整个会话运行时的重启恢复与 Goal 设计

设计问题：App 或 worker 重启后，如何自动继续原本在执行的会话与 Goal，恢复子任务、审批、上下文和用量，同时不重复未知写入、不恢复用户主动停止的工作。

面向框架开发与产品验收。本文定义目标方案；实现状态集中在文末。范围覆盖 Web、TUI、ACP、后台 Job 和已获授权的子任务；Goal 使用同一聊天执行层。保留 Python Workflow API，不复制另一套执行引擎，不增加通用调度框架，不承诺任意外部操作恰好执行一次。

已核实的现状 · 自动恢复合同 · 全状态恢复矩阵 · 故障验收矩阵

1. 1. 保存目标原目标、完成条件、权限范围和显式预算。
2. 2. 普通聊天工作agent 维护 Todo，使用现有工具及审批。
3. 3. 轮次结束检查结算用量，判断继续、等待、暂停或验收。
4. 4. 验收完成逐项证据成立后提交 achieved；否则继续工作。

默认没有轮数上限。轮数只是诊断信息，不能替代进度或停止条件。短状态工具 create_goal/get_goal/update_goal 保留；它们只读写目标，不在一次函数调用中执行整个任务。

五个 harness：采用什么，不复制什么

以下是基于这些实现作出的 OpenProgram 设计选择，不声称五个项目具有相同的安全、验收或费用保证。参考源码固定到已检查的版本；未运行外部项目的测试。

Codex 的可确认边界：官方 App Server 文档区分 thread/resume、turn/start 和持久 Goal；公开扩展源码在恢复线程时加载 active Goal，在空闲时尝试续轮。这些证据没有证明任意桌面退出、系统重启和工具进程死亡均可恢复原内存或继续原工具。OpenProgram 将“此前运行意图仍有效时自动继续”定义为自己的明确产品合同，不依赖这个未经证实的更强假设。

现状：已有持久化，缺少一致的恢复决策

检查覆盖上述共享入口，不宣称所有资源适配器已经逐个完成故障测试。不能仅凭 UI 暂停推断历史数据已删除，也不能仅凭记录存在推断任务可自动继续。

自动恢复合同：运行意图不随进程消失

在现有 admission / command / restart intent 上补齐持久的 run_intent，不新建平行调度系统。它记录 work_id、原始输入与待消费消息、desired_state（run / paused / cancelled / done）、最近有效控制版本、权限范围、目标 revision、执行宿主身份、父子关系、最后提交进度及恢复策略。原用户请求被可靠保存后才能向客户端确认已接受。

默认自动恢复此前仍为 run 的已授权工作，普通会话与 Goal 一致，不依赖用户重新打开该会话。暂停、停止、完成、审批未通过和预算耗尽均保留。没有 Goal 的普通请求只继续到这次请求完成，不转成无限 Goal。后台任务沿用原有授权和并发额度；重启不允许生成额外子任务。

关闭窗口或前端重载只断开客户端；“退出并停止全部任务”必须持久化用户停止意图。普通 App 退出、升级维护、worker 崩溃和机器重启不隐式等同于用户 Pause。正常退出先停止新准入、保存已接受控制操作和检查点，再退出 worker；强制退出按最后已提交记录恢复。仅存在客户端草稿、尚未被服务端确认的输入不冒充已提交请求。

取消隐藏的两小时恢复有效期；长时间停机也保留运行意图，但继续前重新检查工作目录、宿主、模型和工具可用性、凭据、当前权限与预算。资源不存在或权限已撤销则显示准确等待原因，不自动切换项目、账号、模型或扩大权限。已有显式禁用自动恢复的设置仍有效；旧暂停记录原因不明时保持暂停并提示，不能猜成正在运行。

