Move an obligation out of a channel that dies into the line that outlives it: the new flag reason must ship with the platform mirror in one act

docs/PROGRESS.md

@@ -348,7 +348,7 @@
 | 288 | ⛔ **«ПОПРАВИЛ ЧИТАТЕЛЯ, ОСТАВИЛ ПИСАТЕЛЯ» — ЕЩЁ ОДНО ПОЛЕ РЯДОМ, и оно бьёт в цель №2.** Сессия прибила читателя `classifyInputFor` и писателя `SetSourceScripts`; СОСЕДНЯЯ строка того же `defer` в `loadLangPack` — `backend/internal/pipeline/runner.go`, греп `CompileCheckersFor(r.pack, lang.TargetChecksFor` — не прибита ничем. **Предъявлено посадкой верификатора:** подмена `TargetChecksFor(r.Book.TargetLang)` на `TargetChecksFor("ru")` оставляет ВЕСЬ пакет `pipeline` зелёным (`ok 65s`). ⇒ Книга на →ja с включённым санитайзером компилировала бы РУССКИЕ паттерны читаемости: ложные `sanitizer_defect`, а ложный флаг ЭСКАЛИРУЕТ — это платные хопы за здоровый текст. От этой строки зависят `TargetActive()`, ёфикатор и латинский гард. Пин строится тем же двухкнижным приёмом, что и у `SourceScripts` | бэкенд | скоро | пин писателя целевых чекеров двумя книгами | верификатор приёмки 05.09, посадка вне карты отчёта |
 | 289 | ⛔ **ДВЕ ВЕТКИ `CheckKeys` ДАЮТ ПРОТИВОПОЛОЖНЫЙ ОТВЕТ НА ОДИН И ТОТ ЖЕ КОНФИГ, а новый тест закрепляет лейбловую на фикстуре, где её собственная посылка ЛОЖНА.** Безлейбловая ветка требует ключ хопа ТОЛЬКО при `Escal.BudgetUSD > 0` (и это ратифицировано комментарием); лейбловая берёт `ReachableModels()`, куда `ResolvedHop` попадает БЕЗУСЛОВНО. При бюджете 0 хоп в рантайме не стреляет никогда. Зонд верификатора: одна стадия с `escalate_to` на провайдере без ключа, бюджет 0 ⇒ безлейбловая `nil`, лейбловая `missing API keys`. ⚠ Что внёс `74ffe4f`: кейс «the stage's escalation hop» и `why` записи `WB65` («a labelled run CALLS its escalation hop») стоят на фикстуре БЕЗ бюджета — то есть тест ПИНИТ требование ключа для модели, которую этот прогон вызвать не может. **Зеркало класса, который пак сам и нашёл: пин на «достижима» не есть пин на «вызывается».** Лечится либо бюджетом в фикстуре, либо приведением веток к одному правилу | бэкенд | скоро | свести ветки к одному правилу ЛИБО починить посылку фикстуры | верификатор приёмки 05.09, зонд вне карты |
 | 290 | **ARM 1 нового теста банкноты проходит ВАКУУМНО, если каталог пары переедет — класс `WB41`, названный самой сессией.** Тест вписывает `langpack_root`, но не проверяет, что пак ЗАГРУЗИЛСЯ (`r.pack != nil`). Предъявлено: с несуществующим корнем все три плеча зелёные, а посадка `WB58` (снятие плеча контраста) **ПЕРЕЖИВАЕТ**. То есть красный `WB58` держится не тестом, а наличием каталога на диске. Лечение — посылка о состоянии пака в самом тесте. ⚠ Тот же класс: **тест исчерпаемости флагов слеп ещё на ДВЕ формы** сверх найденной первым верификатором — `var X = FlagReason("…")` на уровне пакета и `const` ВНУТРИ тела функции: обе посадки прошли, ни пол `found < 15`, ни сверка с картой не сработали (объявлено 17, найдено 16, карта 16). Итого форм пять, тест держит две, комментарий обещает «обе» | бэкенд | скоро | посылка о загрузке пака + покрыть или сузить обещание исчерпаемости | верификаторы приёмки 05.09 |
