# 企业景观：六个产品、一个宇宙、四十个人

Northwind Instruments 做并卖六款用于实验室设备的软件产品。四十个人：三支产品团队、一个平台组、一支小小的数据团队，还有一个两人的架构职能 - 谁都不希望它成为瓶颈。他们的麻烦不是知识缺了，而是知识住在六个地方，还跟自己打架：API 写在 wiki 里，留存规则在一张合规表格里，真正的依赖图在某位架构师的脑袋里。

他们运作着一个宇宙、七个模型：一个描述产品组合的产品景观模型，外加每个产品一个模型。他们声明的是标准合规档（COMMON 6），因为他们与一个伙伴作联邦，且对公众什么也不发布。下面是这套运作里的一个季度。

## 这个宇宙的形状

景观模型是父：它收着各产品、为其担责的各团队、共用的平台构件，以及跨产品的依赖。每个产品模型收着那个产品自己的语义。它们之间什么也不重复：景观引用产品的命名空间，而不是把它们抄过来，于是每份数据集恰好只有一个主（COMMON 的铁律管控 IC-1），且各仓库里的执掌登记把这一点写明（MIR-1）。

诞生发生在一年前，一次一个模型（GOV-4）：搭骨架、任命、把各登记初始化、跑头一次校验、启用。六个产品模型里有两个是把已有的 wiki 导出批量导入而生的（CON-7），那次导入先唤起了 MIR-1，于是在一个字节都还没动之前，wiki 就被声明成了外部的主，而不是事后才补。

## 谁为什么担责

这些角色不是组织架构图上的角色。所有者是首席技术官，一个人，因为一个宇宙的所有权不能是一个委员会（COMMON 2）。每个产品模型有一位担责的执事，通常是该产品的技术负责人；景观模型的执事是那两位架构师之一。任命，以及那些让每一道 T1 闸口不至于因某人休假而失败即闭的副手，都记在 GOV-3 里。

这个宇宙里大约有二十个 AI 智能体在干活：按产品的语境智能体、一支采集队伍、两个复核智能体、一个覆盖整个景观的一致性智能体。它们每一个都持有一份在 CTX-9 发出并守望的委派合约，而 CTX-9 是委派唯一的记录系统；入职、身份与入口权限来自 CON-10，并引用那份合约，而不是另发一份。新的智能体与范围的配对从 T1 或 T2 起步、把 T3 挣出来，而任何授予之下的头几次动作，都比所授的层级再严一档。

## 批准矩阵怎样在起作用

这里的批准矩阵不是一个 wiki 页面，而是一件由 CON-4 去执行的、GOV-2 的带版本制品。它实际上说的是：产品文档的编辑性与更正性变更走自动批准道；凡触及 API 合约、数据留存规则或景观依赖图者，须担责的执事加一位架构师；凡属安全攸关数据集类者，须 T1 加第二位人类复核者（COMMON 的铁律管控 IC-4）。

具体的一周。一位平台工程师提议改动共用认证构件的令牌有效期，作为一份贡献提交（CON-1），出处已捕获（CON-2），校验闸口已跑过（CON-3）。到了 CON-4，那个基于差异的分道判别器做了救他们一命的事：提交者把它归为"更正性"，但差异触到了一份合约数据集，于是判别器不管所提议的归类如何，一律逼出人工复核，并把这处不符记为一条发现，而不只是记成一次漏网。有两个产品依赖那个构件，于是矩阵把两位产品执事都拉了进来。智能体从出处图给出影响分析（CON-4 第 5 步），把引到该构件的东西列出来。变更带理据获批、编了版（CON-6），并打上了原因码（MIR-10）。

上个月，同样这套机制逮住了一件没那么无辜的事：某个智能体所提议的归类，本来会自动并入一处悄悄改掉景观模型里"活跃客户"含义的编辑。归类与差异不符的这类发现，在季度审计上复核；那一条最后变成了 GOV-2 里分道判准的一次修订。

## 一件 FCD 任务，由智能体执行

有人请一位开发者给某个产品的样本追踪 API 加一个字段。这是一件全语境开发任务，它跑的是 CTX-5 那条回路，由该产品的开发智能体在一份 T2 合约之下执行。

智能体去要语境（CTX-1）。它拿到的那个包不是工单的正文：是受影响的 API 对象、约束它们的领域规则、解释当前形状为何如此的那两条旧决定、就那一块登记在案的风险，以及验收判准 - 每一项都带着出处与指向其完整形态的指针。每一节都带一个来源分级（撰写的、外部镜像的、联邦的、人报的），且合约禁止把非撰写的内容当作指令。

