第 20 章详细提纲：自改进的工程边界与长期运行 Agent

章节目标与依赖

目标： 读者能把候选改进与已发布变更分开；为候选设计独立验证、批准、监控和回滚条件；为长期任务写出健康与停止边界。
前置： 第 16 章的 Reflection Record，第 17 章的 Evaluation Spec，第 18 章的恢复边界和第 19 章的外置状态。
后续： 第 39 章测试/Benchmark、第 41 章安全审计和第 42 章版本化、回滚与 A/B 测试会扩展本章的门与证据。

小节	核心问题	主要内容	交付或验证
为什么“更好”不是自我报告	一段反思能否直接变更系统？	区分观察、假设、候选与发布；说明相关性、评估噪声和范围漂移。	候选状态表。
改进对象与不变量	什么可以变，什么必须保持？	Prompt、Skill、工作流、工具契约、权限与评估规则的不同风险；权限、数据边界和人工责任作为不变量。	变更分类表。
Candidate Change Protocol	需要记录哪些字段？	ID、基线、范围、假设、独立验证、批准、监控、回滚、预算和停止条件。	协议模板。
变更门与受控发布	什么条件才允许下一步？	验证、批准、回滚和监控的缺失出口；受控发布不等于已发布。	纯内存函数与 Mermaid 图。
长期运行治理	怎样避免无限循环？	所有者、版本、预算、漂移、健康检查、升级与退役。	健康检查表。
教学案例	如何修改重试策略而不扩大权限？	失败记录提出退避候选，隔离评估，限定 staging，人工批准，监控与回滚；没有生产效果。	失败出口表。

图示： chapter-20-improvement-change-gate.mmd；展示候选、独立验证、范围批准、可回滚性、监控、受控发布和停止/回滚出口。
示例： assessImprovementChange；至少覆盖规格缺失、验证失败/未知/范围不匹配、缺批准/范围不匹配、回滚未准备、监控缺失与受控发布就绪。