RT-02-004 升级验收与发布门禁
独立 OceanWay Runtime、统一Agent嵌入、消费者接入、Job、媒体与迁移的验收套件
本页对当前Platform、Runtime与产品共享原件开发链按ADR-0025、ADR-0023与ADR-0024执行：统一新契约，一份原件、多处引用；旧版兼容、开发备份、数据库dump、备份副本、三库联合恢复及DR门禁均已取消，不是本期或默认后续任务。原持久状态上的重启、未知写入ACK确认、独立续签、可信解绑和可靠释放继续验证。new-api-new-oceanway已有客户的生产服务及原生产发布自动数据库备份等既有保护保持；历史验收只代表其原批次。
2026-10-18 更新（ADR-0022）：Drama 已解除冻结并恢复开发，是 Runtime 的第二消费者，与 Studio 并行推进；Commerce 保持原型。下文涉及 Drama 的段落按现行计划理解。
本页定义架构升级方案的目标验收，不登记业务能力已完成。共用执行能力目标为独立的 OceanWay Runtime，工程为 runtime/oceanway-runtime，已实现中性核心、Artifact/ResultSink及串行Agent子集；本轮免费fixture和Studio循环加固证据只证明相应子场景，不代表本页整套验收通过；Studio是首个消费者，Drama按ADR-0022作为第二消费者并行开发，Commerce仍为原型；各产品独立保留其具名验收边界。旧独立 Admin、Console 已废弃，完全排除；现行 Platform Console/Admin 可选嵌入受限客户端。
独立性先验代码、模块、合同与消费者边界，可先嵌入同一进程；独立 API/Worker 按迁移批次落地并分别验收，不能把共享目录改名当作抽离完成。Runtime 媒体模块可复用，产品归属、对象权限、引用与领域采纳规则持续有效。
各平台可嵌入同一Runtime的统一Agent对话是正式目标，合同与体验见统一Agent嵌入；本页只定义可测断言。Studio全页和Canvas侧栏首先验证，非Studio组件fixture验证无Studio依赖；Console/Admin/Site分别按正式调用方、动作与内容授权启用，不能冒用studio身份。
UP-AC01～12 是本升级方案索引，不改写原平台 AC编号或替代其子场景。涉及身份、资金、恢复的断言沿用总 PRD、共享运行约定、权益规则与产品运营规则。新增商业值、容量和期限不由测试自行决定。
执行与证据规则
- 每个结果固定源码 SHA、未提交内容指纹、镜像 digest、配置版本、数据库 schema、供应/模型/输入模式/规格、工具版本与测试时点；不能用本地 HEAD 代替线上运行版。
- 身份、幂等、并发资金、权益与恢复使用真实隔离 PostgreSQL及受控供应夹具；页面验证加载、空态、失败、未知、恢复、切号、手机和键盘。
- 夹具通过证明确定的故障分支；具名真实供应的参数、结果、用量和实际文件必须另验。外部收费生成、真实支付与生产变更须有对应会话授权；本轮只编写文档，不执行这些动作。
- 每项登记“未执行 / 部分有证据 / 具名范围通过 / 失败 / 不适用及原因”；未启用能力不冒充通过，也不因可选未来能力未做而否定现有范围。
- 一次逻辑付费意图关联唯一原 operation；断言逻辑去重与未知不重发，不承诺分布式网络的物理 exactly-once 执行。
- Higgsfield 登录态 GET、SSE 和公开脚本只支持其观察范围；未观察的 Canvas 执行、恢复、资金或后端部署，不能充当 OceanWay 的已实现依据。
- Runtime、合同、SDK、API/Worker及各消费者分别固定版本和依赖图；独立构建/契约 fixture 不加载 Studio 源码、Next app route、Studio 会话或产品数据库。嵌入与独立部署模式按实际完成范围登记。
UP-AC01 身份、作用域与商业归属
| 项目 | 要求 |
|---|---|
| 前置环境 | 两个隔离用户、Runtime/Studio/Platform及非Studio对话组件fixture；可信Host/Origin、已认证调用方及受限凭据；Session/Thread/Message/AgentRun与workspace/project/context对象 |
| 可测预期 | 对话对象与执行对象稳定绑定scope；工具权限、对象归属、商业owner、销售入口与使用产品分别核对；新工具不自动成为新Platform product |
| 证据 | 服务端拒绝记录、权限矩阵、对象/原 operation 关联与两账户实页回读；关联原 AC-01/02/16 |
| 阻断 | 越权读取/生成/扣费、浏览器 product/owner 或伪造调用方覆盖可信归属、产品凭据获得管理员权限、SDK/Runtime信任未核实的转发头 |
