# CON：贡献与入口管控

这一族管的是：信息如何进入一份合乎 Vercy 的元模型，以及这道入口如何受控。它的道理出自正典的三条不变量：每个文件都有其声明的含义（ARCH-017），每份数据集恰有一个主（ARCH-018），而每一次改动都是一件明写、可追溯的事件（Lifecycle、Change Process）。由此，这一族推出自己的四条法：

1. **撰写而来的内容，没有侧门。** 凡是写出来的东西，只有经由声明过的入口之路（CON-1）才成为模型的一部分。绕开接收的提交，是覆盖巡查器必须揪出来的缺陷。采集而来的内容按设计另当别论：在 `sources.yaml` 的有效条目之下跑一次登记过的 MIR-2 流水线，本身**就是**采集内容的接收与批准；登记条目即那份常设授权；CON-2 到 CON-4 不再复处理采集批次。
2. **没有无名的事实。** 每一条记录都带着出处：谁断言的、何时、出自何源、依何权柄、为何而作（CON-2）。没有出处的记录不可采纳。就采集内容而言，作数的出处是 MIR-2 的旁注；CON-2 称引它，绝不另行改写。
3. **只往真相所居之处写。** 改动只落在各数据集自己的记录系统里。凡试图去改镜像、原始采集件或生成产物者，一律拒收并转交给主（CON-5）。既不在登记之中、又无外部系统牵涉的数据集，由模型执掌、就地撰写 - 依 Data-Mastership 6 的默认。
4. **人担着责，智能体去执行。** 执事委派得很重：这一族多数步骤依委派合约跑在 T2 或 T3（层级见调色板序言），但破坏性或有争议记录的批准、安全攸关数据集的接受，以及入口权的授予，仍是人的行为；而 CON-9 的裁断，就实质而言不可委派。责任从不转到智能体身上。委派合约自身的生命周期属 CTX-9；CON 只持有那份称引它的入口权登记。

有两件跨族的器具塑着这一族的执行。安全攸关的数据集类别（在 COMMON 中定义）在结构上不得走自动批准通道：CON-4 的关卡以机械方式强制这一不合格，接受一律在 T1 并配第二位人类评审，而判定通道资格的、基于差异的通道分类器是一件 GOV-2 产物 - 它从不信任提交方智能体自报的归类。编辑性快速通道（在 COMMON 中定义）方向相反：对声明的尺寸阈值以下的编辑性或纠正性改动，一条 T3 智能体流水线发出单一的复合事件，即可作为 CON-1、CON-2、CON-3、CON-4 与 CON-6 的合规凭据。

用词（依 COMMON 的词汇表）：隔离，指 MIR-8 那种可读但被标注信任的标记（也是 MIR-6 的新鲜度状态）；准入隔离，指 FED-8 的入境扣留，在获准提升之前不可读；完整性扣留，是 QSC-9 的排除标记。CON 的接收扣留哪个都不是：那是准入之前的一种停放状态，留给尚未过身份或出处闸口的提交。

这一族的伸缩范围，从一位单人的所有者兼执事、一份笔记本大小的模型（接收、评审与批准塌缩成一个人加一个 T3 门房智能体，而 COMMON 中的单人／最小合规配置把各项定期复核并作一处），一直到 MOS 那种压力个案：一个国家尺度的宇宙，成千上万的 AI 公民智能体不停地贡献，批量导入一次装进整套世界模型语料，而围绕记录的争议是家常便饭（MOS 指的是那份外部的参考维度仓库 orkestron-ai/meta-orchestrator-state，不是标准本身）。调色板扛得住这个尺度，是因为校验闸口（CON-3）、自动批准通道（CON-4）与执掌强制（CON-5）完全是机械的，而人的注意力只留给执行 GOV-2 的批准矩阵、争议与权利授予。Orkestron 的生产模型（Orkestron.AI 的产品模型、DevTeam.Games 的平台模型）是执掌与漂移采录这两套做法的参考实现。

核心流程（没有它们，任何合规模型都转不起来）：CON-1、CON-2、CON-3、CON-4、CON-5、CON-6、CON-8、CON-10、CON-11。建议的：CON-7、CON-9、CON-12、CON-13。

## 与其他族的接口

- **GOV：** GOV-1 记录 CON-9 上呈的所有者裁断与申诉，以及触发 CON-12 的迁移采纳决定。GOV-2 撰写并版本化批准矩阵、自动批准通道的准绳、基于差异的通道分类器、各闸口配置与撤销传播的 TTL；CON-3、CON-4 与 CON-10 执行这些产物，从不撰写它们。GOV-3 任命 CON-4 矩阵所点名的执事与副手。GOV-5 从 CON-13 接收消费方与依赖的负担报告。GOV-6 聘请审计者去抽查 CON-4 的批准、CON-7 的导入与 CON-12 的迁移。GOV-7 发放内部访问授予，CON-13 把它们映成消费条目。GOV-8 为 CON-10 所备的通道访问提供凭据。
- **MIR：** MIR-1 是执掌登记变更的唯一执行者：CON-7 第 1 步在任何字节移动之前唤起它（含其对新外部系统的所有者闸口），CON-9 第 4 步把执掌争议上呈给它，而 CON-5 与 CON-6 的登记更新都经由它执行。MIR-2 是 `sources.yaml` 有效条目之下采集内容的接收与批准，也是 CON-2 所称引的采集出处旁注的唯一所有者；CON-7 的原始落地遵循 MIR-2 的纪律。MIR-7 作为唯一的漂移察觉引擎，发出触发 CON-11 的漂移事件，而 CON-6 第 7 步触发它那条重新发布并检查的路径。MIR-8 的隔离通知按 CON-13 解析收件人。MIR-9 为 CON-6 与 CON-8 留存被取代的状态，为 CON-12 留存迁移前快照。MIR-10 提供基础的缘由分类，盖在 CON-6、CON-7 与 CON-8 的迁移事件上。
- **ACT：** ACT 的决定、命令与意图事件追加，都是经 CON 链执行的、登记过的 CON-1 通道，机械式的事件追加走 CON-4 中声明的机械自动批准通道。ACT-10 的取代通告按 CON-13 解析收件人；ACT-10 把登记变更转给 MIR-1，把目录或执行器的变更转给 ACT-1 与 ACT-3，而其取代事件与 CON 自己的事件一样带 MIR-10 的缘由码。
- **CTX：** CTX-5 的回写集合是一条登记过的 CON-1 通道；CTX-7 是喂给 CON-4 的并发整合步骤，不是并行的批准权。CTX-9 是委派合约生命周期的唯一记录系统：CON-10 以引用取得合约，入口权随其合约而亡，而 CTX-9 的中止与撤销事件会在 GOV-2 的 TTL 之内传到 CON-10 的入口权登记与通道拆除，并由闸口一侧的探针核实。CTX-1 的包取用 CON-2 的出处元数据与 CON-13 的消费方画像。
- **FED：** 伙伴宇宙的提案依其联邦合约进入 CON-1，其载荷要经 FED-8 的准入隔离与提升之后才到得了 CON。CON-8 的撤回通告依联邦合约的披露条款传播，而 FED-11 会读 CON-13，以找出冻结镜像在伙伴一侧的消费方。跨越主权边界的争议离开 CON-9，转到 FED-9。CON-12 对同侪的通告，在所声明的兼容窗口之内使用 FED-7 的跨版本映射。
- **QSC：** CON 发出的正是审计赖以运转的原料：校验报告（CON-3）、带理由的批准事件（CON-4）、出处完整度统计（CON-2）、自动批准的漏网与不符发现，以及只追加的变更历史（CON-6） - 由 QSC-5 与 QSC-9 取用。QSC-9 核实 MIR-7 与 CON 的各闸口按节律跑过，并持续锚定 CON-4 所护的那类安全攸关数据集的哈希。QSC-11 把通道漏网发现与 CON-13 的依赖报告收作欠账。QSC-14 接收 CON-10 报来的 TTL 破限与残余权柄事故，以及从死掉的 CON 常设作业上呈的运维事故。QSC-15 跑并元监视 CON 的常设作业：CON-3 链接索引的全量重算清扫、CON-10 与 CON-13 的重新认定排期，以及闸口自动化的健康。
- **结构与清单的撰写属 CON 的地盘：** 清单里的类别规则、排除清单与布局声明，都是由模型执掌的内容，经 CON 链撰写，由 CON-3 的闸口当作法来执行，并经 CON-6 的结构性变更来维护；覆盖巡查器是 CON-6 的合并不变量，而每一次结构性变更都要带上新鲜的巡查报告。

