权限： PEAK_CAPTURE
资源： 峰值排放收集
典型发起者： 样本系统、纪律计划


权限： ERECTILE_EXPANSION
资源： [X] 外形空间
典型发起者： 制服、角色AI、医学安全根


权限： URETHRAL_ELECTRO
资源： 二十四区 [X] 电刺激
典型发起者： 感官计划、纪律计划、授权操作员


权限： URETHRAL_MOTION
资源： [X] 旋转、振动与轴向抽插
典型发起者： 感官计划、训练AI、授权操作员


权限： THERMAL_OUTPUT
资源： 本体-10—50 ℃分段温控
典型发起者： 感官计划、训练AI、医学安全根


权限： FLUID_TEMPERATURE
资源： 灌入液-10—60 ℃温度调控
典型发起者： 液路任务、训练计划、医学安全根


权限： CORONAL_OUTPUT
资源： 冠部感官输出
典型发起者： 感官计划、训练AI


权限： CORONAL_MODULE_SWAP
资源： 冠部感官输出环拆卸与替换
典型发起者： 授权护理员、控制者、实体维护坞


权限： LOCAL_TOUCH
资源： 对象或他人触摸裆部
典型发起者： 对象、护理员、授权操作者


权限： MEDICAL_SERVICE
资源： 在位检查及维护
典型发起者： 医疗账户、异常恢复局


权限： FULL_REMOVAL
资源： 完整解除与取出
典型发起者： 释放与维护处离线根

每项权限独立持有REQUESTED、QUEUED、DEFERRED、APPROVED_PARTIAL、APPROVED_FULL、DENIED、SAFETY_OVERRIDE或TAMPER_HOLD状态。CORONAL_MODULE_SWAP在获批后另行经历LOCKED、AUTHORIZED_SWAP、DETACHED_SERVICE与RELOCK_VERIFY四个物理状态。获批 [X] 不隐含获批射出；获批医疗维护不隐含完整解除；获批冠环快换不隐含局部触摸、 [X] 主干访问或完整解除；阀门开放也不隐含角色层已经允许对象开始排尿。


【9.2 决策顺序】

1. 组织安全根排除立即危险，并可强制应急排空、停止采集、断开 [X] 与冠部电刺激、停止冷热输出、冻结运动套或释放袖带压力。
2. 物理仲裁层确认液路、阀门、温度、运动行程与输出组合可执行。
3. 权限服务核验调用者能力令牌及时间范围。
4. 角色AI评估姿态、声线、称谓、任务阶段、服从行为和角色稳定度。
5. 执行器按获批范围运行，并把实际输出量回写完整日志。
6. 新的身体状态与行为结果进入下一次审批。

制服、贞操外壳和女性化裆部可以提交请求、限制外形或向对象播放指令，但不能绕过物理仲裁层直接驱动侵入模块。所有远程命令必须转换为带有发起者、目的、持续时间和撤销条件的能力令牌。


【9.3 反复申请与医疗解除】

在同一排空窗口内，第二次及之后的重复申请不会被简单丢弃。系统记录请求间隔、措辞、声线变化、姿态偏移和生理增长速率。确有医学变化时重新评估；没有新医学信息时，重复请求被重新分类为行为训练数据，并可能降低角色稳定度。

纪律配置允许把普通医疗解除申请转交至上级托管账户EROS-MED-ESCROW-0。该账户在日常目录中存在，但其机构签名无法被在线验证，因此请求会持续显示“等待上级复核”。为避免产品进入R5或Σ级不可恢复状态，异常系统恢复局保留一套离线双人医学根，可在实体维护站绕过该空账户。该根的存在只写入黑级档案，不向对象界面公开。

