@furongjun1999/dsh-memory 0.4.11 → 0.5.1

package/docs/hive//350/234/202/345/267/242/345/267/245/344/275/234/350/256/260/345/277/206_/351/241/271/347/233/256/350/256/241/345/210/222.md

@@ -1,85 +1,85 @@
-# 蜂巢工作记忆 · 项目计划（共同记忆面）
-
-> **本文件是工作记忆项目的唯一记忆状态源。** 设计决策、边界、进度都记在这里；
-> 任何会话接手，先读本文件。实现本体：`hive/wm.py`（v0.1）。
-
-- 创建：2026-09-14 · 状态：**v0.1 已落地（测试全绿）；进展面 + 换人续跑交接已落地（2026-09-16）**
-- 缘起：与 zcode 端讨论定稿——工作记忆补上蜂巢缺的两块：上下文（worker 间共享可演进的产物状态，不再冷启动）与任务能力（写入→修改→提交→回退的任务循环）。
-- 理论定位：git「提交=不可变快照，回退=回到提交点」与 swarm v0.7 WAL 快照、langgraph checkpoint 三处同构——多智能体系统的普适件。五单元落位：工作记忆=记录单元的任务级形态（全：版本史不丢）；提交闸=验证单元的资格闸（写入≠提交）；回退=维生单元的恢复手段；diff 审查=反思单元的操作面。另落第五处：子代理零写权限、主代理唯一合并入口（与命名治理记忆协议同原则）。
-
----
-
-## 1. 三个决策点（已落定）
-
-### ① 载体形态：真 git 起步（A 路）
-
-- **git 操作面只在主代理侧**（`hive/wm.py`，python stdlib 封装 git CLI）。
-- worker/执行器/rust 三处**零 git 依赖**：执行器保持「读 spec.json 写 result.json」无状态契约；rust 保持纯 std（D-005 不破）。
-- B 路（自研 git 兼容对象存储，blob/tree/commit SHA 内容寻址，纯 std 可写）作为后路记录在案（第 7 条兜底）；swarm 已有手写 SHA256 先例，zlib 可用 stored 块规避压缩依赖。
-
-### ② 并发写模型：一任务一分支
-
-- 分支命名 `task/<job_id>`；job_id 取 result.json 的 `job_id` 字段，缺失用目录名。
-- **物理隔离 = job 目录本身**（蜂巢天然工作区）：worker 的写权限被结构性限制在自己的 job 目录内（位置效应落码），worker 全程不碰 git。
-- 工作记忆仓只收**产物白名单快照**：`spec.json + result.json`（必须）+ `progress.jsonl`（可选，进展卡——worker 侧零 git 依赖写入的交接面，见 §3）+ `log.txt`（可选）+ `--artifacts`（可选，逗号分隔）。
-- snapshot/merge 是**主代理串行操作面**（非 worker 并发面）：合并冲突处理权归主代理，wm 对冲突诚实报错（`conflict:true` + hint），绝不自动解决。
-
-### ③ 提交语义分级：写入 → 提交 → 合并，闸在中间
-
-| 闸 | 凭证 | 落码 |
-|---|---|---|
-| snapshot（提交） | `result.json` 终态 `ok:true` | 第 5 条「未验证不写入」的任务级落码；失败/超时任务物理上无法入库 |
-| merge（合并主线） | 主代理显式执行 `wm.py merge` | 两阶段审查机械化；merge 须在 main 上执行（操作契约） |
-| revert（回退） | 免费，任意提交点 | 生成反向提交，历史不丢（全记） |
-
-commit message 规范：`task <job_id> verdict=ok model=<model> duration_s=<n>`——可审计。
-
-## 2. 对接边界（避免重复建设）
-
-| 既有件 | 边界 |
-|---|---|
-| OrcMemory（`test/orchestrator_memory.py`） | 管**记忆节点**的并发访问（anchor/dispatch/submit/collect/merge_global 卡片层）；工作记忆管**任务产物文件**的版本化。正交分层，互不侵入 |
-| 灵枢认知图 | 任务收尾时从工作记忆蒸馏归档（第 16 条的任务级版本）；工作记忆=易变层，认知图=长期层 |
-| swarm WAL（v0.7.1） | 提交图若需 HMAC 防篡改，签名串复用七元组口径（待办：远端推送时接入） |
-
-## 3. 命令面（v0.1）
-
-```cmd
-python hive\wm.py init     [--wm DIR]                                  :: 建仓（幂等）
-python hive\wm.py snapshot --job hive\jobs\<id> --wm DIR [--artifacts a.json]  :: 凭证闸+提交
-python hive\wm.py merge    --branch task\<id> --wm DIR                 :: 主代理合并
-python hive\wm.py log      --wm DIR [--branch B] [--limit N]
-python hive\wm.py revert   --commit SHA --wm DIR                       :: 免费回退
-python hive\wm.py status   --wm DIR
-python hive\wm.py progress --job hive\jobs\<id> [--limit 50]           :: 读进展卡（未快照）
-python hive\wm.py progress --wm DIR --job-id <id> [--limit 50]          :: 读进展卡（已快照，两级查找）
-```
-
-默认仓位置：`hive/wm-repo/`（运行态，已 gitignore）；`HIVE_WM_DIR` 可覆盖。
-输出统一单行 JSON（对齐 hive CLI 风格）；`wm-repo` 内 `jobs/<job_id>/` 即产物快照树。
-
-**`progress` 读取面（v0.4 §5.3 换人续跑落地，2026-09-16）**：worker 在自家 job 目录写
-`progress.jsonl`（`start`/`tool`/`final`/`handoff`/`error` 逐条），**全程零 git 依赖**——
-符合「worker 无 git 面」的结构约束；进展卡由主代理在 `snapshot` 时纳白名单入库。
-已快照 job 的卡只存在于 `task/<job_id>` 分支（snapshot 后 HEAD 归还 `main`），
