docs(acm2-63): 收敛文档口径并补齐作业健康指标登记

含：MAFL 派生投影与 SRVT/VIPF 无界集合口径、schd EVENT_ID 写代次与 DEAD 代次替换、运营日时区 fail-fast、缺口索引增删（G-MAFL/G-SRVT-VIPF/G-COMPAT-HTTP/G-REQ-OPEN-UNIQUE，移除 G-JOB-HEARTBEAT）、job 心跳/扫描积压/最近失败指标登记、INV-18 验证映射改为实际测试名。

docs/reference.md

@@ -41,7 +41,7 @@
 | `msgx.stubs` | `true`（dev profile） | 安全默认 | 内存适配器；**生产禁止**，生产 profile 不设置该键 |
 | `msgx.schd.flush-period` | `3s` | 现役 | `schd` 聚合周期 |
 | `msgx.schd.flush-limit` | `500` | 假定 | 聚合批上限 |
-| `msgx.operation-day.zone` | `Asia/Shanghai` | 现役 | 运营日推导时区 |
+| `msgx.operation-day.zone` | `Asia/Shanghai` | 现役 | 运营日推导时区；配置值非法时启动失败，不使用代码字面量回退 |
 | `msgx.operation-day.cutoff-hour` | `0` | **假定（占位）** | 切日边界；待业务确认 |
 | `msgx.identity.include-day-boundary` | `false` | 安全默认 | 身份是否加日期边界；影响去重语义，不能当调优项切换（`Q11`） |
 | `msgx.health.backlog-cache-ttl-ms` | `30000` | 假定 | 积压快照缓存窗口；`0` = 不缓存；`/health` 与 `/metrics` 共用同一快照 |
@@ -82,10 +82,15 @@
 | `msgx.pipeline.watermark.lag` | 水位落后信箱最新 ID 的距离 | 增长 → 收报停滞 |
 | `msgx.pipeline.hole.aged_out.total` | 永久空洞放行次数 | 突增 → ID 序列大量空位 |
 | `msgx.pipeline.late_arrival.detected.total` | 迟到到达命中数 | **> 0 表示上游提交确实晚于水位推进，需要与库方对契约** |
+| `msgx.pipeline.job.heartbeat_age_seconds` | 距上一次作业 tick 完成的秒数（未跑过为 -1） | 持续增长 → 作业线程卡死 |
+| `msgx.pipeline.job.last_failure_age_seconds` | 距最近一次作业 tick 失败的秒数（从未失败为 -1） | 配合 `failures.total` 增长判断扫描/历史作业异常 |
+| `msgx.pipeline.job.ticks.total` | 作业 tick 完成次数 | 不增长 → 作业停摆 |
+| `msgx.pipeline.job.failures.total` | 作业 tick 抛错次数 | 增长 → 扫描/历史作业异常 |
+| `msgx.pipeline.job.last_sweep_selected` | 上一轮回填扫描选中的待办条数（扫描积压） | 持续顶到批次上限 → 扫描吃不消 |
 
 取数规则：统一走 `BacklogSnapshotProvider`（`PARAM:msgx.health.backlog-cache-ttl-ms`），`/health` 与 `/metrics` 共用同一快照——`backlog()` 是 `PROC_STATE` 的全表聚合，不能被高频抓取打穿；**无法取数上报 `NaN`，无可比记录的年龄/滞后类仪表上报 `-1`，都不伪造 0**。日志出口故障不得阻塞业务线程。
 
-作业健康：回填扫描的存活性与延迟需要独立可观测（作业心跳、扫描积压、实际回填延迟），因为回填的唯一驱动是扫描作业 `[G-JOB-HEARTBEAT]`。
+作业健康：回填的唯一驱动是扫描作业，因此作业存活必须独立可观测——`msgx.pipeline.job.heartbeat_age_seconds` / `ticks.total` / `failures.total` 是作业心跳，`msgx.pipeline.job.last_sweep_selected` 是扫描积压，`msgx.pipeline.backfill.oldest_unmarked_seconds` 是实际回填延迟；作业线程停摆由 `/health` 的作业指示器判 `DOWN`（心跳超过 `3 × 扫描周期`，周期是代码常量）。
 
 ## 3. 模块入口
 
@@ -105,8 +110,8 @@
 
 | 错误类别 | 触发 | 处置 | 可重放 |
 |---|---|---|---|
-| `MALFORMED` | 报文非法或原文缺失 | 立即 `DEAD` | 否 |
-| `PROTOCOL` | 整包协议拒绝（运营日冲突、声明数不符、缺载荷） | 立即 `DEAD`，整包不落地 | 否 |
+| `MALFORMED` | 报文非法、原文缺失或缺少该类型必需的业务载荷 | 立即 `DEAD` | 否 |
+| `PROTOCOL` | 载荷存在但整包违反业务协议（运营日冲突、声明数不符） | 立即 `DEAD`，整包不落地 | 否 |
 | `CODEC_ERROR` | 解码能力问题 | `FAILED` 退避 | 是 |
 | `UNSUPPORTED` | 处理器或快照能力未实现 | `FAILED` 退避，受尝试上限约束 | 是 |
 | `INFRA` | 基础设施或执行异常 | `FAILED` 退避 | 是 |