本项目定位为长期在线、全家共享的 AI 家庭主机（家庭 AI 基站）。它不仅是家庭的私有数据保险箱，更是全家共享的本地智能中枢与分布式算力基座。
在架构设计上，产品将相册、文档、健康档案等私有生活资产保存在本地，并在物理设备内运行本地大模型与感知小模型。智能家居设备、环境传感器以及未来进入家庭的服务机器人，均可依据细粒度权限调用其推理、长期记忆与任务决策能力，避免家庭每台智能硬件都重复配置高成本算力芯片。
面对通用人工智能技术的快速普及，本项目的核心机会不在于单向攻关底层算法，而在于解决从“技术可用”到“普通家庭开箱即用”之间的工程鸿沟：建立真正适配家庭复杂场景的生活经验库，将核心数据资产稳妥保存在用户物理硬件内，并通过确定性的工程架构将难以预测的 AI 行为规整为可预测、可干预、可撤销的安全家具体验。
第一章 行业演进与市场机会分析
1.1 从个人单体 PC 到家庭常在线智能中枢
随着大模型技术与边缘计算芯片的普及，PC 产品的形态正在发生深远演变。传统的个人计算设备（如笔记本、台式机）主要服务于单一使用者的办公、学习或专业创作，通常伴随人员移动或处于间歇性关机状态。
与之相比，AI 家庭主机具备截然不同的品类特征：
- 常在线与服务多成员：设备处于 7×24 小时低功耗运行状态，同时为家庭中的父母、老人、子女甚至访客提供差异化服务。
- 存算网控一体化：不仅具备网络存储（NAS）的数据保存能力，更核心的是在存储之上叠加本地算力调度、端云协同路由、多设备协议互联与家庭长周期记忆。
- 终端算力卸载中心：智能家居设备与家庭服务机器人仅需保留低成本的感知与执行芯片，将复杂的图像理解、跨设备协同规划和长期上下文检索交给家庭主机统一处理。
传统的家庭存储设备主要解决多端备份与媒体串流，而 AI 家庭主机的核心竞争力在于 AI 服务编排、家庭生活语义理解以及软硬件的持续升级能力。
1.2 消费级计算设备的三大演化方向与产品定位
当前消费级计算市场逐步分化为三大主要场景方向：
| 市场方向 | 典型场景与用途 | 用户核心购买理由 | 本项目的定位与选择 |
|---|---|---|---|
| 家庭 AI 主机方向 | 整理家庭生活资料、照片视频归档、合同票据管理、长辈健康照护、全屋智能中枢协同 | 低噪音、低功耗、7×24小时常开、部署极简、数据完全私有、服务全家多成员 | 核心主赛道：将计算设备从个人桌面工具延伸为全家共用的数字基础设施。 |
| 专业生产力方向 | 复杂软件开发、高码率视频剪辑、3D 建模渲染、本地大模型全量微调与重度多任务 | 极致性能释放、专业扩展接口、专业软件兼容性与大显存支撑 | 作为未来高阶本地算力拓展模块的技术储备，不作为首代主流走量机型的主战场。 |
| 游戏与重度娱乐方向 | 3A 游戏运行、高帧率电竞、高码率影音本地硬解 | 独立显卡图形算力、强劲散热功耗、外设生态兼容 | 借鉴其散热结构与高吞吐总线设计，但不作为家庭主机的产品功能卖点。 |
家庭场景的核心痛点绝非“缺少一台参数更高的个人电脑”，而是家庭的照片、视频、各类凭证、就医记录及长辈生活规律长期分散在各手机和外部网盘中，普通家庭缺少一个常驻在线、真正懂家庭生活细节、且具备严格安全边界的智能管家。
1.3 市场产品形态分析与四象限对标体系
通过对市场上现有的主流计算与存储产品形态进行抽象解构，可以划分为四个代表性象限形态：
| 维度划分 | 面向单人 / 技术极客 | 面向家庭普惠 / 全家共享 |
|---|---|---|
| 高阶：全屋协同与空间智能 | 第四象限：家庭智能中枢形态典型特征：环境感知、用户长期记忆体、多智能体与服务机器人协同编排。 | 第三象限：软硬一体生态闭环形态典型特征：软硬件深度定制、全端体验一致、可信账户体系与持续服务订阅。 |
| 基础：单人桌面计算工具 | 第二象限：高性能硬件与私有存储形态典型特征：小体积高算力芯片、大容量本地固态、支持本地部署开源模型。 | 第一象限：成熟消费级硬件交付形态典型特征：扎实的供应链工艺、开箱即用、完备的销售渠道与标准化售后服务。 |
象限一：成熟消费级硬件交付形态
- 市场特征：代表消费电子成熟厂商的标准化交付水准。具备扎实的硬件制造工艺、开箱即用的系统初始化流程、标准化的驱动支持与覆盖广泛的线下维保体系。
