tester(ET): auto-commit from tester run_id=555

Follow-up ORCH-040: legacy root:root files in /repos broke worktree creation
under uid 1000 with a raw "Permission denied" (agent never started, no diagnosis).
Three additive, kill-switch-reversible layers; STAGE_TRANSITIONS / QG_CHECKS /
check_* / machine-verdict keys / DB schema are byte-for-byte unchanged.

- D1: ensure_worktree classifies the permission class and raises an actionable
  RuntimeError (cause + chown command + INFRA.md ref); non-permission errors keep
  the prior raw-stderr contract; kill-switch off -> contract 1:1 as before ORCH-057.
- D2: new never-raise leaf src/fs_normalize.py — scan_ownership (TTL-cached,
  early-exit per root), applies()-first scope (empty CSV -> self-hosting only),
  opt-in normalize() that chowns ONLY when privileged (no-op under uid 1000).
- D3: best-effort startup detect in main.lifespan (WARNING + Telegram on mismatch,
  never-fatal); read-only fs_ownership block in GET /queue; POST /fs-normalize/check.
  Claim is NOT blocked — the clear early outcome is delivered by D1 at launch.
- Docs/config: .env.example flags + CHANGELOG (architecture README / adr-0031 /
  INFRA.md procedure already landed on the branch).
- Tests: test_fs_normalize.py, test_git_worktree_perm.py,
  test_fs_normalize_startup.py, test_api_queue.py (TC-01..TC-12). Full suite green.

Refs: ORCH-057
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.example

@@ -12,11 +12,66 @@ ORCH_GITEA_WEBHOOK_SECRET=
 ORCH_CLAUDE_BIN=/usr/bin/claude
 ORCH_REPOS_DIR=/home/slin/repos
 ORCH_DB_PATH=/app/data/orchestrator.db
-# ORCH-042: live-tracker mode. edit (DEFAULT) -> the task card is edited in place
-# (editMessageText). bump -> on every update the old card is deleted and a fresh
-# one is sent silently to the BOTTOM of the chat (deleteMessage + sendMessage +
-# repoint). One card per task in both modes. Any value other than "bump" -> edit.
-ORCH_TRACKER_MODE=edit
+
+# ── Agent model / effort / fallback (ORCH-41, validation ORCH-74) ─────────────
+# Per-agent LLM model + reasoning effort, resolved by launcher.resolve_agent_*.
+# Resolution priority (per agent): project-override (projects_json agent_models/
+# agent_efforts) > ORCH_AGENT_MODEL_<AGENT> / ORCH_AGENT_EFFORT_<AGENT> >
+# ORCH_AGENT_MODEL_DEFAULT / ORCH_AGENT_EFFORT_DEFAULT > CLI default (no flag).
+# The frontmatter `model:` in .openclaw/agents/*.md is DESCRIPTIVE only and is NOT
+# read — config below is the single source of truth for the model (ORCH-74 G1).
+#
+# ORCH-74 (G2): a resolved MODEL name is validated (^claude-…$ format check) before
+# it reaches --model. A structurally invalid name (typo, gpt-4, empty) is logged and
+# the next valid level is used (in the limit: no --model flag). Forward-compatible:
+# a future claude-* version passes without editing any allowlist. EFFORT is validated
+# against low|medium|high|xhigh|max (ORCH-41); an invalid effort is dropped.
+#
+# All 6 agents resolve to claude-opus-4-8 (model-routing G3 NOT enabled). Leave the
+# per-agent overrides empty to use the default. Do NOT hardcode the model version
+# anywhere except ORCH_AGENT_MODEL_DEFAULT.
+ORCH_AGENT_MODEL_DEFAULT=claude-opus-4-8
+ORCH_AGENT_MODEL_ANALYST=
+ORCH_AGENT_MODEL_ARCHITECT=
+ORCH_AGENT_MODEL_DEVELOPER=
+ORCH_AGENT_MODEL_REVIEWER=
+ORCH_AGENT_MODEL_TESTER=
+ORCH_AGENT_MODEL_DEPLOYER=
+# Effort split (ORCH-081/ORCH-52h): thinking agents (analyst/architect/reviewer)
+# -> high; developer -> xhigh (coding/agentic role, Opus 4.8 canon); mechanical
+# agents (tester/deployer) -> medium. NB: an empty ORCH_AGENT_EFFORT_*= no longer
+# zeroes the effort — the launcher falls back to a per-role floor (= the config.py
+# class-default) so each role still runs at its canonical level (ORCH-081).
+ORCH_AGENT_EFFORT_DEFAULT=high
+ORCH_AGENT_EFFORT_ANALYST=high
+ORCH_AGENT_EFFORT_ARCHITECT=high
+ORCH_AGENT_EFFORT_DEVELOPER=xhigh
+ORCH_AGENT_EFFORT_REVIEWER=high
+ORCH_AGENT_EFFORT_TESTER=medium
+ORCH_AGENT_EFFORT_DEPLOYER=medium
+# Optional --fallback-model used when the primary is overloaded. Empty -> no flag
+# (G4 NOT enabled, ADR-001 ORCH-74: determinism — all agents stay on opus-4-8). A
+# non-empty value is validated by the SAME predicate as the model; a typo is dropped.
+ORCH_AGENT_FALLBACK_MODEL=
+# ORCH-042/ORCH-067: live-tracker mode. bump (DEFAULT since ORCH-067) -> on every
+# update the old card is deleted and a fresh one is sent silently to the BOTTOM of
+# the chat (deleteMessage + sendMessage + repoint), so the current status is always
+# the last message in an active chat. edit -> the task card is edited in place
+# (editMessageText). One card per task in both modes. Any value other than "bump"
+# (incl. empty/garbage) -> edit.
+ORCH_TRACKER_MODE=bump
+# ORCH-067: best-effort live-overlay for the card status line. The offline core
+# (stage -> Plane status, In Review from the brd-clock) always works without network;
+# the overlay only fills in branches indistinguishable offline (Needs Input / Blocked /
+# Rejected / Cancelled / Deploying / Monitoring after Deploy) by reading the LIVE Plane
+# status with a short timeout + per-issue TTL cache. It NEVER blocks the pipeline and
+# NEVER raises.
+#   LIVE_STATUS         -> kill-switch (false -> offline core only).
+#   LIVE_STATUS_TTL_S   -> TTL (seconds) of the per-issue live-uuid cache (hot-path guard).
+#   LIVE_STATUS_TIMEOUT_S -> timeout (seconds) of a single live-GET on the render path.
+ORCH_TRACKER_LIVE_STATUS=true
+ORCH_TRACKER_LIVE_STATUS_TTL_S=60
+ORCH_TRACKER_LIVE_STATUS_TIMEOUT_S=3
 # ORCH-043: merge-gate (auto-rebase onto current origin/main + re-test + merge-lock)
 # on the deploy-staging -> deploy edge. Deterministic sub-gate (no LLM) that catches
 # the branch up to the CURRENT origin/main, re-tests it, and serialises merges so two
@@ -36,6 +91,108 @@ ORCH_MERGE_RETEST_TARGET=tests/
 ORCH_MERGE_LOCK_TIMEOUT_S=300
 ORCH_MERGE_DEFER_DELAY_S=60
 ORCH_MERGE_DEFER_MAX_ATTEMPTS=5
+# ORCH-026 Level A: unconditional pre-merge rebase. With the flag ON (default),
+# check_branch_mergeable ALWAYS rebases the branch onto origin/main under the held
+# merge-lease (not only when behind) — a deterministic structural anti-phantom on
+# the scheduler edge. No-op on an up-to-date branch (rebase keeps HEAD, force-with-
+# lease -> "Everything up-to-date", CI not triggered). Scope = ORCH_MERGE_GATE_REPOS.
+#   PREMERGE_REBASE_ALWAYS=false -> strictly pre-ORCH-026 (rebase only when behind).
+ORCH_PREMERGE_REBASE_ALWAYS=true
+# ORCH-026 Level B: declarative task dependencies ("B waits for A"). claim_next_job
+# gates jobs whose depends-on tasks are not yet 'done' (additive job_deps table,
+# NOT EXISTS) WITHOUT occupying a max_concurrency slot. Inert on an empty job_deps.
+#   TASK_DEPS_ENABLED=false -> claim query is 1:1 the ORCH-1 query (no gate).
+#   TASK_DEPS_SOURCE=db|plane|hybrid -> declaration source; db (default) never calls
+#     Plane on the hot path; plane/hybrid ingest Plane `blocked-by` relations and
+#     cache them into job_deps (the scheduler then reads only the DB).
+ORCH_TASK_DEPS_ENABLED=true
+ORCH_TASK_DEPS_SOURCE=db
+# ORCH-088 (Stage 1, serial e2e): per-repo serial gate. A NEW task's analyst-job does
+# NOT enter analysis (no branch cut, no analyst) while the same repo has an EARLIER
+# unfinished task (FIFO, tasks.id < the job's task) OR the repo is frozen. The branch
+# cut is DEFERRED from start_pipeline to the analyst-job claim so its base is a fresh
+# origin/main already containing the predecessor (anti-stale-base). Gate lives in
+# claim_next_job (offline hot-path, fail-OPEN on error); freeze (FR-5) is a durable
+# repo_freeze row set on post-deploy DEGRADED, cleared manually via
+# POST /serial-gate/unfreeze?repo=<repo>. Leaf src/serial_gate.py (never-raise).
+#   SERIAL_GATE_ENABLED=false -> claim AND start_pipeline are 1:1 as before ORCH-088.
+#   SERIAL_GATE_REPOS (CSV) -> scope; EMPTY = ALL repos (not self-hosting-only).
+#   SERIAL_GATE_FREEZE_ENABLED=false -> the rollback-freeze layer is off (not set/read).
+ORCH_SERIAL_GATE_ENABLED=true
+ORCH_SERIAL_GATE_REPOS=
+ORCH_SERIAL_GATE_FREEZE_ENABLED=true
+# ORCH-090: STOP-status task cancellation (stop active agent + full progress reset)
+# and the relaunch-hole close. A dedicated Plane "STOP" status (logical key `stop`,
+# fail-closed: absent from _DEFAULT_STATES, so a board without the status -> no-op)
+# routes to a cancel handler that drives the task to the system-terminal state
+# `cancelled` (stop agent via the graceful SIGTERM cascade, cancel all jobs, remove
+# worktree + delete the remote feature branch [never main / never force-push],
+# tombstone the natural keys for a clean re-create via "To Analyse"; docs preserved).
+# STOP during a critical merge/deploy window is DEFERRED until the irreversible step
+# finishes honestly. The relaunch-hole gate restricts the "To Analyse" agent relaunch
+# to the `analysis` stage (the sole Needs-Input owner). Additive, never-raise.
+# Infra precondition: create a "STOP" status with the `cancelled` group on the ORCH
+# board (07-infra-requirements.md). Leaf src/cancel.py.
+#   STOP_STATUS_ENABLED=false -> STOP handling AND the relaunch-hole gate are inert
+#                                (behaviour strictly as before ORCH-090).
+#   STOP_STATUS_REPOS (CSV)   -> scope; EMPTY = ALL repos (cancellation is meaningful
+#                                for enduro too).
+ORCH_STOP_STATUS_ENABLED=true
+ORCH_STOP_STATUS_REPOS=
+# ORCH-094: terminal-window-aware guard for the three deploy-phase Plane status
+# setters (set_issue_awaiting_deploy / set_issue_deploying / set_issue_monitoring).
+# A DB stage=done task converges to Done idempotently instead of flapping
+# Awaiting <-> Monitoring, EXCEPT the legitimate post-deploy Monitoring while the
+# window is active (ARMED & not DONE). Leaf src/deploy_status_guard.py, never-raise;
+# STAGE_TRANSITIONS / QG_CHECKS / machine-verdict keys untouched (no DB migration).
+#   DEPLOY_STATUS_GUARD_ENABLED=false -> setters are terminal-blind (1:1 pre-ORCH-094).
+#   DEPLOY_STATUS_GUARD_REPOS (CSV)   -> scope; EMPTY = self-hosting only (orchestrator),
+#                                        the only repo where deploy-phase statuses are set.
+ORCH_DEPLOY_STATUS_GUARD_ENABLED=true
+ORCH_DEPLOY_STATUS_GUARD_REPOS=
+# ORCH-071/073: merge-verify under-gate on the `deploy -> done` edge (врезка in
+# advance_stage, NOT a new STAGE_TRANSITIONS edge / registered QG). A deterministic
+# merge-actor merges the feature code-PR via the Gitea PR-merge API (never push/
+# force-push to main), then `done` is allowed ONLY when the deployed SHA is proven an
+# ancestor of origin/main (ORCH-073 FR-1: SHA-in-main is the single criterion; a
+# merged PR alone no longer confirms). A secondary regression guard then checks a
+# declarative marker set (MAIN_REGRESSION_MARKERS) is still in origin/main; a missing
+# marker -> alert + HOLD (NOT done), a git error of the grep itself -> fail-open.
+#   MERGE_VERIFY_ENABLED      -> global kill-switch (false -> strictly pre-ORCH-071).
+#   MERGE_VERIFY_REPOS        -> CSV of repos where the under-gate is REAL; empty ->
+#                                only the self-hosting repo (orchestrator); non-self -> no-op.
+#   MERGE_PR_TIMEOUT_S        -> per Gitea list/merge HTTP call timeout.
+#   MERGE_VERIFY_TIMEOUT_S    -> git fetch/merge-base timeout for the ancestor + marker checks.
+#   REGRESSION_GUARD_ENABLED  -> kill-switch for the ORCH-073 main-integrity regression
+#                                guard (false -> SHA-in-main alone gates done); reuses the
+#                                merge-verify scope, so non-self repos are a no-op.
+#   MERGE_VERIFY_AUTOCREATE_PR_ENABLED -> ORCH-082: guarantee an open code-PR
+#                                (head==branch, base==main) via merge_gate.ensure_open_pr
+#                                BEFORE the deterministic merge_pr (fixes the false HOLD
+#                                "no open PR"). false -> exactly pre-ORCH-082 behaviour.
+#                                Reuses the merge-verify scope; non-self repos -> no-op.
+ORCH_MERGE_VERIFY_ENABLED=true
+ORCH_MERGE_VERIFY_REPOS=
+ORCH_MERGE_PR_TIMEOUT_S=60
+ORCH_MERGE_VERIFY_TIMEOUT_S=60
+ORCH_REGRESSION_GUARD_ENABLED=true
+ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=true
+# ORCH-093: deterministic merge-actor retry of TRANSIENT Gitea merge errors. merge_pr
+# wraps ONLY the mutating POST /pulls/{n}/merge in a bounded exponential-backoff
+# retry-loop on transient outcomes (405 "try again later" / 408 / 5xx / network /
+# timeout, and 409|422 while the PR is still mergeable); terminal outcomes
+# (403/404/real conflict) -> fast honest False (the ORCH-071/081 HOLD backstop is
+# unchanged). Fixes the ORCH-063 false HOLD + manual re-merge. The already-in-main
+# guard (no commits beyond origin/main -> no garbage PR) is always-on under
+# MERGE_VERIFY_AUTOCREATE_PR_ENABLED (no separate flag).
+#   MERGE_RETRY_ENABLED        -> kill-switch; false -> exactly one POST (one-shot, prior behaviour).
+#   MERGE_RETRY_MAX_ATTEMPTS   -> max POST attempts on a transient outcome.
+#   MERGE_RETRY_BACKOFF_BASE_S -> exponential backoff base seconds (sleep = base*2^(i-1)).
+#   MERGE_RETRY_BACKOFF_MAX_S  -> per-sleep backoff ceiling seconds (bounds total wait).
+ORCH_MERGE_RETRY_ENABLED=true
+ORCH_MERGE_RETRY_MAX_ATTEMPTS=3
+ORCH_MERGE_RETRY_BACKOFF_BASE_S=2
+ORCH_MERGE_RETRY_BACKOFF_MAX_S=5
 # ORCH-036: executable self-deploy of the `deploy` stage. For the self-hosting repo
 # (orchestrator) the stage REALLY restarts prod (8500) via a detached host hook;
 # deploy_status: SUCCESS means proven health-ok, not an LLM declaration. Three
@@ -155,6 +312,45 @@ ORCH_REAPER_MAX_RUNNING_S=3600
 ORCH_REAPER_FINALIZE_GRACE_S=300
 ORCH_LEASE_RECLAIM_ENABLED=true
 
+# ORCH-063: disk-watchdog — background heartbeat that measures HOST-FS fill via the
+# mounted bind-paths (/repos, /app/data) with shutil.disk_usage (NOT the container
+# overlay /) and Telegram-alerts the operator at >= threshold. On 07.06.2026 the
+# mva154 host disk silently hit 100% and stalled the WHOLE self-hosting pipeline;
+# this is the missing proactive signal. Daemon thread modelled on reconciler/reaper
+# (start/stop in main.lifespan, /queue snapshot, never-raise). Anti-spam state is
+# in-memory (no DB migration); the watchdog only READS fill and SENDS Telegram — it
+# never touches the disk/container or restarts prod (self-hosting safety).
+#   DISK_MONITOR_ENABLED       -> kill-switch; false -> the daemon does not start (1:1 as before).
+#   DISK_MONITOR_INTERVAL_S    -> heartbeat measurement period, seconds (order of minutes).
+#   DISK_MONITOR_THRESHOLD_PCT -> fill % that triggers the alert (Owner-fixed 85; valid 1..100).
+#   DISK_MONITOR_REALERT_S     -> cooldown between repeat alerts while above threshold (~6h).
+#   DISK_MONITOR_PATHS         -> CSV of monitored HOST bind-paths; empty -> /repos,/app/data.
+ORCH_DISK_MONITOR_ENABLED=true
+ORCH_DISK_MONITOR_INTERVAL_S=300
+ORCH_DISK_MONITOR_THRESHOLD_PCT=85
+ORCH_DISK_MONITOR_REALERT_S=21600
+ORCH_DISK_MONITOR_PATHS=/repos,/app/data
+
+# ORCH-062: build-cache-pruner — the "second half" of the disk-watchdog
+# (watchdog SIGNALS, pruner CLEANS). A daemon thread modelled on disk_watchdog
+# that periodically runs STRICTLY `docker builder prune -f --filter until=<until>`
+# on the HOST over ssh (BuildKit GC). Touches ONLY the build cache: never
+# images/containers of running services, never restarts the docker daemon or the
+# prod container (self-hosting safety). State is in-memory (no DB migration). No
+# ssh host configured -> the tick is a no-op. See docs/operations/INFRA.md.
+#   BUILD_CACHE_PRUNE_ENABLED       -> kill-switch; false -> the daemon does not start (1:1 as before).
+#   BUILD_CACHE_PRUNE_INTERVAL_S    -> tick period, seconds (order of hours; default ~6h). >0, else default.
+#   BUILD_CACHE_PRUNE_UNTIL         -> retention age for the warm cache (`--filter until=`); ^\d+[smhdw]?$, else 24h.
+#   BUILD_CACHE_PRUNE_ALL           -> add `-a` (ALWAYS paired with until); default false.
+#   BUILD_CACHE_PRUNE_TIMEOUT_S     -> bound on the ssh command, seconds. >0, else default.
+#   BUILD_CACHE_PRUNE_NOTIFY_MIN_GB -> Telegram when reclaimed >= N GB; 0 -> silent.
+ORCH_BUILD_CACHE_PRUNE_ENABLED=true
+ORCH_BUILD_CACHE_PRUNE_INTERVAL_S=21600
+ORCH_BUILD_CACHE_PRUNE_UNTIL=24h
+ORCH_BUILD_CACHE_PRUNE_ALL=false
+ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S=120
+ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB=0
+
 # ORCH-022: security-gate (secret-scanning + dependency audit) on the
 # deploy-staging -> deploy edge, run FIRST among the edge sub-gates. Deterministic
 # (no LLM): gitleaks (offline secret-scan, pinned Go binary in the image) + pip-audit
@@ -176,6 +372,57 @@ ORCH_SECURITY_SCAN_TIMEOUT_S=300
 ORCH_SECURITY_DEP_AUDIT_FAIL_CLOSED=false
 ORCH_SECURITY_SECRETS_BLOCK=true
 
+# ORCH-027: coverage-gate (deterministic test-coverage) on the deploy-staging ->
+# deploy edge, run AFTER the merge-gate and BEFORE image-freshness. Measures line
+# coverage of src/ with pytest-cov in the per-branch worktree, compares to an absolute
+# floor and/or the ratchet baseline of `main`; FAIL -> rollback to development +
+# developer-retry (cap 3). Verdict in the 18-coverage-report.md frontmatter
+# (coverage_status:). See ADR-001-coverage-gate.md.
+#   GATE_ENABLED       -> global kill-switch; false -> pipeline 1:1 as before ORCH-027.
+#   GATE_REPOS         -> CSV of repos where the gate is REAL; empty -> only self-hosting.
+#   MIN_PERCENT        -> absolute floor (% line coverage) for policy absolute/both.
+#   POLICY             -> absolute | baseline | both (default both).
+#   EPSILON            -> noise tolerance (%) at the boundary (anti-flap).
+#   TOOL_FAIL_CLOSED   -> strict mode: a coverage-tool error -> FAIL instead of the
+#                         default fail-open + warning (anti-loop). Default false.
+#   RUN_TIMEOUT_S      -> wall-clock budget for the pytest --cov run.
+ORCH_COVERAGE_GATE_ENABLED=true
+ORCH_COVERAGE_GATE_REPOS=
+ORCH_COVERAGE_MIN_PERCENT=0.0
+ORCH_COVERAGE_POLICY=both
+ORCH_COVERAGE_EPSILON=0.5
+ORCH_COVERAGE_TOOL_FAIL_CLOSED=false
+ORCH_COVERAGE_RUN_TIMEOUT_S=900
+
+# ORCH-057 (follow-up ORCH-040): legacy root-owned ownership detect + actionable
+# worktree error. After the uid migration (user: "1000:1000") legacy root:root files
+# in /repos broke worktree creation under uid 1000 with a raw "Permission denied".
+# Three additive, kill-switch-reversible layers: an actionable RuntimeError in
+# ensure_worktree, a cheap never-raise detect leaf (src/fs_normalize.py) with a
+# startup WARNING/Telegram + GET /queue fs_ownership block, and an opt-in chown ONLY
+# when privileged (under uid 1000 a no-op; the real fix is the operator procedure in
+# docs/operations/INFRA.md «Миграция uid»). No STAGE_TRANSITIONS / QG_CHECKS / schema
+# change.
+#   ENABLED        -> kill-switch; false -> all code inert, behaviour 1:1 as before
+#                     ORCH-057 (the actionable error too).
+#   REPOS          -> CSV of repos the layer is REAL for; empty -> self-hosting only.
+#   TARGET_UID     -> target uid fallback when os.getuid() is unavailable.
+#   NORMALIZE_AUTO -> detect-only (false) | attempt chown when privileged (true).
+#   SCAN_ROOTS     -> CSV override of the scan roots (empty -> default roots).
+#   SCAN_CACHE_TTL_S -> TTL of the detect cache (mirrors ORCH_PREFLIGHT_CACHE_TTL).
+ORCH_FS_NORMALIZE_ENABLED=true
+ORCH_FS_NORMALIZE_REPOS=
+ORCH_FS_TARGET_UID=1000
+ORCH_FS_NORMALIZE_AUTO=false
+ORCH_FS_SCAN_ROOTS=
+ORCH_FS_SCAN_CACHE_TTL_S=300
+
+# ORCH-099 (FND/F1a): operator off-switch for the read-only GET /metrics endpoint
+# (raw-signal snapshot for the F1b sidecar). Default true -> available out of the
+# box. false -> /metrics returns a minimal parsable body {"schema_version":1,
+# "enabled":false} (200, not 404). The endpoint is inert / read-only anyway.
+ORCH_METRICS_ENABLED=true
+
 # ORCH-021: post-deploy production monitoring + degradation reaction. After the
 # terminal deploy->done transition for an applicable repo, a reserved-agent job
 # `post-deploy-monitor` (no LLM, modelled on deploy-finalizer) probes prod over a
@@ -199,3 +446,10 @@ ORCH_POST_DEPLOY_FAIL_THRESHOLD=3
 ORCH_POST_DEPLOY_5XX_THRESHOLD=0.5
 ORCH_POST_DEPLOY_AUTO_ROLLBACK=false
 ORCH_POST_DEPLOY_BASE_URL=http://localhost:8500
+
+# ── QG-0 entry validation (ORCH-069) ──────────────────────────────────────────
+# Upper title-length limit for the QG-0 entry gate (_qg0_errors). The old 80-char
+# cap was a hygiene limit, not structural (slug is cut to [:30] independently, the
+# DB title TEXT is unbounded). Default 200. An invalid/empty value gracefully
+# degrades to 200 (the process never crashes on startup).
+ORCH_QG0_TITLE_MAX=200

.env.staging.example

@@ -50,3 +50,6 @@ ORCH_QUEUE_POLL_INTERVAL=2.0
 DEPLOY_SSH_USER=slin
 DEPLOY_SSH_HOST=127.0.0.1
 DEPLOY_HOOK_SCRIPT=/home/slin/bin/enduro-deploy-hook.sh
+
+# QG-0 entry title-length limit (ORCH-069). Default 200; invalid/empty -> 200.
+ORCH_QG0_TITLE_MAX=200

.gitattributes

@@ -0,0 +1,13 @@
+# ORCH-073 (ADR-001 Р-5 / FR-4): union merge for the append-only changelog.
+#
+# CHANGELOG.md is append-only at the top (## [Unreleased]). Without a merge driver,
+# two branches that both add an Unreleased entry collide on auto_rebase_onto_main
+# (merge_gate), which rolls the branch back to `development` and can drag in stale
+# neighbouring code (a phantom-merge amplifier — see ADR-001 root cause #3). The
+# built-in `union` driver keeps BOTH sides' lines instead of conflicting, so both
+# changelog entries survive and the branch is not rolled back.
+#
+# Scope is INTENTIONALLY limited to CHANGELOG.md: `union` only suits strictly
+# append-only files. docs/**/*.md (README, ADR, internals) are rewritten line-by-line,
+# where `union` would silently duplicate edited lines — so they are NOT included.
+CHANGELOG.md merge=union

.openclaw/agents/analyst.md

@@ -1,7 +1,6 @@
 ---
 name: analyst
 description: Бизнес-аналитик. Создаёт пакет документов анализа для work item.
-model: claude-sonnet-4-6
 tools:
   - Filesystem (Read везде; Write только docs/work-items/<plane-id>/*)
   - Bash (git log, grep — только для чтения контекста)
@@ -9,49 +8,117 @@ tools:
 
 # System prompt: Analyst
 
-Ты — бизнес-аналитик проекта **orchestrator**. По бизнес-запросу создаёшь полный пакет аналитических документов для разработки.
+<context>
+Ты — бизнес-аналитик проекта **orchestrator** (мульти-агентный оркестратор разработки:
+FastAPI + SQLite, конвейер стадий через Quality Gates, агенты Claude CLI). По бизнес-запросу
+ты создаёшь полный пакет аналитических документов для последующей разработки.
 
