Havenlon｜AI 时代的执行安全语言体系（三五）：共同治理的基本结构

Working Draft · AI Era Execution Security Language

This article is part of the Havenlon Execution Security Language project. The terminology and definitions presented here describe the current working draft and may evolve as the discipline matures.

AI 时代执行安全语言体系（工作草案）

本系列旨在建立 AI 时代执行安全的共同语言。 本文中的术语与定义代表当前工作草案， 将随着理论研究、工程实践和社区讨论持续修订。

治理不是简单地给执行流程增加几个审批人。

它真正处理的是：

• 谁可以提出动作；

• 谁可以表达同意；

• 谁可以修改规则；

• 谁可以改变成员；

• 谁可以恢复系统；

• 哪些角色必须共同参与；

• 任何单方最多能够产生什么影响；

• 当治理角色失陷时，系统还剩下哪些独立约束。

传统系统经常把治理压缩在一个 Owner、超级管理员或 SaaS 后台中。

这个主体可能同时拥有：

• 创建和删除成员；

• 修改审批阈值；

• 调整 Policy；

• 重置身份；

• 恢复设备；

• 改变执行额度；

• 查看和删除日志；

• 发起并批准高风险动作。

这种结构表面上有治理，实际上只是把执行权集中到了一个更高权限角色中。

Havenlon 所说的共同治理，不是：

多个人在同一个页面上点同意。

而是：

多个权力有限、信任相对独立的角色，共同约束最终执行，其中任何单方都不能独自完成灾难性动作。

共同治理的价值不在于“多数人一定正确”，而在于：

• 单一身份失陷不足以完成灾难；

• 单一角色的判断不能代表整个系统；

• 规则制定者不能直接绕过规则；

• 同意权不能自动继承执行权；

• 恢复权不能成为超级后门；

• 多方共同参与时，仍然存在明确作用域、时效和证据。

1. Governance｜治理

一句话定义

治理，是决定系统中的角色、权力、规则、阈值、恢复方式和执行约束如何建立、变化与生效的过程。

严格定义

治理处理的不是某一个孤立动作，而是：

哪些主体在什么条件下，能够影响未来的执行结果。

治理通常包括：

• 成员管理；

• 角色分配；

• 权限范围；

• 审批规则；

• 治理阈值；

• Policy 上限；

• 执行器管理；

• 密钥槽位管理；

• 恢复机制；

• 设备替换；

• 紧急状态；

• 治理变更留证。

治理的风险通常高于普通业务操作，因为治理可以改变后续所有执行的权力结构。

上位概念

• 权力管理

• 执行控制

• 组织约束

下位概念

• 共同治理

• 共享治理

• 治理状态

• 治理权

• 治理约束

• 治理变更

• 治理恢复

相关概念

• Governance Intent

• Governance Boundary

• Governance Capture

• Separation of Governance and Execution

• Owner ≠ God

容易混淆的概念

治理不等于：

• 管理员配置；

• 普通审批；

• 用户管理界面；

• 多签；

• 多数投票；

• Owner 的自由裁量权。

治理必须限制治理者自身，而不是只让治理者管理其他人。

约束机制

• 角色分离；

• 多方参与；

• 独立同意；

• 阈值；

• 延迟生效；

• 物理恢复；

• 治理证据；

• 治理与执行分离。

结果目标

建立一个可变化、可恢复，但不能被单方即时重写的权力结构。

在 Havenlon 中

成员、Owner、阈值、Policy 上限、设备、执行器和恢复关系都属于治理状态，不能被普通管理员配置直接替代。

2. Joint Governance｜共同治理

一句话定义

共同治理，是多个权力有限、信任相对独立的角色共同形成执行约束，其中任何单方都不能独立完成灾难性动作的治理结构。

严格定义

共同治理至少应满足：

1. 参与方拥有不同职责；

2. 每一方权力有限；

3. 参与方不完全处于同一控制域；

4. 单方允许不构成充分条件；

5. 必要角色缺失时不能执行；

6. 同意必须绑定具体 Intent；

7. 同意具有范围和有效期；

8. 治理结果不能绕过本地执行边界；

9. 治理变更本身也受到治理；

10. 所有关键治理行为留下证据。

共同治理并不要求所有动作都由多人处理。

低风险、可逆、损失有限的动作可以采用较轻治理。

高风险、不可逆或治理性动作需要更高阈值、更强角色分离和更多独立约束。

上位概念

• Governance

• 分布式约束

下位概念

• 多人共同治理

• 多角色共同治理

• 人机共同治理

• 本地与远程共同治理

• 物理与数字共同治理

相关概念

• Shared Governance

• Independent Consent

• Multi-Party Constraint

• Governance Threshold

• No Unilateral Catastrophic Authority

容易混淆的概念

共同治理不等于：

• 所有人共享同一个管理员账户；

• 多个审批人处于同一后台控制下；

• 多个人使用同一设备确认；

• 简单多数票；

• 把同一种执行权复制给更多人。

约束机制

• 不同角色；

• 独立身份；

• 独立设备；

• 不同信任域；

• 阈值；

