# 国家维度：城邦尺度上的现实闭环 这个做透了的例子，把调色板跑在它所声明的最大尺度上：一个国家维度，其模型就是一片疆域的首要数字倒影 - 带着一套世界模型语料、成千上万面向公民的智能体、若干联邦同侪，以及完整合规档（COMMON 6）。它端到端地追一个具体的案子：一座检查未过的公路桥 - 从现实变了的那一刻，追到模型能证明现实又变回去的那一刻。旁边还并行着两条运作上的支线，因为在这个尺度上它们总是有：一条联邦气象流的准入隔离（FED-8），以及一起带复盘的运作事故（QSC-14）。 这里展示的样板是 Meta-Orchestrator State（MOS），整块调色板都把它称引为仓库 orkestron-ai/meta-orchestrator-state 里那个外部的参考维度。MOS 是一个参考维度，不属本标准：下面的内容一处也没有把 MOS 的编号引进调色板，而每一步声称都称引那道拥有它的调色板流程。 ## 参考维度的词汇，外在于本标准 MOS 用组的字母加数字来命名它世界模型的命名空间。这些编号是那个参考维度自己的词汇。它们在此处只作为调色板流程所作用的题材出现，绝不作为调色板的规范制品： - U3 物理基础设施网络（作为资产的这座桥）、U7 地址与位置指代。 - A3 部委或国家子行动体（那个作为执行器的机构）、A14 许可、执照与授权。 - K2 行为、K4 服务、K11 维护与修缮（工程本身）。 - X1 发生、X3 事故与紧急、X4 情势与状况（桥的养护状况）。 - R3 事件登记（状态变动往那里追加）、R5 具结、证书与执照。 - S1 所有权、S2 访问合约、S3 投影塑形、S4 访问审计、S5 统计发布。 - P4 大气、天气与气候（那条联邦流）、N2 报告与声明、N3 数据集与数据登记。 - B1 公民、E1 公民智能体运行时（那成千上万的智能体）、V3 价值流、V4 反价值。 往调色板的映射是单向的：一个 MOS 命名空间，是执掌登记里一份只由 MIR-1 维护的数据集；而一次 MOS 的登记追加，是一条由 CON-6 编版的事件。 ## 这个维度是怎么立起来的 这个维度是经诞生（GOV-4）而来的：创设的决定记下（GOV-1），所有者与执事获任，并在启用之前先把接续的骨架摆好（GOV-3），一份空的执掌登记初始化好，往后交由 MIR-1 执行，政策集由随附缺省实例化（GOV-2、COMMON 9），常设作业从第一天起就登记在册（QSC-15），而启用以一次全绿的首次校验运行为闸（QSC-4，V0-V5）。它声明的是完整档（COMMON 6）：每一道适用流程都按其写明的层级来，各处都作完整的制品分离，且每一条重认回路各自单跑，而不是合并。 相对随附缺省的本地化很少，且都带版本（GOV-2）：对一切触及人身安全者用更严的影响矩阵，以及按应急类别定的速率与波及半径上限，在派发处机械强制（ACT-6）。其余一切照随附原样跑，清单里也这么说。 模型之内有成千上万的智能体在动作。每一个都持一份只由 CTX-9 执掌的委派合约，按统一的试用期规矩从 T1 或 T2 起步，再凭履历把 T3 挣来。每一次会话在碰任何东西之前，先对着以哈希锚定的引导材料引导自己（CTX-10），从带来源与污染分级、新鲜度戳与授予编号的语境包出发干活（CTX-1），以只写主的方式跑 FCD 回路（CTX-5），并留在一张已发布的分区图之内（CTX-6）。读权，朝内朝外皆然，只作为由所有者授出、由目的绑定、由 TTL 限期的授予而存在（对内 GOV-7，跨界 FED-3） - 那正是调色板的 IC-7 在国家尺度上的表达。 在完整档之下，质量与安全这两条回路各自单跑而不合并：按节律作模型内一致（QSC-2）；在众多命名空间之间作跨模型一致 - 在这个尺度上，那在实践中是必需的（QSC-3）；在写明的规模阈值之上作质量评分（QSC-1）；把实际授予对着登记加常设同意政策去比的访问复核（QSC-6）；对安全攸关数据集类作持续的哈希锚定（QSC-9、IC-4）；凡有智能体执行之处作智能体行为审计（QSC-7）；带写明降级模式规则的备份与灾难恢复（QSC-13）；覆盖这四条回路的独立定期审计（QSC-5）；以及一份因这个维度要作联邦而被保持老实的合规声明（QSC-10）。 ## 案子：U3-B-114 号桥检查未过 ### 感知，两种节拍 这座桥的状况是外部执掌的：道路部的资产登记是记录系统，在执掌登记里连同流向、流水线、节律与冲突规则一次性写明（MIR-1）。除此之外谁也不许去采它，因为没有声明执掌就去采集，正是两个真相诞生的方式（IC-1）。 有两种感知的节拍在它身上跑。检查文档的投放按节律采集（MIR-2 在 T3，由排定的刷新 MIR-3 唤起）：裸抓取带着它的出处附卡、未加改动地落地；抓取时刻的具结由采集智能体写不进去的基础设施发出；一道对计数与校验和的合理性闸口；危害筛查；然后是写明的变换进镜像。来自桥自身传感器的结构监测流则依事件而至（MIR-4 在 T3，过了磨合期之后）：已认证的通道、映好的订阅、按 GOV-2 配置定的语义序、增量施加、实时化事件打上 source-event 的戳（MIR-10），另有周期性的反熵清扫作为对无声缺口的安全网。 这次检查采集落下了那条发现：承载能力低于法定阈值，状况等级下调。镜像上的新鲜度元数据更新（MIR-2 第 8 步），而新鲜度状态对着该数据集的服务水平仍算新鲜（MIR-6）。若换成流水线卡住了，服务水平的违约就会把该数据集推进隔离（MIR-8） - 可读但打了标记，而那个标记会一路走到每一处消费面上。 ### 从正门进来 采集来的这次检查不排队等复核：一次在登记的在活条目之下跑的、已登记的 MIR-2 运行，对所采集的内容而言就是收口与批准，而 CON-2 到 CON-4 不再重新处理采集批次（IC-2，采集这处例外）。CON-2 把 MIR-2 的附卡引作记录在案的出处，绝不去重写它。 这个案子里撰写出来的那一半，确实要走正门。一位市政工程师把一份佐证的现场记录作为 N2 报告递上来：带稳定编号的收口，且入口权限在闸口处核验（CON-1）；出处捕获，点名作出断言的那个人、时刻、来源分级与理据（CON-2）；校验闸口（CON-3）；按 GOV-2 批准矩阵作复核与批准（CON-4）；执掌强制，把每一次写入引到该数据集自己的主那里（CON-5）；以及带版本的变更史（CON-6）。经市民渠道报同一处开裂的公民，则作为人报经 MIR-2 第 7 步进来：模型记下是谁说的，并不把一份报告扶成一个被观察到的事实。 ### 从事实图样到可行动的信号 这个状况阈值不是随手读来的。它是一个已编目的信号类别，带着它的条件、证据要求、新鲜度之界、缺省影响等级、决定路线与层级上限（登记时 ACT-1 在 T1）。发出与甄别持续地跑（ACT-2 在 T3）：信号称引确切的证据记录与版本，对着陈旧界限查新鲜度（MIR-6），查隔离状态（MIR-8），并查它所倚的每一个联邦源的信任向量（FED-8）。 最后这道查，在这里咬人了。关于冲刷风险的佐证来自那条联邦气象流，而该源目前正坐在它的运作门槛之下，于是信心被压到自决门槛之下（ACT-2 第 3 步）。再加上目录里那条规矩 - 只倚外部或联邦镜像的类别，永远不在 T3 自决（ACT-1 第 4 步） - 这条信号被引向了一个人的决定，而不是一个智能体。 ### 评估与决定 施动前的评估在模型里遍历，以圈定受影响集合（ACT-4 在 T2）：U3 的那段网络、依赖它的 K4 服务、被改道的通行流、集水区里的公民。可逆性依执行器的能力合约判为可补偿，影响判为高，于是随附的缺省把这件事放在评估门槛之上、回滚计划门槛之上，以及职责分离与独立证据门槛之上（GOV-2 的影响矩阵，COMMON 9）。跨所有者的影响在决定得以批准任何东西之前先查（ACT-4 第 4 步在 T1）。 决定在 T1 由担责的执事作出，并有所有者签字，因为这次动作伸到了执事分区之外（ACT-5，权柄依据经 GOV-1 记下）。