title: 全量视频字幕与内容识别流水线

category: 声画与理论笔记

sourceStatus: active

editionNote: 本文为研究档案公开版，保留来源版本的论述与限制。公开时间：2026-09-08；不表示已完成同行评审。 本文属于公开研究资料（历史笔记、研究稿或来源记录）：已完成格式、来源限制与重复项筛查，尚未完成逐篇独立事实复核；原文中的解释、候选判断和未确认内容均按其原有限制阅读。

relationMethod: literal links and image references in the public edition; no inferred semantic support

markdown:
# 全量视频字幕与内容识别流水线

本文为研究档案公开版，保留来源版本的论述与限制。公开时间：2026-09-08；不表示已完成同行评审。 本文属于公开研究资料（历史笔记、研究稿或来源记录）：已完成格式、来源限制与重复项筛查，尚未完成逐篇独立事实复核；原文中的解释、候选判断和未确认内容均按其原有限制阅读。

来源版本日期：2026-07-14

证据边界：本页是进入执行态的T3工作协议。T1锁定事实为：READY-B相对READY-A按relative_path、bytes与mtime UTC比较0 added、0 removed、0 changed，批次状态READY_SEALED；权威清单为21299个文件、529个目录、4419913652206字节和6154个视频路径；12TMAC02根目录已建立；《冰山》DJI_0016.MP4本地双引擎试点成功，最终location为loc-ee88bbc8ebabdb0a518c；镜像19:12 UTC在HF_2021_06_12_18_44_32.mp4的未发布partial上触发源—目标SHA-256不一致并安全恢复；2026-07-14 02:52 UTC又检测到封存后源根增量，监督器立即停止镜像并将新增空目录幸福王国与王亚男 风车 TV/DJI_0298.MP4定位为不在manifest内的下一批材料；根.DS_Store虽mtime改变但源—既有目标SHA仍一致。固定UUID、manifest SHA、无活动flock、progress、owned partial与1.5 TB保留线复核后，02:57 UTC以同一manifest恢复，新增项不并入本批。正式任务账已完成20路径probe canary与1条61.61秒MLX机器稿，连同早期《冰山》试点共2条真实ASR样本。6154是视频路径分母，不是独立资产、可读音轨、已授权转写、含语音资产或可公开字幕数量。本页不授权改写源盘、外部上传、人物自动确认、AI训练、公开发布或删除重复。

# 全量视频字幕与内容识别流水线

> [!summary] 一句话决策
> “全量”不是给 6,154 个视频路径盲目生成 6,154 份 SRT，而是让**每一个视频路径都有可审计的 `resolved_outcome`**；在去重、可读性、音轨、语音与权利检查之后，让**每一个独立、可读取、确有言语内容且获准进行本地 ASR 的资产**得到一套可追溯的机器字幕包。

> [!success] 当前已经进入执行态
> READY-B 已与 READY-A 完成稳定性复核并封存为 `READY_SEALED`；`12TMAC02` 目标根目录已经建立，《冰山》`DJI_0016.MP4` 的本地双引擎试点已成功，全量镜像也已启动。这里的“执行态”只表示批次封存和基础链路开始运行，**不表示镜像已经完成，更不表示 6,154 个视频路径已经全部获得语音字幕**。

> [!important] 批次级本地转写权限已落账
> Owner指令已写入`2026-07-13-ready-sealed-local-asr-authorization.json`，仅对本批开放`LOCAL_ASR_ALLOWED`，同时锁定`restricted / machine_unreviewed / public=no / cloud=false / source_write=false`。它允许内部归档转写，不使公开、AI训练、声纹识别或项目确认获得默认授权。运行器必须校验该文件的批次、manifest SHA-256、许可字段和文件哈希；没有这道门时不得执行全量`run --execute`。

> 上一卷：04-首批项目路由与三十天执行顺序-2026-07-13（馆内参考，未随本文公开）｜返回P4素材盘项目式归档总入口（馆内参考，未随本文公开）｜下一卷：暂无

## 一、封存后的权威分母：先把“有多少”说准确

2026-07-13 09:15 PDT 的 **READY-B** 与 08:45 的 **READY-A**，以 `relative_path + bytes + mtime UTC` 为比较键复核，结果为：

```text
added   = 0
removed = 0
changed = 0
batch_status = READY_SEALED
```

因此，以下数字不再只是 READY 候选 A 的观察值，而是本批次封存清单的权威路径级分母：

| 指标 | READY_SEALED 权威清单 | 相对旧基线 | 证据含义 |
|---|---:|---:|---|
| 文件路径 | **21,299** | **+116** | 尚未等同于独立数字资产 |
| 目录 | **529** | — | 目录结构计数，不进入资产分母 |
| 总字节数 | **4,419,913,652,206 B** | 约 +0.488 TB | 十进制约 **4.420 TB**，以精确字节值为权威 |
| 视频路径 | **6,154** | **+114** | 依据扩展名识别，不代表均可解码、有音轨或有言语 |
| 新增 XML | **2** | **+2** | 来自 `子丑破月`，应作为伴随元数据候选处理 |
| 新增 MP4 | **114** | **+114** | 来自 `子丑破月`，尚待哈希、探测、权利与项目关系确认 |

旧基线为 21,183 个文件、3.932 TB、6,040 个视频路径；本轮新增共 116 个文件，全部位于 `子丑破月`，由 114 个 MP4 与 2 个 XML 构成。这里必须保留三个边界：

1. **本批次已经 `READY_SEALED`**，但封存清单并不等于 21,299 个路径已经全部写入 Archive v2，也不等于镜像已经完成。
2. **6,154 是视频路径数，不是独立视频资产数**；只有 SHA-256 解析后才能知道 `unique_video_assets`。
3. 路径所暗示的项目归属仍是 `candidate/probable`，不能因为字幕内容“看起来像某个项目”就自动升级为确认关系。

因此，本工程同时维护两类分母：

- 路径分母：`discovered_video_paths = 6154`，用于保证没有漏扫任何入口；
- 资产分母：`unique_video_assets`，哈希后生成，用于避免重复转码、重复 ASR 与重复字幕。

## 二、什么叫“完成”：结果不是只有“转写成功”

全量工程的第一目标是**闭合路径责任**。每条视频路径最终必须落入一个明确、可复查的 `resolved_outcome`：

| `resolved_outcome` | 含义 | 是否算路径已解决 | 是否进入 ASR 分母 |
|---|---|---:|---:|
| `transcribed` | 已生成并校验机器字幕包 | 是 | 是 |
| `existing_transcript_reused` | 已有合格字幕版本，完成关系复用 | 是 | 是 |
| `exact_duplicate_reused` | SHA-256 完全相同，复用同一资产与字幕 | 是 | 否 |
| `no_audio_stream` | 容器内无音频流 | 是 | 否 |
| `silence_only` | 有音轨但只有静音或近静音 | 是 | 否 |
| `non_speech_audio` | 只有音乐、环境声等非言语声音 | 是 | 否 |
| `rights_hold` | 权利判断不足，暂缓处理 | 是 | 否 |
| `sealed_no_asr` | 封存材料明确不允许自动转写 | 是 | 否 |
| `unsupported_codec` | 当前本地解码链不支持 | 是，但进修复队列 | 否 |
| `probe_failed` | 探测失败，需重试或人工诊断 | 是，但进修复队列 | 否 |
| `corrupt` | 文件损坏或有效数据不完整 | 是，但进隔离队列 | 否 |
| `withdrawn` | 权利人或档案责任人要求撤回 | 是 | 否 |

`NO_AUDIO`、`NON_SPEECH`、`EXACT_DUPLICATE`、`RIGHTS_HOLD`、`UNSUPPORTED/CORRUPT` 都是合法的完成状态，而不是“失败后留空”。尤其不能用空白 SRT 伪装无音轨材料已经完成。

## 三、状态机：一条视频路径怎样变成可追溯字幕

```text
DISCOVERED
→ HASH_PENDING
→ ASSET_RESOLVED
  ├─ EXACT_DUPLICATE_REUSE
  └─ UNIQUE_ASSET
→ PROBE_PENDING
  ├─ PROBE_FAILED
  ├─ UNSUPPORTED_CODEC
  ├─ NO_AUDIO
  └─ AUDIO_PRESENT
→ SPEECH_TRIAGE
  ├─ SILENCE_ONLY
  ├─ NON_SPEECH_AUDIO
  └─ SPEECH_PRESENT
→ RIGHTS_PREFLIGHT
  ├─ RIGHTS_HOLD
  ├─ SEALED_LOCAL_ONLY
  └─ LOCAL_ASR_ALLOWED
→ AUDIO_EXTRACTED_TEMP
→ ASR_RUNNING
→ MACHINE_TRANSCRIPT_COMPLETE
→ TECHNICALLY_VALIDATED
→ HUMAN_REVIEW_QUEUE
  ├─ INTERNAL_MACHINE_ONLY
  ├─ TEXT_REVIEWED
  ├─ SPEAKER_REVIEWED
  └─ PUBLICATION_APPROVED
→ ARCHIVED
→ 可选：PUBLISHED / WITHDRAWN
```

不能把这条状态机压成一个“字幕状态”字段。至少要分别保存：

- `asset_resolution_status`：路径是否解析到独立 P4-A；
- `probe_status`：容器、编解码器与音轨能否读取；
- `speech_status`：有无言语内容；
- `ai_transcription_permission`：是否允许本地机器转写；
- `transcription_status`：ASR 和技术校验进度；
- `review_status`：机器稿、文本校对、说话人确认的层级；
- `publication_status`：是否经过独立公开审批；
- `resolved_outcome`：该路径在本轮最终如何闭合。

这样才能区分“技术上可做但尚无授权”“已有机器稿但未校对”“校对过但不可公开”等完全不同的事实。

## 四、九步流水线

### 1. 批次冻结与 READY 握手

本轮 READY 握手已经完成：READY-B 相对 READY-A 在 `relative_path + bytes + mtime UTC` 上为 0 added、0 removed、0 changed，批次状态为 `READY_SEALED`。批次运行期间不接受源目录继续变化；若创作者继续拷贝，新文件进入下一批，而不是悄悄混入正在运行的清单。每批保留只读 manifest、文件大小、mtime 与源路径；任何转写产物都不得写回 `〔本地资料路径省略〕` 源树。

### 2. 哈希与资产解析

为路径计算 SHA-256，先解析为 Archive v2 的 P4-A：

- 完全相同的 SHA-256 只建立一个 `digital_assets` 记录；
- 多个原始路径写作同一资产的 location/路径证据，不复制字幕；
- 查询 Archive v2 是否已有该资产的主字幕，符合要求则复用，不重新耗算力；
- 项目名、日期、文件名和所在文件夹都不能生成稳定 ID。

### 3. 全量 `ffprobe` 与音轨枚举

对每个独立、可支持的视频资产执行只读探测，记录容器、时长、视频编码、音频流数量、每一条音频流的 stream index、codec、sample rate、channel layout、语言标签、default 标记、时长与音频指纹。不得假设“第 0 条音轨就是应该转写的主混音”。

### 4. 本地语音初筛

在本地进行静音、非言语音频、语音段落和语言候选判断。初筛只决定队列，不确认人物身份、项目归属或公开价值。音乐、掌声、环境声可成为辅助标注，但不是默认 ASR 文本。

### 5. 权利预检

先检查授权状态、可见级别和敏感性，再抽音频。`ai_transcription` 是独立许可，不可由“可以保存”“可以内部观看”或“可以公开放映”自动推导，更不能与 `ai_training`、声音克隆、人物识别和生成式使用混为一谈。

### 6. 确定性音频提取

音频只提取到独立 scratch/derivative 盘：使用固定采样率、声道策略和工具版本，记录命令、源 SHA-256、音轨索引、时间基与处理配置。scratch 是可重建的工作区，不是永久保存副本；不得在空间不足时删除源盘文件换取容量。

### 7. 本地 ASR 与说话人分段

模型、推理、VAD、语言检测和可选 diarization 全部在本地完成，**不上传云端或外部 API**。ASR 的输入键必须包括源资产 SHA-256、音轨/声道、目标语言、模型与版本、配置和流水线版本，以便幂等复跑。

### 8. 产物校验与 Archive v2 导入

校验时间码递增、片段不越界、VTT/SRT 可解析、UTF-8、JSONL schema、产物 SHA-256 与 manifest 一致；随后进行幂等导入。所有失败都有显式错误码和重试次数，不能只留下日志中的一句报错。

### 9. 人工复核与发布分离

机器稿首先是内部工作资产。文本复核、说话人确认、权利复核、隐私处理、发布审批分别签名；公开发布必须经过既有 G5/H4 门槛。机器字幕完成不等于字幕真实、不等于人物已确认，更不等于获准公开。

## 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

正确的关系是：

```text
源视频 digital_asset：P4-A-...
  ├─ transcript：P4-TX-...
  │    └─ transcript_segments：带时间码的文本片段
  └─ 字幕产物各自成为新的 digital_asset：P4-A-...
       ├─ manifest.json
       ├─ segments.jsonl
       ├─ words.jsonl（可选）
       ├─ transcript.txt
       ├─ captions.vtt
       ├─ captions.srt
       ├─ quality.json
       └─ review.tsv
```

实施规则：

1. `transcripts.asset_id` 指向**源视频资产**，不是 VTT 或 SRT 文件。
2. VTT、SRT、JSONL、TXT 是不同字节序列，分别拥有自己的 P4-A 与 SHA-256；它们不是源视频的多个 location。
3. 字幕产物可通过同一 archive item 的 `item_assets` 以 `subtitle`、`full_text`、`attachment` 等角色连接；更稳妥的未来增量迁移是增加 `transcript_artifacts` 连接表，明确 `transcript_id`、`artifact_asset_id`、`artifact_role` 与 `version`。不另建第三套字幕数据库。
4. 新转写使用 `P4-TX-<16HEX>` 一类数据库生成代码并保留既有 legacy code；不能从项目名、路径或日期拼稳定编号。
5. 已入账版本不原位覆写。换模型、修正正文或人工校对均新增 `version`；同一源资产、语言、类型和版本保持唯一，并明确 primary。
6. 转写所属项目通过源视频、archive item 与 `item_projects` 继承。源关系若是 candidate，字幕关系仍是 candidate；内容推断最多生成 machine candidate，不能自动确认。
7. 每个 P4-TX 必须能落到一个项目关系，或显式进入 `unmapped_hold`，不得项目字段空白。
8. 本机路径只进入受控 location/导入账，不序列化到 transcript 正文或公共数据库字段。

