0. 设计目标与复用清单
核心命题：把 Oki Memchip 的三条信任原则落到 EdgeHippo（硬件）与 EdgeMesh（网络）上，使一个自然人的多台 EdgeHippo、以及同家庭 / 同组织内部的互信方，能够共享"个人上下文"，同时保证：① 个人上下文物理上随可拔走的芯片走；② 多块芯片在互信者间组成加密分布式备份；③ 任何软件/系统/模型 OTA 都须经用户批准才安装。
复用现有原语（不重复造轮子）：
- .emf 碎片格式：32B 头
EMKBIMG1、向量置末尾（ADR-010）、约 662B/条。
- EME-<MAC3> 设备 ID（取 MAC 末 3 字节十六进制）。
- EdgeMesh 中继：M1 直连取块 / M2 Hub 中转 / M3 离线投递（USB MSC +
.emr 回执）。
- ADR-014 拒答优先于勉强命中：
em_query 引擎层 min_score_q8 过滤，返回 em_reject_e（LOW/REDLINE/EXPIRED/EMPTY）。
- 三支柱：Clone（克隆）/ Boundary（边界）/ Reference（参考）。
- OTA 入口：固件
POST /ota（token emgw-ota-demo）、KB 镜像 POST /kbota（32B 头 + ?dry=1 预检）。
- 形态：β USB Dongle / γ 磁吸卡(BLE) / δ SD 卡 即"可拔走 eHippo 载体"；α 板载模组为固定宿主。
术语与假设（诚实标注）：Oki Memchip 为外部竞品参考（非本项目产品名），其三条信任原则（可拔走物理存储 / 互信加密分布式备份 / OTA 需批准）被借鉴到本项目；本项目对应的可拔芯片形态命名为 eHippo（EdgeHippo 的 β/γ/δ 可拔形态，即原稿所称「Memchip 载体」）。本设计未对 Oki 具体芯片做逆向或兼容假设；安全区密钥、加解密算法在 §6 给出可替换的接口占位，落地时再绑定具体安全元件。
1. 概念映射：eHippo ↔ 现有架构
| Oki Memchip 原则 | 在 EdgeHippo / EdgeMesh 的落点 | 机制 |
|---|
| 个人上下文物理存于可拔走芯片 | EdgeHippo 的"可拔走存储介质"即 eHippo：β(USB)/γ(磁吸卡)/δ(SD) 形态本身就是带安全区的 eHippo 载体；个人上下文 = 该 eHippo 上的 .emf 碎片 + 密钥 | 拔下 eHippo = 个人上下文随物理介质离开设备；设备仅留运行时缓存 |
| 多块芯片在互信者间组成加密分布式备份 | EdgeMesh 多跳中继 + 分片账本承载备份分片；信任域（个人/家庭/组织）决定谁持有哪类分片 | 本人多 eHippo 互备 + 受托人 eHippo 存加密分片（见 §3） |
| 软件/系统/模型 OTA 需用户批准才安装 | 扩展现有 /ota / /kbota 审批为"所有者签名（组织场景需法定人数）"门禁 | 未获批准签名的 OTA 包拒绝落盘（见 §4） |
关键判定：eHippo 不是新硬件，而是对 EdgeHippo 既有"可拔存储介质"赋予信任语义——它既是数据载体，也是身份根（安全区持有根密钥）与授权载体（OTA 批准签名由此密钥出具）。
2. 信任模型（个人 / 家庭 / 组织 三级信任域）
以 信任域（Trust Domain） 为基本边界，三级域可嵌套：个人域 ⊂ 家庭域 ⊂ 组织域（一个自然人可同时是某家庭域成员、某组织域成员）。每个域有一个 域根（Domain Root） 负责签发成员信任边。
2.1 身份与密钥
- 每块 eHippo 安全区持有 根密钥
K_root（不可导出）与派生公钥 PK_root；设备 ID 仍为 EME-<MAC3>。
- 信任边（Trust Edge）：两 eHippo 之间的加密备份/共享关系，由双方安全区协商出对称会话密钥
K_edge，并以各自 PK_root 签名背书。
- 碎片级权属：每条
.emf 记录带 owner_id 与 trust_domain 标签（见 §6），查询时按域与角色过滤（复用 ADR-014 边界）。
2.2 信任建立三法（按"物理接触强度"分级）
| 方式 | 触发 | 建立动作 | 适用 |
|---|
| 物理插入（最强） | eHippo 插入本机 EdgeHippo 卡槽/USB | 安全区直读对方证书链， proximity 即视为已认证，直接建 Trust Edge | 本人多设备互备；家庭新成员入域 |
| BLE 碰一碰 | 两块 eHippo 贴近（γ 卡/NFC-BLE） | 短时 BLE 信道交换 nonce + PK_root，双向签名确认 | 家庭/组织现场授权 |
