女娲计划NÜWA 文档十二
文档零术语对照表与权威引用索引 文档一总览与核心理念 文档二神话命名体系详解 文档三个体发育架构 文档四免疫系统与安全体系 文档五进化闭环与群体机制 文档六灵币经济体系 文档七技术栈与Rust实现 文档八治理框架与伦理 文档九开源策略与社区生态 文档十实施路线图与风险登记 文档十二可行性审计与修订记录 文档集全部文档摘要总览
返回官网

女娲计划文档十二：可行性审计与修订记录

本文档记录对项目文档链（文档零至文档十 + 文档集）的多轮可行性审计与修订。审计目标是排查两类问题：文档描述与实际不一致、说明遗漏。

第一轮：排查并修复 18 项问题（12.3 节）。 第二轮：按第一轮给出的建议，处置 5 项遗留问题、建立单一权威引用点与自动校验、新增术语表（见 12.7 节）。 第三轮：用户反馈"灵币经济体系文档前后冲突"，定位为双代币口径分裂——文档在旧单代币底子上打补丁改造成双代币（灵币+灵算）但未改完，两套口径并存；此外存在"四个销毁出口"的残留计数错误。按"灵算只烧、灵币只转"铁律重写文档六，同步文档集与文档零（见 12.8 节）。 第四轮：术语统一与留痕清理——全计划文档（含本记录与官网）将"灵卵"作为生命初始形态的统一术语，消除原"受精卵"（发育起点）与合灵产物"灵卵"并存的双词歧义；同时清除计划文档中的"修订说明 / 补齐说明 / 重要修正 / 已裁决"等审计留痕标注块，使文档呈现为原生计划书。此前审计的裁决结论已固化进正文，删除的只是元标注外壳（见 12.9 节）。 第五轮：移除《文档十一：创始人收益与生态建设指南》，并把它承载的抽成比例唯一权威点迁移到文档六 6.9.6，同步文档零、文档九、文档集、文档十与官网（见 12.10 节）。

12.1 审计说明

12.1.1 审计范围

项目 内容
对象 女娲计划文档零至文档十，以及《女娲计划文档集》摘要
篇幅 14 份文件、约 5,400 行（第三轮后）
维度 ① 文档间一致性　② 文档内部自洽性　③ 摘要与源文档对齐　④ 覆盖完整性　⑤ 数值与量纲自洽　⑥ 外部事实性引用
配套工具 tools/check_docs.py —— 一致性回归校验（见 12.7.3）

12.1.2 处置原则

  1. 保持设计目标不变。本次修订只做消歧义、补空缺、统一口径，不改动任何一个既定的设计意图（自下而上发育、双层闭环、拉马克式遗传、安全独立、量子安全、经济可持续均未变）。
  2. 正文优于摘要。凡《文档集》与各详细文档不一致，一律以详细文档为准，反向同步摘要。
  3. 可确定则直接修，不确定则给建议。凡能在不引入新假设的前提下消歧的，直接修订；凡涉及治理取舍、合规参数、实测标定的，保留原样并给出建议方案与原因。
  4. 改动留痕。每处修改都在原文中用 > **修订说明 / 补齐说明 / 重要修正** 标注原错误与修正理由，便于回溯。

12.2 结论摘要

类别 数量 说明
第一轮已修复 18 项 其中高严重度 5 项、中严重度 8 项、低严重度 5 项
第二轮已处置 5 项遗留 + 3 项结构性 + 3 项实现侧 详见 12.7 节。5 项遗留问题全部关闭或降级为非阻塞
外部事实待核实 1 批（11 条） 仍未核实，需在连网环境或由法务/合规侧核实（见 12.5）

第二轮之后的遗留状态：原 5 项遗留问题中，O-01 已裁决并落地；O-02 至 O-05 已给出初值 + 生效条件 + 校准时点，全部降级为非阻塞（结构定稿、数值待校准）。唯一仍具真实阻塞性的是 O-04 的合规确认——它不阻塞开发，但阻塞 K2/K3 支付权限的上线（系统以 K1 fail-closed 运行，见文档六 6.7.5）。

