feat(cancel): STOP-status task cancellation + relaunch-hole close (ORCH-090)

Introduce the dedicated Plane STOP status as a single declarative task-cancel
mechanism: stop the active agent (graceful SIGTERM cascade), cancel all jobs
(terminal `cancelled`, never requeued), remove the worktree + delete the remote
feature branch (never main, never force-push), drive the task to the new
system-terminal state `cancelled` and tombstone the natural keys so a later
"To Analyse" re-creates it from scratch (docs artefacts preserved). STOP during a
critical merge/deploy window is deferred until the irreversible step finishes
honestly. Also closes the relaunch hole: handle_status_start relaunch is gated to
the `analysis` stage; the only pipeline-start entry point remains "To Analyse".

Cross-cutting (adr-0026): the "task terminal" predicate is widened {done} ->
{done, cancelled} in serial_gate / task_deps / stages sink + reaper/worker
requeue guards. STAGE_TRANSITIONS exit-gates / QG_CHECKS / check_* are unchanged
(`cancelled` is a sink, not a new edge). Additive, never-raise, restart-safe,
under kill-switch ORCH_STOP_STATUS_ENABLED (off -> zero regression).

New: src/cancel.py (leaf), src/gitea.py (delete_remote_branch), tasks columns
cancelled_at/cancel_requested_at, jobs status `cancelled`, GET /queue `stop` block.
Tests: tests/test_stop_status.py (TC-01..TC-14 + D7); full suite green (1345).
Docs updated in-PR (architecture README, CLAUDE.md, README.md, .env.example,
CHANGELOG). ADR-001 D4 refinement: plane_issue_id is tombstoned too (the lookup
ORs on it) — original UUID recoverable from the parseable suffix.

Refs: ORCH-090

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

README.md

@@ -138,6 +138,8 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_RECONCILE_NOTIFY_UNBLOCK` | Telegram при разблокировке застрявшей задачи | `true` |
 | `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED` | F-1 Guard 2 (ORCH-060): пропуск задач в Plane-статусе Blocked / Needs Input; `false` глушит только сетевой Guard 2 (Guard 1 escalated всегда активен) | `true` |
 | `ORCH_QG0_TITLE_MAX` | Верхний лимит длины заголовка QG-0 (вход `_qg0_errors`); невалидное/пустое значение → дефолт (ORCH-069) | `200` |
+| `ORCH_STOP_STATUS_ENABLED` | Kill-switch отмены задачи по Plane-статусу **STOP** + закрытия дыры релонча (ORCH-090); `false` → поведение 1:1 как до ORCH-090 | `true` |
+| `ORCH_STOP_STATUS_REPOS` | CSV область репо для STOP-отмены; пусто = все репо (ORCH-090) | `""` |
 
 ## Очередь задач (ORCH-1 / F-2b)
 
@@ -154,7 +156,30 @@ Webhook-хэндлеры больше не спавнят claude-агентов
 - **Ретраи.** Упавший job (exit≠0) ретраится пока `attempts < max_attempts`,
   потом `failed` + Telegram-нотификация.
 
-Статусы job: `queued → running → done | failed`. Наблюдаемость — через `GET /queue`.
+Статусы job: `queued → running → done | failed`; **`cancelled`** — терминальный
+исход STOP-отмены (ORCH-090), нигде не реквью'ится. Наблюдаемость — через `GET /queue`.
+
+## Отмена задачи: статус STOP (ORCH-090)
+
+Перевод задачи в выделенный Plane-статус **STOP** отменяет её: оркестратор
+останавливает активного агента (graceful SIGTERM-каскад), снимает все job'ы
+(терминальный `cancelled`, без авто-requeue), удаляет worktree и **рабочую**
+ветку в Gitea (**никогда** `main`, без force-push), сбрасывает прогресс в
+durable-терминал `tasks.stage='cancelled'` и тумбстонит натуральные ключи
+(`#cancelled-<id>`), чтобы повторный «To Analyse» создал задачу **с нуля**.
+Docs-артефакты (`01..17`) сохраняются. STOP во время критичного шага merge/deploy
+— **откладывается** до его честного завершения (никакого half-merge / рестарта
+прода). Параллельно закрыта «дыра релонча»: ручной перевод в промежуточный рабочий
+статус больше не релончит агента — единственный вход к запуску пайплайна остаётся
+«To Analyse» (релонч агента сменой статуса разрешён только на стадии `analysis` —
+владельце Needs Input). Всё под kill-switch `ORCH_STOP_STATUS_ENABLED`, аддитивно,
+never-raise. Наблюдаемость — блок `stop` в `GET /queue`. Деталь — `docs/work-items/
+ORCH-090/06-adr/ADR-001-stop-cancel-task.md` + сквозной
+`docs/architecture/adr/adr-0026-stop-cancel-task.md`.
+
+> **Инфра-предусловие:** на доске Plane проекта ORCH создать статус **«STOP»** с
+> группой `cancelled`. До создания статуса фича в fail-safe (нет UUID → ветка STOP
+> не активируется).
 
 **Resilience-слой:** дешёвый preflight (CLI/net, кэш, без токенов) гейтит claim;
 429/overload детектится по логу (transient vs permanent), transient ретраится с