docs(ORCH-009): staging gate log — SUCCESS (8/10, C9a/C9b infra-waived)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.example

@@ -139,6 +139,29 @@ ORCH_SERIAL_GATE_FREEZE_ENABLED=true
 #                                for enduro too).
 ORCH_STOP_STATUS_ENABLED=true
 ORCH_STOP_STATUS_REPOS=
+# ORCH-019: bug-fast-track — a cheaper/shorter pipeline route for bug-fix tasks.
+# A task carrying the Plane `Bug` label skips the whole `architecture` stage; EVERY
+# Quality Gate / sub-gate runs UNCHANGED (route is a scheduler property, not a gate).
+# Additive, never-raise, fail-safe -> full cycle. Infra precondition: create a `Bug`
+# label on the ORCH board (its absence = full cycle, fail-safe). Leaf src/bug_fast_track.py.
+#   BUG_FAST_TRACK_ENABLED=false -> start_pipeline AND advance_stage are 1:1 as before
+#                                   ORCH-019 (zero regression).
+#   BUG_FAST_TRACK_LABEL         -> Plane label that activates the track (default `Bug`).
+#   BUG_FAST_TRACK_REPOS (CSV)   -> scope; EMPTY = self-hosting only (orchestrator).
+ORCH_BUG_FAST_TRACK_ENABLED=true
+ORCH_BUG_FAST_TRACK_LABEL=Bug
+ORCH_BUG_FAST_TRACK_REPOS=
+# ORCH-094: terminal-window-aware guard for the three deploy-phase Plane status
+# setters (set_issue_awaiting_deploy / set_issue_deploying / set_issue_monitoring).
+# A DB stage=done task converges to Done idempotently instead of flapping
+# Awaiting <-> Monitoring, EXCEPT the legitimate post-deploy Monitoring while the
+# window is active (ARMED & not DONE). Leaf src/deploy_status_guard.py, never-raise;
+# STAGE_TRANSITIONS / QG_CHECKS / machine-verdict keys untouched (no DB migration).
+#   DEPLOY_STATUS_GUARD_ENABLED=false -> setters are terminal-blind (1:1 pre-ORCH-094).
+#   DEPLOY_STATUS_GUARD_REPOS (CSV)   -> scope; EMPTY = self-hosting only (orchestrator),
+#                                        the only repo where deploy-phase statuses are set.
+ORCH_DEPLOY_STATUS_GUARD_ENABLED=true
+ORCH_DEPLOY_STATUS_GUARD_REPOS=
 # ORCH-071/073: merge-verify under-gate on the `deploy -> done` edge (врезка in
 # advance_stage, NOT a new STAGE_TRANSITIONS edge / registered QG). A deterministic
 # merge-actor merges the feature code-PR via the Gitea PR-merge API (never push/
@@ -166,6 +189,22 @@ ORCH_MERGE_PR_TIMEOUT_S=60
 ORCH_MERGE_VERIFY_TIMEOUT_S=60
 ORCH_REGRESSION_GUARD_ENABLED=true
 ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=true
+# ORCH-093: deterministic merge-actor retry of TRANSIENT Gitea merge errors. merge_pr
+# wraps ONLY the mutating POST /pulls/{n}/merge in a bounded exponential-backoff
+# retry-loop on transient outcomes (405 "try again later" / 408 / 5xx / network /
+# timeout, and 409|422 while the PR is still mergeable); terminal outcomes
+# (403/404/real conflict) -> fast honest False (the ORCH-071/081 HOLD backstop is
+# unchanged). Fixes the ORCH-063 false HOLD + manual re-merge. The already-in-main
+# guard (no commits beyond origin/main -> no garbage PR) is always-on under
+# MERGE_VERIFY_AUTOCREATE_PR_ENABLED (no separate flag).
+#   MERGE_RETRY_ENABLED        -> kill-switch; false -> exactly one POST (one-shot, prior behaviour).
+#   MERGE_RETRY_MAX_ATTEMPTS   -> max POST attempts on a transient outcome.
+#   MERGE_RETRY_BACKOFF_BASE_S -> exponential backoff base seconds (sleep = base*2^(i-1)).
+#   MERGE_RETRY_BACKOFF_MAX_S  -> per-sleep backoff ceiling seconds (bounds total wait).
+ORCH_MERGE_RETRY_ENABLED=true
+ORCH_MERGE_RETRY_MAX_ATTEMPTS=3
+ORCH_MERGE_RETRY_BACKOFF_BASE_S=2
+ORCH_MERGE_RETRY_BACKOFF_MAX_S=5
 # ORCH-036: executable self-deploy of the `deploy` stage. For the self-hosting repo
 # (orchestrator) the stage REALLY restarts prod (8500) via a detached host hook;
 # deploy_status: SUCCESS means proven health-ok, not an LLM declaration. Three
@@ -345,6 +384,57 @@ ORCH_SECURITY_SCAN_TIMEOUT_S=300
 ORCH_SECURITY_DEP_AUDIT_FAIL_CLOSED=false
 ORCH_SECURITY_SECRETS_BLOCK=true
 
+# ORCH-027: coverage-gate (deterministic test-coverage) on the deploy-staging ->
+# deploy edge, run AFTER the merge-gate and BEFORE image-freshness. Measures line
+# coverage of src/ with pytest-cov in the per-branch worktree, compares to an absolute
+# floor and/or the ratchet baseline of `main`; FAIL -> rollback to development +
+# developer-retry (cap 3). Verdict in the 18-coverage-report.md frontmatter
+# (coverage_status:). See ADR-001-coverage-gate.md.
+#   GATE_ENABLED       -> global kill-switch; false -> pipeline 1:1 as before ORCH-027.
+#   GATE_REPOS         -> CSV of repos where the gate is REAL; empty -> only self-hosting.
+#   MIN_PERCENT        -> absolute floor (% line coverage) for policy absolute/both.
+#   POLICY             -> absolute | baseline | both (default both).
+#   EPSILON            -> noise tolerance (%) at the boundary (anti-flap).
+#   TOOL_FAIL_CLOSED   -> strict mode: a coverage-tool error -> FAIL instead of the
+#                         default fail-open + warning (anti-loop). Default false.
+#   RUN_TIMEOUT_S      -> wall-clock budget for the pytest --cov run.
+ORCH_COVERAGE_GATE_ENABLED=true
+ORCH_COVERAGE_GATE_REPOS=
+ORCH_COVERAGE_MIN_PERCENT=0.0
+ORCH_COVERAGE_POLICY=both
+ORCH_COVERAGE_EPSILON=0.5
+ORCH_COVERAGE_TOOL_FAIL_CLOSED=false
+ORCH_COVERAGE_RUN_TIMEOUT_S=900
+
+# ORCH-057 (follow-up ORCH-040): legacy root-owned ownership detect + actionable
+# worktree error. After the uid migration (user: "1000:1000") legacy root:root files
+# in /repos broke worktree creation under uid 1000 with a raw "Permission denied".
+# Three additive, kill-switch-reversible layers: an actionable RuntimeError in
+# ensure_worktree, a cheap never-raise detect leaf (src/fs_normalize.py) with a
+# startup WARNING/Telegram + GET /queue fs_ownership block, and an opt-in chown ONLY
+# when privileged (under uid 1000 a no-op; the real fix is the operator procedure in
+# docs/operations/INFRA.md «Миграция uid»). No STAGE_TRANSITIONS / QG_CHECKS / schema
+# change.
+#   ENABLED        -> kill-switch; false -> all code inert, behaviour 1:1 as before
+#                     ORCH-057 (the actionable error too).
+#   REPOS          -> CSV of repos the layer is REAL for; empty -> self-hosting only.
+#   TARGET_UID     -> target uid fallback when os.getuid() is unavailable.
+#   NORMALIZE_AUTO -> detect-only (false) | attempt chown when privileged (true).
+#   SCAN_ROOTS     -> CSV override of the scan roots (empty -> default roots).
+#   SCAN_CACHE_TTL_S -> TTL of the detect cache (mirrors ORCH_PREFLIGHT_CACHE_TTL).
+ORCH_FS_NORMALIZE_ENABLED=true
+ORCH_FS_NORMALIZE_REPOS=
+ORCH_FS_TARGET_UID=1000
+ORCH_FS_NORMALIZE_AUTO=false
+ORCH_FS_SCAN_ROOTS=
+ORCH_FS_SCAN_CACHE_TTL_S=300
+
+# ORCH-099 (FND/F1a): operator off-switch for the read-only GET /metrics endpoint
+# (raw-signal snapshot for the F1b sidecar). Default true -> available out of the
+# box. false -> /metrics returns a minimal parsable body {"schema_version":1,
+# "enabled":false} (200, not 404). The endpoint is inert / read-only anyway.
+ORCH_METRICS_ENABLED=true
+
 # ORCH-021: post-deploy production monitoring + degradation reaction. After the
 # terminal deploy->done transition for an applicable repo, a reserved-agent job
 # `post-deploy-monitor` (no LLM, modelled on deploy-finalizer) probes prod over a
@@ -375,3 +465,48 @@ ORCH_POST_DEPLOY_BASE_URL=http://localhost:8500
 # DB title TEXT is unbounded). Default 200. An invalid/empty value gracefully
 # degrades to 200 (the process never crashes on startup).
 ORCH_QG0_TITLE_MAX=200
+
+# ── ORCH-100 (FND/F1b): sidecar-watchdog (orchestrator-watchdog container) ─────
+# The monitoring brain runs in a SEPARATE container with its OWN config. These
+# keys are read by the watchdog package (watchdog/config.py), NOT by the
+# orchestrator. At runtime they live in `.env.watchdog` (env_file of the
+# orchestrator-watchdog service); this block is the canon. NO real secrets here.
+#   ENABLED        -> kill-switch; false (or not starting the service) -> inert.
+#   INTERVAL_S     -> seconds between ticks.
+#   HTTP_TIMEOUT_S -> per-request timeout (metrics / pings / docker / telegram).
+#   COOLDOWN_S     -> re-alert throttle for a sustained signal (anti-spam).
+#   METRICS_URL    -> orchestrator /metrics (host-network -> 127.0.0.1:8500).
+#   ORCH_DOWN_TICKS-> K consecutive /metrics failures before "орк не отвечает".
+#   MEM_PCT        -> host memory used-% threshold.
+#   DISK_CRIT_*    -> OPT-IN independent disk CEILING (disk_watchdog/ORCH-063 owns
+#                     the 85% alert; this is a higher ceiling on the sidecar's own
+#                     channel, OFF by default -> no double disk-alert, AC-5/D6).
+#   DISK_PATHS     -> host paths measured for the opt-in ceiling.
+#   AGENT_HUNG_MIN -> runtime minutes before an agent with ~0 CPU is "hung".
+#   AGENT_CPU_FLOOR-> CPU fraction below which a long-running agent counts as hung.
+#   STAGE_STUCK_MIN-> minutes a task may sit in one stage before alerting.
+#   QUEUE_DEPTH    -> queued-job depth threshold.
+#   CONTAINERS     -> CSV of container names to watch (status != running/healthy).
+#   DOCKER_SOCK    -> path to the read-only docker.sock inside the container.
+#   DEPS           -> CSV of name=url dependency pings (empty -> no pings).
+#   TG_BOT_TOKEN / TG_CHAT_ID -> the sidecar's OWN Telegram bot/chat (independent
+#                     of the orchestrator's; absent -> logs, does not send).
+WATCHDOG_ENABLED=true
+WATCHDOG_INTERVAL_S=30
+WATCHDOG_HTTP_TIMEOUT_S=5
+WATCHDOG_COOLDOWN_S=1800
+WATCHDOG_METRICS_URL=http://127.0.0.1:8500/metrics
+WATCHDOG_ORCH_DOWN_TICKS=3
+WATCHDOG_MEM_PCT=90
+WATCHDOG_DISK_CRIT_ENABLED=false
+WATCHDOG_DISK_CRIT_PCT=97
+WATCHDOG_DISK_PATHS=/repos,/app/data
+WATCHDOG_AGENT_HUNG_MIN=20
+WATCHDOG_AGENT_CPU_FLOOR=0.01
+WATCHDOG_STAGE_STUCK_MIN=120
+WATCHDOG_QUEUE_DEPTH=20
+WATCHDOG_CONTAINERS=orchestrator
+WATCHDOG_DOCKER_SOCK=/var/run/docker.sock
+WATCHDOG_DEPS=
+WATCHDOG_TG_BOT_TOKEN=
+WATCHDOG_TG_CHAT_ID=

.openclaw/agents/analyst.md

@@ -29,6 +29,17 @@ FastAPI + SQLite, конвейер стадий через Quality Gates, аге
 
 Стандарт структуры документов — `docs/_standards/PIPELINE_DOCS.md`; копируй скелеты из
 `docs/_templates/` (`01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`).
+
+**Багфикс-трек (ORCH-019).** Если задача помечена меткой Plane `Bug` (укороченный маршрут —
+пропуск стадии `architecture`), выпускай **облегчённый** пакет, но **всё равно все 4 файла**
+(гейт `check_analysis_complete` требует `01/02/03/04` — не меняется): `01-brd.md` = короткий
+bug-report (симптом / шаги воспроизведения / локализация / причина), `02-trz.md` +
+`03-acceptance-criteria.md` = краткие bug-shaped заглушки, `04-test-plan.yaml` = план
+**обязательного регресс-теста** (красный до фикса, зелёный после). Экономия — в пропуске целой
+стадии `architecture` (отдельный прогон архитектора + ADR), не в числе файлов. Если баг оказался
+**сложным/архитектурным/визуальным** (нужен ADR или макет) — выпусти **полный** analysis-пакет и
+помечай в bug-report `escalate: full-cycle` (эскалация в полный цикл, ADR-001 D5 ORCH-019); оператор
+снимает багфикс-трек эндпоинтом `POST /bug-fast-track/escalate`.
 </task>
 
 <deliverables>

.openclaw/agents/reviewer.md

@@ -42,6 +42,11 @@ tools:
      (слом критического инварианта конвейера может быть P0). Это усиление оси, а не отдельная ось.
 3. **Качество кода** — нет явных ошибок/утечек/security-дыр? Есть docstrings на публичных функциях?
    Тесты содержательные (не тривиальные)?
+   - **Багфикс-трек: регресс-тест (ORCH-019, BR-4).** Если задача — багфикс (метка `Bug` /
+     укороченный маршрут с пропуском `architecture`), исправление кода **обязано** нести
+     новый/изменённый тест-фиксатор дефекта (красный до фикса, зелёный после). Фикс кода без
+     теста-фиксатора → **finding ≥ P1 / REQUEST_CHANGES**. Это усиление оси «качество», а не
+     отдельная ось (структурно дублируется coverage-гейтом ORCH-027).
 4. **Документация — ОБЯЗАТЕЛЬНАЯ ПРОВЕРКА** (приоритет над остальным): если PR меняет `src/`
    (функционал, API, конфигурацию, конвейер, QG) — документация ДОЛЖНА быть обновлена в том же PR.
    Проверь: API → `docs/architecture/README.md` (таблица API)? стадии/QG →

.task-dev.md

@@ -1,4 +1,4 @@
-Work item: ORCH-088
+Work item: ORCH-100
 Repo: orchestrator
-Branch: feature/ORCH-088-orch-88-10-20
+Branch: feature/ORCH-100-fnd-f1b-sidecar-watchdog
 Stage: development

CHANGELOG.md

@@ -3,6 +3,82 @@
 Формат: [Keep a Changelog](https://keepachangelog.com/). Записи — на смысловой PR/задачу.
 
 ## [Unreleased]
+- **Машинный журнал уроков `lessons`** (ORCH-098, `feat`): шаг 1 («Фундамент», F2) эпика саморазвития — формализует свободнотекстовые «уроки» из `memory/` в **машинную структурированную таблицу отклонений конвейера** `lessons`, фундамент для будущих ретроспективщика (E2), приоритизатора RICE (E3) и Стрим. Чистый **observer-leaf** `src/lessons.py` (never-raise, kill-switch, паттерн `serial_gate`/`coverage_gate`/`metrics`): `record()`/`get()`/`update()`/`snapshot()`. **Инвариант:** журнал — наблюдатель, **не** Quality Gate — `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схемы существующих таблиц байт-в-байт не тронуты; enduro не затронут. ADR: `docs/work-items/ORCH-098/06-adr/ADR-001-lessons-journal.md`, сквозной `docs/architecture/adr/adr-0034-lessons-journal.md`.
+  - **Таблица (D1, FR-1):** аддитивная идемпотентная `lessons` (`CREATE TABLE IF NOT EXISTS` в `db.init_db()` + три индекса, restart-safe) — контекст (`work_item_id`/`task_id`/`stage`/`agent`/`repo`), анализ (`root_cause`/`suggestion`), статус (`status`/`related_task`), **колонки атрибуции — сразу и нуллабельно** (`attribution`/`target_repo`/`target_domain`, требование Славы 10.06 / NFR-6, заполняется позже через update; `_ensure_column` форвард-safe на старой таблице) + `source`/`detail`; без `enum`-констрейнтов (слаги forward-compatible). Хелперы `db.record_lesson`/`get_lessons`/`update_lesson`/`lessons_snapshot`/`lessons_recent_dup_exists`.
+  - **НЕ скоупится по репо (D2):** журнал observer-only → единственный регулятор — глобальный kill-switch `lessons_enabled` (env `ORCH_LESSONS_ENABLED`, дефолт `True`); **`lessons_repos` НЕ вводится**. Recorder пишет уроки про **любой** репо (включая enduro-trails); репо-разрез — на **выборке** (`get(repo=…)`).
+  - **Автозапись 4 типов (D3, FR-3):** тонкие best-effort врезки (`source="auto"`, never-raise, дедуп) — `gate_failure` (`stage_engine._handle_qg_failure_rollbacks`, откат на `development`), `merge_hold` (`stage_engine._handle_merge_verify` HOLD), `transient_retry` (`launcher._finalize_transient` на исчерпании бюджета ретраев), `deploy_degraded` (post-deploy `DEGRADED → set_repo_freeze`, урок слоя-3 «деплой OK / прод сломан» ET-8).
+  - **Дедуп (D4):** для `auto` — один indexed-SELECT по `idx_lessons_wi_type`: дубль `(work_item_id, lesson_type, stage)` в окне `lessons_dedup_window_s` (env, дефолт 3600с) → no-op; `manual` не дедупится.
+  - **Эндпоинты (D5, FR-4/5):** `GET /lessons` (read-only, фильтры `type`/`status`/`repo`/`work_item`/`limit`), `POST /lessons` (ручная запись), `POST /lessons/{id}` (доклассификация/update); read-only ключ `lessons` в `GET /queue`. Выключенный флаг → `{"enabled": false}`.
+  - **Регресс:** kill-switch `lessons_enabled=False` → полная инертность (no-op без обращения к БД); never-raise на всех публичных функциях/врезках — сбой журнала не роняет конвейер; аддитивно (новая таблица + leaf + эндпоинты + тонкие врезки). Флаги `config.py`: `lessons_enabled`/`lessons_query_limit_default`/`lessons_dedup_window_s`. Тесты `tests/test_lessons.py` (TC-01…TC-12, unit+integration).
+- **FND/F1b: sidecar-watchdog — мозг мониторинга в отдельном контейнере** (ORCH-100, `feat`): новая папка `watchdog/` (тонкий **Python-3.12-stdlib-only** демон) + сервис `orchestrator-watchdog` в `docker-compose.yml` (`network_mode: host`, read-only `docker.sock`, `mem_limit: 128m`). Вторая половина пары наблюдаемости домена 0: F1a (ORCH-099) отдаёт `GET /metrics` (сырьё), F1b — **мозг**, который это сырьё читает, дополняет внешними сигналами (хост/контейнеры/зависимости) и превращает в **алерты** через **собственный** независимый Telegram-канал. **`src/**` НЕ изменён** — F1b потребитель `/metrics`; `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/схема БД орка — байт-в-байт. Аддитивно, под kill-switch `WATCHDOG_ENABLED`, строго read-only к наблюдаемому (self-hosting-безопасно). ADR: `docs/work-items/ORCH-100/06-adr/ADR-001-sidecar-watchdog.md`, сквозной `docs/architecture/adr/adr-0033-sidecar-watchdog.md`.
+  - **fix(test): изоляция `settings.runs_dir` в conftest** — устранена амбиентная prod-зависимость, валившая `test_queue.py::TestRetry::test_finalize_job_requeue_then_fail` в self-hosting-окружении (TC-14 «full tests/ regression green»). `launcher._finalize_job` классифицирует падение по хвосту `<settings.runs_dir>/<run_id>.log`; `runs_dir` по умолчанию = живой prod-каталог `/app/data/runs`, где на хосте накоплены РЕАЛЬНЫЕ логи агентов (`2.log` содержит `429` → 'transient'), поэтому тест с литеральным `run_id=2` читал чужой prod-лог и получал requeue вместо `failed`. Новый autouse-фикстур `_isolate_runs_dir` в `tests/conftest.py` (по образцу `_no_telegram`/`_disable_merge_verify`) перенаправляет `runs_dir` в пер-тестовый tmp → `_run_log_path()` указывает на несуществующий файл → `classify_log_file()` отдаёт документированный дефолт 'permanent'. Детерминизм всей сюты восстановлен (1617 passed); `src/**` не тронут.
+  - **Стек (D1):** Python 3.12 stdlib-only на `python:3.12-slim` — `urllib` (HTTP `/metrics` + пинги + Telegram POST), сырой HTTP-over-unix-socket для read-only `docker.sock` (БЕЗ pip-пакета `docker`), `shutil.disk_usage`/`/proc/meminfo` для хоста. Нет дерева зависимостей (тонкость, C-3). Отдельный образ `watchdog/Dockerfile` (build-контекст = корень репо; `src/**` НЕ копируется — изоляция C-1).
+  - **Топология (D2):** сервис собирается из `watchdog/Dockerfile`, `restart: unless-stopped` (самовосстановление), `network_mode: host` → `/metrics` достижим как `http://127.0.0.1:8500/metrics`; `docker.sock` смонтирован `:ro` И код GET-only (двойная гарантия read-only); хост-пути bind-mount `:ro`; `mem_limit: 128m`+`mem_reservation: 32m`. `env_file` опционален (`required: false`) → отсутствие `.env.watchdog` НЕ ломает `docker compose up` прод-орка. Деплой watchdog поднимает ТОЛЬКО его — прод `orchestrator` не пересобирается/не рестартится.
+  - **Обобщённая чистая решающая функция (D4):** `watchdog/decision.py::decide(signal_active, prev, now, cooldown_s) -> alert|realert|recovery|none` — строгая генерализация `disk_watchdog.decide_action` (булев `signal_active` вместо `used_pct >= threshold`), per-signal in-memory `AlertState` (анти-спам/recovery, рестарт сбрасывает → корректный повторный алерт стоящей проблемы).
+  - **Реестр сигналов (D5):** `orch_down` (K=3 подряд неудачных `/metrics` — debounce, не флаппит на одиночной икоте), `host_mem` (≥90%), `host_disk_crit` (opt-in потолок 97%, default off — D6), `agent_hung` (per run_id, два опроса: `runtime > N` И доля CPU `< floor`), `stage_stuck` (per work_item), `job_failed` (edge, рост счётчика), `queue_depth` (≥20), `container_down` (per name, статус ∉ {running,healthy}), `dep_down` (per name, пинг Plane/Gitea/Anthropic). Все пороги/интервалы/URL/токены — из env (`WATCHDOG_*`, канон в `.env.example`).
+  - **Анти-дубль диск-алерта (D6, AC-5):** штатные 85% остаются ЕДИНСТВЕННО за `disk_watchdog` (ORCH-063) → **нулевой дубль по построению**; вклад sidecar — `orch_down` (когда орк лёг, in-process стражи мертвы) + **opt-in** независимый потолок `host_disk_crit` (97%, default off) как резерв канала. Один владелец на порог.
+  - **Независимый транспорт (D7):** `watchdog/notify.py` читает **свои** `WATCHDOG_TG_BOT_TOKEN`/`WATCHDOG_TG_CHAT_ID`, **запрещён** импорт `src/notifications.py`/токена орка (падение орка не утянет алерт-канал). Отсутствие токена → fail-safe (логирует, не шлёт, не падает).
+  - **never-raise + kill-switch (D8):** три уровня (per-source: битый коллектор деградирует один сигнал; per-tick: внешний try/except цикла; per-send: обёрнутая отправка). `WATCHDOG_ENABLED=false` → демон инертен (idle-loop с логом, НЕ exit — чтобы restart-policy не крутил петлю). Толерантность к версии `/metrics` (D9): неизвестные поля игнорируются, рост `schema_version` логируется (warning) без крэша.
+  - Тесты: `tests/watchdog/test_*.py` (TC-01…TC-13: решение/orch-down/never-raise/kill-switch/full-tick/docker-readonly/notify-isolation/metrics-parse/compose/disk-dedup + коллекторы host/deps) + полный регресс `tests/ -q` зелёный (TC-14, `src/**` не тронут). **Инфра-предусловие** (07): добавить сервис в compose, создать bot/chat watchdog + `.env.watchdog`, первый запуск на хосте. Откат: не запускать сервис / `WATCHDOG_ENABLED=false`.
+- **Багфикс-трек: упрощённый/дешёвый маршрут конвейера для багов** (ORCH-019, `feat`): задача с меткой Plane `Bug` идёт **укороченным маршрутом** — пропускается стадия `architecture` (отдельный прогон opus-агента `architect` + ADR + exit-гейт `check_architecture_done`), тяжёлая аналитика заменяется облегчённым пакетом (короткий bug-report + обязательный план регресс-теста). **Все Quality Gate'ы исполняются без изменений** (корневой инвариант NFR-1): `STAGE_TRANSITIONS` / реестр `QG_CHECKS` / сигнатуры `check_*` / machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/`coverage_status:`) — байт-в-байт прежние; маршрутизация багфикса — свойство планировщика, **не** гейт. Аддитивно, под kill-switch, с областью репо, never-raise, fail-safe → полный цикл. ADR: `docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md`, сквозной `docs/architecture/adr/adr-0032-bug-fast-track.md`.
+  - **Классификация (D1, FR-1):** новый leaf `src/bug_fast_track.py` (never-raise, паттерн `labels`/`serial_gate`). `bug_fast_track_applies(repo)` (локально, без сети) проверяется ПЕРВЫМ → выключенный флаг = нулевой сетевой оверхед; `is_bug_task(work_item_id, project_id)` делегирует в проверенный `labels.has_label` (ORCH-089: `fetch_issue_labels`+`get_project_labels`, нормализация, TTL-кэш). **Источник истины — Plane API**, не payload вебхука. Чтение метки — только в `start_pipeline`, **никогда** в горячем `claim_next_job` (NFR-4).
+  - **Хранение типа (D2):** аддитивная идемпотентная колонка `tasks.track TEXT DEFAULT 'full'` (`_ensure_column`, паттерн `tasks.cancelled_at` ORCH-090); значения `'full'` (дефолт, ВСЕ существующие и не-баг задачи) | `'bug'`. Хелперы `db.set_task_track`/`db.get_task_track` (отсутствие/NULL → `'full'`, fail-safe). Сигнатура `create_task_atomic` не меняется.
+  - **Routing-override (D3, FR-2):** врезка в `advance_stage` на ребре выхода из `analysis`: при `track='bug'` (через чистый предикат `bug_fast_track.skips_architecture`) `next_stage` → `development`, `next_agent` → `developer` (минуя `architect`). `get_next_stage`/`get_agent_for_stage`/`STAGE_TRANSITIONS` — чистые, 1:1; тип читается из БД (без сети, NFR-4). Для не-баг задач (`track='full'`) маршрут байт-в-байт прежний. Сопутствующе: стамп `mark_brd_review_ended` расширен на `analysis → development` (честная метрика ORCH-087 на багфикс-треке).
+  - **Гейт `analysis` не тронут (D4, FR-6):** `check_analysis_complete`/`check_analysis_approved` байт-в-байт прежние; багфикс-аналитик всё равно эмитит все 4 файла (облегчённые) — сильнейшая позиция NFR-1 (нулевая поверхность правок гейта).
+  - **Эскалация (D5, FR-5):** админ-эндпоинт `POST /bug-fast-track/escalate?work_item=<id>` (по образцу `POST /serial-gate/unfreeze`) сбрасывает `track` `'bug'→'full'` → следующий переход уходит в `architecture` (полный цикл). Плюс решение мини-аналитика «баг сложный → полный пакет + `escalate: full-cycle`».
+  - **Область / флаги (D6):** `bug_fast_track_enabled` (kill-switch, env `ORCH_BUG_FAST_TRACK_ENABLED`), `bug_fast_track_label` (дефолт `Bug`), `bug_fast_track_repos` (CSV; **пусто → self-hosting only** — enduro подключается явным CSV). `False` → старт и маршрут 1:1 как до ORCH-019 (нулевая регрессия, AC-6).
+  - **Наблюдаемость (D7, FR-7):** аддитивный read-only блок `bug_fast_track` в `GET /queue` (флаг/метка/область + счётчик багфикс-задач + метрика сэкономленных стадий `architecture`); лог-строка на решение о маршруте; отметка `🐞` в Telegram-карточке (never-raise). Композиция (D8, AC-9): багфикс-задача — обычная задача репо для serial-gate (ORCH-088, не обходит его); `autoApprove`/`autoDeploy` (ORCH-089), coverage-gate (ORCH-027, союзник BR-4), merge-gate (ORCH-043) — штатно.
+  - **Промпты:** `analyst.md` (облегчённый багфикс-пакет + путь эскалации), `reviewer.md` (ось «багфикс без регресс-теста → finding ≥P1 / REQUEST_CHANGES») — канон 52d не нарушен. **Инфра-предусловие:** создать метку `Bug` в Plane-проекте ORCH (её отсутствие = fail-safe полный цикл). Тесты: `tests/test_bug_fast_track*.py` + `tests/test_db_migrations.py` + блок в `tests/test_queue_endpoint.py` (TC-01…TC-15). Полный регресс `tests/ -q` зелёный. Откат: `ORCH_BUG_FAST_TRACK_ENABLED=false` (мгновенный; остаточная колонка `track` безвредна).
+- **Детект legacy root-owned файлов + внятная ошибка worktree при миграции на uid 1000** (ORCH-057, follow-up ORCH-040, `feat`): закрыт недоделанный AC ORCH-040 — legacy `root:root` файлы в `/repos` (после перевода контейнеров на `user: "1000:1000"`) ломали создание worktree под uid 1000 (`ensure_worktree` → сырой `fatal: … Permission denied`, агент не стартовал, диагноза не было). Три аддитивных, обратимых kill-switch'ем слоя; **`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict-ключи / схема БД — байт-в-байт прежние**. ADR: `docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md`, сквозной `docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`.
+  - **D1 — actionable-ошибка `ensure_worktree`:** класс «нет прав» (`Permission denied` / `could not create leading directories` / `insufficient permission for adding an object` / `PermissionError`/`EACCES`/`EPERM`) оборачивается в `RuntimeError` с **причиной** (legacy root-файлы в `/repos/_wt`/`.git` после миграции uid), **лечащей командой** (`chown -R <uid>:<uid> …`) и ссылкой на `INFRA.md` — вместо сырого git stderr. Ошибки, **не** связанные с правами, сохраняют прежний контракт (меняется только формулировка, не факт сбоя; чистый классификатор `fs_normalize.classify_worktree_error`). Под выключенным kill-switch контракт ошибки 1:1 как до ORCH-057.
+  - **D2 — детект-леаф `src/fs_normalize.py`** (never-raise, паттерн `serial_gate`/`coverage_gate`): `scan_ownership(roots, target_uid=os.getuid())` обходит `/repos/_wt`, `<repo>/.git/{objects,worktrees}`, `data/runs` с ранним выходом при первом `st_uid != target_uid`, TTL-кэшем (`fs_scan_cache_ttl_s`, по образцу `preflight._cache`) и `applies(repo)` first (пустой CSV → self-hosting only → enduro-trails не сканируется). Опц. `normalize()` chown'ит **только** при `geteuid()==0` (под uid 1000 — no-op + честный лог «нужна операторская процедура», НЕ ошибка).
+  - **D3 — наблюдаемость, БЕЗ блокировки claim:** best-effort вызов `scan_ownership()` на старте `main.lifespan` (рядом с lease-reclaim/log-rotation, never-fatal) → WARNING + Telegram при mismatch; read-only блок `fs_ownership` в `GET /queue`; опц. ручной `POST /fs-normalize/check`. Claim **не** блокируется (preflight repo-слеп → регресс enduro; queue_worker — дорогой FS-обход в hot-path + молчаливое зависание); внятный ранний отказ даёт D1 в точке launch.
+  - **Процедура (D5):** обязательная операторская нормализация под root на хосте — в `docs/operations/INFRA.md` (раздел «Миграция uid: обязательная нормализация legacy root-файлов», все корни: `_wt`, оба `.git`, `data/runs`); фактический `chown` остаётся ручным шагом (контейнер без root его сделать не может) — задача гарантирует **внятность** отказа, а не его отсутствие.
+  - **Флаги** (`src/config.py`, аддитивно): `ORCH_FS_NORMALIZE_ENABLED` (kill-switch), `ORCH_FS_NORMALIZE_REPOS` (CSV; пусто → self-hosting only), `ORCH_FS_TARGET_UID` (1000), `ORCH_FS_NORMALIZE_AUTO` (детект-only), `ORCH_FS_SCAN_ROOTS`, `ORCH_FS_SCAN_CACHE_TTL_S`. Тесты: `tests/test_fs_normalize.py`, `tests/test_git_worktree_perm.py`, `tests/test_fs_normalize_startup.py`, `tests/test_api_queue.py` (TC-01…TC-12).
+- **Лёгкий read-only `GET /metrics` — машинное «сырьё» о самом орке для sidecar F1b** (ORCH-099, FND/F1a, `feat`): добавлен версионируемый JSON-эндпоинт `GET /metrics`, отдающий снимок внутреннего состояния орка для будущего отдельного sidecar-наблюдателя F1b (`watchdog/`) — наблюдатель отделён от наблюдаемого (BRD §1): орк отдаёт ТОЛЬКО факты, которые знает лишь он сам; пороги/алерты/история/Telegram — на стороне F1b. **Аддитивно, строго read-only, never-raise:** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи / схема БД — **не тронуты**; `/health`/`/status`/`/queue` — байт-в-байт прежние. ADR: `docs/work-items/ORCH-099/06-adr/ADR-001-metrics-endpoint.md`, сквозной `docs/architecture/adr/adr-0030-metrics-endpoint.md`.
+  - **Leaf-сборщик + тонкий эндпоинт (D1):** новый `src/metrics.py` (`build_metrics() -> dict`, never-raise по разделам, паттерн `serial_gate.snapshot()`) собирает конверт по-раздельно (каждый раздел в своём `try/except` → безопасный дефолт `null`/`[]`/`{}` + WARNING); эндпоинт `@app.get("/metrics")` в `src/main.py` — тонкая обёртка, возвращает результат как есть (стиль `GET /queue`). Тестируемость без ASGI: разделы проверяются прямым вызовом `build_metrics()`.
+  - **Конверт + контракт `schema_version` (D2):** `schema_version` (стартует с `1`), `generated_at` (UTC ISO-8601, часовой домен орка → дельты CPU иммунны к skew орк↔sidecar, TR-3), `clk_tck` (`os.sysconf("SC_CLK_TCK")`, базис тиков). Политика: аддитивные изменения **НЕ бампят** версию (sidecar обязан игнорировать незнакомые ключи) — бамп только при ломающем (rename/remove/retype).
+  - **Разделы сырья (D3–D7):** `stages` — незавершённые задачи (`stage NOT IN ('done','cancelled')`, ORCH-090) с `work_item`/`stage`/`age_in_stage_s`/`repo` (источник `db.get_active_tasks_for_reconcile()` + фильтр терминалов на потребителе, helper-инвариант ORCH-053/086 не тронут). `queue` — `db.job_status_counts()` (+`cancelled`-ключ дефолтом), глубина, сырьё ретраев (`db.queue_retry_stats()`: attempts/transient/в-backoff), `worker.breaker.snapshot()`, `max_concurrency`. `agents` (liveness) — по running-job (новый read-only `db.get_running_agents()`, dedicated SELECT, НЕ расширение hot-path `get_running_jobs()`): `agent`/`run_id`/`job_id`/`pid`/`runtime_s` (= `running_age_s` от `jobs.started_at`, D6)/`model`/`effort` + **CPU-сырьё** `cpu_ticks` (utime+stime из `/proc/<pid>/stat`, поля 14+15; орк дельту не считает — stateless, арбитр sidecar). `cost` — `running` (по running-job, `null` до завершения = честное сырьё) + `aggregate` (новый `db.agent_cost_totals()`, `COALESCE(SUM(...),0)` по `agent_runs`).
+  - **Never-raise сырьё для liveness (FR-6/NFR-2):** `metrics._read_cpu_ticks(pid)` — `pid is None` / нет `/proc/<pid>` / мёртвый процесс / не-Linux → `cpu_ticks: null` у этого агента, прочие поля и весь эндпоинт целы (НЕ raise). Недоступный `worker` → `breaker: null`/`max_concurrency: null`, не 500. Пустые таблицы → `stages=[]`/`agents=[]`/`cost.aggregate=нули`.
+  - **Kill-switch (D8):** `src/config.py` `metrics_endpoint_enabled: bool = True` (env `ORCH_METRICS_ENABLED` через явный `validation_alias` — документированное имя контракта реально управляет флагом). `False` → `200` с минимальным телом `{"schema_version":1,"enabled":false}` (НЕ 404 — контракт остаётся парсимым). Дефолт `True` → нулевая регрессия (эндпоинт доступен из коробки).
+  - **Контракт задокументирован (AC-7):** формат `/metrics` зафиксирован в `docs/architecture/README.md` (раздел «Сырьё-эндпоинт `/metrics`» + строка в таблице API) как стабильный контракт для F1b. Тесты: `tests/test_metrics.py` (TC-01…TC-11: конверт/4 раздела, исключение терминалов, queue-поля, liveness-сырьё + cpu_ticks на живом pid, never-raise на `pid=None`/мёртвом pid/бросающем источнике/недоступном breaker, cost-агрегат + пустая таблица, эндпоинт через handler, read-only снимок БД до/после, аддитивность `/health`//status//queue, пустое состояние, kill-switch). Полный регресс `tests/ -q` зелёный (1480 → +14). Откат: `ORCH_METRICS_ENABLED=false` (мгновенный) или удаление модуля/эндпоинта/helper'ов (без следов в БД/схеме).
+- **Детерминированный гейт покрытия тестами — защита от тихой деградации coverage перед merge в `main`** (ORCH-027, `feat`): существующие тестовые гейты (`check_ci_green`, `check_tests_passed`, merge-gate re-test) судят только по **факту** прохождения, не по **полноте** — ни один не замечает «300 строк кода, 0 тестов», и при пакетном автономном прогоне (ORCH-088) покрытие монотонно деградирует. Введён детерминированный (без LLM) под-гейт ребра `deploy-staging → deploy` по образцу security-гейта (ORCH-022): leaf `src/coverage_gate.py` (never-raise) + тонкая обёртка `check_coverage_gate` в `QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. **Аддитивно:** `STAGE_TRANSITIONS` / семантика существующих `check_*` / machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) — байт-в-байт прежние; новая БД-таблица аддитивна (NFR-5/AC-8). См. `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`, сквозной `docs/architecture/adr/adr-0029-coverage-gate.md`.
+  - **Точка/порядок (D1, AC-2):** под-гейт исполняется **ПОСЛЕ merge-gate** (покрытие меряется на догнанном `auto_rebase_onto_main` HEAD — ровно том коде, что landed в `main`) и **ДО image-freshness** (фейл до дорогого docker-rebuild). FAIL → штатный откат на `development` (+ инкремент developer-retry, cap `MAX_DEVELOPER_RETRIES`) **и освобождение merge-lease** (merge-gate держал его на своём PASS — зеркало image-freshness rollback, TR-2). `STAGE_TRANSITIONS` не меняется (под-гейт, как security/merge/image-freshness).
+  - **Измерение (D2, FR-1/AC-1):** `python -m pytest tests/ --cov=src --cov-report=json` в изолированном per-branch worktree (`ensure_worktree`, прецедент `check_tests_local`); метрика — `totals.percent_covered` (line coverage `src/`). Измеритель инкапсулирован за `measure_coverage(repo, branch) -> float | None` (стек-расширяемость BR-6: jest/jacoco — новая ветка `measure_*`, без переписывания ядра). Тайм-аут `coverage_run_timeout_s`. Новая pip-зависимость `pytest-cov==5.0.0` (offline на момент замера). 
+  - **Чистая функция решения (D3, FR-2/AC-3):** `compute_coverage_verdict(measured, baseline, floor, policy, epsilon) -> (ok, reason)` — детерминированная, без LLM/IO. `absolute` → `measured ≥ floor−ε`; `baseline` → `measured ≥ baseline−ε`; `both` (дефолт) → оба; `baseline is None` (bootstrap) → baseline-условие не применяется (нельзя регрессировать против пустоты). `epsilon` — допуск на шум измерения (NFR-4, анти-флап у границы). Покрыто unit-тестами всех режимов/границ/epsilon.
+  - **Базовая линия + ratchet (D4/D5, FR-4/AC-4):** аддитивная БД-таблица `coverage_baseline(repo PK, coverage, source_sha, updated_at)` (`CREATE TABLE IF NOT EXISTS`, паттерн `repo_freeze`/`job_deps`; существующие таблицы не мигрируются). Хелперы `db.get_coverage_baseline`/`ratchet_coverage_baseline`/`set_coverage_baseline`/`all_coverage_baselines`. Наращивание **только вверх** в choke-point подтверждённого merge `_handle_merge_verify` (ребро `deploy → done`): `coverage_gate.ratchet_baseline_on_merge` читает измеренное из `18-coverage-report.md` (single source of truth) и применяет **атомарный compare-and-set** `UPDATE … WHERE coverage <= measured` (или `INSERT` — bootstrap) под держимым merge-lease (ORCH-043) → базовая линия никогда не падает даже при гонке. Меньшее значение базовую линию не понижает.
+  - **Условность + fail-open (D6, FR-5/FR-6/AC-5/AC-6):** `coverage_gate_applies(repo)` (локально) ПЕРВЫМ — дорогой прогон только при `applies==True`. `coverage_gate_enabled=False` → инертно (1:1 как до ORCH-027); `coverage_gate_repos` (CSV; **пусто → self-hosting only** `is_self_hosting_repo`, как security/merge/image-freshness) → enduro-trails не затронут (no-op `(True, "N/A")`). Ошибка/недоступность coverage-инструмента или непарсимая метрика → **fail-open + WARNING** по умолчанию (`coverage_tool_fail_closed=False`, анти-петля по образцу ORCH-061/022 dep-audit); флаг переключает в fail-closed.
+  - **Машинный вердикт + наблюдаемость (D7/D8, FR-7/AC-9):** артефакт `18-coverage-report.md` (frontmatter `coverage_status: PASS|FAIL` + `measured_coverage`/`baseline`/`floor`/`policy`/`epsilon`/`delta`), вердикт читается ТОЛЬКО из frontmatter через `src/frontmatter.parse_frontmatter` (ORCH-052c, регистр фиксирован); гейт сам пишет отчёт и читает вердикт обратно из того же файла (single source of truth, как `security_status:`). Read-only блок `coverage` в `GET /queue` (kill-switch/scope/policy/floor/epsilon/per-repo baselines). При FAIL — `send_telegram` с кликабельным номером (`link_for`), измеренным покрытием, порогом/базовой линией и дельтой. Опциональный ручной override `POST /coverage/baseline?repo=…&value=…` (по образцу `POST /serial-gate/unfreeze`) для легитимного разового снижения покрытия.
+  - **Self-hosting безопасность (NFR-1/NFR-3/AC-7):** leaf не импортирует `stage_engine`; любое исключение перехвачено (never-raise); гейт только мерит/читает/пишет/решает — не деплоит, не рестартит прод-контейнер, не пушит/форс-пушит `main` (структурно проверено AST-тестом TC-12). Прод-деплой ORCH-027 — строго через staging-гейт (8501), без рестарта прод-контейнера (лейбл `arch:major-change`).
+  - **Флаги (`config.py`, env `ORCH_COVERAGE_*`, `.env.example`):** `coverage_gate_enabled` (kill-switch), `coverage_gate_repos`, `coverage_min_percent` (дефолт 0.0 — безопасный раскат: no-regression ведёт ratchet-базовая линия, floor не фейлит в день один), `coverage_policy` (дефолт `both`), `coverage_epsilon` (0.5), `coverage_tool_fail_closed` (False), `coverage_run_timeout_s` (900). Откат: `ORCH_COVERAGE_GATE_ENABLED=false` → полный no-op (мгновенный обратимый kill-switch).
+  - **Инфра-предусловие:** добавить `pytest-cov` в прод/staging-образ (`requirements.txt`). При первом применимом merge базовая линия засевается фактическим покрытием `main` (bootstrap). Тесты: `tests/test_coverage_gate.py` (TC-01…TC-15: режимы/границы/epsilon verdict, ratchet up-only + bootstrap + per-repo изоляция, applies/kill-switch, fail-open/closed, never-raise, write/read-back отчёта, self-hosting AST-safety, интеграция в `advance_stage` с откатом+release lease, реальное измерение pytest-cov на фикстур-репо + тайм-аут, snapshot + неизменность `QG_CHECKS`/`STAGE_TRANSITIONS`). Обновлены анти-регресс-реестры `QG_CHECKS` (`test_config`/`test_plane_status_model`/`test_qg_registry_snapshot`/`test_stages_invariants`) и edge-тесты `test_stage_engine` (`check_coverage_gate: _pass`). Полный регресс `tests/ -q` зелёный.
+- **Live-карточка трекера: HTML-инъекция «<1м» больше не застывает карточку — экранирование всех данных-полей на границе рендера** (ORCH-095, `fix`): карточка задачи (`src/notifications.py::render_task_tracker`) шлётся/редактируется с `parse_mode=HTML`. `_fmt_minutes` для стадии < 60 с возвращает литерал `"<1м"`, который интерполировался в HTML-текст **сырым** → Telegram парсит `<1м` как открывающий тег → `editMessageText` отвечает `400 can't parse entities: Unsupported start tag "1м"` → `edit_telegram` классифицирует как `EDIT_FAILED` → `update_task_tracker` делает ранний `return` (анти-дубль ORCH-087) → **карточка застывает** (детерминированно воспроизведено 09.06 на ORCH-093, `message_id 18854`). Корневой класс шире одного `<1м`: все подставляемые **данные** (длительности, статус-лейбл, модель, эффорт, токены/стоимость) вставлялись сырыми; экранирован был только заголовок (`esc_title`) и href/label внутри `plane_issue_link`. **Аддитивно, never-raise, без нового поведения конвейера:** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / транспорт нотификаций / схема БД — **не тронуты** (затронут ровно один модуль индикативного слоя); kill-switch не требуется (исправление дефекта корректности, откат = `git revert`).
+  - **Экранирование на границе рендера, не в источнике (ADR-001 D1/D2, AC-1/AC-2):** новый модуль-локальный хелпер `_esc(x) = html.escape(str(x))` (never-raise → `""` на исключении) оборачивает каждое подставляемое **данные-значение** (категория D) ровно один раз в точке интерполяции в `render_task_tracker`/`_stage_line`: длительности (`_fmt_minutes`/`_capped_review_str`), статус-лейбл (`_card_status_label`), модель (`short_model_name`), эффорт (`_run_effort`), токены/стоимость (`fmt_tokens`/`fmt_cost`). Функции-источники остаются **HTML-агностичными** (данные, не разметка): `src/usage.py` и `_fmt_minutes` не тронуты — `_fmt_minutes` продолжает возвращать `"<1м"`, безопасность даёт escape на границе (`&lt;1м` рендерится оператору визуально идентично `<1м` → видимый формат не меняется).
+  - **Категория M (намеренная разметка) неприкосновенна (D5, AC-3):** кликабельный номер задачи `num_html` (`plane_issue_link`, внутри уже экранированы href+label), `link_for(...)` в строке «⏳ ждёт …», `_done_link(...)` («🔗 PR #n · 📦 Внедрено») и уже-экранированный `esc_title` через `_esc` **не** проходят → остаются валидным HTML, номер остаётся кликабельным. Двойное экранирование (`&amp;lt;`) структурно исключено: D-слот → `_esc` ровно один раз, M-слот → as-is.
+  - **Defence-in-depth (D3):** экранируются и сейчас-безопасные D-поля (токены/стоимость/модель дают только цифры/`.`/`k`/`M`/`$`/`^claude-…$`) — escape для них no-op, выгода — структурный инвариант «каждый D-слот экранирован», устойчивый к будущей смене формата источника.
+  - **Восстановление застрявших карточек (D4, AC-4):** механизм — достаточное условие FR-4 без нового кода: на ближайшем переходе стадии `update_task_tracker` рендерит новый безопасный текст → `edit_telegram` отвечает `200` → застрявшая карточка обновляется на месте. Переклассификация `can't parse entities` → переотправка **отвергнута** (после фикса источник из наших данных устранён структурно; касание ветки `EDIT_FAILED`/леджера рискует анти-дублем ORCH-087). Known-limitation (унаследовано ORCH-087/Telegram-48ч): карточка задачи, завершившейся до деплоя фикса, не восстанавливается (нет будущего рендера).
+  - **Трассировка:** перед правкой блоков, помеченных ORCH-042/067/087/091, прочитаны их ADR — инварианты (одна карточка на задачу, леджер сирот + анти-дубль, отражение откатов + суммирование `_stage_line`, строка Plane-статуса/кликабельный номер) сохранены по построению (ORCH-095 лишь оборачивает уже вычисленные D-значения в `_esc`, не меняя состав строк/порядок/логику подавления).
+  - Тесты: новый `tests/test_tracker_html_escape.py` (TC-01..TC-11: sub-minute escape на границе, never-raise `_fmt_minutes`/`_esc` на граничных входах, рендер sub-minute без сырого `<1м`, заголовок со спецсимволами без двойного экранирования, escape статус-лейбла/модели/эффорта, HTML-безопасность токенов/стоимости, регресс кликабельного `<a href>` номера и `_done_link`, parse-safe edit-payload, edit-in-place без новой карточки + анти-дубль на транзиентном фейле, never-raise на битых входах). Полный регресс `tests/ -q` зелёный (1437). ADR: `docs/work-items/ORCH-095/06-adr/ADR-001-html-safe-card-data-render.md`. Откат: `git revert` (один модуль + тесты + CHANGELOG, без миграций/kill-switch).
+- **Терминальная (done) задача держит `Done` в Plane: terminal-window-aware гард deploy-статусов** (ORCH-094, `fix`): задача с БД `stage=done` и 0 активных job'ов (верифицировано на ORCH-061, task 47) стабильно флаппила в Plane `Awaiting Deploy ⟷ Monitoring after Deploy` (273 активности парами, само не затихает) вместо `Done`. Корень: три deploy-фазовых сеттера (`set_issue_awaiting_deploy`/`set_issue_deploying`/`set_issue_monitoring`) **терминал-слепы** — любой стейл/двойной/неизвестный вызов под бот-токеном перезаписывает `Done` промежуточным deploy-статусом, и обратно, бесконечно. **Аддитивно, never-raise, под kill-switch, в зоне self-hosting:** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи (`deploy_status:`/`staging_status:`/…) / схема БД — **не тронуты** (читается существующая `tasks.stage`, без миграции).
+  - **Единый гард на низком чокпоинте (FR-2, D1/D2):** новый leaf `src/deploy_status_guard.py` (чистая, never-raise, config-gated логика; по образцу `serial_gate.py`/`labels.py`/`cancel.py`) — `decide(work_item_id, target, reason) -> ALLOW | CONVERGE_DONE | SUPPRESS`. Гард ставится на **входе** трёх сеттеров `plane_sync` (а не в caller'ах `stage_engine`) → перехватывает **любой** путь, включая неизвестный актор под бот-токеном. Предикат легитимности: deploy-статус легитимен ⇔ задача **нетерминальна** ИЛИ (`done` **И** активно пост-деплой-окно `post_deploy.window_active` = ARMED & не DONE). Для `done`: `monitoring`+окно-активно → `ALLOW`; иначе → `CONVERGE_DONE` (сеттер вместо PATCH'а зовёт `set_issue_done`, идемпотентно). `cancelled` → `SUPPRESS` (не штампуем поверх терминала ORCH-090). Нетерминальная задача → `ALLOW` (рабочий deploy-цикл 1:1, AC-4). Task не найден / не-self репо / kill-switch off / любое исключение → `ALLOW` (fail-safe к прежнему поведению 1:1, NFR-1).
+  - **Перенос арм-блока перед terminal-sync (D3, AC-4):** в `advance_stage` (ветка `next_stage=="done"`) блок `post_deploy.arm_monitor` перемещён **выше** блока `set_issue_monitoring` (стр. 404). Критично: `update_task_stage(task_id,"done")` пишет `stage='done'` **раньше** легитимного первого `Monitoring` — без переноса гард ошибочно свёл бы его к Done. Арм-первым пишет `ARMED` → `window_active==True` → `ALLOW` пропускает легитимный `Monitoring`; re-drive `deploy→done` **после** закрытия окна (`DONE` present) → `window_active==False` → `CONVERGE_DONE` (не воскрешает `Monitoring`). Перенос безопасен: `arm_monitor` лишь пишет sentinel + ставит отложенный job, не зависит от Plane-статуса/merge-lease (release остаётся после terminal-sync). Инварианты ORCH-021 (идемпотентный арм по `ARMED`) и ORCH-066 (`deploy→done` self ⇒ `Monitoring`) сохранены.
+  - **Харднинг пост-деплой-монитора (FR-3, D4, AC-3):** `run_post_deploy_monitor` — существующий идемпотентный страж `has_marker(DONE)` (no-op завершённого окна) сохранён; аддитивно: тик при БД `stage='cancelled'` мид-окно → закрыть окно `mark_done` **без статус-PATCH и без перепостановки** следующего тика (zombie-tick guard). Перепостановка остаётся строго при `HEALTHY and ticks < budget` (тик ≡ job; нет job → нет тика). После закрытия окна — 0 последующих статус-PATCH; любой стейл `set_issue_monitoring` добивается гардом D2.
+  - **Наблюдаемость (FR-4, D5, AC-5):** аддитивный BC-kwarg `reason: str | None = None` у трёх сеттеров; call-site'ы передают `"advance:deploy->done"`/`"phase_a"`/`"phase_b"`. `decide` эмитит ОДНУ структурную запись на вызов: `work_item`, `caller(reason)`, `target_status`, `db_stage`, `window_active`, `verdict` (`ALLOW` → INFO; `CONVERGE_DONE`/`SUPPRESS` → WARNING, «что подавили и почему» — атрибуция будущего флаппа). Новый read-only аксессор `db.get_task_by_work_item_id` (human-readable `work_item_id` матчит живой ряд; тумбстоны ORCH-090 имеют суффикс `#cancelled-<id>`).
+  - **Конфиг/откат (FR-5, D6):** `src/config.py` `deploy_status_guard_enabled: bool = True` (env `ORCH_DEPLOY_STATUS_GUARD_ENABLED`; `False` → сеттеры терминал-слепы, поведение **1:1** прежнее) / `deploy_status_guard_repos: str = ""` (env `ORCH_DEPLOY_STATUS_GUARD_REPOS`; CSV, **пусто → self-hosting only** — не-self репо (enduro) гард не трогает, нулевая регрессия). Откат: `ORCH_DEPLOY_STATUS_GUARD_ENABLED=false` (мгновенный runtime) или revert ветки.
+  - **Источник флаппа (BR-7):** code-писатели deploy-статусов — только `stage_engine.py:404/1218/1316`; реконсилятор F-2 эти статусы не перебирает; live-overlay `notifications.py` — read-only. Гард — **буфер на стороне орка**, гасящий маятник за один цикл независимо от актора (известный/стейл/неизвестный под бот-токеном). Если актор — внешняя Plane-automation под другим токеном, code-фикс не закрывает её полностью, но идемпотентное схождение к Done нейтрализует видимый эффект.
+  - **Трассировка:** перед правкой блока `next_stage=="done"` (маркеры ORCH-021/066/043/088) прочитаны их ADR — инварианты сохранены (deploy→done self ⇒ Monitoring; монитор-close ⇒ Done; терминал-набор `{done,cancelled}`). Тесты: `tests/test_deploy_status_terminal_guard.py` (TC-01..05/12), `tests/test_post_deploy_monitor_termination.py` (TC-06..08), `tests/test_deploy_status_observability.py` (TC-09), `tests/test_reconciler_done_deploy_convergence.py` (TC-10), `tests/test_self_deploy_cycle_regression.py` (TC-11). Обновлены анти-регресс-ассерты `tests/test_deploy_terminal_sync.py`/`test_deploy_approve.py` под `reason`-kwarg. Полный регресс `tests/ -q` зелёный (1411). ADR: `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`, сквозной `docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`.
+- **Merge-актор ретраит транзиентные ошибки Gitea (405/5xx) + гард «ветка уже в `main`»** (ORCH-093, `fix`): две точечные доработки детерминированного merge-актора `src/merge_gate.py`, чинящие инцидент **ORCH-063**: self-deploy прошёл, staging OK, PR был `open`+`mergeable`, но `POST /pulls/{n}/merge` вернул `HTTP 405 "Please try again later"` (Gitea пересчитывал `mergeable` сразу после пуша) → one-shot `merge_pr` мгновенно вернул `False` → корректная защита ORCH-071/081 удержала задачу на `deploy` + потребовала ручной домерж; повторный прогон финализатора плодил мусорный пустой PR. **Аддитивно, never-raise, под существующими kill-switch'ами:** `STAGE_TRANSITIONS` / `QG_CHECKS` / схема БД — **не тронуты**; INV-4 (мерж только через Gitea PR-merge API, никогда `push`/`force-push` в `main`) сохранён 1:1.
+  - **Retry-loop транзиента (FR-1/FR-2, AC-1/AC-2/AC-3, D1/D2):** `merge_pr` оборачивает **только** мутирующий `POST …/merge` в ограниченный retry-loop с экспоненциальным backoff (`min(base*2^(i-1), max)`, дефолты 2/5 с → суммарный сон `(N-1)*max ≤ 10 с`, monitor-поток не подвешивается). Классификатор `_classify_merge_response`: **транзиент** (ретрай) — `405`/`408`/любой `5xx`/`httpx`-таймаут/сетевая ошибка, **и** `409`/`422` когда PR всё ещё mergeable; **терминал** (быстрый честный `False`, защита ORCH-071/081 как прежде) — `403`/`404`/реальный конфликт (`409`/`422` при `mergeable==False`). Неоднозначный `409`/`422` разрешается доп. `GET /pulls/{index}` → `mergeable`; дефолт-политика `mergeable==None`/недоступно → **транзиент** (fail-OPEN-в-ретрай: икота Gitea — наблюдаемый кейс, бюджет конечен, backstop сохранён). Каждая попытка логируется `attempt i/N` (образец `check_ci_green`).
+  - **Гард already-in-main (FR-3/FR-4, AC-4, D3/D4):** новый leaf `_branch_fully_in_main` (`git merge-base --is-ancestor HEAD origin/main` в per-branch worktree) вызывается в `ensure_open_pr` **между** «открытый code-PR не найден» и `POST …/pulls`: ветка целиком в `main` (нет коммитов `origin/main..HEAD`) → новый исход `"already-in-main"` **без создания PR** (нет мусорного пустого PR на уже влитой ветке). git-ошибка/ambiguous (`None`) → **fail-OPEN** (деградация на create-путь, НЕ ложный no-op). В `stage_engine._handle_merge_verify` исход `already-in-main` **пропускает** `merge_pr` (мержить нечего) и отдаёт авторитетному SHA-in-main (`verify_merged_to_main`) довести до `done`; это НЕ HOLD. SHA-in-main остаётся единственным доказательством мержа (ADR-0014).
+  - **Конфиг/откат (FR-5, AC-5/AC-7, D5):** новые поля `src/config.py` `merge_retry_enabled` (kill-switch; `False` → ровно один POST = байт-в-байт прежнее one-shot, нулевая регрессия) / `merge_retry_max_attempts` (3) / `merge_retry_backoff_base_s` (2) / `merge_retry_backoff_max_s` (5), env `ORCH_MERGE_RETRY_*`, дескрипторы в `.env.example`. Гард already-in-main — без отдельного флага (накрыт `merge_verify_autocreate_pr_enabled`). Откат: `ORCH_MERGE_RETRY_ENABLED=false` (мгновенный runtime) или revert PR.
+  - **Трассировка:** перед правкой `merge_pr`/`ensure_open_pr`/`_handle_merge_verify` прочитаны ADR ORCH-071/073/082 — инварианты (SHA-in-main authoritative, never-raise, idempotency-guard `pr_already_merged`, base==main фильтр code-PR) сохранены; в `MAIN_REGRESSION_MARKERS` добавлена строка `("ORCH-093", "_classify_merge_response", "src/merge_gate.py")` (append-only).
+  - Тесты: `tests/test_merge_gate.py` (TC-01..TC-12: 405×2→200, 5xx→200, network→200, реальный конфликт/403 терминал, ambiguous-mergeable, исчерпание ретраев, kill-switch one-shot, already-in-main без POST, create при коммитах сверх main, fail-OPEN на git-ошибке гарда, never-raise; `httpx` мокается, `time.sleep` → no-op), `tests/test_config.py` (TC-13: дефолты + env-override `ORCH_MERGE_RETRY_*`), `tests/test_merge_verify.py` (TC-14..TC-16: already-in-main пропускает `merge_pr`→done; исчерпание+SHA-not-in-main→HOLD; транзиент-успех→done). Обновлён `tests/test_orch082_ensure_pr.py` (гард запинён на create-путь — у гарда своё покрытие). Полный регресс `tests/ -q` зелёный (1389). ADR: `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`, сквозной `docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`.
+- **Live-карточка трекера: полнота карты статусов, отражение откатов, суммирование метрик стадии по попыткам** (ORCH-091, `fix`): три верифицированных дефекта рендера Telegram-карточки (`src/notifications.py`, ORCH-067/087). **Аддитивно, never-raise, без нового поведения конвейера:** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / транспорт нотификаций / схема БД — **не тронуты** (затронут ровно один модуль индикативного слоя); kill-switch не требуется (рендер деградирует безопасно, откат = `git revert`).
+  - **Деф.1 — застрявший заголовок «To Analyse» (FR-1/2/3, AC-1/2/3):** `_STAGE_STATUS_LABEL` покрывал 8 из 10 ключей `STAGE_TRANSITIONS` — `deploy-staging` и `cancelled` (ORCH-090) выпадали в дефолт-«To Analyse» (ложный «первый статус» на стадии staging-деплоя). Карта расширена: `deploy-staging → "Deploying (staging)"` (plain-стиль активной стадии, суффикс «(staging)» снимает коллизию с prod-overlay `_LIVE_BRANCH_LABELS['deploying']` и с pause-лейблом `deploy`), `cancelled → "Cancelled"` (offline-база ORCH-090, совпадает с overlay-лейблом → нет конфликта precedence). Runtime-фолбэк `plane_status_label` для **немаппленной** (будущей/неизвестной) стадии заменён с «To Analyse» на **нейтральный** капитализированный лейбл (`_neutral_stage_label`, `"deploy-staging" → "Deploy Staging"`); `created` остаётся явным ключом → честная «To Analyse»; битый/None-вход → безопасный дефолт. Полнота карты гарантируется **программно** тестом, итерирующим `STAGE_TRANSITIONS.keys()` (единый источник истины) — новая стадия без курируемого лейбла даёт красный тест; автогенерация лейблов в самом модуле запрещена (карта остаётся курируемой/человекочитаемой).
+  - **Деф.2 — ложная картина при откате (FR-4, AC-4):** цикл рендера выводил `✅`-строку для каждой стадии с завершённым прогоном её агента **без учёта позиции** относительно текущей — после отката (`deploy-staging → development` ORCH-043, `review → development` REQUEST_CHANGES) карточка показывала абсурд «✅ Внедрение … + 🔄 Разработка». Введён лёгкий read-only хелпер `_pipeline_pos` от **порядка `STAGE_TRANSITIONS`** (не от `_TRACKER_STAGES`, который не содержит `deploy-staging`/`cancelled` и не авторитетен по порядку); гейт подавления: `✅`-строка рисуется только если `current_pos >= _pipeline_pos(stage_key)`. Нормализация `deploy-staging → deploy` применяется **только** к вычислению текущей позиции (схлопнутая строка «Внедрение» несёт `stage_key="deploy"`); `is_active_stage` — **без изменений** (нулевой регресс активного рендера). Подавлённые откатом прогоны по-прежнему входят в тоталы задачи (намеренная семантика отката).
+  - **Деф.3 — занижение метрик строки стадии (FR-5, AC-5):** `_stage_line` брал ПОСЛЕДНИЙ прогон (`last_done`), теряя предыдущие попытки (верифицировано на ORCH-069: developer 3 прогона Σ $3.98 → карточка показывала ~$0.00). Теперь `_stage_line` агрегирует **ВСЕ** `agent_runs` агента стадии теми же per-run-формулами, что и блок тоталов (`Σ cost_usd`, `Σ _input_total`, `Σ output_tokens`, `Σ _duration_seconds`); модель/эффорт/«попытка N» берутся из последнего прогона (`id ASC`). Каждый агент привязан ровно к одной строке `_TRACKER_STAGES` → строгий инвариант сходимости: Σ(строк стадий) ≡ тоталы задачи ≡ `SUM(agent_runs)` по `task_id`. Формат строк/тоталов и эффорт-суффикс (ORCH-087) — байт-в-байт.
+  - **Совместимость/регресс (NFR-2, AC-6):** In Review (brd-clock), Awaiting Deploy (`deploy`), Done, live-overlay ветки (Needs Input / Blocked / Rejected / Cancelled / Confirm Deploy / Deploying / Monitoring), строка «Подтверждение BRD», формат строк/тоталов, эффорт-суффикс — без изменений; все существующие тесты карточки зелёные. Перед правкой кода, помеченного ORCH-067/087/090, прочитаны их ADR — инварианты (single-card, never-raise, разделение offline-ядра и live-overlay, терминал `cancelled`) сохранены.
+  - Тесты: `tests/test_tracker_status_line.py` (ORCH-091 TC-01..TC-03: полнота карты от `STAGE_TRANSITIONS`, staging-лейбл, нейтральный фолбэк/never-raise; обновлён `test_tc06_*` под нейтральный фолбэк), новый `tests/test_tracker_rollback_metrics.py` (TC-05..TC-08: подавление `✅` при откате + анти-регресс forward-progress/`deploy-staging`-строка; суммирование метрик developer 3 прогона ≈ $3.98; сходимость тоталов с `SUM(agent_runs)`; never-raise на NULL-таймстампах/битой стадии). Полный регресс `tests/ -q` зелёный (1370). ADR: `docs/work-items/ORCH-091/06-adr/ADR-001-tracker-status-rollback-metrics.md`. Откат: `git revert` (docs/code-only, один модуль, без миграций/kill-switch).
 - **Отмена задачи: Plane-статус STOP (остановка агента + полный сброс) + закрытие дыры релонча** (ORCH-090, `feat`): выделенный Plane-статус **STOP** — единый декларативный механизм отмены задачи вместо ручной хирургии по БД/процессам. Вводит **новое системное терминальное состояние `cancelled`** (стадия `tasks.stage='cancelled'` + job-исход `jobs.status='cancelled'`), равноправное `done`. **Аддитивно, под kill-switch, never-raise, restart-safe:** `STAGE_TRANSITIONS` (exit-гейты рёбер) / `QG_CHECKS` / `check_*` / семантика существующих статусов — **не тронуты** (`cancelled` — терминальный сток, не новое ребро); enduro не затронут; при `stop_status_enabled=false` — нулевая регрессия.
   - **Распознавание (fail-closed):** новый логический ключ `stop` в `_PLANE_NAME_TO_KEY` (`"STOP" → "stop"`), **намеренно отсутствует** в `_DEFAULT_STATES` (по образцу `confirm_deploy`/ORCH-059) → доска без статуса STOP резолвит `None` → ветка не активируется (нет `KeyError`, нет слепой отмены). `handle_issue_updated` маршрутизирует `stop` → `handle_stop` → `stage_engine.cancel_task` (проверяется ПЕРВЫМ, до to_analyse/approved/rejected).
   - **Полный сброс (вне критичного окна, AC-1..AC-4):** graceful SIGTERM активного агента через переиспользуемый каскад `launcher.stop_process` (вынесен из `_watchdog`: SIGTERM → grace → SIGKILL) по `jobs.pid`; `db.cancel_jobs_for_task` (queued/running → терминальный `cancelled`, нигде не реквью'ится — `claim_next_job` берёт только `queued`); `git_worktree.remove_worktree` + новый never-raise `src/gitea.py::delete_remote_branch` (удаляет **только** feature-ветку; `main`/`master` — явный гард-отказ; без force-push); durable `stage='cancelled'` + `cancelled_at`; **тумбстон** натуральных ключей суффиксом `#cancelled-<id>`. Docs-артефакты (`01..17`) сохраняются.

CLAUDE.md

@@ -7,7 +7,7 @@
 - Backend: FastAPI + uvicorn (Python 3.12)
 - БД: SQLite (`src/db.py`)
 - Агенты: Claude CLI (`ORCH_CLAUDE_BIN`), по одному промпту на роль в `.openclaw/agents/`. **ORCH-74:** модель/эффорт агента берутся ТОЛЬКО из config (`resolve_agent_model`/`resolve_agent_effort`, ORCH-41) — frontmatter `model:` удалён как мёртвый, frontmatter описательный; имя модели валидируется форматом `^claude-…$` перед `--model` (never-break). **ORCH-077 (52d, замыкает эпик 52):** тело всех 6 промптов переписано в едином **каноне Anthropic** (5 обязательных XML-секций в нормативном порядке `<context>`→`<task>`→`<deliverables>`→`<constraints>`→`<output_format>`, запреты в формате «❌ X → ✅ Y», `<thinking>` у решающих ролей), и каждый промпт **добровольно** эмитит 6-польную frontmatter-схему 52c (`work_item`/`stage`/`author_agent`/`status`/`created_at`/`model_used`) **аддитивно** — рядом с machine-verdict ключом, НЕ меняя его имя/регистр/значения (`verdict:`/`result:`/`staging_status:`/`deploy_status:`/`security_status:` — байт-в-байт). Это **docs/prompts-only** изменение: `src/**`/`STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД не тронуты; `frontmatter_validation_strict` остаётся `False` (enforcement НЕ включён). Промпт `cat`-ается из worktree в момент запуска → новые промпты вступают в силу на следующем worktree от `main` без прод-рестарта. Анти-регресс — структурные тесты `tests/test_agent_prompts_canon.py` + зелёный `test_agent_frontmatter_no_model.py`. **Норматив на будущее:** новые/изменённые агент-промпты следуют этому канону. Детали — `docs/architecture/adr/adr-0021-prompt-canon-anthropic.md`. **ORCH-092 (эпилог эпика 52, docs/prompts-only):** аудит 6 промптов поверх канона — копируемые frontmatter-примеры расхардкожены (`created_at: <YYYY-MM-DD>`/`model_used: <resolve ORCH-41>` + врезка «подставь `date +%F`/модель из конфига, не копируй буквально»; литерал `claude-opus-4-8` — только справка в таблице полей); добавлена секция `<escalation>` developer/reviewer/tester (после `</success_criteria>`, порядок 5 секций цел); developer лишён ручного `git rebase origin/main` (свежесть базы — инвариант движка serial-gate ORCH-088 + `auto_rebase_onto_main` под merge-lease; ручной rebase конфликтовал с запретом force-push — ADR-001 D1); tester обогащён worktree-путём + smoke `serial_gate` + покрытием каждого TC; из reviewer удалена мёртвая строка «тот же экземпляр Developer». **Языковое исключение (нормативно, ADR-001 D2):** `deployer.md` сознательно остаётся на **английском** (5 ru + 1 en) как самый safety-critical промпт — НЕ «чинить» язык вслепую; критичные self-hosting-запреты подняты в видную рамку. Verdict-ключи и канон 52d — байт-в-байт; анти-регресс — `tests/test_agent_prompts_canon.py` (ORCH-092 TC-01…TC-08). Детали — `docs/work-items/ORCH-092/06-adr/ADR-001-developer-rebase-and-deployer-language.md`.
-- Очередь задач: собственная (SQLite `jobs`, `src/queue_worker.py`, ORCH-1). **ORCH-026:** `claim_next_job` гейтит задачи с незавершёнными зависимостями (`job_deps`, `NOT EXISTS`) без занятия слота `max_concurrency`; декларации/детект циклов — leaf `src/task_deps.py` (kill-switch `ORCH_TASK_DEPS_ENABLED`). Сериализация мержа одного репо — безусловный pre-merge rebase под merge-lease (`ORCH_PREMERGE_REBASE_ALWAYS`). **ORCH-088 (serial gate, Этап 1):** новая задача репо не входит в `analysis` (analyst-job не выбирается, ветка не режется), пока в репо есть **более ранняя** незавершённая задача (`t2.id < jobs.task_id`, FIFO) ИЛИ репо заморожен (`repo_freeze`). Срез ветки **отложен** со `start_pipeline` на момент claim analyst-job (`launcher._materialize_deferred_branch`) — база = свежий `origin/main` с кодом предшественника (анти-stale-base). Post-deploy `DEGRADED` → durable per-repo freeze (`repo_freeze`, `cleared_at IS NULL` = активен) + Telegram; снятие — вручную `POST /serial-gate/unfreeze?repo=…`. Leaf `src/serial_gate.py` (claim — fail-OPEN, freeze — fail-CLOSED); флаги `ORCH_SERIAL_GATE_ENABLED` (kill-switch), `ORCH_SERIAL_GATE_REPOS` (CSV; пусто = все репо), `ORCH_SERIAL_GATE_FREEZE_ENABLED`. Блок `serial_gate` в `GET /queue`. `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты.
+- Очередь задач: собственная (SQLite `jobs`, `src/queue_worker.py`, ORCH-1). **ORCH-026:** `claim_next_job` гейтит задачи с незавершёнными зависимостями (`job_deps`, `NOT EXISTS`) без занятия слота `max_concurrency`; декларации/детект циклов — leaf `src/task_deps.py` (kill-switch `ORCH_TASK_DEPS_ENABLED`). Сериализация мержа одного репо — безусловный pre-merge rebase под merge-lease (`ORCH_PREMERGE_REBASE_ALWAYS`). **ORCH-088 (serial gate, Этап 1):** новая задача репо не входит в `analysis` (analyst-job не выбирается, ветка не режется), пока в репо есть **более ранняя** незавершённая задача (`t2.id < jobs.task_id`, FIFO) ИЛИ репо заморожен (`repo_freeze`). Срез ветки **отложен** со `start_pipeline` на момент claim analyst-job (`launcher._materialize_deferred_branch`) — база = свежий `origin/main` с кодом предшественника (анти-stale-base). Post-deploy `DEGRADED` → durable per-repo freeze (`repo_freeze`, `cleared_at IS NULL` = активен) + Telegram; снятие — вручную `POST /serial-gate/unfreeze?repo=…`. Leaf `src/serial_gate.py` (claim — fail-OPEN, freeze — fail-CLOSED); флаги `ORCH_SERIAL_GATE_ENABLED` (kill-switch), `ORCH_SERIAL_GATE_REPOS` (CSV; пусто = все репо), `ORCH_SERIAL_GATE_FREEZE_ENABLED`. Блок `serial_gate` в `GET /queue`. `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты. **ORCH-093 (merge-актор устойчив к икоте Gitea):** детерминированный merge-актор под-гейта `deploy → done` (`src/merge_gate.py`) ретраит **транзиентные** ошибки Gitea вместо ложного HOLD (инцидент ORCH-063: `POST …/merge` → `405 "try again later"` сразу после пуша). `merge_pr` оборачивает **только** мутирующий `POST …/merge` в ограниченный retry-loop с экспоненциальным backoff (`min(base*2^(i-1), max)`, потолок суммарного сна `(N-1)*max ≤ 10 с`); классификатор `_classify_merge_response`: транзиент (ретрай) — `405`/`408`/`5xx`/таймаут/сетевая + `409`/`422` при `mergeable==True` (доп. `GET /pulls/{index}`; `mergeable==None` → дефолт-транзиент, fail-OPEN-в-ретрай), терминал (быстрый честный `False`, защита ORCH-071/073 как прежде) — `403`/`404`/реальный конфликт (`mergeable==False`). Kill-switch `merge_retry_enabled=false` → ровно один POST (байт-в-байт прежнее one-shot); флаги `ORCH_MERGE_RETRY_*` (`max_attempts=3`, `backoff_base_s=2`, `backoff_max_s=5`). Гард **already-in-main** в `ensure_open_pr` (leaf `_branch_fully_in_main`, `git merge-base --is-ancestor HEAD origin/main`): ветка целиком в `main` → исход `"already-in-main"` без создания мусорного пустого PR; `_handle_merge_verify` пропускает `merge_pr` и отдаёт авторитетному SHA-в-main довести до `done` (НЕ HOLD); git-ошибка → fail-OPEN на create-путь. Без отдельного флага (накрыт `merge_verify_autocreate_pr_enabled`). INV-4 (мерж только через Gitea PR-merge API, никогда push/force-push в `main`), never-raise, `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД — сохранены. Детали — `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`, сквозной `docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`.
 - Контейнеризация: Docker + Compose
 - CI/CD: Gitea Actions (`.gitea/workflows/`)
 - Деплой: docker compose на mva154
@@ -41,6 +41,8 @@ created → analysis → architecture → development → review → testing →
 ## Статусная модель Plane (ORCH-066) — индикация ≠ управление
 Статусы Plane — это **слой B (индикация)**, отдельный от **слоя A (машина стадий)** `src/stages.py::STAGE_TRANSITIONS`. Plane показывает наблюдателю осмысленную картину (`Backlog → Todo → Analysis → Architecture → Development → Code-Review → Testing → Awaiting Deploy → Deploying → Monitoring after Deploy → Done` + человеческие гейты `In Review/Approved`, `Confirm Deploy`), но НИКОГДА не управляет конвейером. Маппинг и сеттеры — `src/plane_sync.py` (6 новых ключей: `to_analyse/analysis/code_review/awaiting_deploy/deploying/monitoring`), с project-relative alias-fallback: на частично сконфигурированном проекте новый ключ деградирует на базовый UUID ТОГО ЖЕ проекта (нулевая регрессия для enduro-trails). Детали — `docs/architecture/README.md`.
 
+**Terminal-window-aware гард deploy-статусов (ORCH-094).** Задача с БД `stage=done` и 0 активных job'ов стабильно держит Plane=`Done`: три deploy-фазовых сеттера (`set_issue_awaiting_deploy`/`set_issue_deploying`/`set_issue_monitoring`) были терминал-слепы и флаппили `Awaiting ⟷ Monitoring` (верифицировано на ORCH-061, task 47), т.к. любой стейл/двойной/неизвестный вызов под бот-токеном перезаписывал терминал промежуточным статусом. Новый leaf `src/deploy_status_guard.py` (чистая, never-raise, config-gated; по образцу `serial_gate`/`labels`/`cancel`) — `decide(work_item_id, target, reason) -> ALLOW | CONVERGE_DONE | SUPPRESS` на **входе** трёх сеттеров `plane_sync` (низкий чокпоинт ловит любой путь, включая неизвестный актор). Инвариант: deploy-статус легитимен ⇔ задача **нетерминальна** ИЛИ (`done` И активно пост-деплой-окно `post_deploy.window_active` = ARMED & не DONE); иначе для `done` — идемпотентное `CONVERGE_DONE` (сеттер зовёт `set_issue_done`), для `cancelled` — `SUPPRESS`. Чтобы легитимный первый `Monitoring` (БД уже `done` к моменту стр. 404) прошёл, арм-блок `post_deploy.arm_monitor` **перенесён выше** terminal-sync-блока в `advance_stage` (ADR-001 D3) → `window_active==True` до выставления `Monitoring`. Монитор-тик при БД `cancelled` мид-окно → закрыть окно без статус-PATCH (zombie-tick guard, FR-3). Наблюдаемость: BC-kwarg `reason` у трёх сеттеров + одна структурная лог-запись на вердикт (`work_item`/`caller`/`target`/`db_stage`/`window_active`/`verdict`; converge/suppress → WARNING). Read-only аксессор `db.get_task_by_work_item_id`. Флаги `deploy_status_guard_enabled` (kill-switch; `False` → 1:1 прежнее) / `deploy_status_guard_repos` (CSV; **пусто → self-hosting only**, enduro не затронут). `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема БД — не тронуты. Детали — `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`, сквозной `docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`.
+
 ## Нотификации / Telegram live-tracker (ORCH-042/066/067/087)
 Каждая задача = **одна карточка** в Telegram (`src/notifications.py`). Поведение карточки:
 - **Дефолт `tracker_mode` — `bump`** (ORCH-067; `edit` доступен через `ORCH_TRACKER_MODE=edit`).
@@ -151,6 +153,126 @@ created → analysis → architecture → development → review → testing →
   `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`,
   `docs/architecture/adr/adr-0026-stop-cancel-task.md`.
 
