feat: 账本 ledger 模块（任务书 03）

一张只追加的表（序号、种类、内容、哈希），禁改禁删两条触发器。
有自己编号、只发生一次的 8 种记录加部分唯一索引，重复就报错：阶段开、阶段关、运行登记、
确认启动（确认没启动的结果也算这一条，防止同一次运行既扣次又退还）、运行结果、模型调用开始、结束、消融结算。
写入时只查四种拒收：只收开着的阶段的提交；替换必须接本人同一阶段、同一对象、同一种提交的最新一版，实现与核验类不能替换；
结果先于确认启动（没启动除外）；本轮消融已有格启动后不能关解释阶段。
写提案时作者自评拆成封存。提供打开（核对表结构版本，非账本库不改动）、追加、同步事务、读取、未完成的动作。
第一版的可见性、截止序号、通用唯一键、jev 记录和多余的前提检查已按新版任务书清掉。
三轮全新上下文审阅；flow 传错参数一类的意见按 CLAUDE.md"罕见情况怎么办"第 2 条只记录不加代码。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/结构.md

@@ -383,3 +383,32 @@ Jev 是一个判别器，和程序检查地位相同，不单独成一种记录
 - `CELL_RULES`、`CellRuleName`：选格规则登记表，四条：信息价值减成本、全测、随机抽同样多的格、都不测。
 - `runBatchRule(name, input)`：按名字跑一条选批规则，结果带上规则名和版本，flow 写决定记录时从这里取。
 - `runCellRule(name, input)`：按名字跑一条选格规则，结果带上规则名和版本。
+
+### ledger
+
+下面是 `src/ledger/index.ts` 导出的全部内容。账本是一个 SQLite 文件里的一张只追加的表；外面拿不到数据库连接，只能经下面这些函数读写。ledger 不判断谁能看到哪些记录，那归 materials。
+
+**打开与写入**
+
+- `Ledger.open(path)`：打开一份研究的账本，新文件就建表，旧文件核对表结构版本号，对不上就报错。
+- `ledger.close()`：关闭数据库。
+- `ledger.append(kind, content)`：追加一条记录并返回它。先按种类检查内容，再做第四部分说的四种拒收检查（第 1 条是只收开着的阶段的提交，即有开阶段记录、没有关阶段记录），都在同一个事务里。有自己编号、按定义只发生一次的记录按编号加了唯一约束，重复写就报错：阶段开、阶段关、运行登记、确认启动（"结果是没启动"也算在这一条里，一次运行两样只能有一样）、运行结果、模型调用开始、模型调用结束、消融结算；其余记录照写。记录之间的先后（例如结果前要先有登记）不查。写提案时，作者自评从提案里拆出来，在同一个事务里另存成一条封存。
+- `ledger.transaction(fn)`：里面的几次追加要么全部写进去，要么一条都不写；fn 必须是同步函数，返回值类型排除了 Promise，异步函数在类型检查时就被挡住；不能嵌套。
+
+**读取**
+
+- `ledger.records()`：全部记录，按序号排，读出时按种类重新检查内容。
+- `ledger.stageClosed(stageId)`：这个阶段关了没有。
+- `ledger.latestSubmission(slot)`：某份提交（阶段、作者、对象、编号）的最新一版。
+- `ledger.pending()`：未完成的动作，即登记了还没有结果的运行（带着有没有确认启动）和开始了还没有结束的模型调用，恢复时由 flow 逐个核对。
+- `Pending`（类型）：`pending()` 的返回值。
+
+**类型**
+
+- `Kind`：记录的种类，共 19 种：`config`（研究配置）、`stageOpen` / `stageClose`（阶段开、关）、`submission`（提交的每一版）、`rejection`（退回，带原样内容和理由，理由来自 Jev 的带原始概率和结论）、`note`（私人笔记的每一版）、`protocol`（冻结协议）、`seal` / `unseal`（作者自评的封存、解封，都用记录序号指明是哪一条）、`code`（冻结代码）、`runPlanned` / `runStarted` / `runResult`（运行的登记要跑、确认启动、结果）、`decision`（决定）、`settlement`（一次消融的结算）、`callStarted` / `callUsage` / `callEnded`（模型调用的开始，附这次任务的全部材料；每次回复的用量；结束）、`event`（事件）。
+- `AppendKind`：调用方能追加的种类，除了 `seal`（封存只由 ledger 在写提案时一并写）。
+- `Content<K>`：某种记录存下的内容。
+- `Input<K>`：追加时交的内容；只有提交和存下的不同：提案带着作者自评。
+- `LedgerRecord<K>`：一条记录：序号、种类、内容的哈希、内容。
+- `SubmissionSlot`（类型）：一份提交不论第几版：阶段、作者、提交种类（版本号只在同一种提交里往下接）、针对谁（候选或格，没有就空）、这一份的编号（只有提案、挑刺这两种一人能交好几份的才有，其余必须为空）。
+- `StoredSubmission`、`SubmissionInput`（类型）：存下的提交和追加时交的提交，按提交种类区分内容类型；版本号从 1 起，替换时加 1，被替换的就是上一版。