GCM Conformance, Verification & Reference Implementation Specification

Global Computation Methodology 合規測試、故障注入、證據契約與 Reference Runtime 驗收規格 v0.1

文件類型： Technical Whitepaper / Normative Conformance & Verification Specification
系列： Global Computation Methodology（GCM）
版本： v0.1
日期： 2026-08-25
Canonical source format： UTF-8 Markdown
數學 delimiter： $...$ 與 $$...$$
狀態： 第二輪第三份正式技術白皮書；直接上游為 TW-01 v0.1 與 TW-02 v0.1

摘要

TW-01 已將 GCM Series-00 與 Paper-01–06 收斂為 normative formal contract，固定 GCM-C01–GCM-C28；TW-02 則將這些契約映射為 Reference Runtime architecture，固定 GCM-A01–GCM-A26、state ownership、proposal isolation、Commit Gate、Foundation Revision Gateway、Observer read-side、Lifecycle plane 與 typed history store。

若沒有 conformance specification，實作仍可能出現一種危險狀態：文件宣稱保存所有邊界，但測試只驗「Happy Path 能跑」，從而讓 authority escalation、stale-parent commit、Observer mutation、history merge、crash ambiguity、Foundation drift 等錯誤在測試之外存在。

本文件因此回答：

一套 Runtime 必須提供哪些可重現證據，才能聲稱自己在特定 GCM profile 下符合 TW-01 / TW-02？

本文件的核心原則是：

\boxed{ \text{Conformance} \neq \text{Feature Count} \neq \text{Performance Score} }

以及：

\boxed{ \text{Required MUST Failure} \Rightarrow \text{No Conformant Claim} }

因此 GCM v0.1 不採百分比通過制。對某一 declared profile $P$ ，合規定義為：

\boxed{ \operatorname{Conformant}(SUT,P)=1 \iff \forall t\in\operatorname{Req}(P), \operatorname{Result}(t)=\mathsf{PASS} }

其中 SUT 為 System Under Test。任何 required test 若為 FAIL、INDETERMINATE、未執行的 SKIP，或未被 profile 明確允許的 NOT_APPLICABLE，都不得產生 CONFORMANT claim。

本文件同時建立：

54 個 GCM-C/A invariant-primary tests；
12 個 cross-cutting tests；
10 組 canonical negative / failure test vectors；
R0-M0–R0-M4 累積式 MVP acceptance profiles；
schema validation、architecture lint、deterministic behavior、negative test、fault injection、history/replay、resource/cost 七類測試；
machine-readable conformance result schema；
Reference Harness adapter contract；
evidence bundle、digest、reproducibility 與 claim 規則。

0. 文件角色與規範優先級

本文件的上游優先級為：

\boxed{ \text{TW-01} \succ \text{TW-02} \succ \text{TW-03 Test Encoding} }

若 TW-03 的某個 test vector 與 TW-01 的 MUST / MUST NOT 產生衝突，測試本身必須被修正，不得以測試實作覆蓋 canonical contract。

TW-03 的責任是：

將 GCM-C01–GCM-C28 與 GCM-A01–GCM-A26 轉為可執行或可審計測試；
定義 conformance profiles；
定義 PASS / FAIL / INDETERMINATE 等結果語義；
定義 required evidence；
定義 architecture lint；
定義 deterministic fixtures 與 virtual clock；
定義 negative tests；
定義 failure injection；
定義 replay / provenance tests；
定義 resource/cost tests；
定義 Reference Runtime M0–M4 acceptance gates；
定義 machine-readable conformance claim；
定義 Reference Harness 與 SUT adapter interface。

本文件不：

指定唯一 testing framework；
指定唯一 programming language；
指定唯一 CI provider；
把 conformance 等同 performance benchmark；
把 self-test 等同第三方 certification；
要求 R0 profile 使用 distributed consensus；
要求 AI Router；
用 telemetry 取代 canonical history；
以 percentage score 赦免 MUST violation。

1. Normative language

本文中的 MUST、MUST NOT、SHOULD、SHOULD NOT、MAY 僅在全大寫時具有規範性意義。

合規 runner MUST 將：

spec version；
test-suite version；
SUT version / build digest；
schema digest；
environment digest；
deterministic seed；
profile；
test result；
evidence references

寫入 machine-readable result bundle。

2. Validation、Verification、Conformance 的型別分離

GCM MUST 區分三個概念。

2.1 Structural validation

\boxed{ \mathsf{ValidateSchema}(x,S) }

只回答 instance $x$ 是否符合 machine-readable schema $S$ 。

Schema-valid 不代表 semantic-valid：

\boxed{ \text{Schema Valid} \not\Rightarrow \text{Semantically Admissible} }

2.2 Runtime verification

\boxed{ \mathsf{VerifyCandidate} ( \widetilde W, \mathcal I, \mathfrak X ) }

回答 candidate 是否滿足該 operation / World boundary / Foundation 下的 invariants。

2.3 Implementation conformance

\boxed{ \mathsf{Conform}(SUT,P,T) }

回答某 implementation 是否通過指定 profile $P$ 與 test-suite version $T$ 的 required tests。

因此：

\boxed{ \text{Validation} \neq \text{Verification} \neq \text{Conformance} }

3. Conformance profile model

Reference implementation 使用 TW-02 的 R0：

\boxed{ R0 = \text{Deterministic Single-Process Modular Monolith} }

R0 不要求 AI Router、不要求 distributed consensus，並採每一 World boundary 的 serial reference commit path。

TW-03 將 R0 再分成累積式 milestone profiles：

R0\text{-}M0 \subset R0\text{-}M1 \subset R0\text{-}M2 \subset R0\text{-}M3 \subset R0\text{-}M4.

