docs(roadmap): liveness Epic 경계를 확정한다

agent-roadmap/phase/operational-observability-provider-management/milestones/node-provider-execution-liveness-recovery.md

@@ -51,13 +51,13 @@ Node가 provider 실행에 가장 가까운 위치에서 진행 증거와 무응
 
 - [ ] [activity-contract] normalized `RuntimeEvent`와 raw `ProviderTunnelFrame`의 provider-originated activity를 하나의 진행 계약으로 정규화하고 provider-level `response_stall_timeout_ms`의 기본 5분 no-progress clock을 적용한다. 더 이른 request hard deadline과 transport disconnect는 각각 기존 failure로 유지하며 구현과 함께 Provider Execution Runtime·Edge Config/Refresh 계약을 갱신한다. 검증: config default/override/negative validation과 fake clock 기반 run/tunnel 테스트에서 text·reasoning·response start/body/usage가 clock을 갱신하고 terminal은 clock을 종료하며, Node/Edge heartbeat, socket/process 생존, 빈 frame은 갱신하지 않고 hard deadline이나 `heartbeat_timeout`을 stall로 재분류하지 않는다.
 - [ ] [stall-watchdog] no-progress threshold에 도달한 attempt를 단 한 번 `response_stalled`로 전환하고 cancel·exactly-once terminal·late-event fencing을 Node pipeline에서 수행한다. `attempt_fence=confirmed`는 old attempt의 Node emission authority와 로컬 transport/execution ownership이 닫혔음을 뜻하고, `unconfirmed`이면 자동 재실행을 금지한다. 검증: threshold 경계, timer/event/cancel race, close success/failure와 terminal 이후 late delta/frame에서 terminal과 fence 결과가 정확히 한 번 확정된다.
-- [ ] [health-classification] stalled request와 독립된 bounded target-aware provider probe를 실행해 `available`, `unavailable`, `unknown`을 각각 request-stalled/provider-unhealthy/health-unknown으로 분류한다. Node는 adapter/target과 connection-scoped monotonic observation sequence를 내고, Edge는 수신 connection generation 및 immutable dispatch의 provider identity와 일치하는 fresh evidence만 runtime health overlay에 적용한다. 검증: probe 성공·target 없음·network error·unsupported prober·provider identity 없음·stale connection/sequence·identity mismatch·unhealthy 후 recovery fixture가 원 요청의 내부 추론 상태를 추정하지 않고 기대 분류와 fail-closed 복구 전이를 낸다.
+- [ ] [health-classification] stalled request와 독립된 bounded target-aware provider probe를 실행해 `available`, `unavailable`, `unknown`을 각각 request-stalled/provider-unhealthy/health-unknown으로 분류한다. Node는 adapter/target과 connection-scoped monotonic observation sequence evidence를 만들며 Edge runtime health overlay는 이 Task 범위에 포함하지 않는다. 검증: probe 성공·target 없음·network error·unsupported prober·timeout fixture가 원 요청의 내부 추론 상태를 추정하거나 progress를 갱신하지 않고 기대 분류와 adapter/target/observation sequence evidence를 낸다.
 
 ### Epic: [recovery-handoff] Edge 복구 Handoff와 Attempt Fencing
 
 Node가 확정한 stall evidence를 Edge가 안전한 재실행 또는 terminal 결과로 수렴시키는 capability를 묶는다.
 
