RT-03-001 目标架构与项目职责边界
全平台Agent入口、独立Runtime会话与执行、产品适配、Platform合同及渐进抽离
本页对当前Platform、Runtime与产品共享原件开发链按ADR-0025、ADR-0023与ADR-0024执行：统一新契约，一份原件、多处引用；旧版兼容、开发备份、数据库dump、备份副本、三库联合恢复及DR门禁均已取消，不是本期或默认后续任务。原持久状态上的重启、未知写入ACK确认、独立续签、可信解绑和可靠释放继续验证。new-api-new-oceanway已有客户的生产服务及原生产发布自动数据库备份等既有保护保持；历史验收只代表其原批次。
2026-10-18 更新（ADR-0022）：Drama 已解除冻结并恢复开发，是 Runtime 的第二消费者，与 Studio 并行推进；Commerce 保持原型。下文涉及 Drama 的段落按现行计划理解。
本页维护升级方案的目标技术设计。独立核心/Artifact/Agent、薄SDK及最小固定串行Workflow已有实现，Studio首消费既有灰度与双入口候选分别登记；完整DAG、独立服务及后续产品另过Gate。当前首期交付沿 WP-RT-001，版本/合并/验证/未发布边界见 PROC-02-005，不以本地实现代替生产权威交接。当前创作产品为Studio与Drama，按ADR-0022并行开发并分别验收，Commerce仍为原型；废弃旧Admin/Console不纳入，下文Console/Admin指Platform现行界面。
Higgsfield 证据表明共享 Job/工作区/参考元素、专业广告领域、Canvas 和可选 Agent 可以形成不同逻辑边界；其数据库、队列、部署数量与事务实现未知。依据同日用户进一步澄清，目标调整为 产品应用 + 独立 OceanWay Runtime + Platform + 现行供应层。Runtime 是所有接入方共用的执行组件，Studio 是首个消费者与当前实现来源。
OceanWay Runtime 为本方案工程名，独立工程路径为 runtime/oceanway-runtime，私有仓库已创建；首批PG核心与制品边界见首批证据，Artifact/ResultSink及Agent内核见本轮证据；其余按适用范围逐批验收。它包含直接任务、固定 Workflow 和 Agent 的共同基础；Agent 引擎是其中一个模块。独立代码、合同与构建边界从 B1 建立；API/Worker 分阶段独立运行，同进程加载只作为过渡。此决定不要求立即拆分三个产品仓库或部署，也不恢复归档 Core/Edge/Contracts。
正式目标是OceanWay任何平台都能按合法作用域接入Agent对话入口，包括Studio、Drama、Commerce，以及Console、Admin、Site等获准页面。综合Higgsfield与Krea补证，Runtime持有中性会话、工具、任务和产物合同；各调用方组合自己的上下文与界面。Session/Thread/Run分离借鉴可观察的客户端关系，以下是OceanWay目标设计，不宣称复原竞品私有后端；Krea未取得的响应正文、费用逐笔归属和两站私有部署仍按补证边界保留。接入细则见跨平台Agent嵌入。
产品、应用与工具
| 概念 | 在本方案中的含义 | 边界 |
|---|---|---|
| Product | 身份、数据与运营作用域，当前创作为 studio | 新工具不自动新增 Platform product；未来独立产品需正式登记权限与合同 |
| 专业应用/工作台 | 广告、电影、商品图等完整体验 | 可以是现有应用内模块或独立产品；都通过 Runtime 接入，不依赖 Studio 对话 |
| Runtime | 可被多个产品和组件接入的共用执行工程 | 独立于 Studio 名称、路由、领域数据库与 Next.js App；接入不授予额外权限 |
| AgentSurfaceDefinition | 按调用方/产品、页面与能力组合定义一个Agent入口 | 绑定Profile、ContextResolver、Toolset、ResultSink及UI renderer；不是授权凭据 |
| ToolDefinition | 用户完成某个动作的版本化业务合同 | 引用已发布能力和处理器，不是模型别名或收费规则 |
| Job / JobSet | 单次明确执行意图 / 一批逻辑目标 | 独立于聊天和 Agent；不是平台账本 |
| Workflow / Agent | 固定依赖编排 / 开放目标规划 | 都使用共同 Job；Canvas 可编辑固定流程或包含显式 Agent 节点 |
项目唯一职责
| 项目 | 持有的权威与交付物 | 依赖及禁止越界 |
|---|---|---|
