Implement WebAssembly runtime and kinematics coverage

docs/linuxcnc-web-wasm-execution-strategy.md

@@ -3,7 +3,7 @@
 **文档状态**：Draft v0.1
 **适用范围**：本仓库的纯 Web/WASM 仿真移植、浏览器运行时、OPFS 工程存储、覆盖矩阵和发布物
 **固定基线**：LinuxCNC `2.10.0~pre0`（以 `linuxcnc/VERSION` 和锁定的源码提交为准）
-**关联文档**：[技术路线](linuxcnc-web-wasm-technical-roadmap.md)、[仿真全功能覆盖矩阵](linuxcnc-web-wasm-simulation-coverage.md)、[功能与源程序关联目录](linuxcnc-web-wasm-source-map.md)、[前端与 LinuxCNC 通信详细设计](linuxcnc-web-wasm-frontend-communication-design.md)、[总控执行手册](linuxcnc-web-wasm-integration-playbook.md)、[上下文治理与最小任务目录](linuxcnc-web-wasm-context-governance.md)
+**关联文档**：[技术路线](linuxcnc-web-wasm-technical-roadmap.md)、[完整仿真机床实施蓝图](linuxcnc-web-wasm-full-port-implementation.md)、[运动学完整移植计划](linuxcnc-web-wasm-kinematics-migration-plan.md)、[仿真全功能覆盖矩阵](linuxcnc-web-wasm-simulation-coverage.md)、[功能与源程序关联目录](linuxcnc-web-wasm-source-map.md)、[前端与 LinuxCNC 通信详细设计](linuxcnc-web-wasm-frontend-communication-design.md)、[总控执行手册](linuxcnc-web-wasm-integration-playbook.md)、[上下文治理与最小任务目录](linuxcnc-web-wasm-context-governance.md)
 
 本文件是项目执行的治理入口。技术路线回答“做什么以及采用什么架构”，覆盖矩阵回答“逐项覆盖什么以及如何验收”，本文件回答“谁在什么固定上下文中交付、如何在断网或失败后接续、什么证据才能过门禁”。三份文档必须以同一基线版本更新；若规则冲突，以本文件的交付门禁和覆盖矩阵的逐项验收要求为准。
 
@@ -76,6 +76,8 @@ M0 必须冻结来源扫描和规范化规则；每个来源项至少映射到
 
 “固定上下文”指每次任务交接和每次提交都重新装载一个固定格式、固定预算的上下文包，而不是把整个历史对话、全部日志或已完成阶段重新带入。上下文包是可丢弃的工作索引；完整源码、日志、golden 和差异报告留在仓库或 CI 产物中，只通过路径和摘要引用。
 
+启动顺序同样受预算约束：先只读取 `nextTask.md` 指针（不超过 8 KiB），再按当前子任务读取 `context-lock.json` 摘要和直接输入。`docs/task-history.md`、完整路线图、覆盖矩阵、`coverage/*.jsonl` 和完整 stdout/stderr 均为按需 L3 资料，不能在启动时批量加载。
+
 上下文包使用固定的八段结构，逻辑预算为 **8,192 tokens，UTF-8 序列化不超过 32 KiB**。实现上由 [`scripts/context_packet.py`](../scripts/context_packet.py) 在选择证据时执行预算；校验器不能成为第一次发现超限的地方。每段有上限，缺省内容用 `none`，不得追加自由历史段：
 
 | 段 | 固定内容 | 建议上限 |
@@ -91,6 +93,19 @@ M0 必须冻结来源扫描和规范化规则；每个来源项至少映射到
 
 包的 `packet_id` 由 `context_id`、任务 ID 和修订号组成；修订只替换对应段，不复制旧包。超过任一段上限或总预算时，必须先拆分任务、生成摘要或把内容移到可寻址产物，不能扩大上下文预算。每次交接从最新包重建，旧包只保留哈希和归档链接，因此移植从阶段 A 深入阶段 E 时，上下文大小不变。
 