-- [ ] [failure-handoff] normalized run과 raw tunnel이 같은 stable `response_stalled` failure code, provider health 분류, idle duration, attempt identity, fence 결과와 observation sequence를 전달하고 구현과 함께 Provider Execution Runtime·Edge-Node Runtime Wire 계약을 갱신한다. `Failure.retryable`은 confirmed local fence에 대한 capability hint일 뿐 재실행 승인이 아니며, Node terminal에는 Node가 알 수 없는 `recovery_eligible`을 싣지 않는다. Edge는 immutable dispatch binding을 검증하고 old attempt lease를 정확히 한 번 정리한다. 검증: Edge-Node wire round-trip과 normalized/tunnel lifecycle 테스트에서 secret/raw output 없이 동일 분류가 보존되고 provider identity mismatch가 health projection을 바꾸지 않는다.
+- [ ] [failure-handoff] normalized run과 raw tunnel이 같은 stable `response_stalled` failure code, provider health 분류, idle duration, attempt identity, fence 결과와 observation sequence를 전달하고 구현과 함께 Provider Execution Runtime·Edge-Node Runtime Wire 계약을 갱신한다. `Failure.retryable`은 confirmed local fence에 대한 capability hint일 뿐 재실행 승인이 아니며, Node terminal에는 Node가 알 수 없는 `recovery_eligible`을 싣지 않는다. Edge는 수신 connection generation과 immutable dispatch binding이 일치하는 fresh evidence만 runtime health overlay의 unhealthy/recovery 전이에 적용하고 old attempt lease를 정확히 한 번 정리한다. 검증: Edge-Node wire round-trip과 normalized/tunnel lifecycle 테스트에서 secret/raw output 없이 동일 분류가 보존되고 provider identity 없음·stale connection/sequence·identity mismatch가 health projection을 바꾸지 않으며 current bound fresh evidence만 복구한다.
 - [ ] [bounded-retry] OpenAI-compatible host가 typed stall을 기존 StreamGate recovery intent/cause로 변환하고, `transport_uncommitted`, caller cancel, tool/비가역 side effect, confirmed attempt fence와 공유 request-level recovery budget을 함께 평가해 새 run/attempt identity로 재실행한다. stalled provider는 해당 recovery cycle에서 우선 제외하고, 대체 후보가 없으며 probe가 `available`일 때만 같은 provider 후보를 허용한다. 별도 liveness retry counter를 만들지 않고 recovery owner가 없는 surface, post-commit, unconfirmed fence와 budget 소진은 terminal로 끝낸다. 검증: healthy request stall, unhealthy provider failover, unknown probe, same-provider-only, no-recovery-owner, post-commit, unconfirmed fence와 shared-budget exhaustion fixture에서 중복 dispatch/terminal이 없다.
 
 ### Epic: [liveness-operations] Liveness 운영 증거
@@ -97,7 +97,7 @@ request stall과 provider health를 운영자가 서로 다른 원인 축으로
 - 표준선(선택): 현재 기본 hard timeout은 OpenAI/A2A/Console surface `120s`, service fallback `30s`로 기본 stall timeout `300s`보다 짧다. 이 경로에서는 hard timeout이 먼저 끝나는 것이 정상이며, stall 분류는 effective request timeout이 300초보다 길거나 provider override가 그보다 짧은 요청에서만 활성화된다.
 - 표준선(선택): timeout 진입은 monotonic하다. threshold 뒤 도착한 old attempt event는 새 progress로 되살리지 않고 attempt generation으로 drop한다.
 - 표준선(선택): OpenAI-compatible 자동 재실행은 [OpenAI-compatible 출력 검증 필터](../../knowledge-tool-optimization-extension/milestones/openai-compatible-output-validation-filters.md)가 채택하는 StreamGate commit boundary와 request-local recovery coordinator를 재사용하고 공통 fault budget을 소비한다. 이 Milestone은 별도 기본 재시도 횟수를 추가하지 않는다.
-- 구현 계획 분할 기준: Node observer/watchdog/probe와 execution/wire 변경을 한 slice로, Edge health overlay와 ingress recovery host 결합을 다른 slice로 나눈다. 후자는 plan 생성 시 관련 Milestone인 [IOP 실행 프리셋과 Hot Path](../../knowledge-tool-optimization-extension/milestones/iop-hot-path-one-shot-execution.md)의 최신 OpenAI/StreamGate 변경을 다시 확인한다.
+- 구현 계획 분할 기준: 현재 `liveness-observer` slice는 Node observer/watchdog/probe와 adapter/target/observation sequence evidence 생성을 구현한다. Edge binding 검증과 runtime health overlay의 unhealthy/recovery 적용은 다음 `recovery-handoff` slice의 ingress recovery host와 함께 구현한다. 후자는 plan 생성 시 관련 Milestone인 [IOP 실행 프리셋과 Hot Path](../../knowledge-tool-optimization-extension/milestones/iop-hot-path-one-shot-execution.md)의 최신 OpenAI/StreamGate 변경을 다시 확인한다.
 - 실행 순서: [전역 마일스톤 실행 순서](../../../priority-queue.md)의 `observe-01`을 따른다.
 - 후속 작업: [요청 실행 로그와 Usage Ledger 기반](request-execution-log-usage-ledger-foundation.md), [Provider 부하 메트릭과 Live Queue Dashboard](provider-load-metrics-queue-dashboard.md)
 - 확인 필요: 없음

