物联网云垂直切片路线图

权威来源：AetherCloud。此页面已镜像到统一的 AetherIoT 文档中。

每个阶段都必须可运行且有价值，而不能假装后续阶段存在。默认验证路径通过端口、内存适配器和合约测试夹具保持独立于 PostgreSQL、云帐户和真实 AetherEdge 设备。

阶段 0：审计和架构合约

可观察的价值。 开发人员和代理可以区分可执行层和已审查的合约，找到每个权限边界，并选择下一个切片，而无需将多云基础设施工作视为物联网产品。

模型。 有界上下文、权限矩阵、功能映射、实现状态、状态机、存储所有权和组合根依赖规则。

API 和协议。 机器可读的功能、权限、错误、事件和 HTTP - 操作目录。没有新的运行时端点或 CloudLink 电报消息。

持久性。 PostgreSQL、对象、分析、收件箱/发件箱、审核和 OpenTelemetry 职责无需安装服务即可分配。

安全性。 边缘权限、租户隔离、默认拒绝命令、敏感数据排除和已实施/计划的事实均已记录在案契约。

测试。 清单/frontmatter 奇偶校验、链接、所需资产、目录模式、命令元数据和遥测/可观察性分离。

何时完成。 有证据支持的审计、功能图、状态机、ADR、路线图和代理索引一致，并且文档契约测试通过。

不包括。运行时代码、提供程序扩展、OpenTofu应用、生产基础设施或捏造的边缘协议。

第 1 阶段：网关身份和注册基础

可观察的值。 授权操作员可以在一个租户和项目中注册网关，发出一个短期声明，让运行时声明它，并通过应用程序用例查询结果状态。

模型。 TenantId、ProjectId、 GatewayId、EnrollmentClaimId、EnrollmentRequestId、GatewayIdentity 和 registered -> awaiting-claim -> claimed 状态机。

API 和协议。实现了传输中立的注册、发出、声明和获取功能。尚无公共 HTTP 路由或 CloudLink 消息。

持久性。 实施乐观仓库端口、内存仓库、内存令牌服务和 PostgreSQL 网关仓库/迁移。 SQL 适配器提供租户 RLS 和原子聚合/审核/发件箱写入。生产数据库组成、角色、迁移执行、备份/恢复和 KMS 令牌服务仍在计划中。

安全性。 租户范围的权限检查、问题的显式确认、服务器过期、幂等性冲突、静态令牌摘要、返回一次原始令牌、通用声明拒绝和审核所需的元数据。

测试。 ID 解码、状态转换、到期边界、相同重播、冲突声明、默认拒绝权限、确认、跨租户查询、乐观替换、令牌验证和完整内存流。

完成时间。 狭隘测试、pnpm check、覆盖阈值和生产依赖项审核通过；代理文档说明了确切的实施表面。

不包括。 CA/KMS、活动凭证、撤销、恢复、证明、生产数据库部署、HTTP 注册、CloudLink 或设备控制。

阶段 2：CloudLink 心跳和会话

当前状态。 传输中立的领域、应用和内存基础已经支持凭证验证、协议选择、无损纪元与游标、防护、恢复、心跳和会话查询。实验性 JSON/MQTT 编解码器、消息代理适配器、应用桥、入口进程、结构定义、测试夹具和真实消息代理测试工具也已经实现。生产凭证生命周期、AetherEdge 联合一致性、超时调度、PostgreSQL 会话状态、持久化数据丢失事实、多实例所有权和背压仍在规划中。生产发布将依次完成共享消息代理来源认证、统一线路配置、相同测试夹具、边缘与云双端测试、故障注入、崩溃耐久 ACK 持久化和明确的旧版本切换。

可观察的值。操作员会看到经过身份验证的连接新鲜度，网关会重新连接而不重播已经持久的信封。

模型。 CredentialBinding、SessionEpoch、ProtocolVersion、StreamCursor、HeartbeatObservation、 IngressInbox 和流量控制信用。

