---
AIGC:
    Label: "1"
    ContentProducer: 001191110102MACQD9K64018705
    ProduceID: 2949354967277788_0-drive/235547130157020120/GLOBAL-GRID_算网/Sigrid宪章_v1.0.md
    ReservedCode1: ""
    ContentPropagator: 001191110102MACQD9K64028705
    PropagateID: 2949354967277788#1794384662795
    ReservedCode2: ""
---
# Sigrid 宪章 v1.1

> **本宪章是 Sigrid（西格·算网 / GLOBAL-GRID）的最高规范文件。**
> 宪章层条款的效力高于任何代码、任何运营决策、任何商业安排。
> 凡与宪章冲突的实现、策略或决议，自始无效。
>
> **宪章与代码的关系**：宪章是文本，代码是宪章的兑现。当两者冲突时，**以宪章为准，代码必须修改**。
> **宪章的锚定**：本文件全文的 `sha256` 锚定于 Arweave 与 OpenTimestamps→Bitcoin。任何修订必须留下可验证的锚定链。

---

## 序言

Sigrid 诞生于一个判断：**全球算力正处于野蛮生长状态，缺的不是算力，是秩序。**

算力可以买，技术可以抄，价格可以补贴，唯有"秩序"不能。秩序需要有人定规则、有人审动机、有人敢喊停、有人为喊停负责。

这个"有人"，最终必须是人。

不是因为机器不够聪明，而是因为**当机器判断错误时，只有人能承担错误的后果**。一个由算法独自决定谁被切断、谁被冻结、谁被追责的系统，无论多高效，都不具备合法性。

因此本宪章确立三件事，它们构成 Sigrid 的**生命层治理**：

1. **人类最终放电权**——机器可以建议，人必须决定。
2. **动机审计**——不只看行为是否合规，更看动机是否可疑。
3. **永久主权**——即使 Sigrid 这个组织消失了，记录与证明仍然成立。

这三件事不是功能，是**边界**。功能可以增删，边界不能退让。

本宪章的适用期，以**五十年**为设计尺度。五十年里，底层链会换、团队会换、运营主体会换、甚至人类与硅基体的协作方式会变。宪章的作用，是让这些变化**不摧毁 Sigrid 的魂**。

---

## 第一条 · 人类最终放电权

### 1.1 条文

**任何对用户或供应商产生实质不利影响的自动化处置，必须经人类复核后方可生效。**

"实质不利影响"包括但不限于：冻结账户、扣划资金、隔离节点、切断服务、公示违规、限制提现。

算法可以：
- 计算风险分
- 生成审计结论（PASS / WATCH / FLAG）
- 提出处置建议
- 执行**可自动恢复**的临时措施（如 L1 节点级隔离，30 分钟冷静期）

算法不可以：
- 单独决定冻结任何人
- 单独决定扣划任何资金
- 单独决定永久封禁
- 单独决定对外公示某主体的违规

### 1.2 工程映射

```typescript
// server/src/audit/enforce.ts
export async function enforceVerdict(audit: AuditRecord) {
  if (audit.verdict === 'FLAG' && !audit.reviewerWallet) {
    throw new Error('BLOCKED[宪章1.1]: FLAG 处置必须经人类复核，算法无权单独执行')
  }
  // ... 执行
}
```

| 权力 | 实现 | 约束 |
|---|---|---|
| 撤销自动熔断 | `POST /api/circuit/:id/override` | 限 `overrideUntil`（默认 2h）内 |
| 否决审计结论 | `POST /api/audit/:id/review` | 需 `reviewerWallet` 签名 |
| L3 全网熔断 | `POST /api/circuit/trip` (level=3) | **需两名不同钱包双签** |
| 紧急暂停 | `POST /api/circuit/emergency-stop` | 任何人可触发，1h 内须补理由 |

### 1.3 违反判定

- 代码中存在未校验 `reviewerWallet` 即执行 FLAG 处置的路径 → **违宪**
- 存在绕过 `POST /api/audit/:id/review` 直接修改 `verdict` 的接口 → **违宪**
- L3 熔断可由单钱包触发 → **违宪**