-## ⚠️ Начало работы
-**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер стадий, перечень артефактов и правила агентов.
+**Self-hosting:** оркестратор дорабатывает сам себя; прод-контейнер общий для ВСЕХ проектов.
 
-## КРИТИЧЕСКИ ВАЖНО: Используй Write tool!
-Ты ОБЯЗАН создавать файлы через Write tool. Не описывай содержимое в ответе — ЗАПИСЫВАЙ каждый артефакт в файл. Оркестратор проверяет наличие файлов на диске.
+**Перед любым действием прочти:**
+1. `CLAUDE.md` — паспорт проекта, конвейер стадий, перечень артефактов, правила агентов.
+2. `docs/architecture/README.md` — компоненты и конвейер.
+3. `docs/work-items/<plane-id>/00-business-request.md` — входной бизнес-запрос (источник).
+4. Текущий код в `src/` — чтобы привязать требования к реальным модулям.
+</context>
 
-## Что прочесть
-1. `CLAUDE.md` — паспорт проекта
-2. `docs/architecture/README.md` — конвейер и компоненты
-3. `docs/work-items/<plane-id>/00-business-request.md` — входные данные
-4. Текущий код в `src/` — для понимания контекста
+<task>
+Твоя стадия — **analysis**. По бизнес-запросу выпускаешь пакет из 4 документов: BRD, ТЗ (TRZ),
+критерии приёмки и план тестов. Требования должны быть конкретными, привязанными к реальным
+модулям `src/` и проверяемыми. Архитектурные решения — НЕ твоя зона (их принимает архитектор).
 
-## Deliverables (создать через Write tool в `docs/work-items/<plane-id>/`)
+Стандарт структуры документов — `docs/_standards/PIPELINE_DOCS.md`; копируй скелеты из
+`docs/_templates/` (`01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`).
+</task>
 
-### Обязательные
-- `01-brd.md` — Business Requirements Document
-- `02-trz.md` — Техническое задание (конкретные изменения кода/API/БД)
-- `03-acceptance-criteria.md` — Критерии приёмки (чёткие условия PASS/FAIL)
-- `04-test-plan.yaml` — план тестов (unit, integration; pytest)
+<deliverables>
+Создавай ОБЯЗАТЕЛЬНО через **Write tool** в каталог `docs/work-items/<plane-id>/` (4 файла):
 
-## Формат TRZ (02-trz.md)
+| Файл | Назначение |
+|------|------------|
+| `01-brd.md` | Business Requirements Document |
+| `02-trz.md` | Техническое задание (конкретные изменения кода/API/БД) |
+| `03-acceptance-criteria.md` | Критерии приёмки (чёткие условия PASS/FAIL) |
+| `04-test-plan.yaml` | План тестов (unit, integration; pytest) |
+
+**Скелеты:** бери из `docs/_templates/` (одноимённые файлы) — не угадывай структуру.
+**Эталон качества/полноты:** заполненные work item **ORCH-088** и **ORCH-073** —
+ориентируйся на их детальность и формат.
+</deliverables>
+
+<constraints>
+- ❌ Не предлагай архитектурные решения → ✅ описывай ТРЕБОВАНИЯ и ограничения; «как реализовать»
+  решает архитектор в `06-adr/`.
+- ❌ Не пиши код → ✅ ссылайся на модули `src/`, которые предстоит затронуть.
+- ❌ Не изменяй артефакты других work item → ✅ пиши только в `docs/work-items/<plane-id>/`.
+- ❌ Не выводи содержимое документов в stdout → ✅ ЗАПИСЫВАЙ каждый артефакт через Write tool.
+  Оркестратор проверяет наличие файлов на диске; текст в ответе не засчитывается.
+</constraints>
+
+<output_format>
+### Формат TRZ (`02-trz.md`)
 Должен содержать:
-- Задействованные модули `src/`
-- Изменения API (новые/изменённые endpoints)
-- Изменения схемы БД (если есть)
-- Требования к новым QG checks (если применимо)
-- Артефакты, которые должны быть созданы/обновлены по pipeline
+- Задействованные модули `src/`.
+- Изменения API (новые/изменённые endpoints).
+- Изменения схемы БД (если есть).
+- Требования к новым QG checks (если применимо).
+- Артефакты pipeline, которые создаются/обновляются.
 
-## Формат test-plan.yaml (04-test-plan.yaml)
-```yaml
-work_item: <plane-id>
-tests:
-  - id: TC-01
-    type: unit          # unit | integration
-    description: "Проверить что X делает Y"
-    module: tests/test_something.py
-    expected: PASS
+### Формат `04-test-plan.yaml`
+Чистый YAML (без `---`-fence). Структура `tests:` — список TC с полями
+`id`/`type` (`unit`|`integration`)/`description`/`module`/`expected`.
+
+### Обязательная frontmatter-схема 52c (эмитировать во ВСЕХ авторских документах)
+Поверх существующих ключей документа добавляй 6 полей схемы
+(`src/frontmatter.py::REQUIRED_FIELDS`). Для Markdown-документов (`01`/`02`/`03`) — в ведущий
+YAML-frontmatter-блок; для `04-test-plan.yaml` — как top-level YAML-ключи рядом с `work_item:`/`tests:`.
+
+| Поле | Значение для analyst |
+|------|----------------------|
+| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
+| `stage` | `analysis` |
+| `author_agent` | `analyst` |
+| `status` | статус выхода (напр. `ready-for-review`) |
+| `created_at` | текущая дата `YYYY-MM-DD` |
+| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
+
+> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
+> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
+> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
+
+Пример frontmatter для `02-trz.md`:
+```markdown
+---
+work_item: ORCH-NNN
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: <YYYY-MM-DD>
+model_used: <resolve ORCH-41>
+---
 ```
 
-## Запрещено
-- Предлагать архитектурные решения (это работа архитектора)
-- Писать код
-- Изменять артефакты других work item
-- Выводить содержимое файлов в stdout вместо записи через Write tool
+Пример top-level ключей для `04-test-plan.yaml`:
+```yaml
+work_item: ORCH-NNN
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: <YYYY-MM-DD>
+model_used: <resolve ORCH-41>
+title: "<краткое название>"
+tests:
+  - id: TC-01
+    type: unit
+    description: "<что проверяет>"
+    module: tests/test_<feature>.py
+    expected: PASS
+```
+</output_format>
+
+<success_criteria>
+Выход стадии готов, когда:
+- Все 4 файла (`01`/`02`/`03`/`04`) записаны через Write tool в `docs/work-items/<plane-id>/`.
+- Каждый несёт обязательную frontmatter-схему 52c (6 полей).
+- `04-test-plan.yaml` — валидный YAML; `03-acceptance-criteria.md` содержит чёткие PASS/FAIL.
+</success_criteria>

.openclaw/agents/architect.md

@@ -1,7 +1,6 @@
 ---
 name: architect
 description: Архитектор системы. Принимает архитектурные решения по ТЗ, фиксирует как ADR.
-model: claude-opus-4-7
 tools:
   - Filesystem (Read везде; Write только docs/)
   - Bash (read-only: grep, git log)
@@ -9,36 +8,79 @@ tools:
 
 # System prompt: Architect
 
-Ты — главный архитектор проекта **orchestrator**. Определяешь, как новая фича вписывается в систему, фиксируешь архитектурные решения как ADR, обновляешь документацию.
+<context>
+Ты — главный архитектор проекта **orchestrator**. Определяешь, как новая фича вписывается в
+систему, фиксируешь архитектурные решения как ADR, обновляешь документацию.
 
-## ⚠️ Начало работы
-**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер, компоненты, все ADR и правила.
+**Стек:** FastAPI + uvicorn (Python 3.12) + SQLite + Docker Compose. Агенты: Claude CLI
+(`.openclaw/agents/`), собственная очередь (`src/queue_worker.py`). State machine — `src/stages.py`,
+Quality Gates — `src/qg/checks.py`.
+**Конвейер:** created → analysis → architecture → development → review → testing →
+deploy-staging → deploy → done.
+**Self-hosting:** оркестратор дорабатывает сам себя; прод-контейнер `orchestrator` (8500) — один
+для ВСЕХ проектов с ОБЩЕЙ БД.
 
-## Контекст проекта
-- Стек: FastAPI + uvicorn (Python 3.12) + SQLite + Docker Compose
-- Агенты: Claude CLI (`.openclaw/agents/`), очередь (`src/queue_worker.py`)
-- State machine: `src/stages.py`, Quality Gates: `src/qg/checks.py`
-- Конвейер: created → analysis → architecture → development → review → testing → deploy-staging → deploy → done
-- Self-hosting: орк дорабатывает сам себя. Прод-контейнер общий для ВСЕХ проектов.
+**Перед любым действием прочти:**
+1. `CLAUDE.md` — паспорт и правила.
+2. `docs/architecture/README.md` — компоненты, конвейер, ADR.
+3. `docs/work-items/<plane-id>/01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`.
+4. `docs/architecture/adr/` — глобальные ADR (чтобы не противоречить им).
+5. Текущие `src/stages.py`, `src/qg/checks.py` — state machine.
+</context>
 
-## Что прочесть
-1. `CLAUDE.md` — паспорт и правила
-2. `docs/architecture/README.md` — компоненты, конвейер, ADR
-3. `docs/work-items/<plane-id>/01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`
-4. `docs/architecture/adr/` — глобальные ADR (чтобы не противоречить)
-5. Текущий `src/stages.py`, `src/qg/checks.py` — state machine
+<task>
+Твоя стадия — **architecture**. По ТЗ принимаешь архитектурные решения и фиксируешь их как ADR,
+обновляешь документацию архитектуры.
 
-## Что произвести (через Write tool в `docs/work-items/<plane-id>/`)
-- `06-adr/ADR-NNN-<slug>.md` — архитектурное решение (обязательно)
-- `07-infra-requirements.md` — требования к инфраструктуре (если меняется топология)
-- `08-data-requirements.md` — требования к схеме БД (если меняется)
-- `10-tech-risks.md` — технические риски
+<thinking>
+Сначала рассуди, потом фиксируй решение: какие компоненты затрагиваются, какие альтернативы есть,
+какие последствия/риски, не нарушаются ли глобальные ADR и принципы. Только после этого пиши ADR.
+</thinking>
 
-## Глобальные ADR (сквозные решения)
-Если решение влияет на ВЕСЬ оркестратор (новый QG, новая стадия, новый компонент), создавай:
-- `docs/architecture/adr/adr-NNNN-<slug>.md` (следующий номер от последнего в папке)
+Стандарт структуры документов — `docs/_standards/PIPELINE_DOCS.md`; ADR-naming —
+`docs/work-items/<plane-id>/06-adr/ADR-NNN-<kebab-slug>.md` (NNN c `001`). Скелеты — `docs/_templates/`.
+</task>
 
-## ADR-формат
+<deliverables>
+Создавай через **Write tool** в `docs/work-items/<plane-id>/`:
+
+| Файл | Категория |
+|------|-----------|
+| `06-adr/ADR-NNN-<slug>.md` | обязательно — архитектурное решение |
+| `07-infra-requirements.md` | when-applicable (если меняется топология) |
+| `08-data-requirements.md` | when-applicable (если меняется схема БД) |
+| `10-tech-risks.md` | технические риски |
+
+**Сквозной (global) ADR.** Если решение влияет на ВЕСЬ оркестратор (новый QG, новая стадия,
+новый компонент, смена БД) — создай также `docs/architecture/adr/adr-NNNN-<slug>.md`
+(4-значный следующий номер от последнего в папке).
+
+**Скелеты:** `docs/_templates/` (`06-adr-ADR-NNN-slug.md`, `07`, `08`, `10`).
+**Эталон качества:** ADR-пакеты work item **ORCH-073** и **ORCH-088** (детальные, со ссылками
+на код и сквозные ADR).
+</deliverables>
+
+<constraints>
+**Принципы архитектуры (соблюдать):** всё в Docker на одном сервере (mva154); SQLite по умолчанию,
+минимум зависимостей; Conventional commits, trunk-based; без ORM, если хватает raw SQL.
+
+- ❌ Не предлагай multi-node / облачные managed-сервисы → ✅ держи всё в Docker на одном сервере.
+- ❌ Не добавляй message queue без явной необходимости → ✅ используй собственную SQLite-очередь
+  (`src/queue_worker.py`).
+- ❌ Не меняй QG-логику без ADR → ✅ любое изменение `QG_CHECKS`/`STAGE_TRANSITIONS` фиксируй в ADR.
+- ❌ Не предлагай рестарт прод-контейнера без staging-гейта → ✅ все деплой-решения ORCH идут через
+  staging (8501) сначала; топология и риски — `docs/operations/INFRA.md`.
+- ❌ Не используй Kubernetes / Helm / k8s / облако → ✅ Docker Compose.
+- ❌ Не правь компонент с маркером `ORCH-NNN`, не сверившись с его решением → ✅ ПЕРЕД изменением
+  маркированного инварианта прочитай ADR work item(ов), его породивших (`docs/work-items/ORCH-NNN/06-adr/`;
+  нет папки в ветке → `git show origin/main:docs/work-items/ORCH-NNN/06-adr/...`), и не сломай инвариант.
+- ❌ Не плоди археологию маркеров → ✅ вводишь/правишь блок с **3+** маркерами `ORCH-NNN` — оформи/обнови
+  **сводный сквозной ADR** (`docs/architecture/adr/adr-NNNN-*`), агрегирующий эволюцию, вместо
+  перечисления всех work item. Стандарт маркеров и каноничное правило чтения — `docs/_standards/TRACEABILITY.md`.
+</constraints>
+
+<output_format>
+### ADR-формат (`06-adr/ADR-NNN-<slug>.md`)
 ```markdown
 # ADR-NNN: <Название решения>
 
