Vào phiên bằng passkey
Lần đầu: tạo passkey (khoá nằm trong máy này — TPM/Secure Enclave/khoá bảo mật). Không mật khẩu, không tài khoản.
Một lần bấm: máy ký yêu cầu → Bridge đọc ghế sống → nguồn resolver độc lập ký phiên → Bridge kiểm và ghi → mở phiên. Bridge chỉ nối, không ký thay resolver, không tạo ghế. Khi resolver không nối được, dùng chế độ tách rời bên dưới — hai đường cho cùng một kết quả.
Yêu cầu nguồn cấp quyền đối soát phiên
Chọn ghế đã được cấp. Tệp xuất là yêu cầu chưa ký; nguồn resolver phải kiểm lại danh tính, khóa, ghế và bản Niêm. Không dùng khóa chủ hoặc Bridge ký thay vé LCU.
Hội thoại khởi tạo
Điểm sụp đổ · máy đang chờ người ở đâu
Mỗi điểm dừng: ai · việc gì · evidence có/không · ai là A · hành động được phép. Không hiện evidence thì Ký bị khoá. Sổ «máy đã làm» trước khi dừng không được ẩn.
Quy trình & sự kiện · chập, vòng, HITL theo sự kiện
Quy trình khai hạn của người mỗi bước, dự phòng khi hết hạn, RACI (trỏ chức vị), mục tiêu theo pha và số vòng — chỉ có hiệu lực khi người KHÁC duyệt trong Hộp thư kèm hạn. Sự kiện đứng ở nhiều bước của nhiều quy trình (chập). Mỗi vòng: tự chạy khi đủ điều kiện, còn lại mở HITL cho MỖI A. Hết hạn là một sự kiện — áp dự phòng, không bao giờ là đồng ý.
Quy trình
Tiến hoá khai trong quy trình:
"evolution":{"memoryTtlSeconds":2592000,"ceilingReview":{"lens":"decision","minSamples":20,"raiseAt":0.9,"lowerAt":0.6}} — hạn trí nhớ AiM ghi sau vòng tự chạy · ngưỡng AiM soạn đề xuất trần.Dừng khẩn (kill switch) — bật một người · nhả hai người · ba mức: chưa bắt đầu / đang ở tenant gốc / đã thi hành
Mặt phẳng trạng thái (PostgreSQL) — mỗi tenant một schema + RLS · máy chính + bản đọc · đổi máy chính qua HITL
Bản LCU ưu tiên cho tenant này (tenant chưa ai giữ về đây; đang giữ thì không tự dời):
Sự kiện
Thêm kết nối · 10 bước
Một cửa cho mỗi kết nối: Bridge tính mười bước từ sổ đang có (bản đồ tài nguyên · sổ vị trí AiH của LCU · Hộp thư HITL · thư viện workflow) và chỉ ra bước kế; «Mở bước» mở đúng thẻ, sáng đúng nút — anh bấm. AI được uỷ thác làm các bước đề xuất · soạn · chạy thử · đo; cấp quyền, mở tác động, chuyển vận hành chỉ người (passkey). «CHƯA ĐO» không phải «xong».
⑤ Hồ sơ hành động API của tenant — nhập OpenAPI · ánh xạ ô K2 · xin duyệt · khai dòng · đo
API của chính tenant (ERP · kho · đơn hàng) thành năng lực: Bridge tách từng hành động từ đặc tả; anh ánh xạ mỗi hành động vào ô G·V, ghế, lớp dữ liệu, hạn mức/ngày, cách kiểm kết quả, và chọn MỘT hành động đọc không tham số làm phép đo. Người giữ govern KHÁC anh duyệt trong Hộp thư. Hành động ghi (POST · PUT · PATCH · DELETE) thi hành được khi anh khai header khoá chống lặp API nhận và cách tra kết quả (một hành động đọc theo khoá): mất trả lời thì máy tra, không gọi lại. API trả 202 → «đã nhận», trạng thái đọc bằng hành động anh khai — đã nhận chưa phải đã xong.