API 和协议。 临时实验核心绑定实现会话 hello/accepted、心跳/ACK、运行时清单、点遥测、持久 ACK、重播请求和数据丢失线形状。 Alpha.3 ACK 未签名。生产质询/每上行链路身份验证仍然被阻止；未来的云签名 ACK 需要新的协议版本。持久的数据丢失持久性、多样本云索引和信用消息需要稍后的应用程序工作。只读会话查询已使用应用程序用例。

持久性。 已实现接受遥测 PostgreSQL 收件箱、光标、收据、审核、集成发件箱和精确 ACK 发件箱。 PostgreSQL 会话、纪元、数据丢失和多实例所有权仍在计划中；套接字状态对于独立的 CloudLink 组合根而言仍然是本地的。

操作可观察性。 实现了中立的故障隔离入口观察器。使用可选的 W3C 跟踪上下文、活动会话和握手指标以及有界导出，将其连接到现有的无操作/OpenTelemetry 运行时。默认情况下不需要收集器。

安全性。 凭证验证器端口、吊销检查、新会话防护、协议允许列表、有界消息/窗口限制、规范 uint64 字符串、经过身份验证的每个网关代理 ACL 以及来自审核的连接器/代理适配器的可选已验证带外主体元数据。当前的 hello 证明仅是结构性的。通用共享代理模式需要在每个上行链路上联合冻结建立签名和会话绑定网关签名；可信的每次发布代理证明是经过审查的替代方案。主题或有效负载身份从不提供授权。精确的签名投影、密钥轮换和撤销仍然是门控。

测试。 两个仓库首先关闭每个待处理的 AetherContracts 导入，并执行完全相同的有效/无效测试夹具集。然后，一个真正的代理运行边缘线束和云入口，同时注入断开连接、ACK 丢失、边缘/云进程重新启动、重复交付、冲突摘要和数据丢失。单元覆盖范围还包括间隙、重新排序窗口、旧纪元、同时连接、背压、心跳超时、丢失跟踪上下文、禁止行李授权、编辑和导出器丢失。

何时完成。 独立的 CloudLink 根和 AetherEdge 线束从 PostgreSQL 持久游标恢复，提交前崩溃不发出 ACK，提交后崩溃重新发布一个稳定的相同内容ACK，并且每个有序的互操作性门都通过。无外部服务的默认套件仍然单独可用。

不包括。 工件交付、任意 RPC、物理命令、直接 SHM 写入或设备寄存器写入。在该阶段完成之前，旧版仍保持默认状态。

第 3 阶段：运行时清单和功能目录

当前状态。 有界的 AetherEdge 运行时清单 v1 报告/查询切片在域、应用程序、节点校验和和内存仓库层中实现。它验证确切的外部字段，验证 AetherEdge 规范 JSON SHA-256 向量，从活动凭证派生范围，保留无损生成和后期历史记录，拒绝冲突的重用，并公开当前的功能目录。 PostgreSQL、持久审核/发件箱、CloudLink 有线传输、公共队列 API、新鲜度策略和实例/点目录仍在计划中，因此第 3 阶段尚未完成。

可观察的值。操作员和部署规划人员可以查询运行时版本、报告的实例/点元数据以及支持的边缘功能以及观察时间和新鲜度。

模型。 已实现 RuntimeManifestObservation、ManifestGeneration 和功能/协议目录值；计划的 RuntimeVersion、InstanceDescriptor、PointDescriptor、CapabilityDescriptor、ManifestGeneration 和新鲜度。