+模型调用还必须显式保留输出空间：
+
+```text
+request_input_tokens = packet_input_tokens + fixed_overhead_tokens
+model_context_window >= request_input_tokens + max_output_tokens + safety_margin
+```
+
+请求前由 `validate_model_budget.py` 阻断超限；请求后还必须由 `validate_provider_response` 校验 provider 返回的 usage，确认 `output_tokens <= max_output_tokens`。若 `finish_reason` 为 `length`/`max_tokens`/`max_output_tokens`，只保存 metadata-only checkpoint 并从最新 packet 发起更小的新请求，不能把截断响应追加回下一轮。
+
+`fixed_overhead_tokens` 必须由调用方按当前请求重新计数，不能把上一次请求的历史累加进去。`max_output_tokens` 应按任务类型固定（文档 768、feature 1,024、contract 1,536、milestone 2,048 的默认上限），而不是使用模型的最大值；调用参数只能缩小 profile 的输入/输出预算，不能放大。`context_packet.py` 的字节、证据文件数和令牌覆盖值同样只能缩小 profile。没有 provider tokenizer 时按 UTF-8 字节作硬上界，拿到精确令牌数后可用 `--input-tokens` 替换估算。输入包达到预算 80% 或模型返回 `context_length_exceeded` 时，先移除最低优先级证据、缩短摘要或拆分子任务；不得把旧对话和失败响应再次拼回请求。
+
+流式调用必须由 [`scripts/model_stream.py`](../scripts/model_stream.py) 的有界 SSE 解码器消费。只有 `response.completed` 且 `usage.input_tokens/output_tokens/total_tokens` 一致、输出未超 `max_output_tokens` 时才标记可复用；中途断流、解码失败、`response.failed`、上下文超限或 `response.incomplete` 只生成 metadata-only checkpoint。恢复动作固定为丢弃可选证据并从新 packet 重建，禁止续接半截文本或重试同一个超大请求。
+
 #### 生成阶段的预算算法
 
 证据选择必须在写入输出文件前完成，按以下顺序执行：
@@ -99,9 +114,9 @@ M0 必须冻结来源扫描和规范化规则；每个来源项至少映射到
 2. 将候选证据规范化为 `path`、`bytes`、`sha256`、`kind`、`priority`、`required`，按必需、优先级、路径排序，保证选择确定性。
 3. 逐项检查：单项证据字节预算、证据总字节预算、证据文件数，以及把该项加入 `selected` 后的完整上下文剩余空间；完整上下文按 `packet_bytes + selected_evidence_bytes` 计算，不能只计算 JSON 清单。
 4. 可选项无法容纳时不写入包，记录稳定排除码；必需项无法容纳时直接失败，不生成部分成功包。
-5. 生成最终预算元数据后再次序列化校验；若审计清单本身使包超限，从最低优先级可选项回退并以 `E5=context_remaining_bytes_insufficient` 记录。若只剩必需项仍超限，失败。
+5. 生成最终预算元数据后再次序列化校验；若审计清单或令牌估算使包超限，从最低优先级可选项回退并以 `E5=context_remaining_bytes_insufficient` 或 `E6=token_budget_exceeded` 记录。若只剩必需项仍超限，失败。
 
-排除原因使用稳定机器码，避免长文本侵占上下文：`E1 duplicate_path`、`E2 evidence_item_bytes_exceed_budget`、`E3 evidence_file_count_exceed_budget`、`E4 evidence_bytes_exceed_budget`、`E5 context_remaining_bytes_insufficient`。输出必须包含选中证据字节数、选中/排除文件数、证据预算、总包预算、最终包字节数和排除码；CI 同时检查 `packet_bytes <= byte_limit` 和 `packet_bytes + selected_evidence_bytes <= byte_limit`，而不是先写超限包再报告错误。
+排除原因使用稳定机器码，避免长文本侵占上下文：`E1 duplicate_path`、`E2 evidence_item_bytes_exceed_budget`、`E3 evidence_file_count_exceed_budget`、`E4 evidence_bytes_exceed_budget`、`E5 context_remaining_bytes_insufficient`、`E6 token_budget_exceeded`。输出必须包含选中证据字节数、选中/排除文件数、证据预算、总包预算、最终包字节数和排除码；CI 同时检查 `packet_bytes <= byte_limit`、`packet_bytes + selected_evidence_bytes <= byte_limit` 和 token 上限，而不是先写超限包再报告错误。
 