⑪ Tổ hợp từ năng lực ĐO — cấu hình nền + cấu hình thử · duyệt · ghi lượt thử
Bộ khởi tạo chỉ ghép từ dòng có số đo còn hạn (đo · bộ gọi · đã chạy). Luôn có cấu hình NỀN anh chỉ ra (đã biết chạy) để quay về; cấu hình thử ghép từ dòng đo khác. Đổi dòng (cấu trúc) là tin HITL — người KHÁC anh duyệt. Số thử kèm mã thao tác thật mới là ĐO; so theo từng trục, máy không chọn hộ.
chất lượng chi phí giây lần cần người phục hồi khi rút node mã thao tác
Bản đồ tài nguyên · vendor · API · Adapter · IoT · AI · AiH
Mỗi dòng: bậc thang · hạn (còn/hết/bia mộ) · bước kế · ai làm · xong khi · bằng chứng. Sổ là của tenant (khoá vendor ở kho của tenant — chỉ tham chiếu). Hết hạn thì hệ HỎI LẠI ở Hộp thư HITL; không gia hạn thì vào bia mộ; HITL cho sống lại được. T0 chỉ thấy số đếm.
Thêm nhà cung cấp theo danh mục — form theo chuẩn nhà cung cấp (lưu trữ · đẩy tin · AI · eKYC · Dchip D0)
Bí mật đi thẳng vào kho của tenant; sau khi lưu chỉ còn keyRef. Kế: Đo thật → Xin quyết HITL → người giữ ghế govern quyết (kèm hạn) → Cấp quyền.Kho bí mật của tenant — keyRef · dấu vân tay (không bao giờ hiện giá trị)
Nguồn lực theo hợp đồng — phân bổ · đã dùng (đo ở LCU) · đối soát bảng kê vendor · dừng một vendor ảnh hưởng gì
Số dùng là lời chốt «đã thi hành» của tenant giữ khoá — không phải số vendor tự báo. Lệch quá ngưỡng hợp đồng → tin HITL cho người giữ ghế govern; số đo không bị sửa.Dùng quyền của tenant khác (back) · cho tenant khác dùng — khoá không rời chủ
Tenant khác (hoặc AimCo) cấp quyền DÙNG một dòng của họ qua HITL của họ; bên dùng khai dòng trỏ tới lệnh cấp (không cấu hình, không khoá) rồi xin quyết HITL của mình. Chuỗi chỉ thu hẹp; lệnh chạy ở tenant gốc.Khai tài nguyên mới (ghế operate/govern của tenant)
Workflow từ THƯ VIỆN — hệ đề xuất, HITL duyệt, chạy qua dòng đã cấp quyền ở tenant giữ khoá
Chỉ chạy workflow đã vào thư viện (OC-396): mỗi bước nối một bước của quy trình đã duyệt — RACI của bước đi theo. Đề xuất (người hoặc AI ghế operate) không chạy được cho tới khi người KHÁC duyệt trong Hộp thư.Đề xuất workflow vào thư viện
S3 · Adapter · firmware · SBOM · lỗ hổng
Làn S3 của tenant: nạp danh sách adapter theo bản kê vào bản đồ tài nguyên (khai — chưa đo, chưa quyền) · kho firmware giữ bytes, máy đo băm + kích thước, số thứ tự chỉ tăng theo hãng/lớp (chống quay lui) · ghim = giữ phiên bản (ghế govern) · SBOM CycloneDX/SPDX · sổ lỗ hổng: máy khớp chuỗi tên@phiên bản với SBOM — khớp chưa phải bị ảnh hưởng; người giữ ghế govern đánh giá. Lỗ hổng đang bị khai thác: máy đếm hạn CRA 24 giờ · 72 giờ, không tự gửi.
① Bản kê adapter → bản đồ tài nguyên
Có dòng bị bác thì không ghi dòng nào. Dòng đổi về DECLARED (đo lại). Bí mật không vào bản kê — chỉ keyRef.
② Kho firmware · SBOM · ghim
③ Sổ lỗ hổng (VEX)
④ Ghi danh adapter vào lõi · gắn vị trí AiH
Giấy khai sinh thiết bị v2 do hãng ký (factoryId · deviceSerial · deviceId · devicePublicKey · issuedAt · expiresAt · hardwareClass · factorySig). Trang chỉ kiểm hình; lõi kiểm chữ ký hãng theo sổ factory_issuers — Bridge không bảo lãnh hãng. Ghi danh là lệnh có tác động: ghế govern + passkey.— rồi ở thẻ AiH: «Khai vị trí» → «Gắn vào vị trí». Vị trí gắn theo tên dòng, nên «Thêm kết nối» thấy bước 2–3.
