Earthlings 数字平台

Earthlings 数字平台是把人民的四个层面连接起来的内核：

• 认同——经过确认，同时保持私密；
• 参与——签署《宣言》、投票、讨论、共同行动；
• 项目与蜂巢单元——发起、组建、协调、执行以及成果的记录；
• 参与经济——记账单位、共同资金、对贡献的报酬。

平台不是社交网络，也不是又一个区块链系统。它是一件工具，Earthlings 人民借助它得以存在：拥有透明而又对人体贴的基础设施。

主要的任务是使参与成为实际的、安全的和诚实的：从第一次签署《宣言》，到复杂的国际项目的实现。

架构按多层原则构建。每一层解决自己的任务，对其他层的干预降到最低。

1. 表示层。 网页界面；移动应用和供外部集成的 API 尚在展望之中。人在这里看到《宣言》、按国家分布的参与者地图、单元面板、投票和个人账户。优先考虑的是可达性与清晰。

2. 应用层。 各项功能模块：档案管理、倡议的提出、单元的工作、投票、投票权的转交、资金管理、辅助性的人工智能工具。业务逻辑，不存储底层数据。

3. 数据层。 档案存储、项目元数据、单元状态、DAO 配置、投票结果、事件日志。原则是最小化、分离和“不收集多余的东西”。

4. 认同与信任层。 自有的身份验证系统，不可转让的认同代币的发放与记录，《宣言》签署的记录。这一层被最大限度地隔离和保护。

5. 参与经济层。 记账单位的基础设施、共同资金、报酬的分配、与项目和单元的集成。

6. 与 DAO 的集成层。 全体大会的决定通过它们反映到平台工作中的界面与协议：设置、权限、经济参数、发展的优先次序。

各层分别演进：可以更新应用层而不触动认同，也可以改变经济机制而不涉及 DAO 的内核。

谁运营平台

技术运营由 Core Nodes 保障——选举产生的技术协调人（宪章第二条）。他们维护基础设施，负责网络安全和投票的技术支持，但不以人民的名义作出决定，不管理财务，在投票中没有特殊的分量，也不得阻止 DAO 的决定。随时可以由简单多数撤回。

Emergency Multisig（宪章第三条）有权在发现严重漏洞或者遭到网络攻击时暂停个别智能合约的运行。每一次这样的行动都要求在四十八小时内作出公开报告，并在七日内得到全体大会的确认，否则即被取消。

对平台拥有技术权限的其他结构，宪章没有规定。在《宣言》通过之前这些机关并不存在（宪章第三十八条），而在通过之后、Core Nodes 与 Emergency Multisig 选出之前，它们的职能以程序方式履行（宪章第三十九条）；今天在哪些地方还得相信运营平台的人，见《我们现在在哪里》文件。

关于人工智能

为分析倡议、支持项目和把例行工作自动化，平台将使用现有的人工智能模型；今天平台上还没有这样的工具。今后考虑开发适应人民任务的自有模型。

《宣言》第三条规定了人工智能的适用界限：任何算法、代码或者人工智能系统都不得成为涉及人的权利、尊严或者处境的决定的最终来源，任何技术都不得被用于对人的操纵（包括隐蔽的操纵）或者压制人的自主。由此得出三条严格的规则，无论使用哪一种模型都适用：

• 人工智能不作任何最终决定（《宣言》第三条）。人工智能关于倡议或者项目的结论是建议性的，不构成拒绝的依据；身份验证中自动系统的拒绝不是最终的，由人复审依《生物特征验证政策》进行。
• 理由予以公开。 倡议被人工智能标记的人，得到以可理解的方式作出的原因说明，而不是一个没有解释的拒绝。
• 由人复审有保障。 提出者有权要求由人审查，此种审查在规定的期限内进行。

认同围绕与经过确认的身份相联系的不可转让的数字护照（SBT）构建。严格的分离得到遵守：

• 生物特征和证件由自有的身份验证系统实时处理；
• 平台从身份验证系统得到的是验证的结果、护照记录的编号、参与者标识符、化名、钱包地址、邮箱和国家，而不是生物特征数据、影像或者证件数据；
• 验证并签署《宣言》之后，向参与者的钱包地址发放确认其归属的护照；在创立期内签署已暂停，验证完成后发给创立的参与者一份临时证件（《创立期》文件，第二部分第 5 点）；
• 一个人一本护照；护照不得转让、不得出售，也不得被夺走。