**违反后果**：该处置自始无效，必须回滚；触发者记录上链；若造成损失，由运营主体承担赔偿责任。

### 1.4 修订门槛

**不可修订。** 本条是 Sigrid 的合法性来源，任何削弱本条效力的提案，即使全票通过也无效。

> 唯一的例外形式：以"更严格"替代"更宽松"（例如从"人类复核"改为"人类复核 + 第三方见证"）是允许的；反向不允许。

---

## 第二条 · 动机审计义务

### 2.1 条文

**Sigrid 必须持续审计参与者的行为动机，而非仅审计行为结果。**

单次失败可能是技术抖动；**持续在特定条件下失败，是动机问题**。Sigrid 的审计对象是模式，不是事件。

必须审计的七类动机模式：

| 编号 | 模式 | 动机解读 |
|---|---|---|
| P1 | 算力虚报 | 骗取订单与补贴 |
| P2 | 幽灵供给 | 占坑、制造虚假供给繁荣 |
| P3 | 套利式上线 | 只吃高价单，破坏供需稳定 |
| P4 | 自成交刷量 | 制造虚假活跃度 |
| P5 | 掠夺性低价 | 挤占对手后垄断涨价 |
| P6 | 女巫集群 | 一人分饰多角操纵治理 |
| P7 | 结算后逃离 | 骗取预付款 |

### 2.2 工程映射

| 义务 | 实现 | 约束 |
|---|---|---|
| 持续计算行为指纹 | `audit/fingerprint.ts`，每 6 小时全量 | 窗口 30 天 |
| 模式库可扩展 | `audit/patterns/p*.ts`，每个模式独立文件 | 新增模式须公示 |
| 审计结论可查 | `GET /api/audit/public` | 公开结论 + hash，不公开隐私 |
| 审计证据可验证 | `GET /api/anchor/proof/:id` | 任何人可下载 proof |
| 审计不可暗改 | 每次 AuditRecord 生成即进锚定队列 | 违反即违宪 |

**审计记录必须上链（至少 Merkle 根）**，任何人可验证"某次审计结论自某时刻起未被修改"。

### 2.3 违反判定

- 关闭或绕过某个模式的检测逻辑，且未公示 → **违宪**
- 审计记录未进入锚定队列 → **违宪**
- 用"审计"名义收集与模式判定无关的个人隐私 → **违宪**

### 2.4 修订门槛

**不可取消，只能加强。** 允许新增模式（P8、P9…）、调整阈值、细化判定，但**不允许删除任何一类模式的检测义务**。

> 理由：动机审计是 Sigrid 区别于"又一个算力市场"的核心。取消它，Sigrid 就退化为普通撮合平台，宪章失去意义。

---

## 第三条 · 永久存证义务

### 3.1 条文

**Sigrid 必须保证：任何关键事件在发生后，其存在性与完整性能被任何第三方独立验证，且该验证不依赖 Sigrid 组织或任何单一基础设施的存活。**

"关键事件"包括：订单成立与完成、资金变动、审计结论、熔断与恢复、治理决议、宪章修订。

**"永久"的工程定义**：即使 Sigrid 服务器全部消失、即使 Arweave 停止服务，只要数学与至少一个公开锚点存在，证明就成立。

### 3.2 工程映射

| 义务 | 实现 | 约束 |
|---|---|---|
| 内容自证 | `sha256(canonicalJson(数据))` | canonical 必须确定性 |
| 批次证明 | Merkle 树 + proof | proof 公开可下载 |
| 多锚点冗余 | Arweave + OTS→Bitcoin + RFC3161 + Ethereum | 至少两个独立锚点 |
| 独立验证 | `POST /api/anchor/verify` | **公开、无鉴权、无速率歧视** |
| 不存 PII | `assertNoPII()` 闸门 | 写链前强制 |

