KSL
/api/ksl/*密钥主权层
主密钥密封于安全元件中。ML-DSA-87 签名。私有字节永不跨越用户空间 — 只有指纹会浮现。kslctl 暴露计数器与轮换任务。
守护进程
ksld · 818 LOC
crate
sovereign_ksl + sovereign_ksl_keymint
路由
device-keys · sign · rotate
KURAL 18 — 每个关键操作要么签名，要么中止。
结算流程
一个关键操作如何穿过整个堆栈。
钱包转账、ID 出示、OTA 确认、权限授予 — 都是同样的六个步骤。跳过任何一步，操作便无法结算。
- 01
应用请求一个关键操作
钱包转账、ID 出示、OTA 确认、权限变更。应用与一个 HAL 对话 — 绝不直接与 KSL 或 ASR 对话。
- 02
LSIA 关卡 — 飞行前检查
若模式为 CRITICAL_LOCKDOWN，调用会在任何字节被解析之前短路为 LsiaVetoed。没有例外路径。KURAL 22 在最顶层强制执行。
- 03
ASR 发送 — 行动前先审计
HAL 将一条审计条目写入仅追加链。若发送失败（磁盘已满、分区只读、哈希不匹配），审计链返回 Error，操作就此停止。
- 04
KSL 签名 — 密封于硬件中
操作的规范字节由安全元件内部的主密钥签名。在适用之处采用 ML-DSA-87 + Ed25519 混合方案。私有字节永不离开。
- 05
DSL 结算 — 签发回执
DSL 返回 Settled，附带签名、ASR 回执哈希以及 LSIA 模式快照。应用收到的是一份证明，而不仅仅是一个「是」。
- 06
GCI 发布 — 仅模式
若该操作是联邦所关注的（可疑 IP 集群、伪造警报尝试），GCI 会发布经哈希的模式 + /24 前缀 + 金额分桶。原始负载留在设备上。
十三引擎
每个引擎 — 它做什么、代价是什么、它不能做什么。
LSIA
/api/immunity/*本地主权免疫代理
247 个内核 + 系统调用钩子被实时监视。状态机 NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN。在 LOCKDOWN 状态下，每一次主权写入都会在抵达引擎之前被短路为 LsiaVetoed。
守护进程
lsiad · 1 905 LOC
crate
sovereign_lsia
路由
mode · veto · quarantine · sacrifice
KURAL 22 — CRITICAL_LOCKDOWN 凌驾一切。
TUP
/api/tup/*可信更新管线
每次 OTA 都携带由 Release + Security + Ops + Compliance 官员签署的清单。M-of-N 法定人数、角色覆盖、二进制 SHA-256 被验证两次 — 控制器 + 代理纵深防御。拒绝即失败关闭。
守护进程
tupd · 2 392 LOC
crate
sovereign_tup · release-pack-signer
路由
manifest/verify · ota-delta · officer-keystore
KURAL 20 — 无 TUP 不部署。不存在 --skip-checks。
ASR
/api/asr/*审计与主权回执
每个重要决策（签名、权限、策略、更新）都被追加到只写分区上的哈希链日志中。一旦篡改任何条目，审计链会在下次启动证明时明显断裂。
守护进程
asrd · asr-hal-service
crate
sovereign_asr · sovereign_asr_sqlite
路由
append · verify · export
哈希链 · 仅追加 · 取证级别。
DSL
/api/settlement/*默认结算层
应用唯一能据以签名的路径。审计发送必须先成功，KSL 才会签名；若审计失败，签名便永不发生。已结算 = 已签名 + 已批准 + 已证明。不存在无凭据即结算的路径。
守护进程
dsl-hal-service
crate
sovereign_dsl
路由
intent · settle · proof
应用无法通过篡改内存来提高每日限额。
GCE
/api/gce/*全局一致性引擎
跨节点状态漂移检测。在联邦对等节点间比对引擎头部，当漂移超出容差时自动降级。分歧触发降级，而非静默合并。
