CAN-REQ-RULE-025 — Shadow-First Compounding Invariantları

Statü satırı: governance_status = accepted · invariantlar production'da MEKANİK olarak zorlanmış durumda (DB CHECK + kod + test); bu kayıt onları NORMATİF kural yapar. CANON DECISION ≠ RETROACTIVE IMPLEMENTATION AUTHORIZATION.

Invariantlar (8 — AI-CEO listesi birebir)

INV-1 · RAW-QUERY PERSISTENCE FORBIDDEN. Ham veya normalize sorgu metni, okunur örnek, düşük-k grup hash/kimliği hiçbir kalıcı artefakta yazılamaz (tablo payload'ları, koşum-defteri JSON'ları, loglar, admin yüzeyleri, export'lar dahil). Zorlama: HMAC-takma-ad + exact-key closure + leakage taraması.

INV-2 · SHADOW OUTPUT ≠ CUSTOMER DECISION. Shadow durumundaki hiçbir desen müşteri sıralamasını, önerisini veya yetkilendirmesini etkileyemez. Zorlama: activation_state AUTHORITATIVE + tek-kollu DB CHECK (shadow AND is_active=false dışı satır ŞEMADA imkânsız) + okuyucu tarafında scopeActive() boş-küme.

INV-3 · SECRET PRESENT ≠ SHADOW AUTHORIZED. HMAC anahtarının varlığı madenciliği başlatmaz; mode-otoritesi ayrı ve fail-closed'dur (anahtar-var + mode-off = üretim yok; anahtar-yok + mode-shadow = adlandırılmış FAIL).

INV-4 · SHADOW ≠ ACTIVE. Aktivasyon ayrı bir mimari koldur; bu fazda terfi kolu ŞEMADA HİÇ AÇILMAMIŞTIR. Aktivasyon ancak yeni Canon kararı + şema genişletmesi + ayrı yetki kapısıyla mümkündür.

INV-5 · AT MOST ONE LIVE PRODUCER PER JOB/PERIOD. Her (job_type, period_start, period_end) için aynı anda EN FAZLA BİR lock-owning execution authority bulunabilir. Concurrency arbitration'ı bütün contender'ların kendini skip etmesine YOL AÇAMAZ — kilit kazanan yürütmeye devam eder (pending→lock→running; LOCK OWNERSHIP = LIVE EXECUTION AUTHORITY · RUNNING LABEL ≠ LIVE LOCK OWNERSHIP). Bağımsız ve ADLANDIRILMIŞ bir çalışma hatası (HMAC-eksikliği, uygulama istisnası) nedeniyle completed üretici sayısı SIFIR OLABİLİR; bu durumda failed ledger kanıtı ZORUNLUDUR. ZERO PRODUCER CAUSED BY SELF-SKIP RACE = FORBIDDEN · ZERO COMPLETED OUTPUT WITH NAMED FAILURE = POSSIBLE.

INV-6 · NO AUTHORITATIVE READER → NO ACTIVATION. Üretilen sinyalin yetkili bir okuyucu-sözleşmesi (gerçek davranış sinyaliyle bağlanmış) yokken aktivasyon değerlendirilemez; activation_blockers bu gerçeği her koşumda beyan eder.

INV-7 · AI MAY PROPOSE ≠ AI MAY ACTIVATE. AI/otomasyon aday üretebilir ve öneri raporlayabilir; aktivasyon kararı YALNIZ insan yetki kapısından (Human CEO + tanımlı governance) geçer.

INV-8 · KEY ROTATION → NEW HASH VERSION / NEW DATA SERIES. HMAC anahtarı pilot boyunca donuktur; rotasyon ancak compromise vakasında ve hash_version bump + YENİ veri-serisi başlatma ile yapılabilir (KEY ROTATED + HASH VERSION UNCHANGED = DATA SERIES CORRUPTION).

İhlal tepkisi

Herhangi bir invariant ihlali = acil-durdurma tetiği: IMMEDIATE CONTAINMENT (yürütme durdurulur) → DURABLE ROLLBACK (mode=off + same-SHA redeploy + runtime probe) → kanıt korunur (satır silinmez) → Human CEO + AI-CEO'ya eskalasyon.