fix: 完善回单失败引导及真实认证验证（09-08-reimbursement-payment-closeout）

docs/试运行与自动化验证手册.md

@@ -2,6 +2,14 @@
 
 **文档状态**：当前操作手册，用于本地、公网、企业微信和真实 OCR 试运行验证。
 
+## 银行回单系统失败恢复
+
+- `system_failed`、`key_failed`、`snapshot_failed`不是普通识别失败。管理员先依据安全原因码排查数据库可用性、密钥配置/版本或付款业务与银行快照；不输出账号、密钥或原始识别响应，不随意生成新密钥替换旧密钥。
+- 当前没有管理员重排队接口。修复前提后，另获真实原件重传和云识别授权，由有上传权限的经办人从原批次重新上传原件；保留旧失败附件及审计，不直接SQL改状态、不删除失败证据、不批量重试。前提无法修复时停止，重上传不是修复快照或密钥的替代方案。
+- 新附件重新经过安全检查、OCR、逐笔匹配、交易去重及必要的独立复核。旧失败件不单独阻止已有合格证据的登记；必须以实时readiness和登记事务结果为准，不以上传成功判断付款成功。批次已执行/取消不得借恢复入口重传重付。
+- `failure_recording_failed`表示连独立失败回写也失败，不能声称失败态已落库。附件可能仍为processing，满15分钟后普通重试可能重新可用；管理员应先修复前提，不能将此例外描述为“所有系统故障绝不会重传”。重新核对按钮只刷新查询，不等于重新识别。
+- 全人工录入是「原件留存 + 经办录入 + 独立人员复核」，不是机器核实内容一致，更不是银行验真或到账证明。找不到合格独立复核人时停止并由业务负责人安排，不能给通配权限或让本人自审绕过。
+
 ## 日常发布与初始化分离（本地候选，未声明已部署）
 
 09-09-existing-deploy-seed-separation 将 init 统一为 `npm run deploy:init`：