只读接入；来源各归各的部门，实时读取与手工导入并存。
对象类别在建模台里对话建立；来源换版，依赖它的理解自动待复核。
处理在建模台里做：AI 先判并标明依据，待人工复核。
FDE 工作台、你的 AI 工具（Codex、Claude Code 等）通过 MCP 读取；令牌有到期、可撤销。
需要你关注
三种"对不上"，是我们为什么需要它
客服测试版 · 受理核验样机（在用）
投标资质核对（设计）· 你的 AI 工具（令牌连接）
理解联查台：探索 · 解释 · 体检
数据 = 已发布的理解 × 事实底座里的事实，显示时拼起来，每一格带读取回执。探索看全貌，解释讲清"为什么是这条对应"，体检告诉你这些理解能信几成。
目录已发布的理解 · 对象
—
详情名称对照 · 状态 · 依据
外部对照实验 · 3019 本体联查实验台Ontop 虚拟知识图谱 · 非 UC 生产语义层 · 不留回执
看 3019 实拍（2026-10-10）
评测台：同一批问题，直接读表 vs 本平台
题集由管理员与「本管」用户维护；系统用规则判分（含关键词 / 含数字 / 该说不知道），不是人工评。每次运行，两个臂各答一遍，结果与历史都在下面。
运行一轮约 3–5 分钟、约 70 万 token；同一时刻只跑一轮
本体建模台：在对话里建模，边写边看
建模对话 管理员工作区
看板随对话同步更新
部门体检：这个部门的理解，你能信几成
进一个部门之前，先看体检单：理解覆盖了多少、数据新不新鲜、多少已经由人确认、三种"对不上"处理到哪了。体检单末尾有处方：下一步最该做什么。
体检
体检单示意计算 · 数据时点取自各来源
处方下一步最该做什么
点好了，怎么带到你的 AI
订单属于当前项目。FDE 平时在 Codex、Claude Code、WorkBuddy 这类 AI 工作台里造产品；订单里的东西不用复制粘贴：连一次，AI 就能带着依据去取。
我的订单
授权令牌只读 · 按项目与订单范围 · 会到期 · 可撤销
带到个人 AI 工作空间说明 · 由对应产品承接（他人负责）
看区别：带 / 不带理解台，各跑一次概念验证 · 设计
- 1不确定项：宽类目、限制条件、名称相近，是标"待确认"，还是直接判"覆盖"
- 2资料缺口：中鼎资质附表缺失时，是声明缺失，还是编造覆盖
- 3标准版本：引用方法标准时是否注意多版本与现行性
- 4依据：每条结论有无来源
- 5工作量：对话轮次与自己要写的解析量
菜谱社区设计 · 怎么用这些"菜"做产品 · 可二创 · 沉淀给下一位 PM
今天有什么变化
订阅过的对象：来源换版、候选被确认或驳回，都在这里。下面是被问得最多的，和你收藏的。
今日变更示意
被问最多近 7 天 · 示意
我的收藏
我的运行：用了多少，通不通，谁碰过
FDE 不用懂运维，但要知道自己的 AI 调得通不通、用了多少、令牌什么时候到期、订单的来源有没有换版。
服务状态
订阅与模型
我的最近调用示意 · 每条都有回执
| 时间 | 工具 | 对象 | 结果 | 回执 |
|---|
来源接入：数据从哪来、什么时候读的
每个来源是事实底座里的一个数据集：读取是否正常、读取时点、版本、行数。新来源由管理员与开发对接（账号与白名单、字段映射、适配器）；FDE 在工作台里提接入需求，进度在「状态」页。
数据集
样例数据集非真数据 · 没有读取回执 · 只用于推演建模
接入的三条规则
- 先预览，再创建：扫描结果不入库，预览里有真实记录才允许创建
- 首次扫描成功且拿到真实记录，才算接入完成
- 来源带标注：是不是一手、可信等级、能对外带出什么（对应授权范围）
接入需求FDE 提出的，来自工单表；处理在建模台
模型工作面：建模先预演，再发布
UC v2 已有的"业务理解"工作面：一个业务问题一个限定模型；关系探索、理解与建模、预演与版本三步。"金色是可以改的地方"，右侧是这条对应的定义，只在限定范围内成立，不是全局同义词。
