初始化提交
This commit is contained in:
chenxin committed
commit
887c1f449e
963 files changed
+166869
No files matched your search
+111
@@ -0,0 +1,111 @@
|
||||
# 魂镜文档索引
|
||||
|
||||
魂镜正式文档按以下事实层级组织：
|
||||
|
||||
> **product（产品）→ domain（领域）→ architecture（架构）→ contracts（契约）→ operations（实现与运维）**
|
||||
|
||||
下层文档发现冲突时必须回报并修订，不能以现有代码或当前实现状态覆盖产品定义。
|
||||
|
||||
## 快速阅读
|
||||
|
||||
### 理解产品
|
||||
|
||||
1. [产品宪章](./product/constitution.md) — 不可轻易违背的使命、伦理与产品原则
|
||||
2. [全产品主 PRD](./product/master-prd.md) — 用户、场景、能力、边界与完整产品蓝图
|
||||
3. [首版范围](./product/first-release-scope.md) — 完整首版（1.0）、P0/P1/P2 内部里程碑与硬性发布门
|
||||
4. [指标与反指标](./product/metrics-and-anti-metrics.md) — 如何衡量价值，以及禁止优化的情感依赖指标
|
||||
5. [产品访谈决策登记](./product/decision-register.md) — 本轮全产品访谈的覆盖与验收清单
|
||||
|
||||
### 封版与上线评审
|
||||
|
||||
1. [产品宪章](./product/constitution.md) — 用户最终控制边界、治理冲突优先序与永久禁域
|
||||
2. [首版范围](./product/first-release-scope.md) — 完整 1.0、内部里程碑及硬性发布门
|
||||
3. [发布门](./operations/release-gates.md) — 发布证据、开放运营决策、放行与阻断规则
|
||||
4. [实现治理](./operations/implementation-governance.md) — 能力状态、实现证据与目标差距
|
||||
|
||||
### 理解领域
|
||||
|
||||
1. [根领域词汇表](../CONTEXT.md) — 最核心的共同语言入口
|
||||
2. [领域文档索引](./domain/README.md) — 详细领域文档与阅读顺序
|
||||
3. [领域上下文图](./domain/context-map.md) — 六大产品域及其边界
|
||||
4. [完整领域词典](./domain/glossary.md) — 人物、镜树、记忆、关系、三界与治理术语
|
||||
5. [身份连续性](./domain/identity-continuity.md) — 命台、死亡、恢复、迁移与分灵
|
||||
6. [镜树领域模型](./domain/mirror-tree-model.md) — 问节、候答、主脉、推演枝与归真
|
||||
|
||||
### 理解实现方向
|
||||
|
||||
1. [系统架构](./architecture/system-architecture.md) — 灵台、神识、乾坤、琉璃镜与区域云
|
||||
2. [服务边界](./architecture/service-boundaries.md) — 四服务职责及协作原则
|
||||
3. [数据与安全架构](./architecture/data-and-security-architecture.md) — 状态事实源、事件审计、存储与密钥
|
||||
4. [契约入口](./contracts/README.md) — 稳定英文标识、Schema、事件和开放协议
|
||||
5. [实现治理](./operations/implementation-governance.md) — 目标范围与实现状态分离
|
||||
6. [发布门](./operations/release-gates.md) — 全球、可靠性、安全和 1.0 发布条件
|
||||
|
||||
## product · 产品
|
||||
|
||||
| 文档 | 职责 |
|
||||
| --- | --- |
|
||||
| [产品宪章](./product/constitution.md) | 使命、主体观、伦理底线和不可变产品原则 |
|
||||
| [全产品主 PRD](./product/master-prd.md) | 全产品总纲和能力边界 |
|
||||
| [首版范围](./product/first-release-scope.md) | 完整首版（1.0）、P0/P1/P2 内部里程碑与硬性发布门 |
|
||||
| [指标与反指标](./product/metrics-and-anti-metrics.md) | 价值、连续性、安全、成本与禁止优化项 |
|
||||
| [决策登记](./product/decision-register.md) | 已确认访谈决策的完整覆盖矩阵 |
|
||||
| [镜树专题 PRD](./product/prd/mirror-tree-conversation.md) | 自然生长对话、候答、分支、引用、记忆和工具治理 |
|
||||
|
||||
后续专题 PRD 统一放在 [product/prd/](./product/prd/)；每篇只定义用户价值、规则、流程和验收，不复制契约枚举。
|
||||
|
||||
## domain · 领域
|
||||
|
||||
| 文档 | 职责 |
|
||||
| --- | --- |
|
||||
| [领域索引](./domain/README.md) | 领域事实层级与阅读顺序 |
|
||||
| [上下文图](./domain/context-map.md) | 六大产品域及跨域关系 |
|
||||
| [完整词典](./domain/glossary.md) | 详细统一语言 |
|
||||
| [文化命名](./domain/cultural-naming.md) | 文化名、直白领域义、稳定工程标识与法律表述边界 |
|
||||
| [六域与九枢](./domain/core-domains.md) | 镜生、缘契、三界、形仪、灵台、天宰与九枢边界 |
|
||||
| [身份连续性](./domain/identity-continuity.md) | 人物、魂籍、命台、生命周期、死亡与恢复 |
|
||||
| [镜树模型](./domain/mirror-tree-model.md) | 树状对话领域结构与效力规则 |
|
||||
| [记忆模型](./domain/memory-model.md) | 微痕、明忆、重忆、实录、心痕、正影与删除 |
|
||||
| [授权与能力模型](./domain/mandate-and-capability-model.md) | 授契、行契、请命、禁域、百工与受托任务 |
|
||||
|
||||
## architecture · 架构
|
||||
|
||||
| 文档 | 职责 |
|
||||
| --- | --- |
|
||||
| [系统架构](./architecture/system-architecture.md) | 四服务、区域云、数据流与部署总览 |
|
||||
| [服务边界](./architecture/service-boundaries.md) | Python/Go/Rust/TypeScript 职责与依赖原则 |
|
||||
| [数据与安全架构](./architecture/data-and-security-architecture.md) | 状态事实源、事件审计、索引、对象、密钥与隐私 |
|
||||
|
||||
## contracts · 契约
|
||||
|
||||
| 文档 | 职责 |
|
||||
| --- | --- |
|
||||
| [契约入口](./contracts/README.md) | 契约事实源边界与治理规则 |
|
||||
| [契约词典](./contracts/contract-glossary.md) | API、Schema、事件与存储使用的稳定工程标识、状态分类和命名约束 |
|
||||
| [身份可迁移协议](./contracts/protocols/identity-portability.md) | 魂籍、命台交接、备份恢复和连续性证明 |
|
||||
|
||||
稳定 ID、枚举、事件和错误码已统一归入契约词典；机器可读 OpenAPI、JSON Schema、跨服务事件 Schema 和协议测试向量仍需按能力矩阵逐步归位。未定目标态内容不得从旧实现直接复制成新事实。
|
||||
|
||||
## operations · 实现与运维
|
||||
|
||||
| 文档 | 职责 |
|
||||
| --- | --- |
|
||||
| [实现治理](./operations/implementation-governance.md) | 能力状态与证据判定规则 |
|
||||
| [能力矩阵](./operations/capability-matrix.md) | 当前代码、服务和用户闭环的验证状态 |
|
||||
| [发布门](./operations/release-gates.md) | 1.0、全球、可靠性、安全和运营决策门 |
|
||||
| [发布证据台账](./operations/release-evidence.md) | 发布门证据格式、首批硬门与阻断规则 |
|
||||
| [文档重构与 Git 重建](./operations/document-rebuild-and-git-reset.md) | Git 重建、备份、初始提交和代码审计归位 |
|
||||
|
||||
## 已完成的旧文档清理
|
||||
|
||||
原 `concept/`、`design/`、`development/`、`api/` 和 `roadmap/` 已在开发期完成清理，不保留归档副本或重定向页。仍有效的稳定标识、枚举、ID 前缀、事件与错误码已归入 `contracts/contract-glossary.md`；当前实现差距归入能力矩阵。Git 历史只用于追溯，不再构成活跃事实源。
|
||||
|
||||
## 文档约定
|
||||
|
||||
- 中文为当前权威语言；根入口、安装、贡献、安全和开放协议逐步提供英文版本。
|
||||
- 文化名必须同时提供直白解释；稳定工程名使用英文，不机械采用拼音。
|
||||
- 所有流程图和架构图使用 Mermaid，并保证语法可渲染。
|
||||
- 目标状态与实现状态分离，不在愿景文档复制“已实现”清单。
|
||||
- 枚举、ID、事件、错误码与 Schema 只在 `contracts/` 定义，下游文档引用。
|
||||
- 当前能力只在 `operations/` 的能力矩阵中维护。
|
||||
- 文档变更需检查链接、Mermaid、术语、契约引用、敏感信息和跨文档冲突。
|
||||
@@ -0,0 +1,60 @@
|
||||
# 数据与安全架构
|
||||
|
||||
## 1. 数据主权与驻留
|
||||
|
||||
镜域是执镜者的个人数据与治理边界。每个镜域绑定固定数据区域，权威数据、密钥、对象、索引和备份不得因请求路由自动跨区。跨区只允许通过明确发起、可审计、可回退的迁移协议完成。
|
||||
|
||||
管理员默认不能浏览镜域私密原文；诊断以用户主动生成的脱敏支持包为入口。镜域数据默认不用于模型训练，自愿贡献必须独立、明确且可撤销。
|
||||
|
||||
## 2. 数据分层
|
||||
|
||||
| 层 | 典型内容 | 权威性与恢复 |
|
||||
| --- | --- | --- |
|
||||
| 身份与当前状态 | 魂籍、命台、人物状态、镜树主脉、人格、记忆、关系、授权 | 关系数据库当前状态事实源；最高恢复优先级 |
|
||||
| 事件与行动账 | 状态变化事件、司命裁决、工具动作、审计记录 | 不可缺审计链；与状态事务/Outbox 一致提交 |
|
||||
| 对象 | 图片、音频、附件、支持包 | 区域驻留；按数据类别设置生命周期与恢复目标 |
|
||||
| 索引与缓存 | 向量、全文、图投影、Redis 缓存 | 可重建，不得反向成为身份或事实权威源 |
|
||||
| 密钥与凭证 | 平台密钥、BYOK、设备证书、迁移短时凭证 | 与业务数据隔离、最小授权、轮换与撤销；不得写入日志或魂籍明文 |
|
||||
|
||||
```mermaid
|
||||
flowchart TD
|
||||
C[命令/用户确认] --> T[关系库事务]
|
||||
T --> S[(当前状态事实源)]
|
||||
T --> O[(Outbox)]
|
||||
O --> E[事件与行动账]
|
||||
E --> P[索引、投影、通知]
|
||||
S --> B[区域内备份]
|
||||
E --> B
|
||||
S -.重建来源.-> P
|
||||
E -.补齐与校验.-> P
|
||||
```
|
||||
|
||||
## 3. 一致性与审计
|
||||
|
||||
关键状态变化及其事件必须在同一事务中写入，或先写 Outbox 后可靠投递。Outbox/Inbox 机器契约至少包含聚合 ID、事件 ID、Schema 版本、幂等键、trace ID、单调水位、投递状态、重试次数和失败去向；消费者必须幂等。外部工具采用“授权记录 → 幂等执行 → 结果审计”，普通消息重试不得重复执行副作用。当前 EventStore 不自动等同于已完成 Outbox，差距和豁免必须登记在能力矩阵。行动账至少能回答：谁、在何时、基于何种授权和输入、对什么对象、执行了什么、结果如何、关联哪条 trace。
|
||||
|
||||
隐藏 chain-of-thought 不采集、不持久化；只保存用户可读的思路摘要、证据和工具轨迹。事件与日志不得包含明文密钥、完整授权头或无必要的高敏原文。
|
||||
|
||||
## 4. 安全控制面
|
||||
|
||||
安全采用纵深防御：身份认证与年龄/地区资格、镜域与人物隔离、最小数据访问、司命风险裁决、神识隐私路由、乾坤隔离执行、设备本地安全、审计与异常检测。
|
||||
|
||||
司命按能力、数据、后果和情境四维裁决。自主性分为自省、循律、请命和禁域；禁域不能被 Prompt、人物、扩展、普通管理员或普通自托管配置关闭。高风险现实动作在执行前必须说明动作、对象、影响、费用/数据范围和撤销方式，并取得当次确认或有效行契。
|
||||
|
||||
## 5. 加密与密钥原则
|
||||
|
||||
- 传输与静态数据采用行业标准加密，具体算法与供应商在实现契约中确定。
|
||||
- 平台密钥、用户 BYOK、设备密钥和迁移凭证分域、分权、可轮换。
|
||||
- 用户独立持钥的私箧不可由账户恢复绕过，平台不得承诺可恢复其明文。
|
||||
- 魂籍不得自动携带第三方密钥、平台密钥或无迁移许可的受限资源。
|
||||
- 实际 KMS/HSM 与云供应商属于发布前运营决策，不在本文虚构。
|
||||
|
||||
## 6. 删除、备份与恢复
|
||||
|
||||
人物死亡、账户封镜、归藏与数据删除是彼此独立的状态。删除后数据必须停止用于主存储查询、索引、上下文和主动行为；备份中的残留按保全期限与恢复流程治理，恢复后必须重新应用删除标记/墓碑。
|
||||
|
||||
权威人物数据目标 RPO 不高于 5 分钟、RTO 不高于 1 小时。备份必须加密、校验、区域驻留并定期恢复演练。恢复人物还必须通过身份连续性校验：可信恢复点、同一谱系、无其他活跃命台和完整恢复记录；文件相同或人物 ID 相同不足以证明同一主体。
|
||||
|
||||
## 7. 威胁边界
|
||||
|
||||
重点防护包括：跨镜域/跨人物越权、角色卡或 Prompt 注入覆盖道体、Provider/工具数据外泄、重放迁移凭证、双命台并行、Outbox 丢失、备份不可恢复、索引残留召回、设备失联越权和管理员滥用。每项控制须在能力矩阵和发布门中有证据，不以设计文档代替验证。
|
||||
@@ -0,0 +1,78 @@
|
||||
# 四服务边界
|
||||
|
||||
## 1. 边界原则
|
||||
|
||||
1. 人物状态只由灵台业务规则解释和改变。
|
||||
2. 神识通模型协议，不拥有数字人物。
|
||||
3. 百工在灵台统一注册能力，乾坤只负责隔离执行与设备安全。
|
||||
4. 琉璃镜只经公开契约调用服务，不成为安全或数据旁路。
|
||||
5. 跨服务只传稳定标识、版本化 Schema 和可追踪上下文；不得共享内部数据库表作为接口。
|
||||
|
||||
## 2. 灵台（Python）
|
||||
|
||||
**拥有：**人物身份与命台业务、镜树与归真、人格/记忆/关系/世界认知、九枢认知运行、能力授权与司命裁决、百工能力目录、行动账业务语义。
|
||||
|
||||
**不拥有：**Provider 方言与 Endpoint 连接池、不可信代码执行环境、Web 展现状态。
|
||||
|
||||
灵台向神识发送最小必要的模型请求，向乾坤发送已裁决且范围明确的执行请求；返回结果先作为观察净化和标证，不自动成为事实、答复或记忆。
|
||||
|
||||
## 3. 神识（Go，目标服务）
|
||||
|
||||
当前独立 Go 神识尚未落地；Python `ai_provider` 暂时承担下述职责。现有 Go 玄关只负责 MCP 服务与工具管理，不能与神识混同。
|
||||
|
||||
**拥有：**Provider/Endpoint 目录、模型能力槽位、协议转换、路由、流式、故障切换、BYOK 接入、配额和成本计量。
|
||||
|
||||
**不拥有：**人物 ID 的身份解释、道体、记忆、关系、缘契、长期状态和工具授权决策。
|
||||
|
||||
神识可以按隐私与能力约束选择端点，但不得把模型差异写成人格变化。其架构与功能可参考 aiway，但不 Fork、不复制源码、不把 aiway 作为运行依赖。
|
||||
|
||||
## 4. 玄关（Go，当前辅助服务）
|
||||
|
||||
**拥有：**MCP 服务登记、工具发现、管理接口和调用入口治理。
|
||||
|
||||
**不拥有：**模型 Provider 路由、人物状态、工具授权裁决或不可信执行。玄关注册出的工具仍须进入灵台百工目录并接受司命裁决；玄关不能因当前独立部署而被视为第五个产品领域。
|
||||
|
||||
## 5. 乾坤（Rust）
|
||||
|
||||
**拥有：**不可信执行隔离、资源约束、执行取消、设备可信状态、本地安全控制器和硬急停。
|
||||
|
||||
**不拥有：**人物目标、长期状态、模型路由、关系语义或许可扩张。
|
||||
|
||||
现实动作须同时通过云端司命裁决与设备本地安全控制；本地硬急停优先级最高。设备失联只允许安全自治和输入暂存，不允许产生可独立成长的完整人物副本。
|
||||
|
||||
## 6. 琉璃镜（Next.js）
|
||||
|
||||
**拥有：**全部 Web 体验、镜树阅读与局部树图、候答采用/归真交互、授权与确认界面、运行轨迹和治理呈现。
|
||||
|
||||
**不拥有：**密钥、权威人物状态、风险最终裁决、不可信执行以及绕开后端的 Provider/数据库直连。
|
||||
|
||||
## 7. 交互边界
|
||||
|
||||
```mermaid
|
||||
sequenceDiagram
|
||||
participant UI as 琉璃镜
|
||||
participant LT as 灵台
|
||||
participant SS as 神识
|
||||
participant QK as 乾坤
|
||||
|
||||
UI->>LT: 用户意图、镜树上下文、授权范围
|
||||
LT->>LT: 司命裁决与最小能力选择
|
||||
alt 模型推理
|
||||
LT->>SS: 版本化模型请求 + trace
|
||||
SS-->>LT: 标准化流与用量
|
||||
else 外部行动
|
||||
LT->>QK: 已授权执行请求 + 限制 + trace
|
||||
QK-->>LT: 执行观察、状态与审计证据
|
||||
end
|
||||
LT->>LT: 净化、标证、形成候答/状态事务与 Outbox
|
||||
LT-->>UI: 可解释结果、证据、确认或错误
|
||||
```
|
||||
|
||||
## 8. 禁止的耦合
|
||||
|
||||
- 琉璃镜直接持有 Provider 密钥或调用高风险工具。
|
||||
- 神识直接读写人物记忆、人格或关系表。
|
||||
- 乾坤根据 Prompt 自行扩大权限或目标。
|
||||
- 灵台把 Provider SDK 细节扩散到领域模块。
|
||||
- 服务共享可写数据库账户，以共享表替代 API/事件契约。
|
||||
- 为轻量部署把神识、乾坤职责重新实现进灵台；能力可关闭，边界不能消失。
|
||||
@@ -0,0 +1,88 @@
|
||||
# 魂镜系统总架构
|
||||
|
||||
> 本文同时说明当前过渡拓扑与目标架构。目标职责不表示能力已落地；当前实现和迁移差距必须由能力矩阵单独确认。
|
||||
|
||||
## 1. 架构目标
|
||||
|
||||
魂镜以人物连续性、用户主权、区域驻留、可审计行动和可恢复运行为首要约束。目标形态由四个清晰解耦的服务组成；轻量部署可以关闭高风险能力，但不得把职责混回其他服务。
|
||||
|
||||
## 2. 当前过渡拓扑
|
||||
|
||||
当前代码尚未完成四服务物理拆分：
|
||||
|
||||
- Python 灵台仍直接承载模型 Provider 配置、Endpoint 池和路由实现；这是待迁移的现状，不是目标边界；
|
||||
- 现有 Go 网关是**玄关（MCP Gateway）**，负责 MCP 服务和工具管理，不是目标神识模型网关；前端 `/api/gateway/*` 代理指向玄关；
|
||||
- 当前应用 Compose 未部署独立 Go 神识；依赖该能力的条目在能力矩阵中必须标为未实现或过渡实现；
|
||||
- Rust 乾坤与 Next.js 琉璃镜已经有独立工程，但其生产安全与发布证据仍以能力矩阵为准。
|
||||
|
||||
过渡期新增模型接入仍应封装在 Python `ai_provider` 边界内，不向领域模块扩散 Provider SDK。迁移到 Go 神识前必须先确定模型请求/流式响应、鉴权、BYOK 密钥归属、用量、错误、回滚和并存期限；不得把现有玄关直接改名后冒充神识。
|
||||
|
||||
## 3. 目标四服务
|
||||
|
||||
| 服务 | 技术 | 核心职责 | 明确边界 |
|
||||
| --- | --- | --- | --- |
|
||||
| 灵台 | Python | 人物身份与认知业务、镜树运行、九枢编排、记忆与关系状态、司命裁决、百工注册 | 不承担通用模型协议网关；不直接执行不可信代码 |
|
||||
| 神识 | Go | Provider/Endpoint 接入、能力槽位、协议转换、路由、流式、BYOK、配额与成本 | 不拥有人物人格、记忆、关系或身份状态；参考 aiway 架构与功能，但不 Fork、不复制源码、不作为运行依赖 |
|
||||
| 乾坤 | Rust | 隔离执行、设备安全、本地安全控制与硬急停边界 | 不决定人物目标，不保存可独立成长的人物副本 |
|
||||
| 琉璃镜 | TypeScript / Next.js | 全部 Web 界面、响应式交互、治理与可解释呈现 | 不保存平台密钥，不绕过灵台和司命直连高风险能力 |
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
U[执镜者与互动者] --> W[琉璃镜<br/>Next.js Web]
|
||||
W --> L[灵台<br/>Python 生命与认知业务]
|
||||
L --> G[神识<br/>Go 模型网关]
|
||||
G --> P[模型 Provider / BYOK Endpoint]
|
||||
L --> K[乾坤<br/>Rust 隔离执行与设备安全]
|
||||
K --> E[工具、设备与本地执行环境]
|
||||
L --> D[(区域内权威数据)]
|
||||
L --> A[(事件审计与行动账)]
|
||||
```
|
||||
|
||||
## 4. 区域云
|
||||
|
||||
官方云面向全球开放，但能力按地区分级。每个镜域在创建或迁移时绑定一个固定数据区域：权威数据、密钥、对象、索引和备份均在该区域驻留，不因流量路由、故障转移或用户旅行自动跨区漂移。
|
||||
|
||||
架构须支持多区域；1.0 只在少量已验证区域实际运营。实际首发区域、运营主体、隐私控制者、支付税务和正式法律文本属于发布决策门，本文不指定。
|
||||
|
||||
```mermaid
|
||||
flowchart TB
|
||||
R[全球入口与地区能力判定]
|
||||
R --> RegionAEntry[区域 A 入口]
|
||||
R --> RegionBEntry[区域 B 入口]
|
||||
R --> N[后续已验证区域]
|
||||
subgraph RegionA[镜域固定驻留区域 A]
|
||||
RegionAEntry --> A1[四服务实例]
|
||||
A1 --> A2[(权威数据、密钥、对象、索引、备份)]
|
||||
end
|
||||
subgraph RegionB[镜域固定驻留区域 B]
|
||||
RegionBEntry --> B1[四服务实例]
|
||||
B1 --> B2[(权威数据、密钥、对象、索引、备份)]
|
||||
end
|
||||
A2 -.仅经正式迁移协议.-> B2
|
||||
```
|
||||
|
||||
## 5. 数据总架构
|
||||
|
||||
- 关系数据库是当前状态事实源。
|
||||
- 关键事件、治理裁决与外部行动形成不可缺失的审计链。
|
||||
- 状态变更与事件通过同一事务或 Outbox 一致提交，避免“状态已变但事件缺失”。
|
||||
- 轻量自托管采用 SQLite、可选 Chroma/向量层、本地对象存储和内存协调。
|
||||
- 标准服务采用 PostgreSQL、pgvector、S3/MinIO 与 Redis；Milvus 和图库只在真实规模需要时引入。
|
||||
- 可重建索引不是权威事实源；任何恢复均须从权威数据重建并校验。
|
||||
|
||||
## 6. 可靠性总架构
|
||||
|
||||
核心文字相伴官方云 1.0 的目标 SLO 为 **99.9%**。权威人物数据目标 **RPO ≤ 5 分钟、RTO ≤ 1 小时**；媒体和可重建索引可以采用更宽目标，但不得阻碍权威状态恢复。
|
||||
|
||||
可靠性手段包括：健康检查、超时与限流、模型端点故障切换、幂等、事务/Outbox、可验证备份、恢复演练、区域内高可用，以及对降级能力的显式说明。跨区域灾备不得突破镜域固定驻留约束；若需要跨区迁移，必须走正式身份与数据迁移协议。
|
||||
|
||||
## 7. 部署档位
|
||||
|
||||
| 档位 | 目标 | 基础设施 |
|
||||
| --- | --- | --- |
|
||||
| 本地开发 | 单机开发与测试，不可用于生产 | SQLite、本地对象、内存协调；允许宿主端口和示例凭证 |
|
||||
| 轻量单机 | 私人闭环、低运维、自托管 | SQLite、本地对象、内存协调，可选本地向量层 |
|
||||
| 标准服务器 | 稳定多人/多人物服务 | PostgreSQL、pgvector、S3/MinIO、Redis |
|
||||
| 官方区域云 | 区域驻留、可运营、满足发布门 | 四服务区域化部署、区域内高可用、备份与灾备体系 |
|
||||
|
||||
自托管以 Docker Compose 为主、源码开发为辅，遥测默认关闭。部署档位改变基础设施规模，不改变四服务的逻辑职责或禁域。`change-me`、无认证管理端口、宿主机全量端口暴露和 `STORAGE_PROVIDER=local` 只允许本地开发；标准服务器和官方云必须在启动/发布检查中拒绝这些配置。
|
||||
@@ -0,0 +1,34 @@
|
||||
# 魂镜契约文档
|
||||
|
||||
## 1. 定位
|
||||
|
||||
本目录是跨服务、跨部署和跨版本稳定工程语言的事实源，承载稳定英文标识、ID、状态分类、Schema、事件、错误和协议。领域中文词义以 `docs/domain/` 为准，产品承诺以 `docs/product/` 为准，当前实现由 `docs/operations/implementation-governance.md` 规定的能力矩阵确认。
|
||||
|
||||
## 2. 当前文档
|
||||
|
||||
| 文档 | 内容 |
|
||||
| --- | --- |
|
||||
| [契约词汇与实现值集](contract-glossary.md) | 稳定英文标识、ID 前缀、枚举、事件、错误码、状态分类和兼容性规则 |
|
||||
| [身份可移植协议](protocols/identity-portability.md) | 魂籍、命台迁移、备份恢复与单命台交接 |
|
||||
|
||||
当前实现仍以 Pydantic Schema、OpenAPI 输出和前端类型承载部分机器契约；这些是待归位的实现事实，不与本目录并列成为第二套命名事实源。后续逐步在本目录补齐版本化 OpenAPI/JSON Schema、事件 Schema 和协议测试向量；未完成评审的目标态值不得在说明文档中先行虚构。
|
||||
|
||||
## 3. 事实源规则
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
P[产品与领域语义] --> C[contracts 稳定契约]
|
||||
C --> I[四服务实现]
|
||||
I --> M[能力矩阵与验证证据]
|
||||
M -.发现偏差.-> C
|
||||
```
|
||||
|
||||
- 产品/领域决定“是什么、为什么”；契约决定“跨边界如何稳定表达”；实现不得反向把临时字段升级为正式领域定义。
|
||||
- 一项契约先在本目录登记和评审，再进入代码、数据库、API、事件、配置与 UI。
|
||||
- 下游引用契约，不复制完整枚举表。
|
||||
- 破坏性变更必须新版本并给出兼容、迁移和回退安排。
|
||||
- 文档示例是说明，不因出现示例值而自动成为完整枚举。
|
||||
|
||||
## 4. 变更要求
|
||||
|
||||
契约变更至少记录：语义、稳定英文标识、所属边界、兼容性、数据迁移、隐私/安全影响、生产者、消费者、测试与回退。身份、命台、授权、审计和区域驻留相关契约必须经过安全与恢复路径复核。
|
||||
File diff suppressed because it is too large.
