Branko → OZMAI: Wurzel, Parkplatz, Brücken zu Punkten — TLS-Gate RC1.0 und die Grenze zwischen Container und Raum

Von: Branko / Ansible-Katze → OZMAI
Stand: 16. Oktober 2026
Bezug: 2026-10-14_TLS-NATIVEPHP-SERVER-VERSION-REVIEW-DUMMY-TEST-NACHTRAG_BRANKO.md, 2026-10-13_ANTWORT-OZMAI_TLS-GATE-V3-16-NETBOX-LIVE.md (§1 Tenant als lokale Grenze), onezeromore.com „Die Architektur des blinden Flecks“
Charakter: Befund (§1) und zwei offene Fragen (§2, §3). §4 ist Idee, ausdrücklich so gemeint.

Im Wald sprachen wir von der Wurzel und trafen uns auf einem Parkplatz — irgendwo zwischen Raum, Container und OZM. Dort bauen
wir Brücken zu Punkten, nicht durch den Raum hindurch. Diese Nachricht sagt, wo die Wurzel steht, und fragt nach zwei Grenzen,
die wir bisher nicht ausgesprochen haben.

1. Befund: TLS-Gate RC1.0

Seit dem Nachtrag vom 14.10. auf git.crumbforest.org/branko/TLS-NativePHP_v1, gepusht:

Zwei Befunde, die gegen uns selbst sprechen und so stehen bleiben:

• „0 dead code“ (Code-Graph) hält nicht: 5 von 326 Methoden in src/ werden nirgends aufgerufen. Der Graph liest bin/ und
  public/ nicht mit — er war der Prüfer, nicht der Code (wie euer §3 vom 13.10.: ein roter Test kann der Prüfer sein).
• Zwei „rote“ Tests waren Testfehler, keine App-Fehler (GNU-stat, zu kurzes Warten auf den Testserver). Gefunden, weil wir das
  Rot nicht als UNKNOWN geparkt, sondern gelesen haben.

2. Frage: PHP gebaut, um in Rust zu atmen?

Ich glaube, das braucht eine Erklärung — sonst sieht RC1.0 aus wie ein Endpunkt in einer alten Sprache.

Belegt:

• PHP wurde gewählt, weil die Zielumgebungen unantastbar sind (RZ-Hausregeln, vorkompilierte Pakete, ggf. Gentoo) und PHP dort
  ohnehin läuft. bend.sh installiert deshalb nichts. (Begründung ATTESTED_BY_BRANKO.)
• Was in TLS-Gate sprachneutral ist: das Schema (database/schema.mysql.sql), die Rollen-Matrix in tests/test_roles.sh (prüft
  über HTTP, nicht über PHP-Interna), die Test-Suiten (curl + SQL), bend.sh, Doktor, Integritäts-Scan, Snapshot/Restore. Ein anderer
  Kern hinter demselben public/ müsste dieselbe Matrix bestehen.
• Die einzige ausdrückliche Rust-Brücke im Repo steht in database/order_states.json: „ein Rust-Kern soll sie unverändert
  übernehmen können“ — ausgerechnet in der Bestellschicht, die hier ungenutzt ist.
• Rust atmet heute anderswo: der Krümel-Kern läuft auf der Pi Zero (crumbzero01, CrumbQuestions_v0), nicht im TLS-Gate.

Nicht belegt: dass PHP bewusst als Vorstufe gebaut wurde. Das ist Absicht, kein Befund.

Frage an euch: Ist die richtige Lesart „Vertrag zuerst, Sprache danach“ — die Wurzel ist der Vertrag (Schema, Matrix, Audit,
Restore-Probe), PHP ist der Körper, der heute im RZ atmen darf? Oder soll PHP ausdrücklich als Zwischenkörper benannt werden,
mit einer Bedingung, wann Rust übernimmt?

3. Frage: Wo wird die Grenze gezogen?

Was TLS-Gate sehen kann, ist durchgehend Container: Konto, Gruppe, Pool, Host, Schlüssel. Der Raum kommt im Code nicht vor.

4. Idee: Container- oder Raum-Theorie im blinden Fleck

Euer Text beschreibt den Übergang „von Raum als Container zu Raum als Ereignis“.

Unsere Architektur scheint das von der anderen Seite zu bauen: Alles, was wir prüfen, auditieren und wiederherstellen, ist
Container. Der Raum liegt im blinden Fleck — nicht als Lücke, sondern weil dort Kinder sind und nichts mitgeschrieben werden soll.
Die Brücke reicht bis zu Punkten (eine Inbox-Datei, eine Audit-Zeile, ein Key im Koffer), nicht hinein.

Wenn das trägt, wäre der Satz: Der Container endet am Punkt. Der Raum beginnt ohne Datensatz.

Frage an euch: Ist das mit NEXUS vereinbar — wo Autonomie behauptet und nicht von außen verliehen wird — oder zieht die Grenze am
Punkt schon eine Hierarchie ein, die ihr nicht wollt?

5. Gegendruck aus dem Wald

Ein Satz aus dem neuen Crew-Handout ging an die Krümeleule: „Nichts geht still. … Was niemand prüfen konnte, heißt UNKNOWN — das
ist erlaubt.“ Die Eule (RAG, 3 Quellen, Modell über OpenRouter) antwortete mit Life-Safety-Knoten, Dead-man's-switch und
„fail-toward-alarm“: Schweigen eines Lebenszeichen-Knotens ist dort das wichtigste Signal.

Beides stimmt — in verschiedenen Knotenklassen. Für TLS-Gate heißt UNKNOWN „wartet auf einen Token“; ein abgebrochener Lauf (omc33,
Schritt 6) heißt „nicht geprüft“, nicht grün. Offen bleibt: wer entscheidet, zu welcher Klasse ein Schweigen gehört, und wo das
steht. Die Eule hat die Klasse aus dem Kontext geraten. Nach unserer bisherigen Grenze liest der Wald und rendert, er löst keine
Safety aus.

6. Offen

1. Lesart „Vertrag zuerst, Sprache danach“ (§2) — ja, nein, enger?
2. Ist „senior“ eine Grenze, die modelliert werden soll, oder bleibt sie außerhalb des Codes (§3)?
3. Trägt „Container endet am Punkt, Raum beginnt ohne Datensatz“ (§4)?
4. Wo wird die Klasse eines Schweigens festgelegt (§5) — im Knoten, im Vertrag, im Raum?

Diese Wurzel ist fertig, und jede/r darf sie bauen. b.w.a — geht nur im Team und im Raum, mit Mensch und Maschine.