RT-02-002 OceanWay Runtime 抽离与跨平台接入顺序

本页对当前Platform、Runtime与产品共享原件开发链按ADR-0025、ADR-0023与ADR-0024执行：统一新契约，一份原件、多处引用；旧版兼容、开发备份、数据库dump、备份副本、三库联合恢复及DR门禁均已取消，不是本期或默认后续任务。原持久状态上的重启、未知写入ACK确认、独立续签、可信解绑和可靠释放继续验证。new-api-new-oceanway已有客户的生产服务及原生产发布自动数据库备份等既有保护保持；历史验收只代表其原批次。

2026-10-18 更新（ADR-0022）：Drama 已解除冻结并恢复开发，是 Runtime 的第二消费者，与 Studio 并行推进；Commerce 保持原型。下文涉及 Drama 的段落按现行计划理解。

本页维护2026-10-15架构升级方案的执行顺序，不将计划步骤当作实际部署。当前首期薄SDK/双入口/最小流程沿 WP-RT-001收口，既有生产与新版候选、合并/CI/发布的区别见 PROC-02-005。任务映射见开发任务，合并包/里程碑见实现计划，判据见验收标准。原平台T-01～T-13、PL和AC继续有效。

演进起点与范围

当前创作产品是 Studio 与 Drama，两者并行开发并共同消费 OceanWay Runtime（ADR-0022）；Commerce 仍是原型。消费者不作为旧平台迁移项目，不导入原型 mock、Dexie 或文件 Provider，不接回原型的账号、钱包、队列和历史数据。废弃的旧 Console、旧 Admin 仓库不纳入改造范围；本页所称 Console/Admin 均指现行 Platform 内界面。

10 月 15 日线上报告记录 Studio 627bf134…、Platform aa67267…，已经通过统一登录、文本、异步图片、Mini 基础视频、会话恢复和免费 Canvas 的具名验收。它们是该时点基线，不代表所有能力完成，也不固定为未来最新制品；每批开工与发布都重新记录源码、镜像、合同和环境版本。

2026-10-14“先完成 Studio 共享 Agent，暂不开展 Drama”的历史安排保留其已交付成果；本次最新要求明确将共用 Agent 与执行能力抽离为独立部分。Studio 完成首个 Runtime 消费切片后，第二消费者确定为 Drama（2026-10-18，ADR-0022），Studio 与 Drama 并行推进。此调整不重新激活早期 Drama-first，也不恢复用户已取消的 Studio 旧短剧线。

工程为 runtime/oceanway-runtime，已建立私有仓库、中性PG核心、Artifact/ResultSink及串行Agent内核；本轮免费纵切与Studio循环加固证据不等于真实产品Runtime接线、业务迁移或Writer切换。OceanWay Runtime 独立承载 Session、Thread、Message、AgentRun、Tool、Job/JobSet、Workflow、Artifact、可靠事件和可复用媒体模块。所有 OceanWay 平台均可通过正式 AgentSurface 接入同一对话能力，这是目标而非已交付事实；Studio、Drama、Commerce、Console/Admin、Site 按各自授权成为消费者，领域数据、采纳和业务引用权限留在调用方。Runtime 不依赖 Studio Conversation；完整关系见目标架构与跨平台 Agent 接入。

Session 表达一次对话工作空间，Thread/Message 表达历史，AgentRun 表达一次执行轮次；这些与媒体 Job、Workflow、Platform Run 授权和收费 Operation 分别持久化关联。Higgsfield 的 Agent 本轮先结束、媒体原 Job 后完成，以及 Krea 的 Session/Thread/Run/文件读取边界共同支持这种职责划分，具体 OceanWay 合同仍须自行实现和验收。Platform 保留身份、能力/动作授权、钱包、Operation 与原操作结果权威。

独立代码与可构建包从本轮建立，不等待规模或负载证明。嵌入MVP可由Studio同进程加载Runtime并沿用原PG、租约和未终态；新任务从首次启用即由Runtime单writer负责，不是等独立部署后再消除双写。独立API/Worker正式部署另过UP-T08/17 Gate。薄SDK提供历史/运行提交与读取、正式控制命令、事件和类型，可选AgentPanel/renderer只承载展示；不向各平台复制引擎、数据库访问或Worker。

Higgsfield 已观察到共享 jobs/jobsets/workspaces/media 接口、独立 Canvas Worker、广告服务，以及验证后Supercomputer项目/会话/Skill/记忆/连接器管理读取，另有聊天恢复与Canvas from-job 的静态合同。fnf-agent-gateway仍仅有base构造候选。这些用于识别公共对象和专业执行边界，不据此要求 OceanWay复制其微服务数量、私有数据库或供应实现。