platform/oceanway-platform | 身份/会话/角色、服务凭据、模型准入/价格、商品/订单/权益/唯一资金、Run授权、Operation/原供应调用与恢复；现行Console/Admin | 不持创作项目/品牌/分镜/长期产品素材的第二份可写副本 |
runtime/oceanway-runtime | AgentSession/Thread/Message/AgentRun、Agent/Workflow引擎、Tool执行合同、Job/JobSet/Attempt、上下文快照、Artifact、Worker、持久事件；可复用媒体模块与交付合同 | 通过正式Platform合同执行；不持账号/钱包/价格，不导入产品或App，不保存领域对象第二份可写副本 |
products/oceanway-studio | 当前创作产品与Runtime首个消费者；专业编辑器、项目/Canvas、可选原生Conversation投影、领域工具、上下文与结果接收器、本域运营 | 公共执行逐批交接Runtime；Runtime会话不依赖Studio对话；不保存独立钱包、供应路由或客户Key |
| 各产品领域模块 | 品牌/商品/广告版本、剧本/分集/镜头/候选等领域对象、对象权限与采纳规则 | 通过Runtime合同接入；不互相import、不复制引擎，不强制同一仓库或部署 |
products/oceanway-drama、oceanway-commerce | 原型交互、领域术语和可验证业务需求的参考 | 不是生产迁移前置；不导入mock、原型账号、钱包或本地生成器 |
products/oceanway-site | 品牌、发现、公开工具/内容投影和受控跳转；未来可嵌获准Agent入口 | 只宣传真实发布能力；对话/动作须经正式身份和调用方合同，不持生成/计费权威 |
gateways/oceanway-text-gateway与现行文本供应 | 文本供应侧接入与运维；当前文本用uumi | 本机仓名/HEAD不代表供应机运行版本；按具名部署核对 |
gateways/oceanway-media-gateway | 保留的历史实现参考，含存储/租约/outbox等经验 | 不作为本轮主链，不因复用代码恢复其服务或搬入旧任务权威 |
operations/oceanway-design | 品牌/token/组件规范与消费版本 | 专业领域编辑器留产品；已有私有0.0.0包不视为正式分发链 |
operations/oceanway-docs | 需求、规则、架构、追踪与脱敏证据入口 | 不形成第二套业务配置、OpenAPI或运行时设计token |
operations/oceanway-infrastructure | 环境、不可变制品/配置manifest、发布、监控、停新及原状态恢复；既有new-api生产保护保持 | -platform-staging、-studio-platform是同仓worktree，不是新服务 |
references/、archive/ | 上游阅读参考与冻结历史 | 不进入新系统运行依赖；Core/Edge/Contracts不恢复 |
业务规则唯一源沿文档责任、决策索引（原 decisions 页已归档，仅作历史参考）、平台PRD及共用约定。工作包与判定只维护在开发任务和验收。
逻辑结构与代码依赖
以下是目标逻辑模块目录示意，并非当前文件树；已交付物理布局为packages/client与packages/server，server/client制品分离已验，其余按实现计划PR-02固定，客户端不能传递安装数据库或执行栈。先从当前 web/src/shared/ 提取中性模块并形成可独立构建的工程；包的发布粒度按实际依赖确定，无需把每个目录拆成单独服务：
runtime/oceanway-runtime/
src/contracts/ 本工程的版本化执行/事件/适配协议
src/jobs/ Job/JobSet/Attempt、派发、恢复、租约
src/tools/ 执行schema、处理器注册、版本
src/workflows/ 图定义、运行实例、依赖与决定
src/agent/ Session/Thread/Message/AgentRun、规划与上下文快照
src/surfaces/ 各调用方入口定义、Profile及受控端口组合
src/artifacts/ 输出身份、保存及交付回执
src/media/ 可复用资产/版本/存储模块，分批交接
src/ports/ ContextResolver / DomainTool / AssetPort / ResultSink
src/platform/ 正式Platform客户端、授权与原单恢复适配
src/server/ 独立API与Worker运行入口
src/client/ SDK：提交、读取、事件与错误类型
src/ui/ 可选纯展示组件与headless状态绑定
