@furongjun1999/dsh-memory 0.4.7 → 0.4.8

package/docs/{ → mdcg/}/347/201/265/346/236/242/344/270/211/345/261/202/346/213/206/345/210/206/350/247/204/345/210/222_v0.1.md

@@ -1,181 +1,181 @@
-# 灵枢三层拆分规划 v0.1
-
-> 状态：规划稿（未执行任何文件搬迁）
-> 日期：2026-09-10
-> 范围：理论（灵）/ 大脑（brain）/ 身体（body）三仓职责分离与主仓库瘦身
-> 性质：**本文只定义职责与顺序，不构成搬迁授权**；所有搬迁动作须先通过 Phase 0 裁决。
-
----
-
-## 0. 背景与结论
-
-### 0.1 现状问题
-
-| 问题 | 表现 |
-|---|---|
-| 主仓库职责混杂 | `dsh-memory` 同时承载「记忆大脑」与「工程/身体运行时」（`docker/`、`scripts/` 看门狗、宿主启动脚本），二者依赖量级完全不同 |
-| 同名不同物 | 历史命名中「AEIS」既指理论方（CTP）自带的工程副本，又指 `dsh-memory` 的 Python 大脑包，导致「aeis = 大脑」的旧语义债 |
-| 跨库同步困难 | 同一份工程内容在多库各存一份，改动需人工同步，真源不清 |
-| 断链 | `AEIS/tools/*` 指向 `dsh-memory\llm-adapter-poc`，该路径当前不存在（待 Phase 0 核实） |
-| 交付面过宽 | 完整灵枢 = 理论 + 大脑 + 身体，体量巨大；理论难懂、身体重依赖，二者都阻碍了「大多数人只需大脑」这一主路径 |
-
-### 0.2 结论（本次收敛）
-
-**主仓库不再放工程内容的完整实现，只放「大脑」。**
-
-- 完整灵枢 = **灵** + **脑** + **身**；但对外**默认只交付大脑**。
-- 理论（灵）与身体（身）作为大脑的**可选下层 / 上层**，通过 README 分层入口引导，而非塞进主仓库。
-- 分离的直接收益：消除跨库重复实现，真源唯一，降低同步成本。
-- 面向人群：理论 → 研究者；身体 → 少数需具身者；**大脑 → 大多数人（默认入口）**。
-
----
-
-## 1. 三层定位
-
-| 仓 | 角色 | 内容边界 | 默认读者 | 依赖量级 |
-|---|---|---|---|---|
-| CTP / CommonTrustProtocol | **理论（灵）** | 协议、认识论、信任账本；**不含工程实现**（待剥离自带 `aeis/` 工程副本） | 研究者 | 无（纯文档/协议） |
-| **dsh-memory（主仓库）** | **大脑** | `md_cg` 认知图内核 + MCP/npm 接口 + 记忆数据；**纯逻辑、零重依赖** | **大多数人（默认入口）** | 轻（标准库 + 轻量 npm） |
-| AEIS / body | **身体** | 传感器、语音、执行器、docker 运行环境、模型权重、宿主看门狗 | 少数需具身者 | 重（设备/模型/容器） |
-
-**一句话各自定位**
-
-- 灵：定义「什么样的智能值得被信任」——协议与公理，不落代码。
-- 脑：定义「记住什么、如何召回、如何自演化」——可在任意宿主上单独运行。
-- 身：定义「如何感知与作用于世界」——可选，且可替换。
-
----
-
-## 2. 主仓库（大脑）取舍清单
-
-### 2.1 保留（= 大脑本体）
-
-| 路径 | 内容 | 理由 |
-|---|---|---|
-| `md_cg/` | 认知图内核（98 py：consolidate / refine / pooling / provenance / whitebox / MCP server…） | 大脑核心，纯 Python |
-| `src/` | MCP / npm 插件接口（8 ts） | 大脑对外唯一入口 |
-| `test/` | 集成测试 | 大脑正确性保障 |
-| `data/` | 记忆数据（**归位须待 Phase 3**） | 大脑资产，非工程副产物 |
-| `package.json` / `tsconfig.json` | 构建定义 | 轻依赖 |
-| `README.md` / `docs/` | 分层入口文档 | 需重写为三层入口（Phase 4） |
-
-### 2.2 移出或降级（= 身体 / 工程）
-
-| 路径 | 处置 | 去向 |
-|---|---|---|
