# 架构文档清洗与闭环审查

> 历史证据：保留下文编写当时的范围、发现和检查计数，不作为现行政策或未决台账。当前业务机制见[确认政策](../../architecture/05-domain/CONFIRMATION-POLICY.md)，剩余事项见[DECISIONS](../../architecture/DECISIONS.md)，来源分工见[事实源索引](../../architecture/SOURCE-AUTHORITY.md)。后续确认已部分收敛拆单、取消、计价与时间规则，不回写旧结果伪造当时已验证。

> 2026-09-29 · 主会话文档自审；非独立评审、非S7全量清洁轮、非锁定设计签署。
> 用户最新范围：清洗审查架构，不做原型映射。阅读入口：[架构总设计](../../architecture/ARCHITECTURE.md)。

## 1. 本次修改及有限范围

| 文件组 | 实际处理 | 没有据此宣称完成的内容 |
| --- | --- | --- |
| architecture/README、ARCHITECTURE | 建立顺序入口和十域责任、事实线、运营及恢复总设计 | 没有把十域等同十个服务，没有复制精确状态表 |
| WEEKLY-CARE-PLAN | 清理现行业务原则，移除旧原型差异及页面文案主讲，保留历史证据引用 | 不评估或修改当前原型行为 |
| WEEKLY-CARE-FLOW | 补实收但商业未成立、拒绝、异常核验及退款未决的出口；增加14类恢复场景 | 部分交付、售后等精确合同仍未完成 |
| TRANSACTION-INTEGRITY、model-05/06、CONSISTENCY | 统一支付/结算/换菜名称、避免双份每日确认事实、纠正一次购买只出一单的歧义 | 不冻结共享字段、数据库结构或商业分组 |
| DECISIONS | 集中14项定案条件，承接历史上下文Q项，不抹去未决 | 不伪造政策批准、实际岗位或已通过的运行测试 |
| REQ-DW-ARCHITECTURE-CONVERGENCE | 将未绑定草稿范围收窄为架构文档清洗审查 | 未锁定、未绑定，没有Runtime迁移 |

本轮沿用既有交易审查作为输入，不将其原测试计数充当本次新验证；保留其他后台、设计与运行控制面的未提交变更。未改两端原型、页面、状态JSON或验证脚本，也未提交、推送或部署。

## 2. 发现与修正

| ID | 问题与反例 | 本次结果 | 剩余边界 |
| --- | --- | --- | --- |
| AC-01 | 阅读主线混合历史差异、当前原则和页面文案；旧20:00容易被当现行合同 | 业务正文只保留原则，历史来源留链接；总设计明确主讲位置 | 历史文件不逐篇重写，不能将旧报告当活动政策 |
| AC-02 | 支付在TI称PaymentGoal/Receipt，在模型卡称PaymentIntent/PaymentTransaction；结算执行与对账混读 | 统一规范名称和同义关系，区分目标、尝试、实收、结算执行、结果与对账 | 未发布字段Registry，不直接生成产品类型 |
| AC-03 | Reservation与DeliveryInstruction都像每日安排根；Substitution与ReplacementRequest都像换菜流程 | 鲜配确认统一由DeliveryInstruction维护；换菜统一由ReplacementRequest协调 | 其他预约模式及聚合最终拆合受D-10/12约束 |
| AC-04 | 流程付款成功只有商业成立出口，遗漏收钱但订单不能成立 | 增加原款关联、阻断执行、有来源补偿及独立结算责任 | 精确退款时点与分摊受D-04/05约束 |
| AC-05 | 图中拒绝、异常、退款核验像断头节点 | 补权威读取、合法恢复、原目标查证和结束条件，明确不是状态回滚 | 没有证据仍待核验，不为了画闭环强制变终态 |
| AC-06 | “唯一订单”可能被读成整周一单；任一单结束直接进入S可能被读成立即整批退款 | 改为被接受拆分范围的唯一效果，明确S等待稳定批次范围及计价 | 最终分组仍D-02，不能整单关闭其他餐次 |
| AC-07 | 工作台、异常接手可被误当人工万能兜底 | 总设计分开自动责任、源业务事实和工作责任；授权不足不代办 | 实际人员、升级链与预算D-06/07仍缺 |
| AC-08 | “完整架构”可能被六机结构PASS替代 | 明示六机以外生命周期、业务guard和物理并发仍未验证；保留定案条件 | 当前不能声明全系统最终定稿 |

