# Raposa Device — dossiê técnico REV A Data de revisão: 2026-09-14. Especificação-alvo comercial; integração física e liberação comercial pendentes. Este documento é uma especificação-alvo para desenvolvimento e avaliação. Não é uma declaração de homologação, segurança validada ou prontidão industrial. ## Produto, escopo e estados financeiros ### Finalidade Estado: Requisito. Assistente financeiro conversacional da própria conta/subconta Binance. Voz como entrada principal; tela, texto e controles táteis equivalentes. Não é automação residencial nem hardware wallet. Critério / limite: Validar consulta, compreensão, revisão, recusa e acompanhamento sem assistência visual obrigatória. ### Operações Estado: Requisito. Consultas de saldo e histórico; preparação de compra/venda Spot; relatórios e alertas como evolução. Sem saques, alavancagem ou mandato ilimitado. Estratégia aprovada não autoriza ordens futuras. Critério / limite: Toda mutação financeira deve atravessar o mesmo contrato de autorização e limites. ### Proposta canônica Estado: Requisito. Identificador e versão, operador, conta, ambiente, lado, tipo, par, moeda e valor/quantidade; estimativas, taxas, limites de execução, data de referência e validade. Tela e áudio gerados dos mesmos campos, não de resumos independentes do modelo. Critério / limite: USD, USDT, USDC e BRL são distintos. Valores ambíguos exigem esclarecimento. Estimativas nunca são apresentadas como preço garantido. ### Máquina de estados Estado: Requisito. Rascunho → revisão → autorização específica → reserva de despacho → enviada → preenchida, parcial, rejeitada ou resultado desconhecido. Cancelamento e expiração antes do despacho invalidam a proposta. Critério / limite: Depois do envio, reconciliar com a exchange. Parar fala não cancela ordem. MARKET executada não é reversível por botão. ### O que existe hoje Estado: Implementado no software. Assistente Next.js, API e serviços financeiros Python, registro SQLite local e conversa por voz. Esta rota tem exemplos locais, sem credenciais, captura de áudio, chamadas a modelos ou transporte Binance. Critério / limite: A confirmação atual do cockpit não satisfaz a autorização autenticada por ordem definida para o aparelho. ## Plataforma de referência e lista de componentes ### Processador / memória Estado: Candidato. 1 × Raspberry Pi 5, variante de 4 GB como candidata inicial; CPU ARM Cortex-A76, arquitetura ARM64. Terminal Linux, não execução integral de grandes modelos no aparelho. Critério / limite: Confirmar memória e desempenho com interface, áudio e atualizador simultâneos; compra de lote depende de revisão e fornecimento. [Referência oficial](https://www.raspberrypi.com/products/raspberry-pi-5/) ### Tela Estado: Candidato. 1 × Touch Display 2 de 7″, resolução nativa 720 × 1280, conexão DSI e alimentação GPIO. Configurar paisagem e transformação correspondente do toque. Referência nominal do módulo: 189,5 × 120 × 15 mm. Critério / limite: Congelar desenho/revisão oficial: dimensões de páginas resumidas não são cotas de fabricação. Confirmar montagem, cabos, área visível, legibilidade e acesso aos conectores. [Referência oficial](https://www.raspberrypi.com/documentation/accessories/touch-display-2.html) ### Microfones Estado: Candidato. 1 × reSpeaker XVF3800 USB, variante sem XIAO, como candidata. Quatro microfones, processamento de eco/ruído e interface USB. Firmware, orientação e interface de reprodução precisam ser selecionados em conjunto. Critério / limite: AEC documentado no módulo não garante desempenho dentro do gabinete. Validar fala distante, TV, eco e interrupção durante reprodução. [Referência oficial](https://wiki.seeedstudio.com/respeaker_xvf3800_introduction/) ### Áudio de saída Estado: Decisão pendente. Alto-falante, amplificador, câmara acústica e saída privada a selecionar. O array candidato não contém alto-falante. A reprodução deve fornecer referência coerente ao cancelamento de eco. Critério / limite: Não liberar desenho de PCB/chicote antes de fechar impedância, potência, ganho, alimentação e interfaces do fabricante. [Referência oficial](https://wiki.seeedstudio.com/respeaker_xvf3800_faq/) ### Energia / armazenamento Estado: Candidato. 