# 流程-02：系统处理流程（系统视角）

- 版本：v7
- 更新日期：2026-05-10
- 目标读者：后端 / 架构 / 前端 / 测试
- 阅读时间：25-40 分钟
- 边界说明：这里只写系统链路、阶段职责、数据流和关键约束；不写成普通用户操作流程。精确状态机看 `架构-04`，精确数据库结构(Schema)看 `后端-04`，精确接口(API)看 `后端-05`。本文件定义目标产品形态，不代表当前代码都已实现。关键术语沿用 `产品-02` 的“中文(English)”口径。

## 1. 系统总览

### 1.1 双角色处理关系

```mermaid
graph TB
    subgraph Admin[管理员配置链路]
        Metadata[元数据与创作模板]
        Agents[智能体配置]
        Prompts[指令模板与生成策略]
        GlobalKB[全局知识库与访问策略]
        NewAPI[New-API 同步配置]
        ContextPolicy[上下文组装策略]
        TaskPolicy[处理流程与任务治理]
        Evaluation[质量评估与评测集]
    end

    subgraph Runtime[系统运行链路]
        Permission[权限与配置快照]
        Assembly[上下文组装]
        Generation[生成与改写]
        Extraction[提取与校验]
        Shadow[待审层]
        Canonical[规范数据]
        Projection[检索投影与记录]
    end

    subgraph User[普通用户作品链路]
        Works[我的作品]
        Writing[写作台]
        Planning[作品规划台]
        Knowledge[知识与一致性]
        ImportParse[导入解析]
        ExportUsage[导出交付 / 记录与用量]
    end

    Metadata --> Permission
    Agents --> Generation
    Prompts --> Generation
    GlobalKB --> Assembly
    NewAPI --> Permission
    ContextPolicy --> Assembly
    TaskPolicy --> Generation
    TaskPolicy --> Extraction
    Evaluation --> TaskPolicy

    Works --> Writing
    Works --> Planning
    Writing --> Assembly
    Planning --> Assembly
    ImportParse --> Extraction
    Knowledge --> Assembly
    Assembly --> Generation
    Generation --> Extraction
    Extraction --> Shadow
    Shadow -->|普通用户确认| Canonical
    Canonical --> Projection
    Projection --> Knowledge
    Projection --> ExportUsage
```

### 1.2 高层规则

- 管理员(Admin)配置系统能力、全局知识、访问策略、智能体、指令模板、任务治理和质量评估。
- 普通用户(User)只在我的作品(My Works)和单个作品工作台(Work Workspace)里创作、规划、确认、检索、导入解析、导出和查看用量。
- 管理员配置会影响普通用户生成链路，但普通用户不能通过作品工作台修改系统配置。
- AI 输出必须先进待审层(Shadow)，普通用户确认后才进入规范数据(Canonical)。
- 全局知识库(Global Knowledge Base)按管理员授权进入普通用户可见、可检索或可生成范围；局域知识库(Local Knowledge Base)只归属单个作品。