products/<product>/ 页面、领域模型、产品服务、Runtime适配器产品依赖 Runtime 的客户端合同或过渡期服务端模块，Runtime 仅依赖端口与受控实现。Runtime 不导入 products/*、Studio会话、Next.js路由、React页面或旧本地权威；协议与服务端核心可在没有Studio的环境构建和运行夹具。UI是可选接入包，前端SDK不携带数据库repository、执行引擎、供应凭据或Worker。
嵌入方式与产品适配
| 接入件 | 提供者与动作 | 执行边界 |
|---|---|---|
| Agent面板、任务列表、状态绑定 | Runtime提供可选UI/headless绑定；产品组合自己的界面 | 只提交、读状态与展示，关闭面板不终止后台任务 |
| AgentSurfaceDefinition | 按正式调用方scope/产品、页面及能力组合版本化注册 | 固定Profile、ContextResolver、Toolset、ResultSink、UI renderer与允许动作；UI配置不能授予权限 |
| Runtime会话与产品对话映射 | Runtime写AgentSession/Thread/Message/AgentRun；产品按需维护原生Conversation投影 | 新入口无需创建Studio对话；产品投影不是另一份可写消息或执行权威 |
| ContextResolver | 产品或调用方服务端按允许的对象/修订解析上下文 | 每轮重验访问并冻结来源/版本，不让Runtime跨产品直接读业务表 |
| DomainTool | 产品注册schema和受限命令实现 | 与UI命令相同的对象/动作/版本校验，模型输出不授予权限 |
| AssetPort / ResultSink | 通用媒体服务与产品接收器 | 先持久保存产物，再幂等关联Chat/Canvas/候选；失败只恢复交付 |
| Console/Admin/Site等调用方 | 经正式接入合同嵌入客户端及获准工具 | 扩展合法scope、动作与委托合同后才开放；不能用现行validPlatformProduct仅有studio等枚举为由借用studio身份，UI不授权 |
同进程阶段用显式注册的处理器接线；独立服务阶段用受限、版本化服务端API接线，校验调用方、subject/product、对象、动作及幂等命令。处理器白名单不接受数据库脚本或任意回调URL。只有获准产品映射及Platform委托可派发收费调用，Runtime服务凭据本身不能代表任意用户扣费。
线程提交携带稳定clientRunId，重复提交核对原指纹；与活跃Run冲突时返回可读取的原Run，客户端先回读，不创建第二次执行。steer和stop是具名命令，校验主体、线程、目标Run、版本与动作权限；steer只影响尚未派发的后续规划，不能改写已派发Job/Attempt意图。流的finish仅表示本轮流结束，媒体Job与产物交付继续按各自状态读取。具体消息恢复与命令合同沿嵌入专页。
同一账号在不同平台不自动共享聊天、上下文或工具授权。Session/Thread绑定调用方scope与适用产品，记录创建入口；同scope获准surface可读取同一线程，每轮Run重验并绑定当前surface/profile/toolset快照。跨产品继续需显式授权交接、来源记录和目标端权限重验，不通过切换页面或复制sessionId越界。
Runtime状态与自身outbox同事务提交；领域写回与产品outbox在产品事务提交。跨边界以稳定命令ID、对象修订、持久回执和补偿/重放接续，不假设跨库事务。交付超时先查原回执；已成功生成的结果不因领域写回失败重新生成。第一批可继续使用现有PG实例，但每张表/记录保持单一Writer，产品与Runtime不得同时调度原任务。
核心数据合同与数据权属
下表描述完整目标模型；Session/Thread/Message/AgentRun、Job/Attempt、Artifact/Delivery及串行Agent控制检查点已落Runtime schema v3，JobSet/完整Workflow和生产资产迁移仍待交付。PG保存元数据、意图和状态，媒体字节进入各自管理的存储。
| 对象 | 必需身份/快照与关系 | 唯一Writer |
|---|---|---|
| ExecutionContext | 可信callerScope/subject、适用时product/creator、surface版本、可选domain对象、授权引用 | 调用方服务端解析，Runtime重验来源与授权；浏览器不能指定任意owner或服务身份 |
| AgentSurfaceDefinition | scope/product、surface/page、能力组合、Profile/ContextResolver/Toolset/ResultSink/renderer版本 | 调用方配置与Runtime受控注册；不赋予动作、模型或对象权限 |