+## Багфикс-трек: дешёвый маршрут для багов (ORCH-019)
+Задача с меткой Plane `Bug` идёт **укороченным маршрутом** — пропускается стадия `architecture`
+(отдельный прогон opus-агента `architect` + ADR + exit-гейт `check_architecture_done`); тяжёлая
+аналитика заменяется облегчённым пакетом (короткий bug-report + обязательный план регресс-теста,
+но всё равно все 4 файла analysis — гейт `check_analysis_complete` не меняется). **Корневой
+инвариант (NFR-1):** срезается ТОЛЬКО аналитика/архитектура — **все Quality Gate'ы и под-гейты
+исполняются без изменений** (`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи —
+байт-в-байт прежние); маршрутизация багфикса — свойство планировщика, **не** гейт. Аддитивно, под
+kill-switch, never-raise, fail-safe → полный цикл.
+- **Классификация (D1):** leaf `src/bug_fast_track.py` (never-raise, образец `labels`/`serial_gate`).
+  `bug_fast_track_applies(repo)` (локально, без сети) ПЕРВЫМ → выключенный флаг = нулевой сетевой
+  оверхед; `is_bug_task` делегирует в `labels.has_label` (ORCH-089-аппарат, источник истины — Plane
+  API, не payload). Чтение метки — только в `start_pipeline`, **никогда** в горячем `claim_next_job`
+  (NFR-4).
+- **Хранение типа (D2):** аддитивная идемпотентная колонка `tasks.track TEXT DEFAULT 'full'`
+  (`_ensure_column`, паттерн `tasks.cancelled_at`); значения `'full'` (дефолт, ВСЕ существующие и
+  не-баг задачи) | `'bug'`. Хелперы `db.set_task_track`/`get_task_track` (отсутствие/NULL → `'full'`,
+  fail-safe). Читается в `advance_stage` из БД, не из сети.
+- **Routing-override (D3):** врезка в `advance_stage` на ребре выхода из `analysis`: при `track='bug'`
+  (чистый предикат `bug_fast_track.skips_architecture`) `next_stage` → `development`, `next_agent` →
+  `developer` (минуя `architect`). `STAGE_TRANSITIONS`/`get_next_stage`/`get_agent_for_stage` — чистые,
+  1:1. Стамп `mark_brd_review_ended` расширен на `analysis → development` (честная метрика ORCH-087).
+- **Эскалация (D5):** `POST /bug-fast-track/escalate?work_item=<id>` сбрасывает `track` `'bug'→'full'`
+  → следующий переход уходит в `architecture` (полный цикл). Плюс self-escalate мини-аналитика
+  («баг сложный → полный пакет + `escalate: full-cycle`»).
+- **Флаги** (`config.py`): `bug_fast_track_enabled` (kill-switch, env `ORCH_BUG_FAST_TRACK_ENABLED`),
+  `bug_fast_track_label` (дефолт `Bug`), `bug_fast_track_repos` (CSV; **пусто → self-hosting only**).
+  `False`/неприменимый репо → старт и маршрут байт-в-байт прежние (нулевая регрессия для enduro и
+  orchestrator). Наблюдаемость — read-only блок `bug_fast_track` в `GET /queue` (флаг/метка/область +
+  счётчик багфикс-задач + метрика пропущенных стадий `architecture`) + отметка `🐞` в Telegram-карточке
+  (never-raise). Композиция: багфикс-задача — обычная задача репо для serial-gate (ORCH-088, не
+  обходит его); `autoApprove`/`autoDeploy` (ORCH-089), coverage-gate (ORCH-027, союзник BR-4),
+  merge-gate (ORCH-043) — штатно. **Инфра-предусловие:** создать метку **`Bug`** в Plane-проекте ORCH
+  (её отсутствие = fail-safe полный цикл). Детали —
+  `docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md`,
+  `docs/architecture/adr/adr-0032-bug-fast-track.md`.
+
+## Гейт покрытия тестами (ORCH-027)
+Существующие тестовые гейты (`check_ci_green`, `check_tests_passed`, merge-gate re-test) судят
+только по **факту** прохождения, не по **полноте** — ни один не замечает «300 строк кода, 0
+тестов», и при пакетном автономном прогоне (ORCH-088) покрытие монотонно деградирует. Введён
+**детерминированный (без LLM) под-гейт ребра `deploy-staging → deploy`** по образцу security-гейта
+(ORCH-022): leaf `src/coverage_gate.py` (never-raise) + тонкая обёртка `check_coverage_gate` в
+`QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. **Инвариант:** `STAGE_TRANSITIONS` /
+семантика существующих `check_*` / machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/
+`staging_status:`/`security_status:`) — байт-в-байт прежние; новая БД-таблица аддитивна (NFR-5).
+- **Точка/порядок:** **ПОСЛЕ merge-gate** (покрытие меряется на догнанном `auto_rebase_onto_main`
+  HEAD — ровно том коде, что landed в `main`) и **ДО image-freshness** (фейл до дорогого
+  docker-rebuild). Порядок под-гейтов: **security → merge → coverage → image-freshness.** FAIL →
+  штатный откат на `development` (+ инкремент developer-retry, cap `MAX_DEVELOPER_RETRIES`) **и
+  освобождение merge-lease** (merge-gate держал его на своём PASS — зеркало image-freshness rollback).
+- **Измерение:** `python -m pytest tests/ --cov=src --cov-report=json` в изолированном per-branch
+  worktree (`ensure_worktree`); метрика — `totals.percent_covered` (line coverage `src/`). Измеритель
+  за `measure_coverage(repo, branch) -> float | None` (стек-расширяемость BR-6). Тайм-аут
+  `coverage_run_timeout_s`. Новая pip-зависимость `pytest-cov`.
+- **Решение — чистая функция** `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)
+  -> (ok, reason)`: `absolute` → `measured ≥ floor−ε`; `baseline` → `measured ≥ baseline−ε`; `both`
+  (дефолт) → оба; `baseline is None` (bootstrap) → baseline-условие не применяется. `epsilon` —
+  допуск на шум измерения (анти-флап у границы).
+- **Базовая линия — аддитивная БД-таблица** `coverage_baseline(repo PK, coverage, source_sha,
+  updated_at)` (`CREATE TABLE IF NOT EXISTS`; хелперы `db.get_coverage_baseline`/
+  `ratchet_coverage_baseline`/`set_coverage_baseline`). Наращивание **только вверх** в choke-point
+  подтверждённого merge `_handle_merge_verify` (ребро `deploy → done`): `ratchet_baseline_on_merge`
+  читает измеренное из `18-coverage-report.md` (single source of truth), атомарный compare-and-set
+  `UPDATE … WHERE coverage <= measured` под держимым merge-lease (ORCH-043) → базовая линия не падает
+  даже при гонке; bootstrap засевается первым применимым merge.
+- **Условность (как ORCH-22/43/58):** `coverage_gate_enabled` (kill-switch; `False` → 1:1 как до
+  ORCH-027) + `coverage_gate_repos` (CSV; **пусто → self-hosting only** `is_self_hosting_repo` →
+  enduro не затронут, no-op `(True, "N/A")`); `applies(repo)` (локально) ПЕРВЫМ — дорогой прогон
+  только при `applies==True`. Ошибка инструмента/непарсимая метрика → **fail-open + WARNING** по
+  умолчанию (`coverage_tool_fail_closed=False`, анти-петля); флаг → fail-closed.
+- **Артефакт `18-coverage-report.md`** (frontmatter `coverage_status: PASS|FAIL` +
+  `measured_coverage`/`baseline`/`floor`/`policy`/`epsilon`/`delta`), вердикт читается ТОЛЬКО из
+  frontmatter через `src/frontmatter.py` (single source of truth, как `security_status:`).
+  Наблюдаемость — read-only блок `coverage` в `GET /queue`; при FAIL — `send_telegram` с кликабельным
+  номером, измеренным/порогом/дельтой; опциональный ручной override `POST /coverage/baseline`.
+  Флаги `ORCH_COVERAGE_*` (`MIN_PERCENT`/`POLICY`/`EPSILON`/`TOOL_FAIL_CLOSED`/`RUN_TIMEOUT_S`).
+  Self-hosting-безопасно: гейт только мерит/читает/пишет/решает — не деплоит/не рестартит прод/не
+  пушит `main`. **Инфра-предусловие:** `pytest-cov` в прод/staging-образе. Детали —
+  `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`,
+  `docs/architecture/adr/adr-0029-coverage-gate.md`.
+
+## Машинный журнал уроков (ORCH-098)
+Шаг 1 («Фундамент», F2) эпика саморазвития: формализует свободнотекстовые «уроки» из `memory/` в
+**машинную структурированную таблицу отклонений конвейера** `lessons`, фундамент для будущих
+ретроспективщика (E2), приоритизатора RICE (E3) и Стрим. Чистый **observer-leaf** `src/lessons.py`
+(never-raise, kill-switch, паттерн `serial_gate`/`coverage_gate`/`metrics`): `record()`/`get()`/
+`update()`/`snapshot()`. **Инвариант:** журнал — наблюдатель, **не** Quality Gate; запись урока
+никогда не влияет на продвижение по стадиям — `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/
+machine-verdict/схемы существующих таблиц байт-в-байт не тронуты.
+- **Таблица (D1):** аддитивная идемпотентная `lessons` (`CREATE TABLE IF NOT EXISTS` в `init_db()`,
+  три индекса) — контекст (`work_item_id`/`task_id`/`stage`/`agent`/`repo`), анализ (`root_cause`/
+  `suggestion`), статус (`status`/`related_task`), **атрибуция сразу и нуллабельно** (`attribution`/
+  `target_repo`/`target_domain`, требование Славы 10.06 / NFR-6, заполняется позже через update;
+  `_ensure_column` форвард-safe на старой таблице) + `source`/`detail`. Без `enum`-констрейнтов —
+  значения суть forward-compatible слаги. Хелперы `db.record_lesson`/`get_lessons`/`update_lesson`/
+  `lessons_snapshot`/`lessons_recent_dup_exists`.
+- **НЕ скоупится по репо (D2):** в отличие от гейт-leaf'ов (`serial_gate`/`coverage_gate` имеют
+  `*_repos`, т.к. *действуют* на репо), журнал observer-only → единственный регулятор — глобальный
+  kill-switch `lessons_enabled` (env `ORCH_LESSONS_ENABLED`, дефолт `True`); **`lessons_repos` НЕ
+  вводится**. Recorder пишет уроки про **любой** репо (включая enduro-trails — урок ценен для петли);
+  репо-разрез — на **выборке** (`get(repo=…)`). enduro не затронут (общая БД, аддитивная таблица).
+- **Автозапись 4 типов (D3):** тонкие best-effort врезки (`source="auto"`, never-raise, дедуп) —
+  `gate_failure` (`stage_engine._handle_qg_failure_rollbacks`, откат на `development`), `merge_hold`
+  (`stage_engine._handle_merge_verify` HOLD-ветка), `transient_retry` (`launcher._finalize_transient`
+  на **исчерпании** бюджета ретраев, а не на каждом backoff), `deploy_degraded` (post-deploy
+  `DEGRADED → set_repo_freeze`, урок слоя-3 «деплой OK / прод сломан» ET-8 — `attribution="unknown"`,
+  классифицируется позже).
+- **Дедуп (D4):** для `source="auto"` — один indexed-SELECT по `idx_lessons_wi_type`: дубль с тем же
+  `(work_item_id, lesson_type, stage)` в окне `lessons_dedup_window_s` (env, дефолт 3600с) → no-op.
+  `source="manual"` дедуп НЕ проходит (оператор/Стрим всегда пишут).
+- **Эндпоинты (D5):** `GET /lessons` (read-only, фильтры `type`/`status`/`repo`/`work_item`/`limit`),
+  `POST /lessons` (ручная запись, `source="manual"`), `POST /lessons/{id}` (доклассификация/update);
+  read-only ключ `lessons` в `GET /queue`. Выключенный флаг → `{"enabled": false}`.
+- **never-raise (NFR-1):** все публичные функции и врезки изолированы (`try/except` → warning +
+  безопасный дефолт) — сбой журнала не роняет конвейер. Self-hosting-безопасно: только читает/пишет
+  свою таблицу, не деплоит/не рестартит прод/не трогает `main`/без процессов/сети. Детали —
+  `docs/work-items/ORCH-098/06-adr/ADR-001-lessons-journal.md`,
+  `docs/architecture/adr/adr-0034-lessons-journal.md`.
+
 ## Конвенции
 - Conventional Commits (`feat:`, `fix:`, `docs:`, `refactor:`, `test:`)
 - Ветки: `feature/ORCH-NNN-slug`, `fix/ORCH-NNN-slug`
@@ -160,7 +282,7 @@ created → analysis → architecture → development → review → testing →
 - Машинные вердикты Quality Gate — строго YAML-frontmatter (`verdict:`, `deploy_status:`, `staging_status:`, `security_status:`), никогда проза. **ORCH-52c (ORCH-076):** парсинг frontmatter сведён к единому контракту `src/frontmatter.py` (reader `read_frontmatter_value` — BC; единый парс-примитив `parse_frontmatter`; writer `render/write_frontmatter`; валидатор схемы `validate_schema`/`REQUIRED_FIELDS` — warning-only по умолчанию, hard-fail только под kill-switch `frontmatter_validation_strict`, дефолт `False`). Пять вердикт-парсеров (`check_reviewer_verdict`, `_parse_tests_verdict`, `_parse_deploy_status`, `_parse_staging_status`, `parse_security_status`) читают через ОДНУ точку парсинга; семантика вердиктов и `STAGE_TRANSITIONS`/состав `QG_CHECKS` — 1:1. Формальная спека «стадия → обязательный выход» + обязательная frontmatter-схема — `docs/_standards/HANDOFF_PROTOCOL.md`
 
 ## Артефакты задачи (`docs/work-items/<plane-id>/`)
-`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`, `16-post-deploy-log.md` (post-deploy наблюдение, ORCH-021), `17-security-report.md` (security-гейт: `security_status:`/secrets/deps, ORCH-022).
+`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`, `16-post-deploy-log.md` (post-deploy наблюдение, ORCH-021), `17-security-report.md` (security-гейт: `security_status:`/secrets/deps, ORCH-022), `18-coverage-report.md` (coverage-гейт: `coverage_status:`/measured/baseline, ORCH-027).
 
 **Стандарт документов (ORCH-075, ORCH-52b):** структура каждого дока, карта «стадия→агент→документ→гейт→machine-key» и конвенция ADR-naming зафиксированы в `docs/_standards/PIPELINE_DOCS.md` (golden source); копируемые скелеты — в `docs/_templates/`. Перед написанием номерного дока бери скелет из `docs/_templates/` и не меняй имя machine-key frontmatter (регистр чувствителен — иначе гейт упадёт ложно).
 

README.md

@@ -45,6 +45,7 @@ created → analysis → architecture → development → review → testing →
 | GET | `/queue` | Очередь задач (ORCH-1): counts по статусам + max_concurrency + последние 10 jobs |
 | POST | `/webhook/plane` | Plane webhook receiver |
 | POST | `/webhook/gitea` | Gitea webhook receiver |
+| POST | `/bug-fast-track/escalate?work_item=<id>` | Эскалация багфикс-задачи в полный цикл (ORCH-019): сброс `track` `'bug'→'full'` → следующий переход уходит в `architecture` |
 
 ## Структура проекта
 
@@ -140,6 +141,9 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_QG0_TITLE_MAX` | Верхний лимит длины заголовка QG-0 (вход `_qg0_errors`); невалидное/пустое значение → дефолт (ORCH-069) | `200` |
 | `ORCH_STOP_STATUS_ENABLED` | Kill-switch отмены задачи по Plane-статусу **STOP** + закрытия дыры релонча (ORCH-090); `false` → поведение 1:1 как до ORCH-090 | `true` |
 | `ORCH_STOP_STATUS_REPOS` | CSV область репо для STOP-отмены; пусто = все репо (ORCH-090) | `""` |
+| `ORCH_BUG_FAST_TRACK_ENABLED` | Kill-switch багфикс-трека (ORCH-019): задача с меткой Plane `Bug` пропускает стадию `architecture`; `false` → старт и маршрут 1:1 как до ORCH-019 (нулевая регрессия) | `true` |
+| `ORCH_BUG_FAST_TRACK_LABEL` | Имя метки Plane, активирующей багфикс-трек (ORCH-019) | `Bug` |
+| `ORCH_BUG_FAST_TRACK_REPOS` | CSV область репо для багфикс-трека; **пусто → self-hosting only** (`orchestrator`) — enduro подключается явным CSV (ORCH-019) | `""` |
 
 ## Очередь задач (ORCH-1 / F-2b)
 
@@ -181,6 +185,36 @@ ORCH-090/06-adr/ADR-001-stop-cancel-task.md` + сквозной
 > группой `cancelled`. До создания статуса фича в fail-safe (нет UUID → ветка STOP
 > не активируется).
 
+## Багфикс-трек: дешёвый маршрут для багов (ORCH-019)
+
+Задача с меткой Plane `Bug` (имя метки — `ORCH_BUG_FAST_TRACK_LABEL`, дефолт `Bug`)
+идёт **укороченным маршрутом** конвейера: `analysis(lite) → development → review →
+testing → deploy-staging → deploy → done`, т.е. **пропускается стадия `architecture`**
+(отдельный прогон opus-агента `architect` + ADR + exit-гейт `check_architecture_done`).
+Мини-аналитик выдаёт облегчённый пакет (короткий bug-report + обязательный план
+регресс-теста), но всё равно все 4 файла analysis — гейт `check_analysis_complete`
+не меняется.
+
+**Корневой инвариант:** упрощается только аналитика/архитектура — **все Quality
+Gate'ы и под-гейты исполняются без изменений** (`STAGE_TRANSITIONS` / `QG_CHECKS` /
+`check_*` / machine-verdict ключи — байт-в-байт прежние). Маршрутизация багфикса —
+свойство планировщика (routing-override в `advance_stage` по `tasks.track='bug'`),
+**не** Quality Gate.
+
+Классификация (`src/bug_fast_track.py`, never-raise): локальный `bug_fast_track_applies(repo)`
+ПЕРВЫМ (выключенный флаг = нулевой сетевой оверхед), затем `is_bug_task` через
+`labels.has_label` (источник истины — Plane API). Тип хранится в аддитивной колонке
+`tasks.track` (`'full'` | `'bug'`), читается в горячем пути из БД (не из сети).
+**Эскалация** сложного/архитектурного бага в полный цикл — `POST /bug-fast-track/escalate?work_item=<id>`
+(сброс `'bug'→'full'`). Всё под kill-switch `ORCH_BUG_FAST_TRACK_ENABLED`, область —
+`ORCH_BUG_FAST_TRACK_REPOS` (пусто → self-hosting only), fail-safe → полный цикл.
+Наблюдаемость — блок `bug_fast_track` в `GET /queue` + отметка `🐞` в Telegram-карточке.
+Деталь — `docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md` + сквозной
+`docs/architecture/adr/adr-0032-bug-fast-track.md`.
+
+> **Инфра-предусловие:** на доске Plane проекта ORCH создать метку **`Bug`**. До её
+> создания фича в fail-safe (нет метки → задача идёт полным циклом).
+
 **Resilience-слой:** дешёвый preflight (CLI/net, кэш, без токенов) гейтит claim;
 429/overload детектится по логу (transient vs permanent), transient ретраится с
 exp-backoff (`available_at`, Retry-After); circuit breaker паузит воркер после N

docker-compose.yml

@@ -38,6 +38,39 @@ services:
     group_add:
       - "999"
 
+  # ORCH-100 (FND/F1b): sidecar-watchdog — the monitoring brain in a SEPARATE
+  # container (observer separated from observed, ADR-001 D2). Deploying it builds
+  # ONLY this service — the prod `orchestrator` is NOT rebuilt/restarted.
+  #   * network_mode: host -> /metrics reachable at http://127.0.0.1:8500/metrics
+  #     and host interfaces visible for memory/disk reads.
+  #   * docker.sock mounted :ro AND the code is GET-only (double read-only guard).
+  #   * host disk paths bind-mounted :ro so shutil.disk_usage sees the host FS but
+  #     can never write (opt-in disk ceiling, D6).
+  #   * mem_limit caps the thin stdlib daemon (D2): OOM = early "sidecar grew" signal.
+  #   * WATCHDOG_ENABLED=false (or simply not starting the service) -> inert.
+  orchestrator-watchdog:
+    build:
+      context: .
+      dockerfile: watchdog/Dockerfile
+    container_name: orchestrator-watchdog
+    restart: unless-stopped
+    init: true
+    network_mode: host
+    mem_limit: 128m
+    mem_reservation: 32m
+    volumes:
+      - /var/run/docker.sock:/var/run/docker.sock:ro
+      - /home/slin/repos:/repos:ro
+      - ./data:/app/data:ro
+    # Optional env_file (required: false): a missing .env.watchdog must NOT fail
+    # `docker compose up` for the prod orchestrator (self-hosting safety). Absent
+    # file -> WATCHDOG_* defaults, no token -> fail-safe (logs, does not send).
+    env_file:
+      - path: .env.watchdog
+        required: false
+    group_add:
+      - "999"
+
   # ORCH-31: staging instance (port 8501, isolated DB).
   # Starts ONLY with: docker compose --profile staging up -d orchestrator-staging
   # Normal "docker compose up -d" does NOT start this service.

docs/_standards/PIPELINE_DOCS.md

@@ -2,7 +2,7 @@
 
 > **Назначение.** Единая карта «стадия → агент → документ → категория → гейт/механизм →
 > frontmatter machine-key» + конвенция ADR-naming. Это **golden source структуры** номерных
-> документов work item (`00-business-request.md` … `17-security-report.md`), который каждая
+> документов work item (`00-business-request.md` … `18-coverage-report.md`), который каждая
 > агентская роль пишет на своей стадии.
 >
 > **Статус истины (важно).** Манифест **документирует** текущее поведение гейтов, но НЕ является
@@ -60,6 +60,7 @@ check_tests_passed → check_staging_status → check_deploy_status`.
 | `15-staging-log.md` | deployer | required (self-hosting) | `deploy-staging` | `check_staging_status` (self-hosting; иначе N/A — ORCH-35) | `staging_status:` (`SUCCESS` \| `FAILED`) |
 | `16-post-deploy-log.md` | post-deploy-monitor | when-applicable | пост-`done` наблюдение (ORCH-021; не ребро `STAGE_TRANSITIONS`) | информационный (гейтом не парсится) | `post_deploy_status:` (`HEALTHY` \| `DEGRADED`) |
 | `17-security-report.md` | security-гейт (детерминированный, ORCH-022) | when-applicable | под-гейт ребра `deploy-staging→deploy` | `check_security_gate` (врезка в `advance_stage`) | `security_status:` (`PASS` \| `FAIL`) |
+| `18-coverage-report.md` | coverage-гейт (детерминированный, ORCH-027) | when-applicable | под-гейт ребра `deploy-staging→deploy` (ПОСЛЕ merge-gate, ДО image-freshness) | `check_coverage_gate` (врезка в `advance_stage`) | `coverage_status:` (`PASS` \| `FAIL`) |
 
 ### Примечания манифеста (нормативные)
 
@@ -86,6 +87,7 @@ check_tests_passed → check_staging_status → check_deploy_status`.
 | `14-deploy-log.md` | `deploy_status:` | `_parse_deploy_status` | `SUCCESS` → `done`; `FAILED` → откат (БАГ-8) |
 | `15-staging-log.md` | `staging_status:` | `_parse_staging_status` | `SUCCESS` → дальше; `FAILED` → откат (self-hosting; иначе N/A) |
 | `17-security-report.md` | `security_status:` | `check_security_gate` | `PASS` → дальше; `FAIL` → откат |
+| `18-coverage-report.md` | `coverage_status:` | `check_coverage_gate` | `PASS` → дальше; `FAIL` → откат на `development` |
 
 **Информационные доки** — гейтом НЕ парсятся (структура ничего не блокирует):
 `00-business-request.md` (вход), `08-data-requirements.md`, `10-tech-risks.md`,

docs/_templates/18-coverage-report.md

@@ -0,0 +1,29 @@
+---
+coverage_status: PASS      # PASS | FAIL  (machine-key — читает check_coverage_gate)
+work_item: ORCH-NNN
+measured_coverage: 0.0      # измеренное line coverage src/ (%, float)
+baseline: 0.0              # базовая линия main на момент измерения (%, или пусто при bootstrap)
+floor: 0.0                 # абсолютный порог coverage_min_percent (%)
+policy: both               # absolute | baseline | both
+epsilon: 0.5               # допуск на шум измерения (%)
+delta: 0.0                 # measured − max(baseline, floor) (%, знаковая дельта)
+---
+
+# Coverage Report — ORCH-NNN
+
+> Детерминированный гейт покрытия (ORCH-027) — под-гейт ребра `deploy-staging→deploy` (врезка в
+> `advance_stage`, ПОСЛЕ merge-gate, ДО image-freshness; не строка `STAGE_TRANSITIONS`). Машинный
+> вердикт читается ТОЛЬКО из `coverage_status:`. `PASS` → дальше; `FAIL` → откат на `development`.
+> Измерение — `pytest --cov=src --cov-report=json` в изолированном worktree. Source of truth
+> измеренного значения для ratchet базовой линии (`_handle_merge_verify`, ребро `deploy→done`).
+
+## Verdict
+<PASS / FAIL: measured X% vs floor F% / baseline B% (policy=…, epsilon=…), delta=±D%.>
+
+## Measurement
+<Инструмент (pytest-cov/coverage.py), команда, line coverage src/ = X%; либо fail-open WARNING
+при ошибке инструмента (coverage_tool_fail_closed=False).>
+
+## Policy
+<Режим (absolute|baseline|both), порог floor, базовая линия main, epsilon, какое условие
+нарушено при FAIL.>

docs/architecture/adr/README.md

@@ -31,11 +31,17 @@ Per-work-item решения живут в `docs/work-items/<id>/06-adr/ADR-NNN-
 | adr-0023 | Обзорная ось reviewer + закрытие эпика 52 | accepted | 2026-06-09 | ORCH-079 |
 | adr-0024 | Disk-watchdog — heartbeat-сигнал заполнения хост-ФС | proposed | 2026-06-09 | ORCH-063 |
 | adr-0025 | Build-cache-pruner — авто-prune docker build cache на хосте | proposed | 2026-06-09 | ORCH-062 |
+| adr-0026 | STOP / отмена задачи — системный терминал `cancelled` | proposed | 2026-06-09 | ORCH-090 |
+| adr-0027 | Merge-актор — ретрай транзиентных ошибок Gitea + гард «ветка уже в `main`» | proposed | 2026-06-09 | ORCH-093 |
+| adr-0028 | Terminal-window-aware гард deploy-фазовых статусов Plane | proposed | 2026-06-09 | ORCH-094 |
+| adr-0029 | Гейт покрытия тестами — edge sub-gate + ratchet-базовая линия | proposed | 2026-06-10 | ORCH-027 |
+| adr-0030 | Лёгкий read-only `/metrics` — сырьё о самом орке для sidecar (F1b) | proposed | 2026-06-10 | ORCH-099 |
+| adr-0031 | Нормализация legacy root-owned файлов при миграции uid — детект-leaf + actionable worktree-ошибка | proposed | 2026-06-10 | ORCH-057 |
 
 > ⚠️ Историческая коллизия: номер `0007` занят двумя файлами —
 > `adr-0007-reconciler.md` (ORCH-053) и `adr-0007-executable-self-deploy.md`
 > (ORCH-036). Оба accepted; для новых сквозных ADR использовать следующий
-> свободный номер (текущий максимум — `0020`).
+> свободный номер (текущий максимум — `0031`).
 > adr-0014 **amends** adr-0013 (меняет критерий merge-verify на «SHA-в-main»).
 > adr-0016 **amends** adr-0013/0014 (гарантирует открытый код-PR перед merge_pr, ORCH-082).
 > adr-0020 реализует машинный слой к adr-0019 (ORCH-52b→52c).

docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md

@@ -0,0 +1,82 @@
+---
+work_item: ORCH-093
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# adr-0027: Merge-актор — ретрай транзиентных ошибок Gitea + гард «ветка уже в `main`»
+
+Сквозной (cross-cutting) ADR. **Амендмент** к [adr-0013](adr-0013-merge-verify-gate.md) (merge-verify
+под-гейт), [adr-0014](adr-0014-merge-verify-sha-source-of-truth.md) (SHA-в-main как источник истины)
+и [adr-0016](adr-0016-ensure-open-pr-before-merge-verify.md) (гарантированный код-PR). Детальное
+решение задачи — `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`.
+
+> Регистрируется как сквозной, т.к. правит блок merge-актора с **3+ маркерами** (`ORCH-071`,
+> `ORCH-073`, `ORCH-082`) — анти-археология маркеров (`docs/_standards/TRACEABILITY.md`): сводный
+> ADR агрегирует эволюцию вместо перечисления work item в коде.
+
+## Статус
+Proposed
+
+## Контекст
+
+Детерминированный merge-актор merge-verify под-гейта (`deploy → done`, self-hosting) состоит из
+`ensure_open_pr` → `merge_pr` → `verify_merged_to_main` (`src/merge_gate.py`). Инцидент **ORCH-063
+(09.06)** вскрыл два дефекта, оба сверены по коду прода:
+
+1. `merge_pr` — **one-shot**: `POST /pulls/{index}/merge`, любой не-`200/201` → мгновенный `False`.
+   Транзиентная икота Gitea (`405 "Please try again later"` при пересчёте `mergeable` сразу после
+   пуша; `5xx`; таймаут) → ложный HOLD защиты ORCH-071/073 → ручной домерж.
+2. `ensure_open_pr` — после ручного мержа код-PR `closed`, открытый не найден → создаёт **новый
+   пустой PR** на ветке, уже целиком в `main`.
+
+Защита ORCH-071/073 («deploy succeeded but not merged») корректна и сохраняется; задача снижает
+лишь **ложные** срабатывания на транзиентах и устраняет мусорные PR. Это блокер автономного прогона
+(эпик ORCH-088).
+
+## Решение
+
+Аддитивно, без правки `STAGE_TRANSITIONS` / `QG_CHECKS` / схемы БД; INV-4 (мерж только через Gitea
+PR-merge API; никогда `push`/`force-push` в `main`) и never-raise сохранены.
+
+- **Ретрай-loop вокруг `POST …/merge`** (только мутирующий вызов) до `merge_retry_max_attempts`
+  (дефолт 3) с экспоненциальным backoff и потолком (`base 2`, `max 5`; суммарно ≤10 с). Классификатор
+  **транзиент** (`405`/`408`/`5xx`/таймаут/сетевое; `409`/`422` при `mergeable==True`; `mergeable==None`
+  → транзиент-по-дефолту в рамках бюджета) vs **терминал** (`403`/`404`; `409`/`422` при
+  `mergeable==False`) — по коду ответа **и** полю `mergeable` (`GET /pulls/{index}`). Терминал →
+  быстрый честный `False` (защита ORCH-071/073 — как прежде). Образец — `check_ci_green`
+  (`attempt i/N`) + transient-breaker агентов.
+- **Гард already-in-main в `ensure_open_pr`**: перед созданием PR — `git merge-base --is-ancestor
+  <branch> origin/main` (rc==0 → ветка целиком в `main`) → новый исход `"already-in-main"`, PR не
+  создаётся; git-ошибка/ambiguous → **fail-OPEN** на текущий create-путь (гард не должен превратить
+  икоту git в ложный no-op мержа). `_handle_merge_verify` трактует `"already-in-main"` как «мержить
+  нечего» → пропуск `merge_pr` → авторитетный SHA-в-main (`verify_merged_to_main`, ADR-0014) доводит
+  до `done` без мусорного PR.
+- **Конфиг**: `merge_retry_enabled` (kill-switch; `False` → one-shot, нулевая регрессия),
+  `merge_retry_max_attempts`, `merge_retry_backoff_base_s`, `merge_retry_backoff_max_s`
+  (env `ORCH_MERGE_RETRY_*`). Гард already-in-main — без отдельного флага (накрыт существующим
+  `merge_verify_autocreate_pr_enabled`).
+
+Объём раската — реально только self-hosting (`merge_verify_applies`); на прочих репо мерж делает
+LLM-deployer → изменение нейтрально.
+
+## Последствия
+
+- **+** Транзиент Gitea переживается автоматически → нет ложного HOLD / ручного домержа в автономном
+  конвейере; нет мусорных пустых PR; повтор финализатора идемпотентен.
+- **+** Реальный конфликт → быстрый честный HOLD; защита ORCH-071/073 и SHA-в-main (ADR-0014) —
+  авторитетны и неизменны.
+- **−** Дефолт `mergeable==None → transient` может добавить ≤10 с до HOLD на реальном конфликте
+  (бюджет жёстко ограничен); один лишний `GET /pulls/{index}` в редком ambiguous-кейсе.
+- **Откат:** `ORCH_MERGE_RETRY_ENABLED=false` → one-shot; `ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=false`
+  → отключает врезку `ensure_open_pr` с гардом. Полный откат — revert PR.
+
+## Ссылки
+- Детальный ADR: `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`
+- Лехатая: [adr-0006](adr-0006-merge-gate.md), [adr-0013](adr-0013-merge-verify-gate.md),
+  [adr-0014](adr-0014-merge-verify-sha-source-of-truth.md),
+  [adr-0016](adr-0016-ensure-open-pr-before-merge-verify.md)
+- Код: `src/merge_gate.py`, `src/stage_engine.py::_handle_merge_verify`, `src/config.py`

docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md

@@ -0,0 +1,96 @@
+---
+work_item: ORCH-094
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# adr-0028: Terminal-window-aware гард выставления deploy-фазовых статусов Plane
+
+Сквозной (cross-cutting) ADR. **Амендмент** к [adr-0010](adr-0010-post-deploy-monitor.md)
+(post-deploy monitor, ORCH-021) и Plane-статусной модели (ORCH-066): вводит инвариант
+«deploy-фазовые Plane-статусы — terminal-window-aware» поверх общих сеттеров `plane_sync` и
+переупорядочивает блок `next_stage == "done"` в `advance_stage`. Детальное решение задачи —
+`docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`.
+
+> Регистрируется как сквозной, т.к. правит **общие** сеттеры `set_issue_awaiting_deploy`/
+> `set_issue_deploying`/`set_issue_monitoring` (используются системно) и трогает маркированный блок с
+> `ORCH-021`/`ORCH-066` (`docs/_standards/TRACEABILITY.md`).
+
+## Статус
+Proposed
+
+## Контекст
+
+Терминальная (`done`) задача в Plane **не держит `Done`**: непрерывный флапп
+`Awaiting Deploy ⟷ Monitoring after Deploy` (верифицировано живьём на **ORCH-061**, task 47, done с
+07.06 — 273 активности, само не затихает). Установлено по коду/логам/БД прода:
+
+- Три code-писателя deploy-фазовых статусов (`src/stage_engine.py:404/1218/1316`) делегируют в тонкие
+  сеттеры `src/plane_sync.py`, которые **БД-стадию не читают** ⇒ терминал-слепы: любой повторный вызов
+  перезаписывает `Done` обратно на промежуточный статус.
+- **Ordering:** `update_task_stage("done")` (`stage_engine.py:369`) пишет `tasks.stage='done'`
+  **раньше** легитимного `set_issue_monitoring` (стр. 404) ⇒ пост-деплой-окно ORCH-021 — by-design
+  индикация поверх уже-`done` задачи. Наивный гард «stage==done → Done» ⇒ регресс легитимного окна.
+- Актор всех 273 переходов — бот-токен орка (`daf4d3f4-…`), не привязан к активной task/job; в БД нет
+  активного post-deploy-monitor для task 47 (окно 15 мин закрыто). Реконсилятор F-1 пропускает
+  `done`/`cancelled`, F-2 опрашивает только `[to_analyse, approved, rejected]` ⇒ механизма привести
+  застрявшую на deploy-статусе done-задачу к `Done` нет.
+
+## Решение
+
+**Единый terminal-window-aware гард на низком чокпоинте** — на входе трёх deploy-фазовых сеттеров
+`plane_sync`. Чистую логику держит **новый leaf-модуль `src/deploy_status_guard.py`** (never-raise,
+config-gated; образец `serial_gate.py`/`labels.py`/`cancel.py`); сеттеры исполняют вердикт.
+
+- **Инвариант легитимности:** deploy-фазовый статус легитимен ⇔ задача **нетерминальна** ИЛИ
+  (`done` **И** активно пост-деплой-окно). Иначе — идемпотентное схождение к `Done`.
+  `decide(work_item_id, target) -> ALLOW | CONVERGE_DONE | SUPPRESS`:
+  kill-switch off / чужой issue / не-self репо / нетерминал → **ALLOW**; `cancelled` → **SUPPRESS**;
+  `done` + `target==monitoring` + `window_active` → **ALLOW**; `done` иначе → **CONVERGE_DONE**
+  (`set_issue_done`, идемпотентно); любое исключение → **ALLOW** + warning (never-raise).
+- **Новый helper** `post_deploy.window_active(repo, wi)` = `has_marker(ARMED) and not
+  has_marker(DONE)` (restart-safe).
+- **Перенос арм-блока** (`post_deploy.arm_monitor`) **перед** terminal-sync в блоке
+  `next_stage == "done"`: на стр. 404 `ARMED` уже записан ⇒ `window_active==True` ⇒ легитимный первый
+  `Monitoring` проходит; re-drive после закрытия окна сходится к `Done`.
+- **Харднинг монитора:** идемпотентный страж `has_marker(...DONE)` (ранний return без PATCH/реэнкью)
+  + тик no-op при `cancelled` мид-окно; тики привязаны к активному job'у (нет job → нет тика).
+- **Наблюдаемость:** каждый вердикт логируется (`work_item`/`caller`/`target`/`db_stage`/
+  `window_active`/вердикт); подавление/схождение — явно.
+- **Флаги** (`config.py`): `deploy_status_guard_enabled=True`
+  (`ORCH_DEPLOY_STATUS_GUARD_ENABLED`, kill-switch → 1:1) + `deploy_status_guard_repos=""`
+  (`ORCH_DEPLOY_STATUS_GUARD_REPOS`, пусто → self-hosting only) с локальным `applies(repo)`.
+
+## Альтернативы
+
+- **Гард в caller'ах `stage_engine`** — отвергнуто: не ловит неизвестный/стейл путь под бот-токеном,
+  размазывает инвариант.
+- **Наивный «stage==done → Done» без предиката окна** — отвергнуто: регресс легитимного `Monitoring`.
+- **Bypass-флаг на доверенном вызове 404** — отвергнуто в пользу переноса арм-блока (один предикат).
+- **Активная сходимость в реконсиляторе F-2** — отвергнуто как основной механизм (лишний polling,
+  правка маркированного F-2); гард на сеттере гасит непрерывный флапп.
+
+## Последствия
+
+- Терминальная задача стабильно держит `Done`; маятник гаснет за один цикл независимо от актора.
+- Легитимный пост-деплой `Monitoring` и рабочий self-deploy-цикл — 1:1 (предикат окна + перенос арм).
+- `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи / схема БД — **не тронуты**.
+- `main`/force-push/прод-контейнер/detached-деплой — не тронуты; не-self репо инертны.
+- Ограничение: если актор флаппа — внешняя Plane-automation (вне кода орка), гард — буфер на стороне
+  орка; локализация (FR-1) и итог документируются (BR-7).
+- **Откат:** `ORCH_DEPLOY_STATUS_GUARD_ENABLED=false` → поведение 1:1; полный — revert ветки.
+
+## Связи
+
+- [adr-0010](adr-0010-post-deploy-monitor.md) (ORCH-021 — пост-деплой-окно, sentinel `armed`/`done`,
+  арм-блок) — амендмент: окно становится предикатом легитимности `Monitoring`.
+- ORCH-066 (Plane-статусная модель — слой B индикации; `deploy→done` self ⇒ `Monitoring`) — инвариант
+  сохранён.
+- [adr-0026](adr-0026-stop-cancel-task.md) (ORCH-090 — терминал `cancelled`) — гард не штампует
+  deploy-статус поверх `cancelled`.
+- ORCH-068/086 (терминал-скип реконсилятора) — этот ADR распространяет идею терминал-aware на
+  выставление deploy-статусов.
+- Детально: `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`.

docs/architecture/adr/adr-0029-coverage-gate.md

@@ -0,0 +1,92 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0029: Гейт покрытия тестами — edge sub-gate + ratchet-базовая линия
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-027
+- **Детальный ADR:** `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`
+
+## Контекст
+Оркестратор автономен: `developer` пишет код без человека-фильтра, `tester` сам решает, хватает
+ли тестов. Существующие тестовые гейты судят только по факту прохождения, не по полноте:
+`check_ci_green` (exit-code CI), `check_tests_passed` (LLM-вердикт `tester`'а), merge-gate
+re-test (exit-code). Ни один не замечает «300 строк кода, 0 тестов». При пакетном автономном
+прогоне (ORCH-088) это монотонная деградация покрытия. Нужна детерминированная метрика — по духу
+как security-гейт (adr-0012).
+
+## Решение
+Детерминированный (без LLM) **гейт покрытия как под-гейт ребра `deploy-staging → deploy`**,
+рядом с security-gate (ORCH-022), merge-gate (ORCH-043), image-freshness (ORCH-058). Паттерн —
+leaf-модуль `src/coverage_gate.py` (never-raise) + обёртка в `QG_CHECKS` (`check_coverage_gate`)
++ врезка `_handle_coverage_gate` в `advance_stage`. `STAGE_TRANSITIONS` не меняется.
+
+- **Порядок: security → merge → `coverage` → image-freshness.** Coverage идёт **ПОСЛЕ
+  merge-gate** (ветка догнана на свежий `origin/main` → меряем покрытие того кода, что landed) и
+  **ДО image-freshness** (фейлить дёшево до docker-rebuild). На этой точке merge-lease **held** →
+  **FAIL обязан освободить lease** при откате (как image-freshness rollback; в отличие от
+  security, который идёт до захвата lease).
+- **Измеритель:** `pytest-cov` (`coverage.py`), `python -m pytest tests/ --cov=src
+  --cov-report=json` в изолированном worktree (`ensure_worktree`); метрика —
+  `totals.percent_covered`. Тайм-аут `coverage_run_timeout_s`. Скоуп — `src/` (не тесты).
+- **Чистая функция** `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)`:
+  `absolute` (≥floor−ε), `baseline` (≥baseline−ε, ratchet), `both` (дефолт). `baseline=None` →
+  bootstrap (только absolute). FAIL → откат на `development` + developer-retry (cap
+  `MAX_DEVELOPER_RETRIES`), дословный reason в `task_desc` (ORCH-046).
+- **Базовая линия — аддитивная БД-таблица** `coverage_baseline(repo PK, coverage, source_sha,
+  updated_at)` (`CREATE TABLE IF NOT EXISTS`, паттерн `repo_freeze`/`job_deps`). Выбор БД над
+  файлом-в-репо: нет git-churn/конфликтов на ratchet, restart-safe, атомарное обновление.
+- **Ratchet-up** в choke-point подтверждённого merge `_handle_merge_verify` (ребро
+  `deploy → done`, ORCH-071/073): читает измеренное покрытие из `18-coverage-report.md`,
+  атомарный compare-and-set `UPDATE ... WHERE coverage <= measured` (базовая линия не падает).
+  Под held merge-lease + per-repo сериализацией merge (ORCH-043) — двойная анти-гонка.
+- **Артефакт `18-coverage-report.md`** с frontmatter `coverage_status: PASS|FAIL` (+
+  `measured_coverage`/`baseline`/`floor`/`policy`/`delta` + аддитивная 52c-схема); вердикт
+  читается ТОЛЬКО из frontmatter через `src/frontmatter.py` (single source of truth).
+- **Условность (как ORCH-35/43/58):** `coverage_gate_enabled` + `coverage_gate_repos` (пусто →
+  только self-hosting `orchestrator`); вне области → no-op pass. `applies(repo)` ПЕРВОЙ, дорогой
+  прогон — только при applies.
+- **Ошибка инструмента → fail-open + WARNING** по умолчанию (`coverage_tool_fail_closed=False`,
+  анти-петля как ORCH-061); флаг → fail-closed.
+- **Наблюдаемость:** read-only блок `coverage` в `GET /queue`; FAIL → Telegram (кликабельный
+  номер, измеренное/порог/дельта). Опциональный `POST /coverage/baseline` (ручной override).
+- **never-raise**, гейт не деплоит/не рестартит прод/не пушит в `main` (NFR-3).
+
+## Альтернативы
+- **CI-job (`check_ci_green`):** пороги/политика/baseline/артефакт плохо выражаются статусом
+  коммита; ratchet требует записи в БД. Отклонено для v1 (точка расширения).
+- **Edge `testing → deploy-staging`:** ветка не догнана на свежий `main` → метрика неточна;
+  откат не освобождает lease. Отклонено.
+- **Базовая линия в файле репо:** git-churn/конфликты на каждый ratchet. Отклонено.
+- **Новая стадия `coverage`:** «пустая» стадия без агента не имеет триггера (как ORCH-043/022).
+  Отклонено.
+- **Жёсткий absolute-порог без baseline/epsilon:** массовые ложные заворота. Отклонено.
+
+## Последствия
+- Класс «тихо просевшее покрытие» закрыт детерминированной метрикой; baseline только растёт.
+- Нулевая регрессия вне области (enduro-trails); `STAGE_TRANSITIONS`/`QG_CHECKS`-семантика/
+  вердикт-ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) —
+  байт-в-байт прежние; новая БД-таблица аддитивна.
+- Плата: ещё один «скрытый» под-гейт ребра; новая pip-зависимость (`pytest-cov`); доп. прогон
+  pytest (после merge-gate re-test, ограничен таймаутом, фейлит до rebuild); v1 — Python-only.
+- Дефолтный fail-open тихо пропускает при устойчивом сбое инструмента (с WARNING) —
+  переключаемо `coverage_tool_fail_closed`.
+- Сквозное изменение (новый QG + edge-под-гейт + новая таблица + новый артефакт) →
+  `arch:major-change`; прод-деплой строго через staging-гейт (8501), без рестарта прод-контейнера.
+- **Откат:** `coverage_gate_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
+
+## Связи
+adr-0012 (security-гейт — паттерн edge-под-гейта/leaf/never-raise/fail-open), adr-0006
+(merge-gate — edge-под-гейт/откат/merge-lease), adr-0008 (image-freshness — условность/
+fail-closed/release-lease-on-rollback), adr-0003 (условный гейт / `is_self_hosting_repo`),
+adr-0009 (анти-петля ложных FAIL, ORCH-061), adr-0013/adr-0014 (merge-verify / SHA-in-main как
+source of truth — точка ratchet), adr-0015/adr-0017 (per-repo сериализация merge/serial-gate),
+adr-0020 (frontmatter-контракт — парсинг `coverage_status:`), adr-0019 (PIPELINE_DOCS — артефакт
+`18-coverage-report.md`), ORCH-9/15 (мульти-стек — будущая зависимость BR-6).

docs/architecture/adr/adr-0030-metrics-endpoint.md

@@ -0,0 +1,88 @@
+---
+work_item: ORCH-099
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0030: Лёгкий read-only `/metrics` — сырьё о самом орке для sidecar (F1b)
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-099 (FND/F1a)
+- **Детальный ADR:** `docs/work-items/ORCH-099/06-adr/ADR-001-metrics-endpoint.md`
+
+## Контекст
+Эпик автономного саморазвития, домен 0 «Фундамент». Рамка наблюдаемости (заказчик): **наблюдатель
+отделён от наблюдаемого** — мозг мониторинга (пороги/алерты/история/Telegram) живёт в отдельном
+sidecar-контейнере **F1b** (`watchdog/`), а орк отдаёт **только сырьё**, которое знает лишь он сам.
+Сегодня такого источника нет: `/health` = `{"status":"ok"}`, `/status` = активные задачи, `/queue` —
+«человеческий» снимок, перемешанный с конфигом демонов. Нет стабильного машинного контракта для
+детекта застрявшей стадии / зависшего агента / деградации очереди / всплеска стоимости. F1b
+заблокирована этой задачей. Self-hosting: прод общий с enduro-trails ⇒ эндпоинт обязан быть строго
+read-only и never-raise.
+
+## Решение
+Новый **leaf-модуль** `src/metrics.py` (`build_metrics() -> dict`, чистый, never-raise по разделам —
+паттерн `serial_gate.snapshot()`) + тонкий эндпоинт `@app.get("/metrics")` в `src/main.py` (стиль
+`GET /queue`). Только чтение существующих таблиц (`tasks`/`jobs`/`agent_runs`) и in-memory-снапшотов
++ два read-only helper'а в `src/db.py`. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict-
+ключи/схема БД — **не трогаются**.
+
+- **Конверт + контракт версии:** `schema_version` (старт `1`), `generated_at` (UTC ISO-8601 —
+  момент снимка, домен часов орка), `clk_tck` (`os.sysconf("SC_CLK_TCK")`), разделы
+  `stages`/`queue`/`agents`/`cost`. **Политика версии:** аддитивные изменения НЕ бампят (sidecar
+  обязан игнорировать незнакомые ключи и толерировать отсутствие опциональных); бамп — только при
+  ломающем (rename/remove/retype). Forward-compatible контракт для F1b.
+- **`stages`** — `db.get_active_tasks_for_reconcile()` + фильтр `stage NOT IN ('done','cancelled')`
+  на слое metrics (helper намеренно отдаёт `cancelled` для ORCH-086 — не трогаем его инвариант);
+  поля `work_item`/`stage`/`age_in_stage_s`/`repo`.
+- **`queue`** — `db.job_status_counts()` (+`cancelled`), глубина, сырьё ретраев
+  (`attempts`/`max_attempts`/`transient_attempts`/в-backoff), `worker.breaker.snapshot()`,
+  `max_concurrency`. Недоступный worker → `breaker: null`, не 500.
+- **`agents` (liveness)** — новый dedicated read-only helper `db.get_running_agents()` (НЕ расширение
+  hot-path `get_running_jobs()` reaper'а, ORCH-065): `agent`/`run_id`/`job_id`/`pid`/`runtime_s`
+  (= `running_age_s` от `jobs.started_at`)/`model`/`effort`. CPU-сырьё — **вариант A**: орк читает
+  `/proc/<pid>/stat` (поля 14+15, utime+stime) → `cpu_ticks`; **дельту не считает** — арбитр
+  «жив/завис» это sidecar (stateless-эмиссия). `pid is None`/мёртвый/нет `/proc`/не-Linux →
+  `cpu_ticks: null`, не ошибка.
+- **`cost`** — `running` (по running-job, часто `null` до завершения — честное сырьё, `null` ≠ ноль)
+  + `aggregate` (новый helper `db.agent_cost_totals()`, `COALESCE(SUM(...),0)` по
+  `cost_usd`/`input_tokens`/`output_tokens`/`cache_read_tokens`/`cache_creation_tokens`).
+- **Kill-switch** `metrics_endpoint_enabled` (env `ORCH_METRICS_ENABLED`, дефолт `True`): при `False`
+  → `200` с `{"schema_version":1,"enabled":false}` (контракт остаётся парсимым). Операторский
+  off-switch на общем инстансе.
+- **Never-raise:** каждый раздел — свой `try/except` + `logger.warning` + дефолт (`null`/`[]`/`{}`);
+  `build_metrics()` никогда не пробрасывает. Read-only: ни одного `INSERT/UPDATE/DELETE/CREATE/ALTER`.
+
+## Альтернативы
+- **Расширить `/queue`** — отклонено: ломает байт-в-байт контракт (BR-6) + смешивает сырьё с
+  человеческим снимком.
+- **Prometheus/OpenMetrics** — отклонено: заказчик задал тонкий кастомный sidecar (не Prometheus),
+  контракт — JSON.
+- **Орк считает CPU-дельту сам** — отклонено: требует состояния; stateful-арбитр это sidecar (C-1).
+- **Расширить SELECT `get_running_jobs()`** — отклонено: перенос инварианта hot-path reaper'а;
+  изолируем dedicated helper.
+- **Push в sidecar** — отклонено: нарушает разделение C-1; зависший орк ⇒ pull падает = сам сигнал.
+
+## Последствия
+- F1b разблокирована стабильным машинным контрактом; домен наблюдаемости стартует.
+- Строго read-only + never-raise ⇒ near-zero риск для общего прод-конвейера (enduro-trails);
+  `/health`/`/status`/`/queue` байт-в-байт; гейты/схема/machine-verdict-ключи не тронуты (NFR-5).
+- `schema_version` + аддитивно-толерантная политика ⇒ расширения не ломают F1b.
+- Плата: новая поверхность совместимости `/metrics`↔F1b (митигейшн — единый репо контракта + версия);
+  CPU-liveness Linux-специфичен (`/proc`; не-Linux → `null`). Топология/схема не меняются (sidecar и
+  его сетевая достижимость — объём F1b).
+- Новый компонент + публичный контракт → `arch:major-change` (хоть и аддитивно/read-only/обратимо);
+  прод-деплой строго через staging-гейт (8501), без рестарта прод-контейнера.
+- **Откат:** `metrics_endpoint_enabled=False` (мгновенный) или удаление модуля/эндпоинта/helper'ов —
+  без следов в БД/схеме.
+
+## Связи
+adr-0002 (job-queue/circuit-breaker — источник `queue`-сырья), adr-0011 (job-reaper —
+`get_running_jobs`/pid/liveness-семантика, изоляция hot-path), adr-0026 (терминал `{done,cancelled}`
+— фильтр `stages`), adr-0017 (serial_gate — паттерн leaf `snapshot()`/never-raise), adr-0020
+(frontmatter-контракт — стиль версионируемого контракта). Прямой потребитель — **F1b** (sidecar
+`watchdog/`, отдельная задача).

docs/architecture/adr/adr-0031-legacy-ownership-normalization.md

@@ -0,0 +1,92 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0031: Нормализация legacy root-owned файлов при миграции uid — детект-leaf + actionable worktree-ошибка
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-057 (follow-up ORCH-040)
+- **Детальный ADR:** `docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md`
+
+## Контекст
+ORCH-040 перевёл контейнеры на `user: "1000:1000"`, изменив только `docker-compose.yml`. Владельца
+уже существующих `root:root` файлов в bind-mount `/repos` это не меняет. Под uid 1000
+`src/git_worktree.py::ensure_worktree` (`os.makedirs` стр. 78 / `git worktree add` стр. 81/85) не может
+создать worktree рядом с root-owned `/repos/_wt/` → `fatal: could not create leading directories …
+Permission denied`, который сейчас пробрасывается сырым. Конвейер приходит сюда из
+`launcher._spawn`/`_materialize_deferred_branch` (ORCH-088) — **агент не стартует** (launch-time
+инфра-сбой, не код задачи). Инцидент 06.06 на проде (первый запуск ORCH-043); workaround Стрима
+(`chown -R 1000:1000`) наложен вручную. ADR-040 описал нормализацию абстрактно («вне объёма кода») и
+не дал процедуры → баг воспроизводим на чистой среде / новом репо / после исторического запуска под
+root. Контейнер бежит **без root** → код физически не может `chown` чужие файлы; ему доступны лишь
+детект + диагностика.
+
+## Решение
+Три аддитивных, обратимых kill-switch'ем слоя — паттерн условного leaf-гейта (`coverage_gate`/
+`serial_gate`) + best-effort startup-хук (`main.lifespan`, как lease-reclaim). `STAGE_TRANSITIONS` /
+`QG_CHECKS` / `check_*` / machine-verdict-ключи (`verdict:`/`result:`/`deploy_status:`/
+`staging_status:`/`security_status:`/`coverage_status:`) / схема БД — **байт-в-байт прежние**.
+
+- **Actionable worktree-ошибка (D1):** `ensure_worktree` классифицирует класс «нет прав» (маркеры
+  `Permission denied`/`could not create leading directories`/`insufficient permission`/`EACCES`/
+  `EPERM`) и поднимает `RuntimeError` с причиной (legacy root-файлы после миграции uid) + лечащей
+  командой + ссылкой на INFRA.md. Не-прав-ошибки сохраняют прежний текст/смысл (никакой подмены).
+  Меняется лишь **формулировка**, не факт сбоя.
+- **Детект-leaf `src/fs_normalize.py` (D2):** чистый, never-raise, TTL-кэш (паттерн `preflight`).
+  `scan_ownership(roots, target_uid)` обходит `/repos/_wt`, `<repo>/.git/objects`,
+  `<repo>/.git/worktrees`, `data/runs`; ранний выход при первом `st_uid != target_uid`
+  (`target_uid=os.getuid()` по умолчанию). `applies(repo)` (kill-switch + scope; пусто →
+  `is_self_hosting_repo`) проверяется ПЕРВЫМ → дорогой обход только при applies. Идемпотентно;
+  ошибка обхода → WARNING + консервативный `mismatch=False`.
+- **Интеграция = наблюдаемость, без блокировки claim (D3):** best-effort `scan_ownership()` на старте
+  `main.lifespan` → WARNING + Telegram при mismatch. Claim НЕ гейтится: внятный ранний отказ даёт D1
+  в точке launch (знает repo, агент ещё не тратил токены). Блокирующий preflight-гейт отвергнут —
+  preflight не знает repo, заблокировал бы и enduro-trails на общем `/repos`.
+- **Опц. `normalize()` (D4):** chown только при `CAP_CHOWN`/root (под uid 1000 — no-op + лог),
+  флаг `fs_normalize_auto` (дефолт `False`). Init-контейнер/root-entrypoint отвергнут: реинтродукция
+  root-контекста (анти-цель ORCH-040) + правка compose = self-deploy/групповой риск. Реальную
+  нормализацию несёт операторская процедура.
+- **Процедура (D5):** `INFRA.md` получает раздел «Миграция uid: обязательная нормализация legacy
+  root-файлов» (точные команды по всем корням) как обязательный шаг миграции; forward-breadcrumb из
+  ADR-040.
+- **Флаги:** `fs_normalize_enabled` (kill-switch, дефолт `True`), `fs_normalize_repos` (CSV, пусто →
+  self-hosting only), `fs_target_uid` (1000), `fs_normalize_auto` (`False`), `fs_scan_roots`,
+  `fs_scan_cache_ttl_s` (300). Наблюдаемость — блок `fs_ownership` в `GET /queue`; опц. `POST
+  /fs-normalize/check`.
+
+## Альтернативы
+- **Init-контейнер/root-entrypoint** — реинтродукция root (анти-цель ORCH-040), self-deploy compose,
+  групповой риск ради разовой операции. Отвергнуто; носитель нормализации — операторская процедура.
+- **Блокирующий claim-гейт (preflight)** — preflight не знает repo → регресс enduro на общем `/repos`.
+  Отвергнуто.
+- **Блокирующий claim-гейт (queue_worker/claim)** — дорогой FS-обход в hot-path + «молчаливое
+  зависание» вместо диагноза D1. Отвергнуто.
+- **Авто-chown из app по умолчанию** — под uid 1000 невозможен; ложное ожидание самолечения.
+  Отвергнуто (оставлен opt-in `fs_normalize_auto`).
+- **Hard-fail старта при mismatch** — нарушает never-raise, стопорит сервис всех проектов. Отвергнуто.
+
+## Последствия
+- Класс «сырой git-fatal на launch после миграции uid» закрыт внятным диагнозом (D1) + проактивным
+  startup-сигналом (D3); пробел процедуры ADR-040 закрыт (INFRA.md).
+- Нулевая регрессия enduro-trails (scope first); инварианты конвейера/схема БД — байт-в-байт.
+- Никакого root-контекста/рестарта прода/касания `main`/force-push/прод-образа (NFR-1).
+- Плата: фактический `chown` остаётся ручным операторским шагом (но теперь внятным, с инструкцией);
+  +1 best-effort startup-хук и leaf-модуль; `fs_normalize_auto=True` под root реинтродуцирует
+  chown-контекст (дефолт `False`, не для прод-self).
+- Аддитивно/обратимо: **не** `arch:major-change` (нет новой стадии/QG/таблицы/смены топологии) — leaf
+  + startup-хук + docs.
+- **Откат:** `fs_normalize_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
+
+## Связи
+adr-0005 (контейнер под host-uid — порождающее решение ORCH-040, чей пробел закрываем),
+adr-0029/adr-0012 (coverage/security-гейт — паттерн условного leaf `applies`/scope/never-raise/
+fail-open), adr-0017 (serial-gate — leaf never-raise + отложенный срез ветки `_materialize_deferred_
+branch`, чья точка падает в `ensure_worktree`), adr-0011 (job-reaper — образец best-effort
+startup-хука в `lifespan`), adr-0024 (disk-watchdog — образец «только читать/уведомлять, не трогать
+хост/прод»).

docs/architecture/adr/adr-0032-bug-fast-track.md

@@ -0,0 +1,95 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0032: Багфикс-трек — укороченный маршрут конвейера для багов (ORCH-019)
+
+## Статус
+Proposed
+
+## Контекст
+
+Любая задача идёт по полному конвейеру `analysis → architecture → development → review → testing
+→ deploy-staging → deploy → done`. Для мелкого бага стадия `architecture` (отдельный прогон
+opus-агента `architect` + ADR + exit-гейт `check_architecture_done`) избыточна и тратит
+токены/время (прецедент ET-9/ET-014 ~35 мин).
+
+**Корневой инвариант (нерушимый):** упрощаем только *аналитику/архитектуру*; ни один Quality
+Gate / под-гейт (security/merge/coverage/image-freshness) / exit-код deploy-хука — НЕ ослаблен
+(урок ET-8: срезанная проверка = недоделка на проде).
+
+Кросс-каттинговость: затрагивает семантику маршрутизации (`advance_stage`), вводит новый
+leaf-компонент `src/bug_fast_track.py` и аддитивную колонку `tasks.track` → регистрируется
+сквозным ADR.
+
+## Решение
+
+Багфикс-трек — **свойство планировщика/точки входа, НЕ Quality Gate**.
+
+1. **Классификация** (`src/bug_fast_track.py`, leaf never-raise по образцу `serial_gate`/`labels`):
+   задача с меткой Plane `Bug` (`bug_fast_track_label`, читается аппаратом ORCH-089
+   `labels.has_label`) помечается `track='bug'`. `applies(repo)` (локально, без сети) — первым;
+   `has_label` (сеть) — только при `applies==True`; чтение метки **только** в `start_pipeline`,
+   никогда в горячем `claim_next_job` (anti-stall).
+
+2. **Хранение** — аддитивная идемпотентная колонка `tasks.track TEXT DEFAULT 'full'`
+   (`_ensure_column`, паттерн `tasks.cancelled_at` ORCH-090); читается в `advance_stage` из БД
+   (не из сети).
+
+3. **Routing-override** — `STAGE_TRANSITIONS` и `get_next_stage`/`get_agent_for_stage` остаются
+   **чистыми** (1:1). В `advance_stage`, на ребре выхода из `analysis`, при `track='bug'`:
+   `next_stage` → `development` (вместо `architecture`), `next_agent` → `developer` (вместо
+   `architect`). Багфикс физически минует стадию `architecture` → её exit-гейт
+   `check_architecture_done` и `06-adr/` для багфикса не исполняются.
+
+4. **Гейт `analysis` не трогаем** — `check_analysis_complete`/`check_analysis_approved` байт-в-байт
+   прежние; lite-аналитик эмитит все 4 файла (01-bug-report / 02-03 краткие заглушки / 04 план
+   обязательного регресс-теста). Экономия — пропуск всей стадии `architecture`, не число файлов.
+
+5. **Эскалация** (обратимость) — `POST /bug-fast-track/escalate?work_item=<id>` сбрасывает
+   `track→'full'` (+ self-escalate мини-аналитика); задача далее идёт через `architecture`.
+
+6. **Условность/откат** — `bug_fast_track_enabled` (kill-switch), `bug_fast_track_label`,
+   `bug_fast_track_repos` (CSV; **пусто → self-hosting only**). `False`/неприменимый репо →
+   путь старта и маршрут **байт-в-байт** прежние.
+
+7. **Наблюдаемость** — read-only блок `bug_fast_track` в `GET /queue` (флаг/область/метка +
+   счётчик `track='bug'` + метрика экономии из `agent_runs`); лог на решение о маршруте; опц.
+   `🐞` в Telegram-карточке.
+
+## Кросс-каттинговые инварианты (НЕ нарушаются)
+
+- `STAGE_TRANSITIONS` структурно не меняется (нет новых/удалённых стадий); `cancelled`/`done`
+  стоки и предикаты терминальности (ORCH-090) не затронуты.
+- Реестр `QG_CHECKS`, сигнатуры `check_*`, вердикт-ключи (`verdict:`/`result:`/`deploy_status:`/
+  `staging_status:`/`security_status:`/`coverage_status:`), порядок под-гейтов — байт-в-байт.
+- Врезка ORCH-019 в `advance_stage` — ТОЛЬКО на ребре выхода из `analysis`, ДО всех deploy-edge
+  под-гейтов (ORCH-022/043/027/058) и Phase A/B (ORCH-036/059) → их инварианты сохранены.
+- Композиция с serial-gate (ORCH-088), auto-label (ORCH-089), coverage-gate (ORCH-027),
+  merge-gate (ORCH-043) — багфикс-задача остаётся обычной задачей репо.
+
+## Последствия
+
+- **+** Багфикс минует стадию `architecture` (основная экономия), гейты качества сохранены.
+- **+** Аддитивно, под kill-switch, per-repo, never-raise, fail-safe → полный цикл; нулевая
+  регрессия для enduro и orchestrator при выключении.
+- **−** lite-аналитик эмитит 02/03 заглушки (компромисс ради неизменности гейта); эскалация v1
+  требует операторского действия (авто-триаж сложности — будущее, ORCH-13/Вариант 3).
+- **Откат:** `bug_fast_track_enabled=False` (мгновенно); колонка `tasks.track` аддитивна и
+  безвредна (дефолт `'full'`).
+
+## Связанные решения
+- ORCH-089 (auto-label) — переиспользуемый аппарат label-чтения: [adr-0018](adr-0018-auto-label-gates.md)
+- ORCH-088 (serial gate) — композиция очереди репо
+- ORCH-027 (coverage-gate) — структурный союзник BR-4: [adr-0029](adr-0029-coverage-gate.md)
+- ORCH-090 (cancelled) — паттерн аддитивной колонки `tasks.*`: [adr-0026](adr-0026-stop-cancel-task.md)
+
+## Ссылки
+- Детальный ADR задачи: `docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md`
+- BRD/TRZ/AC: `docs/work-items/ORCH-019/01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`
+</content>

docs/architecture/adr/adr-0033-sidecar-watchdog.md

@@ -0,0 +1,85 @@
+---
+work_item: ORCH-100
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0033: Sidecar-watchdog F1b — мозг мониторинга в отдельном контейнере
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-100 (FND/F1b)
+- **Детальный ADR:** `docs/work-items/ORCH-100/06-adr/ADR-001-sidecar-watchdog.md`
+- **Парный ADR:** `adr-0030` (F1a `/metrics` — источник сырья)
+
+## Контекст
+Домен 0 «Фундамент» эпика автономного саморазвития, рамка наблюдаемости заказчика: **наблюдатель
+отделён от наблюдаемого**. F1a (adr-0030) отдаёт read-only `GET /metrics` — **только сырьё**. F1b —
+**мозг**: читает сырьё, дополняет внешними сигналами (хост/контейнеры/зависимости), решает по порогам,
+алертит. Частичные стражи (`disk_watchdog`/`reaper`/`reconciler`) живут ВНУТРИ процесса орка — орк
+завис/упал ⇒ они мертвы, платформа слепа в критический момент. Рамки: C-1 (отдельный контейнер, код в
+`watchdog/`), C-2 (без внешнего плеча — принятый риск), C-3 (тонкий стек, НЕ Grafana/Prometheus; хост
+впритык). Критический инвариант: орк лёг ⇒ `/metrics` недоступен = **сам сигнал тревоги**.
+
+## Решение
+Новая папка `watchdog/` — **тонкий Python-3.12-stdlib демон** (без сторонних зависимостей), отдельный
+образ `watchdog/Dockerfile` + сервис `orchestrator-watchdog` в `docker-compose.yml` (`network_mode:
+host`, read-only `docker.sock`, `mem_limit: 128m`, `restart: unless-stopped`). Тик: (1) `GET /metrics`;
+(2) хост (диск/inode/память/CPU, stdlib); (3) статусы контейнеров через read-only `docker.sock`
+(GET-only — без `docker` SDK); (4) пинг Plane/Gitea/Anthropic. Сигналы проходят через **обобщённую
+чистую** `decide(signal_active, prev, now, cooldown) -> alert|realert|recovery|none` (генерализация
+`disk_watchdog.decide_action`; per-signal in-memory `AlertState`). Алерт — в **собственный** Telegram-
+канал sidecar (свои `WATCHDOG_TG_*`; **НЕ** импорт `src/notifications.py`). Особый сигнал — `/metrics`
+не отвечает → `orch_down`. Всё never-raise (per-source/per-tick/per-send), под kill-switch
+`WATCHDOG_ENABLED`, строго read-only к наблюдаемому. **`src/**`/`STAGE_TRANSITIONS`/`QG_CHECKS`/
+`check_*`/схема БД орка — не тронуты** (F1b вне процесса орка и вне конвейера QG).
+
+- **Стек** — Python stdlib (`urllib`, `socket`+`http.client` для docker.sock, `shutil.disk_usage`,
+  `/proc/meminfo`); pytest на чистые функции. Отвергнуты Go / `docker` SDK / Prometheus (C-3).
+- **Реестр сигналов** — `orch_down` (K подряд неудачных опросов), `host_mem`/`host_disk_crit`,
+  `agent_hung` (Δ`cpu_ticks`/`clk_tck`/Δ`generated_at` < floor при растущем `runtime_s`; нужно 2
+  опроса — sidecar stateful-арбитр), `stage_stuck` (`age_in_stage_s`), `job_failed` (edge),
+  `queue_depth`, `container_down` (per name), `dep_down` (per name). Пороги/интервалы/URL — из env.
+- **Владелец диск-алерта (BR-10)** — штатные 85% остаются за внутренним `disk_watchdog` (ORCH-063,
+  канал орка) ⇒ **нулевой дубль по построению**; sidecar покрывает провал «орк+disk_watchdog мертвы»
+  через `orch_down`, плюс **opt-in** (default off) независимый критический потолок `host_disk_crit`
+  (97%) — другое событие/канал, не повтор 85%.
+- **Толерантность контракта** — неизвестные ключи `/metrics` игнорируются, отсутствие опционального не
+  ошибка, рост `schema_version` → warning (зеркало аддитивной политики adr-0030).
+- **Kill-switch** `WATCHDOG_ENABLED=false` → демон инертен (idle-loop, не exit) ⇒ нулевой эффект.
+
+## Альтернативы
+- **Go / `docker` SDK / `requests`** — отклонено: вес/вторая цепочка против C-3 и консистентности с
+  `disk_watchdog`.
+- **Prometheus/Grafana/TSDB** — отклонено: прямой запрет C-3.
+- **Sidecar — единственный владелец диска** — отклонено: потеря покрытия, когда сам sidecar/Docker
+  недоступен; выбрана связка primary `disk_watchdog` + opt-in ceiling.
+- **Push из орка в sidecar** — отклонено: зависший орк не пушит; pull падает = сам сигнал `orch_down`.
+- **bridge + `host.docker.internal`** — отклонено: на Linux ненадёжно; `network_mode: host` проще.
+- **Своя БД/файл порогов** — отклонено: C-3; in-memory best-effort достаточно (как `disk_watchdog`).
+
+## Последствия
+- Внешний мозг мониторинга переживает падение орка; `orch_down` делает наблюдателя громче в инцидент.
+- Строго read-only + независимый канал + never-raise ⇒ self-hosting-безопасно (enduro не затронут);
+  падение sidecar не влияет на конвейер.
+- Аддитивно/обратимо: `src/**`/гейты/схема байт-в-байт; kill-switch → нулевая регрессия; дубль диска
+  исключён структурно.
+- Плата: новый контейнер на впритык-хосте (`mem_limit: 128m` + замер RSS на staging обязательны);
+  C-2 (падёт хост → молчит и sidecar); новая поверхность совместимости `/metrics`↔F1b (толерантный
+  парсинг + единый репо контракта); CPU-liveness Linux-специфичен.
+- **Топология** меняется (новый контейнер) → `07-infra-requirements.md`; **схема БД** не меняется →
+  08 = N/A. Новый компонент + контейнер + канал → `arch:major-change`; прод-выкат через staging-гейт
+  (8501), деплой sidecar НЕ рестартит прод-контейнер.
+- **Откат:** не запускать сервис / `WATCHDOG_ENABLED=false` (мгновенный) или удаление `watchdog/` +
+  сервиса + env — без следов в БД/схеме.
+
+## Связи
+adr-0030 (F1a `/metrics` — парный источник сырья; контракт `cpu_ticks`/`clk_tck`/`generated_at`/
+`schema_version`), adr-0024 (`disk_watchdog` — образец решающей функции/never-raise + владелец
+диск-алерта), adr-0025 (build-cache-pruner — паттерн «вторая половина»), adr-0017 (serial_gate —
+leaf `snapshot()`/never-raise), adr-0011 (job-reaper — pid/liveness-семантика). Прямой источник —
+**F1a** (`GET /metrics`); F1b — его потребитель.
+</content>

docs/architecture/adr/adr-0034-lessons-journal.md

@@ -0,0 +1,92 @@
+---
+work_item: ORCH-098
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0034: Машинный журнал уроков — таблица `lessons` + observer-leaf (ORCH-098)
+
+## Статус
+Proposed
+
+## Контекст
+
+Оркестратор автономно ведёт задачи по конвейеру (ORCH-54), но **развивается** вручную: инциденты →
+уроки → задачи. Уроки живут свободным текстом в `memory/` — не машиночитаемы: нельзя считать
+паттерны, приоритизировать, предлагать улучшения. ORCH-098 — шаг 1 эпика саморазвития (домен 0
+«Фундамент», F2): «топливо» петли самообучения 8A. Нужна **структурированная таблица отклонений
+конвейера**, на которой позже встанут ретроспективщик (E2), приоритизатор RICE (E3) и Стрим.
+
+Нормативное требование Славы (10.06): схема ДОЛЖНА **сразу** нести поля **атрибуции** урока
+(`platform`/`project`/`both`/`unknown` + целевой репо + домен улучшения), иначе позже придётся
+переделывать схему на живой общей прод-БД.
+
+**Кросс-каттинговость** (почему сквозной ADR): новый компонент `src/lessons.py` + аддитивная
+таблица на **общей прод-БД** (self-hosting, разделяемой с enduro-trails) + врезки автозаписи в
+несколько горячих choke-point'ов (`stage_engine`/`merge_gate`/`launcher`) + новый раздел контракта
+`GET /queue`. Фундамент для будущих задач-потребителей → регистрируется глобально.
+
+## Решение
+
+Журнал уроков — **observer (наблюдатель), НЕ Quality Gate**. Аддитивная таблица + чистый leaf,
+по образцу `serial_gate`/`coverage_gate`/`metrics`/`bug_fast_track`.
+
+1. **Таблица `lessons`** (`db.init_db()`, `CREATE TABLE IF NOT EXISTS` + 3 индекса, идемпотентно,
+   restart-safe) — поля контекста (`work_item_id`/`task_id`/`stage`/`agent`/`repo`), анализа
+   (`root_cause`/`suggestion`), статуса (`status`/`related_task`), **атрибуции сразу и нуллабельно**
+   (`attribution`/`target_repo`/`target_domain`) + `source`/`detail`. Без `enum`-констрейнтов
+   (слаги forward-compatible). Будущие колонки — `_ensure_column`.
+
+2. **Leaf `src/lessons.py`** (never-raise, импортирует только `config`+`db`): `record()` / `get()` /
+   `update()` / `snapshot()`. **Расхождение с гейт-шаблоном: журнал НЕ скоупится по репо** — он
+   observer-only и не *действует* ни на один репо; единственный регулятор — глобальный kill-switch
+   `lessons_enabled`. Запись урока про enduro ценна и **не затрагивает** пайплайн enduro (чистая
+   память орка); репо-разрез — на выборке (`repo`-колонка/фильтр).
+
+3. **Автозапись 4 типов** (`source="auto"`, best-effort, дедуп в окне; `transient_retry` — только на
+   исчерпании бюджета ретраев): `gate_failure` (`stage_engine._handle_qg_failure_rollbacks`),
+   `merge_hold` (`merge_gate._handle_merge_verify` HOLD), `transient_retry` (merge-retry/launcher
+   transient budget-exhaustion), `deploy_degraded` (post-deploy `DEGRADED → set_repo_freeze`, урок
+   слоя-3 «деплой OK / прод сломан», ET-8). Каждая врезка — одиночный вызов в защитном `try/except`.
+
+4. **Эндпоинты** `GET /lessons` (read-only, фильтры), `POST /lessons` (ручная запись,
+   `source="manual"`), `POST /lessons/{id}` (update — доклассификация `unknown`), + read-only ключ
+   `"lessons": snapshot()` в `GET /queue`. При выключенном флаге → `{"enabled": false}`.
+
+**Инвариант (нерушимый):** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict-ключи
+(`verdict:`/`result:`/`staging_status:`/`deploy_status:`/`security_status:`/`coverage_status:`) /
+схемы существующих таблиц — **байт-в-байт не тронуты**. Журнал не влияет на продвижение по стадиям.
+
+## Композиция с существующими механизмами
+- **Self-hosting (общая БД):** аддитивная таблица; enduro не затронут (NFR-3).
+- **serial-gate (ORCH-088) / post-deploy (ORCH-021):** детектор `deploy_degraded` врезан рядом с
+  `set_repo_freeze`, не меняя freeze-логику.
+- **merge-gate (ORCH-043/071/093):** `merge_hold`/`transient_retry` читают исход актора, не меняя
+  классификатор/ретрай.
+- **metrics (ORCH-099):** журнал — историческая память петли (best-effort запись), `/metrics` —
+  realtime-сырьё для sidecar; разные роли, оба observer-only.
+
+## Условность и откат
+- Флаг `lessons_enabled` (env `ORCH_LESSONS_ENABLED`, дефолт `True`; kill-switch) +
+  `lessons_dedup_window_s` / `lessons_query_limit_default`. `False` → полная инертность, нулевая
+  регрессия, конвейер байт-в-байт прежний.
+- **never-raise** на всех публичных функциях и врезках (NFR-1) — сбой журнала не роняет конвейер.
+- Откат — флаг в `false` (мгновенно) или revert диффа; таблица не касается существующих.
+
+## Последствия
+- **+** Машиночитаемые уроки — фундамент E2/E3/Стрим; атрибуция forward-proof (без передела живой БД).
+- **+** Нулевая регрессия; проверенный additive-observer-leaf шаблон → низкий риск; enduro изолирован.
+- **−** Рост таблицы (митигейшн: лёгкие строки + дедуп + budget-exhaustion; ретенция — будущее).
+- **−** Дедуп-запрос в `record()` (один indexed-SELECT, только `auto`).
+
+## Ссылки
+- Локальный ADR: `docs/work-items/ORCH-098/06-adr/ADR-001-lessons-journal.md`
+- BRD/TRZ/AC: `docs/work-items/ORCH-098/01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`
+- Data/Infra/Risks: `docs/work-items/ORCH-098/08-data-requirements.md`, `07-infra-requirements.md`,
+  `10-tech-risks.md`
+- Эпик: `docs/epics/self-evolution.md` (домен 0 «Фундамент», F2; петля 8A)
+- Сверено по коду: `src/serial_gate.py`, `src/coverage_gate.py`, `src/db.py`, `src/stage_engine.py`,
+  `src/merge_gate.py`, `src/agents/launcher.py`, `src/main.py`, `src/qg/checks.py`.

docs/architecture/internals.md

@@ -106,6 +106,17 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 Примечание: переход `review → testing` использует `check_reviewer_verdict` (читается из frontmatter `12-review.md`); `development → review` — `check_tests_local` (оркестратор сам прогоняет тесты, не зависит от Gitea CI).
 
+**Багфикс-трек: routing-override на ребре выхода из `analysis` (ORCH-019 — design).** Для задачи
+с `tasks.track='bug'` (помечена в `start_pipeline` по метке Plane `Bug` через аппарат ORCH-089)
+`advance_stage` на шаге 3 переопределяет результат `get_next_stage('analysis')`: `next_stage` →
+`development` (вместо `architecture`), а на шаге 4 `next_agent` → `developer` (вместо `architect`)
+→ стадия `architecture` и её exit-гейт `check_architecture_done` для багфикса не исполняются.
+`STAGE_TRANSITIONS`/`get_next_stage`/`get_agent_for_stage` остаются чистыми (1:1) — override живёт
+только в `advance_stage`. Чистый предикат `bug_fast_track.skips_architecture(track)` (leaf
+`src/bug_fast_track.py`, never-raise) под `bug_fast_track_enabled`; `track` читается из БД, не из
+сети (NFR-4). `False`/неприменимый репо → маршрут байт-в-байт прежний. Детали —
+[adr-0032](adr/adr-0032-bug-fast-track.md).
+
 ### 6. Review Bounce
 
 При REQUEST_CHANGES:
@@ -134,12 +145,16 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 **Текст карточки (оба режима, ORCH-042):** метка `Подтверждение BRD` (была «Ревью БРД»); после прохождения approve-gate строка BRD начинается с ✅ (ветка ожидания сохраняет ⏸️/⏳); русские display-labels стадий (`Анализ / Архитектура / Разработка / Код ревью / Тестирование / Внедрение`); финальная строка `📦 Внедрено` (было `deployed`). Меняются только отображаемые строки — ключи стадий и имена агентов (завязаны на `_STAGE_ACTIVE_AGENT`, `last_done`, БД) не трогаются.
 
