---
work_item: ORCH-115
stage: architecture
author_agent: architect
status: proposed
created_at: 2026-06-16
model_used: claude-opus-4-8
---

# adr-0048: Детерминированный staging-раннер — первый реализованный срез determinization-roadmap

> **Сквозной (cross-cutting) ADR.** Агрегирует решение ORCH-115, влияющее на **весь**
> оркестратор: вводит новый компонент-leaf `src/staging_runner.py`, снимает первую
> avoidable LLM-консультацию (`deployer`/`staging-status`, A6) и переводит rank-1
> determinization-roadmap из «план» в «реализовано». Локальная детализация (все решения
> D1–D11) — `docs/work-items/ORCH-115/06-adr/ADR-001-deterministic-staging-runner.md`.

## Статус
Proposed

## Контекст

ORCH-118 ([adr-0047](adr-0047-llm-usage-policy-and-call-site-map.md)) зафиксировал
нормативную политику и карту LLM-консультаций и назвал **avoidable LLM control paths =
`{tester, deployer}`**, поставив **deployer (staging-status)** первым срезом
(`first_slice = yes`, `replace-deterministic-now`, `hybrid_needed = no`). ORCH-118 раннеры
**не реализовывал** (docs+tests). ORCH-115 — первая фактическая реализация этого среза.

Вердикт `staging_status:` на стадии `deploy-staging` сейчас эмитит LLM-агент `deployer`, но
он есть **чистый маппинг exit-кода** `scripts/staging_check.py` (infra-tolerance ORCH-061
уже внутри скрипта), а гейт `check_staging_status` детерминирован. Это удовлетворяет обоим
условиям «avoidable»: C-консультация **и** деривируемый вердикт. Прецедент детерминированной
замены агента (`launch_job`-перехват до `_spawn`, D1/D2 `deploy-finalizer`/`post-deploy-monitor`)
и эталон «детерминированный джоб → `advance_stage`» (`run_deploy_finalizer`) уже работают в
проде — архитектурный риск снят.

## Решение

**Новый leaf `src/staging_runner.py` + перехват в `launch_job` до `_spawn`** (рядом с D1/D2).
На `deploy-staging` для in-scope репо джоб `deployer` обрабатывает раннер: исполняет
staging-сюиту через `proc_group` (tree-kill, ORCH-110), маппит exit-код единым контрактом
`self_deploy.map_exit_code_to_status`, пишет `15-staging-log.md` (тот же machine-key
`staging_status:`), вызывает **существующий** `advance_stage(finished_agent="deployer")`.

Кросс-каттинговые инварианты (сохранены **байт-в-байт**):
- `STAGE_TRANSITIONS` (`src/stages.py`), реестр и имена `QG_CHECKS`/`check_*`/`_parse_*`,
  machine-verdict-ключи (`staging_status:`/`deploy_status:`/`verdict:`/`result:`/
  `security_status:`/`coverage_status:`), **схема БД** — не тронуты. Это замена *продюсера*
  артефакта, не гейта/стадии.
- Единственный транспорт LLM-консультации (`launcher._spawn`/S0,
  [llm-usage-policy.md](../llm-usage-policy.md) §5) — соблюдён: раннер **не зовёт LLM**;
  второй транспорт не вводится.
- Сквозной бюджет времени ORCH-065/109/110 (`reaper_max_running_s` > Σ(работ на ребре
  `deploy-staging`) + grace) — соблюдён **без** правки `reaper_max_running_s` (раннер-таймаут
  600s ≤ прежнего LLM-окна).
- Граница ORCH-112/ORCH-114: transition-lease берётся **внутри** `advance_stage`; раннер
  lease/гигиену не модифицирует.

Скоуп — **self-hosting only** (`staging_runner_repos=""` → `is_self_hosting_repo`), под
kill-switch `staging_runner_enabled` (off → `_spawn` LLM-deployer'а байт-в-байт). never-raise
во всех публичных функциях; **двухуровневый исход** (verdict при исполнившейся сюите; bounded
defer → fail-closed на tool-error/таймауте) убирает с staging-ребра RCA-класс ORCH-110 (инфра
≠ код-фейл).

**Эволюция карты LLM (норматив сопровождения, в том же PR — D11 локального ADR):**
`llm-call-sites.md` (A6 → реализовано детерминированно), `llm-determinization-roadmap.md`
(rank 1 deployer → реализован; инвариант «ровно один `first_slice`» цел), `llm-usage-policy.md`
(§5 — транспорт не нарушен), плюс анти-дрейф-тесты (`test_llm_call_site_inventory.py`/
`test_llm_determinization_docs.py`). Эти правки коуплены к коду → применяются в development
атомарно с реализацией, не в architecture-стадии.

## Последствия

- **+** Минус один avoidable LLM control path; первый доказанный раннер-паттерн замены
  C-консультации (опора для второго кандидата — `tester`-гибрид, rank 2).
- **+** Дешевле/быстрее/детерминированнее собственный `deploy-staging`; нет токенов/латентности
  LLM в точке ветвления.
- **+** Паттерн переиспользуем: leaf + перехват до `_spawn` + `advance_stage` — шаблон для
  будущих срезов и для Phase 2 (project deploy contract не-self репо).
- **−** Новый компонент + врезка + defer-механика. Митигейшн: never-raise leaf, kill-switch
  (fail-safe к LLM), без схемы БД, структурное покрытие.
- **Откат:** `ORCH_STAGING_RUNNER_ENABLED=false` → прежний LLM-путь на `deploy-staging`
  байт-в-байт.

## Ссылки
- Локальный ADR: `docs/work-items/ORCH-115/06-adr/ADR-001-deterministic-staging-runner.md`
- Политика/карта/roadmap: [llm-usage-policy.md](../llm-usage-policy.md),
  [llm-call-sites.md](../llm-call-sites.md), [llm-determinization-roadmap.md](../llm-determinization-roadmap.md),
  [adr-0047](adr-0047-llm-usage-policy-and-call-site-map.md)
- Прецеденты: D1/D2 (`launcher.py:389/394`), `run_deploy_finalizer` (`stage_engine.py:2010`),
  `proc_group` (ORCH-110, [adr-0042](adr-0042-merge-gate-retest-infra-tolerance-and-tree-kill.md)),
  transition-lease (ORCH-114, [adr-0045](adr-0045-transition-ownership-lease-and-stage-cas.md))
