发行机构签发身份
MID 与 MCID 的权威来自合规发行机构，终端不越过制度边界。
MSD 可信终端分支
Meridian
Phone
授权→身份→终端→证据
可信身份终端 · 承载 MID · 不签发身份。它是一件安全访问之物，服务于已经被制度承认的人。
它是一台可信终端，让制度签发的 MID 与 MCID 进入日常：出示身份、批准访问、签署记录，并在设备丢失后恢复控制权。
身份锚定
受治理访问
隐私优先
可审查证据
Care、Kids 与 One 是三类访问终端：长辈辅助、儿童受监护凭证、成人政务与日常访问。三台设备，一套有制度边界的信任架构。
承载身份MID 与 MCID 仍由机构签发；终端只负责持有与出示。
保护访问TEE、安全芯片与 MPC 恢复机制保护日常政务动作。
不是手机营销不做生活方式升级叙事，不做市场账户叙事，不做消费电子炒作。
3角色版本
TEE + SE硬件信任根
Path A设备纲领边界
0 短语MPC 阈值签名
PRECEDENT · 先例印信 → 通关文牒 → 护照 → MID
VERBS · 设备做什么承载 · 验证 · 恢复 · 分离 · 审计
STANDARDS · 标准W3C DID/VC · FIDO2 · ISO 18013-5
安全根TEE + SE · MPC 阈值密钥
BOUNDARY · 边界Path A · 承载，不签发
为什么是一台手机
每一种文明，都要回答同一道题：
如何让一个人，被识别、被相信、被当作他自己。
早先，我们用印信，用通关文牒，用一本盖了钢印的护照。今天，这道题被搬到了数字世界，需要重新回答一次。领境特区——一套面向数字时代的身份与服务制度框架——给出了制度上的答案；Meridian Phone，是把这个答案从档案里取出、放进日常里的那台设备。它本身不发明身份，它只是让 MID 与 MCID，能被一个普通人，从清晨到深夜，用得起来。
公共体系先确认一个人是谁，而不是先把他变成一个账号。
信任来自签发、验证与审计，不来自屏幕截图或平台承诺。
身份要能从档案和后台走到柜台、学校、家庭与日常服务里。
终端承载关系，不占有关系；出示资格，不暴露整份人生。
这道题的难处在另一边：每一种身份制度，都会有它没顾到的人。无家可归者、不识字的老人、外来务工者、残障人士、无国籍者——他们最需要一份被承认的关系，又最容易被表格、二维码与需要登入的应用挡在门外。一份值得被信任的数字身份，要先承认这些被忽略的人；一台想要承担它的设备，要从一开始就为他们留一道门。
这也是为什么——在一切都被软件化、什么都不再被拿在手里的时代——还需要一件可以被握住的物。当关系完全消失成代码，它就容易被任意复制、任意撤销、任意遗忘。一件被信任的物，握在手里那一下，本身就是一种克制：它提醒所有人，身份不只是一行数据，是一个活着的人在场。
身份长期住在数据库里，不在生活里
过去十年的数字身份大多停留在后台系统中——人要使用自己的身份，得先登入别人的产品。
设备成为身份的"家"
当身份能被妥善承载在一台个人设备里，它就从一个"账号"，变成一份"成员资格"——人不再是在别人的产品里登入，而是带着自己被承认的样子，走进每一个场合。
设备承载，制度签发
手机不签发身份。它只是签发之后，那个让身份被安全携带、被快速出示、必要时也能被放下的容器。
每一次出示，都更值得相信
验证方相信的是凭证，不是屏幕；用户出示的是一项资格，不是整份资料——一次次出示，留下的是被信任的痕迹，而不是被泄漏的踪迹。
PATH A · 设备纲领
设备做什么 ·
设备做什么 ·
设备不做什么。
这一条边界，是这台机器愿意被一个国家郑重审阅的起点——它写在硬件里，也写在制度里。下面三条是它的承担，下面三条是它的克制——一台值得被托付的设备，要同时说清这两件事。
✓
承载 已合规签发的 MID 与 MCID，并提供选择性披露与受控离线使用。
✓
验证 来自他方的可信凭证，输出审计就绪的事件记录。
✓
恢复 通过 MPC 阈值与监护人机制，让丢机不等于丢身份。
✕
不签发 MID 与 MCID——签发归发行机构，手机不越界。
✕
不存储 原始身份资料与生物模板的明文——仅保留受保护表征。
✕