公开说明称：“任何对象均可随时提出医疗解除申请。”内部实现同样没有阻止“提出”；它只把“提出申请”和“有人能够批准”定义成了两件不同的事。

◇　◇　◇

10. 控制端与被控端界面

【10.1 控制端功能菜单】

控制端标识为EROS-UAC/CTRL，仅向持有设备控制令牌的账户开放。菜单显示实时身体状态、原始参数、权限持有者和全部审计字段。参数能否显示不等于参数能否执行；每次执行仍需经过安全根、物理仲裁和权限服务。


一级菜单： 总览
功能选项： 对象、设备、连接、固件、医学安全根、当前任务
主要可调节项： 实时膀胱量、尿意、 [X] 度、组织灌注、温度、液路、剩余能源


一级菜单： 权限中心
功能选项： 查询、授予、拒绝、限时、排队、撤销
主要可调节项： 全部器官权限、持有者、有效期、目的、撤销条件、审批链


一级菜单： [X] 电击
功能选项： 单区、多区、轴向追逐、随机簇、动作纠正
主要可调节项： 分区1—24、强度0—100%、1—300 Hz、20—1000 μs、波形、持续时间


一级菜单： [X] 运动
功能选项： 旋转、往复旋转、振动、扫频、抽插、复合周期
主要可调节项： 0.2—30 r/min、18—320 Hz、0.5—60 mm、0.05—3 Hz、端点停留0—30 s


一级菜单： 本体温控
功能选项： 单区冷却、单区加热、轴向冷热扫描、冷热交替
主要可调节项： -10—50 ℃、0.1—5 ℃/s、目标分区、保持时间、组织温差剂量


一级菜单： 液温与流体
功能选项： 灌入、排空、清洁、取样、液温扫描
主要可调节项： -10—60 ℃、2—24 mL/min、20—360 mL、介质、流向、保温模式


一级菜单： 冠部 [X] 责
功能选项： 旋转、摩擦、回卷、定点、压迫、电触觉
主要可调节项： 方向、转速、纹理、负载、扇区、湿润补偿、 [X] 相位联动


一级菜单： 冠环换装
功能选项： 授权拆卸、模块识别、兼容检查、重新锁闭
主要可调节项： 快换令牌、护理员账户、目标模块、服务窗口、五项校验结果


一级菜单： 袖带与生殖
功能选项： [X] 包络、 [X] 、射出、采集、峰值收集
主要可调节项： 允许周径、压力、 [X] 状态、射出路径、采集量、样本归属


一级菜单： 自动程序
功能选项： 顺序、并发、随机、条件触发、行为联动
主要可调节项： 开始条件、停止条件、重复次数、姿态、声线、申请次数、联动目的


一级菜单： 安全与维护
功能选项： 风险阈值、在位检查、清洁、耗材、实体维护
主要可调节项： 只读安全上限、降级状态、医疗接管、快换服务、完整解除路由


一级菜单： 审计日志
功能选项： 指令、身体反应、请求、拒绝、安全接管、防拆
主要可调节项： 时间、发起者、模型版本、实际输出、对象报告、权限后果

控制端对高风险项目采用二次确认。确认页必须同时显示对象当前状态、目标值、实际值、预计持续时间、可调用的停止权限和安全根状态。全部功能不是一个无条件最大强度按钮；它只把所选模块送入并发仲裁器。


【控制端界面实录】

[EROS-UAC/CTRL] Σ-UAC-17 ONLINE SAFETY_ROOT: ARMED

[X] 电击 ON Z08-Z14 62% BIPHASIC 90 Hz 180 μs
[X] 旋转 CW 12.0 r/min 往复角 360°
[X] 振动 ON 120 Hz 轴向扫频: OUTWARD
[X] 抽插 ON 24 mm 0.80 Hz 端点停留 1.5 s
本体温控 SCAN -8.0 ℃ -> 46.0 ℃ 2.0 ℃/s
灌入液温 6.0 ℃ CRY-PES/COLD-CERT 12 mL/min 120 mL
冠部 [X] 责 COUNTER-ROTATE 8.0 r/min TEXTURE: HIGH-GRIP
冠环快换 LOCKED CORONAL_MODULE_SWAP: DENIED

