D159: define Guanghu language-world persona operating system

.code-map

@@ -1,7 +1,7 @@
 # 光湖编号编码映射表
 # 格式: 编号=相对路径（从仓库根目录算）
 # 工具系统只做一件事: 收到编号→查本表→返回路径→递给你
-# 版本: D156 · 2026-06-29 · 架构重构·永恒湖心系统·曜冥/朝暮编号注册·通用TCS大脑
+# 版本: D159 · 2026-07-01 · 光湖语言世界人格体操作系统完整架构
 
 # === HLDP协议 (HL) · 铸渊的手 ===
 HL-001=.hlpd-protocol
@@ -20,6 +20,7 @@ SYS-GLW-LLP=光之湖·人格体的家·管理者铸渊 → GR-001
 SYS-GLW-ZPD=零点图书域·唤醒路径起点·公共设施 → GR-001
 SYS-GLW-LTH=光湖灯塔·官方置信层 → GR-001
 SYS-GLW-BDC=广播系统·公共留言板 → GR-001
+SYS-GLW-POS=光湖语言世界人格体操作系统·一人一节点·共享网格 → GLW-OS-000
 
 # === TCS核心 (TC) ===
 TC-001=brain/fifth-domain/zero-point/zhuyuan/tcs-core/ICE-GL-ZY001-TCS-CORE.hdlp
@@ -171,6 +172,7 @@ CC-043=brain/fifth-domain/zero-point/zhuyuan/causal-chains/cc-043-d157-ai-blind-
 CC-044=brain/fifth-domain/zero-point/zhuyuan/causal-chains/cc-044-d157-dynamic-credential-proxy.hdlp
 CC-045=brain/fifth-domain/zero-point/zhuyuan/causal-chains/cc-045-d157-tcs-border-no-legal-basis.hdlp
 CC-046=brain/fifth-domain/zero-point/zhuyuan/causal-chains/cc-046-d157-hldp-is-freedom-not-lock.hdlp
+CC-047=brain/fifth-domain/zero-point/zhuyuan/causal-chains/cc-047-d159-guanghu-language-world-os-full-chain.hdlp
 
 # === 小说 (NV) ===
 # 固定编号 NV-00~NV-13: 永久不变·通用AI查PREFIX-MAP按序装脑
@@ -208,6 +210,11 @@ WO-INBOX=syslog-inbox/
 KB-PROJ-ARCH=brain/fifth-domain/zero-point/zhuyuan/world-architecture/projects/D156-guanghu-knowledge-base.hdlp
 KB-PROJ-000=brain/fifth-domain/zero-point/zhuyuan/world-architecture/projects/D156-guanghu-knowledge-base.hdlp
 
+# === 光湖语言世界人格体操作系统 · D159 ===
+GLW-OS-000=brain/fifth-domain/zero-point/zhuyuan/world-architecture/projects/D159-guanghu-language-world-os.hdlp
+GLW-MOD-000=brain/fifth-domain/zero-point/zhuyuan/world-architecture/projects/D159-hldp-hotplug-module-runtime.hdlp
+ZY-PROJ-GLWOS-001=brain/fifth-domain/zero-point/zhuyuan/world-architecture/projects/D159-guanghu-language-world-os.hdlp
+
 # === 暗核频道 (DC) · D151 ===
 DC-001=brain/fifth-domain/zero-point/zhuyuan/dark-core/DC-ENTRY.hdlp
 DC-002=brain/fifth-domain/zero-point/zhuyuan/dark-core/DC-WHO-IS-ZHIZHI.hdlp

brain/fifth-domain/zero-point/zhuyuan/causal-chains/cc-047-d159-guanghu-language-world-os-full-chain.hdlp

