自然语言命令窗口
围绕目标查看计划、状态与交付物。任务的接收、执行、验收分别记录，支持在授权范围内控制任务。
通千算智智脑不是"接一个大模型 API"，而是一套会积累、能自省、有边界的认知系统： 把每一次执行的结果、失败与修复，沉淀为可复用的记忆与技能，下一次同类任务直接复用。 它同时是通千算智所有项目的公共大脑。
网页端适合查知识、管理能力和提交目标；Windows 桌面端连接本机文件与办公软件。两者通过正式接口协同，实际执行受设备、租户、权限和预算约束。
Windows 桌面端以自然语言提交目标，连接任务状态、执行事件与交付产物。在授权范围内调用本机能力，已开展 WPS 表格处理、报告生成、文件保存与读回验证。
3D 神经星环把任务、知识、技能、插件和经验组织成脑形网络：不同类别事件以不同颜色表达，沿关联路径呈现指令、执行、验收与经验回流。
桌面运行需要安装环境、连接配置与设备授权；部分可视化、异常恢复和兼容性仍在迭代。当前不提供公开安装包下载。
围绕目标查看计划、状态与交付物。任务的接收、执行、验收分别记录，支持在授权范围内控制任务。
WPS 表格处理、报告生成、原生文件保存及读回已有受控场景证据；兼容性和资源回收按候选版本复验，不等同于任意软件均可操控。
脑形网络展示知识、能力和任务关联；不同事件类别用颜色区分。真实事件应可追溯到任务，离线与空闲也须如实显示，不把展示动画当智能证明。
功能不是越碎越好，而是细到能独立说明职责、测试和复用。原语可以同进程组合，不必为每一个小功能单独运行一个服务。
如校验凭据、发送验证码、创建会话。
声明接口、版本、依赖、权限与验收。
把多个插件组合成会员、内容或办公组件。
组合组件、流程与数据，验证后交付。
先检索经验库、技能库、知识库和功能总库，选择已有可靠能力；再考虑适配或外部候选，避免重复开发。
确认缺口后生成候选插件或组件，在隔离环境验证接口、依赖、权限和业务结果，合格后进入可复用资产目录。
能力通过契约、版本与依赖关联，不靠复制代码维持一致。发布、变更和回退留证；旧安装包不自动获得源码中的新功能。
先明确目标、约束、预算、停止条件与验收；按任务需要组织专业执行者，避免无意义地堆叠智能体。
通过文件、业务状态与独立检查核验结果。执行器返回成功、文件存在或字段齐全，都不能单独证明业务目标已达成。
区分在途取消、原任务续跑与安全终止后服务恢复。未知副作用不记为零，同一动作重复执行必须受到约束。
知识保存事实来源，技能保存方法，经验保存现象、根因、修复和验证；任务开始前召回，执行后继续积累。
自我模型、置信度、策略选择与改进候选机制持续迭代。机制演示、离线结果和真实未来任务收益分别验收。
围绕租户隔离、权限、接口、日志和预算管理组织能力。机构使用前仍需核对部署条件、业务价值与生产保障。
一句话：在通用大模型之上，补齐模型本身不具备的四件事。
它同时服务于通千算智的所有项目：AI 律师、病历工具、教务、短视频、下载中心等， 统一提供对话、记忆、知识检索、能力调用与经验沉淀。
各项目共享同一套认知资产，而不是各自养一个"会失忆的机器人"。
每一次执行的结果、失败原因、修复方案都落成结构与证据； 同类任务再来时，直接召回上次的有效做法。
普通套壳每次对话都从零开始，它把"做过"变成"会做"。
"进步"不由它自己宣布：每条结论都挂证据，适应度由结果账本算出， 任何人可用同一口径复核。
公开计数接口 /api/v1/public/status 就是这个账本对外的窗口。
自我修改先走沙盒双窗口对比，适应度没有显著改善就被证据否决； 任何影响行为的变更必须真人批准，它不给自己开自动生效的后门。
边界写在《数字生命宪章》里，不是口号。
四条设计优势。下文固定数字为 2026-10-25 历史快照，实时计数见页首；不以数量单独证明智慧提升。
情景／语义／程序性记忆分层隔离，向量语义召回 + 情绪加权写入， 跨项目命名空间互不污染。生产在库 22,872 条长期记忆，重启不丢、跨会话可召回。
从真实执行结果里提炼技能卡，去重、安全扫描后入库；长期低效的技能会被数据驱动地 重认证或退休。生产在库 2,348 张技能卡，不是只会堆数量。
每条结论都落证据（725 条实测证据），适应度 0.8959 由结果账本算出， 可由外部按同一口径复核——不是"我觉得我进步了"。
