Havenlon 执行控制工程 II 10｜为什么 Executor 必须被抽象？

第一次做执行控制系统时很容易从具体业务出发。目标是链上转账就围绕交易构造、签名、广播、确认写一套逻辑目标是设备控制就围绕引脚、电平、状态、时序写另一套换成支付接口又变成账户、金额、回执换成云端部署则是集群、镜像、发布与回滚。从业务层看这些确实不是同一件事一个改变链上资产状态一个改变电气信号一个调用金融机构接口一个修改计算资源。但把视角挪到执行控制层会看到一个有意思的事实——它们在真正改变现实之前都要回答一组高度相似的问题。要执行什么对象是谁最终参数是什么当前条件是否仍然成立这个动作是否已经获得执行资格抽象动作如何映射到底层能力执行之后结果是什么以及这件事将来能否被重新证明。于是这些看似无关的动作会收敛成同一个结构输入、验证、参数映射、执行、结果、证据。这也是为什么在构建执行控制平台时执行侧不该被写死成某一种业务——更合理的方向是把执行本身抽象成一条稳定边界让具体业务只作为适配器存在。一、写死业务边界很快就会消失假设第一版系统只支持链上转账代码可以写得非常直接校验、构造、签名、广播。运行得不错。后来要支持云端部署于是加一套再后来要支持设备控制再加一套。功能越来越多问题也随之出现——执行控制逻辑开始和具体业务实现混在一起。某些业务自己校验规则某些自己检查顺序状态某些自己生成证据某些自行实现重试还有的在适配层里重新解释了上游裁决。最终每一种执行类型都带着一套略有差异的安全语义所谓的执行控制层实际上退化成了一组业务插件。所以抽象的第一层价值并不是减少重复代码而是把所有执行类型都必须遵守的安全结构固定下来。前提是先分清两件事。执行控制不需要成为区块链协议专家不必重新实现清算系统更不该自己变成编排平台。它关心的是这个动作有没有执行资格最终参数有没有偏离被裁决的对象当前状态是否仍然允许是否发生重复消费必要证据是否完整。而如何调用具体的节点、接口、驱动或控制面属于业务侧的事。控制层决定能不能做适配器负责具体怎么做。这与此前把裁决与执行分开是同一条线索只是现在往里再走一层执行侧内部通用执行协议与具体业务动作也需要分开。二、稳定的是契约不是字段要支持多种执行对象首先需要的不是为每种业务写一堆代码而是定义一份稳定的执行契约。这份契约不能围绕某一类业务字段展开——写成链上交易的参数集合就只适用于一个领域写成硬件控制的参数集合就被绑死在另一个领域。更合适的做法是先定义执行控制真正需要的生命周期关系接收请求、验证、准备、提交、结果、证据。具体适配器再把抽象的执行请求映射成各自领域的动作对象。核心层定义生命周期适配层定义动作语义。与之配套的是输入形态。执行侧不应该接收帮我把钱转过去或把生产环境更新一下这类表述——那仍是自然语言、业务意图或高层目标。真正进入执行侧时动作应当已经收敛成一个明确对象做什么、作用于什么、参数是什么、属于哪一份意图、由哪一次裁决支持、是否仍然新鲜。只有这样它才能完成最后的绑定校验。这也解释了为什么执行侧不该同时承担自然语言理解、规划与业务推理。越靠近现实输入反而应该越确定。三、验证与参数映射不同领域的验证字段差异很大链上要确认目标地址、数额、网络支付要确认收款方、金额、币种、上下文设备控制要确认目标、通道、动作范围与当前硬件状态云端部署要确认环境、镜像、资源范围。但在执行控制层看来它们问的是同一件事即将提交的动作是否仍然符合此前获得资格的那个执行对象。所以这里的验证不该重跑完整业务规则它更适合做执行时刻的不变量检查——这是所有适配器共有的结构。参数映射是另一半也是最敏感的一步。控制层里的参数往往不等于底层接口参数一笔抽象的支付落到链上可能要转成合约调用、编码与链参数落到银行接口要转成内部字段与格式落到云端要转成资源清单与区域标识。很多执行缝隙恰恰发生在这里——上游审核的是一件事底层最终生成的是另一件。所以映射不能被当成普通的序列化它是从被授权语义到现实动作语义的最后一次转换。这一步越清晰验证、测试与证据绑定就越容易。它还应当尽量确定。如果同一个执行对象今天映射出一组底层参数、明天映射出另一组最终执行就很难审计。在执行对象、适配器版本和环境都明确的前提下底层动作应当稳定——同一个抽象支付不该因为某段业务逻辑而指向不同账户同一个设备动作不该因为运行上下文不同而悄悄改变目标。确定性不是为了代码优雅而是为执行完整性提供可验证的基础。