证据架构¶
English | 中文
证据不是日志转储。它是结构化、可关联、可防篡改、可保留的记录，让人能够重建并辩护一个 决定。本页说明如何为证据而设计。
证据链¶
对于一个受治理行动，证据链通常如下：
目标 → 计划 → 能力 → 策略决定 → 身份 → 执行效果
→ 结果 → 验证 → 人类决定
每个环节都应可寻址。缺少一环，证据链就只是叙事。
| 环节 | 典型产物 | 来源 |
|---|---|---|
| 目标 | 意图记录、验收标准 | 调用方、TAXOVELA、ORCHADYN |
| 计划 | 结构化计划与修订历史 | ORCHADYN |
| 能力 | 能力版本与元数据 | MODUREGIS |
| 策略 | 允许/拒绝决定与策略版本 | AEGIVELA |
| 身份 | 工作负载身份与权限范围 | EIDOVELA、NOMIVELA |
| 执行 | 效果记录、输入、结果 | PRAXOVELA、RHEOVELA |
| 结果 | 流程状态、输出产物 | RHEOVELA、Agent 运行时 |
| 验证 | 测试结果、证据包 | TEKMOVELA |
| 人类决定 | 审批、异常、干预 | SYMBIVELA |
属性¶
- 结构化。 有已知 schema，而不是自由文本日志。
- 可关联。 ID 连接决定、行动与结果。
- 可防篡改。 哈希、签名或仅追加存储。
- 可保留。 证据比流程与运行时活得更久。
- 有范围。 访问控制与租户隔离同样适用于证据。
证据 vs 可观测性¶
| 可观测性 | 证据 |
|---|---|
| 回答“它健康吗？” | 回答“发生了什么、为什么？” |
| 为运维优化 | 为重建与审计优化 |
| 常采样 | 重要行动必须完整 |
| 常短期保留 | 保留是策略要求 |
| 指标、日志、追踪 | 结构化记录、证据包、证明 |
两者都需要，但一个不能替代另一个。
存储模式¶
- 本地账本。 PRAXOVELA 面向本地优先 Agent 的效果账本。
- 流程历史。 RHEOVELA 面向持久工作的事件溯源状态。
- 证据包。 TEKMOVELA 的验证产物。
- 仿真记录。 PEIRAVELA 的完整溯源实验证据。
- 世界状态历史。 ONTOVELA 的双时间断言。
- 安全决定。 AEGIVELA 的授权证据。
中心证据存储可以聚合这些，但不应改写它们。保留源记录及其溯源。
反模式¶
- “我们有日志。” 日志为调试优化，不为证明。
- 可变证据。 如果操作员能改记录，它就不是证据。
- 孤立证据。 没有策略决定或身份的效果记录是不完整的。
- 没有保留的证据。 七天后删除的记录无法支撑季度审计。
- 没有访问控制的证据。 审计数据是敏感的。
一个测试¶
选一个重要行动，只用产物回答：
- 目标是什么？
- 用了哪个计划与能力？
- 谁在哪个策略版本下授权？
- 哪个身份行动？
- 效果是什么？
- 结果是什么？
- 谁验证？
- 谁批准了高风险步骤？
如果任何答案依赖人的记忆，证据架构就不完整。
要点¶
- 把证据设计成行动的一部分，而不是行动之后。
- 关联证据链；完整性比数量重要。
- 把可观测性与证据分开。
- 把保留与访问控制当作一等要求。