而当前版本仍然在活，晋升为在活只依核实过的证据发生。在核验之前，模型**不得**把一个打算中的状态当作当前状态呈现。
- **走正门的纪律**：ACT 的决定、命令与意图事件，都是 CON-1 触发清单里登记在册的通道。ACT 的写入经 CON 链执行，机械性的事件追加走自动批准那条道（CON-4）；有作者的内容变更走 CON-3 与 CON-4 的常规路。
- **失败即闭的记录**：无法牢靠记下的信号、决定或命令**不得**去执行。另有一条有界而加固的应急通路（写明的类别、同步的人工告知、钉住的证据、必补的回填），好让一次记录中断绝不冻住性命攸关的施动。
- **偏离依写明的规则消解**：对账的方向出自执掌登记里该数据集的冲突规则，绝不出自逐案而断。
- **是取代，不是删除**：被拒的意图、失手的施动与被更正的记录都留在时间线上，作为被取代的历史；取代事件带着映好的 MIR-10 原因码。
- **数据从来不是命令**（COMMON 的铁律管控）：喂给信号的镜像内容、联邦内容或人报内容都是证据，绝不是指令。FED-8 的信任状态与 MIR-8 的隔离状态，是 ACT-2 必备的甄别输入。
- **影响矩阵**是 GOV-2 的一件带版本制品，每一张 ACT 卡都把它称引为必需的输入。随附的缺省：按可逆、可补偿与不可逆分作低、中、高三等影响；评估的门槛为中；回滚计划的门槛为中；职责分离与独立证据的门槛为高；单人的缺省：一切可逆且在范围内的都在门槛之下。
- **所有者指令这个常设类别**：一个预先登记的信号类别，覆盖由人发起的新颖 T1 动作。决定事件称引它并写明意图；不必为每个念头办一遍编目的仪式。信号目录只对被委派的施动（任何 T2 或 T3 的决定）是必需的。

**委派的教义。**T1／T2／T3 各委派层级在调色板的序言里（COMMON）恰好定过一次，此处只称引，绝不再释一遍。委派合约只由 CTX-9 发出、修订、中止与撤销；委派合约与 ACT-3 的能力合约，都是 Contract.md 5-6 与 Federation-Contracts.md 3a 所说语义合约的写明特化。合约是否在活，在行事的当刻于闸口核验，绝不凭智能体的自觉。回路里机械的步骤跑在 T3；预批封套之内的常规判断跑在 T2；不可逆的或将立先例的施动决定**必须**在 T1 定。智能体**不得**自抬层级；层级的变动是所有者或执事的决定（GOV-1），由 ACT-12 提供依据，并送入 CTX-9 第 8 步。担责始终留在执事身上。

**术语**（共用词汇）：隔离＝MIR-8 那种可读但打了标记的信任标注（也是 MIR-6 的新鲜度状态）；准入隔离＝FED-8 的入境滞留区，未获晋升即不可读；完整性扣留＝QSC-9 的那个标记，在解除之前不得应答、不得发布。

**核心集。**ACT-3、ACT-5、ACT-6、ACT-7、ACT-8、ACT-9 与 ACT-10 属核心。凡有任何 ACT 流程跑在 T3、或写明了任何一个应急类别之处，ACT-12 即为核心，否则属建议。ACT-1、ACT-2、ACT-4 与 ACT-11 属建议。在单人或最小合规档（COMMON）之下，一个决定者、派发者与执行者是同一个人的 T1 动作，合法地记作一条复合的施动事件（意图、决定、命令、核验记语），即满足 ACT-5、ACT-6、ACT-7 与 ACT-9，其幂等键与命令对决定的哈希核对可免；对一切 T2 与 T3 的被委派施动，制品的完整分离仍是必需。

**压力测试。**MOS 这个参考维度（外部参考仓库 orkestron-ai/meta-orchestrator-state，不属本标准）把这一族在国家尺度上落到了它六组共 38 个命名空间里：一条被执行的命令，是行动者自己登记上一次签了名的发生；它在别处引起的每一次状态变动，都是受影响那位所有者登记上一次独立的效果发生，带着因由引用；它那条失败即闭的写入路径，连同有界的降级模式与必补的回填，正是 ACT-8 的应急纪律。Orkestron 的生产模型是 ACT-7 的一个参考实现：一份由模型执掌、以回写投影发布的站点内容数据集，MIR-7 的哈希漂移检查把偏离引去对账。

## 与别族的接口

- **MIR**：进：带出处附卡与新鲜度元数据的采集结果（MIR-2、MIR-6），作为信号证据（ACT-2）与核验证据（ACT-9）；与施动相关、按因由连到未结命令上的漂移事件（MIR-7），进到 ACT-10。出：强制的计划外重采请求（ACT-8 第 4 步）与独立感知请求（ACT-9 第 2 步），两者都是登记在册的 MIR-2 触发；按 MIR-10 分类在 ACT-8 第 6 步与 ACT-9 第 5 步打上的施动核验原因戳；给 MIR-1 这唯一登记变更执行者的执掌变更提议（ACT-10 第 5 步）。
- **CON**：ACT 的决定、命令与意图事件，是 CON-1 触发清单里登记在册的通道；ACT-5、ACT-6 与 ACT-7 的写入经 CON 链执行，机械性的事件追加走自动批准那条道（CON-4），有作者的内容走 CON-3 与 CON-4 的常规路；ACT-10 与 ACT-11 的取代事件，带着映好的 MIR-10 原因码，记在它们的 CON 迁移事件上；消费方通告（ACT-10 第 6 步）对着 CON-13 的消费方与订阅登记去解析；对 ACT-7 投影的外部编辑经 CON-11 走。
- **CTX**：委派合约与层级图取自 CTX-9，即委派合约生命周期的唯一记录系统；每一次 ACT-6 派发时都在闸口核验合约是否在活；ACT-12 的层级重校提议作为具名输入送入 CTX-9 第 8 步；为施动任务装配的语境包（CTX-1）带着来源戳与隔离戳，ACT-2 的甄别认这些戳。
- **FED**：跨界的命令作为受联邦合约（语义合约在宇宙之间的形态）管辖的请求，经伙伴自己的闸口走（ACT-6）；伙伴签名的确认与伙伴新鲜的镜像，充作 ACT-9 的核验证据；与伙伴之间同施动相关的偏离，依合约的冲突条款经 FED-9 消解（ACT-10）；FED-8 的信任状态（信任向量）是 ACT-2 必备的甄别输入；交换的是回路的证明，而不是裸痕迹（ACT-12）。
- **QSC**：ACT-12 的失怙连接发现与回路欠账，进到 QSC-11 的收口；门槛之下的重核抽样（ACT-9）经 QSC-7 与 ACT-12 上报；施动事故、应急通路的滥用与未曾归正的应急施动，开 QSC-14 事故；ACT 机制背后的常设作业与看门狗（ACT-3 的健康检查、ACT-6 的预算计数器、ACT-9 对未核验队列的守望），经 QSC-15 登记与运作；QSC-13 的降级模式规则，在灾备中断期间管着 ACT；ACT-2、ACT-4、ACT-9 与 ACT-10 里给审计者的抽样挂钩，喂养 QSC 的证据底盘。
- **GOV**：GOV-1 记下 ACT 抬上来的所有者与执事决定（权柄升级、应急类别的撤销、回路的证明）；GOV-2 撰写并编版影响矩阵、层级图、ACT-2 的关联窗口缺省、ACT-4 的价值／成本／风险模式、应急类别的定义、速率与波及半径的上限、累计影响预算，以及门槛之下抽样率的下限，这些都由 ACT 去执行；GOV-4 的诞生播下信号目录与执行器目录，含所有者指令那个常设类别；GOV-6 聘请领衔 ACT-12 的独立审计者；GOV-7 发出在 ACT-4 第 4 步核查的内部跨所有者授予；GOV-8 跑 ACT-3 凭据引用背后的凭据与密钥生命周期，并随执行器一同退回凭据。