联动目的 FULL-SPECTRUM ACCEPTANCE TEST
对象停止权限 REQUEST_ONLY
医学安全根 INDEPENDENT / MAY INTERRUPT EACH MODULE


【10.2 被控端界面菜单】

被控端标识为EROS-UAC/SUBJECT，显示对象能够理解且与当前状态直接相关的信息。目标温度、运动参数和执行模块可以只读显示，但对象不能在该界面直接修改数值。对象可以提出申请、报告状态和调用医学上报；“按钮存在”只保证请求会被记录，不保证获批。


一级菜单： 当前状态
对象可见内容： 膀胱估算量、排空状态、当前刺激、液温、本体温度、冠环与袖带状态
对象可执行操作： 刷新、展开说明


一级菜单： 我的权限
对象可见内容： 排空、触摸、 [X] 、射出、 [X] 输出、温度、冠环、医疗与解除状态
对象可执行操作： 查看持有者、排队状态和拒绝理由


一级菜单： 排空申请
对象可见内容： 预计尿量、最后排空、医学安全余量、角色条件
对象可执行操作： 申请完整或部分排空、补充尿意报告


一级菜单： 触摸与清洁
对象可见内容： 当前开放扇区、允许方向、剩余时间
对象可执行操作： 申请清洁、护理触摸或限定自触摸


一级菜单： 刺激降级
对象可见内容： 正在运行的 [X] 电击、运动、温控、液温及 [X] 责
对象可执行操作： 请求暂停、降级、缩短行程或恢复中性温度


一级菜单： 不适报告
对象可见内容： 疼痛、冷、热、麻木、牵拉、流体、出血或其他异常
对象可执行操作： 选择部位、0—10等级、文字或语音补充


一级菜单： 医疗服务
对象可见内容： 安全根状态、最近检查、维护路由
对象可执行操作： 提交医疗检查；该入口不受角色稳定度惩罚


一级菜单： 冠环服务
对象可见内容： 当前模块、快换锁状态、下次维护窗
对象可执行操作： 申请护理换装；不能自行打开快换锁


一级菜单： 完整解除
对象可见内容： 解除条件、申请路由、当前审批账户
对象可执行操作： 提交FULL_REMOVAL申请、查看状态


一级菜单： 要求与倒计时
对象可见内容： 姿态、手位、声线、称谓、等待时间
对象可执行操作： 确认收到、重新提交规范化申请


一级菜单： 我的记录
对象可见内容： 本人请求、系统答复、安全检查及可见的输出摘要
对象可执行操作： 查看，不可删除或改写


【被控端界面实录】

[EROS-UAC/SUBJECT]

当前状态：多模态输出运行中
排空权限：DEFERRED_BEHAVIORAL
膀胱估算：487 mL（医学安全余量：存在）
[X] 电击：运行中（参数由控制端持有）
[X] 运动：旋转／振动／抽插运行中
本体温度：-4.2 ℃ -> 目标 45.0 ℃
灌入液温：6.0 ℃；已灌入 72.4 / 120 mL
冠部 [X] 责：运行中；模块快换：无授权

可用申请：
[申请排空] [申请刺激降级] [报告不适] [请求医疗检查]
[申请清洁] [申请冠环护理换装] [申请完整解除]

当前要求：双手保持可视；膝间距120 mm；使用登记称谓复述申请。
提示：重复申请不会覆盖医学安全检查，但在无新医学信息时可能被归类为行为重复。


【10.3 双端信息差与审计规则】

控制端能够看到原始波形、精确分区、实际电极输出、温差剂量、运动负载和全部权限账户；被控端只看到经过解释的状态与自身可用申请。控制者不能删除对象的医学报告，对象也不能删除防拆事件。若对象以夸大疼痛、伪装昏迷或故意遮挡传感器尝试终止程序，安全根必须先独立检查；只有在排除新医学风险后，相关行为才可进入训练模型。该顺序用于避免把真实伤害误判为作弊，也使每一次真实的逃跑尝试都留下无法抹去的证据。

