工程版本日志 · 2026.07
缓存、同步与数据治理基线
数据治理不是把一切永久保存，而是清楚知道每一层保存什么、为什么保存、保存多久，以及如何删除。
30 分钟音频诊断缓存与模型空闲释放
1,000 条桌面端历史记录上限
30 天登录会话默认有效期
60 秒浏览器回跳授权码有效期
适用范围治理基线双向同步和自动保留仍开放
证据类型数据分类 + 生命周期决策观察结果、目标值与估算值分开陈述。
当前状态部分实施本篇记录特定日期的工程状态，不代表永久承诺。
01 · LOCAL
桌面端只保留完成产品体验所需的数据
设置、加密会话和最近 1,000 条历史保存在本机。登录凭证使用 AES-256-GCM 加密，业务数据通过临时文件后原子替换。桌面端不长期保存录音文件。
02 · CLOUD
账户、额度与性能必须可追溯
- D1 保存账号、设备、会话、套餐和订阅状态。
- 用量账本按 request ID 幂等。
- 保存原始转写、AI 结果、模型、语言和处理时间。
- 性能日志与 AI 编辑诊断进入结构化记录。
03 · GPU NODE
音频只作为短期诊断材料
推理节点保存模型权重和当前加载状态，音频诊断缓存默认 30 分钟，目录权限为 0700、文件权限为 0600，并按分钟滚动清理。
04 · OPEN WORK
同步还不是完整的双向系统
当前主要是客户端向云端写入。仍需增加同步游标、版本号、冲突解决、删除传播、本地 SQLite 迁移，以及 D1 自动保留和清理任务。
证据 · 诊断
现有证据能说明什么，不能说明什么
治理对象分为本地设置与会话、账户和额度、性能事件、短期诊断音频四类。它们不能共享一个模糊的“历史记录”生命周期：凭证必须加密，账本必须可审计，性能事件需要可聚合，而原始音频只能短期、最小权限保留。
统一阅读规则生产观察只描述实际走过的路径；受控基准用于隔离单一组件；目标值在持续分布达标以前始终只是目标。
运维 · 开放工作
失败时如何退化，以及下一道验证门槛
目前 30 分钟音频诊断缓存用于复现短字符串和模型异常，目录与文件权限受限并滚动删除。后续必须补齐保留策略作业、删除审计、同步游标、冲突版本、用户导出和按数据类型分开的访问控制。
- 失败可见性
- 每次降级都必须记录原因码和阶段计时。最终拿到文字，不能抹掉实时、AI 或粘贴此前失败的事实。
- 发布证据
- request ID、实际模型、节点、排队、上传、ASR、AI 和交付时间必须保存在同一条可追踪链路中，才能完整复盘回归。