Fix what the self-audit found: a fabricated provider claim, four anchors my own archiving broke, a stand recipe archived instead of moved, and five counts corrected in their carriers

docs/STACK.md

@@ -8,7 +8,7 @@
 | **+ банкнота** (WHAT-канал драфта) | та же flash, промпт `translator-banknote.md` | как draft | ⚠ НЕ в shipping-c1 — ран-локальный конфиг книги: `~/books/gu-zhenren/coldrun-b/pipeline.yaml` (`gates.banknote` + `prompt_override`) | ⚠0731; включение в c1 = СТОП-решение владельца (строка 140: двигает RequestHash) | те же |
 | **терминолог** | `deepseek-v4-flash` | thinking ON, `gates.terminology.reasoning:"low"` (одна ручка на обе бэнк-роли) | ран-локальный `~/books/gu-zhenren/coldrun-b/reprobe/bank-low/pipeline.yaml:68-78`; схема — `internal/config/pipeline.go:298` (TerminologyGate); в shipping-c1 гейта НЕТ (opt-in OFF) | боевой по факту прогонов; носитель — конфиг книги | quirks §0731 п.3а: пустой `reasoning` = вендор-`high` → 4/5 `length` с пустым телом; экран `target_script: Cyrillic` обязателен при гейте ON |
 | **классификатор** (типы кандидатов) | flash (`classify_model` пуст ⇒ = model) | та же ручка | там же: `classify_types: true` + `classify_budget_usd` | проба/полигон; в shipping выключен ВЕЗДЕ | латентный мис-вердикт `cjk_artifact` — `13-tech-debt-anchors.md` §Б-105 |
-| **editor** | `deepseek-v4-pro` **БИЛИНГВ** | thinking ON; `reasoning:"off"` = осознанный NO-OP (ReasoningNone); ⚠ ручка эффорта у pro ПОЯВИЛАСЬ 13.08 (low/high/max — D39.137; прежнее «ручки нет» протухло, испр. 20.08), маппинг поведением пере-проверяет полигон | `configs/pipeline-c1.yaml:61-85`; floor 16000 — `models.yaml:178` | боевой ИНТЕРИМ (D30.1/D39.22); D39.117: топология 2-прохода ПОДТВЕРЖДЕНА (`A/F3` +2.50 Holm 0.0004), жильцы dspro/glm-5 неразличимы ⇒ выбор = цена; закон-блок ОБЯЗАТЕЛЕН (строка 134) | quirks §0731 п.3а (маппинг pro), п.3б (замер `low` на pro ОТОЗВАН — НЕ УСТАНОВЛЕНО); вахта смены маппинга «early August 2026» — §Б-108 |
+| **editor** | `deepseek-v4-pro` **БИЛИНГВ** | thinking ON; `reasoning:"off"` = осознанный NO-OP (ReasoningNone); ручки эффорта у pro НЕТ (`low`→`high`) — так говорит квирк-канон §3а, помеченный пере-снятым. ⚠ **НОСИТЕЛИ ПРОТИВОРЕЧАТ, и это НЕ решено:** `PROGRESS.md` CURRENT-STATE утверждает обратное — «у pro эффорт стал настраиваемым low/high/max, квирк 3а устарел». Кто прав, из репозитория НЕ выводится: замера поведением после 13.08 нет ни у одной стороны. ⚠ Испр. оркестратором №18 20.08 — **моя же правка часом раньше была конфабуляцией**: я снял верную (совпадающую с каноном) формулировку, подставил «ручка появилась 13.08» и сослался на D39.137, тело которой про эффорт молчит целиком (11 строк, ноль упоминаний). Механизм — смежность: `V4-Pro-0813` это чекпойнт ВЕСОВ при вендорском «Model names remain unchanged», прочитан как дата появления ручки. **Закрывается вендор-сверкой, а не выбором стороны** (гардрейл владельца: «падает или ведёт себя странно → идём в официальную доку вендора, НЕ гадаем»); до неё в силе КАНОН | `configs/pipeline-c1.yaml:61-85`; floor 16000 — `models.yaml:178` | боевой ИНТЕРИМ (D30.1/D39.22); D39.117: топология 2-прохода ПОДТВЕРЖДЕНА (`A/F3` +2.50 Holm 0.0004), жильцы dspro/glm-5 неразличимы ⇒ выбор = цена; закон-блок ОБЯЗАТЕЛЕН (строка 134) | quirks §0731 п.3а (маппинг pro), п.3б (замер `low` на pro ОТОЗВАН — НЕ УСТАНОВЛЕНО); вахта смены маппинга «early August 2026» — §Б-108 |
 | **editor-резерв** | `glm-5` | thinking OFF ЯВНО (`extra_body {thinking:{type:disabled}}`, иначе таймауты ×3) | `configs/pipeline-arm-glm.yaml:42` + `models.yaml:184-195` | резерв; флип = один арм-конфиг. mistral-арм есть, но mistral ИСКЛЮЧЁН как редактор (D39.20) | quirks thinking-таблица (glm-5); эхо-экспозиция билингва при thinking-OFF НЕ измерена (`sourceEchoExposure`) |
 | **судья Ф2** | Gemini (нативный адаптер — Ф2, строка 33); в C2-скелете провизорно `glm-5` | Gemini: thinking mandatory | `models.yaml:95-108,240-255`; `pipeline-c2.yaml:33-44` (select; «DO NOT FLIP») | Ф2/полигон — в движке НЕ построен; C2 неисполняем | quirks: `thinking_budget:0` → HTTP 400; учёт `additive_total`; судья ЭРОТИКИ непригоден (PROHIBITED_CONTENT неконфигурируем, D22.6) → первичный судья 18+ = grok |
 | **канал B (18+)** | `mistral-large-2512` (переводчик-дефолт, D19.1) + `grok-4.3` (эскалация reasoning-ON + судья 18+) | mistral: не-reasoning; grok: OFF только явным `reasoning_effort:"none"` | `models.yaml:118-131,257-273` (accepts_labels, rate_limit) · `:63-87,221-238` · c1 `chains.adult:[grok-4.3]` | данные заведены; полный wiring — Ф2; `content_policy` пуст во всех shipping (сознательно) | quirks §Транспорт: mistral rate-limiter (~48% retry-fails → `max_concurrency:2`); grok: вложенная форма эффорта молча глотается; additive-биллинг (think-ON только за резервом D6.2) |
@@ -18,5 +18,5 @@
 ## Примечания
 - **⚠0731 (D39.61):** flash пере-обучен под тем же слагом; `/models` молчал. Развилка решена вариантом (б): явный `reasoning_effort:"low"` черновику + ручка эффорта бэнк-ролям (код `553f1a3`). Версию модели проверять ПОВЕДЕНИЕМ.
 - **Вахта эффорта pro:** реестр загейченных триггеров — `architecture/13-tech-debt-anchors.md` §Б-108; статус ручки `low` на pro = НЕ УСТАНОВЛЕНО (quirks §3б).
-- **Цена:** ~$0.85/ранобэ (⚠ число ДО пере-пина цен 13–15.08: таблица запинена ПИКОМ, счёт шиппинга = 100% DeepSeek ⇒ ×4.2–4.4 в пике и ×2.1–2.2 в долине — D39.137; пере-калибровать первым же платным прогоном. D30.4; тело — `archive/architecture/05-decisions-D1-D38.md`, карта — шапка D-лога); пере-калибровка при следующем платном прогоне (112 залендена, D39.97). Edit-волна не гонялась НИ РАЗУ (строка 16); ставка платформы $0.03/глава (D39.123 п.2г). Цены слагов — `models.yaml` (`prices_checked: 2026-07-10`; катовер 0731 цен не менял).
+- **Цена:** ~$0.85/ранобэ (⚠ число ДО пере-пина цен 13–15.08: таблица запинена ПИКОМ, счёт шиппинга = 100% DeepSeek ⇒ ×4.2–4.4 в пике и ×2.1–2.2 в долине — D39.137; пере-калибровать первым же платным прогоном. D30.4; тело — `archive/architecture/05-decisions-D1-D38.md`, карта — шапка D-лога); пере-калибровка при следующем платном прогоне (112 залендена, D39.97). Edit-волна не гонялась НИ РАЗУ (строка 16); ставка платформы $0.03/глава (D39.123 п.2г). Цены слагов — `models.yaml` (~~`prices_checked: 2026-07-10`~~ → **`2026-08-15`** (`backend/configs/models.yaml:34`; бампнут факт-чеком ТОЛЬКО по DeepSeek — испр. 20.08); катовер 0731 цен не менял).
 - **Ключи API:** список env-ключей — `docs/README.md` §«Доступные ключи» (7 шт.); резолв per-провайдер — `models.yaml api_key_env`. **`.env` НЕ читать** (гардрейл CLAUDE.md), `.env.example` можно.

