# 0.4.25：实际威胁后的安全恢复

实机连续跑商完成 5 轮后，飞船在 Talta / MiesvanderRohe Gateway 的原生自动降落过程中遭到攻击。游戏记录了 UnderAttack 和约 80% 船体，之后正常停靠。原程序正确释放了驾驶输入，但把威胁与身份/会话变化合并成终止异常，安全停靠后无法自动衔接维修与原订单。

新版本将实际威胁作为独立的暂停原因。驾驶和交易仍立即停止；程序等待游戏完成停靠，核对同一指挥官、飞船、货舱容量及会话，要求新鲜 Status 读取、可靠货物/资金、无当前威胁和连续健康授权，并连续稳定至少 10 秒。之后使用原生服务完成维修，再通过原模式重进恢复会话并接续原回执。太空中的受损或攻击不会被这一恢复路径忽略，身份、协议和人工接管错误也不会被归类为威胁重试。

发生真实进站攻击的采购站暂缓选择一小时。该记录来自原生威胁异常或同一指挥官/飞船的官方 Journal，按 DockingGranted 与 UnderAttack 关联；不同飞船、不同目标、已跳跃离开的旧许可和过期事件不构成排除依据。近期事件会在程序恢复时重新读取，避免重启后遗忘已知危险货源。交付目标 CG 站不会被当作采购站排除。

所有新增状态仍保留原始采购、销售、服务费用与 CG 贡献凭据。界面分别显示“等待安全停靠”和“安全维修恢复中”，取消操作始终可用。既有供货量、单位时间收益、停机坪和区域缓存逻辑继续生效。

实机恢复还暴露了跨星系离站时依赖“另一个空间站”的条件。现在直接确认当前停靠站的市场与原生目标身份，通过原生高级自动起降离场；即使星系只有当前一个站点也能继续，不再借用其他站点触发离场。星际导航的实际威胁原因也保留到外层恢复程序，避免在异常包装中丢失。