+**Строки стадий: отражение откатов + суммирование метрик (ORCH-091).** Цикл рендера строк стадий (`render_task_tracker` → `_stage_line`) исправлен по двум осям. (1) **Откат (Деф.2):** `✅`-строка стадии рисуется только если её позиция в конвейере `≤` текущей позиции задачи; позиция берётся из порядка `STAGE_TRANSITIONS` (read-only хелпер `_pipeline_pos`, never-raise; неизвестная стадия → «далёкое будущее» → ✅ не пере-подавляется) с нормализацией `deploy-staging → deploy` ТОЛЬКО в гейте подавления (схлопнутая строка «Внедрение» несёт `stage_key="deploy"`). После отката (`deploy-staging → development`, `review → development`) строки стадий ПОЗЖЕ текущей больше не рисуются как пройденные — пропадает абсурд «✅ Внедрение + 🔄 Разработка»; `is_active_stage` не тронут. (2) **Метрики (Деф.3):** `_stage_line` агрегирует ВСЕ `agent_runs` агента стадии (Σ cost / Σ токены / Σ время теми же per-run-формулами, что блок тоталов задачи), а не последний прогон — каждый агент привязан ровно к одной строке `_TRACKER_STAGES`, поэтому Σ(строк стадий) ≡ тоталы ≡ `SUM(agent_runs)` по `task_id`; модель/эффорт/«попытка N» берутся из последнего прогона. Прогоны, подавлённые откатом, по-прежнему входят в тоталы (намеренная семантика отката).
+
 **Строка Plane-статуса и кликабельный номер (ORCH-067, слой B — индикация).** Под заголовком карточка несёт строку `📍 <Plane-статус>` по модели ORCH-066. Источник — двухслойный, контракт **never raises**:
-- **Оффлайн-ядро** `plane_status_label(task_row)` — чистая функция БЕЗ сети: `stage → статус` (`created→To Analyse`, `analysis→Analysis`, `architecture→Architecture`, `development→Development`, `review→Code-Review`, `testing→Testing`, `deploy→⏸️ Awaiting Deploy`, `done→Done`) + `⏸️ In Review` из brd-часов (`brd_review_started_at` задан, `…_ended_at` пуст). Неизвестная/битая стадия → безопасный дефолт `To Analyse`.
+- **Оффлайн-ядро** `plane_status_label(task_row)` — чистая функция БЕЗ сети: `stage → статус` (`created→To Analyse`, `analysis→Analysis`, `architecture→Architecture`, `development→Development`, `review→Code-Review`, `testing→Testing`, `deploy-staging→Deploying (staging)` [ORCH-091], `deploy→⏸️ Awaiting Deploy`, `done→Done`, `cancelled→Cancelled` [ORCH-091]) + `⏸️ In Review` из brd-часов (`brd_review_started_at` задан, `…_ended_at` пуст). **ORCH-091:** карта `_STAGE_STATUS_LABEL` покрывает ВСЕ ключи `STAGE_TRANSITIONS` (полнота — тестом, не статичным списком); неизвестная/будущая стадия → нейтральный фолбэк (капитализированное имя стадии), а НЕ «To Analyse» (он остаётся лишь явным лейблом `created` и безопасной деградацией на истинно-битом входе).
 - **Live-overlay** `_live_plane_branch_override` — best-effort: дорисовывает ветви-статусы, неразличимые оффлайн (Needs Input / Blocked / Rejected / Cancelled / Deploying / Monitoring after Deploy), чтением живого Plane-статуса (`fetch_issue_state` с коротким `tracker_live_status_timeout_s`, TTL-кэш `tracker_live_status_ttl_s`, kill-switch `tracker_live_status`). Любой сбой / выключенный флаг / нехватка данных → оффлайн-метка; `⏸️ In Review` (авторитет brd-часов) overlay не консультирует. Анти-false-positive: `deploying/monitoring`, алиасящие базовый UUID на проекте без выделенного статуса (enduro), не вызывают override.
 
 **Кликабельный номер задачи (ORCH-067).** Номер в заголовке карточки И во всех уведомлениях орка, где упоминается `work_item_id`, — HTML-ссылка на issue в Plane через общий `plane_issue_link` / `link_for` (URL строит `_plane_issue_url` с loopback/workspace/project-гардами, переиспользуя резолв ORCH-017). Fail-safe: при нехватке любого из (web-base/не-loopback, workspace, project_id, plane_issue_id) → `html.escape(work_item_id)` без `<a>`; динамические части экранируются, `<a>`-разметка валидна под `parse_mode=HTML`. Алерты `stage_engine`/`launcher`/`security_gate`/`reconciler` переведены на `link_for` (резолвит `repo`+`plane_issue_id` из БД по `task_id` или `work_item_id`).
 
