不可繞過性
執行路徑不得被跳過或繞過。
任何元件都不得跳過必要驗證階段。
系統中不存在任何執行捷徑。
Execution Control Architecture（Public Draft）
執行控制架構
Execution Control Architecture（V1.0）對外理解版，兼具評估與規範視角。
執行權與軟體控制必須分離。
只有所有必要關卡都成立，執行才可發生。
如果你想用更具象的方式理解 Havenlon 的執行邊界，可以先認識 Mod。 認識 Mod
執行權模型
Execution = Access ∧ Decision ∧ SOP
只有所有獨立控制層同時同意，執行才會發生。
任何單一元件都不得獨立授權執行。
執行有效性條件
執行必須同時具備：
身份驗證成立（Access）
決策最終成立（Decision）
執行鏈路完整（SOP）
任一條件失敗，執行都必須被阻斷。
執行控制原則
這些原則定義了系統的信任邊界與控制語義。
若要閱讀執行控制、物理信任邊界、最終否決權與 Fail Secure 背後的正式理論，請閱讀《AI 執行工程論綱》。 閱讀《AI 執行工程論綱》
通信與決策分離
通信不得被視為授權。
只有決策邏輯可授予執行權。
可傳輸，不代表可被信任。
雙策略與熔斷
執行必須通過多層批准。
任一層都可否決執行。
任一層可否決，無任一層可單獨執行。
規範說明（公開）
供架構審查、合規檢查與實作稽核使用的詳細限制。
SOP（單向四階段鏈路）
執行必須遵循單向且不可跳過的鏈路。
階段 1
發起
必經核驗
階段 2
雲端審計
必經核驗
階段 3
授權
必經核驗
階段 4
硬體執行
最終執行裁決
- • 所有關鍵操作必須通過完整鏈路
- • 任一階段缺失，操作不得執行
- • 硬體保留最終裁決權
三域隔離（REE / Arbiter / SEE）
- • REE 不得儲存明文私鑰，也不得執行簽名
- • Arbiter 在核心執行前拒絕不合法請求
- • SEE 僅接受來自 Arbiter 域的指令
MUST / MUST NOT 規則集
密鑰與身份約束
- • 私鑰必須在安全硬體內生成與使用
- • 密鑰不得導出，且不得跨設備遷移
- • 請求必須具備有效簽章與可信證書鏈
執行安全約束
- • 不得盲簽
- • 中止操作不得產生部分執行效果
- • 不得存在繞過路徑與降級執行路徑
探索 Havenlon 規格體系
這不是文件清單，而是執行控制系統定義。Havenlon 定義了分層規格體系：
- • Whitepaper V2（概念層）
- • Execution Architecture V1（系統層）