133 Commits

Author	SHA1	Message	Date
ThearchyHelios	e9cf74748f	合入期 3 反方审稿（后端）：报告里的关键结论各派只读 agent 主动找反例，给出经受住、被削弱、被推翻、无法判断和有出处的理由；被推翻的计入出具缺口；审批卡附反方审稿概况 ... # Conflicts: # backend/tests/test_issuance_upstream_gaps.py	2026-10-05 18:08:39 +08:00
ThearchyHelios	bee24cf79a	合入期 3 双盲复算（后端）：口径卡上来自查询的输入另起看不到原 SQL 的只读 agent 独立复算，代回原式按误差比对；不一致时挂起交审核人三选一，选择只在差一个方面、且是排除无效记录这类数据事实时写进数据目录；发起时快照核查设置	2026-10-05 18:08:03 +08:00
ThearchyHelios	233afd16ee	双盲复算复核整改（第 3 轮）：驳回过的有效记录条件不再借着同一次裁决里的合并写回，合起来写时已有的段只写一次，补改名后分组的遮罩列用例 ... - 同一次裁决里几个指标落到有效记录条件上、要合成一句时，驳回检查原来只拿合起来的整句和驳回的说法比：「status <> 'refunded'」和「is_test = 0」AND 在一起就不再等于驳回的那句，被写成人工确认，和审批卡上「不写」的预告正相反。现在合并前按每个指标自己的说法过一遍驳回检查（_screen）：带回驳回说法的指标拿出来不写，原因和它的预告是同一句话，其余的照写，备注只列真写进去的指标；合起来以后又包含了驳回的整句的也不写。有效记录条件的驳回检查改按段比，!= 和 <>、列名大小写、先后不同都认得出。 - 合起来的条件再和目录里已有的条件合写时，原来拿并好的整句去接，和已有条件部分重叠的整句原样接上，写出「status <> 'refunded' AND status <> 'refunded' AND is_test = 0」。现在接的是每个指标各自的条件，_and_join 只接还没出现过的段；已有条件是人工确认过的，原因里只说另外多出的那几段。最外层是 OR 的条件只在接了别的条件时加括号。 - Fact.also（其余几个指标）改成 members（并进来的每一个，各带自己的说法）：并好的整句不再顶掉第一个指标自己的说法。 - 补用例：合并时驳回的条件拿出来、其余照写（facts 级和图级，真写和预告一字不差）；驳回的整句由几个指标拼回来时不写；驳回时写法不同也认得出；合写不重复、已确认时只说多出的段；_and_join 的段级去重和括号；遮罩列改了名再分组（region AS area）时不收窄。	2026-10-05 17:23:17 +08:00
ThearchyHelios	f7d1a2ecba	双盲复算复核整改（第 2 轮）：遮罩的分组列不收窄，收窄时去掉 HAVING，审批卡带上处置和写目录的预告，同一次裁决里的有效记录条件合起来写 ... 节点（nodes/dual_check.py） - 差异说明收窄到这一格时，分组键的结果列或它用到的列设了遮罩，就不收窄、照整条比。原流程、盲算各按自己那份快照 的遮罩（查询当时记下的加数据源现在设的）判断。以前按这一行的分组值补等值条件，「region = '华东'」这样的遮罩列 取值会跟着差异说明进审批 payload、human.requested 事件、对照工件和 dual_check_catalog 日志 - 按行收窄时连 HAVING 一起去掉：这一行既然在结果里，它所在的组就满足 HAVING。留着会多出一条「分组后的筛选」， 还会占掉「只差一个方面」的名额，真正的差异（比如时间列）就写不进目录 - 审批 payload 在约定的几项之外带上实际生效的 on_reject。摘要里每个指标另带 catalog：选 a、选 b 时，按发起审批 时的目录各会往数据目录里写什么（{write: true, source, table, item, value}），不写的给出原因（{write: false, reason}）。审核人要看得出不采用原流程会不会让运行失败、某个选择会不会被记成人工确认的目录项 （on_reject 以前只能从图快照里读，子工作流里的节点读不到） 写数据目录（dual_check_facts.py） - 写入的判断拆成不读库的 _plan：真写（_write）和审批卡上的预告（preview）用同一套判断，不会说一套写一套 - 同一次裁决里落到同一项上的几个说法合成一项（_merged）： - 说法一样的只写一次，备注列出每个指标 - 有效记录条件用 AND 合成一句。derive 只收排除无效记录的条件，「排除退款」和「排除测试单」并不矛盾，以前两条 都被丢掉，原因还写成「互相矛盾」 - 业务日期、去重规则说法不同的仍然都不写，原因改为「给出了不同的说法」 - 合并后再和目录里已有的推断条件合起来写时，要求每个被采纳的一边都按已有条件筛过；有一个没按它筛，就不动并说明 是哪个指标 测试 - 遮罩分组列（原流程侧、盲算侧）的取值不出现在 payload、对照工件、节点产出和节点事件里 - HAVING 收窄后只剩时间列一处差异，并写进目录 - payload 的 on_reject、摘要里的预告（一致、已确认不覆盖、指标自己的范围几种情形） - 有效记录条件合并（含和已有推断条件合写、有一个被采纳的一边没用已有条件时不动），同一说法只写一次 - 补上复核指出的三处接线缺口，各有一条图级用例： - 带取舍的列名（gmv_by_order_date、paid_orders）不交给盲算 - 取值在运行输入里的排除条件不写目录 - 分组列上的 is_test = 0 不写目录 - 13 处变异（遮罩判断两侧、HAVING、上面三处接线、合并、预告、on_reject 等）去掉后，相关测试都会变红	2026-10-05 16:43:14 +08:00
ThearchyHelios	5f48f8727e	运行对比加固（收尾）：区域等维度列设了遮罩时照样拿它核对两次引用的是不是同一批行，说明只写行号、不写值，挤出引用行段的和真的少了分得清，没挪的照常是数据变化；补单格反方向、归因维度按两边各自引用的行认、写入者改了配置时不严格拆分、并行支路查询四处守护用例	2026-10-05 16:41:59 +08:00
ThearchyHelios	1491b5c7f3	双盲复算复核整改：指标自己的筛选范围不再写成有效记录条件，盲算不再看到原流程的列名，差异说明收窄到这一格 ... 写数据目录（dual_check_facts.py） - 有效记录条件只收「排除无效记录」的条件：被排除的取值是退款、作废、测试这类（或码值表里写着这类意思）， 标记列只认留下有效记录的一边（is_test = 0、is_valid = 1、deleted_at IS NULL）；取值出现在指标名称、口径说明、 所在分组、运行输入里的，用到分组列的，一律不写，原因写明「可能是指标自己的筛选范围」。以前「华东销售额」的 region = '华东' 会被记成订单表人工确认过的有效记录条件，之后所有查订单表的工作流（含下一次盲算）都只看华东 - 目录里已有的有效记录条件被采纳的一边也按它筛了的，和新条件合起来写（已确认的不改，照实说）；没按它筛的不动。 以前整项替换，两边都用着的 is_test = 0 会被静默丢掉。推断的去重规则说法不同的也不替换 - 业务日期只在两边都按时间筛、按的列不同时才写；一边根本没按时间筛的不写 - 采纳了不去重的一边不写去重规则：那是指标自己的算法，写成「不去重」会把别的指标带偏 - 同一次裁决里几个指标对同一项给出矛盾的说法，整组都不写 节点（nodes/dual_check.py） - 盲算任务里不再给原流程结果的列名和同一行的维度列名：分组的只给取值（日期说成「2026-09-02 这一天」）， 原 SQL 写死的文字列连取值也不给；只有几项输入都来自查询又没写口径说明、列名看不出取舍时才给列名。 以前「order_date 为 2026-09-02」等于告诉盲算按下单日归属，下单日和支付日的陷阱正好漏掉 - 差异说明先把两条 SQL 收窄到这一格（只留算出这一列的那一项，分组的按这一行的分组值改成等值条件）再比， 多列查询、分组取一行时不再混进「选出的列」「分组」这类噪声，只差一个方面的也写得进目录 - 产出状态：全部一致才是 agreed，一个都没核成是 unchecked，核成一部分是 partial；产出和台账加 counts； 无法复算的指标发 dual_check_unchecked {metrics: [{id, name, reason}]} - 共用一格的几个指标触顶时每个指标各发一条 dual_check_limit - 查询次数刚好用完、交回的格子是真查出来的照常比对（时长、金额触顶仍按无法复算） - 审核人没选或选了认不出的照实记「审核人没有对指标作出选择」，不再替人记成「两边都不对」 - 盲算先单独做第一个，其余最多 3 个同时进行，避免串行撞上运行单段的时长上限 配置 - 画布校验：双盲复算配了失败重试报错（重试会把盲算整轮重做、再问审核人一次）；enabled 用 is 判断，0、1 不再放过 - 发起时的核查设置快照：子工作流（按运行时的取法读）里有双盲复算、反方审稿节点时也快照 - 助手节点说明补一句不要给双盲复算配 retries 测试：补上遮罩两道防线、规范化后一致但值不同、两个输入都对不上、只复算配置的指标、原值为 0、摘要最多 3 条、 驳回、多列查询、分组取一行、指标筛选范围不写目录等用例；每条核心改动都做过去掉实现、测试变红的验证	2026-10-05 15:54:03 +08:00
