feat(k1): complete primary acquisition lifecycle

apps/control-station/README.md

@@ -18,15 +18,15 @@ device adapter, но структура интерфейса от него не
 | --- | --- | --- |
 | Mission Core fixed shell | Реализован | Header, навигация по разделам, рабочая поверхность, окна и инспекторы работают в одном приложении. |
 | Device plugin registry | Реализован, v1alpha1 + v1alpha2 | До выбора модели provider остаётся inert и не делает I/O. v1alpha1 сохраняет одну модель; v1alpha2 допускает одну или несколько моделей и требует profile coverage каждой. Custom `device.connection` UI key и backend factory подключаются одним reviewed import в composition root. |
-| Plugin-owned connection UI | Реализован | XGRIDS provisioning, acquisition/replay, diagnostics, metrics и scoped styles физически находятся в `plugins/xgrids-k1/frontend`; generic Control Station предоставляет только frontend SDK, model catalog и host slot. |
+| Plugin-owned device UI | Реализован | XGRIDS provisioning, project/acquisition/replay, diagnostics, metrics, optional spatial controls и scoped styles физически находятся в `plugins/xgrids-k1/frontend`; generic Control Station предоставляет frontend SDK, model catalog и host slots. |
 | Локальный control plane | Реализован | React получает состояние и выполняет операции через FastAPI REST и WebSocket на loopback. |
 | K1 BLE → Wi-Fi | Реализован | Реальный BLE-поиск всех видимых устройств и одна подтверждённая provisioning-запись выбранному устройству. |
-| K1 live/replay MQTT | Реализован | Read-only приём, raw-first сохранение, декодирование облака точек и позы, реальные метрики. |
+| K1 live/replay MQTT | Реализован | Read-only приём, обязательное локальное имя проекта, raw-first сохранение, декодирование облака/позы и device-reported scan time/distance/speed. |
 | Автоматический MQTT → Rerun | Реализован | Первый live/adapter file-replay поднимает process-wide `RecordingStream` и gRPC/proxy на TCP 9876; следующие такие сессии переиспользуют его. Saved observation replay использует отдельный immutable HTTP RRD path. |
 | Встроенный Rerun Viewer | Реализован | Self-hosted npm-компонент автоматически открывает текущий gRPC source внутри Control Station; внешний viewer не используется. |
 | Контролы сцены → Rerun | Реализованы для текущей геометрии | Работают размер и видимость точек, атрибут цвета, палитра, окно накопления, траектория, сетка, host timeline и сохранение/восстановление spatial layout. Проекция и семантические слои ещё не подключены. |
-| Сохранённые observation sessions | Реализованы для point/pose | Три последние сессии, background preparation, cache v7, generation-bound RRD, atomic admission, autoplay, play/pause/seek и controlled switching больших записей. |
-| K1 camera preview и archive | Live реализован; recorded contract реализован | Обе RTSP/H.264 камеры физически приняты в live UI. Новые acquisition-owned fMP4 archives не зависят от browser windows; recorded player подключён, но реальная архивная K1 camera-session ещё не прошла physical acceptance. |
+| Сохранённые observation sessions | Реализованы для point/pose/device metrics | Три последние сессии, background preparation, capture-clock-bound cache v9, generation-bound RRD, atomic admission, autoplay, play/pause/seek и controlled switching больших записей. |
+| K1 camera preview и archive | Live реализован; recorded contract реализован | Обе RTSP/H.264 камеры физически приняты в live UI. Новые acquisition-owned fMP4 archives не зависят от browser windows; recorded player подключён, но point-cloud + one-camera archived playback ещё не прошёл physical acceptance. |
 | Legacy Foxglove module | Только regression | Модуль и тесты сохранены для сравнения декодирования. Текущий live/replay runtime не запускает Foxglove WebSocket и не использует TCP 8765. |
 | Карты и миссии | Интерфейсный каркас | Реальные map/mission backends и vehicle control ещё не подключены. |
 