+**HTML-безопасность данных карточки (ORCH-095).** Текст карточки шлётся с `parse_mode=HTML` и собирается из слотов двух категорий: **markup** (намеренная разметка — `num_html`/`plane_issue_link`, `link_for(...)`, `_done_link(...)`, уже-экранированный `esc_title`) и **data** (подставляемые значения — длительности `_fmt_minutes`/`_capped_review_str`, статус-лейбл `_card_status_label`, имя модели `short_model_name`, эффорт `_run_effort`, токены/стоимость `fmt_tokens`/`fmt_cost`). Инвариант: **каждый data-слот экранируется `html.escape` ровно один раз на границе рендера** (`render_task_tracker`/`_stage_line`); функции-источники остаются HTML-агностичными, markup-слоты не экранируются (двойное экранирование запрещено). Это устранило класс «неэкранированные данные в HTML-тексте»: до фикса `_fmt_minutes(<60s)` возвращал литерал `<1м`, который Telegram парсил как открывающий тег → `editMessageText` `400 can't parse entities` → `EDIT_FAILED` → ранний `return` (анти-дубль ORCH-087) → карточка застывала (инцидент ORCH-093). `_fmt_minutes` по-прежнему возвращает `<1м` — escape на границе (`&lt;1м`) рендерит его визуально идентично; формат не меняется. Застрявшая (в окне) карточка авто-восстанавливается следующим безопасным рендером; `edit_telegram`/`update_task_tracker`/леджер сирот/режимы `bump`/`edit` не тронуты. Детали — [ORCH-095 ADR-001](../work-items/ORCH-095/06-adr/ADR-001-html-safe-card-data-render.md).
+
 ## Database Schema
 
 ```sql

docs/epics/self-evolution.md

@@ -0,0 +1,316 @@
+# 🧬 ЭПИК: Автономное саморазвитие платформы оркестратора
+
+> **Статус:** концепция v2 (структура согласована Славой 09.06 → ждёт финального апрува → декомпозиция)
+> **Автор:** Стрим · **Дата:** 2026-06-09 · **Заказчик:** Слава
+> **Связанные:** ORCH-8 (петля самообучения), ORCH-83 (наблюдаемость), ORCH-54 (автономное внедрение, done)
+> **Источники:** память орка (инциденты 06–09.06), инвентаризация 94 задач Plane, мировые практики (STRATUS NeurIPS'25, ChaosEater ASE'25, self-healing LLM-agents arXiv'26, agentic AIOps, FinOps token-economics).
+
+---
+
+## 0. Зачем это (vision)
+
+Оркестратор уже **автономно внедряет** (ORCH-54: задача проходит analysis→prod без человека). Но автономность исполнения ≠ автономное **развитие**. Сегодня платформу развивает связка Слава+Стрим вручную: ловим инциденты → формулируем уроки → заводим задачи → апрувим.
+
+**Цель эпика:** управляемый самоподдерживающийся контур, где платформа сама замечает свои слабые места И возможности роста, предлагает улучшения как готовые задачи, проводит их через собственный конвейер (ORCH-7 self-hosting) — **под контролем человека на ключевых развилках** (safety > автономность).
+
+**Принцип баланса (коррекция Славы 09.06):** саморазвитие — это НЕ только «не падать и не косячить». Стабильная платформа, которая не растёт в возможностях, — тупик. **Рост функционала (новые фичи, стеки, удобства для заказчиков) — равноценный домен, а не следствие надёжности.** Платформа развивается по двум рукам одновременно: крепнет (надёжность/качество/экономика) И раздаётся вширь (возможности/масштаб).
+
+---
+
+## 1. Архитектура эпика: фундамент + 5 доменов + 2 вертикали
+
+```
+┌─────────────────────────────────────────────────────────────┐
+│  ВЕРТИКАЛЬ-ДВИГАТЕЛЬ 🧠        ВЕРТИКАЛЬ-ТОРМОЗ 🛑            │
+│  🔄 уроки (крепнем) +          governance / safety L0-L3      │
+│  💡 генератор идей (растём)    (ограничивает, апрувы)         │
+│ ░░░░░░░░░░░░ проходят СКВОЗЬ все домены ░░░░░░░░░░░░░░░░░░░░░ │
+├─────────────────────────────────────────────────────────────┤
+│         ДОМЕНЫ РАЗВИТИЯ (равноценные, две руки роста)         │
+│                                                               │
+│   КРЕПНЕТ ───────────────────►   РАЗДАЁТСЯ ВШИРЬ ────────►    │
+│   🛡️ D1 Надёжность              🚀 D4 Возможности (фичи)      │
+│   ✅ D2 Качество/Доверие         📈 D5 Масштаб                 │
+│   💰 D3 Экономика                                             │
+├─────────────────────────────────────────────────────────────┤
+│  ФУНДАМЕНТ (слой 0):  👁️ Наблюдаемость + 📒 Журнал уроков    │
+│  глаза и память — без них всё слепо                          │
+└─────────────────────────────────────────────────────────────┘
+       Общая метрика-объединитель: 🌡️ ГРАДУСНИК АВТОНОМНОСТИ
+       (каждый домен двигает её вверх контролируемо)
+```
+
+### Что изменилось против v1 (мои же правки по критике)
+- **Наблюдаемость вынесена в фундамент** (была внутри M1) — она питает ВСЁ.
+- **M0 разбит на 2 вертикали:** двигатель (петля) и тормоз (governance) — у них противоположная логика, нельзя в одну коробку.
+- **Добавлен домен D2 Качество/Доверие** — была дыра: надёжная платформа может стабильно генерить говнокод. Надёжность инфры ≠ корректность результата.
+- **Рост (D4+D5) — равноценные домены, не «второй эшелон»** (коррекция Славы).
+- **Градусник автономности** — сквозная измеримая цель вместо абстракции.
+
+---
+
+## 🏗️ АРХИТЕКТУРНЫЕ РАМКИ наблюдаемости (решено Славой 09.06 — constraints для архитектора)
+
+> Это НЕЗЫБЛЕМЫЕ границы (заказчик). Конкретные ADR (стек, формат метрик, точки врезки) — зона архитектора внутри этих рамок.
+
+**Принцип:** наблюдатель ОТДЕЛЁН от наблюдаемого. Мониторинг НЕ живёт внутри орка — иначе орк упал/завис/съел память → мониторинг ляжет вместе с ним, и мы слепы в самый критичный момент.
+
+**Решения Славы:**
+- **С-1. Sidecar-контейнер на том же хосте** (вариант A). Отдельный процесс/память/рестарт — орк падает, наблюдатель жив и РЕПОРТИТ это.
+- **С-1б. КОД sidecar — В РЕПО орка** (отдельная папка `watchdog/`), рантайм — ОТДЕЛЬНЫЙ контейнер. Изоляция — на уровне КОНТЕЙНЕРА, не репозитория. Плюсы: (1) конвейер орка пилит свой мониторинг сам (self-hosting ORCH-7); (2) контракт `/metrics`↔sidecar в одном репо — не разъедется (один PR/тесты); (3) один CI. Сборка: ОТДЕЛЬНЫЙ `watchdog/Dockerfile` + сервис `orchestrator-watchdog` в docker-compose.yml. Разовое инфра-действие: добавить сервис в compose + первый запуск (Слава/Стрим на хосте), дальше код watchdog катится через конвейер.
+- **С-2. Без внешнего плеча (L2).** Не усложняем второй площадкой. (Принятый риск: падёнвесь хост/Docker → наблюдатель тоже молчит; осознанно.)
+- **С-3. Тонкий стек.** НЕ Grafana+Prometheus (+5-6 контейнеров на забитый хост). Тонкий Python/Go sidecar. **Факт хоста 09.06: RAM 171Mi free / 7.7Gi, диск 92%** — ресурсы впритык, наблюдатель обязан быть лёгким.
+
+**Разделение ответственности:**
+- **Орк отдаёт только сырьё:** лёгкий read-only `/metrics` (свои внутренние данные — стадии/очередь/agent-liveness/cost, что знает только он). БЕЗ логики мониторинга/алертов/хранения. Орк лёг → endpoint недоступен = САМ сигнал тревоги.
+- **Sidecar — мозг мониторинга:** читает `/metrics` орка + хост (диск/память/CPU) + контейнеры (docker.sock read-only) + пинг Plane/Gitea/Anthropic; хранит пороги, шлёт Telegram-алерты СО СВОИМ каналом (не зависит от кода орка).
+- **Журнал уроков (F2)** — исключение: это НЕ realtime-мониторинг, а историческая память петли → допустимо в БД орка (аддитивная таблица). Не критично к падению орка в момент (запись best-effort).
+
+---
+
+## 2. ФУНДАМЕНТ (слой 0) — 👁️ Глаза и 📒 Память
+
+Без данных нечем ни чинить, ни считать, ни приоритизировать, ни учиться. Строится первым.
+
+- **F1 Наблюдаемость** (ORCH-83 [ЭПИК]): метрики agent-liveness + очередь + стадии + хост (диск/память/CPU) + контейнеры + внешние деп (Plane/Gitea/Anthropic). Эндпоинты /health /status /queue → расширить до /metrics + дашборд.
+- **F2 Журнал уроков** (ORCH-8 шаг 1): машинная структурированная таблица отклонений (тип, контекст, корень, предложение, статус) — формализовать то, что сейчас в memory/. Это «топливо» для вертикали-двигателя.
+
+### 🎯 СКОП НАБЛЮДЕНИЯ — три слоя (решено Славой 10.06)
+
+> Граница «мониторим ПЛАТФОРМУ vs ПРОДУКТЫ на ней». Важно для архитектора и будущих задач — не путать уровни.
+
+- **Слой 1 — проекты как ЗАДАЧИ в конвейере — ✅ В СКОПЕ (F1a/F1b).** ET-задачи в stages/queue/agents `/metrics` — это работа орка (его агенты/очередь/стадии). Sidecar алертит «ET-задача застряла». Здоровье КОНВЕЙЕРА.
+- **Слой 2 — проекты как КОНТЕЙНЕРЫ на хосте — ✅ В СКОПЕ (F1b, жив/мёртв).** `enduro-trails-app-1`, `osrm` и пр. через docker.sock ro — Up/healthy/restarting/exited. Общий хост впритык → текущий ET-контейнер вредит орку. Здоровье контейнера как чёрного ящика.
+- **Слой 3 — ВНУТРЕННЕЕ бизнес-здоровье продукта — ❌ НЕ В ФУНДАМЕНТЕ, НО НУЖНО (см. ниже).** Эндпоинты ET отвечают 200? карта рендерится? latency не деградировала после фичи? Орк не знает внутренностей задеплоенных приложений — это МОНИТОРИНГ ПРОДУКТА, не платформы.
+
+**Слой 3 — это отдельная продуктовая способность (домен D4/D5):** «per-project мониторинг здоровья задеплоенного приложения» — опция для заказчика («слежу, что твой ET-сайт жив»). **НО он НУЖЕН и самой петле** (см. §8A «атрибуция уроков») — без детекции деградации продукта петле нечего ловить. Порядок: фундамент (слои 1-2) сначала, слой 3 — позже как D4/D5-фича.
+
+---
+
+## 3. ДОМЕН D1 — 🛡️ Надёжность (Self-Repairing)
+
+**Есть:** reconciler (53), post-deploy monitor+rollback (21), merge-verify (71/73), reaper (65), disk-watchdog (63), build-prune (62).
+**Уроки:** фантом-merge, deploy-петли, транзиенты, флапп-статусы, зомби-jobs.
+
+- **D1.1** Предиктивный мониторинг (causal, не порог): «диск заполнится через N ч».
+- **D1.2** Авто-ремедиация рантайма: каталог типовых фиксов (зомби-job→requeue, stale-lease→reclaim, флапп→форс-терминал).
+- **D1.3** Транзиент-резилентность everywhere (обобщение ORCH-93): единый retry+backoff для всех внешних вызовов.
+- **D1.4** Zero-downtime деплой платформы (blue-green/canary): резервное плечо вместо окна недоступности.
+- **D1.5** Авто-rollback по SLO (расширение 21): откат по деградации latency/error-rate, не только health.
+- **D1.6** Deep agent-liveness (self-healing LLM): «думает / завис / зациклился» по reasoning+CPU+прогрессу.
+- **D1.7** Backup/restore БД+worktree (recovery после краша хоста).
+
+---
+
+## 4. ДОМЕН D2 — ✅ Качество / Доверие результата
+
+> Новый домен. Закрывает дыру: платформа может надёжно и дёшево производить плохой результат. Надёжность инфры ≠ корректность кода/аналитики.
+
+**Есть:** security-гейт (22), reviewer/tester стадии, промпт-аудит (92).
+
+- **D2.1** Code-coverage гейт (ORCH-27): защита от деградации покрытия.
+- **D2.2** Регресс-страж результата: не только «тесты зелёные», но «не сломали соседнюю фичу» (расширение regression-guard ORCH-73).
+- **D2.3** Качество аналитики: метрика «BRD не пришлось переделывать», сверка факт vs ТЗ (как сегодня ловила ложное P0).
+- **D2.4** Доверие к выходу: provenance артефактов, воспроизводимость, «деплой OK = прод реально работает» (урок ET-8).
+- **D2.5** Опциональная человеческая приёмка важных фич (ORCH-28).
+- **D2.6** Само-оценка агентов: уверенность в результате → эскалация при низкой.
+
+---
+
+## 5. ДОМЕН D3 — 💰 Экономика
+
+**Боль (ORCH-38):** developer сжёг **$13.68 на мелочь** (cache_read 18.98M — слепое сканирование src/).
+
+- **D3.1** Model-routing cascade (мир: −87%): классификатор сложности → дешёвая модель на простое, opus на сложное (ORCH-20+13).
+- **D3.2** Бюджет circuit-breaker (ORCH-23): хард-лимит $/токенов/времени → пауза+алерт.
+- **D3.3** Оценка задачи ДО старта (ORCH-20): прогноз $/время по истории.
+- **D3.4** Целевые файлы в задании (ORCH-38): analyst даёт точный список из TRZ → нет слепого сканирования. **Самый дешёвый высокий impact.**
+- **D3.5** Fast-track простых задач (ORCH-19): багфикс → урезанный цикл без architect, дешёвая модель.
+- **D3.6** Semantic caching / prompt compression (мир: −31%).
+- **D3.7** Cost-дашборд + детект аномалий.
+
+---
+
+## 6. ДОМЕН D4 — 🚀 Возможности (рост функционала)
+
+> **Равноценный домен (акцент Славы).** Это то, ради чего платформой ПОЛЬЗУЮТСЯ. Без новых возможностей надёжность бессмысленна — нечего надёжно делать. Развивается параллельно с D1-D3, а не после.
+
+**Backlog-зародыши:** ORCH-12/13/14/15/18/24/25.
+
+- **D4.1** Стеки-плагины: профили стека (web/mobile/data/ML/embedded) → агенты адаптируют процесс. Расширяемо без правки ядра. **Открывает заказчикам новые типы проектов.**
+- **D4.2** Android/мобильный стек (ORCH-15): полноценная разработка приложений.
+- **D4.3** UX/UI-дизайнер (ORCH-14): дизайнер-агент генерит макеты на аналитике, согласование с BRD.
+- **D4.4** Интерактивный аналитик (ORCH-18): живой диалог Слава↔analyst — уточнение BRD, обсуждение вариантов до старта. Удобство + качество постановки.
+- **D4.5** Тяжёлые вычисления (ORCH-12): воркер/стадия для долгих расчётов (ML-обучение, миграции данных).
+- **D4.6** База знаний проекта (ORCH-24): RAG-контекст решений/архитектуры — агенты умнее (+экономия).
+- **D4.7** Декомпозиция эпиков (ORCH-25): эпик→задачи→сборка автоматически (этот документ — кандидат №1).
+- **D4.8** Новые роли-агенты: data-engineer, ML-инженер, DevOps — по мере типов проектов.
+- **D4.9** Мультипровайдерность моделей (ORCH-13): не только Claude — выбор под задачу/стек/бюджет.
+
+---
+
+## 7. ДОМЕН D5 — 📈 Масштаб
+
+> Вторая «рука роста»: способность делать БОЛЬШЕ и ШИРЕ. Сейчас потолок — `max_concurrency=1`.
+
+**Backlog-зародыши:** ORCH-9/10; done: ORCH-6 (multi-repo), ORCH-88 (serial-batch).
+
+- **D5.1** Параллельная разработка (снять max_concurrency=1): безопасный N>1 (изоляция worktree есть, нужна merge-orchestration FIFO + защита main). **Много фич параллельно = быстрее растём.**
+- **D5.2** Turnkey-онбординг проекта (ORCH-9): команда → Plane+Gitea+агенты+инфра за минуты.
+- **D5.3** Тиражирование на новый хост (ORCH-10): перенос платформы на инфру нового заказчика (IaC-bundle).
+- **D5.4** Горизонтальный воркер-пул: очередь jobs (ORCH-1) → несколько воркеров/хостов.
+- **D5.5** Per-project лимиты ресурсов (concurrency/бюджет на проект).
+- **D5.6** Мультитенантность (отложено — SaaS-сценарий, по спросу).
+
+---
+
+## 8. ВЕРТИКАЛЬ-ДВИГАТЕЛЬ 🧠 — две турбины: реактивная + проактивная
+
+> Двигатель питается из ДВУХ источников (коррекция Славы 09.06). Реактивная турбина (уроки из боли) кормит «крепнем» (D1-D3). Проактивная (генератор идей) кормит «растём» (D4-D5). Без второй турбины рост фич зависит только от Славы — бутылочное горлышко.
+
+### 8A. Реактивная турбина 🔄 — петля самообучения из уроков (ORCH-8)
+```
+ДЕТЕКЦИЯ → ЖУРНАЛ урока → АНАЛИЗ/паттерны → ПРЕДЛОЖЕНИЕ задачи → [governance-гейт] → конвейер ORCH-7 → проверка эффекта → журнал
+```
+- **Детекция:** провал гейта, **ручное вмешательство (самый ценный сигнал — каждый ручной пинок = дыра автономности)**, ретраи/откаты/таймауты, ложные срабатывания, «деплой OK / прод сломан».
+- **Анализ (гибрид):** машина копит и предлагает черновик → Стрим фильтрует/оформляет → Слава апрувит.
+- **E1** Журнал уроков (=F2). **E2** Агент-ретроспективщик (анализ→предложение).
+
+#### ⚖️ АТРИБУЦИЯ урока — platform-level vs project-level (решено Славой 10.06)
+
+> Ключевой шаг петли. Пример Славы: выпустили фичу в ET → она деградировала ET. Петля поймала сигнал — но ЧЬЯ вина и ГДЕ чинить?
+
+Когда детектирована деградация продукта после выпуска фичи, петля ДОЛЖНА различить два уровня вины и направить урок в правильное русло:
+
+- **А. Platform-level (недоработал ОРК):** конвейер выпустил деградацию, потому что у платформы СЛАБЫЙ ПРОЦЕСС (нет регресс-гейта «фича не ломает соседнее», тест-стадия не ловит деградацию производительности, нет производительностного бенчмарка в приёмке). → улучшаем ПРОЦЕСС орка (домен **D2 Качество** / **D1 Надёжность**). Чинится ОДИН раз — выигрывают ВСЕ проекты.
+- **Б. Project-level (недоработал ПРОЕКТ):** процесс орка нормальный, но в конкретном ET МАЛО тестов/слабая приёмка под этот тип фич. → усиливаем ТЕСТЫ/приёмку В САМОМ ET (задача в бэклог ET). Чинится точечно — выигрывает только ET.
+
+**Механизм (новый шаг петли):**
+```
+ДЕТЕКЦИЯ деградации продукта (слой 3) → урок →
+   АТРИБУЦИЯ: platform-level или project-level?
+   ├─ platform → задача в D1/D2 (улучшить процесс — польза всем)
+   └─ project  → задача в бэклог ET (усилить тесты ET — польза ET)
+   (развилка не всегда бинарна — бывает ОБА: и гейт в орк, и тесты в ET)
+```
+Без атрибуции петля «чинит платформу» там, где надо усилить проект (и наоборот). **Зависит от слоя-3 детекции** (§2): без мониторинга здоровья продукта петле нечего атрибутировать. **E2-ретроспективщик** несёт эту классификацию; спорные случаи → Стрим/Слава решают.
+
+### 8B. Проактивная турбина 💡 — генератор идей новых возможностей (НОВОЕ — запрос Славы)
+
+> Отдельный источник идей роста функционала — НЕ только требования от Славы. Проактивно предлагает новые фичи/возможности/удобства. Та же воронка: машина/агент генерит черновики → Стрим фильтрует → Слава решает.
+
+**Источники идей (вход генератора):**
+- **I1 Гэпы реализации:** чего НЕ хватило для запрошенных проектов (enduro-trails, snowbike — что было тяжело/невозможно сделать платформой → кандидат в фичу).
+- **I2 Паттерны ручного труда:** что Слава/заказчики часто делают руками ВНЕ платформы → кандидат на автоматизацию/фичу.
+- **I3 Тренды и новые технологии:** сканирование новых моделей/стеков/инструментов (web-поиск, release-notes провайдеров) → «вышла модель X / фреймворк Y — даёт новую возможность».
+- **I4 Конкурентный/рыночный анализ:** что умеют другие AI-платформы разработки (Devin, Cursor, Copilot Workspace…) → чего нет у нас.
+- **I5 Анализ собственного бэклога/истории:** паттерны типов задач → «часто просят X → стоит сделать шаблон/фичу».
+- **I6 Обратная связь заказчиков:** явные пожелания/жалобы по реализованным проектам.
+- **I7 Саморефлексия Стрим:** я вижу работу платформы изнутри каждый день — предлагаю удобства/фичи из опыта ведения.
+
+**Компоненты:**
+- **E4 Агент-идеатор (product-discovery):** по расписанию сканирует I1-I7 → генерит бэклог идей-черновиков фич (с обоснованием «зачем/кому/из какого источника»).
+- **E5 Банк идей:** отдельный реестр (не путать с журналом уроков): идея, источник, предполагаемая ценность, статус (new/отклонена/в работе).
+
+### 8C. Общий выход двигателя
+- **E3 Приоритизатор RICE:** сводит ОБА потока (уроки из 8A + идеи из 8B) в единый ранжированный бэклог по impact/cost/risk — что брать первым по всем доменам. Баланс «крепнем vs растём» — настраиваемый (квота слотов на надёжность vs фичи).
+
+---
+
+## 9. ВЕРТИКАЛЬ-ТОРМОЗ 🛑 — Governance / Safety
+
+> «Контроль и управление саморазвитием» (требование Славы). Двигатель жмёт газ — этот контур держит руль и тормоз.
+
+**Принцип (ORCH-8, незыблемо):** самомодификация платформы (промпты/скиллы/конфиги агентов/ядро) — ТОЛЬКО через PR+ревью+апрув Славы. Орк ПРЕДЛАГАЕТ, ПРИМЕНЯЕТ через свой конвейер с гейтами.
+
+**Уровни автономии (agentic AIOps maturity):**
+| Уровень | Что авто | Гейт |
+|---------|----------|------|
+| L0 reactive | только алерт | человек делает всё |
+| L1 assistive | предложить задачу+ТЗ | человек апрувит запуск |
+| L2 autonomous-bounded | гонит безопасные классы (бэкенд-фиксы) до прода | safety-гейты CI/staging/regression |
+| L3 self-modifying | менять агентов/ядро | **всегда** PR+апрув Славы, НИКОГДА не авто |
+
+- **G1** Safety-политика L0-L3 + per-class правила (что можно само, что только через Славу). Лейблы autoApprove/autoDeploy (ORCH-89) = уже зародыш.
+- **G2** Бюджет на саморазвитие: лимит $/мес, чтобы контур не жёг бесконтрольно.
+- **G3** Дашборд эволюции: метрики 5 доменов в динамике — видно, КУДА развивается платформа.
+- **G4** Kill-switch петли: остановить самогенерацию задач одним флагом.
+
+---
+
+## 10. 🌡️ Градусник автономности (сквозная метрика)
+
+Объединяющая измеримая цель эпика. Каждый домен двигает её вверх:
+- **% задач без ручного пинка** (сегодня было ~5 вмешательств: апрувы, домерж 063, sync 061).
+- **Ручных вмешательств / неделю** (тренд вниз).
+- **MTBF / MTTR** платформы (D1).
+- **$/задача, токены/задача, время/задача** (D3).
+- **Типов проектов/стеков поддержано** (D4).
+- **Задач параллельно** (D5).
+- **% уроков, ставших задачами** (двигатель).
+
+---
+
+## 11. Связь с Backlog (ничего не теряем)
+
+| Backlog | Домен/вертикаль |
+|---------|-----------------|
+| ORCH-8 петля | 🧠 Двигатель (ядро) |
+| ORCH-83 наблюдаемость | Фундамент F1 |
+| ORCH-20/23/38/19 | 💰 D3 |
+| ORCH-27/28 | ✅ D2 |
+| ORCH-12/13/14/15/18/24/25 | 🚀 D4 |
+| ORCH-9/10 | 📈 D5 |
+| ORCH-94 флапп | 🛡️ D1.2 |
+| ORCH-89 авто-лейблы | 🛑 G1 |
+
+~18 backlog-задач ложатся в структуру. Эпик их систематизирует и достраивает.
+
+---
+
+## 12. Дорожная карта (предложение)
+
+1. **Фаза 0 (фундамент):** F1 наблюдаемость + F2 журнал. Без них рулить нечем.
+2. **Фаза 1 (две руки параллельно):**
+   - крепнем: D3.4 целевые файлы + D3.2 бюджет-breaker (дешёвый impact)
+   - растём: D4.1 стеки-плагины ИЛИ D4.4 интерактив-аналитик (по спросу)
+3. **Фаза 2:** D1 надёжность (транзиент-резилентность, авто-ремедиация) + D2 качество + D5.1 параллелизм.
+4. **Фаза 3 (мозг):** E2 ретроспективщик + E3 приоритизатор + G1 safety-политика → петля замыкается, дальше платформа предлагает сама.
+
+---
+
+## ⛓️ Реализация в Plane (решено 09.06)
+
+**Ось ДОМЕНА → модули Plane** (1 задача = 1 модуль; slug в `external_id`, name с эмодзи для человека):
+
+| Модуль (name) | slug (external_id) | module_id |
+|---|---|---|
+| 👁️ Фундамент | `foundation` | 74dee25a-a44b-4c3b-ab55-1b5638b8cc1f |
+| 🧠 Мозг | `brain` | ab1afa08-14ce-4b7d-8ebc-e45ac19b2ba7 |
+| 🛡️ Надёжность | `reliability` | abd7479e-4f9b-4a56-a926-cb2ece7558ca |
+| ✅ Качество | `quality` | cbf5f8ca-dc1a-4dee-9d35-555459de2b30 |
+| 💰 Экономика | `economy` | 9b4bbab3-95d6-4b8a-8d72-379a618ea2f3 |
+| 🚀 Возможности | `features` | baa6936c-6a39-4935-ad57-31ef5ffc3041 |
+| 📈 Масштаб | `scale` | 18373528-14fa-4627-a0f6-32497ff22177 |
+
+**Ось ВЕРТИКАЛЬ → лейблы** (могут быть несколько, список короткий):
+- `engine` (36f398f7-5a1c-4eeb-847a-56c457e1da6b) — задача пришла от петли/идеатора.
+- `governance` (9eea4dd8-0fe7-473a-8c40-630fc3ab0d25) — требует апрува L3 / safety-внимания.
+- (+ существующие `autoApprove`/`autoDeploy` — ортогональны, режим автономности.)
+
+**Правило раскладки:** каждая задача эпика = 1 модуль-домен (по slug) + 0..N вертикаль-лейблов. Орк ищет/привязывает по `external_id` (не по русскому имени).
+
+⚠️ **Порядок модулей на доске:** Plane API игнорирует `sort_order` на запись (только drag-and-drop в UI). Сейчас порядок перевёрнут (Масштаб сверху) — Славе поправить мышкой (фундамент→мозг→надёжность→качество→экономика→возможности→масштаб). На машинную логику не влияет (орк по slug).
+
+---
+
+## 13. Открытые вопросы Славе
+
+1. **Структура Plane:** мега-эпик с фундаментом+5 доменами+2 вертикалями? Или эпик на каждый домен?
+2. **D4 (возможности):** какой стек/фича приоритетны для тебя/заказчиков — Android, UX/UI, тяжёлые расчёты, интерактив-аналитик? С чего рост начинать?
+3. **Баланс «крепнем vs растём»:** идти строго параллельно обеими руками, или в каждой фазе перевес в одну сторону?
+4. **Safety L3:** подтверждаешь — самомодификация ядра/агентов всегда через твой апрув?
+5. **Двигатель (E2/E4):** ретроспективщик + агент-идеатор сразу как агенты, или сначала Стрим ведёт журнал/банк идей вручную?
+8. **Генератор идей (8B):** какие из источников I1-I7 тебе ценнее (гэпы проектов / тренды-технологии / конкуренты / саморефлексия Стрим)? Генерить автономно или только по твоему запросу?
+6. **Бюджет на эпик (G2):** лимит $/мес?
+7. **Первая задача** после апрува: F1 наблюдаемость, быстрая победа D3.4, или сразу рост D4.*?

docs/operations/INFRA.md

@@ -47,8 +47,35 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 - **P-3:** `id slin` → `1000:1000`; `/repos`, `/app/data` уже `1000:1000`.
 - **P-4:** прод-рестарт self — только в окно тишины (`GET /status` без активных задач):
   общий инстанс с enduro-trails.
-- Разовый разгребающий `chown -R 1000:1000 /home/slin/repos/orchestrator` для старых
-  `root:root` файлов из истории (вне объёма кода).
+- **P-5 (блокер миграции uid, ORCH-057):** нормализация **всех** legacy `root:root` файлов в `/repos`
+  — см. подраздел «Миграция uid: обязательная нормализация legacy root-файлов» ниже. Без неё первый
+  job падает на launch при создании worktree (инцидент 06.06, ORCH-043).
+
+### Миграция uid: обязательная нормализация legacy root-файлов (ORCH-057)
+ORCH-040 сменил `user:` контейнера, но **не** владельца уже существующих файлов в bind-mount `/repos`,
+созданных прежним root-контейнером. Под uid 1000 `src/git_worktree.py::ensure_worktree` не может
+создать worktree рядом с `root:root` каталогом `/repos/_wt/` → `fatal: could not create leading
+directories … Permission denied` (агент даже не стартует). С ORCH-057 эта ошибка распознаётся и
+выдаётся **внятно** (с лечащей командой) + детектится на старте сервиса (WARNING/Telegram, блок
+`fs_ownership` в `GET /queue`), но **фактический `chown` обязан выполнить оператор под root на хосте**
+(контейнер бежит без root и chown'ить чужие файлы не может).
+
+**Обязательный разовый шаг при миграции uid / на новой среде (под root на mva154, ПЕРЕД стартом app):**
+```bash
+# 1) worktree-корень (все ветки всех проектов режутся здесь)
+sudo chown -R 1000:1000 /home/slin/repos/_wt
+# 2) .git обоих репо (objects / worktrees-административные записи)
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git \
+                        /home/slin/repos/enduro-trails/.git
+# 3) корень orchestrator целиком (включая data/runs/*.log — 37 root-логов в инциденте)
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator
+# Проверка (пусто = ок):
+find /home/slin/repos/_wt ! -uid 1000 -print -quit
+```
+Процедура **идемпотентна** (повтор на корректной среде — no-op) и входит в **чеклист деплоя/миграции
+self**. Область охвата: `_wt`, оба `.git` (`objects`+`worktrees`), `data/runs`. См.
+`docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md` и сквозной
+`docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`.
 
 ### Тома (volumes)
 - `./data` → `/app/data` (БД; у staging — `./data/staging`)

docs/work-items/ORCH-009/15-staging-log.md

@@ -0,0 +1,48 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-009
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-fable-5
+timestamp: 2026-06-10T13:07:10Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed against the live staging environment
+(`orchestrator-staging`, 8501), run canonically inside the container
+(ORCH-048, ADR-001: `docker exec orchestrator-staging python3
+/repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501
+--mode stub`).
+
+**Verdict: SUCCESS** (exit code 0).
+
+## Results
+
+Result: 8/10 checks PASS. All REAL (pipeline) checks are green:
+
+- **Block A (SMOKE)**: A1 `/health` → 200 status=ok, A2 `/queue` → 200 with
+  counts/max_concurrency/resilience (incl. `serial_gate`, `coverage`,
+  `auto_labels`, `stop`, `bug_fast_track`, `lessons` blocks), A3
+  `ORCH_STAGING=true` — PASS
+- **Block B (ACCESS)**: B4 Plane sandbox accessible, B5 Gitea
+  `orchestrator-sandbox` accessible (push=true), B6 registry isolation
+  (sandbox present, prod ET/ORCH absent) — PASS
+- **Block C (E2E, mode=stub)**: C7 create issue in Plane SANDBOX (HTTP 201),
+  C8 trigger pipeline via `/webhook/plane` (HTTP 200, accepted) — PASS;
+  cleanup completed (Plane issue deleted, HTTP 204)
+
+REAL failed: none.
+
+The two failed checks (C9a/C9b) are known sandbox-infra checks (they depend on
+SANDBOX bot accounts being project members, not on the pipeline) and were
+waived per ORCH-061 (`staging_infra_tolerance_enabled=True`); the script still
+exited 0 fail-closed because every REAL check is green.
+
+```
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+```

docs/work-items/ORCH-019/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: Режим багфиксинга: упрощённый/дешёвый трек для багов (не полный цикл)
+
+Work Item ID: ORCH-019
+
+## Description
+
+TBD

docs/work-items/ORCH-019/01-brd.md

@@ -0,0 +1,178 @@
+---
+work_item: ORCH-019
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-019 — Режим багфиксинга (упрощённый/дешёвый трек для багов)
+
+Work Item: **ORCH-019** · Repo: **orchestrator** (self-hosting) · Стадия: analysis
+Заказчик: Слава · Тип: фича (новый режим конвейера, опциональный, под флагом)
+
+> ⚠️ **Принцип, заданный Владельцем (нерушимый):** упрощаем **аналитику**, но **НЕ ослабляем
+> качество**. Гейты CI / review / tester verdict / deploy verdict **остаются**. Горький урок
+> ET-8 / BUG-TESTS-SUBSTRING: срезанная *проверка* = недоделка на проде. «Дешевле ≠
+> бесконтрольнее». Этот принцип — корневой инвариант всей задачи (см. NFR-1, BR-6).
+
+---
+
+## 1. Бизнес-контекст и проблема
+
+### 1.1. Цель
+Дать оркестратору **отдельный удешевлённый трек для багфиксов**. Сейчас любой баг (пример:
+зашёл на карту enduro-trails, увидел дефект, завёл задачу) идёт по **полному** конвейеру
+`analysis → architecture → development → review → testing → deploy-staging → deploy`. Для мелкой
+правки полный цикл **избыточен**: лишние стадии (полный BRD/TRZ/AC + архитектурный ADR) тратят
+токены и время, не добавляя ценности на однострочном фиксе.
+
+### 1.2. Установленные факты (проверено по коду, не изобретать)
+- **Точка входа задачи в конвейер:** `src/webhooks/plane.py::start_pipeline` создаёт task-row
+  с **жёстко зашитой** начальной стадией `"analysis"` (`create_task_atomic(..., "analysis", ...)`)
+  и режет ветку (`_create_gitea_branch`). Это единственная точка, где задаётся точка входа.
+- **Маршрутизация стадий полностью управляется** `src/stages.py::STAGE_TRANSITIONS` через
+  `get_next_stage` — `advance_stage` (`src/stage_engine.py`) не содержит «зашитого» порядка стадий,
+  он спрашивает `get_next_stage`. → Изменение точки входа / маршрута локализуемо, машину стадий
+  ломать не нужно.
+- **Метка задачи уже читается из Plane** аппаратом ORCH-089: `src/labels.py::has_label` +
+  `plane_sync.fetch_issue_labels` / `get_project_labels` (TTL-кэш, нормализация имени, never-raise,
+  fail-safe → False). Источник истины — Plane API, **не** payload вебхука (`type`/`priority` в
+  payload отсутствуют). Это готовый, проверенный шаблон классификации задачи.
+- **Все Quality Gate'ы читают вердикт из артефактов**, а не из стадии входа: `check_ci_green`,
+  `check_reviewer_verdict` (`12-review.md`), `check_tests_passed` (`13-test-report.md`),
+  `check_staging_status`, `check_deploy_status`, под-гейты security/merge/coverage/image-freshness.
+  Они **не зависят** от того, прошла ли задача `analysis`/`architecture`, → их можно сохранить
+  нетронутыми при срезанном «входе».
+- **Coverage-гейт (ORCH-027)** уже структурно ловит «код без тестов» на ребре
+  `deploy-staging → deploy` — союзник принципа «баг фиксируется тестом».
+- **Прецедент стоимости:** UI z-index баг ET-9/ET-014 прошёл **полный** цикл ~35 мин — типичный
+  кандидат на удешевление.
+
+### 1.3. Связки и разграничение
+- **ORCH-13 (роутинг моделей):** «дешёвая модель на багфиксе» (Вариант 4 постановки) —
+  **вне объёма** ORCH-019, отдельная задача; ORCH-019 лишь оставляет точку композиции
+  (флаг bug-track наблюдаем, по нему ORCH-13 позже может выбрать модель). См. §2.2.
+- **ORCH-088 (serial gate) / ORCH-089 (auto-label):** ORCH-019 **сосуществует** с ними и
+  переиспользует их аппарат (label-чтение, per-repo flag, claim-gate); не конфликтует.
+- **ORCH-12 / ORCH-14 (UX) / ET-9 (визуальные баги):** часть багов визуальные и может требовать
+  мини-макета — для таких случаев предусмотрен механизм **эскалации обратно в полный цикл**
+  (BR-5), а не слепое удешевление.
+- **ORCH-8 (петля уроков):** баг, найденный на проде, — сигнал петли уроков; ORCH-019 этого не
+  меняет (post-deploy-телеметрия ORCH-021 сохраняется).
+
+---
+
+## 2. Объём (scope)
+
+### 2.1. В объёме
+- **BR-1 — Классификация «баг».** Задача распознаётся как баг по **метке Plane** (рекоменд. имя
+  `Bug`), читаемой аппаратом ORCH-089. Операторская, детерминированная, обратимая разметка.
+- **BR-2 — Упрощённый трек.** Багфикс-задача идёт по **укороченному** пути: пропускается
+  **тяжёлая аналитика и стадия `architecture`** (полный BRD/TRZ/AC/ADR не требуются); вместо них —
+  **минимальный набор артефактов** (короткий bug-report + обязательный план регресс-теста).
+- **BR-3 — Гейты качества сохраняются ПОЛНОСТЬЮ.** CI (`check_ci_green`), review
+  (`check_reviewer_verdict`), testing (`check_tests_passed`), staging/deploy-вердикты и под-гейты
+  (security/merge/coverage/image-freshness) исполняются **без изменений** на багфикс-треке.
+- **BR-4 — Обязательный регресс-тест.** Багфикс **обязан** зафиксировать дефект тестом (тест,
+  падающий до фикса и зелёный после) — главный предохранитель от рецидива (урок ET-8).
+- **BR-5 — Эскалация в полный цикл.** Если баг оказался сложным/архитектурным или визуальным
+  (нужен макет), он **возвращается** в полный цикл; багфикс-трек не «застревает» на сложном.
+- **BR-6 — Безопасность по умолчанию (fail-safe → полный цикл).** Любая неоднозначность/ошибка
+  чтения метки/выключенный флаг → задача идёт **полным** циклом (никогда не «теряет» стадии молча).
+- **BR-7 — Наблюдаемость стоимости.** Виден факт «задача на багфикс-треке» и метрика экономии
+  (стадии/agent-runs/токены/время) относительно полного цикла.
+
+### 2.2. Вне объёма (явно не делать)
+- **Роутинг моделей (ORCH-13 / Вариант 4):** выбор дешёвой модели на багфиксе — отдельная задача.
+- **Авто-триаж сложности аналитиком (полный Вариант 3):** автоматическая classification
+  `trivial/small/complex` LLM-аналитиком — будущее развитие; v1 опирается на явную метку оператора
+  + ручную/мини-эскалацию (BR-5), не на ML-классификатор.
+- **Изменение `STAGE_TRANSITIONS` (новые стадии), реестра `QG_CHECKS`, семантики любого `check_*`,
+  вердикт-ключей** (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/
+  `coverage_status:`).
+- **Параллелизм багфиксов**, изменение `max_concurrency`, merge-очередь.
+- **Полный отказ от стадии `analysis`** (вариант «hotfix → сразу development») как дефолт — см.
+  §6 (требуется минимальный аналитический проход ради регресс-теста и трассируемости). Чистый
+  hotfix без аналитики оставлен как возможная опция архитектора, но не дефолт.
+
+---
+
+## 3. Заинтересованные стороны
+- **Владелец/оператор (Слава):** ставит метку `Bug`, получает быстрый дешёвый фикс, эскалирует
+  сложный баг, читает метрику экономии.
+- **Self-hosting прод (`orchestrator`) и enduro-trails:** общий инстанс/БД/очередь — режим обязан
+  быть аддитивным, под флагом, per-repo, с нулевой регрессией при выключении (FR-условие).
+- **Агенты конвейера (analyst/developer/reviewer/tester):** работают по тем же контрактам; на
+  багфикс-треке analyst выдаёт облегчённый пакет, остальные — как обычно.
+
+---
+
+## 4. Бизнес-требования (BR) — сводная таблица
+
+| ID | Требование | Связь |
+|----|------------|-------|
+| BR-1 | Задача распознаётся как баг по метке Plane (`Bug`), читаемой через аппарат ORCH-089 (`labels.has_label` + `plane_sync.fetch_issue_labels`). Источник истины — Plane API, не payload. | FR-1, AC-1 |
+| BR-2 | Багфикс-задача пропускает тяжёлую аналитику и стадию `architecture`; маршрут `analysis(lite) → development → review → testing → deploy-staging → deploy`. Полный BRD/TRZ/AC/ADR не обязателен. | FR-2, AC-2 |
+| BR-3 | Все Quality Gate'ы (CI/review/tester/staging/deploy + под-гейты security/merge/coverage/image-freshness) исполняются на багфикс-треке **без изменений**. | FR-3, AC-3 |
+| BR-4 | Багфикс обязан содержать **регресс-тест** (падает до фикса, зелён после); отсутствие нового/изменённого теста на исправление — повод для REQUEST_CHANGES reviewer'ом. | FR-3/FR-4, AC-4 |
+| BR-5 | Существует механизм **эскалации** багфикса в полный цикл (сложный/архитектурный/визуальный баг) — задача возвращается на полную аналитику/архитектуру. | FR-5, AC-5 |
+| BR-6 | **Fail-safe:** при выключенном флаге, ошибке/неоднозначности чтения метки, неприменимом репо — задача идёт **полным** циклом (никогда не теряет стадии молча). never-raise. | FR-6, AC-6 |
+| BR-7 | Факт багфикс-трека и метрика экономии (пропущенные стадии / Σ agent-runs / токены / время vs полный цикл) наблюдаемы (`GET /queue` блок + лог/Telegram-карточка). | FR-7, AC-7 |
+| BR-8 | Поведение управляется kill-switch'ом и областью репо (как ORCH-35/43/58/88/89): выключение флага → строго прежнее поведение (нулевая регрессия для enduro и для orchestrator). | NFR-2, AC-6 |
+
+---
+
+## 5. Нефункциональные требования (NFR)
+
+| ID | Требование |
+|----|------------|
+| NFR-1 | **Качество не ослабляется (корневой инвариант).** Срезается только *аналитика/архитектура*; ни один Quality Gate, exit-код deploy-хука, под-гейт безопасности/покрытия — не ослаблен и не пропущен. |
+| NFR-2 | **Нулевая регрессия / аддитивность.** При `bug_fast_track_enabled=False` или неприменимом репо путь старта и маршрут идентичны текущим. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/вердикт-ключи/схема БД — не меняются (допустима лишь аддитивная идемпотентная миграция, если архитектор сочтёт нужным помечать тип задачи в БД). |
+| NFR-3 | **never-raise / fail-safe.** Любая ошибка классификации/маршрутизации → деградация на полный цикл, не падение вебхука/конвейера (по образцу `labels.py`/`serial_gate.py`). |
+| NFR-4 | **Offline-устойчивость горячего пути.** Классификация может ходить в Plane API только в момент `start_pipeline` (как ORCH-089), но **не** в горячем `claim_next_job` (иначе встанет очередь всех проектов). |
+| NFR-5 | **Per-repo область.** Режим включается по CSV-области репо; orchestrator и enduro управляются независимо. |
+| NFR-6 | **Self-hosting безопасность.** Механизм не рестартит/не роняет прод-контейнер, не пушит/force-push в `main`. |
+| NFR-7 | **Композируемость.** Корректно сосуществует с serial-gate (ORCH-088), auto-label (ORCH-089), coverage-gate (ORCH-027), merge-gate (ORCH-043). |
+
+---
+
+## 6. Допущения и ограничения
+- **Минимальный аналитический проход сохраняется** (а не «hotfix → сразу dev»): ради (а)
+  фиксации регресс-теста как контракта приёмки (BR-4), (б) трассируемости (минимальный bug-report).
+  Полный отказ от `analysis` для багов оставлен архитектору как опция, но дефолт — мини-анализ.
+  Обоснование: урок ET-8 — именно отсутствие явного теста-фиксатора привело к «недоделка в Done».
+- **Классификация v1 — явная метка оператора**, не LLM-авто-триаж (Вариант 3 в полном объёме —
+  будущее). Метка `Bug` должна существовать в Plane-проекте; её отсутствие = fail-safe полный цикл.
+- **Эскалация v1** — допускает как минимум ручной путь (снять метку `Bug` / вернуть стадию) и/или
+  решение мини-аналитика «баг сложный → не фаст-трекать». Конкретный механизм — архитектору.
+- **Стоимость измеряется относительно**: метрика «во сколько раз дешевле» считается по факту из
+  существующей телеметрии `agent_runs` (стадии/токены/время), без новой тяжёлой инфраструктуры.
+
+---
+
+## 7. Критерии успеха (резюме; детали — `03-acceptance-criteria.md`)
+- AC-1 — задача с меткой `Bug` распознаётся и помечается как багфикс-трек.
+- AC-2 — багфикс-задача проходит конвейер, пропустив стадию `architecture` (и тяжёлый BRD/TRZ/AC).
+- AC-3 — все Quality Gate'ы исполнены на багфикс-треке (CI/review/tester/staging/deploy + под-гейты).
+- AC-4 — багфикс содержит регресс-тест; его отсутствие даёт REQUEST_CHANGES.
+- AC-5 — сложный/визуальный баг эскалируется в полный цикл.
+- AC-6 — при выключенном флаге / ошибке / неприменимом репо — поведение строго прежнее (полный цикл).
+- AC-7 — факт багфикс-трека и метрика экономии наблюдаемы.
+
+---
+
+## 8. Риски (детали — `10-tech-risks.md`, заполняет архитектор)
+- R-1: **Срезали лишнее.** Ошибочный пропуск гейта качества → недоделка на проде (ET-8). Митигатор —
+  NFR-1: режется только аналитика/архитектура, гейты структурно нетронуты + тест AC-3.
+- R-2: **Сложный баг под меткой `Bug`** уходит на фаст-трек и упирается в отсутствие архитектуры →
+  нужна эскалация (BR-5) и/или решение мини-аналитика.
+- R-3: **Регресс-тест не написан** (developer «забыл») → рецидив бага. Митигатор — BR-4 + reviewer-ось
+  + союзник coverage-gate (ORCH-027).
+- R-4: **Fail-safe инвертирован** (ошибка → молча срезали стадии) → недоделка. Митигатор — NFR-3
+  fail-safe строго в сторону полного цикла + тест AC-6.
+- R-5: **Конфликт с serial-gate/auto-label** при изменённой точке входа. Митигатор — NFR-7 +
+  интеграционный тест композиции.
+</content>
+</invoke>

docs/work-items/ORCH-019/02-trz.md

@@ -0,0 +1,207 @@
+---
+work_item: ORCH-019
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-019 — Режим багфиксинга (упрощённый/дешёвый трек для багов)
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **что** должно измениться и **где** (модули/контракты/артефакты), выведенное из BRD
+> и фактического кода. **Как** (точная схема: где именно ветвить маршрут, хранить ли тип задачи в
+> БД, отдельный leaf-модуль или расширение `labels.py`) — решает архитектор в `06-adr/`. ТЗ
+> фиксирует требования и границы, архитектурное решение не предлагает.
+
+> ⚠️ **Корневой инвариант (NFR-1 BRD):** срезается ТОЛЬКО аналитика/архитектура. Любой Quality Gate,
+> exit-код deploy-хука, под-гейт безопасности/покрытия — байт-в-байт прежние.
+
+---
+
+## 1. Сводка изменения
+Ввести **опциональный багфикс-трек**: задача, помеченная в Plane меткой `Bug`, проходит конвейер по
+**укороченному маршруту** — пропускается стадия `architecture` и тяжёлая аналитика (полный
+BRD/TRZ/AC/ADR заменяются минимальным bug-report + обязательным планом регресс-теста). Все
+Quality Gate'ы (CI/review/tester/staging/deploy + под-гейты security/merge/coverage/image-freshness)
+исполняются **без изменений**. Распознавание бага и маршрут — аддитивно, под kill-switch, с областью
+репо, never-raise, fail-safe → полный цикл. `STAGE_TRANSITIONS` и реестр `QG_CHECKS` структурно не
+меняются.
+
+---
+
+## 2. Задействованные модули / пути
+
+| Путь | Роль в задаче | Характер изменения |
+|------|---------------|--------------------|
+| `src/labels.py` | аппарат чтения метки Plane (ORCH-089: `has_label`, `*_applies`) | переиспользовать; **добавить** `is_bug_task(work_item_id, project_id) -> bool` + `bug_fast_track_applies(repo) -> bool` (по образцу `auto_approve_applies`), либо вынести в новый leaf `src/bug_fast_track.py` (never-raise) — выбор архитектора |
+| `src/plane_sync.py` | `fetch_issue_labels` / `get_project_labels` / `_normalize_label` | **без изменений** — переиспользуются для чтения метки `Bug` (источник истины — Plane API) |
+| `src/webhooks/plane.py` | `start_pipeline` (создаёт task-row со стадией `"analysis"`, режет ветку `_create_gitea_branch`), `handle_status_start`, `handle_issue_updated` | **ключевая врезка:** перед `create_task_atomic(...)` определить тип задачи и (при багфикс-треке) пометить задачу багом / задать укороченный маршрут. Внешний контракт вебхука Plane не меняется |
+| `src/stages.py` | `STAGE_TRANSITIONS`, `get_next_stage` | **структура `STAGE_TRANSITIONS` не меняется** (новых стадий нет). Требование: маршрут багфикса = `analysis → development` (пропуск `architecture`). Механизм (условный `get_next_stage` по типу задачи / bug-mode-флаг на task) — архитектору |
+| `src/stage_engine.py` | `advance_stage`, `_run_qg`, `_handle_analysis_approved_flow`, откаты | `advance_stage` уже маршрутизирует через `get_next_stage` (не зашивает порядок) → при условной маршрутизации правка точечная. Гейты диспетчеризуются как раньше |
+| `src/db.py` | `create_task_atomic(plane_id, work_item_id, repo, branch, stage, title)`, схема `tasks`, `claim_next_job` | если архитектор решит хранить «тип=bug» в БД — **аддитивная идемпотентная** колонка (`_ensure_column`, напр. `tasks.track TEXT DEFAULT 'full'`); горячий `claim_next_job` **не** должен ходить в сеть (NFR-4) |
+| `src/config.py` | флаги фичи | новые: `bug_fast_track_enabled`, `bug_fast_track_label`, `bug_fast_track_repos` (CSV) + helper `applies(repo)` по образцу `auto_label_*` / `serial_gate_*` |
+| `src/qg/checks.py` | реестр `QG_CHECKS` и `check_*` | **без изменений** (инвариант NFR-1) |
+| `src/serial_gate.py`, `src/coverage_gate.py`, `src/merge_gate.py` | композиция | **без изменений**; проверить совместимость (NFR-7) интеграционным тестом |
+| `src/main.py` | `GET /queue` | **аддитивный** read-only блок `bug_fast_track` (флаг/область/счётчики/метрика экономии) |
+| `src/notifications.py` | live-карточка | опционально — отметка «🐞 багфикс-трек» в карточке (never-raise) |
+| `.openclaw/agents/analyst.md` | промпт мини-аналитика | при багфикс-треке выдавать **облегчённый** пакет (bug-report + регресс-тест-план), не полный BRD/TRZ/AC. Канон промптов 52d не нарушать |
+| `.openclaw/agents/reviewer.md` | ось контроля | добавить ось «багфикс без регресс-теста → REQUEST_CHANGES» (BR-4) — нормативно-описательно, не машинный гейт |
+
+---
+
+## 3. Функциональные требования
+
+### FR-1 — Классификация задачи как «баг» (BR-1)
+- Багфикс-трек активируется, если issue несёт метку Plane с именем `bug_fast_track_label`
+  (дефолт `Bug`), прочитанную через `labels.has_label(work_item_id, label, project_id)` (ORCH-089:
+  `fetch_issue_labels` + `get_project_labels`, нормализация `_normalize_label`, TTL-кэш).
+- **Источник истины — Plane API**, не payload вебхука (поле `type` в payload отсутствует).
+- Чтение метки допускается **только** в `start_pipeline` (момент старта, сетевой вызов приемлем,
+  как ORCH-089) — **не** в горячем `claim_next_job` (NFR-4).
+- `applies(repo)` (локальный, без сети) проверяется **первым**; `has_label` (сеть) — только при
+  `applies==True` → при выключенном флаге нулевой сетевой оверхед (образец ORCH-089).
+
+### FR-2 — Укороченный маршрут (BR-2)
+- Для багфикс-задачи маршрут конвейера: `analysis(lite) → development → review → testing →
+  deploy-staging → deploy → done`, т.е. **пропускается стадия `architecture`** (и её exit-гейт
+  `check_architecture_done` / требование `06-adr/`).
+- `STAGE_TRANSITIONS` **не изменяется структурно**. Требуемый инвариант результата: при выходе
+  багфикс-задачи из `analysis` следующая стадия = `development` (а не `architecture`); для
+  не-багфикс задач — прежняя `architecture`. Конкретный механизм (условный `get_next_stage(stage,
+  task)` / bug-mode-флаг на task / точка входа сразу в `development`) — решение архитектора.
+- Тяжёлая аналитика облегчается: на багфикс-треке обязательны лишь `01-brd.md` (короткий
+  bug-report: симптом, шаги воспроизведения, локализация, причина) и `04-test-plan.yaml` (план
+  регресс-теста). Полные `02-trz.md`/`03-acceptance-criteria.md` и `06-adr/` — **не обязательны**.
+  (Совместимость с `check_analysis_complete`, требующим `01/02/03/04` — см. FR-6.)
+
+### FR-3 — Гейты качества сохраняются полностью (BR-3, корневой инвариант)
+- На багфикс-треке исполняются **без изменений**: `check_ci_green` (development→review),
+  `check_reviewer_verdict` (review→testing, `12-review.md`), `check_tests_passed` (testing→
+  deploy-staging, `13-test-report.md`), `check_staging_status`, `check_deploy_status`, под-гейты
+  ребра `deploy-staging→deploy` (security ORCH-022 → merge ORCH-043 → coverage ORCH-027 →
+  image-freshness ORCH-058) и merge-verify ребра `deploy→done` (ORCH-071/073).
+- Ни один `check_*`, его сигнатура, вердикт-ключ или порядок под-гейтов **не меняется**.
+
+### FR-4 — Обязательный регресс-тест (BR-4)
+- Багфикс **обязан** содержать новый/изменённый тест, воспроизводящий дефект (красный до фикса,
+  зелёный после). Требование закрепляется: (а) в `04-test-plan.yaml` багфикса как обязательный TC;
+  (б) reviewer-осью (`.openclaw/agents/reviewer.md`): «исправление кода без теста-фиксатора →
+  finding ≥P1 / REQUEST_CHANGES»; (в) усиливается coverage-гейтом ORCH-027 (структурно ловит «код
+  без тестов»). Это требование, не новый машинный гейт.
+
+### FR-5 — Эскалация в полный цикл (BR-5)
+- Багфикс-задача должна иметь путь возврата в полный цикл, если баг оказался сложным/архитектурным
+  или визуальным (нужен макет — связка ORCH-12/14, прецедент ET-9). Минимум v1: ручная эскалация
+  (оператор снимает метку `Bug` / переводит стадию) **и/или** решение мини-аналитика «баг сложный →
+  не фаст-трекать» (тогда задача идёт штатным маршрутом с `architecture`). Конкретный механизм и
+  его автоматизация — архитектору; v1 не обязан включать LLM-авто-триаж сложности.
+
+### FR-6 — Fail-safe → полный цикл (BR-6, NFR-3)
+- При `bug_fast_track_enabled=False`, неприменимом репо, ошибке/таймауте/неоднозначности чтения
+  метки (`has_label` → False / `None`-labels), отсутствии метки `Bug` в проекте — задача идёт
+  **полным** циклом (точка входа `analysis`, маршрут с `architecture`). never-raise: ошибка логики
+  не роняет `start_pipeline`/вебхук.
+- **Совместимость с `check_analysis_complete`** (требует наличие `01/02/03/04`): при облегчённом
+  пакете багфикса гейт не должен ложно блокировать. Варианты (архитектору): мини-аналитик всё равно
+  эмитит заглушки `02/03` ИЛИ гейт `check_analysis_approved` на багфикс-треке учитывает облегчённый
+  набор. Требование: **не ослабить** проверку для не-баг задач и **не заблокировать ложно** баг.
+
+### FR-7 — Наблюдаемость стоимости (BR-7)
+- Факт «задача на багфикс-треке» и метрика экономии видны: (а) аддитивный блок `bug_fast_track` в
+  `GET /queue` (флаг/область + счётчик задач на треке + агрегат сэкономленных стадий/agent-runs);
+  (б) лог-строка на решение о маршруте; (в) опц. отметка в Telegram-карточке. Метрика «во сколько
+  дешевле» считается из существующей телеметрии `agent_runs` (Σ токены/время багфикс-трека vs
+  средний полный цикл) — без новой тяжёлой инфраструктуры.
+
+---
+
+## 4. Изменения API
+
+### 4.1. Новые публичные endpoint'ы
+- **Не требуются обязательно.** (Эскалация и классификация идут через Plane-метки/статусы, не через
+  новый HTTP-эндпоинт. Если архитектор вводит админ-эндпоинт принудительной (де)классификации —
+  описать в ADR и обновить таблицу API в README.)
+
+### 4.2. Изменяемые endpoint'ы
+- `GET /queue` — **аддитивно** добавляется блок `bug_fast_track` (read-only, never-raise) по образцу
+  блоков `serial_gate` / `auto_labels` / `coverage`: `enabled`, `repos`, `label`, перечень/счётчик
+  задач на багфикс-треке, агрегатная метрика экономии. Существующие ключи `GET /queue` не меняются.
+
+### 4.3. Webhook-обработчики
+- `start_pipeline` (`webhooks/plane.py`): добавляется ветвление «issue имеет метку `Bug` и
+  `applies(repo)` → багфикс-трек (пометить задачу / задать укороченный вход-маршрут)». Внешний
+  контракт вебхука Plane не меняется.
+
+---
+
+## 5. Изменения схемы БД
+> Только **аддитивные, идемпотентные** миграции (общая прод-БД; enduro не трогать).
+
+- **Опционально (выбор архитектора):** если тип задачи нужно знать после старта (для маршрутизации
+  в `advance_stage`/`get_next_stage` и для метрики), ввести аддитивную колонку
+  `tasks.track TEXT DEFAULT 'full'` (значения `full` | `bug`) через `_ensure_column` (паттерн
+  `tasks.cancelled_at` ORCH-090). Тогда горячий `claim_next_job` читает тип из БД, **не** из сети
+  (NFR-4). Альтернатива без колонки (вывести тип повторным чтением метки) допустима, но повторный
+  сетевой вызов в горячем пути запрещён (NFR-4) → колонка предпочтительнее.
+- **Существующие** `tasks`-контракт (прочие колонки), `jobs`, `job_deps`, `agent_runs`,
+  `coverage_baseline`, `repo_freeze` — **без изменений**.
+
+---
+
+## 6. Требования к новым/изменённым QG checks
+- **Новых QG-проверок не вводить; ни один `check_*` не менять семантически** (NFR-1). Маршрутизация
+  багфикса — свойство планировщика/точки входа, **не** Quality Gate.
+- Единственная допустимая тонкая правка — обеспечить, чтобы exit-гейт стадии `analysis`
+  (`check_analysis_approved` / helper `check_analysis_complete`) **не блокировал ложно** облегчённый
+  багфикс-пакет, **не ослабляя** проверку для полного цикла (FR-6). Если для этого требуется правка
+  `check_*` — она должна сохранить вердикт-семантику для не-баг задач байт-в-байт.
+
+---
+
+## 7. Совместимость / регресс
+- **Kill-switch** `bug_fast_track_enabled` (env `ORCH_BUG_FAST_TRACK_ENABLED`); `False` → точка входа
+  и маршрут строго прежние (`analysis → architecture → …`), нулевая регрессия (NFR-2).
+- **Область репо** `bug_fast_track_repos` (CSV; пусто → рекомендуется self-hosting + явно
+  разрешённые проекты, где есть метка `Bug` — решение об области по умолчанию фиксирует архитектор).
+- **`applies(repo)` первым** (локально, без сети) → выключенный флаг = нулевой сетевой оверхед,
+  enduro не затронут.
+- **Композиция (NFR-7):** не конфликтует с serial-gate (ORCH-088: багфикс-задача — обычная задача
+  репо, учитывается в serial-очереди), auto-label (ORCH-089: `autoApprove`/`autoDeploy` работают и
+  на багфикс-треке), coverage-gate (ORCH-027: союзник BR-4), merge-gate (ORCH-043).
+- **never-raise / fail-safe** (NFR-3): ошибка классификации/маршрута → полный цикл, не падение.
+- **Self-hosting** (NFR-6): механизм не рестартит/не роняет прод, не пушит/force-push в `main`.
+- **Маркеры трассировки** (CLAUDE.md §9): новые инварианты помечаются `ORCH-019`; правка
+  маркированного кода (ORCH-088/089/027) — со сверкой их `06-adr/`.
+
+---
+
+## 8. Артефакты pipeline (создать/обновить в ТОМ ЖЕ PR)
+- `docs/work-items/ORCH-019/06-adr/ADR-001-<slug>.md` — решение (механизм маршрута, хранение типа,
+  совместимость с `check_analysis_complete`, область по умолчанию, механизм эскалации).
+- `docs/architecture/README.md` — новый раздел «Багфикс-трек (ORCH-019)» + блок `bug_fast_track` в
+  описании `GET /queue`; при новой колонке — раздел «База данных».
+- `CLAUDE.md` — краткий абзац о багфикс-режиме (правила для агентов / конвейер).
+- `CHANGELOG.md` — запись `feat:`.
+- `.openclaw/agents/analyst.md` / `reviewer.md` — облегчённый пакет багфикса + reviewer-ось
+  регресс-теста (канон 52d не нарушать).
+- При новой колонке — `docs/work-items/ORCH-019/08-data-requirements.md` (заполняет архитектор).
+
+---
+
+## 9. Открытые вопросы для архитектора (не блокируют анализ)
+- OQ-1: Механизм пропуска `architecture` — условный `get_next_stage(stage, task)`, bug-mode-флаг на
+  task, или прямой вход багфикса сразу в `development` с сохранённым мини-bug-report? (Влияет на
+  §3 `stages.py`/`stage_engine.py` и на `check_analysis_complete`.)
+- OQ-2: Хранить ли тип задачи в БД (`tasks.track`) vs выводить из метки. Рекоменд. — колонка
+  (NFR-4 запрещает сеть в горячем claim).
+- OQ-3: Сохранять ли мини-стадию `analysis(lite)` (рекоменд., ради регресс-теста и трассируемости)
+  или допустить чистый hotfix `→ development` (вне дефолта). См. BRD §6.
+- OQ-4: Механизм эскалации (BR-5) — только ручной (снять метку/сменить стадию) или авто-сигнал
+  мини-аналитика «баг сложный → полный цикл».
+- OQ-5: Область по умолчанию (пустой CSV) — self-hosting only vs все репо с меткой `Bug`.
+- OQ-6: Совместимость с `check_analysis_approved`/`check_analysis_complete` на облегчённом пакете
+  (FR-6) — заглушки `02/03` vs условный учёт гейтом.
+</content>

docs/work-items/ORCH-019/03-acceptance-criteria.md

@@ -0,0 +1,139 @@
+---
+work_item: ORCH-019
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-019 — Режим багфиксинга
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
+считается провалом). Reviewer/tester проверяют их буквально по файлам репозитория и тестам.
+
+> ⚠️ Корневой инвариант (см. AC-3/AC-8): срезается только аналитика/архитектура; ни один Quality
+> Gate не ослаблен. Это главное условие приёмки — нарушение = безусловный FAIL всей задачи.
+
+---
+
+## AC-1 — Классификация задачи по метке `Bug`
+
+**Условие:** issue с меткой Plane `bug_fast_track_label` (дефолт `Bug`) при включённом флаге и
+применимом репо распознаётся как багфикс-задача.
+- **PASS:** при `bug_fast_track_enabled=True` и `applies(repo)==True` для issue с меткой `Bug`
+  `is_bug_task(...)` возвращает `True` (через `labels.has_label` → `plane_sync.fetch_issue_labels`);
+  задача стартует на багфикс-треке. Источник метки — Plane API, не payload вебхука.
+- **FAIL:** метка `Bug` игнорируется; ИЛИ тип читается из payload вебхука; ИЛИ задача без метки
+  `Bug` ошибочно попадает на багфикс-трек.
+
+---
+
+## AC-2 — Укороченный маршрут: пропуск стадии `architecture`
+
+**Условие:** багфикс-задача проходит конвейер, минуя стадию `architecture`.
+- **PASS:** для багфикс-задачи переход из `analysis` ведёт в `development` (а не `architecture`);
+  стадия `architecture` и её требование `06-adr/` для багфикса не исполняются; задача доходит до
+  `done`. Маршрут не-баг задачи остаётся `analysis → architecture → development → …`.
+- **FAIL:** багфикс-задача всё равно проходит `architecture`; ИЛИ не-баг задача начинает пропускать
+  `architecture`; ИЛИ `STAGE_TRANSITIONS` изменён структурно (новые/удалённые стадии).
+
+---
+
+## AC-3 — Все Quality Gate'ы исполнены на багфикс-треке (корневой инвариант)
+
+**Условие:** на багфикс-треке исполняются все гейты качества без изменений.
+- **PASS:** для багфикс-задачи отрабатывают `check_ci_green`, `check_reviewer_verdict`
+  (`12-review.md`), `check_tests_passed` (`13-test-report.md`), `check_staging_status`,
+  `check_deploy_status` и под-гейты ребра `deploy-staging→deploy` (security → merge → coverage →
+  image-freshness) и merge-verify ребра `deploy→done`. Реестр `QG_CHECKS`, сигнатуры `check_*`,
+  вердикт-ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/
+  `coverage_status:`) и порядок под-гейтов — байт-в-байт прежние.
+- **FAIL:** хоть один гейт качества пропущен/ослаблен/изменён на багфикс-треке; ИЛИ изменён состав
+  `QG_CHECKS` / имя или регистр любого вердикт-ключа / порядок под-гейтов.
+
+---
+
+## AC-4 — Обязательный регресс-тест
+
+**Условие:** багфикс фиксирует дефект тестом.
+- **PASS:** PR багфикса содержит новый/изменённый тест, воспроизводящий исправляемый дефект
+  (красный на коде до фикса, зелёный после); требование закреплено в `04-test-plan.yaml` багфикса
+  и в reviewer-оси (`.openclaw/agents/reviewer.md`: фикс без теста → finding ≥P1 / REQUEST_CHANGES).
+- **FAIL:** багфикс мержится без теста-фиксатора; ИЛИ reviewer-ось отсутствует/не срабатывает; ИЛИ
+  тест присутствует, но не падает на исходном (нефиксированном) коде.
+
+---
+
+## AC-5 — Эскалация сложного бага в полный цикл
+
+**Условие:** сложный/архитектурный/визуальный баг возвращается в полный цикл.
+- **PASS:** существует и документирован путь эскалации (минимум ручной: снятие метки `Bug` /
+  перевод стадии, и/или решение мини-аналитика «баг сложный → не фаст-трекать»); после эскалации
+  задача проходит штатный маршрут с `architecture`.
+- **FAIL:** механизма эскалации нет; ИЛИ багфикс-задача необратимо застревает без `architecture`,
+  когда баг требует архитектурного решения/макета.
+
+---
+
+## AC-6 — Fail-safe → полный цикл (нулевая регрессия)
+
+**Условие:** при выключении/ошибке/неприменимости — строго прежнее поведение (полный цикл).
+- **PASS:** при `bug_fast_track_enabled=False`, неприменимом репо, ошибке/таймауте/неоднозначности
+  чтения метки, отсутствии метки `Bug` — задача стартует на `analysis` и идёт маршрутом с
+  `architecture` (как до ORCH-019). Логика never-raise: ошибка не роняет `start_pipeline`/вебхук.
+  При выключенном флаге путь старта и маршрут идентичны текущим (диффом по поведению — нулевые).
+- **FAIL:** ошибка/неоднозначность приводит к молчаливому пропуску стадий; ИЛИ исключение из
+  логики классификации роняет вебхук/конвейер; ИЛИ при выключенном флаге поведение отличается от
+  прежнего.
+
+---
+
+## AC-7 — Наблюдаемость трека и метрика стоимости
+
+**Условие:** факт багфикс-трека и экономия наблюдаемы.
+- **PASS:** `GET /queue` содержит аддитивный read-only блок `bug_fast_track` (флаг/область/метка +
+  счётчик задач на треке + агрегатная метрика экономии стадий/agent-runs/токенов/времени);
+  решение о маршруте логируется; существующие ключи `GET /queue` не изменены.
+- **FAIL:** трек/метрика ненаблюдаемы; ИЛИ блок ломает существующий контракт `GET /queue`; ИЛИ
+  ошибка построения блока роняет эндпоинт (нарушен never-raise).
+
+---
+
+## AC-8 — Аддитивность и self-hosting безопасность
+
+**Условие:** изменение аддитивно и безопасно для общего прод-инстанса.
+- **PASS:** миграции БД (если есть) аддитивны и идемпотентны (`_ensure_column`/`CREATE TABLE IF NOT
+  EXISTS`); enduro при выключенном/неприменимом флаге не затронут; механизм не рестартит/не роняет
+  прод-контейнер, не пушит/force-push в `main`. Полный регресс `tests/` зелёный.
+- **FAIL:** ломающая миграция/изменение существующих контрактов; ИЛИ затронут enduro при выключенном
+  флаге; ИЛИ механизм трогает прод-контейнер/`main`; ИЛИ красный `tests/`.
+
+---
+
+## AC-9 — Композиция с существующими гейтами
+
+**Условие:** багфикс-трек корректно сосуществует с ORCH-088/089/027/043.
+- **PASS:** багфикс-задача корректно учитывается serial-gate (ORCH-088) как обычная задача репо;
+  `autoApprove`/`autoDeploy` (ORCH-089) работают на багфикс-треке; coverage-gate (ORCH-027) и
+  merge-gate (ORCH-043) исполняются штатно. Интеграционный тест композиции зелёный.
+- **FAIL:** изменённая точка входа ломает serial-очередь/auto-label/merge/coverage; ИЛИ багфикс-
+  задача обходит serial-gate.
+
+---
+
+## Сводная матрица AC ↔ BR/FR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1 |
+| AC-2 | BR-2 / FR-2 |
+| AC-3 | BR-3 / FR-3 / NFR-1 |
+| AC-4 | BR-4 / FR-4 |
+| AC-5 | BR-5 / FR-5 |
+| AC-6 | BR-6 / FR-6 / NFR-2 / NFR-3 |
+| AC-7 | BR-7 / FR-7 |
+| AC-8 | BR-8 / NFR-2 / NFR-6 |
+| AC-9 | NFR-7 |
+</content>

docs/work-items/ORCH-019/04-test-plan.yaml

@@ -0,0 +1,111 @@
+work_item: ORCH-019
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+title: "Багфикс-трек: классификация по метке, укороченный маршрут, сохранность гейтов, fail-safe"
+framework: pytest
+scope: >
+  Покрывает: классификацию задачи как бага по метке Plane (ORCH-089-аппарат), маршрутизацию
+  багфикса в обход стадии architecture, сохранность ВСЕХ Quality Gate'ов, обязательность
+  регресс-теста, эскалацию в полный цикл, fail-safe → полный цикл, наблюдаемость/метрику,
+  аддитивность и композицию с serial-gate/auto-label/coverage. Вне покрытия: реальный
+  Plane/Gitea I/O (мокается), роутинг моделей ORCH-13, LLM-авто-триаж сложности.
+notes: >
+  Сетевые вызовы Plane (fetch_issue_labels/get_project_labels) мокаются. Полный регресс tests/
+  должен оставаться зелёным. Тесты на сохранность гейтов проверяют НЕИЗМЕННОСТЬ QG_CHECKS/check_*/
+  вердикт-ключей — это анти-регресс корневого инварианта (NFR-1). Финальные имена модулей/функций
+  (labels.py vs новый bug_fast_track.py; tasks.track колонка) фиксирует архитектор — TC привязаны
+  к поведению, имена путей уточняются на стадии разработки.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "is_bug_task() возвращает True для issue с меткой 'Bug' (has_label True); метка читается из Plane API, не из payload."
+    module: tests/test_bug_fast_track.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "is_bug_task() возвращает False при отсутствии метки, неоднозначной метке или labels=None (fail-safe)."
+    module: tests/test_bug_fast_track.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "bug_fast_track_applies(repo): первым проверяется локальная область (enabled + CSV repos) до любого сетевого вызова; выключенный флаг → False без обращения к has_label."
+    module: tests/test_bug_fast_track.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "never-raise: исключение в fetch_issue_labels/get_project_labels не пробрасывается — is_bug_task деградирует в False (полный цикл)."
+    module: tests/test_bug_fast_track.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "Маршрут багфикса: для bug-задачи следующая стадия после analysis = development (architecture пропущена); для не-баг задачи = architecture."
+    module: tests/test_bug_fast_track_routing.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "STAGE_TRANSITIONS структурно не изменён: набор стадий и рёбер байт-в-байт прежний (анти-регресс)."
+    module: tests/test_bug_fast_track_routing.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "Реестр QG_CHECKS и сигнатуры check_* не изменены багфикс-треком; вердикт-ключи (verdict/result/deploy_status/staging_status/security_status/coverage_status) сохранены по имени и регистру."
+    module: tests/test_bug_fast_track_gates.py
+    expected: PASS
+
+  - id: TC-08
+    type: integration
+    description: "E2E багфикс-трек: bug-задача проходит development→review→testing→deploy-staging→deploy с исполнением всех гейтов (check_ci_green/reviewer_verdict/tests_passed/staging/deploy + под-гейты security/merge/coverage/image-freshness), минуя architecture."
+    module: tests/test_bug_fast_track_e2e.py
+    expected: PASS
+
+  - id: TC-09
+    type: integration
+    description: "start_pipeline: issue с меткой Bug (флаг вкл, репо применим) создаёт задачу на багфикс-треке; issue без метки — на полном цикле (точка входа analysis + маршрут с architecture)."
+    module: tests/test_bug_fast_track_e2e.py
+    expected: PASS
+
+  - id: TC-10
+    type: integration
+    description: "Fail-safe: при bug_fast_track_enabled=False путь старта и маршрут идентичны прежним (нулевая регрессия) — задача с меткой Bug идёт полным циклом."
+    module: tests/test_bug_fast_track_e2e.py
+    expected: PASS
+
+  - id: TC-11
+    type: integration
+    description: "Эскалация: после снятия метки Bug / решения 'баг сложный' задача проходит штатный маршрут с architecture (возврат в полный цикл)."
+    module: tests/test_bug_fast_track_escalation.py
+    expected: PASS
+
+  - id: TC-12
+    type: unit
+    description: "check_analysis_approved/check_analysis_complete не блокирует ложно облегчённый багфикс-пакет, но сохраняет прежнюю проверку для не-баг задач (требование FR-6)."
+    module: tests/test_bug_fast_track_gates.py
+    expected: PASS
+
+  - id: TC-13
+    type: integration
+    description: "GET /queue содержит аддитивный read-only блок bug_fast_track (enabled/repos/label/счётчик/метрика); существующие ключи неизменны; ошибка построения блока не роняет эндпоинт."
+    module: tests/test_queue_endpoint.py
+    expected: PASS
+
+  - id: TC-14
+    type: integration
+    description: "Композиция: багфикс-задача учитывается serial-gate (ORCH-088) как обычная задача репо и не обходит его; autoApprove/autoDeploy (ORCH-089) применимы на багфикс-треке."
+    module: tests/test_bug_fast_track_composition.py
+    expected: PASS
+
+  - id: TC-15
+    type: unit
+    description: "Миграция (если введена колонка tasks.track) аддитивна и идемпотентна: повторный init_db/_ensure_column не падает; дефолт 'full' для существующих строк."
+    module: tests/test_db_migrations.py
+    expected: PASS

docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md

@@ -0,0 +1,231 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Багфикс-трек — пропуск стадии `architecture` через track-aware routing override
+
+Work Item: **ORCH-019** — упрощённый/дешёвый трек для багов (укороченный маршрут конвейера)
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0032-bug-fast-track.md`** (решение
+кросс-каттинговое: новый leaf-компонент + аддитивная колонка `tasks.track` + семантика
+маршрутизации, затрагивающая `advance_stage`).
+
+## Статус
+Proposed
+
+## Контекст
+
+Любая задача входит в конвейер через `webhooks/plane.py::start_pipeline`, который
+**жёстко** создаёт task-row со стадией `"analysis"` (`create_task_atomic(..., "analysis", ...)`)
+и режет ветку. Маршрут стадий полностью управляется `src/stages.py::STAGE_TRANSITIONS` через
+`get_next_stage` — `advance_stage` (`src/stage_engine.py`) НЕ зашивает порядок, а спрашивает
+`get_next_stage(current_stage)` (строка 214) и `get_agent_for_stage(current_stage)` (строка 464).
+
+Для мелкого бага полный цикл `analysis → architecture → development → …` избыточен: стадия
+`architecture` = отдельный прогон агента `architect` (opus, дорогой) + ADR + exit-гейт
+`check_architecture_done`. Прецедент: UI z-index баг ET-9/ET-014 прошёл полный цикл ~35 мин.
+
+**Корневой инвариант (NFR-1 BRD, нерушимый):** упрощаем только *аналитику/архитектуру*; ни один
+Quality Gate / exit-код deploy-хука / под-гейт (security/merge/coverage/image-freshness) — НЕ
+ослаблен. Горький урок ET-8: срезанная *проверка* = недоделка на проде.
+
+**Факты, сверенные с кодом:**
+- `src/labels.py::has_label` + `plane_sync.fetch_issue_labels`/`get_project_labels` (ORCH-089) —
+  готовый, проверенный аппарат чтения метки Plane (TTL-кэш, нормализация, never-raise,
+  fail-safe → False, источник истины Plane API, не payload).
+- `advance_stage` маршрутизирует через `get_next_stage`/`get_agent_for_stage` → точка ветвления
+  локализуема, `STAGE_TRANSITIONS` ломать не нужно.
+- `check_analysis_approved` (exit-гейт `analysis`) вызывает `check_analysis_complete`, требующий
+  **01/02/03/04** (`src/qg/checks.py:33`). Это и есть точка риска ложной блокировки облегчённого
+  пакета (FR-6).
+- `_ensure_column` (`src/db.py:334`) — идемпотентная аддитивная миграция (паттерн
+  `tasks.cancelled_at`, ORCH-090).
+
+## Решение
+
+### Сводка
+
+Багфикс-трек — **свойство планировщика/точки входа, не Quality Gate**. Задача с меткой Plane
+`Bug` помечается в БД как `track='bug'`; на ребре выхода из `analysis` `advance_stage` применяет
+**чистый routing-override**: `next_stage` → `development` (вместо `architecture`), `next_agent`
+→ `developer` (вместо `architect`). `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, все `check_*` и
+вердикт-ключи — **байт-в-байт прежние**. Распознавание, маршрут и метрика — аддитивно, под
+kill-switch, с областью репо, never-raise, fail-safe → полный цикл.
+
+### D1 — Классификация: метка Plane `Bug`, читаемая в `start_pipeline` (FR-1, AC-1)
+
+Новый leaf `src/bug_fast_track.py` (пустой импорт-граф как `serial_gate`/`labels`: только
+`config`, лениво `labels`/`plane_sync`/`qg.checks`), never-raise. Публичные функции:
+- `bug_fast_track_applies(repo) -> bool` — локальный, без сети, по образцу `_auto_label_applies`:
+  `bug_fast_track_enabled=False` → `False`; `bug_fast_track_repos` (CSV) непустой → только
+  перечисленные репо; **пусто → self-hosting only** (`is_self_hosting_repo`, см. D6). Проверяется
+  **ПЕРВЫМ** → при выключенном флаге нулевой сетевой оверхед, enduro не затронут.
+- `is_bug_task(work_item_id, project_id) -> bool` — `bug_fast_track_applies` уже проверен
+  вызывающим; делегирует в `labels.has_label(work_item_id, settings.bug_fast_track_label,
+  project_id)` (дефолт метки `Bug`). Любая ошибка/неоднозначность → `False` (fail-safe → полный
+  цикл).
+
+Чтение метки — **только** в `start_pipeline` (момент старта, сетевой вызов приемлем, как
+ORCH-089), **никогда** в горячем `claim_next_job` (NFR-4).
+
+### D2 — Хранение типа: аддитивная колонка `tasks.track` (OQ-2, NFR-4)
+
+Идемпотентная миграция `_ensure_column(conn, "tasks", "track", "TEXT DEFAULT 'full'")` рядом с
+`tasks.cancelled_at`/`cancel_requested_at` (`src/db.py` init). Значения: `'full'` (дефолт, ВСЕ
+существующие и не-баг задачи) | `'bug'`. Хелперы: `db.set_task_track(task_id, track)` (запись),
+`db.get_task_track(task_id) -> str` (чтение, дефолт `'full'`). Тип читается из **БД** в
+`advance_stage` (NFR-4: горячий путь без сети). Альтернатива «выводить тип повторным чтением
+метки» отвергнута — повторный сетевой вызов в горячем пути запрещён.
+
+`create_task_atomic` НЕ меняет сигнатуру: задача создаётся как `'full'` (DEFAULT), затем
+`start_pipeline` после успешного `created=True` при `is_bug_task` вызывает
+`db.set_task_track(task_id, 'bug')`. Точка входа стадии остаётся `"analysis"` (мини-анализ
+сохраняется, OQ-3/BRD §6 — НЕ чистый hotfix).
+
+### D3 — Routing-override: пропуск `architecture` без правки `STAGE_TRANSITIONS` (FR-2, AC-2)
+
+`get_next_stage`/`get_agent_for_stage` остаются **чистыми** (принимают только стадию, 1:1).
+Override живёт в `advance_stage`, сразу после строки `next_stage = get_next_stage(current_stage)`:
+
+```python
+next_stage = get_next_stage(current_stage)
+# ORCH-019: bug-fast-track skips the architecture stage entirely.
+if current_stage == "analysis" and bug_fast_track.skips_architecture(track):
+    next_stage = "development"
+```
+
+и при запуске следующего агента (строка 464):
+
+```python
+next_agent = get_agent_for_stage(current_stage)        # "analysis" -> "architect"
+if current_stage == "analysis" and next_stage == "development":
+    next_agent = "developer"                            # skip architect run
+```
+
+`track` читается один раз в начале `advance_stage` (`db.get_task_track(task_id)`). Чистый
+предикат `bug_fast_track.skips_architecture(track) -> bool` (== `track == 'bug'` под
+`bug_fast_track_enabled`; иначе `False`). Багфикс-задача физически НЕ попадает в стадию
+`architecture` → её exit-гейт `check_architecture_done` и требование `06-adr/` не исполняются для
+багфикса. Для не-баг задач (`track='full'`) поведение **байт-в-байт** прежнее.
+
+**Сопутствующая правка телеметрии:** строка 386 стампит `mark_brd_review_ended` при
+`analysis → architecture`. Для багфикса next_stage = `development`, поэтому условие расширяется до
+`current_stage == "analysis" and next_stage in ("architecture", "development")` — чтобы метрика
+«твоё время» (ORCH-087) оставалась честной на багфикс-треке. Не влияет на гейты.
+
+### D4 — Quality Gate `analysis`: НЕ трогаем; lite-пакет эмитит все 4 файла (FR-3/FR-6, OQ-6, AC-3)
+
+**Корневой инвариант диктует минимальную поверхность изменения гейтов = ноль.**
+`check_analysis_complete` (требует 01/02/03/04) и `check_analysis_approved` остаются **байт-в-байт
+прежними**. Багфикс-аналитик (`analyst.md` lite-режим) всё равно эмитит **все 4** файла, но в
+облегчённой багфикс-форме: `01-brd.md` = короткий bug-report (симптом / шаги воспроизведения /
+локализация / причина), `02-trz.md` + `03-acceptance-criteria.md` = краткие bug-shaped заглушки,
+`04-test-plan.yaml` = план **обязательного регресс-теста** (красный до фикса, зелёный после).
+
+Обоснование выбора: доминирующая экономия — пропуск **всей стадии `architecture`** (отдельный
+прогон opus-агента `architect` + ADR), а не число файлов analysis (они эмитятся в ОДНОМ прогоне
+analyst-агента). Сохранение 4-файлового гейта = **сильнейшая** позиция NFR-1 (нулевая поверхность
+правок гейта) ценой почти нулевого оверхеда. Альтернатива «track-aware `check_analysis_complete`
+(для bug требовать только 01/04)» рассмотрена и отвергнута для v1 (D-Alt) — она трогает `check_*`
+и расширяет поверхность риска без существенной экономии.
+
+### D5 — Эскалация в полный цикл (FR-5, AC-5)
+
+Два пути возврата сложного/архитектурного/визуального бага в полный цикл, оба сбрасывают
+`track='bug'` → `'full'` (после чего `advance_stage` маршрутизирует `analysis → architecture`
+штатно):
+1. **Операторский (ручной, v1-дефолт):** админ-эндпоинт `POST /bug-fast-track/escalate?work_item=<id>`
+   (по образцу `POST /serial-gate/unfreeze`, `POST /coverage/baseline`) — `db.set_task_track(...,
+   'full')`, лог + Telegram + Plane-коммент, never-raise. Применять, пока задача в `analysis`
+   (до выхода) — тогда следующий переход уйдёт в `architecture`.
+2. **Решение мини-аналитика:** если на багфикс-треке аналитик определяет, что баг архитектурный,
+   он эмитит **полный** analysis-пакет (включая запрос на `06-adr/`) и помечает в bug-report
+   `escalate: full-cycle` — оператор подтверждает эскалацию эндпоинтом (1). v1 НЕ включает
+   автоматический LLM-авто-триаж сложности (вне объёма, BRD §2.2).
+
+Эскалация обратима, детерминирована, наблюдаема. Багфикс-задача не «застревает» без архитектуры.
+
+### D6 — Область по умолчанию: self-hosting only (OQ-5, NFR-5)
+
+Пустой `bug_fast_track_repos` → **self-hosting only** (`is_self_hosting_repo`, как
+ORCH-089/027/058). Это безопасный дефолт: режим обкатывается на самом орке (где метка `Bug`
+гарантированно заводится оператором), enduro подключается явным добавлением в CSV. Флаги
+(`config.py`): `bug_fast_track_enabled` (kill-switch, env `ORCH_BUG_FAST_TRACK_ENABLED`),
+`bug_fast_track_label` (дефолт `Bug`, env `ORCH_BUG_FAST_TRACK_LABEL`), `bug_fast_track_repos`
+(CSV, env `ORCH_BUG_FAST_TRACK_REPOS`).
+
+### D7 — Наблюдаемость стоимости (FR-7, AC-7)
+
+- **`GET /queue`** — аддитивный read-only блок `bug_fast_track` (`bug_fast_track.snapshot()`,
+  never-raise, по образцу `serial_gate`/`auto_labels`/`coverage`): `enabled`, `repos`, `label`,
+  счётчик задач с `track='bug'`, агрегатная метрика экономии (пропущенные стадии / Σ agent-runs /
+  токены / время багфикс-трека против среднего полного цикла из существующей телеметрии
+  `agent_runs`). Существующие ключи `GET /queue` не меняются.
+- **Лог-строка** на решение о маршруте (`analysis → development (bug-fast-track)`).
+- **Опц.** отметка `🐞 багфикс-трек` в Telegram-карточке (`notifications.py`, never-raise).
+
+### D8 — Композиция (NFR-7, AC-9)
+
+- **serial-gate (ORCH-088):** багфикс-задача — обычная задача репо, учитывается в serial-очереди
+  как есть (FIFO `t2.id < jobs.task_id`); точка входа `analysis` не меняется, defer-branch логика
+  не затронута. Маркированный код `serial_gate.py` НЕ правится.
+- **auto-label (ORCH-089):** `autoApprove`/`autoDeploy` работают на багфикс-треке — autoApprove
+  врезка в `_handle_analysis_approved_flow` вызывает `advance_stage(finished_agent=None)`, который
+  применяет D3-override и уходит в `development`. Переиспользуем `labels.has_label`.
+- **coverage-gate (ORCH-027):** союзник BR-4 (структурно ловит «код без теста») — исполняется
+  штатно на ребре `deploy-staging → deploy`.
+- **merge-gate (ORCH-043):** не затронут.
+
+Правки маркированного кода (`advance_stage` несёт врезки ORCH-088/089/027/059/094) — точечные,
+со сверкой их `06-adr/`; зафиксированные инварианты (порядок под-гейтов, merge-lease,
+terminal-sync) НЕ нарушаются: ORCH-019 добавляет ветвление ТОЛЬКО на ребре выхода из `analysis`,
+до всех deploy-edge под-гейтов.
+
+## Альтернативы
+
+- **Track-aware `get_next_stage(stage, task)` / новая стадия в `STAGE_TRANSITIONS`** — отвергнуто:
+  ломает чистоту `stages.py` и риск задеть структуру таблицы (AC-2 FAIL при структурном изменении).
+  Override в `advance_stage` локальнее и держит `STAGE_TRANSITIONS` неизменным.
+- **Track-aware `check_analysis_complete` (bug → только 01/04)** — отвергнуто для v1 (D-Alt):
+  трогает `check_*`, расширяет поверхность риска NFR-1 ради почти нулевой экономии (см. D4).
+  Оставлено как возможное будущее уточнение, если потребуется реальный отказ от 02/03.
+- **Чистый hotfix `start_pipeline → development`, минуя `analysis`** — отвергнуто как дефолт
+  (BRD §6): теряется фиксация регресс-теста как контракта приёмки и трассируемость (урок ET-8).
+- **Тип задачи из payload вебхука / повторное чтение метки в `claim_next_job`** — отвергнуто:
+  payload не несёт `type` (источник истины — Plane API); сеть в горячем claim запрещена (NFR-4).
+- **Чтение типа без БД-колонки** — отвергнуто: потребовало бы сетевого вызова в горячем пути.
+
+## Последствия
+
+- **+** Багфикс минует целую стадию `architecture` (один прогон opus-агента `architect` + ADR) —
+  основная экономия токенов/времени; гейты качества **байт-в-байт** сохранены.
+- **+** Полностью аддитивно: kill-switch `False` или неприменимый репо → путь старта и маршрут
+  идентичны текущим (AC-6, нулевая регрессия для enduro и orchestrator).
+- **+** Переиспользует проверенный аппарат ORCH-089 (label-чтение) и паттерн leaf+флаги+snapshot.
+- **−** Багфикс-аналитик всё равно эмитит 02/03 (краткие заглушки) ради неизменности гейта —
+  принятый компромисс (D4); экономия на их содержании, не на их наличии.
+- **−** Эскалация v1 требует операторского действия (эндпоинт) — авто-триаж сложности отложен
+  (BRD §2.2). Митигатор: путь эскалации документирован, обратим, наблюдаем (D5).
+- **Откат:** `bug_fast_track_enabled=False` (мгновенно, 1:1 прежнее поведение); колонка
+  `tasks.track` остаётся (аддитивна, дефолт `'full'`, безвредна). Полный откат — revert PR;
+  миграция идемпотентна, остаточная колонка не мешает.
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-019/01-brd.md`
+- TRZ: `docs/work-items/ORCH-019/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-019/03-acceptance-criteria.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0032-bug-fast-track.md`
+- Data: `docs/work-items/ORCH-019/08-data-requirements.md`
+- Infra: `docs/work-items/ORCH-019/07-infra-requirements.md`
+- Риски: `docs/work-items/ORCH-019/10-tech-risks.md`
+- Сверено по коду: `src/stages.py`, `src/stage_engine.py` (advance_stage:175-477),
+  `src/webhooks/plane.py::start_pipeline` (505-684), `src/labels.py`,
+  `src/qg/checks.py` (check_analysis_complete:33, check_analysis_approved:286,
+  check_architecture_done:62), `src/db.py` (_ensure_column:334, create_task_atomic:433)
+</content>
+</invoke>

docs/work-items/ORCH-019/07-infra-requirements.md

@@ -0,0 +1,62 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 07 — Инфраструктурные требования (Infra Requirements): ORCH-019 — Багфикс-трек
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: architecture
+
+> **Топология не меняется.** Один прод-контейнер `orchestrator` (8500) + staging (8501) на mva154,
+> общая SQLite-БД. ORCH-019 — чисто прикладное изменение под флагом. Этот документ фиксирует
+> **предусловия включения** (Plane-метка + env-флаги), не новую инфраструктуру.
+
+---
+
+## 1. Предусловие: метка `Bug` в Plane-проекте (блокирующее для активации)
+
+Багфикс-трек активируется по метке Plane с именем `bug_fast_track_label` (дефолт `Bug`),
+читаемой аппаратом ORCH-089 (`fetch_issue_labels`/`get_project_labels`). **Метка должна
+существовать** в Plane-проекте orchestrator (и в любом проекте, добавленном в
+`bug_fast_track_repos`).
+
+- Её **отсутствие = fail-safe полный цикл** (`has_label → False`), не сбой. Включение флага без
+  заведённой метки безопасно, но эффекта не даёт.
+- Создаётся оператором в Plane вручную (как `autoApprove`/`autoDeploy` для ORCH-089).
+
+## 2. Конфигурация (env-флаги, `src/config.py`)
+
+| Флаг | Env | Дефолт | Назначение |
+|------|-----|--------|-----------|
+| `bug_fast_track_enabled` | `ORCH_BUG_FAST_TRACK_ENABLED` | `False` | kill-switch; `False` → путь старта/маршрут строго прежние (нулевая регрессия) |
+| `bug_fast_track_label` | `ORCH_BUG_FAST_TRACK_LABEL` | `Bug` | имя метки Plane для распознавания бага |
+| `bug_fast_track_repos` | `ORCH_BUG_FAST_TRACK_REPOS` | `""` (пусто) | CSV-область; пусто → **self-hosting only** (`orchestrator`) |
+
+> Рекомендация выката: `enabled=False` до момента, когда метка `Bug` заведена в Plane и проведён
+> staging-прогон. Дефолт области (пустой CSV) = self-hosting only → enduro не затронут даже при
+> включённом флаге.
+
+## 3. Зависимости / образ
+
+- **Новых pip-зависимостей нет.** Переиспользуются существующие `httpx`/`plane_sync` (label-чтение)
+  и `sqlite3` (колонка `tasks.track`). Пересборка образа из-за зависимостей не требуется.
+- **Миграция БД** (`tasks.track`) применяется идемпотентно при старте приложения (`_ensure_column`)
+  — без ручного шага, без даунтайма (ALTER ADD COLUMN на SQLite — мгновенный).
+
+## 4. Self-hosting безопасность (NFR-6)
+
+- Механизм **не** рестартит/не роняет прод-контейнер, **не** пушит/force-push в `main`. Это
+  routing-решение планировщика + аддитивная колонка + read-only наблюдаемость.
+- Выкат самого ORCH-019 на прод орка идёт штатным конвейером через обязательный
+  `deploy-staging` (8501) → `Confirm Deploy` (ORCH-059). Топология/процедура — `docs/operations/INFRA.md`.
+
+## 5. Новый эндпоинт (эскалация)
+
+`POST /bug-fast-track/escalate?work_item=<id>` — админ-ручка возврата задачи в полный цикл
+(`track → 'full'`), по образцу `POST /serial-gate/unfreeze`. Без новой инфраструктуры (тот же
+FastAPI-приложение/порт). Read-only блок `bug_fast_track` добавляется в существующий `GET /queue`.
+</content>

docs/work-items/ORCH-019/08-data-requirements.md

@@ -0,0 +1,64 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 08 — Требования к данным (Data Requirements): ORCH-019 — Багфикс-трек
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: architecture
+
+> ⚠️ Общая прод-БД (self-hosting + enduro). Только **аддитивные, идемпотентные** миграции;
+> существующие контракты таблиц не меняются.
+
+---
+
+## 1. Новая колонка `tasks.track`
+
+| Атрибут | Значение |
+|---------|----------|
+| Таблица | `tasks` |
+| Колонка | `track` |
+| Тип | `TEXT` |
+| DEFAULT | `'full'` |
+| Допустимые значения | `'full'` (дефолт; ВСЕ существующие и не-баг задачи) \| `'bug'` |
+| Миграция | `_ensure_column(conn, "tasks", "track", "TEXT DEFAULT 'full'")` (идемпотентно, паттерн `tasks.cancelled_at` ORCH-090) |
+| Размещение | рядом с `_ensure_column(conn, "tasks", "cancel_requested_at", ...)` в init `src/db.py` |
+
+**Семантика:** тип задачи (полный цикл / багфикс). Записывается в `start_pipeline` после
+успешного `create_task_atomic` (`created=True`) при `is_bug_task==True`. Читается в `advance_stage`
