System architecture
系统分层与能力披露
稳定运行时是一条固定栈：终端与 Agent 只消费服务端编译的能力，不直接持有对象知识，也不直连权威系统。
运行时固定栈
终端与 AgentNavi 待办流、对象页、动作卡与 Agent 工具调用。
Capability Manifest按身份编译并带版本；同一能力向人投影为界面，向模型投影为工具。
Ontology Kernel元模型、身份解析、权限判定、注册表解释与装载器；不包含业务名词。
动作与函数运行时确认流转、校验、幂等、补偿、事件记录与回执。
Adapter 防腐层出向调用、入向捕获、回执解析与映射健康检查。
权威系统CRM、财务、人事、采购、自研系统与 RevenueOS 等事实账本。
若四类 Pack 经 Owner 升格，扩展包只能挂载到以下固定位置，不能改变依赖方向；装包不改栈，业务能力通过声明进入运行时。
对外三面
读面
对象全景、原文回读与任务上下文。读取必须经过权限裁剪与证据回读。
写面
提交待采信 claim；经采信裁决后才进入事件账，不允许直接写对象当前态。
订阅面
常设问题与信号订阅，把事件转成持续关注与注意力分发。
Event Log 与两个投影
Event Log append-only，是 EntVerse 内部审计与投影的唯一真源。
EntVerse 对象投影当前态是日志折叠结果，不是第二份独立可写存储；经营状态仍以域权威账本为准。压缩只能遮蔽信息，不能删除历史。
给人看的投影
对象页与事实依据长期存在，支持追责、复盘和逐条回读。
给模型看的投影
任务上下文可以压缩，但必须与人端同源，不能形成另一套摘要真相。
输入侧四段
| 段 | 职责 | 主要扩展 |
|---|---|---|
| Ontology 与注册 | 类型、关系、lifecycle、身份锚与 alias | Domain Pack |
| 适配层 | 投影、实体解析、变更捕获、写回与对账 | Connector Pack |
| 动作与确认 | 只承载跨系统确认链；域内审批留在源系统 | Domain Pack |
| 呈现与算子 | 默认卡片推导、角色切面与派生判断 | Interaction / Capability Pack |
三类事实入口
业务系统Connector 将 CRM、财务、PMO 等事实投影为 observed 事件。
人的直接提交录音、文档、纪要和口头补充被解析为候选 claim，逐条采信。
大脑侧动作确认结论、催办与注意力记录通过动作和回执进入 Event Log。
Capability Manifest 四条纪律
- 终端不内置对象知识。新增对象类型不应要求客户端发版。
- 不可用能力不下发。置灰同样会暴露能力存在性，形成越权探测面。
- 披露即授权边界。终端和 Agent 只能选择清单中的对象、字段、动作、函数与卡片。
- 同一清单两种投影。人端界面与 Agent 工具同源，不存在 Agent 额外越权路径。