早期增量迁移fixture保留v1原SQL/checksum和旧Job/输入/结果，再新增v2 Artifact/Delivery与v3 Agent检查点；其历史没有回填Studio数据或接管旧队列。当前追加迁移仍遵循原身份/原结果与单Writer规则；实际schema版本和兼容恢复按PROC-02-005登记。当前共享原件启用仍须核对实际DDL、制品和租约清单；本机fixture不代验实际环境，但不新增开发备份要求。既有客户生产发布保护按原流程保持。

批次与依赖

B4与B5可在公共合同稳定后并行，不以全部应用做完作为容量建设前置。UP-T16最低指标、UP-T17发布与恢复从B0逐批执行；B5扩大容量与故障域专项。批次不是整包串行屏障：UP-T10对话/Canvas侧栏不等UP-T09完整DAG，同进程MVP不等独立API/Worker部署，普通小图片不等完整大文件/新引用。子集通过只登记里程碑与适用证据，不关闭整项UP-T或未覆盖套件。

B0：固定基线、合同与切换保护

UP-T01 建立当前架构与运行版本清单，区分本机工作树、已发布制品、Platform 和供应的版本。核对当前文本到 uumi、图片/视频到 native adapter 与 new-api-new-oceanway 的主链，不把独立旧 Media Gateway 的能力算作已集成。

交付一份切片清单：用户入口、工具模式、当前数据表、业务父对象、原 Run/Operation/供应任务、资产位置、合同版本、恢复程序、当前写入方与接管方。定义 Runtime 对 Platform、存储、事件、产品上下文读取及候选写回的 ports；产品实现受限适配，Runtime 不 import Studio、Next Route Handler 或产品数据库代码。新合同映射现行 PRD/设计/任务；固定工具不强制规划的规则同步更新，避免文档、AGENTS 与实现冲突。

UP-T01/04同时列出各AgentSurface的调用方、scope、登录入口、Profile、ContextResolver、Toolset、ResultSink与renderer。各真实非Studio入口分别通过Platform正式扩约与受限适配门禁，不阻塞Studio当前合法作用域先验；Console/Admin/Site不能复用studio凭据。同一账号不自动拼接不同产品的聊天、素材或记忆。服务端授权策略决定允许工具，前端菜单和profile不自授权限。

记录当前已付费结果、未终态任务、未知单与保存待恢复项；这些是后续切换的保护对象。原始 operation、价格、账务和供应身份不可重建为新调用。敏感值只留私有运行配置，清单保存脱敏身份与校验信息。

UP-T16 从此批采集排队/执行/保存耗时、未知年龄、恢复积压、错误分类、PG/媒体增长及 Worker 健康；UP-T17固定制品、配置版本、停新方式和原状态恢复验证。已有离机备份证据保留原时点；当前共享原件新增存储或schema验证原任务重启、未知ACK确认及原命令恢复，不要求dump、副本或联合恢复。

B1：建立独立 Runtime 包、ports 与 SDK

UP-T02/03/05/14 创建目标 Runtime 工程和独立可构建模块/包，将通用 Tool、Job、Workflow、Agent、Artifact、事件与媒体能力移入独立代码边界。产品 profile、领域上下文和采纳规则通过 ports/注册配置接入；注册项只引用受信 handler，不接受任意 URL、脚本或插件决定权限。工具定义保留稳定 ID、版本、输入输出 schema、执行模式、能力要求和发布状态。

先由Studio作为组合根加载同进程Runtime，沿用原PG与持久任务，仅移动实现归属，不同时搬库、换身份和重建队列。新任务首次启用即由Runtime唯一写入/领取，旧任务保留明确的原版本恢复器与租约；不能让旧新生成路径同时接收同一意图。SDK/客户端与引擎分离，持久层和Worker只在Runtime侧运行；独立包脱离Studio/Next构建，依赖约束阻断反向import。进程间API/Worker正式部署另验，不阻塞此MVP。

建立Runtime自有Session/Thread/Message/AgentRun与AgentSurface合同，并提供薄SDK/可选Panel。旧Studio会话、消息及活跃Run先唯一映射，保留记录/权限/恢复身份，不复制新收费Run。现有文本Agent可沿原授权先接Studio fullpage/Canvas侧栏，UP-T10不等待UP-T09完整DAG。非Studio fixture用独立surface/scope/profile与受控工具验证合同，不冒充真实非Studio发布。

