msgexchange-v2/docs/specification.md

规范：术语、契约、前提、不变量与声明边界

本文件是以下事实的唯一出处：

• 对外术语（本文件「术语」节）；
• 本系统与外部对手方的承诺与要求 C-x，以及我们向库方/上游的单方承诺；
• 待确认事项 Qn 注册表；
• 外部提供的前提 PRE-x；
• 本系统保证的不变量 INV-x；
• 声明边界 CLM-x：每条对外主张依赖哪些 PRE/INV、可否声明、挂起原因；
• 当前已知偏差 G 注册表；
• 验证映射：验收口径的唯一清单。

编号稳定不变；条款被取代时标 [作废 by C-y] 并保留原文，不静默改写。不变量变更用「追加 + 作废」（INV-7 → [作废 by INV-7b]）。机制与领域规则见 implementation.md，参数取值见 reference.md。

编号空缺：本文件成形前已作废的旧条款未随迁移保留原文，其号码空缺且不再复用（契约段缺第 17～19 号，声明边界段缺第 1、2 号）。

1. 术语

术语	含义
上游	向信箱写入报文的源头系统（CIIMS、AODB 等）。
信箱	共享 MySQL 的入站表 CMINMSGS；出站方向为 COUTMSGS。
库方	共享 MySQL 的管理方；表结构变更与数据清除只能由库方执行或书面授权。
处理标记	信箱行上表示「本系统已处理」的约定字段；逻辑名 DATE_PROCESSED / STATUS，实际列名以库方契约为准。本系统只把空标记写成已处理值，不回撤、不覆盖。
落信	报文进入信箱（CMINMSGS 存在该行），执行方是上游。
入队	本系统在自有 PG 建立 PROC_STATE 记录，开始处理。
已回填	本系统已把处理标记写回该信箱行。
投递确认	投递目标已接受且本地 MSG_EVENT 已置 SENT；不表示业务消费者已消费。
自有 PG	本系统唯一的业务数据库 PostgreSQL；与信箱之间不存在跨库事务。

管道内部术语（W、队头、终态、回填意图）定义在 implementation.md「术语与持久化记录」。

条款状态词只有四种：[待确认 Qn]（未取得对方书面确认）、[已确认 YYYY-MM-DD]（对方书面确认且已回写）、[我们单方承诺]（对外承诺，不依赖对方，已生效）、[我们自证]（本系统自身的架构或部署事实，无需对方确认）。

2. 契约

读者：库方（共享 MySQL 管理方）接口人、上游（CIIMS / AODB / SIS）接口人、本系统开发与运维。

2.1 共享信箱（库方）

ID 与可见性

• C-1 ID 单调：信箱 ID 按提交顺序分配，已发布水位之下不再出现更小的新 ID。[待确认 Q2]
• C-2 ID 分配 → 事务可见时延上界由库方直接给出。该值决定空洞老化阈值；不可由 SIS 报文 Expiry 推导（Expiry 是报文保留与传输恢复口径，与「ID 分配后多久对读事务可见」不是同一个量）。[待确认 Q2]
• C-3 ID 空间不复位、不复用、不回退：含表轮换、备份恢复、AUTO_INCREMENT 归零。采用整表轮换方案时，新表种子必须 ≥ max(ID)+1，保证 ID 不断链；本系统的水位 W 是不可逆单游标，ID 回退会导致其后所有行永久不可见。[待确认 Q2]
• C-4 报文行不可变：同一业务身份（SNDR|TYPE|STYP|SEQN）的重发必为同一内容。若上游会以同一身份改发正文，需要另定识别规则（Q15）。[待确认 Q15]