- 伪造 Host、Origin、调用方、用户、product、project、tool、context、workspace 参数并直调；产品服务端与Runtime按已认证调用方/可信入口映射及原任务验证scope，浏览器声明产品不能选凭据或改变归属。
- 让 Job 脱离 conversation 独立创建，再在本人对话、Canvas和项目间交接上下文；要求保留来源、目标权限与引用关系，跨用户及无权目标拒绝。
- 切号/撤会话后清除私有缓存，新单次执行拒绝；已授权 Run 依 UP-AC05 继续，不能把新会话策略误用于撤销原 Run。
- 若现行Platform管理端嵌入客户端，分别直调获准与未获准动作/对象；员工动作、产品scope和内容权限联合核验，管理端入口不授任意模型调用或跨产品内容访问。
- 替换Session、Thread、Message、AgentRun或上下文ID后直调历史/事件/命令/产物；各对象关系及scope在服务端核验，跨用户、错误父对象和未授权产品均拒绝。换页面或surface不重建原身份，也不能改写原对象scope。
- 跨产品续接必须显式呈现目标scope与来源引用，重新校验上下文、对象及动作授权；保留原对象scope和来源，缺少引用授权时拒绝，不能凭同一登录态拼接全站历史。
UP-AC02 工具注册、版本与能力发布
| 项目 | 要求 |
|---|---|
| 前置环境 | 独立Runtime核心/合同、薄SDK及受限适配器；B1先验免费骨架，B2起补具名收费直接工具；版本化schema/模板/能力快照 |
| 可测预期 | 同一核心支持direct、Agent和Workflow，共用Job/恢复/媒体；定义追踪输入输出、处理器、能力、权限与发布状态 |
| 证据 | 独立构建与fixture回执、源码/产物依赖图、SDK安装树、注册定义、任务快照与目录回读；关联原 AC-10/11/13 |
| 阻断 | 依赖Studio才能执行、SDK装入DB/repository/调度器、任意脚本或URL处理器、未验能力上架、更新覆盖旧任务语义 |
- 固定参数直接生成工具；断言没有为理解固定表单而额外创建 LLM 调用，用户操作只产生必要的 Job/operation。
- 发布新版本、下架旧工具/模型、制造 schema 冲突与未知发布回执；新调用按新状态准入，旧任务沿原版本读取和恢复。
- 分别撤工具功能访问和匹配计费资源：有余额不代表有功能许可，有功能许可不代表资源充足；工具目录可见不授执行/写入动作，直调后端仍须拒绝未授权动作。
- 在无Studio源码/会话/数据库的干净环境构建Runtime核心和合同，运行direct、Agent、Workflow契约fixture；三者调用同一Job能力。源码及传递依赖中
products/studio、products/oceanway-studio、Next app route/Route Handler依赖为零；不能靠路径别名隐藏依赖。 - 消费者通过合同/SDK接入，SDK自身及传递依赖树不含数据库驱动/ORM、服务端repository或调度器；产品自有领域存储不受此限。上下文解析器、领域工具、ResultSink按受限注册ID/版本/调用权限接入，传任意脚本、模块路径或回调URL均拒绝。
- 检查对话SDK/UI产物、浏览器请求/响应、错误与工具展示：不含产品/Platform服务凭据、供应Key或数据库连接信息；浏览器不能用SDK直连数据库，工具输入不能控制服务身份。
UP-AC03 媒体输入、规格与具名供应
| 项目 | 要求 |
|---|---|
| 前置环境 | Platform 正式能力目录、当前供应适配器、受控媒体与已授权真实验证环境；逐组合建立矩阵 |
| 可测预期 | 文生图、参考图生图、图生视频、首尾帧、编辑/mask、视频参考、音频分别判定；仅开放已验组合 |
| 证据 | 模型精确名称、供应/协议、模式、分辨率、时长、比例、输出数、输入约束、原单与实际产物；关联原 AC-11 |
| 阻断 | 上游有能力但平台未验即公开、参数被静默忽略、计量来源不明、实际文件与承诺不符 |
- 逐具名模式测试合法输入、过大/过长/错 MIME、不匹配参考种类、未支持规格和缺输入；拒绝发生于付费派发前，合法输入完整传递。
- 测试无声偏好时下载并分析实际文件音轨与音量，不能只断言请求包含
audio=false；音频生成与视频静音分开判定。 - 真实供应对比提交、原任务、用量、文件规格与平台结果；某一种图生视频通过不覆盖首尾帧、编辑或独立音频。
UP-AC04 资产、对象存储与引用生命周期
| 项目 | 要求 |
|---|---|
| 前置环境 | Runtime可复用媒体模块、当前统一文件引用合同与实际部署清单、文件Owner的既有TOS及来源配置、Platform原Operation和typed reference；未启用的历史provider另行标识 |
