3. xmuse 系统架构
架构设计的目标是把两路异构资源——矿工节点供给的运行算力、第三方供给的大模型推理算力——抹平为一个统一的 Agent 运行环境。本章自上而下说明七个层次，其中第六、七层分别承担奖励的链上发行与合规对接两项外部职能。
3.1 总体分层
「3.1 总体分层」章节链接系统自上而下分为七层，每层职责单一、接口清晰：
表 3-1 xmuse 七层架构
| 层次 | 组件 | 关键能力 |
|---|---|---|
| 应用层 | Agent 模板市场、控制台、SDK | 用户与开发者的唯一入口 |
| 运行时层 | 任务编排器、沙箱、工具链、长期记忆 | Agent 的规划—执行—交付闭环 |
| 调度层 | 任务分派、实例调度、配额管理 | 把任务匹配到合适的算力节点 |
| 运行算力层 | 分布式节点、容器运行时 | 提供 Agent 虚拟小主机的 GPU、CPU、存储与带宽 |
| 模型接入层 | 统一模型网关、多模型路由、credit 计费 | 聚合第三方大模型，输出统一计量单位 |
| 共识与奖励层 | xmuse 专用链：验证者出块、链级周期铸造、Merkle 承诺、罚没 | 奖励与承诺的链上承载，秒级最终性 |
| 合规对接层 | HSP 机器支付、ZKID 身份、持牌上币通道 | 复用持牌基础设施，不自研合规能力 |
3.2 软件层：Agent 运行时与云主机
「3.2 软件层：Agent 运行时与云主机」章节链接运行时层是 xmuse 的核心资产，它决定用户体验的上限：
- 持久工作区：每个项目拥有独立的持久化工作区，会话之间不重置，上下文、文件与中间产物跨会话留存；
- 事件驱动触发：Agent 不仅可被时钟触发，还可被外部信号触发（邮件到达、数据变化、日历更新），支撑真正的异步自治；
- 精益加载：按任务动态装载能力模块，而非预载全部工具，这是控制 Token 成本的关键；
- 统一工具链：浏览器、代码执行、文件处理、外部 API 调用统一抽象，屏蔽底层节点差异；
- 算力配额感知：运行时实时读取账号的配额余量，在配额临界时提前告警并按策略降级任务，避免任务中途失败。
3.3 运行算力层：分布式节点网络
「3.3 运行算力层：分布式节点网络」章节链接运行算力层只承载一件事：Agent 的虚拟小主机——持久工作区、沙箱进程、工具链执行与长周期任务调度。大模型推理不落在矿工节点上，而是走独立的模型接入层。这条边界是刻意划的：把「轻量但常驻」与「重型但突发」两类负载分开，矿工只需为可预测的常驻负载配置硬件，模型侧则由专业服务商承担。
节点由三类角色构成，责任分离参照行业成熟做法。三类角色的奖励都只有网络代币这一种资产，统一由每周期铸造发行量按权重占比分配：
表 3-2 三类算力节点
| 节点类型 | 职责 | 激励来源 |
|---|---|---|
| 计算节点 | 执行 Agent 的沙箱任务与常驻负载，提供虚拟小主机 | 代币（按时空证明有效权重占比分配） |
| 验证节点 | 抽检在线率、算力真实性与任务成功率，出具时空证明 | 代币（同上，另计验证权重） |
| 索引节点 | 匹配任务与节点、维护路由与信誉 | 代币（由网络运维预算按代币计价发放） |
这里需要区分两个容易混淆的概念：节点是算力供给者，只负责提交时空证明并据此分得奖励，不参与出块；验证者是共识参与者，由质押产生出块权，并承担承诺上链与抽检核验的职责。大矿工可申请进入验证者集合，具体门槛与退出规则见 4.6 节。
3.4 模型接入层：大模型聚合与统一 credit 计费
「3.4 模型接入层：大模型聚合与统一 credit 计费」章节链接模型接入层是 xmuse 不自研模型、但必须自建的一层。它对外只暴露一个统一网关，对内聚合多家第三方模型服务商：
- 统一接入：同时接入多家主流大模型服务商与模型版本，按任务类型、成本与可用性自动路由，单家服务不可用时自动降级切换；
- 统一计量：把不同厂商按 token、按次、按算力等口径各异的计费方式，换算为平台统一的 credit，用户与开发者只面对一种计量单位；
- 订阅供给：credit 以订阅方式提供，分档位与有效期，用多少订多少；订阅收入扣除模型采购成本后的价差，构成平台的第二条收入流；
- 成本缓冲：平台以批量采购与多供应商比价平抑单价波动，把议价能力转化成用户的成本优势。
这一层的运营主体是基金会的商业公司，而不是代币协议本身：模型采购涉及商业合同、发票、SLA 与供应商结算，属于典型的商业运营事项，与链上经济循环天然分离。协议只负责 Agent 运行环境的代币发行与结算；模型 credit 的定价、订阅与结算由商业公司以常规业务方式处理，其税后收入按约定比例回注协议（见第 6 章费用分配）。
3.5 共识与奖励层：xmuse 专用链
「3.5 共识与奖励层：xmuse 专用链」章节链接奖励的发行与承诺承载于一条自建的专用链。采用自建而非租用通用金融链，是因为矿工奖励的负载特征与之不匹配：需要面向数以万计的长尾节点做周期性分发，而节点多为住宅网络中的闲置设备，既无法承担出块节点的在线要求，也不应被要求为领取奖励而额外购入第三方 gas 代币。
这条专用链遵循三条设计原则：
- 共识与算力解耦——出块权由验证者的质押量决定，矿工的算力权重只决定奖励分配。矿工只需运行证明客户端，交完时空证明即可，不承担出块义务；
- 链级周期铸造——每周期先铸造一笔全网发行量，再按有效权重占比分配，发行量由当期真实收入调节（见第 8 章）；
- Merkle 批量承诺——全网权重在链下计算并生成 Merkle 树，每周期只上链一笔根哈希，矿工自持证明按需领取。链上成本与节点数量脱钩。
建设路径采取两阶段：先经 RaaS（Rollup-as-a-Service）部署一条 EVM 兼容链跑通最小闭环，验证时空证明、周期铸造与奖励分发三者的协同；待机制稳定、网络规模成形后，再迁移至主权链，把时空证明与发行逻辑从合约层提升为链的原生模块，验证者席位同步完成社区化。
所有关键参数（权重构成、单价、k 值、回购比例、验证者门槛）由治理控制，链上可审计。
3.6 合规对接层：身份、支付与上币
「3.6 合规对接层：身份、支付与上币」章节链接合规与出入金不在 xmuse 自建，而是对接持牌生态既有能力：Agent 的链上身份对接 ZKID，机器间支付对接 HSP，上币依托持牌交易所通道。这一选择降低了自研合规成本，也让 xmuse 的 Agent 天然可被持牌生态接受。
本层只承载合规与出入金，不承载奖励的铸造与分发。专用链上的代币通过跨链桥与持牌通道对接，形成「奖励在专用链发行、合规由持牌生态承担」的分工。