不提供 医疗、用药与诊断功能（合规由更高级别专用器械承担）。
终端接收与出示凭证，但不成为签发者。
承载、验证与恢复是受限设备功能，而不是新的身份制度。
不暴露源数据，不作医疗主张，不越过授权范围扩张。
三机一系 · 三种关系，一套系统
一个家庭里，
三代人共用一套被信任的关系。
一个家庭不只有一种关系。一个人会变老，一个孩子会长大，一个成年人在中间——撑着两头。我们做了三款机器，让一个家里这三代人，被同一套身份制度温柔地承担：长辈被守护，孩子被陪伴，成年人被托付以日常。它们共用同一套底层系统，但每一款，只专心做好一件事。
为长辈而设
Care 不是一台大字号手机。它是面向长辈的访问终端：家庭授权、紧急协助、服务入口与简明政务台都被放进边界里，让帮助能到达，而体面不被拿走。
- 家庭授权与可控的代理代办
- 跌倒检测 · SOS · 用药提醒（提示性、非医疗）
- 电话与服务双入口，远程协助通话
- 简明的政务与水电服务台
为孩子而设
Kids 不是一台小一号的成人手机。它承载由父母派生的子凭证，服务于校园、通行与学习；制度负责签发，家庭负责监督使用。
- 父母派生子凭证（非学校签发，符合 Path A）
- 家庭白名单 · 时段管理 · 步行轨迹温和共享
- 不含成瘾性社交与不适内容的应用台
- 校园通行、公交、阅读与学习入口
为公民日用
One 面向成人日常，把 MID 与 MCID 放在同一台可信终端里：身份证明、可信受理、企业服务与恢复机制，都在一个可被审阅的边界内完成。
- MID / MCID 承载与选择性披露
- 可信受理 + 政务台 + 企业服务三合一
- MPC 阈值访问，无恢复短语的安全恢复
- 受控离线受理与延迟结算
三档采购层级，不是消费零售价格表。它们对应一个家庭里三种不同的位置：孩子的入门、成年人的主力、长辈的关怀。一个家庭可以从这道阶梯上走过去，三代人，共用同一套被信任的关系。
架构 · MID 生命周期
身份是有一生的：
申请、核验、签发、日常、恢复、撤销。
身份不是一次性发生的事，它有自己的生命：从一份申请开始，被核验，被签发，被日常地使用；偶尔遗失，需要被恢复；终有一天，也会被撤销——这条路上一共六段，关系到四种人。Meridian Phone 在这条生命周期里，刻意不是签发机构。它只做四件事——承载、协助、记录、保护。这种克制，本身就是它能够被一个国家郑重审阅的理由。
阶段
申请
核验
签发
日常
恢复
撤销
发行机构
●
●
●
○
●
●
Meridian Phone
○
○
·
●
○
○
监护人 / 家人
·
·
·
○
●
·
验证方 / 服务方
·
·
·
●
·
·
主责
协助 / 承载
○ 间接参与 · · 不参与
身份的权威在制度；手机的权威，只在"承载"这一件事上。
这不是局限，而是设计——一件被人托付的物，必须既被信任，也被边界约束。
MPC 阈值访问
一个人不该因为一次记忆失误，
就失去自己十年的关系。
传统短语式找回已经暴露了弱点：当一串需要记住的文字成为唯一归路，普通丢失就可能变成永久锁定。Meridian Phone 用 MPC 阈值方案，把签名权限分布在设备、托管方与监护人三处：任何一方都无法独自动作，但任何一处出问题，访问权都能在另外两处的配合下被恢复。身份访问不再握在一段冷冰冰的文字里，而是托付在一个有人陪着的小网络里。
更要紧的是：访问能力不是身份。它只是 MID 在制度足够成熟之后，才被授予出来的一项资格——先有身份，再有结算；先有关系，再谈金额。
2-of-3
阈值密钥
设备 · 托管方 · 监护人
- 无明文密钥
- 无恢复短语
- 分布式生成
Recovery
设备恢复
社交监护 · 重新核验
- 新设备配对
- 身份再核验
- 状态可追溯
REVIEW SURFACE
四类证据面，让审阅者知道它在保护什么、证明什么、拒绝什么。
对政府与机构而言，可信不应只来自供应商承诺，而应来自可审阅的边界、可验证的设备状态、可复核的恢复过程，以及不越界的服务留痕。
签发边界
MID / MCID 的来源、授权链与撤销权归发行机构；终端只记录承载状态。
设备证明
TEE、SE、设备状态与受控应用版本，形成可核验的终端证明。
恢复记录