- 成熟能力（N）：设备即插即用、低噪音与稳态散热、标准外设兼容、基础云端模型接入与知识库支持、明确的售后责任链。
- 演进突破（+1）：成熟厂商的产品多停留在“单人办公 PC”框架内。AI 家庭主机需将其推进入“全家多角色长期在线服务节点”，在无人盯守状态下持续完成资料归档、设备守护与主动提醒。
象限二：高性能迷你主机与本地私有存储形态
- 市场特征：通过采用高能效移动处理器平台与紧凑型散热结构，在 0.5L 至 2L 的极小体积内集成高能效 APU、大容量高速内存与多槽位固态存储，并积极探索本地大模型与私有存储的结合。
- 成熟能力（N）：高集成度主板设计、高性价比硬件配置、完善的显示与高速接口、支持本地部署开源模型运行环境。
- 演进突破（+1）：目前该类产品多面向具备技术背景的极客群体或个人开发者，操作门槛高（需自行配置环境、模型权重与网络路由），且缺乏针对多家庭成员的数据隔离、家庭生活场景语义管线以及自动化权限控制体系。AI 家庭主机的任务是抹平技术门槛，将底层算力封装为完全免配置的生活化服务。
象限三：软硬一体生态闭环形态
- 市场特征：代表消费电子领域的生态协同典范。通过底层硬件、专用芯片、操作系统、统一账号体系与多端云服务的垂直整合，建立极高的用户粘性与可观的持续服务订阅收益。
- 成熟能力（N）：跨端体验一致性、多设备账号无缝协同、严密的隐私授权弹窗机制、长达数年的持续系统升级。
- 演进突破（+1）：传统软硬一体厂商的生态设计高度围绕“个人便携设备”，且通常采取强绑定的封闭云服务策略。AI 家庭主机应将一体化体验引入“家庭物理空间”，坚持数据物理主权归用户所有（支持无损加密全量导出），避免用户生活资产被单一云厂商锁定。
象限四：未来家庭智能中枢形态
- 市场特征：面向未来环境感知、多智能体交互与服务机器人协同的前沿探索方向。
- 演进突破（+1）：构建“家庭空间上下文模型”与“用户智能记忆体”。家庭主机作为家庭算力中枢，统一掌握家庭成员习惯与环境拓扑，为后续进入家庭的各类服务型机器人（扫地机、洗地机、陪护机械臂等）提供统一的任务调度、安全审计与空间决策支持。
第二章 产品定义与核心设计原则
2.1 产品定位与职责边界
AI 家庭主机是部署于家庭局域网内的核心数字基础设施。它在单一硬件载体内集成四大核心职责：
- 家庭数据资产保险箱：完整留存家庭历史照片、视频、证件证照、健康病历及各类契约凭证。
- 本地隐私算力中心：承载本地语言模型与专用感知视觉/语音模型，处理高隐私级别的文本与多模态数据。
- 全屋智能调度中枢：连接照明、安防、环境家电等智能设备，提供跨品牌的场景编排。
- 家庭权限与长期记忆管理：精细化划分家庭成员的访问边界，将零散的生活事实提炼为经过用户核验的长期记忆。
产品以家庭相册与档案资料库作为首代切入点。普通用户不会为抽象的“家庭基座”概念买单，但愿意为“海量照片秒级语义查找”、“重要证件临用随查”、“就医病历全家整理”以及“数据绝对不出家门”的确定性价值付费。
2.2 核心产品设计原则
原则一：人机协同而非全自动，掌控权始终归属用户
系统不追求完全黑盒化的全自动执行。在复杂的家庭生活环境中，让家庭成员看得见进度、随时能够干预、出现偏差随时能够叫停与撤销，是建立信任的基石。系统的所有后台智能化操作，均建立在用户显式授权的基础上；涉及安全、资产、财产与隐私的边界，系统绝不自作主张。
原则二：界面因场景而变，覆盖四大交互形态
用户在家庭生活中的需求主要体现为四种典型行为模式，系统为其匹配最舒适自然的交互形态：
| 行为模式 | 交互界面形态 | 用户当下核心诉求 | 界面设计特征 |
|---|---|---|---|
| 查 | 问答对话流 | 快速获取具体信息（如查询某个证件号码、查找去年体检结论），用完即走 | 极简对话窗口，支持追问与溯源引用卡片 |
| 理 | 视觉铺开整理工作台 | 批量审阅与整理大批家庭素材（如筛选年度照片、整理就医发票） | 满屏网格化媒体墙与文件抽屉，AI 作为侧边助手随时协助辅助分类与批量重命名 |
