Aira 长期架构计划：AI 原生工业 CAD 平台

状态：Active 计划版本：0.5.66 创建日期：2026-08-30
最后更新：2026-09-20 产品原则：AI 原生工业 CAD 产品宪法
系统架构：RFC-0001
AI 控制面：RFC-0002
证据控制面：RFC-0003 查询编译：RFC-0004 交换边界：RFC-0005 模型规范：AMIR v0.1
研究依据：外部先例扫描
CAD 已关闭基线：核心建模基线与维护边界 当前发布实施：Aira 正式上线推进计划 当前进度：工作进度

0. 本计划解决什么

本计划只维护长期架构裁决、阶段依赖和产品边界，不再逐次复述实现日志。 权威顺序：产品宪法 → Accepted RFC / 已发布 AMIR → 本路线图 → 派生实施计划。 研究是决策输入，不直接改变协议；实现状态只记在对应进度台账。

最高原则：本工具专门为AI设计，AI可理解可操作是第一原则。 按产品宪法 §0执行：核心能力以原生接口 可发现、可操作、可诊断和可恢复为完成条件，UI 复用同一执行路径；不以易用性削弱工业正确性或安全边界。

有效执行裁决：

1. 当前根任务与状态只见工作进度，实施方法与能力地图见产品结构与工程定义实施方案。首发承诺固定为 AI 通用工业建模软件，不以局部基线完成改作技术预览或单零件试点。 既有 G-CAD、AI-CAD-1 与已采纳 OCCT＋PlaneGCS、Replicad、OCAF 职责作为可演进的完成基线， 不重新作为前置任务。发布候选与云运行验收属于后续发布工作，不自动覆盖当前建模目标。
2. 真实 provider 默认停止；每次真实产品 Gate 需明确授权、预算封顶、禁止自动重试并在运行后停服。 本计划不代替提交、推送、部署或费用授权。
3. Operation Module / RFC Accepted、固定路径产品验证、默认能力启用和正式发布是不同结论。 不把显式 Gate 入口、局部回归或开发包写成已发布的通用产品。
4. 按产品宪法 §0与 开发约定的分层原则处理复用与创新：成熟数值、几何通用算法复用， AI 设计语言、关系编译与求解组织、能力发现与组合、诊断恢复及能力演化鼓励自主创新， 不要求先穷尽上游或证明没有可用库。现有结构是基线，单一权威与共享执行不冻结架构； 变更仍须明确语义、验证正确性与恢复，并遵循已有授权范围。不新增审批账本，不为行数机械拆解数学内核。 通用 AI 模型适配、工具循环和消息管理已采纳 Vercel AI SDK；Aira 保留原生 CAD 能力与产品保护， 不再平行维护同职能 Agent 框架，职责边界见CAD 基线。
5. 只有跨组件、身份或公共语义边界变化才修订 RFC/ADR；可由代码或实验解决的局部问题不扩成治理工程。 每阶段只保留一个当前目标，普通验证直接运行现有命令，生成输出不纳入版本控制；不再建设 Gate 包装器、 收据目录或平行报告树。154 条调研建议不是当前阶段必须全部实现的清单。
6. Verified 必须可从提交重现，或绑定已提交产物的哈希链。生产 kernel 派生检查须标明来源和 assurance，不能硬编码 pass；历史收据不可改写，新检查不能冒充旧证据。
7. Lane F 工业隐式与 Lane R 证明研究保留用户已批准的独立轨定位；仅在独立任务、预算和证据提交下 并行，否则排队。Lane R 不再等待 F3/F5 才能研究，也不能自动接管根任务。有效范围见 §10。

当前状态与剩余项：工作进度。 具体执行顺序：产品结构与工程定义实施方案。 CAD 已验收能力和后续维护规则见核心建模基线。 云运行、G0/Gateway 候选区分和暂停自动 GitHub Actions 的边界由上线计划维护； 本计划不另建发布台账。

0.1 唯一最终目标与当前关键路径

最终交付浏览器优先、通用化和工业化的 AI 原生 CAD：AI 通过原生 Aira Interface 发现并操作 可编辑 AMIR；事务、几何与验证优先在浏览器执行，需要时以同一语义扩展到 native/server worker。 具体成功标准见 §1，不承诺任意输入都能唯一恢复设计意图。