1 × fonte USB-C adequada ao Pi 5, referência oficial 27 W / 5 V a 5 A; microSD high-endurance de 32 GB como candidata de desenvolvimento; armazenamento industrial e fonte final a qualificar. Sem bateria especificada. Critério / limite: 27 W é a classificação da fonte, não consumo medido do produto. Medir orçamento USB, tela, áudio, picos, queda de tensão e recuperação após corte de energia. [Referência oficial](https://www.raspberrypi.com/products/raspberry-pi-5/) ### Controles / refrigeração Estado: Decisão pendente. Dois acionadores equivalentes, controle local de volume, mute físico e indicação de captura. Solução de refrigeração, sensores, circuito de mute e mecanismo autenticador ainda devem ser definidos. Critério / limite: Pi, tela, array e fonte são referências de integração. A BOM não está liberada para compra industrial; fabricante, SKU, revisão e segunda fonte de cada item precisam ser congelados. ## Mecânica, impressão e montagem ### Envelope do corpo Estado: Disponível no CAD. 250 × 170 × 55 mm, sem suporte e cabos. Conjunto em peças: moldura frontal, corpo estrutural, tampa traseira, controles equivalentes e suporte de mesa. O render conceitual não é o desenho de fabricação. Critério / limite: Verificar dimensões nos arquivos e montagem de tolerâncias; cotas não significam integração eletrônica aprovada. ### Botões equivalentes Estado: Disponível no CAD. Faces nominais de 40 × 24 mm para Cancelar e Autorizar, com símbolos distintos e posicionamento estável. Caps do CAD são peças mecânicas, não sensores biométricos nem autorização de segurança. Critério / limite: Mesmo tamanho e destaque em ambos. Cancelar à esquerda e primeiro na navegação; validar identificação tátil e atuação sem visão. ### Arquivos fornecidos Estado: Disponível no pacote. STL em milímetros por peça, fontes paramétricas, desenho dimensional, relatório de malhas e guia de impressão/montagem. Modelo destinado a estudo de integração e teste de encaixe. Critério / limite: Conferir o README mecânico para orientações, ferragens e limitações. Não contém PCB/Gerber, chicote final ou G-code universal. ### Material / processo Estado: Validação pendente. FDM como processo de estudo. Material, altura de camada, perímetros, preenchimento, suportes e folgas descritos no guia. Resina/polímero de produção, acabamento e processo industrial dependem de ensaios. Critério / limite: Uma peça imprimível não comprova resistência térmica, flamabilidade, tolerância final, dissipação, atenuação acústica ou produção por injeção. ### Integração e tolerâncias Estado: Validação pendente. Conferir cabos DSI/USB, raios de curvatura, conectores, área das antenas, entradas de microfone, ventilação e segregação do alto-falante. Fixação eletrônica e câmara acústica final ainda não estão fechadas. Critério / limite: DFM/DFA com fornecedor e peça física: folgas acumuladas, estabilidade ao tocar, esforço nos controles, deformação e manutenção. Não há classificação IP, teste de queda ou vida mecânica declarados. ## Acessibilidade, voz e princípios de decisão ### Igualdade de escolha Estado: Regra de produto. Cancelar e Autorizar com a mesma área, contraste, peso tipográfico e acesso. Cancelar proposta sem autenticação ou confirmação extra; nenhuma aprovação pré-selecionada. Nunca aprovar por Enter global, silêncio ou reconhecimento de voz isolado. Critério / limite: Comparar geometria e estilos; testar teclado, tato e leitor de tela. Esta paridade é uma decisão Raposa, não uma citação literal da WCAG. ### Leitura e toque Estado: Meta de validação. Meta Raposa: controles digitais de pelo menos 48 × 48 CSS px, foco visível, texto redimensionável, contraste mínimo 4,5:1 para texto normal e 3:1 para componentes essenciais. Não comunicar estado apenas por cor. Critério / limite: Auditar jornadas completas segundo WCAG 2.2 AA, zoom e tecnologias assistivas; sem alegação de certificação. Valores físicos e CSS px não são equivalentes. [Referência oficial](https://www.w3.org/WAI/WCAG22/Understanding/target-size-minimum.html) ### Interação sem visão Estado: Requisito. Revisão audível de todos os campos críticos, repetir e diminuir velocidade, identificação tátil, estado de captura perceptível e caminho de autenticação acessível. Uma tela não pode ser a única forma de compreender ou autorizar. Critério / limite: Testes com participantes cegos, com baixa visão, idosos e diferentes níveis de familiaridade digital; medir compreensão e recusa, não só conclusão de compras. [Referência oficial](https://www.w3.org/WAI/WCAG22/Understanding/accessible-authentication-minimum.html) ### Voz / ativação Estado: Integração pendente. No software atual, voz por turnos. No aparelho-alvo: ativação local, captura delimitada e modelos de voz na nuvem após consentimento. Wake word Raposa em português, detecção de fim de fala e interrupção natural ainda precisam ser integrados e medidos. Critério / limite: Avaliar sotaques, disfluências, números, negações, TV, gravações e pessoas não autorizadas. Nenhuma meta de alcance ou acurácia é resultado medido. ### Movimento e falhas Estado: Implementado na página / meta no aparelho. Respeitar prefers-reduced-motion e oferecer redução manual. Sem informação exclusiva de hover/animação. Erros explicados em linguagem simples, foco preservado e rota de recuperação sem envio acidental. Critério / limite: A demonstração não pede microfone, não usa áudio ou analytics externos e não cria