| 应 | 轻量决策卡片 | 响应系统发起的主动提醒与规则建议 | 独立浮动通知卡，明确标注理由，提供清晰的“同意”、“修改后同意”或“忽略”选项 |
| 控 | 空间直控面板 | 直观查看与调节全屋电器状态 | 房间实景层级化布局，状态实时可视化，支持手势滑动与物理按键联动 |
原则三：能力渐进式暴露，避免信息过载与对话框焦虑
若将所有功能平铺在界面上，会导致系统复杂臃肿；若仅保留一个空白输入框，普通用户会产生“不知道该说什么、担心误操作损坏数据”的心理压力。 系统采用分层设计：
- 将高频核心功能（看相册、查档案、看家电）固化为直观的骨架页面与导航抽屉，点击即达；
- 将低频、复杂的跨模态长流程任务交由智能对话助手承接；
- 系统具备“习惯沉淀”能力：当检测到用户在对话中反复进行某种特定组合操作时，主动提示用户将其固化为一个开箱即用的“家庭自定义技能”，免去日后重复表达。
原则四：数据生命周期清晰隔离，资产数据与流动数据分道管理
- 家庭留存资产：相册、证照、健康记录等是具有长期增值属性的家庭资产，必须永久留存、定期多副本备份并建立跨模态索引；
- 环境流动数据：门禁触发记录、环境传感器读数、摄像头实时分析流等属于过客型数据。系统提倡“边缘解析、留存结论、阅后即焚”，原始视频流在提取结构化事件后直接丢弃，严禁流动数据污染家庭永久数据池。
2.3 四大核心竞争壁垒
纯粹接入公开模型接口不构成长期竞争壁垒。AI 家庭主机的护城河建立在深度融入家庭生活场景的四层系统能力上：
| 壁垒层级 | 核心能力 | 形成机制与防护价值 |
|---|---|---|
| 第一层：顶层业务价值 | 家庭生活细节的深耕与交互规程 | 沉淀于数千项具体生活规程（哪些文件值得永久保留、家庭时间线如何生成、何时保持绝对静默）。规则来自真实家庭的持续交互纠错，无法通过单纯在实验室推演获得。 |
| 第二层：数据资产主权 | 物理驻留于家庭的私有资产 | 多模态生活记录永久保存在本地硬盘中。家庭使用时间越长，AI 对这家人的偏好与习惯理解越深，形成公有云模型无法迁移和剥离的本地数字资产。 |
| 第三层：确定性工程保障 | 驯服不确定性 AI 的控制体系 | 构建“操作确认闸门、全流程进度透视、会话快照与级联撤销”机制，将大语言模型的概率性输出严格约束在可预测、安全可控的业务轨道内。 |
| 第四层：底层算力支撑 | 多任务并发的本地模型调度中枢 | 协调轻量级感知模型与推理大模型的协同工作，在有限的整机功耗与散热条件下，白天保证高响应度人机交互，夜间自动化完成海量媒体深度索引。 |
第三章 成员角色、生活时刻与打扰红线
3.1 成员角色与分级数据权限架构
系统针对典型家庭成员结构设计了五级角色模型，各角色具备清晰的权限边界：
| 家庭角色 | 典型成员 | 系统配置权限 | 全家公共资产访问 | 个人私有空间 | 审计与设备控制权限 |
|---|---|---|---|---|---|
| 主管理员 | 父母双方（户主） | 具备设备网络、技能安装、全局配额与账号管理权限 | 完全读写权限 | 独立的私有加密存储空间 | 拥有设备全局控制权；可查看跨设备审计日志（仅限行为记录，无权查阅他人私聊） |
| 成人成员 | 成年子女、常住亲属 | 允许调整个人专属偏好与使用已授权技能 | 具备查看与贡献内容权限，受限删除权限 | 独立私有空间，其他成人默认不可见 | 可操作生活区家电；无权查看系统底层日志 |
| 长辈角色 | 爷爷、奶奶、外公、外婆 | 简化界面，默认开启大字号与语音直达 | 仅读全家相册及专属健康模块 | 受保护的健康档案与个人相册 | 基础家电一键操作，系统优先提供关怀与异常辅助守护 |
| 未成年角色 | 幼儿、学龄儿童 | 无系统管理权限，限制外部技能调用 | 可查看经筛选的儿童相册与学习专区 | 受家长监护的个人空间 | 受限控制特定娱乐/学习设备；防沉迷与安全模式常驻 |
| 临时访客 | 亲友借住、保洁家政 | 临时授权，限定时间与特定功能接入 | 仅允许访问指定的单次共享相册或临时访客网络 | 无永久个人空间，离开后临时缓存自动彻底销毁 | 仅限控制特定房间指定设备（如客房灯光空调） |
3.2 典型家庭生活时刻与场景协同
系统通过底层数据、本地模型与设备协同，服务于多样化的家庭形态：