⑤ Gương lên lõi · cập nhật firmware có nhân chứng
Bản đã ghim ở kho → «Gương lên lõi» (ghế govern · passkey ký): lõi giữ gương và kiểm chữ ký hãng theo sổ factory_issuers — sổ không có khoá firmware của hãng thì CHƯA ĐO. «Cập nhật thiết bị»: lõi chỉ niêm khi bản còn gương đã ghim, số thứ tự lớn hơn số thiết bị tự báo (báo cáo ký bằng khoá đã ghi danh) và ghế còn sống. Niêm ≠ đã cài: xem thiết bị báo lại.⑥ Gateway hiện trường · cửa báo cáo/ACK
Người giữ govern ghi danh gateway: mã · khoá công khai Ed25519 (base64url) · danh sách thiết bị gateway được chở. Gateway ký từng yêu cầu POST /v1/adapter/field như thiết bị người dùng (key-id gw:<mã>); Bridge chở NGUYÊN ack/báo cáo do khoá thiết bị ký sang lõi — lõi kiểm chữ ký từng thiết bị.Sandbox tập thao tác (trên Forge của lõi)
Tập OC trên NỀN THẬT: workflow thư viện chạy thật qua cửa LCU bằng dòng AI anh chọn (bất kỳ nhà cung cấp nào đã khai — Claude · OpenAI · Vertex · máy chủ của anh). Lỗi giả lập do LÕI đặt theo bài; lõi tự chấm từ sổ thi hành của nó; hai người khác người tập chấm bằng passkey (quorum Forge). Sổ tập tách khỏi sổ thật; «Xoá sạch» là bia. Mô hình AI không học từ dữ liệu của anh.
Mở buổi tập (người giữ govern) — lệnh TGQ COMMISSION_TRAINING
Tập một bài (người tập)
Bài sự kiện (hai AiH trái nhau · đạt kỹ thuật chưa đạt mục tiêu): làm trên một sự kiện TẬP — mã bắt đầu «tap-» (kết cục vào ô sandbox, không vào ô thật) ở thẻ Sự kiện, rồi:
Chấm (giám khảo) · xoá sạch
Trí nhớ xuyên hệ · bảy lớp, ai nói, cái bị từ chối dịch
Subject → Role (AiM) → Application → Tenant → Institution → Federation → Shared Evidence. Mọi lần vượt plane có evidence và residual; CrossPlaneRefused hiện tên. Trọng số recall và người đứng tên hiện ngay đây.
Có đường AiH: hiện ký ức AiM đã ghi ở LCU cho AiH ấy và tổ tiên (ai ghi · từ lần chạy nào · lớp dữ liệu).Tiến hoá · trí nhớ tiến hoá trong LCU (chỉ LHT)
Trí nhớ tiến hoá trong LCU — bài học của gói làm nguyên liệu tư duy · xin nhập · nhập theo quyết định · trạng thái
Chỉ LHT (mặt hiến định) xin nhập · nhập · đọc trạng thái — tenant khác, AimCo, BRS không thấy setup tiến hoá. Hạn (1–30 ngày) là điều khoản — người khác quyết. Độ tin theo số gốc độc lập: bên dựng tự bắt không nâng.
Cá nhân
Hành trình — bước đang sáng là bước phải làm
Bridge đo từng bước CON; bước xong có ghi chú bằng chứng; bước tịt nói lý do, ai gỡ được, và mở đúng giao diện. Không cần vé để xem. Hành trình không cấp quyền.
— không cần ghế; đã ký xác nhận cho Acc 0 thì không rút được.
Đường tới Niêm — còn gì · ai làm · mở ở đâu (bước hành trình + đầu vào ngoài hành trình + quyết định chờ ký + việc của thực tại)
Tin được GIỮ ở Bridge khi máy này offline; bản đọc gần nhất lưu tại máy. Tin chỉ MỞ giao diện — quyền vẫn do ghế/khoá quyết ở từng thao tác. Đẩy thông báo (push) chưa có: mở trang là nhận.
Anh đang ở đâu trong nghi thức
Genesis → Owner Key → Nhận lô → Server → K8S → Fleet → LCU → AimOS → Niêm → 8×5 → Phiên → Ops. Mỗi bước: evidence có/chưa. Rail là phép chiếu evidence, không phải thuật toán bắt đi một đường.
0a · Tạo tài khoản đầu tiên (Người dùng số 0) — nghi thức ba bước
Chỉ khi hệ CHƯA có ai. Passkey Web đã tạo là khoá thiết bị; Acc 0 là chủ thể; ghế là ô Mandate. EnrolledKey != Subject != Seat.
