多品牌健康数据整合与个人Agent方案
版本V0.3，2026-09-08。接口资料核验，不等于已获企业权限或已完成设备联调。
结论
保留小程序作为低门槛交互端；增加iOS/Android/HarmonyOS适配的原生数据接入能力（可作为现有App的原生模块或轻量伴随App，发行形态待确认）。平台账号授权与本地健康库授权分开，数据统一后供个人Agent和获授权的营养师/教练使用。PC不能直接读取用户手机本地健康库。
手机品牌不能直接决定接入路径：同一iPhone可能配华为/小米穿戴；同一安卓手机可能安装不同品牌健康App。接入决策维度为OS/版本、地区、源App/版本、设备/固件、已开放类型、用户权限和后台能力。
官方证据与兼容矩阵
| 情况 | 优先路径 | 自动性与限制 | 状态 |
|---|---|---|---|
| iPhone + Apple Health | 本公司iOS App→HealthKit→统一数据服务 | 用户逐类型授权；Observer通知配合增量读取；后台由系统调度，不能保证实时 | 官方支持架构，待真实应用/设备验证 |
| iPhone + 小米/其他品牌App | 源App先将支持数据写入Apple Health→本公司HealthKit读取 | 两段授权和同步，App中存在的数据未必全部写入Apple Health；保留原始数据源，避免重复 | 小米官方确认iOS同步路径，字段/历史范围需实测 |
| 华为HarmonyOS NEXT | 华为Health Service Kit正式申请和原生集成 | 企业资质、所需类型权限、地区、后台调度分别验证；不能拿旧Android SDK替代NEXT | 官方开发指南已核验，企业审批未申请 |
| 华为Android/旧HarmonyOS或其他手机上的华为健康 | 对应平台开放接口/厂商授权服务 | 需按当前区域与SDK方案核验；不把历史Codelab或海外REST能力当国内默认 | 部分可行，具体组合待确认 |
| Android + Google Play服务 + 支持写入的Mi Fitness | 本公司Android App→Health Connect | Android9+和Google Play要求；14+系统模块、13及以下独立应用；后台读取另需权限/能力检查 | 官方存在性支持，目标机型字段须验证 |
| 国内小米/无Google Play服务 | 厂商正式合作/明确开放能力；授权设备SDK作为限定机型备选 | 本次未找到可保证任意第三方读取国内小米运动健康全量数据的公共API合同。不得抓私有接口/数据库或转存账号密码 | BLOCKED：厂商确认与目标机型POC |
| 仅微信小程序/H5 | 展示服务端已同步数据；引导数据连接 | HealthKit/Health Connect都不是普通网页JS接口；小程序自身开放的步数不等于全量健康库 | 部分可用，不承诺完整自动采集 |
来源： 1. Apple授权：https://developer.apple.com/documentation/HealthKit/authorizing-access-to-health-data?changes=_2 2. Apple后台Observer：https://developer.apple.com/documentation/healthkit/executing-observer-queries 3. Android可用性：https://developer.android.com/health-and-fitness/health-connect/availability 4. Android后台读取：https://developer.android.com/health-and-fitness/health-connect/read-data 5. 华为当前企业接入：https://developer.huawei.com/consumer/cn/doc/doccenter-dev-faq/faqs-healthservice-9 6. 华为平台简介：https://developer.huawei.com/consumer/cn/hms/huaweihealth/ 7. 小米iOS同步：https://www.mi.com/uk/support/faq/details/KA-230360/ 8. 小米S4海外产品公开Health Connect支持：https://www.mi.com/qa/product/xiaomi-watch-s4/
Apple隐私例外：读取没有返回样本不能判定用户拒绝授权；HealthKit不暴露完整的读拒绝状态。界面应显示“暂无可读数据，请检查来源/授权/同步”，不能标“已拒绝”或“健康指标为0”。
