[候选工作单元（WorkCell）D5] 工作流支持动作的发布、降低与并发语义

[TablewareBox]

独立设计文档（审阅中）：候选工作单元（WorkCell）组合定义、启动与分层动作设计
变更审阅：PR #188

父地图：#181

Outcome

冻结内部工作流（Workflow）如何显式发布成候选工作单元（WorkCell）的公共动作（Action），以及该调用如何在任务创建前降低到唯一工作流任务（WorkflowTask）与执行计划（ExecutionPlan），不产生第二套调度权威。

已接受决策（Accepted Decisions）

• D5-01=A′：作者保留 cell.expose_workflow_action(id=..., workflow=...) 显式语法；不引入候选 implementation.kind。持久投影复用既有/已冻结的 type="workflow"、node_type="workflow"、schema.x-unilabos-workflow-contract、模板/Handle 身份和候选工作单元（WorkCell）公共导出映射。工作流引用必须固定 PackageCatalog exact revision/digest，公共动作身份由候选工作单元定义（WorkCell Definition）fqid 与稳定 action_id 共同确定。
• D5-02=A：候选工作单元（WorkCell）范围动作只由显式导出声明产生，不按节点数、设备数或函数名推断；单设备工作流仍保持工作流（Workflow）身份。
• D5-03=A：复用工作流输入合同（WorkflowInputContract）、工作流结果记录（WorkflowResultRecord）、真实 Handle、物料占位符（ResourceSlot）与既有 SiteSelector；不新增候选工作单元（WorkCell）专属 entry/exit Site 模型，也不从名称、顺序、pose 或库位占用（SiteOccupancy）推断。
• D5-04=A：复用 [跨仓决策 C1] 冻结 Composite Workflow Invocation authoring contract #178 组合工作流调用（CompositeWorkflowInvocation）、真实边界句柄、UUIDv5、既有边界映射和物料占位符（ResourceSlot）合同；不新增候选工作单元（WorkCell）专属节点/句柄家族。
• D5-05=A：父已应用工作流图（Applied Workflow Graph）保存 pinned 展开内部图；工作流任务（WorkflowTask）提交时由唯一执行计划构建器（ExecutionPlan Builder）降低为普通计划节点和工作流节点作业尝试（WorkflowNodeJobAttempt）；不创建宏作业、合成屏障、嵌套任务或第二调度权威。
• D5-06=B：不同调用同一候选工作单元实例（WorkCell Instance）时，内部作业可以交错；v1 不提供整次调用串行、容量 N、max_concurrency 或整次调用数量上限。
• D5-07=A：取消、部分物理成功、执行未知、投递重放（DeliveryReplay）和物理结算（PhysicalSettlement）复用既有安全合同；不回滚已发生物理结果、不重跑整次候选工作单元动作，作业执行占用（JobExecutionClaim）在对应作业完成物理结算后释放。
• D5-08=C：不新增调用级 mutex、semaphore、表或持久许可；每个普通内部作业都必须在派发前原子取得完整、持久、带栅栏的作业执行占用（JobExecutionClaim），覆盖具体执行设备、可能改变的全部物料（Material）和源/目标库位（Site）。

并发安全边界

容量方案 B 不代表“无条件安全并发”。逐作业执行占用（JobExecutionClaim）只保护已经完整建模的物理资源：

• 如果候选工作单元（WorkCell）还有共用门、轨道、安全区、机箱空间或其他未建模风险，该定义不得宣称并发安全；
• 必须先把该风险建模为可参与完整占用集合的具体资源，或另开版本化协议；
• 任一作业不能完整解析其设备、物料（Material）和源/目标库位（Site）占用意图时失败关闭；
• v1 不存在可被误读为“同时最多 N 次调用”的持久事实或隐含保证。

实现证据

• Uni-Lab-OS/Uni-Lab-OS@25be15efb272667bc4398241cf119299ba02fd2f:unilabos/workflow/store.py
• Uni-Lab-OS/Uni-Lab-Core@8bdcc80e4ea6c5f5ffa7d56f2cd1c7ecb74e0557:docs/architecture/workcell-composition-design.md
• [跨仓决策 C1] 冻结 Composite Workflow Invocation authoring contract #178 Catalog projection v1 及其已接受目录合同。