新设备配对、监护人参与与重新核验步骤，留下可追溯的审计轨迹。
服务留痕
每次受理只保留必要事件证明、时间戳与签名，不把原始身份资料公开。
运行流程 · 可信受理与政务台
把可被信任的受理，
放回到柜台两端的人之间。
在小镇上买一份早饭、在医院开一张方、在律所签一份合同——每一次受理之前，本就有一段关系：谁在场、谁被授权、谁替谁担保。十年里，我们把这段关系，缩进了一个二维码后头。Meridian Phone 想把它放回来：当 MID 与 MCID 同时在场，一次服务不必每次都从"你是谁、我是谁"重新解释——信任，回到了柜台两端的人之间。
第 01 步
互证身份
服务方 MCID 与公民 MID 同时出示证明：谁在场、哪一个服务台正在受理、谁承担授权责任，都被签名记录。
第 02 步
选择最小披露
用户只出示本次服务必需的那一项资格——例如"已满 18"或"持有营业资格"——不交出额外资料。
第 03 步
受控结算
第一阶段不开放公开外部转移路径；结算走受监管通道，结算证明回写到 Meridian 证据层。
第 04 步
留下可被复核的痕迹
事件哈希、时间戳与签名记录被锚定到记忆层，可在合规审查中被独立验证。
一站式办理
- 身份证明、资格查验、表格预填。
- 居住地通知、授权事项、申诉与续期。
- 选择性披露：能证明，而不必交出全部资料。
主体与代表
- 主体状态、授权代表与受理能力可视化。
- 对外出示可被验证的资质，无需冗长尽调。
- 可信受理、凭据与服务关系成体系。
安全 · 隐私 · 边界
信任不能写在广告里，
它要写在三个地方。
一颗芯片，一段流程，一份审计——可被信任的事物，从来都不靠口号。Meridian Phone 把可被信任的部分写进硬件，把可被审阅的部分写进制度，把不该存在一台个人手机里的东西，留在受控的环境里。三处都站住了，一台设备才配得上"被托付"这三个字。
TEE + SE 双层
关键操作运行在可信执行环境里，凭证密钥落在安全元件中——不被普通应用接触，不被 OS 越界读取。
ISO/IEC 24745 表征
不存原始指纹或面部图像，只存可撤销、可重新生成的受保护表征——丢机也不等于生物特征泄露。
STRIDE 全分类
从克隆、回放、降级到供应链植入，每一类威胁都有对应的硬件、协议或制度控制，并被列入威胁模型文档。
Security boundary model
可信不是单点能力，而是一组可以被审阅的边界。
身份数据在哪里、密钥在哪里、生物表征在哪里、什么可以进入证据层，都必须有清晰回答。Meridian Phone 把这些回答拆成四条边界，使个人隐私、机构责任和审计证据各在其位。
硬件信任根
密钥和凭证绑定在 TEE + SE 的设备结构中。普通应用只能请求结果，不能读取根材料。
本地生物表征
生物特征不作为原始图像外流，只在本地生成受保护、可撤销、可重新生成的表征。
阈值恢复机制
恢复、换机与撤销不依赖单一管理员。关键动作需要多方授权，降低内部滥用风险。
证据最小化
证据层记录状态、签名和审计痕迹，不把个人隐私搬进公共记录或第三方系统。
面向外部审阅而设计
硬件 BOM、安全基线与威胁模型在量产前定稿；设计阶段就开放给独立第三方审阅。
受信任的产线
安全元件在受控产线预注密钥，每一台设备都可被追溯到来源——供应链植入有应对。
透明的安全更新
所有更新都被签名；漏洞被发现到修复，有公开的时间线，不靠默不作声。
有尊严地放下
设备退役时凭证被安全销毁，硬件可被回收——不留废墟，也不留遗忘的密钥。
边界写在合同里
运营方与制度方的责任各有边界。任何一个环节出问题，有人对它签字、对它负责。
开放标准对齐
不重新发明身份，
站在全世界已经被信任的轨道上。
一台手机想被全球的验证方相信，靠的不是品牌名，而是它会讲国际通用的身份与认证语言。这种语言不是由一家公司说了算，而是 W3C、FIDO、ISO 这样的开放组织，由许多国家与许多研究者一起，慢慢约定出来的——它属于这个时代的所有人。Meridian Phone 与下列标准保持对齐，凭证、认证与互操作性，不被任何一家公司锁住。
INTEROPERABILITY RAILS
标准不是装饰性的引用，而是让一个辖区可以被世界理解的接口。