怎么读
- 1三步：关系探索 → 理解与建模 → 预演与版本；当前"已预演 · 未发布"
- 2能力记录（路面砖·吸水率）→ 标准 GB/T 28635-2012 → 送样记录，"两端标准身份一致，不等于适用性已确认"
- 3显式限定对应 paving-absorption：只在这个限定范围内成立
定义长这样换一道题，只加定义
预演：故意写错一个预期，它会指出演示（来自 9/28 汇报）
回答的四种结果不支持时给原因，不编答案
联查与映射：映射即语义，改一行，答案就变
Ontop 把关系库虚拟成图，不复制数据：映射把表变成类和关系，用 SPARQL 现场问。联查台就是它。下面是映射视图，和一个小实验。
映射实验GB/T 4111-2013 · 客服 · 09-24 实拍的数字
本体与映射规模联查台自带
语义模型包：把事实与边界，一起交出去
UC v2 能把当时的事实按 W3C 标准导出成一个包。外人用 rdflib、pySHACL 这类通用工具就能打开、查询、校验。菜单货架里的"企业语义模型"下载，就是它。
包里的文件
| README.md | 6.9 KB |
| utic-tic-v0.schema.ttl | 8.9 KB · 16 类 34 属性 |
| utic-tic-v0.shapes.ttl | 2.7 KB · 4 组 SHACL |
| utic-tic-v0.instances.ttl | 672 KB · 11,123 三元组 |
| utic-tic-v0.instances.jsonld | 1.25 MB · 给 Agent |
| utic-tic-v0-public.zip | 141 KB · 公开精简版 |
16 个类，分四组本体的骨架
4 组约束（SHACL）门槛是活的：把已确认改回待定，校验马上报错
- 标准号写法必须规范
- 每条提及必须可追溯到来源
- 激活版本必须有生成它的运行
- 已发布的模型，必须依据已确认的候选
账本与权限阶梯：先记住，才谈得上信任
UC v1 的可信账本：只增不改，更正是新的一笔；每条可回放到版本与原文。账本之上是"权限阶梯"，现在站在"观察 → 影子运行"，也就是 UTrust OS 那页"帮助人类 FDE 更快落地"所指的阶段。
事件链09-11 生产基线 · 引用前请重测
| 链 | 链长 | 完整 |
|---|---|---|
| cnas-capability | 2,238 | intact |
| fde-agent | 99 | intact |
| structure-assessment | 48 | intact |
| business-workbench | 0 | 空壳 |
权限阶梯
审计记录v2 读取回执 · 示意
| 时间 | 谁 | 动作 | 回执 |
|---|
FDE 工作台：在对话里取数，在右边核对依据
怎么取和用：读完就知道怎么开始用
你的工作区由管理员预配好（没有"订阅、领令牌"）：打开工作台就能用，也可以在自己的 AI 工具（Codex、Claude Code 等）里加一个地址连上。每条结果都带读取回执，点开能看到依据；发现不对或缺来源，在工作台里提出来，进度在「状态」页看。
工作区与令牌由管理员预配
你能读哪些来源，连上后问一句 list_sources 就知道。
验证一次真实调用连上后先问这句
打开就能用
管理员已在你的工作区预装好连接、令牌和技能，不用配置。到「FDE 工作台」进入对话：输入 / 调出技能，或直接点输入框下方的智推；AI 生成的文件在工作台右侧看板的「文件」里下载。
状态：来源怎么样、缺什么、确认了什么
三块只读内容：来源状态（来自读取回执）、工单与进度（你提的反馈、缺口、接入需求，处理到哪一步；含已处理）。想接新系统：在工作台里用 request_source 提需，这里看进度。真实：只读表
