签名承诺账本与见证保护
说明 AeroNyx 如何用一个协调器、经审计的跟随节点、固定见证人和故障关闭租约验证只追加的加密承诺账本，同时不宣称公链共识。
签名承诺账本与见证保护
AeroNyx 已为加密 MemChain 记录运行签名、只追加的承诺账本。账本证明顺序与完整性，但基础设施仍无法读取记忆内容。它是协议完整性机制，不是公链。
协议不变量: 协调器、跟随节点、见证人、后端和官网只能处理密文承诺与有界运行证据；不得接收记忆明文、解密密钥、所有者关系或社交图谱。
当前生产架构
当前部署由一个承诺协调器和三个经审计的跟随／见证节点组成。协调器排序不透明承诺；跟随节点独立验证区块祖先关系与签名，保存签名检查点证据，并签发短期生产租约。在见证假设成立时，这能防止回滚和复制协调器并行写入。
| 角色 | 职责 |
|---|---|
| 客户端 | 在本地加密并签名记忆；密钥不进入节点基础设施。 |
| 协调器 | 仅在完整性与权限门禁通过后，将不透明承诺写入签名区块。 |
| 跟随／见证节点 | 验证历史、保存签名观测、提供检查点并签发有时限的租约。 |
| 后端／官网 | 只发布聚合健康度，不发布哈希、签名、身份、端点、所有者或内容。 |
截至 2026 年 7 月 16 日，四个上报节点验证了相同的高度 33 历史，共覆盖 8,339 笔不透明承诺：一个协调器、三个跟随节点；协调器持有 3/3 运行时见证租约。这是带日期的运行观测，当前状态请查询公开 API。
写入与验证流程
- 客户端在本地加密并签名可记忆记录。
- 协调器只追加不透明承诺和排序元数据。
- 每次追加都验证上一签名区块并更新本地签名高水位锚点。
- 跟随节点拉取有界分页，验证祖先关系与签名，并保存检查点证书。
- 只有所有配置的运行时见证人都为同一租约实例授权时，协调器才生产新区块。
启动与运行时门禁
系统有意使用两种独立控制：启动检查点在公开监听器打开前检测回滚；运行时租约防止两个复制的协调器同时继续生产。
- 启动阈值: 协调器打开 UDP、TUN 或 API 监听器前，三个固定见证人中至少两个必须返回不同且有效的签名证据。
- 运行时租约: 三个配置见证人必须全部为活动协调器签发短租约。部分续租进入降级状态；权限到期后停止生产。
- 恢复: 见证网络恢复后，完整的新租约轮次恢复生产权限，并增加聚合恢复计数。
失效模型
| 条件 | 必需行为 |
|---|---|
| 一个见证人未续租 | 报告 renewal_degraded，在现有租约仍有效时重试。 |
| 租约到期 | 设置 production_permitted=false，对新承诺生产故障关闭。 |
| 签名远端状态更高 | 停止启动，因为本地状态可能已回滚。 |
| 签名历史分叉 | 停止启动并要求运营者调查，绝不自动合并冲突历史。 |
公开可观测性
隐私安全聚合接口为 GET https://api.aeronyx.network/api/privacy_network/vpn/public/network-stats/，字段位于 data.protocol_status.memory_chain。
{
"mode": "signed_commitment_ledger",
"status": "witness_protected",
"verified_nodes": 4,
"coordinator_nodes": 1,
"follower_nodes": 3,
"max_verified_tip_height": 33,
"max_verified_commitment_count": 8339,
"max_granted_witnesses": 3,
"max_required_witnesses": 3,
"network_consensus": "not_claimed"
}
上面的 JSON 是一次已验证生产观测示例，不是写死承诺。节点持续上报时，计数与租约剩余时间会变化。
节点 heartbeat 为运营者上报以下租约健康字段；公开接口只给聚合计数：
coordinator_lease_state, coordinator_lease_granted_witnesses,
coordinator_lease_required_witnesses, coordinator_lease_seconds_remaining,
coordinator_lease_production_permitted, coordinator_lease_last_attempted_at,
coordinator_lease_last_renewed_at, coordinator_lease_last_failure_at,
coordinator_lease_renewal_failures_total, coordinator_lease_consecutive_failures,
coordinator_lease_recoveries_total.
隐私边界
中心化／公开契约明确排除记录 ID、区块哈希、签名、见证人身份、端点、所有者、密文正文、明文、路由、客户端元数据、钱包级流量与社交图谱。承诺计数证明系统执行了工作，但不能说明记忆内容或创建者。
它不是什么
- 不是无许可共识、拜占庭最终性或分叉选择。
- 不是代币账本、智能合约平台或权益证明系统。
- 不证明所有主机或见证人都诚实。
- 不允许基础设施读取或搜索记忆明文。
常见问题
AeroNyx 现在有区块了吗？
有。承诺子系统使用签名区块排序不透明的加密记录承诺；但不应把它描述成公链或全网共识网络。
见证人离线会怎样？
现有权限仍有效时，部分续租会显示为降级；若租约到期前仍未获得全部配置见证人的新授权，新承诺生产会自动停止。
见证人能读取 MemChain 记忆吗？
不能。见证人只验证签名承诺结构和租约归属，不会收到记忆明文或解密密钥。
相关文档：记忆链与加密存储 与 去中心化隐私节点运维。