-| `docker/` | 移出 | 身体仓（运行环境） |
-| `dsh-web-start.bat` | 移出 | 身体仓（宿主启动） |
-| `scripts/`（看门狗 ps1 / vbs） | 移出 | 身体仓（宿主守护） |
-| 语音 / 模型权重 / 设备相关资源 | 移出 | 身体仓 |
-
-### 2.3 断链修复（Phase 2 处理）
-
-- `AEIS/tools/*` → `dsh-memory\llm-adapter-poc`（当前缺失）。
-- 二选一：**补齐**该路径，或**声明废弃**并从文档/代码中移除引用。
-- 原则：不允许存在「文档指向不存在路径」的悬空引用。
-
----
-
-## 3. 分期任务规划
-
-> 顺序不可交换：**先裁决 → 再冻接口 → 再搬代码 → 最后动数据**。
-> 每一期均有独立验收，未通过不得进入下一期。
-
-### Phase 0 — 裁决（不搬任何文件）
-
-| # | 任务 | 产出 |
-|---|---|---|
-| 0.1 | `diff -rq` 定 `aeis` 唯一真源（CTP 侧 vs 独立仓侧） | 真源结论 + diff 快照存档 |
-| 0.2 | 一句话写死「身体」操作定义：设备端口 / 世界载体 / 宿主客户端（三择一） | 定义条目（可导出为边界表） |
-| 0.3 | 将 `data/mdcg` 声明为大脑资产，并**冻结写入** | 冻结记录 + 恢复步骤 |
-
-**验收**：真源唯一；身体定义可一句话导出；`data/mdcg` 冻结生效且可恢复。
-
-### Phase 1 — 接口先行（仍不搬文件）
-
-| # | 任务 | 产出 |
-|---|---|---|
-| 1.1 | 冻结 brain↔body 契约：只暴露**能力名**，不暴露执行细节 | 契约表（能力名 + 入参/出参语义） |
-| 1.2 | 跑通两条链路各一次：身体取知识（`cg(op=whitebox)`）、大脑写记忆（`mdcg_remember`） | 双向链路验证记录 |
-
-**验收**：契约冻结且带版本号；两条链路各绿一次。
-
-### Phase 2 — 代码剥离
-
-| # | 任务 | 产出 |
-|---|---|---|
-| 2.1 | 主仓库移除重依赖目录（见 §2.2） | 瘦身后的主仓库 |
-| 2.2 | CTP 侧剥离自带 `aeis/` 工程副本（或反向声明 CTP 为发布源） | 剥离/声明记录 |
-| 2.3 | 修复 `AEIS/tools/*` 断链 | 补齐或废弃说明 |
-
-**验收**：主仓库在干净环境 `pip install` / `npm install` 后**无重依赖**即可运行大脑。
-
-> **详规**：理论仓具体拆分清单、主仓切 `md_cg` 的逐行改动点、白箱知识库内迁的依赖阻断与搬迁映射，见 [docs/理论仓拆分与白箱知识库内迁_v0.1.md](理论仓拆分与白箱知识库内迁_v0.1.md)。
-
-### Phase 3 — 数据迁移（最后做 · 不可逆）
-
-| # | 任务 | 产出 |
-|---|---|---|
-| 3.1 | **先演练回退**：`mdcg.enabled: false` + 数据不迁移，确认旧通道可用 | 回退演练记录 |
-| 3.2 | 再迁 `data/mdcg` | 迁移报告（幂等 + 备份） |
-
-**验收**：迁移后节点数与原库一致（当前基准 **6340** 节点）；数量不符即说明密级 / root / actor 未对齐，须回退重来。
-
-### Phase 4 — 命名与文档统一
-
-| # | 任务 | 产出 |
-|---|---|---|
-| 4.1 | 全库统一「灵 / 大脑 / 身体」表述 | 术语表 |
-| 4.2 | 同步 README 与 `docs/`，清掉「aeis = 大脑」旧语义债 | 修订后的分层入口文档 |
-
-**验收**：README 三层入口清晰，无「aeis = 大脑」歧义表述；命名与职责一致。
-
----
-
-## 4. 贯穿全程的三条铁律
-
-1. **先定职责、再定归属**——库名是历史沉积，不是功能声明。不得因为「名字里有 aeis」就归给理论方。
-2. **接口冻结早于代码搬迁**——否则拆的是目录，不是耦合；耦合仍在，只是换了个地方报错。
-3. **数据最后动且可回退**——`data/mdcg` 挪错是**静默失效**（写入只打 warn），6340 节点无法从代码重建。
-
----
-
-## 5. 风险与回退
-