agent-roadmap/sdd/operational-observability-provider-management/node-provider-execution-liveness-recovery/SDD.md

@@ -7,14 +7,13 @@
 
 ## 상태
 
-[초안]
+[승인됨]
 
 ## SDD 잠금
 
-- 상태: 잠금
-- 사용자 리뷰: [USER_REVIEW.md](USER_REVIEW.md)
-- 잠금 항목:
-  - [ ] [D01] Edge runtime health overlay를 현재 `liveness-observer` Epic의 독립 slice로 둘지, 승인된 계획 분할 기준대로 `recovery-handoff` Epic의 ingress recovery host와 결합할지 결정한다.
+- 상태: 해제
+- 사용자 리뷰: 없음
+- 잠금 항목: 없음
 
 ## 문제 / 비목표
 
@@ -76,8 +75,8 @@
   - common failure: stable `response_stalled` failure code. 기존 `Failure.retryable`은 `attempt_fence=confirmed`일 때만 true가 될 수 있는 capability hint이며 response commit, side effect와 budget을 포함한 재실행 승인은 ingress recovery owner가 별도로 판정한다.
   - wire terminal: normalized run은 exactly-once `RunEvent{type=error}`, tunnel은 exactly-once `ProviderTunnelFrame{kind=ERROR}`로 수렴한다.
   - safe Node metadata: `failure_code=response_stalled`, `provider_health=available|unavailable|unknown`, `idle_duration_ms`, `run_id`, `attempt_id`, `attempt_fence=confirmed|unconfirmed`, adapter/target identity와 `health_observation_seq`; raw provider body, reasoning, prompt, credential과 Edge-owned `recovery_eligible`은 넣지 않는다.
-  - provider identity: Node의 `health_observation_seq`는 connection 안에서만 단조 증가한다. Edge는 wire에 내부 generation을 노출하지 않고 evidence를 수신한 registry connection generation에 묶은 뒤, immutable `RunDispatch`의 `(node_id, provider_id, adapter, target)`과 대조한다. stale connection/sequence 또는 identity mismatch evidence는 health projection에 적용하지 않는다.
-  - provider projection: config health는 immutable config snapshot으로 유지하고 runtime health overlay를 `(node_id, connection_generation, provider_id)`에 별도 관리한다. `unavailable` probe만 bound provider candidate를 runtime unhealthy로 낮추고, 이후 bounded status probe가 낸 current connection의 같은 provider/adapter/target `available` evidence와 더 큰 observation sequence가 있어야 다시 활성화한다. immutable dispatch에 stable `provider_id`가 없거나 adapter/target identity가 맞지 않으면 request terminal evidence만 보존하고 health overlay는 갱신하지 않는다. request-stalled/available과 health-unknown은 provider 전체 장애로 승격하지 않는다.
+  - provider identity: Node의 `health_observation_seq`는 connection 안에서만 단조 증가한다. `liveness-observer` slice는 adapter/target과 observation sequence를 포함한 Node evidence 생성까지 소유한다. Edge의 binding 검증은 `recovery-handoff` slice에서 evidence를 수신한 registry connection generation에 묶은 뒤 immutable `RunDispatch`의 `(node_id, provider_id, adapter, target)`과 대조한다. stale connection/sequence 또는 identity mismatch evidence는 health projection에 적용하지 않는다.
+  - provider projection: `recovery-handoff` slice는 config health를 immutable config snapshot으로 유지하고 runtime health overlay를 `(node_id, connection_generation, provider_id)`에 별도 관리한다. `unavailable` probe만 bound provider candidate를 runtime unhealthy로 낮추고, 이후 bounded status probe가 낸 current connection의 같은 provider/adapter/target `available` evidence와 더 큰 observation sequence가 있어야 다시 활성화한다. immutable dispatch에 stable `provider_id`가 없거나 adapter/target identity가 맞지 않으면 request terminal evidence만 보존하고 health overlay는 갱신하지 않는다. request-stalled/available과 health-unknown은 provider 전체 장애로 승격하지 않는다.