### CON-1 贡献的接收
- 目的：接下并登记每一份拟入模型的撰写记录 - 无论来自人还是智能体，无论是结构化记录还是原始素材 - 并把它引上正确的入口之路。接收是撰写贡献的唯一正门：没过这道门的撰写内容**不得**成为模型的一部分。采集内容不走这里：在 `sources.yaml` 的有效条目之下跑一次登记过的 MIR-2 流水线，本身**就是**采集内容的接收与批准；登记条目即那份常设授权；CON-2 到 CON-4 不再复处理采集批次。
- 触发：贡献者从任一受理通道提交内容（变更提案、pull request、消息、表单、智能体提案）；CON-11 转来一份把某处外部改动打包起来的赞助提案；ACT 的决定、命令或意图事件追加抵达其登记通道；CTX-5 的回写集合抵达其登记通道；某个伙伴宇宙依其联邦合约递来提案（在 FED-8 的准入隔离与提升之后）。
- 行动者：贡献者提交。执事掌管接收队列及其路由政策。智能体**可以**在 T2 归类并路由提交，**可以**在 T3 登记并回执；任何层级上，智能体**都不得**悄悄丢弃一份提交。
- 输入／输出：输入：那份提交、仓库清单与类别规则（ARCH-017）、执掌登记（`sources.yaml`）、来自 CON-10 的入口权登记。输出：一份带稳定接收编号的已登记贡献、一条接收事件、一个路由决定（结构化之路、原始之路、转外部主，或拒收），以及每当路由决定日后被改，一条称引该接收编号的强制改路事件。
- 步骤：
  1. 接下提交并赋予接收编号（事件：贡献已收到）。
  2. 辨明贡献者，并对着 CON-10 的登记核其入口权；闸口在行为发生的当刻核验所称引委派合约是否在活（COMMON 的撤销规则），绝不指望智能体自己刹住。对 CON-11 转来的赞助提案，权利核验解析到打包智能体的委派合约上；外部改动者只出现在出处里。关卡：对这份数据集与这一类别，权利是否有效？若否，写明缘由拒收，或把请求方引去 CON-10 的接入；身份不明者进接收扣留，绝不进合并。
  3. 关卡：结构化还是原始？结构化记录走记录之路；撰写而来的原始素材（文档、逐字稿、提交的采集件）原封不动落到 `raw/<system>/<dataset>/`，并经 CON-2 附上出处旁注。
  4. 在 `sources.yaml` 中解析目标数据集。关卡：模型是不是主？若该数据集由外部执掌，交给 CON-5 转往主系统。
  5. 唤起 CON-2，为这份提交采录完整的出处。
  6. 把这份贡献排进 CON-3 校验闸口的队列，并向贡献者回执。此后任何对路由决定的更改，**必须**记成一条称引该接收编号的改路事件。
- 管控：在接受任何内容之前先核身份与入口权，并在闸口于行为当刻核验合约在活；路由之前必须查数据集；接收之际**绝不**改动原始素材；来自未登记者的提交**必须**留在接收扣留里，不得合并；目的一节里那句采集专属的表述具有规范效力；ACT 与 CTX 的机械事件追加走 CON-4 中声明的机械自动批准通道，并受 GOV-2 通道分类器管辖；COMMON 编辑性快速通道的复合事件，是本卡片的合规凭据。
- 层级：核心
- 变体：单人：所有者兼执事是唯一的人类贡献者，接收退化成一个门房智能体（T3）在登记执事自己的改动；多数编辑性改动走 COMMON 的编辑性快速通道。团队：一条共用队列，按数据集路由。联邦：来自伙伴宇宙的提案走同一道门，但还要对着所依的联邦合约再核一遍，且其载荷要经 FED-8 的准入隔离与提升之后才到 CON-1。手工执行就是一张检查清单；混合式用智能体归类、由人来定路由；自主式把整个接收跑在 T3，配抽样复核。
- 度量：从接收到路由决定的中位时间；自动路由正确的提交占比，由改路事件算出；接收处的拒收率；被查出的绕开接收的合并次数（目标为零）。
- 失效之道：绕开接收的直接提交（护栏：覆盖巡查器加仓库分支保护；每一个孤儿文件都触发一次接收审计）。采集批次被误经 CON-1 复处理，把排期刷新堵在评审队列上（护栏：那句采集专属的表述；登记条目即常设授权）。原始素材被误归为结构化记录并被手工润饰（护栏：第 3 步的来路归类是机械的，按通道与位置而定）。因情急而合并了不明贡献者的内容（护栏：接收扣留；没过权利核验就不合并）。

### CON-2 出处的采录
- 目的：把每一条记录系到它完整的出处上：谁断言的、何时、出自何源、依何权柄、为何而作。正是出处，才让下游那套信任机件（校验 V3-02、出处图、联邦中的信任）得以运转。
- 触发：CON-1 受理的每一份贡献；每一次产出产物的生成运行；CON-8 中的每一次更正或撤回。采集运行不在此列：MIR-2 是采集出处旁注的唯一所有者，而 CON-2 把那份旁注称引为采集来路内容作数的出处。
- 行动者：贡献者给出理由。执事为模型定下出处架构。智能体**必须**在 T3 执行机械的采录：凑不齐出处的智能体**必须**把该记录停放，而不是合并。
- 输入／输出：输入：那份贡献、行动者身份、通道元数据；对智能体还有委派合约编号；对采集来路的内容还有 MIR-2 旁注的引用。输出：一份填好的出处记录（撰写而来的原始数据集用 `_provenance.yaml` 旁注：来源、范围、采集时间、工具、条数；采集内容则是指向 MIR-2 旁注的引用）、供出处图使用的 `assertedBy` 与 `derivedFrom` 边，以及该记录上的出处完整标记。
- 步骤：
  1. 认定作断言者：人的身份，或智能体身份加上它据以行事的委派合约。对赞助提案而言，作断言者是打包智能体本身及其合约；外部改动者经 `derivedFrom` 记为该断言的来源，绝不记作持权提交人。
  2. 记下时间戳与入口通道。
  3. 给来路归类：撰写、采集，或生成（ARCH-017 第 9 节）。关卡：来路可定吗？若不可，扣住该记录并上呈执事。
  4. 对采集来路的内容，作数的出处是 MIR-2 的旁注及其采集时间证明（由采集智能体写不进去的流水线基础设施发出，依 COMMON）；CON-2 链到它，且**不得**另行改写。对生成内容，记下生成器与其输入。对撰写而来的原始提交，在接收之际写下旁注。
  5. 从贡献者处采录理由（这条记录为何存在）。
  6. 作为接收事件的一部分，发出 `assertedBy` 边；输入已知处，再发出 `derivedFrom` 边。
  7. 关卡：按模型的架构看，出处齐了吗？若否，退回贡献者；若齐，标为出处完整并放行到 CON-3。

