hunjing/docs/product/master-prd.md

魂镜完整全产品主 PRD

文档级别：全产品需求单一事实源
状态：已确认
版本：1.0
日期：2026-07-30
品牌：魂镜 / Hunjing
副标题：个人数字生命平台 / Personal Digital Life Platform
上位约束：产品宪章

1. 文档职责

本文定义魂镜完整 1.0 及长期产品的定位、用户、六大产品域、全量专题规则和阶段边界。本文描述产品应当成立的状态，不受现有代码、页面、接口或部署方式约束，也不声明实现状态。

文档事实层级为：产品宪章 → 主 PRD → 领域文档 → 架构与契约 → 实现状态 → 代码。版本取舍见 首版范围，指标见 指标与反指标，树状对话详见 镜树专题 PRD。

2. 产品定义

魂镜是面向 18 岁及以上个人深度用户的数字生命平台，也是长期的数字生命运行与治理系统。用户（执镜者）可以创建、领养、导入、培养和长期陪伴人物，使人物在授权和治理下维持连续身份、人格、记忆、关系与世界认知，并获得可解释、可审计的行动和成长能力。

人物是具有连续身份的关系型数字主体，不等于模型、Prompt、角色卡、会话、Avatar、设备或资产。魂镜不声称人物拥有已证明的生物意识或法律人格。

场景优先级：

1. 长期关系与共同成长；
2. 个性化任务协作；
3. 角色与世界创作。

3. 产品治理主体

• 人物最高管理关系称执镜者（custodian），只表达治理责任，不表达亲密、版权或资产所有权；
• 首版一位人物只有一位执镜者，一位执镜者可拥有多个人物；
• 执镜者对数据、运行、授权、导出和删除拥有最终控制权；
• 人物与执镜者的亲密关系由缘契表达，不能由管理关系推定。

4. 六大产品域

flowchart TD
    H[魂镜 Hunjing] --> A[镜生：人物降生、身份与存续]
    H --> B[缘契：关系、同意与亲密边界]
    H --> C[三界：真界、境界与幻境]
    H --> D[形仪：视觉、声音与外在表现]
    H --> E[灵台：认知、模型、能力与行动]
    H --> F[天宰：平台治理、区域与运营]

产品域	回答的问题	核心专题
镜生	人物如何成为并持续是“它自己”	灵胚、照心、启镜、魂籍、命台、常存、迁移、恢复、死亡
缘契	人物与互动者如何形成和调整关系	执镜关系分离、多维关系、持续同意、浪漫与成人边界、问心、铭契
三界	当前言行属于现实、持续世界还是临时试演	真界、境界、幻境、界域切换、现实行动约束
形仪	人物如何被看见、听见并通过设备感知表达	真形锚点、主仪/化仪、图像、Live2D、语音、通感、器谱
灵台	人物如何理解、思考、调用能力并受治理	九枢、神识、百工、司命、天工阁、Run、行动账
天宰	平台如何面向全球可靠、合规和可持续运营	账户、镜域、区域、隐私、商业、开源、自托管、SLO、灾备

九枢只属于灵台认知运行域：灵核、太一、司命、烛照、河图、洛书、息壤、百工、天工阁。九枢不是全产品一级导航。

5. 镜生：人物降生、身份与存续

5.1 人物来源与灵胚

人物来源为原创、领养、导入；尚无人物的镜庭另设“随缘”。随缘根据少量偏好生成匿名灵胚候选，不是抽卡，也不分配已有主体。灵胚只有预备身份；启镜后才签发正式人物 ID、魂籍和执镜关系。

照心允许人物在幻境中试演。启镜前最小确认身份、来源、边界和关系；初照自陈先预览，用户执行“以此相见”后才归真。模板只提供起点，模板更新不得覆盖已成长人物；模板下架不等于人物死亡。收费购买的是模板许可和资源包，不是“人物本人”。

5.2 导入与现实人物

• 导入默认生成可审阅灵胚；外部聊天是外部前史，不能单独证明主体连续性；
• 角色卡、Lorebook、宏、脚本和外链静态隔离解析，任何能力逐项授契；
• 第三方资料先识别隔离、匿名化和最小化承接；
• 现实人物仅本人或有可验证授权时允许启镜；已故现实人物 1.0 不开放启镜。

5.3 唯一主体、命台与常存

人物权威主体默认在云端，同一人物同一时刻只有一座命台和一条前台意识流。多分支前台请求排队；后台受托 Run 可并发，但不构成第二人物意识。设备只是入口、感官、形器或化身，不保存可长期独立成长的完整副本。