-| 291 | ✅ **РЕШЕНО ВЛАДЕЛЬЦЕМ 05.09 (`D39.204`): деградировать во ФЛАГ, отличный по причине от исчерпания регенераций; текст попытки 0 оплачен и отгружается, волна идёт дальше. Вариант «минимальная покупка ≥ `step_max_usd`» СНЯТ — он стоил бы покупателю входного порога в пять глав. ⚠ Работа СВОИМ паком движка (правка пути ошибки в `stagerun.go` + новая причина флага + пин «купленное доставлено ⇒ не `exit 4`»), в принятый пак не дописывается.** Ниже — разбор, по которому решали. **ОТКАЗ РЕЗЕРВАЦИИ НА РЕТРАЕ НЕ ДЕГРАДИРУЕТ И НЕ ОСТАВЛЯЕТ СЛЕДА — юнит может заклинить НАВСЕГДА, а волна не может продолжиться без дыры.** `maxTokensForAttempt` удваивает бюджет на каждой регенерации (`backend/internal/pipeline/disposition.go`, греп `maxTokensForAttempt`), так что attempt 1 резервирует вдвое больше attempt 0. Отказ ретрая уходит наверх из цикла попыток (`backend/internal/pipeline/stagerun.go`, греп `return nil, err` в цикле попыток) **РАНЬШЕ `UpsertChunkStatus`** ⇒ чекпойнт attempt 0 есть (реплей за $0), **строки `chunk_status` НЕТ**, читающие модели видят юнит как `pending`, экспорт не отдаёт ничего. **Следствия два.** (1) Если потолок покупки не вмещает attempt 1 — юнит не доделается НИКОГДА: каждый резюм реплеит attempt 0 за $0 и умирает на attempt 1, прогон уходит exit 4 при ПОЛНОСТЬЮ доставленных купленных юнитах. (2) Продолжить волну после отказа ретрая нельзя без ДЫРЫ в непрерывном префиксе — то есть цена глобальной защёлки (недодача юнитов, которые влезали; разброс резервов внутри волны замерен ×2.976) различителем «свежий/ретрай» НЕ снимается. ⚠ **Оркестратор предлагал такой различитель на посылке «ретрай оставляет ФЛАГОВАННЫЙ юнит» — посылка ЛОЖНА, опровергнута зоной по строкам.** **Два пути лечения, ВЫБОР НЕ СДЕЛАН:** (а) отказ ретрая деградирует во флаг attempt 0 — смена `D2.3`, закрывает ОБА следствия; (б) минимальная покупка платформы ≥ `step_max_usd` движка (он включает ретраи именно поэтому) — закрывает только (1) и стоит продукту минимальной покупки ~5 глав | бэкенд+платформа | скоро | выбор владельца между (а) и (б) + пин | бэкенд-сессия денежного стопа 05.09, формулировка зоны |
+| 291 | ✅ **РЕШЕНО ВЛАДЕЛЬЦЕМ 05.09 (`D39.204`): деградировать во ФЛАГ, отличный по причине от исчерпания регенераций; текст попытки 0 оплачен и отгружается, волна идёт дальше. Вариант «минимальная покупка ≥ `step_max_usd`» СНЯТ — он стоил бы покупателю входного порога в пять глав. ⚠ Работа СВОИМ паком движка (правка пути ошибки в `stagerun.go` + новая причина флага + пин «купленное доставлено ⇒ не `exit 4`»), в принятый пак не дописывается.** ⛔ **ОБЯЗАТЕЛЬСТВО, БЕЗ КОТОРОГО ПАК НЕПОЛОН: новая причина флага выходит ОДНИМ АКТОМ С ПЛАТФОРМЕННОЙ ПОЛОВИНОЙ.** Карта заметок платформы РУКОПИСНАЯ (`platform/internal/ingest/notes.go`) и уезжает независимо от словаря движка; цена несделанного замерена — `PD-246`/эррата 04.09-в: минор 0.10.0 сутки жил ЛОЖНЫМ на проводе, причина доезжала читателю как `unspecified`, поймала это зона своей пере-проверкой ПОСЛЕ слов оркестратора «приёмка закончена». ⇒ промт этого пака обязан назвать ОБЕ зоны, а акт — предъявить зеркало. ⚠ Записано СТРОКОЙ, а не каналом, по слову сдавшей зоны: «`/tmp/textmachine-channel` не переживает рестарт — это в него и заложено», и обязательство, живущее в переписке двух сессий, умирает вместе с ними. Ниже — разбор, по которому решали. **ОТКАЗ РЕЗЕРВАЦИИ НА РЕТРАЕ НЕ ДЕГРАДИРУЕТ И НЕ ОСТАВЛЯЕТ СЛЕДА — юнит может заклинить НАВСЕГДА, а волна не может продолжиться без дыры.