由此引出映射环节最重要的一条边界。假设上游给出的目标当前不可用适配层聪明地换了一个目标继续执行——从业务容错看似乎合理从执行控制看非常危险因为它已经开始重新解释意图。适配器可以把参数翻译成底层格式但不能擅自改变执行语义。如果业务上确实需要换一个目标那就应该形成新的意图与新的裁决而不是在最后一公里悄悄改写。适配器不是规划者它只是执行语义的翻译层。四、准备、提交以及调用成功与现实成功大量高风险操作都可以拆成两步准备阶段生成最终的底层执行对象、校验参数、检查环境但尚未改变现实提交阶段才真正触发不可逆动作。这个划分很有价值因为在提交之前系统还有最后一次机会确认即将真正发生的究竟是什么准备的产物甚至可以成为最终的校验对象——确认执行参数仍与裁决绑定之后才进入提交。与之相关的是一个常被含糊处理的问题究竟哪一步开始改变现实。调用返回成功代表已经执行、只是进入队列、已被受理还是最终完成每个适配器都必须明确自己的提交点——是交易真正进入网络是服务端正式接受了不可逆请求是物理输出真正改变还是控制面接受了资源变更。顺序状态、重放防护、证据与恢复全都要围绕这个点来设计。紧接着是结果语义。接口返回成功未必等于业务成功交易广播出去可能随后失败部署请求被受理可能尚未完成支付被接受可能仍在处理中。所以结果至少要区分命令层面的结果与现实层面的结果某些场景还需要已提交、处理中、已确认、失败、部分完成等更细的状态。我成功调用了底层系统不等于现实已经到达目标状态。不同系统返回的东西差异极大如果核心层直接理解所有业务返回它会迅速变复杂。更合理的是由每个适配器把底层结果收敛成统一的结果模型——业务结果可以多样核心控制层需要一套稳定的结果语义。其中未知必须是一等状态。真实接口常常出现请求已发出而客户端没拿到明确结果的情况网络中断、远端超时、响应丢失。此时最危险的逻辑是没看到成功就当作失败再执行一次因为现实可能已经改变。适配器必须能够表达我现在无法确认现实是否已经发生变化而正确动作通常不是自动重提交而是进入结果对账重新查询、读取证据、确认外部状态直到能够建立明确结论。这也意味着每个适配器都需要具备对账能力——链上可以查交易状态支付可以查参考号云端可以读实际资源状态设备可以读当前硬件状态。如果它只会执行而不会核对一旦出现模糊失败整个系统就很难安全恢复。失败语义必须写进契约而不是留给各自发挥。五、通用能力应当收归框架重试就是一个典型例子。如果一个适配器无限重试、另一个重试有限次、第三个直接再写一遍、第四个自动切换区域那么每种执行类型都会拥有不同的安全行为。更稳妥的做法是把重试语义提升为通用控制逻辑适配器只负责说明这个错误属于可安全重试、需要对账、明确拒绝还是不可恢复失败而是否重试、何时重试、重试前需要重新验证什么由统一边界决定。这能避免有人为了把功能跑通在适配层里悄悄降低执行安全。执行身份同样不能在适配层被绕过。接口超时之后适配器不能自行生成一个新的执行标识重发一遍——核心层看到的会是两次不同的执行而外部系统看到的是两笔真实动作。执行身份必须从核心层一路传递下去适配器需要清楚这是同一次执行的重试还是一次全新的执行。底层的幂等机制可以各不相同核心语义必须一致同一份执行资格不能因为网络重试被复制。证据生成也应当写进契约。如果由各业务自行决定是否生成很快就会变成这个有完整证据那个只有日志第三个只返回一句成功。合理的要求是——任何执行侧完成一次关键状态转换都必须产生对应的证据其中包含执行身份、裁决绑定、适配类型、准备对象引用、提交结果、最终状态与必要的时间关系。同时抽象不该意味着丢掉业务细节。链上的交易引用、支付的参考号、云端的资源标识都很重要它们属于领域证据而核心层还需要控制层面的证据来说明这个动作为什么获得执行资格、如何进入执行链。两者最好互相绑定通用证据不取代业务证据而是把业务证据放进完整的执行上下文。六、适配器像驱动程序而且应该很小一个恰当的类比是设备驱动。操作系统不会要求磁盘驱动理解用户为什么保存这份文档驱动只负责把统一的块请求映射到具体硬件。同样执行适配器也不该知道公司今天为什么付款、为什么要部署这个服务、审批者出于什么考虑同意——它只需要知道这里有一个已经获得执行资格的明确动作我该如何在目标系统中准确执行并返回真实结果。所以一个适配器如果自己连数据库、自己跑风控、自己做审批、自己决定重试它几乎肯定已经超出了应有的职责。越大意味着攻击面越大、审计越难、执行语义越模糊。