   - recovery: OpenAI-compatible host는 typed stall을 기존 StreamGate recovery cause/intent로 변환하고 `transport_uncommitted`에서만 기존 request-local coordinator의 공유 fault budget을 소비해 새 `run_id`와 attempt identity를 발급한다. 별도 liveness retry counter는 없다. recovery owner가 없는 surface는 typed terminal로 끝난다. 현재 `AttemptController.AbortAttempt`의 cancel 전송 성공만으로 Node local fence를 추정하지 않고, Node terminal의 `attempt_fence=confirmed`와 request-local transport close를 모두 만족해야 다음 dispatch를 허용한다.
 - 금지:
   - Node/Edge heartbeat, TCP 연결, process 생존이나 독립 probe 성공을 원 request의 추론 진행 증거로 사용하지 않는다.
@@ -92,8 +91,8 @@
 |----|----------------|-------|------|------|
 | S01 | `activity-contract` | normalized run과 raw tunnel이 provider default/override 설정으로 실행 중이고 일부 request hard timeout은 stall timeout보다 짧음 | provider text/reasoning/response-start/body, terminal, Node heartbeat, 더 이른 hard deadline과 transport disconnect가 각각 발생함 | provider-originated activity만 last-progress를 갱신하고 terminal은 observer를 종료하며, 짧은 hard timeout과 `heartbeat_timeout`은 stall로 재분류되지 않고 기존 terminal/transport 경계로 수렴한다. |
 | S02 | `stall-watchdog` | terminal 없이 configured threshold 동안 provider progress가 없음 | watchdog, 늦은 provider event와 cancel/close success 또는 failure가 경쟁함 | stall/terminal과 local attempt fence가 한 번만 확정되고 confirmed일 때 old event가 drop되며 unconfirmed일 때 자동 재실행이 금지된다. |
-| S03 | `health-classification` | request stall이 확정됨 | target probe가 available/unavailable/unsupported 또는 timeout을 반환하고 stable provider identity 없음, stale connection/sequence, identity mismatch 및 fresh recovery evidence가 도착함 | request health와 provider health가 분리되고 stable provider identity가 있는 current connection의 bound evidence와 더 큰 observation sequence만 unhealthy를 회복하며 probe 성공을 원 request progress로 기록하지 않는다. |
-| S04 | `failure-handoff` | normalized run과 tunnel이 각각 stall됨 | Node가 typed terminal을 Edge로 전달함 | 두 path가 같은 failure/health/fence 의미를 보존하고 Node metadata에 recovery eligibility가 없으며 identity mismatch는 health를 바꾸지 않고 old attempt lease가 정확히 한 번 정리된다. |
+| S03 | `health-classification` | request stall이 확정됨 | Node의 target probe가 available/unavailable/unsupported 또는 timeout을 반환함 | Node가 request stall과 provider health를 분리해 available/unavailable/unknown, adapter/target과 connection-scoped observation sequence evidence를 만들고 probe 성공을 원 요청 progress로 기록하지 않는다. |
+| S04 | `failure-handoff` | normalized run과 tunnel이 각각 stall되고 Edge가 immutable dispatch binding을 소유함 | Node typed terminal과 stable provider identity 없음, stale connection/sequence, identity mismatch 또는 fresh recovery evidence가 도착함 | 두 path가 같은 failure/health/fence 의미를 보존하고 Node metadata에 recovery eligibility가 없으며, Edge는 current bound evidence만 runtime health overlay와 회복에 적용하고 old attempt lease를 정확히 한 번 정리한다. |
 | S05 | `bounded-retry` | OpenAI 미커밋 request, post-commit request, unconfirmed fence와 recovery owner가 없는 request가 각각 stall됨 | ingress host가 recovery를 평가함 | confirmed·미커밋·side-effect-safe request만 StreamGate 공유 fault budget 안에서 새 run identity로 재실행되고 나머지는 terminal로 끝난다. |
 | S06 | `ops-evidence` | provider-available request stall, provider-unhealthy, stale health evidence와 후속 recovery가 발생함 | Node/Edge metric·log와 provider snapshot을 조회함 | request liveness, fence/probe와 Edge commit/recovery 결정이 분리되고 stale evidence가 거부되며 high-cardinality/raw content가 노출되지 않는다. |
 