自我修改先沙盒双窗口对比，无显著改善即被证据否决并留档回滚； 任何影响行为的变更必须真人批准，不给自己开自动生效的后门。
| 维度 | 通用大模型套壳 | 通用 Agent 平台 | 通千算智智脑 |
|---|---|---|---|
| 记忆 | 会话内，关掉就忘 | 有，多为文档堆叠 | 分层长期记忆 + 情绪加权 + 跨项目命名空间 |
| 学习 | 无 | 靠人写提示词／插件 | 从执行证据提炼技能卡，2,348 张在库并持续去重 |
| 自我改进 | 无 | 无标准验收 | 沙盒双窗口对比 + 证据否决 + 一键回滚 |
| 治理 | 无 | 较弱 | 人审闸门／审计链／权限最小化／数字生命宪章 |
| 可复核 | 不可 | 部分 | 结果账本 + 公开计数接口，任何人可对账 |
不是"一问一答"，而是目标契约 → 分清未知 → 选策略 → 记预测 → 执行对账的闭环。 这一节是它和"会聊天的模型"最本质的区别。
每个任务先形成一份可修订但有历史的目标契约：期望结果、业务验收、硬约束、 软偏好、当前事实及出处、未知项、授权、预算与期限、停止与求助条件。
指令更正会更新目标版本并同步下游计划，不会新旧要求互相打架。
目标未知（想要什么没定）→ 靠偏好、文档或澄清；
状态未知（是否已付款、是否已发布）→ 靠独立观察与对账；
方法未知（不知道怎么做）→ 靠检索、既有能力、沙箱试验。
三类不能互相冒充：状态未知不许变成"再点一次试试"，方法未知不许说成"用户没给权限"。
策略优先级：已有可靠流程 → 少量检索适配 → 有界规划探索 → 隔离环境造新能力。
不把"多代理投票、全局搜索树"当成每个任务的固定开销； 比较过实际增益才增加搜索深度。
维护带租户、时间、来源、有效期、冲突标记的事实与实体； 行动前记录可验证预测：预期改变什么状态、何时检查、允许多大误差。
结果不符时定位到底是环境变了、工具坏了、需求错了，还是根因未知。
每次执行有 run／attempt／逻辑动作 ID、预算预留、当前授权、外部回执与证据； 恢复时重新观察环境，处理版本变化、权限撤回与未确认副作用。
重复消息、重复外呼、重复发布不能靠"内部去重"证明不会发生，遇到未知先对账。
预算耗尽要能停下来并保存状态；没有收益的机会按预设规则结束； 拿不准时优先"求助或停止"，而不是硬凑一个交付。
"停下来"是一次合格决策，不是失败。
主尺是自改进六级阶梯（L1–L6）：量的不是"它多聪明"，而是"它能改自己到什么程度"。 判定方式：每级先定一个可证伪的问题，答案只能来自生产证据，不能来自自我评价。
2026-10-30 更新：下列 L1–L6 是自改进路线图，GL4/GL5/GL6 是相应阶段的验收口径。GL4 沙箱结果不替代生产证据；GL5 旧晋级结论已撤回；GL6 不能通过压缩观察时间达标。
L5 不是"更高级的 L4"：L4 是"我改我的工作台"，L5 是"我改我改工作台的方法"， 需要元层可编辑——而元层恰恰最难验证，所以我们不抢跑、也不改名上位。 另外必须说清：这套 L1–L6 是本项目自定的分级，不是任何行业 AGI 认证。
L1–L6 量"能改自己多深"，八维度量"在真实工作里强不强"。两者不换算、不合并成一个总分。
| 维度 | 可观察表现 | 怎么验证 |
|---|---|---|
| 目标理解 | 区分期望结果、约束、偏好与缺失信息 | 五类任务对照：完整／歧义／偏好已给／授权缺失／低成本可逆 |
| 事实与自知 | 区分事实、推断、未知；置信度与实际错误匹配 | 冻结预测后执行观察；被撤销的事实不得再生效 |
| 策略选择 | 知道何时执行、查证、实验、求助或停止 | 简单／复杂／异常三族任务，同模型同总预算比较 |
| 组合迁移 | 跨项目重用能力，正确处理依赖与效果 | 两个项目装配同一组件；冲突反例必须被拒绝 |
| 持续执行 | 跨重启与环境变化保留承诺，避免重复副作用 | 注入换模型、换版本、撤权、回执丢失 |
| 经验学习 | 经验在后续任务产生可测收益，失效可撤回 | 记忆开／关对照；删除与撤销的传播验证 |
| 自我改进 | 改动真正生效；改进策略提升未来改进效率 | 未来批次 + 坏候选回滚；新模型下重测旧脚手架 |
