Aira AI 原生工业 CAD 产品宪法

文档状态：Draft
宪法版本：0.1.7
最后修改：2026-09-20
当前策略：项目未发布，只维护当前契约；不以旧版本兼容强迫用户付费，原则变更按第 10 节记录
适用范围：Aira 的产品、模型语言、语义 IR、Agent 工具协议、几何执行、查看器、插件与交换链路
下游规范：RFC-0001、RFC-0002、AMIR v0.1

本文件不是功能清单或营销愿景。它规定 Aira 在架构、产品和工程取舍中不可绕过的边界。任何实现、路线图或合作集成若与本文件冲突，必须先修改提案，或按“治理与版本策略”正式修宪；不得以临时需求、演示效果或单一客户压力静默偏离。

0. 最高原则：为 AI 设计

本工具专门为AI设计，AI可理解可操作是第一原则。

这是产品、模型表达、接口、架构与实现取舍的首要设计准则，不是给传统 CAD 附加聊天入口。 AI 是核心建模能力的首要接口使用者；人的意图、批准与交互仍按本宪法保留。根本架构目标是：确定什么样的 CAD 核心更容易让 AI 发现、理解、组合、创建、修改和恢复设计。以必要信息、语义与数学求解的推导选择架构，以针对性证据核对实现与经验收益。核心能力与 AI 操作方式 MUST 联合设计；设计表示、原语粒度、组合方式、编辑语义、系统承担的求解职责及反馈均是研究变量。 MUST NOT 固定传统人类 CAD 的能力组织后，仅以工具说明或检索优化代表核心问题已解决；也不得预设关系求解、特征树、程序式或混合架构天然最优。架构推导 MUST 明确前提、保留的设计信息、AI 与核心的责任、组合规则及计算边界；MUST NOT 以逐产品试用或遍历全部 CAD 任务作为选型与研究完成的前置条件。在这些条件下 MAY 作出明确架构裁决，无需等待跨所有模型与任务的最优性证明。

核心能力 MUST 通过原生 Aira Interface 可发现、可查询、可执行、可诊断和可恢复；兼容 AI 不应依赖 GUI 点击、阅读实现源码、预装 Aira Skills 或猜测内核索引才能完成任务。
输入、输出、参数、单位、引用、前置条件和失败原因 MUST 有明确的机器可读语义；运行时 MUST 提供其负责的身份与验证结果，不得要求 AI 猜造 hash、token 或几何事实。
AI 与 UI MUST 共用模型权威、执行和事务路径。仅 GUI 可用的核心建模能力 MUST NOT 宣称完成；UI 是同一能力的交互投影，不是 AI 操作的必经通道。
易理解、少歧义、可组合与可恢复 SHOULD 优先于模仿传统 CAD 操作步骤或方便内部实现；对实际 AI 成功率、发现理解表现或成本改善的主张 MUST 以相同正确性要求与可比资源预算下的任务证据支持，并报告回退； token、工具数或代码量下降不能单独证明改善，也不承诺任意模型、任意输入必然成功。

本原则不授权绕过数学与几何正确性、权限、Schema 校验、validation、CAS、原子性，以及当前撤销、重做和持久化恢复的正确性。

0.1 通用算法复用与 AI 原生架构创新

成熟通用算法与 AI 原生架构 MUST 分层决策，不能以底层算法的复用要求限制设计架构创新。

数值优化、线性代数、几何求交、布尔等通用算法 SHOULD 采用成熟且适用的实现。只有此层遵循“直接调用 → 补绑定 → 薄适配 → 必要的上游扩展 → 自研”的选择顺序；自研此类算法前 MUST 核对锁定上游及现有实现的具体适用性，不能仅以“AI 原生”作为重复实现的理由。
AI 设计语义、能力发现与组合、关系编译和求解组织、诊断恢复，以及验证约束下的能力演化 SHOULD 主动探索自主创新；不要求先证明不存在开源实现，不以旧接口或薄适配为创新上限。成熟算法可作为这些新架构的计算组件。
现有工具表、Schema、Task Capsule 和 Agent 结构是可比较的实现基线，MAY 整体重构或替换。单一语义权威与共享执行、权限和事务路径约束重复真相与等价实现，MUST NOT 被解释为冻结现有工具集合、表达形式或 Agent 组织。
新关系或组合抽象 MUST 具有明确类型、适用域、效果与验证方式；由 AI 提出的能力不能仅凭样例成功升级为已验证能力。架构变化 MUST 按第 10 节维护当前契约、清理退役路径，并按第 11 节验证真实任务收益。

