恢复契约

Tentarc 把恢复当成系统契约，而不是出错后补救脚本。

恢复边界

崩溃/重启后，运行时从持久化控制面与状态面恢复：

• 未消费控制意图
• 最近一次状态迁移
• 最新记忆版本
• 可恢复执行游标/检查点

保证

• 已判重请求在重启后仍被拦截
• 已完成副作用不会盲目重放
• 非终态中断任务可恢复
• 终态任务保持终态，除非显式分叉或重放

失败分型

明确区分失败类型：

• 准入失败：执行前被拒绝
• 执行失败：数据面执行中失败
• 投影失败：执行后状态写入失败

类型不同，处置策略不同。

运维排障手册

生产环境建议固定流程：

1. 看状态时间线
2. 定位最后一个可靠检查点
3. 判断恢复执行 / 重放 / 分叉
4. 保留控制决策审计轨迹

这样能在不掩盖故障事实的前提下维持可靠性。