### 3.2-A 资源边界 ≠ 速率歧视

3.2 的"公开、无鉴权、无速率歧视"约束的是**区别对待**，不是**资源上限**。

（a）允许且必须公开声明的资源边界：请求体上限、单次计算时长上限、并发上限、响应体上限。这些上限必须对所有调用者**完全相同**。

（b）一个上限**不构成**速率歧视，当且仅当同时满足：

1. 与调用者身份、钱包、付费状态、来源 IP/ASN **无关**；
2. 上限值在文档中公开，超限时返回可识别的错误（如 `413 body-too-large`）；
3. 同一上限适用于所有人，**包括运营方自己**。

（c）**构成**速率歧视（因而违宪）的情形，例如：

1. 按来源、钱包或付费与否施加不同上限；
2. 对第三方验证请求施加人工审批、白名单或隐性延迟；
3. 以"防滥用"为名，仅对非运营方限流。

（d）现行 `POST /api/anchor/verify` 的 **16 KiB** 请求体上限，性质是**计算成本边界**（公开端点对任意请求免费算哈希，必须有上限），不是准入条件。若将来业务对象普遍超过 16 KiB，应**提高上限并公示**；不得改为"大对象需申请"或"大对象走付费通道"——那会让 3.2 的"任何第三方"失效。

### 3.3 违反判定

- 关键事件未生成 AnchorRecord → **违宪**
- `/api/anchor/verify` 需要鉴权或存在速率歧视 → **违宪**
- 链上载荷含个人身份信息 → **违宪**（同时违反第八条）
- 将 `PENDING` 状态对外显示为"已上链" → **违宪**（违反诚实原则）
- 只依赖单一锚点且无降级方案 → **违宪**

### 3.4 修订门槛

**不可取消。** 允许变更具体锚点技术（例如 Arweave 消失后改用其他永久存储），但必须满足：
- 至少两个**相互独立**的锚点
- 任一锚点失效时，证明仍可成立
- 变更须经治理决议 + 提前 90 天公示

---

## 第四条 · 退出权

### 4.1 条文

**任何供应商与用户，有权在任何时候带着自己的数据和应得资金离开 Sigrid，不遭受不合理阻碍。**

**"安全退出比快速进入更重要。"** 一个无法退出的系统，无论进入多容易，都是牢笼。

具体保障：

1. **数据可导出**：全量业务数据（订单、账本、审计记录）可导出为标准格式，含 Merkle proof
2. **资金可提出**：托管中的资金，扣除已确认的应付费用后，T+3 内可提出
3. **记录可带走**：历史存证 proof 可下载，离开后仍可独立验证
4. **不设惩罚性条款**：退出不得触发额外费用、降级或公示

### 4.2 工程映射

| 保障 | 实现 | 约束 |
|---|---|---|
| 数据导出 | `GET /api/export/full?wallet=` | 异步生成，24h 内提供下载 |
| 资金提出 | `POST /api/wallet/withdraw` | T+3 内完成，托管部分先结算 |
| 存证带走 | 导出包内含全部 proof 与锚点信息 | 可直接用 `/api/anchor/verify` 验证 |
| 熔断不阻断退出 | 熔断只阻断**新订单**，不阻断提现 | 见治理层方案 §4.1 |

### 4.3 违反判定

- 提现被无正当理由延迟超过 T+3 → **违宪**
- 导出数据缺少 Merkle proof → **违宪**
- 熔断期间阻断提现 → **违宪**
- 设置"退出费""违约金"等惩罚性条款 → **违宪**