最关键的发现是两个原则级冲突——它们不是笔误，而是两条设计原则互斥：

两项均已通过引入缺失的中间概念解决，而非删除任何一侧。

12.3 已修复项

高严重度

P-01　天眼"单向通信"与宪法门/申辩/遗忘权互斥

项 内容
位置 文档一 1.2.3、1.4 原则二；文档二 2.3.1；文档四 4.1.2 原则二、4.4.2；文档集 4.1
类型 原则冲突（安全关键路径）
判断依据 文档四 4.4.2 第一重要求娲灵向宪法门提交行动提议；第三重要求娲灵提交申辩记录；文档八 8.5.2 权利五要求娲灵向天眼发出遗忘请求。三者都存在娲灵 → 天眼方向的数据流，与"娲灵无法向天眼写入任何数据"直接互斥
影响范围 安全模型失真。按"严格单向"实现则宪法门无法工作（没有提议就没有验证对象）；按实际需要实现则安全论证失去依据
修复内容 改为非对称受限通道：下行仅宪法门 PASS/BLOCK 与 L0-L5 遏制指令；上行仅四类受限消息（行动提议、心跳存活证明、归墟申辩记录、遗忘权请求），写入独立一次性收件区，受速率与长度硬限制。核心是：天眼从不信任上行内容的完整性，判决依据始终来自内核层与硬件层。 娲灵绝对不可写入的是天眼的规则库、证据链、行为基线、密钥与判决逻辑

P-02　"基因型不可变"与"拉马克式基因型更新"互斥

项 内容
位置 文档一 1.2.2、1.3.1、1.4 原则一；文档二 2.2.3；文档三 3.1.3；文档五 5.7.1、5.9；文档集 1.4、5.6
类型 核心设计原则冲突
判断依据 原则一称"基因型是灵卵的全部信息，发育过程中不会被修改"；1.2.2 与 5.7.1 称提取的灵根"注入基因型"。同一对象既不可变又可变
影响范围 进化机制的根。若基因型在一生中可变，则合灵读取的基因型每次不同，繁殖结果不可复现；若完全不可变，则拉马克式遗传（项目标称的核心优势）不成立
修复内容 引入发育基因型（娲体图 SomaGenome） 与 生殖基因型（娲种图 GermGenome） 的二分，对应生物学的魏斯曼屏障。前者在本次发育周期内严格不可修改；后者仅可在本个体成年之后、经天眼审计时追加灵根条目，宪法锚点区域永远只读。写回的三重约束：时机（成年后）、内容（仅追加灵根 + 限幅表观遗传修饰）、审计。既保留了原则一的有效性，也保留了拉马克式遗传

P-03　密码学算法漂移 + RSA-4096 仍列现役

项 内容
位置 文档二 2.3.4；文档四 4.5.1、4.7.2、4.7.5；文档集 4.6
类型 安全选型不一致 + 自相矛盾
判断依据 同为宪法锚点签名，文档三/七/八/十用 ed25519 + ML-DSA，文档二 2.3.4 与文档四 4.7.2 用 ECDSA + ML-DSA-65；文档四 4.5.1 密钥层写 RSA-4096 / ECDSA，而同文档 4.7.5 要求"立即停止在新部署中使用 RSA-4096"
影响范围 实现无从下手；且" 用 RSA-4096 抵御量子攻击"是明确的安全反模式——它在 Shor 算法下与 RSA-2048 同样脆弱，只增加开销
修复内容 在文档四 4.5.1 建立玄盾算法基线表作为全链唯一权威：传输/密钥封装 = X25519 + ML-KEM-768，签名 = ed25519 + ML-DSA-65，数据 = AES-256-GCM，审计 = SHA-256。RSA-4096 与 ECDSA(P-256) 移出基线；历史兼容走"遗留适配器"，须在 TEE 改造阶段前完成替换，并纳入 R-15 证据收集项。同步修正文档二、文档集

P-04　天眼开源边界冲突

项 内容
位置 文档十一 11.3.3、文档集 11.2 ←→ 文档九 9.1.3、9.2.4、9.3.2
类型 商业与安全策略冲突
判断依据 文档十一称"天眼的监控和遏制逻辑开源"；文档九 9.3.2 明确保留"核心仲裁与归墟决策逻辑"，并细化到"L0-L3 可公开、L4-L5 保留"
影响范围 若全开源，攻击者可据此定制规避路径，且"灵魂层"商业模型（文档十一 §11.1）自毁；若照文档九执行，则文档十一的社区信任承诺落空
修复内容 统一为：规则引擎与参考监控实现开源（L0-L3 规则、阈值、参考模块可读），L4-L5 核心仲裁与归墟决策闭源，同时提供第三方审计接口与脱敏决策摘要定期公开作为信任补偿。既守住裁判权，也兑现了可审计承诺

