docs: 固化公共运行面故障止步边界

.agents/skills/unidesk-daddev/SKILL.md

@@ -32,6 +32,46 @@ description: UniDesk 分布式敏捷开发流程，覆盖真实运行面探测
       - 主动撤销临时 patch，或确认它已被声明式交付覆盖；
       - 禁止长期保留隐藏运行面真相。
     - P4 用用户报告的同一入口或 Web 等价 CLI 验收；单测、PR、构建和理论推导不能单独关闭 issue。
+  - 公共运行面事故最短路径
+    - 适用范围
+      - 两个及以上业务、消费者、Provider 或受控通道在相近时间出现连接失败、超时或拒绝连接；
+      - Kubernetes API、公共 registry、共享入口、跨节点隧道或 backend-core 等公共依赖出现故障；
+      - 用户明确要求只恢复公共运维，不要求继续处理具体业务。
+    - 共性输入
+      - 节点、lane、route、namespace、service、endpoint 和网络参数必须来自 owning YAML；
+      - 运行面对象、阈值和重试预算必须来自对应领域受控 CLI；
+      - 不把本次节点名、Provider id、地址、端口、issue 或日期写入通用流程。
+    - 最短证据链
+      - 先确认公共服务进程或 systemd unit 是否 active；
+      - 再确认公共服务自己的 readiness、API 或受控 status 是否可读；
+      - 最后确认一条共享网络路径及至少两条独立消费者通道；
+      - 三层证据已能定位共享故障时，停止逐个探测业务和 Provider。
+    - 分类与恢复
+      - 多个独立消费者同时失败时，优先分类为共享控制面、共享入口、registry 或跨节点网络故障；
+      - Kubernetes API 明确拒绝连接时，先恢复 API authority，再解释依赖它的业务读失败；
+      - k3s 明确报告 `server/cred/passwd` 新于 datastore 时，将其视为可重建派生凭据漂移：
+        - 只通过 owning k3s 受控恢复入口把该文件移动到受保护备份；
+        - 重启 k3s 并等待 readiness；
+        - 禁止删除 datastore、重置集群或把派生文件反向当作配置真相。
+      - WireGuard unit active 不能单独证明数据通道健康：
+        - 同时检查最近握手和 owning YAML 声明的最小连通探针；
+        - 只有握手过期且探针失败时，才通过受控入口重启对应接口；
+        - 网络恢复后不得顺带重启或重配具体 Provider。
+      - 公共 registry `connection refused` 与运行镜像 `ImagePullBackOff` 同时出现时，先恢复 registry；
+        - runner、claim、Provider 未启动属于下游症状；
+        - 不先归因于 Provider 执行耗时或业务调度。
+    - 变更边界
+      - 只做能恢复共享面的最小、可逆动作；
+      - 不使用全量 apply 代替已存在的窄域恢复入口；
+      - 临时运行面 patch 必须记录备份或回退方式，且不能成为第二 authority；
+      - 需要修改 owning YAML、公共 CLI 或 renderer 时，转入 P3 的独立 worktree、PR 和声明式交付；
+      - 用户未授权具体业务或 Provider 时，不修改它们的配置、进程、数据或交付链。
+    - 验收与停止条件
+      - 公共服务 active 且 readiness 成功；
+      - 共享网络探针成功；
+      - 至少两条原先同时失败的独立受控通道成功，或 owning CLI 提供等价聚合证据；
+      - 满足上述条件后，公共运维任务立即结束；
+      - 业务仍有问题时只记录为独立业务故障，不继续扩大当前公共运维范围。
   - 项目适配器
     - 本 skill 只规定阶段目标、边界和证据合同。
     - 分支、workspace、PR、rollout、git mirror、artifact、issue close 命令属于目标项目适配器。