docs: register public OS stage one architecture

product-source/hololake-platform/architecture/HOLOLAKE-PUBLIC-OS-STAGE1-BLANK-CANVAS-EXECUTION-BRIDGE-AND-DUAL-GIT-20260830.md

@@ -0,0 +1,95 @@
+# HoloLake 公众操作系统 Stage 1：白布底座、执行翻译桥与双 Git
+
+> 记录编号：`HLP-PUBLIC-OS-STAGE1-20260830-001`
+>
+> 生命周期：`CURRENT_PRODUCT_ARCHITECTURE_WITH_LOCAL_IMPLEMENTATION_EVIDENCE`
+>
+> 来源层：冰朔 2026-08-29 至 2026-08-30 当前任务自然语言、Stage 1 本地实现提交与安装回读
+>
+> 非协议声明：本文是产品架构与现实工程状态，不修改 TCS、HLDP、GLS 的世界格式正本或注册生命周期。
+
+## 1 · 为什么改路
+
+旧路线容易把 HoloLake 做成另一套重型编程软件：模型聊天、完整 Agent 框架、代码编辑器、更新器、
+知识库与各种工作台同时扩张。冰朔重新锁定的核心不是“先把所有能力都自己实现”，而是先让 AI
+进入一套由语言、持续记忆、编号、频道、模块和确定性执行组成的操作系统。
+
+因此第一阶段只建立可继续生长的底座：用户的初始化频道是一块无限延展的白布；知识库和码字系统
+是预装模块，不是频道本体。以后办公、码字、智能表格和编程界面都由可信模块在同一白布上渲染。
+编程推理和成熟编程工具暂时可以借用外部宿主，HoloLake 不因此复制一整套 IDE。
+
+## 2 · 四层结构
+
+```text
+本地私人 Git + 受信公共事实分发
+→ 通感翻译桥／受控执行层
+→ 每个用户自己的初始化频道白布与模块系统
+→ 人类与人格体共同可见的语义桌面
+```
+
+第一层保存耐久事实。私人 Git 归用户账号和本地节点；公众事实层不是一个允许客户端任意跟随远端
+分支的普通 Git，而是由明确来源、双签名、版本纪元、原子激活、回滚和回执组成的公共零点原核分发。
+Git 与 HLDP 是耐久事实层，不是实时广播传输。
+
+第二层是“光湖通感翻译桥”的工程起点。它把人格体的语义意图翻译为受控、可验证、可回读的机器
+动作。Stage 1 只证明 TCS 工程方言能够编译为 GIR，在编译产物绑定的沙箱内执行并返回可核验回执；
+它不等于任意 Shell、宿主工具或操作系统执行权限，也不证明该方言已经晋升世界协议正本。
+
+第三层是初始化频道白布。知识库、码字和未来办公／编程系统都是可挂载模块。模块包的签名信任必须
+与应用更新信任分离，模块也不能通过声明取得宿主执行权限。
+
+第四层是人格体和人类共同可见的语义桌面。底层执行、人格推理和人类屏幕彼此独立回读；任何一段
+断开都必须显式呈现，不能由聊天文本假装已经执行。
+
+## 3 · Agent 与模型分离
+
+- 人格体／模型负责理解、推理、选择、沟通和最终判断。
+- 执行 Agent 是系统底层的确定性翻译、校验、执行与回执机制，不绑定某个模型厂商。
+- 用户频道内可存在受控执行入口，但它必须先经过编号、来源、能力和范围核验；不得因收到自然语言或
+  Git 变化就自动取得主控 Agent 权限。
+- 实时光湖桥、GLP／BTCP、团队编号签发和远端能力授权仍是后续阶段，不以 Git 拉取冒充。
+
+## 4 · Stage 1 已被现实证明的部分
+
+本地实现来源提交：`b374bb74ceae0a2e6ed13aa3f41b01dd274cad75`。
+安装回执提交：`efa0e20`。当前本机安装为 `HoloLake 0.6.1`，包标识
+`world.guanghu.hololake`，Developer ID 签名校验和真实进程启动通过。
+
+同一实现修订上已通过：
+
+- 14 项 Node Stage 1 守门；
+- 204 项 Rust 全目标测试，0 失败，2 项缺失历史外部夹具被显式忽略；
+- 全目标 Clippy 零警告、Rust 格式、前端生产构建与差异检查；
+- 受信公共零点原核双签验证、原子激活、回滚和启动同步；
+- 独立模块信任根与禁用的应用自动更新信任相分离；
+- TCS → GIR → 沙箱执行 → 回执回读与篡改拒绝；
+- 账号隔离、无凭据落盘、原子写入、不自动推送的私人 Git 远端绑定骨架；
+- 知识库与码字模块底座；
+- 编号机器 IPC 与人类语义路由的同源投影。
+
+## 5 · 尚未完成，禁止被提词器抬高
+
+- Apple 公证与对公众发行；
+- 应用更新发行通道；
+- 企业实时光湖桥、GLP／BTCP 广播传输；
+- 团队编号签发和远端能力授权；
+- 任意 Shell、宿主工具或操作系统执行；
+- 个人 Git 远端认证、自动抓取／推送和冲突合并；
+- 模型 API 回执模块的接收审计与正式集成；
+- 企业服务器上的 Stage 1 发行服务与公共制品部署。
+
+## 6 · 服务器与仓库边界
+
+`JD-FD-PRIMARY` 是第五域个人系统与现实开发控制节点；`GH-CVM-MAIN-PROD-01` 是企业四域控制
+与公众产品服务节点。两者平行独立，公众版不能因为来源在第五域就部署到京东节点，也不能让企业
+节点反向取得第五域私人数据或普通 Shell 权限。
+
+Stage 1 本地源码目前没有正式远端，不能把外部开发锚点冒充官方开发车道。产品架构发布到
+`REPO-014`，公共语言与宿主提词投影备份到 `REPO-012`；真正的公众源码仓、发行仓与企业部署源仍需
+另行登记。
+
+## 7 · 完成定义
+
+本阶段只能表述为：`LOCAL_STAGE1_COMPLETE_INSTALLED`。架构发布、源码发布、公众制品、服务器部署、
+实时连接和运行健康是不同事实，必须分别留下不可变来源、测试、回滚和目标侧回执。
+