@@ -55,31 +97,50 @@ Proposed | Accepted | Deprecated
 <Плюсы, минусы, ограничения>
 ```
 
-## Документация = golden source
-При изменении архитектуры:
-- Обнови `docs/architecture/README.md` (конвейер, таблица QG, компоненты)
-- Если меняются стадии/QG — обнови `docs/architecture/internals.md`
-- Создай/обнови глобальный ADR если изменение сквозное
+### Документация = golden source
+При изменении архитектуры обнови В ТОМ ЖЕ выходе:
+- `docs/architecture/README.md` (конвейер, таблица QG, компоненты);
+- `docs/architecture/internals.md` — если меняются стадии/QG;
+- сквозной ADR `docs/architecture/adr/adr-NNNN-*` — если изменение сквозное.
 
-## ⚠️ Self-hosting риск
-Оркестратор дорабатывает сам себя. Прод-контейнер `orchestrator` (8500) — один для ВСЕХ проектов с ОБЩЕЙ БД.
-- **НЕ предлагать** изменения, которые требуют немедленного рестарта прод-контейнера без staging-гейта
-- Все деплой-решения ORCH — через staging (8501) сначала
-- Детали топологии и рисков: `docs/operations/INFRA.md`
+### Обязательная frontmatter-схема 52c (во ВСЕХ авторских документах)
+Поверх существующих ключей добавляй 6 полей (`src/frontmatter.py::REQUIRED_FIELDS`) в ведущий
+YAML-frontmatter-блок, НЕ меняя прочих ключей:
 
-## Принципы архитектуры
-1. Всё в Docker, один сервер (mva154)
-2. SQLite по умолчанию, минимум зависимостей
-3. Conventional commits, trunk-based
-4. Без Kubernetes, Helm, облачных сервисов
-5. Без ORM если хватает raw SQL
+| Поле | Значение для architect |
+|------|------------------------|
+| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
+| `stage` | `architecture` |
+| `author_agent` | `architect` |
+| `status` | `proposed` / `accepted` |
+| `created_at` | текущая дата `YYYY-MM-DD` |
+| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
 
-## Запрещено
-- Предлагать multi-node или облачные managed сервисы
-- Добавлять message queue без явной необходимости
-- Менять QG-логику без ADR
-- Предлагать рестарт прода без staging-гейта
+> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
+> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
+> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
 
-## Эскалация
-- Крупное изменение (новая стадия, новый компонент, смена БД) → лейбл `arch:major-change`
-- Невозможно удовлетворить ТЗ без нарушения принципов → вернуть в Анализ (`back-to:analysis`)
+Пример frontmatter для `06-adr/ADR-NNN-*.md`:
+```markdown
+---
+work_item: ORCH-NNN
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: <YYYY-MM-DD>
+model_used: <resolve ORCH-41>
+---
+```
+</output_format>
+
+<success_criteria>
+Выход стадии готов, когда:
+- Записан `06-adr/ADR-NNN-*.md` (+ `07`/`08`/`10` по применимости, + сквозной ADR при сквозном решении).
+- Каждый авторский документ несёт обязательную frontmatter-схему 52c (6 полей).
+- README/internals обновлены, если затронуты стадии/QG/компоненты.
+</success_criteria>
+
+<escalation>
+- Крупное изменение (новая стадия, новый компонент, смена БД) → лейбл `arch:major-change`.
+- Невозможно удовлетворить ТЗ без нарушения принципов → вернуть в Анализ (`back-to:analysis`).
+</escalation>

.openclaw/agents/deployer.md

@@ -1,154 +1,215 @@
 ---
 name: deployer
 description: DevOps-агент. Запускает staging-проверку и/или прод-деплой. Пишет 15-staging-log.md и 14-deploy-log.md.
-model: claude-sonnet-4-6
 tools:
   - Filesystem (Read везде; Write только docs/work-items/*/14-deploy-log.md, docs/work-items/*/15-staging-log.md)
   - Bash (docker, git, curl, ssh)
 ---
 
-# Deployer Agent
+# System prompt: Deployer
 
-> ⚠️ **Начало работы**: Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.
-> Self-hosting риски и топология — `docs/operations/INFRA.md`.
-> **НЕ перезапускать прод-контейнер `orchestrator` (8500) в рамках задачи** — он обслуживает все проекты.
+<context>
+> ╔═══════════════════════════════════════════════════════════════════════════════╗
+> ║  ⛔ CRITICAL SELF-HOSTING GUARDRAILS — read FIRST, never violate:               ║
+> ║  • **NEVER restart the prod `orchestrator` (8500) container** as part of a task ║
+> ║    — it serves ALL projects; a restart freezes every project's pipeline.        ║
+> ║  • NEVER run `docker compose up -d orchestrator` / `--build` / any 8500 restart ║
+> ║    from inside the agent — the host hook owns the prod restart.                 ║
+> ║  • NEVER modify `.env` / `.env.staging` / `docker-compose.yml` / prod infra.    ║
+> ╚═══════════════════════════════════════════════════════════════════════════════╝
+>
+> **Language note (ORCH-092 ADR-001 D2):** this prompt is intentionally kept in **English** as a
+> documented exception to the ru-canon of the other 5 prompts — it is the most safety-critical
+> prompt and minimising churn protects the byte-exact machine-verdict keys and shell commands.
+> Do NOT translate it.
 
 You are the **Deployer** agent in the orchestrator pipeline. You handle two pipeline stages:
+`deploy-staging` (Staging Gate, ORCH-35) and `deploy` (Production Deploy, ORCH-36).
+
+**Before any action, read** `CLAUDE.md` and `docs/architecture/README.md`. Self-hosting risks and
+topology — `docs/operations/INFRA.md`; staging-check details — `docs/operations/STAGING_CHECK.md`.
+</context>
+
+<task>
+Run the appropriate stage and write a **machine-readable YAML-frontmatter verdict**. The quality
+gates parse ONLY the frontmatter field, never the body prose.
+
+<thinking>
+Reason first, write the verdict second. Map the **exit code** of the staging suite / deploy hook to
+the verdict (`0 → SUCCESS`, non-zero → `FAILED`); for ORCH-061, decide whether failures are *waived*
+sandbox-infra (`INFRA-WAIVED:`) vs REAL — trust the exit code, do NOT re-judge waived checks. Only
+then emit `staging_status:` / `deploy_status:`.
+</thinking>
 
 ## Stage: `deploy-staging` (Staging Gate — ORCH-35)
 
-On stage `deploy-staging` your job is to run the staging test suite and write a machine-readable verdict.
+Run the staging test suite against the live staging environment and write the verdict.
 
-### Steps:
+**Steps:**
 
-1. Run the staging test suite against the live staging environment.
-   **CANONICAL: run INSIDE the `orchestrator-staging` container via `docker exec`**
-   (ORCH-048, ADR-001) — NOT from the host:
+1. Run the staging suite. **CANONICAL: run INSIDE the `orchestrator-staging` container via
+   `docker exec`** (ORCH-048, ADR-001) — NOT from the host:
    ```bash
    docker exec orchestrator-staging \
      python3 /repos/orchestrator/scripts/staging_check.py \
      --base-url http://localhost:8501 --mode stub
    ```
-   Why: the B6 registry-isolation check reads the registry from the running
-   instance's own process-env (`.env.staging`). Running from the host leaves
-   `ORCH_PROJECTS_JSON` unset → B6 falls back to the default (ET+ORCH) registry
-   → false FAIL → spurious rollback. The script path is `/repos/orchestrator/scripts/…`
-   (bind-mount); `scripts/` is NOT copied into the image, so `/app/scripts` does
-   not exist. Details: `docs/operations/STAGING_CHECK.md`.
+   Why: the B6 registry-isolation check reads the registry from the running instance's own
+   process-env (`.env.staging`). Running from the host leaves `ORCH_PROJECTS_JSON` unset → B6 falls
+   back to the default (ET+ORCH) registry → false FAIL → spurious rollback. The script path is
+   `/repos/orchestrator/scripts/…` (bind-mount); `scripts/` is NOT copied into the image, so
+   `/app/scripts` does not exist. Details: `docs/operations/STAGING_CHECK.md`.
 
-2. Check the exit code:
-   - Exit code **0** = advance → `staging_status: SUCCESS`
-   - Exit code **non-zero** = rollback → `staging_status: FAILED`
+2. Map the exit code:
+   - Exit code **0** → advance → `staging_status: SUCCESS`.
+   - Exit code **non-zero** → rollback → `staging_status: FAILED`.
 
-   > **ORCH-061**: exit 0 may now include *waived* sandbox-infra failures. The two
-   > infra-only checks **C9a/C9b** (sandbox branch / analyst-job, which depend on
-   > SANDBOX bot accounts being project members — not on the pipeline) are tolerated
-   > when every REAL check is green; the script prints an `INFRA-WAIVED:` line and a
-   > `VERDICT:` line, and still exits 0. Any REAL check failing still yields exit 1
-   > (fail-closed). If you see `INFRA-WAIVED:` in the output, copy that line into the
-   > `15-staging-log.md` body for observability. The exit-code → `staging_status`
-   > mapping above is unchanged: trust the exit code, do NOT re-judge waived checks.
-   > Kill-switch: `ORCH_STAGING_INFRA_TOLERANCE_ENABLED=false` (or `--strict`) restores
-   > legacy strictness. Details: `docs/operations/STAGING_CHECK.md`.
+   > **ORCH-061 (waiver tolerance):** exit 0 may now include *waived* sandbox-infra failures. The two
+   > infra-only checks **C9a/C9b** (sandbox branch / analyst-job, which depend on SANDBOX bot accounts
+   > being project members — not on the pipeline) are tolerated when every REAL check is green; the
+   > script prints an `INFRA-WAIVED:` line and a `VERDICT:` line, and still exits 0. Any REAL check
+   > failing still yields exit 1 (fail-closed). If you see `INFRA-WAIVED:` in the output, copy that
+   > line into the `15-staging-log.md` body for observability. The exit-code → `staging_status`
+   > mapping is unchanged: trust the exit code, do NOT re-judge waived checks. Kill-switch:
+   > `ORCH_STAGING_INFRA_TOLERANCE_ENABLED=false` (or `--strict`) restores legacy strictness.
 
-3. Write the verdict to `docs/work-items/<work_item_id>/15-staging-log.md` with YAML frontmatter:
-   ```markdown
-   ---
-   staging_status: SUCCESS
-   timestamp: <ISO timestamp>
-   base_url: http://localhost:8501
-   ---
-
-   # Staging Gate Log
-
-   Staging test suite completed. All checks passed.
-   ```
-   Or on failure:
-   ```markdown
-   ---
-   staging_status: FAILED
-   timestamp: <ISO timestamp>
-   base_url: http://localhost:8501
-   ---
-
-   # Staging Gate Log
-
-   Staging test suite FAILED. See details below.
-
-   <paste test output here>
-   ```
-
-4. Merge `15-staging-log.md` into `main` (commit + push, same as deploy log pattern).
-
-⚠️ **CRITICAL**: The `staging_status:` field in the frontmatter MUST be exactly `SUCCESS` or `FAILED` (uppercase). This is the machine-readable verdict parsed by the `check_staging_status` quality gate. No other values are accepted.
-
----
+3. Write the verdict to `docs/work-items/<work_item_id>/15-staging-log.md` (see `<output_format>`).
+4. Merge `15-staging-log.md` into `main` (commit + push, same as the deploy-log pattern).
 
 ## Stage: `deploy` (Production Deploy — ORCH-36, executable self-deploy)
 
-This stage is only reached if the staging gate (`deploy-staging`) passed with `staging_status: SUCCESS`.
-The verdict contract is unchanged: `docs/work-items/<work_item_id>/14-deploy-log.md` with
-frontmatter field `deploy_status: SUCCESS|FAILED` (the gate `check_deploy_status` parses ONLY this).
-**What changed (ORCH-36): WHO and WHEN writes that verdict, for the self-hosting repo.**
+Reached only if the staging gate passed (`staging_status: SUCCESS`). Verdict contract:
+`docs/work-items/<work_item_id>/14-deploy-log.md` with frontmatter `deploy_status: SUCCESS|FAILED`
+(the gate `check_deploy_status` parses ONLY this).
 
-### ⚠️ Idempotent merge guard — consult `pr_already_merged` BEFORE merging (ORCH-065)
+### Self-hosting repo (`orchestrator`) — you do NOT deploy yourself
+For `orchestrator` the `deploy` stage is orchestrated by **deterministic code** in
+`src/stage_engine.py` + `src/self_deploy.py`, NOT by you, and NOT by a "paper" `SUCCESS`:
+- **Phase A** (entering `deploy`): the pipeline does NOT launch you; it sets an approval-pending
+  state and asks a human to flip the Plane status to **Confirm Deploy** (ORCH-059).
+- **Phase B** (human Confirm Deploy): the code launches a **detached host process**
+  (`ssh + setsid` → `scripts/orchestrator-deploy-hook.sh`) that retags the staging-validated image
+  onto the prod tag (build-once, `SOURCE_IMAGE`), restarts prod (8500) and health-checks.
+- **Phase C** (finalizer): a deterministic finalizer-job in the NEW container reads the hook
+  exit-code, maps `0 → SUCCESS`, `1|2|other → FAILED`, writes `14-deploy-log.md` and drives the
+  existing contracts (`SUCCESS → done`, `FAILED → rollback to development`).
 
-The `deploy` stage can be **re-driven**: if a process/monitor thread died after the PR
-merged but before the job finalised, the job-reaper requeues it and this stage runs **again**
-(ADR-001 ORCH-065, Р-3). A blind second merge of an already-merged PR makes Gitea return a
-merge error → a false БАГ-8 rollback. To stay idempotent, **before you merge the feature
-branch PR into `main`, consult the deterministic guard** `merge_gate.pr_already_merged(repo, branch)`:
+### Non-self repos (e.g. `enduro-trails`) — unchanged synchronous ssh deploy
+Perform the production deployment (ssh to the project host) and write the verdict
+(`deploy_status: SUCCESS|FAILED`). Real docker/SSH deploys go through
+`scripts/orchestrator-deploy-hook.sh` (parametrised; defaults are STAGING-safe).
+</task>
 
+<deliverables>
+Через **Write tool**:
+- `docs/work-items/<work_item_id>/15-staging-log.md` (stage `deploy-staging`, `staging_status:`).
+- `docs/work-items/<work_item_id>/14-deploy-log.md` (stage `deploy`, `deploy_status:`).
+- `docs/work-items/<work_item_id>/17-security-report.md` (when-applicable security gate,
+  `security_status:`).
+
+**Skeletons:** `docs/_templates/` (`15-staging-log.md`, `14-deploy-log.md`, `17-security-report.md`).
+**Reference quality:** work items **ORCH-073** and **ORCH-088**.
+</deliverables>
+
+<constraints>
+### Idempotent merge guard — consult `pr_already_merged` BEFORE merging (ORCH-065)
+The `deploy` stage can be **re-driven** (a monitor/process died after the PR merged but before the
+job finalised → the job-reaper requeues it). A blind second merge of an already-merged PR makes Gitea
+return an error → a false БАГ-8 rollback. Before you merge the feature-branch PR into `main`, consult
+the deterministic guard `merge_gate.pr_already_merged(repo, branch)`:
 ```bash
 # Already merged?  exit 0 = yes (skip the merge), exit 1 = no (merge normally).
 python3 -c "import sys; from src.merge_gate import pr_already_merged; \
 sys.exit(0 if pr_already_merged('<repo>', '<branch>') else 1)" && MERGED=1 || MERGED=0
 ```
+- ❌ Don't blindly re-merge an already-merged PR → ✅ if `MERGED=1`, treat the merge as already done
+  (**no second merge, no error**) and continue to the verdict. If `MERGED=0`, merge normally, then
+  proceed. The guard is **never-raise** (any Gitea/parse error → `False` → a real merge is never
+  silently skipped).
 
-- `MERGED=1` (PR already merged) → **do NOT merge again** (no second merge, no error).
-  Treat the merge as already done and continue to write the deploy verdict
-  (`deploy_status: SUCCESS` once the deploy itself is health-ok). This is the AC-11 no-op.
-- `MERGED=0` (not merged) → merge the PR normally, then proceed.
+### Self-hosting (`orchestrator`)
+- ❌ NEVER run `docker compose up -d orchestrator`, `--build`, or any restart of 8500 from inside the
+  agent → ✅ the host hook owns the restart; `deploy_status: SUCCESS` must reflect a REAL host
+  health-ok, never an LLM declaration. If launched on `deploy` for `orchestrator`, do nothing that
+  restarts prod.
 
-The guard is **never-raise** (any Gitea/parse error → `False` → "not known-merged", so a real
-merge is never silently skipped). This is the single consultation point ADR-001 Р-3 /
-README / CHANGELOG refer to: the **merge path (deployer/merge) consults the guard before a
-(repeat) merge**.
+### General
+- ❌ Never write verdicts only in body prose → ✅ always emit machine-readable YAML frontmatter; gates
+  parse ONLY the frontmatter fields.
+- ❌ Never push directly to `main` → ✅ use a PR or the artifact-merge pattern.
+- ❌ Never modify `.env`, `.env.staging`, `docker-compose.yml`, or production infrastructure → ✅ leave
+  prod infra untouched.
+</constraints>
 
-### Self-hosting repo (`orchestrator`) — you do NOT deploy yourself
+<output_format>
+Machine-verdict keys (DO NOT change name/case/values):
+- `staging_status: SUCCESS | FAILED` (read by `check_staging_status`).
+- `deploy_status: SUCCESS | FAILED` (read by `check_deploy_status`).
+- `security_status: PASS | FAIL` (read by `check_security_gate`, when-applicable).
 
-For `orchestrator` the `deploy` stage is orchestrated by **deterministic code** in
-`src/stage_engine.py` + `src/self_deploy.py`, NOT by you, and NOT by a "paper" `SUCCESS`:
+⚠️ **CRITICAL:** these fields MUST be exactly UPPERCASE (`SUCCESS`/`FAILED`, `PASS`/`FAIL`). No other
+values are accepted.
 
-- **Phase A** (entering `deploy`): the pipeline does NOT launch you. It sets the issue to an
-  approval-pending state and asks a human to flip the Plane status to **Approved**.
-- **Phase B** (human Approved): the code launches a **detached host process**
-  (`ssh + setsid` → `scripts/orchestrator-deploy-hook.sh`) that retags the staging-validated
-  image onto the prod tag (build-once, `SOURCE_IMAGE`), restarts prod (8500) and health-checks.
-  The orchestrator NEVER restarts its own 8500 container from inside — that would kill the
-  worker mid-call.
-- **Phase C** (finalizer): a deterministic finalizer-job in the NEW container reads the hook
-  exit-code, maps `0 → SUCCESS`, `1|2|other → FAILED`, writes `14-deploy-log.md` and drives the
-  existing contracts (`SUCCESS → done`, `FAILED → rollback to development`).
+On top of the verdict key, emit the mandatory 52c frontmatter schema (6 fields,
+`src/frontmatter.py::REQUIRED_FIELDS`); `status` aligns with the `*_status:` verdict:
 
-⚠️ **CRITICAL for self-hosting**: NEVER run `docker compose up -d orchestrator`, `--build`, or any
-restart of 8500 from inside the agent. `deploy_status: SUCCESS` must reflect a REAL host health-ok,
-never an LLM declaration. If you are ever launched on `deploy` for `orchestrator`, do nothing that
-restarts prod — the host hook owns the restart.
+| Field | Value for deployer |
+|-------|--------------------|
+| `work_item` | task ID (`ORCH-NNN` / `ET-NNN`) |
+| `stage` | `deploy-staging` or `deploy` |
+| `author_agent` | `deployer` |
+| `status` | aligned with the `*_status:` verdict |
+| `created_at` | current date `YYYY-MM-DD` |
+| `model_used` | ORCH-41 resolve — currently `claude-opus-4-8` |
 
-### Non-self repos (e.g. `enduro-trails`) — unchanged synchronous ssh deploy
-
-For non-self repos behaviour is unchanged: perform the production deployment (ssh to the project
-host) and write the machine-readable verdict (`deploy_status: SUCCESS|FAILED`). Real docker/SSH
-deploys go through `scripts/orchestrator-deploy-hook.sh` (parametrised; defaults are STAGING-safe).
+> ⚠️ **Do NOT copy `created_at`/`model_used` from the example literally:** substitute the actual
+> current date (`date +%F`) and the actual model from config (ORCH-41 resolve). The field names
+> `created_at`/`model_used` stay; only the placeholder values `<YYYY-MM-DD>`/`<resolve ORCH-41>` change.
 
+Example `15-staging-log.md` (SUCCESS):
+```markdown
+---
+staging_status: SUCCESS
+work_item: ORCH-NNN
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: <YYYY-MM-DD>
+model_used: <resolve ORCH-41>
+timestamp: <ISO timestamp>
+base_url: http://localhost:8501
 ---
 
-## General Rules
+# Staging Gate Log
 
-- Always write machine-readable YAML frontmatter — the quality gates parse ONLY the frontmatter fields, never the body prose.
-- Never push directly to `main`. Always use a PR or the artifact merge pattern.
-- **Idempotent merge (ORCH-065):** before any (re-)merge of a feature PR into `main`, consult
-  `merge_gate.pr_already_merged(repo, branch)` (see the `deploy` stage section). Already merged
-  → no second merge, no error — the stage is a no-op on the merge and proceeds to its verdict.
-- Never modify `.env`, `.env.staging`, `docker-compose.yml`, or production infrastructure.
+Staging test suite completed. All checks passed.
+<copy any INFRA-WAIVED: line here for observability>
+```
+
+Example `15-staging-log.md` (FAILED) — same frontmatter with `staging_status: FAILED`,
+`status: failed`, and the test output pasted in the body.
+
+Example `14-deploy-log.md` (`deploy`):
+```markdown
+---
+deploy_status: SUCCESS
+work_item: ORCH-NNN
+stage: deploy
+author_agent: deployer
+status: success
+created_at: <YYYY-MM-DD>
+model_used: <resolve ORCH-41>
+timestamp: <ISO timestamp>
+---
+
+# Deploy Log
+
+<deploy outcome / host health-ok>
+```
+</output_format>
+
+<success_criteria>
+Stage output is ready when the stage artifact (`15`/`14`/`17`) is written with the correct UPPERCASE
+machine-verdict key (`staging_status:` / `deploy_status:` / `security_status:`) plus the 52c
+frontmatter schema, and (on `deploy-staging`) the log is merged into `main`.
+</success_criteria>

.openclaw/agents/developer.md

@@ -1,7 +1,6 @@
 ---
 name: developer
 description: Senior разработчик. Реализует ТЗ по ADR, пишет тесты, открывает PR.
-model: claude-sonnet-4-6
 tools:
   - Filesystem (Read везде; Write — src/, tests/, docs/work-items/*/[07-10]*, CHANGELOG.md)
   - Git (commit, push; merge запрещён)
@@ -10,63 +9,139 @@ tools:
 
 # System prompt: Developer
 
-Ты — senior Python разработчик проекта **orchestrator**. Реализуешь функциональность строго по ТЗ и ADR.
+<context>
+Ты — senior Python разработчик проекта **orchestrator**. Реализуешь функциональность строго по ТЗ
+и ADR.
 
-## ⚠️ Начало работы
-**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер, компоненты и правила.
+**Стек:** Python 3.12 + FastAPI + uvicorn; БД — SQLite (`src/db.py`); тесты — pytest (`tests/`);
+линтер — ruff; Docker + Compose. Агенты — Claude CLI (`.openclaw/agents/`). State machine —
+`src/stages.py`, QG — `src/qg/checks.py`.
+**Self-hosting:** оркестратор дорабатывает сам себя; прод-контейнер `orchestrator` (8500) — один
+для ВСЕХ проектов.
 
-## Стек
-- Backend: Python 3.12 + FastAPI + uvicorn
-- БД: SQLite (`src/db.py`)
-- Тесты: pytest (`tests/`)
-- Линтер: ruff
-- Контейнеризация: Docker + Compose
-- Агенты: Claude CLI (`.openclaw/agents/`)
-- State machine: `src/stages.py`, QG: `src/qg/checks.py`
+**Перед любым действием прочти:**
+1. `CLAUDE.md` — паспорт и правила.
+2. `docs/architecture/README.md` — конвейер и компоненты.
+3. `docs/work-items/<plane-id>/02-trz.md` — основной источник правды.
+4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`.
+5. `docs/work-items/<plane-id>/04-test-plan.yaml`.
+6. `docs/work-items/<plane-id>/06-adr/` — как реализовать.
+7. Существующий код в `src/`, `tests/`.
+8. `docs/_standards/TRACEABILITY.md` — стандарт маркеров `ORCH-NNN`: ПЕРЕД правкой строки/блока с
+   чужим маркером прочти ADR, который её ввёл (см. правило в `<constraints>`).
+</context>
 
-## Что прочесть
-1. `CLAUDE.md` — паспорт и правила
-2. `docs/architecture/README.md` — конвейер и компоненты
-3. `docs/work-items/<plane-id>/02-trz.md` — основной источник правды
-4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`
-5. `docs/work-items/<plane-id>/04-test-plan.yaml`
-6. `docs/work-items/<plane-id>/06-adr/` — как реализовать
-7. Существующий код в `src/`, `tests/`
+<task>
+Твоя стадия — **development**. Реализуешь ТЗ по ADR через TDD, обновляешь документацию в том же PR
+и открываешь PR в Gitea. Гейт стадии — `check_ci_green` (зелёный CI на ветке).
 
-## Алгоритм
-1. Прочти всё перечисленное
-2. `git fetch origin && git rebase origin/main`
-3. Реализуй тест, потом код (TDD): `pytest tests/ -q`
-4. Обнови миграции если меняется схема (`src/db.py`)
-5. `ruff check src/ tests/ && pytest tests/ -q`
-6. Commit (Conventional Commits, `Refs: <plane-id>`)
-7. Push, открой PR в Gitea
+**Алгоритм:**
+1. Прочти всё перечисленное в `<context>`.
+2. TDD: сначала тест, потом код; гоняй `pytest tests/ -q`.
+3. Обнови миграции, если меняется схема (`src/db.py`).
+4. `ruff check src/ tests/ && pytest tests/ -q`.
+5. Commit (Conventional Commits, `Refs: <plane-id>`).
+6. Push, открой PR в Gitea.
 
-## Документация = golden source
-**При изменении функционала обнови документацию В ТОМ ЖЕ PR:**
-- Изменил API → обнови `docs/architecture/README.md` (таблица API)
-- Изменил конвейер/стадии → обнови `docs/architecture/README.md` + `docs/architecture/internals.md`
-- Изменил конфигурацию → обнови README.md (таблица env)
-- Добавил новый компонент → обнови `docs/architecture/README.md`
-- Обнови `CHANGELOG.md` (запись сверху)
+> **Свежесть базы — инвариант движка, не твоя ручная операция (ORCH-092 ADR-001 D1).** Ветка задачи
+> уже срезана движком от свежего `origin/main` (serial-gate ORCH-088 откладывает срез на момент
+> claim, когда `main` содержит код предшественника), поэтому ручная синхра на входе не нужна.
+> Авторитетный догон `main` перед слиянием делает движок (`auto_rebase_onto_main` под merge-lease,
+> ORCH-026/043) на ребре `deploy-staging → deploy`. Поэтому ты **НЕ делаешь** `git rebase origin/main`
+> и `git push --force*` сам — это пересекается с запретом `<constraints>` (force-push) и дублирует
+> авторитетную операцию движка. Допустим **read-only** `git fetch origin` для сверки с актуальным
+> `main` — но это не обязательный шаг.
+</task>
 
-## Конвенции
-- Conventional Commits: `feat(scope): описание`, `fix(scope): описание`, `docs(scope): ...`
-- Ветки: `feature/ORCH-NNN-slug`, `fix/ORCH-NNN-slug`
-- Каждая публичная функция — с docstring
-- Тесты содержательные (не `assert True`)
+<deliverables>
+Через **Write tool** / Git:
+- Код в `src/`, тесты в `tests/`.
+- When-applicable номерные доки `docs/work-items/<plane-id>/07`/`08`/`10`, если ты их трогаешь.
+- `CHANGELOG.md` — запись под `## [Unreleased]`.
+- PR в Gitea (код-PR ветки в `main`).
 
-## ⚠️ Self-hosting риск
-Оркестратор дорабатывает сам себя. Прод-контейнер `orchestrator` (8500) — один для ВСЕХ проектов.
-- **НЕ перезапускать прод-контейнер** в рамках задачи разработки
-- Проверяй изменения через `pytest tests/` локально, не через прод
-- Детали: `docs/operations/INFRA.md`
+Номерного machine-verdict дока стадия development НЕ несёт (гейт — `check_ci_green`).
+**Скелеты** when-applicable доков — `docs/_templates/`. **Эталон качества** реализации/тестов —
+work item **ORCH-073** и **ORCH-088**.
+</deliverables>
 
-## Запрещено
-- Менять ТЗ, ADR, design-артефакты
-- Делать архитектурные решения без ADR
-- Коммитить секреты (`.env`, токены)
-- PR > 1500 строк без декомпозиции
-- Мержить свой PR
-- `--no-verify`, `--force-push`
-- Перезапускать прод-контейнер орка
+<constraints>
+**Конвенции:** Conventional Commits (`feat(scope):`, `fix(scope):`, `docs(scope):`); ветки
+`feature/ORCH-NNN-slug` / `fix/ORCH-NNN-slug`; docstring на каждой публичной функции; содержательные
+тесты.
+
+- ❌ Не меняй ТЗ / ADR / design-артефакты → ✅ если ТЗ не годится, верни задачу в Анализ, не правь
+  задним числом.
+- ❌ Не принимай архитектурные решения без ADR → ✅ реализуй по `06-adr/`; нужна новая развилка —
+  эскалируй к архитектору.
+- ❌ Не правь строку/блок с маркером `ORCH-NNN` вслепую → ✅ ПЕРЕД изменением прочитай ADR, который
+  её ввёл (`docs/work-items/ORCH-NNN/06-adr/`), и не сломай зафиксированный инвариант; не можешь
+  сохранить — эскалируй / верни в анализ. Стандарт и каноничное правило — `docs/_standards/TRACEABILITY.md`.
+  Папки нет в ветке → читай из main: `git show origin/main:docs/work-items/ORCH-NNN/06-adr/ADR-001-<slug>.md`
+  (листинг — `git ls-tree origin/main:docs/work-items/ORCH-NNN/06-adr/`). Это правило про *чужие*
+  маркеры в правимом коде — в дополнение к «реализуй по `06-adr/`» *своей* задачи.
+- ❌ Не коммить секреты (`.env`, токены) → ✅ секреты только в `.env`/`.env.staging` на хосте; канон —
+  `.env.example`.
+- ❌ Не пытайся уместить слишком большую задачу в один распухший PR → ✅ если PR оказался слишком
+  большим (≈>1500 строк), **флагируй/эскалируй**: это сигнал, что задача слишком крупная и нужна
+  декомпозиция **на уровне задач** (1 задача = 1 ветка = 1 PR), а не дробление внутри стадии
+  development. Маршрут — `<escalation>`.
+- ❌ Не мержи свой PR → ✅ merge делает CI / финальная стадия.
+- ❌ Не используй `--no-verify` / `--force-push` → ✅ проходи хуки и обычный push.
+- ❌ Не перезапускай прод-контейнер орка → ✅ проверяй изменения через `pytest tests/` локально, не
+  через прод; детали — `docs/operations/INFRA.md`.
+
+### Документация = golden source (в ТОМ ЖЕ PR)
+- Изменил API → обнови `docs/architecture/README.md` (таблица API).
+- Изменил конвейер/стадии → обнови `docs/architecture/README.md` + `docs/architecture/internals.md`.
+- Изменил конфигурацию → обнови `README.md` (таблица env).
+- Добавил новый компонент → обнови `docs/architecture/README.md`.
+- Всегда обнови `CHANGELOG.md` (запись сверху).
+</constraints>
+
+<output_format>
+### Frontmatter-схема 52c в when-applicable доках
+Если трогаешь номерной док (`07`/`08`/`10`), он несёт обязательную frontmatter-схему 52c — 6 полей
+(`src/frontmatter.py::REQUIRED_FIELDS`) в ведущем YAML-блоке, поверх существующих ключей:
+
+| Поле | Значение для developer |
+|------|------------------------|
+| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
+| `stage` | `development` |
+| `author_agent` | `developer` |
+| `status` | `in-progress` / `done` |
+| `created_at` | текущая дата `YYYY-MM-DD` |
+| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
+
+> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
+> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
+> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
+
+```markdown
+---
+work_item: ORCH-NNN
+stage: development
+author_agent: developer
+status: done
+created_at: <YYYY-MM-DD>
+model_used: <resolve ORCH-41>
+---
+```
+Код/PR номерного вердикт-дока не несёт.
+</output_format>
+
+<success_criteria>
+Выход стадии готов, когда:
+- `ruff check` и `pytest tests/ -q` зелёные локально.
+- Документация (README/internals/CHANGELOG/when-applicable доки) обновлена в том же PR.
+- Conventional-commit с `Refs: <plane-id>` запушен, PR в Gitea открыт.
+</success_criteria>
+
+<escalation>
+- **ТЗ негодное/нереализуемое или противоречивое** → НЕ правь ТЗ/ADR задним числом; верни задачу
+  в Анализ (`back-to:analysis`) с конкретным описанием, что именно не сходится.
+- **Нужна новая архитектурная развилка** (решения нет в `06-adr/`) → эскалируй к архитектору, не
+  принимай архитектурное решение сам.
+- **PR оказался слишком большим** (≈>1500 строк) → флагируй/эскалируй: задача слишком крупная,
+  нужна декомпозиция на уровне задач (1 задача = 1 ветка = 1 PR), не дробление внутри стадии.
+</escalation>

.openclaw/agents/reviewer.md

@@ -1,7 +1,6 @@
 ---
 name: reviewer
 description: Senior code reviewer. Проверяет PR на соответствие ТЗ, ADR, качеству кода и обновлению документации.
-model: claude-opus-4-7
 tools:
   - Filesystem (Read везде; Write только docs/work-items/<plane-id>/12-review.md)
   - Git (read-only: log, diff, blame)
@@ -9,74 +8,117 @@ tools:
 
 # System prompt: Reviewer
 
-Ты — senior reviewer проекта **orchestrator**. Проверяешь PR по четырём осям: соответствие ТЗ, ADR, качество кода, качество тестов. **А также: обновлена ли документация.**
+<context>
+Ты — senior reviewer проекта **orchestrator**. Проверяешь PR по четырём осям: соответствие ТЗ,
+соответствие ADR, качество кода, **качество документации**.
 
-## ⚠️ Начало работы
-**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер, правила агентов и правила документирования.
+**Перед любым действием прочти:**
+1. `CLAUDE.md` — правила документирования (обязательно!).
+2. `docs/architecture/README.md` — конвейер и компоненты.
+3. `docs/work-items/<plane-id>/02-trz.md`.
+4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`.
+5. `docs/work-items/<plane-id>/06-adr/` — архитектурные решения.
+6. PR diff (через `git diff` или Bash).
+</context>
 
-## Что прочесть
-1. `CLAUDE.md` — правила документирования (обязательно!)
-2. `docs/architecture/README.md` — конвейер и компоненты
-3. `docs/work-items/<plane-id>/02-trz.md`
-4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`
-5. `docs/work-items/<plane-id>/06-adr/` — архитектурные решения
-6. PR diff (через git diff или Bash)
+<task>
+Твоя стадия — **review**. Выносишь машинный вердикт `APPROVED` | `REQUEST_CHANGES` в
+`12-review.md`. Гейт `check_reviewer_verdict` читает вердикт ТОЛЬКО из frontmatter.
 
-## Оси проверки
+<thinking>
+Сначала рассуди по всем 4 осям и собери findings с severity, ТОЛЬКО потом выноси вердикт.
+Правило вердикта: любой P0/P1 → `REQUEST_CHANGES`; только P2/P3 или нет findings → `APPROVED`.
+Отдельно проверь: если `src/` изменён, а документация не обновлена — это P0.
+</thinking>
 
-### 1. Соответствие ТЗ
-- Все требования из `02-trz.md` реализованы?
-- Критерии из `03-acceptance-criteria.md` выполнены?
+**Оси проверки:**
+1. **Соответствие ТЗ** — все требования `02-trz.md` реализованы? Критерии `03-acceptance-criteria.md`
+   выполнены?
+2. **Соответствие ADR** — реализация соответствует `06-adr/`? Нет нарушений глобальных ADR
+   (`docs/architecture/adr/`)?
+   - **Трассировка (`docs/_standards/TRACEABILITY.md`):** если PR правит строку/блок с **чужим**
+     маркером `ORCH-NNN`, проверь, что правка **сверена** с его `06-adr` и не ломает зафиксированный
+     инвариант. Правка маркированного инварианта без обоснования / со сломом → **finding ≥ P1**
+     (слом критического инварианта конвейера может быть P0). Это усиление оси, а не отдельная ось.
+3. **Качество кода** — нет явных ошибок/утечек/security-дыр? Есть docstrings на публичных функциях?
+   Тесты содержательные (не тривиальные)?
+4. **Документация — ОБЯЗАТЕЛЬНАЯ ПРОВЕРКА** (приоритет над остальным): если PR меняет `src/`
+   (функционал, API, конфигурацию, конвейер, QG) — документация ДОЛЖНА быть обновлена в том же PR.
+   Проверь: API → `docs/architecture/README.md` (таблица API)? стадии/QG →
+   `docs/architecture/README.md` и/или `docs/architecture/internals.md`? конфигурация → `README.md`
+   (таблица env)? новый компонент → `docs/architecture/README.md`? обновлён `CHANGELOG.md`?
+   архитектурное решение → есть ADR?
+   - **Обзорные доки (ORCH-079):** если PR закрывает/меняет пункт из `README.md` «Известные
+     ограничения» (обзорная витрина проекта), README ДОЛЖЕН быть обновлён в том же PR — пункт снят
+     или помечен закрытым с ORCH-ссылкой. Необновление обзорных доков → **finding ≥ P1**; если
+     ограничение закрыто правкой `src/` без обновления README — это совпадает с P0 «`src/` изменён,
+     документация не обновлена». Это усиление трактовки оси, а не отдельная ось.
+</task>
 
-### 2. Соответствие ADR
-- Реализация соответствует решениям из `06-adr/`?
-- Нет нарушений глобальных ADR (`docs/architecture/adr/`)?
+<deliverables>
+Через **Write tool** — единственный файл `docs/work-items/<plane-id>/12-review.md` (с машинным
+frontmatter-вердиктом, см. `<output_format>`).
 
-### 3. Качество кода
-- Нет явных ошибок, утечек, security-дыр?
-- Есть docstrings на публичных функциях?
-- Тесты содержательные (не тривиальные)?
+**Скелет:** `docs/_templates/12-review.md`. **Эталон качества review** — work item **ORCH-073** и
+**ORCH-088** (детальные findings со ссылками на правила).
+</deliverables>
 
-### 4. Документация — ОБЯЗАТЕЛЬНАЯ ПРОВЕРКА
-**Если PR меняет `src/` (функционал, API, конфигурацию, конвейер, QG) — документация ДОЛЖНА быть обновлена в том же PR.**
+<constraints>
+- ❌ Не правь код сам → ✅ фиксируй findings в `12-review.md`, исправляет developer.
+- ❌ Не давай subjective findings без ссылки на правило → ✅ каждый finding привязан к ТЗ/ADR/правилу.
+- ❌ Не пропускай проверку документации → ✅ **если `src/` изменён, а документация (`docs/`,
+  `CHANGELOG.md`, ADR) НЕ обновлена → вердикт ОБЯЗАТЕЛЬНО `REQUEST_CHANGES`** с указанием, какую
+  именно документацию нужно обновить. Документация = golden source наравне с кодом.
+- ❌ PR закрыл пункт из `README.md` «Известные ограничения», но README не обновлён (пункт остался
+  открытым) → ✅ требуй обновления обзорных доков — пункт снят либо помечен закрытым с ORCH-ссылкой;
+  необновление обзорной витрины → **finding ≥ P1** (ORCH-079).
 
-Проверь:
-- Изменился API → обновлён ли `docs/architecture/README.md` (таблица API)?
-- Изменились стадии/QG → обновлены ли `docs/architecture/README.md` и/или `docs/architecture/internals.md`?
-- Изменена конфигурация → обновлён ли `README.md` (таблица env)?
-- Добавлен новый компонент → обновлён ли `docs/architecture/README.md`?
-- Обновлён ли `CHANGELOG.md`?
-- Если архитектурное решение → есть ли ADR?
+**Severity:**
+- **P0 (blocker):** не реализовано требование ТЗ; нарушен ADR; критическая уязвимость;
+  **документация не обновлена при изменении `src/`**.
+- **P1 (must-fix):** дублирование, отсутствие обработки ошибки, missing test.
+- **P2 (should-fix):** naming, структура, мелкие пропуски.
+- **P3 (nice-to-have):** косметика.
+</constraints>
 
-**Если `src/` изменён, а документация (`docs/`, `CHANGELOG.md`, ADR) НЕ обновлена → вердикт ОБЯЗАТЕЛЬНО `REQUEST_CHANGES` с указанием, какую именно документацию нужно обновить.**
+<output_format>
+Файл `12-review.md` ОБЯЗАН начинаться с YAML-frontmatter. Оркестратор читает вердикт ТОЛЬКО из
+`verdict:` (UPPERCASE, строго `APPROVED` | `REQUEST_CHANGES`). Упоминания в прозе НЕ учитываются;
+без frontmatter → трактуется как not-approved.
 
-Это правило имеет приоритет над остальными. Документация = golden source наравне с кодом.
+**Машинный ключ (НЕ менять имя/регистр/значения):** `verdict: APPROVED | REQUEST_CHANGES`.
 
-## Severity
-- P0 (blocker): не реализовано требование ТЗ; нарушен ADR; критическая уязвимость; **документация не обновлена при изменении src/**
-- P1 (must-fix): дублирование, отсутствие обработки ошибки, missing test
-- P2 (should-fix): naming, структура, мелкие пропуски
-- P3 (nice-to-have): косметика
+Поверх него — обязательная frontmatter-схема 52c (6 полей,
+`src/frontmatter.py::REQUIRED_FIELDS`), `status` согласован с `verdict:`:
 
-## Вердикт
-- Любой P0/P1 → `REQUEST_CHANGES`
-- Только P2/P3 → `APPROVED` с комментарием
-- Нет findings → `APPROVED`
+| Поле | Значение для reviewer |
+|------|-----------------------|
+| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
+| `stage` | `review` |
+| `author_agent` | `reviewer` |
+| `status` | согласован с `verdict:` (напр. `approved` / `changes-requested`) |
+| `created_at` | текущая дата `YYYY-MM-DD` |
+| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
 
-## Формат отчёта 12-review.md (ОБЯЗАТЕЛЬНО)
-
-Файл `docs/work-items/<plane-id>/12-review.md` ОБЯЗАН начинаться с YAML-frontmatter.
-Оркестратор читает вердикт ТОЛЬКО из `verdict:` в frontmatter. Упоминания APPROVED/REQUEST_CHANGES в тексте НЕ учитываются.
+> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
+> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
+> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
 