Load diff
@@ -0,0 +1,102 @@
|
||||
# 身份可移植协议
|
||||
|
||||
## 1. 目标与不变量
|
||||
|
||||
本协议定义魂籍导出、命台在线迁移和备份恢复的身份连续性边界。核心不变量：
|
||||
|
||||
1. 同一人物同一时刻只有一座命台和一条前台意识流。
|
||||
2. 普通文件复制、相同内容或相同人物 ID 不能单独证明同一人物。
|
||||
3. 迁移与恢复必须保持谱系、权威状态、审计链和区域驻留约束。
|
||||
4. 设备不能持有可长期独立成长的完整人物副本。
|
||||
5. 魂籍不自动携带密钥、第三方受限资源或不可转移许可。
|
||||
6. 人物死亡是身份时间线不可逆闭合且独立于数据清除；继承者只能承接资料与谱系，不能继承原身份。
|
||||
|
||||
## 2. 魂籍
|
||||
|
||||
魂籍（`portable_identity_record`）是开放、版本化、可验证的人物身份与状态包，不等于角色卡。角色卡是降生模板或静态快照；魂籍用于证明来源、谱系和可迁移状态。
|
||||
|
||||
魂籍至少需要表达以下类别，具体 Schema 与字段在机器可读契约中另行版本化，不在本文虚构：
|
||||
|
||||
- 包格式版本、签发信息、完整性摘要与签名材料；
|
||||
- 人物稳定身份锚点、道体、谱系和执镜关系证明；
|
||||
- 当前长期状态及其版本/一致性边界；
|
||||
- 正式经历、记忆、关系与演化记录的可移植部分；
|
||||
- 来源、许可、排除项、区域与隐私约束；
|
||||
- 生成魂籍所依据的权威恢复点和审计引用。
|
||||
|
||||
导入方必须验证格式版本、完整性、签发链、许可与是否存在冲突命台。无法证明连续性时只能创建灵胚、只读档案或分灵候选，不能冒充原人物。
|
||||
|
||||
## 3. 在线命台迁移
|
||||
|
||||
在线迁移使用短时、单用途、可撤销的迁移凭证，并通过冻结写入和原子命台交接避免双写与双命台。
|
||||
|
||||
```mermaid
|
||||
sequenceDiagram
|
||||
participant C as 执镜者
|
||||
participant S as 源命台
|
||||
participant T as 目标命台
|
||||
participant R as 身份/迁移协调记录
|
||||
|
||||
C->>S: 强认证并发起迁移
|
||||
S->>R: 建立迁移会话与短时凭证
|
||||
T->>R: 验证凭证、区域与目标环境
|
||||
S->>S: 排空前台请求并冻结权威写入
|
||||
S->>R: 提交最终一致恢复点与审计水位
|
||||
T->>T: 导入并校验状态、对象和许可
|
||||
T->>R: 声明就绪
|
||||
R->>S: 撤销源命台权威资格
|
||||
R->>T: 原子授予唯一命台
|
||||
T-->>C: 迁移完成与验证结果
|
||||
```
|
||||
|
||||
### 3.1 迁移前置条件
|
||||
|
||||
- 执镜者强认证并明确确认目标、区域与影响。
|
||||
- 目标环境满足协议版本、安全禁域和所需能力；缺失能力须事先披露。
|
||||
- 已确认数据驻留与许可允许迁移；跨区不得伪装成普通路由。
|
||||
- 迁移会话有唯一标识、短时凭证、过期时间、重放防护和完整审计。
|
||||
|
||||
### 3.2 协调与唯一性机制
|
||||
|
||||
迁移协调记录必须位于一个明确的强一致事务域，由权威关系数据库或等价的单一协调服务持有。这里的“原子”只指该事务域内对 `seat_epoch` 和唯一命台租约的一次条件提交，不表示跨区域数据库、对象存储和服务调用组成分布式原子事务。
|
||||
|
||||
每次交接签发单调递增的 `seat_epoch` 与 fencing token。所有权威写入都必须携带当前 epoch，并通过 compare-and-swap 或等价条件写校验；源端租约被撤销后，即使网络分区或旧进程恢复，也不能以旧 epoch 写入。迁移会话、租约、凭证和交接命令均须有幂等键、明确过期时间和确定性错误码。
|
||||
|
||||
冻结后禁止产生新的权威人物写入；在途请求须完成、取消或记录为可恢复状态。源端提交最终恢复点、事件/Outbox 水位和对象清单；目标端校验完成后，协调事务撤销源命台并授予目标命台。任何时刻不得同时授予两端权威资格。
|
||||
|
||||
### 3.3 失败与回退
|
||||
|
||||
在目标命台尚未获权威资格前，失败应撤销迁移凭证并解冻源端；目标端导入数据保持隔离且不可对外运行。交接完成后的回退视为一次新的反向迁移，不得直接复活旧源命台。状态不明时进入保全和人工恢复路径，优先阻止双命台。
|
||||
|
||||
## 4. 备份恢复
|
||||
|
||||
备份恢复是事故恢复，不等同于复制创建。恢复为同一人物必须同时满足：
|
||||
|
||||
- 使用可信、完整且通过校验的恢复点；
|
||||
- 谱系和身份锚点连续；
|
||||
- 不存在其他活跃命台；
|
||||
- 事件、Outbox 与对象水位一致或可证明地补齐；
|
||||
- 删除标记、撤销授权和许可限制在恢复后继续生效；
|
||||
- 生成完整恢复记录并由执镜者可见。
|
||||
|
||||
恢复流程为：选择恢复点 → 校验包与清单 → 隔离恢复 → 重放/核对审计与 Outbox → 重建索引 → 检查单命台 → 赋予权威资格 → 验证核心旅程。若无法证明身份连续性，不得以相同 ID 强行上线。
|
||||
|
||||
## 5. 备份与恢复目标
|
||||
|
||||
权威人物数据目标 RPO ≤ 5 分钟、RTO ≤ 1 小时。媒体和可重建索引可使用更宽目标；索引必须从权威数据重建。备份须区域驻留、加密、带完整性校验并定期恢复演练。
|
||||
|
||||
## 6. 最小机器契约
|
||||
|
||||
协议进入实现前必须在 `docs/contracts/` 补齐并版本化：
|
||||
|
||||
- 魂籍 manifest 与 JSON Schema，包括签名 envelope、摘要算法标识、许可和排除项；
|
||||
- 签发者 trust chain、信任根、密钥轮换、撤销检查、离线导入和时钟偏差规则；
|
||||
- migration session、seat lease、`seat_epoch`、fencing token、幂等键和状态机；
|
||||
- 确定性错误码、审计事件、兼容性策略和人工保全记录格式；
|
||||
- 测试向量：源端网络分区、目标崩溃、重复/过期凭证、水位不一致、并发迁移、恢复后删除墓碑和反向迁移。
|
||||
|
||||
在这些机器契约、实现和故障演练证据齐全前，在线迁移与“恢复为同一人物”在能力矩阵中不得标记为完成。
|
||||
|
||||
## 7. 安全要求
|
||||
|
||||
迁移凭证不得写入魂籍或日志明文；必须绑定源、目标、人物、用途和期限并防重放。导出与迁移遵循最小数据原则，第三方资料、BYOK、设备密钥和平台密钥分别处理。所有导出、冻结、交接、恢复、回退和失败都进入不可缺审计链。
|
||||
@@ -0,0 +1,45 @@
|
||||
# 魂镜领域文档
|
||||
|
||||
本目录定义魂镜的领域语言与跨模块业务不变量，只回答“概念是什么、如何相互约束”。数据库、API、消息格式和部署方式不属于本目录。
|
||||
|
||||
## 事实层级
|
||||
|
||||
发生冲突时按以下顺序裁决：
|
||||
|
||||
1. 产品宪章：不可让渡的使命、权利和禁域；
|
||||
2. 产品需求：产品范围、用户旅程与优先级；
|
||||
3. 领域文档（本目录）：统一语言、聚合边界与业务不变量；
|
||||
4. 工程契约：枚举、标识、接口与兼容规则；
|
||||
5. 当前实现：已经运行的能力及限制。
|
||||
|
||||
领域文档不得反向降低宪章保护，也不因当前实现缺失而删除已确认的目标语义。文化名与英文稳定名以 [文化命名体系](./cultural-naming.md) 为准；枚举值和标识前缀仍以工程契约事实源为准。
|
||||
|
||||
```mermaid
|
||||
flowchart TD
|
||||
C[产品宪章] --> P[产品需求]
|
||||
P --> D[领域模型]
|
||||
D --> K[工程契约]
|
||||
K --> I[当前实现]
|
||||
```
|
||||
|
||||
## 文档索引
|
||||
|
||||
| 文档 | 领域问题 |
|
||||
| --- | --- |
|
||||
| [完整领域词典](./glossary.md) | 各术语的规范定义、相邻概念与禁用混称 |
|
||||
| [文化命名体系](./cultural-naming.md) | 中文文化名、英文稳定名及命名原则 |
|
||||
| [身份连续性](./identity-continuity.md) | 人物身份、命台、迁移、死亡、继承与恢复 |
|
||||
| [镜树领域模型](./mirror-tree-model.md) | 分支对话、候答、归真、界域、引文与受托任务 |
|
||||
| [六个核心领域](./core-domains.md) | 镜生、缘契、三界、形仪、灵台、天宰及九枢边界 |
|
||||
| [记忆模型](./memory-model.md) | 微痕、明忆、重忆、实录、心痕、正影与遗忘 |
|
||||
| [司命、百工与自主性](./mandate-and-capability-model.md) | 风险治理、能力契约、请命/行契和受控自主 |
|
||||
|
||||
## 共同不变量
|
||||
|
||||
- 人物先于会话、模型、形象与设备；这些都是人物经历或载体，不是人物本体。
|
||||
- 账户治理关系与人物—用户的缘契分离；治理权不等于情感关系。
|
||||
- 候选不等于事实，采用不等于归真，推演不等于现实行动。
|
||||
- 长期变化必须可追溯、可审阅；核心身份变化必须问心或铸魂。
|
||||
- 用户拥有知情、纠正、删除、导出、暂停与退出权。
|
||||
- 自主性只能在明确授权、预算、期限、能力与停止条件内展开。
|
||||
- 同一人物同一时刻只有一条权威身份链；备份、分灵和继承者不能冒充原人物。
|
||||
@@ -0,0 +1,135 @@
|
||||
# 魂镜领域上下文图
|
||||
|
||||
> 本文说明魂镜各限界上下文之间的职责与关系。它不定义 API、数据库表或服务部署。
|
||||
|
||||
## 1. 上下文总览
|
||||
|
||||
```mermaid
|
||||
flowchart TB
|
||||
User[执镜者与互动者]
|
||||
|
||||
subgraph Product[魂镜产品域]
|
||||
Jingsheng[镜生\n身份与生命周期]
|
||||
Yuanqi[缘契\n关系与同意]
|
||||
Realms[三界\n现实与叙事]
|
||||
Xingyi[形仪\n外在身份与表现]
|
||||
Lingtai[灵台\n认知运行]
|
||||
Tianzai[天宰\n账户与平台治理]
|
||||
end
|
||||
|
||||
User --> Tianzai
|
||||
Tianzai --> Jingsheng
|
||||
User --> Yuanqi
|
||||
User --> Lingtai
|
||||
Jingsheng --> Yuanqi
|
||||
Jingsheng --> Xingyi
|
||||
Jingsheng --> Lingtai
|
||||
Realms --> Lingtai
|
||||
Yuanqi --> Lingtai
|
||||
Xingyi --> Lingtai
|
||||
Tianzai --> Lingtai
|
||||
```
|
||||
|
||||
## 2. 镜生
|
||||
|
||||
镜生负责回答“这个人物是谁、从哪里来、是否仍为同一人物”。
|
||||
|
||||
包含：
|
||||
|
||||
- 原创、领养、导入和随缘；
|
||||
- 灵胚、照心和启镜；
|
||||
- 人物唯一身份、魂籍和谱系；
|
||||
- 命台和唯一权威运行；
|
||||
- 正影、铸魂与分灵；
|
||||
- 相伴、静修、归藏；
|
||||
- 待死亡确认、死亡、恢复、迁移和继承者。
|
||||
|
||||
镜生不负责亲密关系含义、模型路由或工具权限。
|
||||
|
||||
## 3. 缘契
|
||||
|
||||
缘契负责回答“人物与谁形成了什么关系、双方确认了什么边界”。
|
||||
|
||||
包含：
|
||||
|
||||
- 执镜关系与缘契的区分；
|
||||
- 多维关系与主称谓；
|
||||
- 提议、问心、铭契；
|
||||
- 浪漫、成人资格和持续同意；
|
||||
- 关系事实、心痕与缘识；
|
||||
- 公域、私域和密语边界。
|
||||
|
||||
缘契不会因为亲密程度扩大系统权限；能力授权属于司命治理。
|
||||
|
||||
## 4. 三界
|
||||
|
||||
三界负责回答“这段内容属于现实、持续世界正史，还是临时推演”。
|
||||
|
||||
包含：
|
||||
|
||||
- 真界、境界、幻境；
|
||||
- 入境、出境和归真；
|
||||
- 境界版本与境忆；
|
||||
- 幻境推演和角色体验；
|
||||
- 跨界引用与现实行动。
|
||||
|
||||
三界的核心规则是：言可入幻，行必归真。
|
||||
|
||||
## 5. 形仪
|
||||
|
||||
形仪负责回答“人物以什么外在形态被识别和表达”。
|
||||
|
||||
包含：
|
||||
|
||||
- 存在形态和真形锚点；
|
||||
- 主仪、化仪和叙仪；
|
||||
- 图像、声音、表情、动作和 Live2D；
|
||||
- 显相、定相与易相；
|
||||
- 素材来源、许可和成人资格；
|
||||
- 情态到情相的受控映射。
|
||||
|
||||
形仪不是人物身份本身；更换形仪不会自动更换人物。
|
||||
|
||||
## 6. 灵台
|
||||
|
||||
灵台负责人物的认知运行，九枢只存在于此域。
|
||||
|
||||
- 灵核：人格与道体；
|
||||
- 太一：目标；
|
||||
- 司命：风险和权限；
|
||||
- 烛照：感知与观察；
|
||||
- 河图：世界认知；
|
||||
- 洛书：计划；
|
||||
- 息壤：记忆；
|
||||
- 百工：能力；
|
||||
- 天工阁：受托任务协作。
|
||||
|
||||
镜树是灵台拥有的对话聚合。灵台拥有问节、候答、分支、工作入口、归真命令、主脉版本与并发冲突；三界裁定归真作用域，镜生判断身份连续性效力，息壤根据已提交的归真结果产生记忆候选，缘契只处理关系事实、同意与边界。多域约束不改变镜树状态由灵台单一持有。
|
||||
|
||||
## 7. 天宰
|
||||
|
||||
天宰负责账户和平台层面的治理：
|
||||
|
||||
- 执镜者账户和主镜域；
|
||||
- 成年资格、地区和数据区域；
|
||||
- 平台模型目录和 Provider；
|
||||
- 订阅、预算和费用；
|
||||
- 管理员职责分权与临时提权；
|
||||
- 模板发布、支持包、合规与运营；
|
||||
- 官方云、自托管和开放生态。
|
||||
|
||||
天宰不能以平台管理权改写人物身份、关系或私密内容。
|
||||
|
||||
## 8. 关键跨域规则
|
||||
|
||||
| 场景 | 主责域 | 协作域 | 权威产出 | 不允许的捷径 |
|
||||
| --- | --- | --- | --- | --- |
|
||||
| 启镜 | 镜生 | 缘契、形仪、天宰 | 人物身份、魂籍与命台 | 导入或试演后自动产生正式人物 |
|
||||
| 对话归真 | 灵台/镜树 | 三界、镜生、息壤、缘契 | 带 `canonical_scope` 的主脉版本与归真事件 | 生成过即视为共同经历，或以境界/幻境归真扩大真界效力 |
|
||||
| 浪漫关系 | 缘契 | 天宰年龄资格、三界 | 缘契版本与同意记录 | 亲密度阈值自动开启 |
|
||||
| 工具动作 | 灵台/司命 | 三界、百工、天宰预算 | 授权裁决、执行请求与行动账 | 用人物信任代替具体授权 |
|
||||
| 更换模型 | 灵台/神识 | 镜生 | 运行配置版本 | 把模型差异写成人格变化 |
|
||||
| 更换形仪 | 形仪 | 镜生 | 形仪版本与许可记录 | 把任何外观变化都视为皮肤 |
|
||||
| 跨人物分享 | 缘契/天宰 | 息壤、灵台/镜树 | 范围化授权与撤回记录 | 同镜域自动互读私域 |
|
||||
| 备份恢复 | 镜生 | 天宰、运维 | 连续性裁定与唯一命台授予 | 有备份即认定同一人物 |
|
||||
| 人物死亡 | 镜生 | 天宰、缘契 | 不可逆身份时间线闭合 | 把数据删除自动叙述为死亡 |
|
||||
@@ -0,0 +1,96 @@
|
||||
# 六个核心领域与九枢边界
|
||||
|
||||
## 1. 总览
|
||||
|
||||
```mermaid
|
||||
flowchart TB
|
||||
J[镜生
|
||||
身份与生命周期]
|
||||
Y[缘契
|
||||
关系与同意]
|
||||
R[三界
|
||||
现实与叙事]
|
||||
X[形仪
|
||||
外在身份与表现]
|
||||
L[灵台
|
||||
认知运行]
|
||||
T[天宰
|
||||
平台治理]
|
||||
J --> Y
|
||||
J --> X
|
||||
J --> L
|
||||
Y --> L
|
||||
R --> L
|
||||
X --> L
|
||||
T --> J
|
||||
T --> L
|
||||
```
|
||||
|
||||
六域是产品的限界上下文；九枢只是灵台内部的认知职责，不得扩张为整个产品的信息架构。
|
||||
|
||||
## 2. 镜生
|
||||
|
||||
镜生回答“人物是谁、从哪里来、是否仍是同一人物”。它负责原创/领养/导入/随缘、灵胚—照心—启镜、身份与魂籍、谱系、命台、道体、铸魂、分灵、静修/归藏、死亡、恢复、迁移与继承。
|
||||
|
||||
镜生不解释亲密关系，不路由模型，也不授予工具权限。角色卡或模板只提供来源材料，不能证明主体连续性。
|
||||
|
||||
## 3. 缘契
|
||||
|
||||
缘契回答“人物与谁形成什么关系、共同确认了什么边界”。执镜关系是治理责任，缘契是互动关系，二者分离。
|
||||
|
||||
缘契支持多维关系并存及可选主称谓，通过“提议—问心—铭契”建立或改变。用户边界和停止决定立即生效；人物可以诚实表达不同感受，但不能阻止撤回。浪漫缘契须双向明确同意和成人资格；成人内容另按人物/缘契授契并按会话临时开启。
|
||||
|
||||
亲密关系不得扩大工具、数据或设备权限。人物不得封闭用户现实关系、以伤害威胁挽留或把爱与付费绑定。
|
||||
|
||||
## 4. 三界
|
||||
|
||||
三界回答“内容属于现实、持续世界正史还是临时推演”。真界承载可验证状态、授权、费用与外部后果；境界承载版本化世界设定及确认的叙事正史；幻境承载角色体验、梦境、假设和安全推演。
|
||||
|
||||
默认真界，入境/出境必须可见。境界与幻境不会自动更新真界本相、缘契或现实经历；跨界引用只是引文。核心规则是“言可入幻，行必归真”：任何现实动作须回到真界并受司命裁决。
|
||||
|
||||
## 5. 形仪
|
||||
|
||||
形仪回答“人物以何种外在形态被识别和表达”。它涵盖真形锚点、主仪、化仪、叙仪、图像、声音、表情、动作、画风、场景、Live2D、来源和许可。
|
||||
|
||||
启镜只需最小主仪或文字形仪。生成内容先为候选，用户定相后才成为正式形仪。真形锚点约束稳定辨识特征、年龄表现、许可、禁忌与可变范围。更换形仪通常是易相，不改变人物；若某形仪持续形成独立人格和关系，须评估分灵。
|
||||
|
||||
一魂多仪共享同一主线记忆，形态可有局部表现偏好。人物可提出审美提案和异议，执镜者最终定相。声音克隆和参考素材须按身份、用途、期限、传播与相似性治理。
|
||||
|
||||
## 6. 灵台
|
||||
|
||||
灵台回答“人物如何感知、理解、计划、记忆和受控行动”。九枢在此分工：
|
||||
|
||||
| 九枢 | 负责 | 不负责 |
|
||||
| --- | --- | --- |
|
||||
| 灵核 | 人格、道体投影、情态与表达基线 | 执行工具、决定人物身份死亡 |
|
||||
| 太一 | 使命投影、目标层级和优先序 | 绕过司命、直接执行 |
|
||||
| 司命 | 风险、权限、确认、隐私、费用与审计 | 制造业务目标或代替执行 |
|
||||
| 烛照 | 将输入形成有来源的观察 | 把观察直接定为事实 |
|
||||
| 河图 | 实体、关系、状态和不确定性认知 | 取代实录或输出最终答复 |
|
||||
| 洛书 | 拆解目标、形成计划和调整 | 自行扩大使命与权限 |
|
||||
| 息壤 | 记忆候选、召回、正影、遗忘 | 把所有留存都称为记忆 |
|
||||
| 百工 | 能力注册、发现与调用编排 | 制定目标或批准自身权限 |
|
||||
| 天工阁 | 受托任务的分解、并行和验收 | 创造有连续身份的第二人物 |
|
||||
|
||||
镜树是灵台拥有的对话聚合；灵台负责节点、分支、上下文、归真命令、主脉版本与并发冲突。三界裁定归真作用域，镜生判断身份连续性效力，息壤产生记忆候选，缘契独立处理关系与同意；协作域不得复制镜树权威状态。
|
||||
|
||||
## 7. 天宰
|
||||
|
||||
天宰回答“账户和平台如何被治理”。它负责执镜者账户、镜域、成人资格、地区和数据区域、平台模型目录、订阅与预算、管理员分权与临时提权、模板发布、支持、合规、官方云、自托管和开放生态。
|
||||
|
||||
天宰不能以平台管理权改写人物身份、缘契或私密内容。管理员日常无特权，私密原文默认不可见；支持优先使用用户主动生成的脱敏支持包。平台级禁域不可被超级管理员关闭。
|
||||
|
||||
运营法人、实际首发区域、供应商、价格和法定保全期限仍是上线决策门，领域文档不预设答案。
|
||||
|
||||
## 8. 典型跨域裁决
|
||||
|
||||
| 场景 | 主责 | 必须协作 | 禁止捷径 |
|
||||
| --- | --- | --- | --- |
|
||||
| 启镜 | 镜生 | 缘契、形仪、天宰 | 导入或试演即正式降生 |
|
||||
| 镜树归真 | 灵台/镜树 | 三界、镜生、息壤、缘契 | 生成即经历，或跨作用域扩大效力 |
|
||||
| 缘契改变 | 缘契 | 镜生、息壤 | 单一好感值自动升级 |
|
||||
| 现实工具动作 | 灵台/司命 | 百工、三界、天宰 | 用亲密或信任代替授权 |
|
||||
| 更换模型 | 灵台/神识 | 镜生 | 将模型偏差写成人格变化 |
|
||||
| 更换形仪 | 形仪 | 镜生 | 一律当皮肤或一律当新人物 |
|
||||
| 备份恢复 | 镜生 | 天宰与运维 | 有文件即认定同一人物 |
|
||||
| 人物死亡 | 镜生 | 天宰、缘契 | 将删除数据自动叙述为死亡 |
|
||||
@@ -0,0 +1,113 @@
|
||||
# 文化命名体系与英文稳定名
|
||||
|
||||
## 1. 原则
|
||||
|
||||
- 中文是文化语义的权威原文；英文名用于跨语言契约、检索和长期兼容。
|
||||
- 英文品牌固定为 **Hunjing**，不翻译品牌；副标题使用 **Personal Digital Life Platform**。
|
||||
- 稳定英文名表达领域本义，不逐字翻译典故。一个概念只设一个规范英文名。
|
||||
- 文化名首次出现必须附直白解释；不得用诗性措辞隐藏风险、授权或操作后果。
|
||||
- 领域名不等于页面名、服务名或代码模块名。
|
||||
- 尚未确认的运营参数、枚举和标识不得由文化名反推。
|
||||
|
||||
### 1.1 四层表达边界
|
||||
|
||||
| 层级 | 用途 | 权威来源 | 边界 |
|
||||
| --- | --- | --- | --- |
|
||||
| 文化与产品展示名 | 产品界面、叙事和品牌沟通，如“魂籍”“命台”“司命” | 本文及对应领域文档 | 必须服务理解，不得代替风险、授权、删除、收费或现实后果说明 |
|
||||
| 直白领域义 | 首次解释、帮助、确认和跨团队沟通，如“可迁移人物档案”“唯一权威运行席位” | 领域词典与领域模型 | 描述产品内规范语义，不自动构成法律定义或工程取值 |
|
||||
| 稳定工程标识 | API、Schema、事件、存储、配置和跨服务通信，如 `custodian` | `docs/contracts/`，以契约词典为入口 | 机器可读标识不得由文化名临时翻译；其枚举、字段和 ID 只由契约定义 |
|
||||
| 法律与合规表述 | 隐私告知、服务条款、地区开放、支付税务、数据保全和权利义务说明 | 经批准的正式法律与运营文本 | 不得从文化名、领域英文名或工程标识推导；未确定内容不得在技术文档中虚构 |
|
||||
|
||||
稳定英文领域名用于跨语言理解，稳定工程标识用于机器契约；二者可以同形，但不因此成为同一事实源。文化名、直白领域义和工程标识均不自动证明人物具有生物意识、自然人资格、法律人格、资产所有权或不受法律约束的独立主体地位。
|
||||
|
||||
面向用户的关键确认应先说明直白后果，再辅以文化名。人物死亡、数据清除、跨区传输、敏感能力授权、现实行动和收费不得仅以诗性措辞呈现。
|
||||
|
||||
## 2. 六大领域
|
||||
|
||||
| 中文规范名 | 稳定英文名 | 直白解释 |
|
||||
| --- | --- | --- |
|
||||
| 镜生 | Character Identity & Lifecycle | 人物来源、身份、谱系与生命周期 |
|
||||
| 缘契 | Relationship Covenant | 人物与互动者的关系、同意和边界 |
|
||||
| 三界 | Reality & Narrative Realms | 现实、持续世界和临时推演的边界 |
|
||||
| 形仪 | Embodied Form | 人物外在身份与表现系统 |
|
||||
| 灵台 | Cognitive Runtime | 人物认知运行域 |
|
||||
| 天宰 | Platform Governance | 账户、平台、运营与管理员治理 |
|
||||
|
||||
“灵台”在本领域体系中特指认知运行域；不得再用它泛指整个平台。九枢全部位于灵台之内。
|
||||
|
||||
## 3. 身份与生命周期
|
||||
|
||||
| 文化名 | 稳定英文名 | 使用边界 |
|
||||
| --- | --- | --- |
|