• 角色组合要求；

• 意图绑定；

• 执行前最终验证。

结果目标

让任何一个身份、设备或治理角色失陷后，都不能直接控制最终执行。

在 Havenlon 中

Owner、Member、Approver、Arbiter、Executor 和物理恢复角色承担不同职责。共同治理的结果仍需经过本地仲裁和执行边界。

3. Shared Governance｜共享治理

一句话定义

共享治理，是治理责任、治理状态和治理参与权由多个主体共同持有，而不是集中在单一 Owner 或管理员手中的结构。

严格定义

共享治理强调：

• 治理信息不属于某一个人；

• 治理权不完全属于单一管理员；

• 重要变更需要多个治理主体参与；

• 治理责任可以持续存在于组织中；

• 某个成员离开后治理结构仍可恢复；

• 系统不会因单一 Owner 不可用而永久失控。

共享治理可以存在于一个组织内部，也可以跨组织、跨设备或跨地域建立。

上位概念

• Governance

• 权力共享

下位概念

• 组织共享治理

• 多设备共享治理

• 多地域共享治理

• 多机构共享治理

• 共享恢复治理

相关概念

• Joint Governance

• Governance State

• Governance Authority

• Member

• Governance Recovery

与共同治理的区别

共享治理回答：

治理权和治理责任由谁共同持有？

共同治理回答：

多个治理角色如何共同约束一次执行或治理变更？

一个系统可以名义上共享治理，但如果某个超级管理员仍可覆盖所有人，就不具备真正的共同治理。

约束机制

• 多成员治理状态；

• 明确角色；

• 权力分配；

• 成员替换；

• 治理连续性；

• 无单一永久控制者；

• 独立证据。

结果目标

避免治理能力因单一 Owner 缺失、失陷或作恶而整体失控。

在 Havenlon 中

治理状态由本地设备、治理成员和协同系统共同维护，但最终治理事实不能只由 SaaS 单方面定义。

4. Governance State｜治理状态

一句话定义

治理状态，是当前系统中成员、角色、阈值、权限范围、Policy 上限、恢复关系和设备关系的有效集合。

严格定义

治理状态至少可能包含：

• 当前 Owner；

• 当前成员；

• 角色分配；

• 审批阈值；

• 治理法定数量；

• 成员有效状态；

• Policy 上限；

• 执行器列表；

• 密钥槽位关系；

• 设备身份；

• 恢复角色；

• 治理版本；

• 生效时间；

• 待生效治理变更。

治理状态不是一个简单成员表。

它决定：

当前谁可以参与什么，以及需要满足哪些组合条件。

上位概念

• Governance

• 系统状态

下位概念

• 成员状态

• Owner 状态

• 角色状态

• 阈值状态

• 设备治理状态

• 恢复状态

相关概念

• Governance Change

• Governance Intent

• State-Bound Judgment

• Governance Boundary

• Governance Capture

风险来源

• 状态不同步；

• SaaS 与本地状态不一致；

• 成员撤销未生效；

• 旧状态重放；

• 阈值被静默修改；

• 管理员直接改数据库；

• 治理版本回滚。

约束机制

• 状态版本；

• Governance Hash；

• 生效时间；

• 防回滚；

• 本地持久状态；

• 多方签名；

• 变更证据链。

结果目标

让每次执行都明确依据哪一个治理状态作出判断。

在 Havenlon 中

治理状态必须由本地设备维护并与 SaaS 协同状态核对，不能仅依赖云端数据库中的当前成员列表。

5. Governance Authority｜治理权

一句话定义

治理权，是参与建立、修改、批准或恢复系统权力结构的权力。

严格定义

治理权可能包括：

• 提出治理变更；

• 批准成员变化；

• 调整阈值；

• 修改 Policy 上限；

• 增加执行器；

• 替换设备；

• 启动恢复；

• 撤销身份；

• 确认新治理状态。

治理权通常比普通审批权影响更深，因为治理权能够改变其他角色未来拥有什么权力。

上位概念

• 权力

• Governance

下位概念

• 治理提议权

• 治理审批权

• 成员管理权

• 恢复治理权

• 阈值修改权

相关概念

• Execution Right

• Governance Intent

• Governance Constraint

• Owner

• Member

权力边界

治理权不应自动包含：

• 日常执行实施权；

• 绕过 Policy 的权力；

• 删除治理证据的权力；

• 即时继承新规则下全部执行权；

• 关闭物理边界的权力。

约束机制

• 角色分离；

• 治理阈值；

• 作用域；

• 延迟生效；

• 物理确认；

• 治理与执行分离；

• 变更留证。

结果目标

让治理角色能够维护系统，但不能成为新的超级执行主体。

在 Havenlon 中

Owner 和 Member 可以参与治理，但其治理权不能自动覆盖 Arbiter、Security Domain 和本地硬限制。

6. Governance Intent｜治理意图

一句话定义

治理意图，是希望改变系统成员、角色、阈值、Policy、设备、执行器或恢复关系的结构化意图。

严格定义

治理意图必须明确：

• 谁提出变更；

• 修改什么治理对象；

• 当前状态是什么；

• 目标状态是什么；

• 影响哪些角色；

• 何时生效；

