首页
产品
NatusAI Cygnus
规划中的V1范围

Cygnus · 规划中的初始版本规划中 · V1

精准界定的初始版本，先有证据，再行验收

Name: NatusAI Cygnus
Brand: NatusAI

Cygnus 1.0是一款可编程时序图数据库的规划版本，须通过验收关口才能发布。以下范围是设计与认定计划；其中任何发布关口或性能目标均未被表述为已经达成。

状态：Cygnus 1.0尚未通过验收，也未发布。在公开发布之前，所含能力、安全、文档、兼容性、部署和恢复方面的证据必须全部通过。

查看规划范围查看后续部署形态

初始版本边界

单节点记录系统，配备受控的智能体接口

规划中的版本将语言、运行时、存储和服务统一在同一个语义模型之下。候选实现并不等于公开发布。

核心与服务

类型化语言与执行、事务性图与时间序列存储、身份认证与存储路径授权、类型化HTTP/RPC与流式服务、自动生成的TypeScript客户端，以及API和MCP描述符。

数据与检索

下文所列的七种有界模态配置、图遍历、地理空间索引、文本/BM25与稀疏/稠密检索、时间窗口、汇总以及持久化订阅。

工具与体验

一个选定的Explorer界面，五种冻结的应用模式（孪生、遥测、事件日志、地理轨迹和资源CRUD）；LSP核心、VS Code客户端以及有界的无界面调试。

运维与AI

持久化作业与计划任务、单服务器可观测性、备份、时间点恢复与可验证恢复；有界的对话契约，按确切固定版本认定服务商，并配有独立管控的修复机制。

依赖顺序：核心 → 服务契约与安全 → 时态、空间与检索数据 → 选定的Explorer与智能体工具 → 单服务器运维与有界对话。数据和安全服务先于更大的智能体接口。

服务与工具契约

让同一个类型化模型可供人员、客户端和智能体使用

以下是规划中的初始版本要求，各有单独的一致性和安全关口，并不表示每个接口目前均已可用。

服务与托管文件

类型化HTTP/RPC与流式操作、变更流、自动生成的TypeScript客户端，以及供API和MCP使用的带版本服务描述。基于Blob的托管文件服务将提供事务性虚拟目录和有界传输，不进行隐式解析，也不访问宿主文件系统。

持久化的人工决策

官方的决策与审批队列将在智能体会话结束后继续保存具有权威性的人工决定。智能体的提案及其证据，与激活该提案的权限相互分离。

语言与本地化

原生基线包括语言标签、呈现上下文、类型化消息与目录标识，以及有界的格式化。服务端和自动生成的TypeScript客户端必须就固定版本的目录保持一致；具体的生产语言区域和支持周期尚未确定。

Explorer与开发者工具

选定的、需身份认证的Explorer涵盖概览、数据/图、活动/日志、函数/API/MCP、访问权限，以及经认定的对话/服务商设置。其本地化必须通过类型化参数、从右到左书写（RTL）、伪语言区域、无障碍、恶意翻译以及服务端/客户端一致性检查。LSP核心、轻量VS Code客户端和有界无界面调试契约为必备项；编辑器的调试适配器协议（DAP）集成延后。

五种冻结的应用模式为孪生实体、遥测序列、事件日志、地理轨迹和资源CRUD。通用声明式界面系统或浏览器端语言运行时不属于本次初始版本。

数据语义与授权

各环节的衔接必须在同一个系统内闭合

以下是规划中版本的架构要求，须经过一致性和安全认定。

何为真实，何为已知

双时态访问区分一项事实的有效时间与其进入系统的时间。时点查询的回答应当针对两者均可复现，包括之后的更正。

一个事务与已声明的衍生数据

严格可串行化事务配合细粒度的逻辑冲突检测，旨在将实体、图、时间以及已声明的事务性索引或衍生资源的变更保持在同一个提交周期内。

先授权，再披露

访问检查位于存储和执行路径中，包括索引扫描、遍历和聚合。发现与读取权限相互分离；被拒绝访问的资源不得通过计数、错误信息或存在性提示泄露。检索授权在排序和top-k选择之前进行。

