@sema-agent/server 7.134.0 → 7.135.0

package/dist/execution-lane-caps.js

@@ -265,19 +265,6 @@ export function laneWiresExecutionEnv(lane) {
             return false;
     }
 }
-export function isSingleMachineDefaultLane(remoteExec) {
-    return remoteExec?.provider === "host" && remoteExec.singleMachineDefault === true;
-}
-export function laneCapabilityHolds(cap, deployment) {
-    switch (cap) {
-        case "supported":
-            return true;
-        case "unsupported":
-            return false;
-        case "single-user-only":
-            return deployment.requirePrincipal !== true;
-    }
-}
 export const PLANNED_LANE_DIVERGENCES = Object.freeze([]);
 export const E2B_SANDBOX_HOME = "/home/user";
 export function executionLaneHomeDir(deployment) {

package/dist/file-history-capture.d.ts

@@ -1,12 +1,12 @@
 /**
- * S-589 → S-724 —— 文件历史的**装配单点**与能力词 `fileHistoryCapture` 的闭集(叶模块:只 type-import store-backend 与 core 型)。
+ * [ref] → [ref] —— 文件历史的**装配单点**与能力词 `fileHistoryCapture` 的闭集(叶模块:只 type-import store-backend 与 core 型)。
  *
  * ## 病史
- * S-589(7.97.0):`boot/budget-tracing.ts` 只要后端有文件历史店就无条件交给 core(`RunnerDeps.fileHistoryStore`)。core 的首次
+ * [ref](7.97.0):`boot/budget-tracing.ts` 只要后端有文件历史店就无条件交给 core(`RunnerDeps.fileHistoryStore`)。core 的首次
  * 触碰捕获当时是**进程级**的:接了店就恒捕获,没有任何单会话 / 单 run 的杠杆。于是用户在客户端关掉「文件检查点」关掉的只是
- * 提示,文件字节照旧进 `file_history_*`。S-589 给了部署旋钮 `FILE_HISTORY_CAPTURE`,而 core 那时只有一种写法表达「不捕获」——
+ * 提示,文件字节照旧进 `file_history_*`。[ref] 给了部署旋钮 `FILE_HISTORY_CAPTURE`,而 core 那时只有一种写法表达「不捕获」——
  * **不接店** ⇒ 旋钮关 = 摘店,代价是已存历史也一起读不了(restore / rewind / 2c sync 一并关)。
- * S-724(7.104.0):core 7.31.0 收了两件 —— 部署的**捕获位** `RunnerDeps.fileHistoryCapture: "off"`(店照接,只停新捕获,
+ * [ref](7.104.0):core 7.31.0 收了两件 —— 部署的**捕获位** `RunnerDeps.fileHistoryCapture: "off"`(店照接,只停新捕获,
  * 已存历史照常服务 `restoreFiles` / `rewindFilesTo`)与请求级关断词 `TaskSpec.fileHistory: "disabled"`。旋钮改落 core 的同名座:
  * **名字说的是「捕获」,就只关捕获** —— 一条旋钮一个意思。
  *
@@ -19,14 +19,14 @@
  *    core 的部署捕获位({@link coreFileHistoryCaptureSeat},`boot/runner-deps.ts`)与能力词(`http/routes/capabilities.ts`)——
  *    core 收到的与能力面说的不可能各说各话。捕获位 `"off"` ⟺ 店在 ∧ 旋钮关;**没有店的部署形不下发**该位:core 对
  *    「off 但没店」拒 prepare(`config.invalid_file_history_capture`,「nothing to switch off」),而旋钮的意思「不捕获」在没店的
- *    部署上本来就成立 —— 旋钮照样无条件生效,只是那一形无事可关(选这一臂而不是拒启的理由见 CHANGELOG 7.104.0 S-724 条:
+ *    部署上本来就成立 —— 旋钮照样无条件生效,只是那一形无事可关(选这一臂而不是拒启的理由见 CHANGELOG 7.104.0 [ref] 条:
  *    拒启会把「形合法、意思成立」的配置判成错,且会与 auto 后端的降级臂耦合)。
  * ⚠️ 关掉 ≠ 删掉:翻旋钮**不**做任何批量删除;已捕获的历史照旧被 restore / rewind / sync 读用,按既有的会话删除 /
  * 留存规则清理。要让已存历史也不可用,部署今天的出路只有逐会话 `DELETE /v1/sessions/:id` 与留存清扫(见 USAGE)。
  *
  * ## 能力词为什么是 `off` / `on-optional` 两词
- * cli 要的是「`/config` 那个开关该不该出现」。三词闭集的设计(S-589)是 `off` / `on-always` / `on-optional`;S-589 时第三词
- * 结构上不可达(没有单 run 不捕获位)。S-724 起请求词 `fileHistory: "disabled"` 受理 ⇒ 捕获中的部署恒可按 run 关掉 ⇒
+ * cli 要的是「`/config` 那个开关该不该出现」。三词闭集的设计([ref])是 `off` / `on-always` / `on-optional`;[ref] 时第三词
+ * 结构上不可达(没有单 run 不捕获位)。[ref] 起请求词 `fileHistory: "disabled"` 受理 ⇒ 捕获中的部署恒可按 run 关掉 ⇒
  * `on-optional` 成真,而 `on-always`(「捕获中且关不掉」)**结构上不可达** —— 预先声明一个到不了的词等于给客户端一个
  * 永远等不到的分支,所以删词不留(7.97.0–7.103.x 的 worker 仍会发它,消费端读法在契约附录 B)。
  */
@@ -52,13 +52,13 @@ export interface FileHistoryAssembly {
     /** 擦除脸:在场 ⟺ 后端在(与旋钮无关;是 {@link store} 的删除类动词视图)。 */
     readonly erasure: FileHistoryErasureFace | undefined;
 }
-/** 装配:「这台部署有没有文件历史店」的唯一判定。旋钮不在这里 —— 它只关捕获,不摘店(S-724)。 */
+/** 装配:「这台部署有没有文件历史店」的唯一判定。旋钮不在这里 —— 它只关捕获,不摘店([ref])。 */
 export declare function assembleFileHistory(backend: StoreBackend | undefined): FileHistoryAssembly;
 /**
  * 「捕不捕」的**唯一**判定(纯函数):能力词。`store` = 装配出来的店(在不在),`knob` = 部署旋钮 `FILE_HISTORY_CAPTURE`
  * (`config.fileHistoryCapture`)。从**装配结果**派生,不照旋钮字面回声:后端本来就没有这只店的部署同样是 `off`。
  *
- * 与 `rewindFiles` 分叉(S-589 当时写下的分叉条件,自本版成真):本词答「这台部署捕不捕、能不能按 run 关掉」,
+ * 与 `rewindFiles` 分叉([ref] 当时写下的分叉条件,自本版成真):本词答「这台部署捕不捕、能不能按 run 关掉」,
  * `rewindFiles` 答「这台部署能不能还原」—— 旋钮关的部署本词 `off` 而 `rewindFiles` 仍为真。
  */
 export declare function fileHistoryCaptureOf(store: object | undefined, knob: boolean): FileHistoryCapture;