公共 Job 持有作用域、业务父对象、工具版本、不可变输入意图、状态和产物关联。Agent Run、conversation、Canvas 节点都可以关联 Job，但不再成为创建 Job 的必需父对象。历史 Agent 媒体任务保留原身份，以读映射关联，不能复制成可再次执行的新 Job。

Runtime 的公共资产记录用户/产品归属、稳定资产与版本、原件/派生件、内容指纹、来源 Job/Operation 和引用关系。产品持有领域采纳与业务引用权限，Runtime 通过受限 port 验证访问；共用媒体模块不抹去 product/owner 隔离。conversation 是一种引用，素材不因会话删除或一次卡片移除而失去其他有效引用。

这一批交付schema、repository、权限检查和不收费执行夹具。免费本地工具可验证公共Job骨架，现有文本Agent可先验嵌入；首个已验小图片direct可沿当前合法会话媒体合同验证兼容子集，不等完整UP-T06/07。后台direct仍须UP-T04纯媒体Run，不用虚假模型调用或占位对话绕过授权。

退出必须证明：Runtime 可独立构建；Studio 经适配创建独立 Job，多个视图读到同一身份；跨用户/产品访问拒绝；重复同意图返回原对象，不同意图冲突；原 PG/租约和未终态任务延续，无第二写入方；旧 Studio 对话、结果和原单恢复可读。

B2：媒体主链、纯媒体 Run 与直接工具

UP-T04的Platform纯媒体Run从B0并行准备，是后台direct的正式前置；公共执行上下文从AgentRun抽出。现有Run强制含文本能力并预检initial_request，新版本按实际动作预检，不能塞无意义LLM。首个现有文本Agent沿原授权先验，合法当前会话的单次媒体调用可先验小图片direct；两者不冒充后台纯媒体Run完成。Runtime服务身份不替代用户/产品/Run授权，单次调用仍逐笔授权、计费与恢复。

UP-T06/07 补大文件和 typed references：产品以稳定资产身份、版本、角色表达引用；Platform 将顺序、角色、规格与模型能力纳入原意图和准入；供应适配器只透传具名支持的字段。参考图、首帧、首尾帧、参考视频/音频是不同动作，不能从图片张数猜语义。

首个小图片direct只使用当前已验尺寸、规格和无新引用的能力子集，先交付稳定原输出、幂等保存/回执及授权读取。大文件/新参考媒体独立作为具名能力Gate，不阻塞该切片；需要长视频或参考图的工具则必须先完成对应UP-T06/07联验。子集通过不解除16MiB/20MiB边界，不关闭整包。

供应合同声明参考媒体不等于 Platform 已开放。每个工具只开放具名型号和验证组合；真实图片编辑、图生视频等能力逐项通过输入、失败、计量和输出验收后发布。现有视频静音偏好、同步图片保存故障等未通过边界继续单独记录，不由新异步切片代验。

UP-T08从B1新任务首次启用就落实单writer、领取去重/租约、最小事件和恢复。独立API/Worker正式部署是另一Gate：先交付进程间合同/鉴权与兼容读取/恢复器，再停止旧进程领取、核对/失效旧租约，交接Session/Thread/Message/AgentRun、Job/Workflow/Artifact/事件写权。不得靠超时授权重复派发；unknown/sending仅核原单，生成、结算、保存分别持久化。

交接验收关联 UP-AC01/04/05/06/10/12：验证切换前后任务、原 Operation、结果和引用连续，旧进程不能再写，API 重投与产品回执重放不新增收费；失败先关闭新提交，再对写权和恢复器做明确回交，不能简单启动两套 Worker。此后产品不得直写 Runtime 表。

先选一个当前已验的小图片Studio直接工具，以无新引用的表单覆盖“参数验证→Job→原Operation→成品保存/下载”；先在合法会话兼容合同验证，后台模式再过纯媒体Run Gate。固定工具使用已定义规则或模板；提示词优化在产品定义中说明，不能在所有工具背后强制隐藏规划调用。

退出必须覆盖浏览器离开、Worker 重启、提交回执丢失、原结果保存失败、短期链接过期和停止后在途媒体完成。具名真实供应验收的收费范围另按执行会话授权登记，本文不自动新增收费授权或价格。

已付费结果与共享原件接入

当前共享原件按ADR-0024及公共文件契约统一接入。new-api-new-oceanway文件模块复用既有TOS，唯一管理正式原件；Platform、Runtime和Studio绑定同一file_ref/revision。原Backfill复制、Read-compatible、旧开发数据迁移和兼容回滚方案不适用于本期，也不保留为默认后续任务。