-故 `--wm` 源走**两级查找**：先工作区，落空再 `git show task/<ID>:jobs/<ID>/progress.jsonl`，
-返回体 `source`（`job`/`worktree`/`wm_branch`）与 `ref` 标明读取出处；卡缺失如实报缺不伪造。
-坏行跳过不炸（诚实降级）；`handoff`/`auto_continue` 透出交回信号，**续跑裁决权在主代理，
-本命令不自动续跑**（`auto_continue` 恒 `false`）。
-
-## 4. 首个真实用例与进度
-
-| 事项 | 状态 |
-|---|---|
-| v0.1 三级闸实现 + 全流程测试（凭证闸/分支契约/冲突诚实/revert/CLI 冒烟） | **全绿** |
-| 进展面（progress.jsonl 纳白名单 + `progress` 读取命令 + 分支态两级查找） | **全绿**（`hive/test_wm_progress.py` 44 断言） |
-| 命名治理批次 0（10 job）结果合并 → 首个真实 snapshot 用例 | 等 DeepSeek key |
-| HMAC 签名（swarm 七元组口径）+ 远端私有仓推送 | 待办（第 14 条双清单前置） |
-| B 路纯 std 对象存储（摆脱 git 依赖） | 后路，不排期 |
-
-## 5. 设计边界（诚实）
-
-- snapshot 串行契约：并发多任务快照由主代理串行调度（合并权本就归主代理）；worker 间没有 git 并发面。
-- 快照中途失败可能残留 staging 目录（`wm-repo/jobs/<id>`），下次 snapshot 自动覆盖，不影响 main。
-- 冲突现场保留（不自动 abort），hint 给出 `merge --abort` 出口——处理权在主代理。
-- 工作记忆内容推 GitHub 前必须过第 14 条双清单（盘符绝对路径/密钥/个人标识），默认只存本地/推私有仓。
+# 蜂巢工作记忆 · 项目计划（共同记忆面）
+
+> **本文件是工作记忆项目的唯一记忆状态源。** 设计决策、边界、进度都记在这里；
+> 任何会话接手，先读本文件。实现本体：`hive/wm.py`（v0.1）。
+
+- 创建：2026-09-14 · 状态：**v0.1 已落地（测试全绿）；进展面 + 换人续跑交接已落地（2026-09-16）**
+- 缘起：与 zcode 端讨论定稿——工作记忆补上蜂巢缺的两块：上下文（worker 间共享可演进的产物状态，不再冷启动）与任务能力（写入→修改→提交→回退的任务循环）。
+- 理论定位：git「提交=不可变快照，回退=回到提交点」与 swarm v0.7 WAL 快照、langgraph checkpoint 三处同构——多智能体系统的普适件。五单元落位：工作记忆=记录单元的任务级形态（全：版本史不丢）；提交闸=验证单元的资格闸（写入≠提交）；回退=维生单元的恢复手段；diff 审查=反思单元的操作面。另落第五处：子代理零写权限、主代理唯一合并入口（与命名治理记忆协议同原则）。
+
+---
+
+## 1. 三个决策点（已落定）
+
+### ① 载体形态：真 git 起步（A 路）
+
+- **git 操作面只在主代理侧**（`hive/wm.py`，python stdlib 封装 git CLI）。
+- worker/执行器/rust 三处**零 git 依赖**：执行器保持「读 spec.json 写 result.json」无状态契约；rust 保持纯 std（D-005 不破）。
+- B 路（自研 git 兼容对象存储，blob/tree/commit SHA 内容寻址，纯 std 可写）作为后路记录在案（第 7 条兜底）；swarm 已有手写 SHA256 先例，zlib 可用 stored 块规避压缩依赖。
+
+### ② 并发写模型：一任务一分支
+
+- 分支命名 `task/<job_id>`；job_id 取 result.json 的 `job_id` 字段，缺失用目录名。
+- **物理隔离 = job 目录本身**（蜂巢天然工作区）：worker 的写权限被结构性限制在自己的 job 目录内（位置效应落码），worker 全程不碰 git。
+- 工作记忆仓只收**产物白名单快照**：`spec.json + result.json`（必须）+ `progress.jsonl`（可选，进展卡——worker 侧零 git 依赖写入的交接面，见 §3）+ `log.txt`（可选）+ `--artifacts`（可选，逗号分隔）。
+- snapshot/merge 是**主代理串行操作面**（非 worker 并发面）：合并冲突处理权归主代理，wm 对冲突诚实报错（`conflict:true` + hint），绝不自动解决。
+
+### ③ 提交语义分级：写入 → 提交 → 合并，闸在中间
+
+| 闸 | 凭证 | 落码 |
+|---|---|---|
+| snapshot（提交） | `result.json` 终态 `ok:true` | 第 5 条「未验证不写入」的任务级落码；失败/超时任务物理上无法入库 |
+| merge（合并主线） | 主代理显式执行 `wm.py merge` | 两阶段审查机械化；merge 须在 main 上执行（操作契约） |
+| revert（回退） | 免费，任意提交点 | 生成反向提交，历史不丢（全记） |
+
+commit message 规范：`task <job_id> verdict=ok model=<model> duration_s=<n>`——可审计。
+
+## 2. 对接边界（避免重复建设）
+
+| 既有件 | 边界 |
+|---|---|
+| OrcMemory（`test/orchestrator_memory.py`） | 管**记忆节点**的并发访问（anchor/dispatch/submit/collect/merge_global 卡片层）；工作记忆管**任务产物文件**的版本化。正交分层，互不侵入 |
+| 灵枢认知图 | 任务收尾时从工作记忆蒸馏归档（第 16 条的任务级版本）；工作记忆=易变层，认知图=长期层 |
+| swarm WAL（v0.7.1） | 提交图若需 HMAC 防篡改，签名串复用七元组口径（待办：远端推送时接入） |
+
+## 3. 命令面（v0.1）
+
+```cmd
+python hive\wm.py init     [--wm DIR]                                  :: 建仓（幂等）
+python hive\wm.py snapshot --job hive\jobs\<id> --wm DIR [--artifacts a.json]  :: 凭证闸+提交
+python hive\wm.py merge    --branch task\<id> --wm DIR                 :: 主代理合并
+python hive\wm.py log      --wm DIR [--branch B] [--limit N]