package/dist/file-history-disclosure.d.ts

@@ -1,5 +1,5 @@
 /**
- * S-157④ —— SQL file-history 店的 **typed 永久失败**披露座:散文一个铸点 + 机器面一只 sink。
+ * [ref]④ —— SQL file-history 店的 **typed 永久失败**披露座:散文一个铸点 + 机器面一只 sink。
  *
  * ## 病(基线 v7.79.0 逐行亲核 + 亲跑)
  * `plugins/blob-backend.ts:55` 的 `BlobTooLargeError` 带 typed 判别码 `blob_too_large_for_sql`,头注
@@ -12,14 +12,19 @@
  *   括号词当 metric label —— 而第一个括号词恒是引擎自己的闭集码。实测:「这个文件永远存不进这口店」
  *   与「连接被重置」在 `rewind_snapshot_failed_total` 上**同形** `code="snapshot_failed"`。
  * · **trackEdit(首触备份)腿**:本服务用引擎默认的 `onTrackFailure:"refuse"`(`boot/runner-deps.ts` 亲读),
- *   那条路 **完全不走 onError** —— 引擎把 `(track_failed: <本店 message>)` 念给模型,末句是
- *   「Retry when the file-history store is healthy.」(`prepare-file-history.js`)。对这枚码那是永远
- *   不会到来的一天,而**运维面一个计数都没有**:这条腿今天在遥测上完全不可见。
+ *   那条路 **完全不走 onError** —— 引擎把拒句念给模型。core 7.54.0 及以前那句在 300 字界里被店的 message
+ *   截断,模型连「Retry when the file-history store is healthy.」都听不到;core 7.55.0([ref] T2)起引擎的整句
+ *   (码、引导语、后果)都到模型,引导语按店判的 `FileHistoryError.permanence` 二选一:`terminal` ⇒「这是永久故障,
+ *   店修好之前别重试」,否则「Retry when the file-history store is healthy.」。所以这枚码要**判成 `terminal`**,
+ *   模型才不会被叫去重试一件永远不会成的事;而**运维面一个计数都没有**:这条腿今天在遥测上完全不可见。
  *
  * ## 修法(源头留痕,不走文本通道)
- * · **散文面**({@link discloseCaughtFailure} 的返回值):把 caught error 的 typed `code` 写成一个括号词
+ * · **散文面**({@link foldCaughtFailure} 的 `text`):把 caught error 的 typed `code` 写成一个括号词
  *   前置到它自己的 message 前 —— **不 `instanceof` 单挑任何一个类**(身上有字符串 `code` 就折),该店
- *   11 处折点全部改走这一只函数。人与模型因此看得到「这是哪一类失败」。
+ *   的折点全部改走这一只函数。人与模型因此看得到「这是哪一类失败」。
+ * · **判断面**(同一只函数的 `fault`,core 7.55.0 `FileHistoryError.permanence`):永久码表里的 typed 码 ⇒
+ *   `{ permanence: "terminal" }`,其余 ⇒ `{}`(没判 —— 引擎照旧给重试引导语)。折点把它摊进店答的
+ *   `FileHistoryError`;引擎的拒句引导语、rewind 披露、`terminal.detail` 都读这一格,**不读散文**。
  * · **机器面**(同一只函数的副作用):码取自 typed 错**对象**、对闭集词表判定,**绝不从散文里抠**。
  *   🔴 这一条是 codex R1-[high] 验真后的定形:文本通道**天然可伪造** —— 一个名叫
  *   `(blob_too_large_for_sql).txt` 的文件读不出来时,它的路径就在 `snapshot_failed` 的散文里,任何
@@ -29,21 +34,28 @@
  *   (`file_history_permanent_failure_total{code}`)、**每进程每码一条 warn**(第二条起零新增内容,而
  *   20G 树的用户每 turn 撞一次)、装配前累计的次数在 install 时补进 metrics。
  */
-import { FILE_HISTORY_ERROR_CODES } from "@sema-agent/core";
+import { FILE_HISTORY_ERROR_CODES, type FileHistoryError } from "@sema-agent/core";
 import type { Logger } from "./observability/logger.js";
 import type { Metrics } from "./observability/metrics.js";
 interface Sink {
     logger?: Logger;
     metrics?: Metrics;
 }
+/** 一次 caught error 的折法:`text` = 店侧散文(带 typed 码括号词),`fault` = 店对这次故障的判断(摊进 `FileHistoryError`)。 */
+export interface CaughtFailure {
+    readonly text: string;
+    readonly fault: Pick<FileHistoryError, "permanence">;
+}
 /**
- * 把一个 caught error 折进店侧散文,**并**在它是一枚 typed 永久失败时留痕。
+ * 把一个 caught error 折成店侧的散文 + 判断,**并**在它是一枚 typed 永久失败时留痕。
  *
- * 返回值 = 散文形:带 typed `code` 的前缀一个括号词(`(blob_too_large_for_sql) blob of … exceeds …`),
+ * `text` = 散文形:带 typed `code` 的前缀一个括号词(`(blob_too_large_for_sql) blob of … exceeds …`),
  * 不带的**逐字**是原 message(transient 失败的文案因此与本批之前一字不差)。
+ * `fault` = 判断形(core 7.55.0 `FileHistoryError.permanence`):永久码表里的码 ⇒ `{ permanence: "terminal" }`;其余 ⇒ `{}`(店不知道 ——
+ * 驱动 / 库的错码是不是会自己好,不归本店判)。
  * 副作用 = 机器形:码取自错误对象,逐次计数 + 每进程每码一条 warn。观测绝不抛。
  */
-export declare function discloseCaughtFailure(err: unknown): string;
+export declare function foldCaughtFailure(err: unknown): CaughtFailure;
 /** 装配层把 logger/metrics 接上(main.ts,与 `installFailOpenRecorder` 同一处)。 */
 export declare function installFileHistoryFailureRecorder(deps: Sink): void;
 /** 本进程逐码累计(测试/诊断读面)。 */
@@ -52,7 +64,7 @@ export declare function fileHistoryPermanentFailureCounts(): ReadonlyMap<string,
 export declare function resetFileHistoryFailureRecorderForTest(deps?: Sink): void;
 /** rewind 粗码臂的码词 = core 的闭集(值与型同一源:`FILE_HISTORY_ERROR_CODES`)。 */
 export type FileHistoryErrorCode = (typeof FILE_HISTORY_ERROR_CODES)[number];
-/** rewind 臂一次失败的粗码:文本里**第一个**在册的 `(码)` / `(码:`;没有 ⇒ `unknown`。纯函数、不抛。 */
+/** rewind 臂一次失败的粗码:`FileHistoryStoreError` 上的那一格(在闭集里);否则 `unknown`。纯函数、不抛。 */
 export declare function rewindFailureCode(err: unknown): FileHistoryErrorCode | "unknown";
 export {};
 //# sourceMappingURL=file-history-disclosure.d.ts.map