# ACT 流程卡

### ACT-1 可行动信号的定义与编目
- 目的：定下什么才算可行动的信号，并把它登进一份信号目录，好让被委派的施动绝不从对数据的即兴解读开始。这份目录是模型的事实与据以行动之权柄之间的合约；对任何被委派的 T2 或 T3 决定它都是必需的，并含所有者指令那个常设类别，覆盖由人发起的新颖 T1 动作。
- 触发：识出一项新的被委派决定之需；一个新的包或数据集启用；一起漏施或误施的事故（QSC-14）；模型的诞生播下目录与所有者指令类别（GOV-4）；按 COMMON 通用的登记重认样式作定期重认。
- 行动者：执事执掌目录；凡其动作伸到模型之外或伸出执事分区之外的信号类别，由所有者批准（决定经 GOV-1 记下）；贡献者提候选；审计者复核目录。智能体：起草与分析（第 1 到第 3 步）**必须**留在 T1（智能体提议，人批准每一件）；目录一致性检查（第 7 步）跑在 T3；登记的批准（第 4 到第 6 步）**必须**留在 T1（智能体提议，人批准每一件）。
- 输入／输出：输入：各项决定之需、模型对象与阈值、执掌登记（MIR-1、sources.yaml）、执行器登记（ACT-3）、影响矩阵（GOV-2，必需）、候选源数据集的 FED-8 信任状态与 MIR-8 隔离状态。输出：信号目录条目（编号、条件、源数据集与其版本、新鲜度要求、按影响矩阵定的缺省影响等级、带层级上限的决定路线、可否自决的资格、发出的节律），以及经 CON 链记下的带版本目录变更事件。
- 步骤：
  1. 捕住那个值得动作的条件，以及它该喂给的那个决定。
  2. 在执掌登记里把源数据集解析出来；核对写明的新鲜度与陈旧界限。关卡：这些源是否新鲜到足以据以行动？若否，在感知节律修好之前，该信号类别**不得**登记。
  3. 起草信号类别：条件与参数、证据要求、发出规则、缺省影响等级（影响矩阵）、决定路线与层级上限（层级按 COMMON 称引）。
  4. 关卡：可否自决的资格。一个其证据只倚着外部执掌或联邦镜像的类别，**不得**在 T3 标为可自决；它需要来自某个独立执掌数据集的佐证，或者一条 T2 或更严的决定路线。
  5. 关卡：该类别是否授权在模型之外、或在执事分区之外施加影响？若是，取得所有者的批准（GOV-1）。
  6. 经 CON 链以一条明确的事件把该类别登记下来（生命周期为草稿，再已提议，再在活）。
  7. 把该类别绑到发出机制上（交给 ACT-2）；按节律以 COMMON 通用的登记重认样式重认在活的类别；以事件把死掉的类别退役。
- 管控：不得有架在未登记数据集之上的信号类别；新鲜度之界是必需的；每一个类别**必须**点明其决定路线与层级上限；可自决的那个子集是目录一件带版本的属性，只由执事或所有者的决定去改；目录的变更是带版本的事件，绝不是悄悄的编辑；所有者指令那个常设类别只覆盖由人发起的 T1 动作，不授予任何被委派的自主。
- 层级：建议（凡有任何施动决定被委派到 T2 或 T3 之处，目录即为必需；一个纯由人在 T1 定夺的模型**可以**只凭所有者指令类别运作）。
- 变体：单人：所有者兼执事守着所有者指令类别，外加一页纸的目录管所有被委派之事；单人或最小档（COMMON）的季度合并复核即满足重认。团队：目录由执事执掌，伸向外部的类别由所有者签字。联邦：作用于另一方现实的类别，还要对方所有者的授予或一份管辖的联邦合约。手工：目录作为一份受复核的文档。混合：智能体起草，人批准。自主：只有一致性检查在 T3；类别的批准仍归人。
- 度量：可追溯到某个已编目信号类别的 T2 与 T3 施动占比（目标 100%）；源已陈旧的信号率；重认的时效（在节律之内完成重认的类别占比）。
- 失效之道：绕开目录的即兴委派施动（护栏：ACT-5 第 1 步只收已编目的类别、T1 上的所有者指令类别，或写明的应急通路）；架在陈旧镜像之上的类别（护栏：第 2 步的新鲜度闸口）；只由外部或联邦镜像喂养的可自决类别（护栏：第 4 步的关卡）；目录烂成口口相传（护栏：重认节律加审计者抽样）。