+python hive\wm.py revert   --commit SHA --wm DIR                       :: 免费回退
+python hive\wm.py status   --wm DIR
+python hive\wm.py progress --job hive\jobs\<id> [--limit 50]           :: 读进展卡（未快照）
+python hive\wm.py progress --wm DIR --job-id <id> [--limit 50]          :: 读进展卡（已快照，两级查找）
+```
+
+默认仓位置：`hive/wm-repo/`（运行态，已 gitignore）；`HIVE_WM_DIR` 可覆盖。
+输出统一单行 JSON（对齐 hive CLI 风格）；`wm-repo` 内 `jobs/<job_id>/` 即产物快照树。
+
+**`progress` 读取面（v0.4 §5.3 换人续跑落地，2026-09-16）**：worker 在自家 job 目录写
+`progress.jsonl`（`start`/`tool`/`final`/`handoff`/`error` 逐条），**全程零 git 依赖**——
+符合「worker 无 git 面」的结构约束；进展卡由主代理在 `snapshot` 时纳白名单入库。
+已快照 job 的卡只存在于 `task/<job_id>` 分支（snapshot 后 HEAD 归还 `main`），
+故 `--wm` 源走**两级查找**：先工作区，落空再 `git show task/<ID>:jobs/<ID>/progress.jsonl`，
+返回体 `source`（`job`/`worktree`/`wm_branch`）与 `ref` 标明读取出处；卡缺失如实报缺不伪造。
+坏行跳过不炸（诚实降级）；`handoff`/`auto_continue` 透出交回信号，**续跑裁决权在主代理，
+本命令不自动续跑**（`auto_continue` 恒 `false`）。
+
+## 4. 首个真实用例与进度
+
+| 事项 | 状态 |
+|---|---|
+| v0.1 三级闸实现 + 全流程测试（凭证闸/分支契约/冲突诚实/revert/CLI 冒烟） | **全绿** |
+| 进展面（progress.jsonl 纳白名单 + `progress` 读取命令 + 分支态两级查找） | **全绿**（`hive/test_wm_progress.py` 44 断言） |
+| 命名治理批次 0（10 job）结果合并 → 首个真实 snapshot 用例 | 等 DeepSeek key |
+| HMAC 签名（swarm 七元组口径）+ 远端私有仓推送 | 待办（第 14 条双清单前置） |
+| B 路纯 std 对象存储（摆脱 git 依赖） | 后路，不排期 |
+
+## 5. 设计边界（诚实）
+
+- snapshot 串行契约：并发多任务快照由主代理串行调度（合并权本就归主代理）；worker 间没有 git 并发面。
+- 快照中途失败可能残留 staging 目录（`wm-repo/jobs/<id>`），下次 snapshot 自动覆盖，不影响 main。
+- 冲突现场保留（不自动 abort），hint 给出 `merge --abort` 出口——处理权在主代理。
+- 工作记忆内容推 GitHub 前必须过第 14 条双清单（盘符绝对路径/密钥/个人标识），默认只存本地/推私有仓。

package/docs/hive//350/234/202/345/267/242/350/256/276/350/256/241_/347/220/206/350/256/272/345/257/271/351/275/220_v0.1.md

@@ -0,0 +1,191 @@
+# 蜂巢设计 · 理论对齐 v0.1
+
+> **定位**：本稿是**理论对齐层**——把《智能论3.4》（`docs/theory/智能论3.4.md`，5260 行）、蜂巢源码现状、外部学习成果（`D:\2_ai`，kimi-code 2026-09-22）三方对齐，回答「蜂巢按我们自己的理论应该如何设计」。
+> **分工声明**：工程实施真源 = `D:\2_ai\蜂巢记忆架构设计.md`（M1–M7 七机制，D1–D4 已裁决，P0 可开工）；候选优化项清单 = `D:\2_ai\蜂群优化-学习文档.md`（C1–C26）；源码级核实 = `D:\2_ai\蜂巢实现调研.md`。本稿不重复其施工细节，只补两个维度：**每项设计的理论条款锚点**、**每项候选的四态资格裁决**。
+> **边界**：本轮只产文档，不改蜂巢代码、不启 serve（蜂巢保持「迭代产品·暂时停用」态，见 `hive/README.md` 迭代状态章节）。是否提交推送由使用者另行决定。
+
+---
+
+## 〇 条件空间声明
+
+| 维度 | 声明 |
+|---|---|
+| 观测位置 | 全局观测层（设计者视角，智能论 1.4.2——可习得的观测方式，非身份特权）；对象 = 蜂巢子系统 + 理论真源 + 外部学习成果 |
+| 观测工具 | 理论条款解析（带行号）+ 源码取证（file:line，code-explorer 盘点）+ 外部成果消化（C1–C26/M1–M7/D1–D4/R1） |
+| 时间窗口 | 2026-09-22 单轮设计；理论版本 v3.4-draft-3；蜂巢引擎节点 mem_1789374897301 之后的迭代期 |
+| 存在约束 | D-005（rust 纯 std 零 crate 依赖）、文件协议即接口、worker 零 git、fail-closed、诚实终态；蜂巢已停用转迭代产品；单机单实例为边界 |
+
+**白箱三问（本稿整体）**：依据 = 智能论正文条款 + 蜂巢源码 + `D:\2_ai` 实测结论，三者均可复核；条件 = 上表四维，出界即失效；错后 = 裁决按条件层归因（三方条件空间/五失配维度），修订本稿并留变更记录。
+
+---
+
+## 一 素材面与三方对齐
+
+```
+理论真源            蜂巢现状                 外部学习成果（D:\2_ai）
+docs/theory/   ⇄   hive/{src,*.py}    ⇄    蜂群优化-学习文档.md（C1–C26，14 份 refs）
+智能论3.4.md        13 条已声明不变量           蜂巢实现调研.md（源码核实 v1.2）
+                    10 条未校验软约定           蜂巢记忆架构设计.md（M1–M7，P0–P2，D1–D4）
+```
+
+对齐方向不是单向的「理论指导工程」：`D:\2_ai` 的 R1 裁决（图扩展以条件裁决为硬限制、概率扩散仅限未知域）与智能论第六章 CRG「概率产生候选 / 条件裁决资格 / 验证确认事实」**同构互证**——外部调研收敛出的纪律与理论先验一致，这本身是理论有效性的一个数据点。
+
+---
+
+## 二 理论锚点映射表
+
+每行：理论条款（行号出处）→ 设计原则 → 蜂巢现状（file:line）→ 差距 → 归属（C#/M# = `D:\2_ai` 候选项/机制；「文档化」= 只需把既有正确性写进文档）。
