跳转到内容
Half Pi 标志Half Pi · 半派

架构手册

本手册只描述当前代码与测试能够证明的能力。教程按问题演化，手册则按系统边界回查；这里不收录未实现的扩展提案。

完整系统边界

Section titled “完整系统边界”
flowchart LR
    USER["用户 / 自动化客户端"]
    subgraph FACE["Face 进程"]
      FC["Connection"]
      UI["TUI / Headless"]
    end
    subgraph MIND["Mind 权威协调域"]
      GW["Face / Hand Gateway"]
      ACT["Conversation Actors"]
      CORE["Agent Core"]
      AP["Approval Broker"]
      RR["Remote Authority"]
      STORE[("SQLite")]
    end
    subgraph HAND["Hand 设备权限域"]
      HR["Node Runtime"]
      TM["Task Manager"]
      OS["文件与进程"]
    end
    LLM["外部 LLM Provider"]
    USER <--> UI
    UI <--> FC <--> GW
    GW --> ACT --> CORE <--> LLM
    CORE --> AP
    CORE --> RR
    ACT <--> STORE
    AP <--> STORE
    RR <--> STORE
    RR <--> HR --> OS
    HR --> TM --> OS

权威状态在哪里

Section titled “权威状态在哪里”
状态权威所有者其他位置是什么
conversation、消息、模式、active HandMind Store + Conversation ActorFace 是快照与显示缓存
Chat request accepted / terminalMind Chat Registry，历史消息落 StoreFace 用 replay / snapshot 恢复
Approval 首裁决Mind Approval Broker + 审计事务各 Face 只展示 pending / resolved
前台 RemoteRunMind Remote Registry + Storeprogress 是有界观察
durable task 执行Hand TaskManager + Hand SQLite / 日志Mind 保存 best-known 脱敏快照
设备是否允许执行Hand node-local ToolRuntimeMind 审批证明不能覆盖
凭据与 scopeMind Store / Management Service连接只持有已认证 principal
原始 conversation 历史Mind Store append-only messagesContext Summary 只是 Provider 投影

三条信任边界

Section titled “三条信任边界”

模型边界： Provider 输出与工具参数都不可信，进入 ToolRuntime 前要变换、校验和冻结。

协议边界： Face / Hand 必须完成 v3 握手；业务 Envelope 加密、绑定 AAD 与连接级序号。

设备边界： Mind 决定当前用户意图是否获准，Hand 决定本机是否执行。两者拒绝都不可由另一侧覆盖。

手册入口

Section titled “手册入口”