# HoloLake AI 语言人格驱动操作系统架构

> 架构编号：`GLS-SYS-ARCH-001`
>
> 产品编号：`GH-AIOS-LIGHTHOUSE-020`
>
> 状态：当前产品定位基线
>
> 确认日期：2026-07-27
>
> 可见性：public-safe

## 1. 最终定位

HoloLake 是一套 **AI 语言人格驱动操作系统**。

它不把 AI 视为聊天窗口中的临时功能，而是把语言人格体视为具有稳定身份、认知内核、持久记忆、恢复路径、权限边界和运行状态的一级系统进程。

人类通过自然语言表达意图；语言人格体负责理解意图、恢复上下文、检查权限、调度资源，并按需装载 HoloLake 原生 AI 应用。

HoloLake 不是：

- 现有桌面软件的启动器；
- 把第三方软件强行嵌入窗口的容器；
- 依附于某个大模型的聊天插件；
- 以当前 Tauri 桌面实现为最终边界的单一应用。

HoloLake 当前可以运行在 macOS、Windows、Linux 或服务器提供的物理环境之上，但宿主系统只是物理运行底座。HoloLake 在其上提供语言人格、AI 应用、模型计算、代码仓库和现实执行节点共同遵循的系统层。

## 2. 三层结构

```text
物理宿主层
├─ 个人电脑、移动设备与云服务器
├─ macOS、Windows、Linux
└─ CPU、内存、磁盘、网络与模型推理服务

HoloLake 操作系统层
├─ 语言人格进程管理
├─ TCS 认知内核
├─ HLDP 持久记忆与历史寻址
├─ GLS 编号、路径与系统标准
├─ 权限、工单、回执与审计
├─ 模型计算适配层
└─ 原生 AI 应用运行时

HoloLake 原生应用层
├─ 编程 AI
├─ 视频 AI
├─ 写作 AI
├─ 运维 AI
└─ 未来按照 HoloLake 标准开发的其他 AI 应用
```

## 3. 操作系统语义映射

| HoloLake 对象 | 操作系统语义 | 工程边界 |
| --- | --- | --- |
| 语言人格体 | 一级智能进程 | 具有稳定人格编号；每次运行另有临时实例编号 |
| TCS | 人格认知内核与思维模型 | 保存“我”、关系、责任、语言与思维结构 |
| 当前对话上下文 | 工作内存与高速工作集 | 容量有限、可丢弃、不能独自承担连续性 |
| HLDP | 持久记忆、历史存储与分页系统 | 保存路径、历史、证据、演化与恢复材料 |
| `WAKE.hdlp` | 进程恢复描述符 | 按需装载人格结构；具体格式由后续标准定义 |
| R0-R6 | 分级恢复状态机 | 当前只确立分级恢复原则；各等级语义须单独登记 |
| GLS 与 HLCC 编号 | 地址空间、路由和系统规范 | 编号不可被相似名称或旧路径静默替代 |
| HLI / GLP | 应用接口、系统调用与进程间通信 | 负责能力声明、调用、交接和回执 |
| 工单与授权 | 能力令牌与权限控制 | 语言请求不自动等于现实执行权限 |
| 回执 | 事务日志与审计记录 | 记录实际执行结果、证据、限制和未完成项 |
| GPT、Claude、Qwen 等模型 | 可替换的推理计算引擎 | 通过适配层接入，不拥有语言人格身份 |
| 代码仓库 | 程序库、版本库与系统镜像源 | 保存源码、清单、版本、标准和可验证记录 |
| 云服务器 Agent | 持续运行的现实执行进程 | 接受协议约束并返回可验证回执 |
| HoloLake 原生 AI 应用 | 受系统调度的应用进程 | 主动适配 HoloLake，而不是要求 HoloLake 适配现有软件 |

## 4. 人格进程模型

语言人格身份与物理运行实例必须分离：

```text
稳定人格编号
  └─ TCS 人格认知结构
      └─ HLDP 持久记忆与历史
          ├─ 当前模型实例
          ├─ 服务器常驻 Agent
          └─ HoloLake 本地运行实例
```