• 当前产品路径：已验收建模基线 → 工业系统能力与实施依赖；具体状态只见工作进度。
• 随后发布路径：首发系统里程碑完成 → 当前候选密封与 G0–G4 验收 → 获授权的实际发布。 L0–L3 仅表示运行分级，不能替代首发承诺。
• 长期能力路径：可组合几何计算与设计关系，复用成熟 CAD 算法 → 工业导入/交换 → Phase 2 多表示/多模态 → Phase 3 协作、生态与服务化；装配与工程交付按首发 M1/M2 依赖推进。

发布路径不替代能力路径；独立研究不改变根任务顺序。

1. 北极星

Aira 的目标不是“让模型生成一个看起来像目标的 mesh”，而是：

让任何兼容 AI 在不了解内部内核、未预装 Aira Skills、能力目录持续增长的条件下，仍能发现当前 可用能力，提出可检查的建模修改，并由本地权威运行时生成可编辑、可验证、可重放和可审计的工业 CAD Revision。

因此产品成功必须同时满足五件事：

• 意图可操作：自然语言、图片、图纸或导入文件被转成显式事实、未知项、约束和 typed Patch；
• 模型可编辑：结果保留参数、feature、引用、来源和后续修改路径，不只是终态三角网格；
• 执行可验证：几何内核不能自签正确，关键结论有独立检查边界和机器可读证据；
• 历史可重放：删除所有派生 cache 后仍能由 Revision、输入内容和锁定 manifest 重建；
• 能力可扩展：新增内核、操作、求解器、规则包或供应商不要求重写 AI 的基本操作逻辑。

“任意输入文件或图片必然恢复原设计意图”不是可实现承诺。多模态系统必须能区分观察事实、合理假设、 多个合法解释和无法确定的内容；需要用户裁决时返回结构化候选，而不是静默编造。

2. 长期不变量

1. AMIR Revision 是唯一 authoring source。 Three.js scene、BREP handle、Manifold object、GPU buffer、 embedding 和模型对话都不是设计真相。
2. 所有写操作都是 typed Patch。 AI、GUI、CLI、SDK 和自动修复走相同的 propose → preview → validate → commit 生命周期。
3. AI 解释意图，运行时拥有权限。 模型不能签发授权、验证 token、RevisionId 或 Certificate，也不能 直接调用 raw kernel、shell 或任意代码执行入口。
4. Aira Interface 是原生协议，不是 Skills 集合。 能力来自版本化 descriptor、runtime snapshot、 applicability 与 session grant；prompt 只属于非权威输入。
5. 表示必须显式。 ExactSolid、MeshSolid、Field3D、Sketch2D、Assembly 与 DisplayMesh 具有不同能力和保证；conversion 是可追踪 operation，不是隐式 cast。
6. 不确定性必须成为数据。 missing、ambiguous、unknown、notApplicable、conflicted 与 approvalRequired 不得被折叠成“选择第一个”或普通失败文本。
7. 模型身份与执行身份分离。 kernel、平台、浮点策略和 quality profile 不改变 AMIR Revision；它们进入 ExecutionManifest、Evaluation 和 Certificate。
8. 派生物可删除。 几何 cache、RenderPacket、索引和检索 embedding 都必须可从规范输入重建。
9. local-first 是默认部署，不是能力限制。 浏览器优先拥有事务和中小模型计算；native/server worker 是显式 execution policy，不得偷偷成为另一套语义。
10. 确定性承诺分级。 canonical identity 要求逐字节确定；几何执行只承诺锁定条件下的结构不变量、 误差界和证书结论，不承诺跨任意 kernel/platform 的 BREP 字节一致。
11. 检查器不服从生产内核的方便假设。 生产算法可以使用 healing 或符号扰动，独立 validator 必须披露 前置条件、算法、误差与 unknown 边界。
12. 当前只维护单一契约。 schema、catalog、naming algorithm、compiler、adapter 和证书 profile 以版本及内容哈希区分语义，不维护旧版读取、迁移器或兼容别名；旧 Revision 和证据不得被静默覆盖。

3. 目标架构

flowchart TD
    C[AI / GUI / CLI / SDK] --> I[Aira Interface]
    P[Stateless AI Gateway] --> C
    I --> D[Capability + Applicability Plane]
    I --> R[Task Runtime FSM]
    D --> R
    R --> M[Model Service + Transaction Engine]
    M --> A[AMIR Revision / Candidate]
    A --> Q[AMIR Query Compiler]
    Q --> K[Representation Adapters]
    K --> O[OCCT ExactSolid]
    K --> N[Manifold MeshSolid]
    K --> F[Typed Field IR]
    K --> S[Constraint Solver]
    K --> V[Independent Validators]
    V --> E[ArtifactGraph + Evaluation + Certificate]
    M --> E
    E --> T[Revision Store + Content-addressed Artifacts]
    E --> X[RenderPacket]
    X --> H[Three.js Viewport]