package/dist/file-history-disclosure.js

@@ -1,4 +1,4 @@
-import { FILE_HISTORY_ERROR_CODES } from "@sema-agent/core";
+import { FILE_HISTORY_ERROR_CODES, FileHistoryStoreError } from "@sema-agent/core";
 const PERMANENT_STORE_FAILURE_CODES = {
     blob_too_large_for_sql: {
         note: "a blob is larger than this deployment's SQL snapshot-blob cap — the same file will fail every turn until the deployment changes",
@@ -29,14 +29,15 @@ function drainToMetrics() {
         }
     }
 }
-export function discloseCaughtFailure(err) {
+export function foldCaughtFailure(err) {
     const message = err instanceof Error ? err.message : String(err);
     const code = err?.code;
     if (typeof code !== "string" || code === "")
-        return message;
-    if (isPermanentCode(code))
+        return { text: message, fault: {} };
+    const permanent = isPermanentCode(code);
+    if (permanent)
         recordPermanent(code, message);
-    return `(${code}) ${message}`;
+    return { text: `(${code}) ${message}`, fault: permanent ? { permanence: "terminal" } : {} };
 }
 function safely(record) {
     try {
@@ -90,12 +91,6 @@ export function resetFileHistoryFailureRecorderForTest(deps = {}) {
 const FILE_HISTORY_ERROR_CODE_SET = new Set(FILE_HISTORY_ERROR_CODES);
 const isFileHistoryErrorCode = (w) => FILE_HISTORY_ERROR_CODE_SET.has(w);
 export function rewindFailureCode(err) {
-    const text = err instanceof Error ? err.message : String(err);
-    for (const m of text.matchAll(/\(([a-z_]+)[):]/g)) {
-        const word = m[1];
-        if (isFileHistoryErrorCode(word))
-            return word;
-    }
-    return "unknown";
+    return err instanceof FileHistoryStoreError && isFileHistoryErrorCode(err.code) ? err.code : "unknown";
 }
 //# sourceMappingURL=file-history-disclosure.js.map

package/dist/fleet/drain-entry.d.ts

@@ -72,10 +72,10 @@ export type DrainEntryAnswer = DrainReceipt | DrainDeadlineRefusal;
  *  · `draining` / `since` / `actionId` / `deadlineAt` —— **只由** {@link enter} 整组写入(排空事实 = 契约 `EngineDraining`);
  *  · `enter` —— 唯一入口(收尾链装;缺席 = 这个进程没有收尾链,如嵌入宿主 / 测试夹具);
  *  · `yieldInflight` —— 让出本副本在飞的可抢占腿(`createHttpServer` 装);
- *  · `endSubscriptions` —— 关掉本副本打开着的只读订阅流(发一帧 `draining` 终帧再关;`createHttpServer` 装,S-1281)。订阅流不是在飞的工作
+ *  · `endSubscriptions` —— 关掉本副本打开着的只读订阅流(发一帧 `draining` 终帧再关;`createHttpServer` 装,[ref])。订阅流不是在飞的工作
  *    (不进 `inflight`),排空不等它;收尾链在排空进入那一拍与硬停起点各调一次(排空期间新开的订阅在硬停那一拍收);
  *  · 其余四只是既有的读口(在飞数 / 活性时钟 / 附着流),语义见 `http/server.ts`。`inflight` 只数**工作**(run 腿 / 计费提交 / HITL 应答 /
- *    admission 期的普通请求),只读订阅只进 `attachedStreams`(S-1281)。
+ *    admission 期的普通请求),只读订阅只进 `attachedStreams`([ref])。
  */
 export interface DrainState {
     draining: boolean;

