[候选工作单元（WorkCell）D4] 嵌套组合、公开边界与设备注册表（Device Registry）投影

[TablewareBox]

独立设计文档（审阅中）：候选工作单元（WorkCell）组合定义、启动与分层动作设计
变更审阅：PR #188

父地图：#181

Outcome

冻结候选工作单元（WorkCell）的递归组合、内部成员查看/寻址边界、公共端口和设备注册表（Device Registry）投影，使上层能把整个候选工作单元（WorkCell）当作一个复合设备使用，同时不泄漏私有成员权威。

已接受决策（Accepted Decisions）

1. D4-01=A：嵌套闭包与身份。 每条嵌套边固定内层 definition_fqid + revision + definition_digest 和外层稳定 member_id；发布前递归解析精确闭包并按 definition revision 身份检测循环。子成员运行 UUID 由根候选工作单元实例（WorkCell Instance）UUID 与完整 member_id 路径确定性 UUIDv5 派生。
2. D4-02=A：封闭导出。 本地符号只有 private | exported；re_export 是显式命名映射，只能转导内层已经 exported 的符号。禁止通配符、自动传递导出和私有成员提权。
3. D4-03=A：候选可查看性与候选可寻址性分离。 授权维护者可读取私有成员的只读诊断投影，但不会因此获得外层工作流（Workflow）、连接或初始化绑定地址；v1 不提供绕过公共边界的诊断直控。候选可查看性（Inspectability）和候选可寻址性（Addressability）的中文名在进入根词汇表前仍标记为候选术语。
4. D4-04=A：显式公共边界和能力收窄。 公共端口保持方向/类型兼容；公共库位（Site）使用稳定外部句柄一对一映射已导出的内部库位（Site）；公共动作（Action）只能导出已发布内部动作（Action）或工作流支持动作（Workflow-backed Action）。允许绑定/隐藏固定输入、缩小范围和减少能力，禁止扩大输入域、改变单位/方向或重解释效果语义。
5. D4-05=A：投影权威分离。 Published 制品拥有完整装配结构、精确闭包、完整检查图和 source map；PackageCatalog 只索引定义身份、revision、摘要与公共合同；设备注册表（Device Registry）只保存派生的候选复合设备投影（Composite Device Projection）；候选启用运行时拥有活跃实例状态，设备注册表只接收只读实例投影；前端不拥有上述事实。
6. D4-06=A：前端投影。 Palette 只列 Published 定义；折叠/展开只属于界面视图，不进入规范定义摘要，也不改变物理 pose、运行拓扑或可寻址性。授权私有检查图只读、按需读取；运行状态独立叠层；源码导航使用“定义摘要 + package 相对路径 + source span”。
7. D4-07=A：双摘要。 definition_digest 覆盖完整定义、私有实现和 exact dependency closure；public_contract_digest 只覆盖可寻址公共边界。私有变化产生新 revision/完整摘要但可保持公共摘要；外层仍须显式 re-link/re-publish。digest 差异不直接等于破坏性变化，兼容性另做结构化比较。

实现与验收门

• nested cycle、member_id/导出 alias 冲突、缺失 exact digest 和非法 re_export 在发布前失败；
• UUIDv5 派生在同一根实例重启后稳定、不同实例之间隔离；
• Draft/Candidate 不进入设备注册表（Device Registry），Published 才投影；
• 私有成员可授权查看但不可直接寻址或诊断直控；
• 外层只通过显式公共边界连接、配置和调用；
• 折叠/展开不改变规范摘要、物理 pose 或运行拓扑；
• 私有实现新 revision 不改写既有外层定义、候选启用快照（Activation Snapshot）或工作流任务（WorkflowTask）；
• 公共合同兼容性由结构化比较判断，不从 digest 是否变化推断。

状态

D4 协议已由维护者全部选择 A；当前仍为协议定义阶段，尚未创建或接受跨仓实现与测试证据，因此本票保持打开且不进入 stage:accepted。

关联

• [跨仓决策 C1] 冻结 Composite Workflow Invocation authoring contract #178
• [Wayfinder] WorkCell 组合定义、注册编译与分层 Action 暴露 #181

[TablewareBox]

D4 批量 Grill：嵌套组合、公开边界与投影（待维护者确认）

当前 Wayfinder 尚余 23 项；本批一次提出 D4 全部 7 项。若全部选择 A，尚余 16 项（D5 8、G1 8）。以下均为候选设计（Candidate Design），维护者确认前不视为已接受决策（Accepted Decision）。

