78 lines
8.7 KiB
Markdown
78 lines
8.7 KiB
Markdown
# M0–M5 实施手册与退出标准
|
||
|
||
本手册区分已交付本地代码、尚待接线的现场能力和明确剩余实现。先按 `INSTALLATION.md` 校验包、建立独立 stage 并执行实际测试命令；所有阶段保留源码、配置、授权及证据身份。线上部署仍沿用既有批准的变更边界，不能把 validation profile 当作正式 authority adapter。
|
||
|
||
当前使用者可立即执行本地 CLI 诊断闭环、测试和源码包工具。标为“剩余实现”的项目必须完成代码及针对性测试；标为“现场绑定”的项目必须提交真实目标证据，不能仅填写配置后标为完成。同一有效 Grant 内的机器证明续期和恢复不重复业务审批。
|
||
|
||
## M0 — Truth & Identity
|
||
|
||
**已交付代码：** `runtime_contract.py` 校验静态合同并拒绝动态 desired；目标/观测/provenance 评价；缺失 reconciliation 观测不再默认健康；运行 snapshot 的可信状态修正；消费服务自身 encrypted credential projection；源码 before/after hash 工具。
|
||
|
||
**输入：** 原始源码/制品身份、组件清单、正式入口、权威角色、命名资源和凭证引用、受信配置来源。
|
||
|
||
**执行：** 先只读采集 authority map；分别建立 Contract、DeploymentTarget、Observation 和 provenance。核对目标资源一致及新鲜度，显式保留 UNKNOWN。对已渲染配置执行 preflight；检查每个服务自身的凭证投影，按组件登记缺失项。
|
||
|
||
**剩余实现/现场绑定：** 正式在线 Resolver、按操作 Doctor 和自动修复目录；真实 package/build identity 与运行内容对照；现场已有目标映射到 tenant/component/environment 后的冲突检测。当前固定绑定不是通用 Resolver 已完成。
|
||
|
||
**退出标准：** 执行者能机器回答对象、入口、desired、observed、artifact/source、CredentialReference 和证据年龄；AT-01/02/13/15 对应范围有证据。main 前进不误判 drift，UNKNOWN 不放行。**回滚：** 撤销候选解析/配置切换，保留旧权威读取；不批量迁移目录，不重写动态 target 来迎合旧观测。
|
||
|
||
## M1 — Authorization & Effect Safety
|
||
|
||
**已交付代码：** 新 Grant/OperationalEpoch/Principal 签名链、撤销和 effect 预算；真实资源 lease 及单调 fencing；Job intent/receipt、可接管对账；统一 dry-run；持久未决 effect 阻止新 effect 的恢复门禁。
|
||
|
||
**输入：** 已安装 Owner 公钥、机器签名身份、明确有效 Grant、OperationDefinition、精确资源及读回接口。
|
||
|
||
**执行：** 注册已验签 Grant；自动派生收窄 Principal；在同一 intent 下申请真实 lease；执行前再次检查根授权/预算/接收端 fence。验证签名伪造、撤销、过期、scope 重放、CAS 竞争及 dry-run 无副作用；注入成功后 receipt 丢失、存储失败和对账 observer 乱序。
|
||
|
||
**剩余实现/现场绑定：** 每个真实写 adapter 的 effect-keyed readback 与接收端 fencing；COMMIT_FILE 未引用 commit 的可定位恢复；实际密钥轮换、掉电、ENOSPC/WAL 故障。缺能力时维持显式 blocker，不能自动退回旧 endpoint。
|
||
|
||
**退出标准：** AT-03～07、17、22、23 的适用项通过；intent 无法提交不执行，未知结果不盲重试。**回滚：** 停止新 effect 准入，保留 Grant 撤销记录、intent 和 receipt，先对账再恢复；代码回退不能删掉未决 Job 或重新解释旧签名。
|
||
|
||
## M2 — Real Autonomous Loop
|
||
|
||
**已交付代码：** 认证 HTTP 薄入口、既有 TaskPlaneStore 适配、Worker transport/heartbeat、能力与 fallback 策略、固定参数 Host status executor、签名诊断 receipt、Task 结果和 `goal-explain`。
|
||
|
||
**输入：** M0/M1 基线、现存可读 `.service`、隔离状态目录、用户/Worker 固定认证身份、显式声明的 Worker scopes。
|
||
|
||
**执行：** 按安装手册执行 `init-validation → preflight → grant-import`；启动 server，提交 goal，运行 Worker，查询任务及 mission。尽早通过这条真实非发布闭环接线；之后测试重复请求、跨租户访问、取消、超时、重启以及 ready+600 秒 fallback 竞争。
|
||
|
||
**剩余实现/现场绑定：** 正式线上 Task API adapter；完整 blocked Doctor/修复/升级；目标级总计算和模型费用计量；artifact/cache 隔离；通知投递器/inbox 的故障闭环。现有 effect 数和任务 attempt 预算不是全部成本预算。
|
