让主模型成为调度员 · 六档壳矩阵编排 · 确定性拦截 × 加权模型评分
激活矩阵按 desktop 可见模型 / TUI favorites / 会话模型实时重建，六闸拦截与加权评分全自动执行——你只管决策，token 交给矩阵。
同时持有 Copilot 积分、GLM Coding Plan、DeepSeek 余额，却总在水位盲飞、高峰全价硬扛。
旗舰模型干扫描清点的杂活，token 花在不该花的地方；轻量模型做架构设计，返工反而最贵。
GLM 5 小时窗耗尽还在硬撞、Copilot 积分月底作废没花完、DeepSeek 余额见底才发现。
复审用同一个模型族自查，盲区相同，审不出问题。
「让 XX 帮我看看」式委派无结构、无校验，子代理拿到的是含糊任务。
LLM 负责认知决策，插件负责一切可以确定性计算的事——智能与规则正交分工。
主模型（调度员）＋随包注入的调度员规程，做任务四维画像与委派决策。
「模型 × 档位」空壳子代理，只绑模型与思考档位，角色由委派 prompt 动态赋予。
插件本体：零概率、纯规则，把调度员的每一步委派放在硬约束与可解释评分之内。
启动时 config 钩子把「模型 × 档位」壳矩阵注入 agent 注册表。desktop 可见模型与 TUI favorites 通过 mtime 仲裁双向同步；任一配置面变化都会立即触发全量探针重算，平时由 10 分钟周期保持自愈，无需人工维护。
按认知强度分六档，每档一条由插件按能力层级 / 档位适配 / 健康度 / 水位 / 成本 / 高峰窗口实时计算的最优壳链。
clerk / scouter 廉价扫档——上下文保护专用。
tester / ops 机械执行——高频、可验证。
programmer / uiux / data-analyst 日常主力。
planner 承重设计——只给最强模型最高档。
observer 看图——image 任务专属视觉壳。
reviewer / 专家席——先删与产出者同 family 的壳，同族只算自审。
四个钩子覆盖「启动注入 → 派发拦截 → 失败分类记账 → 每轮提示注入」全链路。
opencode 启动即注入全量壳矩阵到 cfg.agent，同步完成全供应商凭证收集（auth 只读、零另存）。
task 工具执行前做六闸确定性校验，deny 时附原因＋改派候选，主模型按链无缝改派。
归一 rate_limit / quota / auth / not_found / server / network / unknown，触发 600s 熔断，并对实调失败做 10–30 分钟隔离。
每轮 LLM 请求注入调度员规程＋四行横幅；每次重建都把评分候选写入 routing-decisions.jsonl。
fail-open 铁律：任何钩子异常只写 stderr 绝不阻塞主流程；配额未知不硬拦，熔断器与探针互为兜底——插件永不成为单点故障。
主模型派发子代理时，插件在 task 工具执行前做确定性校验——顺序即优先级。
候选链由策展能力分与六个系数实时算出——主模型照链首派发，评分过程留痕可查。
S/A/B/C策展 base 分按 exact → 前缀 → family → global fallback 命中。低档永远压不过高档，不因水位或成本反超。
weighted分数 = base × effortFit × health × water × costBias × peak。探针 429 仅置 strained 降权，不再整链跳到其他厂商。
bounded两类额度窗口取最吃紧者；Copilot 富余临期可反向提权；GLM 高峰仅同档 ×0.93 让位，不跨能力级出局。
jsonl每次横幅重建都会把候选与因子分写入 200 行 routing-decisions.jsonl 环形日志；immediate 紧急档仍按探针延迟排序。
# 委派 prompt 内嵌单行协议（示例） ROUTE_META { "lane": "main", // 六档之一 "role": "programmer", // 14 角色之一 "producer_family": "glm", // 真实模型族 "capability": "rw", // rw | ro "modality": "text", // text | image "source": "auto" // auto | user }
system.transform 钩子每轮注入系统提示——调度员永远在最新事实之上做决策。
横幅即「调度依据」——路由、水位、限制、更新四行都可逐行解析，主模型无需记忆任何静态配置。
数据面全部自动运行：探活、配额、计价、评分、失败分类与更新提示——无需任何人工干预。
对三大额度池发起真实请求探活。配置面变化立即全量刷新；10 分钟周期让临时故障自动进入降级链并自愈恢复。
失败归一为 rate_limit / quota / auth / not_found / server / network / unknown。实调失败隔离 10–30 分钟；连续 3 次 404 自动下线模型。
启动检查缓存 24h。prod 安装暴露 /switchman-update 静默升级并提示重启；/switchman-ignore 仅本会话有效，重启后恢复提示。
174 项行为契约 fixture 全绿兜底 · 全供应商即插即用 · glm / deepseek / copilot 额度控制