用途与实际影响
这项功能怎样使用
为什么需要它
主工作站一旦远控失灵、主板或电源故障，工作就可能中断；笔记本自身重装或丢盘也是另一类事故。把两台电脑做成全盘镜像，会把错误驱动、登录态、硬件配置和损坏状态一起复制；只靠 Git 又覆盖不了未入库文件、设备服务、网络边界与恢复写入门。副驾驶需要自己的角色、现场健康、数据范围和恢复生命周期。
举个实际例子
“主机现在连不上，先看看我在笔记本还能继续哪些文档和轻量项目，别把它当成主机的完整镜像。”先读副机真实状态和已保全内容，缺少的账号或项目明确列出。原台式机NVMe外置接管仍是另需真机演练的事故路线。
最后我会得到什么
我会知道笔记本今天还能做哪些工作、远控和网络是否可用、最近的本地与外接盘副本各到哪一天。最近一次本地与私有云已有成功记录，USB 当时没接；这不等于整机换新后已经验收。
正常时
在笔记本本机，或从主机连接并确认返回身份确为副机后，分别检查网络、工具、备份和当前文件；这些就绪后可以继续笔记本能独立做的工作。
发现问题时
远控、任务或恢复材料有一处不符，只停需要它的操作，保留已有文件和原恢复状态。
入口不可用或证据不足时
笔记本连接失败、返回身份不符、USB 未接或主机硬盘未装入时，只说明对应部分未知；账本历史和主机自身状态都不能替代缺少的副机现场。
从哪里开始
在已接入 PCConfig 的 AI 对话中明确说“副驾驶笔记本”，并说明是日常接续还是笔记本自身恢复。
需要准备什么
- 要继续的项目、遇到的问题或恢复目标
- 恢复时希望使用的外接介质（如果有）
从开始到拿到结果
- 1
确认当前电脑和用途
先确认要处理的是哪台电脑。可以在副驾驶本机工作，也可以从主机使用已经接通的电脑连接；连接后核对返回的机器与用户身份，实际恢复和日常接续分别处理。
- 2
按实际机器取证
连接可用时，直接在副机只读核对它自己的任务、文件和恢复状态。连接失败才说明本次只能参考账本的历史记录，不能拿主机状态代替副机现场，也不把两台电脑的路径套在一起。
- 3
继续或恢复
日常先做本机可做的文档与轻量工作；恢复先预览材料与冲突，再按实际目标回填并验登录，不说副机是主机完整镜像。
技术实现与依据
这里保留实现、关键条件、精确入口、历史记录和验证结果。
新热对话点与安全Git有只读回读，USB未接；恢复任务Ready，独立周检暂停关键规则与设计选择
WLY 是主工作站，承担 canonical E/V/Z、G 在线备份和本地重型 GPU/OCR/ASR；LAPTOP-E48N0DRJ 是副驾驶/备用终端，不复制主机职责。
日常远控以 ToDesk 为主，Moonlight/Sunshine 只作备用；双机发现和精确访问走 Tailscale，不为方便开放普通 LAN 或公网。
主机不可达时不等待台式机 AuthorityHost、密码中心或 E 盘：使用副机自己的网络、Codex 登录、规则与按需项目。断网时本地文件和工具按实际继续，云端 Codex 不承诺离线可用；主机恢复后按 Git 与各数据来源协调新增工作。
笔记本可以有自己的 WSL2、Docker 和开发工具，但 Docker 登录自启关闭、Kubernetes 不启用，重型能力必须按当前宿主重新验收。
PCConfig PRIVATE（私有） Git 同步版本化账本和恢复源码，不同步实时机器状态、用户文件、登录态或秘密，也不把一台机器的盘符写成另一台事实。
普通恢复胶囊覆盖登记的 Desktop、Documents、Downloads 与窄 Codex 策略束，明确排除由主机完整保全的 Documents/xwechat_files 和 Documents/WeChat Files。副机自己的 Codex 历史、附件、索引、SQLite 数据库和私有配置另由 codex-memory 独立恢复点覆盖；有远端的项目重新 clone，无远端项目仍须独立副本或明确接受丢失。
本地 rollback cache 与笔记本 C: 在同一物理故障域，只帮助同机回滚；只有独立、已绑定且加密的 USB 世代能承担笔记本丢盘/换机介质角色。
台式机 NVMe 外置接管只把原盘作为数据与工作区来源；不从外置盘启动 Windows，不恢复台式机任务/驱动，也不改写 WLY Registry（登记清单）。
需要访问公司或家庭某个服务时，给出明确目标、协议与端口；现有双机维护入口按实际网络接通该目标，并在用完或离开网络后撤销。当前公司通路未启用、未实测，不自动发布整个网段。
Windows 恢复任务每天 09:00、21:00 检查：普通胶囊本地/U盘各按7天周期，Codex 对话满12小时采集并分别重试云端和USB阶段。独立每周语义巡检只看新问题、漂移和恢复覆盖，不触发备份或恢复；2026-09-24 当前原生 automation.toml 仍配置北京时间周一 07:15、gpt-5.6-luna/max，但 status=PAUSED，不能说它正在自动巡检。Windows 恢复任务仍 Ready、最近结果0；两个调度状态分开。