package/dist/fleet/fleet-bus.d.ts

@@ -53,7 +53,7 @@ export interface FleetTaskRow {
      *  🔴 与 `name` 分域:`name` 是**显示名**(源 `description ?? name`,模型自由文本);本键是**身份键**,
      *  消费端按串相等把「@某个名字」绑到这一行(同类型两个子代在 `agentType` 上不可分,在本键上可分)。
      *  ADDITIVE / tolerate-absent:**缺席 = 一次匿名委派**(不是「不知道它叫什么」)—— 7.25.0 之前本键在本仓
-     *  没有任何源,恒缺席。**VERBATIM,不过 `redactSecrets`**(S-546 B6①:本注此前写「与 `name` 同一道边界,emit 前
+     *  没有任何源,恒缺席。**VERBATIM,不过 `redactSecrets`**([ref] B6①:本注此前写「与 `name` 同一道边界,emit 前
      *  redact」,而三处铸点从本键到货起就是原样投 —— 见本文件 spawn / tick / terminal 三臂的行注与
      *  `trace/core-keyset-guard.ts` 的 `spawnName` 记账):它是**身份键**,消费端按串相等绑行,脱敏会把两个合法队友名
      *  改写成同一串;出生点校验过的字符集里也没有可脱敏的形。残余(已披露)= 有人把真凭据当队友名写进
@@ -194,6 +194,10 @@ export interface FleetWorkflowRow {
      *  停驻的 workflow run 终态 = `status:"failed"` + `errorCode:"workflow.agent_parked"`:`status` 词表不加字(不另铸专用 status 词),
      *  「停驻」与「真失败」靠这一位分开。run 行没有码 ⇒ 键缺席(不铸空串);缺席也可能是老服务端,消费方同形处置:退回只读 `status`。 */
     errorCode?: string;
+    /** ADDITIVE / tolerate-absent(core 7.55.0 [ref]):run **还在跑**、且至少一条腿停在审批门上 ⇒ `true`;否则**缺席**(永不 `false`)。
+     *  引擎的一次派生 `runParkedOf(run)`(停驻行的唯一定义 `parkedAgentsOf`),本仓不自判、不另铸;`status` 三词不加字。排空后的停驻终态是
+     *  `status:"failed"` + `errorCode:"workflow.agent_parked"`(上一位),本位在那里缺席 —— 一个状态一个词。消费方把两形都渲成「等审批」。缺席也可能是老服务端。 */
+    parked?: true;
     doneCount?: number;
     /** 计划总数(= `run.agents.length`,**含排队中**)—— 注意它**不是**"已启动数",见 {@link FleetWorkflowRow.startedCount}。 */
     totalCount?: number;
@@ -238,7 +242,7 @@ export type FleetFrame = {
     /**
      * [ref] §2③:**陈述级退场** —— 行没了,但**没有**结算语义。
      *
-     * 🔴 **本键缺席的那一族不是「终局已发过」**(S-449 / 车HX codex r1 [medium];本注此前逐字写着
+     * 🔴 **本键缺席的那一族不是「终局已发过」**([ref] / 车HX codex r1 [medium];本注此前逐字写着
      * 「无此键的 remove = 终态之后的常规清场……两者都先发过终态 `task` 帧」,**那句是假的** ——
      * 车HW 逐条亲读本文件的七处 `removeTask` 铸点后改成真话,消费方面的成文版 =
      * `docs/ASSISTANT-WIRE-CONTRACT.md` 附录 H)。缺席形其实是**两族**:
@@ -263,7 +267,7 @@ export type FleetFrame = {
      * durable 行压根不存在 —— 三形共同点是**没有终局可投影**,而本副本的行必然陈旧。此时造一个终态
      * 就是编:判死的属主始终是 durable 侧的 reaper。所以只陈述「这条行离场了」,不逼消费端结算。
      * (cli 侧裁量 [ref]:渲「离场」**不清行** —— 行保留、中性离场形、active 扣除、折叠排后。)
-     * 🔴 S-751:子代行的陈述级退场之前,对账腿先问过它的属主(bg registry 非终态 ∨ 有待决审批 ⇒ 留行);
+     * 🔴 [ref]:子代行的陈述级退场之前,对账腿先问过它的属主(bg registry 非终态 ∨ 有待决审批 ⇒ 留行);
      * 本帧因此只在「静默满一周期 ∧ 属主不作保」时出现。而它**不封被退那一代**(见 {@link cycleSeq})——
      * 之后同一代(或更大代)的帧到达 = 那一行其实还活着,行**复活**;更小的代照旧是前代迟到帧。
      * ADDITIVE / tolerate-absent。
@@ -272,7 +276,7 @@ export type FleetFrame = {
     /** [ref] §2 判死×判代合成规则:退场帧带**被退那一代**的 {@link FleetTaskRow.cycleSeq}。
      *  消费端因此能把 `retire(gen=N)` 之后的 `frame(gen=N+1)` 读成**复活**(行重生,退休不粘住新代),
      *  而**结算级** `retire(gen=N)`(本帧无 `removeReason`)之后的 `frame(gen=N)` 读成**前代迟到帧,忽略**。
-     *  🔴 S-751:**陈述级**退场(`removeReason:"orphaned"`)之后的 `frame(gen=N)` = **复活**,不是迟到帧 ——
+     *  🔴 [ref]:**陈述级**退场(`removeReason:"orphaned"`)之后的 `frame(gen=N)` = **复活**,不是迟到帧 ——
      *  陈述级退场从不断言「这一代结束了」(它说的只是「本副本一个周期没听到这一行」),所以同代的下一帧
      *  就是它还活着的证据(本仓 {@link FleetEventBus.removeTask} 对这一形不封代,消费端同读);更小的代照旧忽略。
      *  缺席同 {@link FleetTaskRow.cycleSeq} ——「无此概念」,不是「第一代」。 */
@@ -362,7 +366,7 @@ export interface HookNonBlockingFailure {
      *  · `timeout` —— 条目超时被击杀(无退出码);
      *  · `spawn_failed` —— 起不来 / http 连不上 / LLM 载体失败(无退出码);
      *  · `bad_json` —— exit 0 但 stdout 看着是 JSON 却读不成决策对象(裁决静默丢失的那一形);
-     *  · `matcher_over_budget` —— 这条 hook 所在组的 `matcher`(或条目自己的 `if` 条件)在这次事件的这个名字上求值没在预算内结束(灾难回溯;S-1017)。
+     *  · `matcher_over_budget` —— 这条 hook 所在组的 `matcher`(或条目自己的 `if` 条件)在这次事件的这个名字上求值没在预算内结束(灾难回溯;[ref])。
      *    **不是 hook 脚本坏了,是它的选中条件不可求值**:server 按「选中」处理(守卫不被跳过,条目照跑),此帧说的是「这只 matcher 在这个名字上跑不完」。
      *    **一组一帧**(`if` 一条目一帧),`hookName` / `entryType` 指认组的第一个条目,`detail` 点名 matcher、名字、额度与组里的条目数;无 `exitCode` / `stderr`。
      */
@@ -498,7 +502,7 @@ export interface BgNotification {
     seq?: number;
     status: "completed" | "failed" | "killed";
     summary?: string;
-    /** S-1296(core 7.51.0 #1482 / #1528):the child's REPORT — the same string the completion frame the parent's model reads carries
+    /** [ref](core 7.51.0 [ref] / [ref]):the child's REPORT — the same string the completion frame the parent's model reads carries