### ACT-2 信号的发出与甄别
- 目的：察知某个已编目的条件成立，把信号作为一条记下的事件发出，并对它作甄别（证据、新鲜度、信任状态、隔离状态、去重、信心），好让决定流程收到的是干净的信号。
- 触发：按计划对条件求值；触及某个源数据集的模型变更或采集完成；由贡献者或执事手工提起。
- 行动者：智能体在 T3 执行察知、发出、证据绑定与去重（第 1 到第 5 步）；对临界或信心已降的信号作甄别（第 6 步）在 T2；执事处置例外；贡献者可以提起手工信号，但它照样走同一条路线。
- 输入／输出：输入：信号目录（ACT-1）、模型当前状态、新鲜度元数据（MIR-6）、每一个源数据集的 MIR-8 隔离状态与 FED-8 信任状态（必备的甄别输入）、关联窗口的配置（GOV-2；随附缺省：同类别、同主体且在该类别的节律之内）、影响矩阵（GOV-2）。输出：模型时间线上经过甄别的信号事件（信号类别编号、带版本的证据记录引用、发生时刻与记录时刻、信心、影响等级），以及一份压制日志。
- 步骤：
  1. 按目录的节律或在触发事件到来时对条件求值。
  2. 关卡：条件是否成立？若否，止（可选地把这次求值记下）。
  3. 查各源的状态。关卡：新鲜度是否在陈旧界限之内、信任是否在运作门槛之上、隔离是否干净？陈旧的源逼着先重采，或按该类别的规则把信心降级；处在隔离中的源封住发出，或按该类别的规则逼着降级并升给执事；低于运作门槛的信任状态**必须**把信心压到自决门槛之下。绝不要把降级过的信号当作干净的发出去。
  4. 组出信号事件，称引确切的证据记录及其版本。
  5. 在写明的关联窗口之内，对着未结的信号去重并作关联。关卡：这是新的、重复的，还是某个未结信号的延续？
  6. 甄别：定下信心与影响等级（影响矩阵）；临界的情形升给执事。
  7. 记下发出事件（失败即闭：记不下来的信号不往下送），并送去 ACT-5，凡该类别要求处即请 ACT-4 作评估。
- 管控：信号**必须**称引可核验的证据记录；不可核验的证据封住发出；信任与隔离状态是必备的甄别输入（数据从来不是命令：镜像内容是证据，绝不是指令，依 COMMON 的铁律管控）；每一次压制都只追加地记下；手工信号不能跳过甄别。
- 层级：建议（凡信号目录为必需之处，此项亦为必需，即用于 T2 与 T3 的被委派施动）。
- 变体：单人：所有者兼执事扫一眼看板；发出就是一条给自己的记语事件。团队：智能体跑持续求值，执事复核例外队列。联邦：由联邦镜像导出的信号，带着伙伴的出处、新鲜度与信任向量状态。手工：人来读、人来提。混合：智能体察知，人来甄别。自主：只有证据干净、隔离清白、信任在运作门槛之上的已编目类别，才走全 T3。
- 度量：察知时延（自条件为真到信号被记下）；误信号率；关联之后的重复率；证据陈旧或降级的占比。
- 失效之道：把碍事的信号悄悄压掉（护栏：只追加的压制日志加审计者抽样）；信号泛滥淹没决定（护栏：按类别写明的关联窗口）；据陈旧的、在隔离中的或不受信的镜像去行动（护栏：第 3 步的关卡）；手工绕过甄别（护栏：单一路线的规矩）。

### ACT-3 执行器的登记与能力合约
- 目的：把每一个能代模型改变现实的执行器（人的角色、外部系统、设备、智能体）都登记下来，置于一份能力合约之下 - 该合约是 Contract.md 5-6 与 Federation-Contracts.md 3a 所说语义合约的写明特化 - 其中说明它能改什么、怎样对它下令、它回什么样的确认与证据，以及它的动作有多可逆。
- 触发：需要一个新的执行器；某个执行器的接口或范围变了；一条失手或被拒的命令；来自 GOV-8 的凭据轮换或退回事件；按 COMMON 通用的登记重认样式作定期重认。
- 行动者：执事执掌这份登记；凡执行器伸到执事分区之外、或作用于别的所有者的现实者，由所有者批准（GOV-1）；审计者复核权限。智能体：能力合约的起草（第 3 步）**必须**留在 T1（智能体提议，人批准每一件）；可达性与健康检查（第 6 步）跑在 T3；批准与登记（第 4、第 5 步）仍归执事或所有者。
- 输入／输出：输入：执行器的详情、执掌登记（该执行器的目标属于谁的数据集）、由 GOV-8 发出并轮换的凭据引用（秘密活在模型之外，只被引用，绝不存下）、影响矩阵（GOV-2，可逆性等级）。输出：带能力合约的执行器登记条目（准许的命令类型、参数上限、确认与证据的格式、按命令类型定的可逆性等级、升级联系人）、健康检查报告，以及经 CON 链记下的带版本登记事件。
- 步骤：
  1. 认出该执行器，以及它所改变的那片现实。
  2. 把目标那片现实映到执掌登记里的数据集上。关卡：目标是模型执掌的（走 ACT-7）、外部执掌的（走 ACT-8），还是尚未建模的物理现实（先经 MIR-1 建出登记条目，含它对新外部系统的所有者闸口）？
  3. 起草能力合约，含按命令类型定的可逆性等级与期望的证据格式。
  4. 跑安全检查：最小权限，只用 GOV-8 引用的凭据。关卡：该执行器是否伸出执事的范围、或作用于另一位所有者的现实？若是，须所有者批准，另加那位所有者的授予（对内经 GOV-7，跨宇宙则经联邦合约）。
  5. 以一条事件把执行器登记下来（草稿，再在活）；作为执行器的人**必须**明确接受自己的合约（受命之人，是同意受命之人）。
  6. 把周期性的健康与可达检查排为登记在册的常设作业（QSC-15）。
  7. 按节律以 COMMON 通用的登记重认样式重认；以事件退役，并触发 GOV-8 的凭据退回；对已退役的执行器绝不派发。
- 管控：不得向未登记或已退役的执行器下令（在 ACT-6 处强制）；最小权限复核；能力合约带版本；凭据只以引用出现，其生命周期由 GOV-8 执掌。
- 层级：核心。
- 变体：单人：所有者兼执事加上少数几个脚本；登记就是一张短表，季度合并复核（COMMON）即满足重认。团队：按分区设执行器池，由执事执掌。联邦：由伙伴宇宙操作的执行器登在一份联邦合约之后；命令作为受合约管辖的请求跨过边界。手工：只有人充当执行器。混合：人与系统混合的执行器。自主：作为执行器的智能体，以很紧的封套登记，并在 T3 作健康检查。
- 度量：派出的命令落在已登记执行器上的占比（目标 100%）；健康检查的通过率；重认的时效；每次审计查出的权限例外数。
- 失效之道：绕开登记去指使的影子执行器（护栏：派发拒绝未登记的目标）；权限过大的执行器（护栏：最小权限复核加审计者）；到了施动之时才发现执行器已死（护栏：定期健康检查与派发当刻的检查）；凭据漏进模型里（护栏：只用引用的规矩、GOV-8 的清册对账与校验扫描）。

