用途：在不把有意的角色差异误判为漂移的前提下，巡检 JoelClaw Mac 机群。当前命令均为只读：joelclaw fleet status 与 joelclaw fleet diff，二者读取本地私有 fleet manifest 并返回 JSON 信封，不会安装软件包、复制配置、请求修复、更改服务或重写机器。可用 --host <alias> 检查单个已声明主机，不要传入未声明目标，也不要公开私有 manifest。
主要能力：status 报告观测事实与探测失败；diff 将声明字段分类为 in_sync、expected_difference（manifest 中的显式豁免及其原因）、drift（可操作的失配）、unavailable（必需事实无法读取）。卫星健康探测失败或不可用属于可操作项，而卫星技能策略较薄本身不算。
使用方式（操作流程）：探测运行 status；分类运行 diff，判定差异前先读豁免原因；用相应主机或 runbook 核实意外漂移，不要仅凭 SSH 别名推断主机身份；编写主机范围、可审核的变更计划（fleet plan 尚不存在）；使用已授予的命名主机变更授权，超出范围才需另行申请，仅审计不授权任何修复；通过已批准的主机专用机制应用（fleet apply 尚不存在，不要假装存在）；重跑 status 与 diff 并留存脱敏回执。若探测无法到达某主机，记为 unavailable 并继续采集其他主机，不要因审计而开启远程登录、改动 Tailscale、复制凭据或引导机器。
角色边界：Central 使用当前服务放置中已验证的所有者，变更前通过既有系统 runbook 验证其健康；Satellite 保持机器本地、精简、可恢复，安装或修复时加载 Satellite Rig；网络与主机路由加载本地安装的 panda-host、tailnet-topology 与 operator-network 指引，这些私有/操作者资源不是本公开仓库的规范内容，不要复制或暴露其拓扑。
限制与护栏：主机路由、认证等机群细节只保留在本地私有 manifest，绝不进入公开仓库、issue 或输出信封；SSH 身份不匹配在独立解释前视为可操作项；不要自动收敛角色策略，Central 与精简卫星默认不应有相同服务或技能面；仅在存在经审核的变更计划后，先跑卫星、最后跑 Central；对外分享前先脱敏审计输出。