### CON-3 校验闸口
- 目的：在任何贡献够得着评审之前，对它施以机械的准入检查：语法、结构与类别归类、架构符合性、命名与文体、链接完整。闸口让质量成为流水线的属性，而不是评审者警觉性的属性。
- 触发：CON-2 放行的一份贡献；任何变更集在合并前的检查；对整个模型的排期重校。
- 行动者：智能体**必须**在 T3 跑这些闸口。GOV-2 撰写并版本化闸口配置；CON-3 执行它。贡献者修掉报出来的失败。审计者**可以**复核闸口的覆盖面。
- 输入／输出：输入：那份贡献、各架构、清单的类别规则与排除清单、命名约定、模型的文体规则、全模型的链接索引。输出：一份讲得清的校验报告（检查编号、过或不过、缘由）、通过或不通过的裁定；对结构性变更还有一份新鲜的覆盖巡查报告。
- 步骤：
  1. 跑语法校验（V0）：每件产物都解析得开。
  2. 跑结构校验（V1）：该文件恰由一条类别规则或一处层枚举归类；没有孤儿，没有含混的归类（ARCH-017 第 7 节）；声明过的位置确实存在。
  3. 依所声明类别的架构与必填字段跑架构校验。
  4. 跑命名与文体检查：正典名、标识符样式、模型的编辑规则。
  5. 对着增量维护的全模型链接索引跑链接完整（V2）：每一处内部引用都解析得开，包括指向被改内容的入向引用；指向外部主的引用要解析到一条登记条目上。一次排期的全量重算清扫（一项在 QSC-15 登记的常设作业）是完整性的兜底，用来纠正索引的漂移。
  6. 对触及规范性规则库的贡献，跑政策一致性检查：会让规则集不可满足的改动**不得**通过。
  7. 关卡：各闸口都过了吗？若否，把讲得清的报告退回贡献者（事件：校验未过）。若是，转往 CON-4（事件：校验通过）。
- 管控：每一项检查都有稳定编号与讲得清的结果；闸口配置是 CON-3 所执行的 GOV-2 政策产物；闸口的定义属安全攸关数据集类别（COMMON），故其改动只在 T1 加第二位人类评审、经 CON-4 才被接受，而 QSC-9 持续锚定其哈希；不存在绕开闸口的合并之路；清单的类别规则与排除清单是由模型执掌、经 CON 链撰写的内容（CON 的地盘），在此当作法来执行。
- 层级：核心
- 变体：单人：本地的提交前钩子加覆盖巡查器；链接索引**可以**就用巡查器自己的输出。团队：闸口在共用的自动化里对每一份拟议改动跑一遍。联邦：进来的联邦内容还要多过 V4 的互操作检查。手工执行（一个人照着清单跑）算合规，但**应当**是权宜；混合式与自主式都把闸口跑在 T3。
- 度量：闸口一次通过率；从失败报告到重新提交的平均时间；本该被闸口逮住却在下游才发现的缺陷数（漏网缺陷，目标为零）；每次全量重算查出的索引与清扫不符的发现数（目标为零）。
- 失效之道：为赶期限而把闸口放松（护栏：闸口配置的改动属安全攸关类别，T1 加第二位评审，在历史里看得见）。孤儿文件经排除清单一路攒起来（护栏：排除即是断言此处并无语义内容；审计者抽查排除项）。链接索引与现实脱节，于是逐份贡献的检查都过、模型却在烂（护栏：排期的全量重算清扫就是兜底；不符者即是发现，而一项停跑的清扫就是 QSC-15 的上呈）。

### CON-4 评审与批准
- 目的：判定哪些记录需要人来批、哪些自动批准，跑完评审链条，并把每一次批准记成可追溯的事件。执事的责任，正是在这里行使的。
- 触发：某份贡献过了 CON-3 的校验闸口；CTX-7 交来一份并发整合过的变更集（CTX-7 是喂给 CON-4 的并发整合步骤，不是并行的批准权）；ACT 或 CTX 的登记通道为那条声明过的机械通道送来一次机械事件追加。
- 行动者：执事在自己的分区之内批准；批准矩阵要求多少评审者，就添多少。智能体**可以**在 T2 作预评审（把改动摘要出来、算差异、点出风险、提出归类建议），也**可以**在 T3 自动批准 - 但只限于明白声明过、且经 GOV-2 分类器确认其资格的自动批准通道之内。破坏性改动的批准**必须**由人；安全攸关数据集的接受**必须**在 T1 并配第二位人类评审。
- 输入／输出：输入：已校验的贡献、其出处记录、批准矩阵（CON-4 所执行的 GOV-2 产物）、基于差异的通道分类器的裁定（GOV-2 的闸口配置）、该改动的归类。输出：带行动者与理由的批准或拒绝事件、交给 CON-6 的已合并记录，或退回的贡献。
- 步骤：
  1. 在变更流程的两条轴上给改动归类：影响（编辑性、纠正性、演进性、破坏性）与语义变更类型（模型结构、意义、合约、投影行为等）。智能体**可以**在 T2 提出归类，但通道关卡所取用的归类**不得**出自提交方智能体或其编排器。
  2. 跑基于差异的通道分类器（GOV-2 闸口配置）：只要差异触到规范性关键词、架构、身份、登记条目、合约或任何安全攸关数据集，无论所提归类为何，它都逼出人工评审；归类与差异不符者要记为发现，而不仅仅算漏网。关卡：走自动批准通道吗？只有分类器允许、且该通道所声明的准绳成立时，改动才够格（通常是：编辑性或纠正性影响、低风险数据集、闸口全过、贡献者信誉良好）；安全攸关数据集类别与赞助（外部来路）提案在结构上不合格。若够格，在 T3 合并并留全程审计痕迹（事件：已自动批准），并跳到第 7 步。
  3. 关卡：这次改动是否触到安全攸关数据集类别（COMMON）？若是，接受**必须**在 T1 并配第二位人类评审 - 与任何归类无关。
  4. 依批准矩阵指派评审者。关卡：贡献者本人是否就是唯一必需的批准者？若矩阵对此类别禁止自批，就加一位独立评审者。
  5. 评审者衡量意义、位置与后果；智能体从出处图给出影响分析（什么引用了这条记录、什么依赖着它）。
  6. 关卡：批准、要求修改，还是拒绝？要求修改的退回贡献者；拒绝的连同理由一并结案。
  7. 记下裁决事件（行动者、时间戳、归类、理由），并把已批准的记录交给 CON-6。
- 管控：批准矩阵、通道准绳与通道分类器，都是 GOV-2 撰写、带版本、由 CON-4 执行的产物；破坏性的与改变意义的记录**不得**自动批准；安全攸关数据集与赞助提案在结构上不得自动批准，这由第 2 步的关卡强制，而不是靠归类；自批的界限依矩阵而定；每一个裁决都带理由；自动批准通道要按其漏网率定期复核；COMMON 的编辑性快速通道是一条声明过的通道，其分类器就是这同一套 GOV-2 机制，其复合事件是本卡片的合规凭据。
- 层级：核心
- 变体：单人：所有者兼执事什么都批；实际管住场面的是智能体在 T2 的预评审充当第二双眼睛，加上给编辑性改动用的编辑性快速通道；安全攸关数据集的第二评审者规则即便在单人情形下也具约束力（找一位外部同侪或审计者）。团队：由矩阵驱动的多评审者链条。联邦：涉及对外投影或联邦合约的记录，还需面向对手方的那位执事。自主式执行意味着 T3 通道开得宽，人来复核抽样与每一件被标出的个案 - 这正是 MOS 尺度上的常态姿势。
- 度量：评审周转的中位时间；自动批准的占比及其漏网率（自动批准后又被更正或撤回的记录）；每期归类与差异不符的发现数；每位执事的评审负担；带实质理由的裁决占比。
- 失效之道：自动批准通道越放越宽，评审沦为虚设（护栏：通道准绳的改动属安全攸关类别的 GOV-2 改动；漏网率一旦越阈，通道自动中止）。靠智能体自报归类来自我发牌（护栏：通道资格出自独立的、基于差异的分类器，绝不出自提交方智能体）。负担一重就变成盖章（护栏：审计者抽查批准；周转与深度要上报）。执事缺席时队列成了孤儿（护栏：经 GOV-3 任命、并在矩阵中点名的副手；老化告警经 GOV-1 上呈）。