## 2. 管理员配置链路

管理员链路在本文件只描述系统处理关系，不写成普通用户步骤。所有管理员配置都必须有权限控制、变更记录，并尽量支持启停、回滚或版本追溯。

| 配置链路 | 系统输入 | 系统输出 | 对普通用户生成链路的影响 | 硬边界 |
|---|---|---|---|---|
| 元数据(Metadata)配置 | 作品模板、实体字段、关系字段、事件字段、叙事字段、可见性、可编辑性、可检索性、可导出性 | 可被表单、提取、校验、投影和上下文组装消费的配置快照 | 决定普通用户能看见哪些作品知识、哪些字段可编辑、哪些内容可进入生成上下文 | 普通用户不能在作品工作台修改底层字段模板 |
| 智能体(Agent)配置 | 生成、提取、校验、规划、检索等能力的启停、超时、重试、降级和回退(fallback) | 可执行能力配置和运行策略 | 决定一次生成、解析、检查使用哪些 AI 能力以及失败后如何恢复 | 智能体失败不得直接污染正文或正式知识 |
| 指令模板(Prompt)配置 | 系统指令、任务指令、体裁指令、文风指令、版本、灰度和回滚策略 | 生成与提取可使用的指令版本 | 影响候选文本、知识草稿(Knowledge Draft)、风险标记(Risk Markers)的生成质量和风格 | 普通用户默认不看到或编辑系统指令 |
| 全局知识库(Global Knowledge Base)配置 | 全局资料集、写作方法、体裁规则、平台规范、启停状态 | 可授权的系统级资料 | 为生成、检索和规划提供系统级资料来源 | 全局资料不自动混入某个作品的正式知识 |
| 全局知识库访问策略配置 | 用户、用户组、默认绑定、是否可见、是否可检索、是否可用于生成、是否可解绑 | 授权策略快照 | 决定普通用户能否看到、检索或在生成中使用某个全局资料集 | 默认不可越权使用，来源必须可区分 |
| New-API 用户 / 分组 / 配额 / 套餐同步配置 | Muse 用户生命周期、分组、配额、套餐、绑定状态 | New-API 侧用户与绑定状态、同步记录 | 决定普通用户是否具备可调用模型能力、分组额度和套餐状态 | 同步必须幂等，失败可重试、可审计；模型供应商路由和成本日志仍以 New-API 为准 |
| 上下文组装策略(Context Assembly Strategy)配置 | 作品、章节、文本块、规划项、局域知识、授权全局知识、令牌(Token)预算、缓存和来源解释策略 | 可解释上下文(Context) | 决定每次生成实际参考哪些作品事实、规划项和授权资料 | 未确认草稿不得进入正式生成上下文 |
| 处理流程(Pipeline)与任务治理(Job Governance)配置 | 生成、提取、校验、解析、风险路由、重试、取消、重放和失败恢复规则 | 任务执行策略、失败处理策略和运行记录 | 决定普通用户请求如何排队、运行、失败反馈和恢复 | 任务治理不能绕过普通用户确认直接写作品事实 |
| 质量评估(Evaluation)与评测集(Evaluation Dataset)配置 | 固定场景、固定数据集、评分标准、多模型评审和回归对比 | 评测报告、置信度、风险结论和策略调整建议 | 用于改进生成、提取、校验和规划能力 | 评测结论不替代普通用户对正文和作品知识的最终确认 |

## 3. 普通用户作品链路

### 3.1 作品写作链路

**触发来源**：

- 普通用户在写作台(Writing Desk)里保存文本块(Block)。
- 普通用户触发续写、改写、描写、插入、检查等 AI 辅助。

**系统处理**：

1. 校验用户对作品、章节和文本块(Block)的访问权限。
2. 读取管理员配置快照，包括可用 AI 能力、指令模板、上下文组装策略、New-API 绑定和授权知识范围。
3. 对用户自己保存的正文，写入规范数据(Canonical)，再发布后续提取事件。
4. 对 AI 生成请求，组装上下文(Context)，调用生成能力，输出候选文本、知识草稿(Knowledge Draft)和风险标记(Risk Markers)。
5. 生成结果写入待审层(Shadow)，等待普通用户确认、修改后合并或丢弃当前建议。

**边界**：

- 外部生成、提取或校验失败不能回滚已经保存成功的正文。
- 生成候选未被确认前，不得进入正文、正式知识、检索投影或下一次生成事实。

### 3.2 作品规划链路

**触发来源**：

- 普通用户在作品规划台(Planning Desk)维护作品设定、章节大纲、世界设定、角色关系或文风检查。
- 普通用户请求 AI 生成、补全、整理、检查、给多组选项或从正文提取规划内容。

**系统处理**：

1. 使用管理员配置的元数据可见性和上下文策略，决定哪些规划项可展示、可编辑、可用于生成。
2. 将用户确认后的规划项作为当前作品事实或生成上下文的一部分。
3. 对 AI 产出的规划方案，先写入待审层(Shadow)，由普通用户选择、修改或丢弃。
4. 近程叙事控制统一落在情节节拍、章节叙事规划和章节目标上，不扩展为独立一级模型。