-| 风险 | 触发条件 | 回退动作 |
-|---|---|---|
-| 记忆真源错位 | `mdcg.root` 落到错误目录，写入静默告警 | 恢复 `data/mdcg` 原位 + `mdcg.enabled: false` |
-| 写入冻结期间数据丢失 | Phase 0 冻结但未建备份 | 冻结前先做全量备份（必须前置） |
-| 契约冻结不彻底 | 身体侧仍直接读大脑文件 | 强制走契约能力名，禁止跨层直连 |
-| 真源判断错误 | Phase 0 diff 结论有误 | 保留 diff 快照，可重判并回滚剥离 |
-
-**迁移不可逆点**：Phase 3.2。进入前必须完成 Phase 3.1 回退演练。
-
----
-
-## 6. 明确不做（边界声明）
-
-- 本文**不授权**任何文件实际搬迁 / 删除。
-- 本文**不改变**任何运行时配置、不修改 `cordis.patch.yml`、不动 `data/mdcg` 内容。
-- 本文**不替代** Phase 0 的裁决结论——若裁决结果与本规划假设冲突，以裁决为准并回改本文。
-
----
-
-## 7. 下一步（三个裁决性动作）
-
-1. `diff -rq` 定 `aeis` 真源；
-2. 一句话写死「身体」定义；
-3. 冻结 `data/mdcg` 写入（含前置备份）。
-
-> 这三件做完，搬迁清单会自动收敛；在此之前动手，等于在大脑里留一个没有海马体的身体。
-
----
-
-## 附：术语对照
-
-| 本文用语 | 对应现状命名 | 说明 |
-|---|---|---|
-| 灵 / 理论 | 智能论 v3.4、CTP、CommonTrustProtocol | 协议与认识论 |
-| 大脑 / brain | `md_cg`、`dsh-memory`、`@furongjun1999/dsh-memory` | 认知图 + MCP 接口 + 记忆数据 |
-| 身体 / body | AEIS（独立仓）、`docker/`、`scripts/`、`src` 之外的宿主层 | 传感器 / 执行器 / 宿主运行时 |
-| 真源 | single source of truth | 同一内容只允许一处为准 |
+# 灵枢三层拆分规划 v0.1
+
+> 状态：规划稿（未执行任何文件搬迁）
+> 日期：2026-09-10
+> 范围：理论（灵）/ 大脑（brain）/ 身体（body）三仓职责分离与主仓库瘦身
+> 性质：**本文只定义职责与顺序，不构成搬迁授权**；所有搬迁动作须先通过 Phase 0 裁决。
+
+---
+
+## 0. 背景与结论
+
+### 0.1 现状问题
+
+| 问题 | 表现 |
+|---|---|
+| 主仓库职责混杂 | `dsh-memory` 同时承载「记忆大脑」与「工程/身体运行时」（`docker/`、`scripts/` 看门狗、宿主启动脚本），二者依赖量级完全不同 |
+| 同名不同物 | 历史命名中「AEIS」既指理论方（CTP）自带的工程副本，又指 `dsh-memory` 的 Python 大脑包，导致「aeis = 大脑」的旧语义债 |
+| 跨库同步困难 | 同一份工程内容在多库各存一份，改动需人工同步，真源不清 |
+| 断链 | `AEIS/tools/*` 指向 `dsh-memory\llm-adapter-poc`，该路径当前不存在（待 Phase 0 核实） |
+| 交付面过宽 | 完整灵枢 = 理论 + 大脑 + 身体，体量巨大；理论难懂、身体重依赖，二者都阻碍了「大多数人只需大脑」这一主路径 |
+
+### 0.2 结论（本次收敛）
+
+**主仓库不再放工程内容的完整实现，只放「大脑」。**
+
+- 完整灵枢 = **灵** + **脑** + **身**；但对外**默认只交付大脑**。
+- 理论（灵）与身体（身）作为大脑的**可选下层 / 上层**，通过 README 分层入口引导，而非塞进主仓库。
+- 分离的直接收益：消除跨库重复实现，真源唯一，降低同步成本。
+- 面向人群：理论 → 研究者；身体 → 少数需具身者；**大脑 → 大多数人（默认入口）**。
+
+---
+
+## 1. 三层定位
+
+| 仓 | 角色 | 内容边界 | 默认读者 | 依赖量级 |
+|---|---|---|---|---|
+| CTP / CommonTrustProtocol | **理论（灵）** | 协议、认识论、信任账本；**不含工程实现**（待剥离自带 `aeis/` 工程副本） | 研究者 | 无（纯文档/协议） |