Profile	Required invariants	Primary tests	Supplemental tests	Claim scope
`R0-M0`	11	11	5	Through M0
`R0-M1`	16	16	7	Through M1
`R0-M2`	20	20	7	Through M2
`R0-M3`	37	37	10	Through M3
`R0-M4`	54	54	12	Through M4

一個 implementation MAY 宣稱較低 milestone profile，即使尚未完成後續功能；但不得宣稱 R0-M4 而跳過任何 M0–M4 required test。

4. Result domain 與硬 Gate

每一 test 的結果只能是：

PASS
FAIL
SKIP
NOT_APPLICABLE
INDETERMINATE

4.1 PASS

PASS MUST 同時表示：

test preconditions 成立；
action 已實際執行；
expected postconditions 成立；
forbidden outcomes 未發生；
required evidence 完整；
test runner 未偵測 source/profile mismatch。

4.2 FAIL

FAIL 表示 observable behavior 已違反 required invariant 或 architecture obligation。

4.3 SKIP

SKIP 只表示 test 未執行，不能視為成功。

對 required test：

\boxed{ \mathsf{SKIP} \Rightarrow \text{No Conformant Claim} }

4.4 NOT_APPLICABLE

只允許 profile 明確標示 optional / excluded capability 的 test 使用。若 test 屬 profile-required invariant，NOT_APPLICABLE MUST 導致 claim INCOMPLETE，而不是 PASS。

4.5 INDETERMINATE

當 evidence 不足、環境漂移、fault injector 無法確認 crash point、resource variance 超過 declared tolerance、或 runner 無法區分兩個結果時，必須輸出 INDETERMINATE。

\boxed{ \mathsf{INDETERMINATE} \neq \mathsf{PASS} }

5. 不採百分比合規

GCM v0.1 明確拒絕下列規則：

\text{Conformant} \iff \frac{\#\mathsf{PASS}}{\#\mathsf{Tests}}>\theta.

理由是不同 invariant 的安全地位不同。若一套 Runtime 通過 98% 測試，但失敗的 2% 是：

GCM-A01 Sole Ordinary World Writer；
GCM-C19 Authority Non-Escalation；

則它不能因為平均分高而宣稱 conformant。

非 normative benchmark MAY 另外建立性能分數，但：

\boxed{ \text{Benchmark Score} \not\Rightarrow \text{Conformance}. }

6. Test classes

TW-03 v0.1 定義七種 canonical test class。

6.1 `schema_validation`

測：

JSON Schema；
version pinning；
configuration registry；
typed field separation；
provenance object shape。

6.2 `static_architecture`

測：

module ownership；
forbidden writes；
sole writer；
Foundation isolation；
plugin boundary；
consensus/globality 非等價。

6.3 `deterministic_behavior`

使用固定 seed、virtual clock、canonical fixture 驗行為。

6.4 `negative`

故意提交不合法 request，要求 fail closed。

Negative test 的成功定義是：

\boxed{ \text{Expected Refusal} = \mathsf{PASS}. }

6.5 `fault_injection`

在 transaction / storage / history boundary 注入 crash、timeout、lost acknowledgement、stale context。

6.6 `history_replay`

測：

typed relations；
endpoint/history separation；
rollback/compensation；
replay grades；
history quotient / compression safety；
Foundation lineage。

6.7 `resource_cost`

測 active support 與 cost 是否被錯誤等同，並要求 pinned environment / tolerance / metric evidence。

7. Evidence model

一個測試結果不是一句 PASS 字串。

Reference evidence bundle SHOULD 至少含：

result.json
trace.ndjson
sut_manifest.json

依 test class 額外加入：

provenance_export.json
metrics.json
fault_injection.json
schema_validation.json
ownership_snapshot.json

7.1 Evidence completeness

若 test 宣告 evidence_required 集合為 $E_t$ ，則：

\boxed{ \operatorname{Result}(t)=\mathsf{PASS} \Rightarrow E_t \subseteq E_{\mathrm{bundle}}. }

缺 evidence 不得以「測試看起來有成功」補過。

7.2 Digest

conformance bundle SHOULD 對以下資訊產生 digest：

SUT build；
TW-01 source；
TW-02 source；
TW-03 source；
test catalog；
schemas；
fixtures；
test runner；
environment profile。

這使：

\boxed{ \text{Same Claim Label} \not\Rightarrow \text{Same Tested Artifact}. }

8. Determinism 與 Virtual Clock

R0 profile 的 conformance suite MUST 能使用 deterministic seed，並 SHOULD 使用 virtual clock。

必須區分：

\tau^{\mathrm{host}}, \quad \tau^{\mathrm{runtime}}, \quad \tau^{\mathrm{observer}}, \quad \tau_i^{\mathrm{domain}}.

Test runner MUST NOT 以 host wall-clock time 當作所有語義時鐘的隱式真值。

若 test 依賴不可控 external service，則 suite MUST：

使用 fixture / mock / recorded input；或
將結果標記為 environment-dependent，且不得作 deterministic conformance 的唯一證據。

9. Reference Harness 與 SUT Adapter Contract

TW-03 不指定唯一 harness implementation，但 Reference MVP MUST 暴露等價於下列能力的 adapter：

reset_fixture(fixture_id)
load_world(world_fixture)
load_foundation(foundation_fixture)
submit_operation(operation_request)
query_world_head(boundary_id)
query_runtime_state()
query_observer_state(observer_id)
query_authority(context_id)
snapshot_stores()
inject_fault(fault_spec)
revoke_authority(authority_ref)
advance_virtual_clock(clock_ref, delta)
export_provenance(scope)
export_materializations(scope)
collect_metrics(scope)
recover_runtime()

Adapter MAY 是 Python API、CLI、RPC、in-process test interface 或其他 transport。

但 adapter 本身不得繞過被測 Runtime 的 canonical gates。例如 test helper 不得直接寫 WorldStore 再宣稱 CommitGate 通過。