### CON-5 执掌的强制
- 目的：担保每一次写入都只落在其数据集的记录系统里。凡冲着镜像、原始采集件或生成产物去的改动，一律拒收，并按 ARCH-018 转给真正的主。
- 触发：对模型的任何一次写入尝试；CON-1 发现目标由外部执掌；CON-8 中冲着镜像内容去的一次更正。
- 行动者：智能体**必须**在 T3 强制执行：查登记、拒掉不合规的写入、把更正打包并转出去。执事处置上呈、登记的缺口与执掌争议。有外部系统访问权的贡献者，把转出的更正带过去。
- 输入／输出：输入：那次写入请求、`sources.yaml`、目标文件的来路归类。输出：在主处执行的写入；或一次带解释的拒绝，外加一份转出的更正包与若干路由事件；也可能再加一条由模型执掌、关于该镜像的批注。
- 步骤：
  1. 在 `sources.yaml` 中解析目标数据集。关卡：登记条目在不在？若既无条目、又无外部系统牵涉，则该数据集由模型执掌、就地撰写（Data-Mastership 6 的默认）：照常走 CON-3 与 CON-4，并向 MIR-1 报一项补登记的任务。只有在确有外部牵涉，或来路与执掌含混时，才拒掉写入并开出登记缺口任务（Agent-Operations 6 的拒绝之责：说不出自己可改什么的智能体，就不该动手改）。
  2. 关卡：模型是不是主？若是，照常走链条（CON-3、CON-4）作就地改动。
  3. 若由外部执掌：拒掉就地改动。把更正打包（目标系统、范围、拟议改动、证据、出处）。
  4. 若智能体在那边有合法的写入路径，就把更正直接送到外部系统；否则交给有权限的贡献者或执事。
  5. 若模型需要在源头修好之前先表明自己的立场，可以另记一条清楚分开、由模型执掌、关于该镜像的批注（"源上说 X，我们判为 Y"）。
  6. 排期或触发一次重新采集，好让镜像映出已更正的主；把路由事件从头到尾记下来。
- 管控：镜像、`raw/` 与 `artifacts/` 在模型之内一律只读，无例外；Agent-Operations 6 的拒绝条件对每一个智能体都有约束力；批注**必须**在视觉与结构上与镜像来的事实分开；执掌的变更是带版本的登记事件、只由 MIR-1 执行，绝非悄悄的改动；第 1 步的登记默认规则出自 Data-Mastership 6，不是调色板的加码。
- 层级：核心
- 变体：单人：所有者兼执事通常两边都有权限，于是转出不过是一句提醒加一次重新采集。团队：转出的目标是掌管该外部系统的团队。联邦：对伙伴宇宙所执掌内容的更正，走联邦通道转出；联邦从不转移执掌。各变体中强制都是自主的（T3）；只有登记缺口与执掌争议会送到人这里。
- 度量：被拒的不合规写入次数（这是健康信号，不是错误计数）；从转出更正到镜像重新采集完成的中位时间；登记覆盖率（有写入触及、且确有外部牵涉的数据集中，具备登记条目者，目标 100%）；因改副本而起的漂移事故（目标为零）。
- 失效之道："就这一次"顺手改了陈旧的镜像（护栏：T3 的拒绝是无条件的；快捷之道是第 5 步的批注）。有外部牵涉的写入因缺登记条目而悄悄落到"由模型执掌"的默认上（护栏：第 1 步对任何无条目的外部牵涉一律拒绝；V2 的登记校验；合法的就地默认只在无外部系统牵涉时才适用）。转出的更正死在某人的收件箱里（护栏：路由事件带开放状态；转出的更正一旦老化就提醒执事）。

### CON-6 版本与变更历史
- 目的：把每一条获批的记录变成带版本、可重建的改动：记下迁移事件、推进正确的那条版本线、让各类登记与巡查保持诚实。历史只追加；模型的过去**必须**始终可复原。
- 触发：CON-4 批准了一份贡献；MIR-1 执行了一次执掌迁移；一次登记或清单的更新。
- 行动者：智能体**必须**在 T3 机械地执行（施加改动、提交、发事件、更新日志、重跑巡查器）；只有巡查器失败与登记冲突才上呈。执事定下版本政策（什么使记录版本进位、什么使模型版本进位），并复核历史的健康。
- 输入／输出：输入：带完整裁决痕迹的已批准贡献、版本政策、当前的各版本编号、MIR-10 的基础缘由分类。输出：施加到主位置的改动、一条迁移事件（行动者、时间戳、先前状态、新状态、理由、恰好一个主缘由码）、更新后的版本编号、更新后的变更日志、结构有变处的新鲜覆盖巡查报告，以及适用处的登记更新。
- 步骤：
  1. 把改动施加到该数据集的主位置。
  2. 记下迁移事件，含行动者、时间戳、先前与新状态、理由，并把三个彼此独立的时间分清：一个对象退役、一份定义换版本、一份投影被撤销，是三件不同的事件。在迁移事件上盖恰好一个来自 MIR-10 基础分类的主缘由码（更正、结构性变更、迁移回填等）。
  3. 依政策推进版本编号（记录一级永远推进；包或模型版本按政策的汇总规则）。身份**绝不**改变：只有语义上的替换才造出新的身份。
  4. 更新变更日志条目，把事件、变更请求或接收编号，以及 CON-4 的归类串起来。
  5. 关卡：这次改动是否增、移或删了文件？若是，重跑覆盖巡查器，并把新鲜报告随同一次改动一并提交；有孤儿就挡住合并。
  6. 关卡：这次改动是否新建了数据集、改动了流水线，或搬动了执掌？若是，登记变更**必须**经 MIR-1（执掌登记变更的唯一执行者）执行，并与改动同在一个变更集里（登记胜过记忆）。
  7. 发布合并后的状态；若该数据集喂着回写投影，就经 MIR-7 触发重新发布与漂移检查。
- 管控：没有悄悄的迁移（Lifecycle 6）；历史只追加，不重写；每一个合并点上巡查**必须**是绿的；登记更新与它所描述的改动同批而行，并经 MIR-1 执行；清单是由模型执掌的内容，在此作为结构性变更来维护（CON 的地盘）；被取代的状态依 MIR-9 留存；COMMON 编辑性快速通道的复合事件，是本卡片的合规凭据。
- 层级：核心
- 变体：单人：版本控制加上一套有纪律的提交约定，已能满足多数步骤；智能体去把人会忘掉的事件、缘由码与登记纪律顶起来。团队：合并路径上的共用自动化。联邦：版本事件正是联邦同步所取用之物，因而其完整度在外部看得见。手工合规做得到，但脆；常态是混合与自主。
- 度量：带完整迁移事件、且事件带主缘由码的合并占比；合并时的巡查状态（绿的占比，目标 100）；登记陈旧事故（本该更新 `sources.yaml` 却没更的改动）；历史重建抽查的通过率。
- 失效之道：squash 或 rebase 的习惯毁掉事件痕迹（护栏：已发布历史上的只追加政策；审计者核查可重建性）。版本编号进了却无事件，或有事件却没进版本（护栏：T3 的智能体把两件事原子地一并做掉）。"无关紧要"的挪动把巡查器跳过去了（护栏：路径有变而无新鲜绿报告时，合并自动化予以拒绝）。