Meridian Phone 把身份标识、凭证模型、设备认证和保证等级拆成四层轨道。每一层都指向已有国际规范，避免把公共身份基础设施锁进单一供应商或单一辖区的技术孤岛。
身份与凭证
W3C DID / VC 定义谁签发、签给谁、证明什么，以及如何选择性披露。
设备与认证
FIDO2 / WebAuthn 让关键访问绑定到硬件与本地在场，而不是密码或短信。
监管凭证
ISO 18013-5 与相关移动凭证规范，支撑柜台、离线与监管场景中的验证。
保证等级
NIST IAL / AAL / FAL 与 EUDI 对齐路径，让不同服务匹配不同核验强度。
去中心化标识符
身份标识与解析协议，凭证主体与发行方共用同一套规范。
可验证凭证
结构化、可被签名验证的凭证模型，支持选择性披露。
无密码认证
设备绑定的强认证，凭证与生物表征不离开本机。
身份联合
身份与可验证凭证的传递协议，连接第三方服务方。
移动驾照与同类凭证
面向监管场景的移动凭证传输与离线验证规范。
生物模板保护
受保护、可撤销的生物表征——不存原始模板。
欧盟数字身份框架
欧盟官方数字身份框架，提供长期可对齐路径。
身份保证等级
IAL / AAL / FAL 分级——不同服务匹配不同核验强度。
本地化与公共可及性
一份采购框架，
在不同辖区里活成不同的形状。
试点期设备层级不是零售目录。落到一个具体的合作辖区，它会被本地化、被补贴、被减免——一个身份制度有没有顾到那些最容易被忽略的人，最后看的不是宣言，而是落到一份采购清单与一份减免方案上。下面是这份框架在现实里通常会变成的样子。
与发行机构共定
每一个合作辖区在最终采购阶段，与发行机构共同确定本地化价格——不强求全球统一，让一台机器在它要被使用的地方，变成那个地方负担得起的样子。
- 辖区计价 · 由发行机构与辖区共同确定
- 批次采购可触发台阶式采购条件
- SLA 与服务条款随辖区合同确定
先为容易被忽略的人留位
面向无家可归者、不识字的长辈、外来务工者、残障人士与无国籍者，预留分级减免与无障碍配置——一份身份系统的可信，先取决于它有没有为这些人留下入口。
- 分级减免与零成本入口
- 无障碍模式（语音、放大、对比度、单手）
- 无固定地址者的核验路径
采购、教育、长辈关怀
面向公务、教育、医疗与社保系统的批量采购通道，能与各辖区的预算与代际方案接轨——Care 在合作辖区可纳入长辈关怀计划，由政府 / 家庭 / 慈善三方共担成本。
- 政府批量采购框架
- 校园 / 医保 / 社保配套方案
- Care 长辈关怀三方共担机制
层级标签不是零售定价，是采购讨论的起点。每一个合作辖区落地时，补贴模式、采购框架与减免方案，都由发行机构与辖区政府共同决定——并写进双方都能引用的合同里。
PUBLIC ACCESS COMPACT
可及性不是附加优惠，而是身份制度的基本交付条件。
如果一台身份终端只能服务已经便利的人，它就不是公共基础设施。Meridian Phone 的本地化框架把采购、减免、无障碍与公共服务入口放在同一张制度表上，让每一个辖区都能清楚说明：谁先被覆盖，谁可以减免，谁负责服务，谁保留最终治理权。
辖区采购
按本地预算、币种、服务范围和发行机构责任，形成可审阅的采购条件。
减免入口
为无固定地址者、长辈、残障人士、无国籍者和低收入群体预留入口。
无障碍配置
语音、放大、强对比、单手模式与柜台辅助流程，作为部署要求进入合同。
公共服务通道
教育、医疗、社保、关怀机构与政务柜台共同定义首批受理场景。
试点路径
一座新的城，
不该在一夜之间冒出来。
Meridian Phone 也是。我们倾向从一个清楚的试点辖区开始——在那一座城里，把身份、可信受理、政务与恢复机制一一跑通，让一份制度在一组真实的关系里慢慢长稳。跑稳了，才讨论下一座城。一种被认真做的事物，应当被允许慢一些。第一座城从来不是"试点市场"，它是合作者——它愿意第一个采纳一份新制度的耐心，正是这件事变得可信的开端。
地基与制度
明确发行机构、签发流程、Path A 边界与试点审阅材料；硬件 BOM、安全基线与威胁模型在量产前定稿。
One 主力上线
面向公民的标准版本先行。MID 承载、可信受理、政务台与基础审计跑通——验证基础设计成立。