把业务复杂性留在上层让最后一公里保持简单——这与硬件边界追求小可信计算基是同一种思路越靠近现实逻辑应该越少权限应该越明确。适配器本身也需要版本语义。底层接口会变协议升级接口更新固件改动平台演进。同一个执行对象经过不同版本的适配器可能生成不同的底层动作这会直接影响审计、证据与回放。所以证据最好能说明当时由哪一版适配器完成了映射与执行。更进一步说适配器升级本身就是执行边界的一部分。它能改变参数如何映射、提交如何发生、结果如何解释这意味着它可以改变现实执行语义。因此它需要版本管理、测试、发布控制与必要的安全验证——与固件更新、规则供应链同理谁能修改适配器谁就能改变同一份抽象意图最终如何落到现实。七、抽象什么以及不抽象什么抽象要落到语义上而不是接口上。支付部署转账不等于某个具体的接口调用那些只是特定系统里的执行机制控制层需要的是执行语义至于最终对应哪个接口、协议或驱动由适配层决定。这样更换底层供应商时上层意图与规则不必全部重写。目标同样应当是有语义的对象而不是一段任意字符串。如果一切都只是标识符系统很难判断它是账户、设备、集群还是资源。不必强行把所有场景压成同一种结构重要的是核心层知道目标是一个具有明确执行语义的对象——这能减少参数串用、跨域误执行和类型混淆。抽象稳定之后安全能力才可能跨业务复用时效、重放防护、顺序状态、裁决绑定、准备与提交、结果对账、证据链、失败安全恢复都可以成为框架的通用能力而不必在每个领域重新发明。真正被复用的不是业务代码而是安全结构。这也让执行控制语言得以跨场景存在。如果执行侧完全写死业务规则也会跟着写死最终语言只是一堆彼此割裂的业务规则集合而当执行被抽象之后规则可以围绕主体、动作、目标、参数、约束、状态与证据这些通用概念展开。但要避免走向另一个极端结构相似不等于所有执行完全相同。不同领域在确认语义、失败语义、不可逆程度、结果验证方式、重试规则与时间尺度上仍有本质差异硬塞进一个万能接口只会造出一层漏洞百出的抽象。框架应当统一的是生命周期与安全接口领域语义仍留在适配层——不是消灭差异而是把差异放到正确的位置。真正需要统一的是不变量不是业务细节。无论面对哪个领域高风险执行都应满足同一组约束不执行没有明确资格的动作不擅自改变被裁决的参数不因网络重试而重复消费执行资格不把未知结果当作失败盲目重试区分准备与不可逆提交产生可验证的结果形成证据。八、它抽象的其实是现实改变这件事回到最初那两个看似极端不同的例子。链上转账的路径是资产转移意图进来验证目标、数额、网络与执行资格映射成底层交易对象签署并广播观察链上状态形成带交易引用的证据。设备控制的路径是控制意图进来验证目标设备、通道、动作范围与本地状态映射成硬件输出参数改变电气状态读取实际状态形成本地执行证明。业务完全不同结构几乎一致。支付接口与云端部署也一样——一个改变金融系统中的资产状态一个改变计算基础设施状态从控制层看它们只是连接不同现实域的适配器。自主系统会让统一边界变得更必要。Agent 最大的能力是调用各种工具今天转账明天部署后天控制设备。如果每个工具自带一套安全逻辑它面对的将是一堆互不一致的边界——有的要授权有的不要有的防重放有的不防有的产出证据有的只返回一段文本。更成熟的方向是它面对的不该是一堆可以直接改变现实的工具而是一组遵循统一执行控制协议的执行端。软件工程习惯围绕数据、接口、服务和领域模型做抽象而执行控制还需要一层更底层的抽象现实改变。无论表现为钱被转走、信号被改变、实例被创建、设备被解锁还是数据被删除共同点都是系统把一个数字意图转换成了不可忽略的外部状态变化。执行端就是数字世界与现实之间的那个接口。需要说清楚的是这套抽象不会消除风险。适配层仍可能出错映射仍可能出偏差底层系统仍可能返回含糊结果。它降低的是同类安全逻辑在每个领域被重复发明、并在某处被悄悄削弱的概率。一个可扩展的执行控制平台不该因为今天接入某个链就变成钱包系统明天接入设备就变成工业控制器后天接入支付就变成清算中间件。真正应该稳定存在的是那层核心执行身份、裁决绑定、时效、重放防护、状态验证、准备与提交、结果语义、证据。领域只通过适配器连接现实。执行对象千差万别但执行控制需要关心的结构其实高度一致。成熟的执行抽象不是让所有业务看起来一样而是让所有真正会改变现实的动作都必须回答同一组问题你要改变什么你凭什么现在改变最终参数究竟是什么现实到底有没有被改变以及——这件事以后还能不能被重新证明。