Tenant này sẽ bind Genesis Account và đi vào EffectiveAuthority. Sau CONFIRMED vẫn sửa được — nhưng bằng nghi thức có chữ ký chủ sở hữu, bia mộ cho giá trị cũ, và mọi phiên phát sinh sẽ chết (CorrectionIsNotErasure).
Người ấy mở trang trên máy đã đăng ký của họ → thẻ Hành trình hiện yêu cầu → ký bằng passkey máy đó. Bridge chỉ mang yêu cầu và chữ ký; không ai xác nhận thay ai. Hạn 24 giờ để ký, 24 giờ để Hoàn tất.
Nhân chứng đăng ký khoá máy dưới tenant ĐƠN VỊ của họ (vd brs) rồi «Đăng ký chủ thể» trên máy của họ; đơn vị ký = tenant ấy (Bridge điền, không gõ tay) → người thứ hai ký công nhận khoá ấy → anh «Hoàn tất». Mỗi bước có hạn 24 giờ. Đủ hai gốc = CONFIRMED (đủ để Niêm); eKYC sau Niêm — tới lúc đó tạo tenant và dữ liệu ra nước ngoài chờ (EKYC_PENDING).
0 · Khoá chủ sở hữu
Passkey của máy này là khoá tr:constitution — sinh trong Secure Enclave/TPM, bridge chỉ giữ public key. Không tệp khoá. Đổi khoá cần chữ ký khoá cũ.
1 · Nhận lô & ký lô
Chọn CẢ TÁM tệp của lô cùng lúc (bundle · aimos_bootstrap_verify_….py · Mobile · Web · bốn PDF) — tên có hậu tố tải xuống như «(1)» vẫn nhận, nội dung kiểm bằng sha và SHIPMENT. PDF không thay được .py. Trình duyệt tính sha256. Gõ đủ 64 ký tự SHA-256 bên dựng gửi qua KÊNH KHÁC (tin nhắn/mail). Khớp mới được ký; ký = passkey xác nhận đúng sha (challenge = sha256(bundle)).
2b · Đặt lô vào kho S1 — tự động từ bộ đã nhận
Tám tệp chọn MỘT lần ở «Nhận bộ giao». Khi sha khớp, trang gửi ngay bundle + 3 bản ngoài (verifier · Mobile · Web) vào khu nhận của Bridge — Bridge kiểm sha bundle và cam kết từng bản ngoài trong chính bundle. Ký lô xong, Bridge tự đặt vào kho S1 và xoá khu nhận. Kho S1 chỉ giữ bytes đã ký.
Bridge chưa giữ bộ đã nhận (đã nhận ở trang cũ, trước khi Bridge giữ bytes)? Chọn lại bundle + 3 bản ngoài
Lô ứng viên sau Niêm · chuỗi Niêm (Niêm mới trỏ Niêm đang chạy)
Sau Niêm, lô OC mới KHÔNG thay lô đang chạy: nó vào ô ứng viên trên S1 (tám tệp như lần đầu, sha kênh ngoài khớp, khoá chủ ký). Rồi dựng Niêm kế tiếp — trỏ đúng Niêm đang chạy — và hai người ký lại 2/4 bằng passkey (hai bề mặt) với CHÍNH policy Niêm đang chạy. Đủ 2/4 → CHUỖI NIÊM (CHAINED). Chưa nâng: lô đang chạy, S2 · S3 không đổi.
1 · Nhận lô ứng viên (tám tệp) · khoá chủ ký
Đổi bộ khoá ký Niêm (mất · lộ · định kỳ) — 2/4 bộ CŨ và 2/4 bộ MỚI cùng ký
Soạn policy mới ở thẻ «Chuẩn bị Niêm» (thêm máy mới, bỏ máy mất), dán vào đây. Khoá bị thu không được ký và không được có trong policy mới. Một người mất cả hai máy thì không đủ 2/4 bộ cũ.
2 · Niêm kế tiếp · ký lại 2/4
3 · Nâng lô (cần buổi tập Sandbox ĐẠT cho lô ứng viên + người KHÁC duyệt)
Nâng = ghi kế hoạch + giải sẵn Bridge của lô mới; S1 KHỞI ĐỘNG LẠI bằng Bridge ấy, Bridge mới tự kiểm chuỗi Niêm rồi mới nhận. Khởi động lại Bridge cũ = đường lui.
