docs(design): close Sense second-review gaps

docs/raw/02-需求分析.md

@@ -125,7 +125,7 @@ erDiagram
 | --- | --- | --- |
 | **Tenant 租户** | 计费与数据隔离的最小单位 | 所有查询必须带 tenant_id，无例外 |
 | **Site 站点** | 一个物理场所（一户 / 一所学校 / 一个小区） | 升级链、时段策略挂在这一层 |
-| **Area 区域** | 站点内的逻辑分区（教学楼 / 单元 / 客厅） | 用于权限范围、报表口径与设备准入；`capture_policy` 表达是否仅允许非成像设备 |
+| **Area 区域** | 站点内的逻辑分区（教学楼 / 单元 / 客厅），由 Bell 统一管理 | 用于权限范围、报表口径与设备准入；`capture_policy` 表达是否仅允许非成像设备，Sense 只消费带版本的策略投影 |
 | **Device 设备** | **不叫 Camera**；`modality` 表达 video/radar/contact/button/wearable/other，`capabilities` 表达成像、媒体、遥测等具体能力 | 模态负责稳定分类，能力负责决定字段与操作，避免接入新设备时重做台账和页面 |
 | **Zone 画面区域** | 画在某路画面上的多边形或警戒线 | 与 Area 是两回事：Area 是物理概念，Zone 是像素坐标 |
 | **Rule 规则** | 「主体 × 条件 × 时空 × 动作」的可配置组合 | 三级覆盖：租户默认 → 站点 → 设备 |
@@ -608,14 +608,18 @@ GPU 型号和数量不在需求阶段写死。M1 用 5 路打通，M3 以 16 路
 在参考项目基础上扩展多租户与规则/事件。**字段级设计见《03》，此处只给结构与关键约束。**
 
 ```sql
--- ── 组织（Bell 为真相源；Sense 只读配额投影）────────
+-- ── 组织（Bell 为真相源；Sense 不直接写这些表）────────
 tenants(id, code, name, status, plan, created_at)
 sites(id, tenant_id, code, name, scene_pack, subnet CIDR, timezone, status,
       max_video_channels INT NOT NULL DEFAULT 16 CHECK (max_video_channels BETWEEN 1 AND 128))
 areas(id, site_id, name, parent_id,
       capture_policy) -- video_allowed | non_imaging_only
 
--- ── 设备（不叫 cameras，为异构传感器预留）────
+-- ── Sense 只读投影（来源版本与同步时间必须可追溯）────
+site_quota_projections(site_id, max_video_channels, source_version, synced_at)
+area_policy_projections(area_id, site_id, capture_policy, source_version, synced_at)
+
+-- ── Sense 设备（不叫 cameras，为异构传感器预留）────
 devices(
   id, tenant_id, site_id, area_id,
   modality,           -- video | radar | contact | button | wearable | other
@@ -703,6 +707,8 @@ CREATE INDEX ON alerts(state) WHERE state NOT IN ('closed','suppressed');
 7. 人脸相关表独立 schema、独立加密、独立审计；`persons.valid_until` 必填，无"永久有效"选项
 8. `sites.max_video_channels` 默认 16、最大 128；配额在写入设备时校验，分片容量由运行时配置与压测决定
 9. `sites.max_video_channels` 由 Bell 持有，Sense 通过版本化内部 API 或只读投影校验设备新增/启用；不得跨 schema 直接写入
+10. Tenant/Site/Area/RBAC、配额与全局审计属于 Bell；Sense 仅使用稳定逻辑 ID 关联并保存带 `source_version` / `synced_at` 的执行投影
+11. 高风险设备写操作与本地审计 outbox 在 Sense 同一事务提交，再由幂等 relay 异步汇入 Bell；审计接口字段、签名和重放规则另立契约任务冻结
 
 ---