qualquer autorização. Validar também leitor de tela e uso real antes de certificar acessibilidade. ## Autorização, identidade e segurança financeira ### Credencial por ordem Estado: Não implementado. Desafio único, de curta validade, vinculado ao operador, conta, ambiente e hash da proposta canônica versionada. Verificação no servidor e consumo atômico com a reserva de despacho. Mudança de termos invalida a autorização. Critério / limite: Testes de replay, concorrência, troca de conta/valor/par e bypass de endpoint. Sessão aberta ou aprovação de estratégia não autoriza próximas ordens. [Referência oficial](https://cheatsheetseries.owasp.org/cheatsheets/Transaction_Authorization_Cheat_Sheet.html) ### Cadeia de confiança Estado: Bloqueador comercial. Selecionar autenticador acessível, provisionamento, proteção da chave, recuperação e canal confiável de revisão. Botão comum, digital desenhada ou passkey isolada não provam que a pessoa revisou termos íntegros. Critério / limite: Modelo de ameaças contra terminal comprometido, substituição de tela/áudio, roubo físico e coerção. Não liberar LIVE no aparelho antes de validar o conjunto. ### Contas e permissões Estado: Requisito. Vincular titular, aparelho e subconta; menor privilégio, revogação por dispositivo e nenhum saque no escopo. Segredos Binance somente no backend autorizado, nunca em HTML, logs, prompt ou downloads. Critério / limite: MCP Binance é integração separada, com autorização/contrato ainda pendentes. Transporte REST atual não deve ser anunciado como MCP operacional. ### Limites independentes da IA Estado: Requisito. Valor por ordem, orçamento por período/conta, ativos e tipos permitidos, limites de exposição, revisão expirada e circuit breaker impostos pelo serviço financeiro. Critério / limite: Nenhuma mensagem do modelo, ferramenta ou conteúdo externo concede autoridade. Testar prompt injection e falhas de provedor sem degradar autorização. ### Falhas e reconciliação Estado: Requisito. Reserva durável do despacho, identificador estável de ordem, trilha de eventos e consulta do resultado na exchange. Sem reenvio cego após timeout. Sem fila de compras offline para execução surpresa ao reconectar. Critério / limite: Idempotência e reconciliação reduzem duplicatas; não prometer exatamente uma execução entre sistemas externos. Em falha de persistência ou canal protegido, bloquear novos envios. ## Software, infraestrutura e escala ### Runtime do aparelho Estado: Arquitetura proposta. Serviço Linux ARM64 para áudio e estado de interação; interface em modo quiosque; sessão bloqueável, watchdog e recuperação controlada. Não depender de um navegador aberto no computador do usuário. Critério / limite: Extrair orquestração de st.session_state para um núcleo reutilizável. Pacotes, imagem de sistema e serviço de boot do Pi ainda não existem. ### Backend financeiro Estado: Arquitetura proposta. API autenticada, autoridade de execução única, validação determinística, adaptadores de exchange e worker de reconciliação. Consultas/relatórios separados do caminho de envio. Critério / limite: Todos os canais da mesma conta compartilham o mesmo ledger. Nunca executar a mesma conta com bancos independentes em Mac e Pi. ### Dados e concorrência Estado: Não implementado. PostgreSQL transacional compartilhado como arquitetura-alvo; migrações versionadas, isolamento por titular, restrições de unicidade, outbox e transações atômicas. Fila com deduplicação e controle de concorrência por conta. Critério / limite: SQLite é a persistência atual. RLS, quando usada, complementa identidade, políticas de API e testes de isolamento; não substitui autorização de ordem. ### SLO e dimensionamento Estado: Medição pendente. Definir latência p50/p95 por jornada, disponibilidade, capacidade concorrente, custo por minuto de voz e custo por usuário ativo. Ensaiar carga, limites Binance/modelos, backpressure e degradação somente para leitura quando seguro. Critério / limite: Não há números comprovados de usuários simultâneos, custo unitário ou disponibilidade. Fixar SLO e capacidade contratada após benchmarks, não a partir do render. ### Continuidade Estado: Operação pendente. Backups cifrados, restauração exercitada, runbooks, trilha correlacionada sem segredos e alertas operacionais. Definir RPO/RTO e política de retenção antes de piloto com dados reais. Critério / limite: Ensaiar perda de zona, banco, energia e provedores; restaurar ledger sem reemitir ordens. Monitorar não amplia a autoridade para executar. ## Privacidade, dados e gestão de frota ### Captura / retenção Estado: Requisito. Áudio de espera local e descartável como requisito; sem persistência de áudio bruto por padrão. Indicador perceptível de captura, mute verificável, escuta privada e opção de ocultar valores da tela. Critério / limite: Medir tráfego em