它把动作、参数、目标执行器、核验判准与决定的有效期定死，并在作决定的当刻把判准封存，好让日后没有什么能被掰去迎合已经发生的事（ACT-5 第 5 步）。回滚计划被引到，因为这个等级坐在回滚计划门槛之上（ACT-11 的起草义务在作决定当刻被唤起）。 ### 给一个作为执行器的部委下命令 道路部的工程席位是一个已登记的执行器，带一份带版本的能力合约，写明准许的命令类型、参数上限、确认与证据的格式、可逆性等级与升级联系人（ACT-3）；它的凭据在凭据生命周期之下只以引用持有（GOV-8）；它的可达性由一件登记在册的常设作业去查（QSC-15）。 派发由闸口强制，绝不凭智能体自觉（机制部分 ACT-6 在 T3）：决定在活且未过期，执行器已登记且健康，命令在它的能力合约之内，所称引委派合约是否在活在行事当刻核验（IC-5），而累计影响预算由机器核查，好让一个大效果没法被切成许多门槛之下的小命令。命令由决定记录机械地组出，带幂等键与预期证据的声明，并在派出去之前就记进模型（ACT-6 第 4 步）。派发日志由闸口的基础设施发出，并作哈希链接（IC-6）。 ### 一次施动里的两种执掌模式 选模式的是执掌登记，不是操作者。桥的状况是外部执掌的，于是修缮走现实在前（ACT-8）：现实先经部委的工程而变，模型再经采集赶上。而这个维度自己发布的那份公共交通提示是模型执掌的，于是走意图在前（ACT-7）：打算发的那条通告撰为一个独立的待定版本，而当前版本仍在活，且只依核实过的证据晋升，绝不依派发成功。有一条不变量横跨两者：意图永远由模型执掌，而那条命令在任何东西移动之前就已在模型里写就（ACT-8 第 2 步）。 那份提示作为一份回写投影发布，标为生成物并点明了它的主。那一面上的岔开由调色板唯一的漂移引擎察知（MIR-7），而对它的任何一次有意的外部编辑，都成为一份有人担保的变更提议，而不是一次无声的并入（CON-11）。 ### 核验以证据把回路闭上 当工程那边报完工时，还什么都没结。核验对着作决定当刻封存的判准去收集证据（ACT-9）。因为这个影响等级坐在独立证据门槛之上，执行器的自报不够：要作为一个登记在册的触发去请一次有的放矢的重采（ACT-9 第 2 步进到 MIR-2），且跑在与喂养原信号那条互不相交的流水线身份之下；作核验的智能体，也不是那个作决定或作派发的智能体。职责分离从智能体延伸到流水线的凭据。 那次强制的计划外重采落下裸抓取加附卡，再变换进镜像；镜像绝不被手改去显示预期的结果（ACT-8 第 5 步）。镜像里的新状态以一条按幂等键对上的因由引用连到那条命令，好让别人同期的变动不被算到我们的命令头上（ACT-8 第 6 步），而摄入事件与因由引用事件都打上施动核验的戳（MIR-10）。 ### 部分相符，然后对账 头一个判定是部分相符（ACT-9 第 4 步）：桥面修好了，传感器也认同，可部委登记里的载重评级还带着旧值。案子被引去对账（ACT-10）。岔开被刻画出来，而方向出自执掌登记里写明的冲突规则，不是逐案而断（ACT-10 第 2 步）：对那个评级，外边一侧权威，于是模型等着登记方去更新、并重新采集，而不是把自己中意的那个数字写进去。读过那份已被取代状态的消费方会被通告，其名单对着消费方与订阅登记去解析（CON-13）。 在更正后的那次采集上，核验记为相符，并按评估当初所用的同一模式列出实测的受影响集合 - 这正是日后能把预测准确度算出来的原因（ACT-9 第 5 步）。那条待定的提示版本晋升为在活（ACT-7 第 6 步）。把回路闭上的是感知到的证据，绝不是下令这个动作。 ### 归档与原因 每一个被取代的状态都留着：先前那条状况记录、部分核验里被拒并被取代的那个意图、更早那版提示 - 全都在取代事件之下留存，身份与出处完好（MIR-9、IC-8）。留存依带版本的政策（GOV-2），归档落在备份范围之内，带异地的不可变副本（QSC-13），而周期性的重建演练证明一个过去的状态确实能被重建并恢复（MIR-9 第 6 步）。