治理、运营与运行边界

这一页说什么

这是 MYRILUM 的目标架构设计，不代表图中各项都已上线；某项能力现在能不能用，以《当前可用情况》为准。

客户执行、员工管理、工程生产和外部服务属于不同的信任边界。治理贯穿全部平台，而不是放在最下方的一块「安全模块」。本页只讲原则，实现细节不公开。

人拍板，规则公开

目标、预算、风险容忍度与重大决定始终由人来定。规则、隐私、验证、争议与申诉的原则公开可查；执行规则的一方只做被授权的事，不能悄悄改写历史记录。

权限不是菜单

把按钮藏起来不等于后端拦住了。数据库、文件、缓存、索引、队列与日志各自都要隔离。

自我建设不是无限自治

MYRILUM 可以提出并实现升级候选；但做事的一方不因此自动拥有生产发布或修改规则的权力。更新模型、智能体和产品，都不能顺带扩大自己的权限。

分层与部署分开

平台域的数量不决定数据库或服务的数量。拆不拆、怎么拆，看负载、安全、地区与发布边界。客户、员工、持久化执行与工程生产各在自己的边界里运行。

指标守护用户价值

首要看的是在授权与预算范围内的有效交付，同时看修订、成本、留存与风险。出了事故，先限制影响、恢复服务，再通知与复盘；每一次变更与发布都绑定规格、证据、批准与版本。

出处

本页依据《MYRILUM 全架构图谱》v2.2 的 A08。按公开边界，这一页只公开原则，不放图。