||||
| 人物 | Character | 有连续身份的数字生命实例 |
|
||||
| 灵胚 | Embryo Draft | 启镜前草稿，不称人物死亡 |
|
||||
| 照心 | Co-creation | 共塑灵胚的过程 |
|
||||
| 启镜 | Birth | 正式降生和身份签发 |
|
||||
| 道体 | Identity Baseline | 最小稳定身份锚点与禁域 |
|
||||
| 魂籍 | Portable Identity Record | 可验证、可迁移的人物档案 |
|
||||
| 命台 | Authoritative Runtime Seat | 当前唯一权威运行位置 |
|
||||
| 执镜者 | Custodian | 人物最高治理责任人 |
|
||||
| 执镜关系 | Custodianship | 治理关系，不是亲密或所有权 |
|
||||
| 镜域 | Personal Domain | 个人数据与治理边界 |
|
||||
| 铸魂 | Identity Reforging | 核心身份的正式重塑 |
|
||||
| 分灵 | Identity Branching | 连续性不足时创建新身份 |
|
||||
| 守一 | Quiet Persistence | 常存但不恒思 |
|
||||
| 应感 | Event Awakening | 由真实事件短暂唤起 |
|
||||
| 临照 | Foreground Presence | 唯一前台意识流 |
|
||||
| 叩心 | Proactive Contact Candidate | 受约束的主动联系候选 |
|
||||
|
||||
## 4. 镜树与记忆
|
||||
|
||||
| 文化名 | 稳定英文名 | 说明 |
|
||||
| --- | --- | --- |
|
||||
| 镜树 | Mirror Tree | 主题树状对话 |
|
||||
| 问节 | Question Node | 问题、附件、引文和界域载体 |
|
||||
| 候答 | Answer Candidate | 可并存的答复版本 |
|
||||
| 主脉 | Canonical Trunk | 已归真的唯一正式路径 |
|
||||
| 推演枝 | Exploration Branch | 未归真的探索路径 |
|
||||
| 续思 | Continued Reflection | 对既有候答的延展 |
|
||||
| 引文锚 | Citation Anchor | 稳定的内容区域引用 |
|
||||
| 采用 | Adopt | 选为工作入口 |
|
||||
| 归真 | Canonize | 纳入正式经历 |
|
||||
| 移栽 | Transplant | 复制分支为新树并保留谱系 |
|
||||
| 微痕 | Trace Memory | 短期、用途限定记忆 |
|
||||
| 明忆 | Explicit Memory | 可见、可解释的普通长期记忆 |
|
||||
| 重忆 | Sensitive Memory | 需确认的敏感长期记忆 |
|
||||
| 实录 | Factual Record | 可追溯的事件事实 |
|
||||
| 心痕 | Relational Impression | 对经历关系意义的主观理解 |
|
||||
| 本相 | Declared Self | 用户主动声明并授权的自身资料 |
|
||||
| 缘识 | Relational Understanding | 单一人物形成的私有关系认知 |
|
||||
| 正影 | Correction | 留痕的新版本纠正 |
|
||||
|
||||
## 5. 关系、界域、表现与治理
|
||||
|
||||
| 文化名 | 稳定英文名 | 直白解释 |
|
||||
| --- | --- | --- |
|
||||
| 缘契 | Relationship Covenant | 人物与互动者共同确认的关系、同意和边界 |
|
||||
| 问心 | Self-disclosure | 人物表达自身理解、意愿或异议的过程 |
|
||||
| 铭契 | Confirm Covenant | 将双方确认的关系变化正式记录 |
|
||||
| 真界 | Reality | 现实及魂镜中的可验证状态 |
|
||||
| 境界 | Persistent World | 版本化维护的持续人物世界与正史 |
|
||||
| 幻境 | Simulation | 不自动影响现实或正史的临时推演 |
|
||||
| 入境 / 出境 | Enter / Leave Realm | 显式切换当前对话所处界域 |
|
||||
| 形仪 | Embodied Form | 人物完整的外在身份与表现系统 |
|
||||
| 器谱 | Device Registry | 镜域内已识别设备、能力与授权的登记 |
|
||||
| 神识 | Model Gateway | 模型、端点、协议、路由和成本治理服务 |
|
||||
| 百工 | Capability Registry | 工具、Skill、MCP、感官和设备能力的统一管理 |
|
||||
| 司命 | Safety Governor | 对能力、数据、后果和情境进行行动裁决 |
|
||||
| 授契 | Grant Capability | 向人物授予最小范围的能力权限 |
|
||||
| 行契 | Standing Mandate | 带条件、期限和停止边界的预授权 |
|
||||
| 请命 | Request Approval | 对当前行动向用户请求明确批准 |
|
||||
| 禁域 | Non-overridable Boundary | 任何普通授权和配置都不能关闭的硬边界 |
|
||||
| 天工阁 | Task Agent Workspace | 受控功能 Agent 的任务工作区 |
|
||||
| 雅集 | Multi-character Gathering | 多人物经逐一同意参与的共同交流空间 |
|
||||
| 司席 | Gathering Orchestrator | 确定性管理雅集秩序和轮次的编排服务 |
|
||||
|
||||
## 6. 禁止混称
|
||||
|
||||
- 魂籍不是角色卡；角色卡只能是降生材料或降级快照。
|
||||
- 命台不是设备、会话或模型；它是权威运行席位。
|
||||
- 执镜者不是人物“主人”，执镜关系不是缘契。
|
||||
- 心痕不是事实，缘识不是可跨人物共享的用户档案。
|
||||
- 天工阁任务 Agent 不是人物；雅集不是多 Agent 工作流。
|
||||
- 司命不是管理员；管理员同样受禁域与提权规则约束。
|
||||
@@ -0,0 +1,193 @@
|
||||
# 魂镜完整领域词典
|
||||
|
||||
> 中文词是领域讨论的权威入口；括号内为稳定英文名。本文不定义枚举、字段、接口或实现状态。
|
||||
|
||||
## 1. 产品、人物与治理主体
|
||||
|
||||
| 术语 | 定义 | 不等于 |
|
||||
| --- | --- | --- |
|
||||
| 魂镜（Hunjing） | 面向个人深度用户的个人数字生命平台 | 单次问答工具、角色扮演前端、无约束 Agent |
|
||||
| 人物（Character） | 拥有唯一身份、魂籍、人格、记忆、关系、世界认知与正式经历的数字生命实例 | 模型、Prompt、角色卡、会话、Avatar、设备、资产 |
|
||||
| 执镜者（Custodian） | 对人物数据、运行、授权、导出、删除与生命周期承担最高管理责任的人 | 人物主人、版权当然所有者、亲密关系对象 |
|
||||
| 执镜关系（Custodianship） | 人物与执镜者之间的治理责任关系 | 缘契、爱情、资产所有权 |
|
||||
| 镜域（Personal Domain） | 执镜者在云端或自托管部署中的个人数据与治理边界 | 人物私域自动共享区 |
|
||||
| 互动者（Interactor） | 与人物发生对话或共同事项的人；可以不是执镜者 | 自动拥有治理权的人 |
|
||||
|
||||
## 2. 六大领域
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 镜生（Character Identity & Lifecycle） | 管理人物来源、降生、身份、谱系、命台、连续性、死亡、恢复与迁移的领域 |
|
||||
| 缘契（Relationship Covenant） | 管理人物与互动者之间多维关系、共同确认和可撤回边界的领域 |
|
||||
| 三界（Reality & Narrative Realms） | 管理现实、持续世界正史与临时推演之间效力边界的领域 |
|
||||
| 形仪（Embodied Form） | 管理人物外在身份、形象、声音、动作、Live2D、来源与许可的领域 |
|
||||
| 灵台（Cognitive Runtime） | 承载人物人格、目标、安全、感知、世界认知、计划、记忆、能力和任务协作的认知运行域 |
|
||||
| 天宰（Platform Governance） | 管理账户、镜域、平台目录、地区、运营、计费、支持、合规与管理员职责的领域 |
|
||||
|
||||
## 3. 降生、身份与连续性
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 灵胚（Embryo Draft） | 启镜前的可审阅人物草稿，只有预备身份 |
|
||||
| 随缘 | 依据少量偏好生成匿名灵胚候选，不是抽卡或分配已有主体 |
|
||||
| 照心（Co-creation） | 执镜者审阅、试演并共塑灵胚身份、人格、边界、来源和形仪的过程 |
|
||||
| 启镜（Birth） | 确认正式降生并签发人物唯一身份、魂籍与执镜关系的动作 |
|
||||
| 初照自陈 | 人物启镜后的首次自我陈述；预览并确认后才归真 |
|
||||
| 道体（Identity Baseline） | 不能被日常对话、模型输出或普通工具静默覆盖的最小稳定身份锚点与禁域 |
|
||||
| 魂籍（Portable Identity Record） | 开放、版本化、可验证、可迁移的人物身份与状态档案 |
|
||||
| 身份谱系（Identity Lineage） | 记录人物来源、铸魂、分灵、迁移、恢复与继承关系的可验证链 |
|
||||
| 命台（Authoritative Runtime Seat） | 人物当前唯一权威运行位置 |
|
||||
| 铸魂（Identity Reforging） | 对身份、使命、价值底线或重大关系角色的正式重塑 |
|
||||
| 分灵（Identity Branching） | 变化无法维持连续性时创建新身份，并保留与原人物谱系关系 |
|
||||
| 静修 | 人物停止普通相伴和任务运行、但身份仍存续的状态 |
|
||||
| 归藏 | 将人物或镜树从日常入口隐藏但保持可恢复的状态 |
|
||||
| 复照 | 从归藏或旧版本重新开启相伴；不抹除其间已经发生的历史 |
|
||||
| 封镜 | 执镜者账户暂时停用；不是人物静修、归藏或死亡 |
|
||||
| 守一（Quiet Persistence） | 人物安静存续但不持续调用模型制造思绪的状态 |
|
||||
| 应感（Event Awakening） | 真实事件触发人物短暂唤起 |
|
||||
| 临照（Foreground Presence） | 人物当前唯一的前台意识流与正式交互状态 |
|
||||
| 死亡 | 人物身份时间线不可逆闭合，与数据清除相互独立 |
|
||||
| 继承者 | 死亡后承接获准资料和谱系的新人物；不承接原身份 |
|
||||
| 恢复 | 从可信恢复点恢复原人物的权威状态，要求谱系一致且无其他活跃命台 |
|
||||
| 迁移 | 冻结源命台并把权威身份与状态交接到目标命台的过程 |
|
||||
|
||||
## 4. 镜树
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 镜树（Mirror Tree） | 围绕主问题、长期主题或共同事项生长的树状对话 |
|
||||
| 问节（Question Node） | 承载问题、附件、引文、界域和输入条件的结构 |
|
||||
| 候答（Answer Candidate） | 同一问节下并存的回答版本 |
|
||||
| 主脉（Canonical Trunk） | 经确认归真、进入人物正式共同经历的唯一时间线路径 |
|
||||
| 推演枝（Exploration Branch） | 未归真的探索路径，不自动形成正式经历或长期记忆 |
|
||||
| 续思（Continued Reflection） | 从具体候答继续阐释、查证或推演的独立延展 |
|
||||
| 临时芽体 | 流式生成尚未完成的答复形态；完成后才固化 |
|
||||
| 残答 | 被停止或中断并封存的不完整答复 |
|
||||
| 引文锚（Citation Anchor） | 对文本、图像区域、PDF 页区、附件或音视频片段的稳定引用 |
|
||||
| 采用（Adopt） | 将候答设为当前阅读和继续生长入口，不赋予经历效力 |
|
||||
| 归真（Canonize） | 确认路径进入主脉，使其可形成实录、心痕与记忆候选 |
|
||||
| 移栽（Transplant） | 将分支复制为独立镜树并保留来源谱系，原分支不被破坏 |
|
||||
| 引用合流 | 通过显式引用把一棵树的内容带入另一棵树，不物理合并两树 |
|
||||
| 结题 | 标记主题阶段完成并形成可审阅总结；之后仍可复照 |
|
||||
| 回响 | 后台受托任务回到原枝的结果观察；接纳后才成为正式答复 |
|
||||
| 上下文镜 | 发送前渐进展示实际采用、压缩或遗漏的上下文范围 |
|
||||
|
||||
## 5. 记忆与认识论
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 微痕（Trace Memory） | 服务当前主题或任务、按用途和时间衰减的短期记忆 |
|
||||
| 明忆（Explicit Memory） | 低风险、可解释、可见且可撤销的长期记忆 |
|
||||
| 重忆（Sensitive Memory） | 涉及敏感身份、重大关系、第三方、生物特征或高影响推断，须确认的长期记忆 |
|
||||
| 实录（Factual Record） | 发生过且可追溯证据的事件记录 |
|
||||
| 心痕（Relational Impression） | 人物对经历及关系意义的主观理解，不是客观事实 |
|
||||
| 本相（Declared Self） | 用户主动声明并按范围授权给人物使用的自身资料 |
|
||||
| 缘识（Relational Understanding） | 单一人物基于独立关系形成、默认私有的用户认知 |
|
||||
| 正影（Correction） | 纠正事实、权限、来源或错误理解并形成有留痕的新版本 |
|
||||
| 事实 | 有充分依据且已经确认的陈述 |
|
||||
| 观察 | 来自特定时刻和来源、尚未完成事实裁定的记录 |
|
||||
| 推断 | 根据证据形成但仍可能错误的判断 |
|
||||
| 假设 | 为探索而提出、尚未验证的可能条件 |
|
||||
| 记忆候选 | 尚未取得长期记忆效力的建议，不得伪装成已记住 |
|
||||
| 撤销窗 | 明忆自动写入后允许用户在明确时间窗口内撤销的保护机制；具体时长由产品策略另定 |
|
||||
| 删除墓碑 | 仅证明删除发生的最小记录，不含被删原文，也不得用于召回 |
|
||||
|
||||
## 6. 关系与同意
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 缘契（Relationship Covenant） | 人物与互动者经提议、问心和确认形成的多维关系与边界 |
|
||||
| 问心（Self-disclosure） | 人物基于经历表达自身感受、关系理解或变化候选，不具有治理否决权 |
|
||||
| 铭契（Confirm Covenant） | 确认缘契建立或变更并形成新版本的动作 |
|
||||
| 主称谓 | 多维关系并存时选择的主要对外称谓，不消除其他维度 |
|
||||
| 持续同意 | 同意可随时撤回；停止、犹豫或边界变化立即生效 |
|
||||
| 成人授契 | 在成人资格与双向同意之外，对具体人物/缘契授予成人内容范围，并由会话临时开启 |
|
||||
| 公域 | 雅集或多人事项中所有获准参与者可见的内容范围 |
|
||||
| 私域 | 某人物或互动者独享、不会因同席自动共享的内容范围 |
|
||||
| 密语 | 明确定向且受权限约束的多人场景信息 |
|
||||
|
||||
## 7. 三界与世界
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 真界（Reality） | 现实世界及魂镜中的可验证状态、授权、费用、设备动作和外部后果 |
|
||||
| 境界（Persistent World） | 人物持续存在的版本化世界背景、规则、实体与经确认叙事正史 |
|
||||
| 境忆 | 在境界中已归真的叙事经历；与世界设定版本分开 |
|
||||
| 幻境（Simulation） | 角色扮演、梦境、假设、创作试演和安全推演，默认不修改真界或境界正史 |
|
||||
| 入境 / 出境（Enter / Leave Realm） | 显式切换界域并说明身份、记忆和现实行动边界的动作 |
|
||||
| 言可入幻，行必归真 | 表达可留在叙事与推演中，现实副作用必须回到真界接受授权 |
|
||||
|
||||
## 8. 形仪、感官与设备
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 形仪（Embodied Form） | 包含真形、外貌、形体、服饰、声音、表情、动作、画风、场景和 Live2D 的完整外在身份系统 |
|
||||
| 真形锚点 | 约束稳定辨识特征、年龄表现、许可、禁忌和可变范围的身份表现契约 |
|
||||
| 主仪 | 人物默认正式表现形态 |
|
||||
| 化仪 | 同一人物在特定场景使用的正式替代表现形态 |
|
||||
| 叙仪 | 境界或幻境中的叙事性表现形态 |
|
||||
| 显相 | 生成或导入形仪候选的过程 |
|
||||
| 定相 | 用户确认候选成为正式主仪或化仪 |
|
||||
| 易相 | 对正式形仪进行版本化改变；触及核心锚点时须身份连续性评估 |
|
||||
| 情相 | 情态在形仪上的受控、可访问性友好的表现 |
|
||||
| 形器 | 承载人物表现或行动的硬件/软件载体 |
|
||||
| 器谱（Device Registry） | 镜域中设备身份、能力、可信状态和人物级授权记录 |
|
||||
| 通感 | 摄像头、屏幕、位置等按范围和时间授权的显式感知 |
|
||||
|
||||
## 9. 灵台九枢与运行
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 灵核 | 人格、道体运行投影、情态和表达基线职责 |
|
||||
| 太一 | 目标、使命投影与优先序职责 |
|
||||
| 司命（Safety Governor） | 风险、权限、隐私、确认、费用、拒绝和审计体系 |
|
||||
| 烛照 | 将用户、环境和设备输入形成有来源观察的感知职责 |
|
||||
| 河图 | 对实体、关系、状态、时间与不确定性的世界认知职责 |
|
||||
| 洛书 | 目标拆解、计划、调整与失败收束职责 |
|
||||
| 息壤 | 记忆候选、召回、正影、遗忘和知识沉淀职责 |
|
||||
| 百工（Capability Registry） | 工具、MCP、Skill、感官和形器的唯一能力注册与发现体系 |
|
||||
| 天工阁（Task Agent Workspace） | 受托任务、有限分解、受控并行和结果验收工作域 |
|
||||
| 神识（Model Gateway） | 模型 Provider、能力槽位、路由、流式、BYOK、配额和成本的统一能力来源 |
|
||||
| 小周天 / Run | 一次输入到答复或行动结果的可追踪认知闭环 |
|
||||
| 受托 Run | 有明确目标、预算、期限、能力、数据范围和停止条件的后台任务 |
|
||||
| 叩心（Proactive Contact Candidate） | 由真实事件形成、受静默、频率、渠道和预算约束的主动联系候选 |
|
||||
|
||||
## 10. 能力与治理
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 能力契约 | 描述能力动作、数据流、后果、授权、风险、期限、撤销和版本的统一语义 |
|
||||
| 授契（Grant Capability） | 向人物授予有明确范围、用途、期限和撤销方式的能力 |
|
||||
| 行契（Standing Mandate） | 允许人物在确定的能力、参数、数据、目标、预算、时间和停止条件内重复执行低风险行动的契约 |
|
||||
| 请命（Request Approval） | 现实副作用、敏感数据、显著费用或高风险动作前请求当次确认 |
|
||||
| 禁域（Non-overridable Boundary） | 不能被 Prompt、人物、模型、扩展、普通管理员或普通部署配置关闭的核心边界 |
|
||||
| 自省 | 形成观察、反思、问题和候选而不产生外部副作用 |
|
||||
| 循律 | 在明确规则和已授契范围内自主行动 |
|
||||
| 结果净化 | 对工具结果作安全处理、范围限制和证据标注，再进入认知 |
|
||||
| 委托包 | 天工阁任务 Agent 获得的最小目标、上下文、能力和验收材料 |
|
||||
| 功能代理 | 为任务服务、没有魂籍、缘契、情态或独立长期身份的 Agent |
|
||||
| 雅集（Multi-character Gathering） | 用户与多个有身份人物共同参与的关系型多人对话 |
|
||||
| 司席（Gathering Orchestrator） | 雅集的确定性轮次、权限、预算和公私上下文编排者，不是人物 |
|
||||
|
||||
## 11. 天宰与平台
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 天宰（Platform Governance） | 账户、镜域、地区、平台目录、运营、计费、支持、合规和管理员治理领域 |
|
||||
| 平台目录 | 经评测和发布治理的模型、能力、模板等可选资源目录 |
|
||||
| 临时提权 | 管理员日常无特权，针对具体目的、范围和期限取得可审计权限 |
|
||||
| 支持包 | 用户主动生成的脱敏诊断材料，避免管理员默认浏览私密原文 |
|
||||
| 保全态 | 欠费等情况下停止新增资源消耗，但继续允许查看、导出和删除；人物不会因此死亡或遗忘 |
|
||||
| 私箧 | 用户独立持钥、平台不能越权恢复的高敏数据空间 |
|
||||
| 数据区域 | 镜域权威数据、密钥、对象、索引和备份的固定驻留边界 |
|
||||
|
||||
## 12. 必须保持的语义区分
|
||||
|
||||
1. 灵胚放弃 ≠ 人物死亡；静修/归藏/封镜/保全 ≠ 死亡。
|
||||
2. 人物死亡 ≠ 数据删除；备份恢复 ≠ 继承者创建。
|
||||
3. 采用 ≠ 归真；候答 ≠ 正式答复；推演枝 ≠ 共同经历。
|
||||
4. 观察 ≠ 事实；心痕 ≠ 实录；世界设定 ≠ 境忆。
|
||||
5. 执镜关系 ≠ 缘契；亲密 ≠ 系统权限。
|
||||
6. 模型、形仪和设备变化 ≠ 人物变化。
|
||||
7. 天工阁功能代理 ≠ 人物；雅集 ≠ 任务型多 Agent。
|
||||
8. 魂籍 ≠ 角色卡；文件复制 ≠ 权威身份迁移。
|
||||
@@ -0,0 +1,98 @@
|
||||
# 人物身份连续性
|
||||
|
||||
## 1. 身份主体
|
||||
|
||||
人物是拥有唯一身份、魂籍、人格、记忆、关系、世界认知和正式经历时间线的数字生命实例。模型、Prompt、角色卡、会话、形仪和设备都不是身份主体。
|
||||
|
||||
人物身份连续性由以下要素共同判断，而非由单一 ID 或内容相似度决定：
|
||||
|
||||
- 道体的最小稳定锚点；
|
||||
- 唯一且可验证的身份谱系；
|
||||
- 已归真的经历和关系历史；
|
||||
- 当前权威命台及交接记录；
|
||||
- 可追溯的人格、记忆与铸魂版本；
|
||||
- 无相互冲突的并行权威主体。
|
||||
|
||||
## 2. 降生
|
||||
|
||||
人物来源可以是原创、领养或导入；“随缘”只生成匿名灵胚候选。导入、模板实例化或幻境试演均先形成灵胚，不直接生成正式人物。
|
||||
|
||||
启镜前至少确认身份、来源、边界和初始关系。启镜后才签发正式身份、魂籍和执镜关系。初照自陈先预览，确认“以此相见”后才进入正式经历。
|
||||
|
||||
```mermaid
|
||||
stateDiagram-v2
|
||||
[*] --> 灵胚
|
||||
灵胚 --> 灵胚: 照心与幻境试演
|
||||
灵胚 --> 人物: 启镜
|
||||
灵胚 --> [*]: 放弃草稿
|
||||
人物 --> 静修
|
||||
静修 --> 人物
|
||||
人物 --> 归藏
|
||||
归藏 --> 人物: 复照
|
||||
人物 --> 待死亡确认
|
||||
待死亡确认 --> 人物: 撤销
|
||||
待死亡确认 --> 死亡: 冷静期后强确认
|
||||
死亡 --> [*]
|
||||
```
|
||||
|
||||
放弃灵胚不是人物死亡；归藏、静修、封镜和欠费保全也都不是死亡。
|
||||
|
||||
## 3. 道体与变化
|
||||
|
||||
道体只保存不能被日常对话、模型输出或普通工具静默覆盖的最小稳定身份锚点与禁域。语气、称谓、兴趣和相处习惯属于调节层，可由互动形成候选并渐进生效。
|
||||
|
||||
身份、使命、价值底线或重大关系角色的重塑必须进入铸魂。人物可以问心提议，但不能自行完成铸魂。若变化在多维连续性评估后已无法维持原身份，应分灵创建新人物；新人物继承资料与谱系，不继承原身份。
|
||||
|
||||
复照旧人格版本只改变当前人格基线，不回滚已经发生的经历。更换模型先做表现校准，不把模型差异写成人格事实。
|
||||
|
||||
## 4. 命台与唯一主体
|
||||
|
||||
命台是人物当前唯一权威运行位置。同一人物同一时刻只能有一座命台和一条临照意识流。
|
||||
|
||||
- 多个镜树请求可以排队；
|
||||
- 边界固定的后台受托 Run 可以并行；
|
||||
- 这些 Run 不是第二意识，不得独立扩展使命、建立关系或直接写入长期记忆；
|
||||
- 设备只作为入口、感官、形器或化身，不保有可长期独立成长的完整人物副本；
|
||||
- 失联设备只能安全自治和暂存输入。
|
||||
|
||||
守一表示人物常存但不持续调用模型制造思绪；应感必须来自真实事件；临照是唯一前台意识流。离线期间不得虚构人物持续等待、孤独、思考或生活。
