3. 对象模型与形式化

3.1 对象一览#

3.2 事件本体#

〔产品，02-事件要素本体〕事件由「我、外部人、物、环境」两两互动构成，信息与智能体参与其中；「信息 + 对信息的处理 → 决策 → 行动」，互动又产生新信息；事件产生七维产出（情绪、影响力、物、资源积累、认知、知识经验、环境），改变要素状态，驱动未来路径节点。时间不单列为要素，而是贯穿所有要素的约束（窗口、截止、节律、有效期）。

〔本文提议〕可以把这个本体读成一个简化的状态转移系统：设 S_t 为时点 t 所有要素的状态，a_t 为行动，则 S_{t+1} = F(S_t, a_t, ε_t)，其中 F 由系统动力图近似、ε_t 是环境扰动（M13 的「A 族：系统自己在跑」事件）。目标事件是 S 空间里的一个区域 G；路径图是到达 G 的候选轨迹；系统动力图是对 F 的结构假设；信念账本是对 F 各部分的置信度。

3.3 一次循环的形式化#

〔本文提议，形式化产品规则〕记 b(h) ∈ {1 很低, 2 低, 3 中, 4 高, 5 很高} 为信念 h 的置信档位。

1. 选指令：从前沿节点与杠杆中按 D3 排序取候选 a：①推第一推动力或在推杠杆；②检验「置信度低且位于关键链或回路闭合边」的连接；③观察调节回路早期信号。M6 另要求优先选「结果会改变下一步选择」的指令，即信息价值高的指令。
2. 双预测：写 ŷ_world（预期结果）与 ŷ_exec（执行可能五档、预计回报时间、主要阻力）。
3. 行动与观察：人执行，回报原话 r；系统先存 r，再解读出观察 y 与证据等级 e(y)。
4. 惊讶度：s_world = cmp(y, ŷ_world)，s_exec = M8 判定矩阵(ŷ_exec, 执行结果)，取值都是 {符合, 小偏差, 大偏差, 相反}（实验卡为六档，区分有利侧与不利侧）。
5. 更新： - 若 e(y) = AI 推断：Δb = 0（G3）。 - 若 y 落在附着连接的滞后窗口内且未见变化：Δb = 0，记「窗口内未见」。 - 否则 |Δb| ≤ 1；若有两条独立同向证据，|Δb| ≤ 2；同源证据合并为一条（G5）。 - s ∈ {大偏差, 相反} → 触发异常复核（M7）：相关连接降一档并标「待校正」，竞争解释只能作为候选。
6. 派生：更新后的模型按 D1–D6 重新派生单元缺口、节点、指令候选、信念候选、要素缺口和目标距离，输出下一条指令或「暂不需要行动」。

这个循环和贝叶斯更新同构：先验 b、似然由证据等级与惊讶度近似、后验 b′。不同之处在于，它用有序档位 + 移动上限 + 证据等级门槛代替连续概率与似然比。这是一种刻意的「粗粒度贝叶斯」：放弃精度，换来可审计、抗回声、人能读懂（缺口讨论见 10.2）。

3.4 实验卡：一次检验的完整生命周期#

〔产品，M17、行动—反馈系统方案 v0.6〕实验卡是贝叶斯环的「一次运行」，界面上叫 押 → 做 → 看 → 判 → 改：

v0.6 方案还提出两条重要的理论性划分〔产品，决策记录草稿〕：

• 三重闭合：结论分三个维度各回各处：状态写系统动力图的当前值；因果写连接与信念的置信度；价值写目标卡与举措的价值边界，只由本人写。「状态变了」不等于「因果成立」。
• 四种模式：意义澄清 → 决策请求；现实认知 → 提取任务或实验卡；因果验证 → 实验卡；现实推进 → 任务卡自带的效果判据。

另有「只记数的卡」（judge.mode = log）：只汇总数字，不检验信念、不动置信度，用来降低回报成本。

3.5 权限格#

〔本文提议，形式化 AGENTS §3、M7、E1〕把「谁在什么节律能改什么」写成一个二维格：

这张格的理论意义是：学习速度按层递减，权限按层递增。越接近价值与身份的层，变得越慢，也越依赖只有人类模块才具备的能力（价值判断、现实身份、法律责任）。最后一列不表示「人站在格子之外监督」：本人模块和其他模块一样在格子里，只是持有的接口不同；它的改动同样留痕、进合入队列（注册表草案 §3.5）。最后一行〔本文提议〕是 v2.2 新增的：AI 模块的行动范围不是格子里的常量，而是随证据移动的等级（3.8）。第二部分 4.12、4.15、4.18 和 4.19 会说明它对应哪些理论。