### CON-7 批量导入
- 目的：把大宗内容（模型的初次装载、自遗留系统的迁移、接入一份大的外部数据集）在受控之下摄入，既不把逐条的闸口淹掉，也不把没有出处的数据洗进模型。
- 触发：执事授权一次导入；接入一套新的外部系统；某份迁移计划（例如从一套已退役的记录系统迁出）走到执行。
- 行动者：执事授权，并掌管接受与否的决定。MIR-1 执行登记条目，含其对新外部系统的所有者闸口。对例行的重复导入，智能体在 T2 执行（由人复核抽样与例外）；对一个新来源的首次导入，智能体**必须**跑在 T1（智能体提议，人对每一阶段作批准）。审计者（经 GOV-6 聘请）**应当**在导入之后抽查结果。
- 输入／输出：输入：源数据集、导入授权、映射与变换规则、`sources.yaml`。输出：一份带 MIR-2 所属出处旁注的原始采集件、模型中变换而成的记录、一条引用导入清单并带主缘由码的批量导入事件、一份抽样报告，以及一个回滚点。
- 步骤：
  1. 先声明：在任何字节移动之前，唤起 MIR-1 去新建或更新该数据集的登记条目（主、范围、节律，或一条一次性的迁移条目），含 MIR-1 对新外部系统与执掌决定的所有者批准关卡；批量导入是 MIR-1 一项登记在册的触发。
  2. 拿一份样本把变换空跑一遍。关卡：这份样本执事接受吗？若否，修映射规则再来一遍。
  3. 依 MIR-2 的落地纪律，把未经改动的采集件落到 `raw/<system>/<dataset>/`，并带上 MIR-2 所属的出处旁注与采集时间证明；采集之际**不得**"改进"事实。
  4. 变换成暂存区里的候选记录；超出源头的充实，是另一层、由模型执掌，绝不掺进变换里。
  5. 对整批跑 CON-3 的校验闸口；对失败者分诊（修规则、把失败记录挑出来搁置，或接受留档的例外）。
  6. 依执事的接受准绳（批量大小、风险）作统计抽样复核。关卡：这一批接受吗？若否，回到第 4 步，或中止 - 并把原始采集件作为证据留着。
  7. 作为单一的批量改动合并进去：一条引用条目清单的导入事件，盖上恰好一个来自 MIR-10 分类的主缘由码（迁移用"迁移回填"），一个回滚点，经 MIR-1 执行的登记更新，重跑巡查器。
  8. 导入之后：审计者抽查；执事确认该登记条目此后的节律，或把那条一次性条目关掉。
- 管控：登记优先规则（没有已声明的条目就不导入，且由 MIR-1 连同其所有者闸口执行）；原始采集件是必须的，且不可变；批量层面的出处，加上逐条的派生链接；单次可回退的合并；抽样阈值与该批的风险相称。
- 层级：建议
- 变体：单人：同样的阶段压进一次坐下来做完；活下来的纪律是登记优先（经 MIR-1）、原始优先、一次可回退的合并。团队：暂存区的复核由数据的主人与模型的执事分担。联邦：自伙伴宇宙导入时，用联邦通道及其合约（FED-8 的准入隔离与提升）来替代原始采集，但暂存与抽样两阶段完全一样。首跑在 T1，稳态混合式在 T2。
- 度量：整批闸口一次通过率；导入后抽样的缺陷率；从授权到合并成批的用时；回滚的调用次数（目标为零，但要点在于它可行）。
- 失效之道：变换悄悄地"修好"了源头的事实，让真相与源头分了岔（护栏：与原始采集件作比对；充实住在另一层）。导入被拆成上千次单独改动合并进去，回滚从此不可能（护栏：单一的批量事件与合并）。遗留的垃圾整车拉进来"以后再清"（护栏：合并前的抽样闸口；给失败记录留一条单独的通道）。全新的外部源仅凭执事之权就接了进来，绕过了所有者闸口（护栏：第 1 步唤起 MIR-1，其所有者批准关卡具约束力）。