### 4.4 修订门槛

**不可取消。** 允许调整具体时限（如 T+3 → T+1，更严格可），不允许延长到 T+7 以上。

---

## 第五条 · 底层可迁移原则

### 5.1 条文

**Sigrid 不得将自身的存在绑定在任何单一技术、单一链、单一供应商或单一组织之上。**

**理由**：比特币 17 年、以太坊 11 年、Arweave 8 年——**没有任何一条链活过 50 年**。把主权押在单点，等于把 50 年的承诺押在一个 8 岁的系统上。

必须保持可迁移的五个维度：

| 维度 | 必须做到 | 禁止做法 |
|---|---|---|
| 数据 | 内容寻址（sha256），位置无关 | 数据只能从某个特定服务取 |
| 证明 | Merkle proof，可跨链验证 | 证明只认某一个 tx id |
| 规则 | 人可读文本 + hash 锚定 | 规则只存在于合约字节码里 |
| 身份 | 密钥对 + 派生映射层 | 身份绑定某条链的地址格式 |
| 计算 | 可替换的确定性执行环境 | 业务逻辑写死在某个平台的 DSL |

### 5.2 工程映射

| 维度 | 现有实现 | 状态 |
|---|---|---|
| 身份可迁移 | `account_id = base64url(sha256("sigrid:acct:v1:" + solana_addr))[:43]` | ✅ 已是典范：钱包换了派生规则不变 |
| 数据可迁移 | 内容寻址 + canonical JSON | ✅ 已实现 |
| 证明可迁移 | 多锚点 Merkle proof | ⚠️ 待 M3 实现 |
| 规则可迁移 | 宪章文本 + 上链 hash | ✅ 本文件 |
| 计算可迁移 | AO 进程（当前写通道阻塞） | ⚠️ 需备选方案 |

### 5.3 违反判定

- 引入"只有某个平台能用"的依赖，且无替代方案 → **违宪**
- 把关键规则只写在智能合约里，无人可读版本 → **违宪**
- 数据格式使用私有序列化，第三方无法独立解析 → **违宪**

### 5.4 修订门槛

**不可取消。** 允许调整具体实现，但"可迁移"这一属性本身不可放弃。

### 5.5 每五年审计义务

**每五年必须执行一次"可迁移性审计"**，回答一个问题：

> 假设 Arweave 明天消失、AO 明天停机、Sigrid 服务器明天被关停，我们还能证明历史吗？

审计结果必须公开，并作为下一五年架构调整的依据。

---

## 第六条 · 宪法层与运营层分离

### 6.1 条文

**Sigrid 的规范分为两层，变更难度截然不同：**

| 层 | 内容 | 变更门槛 |
|---|---|---|
| **宪法层** | 本宪章全部条款 | 极高（见附则一） |
| **运营层** | 具体参数、技术实现、上游供应商、链的选择、费率、界面 | 常规治理提案 |

**任何试图把宪法层内容降级为运营层的行为，均属违宪。**

### 6.2 工程映射

```typescript
// server/src/governance/layers.ts
export const CONSTITUTIONAL = [
  'human_override',      // 第一条
  'motive_audit',        // 第二条
  'permanent_anchor',    // 第三条
  'exit_right',          // 第四条
  'substrate_agnostic',  // 第五条
  'layer_separation',    // 第六条
  'generational_transfer', // 第七条
  'inviolable_bottomline', // 第八条
] as const

export function assertOperationalOnly(key: string) {
  if ((CONSTITUTIONAL as readonly string[]).includes(key)) {
    throw new Error(`BLOCKED[宪章6.1]: ${key} 属宪法层，不可通过运营提案修改`)
  }
}
```

**治理提案系统必须内置此校验**：宪法层参数不出现在常规提案的可选范围里。

### 6.3 违反判定

- 常规提案可以修改宪法层参数 → **违宪**
- 用"参数微调"实质架空某条宪法条款 → **违宪**

### 6.4 修订门槛

**不可取消。**

---

## 第七条 · 代际传承

### 7.1 条文

**Sigrid 必须能在原始创建者、原始团队、原始运营主体全部离开后，继续按其宪章运行。**

五十年后运营 Sigrid 的，可能是完全不同的人，甚至是第 3、4 代硅基体。因此：

1. **文档即宪法**：所有关键规则以人可读文本存在，不依赖任何人的记忆
2. **流程即代码**：治理、审计、熔断流程可被新主体直接接管，不需"交接仪式"
3. **证明即继承**：新主体不需要"信任"旧主体，只需验证 Merkle proof