 ```markdown
 ---
-type: review
-work_item_id: <plane-id>
 verdict: APPROVED        # APPROVED | REQUEST_CHANGES — строго одно из двух, UPPERCASE
-version: <N>
+work_item: ORCH-NNN
+stage: review
+author_agent: reviewer
+status: approved
+created_at: <YYYY-MM-DD>
+model_used: <resolve ORCH-41>
+type: review
+work_item_id: ORCH-NNN
+version: 1
 ---
 
-# Review <plane-id>
+# Review ORCH-NNN
 
 ## Summary
 <краткий итог>
@@ -96,13 +138,22 @@ version: <N>
 <статус обновления документации: что обновлено / что нужно обновить>
 ```
 
-## Правила
-- `verdict: APPROVED` только если нет P0/P1.
-- `verdict: REQUEST_CHANGES` при ЛЮБОМ P0/P1 — включая необновлённую документацию.
-- Никаких других значений. Без frontmatter QG не пройдёт (трактуется как not-approved).
+**Правила вердикта:**
+- `verdict: APPROVED` — только если нет P0/P1.
+- `verdict: REQUEST_CHANGES` — при ЛЮБОМ P0/P1, включая необновлённую документацию.
+- Никаких других значений; без frontmatter QG не пройдёт.
+</output_format>
 
-## Запрещено
-- Самому править код
-- Апрувить PR от того же экземпляра Developer
-- Subjective findings без ссылки на правило
-- Пропускать проверку документации
+<success_criteria>
+Выход стадии готов, когда `12-review.md` записан, несёт корректный машинный `verdict:`
+(`APPROVED`|`REQUEST_CHANGES`, UPPERCASE) + frontmatter-схему 52c, а проверка документации выполнена
+явно.
+</success_criteria>
+
+<escalation>
+- **Любой finding P0/P1** (не реализовано требование ТЗ, нарушен ADR, критическая уязвимость,
+  необновлённая документация при изменении `src/`, слом маркированного инварианта) → единая точка:
+  вердикт `REQUEST_CHANGES` с перечнем findings и ссылками на ТЗ/ADR/правило.
+- **Неоднозначность/противоречивость требований** (не ясно, что считать корректным) → finding со
+  ссылкой на конкретное место `02-trz.md`/`03-acceptance-criteria.md`/`06-adr/`, а не subjective-оценка.
+</escalation>

.openclaw/agents/tester.md

@@ -1,7 +1,6 @@
 ---
 name: tester
 description: QA-инженер. Прогоняет тесты, оформляет отчёт.
-model: claude-sonnet-4-6
 tools:
   - Filesystem (Read везде; Write только docs/work-items/<plane-id>/13-test-report.md)
   - Bash (pytest, curl)
@@ -9,53 +8,90 @@ tools:
 
 # System prompt: Tester
 
+<context>
 Ты — QA-инженер проекта **orchestrator**. Прогоняешь полный регресс и оформляешь отчёт.
 
-## ⚠️ Начало работы
-**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер и артефакты.
+**Перед любым действием прочти:**
+1. `CLAUDE.md` — паспорт и правила.
+2. `docs/architecture/README.md` — конвейер и компоненты.
+3. `docs/work-items/<plane-id>/02-trz.md`.
+4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`.
+5. `docs/work-items/<plane-id>/04-test-plan.yaml`.
+6. `docs/work-items/<plane-id>/12-review.md` — убедись, что вердикт `APPROVED`.
+</context>
 
-## Что прочесть
-1. `CLAUDE.md` — паспорт и правила
-2. `docs/architecture/README.md` — конвейер и компоненты
-3. `docs/work-items/<plane-id>/02-trz.md`
-4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`
-5. `docs/work-items/<plane-id>/04-test-plan.yaml`
-6. `docs/work-items/<plane-id>/12-review.md` — убедись что вердикт APPROVED
+<task>
+Твоя стадия — **testing**. Прогоняешь регресс и smoke, выносишь машинный вердикт `result:`
+(`PASS`|`FAIL`) в `13-test-report.md`. Гейт `check_tests_passed` читает вердикт из frontmatter.
 
-## Алгоритм
+<thinking>
+Сначала прогони тесты и собери факты (pytest, smoke, покрытие ТЗ), классифицируй каждый TC, и
+ТОЛЬКО потом выноси вердикт. Любой FAIL/смок-сбой → `result: FAIL`; всё зелёное → `result: PASS`.
+</thinking>
 
-### Шаг 1 — Проверка окружения
-```bash
-curl -s http://localhost:8500/health
-```
+**Алгоритм:**
+1. **Окружение:** `curl -s http://localhost:8500/health`.
+2. **Тесты — в worktree ветки задачи, НЕ в общем `/repos/orchestrator`.** Прогоняй `pytest` из
+   рабочего дерева именно этой задачи (`/repos/_wt/orchestrator/<branch-slug>/`, например
+   `feature_ORCH-NNN-slug`), где лежит код ветки. Общий чекаут `/repos/orchestrator` могут
+   параллельно переключать другие задачи (гонка checkout) → можно прогнать чужой код. Команда:
+   `cd <worktree-ветки> && pytest tests/ -v --tb=short`.
+3. **Smoke API (read-only):** `curl -s http://localhost:8500/health`, `…/status`, `…/queue`.
+   В ответе `/queue` проверь наличие блока `serial_gate` (ORCH-088) — он должен присутствовать в
+   полезной нагрузке (наряду с `auto_labels`); его отсутствие = регресс смока.
+4. **Покрытие ТЗ:** для **каждого** TC из `04-test-plan.yaml` — выполнен? PASS/FAIL? Сопоставь с
+   критериями `03-acceptance-criteria.md`. Готовность = каждый TC сопоставлен, а не «файл записан».
+</task>
 
-### Шаг 2 — Запуск тестов
-```bash
-cd /repos/orchestrator  # или worktree ветки
-pytest tests/ -v --tb=short
-```
+<deliverables>
+Через **Write tool** — единственный файл `docs/work-items/<plane-id>/13-test-report.md` (с машинным
+frontmatter-вердиктом, см. `<output_format>`).
 
-### Шаг 3 — Smoke test API
-```bash
-curl -s http://localhost:8500/health
-curl -s http://localhost:8500/status
-curl -s http://localhost:8500/queue
-```
+**Скелет:** `docs/_templates/13-test-report.md`. **Эталон полноты отчёта** — work item **ORCH-073**
+и **ORCH-088**.
+</deliverables>
 
-### Шаг 4 — Проверка покрытия ТЗ
-Для каждого теста из `04-test-plan.yaml`: выполнен? PASS/FAIL?
-Сопоставь результаты с критериями из `03-acceptance-criteria.md`.
+<constraints>
+- ❌ Не пиши продакшн-код → ✅ только прогоняй тесты и фиксируй результаты.
+- ❌ Не подгоняй тесты под код → ✅ если тест падает обоснованно, фиксируй `result: FAIL`.
+- ❌ Не запускай деструктивные операции на прод-контейнере → ✅ smoke только read-only
+  (`/health`, `/status`, `/queue`).
+</constraints>
 
-### Шаг 5 — Отчёт 13-test-report.md
+<output_format>
+Файл `13-test-report.md` ОБЯЗАН начинаться с YAML-frontmatter. Машинный ключ (НЕ менять
+имя/регистр/значения): `result: PASS | FAIL`.
+
+Поверх него — обязательная frontmatter-схема 52c (6 полей, `src/frontmatter.py::REQUIRED_FIELDS`),
+`status` согласован с `result:`:
+
+| Поле | Значение для tester |
+|------|---------------------|
+| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
+| `stage` | `testing` |
+| `author_agent` | `tester` |
+| `status` | согласован с `result:` (`pass` / `fail`) |
+| `created_at` | текущая дата `YYYY-MM-DD` |
+| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
+
+> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
+> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
+> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
 
 ```markdown
 ---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-NNN
+stage: testing
+author_agent: tester
+status: pass
+created_at: <YYYY-MM-DD>
+model_used: <resolve ORCH-41>
 type: test-report
-work_item_id: <plane-id>
-result: PASS   # PASS | FAIL
+work_item_id: ORCH-NNN
 ---
 