### CON-8 更正与撤回
- 目的：修掉一条错的记录，或把它整条撤回，同时保全历史、身份与出处。模型是当众自我更正的：被撤回的记录只作标记，绝不抹去。
- 触发：来自消费方、审计者或贡献者的错误报告；一次失败的重校；上游源的更正随重新采集而来；CON-9 的一次裁断。
- 行动者：执事定夺撤回与有争议的更正；撤回的批准**必须**留在 T1（智能体提议，人对每一次行为作批准）。智能体**可以**在 T2 执行更正，也**可以**在 T3 经自动批准通道处理机械性的更正（坏链接、错字、格式）。对消费方是通知，不是征询。
- 输入／输出：输入：错误报告或裁断、受影响的记录连同其出处与版本历史、出处图给出的影响分析、CON-13 的消费方登记。输出：一个更正后的新版本或一处撤回标记、一条带理由与主缘由码的更正或撤回事件、按 CON-13 解析出的、发往受影响消费方与下游模型的通知。
- 步骤：
  1. 把报告登记下来（事件：缺陷已报），并与受影响的记录相连。
  2. 关卡：受影响的内容是不是由模型执掌？若是镜像，更正经 CON-5 转往主系统；模型**可以**先加一条临时批注。
  3. 跑影响分析：什么派生自这条记录、什么引用它、什么从它披露出去过（沿出处图遍历；智能体在 T3 执行）。
  4. 关卡：更正还是撤回？更正：把修正作为新版本经 CON-3 与 CON-4 写出去（机械性的修正**可以**走自动批准通道）。撤回：用正典的状态词汇（Lifecycle 4-5）把该记录标为已撤回或已被取代并写明缘由；身份、出处与历史依旧完好可达。
  5. 记下更正或撤回事件，带理由、指向触发报告的链接，以及恰好一个来自 MIR-10 基础分类的主缘由码（更正）。
  6. 通知第 3 步所认出的受影响消费方与下游派生物，收件人按 CON-13 登记解析；凡该记录喂过回写投影或联邦投影者，依所依的联邦合约触发重新发布或联邦通告。
  7. 连同处置结果把报告结掉。
- 管控：物理删除历史是被禁止的，依 Lifecycle 13（历史完整优先于物理删除；调色板在运作层面的补充只是把这条被引用的不变量展开）；更正本身也带出处；对曾对外披露过的记录作撤回时，**必须**触发通知那一步；撤回须经执事批准，绝不走 T3；通知的完整度按 CON-13 来量，而不是按口耳相传。
- 层级：核心
- 变体：单人：一条轻量的回路（报告就是一条便条，更正就是一次带版本的改动），但撤回标记与事件仍然是必须的。团队：报告与贡献走同一条接收通道。联邦：撤回通告依联邦合约的披露条款传播；伙伴的一次重新采集把回路闭上。常态是混合：机械的走 T3，实质的走 T2，撤回归人。
- 度量：从报告到处置的用时；撤回中已对着 CON-13 收件人清单完成下游通知的占比；复发率（同一缺陷再次被报）；一次过闸的更正占比。
- 失效之道：把错值悄悄覆盖掉，连"模型曾经这么说过"这件事也一并丢了（护栏：更正是带事件的新版本；历史只追加）。以删除充作撤回，把入向引用与联邦伙伴一并弄断（护栏：依 Lifecycle 用"已退役"状态；V2 的链接检查逮住悬空引用）。下游消费方始终不知道有过这次更正（护栏：通知是一个带开放状态的步骤，对着 CON-13 登记跟到完成为止）。

### CON-9 入库争议的化解
- 目的：化解关于一条记录的分歧：它是否为真、是否可采、位置是否恰当、执掌是否正确。争议要摆到台面上裁断，而不是埋进编辑战里。
- 触发：任何角色对一条记录提出异议；两份贡献不可调和地冲突；CON-5 的一次路由冲突，其中分片或主本身受到质疑；由 CON-11 上呈的、反复漂移所透出的执掌气味。
- 行动者：执事在自己的分区之内裁断；所有者是申诉庭，申诉记在 GOV-1 台账。为求独立，**可以**（经 GOV-6）请审计者介入。智能体**可以**在 T3 编出证据卷宗，**可以**在 T2 起草评估；裁断**必须**由人作出，就实质而言不可委派。
- 输入／输出：输入：争议的陈述、争议中的记录连同其出处与版本历史、必要时的原始采集件与主系统状态、以往的裁断。输出：一条带理由的裁断事件、所施加的结果（维持、修订、撤回，或留档的偏离），以及在执掌受争议时递交 MIR-1 的执掌变更提案。
- 步骤：
  1. 把争议登记下来（事件：争议已开），点明记录、异议方与其主张。
  2. 把该记录标为"有争议"。这个标记对消费方可见；记录是被标出，而不是被藏起或在裁断前回退。
  3. 智能体编出证据卷宗：出处链、原始采集件、主系统状态、版本历史、影响分析（T3）。
  4. 关卡：这争议是关于执掌或分片（真相归谁）而非关于内容吗？若是，作为执掌变更提案上呈 MIR-1 - 执掌登记变更的唯一执行者 - 含其执事与所有者关卡；由此产生的迁移事件仍照常由 CON-6 记录。
  5. 智能体起草一份带选项的评估（T2）；执事裁断：维持该记录、修订它、撤回它，或在模型与源头合法地各执一词时，记下一处加注的偏离（"源上说 X，我们判为 Y"）。
  6. 依常规链条施加裁断（修订走 CON-4，撤回走 CON-8），并清掉或更新"有争议"的标记。
  7. 记下带理由的裁断事件。关卡：异议方是否申诉？申诉只往上走一级到所有者，并记为一条 GOV-1 的裁决事件；在本宇宙之内，所有者的裁决为终局。
- 管控：有争议的记录连同其标记仍旧可见；每一阶段都设时限，免得争议无限期悬着；在团队规模允许时，裁断者**不得**是争议记录的作者；一切裁断都可作为先例检索；执掌方面的结果只经 MIR-1 执行。
- 层级：建议
- 变体：单人：争议来自消费方，或来自源头与模型的冲突；由所有者兼执事裁断，而加注偏离这一结果担下了大半的活。团队：执事裁断，所有者经 GOV-1 听申诉。联邦：关于联邦内容的争议依 FED-9 处置；本流程只处置本地那条记录及其标记。在 MOS 的尺度上，由智能体起草的评估（T2）与先例检索，让成千上万件公民智能体的争议仍旧应付得来。
- 度量：到裁断的中位用时；争议以加注偏离、以修订、以撤回收场的各自占比；申诉率；争议被重开的比率。
- 失效之道：不走争议而打编辑战（护栏："有争议"标记冻住该记录的内容改动，除非经由裁断）。拿争议来拖住不合意的事实（护栏：时限；记录在"有争议"期间仍可见、仍可用）。不看证据就裁断（护栏：证据卷宗是裁断事件的必备输入）。执掌变更在 CON 链之内被执行，绕过了 MIR-1 的"一个主"校验（护栏：第 4 步只往 MIR-1 转）。