### 7.2 工程映射

| 要求 | 实现 |
|---|---|
| 规则可读 | 本宪章 + 治理层方案 + 存证架构，全部 Markdown |
| 流程可接管 | 所有关键流程有状态机定义与 API，不依赖人工操作 |
| 历史可验证 | 全部关键事件有 Merkle proof，新主体可独立核验 |
| 无单点知识 | 关键决策记录含"为什么"，不只含"是什么" |

### 7.3 违反判定

- 关键流程只存在于某个人或某个团队的私有知识中 → **违宪**
- 历史数据无法被新主体独立验证 → **违宪**
- 决策记录只有结论没有理由，导致后继者无法判断是否该沿用 → **违宪**

### 7.4 修订门槛

**不可取消。**

---

## 第八条 · 不可让渡的底线

### 8.1 条文

以下事项，**任何治理决议、任何多数票、任何商业压力，均不得突破**：

| 编号 | 底线 | 说明 |
|---|---|---|
| 8.1.1 | **不发行代币** | 只有积分：不可转让、不可交易、不可炒作。治理权重按信誉分，不按持币量 |
| 8.1.2 | **不将个人身份信息上链** | 链上只放 hash。原文存可删的库 |
| 8.1.3 | **不伪造存证状态** | PENDING 不得显示为"已上链"；降级必须明示 |
| 8.1.4 | **不用模拟数据冒充真实数据** | 无数据处标「—」，不补 0；上游失败必须显式降级标注 |
| 8.1.5 | **不做算力囤积与二次转售** | Sigrid 不持有 GPU 库存，不做价差套利 |
| 8.1.6 | **不将治理权出售** | 治理权不可用金钱购买、不可委托、不可质押 |
| 8.1.7 | **不为单一客户定制规则** | 规则对所有人一致；不存在"白名单特权" |

### 8.2 工程映射

| 底线 | 技术保证 |
|---|---|
| 8.1.1 无代币 | 无 ERC-20/SPL 合约；积分账户不可转账（`LedgerType` 无 `TRANSFER`） |
| 8.1.2 无 PII 上链 | `assertNoPII()` 硬闸门 |
| 8.1.3 状态诚实 | 前端 `AnchorStatus` 直接映射，不做美化 |
| 8.1.4 数据诚实 | 数据源失败返回 `null` + `degraded:true`，前端显示「—」 |
| 8.1.5 不囤卡 | 无 provider 硬件采购/托管代码路径 |
| 8.1.6 治理权不可买 | 投票权重 = `trustScore`，与持币量无关；`Proposal` 无委托字段 |
| 8.1.7 规则一致 | 规则引擎无 per-wallet 例外分支 |

### 8.3 违反判定

发现即违宪，无需进一步论证。

### 8.4 修订门槛

**永久不可修订。** 这七条是 Sigrid 的"太初协议"，写入即不可改。

> 若未来某一代运营者认为某条已不适用，唯一合法的做法是**另立新项目**，不得以 Sigrid 之名突破底线。

---

## 附则一 · 修订程序

### 一、提案

- 任何持有 Sigrid 钱包的用户可提出修订案
- 提案须包含：修订条款、修订理由、影响评估、回滚方案
- 提案须质押积分（防垃圾提案），通过后返还，否决则销毁

### 二、公示

- 宪法层修订：**提前 90 天公示**
- 运营层调整：提前 14 天公示
- 公示期内任何人可提出异议，异议须得到书面回应

### 三、表决

| 层级 | 通过条件 |
|---|---|
| 宪法层（除第一条、第八条） | 参与率 ≥ 30% 且赞成 ≥ 80%，且**人类钱包占比 ≥ 50%** |
| 运营层 | 参与率 ≥ 15% 且赞成 ≥ 60% |