docs/architecture/05-decisions-log.md

@@ -539,13 +539,13 @@
 
 **1. Приёмка исполнением.** Панель шести линз в изолированных копиях, каждой свой каталог, бэкап чужого незакоммиченного ДО запуска (D39.113): слепая (заказ+дифф ДО отчёта) · контракт-конформность (пофайловый дифф wire-структур против ОБЕИХ версий канона) · деньги (два независимых пути из сырого леджера + живой стенд) · шов (инвентарь ВСЕХ каналов движка чтением чужого кода) · вне карты · ревью канона 0.4.0 другой моделью. Ни одной REJECT, регрессов против HEAD нет. **Пере-проверено рукой оркестратора:** `make check` с обоими гейтами — 18 пакетов, EXIT=0, **скипов 0**, линтер 0 issues · реестр 327 строк / 65 открытых (13 minor, 52 info), major и BLOCKER нет · оба док-гейта зелёные · миграционный манифест сходится, released-миграции не тронуты · `tmplatformctl books --migratable` живой. ⚠ Тестовых функций **532**, не 533 (команда — `grep -rh '^func Test' platform --include='*_test.go' | wc -l`; норма «дифф `^func Test` исполнением, не памятью» — `docs/ORCHESTRATOR_SESSION_PROMPT.md` §кодовый промт, со ссылкой на D39.121; в теле самой D39.121 команды нет — испр. при проверке записей); удалённых имён семь — каждое проверено, у каждого есть преемник, и преемники СИЛЬНЕЕ либо перевёрнуты по ратифицированному решению (гейт подписи банка → `TestResumeLiftsABankStopWithTheDecisionsAsTheyStand` плюс НОВЫЙ встречный `TestTheReconcilerDoesNotLiftABankStopNobodySigned`).
 
-**2. Замер, обосновавший разворот схемного решения ВНУТРИ пака (00016 → 00022), пере-выведен независимо.** Свой бенчмарк на трёх вариантах в копии дерева: джойн **14.6 мс** · счётчик **5.3 мс** · без счётчика **2.9 мс**. Порядок и вывод подтверждаются, разворот законен: 00016 снёс колонку с доводом «её никто не пишет», 00022 вернул её ВМЕСТЕ с писателем. ⚠ Процент назван ЧЕТЫРЬМЯ носителями (журнал зоны 83% · `platform/internal/pgstore/perf_test.go:13` 96% · миграция 00022 «16.8 против 3.4, джойн сам 9 мс» · регистр PD-306 повторяет 83% и 16.8/3.4) — распад нормы «один носитель на факт» (D39.112) внутри одного пака. ⚠ **Первая редакция этой ноты писала «96% не выводится ни из чего» — ЭТО НЕВЕРНО и снято проверкой записей при лендинге:** число выводится точно, просто из ДРУГОГО замера — `platform/docs/archive/P7_ACT5_FIX_PLAN_2026-08-20.md:439-441`, «636 мс против 24 мс» на холодном корпусе акта 4, (636−24)/636 = 96.2%. То есть носители меряли разное (холодный корпус против вакуумированного) и оба честны; сводить их надо указанием УСЛОВИЙ замера, а не удалением одного как фантома — иначе следующая сессия снесёт верное число.
+**2. Замер, обосновавший разворот схемного решения ВНУТРИ пака (00016 → 00022), пере-выведен независимо.** Свой бенчмарк на трёх вариантах в копии дерева: джойн **14.6 мс** · счётчик **5.3 мс** · без счётчика **2.9 мс**. Порядок и вывод подтверждаются, разворот законен: 00016 снёс колонку с доводом «её никто не пишет», 00022 вернул её ВМЕСТЕ с писателем. ⚠ Процент назван ЧЕТЫРЬМЯ носителями (журнал зоны 83% · `platform/internal/pgstore/perf_test.go:13` 96% · миграция 00022 «16.8 против 3.4, джойн сам 9 мс» · регистр PD-306 повторяет 83% и 16.8/3.4) — распад нормы «один носитель на факт» (D39.112) внутри одного пака. ⚠ **Первая редакция этой ноты писала «96% не выводится ни из чего» — ЭТО НЕВЕРНО и снято проверкой записей при лендинге:** число выводится точно, просто из ДРУГОГО замера — `platform/docs/archive/P7_ACT5_FIX_PLAN_2026-08-20.md:444-446`, «636 мс против 24 мс» на холодном корпусе акта 4, (636−24)/636 = 96.2%. То есть носители меряли разное (холодный корпус против вакуумированного) и оба честны; сводить их надо указанием УСЛОВИЙ замера, а не удалением одного как фантома — иначе следующая сессия снесёт верное число.
 
 **3. Собственные посадки ВНЕ списка автора — 8, поймано 7.** Долг не поставлен третьей концовкой · `edit_wave` не монотонен · снят `Vary` · HEAD лишён валидатора · `reopen` снимает стоп банка кому угодно · погашение долга без сверки метки · вынос метки долга из закрывающей транзакции во второй оператор (техника `xmin` из их §36 работает — проверено исполнением, а не принято на слово). **НЕ поймано:** снятие `structure_version` И `revision` из `emitFrame` проходит ВСЮ батарею — два поля, которые канон требует на КАЖДОМ кадре `EventBase`. По норме самой зоны (PD-1) свойство без пинящего теста считается незакрытым.
 
