feat(门禁): 栈判据定稿——静态 margin 唯一拦提交、运行时水位只告警、采集不健康整轮作废

task-32 裁定落成可执行件（道F 交付）。不是二选一而是**分权**：静态最坏链 margin 仍是唯一拦提交项（由
`stack_report.py` 守，它本就把运行时峰值取进 max）；新增 `stack_gate.py` 管台架侧——趋势只出 WARN，
**绝对底线**（free_min < 25% cfg）是运行时唯一有 FAIL 权限的一档，**采集健康门不过 = VOID / exit 2**，
不红不绿、不进台账。把「daemon 死了 status 仍报正常、rx_lines=0」那类事故机械化：门不过与设备故障
exit 1 分开记，按码聚合的人不会把端口没开当成又崩了一次栈。

容差是推导的：tol = 上取整到 16 B 的 max(128 B, 2×实测摆动)，实测 80 B ⇒ 统一 160 B，登记进
`scripts/stack_tolerance.tsv` 带来源列；**改数权限写死**——只有台架重测后才允许回填，禁止为让某轮变绿
而调大容差（被这把尺考核的人不得当场决定尺子的松紧），且这句话**紧贴数值写**。

`--selftest` 14 条能红，开发中抓到作者三个真错（身份戳正则把 __DATE__ 月份写成三位数字、一度把跨轮戳
不同当 VOID 会让判据永不可用、文档 §4.0.2 被 doc-links 抓跨文档串号）。**不接 pre-commit**：它的输入
是台架串口采集，提交时既无设备也无当轮日志，挂上去要么永远 SKIP、要么拿上一轮日志判这一轮的码（与
体积门禁那条假凭证同族）。

docs/测试说明/启动日志原子性复验流程.md

@@ -100,12 +100,39 @@
    判据写"崩溃遗言一整行、恰好一次、`dropped=0`"，并按 `boot_log_data/README.md` §2「故障注入日志」
    运行时放宽 `@test`（`--forbidden` 去掉 `[ERR]`、`--max-boot-count 2`）——**不改仓库配置**。
 
-## 5. 栈与堆的比对口径
+## 5. 栈判据（task-32 定稿：三档分权，不再是"待定"）
 
-同一份像连跑 4 次仅复位启动，uiTask 峰值实测 4116~4188 B（**自身摆动 72 B**），heap 计数逐字节稳定。
-因此：**不要**用"栈水位不劣于上一轮"这种单次比较当判据。要么取 ≥3 次的最大值对最大值，
-要么把 `scripts/stack_report.py` 的静态最坏链当硬线、运行时峰值只作趋势（定稿见 task-32）。
+**一句话裁定：静态最坏链是唯一拦提交项（`scripts/stack_report.py` 每任务 verdict）；运行时
+水位只出告警（`scripts/stack_gate.py`，超容差 = WARN）；采集健康门不过则整轮作废（VOID，
+既不红也不绿、也不得写进台账）。**
 
+| 档 | 判据 | 等级与权限 | 由谁跑 |
+|---|---|---|---|
+| 硬线 | `margin = cfg − max(静态最坏链, 运行时峰值) ≥ max(1024 B ISR, cfg×30%)` | **FAIL = 拦提交** | `scripts/stack_report.py`（看它退出码。**Lead 裁定 2026-10-27：提交时守这条的一直是 stack_report 本身；`stack_gate.py` 定为台架侧门禁、不接 pre-commit**——提交时既无设备也无当轮日志，挂上去只会「永远 SKIP」或「拿上一轮日志判这一轮的码」，后者是假凭证同族） |
+| 趋势 | 同镜像 ≥3 圈取最大值 vs 基线轮 ≥3 圈最大值，`Δ > tol(task)` | **WARN = 记录 + 归因，永不单独拦提交** | `scripts/stack_gate.py` |
+| 绝对底线 | 任一任务 `free_min < 25% × cfg` | **FAIL**（运行时唯一有 FAIL 权限的一条，不需要跨轮比较） | `scripts/stack_gate.py` |
+| 采集健康门 | 锚点 `reset cause:` 恰 1 次 / 身份戳存在且**同轮唯一** / 每块 ≥20 行 / 每块都有 `[STACK]` 行 / ≥3 圈（基线轮同样要过门，否则本轮只跳趋势比较） | **VOID，exit 2** | `scripts/stack_gate.py` |
+
+**容差是推导值，不是拍脑袋**：`tol(task) = 向上取整到 16 B 格的 max(128 B, 2 × 同镜像实测最大摆动)`。
+实测来源：同一份像 4 圈仅复位里 uiTask 摆 72 B、adcTask 摆 80 B（task-30），2026-10-27 那份像 4 圈零摆动
+（task-42）→ 最大摆动 80 B ⇒ **全任务统一 160 B**，登记在 `scripts/stack_tolerance.tsv`（含来源列）。
+**谁能改这个数**：只有台架在「改栈配置 / 抬栈 / 新增 `DBG_*` 调用点」之后重测同镜像摆动才允许回填；
+**禁止为了让某一轮变绿而调大容差**——被这把尺考核的人不得当场决定尺子的松紧（与 §7 里
+"Forbidden 令牌不得落在英文单词内部"同源：判据的松紧与写法都要由测量侧一次性定死）。
+
+**身份戳与归因**：跨轮比较本来就是两份镜像，正常；但 Δ 只有在**附上两次构建之间的源码 diff**
+时才可归因到某笔改动。台账行必须写**两次的 `fw build` 时间戳（含 `suite=`/`dstr=`）**，
+SHA 只当坐标（2026-10-26 那天 SHA 被 amend 挪了三轮）。同镜像比较里出现"零摆动"不代表判据失效，
+只代表这次没噪声。
+
+**为什么必须留 VOID 这一档**（设计输入=当天两次自纠）：常驻 daemon 死掉后 `status` 会自动拉起
+一个新 daemon 并"正常"应答，`rx_lines=0` 也照样返回成功 JSON；而 Forbidden 令牌 `Fault` 会命中
+`de`+`fault` 制造假红。所以判据**不许依赖采集健康的自我感觉**：门不过 → exit 2 与 exit 1 分开，
+按码聚合的人不会把"端口没开"记成"又崩了一次栈"。
+
+**判据自己必须能红**：`& '.venv\Scripts\python.exe' scripts/stack_gate.py --selftest`（14 条，含
+"72 B 实测摆动不算红"、"超容差只 WARN"、"单圈基线拒比"、"死采集器 VOID"、"同轮混两份身份戳 VOID"、
+"绝对底线 FAIL"、"峰值取最坏一圈而非最后一圈"）。**改完判据不跑这条，就等于没改。**
 ## 6. 锁与脚手架
 
 - bench 锁是**会话级**，必须手工 acquire/release，且**用同一个名字**释放。