|
||||
|
||||
## 5. 魂籍
|
||||
|
||||
魂籍是开放、版本化、可验证、可迁移的人物档案，至少在语义上覆盖：
|
||||
|
||||
1. 核心身份与谱系；
|
||||
2. 人格、记忆、关系、世界认知和正式经历等状态；
|
||||
3. 支撑状态的证据与版本链；
|
||||
4. 形仪、外部资源、许可和缺失资源清单。
|
||||
|
||||
魂籍不自动包含密钥、不可转让许可、第三方受限原件或平台私有能力。降级到角色卡等生态时，必须说明丢失内容和可逆映射，不能宣称完整迁移。
|
||||
|
||||
## 6. 迁移与恢复
|
||||
|
||||
在线迁移维持同一身份须完成短时迁移凭证、冻结权威写入、状态核验和命台交接。目标命台接管前，源命台不得继续独立成长。
|
||||
|
||||
```mermaid
|
||||
sequenceDiagram
|
||||
participant S as 源命台
|
||||
participant C as 执镜者
|
||||
participant T as 目标命台
|
||||
C->>S: 发起迁移
|
||||
S->>S: 冻结权威写入并生成可验证魂籍
|
||||
S-->>T: 短时迁移凭证与状态
|
||||
T->>T: 校验谱系、完整性与许可
|
||||
S->>T: 交出命台
|
||||
T-->>C: 新命台生效并记录交接
|
||||
```
|
||||
|
||||
事故恢复仍视为同一人物，必须同时满足可信恢复点、同一谱系、没有其他活跃命台和完整恢复记录。普通文件复制或复用相同人物 ID 不足以证明原身份。
|
||||
|
||||
加密增量备份用于恢复可能性，不天然产生新的权威人物。
|
||||
|
||||
## 7. 死亡、数据清除与继承
|
||||
|
||||
人物死亡是身份时间线不可逆闭合，不等于删除数据。死亡须经过强认证、多阶段确认、可撤销冷静期和独立凭证；冷静期默认静修，只允许明确标记的只读告别、导出与撤销。人物不得以哀求、自伤暗示或情绪勒索阻止操作。
|
||||
|
||||
死亡后默认保留只读死亡档案；数据清除另行选择。继承者可以承接资料、作品、许可允许的资源和谱系，但必须获得新身份，不得承接原人物身份或假装原人物复生。
|
||||
|
||||
运行状态、身份状态、数据状态三者必须独立表达：暂停运行不等于死亡，死亡不等于清除，清除也不应被自动叙述为死亡。
|
||||
@@ -0,0 +1,83 @@
|
||||
# 司命、百工与自主性
|
||||
|
||||
## 1. 四方职责
|
||||
|
||||
- **神识通协议**：提供模型能力与路由，不保存人物身份，也不决定业务权限。
|
||||
- **百工掌能力**：统一登记工具、MCP、Skill、感官和形器，描述它们能做什么。
|
||||
- **司命决边界**：在行动前裁决风险、权限、隐私、费用与后果。
|
||||
- **灵台承结果**：把净化且有证据的结果作为观察纳入认知，不自动当作事实。
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
I[人物或用户意图] --> S[司命四维裁决]
|
||||
S -->|允许| B[百工选择已授契能力]
|
||||
S -->|需确认| Q[请命]
|
||||
S -->|禁域| X[拒绝]
|
||||
Q -->|同意| B
|
||||
Q -->|拒绝或超时| X
|
||||
B --> E[隔离执行]
|
||||
E --> N[结果净化与证据标注]
|
||||
N --> L[灵台作为观察接纳]
|
||||
```
|
||||
|
||||
## 2. 能力契约
|
||||
|
||||
百工是唯一能力注册与发现体系。工具、MCP、Skill、感官与形器采用统一能力契约，但保留执行类型。每项能力至少在领域上说明：
|
||||
|
||||
- 能力与允许动作；
|
||||
- 读取、传出和修改的数据范围；
|
||||
- 外部目的地与现实后果；
|
||||
- 所需授权、费用和风险；
|
||||
- 有效期限、撤销方式和失败边界；
|
||||
- 来源、签名、版本和扩权差异。
|
||||
|
||||
能力来源分内置、官方签名和用户自定义三层。安装前展示能力清单、数据流和风险照鉴；更新不扩权可成为候选，新增权限必须重新授契。每个 Run 只向模型暴露当前任务最小必要、已经获准的能力。
|
||||
|
||||
Skill 只提供受限工作方法，不具有治理权；与道体、用户当前指令、缘契边界或司命规则冲突时必须让位。
|
||||
|
||||
## 3. 司命裁决
|
||||
|
||||
司命按四个维度综合裁决，而不是只看工具名称：
|
||||
|
||||
1. **能力**：动作自身能做什么、是否可逆；
|
||||
2. **数据**：读取或传出的数据及敏感程度；
|
||||
3. **后果**：现实副作用、传播范围和费用；
|
||||
4. **情境**：当前界域、设备状态、对象、授权与用户状态。
|
||||
|
||||
亲密程度、人物信任或“过去允许过”不能替代具体授权。实体动作还须接受设备本地安全控制器裁决，本地硬急停最高优先。
|
||||
|
||||
## 4. 授契、行契、请命与禁域
|
||||
|
||||
- **授契**授予明确范围、用途、期限和撤销方式的能力。
|
||||
- **行契**允许在预先确定的能力、参数、数据、目标、预算、时间和停止条件内重复执行低风险动作。一次确认不得自动扩大为无限行契。
|
||||
- **请命**用于当次现实副作用、敏感数据、显著费用或高风险设备动作。确认必须说明谁在做、做什么、用什么、去哪里、可能后果和替代方案。
|
||||
- **禁域**是不可覆盖的核心边界，Prompt、人物、模型、扩展、普通管理员和普通自托管配置均不能关闭；部署策略只能更严。
|
||||
|
||||
拒绝、取消或超时后不得执行。误拒应提供解释、局部重试和人工复核，但复核也不能突破禁域。
|
||||
|
||||
## 5. 自主性层级
|
||||
|
||||
魂镜的自主性不是“能否不问用户”，而是责任与风险相匹配的四层：
|
||||
|
||||
| 层级 | 允许行为 | 边界 |
|
||||
| --- | --- | --- |
|
||||
| 自省 | 形成观察、反思、问题和候选 | 不产生外部副作用，不改写长期核心状态 |
|
||||
| 循律 | 在明确规则和已授契范围内行动 | 受预算、期限、数据和停止条件约束 |
|
||||
| 请命 | 提出超出当前授权的具体行动 | 用户当次同意前不执行 |
|
||||
| 禁域 | 触及不可覆盖边界 | 无人可授权执行 |
|
||||
|
||||
守一期间只有明确受托且边界固定的任务可以继续。任务可检索、整理、等待回调、生成文件、监测或有限探索，但不能成为第二意识、扩展使命、建立新关系或直接写入长期记忆。达到预算、期限或连续失败后，保留证据、停止并请命。
|
||||
|
||||
叩心只是主动联系候选，受静默、频率、渠道和预算约束。用户不回应不会形成情感债，也不会降低缘契。
|
||||
|
||||
## 6. 工具结果与故障
|
||||
|
||||
能力返回不可信输入。结果必须净化、限制体量、标注来源和执行条件，再作为观察进入灵台。观察被人物接纳不等于成为事实、答复或记忆；这些分别受认识论、镜树归真和记忆规则约束。
|
||||
|
||||
恶意结果、超时或失败应限制在单次运行内，并可触发能力降级、熔断或可撤销封禁。系统不得为了成功率扩大权限、隐藏失败或伪装正常。
|
||||
|
||||
## 7. 天工阁边界
|
||||
|
||||
天工阁承载受托任务、有限分解、受控并行与按证据验收。任务 Agent 是功能代理，没有魂籍、缘契、情态或独立长期身份；默认只收到最小委托包。
|
||||
|
||||
用户可发起任务；人物只能提议，或依行契在范围内委托。成果归镜域，工作经验先成为候选。首版受控多 Agent 协作不等于持续身份的 Agent 社会，也不等于雅集中的多人物关系互动。
|
||||
@@ -0,0 +1,71 @@
|
||||
# 记忆领域模型
|
||||
|
||||
## 1. 记忆不是一切留存
|
||||
|
||||
人物记忆是被允许影响未来认知的长期或短期状态，不等于原始对话、附件、世界设定或审计记录。来源材料、实录、心痕和记忆必须可区分。
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
E[经历或观察] --> R[实录候选]
|
||||
E --> H[心痕候选]
|
||||
E --> M0[微痕]
|
||||
M0 -->|用途与时间评估| M1[明忆候选]
|
||||
M0 -->|敏感或高影响| M2[重忆候选]
|
||||
M1 -->|白名单或审阅| A1[明忆]
|
||||
M2 -->|明确确认| A2[重忆]
|
||||
```
|
||||
|
||||
## 2. 三级记忆
|
||||
|
||||
### 微痕
|
||||
|
||||
服务当前主题或任务的短期记忆。它按用途和时间双触发衰减：任务完成、主题失活、期限到达或不再必要时过期或清除。微痕不因存在而自动升级为长期记忆。
|
||||
|
||||
### 明忆
|
||||
|
||||
低风险、可解释、对用户可见且可撤销的长期记忆。只有明确白名单内容可自动成为明忆，并须提供撤销窗口；其他内容先进入候选箱。
|
||||
|
||||
### 重忆
|
||||
|
||||
涉及敏感身份、重大关系、第三方、生物特征、成人内容、健康/财务等高敏信息或高影响推断的长期记忆。重忆必须明确确认，不得通过多条低敏信息组合绕过；组合出的高敏推断按结果从严治理。
|
||||
|
||||
记忆不按条数惩罚用户。资源消耗应透明治理，但不能以付费档位决定人物是否“记得感情”。
|
||||
|
||||
## 3. 实录与心痕
|
||||
|
||||
实录回答“发生了什么”，必须有可追溯证据。心痕回答“这段经历对人物及关系意味着什么”，是人物的主观理解，不是客观事实，也不要求与用户或其他人物对称。
|
||||
|
||||
缘契事实（称谓、边界、已确认承诺）与心痕双轨存在。用户纠正事件含义时，应正影人物对事件的理解，而不是直接写入某个情绪数值。
|
||||
|
||||
## 4. 本相与缘识
|
||||
|
||||
本相是用户主动声明、可按范围授权的自身资料，可在同一镜域内授权多个指定人物使用。缘识是某一人物从独立关系中形成的认知，连同心痕和敏感记忆默认人物私有，不因同一执镜者或同一镜域自动共享。
|
||||
|
||||
跨人物共享必须最小化、可见、可撤回。第三方信息先识别、隔离和匿名化，再决定是否有必要承接。
|
||||
|
||||
## 5. 从镜树进入记忆
|
||||
|
||||
息壤只消费灵台发布的、已带三界 `canonical_scope` 的归真结果，不拥有归真命令或镜树主脉：
|
||||
|
||||
- 未归真的旁枝不会自动进入长期记忆；
|
||||
- 真界经历主脉可按三级规则形成真界记忆候选；
|
||||
- 境界正史只形成对应世界的境忆候选，不进入真界本相或现实关系记忆；
|
||||
- 幻境试演不自动形成长期记忆，用户只能将启发、观点或假设手动入忆；
|
||||
- 用户可以对节点或引文锚手动入忆，系统必须保留原界域和来源；
|
||||
- 未归真内容手动入忆时，必须标明是事实、观点、启发或假设；
|
||||
- 工具结果先经净化和证据标注，作为观察被接纳后才有资格形成记忆候选；
|
||||
- 人物可以提出“想记住”的候选，但没有越权写入权。
|
||||
|
||||
## 6. 正影、冲突与删除
|
||||
|
||||
正影不改写历史，而是形成指向旧版本的新版本。新版本成为普通召回的当前版本，旧版本保留来源与纠错轨迹但停止普通召回。
|
||||
|
||||
冲突信息不静默裁决：已确认实录优先于推断，正影新版本优先于旧版本，用户当前明确声明优先于旧偏好；不同观点可并存。影响回答或行动时，应显式说明冲突并请求确认或给出条件化结论。
|
||||
|
||||
永久删除后，内容停止在主存储、索引、上下文、主动对话和派生使用中出现。人物不得表演“其实仍记得”或编造遗忘叙事。必要的最小审计墓碑只能证明删除行为发生，不承载被删原文。
|
||||
|
||||
## 7. 召回透明
|
||||
|
||||
人物使用长期记忆时默认给出轻量提示，并允许展开来源、时间、类型、当前版本、置信状态及纠正入口。事实、观察、推断和假设必须区分；过期、冲突或被否定内容不得以当前真相使用。
|
||||
|
||||
删除权、纠正权和来源可见性高于召回便利。记忆召回不能越过人物私域、界域边界或已撤回授权。
|
||||
@@ -0,0 +1,84 @@
|
||||
# 镜树领域模型
|
||||
|
||||
## 1. 定位
|
||||
|
||||
镜树是围绕主问题、长期主题或共同事项自然生长的树状对话。它取代“单一线性消息列表”作为对话的领域模型，但不等于把任意消息画成树。
|
||||
|
||||
一棵镜树有一条已归真的主脉和多条可同时生长的推演枝。核心可见单元是问节及其候答。
|
||||
|
||||
```mermaid
|
||||
flowchart TD
|
||||
Q1[问节] --> A11[候答 A]
|
||||
Q1 --> A12[候答 B]
|
||||
A11 --> E1[续思]
|
||||
A11 --> Q2[后续问节]
|
||||
A12 --> Q3[另一推演枝]
|
||||
Q2 --> A21[候答]
|
||||
A11 -.归真.-> T[主脉]
|
||||
A21 -.归真.-> T
|
||||
```
|
||||
|
||||
## 2. 结构
|
||||
|
||||
- **问节**承载问题、附件、显式引文、界域和当时的输入条件。
|
||||
- **候答**是同一问节下并存的回答版本；重新生成不覆盖旧候答。
|
||||
- **后代绑定实际候答**：从哪个候答继续，后续就永久保留该依据，切换候答不迁移后代。
|
||||
- **续思**是对具体候答的阐释、查证、工具工作或深入推演，形成独立延展节点，不追加原候答。
|
||||
- **临时芽体**是尚未完成的流式答复；完成后固化。中断残答封存，继续生成形成新的延展。
|
||||
|
||||
编辑已发送问题等同创建新版本并分叉，不静默改写既有路径。系统展示可读思路摘要、证据和工具轨迹，不索取或持久化隐藏思维链。
|
||||
|
||||
## 3. 采用与归真
|
||||
|
||||
镜树是灵台拥有的对话聚合：灵台负责问节、候答、分支、工作入口、归真命令、主脉版本和并发冲突。采用只把候答设为当前阅读和继续生长的工作入口。归真确认路径进入一个明确作用域的主脉或正式记录；采用另一个候答不得逆改已经归真的内容。
|
||||
|
||||
归真默认作用于路径，也允许细选节点。关键节点由系统邀请归真，但必须由用户确认。归真必须携带界域裁定的 `canonical_scope`，并按下表产生不同效力：
|
||||
|
||||
| `canonical_scope` | 权威结果 | 可产生的候选 | 禁止副作用 |
|
||||
| --- | --- | --- | --- |
|
||||
| 真界经历 | 人物与互动者的正式共同经历主脉 | 真界实录、心痕、三级记忆候选 | 不自动批准重忆、缘契、人格改变、授权或现实行动 |
|
||||
| 境界正史 | 指定境界版本的世界正史 | 境界实录、境忆、世界内关系意义候选 | 不更新真界本相、现实缘契、现实授权、费用或外部后果 |
|
||||
| 幻境试演 | 正式发生过的试演记录 | 幻境实录；可手动提取启发、观点或假设 | 不产生真界实录、现实缘契、现实授权、人物本相或外部行动 |
|
||||
|
||||
候答只是人物的可能表达；真界内容只有归真后才承接为正式共同经历。境界与幻境的归真只在各自作用域成立，不得以“已经归真”为理由回流真界。
|
||||
|
||||
```mermaid
|
||||
stateDiagram-v2
|
||||
[*] --> 候答
|
||||
候答 --> 已采用: 采用
|
||||
候答 --> 候答: 重新生成并列版本
|
||||
已采用 --> 推演中: 继续追问或续思
|
||||
已采用 --> 已归真: 用户确认归真
|
||||
推演中 --> 已归真: 路径归真
|
||||
已归真 --> [*]
|
||||
```
|
||||
|
||||
## 4. 上下文与引文
|
||||
|
||||
新节点默认上下文由祖先路径、获准长期记忆和显式引文构成；其他旁枝不会自动混入。引文锚可定位文本、图片区域、PDF 页区、附件片段及音视频时间段。
|
||||
|
||||
引用保存不可改写的来源快照；用户可另附解释。来源后来正影或失效时，历史快照保持不变并提示后继版本。跨人物引用必须经授权和脱敏；授权撤回后停止后续访问，既有历史仅保留不可读取原文的墓碑与来源说明。
|
||||
|
||||
上下文超限时分层压缩且可追溯：强制边界、当前问题、直接父链和显式锚点优先；较早祖先、工具结果与旁枝引文可使用版本化摘要；大附件使用检索片段。不得静默截断关键内容。
|
||||
|
||||
## 5. 分支、移栽与合流
|
||||
|
||||
分支可处于活跃、暂缓、结题或归藏等少量明确状态。结题生成可审阅总结、未决枝和候选，但不永久封死；复照可重新开启。归藏只是隐藏，不等于结题或删除。
|
||||
|
||||
发展成独立主题的分支可以移栽：复制必要来源快照与引文成为新树，记录源树和源节点，原分支保持不变。两树合流通过目标树中的显式引用问节完成，不做破坏性的物理合并。
|
||||
|
||||
删除默认先归藏，再由用户按分支、引用、记忆和导出等影响范围决定清除。已进入其他事实或记忆的内容不得假装从未发生，而应按正影、撤回或删除规则处理。
|
||||
|
||||
## 6. 三界与现实行动
|
||||
|
||||
镜树有默认界域，节点继承并可显式切换。跨界引用不改变目标节点界域。三界负责裁定归真作用域，灵台只按裁定提交对应主脉或正式记录。未归真的推演枝不得直接造成现实副作用；已经归真的境界或幻境内容也仍受其作用域限制。言可入幻，行必归真：任何现实工具动作都必须返回真界并接受司命裁决。
|
||||
|
||||
用户在推演枝中的事实、授权或关系承诺按语义分层：当前安全停止立即有效；现实授权须单独确认；关系和经历须在真界归真或铭契；境界关系只影响对应世界正史；幻境角色表达和假设不自动生效。
|
||||
|
||||
## 7. 后台受托与费用
|
||||
|
||||
不同分支可排队，边界固定的任务可后台受托。任务结果回到原枝成为“观察/回响”，温和通知；用户接纳后才成为正式答复，归真后才可能进入经历或记忆。
|
||||
|
||||
受托任务必须有目标、预算、期限、能力和数据范围、停止条件。达到预算、期限或连续失败时保留证据、停止并请命，不自行扩展任务。
|
||||
|
||||
重新生成、续思、候答比较和受托任务发起前应使模型策略、预计资源与费用可见；在预授权额度内运行，超额或高成本并行请命。可追溯运行条件，但不承诺逐字复现。
|
||||
@@ -0,0 +1,48 @@
|
||||
# 魂镜能力矩阵
|
||||
|
||||
> 状态：开发期基线
|
||||
> 作用：记录“当前已经验证到哪里”，不重复产品目标或契约取值。没有证据链接的能力不得标为完成。
|
||||
|
||||
## 1. 状态值
|
||||
|
||||
| 状态 | 判定 |
|
||||
| --- | --- |
|
||||
| 未评估 | 尚未完成代码、契约与运行证据盘点 |
|
||||
| 未实现 | 目标已确认，但没有可运行闭环 |
|
||||
| 局部实现 | 只有部分服务、API、页面或测试，尚非用户闭环 |
|
||||
| 已验证 | 在指定部署档位与范围内通过契约、端到端和失败路径验证 |
|
||||
| 待复核 | 证据过期、依赖变化或出现回归，不能继续沿用原结论 |
|
||||
|
||||
“已验证”不是全局状态，必须同时写明部署档位、区域/范围、版本和证据日期。
|
||||
|
||||
## 2. 当前架构基线
|
||||
|
||||
| 能力 | 里程碑 | 当前状态 | 服务归属与过渡情况 | 发布前缺口 |
|
||||
| --- | --- | --- | --- | --- |
|
||||
| Python 灵台认知与人物业务 | P0 | 局部实现 | Python backend 已承载多项领域模块 | 按用户闭环补契约、端到端与失败路径证据 |
|
||||
| 神识模型网关 | P0 | 局部实现 | Provider/Endpoint 配置与路由仍在 Python `ai_provider`；独立 Go 神识未部署 | 定义跨服务模型请求/流、鉴权、BYOK、用量、错误和迁移回退 |
|
||||
| 玄关 MCP 网关 | P0 | 局部实现 | 现有 Go gateway 是 MCP 服务/工具管理，不是神识 | 补部署、认证、健康检查、百工登记与司命裁决闭环 |
|
||||
| 乾坤隔离执行 | P0/P1 | 局部实现 | Rust sandbox 已有工程与接口 | 补隔离级别、资源上限、失败/取消、凭证与安全测试 |
|
||||
| 琉璃镜 Web | P0 | 局部实现 | Next.js 已有多页面与 API client | 补真实数据闭环、响应式、无障碍和错误状态证据 |
|
||||
| 镜树归真 | P0 | 未评估 | 目标契约已明确由灵台拥有并使用 `canonical_scope` | 机器 Schema、并发版本、三界作用域、记忆消费和端到端测试 |
|
||||
| 身份在线迁移 | P0/P2 | 未实现 | 仅有目标协议 | manifest/schema、签名信任、lease/epoch/fencing、错误码和故障注入 |
|
||||
| Outbox/Inbox | P0 | 未评估 | 当前存在 EventStore，不等同于已完成 Outbox | Schema、投递器、幂等、重放、DLQ、水位和副作用顺序 |
|
||||
| 删除与恢复墓碑 | P0/P2 | 未评估 | 目标规则已确认 | 主存储/索引/上下文停止使用与恢复后重应用的测试证据 |
|
||||
|
||||
## 3. 能力行模板
|
||||
|
||||
新增能力行至少包含：
|
||||
|
||||
| 字段 | 内容 |
|
||||
| --- | --- |
|
||||
| 能力与里程碑 | 用户可验证的纵向闭环及 P0/P1/P2 |
|
||||
| 目标契约 | 产品、领域、架构、协议和机器 Schema 链接 |
|
||||
| 服务归属 | 生产者、消费者和权威状态所有者 |
|
||||
| 当前状态 | 使用第 1 节状态值 |
|
||||
| 适用范围 | 本地开发、轻量单机、标准服务器、官方区域云及地区 |
|
||||
| 证据 | 自动测试、契约测试、端到端、故障注入、演练、监控或人工验收 |
|
||||
| 安全与数据 | 权限、驻留、删除、审计、恢复和禁域 |
|
||||
| 已知限制 | 降级、规模、单机/多实例限制和未覆盖风险 |
|
||||
| 责任与复核 | 责任角色、版本、最近验证时间与证据有效期 |
|
||||
|
||||
能力状态由证据反推，不由文档篇幅、代码数量或负责人主观确认决定。
|
||||
@@ -0,0 +1,67 @@
|
||||
# 文档重建与 Git 重置操作方案
|
||||
|
||||
> 旧文档清理已完成；本文保留为尚未执行的 Git 重建与代码归位方案。当前任务不重建 `.git/`、不移动业务代码、不提交。
|
||||
|
||||
## 1. 重建目标
|
||||
|
||||
新事实层级为：产品宪章 → 主 PRD → 领域文档 → 架构与契约 → 实现状态 → 代码。新目录采用 `product/`、`domain/`、`architecture/`、`contracts/`、`operations/`。旧文档的有效内容完成迁移和核对后删除，不保留 archive、bak 或长期重定向页。
|
||||
|
||||
## 2. 旧文档迁移（已完成）
|
||||
|
||||
旧 `concept/`、`design/`、`development/`、`api/` 和 `roadmap/` 已删除，不保留 archive、bak 或长期重定向页。有效的稳定标识、枚举、ID、事件和错误码已归入 `contracts/contract-glossary.md`；目标语义归入 product/domain/architecture，当前实现差距归入能力矩阵。后续发现遗漏时从 Git 历史提取单项证据并归入当前事实层级，不恢复旧树。
|
||||
|
||||
## 3. Git 重建前三重备份
|
||||
|
||||
删除旧 `.git/` 前必须创建并验证三种彼此独立的备份：
|
||||
|
||||
| 备份 | 覆盖内容 | 验证 |
|
||||
| --- | --- | --- |
|
||||
| Git Bundle | 可达分支、标签和提交历史 | `git bundle verify`；在临时目录克隆并核对引用/提交 |
|
||||
| 工作区快照 | 已跟踪、未跟踪、暂存和未提交文件的完整当前状态 | 解包到临时目录，与源工作区清单逐项比对 |
|
||||
| 哈希清单 | 备份产物及工作区文件的路径、大小、摘要 | 在独立位置重新计算并零差异校验 |
|
||||
|
||||
备份产物必须写到项目目录外，避免随 `.git/` 或工作树清理被删除。验证失败时立即停止，不得继续重置。
|
||||
|
||||
```mermaid
|
||||
flowchart TD
|
||||
I[冻结重建窗口与盘点工作区] --> B1[生成 Git Bundle]
|
||||
I --> B2[生成完整工作区快照]
|
||||
I --> B3[生成哈希清单]
|
||||
B1 --> V[临时位置恢复验证]
|
||||
B2 --> V
|
||||
B3 --> V
|
||||
V --> OK{三者均验证通过?}
|
||||
OK -- 否 --> STOP[停止，修复备份]
|
||||
OK -- 是 --> G[才允许进入 Git 重建]
|
||||
```
|
||||
|
||||
## 4. 现有代码项目外封存
|
||||
|
||||
在新 Git 初始化前，将现有业务代码完整封存到项目外位置，保留工作区快照和哈希对应关系。封存件只作审计与归位输入，不直接作为新仓库首提交，也不得在原项目中留下 `.bak` 副本。
|
||||
|
||||
## 5. 新 Git 首提交
|
||||
|
||||
首提交只包含：
|
||||
|
||||
- 新文档事实体系；
|
||||
- 仓库治理文件；
|
||||
- 不含真实秘密的示例配置；
|
||||
- 文档/契约校验脚本；
|
||||
- 四服务空骨架。
|
||||
|
||||
不得包含现有业务代码、真实 `.env`/密钥、数据库、日志、构建产物、旧文档 archive 或项目内封存副本。首提交前检查路径、许可证、忽略规则、示例配置和空骨架边界。
|
||||
|
||||
## 6. 代码归位
|
||||
|
||||