Acceptance gates

• 目录复用既有字段且保留工作流（Workflow）身份，不冒充直接设备动作；
• 任务提交后只有一个不可变执行计划（ExecutionPlan）和一个调度器（Scheduler）权威；
• 失败、取消和执行未知不触发盲目物理重放（Blind Physical Replay）；
• 折叠展示不删除内部作业、占用、回执（Receipt）或源码证据；
• 两个调用的内部作业可以交错，但每个作业必须先取得完整作业执行占用（JobExecutionClaim）；
• v1 不实现或暗示整次调用串行、容量 N、max_concurrency 或调用期持久许可；
• 未建模共用物理风险在发布或并发安全校验时失败关闭。

状态

D5-01～08 协议已全部冻结；实现与测试尚未开始，本票保持 stage:protocol-definition，待建立 repository-local 交付子票后进入实现阶段。

关联

• [功能目录] Action typed contract 与结果提交 #135
• [功能目录] 子工作流组合、边界 Handle 与 Task output #136
• [跨仓决策 R2] EdgeScheduler 统一 ExecutionPlan、Admission 与 DAG 生命周期 #164
• [跨仓决策 C1] 冻结 Composite Workflow Invocation authoring contract #178
• [Wayfinder] WorkCell 组合定义、注册编译与分层 Action 暴露 #181

[github-actions]

GitHub → Feishu OKF synchronization

Feishu snapshot: Uni-Lab-Core #186
Knowledge stage: protocol-definition
Issue updated: 2026-08-04T18:03:21Z

[TablewareBox]

D5 批量 Grill：工作流支持动作的发布、降低与并发（待维护者确认）

当前 Wayfinder 尚余 16 项；本批一次提出 D5 全部 8 项。若全部选择 A，尚余 8 项（G1 8）。以下均为候选设计（Candidate Design），维护者确认前不视为已接受决策（Accepted Decision）。

D5-01 显式发布语法、身份与实现种类

• A（推荐）：在候选工作单元定义（WorkCell Definition）中显式调用：

  cell.expose_workflow_action(
      id="prepare_sample",
      workflow=prepare_sample,
  )

  workflow 必须是 PackageCatalog 中已发布工作流（Workflow）的静态绝对 symbol，发布时固定 exact Applied revision/digest。公共动作身份为“候选工作单元定义 fqid + 稳定 action_id”，版本随 WorkCell Published revision/public contract；目录始终保留 implementation.kind = "workflow"，并冻结该工作流使用的成员、库位（Site）、依赖和资产 scope closure。

• B：在目录中手工写一份独立动作定义并指向工作流 UUID。

• C：扫描内部工作流名称并自动发布全部动作。

D5-02 direct device 与 WorkCell-scoped 的判定

• A（推荐）：不按节点数、设备数或函数名推断。只有 expose_workflow_action(...) 显式发布的才是候选工作单元范围动作；编译器验证工作流引用的设备、库位（Site）和能力全部位于该 WorkCell 的导出 scope 或显式公共输入中。即使内部只调用一台设备，它仍保持 implementation.kind = "workflow"；既有直接设备动作（Action）继续是 direct device Action。
• B：只含一个设备节点的工作流自动降为直接设备动作。
• C：运行时根据实际选中的执行器决定种类。

D5-03 公共输入/输出、物料与边界库位

• A（推荐）：完整复用工作流输入合同（WorkflowInputContract）、工作流结果记录（WorkflowResultRecord）、真实边界 Handle、物料占位符（ResourceSlot）和既有 SiteSelector 元数据，不增加第二套 WorkCell 参数/结果/entry/exit Site 模型。公共动作默认一对一继承工作流的具名边界；作者只能按 D4 规则绑定/隐藏固定输入或收窄合同。边界库位（Site）必须通过已有 SiteSelector 显式引用 D4 公共库位句柄；缺席表示没有边界位置承诺，禁止按名称、顺序、pose、当前库位占用（SiteOccupancy）或首末节点猜测。
• B：为 WorkCell Action 新建独立的 input/output 和 entry_sites/exit_sites Schema。
• C：自动把工作流第一/最后一个物料节点的位置当作边界库位。

D5-04 与 #135/#136/#178 的节点和句柄对齐

• A（推荐）：工作流支持动作（Workflow-backed Action）只是同一已发布工作流合同的动作形态目录投影。父工作流（Workflow）选中它后，创作图仍生成既有组合工作流调用（CompositeWorkflowInvocation）真实节点，复用 [跨仓决策 C1] 冻结 Composite Workflow Invocation authoring contract #178 的 boundary Handle、UUIDv5 内部身份、Boundary Mapping 和 ResourceSlot 约束；不新增 WorkCellActionInvocation 节点、句柄类型或第二套输出合同。
• B：转换成普通 direct device Action Node，隐藏工作流身份。
• C：新增 WorkCell 专属 invocation/node/handle 家族。