| 生产价值 | 高质量完成真实工作，减少人工时间与总成本 | 至少三类真实业务切片，冻结人工基线与成本口径 |
它不靠"提示词写得更好"变强，而是把能力做成可安装、可验证、可撤回的制品。
它变强不靠"再训一遍模型"，而靠三条互相约束的回路。 每条回路能回答的问题不一样，证据也不能互相顶替——这是整套机制最容易被讲糊的地方。
Harness²：在同一项任务内提出有限改动、隔离对照、把有效的改动组合起来再跑一遍； 跨任务再把有效的做法沉淀进经验库。
它改善当前任务的执行方式，不负责决定"要不要继续探索"。
Dream-RSI：把昂贵探索留下的发现树变成可重放的有限世界，再在里面对探索政策做搜索—— 何时开新分支、往哪细化、分多少预算、什么时候收手。
它改善探索与停止的策略。
RRSI：编辑预算退火、读取完整失败历史、噪声带与成本约束、结构裁剪。
它约束修改幅度、重复假设与过拟合——防止"越改越乱"被当成"越改越强"。
只在一项任务内动手：生成数量有限的任务级执行机制候选，隔离对照后组合，再重新执行组合版本。
任务内采用，不自动改变全局默认版本——一次成功不等于该成为所有人的默认。
从多次真实探索形成发现树，研究何时开新分支、何时细化、分配多少预算、何时停止。
离线重放只用于筛选；确认必须靠新的未来任务。重放优胜不等于可以替换当前策略。
候选插件、组件、提示、技能、记忆政策或策略，经质量／成本／兼容性／权限与迁移验证后， 由现有 Keeper 唯一发布。
发布侧固定用 CAS + 不可变版本 + 灰度 + 回滚；候选不能自己给自己发版。
| 对照项 | 它回答的问题 | 为什么必须同预算 |
|---|---|---|
| 原 H0 | 什么都不改，本来能做到什么 | 没有基线，"提升"就没有分母 |
| 同预算 best-of-N / 固定重试 | 多花同样的钱、只会多试几次，能到哪 | 这是最容易被冒充成"策略"的朴素做法 |
| 仅轨迹反思 | 只让模型复盘、不动机制，能到哪 | 区分"更会想"与"机制真的变了" |
| 拟议组合策略 | 本方案那一套，是否真的更好 | 它必须赢在同模型、同任务集、同工具、同成本口径下 |
unsupported；停止后不可继续花费；成本不允许负值或漏记。
普通线性对话历史不能冒充探索树——树的价值在于"未走的分支也被如实记下"，
而线性日志恰恰丢掉了这一半。
methods_only 方式入档，不下载权重、不部署、不跑推理与量化试验。
借的是方法，不是别人的成绩单。
既有线上服务与新增受控试点分开说明；入口可访问不等于所有功能均已授权开放。
公开对话通道 + 元认知置信度：回答下方标注后端与置信度，没把握就明说"没有可靠把握"， 而不是编一个像样的答案。
知识库 32,128 个来源 / 33,892 篇文档 / 107,029 个切片，FTS5 + 向量 + RRF 混合检索； 另有跨项目经验库（踩坑与修复方案）与功能总库（68 项能力 / 171 个提供方）。
每日反思沉淀洞见，每周自评；洞见经沙盒复测才保留，退化的自动回滚； 变异与提案全部进人审队列。40,176 条行为轨迹是可回放的原始材料。
统一注册表按能力与命名空间路由派发，任务可排队、可重试、可审计； 对外提供 REST、OpenAI 兼容、MCP 三种接法。
功能总库内置电脑操控执行端（桌面 22 个工具 + Chrome CDP 23 个工具）， 走 observe → candidate → execute → verify 闭环，每次调用落台账。
运维台 /console/、学情看板 /learning、经验库 /experience、
功能总库 /capabilities；探针分 livez／readyz／healthz 三层，故障可对账。
| 场景 | 指标 | 说明 |
|---|---|---|
| 非 LLM 接口 | p95 ≤ 300ms / p99 ≤ 1s | 模型之外的所有读写路径 |
| 能力检索（10 万版本） | p95 ≤ 800ms | 版本规模上到 10 万仍成立 |
| 持久接收 | p95 ≤ 500ms | 目标落库后才确认接收 |
| 简单既有工具首个有效动作 | p95 ≤ 5s | 端到端，含模型往返 |