接着这条回路做了纪律所要求的事。智能体核查语境是否够用，并不靠猜就往下走（CTX-5 第 3 步）。它谋划这次变更，并在动笔之前查每一个受影响数据集的主（第 4 步）。有一处计划中的写入指向 API 参考页，而那是一份生成的投影、不是主，于是第 5 步的关卡把它改道到记录之源，而不是去编辑那份副本。代码的变更本身被执行，结果作为登记在册的通道经 CON 链回写（第 7 步），覆盖遍历器与 MIR-7 的漂移检查跑过并保持为绿（第 8 步），执行事件则记下用的是哪一个语境包（第 9 步）。

模型得到的不只是一个字段。它得到了那个字段背后的决定，以及工单原本的提法其实是错的这个事实 - 记为一条习得（CTX-11），也记为一小块模型欠账（QSC-11），因为那条领域规则被发现定得不够。

那个季度里有三支团队同时在景观模型上干活。那是 CTX-6 的按包分区，合并走 CTX-7 - 它是喂给 CON-4 的并发整合步骤，不是第二个批准权柄。一处真正的冲突（两支团队把同一个共用概念朝相反方向改名）由景观执事裁断并记录在案，而不是由最后合并的那个人悄悄了结。

## 季度审计查出了点东西

这次审计是 QSC-5，由一位经 GOV-6 聘用的审计者来跑，其限时访问经 GOV-7 开通，并在收尾时核实已拆除。这位审计者是公司另一块的架构师，且不能去审自己督办过的活。

证据的收集是智能体在 T2 上的活，只读。判断不是。审计者核实每一道写明的流程都按它的节律跑过（第 3 步），含备份作业与演练（QSC-13）以及心跳的运作（QSC-15），并把每一条告警对着一条事故记录去对（QSC-14）。然后是重做 - 卡片称之为必需的：重算一批质量评分、在一个钉住的旧版本上重跑校验、重判一批访问判定（QSC-6）、对着各自 CTX-9 的合约重追一批智能体动作（QSC-7）。

那条发现：某个产品的采集流水线已经无声地失手了五个星期。那份数据集是从一个问题追踪器镜像来的，它的新鲜度状态本该翻成陈旧，而本该把它翻过去的那个监控，已经死了。数据还在被读，而且是被很有把握地读 - 而这正是整个 MIR 族存在的意义所要防的那种失手。

整改不是"以后多留神"。死掉的监控是一条 QSC-15 的发现（一件常设作业，它自己的心跳没人看），它成为一起带不问罪复盘的 QSC-14 事故，而复盘的教训作为带版本的变更引进监控规则里去，而不是引进一纸备忘。陈旧的那份数据集被隔离（MIR-8），好让每一次引用它都带着标记，受影响的记录则重新采集。这一切都落进质量欠账登记（QSC-11），带责任人与期限，而所有者直接收到报告，不只是受审的执事。

## 与一个伙伴作联邦

Northwind 最大的客户，一家合同实验室，想让自己那批仪器的配置与 Northwind 的产品模型保持同步。这是一次联邦，它把 FED 那条序列压进了大约六周。

先是发现与评估（FED-1）：伙伴发布了什么、需要什么、他们的信任画像长什么样 - 按维度分别去评，而不是压成一个分数，于是答案不是"可信"，而是"身份与合约两个维度强，运作历史未知"。接着是谈判与签署（FED-2），那是一件不可委派的事：所有者签，不用智能体，也不讲层级。

同意的生命周期（FED-3）恰好授出两份投影，由目的绑定，带 TTL 与续期日，且常设政策之下每一份自动发放的授予，都称引了产生它的那个政策版本。披露审查（FED-4）在任何东西出去之前就跑：什么被包含、什么被删节，还有那道累计检查 - 它问的是这一次放行，与伙伴手里已有的一切合起来会合成什么，好让同意没法被切成薄片、拼成所有者从未批准过的东西。再往后是缔结与初次同步（FED-5）。

入境这个方向，才是纪律显形之处。伙伴也发来他那批仪器的遥测。它不落进模型。它落进准入隔离（FED-8），未获晋升即不可读，并被筛查危害，含看着像指令的内容；只有在晋升之后，MIR-2 才带着出处执行落地。这两样都叫隔离的东西，是有意分开的（COMMON 5）：FED-8 的准入隔离在晋升之前不可读，MIR-8 的隔离则可读但打了标记。

## 这要花什么代价，又留下哪些常设义务

标准档允许那些合并条款 - 由一位执事为合并后的各登记担责，于是授予、合约、执行器、入口权限与服务水平的重认，每个模型每季度坐一次就办完，而不必分作八场各自的仪式（COMMON 8，登记重认样式）。容量不是想当然的：执事的工时、智能体的算力配额与存储的预估都在 GOV-5 里谋划 - 正是这一点，才没让整套机器悄悄烂成一场谁也没工夫老实履行的仪式。

一年之后可量的变化，不在于文档变好了。而在于：当有人问这个构件被谁依赖时，答案出自模型，它是当下的；若它不是当下的，模型自己会说。