| ToolDefinition / Template | tool ID/version、输入输出schema、能力要求、mode、handler、模板/profile版本、renderer、发布状态 | Runtime持执行合同与注册；产品持领域工具、模板和发布配置；同一版本只有一个权威源 |
| JobSet | 逻辑目标、scope、上下文引用、成员Job、父JobSet、聚合策略版本 | Runtime；不以模型调用数当作品数 |
| Job | 稳定ID、幂等身份/指纹、工具与输入版本、上下文、执行/交付状态、平台Run/operation关联 | Runtime；对话不是必需父对象 |
| Attempt / Step | 原输入envelope、尝试序号、派发屏障、租约/fencing、原operation；仅有依据的新执行建新尝试 | 执行器；UNKNOWN只走原单恢复 |
| WorkflowDefinition / Run | 不可变图版本、节点/端口/依赖、实例输入、人工选择、检查点与Job关联 | Workflow模块；运行中编辑产生新图版本 |
| AgentSession / Thread | Session容器、scope/subject/创建入口、线程关系（首期可仅主Thread）、状态和修订 | Runtime；不依赖任何产品原生Conversation，跨scope不自动共享 |
| Message | 稳定消息ID、所属Thread、角色、结构化内容/工具及Artifact引用、来源Run和版本 | Runtime写中性消息事实；产品渲染/投影不反写第二份消息权威 |
| AgentRun | Thread、稳定clientRunId、输入指纹、Profile/Skill/ContextSnapshot版本、状态/事件及Job关联 | Runtime；与Platform Run授权、媒体Job及流连接身份分别关联 |
| 产品Conversation / 映射 | 可选产品原生对话、Runtime Session/Thread引用、展示/业务关联回执 | 产品写可选投影，不是Agent运行或产物保存的前置 |
| Artifact | Job输出序号、类型、内容指纹、来源operation、结果与保存阶段、媒体版本或文本/结构化结果引用 | Runtime结果交付；一次输出稳定去重 |
| MediaAsset / AssetVersion | 逻辑资产、不可变原件/派生版本、位置/provider、hash/MIME/尺寸、来源与版本关系 | 可复用媒体模块按产品归属受托登记；第一批可经AssetPort沿用原Writer，交接后只由新Writer写入 |
| AssetReference / ResultSink | 资产版本→对象/用途引用；输出→Chat/Canvas/领域的关联回执 | 产品持业务引用，媒体模块持保护引用的持久回执；分别提交并可靠核对 |
| Domain objects | 品牌、商品、剧集、镜头、候选、采纳修订等 | 对应产品模块，不能变成万能项目JSON |
| BusinessEvent / Projection | 稳定事件ID、对象版本、Job/产物/operation关联与水位 | Runtime/产品各自事务outbox产生本域事实，Platform持只读全域投影 |
Agent关系为AgentSession → Thread → Message / AgentRun → 可选Job；执行关系为业务上下文 → 可选JobSet → Job/Step → Platform Operation → Artifact → 媒体AssetVersion。单Job可独立执行，Canvas节点、Runtime消息、产品原生对话与领域对象按需关联，不要求串成必经父链。免费本地动作可产生Job/Artifact，不伪造模型或financial operation。
工具注册与建议API
工具不是任意模型调用代理。建议最小定义如下，实际字段和schema由生产方版本化交付：
type ToolDefinition = {
id: string; version: string; callerScope: RegisteredCallerScope;
product?: ProductId; applicationGroup: string;
mode: "direct" | "workflow" | "agent";
inputSchema: JsonSchema; outputSchema: JsonSchema;
capabilityRequirements: CapabilityRef[];
handler: RegisteredHandlerId; templateVersion?: string; profileVersion?: string;
form: RegisteredFormId; resultRenderer: RegisteredRendererId;