      *  (core cuts it once at the frame's bound, redacting first), so a host that wakes an idle conversation reads it here instead of a
      *  second, differently-cut copy. UNTRUSTED child text ⇒ `redactSecrets` at this wire boundary, exactly like `summary` on this frame
      *  and `result` on the `task_notification` frame (one reading: the server redacts at its own boundary whatever upstream did).
@@ -555,7 +559,7 @@ export declare class FleetEventBus {
     private readonly workflows;
     /** [ref] / codex R1-F2:**代际墓碑** —— 已离场行的最后已知 `cycleSeq`(行本身已从 `tasks` 删掉,
      *  代际状态却必须活得比行久一点,否则前代迟到帧会在空 Map 上把幽灵行重铸出来)。有界 LRU。
-     *  🔴 S-751:碑上多记一位 `ended` = 「**这一代结束了**」是否被断言过。离场**恒**保住代际状态(`gen` 之前的帧
+     *  🔴 [ref]:碑上多记一位 `ended` = 「**这一代结束了**」是否被断言过。离场**恒**保住代际状态(`gen` 之前的帧
      *  永远是前代迟到帧 —— 与行还在 Map 里时那道闸同一个判据);只有作「这一代结束了」断言的离场(结算级 / 投影级
      *  常规清场)才把 `gen` **这一代本身**也封掉。陈述级退场(`removeReason:"orphaned"`)不作这个断言 ⇒ 同代帧 = 复活。 */
     private readonly retiredGen;
@@ -577,7 +581,7 @@ export declare class FleetEventBus {
     /** Drop a task row (terminal + swept) + fan out the removal. Idempotent (a no-op if already gone).
      *
      *  `opts`([ref],两键均 ADDITIVE):`removeReason:"orphaned"` = **陈述级退场**(没有结算语义,见
-     *  {@link FleetFrame} 的 `task_remove` 臂;S-751 起**不封被退那一代**,同代帧 = 复活);`cycleSeq` = 被退那一代的代际号。发布方的常规清场
+     *  {@link FleetFrame} 的 `task_remove` 臂;[ref] 起**不封被退那一代**,同代帧 = 复活);`cycleSeq` = 被退那一代的代际号。发布方的常规清场
      *  (`onTerminal`/`onChildTerminal`)不传 opts ⇒ 帧逐字节与本改动之前相同。 */
     removeTask(id: string, opts?: {
         removeReason?: "orphaned";
@@ -595,7 +599,7 @@ export declare class FleetEventBus {
     /** [ref] 让位迁移料的读面:迁移「只补缺席位」需要看得见存活行现有什么(BCE 是权威车道,不覆盖)。 */
     taskRow(id: string): Readonly<FleetTaskRow> | undefined;
     /**
-     * S-751:一条子代行在它两只**属主账**上的键。三个 id 域互不相同,换算只有本类做得了(两种行 id 都是本文件
+     * [ref]:一条子代行在它两只**属主账**上的键。三个 id 域互不相同,换算只有本类做得了(两种行 id 都是本文件
      * 铸的,两域之间唯一的 join —— 让位登记簿 —— 也住在这里),所以换算只写这一处:
      *  · 行 id —— BCE 车道 = registry handle 本身(`e.taskId`);run-leg 车道 = `${runId} ${子代 task_progress taskId}`
      *    (`fleetRunPublisher` 的 `childId`);
@@ -611,10 +615,14 @@ export declare class FleetEventBus {
         handle?: string;
         sessionIds: readonly string[];
     };
-    /** Upsert a workflow row (MERGE by `id`) + fan out. */
-    publishWorkflow(delta: Partial<FleetWorkflowRow> & {
-        id: string;
-    }): void;
+    /**
+     * Publish a workflow row + fan out. **The row is the whole row and REPLACES the previous one** (by `id`). A workflow row has exactly one producer,
+     * {@link buildFleetWorkflowRow} — a projection of the durable run, recomputed whole on every write (the write observer, the terminal window, the
+     * reconciler) — so the row as published is the run's current statement. Merging it onto the previous row kept every optional key the run no longer
+     * states: core 7.55.0 [ref] `parked` is `true` or absent, and is absent again once the park is decided — under a merge it stayed `true` for the rest of
+     * the row's life (a run read "awaiting approval" after its approval was answered). Task rows keep their merge: their producers publish partial deltas.
+     */
+    publishWorkflow(row: FleetWorkflowRow): void;
     /** Drop a workflow row + fan out the removal. Idempotent. */
     removeWorkflow(id: string): void;
     /** [ref]-B 缺口②: fan out a background-child completion notification (EVENT — not stored, never in the
@@ -701,7 +709,7 @@ export type FleetRunPublisher = ReturnType<typeof fleetRunPublisher>;
  *  stats.toolCalls→toolUses(名对齐,消费端一个形状)。失败码 "cancelled" ⇒ stoppedBy:"user"(与
  *  markStopSource 的归因值同源);transcriptId 顶层 = run 的 sessionId([ref]§二拍)。缺源的键不铸。
  *
- *  🔴 S-136(core 7.6.0 D-8):入参从**结构性可缺席** `errorCode?: string` 改成 `terminal?: TerminalCause`。
+ *  🔴 [ref](core 7.6.0 D-8):入参从**结构性可缺席** `errorCode?: string` 改成 `terminal?: TerminalCause`。
  *  留着旧形不会红 —— 那正是危险所在:`TaskResult` 上已经没有 `errorCode` 这个键了,可结构性可选参数照样
  *  编译通过,于是 `stoppedBy:"user"` 会**静默地永远不再铸**(取消的 run 在舰队行上从此看不出是被人杀的)。
  *  终局事实一律走因由,`failureCodeOf` 是本仓读「这次失败带的是哪个码」的唯一形。 */