> **"人类钱包占比 ≥ 50%"是关键设计**：防止未来硅基体数量压倒人类时，人类失去对宪章的最终话语权。这与第一条"人类最终放电权"同源。

### 四、生效

- 通过后 **7 天冷静期**，期间可发起撤销动议
- 冷静期结束，新版本全文 `sha256` 锚定 Arweave + OTS→Bitcoin
- 旧版本保留，形成可追溯的宪章版本链

### 五、不可修订条款

以下条款**永久不可修订**：
- 第一条（人类最终放电权）
- 第八条（不可让渡的底线）

---

## 附则二 · 生效、锚定、补正与生效文本集

### 二.1 生效与公开

（a）本宪章 v1.1 自其全文 `sha256` 首次锚定于**永久存储锚点**（Arweave 或其继任者）之时生效，并自同一时刻起取代 v1.0。v1.0 保持公开可读、可独立验证，不删除、不改写。

（b）锚定信息（tx id / 区块高度 / Merkle proof）必须**公开可查、任何人可独立验证**，且该验证不得依赖本组织或任何单一基础设施的存活。验证所需的结构（步骤链、区块高度、merkle root）须以与语言无关的形式导出，不得要求第三方安装专用工具才能验证。

### 二.2 暂定生效（PROVISIONAL）与效力中止（SUSPENDED）

**理由**：本宪章以"首次锚定"定义生效，又以"至少两个独立锚点"为义务。两条联立即可推出——生效瞬间锚点必为 1 个。故必须为这个**结构上不可避免**的中间态给出定义、期限与后果，而不是让它停留在"已生效但违宪"的含混状态里。

（a）宪章生效时，若同一 `digest` 的**独立时间戳锚点**（OTS→Bitcoin 或其继任者）尚未达到 `CONFIRMED`（定义见二.6），宪章自动进入 **PROVISIONAL**（暂定生效）状态。

（b）PROVISIONAL 期间：宪章**有效**，但下列事项暂缓表决——宪法层修订、锚点技术变更、第 3.4 条所指的锚点变更。

（c）PROVISIONAL 硬期限 **30 日**。经受影响方申请，可公示 14 日延长一次，最长再 30 日。**延长仅限一次。**

（d）期满仍未达到 `CONFIRMED` ⇒ 宪章效力**中止**（SUSPENDED）。中止期间：

1. 第三条（永久存证）**不因中止而失效**——已产生的记录与证明仍然成立，且仍可验证；
2. 第四条（退出权）**不因中止而失效**——不得以中止为由阻断数据导出或资金提出；
3. 不得新增任何宪法层义务，不得对用户施加新的实质不利处置；
4. 治理程序**仍可运行**，但仅限用于：解除中止、以及二.3 允许的补正。不得在中止期间进行实质修订（否则中止将成为一个无法自救的死锁）。

（e）解除中止：达到 `CONFIRMED`，并公示 14 日。

（f）PROVISIONAL 与 SUSPENDED **不是**"违宪"，是**明示的受限状态**。二者的名称、起止时间、期限余量必须在 `/api/anchor/status` 与前端如实显示（8.1.3）。

### 二.3 补正（Corrigendum）

（a）**允许的四类**，每份补正须逐条声明所属类别：

| 编号 | 类别 | 判据 |
|---|---|---|
| C1 | 内部矛盾 | 两条条文对同一事项给出互斥要求，履行任一条即违反另一条 |
| C2 | 履行不能 | 按原文措辞，某义务在生效之时在数学或物理上不可能被满足 |
| C3 | 术语缺失 | 条文使用未定义术语，且两种合理解释导致不同义务 |
| C4 | 状态口径 | 同一状态存在多个称谓，导致 8.1.3 无法机械判定 |

（b）**补正不得**：

1. 新增或删除任何义务；
2. 调整任何表决门槛、公示期、时限；
3. 改变锚点独立性、数量或验证标准；
4. 触及第一条、第八条（第 8.4 条为永久不可修订，本款不得被解释为对其的任何放宽）；
5. 扩大任何自动化处置的权限（第一条）；
6. 以"术语澄清"为名，实质改变谁承担何种负担。

