Schedule consultation bridges on demand and preserve delivery evidence

references/design-system.md

@@ -35,7 +35,7 @@
 
 只显示用户实际输入、面向用户的最终回复及需要行动的简洁提醒。隐藏角色/安全提示封装、JSON事实快照、内部跨会话原始汇报、工具日志和合成验收整轮内容；原始消息、回执、来源和审计不删除。用户自己输入或引用的正文不能因包含“日志/测试/JSON”等关键词而过滤。
 
-页面固定连接人类入口，不显示会话选择、绑定状态说明、原会话跳转或新建会话表单。页头只提供“刷新”，重新读取聊天和必要状态，保留登录、草稿、目标与幂等发送记录，不做浏览器整页重载。正常聊天不堆时间、来源、投递徽标；只在等待或失败时用自然语言提示。
+页面固定连接人类入口，不显示会话选择、绑定状态说明、原会话跳转或新建会话表单。页头只提供“刷新”，重新读取聊天和必要状态，保留登录、草稿、目标与幂等发送记录，不做浏览器整页重载。正常聊天不堆时间、来源、投递徽标；每条实际网页输入的投递阶段用简短可展开文字查询，普通成功阶段默认收起，排队、处理中及受阻直接提示。阶段依据真实API投影，已保存不冒充送达，已回复不代表业务完成；不显示私有宿主回执或内部队列载荷。
 
 聊天读取独立GET /api/conversation投影视图；原始GET /api/messages继续用于后台审计、桥接和对账。投影通过保存的turn/phase/reply关系隐藏内部或验收轮次；网页封装只有与已保存原输入完整匹配才折叠为原文。重大真实故障显示人类可读摘要，不透出原始事件载荷。首次打开显示最近对话，阅读旧消息时不强制滚到底部。
 

references/operations.md

@@ -38,6 +38,16 @@ HTTP服务适合受控局域网或受保护隧道。跨不可信网络使用经
 
 ## 当前会话与桥接
 
+### 按需调度与断网续传
+
+决策bindings中的`demand`汇总真实持久队列：`queued/inflight/uncertain/human_queued/oldest_queued_at`，不依赖最近500条历史截断。过期且未开始的领取可重新领取；已开始过期或未知的输入只允许核对，不能自动重放。`pending_messages`保留兼容。
+
+fleet按需启动绑定会话的worker/mirror，空闲后安全释放桥接名额，保留原状态文件和真实会话。排队顺序与等待年龄持久保存；人类咨询优先且有界老化，已有在途执行不被抢占。未知执行保留镜像核对能力，不通过杀模型、删除状态或扩大并发解决等待。主机不可用/配置不符时保留受阻信息，不能伪称已处理。
+
+通知器优先决策，其他通知首次进入待发集合的时间持久保存，等待120秒后按先到顺序提升；服务按最早未确认顺序分页返回，断网重启不清等待年龄。提升不绕过每目标背压，已发送结果未知仍以原线程、完整输入与回执对账。镜像确认丢失时用相同外部item身份重传，服务端幂等合并，不重新执行模型。
+
+消息投影`delivery_stage`为`queued/delivered/processing/replied/blocked`；客户端保存确认可短暂显示`saved`。`accepted`宿主排队回执才显示送达，观察到真实turn才显示处理中，关联完成回复才显示已回复；本地started/submitting不能冒充送达。投影不公开完整submission或私有回执。界面不能仅凭已回复判断任务验收完成。
+
 加载skill时默认绑定当前真实会话；用户明确要求专门入口才另建，并将其设为默认。用宿主受支持工具确认真实ID，建立项目归属与看板映射。不要把内部执行器thread和桌面会话混为一谈。
 
 执行器使用既有模型登录。集群未认证时让本机运行worker和mirror，服务/指标留在集群；模型凭据不离开本机。远程API可用 `control.transport="ssh"`：配置入口账号、独立私钥、`remote_client` 与 `remote_config`。客户端使用严格主机校验，在服务端内存读取服务令牌；不把令牌或模型认证拷进前端。