feat: retain read-only execution frames across instruction slices

docs/runtime/bytecode.md

@@ -158,6 +158,10 @@ fn main() -> Result<(), endor_core::VmError> {
 
 `ExecutionLimits` 默认限制 1000 个活动帧，指令配额为 `usize::MAX`。`execute_with_limits`／`call_with_limits` 可显式指定限额，嵌套语言调用和原生分派共享计步器；每次原生分派额外计一步，扩展参数不单独计步。原生 Invoke 委托通过同一帧循环推进，不重置预算；详见 [原生调用](native-calls.md)。指令预算不会抢占正在执行的宿主回调。
 
+`start_read_only_call(function, arguments, limits, slice)` 和 `resume_read_only_call(slice)` 提供可恢复的只读字节码调用。`ExecutionProgress::Pending` 保留同一 VM 中的活动帧、局部槽、栈、原生委托返回契约、读取追踪及所有执行根；继续时不重放已执行指令。`Complete` 返回拥有式 value、借用式 reads 和累计 instructions。slice 必须大于0，暂停只能发生在字节码指令边界；原生回调和原生委托链原子完成，软分片不保证墙钟延迟，整个调用仍共用原始硬指令/帧限额。
+
+暂停期间只读保护一直有效；已有对象不可写，也不能用普通 call 或第二个 start 在同一 VM 中交错执行。宿主不得更改只读作用域栈或手动释放并非自己拥有的引用。`cancel_read_only_call`、完成或执行错误会清理帧根并退出只读作用域，错误保留 traceback。取消只终止只读执行，不是通用事务回滚。跨线程任务调度、GUI 帧发布及响应新输入由宿主负责；本接口不实现调度器。参见 execution.rs 的分片/取消/累计限额/GC 根回归（未本地执行）。
+
 运行错误仍返回 `VmError`。`last_traceback()` 另提供从外到内的函数名、文件、代码首行和出错指令偏移；它保存独立元数据，不保活已经清理的帧。首行是代码声明的 first_line，不是由行号表推导出的实际错误源码行。成功的新一次调用会清空旧记录。尚无语言异常对象传播、raise／try／except 或完整源码行号表。
 
 暂未实现：源码闭包编译、关键字／可变参数、生成器／协程、迭代器专用指令、数值算术、自动方法绑定、指令特化和 JIT。