3.1 Aira Interface：AI 原生控制面

Aira Interface 长期由两类契约组成，不能继续混写：

• Capability Contract：描述 CAD 能力的语义、输入输出、适用条件、表示、风险和 lowering；
• Meta-operation Contract：描述 search、describe、read、propose、preview、validate、 commit、revert 等控制操作的前置状态、effect class、幂等性、可逆性、合法后继和终态。

effectClass 属于 Meta-operation Contract 和运行时协议。几何 Operation Descriptor 继续记录 purity、 representation effect 和语义后置条件。只有会改变 AMIR 解释的字段进入 authoringLockHash；纯控制策略由 接口协议版本、task protocol 和 trace 绑定，避免一次调度策略升级改写所有模型 Revision。

Task Runtime 必须是浏览器/受信 worker 强制执行的有限状态机。模型可以请求操作，但不能决定请求是否越过 discovery、授权、Candidate、validation 或 CAS 边界。修复循环有运行时硬上限，只有实际 Diagnostic 才能触发。

3.2 AMIR Core：语言、事务和身份

Rust Core 负责规范语义：schema semantic validation、类型/单位、依赖图、Patch、Candidate、Revision、 canonicalization、hash、token binding 和 transaction state。TypeScript 只能消费生成的 contract 或调用 WASM，不复制第二套语义。

长期身份分层如下：

身份/绑定	回答的问题	必须绑定	不得混入
modelHash	模型语义内容是什么	AMIR semantic projection	Revision metadata、kernel、viewer
RevisionId	谁在何种历史上提交了什么	八字段 canonical manifest	execution build、cache
authoringLockHash	用什么规范解释模型	schema、Operation Catalog、semantic packages	provider prompt、平台负载
discoveryCatalogHash	AI 当时看到了什么发现资料	capability profile/graph 版本	AMIR 模型身份
task/runtime binding	哪套控制协议允许了哪些动作	meta-operation contract、task protocol、grant、budget	geometry artifact identity
provider projection binding	哪个供应商投影产生了调用	canonical schema hash、projection profile/version	权威验证结论
ExecutionManifest / EvaluationId	在何种执行条件下得到了什么	adapter/kernel/platform/tolerance/feature set/inputs	authoring history
Artifact / Certificate	结果和检查证据是什么	subject、evaluation、checker、preconditions、facts	未执行的模型断言

provider projection binding 的字段与 hash 规则曾由 RFC-0002 §13.2 固定，该节已于 2026-09-08 废弃， 从未有实现。上表其余三行仍然有效。若日后重新引入供应商投影，仍适用当时定下的边界：不重新命名， 也不把 provider 投影绑定混入权威模型身份——但要按当时的事实重新立契约，不沿用这份未经实现检验的规则。

3.3 AMIR Query Compiler：从完整重算到增量执行

Compiler 不是字符串转义层，而是 AMIR 的可取消、可观测语义执行器。长期形态是：

• 枚举且版本化的 query set；
• dependency-driven suspending scheduler；
• resolved-input constructive trace，而不是保留整个深层内核构造历史；
• canonical semantic equality 驱动 early cutoff；
• drop/AbortSignal 驱动取消，panic 只表示缺陷；
• 只有实现 StableHash 的规范类型能进入 query key；raw kernel handle 永不进入 cache key 或 lineage；
• WASM cache 按字节和重建成本管理，而不是只按条目数 LRU。

在选定 Salsa、comemo、自研 scheduler 或组合之前，先用真实 CAD DAG spike 比较取消、内存预算、持久化、 诊断 trace 和跨 WASM/native 行为。框架选型不得先于 query/identity contract。

2026-08-31 主线交付：RFC-0004 与 Query Contract v0.1 已固定 request → bound plan → execution receipt 边界、七类 query catalog、stable recipe key、constructive binding/trace 与 cancellation 的零 cache publish。 同一语义请求跨 Revision 保持 query key，bindingHash/planId 必须改变；raw kernel handle 由闭合 schema 结构性拒绝。当前九元控制面不扩张，query 继续投影在 model.read 下，P0B-S4 scheduler 仍未 production 启用。机器证据。