场景一：多人口成长型家庭
- 日常痛点：孩子各类证件、学籍卡、疫苗本、成长照片极其分散；长辈照料琐碎，各类保险保单到期易忘。
- 系统协同：
- 手机拍摄疫苗本、学籍证明后，系统在本地完成 OCR 结构化提取，自动录入专属抽屉，并在临近复查或续保前 30 天主动推送卡片提醒。
- 手机相册自动增量同步，本地模型夜间自动提取孩子画作、运动会获奖等特定画面，在学期末自动生成精选家庭纪念册草稿供家长一键确认。
- 晚间归家后，环境系统依据各房间成员的长期习惯自动设置适宜的温湿度与照明方案。
场景二：异地赡养长辈家庭
- 日常痛点：子女在外打拼，难以时刻掌握独居父母的健康状态；长辈就医病历易丢失，用药规律易混淆。
- 系统协同：
- 纸质处方与体检报告拍照后，本地大模型整理出用药时刻表与指标变化趋势，长辈端以大字图文或智能音箱语音提示，子女端远程获得结构化健康简报。
- 通过毫米波雷达与环境传感器静默守护长辈起居。若发生夜间起身超过安全阈值（如在洗手间停留异常超时），系统触发紧急分级联动，向子女端推送预警。
场景三：养宠爱宠家庭
- 日常痛点：宠物疫苗与驱虫周期繁杂；主人离家后宠物行为与室内环境安全难以兼顾。
- 系统协同：
- 自动归纳宠物的医疗就诊记录，推送预防性驱虫与疫苗计划。
- 室内环境异常升高时，主机联动环境传感器在本地决策并启动低噪音新风与循环扇降温，生成运行日志并在傍晚推送信标摘要。
场景四：年轻独居租房群体
- 日常痛点：租赁合同、房屋押金条、重要票据经常在搬家时遗失；独居安防敏感度高。
- 系统协同：
- 各类合同票据通过快速扫描进站，遇需要申报租房补贴或房租交纳时支持模糊语义检索。
- 门外安防感应到可疑逗留时，系统通过加密信道向手机端推送安全提醒，必要时一键启动安防威慑模式。
3.3 介入原则与打扰红线规范
系统建立极其严格的打扰控制策略，坚决杜绝“为了展示智能而频繁打扰用户”的不良体验。
| 业务分类 | 典型涵盖场景 | 系统执行与交互策略 | 呈现形态 |
|---|---|---|---|
| 确定性低风险行为 | 定期照片索引分类、已授权的温湿度自动化调节、常规运行日志记录 | 静默执行并留存记录：无需弹窗打扰用户，系统在后台顺畅跑通。 | 仅在后台活动流留存可查可撤销记录。 |
| 一般建议性行为 | 发现照片精选集草稿、习惯规律提议固化为技能、滤网到期更换建议 | 汇总提示，按需处理：不中断用户当前操作，在非打扰时段集中推送。 | 放入关怀中心卡片流，供用户闲暇时查看。 |
| 触碰三大管控红线 | 涉及资金支出、删除原始资产、AI 置信度不足、涉及开启室内私密摄像头 | 强制阻断挂起，等待批准：系统暂停后续执行链路，必须等待主用户显式授权。 | 手机端弹出高优先级确认卡，明示操作影响与撤回方式。 |
必须挂起等待用户确认的三大红线：
- 产生资金支出或不可逆物理变动的动作：包括任何在线支付、涉及财产的合同外发、原件彻底销毁、家庭防盗总锁远程开启等。
- AI 推理置信度低于阈值的推断操作：当系统对用户意图或特定分类的置信度不足时，不得擅自归档或联动设备，必须以轻量卡片形式向用户求证。
- 涉及室内私密画面的调阅与外呼：室内私密区域传感器绝对禁止在无明确触发或未经用户二次物理确认的前提下向外输出画面。
视觉传感器画面分级隐私处理策略：
- 门外公开区域：感应异常事件时，允许直接在手机通知卡片中附带关键事件短帧或静态截图。
- 室内生活公区（如客厅、宠物活动区）：仅在设防状态或主人主动唤起时传输，支持端到端密钥直连。
- 室内高度私密区（如卧室、洗手间）：严禁常驻视频流采集；原则上仅允许毫米波等无成像传感器部署；若配备特定照护摄像头，默认处于物理遮罩闭合状态，仅在遭遇高危跌倒告警且经用户二次授权后方可按秒级临时透传，10 秒后强制自动关闭并记入审计账本。
第四章 系统功能架构与多端协同
4.1 五层功能架构体系
系统划分为分工明确的五层架构，各层之间通过标准协议通信，确保底层硬件与上层业务彻底解耦：
| 架构层级 | 包含的主要模块 | 职责与功能定位 |
|---|---|---|
