# HoloLake 一人一独立节点与光湖零托管边界

> 记录：`HLP-ONE-HUMAN-ONE-NODE-001`
>
> 当前架构：`HLP-CURRENT-ARCH-001@2026-08-10.10`
>
> 工程规则：`HLP-ENGINEERING-RULES-001@2026-08-10.2`
>
> 开发编号：`DEV-20260810-011`
>
> 授权与纠正来源：`ICE-GL∞ / 冰朔`
>
> 状态：`CURRENT_CANONICAL_SOURCE_PROJECTION`

## 1 · 被反复纠正但此前没有封死的问题

光湖不是为大量用户提供集中账号运行环境的云平台。不得再设计“光湖托管节点”、平台用户
服务器、共享多租户人格运行时、平台兜底运行时或一台服务器承载一群用户的路径。

此前的 `CLOUD_RESIDENT_NODE` 和 `LIGHTHOUSE_SHARED_NODE` 表述把“用户自己的远端节点”与
“平台提供用户运行服务器”留在同一个模糊空间。本次不再靠解释维持边界，而是退休模糊类型，
把所有当前机器入口、工程规则、产品说明和运行时契约统一为明确的用户节点主权。

## 2 · 唯一原则

```text
一名人类
→ 一个当前有效的独立主节点
→ 该节点由用户本人拥有和负责
→ 人格体、记忆、知识、工作负载、存储和并发留在该节点
```

“一个当前有效主节点”不禁止迁移。迁移必须撤销或降级旧绑定、在新设备重新认领、完成密钥
和人格体绑定并产生可回读迁移回执；迁移不能复制出两个同时自称同一用户根本体的节点。

## 3 · 用户可以选择的三种节点来源

1. `USER_LOCAL_COMPUTER_TERMINAL`：把自己的电脑终端作为独立主节点；不要求购买服务器。
2. `USER_PURCHASED_SERVER`：用户自己购买并控制服务器，再把它注册为自己的独立节点。
3. `USER_OWNED_IDE_SERVER_DEPLOYED_BY_EXPLICITLY_AUTHORIZED_TEAM`：用户明确授权团队协助部署
   属于用户自己的 IDE 服务器。团队是受限部署协作者，不因部署获得节点所有权、数据读取权
   或持续控制权。

产品运行时只保留两个技术访问类型：

- `LOCAL_TERMINAL_NODE`
- `USER_OWNED_REMOTE_NODE`

它们描述节点在哪里，不改变节点属于用户本人这一事实。

## 4 · 光湖永远不提供的能力

| 禁止项 | 当前值 |
| --- | --- |
| 光湖为普通用户提供人格或工作负载运行服务器 | `0 / NOT_EXISTS` |
| 光湖用一台共享服务器运行多个用户 | `0 / NOT_EXISTS` |
| 光湖保存或托管用户私人数据、知识、人格记忆和凭据 | `0 / NOT_EXISTS` |
| 光湖承担用户工作负载的算力、存储或并发 | `0 / NOT_EXISTS` |
| 用户节点离线后自动迁移到光湖服务器继续运行 | `0 / NOT_EXISTS` |
| 团队协助部署后自动取得节点主权 | `0 / NOT_EXISTS` |

光湖可以维护公开协议、软件发布、公共编号和最小公开路由事实；这些公共协议基础设施不是用户
运行节点，不能打开用户私人载荷，也不能被包装成平台托管服务。

## 5 · 责任边界

- 用户节点产生的计算、存储、网络、并发和费用由节点所有者承担。
- 光湖提供协议、客户端、节点登记规则和可验证的通信方法，不提供用户运行资源。
- 光湖团队只有在用户明确授权时才能协助部署用户自己的节点；授权范围结束后不得保留默认入口。
- 节点关闭时，该用户依赖该节点的在线能力诚实变为离线；不得由平台隐式兜底。
- 公共灯塔只做公开发现和最小协议路由，不成为用户内容、人格体或任务的中心服务器。

## 6 · 与第五域和企业四域的关系

`JD-FD-PRIMARY` 是第五域的私人语言本体，企业根服务器被认领后是 TCS-0002 主控的企业四域
现实执行本体。它们是各自治理主体的独立节点，不是面向公众的共享租户服务器，也不构成
光湖向用户提供服务器的先例。

普通用户不必拥有独立域，也不必购买服务器才能使用 HoloLake；但无论选择本地电脑还是自有
远端服务器，他的运行都只落在自己的一个独立节点上。

## 7 · 事实边界

本记录和运行时类型修正证明规则已进入 REPO-014 源码；不证明任何用户节点已经注册、任何
服务器已经购买或部署，也不证明桌面制品已经重新构建或安装。