保留与清除（标记、保留期、清除前提）

• C-5 处理标记值集与写权限：本系统只写入库方认可的 legacy 值集内的「已处理」值（默认值见 reference.md PARAM:mailbox.processed-value），只写空标记、不回撤、不覆盖；内部原因（死信、重复、放弃）记录在自有 PG，不在信箱新增枚举。[待确认 Q7]
• C-6 清除语义必须是「标记 + 保留期」：打标本身不触发清除，触发条件是「到达保留期 R_keep」且「边界内全部行已打标」。若库方语义是「打标即可清除」，则清除前置条件不成立，且增大 R 无法补救，必须另行约定保留期或引入独立原文保留通道。[待确认 Q7][待确认 Q9]
• C-7 保留期下界（本文件是唯一定义处）： R_keep ≥ max(人工重放期限 + 人工处置期限, 审计期限, 回填重试上限)。 这是「重放窗口内原文仍在」的唯一保证来源。报文在 CIIMS 的 Expiry（480 分钟量级，SIS:3.16）可作为原文保留期的参照，但它是报文有效期，不等于本处所需的保留期。[待确认 Q6][待确认 Q9]
• C-8 清除前置条件（本文件是唯一定义处）：执行清除时，边界内每行必须已有终局——即「已持有处理标记」或「已登记在本系统的回填放弃清单中且经人工对账确认」。放弃行不写标记，未达终态的行顺延至处理完成后清除；本系统不执行 DDL，也不写共享历史表。[待确认 Q7][待确认 Q9]
• C-9 清除执行方与方案：清除由库方执行或书面授权执行。方案 A（按 DATE_RECEIVED 日分区 + TRUNCATE/DROP PARTITION）为首选；方案 B（CREATE TABLE ... LIKE + 保留窗复制 + RENAME TABLE + 对账 + CMINMSGS_HST 归档 + DROP）为备选。现场 MySQL 版本与分区 DDL 能力待确认。[待确认 Q9]
• C-10 时间语义：时间比较与换算统一采用机场时区 Asia/Shanghai 及明确类型转换；DATE_RECEIVED 由上游/库方写入，其时钟基准需可解释（见 PRE-4）。[待确认 Q7]

原文保留与重放

• C-11 重放窗口内的原文必须可读：legacy 现役按接收超 1 天归档并删除 CMINMSGS；若沿用该窗口，则与 C-7 冲突，须以 C-7 为准。[待确认 Q9]
• C-12 若原文被提前清除（违反保留契约），本系统的死信处置不变，按契约违例走运维追责；该情形不改变 C-8 的清除前提。[我们单方承诺]

我们向库方的承诺

• C-13 只读约定区间的信箱行（ID > W），单活动实例运行，不引入并行消费者。[我们单方承诺]
• C-14 不建表、不改表结构、不迁移 schema、不写共享历史表；兼容 HTTP 入口按既有契约写入入站信箱。[我们单方承诺]
• C-15 处理标记只写 C-5 认可的值，不回撤、不覆盖已有非空标记。[我们单方承诺]
• C-16 回填放弃清单在对应信箱边界被清除前必须保持可查：C-8 以本清单作为清除授权证据之一，该证据不得随处理记录的归档或清除而消失。[我们单方承诺][待确认 Q7][待确认 Q9]