换机按新设备实际架构、用户根、项目盘、显示器与 OEM 能力重建；胶囊不是 Windows 启动盘，先准备可启动系统、网络和账号，不为重装格式化保存唯一胶囊的 U 盘。
本模块用到的名词
- Host-scoped ledger（主机限定账本）
- 只有主机身份和用户根同时匹配时才解释该设备现场；在别的电脑上只能作为设计与恢复导航。
- Secondary laptop（副驾驶笔记本）
- 承担远控、轻量开发和应急接管的备用 Windows 设备，不是台式机硬件、任务和盘符的镜像。
- Health Provider（健康读取器）
- 一次只读检查设备角色、网络、运行时、任务和恢复链；它不修复、不联网，也不启动或备份。
- Recovery capsule（恢复胶囊）
- 由目标状态、窄用户文件、惰性 Codex 策略、世代 manifest（清单） 和恢复入口组成的笔记本重建包。
- Writer state（备份写入者状态）
- 控制空白/未验新机何时可以开始覆盖性风险最低的后续备份；只有用户验收后才激活。
- Local rollback cache（本机回滚副本）
- 与笔记本系统盘同故障域的快速回退材料，不能替代独立 USB 灾备。
- USB generation（USB 恢复世代）
- 写入已绑定加密介质、经 exact-set/长度/SHA-256 验证后由 current（当前状态） 指向的完整版本。
- External NVMe takeover（原盘外置接管）
- 把故障台式机的原 NVMe 接到笔记本，只作为数据与工作区来源，不从它启动或把笔记本改写成主机。
- DesktopDataRoot（原台式机数据根）
- 外接后按现场得到的临时根，不把临时盘符固化回台式机 Registry（登记清单）。
- Heavy-runtime gate（重型运行能力门）
- 在临时宿主上启动 GPU 模型/OCR/ASR 前重新检查内存、GPU、命令和资源路径，不继承台式机能力声明。
专业定义
为一台真实登记的 Windows副驾驶笔记本划清远控、轻量开发与原NVMe固态硬盘的接管路线，并给它自己的健康检查、恢复胶囊和防覆盖流程。
解决什么
副驾驶不是“装了几个软件的第二台电脑”。它同时涉及两台主机的事实隔离、日常远控、端口和防火墙、可离线的工具基线、跨设备数据来源、笔记本自身灾备、空白新机防覆盖，以及台式机故障时的临时 NVMe 接管。漏掉任一层，都可能把远控可用误写成可恢复，把源码测试误写成设备健康，或让新机第一次备份覆盖唯一旧世代。
当前怎样实现
- 唯一登记的笔记本主机为 LAPTOP-E48N0DRJ，角色是 secondary-laptop。只有计算机名精确匹配、活动用户根为 C:\Users\wly 且本地规则入口存在时，副驾驶账本和该主机 Codex 入口才适用；其他主机返回 not_applicable/host_mismatch。
- 副驾驶稳定职责包含 ToDesk 日常远控、Tailscale 双机通道、FlyingBird 服务、可选 Moonlight；台式机代理 7892 只经 tailnet Serve 使用，PostgreSQL 45432 只读测试入口和笔记本 SSH 22/RDP 3389 只允许登记的台式机 Tailscale 对端。
- WLY 主工作站自己的 RDP 3389 暴露由 rdp_tailscale_exposure Registry（登记清单） 单独管理，只允许登记的同用户 Tailscale peers，并保留 ToDesk 与既有 Serve/Funnel；它与笔记本入站规则不能互相复制。
- 笔记本默认阻止入站；精确防火墙只接受 Tailscale 接口上的登记对端。公司网段转接未激活，宽泛 Tailscale-In 规则在系统或 Tailscale 更新后须重新确认未被启用。
- 副驾驶 IPv4/IPv6 TCP active/persistent 动态范围登记为 49152–65535，旧 MaxUserPort=15000 应保持移除；Codex localhost:1455 再现 10013 时重查范围、排除段和真实 listener，不用循环重启 WinNAT 或新增普通 excluded range 掩盖根因。
- 运行基线登记 Git/LFS、VS Code、Python/uv、Temurin JDK 21、Maven、psql、WSL2 Ubuntu 24.04 与 Docker Desktop。Docker 使用 WSL2/Linux 容器、关闭登录自启和 Kubernetes；WSL（Windows 的 Linux 子系统）/Docker 停止是正常状态，健康检查不会为验证启动它们。
