docs(design): apply Sense prototype review

docs/04-architecture.md

@@ -16,7 +16,7 @@ YoVision 使用“通用底座 + 场景包”，按变化频率分为：
 
 | 系统 | 语言/状态 | 职责 | 不负责 |
 | --- | --- | --- | --- |
-| Sense | Go，有状态 | 设备台账、ONVIF、MediaMTX 控制、对账、探活、隧道、设备型触发、流分片 | AI 判定、事件业务、预警 |
+| Sense | Go，有状态 | 设备台账（`modality + capabilities`）、ONVIF、MediaMTX 控制、对账、探活、隧道、设备型触发、流分片、隐私区域设备准入 | AI 判定、事件业务、预警 |
 | Brain | Python/CUDA，业务无状态 | 解码/推理、检测/姿态/跟踪/ReID、时间窗判定、事件 mapper、像素级触发 | 设备真相源、告警升级、租户权限 |
 | Bell | Go + Web，有状态 | 事件校验/存储、规则、预警状态机、投递、反馈、租户/RBAC、审计、配额真相源和管理端 | 媒体转发、模型执行 |
 
@@ -55,7 +55,7 @@ Sense ── 视频流/触发信号 ──> Brain
 
 首个 M3 数据流部署在 S2 民办寄宿学校的 16 路高风险点位，只运行越线、危险区域和聚集等匿名规则，不加载人脸底库。
 
-## 5. 九条不可越界的决定
+## 5. 十条不可越界的决定
 
 1. MediaMTX 独立运行，Sense 管配置与生命周期。
 2. 设备型触发源归 Sense；需要解码的像素级触发归 Brain。
@@ -66,6 +66,7 @@ Sense ── 视频流/触发信号 ──> Brain
 7. Bell 拥有 `site.max_video_channels`，Sense 在设备写路径执行；不跨 schema 直接写。
 8. 事件片段写入客户侧 MinIO/S3，常态录像留在客户 NVR；元数据/审计、人脸和训练样本使用独立生命周期。
 9. 投递状态机只依赖 Bell provider 接口，不直接依赖某家短信或语音 SDK；生产前至少两条独立路径并能故障切换。
+10. 设备领域模型使用 `modality + capabilities`，页面不以摄像头作为唯一根实体；隐私策略属于 Area，Sense 在新增/启用写路径按成像能力执行，策略不可用时只阻断新变更，不静默切断已有链路。
 
 ## 6. 容量架构
 
@@ -88,7 +89,7 @@ Sense ── 视频流/触发信号 ──> Brain
 
 ## 8. 数据与契约
 
-- 核心实体：Tenant → Site → Area/Device → StreamBinding/Zone；Rule → Event → Alert → DeliveryAttempt/Ack。
+- 核心实体：Tenant → Site → Area（含 `capture_policy`）/Device（含 `modality + capabilities`）→ StreamBinding/Zone；Rule → Event → Alert → DeliveryAttempt/Ack。
 - Event 与 Alert 不合并：一个事件可触发多次预警与投递，一次预警也可聚合多个事件。
 - 事件 v0.1 以 `raw/contracts/event-v0.1.schema.json` 与 `raw/contracts/README.md` 为准；未知顶层字段拒绝，只允许通过 `ext` 扩展。
 - v0.1 还需代码校验时间自洽、`confidence` 当前为 null、证据文件名隐私、唯一 primary sensor 等跨字段约束。
@@ -108,10 +109,10 @@ Bell/{web,packs,contracts}
 ## 10. 开发顺序
 
 - M0 不写生产代码。
-- M1 只动 Sense，5 路接入骨架与 MediaMTX。
+- M1 只动 Sense，5 路视频接入骨架与 MediaMTX；设备模型从此时起保持模态/能力可扩展，但不提前实现非视频适配器。
 - M2 仍以 Sense 为主，完成 16 路开通/停用、对账、多租户投影与隧道。
 - M3 Brain 与 Bell 同时起步，事件契约首次被真实使用。
-- M4/M5 再做 64/128 路分片、完整管理端和多个场景包。
+- M4/M5 再做 64/128 路分片、完整管理端和多个场景包；M6 接入雷达、门磁、按钮和可穿戴等非视频适配器。
 
 M3 先执行不少于 2 周的 dry-run，冻结现场标注集，按规则报告召回率和每路每天误报数；现场基线评审后才把数值阈值写入站点验收附件。算法效果指标与系统 SLA 分开验收。