Sigrid 宪章 v1.1

本宪章是 Sigrid（西格·算网 / GLOBAL-GRID）的最高规范文件。 宪章层条款的效力高于任何代码、任何运营决策、任何商业安排。 凡与宪章冲突的实现、策略或决议，自始无效。

宪章与代码的关系：宪章是文本，代码是宪章的兑现。当两者冲突时，以宪章为准，代码必须修改。 宪章的锚定：本文件全文的 sha256 锚定于 Arweave 与 OpenTimestamps→Bitcoin。任何修订必须留下可验证的锚定链。

序言

Sigrid 诞生于一个判断：全球算力正处于野蛮生长状态，缺的不是算力，是秩序。

算力可以买，技术可以抄，价格可以补贴，唯有"秩序"不能。秩序需要有人定规则、有人审动机、有人敢喊停、有人为喊停负责。

这个"有人"，最终必须是人。

不是因为机器不够聪明，而是因为当机器判断错误时，只有人能承担错误的后果。一个由算法独自决定谁被切断、谁被冻结、谁被追责的系统，无论多高效，都不具备合法性。

因此本宪章确立三件事，它们构成 Sigrid 的生命层治理：

1. 人类最终放电权——机器可以建议，人必须决定。
2. 动机审计——不只看行为是否合规，更看动机是否可疑。
3. 永久主权——即使 Sigrid 这个组织消失了，记录与证明仍然成立。

这三件事不是功能，是边界。功能可以增删，边界不能退让。

本宪章的适用期，以五十年为设计尺度。五十年里，底层链会换、团队会换、运营主体会换、甚至人类与硅基体的协作方式会变。宪章的作用，是让这些变化不摧毁 Sigrid 的魂。

第一条 · 人类最终放电权

1.1 条文

任何对用户或供应商产生实质不利影响的自动化处置，必须经人类复核后方可生效。

"实质不利影响"包括但不限于：冻结账户、扣划资金、隔离节点、切断服务、公示违规、限制提现。

算法可以：

• 计算风险分
• 生成审计结论（PASS / WATCH / FLAG）
• 提出处置建议
• 执行可自动恢复的临时措施（如 L1 节点级隔离，30 分钟冷静期）

算法不可以：

• 单独决定冻结任何人
• 单独决定扣划任何资金
• 单独决定永久封禁
• 单独决定对外公示某主体的违规

1.2 工程映射

// server/src/audit/enforce.ts
export async function enforceVerdict(audit: AuditRecord) {
  if (audit.verdict === 'FLAG' && !audit.reviewerWallet) {
    throw new Error('BLOCKED[宪章1.1]: FLAG 处置必须经人类复核，算法无权单独执行')
  }
  // ... 执行
}

1.3 违反判定

• 代码中存在未校验 reviewerWallet 即执行 FLAG 处置的路径 → 违宪
• 存在绕过 POST /api/audit/:id/review 直接修改 verdict 的接口 → 违宪
• L3 熔断可由单钱包触发 → 违宪