算法选型与架构决定沿用现有任务记录或相关审计，不新增审批流程、台账或平行验收体系。本次原则修订不自动授权运行时替换、付费模型调用、部署或 Git 提交推送。

1. 规范关键词

本文采用 RFC 风格关键词：

MUST / 必须：满足本规范的强制要求。
MUST NOT / 禁止：任何情况下都不得出现的行为。
SHOULD / 应该：默认要求；偏离时必须记录理由、风险、替代措施和验证证据。
SHOULD NOT / 不应该：默认禁止；采用时必须满足上一条的例外程序。
MAY / 可以：在不破坏 MUST 与 SHOULD 的前提下可选。

“暂时”“实验性”“仅内部使用”不自动构成违反 MUST 的理由。实验可以降低功能完整度，但不能绕过数据安全、来源记录、确定性边界和禁止静默错误等原则。

2. 使命

Aira 的核心理念：让每个人和 AI 都可以设计产品。

这意味着降低产品设计的门槛，让没有专业 CAD 背景的人也能表达设计意图、参与设计并持续修改产品，让 AI 能理解设计目标，通过原生 Aira Interface 直接参与建模、检查和修改。人的交互体验与 AI 的原生接口共同服务于这一理念，并共享同一套核心建模能力。第 0 节“为 AI 设计”是实现这一理念的技术原则，不限定产品只面向 AI 使用。

Aira 的使命是：把人的设计意图转化为可计算、可检查、可局部修改、可重放和可审计的工业几何模型，并让 AI 成为受约束的建模协作者，而不是不可验证的几何生成器。

Aira 必须优化的是“设计行为正确”：模型能在参数变化、特征重建、拓扑变化、交换和下游工程使用中保持明确语义。外观相似、一次成功渲染或能导出三角网格都不足以证明任务完成。

3. 定义

AI 原生 CAD：模型、查询、编辑、诊断和验证接口从一开始以 AI 可理解、可操作为第一原则设计；人通过同一能力的交互投影参与。AI 通过结构化、受约束、可回滚的操作参与建模，而非在传统 CAD 上叠加聊天框。
模型真相（Model Truth）：经版本化的语义模型，包括设计对象、参数、单位、关系与约束、依赖、引用查询、断言和来源记录；当前特征 DAG 是其实现形式，不限定未来可验证的表达方式。
AMIR（Aira Modeling Intermediate Representation）：Aira 的规范化语义 IR，是模型真相的契约层——身份、事务、参数接口、稳定引用、编辑守恒与证据；程序节点内的源码是受治理的载荷。它不是某个几何内核的数据结构。
语义 IR：与具体几何内核隔离、带类型和稳定身份的规范化模型表示。
特征（Feature）：具有稳定节点身份、明确输入、参数、输出语义和执行结果的建模操作。
Artifact：特征执行后产生的草图、区域、实体、面、边、网格或隐式场等派生对象。
稳定引用：保存“如何找到目标”的语义查询，而不是保存某次求值中的面序号、边序号或内存地址。
Revision：一次原子提交后的不可变模型状态，由父版本、规范化语义内容、authoring lock、语义 diff 和来源记录确定；具体内核/平台执行不属于 Revision 身份。
Evaluation：某个 canonical Candidate 或 committed Revision 的模型内容，在锁定 ExecutionManifest、quality profile、输入 artifacts 与 execution class 下的一次几何执行；独立 binding 关联 CandidateId/RevisionId，内核版本、运行平台和验证证据通过 Evaluation/Geometry Certificate 记录。
确定性内核：负责解析、类型检查、约束求解、几何执行、验证和差异计算的非生成式计算层。
视图：由模型真相派生的 Three.js 场景、网格、缩略图、选取缓冲或其他展示缓存。
工业可信：结果具有明确单位、容差、有效性、来源、版本和失败状态，并可用机器测试重复验证。