守护进程
gced
crate
sovereign_gce
路由
head · drift · reconcile
干净地分叉。绝不静默地收敛。
GCI
/api/gci/*全局集体智能
隐私保护的模式联邦。只有经哈希处理的信号、/24 IP 前缀和按金额分桶的事件会离开设备。原始负载、邮箱、用户 ID — 永不离开。
守护进程
gcid · gci-hal-service
crate
sovereign_gci
路由
pattern/share · consensus · publish
KURAL 23 — 只有经哈希/分桶的模式才会离开。
LRM
/api/lrm/*本地韧性网格
跨 LoRa 多跳、Wi-Fi Aware、蓝牙网格和 UWB 的存储转发 DTN 传输。带宽按对等节点调度。跨重启持久化。Press Edition 在启动器之前先维持网格遥测在线。
守护进程
lrmd · lrm-hal-v2
crate
sovereign_lrm · lrm-mesh-bridge
路由
peers · routes · sos · drill
SOS 通道在 CRITICAL_LOCKDOWN 中保持畅通。
SAT
/api/sat/*卫星 HAL
Cospas-Sarsat 遇险信标、Iridium 短脉冲数据、Starlink Direct-to-Cell、3GPP NTN。SOS 通过当下最健康的路径发送 — 自动故障转移，无需菜单。
守护进程
satd · sat-hal-service
crate
sat-hal-v1
路由
beacon · ntn · d2c · routing
运营商无关的紧急通信，无需 SIM 卡。
LSSA
/api/lssa/*分层主权安全架构
从硬件信任根直至信任图的 10 层架构。启动管线 + AVB + LyDos 可信更新 + 设备端证明。每一层为下一层签名。
守护进程
lssad · attestation-collector
crate
sovereign_lssa
路由
boot · attest · graph
任何启动链断裂 → 自动进入 SAFE 模式。
CC
/api/cc/*机密计算
SGX / SEV 度量密封的密钥。敏感计算被密封至某一度量；若操作系统镜像改变，密封会面向不同策略打开，密钥仍保持密封。
守护进程
sovereign_cc helper
crate
sovereign_cc
路由
seal · unseal · measure
密钥绑定于度量，而非绑定于用户。
FIN
/api/{ledger,finance}/*金融基础设施
带逐笔交易证明的复式记账总账。钱包（M243）将每一笔转账经由 DSL HAL 路由：先 ASR 发送 → 后 KSL 签名。审计失败 ⇒ 签名中止。
守护进程
sovereign_fin
crate
sovereign_fin
路由
entries · proof · limits
每日限额由 HAL 强制执行，而非由应用代码。
BUS
/api/bus/*紧急 / 框架总线
小区广播（AFAD WEA、EU-Alert、J-Alert）在抵达锁屏之前先经过签名验证。设备端签名推送通道 — 通知无法被伪造，并能在缺少 GMS 时依然运作。
守护进程
framework-emergency-bus
crate
sovereign_emergency_bus
路由
alert/verify · push/sign · subscribe
政府警报要么通过签名关卡，要么被丢弃。
设计特性
此架构所保证的四项特性。
纵深防御 — 而非单一咽喉点
每个引擎都监视着其他引擎。若有一个被噤声，其余引擎便停止写入。若有一个伪造签名，审计链会在下次启动证明时将其揪出。
失败关闭，绝不失败开放
当验证断裂时，答案就是拒绝。不存在 --skip-checks 标志。当 PG :5434 缺失时不会静默回退到 SQLite。签名不匹配时不重试。
唯一真相来源
ASR 哈希链是唯一重要的时间线。其他每一个引擎都可被推导、重新推导或牺牲 — 唯独这条链不可。
以硬规则保障隐私
KURAL 23 — GCI 只共享经哈希的模式、/24 IP 前缀、金额分桶。邮箱、原始 IP、用户 ID、负载 — 永不离开设备。这在引擎边界处强制执行，而非靠配置。