chore(spec+checker): cleanup pass — trim docs, reorg Courseware, covers-as-data, fold DanglingReference (ADR-0012)

Spec母本噪音清理 + 一处 spec↔impl 对齐 + 一处契约自洽修正。

Part A — spec doc 瘦身:每条 doc 收到"语义点 + 标签 + ADR ref + 承载性 why",
把跨文件复读的方法论(element-kind 开放性对比、likec4 画不出、分歧点测试)上移到
module header。OPEN 框架保持清晰(RunState/Capability 完整性仍明示须 surface)。

Part B — Courseware/ 由 10 文件平铺重组为 Model/ Export/ Check/ Open/ 四子命名空间
(namespace Spec.Courseware 不变,零引用改动)+ 四个子 aggregator。lake build 绿(24 jobs)。

Part C — 渲染覆盖落为数据(ADR-0011 对齐):去掉 cph-check 里硬编码的
COVERED_TARGETS,改读 TargetConfig.covers。cph-model 新增 covers: Option<Vec<String>>
(None=未声明,由 cph-check 默认为全部 known kinds;显式 [] 表示不覆盖任何 kind)。
新增 3 个覆盖行为测试。

ADR-0012 — DanglingReference 退役(诊断 7→6 类):其两种情形(未解析 @ref、越界/缺失
相对 import)都是 typst 编译期失败,归 typstCompile。同步移除 Oracle.refsResolve
(被 compiles 蕴含),Legal 少一个合取项。impl 删去从未被发射的 DiagCode::DanglingReference,
闭合 named-but-unemitted 的 spec↔impl 缝。ADR-0010 加修订指针。

OPEN 点(RunState/Capability 完整性、QuestionBank、Course)按既定纪律保持 OPEN,本次
只改善其框架措辞,不决策。

验证:spec lake build 绿;cargo test 全绿(含新增覆盖测试);clippy 静默;
TH-141 check 0 errors/0 warnings 无回归。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

spec/Spec/System/Run.lean

@@ -1,30 +1,16 @@
 /-!
 # Run —— AgentRun 状态机
 
-一次 `@Claude` 创建一个 `AgentRun`(ADR-0001),它在生命周期里经历若干状态,并在
-**终止时释放项目锁**(ADR-0002)。本模块固定 run 的**状态**与**终止判定**——后者
-是 Lock 排他不变式(见 `Spec.System.Lock`)的依赖。
-
-完整的合法转移关系**未在任何 ADR / likec4 散文里定下**,故本模块不臆造转移边,
-只刻画状态本身与"何为终止"。
+一次 `@Claude` 创建一个 `AgentRun`(ADR-0001),它在终止时释放项目锁(ADR-0002)。
+合法转移关系在任何 ADR / likec4 散文里都未定下,故本模块只刻画**状态**与**终止
+判定**(后者是 Lock 排他不变式的依赖),不臆造转移边。
 -/
 
 namespace Spec.System
 
-/--
-AgentRun 的运行状态(状态名 `PINNED` 取自 ADR-0001..0003 + likec4 散文;
-**集合完整性 `OPEN`**)。
-
-各状态来源:`active`(run 进行中)、`waitingForUser`(likec4 Run Orchestrator
-"等待用户")、`completed` / `failed` / `timedOut` / `canceled`(ADR-0002 列出的
-释放锁时机)。
-
-⚠ **完整性是 OPEN**:散文从未声明"状态恰好这些"。这里用 `inductive` 是为了能
-谈终止判定与不变式,**不等于**封闭授权——若实现侧发现还需要别的状态(如排队中
-的 pending),那是一个待 surface 的分歧点,**不得**默认本枚举已穷尽。这与
-element-kind 那种**明示开放**的宇宙性质不同:那里"开放"是决策,这里"未封闭"是
-尚未决策。
--/
+/-- AgentRun 运行状态(状态名 `PINNED`, ADR-0001..0003 + likec4;**完整性 `OPEN`**
+——散文从未声明"状态恰好这些";实现若需新状态(如 pending)须 surface,不得默认
+本枚举已穷尽)。终止态见 `RunState.Terminal`。 -/
 inductive RunState where
   | active
   | waitingForUser
@@ -33,13 +19,8 @@ inductive RunState where
   | timedOut
   | canceled
 
-/--
-run 处于**终止态**(`PINNED`, ADR-0002)。
-
-ADR-0002 钉死:锁在 run `completes / fails / times out / is canceled` 时释放。
-这四个状态即终止态;锁的释放时机由它定义(见 `Spec.System.Lock.LockTable.WellFormed`)。
-`active` 与 `waitingForUser` 非终止——后者虽在等待,run 仍占用项目(锁未释放)。
--/
+/-- run 处于**终止态**(`PINNED`, ADR-0002:锁在 completes/fails/timesOut/canceled
+时释放)。`active`/`waitingForUser` 非终止——后者仍占用项目(锁未释放)。 -/
 def RunState.Terminal : RunState → Prop
   | .completed | .failed | .timedOut | .canceled => True
   | .active | .waitingForUser => False