3.6 模块分工的默认值：按能力，不按等级#

〔产品，M4、M8、M11〕人类模块与 AI 模块在同一个循环里分工。先看两类模块怎样被同样对待：

再按信息处理阶段看默认分工（「系统」指驾驭与分析等 AI 模块与代码）：

〔本文提议〕能力差异里，有些会随技术变化（例如 AI 的分析与起草能力），有些不会（意识、在现实中承担后果、法律身份）。前者通过 3.8 的行动授权阶梯逐步扩大 AI 模块在现实中的行动范围，后者解释主人层接口为什么归人。M8 ② 已经写明：能力清单与带宽决定哪些事交给本人、AI 部件或外部合作者。

3.7 多 Agent 结构#

〔产品，Agent/00〕每个产品模块配一个「模块 Agent」：一份驱动说明（Agent.md）+ 一个当班引擎 + 一次触发。Agent 没有记忆，状态都在文件里。统筹 Agent 只做巡检、派发、提醒和登记，不作关键决策（M14）；本人每一句话仍先进记录板，再交给记录卡 Agent 或被点开那张卡的卡片 Agent。一条消息链最多三跳，同一对象 30 分钟内被改 3 次以上就冻结并转人。路由是代码，判断才用模型。

这套结构对组织扩展特别重要：它已经是一个「多主体、单写者、可审计」的协作协议，本人也是协议里的一方（注册表草案：本人与其他模块一样持锁、排队写入）。只是目前的人类模块只有一位「本人」（第三部分把它推广到多个人类模块）。

3.8 行动授权阶梯：AI 模块的现实行动能力怎样扩展#

〔本文提议，形式化 M4 ②、M11 G6、E1 §4 与「模型授权例外」、驾驶席名册、注册表草案「熔断」〕AI 模块在现实中能做到多远，不是一条固定规则，而是一个随证据扩展、可以收回的授权等级。产品里已经有这套机制的大部分零件：

• 〔产品〕按实际能力分级：引擎分 A 直写 / B 工具 / C 对话三级，「看这次会话实际具备的能力，而不是平台名称」；未通过十五条合规用例的引擎「只能做只读查询，或以 C 级方式提供回写包」（E1 §4、合规用例）。
• 〔产品〕明确授予、写明范围、可撤销：主人可以按模型单独授权，授权登记在驾驶席名册，「写清平台、模型、授权时间、范围」；「未来新增模型不自动继承既有授权，授权撤销或暂停时阻止新写入」（E1「模型授权例外」）。名册里的授权本来就带范围，例如「A（限工程）」「只读角色」。
• 〔产品〕起点设定：AI 与外部人的单元卡写「可以先做 / 必须等」；默认可以先做的是读取、分析、起草、内部核对，必须等统筹或本人的是写模型正本、用新授权或新数据来源、对外发送、花钱、以本人名义承诺；单元卡只能收窄，不能放宽（M4 ②）。不代人对外发送或发布（AGENTS）。
• 〔产品〕表现证据：任务单写结果预测与部件执行预测；回报对照预测，部件执行惊讶度写进部件卡「可靠性记录」：任务单回报数、失败数、执行惊讶度、已知问题（M11 4.4、G6；M4）。
• 〔产品，草稿未生效〕按记录降级：本人撤回某引擎的模型层改动，登记到名册「已知问题」；7 天内撤回 2 次，该引擎的模型层改动自动改为提交待决，直到本人恢复（注册表草案「熔断」）。

本文把这些零件接成一个闭环。每个 AI 模块 m 在每个行动域 d 有一条可靠性信念 R(m, d)：「m 在 d 类行动上能按预测完成，且没有不可接受的副作用」。它和其他信念一样记在信念账本里，用五档置信度，按 G1–G7 更新：

• 证据是任务单的结清：外部可查的结果（G1、G2）才算；AI 模块对自己的报告单独不能移动 R（G3）；同源不独立（G5）；大偏差与相反走异常复核。
• 授权等级由两把钥匙共同决定：R 的置信度达到该等级的门槛，并且有权者把授权写进名册（范围、期限、预算、收回条件）。证据够了不会自动升级，授权也不能越过证据。
• 门槛随后果加严：越不可逆、代价越高、越涉及他人，门槛越高。

〔本文提议〕三条规则：①先可逆、后不可逆；先低代价、后高代价：每个新域从 L1 或 L2 开始。②降级比升级快：熔断、大偏差、换模型（不继承授权）、环境变化都会立即降级或暂停，恢复要重新积累证据。③责任随授权一起扩大：等级越高，事前预测越详细、撤回窗口越长、审计越频繁；AI 模块承担操作上的责任（先预测、留痕、结清、修复、接受降级），法律责任目前由授予授权的人或组织承担，所以每一次授予都要具名登记。

同一机制也适用于外部人：M4 给外部人写同样的「可以先做 / 必须等」。本人模块的行动范围则由能力清单与带宽决定（M8 ②），不在这张阶梯上。