Одна система — один файл
Код здесь пишут агенты. Аудит проводит человек. Такая схема работает лишь тогда, когда код изначально пригоден для аудита. Поэтому действуют строгие правила: одна система на файл, никаких перекрёстных импортов, а в заголовке каждого файла обязательно указано, какой раздел документа он реализует и чего никогда не должен делать. Непроницаемый монолит невозможно защитить, даже если он работает.
Никаких магических чисел
Все значения баланса читаются из файла калибровки и никогда не зашиваются в код. Это правило появилось после реального ущерба: зашитое в генератор значение C = 1,0 сделало целую партию существ на 11% слабее. Несколько недель этого никто не замечал.
Доказательство, а не печать
Помимо тестов отдельных систем есть тесты инвариантов, которые доказывают соблюдение пределов и идемпотентность. Сама сборка создаёт отчёт об аудите по каждой системе со списком пройденных тестов. Последнее правило короткое: без воспроизводимых доказательств проверка не пройдена.