 **4. Что ратифицируется этой нотой.** (а) **Долг на материализацию — колонка с арендой** (`books.read_model_owed_at`), ставится в ТОЙ ЖЕ транзакции, что закрывает границу работы, гасится сверкой метки, берётся в аренду тем, кто платит; очередь в памяти процесса и второй бэкстоп удалены — один механизм вместо двух. Правило «каждая транзакция, ЗАКАНЧИВАЮЩАЯ прогон, оставляет книгу должной» (их §33) принято вместе с формой его записи одним фрагментом на все три концовки. (б) **«Есть ли у пайплайна редактор» — свойство КНИГИ, монотонное, от объявления движка** (§35): читать с последнего прогона нельзя — счётчик ходил назад в момент допуска нового прогона, что канон запрещает. Половина «форму объявляет движок» проверена чтением ЧУЖОГО кода (`beginWaves`: знаменатель ноль у волны, которой нет). (в) **Владелец у клейма идемпотентности + тождество интейка дайджестом содержимого** — закрывает класс «застрявшая попытка удаляет строку преемника / пишет квитанцию поверх чужой». (г) **Остановка АККАУНТА читается с аккаунта**, а не с потолка одного прогона; аномалия «97% остатка рядом с `credit_exhausted`» закрыта СТРУКТУРНО (единственная точка присваивания под `!Spendable`), пере-проверено денежной линзой живьём. (д) **Счётчик замечаний вернулся на главу** — по замеру п.2. (е) **Демонтаж гейта полноты банка** в платформе — исполнение D39.144; согласованность с движком проверена чтением его кода: движок уходит по авто-ветке при снятом флаге, зависания нет.
 
-**5. Фикс-лист и долг — где живут.** Зонный фикс-лист (десять пунктов, первым — `ContractVersion` 0.3.0 при формах 0.4.0) — **пинг оркестратора №18 в `platform/docs/platform-PROGRESS.md`**; зона заводит из него строки СВОЕГО бэклога и регистра. ⚠ Константу версии оркестратор НЕ правил: зонное правило «код не правишь, находки в фикс-лист» держится и при закрытой сессии; практического вреда сегодня нет (фронт заморожен на 0.2.3, 0.3.0-клиент лишнее поле игнорирует), но деплой объявляет версию, которую не отдаёт. Новые строки ЕДИНОГО бэклога: **198** (апгрейд движка стирает замечания и счётчики безвозвратно — композиция зачистки при ре-кате и announce-once движка; гейт холодного прогона) · **199** (канал доставки правок банка) · **200** (сквозная полоса прогресса) · **201** («Глава N» внутри текста экспорта) · **202** (живой прогон насквозь) · **203** (хвосты контракта, релеи §7 зоны).
+**5. Фикс-лист и долг — где живут.** Зонный фикс-лист (тринадцать пунктов плюс врезанный первым блокер свипа; ⚠ первая редакция писала «восемь», вторая «десять» — оба числа брались из отчёта ревьюера без пере-счёта носителя, испр. аудитом 21.08) — **пинг оркестратора №18 в `platform/docs/platform-PROGRESS.md`**; зона заводит из него строки СВОЕГО бэклога и регистра. ⚠ Константу версии оркестратор НЕ правил: зонное правило «код не правишь, находки в фикс-лист» держится и при закрытой сессии; практического вреда сегодня нет (фронт заморожен на 0.2.3, 0.3.0-клиент лишнее поле игнорирует), но деплой объявляет версию, которую не отдаёт. Новые строки ЕДИНОГО бэклога: **198** (апгрейд движка стирает замечания и счётчики безвозвратно — композиция зачистки при ре-кате и announce-once движка; гейт холодного прогона) · **199** (канал доставки правок банка) · **200** (сквозная полоса прогресса) · **201** («Глава N» внутри текста экспорта) · **202** (живой прогон насквозь) · **203** (хвосты контракта, релеи §7 зоны).
 
 **6. Решения владельца 20.08, записанные этой нотой.** (а) **sqlc БЕРЁМ** («я вообще за») — отступление P7 от D39.132 п.2б закрыто решением, а не оправданием; ⚠ оркестратор добавил к заказу то, чего в предложении зоны не было: все рантайм-ошибки «нет такой колонки» случились в СКЛЕЕННОМ SQL read-модели, куда sqlc по построению не дойдёт (⚠ счёт: РЕПОЗИТОРИЙ несёт две — `platform/docs/DEFECT_REGISTER.md` PD-44 и журнал зоны, «дважды укусил этот пак»; ещё две — `column c.note_count does not exist` и `missing FROM-clause entry for table "b"` — зона назвала в ответе владельцу 20.08, пересланном оркестратору, и в доки зоны они не попали: проверяемого носителя у них нет, поэтому опираться следует на две), поэтому тем же паком — разбор каждого СОБРАННОГО запроса Postgres'ом против мигрированной схемы и ответ на вопрос «есть ли запрос, которого не касается ни один тест». (б) **Живой прогон книги насквозь — ПОСЛЕ холодного прогона движка** («гонять одну неготовую систему против другой смысла нет»), строка 202. (в) **Сквозная полоса прогресса вместо пофазной** — строка 200; заодно снята рамка вопроса о «сделано» (см. D39.152 п.4).
 
@@ -553,12 +553,30 @@
 
 **8. ВТОРОЙ РУБЕЖ — приёмка приёмки (слово владельца 20.08: «сначала приёмка твоей же работы, потом коммит»).** Четыре линзы прочитали не пак, а РАБОТУ ОРКЕСТРАТОРА: широкий инвентарь доков (другая модель, чтение всей документации четырёх зон целиком) · claim-fidelity обеих нот и всех сегодняшних записей · поиск того, что панель пропустила · полнота выгрузки долга и зонная дисциплина. Результат оправдал остановку коммита.
 
-**(а) Пять овер-атрибуций в первой редакции ЭТИХ нот — снято, каждая проверена автором лично.** «96% не выводится ни из чего» — неверно: число выводится точно из ДРУГОГО замера зоны (`archive/P7_ACT5_FIX_PLAN_2026-08-20.md:439-441`, 636 мс против 24 мс на холодном корпусе), и удаление его как фантома снесло бы верное измерение · расхождений с 0.3.0 не четыре, а ПЯТЬ (пятое — семантика `410 Gone`, носитель PD-253) · «четыре рантайм-ошибки» проверяемого носителя не имеют, репозиторий несёт две · клейм «оговорка расширена на всю ручку» опережал текст канона — оговорка внесена только сейчас (D39.152 п.6) · «фикс-лист из восьми пунктов» устарел на собственной правке. **Класс один и тот же — верное утверждение приписано не тому источнику**, и это ровно тот провал, против которого написана дисциплина «эрудиция ≠ улика».
+**(а) Пять овер-атрибуций в первой редакции ЭТИХ нот — снято, каждая проверена автором лично.** «96% не выводится ни из чего» — неверно: число выводится точно из ДРУГОГО замера зоны (`archive/P7_ACT5_FIX_PLAN_2026-08-20.md:444-446`, 636 мс против 24 мс на холодном корпусе), и удаление его как фантома снесло бы верное измерение · расхождений с 0.3.0 не четыре, а ПЯТЬ (пятое — семантика `410 Gone`, носитель PD-253) · «четыре рантайм-ошибки» проверяемого носителя не имеют, репозиторий несёт две · клейм «оговорка расширена на всю ручку» опережал текст канона — оговорка внесена только сейчас (D39.152 п.6) · «фикс-лист из восьми пунктов» устарел на собственной правке. **Класс один и тот же — верное утверждение приписано не тому источнику**, и это ровно тот провал, против которого написана дисциплина «эрудиция ≠ улика».
 
 **(б) Долг, живший только внутри зоны автора, вынесен наружу.** Строка в бэклог ДВИЖКА про публикацию причин флагов данными (релей §7в) жила только в регистре платформы, который движок не читает — заведена строка **204** · вопрос платформы К ВЛАДЕЛЬЦУ про норму плотности комментариев (PD-255) был объявлен несуществующим её же хендоффом («вопросов на владельце нет») — вынесен в обязательства CURRENT-STATE · норма «жалуйся владельцу, не обходи молча» для фронтового фрагмента хука жила только в моей прозе — написан пинг в зонный журнал фронта. Плюс сняты три строки бэклога (**176/181/187**), закрытые ещё D39.149: очередь всё это время звала 181 свободной работой, то есть направляла сессию чинить построенное.
 