** `maxTokensForAttempt` удваивает бюджет на каждой регенерации (`backend/internal/pipeline/disposition.go`, греп `maxTokensForAttempt`), так что attempt 1 резервирует вдвое больше attempt 0. Отказ ретрая уходит наверх из цикла попыток (`backend/internal/pipeline/stagerun.go`, греп `return nil, err` в цикле попыток) **РАНЬШЕ `UpsertChunkStatus`** ⇒ чекпойнт attempt 0 есть (реплей за $0), **строки `chunk_status` НЕТ**, читающие модели видят юнит как `pending`, экспорт не отдаёт ничего. **Следствия два.** (1) Если потолок покупки не вмещает attempt 1 — юнит не доделается НИКОГДА: каждый резюм реплеит attempt 0 за $0 и умирает на attempt 1, прогон уходит exit 4 при ПОЛНОСТЬЮ доставленных купленных юнитах. (2) Продолжить волну после отказа ретрая нельзя без ДЫРЫ в непрерывном префиксе — то есть цена глобальной защёлки (недодача юнитов, которые влезали; разброс резервов внутри волны замерен ×2.976) различителем «свежий/ретрай» НЕ снимается. ⚠ **Оркестратор предлагал такой различитель на посылке «ретрай оставляет ФЛАГОВАННЫЙ юнит» — посылка ЛОЖНА, опровергнута зоной по строкам.** **Два пути лечения, ВЫБОР НЕ СДЕЛАН:** (а) отказ ретрая деградирует во флаг attempt 0 — смена `D2.3`, закрывает ОБА следствия; (б) минимальная покупка платформы ≥ `step_max_usd` движка (он включает ретраи именно поэтому) — закрывает только (1) и стоит продукту минимальной покупки ~5 глав | бэкенд+платформа | скоро | выбор владельца между (а) и (б) + пин | бэкенд-сессия денежного стопа 05.09, формулировка зоны |
 | 292 | ⛔ **ЧЕСТНОСТЬ ТРЁХ СТРОК НАБЛЮДАЕМОСТИ — ЖИВАЯ ПОЛОВИНА (б) ЗАКРЫТОЙ СТРОКИ 105, заведена 05.09 отдельным носителем.** Закрытие 105 сняло только половину (а) — предикат `isBankRole`; половину (б) чинить никто не заказывал, а на неё ссылались ДВА носителя как на «до фикса 105». Три дефекта, все воспроизведены: **(1)** строка `VOICE` берёт `rules=` из конфига ВРЕМЕНИ ОТЧЁТА (`backend/internal/pipeline/quality.go`, греп `rules=`), поэтому включение `gates.voice` ПОСЛЕ прогона печатает «измерено, чисто» для книги, которую никто не мерил; **(2)** та же строка печатается при ВЫКЛЮЧЕННОМ гейте, если `SpoilerLeaks>0` — поведение верное, неверна формулировка отчёта; **(3)** знаменатель `BANKNOTE` = `len(states)` вместе с призрачными строками `retrieval_state`, тогда как соседний агрегатор их фильтрует ⇒ после пере-чанковки покрытие ЗАНИЖАЕТСЯ. ⚠ Цена молчания прямая: отчёт говорит «измерено», когда не мерили, — это ложь читателю в том самом месте, куда смотрят, решая, готова ли книга. Печатает `cmd/tmctl/render.go` (греп `rules=`), пин — `render_observability_test.go`. | бэкенд | скоро | правка формулировки + знаменателя + тест на «включил гейт после прогона» | D39.86, D39.200; археология — `architecture/13-tech-debt-anchors.md` §Б-105 п.(б) |