ThearchyHelios	eea098e975	运行对比加固（第 3 轮）：单格要是同一个区域的同一行；归因按哪组维度说就按哪组维度核对；快照里行和列对不上的说不清；补单格反方向、行段只差最后一行、精确性一侧等变红测试 ... - 单格（数组字段的一个元素）引用的那一行两次是同一个区域，还要是它同样的那一行：按查询结果的先后，排在这一行前面的、它的行数两边一样。区域 × 日期的结果东区少了一天，第 3 行从南区的第一天变成第二天，原来报成只数据变、南区少了 5（同一天的南区其实多了 10，正负号反了），同一处引用换成一行的行段却说不清；按金额排的第 2 行从东区第二高的那天变成最高的那天、取第二个元素的也一样。只比排在前面的行数，不比外面还有没有它的行：东区两天还是一天、第 1 行都是东区第一天的照常是数据变化 - 行段核对引用的是不是同一批维度值时，按两边整份结果认出的维度核对一遍，再按归因用的维度（引用的那段行上认出的）核对一遍，两组都切在同一处才算同一处。渠道在引用的行里两边都只有「线上」、归因按区域说：南区第二天走了线下、挤到第 5 行，原来只按（区域, 渠道）核对，报成只数据变、南区 -100%，和「南区真的只有一天」一字不差，反方向也是；区域 × 渠道取前 2 行、南区新开的线下排第 3，归因 300 → 280，快照里南区是 300 → 480。只按归因用的那组也不够（只引用一行的认不出维度；引用的行两边都只有东区、只有整份结果分得出区域的也要核对）。取行的规则抽成 _attributed_rows，归因和核对共用 - 快照里有的行和列对不上、认不出各行是哪个维度值：原来退回按行号认、报成只数据变，现在和快照读不出来一样说不清，说清是哪一边 - 新测试：单格同一区域换了一行（两个方向、按金额排、取第二个元素、排在前面 2 行对 1 行、只有一行的行段同样说不清、同一行的对照）；按归因用的维度核对（渠道挤出、反方向、新开线下，各带对照，占比之和为 1；只引用一行时仍按整份结果的维度核对）；行和列对不上（两个方向）；单格反方向（这次取的区域在基准运行里，只是不在这一行）；行段只差最后一行；精确性一侧（第 4 名每周不同、后面剩的行数不同，仍是数据变化）；排在前面的行数 2 对 1、位置说明里的行数、两边都只引用一部分但行数不同、基准一行都没引用时说哪一边；引用的行两边都只有东区时按整份结果认区域；金额列存成文本时也不当维度；只在一次运行的图里有的下游节点；不归因时整体说明照样提遮罩 - test_an_element_only_needs_the_same_region_on_its_row 改名 test_an_element_does_not_mind_other_rows_of_its_region：单格不再只看区域，原名和说明都不对了	2026-10-05 15:52:51 +08:00
ThearchyHelios	4d364d385b	反方审稿复核修正（第 2 轮）：照录的理由不露内部标记、裸数字注明无出处，只停用了部分数据源时理由和时间线写明没查哪几个，撞上每日金额上限的几句同一种说法 ... - 不采信时照录反方的理由改成纯文字：解析不了的引用（⟦?v:…⟧）换成「（引用无效）」，裸数字后面注明「（无出处）」。 这种句子没有理由文档，界面按文字显示，以前内部的占位标记会原样露在审批卡上，裸数字也不标 - 一句该查的数据源只停用了一部分时照常反查，理由末尾由系统注明哪几个没查（写进理由文档：界面按文档画理由， 写法和把说明写进原文再组装出来的一模一样），时间线另记一条 challenge_sources_lost。以前只写进给 agent 的任务， 审稿记录和审批卡上的「经受住」看着就像每个源都查过了。没挂依据的句子按整份报告用到的源查，任务、理由里不再说 「这句引用的」 - 当天的核查金额用完时，派出去就撞上上限、一次模型都没调用的那句，和后面不再派出的句子用同一种说法 「已达上限（…），这句未反查」，不再一句「反查未完成：…没能交结果」、一句「这句未反查」 - 判失败的报错只推翻一句时说「请核对这句结论」 没有改的：被推翻的出具缺口读成「反方审稿「反方审稿」：反方审稿推翻了…」并归在「校验不完整」下，审批卡和节点产出 分不出根本没反查，challenge_unreviewed / challenge_sources_lost 不在期 3 约定的日志代码表里——这几处要改约定或 别的包的文件（io.py、decode.ts、NodeCard.tsx、EvidencePane.tsx、ChallengeSummary），留给编排者定	2026-10-05 15:50:20 +08:00
ThearchyHelios	4ceac6b74c	反方审稿复核修正：没有出处的结论不采信，推荐接法下审批卡有报告，重试和接着跑不重审、不拿旧审稿冒充 ... - 出处：一条查询都没执行成功的判什么都记为无法判断，判「被推翻」的理由里还得引用到自己的查询结果——零查询的推翻能让 正式出具降档，零查询的「经受住」会给审批人假安心。系统写明原因，反方原本的结论和理由照录。这句引用的数据源都已 停用时不派 agent；核查模型本身用不了时后面的句子照同一个原因记，不再逐句去建模型 - 时间线：有句子没能反查时另记一条 challenge_unreviewed（带第一条原因），challenge_done 的说法分开写查过的和没查成的 - 审批卡：「报告 → 反方审稿 → 人工审批」时审批说明不引用正文也认得出这份报告（reviewed_report_ids 穿过直接连着的 反方审稿，reviewed_by_human 同步），审稿概况附得上 - 重试与接着跑：同一次执行里的重试沿用已经审完的结果，不再多花一份钱、也不会把「被推翻」重审掉；审稿结果带输入指纹 （报告、文档、反方模型、上限、遮罩），接着跑时只改「结论被推翻时」沿用，改了审稿本身就重审 - 处置：产出和审批卡里的 on_refuted 写实际生效的 degrade / flag；「报错并停止运行」配「出错时：记录错误并继续」画布 校验挡住，跳过校验的旧图执行时改按出具降档；反方审稿不在带出具契约的成果节点上游时画布给警告（降档不会发生） - 摘录里指向原报告查询的写法（指标取自查询 Qn、查询 Qn 的 SQL、出现在查询 Qn）都标成「原报告 Qn」，和反查 agent 自己的 Q1 分开 - 选项叫法和检查器下拉一致：出具降档 / 只标注 / 报错并停止运行，「启用」写跟随设置；助手手册同步 - 补测试：快照里的反方模型和每日上限、裁判判成不是结论的句子不审、审批卡只给被审的那份报告挂概况	2026-10-05 15:08:53 +08:00
ThearchyHelios	44e4597037	运行对比加固（第 2 轮）：行段要把引用过的每个区域切在同一处——一边整个被引用、另一边只引用了一部分的，引用的行数没变少也说不清；只在一边有的区域那一边算整个被引用；引用的行不从第 1 行开始时还要是它同样的那几行；单格只看那一行是不是同一个区域 ... - 一个区域在一边整个被引用、另一边只引用了一部分（其余的行还在快照里）：上一轮只在「有行在外面的那一边引用得少」时判说不清，南区这次多了一天、引用的行只盖住前两天（行数没变少，甚至更多）照样报成只数据变，归因和「真的只有这几天」的对照一字不差，反方向连正负号都反了；现在按切法比：两边都整个被引用，或者都只引用了它同样的那几行，才是同一组数 - 只在一边的快照里有的区域，没有它的那一边算整个被引用：北区这次新出现、三天只引用了两天，基准运行南区只引用了一天、这次南区没了，都说不清；新出现、没有了的区域整个被引用的照常是数据变化 - 引用的行不从第 1 行开始时，按「排在引用的行前面的行数、引用的行数」认引用的是它的哪几行：两边都只引用了东区一行，基准是它金额第二高的那天、这次是最高的那天，说不清，说明里写出两边排在前面的行数 - 单格（数组元素）只看引用的那一行两次是不是同一个区域，不套行段的切法：东区两天还是一天，第 1 行都是东区的第一天；第 1 行的东区真的没有了照常比 - 说明说引用的行外面有它的那一边，两边都有的说引用得少的那一边；几个区域切法都不同时说基准运行引用的行里先出现的那个 - 截断的快照仍按取回的行比（和引用整份结果一致，挤到截断点后面的行看不到，不做归因），写进文档 - 新测试：一边整个一边部分（这次多一天、这次引用得更多、反方向，各带真的只有这几天的对照，占比之和为 1）、切在同一处（两边都只引用南区第一天仍是数据变化）、行数不同两个方向的说明、几个区域都不同时说哪一个、排在前面的行数不同、只在一边有的区域（新出现、没有了）、两列维度一起认（含一边只有一个值的区域列）、单格只看那一行、挤出两行时的行号和行数（两个方向）、正好 3 行不写「等」、两个 Agent 都交得不同时点名画布上靠前的、单边遮罩时整体说明提到遮罩	2026-10-05 14:47:05 +08:00