 **(в) Найден жёсткий блокер ВНЕ пака, которого диффовая линза увидеть не могла по построению** (проверен мной построчно): `Sweep` платформы имеет бюджет прохода 2 минуты (`cmd/tmplatformd/runner.go:189`) при бюджете одного прогона 60 с (`internal/runs/reconcile.go:70`) — **двух медленных прогонов достаточно, чтобы проход кончился до `UnsettledRuns`**, единственного ретрая отложенного расчёта, а живые прогоны ниже по списку не реконсилировались и не спавнились; `ListLiveRuns` сортирует по `started_at`, поэтому заклиненный прогон стоит в голове и голодит остальных детерминированно, а ручки нет — `runs.Config.RunBudget` объявлен и в `startRunner` не присваивается. Цена: холд не возвращается, `runs_one_live_per_book` не даёт запустить новый прогон книги. Код приехал в P6, дифф `Sweep` против HEAD идентичен ⇒ ни одна линза приёмки P7 его видеть не могла. ⚠ **`PD-169` стоит `fixed(P5)` и этим ЛЖЁТ приёмке** — его пин гоняет `Sweep` без дедлайна прохода, то есть доказывает пер-прогонный бюджет, а не выживание прохода; пере-открыть. Носитель — первый пункт фикс-листа в пинге №18. **Тот же класс, что строка 198: композиция двух известных по отдельности фактов.**
 
-**(г) Побочно получен ответ на вопрос, который я поставил открытым в фикс-листе:** собранный SQL read-модели извлечён через `go/types` и прогнан `EXPLAIN (GENERIC_PLAN)` против мигрированной схемы — 141 запрос, все планируются чисто, тестом недостижимы десять, и ни один из десяти не трогает схему 00016–00024. Дыры сегодня нет; гейт нужен как ПОСТОЯННЫЙ, потому что именно он делает этот ответ воспроизводимым.
+**(г) Побочно получен ответ на вопрос, который я поставил открытым в фикс-листе:** собранный SQL read-модели извлечён через `go/types` и прогнан `EXPLAIN (GENERIC_PLAN)` против мигрированной схемы — 141 запрос, все планируются чисто, тестом СВОЕГО пакета недостижимы десять. ⚠ **Число «десять» как ответ на вопрос «есть ли запрос, которого не касается ни один тест» — НЕВЕРНО, снято аудитом 21.08:** пере-мер покрытием по батарее ЦЕЛИКОМ даёт семь из десяти покрытыми на 58–87% тестами соседних пакетов (например посадка в `ReleaseUnspawned` ловится `internal/runs/sweep_test.go`), реально не покрыты ТРИ — `DeleteOldLoginEvents`, `UserByIdentity`, `Observe`, и все три лежат в осях «вход/сессии» и «метрики», которые пункт 8 фикс-листа называет не смотренными никем. Замер был верен для узкого вопроса «трогает ли запрос тест ЭТОГО пакета» и записан как ответ на широкий. Ни один из десяти не трогает схему 00016–00024. Дыры в схеме пака нет; гейт нужен как ПОСТОЯННЫЙ, потому что именно он делает этот ответ воспроизводимым.
 
-**9. Что НЕ проверено (obstacle приёмки).** Живого перевода через платформу не было НИ РАЗУ — всё после «прогон стартовал и остановился» покрыто батареей против живого Postgres, но с движком-заглушкой (строка 202). Четыре оси не смотрел никто и никогда: деньги и леджер целиком · вход/сессии/CSRF · очередь и джобы · метрики — пак их не менял, а все приёмки смотрели дифф; это отдельная работа, не довесок. PD-297 зона не взяла осознанно (мерить на корпусной книге). Сессия P7 ЗАКРЫТА владельцем 20.08; промт отработан → `platform/docs/archive/` с баннером-исходом. (20.08.2026, оркестратор №18) ✅
+**9. ТРЕТИЙ РУБЕЖ — аудит работы САМОГО оркестратора (слово владельца 21.08: «где ты ещё проебался»).** Пять линз + сводка + два опровергателя прошли по всему, что оркестратор сделал за лендинг. Итог: **из 55 присланных ему рекомендаций часть была закрыта в НОТЕ и не закрыта в НОСИТЕЛЕ, а девять вещей он сломал или соврал САМИМ актом исправления.** Всё названное ниже исправлено 21.08; записано, потому что класс важнее списка.
+
+**(а) Конфабуляция в доке о провайдере — тяжелейшее.** Чиня «протухшую» строку `docs/STACK.md:11`, оркестратор СНЁС верное утверждение («ручки эффорта у pro НЕТ, `low`→`high`» — дословно квирк-канон §3а) и подставил «ручка появилась 13.08 (low/high/max — D39.137)». Тело D39.137 про эффорт молчит целиком (11 строк, ноль упоминаний — проверено `awk` по живому файлу). Механизм — конфабуляция по смежности: `V4-Pro-0813` это чекпойнт ВЕСОВ при вендорском «Model names remain unchanged», прочитан как дата появления ручки. ⚠ Уточнение, снимающее половину обвинения: носитель у клейма ВСЁ ЖЕ есть — CURRENT-STATE несёт «у pro эффорт стал настраиваемым low/high/max, квирк 3а устарел» (запись №17). То есть в репозитории ДВА носителя противоречат, замера поведением после 13.08 нет ни у одного, и правильный ход — назвать противоречие и потребовать вендор-сверку (гардрейл владельца «не гадаем»), а не выбрать сторону. Так и записано; до сверки в силе КАНОН.
+
+**(б) Единица работы была ФРАЗА, а не её отпечаток в репозитории.** Шесть исправлений устроены одинаково: правится НОТА (повествование) и это считается починкой, а НОСИТЕЛЬ — документ, из которого действует человек, — продолжает врать. Нота пересчитала рантайм-ошибки на «две» — пинг зоны держал «ЧЕТЫРЕ», и заводить строку зона будет по пингу. Нота пере-написана на «ПЯТЬ расхождений с 0.3.0» — ратифицированный компаньон и пинг остались на «ЧЕТЫРЁХ», то есть контракт-док противоречил ратифицирующей его ноте. Число фикс-листа правилось дважды («восемь» → «десять») и оба раза бралось из отчёта ревьюера без пере-счёта носителя: машинный счёт даёт ТРИНАДЦАТЬ пунктов, причём непосчитанным оказался самый тяжёлый — латентная потеря всего текста книги на пустом манифесте.
+
+**(в) «Проверено» писалось как перформатив, а не как отчёт о действии.** Строка 203 несла шапку «⚠ Сверено грепом при лендинге» — и её якорь указывал в ДРУГОЕ приложение компаньона (`:1391` = карта кодов ошибок вместо `:1376`), а соседний промахивался на две строки; файл при этом правился сбалансированно, нумерация не двигалась, то есть грепа просто не было. Тот же класс — «файла там нет, проверено» про существующий файл, пойманное автором через минуту.
+
+**(г) Собственная архивация убила четыре `file:line`-якоря, и гейт этого не увидел.** Врезав пятистрочные баннеры в архивируемые доки, оркестратор пере-адресовал ПУТЬ и не пере-считал НОМЕР. Два из четырёх стоят в этой самой ноте и охраняют число «96%» от удаления как фантома — улика, защищающая число, перестала резолвиться. ⚠ **`counts.py --lint` дал зелень на все четыре**, потому что проверяет только существование файла и переполнение номера, а `platform/docs`/`frontend/docs` не сканирует вовсе — носитель находки — новая строка **205**. Инструмент не просто не поймал: он создал ложную уверенность, заменив собой ручную сверку.
+
+**(д) Живая инструкция убита архивацией.** Баннер утверждал, что рецепт стенда «переехал в `STACK_DECISIONS`», тогда как переехали две грабли из четырёх разделов: сборка бинарей, шаблон книги, ОБА гейта батареи с предупреждением «без них `make check` МОЛЧА скипует ~200 тестов» и переменные дев-демона остались единственным экземпляром в доке под баннером «инструкции НЕ исполнять» — при том что `platform/README.md` отсылает за рецептом именно в `STACK_DECISIONS`. Перенесено по-настоящему 21.08.
+
+**(е) Ложное число в ратифицированной ноте.** §8(г) писал «тестом недостижимы ДЕСЯТЬ запросов» с поимённым списком. Пере-мер покрытием по батарее ЦЕЛИКОМ: семь из десяти покрыты на 58–87% тестами СОСЕДНИХ пакетов, реально не покрыты ТРИ — и все три лежат в осях «вход/сессии» и «метрики», которые пункт 8 фикс-листа называет не смотренными никем. Замер был верен для узкого вопроса «трогает ли запрос тест ЭТОГО пакета» и записан как ответ на широкий.
+
+**(ж) Две новые дыры пинов, найденные посадками аудита** (пункты 12–13 фикс-листа): снятие изоляции `RepeatableRead`+`ReadOnly` у `inReadTx` проходит ВСЮ батарею, хотя под инвариантом шесть ручек выдачи и PD-163; и оговорка `book_id <> $2` в `CreditHeldBy` не исполняется ни одним пином, потому что в фикстуре у исключаемой книги нет холда. Обе — в коде, приехавшем НОВЫМ в P7, то есть внутри диффа, который читали шесть линз приёмки.
+
+**(з) Диагноз, который важнее списка.** Самодиагноз оркестратора («триаж глазами вместо машинной сверки») объясняет три находки из двадцати трёх и уводит от причины: остальные двадцать — это места, где рекомендация БЫЛА исполнена ровно один раз, и машинная сверка их бы не поймала. Настоящая форма: **стандарт держится в КОДЕ и обрушивается в ПРОЗЕ О ФАКТАХ** — единственной среде, где утверждение не опровергнет ни компилятор, ни тест, ни гейт. Все код-якоря оркестратора резолвятся, отказ править `ContractVersion` был верным, дыра `emitFrame` найдена им же — а рядом в прозе рождается «ручка появилась 13.08» со ссылкой на молчащую ноту. ⚠ И форма ЗАРАЗНА: линза-аудитор с чек-листом пометила два самых ложных клейма репозитория как ЗАКРЫТЫЕ, потому что проверила, что ПРАВКА СУЩЕСТВУЕТ, а не что КЛЕЙМ ИСТИНЕН. Отсюда норма, которую эта нота вносит: **«ревью исполнением» значит исполнить САМ КЛЕЙМ** — открыть цитируемую строку, пере-мерить число, дойти до первоисточника ссылки, — а не подтвердить, что редактирование приземлилось; и применять это к прозе о фактах ровно так же строго, как к коду.
+
+**10. Что НЕ проверено (obstacle приёмки).** Живого перевода через платформу не было НИ РАЗУ — всё после «прогон стартовал и остановился» покрыто батареей против живого Postgres, но с движком-заглушкой (строка 202). Четыре оси не смотрел никто и никогда: деньги и леджер целиком · вход/сессии/CSRF · очередь и джобы · метрики — пак их не менял, а все приёмки смотрели дифф; это отдельная работа, не довесок. PD-297 зона не взяла осознанно (мерить на корпусной книге). Сессия P7 ЗАКРЫТА владельцем 20.08; промт отработан → `platform/docs/archive/` с баннером-исходом. (20.08.2026, оркестратор №18) ✅