### CON-10 贡献者与智能体的接入
- 目的：慎重地授予入口权：立定身份、把权利框定到数据集与类别、系上义务，并把接入的交底送到。入口的管控，起于"究竟谁可以进来"。委派合约的生命周期（发放、修订、中止、撤销、层级阶梯、试用期）属 CTX-9，那是唯一的记录系统；CON-10 取得并称引合约，从不发放合约。
- 触发：某人或某个智能体申请贡献权；执事邀请一位贡献者；一个新智能体被部署到模型上；CTX-9 的中止或撤销事件传来待作传播；周期性的权利复核到点。
- 行动者：所有者授予权利，或把授予委派给执事；执事为自己的分区定下范围与义务。智能体**可以**在 T2 执行接入的机制（各项核验、交底的送达、登记的更新）。授予本身**必须**留在 T1（智能体提议，人对每一次行为作批准）。
- 输入／输出：输入：候选者的身份（人的账号，或智能体身份加其担责的人类运营方）、所申请的范围、`sources.yaml`、模型的 BOOTSTRAP 与各项约定；对智能体还有 CTX-9 委派合约的引用。输出：一条入口权登记条目（对智能体则称引 CTX-9 的合约编号）、一条授予事件、与该授予相称的通道访问，以及带闸口探针结果的撤销传播事件。
- 步骤：
  1. 立定身份；若是智能体，还要立定其背后担责的人类运营方。
  2. 关卡：人还是智能体？人：把交底送到（BOOTSTRAP、各项约定、出处之责、执掌规矩），并取得确认回执。智能体：核实它能满足 AI 原生的各项要求（读得了入口、给文件归得了类、分得清什么是它可改的），随后经 CTX-9 取得其委派合约；层级、试用期与层级阶梯只属 CTX-9，CON-10 **不得**自行发放、修订或另设一套试用制度。
  3. 与执事一同定下范围：哪些数据集、哪些类别、哪些流程。范围**必须**只覆盖模型所执掌的数据集；外部执掌的数据，其权利不归本模型来授。
  4. 记下授予事件并更新入口权登记；对智能体而言，该入口权称引 CTX-9 的合约编号，且只在该合约在活期间有效。按所授范围一分不多地开通通道访问，凭据依 GOV-8 处置。
  5. 传播撤销：CTX-9 的中止与撤销事件**必须**在所声明的 TTL（一项 GOV-2 配置）之内抵达入口权登记与运行中的通道拆除；闸口一侧的探针核实 TTL 之后不留孤儿权利；超出 TTL 的残余权柄是一起事故，记入 QSC-14。
  6. 经 COMMON 的登记重认样式跑周期性的权利复核，参数为入口权登记、其年限与使用阈值，以及授予的那位执事作为批准人；到期或未用的授予以事件退掉。
  7. 一旦违反义务：立即撤销入口权（事件：权利已撤销），通知 CTX-9（合约的中止或撤销是 CTX-9 的行为），并把该行动者近期的记录再复核一遍。
- 管控：默认最小权限；授予、变更与撤销都是带版本的事件；智能体的入口权随其 CTX-9 委派合约而亡，而每一道闸口都在行为当刻核验合约在活（COMMON 的撤销规则），绝不指望智能体自己停下；撤销的传播受 TTL 约束，并配闸口一侧的探针；自始至终，责任都留在作委派的那位执事身上。
- 层级：核心
- 变体：单人：所有者兼执事的自授琐碎，智能体的接入却不然：哪怕是单人的模型，也**必须**把自己的门房智能体与采集智能体经 CTX-9 走一遍，取得真正的委派合约，否则层级纪律便无处落锚；在单人／最小配置之下，汇总的季度复核合法地满足第 6 步。团队：由执事划定范围的授予，所有者作监督。联邦：伙伴宇宙不在此接入；它们的访问是一份联邦合约，而它们所获得的任何本地提案权，仍要走这道流程。接入机制混合式跑在 T2；授予始终归人。
- 度量：从申请到裁决的用时；活跃写入方中具备当前登记条目者的占比，对智能体还要有在活的 CTX-9 合约引用（目标 100）；撤销传播时间对所声明的 TTL（破限目标为零）；每期的撤销次数，以及违规后到撤销的平均用时。
- 失效之道：共用或环境性的凭据让未登记者也能写（护栏：通道访问只从登记出发、凭 GOV-8 的凭据开通；接收处拒绝不明身份）。智能体的范围爬出了它的合约（护栏：CON-5 与 CON-3 在每一次写入时把当下行事的合约与所触数据集比对；在活与否在闸口核验）。CTX-9 撤销之后仍有孤儿权利活着（护栏：受 TTL 约束的传播加闸口一侧的探针；超出 TTL 的残余权柄开出 QSC-14 事故）。权利从不复核，永远地攒着（护栏：授予会到期；重认样式按排期跑，并带老化告警）。

### CON-11 外部改动的采录
- 目的：把人们在回写投影（发布到 wiki、站点或工单系统里的 M 型副本）上作出的有意改动，作为正经的赞助变更提案回收进来，而不是悄悄合并或悄悄丢弃。按 ARCH-018，投影副本上的改动没有权柄，但它们常常带着真实的信息。CON-11 是有意外部改动的唯一采录与归类之路；察觉则专属 MIR-7 - 调色板中唯一的漂移察觉引擎。
- 触发：回写投影上的一条 MIR-7 漂移事件（就回写这一类别而言，CON-11 是这些事件的登记消费方）；某位外部用户请求改动一个已发布的页面。
- 行动者：智能体**必须**在 T3 归类并打包，把拿不准的个案标出来。执事经 CON-4 按敏感度在 T1 或 T2 裁定由此而来的提案；赞助提案在结构上不得走自动批准通道。外部改动者在出处中被记为该断言的来源，绝不记作持权的贡献者。
- 输入／输出：输入：MIR-7 的漂移事件连同其差异与外部系统的改动元数据（谁、何时）、那份回写投影、生成它的那些主记录、`sources.yaml`。输出：一个归类（意外损坏，还是有意改进）、一份带完整出处、进入 CON-1 的赞助变更提案，以及一份对齐好的投影（重新发布或已更正）。
- 步骤：
  1. 接下 MIR-7 的漂移事件，连同抽出来的差异与外部改动元数据；CON-11 不作自己的察觉。
  2. 给这次漂移归类：意外损坏（格式被弄坏、部分被删）对有意改进（有人在副本上把某个事实或某处措辞改对了）。智能体在 T3 归类，并把拿不准的个案标给执事。
  3. 关卡：是意外损坏吗？把处置意见回给 MIR-7：外部副本在下一次发布时被覆盖，并通知该外部系统的主人；到此为止。
  4. 对有意的改动：把一份赞助提案打包送进 CON-1 的接收。持权提交人是打包智能体的委派合约；外部改动者在出处中记为该断言的来源（`derivedFrom` 那份外部副本，带改动者身份与改动时间），绝不记作持权的贡献者。模型里镜像来的字节，从不被直接触碰。
  5. 该提案照常走链条（CON-2 到 CON-4）。赞助提案在结构上不得走自动批准通道，**必须**由执事按敏感度在 T1 或 T2 作裁定。
  6. 关卡：接受了吗？若接受，合并进主并重新发布投影，好让副本与主在模型的条件之上会合。若拒绝，把投影覆盖回外部改动之上，并附一则说明，讲清改动该往哪儿去。
  7. 把整个循环记成事件（归类、提案已建、处置、已重新发布），每一条都与最初那条 MIR-7 漂移事件相连。
  8. 关卡：同一副本上反复出现有意的漂移？那是执掌的气味：作为争议上呈 CON-9，由它把任何执掌变更提案转给 MIR-1。
- 管控：悄悄合并外部改动是被禁止的（Data-Mastership 5.1）；投影带着"此处勿改"的标记，并附指向提案通道的指针；CON-11 **不得**自跑一套察觉回路（MIR-7 是唯一引擎，而 QSC-9 核实 MIR-7 按节律跑过）；漂移检查这项常设作业的健康由 QSC-15 监视，并上呈到 QSC-14；赞助提案绝不走自动批准通道。
- 层级：核心
- 变体：单人：MIR-7 的自动检查加上这条归类之路，意味着分歧由机件察觉，而不是由尴尬察觉；多数漂移以覆盖收场。团队：第 8 步的上呈把执掌之问挡在编辑战之外。联邦：不适用于联邦投影（那些由联邦同步与 FED-6 管辖）；只适用于治理域之内的回写副本。归类与打包在 T3 完全自主；接受与否的裁定依 CON-4，对赞助提案永远归人。
- 度量：MIR-7 回写类漂移事件在所声明窗口内完成归类的占比；被归为有意改动的占比；从漂移事件到对齐完成的中位用时；每份副本的重复漂移率（一种执掌的气味）。
- 失效之道：有意的外部改动被悄悄覆盖，烧掉贡献者的善意，也丢掉了那些更正（护栏：归类那一步与赞助提案之路正是为此而设；覆盖只用于意外损坏）。外部改动被悄悄合并进模型，把权柄弄成两支（护栏：CON-5 对写镜像的禁令，使提案之路成为唯一之路；赞助提案不能自动批准）。匿名的外人经采录之路取得了贡献者权利（护栏：赞助提案这一做法；外部改动者只存在于出处之中）。MIR-7 产出了漂移事件却从没人消费（护栏：就回写类别而言 CON-11 是登记的消费方；未被消费的漂移事件会老化成 QSC-15 的上呈）。