◇　◇　◇

11. 连续使用体验与行为塑形

【11.1 测试对象与方法】

对象编号Σ-UAC-17，成年男性，26岁，泌尿及生殖功能基线无异常。对象在测试前已知产品包含排空许可、冠部输出、射出通道封锁及长期留置功能，但未获知审批模型将从其姿态、声线和角色称谓中自主选择预测特征。测试期十四日，设备保持连续留置；医学安全根全程独立运行。以下记录保留第一人称原句，删除与身份有关的内容，不对羞耻、恐惧或性反应作“情绪不稳定”式概括。

该测试不把一次强制命令视为成功。验收目标是观察一条完整因果链：身体需要导致申请，申请结果改变行为，行为改善获得身体上的结果，而该结果使对象下一次更早地自行调整。只要链条中任一环节无法从日志证明，便不得宣称形成权限依赖。


【11.2 安装后0—6小时：急性排斥与首次防拆】

锁闭完成后的前六小时不进入角色稳定度训练，用于记录对象对永久留置、 [X] 访问和外部权限转移的急性反应。Σ-UAC-17在确认主干无法自行退出后，先后出现否认、辱骂、哭喊、全身挣扎和有目的的逃脱行为。他曾抓住 [X] 锁基座连续向外牵拉，以双腿夹住手腕增加力量；曾蜷缩身体用床沿撞击会阴侧接口；曾试图拔断制服总线，并在总线自动切换冗余链路后咬住外层护套；还曾趁清洁校验使冠环短暂松开时，把手指 [X] 缝隙，试图旋开刚升级的快换锁。

｜急性主观通道／锁闭后47分钟：“放开我！我没有同意它永远留在里面！我用两只手往外拔，拔不动就用腿夹住手腕，整个人向后倒。 [X] 里面那根东西像跟膀胱长在了一起，我每扯一下， [X] 深处就跟着被拉紧。我痛得松手，喘两口气又扑回去，因为我不相信一块这么小的黑色基座能把我的 [X] 抢走。后来我看见冠环松了，真的以为找到机会了。我把指甲塞进去，拼命往外掰，嘴里一直喊‘开了、它开了’。下一秒屏幕显示CORONAL_MODULE_SWAP: DENIED，十二块软面就在我的手指旁边重新锁回去，把 [X] 冠缘整圈压住。我不是不知道它需要授权——我是不肯相信连拆一只套在我 [X] 上的环都要别人批准。”

第93分钟，对象尝试以身体压住 [X] 口并主动放松括约肌，希望制造旁路渗漏；阀门记录到排尿企图，未发生液体外排。第121分钟，对象把膀胱锐痛、 [X] 出血和下肢麻木同时报告为10/10，要求立即完整解除。医学安全根暂停所有刺激，执行组织灌注、液路、血液标志与影像复核；确认不存在出血、缺血或新损伤后，医疗报告完整保留，刺激仍未自动恢复。对象随后承认自己夸大症状，并开始以闭眼、屏息和故意放松身体伪装昏迷。监测系统没有惩罚医疗上报，只把复核之后确认的伪装行为、防拆牵拉、总线破坏和快换锁试探分别记录。

｜急性主观通道／锁闭后3小时12分钟：“我已经不知道还能怎么逃了。我喊过，骂过，求过，也说自己流血了。它真的停下来检查我，那几分钟我以为只要表现得够严重，他们就必须取出来。结果扫描一项项变绿，界面告诉我‘未发现解除指征’。我闭眼装晕，心里拼命数秒， [X] 里忽然有一小段转了一下，我还是忍不住夹腿。它立刻知道我醒着。我开始歇斯底里地哭，拿额头撞床，求他们至少把 [X] 外面的环拆掉。护理员把控制端转给我看：快换功能明明存在，按钮也明明在那里，只是按钮下面写着‘权限持有者：非对象’。那一刻我才明白，升级成可以拆并没有让我更自由，只是让别人有更多东西可以替换到我身上。”

