docs: message-lifecycle 审查修正——消解跨文档冲突、口径归口并登记 Q12

message-lifecycle.md：
- §5.3 日计划改为现行合并语义（缺席不删、缺失保留，引 flight-state §3.1），类型粒度统一 TYPE-STYP
- §5.1 明确两条扫描路径按 ID 区间取行、不以处理标记为谓词；水位定义与 Q2 绑定
- §4 两个缺口改与 design §10 同措辞；§5.2 的 R 构成挂 Q6/Q9，新增 Q12 积压跳过授权
- §6 方案 B 对账补“只补缺失行、标记单调不回退”；删除能力声明标注待 Q9 确认
- §7 改为“尚未实现”、统一 COUTMSGS_* 列名；§11 ID 不断链改为条件式不变量

user-stories.md：US-11 第 4 条限定为“本系统不写共享历史表/不清除外部信箱”；US-01 扫描谓词指向 lifecycle §5.1；US-01/09/11 前置补口径指针；新增 Q12；OPS-2 补积压与最老未处理信龄；Q10 列名统一。

architecture.md：共享 MySQL 红线限定主体；§6 中断恢复表改为指向 message-lifecycle §4；收报步骤补扫描谓词指针。

design.md：水位定义、回填死信处理、维护作业、归档、缺口恢复统一指向 message-lifecycle。

README.md：核对日期更新至 2026-09-10（代码基线 99a0f5f，文档基线 328bbf8）；维护规则补规范类文档一档。

docs/design.md

@@ -71,7 +71,7 @@ SNDR | TYPE | STYP | SEQN
 
 `InboxPoller` 默认每秒按 ID 升序、有限批次（`claim-batch`，默认 50）读取 `DATE_PROCESSED IS NULL` 的信箱记录，经 `InboxEnqueue` 在自有 PG 建立 `PENDING`；重复扫描幂等，入队失败留待下一轮。收报层不解析业务载荷，也不回填已处理标记。
 
-快路径水位与受控补扫是目标形态，当前仍按 `afterId=0` 每轮全量扫描（§10）。**水位不是已处理标记，也不能单独证明较小 ID 已收齐**；迟提交、ID 空洞与补扫场景的顺序保证在启用前必须验证。
+水位的定义（连续上界、遇空洞即停）、扫描谓词与补偿窗口唯一见 [message-lifecycle.md](message-lifecycle.md) §5.1；水位不是已处理标记，其有效性以 Q2 的 ID 单调承诺为前提。快路径水位与受控补扫仍是目标形态，当前按 `afterId=0` 每轮全量扫描（§10），迟提交与空洞场景的顺序保证在启用前必须验证。
 
 兼容 HTTP 入口执行“写入共享信箱 → PG 入队”。两步不在同一事务中：信箱成功而 PG 失败时，原文不能丢失，由轮询补建；客户端失败重试可能再次写信箱，业务身份去重仍然必需。
 
@@ -101,7 +101,7 @@ SNDR | TYPE | STYP | SEQN
 - 原文缺失归为 `MALFORMED`；读取异常不能伪装成“缺失”，应进入基础设施重试。
 - 忽略规则（`LDM / REGN / RSTA / EROR` → `SKIPPED`）尚未实现（§10）；不能因类型未覆盖就把合法忽略报文当非法报文处理。
 - 航班变更、待发事件、处理终态与回填待办在同一 PG 事务原子提交；跨存储双写窗口已根除。
-- 终态回填发生在提交后：成功、业务重复与协议拒绝包持有可用 META 并回填；缺 META 或解码失败的死信无法回填，外部处理方式待确认（US-09/Q7）。`PENDING / FAILED` 禁止回填；影子环境禁写。
+- 终态回填发生在提交后：成功、业务重复与协议拒绝包持有可用 META 并回填；缺 META 或解码失败的死信不在常规回填范围，按超期补写规则处理（[message-lifecycle.md](message-lifecycle.md) §5.2；US-09/Q7）。`PENDING / FAILED` 禁止回填；影子环境禁写。
 
