docs(design): close Sense second-review gaps

docs/07-user-stories.md

@@ -7,16 +7,16 @@
 - 角色：实施工程师。
 - 目标：一次导入并验证一个默认 16 路视频站点，不逐路手工配置；操作入口位于通用设备台账的视频模态筛选下。
 - 价值：降低交付时间并为 128 路扩展保留操作效率。
-- 验收：支持待激活、逐设备结果、失败可重试、超配额明确拒绝；128 路规模下仍使用分页/批量流程。
-- 关联：RQ-C-01～RQ-C-08，IX-001～IX-003。
+- 验收：导入后先进入待激活，任务历史可查看逐设备成功/失败原因并仅重试失败项；认证失败时提供不回显旧密码的凭据更新路径；超配额明确拒绝；128 路规模下仍使用分页/批量流程。
+- 关联：RQ-C-01～RQ-C-08，IX-001～IX-004、IX-015。
 
 ## US-002 查看设备与流健康
 
 - 角色：平台运维/站点管理员。
-- 目标：快速知道哪些设备离线、时间漂移、流未收敛或分片异常。
+- 目标：快速知道哪些设备离线、认证失败、时间漂移、流未收敛、隧道异常或分片异常，并能区分期望态与各下游实际态。
 - 价值：在业务预警受影响前定位故障。
-- 验收：设备期望态与实际态分开显示；断线重连可观察；业务预警和运维告警不混用。
-- 关联：RQ-C-06～RQ-C-08、RQ-C-29、RQ-C-34，IX-004。
+- 验收：设备期望态与媒体/推理/存储实际态分开显示；对账差异、退避、下次重试和孤儿安全闸可观察；边缘隧道与视频数据面分别显示；业务预警和运维告警不混用。
+- 关联：RQ-C-06～RQ-C-08、RQ-C-29、RQ-C-34，IX-004、IX-019。
 
 ## US-003 处置业务预警
 
@@ -63,8 +63,24 @@
 - 角色：实施工程师/站点管理员。
 - 目标：在统一设备台账中按模态和能力添加、筛选与查看视频、雷达、门磁、按钮、可穿戴等设备；隐私区域只允许非成像设备。
 - 价值：M2 固化不会因 M6 异构设备接入而推倒重来的信息架构，同时把隐私要求落实为系统准入约束。
-- 验收：一级入口使用“设备”；添加时先选模态，详情按能力显示页面；`non_imaging_only` Area 不允许新增或启用成像设备，策略读取失败时拒绝新变更并给出恢复路径；M2 完成信息架构与视频准入，M6 完成非视频适配器。
-- 关联：RQ-S1-05、NFR-CMP-05，IX-014、IX-016。
+- 验收：一级入口使用“设备”；添加时先选模态，详情按探测能力显示页面并标明来源、时间与生效差异；未实现适配器显示 `adapter_not_ready`，不得伪装在线；`non_imaging_only` Area 不允许新增或启用成像设备，策略读取失败时拒绝新变更并给出恢复路径；M2 完成信息架构与视频准入，M6 完成非视频适配器。
+- 关联：RQ-S1-05、NFR-CMP-05，IX-014、IX-016、IX-019。
+
+## US-009 以最小权限运维接入系统
+
+- 角色：平台运维/租户管理员/站点管理员/只读用户。
+- 目标：进入 Sense 时明确当前租户、站点、账号和角色，并只看到权限范围内的数据与操作。
+- 价值：让私有化单租户交付也保留 SaaS-ready 隔离边界，避免原型把管理员权限当成默认事实。
+- 验收：切换站点会刷新上下文；只读角色看不到写操作；深链越权安全拒绝且不泄露设备存在性；设备操作日志可带筛选上下文跳到 Bell 全局审计。
+- 关联：RQ-C-31～RQ-C-33，IX-013、IX-020。
+
+## US-010 管理站点与区域准入策略
+
+- 角色：租户管理员/站点管理员。
+- 目标：在统一管理端维护 Site、Area 层级与 `capture_policy`，并让 Sense 使用同一版本的策略执行设备准入。
+- 价值：避免 Area 在 Sense、Bell 各有一份真相，保证权限、报表和隐私准入口径一致。
+- 验收：Bell 是 Site/Area/配额/策略真相源；策略变更影响已有成像设备时必须显式选择迁移或取消，不自动停用；Sense 展示策略版本与同步状态，投影不可用时仅拒绝相关新写入。
+- 关联：RQ-S1-05、NFR-CMP-05，IX-016、IX-020。
 
 ## 追溯规则