releaseState: "draft" | "verified" | "published" | "retired";
};输入参考使用资产ID/版本/角色/顺序，如参考图、首帧、末帧、mask、参考视频；服务端解析已授权对象。短期URL是传输凭证，不是逻辑意图身份。涉及模型调用的工具发布需匹配真实型号/动作/规格和有效价格；免费本地工具按自身能力、权限与验收发布；旧Job冻结原工具、模板、能力及envelope版本，当前工具下架不改写原执行事实。
| 建议Runtime入口 | 责任与返回 | 状态 |
|---|---|---|
GET /v1/tools、/v1/tools/{id} | 发布目录、输入/结果合同及真实可调用状态 | 建议新增，非当前已交付接口 |
POST /v1/jobs、/v1/job-sets | 校验意图并持久受理；异步202返回稳定Job/JobSet及读取地址 | 建议新增；统一幂等指纹 |
GET /v1/jobs/{id}、POST /v1/jobs/status-batch | 授权读取本人的状态、原结果与交付阶段 | 建议新增；批量逐对象鉴权 |
GET /v1/events?after=... | 可续传通知，断线后重新读Job | 建议新增；复用现有持久事件/SSE经验 |
| Session/Thread/Message创建与读取 | 创建中性会话、读取消息与可用线程；按scope和对象逐项鉴权 | 建议新增；不映射为必需的Studio对话 |
POST /v1/threads/{id}/runs、Run读取/steer/stop命令 | 稳定clientRunId提交具名surface配置；冲突回读活跃Run，正式命令控制后续执行 | 建议新增；依赖合法调用方/动作和正式Platform授权 |
POST /v1/workflow-runs | 提交已验Workflow版本，节点执行进入共同Job | 建议新增；不要求存在Agent会话 |
| 产品Canvas执行/导入命令 | 产品校验图版本后调用Runtime；产物经ResultSink入图 | 产品保留对象命令；导入不重新生成 |
| 资产上传/完成、版本读取与引用命令 | 复用现有媒体入口并扩流式/直传与完整性回执 | 分批扩展，旧稳定URL继续可读 |
以上路径仅为Runtime服务端合同建议，客户端不携带产品服务凭据直连。产品保留自己的BFF和对象权限校验；过渡期调用独立Runtime服务端模块，独立运行后经SDK接API。Runtime自己的协议源归Runtime工程；Platform接口仍以平台仓OpenAPI为唯一源，通过正式客户端引用，不复制到新Contracts仓。Studio内部不以自HTTP调用App Route Handler复用业务。
Job状态、编排和恢复
状态分维保存，避免一个 success 掩盖资金未知或结果保存失败：
| 维度 | 建议状态与来源 | 约束 |
|---|---|---|
| Job业务执行 | queued/running/waiting_input/paused/stopping/stopped/completed/failed | Workflow/Agent/直接执行器统一映射；部分成功由JobSet和分支事实计算 |
| Agent轮次/流观察 | AgentRun状态、消息事件游标、流结束标记分别保存 | 流finish不完成Job，不替代产物保存或Platform执行/资金状态 |
| Attempt派发 | prepared/sending/submitted/unknown/rejected | 沿现有提交屏障；发送未知不重置为可提交 |
| Operation执行/资金 | Platform原状态与授权读取 | 产品不创建第二账本；未知费用不填零 |
| 结果保存 | 目标可细分传输/失败；当前Artifact合同为pending/saved | 生成成功与保存分开；失败保留原产物，只读/存原输出 |
| 接收器关联 | 目标可细分pending/applied/failed；当前合同为pending/delivered | Chat/Canvas不存在不使原Artifact丢失或重新生成；候选送达不等于采纳 |
派发前提交不可变意图；Worker获得有效租约后才认领，派发/原operation关联持久化。租约丢失阻止旧Worker推进；新Worker只对已提交/UNKNOWN核原单。仅可信未执行或明确失败且允许的新尝试能够重新派发，保留原尝试和费用。
Workflow负责typed端口、依赖验证、扇出/汇合、部分成功策略、人工候选与版本化继续。Canvas保存的视觉边不直接执行；只有显式执行边经过图校验成为Workflow版本。Agent仍负责规划和工具选择，每个执行工具转共同Job服务；它是可选编排方式，不是所有任务的必需父身份。
