5 Commits

Author	SHA1	Message	Date
姚章浩	8a3aa800a3	fix(scripts): 演练判据改用认领与决策行并校验预备份复用 ... v4 判据（都带作业身份，且时间戳必须晚于杀点）： - `scripts/takeover_log_contract.py` 是唯一判据：认领行 + 决策行都要有本作业 id、 target/backup 一致；只有汇总行、别的作业的认领行、杀之前的旧日志三种一律红； `--self-test` 11 条（正例 2 / 负例 9）进 `make verify`（新增第 16 项必需检查）； - `prebackup` 不再强制 `skipped`：真实接管是复用后重跑整条链路，阶段记 succeeded。 但**不取消备份校验**，改为证明复用同一份——快照 id、清单字节与 mtime、 版本行首次登记时刻都不变，且证据里有 `backup_reused=true`； - 杀之前把预备份清单 sha256/mtime 与版本行登记时刻拍进 evidence； - summary.json 增加 takeover_decision / claim_at / backup_registered_at。 verify: 判据自检 11 条全过；用真实 Go 输出行形状的正例日志 rc=0；旧形状（只有 汇总行）rc=2 且理由点名"汇总"；`--check` 前置体检 13 项全 pass（含新增 preflight_log_contract）；make verify overall success。	2026-10-30 07:56:16 +08:00
姚章浩	4a70c2a848	fix(scripts): 杀之前等 docker events 监听就位 ... SIGKILL 与事件监听抢在同一秒时，die 事件可能早于 attach 被错过，症状是误报 "没有 exitCode=137 证据"（假红）。加 1s 等待，并用注释写清它只会假红、不会假绿。	2026-10-30 03:46:52 +08:00
姚章浩	1d70059d32	fix(scripts): 中断演练改用进程崩溃语义并按快照推导期望 ... 上一轮为什么空等 420s：docker kill 走 Docker API 的"手动停止"，unless-stopped 也不拉起，容器一直躺着，最后由人工 docker start 才接管 —— 那不是崩溃自恢复。 改法： - 命中后从宿主机向容器 PID1 发 SIGKILL（同 uid 才允许，先证明能杀）；退出码证据取 docker events 的 die exitCode=137 —— restart 后 State.ExitCode 会被重置成 0， 事后 inspect 读不到 137。 - 限期等 restart policy 拉起（同容器/同镜像才算）；策略没起来才显式 docker start， 并记 restart_source=manual_start，绝不当自动恢复。 - 期望内容按目标快照 manifest 推导（knowledges/chunks/wiki_pages），resources 不进 默认期望（同租户其它知识库资源会保留，trap-16）。 - --kind sync|restore + --snapshot 强校验；目标快照等于中断前生效版本时**杀之前 就拒绝**（同快照收尾不能当完整续作验收）。 - 新增 verify_stages_complete：database/resources/index/wiki/verify 全部 succeeded 才算完整续作（上一轮这四个还是 pending，却被判成功）。 - 独立写集合校验器缺失即 fail（旧版记 canonical=not_run 还 pass）。 - save_evidence 读实例维护用 owner_scope（旧版读 scope 列，SQL 报错被吞）。 验证（已跑）： - bash -n 通过；--check 全绿（READY_FOR_PARENT，含 preflight_verifier） - 负例：WRITESET_VERIFIER=/nonexistent → preflight_verifier fail / exit 2 - 期望推导：fc5955→4/38/31、0d982→1/2/9、0fea→4/38/31；不存在的快照 → exit 1 - 宿主 SIGKILL 能力实测（scratch 容器，非本栈）：kill -9 PID1 → 策略自动重启， RestartCount 0→1，docker events 记 exitCode=137	2026-10-30 03:40:18 +08:00
姚章浩	a19cf819fc	fix(scripts): 修演练脚本的撤注入与 restore 自锁 ... 两处实测出来的缺陷： - --restore 也走完整前置体检，而体检里"不许已经带注入"这一条会把它自己锁死 （上一轮没收尾时它就永远跑不了）。restore 只校验 docker/worker/归档根。 - 注入用的 overlay 被 compose 记进容器的 config_files 标签，restore 时原样重放 等于把注入又加回去（实测 KG_TEST_BARRIER_DIR 撤不掉）。按文件名排除演练 overlay。 另外演练中断（not_run/接管失败）时明确提示"屏障仍在注入，先 --restore"， 不让父以为栈已经干净。	2026-10-30 03:13:35 +08:00
姚章浩	ed307f3c20	feat(scripts): 真中断演练脚本改成父可直接执行 ... 旧 kill-takeover.sh 的判据自相矛盾：要求"作业已 running 且 ledger 齐"才启动， 可它又要先启动再等作业；维护窗口里要求业务 health 200（那时 app 是被有意停掉 的）；没杀到任何进程也 exit 0。 这一版把"做成"定义清楚：真 SIGKILL 真容器 → 同一作业被接管 → 目标按期望内容 恢复 → 服务/入口恢复，四条全成立才 exit 0；missed/超时/接管失败各有非零退出码 并写成 not_run。流程：前置体检（目标拓扑、无在飞作业、无未释放维护窗口、镜像 里真的带屏障代码、只允许本机栈）→ 注入屏障 → ARMED 后由人在页面发起作业 → 看到 .hit 锁住这一个作业 → 读回写集合台账（文件名/自述摘要/作业绑定，可选独立 校验器）→ SIGKILL → 等同一作业接管 → 核对 prebackup:skipped、生效版本、写集合 摘要不变、目标计数、维护释放与容器恢复 → 撤掉注入。每一步有界，不做后台 sleep 轮询假装工作。	2026-10-30 03:09:33 +08:00