docs(tasks): complete T-002 architecture decisions

docs/02-requirements.md

@@ -13,12 +13,14 @@
 5. 预警 ack、超时升级、双路径投递、限时静默和重启续跑。
 6. 误报标记与样本回流。
 
+交付边界已定为客户侧私有化部署的 S2 民办寄宿学校，默认 16 路高风险点位；代码保留 SaaS-ready 租户边界。M1–M3 只接 ONVIF/RTSP，只验证 NVIDIA x86/Jetson 主路径，不包含 GB/T 28181、信创适配、人脸或独立原生 App。
+
 ## 2. 当前 M0 验收
 
 - 在隔离实验室运行 MiBeeNvr 等现成测试台，不改 `_reference/`，不接真实客户摄像头。
 - 选择 3–5 款候选摄像头，逐款通过 `GetProfiles`、`GetStreamUri`、`SetSystemDateAndTime`。
 - 记录断线恢复、认证失败、时间漂移、主/子码流和厂商差异，形成采购白名单。
-- 回答 `raw/01-需求收集.md` §8 中仍开放且会改变架构的问题。
+- 执行 `raw/01-需求收集.md` §8 已批准的决策台账；只将明确记录的下游法务、客户、硬件和供应商门禁留到对应里程碑。
 - M0 代码与临时配置可丢弃，不作为生产基线；可借鉴范围严格遵循 NVR 白名单。
 
 ## 3. P0 功能要求
@@ -62,6 +64,12 @@
 - 断网时边缘缓存事件，恢复后补传。
 - 不在代码、日志、证据文件名和工单中泄露摄像头凭据、客户名或敏感地址。
 
+### 3.6 管理端与外部集成
+
+- Bell 自研并持有事件、Alert、ack、升级链、租户和审计真相；客户既有平台不得成为这些状态的唯一真相源。
+- 对外使用版本化 OpenAPI/Webhook；M3 客户端为值班室 Web + 响应式移动 H5，可嵌入客户系统。
+- 投递层必须使用供应商无关的 provider 接口；试点至少有本地声光/Web 与一条短信或语音，生产前补齐两条独立路径及故障切换。
+
 ## 4. 容量与性能
 
 | 维度 | 默认交付 | 本阶段上限 | 验收方式 |
@@ -79,15 +87,16 @@
 
 ## 5. 场景优先级
 
-- 首个场景在 M0 开放问题关闭后选定；不得由 agent 自行决定。
-- S1 居家养老、S2 校园、S3 社区是目标场景；MVP 只跑通其中一个。
-- S4 工厂/园区在 M4 前不实现。
+- 首个场景为 S2 民办寄宿学校：客户侧 16 路高风险点位，先做越线、危险区域、聚集等匿名安全规则，不启用人脸。
+- S1 居家养老、S3 社区仍是后续目标场景；S1 卧室/卫生间只能使用非成像传感器，该能力在 M6 实现。
+- S4 工厂/园区在 M4 前不实现；首个人脸试点最早 M5，仅候选成人访客/承包商白名单且首库不超过 10,000 人。
 - 高空抛物不进通用底座。
 
 ## 6. 合规门禁
 
 - 家庭卧室、卫生间不安装摄像头，只能使用非成像传感器。
-- 未成年人影像、人脸识别、留存期限必须完成法务确认；未完成时阻塞相关 M3/M5 功能上线。
+- 真实 S2 生产试点在 M3 上线前，客户/法务必须确认未成年人影像处理、公共安全视频法规适用性、告示/备案、角色权限和最终留存期限；不阻塞 M1 实验室 Sense 骨架。
+- 首个人脸试点在 M5 上线前，必须完成必要性与个人信息保护影响评估、单独同意/替代方式、合法底库来源和撤回/删除流程；方向批准不等于法务批准。
 - 人脸特征加密、独立审计、有效期必填、到期失效；原始人脸图不与普通事件证据混存。
 - YOLO 商用必须取得 Ultralytics Enterprise License；未获批则走已记录的开源替代路线。
 
@@ -95,10 +104,17 @@
 
 - 不使用完整 MiBeeNvr 作为生产系统。
 - 不在 M1 开发完整管理端、人脸、异构传感器或多场景包。
+- M1–M3 不实现 GB/T 28181、国产化信创适配和独立原生 App。
 - 不为 128 路提前堆一套分布式平台，但所有边界必须可分片、可配置、可观测。
 - 不承诺未经现场数据验证的检出率或误报率；先建立可重复测试集和基线。
 
-## 8. 追溯
+## 8. 验收与证据留存
+
+- M3 先 dry-run 不少于 2 周，冻结站点机位、规则版本、人工标注口径和现场标注集。
+- 效果指标按规则分别报告召回率与每路每天误报数；现场基线形成后，在站点验收附件中签署数值阈值，不使用跨场景统一“准确率”。
+- 事件片段默认存客户侧 MinIO/S3 兼容对象存储，常态录像留在客户 NVR。技术默认 30 天并在目的完成后删除；客户/法务确认最终期限。元数据、审计、人脸与训练样本使用独立策略。
+
+## 9. 追溯
 
 - 原始需求编号与优先级：[`raw/01-需求收集.md`](raw/01-需求收集.md)。
 - 需求分层、状态机、数据模型与风险：[`raw/02-需求分析.md`](raw/02-需求分析.md)。