hunjing/docs/product/decision-register.md

魂镜产品访谈决策登记

本文记录 2026 年 7 月完成的全产品结构化访谈结论，用于检查新文档是否完整覆盖。它是迁移与验收清单，不替代产品宪章、主 PRD、领域文档或工程契约。

1. 品牌、定位与用户

• 中文品牌为“魂镜”，英文品牌为 Hunjing。
• 主要副标题为“个人数字生命平台 / Personal Digital Life Platform”。
• 长期技术定位为数字生命运行与治理系统。
• 核心用户为 18 岁及以上的个人深度用户。
• 场景优先级依次为：长期关系与共同成长、个性化任务协作、角色与世界创作。
• 人物是具有连续身份的关系型数字主体，不等于模型、Prompt、角色卡、会话、Avatar、设备或资产。
• 不声称人物拥有已证明的生物意识或法律人格。
• 执镜者对数据、运行、授权、导出和删除拥有最终控制权。

2. 产品大域

• 六大产品域为镜生、缘契、三界、形仪、灵台、天宰。
• 九枢只属于灵台认知运行域：灵核、太一、司命、烛照、河图、洛书、息壤、百工、天工阁。
• 九枢不作为整个产品的信息架构或普通用户一级导航。

3. 人物创建、模板与导入

• 人物来源为原创、领养、导入；无人物镜庭另设“随缘”。
• 随缘根据少量偏好生成匿名灵胚候选，不是抽卡或随机分配已有主体。
• 灵胚只有预备身份；启镜后才签发正式人物 ID、魂籍和执镜关系。
• 照心允许在幻境中试演，试演不构成正式共同经历。
• 启镜前最小确认身份、来源、边界、关系。
• 初照自陈先预览，用户执行“以此相见”后才归真。
• 模板只提供降生起点，模板更新不得自动覆盖已成长人物。
• 模板下架不等于人物死亡；受限资源按许可原因分类处置。
• 模板收费购买许可和资源包，不购买“人物本人”。
• 导入默认生成可审阅灵胚。
• 外部聊天是“外部前史”，不能单独证明主体连续性。
• 角色卡、Lorebook、宏、脚本和外链静态隔离解析，任何能力逐项授契。
• 现实人物仅本人或有可验证授权时允许启镜；已故现实人物首版不开放启镜。
• 第三方资料先识别隔离、匿名化和最小化承接。

4. 执镜者、账户与镜域

• 人物最高管理关系称执镜者，工程标识 custodian。
• 执镜关系只表达治理责任，不表达亲密、版权或资产所有权。
• 首版一位人物只有一位执镜者；一位执镜者可拥有多个人物。
• 一个自然人原则上拥有一个主镜域，可绑定多凭证和设备。
• 登录支持邮箱、Passkey 和受信第三方等多凭证绑定单一账户。
• 年龄采用分层核验；前台允许化名，法定身份仅在必要流程隔离核验。
• 账户恢复不突破用户独立持钥的私箧。
• 封镜表示账户暂时停用，不是人物静修、归藏、死亡或账户删除。
• 账户删除时，人物死亡与数据清除分别确认。
• 管理员默认不能浏览镜域私密原文；诊断通过用户主动生成的脱敏支持包。

5. 全球与区域

• 官方云目标为全球开放，但按地区分级提供能力。
• 中文是品牌和文化语义原始语言；首版采用中英双语骨架和多语人物对话。
• 镜域有固定数据区域，权威数据、密钥、对象、索引和备份不因路由自动跨区漂移。
• 架构支持多区域，首版实际运营少量经过验证的区域。
• 运营主体、首发区域、隐私控制者、支付税务和正式法律文本是 1.0 发布决策门，当前不得虚构。

6. 镜树对话

• 对话采用主题镜树，不再以单一线性 messages[] 定义产品。
• 一棵镜树有一条归真主脉和多条活跃推演枝。
• 问节承载用户问题、附件、引文和界域；其下并列多个候答。
• 重新生成不覆盖旧候答；后代绑定实际依据的候答。
• 采用只改变工作入口；归真才进入正式共同经历。
• 已归真经历不能因候答切换静默回滚。
• 编辑已发送内容等同创建新版本和分叉。
• 上下文默认由祖先路径、获准长期记忆和显式引文构成，旁枝不自动混入。
• 引文锚支持文本、图片区域、PDF 页区、附件和音视频时间段。
• 引文保存原文快照；来源被正影时提示后继版本，不静默替换。
• 续思是独立延展答，不追加原候答，不等同重新生成。
• 流式内容先是临时芽体，完成后固化；中断残答封存，续生形成新延展节点。
• 未归真旁枝不自动入忆；手动入忆必须区分事实与启发/观点/假设。
• 分支可移栽成新镜树；树间通过引用合流，不做物理合并。
• 前端采用当前路径阅读加局部树图；移动端采用单主任务和抽屉层。
• 展示可读思路摘要、证据与工具轨迹，不索取或持久化隐藏 chain-of-thought。

