feat(ql3): establish 3.0 incubation baseline

docs/adr/ADR-0205-physical-edge-init-managed-service-start-evidence.md

@@ -0,0 +1,141 @@
+# ADR-0205：物理 Edge Init-managed Service 首次 Active 候选证据
+
+- 状态：Accepted
+- 日期：2026-07-29
+- 关联 RFC：QL-RFC-0001 D-86、D-87、D-175、D-194、D-195
+- 关联 ADR：ADR-0088、ADR-0193、ADR-0194、ADR-0204
+
+## 背景
+
+ADR-0204 已证明不同 Linux boot 中，最终 AI-excluded native application closure
+可以从 recorder `spawn()` 到唯一正式 `active`，但 recorder 本身已经加载 Node，
+也没有经过 systemd/OpenRC。它因此仍把
+`power_on_cold_node_and_service_manager_start_to_first_ready` 保留为 broad Gate。
+
+完整 firmware 上电时间不能从 Linux 用户态可靠取得。`/proc/uptime` 从 Linux
+内核时钟开始，不包含 bootloader/firmware；安全实现必须拆开这一边界，而不是把
+kernel uptime 改名为 power-on latency。
+
+## 决策
+
+### 1. 新增非 package、无自动整机 authority 的三阶段记录器
+
+根命令 `evidence:physical-edge-service-start` 提供：
+
+- `inspect`：复用 ADR-0204 的 exact 12-package artifact 与 Node inventory；
+- `prepare`：创建 fresh Edge deployment、证据 wrapper、FIFO 和 digest-bound
+  session；
+- `resume`：只读核验新 boot、init 状态、进程身份和正式 active 后发布 report。
+
+记录器不新增 workspace package、生产依赖、daemon、timer、watcher、端口或
+Cluster import。它绝不执行 `install`、`systemctl enable/start`、`rc-update`、
+`rc-service start`、reboot、poweroff、stop、disable 或文件清理。
+
+### 2. Operator 必须显式安装并启用 exact descriptor
+
+prepare 使用正式 `prepareLocalDeployment`：
+
+- Profile 固定为 Edge；
+- service kind 由 manifest 固定为 `systemd|openrc`；
+- 仍使用 production renderer 的 User/Group、WorkingDirectory、resource limit、
+  SIGTERM、restart 和 hardening contract；
+- systemd 的 probe 目录位于 deployment root 内，满足
+  `ProtectSystem=strict + ReadWritePaths=<deploymentRoot>`。
+
+prepare 输出而不执行：
+
+- descriptor source/destination 与 SHA-256；
+- `/usr/bin/install` 的逐参数 invocation；
+- `systemctl enable <unit>` 或 `rc-update add <service> default` 的逐参数
+  invocation。
+
+session 精确绑定这些参数、目标 mode、service name、status manager 与 enable
+executable/hash、wrapper hash、artifact/Node、UID、prepare boot 和所有 scratch
+path。systemd 两者都是 `systemctl`；OpenRC 分别是 `rc-service` 与 `rc-update`。
+operator 审查后以 root 安装/enable，再在工具外正常重启。resume 要求目标
+descriptor 为 root-owned、single-link、exact mode/content。
+
+### 3. POSIX wrapper 在 Node 之前建立时间锚点
+
+证据 wrapper 是私有 `0700` POSIX shell 文件。它在执行 Node 之前：
+
+1. 复验 exact `node --config <path>` 参数和已准备 FIFO；
+2. 从 `/proc/sys/kernel/random/boot_id` 与 `/proc/uptime` 读取 boot/start；
+3. 以 noclobber 创建 `0600` start/event/stderr 文件；
+4. 才启动 exact Node binary、正式 `@qinglong/local-application/dist/cli.js` 和
+   production config。
+
+wrapper 逐行复制 application stdout。遇到同时包含正式 component/event/Profile/
+AI status 的候选行时，立即读取同一 `/proc/uptime`，以 event ordinal 发布一次性
+active record。resume 使用 Node exact JSON parser 重新验证整个 event log、唯一
