feat(os): bind bounded restart grants and rollback

product-source/hololake-platform/docs/GUANGHU-OS-COGNITIVE-CONTROL-EXECUTION-ARCHITECTURE.md

@@ -45,9 +45,11 @@
 2. 每个适配器在代码中定义动作类型和参数形状。
 3. 节点策略声明允许操作的精确资源。
 4. 变更动作必须匹配当前授权和回滚检查点。
-5. 命令退出码只表示执行器观察，目标侧读回才决定 `PASS_100`。
-6. Linux 管理入口与光湖正常入口分离；紧急入口启用必须留下维护回执。
-7. 密钥、令牌和模型 API 凭据保留在节点受保护边界，不进入语言记录或执行请求。
+5. 变更授权必须由节点策略精确绑定授权编号、动作、资源和回滚检查点，不能只凭请求自行声明。
+6. 重启动作前必须先读回服务为 active；动作失败后执行固定的 `reset-failed → start → active` 恢复链，并在回执中分别记录动作失败和回滚结果。
+7. 命令退出码只表示执行器观察，目标侧读回才决定 `PASS_100`。
+8. Linux 管理入口与光湖正常入口分离；紧急入口启用必须留下维护回执。
+9. 密钥、令牌和模型 API 凭据保留在节点受保护边界，不进入语言记录或执行请求。
 
 ## 京东节点落地顺序