Havenlon｜AI 时代的执行安全语言体系（十三）：失效与损失约束

Working Draft · AI Era Execution Security LanguageThis article is part of the Havenlon Execution Security Language project. The terminology and definitions presented here describe the current working draft and may evolve as the discipline matures.AI 时代执行安全语言体系工作草案本系列旨在建立 AI 时代执行安全的共同语言。 本文中的术语与定义代表当前工作草案 将随着理论研究、工程实践和社区讨论持续修订。15. Bounded Failure有界失效一句话定义有界失效是系统发生故障、错误或失陷后其影响被限制在预先定义的范围、时间和损失上限内。严格定义有界失效不要求系统永远正确。它要求系统提前定义单次最多损失多少单位时间最多执行多少最多影响哪些对象异常状态最多持续多久哪些功能必须停止哪些功能可以降级运行何时必须进入 Safe Mode如何完成恢复。有界失效是把不可预测的攻击结果转化为可计算的风险边界。上位概念安全失效损失约束下位概念金额有界失效范围有界失效时间有界失效频率有界失效功能有界失效相关概念Blast RadiusFailure ContainmentDamage ContainmentLocalized FailureFail-Secure约束机制限额限频作用域时间窗口批次限制自动熔断安全中断独立拒绝。结果目标使最坏情况可估算、可承受并为发现和恢复保留时间。在 Havenlon 中每类执行都应有明确的额度、对象、频率、有效期和异常停止条件而不是只有“允许”或“拒绝”两个无限状态。16. Failure Containment失效遏制一句话定义失效遏制是阻止一个组件或信任域的故障继续传播到其他层的系统能力。严格定义失效遏制关注的是问题能不能继续扩散。它不一定直接减少已经发生的损失而是阻止一个组件故障拖垮其他组件一个错误状态成为全局状态一个失陷域控制其他域一个失败请求触发无限重试一个证据问题导致系统跳过全部控制。上位概念有界失效系统隔离下位概念组件失效遏制信任域失效遏制通信失效遏制状态失效遏制执行链失效遏制相关概念Failure PropagationFault IsolationLocalized FailureControlled DegradationSafe Mode约束机制故障域进程和硬件隔离本地状态超时背压熔断域间固定协议异常输入拒绝。结果目标让一个局部问题停留在局部不成为系统级故障。在 Havenlon 中应用、SaaS、仲裁、执行和证据分别承担有限职责。一层异常不会要求其他层取消验证继续运行。17. Damage Containment损失遏制一句话定义损失遏制是在错误或攻击已经开始产生真实后果后限制其累计损失继续扩大的能力。严格定义失效遏制关注问题是否传播损失遏制关注已经发生的真实损失能否继续扩大。例如攻击者已经完成一笔转账但无法继续转移全部资产一个错误配置已经影响一台设备但不能扩展到全部设备一个 Agent 已经完成一次错误操作但后续调用被自动暂停一个管理员已经修改一项 Policy但修改不能立即覆盖全局。上位概念有界失效损失约束下位概念金额损失遏制对象损失遏制时间损失遏制自动化损失遏制治理损失遏制相关概念Maximum Irreversible LossRate-Constrained DamageTime-Constrained DamageScope-Constrained DamageSafe Interruption约束机制累计额度动态降低权限异常后暂停分批执行逐对象放行速率限制自动撤销恢复窗口。结果目标即使第一道防线失效后续损失仍然不会无限扩大。在 Havenlon 中执行限制不仅作用于单个请求也作用于累计金额、累计频率、对象数量和时间窗口。18. Localized Failure局部化失效一句话定义局部化失效是系统将错误或故障限制在单个组件、对象、租户、设备或执行域内的状态。严格定义局部化失效强调故障结果的空间边界。典型局部化包括单个钱包异常不影响其他钱包单个执行槽位异常不影响其他执行槽位单个租户 Policy 错误不影响其他租户单台设备故障不传播到整个集群单个成员凭证失陷不改变整体治理状态。