docs(acm2-51): 收口 D10/D14/D15

- D10 投递保序：architecture 改为 FLID 级（与 design/CLM-7 对齐，实现收敛归 ACM2-34）
- D14 REQ_TRACK 状态名：user-stories US-08 对齐实现的 PENDING/SENT/DONE/EXPIRED
- D15 容量假设：invariants 新增 CLM-10（未实测，含解除条件），design §10 加指针
纯文档，不改代码/迁移/配置/legacy。

docs/architecture.md

@@ -69,7 +69,7 @@ CIIMS / AODB 等上游
 
 ### 投递
 
-`Dispatcher` 从 `MSG_EVENT` 取出待发事件。普通事件按投递目标和 `EVENT_ID` 保序；某个目标失败时，不能跳过其队头投递后续事件。
+`Dispatcher` 从 `MSG_EVENT` 取出待发事件。普通事件按 `FLID` 与 `EVENT_ID` 保序（与分区键一致）：同一 `FLID` 内不跳队，不同 `FLID` 不互相阻塞（实现仍为目标级全序，收敛见 `CLM-7`）。
 
 `schd` 是最新状态通知，不逐条发送中间变化：统一由 `flushSchd` 按 `FLID` 聚合，取批次内最新事件后发送。它不提供逐条变更历史，不能与普通事件的 FIFO 语义混为一谈。
 

docs/design.md

@@ -331,7 +331,7 @@ PENDING → SENT → DONE
 
 ## 10. 容量假设与设计取舍
 
-本设计按以下量级选型（`[待确认]`，未实测；参数默认值的依据列见 reference）：
+本设计按以下量级选型（`[待确认]`，未实测；参数默认值的依据列见 reference，可声明性见 `CLM-10`）：
 
 - 单机场、单活动实例、单维护者；入站日消息量千级到万级；单条报文量级 ≤ 10⁴ 字节。
 - 处理延迟秒级可接受；航班可见性延迟不劣于现役（轮询间隔 ≤ 1 秒 + 聚合周期秒级）。

docs/invariants.md

@@ -62,6 +62,7 @@
 | CLM-7 | 事件投递在同一 `FLID` 内保序 | INV-10、投递设计 | **可**（跨 `FLID` 不承诺） | 实现当前按目标级全序投递，收敛到按 `FLID` 属投递改造，关联 ACM2-34 |
 | CLM-8 | 出站交付承诺只到「落信」 | `C-24`、`Q10` | **可**（仅落信语义） | 消费方与 ACK 列语义未确认 |
 | CLM-9 | 处理标记延迟由调度周期决定（≤30 秒） | — | **不可** | 30 秒只是扫描调度周期；批次积压、单行超时与历史作业都会延长实际延迟 |
+| CLM-10 | 容量量级假设（单实例、入站日消息量千级到万级、单报文 ≤ 10⁴ 字节） | — | **不可** | 未实测，无生产负载数据；解除条件：取得现役信箱日量、峰值与单报文上限后重估 |
 
 ## 4. 验证映射
 

docs/user-stories.md

@@ -168,8 +168,8 @@
 **验收标准**
 
 1. 覆盖 14 类 RQRD 参考请求和 1 类 RQFD-NONE；逐类名称、编码和映射见 Q8，不与 admin-api 的 21 类混算。
-2. 先持久化 `REGISTERED` 与出站意图；COUTMSGS 确认落信后关联其 ID 并标 `SENT`，不宣称对方已发送。落信成功而 PG 未确认时可恢复，不能盲目重发。
-3. 同类开放请求最多一个，新请求使旧请求 `EXPIRED`，并发登记不产生两个开放请求。默认 RQFD 60 秒、RQRD 30 秒，从确认落信的发送时间起算；`SENT/WAITING` 均不得成为永不超时的死分支。
+2. 先持久化 `PENDING` 与出站意图；COUTMSGS 确认落信后关联其 ID 并标 `SENT`，不宣称对方已发送。落信成功而 PG 未确认时可恢复，不能盲目重发。
+3. 同类开放请求最多一个，新请求使旧请求 `EXPIRED`，并发登记不产生两个开放请求。从确认落信的发送时间起算，超时值按 Q5；`PENDING`/`SENT` 均不得成为永不超时的死分支。
 4. 优先按已确认的 SEQN 回显匹配；无回显的降级匹配按 Q5 明确风险，只接受已发送开放请求且 `DTTM ≥ SENT_AT`。统一转换为可比较的时间，不能把报文日期数字直接与 epoch 毫秒比较。
 5. 迟到、无匹配或已关闭请求的应答不得更新数据，转 `SKIPPED` 并审计。参考应答成功写入 REF_MASTER 后，与请求完成、处理终态和事件在 PG 边界内保持所需原子性。
 6. `POST /schd/sync` 复用请求入口，采用 24 小时制和非空/区间校验；响应明确已登记还是已落信，不承诺计划已更新。