4. 非目标

Aira 在现阶段明确不追求：

为追求“全部自研”而重复实现已有成熟且适用的通用数值、几何算法；这不限制 Aira 自主设计或重构内核架构。
成为允许任意脚本、任意副作用的通用编程环境。
把自然语言直接变成不可检查的最终几何。
仅以图像相似度、视觉吸引力或网格可显示性衡量工业正确性。
首个版本覆盖所有机械、建筑、曲面造型、CAM、CAE 和 PLM 场景。
隐藏 CAD 的单位、约束、容差、表示损失和拓扑歧义。
对输入中不存在的制造知识、材料性能或工程意图作无证据推断。
保证所有外部格式都能无损往返；无法无损时必须明确披露损失。

5. 不可妥协原则

原则 1：语义模型是唯一真相

语义 IR 与其版本记录 MUST 是模型真相。Three.js Object3D、渲染网格、GPU buffer、STEP/glTF 文件和内核临时对象 MUST NOT 成为权威编辑状态。所有视图和交换文件 MUST 能追溯到产生它们的 Revision、Evaluation 与来源 Artifact。

原则 2：相同输入必须可重放

同一模型、同一锁定依赖、同一内核版本与同一容差策略 MUST 产生相同的规范化语义结果和验证结论。时间、随机数、网络状态、文件系统隐式状态和未锁定插件 MUST NOT 影响模型求值。算法行为发生变化时 MUST 提升相应版本，不得在原版本下静默改变结果。该要求不等于承诺不同 CPU、编译器或平台产生逐位相同的 BREP/浮点二进制；跨环境比较 MUST 使用规范化语义、拓扑不变量、质量属性和显式误差界。

原则 3：身份必须稳定，名称可以变化

参数、特征、约束和断言 MUST 具有系统分配、不可复用的永久 ID；人类可读名称 MAY 修改，但不得改变身份。数组位置、创建顺序、显示名称或内核地址 MUST NOT 充当永久身份。

原则 4：拓扑引用必须表达意图

面、边和顶点引用 MUST 使用 lineage、生成特征、语义角色、邻接和几何条件组成的查询。查询 MUST 声明期望基数和 split/merge 策略。空结果、多个候选或目标含义变化 MUST 阻止提交并返回候选及理由；系统 MUST NOT 静默选择“第一个”或重新指向相似实体。

原则 5：表示类型与转换必须显式

精确 B-Rep、流形网格、一般网格、严格距离场和一般隐式场 MUST 是不同类型。转换 MUST 声明方向、容差、边界和潜在信息损失。近似网格或一般隐式场 MUST NOT 被冒充为精确实体；无法证明严格距离性质的场 MUST NOT 标记为精确 SDF。

原则 6：单位、约束和容差是一等语义

所有有量纲数值 MUST 带单位或引用带类型参数；角度、长度、面积、体积和无量纲值 MUST NOT 隐式混用。约束求解 MUST 报告自由度、残差、冗余和冲突，而非只返回坐标。容差 MUST 来自显式策略并进入验证和来源记录。

原则 7：每次修改都是原子事务

人、AI、导入器和插件的模型修改 MUST 经过同一事务管线。事务 MUST 指定基础 Revision，并支持预检、前置条件、幂等键、语义 diff、原子提交和回滚。失败事务 MUST NOT 留下半更新状态。删除和级联修改默认 MUST 拒绝，除非调用方显式声明并通过验证。

原则 8：验证优先于视觉说服力

“生成成功” MUST 表示已通过适用的 Schema、类型、单位、约束、内核、拓扑、几何和用户断言检查。截图、渲染相似度、Chamfer 距离或语言模型自评 MUST NOT 替代可执行要求。草稿 MAY 暂时无效，但必须被显著标记且不能伪装为已提交的工业有效版本。

原则 9：失败、修复和降级不得静默

内核失败、引用歧义、容差扩大、几何 healing、表示降级和导出损失 MUST 产生结构化诊断。自动修复 MUST 先以显式语义 patch 展示影响；只有策略允许或用户批准后才可提交。系统 MUST NOT 用无提示 fallback 换取表面成功。

原则 10：AI 只能通过能力边界行动

AI MUST 通过版本化、Schema 校验、最小权限的查询与事务工具工作。生产建模路径 MUST NOT 暴露任意 eval、shell、网络、文件写入、Python/JavaScript 回调或原始 C++ 内核 API。可扩展能力 MUST 先注册类型、参数、效果、权限、资源预算和诊断契约。