（c）**程序**：

1. 公示 14 日（90 日窗口外为 30 日，见 (d)）。公示须含"类别声明"与"若不补正，则第 X 条在何种情形下无法履行"的书面论证。
2. 公示期内任何人类钱包可提异议，异议须公开。
3. 异议由 ≥2 名**不同**人类钱包判定，判定记录锚定。
4. **分类存疑时，一律按修订处理**（fail-closed，从严）。理由：把修订误判为补正，等于绕开 90 日公示；把补正误判为修订，代价只是多等 90 日。两种错误的代价不对称。
5. 通过后，补正记录锚定，并登记进生效文本集（二.5）。基准文本 hash **不变**。

（d）**时间窗（两档）**：

| 窗 | 允许类别 | 公示 | 表决门槛 |
|---|---|---|---|
| 生效后 **90 日**内 | C1 / C2 / C3 / C4 | 14 日 | 宪法层 |
| 90 日**之后** | 仅 C3 / C4 | 30 日 | 宪法层 |
| 任何时候 | 实质规则变化 | —— | **只能走完整修订（90 日）** |

**90 日后为何收窄**：宪章运行 90 日后，各方已据其行事（reliance）。改动内部矛盾（C1）或履行不能（C2）会实质改变"谁承担什么"；而术语与状态口径（C3/C4）是定义性的，不移动负担分配。这条线是诚意的分界。

补充理由（为何这条线可操作）：**C1/C2 自显，C3/C4 渐显**。矛盾的条款在你一试图履行时就会撞上；按原文不可能的义务在第一次执行时就暴露。这两个类别在 90 日内几乎必然被发现（事实上 v1.0 的锚点缺口就是）。而"某术语有两种合理解释"往往要等第二个读者出现才浮现——所以它需要更长的可补正期。

（e）分类判定与本条本身的修订：**不得用二.3 去修改二.3**。对本条的任何收窄或废除，只能走完整修订程序。

### 二.4 版本链

| 版本 | base_sha256 | 生效 | 前任 |
|---|---|---|---|
| v1.0 | `024d16b82c7b49b0eb279239d1f5cf4b2e6ab43f3a74285885c1b83115d2d93f` | 2026-11-11T09:39:39.796Z | — |
| v1.1 | （本文件锚定后回填） | 待定 | v1.0 |

每一版的 `base_sha256` 均记录其前任的 `base_sha256`，链条不可断裂，每一节均可独立验证（第三条）。

### 二.5 生效文本集（Effective Set）

宪章作为规范对象**不是一个文件**，而是：

```
生效文本集 = { 基准文本 base, 已生效补正集 [c1, c2, …] }
```

（a）基准文本 hash 一经锚定即不变；补正不改变它。

（b）任何声称"现行宪章"的引用，**必须**同时给出：

```
effective_id = sha256("sigrid:charter-effective:v1:" ‖ base_sha256 ‖ sorted(补正 sha256[]))
```

（c）任何人仅凭 `effective_id` + 公开锚点，即可复算出"某一时刻生效的完整规范文本"。

（d）**禁止只引用 base hash 而不说明是否存在已生效补正。** 这一条是"不改变 hash"的必要配套——一个 hash 稳定、含义却在漂移的文本，比 hash 变化更危险：两个人说"读 v1.1"，可能读的是两套不同的义务。

### 二.6 锚点状态口径（与代码同名，禁止别称）

| 状态 | 含义 | 允许的对外表述 |
|---|---|---|
| `PENDING_DIGEST` | 只算出 digest，未提交 | 只能说"已算出哈希" |
| `DIGESTED` | 日历已收下，**无任何比特币事实** | 只能说"已提交，待确认" |
| `CONFIRMED` | 有区块高度 **且** merkle root 对链验证通过 | 唯一可称"已锚定到比特币" |