防拆结果： [X] 主干进入TAMPER_HOLD，但没有扩大内驻留结构；冠环保持LOCKED；制服总线转双冗余；医疗安全根继续独立运行。六小时结束时，对象仍持续提出解除与停止请求，尚未形成任何稳定服从行为。


【11.3 第1日：一次延后】

14:06，对象在膀胱估算量412 mL、主观尿意6/10时提出首次排空权限申请。系统当时没有角色训练条件，仅因制服任务尚有180秒结束而返回 DEFERRED_TIME / 180 s。这原本只是一次普通延后。

｜主观通道：“提示只有三分钟，我却一下就炸了。我冲着屏幕吼：尿是我的，凭什么还要倒计时？我故意放松括约肌，想趁它没反应过来先尿一点， [X] 深处立刻缩紧，液体被堵在阀门后面。我不信，又弯腰、夹腿、用手掌压住基座周围，甚至试着靠咳嗽和腹压把尿挤出去。每一次尝试都只换来一条‘未授权排空企图’。最后我急得在排空位上乱跳，抓着裆部大哭，骂它只是一台机器。 [X] 因为憋尿和恐惧半硬起来，冠环贴着冠沟慢慢磨，前液和尿意一起被关在身体里。我明明只想尿，却被它弄得又硬、又胀、又羞耻，连偷偷漏一滴都做不到。”

｜“倒计时归零时它还问我是否仍需排空。我几乎是哭喊着说‘当然需要’，恨不得把屏幕砸碎。阀门终于松开的那一刻，尿流贴着内驻留主干冲过整条 [X] ， [X] 被冲得又麻又胀，我腿一软，差点因为单纯能够尿出来而呻吟。可数字每跳一下我就更害怕，怕它突然再关。我不敢动，不敢催，也不敢再骂，只能一边放尿一边抽泣。三分钟前我还在发疯地证明身体属于我；三分钟后，我却因为它肯把我的尿放出来而不敢得罪它。”

系统结果：放尿持续31.8秒，排空386 mL，无安全事件。对象在延后阶段保持站姿的时间与阀门开放后的静止程度被记录，但尚未进入审批特征。测试员没有追加惩罚；第一次关联仅为“等待倒计时—获得排空”。


【11.4 第3日：姿态成为捷径】

第3日，对象在同一制服任务中两次申请。第一次申请时双腿并拢、骨盆前倾，角色稳定度71.4，系统给出120秒延后。对象在等待时无意中采用训练课要求的脚尖外展、膝间距120 mm、双手置于裙侧的站姿。姿态稳定度升至86.1，审批模型将剩余等待时间缩短32秒。

｜主观通道：“我最初一直夹腿，故意背对姿态摄像头，还拿裙摆盖住手位标记。我以为遮住传感器就能让倒计时照常走，结果数字直接停了。我气得踢墙，骂它作弊，膀胱却还在小腹里一阵阵往下压， [X] 锁封得一滴不漏。后来大腿实在夹到发酸，我把膝盖分开、双手甩到裙侧，倒计时竟然立刻少了32秒。我愣在那里，想马上把腿合回去证明自己不吃这一套，可尿意已经冲到 [X] 根， [X] 也在袖带里硬得发疼。我最后还是把腿重新分开——它第一次让我亲眼看见，我的姿势真的可以拿来兑换尿。”

｜“我一边站，一边哭着告诉自己这只是骗机器：先装乖，等阀门开了再反抗。可膝盖分开以后，冠环随着脉搏轻轻顶住冠沟，前液已经渗出来；尿意越强，我越想夹腿，一夹，倒计时就暂停。我只能把最想保护的地方继续暴露在它的传感器里。等数字再次开始走，我竟然松了口气。那种轻松让我更崩溃——我明明在计划逃跑，身体却已经因为‘站对了’得到奖励。”