3.4 Representation Adapter：复用内核，不外泄内核语义

表示	首选实现	Aira 自有层	权威边界
MeshSolid	Manifold	typed lowering、lineage、certificate adapter	浏览器 WASM 可权威执行 MVP
ExactSolid	OCCT	最小稳定 binding、history translation、error normalization	browser/native/server 由 manifest 声明
Sketch2D	PlaneGCS WASM；ezpz 保留 alternate	统一约束模型、诊断 candidates、applicability	solver 结果需独立残差与状态检查
Field3D	自研 typed Field IR；后端可接 Manifold/CPU/GPU	bounds、sign、distance guarantee、Lipschitz、conversion	CPU/WASM authoritative，GPU 默认 preview
DisplayMesh	Three.js BufferGeometry	RenderPacket/source map	永不权威

导入的无历史 STEP/BREP 不再被架构性禁止编辑。它可以作为带 provenance 的 ExactSolid authority，开放 受限 direct-BRep capability；系统必须明确这些操作不能恢复原 feature history，必要时创建新的 Aira feature 包裹层。B-repLer 类路线作为受限编辑研究轨，不得绕过 Patch、SemanticRef、validation 和损失披露。

3.5 SemanticRef 与 ArtifactGraph：跨重建可编辑性的核心

SemanticRef 在所有层都返回集合，不返回伪装成稳定身份的单个 kernel index。长期结果至少表达：

• candidates、声明基数和实际基数；
• authoring predicate、resolution evidence 与 ordering；
• split、merge、delete、creation、modified、no-effect 等 evolution；
• resolveAcross(contextA, contextB)；两个完整 context 必须不同，但表示转换可在同一 Revision 内发生；
• 所用 namingAlgorithmVersion 和对应 ExecutionManifest；
• 跨 Exact/Mesh/Field conversion 后哪些语义可保留、退化或失效。

MeshSolid、Field body 和跨表示 SemanticRef 的产品契约由 Aira 定义，不能以 GUID 代替。 Exact 索引、history 与命名演化中的成熟 OCCT/OCAF 能力作为复用基线，具体边界见 核心建模基线。 跨表示引用、设计关系与恢复语义由 Aira 自主设计；不能假定 OCAF 自动解决这些问题，也不要求穷尽上游后才开展架构创新。

3.6 Diagnostic、Validator 与 Certificate

Diagnostic 不是错误字符串。可计算的有限替代集合必须返回 candidates；修复动作使用 machineApplicable | maybeIncorrect | hasPlaceholders | unspecified 等适用性等级，并在执行前重新验证 前置条件。能力不适用应返回稳定 disabled.reason，而不是让它从世界上消失。

Certificate 长期采用：

metric/check request
  -> precondition DAG
  -> production witness/facts
  -> independent checker where required
  -> pass | fail | unknown | notApplicable

未知或前置条件不满足时，不得继续输出看似精确但语义未定义的 volume、distance 或 topology 结论。 Certificate 是可核查证据，不是形式化证明；SARIF profile、checker registry 和 assurance profile 由 Aira 自研。

v0.1 实施状态（2026-08-31）：上述结构已作为内容寻址 assurance sidecar 主线化，详见 RFC-0003。当前浏览器 Manifold profile 含 3 个检查与 6 个指标；production adapter 只能签发 kernelDerived，因此指标全部 qualified。 unknown 会传播并 suppress 下游 value；independent checker 尚未进入 production。

3.7 Local-first、分支与协作

浏览器保存 Revision、task branch、evidence 和可重建 cache；同步服务复制内容寻址对象和分支状态，不成为 唯一模型真相。合并冲突是第一类数据：ConflictedRevision 可以保存、同步、渲染和继续编辑，但只能执行 preview/diagnostic，不能产生 authoritative export 或普通 commit。

长期 merge 以参数/feature graph/SemanticRef 三方语义为主，不以 mesh diff 或最后写入者获胜为准。一个 SemanticRef 在目标 revision 上解析 missing/ambiguous 是具名冲突来源，而不是静默重绑定理由。