1. 加载事实：读取运行意图、用户控制命令、消息、checkpoint、effects、waits、资源、用量和投影游标。读取或迁移失败时显示恢复失败，不清空旧状态。
2. 确认所有权：存活执行者重新关联，死亡执行者被 generation fencing 排除；同一工作只由一个宿主恢复。单机恢复不偷偷变成跨主机接管。
3. 修复上下文：合并真实结果，补齐缺失工具输出并记录中断；有完整安全检查点时从检查点继续，否则以相同 work_id 的新 turn 继续，不重复追加用户输入。
4. 作出决定：用户停止优先；随后检查审批、权限、预算、资源和未知效果。可运行进入 queued；待依赖进入 waiting；故障给出可重试原因。所有决定保存到同一控制服务。
5. 准入与续接：经现有公平调度和资源额度启动；按 work_id + 控制版本 + 前序提交点生成稳定 continuation key。保存准入和消费恢复意图不能留下重复窗口，跨库部分用可重试 outbox 收敛。
6. 恢复界面：App/Web/TUI 从 canonical 快照及单调事件序号重建，显示恢复中、排队、工作、等待或失败；展示不是第二套控制逻辑。

恢复协调逻辑属于现有 execution control；服务器和 JobRunner 可以调用同一幂等入口，但不能各自作不同恢复决定。UI orphan cleanup 只修复派生投影，Goal.after_terminal 只提交当前版本的续轮请求。临时故障使用持久重试时间和有上限的退避间隔，不空转模型；持续故障保留待恢复记录，显示错误和 Retry / Pause / End，不删除任务。

全状态恢复矩阵

恢复承诺的是已确认保存的工作状态、运行意图与可重建执行，不是任意进程内存快照。未落盘流片段、已死亡 shell 的交互内存或外部服务丢失的回执必须如实说明，不能用清空任务掩盖，也不能用虚构成功补齐。

一个聊天执行层，五类持久数据

继续复用现有 session、execution、effect、todo、usage 存储，不建设第二套事件平台。需要跨库更新时使用现有可重试通知及唯一操作键；不假设跨数据库原子事务。派生 UI 与统计可重建，原始记录不被派生状态覆盖。

Goal 状态保持 active / paused / blocked / achieved / cancelled / budget_exhausted；执行、等待、验收放在 phase 或既有等待记录中，不组合出重复状态机。兼容 paused_recoverable 的存量读取。revision 或权限改变使旧验收与自动续轮预约失效，旧用量仍归原目标。

中断恢复：先确认执行所有权，再恢复上下文

1. 确认旧执行者：使用现有 owner lease / generation 判断；租约不明、存储不可读时暂不写修复。不能仅凭“连接断开”宣称旧进程死亡。旧 generation 的后续写入被拒绝。
2. 核实子进程：可跟踪的存活进程重新关联并等待或显式取消；不能把仍运行的 shell 当作已停止。失联的远程操作保留未知效果记录。
3. 选择唯一恢复方式：存活 owner 只重新关联；确认死亡且有可验证的安全 checkpoint 时，在同一 execution 下创建新 attempt；仅无可靠 checkpoint 时，取得独占恢复权，以稳定 repair key 补齐缺失输出、结束旧 turn 为 interrupted，再准入新 turn。三者互斥，选择绑定同一持久恢复决定、控制版本和 continuation key，不能既续 checkpoint 又新开 turn。checkpoint 必须覆盖已提交效果并满足现有权限、等待与安全点合同，不能借此重放未知写入。修复重复执行无副作用，真实结果优先，不写虚构用量；迟到且可验证的真实回执追加为核对事件，在后续上下文中替代合成占位。
4. 恢复运行意图：此前仍在运行的普通请求和 active Goal 自动进入统一准入；用户主动暂停的不自动恢复。需要人工处理的只是具体权限、预算、资源或未知操作，不把重启本身作为手动 Resume 的理由。
5. 决定工具行为：新轮次知道哪些调用未开始、哪些结果未知。继续核查和独立工作不受旧未知结果全局锁定；相关写入仍受原审批与恢复限制。

安全边界：read_only / idempotent / state_probe 能力来自受信工具注册信息及执行时保存的实现身份，不接受模型自称只读，不按 read 这个名字猜。一般 shell、第三方 MCP 与自定义工具默认未知。未知写入相关恢复轮次先限制为可信读取与状态查询；没有可靠相关性判断时，不自动开放写入，必须先核对或由用户明确授权。

请求历史修复先按原调用 ID 匹配最近的调用，再执行 provider ID 转换。已有真实输出优先，重复输出取最后保存的真实记录；缺失结果生成确定性的 unknown 占位。调用和结果在请求投影中相邻，用户消息顺序保留；原历史不变。没有对应调用的结果不作为有效工具协议项发送。中断回复保留部分文字并标注中断，不重用不完整的 reasoning 签名。同一回复内重复调用 ID 无法确定归属时明确报错，不猜测执行事实。该转换没有执行权限，也不能替代执行恢复决策。