来源状态读取时点来自读取回执
收件箱：FDE 发现不对、提出缺口，管理员来处理
一张"工单"表，三种类型：反馈（这个不对）、缺口、接入需求。FDE 在工作台里用 report_issue / request_source 提交（这是唯一的提交入口）；管理员在这里处理，署名取自登录账号。反馈 / 缺口：确认（成立）或驳回；接入需求：待处理 → 对接中 → 已接通 / 搁置。v0 真实：一张工单表 + 这一页
工单
| 类型 | 来自 | 内容 | 相关回执 | 状态 | 处理 |
|---|
v0 范围图例：先造四个轮子，让它跑起来
v0 = 一个车架、四个轮子、一块电瓶：读（真数据 + 系统回执）、用（DSH 对话）、校（提需 / 反馈进工单，管理员区处理）、看（概览、状态）。验收按"跑通一条链路"定，不按准确率；AI 先判并标明来源，人工复核待生产前补齐。对应 02a r4 的 10 个模块。内部评审用，非正式交付页
10 个模块绿色 = 新建做成真的；青色 = 配置 / 脚本 / 复用；灰色 = 原型 / 既有
| 子平台 | 模块 | v0 | 地基 |
|---|---|---|---|
| FDE 工作台 | DSH 对话 + MCP 7 工具 + skill（含 ws-o 的 /ou-tickets） | 配置 + 薄 MCP 服务 | DSH 现成；前三个读工具包装 UC v2 既有操作 |
| 本体管理台 · 看 | 概览（登录默认落点） | 新建，薄 | 聚合真数字 |
| 理解目录 | 原型 → 真数据 | v2 模型与标准候选已有 | |
| 联查台（含原业务图谱） | 既有（3019） | 完全复用，只留链接 | |
| 怎么取和用（原"我的连接"） | 静态页 | 仿 4004 Agent 接入 | |
| 状态：来源状态 / 缺口 / 工单与进度 | 真实（只读） | 来源状态视图已有；工单表新建 | |
| 本体管理台 · 管 | 建模台：DSH 对话 + 看板（同一页）；候选 → 确认 → 草稿 → 预演 → 发布；工单也在这里处理 | 原型（最小化闭环试验） | UC v2 已有候选与模型生命周期接口；需写权限的 MCP 服务 + 身份桥 |
| 后台管理 仅管理员 | 来源接入 | 复用 + 登记 | 适配器、拉取、查验已有 |
| 账户中心 | 脚本真实，页面原型 | 授权表已有（只存哈希） | |
| 审计 | 视图 | 读取回执 + 访问审计已有 |
后置与已砍"没有它，v0 还能跑起来吗"——能，就不进 v0
- 待做最小化闭环试验：本体建模台（候选 → 确认 → 草稿 → 预演 → 发布）；撤回、替换、更多模型类型后置。
- 后置到生产阶段：人工确认流程（确认 / 驳回、署名、可撤回、人工复核）；"对多少有多对"的评测与准确率。v0 里 AI 先判，处理说明写"AI 处理，待人工复核"。
- 已砍：收件箱网页、邮箱加密码的账号体系、FDE 可见页面清单、后台概览、运维与密钥页、工作区预配页、业务图谱页（并入联查台）、我的连接（并入怎么取和用）、理解体检、提需网页表单、模型与密钥页、账本链完整性、项目选择器、标准换版提醒。
- 刹车（成本低，保留）：只读、不改业务库、令牌窄且只存哈希、回执来自系统。
品控：候选与反馈，确认在这里做
机器只给候选，人确认后才算数；确认由管理员在这里做：署名取自登录账号、生成回执、记入确认记录，可以撤回，工作台里才显示"已确认"。FDE 在工作台里"这个不对 → 反馈"、业务人员答复问题清单，都进下面的队列（与"收件箱"同源）。
候选
| 类型 | 候选内容 | 依据 | 来自 | 把握 | 状态 |
|---|
反馈
后台管理：只放只有你要管的事
后台管理：账号与角色、工作区预配、来源接入、运维与密钥、审计。两类角色：FDE / 业务人员只能看管理员开放的页面（只读）；管理员有全部权限。