Aira 的能力控制面 MUST 是协议原生的。Aira 官方产品、SDK、CLI 和 Agent adapter MUST NOT 发布、安装、加载或依赖 Agent Skills、SKILL.md、Markdown prompt 包或模型专用操作手册来注册、发现、路由、解释或授权建模能力。能力发现上下文 MUST 从当前权威能力定义、锁定语义、运行时能力状态、Revision 与会话权限确定性派生；Task Capsule、Operation Catalog、 Capability Profile 与 Runtime Capability Snapshot 是当前实现基线，可随整体架构演进。一个未预装任何 Aira 知识的兼容模型 MUST 能仅凭协议入口发现和使用支持的新能力；这不要求永久保留当前元操作集合，也不要求 AI 复现人类 CAD 的施工步骤。

原则 11：任何结果都必须可解释和可逆

每次提交 MUST 能回答：谁根据什么意图改了什么、影响了哪些下游特征、哪些引用被重新解析、通过了哪些检查、使用了哪些版本。用户 MUST 能在不理解内核内部实现的情况下预览、比较、撤销或恢复。解释 MUST 基于可观察的模型和执行证据，不得伪造因果理由。

原则 12：源码、语义和几何必须双向可追踪

系统 MUST 维护 OriginAnchor ↔ AST/IR 节点 ↔ 特征/Artifact ↔ 内核实体 ↔ 渲染图元 的映射；OriginAnchor 可以是源码范围、JSON Pointer、PatchOpId 或 ImportElementId。存在 .aira 文本投影时 MUST 提供源码范围；纯 GUI/JSON/import 路径不得伪造不存在的 SourceSpan。点击几何应能定位其真实来源与生成历史；选中参数或诊断应能高亮受影响几何。Agent SHOULD 编辑语义节点而不是执行无结构文本替换。

原则 13：内核可替换，语义不可泄漏

OCCT、Manifold、SDF 求值器、草图求解器和未来内核 MUST 位于有版本的适配器之后。公共 IR MUST NOT 复制某一内核的指针、索引、异常或未稳定内部类型。每个适配器 MUST 通过统一的一致性、容差、lineage 和错误映射测试。

原则 14：执行必须有界、可取消、可隔离

解析、求解、布尔、网格化和导出 MUST 具有资源预算、超时和取消机制。新的 Revision 应使过期计算可安全取消；缓存 SHOULD 由规范化内容哈希和版本键控。重型几何执行 SHOULD 与 UI 主线程隔离，并且单个失败模型 MUST NOT 破坏其他模型或工作区。

原则 15：来源与版本必须成为模型的一部分

每个 Revision MUST 记录父版本、操作者类型、用户可见意图、规范化语义 diff、输入资源哈希，以及解释模型所需的 Schema、Operation Catalog、标准库和 semantic extension 版本。每个被提交或发布流程接受的 authoritative Evaluation MUST 另行记录求解器/内核/平台版本、ExecutionManifest 和验证结果，并通过 Geometry Certificate 与 Revision 关联；这些执行字段不得偷偷改变 Revision 身份。系统 MUST NOT 依赖隐藏思维链作为审计依据；应保存可观察输入、操作、结果和证据。

6. AI、人和确定性内核的职责边界

主体	必须负责	可以负责	禁止负责
AI	解释意图；发现并理解模型与能力；表达设计关系、约束和断言；提出范围明确的语义修改；依据结构化诊断修订方案；解释可观察影响	在策略范围内比较候选方案、提出新关系或组合抽象及显式修复；把可确定的施工决策交由系统求解	宣布几何真伪；绕过 Schema；静默提交歧义或破坏性变更；直接修改内核状态；把视觉猜测当工程事实
人	定义目标和验收意图；处理真正的业务歧义；批准高影响、不可逆或策略要求的操作；对最终工程使用负责	委托可逆、低风险事务；修改 AI 生成的语义模型；建立组织策略	被迫理解内部面索引、内存对象或内核异常才能恢复模型；为系统静默错误承担推断责任
确定性内核	解析、类型/单位检查、求解、几何执行、lineage、验证、diff、版本提交和证据记录	提供确定性候选、修复建议和成本估计	推断用户意图；自行选择有歧义的目标；无记录扩大容差、改变表示或修复几何