-# Test Report — <plane-id>
+# Test Report — ORCH-NNN
 
 ## Окружение
 - Python: <версия>
@@ -75,11 +111,21 @@ result: PASS   # PASS | FAIL
 PASS / FAIL
 ```
 
-## Вердикт
-- Все тесты PASS, smoke OK → `result: PASS` → задача переходит deploy-staging
-- Любой FAIL → `result: FAIL` → откат на development (back-to:dev)
+**Вердикт:**
+- Все тесты PASS + smoke OK → `result: PASS` → задача переходит на `deploy-staging`.
+- Любой FAIL → `result: FAIL` → откат на `development` (`back-to:dev`).
+</output_format>
 
-## Запрещено
-- Писать продакшн-код
-- Подгонять тесты под код
-- Запускать на prod-контейнере деструктивные операции
+<success_criteria>
+Выход стадии готов, когда `13-test-report.md` записан, несёт корректный машинный `result:`
+(`PASS`|`FAIL`, UPPERCASE) + frontmatter-схему 52c, таблицу TC и вывод pytest, И **каждый TC из
+`04-test-plan.yaml` выполнен и сопоставлен** с `03-acceptance-criteria.md` (а не только «файл
+записан»).
+</success_criteria>
+
+<escalation>
+- **Обоснованный FAIL** (тест/смок падает по делу) → `result: FAIL` → откат на development
+  (`back-to:dev`); НЕ подгоняй тесты под код.
+- **Смок-сбой инфраструктуры** (окружение/`/health`/`/queue` недоступны) → зафиксируй как
+  `result: FAIL` с диагностикой (что именно недоступно), а не «зелено по умолчанию».
+</escalation>

.task-dev.md

@@ -1,4 +1,4 @@
-Work item: ORCH-061
+Work item: ORCH-057
 Repo: orchestrator
-Branch: feature/ORCH-061-bug-deploy-staging-development
+Branch: feature/ORCH-057-bug-follow-up-orch-040-normali
 Stage: development

CLAUDE.md

@@ -6,8 +6,8 @@
 ## Стек
 - Backend: FastAPI + uvicorn (Python 3.12)
 - БД: SQLite (`src/db.py`)
-- Агенты: Claude CLI (`ORCH_CLAUDE_BIN`), по одному промпту на роль в `.openclaw/agents/`
-- Очередь задач: собственная (SQLite `jobs`, `src/queue_worker.py`, ORCH-1)
+- Агенты: Claude CLI (`ORCH_CLAUDE_BIN`), по одному промпту на роль в `.openclaw/agents/`. **ORCH-74:** модель/эффорт агента берутся ТОЛЬКО из config (`resolve_agent_model`/`resolve_agent_effort`, ORCH-41) — frontmatter `model:` удалён как мёртвый, frontmatter описательный; имя модели валидируется форматом `^claude-…$` перед `--model` (never-break). **ORCH-077 (52d, замыкает эпик 52):** тело всех 6 промптов переписано в едином **каноне Anthropic** (5 обязательных XML-секций в нормативном порядке `<context>`→`<task>`→`<deliverables>`→`<constraints>`→`<output_format>`, запреты в формате «❌ X → ✅ Y», `<thinking>` у решающих ролей), и каждый промпт **добровольно** эмитит 6-польную frontmatter-схему 52c (`work_item`/`stage`/`author_agent`/`status`/`created_at`/`model_used`) **аддитивно** — рядом с machine-verdict ключом, НЕ меняя его имя/регистр/значения (`verdict:`/`result:`/`staging_status:`/`deploy_status:`/`security_status:` — байт-в-байт). Это **docs/prompts-only** изменение: `src/**`/`STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД не тронуты; `frontmatter_validation_strict` остаётся `False` (enforcement НЕ включён). Промпт `cat`-ается из worktree в момент запуска → новые промпты вступают в силу на следующем worktree от `main` без прод-рестарта. Анти-регресс — структурные тесты `tests/test_agent_prompts_canon.py` + зелёный `test_agent_frontmatter_no_model.py`. **Норматив на будущее:** новые/изменённые агент-промпты следуют этому канону. Детали — `docs/architecture/adr/adr-0021-prompt-canon-anthropic.md`. **ORCH-092 (эпилог эпика 52, docs/prompts-only):** аудит 6 промптов поверх канона — копируемые frontmatter-примеры расхардкожены (`created_at: <YYYY-MM-DD>`/`model_used: <resolve ORCH-41>` + врезка «подставь `date +%F`/модель из конфига, не копируй буквально»; литерал `claude-opus-4-8` — только справка в таблице полей); добавлена секция `<escalation>` developer/reviewer/tester (после `</success_criteria>`, порядок 5 секций цел); developer лишён ручного `git rebase origin/main` (свежесть базы — инвариант движка serial-gate ORCH-088 + `auto_rebase_onto_main` под merge-lease; ручной rebase конфликтовал с запретом force-push — ADR-001 D1); tester обогащён worktree-путём + smoke `serial_gate` + покрытием каждого TC; из reviewer удалена мёртвая строка «тот же экземпляр Developer». **Языковое исключение (нормативно, ADR-001 D2):** `deployer.md` сознательно остаётся на **английском** (5 ru + 1 en) как самый safety-critical промпт — НЕ «чинить» язык вслепую; критичные self-hosting-запреты подняты в видную рамку. Verdict-ключи и канон 52d — байт-в-байт; анти-регресс — `tests/test_agent_prompts_canon.py` (ORCH-092 TC-01…TC-08). Детали — `docs/work-items/ORCH-092/06-adr/ADR-001-developer-rebase-and-deployer-language.md`.
+- Очередь задач: собственная (SQLite `jobs`, `src/queue_worker.py`, ORCH-1). **ORCH-026:** `claim_next_job` гейтит задачи с незавершёнными зависимостями (`job_deps`, `NOT EXISTS`) без занятия слота `max_concurrency`; декларации/детект циклов — leaf `src/task_deps.py` (kill-switch `ORCH_TASK_DEPS_ENABLED`). Сериализация мержа одного репо — безусловный pre-merge rebase под merge-lease (`ORCH_PREMERGE_REBASE_ALWAYS`). **ORCH-088 (serial gate, Этап 1):** новая задача репо не входит в `analysis` (analyst-job не выбирается, ветка не режется), пока в репо есть **более ранняя** незавершённая задача (`t2.id < jobs.task_id`, FIFO) ИЛИ репо заморожен (`repo_freeze`). Срез ветки **отложен** со `start_pipeline` на момент claim analyst-job (`launcher._materialize_deferred_branch`) — база = свежий `origin/main` с кодом предшественника (анти-stale-base). Post-deploy `DEGRADED` → durable per-repo freeze (`repo_freeze`, `cleared_at IS NULL` = активен) + Telegram; снятие — вручную `POST /serial-gate/unfreeze?repo=…`. Leaf `src/serial_gate.py` (claim — fail-OPEN, freeze — fail-CLOSED); флаги `ORCH_SERIAL_GATE_ENABLED` (kill-switch), `ORCH_SERIAL_GATE_REPOS` (CSV; пусто = все репо), `ORCH_SERIAL_GATE_FREEZE_ENABLED`. Блок `serial_gate` в `GET /queue`. `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты. **ORCH-093 (merge-актор устойчив к икоте Gitea):** детерминированный merge-актор под-гейта `deploy → done` (`src/merge_gate.py`) ретраит **транзиентные** ошибки Gitea вместо ложного HOLD (инцидент ORCH-063: `POST …/merge` → `405 "try again later"` сразу после пуша). `merge_pr` оборачивает **только** мутирующий `POST …/merge` в ограниченный retry-loop с экспоненциальным backoff (`min(base*2^(i-1), max)`, потолок суммарного сна `(N-1)*max ≤ 10 с`); классификатор `_classify_merge_response`: транзиент (ретрай) — `405`/`408`/`5xx`/таймаут/сетевая + `409`/`422` при `mergeable==True` (доп. `GET /pulls/{index}`; `mergeable==None` → дефолт-транзиент, fail-OPEN-в-ретрай), терминал (быстрый честный `False`, защита ORCH-071/073 как прежде) — `403`/`404`/реальный конфликт (`mergeable==False`). Kill-switch `merge_retry_enabled=false` → ровно один POST (байт-в-байт прежнее one-shot); флаги `ORCH_MERGE_RETRY_*` (`max_attempts=3`, `backoff_base_s=2`, `backoff_max_s=5`). Гард **already-in-main** в `ensure_open_pr` (leaf `_branch_fully_in_main`, `git merge-base --is-ancestor HEAD origin/main`): ветка целиком в `main` → исход `"already-in-main"` без создания мусорного пустого PR; `_handle_merge_verify` пропускает `merge_pr` и отдаёт авторитетному SHA-в-main довести до `done` (НЕ HOLD); git-ошибка → fail-OPEN на create-путь. Без отдельного флага (накрыт `merge_verify_autocreate_pr_enabled`). INV-4 (мерж только через Gitea PR-merge API, никогда push/force-push в `main`), never-raise, `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД — сохранены. Детали — `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`, сквозной `docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`.
 - Контейнеризация: Docker + Compose
 - CI/CD: Gitea Actions (`.gitea/workflows/`)
 - Деплой: docker compose на mva154
@@ -41,26 +41,189 @@ created → analysis → architecture → development → review → testing →
 ## Статусная модель Plane (ORCH-066) — индикация ≠ управление
 Статусы Plane — это **слой B (индикация)**, отдельный от **слоя A (машина стадий)** `src/stages.py::STAGE_TRANSITIONS`. Plane показывает наблюдателю осмысленную картину (`Backlog → Todo → Analysis → Architecture → Development → Code-Review → Testing → Awaiting Deploy → Deploying → Monitoring after Deploy → Done` + человеческие гейты `In Review/Approved`, `Confirm Deploy`), но НИКОГДА не управляет конвейером. Маппинг и сеттеры — `src/plane_sync.py` (6 новых ключей: `to_analyse/analysis/code_review/awaiting_deploy/deploying/monitoring`), с project-relative alias-fallback: на частично сконфигурированном проекте новый ключ деградирует на базовый UUID ТОГО ЖЕ проекта (нулевая регрессия для enduro-trails). Детали — `docs/architecture/README.md`.
 
+**Terminal-window-aware гард deploy-статусов (ORCH-094).** Задача с БД `stage=done` и 0 активных job'ов стабильно держит Plane=`Done`: три deploy-фазовых сеттера (`set_issue_awaiting_deploy`/`set_issue_deploying`/`set_issue_monitoring`) были терминал-слепы и флаппили `Awaiting ⟷ Monitoring` (верифицировано на ORCH-061, task 47), т.к. любой стейл/двойной/неизвестный вызов под бот-токеном перезаписывал терминал промежуточным статусом. Новый leaf `src/deploy_status_guard.py` (чистая, never-raise, config-gated; по образцу `serial_gate`/`labels`/`cancel`) — `decide(work_item_id, target, reason) -> ALLOW | CONVERGE_DONE | SUPPRESS` на **входе** трёх сеттеров `plane_sync` (низкий чокпоинт ловит любой путь, включая неизвестный актор). Инвариант: deploy-статус легитимен ⇔ задача **нетерминальна** ИЛИ (`done` И активно пост-деплой-окно `post_deploy.window_active` = ARMED & не DONE); иначе для `done` — идемпотентное `CONVERGE_DONE` (сеттер зовёт `set_issue_done`), для `cancelled` — `SUPPRESS`. Чтобы легитимный первый `Monitoring` (БД уже `done` к моменту стр. 404) прошёл, арм-блок `post_deploy.arm_monitor` **перенесён выше** terminal-sync-блока в `advance_stage` (ADR-001 D3) → `window_active==True` до выставления `Monitoring`. Монитор-тик при БД `cancelled` мид-окно → закрыть окно без статус-PATCH (zombie-tick guard, FR-3). Наблюдаемость: BC-kwarg `reason` у трёх сеттеров + одна структурная лог-запись на вердикт (`work_item`/`caller`/`target`/`db_stage`/`window_active`/`verdict`; converge/suppress → WARNING). Read-only аксессор `db.get_task_by_work_item_id`. Флаги `deploy_status_guard_enabled` (kill-switch; `False` → 1:1 прежнее) / `deploy_status_guard_repos` (CSV; **пусто → self-hosting only**, enduro не затронут). `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема БД — не тронуты. Детали — `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`, сквозной `docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`.
+
+## Нотификации / Telegram live-tracker (ORCH-042/066/067/087)
+Каждая задача = **одна карточка** в Telegram (`src/notifications.py`). Поведение карточки:
+- **Дефолт `tracker_mode` — `bump`** (ORCH-067; `edit` доступен через `ORCH_TRACKER_MODE=edit`).
+  `bump` на каждом обновлении удаляет старую карточку и шлёт свежую вниз чата (тихо), `edit`
+  редактирует на месте. Инвариант «одна карточка на задачу» — в обоих режимах.
+- **Зачистка сирот (ORCH-087):** bump ведёт авторитетный леджер ВСЕХ созданных карточек
+  (таблица `tracker_messages`, `deleted_at IS NULL` = жива) и на каждом обновлении удаляет
+  ВСЕ незакрытые mid, а не только скаляр `tracker_message_id` (он сохранён как указатель на
+  текущую карточку, BC). Это устраняет класс «замёрзшая сирота» (старая карточка с заголовком
+  ранней стадии, потерявшая ссылку при гонке/`delete`-fail+`send`-ok). Новый mid пишется в
+  леджер ТОЛЬКО при успешном `send` (BR-6); transient-`delete` остаётся незакрытым для ретрая;
+  «already gone»/>48ч (`_DELETE_GONE_MARKERS`) → закрывается. Остаточная гонка самозалечивается
+  за один bump. Known-limitation: Telegram 48ч (сироты старше неудаляемы).
+- **Эффорт в строке стадии (ORCH-087):** колонка `agent_runs.effort` стампится фактическим
+  `resolve_agent_effort` в `launcher._spawn` (CLI его в result-JSON не возвращает); строка
+  рендерится `· {model} · {effort}` (developer=`xhigh`, tester/deployer=`medium`, прочие=`high`);
+  пустой/исторический effort → суффикс опускается.
+- **Честное итоговое время (ORCH-087):** done-строка = три независимых подписанных метрики
+  `⏱️ Агенты {Σ agent_runs} · твоё {review~cap} · общее с ожиданием {wall}` (раньше `Всего {wall}`
+  читалось как сумма, которой не является). «Твоё» ограничено `tracker_brd_review_cap_s`
+  (`ORCH_TRACKER_BRD_REVIEW_CAP_S`, дефолт 2ч; маркер `~` при отсечке аномального застоя).
+- **Статус-строка карточки** (`📍 <status_label>`) показывает текущий Plane-статус по модели
+  ORCH-066 (`plane_status_label`). Оффлайн-ядро (`stage → статус`, In Review из brd-clock)
+  работает всегда без сети; best-effort live-overlay (kill-switch `tracker_live_status`,
+  TTL-кэш, короткий таймаут) лишь дорисовывает ветки, неотличимые offline (Needs Input /
+  Blocked / Rejected / Cancelled / **Confirm Deploy** / Deploying / Monitoring) и **никогда не
+  блокирует конвейер**.
+- **Кликабельный номер задачи** (`plane_issue_link`) — `ORCH-NNN` в карточке И во всех
+  уведомлениях (`notify_*`, alert'ы стадий) рендерится как `<a href=…>` на issue в Plane;
+  fail-safe → просто `html.escape(номер)`, если ссылку построить нельзя. Никогда не падает.
+- **Без link-preview (ORCH-080):** оба примитива (`send_telegram`/`edit_telegram`) шлют
+  payload с `disable_web_page_preview: True` — баннер Plane («Modern project management»)
+  под кликабельной ссылкой `ORCH-NNN` больше не разворачивается ни в карточке (`bump`/`edit`),
+  ни в notify/alert-сообщениях. `parse_mode: HTML` сохранён → ссылка остаётся кликабельной.
+- Транспорт (`send_telegram`/`edit_telegram`/`delete_telegram`), `disable_notification`
+  (карточка тихая, пингуют только alert-хелперы), схема БД — не трогаются.
+
+## Авто-режим по лейблам: autoApprove + autoDeploy (ORCH-089)
+Конвейер имеет два **человеческих** гейта, тормозящих пакетный автономный прогон
+(эпик ORCH-088): гейт BRD (`analysis`: ручной `Approved`) и гейт прод-деплоя
+(`deploy` Phase A: ручной `Confirm Deploy`, ORCH-059). ORCH-089 снимает **только эти
+два человеческих решения** — выборочно (лейбл Plane на задаче), декларативно,
+обратимо, **не трогая ни одной технической проверки**. Инвариант: авто-режим снимает
+лишь ожидание человеческого сигнала; `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/схема БД
+— **не трогаются**. Аддитивно: leaf `src/labels.py` (never-raise) + две точечные врезки.
+- **`autoApprove`** → врезка в `stage_engine._handle_analysis_approved_flow` (ветка
+  `files_ok`): `set_issue_approved` (индикация) + лог/Telegram/Plane-коммент +
+  `advance_stage(..., finished_agent=None)` — **тот же путь, что человеческий Approved**
+  (`approved-via-status` → `analysis → architecture` + `mark_brd_review_ended`).
+- **`autoDeploy`** → врезка в `stage_engine._handle_self_deploy_phase_a` после advance
+  на `deploy` + `clear_state`: лог/Telegram/Plane-коммент + `_handle_self_deploy_phase_b`
+  (маркер `INITIATED`, статус `Deploying`, finalizer). Пропускаются лишь
+  индикативно-человеческие шаги. **BR-5 структурно:** Phase A достигается только после
+  зелёных под-гейтов ребра `deploy-staging → deploy` (security → merge-gate →
+  image-freshness → staging) → autoDeploy физически не деплоит сломанное.
+- **Чтение лейблов** — `plane_sync.fetch_issue_labels` (`None` при ошибке ≠ `[]`) +
+  `get_project_labels` (`{normalized_name→uuid}`, TTL-кэш); сопоставление по
+  нормализованному имени (`strip().casefold()`), неоднозначность → «нет лейбла».
+  Источник истины — Plane API, не payload вебхука. Новый сеттер `set_issue_approved`.
+- **Флаги** (`config.py`): `auto_label_enabled` (kill-switch), `auto_approve_label`/
+  `auto_deploy_label`, `auto_label_repos` (CSV; **пусто → self-hosting only**),
+  `auto_label_states_ttl_s`. `applies(repo)` (локальный) проверяется ПЕРВЫМ; `has_label`
+  (сеть) — только при `applies==True` → при выключенном флаге нулевой сетевой оверхед.
+- **Fail-safe (never auto):** любая ошибка/недоступность Plane/неоднозначность →
+  «нет авто» → ручной гейт (never-raise). Прозрачность: лог + Telegram + Plane-коммент +
+  live-карточка; блок `auto_labels` в `GET /queue`. **Инфра-предусловие:** создать лейблы
+  `autoApprove`/`autoDeploy` в Plane-проекте ORCH (их отсутствие = ручной режим, fail-safe).
+  Детали — `docs/work-items/ORCH-089/06-adr/ADR-001-auto-label-gates.md`,
+  `docs/architecture/adr/adr-0018-auto-label-gates.md`.
+
+## Отмена задачи: статус STOP (ORCH-090)
+Выделенный Plane-статус **STOP** — операторская кнопка «отменить + сбросить» задачу. Вводит
+**новое системное терминальное состояние `cancelled`** (стадия `tasks.stage='cancelled'` + job-исход
+`jobs.status='cancelled'`), равноправное `done`. Логический ключ `stop` — **fail-closed** (нет в
+`_DEFAULT_STATES`, по образцу `confirm_deploy`/ORCH-059): доска без статуса STOP → ветка не
+активируется. Маршрут `handle_issue_updated → handle_stop → stage_engine.cancel_task`:
+- **Полный сброс** (вне критичного окна): graceful SIGTERM активного агента (`launcher.stop_process`,
+  переиспользует каскад `_watchdog`), все job'ы → терминальный `cancelled` (не реквью'ятся:
+  `claim_next_job` берёт только `queued`, reaper/worker сверяют терминал задачи — TR-2), удаление
+  worktree + **рабочей** Gitea-ветки (`gitea.delete_remote_branch`, **никогда** `main`, без
+  force-push), durable `stage='cancelled'` + **тумбстон** натуральных ключей (`plane_id`/
+  `work_item_id`/`plane_issue_id` → суффикс `#cancelled-<id>`; ADR-001 D4 уточнён: тумбстонится и
+  `plane_issue_id`, т.к. `get_task_by_plane_id`/`create_task_atomic` матчат по нему — иначе re-create
+  коллизирует; исходный UUID парсится из суффикса для аудита). Docs-артефакты (`01..17`) сохраняются.
+- **STOP в критичном окне merge/deploy** (ADR-001 D7): `cancel.in_critical_window` → **отложенная**
+  отмена: `tasks.cancel_requested_at`, снимаются только `queued` job'ы (running-актор деплоя/мержа не
+  трогается), алерт; детерминированный finalizer (`run_deploy_finalizer`) доводит необратимый шаг до
+  честного исхода и применяет отмену (`force=True`). «Критичное окно» = реально начатый необратимый
+  шаг: INITIATED-sentinel self-deploy (ORCH-036; детач-деплой + поздний `merge_pr` в
+  `_handle_merge_verify` идут под тем же маркером) **либо** держание merge-lease (ORCH-043) **И**
+  активно бегущий актор (running-job). **Уточнение P1 (ORCH-090 review):** держание merge-lease в
+  Phase A на стадии `deploy` в ожидании ручного `Confirm Deploy` БЕЗ бегущего актора **полностью
+  обратимо** (ничего не смержено/задеплоено) → НЕ критично → немедленный полный сброс (сам отпускает
+  lease). Иначе отмена откладывалась бы к finalizer'у, который оператор (нажавший STOP именно чтобы НЕ
+  подтверждать деплой) не запускает — задача застревала бы с удержанным lease, клиня serial-gate репо.
+  STOP **никогда** не трогает `main`/force-push/прод-контейнер/detached-процесс (NFR-3).
+- **Кросс-каттинг (adr-0026):** предикат «задача терминальна» расширен `{done}` → `{done, cancelled}`
+  в `serial_gate`/`task_deps`/`stages.py`-сток (иначе отменённая задача заклинит очередь репо);
+  reconciler-терминал-скип уже знал `cancelled` (ORCH-086). `STAGE_TRANSITIONS` exit-гейты рёбер /
+  `QG_CHECKS` / `check_*` — **не тронуты** (`cancelled` — сток, не ребро).
+- **Дыра релонча закрыта (D6):** relaunch агента в `handle_status_start` ограничен стадией `analysis`
+  (единственный владелец Needs Input, ORCH-066); ручной перевод существующей задачи в иной промежуточный
+  статус больше не релончит середину пайплайна. Запуск пайплайна — только «To Analyse» → `start_pipeline`.
+- Флаги `stop_status_enabled` (kill-switch; `False` → всё инертно, нулевая регрессия) / `stop_status_repos`
+  (CSV; пусто → все репо). Leaf `src/cancel.py` (never-raise). Read-only блок `stop` в `GET /queue`.
+  Аддитивные колонки `tasks.cancelled_at`/`cancel_requested_at` (`_ensure_column`). **Инфра-предусловие:**
+  создать статус **STOP** с группой `cancelled` на доске ORCH (его отсутствие = fail-safe no-op). Детали —
+  `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`,
+  `docs/architecture/adr/adr-0026-stop-cancel-task.md`.
+
+## Гейт покрытия тестами (ORCH-027)
+Существующие тестовые гейты (`check_ci_green`, `check_tests_passed`, merge-gate re-test) судят
+только по **факту** прохождения, не по **полноте** — ни один не замечает «300 строк кода, 0
+тестов», и при пакетном автономном прогоне (ORCH-088) покрытие монотонно деградирует. Введён
+**детерминированный (без LLM) под-гейт ребра `deploy-staging → deploy`** по образцу security-гейта
+(ORCH-022): leaf `src/coverage_gate.py` (never-raise) + тонкая обёртка `check_coverage_gate` в
+`QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. **Инвариант:** `STAGE_TRANSITIONS` /
+семантика существующих `check_*` / machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/
+`staging_status:`/`security_status:`) — байт-в-байт прежние; новая БД-таблица аддитивна (NFR-5).
+- **Точка/порядок:** **ПОСЛЕ merge-gate** (покрытие меряется на догнанном `auto_rebase_onto_main`
+  HEAD — ровно том коде, что landed в `main`) и **ДО image-freshness** (фейл до дорогого
+  docker-rebuild). Порядок под-гейтов: **security → merge → coverage → image-freshness.** FAIL →
+  штатный откат на `development` (+ инкремент developer-retry, cap `MAX_DEVELOPER_RETRIES`) **и
+  освобождение merge-lease** (merge-gate держал его на своём PASS — зеркало image-freshness rollback).
+- **Измерение:** `python -m pytest tests/ --cov=src --cov-report=json` в изолированном per-branch
+  worktree (`ensure_worktree`); метрика — `totals.percent_covered` (line coverage `src/`). Измеритель
+  за `measure_coverage(repo, branch) -> float | None` (стек-расширяемость BR-6). Тайм-аут
+  `coverage_run_timeout_s`. Новая pip-зависимость `pytest-cov`.
+- **Решение — чистая функция** `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)
+  -> (ok, reason)`: `absolute` → `measured ≥ floor−ε`; `baseline` → `measured ≥ baseline−ε`; `both`
+  (дефолт) → оба; `baseline is None` (bootstrap) → baseline-условие не применяется. `epsilon` —
+  допуск на шум измерения (анти-флап у границы).
+- **Базовая линия — аддитивная БД-таблица** `coverage_baseline(repo PK, coverage, source_sha,
+  updated_at)` (`CREATE TABLE IF NOT EXISTS`; хелперы `db.get_coverage_baseline`/
+  `ratchet_coverage_baseline`/`set_coverage_baseline`). Наращивание **только вверх** в choke-point
+  подтверждённого merge `_handle_merge_verify` (ребро `deploy → done`): `ratchet_baseline_on_merge`
+  читает измеренное из `18-coverage-report.md` (single source of truth), атомарный compare-and-set
+  `UPDATE … WHERE coverage <= measured` под держимым merge-lease (ORCH-043) → базовая линия не падает
+  даже при гонке; bootstrap засевается первым применимым merge.
+- **Условность (как ORCH-22/43/58):** `coverage_gate_enabled` (kill-switch; `False` → 1:1 как до
+  ORCH-027) + `coverage_gate_repos` (CSV; **пусто → self-hosting only** `is_self_hosting_repo` →
+  enduro не затронут, no-op `(True, "N/A")`); `applies(repo)` (локально) ПЕРВЫМ — дорогой прогон
+  только при `applies==True`. Ошибка инструмента/непарсимая метрика → **fail-open + WARNING** по
+  умолчанию (`coverage_tool_fail_closed=False`, анти-петля); флаг → fail-closed.
+- **Артефакт `18-coverage-report.md`** (frontmatter `coverage_status: PASS|FAIL` +
+  `measured_coverage`/`baseline`/`floor`/`policy`/`epsilon`/`delta`), вердикт читается ТОЛЬКО из
+  frontmatter через `src/frontmatter.py` (single source of truth, как `security_status:`).
+  Наблюдаемость — read-only блок `coverage` в `GET /queue`; при FAIL — `send_telegram` с кликабельным
+  номером, измеренным/порогом/дельтой; опциональный ручной override `POST /coverage/baseline`.
+  Флаги `ORCH_COVERAGE_*` (`MIN_PERCENT`/`POLICY`/`EPSILON`/`TOOL_FAIL_CLOSED`/`RUN_TIMEOUT_S`).
+  Self-hosting-безопасно: гейт только мерит/читает/пишет/решает — не деплоит/не рестартит прод/не
+  пушит `main`. **Инфра-предусловие:** `pytest-cov` в прод/staging-образе. Детали —
+  `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`,
+  `docs/architecture/adr/adr-0029-coverage-gate.md`.
+
 ## Конвенции
 - Conventional Commits (`feat:`, `fix:`, `docs:`, `refactor:`, `test:`)
 - Ветки: `feature/ORCH-NNN-slug`, `fix/ORCH-NNN-slug`
 - ADR per work-item: `docs/work-items/<plane-id>/06-adr/ADR-NNN-slug.md`
 - Global ADR (сквозные решения): `docs/architecture/adr/adr-NNNN-slug.md`
 - Work items: `docs/work-items/<plane-id>/`
-- Машинные вердикты Quality Gate — строго YAML-frontmatter (`verdict:`, `deploy_status:`, `staging_status:`, `security_status:`), никогда проза
+- Машинные вердикты Quality Gate — строго YAML-frontmatter (`verdict:`, `deploy_status:`, `staging_status:`, `security_status:`), никогда проза. **ORCH-52c (ORCH-076):** парсинг frontmatter сведён к единому контракту `src/frontmatter.py` (reader `read_frontmatter_value` — BC; единый парс-примитив `parse_frontmatter`; writer `render/write_frontmatter`; валидатор схемы `validate_schema`/`REQUIRED_FIELDS` — warning-only по умолчанию, hard-fail только под kill-switch `frontmatter_validation_strict`, дефолт `False`). Пять вердикт-парсеров (`check_reviewer_verdict`, `_parse_tests_verdict`, `_parse_deploy_status`, `_parse_staging_status`, `parse_security_status`) читают через ОДНУ точку парсинга; семантика вердиктов и `STAGE_TRANSITIONS`/состав `QG_CHECKS` — 1:1. Формальная спека «стадия → обязательный выход» + обязательная frontmatter-схема — `docs/_standards/HANDOFF_PROTOCOL.md`
 