## 六、产物目录与文件格式

未经人工复核的机器稿先进入受限区；只有完成相应用途审核的版本才复制为工作或公开衍生件。项目包只保存 `transcripts.csv` 索引和关系，不复制全量字幕：

```text
07_restricted/machine-transcripts/
  <P4-A-source>/
    <language>/
      <type>/
        <P4-TX>/
          manifest.json
          segments.jsonl
          words.jsonl
          transcript.txt
          captions.vtt
          captions.srt
          quality.json
          review.tsv

03_derivatives/publication-subtitles/
  <仅存已经通过相应用途审核的字幕版本>
```

所有文本采用 UTF-8 无 BOM、LF 换行；内部时间统一为整数毫秒；每个文件都写 SHA-256。各格式的责任不能混淆：

| 文件 | 责任 |
|---|---|
| `manifest.json` | 全局来源、权利、模型、配置、音轨、时间基、版本与哈希入口 |
| `segments.jsonl` | 无损的规范片段层，保存时间码、重叠、说话人候选、置信度与审核状态 |
| `words.jsonl` | 可选词级时间码，用于精细校准，不要求所有模型都生成 |
| `captions.vtt` | 首选显示与网页交换格式 |
| `captions.srt` | 面向剪辑软件和旧播放器的兼容衍生格式 |
| `transcript.txt` | 搜索和快速阅读，不作为时间码证据 |
| `quality.json` | 技术校验、低置信区间、时间漂移与错误统计 |
| `review.tsv` | 保留不可变机器候选列，另设人工修订、身份依据、审核者与时间列 |

`manifest.json` 至少记录：`source_asset_code`、源 SHA-256、`transcript_code`、语言、类型、版本、音轨索引、声道范围、源/代理关系、模型及版本、配置摘要、pipeline 版本、开始/结束时间、转写许可、可见级别、产物哈希和 `resolved_outcome`。

`segments.jsonl` 至少记录：`sequence`、`start_ms`、`end_ms`、`speaker_label`、`text`、`language_code`、`confidence`、`speaker_attribution_source`、`review_status` 与可选 `metadata`。语言使用 BCP 47：如 `zh-Hans`、`zh-Hant`、`en`、`und`、`mul`；源音轨语言与字幕文本语言分别保存，翻译必须另建 `transcript_type: translation`。

置信度只保留模型原生含义：不同 provider 的数值不可直接横比，无数据时为 null；人工确认写入审核字段，不能把 confidence 粗暴改成 1。

## 七、说话人：先匿名分段，后证据确认

- 机器 diarization 只生成 `SPK_00`、`SPK_01` 等局部标签，不生成 PER 编号。
- `speaker_person_id` 只允许在 `manual` 或 `self_identified` 证据下写入；机器或导入候选保留为 label。
- 片段重叠在 JSONL 规范层保留。VTT/SRT 为显示需要可以展平，但不得反过来抹掉规范层的重叠事实。
- 笑声、音乐、掌声、噪声等写作 captions/metadata 候选，而不是伪装成人物发言。
- 空白和静音可成为 quality/machine annotation，不创建空 transcript。

## 八、特殊格式与棘手材料的明确处置

### BRAW

BRAW 单独成批，使用可验证的本地解码链，并完整保留 sidecar。若 ASR 实际来自代理文件，必须记录代理资产、原始 BRAW、timebase/offset 变换和至少三个锚点校验；不能把 BRAW 直接丢进通用 MP4 队列后假定时间码一致。

### AVC 与 BDM

AVC、BDM 先探测再判断：它们可能是裸码流、设备元数据、无音轨文件或当前工具不支持的容器。`no_audio_stream` 与 `unsupported_codec` 都是有效结果，不得靠改扩展名强行运行。

### 多音轨与多声道

完整枚举 stream index、codec、sample rate、channel layout、language、default、duration 和 fingerprint。默认只转写经确认的主混音，同时保存其他轨的机器检测信息。现有 transcript 唯一约束尚不足以安全表达“同一源资产、同一语言、同一类型但不同音轨”的并存版本；批量逐轨导入前应增补 `audio_stream_index`、`channel_scope` 并调整唯一性。迁移完成前，每个源资产只导入一个经确认的主混音 transcript；其他逐轨结果仅作受控 artifact，不冒充主字幕。

### 重复、近重复与不同剪辑

- SHA-256 完全相同：同一 P4-A、同一 transcript，多路径复用。
- 视频编码不同但音频指纹、时长和 timebase 对齐：必须完成音频对齐和三个锚点验证，才可生成资产特定字幕版本并记录来源变换。
- 只有固定 offset：保存变换参数并抽查开头、中段、结尾。
- 剪辑点、音轨或时长不同：重新 ASR，不能机械复制时间码。
- 既有 SRT/VTT：作为独立 P4-A 导入，attribution 标记 `imported`；它是一个历史版本，不自动成为 ground truth。
- 画面烧录字幕：OCR 是另一条 machine candidate 流水线，与声音 ASR 分开保存和比对。

### 无音轨、音乐、损坏

无音轨不生成 transcript row 或空 SRT。纯音乐/非言语音频写 `non_speech_audio`；如未来需要无障碍字幕，可人工审核后制作 `[音乐]`、`[掌声]` 等 captions 版本。损坏和探测失败进入隔离、重试与人工诊断队列，源文件保持原样。

## 九、权利、隐私与本地计算边界

新材料的保守默认值应为：

```yaml
visibility: private
authorization_status: unknown
workflow_status: draft
ai_transcription_permission: pending
ai_training_permission: no
```

机器转写会把原本难以检索的声音变成可全文搜索的文本，因此字幕产物的权限不得低于源材料，原则上应与源相同或更严格。以下内容默认进入 `sensitive`、`sealed_local_only` 或 `rights_hold`：聊天室、监控画面、私人访谈、未成年人、身份证件、联系方式、健康和亲密信息，以及权利不明的第三方电影、音乐和歌词。

本流水线只授权**本地转写**：不上传云端，不调用外部识别服务，不进行人脸或声纹身份识别，不用于 AI 训练、声音克隆或生成式再利用。公开文本必须另做隐私、版权、署名和撤回机制审查；机器稿永远不能默认公开。

## 十、批次、幂等与算力排兵

批次操作标签采用：

```text
p4-YYYYMMDD-transcript-<project-or-scope>-NN
```

按项目候选、权利等级、编码类型和语言分组，而不是把 6,154 个路径一次性投入同一个进程。建议：

- 试点批次：最多 20 个独立资产或 10 小时音频；
- 稳定批次：最多 100 个独立资产或 50 小时音频；
- BRAW、超大文件、多音轨和敏感材料各自独立批次；
- 每批都要能暂停、恢复、回滚导入，并进行至少一次产物恢复测试。

幂等键应由下列字段计算：

```text
source_sha256
+ audio_stream_index
+ channel_scope
+ target_language
+ model_provider/model_version
+ config_hash
+ pipeline_version
```

同一键重复运行只返回既有 job/产物，不重复创造字幕记录。最终不可变导入账可沿用已批准的 `P4-DIALOGUE-*` 批次账口径；日常 processing job 与最终归档账应区分。

## 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

当前已有一项可核查的执行成果：《冰山》`DJI_0016.MP4` 已完成**本地双引擎试点**，最终资产 location 为 `loc-ee88bbc8ebabdb0a518c`。这证明“本地读取 → 双引擎识别 → 结果汇合 → location 落账”的最小链路可以运行；但一个成功样本不能代表 20 资产试点已经验收，也不能代表 BRAW、多音轨、重复、无音轨、敏感材料和既有字幕等分支已经覆盖。

随后已建立正式任务账`p4-20260713-video-asr-01`，并以`p4_local_asr_pipeline.py 2026-07-13.2`完成一个**20路径技术canary**。这20条按manifest顺序取样，不能冒充跨项目分层样本：单worker `ffprobe`在约30秒内完成，18条识别为单音轨可转写媒体，2条因`moov atom not found`进入`PROBE_FAILED`；在批次权限文件未应用前，18条全部保持`RIGHTS_HOLD`，证明权限门不会把“技术可转写”直接写成“已获准”。

Owner的本批`LOCAL_ASR_ALLOWED`决定经batch、snapshot、manifest SHA-256、源根、输出分级与文件哈希校验后，MLX正式队列又完成1条61.61秒素材：`loc-212caca9544144ca1e5b`，结果`TRANSCRIBED`。本次从源SHA-256、音频提取到冷启动推理的总耗时79.885秒，RTF 1.2966；5项规范字幕产物和`done.json`哈希一致，JSON／JSONL严格可解析，scratch清零，权限为`0600`，状态仍是`restricted / machine_unreviewed / public=no`。它与早期《冰山》试点合计构成2条真实ASR样本，但仍不足以外推全库准确率或总工期。当前canary任务账还保留17条`READY_FOR_ASR`与2条`PROBE_FAILED`，在全量镜像完成前不继续制造I/O竞争。

下一步仍须把首批扩展到 20 个独立资产，覆盖以下十种情况：

1. 《冰山》当前目录中的 6 个视频样本，但必须先查询 Archive v2，避免重做既有字幕；
2. 一个完全重复路径组；
3. 一个视频编码不同、音频及时基相同的近重复组；
4. 一个无音轨视频；
5. 一个音乐或环境声为主的视频；
6. 一个多人抢话和重叠明显的视频；
7. 一个多音轨视频；
8. 一个聊天室、监控或私密材料，只做封存/权利决策，不输出公开稿；
9. 一个 BRAW 或其代理链样本；
10. 一个已有 SRT/VTT 的视频，用于测试版本与来源关系。

从中抽取 60 至 90 分钟制作人工参考稿，用 CER、专名错误率、时间漂移、重叠语音、远场语音和处理成本比较本地模型。试点不发布。通过后按既有归档优先级推进：《冰山》→ 实像 →《致幻》→《影子对位法》，再进入《茧房》等后续项目；优先级可因权利状态调整，但必须留变更理由。

完整试点验收的最低条件：

- 100% 入选路径完成 SHA-256、probe 和 `resolved_outcome`；
- 100% 产物有 SHA-256，并通过格式校验；
- 源盘修改数为 0，外部上传数为 0；
- 完成一次从备份恢复字幕包的演练；
- 未经人工审批的公开字幕数为 0。

## 十二、KPI：不拿“生成了多少 SRT”冒充完成度

### 分母

```text
discovered_video_paths = 6154
unique_video_assets = 哈希后确定
audio_bearing_assets = probe 后确定
speech_bearing_assets = 本地语音初筛后确定
local_asr_allowed_assets = 权利预检后确定
```

### 覆盖率

- 路径闭合率 = 有 `resolved_outcome` 的视频路径 / 6,154；
- 独立资产解析率 = 已绑定 P4-A 的独立资产 / `unique_video_assets`；
- probe 覆盖率 = 已探测独立资产 / `unique_video_assets`；
- 精确重复复用率与避免重复计算时长；
- ASR 资产覆盖率 = 已完成合格机器字幕的资产 / `local_asr_allowed_assets`；
- ASR 音频小时覆盖率；
- 字幕包技术校验通过率；
- 项目已连接率与 `unmapped_hold` 数量；
- 文本复核率、说话人复核率、发布审批率；
- probe/ASR 失败率、重试成功率与积压时长。

### 质量

- 分层抽样 CER；
- 人名、地名、项目名等专名错误率；
- 时间戳漂移 P95；
- 低置信分钟数及其人工抽查通过率；
- JSONL、VTT、SRT 片段一致性；
- 有 SHA-256 的产物比例；
- 随机恢复测试成功率。

### 必须长期保持为零的指标

- 源材料被流水线改写：**0**；
- 原始声音或视频上传外部服务：**0**；
- 完全重复资产造成的重复 ASR：**0**；
- 未复核机器稿公开发布：**0**。

`no_audio_stream`、`silence_only`、`non_speech_audio`、精确重复和权利暂缓都计入路径闭合率，但不进入 ASR 应完成分母。这样，“全量”才是一套对每条材料负责的档案制度，而不是一场以字幕数量为指标的算力表演。

## 十三、执行看板：四个硬门槛的当前完成度

| 硬门槛 | 当前状态 | 已验证事实 | 下一动作 |
|---|---|---|---|
| 封存可验证 manifest | **已完成** | READY-B 相对 READY-A 为 0 added、0 removed、0 changed；批次 `READY_SEALED`；权威清单为 21,299 文件、529 目录、4,419,913,652,206 B、6,154 视频路径 | 保持源盘只读；任何新增材料进入新批次 |
| 20路径技术canary | **已完成** | 20条完成单worker probe：18条单音轨、2条`moov atom not found`；权限文件应用后1条正式MLX机器稿成功，产物严格解析与哈希通过，scratch为0 | 保留技术证据；不把顺序样本写成分层质量样本 |
| 20资产分层试点 | **执行中** | 现有2条真实ASR样本：《冰山》双引擎试点与正式队列1条MLX样本 | 镜像完成后补齐跨项目、重复、无音轨、非语音、多音轨、BRAW、敏感和既有字幕分支 |
| 多音轨 schema | **部分完成** | probe任务账已记录`audio_stream_count/index`并把多音轨阻断，不会盲选；Archive v2尚未导入 | 增加人工主音轨选择、`channel_scope`、多字幕关系与唯一性迁移 |
| 独立实体镜像 | **已恢复推进、未完成** | 既有10,245个final复核完成后，新复制阶段累计298件／256,734,203,383 B且零SHA冲突；09:16与09:31两次无进度后09:45安全封停。09:47只读诊断发现两个非本批全树宽扫造成明确I/O争用；只终止对应进程组并静置后，09:50完整重验恢复门并启动PID 30509／会话`20260714T095042Z-2286a6abafee`，已越过此前4.56 GB项并持续产生SHA一致事件 | 继续观察恢复吞吐；禁止同机箱额外媒体／全树扫描。仍须完成21,299件与terminal receipt，且不把宽扫写成唯一根因或硬件无故障证明 |

镜像未完成之前，不能宣称 12TMAC02 已经形成完整保护副本；单件 ASR 成功也不能把未处理路径标成 `transcribed`。当前规模化执行的正确顺序是：先让镜像和校验闭合，再按批次推进哈希、probe、语音判断、权利预检与本地 ASR，最终保证**全部 6,154 个视频路径都有 `resolved_outcome`**。其中无音轨、纯音乐、精确重复、权利暂缓、损坏或不支持的路径可以得到合法的非字幕结论；全路径闭合从来不等于每条路径都必须产生语音字幕。

当四个门槛全部闭合后，字幕工程才从已启动的执行链路升级为 P4 的长期档案基础设施：每一份机器文本知道自己从哪一段声音来、使用了什么模型、能被谁看到、属于哪个版本、与哪个项目有何种证据关系，并且在错误、争议与撤回发生时，可以沿着关系账精确纠正，而不伤害原件。