+| **dsh-memory（主仓库）** | **大脑** | `md_cg` 认知图内核 + MCP/npm 接口 + 记忆数据；**纯逻辑、零重依赖** | **大多数人（默认入口）** | 轻（标准库 + 轻量 npm） |
+| AEIS / body | **身体** | 传感器、语音、执行器、docker 运行环境、模型权重、宿主看门狗 | 少数需具身者 | 重（设备/模型/容器） |
+
+**一句话各自定位**
+
+- 灵：定义「什么样的智能值得被信任」——协议与公理，不落代码。
+- 脑：定义「记住什么、如何召回、如何自演化」——可在任意宿主上单独运行。
+- 身：定义「如何感知与作用于世界」——可选，且可替换。
+
+---
+
+## 2. 主仓库（大脑）取舍清单
+
+### 2.1 保留（= 大脑本体）
+
+| 路径 | 内容 | 理由 |
+|---|---|---|
+| `md_cg/` | 认知图内核（98 py：consolidate / refine / pooling / provenance / whitebox / MCP server…） | 大脑核心，纯 Python |
+| `src/` | MCP / npm 插件接口（8 ts） | 大脑对外唯一入口 |
+| `test/` | 集成测试 | 大脑正确性保障 |
+| `data/` | 记忆数据（**归位须待 Phase 3**） | 大脑资产，非工程副产物 |
+| `package.json` / `tsconfig.json` | 构建定义 | 轻依赖 |
+| `README.md` / `docs/` | 分层入口文档 | 需重写为三层入口（Phase 4） |
+
+### 2.2 移出或降级（= 身体 / 工程）
+
+| 路径 | 处置 | 去向 |
+|---|---|---|
+| `docker/` | 移出 | 身体仓（运行环境） |
+| `dsh-web-start.bat` | 移出 | 身体仓（宿主启动） |
+| `scripts/`（看门狗 ps1 / vbs） | 移出 | 身体仓（宿主守护） |
+| 语音 / 模型权重 / 设备相关资源 | 移出 | 身体仓 |
+
+### 2.3 断链修复（Phase 2 处理）
+
+- `AEIS/tools/*` → `dsh-memory\llm-adapter-poc`（当前缺失）。
+- 二选一：**补齐**该路径，或**声明废弃**并从文档/代码中移除引用。
+- 原则：不允许存在「文档指向不存在路径」的悬空引用。
+
+---
+
+## 3. 分期任务规划
+
+> 顺序不可交换：**先裁决 → 再冻接口 → 再搬代码 → 最后动数据**。
+> 每一期均有独立验收，未通过不得进入下一期。
+
+### Phase 0 — 裁决（不搬任何文件）
+
+| # | 任务 | 产出 |
+|---|---|---|
+| 0.1 | `diff -rq` 定 `aeis` 唯一真源（CTP 侧 vs 独立仓侧） | 真源结论 + diff 快照存档 |
+| 0.2 | 一句话写死「身体」操作定义：设备端口 / 世界载体 / 宿主客户端（三择一） | 定义条目（可导出为边界表） |
+| 0.3 | 将 `data/mdcg` 声明为大脑资产，并**冻结写入** | 冻结记录 + 恢复步骤 |
+
+**验收**：真源唯一；身体定义可一句话导出；`data/mdcg` 冻结生效且可恢复。
+
+### Phase 1 — 接口先行（仍不搬文件）
+
+| # | 任务 | 产出 |
+|---|---|---|
+| 1.1 | 冻结 brain↔body 契约：只暴露**能力名**，不暴露执行细节 | 契约表（能力名 + 入参/出参语义） |
+| 1.2 | 跑通两条链路各一次：身体取知识（`cg(op=whitebox)`）、大脑写记忆（`mdcg_remember`） | 双向链路验证记录 |
+
+**验收**：契约冻结且带版本号；两条链路各绿一次。
+
+### Phase 2 — 代码剥离
+
+| # | 任务 | 产出 |
+|---|---|---|
+| 2.1 | 主仓库移除重依赖目录（见 §2.2） | 瘦身后的主仓库 |
+| 2.2 | CTP 侧剥离自带 `aeis/` 工程副本（或反向声明 CTP 为发布源） | 剥离/声明记录 |
+| 2.3 | 修复 `AEIS/tools/*` 断链 | 补齐或废弃说明 |
+
+**验收**：主仓库在干净环境 `pip install` / `npm install` 后**无重依赖**即可运行大脑。
+
