> ## Documentation Index
> Fetch the complete documentation index at: https://docs.intention.xyz/llms.txt
> Use this file to discover all available pages before exploring further.

# Допущения о доверии

> Что остаётся принимать на веру, когда проверено всё проверяемое: набор валидаторов, кворум по ценам, управление, мост и сам код.

Каждая торговая площадка заявляет, что убрала доверие, и почти ни одна не говорит, что оставила. Так утверждение становится нефальсифицируемым, а это то же самое, что сделать его бесполезным. Эта страница — тот самый список.

Он написан как **границы**, а не как меры смягчения. Мера смягчения отвечает на вопрос *что вы с этим делаете*; граница отвечает на вопрос *насколько плохо может стать*, и проверить читатель может только второе. Там, где у поверхности границы пока нет, запись так и говорит.

<div className="dg" data-dg="trust-surfaces">
  <div className="dg-c" style={{aspectRatio:"720 / 434"}}>
    <svg className="dg-w" viewBox="0 0 720 434" aria-hidden="true" />

    <div className="dg-b dg--blue dg-left" style={{left:"0.0000%",top:"6.9124%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">Консенсус</span><span className="dg-s">Византийская доля остаётся ниже трети</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"6.9124%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">Ниже порога никакое меньшинство не удержит батч и не зафиксирует второй порядок. Выше — аргумент безопасности просто заканчивается.</span></div>
    <div className="dg-b dg--sky dg-left" style={{left:"0.0000%",top:"23.5023%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">Цена</span><span className="dg-s">Кворум удостоверяет наблюдение, а не его точность</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"23.5023%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">Зажим и разнообразие площадок ограничивают, насколько один источник двигает результат. Ни то ни другое не создаёт информацию, которой у рынка не было.</span></div>
    <div className="dg-b dg--yellow dg-left" style={{left:"0.0000%",top:"40.0922%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">Управление</span><span className="dg-s">Переконфигурация на границах эпох</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"40.0922%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">Ограничено набором валидаторов, параметрами консенсуса и риска, аварийными действиями. Кому принадлежат эти полномочия, пока не опубликовано.</span></div>
    <div className="dg-b dg--orange dg-left" style={{left:"0.0000%",top:"56.6820%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">Мост</span><span className="dg-s">Эскроу-контракты и канал сообщений, заверяемый валидаторами</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"56.6820%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">Лимиты на вывод ограничивают радиус поражения. Глубокие реорганизации исходной сети и компрометация ключей подписи — нет.</span></div>
    <div className="dg-b dg-left" style={{left:"0.0000%",top:"73.2719%",width:"59.7222%",height:"14.2857%"}}><span className="dg-t">Программы</span><span className="dg-s">В периметре один внешний аудит, остальное — внутренний контроль</span></div>
    <div className="dg-b dg-plain dg-left" style={{left:"63.6111%",top:"73.2719%",width:"36.3889%",height:"14.2857%"}}><span className="dg-s">Повтор доказывает, что узлы сходятся друг с другом. Он не доказывает, что спецификацию реализовали дважды независимо и они сошлись.</span></div>
    <div className="dg-free" style={{left:"0.0000%",top:"0.0000%",width:"59.7222%"}}><div className="dg-n">Что всё ещё приходится допускать</div></div>
    <div className="dg-free" style={{left:"63.6111%",top:"0.0000%",width:"36.3889%"}}><div className="dg-n">Чем это ограничено</div></div>
    <div className="dg-free" style={{left:"0.0000%",top:"90.3226%",width:"100.0000%"}}><div className="dg-n">Проверка ограничивает то, что приходится допускать. Она не опустошает этот список, и ни один протокол его не опустошает.</div></div>
  </div>
</div>

<h2 id="consensus">
  Консенсус
</h2>

**Допущение:** византийская доля остаётся ниже трети от общей.

[IntentionBFT](/ru/protocol/architecture/intention-bft) выдерживает противника, контролирующего до трети доли. Честная доля поэтому всегда больше двух третей, а кворум для чего угодно — это множество валидаторов, чья суммарная доля превышает две трети. Ниже порога безопасность держится безусловно; живучесть — после стабилизации сети.

**Что даёт эта граница.** Две конкретные вещи, а не общее ощущение защищённости. Пакеты транзакций обязаны доказать доступность, взвешенную двумя третями доли, прежде чем предложение сможет на них сослаться, — значит, блок никогда не зависит от данных, которые держало одно византийское меньшинство. А порядок — объект, зафиксированный консенсусом и покрытый хешем блока, поэтому ни один честный валидатор не подпишет второй порядок тех же транзакций в том же раунде.

**Чего она не даёт.** Выше порога аргумент не деградирует плавно — он прекращается. А ниже порога одна поверхность остаётся открытой: лидер выбирает, какие доступные пакеты включить в собственное предложение и как их расположить. Страница о консенсусе называет это остаточной поверхностью, смягчаемой репутацией лидеров и тем, что без действительных ценовых наблюдений лидер вообще не создаст блок. Более сильные конструкции честного упорядочивания ведутся как кандидат на обновление, а не как уже поставленное.

<h2 id="price">
  Цена
</h2>

**Допущение:** кворум удостоверяет, что эти наблюдения были поданы в этом раунде. Он не удостоверяет, что они были верны.