3 · Cấu hình ba máy S1 · S2 · S3 (Ubuntu) → chép vào S1 → đẩy S2 · S3
Ba máy Ubuntu, ba vai cố định. S1 là chính máy chạy Bridge này — host S1 phải là địa chỉ của Bridge (sai thì dừng, không chép nhầm máy). S2 chạy LCU + AimOS, S3 chạy LCU + SoC (Observer khác gốc). Mỗi máy: host · cổng SSH · user · thư mục. S2 · S3 cần thêm known_hosts (ghim khoá máy đích cho lần đẩy đầu — chạy trên máy tin cậy ssh-keyscan -p <cổng> <IP gốc> rồi dán nguyên kết quả).
Máy đứng sau Cloudflare (proxy, mây cam): tên miền phân giải về IP của Cloudflare, Cloudflare chỉ chuyển HTTP/HTTPS. Vì vậy host = tên miền (Bridge thấy tên này; S2 · S3 kéo lô qua https tên này), còn SSH tới = IP gốc của máy (hoặc bản ghi DNS-only, mây xám). Bridge tự phân giải ô SSH và dừng có tên nếu nó rơi vào IP Cloudflare.
| Vai | host (web · tên miền) | SSH tới (IP gốc — bỏ trống nếu như host) | cổng SSH | user | thư mục | known_hosts (dán nguyên kết quả ssh-keyscan) |
|---|---|---|---|---|---|---|
| S1 · Bridge này | — (Bridge chạy ở đây) | — (S1 là máy này) | ||||
| S2 · LCU + AimOS | ||||||
| S3 · LCU + SoC |
Bản đồ fleet · S1 kho lô + Web + LCU · S2 LCU + AimOS đầy đủ · S3 LCU + SoC
Nhiều host mỗi vai để chống một server sập; hệ gọi tài nguyên theo vai, không theo host; S1↔S1 đồng bộ lô theo digest; S2/S3 lấy đúng thành phần từ bất kỳ S1 nào. Khai host: người có khoá chủ/govern lifecycle → declared; máy/AI có Mandate → proposed, người duyệt (admit).
2 · Ba trust server (form)
Vai cố định S1/S2/S3 — điền host/user/thư mục. Ba máy phải khác nhau. Reach đo ở bước «bảy bước», không ở form.
Người & máy · chủ thể khác Acc 0
Acc 0 là người số 0. Người khác: tạo passkey trên máy mình → Đăng ký chủ thể (chưa có ghế) → chờ ở phòng chờ → được cấp ghế qua ô Mandate hai chữ ký. Thêm máy: máy mới xin gắn → máy khác đã gắn (hoặc khoá chủ sở hữu / govern ô) xác nhận. EnrolledKey != Subject != Seat · SubjectIsOneDeviceIsMany.
Gõ cửa trước Niêm: điền mã + tên → «Đăng ký chủ thể (máy này)» — không cần vé, không ghế. Khoá máy CÙNG tenant Acc 0 → anh/chị là người thứ hai; khoá máy ở tenant KHÁC (đơn vị của anh/chị, vd brs) → anh/chị là nhân chứng khác gốc. Bridge xếp vai theo tenant của khoá.loại nối (IoT · Adapter · API · vendor · org) trỏ MỘT dòng ở Bản đồ tài nguyên:
Vào tenant bằng eKYC (người mới ở phòng chờ): tenant đã mở một ô tự đăng ký cho eKYC → ① «Lấy mã cho nhà cung cấp eKYC» → đưa mã cho ứng dụng eKYC → ② dán {claim, signature} nhận về → «Vào tenant bằng eKYC». Không ai ký hộ; không lưu số định danh.
Tải phòng chờ, chọn yêu cầu rồi đọc và đối chiếu với máy mới. Yêu cầu có hiệu lực tối đa 10 phút. Govern phải chọn miền hiến định nơi Subject đích có ghế; quyền chủ tiền Niêm không dùng sau khi LCU chuyển strict.
Mesh con người · 360° · 5 cấp · 3P · coach (đọc — không điểm)
Mỗi tín hiệu trỏ về bản ghi nguồn (nghi thức xin · duyệt · quyết · biên nhận · ghế). Chưa có dữ liệu thì «CHƯA ĐO», không phải 0. Người đọc và HITL kết luận — hệ không chấm.