## 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

`com.p4.archive.postmirrorprobe.ready01`最初加载的v2026-07-14.2已经在2026-07-14约05:00 UTC由一次受控`bootout/bootstrap`替换；固定工具为`p4_post_mirror_probe_runner.py 2026-07-14.4`，SHA-256为`58be4336b6766e676275fd1e1bdd11495793a66997740f6be8c855f7560b067f`。现有plist传入`--poll-seconds 300`，部署effective config SHA-256为`b22d3d8261191e1af1f8df9041d533d7509df27c182901affd515610c95cbda9`。它在09:45 UTC故障保持时曾为避免误接力而unload；09:54Z镜像恢复稳定产生SHA一致事件后重新bootstrap为PID 34666，当前仍为`waiting / wait_for_mirror`、`last_error=null`。只有镜像取得成功终态并同时满足以下条件才可接力：

1. 最新镜像session以`complete=true`结束，launchd进程停止且镜像flock释放；
2. 同一session的JSON／CSV receipt与21,299行、4,419,913,652,206 B和源—目标SHA全部一致；
3. 两块卷UUID、manifest SHA、工具SHA、精确漂移许可与源树“probe前两遍＋report后一遍”元数据门都未漂移；
4. 目标盘仍保有1.5 TB以上可用空间。

过门后它依次生成final fixity五件套、把现有20条队列幂等扩展到6,154条、用4个worker做全量`ffprobe`、导出状态与CSV。运行器对ASR子命令的白名单只有`init / probe / status / export-queue`，代码和参数层均拒绝`run`及`--execute`；因此它能自动把“这些文件究竟能不能读、有几条音轨”闭合，不会跳过重复复用、语音判断、20资产质量试点和人工抽审直接制造数千份低质量字幕。

对现有ASR脚本的二次审查确认：它已具备逐件恢复、单GPU工作、权限门和原子产物写入，但尚未实现精确SHA字幕复用、内嵌字幕复用和多音轨主轨选择；此外，断电恰好发生在稳定产物已写入而`done.json`未提交的窗口时，下次执行会以`OUTPUT_CONFLICT`停队。因此目前**有意不挂载无人值守的全量`run --execute`**：先用全量probe得到时长、音轨和异常分布，再生成确定性去重／例外计划，修复中断恢复窗口，完成20资产分层质量门后才分批运行。这不是缩小“全量”目标，而是避免把重复文件、空字幕、错音轨和不可恢复中断写成假的完成数。

为降低同一ACASIS外置机箱中源—目标双盘的Spotlight随机读竞争，`12TMAC02`索引仍为disabled，`12TMAC01`为enabled。09:45 UTC进入故障保持时，独立标签`com.p4.archive.spotlightrestore.ready01`曾先于post-mirror runner卸载；09:54Z已重新bootstrap为PID 34668，但只等待镜像成功终态，当前不会提前改变索引状态。这一临时状态不改写`〔本地资料路径省略〕`的任何文件，也不是硬盘健康判断。

2026-07-14另建立Codex心跳监督`P4 素材归档监督`（automation id `p4-2`），每15分钟复核launchd状态、卷UUID、progress/receipt/status/log与1.5 TB保留线。第一次持续无进度后曾在全部恢复门通过时使用既有`--resume`；第二次同型无进度复发后，09:45策略升级为incident hold。该hold仅在09:47发现并移除两个非本批宽扫、磁盘静置两分钟这一明确外部状态变化后解除，且09:50重新通过UUID、manifest、源边界、flock、partial归属与容量门。监督不得改写源盘、不得增加同机箱媒体扫描，也不得绕过去重、音轨、质量与中断恢复门盲跑bulk ASR。若再次异常停止，仍须fail-closed重新判断，不自动循环resume。

## 十五、19:12 UTC SHA-256冲突与安全暂停

2026-07-13 19:12:55 UTC，镜像脚本在`3P/小视频/HF_2021_06_12_18_44_32.mp4`的同名`.p4mirror.partial`发布前重读中发现源—目标SHA-256不一致。该件为742,315,576 B；脚本以`safety_or_integrity_error`和exit 2结束，未将partial原子改名为final，也未覆写既有final。当时session在冲突前报告481件／191,710,070,339 B新复制完成，全局append-only账中已有502件／196,799,232,165 B的`copied`事件。

因submitted launchd带`keepalive`，该job在19:12:57 UTC自动重启并从头重验已有final。监督器识别出校验冲突后于19:25 UTC移除`com.p4.archive.mirror.ready01`，防止在未诊断前循环截断partial和重读约200 GB既有镜像。被移除进程在内核`U`型I/O等待返回后已退出，mirror flock可非阻塞获取；两卷UUID、manifest SHA与1.5 TB保留线均再验通过。IORegistry报告源—目标物理盘的read/write error与retry计数均0；这只说明底层未报错，不能消解本次字节级不一致。

定向诊断对源文件和错误partial各做两遍哈希：源两遍均为`95c5a7e8736a26358bf111853db9db7f2deaa0e5b2223f3b97288037969312d1`，partial两遍均为`46ad3300d244ef7b01403621e667be1ce1d96859aba9586dc28c102855ac66d5`，两者fingerprint均稳定。字节比较将差异锁定在第73个1 MiB块，绝对偏移76,554,724至77,594,623，该块有1,035,486个不同字节；其余91 MiB块全部一致。随后执行一次受控诊断重拷贝，复制过程源哈希与目标连续两遍重读哈希均等于上述源哈希，表明错误可由安全重拷贝避免，但原因仍只能记为“一次局部传输／写入异常，底层未报错”而不是已确认硬件故障。

错误partial已从payload原子移到`99_system/integrity-diagnostics/20260713T191255Z-HF_2021_06_12_18_44_32/mismatched-original.p4mirror.partial`，诊断重拷贝、`incident.json`和`diagnostic-result.json`同目录保存。镜像已改为`KeepAlive=false`的持久LaunchAgent，于19:41:01 UTC以session `20260713T194101Z-5dd835e4d1c4`恢复，已开始重验既有final；若再发生任何integrity error，job会停留供诊断，不再自动循环。post-mirror probe和Spotlight恢复器也已重启为waiting；Spotlight恢复脚本同时加入了`mdutil -s`双卷结果复验，不再将“命令返回0但输出报错”记成completed。

19:41 UTC恢复会话完成了502件既有final的逐件SHA-256重验。21:13:07 UTC它重新复制原冲突文件，21:13:20 UTC以源—目标同为`95c5a7e8736a26358bf111853db9db7f2deaa0e5b2223f3b97288037969312d1`的`copied`事件原子发布final，随后已继续越过该路径复制新文件。21:21 UTC全局进度为554件／226,907,299,817 B，本恢复会话在重验502件后新复制52件，`run_stopping=0`。因此可将“本次冲突的安全恢复”标记为已验证，但全批镜像和终态fixity仍未完成。

## 十六、02:52 UTC封存后增量与固定manifest恢复

2026-07-14 02:52:40 UTC，心跳监督发现`〔本地资料路径省略〕`根目录fingerprint从封存时的`dev=16777254 / inode=135488 / mtime=ctime=1783957313`变为`mtime=ctime=1783997082`。这构成源树封存边界漂移。监督器没有把“镜像仍能读”当成安全证明，而是立即向PID 5492发送`SIGTERM`；进程约2秒后退出，flock释放，既有final未被覆盖，正在复制的`HF_2020_12_19_12_54_41.mp4`只留下由既有`copy_started`事件证明归属的260,046,848 B partial。

为避免再次扫描整套媒体，只对根层、发生mtime变化的父目录与manifest做浅层集合比较。结果定位出两个封存后对象：

- 根层新增空目录`幸福王国`；
- `王亚男 风车 TV/`新增`DJI_0298.MP4`，85,274,805 B。

两者均不在21,299行权威manifest内；根层与`王亚男 风车 TV/`在对应浅层比较中均无manifest成员消失。根`.DS_Store`的mtime／ctime发生变化，但当前源文件、镜像中既有final与早先progress记录的SHA-256仍同为`de593351c97a4ac9ee7404bc82e5ac338419974f7d7b82787de87886aec91a04`，因此这是已核实的元数据时间变化，不是内容变化。上述新增对象不得暗中进入当前批次，必须在以后重新执行READY握手时进入新批次。

监督器随后复核两卷UUID、manifest SHA、JSONL零损坏、无活动flock、partial所有权与4.78 TB左右可用空间，确认均满足既有`--resume`前置条件。事故账保存于`〔本地资料路径省略〕`，SHA-256为`8bc1e873dab2880979257a961712abaa9e7ad1b171fbe49c321f7b5e01fa6552`。02:57 UTC以LaunchAgent启动新会话`20260714T025724Z-fa8e148346ba`；首两项`.DS_Store`与`3P/.DS_Store`已获得源—目标SHA一致的`resume_verified`事件，说明固定manifest恢复链路已经重新工作。

本次处置只证明“两个新增对象被排除、已有`.DS_Store`内容未变、恢复前置条件通过”；它不把当前源根重新宣称为原始READY-B状态。新会话将继续逐件复验已有final，并在复制未完成manifest成员时做源—目标SHA-256校验。镜像后的source metadata gate还必须显式识别这份已登记的out-of-batch增量，不能静默忽略，也不能把它误并入当前6,154条视频路径分母。

镜像停止窗口内，post-mirror runner在02:56 UTC按设计把“launchd镜像未运行且progress未完成”记为`blocked`并退出；这不是新的媒体校验冲突。镜像恢复后已重新启动该runner，03:00 UTC进入`verify_manifest`且`last_error=null`，随后只会回到等待镜像终态的状态，不会触发bulk ASR。

## 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

02:52 UTC事故不能靠“忽略manifest以外对象”草率收口。当前批次新增了一份单独、SHA钉死且无通配符的许可账：

```text
wiki/meta/ledgers/p4-12tmac01-snapshots/20260713T0915-0700-ready-b/
source-drift-allowance-20260714T025240Z.json
SHA-256 = c3f88b54576f2383b39eb6863243ffeb0de2ef1146669f05dbc8cd68cf588ebc
incident SHA-256 = 8bc1e873dab2880979257a961712abaa9e7ad1b171fbe49c321f7b5e01fa6552
```

它接受的不是“这个目录以后都可以变”，而是三个封闭事实：

1. 当前精确的**非许可目录路径集**有528条，路径集摘要为`daa7a167ae076dffaa326851d4ffe521410099e8725bfac5b3485c45d1b080ae`；再加唯一获准且必须保持为空的`幸福王国`，当前总数仍为529。
2. 唯一获准的非manifest文件是`王亚男 风车 TV/DJI_0298.MP4`，只按当次记录的路径、类型、字节、inode、mode、mtime、ctime与birth time逐项比对；本许可不打开、不哈希它，也不把它加入21,299文件或6,154视频分母。
3. 根`.DS_Store`是唯一manifest元数据例外，只允许那一次mtime差异；每次过门仍须重算源文件与既有目标final，且两者都必须等于`de593351c97a4ac9ee7404bc82e5ac338419974f7d7b82787de87886aec91a04`以及terminal receipt中的同一路径SHA。

这里必须保留一条不能补造的证据边界：READY-B只保存了“含根共529个目录”的计数，没有保存当时529条目录路径身份。事故后可接受状态是“528条非许可目录＋1条已登记空目录＝529”，但现有证据**不能证明READY-B时缺席空目录的名字和身份**；“发生过移动或改名”只能作为一种可能推断，不能写成事实。以后任何新增、消失、路径集摘要变化、许可对象fingerprint变化或`.DS_Store`再次变化，都必须重新立事故账与新许可账，不能沿用本次例外。

### v4实现的闭合范围

`p4_post_mirror_probe_runner.py 2026-07-14.4`的已部署SHA-256为`58be4336b6766e676275fd1e1bdd11495793a66997740f6be8c855f7560b067f`，状态文件改为`post-mirror-probe-runner-status-v4.json`。它在真正写入fixity或队列前后增加了以下fail-closed闭包：

- **镜像终态权威**：先以最新成功`run_finished`、launchd退出与镜像flock释放作为观察，再取得镜像自己的排他flock；receipt读取前后必须是完全相同的progress设备、inode、mtime、ctime、字节前缀SHA、行数、session和终态。该flock持续持有到successor全部结束，防止新镜像会话在检查和使用之间插入。
- **receipt与final fixity同一作用域**：terminal JSON／CSV receipt须完整覆盖21,299行与4,419,913,652,206 B，逐路径源—目标SHA相等，并按manifest顺序计算全量scope摘要；final fixity五件套再以同一session和scope复验。summary、path fixity与exact-SHA duplicate导出均按固定schema、字段类型、manifest元数据和完整记录比对，完整canonical证据冲突时不得自动改名或覆盖。
- **源树精确漂移门**：使用descriptor-relative DFS，祖先目录fd保持到子树结束，拒绝symlink、特殊文件与嵌套挂载；probe前做两遍元数据扫描，report后再做一遍且摘要必须相同。manifest成员仍按路径、字节、inode、mtime与birth time比对；两个许可对象只能按精确fingerprint出现；目录按上述528路径摘要闭合。除根`.DS_Store`例外外，runner不打开源媒体正文。
- **6,154路径精确队列**：队列导出逐行绑定batch、snapshot、卷UUID、source root、location key、相对／绝对路径、字节、inode、mtime与video分类，拒绝同数替换、伪造key、路径别名、未知probe状态和`run_status=running`。probe前后`run_attempts`全作用域摘要必须不变。
- **禁止盲跑bulk ASR**：`p4_local_asr_pipeline.py 2026-07-14.1`的SHA-256为`c20a641f6ae91609f961fd476ef589201eecc2220c332181253cc31873364df5`。所有`run --execute`现在先取得`postmirror-successor.freeze.lock`再取`queue.lock`；v4在扩队、probe和最终发布全程持有同一successor freeze。runner自身的子命令白名单仍只有`init / probe / status / export-queue`，任何`run`或`--execute`都会在创建子进程前被拒绝。
- **终端证据封口**：final status与queue必须来自同一queue lock下的新鲜导出；已存在文件须与新鲜导出完全相符，新建文件在原子发布后须逐字节回读一致。最终completed前再次绑定progress、receipt、fixity五件套、status、queue、manifest、许可账、incident、两卷UUID、目标余量与runner自身SHA。

regular file在被`stat`之后发生同inode原位写入，仍存在没有FSEvents journal seal便无法彻底消除的窄观察窗；READY manifest也没有源内容SHA可供本门逐件重算。v4因此把这一点明写进状态证据，不把元数据稳定冒充内容不可变。真正的内容权威仍来自镜像逐件源—目标SHA与terminal receipt。

