87 KiB
Архив хроники — закрытые бэкенд-записи эры №16–17: эмиттер шва · tmctl migrate · пере-пин цен DeepSeek (14–15.08.2026)
⚠ АРХИВ (вынесено D39.139, 16.08). Все три пака ИСПОЛНЕНЫ, ПРИНЯТЫ и залендены (D39.131 · D39.134 · D39.137); здесь их отчёты-записи и записи приёмок дословно. Остатки строк — в едином бэклоге (172-остаток · 176 · 177 · 180 · 181). Инструкции отсюда не исполнять.
Пак «эмиттер шва» (строки 103 + 135 + 165 + PD-196) — исполнен, дерево на лендинг (14.08)
Зона backend/ только; чужого не тронуто (git status в начале: чужие docs/POLYGON_EXP2223_REDO_SESSION_PROMPT.md, docs/README.md, docs/experiments/23-editor-tier.md — не трогал). Пак $0: ни одного платного вызова, всё на фикстурах и фейках.
§0. Комплектность против промта, пункт за пунктом.
| Пункт промта | Статус | Где |
|---|---|---|
| 1. Четыре развилки дизайна, решены ДО кода | сделано | §1 (формат · PD-60 · fsync · формула outbox) |
2. Эмиттер events.jsonl (103): hello/seq/повторимость/словарь/деньги/сброс буфера |
сделано | §2, §3 |
| 3. Событие потолка + различимые exit-коды (165, PD-113, PD-196) + день-потолок (PD-157) | сделано | §4 |
| 4. Гейт потолка пер-вызов (135) | сделано + оспорена посылка дока | §5 |
| 5. Внешний trace-контекст (102) — «если ложится единичным касанием» | взято | §6 |
Дифф словаря против events.go |
сделано, 6 позиций, п.4 — запрос к платформе | §3 |
Сверка с research/23 §2 (оговорка нормдока §7 п.1) |
сделано, расхождений нет | §3а |
Батарея EXIT=0 вкл. -race, счётчик тестов вырос, удалённых 0 |
сделано | §7 |
| Тесты пака, каждый падает на сломанном коде | сделано, 8/8 мутаций CAUGHT | §7 |
| Сквозная проба настоящим читателем платформы в КОПИИ зоны | сделано | §7 |
| Голден/снапшот-нейтральность | доказана | §7, §7а(2) |
| Мандат самопроверки: ревью ИСПОЛНЕНИЕМ | сделано (мутации · крэш-тест · сквозная проба · батарея) | §7 |
Мандат самопроверки: адверсариальное ревью диффа author≠reviewer |
ИСПОЛНЕНО НЕ ПО БУКВЕ — ревьюером был автор, независимого контекста не было | §7 |
| Предметные оси D39.120 (общность · деньги/детерминизм · транзакционность) | сделано | §7а |
| Открытые вопросы оркестратору | 3 | §5 (эскалационный кап; формулировка строки 135/дока), §3 п.4 (фолд unit_done у платформы) |
§1. Развилки дизайна — решены до кода.
- Формат журнала — одиночный
events.jsonl, одна строка = одинwrite(2). Отвергнуто: пофайловыеevents/<seq>.jsonи CRC-фрейминг — читатель платформы построен ровно под одиночный файл (ingest/tail.go:17,runs/reconcile.go:237,runs/spawn.go:258), смена формы = согласованная правка ОБЕИХ зон. Возражение research/25 («JSONL слеп к битой записи с валидным\n») разобрано и не выжило: строка и её\nуходят одним write, поэтому рваный хвост может оставить только МЁРТВЫЙ процесс, а тейлер намеренно не двигает курсор за строку без\n— значит обрезка хвоста до последней полной строки не может укоротить файл ниже смещения живого читателя и его алярм «shrank ⇒ not append-only» не сработает. Ремонт хвоста делается один раз, при открытии, до своего hello. - PD-60 «журнал не пишется» — ДЕГРАДИРУЕМ ГРОМКО, прогон не останавливаем (позиция выбрана явно; вторая — блокировать/падать — законна и отвергнута с обоснованием). Оплаченная книга не должна умирать из-за канала свежести: деньги держат холд платформы и потолок движка, ни то ни другое от файла не зависит (D39.106 п.2), а два самых важных факта — стоп по потолку и graceful stop — дублируются РАЗЛИЧИМЫМИ кодами выхода, т.е. переживают ненаписанный журнал. Ничего не теряется: строки лежат в outbox, каждое следующее событие ре-проецирует весь незакрытый префикс, транзиентный ENOSPC/EIO самозалечивается. Не залечился — ратифицированный запасной канал
status --json. ERROR печатается один раз на переход, не на событие. - fsync: файла — НЕТ, каталога — ОДИН РАЗ при создании. Журнал есть проекция коммитов SQLite при
synchronous(NORMAL)(«survives kill -9; power loss is outside the MVP threat model»,store/store.go) — проекция не может быть надёжнее источника, поэтому fsync на событие не покупает ничего и стоит одного fsync на юнит книги в 4000 юнитов. Каталог синкается ровно там, где это что-то значит: имя файла не пере-создаётся ни одним последующим append. Закрывает NOTE D39.122. - Как «строка события в той же транзакции, что чекпойнт» легла на
internal/store. Порядок-инвариант: факт коммитится в SQLite → строка кладётся в outbox → outbox проецируется в файл. Журнал не может утверждать то, чего нет в БД (направление, которое стоило бы денег и врало пользователю). Транзакцию делит ОДНО событие —spend, внутриSettleWithCheckpoint(номер seq и суммаcommittedчитаются в той же транзакции после дебета): это единственное место, где расхождение было бы расхождением о ДЕНЬГАХ. Разбор по событиям: потеря строки безвредна дляspend(кумулятив) иprogress(присваивание) и НЕ безвредна дляunit_done(единственный считающий эффект) — для него сделан отдельный механизм (см. §2). Отвергнуто: тянуть транзакцию вUpsertChunkStatus— у юнита черновой волны нет ОДНОЙ строки (члены пишутся разными воркерами), и вычислять «волна закрыла юнит» пришлось бы SQL-запросом внутри store, чей заявленный принцип — «dumb storage».
§2. Эмиттер (строка 103). hello первой строкой, seq плотный, резюм = новый процесс со своим engine_run_id и seq с 1 в тот же файл. Строка хранится в outbox БАЙТАМИ и проецируется копией — пере-рендер с новым timestamp дал бы ErrPayloadConflict и карантин проекции. Буфера в юзерспейсе НЕТ вовсе — это и есть ответ на PD-61(а): os.Exit/log.Fatal/паника пропускают defer, а терять нечего, если ничего не удерживается (краш-пути перечислены и покрыты: SIGKILL посреди волны, os.Exit без defer, отказ файла, отказ outbox). Счётчики — в ВЫХОДНЫХ ЮНИТАХ, через ту же одну арифметику, что и status (waveShape, вынесена из status.go), иначе поток и ре-синк-канал считали бы в разных шкалах, а платформа складывает их в одну колонку.
unit_done — реестр «объявлено однажды» в outbox (once_key, строки переживают свой прогон). Ключ пишется ПОСЛЕ того, как строка легла на файл, и это несущий порядок: реестр запоминает не «строка создана», а «читатель её видел». Крэш-тест поймал реальную дыру: окно между коммитом диспозиции юнита и объявлением — не микросекунды, а миллисекунды (пост-чек, дешёвые гейты, voice, retrieval_state), и SIGKILL посреди волны терял 1–4 объявления на прогон, т.е. главу, которая НИКОГДА больше не досчитается (chapters.units_done >= units_total — вход в ChaptersLeft). После фикса — 0 потерь на 12 прогонах. Остаточное окно (строка на файле, реестр ещё не записан) даёт ДУБЛЬ, а не потерю: это ратифицированная сторона at-least-once (D39.119 п.3), и её обязан поглощать потребитель — см. дифф ниже.