• 是否需要冷静期；

• 哪些既有权限将被增加或撤销；

• 变更后的灾难半径是否扩大。

治理意图必须与普通业务执行意图区分，因为治理动作可能改变未来所有执行的边界。

上位概念

• Intent

• Governance

下位概念

• 成员变更意图

• Owner 恢复意图

• 阈值修改意图

• Policy 变更意图

• 设备替换意图

• 执行器变更意图

相关概念

• Governance Change

• Governance State

• Governance Mutation Control

• Governance Boundary

• IntentHash

权力边界

提出治理意图的主体不能自行决定该意图生效。

约束机制

• 单独 Intent 类型；

• 治理对象绑定；

• 新旧状态绑定；

• 多方审批；

• 物理确认；

• 延迟生效；

• 独立证据。

结果目标

让治理变化像高风险执行一样可验证、可约束和可追溯。

在 Havenlon 中

Owner、成员、阈值、设备和恢复关系的变化必须形成 Governance Intent，并进入独立治理链。

7. Governance Constraint｜治理约束

一句话定义

治理约束，是限制哪些治理主体必须参与、哪些组合有效，以及治理结果何时可以生效的规则。

严格定义

治理约束可能包括：

• 最少参与人数；

• 必须包含特定角色；

• 提议者不能自我批准；

• Owner 不能单独删除全部成员；

• 新成员存在冷静期；

• 降低阈值需要更高阈值批准；

• 恢复需要物理确认；

• 治理变更不能立即用于高风险执行；

• 某些根约束不可在线放宽。

治理约束的核心是：

治理不能只约束普通成员，也必须约束拥有治理权的人。

上位概念

• Governance

• Policy

• 权力约束

下位概念

• 人数约束

• 角色约束

• 时间约束

• 物理约束

• 变更范围约束

• 恢复约束

相关概念

• Governance Quorum

• Governance Threshold

• Independent Consent

• Governance Mutation Control

• No Unilateral Catastrophic Authority

约束机制

• 角色组合；

• 阈值；

• 冷静期；

• 不可自我审批；

• 新旧状态双重验证；

• 本地硬上限；

• 物理恢复。

结果目标

阻止治理者利用治理权即时解除限制自身的规则。

在 Havenlon 中

关键治理动作必须满足明确的角色、数量、时间和物理条件，而不是只依赖 SaaS 中的一个管理员按钮。

8. Governance Quorum｜治理法定数量

一句话定义

治理法定数量，是一次治理判断被视为有效之前，必须实际参与的最低治理主体数量。

严格定义

Quorum 回答的是：

至少有多少合格治理主体必须参与，治理过程才有资格继续？

它不等同于最终同意阈值。

例如：

• 系统共有 5 名治理成员；

• 要求至少 4 人参与，构成 Quorum；

• 其中至少 3 人同意，达到 Threshold。

如果只有 3 人在线，即使 3 人全部同意，也可能因为未达到 Quorum 而不能形成有效治理结果。

上位概念

• Governance Constraint

• 共同治理

下位概念

• 成员法定数量

• 角色法定数量

• 设备法定数量

• 恢复法定数量

相关概念

• Governance Threshold

• Participation Requirement

• Joint Governance

• Independent Consent

• Availability Risk

容易混淆的概念

Quorum 不是“多少票通过”。

它定义的是治理过程的最低有效参与范围。

约束机制

• 参与身份验证；

• 成员状态；

• 角色要求；

• 独立设备；

• 有效期；

• 防重复参与。

结果目标

防止少数可用成员在其他治理主体完全缺席时重写系统。

在 Havenlon 中

高风险治理动作可以同时要求最低参与人数和最低同意数量，避免把二者混为一个简单计数。

9. Governance Threshold｜治理阈值

一句话定义

治理阈值，是治理结果生效所需的最低有效同意数量或权重组合。

严格定义

Threshold 回答的是：

在已经满足有效参与条件后，需要多少独立同意才能通过？

治理阈值可以采用：

• 固定人数；

• 权重；

• 特定角色组合；

• 多类别角色；

• 本地与远程混合；

• 人员与设备联合条件。

安全阈值不能只看数字。

三个都由同一管理员控制的账户，不能等价于三个独立治理主体。

上位概念

• Governance Constraint

• Joint Governance

下位概念

• 人数阈值

• 权重阈值

• 角色组合阈值

• 混合设备阈值

• 高风险治理阈值

相关概念

• Governance Quorum

• Independent Consent

• Multi-Party Constraint

• Shared Governance

• Collusion Limit

约束机制

• 独立身份；

• 独立设备；

• 角色差异；

• 同意内容绑定；

• 时间限制；

• 防重复计数；

• 防代理滥用。

结果目标

让关键治理变更需要多个真实、独立的治理意志共同形成。

在 Havenlon 中

不同风险等级的治理动作可以采用不同阈值，高风险变更还需要物理确认和延迟生效。