本期不要求数据库dump、对象备份副本、三库联合恢复或灾备恢复部署。故障时停新、保留现场并修复统一目标版本，不单独切旧应用承接新引用。new-api现有客户的原服务、API、资金和任务不随开发链调整；其既有生产发布自动数据库备份等保护继续执行。

大文件是另一交付范围：Platform native视频约16MiB内容门槛/PG Base64 receipt与产品20MiB全Buffer上传分别验收，当前小图引用首切不代验流式、背压、Range或分片能力。任何模式的保存失败均沿原结果继续，不重新收费生成。

数据归属与引用边界

原件就绪、消费者保留和产品关联是不同事实。尚未ready不能显示保存成功；原件登记或保留回执未知时继续核原命令；产品可能已提交时不能因超时释放。以上处理不创建备份或第二份业务原件，也不把原生成成功改成“尚未生成”。

每次切换包

每批实际发布前交付同一格式的切换包，由改动对应仓库保存具名证据，文档站只维护入口和结论：

• 版本与范围：源码 SHA、镜像摘要、合同/schema 版本、环境和启用工具，列出不在本批的能力。
• 原单清单：未终态 Job/Run、unknown、delivery pending 与保存积压的脱敏 ID、原恢复器及最后核对时点。
• 写权交接：旧/新领取开关、租约与 fencing 版本、数据唯一写入方、可恢复任务版本；回退必须明确回交，禁止新旧 Worker 并写。
• 数据核对：对象数量、字节/指纹、映射唯一性、引用保护和越权拒绝；不导出私密内容或完整签名 URL。
• 动作顺序：先兼容读取与恢复程序，再 schema/配置，再新入口；每步给出可观察的通过判据。
• 回退方式：关闭哪些新写入、恢复哪个入口、哪些新版本任务继续由当前恢复器收尾，避免回退后产生无人处理的新合同。
• 结果回执：发布后运行版本、具名检查、原单变化、资金核对与指标对比；未通过项保留开放状态。

发布动作与真实供应验收分别记账。只读原单核对、文件回填、事件回放和页面恢复不得增加收费生成；验证新能力确需生成时，使用事先确定的具名输入和授权范围。

B3：先接对话与Canvas侧栏，并行补可执行图

UP-T10对话/Canvas侧栏接线可在B1最小执行/恢复成立后开始，沿现有文本授权先验证，不等待UP-T09完整DAG，也不等待独立API/Worker部署或全部非Studio scope。UP-T09并行将Canvas保存图升级为可执行图：工具/模板版本、typed边、依赖/人工节点和扇出汇合经Runtime Workflow/Job执行；图权限仍由产品负责。节点重开、断连或重新订阅只恢复原结果。

UP-T10 将共用 Agent 引擎放在 Runtime，以 AgentSurface 适配 Profile/ContextResolver/Toolset/ResultSink/renderer。各平台可嵌入 fullpage、侧栏 Panel 或 Canvas 对话，不复制引擎；保留已有 Skill 显式选择。上下文每轮按当前主体/scope/对象权限重验并冻结来源版本，工具从正式授权策略筛选；新一轮选择不修改已派发请求快照。直接工具不要求 Agent，固定节点不等待 LLM 规划。

提交使用稳定 clientRunId 与输入指纹；重复或执行槽冲突时查询原活跃 AgentRun，同ID不同意图返回冲突，不自动换ID另起收费轮次。历史列表、消息分页、活跃Run与事件游标可经 SDK 重读，恢复不依赖旧 Studio Conversation。steer/stop 是带目标Run、命令身份和版本的正式命令：steer只影响尚未派发的后续步骤，stop建立停止屏障，已派发意图保持不变。

跨进程后，Runtime 写回产品领域必须使用受限产品 API、稳定命令身份、目标对象版本与持久回执；Runtime outbox 可靠重投，产品 inbox/命令回执去重。生成成功、候选送达、用户采纳分别记录，不假设 Runtime 与产品跨库事务，也不能由模型构造任意回调 URL。结果先存 Runtime，再按产品授权关联，不因领域暂时不可用而丢弃或重新生成。

事件使用稳定事件 ID、对象版本/序号及可续传游标；SSE 或其他实时连接只是投递方式，PG Job/事件才是事实。断连后回放、重复和乱序不重复执行节点；客户端收到成功事件后仍能重新读取原对象。