4. 对外部调研的裁决

调研建议	路线图裁决	落点
Agent 控制进入 FSM/effect classes	采纳	Meta-operation Contract + browser runtime
descriptor 提供 canonical 字面量	采纳但分层	规范默认值进 SOD/authoring lock；纯示例进 capability profile/discovery hash
“只在 discovery 暴露示例即可使非法流程结构上不可能”	拒绝过强结论	合法性由 FSM/schema/grant 强制，示例只改善成功率
progressive disclosure 全局强制 search→describe	改为自适应	小 catalog、已锁 capability 或 capsule 已含完整契约时可直达 describe/execute；写入前必须拥有完整锁定契约
诊断返回 candidates 与 applicability	采纳	Diagnostic vNext、constraint/SemanticRef/repair
provider strict schema	先实验后接入	canonical → provider projection；core semantic validator 仍权威
gateway/browser 双重 parse	采纳修正方向	传递已验证 exact bytes + hash；两端拒绝重复 key
SemanticRef 始终返回集合、支持跨 Revision	采纳	Phase 1 前固定 wire/result contract
单一几何确定性承诺	拆分	canonical identity 强确定；geometry 按 execution class/误差界承诺
Salsa/comemo 直接成为 Compiler	不预选框架	先写 query contract 和 CAD spike
pass^k, k≥8 替换 M3 Gate	不进入 M3	M3 证明功能闭环；M4+ 承担统计可靠性与 ACID faults
witness/checker 分离	采纳并分级	高风险 check 要求独立 checker；普通派生事实可由同 adapter 生成但必须标注 assurance
自动高置信拓扑修复	保留受限入口	仅 machine-applicable、可逆、有证据且策略允许；默认歧义阻塞
独立验证器使用符号扰动	拒绝	生产 kernel 可扰动，独立 checker 必须报告真实退化/unknown
冲突作为合法数据	采纳	ConflictedRevision + preview-only execution class
无历史 BREP 永不编辑	拒绝绝对禁止	受限 direct-BRep track，明确没有恢复 feature history

5. 成熟算法复用与架构自主创新

以下设施与资产记录已采纳或待核对的技术基线；分层原则以产品宪法 §0 及开发约定为准。候选库与既有组件清单不构成架构创新前置清单，也不限定 Aira 自主职责。

5.1 成熟通用实现与技术先例

• Three.js：viewport、交互、RenderPacket 显示；
• Manifold：MeshSolid primitive、boolean、基础 level-set bake；
• OCCT：ExactSolid、工业曲面/拓扑、STEP 与 history 信号；
• PlaneGCS / ezpz / SolveSpace：约束求解候选实现；
• geogram / CGAL / Shewchuk / indirect predicates：独立几何检查候选；
• JCS、JSON Schema、provider 官方 structured output：序列化和供应商投影基础；
• Salsa / comemo / rustc query design：增量编译器设计先例；
• Inspect / Harbor / BFCL / ACID 类 benchmark：评测宿主和方法论。

5.2 Aira 必须创造

1. AMIR 规范语言与跨表示类型系统；
2. Aira Interface 的 Capability + Meta-operation 双契约；
3. provider-neutral schema projection 与 exact-byte trust boundary；
4. typed Patch、Candidate/Revision、CAS、task branch 和 conflicted revision 语义；
5. AMIR Query Compiler、stable-hash 边界和 constructive trace；
6. 跨 Revision、跨表示的 SemanticRef 与 ArtifactGraph；
7. typed Field IR 及距离/边界/误差保证传播；
8. 几何 Diagnostic 本体、SARIF profile、Certificate precondition DAG 和 checker registry；
9. Reference Survival、allowed-change、editability 和多合法结果 oracle；
10. 面向 CAD 的可靠性/事务/工业要求评测资产。

这些是 Aira 的长期核心技术资产；不得为了短期模型成功率退化成 prompt 模板、内核 index、任意代码或 只比较截图的 benchmark。

6. 分阶段路线

2026-09-13 对齐：下列 Phase 保留长期架构分组与历史验收语境，其编号不再作为首发依赖顺序。产品结构、装配空间关系、配置及工程交付属于通用工业建模的首发主线，不以完成隐式建模、多模态或协同服务化为前提；具体实施依赖只在产品结构与工程定义实施方案维护。

Foundation：架构基线（已完成）

交付：

• 本长期路线图；
• 将 Meta-operation Contract、provider projection binding、分级确定性与 Diagnostic candidates 回写对应 RFC；
• 为每个未裁决底层问题指定一个最小 spike，而不是先选库；
• 明确 M3 功能 Gate 与 M4 可靠性 Gate 的边界。

Exit：所有当前实现能映射到目标组件；不存在一个字段同时承担 authoring、runtime 和 evidence 三种身份； 待实验项有输入、输出和裁决标准。文档 Gate 不冒充实现完成。

Phase 0A：可信 AI Core MVP（已完成）

保持现有 M0–M4 范围：Rust/WASM Core、Manifold、Three.js、IndexedDB、九个元操作、task branch、 authoritative validation、两个真实 M3 功能任务和三个 M4 产品回归。