ThearchyHelios	e353706498	双盲复算写目录：人工驳回过的同一说法不再写回；节点说明补上盲算 agent 看得到什么 ... - 数据目录里这一项以前被人明确驳回、驳回的正是这次要写的说法：两次人工判断对不上，不替人拿主意，不写并照实说原因；驳回的是 别的说法时照写。业务日期只按哪一列比，规则、时区是补充。 - 节点模块说明和盲算的系统提示补上：结果分了组的另给那一行的维度，统计期看本次运行的输入。	2026-10-05 14:31:15 +08:00
ThearchyHelios	ce19b074cf	双盲复算：盲算 agent 的任务里带上本次运行的输入参数 ... 原流程的 SQL 常常是拿运行输入拼出来的（统计期的起止、地区），盲算 agent 只看口径说明不知道算哪一期，就算不出同一个数。任务里 加一行本次运行输入里的标量参数（最多 12 项、每项截到 40 字），只给参数、不给 SQL。分组结果的测试顺带核对任务里有统计期参数、 没有原流程算出的数。	2026-10-05 14:27:19 +08:00
ThearchyHelios	77f3119cf9	双盲复算节点：按输入盲算、代回原式比对，不一致交人裁决，只差一个方面时写进数据目录 ... 占位的直通桩换成真实现（engine/nodes/dual_check.py）： - 按输入复算：口径卡上输入来自查询快照的指标，每个这样的输入另起一个看不到原 SQL 的只读 agent（verify_agent），只给它指标名、 口径说明、这个输入在计算式里是哪一项（「输入1」，不露取数节点和 cell() 的行列）、分组结果那一行的维度列、数据源的数据目录； 它交一个格子引用，由代码从它自己的快照取值。盲值用原式代入盲算的输入算（engine/recompute.py，取整同口径卡），按相对误差比， 原值为 0 时按绝对误差。两个指标用到同一格只盲算一次。合并查询、整段结果、遮罩列、文本输入不能单独复算，记「无法复算」、不花钱。 - 一致不挂起，产出 agreed；不一致时逐个对不上的输入用 explain_sql_diff 说清差在哪（规范化后一致却值不同的写「差在数据」）， 完整对照落成 card_artifact 工件（避开审批 payload 的截断），按约定的 payload 用 ask() 挂起。审核人选 a 无缺口，选 b、都不对 写 issuance_gaps，on_reject 为 fail 时节点失败；明确驳回按人工驳回失败；没选的按「都不对」。触顶、核查模型不可用、交不出数的 指标记「无法复算」并写缺口，核查模型本身用不了时后面的盲算不再一个个去试。 - 设置读发起时的快照，没快照的读一次记进 checkpoint；读设置、盲算连同比对、差异说明连同工件、写目录各在一个 @task 里，审批恢复 重放时不再调用模型、不再计费、不再写，事件也只发一次。日志按约定的 code 和结构化字段发（dual_check_skipped / same_model / agreed / disagreed / resolved / catalog / limit）。盲算的查询只发 tool.end（role: verify），台账只记一条 kind: dual_check， 报告的写作目录不含盲算的查询；用量计入节点。 选择写进数据目录（engine/dual_check_facts.py）：只在审核人选 a 或 b、差异只有一条具体条目、又对得上目录事实时写——时间列不同记 业务日期，一边多一个只涉及一张表的筛选条件记有效记录条件，聚合只差去不去重记去重规则，都按被采纳那一边的写法。照对话提案的 规矩核对，记为人工填写、已确认，备注写明运行、节点、指标；已是同样的已确认说法不再写，确认过的不同说法不覆盖、照实交回原因。 测试：虚构零售库埋了退款行、下单日对支付日两个陷阱，盲算模型是 MockChatModel 剧本，覆盖一致、不一致挂起与 payload / 工件形状、 三种选择与 on_reject、写目录与幂等、不覆盖、全局关闭与节点覆盖、发起时快照、重放不再执行盲算、写作目录不含盲算查询、用量、 同模型提示、触顶、不能单独复算的输入。占位节点的旧测试只留反方审稿。	2026-10-05 14:23:43 +08:00
ThearchyHelios	ff23c6a8ad	双盲复算的配置与发起时的设置快照：画布校验、核查设置快照进运行选项、助手节点说明 ... - 画布校验（engine/schema.py）：「口径卡」必须是上游的口径卡，没写时上游只能有一张（dual_check_card，节点执行也用这一个认法）； 「复算的指标」「口径说明」的键必须是那张卡上的指标 ID（引用自别的工作流的口径卡画图时查不出，不查）；开关、允许的相对误差、 未采用原流程时的取值。报错写检查器上的中文叫法，叫法暂放在 DUAL_CHECK_FIELD_LABEL（labels.py 不归这个工作包）。 - 发起（engine/launch.py）：图里有双盲复算或反方审稿节点时，把核查设置快照进 options["verify"]。这两种节点在运行中途读设置， 审批停下期间改了设置，恢复后的那一段就会按另一套规则走；发起时定下来，重放和正式运行才可复现。没有这两种节点时 options 原样不动，run.started 和以前逐字相同；调用方已经给了 options["verify"] 的照它的。 - 助手的节点说明（NODE_REFERENCE）加 dual_check 一条：要正式出具、口径卡上的指标来自查询时接在口径卡之后、报告之前，各配置项 怎么写（口径说明按业务写、盲算模型默认不写）。	2026-10-05 14:23:00 +08:00
ThearchyHelios	dbf7b994d7	反方审稿：校验找不到报告时给一句实在的话（不留空串），节点说明写清「启用」的取值规则	2026-10-05 14:03:37 +08:00
ThearchyHelios	dc5a113e29	反方审稿节点（后端）：报告写完后挑几句关键结论，各派一个只读 agent 站在反方写查询找反例，被推翻的让出具降档 ... 结论句裁判只看写作者挂的证据，可证据本身就可能挑过（只查了含退款的销售额）。反方审稿换个方向，自己查库去证伪： - 选句照裁判的预筛（judge.candidates）：挂了依据的、带比较或因果的在前，取前「最多审几句」句，裁判判成不是结论的不审 - 每句一个核查 agent（verify_agent.run_verify_agent）：工具只给这句引用的查询所在的数据源（指标按输入取自的查询、合并查询 按它合并的源算；没挂依据的在整份报告引用的源里查）；任务给这句结论和它挂的证据摘录（judge.prepare，遮罩照旧，编号改成 「原报告 Qn」免得和 agent 自己的 Q1 混淆）；理由里的数字只能引用自己的查询格子，裸数字被标出 - 审稿记录 challenge_artifact 按约定的形状随运行封存；台账只记 kind challenge，查询不进任何报告的写作目录 - on_refuted：degrade（默认）写 issuance_gaps 让出具降档，fail 判节点失败，flag 只记录；产出带实际的 on_refuted - 上限：句数、每句查询数、每句时长、全局每日金额，都按发起时快照的核查设置（run.options["verify"]，没有快照按设置当前值）， 节点上写了的盖过它；全局关闭、报告没有可审的结论句、报告文档读不到时直通并记 challenge_skipped - 日志按约定的 code 带结构化字段：challenge_skipped / challenge_same_model / challenge_limit / challenge_done / challenge_refuted - 整个反查（连同存记录、发日志）放在一个 @task 里：接着跑时不重复查库、不重复记账、时间线不重发 - 审批卡：human 的 _reviewed_reports 给被审的报告附上 challenge 概况（counts、最多 10 条 items、artifact、on_refuted）， 没审过就不加这个键 - 画布校验：要审的报告必须是上游的报告撰写节点（不写时取直接连着的那份或上游唯一的一份，多份要人选）；各项配置写错报中文、 执行时报同一句；反方模型和写作模型写成同一个给警告 - 占位期的直通测试只留双盲复算（反方审稿的直通行为改由 test_challenge_node.py 覆盖）	2026-10-05 13:57:38 +08:00
