复核 R-b14（PostgreSQL 单进程墙钟一跳就隔离自己）：取得到计入休眠的钟（SLEEP_AWARE）时 stale() 只看它，墙钟只在取不到时当后备（两只里走得多的那只）；两只钟对不上（jumped）不再直接隔离，先续一次租——续租那一句按库的时钟核对「自己的租约还没过期」，以它为准：续上了只记一条日志照常，续不上才隔离。README「多进程」补一句：库服务器自己的时钟往前跳超过一个租约时所有进程一起隔离、怎么恢复，往回跳时真没了的进程要多等，本机墙钟跳了不隔离。补测试：墙钟往前往后跳一小时不算续晚了、只算对不上，计入休眠的钟走过两个租约照样算，取不到时墙钟当后备；PostgreSQL 单进程墙钟 ±1 小时续租照常续上、不隔离，真过期仍隔离；执行到一半墙钟 ±1 小时，运行照常跑完、世代不变（改前的写法往前跳那条不过）

README.md

@@ -1188,7 +1188,7 @@ asyncpg 方言一律这样做，同一个事务里、在同一条服务端连接
 SQL 形状。各进程各自的并发闸门（口径比对、自动对比、起草的模型调用、上传解析）按进程算，进程多了总量跟着多。
 
 **多台机器。** 几台机器要用同一份数据目录：放在共享存储（NFS 之类）上，每台挂在**同一个绝对路径**（库里记着上传表格各版本库文件的
-绝对路径），各台机器的时钟仍要对时（NTP）：租约按库的时钟算，机器之间差多少都不影响谁算活着，但「停了两个租约时长」这类判断看的是各机器按本机时钟写下的时间。文件都是先写临时文件再改名，读的一方看不到写了一半的；写上传版本库、记录表
+绝对路径），各台机器的时钟仍要对时（NTP）：租约按库的时钟算，机器之间差多少都不影响谁算活着，但「停了两个租约时长」这类判断看的是各机器按本机时钟写下的时间。库服务器自己的时钟往前跳超过一个租约时（少见），所有进程续租时都会发现自己的租约已经过期、一起隔离：执行到一半的运行标成中断，在运行详情里点「继续运行」从断点接着执行；后台任务按「属主不在了」的规矩处理；各进程自动换身份重新登记，之后发起的照常。往回跳时不隔离，只是真没了的进程要多等跳回去的那么久才被接手。本机墙钟跳了（NTP 一步校时、手动改时间）不会隔离：判续没续晚看的是计入休眠的单调钟，对不上时以库里的租约为准。文件都是先写临时文件再改名，读的一方看不到写了一半的；写上传版本库、记录表
 在库里的锁下一个接一个。但要说实话：数据目录里还有 SQLite 文件——上传表格的各版本库（发布后只读）、填报的记录表（`records/*.db`，
 原地追加写）、沙箱里代码自己建的库——SQLite 文件放在网络文件系统上，读写一致性靠文件锁，而 NFS 上的文件锁不可靠：一台机器在追加时
 另一台读，可能读到不一致的页。所以多台机器时，记录表写得多的部署建议用一台机器多进程，或者把数据目录放在支持可靠文件锁的存储上。