| 第一层：交互层 | 移动端 App、桌面管理工作台、即时通信文本通道、语音助手及智能大屏 | 提供针对不同场景的人机界面，实现查、理、应、控四大交互形态，保持跨端状态完全同步。 |
| 第二层：应用层 | 家庭相册资产、证照与档案文库、智能家电控制、健康照护、技能集市、家庭事件流 | 承载面向家庭成员的具体业务价值，直接响应用户生活场景需求。 |
| 第三层：平台层 | AI 智能中枢、安全检查站、家庭长期记忆体、自动化排程引擎、设备能力注册中心 | 负责任务规划、工具调用、细粒度权限校验、自动化触发以及生活习惯的提炼与沉淀。 |
| 第四层：数据层 | 家庭永久数据箱、临时工作台沙盒、专项计划隔离区、环境设备状态流 | 提供物理与逻辑双重数据隔离，区分永久资产与瞬态流动数据，确保数据安全。 |
| 第五层：基座层 | 端云协同模型路由、7×24 稳态运行内核、硬件存储与网络管理、本地网络设备抽象层 | 管理本地 14B 推理引擎与专用感知小模型，对接云端合规大模型，提供稳定的系统级支撑。 |
4.2 “一个大脑，三个核心入口”分工
同一套家庭主机核心通过三种不同形态的交互界面提供服务：
| 核心入口 | 硬件与使用场景 | 核心承担职责 | 核心功能界面与交互模式 |
|---|---|---|---|
| 移动端 App | 随身智能手机，覆盖全天候、碎片化与外出移动场景 | 高频贴心助理：随时问答、即时审批确认、接收主动关怀与安全提醒。 | 页面结构精炼为：多轮对话问答区、审批与决策确认中心、家庭生活简报流。 |
| 桌面工作台 | 桌面电脑大屏幕，覆盖深度整理、全景审阅与精细化管理场景 | 深度整理中枢：全景展开批量照片、档案分类归档、自动化规则编排与系统权限配置。 | 铺开式媒体墙、结构化档案抽屉、右侧智能详情质检面板、全局浮动交互助手。 |
| 即时通信快捷门 | 主流即时通信生态客户端，覆盖免装应用与极简应急场景 | 文字速查快捷门：在外部无特殊客户端环境下，快速检索家庭文字记录与关键信息。 | 极简单聊窗口，发送关键提问即刻返回纯文本答案或紧急安全回执。 |
4.3 核心资产管理模块
4.3.1 智能相册资产库
- 时间与空间智能轴：依据多模态感知模型提取的人脸、地理空间、拍摄场景等维度，全自动构建三维交叉索引网。
- 自然语言模糊查找：支持诸如“去年夏天在海边吃冰淇淋的孩子”、“带红帽子的合影”等自然语言语义搜索，全程在本地执行向量相似度计算。
- 动态衍生创作：在设备空闲时自动分析家庭重要纪念时刻，生成家庭成长回顾或旅行精彩合辑草稿，等待用户确认后渲染输出，绝不篡改原始素材。
4.3.2 证照与家庭档案抽屉
- 结构化票证抽屉：针对身份证、护照、社保卡、户口薄、不动产权证、劳动合同、家电保修卡等常见凭证建立标准化分类抽屉。
- 智能到期与事项推演：从文档识别出到期时间、年审周期或保养条款，自动在全局日程中锚定时间节点，形成主动闭环提醒。
4.3.3 自生长技能体系
- 基于习惯的技能生成：系统持续观察被授权的交互习惯。当用户连续多次执行相似的复合操作（如“整理本周买菜小票并汇总到记账表”），系统提炼出执行模板并询问：“检测到您经常需要汇总小票，是否保存为快捷技能‘周末小票记账’？”
- 技能沙盒化：所有技能均运行在严格隔离的代码沙盒内，必须声明所需的权限范围（如只读文件、只写账本），禁止越权窃取相册或控制无关家电。
第五章 技术架构与系统工程实现
5.1 总体架构与网络安全穿透模型
系统在网络通讯上秉承“绝对零暴露、仅主动出站”的最高安全准则。家庭主机不需要公网固定 IP，不开放任何外网入站端口，从根本上杜绝公网端口扫描与恶意入侵攻击。
网络穿透与通信机制说明：
- 主机主动发起加密长连接：家庭主机启动后，主动向高可靠公网中继节点发起基于 TLS 1.3 的长连接，中继节点仅负责控制信令中转与路由寻址，无权解密任何会话内容。
- 移动端端到端直接加密互联：移动端发起请求时，指令经由中继服务路由至家庭主机；若处于局域网环境，优先切换至局域网直接高速传输。
- 数据明文绝不驻留中继服务器：所有在公网链路传输的多媒体及敏感数据，均使用用户端私钥完成端到端加密，中继服务仅处理不透明密文数据包。
系统核心技术组件配置：
| 技术分层 | 核心运行组件 | 技术选型与实现机制 |