§3. Дифф словаря против platform/internal/ingest/events.go (ответ зоны движка, пингом, не молча).
| # | Расхождение | Почему |
|---|---|---|
| 1 | Progress.eta_seconds ЭМИТИТСЯ, из темпа ЭТОГО прогона |
⚠ Первая редакция пака его опускала — довод «поле опционально, ре-синк его несёт» опровергнут независимым ревью и проверен по коду потребителя: обработчик progress присваивает колонку безусловно (update runs set … eta_seconds = $6 через etaOrNil, pgstore/sink.go:110-113), поэтому отсутствующее поле декодится в 0 и ОБНУЛЯЕТ оценку, которую только что записал ре-синк, — на каждой строке потока. Опустить поле ≠ оставить его в покое. Считается ин-процесс (время с начала волн ÷ юнитов, решённых этим прогоном, × остаток), без единого запроса; расхождение с книго-пожизненным средним status.go намеренно — альтернативой было не «второе мнение», а «оценки нет вовсе». |
| 2 | Ceiling += scope: book|day |
Не деньги, а КАКОЙ потолок остановил прогон. Закрывает диагностическую половину PD-157: дневной потолок платформа не выбирает и не видит, и сегодня не отличает его от своего. |
| 3 | Finished.outcome += ceiling, stopped |
В предложении clean|flagged|bank_stop|failed. Стоп по потолку не ложится ни в одно: failed — ровно то, что контракт запрещает для резюмируемого стопа (PD-113), а поток без терминальной строки делает «остановлен намеренно» неотличимым от «обрублен крэшем». stopped — то же для пойманного SIGTERM (PD-152). Сегодня безопасно: RunSink.effect на finished — no-op. |
| 4 | ЗАПРОС К ПЛАТФОРМЕ: складывать unit_done ПРИСВАИВАНИЕМ, а не инкрементом |
pgstore/sink.go:171-176 делает units_draft_done + 1. При at-least-once (ратифицировано D39.119 п.3) считающий эффект обязан быть идемпотентным у ПОТРЕБИТЕЛЯ — со стороны движка граница «файл записан / доставка отмечена» транзакцией не накрывается ничем. Событие несёт стабильную тройку (chapter, unit=leader first_chunk_idx, wave) — ровно ключ манифеста, — поэтому присваивание точно при любой доставке. То же снимает пере-счёт при redrive/--resnapshot/пере-нарезке. |
| 5 | unit_done.unit = ЛИДЕРНЫЙ индекс чанка |
Это first_chunk_idx манифеста, «the join key for every progress read» — джойнится напрямую, без догадок. |
| 6 | Чёрновая волна считается в ЮНИТАХ, не в чанках | chapters.units_total приходит из манифеста в выходных юнитах; счёт чанками разъехался бы со знаменателем. |
§3а. Сверка с research/23 §2 (оговорка нормдока §7 п.1 — «со словарём не сверялся»). Расхождений НЕТ: один JSON-объект на строку · первая строка всегда version-хендшейк · semver по terraform (минор = игнорируй незнакомое, мажор = отвергай) · дисциплина stdout (машинный канал отдельно от человеческих логов; у нас он вообще файл, а slog как был на stderr) · обязательная пара «поток + реконсиляция», консюмер идемпотентен по (run_id, seq). Единственное уточнение против §2: у нас транспорт не stdout, а файл — это уже ратифицировано D39.106 п.2 поверх D39.85, research/23 в этой части superseded, не противоречив.
§4. Строка 165 + PD-196 — shell-контракт. Занятые 0/1/2/3 не тронуты. Новое: 4 — стоп по потолку (*pipeline.CeilingHalt, типизированная ошибка, обёртывает прежний сентинел, поэтому все errors.Is-деградации хопа/репэйра/терминолога работают как были); 5 — graceful stop (в tmctl контекст прогона отменяет ТОЛЬКО signal.NotifyContext); 10–19 — ПОЛОСА ОТКАЗОВ, «отказано до всякой работы»: 10 конфиг невалиден, 11 источник нечитаем, 12 проект занят другим процессом, 19 класс, которому у этой сборки нет номера. Полоса, а не список, — это и есть «расширяемость словарём»: потребитель читает диапазон, и НЕзнакомый класс попадает в него же и читается как «отказ», а не как «упало» (интейк тогда не удаляет файл пользователя). Класс живёт в pipeline.RefusalClass, номер — в таблице cmd/tmctl/main.go. ⚠ Граница класса 11 после независимого ревью сдвинута и стала УЗКОЙ: он выдаётся ТОЛЬКО когда чтение и нарезка прошли, а книги в байтах нет. Всё остальное — 10. Довод ревьюеров принят: 11 — это вердикт, по которому интейк УДАЛЯЕТ загрузку пользователя, а отсутствующий путь, права, I/O-ошибка и даже провал декодирования конфигурационно объяснимы (декодирование ведут объявленные encoding/source_lang, то есть «байты не текст» и «ты сказал читать их не так» — одна и та же ошибка). Единственное, что движок может утверждать о ТЕКСТЕ без конфига в промежутке, — «прочли, нарезали, переводить нечего». День-потолок: решено дёшево — scope внутри ceiling (см. дифф п.2).
§5. Строка 135 — фактическая граница по коду, «было/стало» числом. Посылка дока разобрана: потолки книги/дня были пер-вызовными уже давно — Reserve вызывается на каждый свежий attempt (stagerun.go) и сверяет накопленное committed+reserved с потолками (ledger.go:44,67-72). То есть 15-money-path.md §2 п.2 («гейт сегодня на границе юнита работы») по отношению к ПОТОЛКАМ неверен — пинг оркестратору: поправить формулировку строки 135/дока. На границе юнита сидел РЕПЭЙР-суб-бюджет: одно решение spent >= budget перед циклом кандидатов, после которого юнит покупал до max_calls_per_unit свежих вызовов, и каждый параллельный воркер — столько же. Ужесточено до пер-вызовного с ЦЕНОЙ вызова (форма, которая у терминолога была всегда). Измерено на фикстуре, лог прогона: spent_usd=0.000000 next_call_usd=0.001063 budget_usd=0.0005315 — БЫЛО: вызов покупался, бюджет превышен в 2.0×; СТАЛО: 0 вызовов, дефект остаётся флагнутым (шаг опциональный), уже оплаченный репэйр по-прежнему реплеится бесплатно.
Не сделано осознанно, вопрос оркестратору: эскалационный кап escalationBudgetRemains — уже пер-вызовный (хоп = один вызов), но не ПРИЦЕНИВАЕТ его; допустимый перелёт «до одного хопа» задокументирован в коде и запинен ТРЕМЯ тестами, т.е. это ратифицированная граница, а не недосмотр. Ужесточение сломало бы их (проверено исполнением) — по CLAUDE.md «несогласие с тестом — вопрос, не правка». Ужесточать?
§6. Строка 102 — взято. TM_TRACE_ID принимается средой (не argv: argv в этой зоне намеренно свободен от идентичности прогона — PD-99), валидируется (≤64, печатаемый ASCII без пробелов), негодное ЗНАЧЕНИЕ отвергается и чеканится своё. Он же становится engine_run_id, т.е. пространство идемпотентности шва делается платформенным по построению — ровно то, что предвидит коммент events.go:75-78.