上位概念有界失效失效隔离下位概念单对象失效单租户失效单设备失效单执行槽位失效单信任域失效相关概念Failure ContainmentFault Domain故障域Scope-Constrained DamagePartial CompromiseSegmentation分区约束机制对象隔离租户隔离槽位隔离独立密钥独立状态独立恢复禁止全局共享高权限凭证。结果目标使单个对象或局部系统的问题不会自然升级为全局问题。在 Havenlon 中钱包、密钥槽位、执行槽位、Policy 和治理状态应尽可能按对象和用途隔离避免一个槽位失陷控制全部执行能力。19. Maximum Irreversible Loss最大不可逆损失一句话定义最大不可逆损失是在检测、阻止和恢复完成之前系统最坏情况下无法撤销或追回的最大真实损失。严格定义最大不可逆损失是灾难半径最重要的量化指标之一。它不仅包括金钱还可能包括永久删除的数据已经泄露的隐私无法撤回的权限授予已经发布的错误配置已经发出的物理控制已经失效的证书已被修改的治理关系无法追回的数字资产。它取决于单次执行上限执行速率发现时间中断时间可逆机制恢复窗口对象范围。可以近似表示为最大不可逆损失 ≈ 单次最大不可逆影响 × 中断前最大执行次数 × 可影响对象范围这不是精确数学公式而是用于架构评估的风险模型。上位概念灾难半径最坏情况损失下位概念最大资产损失最大数据损失最大对象数量最大治理损失最大服务中断损失相关概念Irreversible ActionReversibilityRecovery WindowRate-Constrained DamageDamage Containment约束机制单次限额累计限额执行速率冷静期分批处理可撤销提交延迟生效紧急中断快速恢复。结果目标在系统设计阶段明确最坏情况下组织真正可能失去什么而不是只讨论攻击发生概率。在 Havenlon 中重要执行场景需要明确最大不可逆损失而不能只定义“高风险”或“低风险”标签。20. Minimum Catastrophic Impact最小灾难影响历史表达Minimum Catastrophic Outcome最小灾难结果一句话定义最小灾难影响是当严重失效无法完全避免时通过系统设计把最坏结果压缩到最低可承受范围。严格定义最小灾难影响不是追求“发生较小灾难”而是承认某些攻击最终可能成功某些错误无法提前发现某些动作天然不可逆某些治理主体可能发生共谋。系统在这些极端条件下仍应尽可能降低损失规模缩短持续时间减少受影响对象保留证据阻止继续传播保留恢复能力。上位概念最坏情况设计损失约束下位概念最小资产损失最小业务中断最小治理破坏最小数据泄露范围最小恢复成本相关概念Least Harmful FailureMaximum Irreversible LossBounded FailureDamage ContainmentResidual Risk约束机制预设损失上限分批执行不可逆动作延迟独立证据最终否决局部恢复默认安全失败。结果目标即使系统无法做到完全无损也不能让失败自然演变成最大规模灾难。在 Havenlon 中Havenlon 的目标不是宣称攻击永远无法成功而是确保任何攻击成功所能造成的不可逆影响受到结构性限制。21. Least Harmful Failure最小伤害失败一句话定义最小伤害失败是系统在无法继续正常运行时选择对资产、业务和治理造成伤害最小的失败方式。严格定义系统发生异常时通常有多种失败方式继续执行拒绝执行部分执行延迟执行降级执行切换备用路径进入 Safe Mode。最小伤害失败要求系统根据动作风险和可逆性选择结果而不是机械地追求可用性。例如支付系统状态不确定时暂停高额支付设备控制系统异常时保持安全状态Evidence Store 背压时停止高风险执行治理状态不一致时不自动选择更宽松的一方。上位概念安全失败损失约束下位概念拒绝式失败延迟式失败降级式失败隔离式失败物理安全状态相关概念Fail-SecureFail-ClosedControlled DegradationSafe InterruptionMinimum Catastrophic Impact约束机制风险分级安全默认状态预定义降级模式不确定状态拒绝可逆动作与不可逆动作区分恢复前保持证据。结果目标让系统失败时保留最重要的安全属性而不是为了继续运行牺牲全部边界。在 Havenlon 中对于高风险不可逆执行状态不完整、链路异常或证据无法保存时应优先拒绝或中断。