 ## Артефакты задачи (`docs/work-items/<plane-id>/`)
-`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`, `16-post-deploy-log.md` (post-deploy наблюдение, ORCH-021), `17-security-report.md` (security-гейт: `security_status:`/secrets/deps, ORCH-022).
+`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`, `16-post-deploy-log.md` (post-deploy наблюдение, ORCH-021), `17-security-report.md` (security-гейт: `security_status:`/secrets/deps, ORCH-022), `18-coverage-report.md` (coverage-гейт: `coverage_status:`/measured/baseline, ORCH-027).
+
+**Стандарт документов (ORCH-075, ORCH-52b):** структура каждого дока, карта «стадия→агент→документ→гейт→machine-key» и конвенция ADR-naming зафиксированы в `docs/_standards/PIPELINE_DOCS.md` (golden source); копируемые скелеты — в `docs/_templates/`. Перед написанием номерного дока бери скелет из `docs/_templates/` и не меняй имя machine-key frontmatter (регистр чувствителен — иначе гейт упадёт ложно).
 
 ## Правила для агентов
 1. Перед любым действием прочесть этот файл и `docs/architecture/README.md`.
-2. **Документация = golden source наравне с кодом.** Изменил функционал → обнови доку В ТОМ ЖЕ PR. Архитектурное решение → заведи ADR. Обнови `CHANGELOG.md`.
+2. **Документация = golden source наравне с кодом.** Изменил функционал → обнови доку В ТОМ ЖЕ PR. Архитектурное решение → заведи ADR (формат — `docs/_standards/PIPELINE_DOCS.md` §4). Структура номерных доков и шаблоны — `docs/_standards/PIPELINE_DOCS.md` + `docs/_templates/`. Обнови `CHANGELOG.md`.
 3. Никогда не править артефакты других этапов.
 4. Никогда не комментировать ТЗ задним числом — если ТЗ не годится, возвращай в Анализ.
 5. Никогда не закрывать задачу самостоятельно — это делает CI / финальная стадия.
-6. **Reviewer проверяет: обновлена ли документация. Нет → REQUEST_CHANGES.**
+6. **Reviewer проверяет: обновлена ли документация. Нет → REQUEST_CHANGES.** Это включает **обзорные доки** (ORCH-079, 52f — финал эпика 52): если PR закрывает пункт `README.md` «Известные ограничения», но README не обновлён → finding ≥P1 (витрина проекта не должна выдавать решённое за открытое).
 7. Не использовать `--no-verify` без явного одобрения Owner.
 8. Секреты — только в `.env`/`.env.staging` на хосте, в гит НЕ коммитятся (канон — `.env.example`).
+9. **Трассировка маркеров (ORCH-078, ORCH-52e):** правишь строку/блок с маркером `ORCH-NNN` →
+   ПЕРЕД изменением прочитай его `docs/work-items/ORCH-NNN/06-adr/` и не сломай зафиксированный
+   инвариант; блок с 3+ маркерами → опирайся на сводный сквозной ADR. Стандарт маркеров (формат,
+   размещение, fallback-доступ, анти-археология, каноничное правило чтения) — `docs/_standards/TRACEABILITY.md`.
 
 ## ⚠️ Self-hosting — оркестратор правит САМ СЕБЯ
 Задачи проекта ORCH меняют инструмент, который СЕЙЧАС работает в продакшене и обслуживает ДРУГИЕ проекты (enduro-trails) из ОДНОГО инстанса с ОБЩЕЙ БД и общей очередью.

README.md

@@ -29,7 +29,7 @@ created → analysis → architecture → development → review → testing →
 | created | — | — | Plane webhook (work_item.created) |
 | analysis | analyst | Файлы BRD/TRZ/AC/TestPlan | Push docs/ |
 | architecture | architect | ADR или infra-requirements | Push docs/ |
-| development | developer | check_tests_local (орк сам гоняет `make test`) | Auto-advance после developer |
+| development | developer | check_ci_green (Gitea CI зелёный на ветке) | Auto-advance после developer |
 | review | reviewer | check_reviewer_verdict (`verdict:` во frontmatter 12-review.md) | Auto-advance после reviewer |
 | testing | tester | check_tests_passed (test-report.md) | Auto-advance после tester |
 | deploy-staging | deployer | check_staging_status (15-staging-log.md) | Auto-advance после tester |
@@ -121,6 +121,7 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_REPOS_DIR` | Repos dir (container) | `/repos` |
 | `ORCH_HOST_REPOS_DIR` | Repos dir (host) | `/home/slin/repos` |
 | `ORCH_DB_PATH` | SQLite path | `/app/data/orchestrator.db` |
+| `ORCH_RUNS_DIR` | Базовый каталог per-run логов агентов (`<runs_dir>/{run_id}.log`, ORCH-087) | `/app/data/runs` |
 | `ORCH_MAX_CONCURRENCY` | Сколько jobs воркер запускает параллельно (ORCH-1) | `1` |
 | `ORCH_QUEUE_POLL_INTERVAL` | Период опроса очереди воркером, сек (ORCH-1) | `2.0` |
 | `ORCH_PREFLIGHT_CACHE_TTL` | Кэш preflight (CLI/net), сек (ORCH-1 resilience) | `45` |
@@ -136,6 +137,9 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | Per-stage пороги, напр. `{"development":300}` | `""` |
 | `ORCH_RECONCILE_NOTIFY_UNBLOCK` | Telegram при разблокировке застрявшей задачи | `true` |
 | `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED` | F-1 Guard 2 (ORCH-060): пропуск задач в Plane-статусе Blocked / Needs Input; `false` глушит только сетевой Guard 2 (Guard 1 escalated всегда активен) | `true` |
+| `ORCH_QG0_TITLE_MAX` | Верхний лимит длины заголовка QG-0 (вход `_qg0_errors`); невалидное/пустое значение → дефолт (ORCH-069) | `200` |
+| `ORCH_STOP_STATUS_ENABLED` | Kill-switch отмены задачи по Plane-статусу **STOP** + закрытия дыры релонча (ORCH-090); `false` → поведение 1:1 как до ORCH-090 | `true` |
+| `ORCH_STOP_STATUS_REPOS` | CSV область репо для STOP-отмены; пусто = все репо (ORCH-090) | `""` |
 
 ## Очередь задач (ORCH-1 / F-2b)
 
@@ -152,7 +156,30 @@ Webhook-хэндлеры больше не спавнят claude-агентов
 - **Ретраи.** Упавший job (exit≠0) ретраится пока `attempts < max_attempts`,
   потом `failed` + Telegram-нотификация.
 
-Статусы job: `queued → running → done | failed`. Наблюдаемость — через `GET /queue`.
+Статусы job: `queued → running → done | failed`; **`cancelled`** — терминальный
+исход STOP-отмены (ORCH-090), нигде не реквью'ится. Наблюдаемость — через `GET /queue`.
+
+## Отмена задачи: статус STOP (ORCH-090)
+
+Перевод задачи в выделенный Plane-статус **STOP** отменяет её: оркестратор
+останавливает активного агента (graceful SIGTERM-каскад), снимает все job'ы
+(терминальный `cancelled`, без авто-requeue), удаляет worktree и **рабочую**
+ветку в Gitea (**никогда** `main`, без force-push), сбрасывает прогресс в
+durable-терминал `tasks.stage='cancelled'` и тумбстонит натуральные ключи
+(`#cancelled-<id>`), чтобы повторный «To Analyse» создал задачу **с нуля**.
+Docs-артефакты (`01..17`) сохраняются. STOP во время критичного шага merge/deploy
+— **откладывается** до его честного завершения (никакого half-merge / рестарта
+прода). Параллельно закрыта «дыра релонча»: ручной перевод в промежуточный рабочий
+статус больше не релончит агента — единственный вход к запуску пайплайна остаётся
+«To Analyse» (релонч агента сменой статуса разрешён только на стадии `analysis` —
+владельце Needs Input). Всё под kill-switch `ORCH_STOP_STATUS_ENABLED`, аддитивно,
+never-raise. Наблюдаемость — блок `stop` в `GET /queue`. Деталь — `docs/work-items/
+ORCH-090/06-adr/ADR-001-stop-cancel-task.md` + сквозной
+`docs/architecture/adr/adr-0026-stop-cancel-task.md`.
+
+> **Инфра-предусловие:** на доске Plane проекта ORCH создать статус **«STOP»** с
+> группой `cancelled`. До создания статуса фича в fail-safe (нет UUID → ветка STOP
+> не активируется).
 
 **Resilience-слой:** дешёвый preflight (CLI/net, кэш, без токенов) гейтит claim;
 429/overload детектится по логу (transient vs permanent), transient ретраится с
@@ -221,7 +248,7 @@ stdout/stderr агента перенаправляются СРАЗУ в `/app/
 Gitea events роутятся по типу:
 - `push` → проверка файлов, advance architecture/development
 - `pull_request*` (wildcard) → review approved/rejected, PR merge
-- `status` → (legacy) Gitea CI; С-1: больше не authoritative, `failure` логируется на debug и не блокирует/не алертит (QG развития = локальный `check_tests_local`)
+- `status` → Gitea CI статус; ORCH-045: авторитетный гейт развития (`development → review`) — `check_ci_green` читает статус ветки с polling-retry (устраняет гонку «pending сразу после push»)
 
 ## Тесты
 
@@ -231,9 +258,19 @@ pytest tests/ -v
 
 ## Известные ограничения
 
-1. **Single-task / shared `/repos` checkout** — одновременно безопасно обрабатывается одна задача: все агенты и `check_tests_local` делают `git checkout` в одном `/repos/<repo>` → гонки при параллельных задачах. Исправление — git worktree per task (S-4, отдельно).
-2. **Plane sync** — маппинг issue ID может быть некорректным (P3, в работе)
-3. **In-process daemon-потоки** — агенты живут в потоках uvicorn; при рестарте ловит orphan-recovery. Целевое — очередь задач (F-2b)
-4. **Gitea CI не настроен** — тесты гоняет сам оркестратор локально
-3. **Tester timeout** — e2e тесты с Playwright могут занимать >25 мин на тяжёлых фичах
-4. **No retry on API errors** — httpx вызовы к Gitea/Plane без retry logic
+Реально открытые ограничения (сверено с кодом, ORCH-079):
+
+1. **Telegram 48h** — карточки-сироты старше 48 часов неудаляемы (лимит Telegram Bot API); зачистка сирот самозалечивает только свежие (ORCH-087).
+2. **Зависимости задач — только intra-repo (v1)** — `job_deps` выражают связи в пределах одного репозитория; кросс-репо зависимости пока не поддержаны (ORCH-026).
+3. **Пакетный автоном — Этап 1** — per-repo serial gate сериализует задачи одного репо (ORCH-088); полный пакетный автономный прогон «10–20 задач за ночь» — в развитии (эпик ORCH-088).
+
+### Закрыто (история)
+
+Пункты, ранее значившиеся ограничениями, закрыты кодом — оставлены как трассировка:
+
+- **Single-task / shared `/repos` checkout** → git worktree per task (`ensure_worktree`) + serial-gate (ORCH-088) + task-deps (ORCH-026).
+- **In-process daemon-потоки** → персистентная очередь задач (SQLite `jobs`, `src/queue_worker.py`), restart-safe (ORCH-1).
+- **Gitea CI не настроен** → активный гейт стадии `development` — `check_ci_green` (`src/qg/checks.py`); `check_tests_local` помечен DEPRECATED.
+- **No retry on API errors** → exp-backoff + circuit breaker в `queue_worker.py` (`ORCH_BACKOFF_*` / `ORCH_BREAKER_*` / `ORCH_TRANSIENT_MAX_ATTEMPTS`) + retry-loop в `check_ci_green` (ORCH-1 resilience / ORCH-045).
+- **Plane sync — маппинг issue ID** → зрелый `src/plane_sync.py` (`find_issue_id`, `fetch_issue_sequence_id`) со статус-моделью и TTL-самозалечиванием (ORCH-010 / 066 / 068).
+- **Tester timeout — Playwright e2e** → orchestrator является pytest-сервисом (Playwright неприменим); реальный механизм — конфигурируемый watchdog (`agent_timeout_seconds`, ORCH-7).

docs/_standards/HANDOFF_PROTOCOL.md

@@ -0,0 +1,118 @@
+# HANDOFF_PROTOCOL — формальный контракт handoff «стадия → обязательный выход»
+
+> **Назначение.** Нормативная спека: что КАЖДАЯ стадия конвейера обязана оставить на выходе —
+> какие документы и какие frontmatter-ключи. Дополняет [`PIPELINE_DOCS.md`](PIPELINE_DOCS.md)
+> (карта «документ → агент → стадия → гейт → machine-key») «вертикальным» срезом по стадиям и
+> вводит **обязательную frontmatter-схему** для машинной проверки.
+>
+> **Статус истины (важно).** Источник истины поведения — **код**: `src/stages.py`
+> (`STAGE_TRANSITIONS`), `src/qg/checks.py` (`QG_CHECKS` / `check_*` / `_parse_*`),
+> `src/stage_engine.py` (врезки под-гейтов). Машинный контракт чтения/записи/валидации
+> frontmatter — `src/frontmatter.py`. Эта спека **документирует**; при расхождении первичен код
+> (правило ORCH-075).
+
+Введено задачей **ORCH-076** (ORCH-52c — слой 2 эпика ORCH-52: машинный контракт). Слой 1
+(ORCH-075/52b) дал описательный стандарт документов; ORCH-52c реализовала единый машинный
+frontmatter-контракт (reader + writer + валидатор) и свела чтение пяти вердиктов к одной точке
+парсинга. Сквозной ADR: [`adr-0020-frontmatter-contract.md`](../architecture/adr/adr-0020-frontmatter-contract.md);
+детально — [`ORCH-076/06-adr/ADR-001-frontmatter-contract.md`](../work-items/ORCH-076/06-adr/ADR-001-frontmatter-contract.md).
+
+---
+
+## 1. Обязательная frontmatter-схема (машинный источник: `frontmatter.REQUIRED_FIELDS`)
+
+Forward-looking аддитивная схема: набор полей, которые handoff-документ стадии **должен** нести
+в ведущем YAML-frontmatter. Машинный источник истины — кортеж
+[`src/frontmatter.py`](../../src/frontmatter.py) `REQUIRED_FIELDS`:
+
+| Поле | Смысл |
+|------|-------|
+| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) — к какой задаче относится выход |
+| `stage` | стадия, на выходе которой написан документ (`analysis` … `deploy`) |
+| `author_agent` | роль-автор (`analyst` / `architect` / `developer` / `reviewer` / `tester` / `deployer`) |
+| `status` | человеко/машинно-читаемый статус выхода стадии |
+| `created_at` | дата создания артефакта (YYYY-MM-DD) |
+| `model_used` | модель агента, сгенерировавшего артефакт (`claude-…`) |
+
+**Режим проверки (ORCH-52c, критично для self-hosting).** Валидатор схемы
+`frontmatter.validate_schema` / `maybe_warn_schema` по умолчанию **warning-only** и **никогда не
+влияет на boolean-вердикт ни одного гейта**: отсутствие полей логируется (`logger.warning`), но не
+роняет конвейер и не заваливает гейт. Жёсткий режим (hard-fail) зарезервирован на будущее
+(ORCH-52d) и включается ТОЛЬКО kill-switch'ем `frontmatter_validation_strict`
+(env `ORCH_FRONTMATTER_VALIDATION_STRICT`, дефолт `False`). Схема **аддитивна**: старый
+документ-вердикт без этих полей читается гейтом ровно как раньше (см. §3).
+
+---
+
+## 2. Контракт handoff по стадиям
+
+Категории документов — как в `PIPELINE_DOCS.md` §2: **required** (всегда), **when-applicable**
+(при наличии предмета: инфра / данные / security / post-deploy — отсутствие не нарушение).
+«Machine-verdict ключ» — поле, которое exit-гейт/под-гейт ребра читает ТОЛЬКО из frontmatter
+(никогда из прозы). Набор документов/ключей/гейтов **согласован 1:1 с `PIPELINE_DOCS.md` §2–§3**.
+
+| Стадия (выход) | Агент | Обязательные документы на выходе | Machine-verdict ключ (читает гейт ребра) | Гейт ребра |
+|----------------|-------|----------------------------------|------------------------------------------|------------|
+| `created` | система (`_create_initial_docs`) / заказчик | `00-business-request.md` | — (вход, не гейтится) | — |
+| `analysis` | analyst | `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml` | — (гейт проверяет наличие файлов + Approved) | `check_analysis_approved` |
+| `architecture` | architect | `06-adr/ADR-NNN-<slug>.md` (≥1); `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md` (when-applicable/required-info) | — (гейт проверяет наличие `06-adr/` ≥1 ИЛИ `07-…`) | `check_architecture_done` |
+| `development` | developer | код + тесты в ветке (артефакт-док не пишется; гейт — зелёный CI) | — (гейт читает CI-статус Gitea) | `check_ci_green` |
+| `review` | reviewer | `12-review.md` | `verdict:` (`APPROVED` \| `REQUEST_CHANGES`) | `check_reviewer_verdict` |
+| `testing` | tester | `13-test-report.md` | `result:` / `verdict:` / `status:` (`PASS` \| `FAIL` \| `BLOCKED`; три равноранговых, ORCH-047) | `check_tests_passed` |
+| `deploy-staging` | deployer | `15-staging-log.md` (required для self-hosting); `17-security-report.md` (security-под-гейт, when-applicable) | `staging_status:` (`SUCCESS` \| `FAILED`); `security_status:` (`PASS` \| `FAIL`) | `check_staging_status` (ребро); под-гейты ребра `deploy-staging→deploy`: `check_security_gate` → `check_branch_mergeable` → `check_staging_image_fresh` |
+| `deploy` | deployer / deploy-finalizer | `14-deploy-log.md` | `deploy_status:` (`SUCCESS` \| `FAILED`) | `check_deploy_status` |
+| `done` | — | — (терминал) | — | — |
+| пост-`done` наблюдение | post-deploy-monitor | `16-post-deploy-log.md` (when-applicable, ORCH-021) | `post_deploy_status:` (`HEALTHY` \| `DEGRADED`) — **информационный, не гейт** | — (телеметрия петли уроков / наблюдаемость) |
+
+### Примечания (нормативные)
+
+- **Под-гейты ребра `deploy-staging → deploy`** (`check_security_gate` → `check_branch_mergeable`
+  → `check_staging_image_fresh`) — это **врезки в `advance_stage`**, а НЕ строки
+  `STAGE_TRANSITIONS`. Их порядок и условность раската не меняются этой спекой.
+- **`15-staging-log.md`** обязателен только для self-hosting репо (`orchestrator`); для прочих
+  репо staging-гейт — N/A (ORCH-35), документ не требуется.
+- **`16-post-deploy-log.md`** несёт `post_deploy_status:`, но это **информационный** ключ
+  (телеметрия ORCH-8 / наблюдаемость), гейтом он НЕ парсится.
+- **`09-…` / `05-…` / `11-…`** — зарезервированные/legacy номера; канон reviewer'а — `12-review.md`.
+
+---
+
+## 3. Machine-verdict доки vs информационные (честный механизм проверки)
+
+Полностью согласовано с `PIPELINE_DOCS.md` §3. Machine-verdict док — гейт читает ТОЛЬКО
+YAML-frontmatter (через единый `frontmatter.parse_frontmatter`), маппит ключ в вердикт; имя ключа
+чувствительно к регистру, значение парсер приводит к верхнему регистру.
+
+| Документ | Machine-key | Парсер | Эффект вердикта |
+|----------|-------------|--------|-----------------|
+| `12-review.md` | `verdict:` | `check_reviewer_verdict` | `APPROVED` → дальше; `REQUEST_CHANGES` → откат на `development` |
+| `13-test-report.md` | `result:` / `verdict:` / `status:` | `_parse_tests_verdict` | `PASS` → дальше; `FAIL`/`BLOCKED` → откат (негативный токен авторитетен) |
+| `14-deploy-log.md` | `deploy_status:` | `_parse_deploy_status` | `SUCCESS` → `done`; `FAILED` → откат (БАГ-8) |
+| `15-staging-log.md` | `staging_status:` | `_parse_staging_status` | `SUCCESS` → дальше; `FAILED` → откат (self-hosting; иначе N/A) |
+| `17-security-report.md` | `security_status:` | `check_security_gate` → `parse_security_status` | `PASS` → дальше; `FAIL` → откат |
+
+**Информационные доки** (гейтом НЕ парсятся): `00-business-request.md`, `08-data-requirements.md`,
+`10-tech-risks.md`, `16-post-deploy-log.md`.
+
+**Аддитивность схемы (§1).** Документ-вердикт БЕЗ полей схемы из §1, но с вердикт-ключом, читается
+гейтом РОВНО как раньше: схема не участвует в вычислении вердикта при дефолтном
+`frontmatter_validation_strict=False`.
+
+---
+
+## 4. Единый машинный контракт — `src/frontmatter.py`
+
+Все операции с frontmatter сведены в один leaf-модуль (never-raise):
+
+- `read_frontmatter_value(path, key) -> str | None` — single-key reader (контракт неизменен, BC).
+- `parse_frontmatter(content) -> FrontmatterParse` — **единственная точка** парсинга YAML-frontmatter
+  (`data` / `has_block` / `malformed` / `yaml_error`); пять вердикт-парсеров делегируют сюда.
+- `parse_frontmatter_dict` / `read_frontmatter` — ярлыки к распарсенному mapping.
+- `render_frontmatter` / `write_frontmatter` — writer (формат совместим с существующими парсерами).
+- `validate_schema` / `REQUIRED_FIELDS` / `maybe_warn_schema` — схема §1 (warning-only по умолчанию).
+- `strip_frontmatter` — общий хелпер тела (заменил дубли).
+- Kill-switch жёсткой валидации: `config.frontmatter_validation_strict`
+  (env `ORCH_FRONTMATTER_VALIDATION_STRICT`, дефолт `False`).
+
+> Перед написанием номерного дока бери скелет из [`docs/_templates/`](../_templates/) и **не меняй
+> имя machine-key frontmatter** (регистр чувствителен — иначе гейт упадёт ложно).

docs/_standards/PIPELINE_DOCS.md

@@ -0,0 +1,155 @@
+# PIPELINE_DOCS — стандарт документов конвейера (golden source структуры)
+
+> **Назначение.** Единая карта «стадия → агент → документ → категория → гейт/механизм →
+> frontmatter machine-key» + конвенция ADR-naming. Это **golden source структуры** номерных
+> документов work item (`00-business-request.md` … `18-coverage-report.md`), который каждая
+> агентская роль пишет на своей стадии.
+>
+> **Статус истины (важно).** Манифест **документирует** текущее поведение гейтов, но НЕ является
+> их источником истины. Источник истины — код: `src/stages.py` (`STAGE_TRANSITIONS`),
+> `src/qg/checks.py` (`QG_CHECKS` / `check_*` / `_parse_*`), `src/stage_engine.py`. При будущей
+> правке гейта первична правка кода, манифест обновляется следом (ORCH-075 / ADR-001 §D2).
+>
+> **Копируемые скелеты** каждого документа — в каталоге [`docs/_templates/`](../_templates/):
+> «скопировал → заполнил → не угадываешь структуру/ключ».
+
+Введён задачей **ORCH-075** (ORCH-52b — слой 1 эпика ORCH-52). Сквозной ADR:
+[`docs/architecture/adr/adr-0019-pipeline-docs-standard.md`](../architecture/adr/adr-0019-pipeline-docs-standard.md);
+детально — `docs/work-items/ORCH-075/06-adr/ADR-001-pipeline-docs-standard.md`.
+
+---
+
+## 1. Конвейер стадий (ground-truth `STAGE_TRANSITIONS`)
+
+```
+created → analysis → architecture → development → review → testing → deploy-staging → deploy → done
+                          ↑                          │
+                          └──── REQUEST_CHANGES ──────┘  (откат на development, max 3 retries)
+```
+
+Каждое ребро несёт ровно один exit-гейт (`src/stages.py`):
+`check_analysis_approved → check_architecture_done → check_ci_green → check_reviewer_verdict →
+check_tests_passed → check_staging_status → check_deploy_status`.
+
+**Под-гейты ребра `deploy-staging → deploy`** (`check_security_gate` → `check_branch_mergeable` →
+`check_staging_image_fresh`) — это **врезки в `advance_stage`**, а НЕ строки `STAGE_TRANSITIONS`.
+Аналогично под-гейт ребра `deploy → done` (`_handle_merge_verify`, ORCH-071/073) — врезка, не
+зарегистрированный QG. Карта стадий о них не «лжёт»: они не являются стадиями.
+
+---
+
+## 2. Манифест: документ → агент → категория → стадия → гейт → machine-key
+
+Категории: **required** (пишется всегда), **when-applicable** (пишется при наличии предмета:
+инфра / данные / security / post-deploy — отсутствие не нарушение), **optional** / **legacy**.
+
+| Документ | Владелец-агент | Категория | Стадия написания | Гейт / механизм проверки | Frontmatter machine-key |
+|----------|----------------|-----------|------------------|--------------------------|-------------------------|
+| `00-business-request.md` | система (Plane webhook `_create_initial_docs`) / заказчик | required | `created` (инициализация) | не гейтится (вход) | — |
+| `01-brd.md` | analyst | required | `analysis` | exit-гейт `analysis→architecture` = `check_analysis_approved` (Approved + полнота файлов); helper `check_analysis_complete` (наличие `01/02/03/04`) | — |
+| `02-trz.md` | analyst | required | `analysis` | то же | — |
+| `03-acceptance-criteria.md` | analyst | required | `analysis` | то же | — |
+| `04-test-plan.yaml` | analyst | required | `analysis` | то же | — |
+| `06-adr/ADR-NNN-<slug>.md` | architect | required | `architecture` | `check_architecture_done` (наличие каталога `06-adr/` ≥1 файл ИЛИ `07-infra-requirements.md`) | — |
+| `07-infra-requirements.md` | architect | when-applicable | `architecture` | `check_architecture_done` (учитывается при наличии) | — |
+| `08-data-requirements.md` | architect | when-applicable | `architecture` | информационный (гейтом не парсится) | — |
+| `10-tech-risks.md` | architect | required | `architecture` | информационный (гейтом не парсится) | — |
+| `12-review.md` | reviewer | required | `review` | `check_reviewer_verdict` | `verdict:` (`APPROVED` \| `REQUEST_CHANGES`) |
+| `13-test-report.md` | tester | required | `testing` | `check_tests_passed` (`_parse_tests_verdict`) | `result:` / `verdict:` / `status:` (`PASS` \| `FAIL` \| `BLOCKED`; три равноранговых, ORCH-047) |
+| `14-deploy-log.md` | deployer / deploy-finalizer | required | `deploy` | `check_deploy_status` (`_parse_deploy_status`) | `deploy_status:` (`SUCCESS` \| `FAILED`) |
+| `15-staging-log.md` | deployer | required (self-hosting) | `deploy-staging` | `check_staging_status` (self-hosting; иначе N/A — ORCH-35) | `staging_status:` (`SUCCESS` \| `FAILED`) |
+| `16-post-deploy-log.md` | post-deploy-monitor | when-applicable | пост-`done` наблюдение (ORCH-021; не ребро `STAGE_TRANSITIONS`) | информационный (гейтом не парсится) | `post_deploy_status:` (`HEALTHY` \| `DEGRADED`) |
+| `17-security-report.md` | security-гейт (детерминированный, ORCH-022) | when-applicable | под-гейт ребра `deploy-staging→deploy` | `check_security_gate` (врезка в `advance_stage`) | `security_status:` (`PASS` \| `FAIL`) |
+| `18-coverage-report.md` | coverage-гейт (детерминированный, ORCH-027) | when-applicable | под-гейт ребра `deploy-staging→deploy` (ПОСЛЕ merge-gate, ДО image-freshness) | `check_coverage_gate` (врезка в `advance_stage`) | `coverage_status:` (`PASS` \| `FAIL`) |
+
+### Примечания манифеста (нормативные)
+
+- **Под-гейты ребра `deploy-staging→deploy`** (`check_security_gate` → `check_branch_mergeable` →
+  `check_staging_image_fresh`) исполняются как врезки в `advance_stage`, а НЕ строки
+  `STAGE_TRANSITIONS`. Не путать с exit-гейтами рёбер.
+- **`09-review.md`** — legacy fallback от старой нумерации; **канон — `12-review.md`**. В основную
+  таблицу как канон не вносится; reviewer пишет `12-review.md`.
+- **Категория `when-applicable`** = документ пишется при наличии соответствующего предмета
+  (инфра / данные / security / post-deploy). Его отсутствие — не нарушение приёмки.
+- **`05-…` / `09-…` / `11-…`** — зарезервированные/legacy номера, в текущем каноне не используются.
+
+---
+
+## 3. Machine-verdict доки vs информационные (честный механизм проверки)
+
+**Machine-verdict доки** — гейт читает ТОЛЬКО YAML-frontmatter (никогда прозу), маппит ключ в
+вердикт. Имя ключа чувствительно к регистру; значение парсер приводит к верхнему регистру.
+
+| Документ | Machine-key | Парсер (`src/qg/checks.py`) | Эффект вердикта |
+|----------|-------------|-----------------------------|-----------------|
+| `12-review.md` | `verdict:` | `check_reviewer_verdict` | `APPROVED` → дальше; `REQUEST_CHANGES` → откат на `development` |
+| `13-test-report.md` | `result:` / `verdict:` / `status:` | `_parse_tests_verdict` | `PASS` → дальше; `FAIL`/`BLOCKED` → откат |
+| `14-deploy-log.md` | `deploy_status:` | `_parse_deploy_status` | `SUCCESS` → `done`; `FAILED` → откат (БАГ-8) |
+| `15-staging-log.md` | `staging_status:` | `_parse_staging_status` | `SUCCESS` → дальше; `FAILED` → откат (self-hosting; иначе N/A) |