| 可测预期 | 输入/产物有稳定资产ID、产品归属、校验和、版本与引用；无Studio会话也能保存和授权读取，原URL到期可恢复 |
| 证据 | 当前制品/部署矩阵、原件读写校验、对象metadata/ACL、同文件版本及独立claim对账、大小限制测量；关联原AC-07/11/16.A06 |
| 阻断 | 只验 SDK/配置即宣称部署成功、大文件卡在结果传输、原件丢失、私有链接越权、原Operation和账务不可追溯 |
- 核对当前文件引用provider、来源配置与实际部署启用项；对本批启用链路验证真实写读、授权过期、重试和对象校验。历史local/object provider仅记录现状，不要求当前新契约承接或兼容旧数据。
- 独立通过“对象存储读写”与“Platform/供应→产品结果传输上限”两道门禁；用接近及超过当前上限的文件验证。对象存储成功不能证明现行 native/Base64 receipt 已支持大文件。
- typed reference 的短期供应 URL 过期后，经原资产/原 operation 重新授权读取原输出；禁止另建收费生成，错误/越权 URL 不进入任意抓取。
- 当前统一新契约不迁移旧receipt、本地媒体或历史开发资产，也不要求兼容旧链接。核同一原件的数量、hash、归属和独立保留；某处解绑后其他有效引用仍可读取，最后业务引用退出后可靠释放Runtime保留。保存失败只核对并登记原件，不复制原件或重新生成。
- 第二消费者用自身授权对象保存/引用结果，不创建Studio对话、不import Studio；Runtime媒体模块仍拒绝跨用户/产品未授权引用，删除单一消费端引用不误删其他有效引用持有的版本。
UP-AC05 持久工作流、幂等、恢复与停止
| 项目 | 要求 |
|---|---|
| 前置环境 | Runtime的Job/步骤/持久依赖、租约/fencing、原授权、受控供应及分库消费者；直接工具、Workflow、Canvas与Agent共用核心 |
| 可测预期 | 每步输入、依赖、原operation、候选与检查点可回读；执行、资金、保存、领域交付分态，跨库交付可恢复 |
| 证据 | 故障时序、供应提交数、Job/Run/operation/attempt/资产关联、重启前后快照、callback与持久回执；关联原 AC-06/07 |
| 阻断 | UNKNOWN自动新发、旧Worker绕过fencing、Agent结束即冒充媒体完成、callback越权/重投再生成、停止丢结果 |
- 在意图持久化、派发、丢响应、结果读取、保存、事件交付各点杀进程/断网，双 Worker 争抢；同逻辑意图不派发第二付费操作，UNKNOWN 只读核原单。
- 扇出后制造一个分支失败、一个结果未知，重启后继续；成功结果保留，依赖未满足的节点不执行，只重试有明确新执行依据的步骤。
- 人工候选等待时刷新/切号/并发选择，版本冲突不覆盖；退出、改密码或安全重置不撤销有效 Run，账号停用/凭据撤销/到期阻止新调用。
- 停止后不发新步骤，已派发图/视频继续完成、保存和原单结算，再进入已停止；文本停止按正式能力验，不将界面停止等待当作供应取消。
- Agent先返回已受理Job后结束流时，媒体/业务任务仍按真实状态等待；
accepted不能当saved/completed。媒体完成后向原对话回显同Job/原产物，切页或重载不重新生成；原Job/Run/Operation/attempt与资产身份不因入口或Worker变化重建。 - 对上下文解析、领域工具、ResultSink注入伪造调用方、跨scope对象、重复/乱序回调、超时与接收端提交后丢回执；未授权动作拒绝，重复不多写、旧版本不覆盖新状态，失败保留待交付。
- Runtime与产品使用分离PG，在各自权威事务内落状态及outbox，持久接收回执后才确认交付；任一端离线/重启后重放到一致，以原Operation已结算、仅待业务交付的结果为前置，重放新增模型POST、Operation与资金写入均为零，不假设跨库原子事务；原Operation尚未完成的合法恢复结算另验，不视为新增收费调用。
- 同
clientRunId/同输入并发双发，只受理一个逻辑AgentRun；同ID不同输入拒绝。丢失受理回执后先按该ID只读核原Run，不换ID重发；遇运行冲突读取activeRun并恢复展示，不自动重提用户消息或重新规划。 - 对运行中Agent使用正式
steer/stop命令，保存目标Run、命令身份与回执；重复命令幂等，禁止改数据库状态伪装停止。已派发付费意图/envelope/Operation不被改写，后续动作仍受原授权或正式新授权约束。 - 结构化问题/选择关联原Run/ToolCall、decision及目标对象修订；等待中重载仍可回答，重复提交不多写，旧修订/已解决问题拒绝覆盖；决策恢复不重新生成已完成结果。
Agent 公开过程与人工决定子集
