[P3][T30] 建立 Redis HA、排空与生产恢复边界发布门禁 #19

目标

对部署级故障与数据丢失边界给出真实证据，明确哪些业务能采用 Redis 权威运行时。

优先级与归属

• 优先级：P3；任务标识：T30。
• 责任仓库：agentic-ai-java/argi-extensions。
• 总览：https://github.com/agentic-ai-java/argi/issues/117。
• 这是单一交付任务；以中立接口/reference tests 隔离依赖，可单独提交评审。

范围与落地方案

• 在现有双 JVM/effect harness 上增加 Redis 分区、重启、异步 failover/restore、drain-under-backlog 场景。
• 核验事件 cursor、IN_DOUBT 核对、幂等回执、租约历史回滚与受限配额下的行为。
• 发布持久化/no-eviction/retention/definition retention 与回滚 runbook；按业务负载确认 RPO/RTO/容量阈值。

前置依赖

• [P1B][T13] 建立双 JVM Redis Worker 恢复与兼容性验收 #10 (T13)
• [P1C][T18] 建立工具副作用窗口与回执恢复故障测试 #12 (T18)
• [P3][T27] 提供持久化事件游标、运行核对与运维控制接口 #17 (T27)
• [P3][T28] 增加 Redis 共享租户与模型配额、预算和扩缩容信号 #18 (T28)

验收条件

• 网络分区/失去权威 Redis 时不启动新 dispatch，不 ownerless/local fallback。
• 模拟历史回滚时识别保证边界，记录可能数据丢失与人工核对要求，不声称 consensus fencing/RPO0。
• 停止准入并排空后旧兼容 Worker 可处理已有 durable run，旧 local runtime 不接管新数据。
• 输出部署版本、故障日志、测得恢复行为与未覆盖风险；严格财务/零丢失需求指出需另评事务后端。

非目标

• 不引入 MQ 或默认迁移到 JDBC，不承诺所有业务已达企业级。

兼容与验证约束

• Java 17；新增路径显式启用，保留既有 API、默认行为、checkpoint/Store 格式及配置前缀。
• Core 不引入 Redis/Extensions 依赖；存储实现归 Extensions，应用接线归可选运行层。
• 首阶段无 MQ、整 Run Worker，不做节点分片，不承诺通用 exactly-once 或 Redis HA RPO0。
• 先用模型无关单测/reference 验证本任务，再按范围运行现有 API/格式门禁；涉及 Redis 用真实存储测试，涉及接管用独立 JVM。

当前实现依据

• Redis retained-history/failover and excluded runtime guarantees.
• Redis leased saver storage/atomicity, Namespace hash-tag key.

分析基线：Core 6324f53、Extensions ed07835；AgentScope 参考 c95eb1f。本 Issue 是待完成任务，不代表能力已经实现。