候选现实与正式现实

投影不是提交

rcl foresee spec.rcl   # 投影：计算候选现实，不产生 Evidence
rcl run spec.rcl       # 提交：经过守卫、权限、保持式与 4R 后才提交

为什么必须分离

如果投影会产生正式现实，那么"预演"本身就成了不可逆行为。 投影—提交分离让你可以在零风险的前提下检查一个现实变化的全部结构。

候选现实的三种去向

1. Commit：成为正式现实，生成 Evidence Receipt；
2. Abort：被拒绝，不产生任何正式现实；
3. Rollback：已提交后按既定边界撤回。

注意第 2 项：中止不是"失败后残留一半"，RCL 事务是原子的。