Máy của tôi · thêm máy · mất máy
Một người nhiều máy: mỗi máy một khoá, vé theo máy — vào phiên ở máy này KHÔNG tự kết phiên máy kia. Thêm máy: trên máy mới «Máy này xin gắn» (subjectId của anh) → trên máy này «Phòng chờ» → đọc → «Ký xác nhận». Mất máy: trên máy còn lại bấm «Thu hồi» ở máy mất bên dưới (vé máy ấy chết trên Bridge này), rồi thêm máy mới như trên. Mất CẢ hai máy: cần khoá chủ sở hữu hoặc govern của ô — không có đường tự phục hồi.
Thu hồi phiên · đồng bộ sổ thu hồi giữa hai Bridge (ghế govern)
Thu hồi phiên = mục ký vào sổ SESSION_LEDGER: vé chết trên Bridge NÀY ngay; trên Bridge khác khi mục được nhập. Không xoá khoá, không xoá ghế — chỉ vé.
Tenant — phòng chờ lcu-aimos · vào tenant do chủ tenant duyệt · tạo tenant do tenant toàn cục duyệt
Sau Niêm người mới ở phòng chờ lcu-aimos. Vào tenant X: xin → chủ X (hoặc người giữ institution × govern của X) duyệt trong Hộp thư của X. Tạo tenant X: xin → người giữ federation × govern của tenant toàn cục (LHT) duyệt; anh thành chủ X. Người duyệt luôn là người KHÁC anh.
Uỷ quyền đứng (OC-534): bên cấp (vd aimco) xin — người giữ federation × govern của LHT quyết, đặt hạn. Sau đó tenant theo hợp đồng của bên cấp do người giữ federation × govern của bên cấp duyệt (khác người khai hợp đồng), trong trần và miền đã quyết.
Ghế của tenant — xem ô nào có người, ô nào trống, ghế của tôi · xin một ô (tới người giữ govern của miền)
Xem trước: hình 8×5 của tenant của khoá (số người mỗi ô; tên khi đã ký), ghế của anh/chị, vị trí AiH còn trống. Xin sau: chọn miền × ghế, nêu vì sao — tin đi Hộp thư tới VAI người giữ govern của miền. Xin không phải được cấp: người cấp vẫn ký hai chữ ký ở «Ma trận».
Giờ yên · hoãn tin — Hộp thư của tôi (sau khi «Đăng ký nhận tin»)
Giờ yên do anh/chị đặt, theo giờ của anh/chị: tin vẫn vào và được giữ, chỉ không đếm là chưa đọc. Hoãn một tin kèm lý do: tới giờ tin quay lại để xem lại; việc có hạn không hoãn quá hạn, một tin hoãn tối đa 3 lần.
–Hoãn tin # thêm giờ vì
Node của tôi · đồng hồ — AiH cá nhân ở sảnh lcu-aimos
Node cá nhân nằm ở sảnh, đường không mang tên anh/chị; chỉ anh/chị ngồi vị trí #self. Xin node → người quản sảnh sinh và gắn vị trí. Đồng hồ giữ GIỜ, không chấm điểm: chọn nhịp, neo MỘT quyết định, làm — không tin, không nhắc; chốt xong/dừng. Phản chiếu chỉ đếm.
· vì sao xinNhịp neo · phiên
Đồng hồ nhóm · Làm việc tại đây — phiên chung trên quan hệ của mỗi người với nhóm
Nhóm là một AiH ở sảnh. Người ngồi vị trí của AiH nhóm mở phiên; thành viên (có cạnh sống tới vị trí #self của mình) tự bấm «Vào phiên» — ghi vào trí nhớ của chính quan hệ ấy, hết hạn khi hết phiên. Lõi chỉ đếm; nhóm dưới 5 không phản chiếu, không tên.
AiH nhóm nhịp neophiên
Người quản nhóm: bật cổng khoán · đo · sửa — thành viên chỉ «Vào phiên» khi phiên của CHÍNH mình đủ ba điều kiện (có neo · đã chốt · một neo dừng rồi xong). Tắt = như cũ.