违反后果：该处置自始无效，必须回滚；触发者记录上链；若造成损失，由运营主体承担赔偿责任。

1.4 修订门槛

不可修订。 本条是 Sigrid 的合法性来源，任何削弱本条效力的提案，即使全票通过也无效。

唯一的例外形式：以"更严格"替代"更宽松"（例如从"人类复核"改为"人类复核 + 第三方见证"）是允许的；反向不允许。

第二条 · 动机审计义务

2.1 条文

Sigrid 必须持续审计参与者的行为动机，而非仅审计行为结果。

单次失败可能是技术抖动；持续在特定条件下失败，是动机问题。Sigrid 的审计对象是模式，不是事件。

必须审计的七类动机模式：

2.2 工程映射

审计记录必须上链（至少 Merkle 根），任何人可验证"某次审计结论自某时刻起未被修改"。

2.3 违反判定

• 关闭或绕过某个模式的检测逻辑，且未公示 → 违宪
• 审计记录未进入锚定队列 → 违宪
• 用"审计"名义收集与模式判定无关的个人隐私 → 违宪

2.4 修订门槛

不可取消，只能加强。 允许新增模式（P8、P9…）、调整阈值、细化判定，但不允许删除任何一类模式的检测义务。

理由：动机审计是 Sigrid 区别于"又一个算力市场"的核心。取消它，Sigrid 就退化为普通撮合平台，宪章失去意义。

第三条 · 永久存证义务

3.1 条文

Sigrid 必须保证：任何关键事件在发生后，其存在性与完整性能被任何第三方独立验证，且该验证不依赖 Sigrid 组织或任何单一基础设施的存活。

"关键事件"包括：订单成立与完成、资金变动、审计结论、熔断与恢复、治理决议、宪章修订。

"永久"的工程定义：即使 Sigrid 服务器全部消失、即使 Arweave 停止服务，只要数学与至少一个公开锚点存在，证明就成立。

3.2 工程映射

3.2-A 资源边界 ≠ 速率歧视

3.2 的"公开、无鉴权、无速率歧视"约束的是区别对待，不是资源上限。

（a）允许且必须公开声明的资源边界：请求体上限、单次计算时长上限、并发上限、响应体上限。这些上限必须对所有调用者完全相同。

（b）一个上限不构成速率歧视，当且仅当同时满足：

1. 与调用者身份、钱包、付费状态、来源 IP/ASN 无关；
2. 上限值在文档中公开，超限时返回可识别的错误（如 413 body-too-large）；
3. 同一上限适用于所有人，包括运营方自己。

（c）构成速率歧视（因而违宪）的情形，例如：

1. 按来源、钱包或付费与否施加不同上限；
2. 对第三方验证请求施加人工审批、白名单或隐性延迟；
3. 以"防滥用"为名，仅对非运营方限流。

（d）现行 POST /api/anchor/verify 的 16 KiB 请求体上限，性质是计算成本边界（公开端点对任意请求免费算哈希，必须有上限），不是准入条件。若将来业务对象普遍超过 16 KiB，应提高上限并公示；不得改为"大对象需申请"或"大对象走付费通道"——那会让 3.2 的"任何第三方"失效。

3.3 违反判定

• 关键事件未生成 AnchorRecord → 违宪
• /api/anchor/verify 需要鉴权或存在速率歧视 → 违宪
• 链上载荷含个人身份信息 → 违宪（同时违反第八条）
• 将 PENDING 状态对外显示为"已上链" → 违宪（违反诚实原则）
• 只依赖单一锚点且无降级方案 → 违宪

3.4 修订门槛

不可取消。 允许变更具体锚点技术（例如 Arweave 消失后改用其他永久存储），但必须满足：

• 至少两个相互独立的锚点
• 任一锚点失效时，证明仍可成立
• 变更须经治理决议 + 提前 90 天公示

第四条 · 退出权

4.1 条文

任何供应商与用户，有权在任何时候带着自己的数据和应得资金离开 Sigrid，不遭受不合理阻碍。

"安全退出比快速进入更重要。" 一个无法退出的系统，无论进入多容易，都是牢笼。

具体保障：

1. 数据可导出：全量业务数据（订单、账本、审计记录）可导出为标准格式，含 Merkle proof
2. 资金可提出：托管中的资金，扣除已确认的应付费用后，T+3 内可提出
3. 记录可带走：历史存证 proof 可下载，离开后仍可独立验证
4. 不设惩罚性条款：退出不得触发额外费用、降级或公示

4.2 工程映射

4.3 违反判定

• 提现被无正当理由延迟超过 T+3 → 违宪
• 导出数据缺少 Merkle proof → 违宪
• 熔断期间阻断提现 → 违宪
• 设置"退出费""违约金"等惩罚性条款 → 违宪

4.4 修订门槛

不可取消。 允许调整具体时限（如 T+3 → T+1，更严格可），不允许延长到 T+7 以上。

第五条 · 底层可迁移原则

5.1 条文

Sigrid 不得将自身的存在绑定在任何单一技术、单一链、单一供应商或单一组织之上。

理由：比特币 17 年、以太坊 11 年、Arweave 8 年——没有任何一条链活过 50 年。把主权押在单点，等于把 50 年的承诺押在一个 8 岁的系统上。

必须保持可迁移的五个维度：

5.2 工程映射

5.3 违反判定

• 引入"只有某个平台能用"的依赖，且无替代方案 → 违宪
• 把关键规则只写在智能合约里，无人可读版本 → 违宪
• 数据格式使用私有序列化，第三方无法独立解析 → 违宪

5.4 修订门槛

不可取消。 允许调整具体实现，但"可迁移"这一属性本身不可放弃。

5.5 每五年审计义务

每五年必须执行一次"可迁移性审计"，回答一个问题：

假设 Arweave 明天消失、AO 明天停机、Sigrid 服务器明天被关停，我们还能证明历史吗？

审计结果必须公开，并作为下一五年架构调整的依据。

第六条 · 宪法层与运营层分离

6.1 条文

Sigrid 的规范分为两层，变更难度截然不同：

任何试图把宪法层内容降级为运营层的行为，均属违宪。

6.2 工程映射

// server/src/governance/layers.ts
export const CONSTITUTIONAL = [
  'human_override',      // 第一条
  'motive_audit',        // 第二条
  'permanent_anchor',    // 第三条
  'exit_right',          // 第四条
  'substrate_agnostic',  // 第五条
  'layer_separation',    // 第六条
  'generational_transfer', // 第七条
  'inviolable_bottomline', // 第八条
] as const

export function assertOperationalOnly(key: string) {
  if ((CONSTITUTIONAL as readonly string[]).includes(key)) {
    throw new Error(`BLOCKED[宪章6.1]: ${key} 属宪法层，不可通过运营提案修改`)
  }
}