+active 和 ordinal；shell substring 不能自行形成通过结论。第二个 active、已有
+record、partial JSON、非零 stderr 或 boot/monotonic 逆序均失败关闭。
+
+wrapper 不是旁路 daemon：它就是 evidence service 的 main process，转发终止信号，
+并等待唯一 Node child。systemd 必须把 wrapper PID 报为 `MainPID`；OpenRC 必须由
+`rc-service status` 和 default runlevel 同时证明 active/enabled。
+
+### 4. Resume 必须复验实时 service 与进程树
+
+resume 在读取报告文件前要求：
+
+- 与 prepare 不同且与 wrapper record 相同的 boot ID；
+- 当前 boot age、架构、文件系统、UID、Node 和 manifest 一致；
+- `virtualizationIndicators` 为空，容器/VM 直接拒绝；
+- artifact metadata、wrapper、manager 和 installed descriptor 未漂移；
+- systemd `loaded/active/running/enabled`、exact FragmentPath/MainPID，或 OpenRC
+  active + default runlevel；
+- wrapper/node PID 仍存活，Node PPid 为 wrapper，UID、`/proc/exe` 与完整 cmdline
+  精确匹配。
+
+最后重算完整 artifact content。报告记录：
+
+- `serviceStartBootAgeMs`；
+- `activeBootAgeMs` / `bootToActiveMs`；
+- `serviceStartToActiveMs`；
+- active event ordinal 和 live process start ticks。
+
+所有三项时延都必须落在 manifest 的显式预算内。report 与统一 importer 都重新
+计算 qualification，不能信任报告自带 `passed:true`。
+
+### 5. 结论继续保持候选与窄作用域
+
+通过的报告增加：
+
+`kernel_boot_to_init_managed_native_application_active`
+
+并把 broad Gate 细化为仍未完成的：
+
+- `firmware_and_bootloader_power_on_to_linux_kernel_clock`；
+- `direct_release_unit_without_evidence_wrapper`。
+
+报告永久 `supported:false`，并明确不证明 exclusive cold page cache/dynamic
+linker provenance、active 前 RSS/I/O、service stop/disable、突然断电、Compose、
+Standalone/Cluster 或 release attestation。证据 wrapper 将测得时延作为安全上界，
+但它不是最终直连 Node 的 release unit；必须保留 equivalence Gate。
+
+## 验收证据
+
+- Linux recorder manifest/CLI/wrapper/session/record/init/report/POSIX
+  syntax/OpenRC executable split/virtualization/FIFO-child 契约 13/13；
+- importer same-device/current-boot/qualification 再裁决与 remaining Gate 细化
+  3/3；
+- importer 3/3，Linux 专项合计 16/16；macOS 为 12 pass/1 条件 skip；
+- exact Node 24.18.0 bookworm-slim digest 在只读 rootfs、无网络、cap-drop、
+  no-new-privileges、128 MiB/64 PID 下完成真实 FIFO、active ordinal 和 SIGTERM
+  wrapper smoke；该容器只证明脚本兼容，不是物理/init 报告；
+- wrapper 静态门不含 reboot/poweroff/systemctl/rc-service/rc-update/sudo；
+- 实现不新增 workspace package、生产依赖或常驻采集资源。
+
+macOS 开发机不能运行 Linux PID 1、`/proc` 和真实 enable/reboot，所以没有产生
+物理报告。Accepted 只表示协议、采集器和失败关闭门已实现；固定 systemd/OpenRC
+设备的 operator install/reboot/resume 仍是发布候选 Gate。
+
+## 被拒绝的替代方案
+
+- **使用 `Date.now()` 作为 power-on 时间**：墙钟可跳变，也没有 firmware 起点。
+- **由 Node recorder 在 reboot 后启动 Node**：Node 已被 recorder 自己预热。
+- **自动安装/enable/reboot**：扩大整机破坏 authority，且不能保留人工审查边界。
+- **只读取 journal 文本时间**：日志持久化、clock domain 和旧 boot 过滤不稳定。
+- **把 wrapper descriptor 称为最终 release unit**：证据 shim 改变了进程树。
+- **新增 boot-agent package/daemon**：增加低配 Edge 的交付和常驻成本。