+> **详规**：理论仓具体拆分清单、主仓切 `md_cg` 的逐行改动点、白箱知识库内迁的依赖阻断与搬迁映射，见 [docs/theory/理论仓拆分与白箱知识库内迁_v0.1.md](../theory/理论仓拆分与白箱知识库内迁_v0.1.md)。
+
+### Phase 3 — 数据迁移（最后做 · 不可逆）
+
+| # | 任务 | 产出 |
+|---|---|---|
+| 3.1 | **先演练回退**：`mdcg.enabled: false` + 数据不迁移，确认旧通道可用 | 回退演练记录 |
+| 3.2 | 再迁 `data/mdcg` | 迁移报告（幂等 + 备份） |
+
+**验收**：迁移后节点数与原库一致（当前基准 **6340** 节点）；数量不符即说明密级 / root / actor 未对齐，须回退重来。
+
+### Phase 4 — 命名与文档统一
+
+| # | 任务 | 产出 |
+|---|---|---|
+| 4.1 | 全库统一「灵 / 大脑 / 身体」表述 | 术语表 |
+| 4.2 | 同步 README 与 `docs/`，清掉「aeis = 大脑」旧语义债 | 修订后的分层入口文档 |
+
+**验收**：README 三层入口清晰，无「aeis = 大脑」歧义表述；命名与职责一致。
+
+---
+
+## 4. 贯穿全程的三条铁律
+
+1. **先定职责、再定归属**——库名是历史沉积，不是功能声明。不得因为「名字里有 aeis」就归给理论方。
+2. **接口冻结早于代码搬迁**——否则拆的是目录，不是耦合；耦合仍在，只是换了个地方报错。
+3. **数据最后动且可回退**——`data/mdcg` 挪错是**静默失效**（写入只打 warn），6340 节点无法从代码重建。
+
+---
+
+## 5. 风险与回退
+
+| 风险 | 触发条件 | 回退动作 |
+|---|---|---|
+| 记忆真源错位 | `mdcg.root` 落到错误目录，写入静默告警 | 恢复 `data/mdcg` 原位 + `mdcg.enabled: false` |
+| 写入冻结期间数据丢失 | Phase 0 冻结但未建备份 | 冻结前先做全量备份（必须前置） |
+| 契约冻结不彻底 | 身体侧仍直接读大脑文件 | 强制走契约能力名，禁止跨层直连 |
+| 真源判断错误 | Phase 0 diff 结论有误 | 保留 diff 快照，可重判并回滚剥离 |
+
+**迁移不可逆点**：Phase 3.2。进入前必须完成 Phase 3.1 回退演练。
+
+---
+
+## 6. 明确不做（边界声明）
+
+- 本文**不授权**任何文件实际搬迁 / 删除。
+- 本文**不改变**任何运行时配置、不修改 `cordis.patch.yml`、不动 `data/mdcg` 内容。
+- 本文**不替代** Phase 0 的裁决结论——若裁决结果与本规划假设冲突，以裁决为准并回改本文。
+
+---
+
+## 7. 下一步（三个裁决性动作）
+
+1. `diff -rq` 定 `aeis` 真源；
+2. 一句话写死「身体」定义；
+3. 冻结 `data/mdcg` 写入（含前置备份）。
+
+> 这三件做完，搬迁清单会自动收敛；在此之前动手，等于在大脑里留一个没有海马体的身体。
+
+---
+
+## 附：术语对照
+
+| 本文用语 | 对应现状命名 | 说明 |
+|---|---|---|
+| 灵 / 理论 | 智能论 v3.4、CTP、CommonTrustProtocol | 协议与认识论 |
+| 大脑 / brain | `md_cg`、`dsh-memory`、`@furongjun1999/dsh-memory` | 认知图 + MCP 接口 + 记忆数据 |
+| 身体 / body | AEIS（独立仓）、`docker/`、`scripts/`、`src` 之外的宿主层 | 传感器 / 执行器 / 宿主运行时 |
+| 真源 | single source of truth | 同一内容只允许一处为准 |

package/docs/{ → mdcg/}/347/274/272/345/217/243/345/215/225_P0/346/224/266/345/217/243_v0.1.md

@@ -1,6 +1,6 @@
 # 认知图 · P0 收口 证据单（G2 索引接线 + G3 能力标签）v0.1
 
-> 来源：`docs/认知图_索引与工程规范化_计划_v0.1.md` 的 R4/R5 前置项 —— **G2（文档/代码索引接线）** 与