package/dist/fleet/fleet-bus.js

@@ -1,5 +1,5 @@
 import { EventEmitter } from "node:events";
-import { DURABLE_AGENT_HANDLE_RE, deriveAgentDisplayStatus, isDelegatedAgentTerminal } from "@sema-agent/core";
+import { DURABLE_AGENT_HANDLE_RE, deriveAgentDisplayStatus, isDelegatedAgentTerminal, runParkedOf } from "@sema-agent/core";
 import { persistedPlaneOf } from "../terminal.js";
 import { takeWorkspaceSnapshotFailure } from "./workspace-snapshot-residual.js";
 import { recordFailOpen } from "../observability/fail-open.js";
@@ -21,6 +21,7 @@ export function buildFleetWorkflowRow(id, run) {
         ...(run.originatingSessionId ? { sessionId: run.originatingSessionId } : {}),
         status: run.status,
         ...(run.errorCode ? { errorCode: run.errorCode } : {}),
+        ...(runParkedOf({ status: run.status, agents }) ? { parked: true } : {}),
         doneCount: done,
         totalCount: agents.length,
         failedCount: failed,
@@ -189,10 +190,9 @@ export class FleetEventBus {
                 sessionIds.push(k.slice(prefix.length));
         return { sessionIds, ...(DURABLE_AGENT_HANDLE_RE.test(row.id) ? { handle: row.id } : {}) };
     }
-    publishWorkflow(delta) {
-        const merged = { ...(this.workflows.get(delta.id) ?? { id: delta.id, status: "running" }), ...delta };
-        this.workflows.set(delta.id, merged);
-        this.emit({ type: "workflow", row: merged, ts: this.now() });
+    publishWorkflow(row) {
+        this.workflows.set(row.id, row);
+        this.emit({ type: "workflow", row, ts: this.now() });
     }
     removeWorkflow(id) {
         if (this.workflows.delete(id))

package/dist/fleet/fleet-reconciler.d.ts

@@ -33,9 +33,9 @@
  * 「**静默满一个对账周期**」(本腿订阅总线自记每行的最后帧时刻):还在出帧 = 活着的证据。
  * durable 行**在场**的那三格没有这个歧义(`getRun` 命中 = 它就是一条 run 行),故照矩阵即时处置。
  *
- * ## 子代行(§1;🔴 S-751 起改为「活性由属主说了算」)
+ * ## 子代行(§1;🔴 [ref] 起改为「活性由属主说了算」)
  * 子代行**不读 durable run 店**(它不是 run 行)。它的活性属主有两只,都在本仓可读 —— 读它们**不是**越界重判,
- * 是问属主(S-751 之前此处写「bg 子代的 durable 真源在 core 侧 registry,server 不越界重判」,于是判据里只剩
+ * 是问属主([ref] 之前此处写「bg 子代的 durable 真源在 core 侧 registry,server 不越界重判」,于是判据里只剩
  * 「静默」这一条,而 registry 的读半场 `RunnerDeps.backgroundAgentStore` 一直就在本仓):
  *  ① core bg registry(`BackgroundAgentStore` 行 `status` 非终态 = `running` / `parked`);
  *  ② 本副本审批面的待决卡(子代发起、没人答的 ask —— 子代卡在那儿,当然不出帧)。
@@ -49,7 +49,7 @@
  * 只做同款「durable 终局投影」([ref] 的 snapshot pull 腿 + reapers 的 workflow recover 腿已在场),
  * **不加新判据**:活行恒不动,没有陈述级退场这一形。
  *
- * ## 🔴 S-450:候补窗的升级**由事实驱动**,周期臂降为兜底
+ * ## 🔴 [ref]:候补窗的升级**由事实驱动**,周期臂降为兜底
  * 陈述级退场(`orphanExit`)恒不造终态、行进候补窗;把它升级成真终局此前**只**发生在下一个对账周期的
  * ① 臂 ⇒ 成对终帧最晚 {@link FLEET_RECONCILE_INTERVAL_MS} + 预算抖动才到面板,而消费方
  * (`@sema-agent/client-core` 的面板投影)对「行缺席」按 30s 结算 —— 两侧各自正确,合成的是「面板先结算
@@ -118,7 +118,7 @@ export interface FleetReconcileRunPort {
 export interface FleetReconcileWorkflowPort {
     get(id: string): Promise<WorkflowRun | null | undefined>;
 }
-/** S-751:core bg registry 账(`BackgroundAgentStore`)的只读窄口 —— 与 {@link FleetReconcileRunPort} 同一条
+/** [ref]:core bg registry 账(`BackgroundAgentStore`)的只读窄口 —— 与 {@link FleetReconcileRunPort} 同一条
  *  单写者纪律(接口上没有写方法)。生产 = `RunnerDeps.backgroundAgentStore` **同实例**(结构上就是它的 `get`
  *  一面);`null` = 账上没有这一行。 */
 export interface FleetReconcileAgentPort {
@@ -133,7 +133,7 @@ export interface FleetReconcilerDeps {
      */
     isLiveOnThisReplica: (taskId: string) => boolean;
     /**
-     * S-450 测试缝:「run 行 CAS 赢了翻终局」的订阅口。**生产恒缺席** —— 缺席时本腿自己去
+     * [ref] 测试缝:「run 行 CAS 赢了翻终局」的订阅口。**生产恒缺席** —— 缺席时本腿自己去
      * `observability/run-terminal.ts` 的**唯一铸点**登记(那口是进程级的自由函数,与 `recordFailOpen`
      * 同姿势:真正的铸点在没有任何句柄的深处)。给它一个注入形只是为了让用例能在一台假铸点上跑。
      *
@@ -143,10 +143,10 @@ export interface FleetReconcilerDeps {
     subscribeRunTerminal?: (fn: (rec: RunTerminalRecord) => void) => () => void;
     runs?: FleetReconcileRunPort;
     workflows?: FleetReconcileWorkflowPort | WorkflowRunStore;
-    /** S-751:子代活性的属主①(bg registry 账)。缺席 = 没有 bg 店的部署(纯内存 dev),这一问问不了。 */
+    /** [ref]:子代活性的属主①(bg registry 账)。缺席 = 没有 bg 店的部署(纯内存 dev),这一问问不了。 */
     agents?: FleetReconcileAgentPort;
     /**
-     * S-751:子代活性的属主②:这只子代此刻有没有**待决**审批卡。只问是非(与 {@link isLiveOnThisReplica} 同姿势,
+     * [ref]:子代活性的属主②:这只子代此刻有没有**待决**审批卡。只问是非(与 {@link isLiveOnThisReplica} 同姿势,
      * 不搬 Map)。入参是 ask 发起者域(子代自己的 core session id,= 卡上的 `originTaskId`),**不是**行 id ——
      * 行 id → 该域的换算只在 `FleetEventBus.childOwnerKeys`。生产 = `ToolApprovalCoordinator.hasLivePendingFrom`。
      */
@@ -171,9 +171,9 @@ export interface FleetReconcileTally {
     retired: number;
     /** 陈述级退场的行数(顶层 + 孤儿子行)。 */
     orphaned: number;
-    /** 父本周期刚离场、自己又判成孤儿而陈述级退场的子行数(S-751 前 = 随父无条件同扫的数)。 */
+    /** 父本周期刚离场、自己又判成孤儿而陈述级退场的子行数([ref] 前 = 随父无条件同扫的数)。 */
     childrenSwept: number;
-    /** S-751:静默满一周期、无父可循(或 run 账不认识),但属主作保而**留行**的子行数。 */
+    /** [ref]:静默满一周期、无父可循(或 run 账不认识),但属主作保而**留行**的子行数。 */
     childrenKeptAlive: number;
     /** durable 终局 ⇒ 投影退休的 workflow 行数。 */
     workflowsRetired: number;