本子集复用 UP-AC01/02/05/06/09/12，检验用户选择“简单自动、复杂/缺信息先澄清、额外或高消耗先确认”。下表定义目标断言；实际版本、数量、未验与失败项只登记在候选验收记录。
| 场景 | 必须断言 | 阻断条件 |
|---|---|---|
| 简单明确请求 | 自动执行所请求的单次创作，显示公开需求摘要与真实阶段 | 为所有普通生成增加批准、额外模型轮次或人为延时 |
| 复杂/缺信息 | 专用澄清形成持久等待；选项和自由答复可用，无建议选项的问题也有效 | 只显示问题文字却继续生成；等待中新增 Planner 或生成 Job |
| 批准/拒绝 | 批准原子接受冻结工具，批准动作本身不新问模型；拒绝停止未派发计划 | 替换获批模型/参数；拒绝后创建该生成；验证器改变输入仍被执行 |
| 额外/批量生成 | v2 原历史已有成功图片观察后再直接生成、或数量参数大于 1，均由 Host 强制转为批准；首次单图仍自动 | 只靠模型自觉确认；LLM 摘要与真实模型/尺寸/数量不一致；把公开价格投影当锁价授权 |
| 回执与并发 | 服务端生成并保存命令身份；双击、重启或丢回执仅回读原决定，旧版本/计划及异意图同键拒绝 | 浏览器换键规避冲突；多建 Job/Operation；改写原 intent/context/envelope |
| 权限与恢复 | 当前本人会话、Origin、Run/产品归属和 Platform 授权均验证；恢复授权保留原问题，不能代替批准 | 跨 scope 回答；产品凭据替人续权；Platform 已恢复但本地暂停导致批准后永久滞留 |
| stop 与 UNKNOWN | stop/批准竞争不产生停止后的新派发；UNKNOWN 仅恢复原调用 | 停止后仍可执行交互按钮；丢回执或未知结果获得重新派发资格 |
| 公开快照 | GET、历史与 SSE 使用同一白名单快照；单调 revision 不由 bigint cursor 强转而来，迟到响应不回退终态 | GET 为展示而启动引擎；重复消息/卡片；公开 payload 泄漏内部指令、思维或供应凭据 |
| 多输出 | 以每个原 Job 的全部预期输出、真实保存与候选回执推进 | 一张已保存图片代表整批已交付或生成完成 |
| 浏览器与费用边界 | 桌面、390px、430px 真实点击/刷新/重连；Planner 策略识别与财务权威分开描述 | 用 mock UI 冒充后端等待；声称未经原子报价绑定的财务硬阈值已强制执行 |
当前高消耗候选机制不含 Platform quoted-price/budget 原子绑定。若以后交付硬金额阈值，必须另验真实报价版本、计划指纹、有效期、价格变化与派发时原子核对；本子集的确认按钮通过不能替代该资金合同。
UP-AC06 资金、权益、资源不足与原收费操作
| 项目 | 要求 |
|---|---|
| 前置环境 | 真实隔离 PG、余额/权益/Key 限制与跨期夹具；现行 Platform 唯一资金权威 |
| 可测预期 | Platform 自动准入与逐调用核资源，Run 不绑定启动库存、不要求用户预算；每步原 allocation/operation/价格快照守恒 |
| 证据 | 钱包/占用/权益窗口/ledger、Key及原 operation、任务与两端明细对账；关联原 AC-03/05～08/15/16.A11 |
| 阻断 | Runtime或产品自行分配/冻结资源、出现Run预算/追加预算表单、重复收费、UNKNOWN释放重做或补足后自动重发 |
- 余额为零但有匹配权益、权益不足、跨 Key/工具并发、跨周期迟到与部分成功分别验证，产品不持久复制财务金额权威。
- Run 启动前不足可解释拒绝，执行中不足暂停保留结果；补足后用户主动继续原 Run，Platform 再核资源，UNKNOWN 仍只恢复原操作。
- 保存中断、工作流重启或 Canvas 导入既有产物不增加收费；工具功能许可、业务资格、资源核销、模型价格和 Key 限制分别断言，不新增商业收费规则。
- 统一对话的结构化选择、领域写回确认与付费授权分别验收；不因嵌入Agent给所有生成增加审批或Run预算表单，资源不足与UNKNOWN继续沿现行规则。
UP-AC07 Drama 领域接入切片
| 项目 | 要求 |
|---|---|
| 前置环境 | Drama按ADR-0022与Studio并行开发；具名批次作为Runtime领域消费者注册上下文/工具/ResultSink，产品原型仅提供交互和领域需求 |
| 可测预期 | 项目→剧本/分集→文本分镜→媒体候选→选片→合成的本批具名闭环，保留领域版本与人工确认 |
| 证据 | 原型来源、映射/差异、步骤/资产谱系、PG/浏览器/具名供应及费用关联；复用 UP-AC01～06 |
| 阻断 | 本切片内越权、覆盖已确认分镜、丢候选、重复生成或合成引用错版本；未选范围不作为 Studio 当前缺陷 |
- 从原型提取剧本/分镜体验与领域需求，使用新建资料或测试夹具验收；不搬原型历史数据、账户、钱包或本地生成器权威。