ThearchyHelios	36848f0a1e	运行对比加固（第 1 轮）：一个维度值占几行时按维度值数两边各引用了几行，有一部分挤出引用的行也判说不清；单格引用的快照读不出来时和行段一样说不清；补循环回边、写入者不知道时的措辞、严格拆分的范围、单边遮罩四处测试 ... - 区域 × 日期这类结果（日期不当维度），东区多了一天把南区的第二天挤到引用的行外面、仍在快照里：原来只记每个维度键在引用的行里外各自第一次出现的位置，两边都引用过南区就查不出，报成只数据变、南区少了一半；现在某个键在一边引用的行更少、那一边快照里引用的行外面还有它的行，判说不清，说明写「南区这次有 1 行在查询结果第 5 行，不在引用的行里」，两个方向都查；真的少了一天的照常是数据变化、占比之和为 1 - 遮罩列仍不当维度：只用没遮的列认，说明里只写没遮的列的值和行号；整个挪出去的维度值列出全部行号（最多 3 个，多的写「等」） - 单格（数组元素）引用、一边快照读不出来时原来退回按行号认、报成只数据变，现在和行段一样说不清，说清是哪一边 - 新测试：循环回边上的节点算口径卡之前、写入者不知道时并行支路只说「节点」且不说「它的上游节点」、严格拆分不被口径卡自己和下游挡住、只有一边遮了区域列（两个方向）时说明、归因、整体说明里都不出现区域名	2026-10-05 13:14:41 +08:00
ThearchyHelios	36569e1fa4	运行对比复核修正（第 3 轮）：行号相同的引用还要引用同一批维度值，记不出写入者时只看口径卡之前的节点，默认设置的登记按节点类型逐类核对 ... - Agent 两次引用的行号相同、都不是整份结果时，一边引用了的维度值（区域……）在另一边的快照里却没被引用（按区域排序多了北区、按金额取前 3 名名次变了），判为说不清，说明写出是哪个维度值、在第几行；不再把还在快照里的区域算成「数据没了」、给出远超 100% 的占比。另一边快照里真的没有了的照常是数据变化。数组字段里的单个元素同样核对。维度按两边整份结果认，遮罩列不拿来认，分不出维度的仍按行号认 - 两边都记不出写入者时，范围从整张图改为口径卡之前可能执行过的节点（它的上游加并行支路）：口径卡自己、只在它下游的写周报写不了它读到的值，不再被点名成来源；并行支路上的节点不说成「上游」 - 「整份结果」统一按引用了哪几行判断，容器一支不再单列 - 默认设置登记表的核对测试改为按节点类型：从各执行器出发顺着用到的函数（含就地 import、回调、类）找 cfg 读法，在字面量元组上循环读的键名认得出，认不出的变量键名直接失败；核对节点模块里每个读配置的函数都走到了，登记了不读的也算错。据此补登记成果节点出具契约读的报告节点三项（evidence_from、metrics_from、entities） - 补测试守住上一轮的几条规则：Agent 交的不同而代码节点的数没变是没变，只有这次运行的快照读不出来时说这次，默认设置同时改了结论句裁判时 Agent 只写模型，调不调模型由默认设置决定，报告节点在代码节点上游，改了几个节点时点名画布上靠前的	2026-10-05 12:28:38 +08:00
ThearchyHelios	3254744f6d	运行对比复核修正（第 2 轮）：行段相同、一边是整份结果的引用不再算同一处，默认设置的变化只落到会读它的节点上，上游 Agent 交出的结果不同时不再说变化来自上游数据 ... - Agent 两次引用同一段行，一边是整份结果、一边不是（这次多了北区，没引用的西区还在快照里）：判为无法比较，写明哪边引用了整份结果、另一边引用了哪几行、结果共几行；快照读不出来、核对不了是不是整份结果的同样不算同一处。以前按同一处算，西区被算成「数据没了」，占比超过 100% - 图级默认设置的变化按「哪类节点运行时会读这一项」落到节点上（_CFG_KEYS，照各执行器经 NodeContext.cfg 读的配置项登记）：结论句裁判、结论句的处理只有报告节点读，不再把 Agent 记成配置变了；条件分支让模型分类、结构校验让模型修复、知识检索用模型重排时也读默认模型，同样落到它们身上。新测试按执行器源码核对这张表，执行器新读了一项没登记就失败 - 代码、数据整形这类节点的上游有 Agent、模型调用、人工审批等节点，两次交出的产出不同（工件按内容寻址，按工件 id 比；产出没落成工件的核对不了）：它交的数变了不再说变化来自上游数据，判为无法比较并点名是哪个节点 - 上游节点改了配置时说明里点名是哪个节点；默认设置那句拆短，写出跟着变的是哪几项（模型接入不写 provider） - 补测试守住复核列出的未覆盖规则：容器运行输入还原不了、合并查询的输入追不下去、上游只有运行输入变了、审批默认设置、图里 SQL 只改格式（代码节点在下游）、跨节点先配字面量相同的、少了一次查询、只有一边落在快照上、查过库的写入节点改了配置、代码节点上游有节点改了配置、旧口径叶子的出处说不清时不拆、单格引用换了行；变异 99 处全部打红	2026-10-05 11:28:41 +08:00
ThearchyHelios	d176ff77ff	运行对比复核修正（第 1 轮）：输入的出处追到合并查询的上游、Agent 引用的列和行段，没出处的数、数据没变数却变了的不再报成数据变化 ... 出处判定（每个指标的分类靠它）： - 合并查询：读合并结果的指标按别名一路追到喂它的每一份上游快照（嵌套的合并也追），上游 SQL 结构变了是 sql_changed， 不拆、不归因；合并节点多接、少接了输入也算结构变化 - 图里写死的字面量改了（'paid' 改成 'refunded'、系数、LIMIT）：执行的 SQL 只差字面量，但图里的 SQL 改过，算模板变化； 图里一字未改（定时运行代入的日期）才是参数。图里的 SQL 只改了空白、大小写的不算改过 - Agent 按出处交来的字段：还要引用同一列、同一行（段），两边都引用整份结果的不算换了；换了列、换了行段的说不清 （incomparable），不再把没引用的区域算成「数据没了」去归因 - 模型、人直接交出的值（Agent 没按出处交、模型调用、人工审批……）：值变了说不清是数据还是模型本身，判 incomparable； 它自己查的库结构变了、配置变了照常标出 - 代码等确定性节点：上游的查询结果两次一模一样、交出的值却变了的，判 incomparable，不再说「变化来自上游数据」； 上游只有运行输入变了的算参数 - 图级变化落到节点上：连线有增删的终点节点、默认设置改了且没有自行设置这几项的模型类节点，都算改了配置； 「模板和取数的 SQL 都没有变化」只在整张图都没变时说 - 运行输入是列表、对象的，按还原出来的完整值比，长度不变、内容变了的是参数变化 - 同一节点按 SQL 配对时先配字面量也相同的：Agent 换了先后查东区、南区，两条各自配上自己，不再配成两条「只有参数不同」 - 一边记不出输入是哪个节点写的，说清是哪一边没记录（不再写出「None」） 口径与数值： - 口径变了的指标，喂它的取数也变了、说不清的照样写进说明（只在一边才有的输入是改表达式带来的，不重复说）； 分类次序写进 compare() 的说明 - 千分位和不分组互换只影响显示，写进说明、不算口径变化；比率与否不同才算 - 升级前的口径卡没记小数位、显示格式：按那次运行图里的指标定义核对，定义也没有就不比，不再误报「小数位由 未设置 改为 1」 - 百分比：基准极小、这次很大时十进制量化放不下，退回浮点算，不再整个对比报 500 - 没设小数位的指标拆分：三个数按同一精度量化（最多 15 位有效数字），转成浮点交出去后两效应之和仍逐位等于总变化 - 维度归因标出用的是哪个输入、两边各自哪份快照（path、base_artifact、target_artifact） 接口：已经结束、只是没有封存清单的运行，409 说「没有封存清单，不能用于对比」，不再说「运行结束后才能对比」。 测试：补上复核指出的必测项（只一边对得上不给占比、只截断基准一侧、换了数据源、按旧口径小数位取整、写它的节点多查一次、 口径和 SQL 一起变不归因、小数位和比率变化、日期类型和常量列不当维度、合计行浮点误差、只改名称、结束过又接着运行的不当 基准），以及上面每一处修正的用例。32 处变异逐条打红验证，全部被测试抓到。	2026-10-05 10:20:29 +08:00
ThearchyHelios	63c54e1c20	运行对比：compare() 的说明里写全返回的形状，接口说明指过来时前端照着就能读 ... 除接口约定的字段外，几处补充也写明：模板节点的 labels（配置项的中文叫法）、输入的 masked 和两边的快照 id、查询的 两边快照 id、differences 和 problem；归不了因时 rows 为空、total_delta 为空、原因在 note。	2026-10-05 09:00:09 +08:00