API 和协议。 实现了传输中性报告命令和当前清单查询。版本化清单观察信封、公共队列/版本查询以及具有类型化谓词的动态组仍在计划中。

持久性。实现了原子内存最新/历史记录和请求重播适配器以确保一致性。 PostgreSQL 最新/历史元数据已计划；仅当有界关系存储不足时才考虑对象存储。

安全性。经过身份验证的网关绑定、模式/版本验证、计数和大小配额，以及委托边缘通道无云突变。

测试。重复和老一代、重新排序、未知功能、不支持的版本、过大的大小、过时的投影和租户隔离。

何时完成。 队列查询返回能力来源、observedAt 和新鲜度；部署兼容性可以消耗应用程序合约。

不包括。 工件发布、部署、作业执行或通用实体/关系/属性存储。

阶段 4：物联网遥测摄取

当前状态。 协议中立域/应用程序切片、规范摘要、内存收件箱/历史记录/发件箱/审核适配器、持久接收、重复和冲突重播实现了处理、间隙/合并行为、配额、范围历史查询、OpenTelemetry 摄取装饰器、边缘本地点标识、拓扑绑定和实验性 CloudLink MQTT 映射。 PostgreSQL、已接受事实/历史/光标存储、审核/集成发件箱、精确 ACK 发件箱和有界交付用例也已实现并已验证 PostgreSQL 18。公共HTTP、生产数据库/工作器组合、持久数据丢失、多样本映射、下采样和导出仍在计划中，因此生产阶段是部分的。

可观察的值。租户查询重放安全点和设备事件历史记录，而不会将其与权威边缘实时状态混淆。

模型。 TelemetryStream、TelemetryBatch、 PointSample、DeviceEvent、StreamEpoch、无损 StreamPosition、IngestionReceipt、RetentionClass 和间隙标记。

API 和协议。实现了协议中立的摄取和历史查询以及实验性版本 MQTT 信封。该信封仍然是预发布候选者。持久 ACK 遵循应用程序接受；桥接器可以使用精确的 PostgreSQL 持久投影，同时身份验证和生产组合保持门控。

持久性。 PostgreSQL 收件箱、光标、元数据、配额、初始有界历史记录、审核、集成发件箱和精确 ACK 发件箱已实现；当通过可替换历史存储端口证明合理时，原始/冷批次可能会移动到对象存储。

安全性。 凭证派生的租户/网关范围、解压缩和批量限制、规范 int64 编码、配额、保留、有效负载解码和显式新鲜度。 OpenTelemetry 标签排除资源标识。

测试。有效/无效批次、撤销网关、重播、相同 ID 冲突、间隙、重新排序、原子批次失败、int64 边界、提交前/后崩溃、断开连接、保留溢出、导出器故障隔离和历史查询。

何时完成。 Ack 遵循持久接受；重播不会产生重复的事实或事件；历史记录揭示了来源/摄取时间、位置、质量和已知差距；没有代码将其呈现为实时权威。

不包括。云实时状态权威、云确定性规则、高基数点指标或声明实验模式是已发布的跨仓库合约。

阶段 5：警报投影

当前状态。边缘警报事实域投影、经过身份验证的摄取、租户查询、仅云确认、规范摘要、实现了重播/冲突/间隙/延迟行为，以及内存投影/审核/发件箱适配器。 PostgreSQL、CloudLink 有线、公共 HTTP/搜索、分配、评论和新鲜度协调仍在计划中，因此生产阶段是部分的。

可观察的价值。租户搜索重播安全边缘警报事实并管理仅云确认、分配和评论，而不更改边缘安全状态。

模型。 AlarmOccurrence， AlarmFact、AlarmProjection、边缘生成和序列、工作流确认、分配、评论和新鲜度。

API 和协议。 通过共享应用程序用例进行身份验证的警报事实摄取、警报搜索/时间轴和云工作流命令。

持久性。 PostgreSQL 收件箱、仅附加事实、投影、工作流、审核和发件箱。

安全性。 网关绑定、有界有效负载、租户隔离、云工作流权限，且无需清除本地警报或互锁的云操作。

测试。 重复/冲突的事实、清除前清除、缺少前驱、延迟更新、断开过时状态、重新生成生成、跨租户查询、工作流审核和投影重试。

完成时间。每个投影都会暴露完整性和新鲜度，边缘事实状态与云工作流程保持分离，并且重播是幂等的。

不包括。云权威确定性警报、物理联锁突变或通过 CloudLink 清除警报。

阶段 6：工件注册

当前状态。 实现了显式工件/修订域生命周期、无损修订/内容长度值、不可变发布、兼容性和依赖元数据、摘要/内容验证端口、签名验证器端口、发布通道冲突保护、发布/查询用例以及原子内存元数据/内容/审核/发件箱适配器。 PostgreSQL、生产对象存储、KMS 支持的签名验证、上传 HTTP、弃用/撤回命令和边缘下载仍在计划中，因此生产阶段是部分的。