**边界**：

- 作品规划台是普通用户创作工具，不是系统配置入口。
- 规划项影响后续生成前，必须保留来源和用户取舍。

### 3.3 作品知识确认链路

**触发来源**：

- 用户保存正文后的异步提取。
- AI 候选生成后的关联提取。
- 导入解析后的章节级提取。
- 用户在知识与一致性里手动修正正式知识。

**系统处理**：

1. 提取结果先成为知识草稿(Knowledge Draft)，并带来源快照(Source Snapshot)和风险标记(Risk Markers)。
2. 系统校验草稿是否过期、冲突、重复或来源不匹配。
3. 普通用户确认后，草稿进入规范数据(Canonical)中的正式作品知识。
4. 用户忽略、丢弃、来源失效或被替代的草稿进入历史，不进入正式知识。
5. 正式写入后产生追溯记录和投影事件。

**边界**：

- 来源快照(Source Snapshot)失效的草稿不得确认入库。
- 修改后合并必须让旧知识草稿失效，并在正文提交后重新提取。

### 3.4 全局知识库授权使用链路

**触发来源**：

- 普通用户检索被授权全局资料。
- 普通用户生成、规划或检查时，系统根据授权把全局资料纳入上下文。

**系统处理**：

1. 按管理员配置的访问策略检查用户、用户组、作品和资料集授权。
2. 区分信息来源是当前作品的局域知识库(Local Knowledge Base)，还是被授权的全局知识库(Global Knowledge Base)。
3. 将授权全局资料作为上下文参考、检索结果或可引用摘要返回。

**边界**：

- 全局知识库不自动成为某个作品的正式知识。
- 普通用户不能通过作品工作台修改全局知识库配置或访问策略。
- 没有授权的全局资料不得被检索、展示或用于生成。

### 3.5 局域知识库自动维护链路

**触发来源**：

- 正文保存、候选确认、规划确认、导入解析章节确认、手动知识修正。

**系统处理**：

1. 以单个作品为归属维护局域知识库(Local Knowledge Base)。
2. 根据元数据可见性生成用户可见投影；系统内部可以保留更多用于生成、检查和审计的上下文。
3. 正式知识变化后写入投影事件盒(outbox)或等价投影事件。
4. 检索和图查询投影异步更新；必要时用水位标记(watermark) + 覆盖层(overlay)保证读写一致性。

**边界**：

- 局域知识库只归属当前作品，不跨作品共享正式事实。
- 用户可见投影不等于系统内部完整知识；能否展示、编辑、检索、导出由元数据配置决定。

### 3.6 使用记录链路

**触发来源**：

- 生成、改写、描写、提取、解析、检查、导出、失败重试、取消和配额变更。

**系统处理**：

1. 记录单作品生成历史、任务历史、失败原因、令牌(Token)使用和成本提示。
2. 向普通用户展示作品相关记录与可恢复动作。
3. 向管理员保留系统审计、同步失败、任务失败和运行观察。
4. New-API 侧模型消耗日志以 New-API 为准，Muse 只保留和自身用户、作品、任务、授权相关的记录。

**边界**：

- 普通用户记录入口不是管理员日志后台。
- 管理员审计不能替代普通用户可理解的失败反馈。

## 4. 关键场景系统编排

### 4.1 AI 生成 -> 用户决策 -> 正文与知识落地

**系统链路**：

`权限校验 -> 配置快照 -> 上下文组装 -> 生成候选 -> 提取知识草稿 -> 校验与风险标记 -> 写入待审层(Shadow) -> 等待普通用户决策`

**普通用户确认时**：

- 文本块(Block)按修订号(revision)保护合并进正文。
- 当前建议迁入历史。
- 与该建议绑定、已通过校验、且来源快照(Source Snapshot)未失效的知识草稿(Knowledge Draft)可以同步进入正式作品知识。
- 写入变更日志和投影事件。

**普通用户修改后合并时**：

- 修改后的文本块(Block)先合并进正文。
- 当前建议迁入历史。
- 旧知识草稿立即失效，不允许继续确认。
- 正文提交后重新提取新的知识草稿，等待普通用户后续确认。

**普通用户丢弃当前建议时**：

- 当前建议和关联草稿一起结束待审生命周期。
- 不写正文、不写正式知识、不写检索投影。

### 4.2 用户编辑正文 -> 自动提取 -> 知识确认

**系统链路**：

`正文保存 -> 写入规范数据(Canonical) -> 发布提取事件 -> 生成知识草稿(Knowledge Draft) -> 校验来源快照(Source Snapshot) -> 用户确认或忽略`