||
|
||
**退出标准：** 真实常驻 Worker 经正式 admission/claim 执行已注册诊断并返回可归因 receipt；无伪造 Release；AT-08～12/14 的实施范围清晰。**回滚：** 停止候选 admission/Worker，恢复未决 claim/Job；已有 Task 不因切换丢失，不建立第二套线上 Task 表。
|
||
|
||
## M3 — Release Closure
|
||
|
||
**已交付代码：** `LineageLedger` 不可改绑关系；`ReleaseLedger` 动态 target CAS、不可变 recipe、稳定阶段 effect、saga 恢复；独立签名 receipt/acceptance verifier。ReleaseEpoch 语义由 release 身份及发布记录承载，不新增通用超级状态表。
|
||
|
||
**输入：** 真实 Task/Job/Release 权威绑定、组件部署资源键、受保护 merge/build/deploy 操作、已验签 receipt、业务验收 verifier，以及同一 Grant 覆盖的准确阶段范围。
|
||
|
||
**执行：** 先核验资源主键并补齐正式适配器。将每个 recipe 阶段接到正式 Job 权威，显式传递 task/grant/effect/job 身份，先持久 effect 后调用；验证 readback、权威 Job 和签名绑定，再推进 saga。执行同 Grant 的 patch→tests→受保护 merge→build→staging→业务验收→production→生产业务验收；至少注入一次 ambiguous publication 或 Worker crash 并恢复。
|
||
|
||
**剩余实现/现场绑定：** 以上真实 mutation receiver、精确 publication readback、受信验收来源与完整发布链。本包不将历史 HTTP 写端点包成绕过新授权的 adapter；模拟 callback 成功仅证明状态机约束。
|
||
|
||
**退出标准：** AT-16/17/19/20 有真实链路证据；acceptance 精确绑定 deployment+release+artifact。当前状态为生产发布 **NOT_VERIFIED**。**回滚：** 仅使用预先声明兼容的 rollback release/artifact 与受治理补偿操作；不可逆迁移走前向修复，保留失败部署事实。
|
||
|
||
## M4 — Surface Reduction
|
||
|
||
**已交付代码：** 不可改绑身份模型、源码 manifest、隔离 stage/冲突保护 rollback、部署门禁清单。它们支持切换审查，不自动停用线上写者。
|
||
|
||
**输入：** 实际活跃 writer 清单、旧任务/schema/签名、迁移映射、接入路由、备份和最小恢复入口。
|
||
|
||
**执行：** 按事实域和资源范围列出当前写入口；先验证新正式入口，再停止旧入口接受新任务，保留旧任务 handler 或进行明确迁移。逐一删除旁路调用、跨服务凭证路径和 production legacy imports。使用 SQLite backup API 或停止写者后的完整一致副本，在隔离环境恢复 SQLite/Git/receipt 并对账未决效果。
|
||
|
||
**剩余实现/现场绑定：** 实际旧 writers 排空和路由切换、历史任务映射、数据库兼容迁移、整机一致备份与恢复脚本/演练。不能伪造历史缺失的 Task 或 receipt。
|
||
|
||
**退出标准：** 每类事实 active write authority=1；旧 Task/Release writers 和 legacy 新任务入口均为 0；cross-service credential path、production legacy imports 为 0；AT-19～21 完成并记录实测 RPO/RTO。当前未宣称达标。**回滚：** 仅按已验证迁移/handler 兼容计划恢复单一入口；不同时重开新旧 writers，不将只复制 SQLite 主文件当一致恢复。
|
||
|
||
## M5 — Optimization
|
||
|
||
**已交付代码：** 签名 Envelope 校验、封闭低风险参数目录、提案持久化、可信实验 receipt、质量方向/底线判断、无改善停止，以及只生成受治理晋升 Task 的接口。
|
||
|
||
**输入：** 已稳定通过前述闭环的运行证据、显式 Envelope、基线/候选指标、计算预算、强制测试/质量门、回退计划。
|
||
|
||
**执行：** 首批选 retry/backoff、有限 Worker routing、证据复用、timeout、poll、通知去重等可测参数。记录提案，提交实验 Task，消费可信结果；只有满足质量底线、预算和最小改善才提交晋升 Task，再按普通治理链落地。
|
||
|
||
**剩余实现/现场绑定：** 真实实验执行、费用计量、运行参数应用和回退 adapter；模型成本路由及经验适用范围管理。首版不自动重写架构核心代码或生产迁移规则。
|
||
|
||
**退出标准：** AT-18 通过；授权政策、信任根、隔离、验收标准和 Grant 语义始终不在可优化范围；提案不能直接写 policy/runtime DB。**回滚：** 停止新提案与晋升，按受治理 Task 恢复已记录旧值；保留失败实验和停止原因，不降低验收标准换取成功。
|