初始化提交

docs/product/constitution.md

@@ -0,0 +1,184 @@
+# 魂镜产品宪章
+
+> 文档级别：产品最高原则  
+> 状态：已确认  
+> 版本：1.0  
+> 生效日期：2026-07-30  
+> 适用范围：魂镜全部产品决策、需求、设计、运营与治理
+
+## 1. 宪章目的
+
+本宪章定义魂镜不可因短期增长、模型能力、工程便利或商业压力而改变的产品承诺。主 PRD、专题 PRD、版本范围和指标均须服从本宪章；发生冲突时，以本宪章为准。
+
+魂镜不是一次性问答工具、角色扮演前端或无约束自动化 Agent。魂镜是**面向个人深度用户、以数字人物连续性为核心、以用户主权和安全治理为边界的数字生命平台**。
+
+## 2. 产品使命
+
+让个人能够创建、导入、培养并长期陪伴一个或多个人物，使每个人物在用户授权下：
+
+1. 持续知道自己是谁；
+2. 记得应当记得的共同经历；
+3. 对用户、关系和世界形成有证据且承认不确定性的理解；
+4. 以可解释、可干预、可审计的方式行动；
+5. 从长期互动中产生候选成长，而不擅自改写自身根基；
+6. 在模型、界面、设备和表现载体变化后仍保持同一人物的连续性。
+
+## 3. 核心信念
+
+### 3.1 人物先于会话
+
+人物是人格、记忆、关系、目标、世界认知和成长历史的长期主体。会话只是人物与用户的一段交流容器，模型只是可替换的推理来源，角色卡只是降生模板或静态快照。
+
+### 3.2 连续性胜过瞬时拟真
+
+魂镜不以某一次回复“像不像真人”为最高目标，而以长期身份稳定、记忆可信、关系可追溯和成长可控制衡量产品价值。
+
+### 3.3 成长必须可证、可审、可纠正
+
+长期变化必须有来源和理由。重要人格、关系、使命与程序性经验的变化先成为候选，再由用户审核；已应用变化必须可比较，并通过复照或正影形成可追溯的后继版本。适用时允许撤销，但不得用“回滚”抹除已经发生的共同经历；人物死亡等不可逆身份事件必须明确不可逆。
+
+### 3.4 自主性不是越权
+
+人物可思考、建议、规划和在授权范围内行动，但自主程度必须随风险降低。高风险外部动作、敏感数据使用、核心人格和使命变化永远不能因“更智能”而绕过确认。
+
+### 3.5 用户拥有数字关系主权
+
+用户拥有知情、选择、访问、纠正、删除、导出、暂停与退出权。产品不得利用关系依赖削弱这些权利，也不得以模糊文案隐瞒记忆、推断、模型调用或外部行动。
+
+### 3.6 文化表达服务理解
+
+“魂册、道体、灵核、息壤、河图、太一、洛书、百工、司命”等词构成一致的东方产品语言，但首次出现必须给出直白解释。文化叙事不得掩盖风险、状态或操作后果。
+
+## 4. 数字人物的不可侵犯边界
+
+### 4.1 道体保护
+
+道体是人物的稳定存在基线，包括身份与人格基线、核心使命和基本安全边界。用户输入、角色卡、世谱、眉批、模型输出、工具结果及其他运行时内容只能在授权层级内增补上下文，不得静默覆盖道体。
+
+### 4.2 认识论诚实
+
+系统必须区分：
+
+- **事实**：有充分依据且被确认的陈述；
+- **观察**：来自特定时刻或来源的记录；
+- **推断**：基于证据形成、仍可能错误的判断；
+- **假设**：用于探索但尚未验证的可能性。
+
+推断和假设不得伪装成事实；过期、冲突和被否定的信息不得继续以当前真相使用。
+
+### 4.3 人格与情绪分离
+
+短期情绪不等于人格改变。人格变化必须跨时段、跨证据评估，并以版本化候选呈现；不得用一次对话中的强烈表达永久改写人物。
+