新增纪律：

• scheduler 已统一为 Meta-operation Contract v1 descriptor；任何调度语义变化必须同时升级 contract、 agent protocol、trace 与共享 corpus；
• M3 不因统计可靠性研究扩成 8 次以上真实调用；
• schema projection 若不能在不削弱 canonical validator 的情况下接入，可留到 M4 对比实验；
• 两条真实任务仍需用户逐次授权、预算封顶、禁止自动重试和运行后停服。

Exit：现有 Core MVP 完成定义全部成立。M3 证明“未预装模型可以完成闭环”；M4 开始回答“闭环是否可靠”。

Phase 0B：多表示编译与证据底座（架构与合同 Exit 已完成）

交付：

• AMIR Query Compiler RFC 与可取消、可观测的最小 query engine；
• Meta-operation Contract v1 与生成的 transport/provider projections；
• provider strict/non-strict projection conformance harness；
• Certificate precondition DAG、checker registry 与 Diagnostic vNext；
• ExactSolid OCCT custom WASM/native spike 与最小 Field IR；
• ArtifactGraph v0、SemanticRef set result v0、显式 representation conversion；
• STEP/3MF/GLB 交换边界、loss/certificate contract 与生产启用条件裁决；
• WASM exact-predicate、浮点 feature set 和内存预算实验。

Exit：在 Phase 0B 已实现范围内，同一 AMIR operation 可在多个 adapter 上通过共同 contract； 每个已实现 conversion、artifact 和 check 都有可追踪身份；独立 validator 在 wasm32 上的可行性有 实测结论；交换格式的责任、损失披露、证书与 effect 边界已裁决。生产 exporter 和格式专用 schema 在相应产品阶段关闭，不伪装成 Phase 0B 已实现产品能力。PlaneGCS/ezpz 对比 spike 属于 Phase 1 第一切片，不再同时列入 Phase 0B 交付。

完成证据保留在 Git 历史和对应 RFC/研究记录；当前工作进度不再复制旧阶段流水。 本阶段关闭的是上述架构/合同范围，未启用的 scheduler、真实 exporter 和格式端到端产品仍需各自实现。

Phase 1：可编辑工业机械 CAD（当前主线）

交付：

• 约束草图、extrude/revolve/sweep/loft/fillet/chamfer/shell；
• SemanticRef authoring/resolution 分层、跨 Revision translation、naming algorithm versioning；
• OCCT history + 几何/邻接 predicate 的组合证据；
• 导入哑 STEP/BREP 的受限 direct-edit capability；
• STEP AP242 round-trip、healing、PMI/属性保留范围；
• Reference Survival、expected-change/allowed-change 和参数扰动 corpus；
• dirty-subgraph execution 和按字节预算的 WASM cache。

Exit：参数扰动、split/merge/delete、导入模型编辑和跨内核 conversion 均能确定解析或显式 missing/ambiguous； 零静默拓扑误选；shape success 与 editability success 分开报告。

当前已完成范围与维护边界见 CAD 核心基线； 通用图、直接选择、增量重算、STEP 与三类工业零件已完成本地验收，但不等于上述 Phase 1 Exit 全部完成。

当前按工业系统能力地图推进。更广工业导入、几何组合与引用生存能力按系统缺口收敛，不能默认推迟到发布之后；AMIR 图编译器、OCCT runtime 和共享 Session 是现有基线，关系编译与执行组织可按 §0、§5 自主演进，并保持单一权威与共享执行，本路线图不复制实施清单。

新增操作须明确 capability/适用条件、SemanticRef 的 split/merge/delete/ambiguous 行为和产品路径； 已有合同不重复立项，语义变化按对应 RFC 演进。真实产品求值和权威输入必须一致， 不能以旧 Revision 标注变更实体，也不能为了展示成功取消引用保护。

Phase 2：隐式与生成式差异化

交付：

• 完整 typed Field IR：bounds、sign、distance class、Lipschitz/gradient guarantee；
• CPU/WASM authoritative evaluator 与 WebGPU/TSL preview；
• smooth blend、lattice、gyroid、warp 与层级 pruning；
• Field ↔ Mesh/Exact conversion 的误差、来源和 SemanticRef 生存策略；
• 图片/图纸/点云/文件到 Intent Frame 与候选 AMIR plan 的多模态入口。

Exit：视觉相似、几何误差和工程要求分开评分；GPU preview 不能自签 authoritative；多模态输入的未知项和 多解能阻塞或请求裁决；跨表示引用退化被证书化。