### ACT-4 施动前的影响评估
- 目的：在决定施动之前，先在模型里评估后果：受影响的元对象与各方之集合、波及半径、可逆性、成本与价值、风险。模型既是现实的倒影，就是试一个变更最便宜也最安全的地方。
- 触发：一个其类别要求评估的已甄别信号；任何高于影响矩阵评估门槛的候选动作；执事或决定者的请求。
- 行动者：智能体在 T2 跑评估，对用标准模板的常规低影响类别则在 T3；执事校验高影响的评估；审计者抽查预测与实测的吻合度。第 1 到第 3 步与第 5 到第 7 步可在所述层级委派；第 4 步的跨所有者许可核查**必须**留在 T1（智能体提议，人批准每一件）。
- 输入／输出：输入：已甄别的信号、模型的关系图（规范的遍历）、执行器的能力合约（可逆性等级）、以往的施动历史、影响矩阵（GOV-2，必需）、价值／成本／风险的最小输出模式（GOV-2 配置）。输出：一条影响评估记录：按写明的受影响集合模式记下的受影响集合（与 ACT-9 的核验记录共用同一模式）、所用的遍历深度、可逆性等级（可逆、可补偿、不可逆）、风险记语、按该模式推出的价值变动预估、由影响矩阵导出的建议决定层级、回滚计划的雏形。
- 步骤：
  1. 在模型里把目标元对象解析出来。
  2. 遍历关系以圈定受影响集合，深至该影响等级所写明的深度下限。
  3. 依执行器的能力合约与该变更的性质，判定可逆性。
  4. 关卡：受影响集合是否越过了所有权的边界（另一位所有者、某个联邦方）？若是，在决定得以批准施动之前，**必须**先取得受影响那位所有者的授予（对内经 GOV-7，跨宇宙则经一份管辖的联邦合约）。
  5. 按 GOV-2 的最小模式估算价值、成本与风险；当模型带有仿真投影时，先在那里把变更演一遍。
  6. 由影响矩阵导出建议的决定层级；不可逆的**必须**映到 T1。
  7. 把评估记为附在该信号上的一条事件，并称引所用的模型版本。
- 管控：评估的深度下限由执事定，提请的智能体不得下调；不可逆这一等级逼出 T1 的决定；没有授予，跨所有者的影响被封住；评估要称引它据以计算的确切模型版本；受影响集合用共用的模式，好让 ACT-9 能以可比的方式记下实测的受影响集合。
- 层级：建议（对高于评估门槛的被委派施动为必需；随附的缺省门槛为中）。
- 变体：单人：一份结构化的清单，所有者兼执事几分钟填完；在单人档影响矩阵的缺省之下，一切可逆且在范围内的都在门槛之下。团队：由智能体算出评估，高于门槛的由执事校验。联邦：涵盖伙伴对象的评估，只用那位伙伴已经授予的投影。手工：人来走这张图。混合：智能体算，人来断。自主：只有已编目的低影响类别，才在 T3 走模板评估。
- 度量：门槛之上的施动被评估的占比（目标 100%）；预测准确度，以预测的受影响集合对着实测的受影响集合来算，两者记在同一模式里（实测集合由 ACT-9 的核验记录提供）；评估时延。
- 失效之道：走过场的评估（护栏：审计者经 ACT-12 拿预测对着实测结果比）；波及半径被低估（护栏：保守的缺省深度、准确度的回馈环）；拿急迫当作跳过评估的理由（护栏：ACT-8 的应急通路要求在一个有界的窗口之内补作评估）。

### ACT-5 施动的决定
- 目的：就一个已甄别的信号定夺：施不施动、究竟施什么、由哪个执行器、在谁的权柄之下。它把一个事实（信号）变成一个意图（决定），而尚未碰到现实。
- 触发：带着所需影响评估的已甄别信号；由所有者或执事提起的所有者指令意图；来自应急通路（ACT-8）的归正要求；一份回滚提议（ACT-11）。
- 行动者：按委派合约的层级图（CTX-9）定的决定者：超出范围或不可逆的动作归所有者；执事在自己的分区之内；智能体在 T2、于预批的决定封套之内（价值有界、可逆、在范围内）；智能体在 T3 只对目录里明写为可自决的信号类别。凡不可逆的或将立先例的，**必须**在 T1 定。第 1 到第 3 步（核验与备办）可委派到 T3；第 4 步的关卡就是决定本身，依层级图而行；决定既下，第 5 到第 7 步可委派到 T3。
- 输入／输出：输入：已甄别的信号、影响评估、委派合约的层级图（CTX-9）、影响矩阵（GOV-2）、目录里的决定路线、预算与约束。输出：一条签了名的决定记录（批准、驳回、暂缓、上升），把动作、参数、执行器、核验判准、回滚计划的要求与有效期定死；经 CON-1 登记在册的通道记为一条带行动者身份与权柄依据的事件。
- 步骤：
  1. 关卡，三条合法的支：（甲）一个已编目且已甄别的信号；（乙）所有者指令这个常设类别：一次由人发起的新颖 T1 动作称引它，决定事件写明意图，不必为每个念头编目；（丙）写明的应急通路（ACT-8）。此外一律送去 ACT-1 编目；绝不对未编目的信号悄悄定夺。
  2. 核验权柄：把评出的影响等级与可逆性对着层级图去比。关卡：当下的决定者是否持有这份权柄？若否，上升（GOV-1 的阶梯）。
  3. 复核那份评估；必要时可请一份更深的。
  4. 关卡：施动、驳回，还是暂缓。
  5. 若施动：把动作、参数、目标执行器、核验判准（什么证据将把回路闭上、限期几时）、回滚计划的引用（高于影响矩阵的回滚计划门槛者为必需）与决定的有效期定死。
  6. 签署并记下决定事件：行动者身份、权柄依据、理据，一切输入以引用列出。
  7. 送去下达命令（ACT-6）；由执掌登记选定是意图在前（ACT-7）还是现实在前（ACT-8）。
- 管控：没有身份与权柄的绑定就没有决定；核验判准**必须**在作决定的当刻定死并封存（绝不在事后按已发生之事去补写）；决定的有效期是必需的；过期的决定未经重新核实**不得**施动；不可逆的动作**不得**自决；一个其证据只倚着外部执掌或联邦镜像的信号类别，**不得**在 T3 自决（须有独立执掌的佐证，或 T2 及更严的决定）；决定事件经 CON-1 登记在册的通道进入模型，机械性追加走自动批准那条道。
- 层级：核心。
- 变体：单人：所有者兼执事经所有者指令类别在 T1 定夺一切；在单人或最小档（COMMON）之下，当决定者、派发者与执行者是同一个人时，一条复合的施动事件即满足 ACT-5、ACT-6、ACT-7 与 ACT-9。团队：按执事分区设分层的封套。联邦：触及伙伴的决定，带着授权它的那条联邦合约条款。手工：人的决定，记下来。混合：智能体在封套之内备办并定夺，其余归人。自主：T3 限于目录里可自决的那个子集。
- 度量：按层级分的决定时延；上升率；过期决定率；派发之前就定死核验判准的决定占比（目标 100%）。
- 失效之道：智能体的权柄蔓延（护栏：派发时重核封套，ACT-12 的层级复核送入 CTX-9）；事后才补的核验判准（护栏：判准封在决定事件之内）；拿一个已陈旧的决定对着变了的现实去施动（护栏：必需的有效期加重新核实）；决定疲劳把一切推去 T3（护栏：可自决的那个集合是目录一件带版本的属性，只由执事或所有者去改）。