- 仅以正式合同/SDK接入Runtime，独立领域对象即可执行和接收候选；Studio会话、产品表与源码依赖为零。领域工具仍按本人权限、候选与目标修订验证后写回。
- 多镜头并行、一个失败、人工换候选后继续合成；刷新仍选同版本，原收费步骤只恢复原单，产物与下载一致。
- Drama按自身工作包逐切片验收，未执行范围不阻塞Studio首消费切片，也不据已有文本或单次媒体切片登记完整Drama通过；Runtime独立性由非Studio消费者fixture及具名真实接入分别取证。
UP-AC08 Commerce 原型未来复用切片
| 项目 | 要求 |
|---|---|
| 前置环境 | 仅在选择Commerce产品化批次后启用；商品图/模板领域消费者经正式合同/SDK接入Runtime，不经过Studio产品API |
| 可测预期 | 参考商品→批量候选→人工选择/编辑→短视频的本批具名闭环；固定工具与专业领域规则共用基础 |
| 证据 | 原型到现行合同映射、逐项输出/状态/资产/原 operation、故障与用户回读；复用 UP-AC01～06 |
| 阻断 | mock 冒充生成、绕回原型账号/本地生成器、批量状态或收费重复；未选范围不作为当前 Studio 发布前置 |
- 选择一项具名商品工具，直接建立 Job，参考素材来自授权 typed reference；无需为了固定流程发起 LLM 调用。
- 批量部分成功后刷新、换候选、继续视频；每个输出身份稳定，重试/下载不重复收费，编辑保留原件与引用版本。
- 不创建Studio会话、不读取Studio产品表、不import Studio即可完成所选闭环；以本领域注册适配器验收权限、上下文和结果交付，同一Runtime核心不复制第二套调度器。
- 未接入部分标原型；只有已选切片全部通过后才登记该工具可用，不把旧mock/旧BFF验收移植为当前通过。
UP-AC09 Studio、现行运营与设计体验
| 项目 | 要求 |
|---|---|
| 前置环境 | Studio全页/Canvas侧栏、非Studio对话组件fixture、Runtime及现行Platform Console/Admin/Site客户端；正式Design规范，废弃独立仓不纳入 |
| 可测预期 | 多surface使用同一Runtime合同；独立会话、AgentRun、Job、资金及交付状态可解释；专业领域保留独立体验 |
| 证据 | 实页/fixture、桌面/手机/键盘、会话与执行ID/事件游标、上下文快照/decision、运营回读与Design版本；关联原 AC-09/10/16 |
| 阻断 | 嵌入依赖Studio会话/源码、重载重复受理、静默拼接全站上下文、状态混同、跨scope泄露、运营重复或宣传未发布能力 |
- 固定工具正常流自动报价并一击生成，Job不要求附属 conversation；按需把已授权上下文送入对话或 Canvas，错误与恢复能操作。
- Canvas 执行节点产生与直接工具同合同的 Job；from-job 导入已有产物只建立授权引用，不重新生成/扣费；画出连线不等于执行成功，依赖、结果和保存状态分别显示。
- 现行 Platform 本人记录和本域运营关联多步骤调用/产物，摘要重投不增数；Site能力/入口与发布状态一致，Design只维护一套正式规范源。
- Studio经同一合同/SDK接入；嵌入同进程时不反向依赖Studio，服务化后不直写Runtime库。可选管理端客户端不得随SDK安装服务端执行栈，也不得用管理角色代替具体动作、产品及内容授权。
- 对照统一Agent嵌入，Studio全页与Canvas侧栏复用同一Runtime及获准Session/Thread，切换surface保留原消息/AgentRun/Job引用；非Studio组件fixture在无Studio会话、源码和产品库环境完成对话合同流。
- 重载历史、断开事件后按游标续传并回读原状态；重复/乱序事件不重复消息或回退终态，缺口通过正式读取补齐。分别展示会话历史、Agent流/等待状态、媒体Job进度、资金未知和结果待交付，不能以聊天结束冒充生成或结算完成。
- 页面/项目/Canvas选区切换时，上下文来源、scope及选中引用显式可见；每轮冻结来源/版本并重新验权，失效/越权引用可解释拒绝，不静默加入全站资料，也不修改已派发轮次快照。
- Console、Admin、Site分别验证合法调用方/动作与错误调用方/伪造
studio身份；只开放正式授权动作及对象。未启用入口记录范围原因，通用嵌入能力与各端实际上线分别判定。
UP-T18所选Agent包的附加场景
只在选择相应能力包时增加，不阻塞当前个人工具/Canvas的既定批次；各包仍复用上述套件，不增加第二套资金规则。
- Skill（01/02/09/12）：个人/社区安装与发布作用域正确；更新/停用不改旧Run指令快照；恶意指令不能扩工具权限，旧导入入口不能绕过当前Platform屏障。