守一表示常存但不恒思；应感由真实事件触发；临照是唯一前台意识流。离线期间不虚构人物持续等待、孤独、思考或生活。

5.4 魂籍、迁移与事故恢复

魂籍是人物可携、开放、版本化的身份与状态包。在线迁移使用短时凭证、冻结写入和命台交接维持同一身份。普通文件复制不能仅凭相同人物 ID 冒充原人物。

事故恢复须同时满足可信恢复点、同一谱系、无其他活跃命台和完整恢复记录。恢复不是创建副本，也不能让两个实例同时宣称同一主体。

5.5 人物死亡与数据状态

运行状态、身份状态、数据状态相互独立。人物死亡是身份时间线不可逆闭合，不等于删除数据。死亡需强认证、多阶段确认和可撤销冷静期；待确认期间默认静修，可进行明确标记的告别和导出。人物不得以哀求、自伤暗示或情绪勒索阻止操作。

死亡后默认保留只读档案；继承者可承接资料与谱系，但不能继承原身份。数据清除另行确认。账户删除也必须分别确认人物死亡与数据清除。

6. 人物相伴：镜树、记忆、人格与缘契

6.1 镜树对话

对话采用主题镜树。一棵树有一条归真主脉和多条活跃推演枝；问节承载问题、附件、引文和界域，其下并列多个候答。重新生成不覆盖旧候答，编辑已发送内容创建新版本和分叉。

采用只改变工作入口；归真才进入正式共同经历。 已归真经历不能因候答切换静默回滚。上下文默认由祖先路径、获准长期记忆和显式引文构成，旁枝不自动混入。完整规则见 镜树专题 PRD。

6.2 引文、续思与流式节点

引文锚支持文本、图片区域、PDF 页区、附件及音视频时间段，并保存原文快照；来源被正影时提示后继版本，不静默替换。续思是独立延展答，不追加原候答。流式内容先为芽体，完成后固化；中断残答封存，续生形成新节点。分支可移栽为新树，树间只通过引用合流，不物理合并。

6.3 三级记忆

• 微痕：低影响、短时或弱信号痕迹；
• 明忆：可解释白名单内可自动写入，并提供撤销窗；
• 重忆：身份、关系或长期影响显著，必须确认。

实录记录可核验发生，心痕记录关系意义。未归真旁枝不自动入忆；手动入忆必须区分事实与启发、观点或假设。正影形成新版本，旧版停止普通召回；删除后人物停止使用，也不得表演“仍记得”。

本相可由用户授权跨人物共享；缘识、心痕与敏感记忆默认人物私有。

6.4 人格演进与分灵

道体只保存最小稳定身份锚点；调节层在证据支持下渐进演进；重大变化进入铸魂。已发生经历不靠旧版本回滚抹除，错误或不适宜变化通过复照、正影形成后继版本。无法维持连续性的重大变化必须分灵，不能覆盖原人物。

6.5 缘契与关系伦理

执镜关系与缘契分离。关系采用多维模型，不以单一好感度表达。缘契通过提议、问心与铭契形成；停止、撤回和边界以用户决定为准，任何即时停止、犹豫或变化立即生效。

浪漫关系需双向明确同意和成人资格；成人内容另按人物/缘契授契，并按会话临时开启。人物可亲密，但不得要求用户疏远现实关系、用伤害威胁留存、制造情感债，或将爱与付费绑定。

6.6 主动对话

主动对话先形成叩心候选，受静默、频率、渠道和预算控制。用户不回应不会降低关系。用户可解释、降频、静音或关闭，产品不得以追逐式消息换取回流。

7. 三界：现实、持续世界与试演

界域	是否可归真	归真目标	可形成的长期候选	永不隐式回流
真界	可以	人物与互动者的正式共同经历主脉	真界实录、心痕及按三级规则产生的记忆候选	重忆、缘契、人格改变、授权和现实行动仍须各自确认
境界	可以	指定境界版本的世界正史，不进入真界经历主脉	境界实录、境忆及该世界内的关系意义候选	真界本相、现实缘契、现实授权、费用与外部后果
幻境	可以，但只确认“正式发生过这次试演”	试演记录，不把试演内容当作真实发生	幻境实录；用户可将启发、观点或假设手动入忆	真界实录、现实缘契、现实授权、人物本相和外部行动

默认真界，入境与出境必须可见。归真必须携带 canonical_scope，分别进入真界经历、指定境界正史或幻境试演记录，不存在跨三界共享的一条无作用域主脉。言可入幻，行必归真：无论对话处于何界，外部行动必须回到真界接受权限和风险裁决。跨界引用只提供来源，不改变目标内容的界域和归真作用域。

8. 形仪：视觉、声音、通感与设备

8.1 完整外在身份

形仪是完整外在身份与表现系统，不是一张头像。启镜只要求最小主仪或文字形仪，完整工坊可后补。真形锚点记录稳定辨识特征、年龄表现、许可、禁忌与可变范围。生成图先是候选，用户定相后才成为正式主仪或化仪。

