feat: add bounded business state observability

docs/07-data-model.md

@@ -1,6 +1,6 @@
 # 数据模型与实现基线
 
-更新：2026-09-18。数据库统一禁止外键。当前已实现任务执行、安全重试、运行中取消、计划调度、队列限速/背压和应用配额；优先级及节点公平领取已实现；可靠订阅核心、HTTP/WSS、管理与消费 SDK 已实现，独立 Inbox 场景已实现，流程编排继续开发。
+更新：2026-09-18。数据库统一禁止外键。当前迁移版本为26；000026只增加固定业务观测读取所需索引，不增加实体或字段。当前已实现任务执行、安全重试、运行中取消、计划调度、队列限速/背压和应用配额；优先级及节点公平领取已实现；可靠订阅核心、HTTP/WSS、管理与消费 SDK 已实现，独立 Inbox 场景已实现，流程编排继续开发。
 
 ## 1. 模块与依赖
 
@@ -245,3 +245,7 @@ Event.WorkflowID为只读STORED生成列，从原不可变事件派生流程归
 新运行器将PENDING信号的消费、拒绝或过期与原状态事件同事务保存，批量拒绝分32条追加但整笔事务原子提交。公开查询核对固定版本全部队列、步骤/信号归属及历史激活。原始事件按数据库记录时间分页，版本与时间均不构成可靠消费水位。详见[状态时间线接口](api/workflow-events.md)与[验证报告](reports/phase-5-events.md)。
 
 升级先停止旧写入节点，应用000025再启新版本，防止混合节点继续遗漏信号转换；生成列和索引涉及历史行扫描与可能的表重建，需预演维护窗口、磁盘和锁等待。严格SQL模式下先校验十六进制字符再转换，异常历史范围保留NULL，不清理原记录。
+
+## 有界业务观测索引（000026）
+
+000026只增加三组读取索引：`pulse_tasks(state,available_at,id)`、`orbit_deliveries(state,available_at,id)`和`weave_instances(state,updated_at,id)`。它们服务于后台有界观测，不改变任何模型字段、状态机、事务边界或授权规则，也不包含外键或级联。采样器只使用代码固定的表、索引、状态和列名，每个状态最多读取10000条；结果达到上限时必须通过指标暴露截断，不能把样本数解释为全库精确数量。迁移后仍要求服务层 `CheckSchema` 验证零外键，真实升级见[有界业务采样报告](reports/phase-6-business-observability.md)。