英語版: Canonical Trajectory Governance

Canonical Trajectory Governance v0.1.1.1

Canonical Trajectory Governance（CTG）は、実行 trajectory が canon、policy、 operator intent と整合し続けているかを確認するための contract-level governance model である。この文書は、Zenodo 公開済み CTG 論文に対応する 開発者向け companion document である。

• AIKernel Canonical Trajectory Governance (CTG): A Three-Council Gateway for Deterministic AI Personality OS Architecture
• DOI: https://doi.org/10.5281/zenodo.20681895
• 論文 package: ../papers/12-canonical-trajectory-governance/README.md

論文は固定された理論参照である。この文書はその理論を AIKernel.NET の contract surface へ対応付けるものであり、canon rule 本文は定義しない。

AIKernel.NET が公開するのは CTG の契約語彙のみである。runtime host や provider package はこれらの contract を実装できるが、contract package は interface、DTO、enum に限定する。

1. 適用範囲

CTG は次の 3 つの問いを扱う。

• 提案された step は governance council によって受理できるか。
• council vote から finite gate decision を deterministic に導けるか。
• すべての step-level gate を replay したとき、trajectory 全体を受理できるか。

公開 contract surface は意図的に狭く保つ。

• interface は AIKernel.Abstractions.Governance に置く
• record は AIKernel.Dtos.Governance に置く
• enum は AIKernel.Enums.Governance に置く
• canon text と rule execution は AIKernel.NET の外に置く
• runtime implementation は AIKernel.NET の外に置く

2. 三項 council model

CTG は council vocabulary を次の triad として維持する。

• Logos
• Ethos
• Pathos

これらは CouncilKind で表現される。この triad は安定した governance vocabulary である。audit、policy、safety、execution などの運用カテゴリで この contract surface の CouncilKind を置き換えてはならない。必要な場合は、 将来別 enum として追加する。

各 council は CouncilVote carrier を出力し、次の情報を保持できる。

• CouncilVoteValue
• reason message
• 1 件以上の CanonReference
• optional Confidence
• optional RiskScore

Confidence と RiskScore は観測 carrier である。trace evidence を保存する ために存在し、gate decision の weight にしてはならない。

C# enum の numeric value は serialization discriminant であり、論文の数学的な vote weight ではない。runtime implementation は CouncilVoteValue を論文の有限 vote table へ map する。approve は positive、abstain は neutral、reject は negative として扱う。

Veto は 4 つ目の vote value ではない。hard denial condition は rejection evidence、gate denial、および必要に応じて RejectReasonKind.EthosVeto として運ぶ。

3. Step gate

概念上の step gate は gate(l,e,p) で表す。

• l は Logos council decision
• e は Ethos council decision
• p は Pathos council decision

contract model は deterministic かつ fail-closed である。

1. 欠落または unknown input は rejection evidence として扱う。
2. Ethos rejection は step gate を閉じる。
3. Ethos が reject せず、map された aggregate council vote が strictly

positive の場合のみ step を accept できる。

4. zero、negative、missing、unknown、insufficient evidence は step を reject する。

正確な runtime algorithm は AIKernel.NET の外に属する。contract package は decision を replay 可能にする carrier のみを提供する。

• DecisionGateRequest
• GateInput
• DecisionGateResult
• RejectReasonInfo
• StepGovernanceTrace

DecisionGateRequest は 1 つの vote-only GateInput を運ぶ。per-council の L / E / P gate envelope や CouncilDecision payload は運ばない。 それらは council evaluation と trace carrier に属する。

gate decision vocabulary は discrete-only であり、GateDecisionKind.Allow または GateDecisionKind.Deny を使う。Unknown は fail-closed sentinel として予約する。