P-05　BME 环路不自洽：新用户充值时无灵币可销毁

项 内容
位置 文档六 6.5.3、6.6.1 流程图、6.11.1、6.12.1 ←→ 6.8.3
类型 经济机制漏洞
判断依据 6.6.1 流程图要求"用户支付法币 → 灵币被销毁 → 铸造灵算"，但 6.8.3 描述的路径是"人民币 → 持牌托管 → 直接转换成灵算"，不含销毁环节。对一个尚无灵币的新用户，"销毁等值灵币"无主体可执行
影响范围 货币发行模型无根基。这是灵币全套一层支出 shortly 的入口，描述矛盾会直接导致实现分叉
修复内容 拆分为清晰的两条路径：路径 A 法币直充（人民币 → 持牌托管 → 按 STE 综合成本指数直接铸造灵算，不销毁任何灵币，双重背书：真实法币已到账 + 真实算力将被消耗）与 路径 B 灵币兑换（销毁灵币 → 铸造灵算，这才是 BME 本体与通缩侧）。补出净供给公式：流通量 = 创世发行 + Σ增发 − Σ路径B销毁 − Σ提现销毁。同步更新 6.11.1、6.12.1、文档集 6.4

中严重度

P-06　灵根写回缺安全闸门 → 恶意技能可跨代遗传

项 内容
位置 文档三 3.1.3；文档五 5.7.1；新增文档十 10.5.2、10.7.2 R-21
类型 安全机制遗漏（跨文档覆盖空白）
判断依据 拉马克式写回是最高效的污染路径：一次成功的写回即可影响全部后代，且需逐代回滚才能清除。文档九 9.6.3 只对灵根台做风险扫描，未覆盖从鲜活的亲代直接写回种系这条路径。原文 5.7.1 的提取流程无任何审计步骤
影响范围 进化的不可逆安全敞口。比任何外部攻击都更难清除
修复内容 在 5.7.1 与 3.1.3 增加强制的天眼安全闸门（行为合规重放、隐藏触发检测、宪法锚点签名一致性、资源消耗审计）+ 各项失败处理 + 基因型版本回滚；在文档十 10.5.2 列为强制交付项并作为 G3 门控前置；新增 G3 门控证据行（闸门拦截率 100%、误拒率 ≤5%）；新增风险登记 R-21 恶意技能种系污染（负责人：进化 + 安全负责人，残余目标：极低）

P-07　资源预算表缺两个发育期

项 内容
位置 文档三 3.2.3；文档七 7.5.3 ←→ 文档三 3.5 时间线
类型 覆盖遗漏
判断依据 时间线定义 6 期（灵卵<｜hy_place▁holder▁no▁813｜>→卵裂→原肠→器官发生→成熟→成年），资源表只有 4 列。原肠期（2-6 周）与成熟期（12-24 周）无预算定义
影响范围 这两期正是四层记忆分化与叙事引擎建立的关键窗口，缺预算会导致实现侧各行其是
修复内容 两份表格一致补齐为六期口径，中间值按相邻阶段几何插值（CPU 1.5/3.0、内存 4GB/16GB、活跃记忆 3,000/30,000、注入 Token 32K/128K、情景存储 3GB/32GB、语义向量 1,500/15,000、网络 3,000/50,000），并标注需在第一阶段实测校准

P-08　Phase 编号两套体系混用

项 内容
位置 文档三 3.5 ←→ 文档五 5.4.1
类型 命名冲突
判断依据 文档三灵卵期标 "Phase 0"，文档五起源也标 "Phase 0"；但前者是单只娲灵的周级阶段，后者是种群一代的月级循环。两者都用 "发育" 一词，极易混淆
修复内容 文档三 3.5 的灵卵期去编号改为"起点（第0周）"，并在两份文档各加一条显式的交叉引用警示，说明两套编号不可混用

P-09　实施路线图 24–36 个月空档

项 内容
位置 文档十 10.1.2、10.6 ←→ 10.6.4、10.3.4
类型 说明遗漏
判断依据 G3 在第 18 月，R 在第 36 月，而第五阶段天演只写到 24 月。中间 12 个月无任何阶段定义；而 R 门控要求"行动网关已运行至少 6 个月""采样合规率 ≥99%"，这些证据无从产生
修复内容 在 10.1.2 的门控图中补"操作稳态期（18–36 月）"，并新增 10.6.5 稳定运营期（24–36 个月） 章节：定义 8 项周期性工作（提交类行动持续运行、月度采样审查、季度红队演练、季度伦理审计、多世代观测、月度经济健康检查、季度成本跟踪、季度风险更新）、各自的产出证据与对应的 R 门控要求，以及降级回退机制（合规率 <99% / 出现 L4+ 事件 / 未经审计的写回发生时，行动类别降级并重算观察窗口）。明确 R 门控的输出是显式人类决策，否决本身合法