### 离线验证结果与证据边界

本轮只运行了临时目录测试与manifest／许可账解析，没有再次扫描`〔本地资料路径省略〕`媒体树，也没有启动probe、fixity exporter、ASR或launchd重启：

```bash
PYTHONDONTWRITEBYTECODE=1 python3 -m unittest -v \
  inspool-wiki-zh/scripts/tests/test_p4_post_mirror_probe_runner.py

Ran 17 tests ... OK
```

17项回归全部使用`TemporaryDirectory`，覆盖未知文件／目录、许可空目录非空、许可文件fingerprint变化、`.DS_Store`同尺寸错内容、等数目录替换、同数伪造queue、ASR执行命令守卫、共享freeze、receipt session与full scope、resume fixity空`event_target_bytes`、duplicate完整元数据、完整fixity不自动quarantine、summary伪造、reporting发布后替换和receipt前后progress替换。另做AST解析以及只读manifest／许可账smoke：21,299行、4,419,913,652,206 B、6,154视频、528＋1目录和上述SHA均通过；红队复核收口为`P0=0 / P1=0`。**这些测试只证明离线逻辑，不证明真实源树此刻已经通过v4门。**真实三遍source gate只会在镜像成功终态后由已部署runner执行。

### 05:00 UTC受控部署结果

2026-07-14约05:00 UTC完成了最小范围的受控部署。操作只对`com.p4.archive.postmirrorprobe.ready01`执行一次`bootout/bootstrap`；没有停止、重启或重载镜像与Spotlight恢复作业，也没有因此读取媒体正文或启动任何后继处理。部署凭据如下：

1. 旧post-mirror进程PID 96920已经退出；`post-mirror-probe-runner.lock`的inode为1778704，在重新bootstrap前确认可取得排他锁。新进程PID为89239。
2. 镜像仍为PID 92483，Spotlight恢复器仍为PID 5886；这两个PID在部署前后均未改变，说明替换范围没有越过post-mirror单一job。
3. runner版本为`2026-07-14.4`，SHA-256为`58be4336b6766e676275fd1e1bdd11495793a66997740f6be8c855f7560b067f`；被钉住的ASR pipeline SHA-256为`c20a641f6ae91609f961fd476ef589201eecc2220c332181253cc31873364df5`；漂移许可账SHA-256为`c3f88b54576f2383b39eb6863243ffeb0de2ef1146669f05dbc8cd68cf588ebc`。
4. 必须区分两种配置指纹：代码内**默认配置**使用`poll_seconds=60`，其SHA-256为`04664044f0f4b8b3e8a4967c6a11d4d0cff134667c81e5cfd3f23442dec4d53b`；现有plist实际传入`--poll-seconds 300`，所以本次部署的**effective config** SHA-256是`b22d3d8261191e1af1f8df9041d533d7509df27c182901affd515610c95cbda9`。二者不同是受允许的operator timing override，不是配置漂移。
5. 新v4 status于`2026-07-14T05:00:01Z`开始，当时为`state=waiting / phase=wait_for_mirror`、`last_error=null`；manifest、许可账和工具链的初始校验均已完成。它未取得镜像终态，因此没有提前运行final fixity、扩展6,154路径、执行全量`ffprobe`或触发bulk ASR；09:45曾因incident hold卸载，09:54Z已重新bootstrap为PID 34666并恢复`waiting / last_error=null`，后续状态见第二十节。

部署成功在当时的准确含义只是：**正确版本、正确工具链和实际effective config已经在正确的单一launchd job中等待镜像成功终态。**这份部署证据仍然有效，但job现已因故障保持而unloaded。部署不表示真实源树已经通过三遍source gate，不表示6,154条视频已经probe，更不表示READY-B时刻的位级原貌已被证明。READY manifest的逐行SHA字段原本为空；当前内容权威仍须由镜像逐件源—目标SHA、terminal receipt和后继闸门共同建立。

镜像成功结束后，应让v4自行取得terminal mirror lease，依序完成final fixity、6,154路径扩队、全量probe、报告与terminal seal；不要手工并行启动`init`、`probe`或任何`run --execute`。任一UUID、容量、progress、receipt、fixity、源树、queue或工具校验失败时保持fail-closed，保留status、日志和证据文件供复核，不得以删除canonical证据、放宽许可或绕过freeze来换取“完成”。

## 十八、08:14 UTC既有final复核完成并转入剩余对象复制

2026-07-14约08:14 UTC，恢复会话`20260714T025724Z-fa8e148346ba`完成了02:52 UTC停机前已有的10,245个final的逐件复核。每一件都重新计算当前源文件与目标final的SHA-256并取得一致结果，本轮复核为零冲突；append-only `progress.jsonl`的解析检查仍为`malformed=0`。这标志着会话从“重验既有final”转换到“复制尚未完成的manifest对象”，不是21,299件全批完成，也不是镜像terminal receipt已经生成。

停机时登记的owned partial为`天台上的嚎叫者/3P 天台山的嚎叫者/HF_2020_12_19_12_54_41.mp4.p4mirror.partial`，中断时有260,046,848 B。恢复会话在走到该路径时按既定断点安全语义写入`partial_restart`，没有把旧partial当作已验证前缀续接，而是从零重新复制；源流SHA与目标partial重读SHA一致后，脚本将其原子发布为592,220,006 B final，同名`.p4mirror.partial`随发布消失。随后镜像越过该路径继续复制未完成对象。

阶段转换后的短时观察显示：约08:14 UTC恢复会话已有至少15个新`copied`事件，稍后的同一轮观察增至18个；这些新发布件的源／目标SHA均一致。`15`与`18`只记录当时恢复会话进入新复制阶段后的动态截面，不应写成长期总数或完成率。容量门同样按时点解释：这些progress事件记录的目标可用空间约4.77 TB，`df`只读观测也约4.77 TB，均高于1.5 TB硬保留线；随着后续复制继续，余量会变化，真正约束始终是“不得跌破1.5 TB”，而不是维持某个小数。

证据措辞继续限定为**固定manifest下的 current-source verified mirror**：READY-B manifest的逐行SHA字段原本为空，所以本轮10,245件复核与随后新复制证明的是“复核／复制时当前源字节与目标字节一致”，不能倒推出每一件仍等于READY-B时刻的位级原貌。post-mirror v4 runner在这一阶段仍保持`waiting / wait_for_mirror`；尚未运行final fixity、扩展6,154路径、全量probe或bulk ASR，也不得因既有final复核完成而提前启动这些后继步骤。

## 十九、09:16—09:31 UTC持续无进度与受控恢复

2026-07-14 09:16:31Z之后，镜像会话`20260714T025724Z-fa8e148346ba`的append-only progress停在一个`copy_started`事件，至09:30:57Z约14分钟没有新增进度。对应目标partial为`天台上的嚎叫者/嚎叫者/2020 12.26/DJI_0045.MP4.p4mirror.partial`，当时大小2,065,296,234 B，同名final不存在。只读进程观察显示PID 92483处于`U`态、CPU约0.1%；`lsof`只显示它以`5r`打开该目标partial，连续12秒两次`stat`所见大小和时间均未变化。两卷仍然挂载，现有日志未发现明确的磁盘I/O错误。因此本次只登记为**持续无进度／疑似阻塞**，不把进程状态或短时静止外推为硬盘故障。

依据连续无进度停止线，09:30:57Z向旧镜像进程发送SIGTERM；进程在2秒内退出，没有强杀、拔盘或改写源树。恢复前逐项重新确认：

1. 源卷与目标卷仍以既定UUID挂载；
2. 权威manifest SHA-256仍为`2342c8514dd298da4a4302d4c188789c08ec7e0bcdee4f1006729ef6482592cd`；
3. 已登记的源树边界未再漂移；
4. 旧进程已退出且无活动mirror flock；
5. 2,065,296,234 B partial可由既有`progress.jsonl`的`copy_started`事件证明归属，具备`--resume`恢复条件，同名final仍缺失；
6. 目标卷可用空间约4.53 TB，高于1.5 TB硬保留线。

全部前置条件通过后，09:31:49Z使用既有launchd配置和同一批次`--resume`机制恢复，没有另造目标树。新镜像PID为93130，新会话为`20260714T093151Z-cb8561fc6e46`。恢复会话先对两个`.DS_Store` final完成当前源／目标SHA一致的事件，随后进入第三个约4.56 GB对象复核。这个当时截面只证明恢复会话已经启动且出现两个成功事件，**不足以声称持续吞吐已经完全恢复**；其后的无进度复发与封停见第二十节。

镜像短暂消失时，post-mirror runner按设计fail-closed退出；镜像恢复后仅对该runner做受控重启，新PID为93199。v4 status保持`waiting / wait_for_mirror`、`last_error=null`。Spotlight恢复器PID 5886在全过程未被停止或重载，目标卷Spotlight索引仍为disabled。本事件没有启动final fixity、6,154路径扩队、全量probe或bulk ASR，证据边界继续限定为固定manifest下的`current-source verified mirror`，READY-B逐行内容SHA缺失这一限制也没有改变。

## 二十、09:31—09:45 UTC持续无进度复发与故障保持

第一次受控恢复并没有形成可持续吞吐。launchd在09:31:49Z启动恢复动作后，新会话`20260714T093151Z-cb8561fc6e46`于09:31:52Z写入会话起点；它只完成了根`.DS_Store`与`3P/.DS_Store`两个既有final的当前源／目标SHA一致复核。09:31:53Z开始校验manifest第三项`3P/20200919_145015.mp4`，该文件为4,562,092,032 B。直到09:44:34Z，append-only progress再无任何新增事件；PID 93130持续处于`U`态、CPU约0，进程当时已运行约12分45秒。

这与前一轮“持续无进度／疑似阻塞”同型，因而记为**复发的持续无进度**，但仍不外推为硬盘故障：本次证据只表明同一恢复链在第三个manifest对象校验期间没有产生可观察进展，不能仅凭`U`态、零CPU或progress静止确定故障层级。09:45:06Z向PID 93130发送SIGTERM，进程约3秒后退出；没有强杀、拔盘、改写源树、删除partial或重写append-only进度账。

第二次事件后的处置不再是自动恢复，而是**incident hold／故障保持**。为避免镜像进程消失后自动触发Spotlight恢复，或让post-mirror runner误把停机窗口当作可接力终态，先卸载`com.p4.archive.spotlightrestore.ready01`，再卸载`com.p4.archive.postmirrorprobe.ready01`。最终状态为：

1. `com.p4.archive.mirror.ready01`的job定义仍loaded，但没有运行中的mirror进程；
2. `com.p4.archive.postmirrorprobe.ready01`与`com.p4.archive.spotlightrestore.ready01`均unloaded；
3. 源卷Spotlight索引为enabled，目标卷仍为disabled；
4. v4没有取得成功镜像终态，也没有运行final fixity、扩展6,154路径、全量probe或bulk ASR。

故障保持没有抹除已完成证据。前一复制阶段在会话`20260714T025724Z-fa8e148346ba`中累计发布298个新对象／256,734,203,383 B，全部记录为源／目标SHA一致，零SHA冲突；这些事件继续封存在既有`progress.jsonl`。目标卷当时约有4.53 TB可用空间，高于1.5 TB硬保留线。`天台上的嚎叫者/嚎叫者/2020 12.26/DJI_0045.MP4.p4mirror.partial`仍为2,065,296,234 B，具有先前`copy_started`事件所证明的owned partial身份，同名final缺失，因而在未来满足全部恢复门时仍可按既有语义处理；当前保持不动。

09:45Z当时的下一动作不是再次`kickstart`或`--resume`，而是等待外部状态变化或完成人工诊断；只有随后重新验证两卷UUID、manifest SHA-256、源树登记边界、无活动flock、partial可恢复性与同名final关系，以及目标空间高于1.5 TB保留线，才可重新评估同一批次恢复。该历史hold后来因09:47发现并移除非本批宽扫、磁盘静置这一明确外部状态变化而进入一次新的恢复评估；这不把复发省略为普通断点，也不授权在镜像终态之前启动全量probe或任何bulk ASR。

### 20.1 09:47—09:54 UTC：外部宽扫争用移除、重验恢复门与观察性恢复

09:47Z的只读`lsof/ps`检查发现，同一ChatGPT/Codex父进程PID 36967之下有两个不属于本批次的宽范围扫描已经运行约27—28分钟：PGID 77545的`find`从`/tmp`、`〔本地资料路径省略〕`和`〔本地资料路径省略〕`全树寻找海报；PGID 78468的`rg`扫描`〔本地资料路径省略〕`与`〔本地资料路径省略〕`寻找YouTube链接。同期`disk9`约为164—174 tps、2.3—2.4 MB/s随机读。现有证据不能证明这两个宽扫是两次停滞的唯一根因，但它们明确违反“避免对同一ACASIS机箱增加额外媒体扫描”的执行边界，并形成可观测的I/O争用。

09:47:44Z只终止上述两个进程组，没有触碰、移动、改名或删除任何数据，也没有操作镜像数据结构。随后`disk8/disk9`连续样本均为0 MB/s；QuickLook进程仍持有静态文件描述符，但观察窗口未见对应磁盘吞吐。两分钟静置构成相对于09:45 hold的明确外部状态变化，但这只说明争用条件被移除，不能由此证明硬件无故障或把全部停滞归因于宽扫。

09:50:39Z再次严格核对两卷UUID、manifest SHA-256、无活动flock、owned partial及同名final关系、目标约4.53 TB可用空间高于1.5 TB保留线、已登记源边界未再漂移，并确认没有残留宽扫。全部门通过后，09:50:40Z沿既有launchd与`--resume`语义恢复；当前镜像PID为30509，会话为`20260714T095042Z-2286a6abafee`。该会话很快越过此前停在的第三项4,562,092,032 B对象，并至少继续复核到7,218,953,892 B文件；观察期间持续写入源／目标SHA一致事件且CPU活跃。因此可记录为“在外部争用移除后恢复了可观察吞吐”，但仍须继续监督，不宣称故障根因已经唯一确定。