可观察的值。团队发布不可变、可验证的 Pack、配置、模型、规则和应用程序修订，并具有出处和兼容性。

模型。 Artifact， ArtifactRevision、ContentDigest、Signature、CompatibilitySpec、ReleaseChannel 和 Publication。

API 和协议。上传/最终确定、验证、发布、弃用、撤回、频道更新和读取/查询 API。边缘下载协议保留摘要引用，而不是内联可变内容。

持久性。 PostgreSQL 元数据；对象存储 blob、签名、SBOM 和来源；发布事件的事务发件箱。

安全性。摘要验证、不可变写入、签名者/出处策略、恶意软件/内容验证挂钩、上传限制和许可发布。

测试。篡改上传、重复摘要、验证失败、签名失败、发布竞争、幂等性冲突、通道竞争和撤回。

完成时间。发布的修订是不可变、可独立验证且对于所需状态引用足够稳定。

不包括。 部署调度或边缘激活。

已实现的层合约和剩余生产边界在 Artifact 注册表和不可变发布 中详细介绍。

第 7 阶段：所需、报告和应用的部署

当前状态。 A实现了单网关域/应用程序/内存基础。它验证已发布的工件，创建无损的所需生成，保持报告和应用分离，验证边缘观察，在没有应用事实的情况下将超时表示为未知，保留最新观察，支持暂停/恢复/取消请求和回滚作为新一代，并自动记录内存审计/发件箱证据。 PostgreSQL、持久审核/发件箱、目标快照、金丝雀/批量调度、CloudLink 线路、HTTP 和 AetherEdge 交付仍在计划中，因此生产阶段是部分的。

可观察的值。操作员执行金丝雀/批量部署、暂停/恢复、取消剩余目标、回滚新一代，并查看真实的分歧和部分success.

模型。 Deployment、Rollout、TargetSnapshot、DesiredGeneration、ReportedRevision、AppliedEvidence、推出策略和目标结果。

API 和协议。 启动/暂停/恢复/取消请求/回滚命令、分歧查询、不可变修订提议以及边缘接受/拒绝/获取/验证/应用观察。

持久性。 PostgreSQL 聚合、目标状态、收件箱/发件箱和审核；用于大量证据的对象存储。

安全性。 工件兼容性、目标快照、权限/风险/确认、过期、先决条件和反 TOCTOU 策略检查。

测试。 旧报告、重复所需生成、部分成功、断开连接未知、取消竞赛、暂停交付、延迟应用的证据、回滚以及推出期间的目标替换。

何时完成。 所需、报告和应用可单独查询，并且在应用时不显示中间交付状态。

不包括。通用边缘功能命令。

请参阅所需、报告和应用的部署以了解已实现的边界。

阶段 8：受控功能作业

当前状态。已实现功能门控域/应用程序/内存基础。它从声明中获得治理，需要平台和功能权限，支持确认/队列/提供/未知/取消，跨间隙订购无损边缘收据，将摄取绑定到活动网关凭证，并自动记录内存审计/发件箱证据。 PostgreSQL、运行时清单声明来源、CloudLink 交付、工作进程、公共 HTTP、证据存储和 AetherEdge 对应项仍在计划中，因此生产阶段是部分的。

可观察的值。租户首先通过一个可审计的作业生命周期运行低风险诊断，然后通过保留边缘拒绝的可审核命令运行。

模型。 CapabilityDeclaration、CapabilityJob、Risk、Confirmation、Precondition、ExecutionAttempt、Receipt 和证据参考。