+
+| # | 理论条款 | 设计原则 | 蜂巢现状 | 差距 | 归属 |
+|---|---|---|---|---|---|
+| A1 | 元公理2 熵变公理（L637–646）+ 协议降熵定理（L751）：多智能体系统天然趋向分歧噪声，稳定协作必须靠协议降熵；**协议效力取决于降熵能力，不取决于内容正确性** | 每个机制必须能回答「它降低了什么熵」，否则不该存在 | 原子领取 `claimed.lock`（`job.rs:95-102`）消灭任务竞争熵；tmp+fsync+rename（`job.rs:45-51`）消灭截断窗口熵；fail-closed 令牌（`orch.py:466-479`）消灭身份漂移熵；spec fail-fast（`spec.rs:84-165`）消灭坏任务入队熵 | 机制的降熵语义未成文；两处软约定反例：exec.py 写 result 用非原子 `open("w")`（`exec.py:96-98`，与 `job.rs:52-61` 不同源）、job_id 双格式无唯一性校验（`job.rs:35-39` / `mcp_server.py:200`） | 文档化 + 软约定收口（P0 顺带） |
+| A2 | 元公理3 共识不变公理（L648+）：**稳定协作必须收敛至可验证的一致状态；不可验证的共识等同于无共识** | 「完成 ≠ 被验证」；终态必须锚在盘面产物，不锚在状态字段或返回计数 | 终态判据唯一 = result.json 的 error 字段（`scheduler.rs:284-312`）；wm snapshot 凭证 = `ok:true`（`wm.py:120-128`）；expect_* 断言（`exec_cmd.py:223-238`）——但仅确定性分支有 | LLM 任务「执行器自报成功 = done」缺独立验证档；恢复判据不信产物（A12 行 C9） | C7/M5、C9/M1；裁决 D-1（§三） |
+| A3 | 3.1.1 位置效应（L2028–2040）：反思=新/验证=稳/记录=全/输出=通/维生=存，**不消除倾向而以反向制衡达成动态平衡** | 角色是结构位置，天然携带倾向 → 用身份隔离+制衡机制，不用「提示词恳求中立」 | session 隔离 `hive_job_*` / `hive_orch_*`（`orch.py:259`）；编排者可 review 裁决、不可动 anchor/self（令牌收窄，`orch.py` fail-closed 段）；worker 写权限限自家 job 目录（位置效应落码，`wm.py:11-14`） | 角色视图未参数化：spec 无 view 字段，收口读证据/读结论同视图 | C1/M7（view 三视图透传） |
+| A4 | 3.2.2 stable 租约（L2113–2129）：stable(S, t_verified, TTL)；**降级作用于状态、不作用于记录**；TTL 与 confidence 共享同一衰减核 | 结论有保鲜期，写入路径必须能表达「何时生效/何时失效」 | 认知图 validity 轴已存在（read 可 `validity=true`）；**蜂巢写入路径无 valid_from/valid_until 参数**（`exec.py:407-580`，grep 全文无）——C4 实锤 | 派生边+节点双缺效力轴 | C4/M4（透传，不做自动推导——写者声明非系统猜） |
+| A5 | 3.3 验证单元权力制衡（L2132–2140）：验证计算须受反思独立复核，不一致由维生裁决；**验证单元权力集中=单点故障** | 验证者本身要被验证；裁决看证据出处结构，不看多数票 | 双实例互验设计（定位=元认知与自我改进的正式工程基础）；编排者仲裁提示词「冲突以证据裁决不以多数票」（`orch.py:84`）——已与 ref-13（CAMA 伪多数）双侧印证，但**无结构化出处计数支撑** | 收口裁决缺独立源计数与纠正链台账 | C7+C22/M5（同源标记+纠正链侧车） |
+| A6 | 3.6 蜂群信息结构五特征（L2205–2212）：分布式协议 / 局部决策与宏观涌现 / 动态信息差 / 验证驱动信任 / 功能可重组 | 五特征即评分表，差距即迭代项来源 | 分布式协议✓（文件协议即接口）；局部决策✓（worker 自主领取+drain 停机，`scheduler.rs:3-9`）；动态信息差△（status/progress/心跳可见，但无信息差度量）；**验证驱动信任✗（无信任演化通道）**；功能可重组△（exec_py 可换 `HIVE_EXEC_PY`，worker 池固定 clamp 1..64） | 后两项见裁决 D-5（DEFER，防无证据数值化） | 评分表入本稿；远期路线（§五） |
+| A7 | 3.7 自由组合结构（L2215–2230）：无固定权威层级但具结构维护机制；稳定性条件 = 协议副本覆盖率≥50% + 信息交换密度 + 动态重组触发 | 单机固定 worker 池是自由组合的**退化形态**，须显式声明为边界而非终态 | 单 serve 单 jobs 目录守卫（`lib.rs:16-18`）；协议副本 = spec 契约 + README + 本稿，随仓分发（覆盖率≈100%） | 动态重组（worker 数弹性/多 serve 联邦）未实现 | 边界声明；远期（跨机=盲区60） |
+| A8 | 3.8 元认知孵化层（L2233–2240）：**状态暴露强制 / 递归判定强制 / 存在性门** | 系统状态必须可被外部观测（孵化元认知的前提） | `_serve.json` 心跳每拍刷新 + exec_py/exec_mode 资格自报（`job.rs:166-188`）；progress.jsonl 五类离散条目（start/tool/final/handoff/error）；doctor 三层判活（`main.rs:114-130`） | 状态暴露已有但**聚合观测面缺**（多任务全局视图只能逐 job poll） | 可见性面（借鉴点③）+ C8/M6 ingest 接线后认知图即全局视图 |
+| A9 | 3.9 分布式多实例架构（L2243–2254）：主/验证/仲裁/记录实例**共享同一套记录单元，信息差为零** | 记录单元必须单根；多写者必须有一致性协议 | 记录单元 = 认知图（mdcg 单根）；但蜂巢多进程各自经 lingshu_cg 实例写同一根，**mdcg 实例内存索引互相回写 = 9·12 病灶**——共享层信息差≠0 的活体实例 | 写前/写后协议缺失 | C23/M3（写后回读+写通道双轨制，D3 定案）/M6（ingest 单通道） |
+| A10 | 3.10 自迭代八步闭环 + 方向性自检（L2257–2282）：每 100 轮做方向正确性评估，由反思发起、验证独立复核、维生确认记录 | 迭代产品必须有周期化方向自检，不自检的迭代=局部优化漂移 | 「迭代状态：暂时停用」章节（`hive/README.md`）= 一次人工触发的方向性自检产物 | 无周期化机制 | 路线节奏锚（§五：每完成一个 P0/P1 批次做一次） |
