docs: 设计无设备服务启动容错

Author: DESKTOP-HA04FD6\Admin

docs/superpowers/specs/2026-07-15-service-start-without-device-design.md

@@ -0,0 +1,70 @@
+# Lemon串口监控无串口设备启动设计
+
+## 背景与根因
+
+2026-07-15 16:05 的真实开机验证中，`CommMonitorService` 被服务控制管理器按自动启动方式拉起，但在 45 秒内未进入运行状态。系统事件记录了 7009、7000 和 .NET Runtime 1026；未处理异常来自 `CaptureAuthority.EnsureStartupReconciledAsync`，原因是当时没有连接串口设备，内核过滤驱动尚未创建设备控制端点。
+
+这是服务启动容错缺陷，不是安装文件缺失。驱动按 PnP 设备栈加载；没有匹配设备时控制端点暂时不存在是允许发生的正常状态。现有服务把 `DRIVER_UNAVAILABLE` 当作宿主启动致命错误，导致界面和 AI 接口也无法使用。
+
+## 目标
+
+- 没有连接任何串口设备时，Windows 服务仍须在 SCM 超时前进入 Running。
+- AI 管道和界面控制管道须可用，并能报告驱动暂不可用。
+- 串口设备随后出现时，不需要重启服务或计算机；下一次状态检查或捕获操作须重新尝试驱动初始化。
+- 无法确认内核捕获状态时不得开始新的捕获，不得把未知状态当成已停止。
+- 仅 `DRIVER_UNAVAILABLE` 可降级继续启动；取消、存储损坏、配置错误和其他异常必须继续阻止服务启动。
+
+## 方案比较
+
+### A. 在宿主启动边界容忍驱动暂不可用（采用）
+
+增加一个可测试的启动协调组件。它调用 `CaptureAuthority.InitializeAsync`，只捕获错误码为 `DRIVER_UNAVAILABLE` 的 `CaptureLeaseException`，记录警告后允许宿主继续启动。`CaptureAuthority` 本身的安全语义不变，因此后续每个捕获变更仍会再次执行启动协调；设备出现后即可成功，设备仍不存在时继续返回结构化错误。
+
+优点是改动边界清晰，保留内核状态安全约束，且无需后台轮询。缺点是恢复发生在下一次调用时，而不是设备插入瞬间；这符合用户实际操作流程。
+
+### B. 把未知驱动状态视为核心初始化成功（不采用）
+
+让 `CaptureAuthority.InitializeAsync` 在统计未知时直接返回。虽然代码更少，但会使 `_startupReconciled` 与实际未知内核状态混淆，后续捕获操作可能绕过安全检查。
+
+### C. 增加常驻设备轮询器（不采用）
+
+后台按周期重试驱动端点。它可以主动恢复状态，但会增加定时器、退避、停止时取消和日志抑制等生命周期复杂度；当前按需重试已经满足需求。
+
+## 架构与数据流
+
+1. `Program.cs` 构建依赖注入容器和宿主。
+2. 新的启动协调组件在 `host.RunAsync` 前调用 `CaptureAuthority.InitializeAsync`。
+3. 初始化成功时正常继续。
+4. 初始化返回 `DRIVER_UNAVAILABLE` 时记录降级警告，继续启动 Windows 服务、界面管道和 AI 管道。
+5. 其他异常原样向上传播，服务启动失败并留下可诊断事件。
+6. 后续界面或 AI 发起捕获时，现有 `EnsureStartupReconciledAsync` 因尚未设置 `_startupReconciled` 而再次读取驱动状态：
+   - 设备已连接：完成协调并允许捕获；
+   - 设备仍未连接：返回 `DRIVER_UNAVAILABLE`，不创建捕获会话。
+
+## 错误与日志
+
+- 降级日志必须包含驱动暂不可用的原因，并说明服务会保持运行等待设备。
+- 不吞掉 `OperationCanceledException`。
+- 不吞掉非 `DRIVER_UNAVAILABLE` 的 `CaptureLeaseException` 或普通异常。
+- 不改变驱动服务启动类型、PnP 绑定、3010 重启和安装/卸载事务。
+
+## 测试与验收
+
+自动化测试先失败后实现：
+
+- 启动协调遇到 `DRIVER_UNAVAILABLE` 时完成而不抛出，宿主可继续启动。
+- 第一次驱动不可用后，状态源变为可用，再次执行核心协调能够成功，证明恢复无需重启。
+- 取消或非预期异常仍向上传播。
+- 运行全部服务测试、全部托管测试和安装器契约测试。
+
+真实系统验收：
+
+- 不连接串口设备，重启后 `CommMonitorService` 为 Running，SCM 不再产生该服务的 7009/7000。
+- AI `ping` 和 MCP smoke 在无串口设备时可用。
+- 若当前有串口设备，则验证插入后端口枚举和捕获；若没有设备，则明确记录硬件验收未执行，不伪造结果。
+
+## 非目标
+
+- 不增加设备插拔通知服务或周期轮询。
+- 不改变捕获协议、会话格式、AI 工具契约或公开产品名。
+- 不把未知驱动状态假定为已停止。