ThearchyHelios	1e90a5a502	运行对比：结果里不出现非数和无穷大，维度列的非数当文字配对 ... 接口按 allow_nan=False 写 JSON，结果里混进一个 NaN 或 Infinity 就是 500。指标值、输入值、十进制相减原本就只出 有限的数；剩下两处补上：维度列里的非数（float NaN）写成文字再当键，度量加起来、占比算出来超出浮点范围的给空。	2026-10-05 08:58:18 +08:00
ThearchyHelios	467f9599fd	运行对比：补合并查询、循环里多次执行的配对测试，口径卡读不出来时的说法补上「的」 ... 合并查询只记在节点台账里、SQL 另在 merge.end 里，快照文件不在了照样比得了 SQL；循环里同一个节点执行几次的按先后 一一配上，多出来的一次标「删除」。口径卡指标集读不出来、被改过时的说明改成「口径卡「X」的指标集与哈希不一致」。	2026-10-05 08:55:57 +08:00
ThearchyHelios	c89aaba10c	运行对比：Agent 换了查询先后时按 SQL 配对，Agent 改了配置时按出处交来的字段不再报成数据变化 ... 查询配对改成一轮比一轮宽：同一节点、同一工具里规范化 SQL 相同的先配上，剩下的再按「第几次」配，最后跨节点按 SQL 配。以前严格按第几次配，Agent 这次换了查询的先后，两条都被配成「结构变了」，没按出处交的字段跟着被判成 SQL 变了。 Agent 按出处交来的字段：SQL 没变而 Agent 自己的配置（提示词、工具）变了时，它可能换了取哪一格，归为模板变化 （sql_changed）并写明是哪个 Agent；调用工具节点的格子由口径卡的 cell() 定，不受影响。	2026-10-05 08:52:04 +08:00
ThearchyHelios	86e52192a9	运行对比后端（变化三分法）：两次运行按指标拆清是数据变了、口径变了还是模板 / SQL 变了，数据变化按维度归因 ... GET /api/runs/{id}/compare/base 找默认基准：定时任务发起的先找同一定时任务更早结束的一次，否则同一工作流、 同一运行类别；只挑封存过的终态运行，找不到 404。GET /api/runs/{id}/compare?base= 对比两次运行：两次都要 已结束、封存且核对一致（照搬证据接口的封存判定），否则 409；不是同一个工作流、同一次运行 422。只读，不追加 事件、不落工件。 engine/compare.py 是纯函数： - 查询按「节点 + 第几次 + 工具」配对，配不上再按规范化 SQL 配；normalize_sql 判 same / params_only / changed，结构变了的用 diff_facets 写出差在哪（时间范围排在最后）；核查类查询不参与 - 口径卡同一节点按指标 id 配对，表达式、口径版本、小数位、单位、显示格式不同算口径变了 - 每个指标按 added/removed → 口径 → SQL 或上游配置 → 说不清 → 只参数 → 数据 的次序分类；输入落在快照上 的直接比两边快照的 SQL，不落在快照上的看写它的节点和画布上游 - 口径变了时严格拆分：旧表达式配这次的输入用推演重算的还原和求值算 f_old(x_new)，十进制精确相减，两效应之和 逐位等于总变化；SQL 也变了、用到遮罩列、单位不同、旧叶子没记录的不拆并说明 - 维度归因按维度键配对两边的行、取变化最大的 10 个；度量之和等于输入的值（含合计行那一格）才给占比；截断、 度量列遮罩照实写；遮罩列、日期列、每期都不同的列不当维度	2026-10-05 08:49:52 +08:00
ThearchyHelios	c8d0e5d18b	数字推演复核修正（第 3 轮）：决定取哪一格的容器不再给可勾的行段，包着它的引用给了新值时不再说不准 ... - cell(nodes.q, len(vars.res.rows) - 5, …) 里的 vars.res.rows 这种决定取哪一格的数组字段、整份结果，第 2 轮起排除它的行 只回「说不准」，可 row_span 照给：界面让人勾 10 行，勾了推演不出来，「不支持推演的输入」里又说它不能用。现在这种容器 不给行段；决定取哪一格的单格照给（勾掉它确定是排除后无法计算）。前端 row_span 的类型说明跟着补上这一条 - 第 2 轮加的「说不准」不看包着它的引用有没有给新值：那一格改成 100、再排除别的行，以前能算出 100，第 2 轮起回说不准。 _refs 现在记下每个嵌在里面的引用归哪个最外层引用（嵌几层都记最外层）；最外层引用都给了新值时，只嵌在里面的输入无关 紧要（_Plan.moot）：它那一行排除了不再报排除后无法计算，对不上快照的也不再说不准。它自己也是最外层引用的照常拿值， 只是取哪一格不再说不准 - 补测试：选取用的容器不给行段、只有那一格那一行勾了有确定结果（单元和真跑）；那一格给了新值后排除任何行都照常算； 既数行数又选取的容器；嵌在下标里的单格、对不上快照的下标（含嵌两层）、两个引用共用一个下标要都给新值；碰到了却没变 时 maybe_changed 为假、下游口径卡不标（单元和真跑）；嵌在下标里的遮罩格让整个指标推演不了（BLOCKED 加一例）；读不出来 的快照上嵌在里面的那一格不给行段（原先守它的测试被这次的选取判断盖住了） - 逐个做过变异，全部变红：选取容器给行段、moot 不过滤、说不准不看 settled、_doubt 不看 moot、只记直接上一层、settled 用 any、moot 含最外层引用，以及复核点名的 maybe_changed 只看碰没碰到、遮罩只看最外层。第 2 轮的两份变异单重放后也都 变红，只有「row_span 只看快照读不读得出」成了等价变异：完整值找不回来的容器在最外层时整个指标推演不了，嵌在里面时 又是选取用的，两头都已不给行段	2026-10-05 07:37:02 +08:00
ThearchyHelios	bfc0e88e9a	数字推演复核修正（第 2 轮，后端）：整个指标推演不了的不改动也照实说，完整值找不回来的数组排除行后不再报「无变化」 ... - 用到了遮罩列、最外层输入还原不了（容器的完整值找不回来、所在的查询快照读不出来）、卡上没记全输入的指标，以前不改动时 报 unchanged（界面写「无变化」），输入照样可改、行照样可勾，改了、勾了才说推演不了。现在不论有没有改动都交回 unsupported / masked 和原因，所有输入 editable 为假、不给 row_span，unsupported 里另有一条 input 为空的（界面据此只写 原因），之后只列卡住它的输入。同一格既遮着、快照又读不出来时说遮罩 - 下游口径卡改看重算新给的 maybe_changed（改动碰到了某个指标，它又变了或说不准）：推演不了的指标 changed 一律为空， 只看 changed 分不出「什么都没改」，一打开就会把下游标成可能受影响 - agent 数组字段的完整值找不回来（节点产出不在、被改过，另存的完整值读不出来）时，排除它行段里的行以前因为值为空被忽略， 指标报「无变化」、报告引用处报「不受影响」。现在算碰到了它（excluded_rows 照记，输入 changed 为真、new 为空）， 完整值找不回来的输入一律不给行段 - 决定取哪一格的容器（cell(nodes.q, len(vars.res.rows) - 1, …) 里的 vars.res.rows）少了行时，以前拿卡上记的那一格算出 「无变化」，现在说不准（unsupported） - 补测试：四类整个推演不了的指标不改动、改动后都照实说（单元和真跑）；数组完整值找不回来时排除行段内一行（单元和真跑， 含报告引用处）；查询当时记下、跑完又从数据源去掉的遮罩（推演和勾行接口）；写输入的节点和快照在同一条事件里交回 （合并查询的边界）；给了新值的输入不再说不准；数组只认行段内被排除的行；同一份快照交回两次按第一次；读得出来却不是 查询结果的快照；嵌在里面、读不出来的那一格不进代入式。逐个做过变异：复核列出的四处、第 1 轮漏掉的三处和这次新加的 判断改掉后都变红	2026-10-05 06:49:33 +08:00