Care 与 Kids 加入
在 One 跑通的同一套系统上扩展长辈版与儿童版；家庭授权、监护人恢复与派生子凭证依次开放。
跨辖区互操作
与其他采纳同套标准的辖区互认凭证；结算与更多服务作为受监管扩展逐步纳入。
每一阶段，都对应一组先就位的控制——先有边界，再添功能；先有审计，再谈规模；先有信任，再讲扩展。这是一种慢，也是一种把事情做到值得被信任的耐心。
ADOPTION GATES
试点不是先上线再解释，而是先通过四个闸门。
每一个合作辖区进入部署前，都应当先完成制度授权、设备证明、服务受理与公众保护四类审阅。这样，试点不是一次市场测试，而是一项被负责任地启动的公共制度。
制度授权
明确发行机构、签发权限、撤销权、运营边界与政府保留的主权位置。
设备证明
完成硬件 BOM、安全基线、供应链追溯与第三方审阅材料。
服务受理
选定首批政务与服务场景，确认柜台、企业、学校或关怀机构如何核验。
公众保护
设置申诉、撤销、恢复、减免、无障碍与弱势群体入口，先保护人，再扩展功能。
REVIEW DOSSIER
政府拿到的不是一台机器，而是一份可审阅的部署档案。
01
02
03
04
真正的试点审阅，应当让每一项权责、证据、受理场景与公众保护都能被同一张表追踪。这样，Meridian Phone 不是先进入社会再补制度，而是在制度可以看见、可以质询、可以暂停的条件下进入社会。
法律与授权
发行机构、签发权、撤销权、运营边界与政府保留权力。
设备与供应链
硬件清单、安全基线、密钥边界、生产批次与第三方审阅。
服务与受理
首批政务、柜台、学校、医疗或关怀场景的核验与审计流程。
公众保护
申诉、恢复、撤销、减免、无障碍与弱势群体入口。
常见问题
先把容易被误解的问题，
诚实地答清楚。
这一节是给政府审阅者与采购方写的——先把容易被误读的几道题答清楚，再讨论真正的细节。一份制度愿意被先质疑、再讨论，是它配得上被信任的开端。
Meridian Phone 会签发身份吗？
不会。手机不签发 MID 或 MCID。签发权归发行机构。设备只承载、协助、记录与保护。
Care 是医疗设备吗？
不是。Care 提供陪伴与提示（跌倒、用药提醒），不提供诊断、治疗或处方功能；医疗合规由专用器械承担。
Kids 的"学生身份"从哪里来？
来自家长授权下的派生子凭证（parent-derived sub-credential），不是学校直接签发——符合 Path A 边界。
丢机会丢身份吗？
不会。MPC 阈值方案让任何一片都无法独自动作；通过监护人与重新核验流程，可在新设备上恢复访问。
身份资料会进入公开账本吗？
不会。证据层只锚定哈希、状态与时间戳等可验证证明；原始身份资料留在受控环境，必要时可被删除。
面向哪一类辖区？
面向有清晰数字身份立法、可指定发行机构、并愿意采用 W3C / FIDO / ISO 等开放标准的合作辖区。
为什么不是一个 App，而要做一台手机？
因为身份不只是一个登入步骤，它需要一个被信任的硬件根。一个 App 可以被卸载、被替换、被截屏；一台被认真造的设备，能在硬件层（TEE + SE）守住边界，让"承载身份"这件事，不只是软件的承诺，而是物理结构上的事实。
与 Apple 凭证容器、EUDI 等框架是什么关系？
互补，不互斥。Apple 的凭证容器是商业生态里的票务与凭证表面；EUDI 是欧盟的官方数字身份框架；Meridian Phone 是一台符合 W3C / FIDO / ISO 的设备，可以在合规辖区里与相关框架互操作——不锁定，不替代，也不假装能取代它们解决不了的问题。
公共审阅记录
一台终端进入公共体系之前，必须先说明它接受哪些审阅。
Meridian Phone 的完成度，不只来自界面和硬件外观，而来自它愿意把产品边界、技术依据、试点条件与政府保留权力放在同一张审阅表上。
MID / MCID 的权威归发行机构；终端只负责安全持有、出示、批准与恢复。
TEE + SE、W3C DID/VC、FIDO2、ISO 18013-5 与 MPC 阈值恢复构成审阅基础。
法律授权、设备证明、服务受理与公众保护四个闸门先完成，才进入规模化。
采纳辖区保留最终治理权；运营方、供应商与发行机构的责任写入协议。