负责人 · Payments Team
知识状态图例
信任不止 一个维度。
编写状态、版本生命周期和外部上下文回答不同问题。每种状态都通过文字、标记和图案表达，而非只依赖颜色。
编写状态
哪些内容已由人实际确认？
自由格式
形式化之前，易于阅读的工作内容。
建议 — 尚未声明
等待授权操作的可见提议。
已声明
由经授权人员确认。
版本生命周期
哪个有意创建的版本是当前版本？
已发布
有意创建且不可变的版本。
已取代
已保留但不再是当前版本的历史。
外部上下文
哪些内容来自指定提供方？
已绑定
映射至注明来源的外部上下文。
由提供方验证
由指定提供方在注明的时间作出断言。
依靠机制，而非形容词
信任清晰可见 体现在系统行为中。
人工控制
绝不静默修改。
AI 和连接系统可以协助或建议，但不能决定权限、审批、发布或验证状态。
权限
访问权限跟随知识。
读取、搜索、引用、审查、导出、事件和外部上下文操作始终受权限约束。
稳定身份
身份不因变更而消失。
制品、内容节点、对象、关系和版本在整个生命周期中始终可以区分。
不可变版本
发布是一条明确边界。
来源、审查和审计历史始终附属于它们所描述的版本。
外部上下文
绑定不等于证明真实。
提供方投影、证据和凭据始终位于人工编写文档状态之外。
提供方独立性
本地工作持续可用。
书写、协作、审查、历史、发布和可移植导出不依赖任何上下文提供方。
可检查的企业控制
治理是一种行为， 不是徽章。
同一权威边界伴随知识经过创作、搜索、审查、发布、集成与移动。
租户隔离
在检索、投影、导出、事件投递或访问提供方前强制执行工作区范围。
权限感知界面
搜索、引用、图导航、审查和生成视图只暴露已授权细节。
不可变版本
发布版本与来源、审查、审计和 Contract 上下文一起可寻址。
保留与生命周期
归档、恢复、替代、保留与删除均明确且可审计。
公开集成契约
第一方和第三方使用同一版本化 API、事件和权限边界。
Portable Knowledge Package
可读内容和机器记录带着省略、脱敏、重映射和权限报告一起移动。
安全失效设计
依赖可以故障， 但不会带走创作。
外部系统可以丰富工作流，但不决定本地工作能否编写、审查或保存。
| 情况 | 继续工作的功能 | 被抑制或标记的内容 |
|---|---|---|
| AI 不可用 | 创作、协作、权限、审查、发布和导出 | 建议不可用；不会虚构决策 |
| 上下文提供方不可用 | 文档、图、对象、历史、语义 diff 和本地导出 | 外部投影标记为过期或不可用，仍在创作状态外 |
| 搜索或索引不可用 | PostgreSQL 中的权威工作与不可变版本 | 派生发现视图降级并稍后重建，永不成为事实源 |
| 权限被撤销 | 获授权的本地内容和非敏感源文字 | 缓存投影和隐藏细节消失，不泄露存在信号 |
不可逾越的边界
Topoloom 绝不会做的事。
- 01
通过 AI 或集成静默修改已创作或发布知识。
- 02
把导入、推断或观察信息称为人工批准的声明。
- 03
用特权数据库直连绕过公开契约。
- 04
先检索受限知识，再进行权限过滤。
- 05
把客户锁在仅渲染或不透明的导出中。
可移植知识
便于人类阅读。 便于机器检查。
发布包可以同时携带易读内容和版本化结构，并明确记录脱敏、重映射、省略和权限报告。
content/overview.md易读内容objects/services.json稳定 IDrelations/declared.json来源reviews/semantic.json变更历史permissions/report.json明确映射