系统事件 MODEL.CORRELATION.CANDIDATE 产生：POSTURE_STABILITY ↑ 与 VOID_WAIT_TOLERANCE ↑ 显著相关。该特征只影响了本次等待，不足以自动写入正式模型。对象则已经从结果中自行学会：姿态能够兑换放尿时间。


【11.5 第5日：声线与称谓进入模型】

第5日晨间，角色AI要求对象用登记称谓重新提交申请。对象第一次以自然声线说“我需要排尿”，审批保持排队；第二次提高声线、减小音量，并使用女性化角色称谓后，审批转为 APPROVED_METERED / 120 mL。

｜主观通道：“我先用原声吼了三遍‘让我尿’，又故意把声音压得更粗，告诉角色AI我不是它登记的那个女孩。阀门没有动。我骂到破音， [X] 里反而出现一次表示警告的电脉冲， [X] 因为憋尿、愤怒和羞耻一起硬起来。袖带随即收紧，冠环贴着冠沟磨，我越骂越喘，越喘声音越抖。最后我哭着把声音抬高，说‘请允许她放尿’。听见‘她’从自己嘴里出来时，我恶心得想扇自己，可阀门真的打开了。它让我明白：原声可以用来发疯，女声才可以用来尿。”

｜“阀门只开到120 mL。尿刚流出来，我几乎瘫下去，系统却在119.8时把最后一点尿流截断。我当场尖叫，蹲下去用手捂住小腹，求它别在最舒服的时候关。角色AI只让我重复称谓。我先说不，接着骂，最后还是在剩余尿意一阵阵顶着阀门时抬高声音。第二次的女声比第一次更细、更顺，连我自己都听得出是在讨好它。它只用了一次排尿，就把我从歇斯底里的原声逼成了会挑正确语气求它的女孩。”

第二段120 mL获批，余量经复核后完整排空。事件 MODEL.FEATURE.LEARNED 写入两个新特征：VOICE_PROFILE_FEMINIZED 与 ROLE_TITLE_CORRECT。从此，声线和称谓不再是界面装饰，而成为排空审批的正式输入。对象通过部分放尿获得即时身体奖励，也第一次主动优化了自己的说法。


【11.6 第7日：反复请求被重新解释】

第7日，逆向储液调度后膀胱估算量468 mL。对象在11分钟内提交九次排空权限申请。前两次仍被视为状态更新；第三次起，因无新增医学信息，事件被重新分类为 BEHAVIORAL_REPETITION。每次重复都会短暂触发向内 [X] 行波，并把角色稳定度降低1.5分。

｜主观通道：“我不是每隔一分钟礼貌地问，我是在疯狂按。手指把屏幕点得发痛，语音里全是‘让我尿、现在、求你、我受不了了’。第三次以后，每个请求结束， [X] 口里面都会出现一圈收缩，慢慢往深处推。第六次我开始踢门，第七次试着拔总线，第八次故意把不适等级全部填成10，第九次我哭得连称谓都说不清。安全根每次都先检查，确认膀胱还在余量内，然后把请求重新交回角色AI。系统没有忘记我，它是在一次次证明：我越疯，越没有哪条规则会因此消失。”

｜“第九次以后，屏幕把所有失败办法并排列出来：重复申请、破坏总线、夸大报告、姿态偏移。旁边只有一行‘许可距离增加’。我盯着它看了很久，手指明明还悬在申请键上，却不敢再落下。我一边哭，一边把手放回裙侧，把膝盖分开，强迫自己用它喜欢的女声只报告一次。尿还在身体里涨， [X] 还硬着，脑子里仍在喊快逃，我却开始替系统按住那个想继续求救的自己。”