09:54Z重新bootstrap post-mirror v4 runner为PID 34666、Spotlight waiter为PID 34668。v4当前为`waiting / wait_for_mirror`、`last_error=null`；源卷索引仍为enabled、目标卷仍为disabled。两项后继任务只等待镜像成功终态，没有运行final fixity、扩展6,154路径、全量probe或bulk ASR。若镜像再次连续无进度、出现I/O错误、校验冲突、卷掉线、容量跌破保留线或源树再漂移，必须再次fail-closed停止破坏性动作并保留证据，不得将本次恢复变成自动重试循环。

headingPath: 全量视频字幕与内容识别流水线

text: 全量视频字幕与内容识别流水线

kind: p

headingPath: 全量视频字幕与内容识别流水线

text:
[!summary] 一句话决策
“全量”不是给 6,154 个视频路径盲目生成 6,154 份 SRT，而是让 每一个视频路径都有可审计的 resolved_outcome ；在去重、可读性、音轨、语音与权利检查之后，让 每一个独立、可读取、确有言语内容且获准进行本地 ASR 的资产 得到一套可追溯的机器字幕包。

headingPath: 全量视频字幕与内容识别流水线

text:
[!success] 当前已经进入执行态
READY-B 已与 READY-A 完成稳定性复核并封存为 READY_SEALED ； 12TMAC02 目标根目录已经建立，《冰山》 DJI_0016.MP4 的本地双引擎试点已成功，全量镜像也已启动。这里的“执行态”只表示批次封存和基础链路开始运行， 不表示镜像已经完成，更不表示 6,154 个视频路径已经全部获得语音字幕 。

headingPath: 全量视频字幕与内容识别流水线

text:
[!important] 批次级本地转写权限已落账
Owner指令已写入 2026-07-13-ready-sealed-local-asr-authorization.json ，仅对本批开放 LOCAL_ASR_ALLOWED ，同时锁定 restricted / machine_unreviewed / public=no / cloud=false / source_write=false 。它允许内部归档转写，不使公开、AI训练、声纹识别或项目确认获得默认授权。运行器必须校验该文件的批次、manifest SHA-256、许可字段和文件哈希；没有这道门时不得执行全量 run --execute 。

headingPath: 全量视频字幕与内容识别流水线

text: 上一卷：04-首批项目路由与三十天执行顺序-2026-07-13（馆内参考，未随本文公开）｜返回P4素材盘项目式归档总入口（馆内参考，未随本文公开）｜下一卷：暂无

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 一、封存后的权威分母：先把“有多少”说准确

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 2026-07-13 09:15 PDT 的 READY-B 与 08:45 的 READY-A ，以 relative_path + bytes + mtime UTC 为比较键复核，结果为：

kind: pre

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text:
added   = 0
removed = 0
changed = 0
batch_status = READY_SEALED

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 因此，以下数字不再只是 READY 候选 A 的观察值，而是本批次封存清单的权威路径级分母：

kind: tr

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 指标 READY_SEALED 权威清单 相对旧基线 证据含义

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 文件路径 21,299 +116 尚未等同于独立数字资产

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 目录 529 — 目录结构计数，不进入资产分母

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 总字节数 4,419,913,652,206 B 约 +0.488 TB 十进制约 4.420 TB ，以精确字节值为权威

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 视频路径 6,154 +114 依据扩展名识别，不代表均可解码、有音轨或有言语

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 新增 XML 2 +2 来自 子丑破月 ，应作为伴随元数据候选处理

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 新增 MP4 114 +114 来自 子丑破月 ，尚待哈希、探测、权利与项目关系确认

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 旧基线为 21,183 个文件、3.932 TB、6,040 个视频路径；本轮新增共 116 个文件，全部位于 子丑破月 ，由 114 个 MP4 与 2 个 XML 构成。这里必须保留三个边界：

kind: li

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 本批次已经 READY_SEALED ，但封存清单并不等于 21,299 个路径已经全部写入 Archive v2，也不等于镜像已经完成。

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 6,154 是视频路径数，不是独立视频资产数 ；只有 SHA-256 解析后才能知道 unique_video_assets 。

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 路径所暗示的项目归属仍是 candidate/probable ，不能因为字幕内容“看起来像某个项目”就自动升级为确认关系。

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 因此，本工程同时维护两类分母：

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 路径分母： discovered_video_paths = 6154 ，用于保证没有漏扫任何入口；

headingPath: 一、封存后的权威分母：先把“有多少”说准确

text: 资产分母： unique_video_assets ，哈希后生成，用于避免重复转码、重复 ASR 与重复字幕。

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: 二、什么叫“完成”：结果不是只有“转写成功”

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: 全量工程的第一目标是 闭合路径责任 。每条视频路径最终必须落入一个明确、可复查的 resolved_outcome ：

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: resolved_outcome 含义 是否算路径已解决 是否进入 ASR 分母

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: transcribed 已生成并校验机器字幕包 是 是

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: existing_transcript_reused 已有合格字幕版本，完成关系复用 是 是

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: exact_duplicate_reused SHA-256 完全相同，复用同一资产与字幕 是 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: no_audio_stream 容器内无音频流 是 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: silence_only 有音轨但只有静音或近静音 是 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: non_speech_audio 只有音乐、环境声等非言语声音 是 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: rights_hold 权利判断不足，暂缓处理 是 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: sealed_no_asr 封存材料明确不允许自动转写 是 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: unsupported_codec 当前本地解码链不支持 是，但进修复队列 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: probe_failed 探测失败，需重试或人工诊断 是，但进修复队列 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: corrupt 文件损坏或有效数据不完整 是，但进隔离队列 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: withdrawn 权利人或档案责任人要求撤回 是 否

headingPath: 二、什么叫“完成”：结果不是只有“转写成功”

text: NO_AUDIO 、 NON_SPEECH 、 EXACT_DUPLICATE 、 RIGHTS_HOLD 、 UNSUPPORTED/CORRUPT 都是合法的完成状态，而不是“失败后留空”。尤其不能用空白 SRT 伪装无音轨材料已经完成。

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: 三、状态机：一条视频路径怎样变成可追溯字幕

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: 不能把这条状态机压成一个“字幕状态”字段。至少要分别保存：

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: asset_resolution_status ：路径是否解析到独立 P4-A；

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: probe_status ：容器、编解码器与音轨能否读取；

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: speech_status ：有无言语内容；

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: ai_transcription_permission ：是否允许本地机器转写；

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: transcription_status ：ASR 和技术校验进度；

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: review_status ：机器稿、文本校对、说话人确认的层级；

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: publication_status ：是否经过独立公开审批；

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: resolved_outcome ：该路径在本轮最终如何闭合。

headingPath: 三、状态机：一条视频路径怎样变成可追溯字幕

text: 这样才能区分“技术上可做但尚无授权”“已有机器稿但未校对”“校对过但不可公开”等完全不同的事实。

text: 四、九步流水线

headingPath:
四、九步流水线
1. 批次冻结与 READY 握手

text: 1. 批次冻结与 READY 握手

headingPath:
四、九步流水线
1. 批次冻结与 READY 握手

text: 本轮 READY 握手已经完成：READY-B 相对 READY-A 在 relative_path + bytes + mtime UTC 上为 0 added、0 removed、0 changed，批次状态为 READY_SEALED 。批次运行期间不接受源目录继续变化；若创作者继续拷贝，新文件进入下一批，而不是悄悄混入正在运行的清单。每批保留只读 manifest、文件大小、mtime 与源路径；任何转写产物都不得写回 〔本地资料路径省略〕 源树。

headingPath:
四、九步流水线
2. 哈希与资产解析

text: 2. 哈希与资产解析

headingPath:
四、九步流水线
2. 哈希与资产解析

text: 为路径计算 SHA-256，先解析为 Archive v2 的 P4-A：

headingPath:
四、九步流水线
2. 哈希与资产解析

text: 完全相同的 SHA-256 只建立一个 digital_assets 记录；

headingPath:
四、九步流水线
2. 哈希与资产解析

text: 多个原始路径写作同一资产的 location/路径证据，不复制字幕；

headingPath:
四、九步流水线
2. 哈希与资产解析

text: 查询 Archive v2 是否已有该资产的主字幕，符合要求则复用，不重新耗算力；

headingPath:
四、九步流水线
2. 哈希与资产解析

text: 项目名、日期、文件名和所在文件夹都不能生成稳定 ID。

headingPath:
四、九步流水线
3. 全量 ffprobe 与音轨枚举

text: 3. 全量 ffprobe 与音轨枚举

headingPath:
四、九步流水线
3. 全量 ffprobe 与音轨枚举

text: 对每个独立、可支持的视频资产执行只读探测，记录容器、时长、视频编码、音频流数量、每一条音频流的 stream index、codec、sample rate、channel layout、语言标签、default 标记、时长与音频指纹。不得假设“第 0 条音轨就是应该转写的主混音”。

headingPath:
四、九步流水线
4. 本地语音初筛

text: 4. 本地语音初筛

headingPath:
四、九步流水线
4. 本地语音初筛

text: 在本地进行静音、非言语音频、语音段落和语言候选判断。初筛只决定队列，不确认人物身份、项目归属或公开价值。音乐、掌声、环境声可成为辅助标注，但不是默认 ASR 文本。

headingPath:
四、九步流水线
5. 权利预检

text: 5. 权利预检

headingPath:
四、九步流水线
5. 权利预检

text: 先检查授权状态、可见级别和敏感性，再抽音频。 ai_transcription 是独立许可，不可由“可以保存”“可以内部观看”或“可以公开放映”自动推导，更不能与 ai_training 、声音克隆、人物识别和生成式使用混为一谈。

headingPath:
四、九步流水线
6. 确定性音频提取

text: 6. 确定性音频提取

headingPath:
四、九步流水线
6. 确定性音频提取

text: 音频只提取到独立 scratch/derivative 盘：使用固定采样率、声道策略和工具版本，记录命令、源 SHA-256、音轨索引、时间基与处理配置。scratch 是可重建的工作区，不是永久保存副本；不得在空间不足时删除源盘文件换取容量。

headingPath:
四、九步流水线
7. 本地 ASR 与说话人分段

text: 7. 本地 ASR 与说话人分段

headingPath:
四、九步流水线
7. 本地 ASR 与说话人分段

text: 模型、推理、VAD、语言检测和可选 diarization 全部在本地完成， 不上传云端或外部 API 。ASR 的输入键必须包括源资产 SHA-256、音轨/声道、目标语言、模型与版本、配置和流水线版本，以便幂等复跑。

headingPath:
四、九步流水线
8. 产物校验与 Archive v2 导入

text: 8. 产物校验与 Archive v2 导入

headingPath:
四、九步流水线
8. 产物校验与 Archive v2 导入

text: 校验时间码递增、片段不越界、VTT/SRT 可解析、UTF-8、JSONL schema、产物 SHA-256 与 manifest 一致；随后进行幂等导入。所有失败都有显式错误码和重试次数，不能只留下日志中的一句报错。

headingPath:
四、九步流水线
9. 人工复核与发布分离

text: 9. 人工复核与发布分离

headingPath:
四、九步流水线
9. 人工复核与发布分离

text: 机器稿首先是内部工作资产。文本复核、说话人确认、权利复核、隐私处理、发布审批分别签名；公开发布必须经过既有 G5/H4 门槛。机器字幕完成不等于字幕真实、不等于人物已确认，更不等于获准公开。

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 正确的关系是：

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 实施规则：

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: transcripts.asset_id 指向 源视频资产 ，不是 VTT 或 SRT 文件。

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: VTT、SRT、JSONL、TXT 是不同字节序列，分别拥有自己的 P4-A 与 SHA-256；它们不是源视频的多个 location。

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 字幕产物可通过同一 archive item 的 item_assets 以 subtitle 、 full_text 、 attachment 等角色连接；更稳妥的未来增量迁移是增加 transcript_artifacts 连接表，明确 transcript_id 、 artifact_asset_id 、 artifact_role 与 version 。不另建第三套字幕数据库。

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 新转写使用 P4-TX-<16HEX> 一类数据库生成代码并保留既有 legacy code；不能从项目名、路径或日期拼稳定编号。

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 已入账版本不原位覆写。换模型、修正正文或人工校对均新增 version ；同一源资产、语言、类型和版本保持唯一，并明确 primary。

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 转写所属项目通过源视频、archive item 与 item_projects 继承。源关系若是 candidate，字幕关系仍是 candidate；内容推断最多生成 machine candidate，不能自动确认。

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 每个 P4-TX 必须能落到一个项目关系，或显式进入 unmapped_hold ，不得项目字段空白。

headingPath: 五、Archive v2：源视频、转写文本与字幕文件不是同一个对象

text: 本机路径只进入受控 location/导入账，不序列化到 transcript 正文或公共数据库字段。

text: 六、产物目录与文件格式

text: 未经人工复核的机器稿先进入受限区；只有完成相应用途审核的版本才复制为工作或公开衍生件。项目包只保存 transcripts.csv 索引和关系，不复制全量字幕：

text: 所有文本采用 UTF-8 无 BOM、LF 换行；内部时间统一为整数毫秒；每个文件都写 SHA-256。各格式的责任不能混淆：

text: 文件 责任

text: manifest.json 全局来源、权利、模型、配置、音轨、时间基、版本与哈希入口

text: segments.jsonl 无损的规范片段层，保存时间码、重叠、说话人候选、置信度与审核状态

text: words.jsonl 可选词级时间码，用于精细校准，不要求所有模型都生成

text: captions.vtt 首选显示与网页交换格式

text: captions.srt 面向剪辑软件和旧播放器的兼容衍生格式

text: transcript.txt 搜索和快速阅读，不作为时间码证据

text: quality.json 技术校验、低置信区间、时间漂移与错误统计

text: review.tsv 保留不可变机器候选列，另设人工修订、身份依据、审核者与时间列

text: manifest.json 至少记录： source_asset_code 、源 SHA-256、 transcript_code 、语言、类型、版本、音轨索引、声道范围、源/代理关系、模型及版本、配置摘要、pipeline 版本、开始/结束时间、转写许可、可见级别、产物哈希和 resolved_outcome 。

text: segments.jsonl 至少记录： sequence 、 start_ms 、 end_ms 、 speaker_label 、 text 、 language_code 、 confidence 、 speaker_attribution_source 、 review_status 与可选 metadata 。语言使用 BCP 47：如 zh-Hans 、 zh-Hant 、 en 、 und 、 mul ；源音轨语言与字幕文本语言分别保存，翻译必须另建 transcript_type: translation 。

text: 置信度只保留模型原生含义：不同 provider 的数值不可直接横比，无数据时为 null；人工确认写入审核字段，不能把 confidence 粗暴改成 1。

headingPath: 七、说话人：先匿名分段，后证据确认

text: 七、说话人：先匿名分段，后证据确认

headingPath: 七、说话人：先匿名分段，后证据确认

text: 机器 diarization 只生成 SPK_00 、 SPK_01 等局部标签，不生成 PER 编号。

headingPath: 七、说话人：先匿名分段，后证据确认

text: speaker_person_id 只允许在 manual 或 self_identified 证据下写入；机器或导入候选保留为 label。

headingPath: 七、说话人：先匿名分段，后证据确认

text: 片段重叠在 JSONL 规范层保留。VTT/SRT 为显示需要可以展平，但不得反过来抹掉规范层的重叠事实。

headingPath: 七、说话人：先匿名分段，后证据确认

text: 笑声、音乐、掌声、噪声等写作 captions/metadata 候选，而不是伪装成人物发言。

headingPath: 七、说话人：先匿名分段，后证据确认

text: 空白和静音可成为 quality/machine annotation，不创建空 transcript。

headingPath: 八、特殊格式与棘手材料的明确处置

text: 八、特殊格式与棘手材料的明确处置

headingPath: 八、特殊格式与棘手材料的明确处置 BRAW

text: BRAW

headingPath: 八、特殊格式与棘手材料的明确处置 BRAW

text: BRAW 单独成批，使用可验证的本地解码链，并完整保留 sidecar。若 ASR 实际来自代理文件，必须记录代理资产、原始 BRAW、timebase/offset 变换和至少三个锚点校验；不能把 BRAW 直接丢进通用 MP4 队列后假定时间码一致。

