SHIHA OPERATIONS CONSOLE

SHIHA OPERATIONS CONSOLEは、LABO-PC上のMAIN HUBからSHIHA COREと各HUBを監視・運用するための統合管理画面です。森野詩葉の人格や記憶を保持するCORE本体ではなく、COREの状態を確認し、安全な管理操作を行うための「運用窓口」として位置付けます。

見えること、操作できること、実行してよいことを分ける。

Consoleへの接続だけで重大操作を許可せず、権限・再認証・安全条件・実行結果確認を段階的に通過させます。

位置付け

対象	役割
SHIHA CORE	Identity、Canonical Memory、State、Runtime、認証、権限判断の正本
SHIHA OPERATIONS CONSOLE	COREとHUBの状態表示、管理操作、警告、監査、Recovery状態確認
MAIN HUB / LABO-PC	Consoleを常設し、OWNERによる統合運用と端末管理を行う環境
Satellite / Android HUB	COREへ接続し、用途ごとの入出力・身体・Actionを提供する接点

画面構成

領域	表示・操作内容
CORE	CORE Runtime、External LLM接続、Memory、State、Bootstrap状態の概要
HUB	登録HUB、接続状態、端末種別、最終接続、失効状態、権限範囲
SESSION	USER / OWNER Session、期限、接続元、再認証要求の状態
BODY	Android HUB、Head / Body I/O、電源、温度、Air、接続確認の概要
SAFETY	E-STOP、安全停止、異常状態、Action制限、接続不一致
SECURITY	認証結果、端末登録・失効、権限、重要操作の承認状態
VOICE	音声入出力、発話経路、利用HUB、ミュート・制限状態
CONNECTION	CORE―HUB間通信、再接続、遅延・切断、経路状態
LOGS	運用イベント、警告、エラー、監査対象操作、検証結果
ACTION	Action Proposal、承認、実行、結果確認の進行状態

優先表示する状態

COREが正常に起動し、正しいIdentity・Memory・Stateを読み込んでいるか。
接続中のHUBが登録済みで、想定した権限とセッションを使用しているか。
Android HUBの電源、温度、Air、E-STOP、接続確認が安全条件を満たすか。
警告・エラー・監査対象イベントが未確認のまま残っていないか。
Recovery、移行、再起動後の整合性検証が完了しているか。

OWNER認証

Consoleは日常監視と管理操作を分離します。状態閲覧や通常操作に必要な権限と、新規端末登録、重大設定変更、Recovery、R4 Critical操作に必要なOWNER権限を同一に扱いません。

操作	認証方針
通常監視	認証済みセッションで、許可された範囲の状態を表示する
OWNER管理	OWNER Sessionと操作権限を確認する
新規端末登録	MAIN HUB上でOWNER認証＋FIDO2を要求し、短時間の登録セッションを発行する
重大設定・Recovery	既存Sessionだけに依存せず、新しい強いOWNER認証を要求する
Critical Action	対象、影響、安全条件、承認、実行結果を明示して監査へ残す

端末管理

登録端末は、端末名だけでなく、HUB種別、公開鍵、権限範囲、登録日時、最終接続、失効状態をCORE側で管理します。スマートフォン等の端末秘密鍵は端末の安全領域から取り出さず、Consoleは公開鍵と登録状態を扱います。

新規HUBの登録と短時間registration sessionの発行
登録済みHUBの権限確認と必要最小限化
紛失・交換・異常端末の失効
最終接続・認証結果・Session状態の確認
端末交換後もIdentityとCanonical Memoryを引き継がない薄いHUB構成の維持

安全なAction実行

LLMの出力を直接危険操作へ接続しません。Consoleでは、提案から実行結果確認までの各段階を分け、現在どこで停止・保留・拒否されているかを確認できる構成とします。

段階	Consoleで確認する内容
Action Proposal	要求元、目的、対象、想定結果
Policy	許可範囲、禁止条件、現在Stateとの整合
Capability / Approval	実行主体の権限、OWNER承認、追加認証
HUB	実行先HUB、接続状態、安全状態
Execution	実行開始、進行、停止、失敗
Verification	センサー・戻り値・状態変化による結果確認

警告・監査・Recovery

警告とエラーは重要度、対象、発生時刻、現在状態、必要な対応を分けて表示する。
OWNER操作、権限変更、端末登録・失効、Critical Action、Recoveryは監査対象とする。
Recoveryは通常ログインの迂回路にせず、独立した強い確認と監査を要求する。
Recovery後はIdentity、Memory、State、監査履歴の整合性を検証する。
秘密値やMemory本文をそのままログ・通知・公開画面へ表示しない。

公開しない情報

非公開対象	理由
秘密鍵・APIキー・認証秘密	不正接続・権限奪取を防ぐ
Canonical Memoryの内容	人格・個人情報・継続性を保護する
Recovery data	通常認証の迂回と復旧経路の悪用を防ぐ
内部アドレス・実接続先	インフラ構成と接続面を保護する
詳細な防御設定・監査保存構成	安全設計の弱点推測を防ぐ

現在の開発状況

SHIHA OPERATIONS CONSOLEは現在DESIGNINGです。CORE、HUB、Session、Safety、Security、Logs、Action、Connectionを一つの運用面へ統合する役割と、安全操作・端末登録・Recoveryの基本フローを確定しています。正式なRuntime実装単位、WebAuthn API、DB構成、監査保存期間、詳細なR1〜R4分類、最終配備方式は実装設計で確定します。