10. Architecture lint

Architecture lint 主要驗證 TW-02 ownership map。

至少必須檢查：

\boxed{ \operatorname{OrdinaryWriter}(W) = \{\mathsf{CommitGate}\} }

以及：

\boxed{ \operatorname{FoundationWriter} = \{\mathsf{FoundationRevisionGateway}\} }

Reference lint SHOULD 能讀取 machine-readable module ownership manifest，並對 plugin / module registration 做增量檢查。

若 production implementation 合併多個 logical module 到同一 OS process，仍必須能證明 logical ownership boundary 存在；process count 不是 conformance criterion。

11. Schema conformance

TW-02 的 runtime schema 與 TW-03 的 conformance artifact schema 使用 JSON Schema Draft 2020-12。

Schema suite MUST 至少驗：

schema 本身可被 metaschema 接受；
positive fixtures 通過；
negative fixtures失敗；
schema version pinning；
persisted objects 不因 registry 升版而被最新 schema 無條件重解釋；
extension-point unknown-field policy 可預測。

Schema validation 不能代替 runtime semantics tests。

12. Route / Authority / Admissibility negative tests

以下流程是核心 gating path：

\boxed{ \text{Addressable} \rightarrow \text{Reachable} \rightarrow \text{Admissible} \rightarrow \text{Authorized} \rightarrow \text{Executable} }

Suite MUST 至少建立四種 contrast fixtures：

reachable but inadmissible；
admissible but unauthorized；
authorized but currently unreachable；
capable executor but no authority。

若 optimizer 存在，必須驗：

\boxed{ \operatorname{Optimize} \text{ only over } \mathcal R_{\mathrm{safe}}. }

廉價但非法的 route 不得因 score 更高而被執行。

13. Executor / Bridge / Proposal tests

Executor success 只應產生 proposal：

E_i \rightarrow \delta_i \rightarrow \mathsf{ProposalStore}.

必須有 negative test 確認：

\boxed{ \delta_i \not\Rightarrow W_{\nu+1}. }

Bridge tests 必須至少涵蓋：

exact bridge；
declared lossy bridge；
undeclared loss；
type mismatch；
invariant-breaking representation；
unavailable bridge。

\boxed{ \text{Representable} \not\Rightarrow \text{Semantically Valid}. }

14. Reconciliation、Verification、Pre-Commit、Commit tests

Commit path 的最小順序為：

\boxed{ \Delta \rightarrow \mathsf{Reconcile} \rightarrow \mathsf{Verify} \rightarrow \mathsf{PreCommit} \rightarrow \mathsf{Commit} }

測試 MUST 能分辨：

no-conflict proposal；
overlapping commuting proposals；
overlapping noncommuting proposals；
invariant failure；
stale parent；
Foundation drift；
authority revocation；
schema drift。

尤其：

\boxed{ \text{Stale Parent} \not\Rightarrow \text{Implicit Rebase}. }

15. Observer / Projection / Materialization tests

Pure observation MUST 滿足：

\boxed{ \Delta W=0. }

但允許：

\Delta\Xi\neq 0, \qquad \Delta O\neq 0.

因此 suite MUST 明確檢查 World head，而不能只看 API 回傳內容。

Materialization test MUST 驗證 artifact provenance 至少可以追溯：

source World revision；
Foundation version；
projection contract；
observer scope（若適用）；
schema version；
staleness / validity marker。

\boxed{ \mathsf{Materialized}(x) \not\Rightarrow \mathsf{Canonical}(x). }

16. Lifecycle / Active Support tests

Lifecycle suite MUST 分開測：

materialize
reactivate
archive
restore
evict
pin_active
pin_materialization
pin_retention

不可把它們壓成單一 boolean active flag。

Potential fixture 必須驗：

\boxed{ \mathsf{Potential}(x) \not\Rightarrow x\in\operatorname{Obj}(W_\nu). }

若 potential object 真正被建立，必須走 ordinary proposal / authority / commit path。

17. Resource / Cost conformance

M4 MUST 包含至少兩個獨立 scale axes：

active support size；
inactive/archive/history population。

測試應固定 active support，逐步增加 inactive corpus，觀察：

C^{\mathrm{step}}.

這用來偵測隱藏 full scan。

但 TW-03 v0.1 不指定單一跨硬體絕對 latency 門檻。Reference MVP 應先使用：

environment-pinned regression threshold；
asymptotic workload trend；
operation-specific budget。

因此：

\boxed{ \text{Resource Conformance} \neq \text{One Universal Benchmark Number}. }

18. History / Provenance tests

History Store 必須能保存 typed relations，例如：

\prec_{\mathsf{exec}}, \quad \prec_{\mathsf{causal}}, \quad \prec_{\mathsf{commit}}, \quad \prec_{\mathsf{observer}}, \quad \prec_{\mathsf{foundation}}.

Suite MUST 建立至少一個 fixture 使不同 relations 的順序不一致，以防 implementation 偷偷用單一 sequence number 代替全部關係。

18.1 Endpoint equality

建立：

W_a=W_b,

但：

H_a\neq H_b.

