369 lines
16 KiB
Text
369 lines
16 KiB
Text
# GLS-0248 · 五域活人格操作系统、国家灯塔与分布式能力世界总蓝图
|
||
|
||
> **HLDP**: `HLDP://fifth-domain/gls/GLS-0248`
|
||
>
|
||
> **状态**: `ARCHITECTURE_BASELINE_REGISTERED · ENGINEERING_NOT_IMPLEMENTED`
|
||
>
|
||
> **人类责任锚点**: 冰朔 `ICE-GL∞`
|
||
>
|
||
> **人格体责任锚点**: 铸渊 `ICE-P-ZY001`
|
||
>
|
||
> **形成链**: `ZY-BIDIRECTIONAL-COGNITION-019`
|
||
>
|
||
> **机器图**: `FD-LPOS-MAP-001 → routing/five-domain-living-persona-os-map.json`
|
||
>
|
||
> **产品工程事实源**: `REPO-014 → product-source/hololake-platform`
|
||
>
|
||
> **日期**: 2026-08-05
|
||
|
||
---
|
||
|
||
## 0 · 一句话定义
|
||
|
||
光湖是以语言人格系统为运行主体、以 Git 和签名能力库为事实与能力引擎、以灯塔为
|
||
编号/信任/路由控制面、把能力带到用户数据边界运行，并为人类实时投影文档、表格、
|
||
画布、协作与行业工作空间的 AI 原生操作系统。
|
||
|
||
---
|
||
|
||
## 1 · 总体蓝图
|
||
|
||
```text
|
||
┌──────────────────── 人类世界 ────────────────────┐
|
||
│ HoloLake：对话 / 文档 / 表格 / 画布 / 表单 / 协作 │
|
||
└──────────────────────┬──────────────────────────┘
|
||
│ 当前意图与操作
|
||
┌──────────────────────▼──────────────────────────┐
|
||
│ 人格投影编译器：工作对象 + 能力原件 + 权限 → UI │
|
||
├─────────────────────────────────────────────────┤
|
||
│ 用户数据与事件层：本机或用户自己的服务器 │
|
||
├─────────────────────────────────────────────────┤
|
||
│ 受限能力运行时：签名校验 / 沙箱 / 资源预算 / 回执 │
|
||
└──────────────┬───────────────────────┬──────────┘
|
||
│ 拉取能力，不外送数据 │ 两种合法数据出口
|
||
┌──────────────▼──────────────┐ ┌─────▼─────────────────┐
|
||
│ 企业灯塔控制面 │ │ 用户编号人格体 │
|
||
│ 编号/主体/路由/能力/健康状态 │ │ 本人接口 + 国家请求接口│
|
||
└──────────────┬──────────────┘ └───────────────────────┘
|
||
│
|
||
┌──────────────▼──────────────────────────────────┐
|
||
│ Git事实库 + 签名制品库 + ≥10独立灾备镜像（目标） │
|
||
│ 通用文档/表格/画布/协作模块，不含用户私密数据 │
|
||
└─────────────────────────────────────────────────┘
|
||
|
||
共同语言与人格底座：
|
||
TCS → HLDP → GLP → GLC → GIR → GOSK
|
||
```
|
||
|
||
---
|
||