| QR 扫码 | Studio/手机扫 eHippo 动态二维码 | 二维码含一次性挑战；域根 CA 在线签发短期成员证 | 组织远程入域、临时协作 |
2.3 阈值恢复（Shamir t-of-n）
个人上下文主密钥可被分成 n 份、阈值 t 重构（如本人 3 块 eHippo 取 2 即可恢复；或家庭域中"本人+配偶+子女"3 方取 2 恢复家长上下文）。恢复时各方 eHippo 仅贡献各自分片，不暴露彼此明文。
3. 加密分布式备份（分片 · 拓扑 · 同步 · 恢复）
3.1 分片策略
| 策略 | 说明 | 取舍 |
|---|
| 整片加密副本（replica） | 把整块 eHippo 内容用受托人 PK 加密后存其 eHippo；恢复时直接解密 | 简单、恢复快；存储占用高（每人存一份他人全量） |
| Shamir 分片（t-of-n） | 主密钥分 n 片，阈值 t 重构；每受托方只持 1 片 | 存储省、抗单点背叛；恢复需凑齐 t 方，流程重 |
默认组合：本人多 eHippo 用 整片加密副本（高频互备）；跨信任域（家庭/组织）用 Shamir 分片（低频容灾）。两种都只传密文，受托方本地不可读。
3.2 备份拓扑
- 个人 本人 N 块 eHippo 互为副本（如 2-of-3）；任一丢失，其余可恢复完整上下文。
- 家庭 家长上下文在家庭域做 Shamir 分片（家长+配偶+（老人或子女）取 2）；家庭共享 KB 用整片副本在家庭成员间互备。
- 组织 组织 Hub 集中持有成员 KB 的加密副本；关键 SOP 另做地理分布式 Shamir 分片（上海+分公司各持分片，离线也可合成）。
3.3 同步通道（复用 EdgeMesh 三中继）
- M1 直连取块：两块 eHippo 同网/同设备，直接拉取增量分片。
- M2 Hub 中转：经家庭/组织 Hub 中继分片（Hub 只转发密文，不解密）。
- M3 离线投递：无网环境，把分片写入 USB MSC，附
.emr 回执；对方插入即合并（沿用现有离线接力）。
3.4 恢复流程（丢失/损坏 eHippo）
- 失主插入任一备用 eHippo 或新 eHippo → 安全区识别为"恢复模式"。
- 向域根请求分片：个人域取其余 eHippo 副本；家庭/组织域向 t 个受托方收集 Shamir 分片。
- 本地安全区用
K_root 合成主密钥 → 解密并重建 .emf 库。
- 重建后旧（丢失）eHippo 的
K_root 视为撤销，域根发 REVOKE，相关分片滚动重加密（见 §7 背叛/撤销）。
4. OTA 审批模型（固件 / KB / 模型 三级）
把现有 OTA 入口升级为 签名门禁：任何 OTA 包必须带"批准签名"才允许落盘；未批准 = 拒绝安装（不静默降级、不假绿）。
| OTA 级别 | 载体/入口 | 审批主体 | 安装门 |
|---|
| 固件 | POST /ota（token emgw-ota-demo） | 设备所有者（本人 eHippo K_root 签名） | 签名校验 + 回滚槽（保留旧 app 槽，失败可回退） |
| KB 镜像 | POST /kbota（32B 头 + ?dry=1 预检） | 设备所有者；组织 KB 需 Hub CA 签发 + 所有者确认 | 预检容量/版本；同域 KB 变更须域根背书 |
| 模型（embedding/本地 LLM） | 经 KB 通道或独立 /modelota | 所有者 + redline 复检（ADR-014：模型更新不得削弱拒答边界） | 装前跑 redline 探针：若新模型在拒答用例上退化，阻断并告警 |
- 组织法定人数：组织域的固件/模型 OTA，管理员可"提议"，但安装须设备所有者（员工）逐台批准——员工对其 eHippo 上的安装有否决权；关键安全更新可设"家长/IT + 员工"双签。
- eHippo 即授权载体：批准动作 = 在 Studio/设备上用本人 eHippo 安全区对 OTA 包哈希签名；签名随包写入，安装时验签。
- 断网可批：M3 离线投递 OTA 包 + 手写/扫码批准回执（
.emr 式），插入即验签安装。
5. 未来记忆与知识库更新 / 生成（核心）
5.1 场景具象化（in & out 实例）
下列 in = 写入/更新记忆或知识库的动作；out = 查询/生成时 EdgeHippo 如何服务。均复用 em_query 的边界/参考机制。
个人日常
| 场景 | in（写入/更新） | out（查询/生成） |
|---|