|---|---|---|
| 接入与交互层 | 移动端客户端、桌面端原生外壳、即时通信网关服务 | 采用轻量化跨平台前端技术，基于组件化语义块实时渲染交互卡片。 |
| 控制抽象层 | 运转中心抽象接口、权限闸门接口、持久化会话存储接口 | 严格抽象出 IAgentRuntime、IPermissionGate、ISessionStore，实现业务逻辑与底层开源框架的彻底解耦。 |
| 任务编排引擎 | 全局协调 Agent、成员私有隔离 Agent、临时任务 Worker、定时调度器 | 支持断点续跑、会话快照存储与异常回滚；对多成员并发请求进行优先级排队。 |
| 模型路由中心 | 动态分流仲裁器、隐私分级检测器、响应延迟调度器 | 根据输入数据的隐私等级（L0～L3）、任务复杂度及网络状态，智能调度本地模型或云端端点。 |
| 数据整理管线 | 散列哈希校验器、向量嵌入提取器、视觉感知小模型集群、分类裁判模型 | 采用“代码过滤 + 感知提取 + 双模型交叉验证”的三级管线，确保无结构化文件精准归档。 |
| 本地数据中心 | 物理存储隔离区、临时沙箱区、计划隔离区、设备流动数据队列 | 建立严格的 Linux 内核级权限隔离与文件夹配额，支持一键无损加密导出。 |
5.2 核心业务流水线实现
5.2.1 任务执行与安全拦截时序
当家庭成员输入一项综合请求（如：“找出去年所有的车险保单，并核对今年是否需要续保”）时，系统按以下严格时序执行：
- 第一阶段：意图解析与上下文组装 系统接收请求，自动注入当前成员的角色凭证、激活会话与必要的背景知识，由协调 Agent 解析用户意图并拆解为任务依赖图（Task DAG）。
- 第二阶段：数据访问第一道拦截 检测任务需访问的文件目录。由于涉及车辆保单，判定数据等级为重要私有资料（L2 级）；系统核验当前用户拥有家庭资产读取权限，记录操作日志后予以放行。
- 第三阶段：工具调用第二道拦截 任务执行器计划调用 OCR 识别模型与比对规则，检查站核对该工具在本地安全白名单内，放行工具调用。
- 第四阶段：端云算力安全路由 由于涉及具体车辆号牌与保单明细，模型路由中心强制分流至本地 14B 推理引擎执行字段比对与日期核算，结果显示距离脱保还有 15 天。
- 第五阶段：高危操作阻断与确认挂起 任务执行器尝试向外部保险或服务通道发送意向登记。检查站触发高危管控规则（涉及资金支出与个人凭据外发），立即阻断并挂起执行流程，向用户手机端弹出确认卡：“已比对完车险，保费预计 3,200 元，是否允许向客服发出询价单？”
- 第六阶段：审批决策与最终留痕 若用户点击批准，流程继续向下调用外部通道；若点击拒绝，任务即刻终止并保留本地草稿；完整操作行为被写入不可篡改的系统审计账本中。
5.2.2 照片与非结构化资产三级整理管线
非结构化素材传入后，通过多阶段递进式流水线完成处理，兼顾即时响应与深度挖掘：
- 阶段一：基础整理（纯算法与元数据过滤） 素材传入待处理区，系统通过 SHA-256 算法比对完全相同文件并执行去重；利用图片感知哈希（pHash）识别连拍废片；快速提取拍摄时间戳、镜头参数、GPS 坐标等 EXIF 元数据。此阶段由轻量代码高速完成。
- 阶段二：深度特征提取（夜间小模型并发提取） 大算力分析任务加入夜间作业队列，在设备空闲时自动唤醒：专用轻量模型提取人脸特征向量并聚类至成员图谱；OCR 模型识别画面中的路标、门头招牌、荣誉证书等文字；多模态 Embedding 模型为画面生成高维语义向量并存入本地向量数据库。
- 阶段三：最终分类与质量仲裁（大模型双保险） 基于前面提取的多维特征，主分类模型生成归档决策（如：“2025年云南家庭旅行相册”）；校验模型执行二次审查，防止人脸混淆或时间线错位；若置信度低于设定阈值，系统向用户推送轻量纠错卡，用户单次标注后系统即刻沉淀为个性化微调参数。
5.3 端云协同模型路由体系
系统建立严密的四级数据安全分级标准，模型调度中心据此动态决定算力去向：
| 数据安全等级 | 典型涵盖数据类型 | 强制算力位置 | 云端外发限制 |
|---|---|---|---|
