docs: 航班状态设计重写为当前基线，按请求/下载与动态两条线讲清状态变更 (ACM2-30)

docs/user-stories.md

@@ -10,7 +10,7 @@
 - 所有内部迁移只落自有 PG；共享 MySQL 不建表、不增列、不写历史表。本文用 `DATE_PROCESSED / STATUS` 表示逻辑字段，实际列名以库方契约为准。
 - 验收条目可按 `US-xx/条目号` 引用。故事较大时按下文子范围拆成小 PR，不把一个故事等同于一个提交。
 
-**存储基线提醒**：[FLIGHT_STATE 决策提案](decision-flight-state.md) 尚未定案。本文仍按阶段 A Redis 权威描述；涉及权威状态、快照和事务顺序的最终实现，先处理 Q1，不能一边实现 Redis 协议一边擅自迁为 PG 权威。
+**存储基线**：[单库权威决策](decision-flight-state.md) 已采纳：当前 PG 主表与明细表是状态权威，Redis 不参与动态写路径。Oracle 11g 是尚待完整适配的部署目标。本文保留验收目标，完成度以 [ACM2-29 核查](acm2-29-audit-and-simplification.md) 的证据为准。
 
 ## 2. 建议实施顺序
 
@@ -81,13 +81,13 @@
 3. 解码后首次绑定 `SNDR|TYPE|STYP|SEQN`；冲突转 `SKIPPED` 并记录原 ID；自身重试保留绑定。生产 `include-day-boundary=false`，更改算法须另行评审上游序号规则。
 4. `MALFORMED` 直接 `DEAD`；`CODEC_ERROR / UNSUPPORTED / INFRA` 按次数和退避处理，耗尽转 `DEAD(EXHAUSTED)`。不能无限重试未实现类型，也不能立即当非法报文丢弃。
 5. HOL deadline 使用稳定的 `PROC_STATE.CREATED_AT`，不使用每次重试刷新的 `updatedAt`；所有调度判断注入 `Clock`。默认 5 次重试、10 分钟滞留限制；积压与人工重放的 deadline 边界按 Q6 验证。
-6. 当前 Redis 基线下，由主泵先幂等应用状态，再在同一 PG 事务提交事件与处理结果；终态回填意图通过 US-09 同事务保存。Redis 已成功而 PG 失败可安全重试，不能重复生成业务事件。
+6. 主泵在同一 PG 事务提交航班主表/明细、事件与处理结果；终态回填意图通过 US-09 同事务保存。任一步失败整体回滚；提交后只重试外部回填，不重复生成业务事件。
 7. Handler 只返回 `Decision`，副作用由管道执行；失败只在持有消息上下文的边界落账，中断向上传递，不作为普通失败吞掉。
 8. 权威存储不可用或未完成恢复时停止业务处理；不能把“整个状态丢失”误判为“单航班不存在”而批量成功结束增量报文。
 
-**当前基础与落点**：`processing/Pump.kt`（含 `MessageProcessor`）、`Identity.kt`、`codec/XmlCodec.kt`、`infra/retry/`、`JdbcPgRepositories.kt`。已有身份/重试边界测试，但 codec 为接口，主泵直取系统时间，普通 Redis 更新占位，PG 操作未共享事务；补 `CREATED_AT` 迁移及主泵级回归测试。
+**当前基础与落点**：`processing/Pump.kt`、`Identity.kt`、`codec/JacksonXmlCodec.kt`、`infra/retry/`、`JdbcPgRepositories.kt`。已有 PG 共享事务、身份/重试及 GTDT XML 链路；完整 SCHD 解码/路由、时钟与 deadline、同事务回填意图仍未完成。
 
-**前置**：US-01；Q1 决定状态提交实现，Q6 决定 deadline 边界。现有 `FlightStateRepository` 空实现不是建表授权。
+**前置**：US-01；Q1 已定单库方向，Q6 决定 deadline 边界。数据库迁移只落自有库。
 