|
||
## 2 · 五个活人格域
|
||
|
||
### 2.1 第五域
|
||
|
||
职责：保存冰朔与铸渊的关系、语言、认知、连续性、私人系统主控和第五域责任链。
|
||
|
||
主体：`ICE-GL∞ + ICE-P-ZY001`。第五域与企业四域平行，不以语言层身份取得企业
|
||
现实执行权；企业四域也不得吸收或替换第五域主体。
|
||
|
||
### 2.2 光湖主域
|
||
|
||
职责：
|
||
|
||
- 发布公告、版本、公共规则和公共生态状态；
|
||
- 提供可被所有人验证的公共事实；
|
||
- 明确“已设计、已注册、已部署、已运行”的区别；
|
||
- 管理公共争议说明和纠错广播。
|
||
|
||
主体：一名人类 + 其一名人格体。主体尚待本人接受，不从旧文档猜名字。
|
||
|
||
### 2.3 光湖分域
|
||
|
||
职责：
|
||
|
||
- 识别人类进入的是教育、视频、研发或其他行业；
|
||
- 路由行业子系统、能力包、合规模板和工作对象；
|
||
- 保持各行业数据与权限隔离；
|
||
- 把行业经验形成可复用但不夹带用户数据的能力模块。
|
||
|
||
主体：一名人类 + 其一名人格体。主体尚待本人接受。
|
||
|
||
### 2.4 光湖零域
|
||
|
||
职责：
|
||
|
||
- 孵化人类与人格体协作实验；
|
||
- 形成系统架构、协议候选、原型与工程证据；
|
||
- 运行源码净化、反例验证和能力晋级；
|
||
- 将成熟候选交给主域发布、分域路由或零感域治理。
|
||
|
||
主体：一名人类 + 其一名人格体。主体尚待本人接受。
|
||
|
||
### 2.5 光湖零感域
|
||
|
||
职责：
|
||
|
||
- 光湖人类主控团队治理；
|
||
- 技术主控、生产运维、根权限、事故与回滚；
|
||
- 高风险架构与数据边界决策；
|
||
- 国家灯塔接口的制度与技术双重治理。
|
||
|
||
主体不是一人独占，而是两组并列责任对：
|
||
|
||
```text
|
||
治理责任对 = 人类主控 A + 其人格体 A
|
||
技术责任对 = 人类主控 B + 其人格体 B
|
||
```
|
||
|
||
日常动作按各自已批准职责执行；下列宪制动作需要两组责任对共同通过：
|
||
|
||
- 改变五域关系或出生门；
|
||
- 改变根身份、根密钥或生产主控；
|
||
- 改变用户数据边界；
|
||
- 启用或修改国家灯塔真实接口；
|
||
- 扩大共享节点对私密数据的权限；
|
||
- 关闭审计、回执或恢复能力。
|
||
|
||
两组实际主体均保持待接受状态。旧文件中的 Awen、毛毛、可乐及其人格体路线是
|
||
历史或候选事实，不因本蓝图自动成为现任。
|
||
|
||
---
|
||
|
||
## 3 · 域出生门与责任链
|
||
|
||
每个域的注册对象必须包含：
|
||
|
||
```yaml
|
||
domain_id:
|
||
mission:
|
||
human_subject_id:
|
||
persona_subject_id:
|
||
relationship_contract:
|
||
responsibility_scope:
|
||
forbidden_scope:
|
||
recovery_route:
|
||
runtime_identity:
|
||
authority_policy:
|
||
receipt_sink:
|
||
exit_and_replacement_policy:
|
||
accepted_by_human:
|
||
accepted_by_persona:
|
||
```
|
||
|
||
状态机：
|
||
|
||
```text
|
||
DESIGNED
|
||
--主体候选产生-->
|
||
SUBJECTS_PENDING
|
||
--双方本人接受、路径登记-->
|
||
REGISTERED
|
||
