feat(perception): integrate calibrated operator pipeline

Add calibrated K1 projection, recorded and near-live perception qualification, unified Rerun operator layers, bounded replay admission, audited viewer controls, worker experiments, and lab evidence.

plugins/xgrids-k1/frontend/src/useXgridsK1Runtime.ts

@@ -12,6 +12,7 @@ import {
   type OperatorPresenceConfirmation,
   type PrepareAcquisitionRequest,
   type ReplayRequest,
+  type XgridsOperation,
   type XgridsApplicationControlPhase,
   type XgridsK1State,
 } from "./api";
@@ -186,6 +187,34 @@ function messageFor(error: unknown): string {
   return "Запрос к локальному сервису устройства завершился ошибкой.";
 }
 
+function networkProvisionFailureMessage(
+  operation: XgridsOperation | null | undefined,
+): string | null {
+  if (!operation || operation.status !== "failed") return null;
+  const code = operation.error?.code;
+  if (typeof code !== "string") return null;
+
+  const messages: Record<string, string> = {
+    "network-not-found":
+      "Точка доступа выбранного K1 не найдена. Команда включения точки не повторялась; проверьте питание и состояние K1.",
+    "credential-entry-cancelled":
+      "Первичная регистрация пароля K1 отменена. Получите пароль сохранённой сети этого K1 на авторизованном устройстве и повторите подключение отдельным действием.",
+    "credential-invalid":
+      "Пароль точки доступа K1 имеет недопустимую длину. Получите сохранённый пароль этого K1 в LixelGO/iPhone и повторите подключение.",
+    "host-wifi-operation-timeout":
+      "Первичное системное подключение к K1 не было завершено вовремя. BLE-команда автоматически не повторялась; получите пароль сохранённой сети этого K1 и запустите подключение заново.",
+    "profile-ssid-mismatch":
+      "Сохранённый профиль относится к другому K1. Подключение остановлено без повторной команды сканеру.",
+    "corewlan-error":
+      "macOS не смогла подключиться к точке доступа K1. Проверьте пароль сохранённой сети этого K1; автоматического повтора не было.",
+    "wifi-interface-unavailable":
+      "Системный Wi-Fi-интерфейс macOS недоступен. Команда сканеру автоматически не повторялась.",
+    "unsupported-platform":
+      "Для этой операционной системы адаптер подключения к точке K1 ещё не реализован.",
+  };
+  return messages[code] ?? null;
+}
+
 function measuredLatency(state: XgridsK1State | null): number | null {
   if (state?.source_mode !== "live") return null;
   const metrics = state?.metrics;
@@ -318,7 +347,29 @@ export function useXgridsK1Runtime(enabled: boolean) {
           );
         }
 
-        const nextState = await xgridsK1Api.connect(request);
+        let nextState: XgridsK1State;
+        try {
+          nextState = await xgridsK1Api.connect(request);
+        } catch (connectError) {
+          // A failed network action is terminal and persisted by the backend.
+          // Re-read state only; never replay the device command. This replaces
+          // an opaque HTTP 502 banner with the exact host-association outcome.
+          let failedState: XgridsK1State;
+          try {
+            failedState = await xgridsK1Api.getState();
+          } catch {
+            throw connectError;
+          }
+          acceptState(failedState);
+          const failedOperation = operationByIdempotencyKey(
+            failedState,
+            "network.provision",
+            request.idempotency_key,
+          );
+          const failureMessage = networkProvisionFailureMessage(failedOperation);
+          if (failureMessage) throw new ApiError(failureMessage);
+          throw connectError;
+        }
         const operation = operationByIdempotencyKey(
           nextState,
           "network.provision",
@@ -334,7 +385,7 @@ export function useXgridsK1Runtime(enabled: boolean) {
         }
         return nextState;
       }),
-    [run, state],
+    [acceptState, run, state],
   );
 
   const openApplicationControlSession = useCallback(