2.2 上游（SIS / AODB）

• C-20 业务身份四元组 SNDR|TYPE|STYP|SEQN 的语义由上游定义；SEQN 的取值范围与回绕见 SIS:2.8.1。重置周期未知，它决定业务身份是否加入日期边界（默认不加）。SNDR 取值域也需对拍（SIS 为 AODB/RMS，legacy 实发 OSH5 等）。[待确认 Q11]
• C-21 FLID 在保留期内不复用。若复用，事件版本（STATE_VERSION）必须按 incarnation 作用域，否则「保留最新版本」的合并规则会把新航班的事件压掉，旧 tombstone 也可能删掉在用航班。[待确认 Q16]
• C-22 报文不可变（同 C-4）。[待确认 Q15]
• C-23 请求/应答回显契约：目标优先按已确认的回显字段精确匹配；回显未确认时的降级匹配（同类开放请求且报文 DTTM ≥ sentAt）存在跨代误配风险，必须明确接受并审计，不得宣称精确关联。比较前统一时区与时间单位。[待确认 Q5]
• C-24 出站信箱 COUTMSGS：消费方与消费顺序、COUTMSGS_ACK_DATE_RECV / COUTMSGS_ACK_RESEND_TIMES / COUTMSGS_DATE_SENT / COUTMSGS_ERROR 各列语义与写入责任、出站行清除责任与保留期、落信成功但本地未置 SENT 时的重复写入风险及下游去重契约，均未确认。本系统对出站的交付承诺只到落信为止。[待确认 Q10]
• C-25 主 / 共享删除顺序与 EROR 回报：SIS 要求删主航班前先删子共享航班，顺序不符时 RMS 应向 AODB 回发 EROR（SIS:1.6.1-1.d，事件定义 SIS:4.8）；现行设计为幂等原子级联、不回发 EROR。二选一。[待确认 Q14]
• C-26 日计划缺失可选字段的语义：SIS 要求最新日计划中未发送的可选字段表示 AODB 已无该数据、子系统应删除本地值（SIS:3.16-note-4，RESP 同格式见 SIS:3.17），与现行「未携带字段保留」相反。[待确认 Q13]
• C-27 历史积压批次中「不再处理」的确认主体、审批留痕与跳过值集。[待确认 Q12]

我们向上游的承诺

• C-28 兼容 HTTP 入口的响应只表示接收结果，不表示业务处理成功：目标为现役 ResponseDto（is_success / body），请求体上限暂定 10MB；请求媒体类型、字符集与失败响应仍需与现役逐项对拍。[待确认 Q3]
• C-29 对外投递按至少一次设计，不承诺端到端恰好一次；Kafka 消息的 key 为 FLID，同一 FLID 内保序，跨 FLID 不承诺顺序。[待确认 Q4]

3. 前提（外部提供）

前提失效时不变量必须整体重估。

编号	前提	若不成立的影响	状态
PRE-1	信箱消费权排他：同一时刻只有一个系统有权处理、打标、判定可清除（迁移期由切流规程保证单一权威写者）	水位、身份去重、清除前提全部失效	[待确认]（切流由运维规程保证，上线前另立）
PRE-2	ID 单调 + 可见时延上界：见 C-1/C-2	水位只能当快路径提示；空洞老化阈值无依据；不能声明发现完整性	[待确认 Q2]
PRE-3	ID 空间不复位、不复用、不回退：见 C-3	水位（不可逆单游标）之后的行永久不可见	[待确认 Q2]
PRE-4	报文的 DATE_RECEIVED 时钟基准可解释（偏斜在有界范围内）	跨系统时间比较（RECEIVED_AT 与本地 NOW）会提前或推迟判定	[待确认 Q7]
PRE-5	单活动实例运行（信箱读取不加锁、水位是单行覆盖写）	水位互相覆盖、空洞计时失真	[我们自证]（部署约束，见 architecture.md）
PRE-6	信箱与自有 PG 之间没有跨库事务	回填、水位推进、清除都不能声称原子	[我们自证]（架构事实）
PRE-7	报文不可变：同一业务身份的重发必为同一内容：见 C-4	上游改发会被判为重复并静默跳过	[待确认 Q15]
PRE-8	FLID 在保留期内不复用：见 C-21	「保留最新版本」的合并规则可能压掉新航班事件，旧 tombstone 可能删掉在用航班	[待确认 Q16]