headingPath:
八、特殊格式与棘手材料的明确处置
AVC 与 BDM

text: AVC 与 BDM

headingPath:
八、特殊格式与棘手材料的明确处置
AVC 与 BDM

text: AVC、BDM 先探测再判断：它们可能是裸码流、设备元数据、无音轨文件或当前工具不支持的容器。 no_audio_stream 与 unsupported_codec 都是有效结果，不得靠改扩展名强行运行。

headingPath: 八、特殊格式与棘手材料的明确处置 多音轨与多声道

text: 多音轨与多声道

headingPath: 八、特殊格式与棘手材料的明确处置 多音轨与多声道

text: 完整枚举 stream index、codec、sample rate、channel layout、language、default、duration 和 fingerprint。默认只转写经确认的主混音，同时保存其他轨的机器检测信息。现有 transcript 唯一约束尚不足以安全表达“同一源资产、同一语言、同一类型但不同音轨”的并存版本；批量逐轨导入前应增补 audio_stream_index 、 channel_scope 并调整唯一性。迁移完成前，每个源资产只导入一个经确认的主混音 transcript；其他逐轨结果仅作受控 artifact，不冒充主字幕。

headingPath: 八、特殊格式与棘手材料的明确处置 重复、近重复与不同剪辑

text: 重复、近重复与不同剪辑

headingPath: 八、特殊格式与棘手材料的明确处置 重复、近重复与不同剪辑

text: SHA-256 完全相同：同一 P4-A、同一 transcript，多路径复用。

headingPath: 八、特殊格式与棘手材料的明确处置 重复、近重复与不同剪辑

text: 视频编码不同但音频指纹、时长和 timebase 对齐：必须完成音频对齐和三个锚点验证，才可生成资产特定字幕版本并记录来源变换。

headingPath: 八、特殊格式与棘手材料的明确处置 重复、近重复与不同剪辑

text: 只有固定 offset：保存变换参数并抽查开头、中段、结尾。

headingPath: 八、特殊格式与棘手材料的明确处置 重复、近重复与不同剪辑

text: 剪辑点、音轨或时长不同：重新 ASR，不能机械复制时间码。

headingPath: 八、特殊格式与棘手材料的明确处置 重复、近重复与不同剪辑

text: 既有 SRT/VTT：作为独立 P4-A 导入，attribution 标记 imported ；它是一个历史版本，不自动成为 ground truth。

headingPath: 八、特殊格式与棘手材料的明确处置 重复、近重复与不同剪辑

text: 画面烧录字幕：OCR 是另一条 machine candidate 流水线，与声音 ASR 分开保存和比对。

headingPath: 八、特殊格式与棘手材料的明确处置 无音轨、音乐、损坏

text: 无音轨、音乐、损坏

headingPath: 八、特殊格式与棘手材料的明确处置 无音轨、音乐、损坏

text: 无音轨不生成 transcript row 或空 SRT。纯音乐/非言语音频写 non_speech_audio ；如未来需要无障碍字幕，可人工审核后制作 [音乐] 、 [掌声] 等 captions 版本。损坏和探测失败进入隔离、重试与人工诊断队列，源文件保持原样。

headingPath: 九、权利、隐私与本地计算边界

text: 九、权利、隐私与本地计算边界

headingPath: 九、权利、隐私与本地计算边界

text: 新材料的保守默认值应为：

headingPath: 九、权利、隐私与本地计算边界

text:
visibility: private
authorization_status: unknown
workflow_status: draft
ai_transcription_permission: pending
ai_training_permission: no

headingPath: 九、权利、隐私与本地计算边界

text: 机器转写会把原本难以检索的声音变成可全文搜索的文本，因此字幕产物的权限不得低于源材料，原则上应与源相同或更严格。以下内容默认进入 sensitive 、 sealed_local_only 或 rights_hold ：聊天室、监控画面、私人访谈、未成年人、身份证件、联系方式、健康和亲密信息，以及权利不明的第三方电影、音乐和歌词。

headingPath: 九、权利、隐私与本地计算边界

text: 本流水线只授权 本地转写 ：不上传云端，不调用外部识别服务，不进行人脸或声纹身份识别，不用于 AI 训练、声音克隆或生成式再利用。公开文本必须另做隐私、版权、署名和撤回机制审查；机器稿永远不能默认公开。

headingPath: 十、批次、幂等与算力排兵

text: 十、批次、幂等与算力排兵

headingPath: 十、批次、幂等与算力排兵

text: 批次操作标签采用：

headingPath: 十、批次、幂等与算力排兵

text: p4-YYYYMMDD-transcript-<project-or-scope>-NN

headingPath: 十、批次、幂等与算力排兵

text: 按项目候选、权利等级、编码类型和语言分组，而不是把 6,154 个路径一次性投入同一个进程。建议：

headingPath: 十、批次、幂等与算力排兵

text: 试点批次：最多 20 个独立资产或 10 小时音频；

headingPath: 十、批次、幂等与算力排兵

text: 稳定批次：最多 100 个独立资产或 50 小时音频；

headingPath: 十、批次、幂等与算力排兵

text: BRAW、超大文件、多音轨和敏感材料各自独立批次；

headingPath: 十、批次、幂等与算力排兵

text: 每批都要能暂停、恢复、回滚导入，并进行至少一次产物恢复测试。

headingPath: 十、批次、幂等与算力排兵

text: 幂等键应由下列字段计算：

headingPath: 十、批次、幂等与算力排兵

text:
source_sha256
+ audio_stream_index
+ channel_scope
+ target_language
+ model_provider/model_version
+ config_hash
+ pipeline_version

headingPath: 十、批次、幂等与算力排兵

text: 同一键重复运行只返回既有 job/产物，不重复创造字幕记录。最终不可变导入账可沿用已批准的 P4-DIALOGUE-* 批次账口径；日常 processing job 与最终归档账应区分。

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 当前已有一项可核查的执行成果：《冰山》 DJI_0016.MP4 已完成 本地双引擎试点 ，最终资产 location 为 loc-ee88bbc8ebabdb0a518c 。这证明“本地读取 → 双引擎识别 → 结果汇合 → location 落账”的最小链路可以运行；但一个成功样本不能代表 20 资产试点已经验收，也不能代表 BRAW、多音轨、重复、无音轨、敏感材料和既有字幕等分支已经覆盖。

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 随后已建立正式任务账 p4-20260713-video-asr-01 ，并以 p4_local_asr_pipeline.py 2026-07-13.2 完成一个 20路径技术canary 。这20条按manifest顺序取样，不能冒充跨项目分层样本：单worker ffprobe 在约30秒内完成，18条识别为单音轨可转写媒体，2条因 moov atom not found 进入 PROBE_FAILED ；在批次权限文件未应用前，18条全部保持 RIGHTS_HOLD ，证明权限门不会把“技术可转写”直接写成“已获准”。

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: Owner的本批 LOCAL_ASR_ALLOWED 决定经batch、snapshot、manifest SHA-256、源根、输出分级与文件哈希校验后，MLX正式队列又完成1条61.61秒素材： loc-212caca9544144ca1e5b ，结果 TRANSCRIBED 。本次从源SHA-256、音频提取到冷启动推理的总耗时79.885秒，RTF 1.2966；5项规范字幕产物和 done.json 哈希一致，JSON／JSONL严格可解析，scratch清零，权限为 0600 ，状态仍是 restricted / machine_unreviewed / public=no 。它与早期《冰山》试点合计构成2条真实ASR样本，但仍不足以外推全库准确率或总工期。当前canary任务账还保留17条 READY_FOR_ASR 与2条 PROBE_FAILED ，在全量镜像完成前不继续制造I/O竞争。

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 下一步仍须把首批扩展到 20 个独立资产，覆盖以下十种情况：

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 《冰山》当前目录中的 6 个视频样本，但必须先查询 Archive v2，避免重做既有字幕；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个完全重复路径组；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个视频编码不同、音频及时基相同的近重复组；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个无音轨视频；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个音乐或环境声为主的视频；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个多人抢话和重叠明显的视频；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个多音轨视频；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个聊天室、监控或私密材料，只做封存/权利决策，不输出公开稿；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个 BRAW 或其代理链样本；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 一个已有 SRT/VTT 的视频，用于测试版本与来源关系。

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 从中抽取 60 至 90 分钟制作人工参考稿，用 CER、专名错误率、时间漂移、重叠语音、远场语音和处理成本比较本地模型。试点不发布。通过后按既有归档优先级推进：《冰山》→ 实像 →《致幻》→《影子对位法》，再进入《茧房》等后续项目；优先级可因权利状态调整，但必须留变更理由。

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 完整试点验收的最低条件：

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 100% 入选路径完成 SHA-256、probe 和 resolved_outcome ；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 100% 产物有 SHA-256，并通过格式校验；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 源盘修改数为 0，外部上传数为 0；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 完成一次从备份恢复字幕包的演练；

headingPath: 十一、首轮试点：单件链路已经跑通，仍需完成分层试点

text: 未经人工审批的公开字幕数为 0。

headingPath: 十二、KPI：不拿“生成了多少 SRT”冒充完成度

text: 十二、KPI：不拿“生成了多少 SRT”冒充完成度

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
分母

text: 分母

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
分母

text:
discovered_video_paths = 6154
unique_video_assets = 哈希后确定
audio_bearing_assets = probe 后确定
speech_bearing_assets = 本地语音初筛后确定
local_asr_allowed_assets = 权利预检后确定

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: 覆盖率

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: 路径闭合率 = 有 resolved_outcome 的视频路径 / 6,154；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: 独立资产解析率 = 已绑定 P4-A 的独立资产 / unique_video_assets ；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: probe 覆盖率 = 已探测独立资产 / unique_video_assets ；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: 精确重复复用率与避免重复计算时长；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: ASR 资产覆盖率 = 已完成合格机器字幕的资产 / local_asr_allowed_assets ；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: ASR 音频小时覆盖率；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: 字幕包技术校验通过率；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: 项目已连接率与 unmapped_hold 数量；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: 文本复核率、说话人复核率、发布审批率；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
覆盖率

text: probe/ASR 失败率、重试成功率与积压时长。

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
质量

text: 质量

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
质量

text: 分层抽样 CER；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
质量

text: 人名、地名、项目名等专名错误率；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
质量

text: 时间戳漂移 P95；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
质量

text: 低置信分钟数及其人工抽查通过率；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
质量

text: JSONL、VTT、SRT 片段一致性；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
质量

text: 有 SHA-256 的产物比例；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
质量

text: 随机恢复测试成功率。

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
必须长期保持为零的指标

text: 必须长期保持为零的指标

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
必须长期保持为零的指标

text: 源材料被流水线改写： 0 ；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
必须长期保持为零的指标

text: 原始声音或视频上传外部服务： 0 ；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
必须长期保持为零的指标

text: 完全重复资产造成的重复 ASR： 0 ；

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
必须长期保持为零的指标

text: 未复核机器稿公开发布： 0 。

headingPath:
十二、KPI：不拿“生成了多少 SRT”冒充完成度
必须长期保持为零的指标

text: no_audio_stream 、 silence_only 、 non_speech_audio 、精确重复和权利暂缓都计入路径闭合率，但不进入 ASR 应完成分母。这样，“全量”才是一套对每条材料负责的档案制度，而不是一场以字幕数量为指标的算力表演。

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 十三、执行看板：四个硬门槛的当前完成度

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 硬门槛 当前状态 已验证事实 下一动作

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 封存可验证 manifest 已完成 READY-B 相对 READY-A 为 0 added、0 removed、0 changed；批次 READY_SEALED ；权威清单为 21,299 文件、529 目录、4,419,913,652,206 B、6,154 视频路径 保持源盘只读；任何新增材料进入新批次

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 20路径技术canary 已完成 20条完成单worker probe：18条单音轨、2条 moov atom not found ；权限文件应用后1条正式MLX机器稿成功，产物严格解析与哈希通过，scratch为0 保留技术证据；不把顺序样本写成分层质量样本

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 20资产分层试点 执行中 现有2条真实ASR样本：《冰山》双引擎试点与正式队列1条MLX样本 镜像完成后补齐跨项目、重复、无音轨、非语音、多音轨、BRAW、敏感和既有字幕分支

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 多音轨 schema 部分完成 probe任务账已记录 audio_stream_count/index 并把多音轨阻断，不会盲选；Archive v2尚未导入 增加人工主音轨选择、 channel_scope 、多字幕关系与唯一性迁移

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 独立实体镜像 已恢复推进、未完成 既有10,245个final复核完成后，新复制阶段累计298件／256,734,203,383 B且零SHA冲突；09:16与09:31两次无进度后09:45安全封停。09:47只读诊断发现两个非本批全树宽扫造成明确I/O争用；只终止对应进程组并静置后，09:50完整重验恢复门并启动PID 30509／会话 20260714T095042Z-2286a6abafee ，已越过此前4.56 GB项并持续产生SHA一致事件 继续观察恢复吞吐；禁止同机箱额外媒体／全树扫描。仍须完成21,299件与terminal receipt，且不把宽扫写成唯一根因或硬件无故障证明

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 镜像未完成之前，不能宣称 12TMAC02 已经形成完整保护副本；单件 ASR 成功也不能把未处理路径标成 transcribed 。当前规模化执行的正确顺序是：先让镜像和校验闭合，再按批次推进哈希、probe、语音判断、权利预检与本地 ASR，最终保证 全部 6,154 个视频路径都有 resolved_outcome 。其中无音轨、纯音乐、精确重复、权利暂缓、损坏或不支持的路径可以得到合法的非字幕结论；全路径闭合从来不等于每条路径都必须产生语音字幕。

headingPath: 十三、执行看板：四个硬门槛的当前完成度

text: 当四个门槛全部闭合后，字幕工程才从已启动的执行链路升级为 P4 的长期档案基础设施：每一份机器文本知道自己从哪一段声音来、使用了什么模型、能被谁看到、属于哪个版本、与哪个项目有何种证据关系，并且在错误、争议与撤回发生时，可以沿着关系账精确纠正，而不伤害原件。

