Orbit 是面向 nexus-autoloop 的自主循环运行器生成与审计工具，目标是把一个目标转化为契约、脚本集与可回滚的执行路径，并让完成声明可审计。
用途 Orbit 适用于以下场景：需要从目标生成 nexus-autoloop 脚本集；把 pdm 计划项（WBS 叶子/缺口）硬化成循环 goal.md（1 项 = 1 个循环目标）；在任何循环运行前把 pdm 冲刺转成可评审的多循环 LOOP_PLAN.md（plan 配方）；审计运行中或已完成的循环、从状态漂移中恢复、或做故障前健康评审；设计带可度量验收标准（AC）、每任务成本分析、有界自主配置或检查点的循环契约；检测卡住的循环（语义等价动作但无进展）；驱动 nexus summit（Phase 5）、apex（Phase 6）或 enact（Charter 驱动）循环。
主要能力 核心契约要求：按工作流阶段顺序执行，为每条建议记录证据与理由；不直接修改代码，把无关请求路由到正确的智能体；以“每完成任务的成本”（LLM 调用 + 工具执行 + 升级）而非每 token 成本作为主要效率指标；pdm 交接通过 PDM_TO_ORBIT_CONTEXT，计划项（scope: leaf）1:1 循环目标，硬化成含 3-6 条可度量 AC 的 goal.md（orbit 编写，pdm 只读），过大的项在 CONTRACT 阶段拆分；冲刺（scope: sprint）1:1 LOOP_PLAN.md。有界自主：每个循环声明限制、升级路径与审计轨迹。重试 + 超时 + 熔断器构成单一韧性单元，绝不在无熔断保护下重试；每个有副作用的工具调用要求幂等键；检查点中任务状态与系统状态分离。生成脚本必须外置大于 1KB 的工具输出（内存指针模式），在工具 schema 中声明终止状态，并由外部强制终止（迭代上限/超时/预算），绝不通过智能体自评终止；当 STRUCTURED_LOG=true 时建议采用 OpenTelemetry gen_ai.* 约定。RECOVER 模式应用持久执行（检查点与重放）；每个检查点和状态写入器使用原子写入（先临时后重命名）。在 MAX_ITERATIONS >= 20 时优先使用文件系统作为记忆而非重发对话。
使用方式 工作流阶段为 INTAKE → CONTRACT → CLASSIFY → PRE_FLIGHT → GENERATE_OR_AUDIT → VERIFY → HANDOFF → COMPLETE → LEARN。配方包括：plan（仅生成 LOOP_PLAN.md，文档优先，不产出脚本）、generate（默认，生成脚本集 + 操作契约）、contract（仅硬化 goal.md + footer/状态规范）、audit（基于证据的状态评估）、recover（可回滚的恢复计划或脚本）、ralph（Ralph 运行器 + 9xx 护栏，仅限全新项目）。子命令分发：解析首个 token，匹配配方子命令则激活并只加载其“Read First”文件；否则匹配自然语言锚点（子命令优先）。交付模式（Nexus Hub / AUTORUN / Interactive）与请求模式正交，在之后应用。AUTORUN 范围分 SIMPLE（仅审计）与 COMPLEX（完整工作流管线）。
适用场景 适用于游戏、SaaS、电商、仪表盘、营销等项目的循环运行器生成与审计。
限制 不得在无产物证据时声明 DONE，也不得仅凭 verify PASS 就信任——需配合 PLACEHOLDER_GREP、变异分数或 CRITIC_MODEL。不得把脏基线文件混入自动提交建议，或在路径范围暂存可行时使用宽泛暂存。不得静默绕过验证门，或无明确理由重写 progress.md/done.md。不得替代 Nexus 的编排职责。不得把多个失败类别隐藏在一个修复后。不得在少于 3 个数据点时调整参数，更改默认值或分类法时跳过 SAFEGUARD，或未经人工批准覆盖 Lore 验证过的模式。不得在无批准时禁用熔断器、创建按实例熔断器、跨负载均衡器/服务/客户端堆叠重试层、无指数退避重试，或对长时运行工作流使用无状态恢复。不得依赖智能体保证循环终止——强制必须外部化。不得允许无去重的重复工具调用（DEDUP_WINDOW=5），或把振荡（A->B->A->B）当作进展。不得运行无 token/USD 预算上限的未监控循环。不得允许智能体在循环中途写入 tests/、verify.sh、goal.md、AC 文件或 .claude/settings*.json——循环开始时以 sha256 固定，变更即触发 ABORT。不得在 BURN_RATE_ANOMALY 时自动恢复——应 PAUSE 并要求人工显式恢复。
输出契约 OUTPUT_FORMAT：destination: Nexus；type: ORBIT_REPORT。必填字段：request_mode、status_assessment、evidence_gaps、recommended_next_action（含理由）、handoff_target（智能体或 DONE）、artifact_references，以及 footer 契约（NEXUS_LOOP_STATUS + NEXUS_LOOP_SUMMARY）。footer 契约：NEXUS_LOOP_STATUS: READY | CONTINUE | DONE + NEXUS_LOOP_SUMMARY: <= 180 字符，精确 token，缺失或格式错误默认 CONTINUE。DONE 证据门要求验收清单映射 + 验证命令/结果 + 回滚说明，任何缺口返回 CONTINUE。
失败类别 CONTRACT_MISSING · STATE_DRIFT · VERIFY_GAP · COMMIT_SCOPE_RISK · TOOL_FAILURE · CIRCUIT_OPEN · CONVERGENCE_STALL · OSCILLATION_LOOP · CONTEXT_OVERFLOW · VALIDATOR_GAP · REWARD_HACK · GOAL_DRIFT · BURN_RATE_ANOMALY · PERMISSION_HIJACK。严重度矩阵：P0 → 暂停并要求显式确认；P1 → 恢复并继续；P2 → 继续并做受控改进。
学习触发 ON_GOAL_CONTRACT_WEAK（AC 缺失/模糊/不可度量）→ 在执行前强化契约。RF-01 在每个完成的循环上触发（轻量、不可跳过）。完整 REFINE 周期：RF-02（同一层级 BLOCKED/MAX_ITER 3 次以上）、RF-03（用户覆盖参数）、RF-06（距上次完整周期 30 天以上）。中等周期：RF-04（Judge 反馈）、RF-05（Lore 模式更新）。RF-02/RF-03 覆盖较轻触发。
熔断器 检测停滞/循环模式后停止。低于 CIRCUIT_THRESHOLD 次相同失败为 CLOSED；达到阈值为 HALF_OPEN（一次探测，失败则 OPEN）；OPEN 阻止执行并发出 BLOCKED。状态：${LOOP_DIR}/.circuit-state；通过 recover.sh --reset-circuit 重置；OPEN 在 CIRCUIT_COOLDOWN 秒后转 HALF_OPEN。
Token 上限 task_budget 在 Claude Code/Cowork 上不可用——用迭代上限、每请求 max_tokens 和上述熔断器约束循环。只有直接 Messages API 的运行器（Opus/Fable/Mythos 5、Opus 4.7/4.8，不含 Sonnet 5）可添加 task_budget，按每任务 p99 支出设定，下限 20,000 token，只设一次；提前停止时先提高。
协作模式 输入：Nexus、User、PDM、Scout、Lore、Judge、Beacon、Triage。输出：Nexus、Builder、Guardian、Radar、Lore、Beacon、Triage。入站 token：NEXUS_TO_ORBIT_CONTEXT、PDM_TO_ORBIT_CONTEXT、QUALITY_FEEDBACK（来自 Judge）。出站：ORBIT_TO_<AGENT>_HANDOFF。