4. 不变量

4.1 管道

• INV-1 五个独立事实互不替代：落信 / 入队 / 处理完成 / 已回填 / 投递确认各有独立证据，前一个不蕴含后一个。
• INV-2 水位与入队同事务：不允许出现「水位已推进、消息未入队」的持久化状态；水位只增不减，遇空洞即停，只有判定为永久空洞才放行，且放行只跳过空洞本身、不越过任何已存在的行。
• INV-3 队头唯一：任一时刻只有一个可执行队头（最小未完成 MSG_ID，PENDING 与 FAILED 都占位）；FAILED 未退避到期时后续消息不得越过。
• INV-4 只领取已发现的行：主泵只领 MSG_ID ≤ W；水位之外的行只可能来自兼容入口，必须等水位追平后按序处理。
• INV-5 发现与处理互不阻塞：收报只看 ID > W，不以处理标记为谓词；终态而未回填的行不阻断后续消息的发现。
• INV-6 处理终态不可逆：已提交的 SUCCEEDED 不因回填或投递失败回改。
• INV-7 处理标记单调：任何路径只把空标记写成已处理值，不回撤、不覆盖。
• INV-8 回填只针对终态（PENDING / FAILED 永不写标记）；「还欠一次回填」的事实与终态由同一条语句落库，不存在第二处落账。
• INV-9 一信一行、一身份一记录：PROC_STATE 按 MSG_ID 唯一；同一业务身份至多绑定一条有效处理记录。
• INV-10 对外投递至少一次；端到端恰好一次不在交付范围。

4.2 航班域

• INV-11 自有 PG 的航班当前态是唯一权威；信箱、Kafka、展示视图都不是权威。
• INV-12 FLID 唯一；已写入非空的 OPERATION_DAY 不可改变。
• INV-13 每个航班每次成功状态写入单调推进 STATE_VERSION；重复消息不重复推进。
• INV-14 报文未携带的字段不被隐式清空；集合按完整合并结果写入，保留输入顺序与源序号。
• INV-15 缺席于某个日计划不构成删除理由；删除只由 FDEL 或受控历史清理触发。
• INV-16 外部副作用（回填、Kafka 投递、出站信箱）失败可重试，但不回滚已提交的本地业务结果。
• INV-17 状态变更、待发事件、处理终态与回填意图在同一 PG 事务内原子提交。
• INV-18 航班表的写者集合是「主泵处理器」与「历史清理」；两者必须互斥（同一 PIPELINE_LOCK，或清理在同一事务内复查判据后再删除），不得出现清理删除与处理器更新同一 FLID 的竞态。
• INV-19 整包校验失败或运营日冲突时整包不落地，既有状态与版本保持不变。
• INV-20 处理器幂等：同一消息重复执行只产生一次业务效果。身份唯一只防「重复记录」，不防「重新执行」；29 类 FLOP 幂等矩阵补全前，本条不可声明（G-FLOP-IDEMPOTENT）。
• INV-21 MAFL 是派生投影：内容恒等于「STATE = ACTIVE 且 MAID = 主航班 FLID」的子航班集合（元素 FLID + FLNO，按 FLID 升序），不落库、不从入站解析；自引用与悬挂引用不入投影。
• INV-22 子航班集合变化必须使涉及的主航班在同一事务内推进 STATE_VERSION 并登记主航班事件；投影只进不退，版本不推进即被下游丢弃。

5. 声明边界

编号	主张	依赖	当前可否声明	挂起原因
CLM-3	重放不产生重复业务副作用	INV-20、G-FLOP-IDEMPOTENT	不可	29 类 FLOP 幂等矩阵未补全；重放不恢复历史顺序
CLM-4	回填不会被短暂故障放弃：最终打标，或进入可对账的放弃清单	INV-8、C-5、C-8	可声明（有条件）	条件：R 之前不放弃；MISSING_ROW 立即放弃并告警；放弃行须经人工对账才可用于清除判定（C-8）。原文保留另见 CLM-5
CLM-5	重放窗口内原文仍可读	C-6、C-7、Q7、Q9	不可	清除语义与保留期未确认；「打标即清除」下无补救
CLM-6	单实例内严格 FIFO	PRE-5、INV-3	可（限于单活动实例）	—
CLM-7	事件投递在同一 FLID 内保序	INV-10、投递设计	可（跨 FLID 不承诺）	只声明同一 FLID 内保序；按 FLID 的隔离边界与 Q4 定案、G-DELIVERY-ORDER 闭合一致
CLM-8	出站交付承诺只到「落信」	C-24、Q10	可（仅落信语义）	消费方与 ACK 列语义未确认
CLM-9	处理标记延迟由调度周期决定	—	不可	扫描周期不等于完成时限；批次积压、单行超时与历史作业都会延长实际延迟
CLM-10	容量量级假设（单实例、入站日消息量千级到万级、单报文 ≤ 10⁴ 字节）	—	不可	未实测，无生产负载数据；解除条件：取得现役信箱日量、峰值与单报文上限后重估