4. Trajectory gate

trajectory gate は step governance trace の列を評価する。trajectory は、 すべての step が accept され、missing、unknown、denial governance evidence が 含まれない場合にのみ accept される。

contract carrier は次の通り。

• TrajectoryGateRequest
• TrajectoryGateInput
• TrajectoryGateResult
• GovernanceTrace

deny された場合、result は rejected step index と reject reason を保持する。 これにより replay は deterministic になり、diagnostics はどの step が gate を 閉じたかを説明できる。

trajectory decision vocabulary は discrete-only であり、 TrajectoryGateDecisionKind.Continue または TrajectoryGateDecisionKind.Halt を 使う。Unknown は fail-closed sentinel として予約する。

これは論文の product semantics に対応する。trajectory はすべての step-level gate が execution を admit する場合にのみ valid であり、単一の denial が trajectory を short-circuit する。

5. Canon reference

CanonReference は DTO carrier である。CTG contract では単一 reference ではなく IReadOnlyList<CanonReference> を使う。1 つの decision が複数 canon anchor に 依存しうるためである。

正規化された DTO shape は次の通りである。

public sealed record CanonReference\n{\n    public string CanonId { get; init; } = string.Empty;\n    public string Path { get; init; } = string.Empty;\n    public string Section { get; init; } = string.Empty;\n    public string? Anchor { get; init; }\n    public string? ContentHash { get; init; }\n}

AIKernel.NET は canon rule text を作成しない。runtime host は CanonReference を ROM、VFS、package resource、その他の trusted source に対して解決できる。 canon resolution に失敗した場合、governance result は fail closed とする。

Monolith minimal CTG-ROM は、AIKernel personality OS の baseline canon である。 effective canon path は locale ROM descriptor を通じて解決される。

rom/governance/ctg.monolith.canon.md

repository は base canon layer と localized personality ROM descriptor を分離する。

• rom/governance/ は canon、council、gate、reject-policy asset を含む。
• rom/locales/<locale>/ は localized personality ROM descriptor を含む。
• runtime VFS implementation は base canon layer、選択された locale descriptor、

optional developer diff layer を merge し、mounted Personality-ROM を構築する。

Developer diff layer は base canon を直接編集せず、Monolith base を personalize するために使う。triadic council model、Ethos veto、fail-closed behavior、default deny、replayable trace requirement は維持しなければならない。

論文では CTG-ROM を、canon、root goals、prohibitions、council criteria、 trace requirements を含む portable persona contract として説明する。 AIKernel.NET は Monolith base-layer layout を文書化しつつ、runtime VFS merge logic は contract package の外に置く。

6. Deterministic Replay

CTG は replay-oriented である。すべての governance decision は、隠れた状態に 依存せず carrier から再構成できるべきである。

• council input / output は evaluation DTO が保持する
• gate input / output は decision DTO が保持する
• step trace は council evidence と gate evidence を同時に保持する
• trajectory trace は ordered step trace chain を集約する

replay consumer は unknown enum value を fail closed として扱い、enum handling policy に従って raw value を diagnostics または metadata に記録する。

7. 既存 governance との関係

CTG は既存の PDP、policy、signed prompt、HATL、PPM、replay vocabulary を補完する。 置き換えるものではない。

• PDP は policy context における operation allow/deny を決定する。
• signed prompt governance は trusted prompt artifact を検証する。
• HATL/HBS contract は signed history と audit evidence を保持する。
• PPM は state-space、interference、memory-protection analysis のための数学的

research line であり、CTG execution gate ではない。

• CTG は step または trajectory が canonically admissible かを評価する。

これらの surface は追加型である。既存 v0.1.1 public interface は安定したまま維持する。

重要な分離は、CTG が decision admissibility を統治し、HATL が state と replay integrity を保護し、PPM が将来の state / memory protection research を支えうる 数学モデルである、という点である。

8. 関連文書

• Domain Contract Surface v0.1.1.1
• Paper 12: Canonical Trajectory Governance
• CTG Contract Model
• CTG Developer Guide
• CTG ROM Layout
• Enum Handling Policy
• XML Documentation Policy