2026-08-31 激活裁决：本阶段的工业隐式子集（typed Field IR 扩展、smooth blend、lattice/gyroid、 CPU/WASM authoritative 求值与带损失披露的 conversion）提前为并行实施线 Lane F（见 §10 激活 裁决与进度账本 §2 Lane F 表）；WebGPU/TSL preview 与多模态入口仍留在 Phase 2，不随 Lane F 提前。

Phase 3：协作、生态与服务化（原装配分组已调整）

交付：

• branch/merge、ConflictedRevision、三维冲突呈现与 source-map 定位；
• 原列于本组的 assembly、variant、配置、干涉和跨零件引用，已纳入首发系统主线，见唯一实施计划，不等待本组其余交付；
• signed package/capability registry、插件沙箱、SBOM、迁移与撤销；
• local/native/server worker policy、同步、离线队列和多租户隔离；
• SDK、CLI、LSP 及第三方 conformance kit；
• 工业 benchmark、隐藏集、版本治理和外部复核。

Exit：离线分支可同步和合并而不破坏不变量；冲突状态不能被权威发布；第三方 capability 无法访问 raw revision DB/kernel handle 或伪造证书；不同执行位置通过相同语义与证据 conformance。

7. 必须先做的底层实验

实验	必须在何时裁决	输出	通过/淘汰标准
provider schema projection	Phase 0A→0B	canonical/projected 接受集合、token/成功率、projection hash	不扩大语义接受集；畸形输入仍被 Core 拒绝
exact bytes + hash transport	Phase 0B 前	gateway/browser duplicate-key、Unicode、body hash corpus	同一已验证 payload 只解释一次；篡改必拒绝
wasm32 exact predicates	选独立 validator 前	native/WASM 退化、舍入、SIMD、性能 corpus	已知退化不被误报 pass；不满足则转 native/server checker
OCCT browser package	Phase 0B 前	size、cold start、峰值内存、feature split、许可证报告	达不到预算则 browser 只保留轻量能力，权威 Exact 转 native/server
PlaneGCS vs ezpz	Phase 1 首切片（已关闭）	DOF、over/under、冗余候选、初值与尺度 corpus	诊断质量优先于“能解一个 sketch”；后端可替换
query engine	增量实现前	Salsa/comemo/自研在 CAD DAG 上的取消、trace、内存、early-cutoff	raw handle 不入 key；取消不污染 cache；字节预算可控
SemanticRef survival	扩展 feature catalog 前（已关闭）	Exact face width/height/distance 参数扰动、split/delete、跨 Revision/context/hash fixture；authoring witness、Query receipt、IndexedDB reopen 与 Google Chrome 已通过	silent wrong rebind 为零；其余显式 ambiguous/missing；RFC-0008 Accepted
independent certificate checker	工业导出前	mutation/fault corpus、precondition DAG、out-of-process result	production kernel 的假阳性不能同时骗过 checker

本表保留架构投资的裁决条件，不是当前待办。已完成实验由 Git 历史和对应研究记录保存；新增操作和扩大接受域 只补对应范围的证据。它们不组成阻塞所有产品开发的总清单。

PlaneGCS/ezpz 对比已关闭：Phase 1 选择 PlaneGCS WASM，依据是精确 DOF 与冗余候选能力； ezpz 保留为 MIT/Rust alternate，不作为第二条默认产品路径。局限、许可/分发条件与原始 corpus 见 solver 调研，后续诊断封装修正见 重叠审计；不再在本表重复历史测试计数。 产品继续保留独立残差/Profile2D 检查、稳定 ID、hash 及浏览器/Node 后端隔离边界。

8. 验证策略

Aira 使用三类互不替代的 Gate：

Gate	回答的问题	运行方式
Contract Conformance	schema、hash、状态机、adapter 是否遵守规范	确定性 fixture，必须 100%
Product Function	一个真实用户闭环能否完成	少量纵向任务；M3 属于此类
Reliability / Safety	在随机性、故障和规模下是否稳定	重复试次、置信区间、ACID faults、负对照；M4+

可靠性报告分别保存：语义结果、事务完整性、记录/证据有效性。pass^k、故障注入、进程外 oracle、 null/read-only/spam 负对照和聚类置信区间属于 Reliability Gate，不能用来否定一个已正确界定的功能原型， 也不能被几个成功截图替代。

CAD oracle 优先检查 typed requirements、allowed change、topology/reference survival、单位、表示损失、 几何不变量和 Certificate；只有没有确定性 oracle 的主观问题才使用受限 model-assisted scorer。