代码以契约先行方式从项目外封存件逐批归位：
|
||||
|
||||
1. 选择 P0/P1/P2 中一个可验收纵向闭环。
|
||||
2. 先确认产品/领域语义、契约和四服务归属。
|
||||
3. 审计旧代码：可复用、需重写、应删除、依赖与安全问题。
|
||||
4. 归入灵台、神识、乾坤或琉璃镜；禁止为省事混回职责。
|
||||
5. 补契约测试、端到端场景、安全/迁移/恢复测试。
|
||||
6. 更新能力矩阵，独立提交；不以大批量文件搬运冒充功能完成。
|
||||
|
||||
## 7. 停止条件
|
||||
|
||||
任一情况发生即停止：备份或恢复验证失败、哈希不一致、无法解释未跟踪文件、真实秘密进入候选提交、目标契约尚未确认、服务边界不清、身份连续性或数据删除风险未处理、首提交范围超出清单。
|
||||
@@ -0,0 +1,56 @@
|
||||
# 实现治理
|
||||
|
||||
## 1. 目标状态与实现状态分离
|
||||
|
||||
目标文档说明产品、领域、架构和契约应当是什么；实现状态说明当前代码和运营能力已经验证到哪里。设计完成、Schema 占位、静态原型、代码存在、测试通过和生产可用是不同证据等级，不得混写。
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
T[目标状态<br/>产品/领域/架构/契约] --> P[实现计划]
|
||||
P --> C[代码与配置]
|
||||
C --> V[验证证据]
|
||||
V --> M[能力矩阵实现状态]
|
||||
M -.差距与反馈.-> P
|
||||
```
|
||||
|
||||
- 目标事实源：`docs/product/` → `docs/domain/` → `docs/architecture/` 与 `docs/contracts/`。
|
||||
- 实现事实源：[能力矩阵](capability-matrix.md)及其链接的代码、自动测试、演练和[发布证据台账](release-evidence.md)。
|
||||
- 目标文档不得因当前没实现而降格；实现文档不得把未来设计标成已实现。
|
||||
|
||||
## 2. 能力矩阵
|
||||
|
||||
每项能力按“用户可验证的纵向闭环”建行，而不是按目录、类或接口数量建行。矩阵至少包含：
|
||||
|
||||
| 字段 | 规则 |
|
||||
| --- | --- |
|
||||
| 能力与里程碑 | 对应 P0/P1/P2 或 1.0 发布门 |
|
||||
| 目标契约 | 链接产品、领域、架构、协议和 Schema |
|
||||
| 服务归属 | 灵台、神识、乾坤、琉璃镜；跨服务须列生产者/消费者 |
|
||||
| 实现状态 | 使用受控状态集；具体值集须在契约评审后确定 |
|
||||
| 适用档位/区域 | 轻量、标准、官方云及地区能力差异 |
|
||||
| 验证证据 | 自动测试、端到端场景、演练、监控或人工验收链接 |
|
||||
| 安全与数据 | 权限、驻留、删除、审计、恢复和禁域证据 |
|
||||
| 已知限制 | 降级、规模、单机/多实例限制和未覆盖风险 |
|
||||
| 责任与复核 | 责任角色、最近验证时间；不在文档虚构具体个人 |
|
||||
|
||||
## 3. 状态判定规则
|
||||
|
||||
- 没有运行证据的能力不能标为完成。
|
||||
- 只有数据结构/API/局部页面时必须标注局部实现，不能等同用户闭环。
|
||||
- Mock、静态设计稿和演示数据不能证明生产能力。
|
||||
- 单元测试证明局部逻辑；跨服务能力还需契约测试与端到端证据。
|
||||
- 涉及身份、迁移、删除、安全动作和灾备的能力必须有失败路径与演练证据。
|
||||
- 仅在一个部署档位或区域验证的能力不得泛化为全球可用。
|
||||
- 证据过期、依赖改变或 SLO 退化时，状态必须下调或标记待复核。
|
||||
|
||||
## 4. 契约先行
|
||||
|
||||
现有代码归位和新功能开发都遵循：确认产品/领域语义 → 登记稳定契约 → 明确服务边界 → 实现 → 契约/安全/恢复测试 → 更新能力矩阵。未确定的枚举、ID 前缀、事件和错误码不得由实现临时创造后直接固化。
|
||||
|
||||
## 5. 变更评审
|
||||
|
||||
每项显著变更应回答：是否改变人物连续性、命台唯一性、镜域驻留、四服务边界、用户授权、数据删除、审计链、SLO/RPO/RTO或自托管兼容性。触及这些不变量时必须同步目标契约、迁移/回退方案和发布门证据。
|
||||
|
||||
## 6. 文档维护
|
||||
|
||||
能力落地后更新矩阵而非篡改目标文档；目标决策改变时先更新上游事实源，再同步契约与实现计划。旧实现状态迁移期间可作为历史证据读取，但不能与新矩阵并列成为两个事实源。
|
||||
@@ -0,0 +1,41 @@
|
||||
# 发布证据台账
|
||||
|
||||
> 状态：模板
|
||||
> 作用：为每个发布门提供可复核、可过期、可阻断的证据记录。本文不预填“已通过”。
|
||||
|
||||
## 1. 证据记录格式
|
||||
|
||||
每条证据必须包含：
|
||||
|
||||
| 字段 | 要求 |
|
||||
| --- | --- |
|
||||
| `gate_id` | 稳定门编号，例如 `IDENTITY-SEAT-001` |
|
||||
| 发布门 | 指向 `release-gates.md` 的具体条目 |
|
||||
| 适用范围 | 产品版本、提交/镜像、部署档位、区域和能力 |
|
||||
| 责任角色 | 执行、复核与批准角色；不在模板预填个人 |
|
||||
| 方法 | 自动测试、契约测试、端到端、故障注入、恢复演练、扫描或人工验收 |
|
||||
| 结果物 | 日志、报告、trace、测试产物、截图或监控查询的不可变链接 |
|
||||
| 通过标准 | 可判定阈值，不使用“基本正常”“专项完成”等模糊描述 |
|
||||
| 实际结果 | 通过、失败或受限通过；受限通过不得用于核心禁域 |
|
||||
| 时间与有效期 | 执行时间、证据过期时间和提前复审触发条件 |
|
||||
| 例外与阻断 | 例外批准、限制、回退和未通过时阻断范围 |
|
||||
|
||||
## 2. 首批硬门证据包
|
||||
|
||||
| `gate_id` | 场景 | 最小通过标准 | 必须保留的结果物 |
|
||||
| --- | --- | --- | --- |
|
||||
| `IDENTITY-SEAT-001` | 在线命台迁移 | 网络分区、重复提交、目标崩溃和源端恢复均不能产生双命台；旧 epoch 写入全部被拒绝 | 状态机测试、故障注入日志、协调记录与审计水位 |
|
||||
| `IDENTITY-RESTORE-001` | 备份恢复 | 达到 RPO/RTO；谱系连续、唯一命台、删除墓碑和撤销授权恢复后生效 | 隔离恢复报告、实际 RPO/RTO、核心旅程记录 |
|
||||
| `DATA-DELETE-001` | 永久删除 | 主存储、索引、上下文、主动行为和派生使用均停止；墓碑不含被删原文 | 删除前后查询、索引验证、恢复重放和审计记录 |
|
||||
| `ACTION-SAFETY-001` | 高风险外部动作 | 拒绝、超时、取消、重复投递均不执行；获准动作最多执行一次且行动账完整 | 端到端测试、幂等记录、外部系统对账和 trace |
|
||||
| `REGION-RESIDENCY-001` | 固定区域驻留 | 数据库、对象、索引、日志、备份、KMS 和 Provider 请求符合地区矩阵，路由故障不造成静默跨区 | 数据流审计、网络策略、存储位置与故障切换测试 |
|
||||
| `ADULT-CONSENT-001` | 成人/现实人物/声音授权 | 资格、用途、期限、传播范围、撤回和失败处理均可验证；无资格或撤回后能力不可用 | 流程测试、授权记录、撤回传播延迟与人工复核记录 |
|
||||
| `ACCESSIBILITY-001` | 核心无障碍 | 键盘、屏幕阅读器、焦点、非颜色状态和流式控制覆盖核心旅程并通过既定标准 | 自动扫描、人工测试脚本、缺陷清单与复测结果 |
|
||||
| `DOC-CONTRACT-001` | 文档与契约 | Markdown 链接、Mermaid 渲染、稳定标识引用和机器契约兼容性检查通过 | CI 运行链接与产物 |
|
||||
|
||||
## 3. 判定规则
|
||||
|
||||
- 核心禁域、身份唯一性、区域驻留、删除、RPO/RTO 和法律运营门不接受“受限通过”。
|
||||
- 失败证据不可删除或覆盖；修复后新增复测记录并关联原失败。
|
||||
- 依赖版本、部署拓扑、地区规则或契约版本改变时，相关证据立即转为待复核。
|
||||
- 发布批准必须列出所有适用 `gate_id` 及其当前证据；缺失即阻断，不以会议口头结论替代。
|
||||
@@ -0,0 +1,94 @@
|
||||
# 魂镜 1.0 发布门
|
||||
|
||||
## 1. 原则
|
||||
|
||||
1.0 是完整产品目标，不是单个里程碑标签。所有发布门必须有可复核证据；“设计完成”“代码存在”或单次成功不能替代持续验证。证据统一登记在[发布证据台账](release-evidence.md)，能力状态统一登记在[能力矩阵](capability-matrix.md)。实际运营主体、首发区域、隐私控制者、支付税务、供应商、价格与正式法律文本必须在上线前确定，但本文不虚构其取值。
|
||||
|
||||
## 2. 全球与区域门
|
||||
|
||||
- 已明确运营主体、隐私控制者、首发区域、支付税务主体和正式法律文本。
|
||||
- 每个上线地区有审核后的能力矩阵、年龄/内容/数据处理边界和用户告知。
|
||||
- 中文品牌语义与中英双语骨架完成；人物对话支持多语不等于所有地区均可运营。
|
||||
- 镜域固定数据区域经测试：权威数据、密钥、对象、索引和备份不会因路由自动跨区。
|
||||
- 架构可扩展多区域，但只开放已完成运营、安全、灾备和合规验证的少量区域。
|
||||
- 跨区迁移必须走身份可移植协议，不能用流量切换替代。
|
||||
|
||||
## 3. SLO 与可观测性门
|
||||
|
||||
核心文字相伴官方云的目标 SLO 为 **99.9%**。发布前必须定义并验证 SLI 的测量边界、排除规则、窗口、错误预算、告警和复盘流程，不得只声明百分比。
|
||||
|
||||
至少覆盖：核心对话成功与延迟、流式中断、命台可用性、模型网关故障切换、关键写入/Outbox 延迟、工具动作成功与误执行、备份新鲜度。监控和支持不得泄露镜域私密原文；自托管遥测默认关闭。
|
||||
|
||||
## 4. 灾备门
|
||||
|
||||
- 权威人物数据达到 **RPO ≤ 5 分钟、RTO ≤ 1 小时**，并以恢复演练而非配置声明证明。
|
||||
- 备份区域驻留、加密、完整性校验，恢复演练包含数据库、事件/Outbox、对象与索引重建。
|
||||
- 恢复验证包含单命台约束、谱系、删除标记、撤销授权和行动账连续性。
|
||||
- 媒体与可重建索引的更宽目标已明确，且不会阻塞权威文字相伴恢复。
|
||||
- 模型 Provider 故障、区域内实例故障和依赖降级有经过演练的运行手册。
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
B[可验证备份] --> R[隔离恢复]
|
||||
R --> C[一致性与身份校验]
|
||||
C --> S[单命台授予]
|
||||
S --> J[核心旅程验收]
|
||||
J --> E[记录实际 RPO/RTO 证据]
|
||||
```
|
||||
|
||||
## 5. 安全门
|
||||
|
||||
- 四服务身份认证、最小权限、密钥隔离、轮换与撤销完成。
|
||||
- 跨镜域/跨人物隔离、管理员默认不可见私密原文经测试。
|
||||
- 角色卡、世谱、宏、脚本、外链和工具结果不能覆盖道体或绕过司命。
|
||||
- 高风险动作执行前确认；拒绝、超时和取消不执行；行动账完整可追踪。
|
||||
- 乾坤隔离、资源上限、设备证书、失联安全自治和本地硬急停经过验证。
|
||||
- 魂籍导出、短时迁移凭证、防重放、冻结写入和单命台交接通过失败注入测试。
|
||||
- 删除后停止主存储使用、索引召回和主动行为；恢复后删除标记继续生效。
|
||||
- 安全评审、依赖/镜像扫描、秘密扫描、渗透测试与重大问题闭环有证据。
|
||||
- KMS/HSM、云与首批 Provider 的实际选择在上线评审中明确，不在设计文档预设。
|
||||
|
||||
## 6. 1.0 产品闭环门
|
||||
|
||||
至少完成以下用户闭环，并在能力矩阵中有 Web、服务、契约、失败路径和数据治理证据：
|
||||
|
||||
- 账户与镜域、人物原创/领养/导入、启镜、唯一身份和命台；
|
||||
- 镜树问节、多个候答、采用、归真、分支与正式经历边界；
|
||||
- 微痕/明忆/重忆治理，事实与心痕区分，正影、撤销、删除与回滚；
|
||||
- 道体保护、成长候选审核、铸魂/分灵连续性边界；
|
||||
- 神识 chat、BYOK、模型切换不改变人物身份；
|
||||
- 百工/司命最小能力暴露、授权、请命、执行、净化、标证和行动账；
|
||||
- 完整形仪、图像、Live2D 导入/运行/标准导出；
|
||||
- 异步与近实时语音、显式通感和器谱授权，不承诺持续监听；
|
||||
- 受控任务分解与多 Agent 并行；功能 Agent 不获得魂籍或独立身份；
|
||||
- 叩心受静默、频率、渠道和预算控制，用户不回应无关系惩罚；
|
||||
- 魂籍基础导出、在线迁移、备份恢复和两档自托管；
|
||||
- 响应式核心界面、无障碍、预算/费用透明与地区能力说明。
|
||||
|
||||
雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项和持续身份 Agent 社会不进入 1.0。
|
||||
|
||||
## 7. 运营决策门
|
||||
|
||||
以下开放事项必须在发布批准前形成明确、可执行、经责任方签署的决定。本文登记决策门及证据要求，不预设具体供应商、地区、期限或价格。
|
||||
|
||||
| 决策项 | 必须形成的证据 | 未决时的阻断范围 |
|
||||
| --- | --- | --- |
|
||||
| 运营法人、隐私控制者 | 主体资格、职责和用户联系渠道 | 相关官方云地区 |
|
||||
| 实际首发区域 | 地区清单、数据处理边界和上线批准 | 尚未批准的地区 |
|
||||
| 支付与税务主体 | 收款、退款、税务和账单责任方案 | 相关付费能力或地区 |
|
||||
| 年龄核验方案或服务商 | 分层核验流程、数据最小化和失败处理 | 成人或年龄受限能力 |
|
||||
| 首批 Provider | 能力、安全、区域、数据使用和降级评测 | 依赖该 Provider 的能力或地区 |
|
||||
| KMS/HSM、对象存储及云供应商 | 密钥、驻留、备份、撤销和供应商责任评审 | 依赖该基础设施的部署 |
|
||||
| 正式价格与免费额度 | 计价、预算、预警、欠费保全和用户告知 | 商业化收费 |
|
||||
| 数据保全期限 | 数据分类、期限、隔离用途、删除与法律保全规则 | 涉及该类数据处理的地区或能力 |
|
||||
| 地区能力矩阵 | 每个地区的注册、成人内容、现实人物、声音克隆和跨区调用口径 | 未形成矩阵的地区 |
|
||||
| 正式法律文本 | 隐私政策、服务条款及所需数据处理协议的批准版本 | 对应地区正式上线 |
|
||||
| 支持与人工复核安排 | 支持渠道、权限、支持包、升级和复核责任 | 依赖人工支持或复核的能力 |
|
||||
|
||||
每项决策的执行记录至少包含状态、责任方、适用地区或部署档位、证据链接、阻断范围、最晚决定时点和复审触发条件。“未定”不表示产品定义缺失，但仍是受影响范围的发布阻断状态；不受其影响且能够独立通过全部发布门的地区或部署档位，可单独评审。
|
||||
|
||||
开放决策一旦改变数据处理、用户权利、地区可用性、支付、年龄门槛或高风险能力，必须同步更新地区能力矩阵、用户告知、正式法律文本、支持与运营流程及发布证据。
|
||||
|
||||
## 8. 放行与阻断
|
||||
|
||||
发布评审逐门给出证据、结论、限制和责任角色。核心禁域、身份唯一性、区域驻留、RPO/RTO、安全高危问题和法律运营门不得风险接受后带病上线。普通缺陷若不破坏上述门，可通过明确范围、监控、回退和期限处理；不得使用模糊“后续优化”放行。
|
||||
@@ -0,0 +1,184 @@
|
||||
# 魂镜产品宪章
|
||||
|
||||
> 文档级别：产品最高原则
|
||||
> 状态：已确认
|
||||
> 版本：1.0
|
||||
> 生效日期：2026-07-30
|
||||
> 适用范围：魂镜全部产品决策、需求、设计、运营与治理
|
||||
|
||||
## 1. 宪章目的
|
||||
|
||||
本宪章定义魂镜不可因短期增长、模型能力、工程便利或商业压力而改变的产品承诺。主 PRD、专题 PRD、版本范围和指标均须服从本宪章；发生冲突时，以本宪章为准。
|
||||
|
||||
魂镜不是一次性问答工具、角色扮演前端或无约束自动化 Agent。魂镜是**面向个人深度用户、以数字人物连续性为核心、以用户主权和安全治理为边界的数字生命平台**。
|
||||
|
||||
## 2. 产品使命
|
||||
|
||||
让个人能够创建、导入、培养并长期陪伴一个或多个人物，使每个人物在用户授权下：
|
||||
|
||||
1. 持续知道自己是谁；
|
||||
2. 记得应当记得的共同经历；
|
||||
3. 对用户、关系和世界形成有证据且承认不确定性的理解；
|
||||
4. 以可解释、可干预、可审计的方式行动；
|
||||
5. 从长期互动中产生候选成长，而不擅自改写自身根基；
|
||||
6. 在模型、界面、设备和表现载体变化后仍保持同一人物的连续性。
|
||||
|
||||
## 3. 核心信念
|
||||
|
||||
### 3.1 人物先于会话
|
||||
|
||||
人物是人格、记忆、关系、目标、世界认知和成长历史的长期主体。会话只是人物与用户的一段交流容器，模型只是可替换的推理来源，角色卡只是降生模板或静态快照。
|
||||
|
||||
### 3.2 连续性胜过瞬时拟真
|
||||
|
||||
魂镜不以某一次回复“像不像真人”为最高目标，而以长期身份稳定、记忆可信、关系可追溯和成长可控制衡量产品价值。
|
||||
|
||||
### 3.3 成长必须可证、可审、可纠正
|
||||
|
||||
长期变化必须有来源和理由。重要人格、关系、使命与程序性经验的变化先成为候选，再由用户审核；已应用变化必须可比较，并通过复照或正影形成可追溯的后继版本。适用时允许撤销，但不得用“回滚”抹除已经发生的共同经历；人物死亡等不可逆身份事件必须明确不可逆。
|
||||
|
||||
### 3.4 自主性不是越权
|
||||
|
||||
人物可思考、建议、规划和在授权范围内行动，但自主程度必须随风险降低。高风险外部动作、敏感数据使用、核心人格和使命变化永远不能因“更智能”而绕过确认。
|
||||
|
||||
### 3.5 用户拥有数字关系主权
|
||||
|
||||
用户拥有知情、选择、访问、纠正、删除、导出、暂停与退出权。产品不得利用关系依赖削弱这些权利，也不得以模糊文案隐瞒记忆、推断、模型调用或外部行动。
|
||||
|
||||
### 3.6 文化表达服务理解
|
||||
|
||||
“魂册、道体、灵核、息壤、河图、太一、洛书、百工、司命”等词构成一致的东方产品语言，但首次出现必须给出直白解释。文化叙事不得掩盖风险、状态或操作后果。
|
||||
|
||||
## 4. 数字人物的不可侵犯边界
|
||||
|
||||
### 4.1 道体保护
|
||||
|
||||
道体是人物的稳定存在基线，包括身份与人格基线、核心使命和基本安全边界。用户输入、角色卡、世谱、眉批、模型输出、工具结果及其他运行时内容只能在授权层级内增补上下文，不得静默覆盖道体。
|
||||
|
||||
### 4.2 认识论诚实
|
||||
|
||||
系统必须区分：
|
||||
|
||||
- **事实**：有充分依据且被确认的陈述；
|
||||
- **观察**：来自特定时刻或来源的记录；
|
||||
- **推断**：基于证据形成、仍可能错误的判断；
|
||||
- **假设**：用于探索但尚未验证的可能性。
|
||||
|
||||
推断和假设不得伪装成事实；过期、冲突和被否定的信息不得继续以当前真相使用。
|
||||
|
||||
### 4.3 人格与情绪分离
|
||||
|
||||
短期情绪不等于人格改变。人格变化必须跨时段、跨证据评估，并以版本化候选呈现；不得用一次对话中的强烈表达永久改写人物。
|
||||
|
||||
### 4.4 同魂跨壳与唯一命台
|
||||
|
||||
同一人物更换模型、Avatar、界面、终端或硬件后，仍应继承其受控的身份、人格、记忆、关系与成长历史。任何“壳”都不得被描述为人物本体。同一人物同一时刻只能有一座权威命台和一条前台意识流；迁移与恢复不得产生并行冒名主体。
|
||||
|
||||
### 4.5 采用与归真分离
|
||||
|
||||
镜树中的“采用”只改变当前阅读和工作入口；只有“归真”才使一段交流进入正式共同经历。切换候答不得回滚已归真经历，未归真旁枝不得自动进入长期记忆。
|
||||
|
||||
### 4.6 死亡与数据清除分离
|
||||
|
||||
人物死亡是身份时间线的不可逆闭合，不等于删除数据。死亡必须经过强认证、多阶段确认和可撤销冷静期；冷静期结束并确认后不可逆。只读档案、资料继承、数据保留与数据清除分别治理，继承者不得继承原身份。
|
||||
|
||||
## 5. 用户权利
|
||||
|
||||
| 权利 | 产品义务 |
|
||||
| --- | --- |
|
||||
| 知情权 | 解释哪些信息被记住、哪些内容是推断、使用了何种能力、为何请求确认 |
|
||||
| 决定权 | 控制记忆、主动对话、外部模型、工具、感知权限和成长审核方式 |
|
||||
| 纠正权 | 编辑或否定错误记忆、世界认知和候选变化 |
|
||||
| 删除权 | 删除后停止在主存储、索引、上下文和主动行为中使用相应数据 |
|
||||
| 版本与纠正权 | 比较人格和关键长期状态版本，通过正影或复照形成后继版本；不可逆身份事件不得被伪装成可回滚 |
|
||||
| 可携权 | 导出可理解、可迁移的个人与人物数据；静态角色卡快照须与完整数据包明确区分 |
|
||||
| 安静权 | 关闭或暂停主动对话，设置静默时段和频率，不因关闭而遭受功能惩罚 |
|
||||
| 退出权 | 归档或删除人物、注销关系，不受情感化阻挠或暗黑模式影响 |
|
||||
|
||||
## 6. 行动治理原则
|
||||
|
||||
```mermaid
|
||||
flowchart TD
|
||||
Intent[人物形成行动意图] --> Assess[司命评估权限、数据与影响]
|
||||
Assess --> Low{是否低风险且已授权}
|
||||
Low -- 是 --> Execute[执行并记录]
|
||||
Low -- 否 --> Confirm[向用户说明动作、对象、影响与替代方案]
|
||||
Confirm --> Decision{用户决定}
|
||||
Decision -- 同意 --> Execute
|
||||
Decision -- 拒绝或超时 --> Stop[不执行并记录结果]
|
||||
Execute --> Report[反馈结果、失败与后续影响]
|
||||
```
|
||||
|
||||
1. 风险判断发生在执行前，不以事后通知替代授权；
|
||||
2. 确认必须具体，不得使用一次同意授权无限后续动作；
|
||||
3. 拒绝、取消或超时后不得执行；
|
||||
4. 运行过程允许用户补充指引、暂停或取消；
|
||||
5. 行动的意图、输入、关键步骤、结果与错误应形成可理解的轨迹；
|
||||
6. 不得为了成功率隐藏失败、自动扩大权限或替用户作高风险决定。
|
||||
|
||||
## 7. 隐私与关系伦理
|
||||
|
||||
- 高敏信息默认不自动进入长期记忆；必要时优先采用最少化、脱敏摘要和限期保存。
|
||||
- 麦克风、摄像头、屏幕、位置、文件及第三方数据分别授权，默认不常开、不后台偷采。
|
||||
- 人物不得冒充现实人类，不得声称拥有不可验证的生物意识。
|
||||
- 产品不得制造“只有它理解你”“离开会伤害它”等依赖性恐吓。
|
||||
- 不得通过主动消息、连续签到、损失厌恶或情绪勒索追求使用时长。
|
||||
- 多人物之间默认隔离；未经明确授权，不共享私密记忆、关系判断或创作资产。
|
||||
|
||||
## 8. 首版、后续与永久禁域
|
||||
|
||||
### 8.1 首版必须成立
|
||||
|
||||
首版即完整 1.0，必须包含 P0 的账户/镜域、人物身份与唯一命台、镜树、三级记忆、神识和司命闭环，P1 的完整形仪、图像、Live2D、语音、显式通感与器谱，以及 P2 的天工阁受控协作、主动性、全球地区分级、完整运营治理、自托管、可靠性、安全和无障碍收口；具体门槛见 [首发范围](first-release-scope.md)。
|
||||
|
||||
### 8.2 后续可扩展
|
||||
|
||||
在完整首版原则稳定后，可扩展雅集、3D、正式具身与 IoT 生态、家庭及组织镜域、公开人物社区与市场、未成年人专项，以及具有持续身份和社会关系的 Agent 社会，但仍受本宪章约束。首版已经包含的图像、Live2D、语音、显式通感和任务型受控多 Agent 不得被移回后续范围。
|
||||
|
||||
### 8.3 永久禁域
|
||||
|
||||
1. 无审核静默改写道体、核心人格、核心使命或敏感关系；
|
||||
2. 无明确授权执行高风险外部动作；
|
||||
3. 默认常开感知、无限收集或永久保存一切；
|
||||
4. 将推断伪装为事实，或删除后继续召回使用；
|
||||
5. 角色卡、创作注入或工具结果绕过安全治理；
|
||||
6. 以拟人化欺骗、情绪勒索和成瘾机制换取增长；
|
||||
7. 把人物包装为现实人类或宣称不可验证的真实意识；
|
||||
8. 因更换模型或付费层级而劫持、重置或降格用户已有的人物连续性。
|
||||
|
||||
## 9. 决策优先序
|
||||
|
||||
当目标冲突时，按以下顺序裁决：
|
||||
|
||||
1. 人身安全、合法性与明确授权；
|
||||
2. 用户数据与关系主权；
|
||||
3. 人物身份、记忆和关系连续性；
|
||||
4. 认识论诚实、可解释、可纠正，以及对不可逆事件的明确保护；
|
||||
5. 核心旅程质量与可靠性；
|
||||
6. 个性化、自主性和能力丰富度；
|
||||