### CON-12 标准与架构的迁移
- 目的：把模型从所依标准的一个版本、或全模型架构的一代，作为单一受控且可回退的改动迁到下一个，而不是冻死在一个已亡的标准上，或东一榔头西一棒子地迁 - 那正是这块调色板要防的匿名改动之道。
- 触发：一个新版的所依标准经 GOV-1 决定被采纳；QSC-10 合规目标的变更要求迁移；全模型的一次架构换代跨过了多个数据集。
- 行动者：执事作规划并掌管这次迁移。所有者批准迁移计划（一份破坏性的变更请求；凡计划触及闸口或流程定义之处，属安全攸关类别，T1 加第二位人类评审）。智能体在 T2 执行变换。审计者（经 GOV-6）**应当**在迁移后抽查。
- 输入／输出：输入：作为变更请求的迁移计划、新旧两版标准与架构、映射规则、`sources.yaml`、当前的 QSC-10 合规声明。输出：变换后的模型状态、依 MIR-9 留存的迁移前原始状态、双份 QSC-4 校验报告（旧级与新级）、带所声明兼容窗口的同侪通告（经 FED-7）、一条盖着"迁移回填"的单一可回退切换事件，以及更新后的 QSC-10 合规声明。
- 步骤：
  1. 把迁移计划写成变更请求：规范性改动的影响分析、受影响的数据集与架构、映射与变换规则、回滚准绳，以及给同侪的兼容窗口。经 CON-4 在 T1 批准（破坏性类别）。
  2. 在任何变换之前，依 MIR-9 把迁移前的原始状态留存下来；它既是不可变的证据，也是回滚的底料。
  3. 在一条分支上执行变换；直到切换之前，在活的模型都不动。
  4. 双跑 QSC-4：把该分支对着标准的旧级与新级各校一遍；对失败者依映射规则分诊。
  5. 把这次迁移与所声明的兼容窗口通告联邦同侪；在窗口期内，为仍留在旧版的同侪维护 FED-7 的跨版本映射。
  6. 关卡：双校都绿、兼容窗口也声明了吗？若否，修映射规则再来一遍，或中止 - 并把分支作为证据留着。
  7. 作为单一可回退的改动切换过去：一条盖着"迁移回填"缘由码的切换事件，登记与清单的更新同在一个变更集里（登记变更经 MIR-1 执行），巡查器重跑且为绿。
  8. 把 QSC-10 的合规声明更新到新版标准；审计者在迁移后抽查；若核验不过，依计划的准绳回滚。
- 管控：不许在获批计划之外东一榔头西一棒子地部分迁移；迁移前的原始状态是必须的、且不可变；切换之前双校是必须的；切换是一条可回退的事件；旧版支持结束之前，兼容窗口**必须**守住；重新声明合规是一个必做的步骤，而不是事后添笔。
- 层级：建议
- 变体：单人：计划**可以**只有一页，但分支、QSC-4 的双跑与单一可回退的切换都熬得过压缩。团队：映射的撰写与校验的分诊分开。联邦：同侪通告与 FED-7 映射是必须的，窗口长度由合约参照而定。变换跑在 T2；切换的裁定归人。
- 度量：双校一次通过率；从计划获批到切换的用时；窗口关闭时仍留在旧版的同侪数（目标为零）；回滚的调用次数；迁移后被追溯到映射规则的缺陷。
- 失效之道：把迁移做成许多互不协调的小改动（护栏：那份计划加上单一的切换事件；QSC-4 的双跑拒绝部分状态）。联邦同侪在窗口中途被弄坏（护栏：在所声明的窗口期内维护 FED-7 映射）。迁移前状态丢了，回滚从此不可能（护栏：在任何变换之前作 MIR-9 留存，并在第 2 步核实）。切换之后合规声明还陈着（护栏：更新 QSC-10 是一个编号的步骤，且带事件）。

### CON-13 消费方与订阅的登记
- 目的：维护由模型执掌的那份消费方登记：身份、所消费的数据集与投影、已声明的依赖、通知通道与 SLA。MIR-8、CON-8、ACT-10 与 FED-11 的通知，正是对着这份登记解析收件人的；"已知的依赖型消费方"由这份登记来定义，而不是由口耳相传。
- 触发：某个消费方获得访问授予（对内是 GOV-7，对联邦是 FED-3）；某个消费方声明或更改自己的依赖；某次通知运行来要收件人；周期性的重新认定到点。
- 行动者：执事掌管这份登记。智能体在 T3 维护条目以与各授予登记作机械同步，在 T2 处理通知 SLA 的变更。消费方自行声明其依赖。
- 输入／输出：输入：来自 GOV-7 与 FED-3 的授予事件、消费方的依赖声明、`sources.yaml`、投影目录。输出：作为由模型执掌的数据集的消费方登记、登记变更事件、供通知运行使用的收件人清单，以及依赖报告。
- 步骤：
  1. 在首次授予时把消费方登记下来：身份、通知通道、SLA，以及该项消费所倚的 GOV-7 或 FED-3 授予编号。
  2. 记下所消费的数据集与投影，以及任何已声明的依赖；消费方什么也没声明时，依赖按授予范围来定，绝不靠猜。
  3. 与各授予登记作机械同步：被撤销或已到期的授予，把该项消费标为已结束；条目为历史而留存，绝不删除（Lifecycle 13 的纪律）。
  4. 供给收件人解析：MIR-8、CON-8、ACT-10 与 FED-11 的通知步骤**必须**对着这份登记解析其接收方，而通知的完整度也对着它来量；MIR-6 的仪表盘定向也读它，以取得依赖型消费方清单。
  5. 经 COMMON 的登记重认样式重新认定各条目（登记、年限与使用阈值、执事作批准人）；死掉的条目以事件收尾。
  6. 把依赖的集中度与消费方数量报给 QSC-11 的规划与 GOV-5 的容量输入。
- 管控：这份登记由模型执掌，经常规的 CON 链变更；任何通知步骤**都不得**在这份登记之外声称完整；条目是收尾，不是删除；与各授予登记的同步是机械的，而一份在活的授予若没有登记条目，即是一条发现。
- 层级：建议
- 变体：单人：登记**可以**只是一个文件，但它仍是通知的真相来源；凡发布或联邦的模型，**应当**把这道流程当作核心来对待 - 没有它，CON-8 与 FED-11 的通知完整度根本无从度量。团队：消费方自助声明依赖。联邦：FED-11 的终止会读这份登记，以找出冻结镜像在伙伴一侧的消费方。同步在 T3 自主；SLA 的变更在 T2。
- 度量：通知完整度（已通知者比登记在册的收件人，目标 100%）；在活授予中具备登记条目者的占比（目标 100%）；重新认定时查出的陈旧条目率；每期发现的未登记消费方数（目标为零）。
- 失效之道：凭记忆把通知发给那些"已知的"消费方（护栏：收件人解析**必须**读这份登记；完整度对着它来算）。登记与授予的实况脱了节（护栏：机械同步，加上重新认定时对着 GOV-7 与 FED-3 的比对）。依赖被悄悄地、错误地推断出来（护栏：要么声明，要么按授予范围来定，且把这一默认如实记下）。