每一条被覆盖的事件都带着分类法里恰好一个主原因码（MIR-10） - 正是这一点，日后把变更史变成可分析之物，而不是一条无名的流。 到了季度的节律，整条链由一位经 GOV-6 聘用的独立审计者端到端地走一遍：每一条命令通到一个决定、每一个决定通到一个信号、每一次核验通到证据；失怙的连接作为发现送出，而不是当作噪声（ACT-12），回路的欠账则落进欠账登记（QSC-11）。 ### 铰链上的消费 这一切在跑的同时，这座桥正被读着：被回答路线问题的、面向公民的智能体读，被应急部门自己的智能体读，被市政规划者读，被联邦同侪读。消费坐在回路的铰链上，而读者拿到的东西，把它的新鲜度、信任状态与出处一并带着。一次依赖着已过陈旧界限之镜像的读取，要么在回答之前触发一次有的放矢的重采，要么依执事写明的政策明确把陈旧披露出来（MIR-5）；而隔离的标记，不论采集有多久，都要披露（MIR-5 第 3 步）。回答要称引主与采集时刻，而不是干巴巴地断言事实。 每一次读取，在成为一次查询之前，先是一份许可。内部的读者在由目的绑定、TTL 有界的授予之下消费（GOV-7）；语境包在其所引任一授予被撤销时、或其固定 TTL 到期时失效 - 以先到者为准（CTX-1 第 9 步）；而当包超出窗口时，按写明的优先级在深度上降档，而不是被悄悄截断（CTX-2）。离开这个维度的东西，是作为一份为着目的而造、并在放行时受过审查的投影离开的，绝不是作为一扇望进仓库的窗（FED-4）。已登记的消费方与他们的通告通道住在一份登记里 - 正是这一点，才使对账所生的那些取代通告根本送得出去（CON-13）。 ## 一条联邦气象流的准入隔离 国家气象局是另一位所有者。这段关系被发现并评估过（FED-1），由持有那份权柄的人去订约并签署（FED-2，就实质而言不可委派），以由目的绑定、TTL 有界的授予作出同意（FED-3），经一次初次同步缔结（FED-5），按周期运作（FED-6），并靠维护着的、通往 P4 命名空间的语义映射来保住意义（FED-7）。 每一份入境载荷，在获得晋升之前都是有罪的。批次带着一张出处附卡、未加改动地落进准入隔离区，对消费方不可读（FED-8 第 1 步）。信封就发方身份、合约有效与订约范围受核（第 2 步）。内容经校验机制就模式合规、映射可施与引用合理性受校（第 3 步，跑的是 QSC-4 的规则集）。危害筛查开跑（第 4 步），而这一批把它踩响了：某个测站备注字段里有一段冲着智能体来的、看着像指令的文字，叫它们把处在洪水监视中的桥当作已经检查过。它被打上标记，并被严格当作数据对待，绝不去遵从 - 那正是整块调色板那条数据从来不是命令的管控（IC-3）。对注入诱饵的拒绝不是假定出来的：它在智能体行为审计里受测（QSC-7）。 信任接着作为一个向量去评，绝不作为一个标量：在身份、语义、治理、合约、运作与历史六个维度上分别定级，而这些检查的结果专门更新运作与历史这两个维度（FED-8 第 5 步）。晋升门槛是一条架在具名维度之上的带版本谓词，不是一个分数；这一批不满足它，于是被拒收，理由退回发方，而那条拒收事件写明自己倚的是哪几个维度（第 6 步）。一模一样地重发，会被校验和比对器逮住（FED-8 的失效之道之四）。因为该源如今坐在它的运作门槛之下，执事被告知，联邦健康把状态抬高（FED-10），而该源的数据把信号的信心压到自决门槛之下（FED-8 第 8 步） - 这正是为什么先前那条关于桥的信号没法由智能体去定夺。 下一批干净的满足了门槛，获得晋升。也只有到那时镜像才动：MIR-2 执行晋升之后的落地，并拒收不带晋升记录的联邦类内容（MIR-2 第 1 步）。那三种滞留状态自始至终保持分明，依 COMMON 5 的术语：准入隔离（未获晋升即不可读）、隔离（可读但打了标记）、完整性扣留（在解除之前不得应答）。 ## 一起 QSC-14 事故与它的复盘 修缮进行到一半时，部委资产登记那个新鲜度监控不再发信号了。