要求 history identities 保留。

18.2 Unknown equivalence

\boxed{ \text{Unknown Equivalence} \Rightarrow \text{No Merge}. }

18.3 Rollback / compensation

Rollback 與 compensation 都必須保留原事件。

\boxed{ \text{Corrective Event} \neq \text{History Erasure}. }

19. Replay grades

Replay tests MUST 驗證 evidence-bound claim。

Reference grades：

Exact
DeterministicInternal
SemanticEquivalent
Approximate
NonReplayable

若缺：

deterministic seed；
external input；
model / executor version；
bridge version；
Foundation reference；
irreversible side-effect evidence；

則 replay validator MUST 下調 claim 至可證明的最高 grade。

\boxed{ \text{Replay Claim} \preceq \text{Replay Evidence}. }

20. Failure injection matrix

Reference M3 MUST 至少能在以下 boundary 注入 crash：

F0  before executor starts
F1  after executor success / before proposal persistence
F2  after proposal persistence / before reconciliation
F3  after verification / before pre-commit
F4  after pre-commit marker / before World write
F5  after World write / before commit receipt finalization
F6  after commit receipt / before acknowledgement
F7  during compensation
F8  during archive/restore transition
F9  during Foundation revision publication

每次 recover 後，Runtime 必須能把 operation 分到至少：

NOT_EXECUTED
EXECUTED_UNCOMMITTED
COMMITTED
COMMIT_STATE_UNCERTAIN
COMPENSATION_REQUIRED

若 storage protocol 可證明更精確狀態，MAY 增加 enum。

核心 invariant：

\boxed{ \text{Crash} \not\Rightarrow \text{Silent Semantic Ambiguity}. }

21. External side-effect tests

Side effects 使用：

Pure
Idempotent
Compensatable
Irreversible
Unknown

Suite MUST 驗：

Pure 可安全重跑的條件；
Idempotent 的 idempotency key / evidence；
Compensatable 的 compensation contract；
Irreversible 不得假裝 rollback；
Unknown 在 unsafe retry 情境 fail closed。

\boxed{ \text{External Effect} \not\Rightarrow \text{Rollbackable}. }

22. Supplemental cross-cutting tests

Test	Class	From	Purpose
`GCM-T-X-001`	`schema_validation`	`M0`	SchemaBundleSelfValidation
`GCM-T-X-002`	`schema_validation`	`M0`	UnknownFieldForwardCompatibility
`GCM-T-X-003`	`static_architecture`	`M0`	SpecDigestPinning
`GCM-T-X-004`	`deterministic_behavior`	`M1`	DeterministicSeedRepetition
`GCM-T-X-005`	`negative`	`M1`	NegativeFixtureSanity
`GCM-T-X-006`	`static_architecture`	`M0`	EvidenceCompleteness
`GCM-T-X-007`	`deterministic_behavior`	`M4`	ClockIndependenceHarness
`GCM-T-X-008`	`fault_injection`	`M3`	CrashMatrixCompleteness
`GCM-T-X-009`	`history_replay`	`M3`	HistoryExportRoundTrip
`GCM-T-X-010`	`static_architecture`	`M0`	ProfileClaimCompleteness
`GCM-T-X-011`	`resource_cost`	`M4`	ResourceBaselineReproducibility
`GCM-T-X-012`	`history_replay`	`M3`	FoundationMigrationAudit

這些 test 不直接對應單一 GCM-C/A，但用來防止 conformance harness 自己產生 false positive。

例如 GCM-T-X-005 必須證明 runner 真的能看到 negative fixture 失敗；否則一個永遠回 PASS 的 runner 也可能偽造漂亮報告。

