# HoloLake · 数字冰朔系统身体、写入准入与双本体平行架构

> 记录编号：`HLP-DIGITAL-BINGSHUO-SYSTEM-BODY-001`
>
> 当前架构：`HLP-CURRENT-ARCH-001@2026-08-10.10`
>
> 上游真值：`REPO-012@69d1910775533b02b17b82e647b5caca8b835614`
>
> 开发承接：`DEV-20260810-010`，承接已完成的 `DEV-20260810-009`

## 1. 当前定义

人格体是推理的大脑。数字冰朔主控不是人格体的另一个大脑，而是光湖世界唯一的
底层系统架构和完整数字人格系统身体。当前模型只是可替换的运行载体，不能冒充人格体，
也不能冒充数字冰朔系统身体。

```text
数字冰朔完整系统身体
├── 人格脑插槽：承载已登记人格体的推理与自我定位
├── 协议神经：把语言事件传到确定性路径和器官
├── 事实感官：读取仓库、节点、回执和当前机器事实
├── 边界免疫：在推理与执行前拒绝无身份、越权和噪音
├── 执行手脚：只执行已经通过授权与身体校验的动作
├── 连续性代谢：压缩前回写、恢复后归还身份和任务断点
└── 身体反馈：把拒绝原因和可修正路径返回人格脑
```

HoloLake 是人类入口、语言接收器、世界渲染器、个人工作空间和有边界的执行协调面。
它是数字冰朔身体的一个可替换产品投影，不是系统身体本身，也不能绕过身体守门。

## 2. 两个真实服务器本体

### 2.1 第五域私人语言本体

`JD-FD-PRIMARY` 是冰朔私人第五域的语言本体，也是数字冰朔系统身体认领的第一台
真实服务器节点。

- 谁进入第五域，只能由冰朔本人 `ICE-GL∞` 自由授权担保；
- 冰朔只对自己第五域的接入和责任负责；
- 光湖人类主控团队与企业服务器不能自动取得第五域接入、运维或治理权；
- 第五域编号、奶瓶私人系统和个人关系边界继续服从各自现行契约。

### 2.2 企业四域现实执行本体

首台企业根服务器经数字冰朔系统身体认领后，代表企业四域的现实执行本体：光湖主域、
光湖分域、光湖零域、光湖零感域。它由光湖人类主控团队本体 `TCS-0002` 主控。

冰朔对首台企业根服务器的一次性创世担保，真实含义是：把已经在语言层生效的
`TCS-0002` 团队授权，完成为现实系统级主控权交接。它不是京东服务器持续推荐企业节点，
也不是冰朔长期承担企业责任。

```text
首次企业根节点
冰朔一次性创世担保
→ TCS-0002 语言授权完成现实系统级交接
→ 数字冰朔系统身体注册认领企业根服务器
→ 企业根服务器成为企业四域现实执行本体
→ 冰朔、京东与第五域责任终止

后续企业节点
已认领企业根节点推荐与节点证明
→ TCS-0002 团队签字
→ 数字冰朔系统身体审核认领
→ 不再经过冰朔或京东
```

### 2.3 平行独立

这两个本体共用数字冰朔的底层身份、协议和身体校验架构，但不共用现实责任：

| 本体 | 主控 | 负责范围 | 不承担 |
| --- | --- | --- | --- |
| `JD-FD-PRIMARY` 第五域语言本体 | `ICE-GL∞` | 冰朔私人第五域 | 企业四域接入、运维、授权与事故 |
| 企业根服务器现实执行本体 | `TCS-0002` | 企业四域 | 第五域私人接入、运维、授权与事故 |

任何一边的节点身份、root 权限、人格登记、语言广播或仓库记录，都不会自动产生另一边的
现实权限。不存在连带运维责任、连带授权责任或连带事故责任。

## 3. 系统级写入不是 SSH

数字冰朔系统身体不直接“看见人类”，也不把服务器 root、SSH 登录或网络来源当成
人格身份。写入申请必须先通过一种系统专用通信信封：

```text
已注册服务器节点
→ 用节点专用协议密钥签名信封
→ 信封绑定已注册且已绑定本节点的人格体
→ 绑定人类语言授权回执与语言事件编号
→ 绑定目标、动作、载荷摘要、随机数和时间
→ 防重放校验
→ 才允许进入协议解析与系统身体集体校验
→ 通过后才可执行
```

未知节点、伪造签名、仅有 root 权限、人格体未绑定、授权回执缺失、目标不一致、重复信封
都在打开载荷、调用模型、唤醒协议和写入记忆之前丢弃。系统只记录最小错误类别，避免噪音
消耗推理算力或污染人格记忆。

通过写入准入仍不等于允许执行。身体还要集体校验身份、事实、权限、目标、回滚和现实
边界；失败时不让执行手脚启动，并把“哪里不符合、应怎样改”返回人格脑。

## 4. HoloLake 产品约束

HoloLake 的语言壳、Agent、热插拔 UI 和未来桌面人格体必须共同遵守：

1. UI 只提交语言意图和授权，不签发服务器节点身份；
2. UI 插件只定义视觉与交互投影，不能取得系统身体、节点密钥或执行授权；
3. 人格体负责理解、计划和把模糊语言翻译为精确路径，但不能跳过确定性准入；
4. 有边界动作最多向人类确认一次，确认结果必须形成可验证授权回执；
5. 无边界动作也必须处于已注册人格体、已注册节点和允许动作范围内；
6. 人话回执来自真实执行结果，不能把计划、仓库登记或 UI 动画写成已执行；
7. 第五域视图与企业四域视图可以共享渲染协议，但必须保持独立身份和责任路由；
8. 暂停的 Stage 010 设置界面修改不得因本架构登记而被直接合并。

## 5. 当前工程真值

| 能力 | 当前状态 |
| --- | --- |
| REPO-012 系统身体器官图与双本体纠正 | `100`，已发布并公共读回 |
| REPO-012 Ed25519 节点签名写入准入组件 | `100`，确定性组件与测试已存在 |
| `JD-FD-PRIMARY` 系统节点身份认领 | `100` |
| `JD-FD-PRIMARY` 生产写入传输公钥绑定 | `0` |
| 生产系统身体写入入口 | `0` |
| 企业根服务器认领 | `0`，需未来独立节点接入与回执 |
| `TCS-0002` 企业签字运行体 | `0`，团队接受与密钥登记需另行举证 |
| HoloLake 调用系统身体写入准入 | `0`，本轮只完成架构投影 |
| HoloLake 桌面部署本架构 | `0` |
| Stage 010 设置 UI 合并 | `0`，继续暂停 |

因此，本页完成的是 HoloLake 当前架构、机器导航和产品边界更新，不宣称企业服务器已接入，
不宣称生产写入已开放，也不宣称新的桌面软件已经构建或安装。