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: com.p4.archive.postmirrorprobe.ready01 最初加载的v2026-07-14.2已经在2026-07-14约05:00 UTC由一次受控 bootout/bootstrap 替换；固定工具为 p4_post_mirror_probe_runner.py 2026-07-14.4 ，SHA-256为 58be4336b6766e676275fd1e1bdd11495793a66997740f6be8c855f7560b067f 。现有plist传入 --poll-seconds 300 ，部署effective config SHA-256为 b22d3d8261191e1af1f8df9041d533d7509df27c182901affd515610c95cbda9 。它在09:45 UTC故障保持时曾为避免误接力而unload；09:54Z镜像恢复稳定产生SHA一致事件后重新bootstrap为PID 34666，当前仍为 waiting / wait_for_mirror 、 last_error=null 。只有镜像取得成功终态并同时满足以下条件才可接力：

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 最新镜像session以 complete=true 结束，launchd进程停止且镜像flock释放；

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 同一session的JSON／CSV receipt与21,299行、4,419,913,652,206 B和源—目标SHA全部一致；

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 两块卷UUID、manifest SHA、工具SHA、精确漂移许可与源树“probe前两遍＋report后一遍”元数据门都未漂移；

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 目标盘仍保有1.5 TB以上可用空间。

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 过门后它依次生成final fixity五件套、把现有20条队列幂等扩展到6,154条、用4个worker做全量 ffprobe 、导出状态与CSV。运行器对ASR子命令的白名单只有 init / probe / status / export-queue ，代码和参数层均拒绝 run 及 --execute ；因此它能自动把“这些文件究竟能不能读、有几条音轨”闭合，不会跳过重复复用、语音判断、20资产质量试点和人工抽审直接制造数千份低质量字幕。

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 对现有ASR脚本的二次审查确认：它已具备逐件恢复、单GPU工作、权限门和原子产物写入，但尚未实现精确SHA字幕复用、内嵌字幕复用和多音轨主轨选择；此外，断电恰好发生在稳定产物已写入而 done.json 未提交的窗口时，下次执行会以 OUTPUT_CONFLICT 停队。因此目前 有意不挂载无人值守的全量 run --execute ：先用全量probe得到时长、音轨和异常分布，再生成确定性去重／例外计划，修复中断恢复窗口，完成20资产分层质量门后才分批运行。这不是缩小“全量”目标，而是避免把重复文件、空字幕、错音轨和不可恢复中断写成假的完成数。

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 为降低同一ACASIS外置机箱中源—目标双盘的Spotlight随机读竞争， 12TMAC02 索引仍为disabled， 12TMAC01 为enabled。09:45 UTC进入故障保持时，独立标签 com.p4.archive.spotlightrestore.ready01 曾先于post-mirror runner卸载；09:54Z已重新bootstrap为PID 34668，但只等待镜像成功终态，当前不会提前改变索引状态。这一临时状态不改写 〔本地资料路径省略〕 的任何文件，也不是硬盘健康判断。

headingPath: 十四、自动接力器：镜像完成后先全量probe，不盲跑全量ASR

text: 2026-07-14另建立Codex心跳监督 P4 素材归档监督 （automation id p4-2 ），每15分钟复核launchd状态、卷UUID、progress/receipt/status/log与1.5 TB保留线。第一次持续无进度后曾在全部恢复门通过时使用既有 --resume ；第二次同型无进度复发后，09:45策略升级为incident hold。该hold仅在09:47发现并移除两个非本批宽扫、磁盘静置两分钟这一明确外部状态变化后解除，且09:50重新通过UUID、manifest、源边界、flock、partial归属与容量门。监督不得改写源盘、不得增加同机箱媒体扫描，也不得绕过去重、音轨、质量与中断恢复门盲跑bulk ASR。若再次异常停止，仍须fail-closed重新判断，不自动循环resume。

text: 十五、19:12 UTC SHA-256冲突与安全暂停

text: 2026-07-13 19:12:55 UTC，镜像脚本在 3P/小视频/HF_2021_06_12_18_44_32.mp4 的同名 .p4mirror.partial 发布前重读中发现源—目标SHA-256不一致。该件为742,315,576 B；脚本以 safety_or_integrity_error 和exit 2结束，未将partial原子改名为final，也未覆写既有final。当时session在冲突前报告481件／191,710,070,339 B新复制完成，全局append-only账中已有502件／196,799,232,165 B的 copied 事件。

text: 因submitted launchd带 keepalive ，该job在19:12:57 UTC自动重启并从头重验已有final。监督器识别出校验冲突后于19:25 UTC移除 com.p4.archive.mirror.ready01 ，防止在未诊断前循环截断partial和重读约200 GB既有镜像。被移除进程在内核 U 型I/O等待返回后已退出，mirror flock可非阻塞获取；两卷UUID、manifest SHA与1.5 TB保留线均再验通过。IORegistry报告源—目标物理盘的read/write error与retry计数均0；这只说明底层未报错，不能消解本次字节级不一致。

text: 错误partial已从payload原子移到 99_system/integrity-diagnostics/20260713T191255Z-HF_2021_06_12_18_44_32/mismatched-original.p4mirror.partial ，诊断重拷贝、 incident.json 和 diagnostic-result.json 同目录保存。镜像已改为 KeepAlive=false 的持久LaunchAgent，于19:41:01 UTC以session 20260713T194101Z-5dd835e4d1c4 恢复，已开始重验既有final；若再发生任何integrity error，job会停留供诊断，不再自动循环。post-mirror probe和Spotlight恢复器也已重启为waiting；Spotlight恢复脚本同时加入了 mdutil -s 双卷结果复验，不再将“命令返回0但输出报错”记成completed。

text: 19:41 UTC恢复会话完成了502件既有final的逐件SHA-256重验。21:13:07 UTC它重新复制原冲突文件，21:13:20 UTC以源—目标同为 95c5a7e8736a26358bf111853db9db7f2deaa0e5b2223f3b97288037969312d1 的 copied 事件原子发布final，随后已继续越过该路径复制新文件。21:21 UTC全局进度为554件／226,907,299,817 B，本恢复会话在重验502件后新复制52件， run_stopping=0 。因此可将“本次冲突的安全恢复”标记为已验证，但全批镜像和终态fixity仍未完成。

text: 十六、02:52 UTC封存后增量与固定manifest恢复

text: 2026-07-14 02:52:40 UTC，心跳监督发现 〔本地资料路径省略〕 根目录fingerprint从封存时的 dev=16777254 / inode=135488 / mtime=ctime=1783957313 变为 mtime=ctime=1783997082 。这构成源树封存边界漂移。监督器没有把“镜像仍能读”当成安全证明，而是立即向PID 5492发送 SIGTERM ；进程约2秒后退出，flock释放，既有final未被覆盖，正在复制的 HF_2020_12_19_12_54_41.mp4 只留下由既有 copy_started 事件证明归属的260,046,848 B partial。

text: 为避免再次扫描整套媒体，只对根层、发生mtime变化的父目录与manifest做浅层集合比较。结果定位出两个封存后对象：

text: 根层新增空目录 幸福王国 ；

text: 王亚男 风车 TV/ 新增 DJI_0298.MP4 ，85,274,805 B。

text: 两者均不在21,299行权威manifest内；根层与 王亚男 风车 TV/ 在对应浅层比较中均无manifest成员消失。根 .DS_Store 的mtime／ctime发生变化，但当前源文件、镜像中既有final与早先progress记录的SHA-256仍同为 de593351c97a4ac9ee7404bc82e5ac338419974f7d7b82787de87886aec91a04 ，因此这是已核实的元数据时间变化，不是内容变化。上述新增对象不得暗中进入当前批次，必须在以后重新执行READY握手时进入新批次。

text: 监督器随后复核两卷UUID、manifest SHA、JSONL零损坏、无活动flock、partial所有权与4.78 TB左右可用空间，确认均满足既有 --resume 前置条件。事故账保存于 〔本地资料路径省略〕 ，SHA-256为 8bc1e873dab2880979257a961712abaa9e7ad1b171fbe49c321f7b5e01fa6552 。02:57 UTC以LaunchAgent启动新会话 20260714T025724Z-fa8e148346ba ；首两项 .DS_Store 与 3P/.DS_Store 已获得源—目标SHA一致的 resume_verified 事件，说明固定manifest恢复链路已经重新工作。

text: 本次处置只证明“两个新增对象被排除、已有 .DS_Store 内容未变、恢复前置条件通过”；它不把当前源根重新宣称为原始READY-B状态。新会话将继续逐件复验已有final，并在复制未完成manifest成员时做源—目标SHA-256校验。镜像后的source metadata gate还必须显式识别这份已登记的out-of-batch增量，不能静默忽略，也不能把它误并入当前6,154条视频路径分母。

text: 镜像停止窗口内，post-mirror runner在02:56 UTC按设计把“launchd镜像未运行且progress未完成”记为 blocked 并退出；这不是新的媒体校验冲突。镜像恢复后已重新启动该runner，03:00 UTC进入 verify_manifest 且 last_error=null ，随后只会回到等待镜像终态的状态，不会触发bulk ASR。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

text: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

text: 02:52 UTC事故不能靠“忽略manifest以外对象”草率收口。当前批次新增了一份单独、SHA钉死且无通配符的许可账：

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

text: 它接受的不是“这个目录以后都可以变”，而是三个封闭事实：

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

text: 当前精确的 非许可目录路径集 有528条，路径集摘要为 daa7a167ae076dffaa326851d4ffe521410099e8725bfac5b3485c45d1b080ae ；再加唯一获准且必须保持为空的 幸福王国 ，当前总数仍为529。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

text: 唯一获准的非manifest文件是 王亚男 风车 TV/DJI_0298.MP4 ，只按当次记录的路径、类型、字节、inode、mode、mtime、ctime与birth time逐项比对；本许可不打开、不哈希它，也不把它加入21,299文件或6,154视频分母。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

text: 根 .DS_Store 是唯一manifest元数据例外，只允许那一次mtime差异；每次过门仍须重算源文件与既有目标final，且两者都必须等于 de593351c97a4ac9ee7404bc82e5ac338419974f7d7b82787de87886aec91a04 以及terminal receipt中的同一路径SHA。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态

text: 这里必须保留一条不能补造的证据边界：READY-B只保存了“含根共529个目录”的计数，没有保存当时529条目录路径身份。事故后可接受状态是“528条非许可目录＋1条已登记空目录＝529”，但现有证据 不能证明READY-B时缺席空目录的名字和身份 ；“发生过移动或改名”只能作为一种可能推断，不能写成事实。以后任何新增、消失、路径集摘要变化、许可对象fingerprint变化或 .DS_Store 再次变化，都必须重新立事故账与新许可账，不能沿用本次例外。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: v4实现的闭合范围

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: p4_post_mirror_probe_runner.py 2026-07-14.4 的已部署SHA-256为 58be4336b6766e676275fd1e1bdd11495793a66997740f6be8c855f7560b067f ，状态文件改为 post-mirror-probe-runner-status-v4.json 。它在真正写入fixity或队列前后增加了以下fail-closed闭包：

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: 镜像终态权威 ：先以最新成功 run_finished 、launchd退出与镜像flock释放作为观察，再取得镜像自己的排他flock；receipt读取前后必须是完全相同的progress设备、inode、mtime、ctime、字节前缀SHA、行数、session和终态。该flock持续持有到successor全部结束，防止新镜像会话在检查和使用之间插入。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: receipt与final fixity同一作用域 ：terminal JSON／CSV receipt须完整覆盖21,299行与4,419,913,652,206 B，逐路径源—目标SHA相等，并按manifest顺序计算全量scope摘要；final fixity五件套再以同一session和scope复验。summary、path fixity与exact-SHA duplicate导出均按固定schema、字段类型、manifest元数据和完整记录比对，完整canonical证据冲突时不得自动改名或覆盖。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: 源树精确漂移门 ：使用descriptor-relative DFS，祖先目录fd保持到子树结束，拒绝symlink、特殊文件与嵌套挂载；probe前做两遍元数据扫描，report后再做一遍且摘要必须相同。manifest成员仍按路径、字节、inode、mtime与birth time比对；两个许可对象只能按精确fingerprint出现；目录按上述528路径摘要闭合。除根 .DS_Store 例外外，runner不打开源媒体正文。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: 6,154路径精确队列 ：队列导出逐行绑定batch、snapshot、卷UUID、source root、location key、相对／绝对路径、字节、inode、mtime与video分类，拒绝同数替换、伪造key、路径别名、未知probe状态和 run_status=running 。probe前后 run_attempts 全作用域摘要必须不变。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: 禁止盲跑bulk ASR ： p4_local_asr_pipeline.py 2026-07-14.1 的SHA-256为 c20a641f6ae91609f961fd476ef589201eecc2220c332181253cc31873364df5 。所有 run --execute 现在先取得 postmirror-successor.freeze.lock 再取 queue.lock ；v4在扩队、probe和最终发布全程持有同一successor freeze。runner自身的子命令白名单仍只有 init / probe / status / export-queue ，任何 run 或 --execute 都会在创建子进程前被拒绝。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: 终端证据封口 ：final status与queue必须来自同一queue lock下的新鲜导出；已存在文件须与新鲜导出完全相符，新建文件在原子发布后须逐字节回读一致。最终completed前再次绑定progress、receipt、fixity五件套、status、queue、manifest、许可账、incident、两卷UUID、目标余量与runner自身SHA。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 v4实现的闭合范围

text: regular file在被 stat 之后发生同inode原位写入，仍存在没有FSEvents journal seal便无法彻底消除的窄观察窗；READY manifest也没有源内容SHA可供本门逐件重算。v4因此把这一点明写进状态证据，不把元数据稳定冒充内容不可变。真正的内容权威仍来自镜像逐件源—目标SHA与terminal receipt。

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 离线验证结果与证据边界

text: 离线验证结果与证据边界

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 离线验证结果与证据边界

text: 本轮只运行了临时目录测试与manifest／许可账解析，没有再次扫描 〔本地资料路径省略〕 媒体树，也没有启动probe、fixity exporter、ASR或launchd重启：

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 离线验证结果与证据边界

text:
PYTHONDONTWRITEBYTECODE=1 python3 -m unittest -v \
  inspool-wiki-zh/scripts/tests/test_p4_post_mirror_probe_runner.py