 上下文包的最小机器可读形状如下；CI 应检查字段齐全、段顺序、预算、`context_id` 一致性和引用产物存在：
 
@@ -262,8 +277,8 @@ online_ready
 |---|---|---|---|
 | M0 基线锁定 | A | context lock、来源/测试清单、状态枚举、责任分工 | 清单可重建；缺项 CI 失败；文档链接和基线一致 |
 | M1 运行时骨架 | A | 单 Worker、固定 tick、ABI、最小 OPFS journal、Python 启动 | create/load/step/snapshot/recover ABI 测试通过；无网加载缓存样例 |
-| M2 核心行为 | B | G/M/O、TP、坐标、补偿、kinematics、原生 golden | 受影响核心 manifest 全部 `verified`；首个 divergent tick 可定位 |
-| M3 虚拟设备与持久化 | C | HAL/PLC/IO、数字孪生、事务恢复、断网接续 | 故障注入和恢复矩阵通过；配额不足不损坏已提交版本 |
+| M2 核心行为 | B | G/M/O、TP、坐标、补偿、[K0-K5 运动学主线](linuxcnc-web-wasm-kinematics-migration-plan.md)、原生 golden | 受影响核心 manifest 全部 `verified`；每个运动学族的首个 divergent tick 可定位 |
+| M3 虚拟设备与持久化 | C | HAL/PLC/IO、K6 运动集成、数字孪生、事务恢复、断网接续 | 故障注入和恢复矩阵通过；配额不足不损坏已提交版本 |
 | M4 Web 工作流 | D | 控制台、3D、VCP/配置工具、导入导出、离线 PWA | 关键 UI 工作流在浏览器矩阵通过；键盘/触摸和刷新恢复有证据 |
 | M5 发布候选 | E | 全量覆盖、兼容/许可证报告、迁移工具、离线包 | 所有可计入条目 `accepted`，排除项可识别，发布门禁全绿 |
 
@@ -273,7 +288,7 @@ online_ready
 
 ### 7.1 合并门禁
 
-每个变更包至少通过：文档链接和术语检查、格式/静态检查、受影响单测、manifest 完整性检查、原生/WASM 差异测试（适用时）、离线影响场景（适用时）、`context_packet.py` 生成器测试、上下文包字段/大小检查和证据包字段检查。任何新增来源、配置、组件、G/M/O 功能或 UI 工作流没有 manifest 条目时 CI 失败。上下文包超过 8,192 tokens 或 32 KiB、出现未定义段、把旧包全文嵌入新包，均直接阻止合并。生成阶段不能产生超限包；验证阶段只能复核，不能负责裁剪。
+每个变更包至少通过：文档链接和术语检查、格式/静态检查、受影响单测、manifest 完整性检查、原生/WASM 差异测试（适用时）、离线影响场景（适用时）、`context_packet.py` 生成器测试、`validate_task_pointer.py` 启动指针检查、`validate_model_budget.py` 请求预算检查、上下文包字段/大小检查和证据包字段检查。任何新增来源、配置、组件、G/M/O 功能或 UI 工作流没有 manifest 条目时 CI 失败。上下文包超过 8,192 tokens 或 32 KiB、启动指针超过 8 KiB、模型输入加输出预留超出窗口、出现未定义段、把旧包全文嵌入新包，均直接阻止合并。生成阶段不能产生超限包；验证阶段只能复核，不能负责裁剪。
 
 ### 7.2 里程碑门禁