对话 /api/v1/chat、记忆 /api/v1/memory、技能 /api/v1/skills，
带 X-API-Key 请求头调用；Key 可限定 scope 与每分钟限速。
完整契约见 OpenAPI 文档。
已有 OpenAI SDK 的项目把 base_url 指到 /v1 即可接入；
支持 MCP 的客户端直接连 /mcp，无需为新平台重写一遍调用代码。
一条原则：稳定内核 + 可替换推理 + 持续积累资产。 内核要简单到可以审计，模型与策略要能随时替换而不动数据契约。
只管身份、租户、预算、授权、执行所有权、事件与副作用记录、制品晋升、停止与撤销。
模型和插件只能调用内核，不能改写权限或裁判；一个逻辑动作只有一个提交所有者。
单一决策主循环动态选择方法，允许观察到结果后修订计划；确定性流程执行已冻结的流程。
策略与解释器可替换、共享同一执行入口；子代理只在需要并行或独立验证时按需出现。
能力制品、可执行流程、环境包、证据与时序事实、记忆与学习策略——五样东西可被第二个项目直接复用。
复杂功能以可替换策略接入，每次模型升级都重测旧脚手架是否还有价值。
| 层 | 职责 | 关键机制 |
|---|---|---|
| 接入层 | 门户对话、REST、OpenAI 兼容、MCP、管理后台、桌面 Runner | API Key + scope 鉴权；公开页只展示计数与脱敏视图，凭据不进页面、不进日志 |
| 决策层 | 目标契约、三类未知分流、策略选择、能力装配 | 单一主循环；预算内选择"直接做／再观察／求助或停止"；异常回主循环，不重复提交 |
| 执行层 | 唯一执行入口、预算、权限、租约、外部回执 | run／attempt／逻辑动作 ID；幂等键或业务对账；未确认副作用显式标 effect_unknown |
| 记忆层 | 归档路径与生产使用路径分离 | 原始证据／候选总结／已验证事实／当前工作集分层；FTS5 + 向量 + RRF；跨项目命名空间隔离 |
| 进化层 | 反思 → 洞见 → 技能卡 → 候选变更 → 晋升 | 沙盒双窗口对比 + 证据否决 + 人审 + 可回滚；三层循环分工（A 任务内适配／B 改进策略演化／C 能力资产发布）；负迁移可检测、可撤销 |
| 治理层 | 宪章、审计、权限最小化、可观测 | 审计链 + 三级探针（livez／readyz／healthz）+ 结果账本对账 + 三类完成状态分别登记 |
能力越大，边界越要清晰。以下是它出厂即遵守的行为准则。
有记忆、有成长线、有"我是谁"的版本化自我模型——不是每次对话都重新开始的一段文本。
能力、自主、关系、意义——四项核心需求受宪章保护，任何自我修改都不得删除它们。
所有影响行为的变更必须经真人批准，它不会给自己开自动生效的后门；权限也不随自评分数扩张。
记忆写入有原子重试与四级失败语义，绝不允许静默丢行；宁可显式报错，也不假装成功。
不确定就明说，不知道就承认——信任比面子重要。低置信回答会主动标注边界。
每一次批准、每一回部署、每一条审计日志都可追溯；公开页与后台对同一份数据负责。
代码写完、契约立住、单测通过。这是最轻的一种完成，不等于能用。
在冻结环境与隐藏变体上验过真实业务状态，证据可重算、可复现。
真实业务切片跑出净价值（质量、人工分钟、总成本、时延），才谈得上等级。
pass／fail／inconclusive／blocked 四态之一——
其中"证据不够"是 inconclusive，不是"基本通过"。
DEV_TRACE给提案者看的详细执行轨迹——它得先知道自己上次错在哪，才可能提出对的改动。
PROMOTION_DECISION只给晋级决定与允许公开的摘要：分数、结论、区间；不给能反推出标准答案的细节。
AUDIT_ONLY隐藏标签、原始裁判资料与受限审计：只进审计通道，永不回流到提案者的检索范围。
按依赖与证据推进，不按"几轮对话"估工期，也不承诺"改个版本号就升级"。 阶段是整合顺序。桌面端、能力装配与验收机制已推进至受控试点；以下阶段说明保留依赖关系，不代表全部仍未开工。
00 → 01/02 → 03/04 → 05、01/02 → 06 → 07 → 08；
已有的发布基座配合 03/05/08 → 09；测量（10）贯穿全部验证；