package/dist/fleet/subagent-tail-bus.d.ts

@@ -8,7 +8,7 @@ export type SubagentTailFrame = Record<string, unknown> & {
 };
 /** core forward 事件 → wire 投影(sync 主流五分支同源;不认识的帧类型=null 不发——tail 面只承诺
  *  content 六类,新 core 帧类型先经这里显式收编再出 wire)。
- *  ⚠️ **本函数是无状态逐帧投影**:`reasoning_end`(S-310 的推理权威段)不在这里 —— 它要按句柄攒段,
+ *  ⚠️ **本函数是无状态逐帧投影**:`reasoning_end`([ref] 的推理权威段)不在这里 —— 它要按句柄攒段,
  *  住在 {@link SubagentTailBus.onForwardFrame}(publish 侧是唯一知道句柄的地方)。 */
 export declare function projectTailFrame(e: Record<string, unknown> & {
     type?: string;
@@ -53,7 +53,7 @@ export declare class SubagentTailBus {
      */
     private readonly modeByHandle;
     /**
-     * 句柄 → 该句柄这条 tail 流上**在攒的推理段**(S-310)。
+     * 句柄 → 该句柄这条 tail 流上**在攒的推理段**([ref])。
      *
      * 键必须是句柄,理由与 {@link modeByHandle} 同源再加一条硬的:两个并发子代的 `reasoning_delta` 在
      * **同一个** forward sink 上交错到达,一只累积器会把两份思考拼成一段、再盖上其中一个的身份键。
@@ -67,10 +67,10 @@ export declare class SubagentTailBus {
      *  否则晚开的 tail 永远读不到供给形)。同值重复写是 no-op(热路径只付一次 Map.get)。 */
     noteHandleContentMode(bgAgentId: string, mode: TailContentMode): void;
     /**
-     * 🔴 **三条 run 腿的 forward 回调唯一入口**(S-310 收口)——登记供给形 → 段界收段 → 逐帧投影 → publish。
+     * 🔴 **三条 run 腿的 forward 回调唯一入口**([ref] 收口)——登记供给形 → 段界收段 → 逐帧投影 → publish。
      *
      * 此前这四步以**同一段六行代码**抄在三条腿上(sync 流腿、verify-resume 腿、resume-stream 腿),
-     * 差别为零;S-310 要给 tail 面补 `reasoning_end` 时,那就是第四、第五、第六份拷贝。收成一扇门之后
+     * 差别为零;[ref] 要给 tail 面补 `reasoning_end` 时,那就是第四、第五、第六份拷贝。收成一扇门之后
      * 腿上只剩「句柄在不在」这一句判断,三腿不可能再分家(`test/subagent-tail-stream.test.ts` G18-G20)。
      *
      * 顺序即语义:权威段**先于**触发它的结构帧上 wire(消费端「整段替换已攒 delta」的替换点不与卡片交错),