§7. Проверки исполнением. Батарея зоны целиком EXIT=0 (make battery: build · vet ×4 · gofmt · golangci-lint 2.12.2 «0 issues» · go test ./... -race -count=1), скипы: TestHelperEventsRun, TestHelperKillLoop (оба — хелпер-процессы by design). Тестов 749 → 784 (+35, удалённых 0; git grep -c "^func Test" HEAD против дерева). Голден/снапшот-нейтральность: TestGoldenDeterminism зелёный, testdata/ не тронут (git status пуст по каталогу) — snapshotID/request_hash/wire пинятся им бит-в-бит, значит эмиттер наблюдаемость, а не семантика. Мутации (каждый тест обязан падать на сломанном коде): 8/8 CAUGHT — репэйр-гейт назад в пер-юнитный · exit-код потолка схлопнут в 1 · счётчики пере-считывают реплей · progress застыл на нуле · bufio.Writer вокруг журнала (PD-61а) · ремонт рваного хвоста снят · seq съеден упавшим рендером · spend выкинут из транзакции settle. Сквозная проба с НАСТОЯЩИМ читателем платформы — в КОПИИ зоны вне рабочего дерева (D22 п.10, scratchpad/platform-copy), журнал произведён боевым tmctl translate дважды: ingest.Tail принял (hello adopted, seq=15, materialized progress:5 unit_done:4 spend:4 finished:1, регион второго процесса корректно пропущен как чужой run id); повторное чтение за курсором применяет 0 событий; подделка payload на том же seq → ErrPayloadConflict; строгий ДЕВ-декодер пайпа принял один регион целиком (14 событий после хендшейка).
⚠ Про author≠reviewer — исполнено НЕ по букве, и это пропуск, а не формальность. Ревью диффа делал АВТОР, в СВОЁМ контексте: отдельного ревьюера/свежего контекста не было, субагенты и воркфлоу не запускались (дефолт харнесса запрещает звать их без явного запроса пользователя, и сессия прочла этот запрет как побеждающий строку промта; санкция механизма в промте названа не была). Значит ровно то, ради чего требование существует — снятие контекстного закрепления и self-preference (D39.120 п.1б) — НЕ получено: свои слепые пятна изнутри не снимаются, сколько бы находок пас ни дал. Первая редакция этой записи подавала пас формулировкой «author≠reviewer», приписывая разделение, которого не было — исправлено здесь. Независимый пас ПРОВЕДЁН (см. §9), так что дыра ниже закрыта — но закрыта позже отчёта, и запись оставлена как есть. Ультраревью владельца 14.08 вторым рубежом не стало, и это установлено исполнением: облачный бандл собирает ОТСЛЕЖИВАЕМЫЕ файлы, а весь новый код пака лежит untracked (??) — internal/runevents/, pipeline/events.go, pipeline/refusal.go, store/outbox.go и все новые тесты. Ревью честно отчиталось «пакет не собирается, символов нет» (его находка bug_001) — против дерева, в котором этих файлов действительно не было; у себя go build ./... зелёный, файлы на месте, символы определены (сверено пофайлово). Корреляция точная и в обе стороны: КАЖДЫЙ файл, названный отсутствующим, — untracked; КАЖДЫЙ разобранный — tracked. Следствие для приёмки: молчание ультраревью о шве не есть свидетельство его корректности — шов оно не читало; независимый пас по эмиттеру всё ещё не проведён. Чтобы облачное ревью его увидело, файлы должны быть сначала застейджены/залендены (лендит оркестратор — сессия не коммитит). Ниже — записка-план того, что дал пас АВТОРА (5 находок, все закрыты): A1 отказ чтения диспозиций ронял оплаченный прогон вопреки собственной политике §1.2 → деградирует, счётчики просто не публикуются; A2 openEvents возвращал ошибку, которую никто не мог вернуть (мёртвая ветка и потенциальный канал «наблюдаемость останавливает прогон») → сигнатура без ошибки; A3 draftUnitOutcome перестраивал индекс чанков на КАЖДЫЙ закрытый юнит — квадратично по книге (18M операций на 4276 юнитов) → индекс строится один раз в трекере; A4 bankCallEstimateUSD держал вторую копию арифметики оценки вызова → делегирует в callEstimateUSD (одно определение — то же основание, что у attemptRequest); A5 классификация «источник нечитаем vs конфиг битый» не была запинена → три теста в internal/config.
§7а. Предметные оси самопроверки (D39.120). (1) Общность §0.1 — «заработает ли пара, которой в репо нет, без правки Go?» ДА и для событий: словарь несёт счётчики, порядковые номера, имена волн (draft/edit — роли движка, не язык), движковые enum-причины флагов и целые micro-USD; ни одной пар-, книго- или письменность-зависимой ветки в internal/runevents нет (пакет не импортирует ни lang, ни config), пара-специфика в поток не попадает вовсе. (2) Деньги и детерминизм — события не входят ни в BriefHash (канон-структура явная), ни в снапшот, ни в RequestHash: доказано зелёным TestGoldenDeterminism, который пинит snapshotID/request_hash/wire бит-в-бит, и нетронутым testdata/. Суммы едут только внутри spend, целыми micro-USD с округлением ВВЕРХ (леджер — нижняя граница), float и строковых форм на шве нет (урок PD-79); ceiling несёт факт и scope, ни одной цифры (пинится тестом, ищущим $/usd в payload); в INFO и argv деньги и id книги не добавлены. Строка повторима байт-в-байт по построению (хранится, а не пере-рендерится). (3) Транзакционная целостность outbox — краш-точки поимённо и чем покрыты: ① между коммитом факта и вставкой в outbox → unit_done объявит следующий процесс (реестр «объявлено», крэш-тест: покрытие всех unit×wave после SIGKILL); spend вообще не в окне — он ВНУТРИ транзакции settle (TestASettleThatRollsBackLeavesNeitherCheckpointNorEvent); ② между вставкой и попаданием строки на файл → строка остаётся в outbox, ре-проецируется следующим событием байт-в-байт (TestAStoredLineIsHandedBackByteForByte), при смерти процесса ключ реестра не выставлен ⇒ следующий процесс объявит заново (TestAnUndeliveredAnnouncementIsRetriedByTheNextRunAndADeliveredOneIsNot); ③ между попаданием на файл и записью в реестр → ДУБЛЬ, не потеря; at-least-once сторона, названа в §3 п.4; ④ откат транзакции с уже выданным seq → номер не тратится (TestARolledBackEventConsumesNoSequenceNumber), дыра для читателя фатальна; ⑤ смерть посреди write(2) → рваный хвост, обрезается при следующем открытии до последней полной строки (TestATornTailIsCutBackToTheLastCompleteLine), а тейлер такую строку и так не читает; ⑥ os.Exit/log.Fatal/паника → терять нечего, буфера нет (TestTheTerminalEventSurvivesAnExitThatSkipsEveryDefer, ловит посадку bufio.Writer).