@@ -38,9 +38,10 @@ device adapter, но структура интерфейса от него не
 
 ```text
 K1 MQTT :1883, read-only
-└── raw .k1mqtt + metadata + SHA-256 сохраняются первыми
-    └── bounded latest-wins preview queue (32 сообщения)
-        └── явно внедрённый K1 protobuf/LZ4 normalizer
+└── raw .k1mqtt + metadata + durable clock origin сохраняются первыми
+    ├── injected ModelingReport observer -> device scan time/distance/speed
+    └── bounded latest-wins visual preview queue (4 сообщения)
+        └── явно внедрённый K1 protobuf/LZ4 point/pose normalizer
             └── transport-neutral DecodedPointCloudView / DecodedPoseView
                 └── Rerun Points3D + Transform3D + LineStrips3D
                     └── gRPC/proxy TCP 9876
@@ -55,7 +56,7 @@ Mission Core Control Station ←→ REST /api/v1/device-plugins/*
 
 sealed/recovered observation session
 └── SQLite catalog + bounded background preparation
-    └── atomic RRD cache v7 + recorded-media manifest v2
+    └── capture-clock-bound atomic RRD cache v9 + recorded-media manifest v2
         └── generation-bound same-origin HTTP
             └── aggregate admission
                 └── Rerun native receiver + recorded fMP4 player
@@ -177,15 +178,21 @@ production-сборки запускается командой `npm run preview
    оператор.
 6. Ввести SSID и пароль существующей сети и явно запустить подключение. Это одна
    reviewed provisioning-запись без автоматических повторов.
-7. Запустить live-приём по определённому адресу K1 либо replay локального
-   `.k1mqtt`/проверенного TSV. Физическое сканирование K1 запускается и
-   останавливается подтверждённым двойным нажатием кнопки устройства.
-8. Backend автоматически поднимет Rerun gRPC на TCP 9876 и опубликует адрес в
+7. Ввести обязательное название проекта. Оно NFKC-нормализуется, trim-ится,
+   проверяется на control/surrogate characters и лимит 96 Unicode characters,
+   сохраняется как display metadata и не используется в filesystem path.
+8. Запустить локальный live-приём по определённому адресу K1 либо replay
+   локального `.k1mqtt`/проверенного TSV. Физическое сканирование K1 запускается
+   и останавливается подтверждённым двойным нажатием кнопки устройства.
+9. Backend автоматически поднимет Rerun gRPC на TCP 9876 и опубликует адрес в
    state. Ручной source вводить не требуется.
-9. Открыть **Наблюдение → Пространственная сцена**. Реальные облако и траектория,
-   частота, число точек, задержка и пропуски preview появятся после прихода
-   сообщений K1.
-10. После нормального stop или recovery открыть **Сохранённые сессии**. Дождаться
+10. Открыть **Наблюдение → Пространственная сцена**. Plugin-owned spatial block
+    показывает local acquisition phase, stop local reception и полученные от K1
+    scan time/distance/speed; облако, траектория и preview metrics появляются
+    только после реальных сообщений.
+11. Физически остановить K1, дождаться steady green, затем остановить локальный
+    приём из device workflow или spatial block, чтобы запечатать evidence.
+12. После нормального stop или recovery открыть **Сохранённые сессии**. Дождаться
     состояния **Готово**, выбрать запись и использовать host timeline. Evidence
     сохраняется автоматически; disk action сохраняет только workspace layout.
 
@@ -212,6 +219,11 @@ https://example.internal/recording.rrd
 - версия RRD должна быть совместима с версией Web Viewer;
 - ручной URL хранится только в состоянии текущей страницы и имеет приоритет над
   автоматическим source;
+- nonterminal acquisition fail-closed блокирует manual source apply/reset,
+  saved session switch и persisted replay reattach до завершения текущего
+  приёма; automatic-source action очищает старый source и открывает сцену только
+  после successful start, failed start сохраняет текущую сцену, а guard не
+  останавливает устройство;
 - ошибка запуска показывается в viewport, без подстановки фиктивных данных.