 | 293 | ⛔ **ФАЙЛ ПОД ЛЮБЫМ КАТАЛОГОМ `books/` НЕВИДИМ ДЛЯ GIT — `git status` его не показывает, `git add` молча не берёт, и сдающая зона теряет работу, не заметив.** Предъявлено 05.09 платформенной сессией и проверено оркестратором до лендинга: `git check-ignore -v platform/internal/books/counter_test.go` → `<git-common-dir>/info/exclude:9:books`. **Причина: правило `books` в `.git/info/exclude` НЕЯКОРЕНО**, а gitignore без ведущего `/` ловит каталог с этим именем на ЛЮБОЙ глубине. ⚠ Неякорность ОСМЫСЛЕННА и снимать её нельзя не думая: `books` в связанном рабочем дереве — СИМЛИНК, а трекнутое правило `/books/` матчит только каталоги (комментарий стоит там же). ⚠ **Почему это не поймал никто:** тронутые файлы того же каталога в `git status` ВИДНЫ (игнор действует лишь на неотслеживаемое), поэтому пропажа не читается глазами; а `git commit -- <путь>` untracked роняет и без игнора. Замер: без `git add -f` уехал бы 31 файл из 32. **Лечение — не «поправить exclude»:** файл ОБЩИЙ для всех рабочих деревьев клона, включая полигонное, и менять семантику игнора под живыми сессиями нельзя. Формы, между которыми выбирать: (а) якорить правило под КОНКРЕТНЫЙ симлинк (`/books` в корне дерева) и проверить, что симлинк по-прежнему игнорируется во ВСЕХ деревьях; (б) оставить как есть и завести проверку лендинга — `git status --ignored --short <зона>` перед каждым актом. | оркестратор | скоро (гигиена лендинга, $0) | выбор формы + проверка во всех воркtree | предъявлено платформенной сессией 05.09; проверено исполнением при лендинге `7e2226a` |
 | 294 | ⭐ **ФОРМА «СКОЛЬКО ДОБАВИТЬ» — решение владельца 05.09, ратифицировано `D39.203`.** Наружу вместо «сколько не хватило на ЭТОТ вызов» едет **«сколько добавить, чтобы прошёл ЛЮБОЙ следующий»** = `max(shortfall, step_max − headroom)`: сегодняшняя недостача закрывает текущий вызов, а следующий может быть крупнее, и человек доплачивает дважды. ⚠ **НЕ однострочник, и объявлять его дешёвым было бы ошибкой** (зона дешевизну не подтвердила): новая величина · **ПЕРЕИМЕНОВАНИЕ поля** — `shortfall_micro_usd` станет ложным именем, кандидат `top_up_micro_usd` · минор `StreamVersion` 1.3→1.4 · зеркало словаря у платформы · пере-снятие пина белого списка кадра `ceiling`. ⚠ Построенное поле НЕ ложно, оно у́же: закрывает вызов, а не следующий шаг | бэкенд+платформа | скоро | новая величина + переименование + минор потока | **D39.203**; тензия п.(3) против п.(4) заказа найдена зоной движка |

docs/architecture/05-decisions-log.md

@@ -2397,6 +2397,17 @@ Gemini как построенный (его в `internal/llm/` нет) · дв
 
 **6. Замеры и приборы.** `--stat` даёт ЗАТРОНУТЫЕ строки; «сколько добавлено» — только `--numstat`. Инструмент, чей отказ даёт ПУСТОЙ выход, обязан печатать РАЗМЕР рядом с вердиктом. Отрицание сопровождается КОМАНДОЙ, воспроизводимой другим (греп с `|` требует `-E`). **Сходимость «чистая дельта файла = сдвиг самого нижнего якоря» — ТРЕВОЖКА, а не прибор:** импликация односторонняя в обе стороны (сошлось ⇒ про число ханков ничего; РАЗНЫЕ сдвиги ⇒ ханков ≥2, доказательно), выход всегда «иди мерь», никогда «вот причина»; мерит по-настоящему перегреп токена. **«Покрыть нечем» — ЗАМЕР, а не мнение, и стоит одной попытки.** **Линт якорей в чужие доки — гейт ЛЕНДИНГА, а не сессии:** на грязном чужом дереве у вопроса нет определённого ответа, и называть результат («транзиент» либо «долг») значит выдавать неопределённость за замер.