- Get-SecondaryLaptopHealth.ps1 是唯一只读健康入口：检查 role.machine、远控/网络/防火墙、recovery.task/local/usb、BitLocker、WinRE、WSL2、Docker、空间、工具和 PCConfig Git。它不联网、不提权、不启动服务、不解锁 U 盘、不触发备份或写健康快照。
- 健康入口已内置一次完整 Audit，载荷失败/未知纳入同一结论，不能用世代元数据替代强校验。SYSTEM 用于读取机器与恢复链时，HKCU、PATH、WSL（Windows 的 Linux 子系统）/Docker 和交互桌面字段仍属于实际用户；本轮另从用户会话定向补读，没有重复全审计。
- 恢复内核安装在管理员保护的 C:\ProgramData\CodexRecovery\secondary-laptop；唯一任务 CodexRecovery-SecondaryLaptop 每天 09:00 和 21:00 以 S4U + Highest 运行，恰好一个 System32 wscript.exe //B //NoLogo Action，再调用受保护 pwsh，全链不得引用普通用户可写代码。
- 任务信任链覆盖 ProgramData 祖先、安装根、launcher、Backup 脚本、settings、deployment manifest（清单）、runtime（运行环境） receipt（执行回执）、实际 pwsh 和 Windows Task Scheduler 定义；reparse、非可信 Owner 或可替换叶文件都阻断，不能只检查安装根 ACL。
- writerState 固定为 restore_pending → restored_unaccepted → writer_activated。新机和重装默认禁用任务；-Force 不能越门。Mark 与 Activate 在两个进程中重新验证同一个 current（当前状态）、generation（代际）、manifest（清单）、closure、exact set、长度和 SHA-256，最后由用户确认才启用 writer。
- 普通文件本地与 USB 都用原子世代和 current.json，默认保留2个已验证世代、各满7天更新。新代复用上个已验证备份的未变内容，只复制新增/变化项，不链接活动原件；源删除不进入最新恢复集，过期世代释放无引用内容。USB未接入、未解锁或未绑定正常等待，不推进其成功时间。
- 周检当前配置为每周一07:15、Asia/Shanghai、gpt-5.6-luna/max，但原生自动化状态为PAUSED；职责模板CODEX_WEEKLY_AUDIT.md从ProgramData及真实源码消费，不能把暂停任务写成正在巡检。9月15日已统一旧10:00账本与失效路径问题。恢复审计仍只读，MCP每周治理按本人9月14日限定授权，在正式版本变化并验证后顺序升级/回退；不恢复主机暂停任务，无新版不重装不重启。观察到的Luna/MAX只是该次任务配置，不是产品身份或永久上限。 换机仍须完成Codex登录、机器绑定与恢复验收，再通过正式自动化入口查同名任务并更新或创建，回读新机调度与实际模型；不复制旧automation ID、原始配置或整棵.codex。
- USB 首次绑定只接受 BusType=USB、稳定卷/磁盘身份、BitLocker FullyEncrypted + Protection On 且路径无 reparse；绑定本身不备份，只有 writer_activated 后显式 CreateInitialBackup 才写第一个世代。
- 胶囊对用户文件只做 Desktop、Documents、Downloads 的非破坏性合并；同名和敏感候选先预览。它不复制整棵 AppData、旧驱动/OEM/电源计划、浏览器或 Codex 登录态、活动 WSL（Windows 的 Linux 子系统）/Docker VHDX、密码、Token、Cookie、私钥或设备身份密钥。
- Documents 内的兼容 junction（目录联接） 不会把 Pictures/Music/Videos 自动纳入。2026-09-09 现役世代包含 Desktop 19、Documents 17697、Downloads 279 个文件及 3 个 CodexPolicy 对象；Documents captureState=degraded，按策略跳过 1 项、跳过 reparse 3 项。强校验只证明实际纳入的 17998 个文件、5655187424 bytes 完整，未覆盖位置仍由其来源独立保全。
- 普通胶囊的 Codex 策略仍只有不可自动加载的三项惰性束：唯一规则正文、worker 定义和 [agents] 两键投影，恢复时语义合并到唯一目标。完整私有配置与应用数据由独立 codex-memory profile（主机配置档）负责；两层不能互相冒充完整覆盖，也不整棵复制旧 Codex home 来跳过登录。