D5-05 静态展开、源码映射与调度可见性

• A（推荐）：父 Applied graph 按 [跨仓决策 C1] 冻结 Composite Workflow Invocation authoring contract #178 保存 pinned invocation 和展开后的内部节点；工作流任务（WorkflowTask）提交时，唯一执行计划构建器（ExecutionPlan Builder）把内部节点降低为普通计划节点和工作流节点作业尝试（WorkflowNodeJobAttempt）。invocation 本身不派发、不创建嵌套任务、宏作业或 synthetic barrier。执行计划（ExecutionPlan）保留 invocation/source mapping、内部执行要求和占用意图（ClaimIntent），调度器（Scheduler）完整看见内部资源需求。
• B：整个调用降低为一个不透明宏作业，只在 Edge 内部执行。
• C：任务运行时再读取工作流并动态展开。

D5-06 同一 WorkCell 实例的并发语义

• A（推荐）：v1 对同一候选工作单元实例（WorkCell Instance）采用整次调用容量 1；不同调用的内部节点不得交错。同一次调用内部仍可按 DAG 并行，并继续为每个作业取得完整作业执行占用（JobExecutionClaim）。容量 N 和跨调用安全交错推迟到有明确真实工站需求与证据后再版本化扩展。
• B：默认允许不同调用内部节点交错，仅依赖逐作业占用。
• C：v1 直接支持作者配置任意容量 N。

D5-07 取消、部分物理成功与执行未知

• A（推荐）：取消停止新内部作业，取消尚未派发的内部作业，并向执行中的作业发送取消请求（Cancel Request）；请求不等于安全停止（Safe Stop）。已经提交的变更集（ChangeSet）和物理结果不回滚。execution_unknown 保持原工作流节点作业尝试、栅栏和占用；投递重放（DeliveryReplay）只能重放同一 command/effect identity，禁止重新执行整次 WorkCell Action。动作重试策略（ActionRetryPolicy）保持 never；业务终态可快速失败，但所有占用与整次调用容量必须等到物理结算（PhysicalSettlement）后释放。
• B：任何内部失败都回滚并重跑整次动作。
• C：父任务一进入终态就立即释放全部容量和占用。

D5-08 是否建立调用期容量持久协议

• A（推荐）：v1 建立独立的调用容量许可（InvocationCapacityPermit，候选术语），不把它伪装成任务物料预留（TaskMaterialReservation）、作业执行占用（JobExecutionClaim）或进程内锁。调度器（Scheduler）以“WorkCell 实例 UUID + 调用 invocation UUID/工作流任务 UUID”创建并推进持久许可；同一 WorkCell 实例容量固定为 1。许可在首个内部作业可派发前取得，跨重启恢复，只有全部内部作业和物理不确定性完成物理结算（PhysicalSettlement）后释放；冲突使调用等待，取消请求或执行未知不会提前释放。未来容量 N 需新的版本化合同。
• B：v1 只用内存 mutex 做整次串行。
• C：不建立调用期许可，完全依赖逐作业执行占用。

请按 D5-01 A, ... 回复；如果八项都接受，可直接回复“全部 A”。

[TablewareBox]

D5 第一轮答复与实现证据复核

维护者答复：D5-02～05、D5-07 选择 A；D5-06 选择 C；D5-08 选择 C；D5-01 要求先解释 implementation.kind。本评论只冻结无冲突项，不把仍需对齐的选择提前写成已接受决策（Accepted Decision）。

已接受

• D5-02=A：只由显式 WorkCell 导出声明决定工作流支持动作（Workflow-backed Action），不按节点/设备数量推断；即使只有一个设备节点仍保持工作流（Workflow）身份。
• D5-03=A：复用工作流输入合同（WorkflowInputContract）、工作流结果记录（WorkflowResultRecord）、真实 Handle、物料占位符（ResourceSlot）与既有 SiteSelector，不增加 entry/exit Site 平行模型。
• D5-04=A：复用 [跨仓决策 C1] 冻结 Composite Workflow Invocation authoring contract #178 组合工作流调用（CompositeWorkflowInvocation）、boundary Handle、UUIDv5、Boundary Mapping 和 ResourceSlot 合同，不新增 WorkCell 专属节点/句柄家族。
• D5-05=A：父 Applied graph 保存 pinned 展开图，工作流任务（WorkflowTask）提交时由唯一执行计划构建器（ExecutionPlan Builder）降低内部普通节点；不创建宏作业、嵌套任务或第二调度权威。
• D5-07=A：取消、部分物理成功、执行未知、投递重放（DeliveryReplay）与物理结算（PhysicalSettlement）沿现有安全合同处理；不回滚已发生物理结果、不重跑整个 WorkCell Action，作业执行占用（JobExecutionClaim）必须结算后释放。若最终引入调用期容量事实，其释放同样必须等待物理结算。