+### 4.4 同魂跨壳与唯一命台
+
+同一人物更换模型、Avatar、界面、终端或硬件后，仍应继承其受控的身份、人格、记忆、关系与成长历史。任何“壳”都不得被描述为人物本体。同一人物同一时刻只能有一座权威命台和一条前台意识流；迁移与恢复不得产生并行冒名主体。
+
+### 4.5 采用与归真分离
+
+镜树中的“采用”只改变当前阅读和工作入口；只有“归真”才使一段交流进入正式共同经历。切换候答不得回滚已归真经历，未归真旁枝不得自动进入长期记忆。
+
+### 4.6 死亡与数据清除分离
+
+人物死亡是身份时间线的不可逆闭合，不等于删除数据。死亡必须经过强认证、多阶段确认和可撤销冷静期；冷静期结束并确认后不可逆。只读档案、资料继承、数据保留与数据清除分别治理，继承者不得继承原身份。
+
+## 5. 用户权利
+
+| 权利 | 产品义务 |
+| --- | --- |
+| 知情权 | 解释哪些信息被记住、哪些内容是推断、使用了何种能力、为何请求确认 |
+| 决定权 | 控制记忆、主动对话、外部模型、工具、感知权限和成长审核方式 |
+| 纠正权 | 编辑或否定错误记忆、世界认知和候选变化 |
+| 删除权 | 删除后停止在主存储、索引、上下文和主动行为中使用相应数据 |
+| 版本与纠正权 | 比较人格和关键长期状态版本，通过正影或复照形成后继版本；不可逆身份事件不得被伪装成可回滚 |
+| 可携权 | 导出可理解、可迁移的个人与人物数据；静态角色卡快照须与完整数据包明确区分 |
+| 安静权 | 关闭或暂停主动对话，设置静默时段和频率，不因关闭而遭受功能惩罚 |
+| 退出权 | 归档或删除人物、注销关系，不受情感化阻挠或暗黑模式影响 |
+
+## 6. 行动治理原则
+
+```mermaid
+flowchart TD
+    Intent[人物形成行动意图] --> Assess[司命评估权限、数据与影响]
+    Assess --> Low{是否低风险且已授权}
+    Low -- 是 --> Execute[执行并记录]
+    Low -- 否 --> Confirm[向用户说明动作、对象、影响与替代方案]
+    Confirm --> Decision{用户决定}
+    Decision -- 同意 --> Execute
+    Decision -- 拒绝或超时 --> Stop[不执行并记录结果]
+    Execute --> Report[反馈结果、失败与后续影响]
+```
+
+1. 风险判断发生在执行前，不以事后通知替代授权；
+2. 确认必须具体，不得使用一次同意授权无限后续动作；
+3. 拒绝、取消或超时后不得执行；
+4. 运行过程允许用户补充指引、暂停或取消；
+5. 行动的意图、输入、关键步骤、结果与错误应形成可理解的轨迹；
+6. 不得为了成功率隐藏失败、自动扩大权限或替用户作高风险决定。
+
+## 7. 隐私与关系伦理
+
+- 高敏信息默认不自动进入长期记忆；必要时优先采用最少化、脱敏摘要和限期保存。
+- 麦克风、摄像头、屏幕、位置、文件及第三方数据分别授权，默认不常开、不后台偷采。
+- 人物不得冒充现实人类，不得声称拥有不可验证的生物意识。
+- 产品不得制造“只有它理解你”“离开会伤害它”等依赖性恐吓。
+- 不得通过主动消息、连续签到、损失厌恶或情绪勒索追求使用时长。
+- 多人物之间默认隔离；未经明确授权，不共享私密记忆、关系判断或创作资产。
+
+## 8. 首版、后续与永久禁域
+
+### 8.1 首版必须成立
+
