文档: 看板销账与登记 + 设计档六份 + 索引补录

- 看板: 907 补注/909~941 登记与销账(含 929 模型停用根因与 4 处次生缺口、931 队列丢失、933/935/937 新需求、939 上下文瓶颈清单、941 C-r0 行为变更待拍板)
- 归档: 全量完成态条目/段落 + 只读核验销账 4 段迁 todo归档/2026-10-10.md(机械搬运零措辞改动,未完成项零丢失)
- 设计档: 输入框列表预览与自动编号 / 定时消息与待发箱持久化(统一 ai_outbox 底座) / 对话内定时延时任务 / 消息渲染管线重构(P0-P2 分期) / 上下文分层组装器落地方案(记账基点单一真值,与并行写者职责划清) / FileTree 大目录方案(推荐后端分页,否决虚拟滚动) / u-relay 运维手册
- 索引与事实修正: docs/INDEX crate 数 8→13 + 四子树补录 25 条 + 专项设计补录 27 条;纠正「项目无独立 ARCHITECTURE.md」等过时声明;统一 bun 口径
- CLAUDE.md: 新增「命名与代码风格」节(变量/方法名精简+准确;DRY·简洁·扩展性·高内聚低耦合·单一真值来源)

docs/02-架构设计/专项设计/u-relay-wire-protocol-2026-10-04.md

@@ -170,6 +170,24 @@ Commander(控制端) ──wss──> nginx(:443 TLS 终结) ──ws──> u-r
 | **Commander** | 用 pong 更新 `lastPongTime`，看门狗超时则重连 |
 | **Agent**（跑桌面/移动网络） | 用 pong 重置读死线，死线超时走既有重连 |
 
+### 4.4 心跳间隔约束
+
+心跳间隔不是自由值，**链路各层空闲超时中最小的一层决定其上界**：
+
+| 层 | 空闲超时 | 说明 |
+|---|---|---|
+| nginx 反代 | `proxy_read_timeout`（样例 300s；生产实时配置可能更大） | 超时即静默断开 UPSTREAM WS，无任何错误帧 |
+| NAT / 防火墙 | 数十秒 ~ 数分钟（设备相关） | 空闲连接被回收，后续帧永久不可达 |
+
+**约定**：间隔须**显著小于最短超时**并留足余量（容忍连续数次心跳丢失 / 网络抖动仍不断链），**推荐 30–60s**。低于 30s 徒增无效流量，超过 60s 在 300s 反代下余量偏薄。
+
+| 端 | 保活帧 | 间隔 |
+|---|---|---|
+| Commander 参考（u-ppt） | 应用层 `{control_kind:"ping"}` | 30s |
+| Agent（df-tunnel） | WS 协议层 Ping 帧（对端协议栈自动回 Pong） | 30s |
+
+> Agent 侧用协议层 Ping 即可保活——WS Ping/Pong 由对端协议栈（tungstenite/axum）自动应答，同样刷新反代空闲计时；应用层 `control_kind:"ping"` 主要用于需要显式 pong 观测的控制端看门狗。两端节拍取同值，避免一方看门狗口径与另一方保活周期错配导致误重连。
+
 ---
 
 ## 5. 部署配置