docs(acm2-98): 告警口径收敛到可告警信号，外部告警归部署方

OPS-2 验收改为故障注入验证指标变化；应用侧只保 /metrics
可观察与死信/放弃清单可查，不内置告警通道。

docs/implementation.md

@@ -174,8 +174,8 @@ LIMIT PARAM:msgx.pipeline.backfill-batch
 |---|---|---|
 | 写入成功 | 标记为空、写入 1 行 | 记 `BACKFILL_AT`，不再重试 |
 | 早已有标记 | 写入 0 行且信箱行存在 | **视为成功**，不覆盖已有值，记 `BACKFILL_AT` |
-| 信箱行不存在 | 写入 0 行且行已删 | 立即放弃（`MISSING_ROW`）并告警 |
-| 暂时性故障超 `R` | 超时/连接失败到 `R` 仍未写回 | 停自动重试（`TRANSIENT_DEADLINE`）并告警；`R` 前只退避 |
+| 信箱行不存在 | 写入 0 行且行已删 | 立即放弃（`MISSING_ROW`），记入放弃清单与指标供外部告警 |
+| 暂时性故障超 `R` | 超时/连接失败到 `R` 仍未写回 | 停自动重试（`TRANSIENT_DEADLINE`），记入放弃清单与指标供外部告警；`R` 前只退避 |
 
 放弃 ≠ 已写回：不写 `BACKFILL_AT`，信箱行不删（`C-1`）。
 
@@ -184,7 +184,7 @@ LIMIT PARAM:msgx.pipeline.backfill-batch
 `R` 见 [reference.md](reference.md) `PARAM:msgx.pipeline.overdue-backfill`：
 
 - 超 `R` 未写回 → 每轮都试，不等退避。
-- 暂时性故障到 `R` 仍失败 → 停自动重试；`backfill-max-attempts` 只告警。
+- 暂时性故障到 `R` 仍失败 → 停自动重试；`backfill-max-attempts` 只记日志提醒（仍继续重试直到 `R`）。
 - `MISSING_ROW` 立即放弃。`R ≤ R_keep`。写回已了结且超保留期（约 1 月，`C-1`）后删原文；放弃行不删。
 
 ## 7. 日计划快照与请求匹配
@@ -212,7 +212,7 @@ PENDING → SENT → DONE
 
 - 开放槽：`RQRD`/`RQFD` 各一条（`US-09` AC1）；同类新请求前作旧请求过期。
 - `COUTMSGS` 确认后才 `SENT`；本地未确认须补偿，不能盲重发。
-- EROR → 标 `FAILED` 并告警（`US-09` AC3）。
+- EROR → 标 `FAILED`（`US-09` AC3），错误定位可查。
 - 应答按类型匹配开放请求（`US-09` AC2）；时间用本地时钟。
 - 参考应答写 `REF_MASTER`；日计划走快照。结案后迟到应答不改状态。
 - 出站只保证写入信箱（`C-4`、`CLM-4`）。
@@ -263,7 +263,7 @@ PENDING → SENT → DONE
 | 领域事务已提交、Redis 写失败或终态未提交 | 该消息无终态（`PENDING`），仍占队头 | 整条消息重处理：Redis 航班快照按当前完整态重写；领域再跑是否只留一次效果见 `US-03`、`G-FLOP-IDEMPOTENT`；已提交结果不回滚（`US-03` AC3） |
 | 事务已提交、标记未写 | 终态行仍持有回填意图 | 仅补写标记；业务处理结果保持不变 |
 | 标记写入中途 | 标记仍为空 | 重新写入；重复写入同一值无副作用 |
-| 回填时信箱行已不存在 | 写入 0 行且信箱行不存在 | 立即放弃自动重试（`MISSING_ROW`）并告警；放弃不等于标记已确认，仍需人工对账 |
+| 回填时信箱行已不存在 | 写入 0 行且信箱行不存在 | 立即放弃自动重试（`MISSING_ROW`）并记入放弃清单；放弃不等于标记已确认，仍需人工对账 |
 | `RECEIVED_AT` 为 NULL | 超期分支以本地 `ENQUEUED_AT` 判定，不受库方时钟与 NULL 影响 | 按 `R` 超期强补写；未超期则按退避重试 |
 | 投递目标已接受、`SENT` 未置 | 事件仍 `PENDING` | 允许重发，消费方按事件身份去重 |
 | PG 从备份恢复 | 终态与事件回退到备份点 | 按至少一次接受重复；不重放业务、不据此改写航班 |