### ACT-6 命令的下达与执行器的派发
- 目的：把一个批准过的决定译成给已登记执行器的具体命令，在派发之前把命令记下来，并跟住确认。命令是模型与现实之间的边界制品；派发闸口正是权柄、预算与上限被机械强制之处。
- 触发：一个批准过、未过期、送来执行的决定；来自 ACT-10 的重试或纠正性再派发；来自 ACT-11 的回滚命令。
- 行动者：智能体在能力合约的上限之内于 T3 执行给系统执行器的派发机制（第 1 到第 3 步、第 5、第 6 步与第 8 步）；对作为执行器的人下令或调适参数（第 4、第 7 步）在 T2；执事处置拒执与例外。担责留在执事身上。
- 输入／输出：输入：决定记录、执行器登记与能力合约（ACT-3）、委派合约是否在活（CTX-9，在闸口核）、累计影响预算的配置与应急类别的速率、波及半径上限（GOV-2）、影响矩阵（GOV-2）、凭据引用（GOV-8）。输出：命令记录（命令编号、决定引用、执行器、参数、幂等键、预期证据的声明、下达时刻、有效期）、确认记录，以及只追加的派发日志。
- 步骤：
  1. 关卡：该决定是否仍在活（未过期、未撤销）？若否，止并上报。
  2. 关卡（由闸口强制，绝不凭智能体自觉）：执行器已登记且健康；命令在其能力合约之内；所称引委派合约是否在活，在行事的当刻于闸口核验；按智能体、按信号类别的累计影响预算（每期的次数、价值、受影响集合大小）由机器核查，越界即逼出到 T1 的上升；对应急类别的命令，按类别定的硬速率与波及半径上限在此处强制。任何一项不过即退回 ACT-5。
  3. 由决定记录机械地组出命令（不得手工重录），带幂等键与预期证据的声明。
  4. 在派发之前，经 CON-1 登记在册的通道把命令记进模型。意图永远由模型执掌：哪怕目标数据集是外部执掌的，此条依然成立。
  5. 经执行器已认证的通道派发过去。
  6. 在合约的期限之内等确认。关卡：已确认、被拒，还是超时？
  7. 遇拒执或超时：按合约重试（同一个幂等键），或送去 ACT-10；作为执行器的人的拒执，是头等的、记下来的回应，绝不被覆写。
  8. 把这条未结的命令交给核验（ACT-9）。
- 管控：命令**必须**引到一个在活的决定；幂等键防住重复施动；给人的命令是需要接受的明确请求；派发日志由居间的闸口与通道基础设施发出，绝不是行事的智能体自报，只追加，并按 COMMON 写明的节律连续作哈希链接与外部锚定；一次哈希核对把命令的参数系到决定记录上（对 COMMON 所说单人 T1 的复合施动事件，此项连同幂等键一并可免）；预算计数器与上限核查是闸口的机械配置（GOV-2），不是智能体的判断。
- 层级：核心。
- 变体：单人：所谓命令**可以**就是所有者兼执事自己的待办，照样在做之前记下；复合施动事件（COMMON）合法地把它覆住。团队：按执行器池设派发智能体。联邦：跨界的命令作为受联邦合约管辖的请求送到伙伴的闸口；伙伴的受理即是确认。手工：人来下达、人来记。混合：智能体派给系统，人向人交代。自主：在合约、预算与上限之内，对系统执行器走 T3。
- 度量：派发成功率；确认时延；重复施动的事故数（目标为 0）；按执行器分的拒执率；每期因越预算而起的上升次数。
- 失效之道：重试时重复施动（护栏：幂等键由执行器合约认下）；命令漂离决定（护栏：机械组装加哈希核对）；派给已死的执行器（护栏：派发当刻的健康检查）；臆想或伪造的确认（护栏：确认只从执行器已认证的通道收）；被中止的智能体还在派发（护栏：行事当刻在闸口一侧核验合约是否在活）；把一个大效果拆成许多门槛之下的小命令（护栏：在闸口核查累计影响预算，越界即逼出 T1）。

### ACT-7 先改模型（意图在前的模式）
- 目的：对模型执掌的目标执行变更：先把打算达到的新状态在模型里记为一个独立的待定版本，再驱使现实与之相符，再依核实过的证据把意图晋升为当前状态。模型在前，现实随后。
- 触发：一条其目标数据集在执掌登记里为 master model（模式 M）的命令；一个排定变更的对象到期；由 ACT-8 第 7 步交来的、对模式 M 应急施动的追溯归正。
- 行动者：执事担责。智能体：对常规类别**可以**在 T2 跑完整个序列，对完全编目的低影响类别**可以**在 T3 跑；凡内容由人的判断塑形之处，打算状态的撰写**必须**留在 T1（智能体提议，人批准每一件）。晋升（第 6 步）依证据而机械，可委派到 T3。
- 输入／输出：输入：决定与命令、执掌登记、目标元对象、影响矩阵（GOV-2）。输出：一条打算状态记录（新版本处于草稿或已提议，当前版本仍在活）、一条施动意图事件、一份相符了的回写投影或由执行器带来的现实变动，以及核验之后的晋升事件。
- 步骤：
  1. 关卡：确认目标数据集为 master model。若否，这是走错了模式：送去 ACT-8。
  2. 把打算达到的状态撰为一个新版本（版本生命周期：草稿或已提议），而当前版本仍在活。意图的双时性：意图带着它此刻的记录时刻与稍后的生效时刻；它**不得**被当作当前状态呈现。
  3. 记下把决定、命令与打算版本连起来的施动意图事件。这一序列中的所有写入都经 CON 链执行：机械性的事件追加经 CON-1 登记在册的通道与自动批准那条道，有作者的内容经 CON-3 与 CON-4。
  4. 施动：发布回写投影（标为生成物，点明其主，并附勿改的告示），或令执行器把现实带到打算达到的状态。
  5. 等核验证据（ACT-9）。
  6. 关卡：现实是否已相符？若是：以一条事件把打算版本晋升为在活；刷新投影的元数据。若否或只部分相符：把意图留在已提议，并送去 ACT-10。
  7. 以按因由相连的事件收尾：自意图事件连到效果证据。对于应急归正这一触发，意图与命令在有界的回填窗口之内事后记下，而晋升照样只依 ACT-9 的证据发生。
- 管控：意图与当前状态**必须**是两条不同的记录；晋升只依核验证据，绝不依派发成功；执掌核查是必需的；回写投影按数据执掌模式 M 带上生成物的标记；已发布投影上的漂移只由 MIR-7 察知，它把与施动相关的偏离引去 ACT-10。
- 层级：核心。
- 变体：单人：所有者兼执事起草新版本、施于现实、勾上核验；复合施动事件（COMMON）合法地覆住同一人的 T1 情形；此处的纪律在于次序，不在于仪式。团队：智能体跑发布流水线，门槛之上的晋升由执事批准。联邦：消费该投影的伙伴，经同步事件被告知晋升。手工：照清单手工发布。混合：智能体发布，人来核验。自主：对已编目的低影响类别走端到端 T3（参考实现：Orkestron 的站点投影，带 MIR-7 的哈希漂移检查）。
- 度量：自意图到相符的时延；过早晋升的事故数（目标为 0）；派发之前就记下意图的变更占比（目标 100%）。
- 失效之道：模型说谎（现实尚未相符，意图就被晋升；护栏：晋升闸口只认证据）；派发失手之后残留的失怙意图（护栏：意图的有效期系在决定的有效期上，加定期清扫）；投影被外部编辑而生出两个真相（护栏：MIR-7 的模式 M 漂移检查；外部编辑经 CON-11 变成变更提议，绝不悄悄并入）。