- 副机共享引擎来源为 PRIVATE（私有） wlyaaaaa/codex-memory，活动根 C:\ProgramData\CodexRecovery\codex-data\secondary-laptop；Manage-CodexDataBackup.ps1 的 Plan/Install/Update 管理部署，Status/Verify -ReadOnly 只读检查。主机 main 根数据与副机 backup/secondary-laptop 安全云分支隔离，同一 CodexRecovery-SecondaryLaptop 隐藏任务承接，不新建服务或调度器。 c5914cf共享引擎已修复USB缺席时误阻断本地的问题；原任务满12小时采集Codex数据，普通恢复胶囊仍按自己的7天周期，不新增任务或守护进程。
- 安全云层只含惰性规则、TOML白名单投影、记忆与自定义agent/skill文件，逐文件回读后正常推送并核对远端OID。私有层用VSS一致性恢复点保存sessions、archived_sessions、附件、索引、SQLite与WAL、自动化状态和完整本地配置；本地conversations与独立加密USB的codex-data分别验证，USB还含safe-settings及自带工具/profile/导航的recovery-kit。
- 副机数据本地与在场正确USB各保留当前加上一份已验证回滚点，清理过期point和无引用对象；源删除同步到最新恢复集及云分支，旧回滚不并回当前。超过36小时未成功、连接介质落后/身份变化、散列损坏或新增来源未覆盖须关注；USB缺席保留旧cold日期，云失败不能抹掉已验证本地结果，也不能推进云成功回执。 9月18日USB未接，本地与安全Git完成，旧USB冷点仍按原成功时间保留。
- 恢复先验证选定来源，物化到空的隔离目录，重映射普通与\\?\ Windows路径，再检查SQLite和隔离Codex app-server能否列出并读取历史任务；不启动旧任务，不加载旧auth、queue、goals或活动config。新机选择性激活仍须停止活动写入、重建路径及官方登录，并完成整机验收。
- 副驾驶重装顺序是 Windows/网络 → Git 与 PCConfig 账本 → Tailscale/ToDesk/FlyingBird → 经确认用户文件 → 开发工具 → 人工重建 WSL（Windows 的 Linux 子系统）/Docker → 可选 Moonlight → 精确防火墙 → 整体验收 → writer 激活。账号与设备配对在目标机重新完成。
- 跨品牌恢复使用 START_FOR_CODEX.md 与 desired.yaml；没有 V: 就选实际项目根，按目标架构安装稳定兼容运行时，Windows Home 的 WSL2 不要求完整 Hyper-V 角色。旧 AMD/OEM 驱动、电源、显示器编号和身份不迁移；本机 AMD 性能浮层、游戏内叠加与自有快捷键的禁用在换机或更新后按真实厂商复核。
- MCP 生命周期由副机活动 config 与受保护 manager 回读，具体架构见电脑 MCP 模块。公司/家庭单个 TCP 服务按 company_network_quick_start.md 复用 MaintenancePowerShell 与 Windows PortProxy，监听仅绑定转接端 Tailscale 地址，精确防火墙仅允许指定对端；保持 HTTPS 主机名/SNI 和证书校验。UDP、多个目标和原始来源地址要求另作适配，当前没有公司服务目标或活跃转发。 9月15日两机23工具及四项输出合同已完成部署和合成场景回读，当前依赖0.8.5；实际冷启动、当前客户端全部写工具和公司现场效果仍分别未验。
- 台式机故障接管默认由笔记本自己的 Windows 启动，原 Predator GM7000 只作为数据盘；动态根记为 DesktopDataRoot，原 E/V 可按需读取或挂载，Z 重建，G 默认不挂载。缺少原机应用、服务或登录态不阻断 Git/文档接管。
- 启动 LocalGpuBroker（本地 GPU 调度器）、Ollama、本地模型、LocalOCR 或 ChineseASR 前必须对笔记本当前硬件运行重型能力检查；不满足就零启动、零目录创建，普通 Codex、Git 和文档继续，不把临时宿主观察写回 WLY 稳定投影。
- 2026-09-18T13:00:59Z副机只读回读ready_usb_not_connected：已安装源摘要匹配，原任务Ready、最近complete；安全配置16文件114909字节remote（远端仓库） OID=112ebde654f5629a3e9223ae0046ca5d4548bcdc；热对话点20260918T130027Z-f81447f4为145文件226154889字节，manifest（清单）=b8583e924267b82715db58ecca202865d6cff750898ed7ec57592d22f5a24716，closure=6110dd1401f98e94dc5b478399c7020042cdb25612a9a3e7f004ea0ea7944072，vss_crash_consistent。此次状态核对元数据与已安装源码，不重做全载荷hash（内容指纹）。