@@ -103,8 +102,8 @@
 |----------|-------------------|------------------|---------------------------|
 | S01 | config validation과 fake clock 기반 normalized/tunnel activity/deadline/transport table test | `agent-task/m-node-provider-execution-liveness-recovery/...` | `activity-contract` Task id, default/override/negative, terminal stop, activity reset, shorter hard timeout과 transport precedence assertion |
 | S02 | threshold·timer/event·cancel/close race와 exactly-once terminal/fence test | `agent-task/m-node-provider-execution-liveness-recovery/...` | `stall-watchdog` Task id, confirmed/unconfirmed fixture와 late-event fence assertion |
-| S03 | available/unavailable/unsupported/timeout, provider identity 없음, stale connection/sequence, identity mismatch와 fresh recovery prober fixture | `agent-task/m-node-provider-execution-liveness-recovery/...` | `health-classification` Task id, request/provider 분리, fail-closed binding validation과 fresh observation recovery assertion |
-| S04 | RunEvent/ProviderTunnelFrame wire round-trip와 queue lifecycle test | `agent-task/m-node-provider-execution-liveness-recovery/...` | `failure-handoff` Task id, stable code/fence metadata, no recovery eligibility와 release-once assertion |
+| S03 | available/unavailable/unsupported/timeout target prober fixture와 Node evidence 생성 test | `agent-task/m-node-provider-execution-liveness-recovery/...` | `health-classification` Task id, request/provider 분리, adapter/target/observation sequence와 원 요청 progress 비갱신 assertion |
+| S04 | RunEvent/ProviderTunnelFrame wire round-trip, provider identity 없음, stale connection/sequence, identity mismatch, fresh recovery와 queue lifecycle test | `agent-task/m-node-provider-execution-liveness-recovery/...` | `failure-handoff` Task id, stable code/fence metadata, no recovery eligibility, fail-closed binding validation, runtime health overlay recovery와 release-once assertion |
 | S05 | StreamGate commit-boundary/shared-budget, provider-pool failover와 no-owner terminal test | `agent-task/m-node-provider-execution-liveness-recovery/...` | `bounded-retry` Task id, recovery-owner gating, new run identity와 bounded dispatch count assertion |
 | S06 | Node/Edge metric label guard, structured log capture와 provider snapshot overlay recovery test | `agent-task/m-node-provider-execution-liveness-recovery/...` | `ops-evidence` Task id, liveness/fence/health/commit/recovery 축과 raw-free evidence |
 
@@ -123,11 +122,12 @@
 ## 사용자 리뷰 이력
 
 - 2026-07-29: 사용자가 agent가 아니라 IOP 내부 Node 관측 pipeline이 감시를 소유하고, 5분 no-response 뒤 provider health를 분리 판정해 재요청하는 방향을 승인했다.
+- 2026-08-03: 사용자가 D01 추천안을 승인했다. `health-classification`은 Node-side probe 분류와 evidence 생성까지 소유하고, Edge runtime health overlay의 binding 검증·unhealthy/recovery 적용은 `failure-handoff`에서 ingress recovery host와 함께 구현한다.
 
