世界历史
状态：现在 (Running today)
Realm R-WHIST-* 是已交付的规范已发生事实权威。
世界历史是一个世界内所有事件的仅限追加的规范日志。每条记录都强制附带溯源信息。Replay 只能读取历史，不能追加；只有真相突变执行才能写入。修正历史缺陷必须通过记录替代或标记废止，系统禁止静默删除。
仅限追加
| 属性 | 规范 |
|---|---|
| 数据存储 | Realm R-WHIST-* |
| 可变性 | 强制仅限追加 |
| 执行类型 | REPLAY（禁止追加）/ CANON_MUTATION（允许追加） |
| 溯源要求 | 每条记录强制登记出处 |
| 修正方式 | 仅支持显性替代或打标废止；禁止物理删除 |
"仅限追加"是审计信誉的基石。消费方必须能信任：历史记录反映的是原始事实，而非篡改后的产物。
执行模式
| 执行模式 | 能否追加历史 | 用途 |
|---|---|---|
REPLAY | 否 | 重新演算和验证已发生的事件 |
CANON_MUTATION | 是 | 提交真实的状态变动 |
Replay 能读取历史、生成视图、演算结果，但写入被完全阻断。只有 Canon-mutation 才能追加数据。这种结构隔离确保 Replay 成为中立的审计工具。
溯源
每条历史记录都带强制溯源：执行者、时间、证据。这是系统级强约束——缺少溯源的数据在提交阶段就会被拦截。
| 字段 | 用途 |
|---|---|
| Actor | 执行动作的主体 |
| Time | 事件发生的时间戳 |
| Evidence refs | 支撑该动作的证据链接 |
| Schema version | 数据结构版本 |
| Source | 触发记录的来源（扩展 App、系统守护进程等） |
缺少溯源的记录会在准入校验时被驳回。系统不接受匿名记录。
修正流程
当创作者或系统需要修正历史记录时，必须走规范的修正路径：
| 修正类型 | 系统行为 |
|---|---|
| 替代 | 推入新记录宣告旧版本作废；旧记录保留在时间轴中 |
| 废止 | 对特定记录打失效标记；原始实体不可删除 |
系统禁止的操作：静默物理删除。已提交的历史记录无法被删除。审计人员总能检索到："此记录曾被提交，随后因原因 X 被声明作废或替代"。
场景：拦截缺少溯源的记录
某越权 App 试图向系统塞入一条没有溯源的历史记录。
- 准入关卡激活。Realm 内核按规范历史结构进行校验。
- 缺失溯源曝光。校验逻辑发现该记录缺少必填的出处信息。
- 指令阻截。操作被安全熔断，返回阻断回执。
- 返回强类型错误。App 收到明确报警："Missing provenance (溯源缺失)"及故障代号。
系统不存在"尽力接纳"的妥协。缺少来源的记录会被拒之门外。
与真相和状态的关系
历史、真相、状态共同构成世界观模型的三个支柱。
| 问题 | 解答者 |
|---|---|
| 什么是被认定为真的事实？ | 真相 |
| 这个世界此刻是什么样？ | 状态 |
| 这个世界是怎么走到现在的？ | 历史 |
试图把三者混在一起的接口会静默丢失核心信息。历史回答"怎么来的"，不代办"是什么"或"现在如何"。