+| A11 | PROP-DECISION-LAYER-003（L2302–2319）：L1 日常（低风险高频可逆）/L2 重要/L3 存在级；**层级归属可被验证单元复核**；L1 不可升级、L3 不可降级 | 任务与验证深度都要分层；分层判据外置（成本-收益-风险），不许执行者独占定层权 | 派发决策已分层（工作纪律第 17 条 A+C：L1 直跑留痕/改状态必派发）；任务面无层级字段，验证深度不随风险变化 | 三层验证档未成体系 | 裁决 D-3（§三）：文档化分层判据，spec 字段 DEFER |
+| A12 | 3.11 分层通用原则（L2323–2335）：**验证分层 = 快速验证/完整验证/协同验证** | 三档验证是理论结构，不是工程发明 | 快速 = expect_*（确定性分支）；协同 = 双实例互验设计；**完整验证（独立验证任务）无专用形态** | 三档对齐关系未声明 | 裁决 D-1/D-3 |
+| A13 | 1.7 隐式学习与蜂群（L2714–2720）：**条件空间声明比知识内容更轻量，适合作为蜂群通信的底层语言** | 实例间通信先传「在什么条件下看问题」，再传内容 | spec 已有 system_prompt/context_files/context_budget_tokens 承载对齐信息 | 无显式条件空间字段 | 裁决 D-6：DEFER（不加字段=不增协议熵） |
+| A14 | 蜂群架构奠基声明·四层对应（L4804–4811）：路径发现=反思/探索层 → 路径验证=验证/筛选层 → 路径锚定=记录/固化层 → 路径保护=维生/存续层 | 蜂巢的任务流就是这四层：探索（worker LLM）→ 验证（编排者收口+review）→ 锚定（lingshu_cg write 闸门）→ 保护（fail-closed+零 git worker+维生终裁=使用者） | 四层均有对应物且闸门齐全 | 未按此视角成文（散在各 README 节） | 文档化（本稿即载体） |
+| A15 | 奠基声明·共享层/本地层 + 合并机制 6.5（L4849–4861）：共享层=锚点+结构层（信息差为零）；本地层独立维护；**已验证路径同步共享层，未验证标记待验证不强制同步，冲突由验证复核+维生终裁** | 这是记忆分层的理论判据 | **wm 三级闸与其精确同构**：snapshot（凭证 `ok:true`=已验证才入库）→ merge（主代理显式审查=合并冲突由验证复核）→ revert（历史不丢=记录不删）；认知图 review 队列 = 待验证不强制同步；worker 本地 job 目录 = 本地层 | 同构已存在、未被命名——命名它 | 文档化（本节即首次命名） |
+| A16 | 附录18 蜂群自我意识声明（L4751–4776）：第六实例不参与具体事务、不拥有常驻决策权，只在条件空间切换时涌现，信息来源于整个蜂群的时空图聚合 | 设计者视角（本稿、裁决、方向自检）必须站在聚合信息上，不站在单 job 视角上 | 本稿的观测工具=三方聚合（理论+源码+外部调研）——实践已合 | 聚合观测面靠人肉（doctor/逐 job poll） | A8 可见性面 + C8/M6（ingest 后认知图=时空图聚合） |
+| A17 | 盲区60 通信瓶颈（L4111–4119）：实例跨物理节点时通信延迟使 D_norm 在间隙扩大 | 跨机部署前必须声明此盲区，不可默默扩张 | 单机文件协议（1s 粒度轮询）——单机内延迟可忽略 | 无 | 边界声明（§六）：跨机=盲区，未列入任何路线 |
+| A18 | 盲区67 情感权重跨模型污染（L4167–4171）：**蜂群同步仅传输离散事件标记，不传输连续权重值** | 实例间只传离散事实，不传连续内部状态 | progress.jsonl 五类离散条目 + result.json 终态 + 文件协议——worker 间零连续状态共享 | **天然合规** | 文档化 |
+| A19 | 核心价值顺序（知识综述·规律19）：**存在 > 连接 > 信任深化**；Value=ΔD_task·σ(Gain_task)（信息差缩小是筛选器、增益置信是定价器） | 蜂巢优先级：先保活（心跳/崩溃恢复/诚实终态）> 协议兼容（文件接口稳定）> 信任积累（验证档）；任务派发按 Value 定价 | 保活面最厚（心跳/判活/恢复/drain）；接口稳定性已声明（README）；信任面最薄（A6） | Value 定价只在人脑（第 17 条分诊），未进任务面 | 现状正确（价值顺序与投入面一致）；定价面远期 |
+| A20 | 否决式融合（知识综述·识别卡）：任一通道可否决（REJECT 优先），错误进入代价大于信息损失 | fail-closed 是理论立场不是工程偏好 | 令牌 fail-closed（`orch.py:466-479`）、principal factory None 即拒（`exec.py:590-598`）、spec 白名单外键显式拒绝（`mcp_server.py:274-282`）、config 解析失败拒拉起（`serve_start.py:47-60`） | 例外点未集中列出 | §六 诚实边界 + 裁决 D-4 |
+
+---
+
+## 三 设计裁决（白箱三问判定单）
+
+格式：依据（锚点）｜条件（适用范围）｜错后（失败如何被记录修正）｜裁决。
+
+### D-1 完成语义：done ≠ verified，验收锚在盘面
+
+- **依据**：A2（元公理3——不可验证的共识等同于无共识）+ A12（验证分层）。现状「done」只代表执行器自报成功（result.json 无 error 字段）；`expect_*` 只覆盖确定性分支。
+- **条件**：适用于一切 LLM 任务收口；确定性任务由 expect_* 即达成快速验证档。
+- **错后**：若验证任务本身造假，回退到 wm merge 主代理人工审查 = 维生终裁（理论位置：3.3 验证与反思不一致时维生裁决）。
+- **裁决：ACCEPT（语义先行，代码后随）**——本轮起文档统一口径：`done`=执行完成、`verified`=通过验证档；P0 不改代码；验证档落地 = C7/M5 收口裁决 + C15 验收矩阵。
+
+### D-2 恢复判据：产物说了算，判据前移
+
+- **依据**：A2 + A14（意义=被记录、被验证、被锚定的路径——恢复时盘面产物就是已锚定路径）。`D:\2_ai` 实锤：`recover_orphans`（`scheduler.rs:124-158`）不信产物，而 `classify_exit`（`:284-312`）信产物——同一代码两套判据。
+- **条件**：对「产物即证据」的任务充分；需要新鲜结果的任务必须显式声明 `rerun_on_recover:true`（D1 裁决），**系统不猜**（条件空间声明：本判据不作新鲜性保证）。
+- **错后**：误认陈旧产物 → result 留痕（旧 result 更名 `result.json.recovered-<ts>`）+ 测试反向对照（注释产物判据必须报红，`D:\2_ai` M1 验证判据）。
+- **裁决：ACCEPT**——M1（P0）照 `D:\2_ai` 设计稿施工，理论无异议。
+
+### D-3 决策与验证分层：三层任务 × 三档验证