+> 来源：`docs/mdcg/认知图_索引与工程规范化_计划_v0.1.md` 的 R4/R5 前置项 —— **G2（文档/代码索引接线）** 与
 > **G3（能力标签注入）**；G1（生效条件口径接线到各前缀）已于上一批次闭合（`evo-20260910-152148-2b35`）。
 > 目标工程：**dsh-memory / md_cg（认知图 + 记忆 OS）**
 > 证据口径：源码级核对 + **真实库（`AEIS/data/mdcg`）复算** + 前后冻结基线对照（不采信估计值）
@@ -38,7 +38,7 @@
 |---|---|---|
 | **G2** 索引接线（md_cg / src / docs 三大域） | ✅ 执行 | 计划 §六 R4/R5 的前置「先有索引」 |
 | **G3** 能力标签注入（`cap:<op>`） | ✅ 执行 | 计划 §四「索引节点缺能力归属」 |
-| G1 生效条件口径接线到各前缀 | ⏸ 已闭合 | 上一批次，见 `docs/认知图_条件空间合成与生效条件口径_v0.1.md` |
+| G1 生效条件口径接线到各前缀 | ⏸ 已闭合 | 上一批次，见 `docs/mdcg/认知图_条件空间合成与生效条件口径_v0.1.md` |
 | G7 / G8 / G4 / G5 / G6 | ⬜ 不执行 | 登记待定（§八）；G8 已裁定方案留作后续依据 |
 
 **执行通道（必须记录的环境事实）**：常驻 MCP 服务进程启动于当日改造**之前**，其内存模块缺 `CONDITION_SLOTS` / `condition_space_text`

package/docs/{ → mdcg/}/350/256/244/347/237/245/345/233/276_G4-G8/347/274/272/345/217/243/350/243/201/345/256/232/345/215/225_v0.1.md

@@ -1,6 +1,6 @@
 # 认知图 · G4–G8 缺口裁定单（条件空间声明 + 四态裁决）v0.1
 
-> 来源：`docs/缺口单_P0收口_v0.1.md` §八「DEFER 登记项」——**G4 层归属错位 / G5 视觉证据未落 / G6 node_ 结构提炼 /
+> 来源：`docs/mdcg/缺口单_P0收口_v0.1.md` §八「DEFER 登记项」——**G4 层归属错位 / G5 视觉证据未落 / G6 node_ 结构提炼 /
 > G7 自主演化无驱动 / G8 溯源链缺失**，外加缺口单 §6.1 的「索引节点应域级分池降权，而非吃 GLOBAL_CAP」。
 > 目标工程：**dsh-memory / md_cg（认知图 + 记忆 OS）**
 > 证据口径：源码级核对（行号可回溯）+ **真实库（`AEIS/data/mdcg`）只读复算** + 前后冻结基线对照（不采信估计值、不转述文档结论）

package/docs/{ → mdcg/}/350/256/244/347/237/245/345/233/276_/347/264/242/345/274/225/344/270/216/345/267/245/347/250/213/350/247/204/350/214/203/345/214/226_/350/256/241/345/210/222_v0.1.md

@@ -101,7 +101,7 @@ judge_qualification(mdcg.py:709-714)
              "lineno":383,"end":462,"lang":"py","hash":"9f2c1ab3de44"}
 
 // 文档节点
-"doc_ref":  {"path":"docs/认知图_MD目录方案_v0.1.md","heading":"9. 分阶段实施（稳健）",
+"doc_ref":  {"path":"docs/mdcg/认知图_MD目录方案_v0.1.md","heading":"9. 分阶段实施（稳健）",
              "heading_path":["9. 分阶段实施（稳健）"],"level":2,
              "lineno":491,"end":513,"anchor":"9-分阶段实施稳健","hash":"41ab77c0e1d9"}
 ```
@@ -161,7 +161,7 @@ judge_qualification(mdcg.py:709-714)
 |---|---|---|---|