## 3. 第二遍反证核对

第一遍核对主张是否出现；第二遍专门寻找会推翻它的边界。以下是文档分析，不是运行用例通过。

| 维度 | 反例 | 当前文档约束 / 未完项 |
| --- | --- | --- |
| 正常 | 已付款是否就能切配 | 不能；每日授权、当前门禁、资金与质量分别成立 |
| 拒绝 | 新报价被拒绝后旧菜会不会默默取消 | 未改变原义务前拒绝保留原事实；冻结后不得静默恢复，D-03仍需具体权利矩阵 |
| 边界 | 提前恰好两小时、临近收费和最晚确认是否混成一条线 | 免费边界含等号；最晚确认与费用界限分开，D-01未定 |
| 并发 | 新旧订单各自版本正确却同时作业 | 还需谱系数量守卫、同门禁freeze/start与现场fence；D-09未验证 |
| 资金 | 旧款在退款UNKNOWN中又用来抵新单 | 不可用，保留预留；原款额度共同裁决 |
| 部分成功 | 旧单已关闭、新单补款失败 | 旧终态保留；原目标核验或补偿，不能自动复原；退款时点D-05 |
| 迟到 | 取消后支付成功通知到达 | 记录真实实收并独立处置，不恢复订单或配送 |
| 权限 | 员工离职，未退的钱从责任队列消失 | 新人工动作拒绝，既有义务由受限恢复身份继续；实际岗位D-07 |
| 终点 | 工单被移交，是否可以标退款成功 | 不可以；源资金回执才决定退款结果 |
| 迁移 | 从备份恢复后再次发旧退款/切配 | 先核验渠道/现场事实和旧fence，不能数据库回退现实；D-11待演练 |
| 扩展 | 完成订单之后才收到售后/相反外部结果 | 独立售后/Adjustment，不开原终态；具体新对象生命周期D-10 |
| 整体覆盖 | 十个子域卡和六类状态机是否代表所有能力已设计 | 不代表；子域仍有占位，身份/质量/售后/隐私/会计等需专项收敛 |

## 4. 验证及证据限制

重新运行 `node docs/architecture/state/verify-fresh-delivery.mjs`：6类机器、41条迁移、280个拒绝探针、54个有序竞争探针、3个故意损坏定义被拒绝；输出仍明确业务guard未实现、生产并发未测试。仅证明候选结构满足脚本检查，不证明资金守恒、真实并发或完整业务可达。

运行 `git diff --check`，无空白错误。对架构目录非模板Markdown及本报告、范围草稿共51个文件检查297个本地链接目标，缺失0；该检查只验证目标文件存在，不验证所有章节锚点或Mermaid渲染。链接可达不是业务批准或流程安全证明。没有执行支付、物理作业、数据库、原型、迁移或发布测试。

## 5. 结论与未完成项

当前已有单一阅读主线，并修正本表列出的术语、责任与流程出口歧义。仍不能诚实声称“全部架构最终定案且逻辑完全闭合”：D-02/03/04/05影响交易粒度、变更权利和实际结算；D-08/09/10影响外部、物理及其他生命周期契约；其余条件同样不得丢失。

本轮自审不关闭这些未知，也不改写历史评审结论。下一步应依据[定案条件](../../architecture/DECISIONS.md)逐项收敛业务取舍和必要合同，而不是直接映射或修改原型。维护追踪由主会话承担，业务决定仍归用户，真实长期岗位未指定。