已声明的公共函数作用描述的是潜在行为；它本身绝不授予权限。当智能体提出工具操作时，检索到的内容和模型输出仍被视为不可信。

七大数据类别

持久化表示并不意味着内置解读

存储的来源数据保留有界访问、带版本的描述符、分类、来源记录、保留期限和授权。衍生的文本、瓦片或向量嵌入均明确标注版本，绝不会悄然变成原始数据。

七大数据类别 · 规划中的初始版本表示方式与边界
模态	规划中的初始版本表示方式	不在初始版本能力声明之内
文本	有界UTF-8字符串；大型UTF-8文本以流式或按范围读取的Blob存储；按分析器版本管理的文本/BM25索引。	通用字符集修复、改变源数据的隐式规范化，或无界的字符串物化。
文档	具有权威性的源文件字节，附元数据和来源记录；显式的文本和分块衍生数据可由用户提供，或由已声明的外部服务商生成。	通用PDF/Office解析、静默OCR，或将提取的文本视为来源。
图像、音频与视频	源文件字节、媒体元数据与摘要；可续传的有界写入、按范围流式传输，以及明确标注版本的外部衍生数据。	内置解码器/转码器、原生视频处理管线、缩略图、帧提取或固有的媒体相似度计算。
时间序列状态	单点、批量和范围访问，规则/不规则时间跨度与精确分辨率；在所含交付顺序的后期阶段，提供事件时间窗口、水位线、汇总和持久化订阅。	同一序列中同一时刻的多个独立事件；此类情况请使用事件映射。
矢量GIS	支持坐标参考系（CRS）的地理值/要素，必要时流式处理大型几何图形，精确谓词以及带精确复核的索引候选。	分布式空间执行，或通用的PostGIS兼容替代语言。
栅格GIS	带栅格描述符的源文件字节、有界的字节/范围访问，以及已声明的外部瓦片或概览投影。	内置栅格解码、原生重投影/概览构建，或保证对顺序格式进行随机瓦片访问。
稠密与稀疏数值	有界数组和稀疏数组；为服务商生成的向量嵌入提供基本的固定形状浮点张量存储。	通用张量代数、模型执行、ONNX、训练、量化或设备端计算。

具体的交换格式、可接受的文档/媒体类型、矢量与栅格配置、服务商版本以及安全测试用例，仍属于发布决策。

部署形态

先纵向扩展；集群是后续部署形态

规划中的生产拓扑为一台服务器。它可以承载多个租户并提供隔离和配额，但其容量和故障域仍限于一个节点。

运行时部署形态 · 在规划中初始版本中的定位
部署形态	在规划中初始版本中的定位	边界
嵌入式	包含	单个应用进程，使用本地存储；无单独的服务器进程。
开发	包含	空项目引导和显式数据源模式。
生产（单服务器）	包含	单节点。优先支持POSIX持久化；对象存储持久化和备份支持在发布范围内。
集群	不包含 · 后续部署形态	不声称支持分片、复制、分布式遍历或故障切换。
隔离工作负载	不包含	无单独认定的隔离工作负载部署形态。

部署环境的选择（例如客户数据中心或私有云）与这些运行时部署形态相互独立。

单服务器运维

恢复与受控变更属于发布关口的一部分

规划中的生产部署形态在一台服务器上将持久化作业和计划任务与运维证据结合起来。它不声称支持集群、副本故障切换或跨节点可用性。

备份、恢复与保留

计划内的全量与增量备份、可验证恢复与时间点恢复、保留期限/TTL以及法律保全，均为所含要求。完成备份并不能证明应用及其数据可以恢复。

观测与响应

生产可观测性和已声明的服务目标，将把事件与受影响的应用和发布版本关联起来。只有已登记、预先授权的修复类别，才能在其有界范围内执行操作；过期或已撤销的授权必须拒绝执行或升级处理。

