Validator do các bên biết danh tính vận hành, ràng buộc bằng hợp đồng pháp lý, trả công qua hợp đồng dịch vụ bằng tiền thật. Hệ quả: không lạm phát, và token gas của chain khách không cần có giá trị thị trường nào. Đây là khác biệt chi phí căn bản, không phải tối ưu biên — mô hình đối thủ phải nuôi giá một tài sản để có an toàn.

Ba chế độ vận hành, một codebase

Chế độ	Ai chạy	Phù hợp
Fully managed	Nền tảng chạy toàn bộ	Khách đơn giản, ngân sách thấp
Hybrid (mặc định)	Nền tảng đa số + khách một node + kiểm toán một node	Tài chính, consortium
Multi-party	Nhiều định chế cùng chạy	Consortium nhiều bên

Sơ đồ

flowchart LR CB["Một codebase<br/>khác đúng một trường<br/>trong bản kê khai"] --> M1["Fully managed"] CB --> M2["Hybrid · mặc định<br/>luôn có node ngoài"] CB --> M3["Multi-party"]

Hình 7 — Ba chế độ chỉ khác nhau ở cấu hình, không khác mã.

Luật chịu lỗi — cố định, không hạ được bằng cấu hình

Đồng thuận cần hơn hai phần ba tổng quyền biểu quyết để chốt một block. Với quyền đều nhau, mạng n node chịu được f node ngừng đột ngột theo công thức n ≥ 3f+1:

Số node	Chịu được	Ghi chú
3	0	mất bất kỳ node nào → dừng
4	1	ngưỡng tối thiểu có ý nghĩa
5–6	1	thêm node thứ sáu không tăng khả năng chịu lỗi
7	2	ngưỡng khuyến nghị cho mạng chạy tài sản thật
10	3	chịu được cả sự cố một vùng hoặc một nhà cung cấp

Ba điều dễ hiểu sai

Đếm validator không phải đếm khả năng chịu lỗi. Điều quyết định là số miền hỏng độc lập, không phải số tiến trình. Nhiều validator trên cùng một cụm chịu lỗi đúng một máy, vì thứ chết là cái máy. Trải chúng lên vài máy có thể còn tệ hơn: mất hai máy trong năm là 40% — vượt một phần ba — nên mạng dừng.

Đồng thuận thà dừng còn hơn chia đôi. Khi vượt ngưỡng, chain dừng. Đó là thiết kế an toàn, không phải lỗi. Nghĩa vụ tương ứng là hồi phục nhanh: có mục tiêu thời gian khôi phục, có quy trình, và có diễn tập.

Ràng buộc vốn bé thì chiếm chain rẻ. Nếu ngưỡng vốn tự đặt cọc thấp, tổng vốn đặt cọc nhỏ, và một số tiền rất khiêm tốn là đủ mua hai phần ba quyền biểu quyết. Vì thế ngưỡng này được đặt cao và nướng trọn vào genesis — không phải con số cho đẹp.

Đã chứng minh bằng thí nghiệm

Dựng hai validator chia đôi quyền (nền tảng và khách); cả hai cùng ký mọi block; tắt node khách thì chain đứng; bật lại thì hồi phục. Ở cấu hình bốn node: giết một thì chạy tiếp, giết hai thì dừng, khởi động lại thì hồi phục. Đó là bằng chứng trực tiếp cho câu "không một bên nào kiểm soát", không phải lập luận.

Câu chốt: một mạng chỉ đáng tin khi bạn biết chính xác nó chịu được bao nhiêu sự cố — và con số đó thường nhỏ hơn số validator bạn đếm được.