# 免费闭测运营指标

闭测后台用于发现接入摩擦、验证主机席位模型和估算共享 Relay 成本。它不是
用户行为画像，也不能把控制面状态冒充为真实会话可用性。

## 控制面漏斗

所有滚动指标按 D1 的 UTC 时间计算，展示时才使用用户时区：

| 指标 | 口径 |
|---|---|
| 新增账户 | 近 30 天创建的控制面账户 |
| 闭测需求 | 申请数、申请席位数、系统偏好；不读取 `use_case` 正文做分析 |
| 申请批准率/耗时 | 已决申请中的批准比例与提交到处理的自然时间 |
| 获批后认领率 | 获批后至少成功认领一个主机身份的申请比例；不代表 Relay 已可用 |
| 配对认领率/耗时 | 配对请求变成 `claimed` 的比例及耗时；取消、过期、锁定保留在分母 |
| 容量拒绝 | 因第 N+1 个未撤销主机身份而返回 `device_capacity_exceeded` 的次数 |
| Handoff 失败 | 过期、重放、错误 origin 和无效手机身份的最小错误码计数 |
| 反馈解决率 | 站内反馈收到管理员回复的比例与自然周转时间；不是人工工时 |

处理中记录不算成功。闭测指标不得读取或复制原生 coding-agent 会话、项目
文件、提示词、附件正文、设备/手机令牌、配对码、私钥或签名密钥。

## Relay 节点与租户 Engine

Relay 节点使用独立身份向控制面 heartbeat。后台区分 active、延迟、offline、
draining 与 retired，并显示节点声明的租户容量；heartbeat 不等于某个租户会话
健康。每个租户只允许当前 placement generation 的一个可写 Engine。

必须从 Relay 自身最小化采集下列运行指标，且不带应用正文、路径或会话标题：

- 当前 Engine 数、创建/关闭失败、每租户连接数与拒绝数；
- WebSocket 握手、重连、背压断开与 `device_already_connected`；
- 授权快照刷新、revision delta 延迟、撤销到断开的时间、快照到期关闭；
- 每租户 SQLite/附件密文占用，进程 CPU/内存、Push 请求和网络字节；
- 备份/恢复、区域迁移、回滚和 purge 的状态及最小错误码。

这些信号只用于容量、安全和可靠性。不得记录 prompt/response/tool 正文、密钥包
正文、附件正文、绝对项目路径或可重建用户工作内容的高基数字段。

## Daemon 稳定端点信号

注册与新连接必须实时通过控制面授权。设备凭据记录可以覆盖一条最近成功授权
时间，用于判断控制面是否近期见过该身份；不保存逐次来源和请求正文。该时间只说明
凭据曾通过授权，不说明主机此刻在线。

`service_provisioning`、`route_unavailable`、`region_unavailable` 的计数与持续时间
必须单独展示。客户端始终重试同一 Connect origin；任何指标或后台页面都不得显示
租户后端 URL。

## 到期数据维护

每日维护只处理合同中已有明确 TTL 的技术记录：过期配对摘要、来源限速窗口、
配对尝试、幂等记录、未激活的 pending 手机凭据和过期/已消费 handoff ticket。pending
凭据必须先于对应 ticket 删除；已激活手机凭据不受该清理影响。任务保持单实例、可接管，并只保存
最近状态、累计次数、连续失败与最小错误码。真实托管环境的首次 Cron 仍需验收。

## 目前不能声称已经测得

- 真实公网的会话成功率、往返延迟和跨地区体验；
- 每租户可靠成本与未来价格；
- 15 秒撤销 SLO、5 分钟快照失效边界；
- 备份恢复 RPO/RTO、区域迁移和永久删除耗时；
- 实际支持工时和值守负担。

只有同一精确构建在真实 Daemon、Cloud PWA、Relay、D1 与备份恢复链上跑通后，
这些指标才可进入商业决策。