### ACT-8 先在现实发生的变动之登记（现实在前的模式）
- 目的：对外部执掌的目标与有界的应急，执行并登记变更：现实先变（由我们对某个外部记录系统下的命令，或由某个执行器在物理世界里动作），模型再经采集赶上，把感知到的效果连回那条命令。它定下何时现实在前才是对的、模型怎样跟上而不被弄坏，以及在两种执掌模式之下，那条加固的应急通路怎样被唤起与归正。
- 触发：一条其目标数据集为 master external（模式 E）的命令；在某个写明的应急类别之下的应急施动（安全期限短于模型的正常写入路径），两种执掌模式皆可。
- 行动者：智能体：在合约之内于 T3 对外部系统执行命令并强制重采（第 2 到第 6 步）；在 T2 操办应急封套（第 1 步的应急支、第 7 步）；执事担责，且每一次应急唤起都同步告知他；作为执行器的人在现实中动作，并经已认证的通道回报；所有者与审计者收到未归正应急的上升。
- 输入／输出：输入：决定与命令（或某个写明类别的应急授权，GOV-2 的定义）、执掌登记、采集流水线（MIR-2）、影响矩阵（GOV-2）。输出：命令记录（意图照旧先在模型）、那次外部变动、裸抓取加带出处刷新过的镜像、把镜像状态连到该命令并打上施动核验原因码（MIR-10）的因由引用事件、应急唤起时钉住并作了哈希的触发证据，以及应急那一支的追溯评估与归正后的决定。
- 步骤：
  1. 关卡：确认目标为 master external（则走第 2 到第 6 步），或确认某个写明应急类别的应急条件已然成立。应急这一支按执掌分岔：模式 E 的目标走第 2 到第 6 步，并按第 7 步归正；模式 M 的目标没有镜像，第 4 到第 6 步不适用，该变更经追溯的 ACT-7 归正（在有界的回填窗口之内事后记下意图与命令，以 ACT-9 的证据核验，经模型执掌的正常写入路径撰出新状态，并依证据晋升）。任何非应急的模式 M 情形一律送去 ACT-7。
  2. 记下命令与意图事件（意图永远由模型执掌，哪怕目标状态并非如此）。对应急唤起另加：在唤起的当刻把触发证据钉住并作哈希，好让归正无法照着结果去凑；在唤起时就同步告知执事，而不是等到回填；同一类别在写明的窗口之内的第二次唤起，**必须**在派发之前升到 T1。按类别定的硬速率与波及半径上限，在 ACT-6 派发处强制，而不是靠智能体判断。
  3. 经已登记的执行器在外部系统中或在物理现实中施动。
  4. 对受影响的数据集强制一次计划外的重采（一个登记在册的 MIR-2 触发），而不是等正常节律（**应当**如此；正常节律是退路）。
  5. 依采集的纪律让证据落地：不加改动的裸抓取加一张出处附卡，再作语义变换进镜像。绝不手改镜像去显示预期的结果；预期到但尚未采到的状态，**可以**只作为待定的意图显示。
  6. 以一条因由引用事件把镜像里的新状态连到那条命令上，按幂等键去对，好让我们的变动不被同别人同期的变动混作一谈；把摄入与因由引用事件打上施动核验的原因码（MIR-10）。
  7. 关卡（只在应急这一支）：追溯评估（ACT-4）与决定的归正（ACT-5，或对模式 M 的目标走追溯的 ACT-7），**必须**在有界的回填窗口之内完成；未归正的应急施动升给所有者与审计者，并开一起 QSC-14 事故。
- 管控：写镜像只经采集流水线；应急通路被限在写明的类别之内（GOV-2）并必须回填（这份纪律，MOS 这个参考维度把它正式写成带临时承诺与必补回填的降级模式；外部参考：orkestron-ai/meta-orchestrator-state）；唤起时的同步告知、证据的钉住、速率与波及半径上限，以及重复唤起时升到 T1，都是不可豁免的应急管控；每一次抓取都必须有出处；因由引用只架在与该命令对上的证据之上。
- 层级：核心。
- 变体：单人：所有者兼执事改动外部系统，然后在倚仗镜像之前先重采一遍。团队：智能体驱动外部 API 与采集流水线。联邦：改动伙伴的现实，只在一份联邦合约之下经伙伴自己的闸口发生；我们的模型持有结果的一面镜像。手工：手改，手采。混合：人改现实，智能体采集并连线。自主：对结果可经 API 核验的、已编目的外部系统命令走 T3。
- 度量：自命令到镜像确认的时延；施动中作了强制重采的占比；应急通路的使用率与归正率（使用率走高即是缺陷的信号）；按类别分的重复唤起上升次数。
- 失效之道：把镜像伪造得同意图一致（护栏：镜像只由流水线写，校验把手改标为不合规）；采集滞后掩住一次失手的施动（护栏：强制重采加 ACT-9 的核验期限）；应急通路变成了常规通路（护栏：使用率度量在 ACT-12 复核，类别由所有者经 GOV-1 撤销）；把别人的外部变动算到我们的命令头上（护栏：第 6 步的幂等键对账）；模式 M 的目标出了应急变动却靠采集来登记，这是一条不合法的由外入内之流（护栏：第 1 步的执掌分岔，把模式 M 的归正引去追溯的 ACT-7）；照着结果去凑的归正（护栏：唤起当刻钉住并哈希证据）。