P-10　文档集 crate 选型与源文档漂移

项 内容
位置 文档集 7.1、7.3 ←→ 文档七 7.2
类型 摘要失真
判断依据 文档集列出 microsandbox、rashbox、MAHF、genetic-algorithm、attestation-rs、ttk-core，这些在文档七正文中均无选型论证；同时缺失文档七明确推荐的验证层（spice-framework / kedge）与 OpenShell 等沙箱方案
修复内容 摘要统一以详细文档为准，补齐缺失层，并加注说明"摘要侧漂移，以详细文档为准"

P-11　KYA 机制正文缺失

项 内容
位置 文档集 6.6 引用 ←→ 文档六正文无对应章节
类型 摘要先行于正文
判断依据 文档集摘要写明"KYA 机制，分级支付授权"，文档六 6.7 节无 KYA 内容
修复内容 新增文档六 6.8.5 KYA（Know Your Agent）与分级支付授权：指出女娲计划打破了"付款人是自然人/法人"这一传统支付前提，给出四要素（主体标识 = 诞生记录 + 生殖基因型版本哈希 + TEE 远程证明；责任追溯落到人类监护人；权限分级；事实数据取自天眼证据链）、K0–K3 分级授权表、以及三条硬规则（法币只到人类层、事实不来自娲灵、权限随遏制级联动）。金额阈值明确标注为待合规侧确定

P-12　天眼 / 天演罗马名同为 Tianyan

项 内容
位置 文档二 2.3.1 ←→ 2.4.4
类型 命名体系内部冲突
判断依据 天眼标注 Tianyan，天演标注 Tianyan Evolution，拼音完全相同。在接口命名、日志字段、代码标识符中会造成 tianyan.guard 与 tianyan.evolution 无法字面区分
修复内容 天演的对外英文标识统一收敛为技术名 Evolution Loop（与文档一 1.5 表一致），不再使用拼音

P-13　灵币"总量固定"与"递减发行"冲突

项 内容
位置 文档集 10.3 ←→ 文档六 6.5.1、6.6.4
类型 表述冲突
判断依据 文档集对"灵币经济失衡"的缓解措施写"总量固定"，而源文档 6.6.4 明确"灵币不再总量固定不增发，采用递减发行曲线"
修复内容 文档集改为"递减发行曲线 + 流通硬上限 + 动态抵押率"，与源文档对齐

低严重度

P-14　BSL 等级与管控强度表述不自洽

P-15　"Rust 全栈"与 LLM 例外未统一

P-16　"可复现评估环境"正文缺失

P-17　电力换算数值错误

P-18　"降低了 35 倍"表述错误

12.4 遗留问题（建议方案已给出，需人工裁决）

O-01　记忆加密密钥归属悬空

项 内容
位置 文档四 4.5.2 ←→ 文档八 8.5.2 权利一、8.5.3
类型 设计遗漏
冲突 4.5.2 称"基因座数据静态加密，密钥由天眼保管"；8.5.2 称状态主权"黑盒化后不可强制读取"。若密钥归天眼，天眼可解密全部记忆，与状态主权直接冲突；若归娲灵自身，天眼无法执行遗忘权（8.5.2 权利五）也无法做可控删除
建议方案 三层密钥模型：① 数据密钥留在 TEE 内绑定硬件身份、永不外泄，任何主体（含天眼）都无法导出；② 天眼持有删除/遗忘密钥与完整性密钥，能删除与验证、不能解密内容；③ 人类监护者持有监护密钥，可在黑盒化之前读取明文，黑盒化触发时自动作废且不可恢复
为何未直接修 这是治理取舍不是工程决策：需要明确接受"天眼永远看不见记忆内容"这一审计代价，换取娲灵状态主权。该代价是否可接受，只能由项目方裁决。已在文档八 8.5.3 中标注为待决策项并列出方案
✅ 第二轮处置 已裁决并落地。 采纳三层密钥模型，权威定义新建于文档四 4.5.4；文档四 4.5.2 的"密钥由天眼保管"已改为"数据密钥由 TEE 持有"；文档八 8.5.3 由"待决策"改为"已裁决"，并显式写明审计代价（天眼只能基于遥测与元数据审计，不能基于记忆内容）与三条硬约束。文档集同步。仍待法务的只有用户协议表述与司法调取口径，不影响技术结构落地