- 最后USB冷点仍20260912T010007Z-79c363c0，323文件407005388字节，2026-09-12T01:00:39Z完成；manifest（清单）=857298a0597730876ae13b86c6382232a982e3a1c211d9a6696a5cb6df7bfbe7，旧safe31文件与recovery-kit9文件分别留证。曾通过同点物化、SQLite integrity_check和隔离官方app-server旧任务只读验收；不带auth/queue/goals恢复，不执行旧任务，物理换机仍未验。
执行流程
- 1
先确认现实目标：日常离开主机继续工作、笔记本自身重装/换机、笔记本磁盘故障，还是台式机非硬盘故障后的临时接管。
- 2
在实际执行端回读计算机名和用户根；只有精确命中 LAPTOP-E48N0DRJ/C:\Users\wly 才消费副驾驶 live Provider。在主机上使用已登记的 secondary_laptop MCP，让对端执行同样的身份和现场核验；连接失败才退回带日期账本，不能在主机本地加载副机路径。
- 3
日常使用先验证 Tailscale、ToDesk/FlyingBird、精确防火墙和所需开发工具；台式机代理、数据库或远控不可达时，列出依赖并继续本地可做的 Git、文档和轻量开发。
- 4
笔记本重装或换机时先保持恢复任务 Disabled 与 writerState=restore_pending，从 USB 胶囊 current（当前状态） 指向的已提交世代读取 START_FOR_CODEX、desired、snapshot、manifest（清单） 和 closure。
- 5
生成一页恢复预览，分成自动执行、需要登录/配对、冲突/跳过；用户集中确认后，非破坏性恢复已覆盖的普通文件和窄策略；Codex历史及私有配置另从独立恢复点隔离验证后选择性激活，已确认主机拥有的微信副本不恢复。
- 6
从 PRIVATE（私有） PCConfig 刷新账本；Git-backed 项目重新 clone。对每个无远端 V 项目选择 PRIVATE（私有） Git、加密导出或明确接受丢失，不把它们假装包含在胶囊。
- 7
按目标机重新安装工具、Tailscale、ToDesk、FlyingBird；人工重建 WSL2/Docker，只从停机导出或 Owner-aware 导出恢复不可再生数据。
- 8
重新登录 Codex、Tailscale、ToDesk、FlyingBird、浏览器和其他身份应用；秘密只经凭据 Owner、Provider 或 SecretRef，不复制旧 session。
- 9
恢复文件后以真实胶囊来源标记 restored_unaccepted；检查服务、工具、精确防火墙、文件和仍缺项目，用户确认整体可用后再 Activate writer。
- 10
writer 激活后才绑定/验证独立 USB，并显式创建初始世代；未接入或未解锁时保留正常等待，本地 rollback 继续但不冒充灾备。
- 11
台式机故障接管时，用笔记本自己的 Windows 启动并取消任何初始化/格式化提示；只读识别原 GM7000、分区和锚点，从 DesktopDataRoot 工作。
- 12
需要 V 项目时先只读检查 Dev Drive VHDX，再在 V: 空闲且确需写入时挂载；不恢复 Z，不默认挂 G，不把临时盘符写回 PCConfig。
- 13
接管结束前提交或备份新增工作，停止外置盘消费者，卸载 VHDX 并安全弹出；原盘装回 WLY 后再以原机现场重建 E/V/Z、任务、运行时和备份结论。
边界
- 不把副驾驶账本变成跨主机全局规则，不从机器名称之外的猜测加载 C:\Users\wly 或 V:\GitHub\PCConfig
- 不后台同步两台电脑的完整磁盘、AppData、任务、注册表、驱动、登录态或秘密
- 不把 PCConfig Git checkout（本地检出目录） 或源码测试冒充笔记本当前服务、任务、BitLocker、WinRE、USB 或远控健康
- 不把 ToDesk 当通用端口隧道，不为 7892 开 Funnel，不把 SSH/RDP 放宽到 LAN、公网、整个 tailnet 或公司网段
- 只读检查不启动 WSL（Windows 的 Linux 子系统）、Docker、服务、备份、重启或 USB 解锁；需要机器完整视野时使用现有管理员/SYSTEM 读取入口，再按实际用户补读用户级字段