AI 的建议权、人的意图权和内核的事实判定权 MUST 分离。任何“AI 直接控制几何状态”或“内核替用户猜意图”的设计均违反本宪法。

7. 工业可信要求

一个可发布或可交换的 Revision MUST 具备与其用途相匹配的信任包：

锁定的单位、坐标系和容差策略；
通过的类型、约束和引用基数检查；
几何/拓扑有效性报告，包括实体封闭性、自交、方向和非流形状态；
参数扰动或重建稳定性测试，适用于参数化模型；
用户或领域断言及其结果；
导入/导出表示损失和 healing 记录；
依赖与内核版本锁；
完整来源、语义 diff 和可重放输入；
可取消、超时和资源消耗记录；
与目标格式或下游流程对应的导出后复检。

“可信”是分级声明，而不是布尔营销标签。Revision 状态与证书保证范围 MUST 分开：Revision 可以是 draft 或 committed；Geometry Certificate 的 execution class 区分 preview 与 authoritative，assurance profiles 至少包括 geometric、requirements、manufacturing、exchange。每种组合的通过条件 MUST 机器可读、可版本化。

8. 通用化策略

核心 IR MUST 具有明确、可检查的语义和受控扩展边界，避免重复概念。参数、单位、基准、草图、特征 DAG、表示、查询、断言、装配关系和来源是当前基线，MUST NOT 被当作封闭的永久概念表；新的设计关系、程序结构或求解组织 MAY 通过明确语义与验证整体演进，不以原语数量最少为目标。
机械、建筑、家具、珠宝等领域能力 SHOULD 以版本化领域包扩展类型、特征、规则和断言，不应复制或分叉核心模型系统。可泛化的跨领域语义 MAY 推动核心 IR 重构，不必永远局限于现有扩展点。
客户端和 Agent MUST 先进行 capability negotiation，不得假设某特征、内核或导出器存在。
插件 MUST 声明输入/输出 Schema、确定性、权限、资源预算、所需契约版本/哈希、资源生命周期和诊断代码。
新内核 MUST 通过相同的语义、lineage、容差和一致性测试；不得因“效果更好”而跳过适配契约。
场景组合、变体和装配 SHOULD 位于零件特征模型之上；不应把外层场景图当作零件历史。
STEP、glTF、USD 等格式 MUST 是边界适配器。导入形成显式特征或不可编辑资产，并声明保留与丢失的语义。
Aira SHOULD 优先扩展断言、查询和工具能力，再扩张自然语言提示技巧；长期通用性来自语义协议，不来自更长 prompt。

8.1 能力覆盖的数学边界

通用性来自可组合表达、可执行要求和有效搜索，不以产品品类或算法数量定义。本节约束能力声明与研发度量，不替代第 0 节最高原则。

有限的空间、精度、材料状态和程序长度界定有限候选域；若有 $n$ 个位置、每处 $q$ 种状态，状态数为 $q^n$。有限枚举与可终止判定可保证完成搜索，但不保证可承受的时间或一定存在合格设计。通用解释器能表达可计算对象，不等于当前 AMIR 算子集已完备；Aira MUST 声明实际支持的表示、组合、精度和限制。
AMIR 语义程序与其锁定求值器承担表达和执行，CAS Patch 承担受控修改；二者及最终几何 MUST NOT 被宣称为一一对应。不同程序或修改历史可以产生相同几何。参数化可减少搜索变量，但有效集合可能离散、不连通或有奇点，MUST NOT 假定它必为低维光滑流形。
每个检查 MUST 声明目标、模型假设、容差、资源预算和证据范围；结果区分 pass、fail、unknown。预算耗尽、缺少检查能力或证据不足属于未知，不能推断设计无解。通过仅表示满足已声明判据，MUST NOT 等同无条件可制造、真实物理正确或“100% 置信度”。有限步可终止也不构成毫秒级性能保证。
原生接口批量探索 MUST 复用产品能力发现、共享工具、权限与事务路径。判定 SHOULD 结合原生断言及独立交换回读，MUST 披露覆盖范围和共享内核等共同失效来源；输出器能回读自己的文件不自动构成独立验证。检查不得只复述生成器的预期输出。
失败 MUST 按需求不可满足或不明确、表达缺口、搜索/规划、协议与引用、几何执行、检查能力和基础设施等原因分层，未知根因保持未知。MUST NOT 把所有失败都归因于几何算子退化。修复 SHOULD 扩大可复用能力，并在相同输入、预算与判据下比较收益和回退。

