同步移动端工程、设备控制改进与发布资料

整体开发需求/01_网页配置端需求.md

@@ -2,6 +2,8 @@
 
 本文描述核桃派 ZeroW 在局域网内启动的网页配置端。这个网页是用户后续操作点阵屏幕的主要入口，当前阶段提供可叠加的像素与多文字内容编辑，以及纯色、诊断、清屏等独占设备测试能力。
 
+移动端是独立控制入口，设备接入要求见 `03_移动端接入需求.md`，手机需求见 `../移动端相关内容/开发要求/移动端需求.md`。网页布局调整不应影响 BLE 协议；设备功能改动须登记移动端兼容影响，不自动更新 App。
+
 项目默认一台核桃派只做这一件事：开机后自动启动网页服务和屏幕控制服务，同一局域网内的手机、电脑或平板通过 `http://核桃派IP:8080` 访问。
 
 ## 0. 需求编号索引
@@ -81,6 +83,7 @@
 | `CONFIG-PERFORMANCE-MODE` | CPU 性能模式请求 | 配置 v9 严格保存布尔字段 `performance_mode_enabled`，v8 升级与新设备均默认关闭；请求状态与实际 governor 分开报告。 |
 | `CONFIG-ANIMATION-PREVIEW-CONCURRENCY` | 动态缩略图并发上限 | 配置 v10 严格保存整数 `animation_preview_max_concurrent`，v9 升级与新设备均默认 `2`，只允许 `1..50`；系统设置在性能模式下方保存该值，并明确提示高并发会造成严重性能问题。 |
 | `DEPLOY-KERNEL-ROLLBACK` | AXP313A 候选内核与自动回滚 | 已验证候选以带摘要的预编译离线载荷交付；原内核、DTB、模块和 boot 脚本保持可启动，未通过内核、cpufreq、服务和 GPIO 健康检查时下一次自动回到原内核。 |
+| `DEPLOY-OTA-KERNEL-RECOVERY` | OTA 内核能力守护与轻量恢复 | OTA 前后比较内核、cpufreq、性能模式和候选启动标记；正常能力退化时回滚应用。已回退设备可更新应用，只有本机候选内核、DTB、模块及回滚设施通过固定摘要校验时，更新完成后才独立重启尝试恢复一次；失败不得自动重试，缺失或损坏材料只报告需要专用修复包，普通 OTA 不携带内核归档。 |
 | `DEPLOY-MEDIA-DECODERS` | 媒体解码依赖与隔离 | Debian 提供 FFmpeg/ffprobe/libheif；独立转换 unit 限制 CPU、内存、IO、设备和网络访问。 |
 | `WEB-SECURITY` | 局域网安全边界 | 第一阶段默认可信局域网，保留访问密码和上传限制扩展入口。 |
 | `WEB-ERRORS` | 日志和错误展示 | 后端记录关键事件，前端显示屏幕可用性和最近操作结果。 |
@@ -248,12 +251,12 @@ WantedBy=multi-user.target
 
 生产核桃派只运行本控制器及其必需的网络、监测和系统服务，必须使用可重复、可检查的专用主机配置：
 
-- 默认启动目标为 `multi-user.target`；LightDM、`display-manager`、Xorg、桌面会话和蓝牙服务必须停用并屏蔽，不得在控制器运行时自动恢复。
+- 默认启动目标为 `multi-user.target`；LightDM、`display-manager`、Xorg 和桌面会话必须停用并屏蔽。移动控制器接入后允许必要的 BlueZ 与板载蓝牙初始化服务，按 `DEPLOY-MOBILE-BLE` 同步修改专用检查与部署；未完成该实施步骤前不得只手动解除屏蔽交付。
 - 板载音频必须通过 boot 配置关闭，`snd_bcm2835` 必须加入模块黑名单且在控制器启动前确认未加载；WirePlumber、PipeWire 及其用户级 socket 必须全局屏蔽，SSH 登录不得重新拉起音频会话。不得通过关闭矩阵硬件脉冲来兼容板载音频。
 - Wi-Fi、SSH、Avahi、`/dev/i2c-1`、Unit ADC、电压保护和 swap 必须保留；专用化不得修改无线网络、SSH 凭据、持久数据根或用户配置。
 - `scripts/dedicated_host.py check` 只读报告全部专用条件；`apply` 以幂等方式更新 boot 配置、模块黑名单和 systemd 启用状态，但不得自动重启。boot 配置更新必须原子替换、保留无关内容，不创建多代备份。
 - systemd 在启动应用前执行只读专用主机检查。任一硬件脉冲前置条件不满足时服务必须明确失败并记录原因，不能静默进入画面不稳定的软件脉冲模式。
-- 未来需要声音时优先使用不加载 `snd_bcm2835` 的 USB 音频；未来确需桌面或蓝牙时，必须先修改本需求和专用主机脚本，再重新执行刷新率、资源负载和完整实屏验收。不得临时取消屏蔽后直接交付。
+- 未来需要声音时优先使用不加载 `snd_bcm2835` 的 USB 音频；恢复桌面或增加蓝牙必须同步需求、专用脚本，并检查刷新率、资源负载和输出帧。普通前端／BLE 入口改动不强制实屏视觉验收；仅驱动、扫描时序、底层输出改变或具体异常确需视觉证据时，先暂停询问用户如何启动，获明确指示后检查。不得自动启动摄像头、DroidCam、采集或视觉程序，也不得主动切换实屏测试图案。
 
 多语言文字部署还必须满足 `DEPLOY-FONTS`：