 ## 4. 日计划快照与请求匹配
 
@@ -163,7 +163,7 @@ REGISTERED → SENT → WAITING → DONE
 
 `ReplayService` 只允许 `CODEC_ERROR / UNSUPPORTED / INFRA / EXHAUSTED` 从 `FAILED / DEAD` 回到 `PENDING`，重置次数与下次执行时间，保留身份与错误审计。它按错误类整批重放，尚无按记录预检、操作审计与管理入口（US-10）。旧消息进入终态后后续消息可能已执行，**重新入队不等于恢复历史顺序**；人工重放前必须评估状态覆盖和版本保护，不能直接批量重放到生产。
 
-**维护作业**：`JobRunner` 用独立 daemon 线程每 30 秒触发 `BackfillSweepJob`（回填补偿扫描，指数退避 30 秒起步、封顶 15 分钟），每天机场时区 03:30 后触发一次 `HistorySweepJob`（§6.2）。作业不再经 `PUMP_JOB` 队列插队，不参与消息 FIFO，也不使到期消息饥饿。
+**维护作业**：`JobRunner` 用独立 daemon 线程每 30 秒触发 `BackfillSweepJob`（回填补偿扫描，指数退避 30 秒起步、封顶 15 分钟），每天机场时区 03:30 后触发一次 `HistorySweepJob`（§6.2）。作业不再经 `PUMP_JOB` 队列插队，不参与消息 FIFO，也不使到期消息饥饿。作业与回填通道的生命周期口径见 [message-lifecycle.md](message-lifecycle.md) §3/§4。
 
 ### 6.2 历史清理与归档
 
@@ -171,7 +171,7 @@ REGISTERED → SENT → WAITING → DONE
 
 **留痕清理**：`SCHD_SNAP_LOG` 保留 90 天，在历史清理窗口内按 `(SCOPE_END, RECV_AT)` 删除。
 
-**处理终态归档**：`PROC_STATE_HST` 仍是目标表（user-stories.md US-11），尚未建表；不得归档 `PENDING / FAILED`，也不能因移走身份记录而失去业务去重能力。ES 历史投影（阶段 B）不启用。
+**处理终态归档**：`PROC_STATE_HST` 仍是目标表（user-stories.md US-11），尚未建表；不得归档 `PENDING / FAILED`，也不能因移走身份记录而失去业务去重能力。ES 历史投影（阶段 B）不启用。自有记录归档与信箱原文保留的关系见 [message-lifecycle.md](message-lifecycle.md) §8/§9。
 
 共享信箱保留策略由库所有方管理；历史写入与删除事件入队之间仍需恢复方案，顺序调用不构成原子提交。
 
@@ -225,7 +225,7 @@ REGISTERED → SENT → WAITING → DONE
 
 以下缺口直接影响上述设计是否成立，不能以类或接口已存在作为完成依据：
 
-- **事务与外部副作用**：状态、事件、终态与回填待办同 PG 事务已实现，回填失败落 `BACKFILL_TODO` 并由 `BackfillSweepJob` 到期重试。剩余缺口在“提交后回填前崩溃”与“待办落账再次失败”两个窗口，不能认定补偿最终必达。
+- **事务与外部副作用**：状态、事件、终态与回填待办同 PG 事务已实现，回填失败落 `BACKFILL_TODO` 并由 `BackfillSweepJob` 到期重试。剩余缺口在“提交后回填前崩溃”与“待办落账再次失败”两个窗口，不能认定补偿最终必达；两个窗口的恢复判定见 [message-lifecycle.md](message-lifecycle.md) §4。
 - **收报与调度**：轮询仍从 `afterId=0` 每轮全量扫描，持久水位与受控补扫未完成；较小 ID 迟提交与空洞场景的顺序保证未验证。滞留判据使用 `updatedAt` 与直取系统时间，未基于稳定起始时刻。
 - **快照与业务能力**：DNLD/RESP/ADFT 与 FLOP/FDEL 处理器、整包校验与跨运营日整包拒绝均已接入；但 RESP 应答守卫与出站请求未实现，忽略规则（US-04）未实现，29 类 FLOP 与参考应答的逐类矩阵未补全，ADFT 缺失字段与 `FLID` 重用语义待上游确认。
 - **航班读写**：唯一写入口与权威读已落地；ROUT/ERUT 联合主键、空值/未知属性保真、事件在事务内只算一次、逐航班多次查询仍待修正（见 flight-state.md §6）。`/all/flights` 尚未实现。