9. 产品交互原则

人工编辑、AI 编辑、参数面板和拖拽操作 MUST 走同一语义事务管线，并产生同一种 Revision。
Chat、代码、特征树、属性面板和 3D 视图 MUST 是同一模型的同步投影，禁止形成互相覆盖的平行真相。
AI 在修改前 SHOULD 先读取能力、相关特征和受影响范围；上下文 SHOULD 是结构化摘要，而不是无边界倾倒整个模型。
默认交互 SHOULD 是“意图 → 预检 → 语义 diff/几何预览 → 提交”，而不是对话结束即写入。
对低风险、已授权且可逆的修改，用户 MAY 开启自动提交；歧义、范围扩大、删除、修复和表示降级仍 MUST 停止或遵循显式组织策略。
选择几何实体时，UI SHOULD 生成可读的稳定查询并展示其匹配理由，而非暴露 Face17 之类瞬时名称。
错误界面 MUST 提供精确位置、受影响对象、期望/实际值、候选目标和可验证修复；不得只显示自然语言“失败了”。
长操作 MUST 显示阶段、可取消状态和正在验证的 Revision；旧结果不得覆盖新版本。
产品 SHOULD 同时支持高层意图和精确参数控制。用户不应被迫在“全自动黑箱”和“全手工内核 API”之间二选一。
所有重要影响 MUST 在提交前或提交记录中可见，包括下游重建、拓扑引用变化、容差变化和导出损失。

10. 治理与版本策略

Schema、DSL、语义 IR、Query、标准库、工具协议、求解器和内核适配器 MUST 独立版本化。解释模型语义所需的 Schema、Operation Catalog、标准库与 semantic extensions 由 authoringLockHash 固定；具体求解器、kernel、adapter、平台与浮点策略由每次 Evaluation 的 ExecutionManifest 固定。
改变解释结果、引用解析或规范化输出的变化 MUST 更新相应契约内容绑定，并明确说明当前数据语义变化；版本号不构成向后兼容承诺。
已提交 Revision MUST NOT 被新运行时静默重新解释。当前只接受受支持的 schema/catalog 绑定；旧输入明确拒绝，不增加旧版读取、迁移 Revision、兼容别名或双实现。内核执行变化产生新的 Evaluation 与执行证据，不冒充原结果。
跨组件或公共语义变化 MUST 更新相关规范、实施决定及验证边界。现有文件能够承载时直接修订，不为每项修改增加 RFC、台账或验收框架。
违反不可妥协原则的提案 MUST 明确修改相应原则，不能以 feature flag 永久规避。本次单一当前契约政策依据用户明确要求，不引入额外审批流程。
实验功能 MUST 标明支持范围与内容绑定，提供当前格式的保存、导出及明确失败诊断；不要求维护历史实验格式。
替换实现 MUST 同批清理退役入口和重复分支。不得以版本兼容为付费升级或数据锁定的手段。当前撤销、重做、原子提交和持久化恢复必须正确。
内核变化 MUST 按实际影响核对重算、拓扑引用、几何有效性、资源释放和交换结果；复用现有构建、类型检查及实际产品操作，不新建 test/spec 或重复验收体系。用户明确授权的 tools/capability-explorer MAY 维护真实原生接口上的批量探索、独立判定和回归对照；不得另建产品执行器或把运行产物变成治理台账。截图不能独立证明几何正确性。
规范诊断码、事务操作名和类型 ID MUST NOT 被复用于不同含义。

本次修订（0.1.7，2026-09-20）：依据用户“需要推导，不能逐例遍历”的明确裁决，架构选择改由必要信息、编辑语义、组合性与计算复杂度推导；实验核对实现事实与经验主张，不作为枚举全部 CAD 后才能决策的门槛。保留 0.1.6 确立的 AI 易操作性根本目标、0.1.5 确立的成熟通用算法复用与架构自主创新边界。数学责任转移不能冒充任意模型成功率保证。保留能力覆盖边界、原生接口机器探索、不创建 test/spec 套件及当前数据操作正确性要求；此次不改变运行中的 Revision/Schema 语义，不宣称新增产品能力，不自动授权运行时替换、付费模型调用、部署或 Git 提交推送，不新增审批或台账。