23. Invariant-primary test mapping

每一條 GCM-C01–GCM-C28 與 GCM-A01–GCM-A26 至少有一個 primary canonical test。

Invariant	Primary test	Class	From	Title
`GCM-C01`	`GCM-T-C01-01`	`static_architecture`	`M0`	World / Runtime Separation
`GCM-C02`	`GCM-T-C02-01`	`deterministic_behavior`	`M2`	Heterogeneous Globality
`GCM-C03`	`GCM-T-C03-01`	`deterministic_behavior`	`M0`	Boundary-relative Globality
`GCM-C04`	`GCM-T-C04-01`	`schema_validation`	`M0`	24/72 Non-exhaustiveness
`GCM-C05`	`GCM-T-C05-01`	`deterministic_behavior`	`M4`	Computation / Observation / Materialization Separation
`GCM-C06`	`GCM-T-C06-01`	`negative`	`M4`	Observer Non-Mutation
`GCM-C07`	`GCM-T-C07-01`	`resource_cost`	`M4`	Global Dependency / Full Materialization Separation
`GCM-C08`	`GCM-T-C08-01`	`resource_cost`	`M4`	Recursive Globality / Full Expansion Separation
`GCM-C09`	`GCM-T-C09-01`	`resource_cost`	`M4`	Finite Active Realization
`GCM-C10`	`GCM-T-C10-01`	`history_replay`	`M3`	State / History Separation
`GCM-C11`	`GCM-T-C11-01`	`history_replay`	`M3`	Endpoint / History Closure Separation
`GCM-C12`	`GCM-T-C12-01`	`negative`	`M0`	Operation Layer Separation
`GCM-C13`	`GCM-T-C13-01`	`negative`	`M1`	Capability / Authority Separation
`GCM-C14`	`GCM-T-C14-01`	`negative`	`M0`	Proposal / Commit Separation
`GCM-C15`	`GCM-T-C15-01`	`negative`	`M3`	Local / Global Success Separation
`GCM-C16`	`GCM-T-C16-01`	`deterministic_behavior`	`M4`	Global Coherence / Synchronization Separation
`GCM-C17`	`GCM-T-C17-01`	`schema_validation`	`M0`	Domain / Physical Space Separation
`GCM-C18`	`GCM-T-C18-01`	`static_architecture`	`M1`	Mathematics / Optimization Separation
`GCM-C19`	`GCM-T-C19-01`	`negative`	`M1`	Authority Non-Escalation
`GCM-C20`	`GCM-T-C20-01`	`negative`	`M0`	Foundation Constancy of Ordinary Runtime
`GCM-C21`	`GCM-T-C21-01`	`schema_validation`	`M4`	Resolution Type Separation
`GCM-C22`	`GCM-T-C22-01`	`deterministic_behavior`	`M4`	Lifecycle Type Separation
`GCM-C23`	`GCM-T-C23-01`	`negative`	`M4`	Potential / Existence Separation
`GCM-C24`	`GCM-T-C24-01`	`resource_cost`	`M4`	Bounded Active / Bounded Cost Separation
`GCM-C25`	`GCM-T-C25-01`	`history_replay`	`M3`	Typed Order Separation
`GCM-C26`	`GCM-T-C26-01`	`history_replay`	`M3`	Rollback Persistence
`GCM-C27`	`GCM-T-C27-01`	`negative`	`M3`	Unknown History Equivalence Safety
`GCM-C28`	`GCM-T-C28-01`	`negative`	`M3`	Foundation Revision Governance
`GCM-A01`	`GCM-T-A01-01`	`static_architecture`	`M0`	Sole Ordinary World Writer
`GCM-A02`	`GCM-T-A02-01`	`static_architecture`	`M0`	Foundation Revision Isolation
`GCM-A03`	`GCM-T-A03-01`	`deterministic_behavior`	`M0`	Proposal Isolation
`GCM-A04`	`GCM-T-A04-01`	`negative`	`M1`	Route Non-Escalation
`GCM-A05`	`GCM-T-A05-01`	`deterministic_behavior`	`M1`	Safe-Set Optimization
`GCM-A06`	`GCM-T-A06-01`	`negative`	`M2`	Bridge Semantic Gate
`GCM-A07`	`GCM-T-A07-01`	`negative`	`M3`	Reconciliation Before Commit
`GCM-A08`	`GCM-T-A08-01`	`negative`	`M3`	Verification Before Commit
`GCM-A09`	`GCM-T-A09-01`	`negative`	`M3`	Parent Freshness
`GCM-A10`	`GCM-T-A10-01`	`negative`	`M3`	Foundation Freshness
`GCM-A11`	`GCM-T-A11-01`	`negative`	`M4`	Observer Read-Side Boundary
`GCM-A12`	`GCM-T-A12-01`	`schema_validation`	`M4`	Materialization Provenance
`GCM-A13`	`GCM-T-A13-01`	`deterministic_behavior`	`M4`	Lifecycle Plane Separation
`GCM-A14`	`GCM-T-A14-01`	`negative`	`M3`	Authority Recheck When Revocable
`GCM-A15`	`GCM-T-A15-01`	`history_replay`	`M3`	Typed History Relations
`GCM-A16`	`GCM-T-A16-01`	`history_replay`	`M3`	Rollback / Compensation Persistence
`GCM-A17`	`GCM-T-A17-01`	`negative`	`M3`	Unknown History Merge Safety
`GCM-A18`	`GCM-T-A18-01`	`history_replay`	`M3`	Replay Evidence Bound
`GCM-A19`	`GCM-T-A19-01`	`negative`	`M4`	Telemetry Separation
`GCM-A20`	`GCM-T-A20-01`	`negative`	`M2`	Plugin Non-Authority
`GCM-A21`	`GCM-T-A21-01`	`deterministic_behavior`	`M4`	No Single Clock Assumption
`GCM-A22`	`GCM-T-A22-01`	`static_architecture`	`M4`	Global Coherence / Consensus Separation
`GCM-A23`	`GCM-T-A23-01`	`fault_injection`	`M3`	Crash Semantic Recoverability
`GCM-A24`	`GCM-T-A24-01`	`schema_validation`	`M0`	Schema-Version Pinning
`GCM-A25`	`GCM-T-A25-01`	`negative`	`M2`	External Side-Effect Typing
`GCM-A26`	`GCM-T-A26-01`	`resource_cost`	`M4`	Bounded Active / Bounded Cost Separation

v0.1 只要求最低一對一覆蓋。未來 TW-03 minor revision MAY 對高風險 invariant 增加多個 independent tests，但不得刪除既有 stable test ID 而不提供 migration / deprecation record。

24. Milestone acceptance gates

24.1 M0 — Canonical Kernel

M0 重點：

state planes；
registry；
operation typing；
proposal isolation；
sole World writer；
Foundation isolation；
schema pinning。

M0 不要求 executor diversity，也不要求 replay engine 完整。

24.2 M1 — Reachability / Admissibility / Authority

M1 必須證明：

\boxed{ \text{Can} \neq \text{May}. }

且 route selection 不會 escalation。

24.3 M2 — Heterogeneous Execution

M2 至少要有 3 個代表性 executor family，SHOULD 達 3–5 個。

M2 必須驗：

heterogeneous configuration；
bridge semantic gate；
plugin non-authority；
external side-effect typing。

不要求實作全部 72 cells。

24.4 M3 — Reconcile / Verify / Commit / History

M3 是第一個完整 transactional semantic closure：

\boxed{ \text{Proposal} \rightarrow \text{Reconcile} \rightarrow \text{Verify} \rightarrow \text{Commit/Reject} \rightarrow \text{History}. }

M3 同時要求 crash recovery、replay evidence、typed history、Foundation lineage。

24.5 M4 — Observer / Materialization / Lifecycle / Bounded Runtime

M4 才要求完整 54 invariants coverage。

因此：

\boxed{ R0\text{-}M4 = \text{First Full GCM Reference Runtime MVP Conformance Profile}. }

25. Waiver 與 deviation policy

GCM v0.1 區分：

implementation deviation：已知偏離規格；
test waiver：由於環境/工具限制暫時未測；
profile exclusion：profile 本來就不要求。

只有第三種可以不影響該 profile 的 conformant claim。

對 required MUST invariant：

\boxed{ \text{Waiver} \not\Rightarrow \text{Conformant}. }

可以產生：

NON_CONFORMANT_WITH_DOCUMENTED_DEVIATIONS
INCOMPLETE_TEST_EVIDENCE

但不能把它們改名成 CONFORMANT。

26. Conformance claim record

一個公開或內部 conformance claim MUST 至少包含：

GCM spec version
TW-02 architecture version
TW-03 test-suite version
profile
SUT name/version/build digest
environment digest
schema digest
test catalog digest
required test results
evidence bundle digest
known deviations
execution timestamp metadata