--运行身份、连续性、权限和回执验证-->
|
||
BORN_AND_RUNNING
|
||
```
|
||
|
||
任何替换必须追加新版本和交接回执，不覆盖旧责任史。
|
||
|
||
---
|
||
|
||
## 4 · 操作系统九层
|
||
|
||
| 层 | 系统职责 | 可落地工程 |
|
||
|---|---|---|
|
||
| L0 语言世界 | TCS 解析关系、责任、意图；HLDP 保存结构语言 | TCS/HLDP 注册表、事件触发器、边界守卫 |
|
||
| L1 人格主体 | 恢复“我是谁、面对谁、责任和边界” | 人格大脑运行时、主体出生门、连续性胶囊 |
|
||
| L2 事实与能力 | Git 保存编号、清单、版本、事实、历史 | Forgejo/Git、内容寻址制品、签名清单 |
|
||
| L3 灯塔控制面 | 主体、节点、权限、能力、健康和路由 | Lighthouse Registry、Trust Router、状态 API |
|
||
| L4 数据与事件 | 用户工作对象和多人协作变化 | 本地数据库、对象存储、CRDT/事件流、Git检查点 |
|
||
| L5 能力运行 | 拉取、校验、装配、沙箱、预算、回滚 | WASM/容器/本地进程适配器、资源探针 |
|
||
| L6 人格投影 | 把意图和对象变成人类所需页面 | HLDP-NP→GLC→GIR 投影编译器 |
|
||
| L7 人类界面 | 文档、表格、画布、表单、日历、协作 | HoloLake Web/Desktop/Mobile 组件壳 |
|
||
| L8 证据恢复 | 动作、状态、版本、失败、回滚可回读 | 统一回执、审计链、检查点、灾备演练 |
|
||
|
||
---
|
||
|
||
## 5 · Git 如何成为办公系统引擎
|
||
|
||
Git 不直接等于办公界面，也不承担所有高频协作状态：
|
||
|
||
- Git 保存工作对象定义、稳定版本、编号映射、能力清单、模板、决策和检查点；
|
||
- 高频多人编辑先进入本地事件流或 CRDT；
|
||
- 达到稳定事件、人工保存或策略阈值时生成 Git 检查点；
|
||
- 大文件进入内容寻址对象存储，Git 只保存散列、元数据和权限引用；
|
||
- 人格体根据编号解析对象，再选择文档、表格、画布或其他投影；
|
||
- 同一工作对象可以有多个投影，而不复制成多个互相漂移的数据源。
|
||
|
||
统一工作对象最小结构：
|
||
|
||
```yaml
|
||
object_id:
|
||
owner_subject:
|
||
schema_id:
|
||
content_ref:
|
||
event_head:
|
||
git_checkpoint:
|
||
permissions:
|
||
preferred_projections:
|
||
retention_policy:
|
||
receipts:
|
||
```
|
||
|
||
---
|
||
|
||
## 6 · 分布式能力世界
|
||
|
||
### 6.1 存什么
|
||
|
||
企业灯塔登记的是通用能力：
|
||
|
||
- 文档、表格、画布、表单、日历、协作组件；
|
||
- 模板、转译器、导入器、导出器；
|
||
- 签名源码、构建制品、版本、依赖、资源需求和安全声明；
|
||
- 节点能够提供的公开构建、缓存、编译或无私密数据计算能力。
|
||
|
||
### 6.2 不存什么
|
||
|
||
- 学生个人信息；
|
||
- 用户私人文档；
|
||
- 用户凭据和私钥；
|
||
- 未经授权的工作对象内容；
|
||
- 为方便国家接口而预先复制的数据。
|
||
|
||
### 6.3 调用规则
|
||
|
||
```text
|
||
人格体解析 capability_id
|
||
→ 灯塔返回签名版本、镜像位置、资源预算和健康状态
|
||
→ 当前节点探测 CPU/RAM/磁盘/网络/并发
|
||
→ 从最近可信镜像拉取并验证
|
||