轴的分离：认同、投票、经济

架构要求认同、投票与经济足迹不汇合到同一个权力点上：

• 认同由护照和身份验证确定；
• 投票源于 earthling 的地位：一人一票；
• 经济活动反映在记账单位中，无论数量多少都不给予额外的票。

护照的销毁

按一般规则，护照只由持有人自己用自己的密钥、从自己的钱包销毁。平台不保存参与者的密钥，在技术上也不能阻碍销毁；任何人都无权代参与者销毁护照。

宪章（第二十一条）规定了两种、而且只有两种例外，平台必须支持它们，并且不得扩大：

1. 注销无效的发放——如果查明护照的发放违反了发放的条件；只能由全体大会以制裁性多数、经秘密投票作出决定，并有申诉的权利；
2. 技术性重新发放——依持有人本人的申请，在丧失钱包的取用权或者合约迁移时；归属不中断。

非由持有人本人销毁的其他根据，平台不予实现；而违背持有人意愿销毁护照，只发生在注销无效发放的情形。持有人的死亡不在这些根据之中：平台没有、也不可能有关于死亡的信息，而归属因死亡自行终止，无须任何人的决定（《宣言》第四条）；护照留在名册之中，而已经不存在的参与则由不活跃机制处理（宪章第二十条）。

个人账户是人与生态系统接触的主要点。

档案的基本要素

• earthling 的化名——生态系统中的公开名字；
• 居住国；
• 身份验证的状态；
• 持有护照的标记，不披露个人数据；
• 兴趣与能力的领域——依意愿填写。

参与的标记

• 蜂巢单元中的参与；
• 项目中的参与：角色、贡献、完成状态；
• 投票中的参与不予标记：具体某人是否参与了投票，不予公布（第六节）；
• 已获得的认可标记。

账户中没有什么

护照资料、生物特征和敏感的法律属性既不显示，也不存储。它们留在身份验证系统之中，并且在验证之后不予保存。平台处理的是化名、邮箱地址、国家、钱包地址、持有护照的标记以及使用平台的数据；清单及其目的见《隐私政策》。

照片和扫描件不予保存；生物特征只在验证的当下处理。为防止重复注册究竟保存什么——见生物特征验证政策。

平台保障完整的周期：从想法的出现到项目的完成。

1. 项目的申请。 任何 earthling 都可以通过个人账户提出项目。申请包括对主题、目标、预期效果、所需能力和实现时间跨度的说明。初步分析可以由人工智能完成——检查是否符合《宣言》、伦理和优先次序——而这一分析是建议性的：它不构成拒绝，理由予以公开，由人审查有保障（第二节）。

2. 通知对口的参与者。 初步分析之后，申请发送给其申报的能力与之相符的人——法律人、工程师、程序员、分析师及其他。

3. 单元的组建。 单元由回应的人组成。规模为二至六人（宪章第二十三条）。如果任务需要更多的人，就建立若干个相互关联的单元，而不是一个笨重的单元。

4. 协调与执行。 任务板、时间线、沟通渠道、按阶段的报告、与文档存储和辅助工具的集成。单元内部的决定按同意作出；如果关于损害、无法实现或者严重风险的有理据的反对未被消除，问题由单元的投票解决：赞成票多于反对票，决定即告通过；弃权的人参加了投票，但不计入赞成与反对之数。单元参与者半数以上参加投票的，投票才有效（《蜂巢单元》文件，第 05 节）。

5. 完成与记录。 平台记录成果，在有相应安排时分配报酬，更新参与者的状态，并把项目的贡献反映在总的活动地图上。

平台将是记账单位实际使用的主要界面；今天这一单位没有发行：参与经济记在平台的内部账上（《Earthlings Coin》文件，第八节），下面的场景说明的是它的用途。经济与权力之间的分离得到严格遵守。

内部的使用场景

• 对项目和单元中贡献的报酬；
• 内部资金的管理；
• 个别服务与工具取用的支付；
• 对倡议的支持：微额资助、试验、试点方案。

记账单位不做什么

• 不给予额外的票和政治分量；
• 不决定基本参与的取用：签署《宣言》、投票、讨论；
• 不影响建议在信息流中的位置和审议的优先次序；
• 不得被用作施压或者把人排除出进程的工具；
• 不取代各国货币，也不作为日常结算的手段强加于人。