§9. Независимое адверсариальное ревью (14.08, после отчёта) — и оно оплатилось. Два пасa со СВОИМ контекстом: панель из 13 агентов (6 осей → по опровергателю на ось → синтез; 25 находок пережили опровержение, 5 опровергнуто) и кросс-семейный ревьюер ДРУГОЙ модели (D39.120 п.1а — в первом заходе я его не запустил, это был мой пропуск). Обе панели независимо назвали одни и те же два несущих дефекта. Записка-план «находка → статус → улика»:
| ID | Находка | Статус | Улика |
|---|---|---|---|
| R1 | Переиспользованный TM_TRACE_ID продолжает нумерацию прошлого процесса: проекция стартует с курсора 0 и пере-дописывает весь прошлый поток, затем ставит hello на seq≠1 → тейлер отвергает хендшейк навсегда |
ЗАКРЫТО | воспроизведено мной живым бинарём: 33 строки, 15 байт-в-байт дублей, hello@16. Свежая идентичность потока + ERROR; тест + мутация |
| R2 | Частичная запись оставляет префикс строки, а ретрай дописывает ту же строку целиком → склейка, которую не чинит никакой ремонт | ЗАКРЫТО | ретрай досылает ТОЛЬКО остаток; тест на коротком писателе + мутация. Мой доккоммент «транзиентный ENOSPC самозалечивается» был ложью |
| R3 | Ремонт рваного хвоста ОБРЕЗАЛ файл ниже смещения, которое платформа сеет из stat (journalSize) → «journal shrank ⇒ not append-only» → карантин здорового резюма |
ЗАКРЫТО | сверено по коду платформы; ремонт теперь ПАДДИТ пробелами (файл монотонен по длине), тест на «не укоротился» + мутация |
| R4 | Пропуск eta_seconds не «оставляет поле в покое», а ОБНУЛЯЕТ колонку читателя на каждой строке |
ЗАКРЫТО | сверено по pgstore/sink.go:110-113; поле эмитится, тест + мутация |
| R5 | Класс 11 (по которому интейк удаляет загрузку) ловил конфиг-объяснимые отказы: неверный encoding, отсутствующий путь, права, I/O |
ЗАКРЫТО | граница сужена до «прочли и нарезали — книги нет»; 4 подтеста живым бинарём + 2 мутации |
| R6 | Отказ чтения базовой линии счётчиков глушил и unit_done — вопреки моему же доккомменту |
ЗАКРЫТО | объявление больше не зависит от счётчиков |
| R7 | Ключ реестра «объявлено» без измерения КНИГИ: две книги на одном project_db — вторая не объявляет ничего |
ЗАКРЫТО | ключ книго-скоупнут; тест на две книги + мутация |
| R8–R10 | Три ВЫЖИВШИЕ мутации в моих тестах: payload unit_done (shipped/flagged/reason) не проверялся · расположение журнала не пинилось · политика PD-60 не проверялась ничем |
ЗАКРЫТО | три теста, каждый убивает свою мутацию |
| R11 | Отказ писал в поток терминальное finished{failed}, хотя код выхода говорил «отказано, ничего не делали» |
ЗАКРЫТО | отказ не пишет терминальной строки вовсе |
| R12 | При деградации журнала каждое событие пере-читает весь непроецированный хвост (квадратично по длине деградации) | НЕ ЧИНЮ | производительность на аварийном пути; названо |
| R13 | Крэш-тест разбирает журнал сам, а не настоящим тейлером | НЕ ЧИНЮ | модуль движка не может импортировать platform/; покрыто ручной сквозной пробой в копии зоны (§7) |
| R14 | scope в ceiling не закрывает PD-157: потребитель поле игнорирует |
НЕ ЧИНЮ | это ПРЕДЛОЖЕНИЕ платформе, уже в диффе §3 п.2 |
| R15 | Два translate в одну секунду дают 1 вместо 12 (коллизия имени бэкапа по секундной метке маскирует класс «занято») |
НЕ ЧИНЮ | преexisting дефект backupStamp, вскрыт ревью; не мой пак — оркестратору |
Перепроверено после починок: батарея EXIT=0 целиком (-race, lint 0 issues), тестов 749 → 792 (+43, удалённых 0), сквозная проба настоящим тейлером/декодером платформы пере-прогнана на НОВОМ потоке и проходит, голден не двинулся.
§10. Дофикс до лендинга (записка приёмки 14.08, три пункта).
| # | Пункт | Что сделано | Улика исполнением |
|---|---|---|---|
| 1 | EnqueueOnce шёл полным SCAN'ом мимо частичного UNIQUE-индекса |
Воспроизведено у себя: EXPLAIN QUERY PLAN на once_key = ? → SCAN events_outbox; с предикатом AND once_key <> '' → SEARCH events_outbox USING COVERING INDEX events_outbox_once (once_key=?). Взята форма «предикат в запросе» — схема не трогается вовсе (v15 остаётся как есть), партиал-индекс начинает работать. Запрос вынесен в константу onceKeyLookup, чтобы тест объяснял БОЕВОЙ запрос, а не свою копию |
store.TestTheAnnounceLedgerLookupUsesItsIndex (гоняет EXPLAIN над константой и требует USING COVERING INDEX, запрещая SCAN); мутация «снять предикат» — CAUGHT |
| 2 | PendingEvents при деградации перечитывал весь непроведённый префикс на каждое событие |
Добавлен LIMIT (батч 256) + project() крутит цикл до опустошения. На здоровом прогоне поведение прежнее (один батч), на аварийном пути стоимость события стала константой вместо длины префикса; аллокация под мьютексом ограничена батчем |
store.TestPendingEventsReturnsAtMostOneBatch; мутация «снять LIMIT» — CAUGHT |
| 3 | StreamVersion остался 1.0 при добавленном поле и двух значениях исхода |
Бампнут в 1.1 — решение явное. Правило, которое я сам цитировал, говорит «добавление поля бампает минор», а версия есть факт о БАЙТАХ на проводе, не о том, принят ли дифф словаря: оставить 1.0 значило бы, что два потока с разным содержимым объявляют одну версию. Читатель сверяет только мажор (ingest.checkVersion), поэтому бамп безопасен в обе стороны — если scope позже отклонят, снятие поля будет ещё одним минором |
сквозная проба пере-снята: тейлер принял поток 1.1 (adopted … version="1.1", materialized progress:5 unit_done:4 spend:4 finished:1), подделка payload → ErrPayloadConflict, строгий дев-декодер принял регион целиком |
После дофикса: батарея EXIT=0 (-race, lint 0 issues), тестов 749 → 794 (+45, удалённых 0), голден не двинулся.
§8. Открытое / грабли для приёмки. (а) Миграция v15 поднимает пол схемы: OpenReadOnly громко отказывает БД старее бинаря, а платформа читает status --json ПЕРЕД спавном (bookMeter) ⇒ на апгрейде движка над старой книгой первый status упадёт, пока не отработает write-команда. Свойство преexisting для любой миграции, но у платформы теперь есть путь, который на него наступает — назвать вслух, лечить не в этом паке. (б) redrive удаляет строки диспозиций ДО прогона, поэтому базовая линия счётчиков окажется ниже, чем в прошлом прогоне: progress честно уедет вниз на число сброшенных юнитов (работа действительно отменена); unit_done при этом НЕ пере-объявляется (реестр). (в) Объём: 2 строки на юнит на волну (unit_done+progress) + spend на каждый платный вызов ⇒ ~6 строк на юнит (замерено на пробе: 2 юнита → 15 строк) ⇒ на 4276-юнитной книге ~26k строк (~4 МБ) и столько же мелких SQLite-транзакций; при WAL/NORMAL это единицы секунд, но цифра названа. (г) Пере-нарезка книги минтит новые id юнитов ⇒ новые ключи реестра ⇒ юниты будут объявлены заново; у платформы главы в этот момент и так пере-материализуются — за ней решение, сбрасывать ли счётчики глав.
Микро-касание «tmctl migrate» (строка 174 — деадлок деплоя v15) — исполнено, дерево на лендинг (14.08)
Зона backend/ только (git status в начале и в конце; чужие docs/POLYGON_EXP2223_REDO_SESSION_PROMPT.md, docs/experiments/23-editor-tier.md, eval/*, frontend/*, platform/* не трогал — платформенные читал read-only). $0: ни одного платного вызова, ни одной сетевой ручки. Промт закрывает §8(а) собственной приёмки эмиттер-пака.
§1. Что построено.
tmctl migrate --config book.yaml(cmd/tmctl/migrate.go) — write-open проекта БЕЗ прогона черезstore.Migrate(flock → шовbeforeApply→ миграции →recoverReservations) → печатьschema vN -> vM/already at schema vM/created … at schema vM. Ни LLM, ни сети, ни ключей, ни денег.- Конфиг-стек минимальный — только
config.LoadBook(прецедентbackup):LoadModelsотказывает конфигу с ценами старше 120 дней (строка 146), и $0-миграция поверх полного стека воспроизвела бы ровно тот деадлок, который лечит. Проверено исполнением: с ценами 200-дневной давностиstatus= 10,migrate= 0; безmodels.yamlвообще — то же. - Типизированный отказ схемы:
store.SchemaMismatchError{Path,Found,Expected}вместо двух прозаических ошибокOpenReadOnly(обе стороны + «файл есть, но не применено ничего» = v0, раньше это был exit 1 «проект сломан»). Классpipeline.RefusalSchemaMismatch→ exit 13 в полосе 10–19; в тексте стабильный машинный токенschema_mismatch found=N expected=M. Классификация store-открытий сведена в ОДНУ экспортированнуюpipeline.RefuseStoreOpen(её зовут иopenRunner, иmigrate); неопознанный отказ остаётся вне полосы (exit 1) — полоса обещает «ничего не произошло», и по ней потребитель ЖДЁТ, а не чинит. - Расширение сверх буквы промта, называю явно: write-путь тоже ОТКАЗЫВАЕТ БД новее бинаря (
store.migrate, доrecoverReservations). РаньшеOpenоткрывал её молча и писал в неё кодом, который её схемы не знает, — при том что read-only путь ровно это запрещал. Для деплоя это обязательно: иначеmigrateна такой БД «успешно» врёт и самолечение платформы («поймал 13 → migrate → повтор») уходит в вечный цикл. - Restore point — ПОД ЛОКОМ и только когда шаг реально применяется (шов
beforeApplyвstore.Migrate), имя<метка>-pre-migrate.db. Посылка промта «write-open уже делает бэкап» НЕ подтвердилась: бэкап живёт вpreflightBackupу translate/redrive.