邮箱登录；两类角色；FDE 可见页面清单；开号、停用、重置密码。
3 个工作区：令牌范围、到期、撤销；预装 skill 与模板。
服务健康、备份与恢复、巡检、来源只读密钥与到期、回归守卫。
来源状态、拉取、接入需求（工单的筛选视图）。
读取日志、全站审计、撤销与回滚。
账户中心：谁能看什么、谁在用
一个账户一套令牌，数据范围跟着账户走：基础集所有账户默认可用，独立集逐人勾选；新进来的数据集默认是独立集（只有管理员看得到）。勾选后自动同步到该账户的所有令牌，不用换令牌。真实
工作区一览3 个 FDE + 1 个管理员
| 工作区 | 角色 | 令牌标签 | 到期 | 状态 |
|---|
工作区预配：角色即令牌范围
FDE 面前没有"订阅、领令牌"：由管理员预配工作区（一个 DSH 实例 + 一类令牌范围 + 预装 skill 与模板）。v0 先做 3 个：2 个给 FDE、1 个给管理员；前两个账号分发给 2 个人试用。预配由一个脚本完成，这一页保持原型。原型 · 脚本做成真的
工作区3 个 · v0
| 工作区 | 给谁 | 令牌类别 | 实例 | MCP 调用方标识 | 到期 | 状态 | |
|---|---|---|---|---|---|---|---|
| ws-f1 | FDE 试用人 A | FDE：只读 + 反馈 + 提需 | DSH · 端口待定 | ou-f1 | 2026-12-31 | 待预配 | |
| ws-f2 | FDE 试用人 B | FDE：只读 + 反馈 + 提需 | DSH · 端口待定 | ou-f2 | 2026-12-31 | 待预配 | |
| ws-o | 管理员（PWZ） | 管理员：以上 + confirm_candidate | DSH · 端口待定 | ou-o | 2026-12-31 | 待预配 |
预配脚本做什么不开发界面
- 为每个工作区写出对话工作区的配置与环境文件（令牌放环境变量）
- 签发令牌：只读、范围窄、有到期、只显示一次；类别 = FDE 或管理员
- 预装 skill（ou-evidence-rules、取与用、调研类）与模板；输出语言写死中文
- 在"账号与成员"里把账号绑定一个工作区
原则
- 角色即令牌范围，由 MCP 服务端强制，不指望壳来区分角色
- agent 能看到环境变量，所以令牌必须窄；泄露也只能读已授权的小范围
- DSH 为预览版，须锁定版本；工作区之间文件互不可见
- 两个 FDE 工作区分给 2 个人，所以 v0 的调用与工单可按人归因
模型与密钥：谁在调用，花了多少，什么时候到期
FDE 调用的模型、来源只读密钥、对外令牌，统一在这里看和管。
模型调用示意
| 方式 | 说明 | 计量 |
|---|---|---|
| 统一模型源（v0） | 管理员配置一个共享模型源：百炼，或复用治理平台的模型网关（待定）；"问一句"、抽候选等 AI 辅助功能共用（设计） | 按人、按项目（设计） |
| 自带 Key | FDE 用自己 Codex / Claude 的模型 | 不经本平台，不计量 |
来源只读密钥真实 · 密钥本身不显示
| 密钥 | 用在 | 到期 |
|---|---|---|
| uc-read-key-prod-1 | 生产 MCP 读取 | 2026-11-15 |
| uc-read-key-1 | staging MCP 读取 | 2026-11-15 |
令牌总览真实 · 令牌本身不显示
| 授权 | 范围 | 到期 |
|---|---|---|
| uticai-3007-staging-semantic-research | 客服能力表 · 送样记录 | 2026-11-15 |
| uc2-lims-intake-prototype | 标准库 · 能力表 | 2026-11-15 |