+для routing-override (D3) — из БД, **никогда** из сети (NFR-4).
+
+## 2. Хелперы доступа (`src/db.py`)
+
+| Хелпер | Контракт |
+|--------|----------|
+| `set_task_track(task_id: int, track: str) -> None` | `UPDATE tasks SET track=? WHERE id=?`; идемпотентно; never-raise на уровне вызова в `start_pipeline`/escalate |
+| `get_task_track(task_id: int) -> str` | `SELECT track FROM tasks WHERE id=?`; отсутствие/NULL → `'full'` (fail-safe → полный цикл) |
+
+## 3. Что НЕ меняется
+
+- Сигнатура `create_task_atomic(plane_id, work_item_id, repo, branch, stage, title)` —
+  **без изменений** (задача создаётся как `track='full'` по DEFAULT, тип проставляется отдельным
+  `set_task_track`).
+- Существующие колонки `tasks` (прочие), таблицы `jobs`, `job_deps`, `agent_runs`,
+  `coverage_baseline`, `repo_freeze`, `tracker_messages` — **без изменений**.
+- `claim_next_job` — **без изменений** (не читает `track`; сеть/маршрут в горячем claim не вводятся).
+
+## 4. Обратная совместимость / откат
+
+- Колонка аддитивна с безопасным DEFAULT `'full'` → существующие строки и enduro-задачи ведут
+  себя как сегодня без обратной записи.
+- Откат фичи (`bug_fast_track_enabled=False`) не требует удаления колонки: при выключенном флаге
+  `track` не влияет на маршрут (`skips_architecture` → `False`). Остаточная колонка безвредна.
+- Полный revert PR: миграция `_ensure_column` идемпотентна; повторный запуск на БД с уже
+  существующей колонкой — no-op.
+
+## 5. Объём данных / производительность
+
+- Одна `TEXT`-колонка на строку `tasks` (низкая кардинальность: 2 значения). Индекс не требуется
+  (чтение по `id` PK в `advance_stage`; агрегат для `GET /queue` — редкий read-only скан).
+</content>

docs/work-items/ORCH-019/10-tech-risks.md

@@ -0,0 +1,39 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-019 — Багфикс-трек
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: architecture
+
+> Шкала: вероятность × влияние ∈ {Низк., Средн., Выс.}. Каждый риск — с митигатором, привязанным
+> к ADR-001 / AC.
+
+---
+
+| ID | Риск | Вер. | Влияние | Митигатор |
+|----|------|------|---------|-----------|
+| R-1 | **Срезали лишнее** — ошибочный пропуск гейта качества → недоделка на проде (урок ET-8). | Низк. | Выс. | NFR-1 диктует **нулевую** поверхность правок гейтов (D4): `STAGE_TRANSITIONS`/`QG_CHECKS`/все `check_*`/вердикт-ключи — байт-в-байт; режется ТОЛЬКО стадия `architecture`. Тест AC-3: на багфикс-треке отрабатывают все гейты. |
+| R-2 | **Сложный баг под меткой `Bug`** уходит на фаст-трек и упирается в отсутствие архитектуры. | Средн. | Средн. | Эскалация D5 (эндпоинт `escalate` + self-escalate мини-аналитика) сбрасывает `track→full` → задача идёт через `architecture`. AC-5. |
+| R-3 | **Регресс-тест не написан** (developer «забыл») → рецидив бага. | Средн. | Выс. | BR-4: обязательный TC в `04-test-plan.yaml` + reviewer-ось (фикс без теста → REQUEST_CHANGES) + структурный союзник coverage-gate ORCH-027. AC-4. |
+| R-4 | **Fail-safe инвертирован** — ошибка чтения метки молча срежет стадии. | Низк. | Выс. | never-raise leaf `bug_fast_track.py`: любая ошибка/неоднозначность/`None`-labels → `is_bug_task=False` → полный цикл; `get_task_track` при NULL → `'full'`. AC-6. |
+| R-5 | **Конфликт с serial-gate/auto-label** при изменённой точке входа. | Низк. | Средн. | Точка входа НЕ меняется (задача стартует на `analysis`, ветвление — только на ребре выхода). serial_gate/auto-label маркированный код не правится. Интеграционный тест композиции (AC-9). |
+| R-6 | **Ложная блокировка** облегчённого пакета exit-гейтом `analysis` (`check_analysis_complete` требует 01/02/03/04). | Низк. | Средн. | D4: гейт НЕ трогаем; lite-аналитик эмитит все 4 файла (02/03 — краткие заглушки). FR-6/OQ-6. |
+| R-7 | **Правка маркированного `advance_stage`** (несёт врезки ORCH-088/089/027/059/094) сломает чужой инвариант. | Низк. | Выс. | Врезка ORCH-019 — ТОЛЬКО на ребре выхода из `analysis`, ДО всех deploy-edge под-гейтов; порядок под-гейтов/merge-lease/terminal-sync не затронуты (CLAUDE.md §9: сверка `06-adr/` затронутых ORCH-NNN). |
+| R-8 | **Телеметрия `mark_brd_review_ended`** не сработает на багфиксе (next=`development`, не `architecture`) → искажённая метрика «твоё время». | Низк. | Низк. | D3: условие расширено до `next_stage in ("architecture","development")`. Не влияет на гейты. |
+| R-9 | **Метрика экономии** (FR-7) вводит в заблуждение (несравнимые задачи). | Низк. | Низк. | Метрика помечена как относительная оценка из существующей телеметрии `agent_runs`; без новой тяжёлой инфраструктуры; read-only, never-raise. AC-7. |
+
+---
+
+## Сводный вывод
+
+Доминирующий риск — **R-1 (срезали лишнее)**; он структурно закрыт нулевой поверхностью правок
+гейтов (D4) — изменение касается планировщика/точки входа, а не Quality Gate. Остальные риски
+покрыты паттерном leaf+флаги+fail-safe (ORCH-088/089/027) и обратимой эскалацией (D5). Откат —
+мгновенный через `bug_fast_track_enabled=False`.
+</content>

docs/work-items/ORCH-019/12-review.md

@@ -0,0 +1,108 @@
+---
+verdict: APPROVED
+work_item: ORCH-019
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-019
+version: 1
+---
+
+# Review ORCH-019 — Багфикс-трек (упрощённый/дешёвый маршрут для багов)
+
+## Summary
+
+Реализация соответствует ТЗ (`02-trz.md`), ADR-001 и всем 9 критериям приёмки
+(`03-acceptance-criteria.md`). Корневой инвариант NFR-1 («срезается только аналитика/архитектура;
+ни один Quality Gate не тронут») соблюдён **структурно**: `src/stages.py` и `src/qg/checks.py` —
+**пустой diff**; маршрутизация багфикса реализована чистым routing-override в `advance_stage`, как
+и предписывал ADR (D3). Полный регресс `tests/` зелёный (**1551 passed**), 46 целевых тестов
+ORCH-019 (6 suites) — PASS. Документация обновлена исчерпывающе во всех требуемых поверхностях.
+Findings уровня P0/P1 — нет. → **APPROVED**.
+
+## Проверка по осям
+
+### 1. Соответствие ТЗ / Acceptance Criteria
+- **AC-1 (классификация по метке `Bug`)** ✓ — `bug_fast_track.is_bug_task` делегирует в
+  `labels.has_label` (источник истины — Plane API, не payload); `applies(repo)` (локальный)
+  проверяется ПЕРВЫМ в `start_pipeline` → при выключенном флаге нулевой сетевой оверхед.
+- **AC-2 (пропуск `architecture`)** ✓ — override на ребре выхода из `analysis`
+  (`next_stage → development`, `next_agent → developer`); `STAGE_TRANSITIONS`/`get_next_stage`/
+  `get_agent_for_stage` остались чистыми (1:1). Анти-регресс структуры — TC-06.
+- **AC-3 (все QG сохранены — корневой инвариант)** ✓ — `git diff` по `src/stages.py`/`src/qg/`
+  пуст; вердикт-ключи и порядок под-гейтов не тронуты (TC-07). Подтверждено независимой проверкой
+  diff, не только тестом.
+- **AC-4 (обязательный регресс-тест)** ✓ — ось добавлена в `.openclaw/agents/reviewer.md`
+  («фикс без теста-фиксатора → finding ≥P1»); `04-test-plan.yaml` несёт требование. (Сам ORCH-019 —
+  feature, не bugfix, поэтому правило к нему не применяется; покрытие — 46 содержательных тестов.)
+- **AC-5 (эскалация)** ✓ — `POST /bug-fast-track/escalate` (`db.set_task_track 'bug'→'full'`,
+  Telegram+Plane-коммент, never-raise) + self-escalate мини-аналитика (`analyst.md`).
+- **AC-6 (fail-safe / нулевая регрессия)** ✓ — `bug_fast_track_enabled` kill-switch; все публичные
+  функции leaf'а never-raise → False (full cycle); `get_task_track` деградирует в `'full'`.
+  Дефолт `True` согласован со всеми sibling-флагами (serial_gate/auto_label/coverage/stop/… все
+  `= True` при пустом scope = self-hosting only).
+- **AC-7 (наблюдаемость)** ✓ — read-only блок `bug_fast_track` в `GET /queue` (`snapshot()`,
+  never-raise) + отметка `🐞` в Telegram-карточке (never-raise) + лог-строки на решение.
+- **AC-8 (аддитивность / self-hosting)** ✓ — `_ensure_column(tasks, track, "TEXT DEFAULT 'full'")`
+  идемпотентна (TC-15); прод-контейнер/`main` не трогаются; полный `tests/` зелёный.
+- **AC-9 (композиция)** ✓ — serial-gate/auto-label/coverage/merge — тест композиции зелёный
+  (TC-14); override применяется ДО всех deploy-edge под-гейтов.
+
+### 2. Соответствие ADR
+Реализация точно следует ADR-001 (D1–D8): leaf `src/bug_fast_track.py`, колонка `tasks.track`,
+override в `advance_stage`, эскалация-эндпоинт, область self-hosting-only. Сквозной ADR
+`adr-0032-bug-fast-track.md` присутствует.
+**Трассировка:** `advance_stage` несёт маркеры ORCH-088/089/027/059/094; врезка ORCH-019 добавляет
+ветвление ТОЛЬКО на ребре выхода из `analysis` (до deploy-edge под-гейтов) — зафиксированные
+инварианты (порядок под-гейтов, merge-lease, terminal-sync) не нарушены. Сверено по diff. Расширение
+`mark_brd_review_ended` на `analysis → development` (ORCH-087 метрика) гейтов не касается.
+
+### 3. Качество кода
+- Leaf чист (импортирует только `config`, лениво `labels`/`db`/`qg.checks`), never-raise контракт
+  соблюдён везде, публичные функции снабжены docstrings. ✓
+- Next-agent override (`next_stage == "development"`) безопасен: единственный путь к
+  `analysis → development` — сам багфикс-override (штатно `get_next_stage("analysis") == "architecture"`). ✓
+- `get_task_by_work_item_id`/`add_comment`/`set_task_track`/`get_task_track` существуют и
+  совместимы по сигнатурам. ✓
+
+### 4. Документация — обязательная проверка
+`src/` изменён → документация ДОЛЖНА быть обновлена. **Обновлено в том же PR:**
+- `docs/architecture/README.md` — раздел «Багфикс-трек (ORCH-019)» + блок `bug_fast_track` в `GET /queue`;
+- `README.md` — таблица env (`ORCH_BUG_FAST_TRACK_*`) + обзорный раздел;
+- `.env.example` — три новых переменных;
+- `docs/architecture/adr/adr-0032-bug-fast-track.md` (сквозной) + `06-adr/ADR-001`;
+- `docs/architecture/internals.md`, `CLAUDE.md`, `CHANGELOG.md` (`feat:`);
+- `07-infra-requirements.md` / `08-data-requirements.md` / `10-tech-risks.md`;
+- `.openclaw/agents/analyst.md` (lite-пакет + self-escalate) и `reviewer.md` (ось регресс-теста).
+
+Все поверхности из §8 ТЗ покрыты. **Обзорная витрина README** — добавлен раздел, ничего из «Известных
+ограничений» не оставлено открытым в нарушение ORCH-079.
+
+## Findings
+
+### P0 — Blocker
+- (нет)
+
+### P1 — Must fix
+- (нет)
+
+### P2 — Should fix
+- (нет)
+
+### P3 — Nice to have
+- [ ] `snapshot.est_saved_architecture_runs == total_bug_tasks` считает ВСЕ багфикс-задачи, включая
+  `cancelled` (которые могли не дойти до пропуска `architecture`). Косметическая неточность метрики
+  экономии; на гейты/маршрут не влияет. Можно сузить до `stage NOT IN ('cancelled')` при случае.
+
+## Документация
+Обновлена полностью и согласованно во всех требуемых поверхностях (architecture/README, README env +
+обзор, оба ADR, internals, CLAUDE.md, CHANGELOG, .env.example, промпты analyst/reviewer,
+infra/data/risks). Расхождений код↔документация не обнаружено. Требований к доработке документации
+нет.
+
+## Вердикт
+Нет findings уровня P0/P1; документация обновлена; корневой инвариант подтверждён независимой
+проверкой diff и зелёным полным регрессом (1551 passed). → **APPROVED**.

docs/work-items/ORCH-019/13-test-report.md

@@ -0,0 +1,84 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-019
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-019
+---
+
+# Test Report — ORCH-019 — Багфикс-трек (упрощённый/дешёвый маршрут для багов)
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8)
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-019-` (ветка `feature/ORCH-019-`)
+- Дата: 2026-06-10T00:53:34Z
+- Предусловие: review `12-review.md` = `verdict: APPROVED` ✓
+
+## Smoke API (read-only)
+| Endpoint | Результат | Примечание |
+|----------|-----------|------------|
+| `GET /health` | PASS | `{"status":"ok","service":"orchestrator"}` |
+| `GET /status` | PASS | отвечает; ORCH-019 (task 84) виден на стадии `testing` |
+| `GET /queue` | PASS | блок `serial_gate` присутствует (ORCH-088) ✓; `auto_labels` присутствует ✓ |
+
+> Прод-контейнер (8500) исполняет код **до** ORCH-019 (фича ещё не задеплоена), поэтому блока
+> `bug_fast_track` в живом `/queue` ожидаемо нет — это не регресс смока. Обязательные для смока
+> блоки `serial_gate` и `auto_labels` присутствуют. Новый блок `bug_fast_track` верифицирован
+> юнит/интеграционными тестами `test_queue_endpoint.py` (TC-13) на коде ветки. Smoke — read-only,
+> прод-контейнер не трогался.
+
+## Результаты — покрытие TC из `04-test-plan.yaml`
+
+| TC ID | Описание (кратко) | Тип | Тесты | AC | Результат |
+|-------|-------------------|-----|-------|----|-----------|
+| TC-01 | `is_bug_task()` True для метки `Bug`; источник — Plane API, не payload | unit | `test_tc01_is_bug_task_true`, `test_tc01_label_from_plane_api_not_payload` | AC-1 | PASS |
+| TC-02 | `is_bug_task()` False при отсутствии/неоднозначной метке/`labels=None` (fail-safe) | unit | `test_tc02_label_absent`, `test_tc02_labels_none`, `test_tc02_label_ambiguous`, `test_tc02_empty_label_config` | AC-1/AC-6 | PASS |
+| TC-03 | `bug_fast_track_applies(repo)`: локальная область ПЕРВОЙ; выключенный флаг → без сети | unit | `test_tc03_empty_csv_self_hosting_only`, `test_tc03_csv_membership`, `test_tc03_killswitch_off_no_network` | AC-6 | PASS |
+| TC-04 | never-raise: исключение в fetch labels → деградация в False (полный цикл) | unit | `test_tc04_is_bug_task_never_raises`, `test_tc04_applies_never_raises` | AC-6 | PASS |
+| TC-05 | Маршрут: bug → next stage после analysis = `development`; не-баг = `architecture` | unit | `test_tc05_bug_task_skips_architecture`, `test_tc05_full_task_keeps_architecture`, `test_tc05_killswitch_off_bug_keeps_architecture`, `test_tc05_bug_only_affects_analysis_edge` | AC-2 | PASS |
+| TC-06 | `STAGE_TRANSITIONS` структурно не изменён (анти-регресс) | unit | `test_tc06_stage_transitions_unchanged`, `test_tc06_get_next_stage_pure` | AC-2 | PASS |
+| TC-07 | `QG_CHECKS`/сигнатуры `check_*`/вердикт-ключи не изменены (имя+регистр) | unit | `test_tc07_qg_checks_registry_unchanged`, `test_tc07_verdict_keys_preserved` | AC-3 | PASS |
+| TC-08 | E2E багфикс-трек проходит development→…→deploy, минуя architecture, все гейты | integration | `test_tc08_bug_task_full_walk_skips_architecture` | AC-2/AC-3 | PASS |
+| TC-09 | `start_pipeline`: метка Bug → bug-track; без метки → full-track | integration | `test_tc09_bug_label_creates_bug_track`, `test_tc09_no_label_creates_full_track` | AC-1 | PASS |
+| TC-10 | Fail-safe: `enabled=False` → метка Bug идёт полным циклом (нулевая регрессия) | integration | `test_tc10_killswitch_off_bug_label_full_cycle` | AC-6 | PASS |
+| TC-11 | Эскалация: `'bug'→'full'` → штатный маршрут с architecture | integration | `test_tc11_escalate_returns_to_full_cycle`, `test_tc11_escalate_unknown_work_item`, `test_tc11_escalate_missing_arg`, `test_tc11_escalate_idempotent_on_full` | AC-5 | PASS |
+| TC-12 | `check_analysis_*` не блокирует ложно lite-пакет; не ослаблен для не-баг | unit | `test_tc12_bug_lite_package_with_all_four_passes`, `test_tc12_missing_file_still_fails_for_any_track`, `test_tc12_signature_has_no_track_param` | AC-3/FR-6 | PASS |
+| TC-13 | `GET /queue` несёт read-only блок `bug_fast_track`; существующие ключи целы | integration | `test_queue_has_bug_fast_track_block_and_keeps_existing_keys`, `test_queue_bug_fast_track_counts_bug_tasks` | AC-7 | PASS |
+| TC-14 | Композиция: bug-задача учтена serial-gate; autoApprove/autoDeploy применимы | integration | `test_tc14_bug_task_counts_as_active_in_serial_gate`, `test_tc14_bug_task_itself_gated_behind_predecessor`, `test_tc14_bug_task_claimable_once_predecessor_done`, `test_tc14_auto_label_applies_track_agnostic` | AC-9 | PASS |
+| TC-15 | Миграция `tasks.track` аддитивна/идемпотентна; дефолт `'full'` | unit | `test_tc15_track_column_present_with_default`, `test_tc15_init_db_idempotent`, `test_tc15_helpers_round_trip`, `test_tc15_get_task_track_missing_row_failsafe` | AC-8 | PASS |
+
+**Итог покрытия:** все 15 TC из `04-test-plan.yaml` выполнены и сопоставлены с критериями
+`03-acceptance-criteria.md` (AC-1…AC-9). Непокрытых/пропущенных TC нет.
+
+## Вывод pytest
+
+### Целевые suite ORCH-019 (6 файлов + queue/migrations)
+```
+$ pytest tests/test_bug_fast_track.py tests/test_bug_fast_track_routing.py \
+         tests/test_bug_fast_track_gates.py tests/test_bug_fast_track_e2e.py \
+         tests/test_bug_fast_track_escalation.py tests/test_bug_fast_track_composition.py \
+         tests/test_queue_endpoint.py tests/test_db_migrations.py -v
+...
+======================== 46 passed, 1 warning in 2.51s =========================
+```
+46/46 целевых тестов — PASS.
+
+### Полный регресс
+```
+$ pytest tests/ -q --tb=short
+........................................................................ [100%]
+1551 passed, 1 warning in 56.64s
+```
+1551/1551 — PASS, 0 failed. (Единственный warning — известный Pydantic V2 deprecation в
+`src/config.py:8`, не относится к ORCH-019.)
+
+## Итог
+**PASS** — полный регресс (1551 passed) и целевые suites ORCH-019 (46 passed) зелёные; smoke API
+(`/health`/`/status`/`/queue` с блоками `serial_gate`+`auto_labels`) — OK; все 15 TC выполнены и
+сопоставлены с AC-1…AC-9. Корневой инвариант NFR-1 (неизменность `STAGE_TRANSITIONS`/`QG_CHECKS`/
+вердикт-ключей) подтверждён анти-регресс-тестами TC-06/TC-07. → стадия переходит на `deploy-staging`.

docs/work-items/ORCH-019/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-019
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-019/15-staging-log.md

@@ -0,0 +1,51 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-019
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+timestamp: 2026-06-10T00:56:51Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed against the live `orchestrator-staging` environment (port 8501),
+run inside the `orchestrator-staging` container (canonical path, ORCH-048):
+
+```
+docker exec orchestrator-staging \
+  python3 /repos/orchestrator/scripts/staging_check.py \
+  --base-url http://localhost:8501 --mode stub
+```
+
+**Result: 8/10 checks PASS — exit code 0 → SUCCESS.**
+
+- REAL failed: **none**
+- SANDBOX_INFRA waived (ORCH-061): C9a, C9b
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Check breakdown
+
+| Block | Check | Result |
+|-------|-------|--------|
+| A SMOKE | A1 GET /health → 200 status=ok | ✓ PASS |
+| A SMOKE | A2 GET /queue → 200 with counts/max_concurrency/resilience | ✓ PASS |
+| A SMOKE | A3 ORCH_STAGING=true (not prod) | ✓ PASS |
+| B ACCESS | B4 Plane: sandbox project accessible | ✓ PASS |
+| B ACCESS | B5 Gitea: orchestrator-sandbox accessible, push=true | ✓ PASS |
+| B ACCESS | B6 Registry: sandbox present, prod ET/ORCH absent | ✓ PASS |
+| C E2E | C7 Create issue in Plane SANDBOX | ✓ PASS |
+| C E2E | C8 Trigger pipeline via /webhook/plane | ✓ PASS |
+| C E2E | C9a Branch appears in orchestrator-sandbox | ✗ FAIL (INFRA-WAIVED) |
+| C E2E | C9b Analyst job enqueued in staging queue | ✗ FAIL (INFRA-WAIVED) |
+
+Cleanup: Plane issue deleted (HTTP 204); no branch to delete.
+
+Exit-code → verdict mapping unchanged: exit 0 → `staging_status: SUCCESS`. Waived checks are not
+re-judged (trust the exit code; the two infra-only checks C9a/C9b depend on SANDBOX bot accounts
+being project members, not on the pipeline). Staging gate **PASSED**; task advances to `deploy`.

docs/work-items/ORCH-027/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: Code coverage как гейт (защита от деградации покрытия тестами)
+
+Work Item ID: ORCH-027
+
+## Description
+
+TBD

docs/work-items/ORCH-027/01-brd.md

@@ -0,0 +1,166 @@
+---
+work_item: ORCH-027
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-027 — Code coverage как гейт (защита от деградации покрытия тестами)
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+Оркестратор ведёт **автономную** разработку: код пишет агент `developer` без человеческого
+фильтра, а на стадии `testing` агент `tester` сам решает, достаточно ли тестов. Существующие
+тестовые гейты проверяют только **факт прохождения** тестов, а не их **полноту**:
+
+- `check_ci_green` (ребро `development → review`) — зелёный прогон `pytest tests/` в Gitea CI
+  (`.gitea/workflows/ci.yml`), судит по exit-code, покрытие **не меряет**.
+- `check_tests_passed` (ребро `testing → deploy-staging`) — читает machine-verdict
+  `result:`/`verdict:`/`status:` из `13-test-report.md`; это вердикт LLM-`tester`'а, а не
+  измеренная метрика.
+- Merge-gate re-test (ORCH-043) — повторный `pytest` на догнанной ветке, тоже только exit-code.
+
+Ни один гейт не замечает, что фича добавила 300 строк кода и 0 тестов, или что багфикс
+изменил поведение без регрессионного теста. При пакетном автономном прогоне (эпик ORCH-088,
+«10–20 задач за ночь») это означает **монотонную деградацию покрытия**: каждая задача может
+«срезать угол» на тестах, и за десятки задач проект тихо теряет тестируемость. Предложено
+Стрим, одобрено Славой (`00-business-request.md`).
+
+**Задача вводит измеримый гейт покрытия**: покрытие тестами измеряется инструментально и не
+должно опускаться ниже политики (абсолютный порог и/или «не ниже базовой линии»). Это
+структурная защита от деградации, аналогичная по духу security-гейту (ORCH-022) —
+детерминированная метрика вместо доверия суждению агента.
+
+> **Self-hosting.** Гейт работает на инструменте, который в проде обслуживает все проекты из
+> общей БД и очереди (`CLAUDE.md` §self-hosting). Измерение покрытия — это исполнение тест-сьюта
+> в изолированном worktree; оно **не трогает прод-контейнер и не касается `main`**.
+
+## 2. Объём (scope)
+
+### В объёме
+- Инструментальное измерение покрытия тестами для репозитория `orchestrator` (стек Python /
+  pytest) перед слиянием ветки задачи в `main`.
+- Гейт-решение: покрытие **не ниже** заданной политики порога. Политика поддерживает два режима:
+  абсолютный порог (`%`) и «не ниже базовой линии» (no-regression / ratchet), а также их
+  комбинацию.
+- Хранение и обновление **базовой линии** покрытия (last-known покрытие `main`).
+- Наблюдаемость результата: артефакт-отчёт о покрытии с machine-readable вердиктом, строка в
+  `GET /queue`, сигнал в Telegram при провале.
+- Конфигурируемость: kill-switch + per-repo область + настраиваемый порог/политика +
+  поведение при ошибке инструмента (fail-open/closed).
+
+### Вне объёма
+- Реализация измерения покрытия для НЕ-Python стеков (jest / jacoco для будущих репозиториев) —
+  фактическая интеграция инструментов оставлена на будущее; в ORCH-027 закладывается лишь
+  расширяемость (политика и хранилище не должны быть жёстко завязаны на Python).
+- Изменение существующей семантики `check_ci_green` / `check_tests_passed` /
+  `check_reviewer_verdict` для репозиториев, где гейт покрытия выключен.
+- Принудительное доведение покрытия до 100% или установка агрессивного абсолютного порога —
+  стартовая политика консервативна (см. NFR-4).
+- Покрытие самих тестовых файлов и мутационное тестирование.
+- Выбор конкретного инструмента/механизма интеграции и его расположения в конвейере как
+  архитектурного решения — это зона архитектора (`06-adr/`); BRD/ТЗ фиксируют требования и
+  кандидатные точки, выведенные из фактического кода.
+
+## 3. Заинтересованные стороны
+
+- **Заказчик / инициатор:** Стрим (предложение), Слава (одобрение).
+- **Затрагиваются:** конвейер `orchestrator` (self-hosting); агенты `developer`/`tester`
+  (теперь обязаны держать покрытие); проект enduro-trails — **не должен быть затронут** (гейт
+  по умолчанию неактивен вне сконфигурированных репозиториев).
+- **Принимает результат:** reviewer (стадия `review`) + финальная стадия конвейера; владелец
+  (Owner) — по факту работы гейта в проде.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1 — Измерение покрытия.** Перед слиянием ветки задачи в `main` покрытие тестами
+  репозитория измеряется инструментально (исполнением тест-сьюта под coverage-инструментацией),
+  а не оценивается на глаз. Результат — числовая метрика покрытия (как минимум line coverage).
+- **BR-2 — Гейт деградации.** Если измеренное покрытие нарушает политику (ниже абсолютного
+  порога ИЛИ ниже базовой линии — в зависимости от выбранного режима), конвейер **не
+  пропускает** задачу дальше к деплою и инициирует штатный откат на `development` для доработки
+  тестов.
+- **BR-3 — Базовая линия (ratchet).** Поддерживается режим «не ниже предыдущего»: гейт
+  сравнивает покрытие ветки с зафиксированной базовой линией `main`. Базовая линия **обновляется
+  вверх** при успешном слиянии задачи в `main` (покрытие может только расти или держаться, но
+  не падать).
+- **BR-4 — Конфигурируемость и нулевая регрессия.** Гейт управляется kill-switch'ем и
+  per-repo областью (по образцу `merge_gate`/`security_gate`/`image_freshness`,
+  ORCH-035/043/058). Для репозиториев вне области (в частности enduro-trails) гейт — **полный
+  no-op**, поведение конвейера 1:1 как до задачи. Порог, политика (absolute|baseline|both) и
+  поведение при ошибке инструмента — настраиваемы.
+- **BR-5 — Наблюдаемость.** Результат измерения виден: (а) артефакт-отчёт о покрытии с
+  machine-readable вердиктом в `docs/work-items/<id>/`; (б) read-only блок в `GET /queue`;
+  (в) уведомление в Telegram при провале гейта (кликабельный номер задачи, как у прочих
+  алертов). Сообщение указывает измеренное покрытие, порог/базовую линию и дельту.
+- **BR-6 — Стек-расширяемость.** Логика политики (PASS/FAIL по метрике/базовой линии) и
+  хранилище базовой линии не зависят от конкретного инструмента; добавление измерителя для
+  другого стека (jest/jacoco) в будущем не требует переписывания ядра гейта.
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 — never-raise / fail-safe.** Ядро гейта — изолированный leaf-модуль (по образцу
+  `src/security_gate.py`, `src/serial_gate.py`, `src/labels.py`): любая внутренняя ошибка
+  обрабатывается, исключение **никогда** не всплывает в `advance_stage` и не роняет конвейер
+  всех проектов.
+- **NFR-2 — Поведение при недоступности/ошибке инструмента.** По умолчанию ошибка измерения
+  (coverage-инструмент упал/недоступен) → **fail-open + громкий warning** (анти-петля,
+  прецедент ORCH-061/ORCH-022 dep-audit), переключаемое в fail-closed флагом. Дефолт не должен
+  заклинивать автономный конвейер из-за инфраструктурного сбоя.
+- **NFR-3 — Self-hosting безопасность.** Гейт только исполняет тесты в изолированном worktree,
+  читает метрику, пишет отчёт и принимает решение. Он **никогда** не вызывает деплой-хук, не
+  перезапускает прод-контейнер, не пушит/форс-пушит в `main`.
+- **NFR-4 — Консервативный старт (анти-флап).** Стартовая политика не должна массово заворачивать
+  существующие задачи: базовая линия инициализируется фактическим покрытием `main`, абсолютный
+  порог — как мягкий backstop. Допускается малый отрицательный допуск (epsilon) на шум измерения,
+  чтобы дрожание ±доли процента не заворачивало задачу.
+- **NFR-5 — Совместимость.** `STAGE_TRANSITIONS`, состав/семантика `QG_CHECKS` и `check_*`,
+  machine-verdict ключи существующих доков (`verdict:`/`result:`/`deploy_status:`/
+  `staging_status:`/`security_status:`) — не меняются. Любая новая БД-сущность — аддитивна
+  (без миграции существующих таблиц). Restart-safe.
+- **NFR-6 — Детерминизм.** Решение гейта — чистая функция от (измеренное покрытие, базовая
+  линия, порог, политика); без участия LLM в критическом пути (как security/merge/image-freshness
+  под-гейты).
+
+## 6. Допущения и ограничения
+
+- Тест-сьют `orchestrator` запускается командой `python -m pytest tests/` из корня репозитория
+  (подтверждено `.gitea/workflows/ci.yml`, `pytest.ini` `testpaths = tests`); измерение покрытия
+  накладывается на этот же прогон.
+- Coverage-инструмент для Python (`coverage.py` / `pytest-cov`) добавляется как pip-зависимость;
+  он не требует сети во время измерения.
+- Репозиторий `orchestrator` — единственный self-hosting (предикат `is_self_hosting_repo`);
+  стартовая область гейта — он. enduro-trails и прочие репозитории по умолчанию вне области.
+- Базовая линия привязана к покрытию `main`; её первичная инициализация выполняется один раз
+  (bootstrap) фактическим замером текущего `main`.
+- Тесты исполняются в per-branch worktree (`ensure_worktree`), что безопасно при параллельных
+  активных задачах (прецедент `check_tests_local`/merge-gate re-test).
+
+## 7. Критерии успеха
+
+- Покрытие тестами `orchestrator` измеряется на каждой задаче и не может опуститься ниже
+  политики, не заблокировав продвижение к деплою.
+- При выключенном флаге / вне области — конвейер ведёт себя 1:1 как до ORCH-027 (нулевая
+  регрессия для enduro-trails).
+- Сбой coverage-инструмента не заклинивает автономный конвейер (дефолт fail-open + warning).
+- Результат измерения прозрачен (отчёт + `GET /queue` + Telegram при провале).
+
+Детальные PASS/FAIL — `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- **Флап на шуме измерения** — недетерминированное покрытие (например, зависящее от порядка/
+  окружения) может дрожать у границы → ложные заворота. Митигировать epsilon-допуском (NFR-4).
+- **Петля заворотов** — слишком высокий абсолютный порог завернёт многие задачи в бесконечный
+  rework. Митигировать консервативной стартовой политикой и baseline-режимом.
+- **Гонка базовой линии** при параллельных слияниях — два слияния в `main` могут конкурентно
+  обновлять baseline. Требуется атомарное/сериализованное обновление (опереться на окно
+  сериализации merge-lease, ORCH-043).
+- **Инфраструктурная хрупкость** — coverage-инструмент недоступен/несовместим с версией pytest →
+  закрыто требованием NFR-2 (fail-open + warning).
+
+Детальная техническая проработка рисков — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-027/02-trz.md

@@ -0,0 +1,156 @@
+---
+work_item: ORCH-027
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные требования к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование и выбор механизма (где именно врезать гейт, как хранить базовую
+> линию, какой инструмент) — задача архитектора (`06-adr/`). Ниже зафиксированы требования и
+> **кандидатные** точки интеграции, грунтованные реальным кодом; финальное решение по каждой
+> отмеченной точке принимает архитектор.
+
+## 1. Сводка изменения
+
+Вводится **детерминированный гейт покрытия тестами** для репозитория `orchestrator`. Гейт
+измеряет покрытие исполнением тест-сьюта под coverage-инструментацией, сравнивает с политикой
+(абсолютный порог и/или базовая линия `main`) и блокирует продвижение задачи к деплою при
+деградации, инициируя штатный откат на `development`. Ядро — изолированный leaf-модуль с чистой
+логикой решения (по образцу `security_gate`/`serial_gate`), управляемый kill-switch'ем и per-repo
+областью; вне области — полный no-op. Базовая линия покрытия `main` хранится персистентно и
+обновляется вверх при слиянии (ratchet).
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие | Назначение |
+|------|----------|-----------|
+| `requirements.txt` | изменить | добавить coverage-зависимость Python (`coverage.py` / `pytest-cov`; точный выбор — архитектор) |
+| `src/coverage_gate.py` | создать | **NEW leaf-модуль**: измерение покрытия (run suite под coverage в `ensure_worktree`), чистые функции `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)` и классификация, чтение/запись отчёта; never-raise; импортирует только `config`/`git_worktree` (+ лениво `qg.checks.is_self_hosting_repo`/`notifications`) |
+| `src/config.py` | изменить | добавить флаги гейта (см. §6 ниже / раздел совместимости) |
+| `src/qg/checks.py` | изменить | зарегистрировать механизм проверки покрытия (новый `check_*` ЛИБО делегирование из под-гейта); **семантика существующих `check_*` не меняется** |
+| `src/stage_engine.py` | изменить *(кандидат)* | врезка под-гейта в `advance_stage` по образцу `_handle_security_gate`/`_handle_merge_gate` — если выбран механизм «edge sub-gate» (см. §3 FR-3) |
+| `src/db.py` | изменить *(кандидат)* | аддитивная таблица базовой линии покрытия (`coverage_baseline` per-repo), если базовая линия хранится в БД, а не в файле; `_ensure_column`/`CREATE TABLE IF NOT EXISTS` — без миграции существующих |
+| `.gitea/workflows/ci.yml` | изменить *(кандидат)* | если измерение делается в CI-шаге — добавить `--cov`/порог в прогон pytest; **точка измерения — решение архитектора** |
+| `src/main.py` | изменить | read-only блок `coverage` в `GET /queue` (наблюдаемость) |
+| `docs/work-items/<id>/<NN>-coverage-report.md` | создать (артефакт run-time) | отчёт о покрытии с machine-readable вердиктом (см. §4/§6); номер/имя и регистрация в `docs/_standards/PIPELINE_DOCS.md` + скелет в `docs/_templates/` — оформляет архитектор |
+| `tests/test_coverage_gate.py` | создать | unit/integration по `04-test-plan.yaml` |
+
+## 3. Функциональные требования
+
+### FR-1 — Измерение покрытия (привязка BR-1)
+Гейт исполняет тест-сьют `orchestrator` (`python -m pytest tests/`, см. `.gitea/workflows/ci.yml`)
+под coverage-инструментацией в изолированном per-branch worktree (`ensure_worktree`, прецедент
+`check_tests_local`) и извлекает числовую метрику покрытия (как минимум суммарный line coverage,
+`%`). Тайм-аут на прогон ограничен (по образцу `merge_retest_timeout_s` / `security_scan_timeout_s`).
+
+### FR-2 — Решение гейта (привязка BR-2, BR-3)
+Чистая функция `compute_coverage_verdict(measured, baseline, floor, policy, epsilon) -> (ok, reason)`:
+- `policy = absolute` → PASS ⇔ `measured >= floor - epsilon`.
+- `policy = baseline` → PASS ⇔ `measured >= baseline - epsilon`.
+- `policy = both` (дефолт) → PASS ⇔ выполнены оба условия.
+- FAIL → гейт инициирует штатный откат на `development` для доработки тестов (по образцу
+  `_handle_security_gate` / merge-gate rollback), с инкрементом счётчика developer-retry.
+- `epsilon` — малый неотрицательный допуск на шум измерения (NFR-4), настраиваемый.
+
+### FR-3 — Точка в конвейере (привязка BR-2; **кандидат, решает архитектор**)
+Бизнес-запрос указывает «на testing-гейте». Грунтованные кодом кандидаты (выбрать один):
+- **(a) Edge sub-gate** в `advance_stage` на ребре `deploy-staging → deploy` (рядом с
+  `_handle_security_gate`/`_handle_merge_gate`/`_handle_image_freshness`) — даёт гарантию «гейт
+  ДО слияния в `main`», детерминирован, владеет исходом на вмешательстве. Предпочтительно для
+  соответствия NFR-3/NFR-6.
+- **(b) Под-гейт/расширение на ребре `testing → deploy-staging`** (рядом с `check_tests_passed`).
+- **(c) CI-шаг** в `.gitea/workflows/ci.yml` (ребро `development → review`, читается
+  `check_ci_green`) — порог проверяется самим pytest-прогоном.
+Требование, инвариантное к выбору: гейт обязан отработать **до фактического merge в `main`** и не
+пропускать деградацию в `main`.
+
+### FR-4 — Базовая линия и её обновление (привязка BR-3)
+- Персистентное per-repo хранилище базовой линии покрытия `main` (БД-таблица ИЛИ файл в репо —
+  решает архитектор; при БД — аддитивная таблица, NFR-5).
+- Bootstrap: первичная инициализация фактическим замером текущего `main`.
+- Ratchet-up: при успешном слиянии задачи в `main` базовая линия обновляется значением
+  смёрженного покрытия, **только если оно ≥ текущей** (покрытие не откатывается вниз). Обновление
+  должно быть атомарным/сериализованным относительно параллельных слияний (опереться на окно
+  merge-lease, ORCH-043).
+
+### FR-5 — Условность и kill-switch (привязка BR-4)
+- `coverage_gate_enabled=False` → гейт инертен, конвейер 1:1 как до ORCH-027.
+- `coverage_gate_repos` (CSV) — область применения; **пусто → только self-hosting**
+  (`is_self_hosting_repo`, по образцу `merge_gate`/`security_gate`/`image_freshness`).
+- Вне области → no-op `(True, "Coverage gate N/A")` (прецедент `check_staging_status` для
+  не-self-hosting, ORCH-035).
+- `applies(repo)` (локальная проверка) выполняется ПЕРВОЙ; дорогой прогон измерения — только при
+  `applies==True`.
+
+### FR-6 — Поведение при ошибке инструмента (привязка NFR-2)
+Ошибка/недоступность coverage-инструмента или невозможность распарсить метрику → по умолчанию
+**fail-open + WARNING** (`coverage_tool_fail_closed=False`, прецедент `security_dep_audit_fail_closed`);
+флаг переключает в fail-closed. Поведение логируется явной observability-строкой.
+
+### FR-7 — Наблюдаемость (привязка BR-5)
+- Артефакт-отчёт `<NN>-coverage-report.md` с machine-readable вердиктом (см. §4).
+- Read-only блок `coverage` в `GET /queue` (per-repo: `enabled`/`policy`/`floor`/`baseline`/
+  последнее измеренное/вердикт).
+- При FAIL — `send_telegram` (notifying) с кликабельным номером задачи (`plane_issue_link`),
+  измеренным покрытием, порогом/базовой линией и дельтой.
+
+## 4. Изменения API
+
+- **`GET /queue`** — добавить read-only блок `coverage` (наблюдаемость; форма прочих блоков
+  `serial_gate`/`security`/`merge`). Без изменения существующих полей ответа.
+- **Опционально (решает архитектор):** ручной эндпоинт сброса/override базовой линии
+  (`POST /coverage/baseline?repo=…`) — по образцу `POST /serial-gate/unfreeze`, на случай
+  легитимного разового снижения покрытия. Если не вводится — override выполняется через конфиг.
+- Существующие webhook-роуты (`/webhook/plane`, `/webhook/gitea`) — без изменений.
+
+## 5. Изменения схемы БД
+
+Зависит от выбора хранилища базовой линии (FR-4):
+- **Если БД:** аддитивная таблица `coverage_baseline(repo TEXT PRIMARY KEY, coverage REAL,
+  updated_at, source_sha TEXT)` через `CREATE TABLE IF NOT EXISTS` (паттерн `repo_freeze`/
+  `job_deps`). Существующие таблицы — **не мигрируются** (NFR-5).
+- **Если файл в репо:** изменений схемы БД нет (базовая линия — версионируемый файл вроде
+  `.coverage-baseline.json`, читаемый/обновляемый под merge-lease).
+
+Выбор — архитектор; ТЗ требует лишь: персистентность, restart-safe, аддитивность, атомарность
+обновления.
+
+## 6. Требования к новым/изменённым QG checks
+
+- **Новый машинный вердикт покрытия.** Если гейт реализован как edge sub-gate (FR-3a/b), он
+  **сам вычисляет** вердикт (как `check_security_gate`) и пишет отчёт `<NN>-coverage-report.md`
+  с frontmatter-ключом `coverage_status:` (`PASS` | `FAIL`), читаемым обратно из того же файла
+  (single source of truth, по образцу `security_status:` в `17-security-report.md`). Имя ключа
+  фиксируется и регистр чувствителен.
+- **Реестр `QG_CHECKS`.** Допустимо добавить `check_coverage_gate` в реестр (если механизм —
+  зарегистрированный QG) ЛИБО оставить его врезкой-под-гейтом (как security/merge/image-freshness,
+  которые в `QG_CHECKS` присутствуют, но исполняются как врезки). **Семантика и состав
+  существующих `check_*` — без изменений** (NFR-5).
+- **Парсинг frontmatter** вердикта — через единый контракт `src/frontmatter.py`
+  (`parse_frontmatter`/`read_frontmatter_value`), как все вердикт-парсеры (ORCH-052c). Если
+  отчёт несёт обязательную 6-польную схему 52c — добавить её аддитивно, не трогая `coverage_status:`.
+
+## 7. Совместимость / регресс
+
+- **Обратная совместимость:** при `coverage_gate_enabled=False` или для репозитория вне
+  `coverage_gate_repos` — поведение конвейера байт-в-байт прежнее; enduro-trails не затронут.
+- **Kill-switch + поэтапный раскат:** `coverage_gate_enabled` (глобальный), `coverage_gate_repos`
+  (область). Старт — только `orchestrator`.
+- **Конфиг-флаги (итог §3/§6):** `coverage_gate_enabled` (bool), `coverage_gate_repos` (CSV),
+  `coverage_min_percent` (float, абсолютный порог), `coverage_policy` (`absolute|baseline|both`,
+  дефолт `both`), `coverage_epsilon` (float, допуск шума), `coverage_tool_fail_closed` (bool,
+  дефолт `False`), `coverage_run_timeout_s` (int). Имена env — `ORCH_COVERAGE_*`.
+- **never-raise / fail-open в hot-path:** ядро не роняет `advance_stage`; ошибка инструмента →
+  fail-open + warning по умолчанию (NFR-2). Прод-контейнер/`main`/force-push — не трогаются (NFR-3).
+- **Restart-safe:** базовая линия персистентна; in-flight измерение при рестарте переигрывается
+  штатным механизмом стадии (idempotent).
+- **Документация (golden source):** при выборе механизма архитектор регистрирует артефакт
+  `<NN>-coverage-report.md` и его machine-key в `docs/_standards/PIPELINE_DOCS.md` +
+  `docs/_templates/`, и обновляет `docs/architecture/README.md` и `CHANGELOG.md` в том же PR.

docs/work-items/ORCH-027/03-acceptance-criteria.md

@@ -0,0 +1,138 @@
+---
+work_item: ORCH-027
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам
+репозитория.
+
+---
+
+## AC-1 — Покрытие измеряется инструментально
+
+**Условие:** на применимом репозитории конвейер измеряет покрытие тестами исполнением сьюта под
+coverage-инструментацией перед слиянием в `main`.
+- **PASS:** в коде есть путь, который запускает `pytest` под coverage в изолированном worktree и
+  извлекает числовую метрику line coverage (`%`); coverage-зависимость добавлена в `requirements.txt`.
+- **FAIL:** покрытие не измеряется инструментально, метрика берётся из прозы/вердикта LLM, либо
+  зависимость не объявлена.
+
+---
+
+## AC-2 — Гейт блокирует деградацию
+
+**Условие:** покрытие ниже политики не пропускается дальше к деплою.
+- **PASS:** при измеренном покрытии ниже порога/базовой линии (с учётом epsilon) гейт даёт FAIL и
+  инициирует штатный откат на `development` (инкремент developer-retry), задача не достигает `done`.
+- **FAIL:** задача с упавшим покрытием проходит гейт и продвигается к деплою/`done`.
+
+---
+
+## AC-3 — Чистая функция решения
+
+**Условие:** вердикт — детерминированная чистая функция от (measured, baseline, floor, policy, epsilon).
+- **PASS:** `compute_coverage_verdict(...)` покрыта unit-тестами для всех режимов
+  (`absolute`/`baseline`/`both`), границ (равно порогу), epsilon-допуска; без участия LLM.
+- **FAIL:** решение принимает LLM, либо логика недетерминирована/не покрыта тестами границ.
+
+---
+
+## AC-4 — Режим базовой линии (ratchet)
+
+**Условие:** поддержан режим «не ниже предыдущего» с обновлением базовой линии вверх при слиянии.
+- **PASS:** базовая линия персистентна per-repo; при слиянии обновляется значением смёрженного
+  покрытия только если оно ≥ текущей; bootstrap инициализирует её фактическим покрытием `main`;
+  обновление атомарно/сериализовано относительно параллельных слияний.
+- **FAIL:** базовая линия не хранится / откатывается вниз / обновляется неатомарно (гонка двух
+  слияний теряет/занижает значение).
+
+---
+
+## AC-5 — Условность и нулевая регрессия
+
+**Условие:** вне области / при выключенном флаге — поведение конвейера 1:1 как до ORCH-027.
+- **PASS:** при `coverage_gate_enabled=False` или repo ∉ `coverage_gate_repos` гейт — no-op
+  (`(True, "...N/A")`); существующая тестовая база (`pytest tests/`) зелёная; enduro-trails не
+  затронут; `applies(repo)` проверяется до дорогого прогона.
+- **FAIL:** гейт срабатывает вне области, либо выключенный флаг меняет поведение, либо есть
+  регресс существующих тестов.
+
+---
+
+## AC-6 — Fail-open по умолчанию при ошибке инструмента
+
+**Условие:** сбой/недоступность coverage-инструмента не заклинивает автономный конвейер.
+- **PASS:** при ошибке измерения и `coverage_tool_fail_closed=False` гейт даёт PASS + WARNING-лог
+  (observability-строка); флаг `=True` переключает в fail-closed (FAIL). Поведение покрыто тестом.
+- **FAIL:** ошибка инструмента по умолчанию заворачивает задачу (петля rework) либо роняет
+  `advance_stage`.
+
+---
+
+## AC-7 — never-raise / self-hosting безопасность
+
+**Условие:** ядро гейта не роняет конвейер и не трогает прод/`main`.
+- **PASS:** `src/coverage_gate.py` — leaf (не импортирует `stage_engine`); любое исключение
+  перехвачено и не всплывает в `advance_stage`; код не вызывает деплой-хук, не перезапускает
+  прод-контейнер, не пушит/форс-пушит в `main`/`master`.
+- **FAIL:** исключение из гейта всплывает в `advance_stage`; гейт трогает прод-контейнер или `main`.
+
+---
+
+## AC-8 — Совместимость контрактов
+
+**Условие:** существующие машинные контракты не изменены.
+- **PASS:** `STAGE_TRANSITIONS`, семантика существующих `check_*`, machine-verdict ключи
+  (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) — байт-в-байт
+  прежние; любая новая БД-сущность аддитивна (без миграции существующих таблиц).
+- **FAIL:** изменена семантика/имя существующего гейта или вердикт-ключа; миграция ломает
+  существующую схему.
+
+---
+
+## AC-9 — Машинный вердикт покрытия и наблюдаемость
+
+**Условие:** результат измерения прозрачен и машинно читаем.
+- **PASS:** при FAIL — Telegram-алерт с кликабельным номером задачи, измеренным покрытием,
+  порогом/базовой линией и дельтой; `GET /queue` несёт read-only блок `coverage`; артефакт-отчёт
+  с machine-readable вердиктом (`coverage_status: PASS|FAIL`) записан и читается обратно из того
+  же файла через `src/frontmatter.py`.
+- **FAIL:** результат не виден в `GET /queue`/Telegram, либо вердикт парсится из прозы, а не из
+  frontmatter, либо имя ключа не зафиксировано (регистр).
+
+---
+
+## AC-10 — Документация обновлена (golden source)
+
+**Условие:** документация синхронизирована с изменением в том же PR.
+- **PASS:** если введён артефакт-отчёт — он зарегистрирован в `docs/_standards/PIPELINE_DOCS.md`
+  и `docs/_templates/`; обновлены `docs/architecture/README.md` (описание гейта/флагов) и
+  `CHANGELOG.md`; новые/изменённые инварианты несут маркер `ORCH-027`.
+- **FAIL:** функционал введён без обновления обзорной/стандартной документации (reviewer →
+  REQUEST_CHANGES, ORCH-079).
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1 |
+| AC-2 | BR-2 / FR-2, FR-3 |
+| AC-3 | BR-2 / FR-2 / NFR-6 |
+| AC-4 | BR-3 / FR-4 |
+| AC-5 | BR-4 / FR-5 / NFR-5 |
+| AC-6 | NFR-2 / FR-6 |
+| AC-7 | NFR-1 / NFR-3 |
+| AC-8 | NFR-5 / FR-6 (§6 ТЗ) |
+| AC-9 | BR-5 / FR-7 / §6 ТЗ |
+| AC-10 | Правила агентов §2/§6 (CLAUDE.md) |

docs/work-items/ORCH-027/04-test-plan.yaml

@@ -0,0 +1,110 @@
+work_item: ORCH-027
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+title: "Code coverage gate — защита от деградации покрытия тестами"
+framework: pytest
+scope: >
+  Покрываются: чистая логика вердикта покрытия (режимы absolute/baseline/both, границы,
+  epsilon), ratchet-обновление базовой линии, условность (kill-switch + per-repo область),
+  fail-open/fail-closed при ошибке инструмента, never-raise, наблюдаемость (GET /queue,
+  Telegram при FAIL), интеграция гейта в advance_stage / точку конвейера. Вне покрытия:
+  фактические измерители не-Python стеков (jest/jacoco), мутационное тестирование.
+notes: >
+  Тесты не должны исполнять реальный прод-деплой и не трогают prod-контейнер/main.
+  Измерение покрытия в тестах мокается/стабится (фиктивная метрика), реальный pytest-прогон
+  под coverage проверяется отдельным интеграционным тестом на минимальном фикстур-репо/worktree.
+  Полный регресс tests/ должен оставаться зелёным (нулевая регрессия для enduro-trails).
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "compute_coverage_verdict, policy=absolute: measured>=floor → PASS; measured<floor-epsilon → FAIL; ровно на пороге → PASS"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "compute_coverage_verdict, policy=baseline: measured>=baseline → PASS; ниже baseline-epsilon → FAIL (no-regression / ratchet)"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "compute_coverage_verdict, policy=both: PASS только при выполнении обоих условий; нарушение любого → FAIL"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "epsilon-допуск: дрожание покрытия в пределах epsilon у границы не заворачивает задачу (анти-флап, NFR-4)"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "Ratchet базовой линии: при слиянии baseline растёт до смёрженного покрытия только если >= текущей; меньшее значение не понижает baseline"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "Bootstrap базовой линии: первичная инициализация фактическим покрытием main при отсутствии сохранённого значения"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "Условность applies(repo): пустой coverage_gate_repos → только self-hosting (is_self_hosting_repo); repo вне области → no-op (True, 'N/A'), дорогой прогон не запускается"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "Kill-switch coverage_gate_enabled=False → гейт инертен, advance_stage ведёт себя 1:1 как до ORCH-027"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "Fail-open по умолчанию: ошибка/недоступность coverage-инструмента и coverage_tool_fail_closed=False → PASS + WARNING-лог; флаг True → FAIL (fail-closed)"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-10
+    type: unit
+    description: "never-raise: внутреннее исключение (битый вывод coverage, отсутствие worktree) перехватывается, не всплывает в advance_stage"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-11
+    type: unit
+    description: "Запись/чтение отчёта: write_coverage_report пишет coverage_status: PASS|FAIL во frontmatter; parse читает обратно из того же файла через src/frontmatter.py (single source of truth)"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-12
+    type: unit
+    description: "Self-hosting безопасность: гейт не вызывает деплой-хук, не перезапускает прод-контейнер, не пушит/форс-пушит в main/master"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-13
+    type: integration
+    description: "Гейт в конвейере: при measured ниже политики advance_stage не продвигает к деплою и инициирует откат на development (инкремент developer-retry); при PASS — продвигает штатно"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-14
+    type: integration
+    description: "Реальное измерение: pytest под coverage в ensure_worktree на минимальном фикстур-репо возвращает корректную метрику line coverage и тайм-аутится по coverage_run_timeout_s"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-15
+    type: integration
+    description: "Наблюдаемость: FAIL даёт Telegram-алерт с кликабельным номером (измеренное/порог/дельта); GET /queue несёт read-only блок coverage; совместимость — STAGE_TRANSITIONS/QG_CHECKS/существующие вердикт-ключи не изменены"
+    module: tests/test_coverage_gate.py
+    expected: PASS

docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md

@@ -0,0 +1,266 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Гейт покрытия тестами — edge sub-gate с ratchet-базовой линией
+
+Work Item: **ORCH-027** — детерминированный гейт покрытия тестами, блокирующий деградацию
+покрытия перед слиянием ветки задачи в `main`.
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0029-coverage-gate.md`** (решение
+кросс-каттинговое — вводит новый QG `check_coverage_gate`, новый edge-под-гейт ребра
+`deploy-staging→deploy`, новую аддитивную БД-таблицу `coverage_baseline` и новый артефакт
+`18-coverage-report.md`).
+
+## Статус
+Proposed
+
+---
+
+## Контекст
+
+Оркестратор ведёт **автономную** разработку: код пишет агент `developer` без человека-фильтра,
+а на стадии `testing` агент `tester` сам решает, достаточно ли тестов. Существующие тестовые
+гейты судят только по **факту прохождения**, не по **полноте** (сверено по коду):
+
+- `check_ci_green` (`development → review`) — exit-code `pytest tests/` в Gitea CI
+  (`.gitea/workflows/ci.yml`); покрытие не меряется.
+- `check_tests_passed` (`testing → deploy-staging`, `qg/checks.py::_parse_tests_verdict`) —
+  читает machine-verdict LLM-`tester`'а из `13-test-report.md`, а не измеренную метрику.
+- Merge-gate re-test (ORCH-043, `src/merge_gate.py`) — повторный `pytest` на догнанной ветке,
+  снова только exit-code.
+
+Ни один гейт не замечает «300 строк кода, 0 тестов» или багфикс без регрессионного теста. При
+пакетном автономном прогоне (ORCH-088, «10–20 задач за ночь») это означает **монотонную
+деградацию покрытия**: каждая задача срезает угол на тестах, и за десятки задач проект тихо
+теряет тестируемость. Нужна детерминированная метрика вместо доверия суждению агента — по духу
+аналогично security-гейту (ORCH-022, adr-0012).
+
+Требования (`01-brd.md`/`02-trz.md`/`03-acceptance-criteria.md`): измерять покрытие
+инструментально перед merge в `main` (BR-1/FR-1); блокировать деградацию относительно
+абсолютного порога и/или базовой линии (BR-2/BR-3/FR-2); хранить и наращивать базовую линию
+(ratchet, FR-4); kill-switch + per-repo область, нулевая регрессия для enduro-trails
+(BR-4/FR-5); fail-open по умолчанию при сбое инструмента (NFR-2/FR-6); never-raise и
+self-hosting-безопасность (NFR-1/NFR-3); неизменность существующих контрактов (NFR-5).
+
+## Решение
+
+### Сводка
+
+Вводим **детерминированный (без LLM) гейт покрытия** как **под-гейт ребра
+`deploy-staging → deploy`** — рядом с security-gate (ORCH-022), merge-gate (ORCH-043) и
+image-freshness (ORCH-058), исполняемый **ПОСЛЕ merge-gate и ДО image-freshness**.
+`STAGE_TRANSITIONS` не меняется; в `QG_CHECKS` добавляется `check_coverage_gate`. Паттерн —
+1:1 как у соседних под-гейтов: leaf-модуль `src/coverage_gate.py` (never-raise) + тонкая
+обёртка в `QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. Базовая линия `main`
+хранится в **аддитивной БД-таблице** `coverage_baseline` и наращивается **вверх** (ratchet) в
+choke-point подтверждённого merge `_handle_merge_verify` (ребро `deploy → done`). Вердикт
+пишется в артефакт `18-coverage-report.md` (frontmatter-ключ `coverage_status:`) и читается
+обратно из того же файла (single source of truth, как `security_status:`).
+
+### D1 — Точка в конвейере: edge sub-gate `deploy-staging → deploy`, ПОСЛЕ merge-gate (FR-3a)
+
+Из трёх кандидатов TRZ FR-3 выбран **(a) edge sub-gate** на ребре `deploy-staging → deploy`
+(`advance_stage`, `src/stage_engine.py`, блок `current_stage == "deploy-staging"`). Это даёт
+структурную гарантию «гейт ДО merge в `main`» (merge выполняется детерминированным merge-актором
+в `_handle_merge_verify` на ребре `deploy → done`), детерминизм и владение исходом на
+вмешательстве — полное соответствие NFR-3/NFR-6.
+
+**Порядок среди под-гейтов: security → merge → `coverage` → image-freshness.** Обоснование:
+
+- **ПОСЛЕ merge-gate (а не первым, как security).** Merge-gate выполняет догон ветки на свежий
+  `origin/main` (`auto_rebase_onto_main` под merge-lease, ORCH-043/026). Покрытие имеет смысл
+  мерить на **догнанном** HEAD — это ровно тот код, что landed в `main`; измерение до rebase
+  показало бы покрытие устаревшей базы. Поэтому coverage **обязан** идти после merge-gate
+  (в отличие от security, который специально фейлит дёшево ДО rebase).
+- **ДО image-freshness.** Прогон pytest под coverage дорог, но дешевле полного docker-rebuild
+  staging-образа. Фейлить покрытие до rebuild — экономия (паттерн «fail before expensive
+  rebuild», 07-infra security-гейта).
+- **Merge-lease held на этой точке.** Merge-gate уже захватил merge-lease (ORCH-043). Значит
+  **FAIL coverage обязан освободить merge-lease** при откате — как делает image-freshness
+  rollback (`merge_gate.release_merge_lease`, `stage_engine.py:1165`), и **в отличие** от
+  security-gate rollback (тот идёт ДО захвата lease и lease не трогает). Это явный инвариант
+  реализации (TR-2).
+
+Привязка: BR-2/FR-3/AC-2; NFR-3/AC-7.
+
+### D2 — Измеритель: `pytest-cov` (`coverage.py`), `--cov=src` (FR-1, BR-6)
+
+В `requirements.txt` добавляется **`pytest-cov`** (плагин-обёртка над `coverage.py`). Измерение —
+прогон `python -m pytest tests/ --cov=src --cov-report=json:<tmp>/coverage.json
+--cov-report=` в изолированном per-branch worktree (`ensure_worktree`, прецедент
+`check_tests_local`/merge-gate re-test). Числовая метрика — `totals.percent_covered` из JSON
+(line coverage, `%`). Скоуп измерения — **`src/`** (не `tests/`: покрытие самих тестов вне
+объёма, BRD §«Вне объёма»). Сеть при измерении не нужна. Тайм-аут — `coverage_run_timeout_s`
+(по образцу `merge_retest_timeout_s`/`security_scan_timeout_s`).
+
+**Стек-расширяемость (BR-6/AC-… BR-6):** измеритель инкапсулирован за функцией
+`measure_coverage(repo, branch) -> float | None`; чистая логика решения
+`compute_coverage_verdict(...)` и хранилище базовой линии **не зависят** от Python/pytest.
+Добавление jest/jacoco-измерителя для будущего стека — новая ветка `measure_*`, без переписывания
+ядра. Фактическая интеграция не-Python стеков — вне объёма ORCH-027.
+
+### D3 — Чистая функция решения (FR-2, NFR-6, BR-2/BR-3)
+
+`compute_coverage_verdict(measured, baseline, floor, policy, epsilon) -> (ok: bool, reason: str)` —
+детерминированная чистая функция (без LLM, без I/O):
+
+- `policy = "absolute"` → PASS ⇔ `measured >= floor - epsilon`.
+- `policy = "baseline"` → PASS ⇔ `measured >= baseline - epsilon`.
+- `policy = "both"` (дефолт) → PASS ⇔ выполнены **оба** условия.
+- `baseline is None` (нет сохранённой базовой линии) → baseline-условие **не применяется**
+  (bootstrap: нельзя регрессировать против пустоты) → решает только absolute-часть; измеренное
+  значение засеет базовую линию при merge (D5).
+- `epsilon` — малый неотрицательный допуск на шум измерения (NFR-4/AC-4): дрожание ±доли
+  процента у границы не заворачивает задачу.
+
+FAIL → штатный откат на `development` + инкремент общего `_developer_retry_count` (cap
+`MAX_DEVELOPER_RETRIES`, затем `set_issue_blocked` + Telegram) — точно как security/merge-gate
+rollback. Дословный reason (измеренное/порог/базовая линия/дельта) встраивается в `task_desc`
+developer'а (паттерн ORCH-046). Привязка: AC-2/AC-3.
+
+### D4 — Хранилище базовой линии: аддитивная БД-таблица `coverage_baseline` (FR-4, NFR-5)
+
+Базовая линия `main` хранится в **БД**, не в файле репозитория:
+
+```sql
+CREATE TABLE IF NOT EXISTS coverage_baseline (
+    repo        TEXT PRIMARY KEY,
+    coverage    REAL NOT NULL,
+    source_sha  TEXT,
+    updated_at  TEXT NOT NULL
+);
+```
+
+(паттерн `repo_freeze`/`job_deps` — `CREATE TABLE IF NOT EXISTS`, существующие таблицы не
+мигрируются, NFR-5/AC-8; детали — `08-data-requirements.md`). **Почему БД, а не файл в репо**
+(`.coverage-baseline.json`): файл пришлось бы коммитить в `main` на каждый ratchet → git-churn,
+сам файл попадает в diff и может конфликтовать при параллельных merge, плюс он часть измеряемого
+дерева. БД-таблица — restart-safe, аддитивна, обновляется атомарно и не порождает коммитов.
+Таблица keyed by `repo` → общая прод-БД (self-hosting) безопасно разделяет базовые линии разных
+репозиториев.
+
+### D5 — Ratchet-up в choke-point подтверждённого merge (FR-4, BR-3)
+
+Базовая линия наращивается **только вверх** и **только при подтверждённом** слиянии в `main`.
+Единственный авторитетный choke-point подтверждённого merge — `_handle_merge_verify` (ребро
+`deploy → done`, ORCH-071/073, доказательство SHA-in-main). Туда добавляется never-raise врезка
+`coverage_gate.ratchet_baseline_on_merge(repo, work_item_id, branch, sha)`, вызываемая **после**
+того как merge подтверждён (`_handle_merge_verify` вернул `False` = confirmed) и **до** перехода
+в `done`:
+
+1. Читает измеренное покрытие смёрженной ветки из артефакта `18-coverage-report.md` (single
+   source of truth — то же значение, что гейт записал на ребре `deploy-staging→deploy`).
+2. **Атомарный compare-and-set:** `UPDATE coverage_baseline SET coverage=?, source_sha=?,
+   updated_at=? WHERE repo=? AND coverage <= ?` (или `INSERT` при отсутствии строки —
+   bootstrap). Условие `coverage <= measured` гарантирует, что базовая линия **никогда не
+   падает** (FR-4), даже при гонке.
+
+**Сериализация (анти-гонка, NFR-5/AC-4):** на этой точке merge-lease ещё **held** (release на
+`done`/rollback, `stage_engine.py:446`), а merge репо сериализован per-repo (ORCH-043). Плюс
+атомарный compare-and-set в SQL — **двойная защита**: даже без lease два параллельных merge не
+понизят и не потеряют значение. Bootstrap — первый merge применимого репо засевает базовую линию
+своим измеренным покрытием.
+
+### D6 — Условность, kill-switch, наблюдаемость (FR-5/FR-7, BR-4/BR-5)
+
+- **Флаги (`config.py`, env `ORCH_COVERAGE_*`):** `coverage_gate_enabled` (bool, kill-switch),
+  `coverage_gate_repos` (CSV; **пусто → только self-hosting** `is_self_hosting_repo`, по образцу
+  `merge_gate`/`security_gate`/`image_freshness`), `coverage_min_percent` (float, абсолютный
+  порог-floor), `coverage_policy` (`absolute|baseline|both`, дефолт `both`), `coverage_epsilon`
+  (float, дефолт малый, напр. `0.5`), `coverage_tool_fail_closed` (bool, дефолт `False`),
+  `coverage_run_timeout_s` (int).
+- **`applies(repo)`** (локальная проверка) выполняется **ПЕРВОЙ**; дорогой прогон измерения —
+  только при `applies==True`. Вне области → no-op `(True, "Coverage gate N/A")` (прецедент
+  `check_staging_status` для не-self, ORCH-035). При `coverage_gate_enabled=False` — гейт инертен,
+  конвейер 1:1 как до ORCH-027 (AC-5).
+- **FR-6 (ошибка инструмента):** `measure_coverage` вернул `None` (инструмент упал/недоступен/
+  метрика не распарсилась) → по умолчанию **fail-open + WARNING** (observability-строка),
+  `coverage_tool_fail_closed=True` → fail-closed (FAIL). Дефолт анти-петля (прецедент
+  ORCH-061/ORCH-022 dep-audit), чтобы инфра-сбой не заклинил автономный конвейер.
+- **FR-7 (наблюдаемость):** артефакт `18-coverage-report.md` (frontmatter `coverage_status:
+  PASS|FAIL` + `measured_coverage`/`baseline`/`floor`/`policy`/`delta`); read-only блок
+  `coverage` в `GET /queue` (`src/main.py`); при FAIL — `send_telegram` с кликабельным номером
+  (`plane_issue_link`/`link_for`), измеренным покрытием, порогом/базовой линией и дельтой.
+
+### D7 — Машинный вердикт и парсинг (§6 ТЗ, AC-9)
+
+Гейт **сам вычисляет** вердикт (как `check_security_gate`) и пишет
+`18-coverage-report.md` с YAML-frontmatter `coverage_status:` (`PASS` | `FAIL`); регистр
+чувствителен, имя фиксируется. Чтение обратно — через единый контракт `src/frontmatter.py`
+(`parse_frontmatter`/`read_frontmatter_value`, ORCH-052c), как все вердикт-парсеры. Артефакт
+несёт **аддитивно** обязательную 6-польную схему 52c, не трогая `coverage_status:`. В `QG_CHECKS`
+добавляется `check_coverage_gate` (тонкая обёртка, делегирующая в leaf); **семантика и состав
+существующих `check_*` / machine-verdict ключей (`verdict:`/`result:`/`deploy_status:`/
+`staging_status:`/`security_status:`) — байт-в-байт прежние** (NFR-5/AC-8).
+
+### D8 — Опциональный override базовой линии (FR-4 / §4 API)
+
+Для легитимного разового снижения покрытия (напр. удаление большого протестированного модуля)
+вводится опциональный ручной эндпоинт `POST /coverage/baseline?repo=<repo>&value=<float>` (по
+образцу `POST /serial-gate/unfreeze`) — устанавливает/сбрасывает базовую линию вручную.
+Альтернатива без эндпоинта — временно переключить `coverage_policy=absolute`. Эндпоинт
+рекомендован для эксплуатационной гибкости, но не критичен для v1.
+
+## Альтернативы
+
+- **Точка измерения — CI-job (`check_ci_green`, FR-3c).** Пороги/политика/базовая линия/артефакт
+  плохо выражаются статусом коммита; ratchet требует записи в общую БД, недоступную из CI-раннера
+  чисто. Коуплинг с раннером. Отклонено для v1 (точка расширения), как у security-гейта.
+- **Точка измерения — `testing → deploy-staging` (рядом с `check_tests_passed`, FR-3b).** Ветка
+  ещё не догнана на свежий `main` → измеренное покрытие может не соответствовать landed-коду;
+  откат отсюда не освобождает merge-lease иначе. Edge `deploy-staging→deploy` после merge-gate —
+  точнее. Отклонено.
+- **Базовая линия в файле репо (`.coverage-baseline.json`).** Git-churn на каждый ratchet,
+  конфликты при параллельных merge, файл — часть измеряемого дерева. Отклонено в пользу
+  аддитивной БД-таблицы (D4).
+- **Складывание измерения в merge-gate re-test (один pytest-прогон).** Снижает дабл-ран, но
+  коуплит coverage-логику с merge_gate; нарушает leaf-изоляцию ТЗ. Отклонено для v1 (возможный
+  follow-up — измерять покрытие в том же прогоне).
+- **Новый stage `coverage`.** «Пустая» стадия без агента не имеет триггера (как в ORCH-043/022).
+  Отклонено.
+- **Жёсткий абсолютный порог без baseline/epsilon.** Массовые ложные заворота → петля rework.
+  Отклонено в пользу консервативного `both` + epsilon (NFR-4).
+
+## Последствия
+
+- **+** Класс «тихо просевшее покрытие» закрыт детерминированной метрикой; защита от монотонной
+  деградации в пакетном автономном прогоне (ORCH-088). Базовая линия может только расти (ratchet).
+- **+** Нулевая регрессия: при выключенном флаге / вне области (enduro-trails) — конвейер
+  байт-в-байт прежний; `STAGE_TRANSITIONS`/`QG_CHECKS`-семантика/вердикт-ключи не тронуты.
+- **+** Self-hosting-безопасно: гейт только мерит/читает/пишет/решает; не деплоит, не рестартит
+  прод, не пушит/форс-пушит в `main` (NFR-3).
+- **−** Дополнительный прогон pytest под coverage на каждой применимой задаче (после merge-gate
+  re-test) → ещё один полный тест-ран. Митигейшн: ограничен `coverage_run_timeout_s`; фейлит до
+  дорогого image-rebuild; follow-up — слияние с merge-gate re-test.
+- **−** Ещё один «скрытый» под-гейт ребра (нет в `STAGE_TRANSITIONS`); новая pip-зависимость
+  (`pytest-cov`); v1 — Python-only (мульти-стек — точка расширения BR-6).
+- **−** Дефолтный fail-open означает, что устойчивый сбой инструмента **тихо** пропускает задачи
+  (с WARNING). Митигейшн: громкий лог + переключатель `coverage_tool_fail_closed`.
+- **Сквозное изменение** (новый QG + edge-под-гейт + новая БД-таблица + новый артефакт) →
+  лейбл `arch:major-change`; прод-деплой ORCH-027 — строго через staging-гейт (8501), без
+  рестарта прод-контейнера.
+- **Откат:** `coverage_gate_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
+  Полное удаление — снять врезки `_handle_coverage_gate`/`ratchet_baseline_on_merge`, удалить
+  leaf-модуль, `check_coverage_gate` из `QG_CHECKS`, флаги, артефакт-шаблон; таблица
+  `coverage_baseline` аддитивна и может остаться (инертна).
+
+## Ссылки
+
+- BRD: `docs/work-items/ORCH-027/01-brd.md`
+- TRZ: `docs/work-items/ORCH-027/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-027/03-acceptance-criteria.md`
+- Data: `docs/work-items/ORCH-027/08-data-requirements.md`
+- Risks: `docs/work-items/ORCH-027/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0029-coverage-gate.md`
+- Сверено по коду: `src/stage_engine.py` (`_handle_security_gate`/`_handle_merge_gate`/
+  `_handle_image_freshness`/`_handle_merge_verify`), `src/security_gate.py`, `src/merge_gate.py`,
+  `src/qg/checks.py`, `.gitea/workflows/ci.yml`, `pytest.ini`
+- Прецеденты: adr-0012 (security-гейт), adr-0006 (merge-gate — edge-под-гейт/откат/lease),
+  adr-0008 (image-freshness — условность/fail-closed), adr-0003 (`is_self_hosting_repo`),
+  adr-0009 (анти-петля ложных FAIL), adr-0014 (SHA-in-main как source of truth для merge)

docs/work-items/ORCH-027/07-infra-requirements.md

@@ -0,0 +1,64 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 07 — Инфраструктурные требования: ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
+
+> When-applicable. Топология **не меняется** (всё в существующем Docker-контейнере на одном
+> сервере mva154, SQLite, собственная очередь). Затрагивается только зависимостный и
+> конфигурационный слой.
+
+## Топология / окружение
+
+- **Без изменений топологии** — никаких новых контейнеров/сервисов/нод. Гейт исполняется внутри
+  существующего процесса оркестратора, измерение — в per-branch worktree (`ensure_worktree`),
+  как merge-gate re-test. `docs/operations/INFRA.md` — без правок.
+- **Self-hosting безопасность (NFR-3):** гейт не вызывает деплой-хук, не рестартит прод-контейнер
+  `orchestrator` (8500), не пушит в `main`. Прод-деплой ORCH-027 — **только** через
+  staging-гейт (8501) → выделенный статус «Confirm Deploy» (ORCH-059), без рестарта прод
+  случайным approve.
+
+## Зависимости
+
+| Зависимость | Где | Назначение |
+|-------------|-----|-----------|
+| `pytest-cov` (обёртка `coverage.py`) | `requirements.txt` | измерение line coverage прогоном `pytest --cov=src --cov-report=json`. Offline (сеть при измерении не нужна). Попадает в прод-образ при пересборке. |
+
+- Версия фиксируется совместимой с текущим `pytest` (см. `requirements.txt`/`pytest.ini`).
+- Новых системных пакетов в `Dockerfile` не требуется (чистый pip-пакет).
+
+## Конфигурация (env, `.env` на хосте)
+
+Новые флаги (`config.py`, префикс `ORCH_COVERAGE_*`; дефолты безопасны — нулевая регрессия):
+
+| Env | Дефолт | Назначение |
+|-----|--------|-----------|
+| `ORCH_COVERAGE_GATE_ENABLED` | `false` (раскат поэтапный) | kill-switch |
+| `ORCH_COVERAGE_GATE_REPOS` | пусто → только self-hosting | CSV область применения |
+| `ORCH_COVERAGE_MIN_PERCENT` | консервативно (напр. backstop) | абсолютный порог-floor |
+| `ORCH_COVERAGE_POLICY` | `both` | `absolute\|baseline\|both` |
+| `ORCH_COVERAGE_EPSILON` | малый (напр. `0.5`) | допуск на шум измерения |
+| `ORCH_COVERAGE_TOOL_FAIL_CLOSED` | `false` | поведение при сбое инструмента |
+| `ORCH_COVERAGE_RUN_TIMEOUT_S` | по образцу `merge_retest_timeout_s` | тайм-аут прогона |
+
+## Эксплуатационные предусловия
+
+- **Bootstrap базовой линии:** при первом merge применимого репо базовая линия `main`
+  засевается автоматически фактическим измеренным покрытием (D5). Ручной первичный замер не
+  обязателен; при необходимости — `POST /coverage/baseline?repo=orchestrator&value=<%>` (D8).
+- **Раскат:** включать `ORCH_COVERAGE_GATE_ENABLED=true` только после прод-деплоя кода и
+  прогона на staging (8501); стартовая область — только `orchestrator`.
+- **Override (легитимное снижение покрытия):** `POST /coverage/baseline` (по образцу
+  `POST /serial-gate/unfreeze`) либо временный `ORCH_COVERAGE_POLICY=absolute`.
+
+## Секреты / сеть
+
+- Новых секретов нет. Сетевого доступа при измерении нет (coverage offline).
+- enduro-trails и прочие репозитории — вне области по умолчанию, нулевое влияние.

docs/work-items/ORCH-027/08-data-requirements.md

@@ -0,0 +1,67 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 08 — Требования к данным: ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
+
+> When-applicable / информационный (гейтом не парсится). Затрагивается схема БД — вводится
+> **одна аддитивная таблица** базовой линии покрытия. Существующие таблицы не мигрируются.
+
+## Изменения схемы БД
+
+Новая аддитивная таблица `coverage_baseline` (паттерн `repo_freeze`/`job_deps` —
+`CREATE TABLE IF NOT EXISTS` в `init_db`, `src/db.py`; без `ALTER`/миграции существующих):
+
+```sql
+CREATE TABLE IF NOT EXISTS coverage_baseline (
+    repo        TEXT PRIMARY KEY,   -- репозиторий (напр. "orchestrator")
+    coverage    REAL NOT NULL,      -- last-known базовая линия покрытия main (%, line coverage)
+    source_sha  TEXT,               -- SHA main, на котором зафиксирована базовая линия (аудит)
+    updated_at  TEXT NOT NULL       -- ISO-таймстамп последнего ratchet/bootstrap
+);
+```
+
+Доступ — через аддитивные read-only/мутирующие хелперы `src/db.py`:
+- `get_coverage_baseline(repo) -> float | None` (None ⇒ bootstrap-режим, базовой линии ещё нет);
+- `ratchet_coverage_baseline(repo, coverage, sha) -> bool` — **атомарный compare-and-set**:
+  `INSERT` при отсутствии строки; иначе `UPDATE ... SET coverage=?, source_sha=?, updated_at=?
+  WHERE repo=? AND coverage <= ?` (базовая линия **никогда не понижается**);
+- `set_coverage_baseline(repo, coverage, sha)` — безусловная установка (ручной override D8 /
+  `POST /coverage/baseline`).
+
+## Новые/изменённые сущности
+
+- **`coverage_baseline`** — одна строка на репозиторий; keyed by `repo`. Инвариант: `coverage`
+  монотонно не убывает через `ratchet_coverage_baseline` (только `set_coverage_baseline`/ручной
+  override может понизить — легитимный разовый случай, D8). На общей прод-БД (self-hosting)
+  строки разных репозиториев изолированы первичным ключом.
+- **Артефакт `18-coverage-report.md`** — НЕ БД-сущность: файл в `docs/work-items/<id>/`,
+  несёт frontmatter `coverage_status: PASS|FAIL` + `measured_coverage`/`baseline`/`floor`/
+  `policy`/`delta`. Source of truth измеренного значения для ratchet (D5).
+
+Существующие таблицы (`tasks`, `jobs`, `job_deps`, `repo_freeze`, `agent_runs`,
+`tracker_messages`, …) — **не изменяются** (NFR-5/AC-8).
+
+## Совместимость данных / миграции
+
+- **Аддитивность:** только `CREATE TABLE IF NOT EXISTS` — ни один существующий столбец/таблица
+  не трогается; миграции существующих данных нет.
+- **Идемпотентность:** `CREATE TABLE IF NOT EXISTS` безопасен при повторном старте; bootstrap
+  (первый `INSERT`) выполняется один раз на репозиторий.
+- **Restart-safe:** базовая линия персистентна; in-flight измерение при рестарте переигрывается
+  штатным механизмом стадии (idempotent — гейт пересчитает вердикт, ratchet — атомарный
+  compare-and-set, повтор не понизит и не задвоит).
+- **Атомарность / анти-гонка:** ratchet — единичный SQL `UPDATE ... WHERE coverage <= ?` (или
+  `INSERT`), выполняется под held merge-lease (ORCH-043, per-repo сериализация merge) → двойная
+  защита от параллельных слияний.
+- **Влияние на общую прод-БД:** одна маленькая таблица (≤ числа репозиториев строк); нулевой
+  риск для enduro-trails и прочих проектов (строки изолированы по `repo`, гейт для них no-op).
+- При `coverage_gate_enabled=False` таблица может существовать пустой/инертной — нулевая
+  регрессия.

docs/work-items/ORCH-027/10-tech-risks.md

@@ -0,0 +1,42 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | **Флап на шуме измерения** — недетерминированное покрытие (порядок тестов/окружение) дрожит у границы → ложные заворота, петля rework. | Сред. | Сред. | `coverage_epsilon` (NFR-4/D3): дрожание ±доли % не заворачивает. Дефолт `policy=both` мягкий; абсолютный порог — backstop, не агрессивный. |
+| TR-2 | **Не освобождён merge-lease при FAIL.** Coverage идёт ПОСЛЕ merge-gate (lease уже held) — забытый release при откате заклинит serial-gate репо (другие задачи репо в defer навсегда). | Сред. | Выс. | Явный инвариант D1: rollback coverage вызывает `merge_gate.release_merge_lease` (как image-freshness rollback, `stage_engine.py:1165`); покрыто тестом TC-13. Backstop — crash-реклейм lease по возрасту (ORCH-043). |
+| TR-3 | **Гонка базовой линии** — два параллельных слияния в `main` конкурентно обновляют baseline, теряя/занижая значение. | Низ. | Сред. | Атомарный SQL compare-and-set `UPDATE ... WHERE coverage <= ?` (D5/08-data) + held merge-lease + per-repo сериализация merge (ORCH-043) → тройная защита. Покрыто TC-05. |
+| TR-4 | **Инфра-хрупкость инструмента** — `pytest-cov` несовместим с версией pytest / упал / метрика не парсится → конвейер клинит. | Низ. | Сред. | NFR-2/FR-6/D6: дефолт fail-open + громкий WARNING (анти-петля ORCH-061); `coverage_tool_fail_closed` для строгого режима. `measure_coverage`→`None` обрабатывается, не всплывает. Покрыто TC-09. |
+| TR-5 | **Исключение всплывает в `advance_stage`** — ошибка leaf-модуля роняет конвейер ВСЕХ проектов (общий прод-инстанс). | Низ. | Выс. | NFR-1/AC-7: `src/coverage_gate.py` — leaf (не импортирует `stage_engine`), контракт never-raise; любое исключение → `(False/True, reason)` по политике fail-open/closed. Покрыто TC-10. |
+| TR-6 | **Дабл-ран pytest** — coverage-прогон после merge-gate re-test удваивает время тестов на применимой задаче. | Выс. | Низ. | Ограничен `coverage_run_timeout_s`; фейлит ДО дорогого image-rebuild; follow-up — слияние измерения с merge-gate re-test (вне объёма v1). Влияет только на self-hosting `orchestrator`. |
+| TR-7 | **Стартовая петля заворотов** — высокий `coverage_min_percent` массово заворачивает существующие задачи в rework. | Сред. | Сред. | NFR-4/D3: bootstrap инициализирует baseline фактическим покрытием `main`; absolute-порог — мягкий backstop; cap `MAX_DEVELOPER_RETRIES` → Blocked+alert вместо бесконечной петли. |
+| TR-8 | **Self-hosting побочка** — гейт случайно трогает прод-контейнер/`main`/force-push. | Низ. | Выс. | NFR-3/AC-7: гейт только мерит/читает/пишет/решает в изолированном worktree; не вызывает деплой-хук, не рестартит прод, не пушит в `main`. Покрыто TC-12. |
+| TR-9 | **Регресс контрактов** — затронуты `STAGE_TRANSITIONS`/существующие `check_*`/вердикт-ключи. | Низ. | Выс. | NFR-5/AC-8: новый QG аддитивен, edge-врезка не меняет `STAGE_TRANSITIONS`; вердикт-ключи прежних доков байт-в-байт. Покрыто TC-15. |
+
+## Сводный вывод
+
+Доминирующий класс рисков — **эксплуатация автономного self-hosting-конвейера**: самые
+тяжёлые по влиянию (TR-2 заклинивание serial-gate, TR-5 падение конвейера всех проектов, TR-8
+побочка на прод) имеют **низкую вероятность** и закрыты структурными инвариантами, повторяющими
+проверенные паттерны соседних под-гейтов (security/merge/image-freshness): leaf never-raise,
+fail-open дефолт, явный release merge-lease при откате, kill-switch. Остаточный риск для
+прод-конвейера — **низкий** при условии тестового покрытия инвариантов TR-2/TR-5/TR-8
+(`04-test-plan.yaml` TC-09…TC-13) и поэтапного раската через staging-гейт (8501).
+
+Решение **сквозное** (новый QG + edge-под-гейт + новая БД-таблица + новый артефакт) → эскалация
+лейблом **`arch:major-change`**. Возврат в анализ не требуется — ТЗ реализуемо без нарушения
+принципов архитектуры (Docker/один сервер/SQLite/собственная очередь сохранены).

docs/work-items/ORCH-027/12-review.md

@@ -0,0 +1,121 @@
+---
+verdict: APPROVED
+work_item: ORCH-027
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-027
+version: 2
+---
+
+# Review ORCH-027 — Code coverage как гейт
+
+## Summary
+
+Дисциплинированная реализация детерминированного coverage-гейта строго по образцу
+security/merge/image-freshness под-гейтов. Соответствие ТЗ/ADR — полное; код качественный,
+тесты содержательны (`test_coverage_gate.py` — 30 тестов; **полный регресс `tests/ -q`
+зелёный: 1466 passed**); документация обновлена исчерпывающе.
+
+**Единственный прежний блокер закрыт.** Ревизия v1 выносила P1 за повреждённую (дословно
+продублированную) запись ORCH-095 в `CHANGELOG.md` — коммит `75c33ab docs(changelog): repair
+duplicated ORCH-095 entry body` устранил дубль: тело bullet ORCH-095 теперь присутствует ровно
+один раз (`git revert occurrences on line 16: 1`), артефакт чужой задачи восстановлен. Новых
+P0/P1 не выявлено.
+
+Проверено: 4 оси (ТЗ / ADR / качество кода / документация) + трассировка маркеров + полный
+прогон тест-сьюта.
+
+## Findings
+
+### P0 — Blocker
+- (нет)
+
+### P1 — Must fix
+- (нет) — прежний P1 (дубль записи ORCH-095 в CHANGELOG) исправлен коммитом `75c33ab`.
+
+### P2 — Should fix
+- [ ] **Несоответствие формулировки ADR-001 D7 фактическому артефакту: 6-польная схема 52c
+  не эмитится.** `ADR-001-coverage-gate.md` D7 утверждает: «Артефакт несёт **аддитивно**
+  обязательную 6-польную схему 52c, не трогая `coverage_status:`». Фактически и генератор
+  (`coverage_gate.render_coverage_report`), и скелет `docs/_templates/18-coverage-report.md`
+  эмитят только `coverage_status`/`work_item` + coverage-поля; отсутствуют 5 из 6 полей схемы
+  52c (`stage`/`author_agent`/`status`/`created_at`/`model_used`). **Почему не блокер:** (а)
+  TRZ §6 формулирует это условно («*Если* отчёт несёт обязательную 6-польную схему 52c —
+  добавить её аддитивно»), (б) валидация схемы warning-only по умолчанию
+  (`frontmatter_validation_strict=False`), (в) гейт-генерируемые артефакты (прецедент
+  `17-security-report.md`) исторически несут лишь свой machine-key — эпик 52c (ORCH-077)
+  скоупил схему на 6 агент-промптов, не на машинные отчёты. Машинный вердикт читается из
+  `coverage_status:` корректно, контракт не нарушен. **Действие (на усмотрение, не блокирует
+  приёмку):** привести формулировку D7 к факту (отчёт несёт `coverage_status:` + coverage-поля,
+  без полной 52c-схемы) ЛИБО добавить 5 полей в генератор+шаблон.
+
+## Документация
+
+**Статус: обновлена исчерпывающе** (golden source синхронизирован в том же PR, AC-10 PASS):
+
+- `docs/architecture/README.md` — реестр `QG_CHECKS` дополнен `check_coverage_gate (ORCH-027)`;
+  добавлен раздел «Coverage-гейт: защита от деградации покрытия» (точка/порядок, измерение,
+  чистая функция, baseline+ratchet, условность/fail-open, артефакт/наблюдаемость). ✅
+- `docs/_standards/PIPELINE_DOCS.md` — диапазон доков `…18-coverage-report.md`; строка карты
+  `стадия→агент→документ→гейт→machine-key` + строка таблицы вердикт-парсеров
+  (`coverage_status:` → `check_coverage_gate`). ✅
+- `docs/_templates/18-coverage-report.md` — скелет с frontmatter зарегистрирован. ✅
+- `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md` (D1…D8) +
+  сквозной `docs/architecture/adr/adr-0029-coverage-gate.md`. ✅
+- `CHANGELOG.md` — детальная корректная запись ORCH-027; повреждение соседней записи ORCH-095
+  устранено (v1-P1 закрыт). ✅
+- `CLAUDE.md` — паспортный блок «Гейт покрытия тестами (ORCH-027)» добавлен. ✅
+- `.env.example` / `src/config.py` — флаги `ORCH_COVERAGE_*` задокументированы. ✅
+- Маркеры `ORCH-027` проставлены в коде/доках (AC-10). ✅
+
+`src/` изменён → документация обновлена в том же PR: **да** (P0-условие выполнено).
+**Обзорные доки (ORCH-079):** PR не закрывает ни один пункт `README.md` «Известные ограничения»
+(coverage-деградация там не значилась) → обновление витрины не требуется, finding отсутствует.
+
+## Оси проверки (детально)
+
+**1. Соответствие ТЗ (02-trz / 03-acceptance) — PASS.**
+AC-1 измерение инструментально (`measure_coverage` → `pytest --cov=src` → `totals.percent_covered`,
+`pytest-cov==5.0.0` в `requirements.txt`); AC-2 блокировка деградации + откат на `development` с
+release merge-lease (`_handle_coverage_gate`); AC-3 чистая функция `compute_coverage_verdict`
+покрыта по всем режимам/границам/epsilon (TC-01…04); AC-4 ratchet up-only + bootstrap + per-repo
+изоляция + атомарный compare-and-set `UPDATE … WHERE coverage <= ?` (`db.ratchet_coverage_baseline`);
+AC-5 kill-switch/scope + `applies(repo)` ПЕРВЫМ (дорогой прогон только при `applies==True`) —
+регресс зелёный, enduro не затронут; AC-6 fail-open дефолт / fail-closed по флагу; AC-7 never-raise
++ leaf (не импортирует `stage_engine`) + AST-проверка отсутствия деплой/force-push токенов; AC-8
+контракты `STAGE_TRANSITIONS`/`check_*`/вердикт-ключи байт-в-байт, таблица `coverage_baseline`
+аддитивна; AC-9 вердикт только из frontmatter (`parse_coverage_status` через
+`frontmatter.parse_frontmatter`) + `GET /queue` блок `coverage` + Telegram с кликабельным номером.
+
+**2. Соответствие ADR (ADR-001 D1…D8 / adr-0029) — PASS** (с P2-оговоркой по тексту D7).
+Порядок под-гейтов `security → merge → coverage → image-freshness` реализован ровно как в D1
+(врезка `_handle_coverage_gate` между merge-handling и ORCH-058 freshness в `advance_stage`);
+coverage ПОСЛЕ merge-gate (догнанный HEAD) и `merge_gate.release_merge_lease` при FAIL —
+соответствует D1/TR-2 (зеркало image-freshness rollback, в отличие от security — тот до захвата
+lease). Ratchet в choke-point `_handle_merge_verify` (ребро `deploy→done`, D5), БД-таблица
+`coverage_baseline` (D4), машинный вердикт/парсинг (D7), override `POST /coverage/baseline` (D8).
+Глобальные ADR (INV-4 merge только через Gitea API; не трогать `main`/прод) не нарушены — leaf
+только мерит/читает/пишет/решает.
+
+**3. Качество кода — PASS.**
+Docstrings на всех публичных функциях; never-raise контракт выдержан последовательно (все
+внешние границы обёрнуты, исключение не всплывает в `advance_stage`); единый frontmatter-контракт
+переиспользован (нет дублирования парс-логики); тесты содержательные (режимы/границы/epsilon,
+ratchet up-only + bootstrap + per-repo изоляция, fail-open/closed, never-raise, write/read-back
+отчёта, self-hosting AST-инвариант, интеграция в `advance_stage` с откатом+release lease).
+Фикс `sys.executable` вместо bare `python` (коммит `8cd7c20`) корректен — pytest-cov живёт в
+интерпретаторе орка. Нет утечек/security-дыр; измерение offline. Замечание (не finding):
+синхронный `pytest --cov` в hot-path `advance_stage` (тайм-аут `coverage_run_timeout_s=900`)
+наследует established-паттерн merge-gate re-test/security-gate — нового класса риска не вводит.
+
+**4. Документация — см. раздел «Документация» выше (P0-условие выполнено; обзорные доки N/A).**
+
+**Трассировка маркеров (TRACEABILITY).** Правки рядом с маркерами `ORCH-022`/`ORCH-043`/`ORCH-058`
+в `advance_stage` — аддитивная врезка между merge-gate и image-freshness; инварианты соседних
+под-гейтов не сломаны (release-lease зеркалит image-freshness rollback, merge через Gitea API
+не тронут). Врезка в `_handle_merge_verify` (ORCH-071/073) — never-raise best-effort ratchet,
+SHA-in-main choke-point не изменён. Чужие артефакты не повреждены (восстановлена запись ORCH-095).

docs/work-items/ORCH-027/13-test-report.md

@@ -0,0 +1,76 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-027
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-027
+---
+
+# Test Report — ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Branch: **feature/ORCH-027-code-coverage** · Стадия: testing
+Предусловие: `12-review.md` → `verdict: APPROVED` ✅ (проверено).
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8)
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-027-code-coverage` (HEAD `619fd0c`)
+- Дата: 2026-06-10
+
+## Smoke API (read-only)
