完善异机备份告警与同日恢复点取代（07-27-automatic-offhost-backup）

docs/管理员手册.md

@@ -359,12 +359,13 @@ WAPC2 请假/补卡只读 POC 操作口径：
 自动异机备份运维口径：
 
 1. 自动备份以 OA 仓库 runbook 首部“紧急恢复卡”为唯一短入口；公司知识库保存该卡副本，并指定系统管理员和一名替补操作人。
-2. 每日 02:30 生成数据库、附件、manifest 同批恢复点并推送 ARM；07:10 检查最近 24 小时异机成功状态。生产保留 7 个自动日批次，ARM 保留 7 个日批次和 4 个周检查点。
+2. 每日 02:30 生成数据库、附件、manifest 同批恢复点并推送 ARM；07:10 检查最近 24 小时异机成功状态，ARM 另以 26 小时 dead-man 独立检查归档。生产保留 7 个自动日批次，ARM 保留 7 个日批次和 4 个周检查点。
 3. ARM 专用身份只能写 inbox 和请求 finalize，不能登录 shell、读取或删除 archive。任何人不得为了省事改用普通 ARM 登录账号或关闭 known-hosts 固定校验。
-4. 企微只收脱敏异常：首次失败、恶化或新 finding 发送；同一失败降噪。季度提醒只要求人工在 ARM 隔离目标恢复，不会自动恢复生产。
-5. 当前仓库实现和本地合成合同不等于服务器已安装。ARM receiver、生产 units、首次真实批次、timer enable 和真实失败告警均为 **EXTERNAL_GATED**，必须逐阶段批准并回填证据。
+4. 自动备份使用独立企微运维群机器人，不依赖 OA server 或个人员工号。Webhook 只由用户写入两台主机的 root-only 文件，不进仓库、普通 `.env`、日志或聊天。企微只收脱敏异常、finding 和恢复通知；同一失败降噪。季度提醒只要求人工在 ARM 隔离目标恢复，不会自动恢复生产。
+5. 当前 receiver 和生产 units 的既有安装不等于可靠启用闭环完成。群机器人、ARM dead-man、更新后的两端脚本、首次有效真实批次、全部 timer enable 和真实断链告警均为 **EXTERNAL_GATED**，必须逐阶段批准并回填证据；真实验收必须停止一次源端 timer 或故意让一次传输失败，不能只测试机器人发送。
 6. 每季度由替补操作人按恢复卡走查，至少能指出归档类别、三条恢复入口、`/ready` 和关键计数验收项。不能独立说明时，本季度恢复门禁不通过。
 7. 卸载 timer 或 receiver 时保留历史 archive 和源端完整批次；账号、密钥、备份数据的删除必须另行批准。
+8. 改动每日备份时刻后，人工确认次日 UTC 分桶和 26 小时窗口，避免把调整日的预期空窗误当成长期故障。
 
 WROAD2/WARCH3 企微受控上线每日巡检：