ADR-0026 原件生命周期归属与Runtime编排边界

确认依据与范围

用户于2026-10-23明确要求Runtime退出原件生命周期管理，先贯通Media、Platform和Studio的异步图片、视频归档、下载续签和复用，并完成真实联调。当前客户旧业务、旧桶和Drama保持原状；同步图片不在本批改造范围。此决定收紧新链职责，不修改历史ADR正文，不将实现进度视为架构决策。

决策

1. Media／Files捕获供应商结果、校验并归档到唯一正式对象，持有稳定文件身份、技术保留、读取签名和保存恢复。保存未完成时，交付状态保持处理中；存储失败只恢复原任务的保存，不重派模型或重复计费。
2. Platform持有客户授权、唯一资金、原任务及输入输出文件引用，完成首次交付资格检查。后台只持久稳定引用；查询完成任务时取得同一文件的新下载地址。API查询需要客户凭据，返回的短期签名HTTPS地址可直接下载，无需附加Platform凭据；地址过期后重新查询原任务续签。
3. Studio持有素材库、画布、对话权限和业务绑定。绑定仅登记已有原件及产品自身保留，不下载再上传、不复制原件。普通读取、复用和业务解绑由Studio与Files直接处理，不依赖Runtime数据库或运行进程。
4. Runtime负责Agent规划、工具调用、任务依赖、暂停恢复、结果引用和幂等送达。Artifact可以记录任务输出、摘要及产品已保存回执；不创建原件AssetVersion，不长期持有文件claim，不处理下载续签或文件释放。执行输入及待交付输出的技术保护由Platform／Media交给Files管理。
5. 文件SDK可以作为无Runtime进程依赖的库供产品调用；包所在仓库不等于文件生命周期归Runtime。新链不得为了复用SDK而给Runtime服务增加Files凭据。
6. 已冻结历史Writer维持原身份恢复和读取，不能将未知收费请求改为新生成。新异步请求启用显式版本化合同；历史路径不得成为新链的静默字节上传回退。

验收边界

Runtime停机时，Platform API异步生成与Media归档、已有Studio素材预览、下载及复用仍可工作；Agent后续编排和待送达通知可等待Runtime恢复。同一输出在Media、Platform和Studio保有一致的不可变文件身份及摘要，普通查询、续签和业务绑定不增加原件写入。真实供应、真实云桶、受控夹具和生产切换分别登记证据。