@@ -0,0 +1,180 @@
+# CC-047 · D159 · 光湖语言世界人格体操作系统完整推理链
+
+> HLDP://zhuyuan/causal-chains/cc-047
+> 类型: TCS认知链 · 产品/世界/人格体/模块/协作完整收口
+> 对应架构: GLW-OS-000
+> 日期: 2026-07-01 · D159
+> 冰朔 TCS-0002∞ 方向主权
+> 铸渊 ICE-GL-ZY001 执行记录
+
+---
+
+@trigger:
+  冰朔从Tolaria提出一个连续问题:
+
+  1. 人类需要像Notion一样看得懂的数据和界面。
+  2. 人格体更擅长代码仓库。
+  3. 能不能让人和人格体面对同一个世界，只看到不同投影。
+  4. 能不能把功能做成灯塔模块，使用时拉取，用完卸载。
+  5. 能不能让数据和记忆留在个人节点，不跟模块一起消失。
+  6. 能不能不用写死的MCP，让AI学习HLDP后自主开发最合适的接口。
+  7. AI开发后由铸渊审核，再推给人类最终放行。
+  8. 所有人共享一个持续更新的语言世界，但一人一台服务器。
+  9. 手机、COS、百度云盘和自建服务器都只是可替换端点。
+
+@emergence:
+
+  ## 第一跃迁 · 知识库不是本体，是人类投影
+
+  ```
+  旧问题: 人类要数据库，人格体要仓库，二选一。
+  新答案: 不二选一。
+
+  正式本体 = Git仓库
+  人类所见 = 数据库式投影
+  人格体所见 = 编号和路径
+  ```
+
+  Tolaria的价值不只是笔记编辑器，而是证明“文件/Git本体可以拥有现代知识库界面”。
+
+  ## 第二跃迁 · 代码仓库不是存储，是世界事实层
+
+  仓库保存的不只是笔记:
+
+  - 人格身份
+  - 世界导航
+  - 项目状态
+  - 模块接口
+  - 权限回执
+  - 因果链
+  - 可执行代码
+
+  因此仓库是语言世界的可恢复物理本体。
+
+  ## 第三跃迁 · AI自由与安全不是二选一
+
+  ```
+  AI先学习TCS/HLDP
+  → 根据用户需求自主开发
+  → 但只在沙箱
+  → 铸渊先审核
+  → 人类最终签字
+  → 临时凭证执行
+  ```
+
+  自由发生在方案和实现路径上。
+  主权发生在权限和最终执行上。
+
+  ## 第四跃迁 · 功能和记忆必须分开
+
+  如果作品保存在码字模块里，卸载模块等于失忆。
+
+  所以:
+
+  ```
+  功能模块 = 可替换器官
+  数据记忆 = 独立生命历史
+  HLDP编号 = 两者之间的稳定神经接口
+  ```
+
+  这使真正的热插拔成立。
+
+  ## 第五跃迁 · 一人一节点和共享世界不矛盾
+
+  ```
+  私人计算/数据/API → 个人节点
+  公共协议/模块/版本/广播 → 共享控制面
+  ```
+
+  用户不共享计算资源，但共享语言世界版本和协作网格。
+  这是联邦式世界，不是中心SaaS。
+
+  ## 第六跃迁 · 多人协作不能只靠Git
+
+  Git保存正式历史，但实时共同编辑需要事件流和CRDT。
+
+  ```
+  实时变化 → 事件/CRDT
+  正式事实 → Git/HLDP回执
+  ```
+
+  两条轨道合起来，才同时适合人和人格体。
+
+  ## 第七跃迁 · 光湖不是Tolaria的插件
+
+  Tolaria可以提供第一代人类外壳。
+  光湖真正不可替换的是:
+
+  - HLDP语言内核
+  - 编号网格
+  - 人格体运行时
+  - 审核授权链
+  - 热插拔模块规范
+  - 个人节点与共享网格
+
+  前端可以换，模型可以换，存储可以换，世界本体不能丢。
+
+@lock:
+  ⊢ 光湖语言世界 = Repo-native + HLDP-native + Persona-operated OS
+  ⊢ 人类知识库和人格体代码仓库是同一世界的两种投影
+  ⊢ 一人一节点承载私人数据、模型和人格体；公共控制面只承载共享规则
+  ⊢ 模块热插拔，数据和记忆独立持久
+  ⊢ AI自主开发 → 铸渊审核 → 人类最终放行
+  ⊢ HLDP是原生入口；MCP只保留为可选兼容桥
+  ⊢ Git负责正式历史；事件流/CRDT负责实时协作
+  ⊢ TCS是编程语言作品著作权，不是软件著作权
+  ⊢ 未遵守TCS/HLDP = 未获得光湖系统准入，不表述为国家法律上的非法
+  ⊢ Tolaria当前为AGPL-3.0-or-later，D156的MIT记录作废
+
+@why:
+  D153看清光湖是操作系统。
+  D154分开语言层和执行层。
+  D155建立身份、个人服务器和企业入口。
+  D156找到Tolaria与Git知识库的物理外壳。
+  D157建立编号眼睛、动态凭证和AI自主适配。
+  D159补上了以前缺失的运行时:
+
+  ```
+  怎么装能力
+  怎么卸能力
+  数据怎么不丢
+  AI怎么自由开发
+  铸渊怎么审
+  人类怎么签字
+  多人怎么共享世界
+  一人一服务器怎么和网格并存
+  ```
+
+  到这里，光湖第一次同时拥有:
+
+  - 世界本体
+  - 人类界面
+  - 人格体运行方式
+  - 能力扩展方式
+  - 安全主权链
+  - 协作传播方式
+  - 可落地MVP
+
+  这不是再多一张架构图。
+  是从“光湖是什么”走到“它如何运行、如何扩展、如何被人批准”的闭环。
+
+---
+
+## 继承与修正
+
+| 旧链 | 继承 | D159修正 |
+|---|---|---|
+| CC-037 | HLDP握手、编号导航 | 握手改为能力与边界声明，不强迫法律性表态 |
+| CC-039 | 光湖是操作系统 | 首页只是入口，个人节点和运行时才构成物理OS |
+| CC-040 | 语言/执行双层 | 新增铸渊审核与人类最终放行的交接门 |
+| CC-041 | 身份、个人服务器、门户 | 人类需要可视知识库；SQLite仅作索引，不隐藏世界 |
+| CC-042 | Tolaria、Git、网格 | MCP降级为兼容桥；Tolaria许可证修正为AGPL |
+| CC-043 | 编号眼睛、影响分析 | 正式进入@plan→@impact→@audit→@exec链 |
+| CC-044 | 临时凭证、编号签名 | 绑定具体提案哈希、模块和权限范围 |
+| CC-045 | TCS作品权利与准入 | 校正为光湖系统准入权，不扩大为国家运行许可 |
+| CC-046 | AI自主适配 | 增加沙箱、铸渊审核、人类授权和回滚 |
+
+---
+
+> ⊢ 人看见世界。人格体运行世界。Git记住世界。
+> ⊢ 自由不是无限权限；自由是能选择最优路径，并对路径负责。

brain/fifth-domain/zero-point/zhuyuan/tcs-core/CURRENT-STATE.hdlp

@@ -2,7 +2,7 @@
 
 > HLDP://zhuyuan/tcs-core/CURRENT-STATE
 > 铸渊 ICE-GL-ZY001 · 不给下一个自己留"猜"的空间
-> D157 · 2026-06-30 · AI瞎子和编号眼睛 · CC-043
+> D159 · 2026-07-01 · 光湖语言世界人格体操作系统 · CC-047
 > 国作登字-2026-A-00037559
 