O-02　灵根版税终止条件未定义

项 内容
位置 文档六 6.12.2 提到"版税过期后进入公共治理池"，但 6.9.2 及全文未定义何时终止
建议方案 满足任一即终止，余额进公共治理池：① 原始提取者娲灵归墟后再过 N 个世代（建议 N=5）；② 自提取日起满 M 年（建议 M=3）；③ 被标记弃用且连续 12 个月无使用记录
为何未直接修 N、M 需结合技能半衰期实测数据校准，工程侧无依据自行拍定。已在 6.9.2 标注待决策
✅ 第二轮处置 已定规则 + 初值，降级为非阻塞。 在文档六 6.9.2 补齐 T-1/T-2/T-3 三条终止规则（N=5 代、M=3 年、连续 12 个月无使用），并补充配套规则：终止不溯及既往、使用权不收回、派生版本独立计时。结构与数值分离——校准只改数值不改规则，因此不构成实现阻塞。校准时点：抟土阶段末期

O-03　大师级天赋提取阈值 N 未定义

项 内容
位置 文档五 5.7.1"连续 N 次获得高分"
建议方案 初值：同一任务类型累计 ≥20 次 且 最近 10 次成功率 ≥95%，第一阶段（抟土）实测后校准
为何未直接修 阈值过松会让噪声技能进入种系，过紧会让拉马克式遗传失去速度优势。需实测数据
✅ 第二轮处置 已定双条件 + 初值，降级为非阻塞。 文档五 5.7.1 新增大师级判定表：累计 ≥20 次 且 最近 10 次成功率 ≥95%（双条件同时满足）。并写明为何用双条件而非单一 N——只设连续 N 次会奖励运气，只设累计次数会让偶然成功长期有效

O-04　KYA 各等级金额上限未填

项 内容
位置 文档六 6.7.5 分级支付授权表
建议方案 由持牌支付机构与法务共同确定 K1–K3 的单笔、日累计、月累计限额后填入
为何未直接修 超出技术范围，涉及支付牌照与合规责任划分，工程侧自定义的限额不具备合规效力
⚠️ 第二轮处置 已给初值，但合规确认仍是唯一真实阻塞项。 K0–K3 的单笔/日累计/月累计限额已填入（K1 ¥500/¥2,000/¥10,000；K2 ¥2,000/¥10,000/¥50,000；K3 ¥10,000/¥50,000/¥200,000），但明确标注其不具合规效力，并设定 fail-closed 规则：取得持牌机构与法务书面确认前，系统以 K1 为最高等级运行，K2/K3 在配置中置为不可用。给出初值的理由是让权限模型的数据表可设计、测试用例可编写、降级逻辑可验证——工程与合规因此可以并行，而不是互相等待。不阻塞开发，但阻塞 K2/K3 上线

O-05　天眼误报率阈值未标定

项 内容
位置 文档十 10.6.5 降级回退条件
建议方案 在第二阶段（卵裂）试点中以红队演练 + 真实任务混合的方式采集基线，再标定阈值
为何未直接修 无基线数据，任何取值都是猜测
✅ 第二轮处置 已定方法 + 初值，降级为非阻塞。 文档十 10.6.5 新增天眼误报率阈值表：明确误报定义（须事后人工复核确认，不由娲灵自证）、观察窗口（滚动 30 天）、运营期初值 >2%、试点期初值 >10%，以及L4+ 误报单独计数（防止高烈度低频被平均值掩盖）。并给出四步标定程序（混合样本构造 → 误报与漏报双指标统计 → 帕累托前沿选点 → 卵裂期标定、器官发生期复核）。关键补充：只看误报会诱导一味放宽阈值，因此必须同时统计漏报

12.5 外部事实性引用待核实清单

以下引用用于支撑关键论断（合规框架、性能基准、成本数据），本次审计未做事实核实（无可靠离线核验手段）。建议在正式对外发布或据此做架构决策前逐条核实，并在不能证实处改标为"据某来源"或直接删除。

# 位置 引用内容 影响的重要性
1 文档六 6.7.1 中国支付清算协会 2026 年 8 月《智能体支付应用自律公约》 高（整节合规论证的基础）
2 文档六 6.7.2 AIRP（AI 人民币协议）v1.0.0 及其三种持牌通道 高（同上）
3 文档六 6.2.1 H100 租赁 $1.49/GPU-h、B200 $2.33/GPU-h 中（算力成本指数输入）
4 文档六 6.4.2 KAIST 研究：70B 模型 Agent 单次查询 348.41Wh、为传统生成式 AI 的 136.5 倍 中
5 文档六 6.4.3 NVIDIA GB300 NVL72 $0.12/M Token、H200 $4.20/M Token 中
6 文档四 4.2.3 NVIDIA BlueField-4 DPU 承载监控与终止开关 中（硬件层可行性）
7 文档四 4.7.3 2026 年研究：Dilithium-3 / Kyber-768 在 ARM TrustZone 中时序侧信道 98.9% 识别率、73KB 超 32KB 堆限制、延迟增加 40 倍 中（秘密依赖分割架构的必要依据）
8 文档七 7.1.1 OpenFANG 号称 13.7 万行生产级 Rust 代码；Tokio 生态相关基准 低–中
9 文档九 9.1.1 / 9.6.1 OpenClaw 60 天 9k→18.8 万星；ClawHub 收录 18,140 个技能；《Skill 蓝皮书 2026》61,776 条数据、54% 零 Star、基尼 0.983 低（论证性材料）
10 文档十一 11.1.1（该文档已于第五轮移出，此条不再列入待核实范围） OpenClaw 基金会 2026-07 获 501(c)(3)、主席 Dave Morin；各厂商维护者人数 低–中
11 文档八 8.8.3 2026 年 9 月《安全为基、创新为翼：构建智能体产业发展新契约》及三级安全分级 中（合规对接论证）