11. 成功指标与发布门槛

以下指标必须按版本、任务类型和内核分层统计，不能只报告平均值：

AI 发现、理解、组合与恢复

架构选择 MUST 有明确的推导与边界；声称实际 AI 使用效果改善时，MUST 提供相应任务证据，并至少区分以下可观察表现：

首次发现：未预装项目知识时，能否找到适用能力并正确识别不支持的范围；
语义理解：能否正确使用对象类型、单位、引用、前置条件和效果，统计语义错误与所需纠正；
组合与施工推理：能否直接表达关系、完成未示范的组合与参数变更，系统实际承担了哪些原由 AI 推导的施工决策；
失败恢复：能否依据诊断定位问题、修复并保留原有要求，统计成功恢复与人工介入。

比较 MUST 保持任务、正确性判据及模型与求解资源预算可比，分别报告成功率、错误、回退和总成本；不能只比较成功子集。 token、工具调用数、接口数和耗时是成本指标，不是认知成本的单独证明。把复杂搜索隐藏在一个 solve 入口后，若理解、组合与恢复未改善，不能宣称 AI 易用性突破。

核心方案比较 MUST 区分“核心不变、说明改善”与“说明质量相当、核心改变”，覆盖首次接入、等量学习后的使用及未展示的组合与修改。任务由设计要求定义，不用候选架构的施工步骤定义答案；共同可表达域比较操作难度，完整需求集另报能力覆盖与不支持项。AI 模型及其既有熟悉度、说明与例子的质量、编译/搜索/求解和学习成本均须记录，不能用缩小能力范围或把费用转移到后台制造优势。

能力覆盖与批量探索

维度	必须声明的范围与测量
可表达域 $\mathcal S_{expr}$	支持的表示、算子组合、约束类型、参数范围和容差；原语数量或组合数量不能独立证明覆盖度
可检查域 $\mathcal S_{check}$	可执行要求、判据假设与误差界；各检查的通过、失败、未知数以及耗时分位数、超时率和运行环境
预算内求解能力	固定需求分布 $\mathcal R$、求解策略 $A$、时间/算力预算 $B$ 下，从需求到交付且全部要求通过的概率 $p_{\mathcal R,A,B}$

对预先固定的 $N$ 个样本，经验成功率为 $\hat p=N_{pass}/N$。失败、超时、未支持和未完成检查 MUST 保留在分母并分别计数；确已证明无解的需求可计入正确拒绝指标，不能混入设计交付成功率。980/1000 表示该任务集的经验成功率为 98%，不表示设计空间的半径或体积。

采样 MUST 记录分布、参数界、seed、生成器/求解策略与锁定环境，并区分边界探索与独立留出评价。只有独立同分布等统计假设成立时，才可给出与该假设匹配的置信区间；相关变体、自适应选例和固定边界集 MUST NOT 冒充总体随机样本。留出样本一旦用于调参或修复，后续泛化声明 MUST 使用新的独立留出集。修复对照 MUST 使用相同输入和检查要求，分别报告改善与回退；改变分布或放宽判据不能作为能力提升证据。

批量结果 MUST 区分确定性参数程序执行与真实 AI 从需求自主求解，不将前者通过率当作后者。500 次采样仅构成该批次的初始证据。能力基线 MUST NOT 未经实测写入固定毫秒指标、国标符合性、装配能力或制造可行性。机器可重现的运行输出默认忽略并可丢弃，决策与无法重现的结论写入现有进度，不新建平行报告树。

P0 发布门槛

静默拓扑重定向率 MUST 为 0；歧义必须转为显式失败。
已提交 Revision 的原子性、来源记录和版本锁覆盖率 MUST 为 100%。
同一锁定环境下，规范化 IR 哈希和验证结论的确定性重放通过率 MUST 为 100%。
所有确定性阶段失败 MUST 返回符合 Schema 的诊断；不得只有日志字符串或崩溃。
任一已提交 Revision MUST 可通过一次用户操作恢复或回滚。
标记为某一可信等级的模型 MUST 通过该等级全部机器检查，禁止抽样放行。