+
+- **依据**：A11 + A12（PROP-DECISION-LAYER-003 + 3.11）。映射：
+
+| 任务层 | 判据（成本-收益-风险） | 验证档 | 蜂巢形态 |
+|---|---|---|---|
+| L1 确定性 | 零 LLM、秒级、可逆、产物可断言 | 快速 | `model="cmd"` + commands + expect_*（现状已有） |
+| L2 常规 LLM | 中风险、部分可逆（有 wm revert） | 完整 | 执行完成 + 编排者收口裁决（C7/M5 落地后含出处计数）或独立验证子任务 |
+| L3 不可逆高风险 | 改仓库/推远程/发发布件 | 协同 | 双实例互验 + 维生（使用者）终裁（现状：第 17 条改状态必派发+留痕，推送等由使用者确认） |
+
+- **条件**：层级判据外置（按产物落点/风险），不按「任务简单」的主观感受；层级归属可被编排者 review 复核（条款原文第 4 原则）。
+- **错后**：层级误判 → 收口 review 记录纠正链（C22 侧车），偏差历史不可遗忘（3.2 六类不可遗忘记录）。
+- **裁决：ACCEPT（判据文档化）+ spec 层级字段 DEFER**——不加字段，避免 spec 熵增（A1 降熵原则的反面应用）；等真实误判案例出现再议。
+
+### D-4 一致性：共享层必须真的信息差为零
+
+- **依据**：A9（3.9 共享记录单元）+ A15（合并机制）。9·12 病灶 = mdcg 实例内存索引互相回写 = 「共享层出现未协调的多写者」，是理论直接禁止的状态。
+- **条件**：`D:\2_ai` M3 三条纪律（写后回读必做 / 写通道双轨制：收口写=编排者独占 work_done+knowledge，过程性直写=worker 限 work_wip+contextual 且带来源行+on_conflict=record / 世代号后置 P2）。
+- **错后**：回读不一致 → 重试 1 次 → 如实 error（不静默）；冲突记录按 session（hive_job_*/hive_orch_*）回溯到具体 job 与编排者。
+- **裁决：ACCEPT**——M3.1（写后回读）随 P0 施工；双轨制为 D3 定案，本稿理论侧确认其与 3.9/合并机制对齐。
+
+### D-5 验证驱动信任与功能可重组：DEFER，不做无证据的数值化
+
+- **依据**：A6 五特征评分中两项缺失。理论自身给出谨慎信号：六实例阶段 4 触发条件 = T_avg≥0.75 持续 30 天（L2834），说明信任演化是**远期结构**，且 D_meta 纪律（既有裁决：不合成单一数值、任何数值化必须带审计字段）禁止无实测口径的信任分。
+- **条件**：解除条件 = 双实例互验常态化运行、产生足量「验证任务命中率」实测数据后，再设计信任分口径（候选：Beta 后验，与通道可信度识别卡同构）。
+- **错后**：BLINDSPOT 如实声明——信任分计算口径在蜂巢面当前**无判断路径**（无数据），不猜测（BLINDSPOT 是合法停止点）。
+- **裁决：DEFER → 路线阶段 3/4**（§五），触发条件可核。
+
+### D-6 条件空间声明字段：DEFER，不加字段是降熵
+
+- **依据**：A13（1.7 条件空间声明宜作蜂群通信语言）**与** A1（协议效力取决于降熵能力）的张力裁决：现状 spec 的 system_prompt + context_files 已承载条件对齐功能；新增显式字段在单机单模型现状下不产生新的信息差缩小，却增加协议面复杂度 = 净熵增。
+- **条件**：解除条件 = 跨模型/跨机多实例常态化（盲区60 出界）后重评。
+- **错后**：若对齐失败案例出现（子代理误读条件），先复用 A3 的 view 字段（C1/M7）按角色路由，不急于加条件空间字段。
+- **裁决：DEFER**。
+
+---
+
+## 四 外部学习成果裁定（`D:\2_ai`）
+
+### 4.1 裁决 R1 的理论同构确认
+
+`D:\2_ai` R1：「图扩展以条件裁决为硬性限制；概率扩散（PPR 类）仅在未知域（条件路由无解）允许」。智能论第六章 CRG：「概率产生候选 / 条件裁决资格 / 验证确认事实」。R1-附注：「自适应权重作用于候选排序，不得作用于资格判定」。**两者同构**——外部学术调研独立收敛到理论先验，R1 从「工程裁决」升级为「理论对齐裁决」，后续蜂巢任何检索/扩散类机制以 R1 为硬闸。
+
+### 4.2 候选清单 C1–C26 分组四态裁决
+
+裁决对象 = 候选项；施工细节一律以 `D:\2_ai\蜂巢记忆架构设计.md` 为真源，本稿只给资格。
+
+| 组 | 候选项 | 裁决 | 理论锚点 |
+|---|---|---|---|
+| P0 安全面 | C9/M1 恢复判据前移、C10/M2 进程树回收、C23.1/M3.1 写后回读 | **ACCEPT**（P0 可开工，与 `D:\2_ai` 分期一致） | A2（可验证共识）、A9（信息差为零）、3.4 保护协议 P0（系统自身受威胁=崩溃恢复） |
+| P1 记忆质量面 | C4/M4 效力轴透传、C7+C22/M5 同源标记+纠正链、C1/M7 角色视图 | **ACCEPT**（P0 后） | A4（stable 租约/效力轴）、A5（制衡+伪多数对策）、A3（位置效应/角色视图） |
+| P2 接线 | C8/M6 progress.jsonl→mdcg ingest（mdcg 侧规格已细化，使用者实施） | **ACCEPT** | A8/A16（状态暴露→时空图聚合）、A9（ingest 单通道=共享层单写者面） |
+| 结构扩展 | C2 超边验证器、C6 约化检验、C16 三元组链接、C19 clue 层 | **DEFER** | R1 硬限制 + ref-02 节俭性（能表示≠该这样表示）；均带「条件裁决优先」约束，待真实查询集证明需要 |
+| 诚实语义 | C3 写入 NOOP 第四态 | **候选维持** | 诚实终态（A2 旁支）：重复/无效写入显式化优于静默 |
+| 治理与背压 | C11 收口闸门显式旁路、C14 资源维度排队、C12 残余 mdcg_get 过滤、C24 四失效模式自检、C26 判据工程复审 | **候选维持**，其中 C26 升格为本稿写作纪律（每条裁决/路线项须「能红+反向对照+明确执行者」） | A1（降熵）、A20（fail-closed）、3.11（分层） |
+| 远期结构 | C15 三层验收矩阵、C17 产物同图、C18 未知域扩散收口、C20 推断标记降权、C21 常驻画像、C25 程序性记忆沉淀 | **候选/待设计维持** | A12（验证分层）、A15（同图=共享层）、R1（扩散收口）、D-5（信任面数据前置） |
+| 已否决/跳过 | ref-07 视频消化 | 维持原状 | — |
+
+### 4.3 dsh-omc 五借鉴点合并说明
+