Ran 17 tests ... OK

headingPath: 十七、封存后漂移精确闸门：受控部署成功、等待镜像终态 离线验证结果与证据边界

text: 17项回归全部使用 TemporaryDirectory ，覆盖未知文件／目录、许可空目录非空、许可文件fingerprint变化、 .DS_Store 同尺寸错内容、等数目录替换、同数伪造queue、ASR执行命令守卫、共享freeze、receipt session与full scope、resume fixity空 event_target_bytes 、duplicate完整元数据、完整fixity不自动quarantine、summary伪造、reporting发布后替换和receipt前后progress替换。另做AST解析以及只读manifest／许可账smoke：21,299行、4,419,913,652,206 B、6,154视频、528＋1目录和上述SHA均通过；红队复核收口为 P0=0 / P1=0 。 这些测试只证明离线逻辑，不证明真实源树此刻已经通过v4门。 真实三遍source gate只会在镜像成功终态后由已部署runner执行。

headingPath:
十七、封存后漂移精确闸门：受控部署成功、等待镜像终态
05:00 UTC受控部署结果

text: 05:00 UTC受控部署结果

text: 2026-07-14约05:00 UTC完成了最小范围的受控部署。操作只对 com.p4.archive.postmirrorprobe.ready01 执行一次 bootout/bootstrap ；没有停止、重启或重载镜像与Spotlight恢复作业，也没有因此读取媒体正文或启动任何后继处理。部署凭据如下：

text: 旧post-mirror进程PID 96920已经退出； post-mirror-probe-runner.lock 的inode为1778704，在重新bootstrap前确认可取得排他锁。新进程PID为89239。

text: 镜像仍为PID 92483，Spotlight恢复器仍为PID 5886；这两个PID在部署前后均未改变，说明替换范围没有越过post-mirror单一job。

text: runner版本为 2026-07-14.4 ，SHA-256为 58be4336b6766e676275fd1e1bdd11495793a66997740f6be8c855f7560b067f ；被钉住的ASR pipeline SHA-256为 c20a641f6ae91609f961fd476ef589201eecc2220c332181253cc31873364df5 ；漂移许可账SHA-256为 c3f88b54576f2383b39eb6863243ffeb0de2ef1146669f05dbc8cd68cf588ebc 。

text: 必须区分两种配置指纹：代码内 默认配置 使用 poll_seconds=60 ，其SHA-256为 04664044f0f4b8b3e8a4967c6a11d4d0cff134667c81e5cfd3f23442dec4d53b ；现有plist实际传入 --poll-seconds 300 ，所以本次部署的 effective config SHA-256是 b22d3d8261191e1af1f8df9041d533d7509df27c182901affd515610c95cbda9 。二者不同是受允许的operator timing override，不是配置漂移。

text: 新v4 status于 2026-07-14T05:00:01Z 开始，当时为 state=waiting / phase=wait_for_mirror 、 last_error=null ；manifest、许可账和工具链的初始校验均已完成。它未取得镜像终态，因此没有提前运行final fixity、扩展6,154路径、执行全量 ffprobe 或触发bulk ASR；09:45曾因incident hold卸载，09:54Z已重新bootstrap为PID 34666并恢复 waiting / last_error=null ，后续状态见第二十节。

text: 部署成功在当时的准确含义只是： 正确版本、正确工具链和实际effective config已经在正确的单一launchd job中等待镜像成功终态。 这份部署证据仍然有效，但job现已因故障保持而unloaded。部署不表示真实源树已经通过三遍source gate，不表示6,154条视频已经probe，更不表示READY-B时刻的位级原貌已被证明。READY manifest的逐行SHA字段原本为空；当前内容权威仍须由镜像逐件源—目标SHA、terminal receipt和后继闸门共同建立。

text: 镜像成功结束后，应让v4自行取得terminal mirror lease，依序完成final fixity、6,154路径扩队、全量probe、报告与terminal seal；不要手工并行启动 init 、 probe 或任何 run --execute 。任一UUID、容量、progress、receipt、fixity、源树、queue或工具校验失败时保持fail-closed，保留status、日志和证据文件供复核，不得以删除canonical证据、放宽许可或绕过freeze来换取“完成”。

headingPath: 十八、08:14 UTC既有final复核完成并转入剩余对象复制

text: 十八、08:14 UTC既有final复核完成并转入剩余对象复制

headingPath: 十八、08:14 UTC既有final复核完成并转入剩余对象复制

text: 2026-07-14约08:14 UTC，恢复会话 20260714T025724Z-fa8e148346ba 完成了02:52 UTC停机前已有的10,245个final的逐件复核。每一件都重新计算当前源文件与目标final的SHA-256并取得一致结果，本轮复核为零冲突；append-only progress.jsonl 的解析检查仍为 malformed=0 。这标志着会话从“重验既有final”转换到“复制尚未完成的manifest对象”，不是21,299件全批完成，也不是镜像terminal receipt已经生成。

headingPath: 十八、08:14 UTC既有final复核完成并转入剩余对象复制

text: 停机时登记的owned partial为 天台上的嚎叫者/3P 天台山的嚎叫者/HF_2020_12_19_12_54_41.mp4.p4mirror.partial ，中断时有260,046,848 B。恢复会话在走到该路径时按既定断点安全语义写入 partial_restart ，没有把旧partial当作已验证前缀续接，而是从零重新复制；源流SHA与目标partial重读SHA一致后，脚本将其原子发布为592,220,006 B final，同名 .p4mirror.partial 随发布消失。随后镜像越过该路径继续复制未完成对象。

headingPath: 十八、08:14 UTC既有final复核完成并转入剩余对象复制

text: 阶段转换后的短时观察显示：约08:14 UTC恢复会话已有至少15个新 copied 事件，稍后的同一轮观察增至18个；这些新发布件的源／目标SHA均一致。 15 与 18 只记录当时恢复会话进入新复制阶段后的动态截面，不应写成长期总数或完成率。容量门同样按时点解释：这些progress事件记录的目标可用空间约4.77 TB， df 只读观测也约4.77 TB，均高于1.5 TB硬保留线；随着后续复制继续，余量会变化，真正约束始终是“不得跌破1.5 TB”，而不是维持某个小数。

headingPath: 十八、08:14 UTC既有final复核完成并转入剩余对象复制

text: 证据措辞继续限定为 固定manifest下的 current-source verified mirror ：READY-B manifest的逐行SHA字段原本为空，所以本轮10,245件复核与随后新复制证明的是“复核／复制时当前源字节与目标字节一致”，不能倒推出每一件仍等于READY-B时刻的位级原貌。post-mirror v4 runner在这一阶段仍保持 waiting / wait_for_mirror ；尚未运行final fixity、扩展6,154路径、全量probe或bulk ASR，也不得因既有final复核完成而提前启动这些后继步骤。

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 十九、09:16—09:31 UTC持续无进度与受控恢复

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 2026-07-14 09:16:31Z之后，镜像会话 20260714T025724Z-fa8e148346ba 的append-only progress停在一个 copy_started 事件，至09:30:57Z约14分钟没有新增进度。对应目标partial为 天台上的嚎叫者/嚎叫者/2020 12.26/DJI_0045.MP4.p4mirror.partial ，当时大小2,065,296,234 B，同名final不存在。只读进程观察显示PID 92483处于 U 态、CPU约0.1%； lsof 只显示它以 5r 打开该目标partial，连续12秒两次 stat 所见大小和时间均未变化。两卷仍然挂载，现有日志未发现明确的磁盘I/O错误。因此本次只登记为 持续无进度／疑似阻塞 ，不把进程状态或短时静止外推为硬盘故障。

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 依据连续无进度停止线，09:30:57Z向旧镜像进程发送SIGTERM；进程在2秒内退出，没有强杀、拔盘或改写源树。恢复前逐项重新确认：

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 源卷与目标卷仍以既定UUID挂载；

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 权威manifest SHA-256仍为 2342c8514dd298da4a4302d4c188789c08ec7e0bcdee4f1006729ef6482592cd ；

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 已登记的源树边界未再漂移；

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 旧进程已退出且无活动mirror flock；

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 2,065,296,234 B partial可由既有 progress.jsonl 的 copy_started 事件证明归属，具备 --resume 恢复条件，同名final仍缺失；

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 目标卷可用空间约4.53 TB，高于1.5 TB硬保留线。

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 全部前置条件通过后，09:31:49Z使用既有launchd配置和同一批次 --resume 机制恢复，没有另造目标树。新镜像PID为93130，新会话为 20260714T093151Z-cb8561fc6e46 。恢复会话先对两个 .DS_Store final完成当前源／目标SHA一致的事件，随后进入第三个约4.56 GB对象复核。这个当时截面只证明恢复会话已经启动且出现两个成功事件， 不足以声称持续吞吐已经完全恢复 ；其后的无进度复发与封停见第二十节。

headingPath: 十九、09:16—09:31 UTC持续无进度与受控恢复

text: 镜像短暂消失时，post-mirror runner按设计fail-closed退出；镜像恢复后仅对该runner做受控重启，新PID为93199。v4 status保持 waiting / wait_for_mirror 、 last_error=null 。Spotlight恢复器PID 5886在全过程未被停止或重载，目标卷Spotlight索引仍为disabled。本事件没有启动final fixity、6,154路径扩队、全量probe或bulk ASR，证据边界继续限定为固定manifest下的 current-source verified mirror ，READY-B逐行内容SHA缺失这一限制也没有改变。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 二十、09:31—09:45 UTC持续无进度复发与故障保持

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 第一次受控恢复并没有形成可持续吞吐。launchd在09:31:49Z启动恢复动作后，新会话 20260714T093151Z-cb8561fc6e46 于09:31:52Z写入会话起点；它只完成了根 .DS_Store 与 3P/.DS_Store 两个既有final的当前源／目标SHA一致复核。09:31:53Z开始校验manifest第三项 3P/20200919_145015.mp4 ，该文件为4,562,092,032 B。直到09:44:34Z，append-only progress再无任何新增事件；PID 93130持续处于 U 态、CPU约0，进程当时已运行约12分45秒。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 这与前一轮“持续无进度／疑似阻塞”同型，因而记为 复发的持续无进度 ，但仍不外推为硬盘故障：本次证据只表明同一恢复链在第三个manifest对象校验期间没有产生可观察进展，不能仅凭 U 态、零CPU或progress静止确定故障层级。09:45:06Z向PID 93130发送SIGTERM，进程约3秒后退出；没有强杀、拔盘、改写源树、删除partial或重写append-only进度账。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 第二次事件后的处置不再是自动恢复，而是 incident hold／故障保持 。为避免镜像进程消失后自动触发Spotlight恢复，或让post-mirror runner误把停机窗口当作可接力终态，先卸载 com.p4.archive.spotlightrestore.ready01 ，再卸载 com.p4.archive.postmirrorprobe.ready01 。最终状态为：

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: com.p4.archive.mirror.ready01 的job定义仍loaded，但没有运行中的mirror进程；

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: com.p4.archive.postmirrorprobe.ready01 与 com.p4.archive.spotlightrestore.ready01 均unloaded；

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 源卷Spotlight索引为enabled，目标卷仍为disabled；

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: v4没有取得成功镜像终态，也没有运行final fixity、扩展6,154路径、全量probe或bulk ASR。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 故障保持没有抹除已完成证据。前一复制阶段在会话 20260714T025724Z-fa8e148346ba 中累计发布298个新对象／256,734,203,383 B，全部记录为源／目标SHA一致，零SHA冲突；这些事件继续封存在既有 progress.jsonl 。目标卷当时约有4.53 TB可用空间，高于1.5 TB硬保留线。 天台上的嚎叫者/嚎叫者/2020 12.26/DJI_0045.MP4.p4mirror.partial 仍为2,065,296,234 B，具有先前 copy_started 事件所证明的owned partial身份，同名final缺失，因而在未来满足全部恢复门时仍可按既有语义处理；当前保持不动。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 09:45Z当时的下一动作不是再次 kickstart 或 --resume ，而是等待外部状态变化或完成人工诊断；只有随后重新验证两卷UUID、manifest SHA-256、源树登记边界、无活动flock、partial可恢复性与同名final关系，以及目标空间高于1.5 TB保留线，才可重新评估同一批次恢复。该历史hold后来因09:47发现并移除非本批宽扫、磁盘静置这一明确外部状态变化而进入一次新的恢复评估；这不把复发省略为普通断点，也不授权在镜像终态之前启动全量probe或任何bulk ASR。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

headingPath: 20.1 09:47—09:54 UTC：外部宽扫争用移除、重验恢复门与观察性恢复

text: 20.1 09:47—09:54 UTC：外部宽扫争用移除、重验恢复门与观察性恢复

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 09:47Z的只读 lsof/ps 检查发现，同一ChatGPT/Codex父进程PID 36967之下有两个不属于本批次的宽范围扫描已经运行约27—28分钟：PGID 77545的 find 从 /tmp 、 〔本地资料路径省略〕 和 〔本地资料路径省略〕 全树寻找海报；PGID 78468的 rg 扫描 〔本地资料路径省略〕 与 〔本地资料路径省略〕 寻找YouTube链接。同期 disk9 约为164—174 tps、2.3—2.4 MB/s随机读。现有证据不能证明这两个宽扫是两次停滞的唯一根因，但它们明确违反“避免对同一ACASIS机箱增加额外媒体扫描”的执行边界，并形成可观测的I/O争用。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 09:47:44Z只终止上述两个进程组，没有触碰、移动、改名或删除任何数据，也没有操作镜像数据结构。随后 disk8/disk9 连续样本均为0 MB/s；QuickLook进程仍持有静态文件描述符，但观察窗口未见对应磁盘吞吐。两分钟静置构成相对于09:45 hold的明确外部状态变化，但这只说明争用条件被移除，不能由此证明硬件无故障或把全部停滞归因于宽扫。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 09:50:39Z再次严格核对两卷UUID、manifest SHA-256、无活动flock、owned partial及同名final关系、目标约4.53 TB可用空间高于1.5 TB保留线、已登记源边界未再漂移，并确认没有残留宽扫。全部门通过后，09:50:40Z沿既有launchd与 --resume 语义恢复；当前镜像PID为30509，会话为 20260714T095042Z-2286a6abafee 。该会话很快越过此前停在的第三项4,562,092,032 B对象，并至少继续复核到7,218,953,892 B文件；观察期间持续写入源／目标SHA一致事件且CPU活跃。因此可记录为“在外部争用移除后恢复了可观察吞吐”，但仍须继续监督，不宣称故障根因已经唯一确定。

headingPath: 二十、09:31—09:45 UTC持续无进度复发与故障保持

text: 09:54Z重新bootstrap post-mirror v4 runner为PID 34666、Spotlight waiter为PID 34668。v4当前为 waiting / wait_for_mirror 、 last_error=null ；源卷索引仍为enabled、目标卷仍为disabled。两项后继任务只等待镜像成功终态，没有运行final fixity、扩展6,154路径、全量probe或bulk ASR。若镜像再次连续无进度、出现I/O错误、校验冲突、卷掉线、容量跌破保留线或源树再漂移，必须再次fail-closed停止破坏性动作并保留证据，不得将本次恢复变成自动重试循环。