feat(brain): add single-stream visual prototype (T-017)

docs/routes.md

@@ -20,6 +20,14 @@
 
 这些是页面职责占位，不等于已冻结 URL；实现任务须更新本文件后再编码。
 
+## 工程演示路由
+
+| 路由 | 所有者 | 关键约束 |
+| --- | --- | --- |
+| `/brain-demo` | Brain T-017 回环工程服务 | 只允许显式回环监听；可独立打开 `docs/design/brain/index.html` 使用标识清楚的离线原型数据。不是 Bell 公共业务路由，不展示流 URL/凭据，不产生平台事件 ID、Alert 或处置状态 |
+
+该路由只为开发、售前和实施联调。正式客户值班端仍由 Bell `/events`、`/alerts` 等受认证路由承载；不得把 Brain 工程页暴露到非可信网络或嵌入客户公共系统。
+
 ## App 候选导航
 
 - 预警：待确认与升级中的事件。
@@ -44,6 +52,6 @@ Bell 响应式管理端的底部主导航最多 5 项；Site/Area、RBAC 与审
 
 ## 组件归属
 
-- 业务组件放 `Bell/web/`，不放进 Sense 或 Brain。
+- 业务组件放 `Bell/web/`，不放进 Sense 或 Brain；T-017 的 `/brain-demo` 是明确隔离的回环工程页，不改变该归属。
 - 流状态只通过 Bell/Sense 的受控业务 API 展示，不直接把 MediaMTX 管理端暴露给业务用户。
 - 共用筛选、分页、批量结果和状态时间线组件在前端脚手架确定后再分层，不提前臆造目录。