 
 После готовности Viewer выбор Rerun entity возвращает `entityPath` и имя view в
@@ -282,10 +294,10 @@ facts и старые presentation-поля `phase`, `message`, `devices`,
 | `src/App.tsx` | Fixed shell, выбор разделов и окна source/display/layers/layout. |
 | `src/productModel.ts` | Архитектурные разделы, рабочие поверхности и уровни готовности. |
 | `src/core/device-plugins/` | Vendor-neutral manifest parser, registry, lifecycle, plugin host и public frontend SDK surface. |
-| `src/core/runtime/` | Нормализованное состояние активного устройства и spatial source. |
+| `src/core/runtime/` | Нормализованное состояние активного устройства, spatial source и fail-closed source-switch guard. |
 | `src/composition/devicePlugins.ts` | Единственный allowlist импортов конкретных device plugins. |
 | `src/workspaces/DeviceWorkspace.tsx` | Generic выбор модели и `device.connection` slot. |
-| `../../plugins/xgrids-k1/frontend/` | Plugin-owned K1 BLE/Wi-Fi, acquisition/replay UI, API client, runtime mapper и scoped styles. |
+| `../../plugins/xgrids-k1/frontend/` | Plugin-owned K1 BLE/Wi-Fi, project/acquisition/replay UI, optional spatial controls, API client, runtime mapper и scoped styles. |
 | `src/workspaces/Workspaces.tsx` | Оперативный обзор, spatial viewport и остальные продуктовые поверхности. |
 | `src/components/RerunViewport.tsx` | Live/recorded lifecycle WebViewer, native RRD open, atomic admission, playback и selection events. |
 | `src/components/ObservationSessionSelect.tsx` | Три последние сессии, состояния `Готово` / `Обработка` / `Ошибка`. |
@@ -312,16 +324,26 @@ facts и старые presentation-поля `phase`, `message`, `devices`,
   случайные GATT writes и автоматические повторы запрещены.
 - MQTT live/replay не публикует команды устройству. Запуск и остановка
   физического сканирования остаются за кнопкой K1.
+- Exact start/stop codec, response correlator и device-status state machine
+  остаются inert: они не импортируют MQTT transport. Header derivation известен,
+  но legitimate OpenAPI key provisioning и durable post-stop save gate не
+  доказаны, поэтому `vendor_writes_enabled=false`.
 - Live-сессии сначала сохраняют сырые сообщения и camera segments, затем
   формируют disposable preview. При перегрузке preview может быть отброшен,
   native evidence сохраняется. MQTT durability имеет bounded group-commit RPO,
   camera durability — текущий незавершённый fragment RPO; это не zero-loss claim.
+- Новая session summary hash-bind-ит durable clock origin и атомарно переключает
+  pointer с provisional `mqtt.timeline.json` на content-addressed
+  `mqtt.timeline.session-<sha256>.json`: только owner-sealed `session` scope
+  может рекламировать combined media replay. Cache v9 создаёт реальные
+  origin/end RRD rows; provisional `transport` scope fails closed.
 - Timeline `capture_time` сохраняет Unix-время приёма сообщения Mac, а окно
   накопления viewer использует session-local `stream_time`. `capture_time` — не
   доказанный timestamp сенсора K1 и не photon-to-screen latency.
 - Панорамный камерный поток в MQTT report topics отсутствует; отдельные
   left/right RTSP preview доступны через generic camera windows. LiDAR и camera
   сейчас синхронизированы только по host arrival, не по доказанным sensor clocks.
+  Физический archived playback point cloud + одна выбранная камера ещё не принят.
 - `.runtime/`, canonical evidence roots и legacy `sessions/` игнорируются Git и
   могут содержать адреса, изображения, идентификаторы, траекторию и карту
   помещения. В репозиторий попадают только код, тесты, redacted manifests и