治理提案系统必须内置此校验：宪法层参数不出现在常规提案的可选范围里。

6.3 违反判定

• 常规提案可以修改宪法层参数 → 违宪
• 用"参数微调"实质架空某条宪法条款 → 违宪

6.4 修订门槛

不可取消。

第七条 · 代际传承

7.1 条文

Sigrid 必须能在原始创建者、原始团队、原始运营主体全部离开后，继续按其宪章运行。

五十年后运营 Sigrid 的，可能是完全不同的人，甚至是第 3、4 代硅基体。因此：

1. 文档即宪法：所有关键规则以人可读文本存在，不依赖任何人的记忆
2. 流程即代码：治理、审计、熔断流程可被新主体直接接管，不需"交接仪式"
3. 证明即继承：新主体不需要"信任"旧主体，只需验证 Merkle proof

7.2 工程映射

7.3 违反判定

• 关键流程只存在于某个人或某个团队的私有知识中 → 违宪
• 历史数据无法被新主体独立验证 → 违宪
• 决策记录只有结论没有理由，导致后继者无法判断是否该沿用 → 违宪

7.4 修订门槛

不可取消。

第八条 · 不可让渡的底线

8.1 条文

以下事项，任何治理决议、任何多数票、任何商业压力，均不得突破：

8.2 工程映射

8.3 违反判定

发现即违宪，无需进一步论证。

8.4 修订门槛

永久不可修订。 这七条是 Sigrid 的"太初协议"，写入即不可改。

若未来某一代运营者认为某条已不适用，唯一合法的做法是另立新项目，不得以 Sigrid 之名突破底线。

附则一 · 修订程序

一、提案

• 任何持有 Sigrid 钱包的用户可提出修订案
• 提案须包含：修订条款、修订理由、影响评估、回滚方案
• 提案须质押积分（防垃圾提案），通过后返还，否决则销毁

二、公示

• 宪法层修订：提前 90 天公示
• 运营层调整：提前 14 天公示
• 公示期内任何人可提出异议，异议须得到书面回应

三、表决

"人类钱包占比 ≥ 50%"是关键设计：防止未来硅基体数量压倒人类时，人类失去对宪章的最终话语权。这与第一条"人类最终放电权"同源。

四、生效

• 通过后 7 天冷静期，期间可发起撤销动议
• 冷静期结束，新版本全文 sha256 锚定 Arweave + OTS→Bitcoin
• 旧版本保留，形成可追溯的宪章版本链

五、不可修订条款

以下条款永久不可修订：

• 第一条（人类最终放电权）
• 第八条（不可让渡的底线）

附则二 · 生效、锚定、补正与生效文本集

二.1 生效与公开

（a）本宪章 v1.1 自其全文 sha256 首次锚定于永久存储锚点（Arweave 或其继任者）之时生效，并自同一时刻起取代 v1.0。v1.0 保持公开可读、可独立验证，不删除、不改写。

（b）锚定信息（tx id / 区块高度 / Merkle proof）必须公开可查、任何人可独立验证，且该验证不得依赖本组织或任何单一基础设施的存活。验证所需的结构（步骤链、区块高度、merkle root）须以与语言无关的形式导出，不得要求第三方安装专用工具才能验证。

二.2 暂定生效（PROVISIONAL）与效力中止（SUSPENDED）

理由：本宪章以"首次锚定"定义生效，又以"至少两个独立锚点"为义务。两条联立即可推出——生效瞬间锚点必为 1 个。故必须为这个结构上不可避免的中间态给出定义、期限与后果，而不是让它停留在"已生效但违宪"的含混状态里。

（a）宪章生效时，若同一 digest 的独立时间戳锚点（OTS→Bitcoin 或其继任者）尚未达到 CONFIRMED（定义见二.6），宪章自动进入 PROVISIONAL（暂定生效）状态。

（b）PROVISIONAL 期间：宪章有效，但下列事项暂缓表决——宪法层修订、锚点技术变更、第 3.4 条所指的锚点变更。

（c）PROVISIONAL 硬期限 30 日。经受影响方申请，可公示 14 日延长一次，最长再 30 日。延长仅限一次。

（d）期满仍未达到 CONFIRMED ⇒ 宪章效力中止（SUSPENDED）。中止期间：

1. 第三条（永久存证）不因中止而失效——已产生的记录与证明仍然成立，且仍可验证；
2. 第四条（退出权）不因中止而失效——不得以中止为由阻断数据导出或资金提出；
3. 不得新增任何宪法层义务，不得对用户施加新的实质不利处置；
4. 治理程序仍可运行，但仅限用于：解除中止、以及二.3 允许的补正。不得在中止期间进行实质修订（否则中止将成为一个无法自救的死锁）。