恢复权限检查使用同一 conversation provenance 确定旧执行与所调用 Job 的范围，不扩大到被调用会话的全部执行。仅真实内置 read、grep、glob、list 的执行函数可作为只读核查；工具名称、acceptEdits 标记和插件自行声明不能替代实现身份。其余操作在下述适用执行范围内存在未知效果时必须获得单次审批，不能使用 bypass、自动分类或既有 allow 规则免除。持久审批绑定新工具调用与未知效果集合，集合变化后重新审批；不会消除旧效果记录。无法读取恢复状态时拒绝执行。此检查是受限新轮次恢复的前置条件，不单独改变旧执行状态或开启 Resume。

这不是针对某个会话放行，也不是只对白名单文件修复。普通聊天和 Goal 共享同一恢复入口。旧效果审计可继续是 unresolved，而其所属聊天轮次结束为 interrupted；相应调整“存在 unresolved 就不允许结束轮次”的旧约束。

只有显式启用的 Goal 才产生 Goal 界面。启动、执行、暂停和验收不会新增聊天卡片。结束时，在对应聊天位置保留一张简洁记录卡片，复用现有附件卡片样式，点击后打开同一个 Goal 详情窗口，以只读方式查看历史。每条记录保存自己的 Goal 快照和聊天位置，后续 Goal 不会替换其内容。输入框继续只显示当前 Goal。由权威执行身份识别的验收消息属于内部记录，不作为助手聊天正文；普通回复保持不变。聊天不会追加评估文本、证据标识或原始报告。终态历史随 Goal 状态通过乐观并发控制保存。实现通过独立规格与质量审查，覆盖终态快照持久化、稳定历史位置、只读详情窗口复用、键盘焦点恢复和普通 JSON 回复保留。完整验证和安装版 App 验收仍是独立发布检查。

Todo 管计划，验收管目标

目标创建时保留原文并提取可核实要求；不明确到会改变任务范围时才询问用户。多步骤任务由工作 agent 维护 Todo，简单任务允许无 Todo。每个必要要求都有证据检查点；新增或删除 Todo 不得隐式删除原要求。

普通工作轮次不运行第二个 judge。工作 agent 提交 complete 候选，或必要 Todo 全部完成且尚未验证时，进入 verifying。先检查当前 revision、必要 Todo、未结束子任务和相关未知效果，再运行一次独立的只读验收；工作 agent 的“完成”文本不是验收事实。

验收按要求输出 met / unmet / unknown 和证据引用；可确定判断的要求检查真实测试回执、文件版本、运行状态等。语义要求由独立模型审查。需要执行测试时沿用普通工具审批和预算；shell 不因为被称作“验证”就变成只读工具。缺少证据返回下一轮补充，不伪造通过。

仅当前 goal_id + revision + 已核验的结果版本允许提交 achieved；提交前重新核对证据版本并比较 Goal 控制版本。可控产物使用版本号或内容摘要，外部事实记录核实时间及查询回执，不声称跨所有外部系统原子验证。完成表示该次核实时条件成立；完成后不默认监控文件或重新开启目标。后续编辑、新请求或明确监控要求另行验收。人工豁免必须作为明确的目标修订并保留原因，agent 不能自行缩小范围。独立验收同样可能出错，不保证绝对正确。

无进展的判定看结果与证据变化，而不是是否调用工具。相同真实阻塞连续出现、且没有独立可做工作时才进入 blocked；有运行 handle 的等待进入 waiting，不空转模型轮次。不以“达到固定总轮数”冒充阻塞或完成。

等待使用既有持久 wait 与 execution 终态通知，保存 work_id / Goal revision、handle、已观察版本及唯一消费键。完成、失败或超时通知仅在运行意图仍为 run、版本相符且无其他当前执行时准入一次；缺失通知由既有 reconciler 按退避间隔查询。重启期间到达的结果先保存，恢复后按相同规则自动继续。暂停、取消或修订使旧唤醒失效，不丢弃结果本身；查询超时不推断外部操作已经停止。