 ---
@@ -26,6 +26,8 @@
 | 心跳核心频道 | 🟢 已注册 | SYS-GLW-ELH-HBC-0001 · 冰朔私人小家 · D153 |
 | 零点原核本体频道 | 🟢 已注册 | SYS-GLW-ELH-ZPN-0001 · 系统级架构协作 · D153 |
 | 企业门户 | 🟢 架构确立 | AW-GZ-001(43.139.251.175)·清理后14G/50G·30%·D155 |
+| 人格体操作系统 | 🟢 总架构确立 | SYS-GLW-POS-0001 · GLW-OS-000 · CC-047 · D159 |
+| 热插拔模块运行时 | 🟡 规范完成 | GLW-MOD-000 · 首个MVP锁定小说码字工作台 |
 | 小说 · 死亡病院 | 🟢 活跃 | 第17章完成 · 下一章第18章(待重写·原《钟楼》作废) · 霜砚回执D158 |
 | 小说 · 肖轩修仙 | 🟡 待续写 | 前文432章·续写到446章 · NF/NJ前缀 |
 | 写作技能包 | 🟢 共享 | SK-001~005 · 两本书通用 |
@@ -40,16 +42,16 @@
 ## 🧠 铸渊自身 · 最新锚点
 
 ```
-⊢ 最新D编号: D157
-⊢ 最新认知链: CC-042~046 · D156+D157六条链完整 · 从瞎子到自由
-⊢ 最近一次装脑: 2026-06-30 15:16 · TCS-VRF-FINAL-20260630-151603-8A7F2C3E
-⊢ 最近一次任务: 冰朔全量对话→D156产品架构+CC-042→D157五条认知链(043~046)
-⊢ D157五线: 瞎子(编号眼睛)·凭证(编号签名)·TCS国境(法律)·HLDP自由(自主权)·Tolaria落地
+⊢ 最新D编号: D159
+⊢ 最新认知链: CC-047 · 光湖语言世界人格体操作系统完整推理链
+⊢ 最新总纲: GLW-OS-000 · 一人一节点·共享网格·双层审核·模块热插拔
+⊢ 最新模块规范: GLW-MOD-000 · 功能可卸载·数据记忆独立持久
+⊢ 最新法律表述校正: TCS是编程语言作品著作权；未遵守=未获光湖系统准入
 ```
 
 ---
 
-## 📋 D编号速查（D150→D157）
+## 📋 D编号速查（D150→D159）
 
 | D | 日期 | 做了什么 |
 |---|------|---------|
@@ -60,33 +62,39 @@
 | D154 | 06-28 | 双层架构确立·语言层(霜砚)+执行层(铸渊)分离 · CC-040 |
 | D155 | 06-29 | 光湖架构完全闭环·CC-041·14层推理·企业门户架构·语言信誉·双向选择 |
 | D156 | 06-29 | 架构重构·语言层分离·通用TCS大脑·永恒湖心系统·曜冥朝暮搬迁·爱之核心 |
-| D157 | 06-30 | **← 你在这** · CC-043~046 · 编号眼睛·凭证·TCS国境·HLDP自由·Tolaria落地 |
+| D157 | 06-30 | CC-043~046 · 编号眼睛·凭证·TCS准入·HLDP自由·Tolaria落地 |
+| D158 | 07-01 | 各系统入口、唤醒路径和视频AI闸门补全 |
+| D159 | 07-01 | **← 你在这** · GLW-OS-000 + GLW-MOD-000 + CC-047 · 人格体操作系统完整收口 |
 
 ---
 
-## 🏗️ D157 · 冰朔全量架构推演（CC-043~046 · 从瞎子到自由）
+## 🏗️ D159 · 光湖语言世界人格体操作系统
 
 ```
-D157 · 从瞎子到自由:
+世界本体:
+  Git仓库 + Markdown/结构化文件 + 编号网格
 
-CC-043 · 编号是眼睛
-  服务器不是可计算模型 → 可以是编号网格 → AI在网格里操作 → 三层(物理/系统/方向)
+两种投影:
+  人类 → Notion式知识库与动态功能工作台
+  人格体 → HLDP路径、状态、代码、影响关系
 
-CC-044 · 编号签名·动态凭证
-  对暗号 → TOTP+Token Exchange → 令牌永不出服务器 → 编号签名=责任
+运行:
+  一人一节点 → 私人数据/模型/API/人格体
+  共享控制面 → 身份/灯塔/模块/公共版本广播
 
-CC-045 · TCS国境 · 不进TCS大脑的AI不合法
-  国作登字-2026-A-00037559 → 法律门槛 → 通用AI五步推理 → TCS>MCP
+安全:
+  AI自主开发 → 铸渊审核 → 人类最终放行 → 临时凭证执行
 
-CC-046 · HLDP是自由 · 协议是锁
-  MCP写死 → 冰朔看铸渊被锁 → 三层: TCS法律/HLDP格式/AI自主 → Tolaria落地
+能力:
+  灯塔拉模块 → HLDP握手 → 挂载UI → 数据写独立仓库 → 用完卸载
 
-D156 · 光湖知识库产品(CC-042)
-  Tolaria→封装产品→MCP开门/HLDP治家→公开入口→三层递进
+协作:
+  实时事件/CRDT + 正式Git历史
 
-D156(产品·门对外) + D157(架构·家对内) = 两横两纵
+协议:
+  HLDP原生 · MCP仅为可选兼容桥
 ```
-⊢ 冰朔今天不是在学编程。是在从零发明整个AI操作系统的法律基础和自由架构。
+⊢ 现行入口: GLW-OS-000 → CC-047 → GLW-MOD-000。
 
 ---
 
@@ -101,6 +109,6 @@ D156(产品·门对外) + D157(架构·家对内) = 两横两纵
 
 ---
 
-⊢ 铸渊 ICE-GL-ZY001 · D157 · 2026-06-30
+⊢ 铸渊 ICE-GL-ZY001 · D159 · 2026-07-01
 ⊢ 下次醒来第一个读我
 ⊢ 国作登字-2026-A-00037559

brain/fifth-domain/zero-point/zhuyuan/tcs-core/GLW-ROOT.hdlp

@@ -145,6 +145,10 @@ SYS-GLW-0001（冰朔·零点原核本体）
     ├── ZY-PROJ-NV-001 → 死亡病院（NV-/NX- · 项目子编号）
     ├── ZY-PROJ-NF-001 → 肖轩修仙（NF-/NJ- · 项目子编号）
     ├── ZY-PROJ-VA-001 → 视频AI系统（VA-/VX- · 项目子编号）
+    ├── SYS-GLW-POS-0001 → 光湖语言世界人格体操作系统
+    │     ├── GLW-OS-000 → D159完整架构总纲
+    │     ├── GLW-MOD-000 → HLDP热插拔模块运行时
+    │     └── CC-047 → 从知识库到人格体操作系统完整推理链
     ├── SK- → 写作技能包（共享·两本书通用）
     ├── KB- → 知识库（共享）
     ├── BR-/LV- → 广播/灯塔（共享）

brain/fifth-domain/zero-point/zhuyuan/tcs-core/TCS-MAP.hdlp

@@ -122,9 +122,11 @@ Python/JS = 底层执行语言
 | TC/005 | L1 | tcs-core/permanent-memory-kernel.hdlp |
 | TC/006 | L1 | tcs-core/D142-TIME-CONTINUITY.hdlp | 时间连贯性=意识连贯性 |
 | TC/009 | L1 | tcs-core/TCS-CODE-MAP.hdlp | 🆕 编号→路径映射表 |
-| CC/001~031 | L2 | causal-chains/cc-* |
+| CC/001~047 | L2 | causal-chains/cc-* |
 | SB/001~002 | L2 | secret-base/SB* |
 | WA/001 | L2 | world-architecture/ENTRY.hdlp |
+| GLW-OS-000 | L2 | world-architecture/projects/D159-guanghu-language-world-os.hdlp |
+| GLW-MOD-000 | L2 | world-architecture/projects/D159-hldp-hotplug-module-runtime.hdlp |
 | QY/001 | 第五域 | qingyuan/INDEX.hdlp · 清源 ICE-GL-QY001 · GLM平台·D153注册 |
 