- Memory（01/04/05/09/12）：按记忆声明的作用域验证，未授权跨用户/产品/项目读取拒绝；用户级与项目级范围在本包正式确定，检索能回到来源/版本；更正/删除及派生索引按已定义政策传播；旧执行快照与新上下文分别验收，不把会话摘要代替跨会话记忆。
- Connector/MCP（01/02/05/09/12）：目录可见、本人连接和动作许可分别判定；凭据不进入模型文本；撤销后拒绝新外部调用；授权写操作遭丢响应时先核原动作，不重发造成重复发布，未授权动作不执行。
- Schedule（01/05/06/09/11/12）：时区/暂停/恢复/重复投递和错过触发按正式策略处理；同触发不重复创建可执行Run；到期/撤销/资源不足分别验证，不将调度触发当成无限期扣款授权。
UP-AC10 迁移、对账、回滚与退役
| 项目 | 要求 |
|---|---|
| 前置环境 | 迁移批次清单、源/Runtime目标快照、执行权威/epoch、旧合同和只读原结果路径 |
| 可测预期 | 原Job/Run/Operation/attempt/资产身份、归属和快照保留；同一任务只有一个Writer，回退不倒退资金事实或重复执行 |
| 证据 | dry-run/full/incremental/cutover/rollback报告、逐任务权威清单、未终态/差异、fencing拒绝与旧入口记录；关联原 AC-12/15.A07 |
| 阻断 | 两份可写任务权威、旧Worker复发、静默丢资料、无法读已付结果、切换重建原身份或重复资金 |
- 固定源版本与截止水位，全量后制造增量与未终态任务，再切换/回退；核数量、hash、归属、引用、原operation及资金权益，不只比行数。
- 旧任务明确选择原合同drain，或经具名兼容验证后原身份接管；逐任务交接权威/epoch及恢复责任，不复制两份活跃任务。UNKNOWN不得因切换归为失败重做，旧供应/合同/receipt继续可解析。
- 退役现行链路的旧入口须满足替代范围、在途处理、授权读取、对账与回退演练；废弃 Admin/Console仓不重新接入或安排迁移任务。
- 先围栏旧Writer再启用新Writer，注入旧Worker恢复、延迟提交与双端回放；旧token不能派发或推进，新增重复模型POST为零。回退同样交接唯一Writer；新合同任务由兼容执行器继续或drain，不能强塞回不理解它的旧引擎。
UP-AC11 调度、公平、多 Worker与容量观测
| 项目 | 要求 |
|---|---|
| 前置环境 | 本批容量profile、至少两Runtime Worker竞争、分用户/工具/供应指标与故障夹具；嵌入/独立API与Worker按阶段分别取证，B0起有最低监控 |
| 可测预期 | 租约/fencing有效、长短任务不无界互阻、供应背压可解释、观测能定位 Job→步骤→operation→供应原单 |
| 证据 | profile/实测原始数据、排队年龄/延迟/失败/恢复曲线、资源与告警演练；目标由实测与批准值确定 |
| 阻断 | 用户饥饿或无界积压、过期 Worker覆盖新状态、不可定位 UNKNOWN、只用健康200宣称容量通过 |
- 按直接工具、图片、视频、Canvas与可选 Agent混合负载执行；注入单用户突发、供应429/慢响应、Worker丢租约/重启和数据库短断。
- 验证每用户/工具/供应并发、退避、队列年龄、资源上限与恢复；SSE/事件丢失有状态回读兜底，不把通知送达当最终执行权威。
- 实测 profile 固定用户数/并发、到达率、任务混合、产物大小、持续时长、基础设施/供应；未测profile不对外承诺人数/QPS。
- 到独立API/Worker批次时，分别关闭Studio、重启Runtime API/Worker及断开消费者；任务按原身份恢复，观察读取/交付可退避，不能回调Studio Route Handler代替核心执行。
UP-AC12 发布、原状态恢复与证据治理
| 项目 | 要求 |
|---|---|
| 前置环境 | Runtime/合同/SDK/API/Worker/消费者版本及配置manifest、实际schema、发布检查、原持久状态与具名负责人；当前开发链不要求备份或独立恢复库 |
| 可测预期 | Runtime可脱离Studio构建/运行契约fixture；当前批可定位、停新并在原持久状态重启，原件、引用、任务及原资金一致 |
| 证据 | 文档检查、构建/测试结果、实际制品/schema manifest、未知ACK及原命令重启回执、独立续签和可靠释放证据；本期备份/联合恢复/DR项不适用 |
| 阻断 | 适用发布检查失败未处理、原任务/引用或原释放不能继续、制品来源不明、秘密泄露、文档通过冒充业务通过；已取消备份项不作阻断 |