| L3：极度敏感 | 身份证件、病历检验单、银行卡号、户口本、家庭私密影像 | 100% 物理驻留本地主机 | 严禁任何形式出网。若本地算力不足以完成复杂推理，系统直接在本地尽力回答并附带能力局限提示，绝不外发。 |
| L2：家庭内部私有 | 个人日记、日常聊天偏好、长辈日常起居规律、租房合同 | 优先本地处理 | 经用户单次显式授权，且原始敏感实体（姓名、身份证号等）在本地完成脱敏掩码后，方可调用云端大模型。 |
| L1：家庭一般资料 | 烹饪食谱、家电使用说明书、日常学习笔记、风景照片 | 按需动态路由 | 根据响应时间与系统负载，自动选择本地或云端端点处理。 |
| L0：公开通用任务 | 天气资讯查询、通用常识问答、外语翻译、标准公文起草 | 云端合规大模型 | 充分利用云端充沛算力与低单价优势，快速获得高品质回答。 |
5.4 安全防御体系与四道检查闸门
所有工具调用与数据交互均受到四大安全闸门的物理约束：
- 数据访问闸门：细粒度检验访问主体权限，杜绝子系统之间越权调用未授权文件夹。
- 工具调用闸门：严密审查工具输入参数，防止恶意提示词注入（Prompt Injection）诱导模型调用高危系统命令。
- 操作执行闸门：涉及文件删除、重命名、支付与硬件控制动作的总开关，严格受控于用户的显式审批。
- 记忆写入闸门：确保只有经过用户确认的习惯模式才能写入长期记忆，避免短期噪音干扰系统认知。
系统针对核心控制能力设计了高度抽象的接口规范（如 IAgentRuntime、IPermissionGate），将上层业务与底层开源 Agent 框架完全解耦。即便未来更换底层运行底座，上层的安全检查机制、确认体验与数据资产均不会受到破坏。
第六章 硬件规划、商业模式与 N+1 演进方案
6.1 双版本硬件产品架构
为了同时满足规模化大众市场与高隐私/高阶极客需求，硬件产品规划分为两条协同推进的演化路径：
| 硬件规划维度 | 线上算力普及版 | 本地全算力高阶版 |
|---|---|---|
| 目标用户定位 | 大众普通家庭、租赁房源、首尝家庭中枢的用户 | 隐私敏感型家庭、极客爱好者、多成员并发高算力家庭 |
| 算力部署架构 | 本地轻量微型主机 + 云端合规模型 API | 主机 + 可拆卸/可扩展的本地算力扩展坞 |
| 本地硬件配置 | 高效能移动平台芯片、16G～32G 内存、双 M.2 NVMe 固态仓、双 2.5G 网口、低噪音主动散热 | 高性能 APU / 独立 AI 推理卡、64G～128G 统一大内存、大容量多盘位存储扩展 |
| 本地模型承载 | 负责文本提取、人脸聚类、向量检索及状态分流 | 本地完整运行 7B～14B 主力大模型及多模态端侧模型 |
| 建议价格带 | 1,499 ～ 2,499 元 (一次性买断) | 5,999 ～ 12,999 元 (主机与扩展基座组合) |
| 平滑升级路径 | 基础主机预留高速互联总线（如 USB4 / OCuLink），未来可随时选配算力模块无缝升级，无需更换主机与迁移数据。 |
6.2 商业模式与可持续订阅体系
项目采取“硬件买断 + 增值服务订阅”的健康商业模式，从根本上杜绝“以扣押用户数据作为盈利手段”的错误逻辑：
| 收入板块 | 收费模式与包含权益 | 核心设计逻辑与商业边界 |
|---|---|---|
| 硬件设备一次性买断 | 用户拥有设备物理所有权。终身享有本地多盘位数据存储、局域网相册整理、基础 OCR 识别、局域网家电控制及本地无条件全量加密导出权限。 | 用户花钱买下的是物理硬件所有权与数据安全感，系统绝不扣押用户资产。 |
| 软件与云端服务订阅 | 提供大额云端旗舰大模型调用配额、高带宽外网加密中继传输、高级智能体技能市场、高阶视频影音生成式渲染及跨品牌家电新协议支持库。 | 严格基于“系统所消耗的实际算力与高阶服务深度”计费。 |
订阅收费核心铁律：
收费深度严格基于“AI 的服务附加值与算力消耗”，绝对禁止基于“用户存储的个人资产体积”进行收费。 用户在设备中存储 100GB 还是 10TB 照片，均属于其物理硬盘主权，系统绝不设置存储容量付费墙。收费点只存在于是否调用了高成本云端大模型算力、是否启用了专业级多媒体渲染以及是否使用了高级协同服务。