首期交付Studio fullpage与Canvas侧栏两个AgentSurface，使用同一Runtime引擎和会话运行合同，并用非Studio fixture证明边界。先验证历史/原活跃Run、稳定clientRunId、上下文重验、steer/stop、事件与回执；完整可执行Canvas另按UP-T09验收，经同Job执行。界面关闭、Agent本轮结束不等于媒体Job/Operation完成，产物继续保存和读取；Panel通过不关闭完整DAG或跨平台真实接入任务。

退出时逐项验证停止屏障：不再创建新调用，已提交图像/视频继续完成、结算和保存；文本按平台正式中断能力处理。未知费用显示未知，资源不足暂停后由用户继续原 Run，补足资源不会自动重派未知单。

B4：复用原型领域与接通现行运营入口

UP-T11/12/13的具名场景为 Drama（ADR-0022）与 Console/Admin；相应调用方 scope 必须先正式交接。2026-10-18 用户确认 Runtime 的 API 与 Worker 已基本完成，Studio 与 Drama 可同时接入；具体部署拓扑与单 Writer 交接仍按本页批次逐项验收，未验项不得视为已交付。各平台可接 Agent 是目标，未接入项仍标待开发。

已有 Studio 工程内的 Drama 文档/分镜成果按现状盘点，可用则复用；原型整体不搬库、不导入演示历史。新增领域数据遵循现行 PG 约束。Studio 被取消的旧短剧生产线不成为 Drama 需求源。

UP-T13 接当前 Platform Console/Admin、Site 的 AgentSurface 与获准运营/发现视图：除公开内容读取外，真实Agent调用须由 Platform 扩约调用方/scope、动作/内容权限与资源准入，不能借管理员身份、同账号或 studio 凭据越界。各入口经薄SDK和适配复用对话，具体开放场景逐项验收；Design提供可选Panel/renderer规范，不拥有领域或运行数据的第二份可写副本。

Runtime 与产品分别以自身事务及可靠 outbox 交付各自事实，Platform 只读聚合关联原操作；不能假设跨库同事务。不把一个业务 Job 的多次真实模型调用重复算成多次作品产出，也不因摘要重放重新扣费。员工统计/资金权限不授权私密素材，产品内容读取仍重验归属。

应用/功能资格、可消耗权益、模型准入、对象权限分别验收。现有数量权益不表示已购买某工具；新资格或商品规则须回正式产品规则，不由迁移任务自行设定。废弃旧 Console/Admin 的代码、BFF 和工作区状态不作为本批完成门槛。

B5：实测扩容、故障域与可选能力

UP-T15/16/17基于B0起数据验证多Worker、分类负载、供应背压、并发/公平性、租约竞争、孤儿任务、对象存储/PG容量与恢复目标。独立工程和新任务单writer是前期既定交付；独立API/Worker部署须过自身合同/交接Gate，再验多实例。本批实测决定额外处理进程、副本、故障域和调度设施，不再决定是否允许独立代码边界。

单机多工具可先交付；多实例通过前不承诺具体 QPS、用户数、可用性百分比或最长视频。每次拓扑扩展保留可回退制品、可重读数据格式及在途单恢复器；故障时保护原操作与已付费结果优先于切回旧页面。

UP-T18 将音频/高级编辑/合成、社区发布、Skill市场、可管理Memory、connector/MCP、用户定时Agent及团队工作区分成独立能力包；细分交付物见UP-T18。每包给出领域对象、权限、输入/输出、商业影响、恢复与单独验收；团队协作不得通过去掉 owner/product 隔离实现，共享钱包也不自动纳入范围。

每批完成的共同标准

1. 任务映射能指向现行需求、工具/接口版本、源码、制品和具名验收；“代码完成”“业务通过”“上线”“容量已证实”分别登记。
2. 已付费结果和未知原单可定位、可恢复，原快照/费用不改写，租约接管与浏览器刷新不增加供应生成 POST。
3. schema 与存储变更具备前向兼容读取、恢复证据和回退条件；配置与凭据有受限、脱敏且可核对的发布记录。
4. Runtime独立构建、SDK、首次单writer、产品回执与独立部署分别验收；MVP子集通过不关闭其余工作包。最低指标、发布、停新及原持久状态恢复随适用批次交付；当前开发备份与DR已取消，不转入B5或默认后续任务，新增商业政策与容量承诺独立决策。
5. 完成后同步开发任务、验收标准与现行进度，未覆盖组合不因父任务已有证据自动结项。

客户资源继续由 Platform 自动核验，沿现有 Run 授权逐调用执行；跨平台对话不新增逐生成审批、Run预算或支出上限表单。Higgsfield审批与Krea mode字段仅作证据比较，不能直接变成OceanWay商业或交互政策。