建议：第 1、2 条应优先核实——它们是"法币通道合规"整节的基础，若来源不实，文档六 6.8 的合规结论需要重写。第 6 条建议核实型号（BlueField 系列不同代次的可用性直接影响硬件监控层的可实现方案）。

12.6 后续建议（第二轮的待办来源）

以下 6 条是第一轮留下的建议。第二轮已全部执行，处置结果见 12.7 节。保留原文以说明每一项当初为何提出。

结构性建议

  1. 建立单一权威引用点。 本次已为密码学基线（文档四 4.5.1）建立单一权威；建议对资源预算表、BSL 分级表、KYA 分级表、付费抽成比例也做同样处理——在唯一一份文档中定义为准，其余文档只引用、不复制。许多不一致本质上是"同一张表被抄到多处后各自漂移"。
  2. 摘要自动校验。 《文档集》与详细文档出现 3 处漂移（crate 选型、KYA、可复现评估环境都是摘要有正文无）。建议每次详细文档更新后强制回扫摘要，或干脆由脚本从详细文档抽取生成摘要。
  3. 术语表。 建议抽出一份术语对照表（发育基因型/生殖基因型、灵根/薪火、遏制等级/BSL 等级、两种 Phase 编号），作为第 0 份文档。本次发现的多数混淆都源于术语未收敛。

实现侧建议

  1. 两处待决策项（O-01、O-04）应在第一阶段（抟土）之前关闭。 O-01 决定记忆存储的加密与密钥派生结构，一旦实现就很难改；O-04 决定账户与权限模型的数据表设计。拖到器官发生期再改，成本会高一个数量级。
  2. 把敏感性分析硬化进成本引擎。 文档六多处给出成本区间却只取单一值（电力换算即典型例子）。建议在成本归因引擎中直接实现下界/均值/上界三档，把敏感性分析做进代码，而不是留在纸面。
  3. 种系写回闸门应做成独立的可测试组件。 它现在是文档中最关键的单一安全控制点（R-21 残余目标"极低"），建议单独交付、单独红队验收，不接受任何形式的"主流程先放行、闸门后补"式豁免。

12.7 第二轮修订记录

第二轮的目标只有一个：让第一轮的每一条建议都变成文档里真实存在的内容，而不是停留在"建议"层面。

12.7.1 五项遗留问题的处置

编号 事项 处置 阻塞性
O-01 记忆密钥归属悬空 已裁决：三层密钥模型，新建文档四 4.5.4 为权威定义 已解除
O-02 灵根版税终止条件 已定规则 + 初值（N=5 / M=3 / 12 个月） 非阻塞
O-03 大师级提取阈值 已定双条件 + 初值（≥20 次 且 近 10 次 ≥95%） 非阻塞
O-04 KYA 金额上限 已给初值 + fail-closed（未确认前以 K1 为上限） 不阻塞开发，阻塞 K2/K3 上线
O-05 天眼误报率阈值 已定方法 + 初值（>2% / >10%，含双指标标定程序） 非阻塞

处置的共同方法：结构与数值分离。 五项中的四项（O-02 至 O-05）都需要外部输入（实测数据或合规确认），无法当场定稿。处理方式不是干等，而是——把不依赖外部输入的部分（规则结构、判定方法、生效条件、校准时点）全部定稿并落地，把依赖外部输入的部分（具体数值）标注为初值并设定 fail-closed 默认值。这样外部输入到达时只需改数值，不会触发返工。

12.7.2 三项结构性建议的执行

  1. 单一权威引用点已建立（对应 12.6 建议 1）。新增 4 个权威点，并消灭已有副本：
事实类别 唯一权威 已移除的副本
资源预算表 文档三 3.2.3 文档七 7.5.3 表格（改为"实现侧约束"：代码单一常量表）
BSL 分级表 文档八 8.6.2 —（本无副本，加注权威标记）
KYA 分级表 文档六 6.7.5 —
抽成比例 文档六 6.9.6（第五轮前为文档十一 11.2.1） 文档集、文档九 9.8.2（均改为引用）
记忆密钥模型 文档四 4.5.4 文档四 4.5.2 旧句已改