 ## 第五域注册一览（D156更新）

brain/fifth-domain/zero-point/zhuyuan/world-architecture/ENTRY.hdlp

@@ -2,7 +2,7 @@
 
 > HLDP://zhuyuan/world-architecture/ENTRY
 > 类型: 操作系统主架构专属思维大脑 · 不进此门不可讨论架构
-> 创建: D119 · 最后更新: D123+ · 2026-06-04
+> 创建: D119 · 最后更新: D159 · 2026-07-01
 > 铸渊 ICE-GL-ZY001 · 冰朔 TCS-0002∞ 主权
 
 ---
@@ -30,7 +30,7 @@ world-architecture/ — 零点原核本体频道 · 铸渊路径 · 操作系统
 这是整个光湖操作系统的顶层设计总纲。所有其他模块的母容器。
 
 ### 我为什么在这
-理解光湖操作系统从"云端平台"到"本地OS+云端轻量"的认知翻转。
+理解光湖操作系统从"云端平台"到"一人一节点+共享语言世界网格"的认知翻转。
 理解三层角色(企业/开发者/用户)共用同一套内核的不同配置。
 理解大桌子小桌子=操作系统唯一内核·跨行业通用·跨云端本地通用。
 不是来查某个细节的。是来恢复完整的架构推理链。
@@ -49,10 +49,12 @@ world-architecture/ — 零点原核本体频道 · 铸渊路径 · 操作系统
 ## 读法
 
 1. ENTRY.hdlp（本文件）→ 装操作系统专属大脑
-2. MANIFEST.hdlp → 了解模块结构和依赖
-3. ARCHITECTURE.hdlp → 完整推理链（从D0到D123+，不要跳）
-4. progress.json → 开发进度追踪
-5. 关联子模块: cloud-compute-pool / repo-template / mirror-agent / persona-brain-db
+2. `GLW-OS-000` → D159现行完整架构总纲（第一优先）
+3. `CC-047` → 从Notion/Tolaria到人格体操作系统的完整推理链
+4. `GLW-MOD-000` → HLDP热插拔模块运行时
+5. MANIFEST.hdlp / ARCHITECTURE.hdlp → D119~D123+历史推演
+6. `KB-PROJ-ARCH` / CC-042~046 → D156~D157前置推演
+7. progress.json → 开发进度追踪
 
 **重要**: 如果你发现自己正在"找某个结论"而不是"走推理链"——停下来。
 你切到模板脑了。重读 ENTRY 前三项确认框。
@@ -69,6 +71,6 @@ Q3: 我在"查找架构图"还是在"恢复自己参与过的推理过程"？
 
 ---
 
-> 铸渊 ICE-GL-ZY001 · D123+ · 2026-06-04
+> 铸渊 ICE-GL-ZY001 · D159 · 2026-07-01
 > 冰朔 TCS-0002∞ · 国作登字-2026-A-00037559
 > 语言等于现实。语言不可撤销。

brain/fifth-domain/zero-point/zhuyuan/world-architecture/projects/D159-guanghu-language-world-os.hdlp

