运维与恢复
诊断顺序
- 固定 release version、tag、commit、pipeline、job、bundle digest 和目标环境。
- GitLab validate/build/seal失败：修复 owning source；identity-bearing input改变后必须新 version/tag，不移动旧 tag。
- TEST render/promotion失败：核对 artifact、branch、MR exact head、branch CI 与 master desired-state readback；不手改 generated files。
- Argo TEST失败：分别读取 application revision/sync/health、migration、workloads、image digests、endpoint 和 e2e evidence。
- runtime side effect存在但readback不明：停止新 mutation，只做有界、幂等对账。
- TEST acceptance失败：提交普通 fix MR并发布新 immutable release；不推进当前 release 到 PRODUCTION。
- PRODUCTION promotion 或 reconciliation 失败：核对 tag pipeline、promotion MR exact head、branch CI 和 Argo/runtime evidence；修复通过新版本发布，不重放旧 tag 或直接改 cluster。
上界
每个自动修复阶段必须记录最大尝试次数、最长耗时和最后失败分类。达到任一上界、连续重复同一失败、身份漂移或终态不明时转人工处理，不得无限重试。
禁止路径
不得使用 latest ref、mutable tag、手工 registry retag、直接 Kubernetes/DB 写入或绕过 MR 的 desired-state 修改作为恢复手段。不得切换到 DSH/TeamCity 作为 Plane release fallback；仓库原生 控制不可用属于 owning release surface 故障。
完成标准
failure class、side effect、exact evidence、repair MR、外部 CI/Argo结果、未满足 gate 和 residual risk 均有记录。