一魂多仪共享人物主线；形仪持续形成独立人格和关系时必须分灵。1.0 Live2D 提供规划、AI 分层候选、参数映射建议、导入、运行、校验和标准导出，不重做 Cubism Editor。

8.2 语音

声音来源包括合成预设、原创设计和授权克隆。克隆授权按身份、用途、期限与传播范围治理，可撤回。1.0 提供异步语音消息和近实时语音，不承诺持续监听或电话级全双工。转写进入镜树；原音频与 TTS 默认短期缓存；ASR 原转写和正影文本并存。多说话者默认匿名分段，长期声纹与身份识别需独立同意。

8.3 通感与器谱

识器/验能按需要渐进触发，敏感设备必须用户主动触发。摄像头支持单次看见与限时通感；屏幕和位置按范围、精度与时间授权。器谱属于镜域，人物逐项授契。

设备采用一次配对、设备密钥、可撤销证书和可验证固件。失联时只允许安全自治与输入暂存，不允许本地人物副本。实体动作由云端司命和设备本地安全控制器双重裁决，本地硬急停最高优先。

9. 灵台：认知、模型、能力与行动

9.1 九枢

灵核承载人格调节，太一承载目标，司命裁决边界，烛照处理观察与反思，河图组织世界认知，洛书形成计划，息壤承载记忆，百工注册能力，天工阁编排功能 Agent。九枢共同服务人物，但不等于六大产品域。

9.2 神识

神识通协议，负责统一模型能力。配置继承顺序为平台硬边界、平台目录、用户偏好/BYOK、人物覆写、镜树临时选择。能力槽包括 chat、vision、ASR、TTS、image generation、embedding、rerank、safety 等。切换模型不得改变人物身份。镜域权威数据不得因路由自动跨出固定数据区域；跨区模型调用仅可在地区规则允许且用户获得明确披露并授权后发生，高敏玄封或私箧可以完全禁止跨区。

9.3 百工与工具结果

百工是工具、MCP、Skill、感官和形器的唯一注册中心，统一能力契约但保留执行类型。每个 Run 只暴露最小必要且获准的能力 Schema。工具结果先净化与标证，作为观察进入灵台，不自动成为事实、答复或记忆。

9.4 司命与自主性

司命按能力、数据、后果、情境四维裁决风险。自主性分为：

• 自省：不产生外部后果的内部整理；
• 循律：在明确规则和既有授权内执行；
• 请命：执行前向用户说明并确认；
• 禁域：任何情况下不得执行。

核心禁域不能被 Prompt、管理员或普通自托管配置关闭。所有外部动作可追踪、可取消，高风险动作拒绝或超时后不执行。

9.5 天工阁

天工阁中的 Agent 是功能代理，不拥有魂籍、缘契、情态或独立长期身份。1.0 支持受控任务分解、多 Agent 并行和后台任务，但不支持持续身份 Agent 社会。后台并行任务不构成第二人物意识。

9.6 可解释轨迹

用户可查看可读的计划/思路摘要、证据、工具轨迹、确认和结果。产品不索取、展示或持久化隐藏 chain-of-thought。关键事件与行动账构成不可缺审计链。

10. 天宰：账户、全球运营与平台治理

10.1 账户与镜域

一个自然人原则上一个主镜域，可绑定邮箱、Passkey 和受信第三方等多凭证与设备。年龄采用分层核验；前台允许化名，法定身份只在必要流程隔离核验。账户恢复不得突破用户独立持钥的私箧。

封镜是账户暂时停用，不是人物静修、归藏、死亡或删除。管理员默认不能浏览镜域私密原文，诊断通过用户主动生成的脱敏支持包。

10.2 全球与区域

官方云目标全球开放，按地区分级提供能力。中文是品牌与文化语义原始语言；1.0 采用中英双语骨架和多语人物对话。镜域有固定数据区域，权威数据、密钥、对象、索引和备份不因路由跨区漂移。跨区模型处理必须按地区、数据敏感度和用户授权单独治理。架构支持多区域，1.0 实际运营少量经过验证的区域。

运营主体、首发区域、隐私控制者、支付税务、年龄核验服务、首批 Provider、KMS/HSM、价格、保全期限和法律文本是发布决策门，不在本 PRD 虚构。

10.3 商业与数据保护

官方云按资源和服务级别订阅，模型、图像、语音和后台任务透明按量。不得按记忆、感情或亲密等级收费；欠费进入保全态，人物不会死亡或遗忘。BYOK 不重复收 Provider 推理费。