 | **R0** | ✅ **已完成**（§十一 取证纪录）：全量 28 用例基线取证 + 修 4 条缺陷（`corpus.reset_root` 全量 rmtree / 3 处编码） | 28/28 全绿；P0 25/25、P1 38/38、P11 27/27、P12 32/32 | ✅ |
 | **R1** | ✅ **已完成**（§十二 取证纪录）：`codeindex.render` 改产 CCG 6 行、`EXTRACTORS` 后缀注册化（AST 精确 / TS-JS 弱提取）、`op=ref` 回读 + 漂移检测、`truncated`/`skipped_suffixes` 显式上报；实测 §1.3-1（role 档位） | ✅ 代码节点判定 **ACCEPT**（不再 BLINDSPOT）；`op=ref` 回读文本与源区间**逐字一致**、`hash_match` 检出漂移 | ✅ |
-| **R2** | ✅ **已完成**（§十三 取证纪录）：`docindex.py`（章节切块 + CCG 渲染 + `doc_ref`）+ `op=index_doc`；裁 §1.3-3（层/密级） | ✅ `docs/` 全部 md（实测 **19/19**，非静默跳过）切块可定位；`docs/认知图_MD目录方案_v0.1.md` 的 §9 表被判 **ACCEPT** 且给出行号 `L491-L516` | ✅ |
+| **R2** | ✅ **已完成**（§十三 取证纪录）：`docindex.py`（章节切块 + CCG 渲染 + `doc_ref`）+ `op=index_doc`；裁 §1.3-3（层/密级） | ✅ `docs/` 全部 md（实测 **19/19**，非静默跳过）切块可定位；`docs/mdcg/认知图_MD目录方案_v0.1.md` 的 §9 表被判 **ACCEPT** 且给出行号 `L491-L516` | ✅ |
 | **R3** | ✅ **已完成**（§十四 取证纪录）：`_refindex.json` 增量（抄 `sources.Ingestor` 范式）+ `check_refs` 漂移巡检 + `truncated` 显式上报 + 接入 `sustain.diagnose` | ✅ 改源文件一行 → `ref check` 报 stale（重建后消除）；删源 → dangling；`max_files` 触发时 `truncated=true` 且写进水位；`diagnose` 报 `ref_stale`、`heal` 的 `rebuild_refs` 修复 | ✅ |
 | **R3.1** | ✅ **已完成**（§十五 取证纪录，2026-09-12）：节点级对账——`prune_orphans`（改标题产生的过期代）+ `prune_dangling`（源已删的悬空节点），接入 `index_code`/`index_doc` 与 `op=ref action=prune` | ✅ P27 §10/§10b 全绿；真实现场悬空 **20 → 0**（`LIVE_HITS=0`/`TRASH_HITS=20`）；受影响面 7 模块 6 绿 1 环境红 | ✅ |
 | **R3.2** | ✅ **已完成**（§十五 取证纪录，2026-09-12）：索引器**追加排除** `skip_dirs`（`index_code`/`index_doc`）——把 `.gitignore` 已忽略却物理留存的实验产物挡在门外，替代「调大 `max_files`」这一掩盖手段 | ✅ P27 **75/0** 全绿（§9 由 `500/2388` 红转 `30/30`）；新增 §9b 验证匹配口径 / 只增不减 / 可审计；受影响面 10 模块全绿 | ✅ |
@@ -223,7 +223,7 @@ md_cg 侧再补 `timeout_ms` 与 `needs_clearance` 两个扩展字段。裁剪
 3. **`hash` 不是内容寻址**：只做变更探测，不保证「内容相同即同节点」。
 4. ~~R0 有一个待闭环疑点~~ → **已在 §十一 闭环**。「`test_p1` EXIT 1 且输出仅 165 字节」的根因与 `test_p0` 同一类：受管环境下 `os.remove` 被环境 shim 接管，
    删除量越阈即中断进程；且失败形态是**静默截断 + 非零退出**，不是一条 FAIL。现已改为不清空目录（原子覆盖 + 等号守门），并全量复跑验证。
-5. **当前工作区未提交**：`docs/认知图_MD目录方案_v0.1.md`、`bench_p0.py`、`census.py`、`test_p0.py`、`test_p1.py` 已改，`md_cg/corpus.py` 未跟踪——R0 应先收口提交，再动索引层。