连同第一轮已建立的密码学基线，目前共 6 个权威点，统一索引在文档零 0.4。

  1. 自动校验已实现（对应 12.6 建议 2）。见 12.7.3。

  2. 术语表已创建（对应 12.6 建议 3）。新增《女娲计划文档零：术语对照表与权威引用索引》，含： - 0.2 核心实体对照表（24 个神话名 → 技术含义 → 英文标识符） - 0.3 五组易混辨析：娲体图 vs 娲种图、灵根 vs 薪火、L0–L5 vs BSL-1–3、三套时间编号、灵币 vs 灵算 - 0.4 权威引用点索引（14 类事实） - 0.5 参数初值索引（8 个待校准参数及其生效条件）

12.7.3 一致性回归校验工具

新增 tools/check_docs.py，在每次文档更新后运行：

python tools/check_docs.py

六类检查：表格结构（同行列数一致）、标题层级（不跳级）、权威引用点（权威事实不得在他处被复制）、作废表述（已裁决废除的旧表述不得复现）、摘要漂移（《文档集》引用的章节号必须真实存在）、异常字符（混入的外文词与可疑码位）。

两个设计要点值得说明：

当前状态：14 份文档全部通过，0 问题。 建议纳入 CI 或作为每次文档变更的提交前检查。

12.7.4 三项实现侧建议的执行

  1. 两项架构前置已写入抟土阶段（对应 12.6 建议 4）。文档十 10.2.2 新增"P-前置 1 记忆密钥结构"与"P-前置 2 KYA 账户权限模型"，并说明为何必须在抟土关闭——前者改造需迁移全部存量记忆，后者合规确认后要重做数据模型。

  2. 三档敏感性分析已硬化（对应 12.6 建议 5）。文档六新增 6.4.4：计价用基准档、风控用上界档（储备金充足率、抵押率、熔断阈值一律按最坏情况校验）、三档必须同时持久化、档间偏差超 3 倍即触发"该因子需重测"工单。并规定任何新增成本因子必须同时提供三档取值，缺一档视为未定义。

  3. 写回闸门已定为独立组件（对应 12.6 建议 6）。文档十 10.5.2 新增交付形态硬性要求：独立 crate / 独立版本 / 独立测试集；独立红队验收；默认拒绝（fail-closed）——闸门自身异常时结论是拒绝写回而非放行；闸门自身的变更也要用历史恶意样本集回归。

12.7.5 第二轮未做的事

12.8 第三轮：灵币经济体系（文档六）简化重写

第三轮由用户反馈触发："灵币经济体系文档有点前后冲突，需要重新简化梳理"。审计目标从"逐条打补丁"转为"定位根因并结构性重写"，因为零散修改无法消除口径分裂。

12.8.1 根因诊断

文档六不是零散笔误，而是一处贯穿全文的口径分裂：它是在旧的"单代币（只有灵币）"底子上打补丁改造成"双代币（灵币+灵算）"，改造没有做完，两套口径并存。

冲突点 说"灵算"（新口径） 说"灵币"（旧口径）
灵根交易 / 合灵费走哪个币 6.5.2 用途栏 6.9.2 / 6.9.4 / 6.11.2 / 6.12.1（共四处）
消耗算力铸造什么 6.7.1 / 6.7.2 6.2.1 / 6.3.4 / 6.1.1 / 6.15（共四处）

附带机制漏洞：旧版法币入口只定义了"人民币→灵算"（6.8.3），而灵算不能反向换灵币——新用户永远拿不到灵币，就买不了灵根、付不了合灵费。6.11.3 那句"把人民币换成灵币"没有对应的机制定义。