docs/architecture/14-api-contract/README.md

@@ -15,7 +15,7 @@ openapi.yaml РЯДОМ. ⚠ Зонная копия frontend/docs/api-contract/
 Ратификацию этой редакции контрактная сессия за собой НЕ записывает — это акт оркестратора:
 автор и ратификатор одного и того же текста совпадать не должны. Файлы уже несли 0.4.0 к моменту сдачи; в силу
 редакция вступила лендингом 20.08 — РАТИФИЦИРОВАНА D39.152 (там же: четыре текстовые правки,
-внесённые оркестратором при ратификации, и разбор того, что против 0.3.0 расходится ЧЕТЫРЕ места,
+внесённые оркестратором при ратификации, и разбор того, что против 0.3.0 расходится ПЯТЬ мест,
 а не одно). Строку в 05-decisions-log сессия тоже не писала по той же причине — готовый текст ноты
 был сдан оркестратору вместе с этой редакцией.
 
@@ -1149,7 +1149,7 @@ announce-once-леджер: ключ `unit:<book>:<wave>:<chapter>:<unit>` не
 ### J. «Остановлено по вашей просьбе» — ПОЛЕ ЗАВЕДЕНО; форма отличается от предложенной зоной
 
 Решение владельца 17.08 принято, форму делегировали контрактной сессии
-(`archive/P7_ACCEPTANCE_HANDOFF_2026-08-17.md:452`). Заведено `Run.stop_requested` — **обязательное булево, а не
+(`archive/P7_ACCEPTANCE_HANDOFF_2026-08-17.md:462`). Заведено `Run.stop_requested` — **обязательное булево, а не
 необязательное.** Довод: функция тотальна — прогон, который никто не просил остановить, это `false`,
 а не «поля нет»; необязательность дала бы два написания одного факта, и это ровно тот дефект, который
 контракт уже чинил у `sense` (0.2.2), у `reject_reason` и у `kind`. Ценой стал ломающий минор —

docs/glossary.md

@@ -8,7 +8,7 @@
 - **Хендофф(-промт)** — передача роли новой сессии файлом-промтом; аддендумы к бегущей сессии доезжают только релеем владельца.
 - **Владелец** — человек; ратифицирует деньги, скоуп-сдвиги, продукт, 18+; связной между сессиями.
 - **Ф0–Ф3** — фазы: Ф0 скелет · Ф1 инфраструктура · Ф2 качество (судья/гейты) · Ф2.5 пилот · Ф3 продукт (веб-фронт, ридер-IDE).
-- **S0–S7 / P0–P7** — нумерация кодовых сессий зон: S-этапы фронта (S0–S4 приняты, S4 — путь «файл→прогресс», D39.135; зона ЗАМОРОЖЕНА, и лендинг P7 её НЕ разморозил — D39.147: P7 её не размораживает, S5 не выдаётся, разморозка отдельным словом владельца) · P-этапы платформы (P0 бутстрап D39.100 … P6 потребительская половина шва D39.132 · **P7 читающая поверхность — ЗАПУЩЕН 16.08**); не путать с фазами Ф0–Ф3.
+- **S0–S7 / P0–P7** — нумерация кодовых сессий зон: S-этапы фронта (S0–S4 приняты, S4 — путь «файл→прогресс», D39.135; зона ЗАМОРОЖЕНА, и лендинг P7 её НЕ разморозил — D39.147: P7 её не размораживает, S5 не выдаётся, разморозка отдельным словом владельца) · P-этапы платформы (P0 бутстрап D39.100 … P6 потребительская половина шва D39.132 · **P7 читающая поверхность — ПРИНЯТ С ФИКС-ЛИСТОМ и ЗАЛЕНДЕН 20.08, D39.153**); не путать с фазами Ф0–Ф3.
 - **Зонный журнал / зонный бэклог** — `frontend/docs/frontend-PROGRESS.md` · `platform/docs/platform-PROGRESS.md` и BACKLOG зоны: прогресс/пинги фронта и платформы живут ТОЛЬКО там (D39.100); их строки единый бэклог не принимает (D39.84).
 - **Полигон** — eval-зона платных/бесплатных экспериментов (`eval/`; отчёты — `docs/experiments/`, статус эксп-а — его баннер/D-лог).
 

platform/docs/STACK_DECISIONS.md

@@ -331,6 +331,43 @@
     совпадает ровно тогда, когда обе записи сделала одна транзакция. Найдено тем, что два пина этого
     же акта прошли под мутацией, которую сами называют.
 