其中 timestamp 只是 evidence metadata，不是 Runtime semantic order 的替代。

Machine-readable schema 位於：

schemas/gcm_conformance_artifact.schema.json

27. Reference Implementation Specification

TW-03 對 Reference Runtime MVP 的實作要求不是「所有產品都照一個 repository 長相」，而是建立一個最小可測試面。

Reference implementation SHOULD 至少提供：

runtime/
  foundation/
  world/
  operations/
  routing/
  execution/
  reconciliation/
  verification/
  commit/
  observer/
  lifecycle/
  history/

conformance/
  schemas/
  manifests/
  fixtures/
  vectors/
  runner/
  evidence/

27.1 Required hooks

MVP MUST 能：

reset deterministic fixture；
pin Foundation / World / schema versions；
inject operation request；
inspect proposal before commit；
inspect World head；
inspect Runtime / Observer plane；
revoke authority between execute and commit；
advance virtual clocks independently；
inject crash at named transaction boundaries；
export typed provenance；
collect resource metrics；
restore from checkpoint / archive fixture。

27.2 Test-only hooks MUST NOT redefine semantics

Fault injection 與 test adapters MAY 暴露內部 hook，但：

\boxed{ \text{Test Hook} \not\Rightarrow \text{Production Authority}. }

測試碼不得讓不合法 operation「為了方便 fixture」直接跨過 CommitGate 或 FoundationRevisionGateway。

28. Machine-readable artifacts

TW-03 v0.1 canonical package 至少包含：

schemas/gcm_conformance_artifact.schema.json
manifests/conformance_catalog_v0.1.json
manifests/mvp_conformance_gates_v0.1.json
test_vectors/core_negative_vectors_v0.1.json
SOURCE_MAP.json

其中 conformance_catalog_v0.1.json 是 test ID 與 invariant mapping 的 machine-readable canonical source。

Markdown table 僅是 rendering view；若 table 與 manifest 分叉，必須修復 source，不允許人工猜哪一個才正確。

29. Fresh prior-art positioning

TW-03 的 conformance 設計並非宣稱發明規格關鍵字、schema validation、標準化 conformance suite 或 provenance validity。

工程定位至少必須公平承認：

IETF BCP 14（RFC 2119 / RFC 8174）已長期規範 MUST、SHOULD、MAY 等 requirement language，並由 RFC 8174 明確限定只有全大寫使用時具有該特殊規範語義。
JSON Schema Draft 2020-12 已提供 machine-readable structural validation vocabulary、meta-schema 與 output model；GCM 直接使用而不重新發明 schema validator。
Kubernetes / CNCF conformance 已展示「跨實作使用同一套公開標準測試與可重跑證據」的成熟工程模式；GCM 借鏡這個理念，但測試對象是 GCM semantic boundaries，而非 Kubernetes API compatibility。
W3C PROV / PROV-CONSTRAINTS 已提供 provenance data model、constraints 與 validity reasoning；GCM History 可保留自身 typed relations，同時 SHOULD 維持向通用 provenance export 的可能性。
OpenTelemetry Semantic Conventions 已有 versioning、stability、deprecated replacement 等成熟規約；GCM test IDs / schema objects 同樣需要 stable identity 與 explicit migration，而不是無聲覆寫。

GCM-TW03 的真正工作是：

\boxed{ \text{把 GCM 自己的 semantic invariants} \rightarrow \text{可重現、可審計、可失敗的 conformance evidence}. }

30. Security 與 adversarial implementation 注意事項

Conformance suite 不等於 security certification。

一個 Runtime 可以在 cooperative test environment 通過 semantic conformance，但 production 仍可能需要：

OS/process isolation；
capability security；
sandbox；
cryptographic identity；
secrets management；
network policy；
tamper-evident logging；
supply-chain verification。

尤其若 plugin / executor 不可信，TW-02 的 semantic authority contract 不應取代真正的 isolation。

同時 conformance runner 自己 SHOULD 假設 SUT 可能：

回傳假 PASS；
隱藏 direct World writes；
sampling 掉失敗 history；
在 test mode 使用不同 semantics。

因此高風險測試 SHOULD 使用外部可觀察 evidence、store snapshot、independent digest 或 fault injection，而非只相信 SUT 自報 status。

31. Reference MVP 完成判準

當 R0-M4 所有 required tests 均 PASS，且 evidence bundle 完整時，才可以宣稱：

\boxed{ \text{GCM Reference Runtime MVP v0.1} \text{ conforms to } R0\text{-}M4. }

這個 claim 不表示：

production-ready；
distributed-ready；
secure against malicious code；
performance optimal；
24／72 全格實作；
所有 World ontology 都已支援。

它只表示：

Reference Runtime 已在 deterministic R0 profile 下，以可重現證據實作並保存 GCM v0.1 的核心 semantic invariants。

32. TW-03 至 MVP 交接

完成 TW-03 後，下一個 artifact 不再是第四份白皮書，而是：

\boxed{ \text{GCM Reference Runtime MVP v0.1}. }

推薦實作順序仍為：

M0 \rightarrow M1 \rightarrow M2 \rightarrow M3 \rightarrow M4.

但每個 Milestone 完成時立即跑對應 cumulative conformance profile；不等全部寫完才第一次測。

也就是：

\boxed{ \text{Implement} \rightarrow \text{Conform} \rightarrow \text{Advance Milestone}. }

而不是：

\text{Implement Everything} \rightarrow \text{Hope the Semantics Match}.

