实现应用健康监控（07-27-app-health-monitoring）

docs/试运行与自动化验证手册.md

@@ -152,6 +152,27 @@ cd client && E2E_BASE_URL=https://oa.hyinda.com npx playwright test tests/e2e/dg
 
 无法登录、无法审批、无法提交核心单据、付款状态错误、权限越权、`/ready` 异常或冻结项被误开启时，结论应为 Pause，并另建或更新最小修复 Trellis task；不得用重置数据库或生产恢复临时绕过。
 
+### ARM 异机应用健康监控
+
+`07-27-app-health-monitoring` 为公网 `/ready` 增加轻量异机探测：ARM 每 5 分钟经标准 HTTPS 校验访问一次；连续两次失败才发送一条脱敏企微群机器人告警，相同类别持续失败不重复发送，恢复后只通知一次。它覆盖 OA 应用、数据库就绪、OA 主机不可达、DNS/Caddy/TLS 已失效等基础故障，不替代登录、审批或报销等业务 smoke，也不执行自动重启或恢复。
+
+当前仓库代码和本地契约通过，不等于 ARM 已安装或监控已生效。远端 `install`、`enable`、真实消息和故障/恢复演练均为 `EXTERNAL_GATED`，需分别取得批准。先运行本地无真实消息合同：
+
+```bash
+bash scripts/qa/run-app-health-monitor-contract.sh
+```
+
+ARM 安装时必须复用现有 root-owned `0600` 机器人文件，并把本次已通过备份回归的共用告警 helper 修订安装到受控目标；应用健康使用独立 state/alert state，不得覆盖备份 dead-man 状态。`install` 默认停用 timer，只写入受控探测器、helper 修订和 units；人工核对 unit、权限与一次健康手动执行后，才可另行批准 `enable`。只读检查使用：
+
+```bash
+systemctl is-enabled hyb-oa-public-app-health.timer
+systemctl is-active hyb-oa-public-app-health.timer
+systemctl list-timers hyb-oa-public-app-health.timer --no-pager
+systemctl status hyb-oa-public-app-health.service --no-pager
+```
+
+受控演练必须证明：第一次失败仅进入 pending；第二次持续失败只发一条；重复失败降噪；恢复后只发一条。群消息只允许状态和稳定类别，不粘贴地址、路径、响应、凭证或 journal 原文。ARM 自身宕机仍会令该 timer 失声，首版保留为人工 timer 巡检风险，不据此宣称具备第三方 dead-man。
+
 发布候选进入公网或小范围试运行前，先按 [`docs/trialrun/发布试运行准备清单.md`](trialrun/发布试运行准备清单.md) 完成证据整理、权限直连审计、部署预检、live smoke 和试运行分级。
 
 系统应避免让已绑定用户反复登录。若手机企业微信能进入但仍要求登录，优先检查：