- 不让 restore_pending 或 restored_unaccepted 的新机运行备份，即使使用 -Force
- 不把同盘 local cache 称为换机/丢盘备份，不在 USB 未绑定/未加密时写用户世代
- 不整棵复制旧 Codex home 或迁移 auth、Cookie、Token、密码、设备密钥来跳过登录；历史对话、数据库与完整私有配置只走 codex-memory 一致性备份和隔离恢复，正文不进入网页或巡检上下文
- 不热拷 WSL（Windows 的 Linux 子系统） ext4.vhdx 或 Docker VHDX；不可再生内容只从停机/Owner-aware 导出恢复
- 不从外置 GM7000 启动 Windows，不初始化、格式化、修复分区或重建 EFI/BCD
- 不因临时盘符、笔记本硬件或任务变化更新 WLY 的 canonical Registry（登记清单）
- 不假定 NVMe 硬盘盒已购入、兼容或验收，不假定笔记本可挂 ReFS VHDX 或解锁跨机 BitLocker
失败与恢复
- 在 WLY 或其他非目标主机调用健康入口
- 返回 not_applicable/host_mismatch，只报告当前主机名；不读取或套用副驾驶路径和现场结论。
- Tailscale、ToDesk 或 FlyingBird 不可用
- 区分双机发现、远控和本地工作；不开放 LAN/公网、不切未登记代理，本地 Git/文档能力按实际继续。
- 台式机代理 7892 或 PostgreSQL 45432 不可达
- 只暂停依赖它的代理或只读测试路径，不把笔记本整体判坏，也不新增公开端口。
- BitLocker/WinRE 在普通会话不可读，或 SYSTEM 看不到用户级状态
- 通过已有管理员/SYSTEM 入口补机器只读证据，用户字段回到实际登录会话；只标记真正未读取的字段，不能把权限视野差异写成未安装或故障。
- 恢复任务定义正确但 ACL 或信任链不可读
- 保持 block/unknown（未验证），不把安装根看起来正常写成安全；不得启用任务。
- 恢复 U 盘未接入、未解锁或未绑定
- 返回正常等待，不告警、不自动解锁、不推进 USB 成功时间；本地副本仍不升级为灾备。
- 新机数据已复制但尚未整体验收
- 保持 restored_unaccepted 和任务 Disabled；继续验证服务、文件、登录、项目与防火墙，不能提前激活 writer。
- 胶囊 current（当前状态）、manifest（清单）、closure 或 payload 不一致
- 停止恢复/激活，保留旧世代与来源；调用方声明的 generation（代际） id 或 digest 不能补齐真实证据。
- V 盘无远端项目没有独立导出
- 明确列为单机故障风险，选择 PRIVATE（私有） Git、加密导出或接受丢失；不声称胶囊或 PCConfig Git 已覆盖。
- 外接 NVMe 出现初始化/格式化提示或身份不清
- 取消写入，只读核对磁盘、分区和锚点；无法确认就停止接管并保留原盘。
- 笔记本不满足重型 GPU 能力门
- LocalGpuBroker（本地 GPU 调度器）、模型、OCR（光学字符识别）/ASR（自动语音识别） 零启动；普通 Codex、Git 和文档继续，必要时使用已授权云能力。
真实入口
E:\PCConfig\docs\recovery\副驾驶笔记本账本.md副驾驶角色、日常能力、网络边界、运行基线和 host-scoped 事实
E:\PCConfig\docs\contracts\pcconfig.secondary-laptop-health.md唯一健康 Provider 的检查 ID、证据双轴、正常例外与隐私边界
E:\PCConfig\tools\Get-SecondaryLaptopHealth.ps1副驾驶笔记本只读健康入口；主机不匹配时提前返回
E:\PCConfig\tools\secondary-laptop-recovery\README.md受保护安装、任务、writer 状态机、USB 世代和恢复命令合同
E:\PCConfig\tools\secondary-laptop-recovery\config\desired.yaml副驾驶目标软件、WSL（Windows 的 Linux 子系统）/Docker、启动、网络、数据和人工动作基线
E:\PCConfig\tools\secondary-laptop-recovery\scripts\Manage-CodexDataBackup.ps1副机Codex部署、原任务集成、hot/cold/安全云层及只读Status/Verify
E:\PCConfig\tools\secondary-laptop-recovery\scripts\Test-CodexDataRestore.py隔离恢复的SQLite、路径重映射及Codex旧任务读取验收