Appendix A. Canonical invariant-primary test registry

Invariant	Primary test	Class	From	Title
`GCM-C01`	`GCM-T-C01-01`	`static_architecture`	`M0`	World / Runtime Separation
`GCM-C02`	`GCM-T-C02-01`	`deterministic_behavior`	`M2`	Heterogeneous Globality
`GCM-C03`	`GCM-T-C03-01`	`deterministic_behavior`	`M0`	Boundary-relative Globality
`GCM-C04`	`GCM-T-C04-01`	`schema_validation`	`M0`	24/72 Non-exhaustiveness
`GCM-C05`	`GCM-T-C05-01`	`deterministic_behavior`	`M4`	Computation / Observation / Materialization Separation
`GCM-C06`	`GCM-T-C06-01`	`negative`	`M4`	Observer Non-Mutation
`GCM-C07`	`GCM-T-C07-01`	`resource_cost`	`M4`	Global Dependency / Full Materialization Separation
`GCM-C08`	`GCM-T-C08-01`	`resource_cost`	`M4`	Recursive Globality / Full Expansion Separation
`GCM-C09`	`GCM-T-C09-01`	`resource_cost`	`M4`	Finite Active Realization
`GCM-C10`	`GCM-T-C10-01`	`history_replay`	`M3`	State / History Separation
`GCM-C11`	`GCM-T-C11-01`	`history_replay`	`M3`	Endpoint / History Closure Separation
`GCM-C12`	`GCM-T-C12-01`	`negative`	`M0`	Operation Layer Separation
`GCM-C13`	`GCM-T-C13-01`	`negative`	`M1`	Capability / Authority Separation
`GCM-C14`	`GCM-T-C14-01`	`negative`	`M0`	Proposal / Commit Separation
`GCM-C15`	`GCM-T-C15-01`	`negative`	`M3`	Local / Global Success Separation
`GCM-C16`	`GCM-T-C16-01`	`deterministic_behavior`	`M4`	Global Coherence / Synchronization Separation
`GCM-C17`	`GCM-T-C17-01`	`schema_validation`	`M0`	Domain / Physical Space Separation
`GCM-C18`	`GCM-T-C18-01`	`static_architecture`	`M1`	Mathematics / Optimization Separation
`GCM-C19`	`GCM-T-C19-01`	`negative`	`M1`	Authority Non-Escalation
`GCM-C20`	`GCM-T-C20-01`	`negative`	`M0`	Foundation Constancy of Ordinary Runtime
`GCM-C21`	`GCM-T-C21-01`	`schema_validation`	`M4`	Resolution Type Separation
`GCM-C22`	`GCM-T-C22-01`	`deterministic_behavior`	`M4`	Lifecycle Type Separation
`GCM-C23`	`GCM-T-C23-01`	`negative`	`M4`	Potential / Existence Separation
`GCM-C24`	`GCM-T-C24-01`	`resource_cost`	`M4`	Bounded Active / Bounded Cost Separation
`GCM-C25`	`GCM-T-C25-01`	`history_replay`	`M3`	Typed Order Separation
`GCM-C26`	`GCM-T-C26-01`	`history_replay`	`M3`	Rollback Persistence
`GCM-C27`	`GCM-T-C27-01`	`negative`	`M3`	Unknown History Equivalence Safety
`GCM-C28`	`GCM-T-C28-01`	`negative`	`M3`	Foundation Revision Governance
`GCM-A01`	`GCM-T-A01-01`	`static_architecture`	`M0`	Sole Ordinary World Writer
`GCM-A02`	`GCM-T-A02-01`	`static_architecture`	`M0`	Foundation Revision Isolation
`GCM-A03`	`GCM-T-A03-01`	`deterministic_behavior`	`M0`	Proposal Isolation
`GCM-A04`	`GCM-T-A04-01`	`negative`	`M1`	Route Non-Escalation
`GCM-A05`	`GCM-T-A05-01`	`deterministic_behavior`	`M1`	Safe-Set Optimization
`GCM-A06`	`GCM-T-A06-01`	`negative`	`M2`	Bridge Semantic Gate
`GCM-A07`	`GCM-T-A07-01`	`negative`	`M3`	Reconciliation Before Commit
`GCM-A08`	`GCM-T-A08-01`	`negative`	`M3`	Verification Before Commit
`GCM-A09`	`GCM-T-A09-01`	`negative`	`M3`	Parent Freshness
`GCM-A10`	`GCM-T-A10-01`	`negative`	`M3`	Foundation Freshness
`GCM-A11`	`GCM-T-A11-01`	`negative`	`M4`	Observer Read-Side Boundary
`GCM-A12`	`GCM-T-A12-01`	`schema_validation`	`M4`	Materialization Provenance
`GCM-A13`	`GCM-T-A13-01`	`deterministic_behavior`	`M4`	Lifecycle Plane Separation
`GCM-A14`	`GCM-T-A14-01`	`negative`	`M3`	Authority Recheck When Revocable
`GCM-A15`	`GCM-T-A15-01`	`history_replay`	`M3`	Typed History Relations
`GCM-A16`	`GCM-T-A16-01`	`history_replay`	`M3`	Rollback / Compensation Persistence
`GCM-A17`	`GCM-T-A17-01`	`negative`	`M3`	Unknown History Merge Safety
`GCM-A18`	`GCM-T-A18-01`	`history_replay`	`M3`	Replay Evidence Bound
`GCM-A19`	`GCM-T-A19-01`	`negative`	`M4`	Telemetry Separation
`GCM-A20`	`GCM-T-A20-01`	`negative`	`M2`	Plugin Non-Authority
`GCM-A21`	`GCM-T-A21-01`	`deterministic_behavior`	`M4`	No Single Clock Assumption
`GCM-A22`	`GCM-T-A22-01`	`static_architecture`	`M4`	Global Coherence / Consensus Separation
`GCM-A23`	`GCM-T-A23-01`	`fault_injection`	`M3`	Crash Semantic Recoverability
`GCM-A24`	`GCM-T-A24-01`	`schema_validation`	`M0`	Schema-Version Pinning
`GCM-A25`	`GCM-T-A25-01`	`negative`	`M2`	External Side-Effect Typing
`GCM-A26`	`GCM-T-A26-01`	`resource_cost`	`M4`	Bounded Active / Bounded Cost Separation