6.3 首代 N+1 交付方案定义
产品在市场竞争中的胜负手，取决于能否在保证成熟通用能力（N）的前提下，将家庭场景特有的差异化价值（+1）打穿打透：
| 交付能力层级 | 具体模块与功能 | 用户可感知价值与交付衡量指标 |
|---|---|---|
| 成熟通用能力 (N)必须具备的稳健基盘 | - 极简开箱即用与无感知配网流程- 低功耗、低噪音、适合 7×24 小时常开的硬件整机- 完善的本地数据无条件加密导出通道- 系统自动热备份与一键灾难恢复能力 | 保证主机作为一台独立的家庭微型主机具备出色的硬件竞争力与品质感，即便用户脱离复杂生态也能单独稳定使用。 |
| 差异化突破价值 (+1)驱动用户买单的核心利刃 | - 端云一体家庭资料库：毫秒级多模态语义检索，高敏感证件与病历 100% 本地运算不离家。- 模块化可升级算力架构：主机预留高速总线，支持从轻量版后装算力基座平滑扩容。- 自主生长的家庭记忆体：从日常琐碎中沉淀家庭成员真实习惯，经过用户确认后用于设备协同。 | 彻底解决家庭资料分散杂乱、长辈照护难顾、智能家居繁琐易错的核心痛点，建立极高的品牌口碑壁垒。 |
第七章 落地演进路线与验收准则
7.1 三阶段产品演进路径
产品按照明确的时间窗口稳步推进各项能力的落地：
| 演化阶段 | 建议时间跨度 | 核心业务目标 | 关键能力交付里程碑 |
|---|---|---|---|
| 第一阶段：家庭资料管家 | 0 ～ 12 个月 | 攻克家庭最高频痛点，建立数据信任与口碑基盘 | - 上线端云一体智能相册与模糊语义检索- 跑通结构化证件与档案抽屉归档- 落实高敏感数据 100% 本地模型闭环- 验证轻量级即时通信纯文本交互通道 |
| 第二阶段：全屋智能中枢 | 12 ～ 24 个月 | 由“数字资产”向“物理家居环境”延伸 | - 直连主流全屋智能生态与传感器协议- 落地基于毫米波的主动环境守护与安全分级预警- 实现多硬件边缘算力统一调度与卸载- 正式开放第三方安全沙箱技能集市 |
| 第三阶段：空间中枢与具身协同 | 24 个月以后 | 面向具身智能时代，成为家庭机器人的中枢大脑 | - 构建家庭物理空间三维动态模型- 实现家庭成员长期偏好的可信漫游与迁移- 为进入家庭的服务型机器人提供任务编排与安全审计- 落地跨品牌多机器人与全屋电器的复杂协同作业 |
7.2 真实环境场景验证机制
家庭场景极其繁杂琐碎，单纯依赖研发实验室模拟极易导致产品脱离实际。项目需充分利用真实房源与试点家庭网络展开封闭验证：
- 在实际居住环境中长期运行，重点评估连续开机稳定性、异常断电容灾恢复、网络波动重连以及夜间自动化整理对日常网络的影响；
- 统计真实用户在面对“操作确认卡”时的点击与修改行为，持续校准智能体的打扰阈值与置信度安全线；
- 真实检验用户对不同功能模块的打开频次与付费转化意愿，确保每一次研发迭代均紧密贴合真实生活诉求。
7.3 产品完整验收标准
系统在达到正式交付状态时，须通过以下维度的严格验收：
- 数据物理主权验收：在切断外网连接状态下，所有局域网内部数据访问、本地 14B 模型对话、基础照片语义检索与自动化家电联动必须 100% 正常工作；系统提供一键式脱机本地数据加密全量备份，用户可随时以通用标准格式无损迁出资产。
- 权限隔离绝对性验收：非管理员角色绝对无权查阅管理员隐私归档；任何第三方安装的扩展技能，在未获得显式弹窗授权前，无法获取任何原始照片、通信录或聊天内容。
- 多端一致性与穿透可用性验收：手机端在移动蜂窝网络环境下，通过加密中继与家庭主机的指令通信平均往返延迟控制在安全可用范围，且云端中继节点全程无私钥，不可解密数据明文。
- 确定性控制体验验收：涉及删除文件、对外支付等高危操作必须 100% 触发确认闸门挂起；用户发出紧急叫停指令后，正在运行的后台 Agent 必须在 500 毫秒内进入稳态冻结，且先前步骤留存完整恢复快照。
- 任务优先级与保障机制：当后台夜间数据批量整理与前端实时安全报警任务发生资源竞争时，系统必须瞬间压制后台数据处理线程，确保安防与照护告警具备零延迟调配优先级。
- 作者：赵聪（ZhaoCong），产品经理与独立开发者。