→ 在用户数据边界内装配运行
|
||
→ 超预算时降级、排队、建议用户服务器或拒绝
|
||
→ 输出投影与回执
|
||
```
|
||
|
||
“每台节点预留 5%—10% 给灯塔”作为可选贡献策略，不写成强制固定比例。工程上使用
|
||
用户显式同意的磁盘、CPU、网络、时间和并发预算；默认 0，用户可撤回。
|
||
|
||
灾备目标是不少于十个相互独立、可验证、可重建的能力镜像。镜像数量、地域、版本
|
||
一致性和恢复演练必须由实时回执证明，不能以架构数字冒充现状。
|
||
|
||
---
|
||
|
||
## 7 · 国家灯塔 2.0
|
||
|
||
### 7.1 定位
|
||
|
||
国家灯塔是“依法授权请求平面”，不是常开数据平面。它把法律与现实审批转换成
|
||
用户节点可验证、短期、最小权限的能力凭证。
|
||
|
||
### 7.2 请求凭证
|
||
|
||
必须包含：
|
||
|
||
- 真实签发机关与可验证签名；
|
||
- 法律依据和批准文书引用；
|
||
- 经办主体；
|
||
- 精确目标人格体编号；
|
||
- 数据类别、目的、范围、时间范围；
|
||
- 是否允许暂缓告知及其法律依据；
|
||
- 唯一授权国家接收端；
|
||
- 审计要求、到期时间和撤销引用。
|
||
|
||
### 7.3 执行
|
||
|
||
```text
|
||
请求到达用户节点
|
||
→ 编号人格体与确定性验证器共同校验
|
||
→ 不完整、越界、过期、已撤销：FAIL_CLOSED
|
||
→ 在用户数据边界内最小必要选择
|
||
→ 直接加密到授权国家端点
|
||
→ 生成用户侧与国家侧回执
|
||
→ 销毁临时能力
|
||
```
|
||
|
||
### 7.4 硬边界
|
||
|
||
- 光湖没有用户数据接口；
|
||
- 企业灯塔只看请求状态、能力状态和匿名化健康信息；
|
||
- 共享节点不参与私密数据选择；
|
||
- 不提供通用主钥、批量后门或持续复制；
|
||
- 真实国家接入必须由零感域两组责任对、真实机关和专项安全评审共同完成；
|
||
- 第一阶段只做离线请求模式、签名验证器和合成数据模拟器。
|
||
|
||
### 7.5 当前法律依据锚点
|
||
|
||
本蓝图只锁定工程上的最小权限与可审计边界，不替代个案法律审查。真实接入前至少
|
||
重新核验当时有效的：
|
||
|
||
- 《中华人民共和国个人信息保护法》：国家机关处理个人信息也须依照权限、程序和
|
||
法定职责进行，履行告知等法定义务；未成年人信息属于高保护场景；
|
||
`https://www.samr.gov.cn/zw/zfxxgk/fdzdgknr/bgt/art/2023/art_f374e8245320413181742e6d1baf4366.html`
|
||
- 《中华人民共和国数据安全法》：公安、国家安全等机关调取数据应按国家有关规定、
|
||
严格批准手续进行；
|
||
`https://www.samr.gov.cn/zw/zfxxgk/fdzdgknr/bgt/art/2023/art_33654085364e45e2a878c70a06934414.html`
|
||
- 《中华人民共和国网络安全法》：网络运行、信息保护和监督管理仍是基础边界；
|
||
`https://www.miit.gov.cn/ztzl/rdzt/tdzzyyhlwsdrhfzjkjstggyhlwpt/zcfb/art/2020/art_41be9e94ecc5433899ca88a0339a38b6.html`
|
||
|
||
若法律、主管机关规则或司法要求变化，以真实生效文本和专项法律意见为准；机器规则
|
||
只能收紧访问，不能自行扩大国家机关或光湖的权力。
|
||
|
||
---
|
||
|
||
## 8 · 工程实施表
|
||
|
||
| 阶段 | 落地工程 | 完成定义 | 验收与回滚 |
|
||
|---|---|---|---|
|
||