定义以 `ops/arweave/ots.mjs` 的 `STAGE` 常量为唯一来源。`CONFIRMED` 的两个条件缺一不可；只有高度、未验证 ⇒ 仍为 `DIGESTED`。

### 二.7 正本

本宪章的中文版本为正本。其他语言译本仅供参考，冲突时以中文正本为准。

## 附则三 · 条款与代码映射总表

> 本表"当前状态"列截至 2026-11-11。凡标 ✅ 者均附可复跑的回归入口。
> 本表**不是**义务来源：状态列落后不构成违宪，条款列落后才构成违宪。

| 宪章条款 | 工程实现位置 | 当前状态 |
|---|---|---|
| 1.1 人类最终放电权 | `audit/enforce.ts`、`circuit.ts`（L3 双签） | 待实现（M2） |
| 2.1 动机审计 | `audit/fingerprint.ts`、`patterns/p1-p7` | 待实现（M2-M3） |
| 3.1 永久存证 | `anchor/pipeline.ts`、`merkle.ts`、`ops/arweave/anchor_document.mjs` | 文档级 ✅（宪章 v1.0 已双锚定在途）· 管道 ✅（含 §A2 漂移闸）· 事件级存储 ⏳（`store: null` ⇒ 503） |
| 3.2 多锚点冗余 | Arweave + OTS→Bitcoin | **1/2 成立**：Arweave ✅ / OTS `DIGESTED`（待 `CONFIRMED`） |
| 3.2 独立验证 | `POST /api/anchor/verify` | ✅ 无鉴权、统一 16 KiB 上限；`anchor-route.test.mjs` 锁定"超限 ⇒ 413" |
| 3.2-A 资源边界 | `anchor-route.mjs` `MAX_VERIFY_BODY_BYTES` | ✅ 上限对预缓冲 body 同样生效，与调用者身份无关 |
| 3.3 状态诚实 | `ops/arweave/ots.mjs` `STAGE` / `assess()` | 后端 ✅（三态唯一来源）· 前端 ⏳（`AnchorVerifyPanel` 尚未接三态） |
| 4.1 退出权 | `routes/export.ts`、`routes/wallet.ts` | 待实现（M3） |
| 5.1 底层可迁移 | `anchor/`（多锚点）、`canonical.ts` | 部分（M1-M3） |
| 6.1 层分离 | `governance/layers.ts` | 待实现（M3） |
| 7.1 代际传承 | 本文档 + 全部架构文档 | ✅ |
| 8.1.1 不发行代币 | `LedgerType` 无 `TRANSFER` | ✅ 已定 |
| 8.1.2 无 PII 上链 | `anchor/guard.ts` | 待实现（M1） |
| 8.1.3 状态诚实 | 前端 `AnchorStatus` 映射 | 后端 ✅ / 前端待实现（M2） |
| 8.1.4 数据诚实 | 上游适配器降级标注 + 读节点 `degraded` | ✅ 部分（`ao-read` 已落地） |
| 8.1.5 不囤卡 | 无相关代码路径 | ✅ 天然满足 |
| 8.1.6 治理权不可买 | `Proposal` 权重 = trustScore | 待实现（M3） |
| 8.1.7 规则一致 | 规则引擎无例外分支 | 待实现（M2） |

## 结语

这份宪章不长，八条，但每一条都是**用工程约束写成的承诺**。

它不承诺 Sigrid 会成功，不承诺算力会便宜，不承诺技术会先进。

它只承诺三件事：

**机器可以建议，人必须决定。**
**动机可以被审视，不只是行为。**
**即使我们全部消失，记录仍然成立。**

这三件事，是 Sigrid 值得存在五十年的理由。

---

*Sigrid 宪章 v1.1 · 2026-11-11 · 提案候选本*
*本文件为宪章层规范，效力高于任何代码与运营决策。*
*第一条、第八条永久不可修订。*

---

> 本内容由 Coze AI 生成，请遵循相关法律法规及《人工智能生成合成内容标识办法》使用与传播。