fix: make offline teleop start one-shot and rearmable

tg3_omnisocket_transport/README.md

@@ -36,10 +36,19 @@ xTELE 已处理的标量或六维 BrainCoRevo2 目标。5002 的界面事件和
 xTELE 帧；连续长按左 Z + 右 C 3 秒后才生成新的 128-bit `session_id` 并开始发送。
 再次长按 3 秒时发送最后一帧 `stop`，等待有界 KCP 刷新后关闭 OmniSocket Session；
 之后 `frames_sent/bytes_sent` 不再增长，待机既没有 xTELE 业务帧，也没有该 sender 的
-底层注册/心跳。即使 Hub 离线，sender 仍持续读取本机 xTELE 并保持会话关闭；启动连接
-失败会使本次会话失效，必须松开组合键后重新长按，不会在 Hub 恢复时续发旧动作。
+底层注册/心跳。即使 Hub 离线，sender 仍持续读取本机 xTELE 并保持会话关闭。Z+C 满
+3 秒后先进入 `START_PENDING`，后台连接不会阻塞本机按键采样；本次长按只尝试连接一次。
+若 Hub 未启动，本次连接失败且不会发出业务帧；若机器人 Peer 不存在或首帧发送失败，
+机器人不会收到控制数据且 sender 在收到错误后立即关闭。这次请求都必须稳定松开后再做
+一次新的 3 秒长按；Hub 稍后恢复不会让旧请求自行启动。
+任一键松开、按键数据畸形或 5003 失联也会立即取消 pending。连接成功后还必须看到两帧
+时间戳最终递增且仍按住 Z+C 的新鲜 5003 数据，才发送第一帧 START，连接前排队的旧
+动作不会被续发。
 活动期间若 KCP 反馈超过 `500 ms` 未更新，或 `snd_queue+snd_buffer` 超过 100 帧，sender
 立即作废会话并关闭 Session，从源头丢弃待发队列，防止网络恢复后回放旧动作。
+5003 的源时间戳在活动期间也必须持续推进；允许相邻毫秒值短暂重复，但超过 `250 ms`
+不再推进、时间戳倒退、持续畸形 JSON 或超长帧都会立即作废会话。操作员 STOP 无论最终
+业务帧能否编码或发送，EAI 都会在本地关闭 Session，机器人端由输入超时保护停止并回 Home。
 
 每个业务 JSON 的 `tg3_transport` 由 sender 强制覆盖，不能由 5003 输入伪造：
 
@@ -55,7 +64,8 @@ xTELE 帧；连续长按左 Z + 右 C 3 秒后才生成新的 128-bit `session_i
 
 当前用户服务将 `start` 连续发送 500 个源帧，避免接收端只取最新帧时错过唯一启动事件；机器人对同一
 `session_id` 只做一次启动安全检查。`stop` 是该会话最后一个业务帧。服务重启、源数据
-失联或网络错误都会使会话失效，恢复后必须先松开组合键，再重新长按 3 秒。
+失联或网络错误都会使会话失效，恢复后必须先松开组合键，再重新长按 3 秒；pending 和
+活动会话都不会自动重试或自动恢复。
 `tg3_local_teleop` 内部直接拒绝非预期发送端、
 乱序、格式错误以及相对本次连接最低包龄额外排队超过 300 ms 的数据；相对包龄会消除
 两端系统时钟的固定偏差。遥操桥仍有 250 ms 输入失联保护。