Làm việc tại tenant
Mỗi tenant một khoá (D-548-1): đăng ký khoá máy này dưới tenant ấy, rồi gắn vào chủ thể của anh/chị — máy NHÀ ký xác nhận ở thẻ Hành trình. Không đổi tenant nhà, không cấp ghế.
chủ thể của tôi
Người giữ govern của tenant này: nhận khoá của một thành viên vào tenant (sau khi máy nhà của họ đã nhận — tin ở Hộp thư). chủ thể khoá
Chủ đề của AiH — tín hiệu → mục tiêu → phiên (vị trí có hạn) → kết quả
Người ngồi vị trí sống của AiH nêu tín hiệu. Người A của AiH đặt mục tiêu, chọn vị trí CÓ HẠN cho phiên (vị trí của AiH khác cùng tenant: aihPath#positionId), khai vai bắt buộc và hạn cam kết, chốt kết quả «xong»/«bỏ»/«vòng tiếp» kèm bằng chứng. Phiên quá hạn mà chưa chốt là «QUÁ HẠN»; thiếu người ở một vai là «THIẾU VAI» — không phải «xong».
AiHbước chủ đề nội dung
vị trí vai làm vai kiểm hạn cam kết
kết quả bằng chứng
Lăng kính của tôi — Tiên · Trung · Hậu thiên · bát quái · trạng thái node (chỉ đọc)
Ba lăng kính CHỈ ĐỌC: bản đồ pha của lõi (nguyên văn) và ô của anh/chị xếp theo tầng trí nhớ; bát quái là tri thức chung (không gieo quẻ, không đọc dữ liệu của anh/chị); trạng thái node Lv1–Lv5 do anh/chị tự khai — khác 5 cấp lãnh đạo Maxwell. Cổng vào nhóm khoán · đo · sửa chỉ đếm từ phiên đồng hồ của chính anh/chị.
tự khaiTôi được ghi gì — mọi nơi Bridge này ghi về anh/chị
Đọc bằng khoá của chính anh/chị: danh tính, ghế, biên nhận, tin Hộp thư, giờ yên và tin đang hoãn, kết quả đã đo có tên anh/chị. Nơi khác có ghi về người nhưng chưa hiện từng dòng thì nêu TÊN và vì sao. Không có nơi nào ghi điều máy suy ra về anh/chị.
Thiết kế AiH trong ô 8×5
Một ô = một AiH. Thành viên = chủ thể có ghế trong ô kèm RACI (người giữ A; AiT/AiM/AiW giữ C/R/I). Ô chưa có người A là ô chưa sẵn sàng. Gán thành viên = cấp ghế qua ô Mandate (hai chữ ký) với occupantKind + raciRole.
Điểm chập khi AiH lồng AiH (sub-aih): ô 8×5 · RACI: R = AiH lồng · A · C · I AiT · AiM · AiW ngồi bởi gì: · dòng tài nguyên · trí nhớ
3 · Hàng chờ enrol
«Tài khoản tạo rời» = khoá đã enrol ở bridge. Hệ không «nhận ra» — hệ kiểm và liệt kê. Có khoá chưa phải có ghế: cấp ô ở ma trận dưới, hai chữ ký.
Ma trận QUYỀN 8 × 5 · miền hiến định × ghế
Đây là ma trận QUYỀN (tôi được làm hành động nào). Ma trận CÔNG VIỆC G1–G8 × V1–V5 của lõi (tôi chịu trách nhiệm việc gì) là ma trận khác; nối qua ô công việc → vị trí → Mandate còn hiệu lực → hành động trên đối tượng cụ thể — không ánh xạ máy móc, không cộng dồn quyền.
Cấp một ô = chữ ký người dùng số 0 (CONFIRMED) + phê duyệt người thứ hai. Web chỉ chiếu và ký phần của mình.
Ghế cho AI/AiH/máy: người chịu trách nhiệm trần nâng trần theo tin
Người thứ hai đã đăng ký ở genesis mở trang trên máy họ → thẻ Hành trình → «Phê duyệt ô bằng khoá máy này». Bridge chỉ mang yêu cầu và hai chữ ký; không ai cấp ghế một mình.
Kênh dự phòng — nộp hồ sơ ô đã có hai chữ ký (khoá thiết bị native)
Dán hồ sơ ô: {"domain","seat","subject","nonce","ownerSignature","second":{"humanId","devicePublicKey","signature"}}. Hai chữ ký sinh trên máy của hai người (khoá thiết bị); Web không tạo được chúng, chỉ nộp — Bridge kiểm cả hai rồi ghi sổ Mandate.
Hợp đồng & kết nối
Khai hồ sơ chuẩn bị trên Bridge, trước hoặc sau Niêm. Hồ sơ DRAFT chưa cấp quyền, chưa kết nối và chưa được LCU chấp nhận. Chỉ nhập tham chiếu khoá; không nhập mật khẩu/token.