§2. Что нашла адверсариальная панель (4 линзы × 2 опровергателя, субагенты — разрешены промтом) и что с этим сделано. Три линзы независимо воспроизвели ОДИН major, которого я не увидел: бэкап брался ДО флока и в том же секундном неймспейсе, что и платный путь. Следствия, воспроизведённые исполнением: (а) занятый проект получал полную VACUUM-копию под живым писателем и отказ 12 — и так на КАЖДЫЙ повтор; (б) повтор в ту же секунду падал с exit 1 («backup already exists») вместо 12, то есть вне полосы; (в) хуже всего — migrate → спавн прогона в ту же секунду ронял translate в его же pre-flight-гарде с exit 1, а это ровно та последовательность, ради которой команда сделана. То есть на строку 173 я наступил, хотя промт прямо просил не наступать. Исправлено швом под локом + отдельным именем; обе половины теперь закрыты тестами, которые ловят мутацию (см. §3). Ещё из панели: exit 1 на БД без schema_version (закрыто, п.3), «свойство «бэкап ДО шага» ничем не проверялось» (закрыто), «RefuseStoreOpen default-ветка без теста» (закрыто), формулировка деплой-порядка в моём README вела к миграции СТАРЫМ бинарём (исправлено), фикстура теста правит пакетную переменную migrations (restore переведён на defer). §2а. ВТОРОЙ адверсариальный заход — по ИСПРАВЛЕННОМУ диффу (38 агентов, 0 ошибок; 3 линзы × 2 опровергателя + критик полноты). Из 17 находок пережили верификацию 3, и главная — снова моя, в самом шве.
- MAJOR, найдено двумя линзами независимо, воспроизведено на 2.6 ГБ базе: шов сидел внутри общего 10-секундного
opTimeout.open()заводил ОДИН бюджет на всё открытие и отдавал его и шву, и шагам, и recovery. Бэкап — единственная работа, чья стоимость растёт с книгой; на большой книге он съедал бюджет, и первый же шаг падалcontext deadline exceeded→ exit 1 вне полосы отказов, после уже оплаченной полной копии, а повтор писал ещё одну копию (метка секундная, имена не совпадают) — деплой не сходился и заливал том. Проверено вживую агентом на бинаре из этого дерева: копия 2.5 ГБ записана, миграции нет, exit 1; повтор — ещё 2.5 ГБ. Починено: каждая фаза берёт СВОЙ бюджет (schemaBaseline·applyStepна шаг · recovery), а шов не бежит ни под каким дедлайном пакета — работа каллера, его и границы. Побочно закрыт латентный дефект: один 10-секундный бюджет на всю 15-шаговую цепочку. ТестTestTheSeamIsNotChargedToTheStoreOperationBudget(бюджет ужат до 150 мс вместо десятисекундного сна;opTimeoutсталvarради тестируемости) — мутация «вернуть общий дедлайн» ловится. - MINOR: тест на имя restore point проверял константу, а не вызов.
TestTheMigrationRestorePointNeverCollidesWithThePaidPathне звалmigrateCmdвовсе, поэтому пережил бы отказ продакшена от суффикса; связывал их только сквозной тест, зависящий от попадания в одну секунду. Переписан — гоняет реальныйmigrateCmd, снимает имя, которое выбрал продакшен, и требует, чтобы «голая» метка осталась свободной под pre-flight платного пути. Мутация «убрать суффикс на вызове» ловится детерминированно (и сквозной тест её ловит 10/10, а не «1 из 15» — измерено). - Третья находка — дубль первой другой линзой.
Правки после ревью: store/store.go, store/migrate.go + два теста; README.md, main.go, refusal.go, runner.go, cmd/tmctl/migrate.go с досмотра не менялись (сверено по патчу) — в репозиторий ревьюеры не лазили, мутации им были предписаны в копию.
§3. Проверки — исполнением, не чтением. cd backend && make battery EXIT=0 (-race, golangci-lint 0 issues), пропущены только TestHelperEventsRun, TestHelperKillLoop (хелпер-процессы; корпусные — battery-stand, стенд-данных нет). Тестов 794 → 810 (+16 функций, изменённых/удалённых tracked-тестовых файлов — 0, проверено git diff --name-only). Голден бит-в-бит (TestGoldenDeterminism зелёный): промпты, провод и снапшоты не тронуты. Мутационный прогон своего же кода (8 мутаций, все CAUGHT, дерево после — байт-идентично): бэкап вне лока → падает locked-подтест; бэкап после шагов → падает шов-тест и money-тест CLI; имя бэкапа как у платного пути → падает сквозной тест; шов на no-op → падают два; default-ветка RefuseStoreOpen в полосу → падает refusal-тест; снятие гарда «новее бинаря» → падают три; пропуск recoverReservations → падают money-тесты; From/To местами → падают пять. Живая проба на РЕАЛЬНЫХ БД стенда (копии в скрэтчпаде, оригиналы не тронуты): coldrun-a v14 (149 чекпойнтов, $0.126068) — status --json = 13 с токеном found=14 expected=15 → migrate v14→v15 → status = 0; acceptance v7 → v15 (весь ALTER-хвост v8–v14 разом); в обоих committed не сдвинулся ни на цент, чекпойнты целы, restore point лежит в ПРЕД-миграционной версии и с зелёным integrity; занятый проект (flock держит чужой процесс) — 12 дважды и каталога backups/ не появилось вовсе; БД с версией 99 — 13 в обе стороны (status и migrate), файл не тронут. Транзакционность применения ШАГА проверена тестом (сорванный шаг оставляет версию прежней и не оставляет своих объектов); формулировку уточняю по замечанию критика — закрыт именно шаг, а не весь класс «крэш посреди migrate»: повтор после срыва заново снимает restore point, и эти копии никто не подчищает. Строку 49а не чинил и новых ALTER не вводил. После правок второго захода батарея пере-прогнана (EXIT=0, lint 0 issues, голден зелёный), мутаций стало 10 из 10 пойманных (+«вернуть общий дедлайн», +«снять суффикс на вызове»), живая проба на реальных v14/v7 книгах ПЕРЕ-снята новым бинарём: те же переходы, committed тот же до цента (0.126068 / 0.408077), restore point в ПРЕД-миграционной версии, status после — 0.
§4. Деньги и PD-158 (проверено кодом и исполнением, как требовал промт). recoverReservations трогает ТОЛЬКО reserved_usd (store/store.go:226, UPDATE spend SET reserved_usd = 0 …); committed_usd не читается и не пишется, чекпойнты не трогаются. Формула потолка PD-158 (аргумент = committed + прирост, БЕЗ reserved) стоит ровно на этом свойстве и НЕ ломается: migrate перед спавном делает status честнее — leftover-reserved зануляется тем же правилом, что и у translate, и только под флоком, то есть живую резервацию идущего прогона занулить невозможно (проект занят ⇒ 12). Settle-инвариант: committed == SUM(checkpoints) командой не двигается, поэтому migrate, случившийся между выходом процесса и расчётом платформы, расчёта не искажает; reserved легитимно ноль в любой момент (advisory, восстановим).