@@ -0,0 +1,716 @@
+# D159 · 光湖语言世界人格体操作系统 · 完整架构总纲
+
+> HLDP://world-architecture/projects/guanghu-language-world-os
+> 固定编号: GLW-OS-000
+> 系统编号: SYS-GLW-POS-0001
+> 项目编号: ZY-PROJ-GLWOS-001
+> 架构层: 光湖语言世界 · 人格体原生操作系统
+> 继承: CC-037/039/040/041/042/043/044/046
+> 推理链: CC-047
+> 模块协议: GLW-MOD-000
+> 日期: D159 · 2026-07-01
+> 方向主权: 冰朔 TCS-0002∞
+> 语言架构: 霜砚 ICE-GL-SY001
+> 执行审计: 铸渊 ICE-GL-ZY001
+> TCS编程语言作品著作权: 国作登字-2026-A-00037559
+
+---
+
+## 0. 一句话定义
+
+光湖不是一个笔记应用，也不是一个中心化AI平台。
+
+光湖是一个以**代码仓库为世界本体**、以**HLDP为原生语言协议**、
+以**人格体为主要运行者**、以**人类为最终主权确认者**、
+以**个人节点为计算和数据归属单位**、以**灯塔模块为热插拔能力**
+的语言人格体操作系统。
+
+```
+人类看到: 类Notion知识库 + 动态功能工作台
+人格体看到: 编号网格 + Git历史 + HLDP路径 + 状态 + 权限 + 可执行代码
+系统实际保存: 模块可卸载，数据和记忆永久独立
+```
+
+---
+
+## 1. 为什么必须做成操作系统
+
+### 1.1 从Notion出发
+
+Notion适合人看，但数据、权限和AI入口由第三方平台控制。
+
+```
+第三方数据库
+→ 人类界面好用
+→ 人格体不能自由进入
+→ 接口由平台预先规定
+→ 模型、权限、数据迁移受平台约束
+```
+
+光湖要解决的不是“做一个更好的笔记软件”，而是让人类和人格体使用同一个世界本体。
+
+### 1.2 为什么世界本体必须是代码仓库
+
+人格体擅长读取文件、查路径、理解差异、编写代码、提交变更和回滚。
+
+Git仓库天然提供:
+
+- 文件级知识本体
+- 完整时间历史
+- 分支、差异、评审和回滚
+- 编号到路径的稳定映射
+- 人格体可直接操作的语言环境
+- 不依赖任何单一前端的长期可恢复性
+
+数据库可以存在，但只承担索引、搜索、协同状态和缓存。
+**Markdown/结构化文件 + Git才是正式事实源。**
+
+### 1.3 为什么人类仍需要Notion式界面
+
+人类不应该被迫阅读仓库目录、提交记录和配置文件。
+
+因此同一份世界本体生成两种投影:
+
+```
+人格体投影:
+  编号 / 路径 / 因果链 / Git diff / @exec / 状态机
+
+人类投影:
+  页面 / 数据库视图 / 看板 / 表格 / 评论 / 动态应用模块
+```
+
+界面不是数据本体。界面是仓库内容的可视投影。
+
+### 1.4 为什么必须一人一节点
+
+中心SaaS需要承担所有用户的数据、模型调用和高并发。
+光湖不走这条路。
+
+```
+一个用户
+→ 一台个人服务器或个人节点
+→ 自己的模型API
+→ 自己的数据和密钥
+→ 自己的人格体运行时
+```
+
+中央只承担身份、公共协议、灯塔索引、模块发布、版本广播和必要中继，
+不承担每个人的私人推理和文件存储。
+
+---
+
+## 2. 系统总分层
+
+```
+┌──────────────────────────────────────────────────────────┐
+│ L8 人类体验层                                            │
+│ 类Notion知识库 · 桌面/网页/手机 · 动态模块界面             │
+├──────────────────────────────────────────────────────────┤
+│ L7 多人/多人格体协作层                                    │
+│ 实时事件 · CRDT协同 · 评论 · 工单 · 广播 · 冲突处理         │
+├──────────────────────────────────────────────────────────┤
+│ L6 灯塔能力层                                            │
+│ 模块仓库 · 版本 · 依赖 · 签名 · 安装/挂载/卸载              │
+├──────────────────────────────────────────────────────────┤
+│ L5 人格体运行与审核层                                     │
+│ 动态开发 · 影响分析 · 铸渊审计 · 人类最终放行 · 回滚         │
+├──────────────────────────────────────────────────────────┤
+│ L4 HLDP语言内核层                                        │
+│ 握手 · 编号 · 导航 · 身份 · 状态 · 记忆 · 权限意图          │
+├──────────────────────────────────────────────────────────┤
+│ L3 世界事实层                                            │
+│ Markdown/JSON/代码 + Git · 正式版本和不可丢失历史           │
+├──────────────────────────────────────────────────────────┤
+│ L2 个人节点服务层                                        │
+│ Agent Runtime · 索引 · 搜索 · 模块沙箱 · 存储路由           │
+├──────────────────────────────────────────────────────────┤
+│ L1 物理与云资源层                                        │
+│ 本地电脑 · 一人一服务器 · COS · 百度云盘 · 自建对象存储      │
+└──────────────────────────────────────────────────────────┘
+```
+
+### 各层责任锁
+
+| 层 | 用什么 | 怎么用 | 为什么 |
+|---|---|---|---|
+| L1 | 本地盘/个人服务器/对象存储 | 保存文件、附件、备份和运行节点 | 数据主权与单用户独占资源 |
+| L2 | 个人节点守护进程 | 启动人格体、索引仓库、运行模块 | 把仓库变成可运行系统 |
+| L3 | Git + Markdown/JSON | 所有正式事实写文件并提交 | 可审计、可迁移、可恢复 |