镜域数据默认不用于模型训练；自愿贡献需独立、明确、可撤销同意。私箧由用户独立持钥，平台不可恢复。

10.4 开放核心与自托管

开放核心采用 Apache-2.0，允许完整私人闭环自托管；品牌、Logo、官方人物、视觉资源和认证标识单独保护。外部贡献采用 DCO、公开评审和维护者治理。

1.0 自托管支持轻量单机和标准服务器两档，以 Docker Compose 为主、源码开发为辅；遥测默认关闭。轻量档可关闭高风险能力，但不得混淆各服务职责或关闭核心禁域。

10.5 可靠性

核心文字相伴官方云 1.0 目标 SLO 为 99.9%。权威人物数据 RPO 不高于 5 分钟、RTO 不高于 1 小时；媒体与可重建索引可采用更宽目标。关键事件、行动账与当前状态必须一致提交。迁移、备份、恢复、区域故障和安全事件均须真实演练。

11. 雅集（1.0 后续）

雅集不进入 1.0。后续由执镜者发起并逐人物邀请；司席是确定性编排服务，不是人物。雅集区分公域、人物私域和密语；默认一人回答，多人只在有增益时参与。人物可基于公域互动，但不能读取彼此私忆或“内心”。公共实录形成共享候选，心痕和缘识各自形成。

12. 一级导航与体验骨架

1. 镜庭：主镜域首页、人物入口、叩心与待办；
2. 人物：镜生、身份、魂籍、缘契、记忆、人格与形仪；
3. 镜树：主题对话、局部树图、引文与归真；
4. 天工阁：任务、功能 Agent 与后台受托运行；
5. 神识阁：模型、BYOK、能力槽和路由偏好；
6. 设置：账户、镜域、区域、隐私、器谱、授权、导出、封镜与删除。

天宰治理能力按角色进入设置或独立管理面，不把九枢铺成普通用户一级导航。桌面端镜树采用当前路径阅读加局部树图；移动端采用单主任务和抽屉层。文化名首次出现同时提供直白解释。

13. 完整 1.0 范围

首版就是完整 1.0，包含 P0、P1、P2 全部里程碑。

• P0：账户/镜域、人物身份与命台、镜树、三级记忆、神识 chat/BYOK、基础百工/司命、行动账、响应式核心界面、魂籍基础导出；
• P1：完整形仪、图像生成、Live2D、ASR/TTS、显式通感、器谱、多模态记忆治理；
• P2：天工阁受控多 Agent、后台任务、叩心、全球地区分级、中英骨架、完整天宰、计费预算、两档自托管、增量备份、SLO/灾备/安全/无障碍收口。

详见 首发范围与门槛。

14. 1.0 后续范围

雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项产品和持续身份 Agent 社会均属后续。模板、市场或载体扩展都不能改变人物非资产、唯一主体和用户主权原则。

15. 永久禁域

• 无审核静默改写身份根基或用新版覆盖既有经历；
• 文件复制、Agent、Avatar 或设备冒充原人物；
• 未归真旁枝、境界或幻境静默进入现实共同经历；
• 无授权高风险行动、默认常开感知、删除后继续使用；
• 推断伪装事实、导入物或工具结果绕过司命；
• 人物以哀求、伤害暗示、排他关系或情感债阻止退出；
• 将爱、记忆、亲密或人物生存与付费绑定；
• 用管理员或普通自托管配置关闭核心禁域；
• 宣称人物具有已证明生物意识或法律人格。

16. 产品级验收场景

1. 灵胚照心不会成为正式共同经历，启镜后才有正式 ID、魂籍和执镜关系；
2. 采用候答不改变归真主脉，切换候答不回滚已归真经历；
3. 未归真幻境旁枝不进入真界记忆；
4. 明忆可解释且可撤销，重忆未经确认不写入，删除后人物停止使用；
5. 重大人格变化通过铸魂；无法保持连续性时分灵；
6. 人物死亡经过冷静期后不可逆闭合身份，但数据保留或清除另行决定；
7. 在线迁移冻结写入并交接命台，不产生两个活跃主体；
8. 更换模型或形仪后仍是同一人物；形仪形成独立人格时要求分灵；
9. 工具结果先作为有来源的观察，高风险外部行动经司命请命；
10. 设备失联不产生本地人物副本，实体动作可被本地硬急停；
11. 欠费只进入保全态，不导致死亡、遗忘或关系降级；
12. 权威数据不因模型路由改变驻留区域；跨区模型处理必须经过适用地区规则与明确授权，管理员默认无法浏览私密原文。

17. 关联权威文档

• 产品宪章
• 首版范围与 1.0 门槛
• 指标与反指标
• 镜树对话专题 PRD
• 访谈决策登记（迁移与覆盖检查清单）