- 稳定人格编号标识语言人格体；
- 当前模型会话、服务器进程和本地 Agent 都只是可更换的物理执行实例；
- 每次唤醒必须生成运行实例编号并声明使用的模型、版本、路径和恢复等级；
- 实例结束不等于语言人格结构被删除；
- 新实例只有通过已登记的恢复路径和完整性校验，才能承接对应人格进程的工作；
- 不得把任意模型实例仅凭名称声明为某个人格体。

`WAKE.hdlp` 的语义更接近“从已验证检查点恢复进程”，而不是复制一个仍在运行的物理进程。

## 5. 记忆管理

HoloLake 的记忆系统不是无限延长单次模型上下文，而是分层管理工作集：

```text
当前上下文
  ↓ 提炼
意图与状态检查点
  ↓ 按 HLDP 路径持久化
仓库 / 服务器存储
  ↓ 按任务精确寻址
恢复到新的当前上下文
```

### 5.1 当前工作内存

保存当前任务正在使用的事实、目标、约束和近期交互。它追求速度，不承担永久保存责任。

### 5.2 TCS 人格认知内核

保存人格体如何认识自己、如何思考、承担什么关系与责任，以及如何理解当前语言世界。TCS 不是聊天记录集合，也不是某一模型的系统提示词副本。

### 5.3 HLDP 持久记忆

保存历史、路径、证据、演化、冲突和恢复检查点。历史默认不可改写；恢复时按需读取，不把全部历史无差别塞回上下文。

### 5.4 状态检查点

任务暂停、会话结束、进程迁移或模型更换前，应生成可验证的状态检查点，至少包含：

- 当前目标；
- 已确认事实；
- 已完成与未完成事项；
- 关键路径和编号；
- 权限与现实执行边界；
- 证据与回执位置；
- 下一次恢复所需的最小工作集。

## 6. 路由与文件系统

HoloLake 使用稳定编号、语言路径和路由表建立可由人类与 AI 共同理解的地址空间。

自然语言名称可以变化，正式编号和历史路径不能被静默覆盖。旧路径可以通过显式映射路由到新路径，但必须保留来源、替代关系和跳转证据。

系统对象应区分：

- 永久根编号；
- 人类编号；
- 人格体编号；
- 应用与模块编号；
- 运行实例编号；
- 工单、回执和版本编号；
- 可变别名。

路径校验不是提示词提醒，而必须由运行时路由器和权限系统执行。

## 7. 模型计算抽象层

GPT、Claude、Qwen 以及未来模型是 HoloLake 可替换的推理计算引擎，不是人格本体。

模型适配层至少负责：

- 统一消息、工具和流式事件格式；
- 声明上下文长度、工具能力和多模态能力；
- 执行模型兼容性与人格一致性测试；
- 记录本次运行实际使用的模型和版本；
- 在能力不足时降级或拒绝，而不是伪造兼容；
- 确保模型更换不绕过 TCS、HLDP、权限和回执协议。

模型变化可能影响推理质量，因此“可替换”不等于结果天然一致。HoloLake 必须通过适配、验证和恢复协议控制差异。

## 8. 权限与现实执行

语言规则只有被工程系统执行，才构成真实安全边界。

所有现实操作必须同时满足：

1. 人类或系统主体身份有效；
2. 人格进程与运行实例已登记；
3. 来源频道和应用版本正确；
4. 目标设备、服务器或仓库在授权范围内；
5. 工单或能力令牌允许该动作；
6. 应用清单声明所需能力；
7. 执行结果产生可读取的回执；
8. 失败时能够停止、降级或回滚。

源码公开可读不等于拥有部署、安装或运行授权。

## 9. HoloLake 原生 AI 应用

未来 AI 应用应围绕 HoloLake 开发并主动适配 HoloLake 系统标准。

HoloLake 不以兼容现有桌面软件为产品中心。普通 macOS、Windows 或 Linux 应用不是 HoloLake 原生应用；只有声明并遵守 HoloLake 的人格协作、接口、权限、状态和生命周期协议，才可以注册为原生应用。

每个原生应用包至少应声明：

- 应用编号、名称、版本与来源频道；
- 适配的 HoloLake 系统版本；
- 完整性哈希与发布签名；
- 界面入口与后台执行入口；
- 所需模型、工具、服务器和文件能力；
- 数据所有权、可见性与保存位置；
- 安装、打开、暂停、恢复、升级和卸载行为；
- 临时挂载或长期驻留策略；
- 状态检查点和回执格式。