Platform已有当前会话下的单次产品媒体直调。当前后台Run创建仍要求初始text，纯媒体多步/后台Workflow必须由UP-T04扩正式合同，按实际首动作准入后才开放；不塞虚假LLM步骤，不把恢复凭证当新调用授权。当前Studio“媒体先规划”产品规则在直接工具切片中明确调整适用范围，不能由底层重构暗改。
资产数据面与供应边界
Studio已实现local/object provider、S3写入、来源输出幂等、按登记provider读取和授权访问；当前线上本地目录是部署状态。本轮Runtime已实现不依赖Conversation的ArtifactService、开发用LocalAssetPort和ResultSink端口，以真实文件与独立产品inbox验证保存/投递；尚未迁入Studio provider或真实领域接收器。后续沿已有实现完成生产适配：先登记Artifact与媒体版本，再由独立ResultSink关联对话、Canvas或领域对象。
原件、预览、代理视频和编辑派生版本分别登记，保留真实字节指纹和谱系；图片归一化不能悄悄取代原件。引用采用显式对象/版本关系与删除屏障，逐步替代扫描各领域JSON字符串；仍有引用或在途原单的对象不可提前清理。
Platform原API结果与产品长期创作资产各有命名、授权和保留责任。Runtime媒体模块按产品作用域受托管理通用登记、版本与交付；第一批可经AssetPort沿用原Writer，逐批交接后只有新Writer可写。产品保留领域引用和内容访问规则，共用物理对象不隐式共享素材。当前native视频约16MiB门槛/PG Base64 receipt与产品20MiB全Buffer上传是两条限制；对象存储启用不等于它们已解决。UP-T06分别补有界流式/直传/分片、转存阶段、hash/长度校验、Range、过期重取和孤儿核对。
当前共享原件按统一新契约接入顺序执行，不迁移旧receipt或历史开发资产，不增加兼容读取、回填复制或旧Writer回退。已有原件回执和资产不可变字段不原地改写，新结果及独立claim绑定同一文件版本。保存失败、授权到期和视图导入只恢复原文件读取与登记，不新增供应POST、不新建收费operation或产生额外收费；原operation尚未完成的合法恢复结算继续执行。
供应保持文本uumi、图/视频Platform native→new-api-new-oceanway。typed references必须贯穿产品归属、平台准入/指纹和供应适配，不默默丢参数；图生图、图生视频、首尾帧、mask、音频分别具名验收。旧Media Gateway只参考成熟存储/租约/恢复实现，不自动恢复为第二主链。
权限、运营与可靠事件
| 边界 | 必须校验 | 不自动授予 |
|---|---|---|
| 调用方入口 | 可信Host/Origin、Platform主体、正式callerScope、适用产品/creator与动作 | 浏览器product/surface参数不能选择服务身份；嵌入UI不授权 |
| 工具与对象 | 工具发布/功能资格、对象owner/product/版本、允许动作 | 有余额不代表工具许可，工具许可不代表资源充足 |
| 后台执行 | 原Run/Job/授权作用域、有效性、动作与模型准入 | 租约、profile、业务摘要或服务Key不单独授权任意扣款 |
| 内容与运营 | 当前会话、员工动作、产品作用域、私密内容访问 | 财务/统计权限不等于完整聊天、剧本或素材访问 |
资金与Run政策不另定义：Platform自动准入并逐调用核资源，Run没有用户预算/钱包上限或追加确认表单；退出、改密不撤销有效Run。停止、到期、撤销和资源不足按现行Run规则分别处理，未知沿原操作；产品只展示平台金额与状态。
产品保留本域套餐/活动运营、本人用量与订阅展示，经受限Platform API维护同一商业对象；商品/支付/权益/价格仍归Platform。执行基础不能把产品运营整体迁走，也不从Higgsfield反推新的会员门槛或收费合成。细则沿PL-021产品运营。
Runtime的Job/产物及媒体状态与本域outbox同事务提交；产品领域状态与产品outbox同事务提交。跨边界取得持久回执后才确认交付，按稳定事件ID/对象版本去重和乱序保护，不假设跨库事务。通知SSE只唤醒重新读取，可续传游标与status-batch兜底；UI事件、中央摘要、资金账本分别持久化。摘要不带完整聊天/剧本/内部规划或私密签名URL，事件接收不触发生成或扣费。
Agent产品化：Skill、上下文与外部动作
验证后补证已确认Supercomputer的项目/会话/记忆管理、Skill目录与connector目录读取；新客户端还含direct generation与游标恢复合同。聊天客户端实际使用FnF namespace，fnf-agent-gateway仍只见base构造，不能据名字决定OceanWay拆服务。以下是OceanWay目标设计，不冒充竞品私有实现。
