docs(design): apply Sense prototype review

docs/raw/08-三系统职责划分.md

@@ -23,7 +23,7 @@
 
 **Sense —— 把现场的流和信号稳定地拿进来并管住**
 
-- 设备台账（`devices`，含 `modality`：video / radar / contact / button / wearable）
+- 设备台账（`devices`，含 `modality`：video / radar / contact / button / wearable / other，以及决定成像、媒体、遥测、空间配置等页面与操作的 `capabilities`）
 - ONVIF 客户端：连接、GetProfiles、GetStreamUri、SetSystemDateAndTime
 - mediamtx API 客户端（**自行用 oapi-codegen 从其 OpenAPI 生成**，不依赖第三方 SDK）
 - **对账器**：水平触发、`sync_state`、独立信号量、10% 孤儿删除安全闸、只收敛不回滚
@@ -80,7 +80,7 @@ Sense/
 │   ├── sense-api/          控制面服务：设备台账、鉴权回调、对账器
 │   └── sense-agent/        边缘节点：推流、环形缓冲、隧道
 ├── internal/
-│   ├── device/             设备台账（devices，含 modality）
+│   ├── device/             设备台账（devices，含 modality + capabilities）
 │   ├── onvif/              连接、GetProfiles、GetStreamUri、SetSystemDateAndTime
 │   ├── mtx/                oapi-codegen 生成的 mediamtx 客户端 + 薄封装
 │   ├── reconcile/          对账循环（幂等 + 退避 + 安全闸）
@@ -138,7 +138,7 @@ Bell/
 
 ---
 
-## 3. 七条边界（不写死就会漂）
+## 3. 八条边界（不写死就会漂）
 
 | # | 边界 | 定论 |
 | --- | --- | --- |
@@ -149,8 +149,9 @@ Bell/
 | 5 | 一个 PostgreSQL 还是三个 | **一个实例，schema 分离**（`sense` / `bell`），Brain 无 schema。"DB 是唯一真相源"是对账器成立的前提，拆库即失效 |
 | 6 | 16 路与 128 路分别指什么 | **16 路是默认交付规格，128 路是本阶段单逻辑站点上限**，都不是“单进程/单服务器保证值”。媒体与推理必须横向分片；单机承载量由分辨率、码率、帧率、模型和硬件基准测试决定 |
 | 7 | 站点配额谁拥有、谁执行 | **Bell 拥有 `sites.max_video_channels`，Sense 在设备新增/启用写路径执行**。通过版本化内部 API 或只读投影同步，不允许 Sense 直接写 Bell schema；依赖暂时不可用时拒绝新变更，但已有视频链路继续运行 |
+| 8 | 设备模态与隐私准入怎么建模 | 台账使用 `modality + capabilities`，不以摄像头作为唯一根实体；**Area 拥有 `capture_policy`，Sense 按设备 `captures_image` 能力在新增/启用写路径执行**。策略不可用时拒绝新变更并告警，已有链路不静默停用；M1 固化模型，M6 再增加非视频适配器 |
 
-第 2、3、6、7 条是本文档新定的，若实施中发现更合适的切法，改这里并同步《02》《03》。
+第 2、3、6、7、8 条是本文档新定的，若实施中发现更合适的切法，改这里并同步《02》《03》。
 
 ---
 
@@ -179,6 +180,6 @@ DB schema     sense              —                  bell
 | **M3** 默认 16 路推理 + 规则引擎 + 事件预警 | **Brain + Bell 同时起步**，契约在此首次被真实使用 |
 | **M4** 64 路分片 + 灰度 + 管理系统 | Sense 与 Brain 完成横向分片，Bell 完成 128 路规模下的列表与批量交互；验证单分片故障隔离 |
 | **M5** 128 路容量验收 + 第二三场景包 + 触发式推理 + 人脸 | Sense/Brain 验证扩容不改业务代码；Bell 的 `packs/`（**纯配置**）+ Brain 的模型与触发 |
-| **M6** 异构传感器 + 两级判定 | Sense 的 `trigger/` 与 `device/`（modality 扩展）+ Brain 两级判定 |
+| **M6** 异构传感器 + 两级判定 | Sense 的 `trigger/` 与 `device/` 增加非视频协议适配器与能力实现（`modality + capabilities` 模型已从 M1 保留）+ Brain 两级判定 |
 
 > M3 是契约第一次被真实使用的时刻。**在此之前契约允许原地修订，之后版本递增规则绝对生效**（契约 README §1）。