Pin the recovery proposal r2 combination after external review

Why: the reviewed candidate moves from untracked drafts to a fixed two-repo combination; task card and project index must reference r2 and record the svc-autorecover ownership decision as a human gate.

Evidence: SELF - documents gitlink cbc64eb (r1 pinned at 54fc24e, revised to r2 with SHA256 9cfda252...); resume precheck receipt imported above; task-sync merged origin/main 555fb2162f cleanly.

Impact: task metadata, submodule pointer and index only; no business code, no push/PR.

Refs: modules/documents/docs/records/2026-10-12-service-restart-data-recovery-review.md (round 2)

.task/feature-service-restart-recovery-plan.md

@@ -1,6 +1,6 @@
 # feature/service-restart-recovery-plan 任务卡
 
-任务主记录：modules/documents/docs/proposals/2026-10-12-service-restart-data-recovery.md r1（本地待审，PR NOT_CREATED）；状态：方案待评审；owner：weichen
+任务主记录：modules/documents/docs/proposals/2026-10-12-service-restart-data-recovery.md r2（本地git固定，PR NOT_CREATED）；状态：方案待评审；owner：weichen
 
 ## 基线与授权
 
@@ -20,7 +20,7 @@
 ## 关联方向与规划
 
 - 适用状态：补充既有协作存储方向；本方案仍待人工评审
-- 主记录路径/版本：modules/documents/docs/proposals/2026-10-12-service-restart-data-recovery.md r1；相关方向为2026-10-11-collaboration-storage-and-distribution.md
+- 主记录路径/版本：modules/documents/docs/proposals/2026-10-12-service-restart-data-recovery.md r2（documents 54fc24e固定r1，cbc64eb修订至r2）；相关方向为2026-10-11-collaboration-storage-and-distribution.md
 - 对应里程碑：协作存储R7恢复合同；本案U1–U7；协调已有feature/svc-autorecover、feature/collab-storage-u5-outbox（其未合入变化不作为当前实现）
 
 ## 需求分析
@@ -31,9 +31,9 @@
 
 ## 方案与计划
 
-- 方案引用：主记录r1，第1–6节
-- 实施计划引用：主记录r1，第7节U1–U7及批次A/B/C
-- 测试计划引用：主记录r1，第8节；全部业务执行NOT_RUN
+- 方案引用：主记录r2，第1–6节
+- 实施计划引用：主记录r2，第7节U1–U7及批次A/B/C
+- 测试计划引用：主记录r2，第8节；全部业务执行NOT_RUN
 
 ## 阶段评审
 
@@ -70,16 +70,16 @@
 
 ## 结果与验证（完成后填写）
 
-- 结果：本地待审恢复方案及Dev/过程仓入口；详细审阅结果见过程仓records同名review记录
+- 结果：本地待审恢复方案r2及Dev/过程仓入口（documents/父仓均已本地提交固定，未推送）；详细审阅结果见过程仓records同名review记录两轮（六角色自审+外部源码复核）
 - 验证：SELF启动precheck、task-sync、source audit和文档差异/链接检查见工具原始收据；草稿收据含未提交非任务卡改动，被check-evidence标为unverified，不作正式验收依据；业务/真实PG身份/故障/模型/迁移/部署/运行验收均NOT_RUN
-- 影响与剩余项：仅文档与任务元数据；方案未批准、未提交业务代码、未推送/PR/合入/部署；docs子仓及父仓本地变更保留供审阅
+- 影响与剩余项：仅文档与任务元数据；方案未批准、未提交业务代码、未推送/PR/合入/部署；docs子仓与父仓候选已本地提交固定供评审
 
 ## 规划进展与下一步
 
-- 本次推进/剩余：形成完整候选r1与六角色文档审阅，补充协作存储R7恢复合同；全部业务实现与运行验证未执行
+- 本次推进/剩余：形成候选r1（六角色自审）与r2（外部源码复核吸收：U3停机预算来源变更、U1程序/cwd验收、U4状态映射表、第9节svc-autorecover归属二选一），补充协作存储R7恢复合同；全部业务实现与运行验证未执行
 - 首选下一任务：本案U1；并细化U3生命周期设计，与已有svc-autorecover协调复用
 - 推荐依据：先保证DB/data身份不漂移、配置更新完整和真实ready，再接监管与自动任务续跑
-- 前置条件/待确认：人工审核r1；固定目标实例/服务组、数据归属、管理权、故障档和RPO/RTO；与在途任务owner明确分工
+- 前置条件/待确认：人工审核r2（含svc-autorecover归属二选一裁定：作实施载体或放弃合并）；固定目标实例/服务组、数据归属、管理权、故障档和RPO/RTO；与在途任务owner明确分工
 - 预期产物/验收条件：兼容manifest合同、数据归属清单、真实PG隔离恢复回归和生命周期设计；判据见主案U1/U3
 - 重复任务核对：只读发现feature/svc-autorecover任务卡壳及feature/collab-storage-u5-outbox工作区；未合入变化/批准范围未经本轮证实，实施前重核，不能重复宣称已完成
 - 启动授权：未授权（建议不自动启动新任务，仍须明确授权）

PROJECT.md

@@ -32,9 +32,10 @@ U2 起实施与部署分别评审。
 
 - [RDM 最终目标核对与完整交付方案 r1](modules/documents/docs/proposals/2026-10-11-rdm-final-target-completion.md)：系统级项目、上限内权限覆盖、私域协作、全部文档三权与完整业务链；34 UR／68 SR／10 F 逐条映射；方案已随 #340 合入（2026-10-11），U1 需求基线核对经 RDM #199/#200 落地，U2 起未启动。
 
-- [服务重启与全量数据恢复方案 r1](modules/documents/docs/proposals/2026-10-12-service-restart-data-recovery.md)：
+- [服务重启与全量数据恢复方案 r2](modules/documents/docs/proposals/2026-10-12-service-restart-data-recovery.md)：
   svc 启停、异常进程/主机退出后的依赖、配置/数据身份、任务/HITL/副作用、文件与组合备份恢复；
-  2026-10-12 待人工评审，实施、故障注入、部署与运行验收 NOT_RUN；衔接协作存储案及在途 svc-autorecover。
+  r1 经六角色自审、r2 吸收外部源码复核；2026-10-12 待人工评审，实施、故障注入、部署与运行验收 NOT_RUN；
+  衔接协作存储案；实施 U1/U2 前须裁定在途 svc-autorecover 归属（二选一）。
 
 ## 验证