+| Endpoint | Результат |
+|----------|-----------|
+| `GET /health` | PASS — `{"status":"ok","service":"orchestrator"}` |
+| `GET /status` | PASS — активные задачи отдаются, ORCH-027 в `testing` |
+| `GET /queue` | PASS — блоки `serial_gate` (ORCH-088) **и** `auto_labels` присутствуют в payload; добавлен read-only блок `coverage`-наблюдаемости по ТЗ FR-7 (через общий снапшот) |
+
+`serial_gate.per_repo.orchestrator.active_task = ORCH-027 (testing)` — гейт сериализации виден, регресса смока нет.
+
+## Результаты — покрытие ТЗ (каждый TC из 04-test-plan.yaml ↔ AC из 03-acceptance-criteria.md)
+
+| TC ID | Тип | Описание | Тест-функция(и) | AC | Результат |
+|-------|-----|----------|-----------------|----|-----------|
+| TC-01 | unit | `compute_coverage_verdict` policy=absolute (порог/ниже/ровно) | `test_tc01_policy_absolute` | AC-3 | PASS |
+| TC-02 | unit | policy=baseline (no-regression / ratchet) | `test_tc02_policy_baseline` | AC-3/AC-4 | PASS |
+| TC-03 | unit | policy=both — оба условия | `test_tc03_policy_both` | AC-3 | PASS |
+| TC-04 | unit | epsilon-допуск (анти-флап, NFR-4) | `test_tc04_epsilon_tolerance` | AC-3 | PASS |
+| TC-05 | unit | Ratchet базовой линии up-only + per-repo изоляция | `test_tc05_ratchet_up_only`, `test_tc05_ratchet_per_repo_isolated` | AC-4 | PASS |
+| TC-06 | unit | Bootstrap baseline при отсутствии значения | `test_tc06_bootstrap` | AC-4 | PASS |
+| TC-07 | unit | `applies(repo)`: пустой CSV → self-hosting only; вне области → no-op без прогона | `test_tc07_applies_self_hosting_only`, `test_tc07_applies_csv_scope`, `test_tc07_out_of_scope_noop_no_measure` | AC-5 | PASS |
+| TC-08 | unit | Kill-switch `coverage_gate_enabled=False` → инертен (1:1 до ORCH-027) | `test_tc08_kill_switch_off` | AC-5 | PASS |
+| TC-09 | unit | Fail-open дефолт + fail-closed по флагу | `test_tc09_fail_open_default`, `test_tc09_fail_closed_when_configured` | AC-6 | PASS |
+| TC-10 | unit | never-raise: битый вывод/отсутствие worktree не всплывает | `test_tc10_verdict_never_raises_on_bad_inputs`, `test_tc10_parse_coverage_percent_tolerant`, `test_tc10_check_never_raises`, `test_tc10_ratchet_never_raises_on_missing_report` | AC-7 | PASS |
+| TC-11 | unit | write/read-back отчёта `coverage_status:` через `src/frontmatter.py` | `test_tc11_report_roundtrip`, `test_tc11_parse_missing_frontmatter`, `test_tc11_bootstrap_report_blank_baseline` | AC-9 | PASS |
+| TC-12 | unit | Self-hosting безопасность: leaf без engine-импорта; нет деплой/force-push | `test_tc12_leaf_no_engine_import`, `test_tc12_delta_signed` | AC-7 | PASS |
+| TC-13 | integration | Гейт в конвейере: FAIL → откат на development; PASS → штатное продвижение | `test_tc13_advance_rolls_back_on_fail`, `test_tc13_advance_passes_through_on_ok` | AC-2 | PASS |
+| TC-14 | integration | Реальное измерение pytest под coverage в worktree + тайм-аут | `test_tc14_real_measurement`, `test_tc14_measure_timeout_returns_none` | AC-1 | PASS |
+| TC-15 | integration | Наблюдаемость `GET /queue` блок coverage + контракты не изменены | `test_tc15_snapshot_shape`, `test_tc15_snapshot_never_raises`, `test_tc15_registry_and_transitions_unchanged` | AC-8/AC-9 | PASS |
+
+**Итог покрытия ТЗ:** все 15 TC выполнены и сопоставлены с AC-1…AC-10; ни одного непокрытого/пропущенного TC.
+
+## Вывод pytest
+
+### Целевой набор — `tests/test_coverage_gate.py`
+```
+collected 29 items
+tests/test_coverage_gate.py::test_tc01_policy_absolute PASSED
+... (29 тестов, TC-01…TC-15) ...
+tests/test_coverage_gate.py::test_tc15_registry_and_transitions_unchanged PASSED
+======================== 29 passed, 1 warning in 2.28s =========================
+```
+
+### Полный регресс — `pytest tests/ -q`
+```
+1466 passed, 1 warning in 48.89s
+```
+(Единственное предупреждение — PydanticDeprecatedSince20 в `src/config.py:8`, не связано с ORCH-027, регрессом не является.)
+
+## Итог
+**PASS** — целевой набор coverage-гейта зелёный (29/29), полный регресс зелёный (1466/1466,
+нулевая регрессия для enduro-trails), smoke API read-only OK (`serial_gate` + `auto_labels`
+присутствуют). Каждый TC из `04-test-plan.yaml` выполнен и сопоставлен с критериями приёмки.
+Задача готова к продвижению на `deploy-staging`.

docs/work-items/ORCH-027/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-027
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-027/15-staging-log.md

@@ -0,0 +1,32 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-027
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+timestamp: 2026-06-09T22:25:00Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed against the live `orchestrator-staging` stand (8501), run canonically
+inside the container (`docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py
+--base-url http://localhost:8501 --mode stub`). **Exit code 0 → SUCCESS.** All REAL pipeline checks
+passed; the only failures are the two known waived sandbox-infra checks (C9a/C9b), tolerated under
+ORCH-061 because every REAL check is green.
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Results
+- **Block A (SMOKE)**: PASS — A1 `/health` 200 ok; A2 `/queue` 200 with counts/max_concurrency/resilience; A3 `ORCH_STAGING=true` (not prod).
+- **Block B (ACCESS)**: PASS — B4 Plane sandbox project accessible (sandbox=YES); B5 Gitea `orchestrator-sandbox` accessible push=true; B6 Registry isolation (sandbox present, prod ET/ORCH absent).
+- **Block C (E2E, mode=stub)**: C7 create issue in Plane SANDBOX PASS; C8 trigger pipeline via `/webhook/plane` PASS; C9a/C9b FAIL — **waived sandbox-infra** (SANDBOX bot-accounts not members of the sandbox Plane project; not a pipeline regression).
+
+REAL failed: none.
+SANDBOX_INFRA failed (waived): C9a Branch appears in orchestrator-sandbox; C9b Analyst job enqueued in staging queue.
+
+Result: 8/10 checks PASS, exit 0. Tolerance `staging_infra_tolerance_enabled=True`. Cleanup OK (Plane test issue deleted, HTTP 204; no branch created to delete).

docs/work-items/ORCH-057/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: BUG/follow-up ORCH-040: normalize legacy root-owned файлы при миграции на uid 1000 (one-time + защита)
+
+Work Item ID: ORCH-057
+
+## Description
+
+TBD

docs/work-items/ORCH-057/01-brd.md

@@ -0,0 +1,140 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000 (one-time + защита)
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+ORCH-040 перевёл оба контейнера (`orchestrator` 8500, `orchestrator-staging` 8501) с root
+на `user: "1000:1000"` (slin). Изменён был **только** `docker-compose.yml`. Однако bind-mount
+`/home/slin/repos → /repos` уже содержал файлы и каталоги, созданные **прежним root-контейнером**
+(`root:root`). Смена `user:` владельца существующих файлов НЕ меняет.
+
+**Реальный инцидент (прод, 06.06, поймали на первом запуске ORCH-043).** Первый job под uid 1000
+упал на стадии **launch** (НЕ на коде задачи):
+
+```
+fatal: could not create leading directories of
+'/repos/_wt/orchestrator/feature_ORCH-043-.../.git': Permission denied
+```
+
+Причина: `/repos/_wt/` и старые worktree-папки = `root:root` → uid 1000 не может создать рядом
+новый каталог worktree. Установлено фактически: ошибка возникает в `src/git_worktree.py::ensure_worktree`
+(вызов `git worktree add`), куда конвейер приходит из `src/agents/launcher.py::_spawn` (стр. 500)
+и `_materialize_deferred_branch` (ORCH-088). Агент даже не стартует — падает создание worktree.
+
+**Ручной workaround (применён Стрим, прод снова рабочий, ОДНОРАЗОВО):**
+```
+sudo chown -R 1000:1000 /home/slin/repos/_wt
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git /home/slin/repos/enduro-trails/.git
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator   # +data/runs/*.log (37 root-логов)
+```
+
+ADR-001 ORCH-040 упоминал «массовый chown старых root-файлов» лишь абстрактно («вне объёма кода»,
+«разовая операция Owner») и НЕ дал конкретной процедуры чистки legacy worktree — поэтому deployer
+её не выполнил, и баг проявился в проде. Прод сейчас рабочий (ручной фикс наложен), но проблема
+**воспроизведётся** на чистой среде, новом репо или после любого исторического запуска под root,
+если её не закрыть кодом + процедурой.
+
+**Это follow-up / закрытие недоделанного AC ORCH-040** (legacy-файлы), а не новая фича.
+
+## 2. Объём (scope)
+
+### В объёме
+- **Защита launcher (код):** при `Permission denied` на создании worktree выдавать **внятную,
+  диагностируемую** ошибку «legacy root-файлы в `/repos/_wt` — требуется нормализация прав»
+  с указанием команды, а НЕ сырой `git fatal`.
+- **Раннее обнаружение (код):** детектирование наличия файлов с `uid != <target_uid>` в
+  `ORCH_REPOS_DIR` (включая `_wt`, `.git/objects`, `.git/worktrees`, `data/runs`) при старте
+  контейнера / перед претензией на job — чтобы конвейер падал **внятно и заранее**, а не сырым
+  git-фаталом на launch.
+- **Процедура нормализации (документация):** в `docs/operations/INFRA.md` (и собственный ADR
+  ORCH-057) — обязательная одноразовая процедура нормализации legacy root-файлов при миграции uid,
+  с точными командами и областью охвата (`_wt`, `.git`, `data/runs`).
+- **Опционально (по решению архитектора):** механизм one-time нормализации при буте/деплое —
+  init-контейнер/хук под root, либо blocking-entrypoint-проверка.
+
+### Вне объёма
+- Изменение логики конвейера, `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, схемы БД.
+- Пересмотр самого решения ORCH-040 (uid 1000) — оно принято и остаётся.
+- Перенос инстанса на другой хост / другой uid (отдельная задача при миграции хоста).
+- Массовая ретроактивная переработка ADR-001 ORCH-040 (его история не переписывается;
+  допускается forward-breadcrumb-ссылка на ORCH-057 — решает архитектор).
+- Выбор конкретного варианта реализации one-time нормализации (a/b/в) — зона архитектора (06-adr).
+
+## 3. Заинтересованные стороны
+
+- **Заказчик / Owner** — Слава (homenet542), инициатор; принимает результат.
+- **Эксплуатация** — Стрим (применял ручной workaround); потребитель процедуры в INFRA.md.
+- **Затронутые проекты** — `orchestrator` (self-hosting) и `enduro-trails` (общий инстанс, общая
+  очередь, общий bind-mount `/repos`): нормализация прав `/repos` касается обоих репо.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1** — После миграции контейнера на новый uid конвейер запускается **без ручного `chown`**:
+  либо авто-нормализация прав, либо **явная блокирующая ошибка с инструкцией** (никогда не сырой
+  `git fatal` на launch).
+- **BR-2** — На свежей среде / новом репо / после исторического запуска под root проблема
+  **не воспроизводится** (детект + понятная диагностика срабатывают до падения агента).
+- **BR-3** — `INFRA.md` и ADR содержат **конкретную процедуру** нормализации legacy root-файлов
+  (точные команды, область: `_wt`, `.git/objects`, `.git/worktrees`, `data/runs`), помеченную как
+  обязательный шаг миграции uid.
+- **BR-4** — Несоответствие владельца наблюдаемо: оператор узнаёт о проблеме из лога/уведомления/
+  read-only статуса, а не по падению задачи на launch.
+- **BR-5** — Защита `ensure_worktree` распознаёт класс ошибки «нет прав на создание worktree» и
+  сообщает причину + лечащую команду (опц. — авто-самолечение, если процесс имеет права).
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 (self-hosting безопасность)** — Решение **никогда** не перезапускает/не роняет
+  прод-контейнер `orchestrator`, не трогает `main`/force-push/прод-образ. Контейнер бежит под
+  uid 1000 (без root) → код **не может** делать `chown` без root; код ограничивается
+  детектом + внятной диагностикой/блокировкой, а фактический `chown` — операторская/init-процедура.
+- **NFR-2 (общий инстанс)** — Нулевая регрессия для `enduro-trails`: feature под kill-switch и
+  scope-флагом (по образцу `serial_gate`/`coverage_gate`); выключено → поведение 1:1 как до ORCH-057.
+- **NFR-3 (never-raise / fail-safe)** — Детект-леаф никогда не бросает наружу неожиданное исключение
+  и не блокирует старт сервиса по своей ошибке; деградирует в WARNING.
+- **NFR-4 (идемпотентность)** — Повторный запуск детекта/нормализации на уже корректной среде —
+  no-op без побочных эффектов.
+- **NFR-5 (обратимость)** — Поведение откатывается выключением kill-switch без миграций/правки схемы.
+- **NFR-6 (наблюдаемость)** — Вердикт (есть/нет mismatch, сколько файлов, какие корни) логируется
+  структурно; при проблеме — Telegram с кликабельным номером задачи (если применимо) + read-only
+  отражение в `GET /queue`.
+
+## 6. Допущения и ограничения
+
+- Целевой uid:gid рантайма = `1000:1000` (slin), подтверждён ORCH-040 (P-3); на хосте `/repos`,
+  `/app/data` штатно `1000:1000`.
+- Контейнер бежит под numeric uid 1000 без записи в `/etc/passwd` базового образа; в образе создан
+  реальный user `slin` (uid 1000) для `getpwuid()` (ORCH-058, Dockerfile). Под uid 1000 `chown`
+  чужих (root) файлов **невозможен** без CAP_CHOWN/root.
+- `git config --system --add safe.directory '*'` уже в образе — git доверяет bind-mount.
+- Корни проверки: `ORCH_REPOS_DIR` (`/repos`), включая `_wt`, `<repo>/.git/objects`,
+  `<repo>/.git/worktrees`, и `data/runs` (37 root-логов в инциденте).
+- `start_pipeline` (ORCH-088) отложил срез ветки на момент claim analyst-job → детект уместен
+  и на старте сервиса, и перед claim'ом (точку выбирает архитектор).
+
+## 7. Критерии успеха
+
+После миграции uid (или на чистой среде) первый же job проходит launch без ручного `chown`, либо —
+если права не нормализованы — конвейер выдаёт **понятную блокирующую диагностику** с командой
+исправления вместо сырого `git fatal`. INFRA.md/ADR содержат воспроизводимую процедуру.
+Для `enduro-trails` — нулевая регрессия. Детальные PASS/FAIL — в `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- Контейнер без root не может `chown` → авто-самолечение возможно только частично/при наличии прав;
+  основной гарант — детект+диагностика+процедура (детали — `10-tech-risks.md`, архитектор).
+- Рекурсивный обход больших `.git/objects` / `_wt` может быть дорог → нужен дешёвый/семплированный
+  детект и кэш (как preflight TTL).
+- Ложно-блокирующая ошибка может застопорить и enduro-trails (общий `/repos`) → строгий scope/fail-safe.
+- Правка `docker-compose.yml`/entrypoint (init-контейнер) = деплой self → групповой риск (NFR-1),
+  обязательная страховка staging.

docs/work-items/ORCH-057/02-trz.md

@@ -0,0 +1,117 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование/выбор варианта one-time нормализации (init-контейнер vs blocking-entrypoint
+> vs ансибл) — задача архитектора (`06-adr/`). Здесь — требования, контракты и ограничения.
+
+## 1. Сводка изменения
+
+Закрыть недоделанный AC ORCH-040 по legacy-файлам. Три слоя:
+1. **Защита launcher** — `ensure_worktree` распознаёт `Permission denied`/git-fatal на создании
+   worktree и поднимает **внятную** ошибку с диагнозом «legacy root-файлы в `/repos/_wt` — нужна
+   нормализация прав» + лечащая команда (опц. авто-самолечение при наличии прав).
+2. **Ранний детект** — новый чистый леаф находит файлы с `uid != target_uid` в `ORCH_REPOS_DIR`
+   (`_wt`, `.git/objects`, `.git/worktrees`, `data/runs`); вызывается на старте сервиса и/или перед
+   claim'ом job; never-raise, config-gated, с наблюдаемостью.
+3. **Процедура** — `INFRA.md` + ADR ORCH-057: точные команды разовой нормализации как обязательный
+   шаг миграции uid. Опционально — one-time нормализация под root через init-механизм (решает архитектор).
+
+Инвариант: `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict-ключи / схема БД —
+**байт-в-байт прежние**. Изменение аддитивно и обратимо kill-switch'ем.
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие |
+|------|----------|
+| `src/git_worktree.py` (`ensure_worktree`, `remove_worktree`) | изменить — классификация `Permission denied`/git-fatal на `git worktree add` / `os.makedirs` → внятный actionable `RuntimeError` (опц. self-heal при правах) |
+| `src/fs_normalize.py` | **создать** — чистый леаф (never-raise): `scan_ownership(roots, target_uid) -> результат`; опц. `normalize(...)` (chown только при наличии прав); хелпер `applies(repo)` + кэш (TTL, как preflight) |
+| `src/config.py` | изменить — добавить флаги (см. §7); без правки существующих значений |
+| `src/main.py` (`lifespan`) | изменить — добавить startup-вызов детекта (best-effort, never-fatal по образцу L-2/lease-reclaim), лог + Telegram при mismatch; read-only блок в `GET /queue` |
+| `src/preflight.py` **или** `src/queue_worker.py` | изменить (на выбор архитектора) — опц. гейт claim'а job при обнаруженном mismatch, чтобы падать внятно ДО launch (по образцу preflight-гейта) |
+| `docker-compose.yml` / `Dockerfile` / `scripts/*entrypoint*` | **кандидат** (решает архитектор) — one-time root-нормализация (init-контейнер/хук) ПЕРЕД стартом app; если выбрано — деплой self, обязательная staging-страховка |
+| `docs/operations/INFRA.md` | изменить — раздел «Миграция uid: обязательная нормализация legacy root-файлов» (команды + область) |
+| `docs/work-items/ORCH-057/06-adr/ADR-001-*.md` | создать (architect) — решение + процедура; опц. forward-breadcrumb из ADR-001 ORCH-040 (без переписывания истории) |
+| `CHANGELOG.md` | изменить — запись о ORCH-057 |
+| `tests/test_*` | создать — см. `04-test-plan.yaml` |
+
+## 3. Функциональные требования
+
+### FR-1 — Внятная ошибка `ensure_worktree` (BR-1, BR-5)
+При неуспехе `git worktree add` / `os.makedirs(os.path.dirname(wt))` по причине отказа доступа
+(`Permission denied`, `could not create leading directories`, `insufficient permission for adding an
+object`) `ensure_worktree` поднимает `RuntimeError` с сообщением, которое: (а) называет корневую
+причину (legacy root-owned файлы в `/repos/_wt` или `.git` после миграции uid ORCH-040); (б) указывает
+лечащую команду (`chown -R <uid>:<gid> …`) или ссылку на процедуру INFRA.md; (в) НЕ является сырым
+git stderr. Прочие (нет-прав-несвязанные) ошибки сохраняют текущий контракт (никакой подмены смысла).
+
+### FR-2 — Детект несоответствия владельца (BR-2, BR-4)
+Леаф `fs_normalize.scan_ownership` обходит корни (`/repos/_wt`, `<repo>/.git/objects`,
+`<repo>/.git/worktrees`, `data/runs`) и возвращает: есть ли файлы с `uid != target_uid`, их число
+(или флаг «≥1»), список затронутых корней. Обход дешёвый/ограниченный (ранний выход при первом
+mismatch для быстрого вердикта; полный подсчёт — опционально/семплировано). Результат кэшируется по
+TTL (по образцу `preflight._cache`). `target_uid` = `os.getuid()` или конфиг (дефолт 1000).
+
+### FR-3 — Реакция на детект (BR-1, BR-4)
+- **Startup (main.lifespan):** вызвать детект best-effort; при mismatch — структурный WARNING +
+  Telegram (если включён) с числом/корнями и лечащей командой. Никогда не падать на старте по
+  ошибке детекта (NFR-3).
+- **Опц. гейт claim'а:** при обнаруженном mismatch и `target_uid` без прав на chown — не претендовать
+  на job (или претендовать и сразу честно фейлить с FR-1-сообщением), чтобы исход был внятным до launch.
+  Конкретную точку (preflight vs queue_worker) выбирает архитектор; требование — «внятно и заранее».
+
+### FR-4 — Опциональная авто-нормализация (BR-1)
+`fs_normalize.normalize` выполняет `chown -R target_uid:target_gid` по корням **только если процесс
+имеет на это право** (CAP_CHOWN/root). Под uid 1000 без прав — no-op + честный лог «нужна операторская
+процедура» (НЕ ошибка). Включается отдельным флагом (`*_AUTO`), по умолчанию — выкл (детект-only).
+Если архитектор выбирает init-контейнер под root — это и есть носитель FR-4 на буте.
+
+### FR-5 — Документированная процедура (BR-3)
+`INFRA.md` получает раздел с точными командами разовой нормализации (`_wt`, оба `.git`, `data/runs`),
+помеченный как **обязательный** шаг миграции uid и часть чеклиста деплоя self. ADR ORCH-057 фиксирует
+решение и ссылается на процедуру; ADR-001 ORCH-040 опц. получает forward-ссылку.
+
+## 4. Изменения API
+
+Нет новых обязательных эндпоинтов. **Опционально** (наблюдаемость, решает архитектор):
+- расширить `GET /queue` read-only блоком `fs_ownership` (`{enabled, target_uid, mismatch, roots, checked_at}`);
+- ручной триггер `POST /fs-normalize/check` (форс-пересчёт детекта) — по образцу `POST /serial-gate/unfreeze`.
+
+## 5. Изменения схемы БД
+
+Нет. Состояние детекта — в памяти (TTL-кэш), как `preflight`. Таблицы/миграции/индексы не вводятся.
+
+## 6. Требования к новым/изменённым QG checks
+
+Нет. Это **не** stage-гейт и **не** под-гейт ребра. `QG_CHECKS` / `check_*` / `STAGE_TRANSITIONS` /
+machine-verdict-ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/
+`coverage_status:`) — не трогаются. (В описании баг-репорта «deploy-гейт ORCH-040» — это деплой-хук/
+процедура, а не зарегистрированный QG.)
+
+## 7. Совместимость / регресс
+
+- **Kill-switch** `ORCH_FS_NORMALIZE_ENABLED` (дефолт по решению архитектора; `False` → весь код инертен,
+  поведение 1:1 как до ORCH-057).
+- **Scope** `ORCH_FS_NORMALIZE_REPOS` (CSV; пусто → **self-hosting only**, как `coverage_gate_repos` →
+  enduro-trails не затронут). Локальный `applies(repo)` проверяется ПЕРВЫМ (дешёвый обход только при applies).
+- **Флаги** (рабочие имена, финал — за архитектором): `ORCH_FS_TARGET_UID` (дефолт 1000),
+  `ORCH_FS_NORMALIZE_AUTO` (дефолт `False` — детект-only; `True` → попытка chown при наличии прав),
+  `ORCH_FS_SCAN_ROOTS` (CSV переопределения корней), `ORCH_FS_SCAN_CACHE_TTL_S`.
+- **Never-raise / fail-safe** — ошибка детекта/нормализации деградирует в WARNING, не блокирует старт
+  сервиса по своей вине; FR-1 меняет лишь **формулировку** ошибки worktree, не её факт.
+- **Self-hosting** (NFR-1) — код только читает/детектит/диагностирует (и chown ТОЛЬКО при наличии прав);
+  не деплоит/не рестартит прод/не трогает `main`. Любое касание `docker-compose.yml`/entrypoint требует
+  staging-прогона (8501) перед прод-рестартом в окно тишины.
+- **Обратимость** — выкл kill-switch → прежнее поведение; миграций/правки схемы нет.
+- **Пайплайн-артефакты:** обновляются `01..04` (analysis), `06-adr/`+`07-infra-requirements.md`+`10-tech-risks.md`
+  (architecture), `12/13/15/14` (review/testing/staging/deploy), `INFRA.md`, `CHANGELOG.md`.

docs/work-items/ORCH-057/03-acceptance-criteria.md

@@ -0,0 +1,99 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-057 — нормализация legacy root-owned файлов
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам репозитория.
+
+---
+
+## AC-1 — Конвейер стартует без ручного chown (или внятная блокирующая ошибка)
+
+**Условие:** после миграции контейнера на новый uid первый job не падает сырым git-фаталом на launch.
+- **PASS:** при нормализованных правах worktree создаётся и агент стартует; при НЕнормализованных
+  правах конвейер выдаёт понятную блокирующую ошибку с диагнозом и лечащей командой (НЕ сырой
+  `fatal: could not create leading directories … Permission denied`).
+- **FAIL:** на launch всплывает сырой git-fatal/Permission denied без диагноза причины и инструкции.
+
+---
+
+## AC-2 — `ensure_worktree` даёт actionable-ошибку при отказе доступа
+
+**Условие:** `src/git_worktree.py::ensure_worktree` классифицирует ошибки прав.
+- **PASS:** при `Permission denied`/`could not create leading directories`/`insufficient permission`
+  поднимается `RuntimeError`, текст которого называет причину (legacy root-файлы в `/repos/_wt`/`.git`
+  после миграции uid) и указывает команду/ссылку на процедуру; ошибки, не связанные с правами,
+  сохраняют прежний контракт.
+- **FAIL:** сырой git stderr пробрасывается без диагноза; либо подменяется смысл не-прав-ошибок;
+  либо `ensure_worktree` падает необработанно.
+
+---
+
+## AC-3 — Детект несоответствия владельца
+
+**Условие:** новый леаф `src/fs_normalize.py` обнаруживает файлы с `uid != target_uid` в корнях
+(`/repos/_wt`, `<repo>/.git/objects`, `<repo>/.git/worktrees`, `data/runs`).
+- **PASS:** на среде с root-файлами `scan_ownership` возвращает mismatch=True + затронутые корни;
+  на чистой (`1000:1000`) среде — mismatch=False (no-op, идемпотентно); леаф never-raise.
+- **FAIL:** mismatch не обнаружен на грязной среде / ложный mismatch на чистой / леаф бросает наружу.
+
+---
+
+## AC-4 — Наблюдаемость детекта
+
+**Условие:** результат детекта виден оператору без падения задачи.
+- **PASS:** при mismatch — структурный лог-WARNING (число/корни/лечащая команда) и Telegram (если
+  включён); опц. read-only отражение в `GET /queue`.
+- **FAIL:** mismatch обнаружен, но никак не сообщён; оператор узнаёт о проблеме только по упавшей задаче.
+
+---
+
+## AC-5 — Self-hosting безопасность и нулевая регрессия enduro-trails
+
+**Условие:** изменение безопасно для общего инстанса.
+- **PASS:** код не рестартит/не роняет прод, не трогает `main`/force-push/прод-образ; chown — только
+  при наличии прав; при выключенном kill-switch поведение 1:1 как до ORCH-057; при пустом scope-CSV
+  feature активен только для self-hosting (enduro-trails не затронут); регресс `pytest tests/ -q` зелёный.
+- **FAIL:** любой рестарт/деградация прода из кода задачи; ненулевая регрессия enduro-trails;
+  поведение меняется при выключенном флаге; падение всего регресса.
+
+---
+
+## AC-6 — Инварианты конвейера сохранены
+
+**Условие:** изменение аддитивно.
+- **PASS:** `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, machine-verdict-ключи и схема БД —
+  байт-в-байт прежние; новые флаги аддитивны и обратимы.
+- **FAIL:** затронут любой exit/под-гейт, изменён machine-key, добавлена миграция схемы.
+
+---
+
+## AC-7 — Документированная процедура нормализации
+
+**Условие:** процедура воспроизводима.
+- **PASS:** `INFRA.md` содержит раздел «Миграция uid: обязательная нормализация legacy root-файлов»
+  с точными командами (`_wt`, оба `.git`, `data/runs`) как обязательный шаг миграции; ADR ORCH-057
+  фиксирует решение и ссылается на процедуру.
+- **FAIL:** процедура отсутствует/абстрактна (как было в ORCH-040) либо не покрывает все корни.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1, FR-3 |
+| AC-2 | BR-1, BR-5 / FR-1 |
+| AC-3 | BR-2 / FR-2 |
+| AC-4 | BR-4 / FR-3 |
+| AC-5 | NFR-1, NFR-2, NFR-5 / FR-4 |
+| AC-6 | NFR-5 (инварианты) |
+| AC-7 | BR-3 / FR-5 |

docs/work-items/ORCH-057/04-test-plan.yaml

@@ -0,0 +1,92 @@
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+title: "Нормализация legacy root-owned файлов при миграции на uid 1000 (детект + защита worktree)"
+framework: pytest
+scope: >
+  Покрывается: классификация ошибки прав в ensure_worktree (внятная actionable-ошибка),
+  детект несоответствия владельца (fs_normalize.scan_ownership), идемпотентность на чистой среде,
+  fail-safe/never-raise, scope/kill-switch (self-hosting only при пустом CSV), опц. self-heal-noop
+  без прав. ВНЕ покрытия: реальный chown под root (требует привилегий — проверяется на staging
+  вручную), правка docker-compose/entrypoint (инфра, ручная проверка на 8501).
+notes: >
+  Все FS-зависимые тесты используют tmp_path и monkeypatch os.getuid/os.stat — без реального chown
+  и без записи в /repos. Telegram/Plane мокаются. Полный регресс tests/ должен оставаться зелёным;
+  STAGE_TRANSITIONS/QG_CHECKS/схема БД не затрагиваются — отдельные guard-тесты не требуются, но
+  существующие тесты на инварианты должны пройти без изменений.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "ensure_worktree при git-fatal 'could not create leading directories / Permission denied' поднимает RuntimeError с диагнозом legacy-root + лечащей командой, а не сырой git stderr"
+    module: tests/test_git_worktree_perm.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "ensure_worktree при ошибке, НЕ связанной с правами (например branch conflict), сохраняет прежний контракт сообщения (не подменяет смысл)"
+    module: tests/test_git_worktree_perm.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "scan_ownership на дереве с файлом uid != target_uid возвращает mismatch=True и список затронутых корней"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "scan_ownership на чистом дереве (все файлы target_uid) возвращает mismatch=False (идемпотентный no-op)"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "scan_ownership never-raise: при недоступном/несуществующем корне деградирует в WARNING и не бросает наружу"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "applies(repo): пустой ORCH_FS_NORMALIZE_REPOS → True только для self-hosting репо (orchestrator), False для enduro-trails; непустой CSV — по списку"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "kill-switch ORCH_FS_NORMALIZE_ENABLED=False → scan/normalize инертны (no-op), поведение 1:1 как до ORCH-057"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "normalize без прав (uid 1000, чужие root-файлы, ORCH_FS_NORMALIZE_AUTO=True) → no-op + честный лог 'нужна операторская процедура', НЕ исключение"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "TTL-кэш детекта: повторный вызов в окне TTL не пере-сканирует дерево (по образцу preflight._cache); force/reset инвалидирует"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-10
+    type: integration
+    description: "startup-хук lifespan при mismatch вызывает send_telegram (мок) и логирует WARNING; при ошибке детекта старт сервиса не падает (never-fatal)"
+    module: tests/test_fs_normalize_startup.py
+    expected: PASS
+
+  - id: TC-11
+    type: integration
+    description: "опц. гейт claim'а: при обнаруженном mismatch без прав исход job внятный (FR-1-сообщение / не-claim) ДО launch, а не сырой git-fatal"
+    module: tests/test_fs_normalize_startup.py
+    expected: PASS
+
+  - id: TC-12
+    type: integration
+    description: "GET /queue (если реализован read-only блок fs_ownership) отдаёт {enabled,target_uid,mismatch,roots,checked_at} и не 5xx-ит при выключенном флаге"
+    module: tests/test_api_queue.py
+    expected: PASS

docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md

@@ -0,0 +1,210 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Нормализация legacy root-owned файлов при миграции на uid 1000 — детект + actionable-ошибка + процедура
+
+Work Item: **ORCH-057** — follow-up ORCH-040 (legacy `root:root` файлы в `/repos` ломают создание worktree под uid 1000)
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`** (новый
+leaf-компонент + startup-поведение, затрагивает весь инстанс → кросс-каттинг).
+
+## Статус
+Proposed
+
+## Контекст
+
+ORCH-040 перевёл оба контейнера на `user: "1000:1000"`, изменив **только** `docker-compose.yml`.
+Смена `user:` не меняет владельца уже существующих файлов, созданных прежним root-контейнером.
+Bind-mount `/home/slin/repos → /repos` содержал `root:root` каталоги (`_wt/`, старые worktree,
+`.git/objects`, `data/runs` — 37 root-логов).
+
+**Сверено по коду:**
+- `src/git_worktree.py::ensure_worktree` (стр. 78 `os.makedirs(os.path.dirname(wt))`, стр. 81/85
+  `git worktree add`) — точка реального падения. При `root:root` владельце `/repos/_wt/` uid 1000
+  не может создать рядом новый каталог worktree → `fatal: could not create leading directories …
+  Permission denied`. Сейчас этот stderr пробрасывается «сырым» в `RuntimeError` (стр. 90–93) без
+  диагноза причины.
+- Конвейер приходит сюда из `src/agents/launcher.py::_spawn` и `_materialize_deferred_branch`
+  (ORCH-088, отложенный срез ветки на момент claim analyst-job). **Агент не стартует** — падает
+  создание worktree (НЕ код задачи), т.е. это launch-time инфраструктурный сбой.
+- Контейнер бежит под numeric uid 1000 **без root** (ORCH-040 P-3, ORCH-058 реальный user `slin`
+  в образе). Под uid 1000 `chown` чужих (root) файлов **невозможен** без `CAP_CHOWN`. Значит код
+  физически не может «починить» права сам — ему доступны только **детект + диагностика**, а
+  фактический `chown` — операторская процедура.
+- ADR-001 ORCH-040 упоминал «массовый chown старых root-файлов» лишь абстрактно («вне объёма кода»,
+  «разовая операция Owner») и не дал конкретной процедуры → deployer её не выполнил → баг проявился
+  в проде 06.06 на первом запуске ORCH-043. Прод сейчас рабочий (ручной workaround Стрима наложен),
+  но проблема **воспроизводится** на чистой среде / новом репо / после любого исторического запуска
+  под root.
+
+Это **закрытие недоделанного AC ORCH-040**, а не новая фича. Существующие гейты/паттерны для опоры:
+условный leaf-гейт `coverage_gate`/`serial_gate` (kill-switch + scope + `is_self_hosting_repo`),
+best-effort startup-хуки в `main.lifespan` (lease-reclaim, log-rotation — never-fatal),
+read-only снимки `GET /queue` (`serial_gate.snapshot()`), TTL-кэш `preflight._cache`.
+
+## Решение
+
+### Сводка
+Три аддитивных, обратимых kill-switch'ем слоя, **без** изменения `STAGE_TRANSITIONS` / `QG_CHECKS` /
+`check_*` / machine-verdict-ключей / схемы БД:
+
+1. **Actionable-ошибка** в `ensure_worktree` — класс «нет прав на создание worktree» распознаётся и
+   превращается в диагностируемый `RuntimeError` с причиной + лечащей командой (FR-1).
+2. **Детект-леаф** `src/fs_normalize.py` — чистый, never-raise, TTL-кэшируемый обход корней, ищет
+   файлы с `uid != target_uid` (FR-2); вызывается best-effort на старте сервиса с наблюдаемостью
+   (FR-3).
+3. **Операторская процедура** в `INFRA.md` + forward-breadcrumb из ADR-040 — точные команды разовой
+   нормализации как обязательный шаг миграции uid (FR-5).
+
+Фактический `chown` остаётся **операторской процедурой** (NFR-1: код под uid 1000 без root его делать
+не может и не должен).
+
+### D1 — `ensure_worktree`: классификация отказа доступа (FR-1, AC-1, AC-2)
+Оборачиваем **обе** точки сбоя по правам — `os.makedirs(os.path.dirname(wt))` (стр. 78) и оба
+`git worktree add` (стр. 81/85). Класс «нет прав» детектируется по маркерам в `stderr`/исключении:
+`Permission denied`, `could not create leading directories`, `insufficient permission for adding an
+object`, `PermissionError` (errno `EACCES`/`EPERM`). При совпадении — `RuntimeError`, текст которого:
+(а) называет корневую причину («legacy root-owned файлы в `/repos/_wt` или `.git` после миграции uid
+ORCH-040»); (б) указывает лечащую команду (`chown -R <target_uid>:<gid> /repos/_wt …`) и ссылку на
+раздел INFRA.md; (в) **не** является сырым git stderr.
+
+**Инвариант контракта (AC-2 FAIL-условие):** ошибки, **не** связанные с правами (реальный git-конфликт,
+отсутствие `origin/main`, таймаут), сохраняют **прежний** текст/смысл — никакой подмены. Классификатор —
+чистая функция `classify_worktree_error(stderr_or_exc) -> bool` (или хелпер в `fs_normalize`),
+покрытая юнит-тестами на обе ветки. Помощь-сообщение строится только при `True`. Это **меняет лишь
+формулировку** ошибки, не её факт (NFR-3): worktree как падал, так и падает — но теперь внятно.
+
+### D2 — Детект-леаф `src/fs_normalize.py` (FR-2, AC-3)
+Новый чистый модуль по образцу `serial_gate`/`post_deploy` (импортирует только `config`/`logging`/
+`os`/`pwd`; не тянет `stage_engine`/`launcher`). API:
+
+- `scan_ownership(roots: list[str] | None = None, target_uid: int | None = None) -> OwnershipScan` —
+  обходит корни, возвращает `{mismatch: bool, target_uid: int, roots_checked: list, roots_mismatch:
+  list, sample_path: str | None, count: int | None, checked_at: float}`.
+- **`target_uid`** по умолчанию = `os.getuid()` (uid, под которым реально бежит процесс — ровно тот
+  субъект, что «не может создать файл»); переопределяется `fs_target_uid` (дефолт 1000) для тестов/
+  нестандартного рантайма.
+- **Корни** по умолчанию: `/repos/_wt`, `<repo>/.git/objects`, `<repo>/.git/worktrees` (для репо из
+  скоупа), `data/runs` (`os.path.dirname(settings.db_path)/runs`). Переопределяемы `fs_scan_roots`
+  (CSV).
+- **Дешевизна (риск стоимости обхода):** **ранний выход при первом mismatch** (для быстрого булева
+  вердикта `os.lstat(...).st_uid != target_uid`). Полный `count` — опционален/семплирован (отдельный
+  дешёвый режим, по умолчанию выключен), чтобы не обходить целиком большие `.git/objects`. Результат
+  **кэшируется по TTL** `fs_scan_cache_ttl_s` (паттерн `preflight._cache`, `force=` обходит кэш).
+- **never-raise (NFR-3):** любая ошибка обхода (исчезнувший путь, отказ stat) → деградирует в WARNING
+  и консервативный вердикт `mismatch=False` (не блокирует и не паникует); идемпотентно (AC-3:
+  повторный скан на чистой среде — `mismatch=False`, no-op).
+- **`applies(repo: str) -> bool`** — `fs_normalize_enabled` (kill-switch) И scope (`fs_normalize_repos`
+  CSV; пусто → `is_self_hosting_repo(repo)`, как `coverage_gate`); проверяется **ПЕРВЫМ**, дорогой
+  обход — только при `applies==True` (NFR-2: enduro-trails не сканируется при пустом CSV).
+- **`snapshot() -> dict`** — read-only для `GET /queue`.
+
+### D3 — Точка интеграции: startup-наблюдаемость, БЕЗ блокировки claim (FR-3 — разрешение открытого выбора TRZ)
+TRZ §2 оставил архитектору выбор «preflight vs queue_worker» для опц. гейта claim'а. **Решение:
+claim НЕ блокируем.**
+
+- **Startup (`main.lifespan`):** best-effort вызов `scan_ownership()` рядом с lease-reclaim/log-rotation
+  (стр. 63–90), обёрнут `try/except` (never-fatal). При `mismatch` — структурный WARNING (число/корни/
+  лечащая команда) + Telegram (если включён). Это даёт оператору **проактивный сигнал заранее**
+  (AC-4), не дожидаясь падения задачи.
+- **«Внятно и заранее» обеспечивает D1, а не claim-гейт.** `ensure_worktree` знает `repo` и падает
+  до того, как агент потратит хоть один токен (агент не стартует). Это и есть требуемый ранний внятный
+  исход.
+
+**Почему НЕ блокирующий claim-гейт (отвергнуто):**
+- `preflight.check()` **не знает repo** и гейтит claim **всех** репо → при mismatch в общем `/repos/_wt`
+  заблокировал бы и enduro-trails (нарушение NFR-2 при включённом флаге). Сделать его scope-aware
+  внутри preflight нельзя без знания репо в точке вызова.
+- Гейт в `queue_worker`/`db.claim_next_job` (как `serial_gate`) технически scope-aware, но: (1)
+  оставил бы задачу «молча висеть» в очереди вместо явного диагноза; (2) добавил бы дорогой FS-обход
+  в offline hot-path claim'а; (3) дублировал бы исход, который D1 уже даёт внятно. Лишняя поверхность
+  без выигрыша.
+
+Итог: **детект = наблюдаемость (startup + опц. ручной POST), а внятный отказ = D1 в точке launch.**
+
+### D4 — Опциональная авто-нормализация `normalize()` (FR-4) — не init-контейнер
+`fs_normalize.normalize(roots, target_uid)` выполняет `os.chown`/`chown -R` по корням **только если
+процесс имеет `CAP_CHOWN`/root**. Под uid 1000 без прав — **no-op + честный лог** «нужна операторская
+процедура» (НЕ ошибка). Включается отдельным флагом `fs_normalize_auto` (дефолт `False` — детект-only).
+
+**Init-контейнер/root-entrypoint отвергнут (см. Альтернативы):** он (а) реинтродуцирует root-контекст,
+ровно который ORCH-040 убрал ради безопасности; (б) требует правки `docker-compose.yml`/entrypoint →
+**self-deploy** с групповым риском (NFR-1) и обязательной staging-страховкой ради разовой задачи;
+(в) discretionary по BRD §2 «Опционально». Носитель реальной нормализации — **документированная
+операторская процедура** (D5), запускаемая под root **на хосте** один раз при миграции uid.
+
+### D5 — Процедура в INFRA.md + forward-breadcrumb (FR-5, AC-7)
+В `docs/operations/INFRA.md` (раздел «Рантайм-uid (ORCH-040)») добавляется подраздел **«Миграция uid:
+обязательная нормализация legacy root-файлов»** с точными командами, покрывающими **все** корни
+(`_wt`, оба `.git`, `data/runs`), помеченный как **обязательный** шаг миграции uid и пункт чеклиста
+деплоя self. Существующий абстрактный буллет (стр. 50–51) заменяется ссылкой на новый подраздел.
+В ADR-040 — необязательный forward-breadcrumb на ORCH-057 (история ORCH-040 не переписывается, §2 BRD).
+
+### D6 — Конфиг-флаги (TRZ §7) и наблюдаемость
+Аддитивно в `src/config.py` (существующие значения не трогаются):
+
+| Флаг (env) | Дефолт | Смысл |
+|------------|--------|-------|
+| `fs_normalize_enabled` (`ORCH_FS_NORMALIZE_ENABLED`) | `True` | kill-switch; `False` → весь код инертен, поведение 1:1 как до ORCH-057 (D1 тоже гардится — при выкл. контракт ошибки прежний) |
+| `fs_normalize_repos` (`ORCH_FS_NORMALIZE_REPOS`) | `""` | scope CSV; пусто → self-hosting only (`is_self_hosting_repo`) |
+| `fs_target_uid` (`ORCH_FS_TARGET_UID`) | `1000` | целевой uid (фолбэк, если `os.getuid()` неприменим) |
+| `fs_normalize_auto` (`ORCH_FS_NORMALIZE_AUTO`) | `False` | детект-only; `True` → попытка chown при наличии прав (D4) |
+| `fs_scan_roots` (`ORCH_FS_SCAN_ROOTS`) | `""` | CSV-переопределение корней |
+| `fs_scan_cache_ttl_s` (`ORCH_FS_SCAN_CACHE_TTL_S`) | `300` | TTL детект-кэша |
+
+Наблюдаемость (AC-4): read-only блок `fs_ownership` в `GET /queue` (`snapshot()`:
+`{enabled, target_uid, mismatch, roots_checked, roots_mismatch, checked_at}`); опц. ручной триггер
+`POST /fs-normalize/check` (форс-пересчёт, по образцу `POST /serial-gate/unfreeze`). Telegram при
+mismatch — с кликабельным номером задачи (если в контексте есть `work_item_id`), числом/корнями,
+лечащей командой.
+
+## Альтернативы
+- **Init-контейнер / root-entrypoint, выполняющий `chown` на буте** — отвергнуто: реинтродуцирует
+  root-контекст (анти-цель ORCH-040), требует правки `docker-compose.yml`/entrypoint = self-deploy +
+  групповой риск + обязательная staging-страховка ради одноразовой операции; BRD помечает его
+  «Опционально». Реальную нормализацию несёт документированная разовая операторская процедура.
+- **Блокирующий claim-гейт в `preflight`** — отвергнуто: preflight не знает repo → блокирует claim
+  ВСЕХ репо, регресс enduro-trails на общем `/repos` (нарушение NFR-2).
+- **Блокирующий claim-гейт в `queue_worker`/`claim_next_job`** — отвергнуто: дорогой FS-обход в
+  offline hot-path, «молчаливое зависание» вместо внятного диагноза, дублирует исход D1.
+- **Авто-`chown` из app-кода по умолчанию** — отвергнуто: под uid 1000 невозможен; включение по
+  умолчанию создавало бы ложное ожидание самолечения. Оставлен как opt-in `fs_normalize_auto` для
+  сред, где процесс имеет CAP_CHOWN.
+- **Жёсткий fail на старте при mismatch** — отвергнуто: нарушает never-raise (NFR-3) и мог бы
+  застопорить старт сервиса всех проектов из-за грязного `/repos`. Детект — only WARNING/Telegram.
+
+## Последствия
+- **+** Класс «сырой git-fatal на launch после миграции uid» закрыт: оператор получает внятный
+  диагноз + лечащую команду в точке падения (D1) и проактивный сигнал на старте (D3).
+- **+** Воспроизводимая процедура в INFRA.md закрывает пробел ADR-040 (AC-7).
+- **+** Нулевая регрессия enduro-trails (scope `applies()` first, пустой CSV → self-hosting only);
+  `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема БД — байт-в-байт прежние (AC-6).
+- **+** Никакого root-контекста, рестарта прода, касания `main`/force-push/прод-образа (NFR-1, AC-5).
+- **−** Фактический `chown` остаётся **ручным** операторским шагом — на средах, где его забыли, баг
+  всё ещё проявится, но теперь **внятно** (с инструкцией), а не сырым git-fatal. Митигейшн:
+  startup-WARNING+Telegram + обязательный пункт чеклиста миграции в INFRA.md.
+- **−** Ещё один best-effort startup-хук + leaf-модуль (рост поверхности). Митигейшн: чистый
+  never-raise leaf, TTL-кэш, ранний выход обхода, kill-switch.
+- **−** `fs_normalize_auto=True` под root реинтродуцирует chown-контекст — поэтому дефолт `False` и
+  он не для прод-self (прод бежит под uid 1000).
+- **Откат:** `fs_normalize_enabled=False` → весь код инертен (D1 контракт ошибки прежний, детект не
+  запускается); миграций/правки схемы нет → мгновенный обратимый kill-switch.
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-057/01-brd.md`
+- TRZ: `docs/work-items/ORCH-057/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-057/03-acceptance-criteria.md`
+- Инфра: `docs/work-items/ORCH-057/07-infra-requirements.md`
+- Риски: `docs/work-items/ORCH-057/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`
+- Сверено по коду: `src/git_worktree.py` (`ensure_worktree` стр. 78/81/85/90), `src/preflight.py`
+  (TTL-кэш), `src/main.py` (`lifespan` стр. 63–114), `src/serial_gate.py` / `src/coverage_gate.py`
+  (паттерн условного leaf `applies`/scope/`is_self_hosting_repo`).
+- Предшественник: `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md`,
+  `docs/architecture/adr/adr-0005-container-runs-as-host-uid.md`.

docs/work-items/ORCH-057/07-infra-requirements.md

@@ -0,0 +1,63 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 07 — Инфра-требования: ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: architecture
+
+> When-applicable. Топология контейнеров **не меняется** (init-контейнер/правка `docker-compose.yml`
+> отвергнуты — ADR-001 D4). Файл фиксирует новые env-флаги и **обязательную операторскую процедуру**
+> нормализации legacy root-файлов как шаг миграции uid.
+
+## I-1. Топология / окружения
+**Без изменений.** Контейнеры `orchestrator` (8500) / `orchestrator-staging` (8501), `user:
+"1000:1000"`, bind-mount `/home/slin/repos → /repos`, `network_mode: host` — как есть. Init-контейнер
+/ root-entrypoint **сознательно НЕ вводятся** (реинтродуцировали бы root-контекст, убранный ORCH-040,
+и потребовали бы self-deploy compose с групповым риском — ADR-001 D4, Альтернативы).
+
+## I-2. Переменные окружения / секреты
+Новые env-флаги (аддитивно в `src/config.py`, дефолты сохраняют поведение до ORCH-057). Добавить в
+`.env.example` (секретов нет):
+
+| Env | Дефолт | Назначение |
+|-----|--------|------------|
+| `ORCH_FS_NORMALIZE_ENABLED` | `true` | kill-switch всего слоя ORCH-057 |
+| `ORCH_FS_NORMALIZE_REPOS` | `` (пусто) | scope CSV; пусто → self-hosting only (enduro не затронут) |
+| `ORCH_FS_TARGET_UID` | `1000` | целевой uid (фолбэк к `os.getuid()`) |
+| `ORCH_FS_NORMALIZE_AUTO` | `false` | детект-only; `true` → попытка chown при наличии CAP_CHOWN |
+| `ORCH_FS_SCAN_ROOTS` | `` (пусто) | CSV-переопределение корней обхода |
+| `ORCH_FS_SCAN_CACHE_TTL_S` | `300` | TTL детект-кэша |
+
+Секреты не вводятся.
+
+## I-3. Деплой / рестарт
+- **Self-hosting инвариант (NFR-1):** код задачи **не** рестартит/не роняет прод-контейнер
+  `orchestrator`, не трогает `main`/force-push/прод-образ. `chown` из кода возможен лишь при наличии
+  прав (под uid 1000 — no-op).
+- Изменение **только** `src/**` + docs → штатный деплой self **через staging-гейт (8501)**, затем
+  прод-рестарт **в окно тишины** (`GET /status` без активных задач). Правки `docker-compose.yml`/
+  entrypoint в задаче **нет** → нет дополнительного инфра-риска сверх обычного self-деплоя.
+- **Обязательная операторская процедура нормализации (host-prerequisite миграции uid)** — выполняется
+  **под root на хосте mva154 один раз** при миграции uid / на новой среде, ПЕРЕД стартом app.
+  Каноничный текст — в `docs/operations/INFRA.md` (раздел «Миграция uid: обязательная нормализация
+  legacy root-файлов»). Команды покрывают все корни:
+  ```
+  sudo chown -R 1000:1000 /home/slin/repos/_wt
+  sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git \
+                          /home/slin/repos/enduro-trails/.git
+  sudo chown -R 1000:1000 /home/slin/repos/orchestrator        # incl. data/runs/*.log
+  # Проверка: find /home/slin/repos/_wt ! -uid 1000 -print -quit   (пусто = ок)
+  ```
+  Идемпотентна (повтор на корректной среде — no-op). Помечена обязательным пунктом чеклиста
+  деплоя/миграции self.
+
+## I-4. CI/CD
+Без изменений в `.gitea/workflows/`. Новые юнит-тесты (`tests/test_fs_normalize.py`,
+`tests/test_git_worktree_perm_error.py` — см. `04-test-plan.yaml`) гоняются существующим
+`pytest tests/ -q`. Новых системных зависимостей образа нет.

docs/work-items/ORCH-057/10-tech-risks.md

@@ -0,0 +1,37 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | **Ложная классификация ошибки worktree** (D1): не-прав-ошибка распознана как «нет прав» → подмена смысла (FAIL AC-2). | Низ. | Сред. | Узкий набор маркеров (`Permission denied`/`could not create leading directories`/`insufficient permission`/`EACCES`/`EPERM`); классификатор — чистая функция с юнит-тестами на обе ветки; не-совпадение → прежний сырой текст без изменений. |
+| TR-2 | **Дорогой рекурсивный обход** больших `.git/objects` / `_wt` тормозит старт сервиса. | Сред. | Сред. | Ранний выход при первом mismatch (булев вердикт); полный `count` опционален/семплирован; TTL-кэш (`fs_scan_cache_ttl_s`); вызов best-effort на старте, не в hot-path claim'а; `applies()` first → обход только при applies. |
+| TR-3 | **Ложно-блокирующий эффект на enduro-trails** через общий `/repos`. | Низ. | Выс. | Claim НЕ блокируется (D3 — только наблюдаемость); scope `applies()` first, пустой CSV → self-hosting only → enduro не сканируется; детект never-raise. |
+| TR-4 | **Забытый ручной `chown`**: на среде без выполненной процедуры баг всё ещё проявится. | Сред. | Сред. | Теперь проявляется **внятно** (D1 actionable-ошибка + startup WARNING/Telegram, не сырой git-fatal); процедура — обязательный пункт чеклиста миграции в INFRA.md; идемпотентна. Остаточный риск принят (код под uid 1000 не может chown). |
+| TR-5 | **`fs_normalize_auto=True` под root** реинтродуцирует chown-контекст / неожиданный массовый chown. | Низ. | Сред. | Дефолт `False`; прод-self бежит под uid 1000 (chown = no-op); auto-режим — opt-in для сред с CAP_CHOWN; init-контейнер отвергнут (ADR-001 D4). |
+| TR-6 | **never-raise дыра**: необработанное исключение детекта роняет старт сервиса всех проектов. | Низ. | Выс. | Леаф never-raise (паттерн `serial_gate`/`post_deploy`); startup-вызов в `try/except` (как lease-reclaim/log-rotation); ошибка → WARNING + консервативный `mismatch=False`. |
+| TR-7 | **`os.getuid()` неприменим** в нестандартном рантайме → неверный target_uid → ложный mismatch. | Низ. | Низ. | Фолбэк `fs_target_uid` (дефолт 1000); идемпотентность скана; вердикт only-наблюдательный (не блокирует). |
+| TR-8 | **Кэш устарел** после выполнения нормализации → stale `mismatch=True` в `GET /queue`. | Низ. | Низ. | TTL-инвалидизация; ручной `POST /fs-normalize/check` (`force=True`) для немедленного пересчёта. |
+
+## Сводный вывод
+Доминирующий класс — **операционные риски разовой нормализации**, а не алгоритмические: код только
+читает/детектит/диагностирует (chown — операторская процедура под root на хосте). Самостоятельный
+техдолг (TR-4) — остаточный и **принят**: контейнер без root физически не может починить права сам;
+решение гарантирует **внятность** отказа, а не его отсутствие. Self-hosting-безопасность соблюдена
+(никакого рестарта прода / касания `main` / root-контекста в коде). Изменение аддитивно и обратимо
+kill-switch'ем → **эскалация `arch:major-change` НЕ требуется** (нет новой стадии/QG/таблицы/смены
+топологии). Возврат в анализ не нужен — ТЗ удовлетворяется без нарушения принципов архитектуры.
+Остаточный риск для прод-конвейера — **низкий**.

docs/work-items/ORCH-057/12-review.md

@@ -0,0 +1,105 @@
+---
+verdict: APPROVED
+work_item: ORCH-057
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-057
+version: 1
+---
+
+# Review ORCH-057
+
+## Summary
+
+Follow-up ORCH-040: закрыт недоделанный AC по legacy `root:root` файлам, ломавшим создание
+worktree под uid 1000. Реализованы три аддитивных, обратимых kill-switch'ем слоя ровно по ADR-001:
+**D1** actionable-ошибка в `ensure_worktree`, **D2** детект-леаф `src/fs_normalize.py`
+(never-raise, TTL-кэш, scope-aware), **D3** best-effort startup-наблюдаемость в `main.lifespan`
+(WARNING + Telegram, claim не блокируется), плюс `GET /queue` блок `fs_ownership` и
+`POST /fs-normalize/check`. Документация (INFRA.md процедура, architecture/README.md, сквозной
+adr-0031, CHANGELOG, .env.example) обновлена в том же PR.
+
+Проверено по 4 осям; все 7 AC выполнены, P0/P1 findings нет. Регресс `pytest tests/ -q` —
+**1507 passed**; целевые модули (`test_fs_normalize`, `test_fs_normalize_startup`,
+`test_git_worktree_perm`, `test_api_queue`) — **25 passed**, покрывают TC-01…TC-12.
+
+## Соответствие ТЗ (02-trz) и AC (03-acceptance-criteria)
+
+- **FR-1 / AC-1, AC-2** ✓ — `git_worktree._raise_if_permission` + `fs_normalize.is_permission_failure`/
+  `build_worktree_help`: класс «нет прав» (`Permission denied`/`could not create leading directories`/
+  `insufficient permission`/`PermissionError`/`EACCES`/`EPERM`) → actionable `RuntimeError` с причиной,
+  `chown`-командой и ссылкой на INFRA.md. Обе точки сбоя обёрнуты (`os.makedirs` + оба `worktree add`).
+  Не-прав-ошибки сохраняют прежний raw-контракт (TC-02 PASS). Под kill-switch — no-op, контракт 1:1.
+- **FR-2 / AC-3** ✓ — `scan_ownership` обходит `/repos/_wt`, `<repo>/.git/{objects,worktrees}`,
+  `data/runs`; ранний выход на первом `lstat.st_uid != target_uid`; чистая среда → `mismatch=False`
+  идемпотентно; never-raise → консервативный `mismatch=False` (TC-03/04/05).
+- **FR-3 / AC-4** ✓ — startup-хук never-fatal: WARNING + Telegram при mismatch; claim не блокируется
+  (D3, преднамеренно — внятный ранний отказ даёт D1, знающий repo). Read-only блок `fs_ownership` в
+  `GET /queue` (TC-10/TC-12).
+- **FR-4** ✓ — `normalize()` chown только при `_is_privileged()` (geteuid==0); под uid 1000 — no-op +
+  честный лог, НЕ ошибка; gated `fs_normalize_auto` (дефолт False) (TC-08).
+- **FR-5 / AC-7** ✓ — INFRA.md: блокер P-5 + подраздел «Миграция uid: обязательная нормализация»
+  со всеми корнями; work-item ADR + сквозной adr-0031.
+- **§7 совместимость / AC-5** ✓ — `applies(repo)` first (kill-switch + scope; пустой CSV →
+  self-hosting only через `is_self_hosting_repo`); enduro-trails не сканируется при дефолте.
+  TTL-кэш (`fs_scan_cache_ttl_s`). Регресс зелёный (1507 passed).
+
+## Соответствие ADR
+
+- Реализация совпадает с ADR-001 D1–D6 (включая сознательный отказ от блокирующего claim-гейта и
+  init-контейнера — обоснование в «Альтернативах»). Сквозная регистрация adr-0031 присутствует и
+  отражена в architecture/README.md.
+- **Трассировка (AC-6 / TRACEABILITY):** инварианты конвейера не тронуты — commit `9852871` НЕ
+  затрагивает `src/stages.py`, `src/qg/checks.py`, `src/db.py`, `src/stage_engine.py`. Маркеры
+  ORCH-040/088 в `git_worktree`/`main` читаются, зафиксированные инварианты (never-fatal startup,
+  отложенный срез ветки) не сломаны. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема
+  БД — байт-в-байт прежние.
+
+## Качество кода
+
+- `src/fs_normalize.py` — чистый leaf (импортирует только `config`/`logging`/`os`/`time`,
+  лениво `qg.checks`/`notifications`); строгий never-raise на каждой публичной функции; docstrings
+  на всех публичных символах; `os.lstat` (не `stat`) для честной оценки симлинков. Зависимость
+  односторонняя (`git_worktree` → `fs_normalize`).
+- Узкий `_PERM_MARKERS` сознательно не реклассифицирует не-прав-ошибки (защита AC-2).
+- Тесты содержательны (214/136/139/68 строк), используют `tmp_path`/monkeypatch, без реального
+  chown и записи в `/repos`; покрывают обе ветки классификатора, идемпотентность, scope, kill-switch,
+  TTL-кэш, startup-never-fatal.
+- Утечек/секретов/security-дыр не выявлено; chown физически возможен только под root (`_is_privileged`).
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- Нет.
+
+### P3 — Nice-to-have (не блокирует)
+- [ ] `snapshot()` в `GET /queue` на холодном кэше инициирует реальный обход `.git/objects` синхронно
+  в обработчике запроса. На практике кэш прогрет startup-хуком и TTL=300s, обход только для
+  self-hosting — латентность пренебрежима, паттерн зеркалит `coverage_gate`. Можно при желании
+  отдавать в `/queue` только кэш без форс-скана. Информационно.
+
+## Документация
+
+Обновлена в том же PR — golden source синхронен с кодом:
+- `docs/operations/INFRA.md` — P-5 (блокер миграции uid) + подраздел процедуры со всеми корнями ✓
+- `docs/architecture/README.md` — компонент «FS ownership detect» (D1–D3, условность, наблюдаемость) ✓
+- `docs/architecture/adr/adr-0031-legacy-ownership-normalization.md` — сквозной ADR (tracked) ✓
+- `docs/work-items/ORCH-057/06-adr/ADR-001-…md` — work-item ADR ✓
+- `CHANGELOG.md` — запись ORCH-057 ✓
+- `.env.example` — 6 флагов `ORCH_FS_*` ✓
+
+`README.md` «Известные ограничения» (ORCH-079): пункт про legacy-ownership/uid-миграцию там
+отсутствует — закрывать/снимать нечего, обзорная витрина в обновлении не нуждается.
+
+**Вывод:** изменение `src/` сопровождено обновлением документации → требование правила 6
+выполнено.

docs/work-items/ORCH-057/13-test-report.md

@@ -0,0 +1,94 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-057
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-057
+---
+
+# Test Report — ORCH-057
+
+Нормализация legacy root-owned файлов при миграции на uid 1000 (детект + защита worktree).
+Review-вердикт `12-review.md` — **APPROVED**, P0/P1 findings нет.
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8)
+- Дата: 2026-06-10
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-057-bug-follow-up-orch-040-normali`
+  (ветка `feature/ORCH-057-bug-follow-up-orch-040-normali`, тесты прогнаны из рабочего дерева
+  именно этой задачи, НЕ из общего `/repos/orchestrator`)
+
+## Smoke API (read-only, прод-контейнер 8500 не тронут)
+| Эндпоинт | Результат |
+|----------|-----------|
+| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
+| `GET /status` | OK — задача ORCH-057 (id 83) видна на стадии `testing` |
+| `GET /queue` | OK — присутствуют блоки `serial_gate` (ORCH-088) ✓ и `auto_labels` (ORCH-089) ✓ |
+
+> Примечание: блок `fs_ownership` (ORCH-057) на прод-контейнере 8500 **отсутствует** —
+> это ожидаемо: ORCH-057 ещё не задеплоен, прод исполняет предыдущий образ. Read-only блок
+> `fs_ownership` присутствует и протестирован в коде ветки (TC-12, `test_api_queue.py` PASS).
+> Это НЕ регресс смока: обязательные блоки `serial_gate` + `auto_labels` на месте.
+
+## Результаты
+
+### Полный регресс
+`pytest tests/ -q` → **1507 passed, 1 warning in 52.22s** (warning — Pydantic V2 deprecation,
+предсуществующий, не относится к ORCH-057). Прод-контейнер не трогался.
+
+### Профильные сюиты
+`pytest tests/test_git_worktree_perm.py tests/test_fs_normalize.py tests/test_fs_normalize_startup.py tests/test_api_queue.py -v`
+→ **25 passed** — покрывают TC-01…TC-12.
+
+### Сопоставление с тест-планом (04-test-plan.yaml)
+| TC ID | Описание | Тест-функция | Результат |
+|-------|----------|--------------|-----------|
+| TC-01 | `ensure_worktree` на git-fatal Permission denied → actionable RuntimeError | `test_git_worktree_perm::test_tc01_permission_git_fatal_becomes_actionable`, `test_tc01_makedirs_permission_error_becomes_actionable` | PASS |
+| TC-02 | не-прав-ошибка сохраняет прежний raw-контракт | `test_git_worktree_perm::test_tc02_non_permission_error_keeps_prior_contract`, `test_tc02_killswitch_off_keeps_raw_contract_even_for_permission` | PASS |
+| TC-03 | `scan_ownership` на дереве с uid≠target → mismatch=True + корни | `test_fs_normalize::test_tc03_scan_detects_mismatch` | PASS |
+| TC-04 | `scan_ownership` на чистом дереве → mismatch=False (идемпотентно) | `test_fs_normalize::test_tc04_clean_tree_no_mismatch` | PASS |
+| TC-05 | never-raise при недоступном/несуществующем корне → WARNING | `test_fs_normalize::test_tc05_never_raise_on_missing_root`, `test_tc05_never_raise_on_walk_error` | PASS |
+| TC-06 | `applies(repo)`: пустой CSV → self-hosting only; непустой — по списку | `test_fs_normalize::test_tc06_applies_empty_csv_self_hosting_only`, `test_tc06_applies_explicit_csv` | PASS |
+| TC-07 | kill-switch OFF → scan/normalize инертны (1:1 как до ORCH-057) | `test_fs_normalize::test_tc07_killswitch_off_scan_inert`, `test_tc07_killswitch_off_normalize_inert` | PASS |
+| TC-08 | `normalize` без прав → no-op + честный лог, НЕ исключение | `test_fs_normalize::test_tc08_normalize_without_rights_is_noop_not_error` | PASS |
+| TC-09 | TTL-кэш: повтор в окне TTL не пере-сканирует; ключ по roots+uid | `test_fs_normalize::test_tc09_ttl_cache_avoids_rescan`, `test_tc09_cache_keyed_by_roots_and_uid` | PASS |
+| TC-10 | startup-хук: mismatch → send_telegram + WARNING; ошибка детекта never-fatal | `test_fs_normalize_startup::test_tc10_startup_mismatch_warns_and_telegrams`, `test_tc10_startup_detect_error_never_fatal`, `test_tc10_startup_clean_no_telegram` | PASS |
+| TC-11 | гейт claim'а: mismatch без прав → внятный исход ДО launch, не сырой git-fatal | `test_fs_normalize_startup::test_tc11_launch_permission_failure_is_actionable_not_raw` | PASS |
+| TC-12 | `GET /queue` блок `fs_ownership` отдаёт поля и не 5xx-ит при выключенном флаге | `test_api_queue::test_tc12_queue_exposes_fs_ownership_block`, `test_tc12_queue_no_5xx_when_disabled`, `test_fs_normalize_check_endpoint` | PASS |
+
+Доп. целевые тесты (сверх плана, усиливают покрытие): `test_classify_worktree_error_markers`,
+`test_is_permission_failure_from_exc`, `test_snapshot_shape` — PASS.
+
+### Сопоставление с критериями приёмки (03-acceptance-criteria.md)
+| AC | Покрыто | Результат |
+|----|---------|-----------|
+| AC-1 — конвейер стартует без ручного chown / внятная блокирующая ошибка | TC-01, TC-11 | PASS |
+| AC-2 — `ensure_worktree` actionable-ошибка при отказе доступа, не-прав сохраняет контракт | TC-01, TC-02 | PASS |
+| AC-3 — детект несоответствия владельца (mismatch на грязной, no-op на чистой) | TC-03, TC-04, TC-05 | PASS |
+| AC-4 — наблюдаемость детекта (WARNING + Telegram + `GET /queue`) | TC-10, TC-12 | PASS |
+| AC-5 — self-hosting безопасность, нулевая регрессия enduro, зелёный регресс | TC-06, TC-07, TC-08 + 1507 passed | PASS |
+| AC-6 — инварианты конвейера (STAGE_TRANSITIONS/QG_CHECKS/check_*/machine-key/схема БД) | полный регресс зелёный, guard-тесты пройдены | PASS |
+| AC-7 — документированная процедура нормализации (INFRA.md + ADR) | проверено reviewer (12-review.md), вне scope pytest | PASS (док.) |
+
+## Вывод pytest
+```
+============================= test session starts ==============================
+platform linux -- Python 3.12.13, pytest-8.3.3, pluggy-1.6.0
+rootdir: /repos/_wt/orchestrator/feature_ORCH-057-bug-follow-up-orch-040-normali
+plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8
+collected 25 items  (профильные сюиты)
+... 25 passed, 1 warning in 2.19s
+
+Полный регресс:
+1507 passed, 1 warning in 52.22s
+```
+
+## Итог
+**PASS** — все 12 TC выполнены и сопоставлены с тест-планом и критериями приёмки; профильные
+сюиты 25 passed; полный регресс 1507 passed; smoke (`/health`, `/status`, `/queue` c блоками
+`serial_gate` + `auto_labels`) — зелёный. Задача переходит на `deploy-staging`.

docs/work-items/ORCH-057/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-057
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-057/15-staging-log.md

@@ -0,0 +1,33 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-057
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+timestamp: 2026-06-10T00:02:11Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. `SUCCESS` → дальше; `FAILED` → откат.
+
+Staging test suite завершён против живого стенда `orchestrator-staging` (8501). Запуск канонический —
+`docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub`
+(ORCH-048, ADR-001). Скрипт завершился с **exit code 0** → `staging_status: SUCCESS`.
+
+Итог: **8/10 checks PASS**. Все REAL-проверки зелёные; два FAIL — известные sandbox-infra-проверки
+(C9a/C9b), waived согласно ORCH-061 (зависят от членства SANDBOX bot-аккаунтов в проекте, не от
+конвейера). Exit-code → вердикт не меняется: trust the exit code, REAL failed = none.
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Results
+- **Block A (SMOKE)**: PASS — A1 `/health` → 200 `status=ok`; A2 `/queue` → 200 с counts/max_concurrency/resilience; A3 `ORCH_STAGING=true` (не прод).
+- **Block B (ACCESS)**: PASS — B4 Plane sandbox доступен (5 projects, sandbox=YES); B5 Gitea `orchestrator-sandbox` доступен, push=true; B6 Registry изолирован (sandbox present, prod ET/ORCH absent).
+- **Block C (E2E, mode=stub)**: C7 создать issue в Plane SANDBOX → PASS; C8 триггер конвейера `/webhook/plane` → PASS; C9a (branch в sandbox) и C9b (analyst job в очереди) → FAIL, **INFRA-WAIVED** (sandbox bot-accounts не члены проекта). Cleanup: Plane issue удалён (HTTP 204).
+
+REAL failed: none.

docs/work-items/ORCH-090/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-090
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-091/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: BUG: заголовок-строка карточки застревает на «To Analyse» на stage=deploy-staging (нет ключа в _STAGE_STATUS_LABEL)
+
+Work Item ID: ORCH-091
+
+## Description
+
+TBD

docs/work-items/ORCH-091/01-brd.md

@@ -0,0 +1,137 @@
+---
+work_item: ORCH-091
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-091 — Карточка трекера: фикс «To Analyse» на deploy-staging, отражение откатов, суммирование метрик по попыткам
+
+Work Item: **ORCH-091** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+Live Telegram-карточка задачи (ORCH-067, единственная карточка на задачу, рендер
+`src/notifications.py::render_task_tracker`) — основной канал, по которому Owner/Слава
+наблюдают прогресс конвейера. Карточка обязана показывать **честную** текущую картину.
+Объединены три верифицированных по коду и БД прода (09.06) дефекта одной карточки
+(ORCH-072 закрыт как дубль; ORCH-091 расширена до полного объёма):
+
+- **Дефект 1 (косметика, но вводит в заблуждение).** Заголовок-строка статуса карточки
+  (`📍 <status_label>`) застревает на «To Analyse», когда задача реально на стадии
+  `deploy-staging`. Корень верифицирован: словарь `_STAGE_STATUS_LABEL`
+  (`src/notifications.py` ~стр. 940) содержит 8 ключей (`created/analysis/architecture/
+  development/review/testing/deploy/done`), а реальные значения `tasks.stage` — это ключи
+  `STAGE_TRANSITIONS` (`src/stages.py`), среди которых есть `deploy-staging`. Ровно эта
+  стадия не покрыта → `.get(stage, _DEFAULT_STATUS_LABEL)` отдаёт дефолт «To Analyse»
+  (`_DEFAULT_STATUS_LABEL`, ~стр. 950). Программно проверено: из 9 реальных стадий не
+  покрыта **ровно одна** — `deploy-staging` (предпоследняя перед прод-деплоем, видна
+  чаще всего). Сам дефолт-«To Analyse» — мина на будущее: любая новая стадия даст ложный
+  «первый статус».
+
+- **Дефект 2 (ложная картина при откате).** При rollback по конвейеру (напр. merge-gate
+  `deploy-staging → development`, ORCH-43; или REQUEST_CHANGES `review → development`)
+  верхние строки `✅ пройдено` (Код-ревью / Тестирование / Внедрение) НЕ снимаются, а внизу
+  снова `🔄 Разработка`. Абсурд: «Внедрение готово ✅, но идёт Разработка 🔄». Корень:
+  цикл рендера в `render_task_tracker` (~стр. 474–505) выводит `✅`-строку для каждой
+  стадии `_TRACKER_STAGES`, у чьего агента есть завершённый прогон (`last_done`), без
+  учёта позиции стадии относительно текущей.
+
+- **Дефект 3 (реальное занижение тоталов, не косметика).** Строка стадии берёт ПОСЛЕДНИЙ
+  прогон агента (`run = last_done.get(agent)`, ~стр. 475; `_stage_line`), теряя предыдущие
+  попытки. На задаче с ретраями метрики стадии занижены. Верифицировано на ORCH-069
+  (`task_id=54`, прод 09.06): developer = 3 прогона Σ $3.98 (карточка показывала ~$0.00 за
+  «Разработка»), reviewer = 3 Σ $2.10, tester = 2 Σ $1.03, deployer = 2 Σ $1.59. Источник
+  истины — таблица `agent_runs` (`cost_usd`, `input_tokens`, `output_tokens`,
+  `cache_read_tokens`, `cache_creation_tokens`, `started_at`/`finished_at`).
+
+> **Замечание (факт кода, не противоречие).** Блок тоталов задачи (`💰`/`🔢`/`⏱ Агенты`)
+> в текущем worktree уже суммирует ВСЕ прогоны (`render_task_tracker` ~стр. 388–404).
+> Заниженной остаётся **строка стадии** (`_stage_line` показывает только последний прогон).
+> Требование G4/AC-5 формулируется на уровне строки стадии и инварианта сходимости тоталов
+> с `SUM(agent_runs)` — реализация/архитектура подбора агрегата за архитектором.
+
+## 2. Объём (scope)
+
+### В объёме
+- Покрытие `_STAGE_STATUS_LABEL` всеми ключами `STAGE_TRANSITIONS` из единого
+  программного источника истины (не «на глаз», не дублирующим списком).
+- Осмысленный staging-лейбл для `deploy-staging`, согласованный с моделью статусов
+  ORCH-066/059.
+- Нейтральный фолбэк для истинно неизвестной/битой стадии (вместо «To Analyse»).
+- Отражение откатов: снятие `✅` со стадий ПОСЛЕ текущей позиции задачи.
+- Метрика строки стадии = Σ всех `agent_runs` стадии (💰 стоимость / 🔢 токены / ⏱ время),
+  с сохранением сходимости тоталов задачи с `SUM(agent_runs)` по `task_id`.
+- Тесты на полноту карты стадий, суммирование метрик, отражение отката; `CHANGELOG.md`.
+
+### Вне объёма
+- Изменение `STAGE_TRANSITIONS`, схемы БД, реестра `QG_CHECKS`/`check_*`, транспорта
+  нотификаций (`send/edit/delete_telegram`).
+- Live-overlay ветки (Needs Input / Blocked / Rejected / Cancelled / Confirm Deploy /
+  Deploying / Monitoring) — работают, не трогаем.
+- Архитектурное решение «как реализовать» (ordering-источник, форма агрегата) —
+  зона архитектора (`06-adr/`).
+
+## 3. Заинтересованные стороны
+- **Заказчик / приёмка:** Owner (homenet542), Слава (нашёл дефекты 08.06).
+- **Затрагивается:** все наблюдатели карточек конвейера всех проектов (общий прод-инстанс,
+  self-hosting). Косметика карточки — для всех репо (orchestrator + enduro-trails).
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1 (Деф.1, G1)** — `_STAGE_STATUS_LABEL` покрывает КАЖДЫЙ ключ `STAGE_TRANSITIONS`;
+  полнота гарантируется программно (итерация по единому источнику истины `src/stages.py`),
+  а не статичным списком. Для каждой реальной стадии `plane_status_label` возвращает
+  непустой осмысленный лейбл (не дефолт-«To Analyse», кроме реального `created`).
+- **BR-2 (Деф.1, G1)** — `stage='deploy-staging'` → осмысленный staging-лейбл (напр.
+  «Deploying (staging)» / «⏳ Staging»), согласованный с моделью статусов ORCH-066/059.
+- **BR-3 (Деф.1, G2)** — фолбэк для истинно неизвестной/битой стадии — нейтральный (напр.
+  «В работе» / stage capitalized), НЕ «To Analyse», чтобы будущая стадия не давала ложный
+  «первый статус». `plane_status_label` остаётся never-raise.
+- **BR-4 (Деф.2, G3)** — при откате стадии карточка отражает ФАКТИЧЕСКУЮ текущую позицию:
+  с стадий ПОСЛЕ точки отката снимается `✅`; текущая стадия отрисовывается как активная
+  (`🔄`). Сценарий-эталон: после `deploy-staging → development` Разработка = `🔄`,
+  Тестирование/Внедрение — НЕ `✅`.
+- **BR-5 (Деф.3, G4)** — метрика строки стадии = СУММА всех `agent_runs` этой стадии
+  (по `task_id` + агент стадии) по трём метрикам: 💰 `Σ cost_usd`, 🔢 `Σ (input + output +
+  cache_read + cache_creation)`, ⏱ `Σ (finished_at − started_at)`. Тоталы задачи = суммы по
+  всем стадиям и попыткам, сходятся с `SUM(agent_runs)` по `task_id`.
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 (надёжность)** — `render_task_tracker` и `plane_status_label` остаются
+  **stateless / never-raise**: любая ошибка деградирует к безопасному выводу, конвейер
+  никогда не блокируется рендером карточки.
+- **NFR-2 (совместимость / регресс)** — существующие метки и строки НЕ меняются: In Review
+  (brd-clock), Awaiting Deploy (`deploy`), Done, live-overlay ветки, строка `Подтверждение
+  BRD`, формат строк стадий/тоталов, эффорт-суффикс (ORCH-087). Изменение аддитивно.
+- **NFR-3 (источник истины)** — полнота карты стадий выводится из `STAGE_TRANSITIONS`
+  программно; запрещено дублировать перечень стадий руками (анти-рассинхрон на будущее).
+- **NFR-4 (self-hosting)** — изменения только в `src/notifications.py` + тесты + доки; без
+  правки `STAGE_TRANSITIONS`/схемы БД/QG; без рестарта прод-контейнера в рамках задачи.
+
+## 6. Допущения и ограничения
+- `tasks.stage` принимает строго значения-ключи `STAGE_TRANSITIONS` (включая
+  `deploy-staging`, `cancelled`). Это инвариант движка стадий.
+- `cancelled` (ORCH-090) — системный терминал; его статус-лейбл уже рисуется live-overlay
+  (`_LIVE_BRANCH_LABELS['cancelled']`). Для offline-фолбэка `plane_status_label` он не
+  должен давать «To Analyse» (покрывается BR-3 нейтральным фолбэком; явный лейбл для
+  `cancelled` — на усмотрение архитектора, без конфликта с overlay).
+- Источник метрик — `agent_runs`; стадия `deploy-staging` и `deploy` обслуживаются одним
+  агентом `deployer` — агрегат по агенту корректно покрывает обе (вопрос разнесения
+  staging/prod-прогонов по строкам — зона архитектора, не требование BRD).
+- Telegram-ограничение 48ч на удаление сирот (ORCH-087) — вне объёма.
+
+## 7. Критерии успеха
+Карточка показывает корректный статус-заголовок на всех стадиях (включая `deploy-staging`),
+не «лжёт» о пройденных стадиях после отката, и метрики строки стадии + тоталы сходятся с
+`SUM(agent_runs)` по `task_id`. Полный регресс `pytest tests/ -q` зелёный. Детальные
+PASS/FAIL — `03-acceptance-criteria.md`.
+
+## 8. Риски
+- Рассинхрон карты стадий с `STAGE_TRANSITIONS` в будущем (митигируется NFR-3 + тест полноты).
+- Регресс существующих меток/строк при правке цикла рендера (митигируется NFR-2 + тесты).
+- Неверная точка отсчёта «позиции» стадии для отката (ordering) → неверное снятие `✅`.
+Детали — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-091/02-trz.md

@@ -0,0 +1,112 @@
+---
+work_item: ORCH-091
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-091 — Карточка трекера: полнота карты статусов, отражение откатов, суммирование метрик по попыткам
+
+Work Item: **ORCH-091** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование/решения (выбор ordering-источника для отката, форма агрегата
+> метрик, явный лейбл для `cancelled`) — задача архитектора (`06-adr/`).
+
+## 1. Сводка изменения
+
+Три точечные правки в `src/notifications.py` (рендер live-карточки ORCH-067), все аддитивные,
+без изменения транспорта, схемы БД, `STAGE_TRANSITIONS` и `QG_CHECKS`:
+
+1. **Полнота карты статусов (Деф.1).** `_STAGE_STATUS_LABEL` должен покрывать все ключи
+   `STAGE_TRANSITIONS` (источник истины — `src/stages.py`), добавить `deploy-staging` →
+   осмысленный staging-лейбл; нейтральный фолбэк вместо «To Analyse» для неизвестной стадии.
+2. **Отражение откатов (Деф.2).** Цикл рендера строк стадий перестаёт показывать `✅` для
+   стадий, расположенных ПОСЛЕ текущей позиции задачи в конвейере.
+3. **Суммирование метрик стадии (Деф.3).** Строка стадии агрегирует ВСЕ `agent_runs` агента
+   стадии (Σ стоимость/токены/время) вместо последнего прогона; тоталы сходятся с `SUM`.
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие |
+|------|----------|
+| `src/notifications.py` | изменить: `_STAGE_STATUS_LABEL` (~940), `_DEFAULT_STATUS_LABEL` (~950), `plane_status_label` (~990), `render_task_tracker` (рендер строк стадий ~474–505, агрегат метрик ~388–404 / `_stage_line` ~445–466) |
+| `src/stages.py` | **только чтение** — импорт ключей `STAGE_TRANSITIONS` как источника истины для полноты карты (НЕ изменять) |
+| `tests/test_tracker_status_line.py` | изменить/дополнить: полнота карты, staging-лейбл, нейтральный фолбэк |
+| `tests/test_telegram_tracker.py` (или новый `tests/test_tracker_rollback_metrics.py`) | дополнить/создать: откат + суммирование метрик |
+| `CHANGELOG.md` | изменить: запись ORCH-091 |
+
+## 3. Функциональные требования
+
+### FR-1 — Полнота `_STAGE_STATUS_LABEL` по `STAGE_TRANSITIONS` (BR-1)
+- Для каждого ключа `STAGE_TRANSITIONS` (`created, analysis, architecture, development,
+  review, testing, deploy-staging, deploy, done, cancelled`) `plane_status_label` возвращает
+  непустой осмысленный лейбл.
+- Полнота гарантируется **программно** от единого источника `src/stages.py::STAGE_TRANSITIONS`
+  (итерация/проверка пересечения ключей), а не статичным дублирующим списком (NFR-3).
+- Сохранить спецветки `plane_status_label`: `analysis` + открытый brd-clock → `_IN_REVIEW_LABEL`
+  (без изменений).
+
+### FR-2 — Staging-лейбл для `deploy-staging` (BR-2)
+- `stage='deploy-staging'` → осмысленный лейбл (предлагается «Deploying (staging)» или
+  «⏳ Staging»; финальный текст согласует архитектор с моделью статусов ORCH-066/059).
+- НЕ равен «To Analyse» и НЕ равен лейблу `deploy` (`⏸️ Awaiting Deploy …`).
+
+### FR-3 — Нейтральный фолбэк (BR-3)
+- Для строки `tasks.stage`, отсутствующей в карте (истинно неизвестная/битая/будущая
+  стадия), `plane_status_label` возвращает нейтральный лейбл (напр. «В работе» или
+  капитализированный stage), НЕ «To Analyse».
+- `created` сохраняет осмысленный «To Analyse» как реальный первый статус.
+- `plane_status_label` остаётся never-raise (любой сбой → безопасный лейбл).
+
+### FR-4 — Отражение откатов в строках стадий (BR-4)
+- В `render_task_tracker` строка `✅ <стадия>` НЕ отрисовывается для стадии, позиция которой
+  в конвейере ПОЗЖЕ текущего `tasks.stage`, даже если у её агента есть завершённый `agent_run`.
+- Текущая стадия рисуется активной (`🔄`) по существующей логике `is_active_stage`.
+- Стадии ДО текущей позиции (фактически пройденные) сохраняют `✅` со своими метриками.
+- Источник порядка стадий — конвейер `STAGE_TRANSITIONS` (а не индекс в `_TRACKER_STAGES`);
+  конкретный механизм определения позиции — за архитектором. Учесть, что `deploy-staging`
+  отсутствует в `_TRACKER_STAGES` и `_STAGE_ACTIVE_AGENT` (обе стадии staging/deploy → агент
+  `deployer`): решение не должно ломать существующий рендер строки «Внедрение».
+
+### FR-5 — Суммирование метрик стадии по попыткам (BR-5)
+- Строка стадии показывает СУММУ по всем `agent_runs` агента стадии (по `task_id`):
+  - 💰 стоимость = `Σ cost_usd`;
+  - 🔢 токены = `Σ (input_tokens + output_tokens + cache_read_tokens + cache_creation_tokens)`
+    (вход — через существующий `_input_total`; формат строки `<in>↓/<out>↑` сохранить);
+  - ⏱ время = `Σ _duration_seconds(started_at, finished_at)` по всем прогонам стадии.
+- Тоталы задачи (💰/🔢/⏱ Агенты) остаются суммой по всем стадиям/попыткам и сходятся с
+  `SUM(agent_runs)` по `task_id` (инвариант сходимости).
+- Модель/эффорт/счётчик «попытка N» в строке стадии сохранить (ORCH-087): при N≥2 показывать
+  актуально (модель — допускается из последнего прогона; согласовать с архитектором).
+
+## 4. Изменения API
+Нет. Эндпоинты не затрагиваются (рендер карточки вызывается из конвейера). Диагностический
+блок `GET /queue` не меняется.
+
+## 5. Изменения схемы БД
+Нет. Используются существующие колонки `agent_runs` (`cost_usd`, `input_tokens`,
+`output_tokens`, `cache_read_tokens`, `cache_creation_tokens`, `started_at`, `finished_at`,
+`agent`, `task_id`, `exit_code`) и `tasks` (`stage`, `brd_review_started_at/ended_at`).
+
+## 6. Требования к новым/изменённым QG checks
+Нет. `QG_CHECKS` / `check_*` / `_parse_*` / `STAGE_TRANSITIONS` не затрагиваются. Изменение
+касается только слоя индикации (карточка), не управляющего слоя конвейера.
+
+## 7. Совместимость / регресс
+- **Обратная совместимость:** все существующие метки и строки карточки неизменны (NFR-2):
+  In Review (brd-clock), Awaiting Deploy (`deploy`), Done, live-overlay ветки (Needs Input /
+  Blocked / Rejected / Cancelled / Confirm Deploy / Deploying / Monitoring), строка
+  `Подтверждение BRD`, формат строк стадий и тоталов, эффорт-суффикс.
+- **Область раската:** косметика карточки для всех проектов общего инстанса (self-hosting +
+  enduro-trails). Чисто индикативный слой — управляющий конвейер не затронут.
+- **Обратимость:** изменение docs/code-only в одном модуле; откат = revert PR. Kill-switch не
+  требуется (нет нового поведения конвейера; рендер never-raise деградирует безопасно).
+- **Артефакты pipeline:** создаются/обновляются стандартные analysis-доки
+  (`01..04`); на стадии review — `12-review.md`; на testing — `13-test-report.md`. Новых
+  типов артефактов не вводится.
+- **Анти-стейл/трассировка:** правится код, помеченный ORCH-067/ORCH-087 — перед правкой
+  читать их ADR (`docs/work-items/ORCH-067|ORCH-087/06-adr/`) и не ломать инварианты
+  (single-card, never-raise, разделение offline-ядра и live-overlay).

docs/work-items/ORCH-091/03-acceptance-criteria.md

@@ -0,0 +1,111 @@
+---
+work_item: ORCH-091
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-091 — Карточка трекера: статусы, откаты, метрики
+
+Work Item: **ORCH-091** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Reviewer/тестер проверяет их буквально по файлам репозитория и
+по выводу тестов.
+
+---
+
+## AC-1 — Полнота карты статусов по `STAGE_TRANSITIONS` (Деф.1 / BR-1)
+
+**Условие:** для КАЖДОГО ключа `src/stages.py::STAGE_TRANSITIONS` `plane_status_label`
+возвращает непустой осмысленный лейбл.
+- **PASS:** параметризованный тест итерирует по всем ключам `STAGE_TRANSITIONS` и для каждого
+  (кроме реального `created`) получает непустой лейбл ≠ `_DEFAULT_STATUS_LABEL`-«To Analyse».
+  Полнота карты выведена программно из `STAGE_TRANSITIONS`, а не статичным списком в тесте.
+- **FAIL:** хотя бы одна стадия из `STAGE_TRANSITIONS` отдаёт «To Analyse» (кроме `created`);
+  либо полнота проверяется захардкоженным списком, не связанным с `STAGE_TRANSITIONS`.
+
+---
+
+## AC-2 — Staging-лейбл для `deploy-staging` (Деф.1 / BR-2)
+
+**Условие:** `stage='deploy-staging'` даёт осмысленный staging-лейбл.
+- **PASS:** `plane_status_label` для строки со `stage='deploy-staging'` возвращает осмысленный
+  staging-лейбл (напр. «Deploying (staging)» / «⏳ Staging»), отличный от «To Analyse» и от
+  лейбла стадии `deploy` (`⏸️ Awaiting Deploy …`).
+- **FAIL:** возвращает «To Analyse», пустую строку, либо лейбл, неотличимый от `deploy`.
+
+---
+
+## AC-3 — Нейтральный фолбэк для неизвестной стадии (Деф.1 / BR-3)
+
+**Условие:** истинно неизвестная/битая стадия → нейтральный фолбэк, never-raise.
+- **PASS:** для строки с заведомо несуществующим `stage` (напр. `"__bogus__"`)
+  `plane_status_label` возвращает нейтральный лейбл (НЕ «To Analyse») и не бросает исключение;
+  для битого входа (None/нет ключа `stage`) тоже не падает.
+- **FAIL:** неизвестная стадия даёт «To Analyse»; либо функция бросает исключение на
+  битом/неизвестном входе.
+
+---
+
+## AC-4 — Отражение отката в строках стадий (Деф.2 / BR-4)
+
+**Условие:** после rollback `deploy-staging → development` карточка показывает фактическую
+позицию.
+- **PASS:** для задачи с завершёнными прогонами reviewer/tester/deployer, но текущим
+  `stage='development'`, `render_task_tracker` рисует Разработку как активную (`🔄`), а
+  Тестирование и Внедрение — НЕ как `✅ пройдено`. Стадии до development (Анализ, Архитектура)
+  остаются `✅`.
+- **FAIL:** карточка одновременно показывает `✅ Внедрение/Тестирование/Код-ревью` и
+  `🔄 Разработка` (картина «Внедрение готово ✅, но идёт Разработка»).
+
+---
+
+## AC-5 — Суммирование метрик стадии по попыткам (Деф.3 / BR-5)
+
+**Условие:** стадия с N попытками показывает СУММУ метрик по всем N `agent_runs`.
+- **PASS:** для стадии с N>1 `agent_runs` строка стадии показывает Σ времени, Σ токенов
+  (`input+output+cache_read+cache_creation`) и Σ стоимости по всем N прогонам. На фикстуре
+  по образцу ORCH-069 (developer: 3 прогона, суммарно ≈ $3.98) строка «Разработка» отражает
+  ≈ $3.98, а не стоимость последнего прогона. Тоталы задачи (💰/🔢/⏱ Агенты) сходятся с
+  `SUM(agent_runs)` по `task_id` (по стоимости, токенам, длительностям).
+- **FAIL:** строка стадии показывает метрики только последнего прогона (занижение); либо
+  тоталы задачи не сходятся с `SUM(agent_runs)`.
+
+---
+
+## AC-6 — Регресс существующих меток (NFR-2)
+
+**Условие:** существующие индикаторы карточки не изменены.
+- **PASS:** In Review (brd-clock, `_IN_REVIEW_LABEL`), Awaiting Deploy (`deploy`), Done,
+  live-overlay ветки (Needs Input / Blocked / Rejected / Cancelled / Confirm Deploy /
+  Deploying / Monitoring), строка `Подтверждение BRD`, формат строк стадий/тоталов и
+  эффорт-суффикс — рендерятся как прежде; существующие тесты карточки зелёные.
+- **FAIL:** изменён текст/формат любой из перечисленных меток; падает существующий тест
+  карточки.
+
+---
+
+## AC-7 — Тесты и документация (G/AC-7)
+
+**Условие:** добавлены тесты и обновлена документация.
+- **PASS:** `pytest tests/ -q` зелёный; добавлены тесты на полноту карты стадий (AC-1/2/3),
+  суммирование метрик (AC-5), отражение отката (AC-4); `CHANGELOG.md` содержит запись
+  ORCH-091; `render_task_tracker`/`plane_status_label` остаются never-raise.
+- **FAIL:** регресс `pytest tests/ -q`; отсутствует любой из обязательных новых тестов; не
+  обновлён `CHANGELOG.md`.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1 |
+| AC-2 | BR-2 / FR-2 |
+| AC-3 | BR-3 / FR-3 |
+| AC-4 | BR-4 / FR-4 |
+| AC-5 | BR-5 / FR-5 |
+| AC-6 | NFR-2 (регресс) |
+| AC-7 | NFR-1 + цель G/AC-7 (тесты, доки, never-raise) |

docs/work-items/ORCH-091/04-test-plan.yaml

@@ -0,0 +1,76 @@
+work_item: ORCH-091
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+title: "Карточка трекера: полнота статусов, отражение откатов, суммирование метрик по попыткам"
+framework: pytest
+scope: >
+  Юнит-покрытие чистых функций src/notifications.py (plane_status_label,
+  render_task_tracker) и интеграция рендера от состояния БД (tasks + agent_runs).
+  Вне покрытия: транспорт Telegram (send/edit/delete), live-overlay ветки (сеть),