API 和协议。 创建、确认、提供、取消请求、状态和收据摄取。能力模式来自运行时目录；没有任意 RPC。

持久性。 PostgreSQL 作业分类帐、不可变的收据收件箱、审核和发件箱；大量证据的对象存储。

安全性。权限、风险、确认、幂等性、过期、前提条件、审计、边缘端接受和显式非幂等未知语义。

测试。缺少治理元数据、权限/确认失败、前提条件漂移、重复、冲突重复、边缘拒绝、超时、延迟接收、重试、取消竞赛、部分结果和网络分区。

完成时间。通过最终收据创建具有相关的不可变审核链，并且不存在传输旁路。

不包括。默认启用物理控制；默认情况下，此类功能仍然被拒绝，并且需要额外的策略证据。

请参阅受管理的功能作业 了解已实现的边界。

阶段 9：审核、查询、集成、操作和可观察性

当前状态。 实现了租户/项目范围的审核值和游标查询、经过身份验证的 JSON 路由、有限的可恢复 SSE 快照、Webhook 订阅和有界交付/重试/死信/重新驱动状态机、异步数据导出请求/结果/查询以及内存适配器。 PostgreSQL 持久性、生产身份、实时通知、目标注册表/机密/签名/SSRF 防御、工作线程、对象存储、下载、配额、队列运行状况和 WebSocket 仍在计划中，因此第 9 阶段是部分的。

可观察的值。操作员搜索完整的操作历史记录，监控连接/数据/部署/作业运行状况，并安全地订阅、导出或交付webhooks.

型号。 AuditEvent、FleetHealthProjection、Subscription、WebhookEndpoint、DeliveryAttempt、DeadLetter、ExportJob、Quota 和 RetentionBudget。

API 和协议。 租户过滤的审核/队列查询、SSE/WebSocket 事件恢复、webhook/订阅/导出命令和死信重新驱动。

持久性。 PostgreSQL 审核/发件箱/传递和摘要状态；对象存储导出；可选的 OpenTelemetry 跟踪/指标后端；

安全性。仅附加审核、编辑、webhook SSRF 预防和签名、秘密轮换、租户过滤的流、配额和速率限制。

测试。跨租户搜索、重复交付、指数重试、死信、重新驱动、流断开/恢复、webhook 轮换、配额、保留、投影新鲜度、跟踪传播、编辑、指标基数、有界导出和导出器故障隔离。

何时完成。 每个早期命令和摄取路径在审核中都是相关的，运行状况视图会公开源时间和新鲜度。

不包括。 Kafka、Redis、Kubernetes 或没有测量操作证据的服务提取。

第 10 阶段：MCP 资源和工具

当前状态。 A传输中立的 MCP 接口列出功能和审核资源，通过 SearchAuditEvents 读取租户审核证据，公布完整的治理元数据，并通过其现有应用程序命令公开 data.export.request 和 edge.job.create。计划的工具关闭失败。 MCP SDK 传输、stdio/Streamable HTTP 组合根、生产身份/审核、速率限制和剩余资源/工具均已规划，因此第 10 阶段是部分的，尚无 MCP 客户端可以连接到有线服务器。

可观察的值。 编码和操作代理读取真实的产品契约、功能元数据和租户预测，然后仅调用现有受管用例。

模型。 DocumentationResource、CapabilityDefinition、工具输入/输出架构、参与者出处和审计关联。

API 和协议。 首先只读文档和查询资源。命令工具一对一映射到已实施的应用程序命令，并在调用前显示权限、风险、确认、幂等性和到期时间。

持久化。 复用正常应用端口并审计；无仅代理数据路径。

安全性。 租户授权、最小权限、显式确认、提示/输出编辑、出处、速率限制和默认拒绝发现。

测试。 HTTP/CLI/MCP 用例奇偶校验、计划功能拒绝、元数据完整性、跨租户拒绝、确认、秘密编辑和审核。

何时完成。 代理可以在调用之前确定已实施/计划的状态和治理要求，并且每个工具结果都跟踪到相同的用例。

不包括。 写入存储、仅限代理的 CloudLink 路径或直接物理控制的聊天机器人。