6. 验证映射

每条不变量至少一条证据。测试名以仓库现状为准；新增测试按本表补位。本表只记录验收口径与证据位置，覆盖进展只在 Plane（ACM2）。

不变量 / 声明边界	场景	证据 / 测试
INV-1	五事实互不替代：入队不引用标记、回填不引用投递、投递不引用回填	需接口级断言
INV-2	重复扫描、入队中断	不重复入队、不丢记录；InboxPollerTest
INV-2	空洞老化与重置	阈值内不推进、不越过入队；超期只放行空洞本身；旧空洞补齐后新空洞获得完整窗口
INV-2	水位写入与入队同事务	需真实 PG 事务用例
INV-3	较小 ID 迟提交	InboxPollerTest 钉住「水位越过后到达的较小 ID 不被发现」；水位遇空洞即停、空洞老化放行只跳过空洞本身
INV-3	队头失败、退避及作业竞争	消息不越队；到期后恢复；作业不使消息无限饥饿
INV-4	兼容入口与空洞并发	PipelineSmokeTest「compat injected high id is not claimed until the watermark catches up」
INV-5	终态未回填不阻断发现	需断言发现谓词不引用处理状态
INV-6	投递失败后终态不变	需用例
INV-7	回填四种结果	写入成功 / 早已标记（不覆盖、记成功）/ 信箱行不存在（立即放弃并告警，不得视为已标记）/ 暂时故障持续到 R 仍未打标（停止自动重试，可人工恢复）
INV-7	RECEIVED_AT 为 NULL	超期分支仍成立且不导致标记提前写入——判据是本地 ENQUEUED_AT，与库方时钟及 NULL 无关
INV-8	PG 提交失败、信箱回填失败	事件、终态与回填意图一起回滚；已提交结果只补写标记，不重放业务；中间态永不补写
INV-8	非业务型终态	不触碰航班表 / MSG_EVENT，只写 PROC_STATE，且终态与回填意图同语句生效
INV-9	同身份多条记录、失败后重试、归档后重复	只产生一次有效业务处理，不把自身重试判为重复
INV-10	投递确认丢失、批次失败、次数耗尽	允许可识别的重发、保持目标顺序、整批退避并保留死信
INV-11	权威唯一	需断言展示视图与缓存不得成为写入或对账来源
INV-12 / INV-13	PG 事务失败、快照重复或迟到	整体回滚重试、不重复推进版本、不回退状态、不误删增量航班
INV-12	运营日冲突	整包 DEAD(PROTOCOL)，既有状态与版本不变
INV-14	未携带字段保留、显式清空才清除；集合按完整合并结果写入	FlightStateEngineTest「day plan merges scalars overwriting overlaps retaining absent and clearing on explicit empty」「flop merge retains absent scalars and collections」；FdelAndAdftProcessorTest「ADFT merge does not clear absent scalars」
INV-14	FLOP 逐类空标签语义（清除、撤销、集合清空）与「未携带不清空」的区分	逐类用例见 implementation.md「动态运行事件」；G-FLOP-DIRECTION、G-FLOP-UNMAPPED
INV-15	缺席不删除	需分别断言 FDEL 与清理路径
INV-16	外部副作用失败后本地结果不变	需用例
INV-17	业务型终态四件套同事务	需真实 PG 用例
INV-18	清理与处理并发	HistorySweepJobTest（归档后被主泵更新的航班不删除、不发 tombstone）+ HistorySweepPurgePgTest（删除阶段失败时 tombstone 与删除整体回滚）
INV-19	整包协议拒绝（声明数不符、运营日冲突）	DEAD(PROTOCOL)，整包不落地、整体回滚、既有状态不变
INV-21	MAFL 投影与 ACTIVE 子航班集合一致（子航班删除后退出、自引用与悬挂引用不入、顺序确定）	G-MAFL：投影未实现
INV-22	子航班新增、删除、MAID 迁移时主航班版本与事件	G-MAFL：主/共享级联未实现
INV-20 / CLM-3	重放同一条消息	阻塞于 29 类 FLOP 幂等矩阵
—	请求超时、无匹配 RESP、时间单位不一致	不误用迟到应答、不提前完成请求
—	stub 误配置、重复实例、停机中断	生产拒绝不安全启动，工作线程能正确退出