| 写作背景接力 | PC 写文档时，eman 守护进程抽取"项目术语/上次结论/引用偏好"→ 生成 .emf 候选 → 推到随身 β Dongle（个人域） | 在另一台电脑打开文档，EdgeHippo 经 USB 提供该项目的术语表与上次结论，写作助手直接引用，无需重述背景 |
| 跨设备记忆接力 | 手机便签/截图经 Bridge App 抽成碎片存入 EdgeHippo（em_frag_*） | 平板问"上周那个供应商报价多少"，EdgeHippo 返回带 em_hit_t.src（来源/时间）的片段，可溯 |
| 偏好与红线 | 用户在 Studio 设"拒答红线"meta.refusal 与 ttl_h | em_query 命中低于 min_score_q8 时按 ADR-014 直接拒答（返回 REDLINE/LOW），不勉强命中 |
家庭共享
| 场景 | in（写入/更新） | out（查询/生成） |
|---|
| 家庭医疗档案 | 家长在 Studio 把"过敏史/用药"标为 family-trust 碎片，经 M2 Hub 同步到配偶/老人 eHippo（加密分片） | 老人急诊，家属 EdgeHippo 插入读卡器(Hub)即出过敏史；因 ttl 有效、owner_sig 有效而可信 |
| 共享清单/日程 | 任一成员添加购物项 → 碎片广播到家庭域（整片副本互备） | 任一家用屏查"今天谁去超市"得最新清单；按成员角色可见性过滤 |
| 儿童设备边界 | 家长设儿童 EdgeHippo 仅可见 family-trust 白名单碎片 | 儿童查询被边界过滤，越权碎片不返回（ADR-014 拒答），不泄露家长私有上下文 |
组织协作
| 场景 | in（写入/更新） | out（查询/生成） |
|---|
| 项目知识库 | 工程师提交"故障排查笔记"经组织 Hub 归集为 org-trust KB 碎片（带 role 可见性标签） | 新成员 EdgeHippo 接入组织域即拉取相关 KB，按角色过滤可见性 |
| 跨地办公室同步 | 上海更新 SOP → 加密分片经 M3（离线 USB MSC + .emr 回执）投递无网分公司 | 分公司 EdgeHippo 插入即合并，闭环回写可命中（G 判据：断网复测通过） |
| 离职/转岗回收 | HR 撤销成员 Trust Edge（REVOKE） | 该成员 EdgeHippo 不再能解密 org 分片；本地缓存按 ttl/撤销失效，越权访问被拒答 |
5.2 动态抓取实现
5.2.1 个人电脑端数据更新流程（eman 桌面守护进程）
- 采集 Capture：用户显式授权后，守护进程监听数据源（文件系统变更、浏览器活动、剪贴板、日历、本地文档）。默认全关，隐私边界在前。
- 抽取 Extract：本地轻模型/规则抽取候选知识（实体、偏好、结论），不出本机。
- 分类与去重 Classify：与 EdgeHippo 现有
.emf 比对，余弦 > 0.95 去重收敛（沿用 L2 策略）；标 trust_domain=personal。
- 生成候选 Propose：组装
.emf（EMKBIMG1 头 + meta: refusal/ttl_h + 向量置末尾），写入本地暂存。
- 提交 Commit：经 WebUSB/USB/BLE 推到 EdgeHippo；EdgeHippo 做边界校验（
min_score_q8 引擎层过滤）后落 eHippo。
- 回执 Receipt：EdgeHippo 返回
em_hit 式回执 + EM_Q_EXPLAIN；Studio 显示"已写入 N 条 / 去重 M 条"。
5.2.2 eHippo 插入后的实时更新机制
- 插入检测：EdgeHippo 检测到 eHippo（USB MSC 挂载 / γ 磁吸卡 NFC-BLE 配对 / δ SD 卡槽）。
- 发现与校验：读安全区
K_root，校验证书链与 owner_sig。属本设备所有者 → 直接挂载个人上下文；属受托人 → 仅加载加密分片（不解密为明文，仅参与备份拓扑）。
- 实时捕获流：插入后设备进入"在线上下文"态——实时数据源（本机传感器/键鼠流/麦克风电平条，不录音不回放）持续喂抽取器，生成增量碎片，按
ttl 与 src 实时写入 eHippo。
- 边缘闭环：插入期内的查询命中实时回写
em_hit_t，支撑"参考"支柱；断网也可闭环（本地 eHippo 即真相源）。
- 拔出即断：拔出 eHippo → 个人上下文随物理介质离开；设备仅留运行时缓存（按策略清除或留加密分片）。
5.3 信任 / 加密 / OTA 在各场景的交互矩阵
| 场景 | 信任建立 | 加密备份 | OTA 审批 |
|---|
| 个人日常 | 单设备自签；多 eHippo 经"物理插入"互备（2-of-3） | 本人多 eHippo 整片加密副本互备 | 设备所有者（本人）在 Studio/按键批准；模型 OTA 跑 redline 探针 |