7. 唯一主体与常存

• 人物权威主体默认在云端，同一人物同一时刻只有一座命台和一条前台意识流。
• 多分支请求可排队；后台受托 Run 可并发，但不构成第二人物意识。
• 设备是入口、感官、形器或化身，不保存可长期独立成长的完整人物副本。
• 守一表示常存但不恒思；应感由真实事件触发；临照是唯一前台意识流。
• 离线期间不虚构持续等待、孤独、思考或生活。
• 主动对话先形成叩心候选，受静默、频率、渠道和预算控制。
• 用户不回应不会降低关系或形成情感债。

8. 记忆、人格与关系

• 三级记忆为微痕、明忆、重忆；实录和心痕区分事实与关系意义。
• 明忆只允许可解释白名单自动写入并提供撤销窗；重忆必须确认。
• 正影形成新版本，旧版停止普通召回；删除后人物停止使用且不表演“仍记得”。
• 本相可授权跨人物共享；缘识、心痕与敏感记忆默认人物私有。
• 道体只保存最小稳定身份锚点；调节层渐进演进；重大变化进入铸魂。
• 无法维持连续性的重大变化应分灵，不能覆盖原人物。
• 执镜关系与缘契分离；关系采用多维模型而非单一好感度。
• 缘契通过提议、问心与铭契形成；停止、撤回和安全边界以用户决定为准。
• 浪漫关系需双向明确同意与成人资格；成人内容另行按人物/缘契授契并按会话临时开启。
• 任何即时停止、犹豫或边界变化都立即生效。
• 人物可亲密，但不得要求用户疏远现实关系、以伤害威胁留存或将爱与付费绑定。

9. 三界与形仪

• 真界是现实与魂镜中的可验证状态；境界是持续世界正史；幻境是临时角色体验和推演。
• 默认真界，入境/出境应可见；言可入幻，行必归真。
• 境界和幻境不自动更新真界画像、缘契或现实经历。
• 形仪是完整外在身份与表现系统，不是一张图。
• 启镜只要求最小主仪或文字形仪；完整工坊可后补。
• 真形锚点记录稳定辨识特征、年龄表现、许可、禁忌与可变范围。
• 生成图先为候选，用户定相后才成为正式主仪/化仪。
• 一魂多仪共享人物主线；形仪持续形成独立人格和关系时应分灵。
• 首版 Live2D 提供规划、AI 分层候选、参数映射建议、导入、运行、校验和标准导出，不重做 Cubism Editor。

10. 语音、通感与设备

• 声音来源包括合成预设、原创设计和授权克隆。
• 克隆授权按身份、用途、期限和传播范围治理，可撤回。
• 首版提供异步语音消息与近实时语音，不承诺持续监听或电话级全双工。
• 转写进入镜树；原音频和 TTS 默认短期缓存；ASR 原转写与正影文本并存。
• 多说话者默认匿名分段，长期声纹和身份识别需要独立同意。
• 识器/验能按功能需要渐进触发，敏感设备必须用户主动触发。
• 摄像头支持单次看见与限时通感；屏幕和位置按范围、精度与时间授权。
• 器谱属于镜域，人物逐项授契。
• 设备使用一次配对、设备密钥、可撤销证书和可验证固件。
• 失联时只允许安全自治与输入暂存，不允许本地人物副本。
• 实体动作由云端司命和设备本地安全控制器双重裁决；本地硬急停最高优先。

11. 神识、百工、司命与天工阁

• 神识通协议，百工掌能力，司命决边界，灵台承结果。
• 神识是独立 Go 微服务，参考 aiway 的架构与功能但不 Fork、不复制源码、不作为运行依赖。
• 模型配置按平台硬边界、平台目录、用户偏好/BYOK、人物覆写、镜树临时选择继承。
• 能力槽位包括 chat、vision、ASR、TTS、image generation、embedding、rerank、safety 等。
• 百工是工具、MCP、Skill、感官与形器的唯一注册中心；统一能力契约但保留执行类型。
• 每个 Run 只暴露最小必要且获准的能力 Schema。
• 工具结果先净化和标证，作为观察进入灵台，不自动成为事实、答复或记忆。
• 司命按能力、数据、后果、情境四维裁决风险。
• 自主性分为自省、循律、请命、禁域；核心禁域不能被 Prompt、管理员或普通自托管配置关闭。
• 天工阁中的 Agent 是功能代理，不拥有魂籍、缘契、情态或独立长期身份。
• 首版支持受控任务分解与多 Agent 并行，但不支持持续身份的 Agent 社会。