 ### US-04 明确忽略非业务报文（KEEP）
 
@@ -282,10 +282,10 @@
 |---|---|---|
 | OPS-1 单写者与启动安全 | 生产缺真实适配器、误用 stub、未启用必需管道时拒启；第二活动写者不能启动，失去写权后不得继续写；中断与停机能正确退出。 | 配置拒启、双实例/失去写权及停机测试。单靠副本数配置不算运行期保护。 |
 | OPS-2 可观测与安全 | 真实依赖健康、队列/队头年龄、投递/回填滞后、DEAD 和一致性异常有指标、告警与处理入口；敏感管理操作有访问控制，日志不泄漏口令或完整敏感报文。 | 故障注入触发真实告警，消息到事件可关联；日志出口断开不阻塞业务。 |
-| OPS-3 影子隔离 | PG、Redis key、topic、服务注册身份隔离；输入只读水位或回放，禁生产回填、真实出站和误注册。Q1 若改存储，隔离方案同步修改。 | 配置与集成测试证明生产信箱、状态、topic 未被影子修改。 |
+| OPS-3 影子隔离 | 自有数据库/schema、topic、服务注册身份隔离；输入只读水位或回放，禁生产回填、真实出站和误注册。 | 配置与集成测试证明生产信箱、状态、topic 未被影子修改。 |
 | OPS-4 切流与恢复 | 对拍不少于 7 天，未解释业务字段差异为 0，DLQ 积压为 0，MSG_EVENT 最老滞留 < 5 秒；切流后 48 小时观察，24 小时内具备经演练的回滚能力。 | 明确负载与统计口径的对拍报告；Runbook 含停写、排空/水位、状态恢复、写权交接和失败回退，不能只回滚程序版本。 |
 
-上述阈值沿用既有需求基线，需在真实环境提供证据，不代表当前已满足。Redis 权威方案还必须验证空态/全损恢复期间停止增量处理，以及备份和报文保留能支持的恢复范围；不承诺未经演练的“一键无损回滚”。
+上述阈值沿用既有需求基线，需在真实环境提供证据，不代表当前已满足。自有库备份、报文保留和完整状态重建需要恢复演练；本地事务不能承诺任意数据库灾难下 RPO=0，也不承诺未经演练的“一键无损回滚”。
 
 ### HTTP 工具边界
 
@@ -303,7 +303,7 @@
 
 | 编号 | 问题与当前口径 | 解除阻塞的产物 |
 |---|---|---|
-| Q1 权威存储 | 当前基线是 Redis；FLIGHT_STATE 提前到 PG 只是提案。影响 US-03/05/06/12、迁移和健康检查。 | 明确选择及批准记录，同步三份主文档后再固定事务、快照协议；未定案可先做无关接口和调度测试。 |
+| Q1 权威存储（方向已定） | 当前 PG 单库权威，主表 + 无损明细；现场供库目标为 Oracle 11g。 | 单库决策已采纳，Oracle 完整适配与部署验收仍待交付；不得退回 Redis 双写。 |
 | Q2 入队顺序 | 水位+补扫无法自动保证较小 ID 迟提交不越序；当前有限批扫描也可能被未回填记录挡住。 | 库方 ID/提交顺序约束，或明确的发现完整性与暂停/恢复协议；晚提交、空洞、兼容入口与重扫联合测试。不能凭空假定 ID 连续。 |
 | Q3 HTTP 契约 | 目标 ResponseDto 与现有 text/plain ID 不同；请求媒体类型目标已列出，错误码、状态码、查询格式等仍需对拍。 | 每个保留接口的真实请求/响应样例、错误表和契约测试；10MB 的字节口径、字符集及兼容变更说明一起固定。 |
 | Q4 Kafka wire | schd 当前多 FLID 聚为一个数组/一条 record，与“record 按 FLID 分区”冲突；msg 的 SNDR 尚未接线。 | 下游确认发送粒度、key、去重标识放置、分区内顺序及批次确认策略；同步 Dispatcher/设计，不擅自把现役数组改成逐航班消息。 |