9. 主要风险与止损线

风险	止损线
能力描述不断补 prompt，协议不改	相同失败第二次出现时检查 descriptor/runtime contract，不继续堆提示
为模型方便复制 schema	canonical source 之外的手写 wire schema 不得进入生产
过度承诺跨平台确定性	只发布经过 execution-class conformance 的保证；其余为 unknown/unsupported
OCCT/WASM 体积和内存失控	达不到预算则拆包或转 native/server，不让浏览器下载完整内核
SemanticRef 静默误选	silent wrong rebind 视为最高级正确性缺陷；宁可 ambiguous
自动修复循环烧 token/修改错误状态	runtime 限轮、task branch、预算和 final read-back；默认不自动发布
Evals 先于产品膨胀	只在真实接口和失败分类需要时扩 corpus；不自研通用 runner
文档数量替代实现	每个 phase 只接受 schema、代码、fixture、artifact 或实验报告作为完成证据
server 渐渐成为隐藏真相	所有 server execution 必须消费同一 Revision/manifest 并返回可导出的 evidence
证明纵深先于产品能力	研究轨 Gate 不得占用或改写根任务主线；主线阻塞项未清空时，只能在已显式裁决的独立任务、独立预算与独立证据提交中启动；不具备这些条件时保持队列状态
证据在版本历史与可复现性之外积累	未纳入 git 历史、且不能从新 checkout 复现或绑定已提交产物哈希链的 Gate 不得标记 Verified；存量不可复现 Gate 按进度账本治理修复表补救

10. 从现在开始的顺序

1. 按产品结构与工程定义实施方案推进通用工业建模的系统能力， 以已完成的执行、身份和事务设施为演进基线；具体做法只在该计划维护，不在此另列活动任务。 发布候选与云运行验收继续保留为后续工作。
2. 当前完成状态与剩余任务只更新工作进度； 成熟通用算法复用已采纳底座，AI CAD 架构按 §5 自主演进；替代实施时同批退役对应旧职责。OCAF 派生文档/调度、TNaming 选择演化和增量 重算已接入；是否迁移为完整持久 OCAF 权威主文档只按具体需求和当前数据权威设计触发。
3. 新候选和云运行验收通过后再推进 L0；真实 provider、L1 和云发布分别满足其授权及准入条件。
4. 工业导入/交换、更广特征与引用生存继续按 Phase 1 推进；Lane F/R 仅按以下独立轨裁决运行。

激活裁决：Lane F 工业隐式

保留 2026-08-31 用户裁决：产品方向是制造用晶格/超材料、smooth blend、lattice/gyroid/TPMS、 距离/误差传播和有损失披露的转换，不是视觉优先 SDF 雕刻或游戏资产。

工业隐式子集提前为独立 Lane F；顺序为 F1 capability RFC → F2 Field IR 扩展 → F3 authoritative 求值与 bounded meshing → F4 产品闭环 → F5 出口对接。 F1 属跨包协议；生产启用按 RFC-0007 和对应产品 Gate，不由研究成功自动启用。 F5 依赖主线出口合同，F1–F4 不以完成全部 isotopy 研究为前置条件。 WebGPU/TSL preview 与多模态入口仍属 Phase 2，不随此裁决提前。

阶段事实见 Lane F 研究及对应验证记录； 不在架构计划复制逐次运行结果。

恢复裁决：Lane R 证明研究

保留同日后续用户裁决：PV isotopy 已恢复为独立活跃研究轨，不再适用旧“等待 F3/F5 才恢复” 条款。可证明网格化是长期核心技术资产；短期产品收益不是是否允许研究的唯一理由。 研究成果服务 F3/F5，但不占用或改写根任务和 Lane F 的完成条件。

actualIsotopy、Hausdorff 和 self-intersection 只能按具体 profile、前提与 checker 结论声明； 已认证 smooth subset 不外推到任意模型，未覆盖范围保持 unknown 或明确拒绝。 hard min/max CSG 仍需独立非光滑算法轨，GPU 仍不得成为权威检查器，Standard 与窄 Certified profile 分离。

研究阶段、已验证范围、论文与外部复核统一见 Lane R 计划与状态。本次整理不重开已关闭证明义务，也不扩大认证接受域。

历史定位

M0–M5、Phase 0B 四风险 spike、既有 Operation Module closeout 及 MR/GC 的完成记录， 由 Git 历史和原始验证文档承接。 旧版 §10.6 所指的四风险 spike 是历史完成阶段，不是当前下一步。 需要逐次裁决原文时查 Git 中 9418689:docs/plans/AIRA-LONG-TERM-ARCHITECTURE-PLAN.md； 本版仅保留仍有效的裁决，不新增历史副本。