espera/mute e garantir que buffers não reapareçam após reconexão. Esta política-alvo não é prova de comportamento de um hardware ainda não integrado. ### Dados pessoais Estado: Revisão necessária. Inventário de dados, finalidades e bases legais por tratamento, transparência sobre provedores de voz, retenção, exclusão, direitos do titular e incidentes. Avaliar transferências internacionais e tratamento de eventual biometria. Critério / limite: Fechar política, contratos e responsabilidades com avaliação jurídica. Consentimento não é base universal; não coletar templates biométricos no servidor por conveniência. [Referência oficial](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) ### Identidade do dispositivo Estado: Requisito. Credencial única por unidade, pareamento ao titular, revogação remota, bloqueio local, novo pareamento protegido e restauração de fábrica sem conservar dados pessoais do dono anterior. Critério / limite: Sem senha mestra compartilhada, portas administrativas públicas ou chaves de produção no pacote de fabricação. ### Atualização e suporte Estado: Requisito. Atualizações assinadas e verificadas, política contra downgrade vulnerável, recuperação de atualização interrompida, inventário de versões e SBOM. Definir prazo de suporte, fim de vida e resposta a vulnerabilidades. Critério / limite: Testar atualização adulterada e corte de energia; escolher cadeia de boot e armazenamento de credenciais. Prazo comercial de manutenção ainda não contratado. [Referência oficial](https://www.nist.gov/itl/applied-cybersecurity/nist-cybersecurity-iot-program/consumer-iot-cybersecurity) ## Industrialização, qualidade e liberação comercial ### Pacote industrial final Estado: Ainda não liberado. BOM com fabricante/SKU/revisão e substitutos aprovados; CAD sólido/STEP e desenhos cotados; PCB/Gerber e testes elétricos quando houver eletrônica própria; chicote, pinagem, firmware, fixtures e instruções de montagem. Critério / limite: O pacote atual entrega geometria imprimível e fontes. Não contém todos os artefatos para industrialização ou compra de lote. ### Verificação integrada Estado: Ensaios pendentes. Térmica interna/superficial, alimentação, toque e estabilidade, esforços nos controles, cabos, ruído/eco, desempenho RF, ESD/EMC, resistência e transporte. Limites e métodos precisam ser aprovados antes dos ensaios. Critério / limite: Escolher material e processo com dados de fornecedor; não declarar IP, MTBF, flamabilidade, queda suportada ou vida de botão sem evidência. ### Fábrica e rastreabilidade Estado: Processo pendente. Número de série por unidade, revisões de hardware/software, origem dos componentes, resultado de teste final e provisionamento. Lote piloto com fixtures para tela/toque, microfones, áudio, mute, botões, conectividade e recuperação. Critério / limite: Critérios de aceitação e reprocesso; amostragem, embalagem, rotulagem, reposição, garantia e logística reversa definidos com fornecedor. ### Brasil / homologação Estado: Bloqueador comercial. Avaliar enquadramento ANATEL do conjunto com Wi-Fi/Bluetooth, certificação e homologação aplicáveis com OCD/laboratório. Avaliar também segurança elétrica, obrigações de consumo e documentação acessível em português. Critério / limite: Módulo homologado não comprova automaticamente homologação do produto completo. O aparelho não está homologado. [Referência oficial](https://www.gov.br/anatel/pt-br/regulado/certificacao-de-produtos/duvidas-frequentes) ### Serviço e posicionamento Estado: Revisão pendente. Revisar juridicamente o serviço financeiro, permissões comerciais da integração, termos, suporte, riscos e direitos do consumidor. Não anunciar parceria Binance ou certificação de acessibilidade sem autorização/evidência. Critério / limite: Sem pré-venda, checkout ou preço final nesta página. Fechar economia unitária: hardware, montagem, rejeição, frete, suporte, cloud, voz, impostos e margem. [Referência oficial](https://www.planalto.gov.br/ccivil_03/leis/l8078compilado.htm) ### Critério de lançamento Estado: Não atingido. Aprovação conjunta de engenharia, segurança, acessibilidade, privacidade, fabricação e operação. Especificação congelada, ensaios aprovados, autorização real validada e planos de manutenção/incident response publicados. Critério / limite: Uma apresentação completa não substitui unidade integrada, testes de produção e evidência de conformidade. Nenhuma venda ou execução real foi ativada por esta entrega. ## Documentos do pacote Leia também o guia mecânico e o relatório de validação dos STL. Os arquivos não incluem PCB, chicote eletrônico, firmware do aparelho, credencial autenticadora ou certificação. Render: imagem gerada por IA, conceito de aparência. CAD: geometria de engenharia REV A. Os dois não são uma comprovação de integração entre componentes.