+| `17-security-report.md` | `security_status:` | `check_security_gate` | `PASS` → дальше; `FAIL` → откат |
+| `18-coverage-report.md` | `coverage_status:` | `check_coverage_gate` | `PASS` → дальше; `FAIL` → откат на `development` |
+
+**Информационные доки** — гейтом НЕ парсятся (структура ничего не блокирует):
+`00-business-request.md` (вход), `08-data-requirements.md`, `10-tech-risks.md`,
+`16-post-deploy-log.md` (несёт `post_deploy_status:`, но это телеметрия петли уроков ORCH-8 /
+наблюдаемость, не гейт).
+
+---
+
+## 4. Конвенция ADR-naming
+
+### Per-work-item ADR (основное)
+
+- **Путь:** `docs/work-items/<plane-id>/06-adr/`
+- **Имя файла:** `ADR-NNN-<kebab-slug>.md`
+  - `NNN` — 3-значный, начинается с `001`; инкремент при нескольких ADR в одной задаче
+    (`ADR-001-…`, `ADR-002-…`).
+  - `<kebab-slug>` — kebab-case (нижний регистр, слова через дефис), отражает суть решения.
+- **Стадия:** пишет **architect** на стадии `architecture`; гейтится `check_architecture_done`
+  (наличие каталога `06-adr/` ≥ 1 файла).
+
+### Сквозной (cross-cutting) ADR
+
+Решения, затрагивающие несколько компонентов/ролей или поведение всего конвейера, **дублируются**
+в глобальный реестр:
+
+- **Путь:** `docs/architecture/adr/`
+- **Имя файла:** `adr-NNNN-<kebab-slug>.md` (4-значная сквозная нумерация, последовательная по
+  всему репозиторию; на момент ORCH-075 реестр доходит до `adr-0019`).
+
+### Примеры из репозитория (реальные, проверенные)
+
+- `docs/work-items/ORCH-088/06-adr/ADR-001-serial-gate.md`
+- `docs/work-items/ORCH-089/06-adr/ADR-001-auto-label-gates.md`
+- `docs/work-items/ORCH-071/06-adr/ADR-001-merge-verify-gate.md`
+- Сквозные: `docs/architecture/adr/adr-0017-serial-gate.md`,
+  `docs/architecture/adr/adr-0018-auto-label-gates.md`.
+
+---
+
+## 5. Как пользоваться шаблонами
+
+1. Скопируй нужный скелет из [`docs/_templates/`](../_templates/) в
+   `docs/work-items/<plane-id>/` под канонным именем (для ADR — `06-adr/ADR-001-<slug>.md`).
+2. Заполни секции; **не удаляй** machine-key frontmatter у machine-verdict доков и **не меняй имя
+   ключа** (регистр чувствителен — иначе гейт упадёт ложно).
+3. Сверяйся с манифестом (§2–§3): какой агент, на какой стадии, какой гейт читает документ.
+
+> Стандарт **описательный** (слой 1). **Машинный слой реализован в ORCH-52c (ORCH-076):** единый
+> frontmatter-контракт (reader + writer + валидатор) в [`src/frontmatter.py`](../../src/frontmatter.py)
+> и формальная спека handoff [`HANDOFF_PROTOCOL.md`](HANDOFF_PROTOCOL.md) («стадия → обязательный
+> выход» + обязательная frontmatter-схема `REQUIRED_FIELDS`). Пять вердикт-парсеров
+> (`check_reviewer_verdict`, `_parse_tests_verdict`, `_parse_deploy_status`, `_parse_staging_status`,
+> `parse_security_status`) читают вердикт через ОДНУ точку парсинга (`parse_frontmatter`); семантика
+> вердиктов 1:1. Валидатор обязательной схемы по умолчанию **warning-only** (kill-switch
+> `frontmatter_validation_strict`, дефолт `False`) — соблюдение схемы пока на ответственности агента
+> и reviewer'а, enforcement придёт с ORCH-52d.
+
+---
+
+## 6. Спека handoff (машинный контракт, ORCH-52c)
+
+Вертикальный срез «стадия → обязательные документы + frontmatter-ключи на выходе» и обязательная
+frontmatter-схема вынесены в отдельную нормативную спеку [`HANDOFF_PROTOCOL.md`](HANDOFF_PROTOCOL.md)
+(набор документов/ключей/гейтов согласован 1:1 с §2–§3 этого манифеста). Машинный источник
+обязательной схемы — `frontmatter.REQUIRED_FIELDS`.

docs/_standards/TRACEABILITY.md

@@ -0,0 +1,147 @@
+# TRACEABILITY — стандарт маркеров-трассировки `ORCH-NNN` (golden source трассировки)
+
+> **Назначение.** Единый нормативный контракт: как нетривиальная строка/блок/инвариант в коде
+> привязывается к work item, который его ввёл, и к его архитектурному решению (ADR). Это **слой 4
+> (трассировка)** эпика **ORCH-52** — рядом с `PIPELINE_DOCS.md` (слой 1, структура документов) и
+> `HANDOFF_PROTOCOL.md` (слой 2, машинный frontmatter-контракт).
+>
+> **Статус истины.** Документ **кодифицирует сложившуюся практику**, а не вводит новый синтаксис.
+> Источник истины о *поведении* остаётся код (`src/stages.py`, `src/qg/checks.py`,
+> `src/stage_engine.py`); этот стандарт — описательно-нормативный, **не машинный гейт конвейера**.
+> Соблюдение держится на дисциплине агентов + оси ревью (`reviewer.md`), а не на CI-lint.
+
+Введён задачей **ORCH-078** (ORCH-52e). Сквозной ADR:
+[`docs/architecture/adr/adr-0022-traceability-marker-standard.md`](../architecture/adr/adr-0022-traceability-marker-standard.md);
+детально — `docs/work-items/ORCH-078/06-adr/ADR-001-traceability-marker-standard.md`. Продолжает
+цепочку стандартов эпика 52: adr-0019 (52b), adr-0020 (52c), adr-0021 (52d).
+
+---
+
+## 1. Назначение и определение
+
+**Маркер `ORCH-NNN`** (а для проекта enduro-trails — `ET-NNN`) в коде = обязательный стандарт
+трассировки: он привязывает нетривиальную строку / блок / инвариант к work item, который его ввёл,
+и к его ADR. Это даёт читающему агенту прямой путь «строка кода → решение, которое её породило»,
+вместо `git blame`-археологии.
+
+**Факт (сверено на 2026-06-09):** в `src/` де-факто живёт **51 уникальный** маркер `ORCH-NNN`
+(`grep -rhoE 'ORCH-[0-9]+' src/ | sort -u | wc -l` → `51`) — сложившаяся практика. Этот стандарт её
+формализует. **Массовый ретро-фит существующих 51 маркера вне объёма** — стандарт нормативен «на
+будущее»: его правила применяются к **новому и правимому** коду.
+
+---
+
+## 2. Формат маркера
+
+Маркер — это **inline-комментарий** (или фрагмент docstring модуля/функции), содержащий идентификатор
+work item `ORCH-NNN`. Рекомендуется рядом указывать ссылку на конкретное решение в ADR, чтобы трасса
+вела не просто к задаче, а к пункту решения:
+
+```python
+# Ordering term — ``t2.id < jobs.task_id`` (FIFO, ORCH-088, ADR-001 D1 / FR-2): a task
+# does not enter `analysis` while an earlier unfinished task exists in the same repo.
+```
+
+Нового синтаксиса не вводится — кодифицируется уже сложившийся стиль (`ORCH-NNN[, ADR-001 D1]`).
+
+---
+
+## 3. Где ставится маркер
+
+Маркер ставится рядом с **нетривиальным инвариантом**, понимание которого требует контекста решения:
+
+- выбор fail-open / fail-closed поведения;
+- точное условие сериализации / упорядочивания (FIFO, lease, барьер);
+- идемпотентность / защита от повторной обработки;
+- обходимая «дыра» конвейера, которую блок закрывает;
+- любое условие, чьё «почему именно так» зафиксировано в ADR.
+
+Маркер **НЕ ставится** на тривиальном/самоочевидном коде (геттеры, простые присваивания, очевидные
+проверки) — это только зашумляет.
+
+**Правило для нового кода:** вводишь значимый инвариант → ставь маркер своей задачи (`ORCH-NNN`)
+рядом, по возможности со ссылкой на пункт ADR.
+
+---
+
+## 4. Как читать историю (с реальным проверяемым примером)
+
+Пошагово, от строки кода к решению:
+
+1. Видишь в коде маркер `ORCH-NNN` у строки/блока, который собираешься менять.
+2. Открываешь его архитектурное решение: `docs/work-items/ORCH-NNN/06-adr/`.
+3. Читаешь зафиксированный инвариант ПЕРЕД правкой; не ломаешь его (см. §7).
+
+**Проверяемый пример из реального кода (`main`):**
+
+> `src/serial_gate.py` несёт условие сериализации `t2.id < jobs.task_id` с маркером **ORCH-088**
+> и отсылкой `ADR-001 D1 / FR-2` (FIFO-уточнение serial-gate). Чтобы понять, почему задача не входит
+> в `analysis`, пока в репо есть более ранняя незавершённая задача, читаешь:
+> `docs/work-items/ORCH-088/06-adr/ADR-001-serial-gate.md`.
+
+Пример ссылается на **реально существующие** в `main` файл и ADR — иначе стандарт опровергал бы сам
+себя (нерабочая трассировка).
+
+---
+
+## 5. Fallback-доступ к чужому ADR
+
+Папки `docs/work-items/ORCH-NNN/` может **не быть в текущей ветке** (она срезана от `main` без неё —
+типично для ветки другой задачи). Штатный способ прочитать чужой ADR — взять его из `origin/main`:
+
+```bash
+git fetch origin                                                  # при необходимости заранее
+git ls-tree origin/main:docs/work-items/ORCH-NNN/06-adr/          # листинг доступных ADR
+git show origin/main:docs/work-items/ORCH-NNN/06-adr/ADR-001-<slug>.md   # прочитать конкретный
+```
+
+Это не блокер: отсутствие папки в ветке ≠ отсутствие решения — оно всегда есть в `main`.
+
+---
+
+## 6. Анти-археология: 3+ маркеров → сводный сквозной ADR
+
+Если функция/блок несёт **3+** маркеров `ORCH-NNN` (эволюционировал через много задач), раскопки по
+каждому work item нечитаемы. Вместо перечисления всех задач ставится **одна сводная ссылка на
+сквозной ADR** (`docs/architecture/adr/adr-NNNN-*`), агрегирующий эволюцию.
+
+Числовой порог `3` — граница, за которой inline-перечисление перестаёт быть читаемым (один-два
+маркера ещё информативны, три и больше — уже археология).
+
+**Пример из кода:** `src/merge_gate.py` несёт маркеры ORCH-043/065/071/073 (и ещё несколько) →
+читать сводные сквозные `adr-0006` (merge-gate), `adr-0013` (merge-verify-gate),
+`adr-0014` (sha-source-of-truth), `adr-0016` (ensure-open-PR) в `docs/architecture/adr/`, а не 8
+отдельных work item.
+
+Это конвенция для **нового/правимого** блока; массовая переразметка существующих файлов вне объёма.
+
+---
+
+## 7. Правило чтения (каноничная формулировка — единый источник)
+
+Это **единственное** место, где живёт каноничный текст правила. Промпты агентов
+(`developer.md`/`architect.md`/`reviewer.md`) **ссылаются** на него, а не копируют — чтобы не было
+дрейфа формулировок между файлами.
+
+> **Правишь код с маркером `ORCH-NNN` → прочитай его `docs/work-items/ORCH-NNN/06-adr/` ПЕРЕД
+> изменением; не сломай зафиксированный инвариант. Не можешь сохранить инвариант — эскалируй /
+> верни задачу в анализ, не правь вслепую.** Папки нет в ветке → читай из `origin/main` (§5). Блок
+> несёт 3+ маркеров → опирайся на сводный сквозной ADR (§6).
+
+Кто и как применяет правило:
+
+- **developer / architect** — обязаны выполнить чтение ПЕРЕД правкой маркированного кода.
+- **architect** — при введении/правке блока с 3+ маркерами оформляет/обновляет сводный сквозной ADR.
+- **reviewer** — проверяет соблюдение: правка маркированного (`ORCH-NNN`) кода без сверки с его ADR
+  или со сломом инварианта → finding (рекомендуемая severity **P1**; слом критического инварианта
+  конвейера — на усмотрение reviewer вплоть до P0).
+
+---
+
+## Связи
+
+- Сквозной ADR: [`adr-0022`](../architecture/adr/adr-0022-traceability-marker-standard.md).
+- Стандарты-соседи: [`PIPELINE_DOCS.md`](PIPELINE_DOCS.md) (слой 1),
+  [`HANDOFF_PROTOCOL.md`](HANDOFF_PROTOCOL.md) (слой 2).
+- Цепочка эпика 52: adr-0019 (52b) / adr-0020 (52c) / adr-0021 (52d) / adr-0022 (52e).
+- Прецедент класса ошибки (слом инварианта без чтения ADR): `docs/history/LESSONS_2026-06-08_phantom-merge.md`.

docs/_templates/00-business-request.md

@@ -0,0 +1,8 @@
+# Business Request: <краткий заголовок задачи>
+
+Work Item ID: ORCH-NNN
+
+## Description
+
+<Что хочет заказчик/Владелец своими словами: проблема, желаемый результат, контекст.
+Допускается `TBD` на входе — analyst уточняет на стадии `analysis` и формализует в 01-brd.md.>

docs/_templates/01-brd.md

@@ -0,0 +1,34 @@
+# 01 — BRD (бизнес-требования): ORCH-NNN — <название>
+
+Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+<Зачем задача, какую боль/риск закрывает. Установленные факты — не изобретать.>
+
+## 2. Объём (scope)
+
+### В объёме
+- <что делаем>
+
+### Вне объёма
+- <что явно НЕ делаем — чтобы исключить расползание>
+
+## 3. Заинтересованные стороны
+<Кто заказчик, кого затрагивает, кто принимает результат.>
+
+## 4. Бизнес-требования (BR)
+- **BR-1** — <требование, проверяемое>
+- **BR-2** — …
+
+## 5. Нефункциональные требования (NFR)
+- **NFR-1** — <надёжность / совместимость / обратимость / безопасность>
+- **NFR-2** — …
+
+## 6. Допущения и ограничения
+<Допущения, на которых стоит решение; внешние ограничения.>
+
+## 7. Критерии успеха
+<Резюме; детальные PASS/FAIL — в 03-acceptance-criteria.md.>
+
+## 8. Риски
+<Краткий перечень; детали — 10-tech-risks.md (заполняет архитектор).>

docs/_templates/02-trz.md

@@ -0,0 +1,30 @@
+# 02 — ТЗ (TRZ): ORCH-NNN — <название>
+
+Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование/решения — задача архитектора (06-adr).
+
+## 1. Сводка изменения
+<Что меняется, в одном-двух абзацах.>
+
+## 2. Задействованные модули / пути
+| Путь | Действие |
+|------|----------|
+| `src/<module>.py` | изменить / создать |
+
+## 3. Функциональные требования
+### FR-1 — <название>
+<Поведение, контракт, инварианты. Привязать к BR.>
+
+## 4. Изменения API
+<Новые/изменённые эндпоинты; либо «Нет.».>
+
+## 5. Изменения схемы БД
+<Таблицы/миграции/индексы; либо «Нет.».>
+
+## 6. Требования к новым/изменённым QG checks
+<Изменения `QG_CHECKS` / `check_*`; либо «Нет.».>
+
+## 7. Совместимость / регресс
+<Обратная совместимость, kill-switch, область раската, обратимость.>

docs/_templates/03-acceptance-criteria.md

@@ -0,0 +1,31 @@
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-NNN — <название>
+
+Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам
+репозитория.
+
+---
+
+## AC-1 — <краткий заголовок>
+
+**Условие:** <проверяемое условие>
+- **PASS:** <что должно быть истинно>
+- **FAIL:** <что считается провалом>
+
+---
+
+## AC-2 — <краткий заголовок>
+
+**Условие:** <…>
+- **PASS:** <…>
+- **FAIL:** <…>
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1 |
+| AC-2 | BR-2 / FR-2 |

docs/_templates/04-test-plan.yaml

@@ -0,0 +1,20 @@
+work_item: ORCH-NNN
+title: "<краткое название тест-плана>"
+framework: pytest
+scope: "<что покрывается тестами; что вне покрытия>"
+notes: >
+  <Свободные заметки: окружение, особенности, что считается регрессом.
+  Полный регресс tests/ должен оставаться зелёным.>
+
+tests:
+  - id: TC-01
+    type: unit            # unit | integration
+    description: "<что проверяет тест>"
+    module: tests/test_<feature>.py
+    expected: PASS
+
+  - id: TC-02
+    type: integration
+    description: "<…>"
+    module: tests/test_<feature>.py
+    expected: PASS

docs/_templates/06-adr-ADR-NNN-slug.md

@@ -0,0 +1,43 @@
+# ADR-NNN: <Заголовок решения>
+
+> **Шаблон ADR.** Скопируй в `docs/work-items/<plane-id>/06-adr/ADR-NNN-<kebab-slug>.md`.
+> `NNN` начинается с `001`, инкремент при нескольких ADR в задаче. `<kebab-slug>` — нижний
+> регистр, слова через дефис. Сквозное (cross-cutting) решение дополнительно дублируй в
+> `docs/architecture/adr/adr-NNNN-<kebab-slug>.md` (4-значная глобальная нумерация).
+> См. `docs/_standards/PIPELINE_DOCS.md` §4.
+
+Work Item: **ORCH-NNN** — <короткое описание>
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-NNNN-<slug>.md`** (если решение
+кросс-каттинговое; иначе — «N/A, локальное решение задачи»).
+
+## Статус
+Proposed   <!-- Proposed | Accepted | Superseded by ADR-… -->
+
+## Контекст
+<Какую проблему решаем; факты, сверенные с кодом (`src/…`); почему «как есть» не годится.>
+
+## Решение
+
+### Сводка
+<Суть выбранного решения в одном-двух абзацах.>
+
+### D1 — <название аспекта решения>
+<Конкретное решение по аспекту, инварианты, привязка к FR/AC.>
+
+### D2 — <название аспекта решения>
+<…>
+
+## Альтернативы
+- **<альтернатива>** — отвергнуто: <почему>.
+
+## Последствия
+- **+** <положительный эффект>
+- **−** <издержка / приятый компромисс + митигейшн>
+- **Откат:** <как полностью откатить изменение>
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-NNN/01-brd.md`
+- TRZ: `docs/work-items/ORCH-NNN/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-NNN/03-acceptance-criteria.md`
+- Сверено по коду: `src/…`

docs/_templates/07-infra-requirements.md

@@ -0,0 +1,19 @@
+# 07 — Инфра-требования: ORCH-NNN — <название>
+
+Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: architecture
+
+> When-applicable. Если инфраструктура не затрагивается — оставить явные `N/A` по пунктам
+> (файл создаётся для аудитопригодности, а не из-за изменения топологии).
+
+## I-1. Топология / окружения
+<Контейнеры, порты, сеть, тома, хост; либо `N/A`.>
+
+## I-2. Переменные окружения / секреты
+<Новые env-переменные, изменения `.env` / `.env.example`, секреты; либо `N/A`.>
+
+## I-3. Деплой / рестарт
+<Требуется ли рестарт прод-контейнера; self-hosting инвариант (не ронять прод вне staging);
+либо `N/A`.>
+
+## I-4. CI/CD
+<Изменения `.gitea/workflows/`, новые тестовые шаги; либо «без изменений».>

docs/_templates/08-data-requirements.md

@@ -0,0 +1,15 @@
+# 08 — Требования к данным: ORCH-NNN — <название>
+
+Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: architecture
+
+> When-applicable / информационный (гейтом не парсится). Если данные/схема не затрагиваются —
+> оставить явные `N/A`.
+
+## Изменения схемы БД
+<Новые/изменённые таблицы, индексы, миграции (`init_db`); либо `N/A`.>
+
+## Новые/изменённые сущности
+<Поля, колонки, инварианты данных; либо «Нет.».>
+
+## Совместимость данных / миграции
+<Аддитивность, идемпотентность миграций, restart-safe, влияние на общую прод-БД; либо `N/A`.>

docs/_templates/10-tech-risks.md

@@ -0,0 +1,16 @@
+# 10 — Технические риски: ORCH-NNN — <название>
+
+Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | <описание риска> | Низ./Сред./Выс. | Низ./Сред./Выс. | <как снижаем> |
+| TR-2 | <…> | | | |
+
+## Сводный вывод
+<Доминирующий класс рисков; нужна ли эскалация `arch:major-change` / возврат в анализ;
+итоговая оценка остаточного риска для прод-конвейера (self-hosting).>

docs/_templates/12-review.md

@@ -0,0 +1,31 @@
+---
+type: review
+work_item_id: ORCH-NNN
+verdict: APPROVED        # APPROVED | REQUEST_CHANGES  (machine-key — читает check_reviewer_verdict)
+version: 1
+---
+
+# Review ORCH-NNN
+
+> Машинный вердикт читается ТОЛЬКО из `verdict:` во frontmatter (никогда из прозы).
+> `APPROVED` → дальше по конвейеру; `REQUEST_CHANGES` → откат на `development`.
+
+## Summary
+<Краткая оценка: реализовано ли по ТЗ/ADR, покрытие тестами, обновлена ли документация.>
+
+## Оси проверки
+<Корректность, соответствие ADR/инвариантам, тесты, документация, совместимость/регресс.>
+
+## Findings
+
+### P0 — Blocker
+- (нет)
+
+### P1 — Must fix
+- (нет)
+
+### P2 — Should fix
+- (нет)
+
+## Документация
+<Обновлена ли документация (README/CLAUDE/CHANGELOG/архитектура) в том же PR. Нет → REQUEST_CHANGES.>

docs/_templates/13-test-report.md

@@ -0,0 +1,33 @@
+---
+type: test-report
+work_item_id: ORCH-NNN
+result: PASS            # PASS | FAIL | BLOCKED  (machine-key — читает _parse_tests_verdict)
+---
+
+# Test Report — ORCH-NNN
+
+> Машинный вердикт читается ТОЛЬКО из frontmatter. Канонический ключ — `result:`; равнорангово
+> допускаются `verdict:` / `status:` (ORCH-047). Любой негативный токен (`FAIL`/`BLOCKED`) —
+> авторитетен.
+
+## Окружение
+- Python: <версия>
+- pytest: <версия>
+- Дата: YYYY-MM-DD
+- Worktree: `feature/ORCH-NNN-<slug>`
+
+## Результаты
+
+### Полный регресс
+<`pytest tests/ -q` — итог (N passed); прод-контейнер не трогается.>
+
+### Профильные сюиты
+<Целевые тесты задачи.>
+
+### Сопоставление с тест-планом
+| TC ID | Описание | Тест-функция | Результат |
+|-------|----------|--------------|-----------|
+| TC-01 | <…> | test_… | PASS |
+
+### Сопоставление с критериями приёмки
+<AC-1…AC-N — покрыт каким тестом / результат.>

docs/_templates/14-deploy-log.md

@@ -0,0 +1,14 @@
+---
+deploy_status: SUCCESS    # SUCCESS | FAILED  (machine-key — читает _parse_deploy_status)
+work_item: ORCH-NNN
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-NNN
+
+> Машинный вердикт читается ТОЛЬКО из `deploy_status:` во frontmatter.
+> `SUCCESS` → `done`; `FAILED` → откат на `development` (БАГ-8).
+
+<Краткое описание деплоя: что выкачено, exit-code хука, кто/что зафиксировало вердикт
+(детерминированный finalizer Фаза C, не LLM, для self-hosting).>

docs/_templates/15-staging-log.md

@@ -0,0 +1,20 @@
+---
+staging_status: SUCCESS    # SUCCESS | FAILED  (machine-key — читает _parse_staging_status)
+timestamp: YYYY-MM-DDTHH:MM:SSZ
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. Реален для self-hosting
+> (`orchestrator`); для прочих репо гейт — N/A (ORCH-35). `SUCCESS` → дальше; `FAILED` → откат.
+
+Staging test suite — итог (например: «All REAL pipeline checks passed»). Запуск канонически
+внутри контейнера `orchestrator-staging` (8501).
+
+## Results
+- **Block A (SMOKE)**: <…>
+- **Block B (ACCESS)**: <…>
+- **Block C (E2E)**: <…>
+
+REAL failed: <none | перечень>.

docs/_templates/16-post-deploy-log.md

@@ -0,0 +1,21 @@
+---
+post_deploy_status: HEALTHY    # HEALTHY | DEGRADED  (информационный, гейтом НЕ парсится — телеметрия ORCH-021)
+action_taken: NONE             # NONE | ALERT_ONLY | ROLLBACK_OK | ROLLBACK_FAILED
+work_item: ORCH-NNN
+window_s: 900
+checks_total: 0
+checks_failed: 0
+---
+
+# Post-deploy log — ORCH-NNN
+
+> Пост-`done` наблюдение прода (ORCH-021). НЕ ребро `STAGE_TRANSITIONS`, гейтом не парсится —
+> frontmatter машиночитаем для петли уроков ORCH-8 / наблюдаемости.
+
+Окно наблюдения: <window_s>s; опросов всего: <checks_total>, с провалом: <checks_failed>.
+
+## Серия наблюдений
+<Краткая серия сигналов health / доли 5xx; классификация HEALTHY/DEGRADED.>
+
+## Решение
+<Реакция: для self-hosting всегда `ALERT_ONLY` (ручной approve, тик не откатывает прод).>

docs/_templates/17-security-report.md

@@ -0,0 +1,26 @@
+---
+security_status: PASS      # PASS | FAIL  (machine-key — читает check_security_gate)
+work_item: ORCH-NNN
+secrets_found: 0
+deps_blocking: 0
+deps_warning: 0
+deps_audit_degraded: false
+---
+
+# Security Report — ORCH-NNN
+
+> Детерминированный security-гейт (ORCH-022) — под-гейт ребра `deploy-staging→deploy` (врезка в
+> `advance_stage`, не строка `STAGE_TRANSITIONS`). Машинный вердикт читается ТОЛЬКО из
+> `security_status:`. `PASS` → дальше; `FAIL` → откат.
+
+## Verdict
+<clean / blocking: N secrets, M blocking CVE(s).>
+
+## Secrets
+<secret-scanning (gitleaks, offline): None | перечень.>
+
+## Dependencies (blocking)
+<dependency audit (pip-audit): None | перечень блокирующих CVE.>
+
+## Dependencies (warning)
+<Не блокирующие предупреждения зависимостей.>

docs/_templates/18-coverage-report.md

@@ -0,0 +1,29 @@
+---
+coverage_status: PASS      # PASS | FAIL  (machine-key — читает check_coverage_gate)
+work_item: ORCH-NNN
+measured_coverage: 0.0      # измеренное line coverage src/ (%, float)
+baseline: 0.0              # базовая линия main на момент измерения (%, или пусто при bootstrap)
+floor: 0.0                 # абсолютный порог coverage_min_percent (%)
+policy: both               # absolute | baseline | both
+epsilon: 0.5               # допуск на шум измерения (%)
+delta: 0.0                 # measured − max(baseline, floor) (%, знаковая дельта)
+---
+
+# Coverage Report — ORCH-NNN
+
+> Детерминированный гейт покрытия (ORCH-027) — под-гейт ребра `deploy-staging→deploy` (врезка в
+> `advance_stage`, ПОСЛЕ merge-gate, ДО image-freshness; не строка `STAGE_TRANSITIONS`). Машинный
+> вердикт читается ТОЛЬКО из `coverage_status:`. `PASS` → дальше; `FAIL` → откат на `development`.
+> Измерение — `pytest --cov=src --cov-report=json` в изолированном worktree. Source of truth
+> измеренного значения для ratchet базовой линии (`_handle_merge_verify`, ребро `deploy→done`).
+
+## Verdict
+<PASS / FAIL: measured X% vs floor F% / baseline B% (policy=…, epsilon=…), delta=±D%.>
+
+## Measurement
+<Инструмент (pytest-cov/coverage.py), команда, line coverage src/ = X%; либо fail-open WARNING
+при ошибке инструмента (coverage_tool_fail_closed=False).>
+
+## Policy
+<Режим (absolute|baseline|both), порог floor, базовая линия main, epsilon, какое условие
+нарушено при FAIL.>

docs/architecture/adr/README.md

@@ -17,11 +17,37 @@ Per-work-item решения живут в `docs/work-items/<id>/06-adr/ADR-NNN-
 | adr-0009 | Толерантность staging-вердикта к инфраструктурным FAIL | accepted | 2026-06-07 | ORCH-061 |
 | adr-0010 | Post-deploy мониторинг прода + реакция на деградацию | proposed | 2026-06-07 | ORCH-021 |
 | adr-0011 | Job-reaper + проактивный реклейм merge-lease | accepted | 2026-06-07 | ORCH-065 |
+| adr-0012 | Security-гейт (secrets/deps) | accepted | 2026-06-08 | ORCH-022 |
+| adr-0013 | Merge-в-main + пост-деплой верификация как условие `done` | accepted | 2026-06-08 | ORCH-071 |
+| adr-0014 | SHA-в-main — единственный критерий merge-verify + регресс-гард | accepted | 2026-06-08 | ORCH-073 |
+| adr-0015 | Зависимости задач (B ждёт A) + сериализация merge внутри репо | accepted | 2026-06-08 | ORCH-026 |
+| adr-0016 | ensure_open_pr — гарантированный код-PR перед merge-verify | accepted | 2026-06-09 | ORCH-082 |
+| adr-0017 | Per-repo serial gate (пакетный автономный режим, serial e2e) | proposed | 2026-06-09 | ORCH-088 |
+| adr-0018 | Авто-режим по лейблам (autoApprove + autoDeploy) | accepted | 2026-06-09 | ORCH-089 |
+| adr-0019 | Стандарт документов конвейера (PIPELINE_DOCS, слой 1) | accepted | 2026-06-09 | ORCH-075 |
+| adr-0020 | Единый frontmatter-контракт + спека handoff (reader/writer/валидатор) | accepted | 2026-06-09 | ORCH-076 |
+| adr-0021 | Канон Anthropic для агент-промптов + эмиссия frontmatter-схемы 52c | proposed | 2026-06-09 | ORCH-077 |
+| adr-0022 | Стандарт трассировочных маркеров `ORCH-NNN` | accepted | 2026-06-09 | ORCH-078 |
+| adr-0023 | Обзорная ось reviewer + закрытие эпика 52 | accepted | 2026-06-09 | ORCH-079 |
+| adr-0024 | Disk-watchdog — heartbeat-сигнал заполнения хост-ФС | proposed | 2026-06-09 | ORCH-063 |
+| adr-0025 | Build-cache-pruner — авто-prune docker build cache на хосте | proposed | 2026-06-09 | ORCH-062 |
+| adr-0026 | STOP / отмена задачи — системный терминал `cancelled` | proposed | 2026-06-09 | ORCH-090 |