E:\PCConfig\tools\secondary-laptop-recovery\config\settings.json恢复 profile、7 天周期、2 世代保留、本地根和三类用户文件范围
E:\PCConfig\tools\secondary-laptop-recovery\templates\START_FOR_CODEX.md新机先冻结 writer、恢复预览、两阶段验收和激活顺序
E:\PCConfig\tools\secondary-laptop-recovery\templates\CODEX_WEEKLY_AUDIT.mdLuna Max 周检的可重建职责与无变化静默边界
E:\PCConfig\tools\secondary-laptop-recovery\scripts\Get-RecoveryReadiness.ps1任意新机路径与品牌的覆盖/漂移预检，不备份、不解锁、不代替强校验
E:\PCConfig\tools\secondary-laptop-access\Deploy-SecondaryLaptopMcp.ps1副机共享服务准备、原路径依赖升级、回滚与 Check
E:\PCConfig\tools\secondary-laptop-access\company_network_quick_start.md明确单个服务的按需接通、对端验收和精确撤销，当前未激活
E:\PCConfig\docs\recovery\nvme_enclosure_takeover.md台式机非硬盘故障时的原 NVMe 外置接管与结束流程
E:\PCConfig\docs\recovery\codex_login_10013.md副驾驶 localhost 1455 与动态端口范围的持久修复/复核边界
E:\PCConfig\registries\rdp_tailscale_exposure.jsonWLY 主工作站 RDP 的独立 Tailscale-only 对端、规则与保留入口
E:\PCConfig\tools\test_secondary_laptop_recovery.test.ps1恢复胶囊、writer、USB、ACL、任务和负例的离线回归
如何验证
- 2026-09-09 21:48–21:54 UTC 经 secondary_laptop 真实回读：ComputerContext 确认目标规则与 SYSTEM/Session 0；普通 PowerShell 为 C:\Users\wly 用户，PS7.6.4；双机 Status/MaintenanceStatus 均通过。这取代旧 WLY host_mismatch 作为当前副机证据。
- 2026-09-12 04:27 UTC 只读副机 Status：installed=true、source_commit=c7e02a79b7922780eeae37a312d159319422c9ac、source_digest=match、ready；自然09:00任务result=0。对话本地与USB同point=20260912T010007Z-79c363c0，323文件/407005388 bytes，USB在场、cold_matches_hot=true；这是现存收据与安装源码核对，本轮没有重新全量散列。
- 同次现存安全配置收据为31文件/266762 bytes，2026-09-12 01:00:24Z完成，backup/secondary-laptop的local/remote（远端仓库） OID均dcff123c91b40ab9f9c6ddc5b2a5eea809325011、fresh_remote_matches_head=true。各层各保留2点，本次观察不替代以后的云端或介质可用性。
- 2026-09-10 restore-validation.json既有隔离恢复收据pass：来源point=20260910T035042Z-acd75878，209份session文件、208索引路径重映射，隔离app-server列出139任务并读出指定任务12轮；未启动新轮次、未复制凭据、未输出私密正文，探针与物化副本已清理。整机换机、活动程序恢复与原盘接管仍分别未验。
- 2026-09-14只读副机原自动化与ProgramData模板：原任务ACTIVE、gpt-5.6-luna/max、周一07:15；账本10:00及原prompt的旧三路径约束尚与新模板冲突。Windows任务仍Ready/S4U/Highest、09:00/21:00；活动settings为7天、2代、writer_activated。只读取配置和任务元数据，未改自动化、未触发备份或新机恢复。