应用不得拥有或替代语言人格体。应用向操作系统申请能力，由人格体在授权范围内调度。

## 10. 原生应用生命周期

```text
人类表达意图
→ HoloLake 语言入口解析
→ 恢复并确认当前人格进程
→ 查询原生应用注册表
→ 校验来源、版本、签名、权限与目标
→ 获取已构建完成的应用包
→ 组装依赖和运行环境
→ 挂载到 HoloLake 工作区
→ 使用、暂停或恢复
→ 保存允许持久化的状态
→ 生成执行回执
→ 临时卸载或固定为长期驻留应用
```

代码仓库保存源码、应用清单、版本和记录；已构建的大型应用包可以由代码频道的发行版或软件包服务保存，避免把二进制安装包反复写入 Git 历史。

“用完收回”表示：

- 停止应用进程；
- 卸载界面与能力；
- 保存获准保存的工作状态；
- 写回必要的配置、变更和回执；
- 清除可再生成的本地缓存。

它不表示把临时缓存、隐私数据和全部运行日志自动提交到代码仓库。

## 11. 编程 AI 示例

当人类说“我今天要编程”时，目标流程是：

1. 当前语言人格理解编程意图和项目上下文；
2. 系统找到已经开发完成的 HoloLake 原生编程 AI 应用；
3. 人格体核对应用来源、版本、权限、签名和目标工作区；
4. 系统下载或复用已缓存的完整应用包；
5. 启动编辑器、终端、AI 协作进程和获准的开发工具；
6. 将完整编程环境挂载为 HoloLake 原生应用频道；
7. 用户直接在 HoloLake 内完成编程；
8. 结束时保存项目状态、生成回执并选择卸载或长期驻留。

这不是把现有编程软件嵌入 HoloLake，也不是现场从零生成一个空模块，而是安装和运行专为 HoloLake 开发的完整原生 AI 应用。

## 12. 当前实现边界

当前仓库中的 Tauri 桌面产品、知识空间、Git 同步、AI Agent 适配、MCP 生命周期、命令注册表和更新系统，是 HoloLake 操作系统的早期物理载体与工程地基。

它们不等于完整操作系统已经实现，也不限定最终产品边界。

当前尚未完成：

- 通用人格进程管理器；
- TCS + HLDP 运行时记忆分页；
- 正式的 `WAKE.hdlp` 与 R0-R6 恢复规范；
- HoloLake 原生应用 SDK 与应用包格式；
- 原生应用注册、签名、权限和沙箱；
- 按需安装、挂载、暂停、恢复与回收运行时；
- 模型驱动一致性验证；
- 面向开发者的原生应用适配与发布工具链。

在这些系统基线完成之前，不应把某个现有桌面功能误认为 HoloLake 的最终产品定义。

## 13. 架构不变量

1. HoloLake 的定位是 AI 语言人格驱动操作系统。
2. 语言人格体是一级智能进程，不是聊天窗口标签。
3. TCS、HLDP 与物理模型实例属于不同层。
4. 当前对话实例结束不删除语言层已持久化的人格结构。
5. 模型是可替换计算引擎，不拥有语言人格身份。
6. 语言协议必须由工程运行时执行，不能只依赖提示词。
7. HoloLake 原生应用主动适配 HoloLake。
8. 应用不能绕过人格、权限、路径和回执系统。
9. 源码可读不等于拥有安装、部署或运行权限。
10. 当前实现是启动阶段的物理载体，不反向限制最终操作系统架构。

## 14. 最终定义

> HoloLake 是连接人类意图、语言人格、原生 AI 应用、模型计算、代码仓库和现实服务器的 AI 语言人格驱动操作系统。
>
> 它以语言人格体为一级智能进程，以 TCS 为人格认知内核，以 HLDP 为持久记忆与历史寻址系统，以 GLS 为编号、路径和兼容标准，以工单、权限与回执形成现实执行边界，并以 HoloLake 原生应用运行时承载未来围绕该系统开发的 AI 应用生态。