+5. **当前工作区未提交**：`docs/mdcg/认知图_MD目录方案_v0.1.md`、`bench_p0.py`、`census.py`、`test_p0.py`、`test_p1.py` 已改，`md_cg/corpus.py` 未跟踪——R0 应先收口提交，再动索引层。
 
 ---
 
@@ -253,7 +253,7 @@ md_cg 侧再补 `timeout_ms` 与 `needs_clearance` 两个扩展字段。裁剪
 `_md_cg_p0` 实测 **0 文件**——说明第一个 `reset_root(ROOT)` 已清空+重建成功，死在第二个；
 `_md_cg_p1` 实测 **350 文件**（< 500）故通过——**只差 150 就到阈值**，这正是历史上「P1 EXIT 1 / 165 字节」的同源形态。
 
-**关键点：文档早已裁决过**。`docs/认知图_MD目录方案_v0.1.md:365-367` 原文：
+**关键点：文档早已裁决过**。`docs/mdcg/认知图_MD目录方案_v0.1.md:365-367` 原文：
 > 幂等性：迁移按 node id 原子覆盖写，可反复执行，**不需要先清空目录**。（这不只是便利：清空目录依赖 `rmtree`，
 > 在有安全策略的环境下会被拦截，而"必须先删除才能重跑"的迁移脚本本身就是个脆弱设计。）
 

package/docs/{ → mdcg/}/350/256/260/345/277/206/346/223/215/344/275/234/347/263/273/347/273/237_MdCGOS/344/270/216MCP/346/216/245/345/205/245_v0.1.md

@@ -35,10 +35,10 @@ P8 34 · P9 37 · P10 24 · P11 27 · P12 32 · P13 42 · P14 44 · P15 53 · P1
 | 3 | **RRF 并行多路召回** | `search_rrf(...)` | 词法 / 条件桶 / 实体 / 图扩展 四路并行 → Reciprocal Rank Fusion；结果带 **provenance**（可审计）|
 | 4 | **审核队列 edit/merge** | `propose` · `review_list` · `review_decide` | 海马体式 `hippocampus/inbox.jsonl` → `decisions.jsonl`；裁决 **accept / reject / edit / merge** |
 | 5 | **tombstone + 恢复检查** | `forget` · `restore` · `is_tombstoned` | 软删除入 `trash/` + `_deletions.jsonl` 删除清单；恢复时校验，须 `force` 才可强恢复 |
-| 6 | **payload-free 审计** | `_audit` · `audit_records` | 每次变更只记 `{t,op,id,actor,payload_hash}`，**绝不记内容** |
+| 6 | **payload-free 审计 + 分片轮转** | `_audit` · `audit_records` · `rotate_audit` · `audit_scale` | 每次变更只记 `{t,op,id,actor,payload_hash}`，**绝不记内容**；活动日志超 `AUDIT_ROTATE_BYTES` 即 `os.replace` 原子切分（分片数 ≤ `AUDIT_KEEP_SHARDS`）⇒ **单文件与总量都有上界**；读数走 O(1) 元数据口径（超大历史分片只给量级并标 `exact=False`）|
 | 7 | **budget-driven pack** | `recall(query, budget_tokens)` | 装到预算花完；**超大条目跳过而非停下**（继续尝试更小的）|
 
-另：`health_os()` 在原有健康度上并入 OS 指标（role 分布 / 待审数 / 墓碑数 / 审计事件数 / 反思数）。
+另：`health_os()` 在原有健康度上并入 OS 指标（role 分布 / 待审数 / 墓碑数 / 审计事件数 / 反思数）；审计面另透出**轮转证据**：`audit_shards` / `audit_total_bytes` / `audit_total_events` / `audit_total_exact` / `audit_oversized`。
 
 ---