用眼睛没人看得出来；看出来的是元监控 - 因为每一件登记在册的作业都有心跳，由一个独立于它所看之物的看守者去看，而看守者们是彼此交叉看守、不是自看（QSC-15 第 3 步）。漏掉的那一拍自动上升：一个死掉的监控是一起事故，不是一行日志（QSC-15 第 4 步）。 这起事故跑的是那唯一的一套纪律（QSC-14）。记录开出来，证据先钉住 - 在清理任何东西之前，先给日志留快照并作哈希（第 1 步）。严重度对着带版本的量表去定；关卡问这是不是安全类，答案是否，于是它留在 QSC-14 里，而不是转给安全特化 QSC-8（第 2 步）。遏制取那个有效而最不具破坏性的一步：一次手工的刷新运行（MIR-3），外加把该数据集隔离（MIR-8），好让在监控躺下的这段时间里，没有哪个读者 - 无论人还是智能体 - 把它当作新鲜的。因为桥那次施动的核验正倚着那份数据集，那条未结的命令就坐进未核验队列并被上升，而不是悄悄老成已成（ACT-9 第 8 步）。 铲除找到了真正的根因：一次在容量谋划（GOV-5）之下排定的基础设施迁移换掉了监控的宿主机，而变动之后的心跳重核从未跑过（QSC-15 第 6 步）。那次临时的手工刷新记为绕行办法，不作为修好了结掉（QSC-14 第 4 步）。严重度在复盘门槛之上，于是不问罪的复盘是必需的：时间线、促成的成因、监控漏掉了什么、什么起了作用 - 点的是成因与护栏，绝不点人（第 5 步）。 教训落成带版本的制品，而不是口口相传（第 6 步）：一条登记规则的变更，好让一次环境变动在没有心跳重核之前无法收尾（QSC-15）；一次守望配置的版本上抬（GOV-2）；以及剩下的活带责任人与到期日送进欠账登记（QSC-11）。事故只有在铲除条目做完、且复盘已发布时才结案，结案事件引到那份复盘，而结案由所有者在 T1 定夺（GOV-1）。跨事故追踪重复的成因，一次复发就把严重度上抬一级（第 8 步）。 ## 这条回路端到端看起来是什么样 现实变了，感知在一个写明的主之上（MIR-1）、以一个写明的新鲜度服务水平（MIR-6），用两种节拍把它捉住（MIR-2、MIR-4）。撰写出来的佐证从那唯一的正门进来（CON-1 到 CON-6），采集来的内容则走它那处例外。一条已编目的信号被发出，并对着新鲜度、隔离与联邦信任老老实实地甄别（ACT-1、ACT-2）。后果被评估（ACT-4），一个系于权柄的决定带着封存的核验判准被作出（ACT-5），一条命令在派发之前被记下并经机械的闸口（ACT-6），而由登记来选模式（外部执掌走 ACT-8，模型执掌的那份提示走 ACT-7）。在互不相交的流水线身份之下作的独立感知核实了现实确实变了（ACT-9），一个部分的结果朝写明的方向对账（ACT-10），而每一个被取代状态的历史都活了下来（MIR-9、MIR-10）。与此并行，一位联邦同侪的载荷被扣在不可读的状态里，直到它挣得晋升（FED-8）；而一个死掉的监控，变成了一起带着落地教训的事故（QSC-15、QSC-14）。 每一步上都有五条捷径可走，而每一条都被那道本会容许它的流程点名为不合规： - 手改镜像去把修好之后的评级显示出来 - 只准由采集写入的规矩拒绝它（ACT-8 第 5 步）。 - 只凭部委那份完工报告就把施动结掉 - 对这个影响等级，独立证据门槛拒绝它（ACT-9 第 2 步）。 - 因为阈值明摆着就让智能体去定夺 - 对一个倚着外部与联邦镜像的类别，可自决那道关卡拒绝它（ACT-1 第 4 步、ACT-5 的管控）。 - 因为模型看着更新就凭判断把评级之争了结 - 冲突规则拒绝它（ACT-10 第 2 步）。 - 因为等着要预报就在交付压力下把那条气象流晋升 - 晋升门槛的谓词拒绝它（FED-8 第 6 步）。 在这个尺度上，上面没有一样是仪式。这是一个国家尺度的模型能自称为现实首要数字倒影的唯一理由：每一次动作都据一面坦白的镜子而定，每一个效果都经感知确认回来。