独立推进上线

金丝雀发布和回滚决策始终处于独立管控之下。提出修复方案的智能体不能批准扩大自身权限、修改自身验收标准，也不能激活自己的继任版本。

变更运行中的系统

单服务器部署形态规划支持模式、契约和后端的滚动部署。稳定的原生C ABI和受监管的服务商边界，使已声明的集成成为可能，而无需加入后续才会提供的开放包仓库或组件宿主。

发布认定还要求崩溃恢复、已确认提交零丢失，以及在已声明条件下成功完成恢复演练。下文所列拟定数值阈值均为测试项，并非实测结果或服务水平。

一个可证伪的示例

全球孪生参考工作负载

以下是拟议的工作负载假设，有待作者确认和设计合作伙伴实测。“全球”描述的是业务对象，而非分布式执行。

全球孪生参考工作负载 · 拟定的认定目标——并非实测结果、产品承诺或服务水平。
维度	拟议的参考工作负载
孪生实体	25万艘船只；5000个港口和码头；200万个货物单元
位置数据写入	持续2.5万条报告/秒；60秒突发10万条报告/秒
全保真保留	90天；约1940亿个样本，压缩后2 TB
降采样保留	每5分钟一个样本，保留至36个月；约790亿个样本，0.8 TB
事件与文档	每年500万次靠港记录、通知和舱单
向量嵌入	768维float32；原始数据每年约15 GB
图结构	所有权、租船和运营方路径深度达6层；平均出度为4；港口节点最多10万条边
交互并发	200名人员和50个机器客户端
硬件与内存	拟定的32 vCPU参考硬件配置；数据集与内存之比约为24:1。内存容量、厂商和存储型号均未指定。

持续2.5万条报告/秒描述的是这一参考工作负载。验收关口中的持续10万条报告/秒是更严格的拟定发布关口；在该硬件上8万条报告/秒则是单独的范围重新评估阈值。

容量与工作集

大规模保留历史需要有界操作

按每个样本约10.3压缩字节进行的理论设计测算，每个节点约可容纳1–2万亿个样本、最多20 TiB。这并非实测的容量结果。

≈10.3字节

每个样本的压缩大小：设计测算的基础

1–2万亿

每个节点的大致样本数，基于理论设计测算

≤20 TiB

按该密度计算的单节点容量；并非实测的容量结果

10 TiB / 16 GiB

一个单独的拟定认定用例：存储容量与已安装内存之比

一个单独的拟定认定用例使用10 TiB存储和16 GiB已安装内存，执行有界的单点、范围、分页、采样和视窗查询。这并不意味着整个语料库或整个索引都驻留在内存中，也不意味着每个全局查询都能交互式响应。

按更严格的10万条报告/秒发布关口计算，90天的全保真样本约为7800亿个样本、8 TB。12个月约为3.2万亿个样本、32 TB，超出拟定的单节点设计中心。更长的保留期需要降采样或后续集群部署形态。完整导出、全局排序和整个索引重建，仍以流式处理或持久化作业方式完成。