API/Adapter vận hành: khai vị trí và hợp đồng vai trong mục Thiết kế AiH, rồi gắn ref/behind/apiSpec. LCU tiếp tục kiểm Mandate và bằng chứng. Hợp đồng tenant cần ánh xạ quyền/giới hạn vào tài nguyên LCU; bản sửa này chưa tự kích hoạt hợp đồng.
Ứng dụng tenant · hợp đồng do LCU kiểm
Chạy sau khi LCU tiếp nhận Niêm. Ứng dụng tham chiếu tính SHA-256 văn bản. Thu hồi bằng revision mới; phục hồi bằng revision tiếp theo, không đặt lại số lần đã dùng.
Mỗi lần gửi có chữ ký cho LCU và Bridge; thiết bị phải được đăng ký và có Mandate tại LCU. Để thử lại sau lỗi mạng, giữ nguyên mã, revision và nội dung. Yêu cầu được lưu trong trình duyệt trên thiết bị này, gồm cả văn bản; dùng hồ sơ trình duyệt riêng khi dữ liệu cần giữ kín. Xoá dữ liệu trình duyệt sẽ mất bản đối soát cục bộ. Đổi thiết bị cần lấy lại hồ sơ cũ. Nút Tôi không rõ không huỷ lệnh đã gửi. LCU tiếp tục kiểm quyền và hạn mức. Yêu cầu huỷ đang chờ phải giữ nguyên mã và lý do; chưa gửi lại lệnh chạy cho tới khi đối soát. Hồ sơ đổi ở tab khác thì đọc lại trước khi ký. Yêu cầu ký gắn với Niêm trên phiên đang xem; phiên đã đổi hoặc các lớp chưa tương thích thì dừng, vào lại phiên và đọc lại yêu cầu. Mã yêu cầu gắn với tenant, ứng dụng và Subject; đổi thiết bị của cùng Subject không tạo lệnh mới. Hạn mức hợp đồng và Node vẫn dùng chung theo phạm vi đã cấp.
Đối soát lịch sử dùng quyền đọc riêng tại LCU, kể cả khi quyền chạy đã mất. Chọn hồ sơ cũ trên thiết bị này; truy vấn không chạy lại ứng dụng.
Huỷ mã lệnh cần quyền huỷ riêng tại LCU. Chọn hồ sơ execute đã lưu ở trên. Chỉ biên nhận LCU mới xác nhận huỷ; nút Tôi không rõ không gửi lệnh huỷ.
Chuẩn bị Niêm — vật liệu từ giao diện, khoá chủ ký
Niêm cần ba vật: policy (4 khoá · 2 người × 2 máy · 3 Bridge) có chữ ký khoá chủ · lô đã đặt vào kho · manifest dựng từ chính bytes lô ấy. Không ai phải đặt gì trên server. SealMaterial != Seal.
Từng bước (chỉ khi cần sửa nháp)
TSA cho lõi (OC-477) — lõi trên cluster chỉ nhận Niêm có dấu thời gian RFC 3161 xin trong 15 phút sau vòng đo; khai TSA ở đây TRƯỚC Niêm, Bridge xin dấu ngay khi Niêm đủ ngưỡng.
TSA:
runtime-roots (gốc tin vận hành — resolver LCU, sau Niêm vé chỉ do resolver này ký):
địa chỉ lõi (tuỳ chọn — ký cùng gốc, không cần biến môi trường):
hoặc dán khối «AIMOS-RUNTIME-ROOTS {…}» mà bộ khoá lõi (aimos_core_keys.py) in ra — chỉ khoá CÔNG KHAI:
Ký SEAL_MANIFEST
Hai người, bốn khoá đã đăng ký; đủ hai người ký trên hai bề mặt. Đọc nội dung trước khi ký. Chưa có ba bằng chứng Bridge và TSA thì chưa chuyển giao LCU.
Chưa xác minh ba nguồn đo
Cách khác: tệp · gọi trực tiếp · từng bước
Trước khi mở ký, máy này kiểm đủ ba proof cùng vòng đo. Chọn policy từ nguồn tin cậy và nhập SHA đã đối chiếu độc lập. Việc thu thập proof hiện dùng tệp; không lấy lời xác nhận tổng hợp của S1 thay ba proof.
Gọi trực tiếp cần collectOrigin trong policy và từng Bridge cho phép origin Web này. Có thể cần xác nhận passkey cho từng request; lỗi hoặc hủy giữ khóa ký.