D4-01 嵌套闭包、循环与运行实例身份

• A（推荐）：每条嵌套边固定 definition_fqid + revision + definition_digest 和外层稳定 member_id；发布前递归解析完整闭包，并按精确定义 revision 身份检测直接/间接循环。候选工作单元实例（WorkCell Instance）内的子成员运行 UUID 由“根实例 UUID + 完整 member_id 路径”确定性派生（UUIDv5），同一实例重启保持稳定，不同实例天然隔离。
• B：子成员每次启用随机生成 UUID，只保存父子映射。
• C：发布时把所有内层成员拍平并重写身份。

D4-02 private、exported 与 re_export 规则

• A（推荐）：本地符号采用封闭的 private | exported；外层 re_export 是显式命名映射，只能转导内层已经 exported 的符号，不能把 private 提权。禁止通配符和自动传递导出；重名、目标缺失和非法提权在发布前失败。
• B：内层 exported 自动递归暴露到所有外层。
• C：允许路径通配符批量导出并在运行时解析。

D4-03 候选可查看性（Inspectability）与候选可寻址性（Addressability）

• A（推荐）：二者严格分离。授权维护者可展开私有成员的只读诊断信息，但这不会生成可供外层工作流（Workflow）、连接或初始化绑定使用的地址；只有公共边界拥有稳定可寻址句柄。v1 不提供绕过公共边界的“诊断直控”。
• B：获得内部查看权限后同时获得完整路径寻址能力。
• C：所有内部成员始终可按完整路径寻址，只在界面隐藏。

D4-04 公共端口、库位（Site）、动作（Action）与能力收窄

• A（推荐）：由显式公共导出表定义边界。公共端口保持方向和类型兼容；公共库位（Site）以稳定外部句柄映射恰好一个已导出的内部库位（Site）；公共动作（Action）只能导出已发布的内部动作（Action）或工作流支持动作（Workflow-backed Action）。允许绑定/隐藏已固定输入、缩小枚举或数值范围、减少能力集合，禁止扩大输入域、改变单位/方向/效果语义或凭空新增内部能力；校验失败则拒绝发布。
• B：从内部图自动推断全部公共能力。
• C：允许外层通过任意 Adapter 改写公共语义。

D4-05 四类制品/投影的权威

• A（推荐）：不可变的已发布候选工作单元定义（Published WorkCell Definition）制品拥有完整装配结构、精确闭包、完整检查图和 source map；PackageCatalog 只索引定义身份、revision、摘要与公共合同；设备注册表（Device Registry）只保存派生的候选复合设备投影（Composite Device Projection）；启用运行时拥有活跃实例状态，设备注册表（Device Registry）仅接收其只读实例投影。前端不拥有上述事实。
• B：设备注册表（Device Registry）保存并可编辑完整嵌套定义图。
• C：PackageCatalog 只存入口，完整图由前端临时重建。

D4-06 前端 Palette、展开/折叠、诊断与源码导航

• A（推荐）：Palette 只列出 Published 定义；折叠/展开是用户界面视图状态，不进入规范定义摘要，也不改变 pose、运行拓扑或寻址。获授权后可按需读取私有只读检查图；活跃实例状态作为独立运行时叠层显示。源码导航使用“定义摘要 + package 内相对路径 + source span”，禁止个人绝对路径，并能从公开投影稳定跳回对应定义源码。
• B：展开时把内部节点复制进外层草稿，折叠时重新聚合。
• C：只提供复合黑盒，不支持授权内部诊断和源码定位。

D4-07 公共合同摘要与私有实现 revision

• A（推荐）：保留两个摘要。definition_digest 覆盖完整定义、私有实现和 exact dependency closure，用于发布、启用与重放固定；public_contract_digest 只覆盖可寻址公共边界。私有实现变化产生新的 revision 与 definition_digest，可以保持 public_contract_digest 不变；外层仍不会自动升级，必须显式 re-link/re-publish。公共摘要变化只说明合同内容不同，兼容/破坏性另做结构化比较，不能从摘要不同直接推断不兼容。
• B：只保存公共合同摘要，私有实现变化不产生新定义身份。
• C：只保存完整摘要；任一私有变化都对外表现为公共合同变化。

请按 D4-01 A, ... 回复；如果七项都接受，可直接回复“全部 A”。

[TablewareBox]

维护者已确认 D4-01～D4-07 全部选择 A。已将七项协议和实现验收门写入正文；独立设计文档同步至 PR #188，不可变证据：02bb007c77d567a6ae2b3aa4d3146bfc267c668a。D4 协议已冻结，但实现/测试未开始，本票保持 stage:protocol-definition 与打开状态。Wayfinder 未决总数由 23 降为 16（D5 8、G1 8）。

[github-actions]

GitHub → Feishu OKF synchronization

Feishu snapshot: Uni-Lab-Core #185
Knowledge stage: protocol-definition
Issue updated: 2026-08-04T17:18:57Z