# 25 执行者与模型

平面：执行
governed_by：D-010、D-012、D-021
用途：把"谁来生成、谁来行动"定义成可替换的执行单元与可替换的模型档位，而不是一组角色名。

## 1. 最小职责与接口

- **它必须做到的**
  - 把执行者定义为可替换的执行单元：有输入、输出、权限与完成条件，责任不靠角色名承担。
  - 为每次委托写出合同，并在合同里声明是否继承治理规则。
  - 只接受结构化裁定作为子执行者的返回，不接受自由文本。
  - 按角色选择模型档位，并把模型当作可替换组件。
  - 把可确定的判断下沉给程序，模型只补判残余；判据与形态见[24 工具与执行环境](24-工具与执行环境.md) §2 P4。
  - 在模型代际更替时，标出为补偿模型能力而写的指令，作为消融候选交出去。
- **从别的部件拿什么**：从[21 调度与拆分](21-调度与拆分.md)拿子任务合同与拆分是否合法的结论；从[22 上下文装配](22-上下文装配.md)拿本次推理可见的工作集与隔离原语的选择；从[31 守卫与权限边界](31-守卫与权限边界.md)拿权限上限与不可逆动作的授权边界；从[33 评估与演进](33-评估与演进.md)拿评估结论与到期审计的判决。
- **给别的部件什么**：给[20 状态工件](20-状态工件.md)结构化裁定与实际执行者身份；给[32 证据与追踪](32-证据与追踪.md)分单元、分阶段的消耗与调用记录；给[33 评估与演进](33-评估与演进.md)指令的三分类标签与代际消融候选；给[30 验证与测试](30-验证与测试.md)待验证的产物。
- **它自己维护什么**：执行者清单及各自的权限与模型档位、委托合同、治理规则继承声明、指令按"能力补偿 / 组织信息 / 责任结构"的分类标签。
- **未决**：模型档位的划分维度（按能力、按成本、按延迟）尚无跨来源一致口径，暂留作项目参数。

## 2. 原则

- **P1 执行者是可替换的执行单元，不是角色扮演。** 一个执行者由输入、非目标、精确事实入口、权限、输出格式与验收定义；换成另一个执行者甚至一个确定性程序，只要合同不变，系统行为应当不变。给分身起职业名而不给它独立验收，不构成一次拆分。｜防的失败：协调成本上升而责任无处落 ｜删除条件：写不出（责任结构型：合同（输入、非目标、事实入口、权限、输出格式、验收）是责任的载体；起个职业名而不给独立验收，责任就没有落点）
- **P2 子执行者只回结构化裁定。** 返回含产物、三态结果（通过 / 失败 / 未定（UNDETERMINED）及其子原因）、判断依据与定位信息、来源或观察、已验证与未验证项、置信度、风险与依赖；缺字段即拒收。主执行者消费裁定，不解析自由文本，也不把全部原始探索回灌主上下文。｜防的失败：未验证内容被当成结论；无来源摘要进入下一步 ｜删除条件：起始档——子执行者自 L1 起才出现（L0 单会话无委托，形态见 §3）；作用域内写不出（责任结构型：缺字段即拒收，是接收方拒绝为未验证内容背书的权利）
- **P3 委托合同必须声明是否继承治理规则。** 治理规则指项目入口指令、权限边界与安全规则；默认值、不继承者的任务限制与权限沿委托链的子集关系见[31 守卫与权限边界](31-守卫与权限边界.md) §2 P7。｜防的失败：无规则约束的执行者做出有副作用的动作 ｜删除条件：起始档——委托自 L1 起才出现（形态见 §3）；作用域内写不出（责任结构型：治理规则是否继承必须显式声明，默认继承等于授权自动扩张）
- **P4 子任务须原子，才可以降级执行者。** 完全独立、不需跨轮累积、输入输出与验收在派发时写清；不满足则不得交给低能力或低成本执行者。强确定性流程中的子执行者不启用自动写入或自动注入的记忆。｜防的失败：需要全局上下文的任务被派给干净窗口，返回看似完成实则偏离；跨任务记忆串扰 ｜删除条件：起始档——降级执行者自 L1 起才有对象（形态见 §3）；作用域内写不出（责任结构型：派发方须在派发时写清输入输出与验收，这是派发责任而不是执行者能力问题）
- **P5 拆分不省成本，收益是生命周期可切段。** 各单元的固定开销并行叠加，子执行者的上下文独立计费，编排者每站重新理解状态的成本单独计量。拆分真正买到的是上下文有重置时机、长任务可分段；升级提案须同时列出这项收益与它的固定开销，并与单单元方案在同等预算下比较。｜防的失败：把拆分当省钱手段；下游单元的降幅被读作全流程收益 ｜删除条件：运行时能在单会话内安全重置上下文并保持连续性
- **P6 模型是可替换组件，按角色分档。** 生成、判定与评估不必也不应默认使用同一个模型；判定与评估侧的选择随其校准证据走，不随生成侧的默认。换模型只改执行平面，控制平面的纪律不随之松动。｜防的失败：以生成侧的便利决定评估侧的选择，评估随生成一起漂移 ｜删除条件：起始档——按角色分档自 L2 起才有对象（L0/L1 一个模型，形态见 §3）；作用域内"评价者不能是被评价者本人"写不出（责任结构型：判定与评估侧的模型选择随其校准证据走，不随生成侧的默认，否则评估随生成一起漂移）；档位差异本身可随模型能力收敛

## 3. 从 L0 到 L3

| 档 | 形态 |
|---|---|
| L0 一人一工具 | 一个会话、一个模型；"合同"就是自己写清楚这次要什么、不要什么、怎么算完成。 |
| L1 一人多会话 | 出现委托与分叉试探；每次委托写明是否继承治理规则，返回只收结构化结论。 |
| L2 团队 | 执行者清单与权限、模型档位具名维护；子执行者消耗计入总成本并分单元报告；验证侧与生成侧的模型分开选择。 |
| L3 无人值守 | 权限沿委托链单调收窄；确定性判断已下沉为程序；每次模型代际更替触发一轮补偿类指令的消融候选提交。 |

## 4. 追溯

本章的写作期内容——它解决什么问题、源章节与主题综合的映射、每条原则的证据强度——在[追溯账本](追溯账本.md#ch-25)，效力为零。