运行流程
一个 Tessera Agent 问题如何变成可信证据与已提交 Generative UI Surface。
只有受治理分析与 Generative UI 形成一条完整工作流，成功证明才算完成：
问题 -> Catalog -> 语义计划 -> 受限只读查询
-> 验证 -> Resource/Evidence Offer
-> present_ui Proposal -> Committed Revision
-> SurfaceEventStream -> SurfaceController
-> GenerativeSurface -> RendererRegistry| 步骤 | 用户看到的结果 | Host 职责 |
|---|---|---|
| Discover | 相关实体、字段、指标与关系 | 加载实时 Semantic Catalog 并返回受限 Slice |
| Clarify | 歧义变成明确选项 | 描述已检查实体或执行一次受限 Probe |
| Plan | 可审查的只读分析意图 | 只接收 Semantic ID，绝不接收模型生成 SQL |
| Execute | 进度与经过验证的 Query 状态 | 重新校验 Scope、编译 SQL、执行、取消并应用限制 |
| Offer | Evidence 与可渲染数据可用 | 发布绑定 Grant 的 Resource Descriptor、Schema、Version 与 Evidence |
| Compose | 有用的 Metric、Chart、Table、Filter 或解释布局 | 冻结 Component Contract Slice，只接收 present_ui Proposal |
| Commit | Last-good 内容原子变化，或只经过允许的 Preview | 校验 Identity、Binding、Placement、Authority 与 Canonical Revision |
| Render | 答案成为可检查、可交互 Surface | 发布可信事件并精确解析 Node Renderer |
Browser Lifecycle
Data Agent 私有 Tool Payload 始终留在服务端。浏览器接收脱敏 Product Stage Stream 与可信
SurfaceEventStream。Query Row 只有在 Committed Binding 下被请求为受限、Node-scoped Resource
Projection 时才能进入浏览器；它们永远不会进入模型 Proposal、Canonical Document、Revision History
或普通日志。
SurfaceController 校验 Stream Identity 与 Sequence、Replay Commit、保留 Last-good、请求 Resource
Window，并暴露 Resolved Node Projection。GenerativeSurface 使用官方 Registry 渲染这些 Projection，
永远不消费原始模型或 Tool Output。
Retry、Interruption 与 Conflict
每次分析都会在执行前重新绑定当前 Catalog 与 Authority。陈旧 Capability、变化的 Catalog、过期 Resource Grant、无效 Proposal、中断 Stream 或 Revision Conflict 都必须 Fail Closed。Host Repair、 Resume、Resync 或请求用户解决 Conflict 时，当前 Committed Surface 继续可见。
Golden Suite 必须测试这条完整路径，而不是孤立组件 JSON。详见 Data Agent 成功证明门槛。