D5-01 证据与修订建议

当前实现的 workflow_node_template 只有 type、node_type、schema 和 meta_data 等字段，没有 implementation 对象。当前直接设备动作投影写 node_type="ILab" 并在 Schema 中保存动作合同。已冻结的 #178 组合工作流协议则规定复用同一 workflow_node_template，以 type="workflow"、node_type="workflow" 和 schema.x-unilabos-workflow-contract.version=1 区分。

workflow_task.execution_kind = workflow | ad_hoc_device_action 是整次任务来源分类，不是目录项的实现种类，不能拿来替代或解释动作目录。

因此 implementation.kind 是 #181/#186 草案中新提出的候选字段，不是现有 JSON/Backend 合同。建议 D5-01 改为 A′：保留 cell.expose_workflow_action(...) 显式作者语法，但不新增 implementation.kind；持久投影复用 node_type="workflow"、x-unilabos-workflow-contract、现有模板/Handle 身份以及 WorkCell 公共导出映射。

实现证据：

• Uni-Lab-OS/Uni-Lab-OS@20a0d68e5607b5a7651a056d22a1d7c8267b64bb:unilabos/workflow/store.py
• Uni-Lab-OS/Uni-Lab-OS@20a0d68e5607b5a7651a056d22a1d7c8267b64bb:unilabos/registry/template_projection.py
• Uni-Lab-OS/Uni-Lab-OS@20a0d68e5607b5a7651a056d22a1d7c8267b64bb:unilabos/workflow/store_migrations.py
• Core [跨仓决策 C1] 冻结 Composite Workflow Invocation authoring contract #178 已冻结的 Catalog projection v1。

D5-06=C 与 D5-08=C 的冲突

D5-06=C 要求作者配置并可靠执行“同一 WorkCell 实例最多 N 次并发调用”。这必须在多个工作流任务（WorkflowTask）之间原子取得一个调用容量，并跨内部作业间隙、进程重启、取消请求和 execution_unknown 记住持有者。

D5-08=C 又要求没有任何调用期持久事实，只依赖逐作业作业执行占用（JobExecutionClaim）。逐作业占用会在每个内部作业物理结算后释放，无法证明某次调用在两个内部作业之间仍占用一个容量名额。因此两项同时成立时，N 只能是无法可靠执行的提示值，不能成为安全合同；这也与 D5-07 的结算后释放要求矛盾。

可自洽选择只有：

1. 容量方案 A（推荐）：D5-06=C，支持显式容量 N；D5-08 改为 A′，建立持久的 N 槽调用容量协议。
2. 容量方案 B：D5-06 改为 B，允许跨调用内部节点交错；D5-08=C，只依赖逐作业占用，不承诺调用数量上限。

拒绝把 D5-06=C + D5-08=C 记录为“可执行的容量 N”，除非维护者明确只把 N 当非权威界面提示；实验执行安全合同不建议这种解释。

当前名义未决共 11 项：D5-01、D5-06、D5-08，加 G1 8。D5 的三个编号可通过“D5-01 A′ + 容量方案 A/B”一次收口，之后只剩 G1 8。

[TablewareBox]

D5 全部决策已冻结

维护者确认：

• D5-01=A′：保留 cell.expose_workflow_action(...)，删除候选 implementation.kind，复用 node_type="workflow" 与 x-unilabos-workflow-contract；
• 容量方案 B：D5-06=B、D5-08=C。不同调用的内部作业允许交错，不承诺整次调用数量上限，不建立调用级持久许可，只由完整逐作业执行占用（JobExecutionClaim）保护真实设备、物料（Material）与源/目标库位（Site）。

不可变设计证据：Uni-Lab-OS/Uni-Lab-Core@8bdcc80e4ea6c5f5ffa7d56f2cd1c7ecb74e0557:docs/architecture/workcell-composition-design.md。

D5 协议已收口但实现/测试尚未开始；父地图未冻结决策从 11 项降至 8 项，全部位于 #187 G1。