package/dist/fleet-client.d.ts

@@ -1,21 +1,21 @@
 /**
  * Fleet worker-side wiring(announce/heartbeat + usage 批报;契约 = registry-core 0.1.48+
  * `/fleet`,center 端点 = web-admin `/api/fleet/*`)。设计要点:
- *  - **可选分层(D3),两条环各自有门(S-866 ④)**:客户端在中心车道配齐时启动(`centerLaneConfigured` —— baseUrl + 声明了
+ *  - **可选分层(D3),两条环各自有门([ref] ④)**:客户端在中心车道配齐时启动(`centerLaneConfigured` —— baseUrl + 声明了
  *    凭证 + worker,与租约管理器、用量累加器**同一只**谓词);**用量环**只要这三件;**公告环**(announce / 心跳 / 注销)另要
  *    配置席 `fleetAdvertiseAddress`(env `FLEET_ADVERTISE_ADDRESS`,`loadConfig` 解析一次;可达性是运维的话,不自猜:k8s pod IP /
  *    docker alias / 127.0.0.1:port 只有部署环境自己知道)。不配中心的部署零行为变化;配了中心而不公告的引擎只报用量、不注册(7.105.0 及以前它连用量都不报)。
  *  - **announce=注册=心跳同形状幂等 upsert**:boot 后(listen 之后)POST 一次 + 每 heartbeatMs 续。
- *    `ready` / `draining` 两字段由引擎信号铸点的同一次读铸(S-740:`ready` = `http/readiness.ts` `readinessOf` 的判,
+ *    `ready` / `draining` 两字段由引擎信号铸点的同一次读铸([ref]:`ready` = `http/readiness.ts` `readinessOf` 的判,
  *    与 `/health.ready`、`GET /readyz`、计费提交门同源;= roster 已落 ∧ ¬draining),`draining` = 排空事实在场(与嵌套
  *    `engineSignal.draining` 同一个字段,`fleet/engine-signal.ts` 规则 5)。修前 `ready = !isDraining()`,不含 roster ⇒ roster 未落时
  *    心跳说「就绪」而计费提交在 503。
  *  - **`engineSignal`(7.123.0)**:引擎态整只(契约 `EngineSignal`),与扁平键同一次读数;契约包 10.x 的心跳形没有它的座位(10.x 中心
  *    默认 strip 解析丢掉它、照收心跳);扁平布尔 `draining` settings-schema 12.0.0 删、本引擎 7.124.0+ 删发。
- *  - **`restart?`(S-741)**:在场 ⇔ 本副本必须重启才能应用配置 —— 取自 `/health.restart` **同一只**取值口(装配层接
+ *  - **`restart?`([ref])**:在场 ⇔ 本副本必须重启才能应用配置 —— 取自 `/health.restart` **同一只**取值口(装配层接
  *    `deployment.restartState`,web-admin 的 `restartState()`),同一个对象,形 = settings-schema `RestartSignal`;
  *    缺席即键缺席(中心按行整体替换,不合并 —— 一条不带它的心跳就是「不再需要」)。
- *  - **`modelRefusals?`(S-768)**:在场 ⇔ 本副本对最近一次被判的中心候选目录有可报的拒(逐条名 → 码 / 模型面组拒码)—— 取自
+ *  - **`modelRefusals?`([ref])**:在场 ⇔ 本副本对最近一次被判的中心候选目录有可报的拒(逐条名 → 码 / 模型面组拒码)—— 取自
  *    `/health.modelRefusals` **同一只**取值口(装配层接 `deployment.modelRefusalsState`),同一个对象,形 = settings-schema
  *    `ModelRefusalsSignal`;缺席即键缺席(同 `restart`)。
  *  - **自报状态翻转即刻再 announce**(第一时间自摘流 / 自挂流 / 报重启 / 报拒因,比任何观测都快):draining 翻转由收尾链直调
@@ -72,20 +72,20 @@ export declare class FleetUsageAccumulator {
     get size(): number;
 }
 export interface FleetClientOpts {
-    /** S-651:凭证是**来源**(每条公告 / 用量 / 注销请求各取一次值),不是启动期烧进 header 的字符串。 */
+    /** [ref]:凭证是**来源**(每条公告 / 用量 / 注销请求各取一次值),不是启动期烧进 header 的字符串。 */
     center: CenterEndpoint & {
         worker: string;
     };
     instanceId: string;
     /** Reachable base URL of THIS instance — the operator's explicit declaration (`FLEET_ADVERTISE_ADDRESS`).
-     *  S-866 ④:**缺席 = 公告环不装**(不注册、不心跳、不注销;`announceNow` 是空操作),用量环照装。 */
+     *  [ref] ④:**缺席 = 公告环不装**(不注册、不心跳、不注销;`announceNow` 是空操作),用量环照装。 */
     advertiseAddress?: string | undefined;
     version: string;
     /** 编排器片 2 件 1:引擎信号的**一只铸点**(装配层接 `mintEngineSignal(deployment)` —— `/health` 与 `/readyz` 读的同一只、同一个 deps 组)。
      *  每条公告现铸**一次**,嵌套 `engineSignal` 与扁平 `ready` / `draining` / `restart` / 代际与租约三键都取自这一次(不会撕裂成 `ready:true` +
-     *  `draining:true`,也不会出现心跳与 `/health` 各算一份重启或租约)。修前是 `readiness` + `restart` 两只取值口(S-740 / S-741),合进这一只。 */
+     *  `draining:true`,也不会出现心跳与 `/health` 各算一份重启或租约)。修前是 `readiness` + `restart` 两只取值口([ref] / [ref]),合进这一只。 */
     signal: () => EngineSignalFacts;
-    /** S-768:模型拒因信号(装配层接 `/health` 同一只取值口 `deployment.modelRefusalsState`)。每条公告现读一次;`undefined` ⇒ 公告不带
+    /** [ref]:模型拒因信号(装配层接 `/health` 同一只取值口 `deployment.modelRefusalsState`)。每条公告现读一次;`undefined` ⇒ 公告不带
      *  `modelRefusals` 键。必填:与 `restart` 同 —— 心跳面没有「不知道有没有拒」这一形(老引擎不发这个键,中心按 `version` 判「不可知」)。 */
     modelRefusals: () => ModelRefusalsSignal | undefined;
     /** 编排器片 2:每一次**能力读数**交出去一次(装配层接服务租约客户端的 `noteCenterCapabilities`)。规则见 {@link capabilityReadingOf}:
@@ -104,7 +104,7 @@ export interface FleetClientOpts {
 }
 export interface FleetClient {
     /** Immediate out-of-cycle announce — call when a self-reported input flips (draining: self-remove from routing FIRST;
-     *  roster landed: become routable without waiting a heartbeat; restart signal changed: S-741). */
+     *  roster landed: become routable without waiting a heartbeat; restart signal changed: [ref]). */
     announceNow: () => Promise<void>;
     /**
      * **路由面**停:停心跳、等在飞公告排空、best-effort DELETE 注销(各请求有界;从不抛)。之后的 `announceNow` 是空操作。
@@ -113,7 +113,7 @@ export interface FleetClient {
     stopRouting: () => Promise<void>;
     /**
      * **记账面**停:停用量窗定时器、上报最后一个(可能不满的)用量窗(有界;从不抛;空窗不发)。与路由面无关(不公告的引擎也报用量)。
-     * 收尾链排在**排空等待之后**调(S-929 F12:宽限窗里跑完的腿记下的用量必须进这一窗)。
+     * 收尾链排在**排空等待之后**调([ref] F12:宽限窗里跑完的腿记下的用量必须进这一窗)。
      */
     flushFinalUsage: () => Promise<void>;
 }
@@ -134,13 +134,13 @@ export type AnnounceReplyReading = Exclude<CapabilityReading, {
 };
 /**
  * Start the worker-side fleet loops. Caller has already gated on the center lane (startFleetClientFromConfig below).
- * The announce loop runs iff `advertiseAddress` is present; the usage loop iff `usage` is present (S-866 ④: the two
+ * The announce loop runs iff `advertiseAddress` is present; the usage loop iff `usage` is present ([ref] ④: the two
  * loops no longer share one gate).
  */
 export declare function startFleetClient(opts: FleetClientOpts): FleetClient;
 /**
- * Config gate (D3 可选分层;S-866 ④ 两条环各自有门): start when the center lane is configured —
- * {@link centerLaneConfigured}(baseUrl + a DECLARED credential + worker — S-651: declared, not "currently readable": a token
+ * Config gate (D3 可选分层;[ref] ④ 两条环各自有门): start when the center lane is configured —
+ * {@link centerLaneConfigured}(baseUrl + a DECLARED credential + worker — [ref]: declared, not "currently readable": a token
  * file that is unreadable right now still starts the client, every request re-reads it), the SAME predicate the lease
  * manager and the usage accumulator use. The usage loop needs nothing more; the announce loop additionally needs the
  * operator's explicit reachable address — the config seat `fleetAdvertiseAddress` (env `FLEET_ADVERTISE_ADDRESS`, parsed once by