**关键语义**：

- 正文保存本身不等待提取成功。
- 提取失败或校验失败只影响草稿提示，不回滚正文。
- 用户只对知识草稿做确认或忽略决策。

### 4.3 导入解析 -> 章节级确认

**系统链路**：

`导入正文 -> 创建解析任务 -> 逐文本块(Block)提取与校验 -> 按章节聚合待审草稿 -> 用户逐章确认 / 批量选择 / 一键确认全部可确认章节`

**关键语义**：

- 解析结果先写待审层(Shadow)，不直接写正式知识。
- 产品确认边界是 `parse_job_id + chapter_id`。
- 批量选择和“一键确认全部可确认章节”必须拆解为章节级确认；落库、校验、失败回滚都按章节隔离。
- 同章节 all-or-nothing：任一条来源失效、冲突、校验失败或导入失败，整章确认失败。
- 只有章节确认成功后，该章节草稿才批量进入正式知识和叙事状态载体，并写投影事件。

### 4.4 一致性检查与知识浏览

**一致性检查(Consistency Check)**：

- 系统基于正式正文、正式作品知识、规划项、授权资料和管理员配置的校验策略生成问题列表。
- 检查结果只提示、定位和解释风险，不自动写正式事实。

**知识浏览与手动修正**：

- 普通用户查看或修正当前作品的正式知识。
- 手动修正写入规范数据(Canonical)，并产生日志和投影事件。
- 新事实需要对后续检索立即可读或最终一致可读。

## 5. 数据流与一致性约束

### 5.1 待审层到正式事实层

进入规范数据(Canonical)的最小条件：

- 待审对象存在、未过期、未被替代。
- 正文写入需要修订号(revision)保护。
- 知识草稿(Knowledge Draft)需要通过来源快照(Source Snapshot)校验。
- 需要用户确认的对象必须有明确用户决策。
- 成功后活跃对象(active)迁出待审层(Shadow)，不能继续留在当前待审区。

### 5.2 上下文读路径

上下文(Context)只允许使用：

- 当前作品的正式正文、章节、规划项和正式作品知识。
- 当前用户被授权的全局知识库(Global Knowledge Base)资料。
- 管理员配置允许进入上下文的字段、摘要和策略。
- 必要的任务输入和用户当前意图。

上下文(Context)不得使用：

- 未确认知识草稿。
- 已丢弃、已忽略、已过期或被替代的候选。
- 未授权的全局资料。
- 普通用户无权访问的其它作品事实。

### 5.3 投影与读写一致性

- 正式写入后，在同一事务内写投影事件盒(outbox)或等价投影事件。
- 外部检索、图查询和其它投影异步消费。
- 投影未追平时，上下文组装需要使用水位标记(watermark) + 覆盖层(overlay)或等价策略保证写后读(read-after-write)。
- 投影失败不阻塞主事务，但必须可重试、可观察、可审计。

## 6. 失败处理与权限边界

- 普通用户不能访问管理员接口，不能修改元数据、智能体、指令模板、全局知识库、访问策略、上下文组装策略、处理流程或评测集配置。
- 管理员配置变更影响普通用户生成链路时，系统必须使用可追溯配置快照，避免一次生成中途使用混合配置。
- New-API 同步必须幂等；分组、配额、套餐或绑定状态同步失败时，要保留失败原因、重试入口和审计记录。
- 外部 AI、提取、校验、投影或导出失败，不得破坏已确认正文和正式作品知识。
- 冲突必须对用户可见，不能在后台静默吞掉。
- 全书解析失败要落在章节级反馈里，不能只给一个不可恢复的“系统异常”。

## 7. 关联阅读

- 用户视角产品流程：`流程-01-产品操作流程(用户视角).md`
- 产品定位与产品闭环：`产品-01-产品定位与核心价值.md`
- 核心交互边界：`产品-02-核心功能与交互边界.md`
- 产品旅程与长期闭环：`产品-03-用户旅程与操作流程.md`
- 双轨模型与数据规则：`架构-02-核心数据结构与双轨模型.md`
- 状态机与约束：`架构-04-状态机与约束清单.md`