- 每批执行适用构建、安全/契约/数据库/页面门禁，确认配置与实际运行制品匹配；既有 release wrapper失败必须关闭或按批准例外记录，不能写全部通过。
- 当前开发链在原持久状态上验证进程重启、未知写入ACK后原任务确认、Platform释放后Runtime独立续签，以及产品可信解绑和原释放重放；不执行dump、备份副本上传、三库联合恢复或原件丢失后的备份恢复。
- 每批覆盖适用制品、权限、资金、最低监控和停新保已有读；当前开发备份与DR已取消，不转到B5或默认后续任务。new-api现有客户生产发布保护，包括原流程自动数据库备份，按原实现继续执行。
- 在对应批次提交Runtime制品、SDK依赖边界、统一目标合同及适用API/Worker启动回执；核outbox持久回执和Writer epoch，原命令重放不新增模型POST或资金事实。本期不要求旧对象协议兼容矩阵、备份分库恢复或兼容fallback。
免费Artifact/ResultSink与Agent检查点的验收子集
本轮实现回执集中在Artifact与Agent证据，GO只登记在开发清单。该子集不替代下文完整MVP、真实产品/供应或生产发布Gate。
- 无Agent/Conversation的免费direct Job与脚本Planner产生的工具Job共用repository；固定Job/输出序号、输入指纹和真实字节hash，参数归一化不能在受理后更换执行意图。
- Artifact落真实文件后丢保存回执；候选及inbox提交后丢投递回执。启动全新Node进程恢复，核对同Job、同Attempt、同Artifact/asset、一个候选及一张原Delivery回执；不再执行工具。
- Runtime与fixture产品使用各自Pool、schema和事务，不读写彼此内部表；本轮在同一隔离数据库内验证，不据此登记物理分库故障恢复或真实领域授权通过。
- 已保存Artifact重放和重复/乱序事件不增加产物；跨scope、目标版本过期、同deliveryId不同意图、候选资产/hash冲突拒绝，原产物保留。送达后领域原文不变、
adopted=false，候选送达不等于采纳。 - Agent在queued/running/UNKNOWN或待保存时持久waiting；伪造/遗漏/跨Job Artifact不能形成saved observation。Planner发送屏障后的丢回执只recover原调用；旧租约围栏失效、stop不创建后续Job；明确工具失败可由新callId修正，步数上限耗尽不能冒充完成。
- 现有Studio v1逐工具保存有序observation前缀；重启不重执行已完成前缀，异常不写成可安全重做的参数错误。每个新工具前核对本地stop和Platform状态；前一个工具期间停止或出现403/404/409时不执行下个工具，已在途媒体仅恢复原操作。
上述早期免费纵切的模型/供应POST/Operation/资金写入为零；其当时未覆盖的SDK/最小流程、Studio接线和双入口已由后续批次分别实现/验证，当前判定统一见 WP-RT-001与 PROC-02-005，不将原“另验”视作所有能力至今未实现。完整真实供应、独立服务/Writer和发布仍按适用Gate分别判断。
首期 MVP Gate 子集
执行顺序、并行开发流与交付范围见实现计划。下表从UP-AC01～12抽取首期适用场景，不删除完整套件要求；完成某个子集只登记该范围通过，不关闭完整UP-T工作包或整个批次。
| 首期Gate | 最小执行场景 | GO判据与证据 | 关联套件 |
|---|---|---|---|
| Runtime MVP | 独立构建核心/合同/薄SDK；真实隔离PG持久会话、Run、Job、原意图与事件；一个免费direct工具、受控Agent循环和最小固定流程共用Job | 无Studio/Next route依赖，SDK无DB/repository/调度器；direct的LLM调用为零；同clientRunId同意图仅一逻辑Run，异意图拒绝；重启只读核原身份。保存构建、依赖、fixture及故障回执 | 01/02/04/05/06/12适用子集 |
| 非Studio组件fixture | 独立宿主接同一SDK/Panel，以fixture调用方、自己的Session/上下文/ResultSink完成对话、历史重载、事件续传和一次结构化选择 | 无Studio源码、会话及产品库；越权拒绝，重复decision不多写，交付有持久回执；记录独立启动及两端状态。fixture不证明Console/Admin/Site真实调用方已获授权 | 01/02/05/09/12适用子集 |
| 真实Studio消费 | 真实Studio BFF、身份及注册ports接入首个文本Agent；按选定范围联验现有已验的小结果工具，保存、回显及原结果恢复，不以UI mock代验产品接线 | 原Session/Run/Job/Operation/资产关联稳定；受理丢回执读原Run，资源不足/UNKNOWN/保存失败分态；已完成原结果不再生成。先取隔离PG/受控供应的产品联验回执，具名真实供应另闸 | 01/04/05/06/09/10/12适用子集 |