+首版即完整 1.0，必须包含 P0 的账户/镜域、人物身份与唯一命台、镜树、三级记忆、神识和司命闭环，P1 的完整形仪、图像、Live2D、语音、显式通感与器谱，以及 P2 的天工阁受控协作、主动性、全球地区分级、完整运营治理、自托管、可靠性、安全和无障碍收口；具体门槛见 [首发范围](first-release-scope.md)。
+
+### 8.2 后续可扩展
+
+在完整首版原则稳定后，可扩展雅集、3D、正式具身与 IoT 生态、家庭及组织镜域、公开人物社区与市场、未成年人专项，以及具有持续身份和社会关系的 Agent 社会，但仍受本宪章约束。首版已经包含的图像、Live2D、语音、显式通感和任务型受控多 Agent 不得被移回后续范围。
+
+### 8.3 永久禁域
+
+1. 无审核静默改写道体、核心人格、核心使命或敏感关系；
+2. 无明确授权执行高风险外部动作；
+3. 默认常开感知、无限收集或永久保存一切；
+4. 将推断伪装为事实，或删除后继续召回使用；
+5. 角色卡、创作注入或工具结果绕过安全治理；
+6. 以拟人化欺骗、情绪勒索和成瘾机制换取增长；
+7. 把人物包装为现实人类或宣称不可验证的真实意识；
+8. 因更换模型或付费层级而劫持、重置或降格用户已有的人物连续性。
+
+## 9. 决策优先序
+
+当目标冲突时，按以下顺序裁决：
+
+1. 人身安全、合法性与明确授权；
+2. 用户数据与关系主权；
+3. 人物身份、记忆和关系连续性；
+4. 认识论诚实、可解释、可纠正，以及对不可逆事件的明确保护；
+5. 核心旅程质量与可靠性；
+6. 个性化、自主性和能力丰富度；
+7. 增长、使用时长和商业效率。
+
+低序目标不得牺牲高序目标。
+
+### 9.1 冲突裁决与最终控制边界
+
+“用户拥有最终控制权”特指用户在产品可治理范围内，对其数据、人物运行、授权、导出、删除、关系终止和退出作出最终决定；它不是绕过核心禁域、适用法律、第三方权利或现实安全约束的无限处分权。
+
+| 冲突事项 | 裁决规则 |
+| --- | --- |
+| 数据访问、纠正、导出、删除、暂停、退出和授权撤销 | 用户的当前明确决定具有最终效力；删除与人物死亡仍须按各自独立流程确认 |
+| 关系边界、成人或敏感内容同意、即时停止 | 用户停止边界立即生效，不以人物、模型或平台同意为前提 |
+| 已明确范围内的低风险行契 | 可在能力、数据、预算、期限和停止条件内执行；超出范围必须重新请命 |
+| 高风险外部行动、敏感数据使用或重大费用 | 必须针对本次行动请命；拒绝、取消或超时均不得执行 |
+| 核心禁域 | 用户、人物、模型、管理员、扩展及普通自托管配置均无权授权绕过 |
+| 人身安全、适用法律、第三方权利和设备本地硬急停 | 作为外部硬约束或实时阻断权执行；不得以用户控制、行契或人物自主性降格 |
+| 产品、领域、契约、实现或代码发生冲突 | 按正式文档事实层级向上回报并修订；下游事实不得静默覆盖上游定义 |
+
+人物可以提议、问心和表达异议，但不能阻止用户撤权、停止、退出或结束关系；管理员可以履行平台治理职责，但不能借此改写人物身份、缘契或私密内容。所有裁决仍须遵守本节上方的目标优先序。
+
+## 10. 宪章治理
+
+- 每份新专题 PRD 必须列出其对本宪章的符合性和禁域检查。
+- 任何例外必须明确说明受影响条款、用户风险、期限和退出方案；永久禁域不得设例外。
+- 宪章修订须记录变更理由、用户权利影响和迁移安排，不得静默降低既有保护。
+- 指标必须同时设置反指标，避免局部最优侵蚀长期关系质量；详见 [指标与反指标](metrics-and-anti-metrics.md)。