В этом различии — всё. Страница [оракула](/ru/protocol/architecture/oracle) формулирует гарантию точно: транзакция рассчиталась по цене, которую кворум валидаторов удостоверил в том же раунде, что зафиксировал транзакцию, и ни один путь исполнения не мог прочитать другую. Привязка цены к транзакции — настоящее свойство, и оно не то же самое, что верность цены.

**Чем это ограничено.** Агрегация зажимает, насколько один источник способен сдвинуть результат, а требование разнообразия площадок означает, что наблюдения по инструменту берутся более чем из одного независимого источника. Маркировочная цена выводится из индексной со сглаживанием и ограничением, поэтому короткий разрыв не переходит сразу в каскад ликвидаций.

**Чего это не ограничивает.** Согласованное движение сразу на нескольких базовых площадках или общерыночный разрыв. Взвешивание и зажим не создают информацию, которой у рынка не было. Цена — самый весомый внешний вход торговой системы, и устойчивость к манипуляции здесь вопрос степени.

<h2 id="governance">
  Управление
</h2>

**Допущение:** полномочие на переконфигурацию существует, и на границах эпох оно может изменить то, на что вы опираетесь.

Внутри эпохи набор валидаторов и большинство параметров постоянны. На границе эпохи санкционированная управлением переконфигурация может изменить набор валидаторов, параметры консенсуса и риска, а также предпринять аварийные действия. Переходы атомарны — каждый честный валидатор видит один и тот же переход на одной и той же высоте блока, — но атомарность описывает, *как* изменение приземляется, а не ограничивает то, *что* может измениться.

Досягаемость реальна и её стоит назвать прямо. Листинг рынка, конфигурация комиссий, ступени плеча и параметры риска — всё это инструкции системной конфигурации, санкционируемые управлением, а маржинальные ступени, задающие вашу цену ликвидации, движутся внутри установленных управлением границ.

<Warning>
  Кому принадлежит это полномочие, по какой процедуре и с каким сроком уведомления — на этом сайте пока не опубликовано. Пока не опубликовано, это самая большая **неограниченная** поверхность на странице, и читать её следует именно так, а не как умолчание, из которого будто бы следует, что там ничего нет.
</Warning>

<h2 id="bridge">
  Мост
</h2>

**Допущение:** эскроу-контракты во внешних сетях и канал сообщений, заверяемый валидаторами между ними и этой сетью, держатся оба.

Обеспечение попадает сюда через [мост](/ru/protocol/architecture/bridge). Контракты исходной сети держат депонированные активы; успешная эксплуатация этих контрактов или канала заверения оборачивается потерей перенесённого обеспечения. Структурно это самый уязвимый компонент системы, потому что он единственный, чья безопасность зависит от кода, который сам протокол не исполняет.

**Чем это ограничено.** Выводы ограничены по скорости, что ограничивает радиус поражения **обнаруженной** уязвимости, но не необнаруженной. Мост — область наивысшего приоритета для внутреннего аудита и входит в периметр [программы вознаграждений](/ru/protocol/security/bug-bounty).

**Чего лимит скорости не ограничивает.** Реорганизации исходной сети глубже настроенной глубины подтверждения, компрометацию ключей подписи валидаторов и дефекты самой логики заверения.

<h2 id="software">
  Программное обеспечение
</h2>

**Допущение:** спецификация реализована верно, и сама спецификация верна.

[Проверка](/ru/developers/verify) устанавливает, что состояние, которое вам отдают, получено по опубликованным правилам на зафиксированных входах. Она не устанавливает, что эти правила без дефектов: точно воспроизвести баг — всё равно воспроизвести баг. Для этого существуют [аудиты](/ru/protocol/security/audits) и [программа вознаграждений](/ru/protocol/security/bug-bounty), и страница аудитов прямо говорит, что сейчас в периметре один внешний аудит, тогда как ядро, консенсус и клиринговая палата закрыты внутренними мерами контроля, а не внешней проверкой.

Одно следствие стоит назвать, потому что его легко переоценить. Побайтный детерминизм становится **перекрёстной проверкой** только тогда, когда существует более одной реализации. Пока в продакшене не работает второй независимый клиент, повтор блока подтверждает, что узлы сходятся друг с другом, — но не то, что спецификацию реализовали дважды независимо и результаты сошлись.

<h2 id="where-this-leaves-you">
  Где это вас оставляет
</h2>

Честный итог не в том, что доверие убрано. Он в том, что доверие перенесено: из мест, где приходится верить кому-то на слово — маржинальные цифры оператора, момент решения риск-комитета, отчёт, собранный рядом с системой, — в места, где допущение можно хотя бы назвать, ограничить и наблюдать.

Список выше — это то, что осталось. Он сокращается по мере того, как разнообразятся клиенты, завершаются аудиты и документируется управление; до нуля он не доходит, и площадка, которая говорит вам обратное, рассказывает о своей документации, а не о своей архитектуре.

<h2 id="where-to-go-next">
  Что дальше
</h2>

<CardGroup cols={2}>
  <Card title="Проверьте сами" href="/ru/developers/verify">
    Пять проверок, которые сокращают этот список.
  </Card>

  <Card title="IntentionBFT" href="/ru/protocol/architecture/intention-bft">
    Порог отказов, кворумы и то, что лидер всё ещё может выбрать.
  </Card>

  <Card title="Оракул" href="/ru/protocol/architecture/oracle">
    Что именно гарантирует удостоверение, сформулировано точно.
  </Card>

  <Card title="Риски" href="/ru/protocol/security/risks">
    Та же территория со стороны трейдера, а не архитектора.
  </Card>
</CardGroup>