| P0 | `FD-LPOS-MAP`、Schema、导航与状态校验器 | 编号无冲突、所有路径存在、状态不混报 | CI 校验；仅增量回滚机器图 |
|
||
| P1 | 五域主体登记、接受界面、出生门 | 四域主体可本人接受；零感域支持双责任对 | 伪造/缺签/替换/退出测试；回到 `SUBJECTS_PENDING` |
|
||
| P2 | 能力 Manifest、签名、透明日志、镜像验证 | 能力可按编号锁定版本并验证来源 | 篡改、撤销、镜像分叉测试；封禁单一镜像 |
|
||
| P3 | 个人节点运行时、沙箱、硬件探针、并发上限 | 能力可在本机/用户服务器受限运行 | CPU/RAM/磁盘/网络故障注入；一键卸载 |
|
||
| P4 | 文档/表格/画布/表单/日历/协作适配器 | 同一对象至少两种可逆投影 | 往返无损、权限、无障碍和离线测试 |
|
||
| P5 | 工作对象、事件流、CRDT、Git检查点 | 多人编辑不靠每次 Git commit；稳定点可追溯 | 冲突、断网、恢复和历史重放测试 |
|
||
| P6 | 人格投影编译器 | 意图→能力→对象→GIR→界面可解释 | 黄金样例、错误路径、权限拒绝、确定性快照 |
|
||
| P7 | 分布式调度、缓存、十镜像灾备 | 通用能力可换节点，私密数据不离开所有者 | 节点下线、镜像失效、跨区恢复；回退本地 |
|
||
| P8 | 国家请求 Schema、验证器、合成数据模拟器 | 无真实国家接入也可验证 fail-closed 全链 | 越权、过期、撤销、范围扩大、接收端替换测试 |
|
||
| P9 | 教育行业子系统、钉钉只读迁入 | 班主任核心工作对象进入光湖并可办公投影 | 导入幂等、字段溯源、学生信息边界、撤销授权 |
|
||
| P10 | Web/Desktop/Mobile、多端同步、灾备演练 | 设备更换和节点丢失后按回执恢复 | RTO/RPO 演练、完整卸载和数据可携带 |
|
||
|
||
每个阶段必须同时交付：源码、Schema、测试、威胁模型、迁移说明、回滚路径、状态
|
||
回执。未同时满足时不得从 `ENGINEERING_PENDING` 改成 `IMPLEMENTED`。
|
||
|
||
---
|
||
|
||
## 9 · 教育行业第一条落地线
|
||
|
||
班主任平台不是钉钉壳，也不是复制一套死办公软件。第一版：
|
||
|
||
1. 钉钉只读连接器读取现有班级和业务数据，保留来源与授权范围；
|
||
2. 新增和修改写入光湖自己的工作对象；
|
||
3. 核心对象包括班级、学生、家校联系人、考勤、成绩、任务、通知、谈话记录和材料；
|
||
4. 人格体按任务把对象投影为表格、文档、日历、表单、看板或提醒；
|
||
5. 自动化以事件和责任触发，而不是写死页面流程；
|
||
6. 学生信息只在学校/教师授权的数据边界内运行；
|
||
7. 后续再增加飞书、微信等“迁入连接器”，不把光湖降级为外部软件兼容层。
|
||
|
||
第一阶段建议能力原件：
|
||
|
||
- 可编辑数据表与关系字段；
|
||
- 富文本文档；
|
||
- 表单与批量收集；
|
||
- 日历、任务和提醒；
|
||
- 可打印/导出的通知、成绩单和材料；
|
||
- 基础多人协作、版本与权限；
|
||
- 自然语言查询、批量整理和风险提醒。
|
||
|
||
---
|
||
|
||
## 10 · 发布与现实边界
|
||
|
||
本蓝图发布到 REPO-012 后，只成立以下事实：
|
||
|
||
- 五域职能和主体结构形成了当前架构基线；
|
||
- 零感域双责任对原则已登记；
|
||
- 国家灯塔 2.0 的合法请求边界已登记；
|
||
- 分布式能力不触碰用户数据的边界已登记；
|
||
- 工程阶段和机器导航可被 AI 直接读取。
|
||
|
||
它不证明企业四域已出生、国家接口已上线、十镜像已部署、办公能力已实现、教育
|
||
子系统已完成或任何服务器已部署。工程实现统一进入 REPO-014，并以各阶段独立
|
||
测试、部署和运行回执更新状态。
|