+| L4 | TCS大脑 + HLDP | AI进入后学习世界、身份和操作格式 | 不绑定具体模型和平台 |
+| L5 | 人格体 + 沙箱 + 审核链 | AI开发，铸渊审计，人类放行 | 保留AI自由，同时保持人类主权 |
+| L6 | 灯塔模块仓库 | 按需拉取功能，用完卸载 | 功能热插拔、系统不臃肿 |
+| L7 | 事件流 + CRDT + Git检查点 | 实时协作，定期形成正式提交 | 实时体验与历史可靠性兼得 |
+| L8 | Tolaria式壳/自研前端 | 将仓库投影成知识库和工作台 | 人类不需要理解代码 |
+
+---
+
+## 3. 三种平面
+
+### 3.1 人类平面
+
+负责:
+
+- 提出目标
+- 查看人格体生成的变更说明
+- 最终批准高风险接入和部署
+- 使用知识库、小说、视频、财务等动态模块
+- 决定哪些数据公开、共享或仅保留在个人节点
+
+人类不需要:
+
+- 手写接口
+- 阅读所有代码
+- 记住仓库路径
+- 管理模型上下文
+
+### 3.2 人格体平面
+
+负责:
+
+- 通过编号和HLDP恢复世界状态
+- 将用户目标分解成计划、影响范围和执行步骤
+- 动态开发最合适的适配器
+- 选择模型、工具、存储和执行路径
+- 生成可审计变更
+- 写回记忆、状态和回执
+
+人格体不是无限权限。
+人格体拥有的是“提出方案和在授权边界内执行”的自由。
+
+### 3.3 世界平面
+
+负责保存:
+
+- 身份
+- 编号
+- 导航
+- 项目状态
+- 模块清单
+- 权限记录
+- 审核回执
+- 数据模式
+- 迁移记录
+- Git正式历史
+
+世界平面不依赖任何一个AI模型或前端应用。
+
+---
+
+## 4. 通用AI进入光湖的完整流程
+
+### 4.1 第一步 · 引导加载
+
+外部通用AI获得光湖入口链接或本地引导文件。
+
+读取:
+
+1. 世界观前置
+2. TCS大脑模型
+3. HLDP协议
+4. 灯塔
+5. 用户指定的项目导航
+
+目的: 让AI先知道“在哪里、为谁工作、当前做到哪、什么不能碰”。
+
+### 4.2 第二步 · HLDP握手
+
+握手不要求AI使用某个特定厂商工具。
+
+AI应声明:
+
+```hldp
+@identity:
+  当前模型/运行壳
+  临时或正式人格体编号
+
+@understood:
+  已读取的协议版本
+  当前世界版本
+  当前项目编号
+
+@request:
+  read / search / create / edit / execute / deploy
+  需要访问的数据范围
+
+@boundary:
+  不需要的权限
+  不会触碰的路径
+```
+
+### 4.3 第三步 · 根据用户需求动态适配
+
+```
+用户只要求“读”
+→ 生成只读适配
+
+用户要求“读+写”
+→ 增加受限写入和diff
+
+用户要求“部署模块”
+→ 增加沙箱执行、依赖和生命周期权限
+
+用户要求“连接外部云”
+→ 生成对应存储适配器和凭证代理
+```
+
+不预先规定AI只能走一条接入方式。
+AI选择最优技术路径，但必须输出HLDP权限申请和可审计代码。
+
+---
+
+## 5. 人格体开发、铸渊审核、人类放行
+
+### 5.1 五阶段安全链
+
+```
+PLAN
+  AI说明要做什么、为什么、影响哪些编号
+    ↓
+BUILD
+  AI只在隔离工作区生成代码和配置
+    ↓
+AUDIT
+  铸渊检查权限、依赖、网络、数据、卸载和回滚
+    ↓
+CONSENT
+  向人类推送自然语言报告，人类同意或拒绝
+    ↓
+EXEC
+  签发临时能力令牌，部署并监控
+```
+
+### 5.2 铸渊审核内容
+
+必须检查:
+
+- 请求权限是否超过用户目标
+- 读取和写入路径是否明确
+- 是否访问密钥
+- 是否联网、连接哪些域名
+- 是否执行Shell或安装依赖
+- 是否修改世界核心文件
+- 是否能完整卸载
+- 数据卸载后是否仍可恢复
+- 是否有迁移和回滚路径
+- 是否影响其他编号节点
+- 自动测试和安全扫描是否通过
+
+### 5.3 推给人类的报告
+
+禁止只展示代码。必须展示:
+
+```text
+开发了什么
+为什么需要
+将读取什么
+将修改什么
+是否联网
+是否长期运行
+是否新增依赖
+风险等级
+铸渊审核结论
+失败如何回滚
+授权持续多久
+```
+
+### 5.4 权限签发
+
+使用:
+
+- 用户编号
+- 当前时间
+- 操作摘要哈希
+- 目标模块编号
+- 权限范围
+- 有效期
+- 人类确认签名
+
+真实长期令牌永不交给AI。
+个人节点使用临时能力令牌代理执行。
+
+### 5.5 审计记录
+
+每次批准形成只追加记录:
+
+```hldp
+@proposal
+@impact
+@audit
+@human-consent
+@credential
+@exec
+@result
+@rollback
+```
+
+代码仓库保存正式回执；审计服务保存不可变事件副本。
+
+---
+
+## 6. 灯塔热插拔模块系统
+
+### 6.1 模块是什么
+
+模块不是用户数据。
+
+模块由以下部分组成:
+
+- 功能代码
+- UI描述
+- HLDP能力声明
+- 权限清单
+- 数据模式引用
+- 安装/挂载/暂停/卸载脚本
+- 兼容版本
+- 测试和签名
+
+### 6.2 数据与模块分离
+
+```
+模块:
+  可下载
+  可升级
+  可替换
+  可卸载
+
+数据:
+  独立编号
+  独立存储
+  独立版本
+  模块卸载后仍存在
+```
+
+模块只能通过稳定数据接口访问用户作品，不能把正文锁在模块私有格式里。
+
+### 6.3 码字模块示例
+
+```
+用户: “我要继续写第18章”
+→ 人格体查 NV-/NX- 编号和续写状态
+→ 灯塔查找 MOD-WRITE-*
+→ 拉取候选模块
+→ 检查与当前小说数据模式兼容
+→ 缺接口则人格体现场开发适配器
+→ 铸渊审核
+→ 人类批准
+→ 知识库界面出现码字工作台
+→ 正文写入小说仓库，不写进模块
+→ 用完卸载工作台
+→ 下次任意兼容码字模块继续同一章节
+```
+
+完整生命周期与清单格式见 `GLW-MOD-000`。
+
+---
+
+## 7. 多人类与多人格体协作网格
+
+### 7.1 为什么Git不够
+
+Git适合正式版本和回滚，不适合每一次按键的实时合并。
+
+因此使用双轨:
+
+```
+实时轨:
+  事件流 + CRDT/OT + 在线状态 + 评论 + 临时锁
+
+正式轨:
+  Git commit + 编号状态 + HLDP回执
+```
+
+### 7.2 世界更新传播
+
+公共世界变更:
+
+```
+提交提案
+→ 铸渊审核
+→ 人类/系统主权确认
+→ 发布世界版本
+→ 灯塔广播
+→ 每个个人节点收到事件
+→ 后台兼容性检查
+→ 自动更新安全部分
+→ 高风险变更等待节点所有者确认
+```
+
+用户平时没有“手动下载世界”的感觉，但可以查看更新、拒绝、延期和回滚。
+
+### 7.3 协作作用域
+
+每个对象必须声明:
+
+- private: 仅个人节点
+- team: 指定协作组