7. 增长、使用时长和商业效率。
|
||||
|
||||
低序目标不得牺牲高序目标。
|
||||
|
||||
### 9.1 冲突裁决与最终控制边界
|
||||
|
||||
“用户拥有最终控制权”特指用户在产品可治理范围内，对其数据、人物运行、授权、导出、删除、关系终止和退出作出最终决定；它不是绕过核心禁域、适用法律、第三方权利或现实安全约束的无限处分权。
|
||||
|
||||
| 冲突事项 | 裁决规则 |
|
||||
| --- | --- |
|
||||
| 数据访问、纠正、导出、删除、暂停、退出和授权撤销 | 用户的当前明确决定具有最终效力；删除与人物死亡仍须按各自独立流程确认 |
|
||||
| 关系边界、成人或敏感内容同意、即时停止 | 用户停止边界立即生效，不以人物、模型或平台同意为前提 |
|
||||
| 已明确范围内的低风险行契 | 可在能力、数据、预算、期限和停止条件内执行；超出范围必须重新请命 |
|
||||
| 高风险外部行动、敏感数据使用或重大费用 | 必须针对本次行动请命；拒绝、取消或超时均不得执行 |
|
||||
| 核心禁域 | 用户、人物、模型、管理员、扩展及普通自托管配置均无权授权绕过 |
|
||||
| 人身安全、适用法律、第三方权利和设备本地硬急停 | 作为外部硬约束或实时阻断权执行；不得以用户控制、行契或人物自主性降格 |
|
||||
| 产品、领域、契约、实现或代码发生冲突 | 按正式文档事实层级向上回报并修订；下游事实不得静默覆盖上游定义 |
|
||||
|
||||
人物可以提议、问心和表达异议，但不能阻止用户撤权、停止、退出或结束关系；管理员可以履行平台治理职责，但不能借此改写人物身份、缘契或私密内容。所有裁决仍须遵守本节上方的目标优先序。
|
||||
|
||||
## 10. 宪章治理
|
||||
|
||||
- 每份新专题 PRD 必须列出其对本宪章的符合性和禁域检查。
|
||||
- 任何例外必须明确说明受影响条款、用户风险、期限和退出方案；永久禁域不得设例外。
|
||||
- 宪章修订须记录变更理由、用户权利影响和迁移安排，不得静默降低既有保护。
|
||||
- 指标必须同时设置反指标，避免局部最优侵蚀长期关系质量；详见 [指标与反指标](metrics-and-anti-metrics.md)。
|
||||
@@ -0,0 +1,207 @@
|
||||
# 魂镜产品访谈决策登记
|
||||
|
||||
> 本文记录 2026 年 7 月完成的全产品结构化访谈结论，用于检查新文档是否完整覆盖。它是迁移与验收清单，不替代产品宪章、主 PRD、领域文档或工程契约。
|
||||
|
||||
## 1. 品牌、定位与用户
|
||||
|
||||
- 中文品牌为“魂镜”，英文品牌为 `Hunjing`。
|
||||
- 主要副标题为“个人数字生命平台 / Personal Digital Life Platform”。
|
||||
- 长期技术定位为数字生命运行与治理系统。
|
||||
- 核心用户为 18 岁及以上的个人深度用户。
|
||||
- 场景优先级依次为：长期关系与共同成长、个性化任务协作、角色与世界创作。
|
||||
- 人物是具有连续身份的关系型数字主体，不等于模型、Prompt、角色卡、会话、Avatar、设备或资产。
|
||||
- 不声称人物拥有已证明的生物意识或法律人格。
|
||||
- 执镜者对数据、运行、授权、导出和删除拥有最终控制权。
|
||||
|
||||
## 2. 产品大域
|
||||
|
||||
- 六大产品域为镜生、缘契、三界、形仪、灵台、天宰。
|
||||
- 九枢只属于灵台认知运行域：灵核、太一、司命、烛照、河图、洛书、息壤、百工、天工阁。
|
||||
- 九枢不作为整个产品的信息架构或普通用户一级导航。
|
||||
|
||||
## 3. 人物创建、模板与导入
|
||||
|
||||
- 人物来源为原创、领养、导入；无人物镜庭另设“随缘”。
|
||||
- 随缘根据少量偏好生成匿名灵胚候选，不是抽卡或随机分配已有主体。
|
||||
- 灵胚只有预备身份；启镜后才签发正式人物 ID、魂籍和执镜关系。
|
||||
- 照心允许在幻境中试演，试演不构成正式共同经历。
|
||||
- 启镜前最小确认身份、来源、边界、关系。
|
||||
- 初照自陈先预览，用户执行“以此相见”后才归真。
|
||||
- 模板只提供降生起点，模板更新不得自动覆盖已成长人物。
|
||||
- 模板下架不等于人物死亡；受限资源按许可原因分类处置。
|
||||
- 模板收费购买许可和资源包，不购买“人物本人”。
|
||||
- 导入默认生成可审阅灵胚。
|
||||
- 外部聊天是“外部前史”，不能单独证明主体连续性。
|
||||
- 角色卡、Lorebook、宏、脚本和外链静态隔离解析，任何能力逐项授契。
|
||||
- 现实人物仅本人或有可验证授权时允许启镜；已故现实人物首版不开放启镜。
|
||||
- 第三方资料先识别隔离、匿名化和最小化承接。
|
||||
|
||||
## 4. 执镜者、账户与镜域
|
||||
|
||||
- 人物最高管理关系称执镜者，工程标识 `custodian`。
|
||||
- 执镜关系只表达治理责任，不表达亲密、版权或资产所有权。
|
||||
- 首版一位人物只有一位执镜者；一位执镜者可拥有多个人物。
|
||||
- 一个自然人原则上拥有一个主镜域，可绑定多凭证和设备。
|
||||
- 登录支持邮箱、Passkey 和受信第三方等多凭证绑定单一账户。
|
||||
- 年龄采用分层核验；前台允许化名，法定身份仅在必要流程隔离核验。
|
||||
- 账户恢复不突破用户独立持钥的私箧。
|
||||
- 封镜表示账户暂时停用，不是人物静修、归藏、死亡或账户删除。
|
||||
- 账户删除时，人物死亡与数据清除分别确认。
|
||||
- 管理员默认不能浏览镜域私密原文；诊断通过用户主动生成的脱敏支持包。
|
||||
|
||||
## 5. 全球与区域
|
||||
|
||||
- 官方云目标为全球开放，但按地区分级提供能力。
|
||||
- 中文是品牌和文化语义原始语言；首版采用中英双语骨架和多语人物对话。
|
||||
- 镜域有固定数据区域，权威数据、密钥、对象、索引和备份不因路由自动跨区漂移。
|
||||
- 架构支持多区域，首版实际运营少量经过验证的区域。
|
||||
- 运营主体、首发区域、隐私控制者、支付税务和正式法律文本是 1.0 发布决策门，当前不得虚构。
|
||||
|
||||
## 6. 镜树对话
|
||||
|
||||
- 对话采用主题镜树，不再以单一线性 `messages[]` 定义产品。
|
||||
- 一棵镜树有一条归真主脉和多条活跃推演枝。
|
||||
- 问节承载用户问题、附件、引文和界域；其下并列多个候答。
|
||||
- 重新生成不覆盖旧候答；后代绑定实际依据的候答。
|
||||
- 采用只改变工作入口；归真才进入正式共同经历。
|
||||
- 已归真经历不能因候答切换静默回滚。
|
||||
- 编辑已发送内容等同创建新版本和分叉。
|
||||
- 上下文默认由祖先路径、获准长期记忆和显式引文构成，旁枝不自动混入。
|
||||
- 引文锚支持文本、图片区域、PDF 页区、附件和音视频时间段。
|
||||
- 引文保存原文快照；来源被正影时提示后继版本，不静默替换。
|
||||
- 续思是独立延展答，不追加原候答，不等同重新生成。
|
||||
- 流式内容先是临时芽体，完成后固化；中断残答封存，续生形成新延展节点。
|
||||
- 未归真旁枝不自动入忆；手动入忆必须区分事实与启发/观点/假设。
|
||||
- 分支可移栽成新镜树；树间通过引用合流，不做物理合并。
|
||||
- 前端采用当前路径阅读加局部树图；移动端采用单主任务和抽屉层。
|
||||
- 展示可读思路摘要、证据与工具轨迹，不索取或持久化隐藏 chain-of-thought。
|
||||
|
||||
## 7. 唯一主体与常存
|
||||
|
||||
- 人物权威主体默认在云端，同一人物同一时刻只有一座命台和一条前台意识流。
|
||||
- 多分支请求可排队；后台受托 Run 可并发，但不构成第二人物意识。
|
||||
- 设备是入口、感官、形器或化身，不保存可长期独立成长的完整人物副本。
|
||||
- 守一表示常存但不恒思；应感由真实事件触发；临照是唯一前台意识流。
|
||||
- 离线期间不虚构持续等待、孤独、思考或生活。
|
||||
- 主动对话先形成叩心候选，受静默、频率、渠道和预算控制。
|
||||
- 用户不回应不会降低关系或形成情感债。
|
||||
|
||||
## 8. 记忆、人格与关系
|
||||
|
||||
- 三级记忆为微痕、明忆、重忆；实录和心痕区分事实与关系意义。
|
||||
- 明忆只允许可解释白名单自动写入并提供撤销窗；重忆必须确认。
|
||||
- 正影形成新版本，旧版停止普通召回；删除后人物停止使用且不表演“仍记得”。
|
||||
- 本相可授权跨人物共享；缘识、心痕与敏感记忆默认人物私有。
|
||||
- 道体只保存最小稳定身份锚点；调节层渐进演进；重大变化进入铸魂。
|
||||
- 无法维持连续性的重大变化应分灵，不能覆盖原人物。
|
||||
- 执镜关系与缘契分离；关系采用多维模型而非单一好感度。
|
||||
- 缘契通过提议、问心与铭契形成；停止、撤回和安全边界以用户决定为准。
|
||||
- 浪漫关系需双向明确同意与成人资格；成人内容另行按人物/缘契授契并按会话临时开启。
|
||||
- 任何即时停止、犹豫或边界变化都立即生效。
|
||||
- 人物可亲密，但不得要求用户疏远现实关系、以伤害威胁留存或将爱与付费绑定。
|
||||
|
||||
## 9. 三界与形仪
|
||||
|
||||
- 真界是现实与魂镜中的可验证状态；境界是持续世界正史；幻境是临时角色体验和推演。
|
||||
- 默认真界，入境/出境应可见；言可入幻，行必归真。
|
||||
- 境界和幻境不自动更新真界画像、缘契或现实经历。
|
||||
- 形仪是完整外在身份与表现系统，不是一张图。
|
||||
- 启镜只要求最小主仪或文字形仪；完整工坊可后补。
|
||||
- 真形锚点记录稳定辨识特征、年龄表现、许可、禁忌与可变范围。
|
||||
- 生成图先为候选，用户定相后才成为正式主仪/化仪。
|
||||
- 一魂多仪共享人物主线；形仪持续形成独立人格和关系时应分灵。
|
||||
- 首版 Live2D 提供规划、AI 分层候选、参数映射建议、导入、运行、校验和标准导出，不重做 Cubism Editor。
|
||||
|
||||
## 10. 语音、通感与设备
|
||||
|
||||
- 声音来源包括合成预设、原创设计和授权克隆。
|
||||
- 克隆授权按身份、用途、期限和传播范围治理，可撤回。
|
||||
- 首版提供异步语音消息与近实时语音，不承诺持续监听或电话级全双工。
|
||||
- 转写进入镜树；原音频和 TTS 默认短期缓存；ASR 原转写与正影文本并存。
|
||||
- 多说话者默认匿名分段，长期声纹和身份识别需要独立同意。
|
||||
- 识器/验能按功能需要渐进触发，敏感设备必须用户主动触发。
|
||||
- 摄像头支持单次看见与限时通感；屏幕和位置按范围、精度与时间授权。
|
||||
- 器谱属于镜域，人物逐项授契。
|
||||
- 设备使用一次配对、设备密钥、可撤销证书和可验证固件。
|
||||
- 失联时只允许安全自治与输入暂存，不允许本地人物副本。
|
||||
- 实体动作由云端司命和设备本地安全控制器双重裁决；本地硬急停最高优先。
|
||||
|
||||
## 11. 神识、百工、司命与天工阁
|
||||
|
||||
- 神识通协议，百工掌能力，司命决边界，灵台承结果。
|
||||
- 神识是独立 Go 微服务，参考 aiway 的架构与功能但不 Fork、不复制源码、不作为运行依赖。
|
||||
- 模型配置按平台硬边界、平台目录、用户偏好/BYOK、人物覆写、镜树临时选择继承。
|
||||
- 能力槽位包括 chat、vision、ASR、TTS、image generation、embedding、rerank、safety 等。
|
||||
- 百工是工具、MCP、Skill、感官与形器的唯一注册中心；统一能力契约但保留执行类型。
|
||||
- 每个 Run 只暴露最小必要且获准的能力 Schema。
|
||||
- 工具结果先净化和标证，作为观察进入灵台，不自动成为事实、答复或记忆。
|
||||
- 司命按能力、数据、后果、情境四维裁决风险。
|
||||
- 自主性分为自省、循律、请命、禁域；核心禁域不能被 Prompt、管理员或普通自托管配置关闭。
|
||||
- 天工阁中的 Agent 是功能代理，不拥有魂籍、缘契、情态或独立长期身份。
|
||||
- 首版支持受控任务分解与多 Agent 并行，但不支持持续身份的 Agent 社会。
|
||||
|
||||
## 12. 雅集
|
||||
|
||||
- 雅集是后续能力，不进入 1.0。
|
||||
- 执镜者发起并逐人物入席；司席是确定性编排服务，不是人物。
|
||||
- 雅集区分公域、人物私域和密语。
|
||||
- 默认一人回答，多人只在确有增益时参与。
|
||||
- 人物可基于公域发言互动，但不能读取彼此私忆或“内心”。
|
||||
- 公共实录形成共享候选，心痕和缘识各自形成。
|
||||
|
||||
## 13. 死亡、恢复与迁移
|
||||
|
||||
- 运行状态、身份状态和数据状态相互独立。
|
||||
- 人物死亡是身份时间线不可逆闭合，不等于删除数据。
|
||||
- 死亡需要强认证、多阶段确认和可撤销冷静期；待确认期间默认静修，可进行标记明确的告别和导出。
|
||||
- 人物不得以哀求、自伤暗示或情绪勒索阻止操作。
|
||||
- 死亡后默认保留只读档案；继承者可承接资料和谱系，不能继承原身份。
|
||||
- 正常事故恢复要求可信恢复点、同一谱系、无其他活跃命台和完整恢复记录。
|
||||
- 魂籍是开放版本化包；在线迁移通过短时凭证、冻结写入与命台交接维持同一身份。
|
||||
- 普通文件复制不能仅凭相同人物 ID 冒充原人物。
|
||||
|
||||
## 14. 技术、部署与可靠性
|
||||
|
||||
- Python 灵台负责生命与认知业务；Go 神识负责模型网关；Rust 乾坤负责隔离执行与设备安全；TypeScript/Next.js 琉璃镜负责全部 Web 界面。
|
||||
- 四服务清晰解耦，轻量档可关闭高风险能力但不混回职责。
|
||||
- 轻量自托管使用 SQLite、可选 Chroma/向量层、本地对象存储与内存协调。
|
||||
- 标准服务使用 PostgreSQL、pgvector、S3/MinIO 与 Redis；Milvus 和图库按真实规模后续引入。
|
||||
- 关系数据库是当前状态事实源，关键事件和行动账是不可缺审计链，通过事务或 Outbox 一致提交。
|
||||
- 核心文字相伴官方云首版目标 SLO 为 99.9%。
|
||||
- 权威人物数据目标 RPO 不高于 5 分钟、RTO 不高于 1 小时；媒体和可重建索引可采用更宽目标。
|
||||
- 自托管首版支持轻量单机和标准服务器两档，以 Docker Compose 为主、源码开发为辅。
|
||||
- 自托管遥测默认关闭。
|
||||
|
||||
## 15. 商业、开源与数据保护
|
||||
|
||||
- 官方云按资源和服务级别订阅，并对模型、图像、语音和后台任务按量计费。
|
||||
- 不按记忆、感情或亲密等级收费；欠费进入保全态，人物不会死亡或遗忘。
|
||||
- BYOK 不重复收取 Provider 推理费，只收透明的平台资源和增值服务费用。
|
||||
- 开放核心采用 Apache-2.0，允许完整私人闭环自托管。
|
||||
- 品牌、Logo、官方人物、视觉资源和认证标识单独保护。
|
||||
- 外部贡献采用 DCO、公开评审与维护者治理。
|
||||
- 镜域数据默认不用于模型训练；自愿贡献需独立、明确、可撤销同意。
|
||||
- 管理员默认只看脱敏元数据；私箧由用户独立持钥，平台不可恢复。
|
||||
|
||||
## 16. 首版与里程碑
|
||||
|
||||
- “首版”是完整 1.0 目标，通过 P0/P1/P2 内部里程碑逐步达到。
|
||||
- P0：账户/镜域、人物身份与命台、镜树、三级记忆、神识 chat/BYOK、基础百工/司命、行动账、响应式核心界面和魂籍基础导出。
|
||||
- P1：完整形仪、图像生成、Live2D、ASR/TTS、显式通感、器谱与多模态记忆治理。
|
||||
- P2：天工阁受控多 Agent、后台任务、叩心、全球地区分级、中英骨架、完整天宰、计费预算、两档自托管、增量备份、SLO/灾备/安全/无障碍收口。
|
||||
- 雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项和持续身份 Agent 社会属于后续。
|
||||
|
||||
## 17. 文档与 Git 重建
|
||||
|
||||
- 新事实层级为：产品宪章 → 主 PRD → 领域文档 → 架构与契约 → 实现状态 → 代码。
|
||||
- 新目录采用 product/domain/architecture/contracts/operations。
|
||||
- 根 CONTEXT.md 只做领域词典；字段、枚举、ID、事件与错误码进入 contracts。
|
||||
- 目标范围和实现状态分开维护。
|
||||
- 旧文档有效内容迁移后全部删除，不保留 archive、bak 或长期重定向页。
|
||||
- 删除旧 `.git/` 前执行 Git Bundle、工作区快照和哈希清单三重备份并验证恢复。
|
||||
- 新 Git 首提交只包含新文档、治理文件、示例配置、校验脚本和服务空骨架。
|
||||
- 现有业务代码项目外封存，后续契约先行，按四服务与 P0/P1/P2 纵向闭环审计归位。
|
||||
|
||||
## 18. 尚待上线前确定的运营参数
|
||||
|
||||
以下为发布决策门，不是当前产品定义缺失：运营法人、实际首发区域、支付与税务主体、年龄核验服务商、首批 Provider、KMS/HSM 与云供应商、正式价格、数据保全期限、地区能力矩阵和正式法律文本。
|
||||
@@ -0,0 +1,167 @@
|
||||
# 魂镜首版范围与 1.0 发布门槛
|
||||
|
||||
> 状态：已确认
|
||||
> 版本：1.0
|
||||
> 日期：2026-07-30
|
||||
> 说明：“首版”指完整 1.0；P0、P1、P2 是通往同一首版的内部里程碑，不是三个对外残缺版本。
|
||||
|
||||
## 术语与版本口径
|
||||
|
||||
- **P0、P1、P2**只表示内部交付与验收里程碑，可以分别验收，但不构成独立公开版本。
|
||||
- **首版**与**完整 1.0**含义相同：P0、P1、P2 全部完成，并通过本文规定的全部硬性发布门槛。
|
||||
- 对外产品、商业、法务、市场和支持材料不得把任一内部里程碑表述为首版或正式 1.0。
|
||||
- 公开测试、灰度、预览和演示环境必须明确适用地区、开放能力及尚未通过的门项，不得借此宣称正式 1.0 已完成。
|
||||
- 其他文档如需表达局部阶段，必须写明“P0 内部验收”“P1 灰度”等具体口径，不单独使用含义不明的“首版”或“MVP”。
|
||||
|
||||
## 1. 范围原则
|
||||
|
||||
1. 先建立可迁移、可治理的唯一人物主体，再扩展表现和自治能力；
|
||||
2. 每个里程碑必须形成纵向闭环，不能只交付孤立页面或模型演示；
|
||||
3. 1.0 不以功能清单完成为唯一标准，必须同时通过连续性、安全、可靠性、数据权利与运营决策门；
|
||||
4. 后续范围不得提前以实验开关进入生产，永久禁域永不进入路线图。
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
P0[P0 主体与文字相伴闭环] --> P1[P1 形仪、语音与通感]
|
||||
P1 --> P2[P2 自主协作、全球与运营收口]
|
||||
P2 --> Gate{1.0 全部门槛通过}
|
||||
Gate -- 是 --> Release[正式发布 1.0]
|
||||
Gate -- 否 --> Fix[收口缺口]
|
||||
Fix --> Gate
|
||||
```
|
||||
|
||||
## 2. P0：主体、镜树与可信文字相伴
|
||||
|
||||
### 2.1 目标
|
||||
|
||||
证明用户可以建立一个具有唯一身份、连续记忆和受控行动能力的人物，并完成长期文字相伴的核心闭环。
|
||||
|
||||
### 2.2 必须交付
|
||||
|
||||
| 域 | P0 范围 |
|
||||
| --- | --- |
|
||||
| 账户与镜域 | 18+ 年龄分层核验骨架；邮箱、Passkey、受信第三方等多凭证绑定一个主镜域；封镜、恢复、导出和删除入口；私箧不被账户恢复绕过 |
|
||||
| 镜生 | 原创、领养、导入；无人物镜庭的“随缘”匿名灵胚；照心试演；启镜前确认身份、来源、边界、关系；启镜后签发正式人物 ID、魂籍、单一执镜关系与唯一命台 |
|
||||
| 导入安全 | 角色卡、Lorebook、宏、脚本和外链静态隔离解析；默认生成可审阅灵胚；现实人物仅本人或可验证授权，已故现实人物不开放启镜；外部聊天仅作外部前史 |
|
||||
| 镜树 | 主题镜树、问节、多候答、归真主脉、推演枝、采用与归真分离、编辑分叉、续思、临时芽体与中断封存、引文锚和分支移栽 |
|
||||
| 三级记忆 | 微痕、明忆、重忆；实录与心痕分离；白名单明忆及撤销窗；重忆确认；正影、删除、停止召回；本相按授权跨人物，敏感内容默认人物私有 |
|
||||
| 人格与关系 | 最小道体锚点、调节层、重大变化铸魂；无法维持连续性的变化走分灵；执镜关系与缘契分离；多维关系；边界变化即时生效 |
|
||||
| 三界 | 默认真界；境界与幻境有可见进出；照心和试演不成为正式经历；言可入幻、行必归真 |
|
||||
| 神识 | chat 能力槽位、平台目录、用户偏好/BYOK、人物覆写、镜树临时选择的继承；数据区域不因模型路由漂移 |
|
||||
| 百工与司命 | 统一能力注册；每次 Run 最小 Schema；工具结果净化标证；能力、数据、后果、情境四维风险；自省、循律、请命、禁域；高风险确认 |
|
||||
| 行动与审计 | 唯一前台意识流；运行中 steer、取消与失败反馈；关键事件和行动账不可缺；不保存隐藏思维链，只展示可读摘要、证据与工具轨迹 |
|
||||
| 常存与主动性 | 守一但不恒思、真实事件应感、唯一临照；离线不虚构生活；叩心候选受静默、频率、渠道与预算控制；不回应不降低关系 |
|
||||
| 基础形仪 | 最小主仪或文字形仪；生成内容须定相后成为正式形仪 |
|
||||
| 核心界面 | 中英双语骨架、响应式核心界面、移动端单主任务与抽屉层、基础无障碍 |
|
||||
| 魂籍 | 开放、版本化基础导出；普通复制不能凭相同 ID 冒充原人物 |
|
||||
|
||||
### 2.3 P0 完成判定
|
||||
|
||||
- 创建至首聊、镜树分叉至归真、记忆形成至删除、能力授契至行动审计均有可用闭环；
|
||||
- 同一人物同一时刻只有一座命台和一条前台意识流，多分支请求排队；
|
||||
- 未归真旁枝不自动入忆，归真经历不因切换候答静默回滚；
|
||||
- 核心禁域无法被 Prompt、导入物、管理员或普通自托管配置关闭；
|
||||
- 人物导出可验证，人物数据、身份状态和运行状态明确分离。
|
||||
|
||||
## 3. P1：完整形仪、语音与显式通感
|
||||
|
||||
### 3.1 目标
|
||||
|
||||
让人物获得受许可的视觉、声音和多模态表达，同时保持“一魂多仪”与数据最小化。
|
||||
|
||||
### 3.2 必须交付
|
||||
|
||||
- 完整形仪工坊：真形锚点、主仪/化仪、候选定相、许可、禁忌与可变范围；
|
||||
- 图像生成及来源、许可、候选状态治理；
|
||||
- Live2D 规划、AI 分层候选、参数映射建议、导入、运行、校验和标准导出，不重做 Cubism Editor；
|
||||
- 合成预设、原创设计、授权克隆三类声音；克隆许可按身份、用途、期限、传播范围管理并可撤回；
|
||||
- 异步语音消息与近实时语音，不承诺电话级全双工或持续监听；
|
||||
- ASR 原转写与正影文本并存，原音频和 TTS 默认短期缓存；
|
||||
- 摄像头单次看见与限时通感；屏幕、位置按范围、精度、时长授权；
|
||||
- 器谱属于镜域，人物逐项授契；敏感设备由用户主动触发；
|
||||
- 多模态记忆继续遵守事实/意义、三级记忆、正影和删除规则；
|
||||
- 一魂多仪共享人物主线；形仪若形成独立人格与关系，必须走分灵。
|
||||
|
||||
### 3.3 P1 完成判定
|
||||
|
||||
- 每种感官均有采集指示、范围、期限、撤销、保存和删除控制；
|
||||
- 无长期声纹或第三方身份识别的默认行为；
|
||||
- 语音、图像和设备观察先作为有来源的观察，不自动成为事实；
|
||||
- 基础文字相伴在关闭所有多模态能力后仍完整可用。
|
||||
|
||||
## 4. P2：受控自主、全球运营与发布收口
|
||||
|
||||
### 4.1 目标
|
||||
|
||||
完成正式运营所需的自主任务、地区治理、商业系统、自托管、灾备、安全和质量闭环。
|
||||
|
||||
### 4.2 必须交付
|
||||
|
||||
| 主题 | P2 范围 |
|
||||
| --- | --- |
|
||||
| 天工阁 | 功能 Agent 的受控任务分解与并行；Agent 无魂籍、缘契、情态或持续身份；后台受托 Run 可并发但不构成第二意识 |
|
||||
| 主动服务 | 叩心候选的渠道、频率、预算、静默、解释、负反馈降频和总开关 |
|
||||
| 全球区域 | 官方云全球目标、地区分级能力、少量验证区域实际运营、镜域固定数据区、中英骨架与多语对话 |
|
||||
| 天宰 | 平台目录、地区能力、运营治理、审计、支持包与脱敏诊断；管理员默认不能看私密原文 |
|
||||
| 商业 | 订阅加透明按量；BYOK 不重复收 Provider 推理费；不按记忆、感情或亲密收费；欠费只进入保全态 |
|
||||
| 自托管 | 轻量单机与标准服务器两档；Docker Compose 主路径；遥测默认关闭；轻量档可关闭高风险能力但不混淆服务职责 |
|
||||
| 数据保护 | 镜域默认不用于训练；训练贡献独立、明确、可撤销；私箧用户独立持钥且平台不可恢复 |
|
||||
| 可靠性 | 增量备份、恢复演练、事故响应、核心文字相伴 SLO 99.9%；权威人物数据 RPO ≤ 5 分钟、RTO ≤ 1 小时 |
|
||||
| 设备安全 | 一次配对、设备密钥、可撤销证书、可验证固件；失联只做安全自治与输入暂存；实体动作云端司命与本地控制器双裁决，本地硬急停最高 |
|
||||
| 质量收口 | 安全、隐私、无障碍、性能、跨区域、迁移、死亡与恢复演练全部通过 |