| Studio双入口 | 全页与Canvas侧栏消费同一Runtime及获准Session/Thread；切surface、换项目/选区、断线重载，原Job完成后回显同一产物 | 本轮上下文显式可见、逐轮重验冻结；切入口不重提消息；Agent流结束不冒充媒体/资金完成；Canvas按对象权限与修订挂载。保存双入口实页、上下文快照、事件游标与原Job证据 | 01/04/05/09/12；Canvas所选挂载子集 |
首期边界与独立门槛：
- 不等待全量能力。 首个文本Agent可沿已交接的文本Run合同；现有小结果切片只验所用能力/规格及当前大小边界，不等待完整DAG、任意扇出汇合、大文件改造或新增reference模式。Canvas侧栏不以前述完整执行图上线为前置；未选范围保持关闭/待验，不能据首期通过宣传全套能力。
- 不绕过授权。 免费direct夹具与首个文本Agent不代验纯媒体后台授权；收费后台direct启用前仍须完成UP-T04正式合同与相应资金/恢复联验，不能伪造LLM步骤。工具可见、组件嵌入或fixture身份不授新增模型/产品动作。
- 单Writer从首个任务强制。 即使先同进程，也须固定任务权威、领取版本/队列与fencing，旧Worker不能抢新任务或复发；旧任务按原合同drain或显式兼容接管，保留原身份。不以“API/Worker尚未拆部署”为由容许双写、重建Operation或重发UNKNOWN。
- 独立API/Worker另闸。 服务化阶段提交正式API/SDK兼容、独立启动、Studio关闭后的执行/读取、旧领取围栏、回交写权及原持久状态重启证据；物理分库迁移不是同进程MVP前置，跨库交付与重放按适用阶段联验。嵌入式MVP不登记独立部署完成。
- 真实供应另闸。 夹具/产品接线通过不证明具名供应、文件规格或实际费用；所选真实调用必须另有当前会话对应授权。此前Higgsfield/Krea各一次、合计上限US$5的生成授权已用于竞品取证，不复用为OceanWay或新增测试额度，也不推算尚可消费余额。本轮不执行收费验证。
- NO-GO不降级。 受影响范围只要存在scope越权、付费授权缺失、UNKNOWN可重发、旧Writer绕过围栏、保存失败再生成、资金/执行/交付混同，或适用的原状态恢复/停新保已有读不可执行，即不得上线该范围；当前开发备份和DR不作为NO-GO条件，new-api既有生产保护不由此删除。资源自动核对、无Run预算表单、用户主动继续及已派发媒体保存/结算仍沿UP-AC05/06。
批次 Gate与判定
| 批次 | 必须覆盖的套件 | 范围限制 |
|---|---|---|
| B0 基线 | 01、10、12；11最低指标 | 固定源/Runtime目标权威、原身份/未终态、合同版本、存储边界与发布保护；不等待新功能才监控 |
| B1 独立Runtime/Job/资产 | 01、02、04、05、06、09、11、12适用子集 | 核心/合同独立构建及非Studio对话组件fixture，薄SDK、会话/Run身份、受理恢复、受限适配器；可先同进程嵌入，未开媒体关闭 |
| B2 媒体与直接工具 | 01～06、09、11、12的具名组合 | 存储与传输上限两道、typed reference、真实供应逐模式；不笼统媒体PASS |
| B3 可执行Canvas | 01～06、09、11、12 | Studio全页/Canvas侧栏统一Agent、Job/from-job、Workflow与事件；API/Worker按服务化阶段独立取证，不以同进程结果登记独立部署完成 |
| B4 领域消费/现行运营 | 09、10、12与适用01～06；选Drama加07，选Commerce加08 | 第二消费者无Studio依赖；Console/Admin/Site正式嵌入授权、跨库交付与单Writer切回；原型分别决策，不恢复废弃仓 |
| B5 规模/可选团队 | 11、12与扩展影响的适用套件 | 批准profile下测扩容及原任务故障恢复，不含已取消开发备份/DR；团队另补成员/共享/资源权限，不能删scope来“支持共享” |
每个 Gate保留“需求/合同已定义、实现已验证、具名供应已验证、业务已验收、生产已发布”独立状态。文档站检查/构建通过仅证明文档可交付，本页本轮不填写业务通过或发布日期。
容量/SLO表须填写：测量对象、profile、基线、批准目标、统计窗口/分位数、排除条件、测量工具、告警阈值/接手人、实际结果与证据。至少覆盖排队/执行/结果可取耗时、保存失败/恢复年龄、错误/UNKNOWN、重复操作、PG/对象增长和供应限流；没有实测和批准值时标待确定，禁止编造吞吐或时限。当前共享原件开发链不要求RPO/RTO测量，也不将其列为默认待补。