统一数据层
连接器→原始事件收件箱→格式/单位/时区标准化→来源与覆盖核验→幂等/重叠裁决→健康事实库→规则筛选→Agent解释→行动/专业跟进。
每条记录保存memberId、sourcePlatform、originApp、originDevice（必要的最小标识）、externalId、metricType、start/end、timezone、value/unit、measured/estimated/selfReported、permissionScope、confidence、sampleStatus、sourceUpdatedAt、receivedAt、revision、deletedAt。原始样本不因合并而丢失来源，可回滚裁决。
- 幂等键优先provider+originApp+externalId+revision；无稳定ID时使用规范字段哈希，碰撞规则须明确。
- 两个App镜像同一手表记录不能相加。总消耗和活动消耗分别存，全天总量不得再加训练消耗。
- 不同平台HRV、睡眠分期、压力/恢复分数和训练负荷不直接拼成同口径曲线；按原定义/测量上下文保留，满足映射证据后才归一。
- 删除/修正事件增量回收；同步水位按来源与类型隔离；重试幂等；离线补传；先回补后更新汇总。
- 同步状态：尚未连接、等待授权、部分可读、自动更新、同步延迟、暂无可读数据、暂停、需重授权、该组合暂不支持。每个类型显示最后有效样本时间与当前覆盖。
- “厂商→我方服务”的授权、“个人→专业人员”的分享授权、“分析数据→外部模型”的许可必须独立；后者未授权时只用允许的本地/受控模型或规则。
自动记录分层
| 数据 | 自动路径 | 不能越界的推断 |
|---|---|---|
| 步数/运动/睡眠/心率/体重 | 获授权平台或明确支持的设备写入后自动摄取 | 设备未佩戴、平台未开放和历史未同步不是0 |
| 久坐 | 设备明确姿态/久坐数据，或经过验证的推断模型 | 低步数/手机静止只能标低活动；没检测到不等于未久坐 |
| 食堂饮食 | 我们现有称重/取餐/营养系统的已授权事件自动形成取餐估算 | 取餐和订单不等于实吃，剩餐/分享未知；不得自动宣布完整摄入 |
| 食堂外饮食/主观感受 | 可选的一句话/拍照/单点确认，优先复用已有授权记录 | 不能靠手表准确识别食物、份量、饥饿或疼痛；不要求重复手工抄写 |
产品原则：自动接入、自动归并、自动更新为默认；确认是处理歧义和安全的例外。原型保留补记作为兜底，不再让“手工补记”承担主要采集流程。POC必须记录一次授权后后台自然到数证据，手动点击同步不算自动采集通过。
Agent个人助理
持续循环：发现新证据→检查新鲜度/覆盖/可信度→识别值得关心的变化→必要时低负担询问→推荐一个有依据的小行动→在合适时机提醒→观察反馈→必要时请专业人员处理。
“微体检”在用户界面称“身体状态巡检”：身体数据与习惯信号检查，不承诺诊断、体检替代、无创测血糖或紧急监护。先看个人基线与连续趋势，再看专业审核规则。无足够数据时只补证，不给健康/安全结论。
- 自动摘要：睡眠/活动/久坐/饮食记录完整度，按可读能力显示，不为缺失凑分数。
- 场景建议：餐后走动、长时间低活动时核实、训练后恢复感受、睡前节奏；时点与强度按专业规则、个人计划和免打扰评审。
- 不适分支：用户报告明显不适时，不推荐继续运动，建议及时寻求专业医疗帮助；紧急情形按本地救助指引处理。产品不保证后台实时预警。
- 触发与抑制：数据过期、未佩戴、睡眠、驾车、免打扰或近期已提醒时抑制普通提示；缺少状态检测则不能声称已准确识别该场景。用户可关闭/稍后提醒。
- 低风险习惯提示可在明确授权后自动呈现；修改运动负荷/饮食限制、医疗判断和发给真人的建议需相应专业审核/用户确认。
- 每条建议记录触发证据、来源时间、规则版本、限制、下一步、采纳与撤销；专业PC能看到为何触发和为何被抑制。
分阶段可验证接入
P0：锁定首批手机OS/版本/地区/设备/来源App组合，申请华为所需权限；iOS HealthKit真机POC；确认国内小米数据合作路径。至少验证步数、运动、睡眠、心率、体重五类支持情况，类型不支持必须明确降级。
P1：同设备多源去重、自然后台到数、离线回补、撤权/删数据、跨账号/租户隔离、时间/单位异常。
P2：个人基线与低风险Agent建议；食堂自动事件接入；专业干预→个人采纳→效果回看。
未关闭项：是否在现有原生App增加能力或发布伴随App；iOS/Android/HarmonyOS包与资质；国内小米正式数据合同；首批设备与地区；专业规则和医疗边界；敏感数据保存/模型外发授权。生产DoR BLOCKED。