 ## 작업 컨텍스트
 
 - 표준선: Node는 execution-local liveness, local attempt fence와 probe evidence를 소유한다. Edge service는 provider lease·candidate eligibility를, ingress recovery host는 response commit·bounded retry를 소유한다. Control Plane은 projection을 소비할 수 있지만 canonical 실행 상태나 watchdog을 소유하지 않는다.
 - 재사용 기준: OpenAI-compatible 경로는 [OpenAI-compatible 출력 검증 필터 SDD](../../knowledge-tool-optimization-extension/openai-compatible-output-validation-filters/SDD.md)의 StreamGate commit/recovery 경계를 사용한다. liveness failure는 Node 관측 결과를 소비하는 recovery cause/intent이며 별도 output content filter나 retry coordinator가 아니다.
 - 현재 구현 차이: `response_stalled` failure/wire metadata, provider runtime health overlay와 `response_stall_timeout_ms`는 아직 구현되지 않았다. raw tunnel subscriber도 Node disconnect만으로 즉시 닫히지 않고 ingress wait timeout/cancel에 의존한다. 기존 `ProviderProber`, terminal emitter, provider tunnel release-once와 StreamGate recovery coordinator를 확장하며 구현 완료로 간주하지 않는다.
-- 계획 분할 기준: Node observer/watchdog/probe와 execution/wire 변경을 한 slice로, Edge health overlay와 ingress recovery host 결합을 다른 slice로 계획한다. 후자는 plan 생성 시 [IOP 실행 프리셋과 Hot Path](../../knowledge-tool-optimization-extension/iop-hot-path-one-shot-execution/SDD.md)의 최신 OpenAI/StreamGate 변경을 다시 확인한다.
+- 계획 분할 기준: `liveness-observer`의 `health-classification`은 Node observer/watchdog/probe와 adapter/target/observation sequence evidence 생성까지 구현한다. Edge binding 검증과 runtime health overlay의 unhealthy/recovery 적용은 `recovery-handoff`의 `failure-handoff`에서 ingress recovery host와 함께 구현한다. 후자는 plan 생성 시 [IOP 실행 프리셋과 Hot Path](../../knowledge-tool-optimization-extension/iop-hot-path-one-shot-execution/SDD.md)의 최신 OpenAI/StreamGate 변경을 다시 확인한다.
 - 후속 SDD: [요청 실행 로그와 Usage Ledger 기반 SDD](../request-execution-log-usage-ledger-foundation/SDD.md)

agent-roadmap/sdd/operational-observability-provider-management/node-provider-execution-liveness-recovery/user_review_0.log

@@ -2,7 +2,7 @@
 
 ## 상태
 
-요청됨
+해결됨
 
 ## 검토 대상
 
@@ -23,12 +23,12 @@
 
 ## 승인 항목
 
-- [ ] 위 결정 항목을 승인했다.
-- [ ] SDD 잠금 해제를 승인했다.
+- [x] 위 결정 항목을 승인했다.
+- [x] SDD 잠금 해제를 승인했다.
 
 ## 답변 기록
 
-- 없음
+- 2026-08-03: 사용자가 추천안을 승인했다. Edge runtime health overlay의 binding 검증과 unhealthy/recovery 적용은 다음 `recovery-handoff` Epic에서 ingress recovery host와 함께 구현한다. 현재 `liveness-observer` Epic은 Node observer/watchdog/probe와 Node-side health evidence 생성까지 구현한다.
 
 ## 해결 조건