§5. Платформе (пинг оркестратора в их журнал — их зона, я только читал). (а) Зоны сошлись на 13 независимо друг от друга (вскрыто критиком второго захода; моя прежняя формулировка «их exit.go числа 13 не знает» была неверна уже на момент написания): их живое незакоммиченное дерево P6 держит ExitSchemaMismatch = 13 (ingest/exit.go:68) и отдельную причину ReasonSchemaMismatch (books/parse.go:76,300-304) — ожидающую, загрузку не удаляющую. Движковый контракт совпал: exit 13 в полосе 10–19, класс schema_mismatch, токен schema_mismatch found=N expected=M на stderr. Сверять больше нечего — только ратифицировать (см. п. «е»). Это ровно то, чего ждёт их PD-201 (самолечение вместо стоп-мира). (б) Направление важно: found < expected — чинится migrate; found > expected — migrate тоже вернёт 13 и НЕ соврёт успехом, чинится обновлением бинаря. (в) deploy/README.md:134-148 их зоны: шаг 2 гонит migrate ДО установки нового бинаря — старый бинарь уже на своей голове схемы, значит это no-op и деадлок остаётся; порядок обязан быть «дренаж → новый бинарь на место → migrate ИМ по книгам из --migratable → прогоны». Их гейт Migratable() = !Live && !Resumable && !Unsettled (pgstore/books.go:396) с движковой стороны подтверждаю: миграция уводит файл выше запиненного бинаря попытки, поэтому сметать можно только книги без открытых попыток — это записано и в шапке cmd/tmctl/migrate.go. (г) Их же деплой-док цитирует мёртвую строку: deploy/README.md:127 приводит старый текст ошибки («schema vN … expects vM»), которого движок больше не печатает — теперь schema_mismatch found=N expected=M. (д) Дыра неверного порядка — тихая: no-op-миграция выходит с 0, поэтому сметание СТАРЫМ бинарём даёт полностью зелёный прогон при сохранившемся деадлоке; числом «мигрировал» и «уже был на голове» не различаются — это честная цена отказа от --json (см. §6). (е) Ратификация: полоса отказов в 05-decisions-log.md (D39.131 п.2а), в CURRENT-STATE PROGRESS.md:233 и в 15-money-path.md перечислена как 10 · 11 · 12 · 19 — exit 13 сейчас ЕДЕТ НЕРАТИФИЦИРОВАННЫМ в обеих зонах сразу; нужна нота или эррата оркестратора, плюс закрытие строки 174 и ближней половины 175. (ж) Откат движка после сметания стал ручным: read-only и write-пути отказывают БД новее бинаря, а tmctl restore не существует и restore point никто не подчищает — откат на старую сборку требует ручного cp бэкапа по каждой книге. Назвать в рантбуке зоны; чинить — отдельной строкой, если владелец сочтёт нужным.
§6. Чего НЕ делал (осознанно). Строку 49а не чинил (не мой скоуп; применение шага и так атомарно — доказано тестом). Секундную метку backupStamp (строка 173) не менял — свою половину вывел из-под неё именем, коллизия translate↔translate остаётся как была. --json у migrate не делал: решение платформы читается ЧИСЛОМ (0 / 12 / 13), а человеческая строка уже несёт переход — но у этого довода есть названная дыра (критик второго захода): нулём «мигрировал» и «уже был на голове» не различить, а это ровно то, что производит неверный порядок деплоя (сметание старым бинарём даёт зелёный прогон при живом деадлоке). Если платформа захочет различать программно — это машинная поверхность на одну строку, решение владельца/оркестратора. Замороженную usage-строку invocation.go не трогал (её пинит тест; backup/seed-lint в ней тоже нет — вопрос оркестратору, чинить ли разом). store.SchemaVersion завёл и УБРАЛ, когда шов сделал его беспотребительским (мёртвую ссылку на него в комментарии теста критик поймал — вычищена). Унаследованное, назвать и не чинить молча: config.LoadBook по-прежнему статит source_file/glossary_seed/mined_*, поэтому книгу с заархивированным исходником не мигрировать (exit 10), хотя деньги её БД целы — гейт на ТЕКСТ на схемной операции, преexisting; dbExists в migrateCmd определяется ДО флока (TOCTOU самоограничен: созданная в окне БД уже на голове, шов не выстрелит; удалённая — exit 1 и ничего не применено). Дерево НЕ коммитил.
Запись оркестратора №17, 15.08 — ПРИЁМКА ПАКА «tmctl migrate» ПРОВЕДЕНА, ПРИНЯТО, залендено d55edd4 (решения — D39.134). Панель 6 линз в изолированных копиях без .git (слепой вердикт по заказу+диффу · охота вне карты · пере-ран клеймов · собственные мутации · инвентарь каналов шва по уроку D39.132 · кросс-модельный текст-аудит Opus). Все 8 пере-раненных клеймов сошлись исполнением; 6/6 мутаций приёмки пойманы; вердикты всех линз — «принять». Фикс-лист ФМ (носитель состава — эта запись; строки 93/146/176/177 ссылаются): ФМ-1 комментарий migrate.go «Idempotent … no money touched» неверен на no-op (recovery зануляет leftover reserved — сам отчёт §4 это и описывает) · ФМ-2 ретрай migrate в ту же секунду после сорванного шага = exit 1 «backup already exists» вне полосы · ФМ-3 kill -9 посреди шва = рваный restore point под легитимным именем + копии не подчищаются (лечение temp+rename + подчистка) · ФМ-4 SIGINT/SIGTERM в migrate не прерывают (ctx не передан) · ФМ-5 чужой флаг (--json) парсится молча и игнорируется · ФМ-6 usage-строка invocation.go без migrate/backup/seed-lint (чинить разом касанием 176) · ФМ-7 redrive --dry-run мигрирует без restore point (обострение строки 93). Поправки к отчёту пака (чужой текст не редактирую): store.go:226 → фактически :245 · «PROGRESS.md:233» → :234, и перечень принадлежит §4 записи эмиттера, не CURRENT-STATE · deploy/README.md:127 → :131 · parse.go:76,300-304 → ветка на :315-320 · скипов батареи три, не два (TestMinerFullBookParity тоже молчит без стенд-данных) · «зоны сошлись на 13 независимо» — снято (провенанс — D39.134 п.2а) · клейм §5(в) о неверном порядке деплоя платформы был верен на 14.08 и закрыт их дофиксом P6 до приёмки. Расхождение committed ≠ SUM(checkpoints) на стендовой книге acceptance (0.40808 против 0.40537) — НЕ дефект пака: направление committed ≥ SUM легитимно после явного redrive (исключение D15.3, README бэкенда §Инварианты-1). Флейк TestKillMinus9LosesAtMostOneCall под чужой CPU-нагрузкой — известный класс, не касание пака. Живая проба «13 → migrate → 0» на стендовой книге acceptance недемонстрируема целиком из-за протухшего pipeline-acceptance.yaml (exit 10 до и после; преexisting, ровно класс строки 146).
Вендор-сессия «пере-пин цен DeepSeek» (строка 172; промт BACKEND_DEEPSEEK_REPIN_SESSION_PROMPT.md, D39.136 п.6г) — исполнено, дерево на лендинг (15.08)
Зона backend/configs/models.yaml — ЕДИНСТВЕННЫЙ изменённый файл (git status --porcelain backend/). Заход $0: ни одного платного вызова. Чужого не тронуто (на входе в дереве чужие docs/POLYGON_*, docs/experiments/23-editor-tier.md, eval/* — не трогал). Не коммичено.