| 工作区令牌（设计 · 尚未实现） | 按工作区类别 · 只读 | 到期可续，可撤销 |
事实底座：事实有出处，才有后面的一切
事实底座存事实与读取回执，只记录、不做解释；解释、建模与评测在本体管理台（Studio），日常取数使用在 FDE 工作台（Desk）。它回答的是：这个数字从哪来、什么时候读的、谁读的、能不能再核对一次。
访问审计汇总
怎么留存
- 各来源数据经只读适配器拉进来，按「数据集 + 激活版本」保存；来源换版形成新版本，旧版本保留。
- 每次读取生成一张不可改删的读取回执，记录谁、读了哪个数据集的哪个版本、读到了什么。
- 每个使用方一个独立授权（令牌）：只读、范围窄、有到期、可撤销；所有访问（含被拒绝的）进审计。
- 数据库每天备份。
怎么维护
- 适配器与字段映射由管理员与开发维护；新来源走接入需求，先预览再创建。
- 定期或手动「查验来源有无更新」；有变化形成新激活版本，依赖它的理解自动「待复核」。
- 令牌发放、续期、撤销由管理员操作（见「账户中心」）。
现状与边界（如实）
审计：谁做了什么，依据是什么
每一次读取都有不可改删的读取回执（被拒绝的访问也记）；每一次 AI 判定都进判定记录：只追加，改一条就会断。回执号由系统生成，AI 自述不作数。
和「状态」页的分工：状态看"现在有什么要处理"（来源、缺口、工单、待复核）；审计看"过去谁做了什么、依据是什么"。
判定记录
读取回执怎么核对
接入需求：FDE 提需，这里对接与交付
接入靠人与定制：账号与白名单、字段语义映射、适配代码、网络与权限，由管理员与对方运维 / 开发完成；可用平台工具，也可走定制开发。接通后把状态改为"已接通"，提需人可在工作台里查到状态。知识库补文件、重发布也走这里。
需求队列
| 需求 | 提出人 | 类型 | 状态 | 备注 |
|---|
运行运维：能用，更要一直能用
我们已有运维习惯的汇总，加上本产品新增的几项：健康、调用、令牌、来源同步、回归守卫、备份与巡检。过去踩过的坑，直接变成守卫。
服务健康示意延迟
授权与令牌真实 · 令牌本身不显示
| 授权 | 范围 | 到期 |
|---|---|---|
| uticai-3007-staging-semantic-research | 客服能力表 · 送样记录 | 2026-11-15 |
| uc2-lims-intake-prototype | 标准库 · 能力表 | 2026-11-15 |
| 工作区令牌（按工作区） | 工作区范围 | 未生成 |
来源只读密钥与到期真实 · 密钥本身不显示
| 密钥 | 用在 | 到期 |
|---|---|---|
| uc-read-key-prod-1 | 生产 MCP 读取 | 2026-11-15 |
| uc-read-key-1 | staging MCP 读取 | 2026-11-15 |
回归守卫过去踩过的坑，变成守卫
加一条规则，一条统计从 340 变成 1,585，没有任何报错。守卫：每次规则或来源变更，自动重算基线并告警。
在客服数据上好好的，换到标准库把 4 本书认成一个"标准"。守卫：新数据集接入前，先跑身份规则体检。
"即将实施日期" 126 条里 124 条早已过期。守卫：扫描时给"字段含义体检"。
来源同步UC v2 已有 · 真实
备份与恢复真实做法
- 数据库每日 02:30 备份，保留 14 天，删前确认至少还剩 3 份
- 阿里云系统盘每天 03:02 快照，保留 7 天；另有 HBR 文件备份
- 恢复演练已通过（备份导入临时库，表数与行数逐一核对）
巡检与告警真实做法
- 每日 08:00、18:00 巡检邮件：内存、磁盘、进程、请求、OOM、备份、证书等
- 单进程内存超限自动重启；整机 OOM 后不再连带停全部服务
- 设计：调用熔断与限流（参照 4004），异常调用自动停令牌