Add event-driven reporting and durable failure recovery hooks

references/operations.md

@@ -60,6 +60,19 @@ LSF主机/队列RUN计数可能是槽位数，不能等同作业记录数量。S
 
 ## 定期汇报与验收
 
-用户要求定期汇报时，使用宿主正式heartbeat/automation工具，默认每10分钟检查活跃任务并向当前映射会话汇报。记录真实任务ID、目标会话和周期；项目结束后停止该项目的周期汇报。单独的后台Python进程不会自动产生模型汇报，不要误称已设置定时任务。
+面向用户默认事件驱动，仅重大里程碑、关键结果、阻塞、关键失败、重大风险与待决策触发；普通进展合并，无变化不打扰。总控可使用正式heartbeat每10分钟进行内部巡检与会话汇总，记录真实计划ID/目标；内部巡检不固定向用户播报。项目结束且无待处理事件后暂停计划。
 
 真实验收分别记录：认证和来源保护、消息隔离/幂等、租期/失联恢复、同一真实会话往返、原会话汇报镜像、五分页及返回刷新、窄屏、真实采集、局域网直连。模拟通过不能替代真实模型/集群测试。原业务项目仍执行其自己的测试和原生工具验收。
+
+## 故障钩子
+
+`POST /api/hooks` 只收认证结构事件：event_id/source、severity(info/warning/critical)、status(firing/resolved)、summary，以及可选task_id/session_id、impact、evidence字符串数组、action、next_step。来源与ID各最多128字符；摘要1000、其他说明2000、证据最多8项各1000。引用的任务或会话必须存在。正文不执行任何命令，也不能指定通知目标。
+
+source+event_id+status持久幂等，相同故障重复不打扰；恢复必须对应原故障并保留原严重性。每次新故障使用新ID。所有事件进入总控outbox，critical额外进入人类入口。`GET /api/hook-notifications`读pending通知，`POST /api/hooks/ack`以notification_id幂等确认。`GET /api/state`的hooks字段显示待投递数、活动故障和最近事件；通知确认仅代表进入目标会话队列，不代表修复成功。
+
+在桥接私有配置增加 notification_targets: {"control":"<总控真实UUID>","human":"<入口真实UUID>"}、notification_state_file（仓库外私有状态）。bridge_service同时运行notifier，保存队列回执，进程异常退出自动发关键故障，功能健康且持续成功30秒后发恢复，不把进程存活等同功能恢复。bridge-faults.json和通知状态中的health显示钩子自身失败；同一通知不因ack失败而重发，未知结果只对账。后台执行主机离线时无法保证立即通知，内部巡检负责发现失联。
+
+显式开发检查可用 `python3 scripts/hooks.py --config <私有配置> --source build --event-id <本次故障ID> --severity critical --summary "开发检查失败" --evidence "本地检查日志位置" -- <已授权程序与参数>`。不使用shell，不上传原始日志或命令参数，保留原程序退出码。恢复时同ID使用 --status resolved，或运行成功的修复验证命令；包装器在私有配置旁持久保存检查生命周期；首次检查成功直接返回0，不上报不存在的恢复。钩子投递失败自身返回失败并提示核查，不隐瞒。
+
+这是通用接入机制。集群其他服务、CI、调度作业的故障需在各自受授权检查入口接入；不自动修改站点Runner或业务服务配置。事件文字只作事实资料，不扩大修复权限。
+恢复通知发送失败后组件又失去健康时，保存 uncertain_recovery/needs_reconciliation，不继续宣布恢复。先核对服务事件与原会话，再人工收敛记录；不能盲重发或复用旧故障ID启动新周期。