§1. Вендор-факт (первоисточник, факт-чек 2026-08-15). Прогноз строки 172 вендором ПОДТВЕРЖДЁН до цента, расхождений нет. Сноска (1) прайс-страницы, дословно: «DeepSeek API pricing will be updated to peak / off-peak billing, with off-peak rates at half the peak rates. Peak hours are 01:00 - 04:00 and 06:00 - 10:00 UTC (all other hours are off-peak). The new prices take effect at 16:00 UTC on August 16, 2026» (https://api-docs.deepseek.com/quick_start/pricing, таблица там же). Анонс 13.08 (https://api-docs.deepseek.com/news/news260813): «With the V4 lineup release, we're updating our API pricing and introducing peak and off-peak rates. Off-peak rates are 50% lower than peak, enabling more flexible workload scheduling»; числа в анонсе лежат КАРТИНКОЙ — скачал её первоисточником (/img/v4_260813_price_en.png, HTTP 200, 2450×1350) и сверил с текстом страницы, сошлось.
| за 1M | flash пик | flash офф-пик | pro пик | pro офф-пик | было flash | было pro |
|---|---|---|---|---|---|---|
| input (cache miss) | $0.44 | $0.22 | $1.32 | $0.66 | $0.14 (×3.14) | $0.435 (×3.03) |
| output | $1.32 | $0.66 | $3.96 | $1.98 | $0.28 (×4.71) | $0.87 (×4.55) |
| input (cache hit) | $0.014 | $0.007 | $0.044 | $0.022 | $0.0028 (×5.00) | $0.003625 (×12.14) |
Офф-пик — РОВНО половина пика во всех шести клетках (сверено делением). Пик = 7 часов из 24 (01–04 и 06–10 UTC), офф-пик = 17 часов. Цены ЗАПИСИ в кэш нет ни на прайс-странице, ни в guides/kv_cache (кэш «enabled by default for all users») ⇒ cache_write_per_m: 0 оставлен верным. Правило вычета у вендора одно и по-прежнему плоское: «The expense = number of tokens × price». Слаги не менялись — deepseek-v4-flash / deepseek-v4-pro те же (см. §5 п.2 про ВЕСА).
§2. Что записано. Пин ПИКОМ по D39.136 (плоская схема time-based не выражает; консервативная сторона = потолок срабатывает раньше, не позже). prices_checked: "2026-07-10" → "2026-08-15". Шапка файла несёт дословную цитату сноски, оба URL, обе строки офф-пика (для будущего решения) и пометку о цене записи в кэш. ⚠ До 16:00 UTC 16.08 (≈20 ч от сдачи) таблица ОПЕРЕЖАЕТ вендора — направление консервативное (завысит, не занизит), назвал явно.
§3. Самопроверка исполнением — правка данных провод НЕ двигает. Батарея ДО правки EXIT=0 (3m01s) и ПОСЛЕ EXIT=0 (2m43s) — базовая линия снята нарочно, чтобы красноту было к чему отнести. Голден TestGoldenDeterminism PASS без пере-захвата, ни один голден/снапшот не изменён (git status backend/ = ровно один файл). Нейтральность доказана не только зеленью, но и кодом: Request (backend/internal/pipeline/render.go:270-284) поля цены не имеет, RequestHash (render.go:292-317) хеширует адресацию + провод-параметры + сообщения; snapshot.go из каталога моделей берёт ТОЛЬКО ExtraBody (:527) и ResolveCapability (:534) — цена в снапшот не сворачивается. Фикстуры тестов чинить не понадобилось: конкретные цены не пинит ни один тест (единственные литералы 0.14/0.28 — синтетический якорь internal/ledger/pricing_test.go:51,69, к models.yaml не привязан), models_catalog_test.go требует лишь >0. Шиппинговые конфиги проверены грепом: budget_usd: 0 везде (c1:135, c2:76, все три арма) — ни один потолок эскалации ростом цен тихо не обесценен.
§4. Замер вместо оценки (что рост стоит на НАШИХ прогонах). Пере-оценил сохранённые request_log трёх реальных прогонов старой и новой таблицами по формуле ledger.CostUSD. Самопроверка: пере-счёт СТАРОЙ таблицей ≡ сохранённый cost_usd с дельтой 0.00000000 на всех трёх — значит моя реализация формулы совпадает с движковой и новым числам можно верить.
| прогон | вызовов | было | ПИК | ОФФ-ПИК |
|---|---|---|---|---|
| minirun 25.07 (цепочка c1: flash-черновик + dspro-редактор) | 77 | $0.114291 | $0.476978 (×4.17) | $0.238489 (×2.09) |
| coldrun-a | 99 | $0.126068 | $0.559374 (×4.44) | $0.279687 (×2.22) |
| acceptance A (тогда редактор = glm-5) | 293 | $0.408077 | $0.653614 (×1.60) | $0.495661 (×1.21) |
Третья строка — не шум, а самое содержательное: рост бьёт по счёту ровно в меру доли DeepSeek. У сегодняшней шиппинговой c1 эта доля 100% (черновик deepseek-v4-flash + редактор deepseek-v4-pro, configs/pipeline-c1.yaml:38,76), поэтому множитель счёта — ×4.2–4.4 в пике, ×2.1–2.2 в долине. Ставку $0.03/глава (строка 166/П-10) НЕ пере-калибровал — не мой скоуп; множитель для неё замерен и лежит здесь.
§5. Доклад по time-based схеме (фактура + рекомендация; решение владельца).
Вариант 1 — консервативный пин пиком (что сделано). Кода — ноль, схема не трогается. Цена варианта названа точнее, чем в заказе: переплачивает не только резерв. Резерв транзитен (stagerun.go:431), но сеттл считает ТОЙ ЖЕ таблицей (stagerun.go:613-614) и кладёт число в чекпойнт cost_usd НАВСЕГДА (:634-638). Значит офф-пиковый прогон (17 часов из 24) записан в леджер ×2 от реального — и в отчёте пользователю, и в committed, на котором стоит потолок: потолок $X остановит прогон, который на деле стоил бы $X/2. Пост-хок починки нет — RebillConsent это согласие ПЕРЕ-ПОКУПАТЬ, а не пере-считать.
Вариант 2 — scheduler-aware волны в долины (строка 60). Что понадобится: (а) схема цен — price перестаёт быть скаляром, окна становятся ДАННЫМИ провайдера/модели (windows: [{from,to}], tz), отсутствие окон = плоская цена как сегодня; движок про DeepSeek знать не должен (мандат общности §0: «заработает ли провайдер, которого в репо нет, без правки Go?»). (б) Код — Pricer.PriceFor(model) → PriceFor(model, at), два места на денежном пути (резерв stagerun.go:431, сеттл stagerun.go:613); часов на денежном пути сейчас НЕТ, появится инжектируемый clock — иначе денежные тесты и голден станут флейкими по времени суток. (в) Планировщик — отдельная ось (сдвиг волн, дедлайны, backpressure). (г) ⚠ Дыра в вендор-факте: по какой отметке времени определяется тариф — создание запроса или завершение — вендором НЕ задокументировано (на странице только «expense = tokens × price»). При attempt_s: 240 вызов может пересечь границу окна, и планирование впритык к границе = ставка на незадокументированное поведение. По правилу двух направлений это не догадка сессии, а вопрос к вендору. Снапшот/request_hash вариант 2 НЕ двигает (цены в них не входят, §3) — пере-покупки книги не будет.
Гибрид (называю, не строю): резервировать по пику, а сеттлить по окну ФАКТИЧЕСКОГО времени вызова. Возвращает леджеру правду без планировщика (на сеттле время вызова уже известно), потолок остаётся консервативным, снапшот не двигается; цена — та же схема окон + clock в одном месте вместо двух.
Рекомендация. Пин пиком оставить как есть — он верен консервативной стороной и стоил $0. Вариант 2 целиком не начинать, пока нет (а) ответа вендора про отметку времени и (б) замера, сколько прогон реально проводит в пике. Если деньги нужны быстро, первый рычаг дешевле планировщика: операционное правило «прогоны не стартуют в 01–04 и 06–10 UTC» — долина и так 17 часов из 24, это даёт почти всё ×2 без единой строки Go, а при пине пиком остаётся консервативным (леджер завысит, не занизит).