19项契约

版本行为必须在发布前明确

在1.0之前，只有已分配的稳定标识符保证永不挪作他用。其他所有1.x承诺均为发布意向，若干细节尚未确定。

19项兼容性契约 · 1.0之前及预期的1.x行为
维度	1.0之前	预期的1.x行为或待定决策
源语言	1.0之前不作1.x兼容性承诺。	1.0语法冻结；1.0接受的源代码在后续1.x版本中仍被接受。
描述符与目录	稳定的类型、字段及其他已分配ID永不挪作他用。	后续1.x版本可读取早期1.x版本写入的描述符。
字节码与执行计划	不作通用兼容性承诺。	物理执行计划在升级时重建。持久化作业固定一个执行引用；较新的运行时会读取、迁移、显式重放或拒绝。任意检查点不可迁移。
存储解码	不作通用兼容性承诺。	后续版本为仍被引用的1.x数据块保留解码器。
存储写入	不作通用兼容性承诺。	向后读取能力按格式逐一声明。不承诺降级。
传输协议与API	不作通用兼容性承诺。	在1.x内只做增量变更；破坏性变更需要新的服务主版本。
自动生成的客户端	不作通用兼容性承诺。	为1.x生成的客户端可针对后续1.x服务端编译。
声明式前端	不作通用兼容性承诺。	描述符类型在1.x内只做增量扩展。
包与组件	不作通用兼容性承诺。	保留的解码器、锁文件和选定的原生服务商接口以兼容方式扩展。开放包仓库和组件宿主属于后续工作。
集群滚动升级	不适用。	不适用：1.0中没有集群部署形态。
备份与恢复	不作通用兼容性承诺。	后续1.x版本可恢复早期1.x备份，并报告经过验证的恢复结果。
运维配置	不作通用兼容性承诺。	在1.x内只做增量变更；移除需要经过一个弃用版本。
AI服务商适配器	不作通用兼容性承诺。	可移植的对话模式和工作进程协议以兼容方式扩展。具体的服务商制品各自固定版本、读写方向和能力。不暗示任何厂商模型或功能。
智能体与MCP工作区	支持周期尚待选定。	版本读写方向、协商和失败行为需要发布决策。
智能体会话与指引	支持周期尚待选定。	版本读写方向和检查点行为需要发布决策。
带版本的AI技能	支持周期尚待选定。	双向读写和失败行为需要发布决策。
公共函数作用	不作通用兼容性承诺。	新增作用会破坏公共函数契约，需要新的服务主版本；它本身绝不授予权限。
一致性令牌	支持周期尚待选定。	该令牌属于初始版本的服务范围；其兼容性契约需要发布决策。
本地化消息与目录	稳定的消息、目录和配置ID永不挪作他用。	公共键和类型化参数以兼容方式扩展；被引用的消息保留读取能力。语言区域、默认值和目录支持周期尚未确定。

发布支持矩阵必须为每一行明确读、写两个方向、支持周期、协商和失败行为。不暗示任何降级或任意检查点可迁移的保证。

有界对话与本地AI

每个服务商都需要各自的证据

规划中的、与服务商无关的对话契约涵盖内容、消息、事件、工具、结构化输出以及持久化的会话/运行记录。模型特有的能力绝不会仅凭通用端点名称而继承。

规划中的初始版本AI绑定 · 每项单独认定；目前均未通过认定
规划中的初始版本绑定	认定边界
确定性的模拟服务商	可复现测试的必备项。
直连OpenAI Responses	确切的服务商制品及固定版本的能力/契约矩阵；不承诺任何厂商模型。
Anthropic Messages	确切的服务商制品及固定版本的能力/契约矩阵。
原生Ollama	针对其原生契约进行认定，而非其OpenAI兼容接口。
有界的OpenAI兼容端点	带探测能力的类型化端点绑定；不声称具有OpenAI身份。
外部管理的同机运行时	仅限有界的Cygnus客户端资源声明；外部运行时不计入Cygnus的资源余量。
经认证、由Cygnus管理的本地llama.cpp	必须包含CPU版本；CUDA仅在经认定后提供。具体的模型、分词器、运行时、设备、配置和资源范围需要签名证书。

远程或独立运维的本地端点，不继承托管本地部署的RAM/VRAM保障。原生模型计算、广泛的服务商原生智能体、自动回退以及无限量AI使用，均不在此部署形态范围内。服务商和产品名称仅用于标识接口，不代表任何合作关系或背书。