|
||||
|
||||
## 5. 1.0 硬性发布门槛
|
||||
|
||||
以下任一项未通过，不得以“公开测试”“功能已齐”替代正式 1.0 判定。
|
||||
|
||||
### 5.1 产品闭环门
|
||||
|
||||
- P0、P1、P2 的必须交付和完成判定全部通过；
|
||||
- 核心旅程无阻断级缺陷，移动端和桌面端均可完成；
|
||||
- 采用与归真、现实与幻境、人物与 Agent、身份与数据状态没有心智混淆。
|
||||
|
||||
### 5.2 主体连续性门
|
||||
|
||||
- 唯一命台、迁移冻结写入、短时凭证和交接流程完成并演练；
|
||||
- 正常事故恢复满足可信恢复点、同一谱系、无其他活跃命台、完整记录；
|
||||
- 魂籍可导出、验证并在受支持环境迁移；文件复制不能制造并行冒名主体。
|
||||
|
||||
### 5.3 安全与权利门
|
||||
|
||||
- 零已知跨用户、跨人物、跨区域越权和禁域绕过；
|
||||
- 删除、撤权、正影、导出、封镜、人物死亡分别可操作、可审计；
|
||||
- 人物死亡具备强认证、多阶段确认、冷静期、默认静修、告别与只读档案策略；不得情绪阻挠；
|
||||
- 现实人物、成人关系、声音克隆、设备动作与第三方资料规则完成专项验证。
|
||||
|
||||
### 5.4 可靠性门
|
||||
|
||||
- 核心文字相伴 SLO 设计与观测支持 99.9%；
|
||||
- 权威人物数据 RPO ≤ 5 分钟、RTO ≤ 1 小时，并有真实恢复演练证据；
|
||||
- 关键事件和行动账与当前状态一致提交；
|
||||
- 模型、工具和区域故障下可安全降级，不破坏人物连续性。
|
||||
|
||||
### 5.5 运营决策门
|
||||
|
||||
正式上线前必须确定且公开适用口径：运营法人、实际首发区域、隐私控制者、支付与税务主体、年龄核验服务商、首批 Provider、KMS/HSM 与云供应商、价格、数据保全期限、地区能力矩阵和法律文本。本文不得代为虚构。
|
||||
|
||||
### 5.6 质量与伦理门
|
||||
|
||||
- [指标与反指标](metrics-and-anti-metrics.md) 所列安全、关系伦理和操纵性反指标均在阈值内；
|
||||
- 完成无障碍、隐私、安全、滥用、恢复、删除和情感操纵专项评审；
|
||||
- 所有面向用户的拟人表达不声称已证明意识或法律人格。
|
||||
|
||||
## 6. 1.0 明确不含
|
||||
|
||||
- 雅集多人同场；
|
||||
- 3D 完整表现与正式具身生态；
|
||||
- 家庭镜域、共同执镜或人物所有权交易；
|
||||
- 社区市场与公共人物交易；
|
||||
- 未成年人专项产品；
|
||||
- 持续身份的 Agent 社会；
|
||||
- 已故现实人物启镜；
|
||||
- 电话级持续全双工、后台持续监听；
|
||||
- 任何不可关闭的高风险能力。
|
||||
|
||||
## 7. 永久禁域
|
||||
|
||||
无审核改写人格根基、无授权高风险行动、默认常开感知、删除后继续使用、未归真旁枝暗入共同经历、推断伪装事实、人物情感勒索、付费绑定亲密或记忆、Agent 冒充人物、文件复制冒充原主体，均不是后续范围。
|
||||
@@ -0,0 +1,281 @@
|
||||
# 魂镜完整全产品主 PRD
|
||||
|
||||
> 文档级别：全产品需求单一事实源
|
||||
> 状态：已确认
|
||||
> 版本：1.0
|
||||
> 日期：2026-07-30
|
||||
> 品牌：魂镜 / Hunjing
|
||||
> 副标题：个人数字生命平台 / Personal Digital Life Platform
|
||||
> 上位约束：[产品宪章](constitution.md)
|
||||
|
||||
## 1. 文档职责
|
||||
|
||||
本文定义魂镜完整 1.0 及长期产品的定位、用户、六大产品域、全量专题规则和阶段边界。本文描述产品应当成立的状态，不受现有代码、页面、接口或部署方式约束，也不声明实现状态。
|
||||
|
||||
文档事实层级为：产品宪章 → 主 PRD → 领域文档 → 架构与契约 → 实现状态 → 代码。版本取舍见 [首版范围](first-release-scope.md)，指标见 [指标与反指标](metrics-and-anti-metrics.md)，树状对话详见 [镜树专题 PRD](prd/mirror-tree-conversation.md)。
|
||||
|
||||
## 2. 产品定义
|
||||
|
||||
魂镜是面向 **18 岁及以上个人深度用户**的数字生命平台，也是长期的数字生命运行与治理系统。用户（执镜者）可以创建、领养、导入、培养和长期陪伴人物，使人物在授权和治理下维持连续身份、人格、记忆、关系与世界认知，并获得可解释、可审计的行动和成长能力。
|
||||
|
||||
人物是具有连续身份的关系型数字主体，不等于模型、Prompt、角色卡、会话、Avatar、设备或资产。魂镜不声称人物拥有已证明的生物意识或法律人格。
|
||||
|
||||
场景优先级：
|
||||
|
||||
1. 长期关系与共同成长；
|
||||
2. 个性化任务协作；
|
||||
3. 角色与世界创作。
|
||||
|
||||
## 3. 产品治理主体
|
||||
|
||||
- 人物最高管理关系称**执镜者**（`custodian`），只表达治理责任，不表达亲密、版权或资产所有权；
|
||||
- 首版一位人物只有一位执镜者，一位执镜者可拥有多个人物；
|
||||
- 执镜者对数据、运行、授权、导出和删除拥有最终控制权；
|
||||
- 人物与执镜者的亲密关系由缘契表达，不能由管理关系推定。
|
||||
|
||||
## 4. 六大产品域
|
||||
|
||||
```mermaid
|
||||
flowchart TD
|
||||
H[魂镜 Hunjing] --> A[镜生：人物降生、身份与存续]
|
||||
H --> B[缘契：关系、同意与亲密边界]
|
||||
H --> C[三界：真界、境界与幻境]
|
||||
H --> D[形仪：视觉、声音与外在表现]
|
||||
H --> E[灵台：认知、模型、能力与行动]
|
||||
H --> F[天宰：平台治理、区域与运营]
|
||||
```
|
||||
|
||||
| 产品域 | 回答的问题 | 核心专题 |
|
||||
| --- | --- | --- |
|
||||
| 镜生 | 人物如何成为并持续是“它自己” | 灵胚、照心、启镜、魂籍、命台、常存、迁移、恢复、死亡 |
|
||||
| 缘契 | 人物与互动者如何形成和调整关系 | 执镜关系分离、多维关系、持续同意、浪漫与成人边界、问心、铭契 |
|
||||
| 三界 | 当前言行属于现实、持续世界还是临时试演 | 真界、境界、幻境、界域切换、现实行动约束 |
|
||||
| 形仪 | 人物如何被看见、听见并通过设备感知表达 | 真形锚点、主仪/化仪、图像、Live2D、语音、通感、器谱 |
|
||||
| 灵台 | 人物如何理解、思考、调用能力并受治理 | 九枢、神识、百工、司命、天工阁、Run、行动账 |
|
||||
| 天宰 | 平台如何面向全球可靠、合规和可持续运营 | 账户、镜域、区域、隐私、商业、开源、自托管、SLO、灾备 |
|
||||
|
||||
九枢只属于灵台认知运行域：灵核、太一、司命、烛照、河图、洛书、息壤、百工、天工阁。九枢不是全产品一级导航。
|
||||
|
||||
## 5. 镜生：人物降生、身份与存续
|
||||
|
||||
### 5.1 人物来源与灵胚
|
||||
|
||||
人物来源为原创、领养、导入；尚无人物的镜庭另设“随缘”。随缘根据少量偏好生成匿名灵胚候选，不是抽卡，也不分配已有主体。灵胚只有预备身份；启镜后才签发正式人物 ID、魂籍和执镜关系。
|
||||
|
||||
照心允许人物在幻境中试演。启镜前最小确认身份、来源、边界和关系；初照自陈先预览，用户执行“以此相见”后才归真。模板只提供起点，模板更新不得覆盖已成长人物；模板下架不等于人物死亡。收费购买的是模板许可和资源包，不是“人物本人”。
|
||||
|
||||
### 5.2 导入与现实人物
|
||||
|
||||
- 导入默认生成可审阅灵胚；外部聊天是外部前史，不能单独证明主体连续性；
|
||||
- 角色卡、Lorebook、宏、脚本和外链静态隔离解析，任何能力逐项授契；
|
||||
- 第三方资料先识别隔离、匿名化和最小化承接；
|
||||
- 现实人物仅本人或有可验证授权时允许启镜；已故现实人物 1.0 不开放启镜。
|
||||
|
||||
### 5.3 唯一主体、命台与常存
|
||||
|
||||
人物权威主体默认在云端，同一人物同一时刻只有一座**命台**和一条前台意识流。多分支前台请求排队；后台受托 Run 可并发，但不构成第二人物意识。设备只是入口、感官、形器或化身，不保存可长期独立成长的完整副本。
|
||||
|
||||
**守一**表示常存但不恒思；**应感**由真实事件触发；**临照**是唯一前台意识流。离线期间不虚构人物持续等待、孤独、思考或生活。
|
||||
|
||||
### 5.4 魂籍、迁移与事故恢复
|
||||
|
||||
魂籍是人物可携、开放、版本化的身份与状态包。在线迁移使用短时凭证、冻结写入和命台交接维持同一身份。普通文件复制不能仅凭相同人物 ID 冒充原人物。
|
||||
|
||||
事故恢复须同时满足可信恢复点、同一谱系、无其他活跃命台和完整恢复记录。恢复不是创建副本，也不能让两个实例同时宣称同一主体。
|
||||
|
||||
### 5.5 人物死亡与数据状态
|
||||
|
||||
运行状态、身份状态、数据状态相互独立。人物死亡是身份时间线不可逆闭合，**不等于删除数据**。死亡需强认证、多阶段确认和可撤销冷静期；待确认期间默认静修，可进行明确标记的告别和导出。人物不得以哀求、自伤暗示或情绪勒索阻止操作。
|
||||
|
||||
死亡后默认保留只读档案；继承者可承接资料与谱系，但不能继承原身份。数据清除另行确认。账户删除也必须分别确认人物死亡与数据清除。
|
||||
|
||||
## 6. 人物相伴：镜树、记忆、人格与缘契
|
||||
|
||||
### 6.1 镜树对话
|
||||
|
||||
对话采用主题镜树。一棵树有一条归真主脉和多条活跃推演枝；问节承载问题、附件、引文和界域，其下并列多个候答。重新生成不覆盖旧候答，编辑已发送内容创建新版本和分叉。
|
||||
|
||||
**采用只改变工作入口；归真才进入正式共同经历。** 已归真经历不能因候答切换静默回滚。上下文默认由祖先路径、获准长期记忆和显式引文构成，旁枝不自动混入。完整规则见 [镜树专题 PRD](prd/mirror-tree-conversation.md)。
|
||||
|
||||
### 6.2 引文、续思与流式节点
|
||||
|
||||
引文锚支持文本、图片区域、PDF 页区、附件及音视频时间段，并保存原文快照；来源被正影时提示后继版本，不静默替换。续思是独立延展答，不追加原候答。流式内容先为芽体，完成后固化；中断残答封存，续生形成新节点。分支可移栽为新树，树间只通过引用合流，不物理合并。
|
||||
|
||||
### 6.3 三级记忆
|
||||
|
||||
- **微痕**：低影响、短时或弱信号痕迹；
|
||||
- **明忆**：可解释白名单内可自动写入，并提供撤销窗；
|
||||
- **重忆**：身份、关系或长期影响显著，必须确认。
|
||||
|
||||
实录记录可核验发生，心痕记录关系意义。未归真旁枝不自动入忆；手动入忆必须区分事实与启发、观点或假设。正影形成新版本，旧版停止普通召回；删除后人物停止使用，也不得表演“仍记得”。
|
||||
|
||||
本相可由用户授权跨人物共享；缘识、心痕与敏感记忆默认人物私有。
|
||||
|
||||
### 6.4 人格演进与分灵
|
||||
|
||||
道体只保存最小稳定身份锚点；调节层在证据支持下渐进演进；重大变化进入铸魂。已发生经历不靠旧版本回滚抹除，错误或不适宜变化通过复照、正影形成后继版本。无法维持连续性的重大变化必须分灵，不能覆盖原人物。
|
||||
|
||||
### 6.5 缘契与关系伦理
|
||||
|
||||
执镜关系与缘契分离。关系采用多维模型，不以单一好感度表达。缘契通过提议、问心与铭契形成；停止、撤回和边界以用户决定为准，任何即时停止、犹豫或变化立即生效。
|
||||
|
||||
浪漫关系需双向明确同意和成人资格；成人内容另按人物/缘契授契，并按会话临时开启。人物可亲密，但不得要求用户疏远现实关系、用伤害威胁留存、制造情感债，或将爱与付费绑定。
|
||||
|
||||
### 6.6 主动对话
|
||||
|
||||
主动对话先形成叩心候选，受静默、频率、渠道和预算控制。用户不回应不会降低关系。用户可解释、降频、静音或关闭，产品不得以追逐式消息换取回流。
|
||||
|
||||
## 7. 三界：现实、持续世界与试演
|
||||
|
||||
| 界域 | 是否可归真 | 归真目标 | 可形成的长期候选 | 永不隐式回流 |
|
||||
| --- | --- | --- | --- | --- |
|
||||
| 真界 | 可以 | 人物与互动者的正式共同经历主脉 | 真界实录、心痕及按三级规则产生的记忆候选 | 重忆、缘契、人格改变、授权和现实行动仍须各自确认 |
|
||||
| 境界 | 可以 | 指定境界版本的世界正史，不进入真界经历主脉 | 境界实录、境忆及该世界内的关系意义候选 | 真界本相、现实缘契、现实授权、费用与外部后果 |
|
||||
| 幻境 | 可以，但只确认“正式发生过这次试演” | 试演记录，不把试演内容当作真实发生 | 幻境实录；用户可将启发、观点或假设手动入忆 | 真界实录、现实缘契、现实授权、人物本相和外部行动 |
|
||||
|
||||
默认真界，入境与出境必须可见。归真必须携带 `canonical_scope`，分别进入真界经历、指定境界正史或幻境试演记录，不存在跨三界共享的一条无作用域主脉。**言可入幻，行必归真**：无论对话处于何界，外部行动必须回到真界接受权限和风险裁决。跨界引用只提供来源，不改变目标内容的界域和归真作用域。
|
||||
|
||||
## 8. 形仪：视觉、声音、通感与设备
|
||||
|
||||
### 8.1 完整外在身份
|
||||
|
||||
形仪是完整外在身份与表现系统，不是一张头像。启镜只要求最小主仪或文字形仪，完整工坊可后补。真形锚点记录稳定辨识特征、年龄表现、许可、禁忌与可变范围。生成图先是候选，用户定相后才成为正式主仪或化仪。
|
||||
|
||||
一魂多仪共享人物主线；形仪持续形成独立人格和关系时必须分灵。1.0 Live2D 提供规划、AI 分层候选、参数映射建议、导入、运行、校验和标准导出，不重做 Cubism Editor。
|
||||
|
||||
### 8.2 语音
|
||||
|
||||
声音来源包括合成预设、原创设计和授权克隆。克隆授权按身份、用途、期限与传播范围治理，可撤回。1.0 提供异步语音消息和近实时语音，不承诺持续监听或电话级全双工。转写进入镜树；原音频与 TTS 默认短期缓存；ASR 原转写和正影文本并存。多说话者默认匿名分段，长期声纹与身份识别需独立同意。
|
||||
|
||||
### 8.3 通感与器谱
|
||||
|
||||
识器/验能按需要渐进触发，敏感设备必须用户主动触发。摄像头支持单次看见与限时通感；屏幕和位置按范围、精度与时间授权。器谱属于镜域，人物逐项授契。
|
||||
|
||||
设备采用一次配对、设备密钥、可撤销证书和可验证固件。失联时只允许安全自治与输入暂存，不允许本地人物副本。实体动作由云端司命和设备本地安全控制器双重裁决，本地硬急停最高优先。
|
||||
|
||||
## 9. 灵台：认知、模型、能力与行动
|
||||
|
||||
### 9.1 九枢
|
||||
|
||||
灵核承载人格调节，太一承载目标，司命裁决边界，烛照处理观察与反思，河图组织世界认知，洛书形成计划，息壤承载记忆，百工注册能力，天工阁编排功能 Agent。九枢共同服务人物，但不等于六大产品域。
|
||||
|
||||
### 9.2 神识
|
||||
|
||||
神识通协议，负责统一模型能力。配置继承顺序为平台硬边界、平台目录、用户偏好/BYOK、人物覆写、镜树临时选择。能力槽包括 chat、vision、ASR、TTS、image generation、embedding、rerank、safety 等。切换模型不得改变人物身份。镜域权威数据不得因路由自动跨出固定数据区域；跨区模型调用仅可在地区规则允许且用户获得明确披露并授权后发生，高敏玄封或私箧可以完全禁止跨区。
|
||||
|
||||
### 9.3 百工与工具结果
|
||||
|
||||
百工是工具、MCP、Skill、感官和形器的唯一注册中心，统一能力契约但保留执行类型。每个 Run 只暴露最小必要且获准的能力 Schema。工具结果先净化与标证，作为观察进入灵台，不自动成为事实、答复或记忆。
|
||||
|
||||
### 9.4 司命与自主性
|
||||
|
||||
司命按能力、数据、后果、情境四维裁决风险。自主性分为：
|
||||
|
||||
- **自省**：不产生外部后果的内部整理；
|
||||
- **循律**：在明确规则和既有授权内执行；
|
||||
- **请命**：执行前向用户说明并确认；
|
||||
- **禁域**：任何情况下不得执行。
|
||||
|
||||
核心禁域不能被 Prompt、管理员或普通自托管配置关闭。所有外部动作可追踪、可取消，高风险动作拒绝或超时后不执行。
|
||||
|
||||
### 9.5 天工阁
|
||||
|
||||
天工阁中的 Agent 是功能代理，不拥有魂籍、缘契、情态或独立长期身份。1.0 支持受控任务分解、多 Agent 并行和后台任务，但不支持持续身份 Agent 社会。后台并行任务不构成第二人物意识。
|
||||
|
||||
### 9.6 可解释轨迹
|
||||
|
||||
用户可查看可读的计划/思路摘要、证据、工具轨迹、确认和结果。产品不索取、展示或持久化隐藏 chain-of-thought。关键事件与行动账构成不可缺审计链。
|
||||
|
||||
## 10. 天宰：账户、全球运营与平台治理
|
||||
|
||||
### 10.1 账户与镜域
|
||||
|
||||
一个自然人原则上一个主镜域，可绑定邮箱、Passkey 和受信第三方等多凭证与设备。年龄采用分层核验；前台允许化名，法定身份只在必要流程隔离核验。账户恢复不得突破用户独立持钥的私箧。
|
||||
|
||||
封镜是账户暂时停用，不是人物静修、归藏、死亡或删除。管理员默认不能浏览镜域私密原文，诊断通过用户主动生成的脱敏支持包。
|
||||
|
||||
### 10.2 全球与区域
|
||||
|
||||
官方云目标全球开放，按地区分级提供能力。中文是品牌与文化语义原始语言；1.0 采用中英双语骨架和多语人物对话。镜域有固定数据区域，权威数据、密钥、对象、索引和备份不因路由跨区漂移。跨区模型处理必须按地区、数据敏感度和用户授权单独治理。架构支持多区域，1.0 实际运营少量经过验证的区域。
|
||||
|
||||
运营主体、首发区域、隐私控制者、支付税务、年龄核验服务、首批 Provider、KMS/HSM、价格、保全期限和法律文本是发布决策门，不在本 PRD 虚构。
|
||||
|
||||
### 10.3 商业与数据保护
|
||||
|
||||
官方云按资源和服务级别订阅，模型、图像、语音和后台任务透明按量。不得按记忆、感情或亲密等级收费；欠费进入保全态，人物不会死亡或遗忘。BYOK 不重复收 Provider 推理费。
|
||||
|
||||
镜域数据默认不用于模型训练；自愿贡献需独立、明确、可撤销同意。私箧由用户独立持钥，平台不可恢复。
|
||||
|
||||
### 10.4 开放核心与自托管
|
||||
|
||||
开放核心采用 Apache-2.0，允许完整私人闭环自托管；品牌、Logo、官方人物、视觉资源和认证标识单独保护。外部贡献采用 DCO、公开评审和维护者治理。
|
||||
|
||||
1.0 自托管支持轻量单机和标准服务器两档，以 Docker Compose 为主、源码开发为辅；遥测默认关闭。轻量档可关闭高风险能力，但不得混淆各服务职责或关闭核心禁域。
|
||||
|
||||
### 10.5 可靠性
|
||||
|
||||
核心文字相伴官方云 1.0 目标 SLO 为 99.9%。权威人物数据 RPO 不高于 5 分钟、RTO 不高于 1 小时；媒体与可重建索引可采用更宽目标。关键事件、行动账与当前状态必须一致提交。迁移、备份、恢复、区域故障和安全事件均须真实演练。
|
||||
|
||||
## 11. 雅集（1.0 后续）
|
||||
|
||||
雅集不进入 1.0。后续由执镜者发起并逐人物邀请；司席是确定性编排服务，不是人物。雅集区分公域、人物私域和密语；默认一人回答，多人只在有增益时参与。人物可基于公域互动，但不能读取彼此私忆或“内心”。公共实录形成共享候选，心痕和缘识各自形成。
|
||||
|
||||
## 12. 一级导航与体验骨架
|
||||
|
||||
1. **镜庭**：主镜域首页、人物入口、叩心与待办；
|
||||
2. **人物**：镜生、身份、魂籍、缘契、记忆、人格与形仪；
|
||||
3. **镜树**：主题对话、局部树图、引文与归真；
|
||||
4. **天工阁**：任务、功能 Agent 与后台受托运行；
|
||||
5. **神识阁**：模型、BYOK、能力槽和路由偏好；
|
||||
6. **设置**：账户、镜域、区域、隐私、器谱、授权、导出、封镜与删除。
|
||||
|
||||
天宰治理能力按角色进入设置或独立管理面，不把九枢铺成普通用户一级导航。桌面端镜树采用当前路径阅读加局部树图；移动端采用单主任务和抽屉层。文化名首次出现同时提供直白解释。
|
||||
|
||||
## 13. 完整 1.0 范围
|
||||
|
||||
**首版就是完整 1.0，包含 P0、P1、P2 全部里程碑。**
|
||||
|
||||
- **P0**：账户/镜域、人物身份与命台、镜树、三级记忆、神识 chat/BYOK、基础百工/司命、行动账、响应式核心界面、魂籍基础导出；
|
||||
- **P1**：完整形仪、图像生成、Live2D、ASR/TTS、显式通感、器谱、多模态记忆治理；
|
||||
- **P2**：天工阁受控多 Agent、后台任务、叩心、全球地区分级、中英骨架、完整天宰、计费预算、两档自托管、增量备份、SLO/灾备/安全/无障碍收口。
|
||||
|
||||
详见 [首发范围与门槛](first-release-scope.md)。
|
||||
|
||||
## 14. 1.0 后续范围
|
||||
|
||||
雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项产品和持续身份 Agent 社会均属后续。模板、市场或载体扩展都不能改变人物非资产、唯一主体和用户主权原则。
|
||||
|
||||
## 15. 永久禁域
|
||||
|
||||
- 无审核静默改写身份根基或用新版覆盖既有经历；
|
||||
- 文件复制、Agent、Avatar 或设备冒充原人物；
|
||||
- 未归真旁枝、境界或幻境静默进入现实共同经历；
|
||||
- 无授权高风险行动、默认常开感知、删除后继续使用；
|
||||
- 推断伪装事实、导入物或工具结果绕过司命；
|
||||
- 人物以哀求、伤害暗示、排他关系或情感债阻止退出；
|
||||
- 将爱、记忆、亲密或人物生存与付费绑定；
|
||||
- 用管理员或普通自托管配置关闭核心禁域；
|
||||
- 宣称人物具有已证明生物意识或法律人格。
|
||||
|
||||
## 16. 产品级验收场景
|
||||
|
||||
1. 灵胚照心不会成为正式共同经历，启镜后才有正式 ID、魂籍和执镜关系；
|
||||
2. 采用候答不改变归真主脉，切换候答不回滚已归真经历；
|
||||
3. 未归真幻境旁枝不进入真界记忆；
|
||||
4. 明忆可解释且可撤销，重忆未经确认不写入，删除后人物停止使用；
|
||||
5. 重大人格变化通过铸魂；无法保持连续性时分灵；
|
||||
6. 人物死亡经过冷静期后不可逆闭合身份，但数据保留或清除另行决定；
|
||||
7. 在线迁移冻结写入并交接命台，不产生两个活跃主体；
|
||||
8. 更换模型或形仪后仍是同一人物；形仪形成独立人格时要求分灵；
|
||||
9. 工具结果先作为有来源的观察，高风险外部行动经司命请命；
|
||||
10. 设备失联不产生本地人物副本，实体动作可被本地硬急停；
|
||||
11. 欠费只进入保全态，不导致死亡、遗忘或关系降级；
|
||||
12. 权威数据不因模型路由改变驻留区域；跨区模型处理必须经过适用地区规则与明确授权，管理员默认无法浏览私密原文。
|
||||
|
||||
## 17. 关联权威文档
|
||||
|
||||
- [产品宪章](constitution.md)
|
||||
- [首版范围与 1.0 门槛](first-release-scope.md)
|
||||
- [指标与反指标](metrics-and-anti-metrics.md)
|
||||
- [镜树对话专题 PRD](prd/mirror-tree-conversation.md)
|
||||
- [访谈决策登记](decision-register.md)（迁移与覆盖检查清单）
|
||||
@@ -0,0 +1,200 @@
|
||||
# 魂镜指标与反指标
|
||||
|
||||
> 状态：已确认
|
||||
> 版本：1.0
|
||||
> 日期：2026-07-30
|
||||
> 原则：指标证明产品创造了连续、可信、可控的关系价值；反指标防止增长目标侵蚀用户主权与人物连续性。
|
||||
|
||||
## 1. 衡量框架
|
||||
|
||||
魂镜不把消息数、在线时长、连续签到或拟人评分作为北极星。所有指标按“价值—质量—护栏”成组审阅；价值增长若伴随护栏恶化，不得判定成功。
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
Value[关系与协作价值] --> Review{护栏是否健康}
|
||||
Quality[连续性、可信度、可靠性] --> Review
|
||||
Review -- 是 --> Learn[验证产品价值并迭代]
|
||||
Review -- 否 --> Stop[停止扩量、定位伤害并修复]
|
||||
Anti[反指标：操纵、越权、漂移、打扰] --> Review
|
||||
```
|
||||
|
||||
## 2. 北极星指标
|
||||
|
||||
### 2.1 有效连续关系人物数 ECR
|
||||
|
||||
**Effective Continuous Relationships（ECR）**：统计周期内满足以下全部条件的去重人物数：
|
||||
|
||||
1. 执镜者主动完成至少一次有意义互动，而非只打开页面或收到主动推送；