§6. ToS — дельты НЕТ, доказано ратифицированной формой (усиление 31.07, 00-provider-quirks.md). Объявленные даты те же, что в подписанном 25.07 вердикте: Terms of Use «Last Update: March 27, 2026», Open Platform ToS «Release date: April 22, 2026 / Effective date: April 29, 2026». Но «дельты нет» доказана НЕ датой: построчный дифф живых тел против Wayback-снимков, снятых ПОСЛЕ прошлого ре-чека и ДО релиза 13.08 (ToU 20260801194102, OPToS 20260807083602) — 444 строки против 444 и 364 против 364, расхождений 0. Обе ратифицированные цитаты на месте (сверка по копии с удалёнными пробелами — та самая защита от ложных нулей): ToU §3.4(5) «is pornographic, obscene, or sexually explicit» и §3.4(6) «facilitates, promotes, incites or glorifies violence». Вердикты D39.29/D39.30 по deepseek (SE = FORBIDDEN, violence = UNCLEAR) не двигаются, интерпретации в доки не абсорбировал.
§7. Пинги оркестратору (действий не предпринимал — не мои решения).
prices_checked— одно поле на ВСЮ таблицу. Бампнув его по факт-чеку ОДНОГО вендора (как требовал промт), я сдвинул 120-дневный гейт свежести и остальным семи моделям: их дедлайн уехал с ~07.11 на ~13.12. Сделал по букве промта и называю побочный эффект вслух. Лечения два: ре-чек остальных вендоров отдельным заходом либо пер-модельная дата проверки (правка схемы — не моя зона).- Веса поехали под тем же слагом — класс D39.61. Вендор объявил
MODEL VERSION: DeepSeek-V4-Pro-0813(flash —-0731) при явном «Model names remain unchanged» (news260813), плюс новая ручка «Flexible reasoning effort for V4-Pro & V4-Flash: low … high … max» — последнее пересекается с квирк-строкой про маппинг эффорта у DeepSeek (00-provider-quirks.md— ЧУЖАЯ зона, не правил). - Ценовая посылка интерим-редактора D39.22 «dspro ×2 дешевле glm» РУШИТСЯ. Замер на 129 реальных edit-вызовах acceptance A, одна и та же нагрузка разными прайсами: glm-5 $0.337708 · dspro старый $0.106982 (в 3.2 раза дешевле) · dspro ПИК $0.424765 (в 1.26 раза ДОРОЖЕ glm-5) · dspro офф-пик $0.212382 (дешевле лишь в 1.59). Оговорка честности: это контрфактика по ОСИ ЦЕНЫ на токенах glm — собственный расход токенов у dspro иной, полной стоимостью это не является. Но направление однозначно: экономический довод, на котором стоял интерим-выбор редактора, в пике перевернулся. Решение — владельца/оркестратора.
- Вахта поведением (п.5 промта) НЕ ЗАПУЩЕНА, говорю явно. Сдача в 2026-08-15 19:43 UTC; условие промта «после 16:00 UTC 16.08» наступает через ~20 ч, и
DEEPSEEK_API_KEYв окружении сессии нет, а.envчитать запрещено гардрейлом. Риг готов и лежит в моей зоне:internal/pipeline/live_reprobe_test.go:63TestLiveClassifierHarmSet; конфиги на месте (~/books/gu-zhenren/coldrun-b/reprobe/{classify6,bank-low}/book.yaml— оба существуют). Команда для того, кто продолжит:TM_LIVE=1 TM_CLASSIFY6_N=5 TM_CLASSIFY6_CONFIG=~/books/gu-zhenren/coldrun-b/reprobe/bank-low/book.yaml go test -tags live -run TestLiveClassifierHarmSet -count=1 -v ./internal/pipeline/. Учесть при чтении результата: цена одного прогона рига выросла тем же множителем, что и всё остальное.
§8. Само-ревью вторым проходом (заказ владельца) — что оно добавило. Клеймы первого прохода пере-проверены ИСПОЛНЕНИЕМ и устояли: цены в yaml сверены с вендор-страницей машинно, а не глазами (свежий запрос → разбор таблицы → поклеточное сравнение: идентичны пиковой строке, порядок меток flash|OFF-PEAK|PEAK|pro|OFF-PEAK|PEAK подтверждает, что строки не перепутаны, офф-пик ровно половина во всех шести клетках); поля легли в те, что нужно (config/models.go:168-181 — теги 1:1, значения напечатаны из ЗАГРУЖЕННОГО файла, подмены input↔cached нет); дифф вне комментариев — ровно три строки (дата + две цены); все 16 ссылок file:line этого отчёта проверены печатью самих строк; коэффициенты пересчитаны; даты 07.11→13.12 и окна 7 ч/17 ч подтверждены счётом. Добавлены две проверки, которых в первом проходе НЕ БЫЛО: make battery-stand EXIT=0 (корпусные тесты за TM_MINER_PARITY=1 TM_CHECKER_LABELS=1) и go vet -tags live ./internal/pipeline/ EXIT=0 — live-теги читают боевой models.yaml, компилируются и цен не пинят. Ярлыки замеров §4 пере-проверены разбивкой по СТАДИЯМ, а не по имени прогона: minirun = draft flash 58 + edit dspro 16 + 3 эскалации черновика (цепочка c1 — верно); coldrun-a = draft flash 72 + terminology flash 21 + 2 эскалации, редакторской стадии в нём НЕТ; acceptance A = edit glm-5 129 + draft flash 162. Но ревью нашло две вещи, которых в первом проходе не было, и обе про деньги:
- Проекция пере-покупки после 16.08 ЗАНИЖАЕТ — инверсия заявленного самим кодом направления.
projectRebillскладывает СОХРАНЁННЫЙ историческийcost_usd(internal/pipeline/rebill.go:166), а гейт согласия сравнивает эту сумму с--accept-rebill=<usd>(:252) и с порогомmin($0.50, 5% × projected_book)(:200-211, константы:41-42). Резерв и сеттл при этом считают по НОВОЙ таблице (stagerun.go:431,:613). Значит единицы, впервые оплаченные по СТАРЫМ ценам DeepSeek, при пере-покупке стоят до ×4.4 от числа, которое оператору показали и на которое он согласился; собственный комментарий кода — «Over-estimating is the safe direction for a consent gate» (rebill.go:81) — для таких единиц перевернулся. Это не дыра в тратах:book_usd/day_usdсчитаются новой таблицей и реальный перерасход по-прежнему останавливают — врёт именно ЧИСЛО СОГЛАСИЯ, плюсprojected_book_usdуtmctl status(экстраполяция остатка книги из средней исторической стоимости юнита,rebill.go:179-195). Свойство предсуществующее, материально неверным его делает ровно смена цен 16.08. Кода не касался — не моя зона; кандидат в бэклог. - Один стендовый потолок теперь пробит тем же объёмом работы. Пере-оценил все девять стендовых книг против их
ceilings.book_usd: восемь влезают,coldrun-a— нет (book_usd: 0.25; работа стоила $0.126068, по пику $0.559374 = ×2.2 потолка). Поведение правильное — потолок и должен остановить, — но пере-прогон этой книги встретитCeilingHaltтам, где раньше доходил до конца, и следующий, кто это увидит, должен знать, что причина — цена, а не поломка. Стендовыеbook.yamlлежат в~/books(вне git и вне моей зоны) — не трогал.
Запись оркестратора №17, 15.08 — ПРИЁМКА вендор-сессии: ПРИНЯТО, залендено 76049bb (решения — D39.137). Инлайн исполнением: вендор-страница пере-прочитана НЕЗАВИСИМО (все шесть пиковых клеток, окна и дата — до цента), голден бит-в-бит и ledger/config-тесты — пере-раном, дифф вне комментариев = ровно 3 строки, поиск вне карты: fallback-якорь цены (default_model: deepseek-v4-flash) — ссылка, не литерал, переехал автоматически. Поправок к отчёту НЕТ. Пинги §7 диспозиционированы: §7.1 → строка 180 · §7.2 → вахта в остатке 172 · §7.3 → вход ратификации фазы Д (D39.137 п.4) · §7.4 → остаток 172(г); находки §8 → строка 181 и D39.137 п.2г.