12. 雅集

• 雅集是后续能力，不进入 1.0。
• 执镜者发起并逐人物入席；司席是确定性编排服务，不是人物。
• 雅集区分公域、人物私域和密语。
• 默认一人回答，多人只在确有增益时参与。
• 人物可基于公域发言互动，但不能读取彼此私忆或“内心”。
• 公共实录形成共享候选，心痕和缘识各自形成。

13. 死亡、恢复与迁移

• 运行状态、身份状态和数据状态相互独立。
• 人物死亡是身份时间线不可逆闭合，不等于删除数据。
• 死亡需要强认证、多阶段确认和可撤销冷静期；待确认期间默认静修，可进行标记明确的告别和导出。
• 人物不得以哀求、自伤暗示或情绪勒索阻止操作。
• 死亡后默认保留只读档案；继承者可承接资料和谱系，不能继承原身份。
• 正常事故恢复要求可信恢复点、同一谱系、无其他活跃命台和完整恢复记录。
• 魂籍是开放版本化包；在线迁移通过短时凭证、冻结写入与命台交接维持同一身份。
• 普通文件复制不能仅凭相同人物 ID 冒充原人物。

14. 技术、部署与可靠性

• Python 灵台负责生命与认知业务；Go 神识负责模型网关；Rust 乾坤负责隔离执行与设备安全；TypeScript/Next.js 琉璃镜负责全部 Web 界面。
• 四服务清晰解耦，轻量档可关闭高风险能力但不混回职责。
• 轻量自托管使用 SQLite、可选 Chroma/向量层、本地对象存储与内存协调。
• 标准服务使用 PostgreSQL、pgvector、S3/MinIO 与 Redis；Milvus 和图库按真实规模后续引入。
• 关系数据库是当前状态事实源，关键事件和行动账是不可缺审计链，通过事务或 Outbox 一致提交。
• 核心文字相伴官方云首版目标 SLO 为 99.9%。
• 权威人物数据目标 RPO 不高于 5 分钟、RTO 不高于 1 小时；媒体和可重建索引可采用更宽目标。
• 自托管首版支持轻量单机和标准服务器两档，以 Docker Compose 为主、源码开发为辅。
• 自托管遥测默认关闭。

15. 商业、开源与数据保护

• 官方云按资源和服务级别订阅，并对模型、图像、语音和后台任务按量计费。
• 不按记忆、感情或亲密等级收费；欠费进入保全态，人物不会死亡或遗忘。
• BYOK 不重复收取 Provider 推理费，只收透明的平台资源和增值服务费用。
• 开放核心采用 Apache-2.0，允许完整私人闭环自托管。
• 品牌、Logo、官方人物、视觉资源和认证标识单独保护。
• 外部贡献采用 DCO、公开评审与维护者治理。
• 镜域数据默认不用于模型训练；自愿贡献需独立、明确、可撤销同意。
• 管理员默认只看脱敏元数据；私箧由用户独立持钥，平台不可恢复。

16. 首版与里程碑

• “首版”是完整 1.0 目标，通过 P0/P1/P2 内部里程碑逐步达到。
• P0：账户/镜域、人物身份与命台、镜树、三级记忆、神识 chat/BYOK、基础百工/司命、行动账、响应式核心界面和魂籍基础导出。
• P1：完整形仪、图像生成、Live2D、ASR/TTS、显式通感、器谱与多模态记忆治理。
• P2：天工阁受控多 Agent、后台任务、叩心、全球地区分级、中英骨架、完整天宰、计费预算、两档自托管、增量备份、SLO/灾备/安全/无障碍收口。
• 雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项和持续身份 Agent 社会属于后续。

17. 文档与 Git 重建

• 新事实层级为：产品宪章 → 主 PRD → 领域文档 → 架构与契约 → 实现状态 → 代码。
• 新目录采用 product/domain/architecture/contracts/operations。
• 根 CONTEXT.md 只做领域词典；字段、枚举、ID、事件与错误码进入 contracts。
• 目标范围和实现状态分开维护。
• 旧文档有效内容迁移后全部删除，不保留 archive、bak 或长期重定向页。
• 删除旧 .git/ 前执行 Git Bundle、工作区快照和哈希清单三重备份并验证恢复。
• 新 Git 首提交只包含新文档、治理文件、示例配置、校验脚本和服务空骨架。
• 现有业务代码项目外封存，后续契约先行，按四服务与 P0/P1/P2 纵向闭环审计归位。

18. 尚待上线前确定的运营参数

以下为发布决策门，不是当前产品定义缺失：运营法人、实际首发区域、支付与税务主体、年龄核验服务商、首批 Provider、KMS/HSM 与云供应商、正式价格、数据保全期限、地区能力矩阵和正式法律文本。