Studio已有Skill启停、按工作台目录、用户显式选择、指令冻结、版本化profile、当前本人会话的近期可展示消息和Canvas选区快照。UP-T10沿这些基础提炼Runtime中性会话与surface，补来源、修订/hash和每轮重验的ContextSnapshot；旧GitHub导入及会话摘要代码的当前可达性分别核查，不恢复已被Platform模式屏蔽的旧入口。跨平台入口的Profile、消息/产物renderer和线程控制共用Runtime合同，领域上下文与业务命令仍由各平台负责。
| 可选对象/模块 | 职责与关系 | 权限及交付边界 |
|---|---|---|
| SkillRevision / Installation | 指令与参考资料版本、来源、个人安装/停用、社区发布关系；不等同ToolDefinition执行合同 | 指令不能扩充工具白名单或授予执行权限；Run固定实际采纳版本，当前下架不改写旧执行事实 |
| AgentDefinition / ContextSnapshot | 组合profile、具名Skill、项目资料、会话/Canvas选区、可用connector与记忆引用 | 统一resolver重验来源对象和作用域，冻结来源/版本；不是复制全部聊天或跨产品数据库读取 |
| MemoryEntry | 可查看、更正、删除的跨会话/项目记忆及来源 | 按subject/product/project隔离；派生提取、检索、删除传播和Run快照保留在所选能力包正式定义，旧对话不自动成为全局记忆 |
| ConnectorDefinition / UserConnection | 目录与工具schema、本人连接/受限凭据引用、动作许可、撤销与健康 | 产品后端集成模块管理，原凭据不进入提示词或浏览器；外部写动作依据明确授权，模型文本或Skill不等于授权 |
| Schedule / Trigger | 用户定时配置、时区/暂停/去重、触发记录到新Run的关系 | 单独定义有效授权、停止及资源不足策略；不复用过期Run或将内部PG任务调度当作已实现用户定时Agent |
这些是UP-T18的独立后续包，通用执行代码归Runtime，产品持获准配置和领域适配；不要求B1全部做完。Tool负责受控动作，Skill负责指令资产，Agent负责规划，Workflow负责依赖，connector负责外部系统访问，分别持有自己的版本和状态。Higgsfield的“每次生成前询问”菜单只是竞品观察，不引入OceanWay的Run预算、追加预算或二次记账流程。
运行拓扑与实测扩容
这是独立运行阶段的目标拓扑，尚未部署。初始可由Studio同进程加载独立Runtime模块，沿用原PG实例和租约；拆分时Runtime接管自己的表/记录和Worker，产品停止写这些执行状态。共用PG主机不等于共享repository或数据库写权限；是否另建PG实例按容量/故障域验证。当前Worker仍经内部App API执行、线上媒体本地且产品PG共享宿主故障域。
代码抽离以复用边界为依据；多Worker、媒体CPU处理进程和容量扩展以实测为依据，两者分开推进。切换前固定在途清单、协议/adapter版本和唯一Writer：旧任务由原执行器排空，或明确兼容接管并保留Job/Run/Operation/资产身份。切换与回退均设置领取/派发屏障及fencing，不能同时启动两套执行权威。
| 阶段 | 拓扑动作与依据 | 完成依据 |
|---|---|---|
| B0起 | 固定制品/配置/schema、最低指标、资源限制、停新及原持久状态重启 | UP-T01/16/17适用门禁；当前开发备份/联合恢复/DR取消，不转入B5 |
| B1 | 独立Runtime模块/工程边界、可构建合同/SDK与端口；Studio首接入，可先同进程 | UP-T02/03/05/14；无Studio反向依赖，原任务与产物兼容 |
| B2～B3 | 正式Run合同、Runtime API/Worker单Writer交接、媒体对象化；Agent/Workflow共同Job | UP-T04～10/17；原身份、跨边界交付、权限和恢复具名通过 |
| B4 | 选择第二领域消费者，接通当前运营与公开发现 | UP-T11/12/13；仅增加领域规则与UI，不依赖Studio会话或代码 |
| B5 | 实测多Worker公平、供应背压、队列年龄、数据增长和故障恢复；必要时拆媒体CPU处理/隔离故障域 | UP-T15/16/17；批准负载profile与UP-AC11/12证据 |
容量、SLO和保留规则由真实测量及产品决定填写，不预设用户数/QPS；当前共享原件开发链不承担备份、DR或RPO/RTO验收，不列默认后续待办。团队Workspace、成员与共享素材属UP-T18后续能力包，个人执行上下文不能假装团队授权，也不能通过取消owner/product隔离支持共享。完整先后与回退沿演进顺序，业务通过按验收套件独立判定。