持续优化指标

从意图到全部可执行断言通过的任务成功率；
参数族扰动后的重建与引用存活率；
局部编辑准确率和无关几何变化量；
草图 DOF、冗余和冲突诊断准确率；
B-Rep/网格有效率、导出后复检通过率；
AI 平均工具调用数、失败事务数、恢复步数和端到端耗时；
用户撤销率、人工纠错范围和“为何这样改”解释可用率；
新内核或领域包接入所需的核心改动量；
超时、取消延迟、缓存命中率和峰值资源使用。

每个发布计划 MUST 预先声明这些指标的任务集与阈值。团队 MUST NOT 用渲染效果、演示成功率或单一 prompt 榜单替代工业行为指标。

12. 必须持续拒绝的反模式

反模式	为什么必须拒绝	正确替代
让 LLM 直接生成 OCCT/C++、任意 Python 或 JS 作为模型真相	不确定、副作用大、难以局部检查和迁移	受限 DSL、规范化 IR、Schema 工具事务
把 Three.js 场景或最终网格当作可编辑模型	丢失特征、约束、单位、lineage 和设计意图	Three.js 仅消费带映射的派生视图
用 `faces[3]`、`topFace`、最大 Z 面或显示名称作永久引用	参数变化后会丢失或错指	带基数和 split/merge 策略的语义 lineage query
失败后自动取第一个候选、扩大容差或换内核	产生不可见的工程错误	阻止提交，返回候选、差异和显式修复 patch
仅以万能 `create_or_edit_model(prompt)` 掩盖语义和执行边界	不可检查、难重试、难约束修改范围	有类型、可检查的设计关系与原子语义事务；入口数量不是判据
通过字符串替换修改模型源码	易破坏标识、格式、依赖和注释	lossless parser、AST codemod、最小源码重写
只返回自然语言错误	Agent 和用户无法可靠定位或自动修复	稳定诊断码、位置、期望/实际、候选和 patch
无单位数字和全局隐式单位	导入、复制和 AI 生成时极易产生数量级错误	类型化物理量与显式单位策略
把所有隐式场称为 SDF，把所有网格称为 solid	混淆数学保证和可制造性	明确表示类型、质量等级与转换契约
用截图、CLIP、IoU 或 Chamfer 宣布 CAD 正确	外形相似不代表拓扑、参数行为和工程要求正确	可执行尺寸、拓扑、约束、DFM 和行为断言
AI 绕过预检直接提交高影响修改	破坏人类控制和可恢复性	预检、diff、策略化审批、原子提交
人工操作走一套状态，AI 操作走另一套状态	导致双重真相和不可解释同步	所有入口统一为语义事务与 Revision
把内核异常、指针和专有类型泄漏进公共协议	锁死内核并破坏跨版本兼容	版本化 adapter 和稳定领域诊断
为客户快速定制而复制核心语言或数据模型	形成不可迁移方言和测试碎片	领域包、能力协商、版本化扩展点
未绑定契约语义地保存数据	无法判断能否正确解释	内容绑定、当前格式保存与明确拒绝

13. 决策检查

任何重大功能在进入实现前都必须回答：

它修改的是模型真相、派生 Artifact，还是纯视图？
它的输入、输出、单位、表示、容差和失败状态是否可由 Schema 表达？
AI 能否发现并理解能力、表达所需设计关系，而不被迫复现人类施工步骤，并在失败后根据结构化诊断恢复？
参数变化和拓扑 split/merge 后，引用是否仍表达原意？
操作是否确定、可取消、可重放、可比较、可撤销？
人能否在提交前理解受影响范围，提交后追溯原因？
是否引入某个内核、格式或领域的隐式耦合？
工业正确性由哪些可执行断言证明？
当前支持的契约是什么，替换如何清理旧路径并保持当前数据操作正确？
如果功能失败，系统会显式失败，还是伪装成成功？

任何问题无法作答时，功能 MUST NOT 进入稳定模型协议。它可以保留为隔离实验，但必须标记限制，且不得污染模型真相。

Aira 的长期护城河不应是某个单独几何算法，也不应是“更会写 CAD 代码”的模型。它应是一个让人、AI 与确定性内核能够在同一语义事实、同一版本历史和同一验证体系中协作的工业建模系统。