费用：按请求归属，按回执结算

请求发出前固定 goal_id / revision / turn_id / request_id；暂停后的普通聊天没有旧 Goal 归属。子 agent 与验收请求显式继承归属，同一 receipt 只计一次，不同时加父项汇总与子项明细。重试是新的 provider attempt，若产生真实消耗则分别计入。

流式累计 usage 按同一 attempt 更新水位，不对每个累计快照求和。持久回执写入成功后再刷新 Goal 投影；临时失败由相同幂等键重试，重启可重建统计。迟到回执仍计入原 Goal，不因为 Goal 已暂停、结束或编辑就丢弃。

tokens 已知与价格已知分别保存。价格表换代不追溯改写历史报价；估算、已知值、部分未知分别显示，例如“已知 $0.42；另有 1 次请求用量未知”。历史游标数据保留，不推算无法证明的归属。主动运行耗时按持久开始/停止记录累计，暂停与停机不计 active time；恢复不清零。突然失去执行者时保留最后心跳时间，发现崩溃的时间不冒充停止时间；显示已知时长下限和中断时段未知。迟到用量不启动已暂停计时；显式时间限额无法核实时停止新准入，不增加默认限额。

预算默认不设限。用户设置硬费用预算时，未知价格或无法核实的消耗不能当作剩余额度；暂停新的付费准入并说明原因。能够计算请求最大额度时预留额度，否则不承诺绝对不超支。重新读取账本、恢复执行及验收前均重新检查显式预算。

后台 Job 在真实活动调用者的准入边界保存 Goal 身份，启动时恢复该身份并清除无关的临时归属。跨会话调用保存原调用者来源，但不创建跨会话 canonical parent。Goal 和 Job 共用 usage.db 的开始与结算事务；回执保存 Job 预留身份，重启后不依赖内存 governor 重建计量。未知 token 与未知费用分别保留预留额度，累计部分数据只保存下限。未开始的过期预留不能发送，已开始请求不会自动释放。硬预算仅接受已审计的输入与输出上限、明确价格和服务档位，不给未设置预算的 Goal 增加默认限制。

控制与界面：状态、原因、操作同时可见

空 Todo 不显示进度占位或分隔符。按钮权限由后端返回 can_resume / can_verify / can_end 及 reason_code，前端不按一组 status 字符串自行猜测。UI 读取失败显示“状态暂不可确认”和刷新入口，不显示永久无解释的灰色按钮。

用户输入优先于自动续轮；采用已有 steer/queue 语义。续轮去重键绑定 goal_id、revision 和前序已提交 turn；状态检查和准入必须共用版本比较。暂停、编辑、显式取消与新一轮准入竞争时，以持久状态及 generation 校验阻止过期动作。

实施顺序与必须通过的验收

每阶段先公共入口故障复现，再最小实现及回归。普通聊天也覆盖恢复测试，不能仅让一个特定会话通过。验收区分源码、自动测试、本机 App 和远端发布；没有测试或部署证据的设计不标已实现。

重启故障验收：不是只测一次 Resume

通过公开聊天、Goal、Job、审批与控制入口建立任务，在独立测试存储及非用户可见的进程测试中进行真实终止；不得终止用户的当前任务来证明故障恢复。最终可见 App 验收只使用默认实例，并先确认更新不会覆盖无关工作。

• 覆盖前端重载、App 正常退出、worker 正常重启、worker 被强制终止、停机超过原两小时窗口、恢复过程中再次崩溃；宿主重启语义由进程身份变化测试，真实系统重启单列未验收，不自行重启用户机器。
• 断点包括接收输入前后、provider 请求中、tool dispatch 前后、结果提交前后、父子消息投递中、Todo 全完成但尚未验收、完成提交后投影发送前、费用持久化前后。
• 同时恢复多个会话，证明公平排队、共享额度、每个工作单一 owner、重复通知不双执行；恢复期间用户 Pause / End、修改权限或新输入优先，旧版本不得继续。
• 存活子进程只重新关联，非幂等写入结果未知只核查；已接受审批不重复消费，审批未接受不自动批准；晚到结果与晚到费用归原身份。
• 数据库不可用、损坏迁移、缺失凭据、目录不存在、工具版本改变和投影事件丢失均有明确状态及可恢复入口；不能清空历史或停留在无说明的禁用控件。