- 2026-09-12实际任务Ready，09:00/21:00触发、S4U/Highest、writer_activated、普通胶囊7天/2代；独立自动化“副电脑恢复胶囊每周语义巡检”为ACTIVE、gpt-5.6-luna/max、周一10:00。调度、自然备份和历史隔离恢复是三类独立证据。另发现旧周检模板仍只允许三条Funnel映射，与已授权六条冲突；来源Owner已将该口径修正为按正式账本、受保护运行时和relay登记逐项匹配，随21a0fbd发布；随后来源Owner已用既有维护入口原子安装该模板，SHA=f9bf21a3649eec0dafb15d2b379e0647b37d49129fa7dcea475d750a9ff6e3a1，15个manifest（清单）文件长度与hash（内容指纹）全部通过；任务、服务、路由不变。d1dc393同时修复缺席USB被过早读取的问题，已安装脚本SHA=819feb8e8c8e035e3576c02e8e6ee2b476352d7681446c8d805f39efb6f75650，状态ready_usb_not_connected、source_digest=match、Readiness metadata_consistent且unknowns=[]；未重新运行副机备份。
- 2026-09-09 21:51:08Z SYSTEM 健康入口内置 Audit v2 完成：classification=NORMAL、needs_attention=false、local_integrity=pass、usb_integrity=pass、usb_state=connected；本地与 USB 同世代 20260910-042501-edddf4ec，CodexPolicy 各 3 项 complete。此次只读，没有触发备份或恢复。
- 既有最近本地成功时间为 2026-09-09T20:30:25.6890715Z，USB 为 20:35:15.601958Z；各回执确认 17998 文件、5655187424 bytes、sha256-size-presence-exact-set。Documents 仍有具名跳过，不能把这组有效载荷说成整个用户目录。
- CodexRecovery-SecondaryLaptop 在2026-09-09历史观察中 Ready/enabled、S4U/Highest 隐藏链通过，最近自动运行 2026-09-09 21:00 +08:00、result=0，下次 9月10日09:00 +08:00；writerState=writer_activated、7天周期、保留2世代。任务最近运行时间与后来已有备份回执分别记录。
- SYSTEM Health 原摘要为 15 pass/5 warn/0 block，含用户视野差异；21:54 UTC 用户会话补读 Ubuntu-24.04/WSL2、Docker 4.86.0.236216/AutoStart=false/无 com.docker.service、python/uv/mvn/psql 均可解析、代理启用。没有把补读拼装成一次新的全健康 PASS；AMD 交互浮层本轮未复核。
- 恢复源码固定 profileId=secondary-laptop、writerState 默认 restore_pending、backupIntervalDays=7、generationRetentionCount=2，dataSources 仅 Desktop/Documents/Downloads
- 健康合同覆盖 ToDesk/Tailscale/FlyingBird、精确防火墙、CodexRecovery-SecondaryLaptop、local/USB 世代、BitLocker/WinRE、WSL2/Docker、空间、工具与 Git；Provider 明确零网络、零写入
- 源账本与恢复模板已到远端 main=c93229716d0859246b1f2963bd4f60d8e63eb16c（2026-09-09 21:54 UTC ls-remote 回读）；副机 checkout（本地检出目录） 同提交且干净。源码、当前胶囊完整性、Luna 周检登记、新机恢复与物理冷启动分别验收。
- 原 GM7000 通过硬盘盒的真实识盘、持续读取、跨机 BitLocker、ReFS Dev Drive VHDX 挂载和重型能力尚未做端到端演练
- 9月15日副机账本与现场配置证明每周07:15及ProgramData入口收敛；9月18日13:00Z状态证明原恢复任务、本地对话和安全Git完成、USB未接。元数据/源码检查不替代全载荷hash（内容指纹）或新机验收。
与其他模块的关系
机器事实模块保留主机身份与盘符事实，运行时模块解释单机软件/任务，普通恢复模块负责 WLY 主工作站重装链，秘密模块负责目标设备重新登录与 SecretRef；本模块独立拥有副驾驶产品角色、双机网络、笔记本恢复胶囊和原 NVMe 临时接管。它不复制这些模块，也不把笔记本变成第二个主工作站。