تدفّق التسوية
الخطوات الست نفسها لإرسال محفظة، وتقديم هوية، وتأكيد تحديث عبر الأثير، ومنح صلاحية. تجاوز خطوة واحدة، ولن تُسوَّى العملية.
إرسال محفظة، تقديم هوية، تأكيد تحديث عبر الأثير، تغيير صلاحية. يتحدّث التطبيق إلى HAL — لا إلى KSL أو ASR مباشرةً.
إذا كان الوضع CRITICAL_LOCKDOWN، يُقصَّر الاستدعاء إلى LsiaVetoed قبل تحليل أي بايت. لا مسار استثناء. تُفرَض KURAL 22 في القمة.
يكتب HAL قيد تدقيق في السلسلة المخصّصة للإلحاق فقط. إذا فشل الإصدار (قرص ممتلئ، قسم للقراءة فقط، عدم تطابق تجزئة)، تُرجِع السلسلة Error ويتوقّف الإجراء هنا.
تُوقَّع البايتات القانونية للإجراء بالمفتاح الرئيسي داخل العنصر الآمن. مزيج ML-DSA-87 + Ed25519 حيث ينطبق. لا تغادر البايتات الخاصة أبدًا.
تُرجِع DSL حالة Settled مع التوقيع، وتجزئة إيصال ASR، ولقطة وضع LSIA. يستلم التطبيق إثباتًا، لا مجرّد "نعم".
إذا كان الإجراء مما يعني الاتحاد (عنقود IP مشبوه، محاولة تنبيه منتحَل)، تنشر GCI النمط المجزّأ + بادئة /24 + نطاق المبلغ. تبقى الحمولة الخام على الجهاز.
الثلاثة عشر
/api/ksl/*المفتاح الرئيسي مختوم داخل العنصر الآمن. توقيعات ML-DSA-87. لا تعبر البايتات الخاصة فضاء المستخدم أبدًا — تظهر بصمة فقط. يكشف kslctl العدّادات ومهام التدوير.
KURAL 18 — كل إجراء حرج موقّع أو مُجهَض.
/api/immunity/*247 خطّافًا في النواة واستدعاءات النظام تُراقَب مباشرةً. آلة حالة NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN. في وضع LOCKDOWN تُقصَّر كل كتابة سيادية إلى LsiaVetoed قبل أن تصل إلى المحرك.
KURAL 22 — يتجاوز CRITICAL_LOCKDOWN كل شيء.
/api/tup/*يحمل كل تحديث عبر الأثير بيانًا (manifest) موقّعًا من مسؤولي الإصدار والأمن والعمليات والامتثال. نصاب M-of-N، وتغطية أدوار، وتحقّق من SHA-256 الثنائي مرتين — تحكّم + وكيل بدفاع متعدد الطبقات. الرفض مغلق عند الفشل (fail-closed).
KURAL 20 — لا نشر دون TUP. لا --skip-checks.
/api/asr/*يُلحَق كل قرار مهم (توقيع، صلاحية، سياسة، تحديث) بسجلّ مُسلسَل بالتجزئة على قسم يُكتَب مرة واحدة. عبث بأي قيد، وتنكسر السلسلة بوضوح عند تصديق الإقلاع التالي.
مُسلسَل بالتجزئة · للإلحاق فقط · بدرجة جنائية.
/api/settlement/*المسار الوحيد الذي يمكن للتطبيقات التوقيع عبره. يجب أن ينجح إصدار التدقيق قبل أن يوقّع KSL؛ وإذا فشل التدقيق، فلن يحدث التوقيع أبدًا. مُسوَّى = موقّع + مُعتمَد + مُثبَت. لا مسار للتسوية دون أثر.
لا يمكن للتطبيقات رفع الحدود اليومية عبر العبث بالذاكرة.
/api/gce/*كشف انحراف الحالة عبر العُقد. يقارن رؤوس المحركات عبر أقران الاتحاد ويتدهور تلقائيًا حين يتجاوز الانحراف حدّ التسامح. الاختلاف يُطلق وضع التدهور، لا دمجًا صامتًا.