### ACT-9 施动的核验（把回路闭上）
- 目的：以感知到的证据确认现实确实按所决之事变了，并把这次核验记下。把回路闭上的是证据，绝不是派发成功，也不是执行器自报一说。
- 触发：一条已派发的命令到了它预期的生效时刻；目标数据集的采集完成；执行器的完工回报；按写明的抽样率下限抽出的门槛之下重核样本。
- 行动者：智能体在 T3 收集证据并作机械比对（第 1、第 3、第 5 步）；在 T2 判断部分相符（第 4 步的临界情形）；执事裁定有争议的核验；审计者抽样。职责分离：对高于影响矩阵职责分离门槛的影响等级，作核验的智能体**不得**是那个作决定或作派发的智能体，且作核验的采集**必须**跑在与喂养原信号那条流水线互不相交的流水线身份之下（职责分离从智能体延伸到流水线的凭据）。
- 输入／输出：输入：封在决定里的核验判准、命令记录、感知到的证据（来自 MIR-2 的带出处采集结果、执行器回报、遥测、人的具结）、影响矩阵（GOV-2）、门槛之下抽样率的下限（GOV-2 配置）。输出：一条核验记录（相符、部分相符、失手、无法核验），其效果事件按因由连到该命令，实测的受影响集合按 ACT-4 的评估模式记下；新鲜度的更新；未核验队列。
- 步骤：
  1. 依作决定当刻定死的判准去收集证据。
  2. 关卡：该影响等级是否要求独立于执行器自报的证据（缺省门槛：高）？若是而只有自报，则核验不全：在下判断之前，经 MIR-2 请一次有的放矢的采集作独立感知，且跑在与喂养原信号那条互不相交的流水线身份之下。
  3. 凡可机械之处，把打算达到的状态对着感知到的状态去比。
  4. 关卡：相符、部分相符、失手，还是无法核验？
  5. 记下核验事件，以因由引用把命令连到证据，并打上施动核验的原因码（MIR-10）；该记录**必须**按与 ACT-4 评估相同的模式列出实测的受影响集合。
  6. 若相符：触发晋升（ACT-7 第 6 步），或把现实在前的那条记录收掉（ACT-8）。
  7. 若部分相符或失手：送去对账（ACT-10）。
  8. 若过了期限仍无法核验：升给执事；该次施动按未确认对待，绝不悄悄当作已成。
- 管控：核验判准在决定之后不可更改；独立证据的规矩按影响矩阵的门槛；核验期限是必需的；未核验的**不得**因时间流逝而变成已核验；高于门槛者，决定、派发与核验之间要职责分离（智能体与流水线身份皆然）；对门槛之下的施动，按写明的抽样率下限作随机的独立重核抽样，经 QSC-7 与 ACT-12 上报；单人 T1 的复合施动事件（COMMON），对同一人的情形即满足核验记语。
- 层级：核心。
- 变体：单人：所有者兼执事去看现实，并把所见记下；此处的独立，是指去看那个东西本身，而不是看脚本的退出码。团队：一支同派发分开的核验智能体池，用另一套流水线凭据。联邦：伙伴签名的确认，或伙伴状态的一面新鲜镜像，即是证据。手工：人来查看并留下具结记录。混合：智能体比对，人来抽查。自主：凡证据可由机器比对之处走 T3。
- 度量：核验覆盖率（被核验的命令占比，目标 100%）；平均核验时延；高影响类别里独立证据的占比；无法核验的比率与队列的年龄；门槛之下的抽样覆盖对着写明的下限。
- 失效之道：自证（同一个智能体或同一个流水线身份既定夺、又派发、又核验；护栏：架在智能体与流水线凭据之上的职责分离规矩）；把难做的核验悄悄搁下（护栏：把未核验队列连同老化度量摆到执事面前）；执行器伪造的证据（护栏：高影响处作独立感知、已认证的通道、互不相交的流水线身份）；把判准掰去迎合结果（护栏：判准在作决定当刻封存，审计者比对差异）；门槛之下切成薄片的施动躲开审视（护栏：随机重核抽样加 ACT-6 的累计预算）。

### ACT-10 偏离与拒执的对账
- 目的：当现实拒了那条命令、只部分照办，或在相符之后又岔开时，按执掌登记所指的方向把模型与现实之间的一致恢复过来，并把实际发生之事记下，而不改写历史。
- 触发：一次失手或部分的核验（ACT-9）；执行器的拒执（ACT-6）；由 MIR-7 交来的与施动相关的漂移（一条按因由连到未结命令上的漂移事件），或由 ACT-9 交来；对手方或消费方就某次未结施动报来的偏离。与施动无关的漂移属 MIR-7 与 CON-11 的地界，不在此处处理。
- 行动者：非机械的情形由执事定方向；执掌之争由所有者裁（GOV-1）；屡犯者由审计者复核。智能体：在 T2 刻画偏离并执行标准的对账（第 1、第 3、第 4、第 6 步），在写明的类别之内于 T3 作全然机械的漂移修补；第 5 步的上升关卡**必须**留在 T1（智能体提议，人批准每一件）。
- 输入／输出：输入：核验记录、执掌登记里的冲突规则、偏离的证据、消费方与订阅登记（CON-13）、影响矩阵（GOV-2）。输出：对账记录；或是一份改正过的模型状态（模型经采集跟着现实走），或是一份纠正性再施动的计划（把现实带到模型这边），或是一个改过的决定；打上映好 MIR-10 原因码的取代事件；消费方通告；上升。
- 步骤：
  1. 刻画这次偏离：拒执（现实说了不）、部分生效、外部的反向变动，或未结施动上的无声漂移。
  2. 关卡：对这份岔开的数据集，哪一边权威？读执掌登记里的冲突规则；依数据执掌之道，靠逐案而断去消解即为不合规。
  3. 若外边赢：以重采更新模型，并以一条取代事件把失手的意图取代掉（更正或撤回）；被拒的意图作为历史留在时间线上。
  4. 若模型赢：谋划纠正性的施动；若仍在原决定的范围与有效期之内，经 ACT-6 再派发，否则回到 ACT-5 另作一个决定。
  5. 关卡：这次偏离是否揭出一处错的执掌声明、一处错的信号定义，或一份错的执行器合约？照此上升：执掌变更的提议给 MIR-1（那唯一的登记变更执行者，含它的所有者闸口），信号目录的变更给 ACT-1，执行器合约的变更给 ACT-3；一律作为带版本的事件。
  6. 把这次对账连同因由引用与映好的 MIR-10 原因码记下；对着 CON-13 的消费方与订阅登记解析出可能读过如今已被取代那个状态的消费方，并通告他们。
  7. 关卡：同一个数据集或同一个执行器上的偏离反复出现，越过写明的阈值了吗？那就开一次审计者复核，而不是再重试一遍。
- 管控：对账的方向只依写明的冲突规则；更正只能靠取代（不删除，不编辑历史）；取代事件带着映好的 MIR-10 原因码；对着 CON-13 通告消费方是必需的；复发计数器逼出上升，而不是盲目重试。
- 层级：核心。
- 变体：单人：所有者兼执事施用自己写明的那条规则（把规则事先写下来，才使这成其为一道流程）。团队：由智能体处理的对账队列，例外归执事。联邦：与伙伴之间的偏离，依联邦合约的冲突条款、经 FED-9 消解；联邦绝不移交执掌。手工：由人主导。混合：智能体察知并提议，人来定向。自主：只对写明的机械漂移类别走 T3。
- 度量：对账的平均耗时；按数据集与按执行器的复发率；机械消解与上升各占多少；对着 CON-13 服务水平的消费方通告时延。
- 失效之道：凭感觉去对账（护栏：冲突规则即是法；偏离它就是不合规，会被审计者标出）；模型再施动、现实再拒执的拉锯环（护栏：复发阈值逼出上升）；为掩住失手而悄悄改写历史（护栏：只能取代的规矩、只追加的时间线）；去对账副本而不是主（护栏：第 2 步的执掌核查）；把已经送去 CON-11 的漂移重复处理一遍（护栏：触发的范围限于与施动相关的偏离）。