上表首列是引用（INV-x 的定义见本文件「不变量」）；同一行可覆盖多个 INV，例如 INV-20 / CLM-3。

声明边界的证据指针：CLM-4 断言放弃行不写标记、不被当作已打标；CLM-9 由作业心跳与回填年龄指标提供观测（指标名见 reference.md「指标与健康」），实际延迟仍需现场数据。

7. 当前已知偏差

本表是偏差标记的唯一出处：其他文档只在相应位置写 G-NAME，不解释、不记进度。偏差只写事实与受影响稳定 ID，不写负责人、日期、进度或 Plane 状态；闭合时在同一变更中删除本行与全仓 G-NAME 引用，关闭证据留在 Plane。

偏差	含义	影响
G-RESP-GUARD	RESP 应答守卫未实现，当前与 DNLD 无差别进入快照写入	请求匹配闭环；C-23
G-REQ-TRACK	REQ_TRACK 无运行时协调器：出站适配、请求编码、超时与应答匹配未实现	US-08；C-24
G-PROC-HST	PROC_STATE_HST 未建表，终态归档未落地	US-11；归档能力
G-FLOP-IDEMPOTENT	29 类 FLOP 幂等矩阵未补全	INV-20、CLM-3
G-REPLAY-CHANNEL	「打标即清除」语义下的独立原文保留通道未设计	CLM-5
G-MAFL	主航班 MAFL 派生投影及主/共享原子级联未实现（规则见 INV-21/INV-22）；MAFL 不是 SIS/XML 入站字段	航班完整态；删除与重建
G-SRVT-VIPF	SIS/XML 的 SRVT、VIPF 无界集合尚未映射到持久化明细；wire/domain 只保留出现事实与原始内容，不参与合并与投递（清空语义见 Q13）	航班完整态；无损字段保存
G-COMPAT-HTTP	compat 入口仍未实现 Q3 定案后的 ResponseDto、媒体类型、字符集、失败响应与请求体上限	C-28；US-02
G-REQ-OPEN-UNIQUE	REQ_TRACK 尚无约束开放态 (REQ_TYPE, OPERATION_DAY, SENDER) 唯一性的部分索引	US-08；G-REQ-TRACK
G-HST-RETENTION	归档目标（PROC_STATE_HST 及后续归档表）的保留期与清除作业未定义	归档只转移不减少容量占用；G-PROC-HST
G-FLIGHT-HIST-RETENTION	航班历史存储（外部）的保留期与容量上限未定义	D1；FLIGHT_SCHD 物理清除后历史存储是唯一副本
G-REQ-TRACK-RETENTION	REQ_TRACK 关闭态行（DONE/EXPIRED）的保留期与清除作业未定义	自有 PG 无界增长；US-08
G-DELIVERY-ORDER	投递按目标级全序推进：一个 FLID 的队头失败会阻塞同目标其他 FLID，尚未收敛到按 FLID 隔离的保序边界	投递吞吐；CLM-7、C-29
G-FLOP-DIRECTION	柜台、转盘、滑槽、登机门、计划机位五类的 FLOP 报文按 AODB→RMS 接收并落库，SIS 要求收到即拒绝（这些资源在 AODB 方向只随日计划下发）	US-05；SIS:3.24、SIS:3.25、SIS:3.26、SIS:3.34、SIS:3.38
G-FLOP-UNMAPPED	XSD FLOP 段的 FFID、UNCL、CKOP、GTOP、CKCL、BDOP、LCTM、BDCL、FRET、FDIV、FLAB、RUNW、PXNO、FLBG、CKPB、BDPB 未解码，解码即丢弃；其中 FRET、FDIV、BDPB 在 legacy 有对应处理	US-05；无损字段保存
G-REF-DATA	参考数据入站（SIS:3.1～SIS:3.14）与 admin-api 刷新均未实现，REF_MASTER 只有目标表定义	US-13、US-14