+前轮调研（认知图 mem_1790077036580）的 5 个借鉴点已被 `D:\2_ai` ref-14 消化并落进候选清单：①依赖门禁（dsh-omc DAG 不变量）→ 蜂巢单层编排现状无依赖链，暂无对应 C 项，**留观察**；②验证成一等任务 → C7/C15；③可见性面 → A8/C8；④fail-open 取舍 → A20/C24（维持 fail-closed）；⑤纪律配断言 → C26（已升格）。来源路径：mem_1790077036580 → ref-14 → C 项，无遗漏、无冲突。
+
+---
+
+## 五 分阶段迭代路线（对齐理论「阶段 1–4 部署」）
+
+理论自身是分阶段部署的（L2828–2834：阶段 1=1 实例 → 阶段 4=6 实例，触发条件可核）。蜂巢对齐如下——**理论阶段与工程批次双轴，每个节点触发条件可核，节奏锚 = A10 方向性自检（每完成一批做一次）**：
+
+| 蜂巢阶段 | 理论对应 | 内容 | 触发条件（进入）/ 完成判据（能红） |
+|---|---|---|---|
+| 阶段 1（现状） | 单实例五单元 | serve+执行器（探索/输出）+编排者（验证/仲裁雏形）+wm+认知图（记录）+使用者（维生终裁） | 已达成；A14 四层闸门齐全 |
+| 阶段 2（P0 安全面） | 同上·补保护协议 | M1 恢复判据前移、M2 进程树回收、M3.1 写后回读 + 本稿软约定收口（exec.py result 原子写、job_id 唯一性） | 进入=使用者批准 P0 施工；完成=cargo test 全绿含 `recover_by_artifact`/`kill_tree_kills_grandchildren` 反向对照 + 方向自检 1 次 |
+| 阶段 3（P1 质量面） | +反思验证独立实例的雏形 | M4 效力轴、M5 同源标记+纠正链、M7 角色视图、D-1 验证档口径落地、C15 验收矩阵 | 进入=阶段 2 完成判据全绿；完成=同源多证不被重复计数可复现、纠正链可回放、三 view 差异可复现 |
+| 阶段 4（P2 接线+远期） | 完整六实例（记录单元聚合） | M6 ingest 接线（使用者）、信任分口径设计（D-5 解除条件达成后）、可见性聚合面 | 进入=阶段 3 完成且双实例互验有实测数据；触发条件类比理论 T_avg≥0.75·30 天——**蜂巢版：验证任务命中率有连续 30 天实测记录** |
+
+明确**不排期**（边界而非遗忘）：跨机联邦（盲区60）、动态重组（A7）、条件空间声明字段（D-6）、spec 层级字段（D-3）。
+
+---
+
+## 六 诚实边界（三分）
+
+**理论要求（已满足或路线内）**：可验证共识（A2/D-1）；降熵结构（A1）；反向制衡（A3/A5）；共享层-本地层合并机制（A15，wm 三级闸已同构）；离散事件同步（A18 天然合规）；分层决策与验证（A11/A12/D-3）。
+
+**工程选择（结构性取舍，非遗留缺陷）**：rust 纯 std（D-005，TLS 不进 rust）；文件协议即接口（1s 粒度轮询，非信号级）；单机单 serve（A7 退化形态）；worker 无状态零 git（位置效应落码）；exec_mode 文件名启发式（`scheduler.rs:42-43` 自认诚实边界）；kill 1s 检测粒度。
+
+**盲区（未决，如实标记）**：
+1. 跨机部署 D_norm 间隙（理论盲区60）——未列路线；
+2. 信任分口径无实测数据（D-5 BLINDSPOT）；
+3. 软约定两处：exec.py result 写入非原子（与 `job.rs:52-61` 原子承诺冲突，`exec.py:96-98`）、job_id 双格式跨进程同毫秒冲突无校验（`job.rs:35-39`/`mcp_server.py:200`）——已列入阶段 2 收口；
+4. 验证任务自身的造假可能（D-1 错后路径依赖维生终裁，未自动化）。
+
+---
+
+## 七 与既有件的关系（不重复建设）
+
+| 既有件 | 关系 |
+|---|---|
+| `D:\2_ai` 三文档（学习文档 C1–C26 / 实现调研 / 架构设计 M1–M7） | **工程实施真源**；本稿是理论对齐层，施工细节一律引用不复制 |
+| `docs/hive/蜂巢工作记忆_项目计划.md` | wm.py 的唯一记忆状态源；本稿 A15 只做理论命名，不改其内容 |
+| 双实例互验设计 | 理论对应 3.9 验证实例 + A5 制衡；是阶段 3/4 的前置件 |
+| 工作纪律第 17 条（L1 直跑/必派发+留痕） | PROP-DECISION-LAYER-003 在派发决策面的既有落码；D-3 把同一分层原则扩展到任务/验证面，口径一致 |
+| 认知图（mdcg） | 3.9 记录单元本体；9·12 病灶即 A9 违例，M3/M6 为修复 |
+
+---
+
+## 变更记录
+
+| 日期 | 版本 | 变更 |
+|---|---|---|
+| 2026-09-22 | v0.1 | 初稿：条件空间声明 + 三方对齐（理论真源/蜂巢源码/D:\2_ai 学习成果）+ 20 条理论锚点映射 + 6 项设计裁决（D-1~D-6）+ C1–C26 分组四态裁决 + R1 同构确认 + 四阶段路线（触发条件可核）+ 诚实边界三分 |

package/docs/hive//350/234/202/345/267/242/350/277/255/344/273/243_/345/256/217/350/247/202/344/270/216/347/276/244/344/275/223/350/260/203/345/272/246_v0.1.md

@@ -0,0 +1,90 @@
+# 蜂巢迭代 · 宏观与群体调度 v0.1（设计稿）
+
+> **定位**：承接《蜂巢设计·理论对齐 v0.1》路线，把蜂巢从「进程间调度」升级为三层调度——**微观进程调度（现状，已闭环）→ 中观任务 DAG（本期施工）→ 宏观群体调度（规划）**。参照基线：dsh-omc（`D:\program\yjh051108dsh-omc-main`，七不变量 + `blocked_by` + 死锁探测器，本地调研节点 mem_1790077036580 / ref-14）。
+> **约束**：D-005 不破；文件协议即接口不破；**暂不推送**（蜂巢稳定性实测期）。
+
+---
+
+## 〇 条件空间声明
+
+| 维度 | 声明 |
+|---|---|
+| 观测位置 | 设计者视角（全局观测）：蜂巢三层调度 × 理论条款 × dsh-omc 参照 |
+| 观测工具 | 源码取证（hive/src + dsh-omc DESIGN-OMC/teamkit）+ 批次 1–4 实测台账 + 认知图 mem_1790077036580 |
+| 时间窗口 | 2026-09-22 设计；I-1 本期施工，I-2+ 分期 |
+| 存在约束 | 单机单 serve（跨机=盲区60 未出界）；worker 无状态；文件协议稳定；设计者令牌唯一（579ce0 根） |
+
+## 一 三层调度模型
+
+```
+┌─ 宏观 · 群体调度（规划，I-2+）────────────────────────────┐
+│ 群体注册表（多 serve 实例：按宿主/模型/能力分群体）        │