ThearchyHelios	09237a4c99	数字推演复核修正（第 1 轮，后端）：排除行时说不准的指标不再报「无变化」，快照读不出来时不给值，遮罩按用到的快照在线程里算 ... - 排除了行，指标却有输入对不上任何快照（老运行没存完整值的容器、加工过的结果、按位置从整份结果里取的一格、由查询结果 算出来的数）：以前一律报「无变化」、报告引用处报「不受影响」，或者拿原值算出一个不对应任何一份数据的数。现在回 unsupported 并写明是哪个输入说不准；写它的节点在那份快照交回之前就跑完的影响不到它，照常不算（按事件序号比先后）。 卡上没记全输入的指标，有任何改动都标 unsupported - 查询快照文件不在、内容与哈希不一致时，落在它上面的 cell()、agent 字段不给值、不能改、不给代入式，用到它的指标推演 不了；遮罩照样按台账记的数据源算，不再因为快照坏了就失效 - 遮罩改成用到哪份快照才算哪份：读快照放进重算的工作线程，查库交回事件循环。以前每次请求都在事件循环里把这次运行的 全部快照读一遍、复验一遍哈希 - 输入带 row_span（实际用到的快照行）；新增 GET …/evidence/whatif/rows，按页取封存范围内一份快照的行（遮罩列写 「已遮罩」，只读）。界面据此给整份结果勾行、只让用到的行可勾 - 不能改、也没有行可勾的输入（对不上快照的列表、文本）列进「不支持推演的输入」并写明原因 - 下游口径卡顺着画布的边找，经中间节点用到卡上值的也标；改动碰到了指标、它却推演不了时也标「可能受影响」 - 超大整数不再让接口 500：新值超出可计算范围回 422，算出浮点放不下的整数按「不是有限的数值」说明；非法值的说明不露出 None、单引号这些 Python 写法 - 补测试并逐个做过变异：封存核对没过、事后加的遮罩、合并查询的遮罩、指标集被改（409）、两份报告、循环里先算卡后算 产出、手写事件核对取哪次执行和边界、重算的几处保护、勾行接口。取整和口径卡逐个对拍（含二进制半中间的数、负小数位）： metrics.py 只许加 value_artifact，取整没法抽成共用函数，先用对拍守着	2026-10-05 05:43:17 +08:00
ThearchyHelios	24fc21cb56	数字推演：算出无穷大、非数时说清算不出来，不让接口在 JSON 编码时 500 ... 改了输入之后溢出成无穷大（或算出非数），以前照 ok 交回，Starlette 编 JSON 时拒收这种浮点数，整个请求 500。 现在按计算出错处理（status: error，写明原因）；老卡上本来就记着无穷大的值和输入，交回时换成 null（口径卡渲染成「—」）。	2026-10-05 04:14:56 +08:00
ThearchyHelios	cb141cea88	数字推演：用到遮罩列的指标不给代入式；真卡上核对还原是否忠实、封存后插进来的卡不认 ... - 代入式里代进去的就是遮罩列的那一格：用到遮罩列的指标，推演结果里的 substituted 一律为空（输入值本来就不给） - 测试：真跑出来的每张卡（cell() 取数、整份查询结果、nodes.* 容器、agent 数组字段的两种引用、下游口径卡），什么都不改 强制重算，值和卡上记的一模一样 - 测试：封存之后插进来的 node.finished 指向一张伪造的指标集，推演照旧用封存范围内的那张	2026-10-05 04:13:33 +08:00
ThearchyHelios	fb15805ead	数字推演的重算（engine/recompute.py）：改输入、排除快照行，按口径卡同一套规则算出新值 ... 纯函数，不读库、不写工件。口径卡怎么算的这里就怎么算：同一条原式、同一个求值器，浮点按卡上的小数位 round，渲染走 render_metric。重算前先还原每个输入当时的值： - 标量（含 cell() 的格、agent 的单格字段和数组元素）用卡上记的值；它们落在快照的哪一行记在 locator 里，排除了那一行 就当缺失，指标标「排除后无法计算」 - 容器只记了「[12 项]」：agent 数组字段从节点产出的 data 还原、按 locator.rows 去掉被排除的行；nodes.* / input.* 从 口径卡执行前那个节点的产出还原；vars.* 只认 value_artifact，老运行照实说当时没有保存完整值；和某份快照 rows 一样 的容器（整份查询结果赋给了变量）排除行就去掉那几行 - 遮罩列取来的输入不给值、不能改、它的指标不重算：新值和原值一比就能算出遮住的那一格 - 嵌在下标、cell() 行列里的引用决定取哪一格，不能直接改 只重算碰到改动的指标；不合法的改动（路径不存在、值不是数、行号越界、快照不在封存范围、改容器或文本）抛 WhatIfError。 另有报告里引用这些指标的片段会写成什么（按片段自己的换算渲染）、引用了这张卡的下游口径卡（只标不重算）。 比率、百分数的变化量写「个百分点」。	2026-10-05 03:44:29 +08:00
ThearchyHelios	60cd5a47bb	口径卡给容器型 vars 输入另存完整值（value_artifact），供数字推演重算 ... 卡里的输入对列表、字典只记「[12 项]」这样的大概，事后要排除几行、改一个数再算一遍，手里没有完整的值。 nodes.*、input.* 的完整值在那个节点封存的产出工件里，agent 字段能按出处从查询快照还原；vars 是谁写的、 写进去的是不是节点产出本身说不准，只能在口径卡算的那一刻存下。 - 此后容器型 vars.* 输入落一份 metric_input 工件 {path, value}（put_json，随运行封存），输入里记下 value_artifact； id 写在内容寻址的指标集里，不另起台账条目 - 大过 4 MB 的不存，写失败也不存：口径卡照常算出来，只是这个输入以后推演不了 - 金样测试（改动之前的代码真跑出来的工件）：只有标量输入的卡逐字节相同、工件 id 不变；带容器型 vars 输入的卡 去掉新键后和以前一字不差	2026-10-05 03:26:43 +08:00
ThearchyHelios	19d7fd7162	合入期 0 核查工具箱：SQL 语义（规范化、方面、差异说明）、只读核查 agent、核查每日花费账、核查设置组、数据源查询工具的强制只读	2026-10-05 02:52:16 +08:00
ThearchyHelios	132d126c6f	核查 agent 复核修正：数值字段的各种写法都换成格子引用、认不出的结构下的数不采信；退回普通调用时把结构写进消息，没交的字段不再算「查不到」；收尾的钱按最贵的样子留、留过的不再被上限拦；永远不抛 ... 数只认格子：原来只认 type: number / integer，可为 null 的数（anyOf，Pydantic 的 Optional[float] 就这么写）、$ref 引用进来的、allOf 包着的数值字段都没换成格子引用，模型写的数原样收下。现在先展开本地 $ref、并掉 allOf，anyOf / oneOf 里有一支能放数就整个算数值字段；取值时按值的形状挑分支。认不出的结构（没写类型、文本字段、没写 items 的数组、没写属性的对象）下模型写的数一律丢掉、照记下来，码值里的数照收。嵌套的引用、数组写成一段 JSON 文本的照样认，还不是数组的照实记下格式不对。数值字段引用到日期、名称这类不是数的格子，记成 unresolved，不拿去和原流程的数比。 退回普通调用：原来消息里只有「按给定结构填写」，结构却不在请求里，模型猜不到字段名，交回来对不上的字段全成了 missing，双盲复算会说盲算什么也没查到。现在把结构（JSON Schema）写进消息；没交的字段记 unresolved（模型没有交这个字段），交了 null 才是 missing；一个要求的字段都没交就是没按结构交结果，照错误交回。模型建结构化输出就报错的，直接走普通调用，不白算一次调用。 上限与金额：一条查询自己的时限到了（ToolTimeout 也是 TimeoutError）原来被当成整个核查的时长到了，现在先认 ToolTimeout，原因交回模型、核查照常往下走。收尾要把查到的结果交给模型，原来留钱按眼下的消息估，最后一条查询的大段结果一进来就不够，查完了付不起收尾、结果白查；现在按收尾最贵的样子留（查询结果按 _digest 的上限、最后的说明截到 2000 字、结构也算），留过钱的收尾不再被上限拦下，实际用量超出估算或并行的核查先用掉当天余额时，最多超出一次收尾调用的钱。每日上限缺省按设置里的「核查每日金额上限」，明确传 None 才是不限，质询接口不必各自记得去读。 永远不抛：每日账写不进去、建工具出错这类意外原来会直接抛出，节点失败、质询接口回 500；现在整段包住，按已经攒下的用量、查询照实交回。	2026-10-05 01:46:55 +08:00
ThearchyHelios	c8363206bd	发起时就定下的事件和运行记录同一个事务写进事件流：受管级别那条日志、目录变化、口径升版处置以前在 run_manager.start 返回之后另外写，这时运行已经建好、执行任务已经起了。其中任何一次写失败（库被锁超过等待时长之类），launch_run 抛出普通异常，运行却在执行；定时任务按「LaunchRefused 以外的异常记未能发起」会把一次正在执行的正式运行记成未能发起，封存范围里也少了受管级别那条日志（governed_formal 找不到它就退回看工作流现在的 status，中途改过画布的会按已发布级别出具）。另外这几条和执行抢先后，运行结束得快时可能落到封存之后。 ... - run_manager.start 加 notes：(类型, node_id, 数据) 的列表，先 flush 拿到运行的 id，和运行记录同一个事务提交，提交之后广播，最后才建执行任务。写不进去就不建运行，launch_run 抛出的任何异常都说明运行没有开始执行 - launch_run 在发起前把这几条事件备好交给 start，不再事后用 run_manager.note 写。顺序和以前实际落库的一样（日志、目录变化、口径升版处置，然后 run.started），现在是确定的 - 没有 notes 的发起（探索运行、问数据）和以前完全相同 没有照复核建议的「写失败就记日志、照常返回运行」：那样正式运行会在缺了受管级别记录的情况下照常出具，可能悄悄降成已发布级别。 测试：用触发器让口径升版处置那条写不进去，launch_run 抛出 IntegrityError、库里没有多出运行（旧代码留下一条正在执行的运行，这条变红）；服务发起的正式运行里，受管级别日志和口径升版处置排在 run.started 前面，都在封存范围里	2026-10-05 01:18:43 +08:00
