iter: 协议加时钟硬规范——时长禁止自报估算，预算判断改 date 实测差值

ITERATION.md

@@ -7,7 +7,7 @@
 调度器（每小时唤起）**不是**迭代器，只做两件事：健康检查 + 中断重启。真正的迭代是单次唤起内的**连续循环**——反复执行《每轮迭代流程》，直到 backlog 清空或时间预算耗尽，中间不停歇。
 
 - **并发锁**：`.ua/loop.lock`（含时间戳，不入库）。唤起时若锁存在且心跳在 15 分钟内 → 已有实例在跑，直接退出；否则写锁开始循环。每轮开始前刷新锁内时间戳作心跳。
-- **时间预算**：单次唤起最多连续迭代约 50 分钟，到点在完成当前轮后停止（防止与下次唤起重叠）。
+- **时间预算**：单次唤起最多连续迭代约 50 分钟，到点在完成当前轮后停止（防止与下次唤起重叠）。**预算判断必须基于客观时钟**：点火时用 `date +%s` 记录起点并写入 `.ua/loop.lock`，每轮开始时重新取 `date +%s` 与起点求差，差值 ≥ 2700 秒（45 分钟）即到点；**禁止凭感觉估算时长**——LLM 无内部时钟，自估时长系统性偏高（实测自报 40+ 分钟而实际约 30 分钟）。
 - **熔断**：同一 backlog 条目连续 2 轮失败 → 停止循环，锁照常释放，等待下次唤起。
 - **重启语义**：锁心跳超过 15 分钟视为循环中断（崩溃/超时），调度器删旧锁、重新点火。
 
@@ -31,7 +31,7 @@ qa/probe ──门禁通过──▶ qa/stable ──人工审阅──▶ main
 4. **门禁**：跑 `npm run check`（build → style → typecheck → smoke → index）。
    - **通过**：提交到 `qa/probe`（commit message 以 `iter:` 开头，注明 backlog 条目 id），推送 `qa/probe`，fast-forward 合并到 `qa/stable` 并推送；将 backlog 条目 `status` 置为 `done` 并随迭代提交。
    - **失败**：尝试修复一次；仍失败则放弃本轮——`qa/probe` 直接重置回 `qa/stable`，backlog 条目在 `notes` 里追加失败原因、`status` 保持 `open`，提交并推送该元数据变更（仅改 `.ua/backlog.json`，不碰代码）。
-5. **留痕**：在 `.ua/iterations.log` 追加一行 JSON：`{时间, 条目id, 结果, 摘要}`，随本轮提交。
+5. **留痕**：在 `.ua/iterations.log` 追加一行 JSON，**字段统一**：`{"ts":"本地ISO时间","id":"条目id","result":"done|aborted","commit":"短哈希","summary":"一句话"}`。硬性规范：`ts` 必须来自 `date` 命令实测（本地时间，带 +08:00 偏移，**禁止手写或用 UTC 换算**）；时长结论必须来自两次时间查询之差，禁止使用「大约/接近」等估算词；并发实例格式不得自创变体。随本轮提交。
 6. **边界**：不改 `main` 分支保护、不删分支、不动 `.workbuddy/`、不重写历史、不 force push 到 `qa/stable` 与 `main`。
 
 ## 选题规则（自主补点子时）