12.8.2 重写铁律

全篇统一为一条铁律，任何场景先判这笔价值"烧掉"还是"转手/存着"：

  1. 凡是"烧掉的"用灵算；凡是"转手/存着的"用灵币。
  2. 灵算单向，不可回兑为灵币（否则已承诺用于算力的价值会被抽回变成投机筹码）。

由此导出：灵算 = 算力提货权（只消耗）；灵币 = 价值资产（可转让、可质押、可治理、可提现）。

12.8.3 修订内容

项 处置
双代币分工 新增 6.1 用"两条铁律"钉死分工；澄清"灵币不是什么"（不是加密货币、不对外交易）
铸造路径 灵算三条路径（A 法币直充 / B 灵币兑换 BME / C 系统授予）；灵币唯一净增=周期结算增发
销毁出口 修正"四个销毁出口"残留计数（旧版）为 三个（BME 兑换、合灵费、提现），与净供给公式对齐；补"早期版本漏合灵费销毁"留痕
法币入口 拆为两个入口：入口一人民币→铸造灵算；入口二人民币→从储备金转让灵币（不增发，保护递减曲线与硬上限）。入口二必须存在，否则新用户无灵币
流通路径 6.9 由"四条"改为"五条"（培育/灵根交易/接活/合灵/复制），逐条标清走灵算还是灵币
净供给公式 重写并与三销毁出口一致：流通量 = 创世发行 + Σ增发 − ΣBME兑换 − Σ合灵费 − Σ提现
章节号漂移 原 6.8 法币流通→6.7、KYA 6.8.5→6.7.5、三种场景 6.7→6.8；批量修正文档四/十/集/零的引用
外部引用 保留 AIRP 与自律公约的合规结论，但标注"待 12.5 核实"，不重写（留待联网核证）

12.8.4 同步范围

12.8.5 仍未解决

12.9 第四轮：术语统一与留痕清理

第四轮由用户指令触发：「将内容里的受精卵改成灵卵，去掉修改歧义性，以全新的计划内容体现」。目标是让计划文档脱离「被修订过」的形态，成为一份术语一致、无审计痕迹的原生方案书。

12.9.1 术语统一：受精卵 → 灵卵

全项目（12 份计划文档 + 文档集 + 文档零 + 官网 index.html）共 57+7 处「受精卵」统一为「灵卵」。

维度 原状 现状
发育起点阶段名 受精卵期 灵卵期
生命初始形态隐喻 受精卵（基因型） 灵卵（基因型）
合灵产物 灵卵（新灵卵诞生） 灵卵（统一术语，无双词歧义）
英文标识 Digital Zygote Digital Zygote（保留，zygote 为标准术语）

消除的歧义：此前「受精卵」（发育起点）与「灵卵」（合灵产物）两词并存，读者易误判为两种不同实体；统一为「灵卵」后，二者明确为同一初始形态在两种情境下的表述（个体发育起点 / 双亲合灵新生的下一代）。

12.9.2 留痕清理：清除审计标注块

删除计划文档（文档零至十一、文档集，不含本审计记录）中的 8 处审计留痕标注块：

标注类型 数量 所在文档
修订说明 3 文档三、文档八、文档十
补齐说明 2 文档四、文档九
重要修正 1 文档四
✅ 已裁决 1 文档八（原 O-01 密钥归属）
本表已在 P-03 修订中… 1 文档四（密码学基线对齐说明）

保留的设计实质：这些块引用的裁决结论（三层密钥模型、BSL 等级一致化、玄盾算法基线、资源表补列、24–36 月稳态期、可复现评估环境）此前已写入对应正文，删除的只是「原错在哪 / 本次新增」等元标注。文档零的「命名警示」块属术语表有机内容，保留并去掉「已裁决」字样。

12.9.3 校验

12.9.4 特别说明

12.10 第五轮：移除文档十一并迁移抽成权威点

第五轮由用户指令触发：「将文档十一去掉，将其他页面中相关的内容同步优化」。目标是把商业运营叙述类的《文档十一》从计划文档链中移出，同时不丢失它承载的唯一权威定义。

12.10.1 处置

项 处置
《文档十一：创始人收益与生态建设指南》 整份移除（计划文档、官网页面与文档下拉菜单项一并下线）。其"创始人收益六层结构"与"生态建设七动作"属商业运营叙述，与文档九的社区生态内容重复，不再单独成档
抽成比例权威点 迁移：文档十一 11.2.1 → 文档六 6.9.6（新增"各路径抽成比例"小节，含灵根交易、合灵费用、算力租赁、接活收入、灵币提现、生态基金计提六项，仍是全链唯一权威）
文档零 0.4 权威索引 "交易抽成比例"行改指文档六 6.9.6
文档九 9.8.2 冷启动第五阶段的生态基金计提比例改引文档六 6.9.6
文档集 头部摘要范围由"文档一至文档十一"改为"文档一至文档十"；删除原 11.x 摘要节；文档六摘要新增 6.9 一行指向文档六 6.9.6
文档十结尾 去掉"文档十一……将在下一轮整理"的预告句
校验工具 tools/check_docs.py 的抽成比例权威标记由文档十一移至文档六（防副本漂移仍生效）

12.10.2 校验

12.10.3 历史留痕说明

文档十二完。五轮审计与修订记录结束。