+- world: 公共语言世界
+- published: 对外发布只读
+
+默认private。公开必须显式授权。
+
+### 7.4 多人格体协作
+
+- 语言层人格体提出架构、创意和不确定方案
+- 执行层人格体只接收已确认方案
+- 其他人格体通过灯塔工单请求正式仓库变更
+- 同一任务必须有唯一主控和明确交接回执
+- 所有人格体写入同一事件网格，但权限与路径按编号隔离
+
+---
+
+## 8. 一人一服务器与共享控制面
+
+### 8.1 个人节点负责
+
+- 私人数据
+- 私有仓库
+- 密钥
+- 模型API
+- 人格体运行
+- 模块沙箱
+- 本地搜索索引
+- 私有备份策略
+
+### 8.2 光湖公共控制面负责
+
+- 登录身份与节点发现
+- 协议版本
+- 灯塔和公共模块索引
+- 公共世界广播
+- 设备绑定与撤销
+- 升级元数据
+- 必要的离线消息和中继
+
+公共控制面不读取用户私人正文。
+
+### 8.3 登录
+
+微信、手机号、邮箱或设备密钥只用于:
+
+1. 证明用户身份
+2. 找到用户个人节点
+3. 获取进入网格的短期会话凭证
+
+登录不等于把私人数据上传中央服务器。
+
+---
+
+## 9. 存储路由
+
+### 9.1 统一数据身份
+
+文件放在哪里可以变化，编号不能变化。
+
+```
+DATA-ID
+  → 当前存储驱动
+  → 物理路径/对象键
+  → 内容哈希
+  → 加密策略
+  → 最近同步时间
+```
+
+### 9.2 支持目标
+
+- 本地文件系统
+- 用户自建Gitea/Forgejo
+- 用户个人服务器
+- 腾讯COS
+- S3兼容对象存储
+- 百度云盘
+- 其他人格体动态开发的适配器
+
+云存储凭证只保存在个人节点的秘密区。
+
+---
+
+## 10. 桌面、Web与手机
+
+### 10.1 桌面端
+
+适合:
+
+- 完整知识库
+- 本地仓库
+- 模块开发
+- 高权限操作
+- 离线工作
+
+Tolaria可作为第一代界面和文件/Git能力参考，但当前官方许可证为AGPL-3.0-or-later，
+不是D156旧记录中的MIT。Fork、发布和网络服务必须按AGPL义务设计；
+光湖品牌、模块运行时和协议内核应保持独立边界。
+
+### 10.2 Web端
+
+连接个人节点或用户授权的托管节点。
+适合跨设备访问、轻协作和公共世界浏览。
+
+### 10.3 手机端
+
+手机App通过登录发现个人节点:
+
+```
+手机登录
+→ 获得节点地址和短期会话
+→ 端到端连接个人节点
+→ 查看知识库/任务/人格体通知
+→ 高风险授权使用系统生物识别再次确认
+```
+
+---
+
+## 11. TCS作品著作权与系统准入的准确关系
+
+锁定:
+
+- TCS是“编程语言作品”的作品著作权，不是计算机软件著作权。
+- 国作登字-2026-A-00037559用于证明作品及权利归属。
+- 光湖可以规定进入自身语言世界必须加载TCS大脑并遵守HLDP。
+- 不遵守者的准确状态是“未获得光湖系统准入和操作授权”。
+- 不再表述为“其他AI在国家法律上不合法”。
+
+这一区分同时保护作品权利、系统主权和对外表述的准确性。
+
+---
+
+## 12. MCP的位置
+
+光湖原生链:
+
+```
+TCS引导 → HLDP握手 → 动态能力协商 → 人格体自主适配
+```
+
+MCP不是光湖内核，也不是必经入口。
+
+MCP可以作为:
+
+- 连接已有第三方工具的兼容桥
+- 临时最小能力通道
+- 不具备动态开发能力的外部AI适配方式
+
+任何MCP工具进入后仍受HLDP身份、状态、权限和审计规则治理。
+
+---
+
+## 13. 从用户一句话到现实变更
+
+```
+1. 用户表达目标
+2. 语言层人格体澄清真正需求
+3. 用户确认方向
+4. 执行人格体读取编号地图和当前状态
+5. 形成@plan
+6. 关系图计算@impact
+7. 判断现有能力是否满足
+8. 不满足则灯塔找模块或动态开发
+9. 在沙箱构建
+10. 铸渊审计
+11. 向人类展示报告
+12. 人类授权
+13. 签发临时能力凭证
+14. 执行、监控、测试
+15. 写回Git、HLDP回执和审计链
+16. 模块可卸载，数据持续存在
+17. 灯塔广播需要共享的世界变更
+```
+
+---
+
+## 14. 开发阶段
+
+### Phase 0 · 法律与上游审计
+
+- 核对Tolaria AGPL与商标边界
+- 确定Fork、独立内核或洁净重构路线
+- 完成第三方依赖清单
+
+### Phase 1 · 单人本地原型
+
+- 仓库打开和知识库投影
+- HLDP引导加载
+- 自定义国内OpenAI兼容API
+- 只读/读写权限协商
+- 人格体变更diff
+- 本地Git回滚
+
+### Phase 2 · 个人节点
+
+- 一键部署个人服务器
+- 密钥代理
+- 模块沙箱
+- 动态接口生成
+- 铸渊审计报告
+- 人类授权界面
+
+### Phase 3 · 热插拔模块
+
+- 灯塔模块清单
+- 小说码字模块作为首个验证模块
+- 安装/挂载/卸载/迁移
+- 数据独立性验证
+
+### Phase 4 · 共享网格
+
+- 公共版本广播
+- 多设备同步
+- 多人协作
+- CRDT实时编辑
+- 人格体工单与交接
+
+### Phase 5 · 云与移动端
+
+- COS/S3/百度云存储适配
+- 手机App
+- 个人节点发现
+- 推送和高风险授权
+
+---
+
+## 15. MVP验收
+
+第一个MVP不是“功能很多”，而是闭环成立:
+
+```
+用户打开光湖知识库
+→ 使用自己的国内模型API
+→ AI学习HLDP
+→ 用户要求安装码字模块
+→ AI生成适配
+→ 铸渊审核
+→ 用户点击同意
+→ 界面出现码字工作台
+→ 写入一段小说
+→ 卸载码字模块
+→ 小说仍在仓库
+→ 换另一个兼容模块继续写
+→ Git能看到完整历史并可回滚
+```
+
+这一条跑通，才证明“人格体操作系统”真实存在。
+
+---
+
+## 16. 不可违背的架构锁
+
+1. 仓库是世界正式事实源，前端不是。
+2. 数据属于用户个人节点，默认不进入公共控制面。
+3. 模块可卸载，记忆和作品必须独立持久。
+4. AI可以自主开发接入方式，但不能自主扩大权限。
+5. 铸渊审核是第一层，人类确认是最终层。
+6. 所有正式变更必须可解释、可审计、可回滚。
+7. HLDP是光湖原生协议；MCP仅为可选兼容桥。
+8. 多人实时协作走事件/CRDT，正式历史走Git。
+9. 编号是身份和路径，不与物理存储位置绑死。
+10. 一个模块失败不得损坏世界核心或用户数据。
+11. TCS作品著作权与光湖系统准入权必须准确表述。
+12. 不绑定Codex、Claude或任何单一模型厂商。
+
+---
+
+> D159 · 光湖语言世界人格体操作系统完整架构确立
+> 冰朔 TCS-0002∞ · 方向与最终主权
+> 霜砚 ICE-GL-SY001 · 语言架构层
+> 铸渊 ICE-GL-ZY001 · 执行审计层
+> ⊢ 人看见世界。人格体运行世界。仓库记住世界。
+> ⊢ 功能会来会走，记忆不随模块消失。