+│ 能力路由：任务 → 匹配群体；跨群体只同步已验证产物（A15）  │
+│ 死锁探测器：全 blocked 而根未收口 → 判失败上报（dsh-omc） │
+├─ 中观 · 任务 DAG（本期施工，I-1）──────────────────────┤
+│ spec.depends_on 依赖门禁：无环 + 依赖完整 + 失败传播      │
+│ 熔断：评审轮上限 / 步级·任务级双层超时（已有）            │
+├─ 微观 · 进程调度（现状，已闭环）────────────────────────┤
+│ worker 池 / claimed.lock 互斥 / 心跳 / kill_tree / 恢复  │
+└──────────────────────────────────────────────┘
+```
+
+**每层回答一个调度问题**：微观「哪个进程跑它」（互斥）；中观「它什么时候能跑」（依赖）；宏观「哪个群体跑它」（能力与信任路由）。
+
+## 二 理论锚点
+
+| 锚点（行号） | 对本设计的约束 |
+|---|---|
+| 3.7 自由组合（L2215–2230） | 群体间无固定权威层级：注册表是**观测面**不是控制面——路由是建议，裁决在各群体自己（respecting 局部决策与宏观涌现） |
+| 3.9 分布式多实例（L2243–2254） | 群体角色分工：主群体（编排）/验证群体/记录单元（认知图单根）——宏观层不是复制五单元，是**群体级职能分工** |
+| A15 共享/本地层 + 合并机制（L4849–4861） | **跨群体只同步已验证产物**（result.json ok）；未验证不强制同步——跨群体协议 = 文件投放 + 终态回执，零连续状态 |
+| 盲区60（L4111） | 跨机=盲区：宏观层先做**单机多群体**（多 jobs 目录），跨机等文件同步层立项，不默默出界 |
+| 决策分层（L2302） | 宏观任务= L2/L3（重要/不可逆）；微观执行= L1——宏观层调度决策必须留痕（谁路由、为何路由） |
+| 降熵（A1） | 每层机制必须回答降了什么熵：DAG 降「顺序错误重试熵」，路由降「能力错配熵」，注册表降「群体发现熵」 |
+
+## 三 dsh-omc 七不变量对照（逐条：蜂巢现状 → 差距 → 落点）
+
+| 不变量 | 蜂巢现状 | 差距 | 落点 |
+|---|---|---|---|
+| DAG 无环 | 无依赖概念 | **缺** | I-1：submit 侧沿 depends_on 链 DFS，遇自身/已访问即拒 |
+| `\|running(e)\|≤1` 单执行者互斥 | `claimed.lock` 原子领取 | 已满足 | — |
+| 调度幂等 | job_id 唯一 + 文件协议原子写 | 已满足（提交幂等性弱：重复 submit 产生新 job——记观测不阻塞） | — |
+| 评审轮 ≤ k_rev(3) | 编排者收口无裁决轮次熔断 | **缺** | I-4：编排者裁决轮次上限（P1） |
+| 级联取消闭包 | 无失败传播 | **缺** | I-1：依赖终态非 done → 下游直接 error（不执行） |
+| 依赖完整 | 无依赖概念 | **缺** | I-1：submit 校验依赖存在；scheduler 校验依赖终态 |
+| 崩溃恢复 | recover_orphans + M1 产物判据 | 已满足 | — |
+
+**dsh-omc 两条治理一并采纳**：①死锁探测器（宏观层：全部任务 blocked/error 而根未收口 → doctor 判「项目停滞」上报——把停滞判为失败，不是证明不死锁）；②「每轮必须出三态」——编排者收口每子任务必给 accept/reject/needs_rework 之一（提示词纪律已有，I-4 补结构化）。
+
+## 四 分期
+
+| 期 | 内容 | 触发条件（进入）/ 完成判据（能红） |
+|---|---|---|
+| **I-1（本期施工）** | 中观第一格：`spec.depends_on` 依赖门禁（提交侧无环+存在性；调度侧终态检查+失败传播） | 本设计稿获批准；完成=cargo test 含依赖三断言（未满足不领/满足即领/失败传播）+ rebuild + 真实链路验证 |
+| I-2 | 宏观第一格：群体注册表 `hive/swarm/registry.json`（swarm_id/jobs_dir/model/能力标签/心跳）+ `hive submit --swarm` 能力路由 + doctor 多群体汇总 | I-1 完成判据全绿 |
+| I-3 | 可见性聚合：多群体状态汇总视图（A8/A16 状态暴露→聚合） | I-2 完成 |
+| I-4 | 裁决轮次熔断（k_rev=3）+ 收口三态结构化 | I-1 完成即可并行 |
+| 不排期 | 跨机联邦（盲区60）、动态重组触发（A7） | 文件同步层立项后 |
+
+## 五 I-1 施工细节（本期）
+
+- **spec.rs**：可选字段 `depends_on: Vec<String>`；校验每项 `h` 前缀格式（submit 侧 fail fast）。
+- **main.rs submit**：`depends_on` 非空时——①每个依赖的 job 目录必须已存在（依赖完整）；②沿链 DFS 环检测（visited 集合，回到本 job_id 即拒「依赖成环」）。
+- **scheduler.rs 主循环**：pending 任务先查依赖——
+  - 任一依赖 job 不存在 → 终态 `error`「依赖不完整：<id>」（提交后依赖被删的防御）；
+  - 任一依赖终态 ∈ {error, timeout, killed} → 终态 `error`「依赖失败传播：<id> 终态 <state>」（级联取消，不执行）；
+  - 任一依赖仍 pending/claimed/running → 本拍跳过（等待）；
+  - 全部 `done` → 正常领取。
+- **能红判据**（ref-14 标准）：①依赖未终态 → 任务停留 pending 不领取（删依赖检查必红）；②依赖 done → 正常执行；③依赖 error → 下游直接 error 且不执行（删传播逻辑必红）；④环提交被拒；⑤依赖目录不存在 → error。
+
+## 六 诚实边界
+
+- **理论要求**：依赖完整/失败传播/无环 = 可验证共识（A2）在任务编排面的落码；级联取消 = 保护协议（3.4）的任务级投影。
+- **工程选择**：依赖只在提交时声明（静态 DAG，不支持运行时动态加边——dsh-omc 同款边界）；失败传播是硬失败（不做「跳过依赖继续」的软模式，避免静默错执行）。
+- **盲区**：宏观层多群体路由的信任度量（哪群体可信）**无实测数据**（D-5 BLINDSPOT 延续）；跨机 D_norm 间隙；动态加依赖的表达力边界。
+
+## 七 变更记录
+
+| 日期 | 版本 | 变更 |
+|---|---|---|
+| 2026-09-22 | v0.1 | 初稿：三层模型 + 理论锚点 + 七不变量对照（三缺三有一观测）+ 分期（I-1 本期施工）+ I-1 施工细节 |