افترق بنظافة. لا تتقارب صامتًا أبدًا.
/api/gci/*اتحاد أنماط حافظ للخصوصية. لا تغادر الجهاز سوى الإشارات المجزّأة وبادئات IP بحجم /24 والأحداث المصنّفة بنطاقات المبالغ. الحمولات الخام والبريد الإلكتروني ومعرّفات المستخدمين — لا تغادر أبدًا.
KURAL 23 — لا تغادر سوى الأنماط المجزّأة/المصنّفة بنطاقات.
/api/lrm/*نقل DTN بأسلوب التخزين والتمرير عبر LoRa متعدد القفزات وWi-Fi Aware وشبكة Bluetooth وUWB. يُجدوَل عرض النطاق لكل قرين. يبقى عبر إعادات الإقلاع. تُبقي نسخة الصحافة قياس الشبكة عاملًا قبل المُشغِّل.
يبقى مسار SOS مفتوحًا في CRITICAL_LOCKDOWN.
/api/sat/*منارة استغاثة Cospas-Sarsat، وبيانات الدفعة القصيرة من Iridium، وStarlink Direct-to-Cell، و3GPP NTN. تُوجَّه SOS عبر أي مسار أكثر سلامةً — تجاوز تلقائي للفشل، دون قائمة.
طوارئ مستقلة عن المشغّل، دون حاجة إلى SIM.
/api/lssa/*بنية من 10 طبقات من جذر الثقة العتادي حتى رسم الثقة البياني. خطّ الإقلاع + AVB + تحديث LyDos الموثوق + التصديق على الجهاز. كل طبقة توقّع التالية.
أي كسر في سلسلة الإقلاع → وضع SAFE تلقائيًا.
/api/cc/*أسرار مختومة بالقياس عبر SGX / SEV. تُختَم الحسابات الحساسة بقياس؛ وإذا تغيّرت صورة نظام التشغيل، يُفتَح الختم إلى سياسة مختلفة ويبقى السرّ مختومًا.
السرّ مربوط بالقياس، لا بالمستخدم.
/api/{ledger,finance}/*دفتر قيد مزدوج بإثبات لكل معاملة. توجّه المحفظة (M243) كل إرسال عبر DSL HAL: إصدار ASR أولًا → توقيع KSL ثانيًا. إذا فشل التدقيق ⇒ يُجهَض التوقيع.
الحدّ اليومي مفروض من HAL، لا من شيفرة التطبيق.
/api/bus/*يُتحقَّق من توقيع البثّ الخلوي (AFAD WEA، EU-Alert، J-Alert) قبل وصوله إلى شاشة القفل. قناة دفع موقّعة على الجهاز — لا يمكن انتحال الإشعارات وتبقى رغم غياب GMS.
تنبيهات الحكومة تجتاز بوابة التوقيع أو تُسقَط.
خصائص التصميم
كل محرك يراقب الآخرين. إذا أُسكت أحدها، توقّف الباقي عن الكتابة. وإذا وقّع أحدها زورًا، تكشفه السلسلة عند تصديق الإقلاع التالي.
حين ينكسر التحقّق، يكون الجواب الرفض. لا وجود لراية --skip-checks. لا رجوع صامت إلى SQLite حين يغيب PG :5434. لا إعادة محاولة عند عدم تطابق التوقيع.
سلسلة تجزئة ASR هي الخط الزمني الوحيد الذي يهمّ. أي محرك آخر يمكن اشتقاقه، أو إعادة اشتقاقه، أو التضحية به — أما السلسلة فلا.
KURAL 23 — لا تشارك GCI سوى الأنماط المجزّأة وبادئات IP بحجم /24 ونطاقات المبالغ. البريد الإلكتروني، وIP الخام، ومعرّف المستخدم، والحمولة — لا تغادر الجهاز أبدًا. مفروضة عند حدّ المحرك، لا عبر الإعداد.
وُثِّق 115 مسارًا سياديًا في /api. تُشحَن المحركات بوصفها صناديق Rust خاصة تحت sovereign-templates/.