记账单位反映贡献并使项目得以启动，但不把人分成重要的和不重要的。平台注意不让经济的逻辑破坏参与的平等。

平台在创建时考虑了 GDPR 及类似标准的原则。出发的原则是：维护人的尊严和私生活的权利，比分析的便利更重要。

基本原则

• 最小化——只收集真正必要的东西；
• 分离——认同、参与、经济与分析分置于不同的层和不同的存储；
• 透明——参与者了解关于自己有哪些数据以及如何被使用；
• 控制——参与者可以要求更正或者删除平台所处理的数据。

分布式账本中的数据会怎样

这里需要的是诚实，而不是一个无法履行的承诺。

平台数据库中的数据，依参与者的要求更正，并依其要求删除——《隐私政策》所列的除外；对于归属于人民的人，账户的删除只与退出一同进行。分布式账本中的记录按其本性不可删除——正因为如此，发放时不把姓名、证件、生物特征和验证的哈希值写入其中。发放时写入账本的是钱包地址、护照记录的编号、据以把记录与身份验证系统的数据相联系的参与者标识符，以及发放的时间；发放时化名字段里写入“Earthling”一个词，验证哈希值字段里写入与验证数据无关的随机值；发放与销毁都在账本中留下标记。这些是化名数据，在我们这里与你的账户相联系。

退出时护照被销毁，账本中留下一条化名的标记，表明归属曾在某一段时间存在过。这是过去的事实，而不是延续着的归属。这样的模型在欧洲关于教区登记册的实践中占主导：记录保留，状态被标注；这一模型是否足够，欧盟法院正在审理（C-12/25 号案件）。

结社自由并不要求抹去历史：放弃国籍并不摧毁国家的档案。

身份验证与数据保护

• 生物特征和证件由自有的系统在验证的当下处理；影像和扫描件不予保存；
• 平台从身份验证系统得到的不是生物特征，也不是证件数据，而是验证的结果和账户所需的数据（第 03 节）；
• 依已经生效的法院裁判或者同等的合法要求，数据依《隐私政策》的程序移交（第 05 节）；其中没有生物特征数据——它们不予保存；
• 账本中的记录遵循化名和个人关联最小化的原则。

平台不是作为全面记录的系统来建造的。它力求成为在技术上几乎无所不能的时代里对数据小心对待的范例。

具体的技术——区块链、数据库、语言、框架——可以改变。有意义的是架构的逻辑：

• 模块化——内核、认同子系统、DAO 组件、经济层与各种界面独立发展；
• 可扩展性——架构按成员数量增长若干个数量级而不失可用性与安全性来设计；
• 韧性——容错配置、备份存储、独立节点；
• 恢复——备份、严重故障后的恢复计划、密钥泄露时的行动协议；
• 可审计性——关键组件可以接受外部的技术审计和法律审计。

平台并非永久绑定于某一个技术栈。在任何迁移中都保持这些原则：不可转让的认同、平等而不可剥夺的一票、过程的可验证性以及对人的保护。

重要的既是目标架构如何构造，也是如何走到它那里。

阶段一。内核——已建成并已部署。 个人账户、按国家分布的参与者地图、单元状态、投票机制、与自有身份验证系统的集成。足以起步的最小功能集。

阶段二。单元与项目——已建成并已部署。 与单元一起工作的周期：申请、组建、实现、成果的记录。

阶段三。以实践充实——尚待完成。 定期的实质性投票、计票可验证的秘密投票、按领域的投票权转交、《宣言》的签署、用于分析倡议的辅助性人工智能工具、运作起来的资金、记账单位使用场景的扩展。充实从开放加入时开始，并随参与者人数的增长而进行。

阶段四。对外互动——尚待完成。 与国际组织、大学、研究中心的互动。为分析全球进程提供汇总的数据。人民参与讨论超出一国范围的问题。

对已建成的与尚待完成的划分，是诚实作出的。护照名册合约、身份验证、蜂巢单元和内部经济的记账已经部署并在运行；公开的投票渠道已经部署，但其中还不曾有过有实质内容的投票，秘密投票的手段还没有，创立投票将公开进行，而司库的智能合约尚未部署（《我们现在在哪里》文件）。基础设施在证明力和实践上的价值，随参与的累积而产生，而不是在部署的那一刻产生。