VOICIEL®智能设备产品技术说明

逻辑架构与Owner

VOICIEL设备体验把角色应用、基础AI能力、正式IP资产和具体硬件适配分开。RolePlay保存用户角色实例、同意、权益与设备绑定；基础服务提供身份、模型、语音和受控执行；资产Owner确认角色来源、权利与可发布版本。硬件适配实现麦克风、扬声器、屏幕等真实能力。Gateway和边缘运行SDK是目标架构方向，不能据此说明当前已有通用设备接入产品。

用户同意与设备认领 -> 角色实例/绑定 -> 当前授权
                     -> 受控AI会话 -> 设备能力检查 -> 可见输出

配对与会话流程

配对先验证用户控制权、设备标识和所选角色的有效权利，再创建可撤销的绑定。认领不应无限期赋予模型或设备命令权限；会话应有有效期、当前能力范围及用户可见状态。设备转移、丢失或角色撤权时，旧绑定停止产生新授权。断线后恢复应查原会话和原操作结果，不能简单重新执行可能有副作用的命令。

互动链中的每项能力都要分别判断：角色文本是否允许展示，语音输出是否有许可，摄像头或运动执行是否有设备与用户授权。设备报告“支持”某个能力并不等于用户批准使用。对儿童、多人场地和公共展示环境，权限、留存与内容过滤要按项目重新定义。

集成、版本与恢复

接入工程应固定设备型号、固件版本、角色与资产版本、协议版本和目标环境。设备侧只使用短期、可撤销的会话授权；长期模型密钥与服务密钥留在服务端。所有有副作用的设备操作需要原操作身份、输入指纹、确认状态和可查询回执。网络超时或未知时先查询原意图，避免重连后重复开锁、移动或播放收费内容。角色或固件升级应有兼容与回退验证，旧会话不能悄悄绑定新角色版本。

开发与验证边界

新增硬件形态先定义能力发现、不可用状态、故障降级、日志最小化和撤权路径，再写适配。未来Gateway、Fleet和OTA需各自的身份、签名、回滚与安全测试，不能仅靠现有配对代码宣布完成。

设备能力合同

麦克风、屏幕、摄像头与运动部件属于不同风险和状态。能力描述应包含是否存在、当前可用性、操作前同意、失败反馈与可停止方式。软件发出一项命令后，需要设备明确报告执行或拒绝；仅收到请求不算物理动作完成。硬件版本变化可能改变输出效果，旧体验测试不能直接沿用。

如果设备有本地缓存，缓存只能承载允许离线使用的内容与期限；恢复连接后应检查角色许可和用户绑定。过期授权不能因网络中断而无限延长。

验证矩阵

当前开发验证可覆盖角色隔离、同意撤回、重复配对、设备换手、网络中断与当前授权。样机还须在真实供电、网络和环境噪声下测试声音与显示，并记录误触发和用户可见状态。量产另需认证、供应链、更新、回收和售后证据；任何软硬件演示都不能单独关闭这些门禁。