 
+**6-бис. КООРДИНАЦИЯ, ЖИВУЩАЯ В КАНАЛЕ, А НЕ В АРТЕФАКТЕ, — не координация.** Оркестратор взял с зоны
+обещание «предупреди, когда возьмёшься», забыв, что по `CLAUDE.md` отработавшей сессии второй пак не
+выдаётся: адресат обещания — сессия, которой за эту работу НЕ СЯДЕТ, а сядет новая, не видевшая
+разговора. Поймала это ЗОНА, проверив строку бэклога и предъявив, что обязательства в ней нет.
+⇒ **Обязательство переносится в СТРОКУ тем же движением, каким его произносят.** То же различение, что и
+у токенной формы якоря: **дешевле проверять, чем помнить.**
+⚠ **И замер посылки делается на стороне, БЛИЖНЕЙ К РЕШЕНИЮ.** Формулировка зоны, принята дословно: её
+непроверенная посылка стоила бы одной неверной строки в отчёте, оркестраторская — дошла бы до решения
+владельца. Обязанность проверять не снимается ни с кого, но ЦЕНА промаха растёт к решению, и распределять
+усилие надо по цене.
+
 **7. Ратификация и передача довода.** Замер, попавший в ПОСЫЛКУ ЗАКАЗА, — стоп и вопрос владельцу, а НЕ артефакт под подпись (нарушено оркестратором 05.09 и отозвано в тот же день). **Ратификация, приносящая зоне готовый довод, обязана нести и КОМАНДУ, которой он проверяется**; зона обязана эту команду прогнать, кем бы довод ни был принесён. ⚠ **Норма О НОРМАХ, объясняющая, почему половина написанного здесь не сработает: правило, требующее БДИТЕЛЬНОСТИ, исполняется ровно настолько, насколько бдительность есть; правило, снижающее ЦЕНУ проверки, исполняется.** По этому критерию из всего списка выживают немногие — сходимость дельты, «ратификация несёт команду», «якорь резолвится ровно один раз», «размер рядом с вердиктом»: все они дают КОМАНДУ, а не призыв.
 
 **8. Приёмка как механизм.** Промт, называющий верификатору КОММИТ (D39.172), обязан выдавать ему ГОТОВЫЙ ПУТЬ отдельного рабочего дерева (`git worktree add <путь> <коммит>`), а не только запрет `checkout`: запрет уже стоял (`ORCHESTRATOR_SESSION_PROMPT.md`, греп `state-changing git`) и не сработал на 22 агентах. ⚠ 05.09 общее дерево оказалось отцеплено на судимый коммит, следующий коммит оркестратора ушёл мимо ветки, и заметила это ЧУЖАЯ зона; **актор не установлен, и запись «переключил верификатор» снята как вывод, поданный за замер.** Симптом был виден за полчаса — верификатор доложил «появились чужие незакоммиченные правки трёх файлов `docs/`», и это отпечаток «HEAD на коммите, файлы на ветке»; отпечаток не был опознан. **Дешёвый механизм, которого не было: одна строка в pre-commit — `git symbolic-ref -q HEAD >/dev/null || exit 1`**.