Aqara 空间智能 · 物理世界没有 Undo
口播这一场只立一个判断：Agent 输出不再是文本，而是会改世界的指令——业务写操作同构。
线上事故没有后悔药。下单、调价、关停、批额——同样没有 Ctrl+Z。研发 Harness 辐射进业务的最后一公里，就是证据闭环。
全场叙事 · 先给路线，再进细节
口播别当四章目录——这是讲解顺序，后一步只服务前一步的问题。
文本可重来，状态写错要赔。
IoT ↔ 业务映射。
问题立住。
空间是领域实体不是列表。
可执行世界模型。
收敛解空间。
模型懂人话，引擎不闯祸。
先查后控，凭证不入库。
回读闭环。
查→编→干→验→说实话。
对象/能力/策略/证据。
辐射业务写操作。
为什么 · 第一步：把系列脉络说清楚
口播先讲一条时间线——听众跟完这条线，就知道这场不是智能家居选型分享。
不是「智能家居酷不酷」，而是研发约束语言怎么映射进有副作用的写接口——证据闭环是门禁。
为什么 · 第二步：把首要矛盾钉死
口播先念对照表——冲突就一句话：数字世界能重问，物理/业务世界必须有证据闸。
| 问题 | IoT 答案 | 映射到业务系统 |
|---|---|---|
| 可操作对象是谁 | HomeGraph | 主数据 / 领域对象图 |
| 能做什么 | 物模型 / Capability | 能力矩阵 / 接口契约 |
| 是否生效 | Telemetry 写-回读 | 事务回查 / 状态机校验 |
| 失败怎么定位 | 脚本 + Bad Case 回流 | 审计日志 + 案例账回流 |
是什么 · 先抛世界观，再拿结构
口播答案就这一行：空间智能 = 可查询、可推理、可执行的语义系统——不是列表分组。
是什么 · 澄清：不是模型越大越安全
口播五个字母从左到右念——不是开放式瞎生成，是先筛可行计划集，再按意图与风险选优。
| 字母 | 含义 | 核心问题 | 业务同构 |
|---|---|---|---|
| O | Ontology | 世界里有什么 | 主数据 / 领域对象 |
| R | Relation | 如何关联 | 对象关系图 |
| A | Action | 可以做什么 | 能力矩阵 / API |
| P | Policy | 约束是什么 | 风控 / 审批 / 白名单 |
| T | Telemetry | 观测到什么 | 回读 / 审计 / 状态机 |
是什么 · 展开手脚：能力契约四层
口播从下往上念四层——越往上越规程化；业务系统同构：OpenAPI + 校验 Schema + 流程编排 + Agent 工具发现。
HTTP / Open API 作稳定执行面；MCP 作发现与调试备选。
物模型 / Capability Model；业务侧 = 接口契约 + 参数校验。
优先加载规程化能力包（aqara-agent-skills），优于裸 Prompt。
标准工具发现；钥匙别塞进仓库——凭证不入库。
怎么编 · 分工：模型懂人话，引擎不闯祸
口播按入口→中台→引擎→底座→数据中台往下讲；反馈数据 ≠ 直接训练数据。
懂自然语言，产出意图与约束；不直接碰物理/账本。
策略过滤 / 编排 / 校验；四道闸在此收敛可行计划集。
Aqara Studio：协议、物模型、场景自动化、Open API。
Telemetry → 数据中台 → 反哺引擎与中台；脱敏评审后再训。
怎么编 · 钥匙别塞进仓库
口播验证顺序从左到右念：先查对象与状态 → 消歧 → 单点或场景执行；未登录禁止假成功。
先查主数据与权限，再调写接口。列房间 → 查空调 → 确认后执行场景。
优先规程化 Skill 包；MCP 作工具发现备选。钥匙别塞进代码仓库。
多设备/多账户命中必须追问；禁止一上来模糊批量控。批量模糊匹配一律禁止直接干。
选租户/组织/账套 → 先查对象图 → 预编排审批/批处理 → 状态机 + 审计日志。
怎么落 · 把实战翻译成可排期剧本
口播按步从左到右念——会议室节能演示：列房间 → 查空调（消歧）→ 确认后执行 → 查日志。
| 步骤 | IoT / 空间 | 业务系统同构 |
|---|---|---|
| 激活 | 登录选作用域 | 选租户 / 组织 / 账套 |
| 查知识 | 列空间 / 查设备 | 查主数据 / 对象图 |
| 能力编译 | 物模型匹配 | 接口契约校验 |
| Plan | 场景封装 | 预编排审批 / 批处理 |
| Action | 单点或场景执行 | 写接口调用 |
| Telemetry | 写-回读 | 状态机 + 审计日志 |
| 诚实播报 | 状态未变报失败 | ACK 成功但账本未变 → 失败 |
怎么落 · 用四闸 + 三洞见验收认知
口播四闸从上往下念；洞见三条收束——安全写进契约，语义防误伤，人在回路是默认态。
不存在 / 不可达不进计划。主数据存在性校验。
不支持 / 受限不执行。接口能力矩阵匹配。
违规 / 冲突 / 超额拦截。风控 + 审批 + 白名单。
回读闭环；状态未变则失败。写后必验。
安全边界写进契约，不靠 Prompt 祈祷。四闸思维进写接口。
语义作用域防误伤；按空间/场景执行，别扫列表。
人在回路是默认态；禁止自信地假成功——诚实播报是底线。
带走 · 方法论表 → 唯一 CTA
口播先过方法论表七行，再收束到一条红线——没有证据闸，Agent 不许碰生产状态。
| # | IoT / 空间 | 业务系统同构 |
|---|---|---|
| 1 | 选规程化接入 | 写操作走契约层 |
| 2 | 登录选作用域 | 选租户 / 组织 / 账套 |
| 3 | 先查后控 | 先查主数据后写 |
| 4 | 场景封装高频动作 | 预编排审批 / 批处理 |
| 5 | 建空间语义 | 建领域对象图 |
| 6 | 留审计回读 | 状态机 + 审计日志 |
| 7 | Bad Case 评审回流 | 禁止 raw 反馈直训 |