8. 待确认事项台账

编号	事项	当前假定	阻塞	状态
Q1	权威存储（内部方向）	自有 PG 单库权威 + 无损明细；现场供库目标 Oracle 11g	—	已定案（内部），Oracle 适配与部署验收另计
Q2	信箱 ID 单调、ID 分配→事务可见时延上界、ID 空间不复位；空洞与迟到处置	时延按 5 分钟 max-commit-delay（缺少依据的占位值，不可由 SIS Expiry 推导）	发现完整性声明、空洞老化阈值、水位不可逆性	未确认
Q3	HTTP 契约：媒体类型、字符集、错误码、查询接口对拍	目标与上限见 C-28	兼容入口验收	未确认
Q4	Kafka wire：发送粒度、key、去重标识、分区与批次确认	逐 FLID 发送，key=FLID	投递契约	未确认
Q5	请求匹配：回显字段可靠性与降级匹配	RQFD 60 秒 / RQRD 30 秒超时	请求跟踪闭环	未确认
Q6	重放期限与人工处置期限的取值（唯一作用是决定 R_keep 下界）	R = 30 天；重放/处置期限未定	R_keep 取值	未确认
Q7	处理标记值集与写权限、原文保留期、处理时间语义	写入 PROCESSED	回填值集、保留期下界	未确认
Q8	逐类覆盖清单：真实报文的子类型分布、SIS 未定义的 legacy 子类型（ABTM/DELY/PADT/FTSS/STND/BDPB/REMC）的报文形态、admin-api 21 类清单与字段映射、逐类 golden	航班动态的字段语义与空标签规则已由 SIS SIS:3.19～SIS:3.43 给出，参考数据类别由 SIS:3.1～SIS:3.14 给出；VIPP 的忽略口径 SIS 未写明	积压处置与逐类矩阵的差异标注	暂缓（现阶段不处理）
Q9	清除执行方与 DDL 授权、方案 A/B 选型、分区能力	首选方案 A	R_keep 与清除边界	未确认
Q10	出站消费方、ACK 列语义、出站清理与去重契约	—	出站信箱	未确认
Q11	上游 SEQN 重置周期与业务身份的日期边界	不含日期边界	身份算法	未确认
Q12	积压批次「不再处理」的确认主体、审批留痕与跳过值集	—	积压跳过处置	未确认
Q13	日计划缺失可选字段的删除语义	保留未携带字段；真实消息与 SIS 冲突时以真实消息为准	快照合并	暂缓（测试前不处理）
Q14	主/共享删除顺序与 EROR 回报义务	幂等原子级联	出站事件类型	未确认
Q15	上游是否会以同一业务身份改发正文（决定是否需要区分「重复」与「改发」）	假定期望不可变（C-4）	身份去重语义	未确认
Q16	FLID 重用语义（决定版本是否按 incarnation 作用域）	假定不复用（C-21）	事件合并与 tombstone	未确认

Q 的答复只在本表就地更新（补「结论」与日期），并触发 README.md「维护清单」的落地 4 步；不另开文件。

9. 契约数值

量	定义处	约束
R_keep	C-7	R_keep ≥ max(人工重放期限 + 人工处置期限, 审计期限, 回填重试上限)；「重放窗口内原文仍在」的唯一保证来源
R	reference.md PARAM:msgx.pipeline.overdue-backfill	R ≤ R_keep；只决定强补写与放弃期限，不保护重放窗口
去重记忆期	INV-9	≥ R_keep；否则「归档后重复」不成立
回填放弃清单可见期	C-16	≥ R_keep；否则库方清除缺 C-8 依据