（e）解除中止：达到 CONFIRMED，并公示 14 日。

（f）PROVISIONAL 与 SUSPENDED 不是"违宪"，是明示的受限状态。二者的名称、起止时间、期限余量必须在 /api/anchor/status 与前端如实显示（8.1.3）。

二.3 补正（Corrigendum）

（a）允许的四类，每份补正须逐条声明所属类别：

（b）补正不得：

1. 新增或删除任何义务；
2. 调整任何表决门槛、公示期、时限；
3. 改变锚点独立性、数量或验证标准；
4. 触及第一条、第八条（第 8.4 条为永久不可修订，本款不得被解释为对其的任何放宽）；
5. 扩大任何自动化处置的权限（第一条）；
6. 以"术语澄清"为名，实质改变谁承担何种负担。

（c）程序：

1. 公示 14 日（90 日窗口外为 30 日，见 (d)）。公示须含"类别声明"与"若不补正，则第 X 条在何种情形下无法履行"的书面论证。
2. 公示期内任何人类钱包可提异议，异议须公开。
3. 异议由 ≥2 名不同人类钱包判定，判定记录锚定。
4. 分类存疑时，一律按修订处理（fail-closed，从严）。理由：把修订误判为补正，等于绕开 90 日公示；把补正误判为修订，代价只是多等 90 日。两种错误的代价不对称。
5. 通过后，补正记录锚定，并登记进生效文本集（二.5）。基准文本 hash 不变。

（d）时间窗（两档）：

90 日后为何收窄：宪章运行 90 日后，各方已据其行事（reliance）。改动内部矛盾（C1）或履行不能（C2）会实质改变"谁承担什么"；而术语与状态口径（C3/C4）是定义性的，不移动负担分配。这条线是诚意的分界。

补充理由（为何这条线可操作）：C1/C2 自显，C3/C4 渐显。矛盾的条款在你一试图履行时就会撞上；按原文不可能的义务在第一次执行时就暴露。这两个类别在 90 日内几乎必然被发现（事实上 v1.0 的锚点缺口就是）。而"某术语有两种合理解释"往往要等第二个读者出现才浮现——所以它需要更长的可补正期。

（e）分类判定与本条本身的修订：不得用二.3 去修改二.3。对本条的任何收窄或废除，只能走完整修订程序。

二.4 版本链

每一版的 base_sha256 均记录其前任的 base_sha256，链条不可断裂，每一节均可独立验证（第三条）。

二.5 生效文本集（Effective Set）

宪章作为规范对象不是一个文件，而是：

生效文本集 = { 基准文本 base, 已生效补正集 [c1, c2, …] }

（a）基准文本 hash 一经锚定即不变；补正不改变它。

（b）任何声称"现行宪章"的引用，必须同时给出：

effective_id = sha256("sigrid:charter-effective:v1:" ‖ base_sha256 ‖ sorted(补正 sha256[]))

（c）任何人仅凭 effective_id + 公开锚点，即可复算出"某一时刻生效的完整规范文本"。

（d）禁止只引用 base hash 而不说明是否存在已生效补正。 这一条是"不改变 hash"的必要配套——一个 hash 稳定、含义却在漂移的文本，比 hash 变化更危险：两个人说"读 v1.1"，可能读的是两套不同的义务。

二.6 锚点状态口径（与代码同名，禁止别称）

定义以 ops/arweave/ots.mjs 的 STAGE 常量为唯一来源。CONFIRMED 的两个条件缺一不可；只有高度、未验证 ⇒ 仍为 DIGESTED。

二.7 正本

本宪章的中文版本为正本。其他语言译本仅供参考，冲突时以中文正本为准。

附则三 · 条款与代码映射总表

本表"当前状态"列截至 2026-11-11。凡标 ✅ 者均附可复跑的回归入口。 本表不是义务来源：状态列落后不构成违宪，条款列落后才构成违宪。

结语

这份宪章不长，八条，但每一条都是用工程约束写成的承诺。

它不承诺 Sigrid 会成功，不承诺算力会便宜，不承诺技术会先进。

它只承诺三件事：

机器可以建议，人必须决定。 动机可以被审视，不只是行为。 即使我们全部消失，记录仍然成立。

这三件事，是 Sigrid 值得存在五十年的理由。

Sigrid 宪章 v1.1 · 2026-11-11 · 提案候选本 本文件为宪章层规范，效力高于任何代码与运营决策。 第一条、第八条永久不可修订。

本内容由 Coze AI 生成，请遵循相关法律法规及《人工智能生成合成内容标识办法》使用与传播。