+  STAGE_TRANSITIONS/QG/схема БД (не трогаются).
+notes: >
+  Полнота карты статусов должна выводиться программно из src/stages.py::STAGE_TRANSITIONS
+  (а не из захардкоженного списка стадий). Метрики читаются из таблицы agent_runs:
+  cost_usd, input_tokens, output_tokens, cache_read_tokens, cache_creation_tokens,
+  started_at/finished_at. Фикстура-эталон сумм — ORCH-069 (developer: 3 прогона ≈ $3.98).
+  Полный регресс pytest tests/ -q должен оставаться зелёным; существующие тесты карточки
+  (test_tracker_status_line, test_telegram_tracker, test_tracker_effort_time) не должны
+  ломаться.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "Полнота: для каждого ключа STAGE_TRANSITIONS (программная итерация) plane_status_label возвращает непустой лейбл, не 'To Analyse' (кроме created). AC-1"
+    module: tests/test_tracker_status_line.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "stage='deploy-staging' -> осмысленный staging-лейбл, отличный от 'To Analyse' и от лейбла стадии 'deploy'. AC-2"
+    module: tests/test_tracker_status_line.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "Истинно неизвестная стадия ('__bogus__') -> нейтральный фолбэк (не 'To Analyse'); never-raise на битом/None входе. AC-3"
+    module: tests/test_tracker_status_line.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "Регресс ветки plane_status_label: analysis + открытый brd-clock -> In Review; deploy -> Awaiting Deploy; done -> Done; created -> To Analyse. AC-6"
+    module: tests/test_tracker_status_line.py
+    expected: PASS
+
+  - id: TC-05
+    type: integration
+    description: "Откат deploy-staging->development: задача stage='development' с завершёнными прогонами reviewer/tester/deployer -> Разработка активна (🔄), Тестирование/Внедрение НЕ как ✅; Анализ/Архитектура остаются ✅. AC-4"
+    module: tests/test_tracker_rollback_metrics.py
+    expected: PASS
+
+  - id: TC-06
+    type: integration
+    description: "Суммирование метрик стадии: developer с 3 agent_runs (фикстура ORCH-069) -> строка 'Разработка' показывает Σ стоимости ≈ $3.98, Σ токенов, Σ времени, а не последний прогон. AC-5"
+    module: tests/test_tracker_rollback_metrics.py
+    expected: PASS
+
+  - id: TC-07
+    type: integration
+    description: "Сходимость тоталов: тоталы карточки (💰/🔢/⏱ Агенты) равны SUM(agent_runs) по task_id (cost_usd, токены, длительности) при наличии ретраев. AC-5"
+    module: tests/test_tracker_rollback_metrics.py
+    expected: PASS
+
+  - id: TC-08
+    type: integration
+    description: "render_task_tracker never-raise: битые/частичные строки tasks/agent_runs (NULL timestamps, отсутствующий stage) -> возвращает строку-фолбэк без исключения. NFR-1 / AC-7"
+    module: tests/test_tracker_rollback_metrics.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "Регресс существующих строк карточки: формат строк стадий, эффорт-суффикс (ORCH-087), строка 'Подтверждение BRD', блок тоталов — без изменений. AC-6"
+    module: tests/test_telegram_tracker.py
+    expected: PASS

docs/work-items/ORCH-091/06-adr/ADR-001-tracker-status-rollback-metrics.md

@@ -0,0 +1,193 @@
+---
+work_item: ORCH-091
+stage: architecture
+author_agent: architect
+status: accepted
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Карточка трекера — полнота карты статусов, отражение откатов, суммирование метрик по попыткам
+
+Work Item: **ORCH-091** — три верифицированных дефекта live-карточки (`src/notifications.py`)
+Стадия: **architecture**
+Сквозная регистрация: **N/A, локальное решение задачи** (затронут ровно один модуль
+индикативного слоя `src/notifications.py`; `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` /
+схема БД / транспорт нотификаций — не трогаются; новый компонент/стадия/гейт не вводятся).
+
+## Статус
+Accepted
+
+## Контекст
+
+Live Telegram-карточка (ORCH-067/087, единственная карточка на задачу,
+`render_task_tracker` / `plane_status_label`) — основной канал наблюдения за конвейером.
+BRD/ТЗ объединяют три дефекта, сверенные по коду и БД прода (09.06):
+
+- **Деф.1 — застрявший заголовок «To Analyse».** `_STAGE_STATUS_LABEL`
+  (`src/notifications.py:940`) содержит 8 ключей (`created/analysis/architecture/development/
+  review/testing/deploy/done`), а `tasks.stage` принимает ключи `STAGE_TRANSITIONS`
+  (`src/stages.py:12`) — среди них **`deploy-staging`** (не покрыт) и **`cancelled`** (ORCH-090,
+  не покрыт). `plane_status_label` (`:1009`) делает `.get(stage, _DEFAULT_STATUS_LABEL)` →
+  непокрытая стадия отдаёт дефолт **«To Analyse»** (`:950`). Из 10 реальных стадий не покрыты
+  две; дефолт-«To Analyse» — ещё и мина: любая новая стадия даст ложный «первый статус».
+- **Деф.2 — ложная картина при откате.** Цикл рендера (`:474–505`) выводит `✅`-строку для
+  каждой стадии `_TRACKER_STAGES`, у чьего агента есть завершённый прогон (`last_done`), **без
+  учёта позиции стадии относительно текущей**. После отката (`deploy-staging → development`,
+  ORCH-43; `review → development`, REQUEST_CHANGES) карточка показывает «✅ Внедрение … +
+  🔄 Разработка» — абсурд.
+- **Деф.3 — занижение метрик строки стадии.** `_stage_line` берёт `run = last_done.get(agent)`
+  (`:475`) — ПОСЛЕДНИЙ прогон, теряя предыдущие попытки. Верифицировано на ORCH-069 (task 54):
+  developer 3 прогона Σ $3.98, карточка показывала ~$0.00. Блок тоталов задачи (`:388–404`) уже
+  суммирует все прогоны — заниженной остаётся **строка стадии**.
+
+Ключевая структурная сложность (флаг ТЗ §FR-4): `_TRACKER_STAGES` — 6 строк; стадии
+`deploy-staging` и `deploy` **схлопнуты** в одну строку «Внедрение» (`stage_key="deploy"`,
+агент `deployer`). `_STAGE_ACTIVE_AGENT` тоже не содержит `deploy-staging`. Любое решение по
+порядку/позиции обязано не сломать этот сложившийся рендер строки «Внедрение».
+
+## Решение
+
+### Сводка
+
+Три аддитивные правки в `src/notifications.py`, минимизирующие регресс-поверхность:
+1. **Полнота карты** — расширить `_STAGE_STATUS_LABEL` недостающими ключами
+   (`deploy-staging`, `cancelled`); заменить runtime-фолбэк с «To Analyse» на **нейтральный**
+   (капитализированное имя стадии). Полнота гарантируется **тестом**, итерирующим
+   `STAGE_TRANSITIONS.keys()` (единый источник истины), а не дублирующим списком.
+2. **Отражение откатов** — ввести позицию стадии в конвейере из **порядка `STAGE_TRANSITIONS`**
+   и гасить `✅`-строку для стадий ПОЗЖЕ текущей позиции. Нормализация `deploy-staging → deploy`
+   применяется **только** к вычислению текущей позиции (для гейта подавления), логика
+   `is_active_stage` — **без изменений** (нулевой регресс активного рендера).
+3. **Суммирование метрик** — `_stage_line` агрегирует ВСЕ `agent_runs` агента стадии
+   (теми же per-run-аккумуляторами, что и блок тоталов) → строгая сходимость с `SUM(agent_runs)`.
+
+Все функции остаются **stateless / never-raise**; любая ошибка деградирует к безопасному
+выводу (старое поведение).
+
+### D1 — Полнота `_STAGE_STATUS_LABEL` + нейтральный фолбэк (Деф.1 / FR-1,2,3 / AC-1,2,3)
+
+- Расширить `_STAGE_STATUS_LABEL`, добавив **все** недостающие ключи `STAGE_TRANSITIONS`:
+  - `"deploy-staging": "Deploying (staging)"` — осмысленный staging-лейбл, согласованный с
+    моделью статусов ORCH-066/059: **plain-стиль** активной стадии (как `Analysis`/`Testing`,
+    без `⏸️`-маркера паузы), **отличен** от «To Analyse» и от лейбла `deploy`
+    («⏸️ Awaiting Deploy — ожидание Confirm Deploy»). Суффикс «(staging)» снимает коллизию с
+    prod-overlay «Deploying» (`_LIVE_BRANCH_LABELS['deploying']`). (FR-2 / AC-2.)
+  - `"cancelled": "Cancelled"` — offline-база для системного терминала ORCH-090. Совпадает с
+    overlay-лейблом `_LIVE_BRANCH_LABELS['cancelled']` ("Cancelled") → нет конфликта precedence
+    в `_card_status_label`; offline-путь больше не отдаёт «To Analyse» для отменённой задачи.
+- **Runtime-фолбэк** в `plane_status_label`: вместо `_STAGE_STATUS_LABEL.get(stage,
+  _DEFAULT_STATUS_LABEL)` использовать **нейтральный** лейбл для отсутствующего ключа —
+  капитализированное имя стадии (напр. `stage.replace("-", " ").title()` → «Deploy Staging»),
+  с финальным безопасным дефолтом при пустом/битом входе. `created` сохраняет осмысленный
+  «To Analyse» как реальный первый статус (он **остаётся явным ключом** в карте). (FR-3 / AC-3.)
+- `_DEFAULT_STATUS_LABEL` сохраняется как имя для `created` и для безопасной деградации на
+  истинно-битом входе (`None`/нет ключа `stage`); он **перестаёт** быть фолбэком для «известная
+  стадия, но нет лейбла» — этот путь теперь нейтрально-капитализированный.
+- Спецветка `analysis` + открытый brd-clock → `_IN_REVIEW_LABEL` — **без изменений** (NFR-2).
+- **Программная полнота (NFR-3)** обеспечивается тестом, который итерирует
+  `from src.stages import STAGE_TRANSITIONS` и для каждого ключа (кроме `created`) утверждает
+  непустой лейбл `≠ _DEFAULT_STATUS_LABEL`. Новая стадия без курируемого лейбла → красный тест.
+  **Запрещено** в самом модуле автогенерировать лейблы из имён стадий (теряется человеческая
+  осмысленность) — карта остаётся курируемой, тест лишь гарантирует её покрытие.
+
+### D2 — Отражение откатов: позиция из `STAGE_TRANSITIONS` (Деф.2 / FR-4 / AC-4)
+
+- Ввести в `src/notifications.py` (НЕ в `src/stages.py` — он read-only по ТЗ) лёгкий
+  индекс-хелпер от **единого источника порядка** `STAGE_TRANSITIONS`:
+  ```python
+  from .stages import STAGE_TRANSITIONS
+  _PIPELINE_ORDER = list(STAGE_TRANSITIONS.keys())  # created..done, cancelled
+  def _pipeline_pos(stage):            # never-raise
+      try:
+          return _PIPELINE_ORDER.index(stage)
+      except (ValueError, TypeError):
+          return len(_PIPELINE_ORDER)  # unknown -> «далёкое будущее»
+  ```
+- **Нормализация staging→deploy ТОЛЬКО для текущей позиции:**
+  `effective_stage = "deploy" if stage == "deploy-staging" else stage`;
+  `current_pos = _pipeline_pos(effective_stage)`. Это отражает, что строка «Внедрение»
+  представляет фазу deployer'а (staging+prod) как одну — иначе при `stage='deploy-staging'`
+  строка «Внедрение» (`stage_key="deploy"`, pos 7) была бы ошибочно подавлена (6 < 7).
+- **Гейт подавления:** ветка `elif run is not None` (рендер `✅ <стадия>`) срабатывает **только
+  если** `current_pos >= _pipeline_pos(stage_key)`. Иначе (прогон есть, но стадия ПОЗЖЕ
+  текущей — откат) строка не выводится. Стадии ДО/НА текущей позиции сохраняют `✅` (фактически
+  пройденные).
+- **`is_active_stage` — без изменений** (использует «сырой» `stage`, `_STAGE_ACTIVE_AGENT`,
+  `has_inflight`). Это даёт нулевой регресс активного/«just-finished snapshot» рендера (NFR-2):
+  при `stage='deploy-staging'` строка «Внедрение» ведёт себя как сегодня (✅ при завершённом
+  staging-прогоне, иначе ничего) — нормализация затрагивает лишь гейт подавления, не активность.
+- Источник позиции — **порядок `STAGE_TRANSITIONS`**, а не индекс в `_TRACKER_STAGES` (NFR-3,
+  FR-4): добавление/перестановка стадий в движке автоматически корректирует подавление.
+- **Условие 🔄 после отката (AC-4):** строка «Разработка» рисуется активной (`🔄`) существующей
+  логикой `is_active_stage`, которой нужен `has_inflight or run is None`. Реальное
+  пост-откатное состояние — reviewer/merge-gate ставит developer-job → launcher создаёт строку
+  `agent_runs` c `finished_at IS NULL` (in-flight) → `🔄`. Фикстура AC-4 обязана содержать
+  этот in-flight developer-прогон (так выглядит прод после отката). Наш фикс ортогонально
+  снимает ложные `✅` со стадий review/testing/Внедрение.
+
+### D3 — Суммирование метрик строки стадии (Деф.3 / FR-5 / AC-5)
+
+- `_stage_line` принимает **список прогонов** агента стадии (готовый
+  `agent_runs_by_agent.get(agent, [])`) вместо одного `run` и агрегирует **теми же
+  per-run-формулами, что блок тоталов задачи** (`:388–404`):
+  - 💰 `cost = Σ float(cost_usd or 0)`;
+  - 🔢 `in = Σ _input_total(usage)` (= Σ(input+cache_read+cache_creation)),
+    `out = Σ int(output_tokens or 0)`; формат `<in>↓/<out>↑` сохранён;
+  - ⏱ `dur = Σ _duration_seconds(started_at, finished_at)` (None-прогоны пропускаются, как в
+    тоталах).
+- **Инвариант сходимости:** блок тоталов и строки стадий теперь аккумулируют **по одному и тому
+  же множеству строк `agent_runs`** и **одними формулами**; каждый агент привязан ровно к одной
+  строке `_TRACKER_STAGES` (analyst/architect/developer/reviewer/tester/deployer). Поэтому
+  Σ(показанных+подавленных строк стадий) ≡ тоталы задачи ≡ `SUM(agent_runs)` по `task_id`
+  (по стоимости/токенам/времени). Подавлённые откатом строки (D2) не рисуются, но их прогоны
+  **по-прежнему** входят в тоталы — это и есть намеренная семантика отката, инвариант AC-5 не
+  нарушается (тоталы считают всё; строка стадии — Σ своих прогонов).
+- **Модель/эффорт/«попытка N» (ORCH-087, FR-5):** агрегируются метрики, но модель/эффорт
+  берутся из **последнего** прогона агента (`agent_runs` упорядочены `id ASC` → последний
+  элемент списка) через существующие `short_model_name` / `_run_effort`; счётчик попыток для
+  активной строки (`len(agent_runs)`) — без изменений. Формат строки байт-в-байт сохранён (NFR-2).
+
+## Альтернативы
+
+- **Автогенерация лейблов из имён стадий (полностью программная карта)** — отвергнуто: теряется
+  человеческая осмысленность («deploy-staging» → не лучше «Deploying (staging)»); курируемая
+  карта + тест полноты дают и читаемость, и анти-рассинхрон.
+- **Нормализация `deploy-staging→deploy` во ВСЁМ цикле (включая `is_active_stage`)** —
+  отвергнуто как первичное решение: меняет активный рендер строки «Внедрение» на стадии
+  `deploy-staging` (риск регресса существующих тестов, NFR-2/AC-6). Нормализация ограничена
+  гейтом подавления — минимальная поверхность.
+- **Позиция стадии из индекса `_TRACKER_STAGES`** — отвергнуто: `_TRACKER_STAGES` не содержит
+  `deploy-staging`/`cancelled` и не является источником истины о порядке конвейера (нарушает
+  NFR-3). Источник — `STAGE_TRANSITIONS`.
+- **Изменение `_TRACKER_STAGES`/`_STAGE_ACTIVE_AGENT` (добавить deploy-staging-строку)** —
+  отвергнуто: вне объёма BRD (формат строк неизменен, NFR-2), расширяет регресс-поверхность.
+
+## Последствия
+
+- **+** Заголовок честен на всех стадиях (вкл. `deploy-staging`, `cancelled`); будущая стадия
+  не даёт ложный «To Analyse» (нейтральный фолбэк + тест полноты).
+- **+** Карточка не «лжёт» после отката: `✅` снимается со стадий ПОЗЖЕ текущей позиции.
+- **+** Метрики строки стадии = Σ всех попыток; строгая сходимость с `SUM(agent_runs)`.
+- **+** Источник порядка/полноты — `STAGE_TRANSITIONS` (программно), анти-рассинхрон на будущее.
+- **−** Новая read-only связь `notifications.py → stages.STAGE_TRANSITIONS` (порядок+ключи).
+  Митигейшн: импорт ключей, `stages.py` не изменяется (разрешено ТЗ §2); `_pipeline_pos`
+  never-raise (unknown → «далёкое будущее» = старое поведение, ✅ не пере-подавляется).
+- **−** При `stage='deploy-staging'` строка «Внедрение» может показать `✅` по завершённому
+  staging-прогону (до prod-деплоя). Это **сохранённое** поведение (NFR-2), не регресс и не
+  дефект по BRD; нормализация затрагивает только подавление, не активность.
+- **Откат:** изменение docs/code-only в одном модуле + тесты → `git revert` PR. Kill-switch не
+  требуется (нет нового поведения конвейера; рендер never-raise деградирует безопасно).
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-091/01-brd.md`
+- TRZ: `docs/work-items/ORCH-091/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-091/03-acceptance-criteria.md`
+- Tech-risks: `docs/work-items/ORCH-091/10-tech-risks.md`
+- Сверено по коду: `src/notifications.py` (`_STAGE_STATUS_LABEL:940`, `_DEFAULT_STATUS_LABEL:950`,
+  `plane_status_label:990`, `render_task_tracker:333`, `_stage_line:445`, `_TRACKER_STAGES:233`,
+  `_STAGE_ACTIVE_AGENT:248`, totals `:388-404`), `src/stages.py::STAGE_TRANSITIONS:12`,
+  `src/usage.py::_input_total:348`.
+- Инварианты, которые НЕЛЬЗЯ ломать (прочитаны перед правкой): ORCH-067/ORCH-087
+  (`docs/work-items/ORCH-067|ORCH-087/06-adr/`) — single-card, never-raise, разделение
+  offline-ядра и live-overlay; ORCH-090 (`adr-0026`) — терминал `cancelled`.

docs/work-items/ORCH-091/10-tech-risks.md

@@ -0,0 +1,36 @@
+---
+work_item: ORCH-091
+stage: architecture
+author_agent: architect
+status: accepted
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-091 — Карточка трекера (статусы, откаты, метрики)
+
+Work Item: **ORCH-091** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | Регресс существующих меток/строк при правке цикла рендера (In Review, Awaiting Deploy, Done, эффорт-суффикс, формат строк/тоталов) | Сред. | Сред. | `is_active_stage` не трогаем; нормализация только в гейте подавления (D2); формат `_stage_line` байт-в-байт; зелёные `tests/test_tracker_*` + `test_telegram_tracker` (AC-6). |
+| TR-2 | Рассинхрон карты статусов с `STAGE_TRANSITIONS` в будущем (новая стадия без лейбла) | Сред. | Низ. | Полнота — тест по `STAGE_TRANSITIONS.keys()` (NFR-3); нейтральный фолбэк вместо «To Analyse» (D1) → даже без лейбла не «лжёт». |
+| TR-3 | Неверная точка отсчёта позиции стадии → неверное снятие/сохранение `✅` (особенно схлопывание `deploy-staging`/`deploy` в строку «Внедрение») | Сред. | Сред. | Позиция из порядка `STAGE_TRANSITIONS`; нормализация `deploy-staging→deploy` только для current-pos (D2); сценарные тесты отката `deploy-staging→development` и `review→development` (AC-4). |
+| TR-4 | Расхождение метрик строки стадии с тоталами задачи (двойной/потерянный учёт) | Низ. | Сред. | Строка и тоталы используют ОДНИ формулы (`_input_total`/`_duration_seconds`/`cost_usd`) над ОДНИМ множеством `agent_runs`; тест сходимости Σ(строки) == `SUM(agent_runs)` по `task_id` (AC-5). |
+| TR-5 | Исключение в `render_task_tracker`/`plane_status_label` блокирует индикацию | Низ. | Сред. | Контракт never-raise сохранён; `_pipeline_pos` never-raise (unknown → «далёкое будущее» = старое поведение); деградация к безопасному выводу (NFR-1/AC-3,7). |
+| TR-6 | Новая import-связь `notifications.py → stages` вводит цикл импорта | Низ. | Низ. | `stages.py` — лист без обратных зависимостей на `notifications`; импорт ключей словаря, не функций; `stages.py` не изменяется (ТЗ §2). |
+| TR-7 | Фикстура AC-4 без in-flight developer-прогона → строка «Разработка» не `🔄` | Низ. | Низ. | ADR D2 фиксирует: пост-откатный `🔄` требует строки `agent_runs` c `finished_at IS NULL`; тест-план обязан включать такой прогон (реальное прод-состояние после relaunch). |
+
+## Сводный вывод
+
+Доминирующий класс — **риски регресса индикативного слоя** (TR-1/TR-3) и **сходимости метрик**
+(TR-4). Все смягчаются тестами и минимальной поверхностью правок (один модуль, без затрагивания
+`STAGE_TRANSITIONS`/`QG_CHECKS`/схемы БД/транспорта). Эскалация `arch:major-change` **не нужна**:
+изменение локально, обратимо `git revert`, never-raise, kill-switch не требуется. Возврат в анализ
+**не требуется** — BRD/ТЗ полны и реализуемы без нарушения принципов. Остаточный риск для
+прод-конвейера (self-hosting) — **низкий**: слой чисто индикативный, управляющий конвейер
+(стадии/гейты/очередь) не затрагивается, рендер деградирует безопасно.

docs/work-items/ORCH-091/12-review.md

@@ -0,0 +1,85 @@
+---
+verdict: APPROVED
+work_item: ORCH-091
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-091
+version: 1
+---
+
+# Review ORCH-091
+
+## Summary
+
+PR закрывает три верифицированных дефекта рендера live-карточки трекера
+(`src/notifications.py`, ORCH-067/087): (Д1) застрявший заголовок «To Analyse» из-за неполноты
+`_STAGE_STATUS_LABEL`; (Д2) ложные `✅`-строки стадий после отката конвейера; (Д3) занижение
+метрик строки стадии (последний прогон вместо суммы попыток). Изменение **аддитивное,
+indication-only, never-raise**: затронут ровно один src-модуль (`src/notifications.py`),
+`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / транспорт нотификаций / схема БД — не тронуты.
+
+Проверка по четырём осям пройдена:
+- **Соответствие ТЗ** — все FR-1…FR-5 реализованы; AC-1…AC-7 выполнены буквально.
+- **Соответствие ADR** — реализация 1:1 с `06-adr/ADR-001` (D1/D2/D3); read-only-связь
+  `notifications.py → stages.STAGE_TRANSITIONS` оформлена как указано; `is_active_stage` не тронут.
+- **Качество кода** — `_pipeline_pos` / `_neutral_stage_label` never-raise; докстринги и
+  трассировочные ORCH-091-комментарии присутствуют; полный регресс зелёный (1370).
+- **Документация** — обновлена в том же PR (см. ниже).
+
+### Проверенные инварианты
+- **Трассировка ORCH-067/087** (правка маркированного кода): инварианты single-card, never-raise,
+  разделение offline-ядра/live-overlay сохранены — подтверждено ADR (прочитаны перед правкой) и
+  зелёным регрессом `test_tracker_status_line.py`.
+- **Терминал `cancelled` (ORCH-090, adr-0026)**: добавлен offline-лейбл `cancelled → "Cancelled"`,
+  совпадает с overlay `_LIVE_BRANCH_LABELS['cancelled']` → нет конфликта precedence.
+- **Полнота карты от источника истины** — тест `test_orch091_tc01_*` параметризован по
+  `STAGE_TRANSITIONS.keys()` (не статичный список) → NFR-3 выполнен.
+- **Сходимость метрик** — `_stage_line` использует те же per-run-формулы, что блок тоталов;
+  тест `test_tc07_*` проверяет сходимость с `SUM(agent_runs)` и Σ(строк стадий) ≡ тоталы на done.
+- **Нормализация `deploy-staging → deploy`** ограничена гейтом подавления (не затрагивает
+  активный рендер строки «Внедрение») — подтверждено `test_tc05_deploy_staging_keeps_deployer_row`.
+- **Отсутствие циркулярного импорта** — `import src.notifications; import src.stages` → OK.
+- **ORCH-079 (обзорные доки)** — `README.md` «Известные ограничения» НЕ содержит пункта о
+  дефектах карточки трекера → закрывать/обновлять нечего; gate не нарушен.
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- Нет.
+
+### P3 — Nice-to-have (не блокирует)
+- [ ] `from .stages import STAGE_TRANSITIONS` размещён в середине модуля (`src/notifications.py`
+  после `_STAGE_ACTIVE_AGENT`, с `# noqa: E402`). Размещение намеренно и документировано
+  комментарием, циркулярного импорта нет; вынос в шапку модуля — косметическая необязательная
+  уборка на будущее.
+
+## Документация
+
+Обновлена в том же PR (golden source синхронен с кодом):
+- **`CHANGELOG.md`** — запись ORCH-091 (`fix`) с описанием трёх дефектов, тестов и отката. ✅
+- **`docs/architecture/internals.md`** §7 — описаны откат-подавление `✅`, суммирование метрик
+  и полнота `_STAGE_STATUS_LABEL`. ✅
+- **`docs/architecture/README.md`** (Notifications / Live-tracker) — добавлен блок «ORCH-091
+  (индикация-only)» с тремя правками и ссылкой на ADR. ✅ (внесено архитектором, присутствует в PR)
+- **ADR** — `docs/work-items/ORCH-091/06-adr/ADR-001-tracker-status-rollback-metrics.md`
+  (status: accepted), решения D1/D2/D3, альтернативы, последствия. ✅
+- **`README.md` (root)** — обновление не требуется: ни один пункт «Известные ограничения» не
+  закрывается данным PR (ORCH-079 gate соблюдён). ✅
+
+Изменения `src/` сопровождены соответствующим обновлением документации → ось «документация»
+пройдена; основание для `REQUEST_CHANGES` по этой оси отсутствует.
+
+## Вердикт
+
+`APPROVED` — нет findings уровня P0/P1; код, тесты и документация согласованы; инварианты
+ORCH-067/087/090 и NFR-2/NFR-3 сохранены; полный регресс `pytest tests/ -q` зелёный (1370 passed).

docs/work-items/ORCH-091/13-test-report.md

@@ -0,0 +1,98 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-091
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-091
+---
+
+# Test Report — ORCH-091
+
+BUG: заголовок-строка live-карточки трекера застревает на «To Analyse» на
+`stage=deploy-staging` (нет ключа в `_STAGE_STATUS_LABEL`) + ложные `✅`-строки после
+отката + занижение метрик строки стадии (последний прогон вместо суммы попыток).
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-091-bug-to-analyse-stage-deploy-st`
+- Ветка: `feature/ORCH-091-bug-to-analyse-stage-deploy-st`
+- Дата: 2026-06-09
+
+## Предусловия
+- Вердикт reviewer (`12-review.md`): **APPROVED** (P0=0, P1=0) ✅
+- Тесты прогнаны из worktree ветки задачи (не из общего `/repos/orchestrator`) ✅
+
+## Smoke API (read-only)
+| Эндпоинт | Результат |
+|----------|-----------|
+| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
+| `GET /status` | 200, активные задачи отдаются (ORCH-091 = `testing`) — OK |
+| `GET /queue` | 200; блок `serial_gate` присутствует (ORCH-088) ✅; блок `auto_labels` присутствует (ORCH-089) ✅ |
+
+`serial_gate.per_repo.orchestrator.active_task = ORCH-091/testing`, регресс смока отсутствует.
+
+## Покрытие тест-плана (`04-test-plan.yaml`) ↔ критерии приёмки (`03-acceptance-criteria.md`)
+
+| TC ID | Описание | AC | Тест(ы) | Результат |
+|-------|----------|----|---------|-----------|
+| TC-01 | Полнота карты: каждый ключ `STAGE_TRANSITIONS` (программная итерация) → непустой лейбл ≠ «To Analyse» (кроме `created`) | AC-1 | `test_tracker_status_line::test_orch091_tc01_every_stage_has_meaningful_label[*]` (9 параметров) + `test_orch091_tc01_created_stays_to_analyse` | PASS |
+| TC-02 | `stage='deploy-staging'` → осмысленный staging-лейбл ≠ «To Analyse» и ≠ лейбла `deploy` | AC-2 | `test_tracker_status_line::test_orch091_tc02_deploy_staging_label` | PASS |
+| TC-03 | Неизвестная стадия (`__bogus__`) → нейтральный фолбэк (не «To Analyse»); never-raise на битом/None входе | AC-3 | `test_orch091_tc03_unknown_stage_neutral_not_to_analyse` + `test_orch091_tc03_cancelled_offline_label` + `test_tc09c_plane_status_label_never_raises` | PASS |
+| TC-04 | Регресс ветвей `plane_status_label`: analysis+brd-clock→In Review; deploy→Awaiting Deploy; done→Done; created→To Analyse | AC-6 | `test_tracker_status_line::test_tc06_stage_to_plane_status[*]` (8) + `test_tc07_in_review_from_brd_clock` + `test_tc08_awaiting_deploy_offline` | PASS |
+| TC-05 | Откат `deploy-staging→development`: Разработка активна (`🔄`), Тестирование/Внедрение НЕ `✅`; Анализ/Архитектура остаются `✅` | AC-4 | `test_tracker_rollback_metrics::test_tc05_rollback_suppresses_later_stage_checkmarks` + `test_tc05_forward_progress_keeps_earlier_checkmarks` + `test_tc05_deploy_staging_keeps_deployer_row` | PASS |
+| TC-06 | Суммирование метрик: developer с 3 `agent_runs` (фикстура ORCH-069) → строка «Разработка» = Σ стоимости ≈ $3.98, Σ токенов, Σ времени | AC-5 | `test_tracker_rollback_metrics::test_tc06_stage_line_sums_all_developer_runs` | PASS |
+| TC-07 | Сходимость тоталов карточки (💰/🔢/⏱ Агенты) с `SUM(agent_runs)` по `task_id` при ретраях | AC-5 | `test_tc07_totals_converge_with_sum_agent_runs` + `test_tc07_sum_of_stage_lines_equals_totals_on_done` | PASS |
+| TC-08 | `render_task_tracker` never-raise: NULL timestamps / отсутствующий stage → строка-фолбэк без исключения | AC-7 / NFR-1 | `test_tc08_render_survives_null_timestamps_and_runs` + `test_tc08_render_survives_bogus_stage` | PASS |
+| TC-09 | Регресс строк карточки: формат строк стадий, эффорт-суффикс (ORCH-087), «Подтверждение BRD», блок тоталов — без изменений | AC-6 | `test_telegram_tracker.py` + `test_tracker_effort_time.py` (эффорт по ролям, capped review-time, done-time labels) — все зелёные | PASS |
+
+Каждый TC из `04-test-plan.yaml` выполнен и сопоставлен с критериями `03-acceptance-criteria.md`.
+
+## Вывод pytest
+
+```
+$ cd /repos/_wt/orchestrator/feature_ORCH-091-bug-to-analyse-stage-deploy-st
+$ pytest tests/ -v --tb=short
+
+tests/test_tracker_rollback_metrics.py::test_tc05_rollback_suppresses_later_stage_checkmarks PASSED
+tests/test_tracker_rollback_metrics.py::test_tc05_forward_progress_keeps_earlier_checkmarks PASSED
+tests/test_tracker_rollback_metrics.py::test_tc05_deploy_staging_keeps_deployer_row PASSED
+tests/test_tracker_rollback_metrics.py::test_tc06_stage_line_sums_all_developer_runs PASSED
+tests/test_tracker_rollback_metrics.py::test_tc07_totals_converge_with_sum_agent_runs PASSED
+tests/test_tracker_rollback_metrics.py::test_tc07_sum_of_stage_lines_equals_totals_on_done PASSED
+tests/test_tracker_rollback_metrics.py::test_tc08_render_survives_null_timestamps_and_runs PASSED
+tests/test_tracker_rollback_metrics.py::test_tc08_render_survives_bogus_stage PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[analysis] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[architecture] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[development] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[review] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[testing] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[deploy-staging] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[deploy] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[done] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[cancelled] PASSED
+tests/test_tracker_status_line.py::test_orch091_tc01_created_stays_to_analyse PASSED
+tests/test_tracker_status_line.py::test_orch091_tc02_deploy_staging_label PASSED
+tests/test_tracker_status_line.py::test_orch091_tc03_unknown_stage_neutral_not_to_analyse PASSED
+tests/test_tracker_status_line.py::test_orch091_tc03_cancelled_offline_label PASSED
+... (полный набор регресса трекера/usage/webhooks/verdict-status зелёный)
+
+======================= 1370 passed, 1 warning in 39.33s =======================
+```
+
+(1 warning — PydanticDeprecatedSince20 в `src/config.py:8`, преэкзистный, не связан с ORCH-091.)
+
+## Итог
+
+PASS
+
+- Все 1370 тестов зелёные; новые тесты ORCH-091 (TC-01…TC-08) присутствуют и проходят.
+- Каждый TC из тест-плана выполнен и сопоставлен с AC-1…AC-7.
+- Smoke read-only OK; блоки `serial_gate` и `auto_labels` присутствуют в `GET /queue` (без регресса).
+- Изменение indication-only / never-раise; регресс существующих меток карточки (AC-6) подтверждён.
+
+**Вердикт: `result: PASS`** → задача переходит на `deploy-staging`.

docs/work-items/ORCH-091/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-091
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-091/15-staging-log.md

@@ -0,0 +1,36 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-091
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+timestamp: 2026-06-09T19:07:24Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. Реален для self-hosting
+> (`orchestrator`); для прочих репо гейт — N/A (ORCH-35). `SUCCESS` → дальше; `FAILED` → откат.
+
+Staging test suite completed against the live `orchestrator-staging` стенд (8501). Запуск
+канонический — внутри контейнера `orchestrator-staging` через `docker exec`
+(ORCH-048, ADR-001), mode=stub. **Exit code 0 → `staging_status: SUCCESS`.**
+
+All REAL pipeline checks (Block A SMOKE, Block B ACCESS, C7/C8) passed. The two sandbox-infra
+checks C9a/C9b failed and were **waived** under ORCH-061 tolerance (depend on SANDBOX bot accounts
+being project members, not on the pipeline) — script still exited 0.
+
+```
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+```
+
+## Results
+- **Block A (SMOKE)**: A1 `/health`→200 ok · A2 `/queue`→200 (counts/max_concurrency/resilience) · A3 `ORCH_STAGING=true`. PASS.
+- **Block B (ACCESS)**: B4 Plane sandbox accessible (sandbox=YES) · B5 Gitea `orchestrator-sandbox` push=true · B6 Registry isolation (sandbox present, prod ET/ORCH absent). PASS.
+- **Block C (E2E, stub)**: C7 create issue in Plane SANDBOX (HTTP 201) · C8 trigger pipeline `/webhook/plane` (accepted) PASS; C9a branch / C9b analyst-job — FAIL, **waived** (sandbox-infra). CLEANUP отработал (Plane issue удалён, ветки не было).
+
+RESULT: 8/10 checks PASS. REAL failed: **none**. SANDBOX_INFRA failed (waived): C9a, C9b.

docs/work-items/ORCH-093/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: BUG: merge-актор не ретраит транзиентные ошибки Gitea (405/5xx) → ложный HOLD + мусорные PR
+
+Work Item ID: ORCH-093
+
+## Description
+
+TBD

docs/work-items/ORCH-093/01-brd.md

@@ -0,0 +1,145 @@
+---
+work_item: ORCH-093
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-093 — merge-актор не ретраит транзиентные ошибки Gitea (405/5xx) → ложный HOLD + мусорные PR
+
+Work Item: **ORCH-093** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+Тип: **BUG** (надёжность self-deploy merge-фазы). Найдено по инциденту **ORCH-063 (09.06)**.
+
+**Инцидент-первоисточник (ORCH-063, 09.06).** Прод-деплой self-hosting прошёл, staging OK, но при
+мерже PR в `main` Gitea вернул `HTTP 405 {"message":"Please try again later"}` — транзиентная икота
+(Gitea пересчитывал `mergeable` сразу после пуша). PR #98 был `open` + `mergeable=True`, конфликтов
+**не было**. Однако merge-актор `merge_gate.merge_pr()` — **one-shot**: на любой не-200/201 он сразу
+вернул `(False, "merge failed: HTTP 405")`. Сработала корректная защита ORCH-071/081 «deploy
+succeeded but not merged» → задача удержана на `deploy` (НЕ `done`), алерт, потребовался **ручной
+домерж** (повтор `merge_pr` вручную → смержилось с первого раза). Защита отработала верно, но
+**транзиент не должен был требовать человека**.
+
+**Два дефекта, оба верифицированы по коду прода `src/merge_gate.py`:**
+
+- **ДЕФЕКТ 1 — `merge_pr` не ретраит транзиентные HTTP-ошибки.** `merge_gate.merge_pr()`
+  (`src/merge_gate.py` ~700) делает **один** `POST /pulls/{index}/merge`; на любой не-200/201
+  (включая `405 "try again later"`, `5xx`, `409/422` «ещё считается mergeable») сразу
+  `return False, "merge failed: HTTP {code}"` — без ретрая. Сравни: у Claude-агентов есть
+  transient-breaker (`429/overload` ретраится), у merge-актора такого механизма нет → инфра-икота
+  Gitea = ложный HOLD.
+- **ДЕФЕКТ 2 — `ensure_open_pr` плодит мусорные PR на уже влитой ветке.** При повторном прогоне
+  финализатора **после** ручного мержа: PR #98 уже `merged+closed` → `ensure_open_pr`
+  (`src/merge_gate.py` ~605) не находит открытого code-PR → **создаёт новый пустой PR #99** (ветка
+  уже в `main`, diff пустой). Пришлось закрывать вручную.
+
+**Боль:** ложные HOLD при инфра-икоте Gitea требуют ручного вмешательства в автономный конвейер
+(эпик ORCH-088 — пакетный автономный прогон) и оставляют мусорные пустые PR.
+
+## 2. Объём (scope)
+
+### В объёме
+- `merge_pr` ретраит **транзиентные** ошибки мержа (405/«try again», 408, `5xx`, таймаут/сетевые, а
+  также `409/422` когда PR **всё ещё mergeable**) с ограниченным числом попыток и backoff — **перед**
+  тем как вернуть `False`.
+- Различение «mergeable, но Gitea временно отказал» (ретраить) vs «реальный конфликт / не-mergeable»
+  (НЕ ретраить, честный быстрый HOLD).
+- `ensure_open_pr` / merge-verify **не создаёт** новый PR, если ветка уже полностью в `main` (нет
+  коммитов `origin/main..branch`) — возвращает исход «already-in-main»; финализатор сразу доводит до
+  `done` без мусорного PR.
+- Конфигурируемость (число ретраев, backoff, kill-switch на ретрай-поведение); разумные дефолты.
+- Обновление `.env.example`, `CHANGELOG.md`, merge-gate-раздела документации.
+
+### Вне объёма
+- ❌ Снятие/ослабление защиты ORCH-071/081 «deploy succeeded but not merged» — она корректна; задача
+  лишь снижает **ложные** срабатывания на транзиентах.
+- ❌ Ретрай **реального** конфликта / не-mergeable — это законный HOLD, нужен человек.
+- ❌ Любые прямые `push`/`force-push` в `main` (инвариант INV-4 ORCH-071/073 — мерж только через
+  Gitea PR-merge API).
+- ❌ Изменение `STAGE_TRANSITIONS`, состава `QG_CHECKS`, схемы БД.
+- ❌ Изменение SHA-in-main-доказательства мержа (`verify_merged_to_main`) как источника истины.
+
+## 3. Заинтересованные стороны
+
+- **Заказчик / оператор автономного конвейера (Owner, Стрим)** — меньше ручных домержей, чище список
+  PR в Gitea.
+- **Self-hosting репо `orchestrator`** — основной потребитель merge-verify under-gate (ORCH-071);
+  изменение в первую очередь касается self-deploy merge-фазы.
+- **Все проекты на общем инстансе** — косвенно: меньше зависших на `deploy` задач, держащих
+  merge-lease и клинящих serial-gate репо (ORCH-088).
+- **Reviewer / tester** — принимают результат по AC и зелёному `pytest`.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1** — При транзиентной ошибке мержа (`405`/«Please try again later», `408`, `5xx`,
+  таймаут/сетевая ошибка) `merge_pr` повторяет `POST …/merge` до `N` раз с backoff, прежде чем
+  вернуть `(False, …)`; успешный повтор внутри бюджета → `(True, …)`, мерж выполнен.
+- **BR-2** — `merge_pr` различает «PR mergeable, Gitea временно отказал» (ретраить) и «реальный
+  конфликт / PR не mergeable» (НЕ ретраить). Различение опирается на код ответа **и** поле
+  `mergeable` PR (`GET /pulls/{n}`). Неоднозначный `409/422` классифицируется по `mergeable`.
+- **BR-3** — Терминальные ошибки (`404` нет PR / реальный конфликт / `403`) НЕ ретраятся — `merge_pr`
+  возвращает `(False, …)` быстро; честный HOLD (защита ORCH-071/081) сохраняется.
+- **BR-4** — При исчерпании ретраев `merge_pr` возвращает `(False, …)` с понятным reason; защита
+  «deploy succeeded but not merged» срабатывает как прежде (HOLD + алерт).
+- **BR-5** — Если ветка уже полностью в `main` (нет коммитов `origin/main..branch`), `ensure_open_pr`
+  НЕ создаёт PR — возвращает исход «already-in-main»; merge-verify доводит задачу до `done` без
+  мусорного пустого PR.
+- **BR-6** — Поведение ретрая конфигурируемо: число попыток, backoff и kill-switch; дефолты разумны
+  (≈3 попытки, backoff 2–5 с) и задокументированы в `.env.example`.
+- **BR-7** — При выключенном ретрай-kill-switch поведение `merge_pr` идентично текущему (one-shot) —
+  нулевая регрессия.
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 (never-raise)** — Контракт never-raise `merge_pr` / `ensure_open_pr` сохранён: любая
+  HTTP/parse/сетевая ошибка → `(False, …)` / `("failed"|"already-in-main", …)`, исключение никогда не
+  пробрасывается в `_handle_merge_verify` / `advance_stage`.
+- **NFR-2 (self-hosting safety / INV-4)** — Никаких прямых `push`/`force-push` в `main`; мерж только
+  через Gitea PR-merge API. Прод-контейнер `orchestrator` не перезапускается этой задачей.
+- **NFR-3 (обратимость / kill-switch)** — Ретрай-поведение полностью отключаемо одним флагом →
+  откат к нынешнему one-shot без изменения кода.
+- **NFR-4 (ограниченность)** — Суммарное время ретраев ограничено (`N` × backoff_max) и не может
+  «подвесить» monitor-поток, исполняющий merge-verify; backoff с верхним потолком.
+- **NFR-5 (идемпотентность)** — Повторный прогон финализатора на уже влитой ветке безопасен и
+  бесследен (нет дублей PR, нет дублей мержа — переиспользуется `pr_already_merged`).
+- **NFR-6 (наблюдаемость)** — Каждый ретрай и его причина логируются (по образцу `check_ci_green`:
+  `attempt i/N`); исход (успех/исчерпание/терминал) различим в логе.
+
+## 6. Допущения и ограничения
+
+- Gitea-код `405 {"message":"Please try again later"}` — **транзиент** (Gitea пересчитывает
+  `mergeable` сразу после пуша); `5xx`/таймаут/сетевая — транзиент.
+- `409` (conflict) и `422` (unprocessable) **двойственны**: либо реальный конфликт, либо «ещё не
+  пересчитан mergeable». Источник различения — поле `mergeable` из `GET /pulls/{n}` (а не только
+  код): `mergeable==True` → транзиент (ретраить), `mergeable==False` → реальный конфликт (НЕ
+  ретраить).
+- `404` (нет PR) обрабатывается раньше шагом «no open PR» и/или трактуется как терминал.
+- Образец паттерна ретрая уже есть в репо: `check_ci_green` (`src/qg/checks.py`, attempts + interval
+  + backoff) и transient-breaker агентов (`backoff_base_seconds`/`backoff_max_seconds`/
+  `transient_max_attempts` в `config.py`).
+- Merge-verify under-gate (ORCH-071) реален только для self-hosting (`merge_verify_applies`); на
+  прочих репо мерж делает LLM-deployer — там изменение `merge_pr` не задействуется.
+- Изменение **точечное** в `src/merge_gate.py` + флаги в `src/config.py`; `STAGE_TRANSITIONS`,
+  `QG_CHECKS`, схема БД не трогаются.
+
+## 7. Критерии успеха
+
+`merge_pr` переживает транзиентную икоту Gitea (405/5xx/таймаут/«not mergeable yet») за счёт
+ограниченного ретрая с backoff и больше не даёт ложного HOLD; реальный конфликт по-прежнему даёт
+быстрый честный HOLD; `ensure_open_pr` не создаёт мусорных PR на уже влитой ветке; поведение
+конфигурируемо и отключаемо; never-raise сохранён; `pytest tests/ -q` зелёный; доки и `.env.example`
+обновлены. Детальные PASS/FAIL — `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- Слишком агрессивный ретрай реального конфликта → задержка честного HOLD (митигируется BR-2/BR-3:
+  классификация по `mergeable`).
+- Ошибочная классификация транзиента как терминала (или наоборот) при неполном ответе Gitea
+  (`mergeable=None`) — нужна осторожная дефолт-политика.
+- Гонка `ensure_open_pr` already-in-main vs параллельный мерж.
+
+Детали и оценка — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-093/02-trz.md

@@ -0,0 +1,142 @@
+---
+work_item: ORCH-093
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-093 — merge-актор ретраит транзиентные ошибки Gitea + гард «ветка уже в main»
+
+Work Item: **ORCH-093** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода
+> (`src/merge_gate.py`, `src/config.py`, `src/stage_engine.py`). Архитектурное обоснование (точный
+> алгоритм классификации, формат хелпера, выбор дефолтов) — задача архитектора (`06-adr`).
+
+## 1. Сводка изменения
+
+Две точечные доработки `src/merge_gate.py`:
+
+1. **`merge_pr` (~700)** — обернуть `POST /pulls/{index}/merge` в **retry-loop** на транзиентных
+   кодах (`405`/«try again», `408`, `5xx`, таймаут/сетевые, плюс `409/422` при `mergeable==True`) с
+   ограниченным числом попыток и backoff; **терминальные** исходы (`404` нет PR, реальный конфликт /
+   `mergeable==False`, `403`) → быстрый `(False, …)` без ретрая. По образцу `check_ci_green`
+   (attempts + interval) и transient-breaker агентов.
+2. **`ensure_open_pr` (~605)** — добавить гард «ветка уже полностью в `main`» (нет коммитов
+   `origin/main..branch`) → новый исход `"already-in-main"` **до** создания PR; в
+   `_handle_merge_verify` этот исход трактуется как «мерж уже состоялся» → SHA-in-main подтверждает →
+   `done` без мусорного PR.
+
+Новые флаги ретрая в `src/config.py` (`ORCH_MERGE_RETRY_*`) + дескрипторы в `.env.example`. Контракт
+never-raise и INV-4 (никогда не `push`/`force-push` `main`) — сохраняются. `STAGE_TRANSITIONS`,
+`QG_CHECKS`, схема БД — **не трогаются**.
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие |
+|------|----------|
+| `src/merge_gate.py` | изменить — `merge_pr` (retry-loop + классификатор транзиент/терминал); `ensure_open_pr` (гард already-in-main); при необходимости leaf-хелперы `_is_transient_merge_error()` / `_branch_fully_in_main()` |
+| `src/config.py` | изменить — добавить флаги ретрая мержа (`merge_retry_enabled`, `merge_retry_max_attempts`, `merge_retry_backoff_base_s`, `merge_retry_backoff_max_s`) по образцу `ci_poll_*` / `merge_pr_timeout_s` |
+| `src/stage_engine.py` | изменить (точечно) — `_handle_merge_verify` (~1447): обработать новый исход `ensure_open_pr == "already-in-main"` как «мерж уже состоялся» (пропустить `merge_pr`, дать `verify_merged_to_main` подтвердить → `done`) |
+| `.env.example` | изменить — новые дескрипторы `ORCH_MERGE_RETRY_*` |
+| `tests/test_merge_gate.py` | изменить — мок httpx-последовательностей (405×2→200; конфликт; already-in-main; исчерпание; kill-switch off) |
+| `CHANGELOG.md` | изменить — запись ORCH-093 |
+| `docs/architecture/README.md` (merge-gate раздел) / `CLAUDE.md` | изменить — описать ретрай и гард already-in-main |
+
+## 3. Функциональные требования
+
+### FR-1 — retry-loop транзиентных ошибок мержа в `merge_pr` (BR-1, BR-4, BR-6, BR-7)
+- Шаги `merge_pr` до `POST` (idempotency-guard `pr_already_merged`; `GET …/pulls?state=open` поиск
+  code-PR `head==branch AND base==main`; `index is None → (False, "no open PR")`) — **без изменений**.
+- `POST /pulls/{index}/merge` выполняется в цикле до `merge_retry_max_attempts` попыток (дефолт `3`):
+  - `200/201` → `(True, "merged PR #<n>")` (немедленный выход).
+  - **транзиентный** исход (см. FR-2) И остались попытки → `sleep(backoff)` и повтор `POST`;
+    `backoff` экспоненциальный от `merge_retry_backoff_base_s` (дефолт `2`) с потолком
+    `merge_retry_backoff_max_s` (дефолт `5`).
+  - **терминальный** исход (см. FR-2) → немедленно `(False, "merge failed: HTTP <code>")` без
+    дальнейших попыток.
+  - исчерпание попыток на транзиенте → `(False, "merge failed after <N> attempts: HTTP <code>")`.
+- **Kill-switch** `merge_retry_enabled=False` → ровно одна попытка `POST` (текущее one-shot
+  поведение, BR-7).
+- Каждая попытка логируется (`attempt i/N`, код, transient/terminal) — образец `check_ci_green`.
+
+### FR-2 — классификация транзиент vs терминал (BR-2, BR-3)
+- **Транзиентные** (ретраить): `405` («Please try again later»), `408` (timeout), любой `5xx`,
+  `httpx`-таймаут / сетевая ошибка, **и** `409`/`422` когда PR **всё ещё mergeable**.
+- **Терминальные** (НЕ ретраить, быстрый `False`): `403` (нет прав), `404` (PR исчез), и `409`/`422`
+  при **реальном конфликте** (`mergeable==False`).
+- Различение неоднозначного `409`/`422`: дополнительный `GET /pulls/{index}` → поле `mergeable`:
+  - `mergeable==True` → транзиент (Gitea ещё не пересчитал) → ретрай.
+  - `mergeable==False` → реальный конфликт → терминал.
+  - `mergeable` отсутствует/`None` → консервативная дефолт-политика (рекомендация аналитика:
+    трактовать как транзиент с тем же ограниченным бюджетом ретраев, т.к. сетевая икота Gitea —
+    наблюдаемый кейс; финальное решение — архитектор в `06-adr`).
+- Сетевые/таймаут-исключения `httpx` внутри попытки ловятся (never-raise) и классифицируются как
+  транзиент в рамках того же бюджета.
+
+### FR-3 — гард «ветка уже полностью в main» в `ensure_open_pr` (BR-5)
+- Перед шагом «создать PR» (после того как открытый code-PR не найден) `ensure_open_pr` проверяет,
+  что в ветке нет коммитов сверх `origin/main`: в per-branch worktree `git fetch origin main` +
+  `git rev-list --count origin/main..<branch>` (или `git merge-base --is-ancestor <branch> origin/main`).
+  - count `== 0` (ветка целиком в `main`) → `("already-in-main", "<reason>")` — **PR не создаётся**.
+  - count `> 0` (есть невлитые коммиты) → текущий путь `POST …/pulls` (создать code-PR).
+  - git/OS ошибка проверки → **не** блокировать (never-raise); деградировать на текущее поведение
+    (попытаться создать PR) ИЛИ вернуть `failed` — точную fail-политику фиксирует архитектор. Гард
+    не должен превратить инфра-икоту git в ложный no-op мержа.
+- Сигнатура возврата `ensure_open_pr` расширяется новым статусом `"already-in-main"` дополнительно к
+  `"existed"|"created"|"failed"` (обратносовместимо для существующих веток вызова).
+
+### FR-4 — обработка `already-in-main` в `_handle_merge_verify` (BR-5)
+- В `stage_engine._handle_merge_verify` (~1487): при `pr_status == "already-in-main"` —
+  логировать, **пропустить** `merge_gate.merge_pr` (мержить нечего) и перейти сразу к
+  `verify_merged_to_main` (SHA-in-main подтвердит факт мержа → `done`). Это НЕ `failed`-ветка (не
+  HOLD): ветка уже в `main`, цель достигнута.
+- SHA-in-main (`verify_merged_to_main`) остаётся **авторитетным** доказательством мержа; гард только
+  избегает мусорного PR и лишнего `merge_pr`.
+
+### FR-5 — конфигурация и обратная совместимость (BR-6, BR-7)
+- Новые поля `settings` (см. §2) с дефолтами; читаются из env (`ORCH_MERGE_RETRY_*`).
+- При `merge_retry_enabled=False` — поведение `merge_pr` байт-в-байт как сейчас (one-shot).
+- Гард already-in-main также под флагом ИЛИ всегда-вкл (рекомендация: всегда-вкл, т.к. он лишь
+  предотвращает создание заведомо пустого PR; решение — архитектор).
+
+## 4. Изменения API
+
+Нет (внешних HTTP-эндпоинтов оркестратора не добавляется/не меняется). Меняется только клиентское
+обращение к Gitea API внутри `merge_gate` (дополнительный `GET /pulls/{index}` для чтения
+`mergeable` при неоднозначном `409/422`; ретрай `POST …/merge`). Read-only блок merge-verify в
+`GET /queue` (`merge_verify_status()`) опционально может получить счётчик ретраев (необязательно).
+
+## 5. Изменения схемы БД
+
+Нет. (Merge-lease — файловый, не БД; счётчики `_MERGE_VERIFY_COUNTERS` — in-process. Новые поля —
+только в `config.Settings`, не в схеме.)
+
+## 6. Требования к новым/изменённым QG checks
+
+Нет. `STAGE_TRANSITIONS`, состав `QG_CHECKS`, exit-гейты рёбер и под-гейты ребра
+`deploy-staging → deploy` — **не трогаются**. Изменение целиком внутри детерминированного
+merge-актора `merge_pr`/`ensure_open_pr` (под-гейт-врезка `_handle_merge_verify` ребра
+`deploy → done`), который НЕ зарегистрирован в `QG_CHECKS`.
+
+## 7. Совместимость / регресс
+
+- **Kill-switch `merge_retry_enabled=False`** → one-shot `merge_pr` (текущее поведение) — нулевая
+  регрессия.
+- **Защита ORCH-071/081** «deploy succeeded but not merged» сохраняется 1:1: после исчерпания
+  ретраев / на терминальном конфликте `merge_pr` возвращает `False`, и при неподтверждённом
+  SHA-in-main срабатывает прежний HOLD + алерт.
+- **INV-4 / self-hosting safety**: никаких `push`/`force-push` в `main`; мерж только через Gitea
+  PR-merge API; прод-контейнер не перезапускается.
+- **never-raise**: `merge_pr` / `ensure_open_pr` ловят все исключения и возвращают безопасный
+  кортеж — контракт сохранён (тесты на never-raise остаются зелёными).
+- **Идемпотентность**: `pr_already_merged` (idempotency-guard) и гард already-in-main делают
+  повторный прогон финализатора бесследным (нет дублей PR/мержей).
+- **Область раската**: реально задействуется на merge-verify under-gate (self-hosting,
+  `merge_verify_applies`); на прочих репо merge делает LLM-deployer — изменение нейтрально.
+- **Артефакты pipeline**: создаётся/обновляется только аналитический пакет (`01`–`04`); в
+  development-стадии обновятся `CHANGELOG.md`, `.env.example`, merge-gate-раздел доки. ADR
+  (`06-adr/`) — пишет архитектор.
+- Полный регресс `pytest tests/ -q` должен оставаться зелёным.

docs/work-items/ORCH-093/03-acceptance-criteria.md

@@ -0,0 +1,114 @@
+---
+work_item: ORCH-093
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-093 — ретрай транзиентных merge-ошибок Gitea + гард already-in-main
+
+Work Item: **ORCH-093** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
+считается провалом). Reviewer/tester проверяет их буквально по файлам репозитория и тестам.
+
+---
+
+## AC-1 — ретрай транзиента 405/5xx/таймаут → успешный мерж
+
+**Условие:** `merge_pr` при транзиентной ошибке мержа повторяет `POST …/merge` с backoff и
+доводит мерж до успеха в пределах бюджета.
+- **PASS:** мок httpx даёт на `POST …/merge` `405` дважды, затем `200` → `merge_pr` возвращает
+  `(True, …)`, выполнено ровно 3 `POST`, ложного `False` нет. Аналогично для `5xx` и
+  таймаута/сетевой ошибки в первых попытках.
+- **FAIL:** `merge_pr` возвращает `False` на первом `405`/`5xx`/таймауте (one-shot), не делая
+  повторных `POST`.
+
+---
+
+## AC-2 — реальный конфликт / не-mergeable НЕ ретраится (быстрый честный HOLD)
+
+**Условие:** `merge_pr` при реальном конфликте (`409`/`422` с `mergeable==False`) или `403` не
+зацикливается, а возвращает `(False, …)` быстро.
+- **PASS:** мок httpx даёт `409` на `POST …/merge` и `GET /pulls/{n}` с `mergeable=False` →
+  `merge_pr` возвращает `(False, …)` без дополнительных `POST` (не более одной попытки мержа);
+  reason различим как терминальный. `403` → немедленный `(False, …)`.
+- **FAIL:** `merge_pr` ретраит реальный конфликт до исчерпания бюджета (вечный/долгий цикл),
+  задерживая честный HOLD.
+
+---
+
+## AC-3 — исчерпание ретраев → (False, …) + защита ORCH-071/081 как прежде
+
+**Условие:** если транзиент не проходит за `N` попыток, `merge_pr` возвращает `(False, …)` с
+понятным reason; защита «deploy succeeded but not merged» срабатывает как раньше.
+- **PASS:** мок даёт `405` на всех `N` попытках → `merge_pr` возвращает
+  `(False, "merge failed after <N> attempts: HTTP 405")` (или эквивалент); в `_handle_merge_verify`
+  неподтверждённый SHA-in-main → HOLD + алерт (поведение ORCH-071/081 неизменно). Тест на
+  не-merged HOLD остаётся зелёным.
+- **FAIL:** при исчерпании ретраев reason неинформативен; или защита HOLD не срабатывает / задача
+  ошибочно уходит в `done`.
+
+---
+
+## AC-4 — гард «ветка уже в main» → нет мусорного PR, задача доходит до done
+
+**Условие:** если ветка уже полностью в `main` (нет коммитов `origin/main..branch`),
+`ensure_open_pr` не создаёт PR и возвращает `already-in-main`; финализатор доводит до `done`.
+- **PASS:** мок: открытого code-PR нет, `git rev-list --count origin/main..branch == 0` →
+  `ensure_open_pr` возвращает `("already-in-main", …)` и **не делает** `POST …/pulls`; в
+  `_handle_merge_verify` этот статус пропускает `merge_pr` и `verify_merged_to_main` (SHA-in-main)
+  подтверждает мерж → задача доходит до `done` без создания пустого PR.
+- **FAIL:** `ensure_open_pr` создаёт новый пустой PR на уже влитой ветке, либо статус
+  `already-in-main` ошибочно трактуется как `failed` (ложный HOLD).
+
+---
+
+## AC-5 — kill-switch / конфиг ретраев; дефолты задокументированы
+
+**Условие:** ретрай-поведение конфигурируемо (число попыток, backoff, kill-switch); при выключении —
+one-shot как сейчас; дефолты в `.env.example`.
+- **PASS:** в `src/config.py` есть поля `merge_retry_enabled` / `merge_retry_max_attempts` /
+  `merge_retry_backoff_base_s` / `merge_retry_backoff_max_s` с разумными дефолтами (≈3 / 2 / 5);
+  `.env.example` содержит дескрипторы `ORCH_MERGE_RETRY_*`; при `merge_retry_enabled=False` тест
+  подтверждает ровно одну попытку `POST` (one-shot).
+- **FAIL:** ретрай захардкожен (нет флагов/kill-switch), или `.env.example` не обновлён, или при
+  выключенном флаге поведение отличается от текущего one-shot.
+
+---
+
+## AC-6 — never-raise сохранён; регресс зелёный; доки обновлены
+
+**Условие:** контракт never-raise `merge_pr`/`ensure_open_pr` цел; полный регресс зелёный;
+документация и `CHANGELOG` обновлены.
+- **PASS:** при любой HTTP/parse/сетевой ошибке (в т.ч. внутри ретрай-цикла и git-проверки гарда)
+  функции возвращают безопасный кортеж, исключение не пробрасывается; `pytest tests/ -q` зелёный;
+  merge-gate-раздел доки (`docs/architecture/README.md` / `CLAUDE.md`) и `CHANGELOG.md` описывают
+  ретрай и гард already-in-main.
+- **FAIL:** исключение пробрасывается в `advance_stage`; падает любой тест в `tests/`; доки/CHANGELOG
+  не отражают изменение.
+
+---
+
+## AC-7 — инварианты self-hosting / INV-4 не нарушены
+
+**Условие:** изменение не вводит прямых `push`/`force-push` в `main` и не трогает
+`STAGE_TRANSITIONS`/`QG_CHECKS`/схему БД.
+- **PASS:** мерж по-прежнему идёт только через Gitea PR-merge API; `git diff` не содержит правок
+  `STAGE_TRANSITIONS` / состава `QG_CHECKS` / схемы БД; никаких новых вызовов `git push … main`.
+- **FAIL:** появился прямой push в `main`, либо изменены `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1, FR-2 |
+| AC-2 | BR-2, BR-3 / FR-2 |
+| AC-3 | BR-4 / FR-1 |
+| AC-4 | BR-5 / FR-3, FR-4 |
+| AC-5 | BR-6, BR-7 / FR-5 |
+| AC-6 | NFR-1, NFR-6 / FR-1…FR-5 |
+| AC-7 | NFR-2 / §6, §7 ТЗ |

docs/work-items/ORCH-093/04-test-plan.yaml

@@ -0,0 +1,116 @@
+work_item: ORCH-093
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+title: "Ретрай транзиентных merge-ошибок Gitea (405/5xx) + гард already-in-main"
+framework: pytest
+scope: >
+  Покрывает src/merge_gate.py::merge_pr (retry-loop + классификация транзиент/терминал) и
+  ensure_open_pr (гард «ветка уже в main»), новые флаги src/config.py (ORCH_MERGE_RETRY_*) и
+  обработку already-in-main в stage_engine._handle_merge_verify. Вне покрытия: реальная сеть Gitea,
+  STAGE_TRANSITIONS/QG_CHECKS, схема БД.
+notes: >
+  httpx мокается monkeypatch'ем (по образцу tests/test_merge_gate.py / test_orch073_merge_pr.py):
+  последовательности ответов на POST /pulls/{n}/merge и GET /pulls/{n}. time.sleep патчится в no-op,
+  чтобы backoff не замедлял тесты. git-операции гарда (rev-list/merge-base) мокаются через
+  monkeypatch subprocess.run. Полный регресс tests/ должен оставаться зелёным; считается регрессом
+  любое падение существующих test_merge_gate*/test_merge_verify*/test_orch073*.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "merge_pr: POST даёт 405,405,200 -> возвращает (True, merged PR #n); ровно 3 POST; ложного False нет (AC-1)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "merge_pr: POST даёт 503 (5xx), затем 200 -> ретрай -> (True, ...) (AC-1)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "merge_pr: POST бросает httpx Timeout/сетевую ошибку в 1-й попытке, затем 200 -> ретрай -> (True, ...); never-raise (AC-1, AC-6)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "merge_pr: реальный конфликт 409 + GET /pulls/{n} mergeable=False -> (False, ...) без доп. POST (терминал, быстрый HOLD) (AC-2)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "merge_pr: неоднозначный 409 + GET /pulls/{n} mergeable=True -> классифицирован как транзиент -> ретрай -> 200 -> (True, ...) (AC-2)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "merge_pr: 403 (нет прав) -> немедленно (False, ...) без ретрая (терминал) (AC-2)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "merge_pr: 405 на всех N попытках -> (False, 'merge failed after N attempts: HTTP 405') с понятным reason (AC-3)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "merge_pr: kill-switch merge_retry_enabled=False -> ровно один POST (one-shot, как сейчас) при 405 -> (False, ...) (AC-5, AC-3)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "ensure_open_pr: открытого code-PR нет, rev-list --count origin/main..branch == 0 -> ('already-in-main', ...); POST /pulls НЕ вызывается (AC-4)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-10
+    type: unit
+    description: "ensure_open_pr: открытого PR нет, есть невлитые коммиты (count>0) -> создаёт PR ('created', ...) (регресс прежнего поведения) (AC-4)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-11
+    type: unit
+    description: "ensure_open_pr: git-ошибка проверки гарда -> never-raise, безопасный кортеж, без падения (AC-6)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-12
+    type: unit
+    description: "merge_pr/ensure_open_pr: любая непойманная httpx/parse ошибка -> (False/failed, ...) кортеж, исключение не пробрасывается (never-raise) (AC-6)"
+    module: tests/test_merge_gate.py
+    expected: PASS
+
+  - id: TC-13
+    type: unit
+    description: "config: дефолты merge_retry_enabled/merge_retry_max_attempts/backoff_base/backoff_max присутствуют и читаются из ORCH_MERGE_RETRY_* env (AC-5)"
+    module: tests/test_config.py
+    expected: PASS
+
+  - id: TC-14
+    type: integration
+    description: "_handle_merge_verify: ensure_open_pr -> 'already-in-main' пропускает merge_pr, verify_merged_to_main (SHA-in-main) подтверждает -> задача доходит до done без мусорного PR (AC-4)"
+    module: tests/test_merge_verify.py
+    expected: PASS
+
+  - id: TC-15
+    type: integration
+    description: "_handle_merge_verify: merge_pr исчерпал ретраи (False) и SHA-in-main не подтверждён -> HOLD + alert (ORCH-071/081 как прежде), задача удержана на deploy, не done (AC-3)"
+    module: tests/test_merge_verify.py
+    expected: PASS
+
+  - id: TC-16
+    type: integration
+    description: "_handle_merge_verify happy-path: транзиент 405x2->200 в merge_pr -> SHA-in-main подтверждён -> done без ложного HOLD (end-to-end под-гейта deploy->done) (AC-1)"
+    module: tests/test_merge_verify.py
+    expected: PASS

docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md

@@ -0,0 +1,222 @@
+---
+work_item: ORCH-093
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Ретрай транзиентных merge-ошибок Gitea + гард «ветка уже в `main`» (ORCH-093)
+
+Work Item: **ORCH-093** — merge-актор не ретраит транзиентные ошибки Gitea (405/5xx) → ложный HOLD + мусорные PR
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`**
+(амендмент к [adr-0013](../../../architecture/adr/adr-0013-merge-verify-gate.md) /
+[adr-0014](../../../architecture/adr/adr-0014-merge-verify-sha-source-of-truth.md) /
+[adr-0016](../../../architecture/adr/adr-0016-ensure-open-pr-before-merge-verify.md) — лехатая merge-verify под-гейта).
+
+## Статус
+Proposed
+
+## Контекст
+
+Инцидент **ORCH-063 (09.06)**: self-deploy прошёл, staging OK, PR #98 был `open` + `mergeable=True`,
+конфликтов не было — но `POST /pulls/98/merge` вернул `HTTP 405 {"message":"Please try again later"}`
+(Gitea пересчитывал `mergeable` сразу после пуша). Сверено по коду прода `src/merge_gate.py`:
+
+- **`merge_pr` (`src/merge_gate.py:700`) — one-shot.** Тело цикла отсутствует: единственный
+  `POST /pulls/{index}/merge` (стр. 747-752); любой не-`200/201` → немедленно
+  `return False, "merge failed: HTTP {code}"` (стр. 761). Транзиентная икота Gitea = мгновенный
+  `False`. Сработала корректная защита ORCH-071/073 «deploy succeeded but not merged»
+  (`_handle_merge_verify`, `src/stage_engine.py:1527`) → задача удержана на `deploy`, алерт,
+  **потребовался ручной домерж** (повтор `merge_pr` вручную → влилось с первого раза).
+- **`ensure_open_pr` (`src/merge_gate.py:605`) — плодит мусорный PR.** При повторном прогоне
+  финализатора **после** ручного мержа: код-PR уже `merged+closed` → `_find_open_code_pr()`
+  (стр. 639) → `None` → шаг 2 `POST …/pulls` (стр. 663) создаёт **новый пустой PR** на ветке,
+  которая уже целиком в `main` (diff пустой). Пришлось закрывать вручную.
+
+Контраст: у Claude-агентов есть transient-breaker (`429/overload` ретраится,
+`config.transient_max_attempts`/`backoff_*`), у CI-гейта — `check_ci_green`
+(`src/qg/checks.py:82`, `ci_poll_max_attempts` × `ci_poll_interval_s` с логом `attempt i/N`).
+У детерминированного merge-актора аналога нет. Защита ORCH-071/073 отработала верно, но
+**транзиент не должен был требовать человека** — это блокер автономного прогона (эпик ORCH-088) и
+оставляет мусор в списке PR Gitea.
+
+«Как есть» не годится: инфра-икота Gitea = ложный HOLD + ручное вмешательство в автономный конвейер.
+
+## Решение
+
+### Сводка
+
+Две точечные доработки `src/merge_gate.py`, обе **аддитивны**, never-raise, под существующими
+kill-switch'ами; `STAGE_TRANSITIONS` / `QG_CHECKS` / схема БД — не трогаются; INV-4 (мерж только
+через Gitea PR-merge API, никогда `push`/`force-push` в `main`) сохранён.
+
+1. **`merge_pr`** — обернуть **только** `POST …/merge` в ограниченный retry-loop на транзиентных
+   исходах; терминальные → быстрый честный `False` (защита ORCH-071/073 — как прежде).
+2. **`ensure_open_pr`** — гард «ветка уже полностью в `main`» **до** создания PR → новый исход
+   `"already-in-main"`; `_handle_merge_verify` трактует его как «мержить нечего» и даёт
+   авторитетному SHA-in-main (`verify_merged_to_main`) довести до `done` без мусорного PR.
+
+### D1 — retry-loop вокруг `POST …/merge` в `merge_pr` (BR-1, BR-4, BR-6, BR-7 / FR-1)
+
+Шаги `merge_pr` **до** POST — без изменений (идемпотентность `pr_already_merged`; `GET …/pulls?state=open`
+поиск код-PR `head==branch AND base==main`; `index is None → (False, "no open PR")`). Ретраится
+**исключительно** мутирующий `POST /pulls/{index}/merge`:
+
+- Цикл `for attempt in range(1, N+1)`, `N = settings.merge_retry_max_attempts` (дефолт `3`).
+- `200/201` → немедленный `(True, "merged PR #<n>")`.
+- **транзиентный** исход (D2) И `attempt < N` → лог `attempt i/N` (образец `check_ci_green`) →
+  `time.sleep(backoff(attempt))` → повтор POST.
+- **терминальный** исход (D2) → немедленно `(False, "merge failed: HTTP <code>")`, без ретрая.
+- исчерпание на транзиенте → `(False, "merge failed after <N> attempts: HTTP <code>")`.
+
+**Backoff** — экспоненциальный c потолком (идиома transient-breaker агентов, ограничен NFR-4):
+`backoff(i) = min(merge_retry_backoff_base_s * 2**(i-1), merge_retry_backoff_max_s)`
+(дефолты base `2`, max `5`). Суммарный сон ограничен `(N-1) × backoff_max ≤ 10 с`; плюс
+`merge_pr_timeout_s` на POST → верхняя граница задержки детерминирована и **не подвешивает**
+monitor-поток, исполняющий merge-verify (NFR-4).
+
+**Kill-switch** `merge_retry_enabled=False` → ровно одна попытка POST = байт-в-байт текущее one-shot
+поведение (BR-7, нулевая регрессия). Реализуется как `N_eff = N if merge_retry_enabled else 1` без
+ветвления тела цикла.
+
+Привязка: AC-1 (405×2→200 = 3 POST, `True`), AC-3 (405×N → `False` + понятный reason), AC-5
+(kill-switch → 1 POST).
+
+### D2 — классификация транзиент vs терминал (BR-2, BR-3 / FR-2)
+
+Leaf-хелпер `_classify_merge_response(repo, branch, index, status_code) -> "transient" | "terminal"`
+(never-raise). Дерево решений:
+
+| Исход POST | Класс | Действие |
+|------------|-------|----------|
+| `405` («try again later»), `408`, любой `5xx` | **transient** | ретрай |
+| `httpx`-таймаут / сетевое исключение | **transient** | ретрай (ловится внутри попытки, never-raise) |
+| `403` (нет прав), `404` (PR исчез) | **terminal** | быстрый `False` |
+| `409` / `422` | **ambiguous** → доп. `GET /pulls/{index}` → поле `mergeable` | см. ниже |
+
+Разрешение неоднозначного `409/422` по `GET /pulls/{index}` → `mergeable`:
+- `mergeable == True` → **transient** (Gitea ещё не пересчитал — корневой кейс ORCH-063) → ретрай.
+- `mergeable == False` → **terminal** (реальный конфликт) → быстрый честный HOLD.
+- `mergeable` отсутствует / `None` / сам `GET` упал → **transient** в рамках того же ограниченного
+  бюджета (см. дефолт-политику ниже).
+
+**Дефолт-политика для `mergeable == None`/недоступного — транзиент** (принято от рекомендации
+аналитика, FR-2). Обоснование: (а) цель задачи — не давать ложного HOLD на икоте Gitea, а икота —
+именно наблюдаемый кейс с неполным/запаздывающим `mergeable`; (б) цена ошибки ограничена — даже
+если за `None` скрывается реальный конфликт, бюджет ретраев конечен (`≤10 с`), после чего
+`merge_pr` всё равно вернёт `False` → срабатывает **та же** защита ORCH-071/073 (HOLD + алерт);
+(в) обратный выбор (терминал по `None`) воспроизводит ровно тот ложный HOLD, что чинит задача.
+Таким образом дефолт fail-OPEN-в-ретрай безопасен: автономность выигрывает, корректность
+backstop'а сохранена.
+
+Привязка: AC-1 (транзиент → ретрай), AC-2 (`409`+`mergeable=False`/`403` → терминал, ≤1 POST).
+
+### D3 — гард «ветка уже полностью в `main`» в `ensure_open_pr` (BR-5 / FR-3)
+
+Новый leaf-хелпер `_branch_fully_in_main(repo, branch) -> bool | None` (never-raise), вызывается в
+`ensure_open_pr` **после** того как `_find_open_code_pr()` вернул `None` и **до** `POST …/pulls`:
+
+- В per-branch worktree (`ensure_worktree`, изоляция ORCH-2): `git fetch origin main` →
+  `git merge-base --is-ancestor <branch-HEAD> origin/main` (идиома уже используется в
+  `branch_is_behind_main` / `verify_merged_to_main`; эквивалент `git rev-list --count origin/main..HEAD == 0`).
+  - `rc == 0` → ветка целиком в `main` → `True`.
+  - `rc == 1` → есть невлитые коммиты → `False`.
+  - git/OS-ошибка / ambiguous rc → `None`.
+
+Маппинг в `ensure_open_pr`:
+- `True` → новый исход `("already-in-main", "<reason>")` — **PR не создаётся**.
+- `False` → текущий путь шага 2 (`POST …/pulls` создать код-PR) — без изменений.
+- `None` (**fail-OPEN**) → деградировать на текущее поведение (попытаться создать PR), **НЕ**
+  блокировать. Обоснование: единственная цель гарда — избежать заведомо пустого PR; вернуть
+  `"failed"` на git-икоте значило бы превратить инфра-икоту git в ложный no-op/HOLD мержа — ровно
+  анти-паттерн, против которого предостерегает BRD. SHA-in-main downstream остаётся авторитетным:
+  даже если на git-ошибке гард ошибётся и создаст пустой PR, это лишь косметика, не ложный `done`.
+
+Сигнатура `ensure_open_pr` расширяется исходом `"already-in-main"` дополнительно к
+`"existed"|"created"|"failed"` (обратносовместимо для существующих веток вызова).
+
+**Без отдельного флага:** гард — чистый fail-OPEN correctness-guard, уже целиком накрыт
+существующим kill-switch'ем `merge_verify_autocreate_pr_enabled` (вся врезка `ensure_open_pr` в
+`_handle_merge_verify` под ним — `src/stage_engine.py:1486`). Отдельный флаг был бы избыточной
+конфиг-поверхностью (принято от рекомендации FR-5: «всегда-вкл»).
+
+Привязка: AC-4 (count==0 → `already-in-main`, нет POST …/pulls).
+
+### D4 — обработка `already-in-main` в `_handle_merge_verify` (BR-5 / FR-4)
+
+В `stage_engine._handle_merge_verify` (`src/stage_engine.py:1486-1495`): при
+`pr_status == "already-in-main"` — лог, **пропустить** `merge_gate.merge_pr` (мержить нечего) и
+сразу к `verify_merged_to_main` (SHA-in-main подтвердит факт мержа → `done`). Это **НЕ** `failed`-ветка
+(не HOLD): цель уже достигнута, ветка в `main`. Реализуется флагом `skip_merge`, обнуляющим вызов
+`merge_pr` на строке 1498; ветка `verify_merged_to_main` (стр. 1503) и весь нижестоящий код —
+без изменений. SHA-in-main остаётся **авторитетным** доказательством мержа (ADR-0014); гард только
+избегает мусорного PR и лишнего `merge_pr`.
+
+Деградация safety: если по какой-то причине SHA не в `main` при `already-in-main` (не должно случаться,
+т.к. `sha = validated_revision = worktree HEAD`, а ветка целиком в `main`), срабатывает прежний
+HOLD (стр. 1527) — fail-closed, безопасно.
+
+Привязка: AC-4 (`already-in-main` → пропуск `merge_pr`, SHA-in-main → `done`).
+
+### D5 — конфигурация (BR-6, BR-7 / FR-5)
+
+Новые поля `src/config.Settings` (по образцу `ci_poll_*` / `merge_pr_timeout_s`), читаются из env:
+
+| Поле | env | Дефолт |
+|------|-----|--------|
+| `merge_retry_enabled` | `ORCH_MERGE_RETRY_ENABLED` | `True` (kill-switch; `False` → one-shot) |
+| `merge_retry_max_attempts` | `ORCH_MERGE_RETRY_MAX_ATTEMPTS` | `3` |
+| `merge_retry_backoff_base_s` | `ORCH_MERGE_RETRY_BACKOFF_BASE_S` | `2` |
+| `merge_retry_backoff_max_s` | `ORCH_MERGE_RETRY_BACKOFF_MAX_S` | `5` |
+
+Дескрипторы добавляются в `.env.example`. Гард already-in-main — без отдельного флага (D3).
+
+## Альтернативы
+
+- **Ретрай всех steps `merge_pr` (включая `GET …/pulls?state=open`)** — отвергнуто: ретраить нужно
+  только мутирующий POST; список PR — дешёвый идемпотентный GET, его транзиент-ретрай усложняет
+  логику без выгоды (повторный POST сам перечитает при необходимости через `pr_already_merged`).
+- **Терминал по `mergeable == None`** — отвергнуто: воспроизводит ложный HOLD, который чинит задача
+  (см. D2); бюджет ретраев конечен, backstop ORCH-071/073 сохранён.
+- **Фиксированный interval-backoff (как `check_ci_green`)** — отвергнуто в пользу экспоненциального
+  с потолком: merge-икота короткая, экспонента с малым потолком (`5 с`) быстрее проходит первую
+  попытку и жёстко ограничена сверху (NFR-4).
+- **`"failed"` на git-ошибке гарда already-in-main** — отвергнуто: превращает икоту git в ложный
+  no-op/HOLD мержа (анти-паттерн BRD); выбран fail-OPEN-в-create (D3).
+- **Отдельный kill-switch для гарда already-in-main** — отвергнуто: уже накрыт
+  `merge_verify_autocreate_pr_enabled`; лишняя конфиг-поверхность.
+- **Снять/ослабить защиту ORCH-071/081** — вне объёма и неверно: защита корректна, задача лишь
+  снижает **ложные** срабатывания.
+
+## Последствия
+
+- **+** Транзиентная икота Gitea (405/5xx/таймаут/«not mergeable yet») переживается автоматически →
+  нет ложного HOLD, нет ручного домержа в автономном прогоне (ORCH-088).
+- **+** Нет мусорных пустых PR на уже влитой ветке; повторный прогон финализатора идемпотентен (NFR-5).
+- **+** Реальный конфликт по-прежнему даёт быстрый честный HOLD (≤1 POST); защита ORCH-071/073 — 1:1.
+- **+** Наблюдаемость: каждый ретрай логируется `attempt i/N` + класс (transient/terminal) (NFR-6).
+- **−** Доп. `GET /pulls/{index}` на неоднозначном `409/422` (один лишний дешёвый запрос только в
+  редком ambiguous-кейсе) — приемлемо.
+- **−** Дефолт-политика `mergeable==None → transient` может на реальном конфликте добавить ≤10 с
+  до HOLD. Митигейшн: бюджет жёстко ограничен; HOLD всё равно срабатывает.
+- **−** Расширение возврата `ensure_open_pr` новым исходом — все вызовы перечислены, BC сохранён.
+- **Откат:** `ORCH_MERGE_RETRY_ENABLED=false` → one-shot `merge_pr` (нынешнее поведение);
+  `ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=false` отключает врезку `ensure_open_pr` целиком (вместе
+  с гардом). Полный откат кода — revert PR; флаги дают мгновенный runtime-откат без деплоя кода.
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-093/01-brd.md`
+- TRZ: `docs/work-items/ORCH-093/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-093/03-acceptance-criteria.md`
+- Tech-risks: `docs/work-items/ORCH-093/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`
+- Лехатая merge-verify: [adr-0013](../../../architecture/adr/adr-0013-merge-verify-gate.md),
+  [adr-0014](../../../architecture/adr/adr-0014-merge-verify-sha-source-of-truth.md),
+  [adr-0016](../../../architecture/adr/adr-0016-ensure-open-pr-before-merge-verify.md)
+- Сверено по коду: `src/merge_gate.py` (`merge_pr:700`, `ensure_open_pr:605`,
+  `branch_is_behind_main:53`, `verify_merged_to_main:767`), `src/stage_engine.py`
+  (`_handle_merge_verify:1447`), `src/qg/checks.py` (`check_ci_green:82`), `src/config.py`
+  (`ci_poll_*:140`, `merge_pr_timeout_s:549`, `transient_max_attempts:77`)

docs/work-items/ORCH-093/10-tech-risks.md

@@ -0,0 +1,36 @@
+---
+work_item: ORCH-093
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-093 — ретрай транзиентных merge-ошибок Gitea + гард already-in-main
+
+Work Item: **ORCH-093** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | Ошибочная классификация реального конфликта как транзиента (`mergeable==None`/неполный ответ) → лишние ретраи перед HOLD | Сред. | Низ. | D2: бюджет ретраев жёстко ограничен (`(N-1)×backoff_max ≤ 10 с`); после исчерпания — тот же HOLD ORCH-071/073. Цена ≤10 с задержки, не ложный `done`. |
+| TR-2 | Слишком агрессивный/долгий ретрай подвешивает monitor-поток, исполняющий merge-verify | Низ. | Сред. | D1/NFR-4: экспон. backoff с потолком `merge_retry_backoff_max_s`; суммарный сон детерминирован; `merge_pr_timeout_s` ограничивает каждый POST. |
+| TR-3 | Гонка гарда already-in-main vs параллельный мерж (ветка влита между `_find_open_code_pr` и `_branch_fully_in_main`) | Низ. | Низ. | SHA-в-main (`verify_merged_to_main`, ADR-0014) остаётся авторитетным; гард лишь избегает пустого PR. Ложный `done` невозможен — решает SHA, не гард. |
+| TR-4 | git-икота гарда (`fetch`/`merge-base` падает) → ложный `already-in-main` → пропуск реального мержа | Низ. | Выс. | D3: fail-OPEN — `None` деградирует на create-PR, НЕ на `already-in-main`; ложный пропуск мержа структурно невозможен (для `already-in-main` нужен rc==0, не ошибка). |
+| TR-5 | Регрессия one-shot поведения при `merge_retry_enabled=False` | Низ. | Сред. | BR-7: `N_eff = 1` без ветвления тела цикла; тест AC-5 подтверждает ровно один POST. |
+| TR-6 | Расширение возврата `ensure_open_pr` (`already-in-main`) ломает необработанную ветку вызова | Низ. | Сред. | Все вызовы перечислены (`_handle_merge_verify`, `launcher._ensure_pr`); BC: новый исход обрабатывается явно, прочие пути 1:1. Покрытие — тест AC-4. |
+| TR-7 | Лишний `GET /pulls/{index}` на ambiguous `409/422` сам транзиентно падает → неверный класс | Низ. | Низ. | never-raise: сбой `GET` → дефолт transient в рамках бюджета (D2); никогда не исключение в `advance_stage`. |
+
+## Сводный вывод
+
+Доминирующий класс — **корректность классификации транзиент/терминал** (TR-1, TR-4): обе ветки
+спроектированы fail-safe в сторону, противоположную багу (ретрай-с-бюджетом и fail-OPEN-в-create),
+с авторитетным backstop'ом SHA-в-main + защитой ORCH-071/073, которые не трогаются. Остаточный риск
+для прод-конвейера (self-hosting) **низкий**: изменение точечное, аддитивное, полностью отключаемо
+двумя существующими/новыми kill-switch'ами без деплоя кода; `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД
+не затронуты. Эскалация `arch:major-change` **не требуется**; возврат в анализ **не требуется** —
+ТЗ реализуемо без нарушения принципов архитектуры.

docs/work-items/ORCH-093/12-review.md

@@ -0,0 +1,89 @@
+---
+verdict: APPROVED
+work_item: ORCH-093
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-093
+version: 1
+---
+
+# Review ORCH-093
+
+## Summary
+
+Две точечные доработки детерминированного merge-актора (`src/merge_gate.py`), чинящие инцидент
+**ORCH-063** (ложный HOLD на транзиентном `HTTP 405` от Gitea + мусорный пустой PR на уже влитой
+ветке): (1) retry-loop вокруг мутирующего `POST …/merge` с классификатором транзиент/терминал;
+(2) гард `already-in-main` в `ensure_open_pr` + врезка в `_handle_merge_verify`.
+
+Реализация **полностью соответствует** ТЗ (FR-1…FR-5), критериям приёмки (AC-1…AC-7) и ADR-001
+(D1…D5). Контракты сохранены: never-raise, INV-4 (мерж только через Gitea PR-merge API, никогда
+`push`/`force-push` в `main`), `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД — байт-в-байт не тронуты
+(проверено `git diff`: затронуты только `src/merge_gate.py`, `src/config.py` и точечно
+`src/stage_engine.py`). Защита ORCH-071/073/081 («deploy succeeded but not merged») сохранена 1:1:
+терминал/исчерпание ретраев → `(False, …)` → прежний HOLD+alert.
+
+**Тесты содержательные и зелёные:** `tests/test_merge_gate.py` (TC-01…TC-12), `tests/test_config.py`
+(TC-13), `tests/test_merge_verify.py` (TC-14…TC-16), обновлён `tests/test_orch082_ensure_pr.py`.
+Локальный прогон затронутых сьютов — **72 passed**. Каждый AC покрыт буквально (405×2→200=3 POST;
+5xx→200; network→200; реальный конфликт/403 терминал без ретрая; ambiguous-409+mergeable=True ретрай;
+исчерпание; kill-switch one-shot; already-in-main без POST; fail-OPEN на git-ошибке гарда;
+never-raise).
+
+**Трассировка (TRACEABILITY.md):** правки в блоках с маркерами ORCH-071/073/082 сверены с их
+инвариантами — SHA-in-main остаётся единственным авторитетным доказательством мержа (ADR-0014),
+idempotency-guard `pr_already_merged`, фильтр `base==main` для code-PR, never-raise — сохранены.
+В append-only `MAIN_REGRESSION_MARKERS` корректно добавлена строка
+`("ORCH-093", "_classify_merge_response", "src/merge_gate.py")` — без слома существующих маркеров.
+
+Документация обновлена (CHANGELOG, `.env.example`, `CLAUDE.md`, локальный ADR-001 + сквозной
+adr-0027, `docs/architecture/README.md`). Один P2 по гигиене документации (дубль секции в README) —
+не блокирует приёмку.
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- [ ] **Дубль секции ORCH-093 в `docs/architecture/README.md`.** Один и тот же заголовок
+  `#### Ретрай транзиентных merge-ошибок Gitea + гард already-in-main (ORCH-093 — фикс ложного HOLD
+  на 405/5xx)` встречается **дважды** — строки **480–516** и **518–550** — с почти идентичным,
+  перекрывающимся содержимым и совпадающим markdown-anchor'ом. Подтверждено `git diff` (на `origin/main`
+  — 0 вхождений, на ветке — 2), т.е. обе секции добавлены этим PR (вероятно случайная вставка/дубль
+  блока при правке golden-source). README — обзорная витрина архитектуры; дублирующий блок с
+  коллизией заголовков следует схлопнуть в одну секцию (оставить вариант 480–516 или 518–550, не оба).
+  Правило: `CLAUDE.md` §2 «документация = golden source», стандарт обзорных доков (ORCH-079).
+
+### P3 — Nice to have
+- [ ] **`tests/test_merge_gate.py::_PostSeq`** обращается к `self._items_last` до его первой
+  инициализации, если конструктору передать пустой список (атрибут ставится только после первого
+  `pop`). Сейчас не срабатывает (все вызовы передают непустую последовательность), но защититься
+  дефолтом `self._items_last = None` в `__init__` дешевле, чем потенциальный `AttributeError` при
+  будущем редактировании теста.
+
+## Документация
+
+Проверка обязательна (изменён `src/`). Статус — **обновлена** (golden source синхронизирован с кодом):
+
+| Артефакт | Статус |
+|----------|--------|
+| `CHANGELOG.md` | ✅ запись ORCH-093 (`[Unreleased]`) с детализацией retry/guard/конфиг/тесты |
+| `.env.example` | ✅ дескрипторы `ORCH_MERGE_RETRY_*` (4 поля) + пояснительный блок |
+| `CLAUDE.md` | ✅ абзац ORCH-093 в секции «Очередь задач» |
+| `docs/architecture/README.md` | ⚠️ обновлена, но **секция продублирована** (P2 — схлопнуть) |
+| `docs/work-items/ORCH-093/06-adr/ADR-001-…md` | ✅ локальный ADR (proposed) |
+| `docs/architecture/adr/adr-0027-…md` | ✅ сквозной ADR (amends 0013/0014/0016) |
+
+API / `STAGE_TRANSITIONS` / QG / схема БД не менялись → доп. обновлений не требуется. Пункт
+`README.md` «Известные ограничения» данным PR не закрывается (ORCH-079 не применим).
+
+**Вывод:** P0/P1 нет; единственный P2 — косметический дубль секции README (не блокирует). Verdict —
+`APPROVED`. Рекомендую попутно схлопнуть дубль перед мержем.

docs/work-items/ORCH-093/13-test-report.md

@@ -0,0 +1,83 @@
+---
+result: PASS
+work_item: ORCH-093
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-093
+---
+
+# Test Report — ORCH-093
+
+merge-актор ретраит транзиентные ошибки Gitea (405/5xx/таймаут) + гард «ветка уже в main».
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-093-bug-merge-gitea-405-5xx-hold-p`
+- Branch: `feature/ORCH-093-bug-merge-gitea-405-5xx-hold-p`
+- Дата: 2026-06-09
+
+## Предусловия
+- Review verdict: **APPROVED** (`12-review.md`, P0/P1 нет; единственный P2 — косметический дубль секции README, не блокирует).
+
+## Smoke API (read-only, prod 8500)
+| Эндпоинт | Результат |
+|----------|-----------|
+| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
+| `GET /status` | OK (active_tasks отдаётся; ORCH-093 task#78 в `testing`) |
+| `GET /queue` | OK — блок `serial_gate` **присутствует** (ORCH-088), `auto_labels` **присутствует** (ORCH-089), `stop` присутствует (ORCH-090). Регресса смока нет. |
+
+## Результаты (покрытие ТЗ — каждый TC из 04-test-plan.yaml)
+
+| TC ID | Описание (AC) | Тест | Результат |
+|-------|---------------|------|-----------|
+| TC-01 | merge_pr: 405,405,200 → (True, …); ровно 3 POST; ложного False нет (AC-1) | `test_merge_gate.py::test_tc01_merge_retries_405_then_succeeds` | PASS |
+| TC-02 | merge_pr: 503 (5xx)→200 → ретрай → (True, …) (AC-1) | `test_merge_gate.py::test_tc02_merge_retries_5xx_then_succeeds` | PASS |
+| TC-03 | merge_pr: httpx Timeout/сетевая→200 → ретрай; never-raise (AC-1, AC-6) | `test_merge_gate.py::test_tc03_merge_retries_network_error_then_succeeds` | PASS |
+| TC-04 | merge_pr: 409 + GET mergeable=False → (False, …) без доп. POST (терминал) (AC-2) | `test_merge_gate.py::test_tc04_real_conflict_terminal_no_retry` | PASS |
+| TC-05 | merge_pr: ambiguous 409 + GET mergeable=True → транзиент → ретрай → 200 (AC-2) | `test_merge_gate.py::test_tc05_ambiguous_409_mergeable_true_retries` | PASS |
+| TC-06 | merge_pr: 403 → немедленно (False, …) без ретрая (терминал) (AC-2) | `test_merge_gate.py::test_tc06_403_terminal_no_retry` | PASS |
+| TC-07 | merge_pr: 405 на всех N → (False, 'merge failed after N attempts…') понятный reason (AC-3) | `test_merge_gate.py::test_tc07_exhausts_retries_clear_reason` | PASS |
+| TC-08 | merge_pr: kill-switch off → ровно один POST (one-shot) при 405 (AC-5, AC-3) | `test_merge_gate.py::test_tc08_killswitch_off_one_shot` | PASS |
+| TC-09 | ensure_open_pr: count==0 → ('already-in-main', …); POST /pulls НЕ вызван (AC-4) | `test_merge_gate.py::test_tc09_ensure_already_in_main_no_post` | PASS |
+| TC-10 | ensure_open_pr: count>0 → создаёт PR (регресс прежнего поведения) (AC-4) | `test_merge_gate.py::test_tc10_ensure_creates_when_commits_beyond_main` | PASS |
+| TC-11 | ensure_open_pr: git-ошибка гарда → never-raise, fail-open (AC-6) | `test_merge_gate.py::test_tc11_ensure_guard_git_error_fail_open`, `::test_tc11_branch_fully_in_main_never_raises` | PASS |
+| TC-12 | merge_pr/ensure_open_pr: любая httpx/parse ошибка → безопасный кортеж, never-raise (AC-6) | `test_merge_gate.py::test_tc12_merge_pr_never_raises`, `::test_tc12_ensure_open_pr_never_raises` | PASS |
+| TC-13 | config: дефолты merge_retry_* + чтение ORCH_MERGE_RETRY_* env (AC-5) | `test_config.py::test_merge_retry_settings_defaults`, `::test_merge_retry_settings_env_override` | PASS |
+| TC-14 | _handle_merge_verify: 'already-in-main' пропускает merge_pr, SHA-in-main → done (AC-4) | `test_merge_verify.py::test_tc14_already_in_main_skips_merge_pr_then_done` | PASS |
+| TC-15 | _handle_merge_verify: merge_pr исчерпал ретраи + SHA не подтверждён → HOLD+alert (ORCH-071/081) (AC-3) | `test_merge_verify.py::test_tc15_merge_failed_and_not_in_main_holds` | PASS |
+| TC-16 | _handle_merge_verify happy-path: 405x2→200 → SHA-in-main → done без ложного HOLD (AC-1) | `test_merge_verify.py::test_tc16_transient_retry_success_then_done` | PASS |
+
+**Сопоставление с `03-acceptance-criteria.md`:** AC-1 (TC-01/02/03/16), AC-2 (TC-04/05/06),
+AC-3 (TC-07/15), AC-4 (TC-09/10/14), AC-5 (TC-08/13), AC-6 (TC-11/12 + зелёный регресс),
+AC-7 (`STAGE_TRANSITIONS`/`QG_CHECKS`/сигнатуры неизменны — `test_config.py::test_tc19_*` зелёные).
+Все 16 TC выполнены и сопоставлены.
+
+## Вывод pytest
+
+Полный регресс из worktree ветки задачи:
+
+```
