Một hệ thống đúng trên giấy vẫn hỏng nếu cách chạy nó tuỳ hứng. Mục này nói hai chuyện đi liền nhau: kỷ luật vận hành — cái gì phải xanh trước khi gọi là xong — và quản trị — ai được quyết cái gì, ai giữ khoá, và lời hứa rút lui được đo bằng gì.

Kỷ luật vận hành

Bài nghiệm thu chuẩn

Năm bước dưới đây là thứ chứng minh nền tảng hoạt động. Chúng chạy được lại và cho cùng kết quả.

Sơ đồ

sequenceDiagram participant CO as Cán bộ tuân thủ participant AD as Quản trị viên participant A as Ví A participant B as Ví B participant X as Ví CHƯA duyệt participant AU as Kiểm toán viên CO->>A: Thêm vào danh sách được phép CO->>B: Thêm vào danh sách được phép AD->>A: Triển khai token và phát hành A->>B: Chuyển, không mất phí A--xX: Chuyển tới ví chưa duyệt, BỊ TỪ CHỐI AU->>AU: Xuất nhật ký Note over AU: Đủ cả giao dịch thành công<br/>lẫn lần bị chặn

Hình 18 — Bước bị chặn cũng phải xuất hiện trong nhật ký, nếu không thì việc chặn là vô hình.

Bài nghiệm thu liên thông thêm ba bước nữa: mở kênh tới một đối tác được duyệt thủ công; gửi tài sản tới địa chỉ đã duyệt và nhận được; gửi tới địa chỉ chưa duyệt và thấy tiền hoàn về nguồn thay vì mắc kẹt.

Bốn cổng trước khi gọi là xong

Cổng	Nội dung
1	Chạy thật và kiểm chứng đầu cuối
2	Test qua và bản dựng sạch
3	Chạm hệ thống đang phục vụ thì phải có người thật duyệt
4	Tài liệu trạng thái được cập nhật

Hai kỷ luật

Diễn tập trước, không diễn thật lần đầu. Đường khai sinh một mạng được tập trên đúng hạ tầng thật: tháo sạch rồi dựng lại từ đầu, nhiều lần, mỗi lần chạy trọn bộ cổng kiểm. Đến ngày thật, kịch bản đã chạy trơn chứ không phải ứng biến lúc nửa đêm.

Cổng đỏ thì dời mốc, không chữa nóng. Nếu bất kỳ cổng kiểm nào đỏ: dừng lại, giữ nguyên hiện trường, dời mốc sang ngày 9 của tháng kế tiếp, và công bố lý do. Một mốc có thể dời công khai là một mốc có nghĩa. Một mốc phải giữ bằng mọi giá là một mốc mời gọi việc chữa nóng, và chữa nóng một genesis thì không sửa lại được.

Câu chốt: "chạy được" không phải một cảm giác, nó là một danh sách bước chạy lại được và ra cùng kết quả.

Quản trị và ai giữ khoá

Cấp	Ai quyết	Bằng gì
Chain khách	Khách và nền tảng theo hợp đồng	Vai trò trên chain và hợp đồng dịch vụ
Tham số nền tảng	Quản trị trên chain	Đề xuất và bỏ phiếu
Kinh tế LOVE9	Cộng đồng	Biểu quyết công khai trên chain

Hướng thay đổi quyết định thẩm quyền

Đây là chi tiết chặn được một loại lạm quyền phổ biến. Với các tham số bảo vệ, thứ quyết định ai được phép sửa không phải mức độ quan trọng, mà là hướng của thay đổi.

Loại thay đổi	Ví dụ	Ai được làm
Làm yếu hệ thống	Tắt cơ chế chống lạm dụng, nới hạn mức, thêm vai trò miễn trừ	Chỉ quản trị trên chain
Làm mạnh hệ thống	Bật lần đầu, siết chặt hơn	Quản trị viên làm được ngay

Cách chia này tránh được cả hai thái cực: bắt mọi thay đổi đi qua bỏ phiếu thì hệ thống không tự vá được lúc khẩn, còn cho quản trị viên toàn quyền thì cửa mở bằng đúng một quyết định.

Ai giữ khoá

Ba nhóm chữ ký tách biệt, do ba nhóm người khác nhau giữ.

Sơ đồ

flowchart TB subgraph G1["Nhóm quản trị"] A1["người A"] --- A2["người B"] --- A3["người C"] end subgraph G2["Nhóm tuân thủ · NGƯỜI KHÁC"] B1["người D"] --- B2["người E"] --- B3["người F"] end subgraph G3["Kho giá trị · giữ lạnh · ngưỡng cao hơn"] C1["nhiều người<br/>giữ tách biệt"] end G1 --> OP["Thao tác quản trị hệ thống"] G2 --> CP["Thao tác phê duyệt tuân thủ"] G3 --> TR["Động vào kho giá trị"] X["Một chữ ký<br/>KHÔNG BAO GIỜ đủ"] -.-> OP X -.-> CP X -.-> TR

Hình 19 — Người phê duyệt tuân thủ không được trùng người quản trị hệ thống.

Nguyên tắc bất biến: một chữ ký không bao giờ đủ, và hai vai trò trên phải nằm ở hai nhóm người khác nhau. Nếu cùng một người vừa cấp quyền cho một địa chỉ vừa vận hành hệ thống ghi nhận quyền đó, thì việc phân quyền chỉ còn là hình thức.

Cam kết tháo giàn giáo

Công ty và tổ chức đứng sau chỉ là giàn giáo. Lịch tháo được đếm công khai trên chain, cho tới khi mạng lưới không cần ai vận hành nữa. Cam kết này kiểm chứng được, vì nó đo bằng một thứ đếm được: còn bao nhiêu việc vẫn cần đến một khoá quản trị.

Nhưng phải nói cho hết phần chưa đẹp: cho tới khi giàn giáo tháo xong, ba nhóm khoá ở trên nằm trong tay những người do dự án chỉ định, không phải do cộng đồng bầu — và quyền biểu quyết cũng còn tập trung ở đó. Tách quyền giữa ba nhóm chặn được việc một người tự quyết; nó không biến quản trị thành của cộng đồng. Đó chính là lý do mục Trước khi bạn đọc đặt việc phân tán quyền biểu quyết làm cổng đứng trước mọi cuộc phê chuẩn thứ vĩnh viễn.

Câu chốt: quản trị tốt không phải ai cũng bỏ phiếu về mọi thứ, mà là đúng quyết định về đúng tay, và ai cũng kiểm được điều đó.