25项验收关口

发布需要覆盖整个系统的实测证据

下列关口均未声称已经通过。各项数值适用于已声明的工作负载、硬件和一致性条件；“必须通过”与“应当通过”相互区分：22项关口必须通过，2项应当通过。

Cygnus 1.0验收关口 · 拟定的认定目标——并非实测结果、产品承诺或服务水平。
关口 · 所需证据	拟定阈值	要求 · 状态
01 在参考形态工作负载上投产的设计合作伙伴	至少3家	必须通过尚未通过
02 保留历史记录的生产记录系统	至少1个，且至少有6个月历史	必须通过尚未通过
03 在拟定的32 vCPU参考硬件配置上持续写入位置数据，并保持事务性索引一致性	至少10万条报告/秒	必须通过尚未通过
04 吸收突发流量，不丢弃数据，队列不无限增长	10万条报告/秒，持续60秒	必须通过尚未通过
05 在25万个实时位置中查询多边形区域内的船只	p99不超过150毫秒	必须通过尚未通过
06 读取单艘船只90天轨迹	p99不超过250毫秒	必须通过尚未通过
07 在500万份文档中进行稀疏与稠密混合检索（top-20）	p99不超过300毫秒	必须通过尚未通过
08 读取孪生邻域，深度3层，最多500个节点	p99不超过50毫秒	应当通过尚未通过
09 外存计算正确性，内存不无限增长	数据集至少为内存的24倍	必须通过尚未通过
10 元素级授权相对于粗粒度策略的开销	不超过2倍	必须通过尚未通过
11 单服务器上已确认提交的恢复点	已确认提交零丢失	必须通过尚未通过
12 在3 TiB数据集下重启	20秒内恢复权威写入	必须通过尚未通过
13 发布窗口内的定期可验证恢复演练	通过率须为100%	必须通过尚未通过
14 每个提交步骤的崩溃恢复	测试通过率须为100%	必须通过尚未通过
15 无需人工修复的空项目智能体评估	在已声明预算内至少70%成功	必须通过尚未通过
16 从空项目到部署完成、经授权的孪生读写功能，含自动生成的TypeScript客户端和表单	不超过30分钟，由智能体驱动	应当通过尚未通过
17 每个所含部署形态的强制一致性测试套件	通过率须为100%	必须通过尚未通过
18 冻结的规范与最低一致性测试套件	核心基底、稳定身份描述符和威胁/安全内核；模态描述符、语言、项目、中间表示、执行计划、模式、存储、事务、数据流、包锁定、本地化和核心工具；服务、MCP、功能特性、界面、自动生成的TypeScript、部署包、变更流和完整安全；检索与事件时间；引导式MCP、冻结的功能投影、Explorer本地化、LSP和无界面调试；单服务器运维、原生服务商接口和有界对话。每个所含关口都会重新审视威胁模型。	必须通过尚未通过
19 文档示例作为测试运行	100%	必须通过尚未通过
20 有明确负责人的性能回归基线	每一项热路径基准测试	必须通过尚未通过
21 完整的支持与兼容性矩阵	已选定具体格式、文档/媒体/栅格/服务商配置、语言区域和目录；全部19个维度均明确双向读写、支持周期、协商和失败行为；无空白项	必须通过尚未通过
22 生产身份与密钥激活	经认定的外部密钥服务商和经审计的首位管理员仪式；不回退到开发/文件服务商	必须通过尚未通过
22 安全漏洞披露与发布运维	有人值守的联系渠道、公开加密密钥、security.txt、安全公告流程、支持日历，以及经过演练的发布/回滚角色	必须通过尚未通过
24 完整的有界对话验收	核心、全部五个服务商适配器、MCP、知识、外部管理的本地部署、经认证的托管CPU本地部署、组件库以及最低资源验收	必须通过尚未通过
25 初始版本组件库目录	每个必需成员都有经批准的成熟版本；推荐成员须通过，或披露其继任版本及偏差	必须通过尚未通过