ThearchyHelios	fc57ed0e32	追加事件收紧几处，封存后追加的质询不计进运行用量。复核提出：停在审批时追加只看运行还停着，关于第一张审批卡的质询问完时运行可能已经批过它、停到了第二张上，问答照样写进去；没有终态事件的老封存运行追加之后 verify 由一致变成不一致；返回给调用方的事件 id 和库里的不一样；测试证明不了先落库再广播；封存后追加的质询平时不计用量，继续运行之后又被计进去。 ... - append_events 加 approval_id（只用于 interrupted）：问的是哪张审批卡，那张卡仍待审批才写。核对放在和其余条件同一次条件更新里（EXISTS 待审批的那条），批过了、不是这次运行的卡都不写、返回 None。条件更新写明不同步会话里的运行：条件里带了 EXISTS 时 SQLAlchemy 会悄悄换一种同步办法、给语句加上 RETURNING - manifest_seq 为空的老封存运行，封到哪一条是 verify_manifest 按事件类型推出来的：有终态事件的封到最后一条终态事件，追加在后面不碍事，照旧追加；没有终态事件的封到最后一行，追加一条范围就挪到它身上，我们自己写的批注被当成篡改，现在不追加 - _stage 落库时用事件自己的 id：广播出去的、交回给调用方的和库里的是同一个 id - 运行用量不计数据带 post_seal 的质询：运行用量是这次运行自己花的，结束时就定下了、写进了终态事件；封存后的批注另有自己的账，同按需裁判的判定。继续运行之后它落进新的封存范围，照样不计 测试：两道审批的运行批过第一道、停在第二道，钉住第一道的质询不写、钉住第二道的写，读完运行之后那张卡被批了也不写，返回的 id 和序号与落库的一致；广播时查库，每条都已落库，落空的一条都不广播（把广播挪到条件更新之前这条就变红，以前的测试照样通过）；老封存三种（无终态、run.finished、run.failed）追加前后 verify 都一致，无终态的不写；失败封存的运行追加 post_seal 质询后继续运行，运行用量里没有它。去掉审批卡的核对、改回老封存一律追加、改回计 post_seal、去掉落库 id，对应的测试各自变红	2026-10-05 01:18:03 +08:00
ThearchyHelios	f8b2857630	进程重启后接号不再撞上已有的序号：以前恢复、继续运行、放弃、启动时补日志都只按 run.last_seq 接号，而 last_seq 会被写小。按需裁判记判定（api/evidence.py 的 _append_judged）的条件更新不带 last_seq 条件：它取了号还没写，封存后追加（run_append）抢先提交了，它再提交时把 last_seq 写回自己那个更小的号。同一进程里序号计数只增不减，不碍事；重启后计数从 0 起，继续运行写出的 run.resumed 就和封存后追加的事件同号，重新封存时两条同号的事件一起进了清单，而清单按序号排序算哈希。 ... - runner 加 _seq_floor：接号起点取 last_seq 和库里实际最大序号中大的那个。恢复、继续运行、放弃都改用它，run_append 原来手写的同一段兜底也换成它 - 启动时（setup）先把落后的 last_seq 按库里实际的最后一条改正，再处理上次留下的运行中记录。_append_judged 规格不许改，它重启后也只按 last_seq 接号，不改正的话它第一次追加就撞号；有 (run_id, seq) 索引，五千次运行、一百五十万条事件实测约 7 毫秒。updated_at 不动，这是补记录，不是运行有了变化 - _stage 不带运行对象时的更新只往大里改：另开会话记的事件和执行任务同时在写，号大的先提交、号小的后提交，以前会把 last_seq 写小 测试：last_seq 写小、清掉本进程计数之后继续运行、恢复、放弃都接在实际的最后一条后面，全流无重复序号、verify 通过；_stage 先提交大号再提交小号，last_seq 不变；按真实的交错（裁判停在条件更新之前，封存后追加先提交）把 last_seq 写小，重启（shutdown、清计数、setup）后 last_seq 改正、别的运行原样不动，再裁判、继续运行都不撞号。去掉启动时的改正，只有裁判那条变红；去掉 _seq_floor，继续运行、恢复、放弃三条变红；_stage 改回无条件写，对应那条变红	2026-10-05 01:17:18 +08:00
ThearchyHelios	f1c068d6a9	核查工具箱收尾：连接的方面补上另一侧（关联条件里出现的别的表，CROSS JOIN 写它之前的来源），双盲复算对照数据目录里的关系时用得上；只读 agent 收尾前先拿到收尾用的模型再预留金额，模型拿不到时不在每日账上白记一次调用；收尾消息的参数改名 limit_words，说清是哪个上限的说法	2026-10-05 00:42:02 +08:00
ThearchyHelios	1efa5f7b20	核查用的只读 agent：engine/verify_agent.py 的 run_verify_agent 给双盲复算、反方审稿、审批质询共用。工具只建给定数据源的 db_schema / db_query，一律 force_readonly；自己管工具调用循环（不依赖 NodeContext / @task），查询次数、时长、金额（这一次、全局每日）任何一项到顶就停止查询、按已有结果收尾，收尾那次时长到顶另给宽限，金额每一轮都给它留出钱；模型不在价格目录里时金额上限无效，照裁判的说法记一条说明；每次调用记进核查的每日账。成功的查询按本 agent 自己的顺序编 Q1、Q2…，给了 emit 才发 llm / tool 事件（role: verify，查询的 tool.end 带 query_artifact，随运行封存、能下钻），绝不往证据台账写 kind: query，免得进了报告的写作目录。最后按调用方的结构交结果：数值字段换成格子引用 {alias, row, column}，由代码从快照取值，模型自己写的数字不采信、取不到是 None；理由里的数字写成 [[v:Qn.rX.列]]，用本 agent 自己的台账 build_catalog + compose_doc 组装，裸数字会被标出；结构化输出失败退回普通调用抠 JSON。上传表格按调用方给的数据版本查。永远不抛，模型没配好、调用失败、触顶都落在返回值里	2026-10-05 00:34:17 +08:00
ThearchyHelios	6b272de6f9	审批质询的用量计进运行用量：质询不在图里执行、不发 llm.end，花的 token 和金额写在 approval.inquiry 事件数据的 usage 里（input_tokens、output_tokens、cost_usd、calls，可带 unpriced_calls），以前运行用量只认图的状态和 llm.end，质询花的钱在运行页上看不见。_usage_of_events 把质询的用量单独加总放在 inquiry 下：llm.end 这本账要和状态那本比大小，质询花的两本里都没有，混进去比会被状态那本盖掉。_finalize 照旧算出图的用量（成功取状态，其余两本取大）后再加上质询的，明细另记在运行用量的 inquiry 下；停在审批时被放弃的运行，放弃时补上这次停下期间的质询。停过两次、两次都问过的，按上次记下的 inquiry 先减后加，每次质询只计一遍。没有质询的运行用量和以前逐字相同	2026-10-05 00:18:22 +08:00