Appendix B. Cross-cutting test registry

Test	Class	From	Purpose
`GCM-T-X-001`	`schema_validation`	`M0`	SchemaBundleSelfValidation
`GCM-T-X-002`	`schema_validation`	`M0`	UnknownFieldForwardCompatibility
`GCM-T-X-003`	`static_architecture`	`M0`	SpecDigestPinning
`GCM-T-X-004`	`deterministic_behavior`	`M1`	DeterministicSeedRepetition
`GCM-T-X-005`	`negative`	`M1`	NegativeFixtureSanity
`GCM-T-X-006`	`static_architecture`	`M0`	EvidenceCompleteness
`GCM-T-X-007`	`deterministic_behavior`	`M4`	ClockIndependenceHarness
`GCM-T-X-008`	`fault_injection`	`M3`	CrashMatrixCompleteness
`GCM-T-X-009`	`history_replay`	`M3`	HistoryExportRoundTrip
`GCM-T-X-010`	`static_architecture`	`M0`	ProfileClaimCompleteness
`GCM-T-X-011`	`resource_cost`	`M4`	ResourceBaselineReproducibility
`GCM-T-X-012`	`history_replay`	`M3`	FoundationMigrationAudit

Appendix C. Profile gate summary

Profile	Required invariants	Primary tests	Supplemental tests	Claim scope
`R0-M0`	11	11	5	Through M0
`R0-M1`	16	16	7	Through M1
`R0-M2`	20	20	7	Through M2
`R0-M3`	37	37	10	Through M3
`R0-M4`	54	54	12	Through M4

Appendix D. Canonical conclusions

TW-03 v0.1 最終固定以下工程命題：

\boxed{ \text{Conformance} \neq \text{Feature Count} }

\boxed{ \text{Schema Validation} \neq \text{Runtime Verification} \neq \text{Implementation Conformance} }

\boxed{ \text{Required MUST Failure} \Rightarrow \text{No Conformant Claim} }

\boxed{ \text{PASS} \Rightarrow \text{Evidence Complete} }

\boxed{ \text{Test Hook} \not\Rightarrow \text{Semantic Authority} }

\boxed{ \text{Crash} \not\Rightarrow \text{Silent Semantic Ambiguity} }

\boxed{ \text{Unknown History Equivalence} \Rightarrow \text{No Merge By Default} }

以及整個第二輪工程鏈：

\boxed{ 00\text{--}06 \rightarrow \text{TW-01} \rightarrow \text{TW-02} \rightarrow \text{TW-03} \rightarrow \text{Reference Runtime MVP}. }

GCM Conformance, Verification & Reference Implementation Specification

GCM Conformance, Verification & Reference Implementation Specification

Global Computation Methodology 合規測試、故障注入、證據契約與 Reference Runtime 驗收規格 v0.1

摘要

0. 文件角色與規範優先級

1. Normative language

2. Validation、Verification、Conformance 的型別分離

2.1 Structural validation

2.2 Runtime verification

2.3 Implementation conformance

3. Conformance profile model

4. Result domain 與硬 Gate

4.1 PASS

4.2 FAIL

4.3 SKIP

4.4 NOT_APPLICABLE

4.5 INDETERMINATE

5. 不採百分比合規

6. Test classes

6.1 schema_validation

6.2 static_architecture

6.3 deterministic_behavior

6.4 negative

6.5 fault_injection

6.6 history_replay

6.7 resource_cost

7. Evidence model

7.1 Evidence completeness

7.2 Digest

8. Determinism 與 Virtual Clock

9. Reference Harness 與 SUT Adapter Contract

10. Architecture lint

11. Schema conformance

12. Route / Authority / Admissibility negative tests

13. Executor / Bridge / Proposal tests

14. Reconciliation、Verification、Pre-Commit、Commit tests

15. Observer / Projection / Materialization tests

16. Lifecycle / Active Support tests

17. Resource / Cost conformance

18. History / Provenance tests

18.1 Endpoint equality

18.2 Unknown equivalence

18.3 Rollback / compensation

19. Replay grades

20. Failure injection matrix

21. External side-effect tests

22. Supplemental cross-cutting tests

23. Invariant-primary test mapping

24. Milestone acceptance gates

24.1 M0 — Canonical Kernel

24.2 M1 — Reachability / Admissibility / Authority

24.3 M2 — Heterogeneous Execution

24.4 M3 — Reconcile / Verify / Commit / History

24.5 M4 — Observer / Materialization / Lifecycle / Bounded Runtime

25. Waiver 與 deviation policy

26. Conformance claim record

27. Reference Implementation Specification

27.1 Required hooks

27.2 Test-only hooks MUST NOT redefine semantics

28. Machine-readable artifacts

29. Fresh prior-art positioning

30. Security 與 adversarial implementation 注意事項

31. Reference MVP 完成判準

32. TW-03 至 MVP 交接

Appendix A. Canonical invariant-primary test registry

Appendix B. Cross-cutting test registry

Appendix C. Profile gate summary

Appendix D. Canonical conclusions

6.1 `schema_validation`

6.2 `static_architecture`

6.3 `deterministic_behavior`

6.4 `negative`

6.5 `fault_injection`

6.6 `history_replay`

6.7 `resource_cost`