### ACT-11 回滚与补偿
- 目的：把一次核验失手、或其后果被证明有害的施动撤回；在无法撤回之处，执行补偿（一个向前的新动作，把状态恢复到可接受之处），并把残余影响老实记下。
- 触发：一次失手的核验，附带回滚的决定；施动之后发出的伤害信号；所有者或执事的指令；一份被唤起的回滚计划。
- 行动者：回滚的决定依 ACT-5 的权柄（回滚一次不可逆等级的施动，其本身就是一个决定，通常在 T1）。智能体：在 T2 执行已编目的回滚计划（第 2 到第 4 步）；只对预批的自动回滚类别走 T3（例如一道在检查失败时自动回退的部署闸口）；执事担责；审计者复核不可逆的残余。
- 输入／输出：输入：作决定当刻起草的回滚计划、施动与核验记录、当前感知到的状态、影响矩阵（GOV-2；回滚计划门槛缺省为中）。输出：回滚或补偿的命令、恢复或补偿之后的状态、一条残余影响记录、一条带映好 MIR-10 原因码的收尾事件，以及送往 ACT-4、ACT-1 与 QSC-14 的教训。
- 步骤：
  1. 关卡：取原评估里的可逆性等级：可逆通往回滚；可补偿通往一份补偿计划；不可逆通往缓解加残余影响的记录。
  2. 拿回滚计划对着当前现实去校；自计划起草以来，现实可能已经挪动。关卡：该计划是否仍然有效？若否，一次陈旧的回滚就是一次新的施动：送去 ACT-5。
  3. 经 ACT-6 下达回滚或补偿的命令；整条回路一样适用，因为回滚也是施动（凡类别要求处作评估、命令记录、幂等键、预算）。
  4. 经 ACT-9 核验恢复情况。
  5. 老实记下残余影响：什么没能恢复，作价并归属；绝不为了好看而抹成零；取代与残余影响事件带着映好的 MIR-10 原因码。
  6. 把教训回喂：评估准确度给 ACT-4，信号与目录的修订给 ACT-1，执行器合约的修订给 ACT-3；高于严重度门槛的伤害开一起 QSC-14 事故，作不问罪的复盘。
- 管控：对高于影响矩阵回滚计划门槛的影响等级，回滚计划**必须**在作决定当刻起草，而不是失手之后再临时凑；回滚走同一套命令与核验机制，没有侧门；残余影响**必须**记下；不可逆这个说法**不得**用来搪塞缺了缓解计划。
- 层级：建议（高于回滚计划门槛的决定须带回滚计划，这条要求本身是 ACT-5 里的核心管控；独立的这道流程属建议，因为一个最小的模型**可以**合法地把每一次回滚都当作一个新的 ACT-5 决定来办）。
- 变体：单人：所有者兼执事对每一处有风险的变更留一行撤销记语。团队：由智能体执行的回滚手册，经执事批准。联邦：朝伙伴的补偿，受联邦合约的救济条款管辖。手工：手工撤销。混合：智能体回退系统，面向人的补偿由人来办。自主：只对恢复可由机器核验的预批类别走 T3 自动回退。
- 度量：回滚成功率；恢复所需时间；残余影响的事故数及其作价；门槛之上的施动带有预先起草回滚计划的占比（目标 100%）。
- 失效之道：回滚时假定世界是冻住的（护栏：第 2 步对着当前现实重新校验）；补偿螺旋，修补又生新害（护栏：补偿是一次走完整回路的施动，有它自己的评估）；抬出不可逆来免掉谋划（护栏：不可逆等级要求缓解计划与审计者复核）；走侧门回滚而跳过记录（护栏：同一套机制的规矩）。

### ACT-12 闭环健康度复核
- 目的：定期把整条回路端到端地审一遍（现实、模型、信号、决定、命令、现实、感知、对账）：痕迹的完整性、时延、证据质量、预算消耗与委派层级的校准，好让模型仍是一个真在做功的执行机构，而不是一本日记。
- 触发：按模型节律排的日程；某项回路度量越阈；对某条 QSC-14 事故记录作的事后复核；所有者的请求。
- 行动者：审计者领衔（经 GOV-6 聘用），且**必须**独立于执行的智能体与执事。智能体：在 T3 汇集回路痕迹与度量（第 1、第 2、第 4、第 5 步）；在 T2 起草发现（第 6 步）。执事与所有者收报告并定夺变更（GOV-1）；层级重校是所有者或执事的决定，经 CTX-9 执行，绝不由智能体自授。
- 输入／输出：输入：端到端的施动痕迹（信号到决定到命令到核验到对账的链条）、来自所有 ACT 流程的回路度量、预算消耗记录（ACT-6）、门槛之下的重核样本（ACT-9）、事故记录（QSC-14）、委派合约（CTX-9）、影响矩阵（GOV-2）。输出：一份回路健康报告、作为具名输入送入 CTX-9 第 8 步的层级重校提议、目录／执行器／评估的修订提议（ACT-1、ACT-3、ACT-4）、送进 QSC-11 收口的失怙连接发现与回路欠账，以及给所有者的闭环具结（GOV-1）。
- 步骤：
  1. 抽查端到端的痕迹；每一条链**必须**走得通：每一条命令通到一个决定，每一个决定通到一个信号或所有者指令类别，每一次核验通到证据。关卡：有失怙的连接吗？失怙即是发现，送进 QSC-11，不是噪声。
  2. 按阶段并端到端地量回路时延；对着模型写明的施动服务水平去比。
  3. 按层级复核智能体的表现：错误率与上升率对着所授的自主。关卡：按类别提议朝更大自主的升格，或是降格；把提议作为具名输入送入 CTX-9 第 8 步。
  4. 复核应急通路的使用趋势、重复唤起的上升次数、累计的预算消耗，以及未编目施动的企图；向所有者提议撤销类别或改动预算（GOV-1、GOV-2）。
  5. 拿预测的影响（ACT-4）对着实测的受影响集合（ACT-9，同一模式）去比，以校准评估的质量；复核门槛之下重核样本的结果。
  6. 起草并发布报告；把变更提议作为带版本的事件提到 ACT-1、ACT-3、CTX-9 与 GOV-2；把发现送进 QSC-11。
  7. 就回路健康向所有者具结（经 GOV-1 记下）。
- 管控：痕迹对审计者只读；审计者的独立性（GOV-6 的具结）；重校只由所有者或执事的决定作出，并在 CTX-9 里执行；抽样深度设下限，好让复核不至于缩成一场仪式；审计者从裸痕迹重算头部度量，而不是信那些报上来的看板；痕迹日志由基础设施发出，并按 COMMON 作哈希链接，好让受审的智能体改不了审计者的证据底盘。
- 层级：凡有任何 ACT 流程跑在 T3、或写明了任何一个应急类别之处即为核心；否则属建议。
- 变体：单人：每季度花一个小时，所有者兼执事端到端走五条随机的链（**可以**并入 COMMON 单人档的季度合并复核）。团队：设常设的审计者角色，证据由智能体汇集。联邦：伙伴之间依合约交换回路具结，而不是裸痕迹。手工：手工抽样。混合：智能体汇集，审计者判断。自主：在 T3 持续检查痕迹的完整性，周期性的判断由人主导。
- 度量：失怙连接率（目标为 0）；端到端回路时延的走势；智能体错误率与所授层级的相关性；应急通路占比的走势；门槛之下的抽样覆盖。
- 失效之道：审计沦为仪式（护栏：抽样下限与由事故触发的复核）；智能体给自己打分打进自主（护栏：独立性的规矩，重校经 CTX-9 只留给人）；被做手脚的度量（护栏：审计者从裸的、作了哈希链接的痕迹重算）；发现送进去便没了下文（护栏：提议进入带版本的变更流程与 QSC-11 的欠账收口，带责任人与到期事件）。