kk0t9
9e685edd02
Каркас документации + содержательный фундамент (фаза проектирования, реализация отложена): - vision: видение, позиционирование, границы (вариант B, 2 красные линии) - principles: 13 сквозных принципов (red lines, offline-first, power-safe…) - architecture: тонкое ядро + SDK, planes, lifecycle, песочница, хостинг UI, карта связей + журнал из 6 решений - dev-environment: разработка с Mac (Lima/ARM64, vcan, Vehicle Simulator) - индексы contracts/ и domains/ (+ единый шаблон домена, заделы по камерам) - заготовки glossary, capability-catalog, roadmap Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
6.9 KiB
6.9 KiB
Принципы и сквозные ограничения
Правила, которым подчиняется каждый домен. Если домен их нарушает — это баг дизайна, а не исключение. Спеки доменов ссылаются сюда.
Статус: v1 (на ревью). Связано с: architecture.md · dev-environment.md · contracts/security-privacy.md
Формат: принцип → почему → как держим/проверяем.
Красные линии (нерушимы)
1. Никогда не safety-critical
- Почему: безопасность людей, юридическая ответственность, сертификационная яма функциональной безопасности.
- Как держим: нет интеграций с управляющими ECU; в системе нет actuator-путей; каждая фича проходит ревью «не управляет ли узлом».
2. CAN только на чтение
- Почему: тот же риск + юридическая чистота. Это то, что делает проект подъёмным для малой команды.
- Как держим: в Vehicle-Data нет write-кода; он единственный владелец CAN; на шине D-Bus нет метода записи в CAN; в SDK нет capability вида
can_write— её просто не существует.
Сквозные принципы
3. Offline-first
- Почему: салон часто без сети (тоннели, глушь); ассистент не должен умолкать, навигация — теряться.
- Как держим: STT/TTS локальны; у ассистента офлайн-LLM фолбэк; карты офлайн; ключевые функции деградируют, а не падают без сети.
4. Изоляция и graceful degradation
- Почему: устойчивость; падение одного компонента не должно ронять систему.
- Как держим: процесс-на-компонент; App-Host рестартит упавшее; ап переживает недоступность зависимости (показывает «нет данных», а не крэшит).
5. Power-safe by design
- Почему: машина рубит питание резко → corruption памяти (так умирают одноплатники).
- Как держим: read-only rootfs + overlay с дня 1; graceful shutdown по ACC; запись только в журналируемый
/data.
6. Driver-distraction discipline
- Почему: безопасность вождения (и потенциальная регуляторика).
- Как держим: на скорости выше порога — упрощённый UI, приоритет голосу, блокировка сложных взаимодействий; правило едино для всех апов через shell/SDK. Конкретика — в домене Shell.
7. Приватность / 152-ФЗ
- Почему: закон + доверие пользователя.
- Как держим: обработка локальна по умолчанию (голос → текст локально); в облако уходит только текст запроса при онлайн-LLM; RU-провайдеры, данные в РФ; телеметрия opt-in, по умолчанию выключена; память о водителе (
.md) — локальная, не уходит в облако без явного согласия.
8. Provider-agnostic
- Почему: не привязываемся к одному вендору; ИИ — коммодити; устойчивость к отвалу провайдера.
- Как держим: LLM за единым интерфейсом-бэкендом с авто-fallback; то же для STT/TTS/карт, где разумно.
9. Расширяемость через API, не через правку ядра
- Почему: суть платформы; даже свои апы — на SDK.
- Как держим: ядро тонкое; новая функция = ап/плагин. Если «для фичи нужно лезть в ядро» — это сигнал, что API недостаточен: чиним API, а не хардкодим в ядро.
10. RU-first, i18n-ready
- Почему: русский — наш моат и приоритет №1; но платформа (и автопроизводители) не должны быть заперты в одном языке.
- Как держим: русский — первоклассный и дефолтный; строки и локаль не хардкодим — инфраструктура i18n заложена изначально.
- ⚠️ На подтверждение: оставляем i18n-ready, а не строго RU-only?
11. Отзывчивость (no-lag) — требование, не пожелание
- Почему: медленный лагучий UI — главный изъян китайских блоков и наш ключевой дифференциатор.
- Как держим: бюджет на отклик (цель: мгновенный UI, boot < 10 c до интерактива); тяжёлое — фоном/лениво; не блокируем UI-поток. Регрессии производительности — это баги, а не «потом».
12. Лицензионная гигиена (MIT)
- Почему: adoption, без AGPL-боли.
- Как держим: зависимости — MIT/Apache/BSD-совместимые; заражающий дистрибуцию copyleft (GPL/AGPL) избегаем или изолируем как отдельный процесс; проверка лицензий в CI.
13. Разрабатываемо и тестируемо без машины
- Почему: итерации малой командой с Mac; нельзя зависеть от наличия авто под рукой.
- Как держим: симуляция CAN/OBD (vcan + дампы), моки LLM/STT/TTS; каждый домен поставляет симулятор/мок. Детали — dev-environment.md.
Изменения этого списка — осознанные: принцип влияет на все домены, поэтому правка здесь = ревизия их всех.