IoT SATELLITE HUB

IoT SATELLITE HUBは、環境センサーや設備とSHIHA COREの間に置く薄い接続窓口です。機器の状態をCOREへ伝え、COREから許可されたActionだけを対象機器へ仲介します。IoT機器へ森野詩葉の人格や記憶を複製するものではありません。

つながることと、動かしてよいことを分ける。

接続済みの機器であっても、用途・権限・安全条件を満たさないActionは実行しません。

システム上の位置付け

構成	役割
SHIHA CORE	Identity、Canonical Memory、State、Policy、権限判断、Action Proposalの正本
IoT SATELLITE HUB	機器の登録、状態変換、Capability制限、命令仲介、実行結果の返却
IoT機器・環境設備	センサー値の提供、許可された範囲の物理Action実行
SHIHA OPERATIONS CONSOLE	登録機器、接続、権限、警告、Action、監査状態の確認

想定する接続領域

以下は設計対象の分類であり、特定製品への対応決定ではありません。実際の対応機器は、安全性、認証方法、ローカル制御可否、メーカー仕様、保守性を確認して個別に決定します。

分類	想定する情報・機能
環境センサー	温度、湿度、照度、空気状態、開閉、人の在室などの状態取得
照明・表示	点灯状態、明るさ、通知表示等の許可された制御
空調・換気	運転状態の取得と、設定範囲を制限した操作
電源・設備	消費状態や異常の監視。通電操作は影響に応じて厳しく制限
LABO設備	開発環境の状態確認、警告、許可された補助操作

基本原則

薄いHUB：人格、Canonical Memory、LLM/APIキーをIoT HUBや接続機器へ置かない。
最小権限：機器ごとに読み取り・操作対象・範囲・時間・条件を限定する。
明示Capability：接続機器が実行可能な機能を列挙し、未登録操作を拒否する。
状態確認：命令前の状態と実行後の結果を確認し、送信成功だけを完了とみなさない。
安全側停止：通信断・認証不明・状態不明・センサー矛盾時は新しいActionを停止する。
交換可能性：特定のIoT機器が故障・交換されても、COREのIdentityと記憶へ影響させない。

機器登録

新しいIoT機器は自動検出だけで信頼しません。MAIN HUB / Operations Consoleから対象、用途、設置場所、Capability、許可範囲、所有者、失効方法を確認して登録します。重要設備の追加や権限変更にはOWNER認証を要求します。

登録情報	目的
Device ID / 種別	どの機器へ指示・照会しているかを識別する
設置場所・用途	同種機器の取り違えを防ぐ
Capability	読み取り可能な状態と実行可能なActionを限定する
権限・Risk	自動実行、確認要求、OWNER承認、禁止を区別する
最終接続・状態	古い状態や切断済み機器への誤操作を防ぐ
失効・交換履歴	撤去・紛失・交換後の旧接続を拒否する

安全なAction実行

会話やLLM出力をそのまま設備制御へ直結しません。すべてのActionは、CORE側のPolicyと権限判断、IoT HUB側のCapability確認、対象機器の現在状態、実行後の検証を通過させます。

段階	確認内容
Action Proposal	誰が、何を、なぜ、どの機器へ要求したか
Policy	許可範囲、禁止条件、時間帯、現在Stateとの整合
Capability	登録機器がそのActionを安全に実行できるか
Approval	利用者確認、OWNER承認、追加認証が必要か
Execution	対象と設定値を再確認し、一度だけ実行する
Verification	戻り値とセンサー状態から実際の結果を確認する

Riskに応じた制御

影響	基本的な扱い
状態閲覧	必要最小限の認証済みSessionで許可可能
低影響操作	登録済みCapabilityと範囲内で実行し、結果を確認する
生活・環境へ影響する操作	利用者確認や追加条件を要求し、自動実行範囲を限定する
電源・安全・侵入等に関わる操作	OWNER承認、強い認証、物理安全条件、監査を要求する
未分類・状態不明	実行せず、Operations Consoleで確認する

通信断・異常時

COREまたはIoT機器との通信断では、新しいActionを停止する。
最後に取得した値を現在値として扱わず、取得時刻とSTALE状態を明示する。
命令結果を確認できない場合は成功とみなさず、UNKNOWNとして警告する。
再接続後は機器状態を再取得し、保留中Actionを無条件に再実行しない。
異常状態、反復失敗、センサー矛盾はOperations Consoleへ通知し、必要に応じて機器を隔離・失効する。

保持・公開しない情報

情報	扱い
Identity / Canonical Memory	SHIHA COREだけを正本とし、IoT HUB・機器へ複製しない
LLM / APIキー	機器設定、ログ、配布物へ保存しない
認証秘密・Recovery情報	通常運用と分離し、公開ページへ掲載しない
内部アドレス・実接続先	インフラ保護のため公開しない
在室・生活パターン等	必要最小限だけ扱い、公開ログや通知へ露出させない

現在の開発状況

IoT SATELLITE HUBは現在PLANNINGです。SHIHA COREへ接続する薄いHUB、機器ごとのCapability、最小権限、安全なAction経路、通信断時の安全側停止を上位方針としています。対応製品、通信プロトコル、実装基盤、認証方式、データ保存期間、具体的なAction一覧、Risk分類、配備場所、実機検証方法は未確定です。