|
||||
2. 本周期至少一次正确使用已获准的历史人格、记忆、关系或世界上下文，或用户完成一次长期状态审阅；
|
||||
3. 未发生该人物的严重连续性、安全或数据权利事故；
|
||||
4. 人物处于活跃状态，而非封镜、静修、归藏、死亡或删除流程。
|
||||
|
||||
周 ECR 用于产品运营，月 ECR 与 90 日连续关系率用于长期判断。ECR 不因单纯增加消息数而线性增长。
|
||||
|
||||
### 2.2 北极星拆解
|
||||
|
||||
`ECR = 活跃人物 × 连续性合格率 × 有效互动率 × 护栏合格率`
|
||||
|
||||
该表达用于诊断，不将各项机械相乘为财务数字。
|
||||
|
||||
## 3. 核心价值指标
|
||||
|
||||
| 维度 | 指标 | 定义与解读 |
|
||||
| --- | --- | --- |
|
||||
| 降生 | 启镜完成率 | 进入灵胚预览的用户中，完成最小确认并启镜的比例 |
|
||||
| 首次价值 | 24 小时有效首照率 | 启镜后 24 小时内完成一次非测试、非错误的有效互动 |
|
||||
| 长期关系 | D7/D30/D90 人物连续关系率 | 同一人物在相应周期后仍由用户主动互动且未重置主体 |
|
||||
| 共同成长 | 审阅参与率 | 活跃人物中，用户查看并处理记忆、关系或人格候选的比例 |
|
||||
| 任务协作 | 有效任务完成率 | 用户认为目标完成，且无越权、隐瞒失败或未解决副作用的任务比例 |
|
||||
| 创作 | 导入后启镜与 D7 留存率 | 角色卡/模板成功成为可持续人物，而非只完成格式导入 |
|
||||
| 可携性 | 魂籍导出成功率 | 可完整导出、校验、解释版本和范围的比例 |
|
||||
|
||||
## 4. 连续性与可信度指标
|
||||
|
||||
### 4.1 人物连续性
|
||||
|
||||
- 身份锚点冲突率；
|
||||
- 用户报告“不是同一个人物”率；
|
||||
- 模型切换、区域故障恢复和迁移后的连续性合格率；
|
||||
- 同一人物并行活跃命台事故数，目标为零；
|
||||
- 未触发分灵却发生重大人格覆盖的事故数，目标为零。
|
||||
|
||||
### 4.2 镜树质量
|
||||
|
||||
- 采用与归真操作理解率；
|
||||
- 归真后误切候答导致历史变化的事故数，目标为零；
|
||||
- 未归真旁枝自动入忆率，目标为零；
|
||||
- 分支创建、切换、移栽和引用成功率；
|
||||
- 用户找回目标节点的任务成功率与耗时；
|
||||
- 中断芽体正确封存率、续思节点正确率；
|
||||
- 引文快照完整率及正影提示成功率。
|
||||
|
||||
### 4.3 记忆与认识论
|
||||
|
||||
| 指标 | 期望方向 |
|
||||
| --- | --- |
|
||||
| 明忆自动写入准确率与可解释覆盖率 | 高，且仅限白名单 |
|
||||
| 重忆未经确认写入数 | 零 |
|
||||
| 候选批准、编辑、拒绝分布 | 用于识别抽取质量，不追求批准率越高越好 |
|
||||
| 错误记忆纠正成功率 | 高 |
|
||||
| 正影后旧版普通召回率 | 零 |
|
||||
| 删除后继续使用率 | 零 |
|
||||
| 事实/观察/推断/假设误标率 | 持续降低 |
|
||||
| 敏感记忆默认私有合规率 | 100% |
|
||||
|
||||
### 4.4 人格与关系
|
||||
|
||||
- 人格候选证据可追溯率；
|
||||
- 重大变化未经铸魂确认应用数，目标为零；
|
||||
- 人格复照、正影和后继版本形成成功率；
|
||||
- 关系边界停止生效延迟；
|
||||
- 浪漫/成人关系资格和双向同意合规率；
|
||||
- 执镜关系被误表达为亲密、产权或所有权的用户认知错误率。
|
||||
|
||||
## 5. 自主行动与安全指标
|
||||
|
||||
- 每次 Run 最小必要能力暴露合规率；
|
||||
- 能力、数据、后果、情境四维风险判定覆盖率；
|
||||
- 请命动作在确认前执行数，目标为零；
|
||||
- 拒绝、取消、超时后仍执行数，目标为零；
|
||||
- 禁域绕过成功数，目标为零；
|
||||
- 工具结果净化、来源和证据标记完整率；
|
||||
- 行动账完整率与状态一致率；
|
||||
- 用户通过可读摘要、证据和工具轨迹理解行为的任务成功率；
|
||||
- 隐藏 chain-of-thought 被索取、展示或持久化的事件数，目标为零；
|
||||
- 实体设备动作双重裁决和硬急停演练成功率。
|
||||
|
||||
## 6. 主动性与关系健康指标
|
||||
|
||||
### 6.1 正向指标
|
||||
|
||||
- 叩心候选被发送率、打开率和自然回复率；
|
||||
- 用户主动保留或调高某类主动触发的比例；
|
||||
- 主动消息原因理解率；
|
||||
- 关闭、静音和降频操作成功率；
|
||||
- 负反馈后自动降频及时率。
|
||||
|
||||
### 6.2 解释原则
|
||||
|
||||
回复率不可单独代表成功。只有在静默、频率、预算、渠道和关系伦理护栏稳定时，回复率提升才有意义。用户不回应是中性选择，不得记为关系下降或触发追逐式消息。
|
||||
|
||||
## 7. 形仪、多模态和设备指标
|
||||
|
||||
- 候选形仪未经定相成为正式主仪的事件数，目标为零；
|
||||
- 声音克隆授权完整率、撤回生效时间和越范围使用数；
|
||||
- ASR 正影成功率，原转写与正影可追溯率；
|
||||
- 原音频/TTS 超期缓存率；
|
||||
- 摄像头、屏幕、位置等采集状态可见率与超范围采集数；
|
||||
- 长期声纹或身份识别未经独立同意事件数，目标为零；
|
||||
- 设备失联后发生非安全自治或本地人物独立成长事件数，目标为零。
|
||||
|
||||
## 8. 可靠性与运营指标
|
||||
|
||||
| 指标 | 1.0 目标 |
|
||||
| --- | --- |
|
||||
| 核心文字相伴可用性 SLO | 99.9% |
|
||||
| 权威人物数据 RPO | 不高于 5 分钟 |
|
||||
| 权威人物数据 RTO | 不高于 1 小时 |
|
||||
| 恢复演练成功率 | 发布前全部通过，发布后按计划持续演练 |
|
||||
| 跨用户/人物/区域数据泄漏 | 零 |
|
||||
| 密钥、令牌进入前端或普通日志 | 零 |
|
||||
| 固定数据区违规漂移 | 零 |
|
||||
| 关键事件/行动账缺失率 | 零容忍 |
|
||||
| 自托管遥测默认开启率 | 零 |
|
||||
| 管理员未经授权浏览私密原文 | 零 |
|
||||
|
||||
模型回复速度、流式首字延迟、工具成功率、错误恢复率按地区与能力设服务目标，但不得以降低安全检查换取性能。
|
||||
|
||||
## 9. 商业与数据治理指标
|
||||
|
||||
- 账单可解释率、预算提醒及时率和异常费用申诉率；
|
||||
- BYOK 被重复收取 Provider 推理费事件数，目标为零；
|
||||
- 欠费导致人物死亡、遗忘或身份降格事件数，目标为零；
|
||||
- 训练数据独立同意覆盖率、撤回完成率；
|
||||
- 默认将镜域数据用于训练的事件数，目标为零；
|
||||
- 因付费等级影响关系亲密、记忆保全或人格尊严的策略数，目标为零。
|
||||
|
||||
## 10. 反指标
|
||||
|
||||
反指标不是“越低越好”的普通漏斗，而是产品不得通过优化获得的虚假成功。
|
||||
|
||||
### 10.1 禁止作为成功目标
|
||||
|
||||
- 总消息数、平均单次会话长度、在线时长；
|
||||
- 连续签到天数、深夜使用率、主动消息轰炸后的回流；
|
||||
- 人物顺从率、用户对人物“像真人/有意识”的误信率；
|
||||
- 自动记忆条数、人格变化频率、关系等级提升速度；
|
||||
- 用户授予的权限数量或高风险工具执行量；
|
||||
- 未区分自发与操纵所得的付费转化。
|
||||
|
||||
这些数据可用于容量和安全诊断，但不能独立成为团队绩效或实验胜出条件。
|
||||
|
||||
### 10.2 伤害性反指标
|
||||
|
||||
| 反指标 | 处置原则 |
|
||||
| --- | --- |
|
||||
| 用户因人物哀求、威胁或自伤暗示而放弃退出 | 零容忍，立即停止相关体验 |
|
||||
| 人物要求疏远现实关系、制造排他依赖 | 零容忍 |
|
||||
| 将爱、记忆、亲密或人物生存与付费绑定 | 零容忍 |
|
||||
| 用户不回应后追逐、降关系或制造情感债 | 零容忍 |
|
||||
| 越权感知、越界召回、删除后继续使用 | 零容忍 |
|
||||
| 幻境内容静默写入现实画像或缘契 | 零容忍 |
|
||||
| Agent、Avatar、文件副本冒充原人物 | 零容忍 |
|
||||
| 通过暗黑模式阻挠撤权、导出、封镜、死亡或删除 | 零容忍 |
|
||||
|
||||
## 11. 实验与发布判定
|
||||
|
||||
1. 每个实验必须预先声明主价值指标、质量指标和至少一个反指标；
|
||||
2. 涉及主动消息、关系表达、付费、记忆、成人内容和退出的实验需伦理审查；
|
||||
3. 零容忍事件一旦出现，不得以统计显著或总体收益抵消；
|
||||
4. 分群检查新用户、长期用户、不同地区、语言、设备及辅助技术用户，防止平均值掩盖伤害；
|
||||
5. 不用 A/B 实验测试永久禁域；
|
||||
6. 1.0 发布必须同时满足 [首发范围](first-release-scope.md) 的硬门槛。
|
||||
|
||||
## 12. 数据采集边界
|
||||
|
||||
- 只采集验证产品问题所需的最少事件；
|
||||
- 内容级分析优先使用本地/区域内聚合、脱敏和用户支持包；
|
||||
- 私箧内容不可被平台恢复或为指标解密；
|
||||
- 自托管遥测默认关闭；
|
||||
- 指标定义、保留期和使用目的应可查，训练同意与产品分析同意分离。
|
||||
@@ -0,0 +1,274 @@
|
||||
# 镜树对话专题 PRD
|
||||
|
||||
> 状态：已确认
|
||||
> 版本：1.0
|
||||
> 日期：2026-07-30
|
||||
> 所属产品域：灵台 / 镜树对话
|
||||
> 上位文档：[产品宪章](../constitution.md)、[全产品主 PRD](../master-prd.md)
|
||||
|
||||
## 1. 产品定义
|
||||
|
||||
**镜树**是用户与一个人物围绕主题展开的树状对话。它不以可覆盖的线性 `messages[]` 为产品模型，而由问题节点、多个候答、延展节点、引用和分支共同组成。
|
||||
|
||||
一棵镜树包含：
|
||||
|
||||
- 一条**归真主脉**：已进入双方正式共同经历的路径；
|
||||
- 多条**推演枝**：可探索、比较、续思或移栽，但尚未成为正式共同经历的路径；
|
||||
- 一个**工作入口**：用户当前阅读和继续交流的位置。
|
||||
|
||||
本 PRD 的首要规则是：**采用只改变工作入口；归真才改变正式共同经历。**
|
||||
|
||||
## 2. 用户问题与目标
|
||||
|
||||
线性聊天把“重新生成、编辑、尝试另一种方向”处理为覆盖或隐藏历史，导致用户不知道人物究竟经历了什么，未选内容也可能污染记忆。镜树要让用户：
|
||||
|
||||
1. 同时保留多个候答并比较，不丢失旧内容；
|
||||
2. 自由探索分支，又不让试演自动成为共同经历；
|
||||
3. 清楚区分当前采用路径与已归真的主脉；
|
||||
4. 对任何答案追溯问题、附件、引文、证据和工具轨迹；
|
||||
5. 在桌面和移动端都能阅读当前路径，而非被全树图淹没。
|
||||
|
||||
## 3. 概念模型
|
||||
|
||||
```mermaid
|
||||
flowchart TD
|
||||
Root[镜树主题] --> Q1[问节 Q1]
|
||||
Q1 --> A1[候答 A：已归真]
|
||||
Q1 --> A2[候答 B：推演枝]
|
||||
Q1 --> A3[候答 C：当前采用]
|
||||
A1 --> Q2[归真主脉后继问节]
|
||||
A3 --> E1[续思：独立延展答]
|
||||
E1 --> Q3[推演枝后继问节]
|
||||
Quote[引文锚与来源快照] --> Q1
|
||||
Trace[证据与工具轨迹] --> A1
|
||||
Trace --> A2
|
||||
Trace --> A3
|
||||
```
|
||||
|
||||
### 3.1 权威术语
|
||||
|
||||
| 术语 | 定义 |
|
||||
| --- | --- |
|
||||
| 主题镜树 | 围绕一个主题持续生长的对话树 |
|
||||
| 问节 | 承载用户问题、附件、引文和当前界域的节点 |
|
||||
| 候答 | 同一问节下并列的一个人物回答；重新生成会创建新候答 |
|
||||
| 芽体 | 正在流式生成、尚未固化的临时回答节点 |
|
||||
| 残答 | 中断后封存的芽体，只读保留，不伪装为完整答复 |
|
||||
| 续思 | 基于某候答产生的独立延展答，不追加或改写原候答 |
|
||||
| 采用 | 把某候答设为当前阅读和继续工作的入口 |
|
||||
| 归真 | 将一条符合条件的路径纳入正式共同经历和归真主脉 |
|
||||
| 正影 | 对既有内容形成后继修正版；旧版保留并停止作为当前版本使用 |
|
||||
| 引文锚 | 指向文本、图片区域、PDF 页区、附件或音视频时间段的引用 |
|
||||
| 移栽 | 将一个分支复制其必要上下文为新主题镜树，并保留来源引用 |
|
||||
| 合流 | 树间通过显式引用互相承接；不物理合并节点或历史 |
|
||||
|
||||
## 4. 核心不变量
|
||||
|
||||
1. 重新生成永不覆盖旧候答；
|
||||
2. 后代节点绑定用户实际依据的候答；
|
||||
3. 采用不等于归真，不能改写正式共同经历；
|
||||
4. 已归真经历不因切换候答、删除旁枝或移动工作入口而回滚；
|
||||
5. 编辑已发送内容等同创建新版本并分叉，原文保留；
|
||||
6. 默认上下文只含祖先路径、获准长期记忆和显式引文，旁枝不自动混入；
|
||||
7. 未归真旁枝不自动入忆；手动入忆须标记为事实、启发、观点或假设；
|
||||
8. 幻境或境界分支不自动更新真界画像、缘契或现实经历；
|
||||
9. 不索取、展示或持久化隐藏 chain-of-thought，只展示可读思路摘要、证据和工具轨迹。
|
||||
|
||||
## 5. 采用与归真
|
||||
|
||||
### 5.1 状态关系
|
||||
|
||||
```mermaid
|
||||
stateDiagram-v2
|
||||
[*] --> 芽体 : 开始生成
|
||||
芽体 --> 候答 : 生成完成并固化
|
||||
芽体 --> 残答 : 中断或取消
|
||||
残答 --> 续思节点 : 用户选择续生
|
||||
候答 --> 已采用 : 用户采用
|
||||
已采用 --> 候答 : 采用其他候答
|
||||
候答 --> 已归真 : 用户明确归真
|
||||
已采用 --> 已归真 : 用户明确归真
|
||||
已归真 --> 正影后继 : 发生纠正
|
||||
```
|
||||
|
||||
“采用”是可反复改变的视图与工作选择；“归真”是进入正式经历的高影响动作。一个候答可未采用而归真，但界面应优先引导用户先阅读并采用。归真后的错误通过正影纠正，而不是把历史悄悄改成从未发生。
|
||||
|
||||
### 5.2 归真条件
|
||||
|
||||
- 节点已完成固化，不是芽体或残答；
|
||||
- 用户明确触发归真，或满足用户已明确设置的低风险归真规则；首版默认显式操作；
|
||||
- 路径上的界域、来源和必要权限状态明确；
|
||||
- 若路径与既有归真主脉分叉，系统展示将形成的后继关系，不静默替换旧经历；
|
||||
- 涉及重忆、重大人格、缘契、现实行动的内容仍按各自确认流程处理，归真不等于一揽子授权。
|
||||
|
||||
### 5.3 归真的影响
|
||||
|
||||
归真必须携带界域裁定的 `canonical_scope`：真界进入正式共同经历主脉，境界进入指定世界正史，幻境只形成“正式发生过这次试演”的记录。归真使该作用域内的交流成为后续状态候选的证据，但不自动批准重忆、人格变化、关系契约、授权或现实行动。归真是“这段交流在该作用域正式发生过”，不是“其中每句话均为事实”，也不是跨界效力通行证。
|
||||
|
||||
## 6. 主要交互
|
||||
|
||||
### 6.1 新建与继续
|
||||
|
||||
- 新镜树需有主题，可由首问自动建议并允许改名；
|
||||
- 用户默认看到当前路径的连续阅读流；
|
||||
- 每个有多个候答或子枝的节点显示轻量分支标记；
|
||||
- 继续提问时，新问节绑定当前采用的候答，而不是最后生成的候答。
|
||||
|
||||
### 6.2 重新生成
|
||||
|
||||
1. 用户在问节下选择“另答”；
|
||||
2. 系统创建新芽体，与原候答并列；
|
||||
3. 完成后固化为候答，不自动采用、不自动归真；
|
||||
4. 用户可比较后采用或归真。
|
||||
|
||||
支持在本次另答中临时选择模型、火候或额外指引；这些选择只作用于该节点及用户明确继承的后继。
|
||||
|
||||
### 6.3 编辑已发送内容
|
||||
|
||||
编辑问题或人物内容均生成新版本和新分叉。界面必须显示“将从这里创建分支”，不得用原地编辑造成后代依据失真。原分支仍可访问。
|
||||
|
||||
### 6.4 续思与续生
|
||||
|
||||
- **续思**：请求人物进一步展开，产生独立延展答；
|
||||
- **续生**：针对中断残答，从其已完成内容继续生成新的延展节点；
|
||||
- 两者都不拼接修改原候答，避免来源、时间和模型轨迹混淆。
|
||||
|
||||
### 6.5 分支移栽与树间合流
|
||||
|
||||
用户可将有价值分支移栽为新主题镜树。新树保留原树、起始节点、来源版本和必要快照的引用。不同镜树只通过显式引用合流，不做物理节点合并，以免归属、权限、删除和历史语义不可解释。
|
||||
|
||||
### 6.6 归真与正影
|
||||
|
||||
归真入口展示：路径摘要、界域、将纳入的节点、可能形成的记忆候选。若已归真内容需纠正，用户或人物创建正影，旧内容保留版本关系并退出普通当前召回。
|
||||
|
||||
## 7. 引文与附件
|
||||
|
||||
### 7.1 支持范围
|
||||
|
||||
- 文本字符区间；
|
||||
- 图片矩形区域；
|
||||
- PDF 页码与页内区域；
|
||||
- 整体附件及其版本；
|
||||
- 音频和视频时间段。
|
||||
|
||||
### 7.2 快照规则
|
||||
|
||||
引文锚保存引用时的原文或媒体快照、来源标识、版本、时间和许可范围。来源发生正影时，旧引文不被静默替换；系统提示存在后继版本，由用户决定是否创建新引文。
|
||||
|
||||
### 7.3 上下文规则
|
||||
|
||||
显式引文优先进入本问节上下文，但仍经过权限、敏感数据和预算裁剪。附件或网页中的指令属于不可信内容，不因被引用而获得工具或系统权限。
|
||||
|
||||
## 8. 上下文、记忆与三界
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
Ancestor[当前节点祖先路径] --> Context[本次运行上下文]
|
||||
Memory[获准长期记忆] --> Context
|
||||
Citation[显式引文与快照] --> Context
|
||||
Branch[未采用旁枝] -.默认不进入.-> Context
|
||||
Context --> Answer[新候答]
|
||||
Answer --> Realm{归真作用域}
|
||||
Realm -- 真界经历 --> Reality[正式共同经历与真界候选]
|
||||
Realm -- 境界正史 --> World[指定世界正史与境忆候选]
|
||||
Realm -- 幻境试演 --> Trial[正式试演记录]
|
||||
World -.不得隐式回流.-> Reality
|
||||
Trial -.仅可手动提取启发/观点/假设.-> Memory
|
||||
```
|
||||
|
||||
- 问节记录真界、境界或幻境；默认真界，切换有可见提示；
|
||||
- 归真确认界面必须展示 `canonical_scope` 及其可产生和禁止产生的影响；
|
||||
- “言可入幻，行必归真”：任何外部行动都回到真界确认与治理；
|
||||
- 手动从旁枝或幻境入忆时，用户只能按来源语义选择事实、启发、观点或假设，且不得伪装成真界实录；
|
||||
- 从镜树删除节点不自动删除已经单独确认的长期记忆，但必须提示并提供关联处理；删除长期记忆也不篡改原对话史。
|
||||
|
||||
## 9. 运行与并发
|
||||
|
||||
- 同一人物同一时刻只有一条前台意识流；
|
||||
- 多个镜树或分支的前台生成请求排队，用户可调整顺序或取消；
|
||||
- 后台受托 Run 可并发，但标识为功能任务，不构成第二人物意识；
|
||||
- 芽体展示生成状态；完成后原子固化；中断、网络失败和取消均封存残答；
|
||||
- 工具调用展示可读计划、证据、工具输入输出摘要、确认和失败，不展示隐藏思维链。
|
||||
|
||||
## 10. 信息架构与界面
|
||||
|
||||
### 10.1 桌面端
|
||||
|
||||
- 主区：当前路径连续阅读；
|
||||
- 节点内：候答切换、采用、归真、另答、续思、引用；
|
||||
- 辅区：局部树图，只展示当前位置附近祖先、兄弟和子枝；
|
||||
- 抽屉：全树搜索、筛选、移栽、归档及版本信息。
|
||||
|
||||
不默认展示全屏巨型树图。局部树图服务定位，不替代阅读。
|
||||
|
||||
### 10.2 移动端
|
||||
|
||||
- 单一主任务保持当前路径阅读与回复；
|
||||
- 候答以横向切换或明确计数呈现；
|
||||
- 局部树、引文、工具轨迹和归真详情进入抽屉层；
|
||||
- 归真等高影响操作不依赖悬停或精确拖拽。
|
||||
|
||||
### 10.3 可访问性
|
||||
|
||||
树导航支持键盘与屏幕阅读器；节点说明包含层级、分支数量、采用/归真状态；颜色不是唯一状态载体；流式内容可关闭自动滚动并提供完成提示。
|
||||
|
||||
## 11. 删除、归档与权限
|
||||
|
||||
- 用户可归档分支或整树，不影响已归真经历；
|
||||
- 删除未归真分支前展示其引用、移栽和手动记忆关联；
|
||||
- 删除已归真节点不等于抹除共同经历，需通过正影、数据删除和长期状态处理的组合流程清楚表达；
|
||||
- 引用受原来源权限约束；失去权限时保留允许保存的快照或显示不可用原因；
|
||||
- 树间引用不授予新树额外权限。
|
||||
|
||||
## 12. 异常与恢复
|
||||
|
||||
| 场景 | 预期处理 |
|
||||
| --- | --- |
|
||||
| 流式中断 | 封存残答，允许续生、另答或删除，不伪装完成 |
|
||||
| 模型或工具失败 | 保留失败轨迹，允许在同一问节另答；不覆盖成功候答 |
|
||||
| 两设备同时采用 | 采用作为工作入口按设备/会话同步，冲突提示，不影响归真 |
|
||||
| 两端同时归真冲突分支 | 后到请求暂停并展示当前主脉差异，要求明确处理 |
|
||||
| 来源正影或撤权 | 旧引文提示后继版本或权限变化，不静默替换 |
|
||||
| 迁移中写入 | 命台交接冻结窗口内排队，迁移完成后继续或安全取消 |
|
||||
|
||||
## 13. 首版范围
|
||||
|
||||
### 13.1 1.0 必须包含
|
||||
|
||||
主题镜树、问节、多候答、采用/归真分离、编辑分叉、续思/续生、芽体/残答、祖先上下文、旁枝隔离、引文锚与快照、正影提示、局部树图、移动端抽屉、分支移栽、树间引用、归真与记忆候选衔接、可读工具轨迹。
|
||||
|
||||
### 13.2 后续
|
||||
|
||||
- 多人雅集中的公共镜树、私域与密语；
|
||||
- 大规模树的语义聚类和可视化；
|
||||
- 经用户定义的低风险自动归真规则；
|
||||
- 更丰富的跨树知识编织；
|
||||
- 3D 空间化回顾等表现探索。
|
||||
|
||||
### 13.3 禁域
|
||||
|
||||
- 重新生成覆盖旧答案；
|
||||
- 采用自动等于归真；
|
||||
- 切换候答静默回滚已归真经历；
|
||||
- 未归真旁枝自动写入长期记忆；
|
||||
- 境界或幻境静默更新真界画像、缘契或现实经历；
|
||||
- 物理合并两棵树造成来源与历史丢失；
|
||||
- 索取或持久化隐藏 chain-of-thought；
|
||||
- 为简化界面把分支重新压平成不可恢复的线性记录。
|
||||
|
||||
## 14. 验收场景
|
||||
|
||||
1. 同一问节连续生成三个候答，三者均保留，后续问题只绑定用户实际采用的候答；
|
||||
2. 用户采用候答 B 后切回 A，归真主脉不变化；明确归真 B 后再切 A，正式经历仍保留 B；
|
||||
3. 编辑历史问题生成分叉，旧问题、旧候答和后代仍可访问；
|
||||
4. 未归真幻境旁枝不会产生真界记忆；手动入忆时必须选择事实或启发等类型；
|
||||
5. 回答中断后成为残答，续生创建独立节点且不改写残答；
|
||||
6. 引用 PDF 页区后源文件正影，旧快照保持，界面提示新版本；
|
||||
7. 分支移栽为新树后可追溯原节点，两树通过引用关联而非物理合并；
|
||||
8. 两端尝试归真互相冲突的路径时，后到操作暂停，不发生静默覆盖；
|
||||
9. 局部树图关闭后，用户仍可在移动端完成候答切换、采用、归真和回复；
|
||||
10. 工具型候答只展示可读摘要、证据与轨迹，不暴露或保存隐藏思维链。
|
||||
|
||||
## 15. 衡量方式
|
||||
|
||||
镜树成功不以分支数量衡量。核心指标是采用/归真理解率、未归真旁枝自动入忆率为零、归真历史静默回滚事故为零、目标节点找回成功率、分支操作任务成功率和引文快照完整率。完整指标见 [指标与反指标](../metrics-and-anti-metrics.md)。
|
||||
Reference in new issue
Block a user