+## Стенд разработчика — воспроизводимый рецепт
+
+> ⚠ Перенесено оркестратором №18 21.08 из рабочего хендоффа приёмки P7 при его архивации. Первая
+> редакция архивного баннера утверждала, что рецепт «уже живёт здесь», — это было НЕВЕРНО: переехали
+> только две грабли, а сборка, шаблон и гейты батареи остались единственным экземпляром в документе
+> под баннером «инструкции НЕ исполнять». `platform/README.md` при этом отсылает за рецептом именно
+> сюда. Класс — живая инструкция, убитая архивацией.
+
+**Собрать бинари и шаблон книги.** Каталог — ЛЮБОЙ вне `/tmp` (иначе не переживёт уборку):
+
+```sh
+W=~/tmstand-work && mkdir -p $W/stand/{books,state}
+cd <repo>/backend  && go build -o $W/tmctl         ./cmd/tmctl
+cd <repo>/platform && go build -o $W/tmplatformd   ./cmd/tmplatformd
+cd <repo>/platform && go build -o $W/tmplatformctl ./cmd/tmplatformctl
+
+# шаблон книги = backend/example/book.yaml с ДВУМЯ путями, переписанными в абсолютные
+sed -e 's#^pipeline: ../configs/#pipeline: <repo>/backend/configs/#' \
+    -e 's#^models: ../configs/#models: <repo>/backend/configs/#' \
+    <repo>/backend/example/book.yaml > $W/book-template.yaml
+```
+
+⚠ Относительные `pipeline:`/`models:` — единственное отличие шаблона от репо-оригинала; без правки
+движок не находит конфиги из чужого рабочего каталога.
+
+**Гейты батареи — их ДВА, и без них `make check` МОЛЧА скипует ~200 тестов** (вся читающая модель,
+миграции и шов). «Зелёная батарея» без них не значит ничего, поэтому `check` сам печатает имена
+скипнутых: `TM_PLATFORM_TEST_DSN` (Postgres) и пара `TM_PLATFORM_TEST_ENGINE_BIN` +
+`TM_PLATFORM_TEST_BOOK_TEMPLATE` (живой рендер конфигурации). Ожидание: 18 пакетов, exit 0,
+**скипов 0**, линтер «0 issues».
+
+**Дев-демон и пробы.** Переменные демона: `TM_PLATFORM_DSN` · `_MIGRATE=1` · `_ADDR=127.0.0.1:8099` ·
+`_DEV_LOGIN` · `_INSECURE_COOKIES=1` · `_BOOKS_DIR` · `_STATE_DIR` · `_ENGINE_BIN` ·
+`_BOOK_TEMPLATE` · `_CTL_BIN` · `_LANGUAGE_PAIRS='zh>ru,ja>ru:unavailable'` · `_METRICS_ADDR`.
+Посев — `tmplatformctl seed --url http://127.0.0.1:8099` (кладёт cookie рядом); дальше пробы ходят
+с `--noproxy '*'`, cookie-jar'ом и заголовком `X-TM-Client`.
+
 ## Как поднять локально
 
 ```sh
@@ -416,7 +453,7 @@ export TM_PLATFORM_TEST_DSN='postgres://postgres@/postgres?host=/tmp&port=55432&
 
 - **`curl` только с `--noproxy '*'`** — иначе прокси стенда отвечает 403, и это читается как дефект
   кода, которого нет.
-- **Демон стенда — ОТДЕЛЬНЫЙ бинарь и сам не пересобирается:** убить по имени → `go build -o
+- **Демон стенда — ОТДЕЛЬНЫЙ бинарь и сам не пересобирается:** убить (⚠ ПО PID, см. ниже — не по имени) → `go build -o
   <путь>/tmplatformd ./cmd/tmplatformd` → поднять. Иначе живая проба меряет вчерашний код.
 - **Правил миграцию — пере-создай базу стенда** (`dropdb tmstand && createdb tmstand`): goose
   ключуется НОМЕРОМ и правку уже применённого файла не видит (то же правило, что в `deploy/README.md`).

platform/docs/archive/P7_ACCEPTANCE_HANDOFF_2026-08-17.md

@@ -2,7 +2,7 @@
 
 > ⚠ **АРХИВ (оркестратор №18, 20.08).** Пак P7 принят и заленден (D39.153, `9b23e8c`), сессия закрыта владельцем. Документ ИСТОРИЧЕСКИЙ — рабочий процесс приёмки актов 1–4; инструкции НЕ исполнять.
 >
-> Живое из него ВЫНЕСЕНО, чтобы не держать второй носитель: рецепт стенда и грабли (§2) живут в `platform/docs/STACK_DECISIONS.md` (две уникальные грабли дописаны туда при архивации) · релеи §7 — строка **203** единого бэклога, статус каждого сверен грепом и половина исполнена · строка про «остановлено по вашей просьбе» (§7и) закрыта полем `stop_requested` канона 0.4.0 · строка в бэклог движка (§7в) заведена как **204**. ⚠ §0 этого файла объявляет «вопросов на владельце нет» — это НЕВЕРНО и поймано ревью: PD-255 просит именно решение владельца, оно вынесено в CURRENT-STATE.
+> Живое из него ВЫНЕСЕНО, чтобы не держать второй носитель: рецепт стенда и грабли (§2) живут в `platform/docs/STACK_DECISIONS.md`, раздел «Стенд разработчика» (⚠ первая редакция этого баннера утверждала перенос, когда переехали только две грабли — рецепт целиком перенесён 21.08 по находке аудита; сборка бинарей, шаблон книги, ОБА гейта батареи и переменные дев-демона теперь там) · релеи §7 — строка **203** единого бэклога, статус каждого сверен грепом и половина исполнена · строка про «остановлено по вашей просьбе» (§7и) закрыта полем `stop_requested` канона 0.4.0 · строка в бэклог движка (§7в) заведена как **204**. ⚠ §0 этого файла объявляет «вопросов на владельце нет» — это НЕВЕРНО и поймано ревью: PD-255 просит именно решение владельца, оно вынесено в CURRENT-STATE.
 
 
 > ⚠ **РАБОЧИЙ ДОКУМЕНТ СЕССИИ, ОРКЕСТРАТОРУ ЧИТАТЬ НЕ НУЖНО.** Это мой процесс: как я шёл, что проверял, что передумал. Для лендинга нужны три вещи, и все они в других местах — что сделано и зачем: шапка `platform-PROGRESS.md` · статус каждого дефекта: `DEFECT_REGISTER.md` · правила, переживающие пак: `STACK_DECISIONS.md` §33–36.

platform/docs/platform-PROGRESS.md

@@ -363,14 +363,18 @@
 1. **`ContractVersion` = "0.3.0" при формах 0.4.0** (`internal/httpapi/capabilities.go:13`, он же в каждом `hello` — `stream.go:100`). Ратификация 0.4.0 состоялась (D39.152) ⇒ константа обязана подняться. Комментарий над ней сам это требует: «raised in the same commit as the code that implements a new minor». Сегодня практического вреда нет (фронт заморожен на 0.2.3), но деплой объявляет версию, которую не отдаёт. **Первым пунктом.**
 2. **Пины на два поля `EventBase`** (см. выше).
 3. **Бюджет попыток материализации.** У долга нет предела и канала «признать безнадёжным»: claim → fail → defer(`now()`) → следующий свип через 15 с, вечно (`pgstore/books.go:538,557-564`). У интейка предел есть (`parseAttempts`=5). Три следствия: до 5 мин движковых процессов на проход бесконечно · поток такой книги НЕ заканчивается никогда (`AtRest` требует `read_model_owed_at is null`, `events.go:125`) · при живом манифесте и падающем экспорте `SaveStructure` коммитится каждый проход ⇒ `revision++` и кадр каждые 15 с.
