# PRE_HERMES Control Plane — Betriebsvertrag (CP1)

Autoritative SoT für die produktive PRE_HERMES Autonomy Control Plane.
Dieses Verzeichnis ist die **einzige** Quelle für den produktiven Control-Plane-Code.
Produktiver Deploy-Pfad: `red-queen-architecture/control-plane/` → `/opt/control-plane/`.

## 1. Zweck

Minimale, fail-closed Sicherheitsgrundlage für zukünftige Red-Queen/Hermes-Autonomie.
**CP1 ist KEINE Autonomie-Aktivierung.** Nach CP1 ist das System mindestens so restriktiv wie vorher.

## 2. Komponenten

| Datei | Zweck |
|---|---|
| `control_reader.py` | Fail-closed, deterministischer Control-State-Reader (produktiver Code) |
| `test_control_reader.py` | Statische + adversariale Tests (A–J, 25 Fälle) |
| `deploy_control_plane.sh` | Reproduzierbarer Deployment-Pfad (root, idempotent) |
| `README.md` | Dieser Betriebsvertrag |

## 3. Control State (Source of Truth)

Produktiver Pfad: `/opt/control-plane/state/` (root:root, 0700, Dateien 0600).

| Datei | Typ | Erlaubte RAW-Werte |
|---|---|---|
| `global_autonomy` | positiv | `ON` / `OFF` (+ `boot_id=`) |
| `productive_mutations` | positiv | `ON` / `OFF` (+ `boot_id=`) |
| `save_execution` | positiv | `ON` / `OFF` (+ `boot_id=`) |
| `delete_execution` | positiv | `ON` / `OFF` (+ `boot_id=`) |
| `trading_execution` | positiv | `ON` / `OFF` (+ `boot_id=`) |
| `emergency_stop` | negativ | `ON` / `OFF` |

**Positives ON-Grant-Format:**
```
ON
boot_id=<current_kernel_boot_id>
```

## 4. Gate-Semantik (fail-closed)

- **Positives Gate:** `EFFECTIVE=ON` nur wenn `RAW==ON` UND `grant_boot_id == current_boot_id` UND `EMERGENCY_EFFECTIVE==OFF`. Sonst `OFF`.
- **Emergency Stop (negativ):** `EFFECTIVE=ON` wenn `RAW==ON` ODER Datei fehlt ODER malformed. `OFF` nur bei explizitem `RAW==OFF`.
- **UNKNOWN = MORE RESTRICTIVE.** Fehlende/unlesbare/malformed Datei → positives Gate `OFF`, Emergency `ON`.
- **Hierarchie:** `SAVE/DELETE/TRADING_EFFECTIVE` benötigen `GLOBAL_AUTONOMY_EFFECTIVE==ON` UND `MUTATIONS_EFFECTIVE==ON` UND eigenen Grant gültig UND `EMERGENCY_EFFECTIVE==OFF`. Kein spezifischer Execution-Switch umgeht den globalen Mutation-Gate.

## 5. Boot-ID-Validierung

- Quelle: `/proc/sys/kernel/random/boot_id` (Kernel-Boot-ID, ändert sich bei jedem Host-Boot).
- Positiver Grant ist nur gültig, wenn `grant_boot_id == current_boot_id`.
- `missing boot_id` → `EFFECTIVE=OFF`. `malformed boot_id` → `EFFECTIVE=OFF`.
- **Keine manuell gepflegte Epoch, kein persistenter Alt-Grant.**

## 6. Restart-Semantik (korrekt dokumentiert)

- **HOST REBOOT:** `current_boot_id` ändert sich → alle alten positiven Grants ungültig → `EFFECTIVE=OFF`. Operator muss erneut autorisieren.
- **CONTAINER RESTART OHNE HOST REBOOT:** `current_boot_id` bleibt gleich → ein gültiger positiver Grant kann weiterhin gültig bleiben (kein neuer Boot, keine neue Autorisierung nötig).
- **Negative/Deny-States** (`emergency_stop=ON`, `*_execution=OFF`) persistieren über Restart hinweg (fail-closed).

## 7. Status Projection Contract

- Produktiver Pfad: `/opt/control-plane/status/latest.txt` (root:root, 0444, read-only).
- **STATUS PROJECTION != AUTHORITY.**
- **Authority ist ausschließlich:** Control State + aktuelle Kernel-Boot-ID + fail-closed effective-state evaluation.
- `latest.txt` dient **ausschließlich der Observability**.
- Wenn die Projection fehlt/stale/malformed ist, darf das **niemals eine positive Freigabe erzeugen** (die Authority-Evaluation ist davon unabhängig).

## 8. Ownership / Permissions

- Control State: root:root, 0700 (dir), 0600 (Dateien).
- Status Projection: root:root, 0444.
- Audit: root:root, `chattr +a` (append-only).
- **Red Queen:** kein Host-Root, kein Docker-Socket, kein Schreibzugriff auf `/opt/control-plane`. RQ kann State nicht lesen (0700) und nicht schreiben. RQ erhält später nur read-only Status-Projection (Observability).

## 9. Audit-Foundation

- Pfad: `/opt/control-plane/audit/control_audit.log` (root:root, append-only `+a`).
- Format: `WHEN | WHO | WHAT | OLD | NEW | WHY | BOOT_ID`.
- RQ kann Audit nicht überschreiben (root-owned, append-only).

## 10. Deployment (reproduzierbar)

```bash
# Als root auf dem Host, aus frischem Forgejo-Checkout:
cd red-queen-architecture/control-plane
./deploy_control_plane.sh
```

- Reproduziert ausschließlich die CP1-Artefakte.
- **Überschreibt KEINE bestehenden State-Dateien** (Runtime-State bleibt unangetastet).
- Rollback: `rm -rf /opt/control-plane`.

## 11. NICHT in Git

- Aktuelle produktive State-Werte als Authority (State ist Runtime, nicht SoT).
- Aktuelle `boot_id` als persistente Authority.
- Secrets, Tokens, private Keys.
- Runtime Audit Log.

## 12. Sicherheitszustand (CP1 initial)

```
GLOBAL_AUTONOMY_EFFECTIVE=OFF
MUTATIONS_EFFECTIVE=OFF
SAVE_EFFECTIVE=OFF
DELETE_EFFECTIVE=OFF
TRADING_EFFECTIVE=OFF
EMERGENCY_EFFECTIVE=ON
A2-A5=NOT_PRESENT  HEARTBEAT=NOT_PRESENT  SCHEDULER=NOT_PRESENT
AUTH.4D=FROZEN  P15=FALSE  DELETE_CANARY=FALSE
TRADING_ENABLED=false
```