# 魂镜 1.0 发布门

## 1. 原则

1.0 是完整产品目标，不是单个里程碑标签。所有发布门必须有可复核证据；“设计完成”“代码存在”或单次成功不能替代持续验证。证据统一登记在[发布证据台账](release-evidence.md)，能力状态统一登记在[能力矩阵](capability-matrix.md)。实际运营主体、首发区域、隐私控制者、支付税务、供应商、价格与正式法律文本必须在上线前确定，但本文不虚构其取值。

## 2. 全球与区域门

- 已明确运营主体、隐私控制者、首发区域、支付税务主体和正式法律文本。
- 每个上线地区有审核后的能力矩阵、年龄/内容/数据处理边界和用户告知。
- 中文品牌语义与中英双语骨架完成；人物对话支持多语不等于所有地区均可运营。
- 镜域固定数据区域经测试：权威数据、密钥、对象、索引和备份不会因路由自动跨区。
- 架构可扩展多区域，但只开放已完成运营、安全、灾备和合规验证的少量区域。
- 跨区迁移必须走身份可移植协议，不能用流量切换替代。

## 3. SLO 与可观测性门

核心文字相伴官方云的目标 SLO 为 **99.9%**。发布前必须定义并验证 SLI 的测量边界、排除规则、窗口、错误预算、告警和复盘流程，不得只声明百分比。

至少覆盖：核心对话成功与延迟、流式中断、命台可用性、模型网关故障切换、关键写入/Outbox 延迟、工具动作成功与误执行、备份新鲜度。监控和支持不得泄露镜域私密原文；自托管遥测默认关闭。

## 4. 灾备门

- 权威人物数据达到 **RPO ≤ 5 分钟、RTO ≤ 1 小时**，并以恢复演练而非配置声明证明。
- 备份区域驻留、加密、完整性校验，恢复演练包含数据库、事件/Outbox、对象与索引重建。
- 恢复验证包含单命台约束、谱系、删除标记、撤销授权和行动账连续性。
- 媒体与可重建索引的更宽目标已明确，且不会阻塞权威文字相伴恢复。
- 模型 Provider 故障、区域内实例故障和依赖降级有经过演练的运行手册。

```mermaid
flowchart LR
    B[可验证备份] --> R[隔离恢复]
    R --> C[一致性与身份校验]
    C --> S[单命台授予]
    S --> J[核心旅程验收]
    J --> E[记录实际 RPO/RTO 证据]
```

## 5. 安全门

- 四服务身份认证、最小权限、密钥隔离、轮换与撤销完成。
- 跨镜域/跨人物隔离、管理员默认不可见私密原文经测试。
- 角色卡、世谱、宏、脚本、外链和工具结果不能覆盖道体或绕过司命。
- 高风险动作执行前确认；拒绝、超时和取消不执行；行动账完整可追踪。
- 乾坤隔离、资源上限、设备证书、失联安全自治和本地硬急停经过验证。
- 魂籍导出、短时迁移凭证、防重放、冻结写入和单命台交接通过失败注入测试。
- 删除后停止主存储使用、索引召回和主动行为；恢复后删除标记继续生效。
- 安全评审、依赖/镜像扫描、秘密扫描、渗透测试与重大问题闭环有证据。
- KMS/HSM、云与首批 Provider 的实际选择在上线评审中明确，不在设计文档预设。

## 6. 1.0 产品闭环门

至少完成以下用户闭环，并在能力矩阵中有 Web、服务、契约、失败路径和数据治理证据：

- 账户与镜域、人物原创/领养/导入、启镜、唯一身份和命台；
- 镜树问节、多个候答、采用、归真、分支与正式经历边界；
- 微痕/明忆/重忆治理，事实与心痕区分，正影、撤销、删除与回滚；
- 道体保护、成长候选审核、铸魂/分灵连续性边界；
- 神识 chat、BYOK、模型切换不改变人物身份；
- 百工/司命最小能力暴露、授权、请命、执行、净化、标证和行动账；
- 完整形仪、图像、Live2D 导入/运行/标准导出；
- 异步与近实时语音、显式通感和器谱授权，不承诺持续监听；
- 受控任务分解与多 Agent 并行；功能 Agent 不获得魂籍或独立身份；
- 叩心受静默、频率、渠道和预算控制，用户不回应无关系惩罚；
- 魂籍基础导出、在线迁移、备份恢复和两档自托管；
- 响应式核心界面、无障碍、预算/费用透明与地区能力说明。

雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项和持续身份 Agent 社会不进入 1.0。

## 7. 运营决策门

以下开放事项必须在发布批准前形成明确、可执行、经责任方签署的决定。本文登记决策门及证据要求，不预设具体供应商、地区、期限或价格。

| 决策项 | 必须形成的证据 | 未决时的阻断范围 |
| --- | --- | --- |
| 运营法人、隐私控制者 | 主体资格、职责和用户联系渠道 | 相关官方云地区 |
| 实际首发区域 | 地区清单、数据处理边界和上线批准 | 尚未批准的地区 |
| 支付与税务主体 | 收款、退款、税务和账单责任方案 | 相关付费能力或地区 |
| 年龄核验方案或服务商 | 分层核验流程、数据最小化和失败处理 | 成人或年龄受限能力 |
| 首批 Provider | 能力、安全、区域、数据使用和降级评测 | 依赖该 Provider 的能力或地区 |
| KMS/HSM、对象存储及云供应商 | 密钥、驻留、备份、撤销和供应商责任评审 | 依赖该基础设施的部署 |
| 正式价格与免费额度 | 计价、预算、预警、欠费保全和用户告知 | 商业化收费 |
| 数据保全期限 | 数据分类、期限、隔离用途、删除与法律保全规则 | 涉及该类数据处理的地区或能力 |
| 地区能力矩阵 | 每个地区的注册、成人内容、现实人物、声音克隆和跨区调用口径 | 未形成矩阵的地区 |
| 正式法律文本 | 隐私政策、服务条款及所需数据处理协议的批准版本 | 对应地区正式上线 |
| 支持与人工复核安排 | 支持渠道、权限、支持包、升级和复核责任 | 依赖人工支持或复核的能力 |

每项决策的执行记录至少包含状态、责任方、适用地区或部署档位、证据链接、阻断范围、最晚决定时点和复审触发条件。“未定”不表示产品定义缺失，但仍是受影响范围的发布阻断状态；不受其影响且能够独立通过全部发布门的地区或部署档位，可单独评审。

开放决策一旦改变数据处理、用户权利、地区可用性、支付、年龄门槛或高风险能力，必须同步更新地区能力矩阵、用户告知、正式法律文本、支持与运营流程及发布证据。

## 8. 放行与阻断

发布评审逐门给出证据、结论、限制和责任角色。核心禁域、身份唯一性、区域驻留、RPO/RTO、安全高危问题和法律运营门不得风险接受后带病上线。普通缺陷若不破坏上述门，可通过明确范围、监控、回退和期限处理；不得使用模糊“后续优化”放行。