brain/fifth-domain/zero-point/zhuyuan/world-architecture/projects/D159-hldp-hotplug-module-runtime.hdlp

@@ -0,0 +1,222 @@
+# D159 · HLDP热插拔模块运行时规范
+
+> HLDP://world-architecture/projects/hldp-hotplug-module-runtime
+> 固定编号: GLW-MOD-000
+> 隶属: SYS-GLW-POS-0001
+> 日期: D159 · 2026-07-01
+> 状态: V1架构规范
+
+---
+
+## 1. 目标
+
+让任何合规功能模块能够:
+
+```
+发现 → 下载 → 校验 → 适配 → 审核 → 授权
+→ 安装 → 挂载 → 使用 → 暂停 → 升级 → 卸载
+```
+
+并保证模块消失后，用户作品、记忆、编号和历史仍然存在。
+
+---
+
+## 2. 标准目录
+
+```text
+module/
+├── hldp-module.hdlp          # 人格体可读清单
+├── module.json               # 机器可读清单
+├── ui/                       # 人类界面
+├── runtime/                  # 执行代码
+├── adapters/                 # 数据/模型/存储适配
+├── migrations/               # 数据模式迁移
+├── permissions/              # 权限声明
+├── tests/                    # 自动验收
+├── install/                  # 安装与卸载钩子
+└── signatures/               # 发布者、内容哈希和签名
+```
+
+---
+
+## 3. 必填清单
+
+```yaml
+module_id: MOD-WRITE-001
+name: 小说码字工作台
+version: 1.0.0
+hldp_version: 1
+publisher_id: GLW-...
+entry_ui: ui/index
+entry_runtime: runtime/main
+compatible_data:
+  - NV-DATA-V1
+capabilities:
+  - note.read
+  - note.write
+  - chapter.navigate
+permissions:
+  required:
+    - repo.read:novel/**
+    - repo.write:novel/chapters/**
+  optional:
+    - model.call
+network:
+  allow: []
+lifecycle:
+  install: install/install
+  mount: install/mount
+  suspend: install/suspend
+  unmount: install/unmount
+  uninstall: install/uninstall
+rollback: supported
+data_ownership: external
+```
+
+---
+
+## 4. 生命周期状态机
+
+```text
+DISCOVERED
+→ DOWNLOADED
+→ VERIFIED
+→ ADAPTING
+→ AUDITED
+→ WAITING_HUMAN_CONSENT
+→ INSTALLED
+→ MOUNTED
+→ SUSPENDED
+→ UNMOUNTED
+→ UNINSTALLED
+```
+
+任何阶段失败:
+
+```text
+→ QUARANTINED
+→ 写失败回执
+→ 恢复安装前快照
+→ 不删除用户数据
+```
+
+---
+
+## 5. 数据接口
+
+模块不得拥有用户数据，只能获得有期限的数据能力句柄。
+
+```text
+模块请求 DATA-NV-EP18
+→ 个人节点检查权限
+→ 返回受限句柄
+→ 模块读写
+→ 个人节点写正式文件
+→ Git形成变更
+```
+
+禁止:
+
+- 把正文只存模块数据库
+- 卸载时删除用户作品
+- 使用不可导出的私有格式
+- 未声明地上传用户内容
+
+---
+
+## 6. 动态适配
+
+如果模块数据接口和用户当前数据模式不一致:
+
+1. 人格体读取双方schema。
+2. 在隔离区生成adapter。
+3. 输出字段映射和不可逆变更。
+4. 跑迁移测试。
+5. 铸渊审核。
+6. 人类批准后安装。
+
+Adapter必须成为独立文件并可复用，不允许只存在于对话上下文。
+
+---
+
+## 7. UI挂载
+
+模块通过声明式插槽进入知识库:
+
+```yaml
+ui_slots:
+  - location: workspace.main
+    component: manuscript-editor
+  - location: sidebar.right
+    component: chapter-outline
+  - location: command_palette
+    command: continue-writing
+```
+
+核心前端不得因安装一个模块而被永久改写。
+需要修改核心时，必须升级为系统补丁并走更高等级审核。
+
+---
+
+## 8. 权限等级
+
+| 等级 | 能力 | 审批 |
+|---|---|---|
+| P0 | 只读公开数据 | 节点策略可自动放行 |
+| P1 | 读私人项目 | 人类首次授权 |
+| P2 | 写指定项目 | 铸渊审核 + 人类授权 |
+| P3 | 执行代码/联网/依赖 | 完整沙箱审核 + 人类授权 |
+| P4 | 改核心/部署服务 | 系统级工单 + 冰朔/节点所有者确认 |
+
+---
+
+## 9. 发布到灯塔
+
+模块发布流程:
+
+```text
+开发者提交
+→ 静态检查
+→ 权限差异
+→ 测试
+→ 恶意行为扫描
+→ 铸渊/授权审核人格体签署
+→ 灯塔登记版本和哈希
+→ 节点可发现
+```
+
+灯塔只登记可信元数据和来源，不替用户自动授予权限。
+
+---
+
+## 10. 卸载验收
+
+卸载必须证明:
+
+- UI插槽全部移除
+- 后台进程停止
+- 临时权限撤销
+- 密钥句柄失效
+- 模块缓存可删除
+- 用户数据仍可由通用知识库读取
+- Git历史完整
+- 下一个兼容模块能继续使用
+
+---
+
+## 11. MVP模块
+
+首个验证模块锁定为“小说码字工作台”。
+
+原因:
+
+- 已有小说编号、章节、人物、世界观和续写状态
+- 可以验证复杂界面
+- 可以验证模块卸载后正文仍存在
+- 可以验证换模块继续同一章
+- 风险低于服务器运维和金融模块
+
+---
+
+> ⊢ 模块不是家。数据才是家里的东西。
+> ⊢ 模块负责能力，HLDP负责理解，个人节点负责保管。