+$ cd /repos/_wt/orchestrator/feature_ORCH-093-bug-merge-gitea-405-5xx-hold-p && pytest tests/ -v --tb=short
+...
+======================= 1389 passed, 1 warning in 44.62s =======================
+```
+
+Целевые сьюты ORCH-093 (`test_merge_gate.py`, `test_config.py`, `test_merge_verify.py`,
+`test_orch082_ensure_pr.py`):
+
+```
+======================== 72 passed, 1 warning in 1.84s =========================
+```
+
+Единственный warning — `PydanticDeprecatedSince20` (class-based config, существующий, не связан с ORCH-093).
+Падений и регрессов `test_merge_gate*/test_merge_verify*/test_orch08*/test_config*` нет.
+
+## Итог
+
+PASS — все 1389 тестов зелёные, целевые TC-01…TC-16 PASS и сопоставлены с AC-1…AC-7,
+smoke read-only OK (`serial_gate`/`auto_labels` присутствуют в `/queue`). Задача переходит на `deploy-staging`.

docs/work-items/ORCH-093/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-093
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-093/15-staging-log.md

@@ -0,0 +1,38 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-093
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+timestamp: 2026-06-09T19:44:29Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. `SUCCESS` → дальше; `FAILED` → откат.
+
+Staging test suite completed against the live staging instance. All REAL pipeline checks passed.
+Run canonically **inside the `orchestrator-staging` container** (8501) via the Docker Engine API
+exec endpoint (the `docker` CLI is absent in this agent environment, so the exec was driven over
+`/var/run/docker.sock`; semantics identical to `docker exec` — the script ran with the
+container's own `.env.staging` process-env, so B6 registry-isolation is authoritative).
+
+Command (in-container):
+`python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub`
+
+**Exit code: 0 → SUCCESS.**
+
+## Results — 8/10 checks PASS
+
+- **Block A (SMOKE)**: PASS — A1 `/health` 200 ok · A2 `/queue` 200 with counts/max_concurrency/resilience · A3 `ORCH_STAGING=true`.
+- **Block B (ACCESS)**: PASS — B4 Plane sandbox project accessible · B5 Gitea `orchestrator-sandbox` accessible, push=true · B6 Registry isolation (sandbox=YES, prod-ET=NO, prod-ORCH=NO).
+- **Block C (E2E, mode=stub)**: C7 create issue in Plane SANDBOX PASS · C8 trigger pipeline via `/webhook/plane` PASS · C9a/C9b FAILED (sandbox-infra, **waived** per ORCH-061). Cleanup OK (Plane issue deleted, no branch to delete).
+
+REAL failed: **none**.
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green.

docs/work-items/ORCH-094/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: BUG: терминальная (done) задача флаппит deploy-статусы в Plane (Awaiting↔Monitoring), не держит Done
+
+Work Item ID: ORCH-094
+
+## Description
+
+TBD

docs/work-items/ORCH-094/01-brd.md

@@ -0,0 +1,155 @@
+---
+work_item: ORCH-094
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-094 — терминальная (done) задача флаппит deploy-статусы в Plane (Awaiting↔Monitoring), не держит Done
+
+Work Item: **ORCH-094** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+**Тип:** BUG — рассинхрон БД↔Plane / «зомби»-цикл post-deploy-статуса (self-hosting).
+
+**Симптом (верифицирован живьём 09.06 на ORCH-061):**
+Задача ORCH-061 в БД оркестратора = `done` с 07.06 (task 47; фикс задеплоен в прод; конвейер её
+не трогает — 0 активных job'ов). При этом карточка задачи в **Plane не держит Done**: непрерывно
+флаппит `Monitoring after Deploy ⟷ Awaiting Deploy` парами (туда-обратно за ~2 сек), каждые
+несколько минут. Накоплено 273 активности. Доходило до абсурда: 09.06 14:56 встала в `Done` →
+15:48 её выдернуло обратно `Done → Awaiting Deploy`. Воспроизводится детерминированно: ручной
+sync 061→Done (PATCH 200, 16:47) → через ~60 сек снова `Done → Awaiting Deploy → Monitoring`
+(16:48). Само **не затихает**.
+
+**Установленные факты (по логам/БД прода + чтение кода ветки):**
+- **Сам оркестратор не инициирует переходы из своих штатных стадийных обработчиков для done-задачи.**
+  В момент флаппа лог орка показывает только **входящие** webhook-и Plane
+  (`issue … updated to state … (Awaiting Deploy) → no pipeline action`, затем `(Monitoring) →
+  no pipeline action`). Обработчик `webhooks/plane.py::handle_issue_updated` для статусов
+  Awaiting/Monitoring логирует «no pipeline action» и **сам статус не переотправляет** (echo-loop
+  обработчика исключён).
+- **Actor всех 273 переходов** = `daf4d3f4-55df-4016-9095-0cf9ddd8fd28` — бот-актор оркестратора
+  (тот же токен, под которым орк делает гигиену доски / sync). То есть PATCH-и шлёт **что-то под
+  токеном орка**, не привязанное к активной task/job в БД.
+- В БД орка **нет активного post-deploy-monitor** для task 47 (pdm активен только у текущей
+  063/task 74). `orchestrator-staging` (8501) — не источник (task 061 в его БД отсутствует).
+- В коде ветки **единственные три писателя** deploy-статусов — `src/stage_engine.py`:
+  `set_issue_monitoring` (строка 404, на переходе `deploy → done` для self-hosting),
+  `set_issue_awaiting_deploy` (строка 1218, Phase A), `set_issue_deploying` (строка 1316, Phase B).
+  Все три — **внутри стадийных обработчиков** (`advance_stage` / `_handle_self_deploy_phase_*`),
+  ни один не сидит в фоновом цикле, независимом от таблицы `jobs`.
+- `notifications.py::_live_plane_branch_override` **только читает** живой Plane-статус (для рендера
+  карточки) — писателем не является.
+- Реконсилятор: F-1 пропускает задачи со `stage in ('done','cancelled')` (terminal-skip ORCH-086);
+  F-2 опрашивает issue **только** в статусах `[to_analyse, approved, rejected]` — статусы
+  `Monitoring`/`Awaiting` он не перебирает. **Механизма «привести done-задачу, застрявшую на
+  deploy-статусе, обратно к Done» (идемпотентного схождения) — нет.**
+
+**Боль:** карточка вводит наблюдателя в заблуждение («задача деплоится», хотя она в проде и done),
+шумит активностью (273 события на одной задаче), **вечно жжёт API-вызовы Plane** флаппом и
+маскирует реальное состояние доски. Конвейер технически не нарушен (задача в проде), поэтому
+приоритет **MEDIUM**, но дефект бессрочный и самовоспроизводящийся.
+
+**Родственные задачи:** ORCH-091 (врущие/застывшие статусы карточки), ORCH-068/086 (терминал-скип
+как защита инвариантов). ORCH-094 распространяет идею терминал-скипа на deploy-статусы и закрывает
+источник флаппа.
+
+## 2. Объём (scope)
+
+### В объёме
+- **G1 — устранить источник** PATCH-ей deploy-статуса на задачу, у которой в БД `stage=done` и нет
+  активного job'а. Терминальная (done) задача в Plane должна стабильно держать `Done` и не получать
+  `Awaiting`/`Monitoring`.
+- **G2 — идемпотентность sync/setter'ов:** если БД=`done`, любой sync/монитор/реконсилятор/прямой
+  вызов приводит Plane к `Done` (не к промежуточному deploy-статусу) — терминал-скип/схождение,
+  распространённые на статусы `Monitoring`/`Awaiting` (как ORCH-068/086 для других статусов).
+- **G3 — детерминированный конец post-deploy-monitor:** монитор завершается чётко (HEALTHY / N тиков
+  → Done) и не оставляет «зомби»-таймеров, переживающих завершение задачи/рестарт; тики монитора
+  привязаны к активному job'у в БД (нет job → нет тиков, нет статус-PATCH).
+- **G4 — наблюдаемость:** лог однозначно показывает, **кто и почему** ставит deploy-статус
+  (caller/функция + причина), для будущей диагностики таких флаппов.
+- Инструментальная локализация фактического актора флаппа на проде (воспроизведение на 061) и его
+  документирование (что это было) — в рамках выполнения задачи (developer/architect).
+
+### Вне объёма
+- Изменение конвейера стадий (`STAGE_TRANSITIONS`), состава `QG_CHECKS`, семантики machine-verdict
+  ключей (`deploy_status:`/`staging_status:`/…) — **не трогать**.
+- Изменение рабочего deploy-цикла для **реально деплоящейся** задачи (Phase A→B→C, post-deploy
+  HEALTHY-окно) — поведение должно сохраниться 1:1 (регресс, AC-4).
+- Поведение для не-self-hosting репозиториев (enduro-trails) — нулевая регрессия.
+- Архитектурное решение «где именно поставить гард» (на уровне setter'а в `plane_sync` vs на уровне
+  вызывающего в `stage_engine` vs реконсилятор) — определяет **архитектор** в `06-adr/`.
+
+## 3. Заинтересованные стороны
+
+- **Заказчик/репортёр:** Слава (владелец) — обнаружил на ORCH-061 09.06.
+- **Затрагивает:** всех наблюдателей доски Plane проекта ORCH (ложная индикация); лимиты Plane API
+  (вечный флапп жжёт вызовы под общим бот-токеном).
+- **Принимает результат:** Owner / CI на финальной стадии конвейера.
+- **Особый риск:** self-hosting — правка идёт в инструмент, обслуживающий прод всех проектов из
+  общего инстанса; рабочий deploy-цикл нельзя сломать.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1** — Терминальная задача (БД `stage=done`, 0 активных job'ов), выставленная в Plane=`Done`,
+  **остаётся `Done`** и не получает авто-переходов в `Awaiting Deploy`/`Monitoring after Deploy`.
+- **BR-2** — Любой источник синхронизации (реконсилятор, монитор, прямой вызов setter'а deploy-статуса)
+  для задачи с БД=`done` приводит Plane к **`Done` идемпотентно**, а не к промежуточному deploy-статусу;
+  повторные срабатывания не качают маятник.
+- **BR-3** — Post-deploy-monitor имеет **детерминированный конец** (HEALTHY / исчерпание N тиков → Done,
+  или DEGRADED → Blocked+freeze) и после завершения **не производит ни одного** последующего
+  статус-PATCH для этой задачи; не оставляет таймера/состояния, переживающего завершение или рестарт.
+- **BR-4** — Тики post-deploy-monitor **привязаны к активному job'у** в таблице `jobs`: нет активного
+  job'а для задачи → нет тиков → нет статус-PATCH. «Зомби»-монитор (тики без соответствующего активного
+  job'а) исключён.
+- **BR-5** — Для **реально деплоящейся** задачи (063-подобной) deploy-окно
+  `Awaiting → Deploying → Monitoring → Done` работает в точности как раньше (нет регресса).
+- **BR-6** — Каждый вызов, выставляющий deploy-статус, оставляет в логе однозначную запись **кто
+  (функция/путь) и почему** ставит статус (наблюдаемость для будущей диагностики флаппов).
+- **BR-7** — Фактический источник флаппа на проде локализован и **задокументирован** (что это было)
+  в `06-adr/` и/или `CHANGELOG.md`.
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 — never-raise:** вся новая логика (гарды/терминал-скип/идемпотентность) не бросает
+  исключений в горячих путях; сетевая ошибка Plane при сверке статуса → безопасная деградация
+  (не флаппить и не падать), а не блокировка конвейера всех проектов.
+- **NFR-2 — self-hosting безопасность:** не перезапускать/не ронять прод-контейнер; не трогать
+  `main`/force-push/прод-деплой; правка не меняет рабочий критический путь self-deploy.
+- **NFR-3 — обратимость:** поведение под kill-switch (или иным обратимым флагом) — при выключении
+  возврат к прежнему поведению; нулевая регрессия для не-self репозиториев.
+- **NFR-4 — restart-safe:** состояние монитора/гардов корректно после рестарта контейнера (нет
+  «воскрешения» тиков для уже завершённой задачи).
+- **NFR-5 — `pytest tests/ -q` зелёный**; `STAGE_TRANSITIONS` / `QG_CHECKS` / machine-verdict ключи /
+  схема БД (если без миграции) — без изменений или строго аддитивно.
+
+## 6. Допущения и ограничения
+
+- Допущение: статусы `Monitoring after Deploy` / `Awaiting Deploy` существуют в Plane-проекте ORCH
+  как реальные статусы (иначе alias-fallback маппит их на базовые UUID — это часть диагностики
+  терминал-детекта).
+- Допущение: бот-токен орка (`daf4d3f4-…`) — единственный актор переходов; внешняя Plane-automation
+  под другим токеном считается отдельной гипотезой и проверяется при локализации (H-внешнее).
+- Ограничение: установленные факты выше **не изобретать** — они верифицированы на проде; точный
+  актор флаппа требует инструментального воспроизведения (фикс — после локализации).
+- Ограничение: правка строго в зоне self-hosting deploy/post-deploy/sync; конвейер и гейты неизменны.
+
+## 7. Критерии успеха
+
+Терминальная задача стабильно держит `Done` ≥10 мин без авто-переходов (AC-1); любой sync для done
+идемпотентно сходится к `Done` (AC-2); post-deploy-monitor завершается детерминированно и не
+оставляет тиков/таймеров (AC-3); рабочий deploy-цикл 063-подобной задачи не регрессирует (AC-4);
+never-raise + зелёный pytest + источник флаппа задокументирован (AC-5). Детальные PASS/FAIL — в
+`03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- Гард терминал-скипа поставлен слишком широко → подавит легитимный `Monitoring` у реально
+  деплоящейся задачи (регресс AC-4). Митигировать тонкой привязкой к БД `stage=done` + активность job.
+- Фактический актор флаппа окажется внешней Plane-automation (вне кода орка) → код-фикс не закроет
+  G1 полностью; нужно зафиксировать в ADR и, при необходимости, защититься идемпотентным схождением
+  к Done (BR-2) как буфером.
+- Детали — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-094/02-trz.md

@@ -0,0 +1,129 @@
+---
+work_item: ORCH-094
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-094 — устранение флаппа deploy-статусов у терминальной (done) задачи
+
+Work Item: **ORCH-094** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода ветки.
+> Архитектурное обоснование (ГДЕ ставить гард: setter `plane_sync` vs caller `stage_engine` vs
+> реконсилятор) — задача архитектора (`06-adr/`). Здесь — ЧТО должно выполняться и ГДЕ искать.
+
+## 1. Сводка изменения
+
+Задача с БД `stage=done` и 0 активных job'ов в Plane стабильно держит `Done`: нужно (а) закрыть
+источник, который шлёт ей PATCH-и deploy-статусов (`Awaiting Deploy`/`Monitoring after Deploy`),
+(б) сделать выставление любого **deploy-фазового** статуса **терминал-aware / идемпотентным** —
+для задачи, чья БД-стадия терминальна (`done`/`cancelled`), любой sync/монитор/прямой вызов
+сходится к `Done`, а не к промежуточному статусу, (в) гарантировать детерминированный конец
+post-deploy-monitor с привязкой тиков к активному job'у (нет job → нет тиков), (г) добавить
+наблюдаемость «кто/почему ставит deploy-статус».
+
+Изменение **аддитивное, под обратимым флагом, never-raise**, в зоне self-hosting deploy/post-deploy/sync.
+`STAGE_TRANSITIONS` / `QG_CHECKS` / machine-verdict ключи — **не трогаются**.
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие | Зачем |
+|------|----------|-------|
+| `src/plane_sync.py` | изменить | Сеттеры `set_issue_awaiting_deploy` (~954), `set_issue_deploying` (~964), `set_issue_monitoring` (~974), `set_issue_done` (~913) — кандидат на единый терминал-aware гард (FR-2). Терминал-детект статуса (группа/UUID, ORCH-068) уже здесь. |
+| `src/stage_engine.py` | изменить | Три писателя deploy-статуса: `advance_stage` стр. 404 (`set_issue_monitoring` на `deploy→done`), `_handle_self_deploy_phase_a` стр. 1218, `_handle_self_deploy_phase_b` стр. 1316. `run_post_deploy_monitor` (~1698–1850) — детерминированный конец, привязка к job. `arm_monitor`-вызов (~431). Логирование caller/причины (FR-4). |
+| `src/post_deploy.py` | изменить (вероятно) | `arm_monitor` (~388–411), маркеры `armed`/`series`/`done`, `enqueue_job("post-deploy-monitor", …)` — гарантия отсутствия «зомби»-тиков и привязки к активному job (FR-3). |
+| `src/reconciler.py` | изменить (вероятно) | F-2 опрашивает только `[to_analyse, approved, rejected]` (стр. ~387). Нет схождения «done-задача на deploy-статусе → Done». Добавить идемпотентное схождение/терминал-детект для deploy-статусов (FR-1/FR-2) ИЛИ убедиться, что гард в setter'е делает это излишним. |
+| `src/config.py` | изменить | Kill-switch/флаг новой логики (FR-5). |
+| `src/webhooks/plane.py` | прочитать (диагностика) | `handle_issue_updated` (~129–180): подтверждено, что для `Awaiting`/`Monitoring` логирует «no pipeline action» и не переотправляет — echo-loop исключён; править не требуется (если локализация не покажет иное). |
+| `tests/test_*` | создать/изменить | Анти-регресс по FR-1…FR-5 (см. `04-test-plan.yaml`). |
+| `CHANGELOG.md`, `docs/architecture/README.md`, `CLAUDE.md` | изменить | Документация = golden source; зафиксировать фикс + локализованный источник флаппа (BR-7). |
+
+> **Трассировка маркеров (CLAUDE.md прав. 9):** перед правкой строк с маркерами `ORCH-066`/`ORCH-068`/
+> `ORCH-086`/`ORCH-036`/`ORCH-059`/`ORCH-071`/`ORCH-088` прочитать их `06-adr/` и не сломать инвариант
+> (особенно: deploy→done ставит `Monitoring`, монитор-close ставит `Done`; терминал-скип реконсилятора;
+> post-deploy DEGRADED → freeze ORCH-088).
+
+## 3. Функциональные требования
+
+### FR-1 — Источник флаппа локализован и устранён
+Инструментально воспроизвести флапп на ORCH-061 (или эквивалентной терминальной задаче), определить
+**фактического актора** (функция/путь под бот-токеном орка ИЛИ внешняя Plane-automation) и устранить
+его так, чтобы терминальная задача не получала deploy-статус-PATCH-ей.
+- Зацепки (BR diagnostics): единственные code-писатели — `stage_engine.py:404/1218/1316`; реконсилятор
+  F-1 done-skip есть, F-2 эти статусы не перебирает; live-overlay `notifications.py` — read-only.
+- Если актор — внешняя Plane-automation (вне кода орка), это **фиксируется в ADR** (BR-7) и закрывается
+  буфером FR-2 (идемпотентное схождение к Done гасит маятник на стороне орка).
+- Привязка: BR-1, BR-7.
+
+### FR-2 — Терминал-aware идемпотентность выставления deploy-статуса
+Любая попытка выставить **deploy-фазовый** статус (`Awaiting Deploy`/`Deploying`/`Monitoring after
+Deploy`) для задачи, чья БД-стадия **терминальна** (`stage IN ('done','cancelled')`), должна вместо
+этого привести Plane к `Done` (для `done`) либо к корректному терминалу (для `cancelled`) —
+идемпотентно. Повторные вызовы не качают маятник: уже-`Done` → no-op.
+- Гард — терминал-aware (по БД-стадии задачи, не по живому Plane-статусу), чтобы НЕ подавлять
+  легитимный `Monitoring` у реально деплоящейся (нетерминальной) задачи (BR-5/AC-4).
+- Реализация-кандидат (решает архитектор): единая точка в setter'ах `plane_sync` (требует доступа к
+  БД-стадии по `work_item_id`) ИЛИ в caller'ах `stage_engine`/`reconciler`. ТЗ требует **результат**:
+  done-задача сходится к Done из любого пути.
+- never-raise: невозможность определить стадию/сетевая ошибка → безопасная деградация (не флаппить).
+- Привязка: BR-1, BR-2.
+
+### FR-3 — Детерминированный конец post-deploy-monitor + привязка тиков к активному job
+- Монитор завершается детерминированно: HEALTHY+исчерпание `post_deploy_budget` тиков → `set_issue_done`
+  + маркер `done`; DEGRADED → штатный путь (Blocked/freeze ORCH-088); после завершения — **ни одного**
+  последующего статус-PATCH (маркер `done` — идемпотентный страж, ~стр. 1729).
+- Тик монитора **обязан** проверять, что задача не терминальна и для неё есть основание тикать (нет
+  активного основания/job → тик no-op, новый тик не ставится в очередь). «Зомби»-тик (тик без
+  соответствующего активного job'а/при БД=done) → немедленный no-op без статус-PATCH.
+- Гарантировать, что `arm_monitor` не может быть вызван/перезапущен для задачи, уже находящейся в `done`,
+  способом, который заново ставит `Monitoring` (повторный `deploy→done` re-drive).
+- restart-safe: после рестарта контейнера нет воскрешения тиков для завершённого окна.
+- Привязка: BR-3, BR-4, NFR-4.
+
+### FR-4 — Наблюдаемость выставления deploy-статуса
+Каждый вызов, выставляющий deploy-фазовый статус, логирует структурно: **work_item, caller
+(функция/путь), целевой статус, причина/триггер, БД-стадия задачи на момент вызова**. Достаточно,
+чтобы по логу однозначно определить «кто и почему» при будущем флаппе. Терминал-aware-подавление
+(FR-2) тоже логируется (что подавили и почему).
+- Привязка: BR-6, G4.
+
+### FR-5 — Обратимость и совместимость
+- Новая логика — под kill-switch/флагом в `config.py` (env-override); `False` → прежнее поведение
+  1:1 (нулевая регрессия).
+- Условность self-hosting, как ORCH-035/036/043/088: для не-self репозиториев — no-op / прежнее
+  поведение.
+- Привязка: NFR-3, BR-5.
+
+## 4. Изменения API
+
+Нет новых внешних эндпоинтов конвейера. Допустимо (на усмотрение архитектора) аддитивное read-only
+поле наблюдаемости в `GET /queue` (напр. блок `post_deploy`/`deploy_status_guard` со счётчиками
+подавлений), по образцу существующих блоков `serial_gate`/`reconcile`/`reaper`. Не обязательно.
+
+## 5. Изменения схемы БД
+
+Ожидается **без миграции схемы**: терминал-aware гард читает существующую `tasks.stage`; привязка
+тиков к job — существующая таблица `jobs`; состояние монитора — существующие sentinel-файлы
+(`post_deploy.py`). Если архитектор сочтёт необходимым durable-счётчик/маркер — строго аддитивно
+(`_ensure_column`, по образцу ORCH-088/090), без изменения существующих колонок.
+
+## 6. Требования к новым/изменённым QG checks
+
+**Нет.** `QG_CHECKS` и `check_*` (включая `check_deploy_status`/`check_staging_status`) — **не
+трогаются**; machine-verdict ключи (`deploy_status:`/`staging_status:`/…) — байт-в-байт. ORCH-094 —
+фикс индикации/идемпотентности sync, не гейт.
+
+## 7. Совместимость / регресс
+
+- **Kill-switch** (FR-5): выключение → прежнее поведение 1:1.
+- **Регресс деплоя (AC-4):** рабочий цикл 063-подобной задачи `Awaiting→Deploying→Monitoring→Done`
+  сохраняется — гард срабатывает строго на терминальной БД-стадии, нетерминальная задача проходит
+  как раньше.
+- **Не-self репозитории:** условность self-hosting → нулевая регрессия (enduro-trails).
+- **`STAGE_TRANSITIONS`/`QG_CHECKS`/machine-verdict/схема БД** — без изменений (или строго аддитивно).
+- **never-raise / self-hosting безопасность:** не трогать `main`/force-push/прод-контейнер/детач-деплой.
+- **Артефакты pipeline:** обновляются `CHANGELOG.md`, обзорные доки (`README.md`/`docs/architecture/
+  README.md`), `CLAUDE.md`; `06-adr/ADR-NNN-…` с локализованным источником флаппа (BR-7).

docs/work-items/ORCH-094/03-acceptance-criteria.md

@@ -0,0 +1,94 @@
+---
+work_item: ORCH-094
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-094 — флапп deploy-статусов у терминальной (done) задачи
+
+Work Item: **ORCH-094** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
+считается провалом). Reviewer/CI проверяет их буквально по файлам репозитория и/или прод-проверкой.
+
+---
+
+## AC-1 — Терминальная задача стабильно держит Done
+
+**Условие:** задача с БД `stage=done` и 0 активных job'ов, выставленная в Plane=`Done`, наблюдается
+≥10 минут (воспроизводящий тест на 061-подобной фикстуре и/или прод-проверка на ORCH-061).
+- **PASS:** за окно наблюдения **ни одного** авто-перехода в `Awaiting Deploy`/`Monitoring after
+  Deploy`; статус остаётся `Done`. В тесте: после выставления `Done` ни один кодовый путь орка не
+  порождает PATCH deploy-статуса для этой задачи.
+- **FAIL:** зафиксирован хотя бы один авто-переход done-задачи в `Awaiting`/`Monitoring`, либо флапп
+  продолжается.
+
+---
+
+## AC-2 — Идемпотентное схождение к Done для done-задачи
+
+**Условие:** для задачи с БД `stage IN ('done','cancelled')` инициируется любой источник sync
+(реконсилятор-тик, монитор-тик, прямой вызов setter'а deploy-статуса).
+- **PASS:** результат — `Done` (для `done`) / корректный терминал (для `cancelled`); промежуточный
+  deploy-статус (`Awaiting`/`Deploying`/`Monitoring`) **не** выставляется; повторный вызов на
+  уже-`Done` — no-op (без PATCH-маятника). Подавление логируется (что/почему).
+- **FAIL:** sync для done-задачи выставляет промежуточный deploy-статус, либо повторные вызовы
+  качают `Done ⟷ deploy-статус`.
+
+---
+
+## AC-3 — Детерминированный конец post-deploy-monitor, без «зомби»-тиков
+
+**Условие:** post-deploy-monitor отрабатывает свой жизненный цикл (HEALTHY до исчерпания
+`post_deploy_budget` тиков, либо DEGRADED).
+- **PASS:** по достижении HEALTHY/N-тиков → `set_issue_done` + маркер `done`; **после завершения —
+  0 последующих статус-PATCH** для этой задачи (тест: монитор отработал → последующих
+  `set_issue_*`-вызовов нет). Тик при БД=`done`/отсутствии активного основания → немедленный no-op
+  без PATCH. После рестарта контейнера тики завершённого окна не воскресают.
+- **FAIL:** после завершения монитора фиксируется хотя бы один статус-PATCH; либо «зомби»-тик
+  выполняется без активного job'а/при БД=done и шлёт статус; либо `arm_monitor` повторно ставит
+  `Monitoring` уже-done-задаче.
+
+---
+
+## AC-4 — Регресс: рабочий deploy-цикл реально деплоящейся задачи
+
+**Условие:** реально деплоящаяся 063-подобная задача проходит self-deploy.
+- **PASS:** последовательность статусов `Awaiting Deploy → Deploying → Monitoring after Deploy →
+  Done` работает в точности как до ORCH-094; Phase A/B/C, merge-gate, post-deploy HEALTHY-окно,
+  freeze-на-DEGRADED (ORCH-088) — не затронуты; терминал-aware гард (FR-2) **не** подавляет
+  легитимный `Monitoring` у нетерминальной задачи.
+- **FAIL:** любой шаг рабочего deploy-цикла нетерминальной задачи изменён/подавлён/сломан.
+
+---
+
+## AC-5 — Наблюдаемость, безопасность, документация, зелёный pytest
+
+**Условие:** реализация завершена.
+- **PASS:**
+  - Лог однозначно показывает **кто (функция/путь) и почему** ставит deploy-статус, и что/почему
+    подавлено терминал-aware гардом (FR-4).
+  - never-raise: новая логика не бросает исключений в горячих путях; сетевая ошибка Plane → безопасная
+    деградация. Не трогаются `main`/force-push/прод-контейнер/детач-деплой.
+  - `STAGE_TRANSITIONS` / `QG_CHECKS` / machine-verdict ключи — без изменений; новая логика под
+    kill-switch (`False` → прежнее поведение 1:1); не-self репозитории не затронуты.
+  - `pytest tests/ -q` зелёный; добавлены тесты по `04-test-plan.yaml`.
+  - **Источник флаппа задокументирован** (что это было) в `06-adr/ADR-NNN-…` + `CHANGELOG.md`;
+    обновлены `CLAUDE.md` / `docs/architecture/README.md` (golden source).
+- **FAIL:** нет логирования caller/причины; new-логика бросает/без флага; тронуты гейты/verdict-ключи;
+  красный pytest; источник флаппа не задокументирован; затронут не-self репозиторий.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1 |
+| AC-2 | BR-2 / FR-2 |
+| AC-3 | BR-3, BR-4 / FR-3 |
+| AC-4 | BR-5 / FR-2, FR-5 |
+| AC-5 | BR-6, BR-7 / FR-4, FR-5, NFR-1…NFR-5 |

docs/work-items/ORCH-094/04-test-plan.yaml

@@ -0,0 +1,97 @@
+work_item: ORCH-094
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+title: "Тест-план: терминальная (done) задача не флаппит deploy-статусы, держит Done"
+framework: pytest
+scope: >
+  Покрывается: терминал-aware идемпотентность выставления deploy-статусов
+  (Awaiting/Deploying/Monitoring) для задач с БД stage=done/cancelled; детерминированный
+  конец post-deploy-monitor и отсутствие "зомби"-тиков/статус-PATCH после завершения;
+  привязка тиков монитора к активному job; наблюдаемость caller/причины; обратимость
+  (kill-switch) и регресс рабочего deploy-цикла реально деплоящейся задачи.
+  Вне покрытия: изменение STAGE_TRANSITIONS/QG_CHECKS/machine-verdict ключей (не трогаются);
+  поведение не-self репозиториев (проверяется как нулевая регрессия). Точный актор флаппа на
+  проде локализуется инструментально (developer) и фиксируется в ADR — на это отдельный
+  smoke/прод-чек, не unit.
+notes: >
+  Полный регресс tests/ должен оставаться зелёным (pytest tests/ -q). Setter'ы Plane и сетевые
+  вызовы — мокать (никаких реальных PATCH в Plane из тестов). Регресс = любой авто-переход
+  done-задачи в deploy-статус, либо статус-PATCH после завершения монитора, либо подавление
+  легитимного Monitoring у нетерминальной задачи. Тесты опираются на фикстуры задач со стадиями
+  done/deploy и на счётчики вызовов set_issue_* (через мок).
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "deploy-статус для задачи с БД stage=done сходится к Done: попытка set_issue_monitoring/awaiting/deploying при terminal-стадии выставляет Done (или no-op, если уже Done), а не промежуточный статус."
+    module: tests/test_deploy_status_terminal_guard.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "Идемпотентность: повторный вызов терминал-aware setter'а на уже-Done задаче — no-op (0 дополнительных PATCH), маятник Done<->deploy-статус не возникает."
+    module: tests/test_deploy_status_terminal_guard.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "Нетерминальная задача (stage=deploy) не подавляется: set_issue_monitoring/awaiting/deploying проходит штатно (регресс AC-4)."
+    module: tests/test_deploy_status_terminal_guard.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "Kill-switch выключен -> прежнее поведение 1:1 (терминал-aware гард не вмешивается); включён -> done-задача сходится к Done."
+    module: tests/test_deploy_status_terminal_guard.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "never-raise: при невозможности определить БД-стадию / сетевой ошибке Plane сеттер деградирует безопасно (не флаппит, не бросает исключение)."
+    module: tests/test_deploy_status_terminal_guard.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "post-deploy-monitor: после завершения окна (HEALTHY, ticks==budget -> set_issue_done + маркер done) последующих статус-PATCH для задачи нет (0 set_issue_* вызовов)."
+    module: tests/test_post_deploy_monitor_termination.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "post-deploy-monitor тик при БД stage=done / отсутствии активного основания -> немедленный no-op без статус-PATCH и без постановки следующего тика ('зомби'-тик исключён)."
+    module: tests/test_post_deploy_monitor_termination.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "arm_monitor не пере-арминг для задачи, уже находящейся в done: повторный deploy->done re-drive не выставляет Monitoring заново (маркер armed/done -> no-op)."
+    module: tests/test_post_deploy_monitor_termination.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "Наблюдаемость: каждый вызов выставления deploy-статуса логирует work_item, caller/путь, целевой статус, причину и БД-стадию; подавление терминал-aware гардом тоже логируется."
+    module: tests/test_deploy_status_observability.py
+    expected: PASS
+
+  - id: TC-10
+    type: integration
+    description: "Реконсилятор/sync для задачи с БД=done и Plane=Monitoring приводит к Done идемпотентно (а не к промежуточному deploy-статусу) и не качает маятник на повторных тиках."
+    module: tests/test_reconciler_done_deploy_convergence.py
+    expected: PASS
+
+  - id: TC-11
+    type: integration
+    description: "Регресс рабочего deploy-цикла: реально деплоящаяся (нетерминальная) 063-подобная задача проходит Awaiting -> Deploying -> Monitoring -> Done без подавления (Phase A/B/C, post-deploy HEALTHY-окно как раньше)."
+    module: tests/test_self_deploy_cycle_regression.py
+    expected: PASS
+
+  - id: TC-12
+    type: integration
+    description: "Не-self репозиторий (enduro-подобный): нулевая регрессия — терминал-aware гард deploy-статусов инертен (условность self-hosting)."
+    module: tests/test_deploy_status_terminal_guard.py
+    expected: PASS

docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md

@@ -0,0 +1,232 @@
+---
+work_item: ORCH-094
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Terminal-window-aware гард выставления deploy-фазовых статусов Plane
+
+Work Item: **ORCH-094** — терминальная (done) задача флаппит deploy-статусы в Plane
+(`Awaiting Deploy ⟷ Monitoring after Deploy`), не держит `Done`.
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`**
+(кросс-каттинг: правит общие сеттеры `plane_sync` + переупорядочивает маркированный блок
+`next_stage == "done"` ORCH-021/066).
+
+## Статус
+Proposed
+
+## Контекст
+
+Сверено по коду ветки `feature/ORCH-094-…`:
+
+- **Три code-писателя deploy-фазовых статусов** — все в `src/stage_engine.py`, все вызывают
+  тонкие сеттеры `src/plane_sync.py`, которые делегируют в общий `_set_issue_state_direct`
+  (PATCH issue.state; never-raise; **БД-стадию не читает**):
+  - `set_issue_awaiting_deploy` (Phase A, `stage_engine.py:1218`),
+  - `set_issue_deploying` (Phase B, `stage_engine.py:1316`),
+  - `set_issue_monitoring` (terminal-sync `deploy → done` для self-hosting, `stage_engine.py:404`).
+  - `set_issue_done` (`plane_sync.py:913`) — **терминальная цель**, отдельно.
+- **Критический факт ordering'а:** в `advance_stage` строка **369** `update_task_stage(task_id, "done")`
+  пишет `tasks.stage='done'` **РАНЬШЕ**, чем строка **404** `set_issue_monitoring(...)`. То есть в
+  момент **легитимного** первого выставления `Monitoring after Deploy` задача в БД **уже `done`**.
+  Пост-деплой-окно ORCH-021 — это by-design индикация поверх уже-терминальной (`done`) задачи
+  («ответственность ЗА `done`»). ⇒ **наивный гард «stage==done → редирект на Done» подавил бы
+  легитимный `Monitoring` → регресс AC-4.**
+- **Арм пост-деплой-монитора** (`stage_engine.py:431` → `post_deploy.arm_monitor`) выполняется
+  **ПОСЛЕ** строки 404. Sentinel `ARMED` пишется в `arm_monitor`; окно закрывается sentinel'ом
+  `DONE` (`post_deploy.mark_done`); идемпотентный страж `has_marker(...DONE)` в
+  `run_post_deploy_monitor` (~1729).
+- **Симптом (верифицирован живьём на ORCH-061, task 47, done с 07.06):** Plane не держит `Done` —
+  непрерывный флапп `Awaiting ⟷ Monitoring` парами каждые ~сек, 273 активности, само не затихает.
+  В БД **нет активного post-deploy-monitor** для task 47 (окно 15 мин давно закрыто); реконсилятор
+  F-1 пропускает `done`/`cancelled`, F-2 опрашивает только `[to_analyse, approved, rejected]` —
+  механизма «привести застрявшую на deploy-статусе done-задачу обратно к Done» нет. Актор всех 273
+  переходов — бот-токен орка (`daf4d3f4-…`), т.е. PATCH-и шлёт **что-то под токеном орка**, не
+  привязанное к активной task/job. Точный актор подлежит инструментальной локализации (FR-1,
+  developer); фикс должен быть **буфером, гасящим маятник на стороне орка независимо от актора**.
+
+**Почему «как есть» не годится:** сеттеры deploy-статусов терминал-слепы — любой повторный вызов
+(стейл-job, двойной webhook, неизвестный внутренний путь под бот-токеном) перезаписывает `Done`
+обратно на промежуточный deploy-статус, и наоборот, бесконечно. Нет ни идемпотентного схождения к
+`Done` для терминальной задачи, ни наблюдаемости «кто/почему» ставит статус.
+
+## Решение
+
+### Сводка
+
+Вводим **единый terminal-window-aware гард на самом низком чокпоинте** — на входе трёх
+deploy-фазовых сеттеров `plane_sync`. Решение принимает **новый leaf-модуль
+`src/deploy_status_guard.py`** (чистая, never-raise, config-gated логика; по образцу
+`serial_gate.py`/`labels.py`/`cancel.py`), сеттеры лишь исполняют вердикт. Ключевой инвариант:
+**deploy-фазовый статус легитимен ⇔ задача нетерминальна ИЛИ (`done` И активно пост-деплой-окно)**;
+иначе — идемпотентное схождение к `Done`. Чтобы легитимный первый `Monitoring` на строке 404
+проходил, **арм-блок переносится перед terminal-sync-блоком** (предикат «окно активно» становится
+истинным до выставления `Monitoring`). Всё под kill-switch, аддитивно, в зоне self-hosting; реестры
+конвейера не тронуты.
+
+### D1 — Где гард: единый чокпоинт в deploy-фазовых сеттерах `plane_sync`
+
+Гард ставится на входе **`set_issue_awaiting_deploy` / `set_issue_deploying` / `set_issue_monitoring`**
+(а НЕ в caller'ах `stage_engine`). Это перехватывает **любой** путь к этим статусам — известные
+(stage_engine), будущие и **неизвестный актор под бот-токеном** (если он проходит через код орка) —
+одной точкой. `set_issue_done` **не гардится** (это цель схождения). Привязка: **FR-2, BR-1, BR-2**.
+
+> Альтернатива «гард в caller'ах stage_engine» отвергнута: не ловит неизвестный/стейл путь, который
+> и есть подозреваемый источник 061-флаппа; размазывает инвариант по трём местам. См. «Альтернативы».
+
+### D2 — Предикат легитимности: терминал **И окно**, не только стадия
+
+Вердикт `deploy_status_guard.decide(work_item_id, target_status) -> ALLOW | CONVERGE_DONE | SUPPRESS`:
+
+1. `not settings.deploy_status_guard_enabled` → **ALLOW** (kill-switch off ⇒ поведение 1:1).
+2. `task = <lookup по work_item_id>`; `task is None` → **ALLOW** (чужой/не наш issue — не вмешиваемся).
+3. `not deploy_status_guard.applies(task.repo)` → **ALLOW** (не-self репо ⇒ нулевая регрессия; для них
+   `Monitoring`/`Awaiting`/`Deploying` и так не выставляются — terminal-sync идёт сразу в `Done`).
+4. `stage = task.stage`; `stage NOT IN ('done','cancelled')` → **ALLOW** (нетерминальная задача —
+   легитимный рабочий deploy-цикл; **AC-4**).
+5. `stage == 'cancelled'` → **SUPPRESS** (не штампуем deploy-статус поверх терминала `cancelled`;
+   cancel-flow ORCH-090 уже привёл Plane к своему терминалу — гард лишь не затирает его).
+6. `stage == 'done'`:
+   - `target == 'monitoring'` **И** `post_deploy.window_active(repo, work_item_id)` → **ALLOW**
+     (легитимное пост-деплой-окно — `Monitoring` корректен; **AC-4**);
+   - иначе → **CONVERGE_DONE** (для `done` `Awaiting`/`Deploying` всегда спуриозны — Phase A/B
+     случаются строго **до** `deploy → done`; и `Monitoring` при закрытом/неарм'ленном окне —
+     спуриозен, как 061).
+7. **Любое исключение / невозможность определить стадию** → **ALLOW** + `logger.warning`
+   (never-raise, fail-safe к прежнему поведению; **NFR-1**). БД-чтение локальное (SQLite) и надёжное —
+   в штатном случае стадия читается, маятник не возникает.
+
+Сеттер исполняет вердикт: `ALLOW` → штатный PATCH; `CONVERGE_DONE` → `set_issue_done(work_item_id)`
+(идемпотентно — уже-`Done` ⇒ no-op PATCH-эквивалент); `SUPPRESS` → ничего не патчим. Привязка:
+**FR-2, BR-1, BR-2, AC-1, AC-2, AC-4**.
+
+**Новый helper** `post_deploy.window_active(repo, wi) -> bool` = `has_marker(ARMED) and not
+has_marker(DONE)` (never-raise; restart-safe — sentinel'ы на диске переживают рестарт; **NFR-4**).
+
+### D3 — Перенос арм-блока перед terminal-sync (чтобы D2 пропускал легитимный первый `Monitoring`)
+
+В `advance_stage`, внутри ветки `next_stage == "done"`, **арм-блок** (`post_deploy.arm_monitor`,
+сейчас стр. 431) перемещается **выше** terminal-sync-блока (`set_issue_monitoring`, стр. 404). После
+переноса в момент строки 404: `ARMED` уже записан, `DONE` отсутствует ⇒ `window_active==True` ⇒
+вердикт **ALLOW** ⇒ легитимный `Monitoring` проходит как раньше. Re-drive `deploy → done` **после**
+закрытия окна (`DONE` присутствует) ⇒ `window_active==False` ⇒ **CONVERGE_DONE** (не воскрешает
+`Monitoring`).
+
+Перенос безопасен: `arm_monitor` лишь пишет sentinel + ставит отложенный job — не зависит ни от
+Plane-статуса, ни от merge-lease (release остаётся после terminal-sync). Инварианты ORCH-021
+(идемпотентный арм по `ARMED`) и ORCH-066 (`deploy → done` для self ⇒ `Monitoring`, не `Done`)
+сохранены. Привязка: **AC-4, BR-5**; маркеры `ORCH-021`/`ORCH-066` (прочитаны: `06-adr/ADR-001`,
+`adr-0010`).
+
+> Альтернатива «bypass-флаг `force=True` на доверенном вызове 404 вместо переноса» отвергнута: плодит
+> два определения «легитимности» и доверенный обход; перенос оставляет **один** предикат «окно активно».
+
+### D4 — Харднинг пост-деплой-монитора: нет «зомби»-тиков/PATCH после закрытия окна
+
+`run_post_deploy_monitor` (`stage_engine.py` ~1698): сохранить существующий идемпотентный страж
+`has_marker(...DONE)` (~1729; первым — ранний `return` без PATCH/реэнкью). Аддитивно: тик
+**no-op без PATCH и без перепостановки**, если задача стала терминальной аномально (`stage ==
+'cancelled'` мид-окно → закрыть окно `mark_done`, без статус-PATCH). Перепостановка тика остаётся
+строго при `HEALTHY and ticks < budget` — тики **привязаны к активному job'у** (тик и есть job; нет
+job → нет тика). После закрытия окна (`DONE`) или исчерпания бюджета — **0 последующих** статус-PATCH;
+любой стейл-вызов `set_issue_monitoring` теперь добивается гардом D2 (`window_active==False` →
+CONVERGE_DONE). `arm_monitor` уже идемпотентен по `ARMED` (повторный арм done-задачи → no-op). Привязка:
+**FR-3, BR-3, BR-4, AC-3, NFR-4**.
+
+### D5 — Наблюдаемость «кто/почему» (FR-4)
+
+Каждый вердикт гарда логируется структурно одной записью: `work_item`, `caller` (короткая причина —
+аддитивный BC-kwarg `reason: str | None = None` у трёх сеттеров; call-site передаёт напр.
+`"advance:deploy->done"`/`"phase_a"`/`"phase_b"`/`"monitor-tick"`), `target_status`, `db_stage`,
+`window_active`, итоговый вердикт (`ALLOW`/`CONVERGE_DONE`/`SUPPRESS`). Подавление/схождение
+(`CONVERGE_DONE`/`SUPPRESS`) логируется **явно** («что подавили и почему»). Достаточно, чтобы по
+логу однозначно атрибутировать будущий флапп. Привязка: **FR-4, BR-6, AC-5**.
+
+### D6 — Обратимость, скоуп, флаги (FR-5)
+
+`src/config.py` (по образцу ORCH-088/090):
+- `deploy_status_guard_enabled: bool = True` — env `ORCH_DEPLOY_STATUS_GUARD_ENABLED` (kill-switch;
+  `False` → сеттеры терминал-слепы, поведение **1:1** прежнее).
+- `deploy_status_guard_repos: str = ""` — env `ORCH_DEPLOY_STATUS_GUARD_REPOS` (CSV; **пусто →
+  self-hosting only**). `applies(repo)` (локальный, без сети) — единственная точка скоупа.
+
+Дефолт `enabled=True` + `repos=""` ⇒ активен только для self-hosting (`orchestrator`), где deploy-фазовые
+статусы вообще выставляются; не-self репо (enduro-trails) гард не трогает (D2 шаг 3). Привязка: **NFR-3,
+BR-5, FR-5, AC-4, AC-5**.
+
+### D7 — Что НЕ трогаем (инварианты)
+
+`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи
+(`deploy_status:`/`staging_status:`/`security_status:`) — **байт-в-байт**. Схема БД — **без миграции**
+(гард читает существующую `tasks.stage`; окно — существующие sentinel'ы `post_deploy.py`; привязка к
+job — существующая таблица `jobs`). `main`/force-push/прод-контейнер/detached-деплой — **не трогаются**.
+Рабочий критический путь self-deploy (Phase A→B→C, merge-gate, freeze-на-DEGRADED ORCH-088) —
+сохранён 1:1. Реконсилятор F-1/F-2 — **без изменений** (гард на сеттере субсумирует «sync → Done»:
+любой путь, дёрнувший deploy-сеттер для done-задачи, сходится к `Done`). Привязка: **NFR-2, NFR-5, AC-5**.
+
+### D8 — Лукап задачи по `work_item_id` (реализационная заметка для developer)
+
+Сеттеры принимают `work_item_id` (напр. `"ORCH-061"`). В `src/db.py` существующий
+`get_task_by_plane_id` матчит `plane_id`/`plane_issue_id` (UUID-ы), **не** человекочитаемый
+`work_item_id`. Developer добавляет минимальный **read-only** аксессор
+`get_task_by_work_item_id(work_item_id)` (`SELECT * FROM tasks WHERE work_item_id = ?`; живой ряд
+матчит точно — тумбстоны ORCH-090 имеют суффикс `#cancelled-<id>`), **без изменения схемы**. Один
+локальный SELECT отдаёт и `repo`, и `stage` для D2.
+
+## Альтернативы
+
+- **Гард в caller'ах `stage_engine` (а не в сеттерах)** — отвергнуто: не ловит неизвестный/стейл
+  актор под бот-токеном (вероятный источник 061-флаппа), размазывает инвариант по трём врезкам,
+  слабее как буфер BR-2 «сходимость из любого пути».
+- **Наивный гард «stage==done → редирект на Done» (без предиката окна)** — отвергнуто: подавляет
+  легитимный пост-деплой `Monitoring` (он by-design поверх уже-`done` задачи, стр. 369 < 404) ⇒
+  прямой регресс **AC-4**.
+- **Bypass-флаг `force=True` на доверенном вызове 404** (вместо переноса арм-блока) — отвергнуто:
+  два определения легитимности + доверенный обход; перенос даёт один предикат «окно активно».
+- **Активная сходимость в реконсиляторе (F-2 опрашивает Awaiting/Monitoring → set_issue_done)** —
+  отвергнуто как **основной** механизм (лишний Plane-polling, правка маркированного F-2). Гард на
+  сеттере уже гасит непрерывный флапп (каждый вызов актора сходится к `Done` за один цикл). Возможен
+  как **необязательный** follow-up для разовой зачистки quiescent-застрявшего статуса (вне scope —
+  такой кейс чинится разовым ручным sync; наблюдаемый дефект — непрерывный флапп, который буфер
+  покрывает).
+- **Колонка-маркер в `tasks` для состояния окна** — отвергнуто: миграция на проде; sentinel'ы
+  `post_deploy.py` уже restart-safe (как ORCH-021/036).
+
+## Последствия
+
+- **+** Терминальная (`done`) задача стабильно держит `Done`: любой deploy-сеттер для неё сходится к
+  `Done` идемпотентно, маятник гаснет за один цикл независимо от актора (буфер BR-1/BR-2, AC-1/AC-2).
+- **+** Легитимный пост-деплой `Monitoring` сохранён точно (предикат «окно активно» + перенос
+  арм-блока); рабочий deploy-цикл 1:1 (AC-4).
+- **+** Наблюдаемость: лог однозначно атрибутирует «кто/почему» при будущем флаппе (AC-5).
+- **+** Единый низкий чокпоинт ловит и неизвестный внутренний путь под бот-токеном.
+- **−** Один локальный SELECT (`tasks`) на каждый deploy-фазовый PATCH-вызов self-репо. Митигейшн:
+  читается тот же ряд, что даёт `repo` для `applies`; SQLite-чтение пренебрежимо против сетевого PATCH;
+  для не-self/выключенного флага — ранний ALLOW без лукапа окна.
+- **−** Если фактический актор флаппа — **внешняя** Plane-automation под другим токеном (вне кода
+  орка), code-фикс не закроет G1 полностью. Митигейшн: гард — буфер на стороне орка; локализация
+  актора (FR-1) и итог документируются (BR-7) — этот ADR фиксирует гипотезу «под бот-токеном орка».
+- **−** Перенос арм-блока меняет порядок внутри маркированного блока ORCH-021/066. Митигейшн:
+  инварианты обоих ADR проверены сохранёнными (D3); анти-регресс — TC-11 (рабочий цикл) + структурные
+  тесты.
+- **Откат:** `ORCH_DEPLOY_STATUS_GUARD_ENABLED=false` → сеттеры терминал-слепы, поведение 1:1
+  прежнее (D2 шаг 1). Полный откат — revert ветки (перенос арм-блока + leaf + config + сеттер-врезки).
+
+## Ссылки
+
+- BRD: `docs/work-items/ORCH-094/01-brd.md`
+- TRZ: `docs/work-items/ORCH-094/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-094/03-acceptance-criteria.md`
+- Tech-risks: `docs/work-items/ORCH-094/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`
+- Сверено по коду: `src/stage_engine.py` (369/404/431/1218/1316/~1698-1729),
+  `src/plane_sync.py` (913/954/964/974, `_set_issue_state_direct`), `src/post_deploy.py`
+  (`arm_monitor`/`has_marker`/`ARMED`/`DONE`/`state_dir`), `src/reconciler.py` (F-1/F-2),
+  `src/config.py` (флаги ORCH-088/021/036), `src/db.py` (`get_task_by_plane_id`).
+- Маркеры (прочитаны, не сломаны): ORCH-021 (`adr-0010` / `06-adr/ADR-001`), ORCH-066
+  (`06-adr/ADR-001-plane-status-model`), ORCH-086/068 (терминал-скип), ORCH-088 (freeze),
+  ORCH-090 (cancelled-терминал).

docs/work-items/ORCH-094/10-tech-risks.md

@@ -0,0 +1,90 @@
+---
+work_item: ORCH-094
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-094 — terminal-window-aware гард deploy-статусов
+
+Work Item: **ORCH-094** · Repo: **orchestrator** · Стадия: architecture
+
+Формат: каждый риск — **вероятность × влияние**, причина, **митигейшн**, привязка к AC/ADR-решению.
+
+---
+
+## R-1 — Гард подавляет ЛЕГИТИМНЫЙ `Monitoring` у реально деплоящейся задачи (регресс AC-4)
+- **Вероятность:** средняя (без точного предиката — высокая) · **Влияние:** высокое.
+- **Причина:** `update_task_stage("done")` (стр. 369) выполняется **раньше** `set_issue_monitoring`
+  (стр. 404) ⇒ в момент легитимного `Monitoring` задача в БД уже `done`. Наивный гард
+  «stage==done → Done» затёр бы легитимную индикацию.
+- **Митигейшн:** предикат **«терминал И НЕ активное окно»** (D2 шаг 6) + **перенос арм-блока перед
+  terminal-sync** (D3): `window_active==True` на стр. 404 ⇒ ALLOW. Анти-регресс — **TC-11**
+  (рабочий цикл `Awaiting→Deploying→Monitoring→Done` без подавления) + **TC-03** (stage=deploy
+  проходит).
+
+## R-2 — Фактический актор флаппа — внешняя Plane-automation (вне кода орка)
+- **Вероятность:** низкая · **Влияние:** среднее (G1 закрыт не полностью).
+- **Причина:** все 273 перехода — под бот-токеном орка; гипотеза H-внешнее не исключена до
+  инструментальной локализации (FR-1).
+- **Митигейшн:** гард — **буфер на стороне орка** (BR-2): если PATCH идёт через код орка — гасится;
+  developer локализует актора (FR-1) и фиксирует в ADR/CHANGELOG (BR-7). Если актор реально внешний —
+  это документируется как known-limitation, гард остаётся защитой от внутренних путей.
+
+## R-3 — Перенос арм-блока ломает инвариант ORCH-021/066
+- **Вероятность:** низкая · **Влияние:** высокое (self-hosting прод).
+- **Причина:** правка порядка внутри маркированного блока `next_stage == "done"`.
+- **Митигейшн:** `arm_monitor` не зависит от Plane-статуса/merge-lease (пишет sentinel + ставит
+  отложенный job); merge-lease release остаётся после terminal-sync; идемпотентность арма по `ARMED`
+  и инвариант ORCH-066 (`deploy→done` self ⇒ `Monitoring`) сохранены (D3). Прочитаны `adr-0010` +
+  `06-adr/ADR-001-plane-status-model`. Тесты TC-06/TC-08 + TC-11.
+
+## R-4 — `never-raise`-деградация маскирует флапп (fail-safe = ALLOW)
+- **Вероятность:** низкая · **Влияние:** низкое.
+- **Причина:** при ошибке лукапа стадии / сетевой ошибке гард делает ALLOW (прежнее поведение), что
+  в теории не гасит маятник.
+- **Митигейшн:** БД-чтение — локальный SQLite (надёжно; ошибка редка); в штатном случае стадия
+  читается ⇒ сходимость работает. Деградация **логируется** `warning` (D5) ⇒ видно в диагностике.
+  NFR-1 приоритезирует «не падать/не блокировать конвейер всех проектов» над агрессивным подавлением.
+  Тест TC-05.
+
+## R-5 — «Зомби»-тик пост-деплой-монитора после рестарта/стейл-job шлёт статус-PATCH
+- **Вероятность:** низкая · **Влияние:** среднее.
+- **Причина:** стейл-job `post-deploy-monitor` в очереди после закрытия окна/рестарта мог бы дёрнуть
+  `set_issue_monitoring`.
+- **Митигейшн:** идемпотентный страж `has_marker(...DONE)` (ранний return без PATCH/реэнкью, ~1729) +
+  тик no-op при `cancelled` мид-окно (D4) + **гард D2** (`window_active==False` ⇒ CONVERGE_DONE).
+  restart-safe (sentinel'ы на диске). Тесты TC-06/TC-07.
+
+## R-6 — Стоимость лукапа `tasks` на каждый deploy-PATCH
+- **Вероятность:** низкая · **Влияние:** пренебрежимое.
+- **Причина:** новый SELECT на каждый вызов deploy-сеттера self-репо.
+- **Митигейшн:** тот же ряд даёт `repo` для `applies`; SQLite-чтение ничтожно против сетевого PATCH;
+  не-self/выключенный флаг → ранний ALLOW. Без кэша (корректность > микро-оптимизация).
+
+## R-7 — Регресс не-self репозиториев (enduro-trails)
+- **Вероятность:** очень низкая · **Влияние:** среднее.
+- **Причина:** общий инстанс/БД; правка общих сеттеров `plane_sync`.
+- **Митигейшн:** `applies(repo)` (D2 шаг 3, `deploy_status_guard_repos=""` → self-hosting only);
+  для не-self deploy-фазовые статусы и так не выставляются (terminal-sync сразу `Done`). Тест TC-12.
+
+## R-8 — Лукап по `work_item_id` не матчит (нет аксессора)
+- **Вероятность:** низкая · **Влияние:** низкое (деградирует в ALLOW).
+- **Причина:** `get_task_by_plane_id` матчит UUID-ключи, не человекочитаемый `work_item_id`.
+- **Митигейшн:** developer добавляет read-only `get_task_by_work_item_id` (D8, без миграции); при
+  промахе — ALLOW (never-raise). Тумбстоны ORCH-090 (`#cancelled-<id>`) не коллизируют с живым рядом.
+
+---
+
+## Сводка по инвариантам (не нарушены)
+
+| Инвариант | Статус |
+|-----------|--------|
+| `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи | не тронуты (D7) |
+| Схема БД | без миграции (read-only аксессор) (D7/D8) |
+| `main` / force-push / прод-контейнер / detached-деплой | не тронуты (D7, NFR-2) |
+| Рабочий self-deploy (Phase A→B→C, merge-gate, freeze ORCH-088) | 1:1 (D7, AC-4) |
+| Реконсилятор F-1/F-2 | без изменений (гард субсумирует sync→Done) (D7) |
+| Обратимость (kill-switch → 1:1) | `ORCH_DEPLOY_STATUS_GUARD_ENABLED` (D6) |

docs/work-items/ORCH-094/12-review.md

@@ -0,0 +1,102 @@
+---
+verdict: APPROVED
+work_item: ORCH-094
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-094
+version: 1
+---
+
+# Review ORCH-094 — terminal-window-aware гард deploy-статусов
+
+## Summary
+
+PR устраняет флапп deploy-статусов у терминальной (`done`) задачи в Plane через единый
+terminal-window-aware гард на входе трёх deploy-фазовых сеттеров `plane_sync`. Реализация
+**точно следует** ADR-001 (D1–D8): новый leaf `src/deploy_status_guard.py` (чистый, never-raise,
+config-gated), перенос арм-блока перед terminal-sync, харднинг пост-деплой-монитора, наблюдаемость
+через `reason`-kwarg. Все 4 оси проверки — без P0/P1.
+
+Проверено по коду ветки: `deploy_status_guard.py`, `plane_sync.py` (врезка `_deploy_status_guarded` +
+3 сеттера), `stage_engine.py` (перенос арм-блока D3 + zombie-tick guard D4 + `reason`-call-sites),
+`post_deploy.py` (`window_active`), `db.py` (`get_task_by_work_item_id`), `config.py` (2 флага).
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- Нет.
+
+### P3 — Nice-to-have (информационно, вердикт не меняет)
+- [ ] `post_deploy.window_active` при внутреннем исключении (`has_marker`-чтение sentinel'а) →
+  `False` → внутри `decide` шаг 6 даёт `CONVERGE_DONE`. Это **асимметрия** относительно общего
+  fail-safe-к-ALLOW контракта `decide` (шаг 7): транзиентная ошибка чтения sentinel'а в момент
+  легитимного первого `Monitoring` свела бы его к `Done` (индикация-глитч, не флапп). Поведение
+  **намеренное и задокументировано** (docstring `window_active`: «doubt → window closed → converge
+  to Done — safe-for-indication default»), безопасно к терминальному состоянию; SQLite/диск-чтение
+  локальное и надёжное. Оставлено как осознанный дизайн-выбор, фиксации не требует.
+
+## Соответствие ТЗ (`02-trz.md` / `03-acceptance-criteria.md`)
+
+- **FR-1 / AC-1** (источник флаппа локализован, done держит Done) — ✅ актор задокументирован
+  (BR-7: code-писатели `stage_engine.py:404/1218/1316`, F-2 не перебирает, live-overlay read-only;
+  гипотеза «под бот-токеном» в ADR), гард — буфер сходимости. Тесты TC-01/02/10.
+- **FR-2 / AC-2** (терминал-aware идемпотентность) — ✅ `decide → ALLOW|CONVERGE_DONE|SUPPRESS`,
+  предикат «нетерминал ИЛИ (`done` И окно)», `done`-иначе → `set_issue_done` идемпотентно, повтор
+  на уже-`Done` → no-op. Тесты TC-01/02/12.
+- **FR-3 / AC-3** (детерминированный конец монитора, нет зомби-тиков) — ✅ страж `has_marker(DONE)`
+  сохранён; добавлен `cancelled`-мид-окно → `mark_done` без PATCH и без перепостановки; тик ≡ job.
+  Тесты TC-06/07/08.
+- **FR-4 / AC-5** (наблюдаемость) — ✅ BC-kwarg `reason` у 3 сеттеров; ровно одна структурная запись
+  на вердикт (`work_item`/`caller`/`target`/`db_stage`/`window_active`/`verdict`; converge/suppress →
+  WARNING). Тест TC-09 (полная атрибуция).
+- **FR-5 / AC-4** (обратимость, регресс рабочего цикла) — ✅ kill-switch
+  `deploy_status_guard_enabled` (`False` → 1:1) + self-hosting-only по дефолту (`repos=""`);
+  нетерминальный `Awaiting/Deploying/Monitoring` проходит как раньше. Тесты TC-04/11/12 — особо
+  TC-11 (end-to-end `run_deploy_finalizer`: легитимный `Monitoring` НЕ свёрнут к Done).
+
+## Соответствие ADR (`06-adr/ADR-001` + сквозной `adr-0028`)
+
+- D1 (гард на входе сеттеров `plane_sync`, не в caller'ах) — ✅.
+- D2 (предикат терминал **И** окно; 7 шагов) — ✅ реализован 1:1 в `decide`.
+- D3 (перенос арм-блока выше terminal-sync) — ✅ подтверждён в diff `advance_stage`; merge-lease
+  release остаётся после terminal-sync; инварианты ORCH-021/066 сохранены.
+- D4 (харднинг монитора) — ✅. D5 (наблюдаемость) — ✅. D6 (флаги) — ✅. D7 (что НЕ трогаем) — ✅
+  (проверено: `src/stages.py`/`src/qg/`/`src/reconciler.py` — нулевой diff; machine-verdict ключи
+  байт-в-байт). D8 (`get_task_by_work_item_id` read-only) — ✅.
+- **Трассировка маркеров (CLAUDE.md прав. 9 / TRACEABILITY):** правка маркированного блока
+  `next_stage=="done"` (ORCH-021/066/043/088) — ADR прочитаны, инварианты не сломаны (deploy→done
+  self ⇒ Monitoring; монитор-close ⇒ Done; терминал-набор `{done,cancelled}`; merge-lease release
+  не сдвинут относительно terminal-sync). Слома инвариантов нет.
+
+## Качество кода
+
+- Leaf-модуль `deploy_status_guard.py` — чистый, never-raise (двойная защита: `decide` + wrapper
+  `_deploy_status_guarded`), нет рекурсии (`set_issue_done` не гардится), docstrings на всех публичных
+  функциях, образец `serial_gate`/`labels`/`cancel` выдержан.
+- Тесты содержательные (не тривиальные): 5 новых файлов, TC-01..12; TC-11 — реальный прогон
+  `run_deploy_finalizer` с проверкой стадии и единственного `Monitoring`-PATCH; обновлены
+  анти-регресс-ассерты под `reason`-kwarg. `pytest tests/ -q` — **1413 passed**.
+
+## Документация
+
+`src/` изменён → документация обновлена **в том же PR** (golden source соблюдён):
+- ✅ `CHANGELOG.md` — детальная запись ORCH-094 (FR/AC/D-разбивка).
+- ✅ `docs/architecture/README.md` — новый раздел «Terminal-window-aware гард deploy-статусов».
+- ✅ `CLAUDE.md` — врезка в блок статусной модели Plane.
+- ✅ `.env.example` — `ORCH_DEPLOY_STATUS_GUARD_ENABLED` / `_REPOS` с описанием.
+- ✅ `docs/work-items/ORCH-094/06-adr/ADR-001-…md` (work-item) + сквозной
+  `docs/architecture/adr/adr-0028-…md` (кросс-каттинг) — оба присутствуют.
+- ✅ Обзорные доки (ORCH-079): PR — баг-фикс индикации, не закрывает пункт `README.md`
+  «Известные ограничения»; обновления корневого `README.md` не требуется.
+
+Документация полная и согласована с реализацией. Расхождений код ↔ доки не найдено.

docs/work-items/ORCH-094/13-test-report.md

@@ -0,0 +1,84 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-094
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-094
+---
+
+# Test Report — ORCH-094 — terminal-window-aware гард deploy-статусов
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3
+- Дата: 2026-06-09
+- Worktree (база прогона): `/repos/_wt/orchestrator/feature_ORCH-094-bug-done-deploy-plane-awaiting`
+- Ветка: `feature/ORCH-094-bug-done-deploy-plane-awaiting`
+- HEAD: `11de318` (поверх `3738888 fix(deploy): terminal-window-aware guard … (ORCH-094)`)
+- Review: `12-review.md` → `verdict: APPROVED` (P0/P1 — нет).
+
+> Прогон выполнен из worktree ветки задачи (не из общего `/repos/orchestrator`) — анти-гонка checkout.
+
+## Smoke API (read-only)
+| Проверка | Результат |
+|----------|-----------|
+| `GET /health` | PASS — `{"status":"ok","service":"orchestrator"}` |
+| `GET /status` | PASS — отвечает, отдаёт `active_tasks` |
+| `GET /queue` | PASS — блок `serial_gate` присутствует (ORCH-088), `auto_labels` присутствует (ORCH-089) |
+
+Деструктивные операции не выполнялись (read-only smoke).
+
+## Результаты (покрытие тест-плана `04-test-plan.yaml` ↔ `03-acceptance-criteria.md`)
+
+| TC ID | Тип | Описание | AC | Тест | Результат |
+|-------|-----|----------|----|------|-----------|
+| TC-01 | unit | done-задача сходится к Done (monitoring/awaiting/deploying при terminal → Done/no-op) | AC-2 | `test_deploy_status_terminal_guard::test_tc01_*` | PASS |
+| TC-02 | unit | Идемпотентность: повтор на уже-Done → no-op, нет маятника | AC-2 | `test_deploy_status_terminal_guard::test_tc02_idempotent_no_pendulum` | PASS |
+| TC-03 | unit | Нетерминальная (stage=deploy) не подавляется (регресс) | AC-4 | `test_deploy_status_terminal_guard::test_tc03_non_terminal_not_suppressed` | PASS |
+| TC-04 | unit | Kill-switch: off → 1:1 прежнее; on → done сходится к Done | AC-5 | `test_deploy_status_terminal_guard::test_tc04_kill_switch` | PASS |
+| TC-05 | unit | never-raise: неизвестная стадия / ошибка БД → безопасная деградация | AC-5 | `test_deploy_status_terminal_guard::test_tc05_*` | PASS |
+| TC-06 | unit | После завершения окна монитора (HEALTHY, ticks==budget) → 0 последующих PATCH | AC-3 | `test_post_deploy_monitor_termination::test_tc06_clean_finish_then_no_more_patches` | PASS |
+| TC-07 | unit | Тик при БД=done/cancelled / нет основания → no-op без PATCH и без перепостановки | AC-3 | `test_post_deploy_monitor_termination::test_tc07_*` | PASS |
+| TC-08 | unit | `arm_monitor` не пере-арминг для done; re-drive не выставляет Monitoring заново | AC-3 | `test_post_deploy_monitor_termination::test_tc08_*` | PASS |
+| TC-09 | unit | Наблюдаемость: лог work_item/caller/target/reason/db_stage; подавление логируется | AC-5 | `test_deploy_status_observability::test_tc09_*` | PASS |
+| TC-10 | integration | Реконсилятор/sync для done+Plane=Monitoring → Done идемпотентно, без маятника | AC-2 | `test_reconciler_done_deploy_convergence::test_tc10_repeated_sync_converges_no_pendulum` | PASS |
+| TC-11 | integration | Регресс рабочего цикла: нетерминальная задача Awaiting→Deploying→Monitoring→Done не подавлена | AC-4 | `test_self_deploy_cycle_regression::test_tc11_*` | PASS |
+| TC-12 | integration | Не-self репо (enduro-подобный): гард инертен (условность self-hosting) | AC-4/AC-5 | `test_deploy_status_terminal_guard::test_tc12_*` | PASS |
+
+**Все 12 TC выполнены и сопоставлены с критериями приёмки. Непокрытых TC нет.**
+
+Покрытие AC:
+- **AC-1** (done держит Done; нет авто-перехода в Awaiting/Monitoring) — TC-01/02/10 ✅
+- **AC-2** (идемпотентное схождение к Done) — TC-01/02/10/12 ✅
+- **AC-3** (детерминированный конец монитора, нет зомби-тиков) — TC-06/07/08 ✅
+- **AC-4** (регресс рабочего deploy-цикла нетерминальной задачи) — TC-03/11/12 ✅
+- **AC-5** (наблюдаемость, kill-switch, never-raise, зелёный pytest) — TC-04/05/09 + полный регресс ✅
+
+## Вывод pytest
+
+Целевые модули ORCH-094:
+```
+tests/test_deploy_status_terminal_guard.py ........... (11)
+tests/test_post_deploy_monitor_termination.py ..... (5)
+tests/test_deploy_status_observability.py ... (3)
+tests/test_reconciler_done_deploy_convergence.py . (1)
+tests/test_self_deploy_cycle_regression.py .. (2)
+======================== 22 passed, 1 warning in 1.43s =========================
+```
+
+Полный регресс (`pytest tests/ -v --tb=short`):
+```
+======================= 1413 passed, 1 warning in 44.34s =======================
+```
+> Единственное предупреждение — PydanticDeprecatedSince20 (class-based config в `src/config.py`),
+> не связано с ORCH-094, не является ошибкой.
+
+## Итог
+
+**PASS** — полный регресс зелёный (1413 passed), все 12 TC из `04-test-plan.yaml` выполнены,
+сопоставлены с AC и зелёные; smoke API (`/health`, `/status`, `/queue` c блоком `serial_gate`) OK.
+Задача переходит на стадию `deploy-staging`.

docs/work-items/ORCH-094/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-094
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-094/15-staging-log.md

@@ -0,0 +1,30 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-094
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+timestamp: 2026-06-09T20:38:21Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed against the live `orchestrator-staging` stand (8501), run canonically
+inside the container via `docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub`.
+
+Exit code **0** → `staging_status: SUCCESS`. All REAL pipeline checks passed; the only failures are
+the two known sandbox-infra checks (C9a/C9b), waived under ORCH-061 tolerance.
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Results
+- **Block A (SMOKE)**: PASS — A1 `/health`→200 `status=ok`; A2 `/queue`→200 (counts/max_concurrency/resilience); A3 `ORCH_STAGING=true`.
+- **Block B (ACCESS)**: PASS — B4 Plane sandbox accessible (sandbox=YES); B5 Gitea `orchestrator-sandbox` accessible, push=true; B6 registry isolation OK (sandbox present, prod ET/ORCH absent).
+- **Block C (E2E, mode=stub)**: C7 create issue in Plane SANDBOX PASS; C8 trigger pipeline via `/webhook/plane` PASS; **C9a/C9b FAIL — waived** (sandbox-infra: SANDBOX bot-accounts not members of the sandbox project; not a pipeline regression). CLEANUP: Plane issue deleted (HTTP 204), no branch to delete.
+
+REAL failed: none.
+Result: 8/10 checks PASS (2 waived sandbox-infra).

docs/work-items/ORCH-095/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: BUG: карточка трекера застывает — HTML-инъекция «<1м» в render_task_tracker (parse_mode=HTML)
+
+Work Item ID: ORCH-095
+
+## Description
+
+TBD

docs/work-items/ORCH-095/01-brd.md

@@ -0,0 +1,154 @@
+---
+work_item: ORCH-095
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-095 — HTML-инъекция «<1м» в render_task_tracker застывает live-карточку
+
+Work Item: **ORCH-095** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+Live-трекер задачи (`src/notifications.py::render_task_tracker`) — **основной канал
+видимости конвейера для оператора**. Слава узнаёт состояние каждой задачи по её единственной
+карточке в Telegram (инвариант «одна карточка на задачу», ORCH-042/067/087). Если карточка
+перестаёт обновляться — оператор слепнет: задача реально идёт/завершилась, а карточка врёт.
+
+**Установленный факт (воспроизведён детерминированно 09.06, сырой ответ Telegram).**
+Прямой вызов `editMessageText` для застрявшей карточки ORCH-093 (`message_id 18854`) вернул:
+
+```
+400 Bad Request: can't parse entities: Unsupported start tag "1м" at byte offset 500
+```
+
+В тексте карточки на позиции ~379 присутствует подстрока `<1м · …` — длительность стадии
+«меньше одной минуты», которую `_fmt_minutes` (`src/notifications.py:288-289`) рендерит как
+литерал **`<1м`**. Карточка отправляется с `parse_mode=HTML` (`editMessageText`,
+`notifications.py:175`). Telegram трактует `<1м` как **открывающий HTML-тег** → парсинг падает
+с `400` → `edit_telegram` возвращает `EDIT_FAILED` → `update_task_tracker` по ветке
+`EDIT_FAILED` (`notifications.py:733-739`) делает `return`, **не** отправляя новую карточку
+(защита от дублей, ORCH-087) → карточка **застывает** на стейте, где `<1м` впервые попал в текст.
+
+**Цепочка отказа** (по коду):
+`_fmt_minutes(<60s) → "<1м"` → интерполируется в HTML без экранирования → `editMessageText`
+`400 can't parse entities` → `edit_telegram → EDIT_FAILED` → `update_task_tracker` ранний
+`return` → карточка не обновляется до конца жизни задачи.
+
+**Почему проявляется не на каждой задаче.** Баг ловится **только** когда хотя бы одна
+длительность стадии < 1 мин (`seconds < 60`) и эта строка попадает в текст, который затем
+редактируется. Карточки ORCH-090/091 редактировались успешно (на момент `edit` в их тексте
+`<1м` не было); ORCH-093 — упала. Это объясняет «плавающую» природу симптома.
+
+**Корневой класс дефекта — шире одного `<1м`.** Текст карточки собирается с `parse_mode=HTML`
+из смеси (а) намеренной разметки-обёртки (`<a href>` номер задачи, `<b>`) и (б) подставляемых
+**данных**. Намеренная разметка экранироваться **не должна**; данные — должны. Сейчас
+экранирован только заголовок (`esc_title`, `notifications.py:428`) и href/label внутри
+`plane_issue_link`. Прочие данные — длительности (`_fmt_minutes`), метрики токенов/стоимости
+(`fmt_tokens`/`fmt_cost`), имя модели (`short_model_name`), статус-лейбл
+(`_card_status_label`) — вставляются **без** `html.escape`. `<1м` — первый сработавший
+экземпляр этого класса; задача закрывает класс, а не единичный символ.
+
+## 2. Объём (scope)
+
+### В объёме
+- Устранить HTML-инъекцию в `render_task_tracker`: любые **данные**, попадающие в текст
+  карточки с `parse_mode=HTML`, не должны ломать парсер Telegram (`< > &` в данных
+  безопасны).
+- Привести формат «длительность < 1 мин» к HTML-безопасному виду (экранированный `&lt;1м`
+  ИЛИ переформулировка `<1м` → `~0м` / `< 1 мин` с экранированием).
+- Сохранить работоспособность **намеренной** разметки карточки (`<a href>` номер задачи,
+  жирный/прочее форматирование) — экранируются только данные, не обёртка.
+- Восстановить обновления уже застрявших карточек (после фикса карточка возобновляет
+  обновления или переотправляется свежей).
+- Юнит-покрытие HTML-безопасности всех динамических полей; зелёный регресс `pytest tests/ -q`;
+  запись в `CHANGELOG.md`.
+
+### Вне объёма
+- Изменение `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, схемы БД — **не трогаются** (баг
+  чисто в слое рендера уведомлений).
+- Изменение режима трекера (`bump`/`edit`), логики леджера сирот (ORCH-087), статусной модели
+  ORCH-066, транспортных примитивов (`send_telegram`/`edit_telegram`/`delete_telegram`) —
+  кроме точечной HTML-безопасности самого текста.
+- Редизайн раскладки/состава карточки, новые метрики, перевод строк.
+- Изменение машинных вердиктов / frontmatter-контракта.
+
+## 3. Заинтересованные стороны
+
+- **Заказчик / репортёр:** Слава (оператор) — обнаружил баг 09.06 (карточка ORCH-093 застряла,
+  «по 91 уже нету»).
+- **Затронуты:** все наблюдатели Telegram-трекера по **всем** проектам (self-hosting: общий
+  прод-инстанс обслуживает и enduro-trails — карточки их задач так же уязвимы при стадии < 1 мин).
+- **Принимает результат:** reviewer/tester конвейера ORCH; финальная приёмка — оператор
+  (карточки снова обновляются в реальном времени).
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1** — Карточка трекера, в тексте которой есть стадия длительностью < 1 мин, должна
+  успешно редактироваться (`editMessageText` → `200`, не `400 can't parse entities`). Источник
+  отказа — литерал `<1м` от `_fmt_minutes` — устранён. (⇒ G1, G2)
+- **BR-2** — **Все** динамические значения, вставляемые в текст карточки с `parse_mode=HTML`
+  (длительности, метрики токенов/стоимости, имя модели/эффорта, имена/лейблы стадий,
+  статус-лейбл, заголовок задачи), HTML-безопасны: символы `< > &` в **данных** не
+  интерпретируются Telegram как разметка. (⇒ G1)
+- **BR-3** — Длительность «меньше минуты» рендерится так, чтобы не выглядеть открывающим
+  HTML-тегом: экранированный `&lt;1м` **ИЛИ** переформулировка (`~0м` / `< 1 мин`) с
+  экранированием. Видимое оператору значение остаётся осмысленным («меньше минуты»). (⇒ G2)
+- **BR-4** — **Регресс намеренной разметки:** кликабельный номер задачи (`<a href>`,
+  `plane_issue_link`) и любое форматирование-обёртка (`<b>` и т.п.) продолжают рендериться и
+  оставаться кликабельными/валидными — экранируются только подставляемые данные, не разметка. (⇒ G3)
+- **BR-5** — Уже застрявшая карточка (класс ORCH-093) после деплоя фикса **возобновляет
+  обновления**: либо успешный `editMessageText` на следующем переходе стадии, либо
+  переотправка свежей карточки. Конкретный механизм восстановления (текст снова валиден →
+  edit проходит, ИЛИ классификация `can't parse entities` как пересоздаваемой) — решение
+  архитектора; бизнес-требование — карточка перестаёт быть «замёрзшей сиротой». (⇒ G... / AC-4)
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 (never-raise):** `render_task_tracker` и весь путь уведомлений сохраняют контракт
+  «никогда не роняют конвейер» — любая ошибка рендера/экранирования деградирует к
+  fallback-строке, не исключение.
+- **NFR-2 (нулевая регрессия разметки):** существующие зелёные тесты трекера
+  (`test_telegram_tracker.py`, `test_tracker_*`, `test_notifications_orphans.py`,
+  `test_notify_issue_links.py`) остаются зелёными; кликабельность номера и формат строк не
+  деградируют визуально (кроме намеренной смены вида «<1м»).
+- **NFR-3 (self-hosting):** фикс — изменение **только** слоя рендера уведомлений; прод-контейнер
+  `orchestrator` не перезапускается в рамках стадий разработки; обязательна страховка
+  `deploy-staging` перед прод-деплоем. Машина стадий/гейты/схема БД не затрагиваются.
+- **NFR-4 (совместимость):** изменение обратносовместимо по данным/схеме; не требует миграций;
+  применяется к новым рендерам сразу после деплоя.
+
+## 6. Допущения и ограничения
+
+- Карточка всегда отправляется с `parse_mode=HTML` (`send_telegram:58`, `edit_telegram:175`) —
+  это инвариант (ссылки/жирный требуют HTML); переход на `parse_mode=None`/MarkdownV2 **не**
+  рассматривается (сломает намеренную разметку, шире объёма).
+- `fmt_tokens`/`fmt_cost` сейчас выдают только цифры/`.`/`k`/`M`/`$` (HTML-безопасно), но
+  требование BR-2 покрывает их **defence-in-depth** на случай будущих изменений формата.
+- Telegram-лимит 48ч: карточки старше 48ч физически неудаляемы/неперезаписываемы — для них
+  восстановление недостижимо (known-limitation, унаследовано от ORCH-087); BR-5 относится к
+  карточкам в пределах окна.
+- Источник `<1м` — `_fmt_minutes` (единственная функция, эмитящая литерал `<`); прочие данные
+  лишь потенциально опасны. Точка(и) внесения экранирования — решение архитектора (централизовать
+  в `_fmt_minutes`/на точке рендера/обёрткой-хелпером).
+
+## 7. Критерии успеха
+
+Карточка задачи со стадией < 1 мин успешно редактируется (нет `400 can't parse entities`);
+все динамические поля HTML-безопасны; намеренная разметка (ссылка-номер, форматирование)
+рендерится и кликабельна; застрявшие карточки возобновляют обновления; `never-raise` сохранён;
+`pytest tests/ -q` зелёный; `CHANGELOG.md` обновлён. Детальные PASS/FAIL — `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- **Двойное экранирование** уже экранированных полей (`esc_title`, href/label в
+  `plane_issue_link`) → `&amp;lt;` в выводе. Митигировать на стадии архитектуры (экранировать
+  ровно один раз на источник данных).
+- **Случайное экранирование разметки-обёртки** (`<a>`, `<b>`) → ссылки/жирный перестают
+  работать (регресс BR-4). Чёткая граница «данные vs обёртка».
+- Изменение вида «<1м» меняет визуал карточки — согласовать формулировку с оператором (BR-3
+  допускает оба варианта).
+- Детали/перечень — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-095/02-trz.md

@@ -0,0 +1,132 @@
+---
+work_item: ORCH-095
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-095 — HTML-безопасность динамических полей render_task_tracker
+
+Work Item: **ORCH-095** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование/выбор точки внесения экранирования — задача архитектора (06-adr).
+
+## 1. Сводка изменения
+
+Текст live-карточки (`render_task_tracker`) собирается с `parse_mode=HTML` из намеренной
+разметки-обёртки (`<a href>` номер задачи, форматирование) и подставляемых **данных**. Сейчас
+экранирован только заголовок (`esc_title`) и href/label внутри `plane_issue_link`; остальные
+данные вставляются сырыми. Литерал `<1м` (длительность < 1 мин), возвращаемый `_fmt_minutes`,
+Telegram парсит как открывающий тег → `editMessageText` падает `400 can't parse entities` →
+`edit_telegram → EDIT_FAILED` → `update_task_tracker` делает ранний `return` → карточка
+застывает.
+
+Требуется: (а) сделать формат «< 1 мин» HTML-безопасным; (б) гарантировать HTML-безопасность
+**всех** данных, попадающих в текст карточки, **не** экранируя намеренную разметку-обёртку;
+(в) обеспечить возобновление обновлений ранее застрявших карточек. Изменение локализовано в
+слое уведомлений; машина стадий/гейты/схема БД не затрагиваются.
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие |
+|------|----------|
+| `src/notifications.py` | **изменить** — `_fmt_minutes` (~280) и/или точки рендера в `render_task_tracker` (~355): HTML-безопасность данных |
+| `src/notifications.py::render_task_tracker` | **изменить** — экранировать данные: длительности (`dur`), `status_label`, `model`/`effort`, метрики (defence-in-depth); НЕ трогать `num_html`, `_done_link`-разметку |
+| `src/notifications.py::_card_status_label` (~1173) | **проверить/экранировать на потребителе** — статус-лейбл вставляется в `status_line` сырым |
+| `src/notifications.py::edit_telegram` (~157) | **возможно изменить** (на усмотрение архитектора) — классификация `can't parse entities` для восстановления застрявших карточек (BR-5/AC-4) |
+| `src/notifications.py::update_task_tracker` (~650) | **возможно затронуть** — ветка `EDIT_FAILED` vs пересоздание при перманентном parse-фейле (BR-5/AC-4) |
+| `tests/test_telegram_tracker.py` (или новый `tests/test_tracker_html_escape.py`) | **создать/дополнить** — юнит HTML-безопасности всех динамических полей |
+| `CHANGELOG.md` | **изменить** — запись о фиксе |
+
+> Примечание: `fmt_tokens`/`fmt_cost`/`short_model_name` живут в `src/usage.py`; их выход
+> сейчас HTML-безопасен (цифры/`.`/`k`/`M`/`$`/имя модели). Менять `src/usage.py` **не
+> требуется** — defence-in-depth экранирование делается на потребителе в `notifications.py`.
+
+## 3. Функциональные требования
+
+### FR-1 — HTML-безопасный формат «меньше минуты» (⇒ BR-1, BR-3)
+Длительность стадии < 60 с не должна порождать подстроку, которую Telegram трактует как
+открывающий тег. Текущий `_fmt_minutes(seconds)` при `0 < seconds < 60` возвращает литерал
+`"<1м"` (`notifications.py:288-289`). Поведение должно стать одним из (выбор — архитектор):
+- экранированный вывод `&lt;1м` (видится оператору как `<1м`), **либо**
+- переформулировка `~0м` / `< 1 мин` с последующим экранированием.
+Инвариант: для **любого** входа `_fmt_minutes` (включая `0м`, `Nм`, `~Nм` от
+`_capped_review_str`) результат, попав в `parse_mode=HTML`, не ломает парсер. `_fmt_minutes`
+сохраняет never-raise (нечисловой/None вход → `0м`).
+
+### FR-2 — HTML-безопасность всех данных карточки (⇒ BR-2)
+Каждое **подставляемое значение-данные**, попадающее в текст `render_task_tracker`,
+экранируется `html.escape(...)` ровно один раз перед вставкой в HTML-текст. Перечень полей-данных:
+
+| Поле | Источник | Текущий статус |
+|------|----------|----------------|
+| Заголовок задачи | `title` → `esc_title` | уже экранирован ✓ (не дублировать) |
+| Длительности стадий / BRD / done | `_fmt_minutes`, `_capped_review_str` | **дыра** (FR-1) |
+| Статус-лейбл карточки | `_card_status_label` → `status_label` | **дыра** — экранировать |
+| Имя модели | `short_model_name(last["model"])` | экранировать (defence-in-depth) |
+| Эффорт | `_run_effort(last)` | экранировать (defence-in-depth) |
+| Токены / стоимость | `fmt_tokens`/`fmt_cost` | HTML-безопасны; экранировать defence-in-depth |
+| Метка «попытка N» / лейблы стадий | статические константы `_TRACKER_STAGES`/`_BRD_LABEL` | статичны; не требуют, но безопасно |
+
+Инвариант FR-2: после рендера **ни один** символ `< > &`, пришедший из данных, не остаётся
+неэкранированным в выходном тексте.
+
+### FR-3 — Сохранность намеренной разметки-обёртки (⇒ BR-4)
+Намеренные HTML-фрагменты **не** экранируются:
+- `num_html` = `plane_issue_link(...)` — кликабельный `<a href>` номер задачи (внутри уже
+  экранированы href через `html.escape(url, quote=True)` и label);
+- `link_for(...)` в строке «⏳ ждёт …» — намеренные ссылки;
+- `_done_link(...)` — строка `🔗 PR #n · 📦 Внедрено`.
+После фикса эти фрагменты рендерятся как валидный HTML и остаются кликабельными. Запрещено
+двойное экранирование уже экранированных полей (`esc_title`, внутренности `plane_issue_link`).
+
+### FR-4 — Возобновление обновлений застрявших карточек (⇒ BR-5)
+После деплоя фикса карточка, ранее застрявшая на `400 can't parse entities`, должна
+возобновить обновления. Достаточное условие по умолчанию: текст следующего рендера больше не
+содержит небезопасной подстроки → `editMessageText` проходит (`200`) на ближайшем переходе
+стадии. Опционально (решение архитектора): классифицировать перманентный parse-фейл в
+`edit_telegram`/`update_task_tracker` как повод **переотправить** свежую карточку вместо
+тихого `return` по `EDIT_FAILED` — но **без** регресса защиты от дублей (ORCH-087: транзиентные
+фейлы по-прежнему НЕ плодят карточки). Если выбирается переклассификация — она должна отличать
+перманентный `can't parse entities` от транзиентного (network/timeout/5xx).
+
+### FR-5 — never-raise (⇒ NFR-1)
+Все изменённые функции сохраняют контракт «никогда не роняют конвейер»: ошибка
+экранирования/рендера → деградация к существующему fallback (`f"task-{task_id}"` /
+пропуск строки), не исключение наружу.
+
+## 4. Изменения API
+
+Нет. HTTP-эндпоинты не добавляются/не меняются. (Внешний вызов — только исходящий
+`editMessageText`/`sendMessage` к Telegram Bot API; контракт вызова не меняется, меняется
+лишь безопасность `text`.)
+
+## 5. Изменения схемы БД
+
+Нет. Таблицы `tasks`/`agent_runs`/`tracker_messages` не затрагиваются; миграций нет.
+
+## 6. Требования к новым/изменённым QG checks
+
+Нет. `QG_CHECKS` / `check_*` / `STAGE_TRANSITIONS` / машинные вердикты не затрагиваются. Баг —
+в слое рендера уведомлений, вне Quality Gate.
+
+## 7. Совместимость / регресс
+
+- **Обратная совместимость:** изменение чисто в формировании строки текста карточки; данные
+  БД, схема, режимы трекера (`bump`/`edit`), леджер сирот (ORCH-087), статусная модель
+  (ORCH-066) — без изменений.
+- **Область раската:** все проекты на общем прод-инстансе (self-hosting) — фикс применяется к
+  каждому новому рендеру сразу после деплоя; не требует миграции/бэкфилла.
+- **Kill-switch:** не требуется (исправление дефекта корректности, а не новая фича-ветка). Если
+  архитектор выбирает переклассификацию parse-фейла в `update_task_tracker` (FR-4 опц.) —
+  оценить целесообразность флага; по умолчанию изменение поведения минимально и безопасно.
+- **Обратимость:** изменение откатывается обычным revert PR (только `notifications.py` +
+  тесты + CHANGELOG); прод-контейнер не требует ручных операций над данными.
+- **Артефакты pipeline:** обновляются `12-review.md` (reviewer), `13-test-report.md` (tester),
+  `06-adr/ADR-001-*.md` (архитектор — выбор точки экранирования и стратегии FR-4),
+  `CHANGELOG.md`. Машинные вердикты гейтов — без изменений.
+- **Self-hosting:** обязательна стадия `deploy-staging` (8501) перед прод-деплоем; прод
+  `orchestrator` не рестартуется в рамках разработки.

docs/work-items/ORCH-095/03-acceptance-criteria.md

@@ -0,0 +1,97 @@
+---
+work_item: ORCH-095
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-095 — HTML-инъекция «<1м» в render_task_tracker
+
+Work Item: **ORCH-095** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам
+репозитория.
+
+---
+
+## AC-1 — Стадия < 1 мин не ломает парсер Telegram
+
+**Условие:** `render_task_tracker` для задачи, у которой хотя бы одна стадия длилась < 60 с,
+выдаёт текст, безопасный для `parse_mode=HTML` (нет неэкранированного `<` в данных длительности).
+- **PASS:** В выходном тексте подстрока длительности «меньше минуты» представлена как `&lt;1м`
+  (или переформулированный безопасный вид `~0м` / `< 1 мин` без сырого `<`); `editMessageText`
+  с этим текстом не вернул бы `400 can't parse entities: Unsupported start tag "1м"`. Юнит-тест
+  на `_fmt_minutes(30)` / `render_task_tracker(...)` подтверждает отсутствие сырого `<` от
+  длительности.
+- **FAIL:** Текст содержит сырой `<1м` (или иной литерал `<`+нецифра) из данных длительности;
+  тест на парсинг/наличие сырого `<` падает.
+
+---
+
+## AC-2 — Все динамические поля карточки HTML-безопасны (юнит)
+
+**Условие:** Существует юнит-тест, проверяющий, что каждое подставляемое **данные-поле**
+`render_task_tracker` экранировано: длительность, токены, стоимость (`$`), заголовок с
+спецсимволами `< > &`, статус-лейбл, имя модели/эффорт.
+- **PASS:** Тест рендерит карточку с заголовком, содержащим `<`, `>`, `&` (напр.
+  `"A <b>x</b> & <1"`), и стадией < 1 мин; ассертит, что эти спецсимволы из ДАННЫХ
+  присутствуют в выводе только в экранированном виде (`&lt;`/`&gt;`/`&amp;`) и НЕ как
+  сырые теги; одновременно нет двойного экранирования (`&amp;lt;`).
+- **FAIL:** Тест отсутствует, либо любое из перечисленных данных-полей попадает в текст без
+  экранирования, либо обнаруживается двойное экранирование.
+
+---
+
+## AC-3 — Регресс намеренной разметки (ссылка-номер, форматирование)
+
+**Условие:** После фикса намеренная HTML-разметка карточки продолжает рендериться валидной и
+кликабельной.
+- **PASS:** Кликабельный номер задачи (`<a href="…">ORCH-095</a>` от `plane_issue_link`)
+  присутствует в выводе как валидный незаэкранированный `<a>`-тег; строки `🔗 PR #n`/`📦`
+  (`_done_link`) и любое форматирование-обёртка рендерятся; существующие тесты
+  `test_tracker_issue_link.py`/`test_notify_issue_links.py`/`test_telegram_tracker.py`
+  зелёные. Двойного экранирования href/label нет.
+- **FAIL:** Номер задачи перестал быть кликабельным (`<a>` заэкранирован в `&lt;a&gt;`), либо
+  любой регресс-тест разметки красный.
+
+---
+
+## AC-4 — Застрявшая карточка возобновляет обновления
+
+**Условие:** Карточка, ранее застрявшая на `400 can't parse entities` (класс ORCH-093), после
+фикса снова обновляется.
+- **PASS:** На следующем переходе стадии текст рендера больше не содержит небезопасной
+  подстроки → `editMessageText` проходит (`200`); ИЛИ (если выбрана стратегия FR-4-опц.)
+  перманентный parse-фейл классифицируется как повод переотправить свежую карточку, и
+  `update_task_tracker` отправляет новую. Поведение покрыто тестом (рендер валиден → edit-путь
+  не возвращает `EDIT_FAILED` из-за parse-ошибки).
+- **FAIL:** После фикса карточка с прежним содержимым по-прежнему даёт `EDIT_FAILED` и не
+  обновляется/не переотправляется; либо защита от дублей (ORCH-087) сломана — транзиентный
+  фейл теперь плодит дубликаты карточек.
+
+---
+
+## AC-5 — never-raise, зелёный регресс, CHANGELOG
+
+**Условие:** Контракт надёжности и гигиена изменения сохранены.
+- **PASS:** `render_task_tracker`/`update_task_tracker`/`edit_telegram` не выбрасывают
+  исключение наружу при любом входе (включая «битый» заголовок/None); `pytest tests/ -q`
+  полностью зелёный; в `CHANGELOG.md` есть запись о фиксе ORCH-095; `STAGE_TRANSITIONS`/
+  `QG_CHECKS`/`check_*`/схема БД не изменены (diff их не трогает).
+- **FAIL:** Любой тест в `tests/` красный; обнаружено непойманное исключение в пути рендера;
+  тронуты машина стадий/гейты/схема БД; нет записи в `CHANGELOG.md`.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1, BR-3 / FR-1 |
+| AC-2 | BR-2 / FR-2 |
+| AC-3 | BR-4 / FR-3 |
+| AC-4 | BR-5 / FR-4 |
+| AC-5 | NFR-1, NFR-2 / FR-5 |