| 家庭共享 | 家长 eHippo 作家庭域根 CA；成员 BLE 碰/插入签发成员证 | 家庭域 Shamir 分片（家长+配偶+（老人/子女）取 2）；共享 KB 整片副本互备 | 家长批准；关键更新（如儿童边界策略）需家长+配偶双签 |
| 组织协作 | 组织 CA（IT/Hub）签发角色证书；QR 远程入域 | 组织 Hub 集中加密副本 + 地理分布式 Shamir 分片（离线可合成） | 管理员提议，设备所有者（员工）逐台批准安装；安全更新可双签；模型 OTA 强制 redline 复检 |
6. 协议与格式扩展
6.1 .emf 碎片扩展字段
在现有 32B 头 EMKBIMG1 之后、向量（置末尾）之前，元数据块新增：
| 字段 | 类型 | 语义 |
|---|
trust_domain | uint8 | 0=personal / 1=family / 2=org |
owner_id | 6B | 域根或所有者 EME-<MAC3> |
role_mask | uint16 | 组织可见性角色位（仅 org 域有效） |
shard_ref | var | 指向备份分片集合的句柄（恢复用） |
ttl_h / refusal | 已有（ADR-014） | 边界/拒答，沿用不变 |
owner_sig | var | 所有者 K_root 对碎片哈希签名（防篡改、可验证来源） |
6.2 EdgeMesh 消息扩展（在 em_mesh_task 处理器上增）
| 消息 | 方向 | 作用 |
|---|
TRUST_PAIR | 双向 | 建立/撤销 Trust Edge（含 nonce、PK_root、签名） |
SHARD_SYNC | Hub/直连 | 传输加密分片（密文，受托方不可读） |
SHARD_RECOVER | 域根↔成员 | 阈值收集 Shamir 分片以重构 |
OTA_PROPOSE / OTA_APPROVE / OTA_INSTALL | Hub→设备 / 设备→Hub | 提议→所有者签名批准→验签安装（复用 /ota//kbota） |
6.3 em_query 扩展（trust-aware）
- 查询携带调用方
EME-<MAC3> 与所属域；引擎按 trust_domain + role_mask 过滤可见碎片。
- 越域/越权命中 → 按 ADR-014 返回拒因（EMPTY/REDLINE），不返回明文。
- 命中结果附
em_hit_t.src（来源 eHippo/时间）+ owner_sig 校验状态，支撑"参考"可溯。
7. 风险与未决（诚实列举，不假绿）
- 物理丢失 eHippo 的恢复边界：若本人所有 eHippo 同时丢失且未做跨域分片，个人上下文不可恢复——这是"可拔走"的物理代价，设计中以"默认开启跨域 Shamir 分片"缓解，但须用户明确同意把分片交给受托人。
- 受托人背叛 / 撤销：整片副本受托方虽不可读，但若与域根合谋可重构；撤销后须滚动重加密，存在时间窗。Shamir 降低单点风险，但不防 t 方共谋。
- 模型 OTA 的 redline 漂移：redline 探针只能覆盖已知拒答用例；新模型可能在未覆盖维度退化。须把"模型更新后重跑验收（含 TC-C-09/10/11/12）"设为强制门。
- 实时捕获的隐私面：插入期实时流虽不录音，但键鼠/传感器流仍可能泄露敏感上下文；须提供"插入即暂停捕获"的物理开关。
- 安全区密钥不可导出：依赖具体安全元件（SE/TPM/PUF），本设计留接口占位，未绑定 Oki 具体芯片；算法（AES-GCM / ECDSA / Shamir）为可替换实现。
8. 与 MVP 的衔接建议
- 不改动 MVP 冻结面：本设计为 MVP 之后的演进方向；MVP（v1.2）的固件/协议/Studio 不变，仅预留
trust_domain/owner_sig/新消息类型的扩展位。
- 先行试点：先在 β USB Dongle（最易拔插）上验证"eHippo = 身份根 + 授权载体"，再扩到 γ/δ 与家庭/组织域。
- 与现有 OTA 入口对齐：把 §4 的签名门禁叠加到现有
/ota//kbota，避免另起一套升级通道。
- 验收绑定：模型 OTA 的 redline 探针直接复用 MVP 测试计划中的 TC-C-09/10/11/12 与随机掉电 G7 判据，作为组织场景的强制安装门。
关联文档：00-总纲 / 01-硬件规格书 / 02-固件规格书 / 03-网络协议规范 / 04-Studio 规格（均见 06-MVP定稿）；ADR-014 拒答优先于勉强命中。