ThearchyHelios	3dbd69b561	往停下的运行里追加事件统一走 engine/run_append.py 的 append_events(run_id, items, *, require, seal=None)：审批质询要在运行停在审批时把问答写进运行、随运行结束一起封存，探索运行封存之后还要能追加批注。事件流是封存的依据，清单按 seq 排序、run_events 的 (run_id, seq) 又不唯一，撞号会让封存核对时对时不对，所以照 _append_judged 的做法：同一运行在进程内排队，读 last_seq 后从 bus 接号（另取库里实际的最大序号兜底，last_seq 被别处写小了也不撞号），写事件和条件更新 last_seq 在同一事务里——interrupted 要求运行仍停在审批，sealed 要求仍是终态且封存没变，任一条落空就回滚、返回 None，调用方据此说明未写入运行记录；提交之后才广播。sealed 的事件带 post_seal: true；运行记录上的封存若早于最后一条结束事件（继续运行后又结束、还没重新封存的那一下），不算现在的封存，不追加，免得事件被接下来的封存收进去；调用方可传 seal 固定开始时看到的封存。事件类型加 approval.inquiry。测试用人工审批停住的运行：追加两条后批准、封存，verify 通过且改动追加的事件 verify 就对不上；恢复、继续运行、重新封存、别处写入抢在中间时都不写、last_seq 不动；连续和并发追加序号严格递增、全流无重复；恢复后前面的节点不重复执行，Agent 里批过的工具不重复执行（含升级前写下的断点）	2026-10-05 00:14:40 +08:00
ThearchyHelios	0eaaf71346	运行记下选项快照和来源：runs 加 options（JSON，默认 {}）和 schedule_id（可空，建索引）两列。后面的核查设置要在发起时定下、整次运行沿用，审批停下期间改了设置，恢复和重放仍按发起时的（同 approval_default 的道理）；定时任务要能找回自己发起的运行。RunManager.start 收 options、schedule_id 并落库，选项先深拷一份，调用方之后改自己的 dict 不影响快照；选项非空时写进每一段的 run.started（进封存范围），为空时 run.started 和以前逐字相同；恢复、继续运行照运行记录沿用，节点从 RunContext.extra 的 run_options 读同一份拷贝。RunOut 带 schedule_id，GET /api/runs 可按 schedule_id 筛，launch_run 原样往下交。旧库走 _COLUMN_MIGRATIONS 补列，存量运行回填 {} 和 NULL；create_all 不碰已有的表，新列的索引另由 _INDEX_MIGRATIONS 补建，索引名和新库 create_all 建出来的相同	2026-10-05 00:07:07 +08:00
ThearchyHelios	b459c3bb58	核查花费账：engine/spend.py 照结论句裁判的每日计数做一本核查用的每日账（设置表 verify_spend 一行，按本地日期滚动）。调用前按估算预留，加上这笔会超过每日上限就不记、返回 None，上限为 None 表示不限；调用后按实际用量找补，跨了天不找补；价格目录里没有的模型只计次数。和裁判分开记：核查一次要查好几轮库、花得多，记在同一本账上会把当天的裁判挤到判不了、让报告出具无故降档。读改写按事件循环各持一把锁，并发预留不会一起越过上限	2026-10-05 00:06:03 +08:00
ThearchyHelios	7820556ab6	发起运行的规则抽成 engine/launch.py 的 launch_run：以前全写在 api/runs.py 的 start_run 里、只认 HTTP 请求，后面的定时任务要用同一套规则发起正式运行，另抄一份迟早走样。正式运行只能从当前发布版本发起、口径升版未声明策略就拦、绑定的工具不存在就拦、发起后记受管级别那条日志和目录变化、口径升版处置，全部搬进服务；拒绝时抛 LaunchRefused(status_code, message, code)，start_run 只剩一层包装，把它换回和以前逐字相同的响应（带机器码的仍回 {detail, code}）。正式运行的快照图不成形，以前由 main.py 的 ValueError 兜底回 400，现在在服务里换成同样的 400 拒绝，调度器也拿得到明确的拒绝。node_setting、tool_bindings、missing_tools 跟着搬过去，runs.py 再导出，旧的导入路径照旧可用；runner 固定数据版本取绑定时改从 engine/launch 导入，不再依赖接口层。新测试先把 HTTP 的 17 种拒绝（含工具缺失的数据、工具、混合、超过 8 处四种说法）按原话写死、在旧代码上通过，再逐条比对直接调 launch_run 的结果；另测服务发起的正式运行照样写治理事件	2026-10-05 00:03:24 +08:00
ThearchyHelios	a3058e7df8	复核套件骨架（后端）：先把后续几个工作包要用的位置占好，各包只改自己的文件。节点类型加双盲复算 dual_check、反方审稿 challenge，执行器是占位（记一条 info 日志后跳过，产出 skipped 和原因），校验按普通节点走，叫法进 labels，暂不写进助手的节点说明。出具契约留一个通用口子：成果节点上游任何节点产出里的 issuance_gaps（字符串列表）收进缺口，前面加上「节点类型「节点名」：」，出具随之降档、不会升档；只认这个成果的上游，写坏的条目跳过。路由先登记 schedules、compare、bundle、inquiry、whatif 五个空前缀，挂在 /api/runs 下的四个排在 runs.router 之前，以后加固定路径不会被 /{run_id} 吃掉。定时任务的调度先放空的 start / stop，AGENTLAB_SCHEDULER 默认开、0 / false / off 关，写进设置；启动时开着才 start，测试环境默认关	2026-10-04 23:40:20 +08:00
ThearchyHelios	536c9de116	证据目录的省略警告照实说省略了什么：放不下不一定省略了查询。真实运行里查询全部列出、只是有的只列前几行，警告却写「0 次只列编号和摘要（）。写作模型看不到这些查询的明细」。现在分三种写：有查询只列编号和摘要的照旧；查询都列出、有的只列前几行的写「N 次查询都列出了数据，其中 M 次只列前 3 行」并按来源列次数；只省略了表和字段说明的照实说。事件多带 compact、compact_rows，各来源带 compact；时间线按同样三种写标题。另外把测试夹具、注释和 check-decode 里沿用的那次运行的真实查询次数换成虚构的次数或概括说法	2026-10-04 12:28:07 +08:00
ThearchyHelios	46330dfd96	模型不在价格目录里时运行金额写「金额无法估算」，不写 $0：真实运行里 token 记到了上百万，金额却是 $0，看着像没花钱。llm.end 发出时，用了 token、模型却不在价格目录里的标 unpriced（目录里标 0 价的本地模型不算）；运行用量按 llm.end 数出 unpriced_calls，成功的运行也补上（状态里的用量分不出 0 是免费还是没价）。运行详情、画布运行面板、航迹的金额：一分都没估出来写「金额无法估算」，估出一部分写「≥ $x」，悬停说几次调用不在价格目录中。check-trace 补断言；流式用量测试和注释里的真实调用次数换成概括说法	2026-10-04 12:27:38 +08:00
ThearchyHelios	720f842b82	结论句裁判小批分波地问：一次调用最多 8 句（原来 40 句），第一批单独问、之后每波最多 4 批同时问，几批共用剩下的时长；超时只丢没回来的那几批，回来的判定照样留下。真实运行里推理模型拿着 40 句的摘录在 30 秒的时长上限内没回来，交给审批的报告一句都没判成，审批卡只能写全部未裁判；同一个模型 5 句一批 3 秒多就回来了。金额上限按已花的加这一波已定下的估算算；第一批调不通（鉴权、网关挂了）时只撞这一次，后面的统一记未裁判	2026-10-04 12:27:38 +08:00
ThearchyHelios	fa842a7bec	交给人工审批的报告，探索运行也在节点里裁判结论句：审批人批准前就能看到判了几句、几句证据相矛盾。按需裁判要等运行封存之后才能判，封存前放开会动证据清单的完整性约束，所以这种报告改在节点里当场判，和正式运行同一条路；没有审批的探索运行照旧按需判，不在节点里花钱。审批节点审哪几份报告的认法抽成 reviewed_report_ids，审批卡和报告节点共用，两边说的「要人审」对得上。审批卡上没开裁判的探索报告改写「这份报告没有开启结论句裁判……开启后，交给审批的报告会在批准前判完」；开了裁判却没在节点里判的老运行另给一句。助手指引、出口契约注释、前端类型注释同步；审批暂停时按需裁判仍拒绝，测试改成只看点击不多一次调用	2026-10-04 12:03:14 +08:00
ThearchyHelios	ee0700eca6	合入 FA：结构化抽取截断重试、写作清单按模型窗口定预算并按来源均衡、缺失断言交回重写、日期时间按可读格式显示	2026-10-04 11:43:21 +08:00