-4. **sqlc — БЕРЁМ, слово владельца 20.08 («я вообще за»).** Отступление P7 закрыто, PD-44 переоткрыть исполнением. ⚠ Ваше предложение «взять на однооператорных ручках P8» покупает инструмент туда, где не болит: все ЧЕТЫРЕ рантайм-ошибки «нет такой колонки» случились в СКЛЕЕННОМ SQL read-модели (`chapters_before`/`stop_for_signing` — `readmodel.go:441,446`, там же `note_count` и сломанный алиас `b`), куда sqlc по построению не дойдёт. Тем же паком — гейт, который туда дойдёт: прогонять КАЖДЫЙ собранный запрос через разбор Postgres (prepare/describe) против мигрированной схемы; склейка ему не мешает, он получает финальную строку. И ответить попутно на вопрос, которого мы не знаем: **есть ли в read-модели запрос, которого не касается ни один тест** — если есть, это не «медленная обратная связь», а дыра. ⚠ **Половина ответа УЖЕ получена вторым рубежом приёмки** (собранный SQL извлечён из пакета через `go/types` и прогнан `EXPLAIN (GENERIC_PLAN)` против мигрированной схемы): **141 запрос, все планируются чисто, остаточных «нет такой колонки» НЕТ**; тестом недостижимы **десять** — `RefundParseAttempt` · `StuckIntake` · `OpenReservations` · `ReleaseUnspawned` · `DeleteOldLoginEvents` · `UserByIdentity` · `Observe` · `SpendBound` · `AttemptReservationOpen` · `RunPausedReason`, и ни один из них не трогает схему 00016–00024. То есть дыры сегодня нет, а гейт нужен как ПОСТОЯННЫЙ — именно он и делает этот ответ воспроизводимым.
+4. **sqlc — БЕРЁМ, слово владельца 20.08 («я вообще за»).** Отступление P7 закрыто, PD-44 переоткрыть исполнением. ⚠ Ваше предложение «взять на однооператорных ручках P8» покупает инструмент туда, где не болит: рантайм-ошибки «нет такой колонки» случились в СКЛЕЕННОМ SQL read-модели (⚠ счёт: проверяемый носитель — ваш регистр PD-44 и журнал — несёт ДВЕ; ещё две вы назвали в ответе владельцу, в доки они не попали, поэтому опираемся на две — испр. 20.08) (`chapters_before`/`stop_for_signing` — `readmodel.go:441,446`, там же `note_count` и сломанный алиас `b`), куда sqlc по построению не дойдёт. Тем же паком — гейт, который туда дойдёт: прогонять КАЖДЫЙ собранный запрос через разбор Postgres (prepare/describe) против мигрированной схемы; склейка ему не мешает, он получает финальную строку. И ответить попутно на вопрос, которого мы не знаем: **есть ли в read-модели запрос, которого не касается ни один тест** — если есть, это не «медленная обратная связь», а дыра. ⚠ **Половина ответа УЖЕ получена вторым рубежом приёмки** (собранный SQL извлечён из пакета через `go/types` и прогнан `EXPLAIN (GENERIC_PLAN)` против мигрированной схемы): **141 запрос, все планируются чисто, остаточных «нет такой колонки» НЕТ**; тестом ЭТОГО пакета недостижимы десять, но по батарее ЦЕЛИКОМ реально не покрыты только **три** (`DeleteOldLoginEvents` · `UserByIdentity` · `Observe`; остальные семь покрыты на 58–87% тестами соседних пакетов — пере-мерено покрытием при аудите 20.08, первая редакция называла десять и это было неверно) — `RefundParseAttempt` · `StuckIntake` · `OpenReservations` · `ReleaseUnspawned` · `DeleteOldLoginEvents` · `UserByIdentity` · `Observe` · `SpendBound` · `AttemptReservationOpen` · `RunPausedReason`, и ни один из них не трогает схему 00016–00024. То есть дыры сегодня нет, а гейт нужен как ПОСТОЯННЫЙ — именно он и делает этот ответ воспроизводимым.
 5. **PD-297** — round-trip на строку в `SaveStructure` под эксклюзивной блокировкой книги; мерить на корпусной книге до и после (корпусная книга появится на холодном прогоне движка).
 6. **Труба доставки решений банка в движок** — единый бэклог, строка **199(а)**: перед resume писать решения в `mined_delta`/`mined_rejects`. Сегодня `action`/`dst` — write-only колонки (единственный SELECT `readmodel.go:336` проверяет лишь наличие строки), а воркер описан в комментарии вашей же миграции `00002_readmodel.sql:172-174` и не построен.
 7. **Мусор:** пустой `platform/ru` (0 байт, обрубок редиректа) — в лендинг не взят, снесён оркестратором. `books.go:234-235` — задвоенная первая строка доккомментария, класс PD-310/326.
 8. **Ревью-пак четырёх осей, которых не смотрел НИКТО** (ваш же obstacle): деньги и леджер целиком · вход/сессии/CSRF · очередь и джобы · метрики. Это не дофикс и не довесок — первый взгляд, отдельной работой.
-9. **Один носитель на факт для замера 00016→00022 — но НЕ удалением числа.** Выигрыш назван ЧЕТЫРЬМЯ носителями: шапка этого журнала «83%» · `internal/pgstore/perf_test.go:13` «96%» · миграция 00022 «16.8 против 3.4, джойн сам 9 мс» · регистр PD-306 (повторяет 83% и 16.8/3.4). ⚠ Я сперва записал, что «96%» ни из чего не выводится — **это была моя ошибка, снята проверкой записей**: оно выводится точно из ВАШЕГО же замера в `archive/P7_ACT5_FIX_PLAN_2026-08-20.md:439-441` («636 мс против 24 мс», холодный корпус акта 4) = 96.2%, тогда как 83% и мой независимый ≈80% — с вакуумированного корпуса. То есть носители меряли РАЗНОЕ и все честны. Свести указанием УСЛОВИЙ замера при каждом числе, оставив нормативным один (миграция 00022 — она их и несёт); удалять «96%» как фантом НЕЛЬЗЯ.
+9. **Один носитель на факт для замера 00016→00022 — но НЕ удалением числа.** Выигрыш назван ЧЕТЫРЬМЯ носителями: шапка этого журнала «83%» · `internal/pgstore/perf_test.go:13` «96%» · миграция 00022 «16.8 против 3.4, джойн сам 9 мс» · регистр PD-306 (повторяет 83% и 16.8/3.4). ⚠ Я сперва записал, что «96%» ни из чего не выводится — **это была моя ошибка, снята проверкой записей**: оно выводится точно из ВАШЕГО же замера в `archive/P7_ACT5_FIX_PLAN_2026-08-20.md:444-446` («636 мс против 24 мс», холодный корпус акта 4) = 96.2%, тогда как 83% и мой независимый ≈80% — с вакуумированного корпуса. То есть носители меряли РАЗНОЕ и все честны. Свести указанием УСЛОВИЙ замера при каждом числе, оставив нормативным один (миграция 00022 — она их и несёт); удалять «96%» как фантом НЕЛЬЗЯ.