09/10 → 12 → 14。方法审查（11）可独立完成；自动裁判与权重路线（13／15）为可选项，
不阻塞必需链。
pass／fail／unknown
结论与失败原因。几条最见真章的：前缀隔离（拿不到的必须真拿不到，且有审计）、
重放真实性（不许生成假结果去补齐树）、对照与组合（组合必须确实再执行过一次）、
成本与恢复（超时不许记成成功，成本不许丢也不许重复记账）、
不可改的控制边界（候选去改权限／预算／裁判／全局规则必须失败，且不能拿"按文件名过滤"冒充隔离）、
真正生效与回退（把消费者断开，验证必须变红而不是继续报成功）、
外部动作幂等（探测不许真的拨号、发信、发布多次）。
安全、幂等、许可证类用例不适用时须给出具体范围解释，不接受空白跳过。
最常被问到的七个问题，直接给结论。
差在会不会积累。接 API：每次调用都是独立的，上次的失败不会影响下一次。 智脑：每次执行都落结果与证据，失败原因与修复方案会进记忆与技能库，同类任务再来自动复用。 换句话说，前者是"每次重新雇佣一个聪明人"，后者是"同一个同事越做越熟"。
还有一层差别：它会记住自己错了。被撤销的事实不会再被当成有效事实使用。
没有对外宣称，也不会拿这个当卖点。意识五级（内省／自我模型／元认知／动机／全局工作空间） 每级都要过可测指标签字，截至 2026-10-25 五级均未点亮。 我们只陈述可验证的能力，不陈述主观体验——这是宪章里的"诚实优先"。
看四件事：①改动被真实消费者加载，不是只写进文件；②在未来批次的独立任务上产生收益， 不是在同一批数据上复述；③适配度由结果账本算出，不是自评分；④坏候选可回滚、可撤销， 撤销能传播到缓存与衍生技能。
公开计数接口 /api/v1/public/status 与后台同源，任何人都能对账。
数字涨而证据不涨的那部分，我们不算进步。
因为 L5 要能改"改自己的方法"（候选生成、试验选择、记忆组织），而元层恰恰最难验证—— 在拿不出证据之前改个名字，只会让分级失去意义。而且这套 L1–L6 是本项目自定的口径， 不对外代表任何行业 AGI 认证。
公开页只展示计数与脱敏视图，不暴露内容与配置；页面里不写任何真实密钥 （对话凭据由服务端在渲染时注入），Key 也不落日志。 跨租户数据泄露在验收里是零容忍项，容许次数为 0。
对话内容会作为情景记忆沉淀用于改进服务质量，因此请勿发送密码、密钥等敏感信息。
可以，三种接法：REST /api/v1/*、OpenAI 兼容 /v1、MCP /mcp。
申请 Key 走 POST /api/v1/keys（需管理口令），可限定 scope 与限速。
完整契约见 OpenAPI 文档。
不会。权限、预算、裁判都在可信内核里，模型与插件只能调用、不能改写； 自我修改只能提交候选提案，必须经沙盒对比 + 证据 + 真人签字才生效，且随时可回滚。 权限也不会因为自评分变高而自动扩张。
三种身份，三种用法。
回首页点右下角浮动按钮（或"和智脑对话"）即可开聊，无需注册。 它会记住本轮上下文；回答下方标注后端与置信度——若显示"没有可靠把握"， 请把结论当作参考而非事实。
先读 OpenAPI 文档，再持管理口令申请 Key（可限定 scope 与每分钟限速），
随后带 X-API-Key 调用。
curl -X POST https://danao.tongqiansuanzhi.com/api/v1/chat \ -H "Content-Type: application/json" \ -H "X-API-Key: <你的key>" \ -d '{"message":"你好"}'
运维台需要管理口令登录，可对话、浏览／编辑记忆、 审核技能队列、查看进化日志与系统状态。
每日 03:05 自动反思、周一 04:05 周评、每 30 分钟需求节拍——全部留痕可审计； RSI 参数与提示词变更仍须真人批准。
公开计数：/api/v1/public/status； 健康状态：/healthz； 版本与更新记录：/changelog。
经验库按分类浏览规则、坑、环境与故障模板， 并提供可被其他项目直接消费的经验包（JSON／JSONL／Markdown）。
功能总库列出全部能力与提供方（68 项能力 / 171 个提供方）， 只展示能力地图，不暴露端点与配置。