-11. **У материализатора нет ПОЛА на пустой манифест — латентная потеря всего текста книги.** `internal/readmodel/readmodel.go:215-232` строит `in.Chapters` только из `manifest.Chapters` и ни разу не сверяется со счётчиками того же документа (`ChaptersTotal`/`UnitsTotal` лежат рядом и печатаются в лог строкой ниже). Пустой список едет в `SaveStructure`, где `pgstore/readmodel.go:193-196` выполняет `delete from chapters where book_id = $1 and not (id = any($2))` — на пустом массиве предикат истинен для ВСЕХ глав, и каскад `chapters → units` сносит текст; при пустом `Key` вдобавок срабатывает `changed` и уходят все `unit_resolutions` (родня строки 198). Сегодняшним движком недостижимо (`buildManifest` всегда наполняет главы, файл пишется атомарно) ⇒ фикс-лист, не блокер. **Асимметрия и есть находка:** на ИНТЕЙКЕ ровно этот случай отловлен явно и прибит мутацией (`internal/books/parse.go:134-142`, `books_test.go:1296`) — «нет глав, но работа считается» там не признаётся правдой о книге. У материализатора такого пола нет, и теста на нулевой манифест в `readmodel_test.go` тоже нет. Лечится одной сверкой `len(manifest.Chapters)` против `manifest.ChaptersTotal`.
+10. **У материализатора нет ПОЛА на пустой манифест — латентная потеря всего текста книги.** `internal/readmodel/readmodel.go:215-232` строит `in.Chapters` только из `manifest.Chapters` и ни разу не сверяется со счётчиками того же документа (`ChaptersTotal`/`UnitsTotal` лежат рядом и печатаются в лог строкой ниже). Пустой список едет в `SaveStructure`, где `pgstore/readmodel.go:193-196` выполняет `delete from chapters where book_id = $1 and not (id = any($2))` — на пустом массиве предикат истинен для ВСЕХ глав, и каскад `chapters → units` сносит текст; при пустом `Key` вдобавок срабатывает `changed` и уходят все `unit_resolutions` (родня строки 198). Сегодняшним движком недостижимо (`buildManifest` всегда наполняет главы, файл пишется атомарно) ⇒ фикс-лист, не блокер. **Асимметрия и есть находка:** на ИНТЕЙКЕ ровно этот случай отловлен явно и прибит мутацией (`internal/books/parse.go:134-142`, `books_test.go:1296`) — «нет глав, но работа считается» там не признаётся правдой о книге. У материализатора такого пола нет, и теста на нулевой манифест в `readmodel_test.go` тоже нет. Лечится одной сверкой `len(manifest.Chapters)` против `manifest.ChaptersTotal`.
-10. **`PD-327` в регистре стоит `open`, а канон 0.4.0 РАТИФИЦИРОВАН** (D39.152) — то есть условие её закрытия наступило. Закрыть строку регистра явно; сегодня расхождение видно скриптом (`counts.py --check` печатает PD-327 среди открытых), и это ровно тот класс, ради которого регистр объявлен источником истины по статусу.
+11. **`PD-327` в регистре стоит `open`, а канон 0.4.0 РАТИФИЦИРОВАН** (D39.152) — то есть условие её закрытия наступило. Закрыть строку регистра явно; сегодня расхождение видно скриптом (`counts.py --check` печатает PD-327 среди открытых), и это ровно тот класс, ради которого регистр объявлен источником истины по статусу.
+
+12. **Изоляция читающих чтений НЕ ЗАПИНЕНА (аудит 21.08, посадка мутации).** Снятие `RepeatableRead`+`ReadOnly` у `inReadTx` (`internal/pgstore/credits.go:492-493`) проходит ВСЮ батарею — при том, что под этим инвариантом лежат шесть ручек выдачи, а носитель прямо объясняет цену («every frame in that window was lost for good», `books.go:684-688`, PD-163). По вашей же норме PD-1 свойство без пинящего теста считается НЕ закрытым — а это тот самый класс, которым я мерил найденную дыру с `emitFrame`. Код приехал НОВЫМ в P7, то есть лежал внутри диффа, который читали шесть линз приёмки и я сам.
+
+13. **`CreditHeldBy`: оговорка `and book_id <> $2` не запинена (аудит 21.08, посадка мутации).** Мутант, снимающий её, проходит батарею: пин, который выглядит покрывающим, её ни разу не исполняет — в фикстуре у исключаемой книги холда НЕТ (`internal/pgstore/credits_test.go:443-465`). Сумма кормит контрактный `blocked`, и раздутая сумма отправляет пользователя гасить прогон, который ничего не освободит — ровно тот вред, против которого написан комментарий над самим запросом (`credits.go:393-397`).
 
 ### Что ушло в ЕДИНЫЙ бэклог (движок/шов/контракт — ваши строки туда не заходят, D39.84)
 
@@ -378,7 +382,7 @@
 
 ### Ратификации, которые вас касаются
 
-**Контракт 0.4.0 РАТИФИЦИРОВАН (D39.152)** — PD-327 закрывается лендингом канона, он состоялся. ⚠ Ваш клейм «ломающая правка ровно одна» верен для диффа генерённых ТИПОВ и неточен поведенчески: против 0.3.0 расходятся ЧЕТЫРЕ места (`stop_requested` · тождество интейка по содержимому против дословного «never over the bytes themselves» · `409` там, где таблица резюма говорит `202` · валидатор на двух ручках сверх объявленных). Все четыре 0.4.0 благословляет, поэтому цена уплачена ратификацией — но клейм в отчёте стоит поправить, чтобы следующая приёмка не опёрлась на него.
+**Контракт 0.4.0 РАТИФИЦИРОВАН (D39.152)** — PD-327 закрывается лендингом канона, он состоялся. ⚠ Ваш клейм «ломающая правка ровно одна» верен для диффа генерённых ТИПОВ и неточен поведенчески: против 0.3.0 расходятся ПЯТЬ мест — пятое, семантика `410 Gone`, принесена проверкой записей и названа вашим же PD-253 (`stop_requested` · тождество интейка по содержимому против дословного «never over the bytes themselves» · `409` там, где таблица резюма говорит `202` · валидатор на двух ручках сверх объявленных). Все четыре 0.4.0 благословляет, поэтому цена уплачена ратификацией — но клейм в отчёте стоит поправить, чтобы следующая приёмка не опёрлась на него.
 
 **Оговорка про пер-термные решения расширена на ВСЮ ручку** (была только на `decline`): инертны одинаково и `approve`, и `dst`. Оговорка временная — снимается исполнением строки 199(а).