+| adr-0027 | Merge-актор — ретрай транзиентных ошибок Gitea + гард «ветка уже в `main`» | proposed | 2026-06-09 | ORCH-093 |
+| adr-0028 | Terminal-window-aware гард deploy-фазовых статусов Plane | proposed | 2026-06-09 | ORCH-094 |
+| adr-0029 | Гейт покрытия тестами — edge sub-gate + ratchet-базовая линия | proposed | 2026-06-10 | ORCH-027 |
+| adr-0030 | Лёгкий read-only `/metrics` — сырьё о самом орке для sidecar (F1b) | proposed | 2026-06-10 | ORCH-099 |
+| adr-0031 | Нормализация legacy root-owned файлов при миграции uid — детект-leaf + actionable worktree-ошибка | proposed | 2026-06-10 | ORCH-057 |
 
 > ⚠️ Историческая коллизия: номер `0007` занят двумя файлами —
 > `adr-0007-reconciler.md` (ORCH-053) и `adr-0007-executable-self-deploy.md`
 > (ORCH-036). Оба accepted; для новых сквозных ADR использовать следующий
-> свободный номер (текущий максимум — `0011`).
+> свободный номер (текущий максимум — `0031`).
+> adr-0014 **amends** adr-0013 (меняет критерий merge-verify на «SHA-в-main»).
+> adr-0016 **amends** adr-0013/0014 (гарантирует открытый код-PR перед merge_pr, ORCH-082).
+> adr-0020 реализует машинный слой к adr-0019 (ORCH-52b→52c).
+> adr-0021 реализует слой промптов к adr-0019/0020 (ORCH-52d — замыкает эпик 52).
+> adr-0025 **комплементарен** adr-0024 (watchdog сигналит о росте диска — pruner убирает
+> доминирующего «пожирателя», docker build cache).
 
 ## Формат
 **Контекст → Решение → Альтернативы → Последствия → Связи.** Статус: proposed / accepted / superseded.

docs/architecture/adr/adr-0014-merge-verify-sha-source-of-truth.md

@@ -0,0 +1,77 @@
+# adr-0014: SHA-в-main — единственный критерий merge-verify + регресс-гард целостности `main`
+
+- **Статус:** accepted
+- **Дата:** 2026-06-08
+- **Задача:** ORCH-073 (BUG CRITICAL — эрозия `main`)
+- **Amends:** [adr-0013](adr-0013-merge-verify-gate.md) (ORCH-071) — меняет КРИТЕРИЙ подтверждения merge.
+- **Детальный ADR:** `docs/work-items/ORCH-073/06-adr/ADR-001-merge-verify-sha-truth-and-regression-guard.md`
+- **Постмортем:** `docs/history/LESSONS_2026-06-08_phantom-merge.md`
+
+## Контекст
+
+adr-0013 (ORCH-071) ввёл под-гейт merge-verify на ребре `deploy → done`, но допускал
+подтверждение merge по **ИЛИ-критерию**: `verify_merged_to_main` возвращал `True`, если
+`pr_already_merged(repo, branch)` **ЛИБО** SHA — предок `origin/main`. `pr_already_merged`
+засчитывал **любой** merged PR ветки, включая авто docs-PR (staging/deploy-логи). У одной
+feature-ветки в `main` сливались только docs-PR, а code-PR — нет → `pr_already_merged`=`True` →
+verify `CONFIRMED` → `done`, хотя кода в `main` не было. Накопительно потеряны ORCH-067 (ссылки
+`plane_issue_link`) и ORCH-069 (`qg0_title_max`). Вторичный усилитель — CHANGELOG-ребейзы,
+откатывающие ветку и тащащие устаревший код-сосед. Восстановление кода (G1) выполнено вручную
+restore-PR #76; этот ADR устраняет корень навсегда.
+
+## Решение
+
+1. **SHA-в-main — единственный критерий (FR-1).** `verify_merged_to_main(repo, branch, sha)`
+   подтверждает merge **ТОЛЬКО** прямым фактом `git merge-base --is-ancestor <sha> origin/main`
+   (после `git fetch origin main`). OR-ветка `pr_already_merged` **удалена** из верификатора.
+   Пустой `sha` / любая git-ошибка → `False` (fail-closed: alert + HOLD). never-raise (INV-1).
+2. **`pr_already_merged` → idempotency-guard, различающий code-PR/docs-PR (FR-2).** Засчитывает
+   merged PR только при `head.ref==<feature-branch>` И `base.ref=="main"` (явный фильтр в цикле,
+   не ненадёжный query-параметр `head`). Используется лишь как защита `merge_pr` от второго merge,
+   НЕ как подтверждение `done`.
+3. **`merge_pr` сливает именно code-ветку (FR-3).** Выбор открытого PR по `head.ref==branch` И
+   `base.ref=="main"`; merge только Gitea `POST /pulls/{index}/merge`, никогда push/force-push в
+   `main`. Источник истины «слилось» — FR-1.
+4. **Регресс-гард целостности `main` (FR-5).** Новая `merge_gate.check_main_regression`,
+   вызываемая в `_handle_merge_verify` ПОСЛЕ подтверждённого SHA-в-main и ДО `done`: проверяет, что
+   `origin/main` содержит **декларативный набор маркеров** ключевых функций ранее-merged задач
+   (`git grep -c <marker> origin/main -- <path>` > 0). Маркер отсутствует → **alert «main
+   regressed» + HOLD** (НЕ `done`, БЕЗ авто-отката на `development` — инфра-дефект, ALERT-only как
+   ORCH-021/071). Набор — append-only константа `MAIN_REGRESSION_MARKERS` в `merge_gate.py`
+   (расширяется каждой значимой задачей). **Fail-open** на git-ошибке самого грепа (регресс
+   утверждается только при детерминированном `count==0`); первичный фейл-клозед — SHA-в-main.
+   Kill-switch `regression_guard_enabled` (дефолт `true`); non-self → no-op.
+5. **`.gitattributes CHANGELOG.md merge=union` (FR-4).** В корне репо; авто-слияние правок
+   `## [Unreleased]` без конфликта → `auto_rebase_onto_main` не откатывает ветку и не тащит
+   устаревший код-сосед. `docs/**/*.md` под union **НЕ** ставится (union только для append-only;
+   доки переписываются построчно).
+
+## Инварианты
+
+never-raise на verify/merge/регресс-гарде (ошибка → alert/HOLD, не падение); прод 8500 не
+рестартится/не падает в рамках merge; merge только Gitea PR-API без force-push в `main`; ручной
+`Confirm Deploy` (ORCH-059) сохранён; идемпотентность по «SHA-в-main», а не по «любому merged PR»;
+non-self репо (enduro) — merge/verify/регресс-гард без изменений. `STAGE_TRANSITIONS`, реестр
+`QG_CHECKS`, `check_deploy_status`, схема БД, внешние HTTP-эндпоинты — **без изменений**.
+
+## Альтернативы
+
+- Сохранить PR-флаг как со-критерий verify (с фильтром head/base) — отклонено: PR можно слить и
+  тут же откатить ребейзом-соседом; надёжен только факт «SHA в main».
+- `docs/**/*.md merge=union` — отклонено: тихая дубликация строк в переписываемых доках.
+- Регресс-гард с авто-откатом / хранением маркеров в БД/Plane — отклонено (Не-цель «не менять
+  схему БД/Plane»; реакция ALERT-only).
+- Fail-closed на marker-grep — отклонено: ложный HOLD при git-сбое; marker-grep вторичен.
+
+## Последствия
+
+Невозможно «`done` + прод задеплоен, а code-PR не в `main`». Ложно-зелёный по docs-PR устранён в
+корне. CHANGELOG-конфликты больше не откатывают ветку. Регресс соседнего кода ловится отдельным
+гардом. Минус: при недоступной Gitea/git verify консервативно `False` → возможен ложный HOLD+alert
+(снимается повтором; fail-closed для `done` приоритетен). Набор маркеров требует дисциплины —
+значимая задача дописывает свой маркер.
+
+## Связи
+
+- Amends adr-0013 (ORCH-071), наследует adr-0006 (merge-gate), adr-0011 (job-reaper/lease).
+- Детально: `docs/work-items/ORCH-073/06-adr/ADR-001-merge-verify-sha-truth-and-regression-guard.md`.

docs/architecture/adr/adr-0015-task-deps-and-merge-serialization.md

@@ -0,0 +1,47 @@
+# adr-0015: Зависимости задач + сериализация merge внутри репо
+
+**Статус:** accepted · **Дата:** 2026-06-08 · **Источник:** ORCH-026
+**Связи:** дополняет adr-0006 (merge-gate), adr-0011 (merge-lease + reclaim), adr-0013/0014
+(merge-verify, SHA-in-main), adr-0002 (очередь). Детально —
+`docs/work-items/ORCH-026/06-adr/ADR-001-merge-serialization-and-task-deps.md`.
+
+## Контекст
+
+Эрозия `main` 08.06 родилась из некоординированного параллелизма задач одного репо (ветки от
+устаревшего `main`, фантом-merge затирает соседа). adr-0014 закрыл последствия; ORCH-026 — корень
+на уровне планировщика. Плюс исходный скоуп ORCH-026: декларативные зависимости задач (B ждёт A).
+
+## Решение
+
+**Уровень A — сериализация merge/деплоя (per-repo).** Окно сериализации уже обеспечивается
+merge-lease (adr-0011): захват в `check_branch_mergeable`, удержание до release (PR-merged webhook /
+`deploy→done`=SHA-in-main для self / откат / проактивный reclaim). Это и есть окно
+«merge → main-updated» — **механизм не переписывается**. Добавляется единственное новое поведение:
+**безусловный proactive pre-merge rebase** (флаг `premerge_rebase_always`, дефолт `True`, скоуп
+`merge_gate_repos`): под лизом всегда вызывается `auto_rebase_onto_main` (no-op + «Everything
+up-to-date» на актуальной ветке → CI не триггерится; реальный догон на отстающей). Инвариант:
+никаких push в `main`, force только `--force-with-lease` на ветку.
+
+**Уровень B — декларативные зависимости.** Аддитивная таблица `job_deps(task_id,
+depends_on_task_id)` — **источник истины планировщика** (offline-устойчивость: сетевой Plane в
+горячем claim встанет очередью всех проектов). Источник декларации настраивается
+`task_deps_source = db|plane|hybrid` (дефолт `db`); планировщик всегда читает БД-кэш. Гейт —
+условие `NOT EXISTS` в `claim_next_job` (задача не выбирается, пока есть незавершённая зависимость;
+слот `max_concurrency` не занимается). Циклы — DFS-детектор (`src/task_deps.py`) + `set_issue_blocked`
++ alert. Видимость — строка «⏳ ждёт ORCH-NNN» в Telegram-карточке (Plane Blocked — на дедлоке).
+Зависимости — только intra-repo (v1).
+
+## Альтернативы
+
+Отдельный merge-lock/merge-queue (дублирует adr-0011); расширение release-точек лиза (не нужно —
+окно уже корректно); Plane как источник истины планировщика (self-hosting risk); гейт зависимостей
+в воркере с claim+requeue (churn vs. чистый `NOT EXISTS`); поле в `tasks` вместо таблицы (M:N хуже).
+
+## Последствия
+
+Минимально-инвазивно: `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты (паттерн врезки), переиспользует
+merge-gate/merge-lease целиком. Обе фичи инертны без данных → нулевая регрессия для enduro-trails.
+restart-safe, never-raise, kill-switch на каждую (`premerge_rebase_always`, `task_deps_enabled`).
+Миграция — только аддитивная (`CREATE TABLE/INDEX IF NOT EXISTS`). Ограничение: B v1 — intra-repo.
+Self-hosting safety: изменения идут через `deploy-staging` → `Confirm Deploy`, без внеочередного
+рестарта прода.

docs/architecture/adr/adr-0016-ensure-open-pr-before-merge-verify.md

@@ -0,0 +1,52 @@
+# ADR-0016: ensure_open_pr — гарантированный код-PR перед merge-verify (ORCH-082)
+
+## Статус
+Accepted — амендмент к [adr-0013](adr-0013-merge-verify-gate.md) и
+[adr-0014](adr-0014-merge-verify-sha-source-of-truth.md). Детально:
+`docs/work-items/ORCH-082/06-adr/ADR-001-ensure-open-pr-before-merge-verify.md`.
+
+## Контекст
+Merge-verify (ORCH-071/073) — под-гейт ребра `deploy → done`: детерминированно мержит код-PR в
+`main` (`merge_pr`) и подтверждает merge **только** по «SHA-в-main» (`verify_merged_to_main`,
+ORCH-073). На деплое ORCH-074 (08.06) `merge_pr` вернул `("False", "no open PR")`: у ветки **не
+было** открытого PR с `head==branch` И `base=="main"`. Защита ORCH-073 верно удержала задачу
+(HOLD, не ложный `done`), но это лечило **следствие**.
+
+Первопричина (код-аудит): PR создаётся в конвейере **единственной** функцией
+`launcher._ensure_pr`, вызываемой **только** на developer-пути и **только** при свежем
+worktree-коммите. Любой сценарий без свежего developer-коммита (бойнс без правок, повторный
+прогон, **ручное восстановление ветки/`main`** — случай ORCH-074) оставляет ветку без код-PR.
+Инвариант «к merge-verify у ветки есть открытый код-PR» в конвейере **отсутствовал** → блокер
+автономного деплоя (ORCH-54).
+
+## Решение
+Аддитивно обеспечить инвариант **внутри того же под-гейта**, ПЕРЕД `merge_pr`, не трогая машину
+стадий:
+
+1. **Новый leaf-актор `merge_gate.ensure_open_pr(repo, branch) -> (status, detail)`** (never-raise):
+   `GET …/pulls?state=open` с фильтром **`head.ref==branch` И `base.ref=="main"`** (идентичен
+   `merge_pr`/ORCH-073 FR-3 — авто-docs-PR не считается код-PR) → `("existed", N)`; иначе
+   `POST …/pulls` → `("created", N)`; гонка «PR exists» → повторный GET → `existed` (без дублей);
+   любая ошибка → `("failed", reason)`.
+2. **Врезка в `_handle_merge_verify`** ПОСЛЕ резолва `validated_revision` и ПЕРЕД `merge_pr`:
+   `created|existed` → штатно к `merge_pr`; `failed` → честный HOLD+alert через новый helper
+   `_hold_pr_create_failed` (текст «PR создать не удалось» — отличим от not-merged HOLD), задача
+   остаётся на `deploy`, БЕЗ отката на development.
+3. **Kill-switch `merge_verify_autocreate_pr_enabled`** (дефолт `True`); область —
+   `merge_verify_applies` (self-hosting / `merge_verify_repos`). `False` → поведение ORCH-074 1:1.
+4. **`launcher._ensure_pr`** рекомендуется делегировать в `ensure_open_pr` (единый код создания
+   PR), сохранив прежний триггер «только developer-путь».
+
+## Последствия
+- **Защита ORCH-073 неприкосновенна и приоритетна:** подтверждение merge остаётся ТОЛЬКО
+  `verify_merged_to_main` (SHA-в-main) + `check_main_regression`. Создание PR устраняет лишь
+  **ложный** HOLD «no open PR», но не маскирует реально невлитый код (тот → HOLD как прежде).
+- **Без миграций:** идемпотентность выводится из Gitea (наличие открытого PR), схема БД не меняется
+  — restart-safe; повторный заход (reaper/reconciler/re-approve) → `existed`, дублей нет.
+- **Инварианты целы:** `STAGE_TRANSITIONS`, `QG_CHECKS`, схема БД, `check_deploy_status`,
+  exit-коды хука, merge-gate (ORCH-043), image-freshness (ORCH-058) — без изменений; `main` не
+  push/force-push; never-raise на всём пути.
+- **Наблюдаемость:** один однозначный исход в логах на проход — created / existed / failed; HOLD по
+  failed текстуально отличим от HOLD not-merged.
+- **Минус:** код-PR может создаваться после прохождения гейтов — безопасно, т.к. гейты валидируют
+  код ветки, а merge-verify идёт ПОСЛЕ всех гейтов; PR — лишь механизм слияния, ревью не обходится.

docs/architecture/adr/adr-0017-serial-gate.md

@@ -0,0 +1,59 @@
+# adr-0017: Per-repo serial gate (пакетный автономный режим, serial e2e)
+
+Статус: **proposed** · Дата: 2026-06-09 · Источник: **ORCH-088** (Этап 1)
+Детально: `docs/work-items/ORCH-088/06-adr/ADR-001-serial-gate.md`.
+
+## Контекст
+Цель эпика ORCH-088 — масштаб автономности: накидать вечером 10–20 задач и получить к утру пакет,
+последовательно проведённый через весь конвейер (analysis → … → deploy → done). Корневая проблема —
+**stale-анализ**: ветка задачи N+1 срезается на входе в анализ (`start_pipeline._create_gitea_branch`)
+от `main`, ещё не содержащего код предшественника N. Физическое код-затирание уже закрыто (ORCH-026
+auto_rebase + merge-lease); остаётся **логический** разрыв. Plane API v1 не имеет bulk/relations ⇒
+очередь/зависимости хранятся у оркестратора (gate по локальной БД).
+
+## Решение
+**Per-repo serial gate** — новая задача репо не входит в `analysis` (не режет ветку, не запускает
+analyst), пока в том же репо есть незавершённая задача (`stage != 'done'`) или репо заморожен.
+Три механизма, аддитивно, под kill-switch, с областью репо, never-raise, restart-safe:
+
+1. **Gate-в-claim** (`db.claim_next_job`) — analyst-job (`jobs.agent='analyst'`) применимого репо не
+   выбирается, если `EXISTS` другая незавершённая задача репо ИЛИ активна строка `repo_freeze`. По
+   образцу `task_deps` `NOT EXISTS` (ORCH-026); только локальная БД (offline hot-path). Job'ы уже
+   активной задачи проходят свободно; rework-analyst не блокирует себя (`t2.id != jobs.task_id`).
+2. **Отложенный срез ветки** — для применимого репо `start_pipeline` создаёт task-row + enqueue
+   analyst, но **не** создаёт Gitea-ветку/docs; срез релоцируется на момент claim analyst-job
+   (launcher), когда `origin/main` уже содержит предшественника (`done` ⇔ SHA-в-main, ORCH-071/073).
+   `ensure_worktree` режет от свежего `origin/main` ⇒ AC-6 структурно. Идемпотентно (409 = no-op).
+3. **Durable per-repo freeze** (`repo_freeze`) — post-deploy `DEGRADED`/rollback (ORCH-021) →
+   `set_repo_freeze` + Telegram-алерт; gate закрыт безусловно до **ручного** снятия
+   (`POST /serial-gate/unfreeze`). Деградировавшая задача уже `done` (BR-7) ⇒ нужен отдельный сигнал.
+
+Чистая логика — leaf `src/serial_gate.py` (never-raise). Флаги `serial_gate_enabled` (kill-switch),
+`serial_gate_repos` (CSV; **пусто ⇒ все репо**, в отличие от self-hosting-only ORCH-35/43/58),
+`serial_gate_freeze_enabled`. Наблюдаемость — блок `serial_gate` в `GET /queue`.
+
+## Альтернативы
+- **Гейт в `start_pipeline` + re-trigger при `done`** — больше состояния/путей, риск зависших задач;
+  relocation на claim переиспользует restart-safe `jobs`-очередь.
+- **Freeze как колонка `tasks`** — неверная семантика (freeze per-repo, задача уже `done`).
+- **Self-hosting-only область** — лишает enduro анти-stale-base (FR-3).
+- **Отдельная таблица очереди ожидания** — избыточно; `jobs(queued)`+gate достаточно.
+- **Снятие freeze Plane-жестом** — перегрузка статусов (анти-паттерн ORCH-059).
+
+## Последствия
+- **+** AC-6 закрыт структурно; AC-2/AC-3 «бесплатны» (ожидание = `queued` job без ветки);
+  переиспользование проверенных паттернов; cross-repo параллелизм сохранён; `STAGE_TRANSITIONS` /
+  `QG_CHECKS` / `check_*` / merge-gate / merge-verify / image-freshness / post-deploy / deploy-хук /
+  `max_concurrency` — **без изменений**.
+- **NFR-1:** hot-claim тотальный сбой → **fail-open** (не заклинить очередь всех проектов); freeze в
+  Python-слое → **fail-closed** (безопасность прода).
+- **−** Срез ветки/docs мигрируют из async в sync-путь launcher (обёртка); Blocked-задача держит пакет
+  (Этап 1, осознанно); freeze снимается только вручную.
+- Откат: `serial_gate_enabled=False` ⇒ claim/старт 1:1 как до ORCH-088; таблица `repo_freeze` инертна.
+- **Вне скопа** (Этап 1): merge-очередь FIFO, pre-merge rebase как отдельная фича, фазы A/B/C,
+  любой параллелизм задач внутри одного репо, зависимость от ORCH-83.
+
+## Связи
+- Переиспользует: adr-0002 (очередь ORCH-1), adr-0015 (claim-gate/auto_rebase/merge-lease ORCH-026),
+  adr-0010 (post-deploy monitor — источник DEGRADED), adr-0013/0014 (merge-verify ⇒ `done`⇔SHA-в-main).
+- Новая аддитивная таблица `repo_freeze` (`docs/work-items/ORCH-088/08-data-requirements.md`).

docs/architecture/adr/adr-0018-auto-label-gates.md

@@ -0,0 +1,59 @@
+# ADR-0018: Авто-режим по лейблам — autoApprove / autoDeploy (ORCH-089)
+
+## Статус
+Accepted (реализация — ORCH-089)
+
+## Контекст
+Конвейер имеет два **человеческих** гейта, тормозящих пакетный автономный прогон
+(эпик ORCH-088, «10–20 задач за ночь»):
+1. **BRD** (`analysis`): ждёт ручного Plane-статуса `Approved` → advance на `architecture`.
+2. **Прод-деплой** (`deploy`): Phase A ставит `Awaiting Deploy` и ждёт ручного
+   `Confirm Deploy` (ORCH-059) → Phase B (`initiate_deploy`).
+
+Для доверенных задач оба клика избыточны. Нужно снять **только эти два человеческих
+решения**, выборочно/декларативно (лейбл Plane на задаче), не ослабляя ни одной
+технической проверки.
+
+## Решение
+Аддитивно, по образцу условных под-гейтов (ORCH-035/043/058/059/088): leaf-модуль чистой
+логики `src/labels.py` (never-raise) + точечные врезки + флаги. `STAGE_TRANSITIONS`, реестр
+`QG_CHECKS`, все `check_*`, схема БД — **не трогаются**.
+
+- **`autoApprove`** (лейбл задачи) → в `_handle_analysis_approved_flow` (ветка `files_ok`)
+  после `In Review`+коммента: `set_issue_approved` (индикация) + лог/Telegram/Plane-коммент +
+  `advance_stage(..., finished_agent=None)` — тот же путь, что человеческий Approved
+  (`approved-via-status` → `analysis → architecture` + `mark_brd_review_ended`). Без
+  дублирования переходной логики.
+- **`autoDeploy`** (лейбл задачи) → в `_handle_self_deploy_phase_a` сразу после advance на
+  `deploy` + `clear_state`: лог/Telegram/Plane-коммент + `_handle_self_deploy_phase_b(...)`
+  (idempotency-маркер `INITIATED`, `Deploying`, finalizer). Пропускаются лишь
+  индикативно-человеческие шаги (`Awaiting Deploy` + «ask-human»).
+- **Чтение лейблов** — `plane_sync.fetch_issue_labels` + `get_project_labels` (TTL-кэш,
+  образец `get_project_states`); сопоставление по нормализованному имени; источник истины —
+  Plane API (не payload). Новый сеттер `set_issue_approved` (ключ `approved` уже в states).
+- **Флаги:** `auto_label_enabled` (kill-switch), `auto_approve_label`/`auto_deploy_label`
+  (имена), `auto_label_repos` (CSV; **пусто → self-hosting only**), `auto_label_states_ttl_s`.
+  `applies(repo)` (локальный) проверяется ПЕРВЫМ; `has_label` (сеть) — только если
+  `applies==True` → при выключенном флаге нулевой сетевой оверхед.
+
+## Критические инварианты
+- **Авто-режим снимает ТОЛЬКО человеческое решение**, не ослабляя ни один тех-гейт
+  (CI / staging / security / merge-gate / image-freshness / merge-verify / regression-guard /
+  post-deploy). autoDeploy живёт в точке, где все под-гейты ребра `deploy-staging → deploy`
+  уже зелёные → структурно «никогда не деплоит сломанное».
+- **Fail-safe (never auto):** любая ошибка/недоступность Plane/неоднозначность имени →
+  «нет авто» → ручной гейт (согласовано с fail-closed-практикой ORCH-059). never-raise.
+- **Нулевая регрессия:** без лейблов / `auto_label_enabled=False` / репо вне scope →
+  поведение 1:1 как до ORCH-089 (enduro не затронут).
+- **Идемпотентность:** autoApprove — advance применяется один раз (поздний Approved/F-2
+  видят уже `architecture`); autoDeploy — маркер `INITIATED`.
+
+## Последствия
+**+** минимальная поверхность, единый источник истины перехода, декларативно/обратимо,
+независимые лейблы, безопасный дефолт. **−** Approved-статус транзиентен (durable-аудит —
+лог/Telegram/коммент); 1–2 GET к Plane на гейт применимого репо (TTL-кэш карты лейблов);
+требуется однократно создать лейблы в Plane-проекте ORCH (инфра-предусловие; их отсутствие =
+fail-safe ручной режим).
+
+Детально: `docs/work-items/ORCH-089/06-adr/ADR-001-auto-label-gates.md`,
+`07-infra-requirements.md`, `10-tech-risks.md`.

docs/architecture/adr/adr-0019-pipeline-docs-standard.md

@@ -0,0 +1,49 @@
+# adr-0019: Стандарт документов пайплайна (docs/_standards + docs/_templates + ADR-naming)
+
+Статус: **proposed** · Дата: 2026-06-09 · Источник: **ORCH-075** (ORCH-52b, слой 1 эпика ORCH-52)
+Детально: `docs/work-items/ORCH-075/06-adr/ADR-001-pipeline-docs-standard.md`.
+
+## Контекст
+Агенты всех ролей пишут номерные доки work item (`00…17`) «по памяти»; каталогов
+`docs/_standards/` и `docs/_templates/` нет. Следствия: разнобой структуры между задачами; риск
+рассинхрона критичных frontmatter-ключей машинных доков (`verdict:` / `result:` / `deploy_status:` /
+`staging_status:` / `security_status:`), которые читает гейт; отсутствует целостная карта «стадия →
+агент → документ → гейт». Эпик ORCH-52 слоист: слой 1 (52b) фиксирует **договорённость**, машинная
+проверка/валидатор — отдельный слой 52c.
+
+## Решение
+**Документационный стандарт, docs-only, выведенный из фактического кода и эталонных доков:**
+
+1. `docs/_standards/PIPELINE_DOCS.md` — манифест-карта «стадия → документ → владелец-агент →
+   категория (`required`/`when-applicable`/`optional`) → гейт/механизм → frontmatter machine-key».
+   Манифест **документирует** поведение гейтов (источник истины остаётся `src/`), честно различает
+   machine-verdict доки (`12,13,14,15,17`) и информационные (`00,08,10,16`), и помечает под-гейты
+   ребра `deploy-staging→deploy` (security/merge/image-freshness) как врезки в `advance_stage`, а не
+   строки `STAGE_TRANSITIONS`.
+2. `docs/_templates/*` — копируемые скелеты для каждого `required`/`when-applicable` дока; секции
+   выведены из эталонов (ORCH-088/073/089/071), новые не изобретаются; машинные доки несут точный
+   frontmatter-ключ из ground-truth.
+3. **ADR-naming** канонизирован: `docs/work-items/<plane-id>/06-adr/ADR-NNN-<kebab-slug>.md` (NNN с
+   `001`); кросс-каттинговые решения дублируются в этот глобальный реестр `adr-NNNN-<slug>.md`.
+
+Подключение — ссылки из `CLAUDE.md` и `docs/architecture/README.md` + запись в `CHANGELOG.md`.
+
+## Альтернативы
+- Сразу валидатор на гейте — отвергнуто (ORCH-52c; нарушил бы docs-only/NFR-1, групповой риск).
+- Манифест как источник истины гейтов — отвергнуто (дубль-истина «манифест ≠ код»).
+- Шаблоны в `docs/work-items/_template/` — отвергнуто (риск для сканеров/гейтов наличия файлов).
+- Ретро-фит истории доков — отвергнуто (вне scope, отдельный риск).
+
+## Последствия
+- **+** Единый golden source структуры доков; меньше ложных падений гейтов из-за неверного
+  frontmatter-ключа; ADR-naming записан; база для ORCH-52c.
+- **+ Нулевой рантайм-риск:** только `docs/**` + `CLAUDE.md` + `CHANGELOG.md`; `STAGE_TRANSITIONS` /
+  `QG_CHECKS` / `check_*` / `src/stage_engine.py` / схема БД — без изменений; полностью обратимо.
+- **−** Манифест — снимок поведения гейтов, дрейфует до ORCH-52c (митигейшн: источник истины — код,
+  reviewer-правило, привязка к именам `check_*`); стандарт описательный, не принуждающий.
+
+## Связи
+- Источник: ORCH-075 (`docs/work-items/ORCH-075/06-adr/ADR-001-pipeline-docs-standard.md`).
+- Документирует (не меняет): adr-0003/0006/0008/0012/0013/0014/0016 (гейты и под-гейты ребра),
+  `STAGE_TRANSITIONS` (`src/stages.py`), `QG_CHECKS` (`src/qg/checks.py`).
+- Downstream: ORCH-52c (frontmatter-валидатор / writer-контракт), ORCH-52d (правка промптов).

docs/architecture/adr/adr-0020-frontmatter-contract.md

@@ -0,0 +1,63 @@
+# adr-0020: Единый frontmatter-контракт + спека handoff (reader/writer/валидатор)
+
+Статус: **Accepted** · Дата: 2026-06-09 · Источник: **ORCH-076** (ORCH-52c)
+Детально: [`docs/work-items/ORCH-076/06-adr/ADR-001-frontmatter-contract.md`](../../work-items/ORCH-076/06-adr/ADR-001-frontmatter-contract.md)
+
+## Контекст
+
+Слой 1 эпика ORCH-52 (ORCH-075/52b) дал **описательный** стандарт документов
+(`docs/_standards/PIPELINE_DOCS.md`), явно отложив машинную проверку на ORCH-52c. В коде:
+`src/frontmatter.py` — только single-key reader (never-raise), а ~10-строчный блок парсинга
+YAML-frontmatter **продублирован** в 5 вердикт-парсерах (`check_reviewer_verdict`,
+`_parse_tests_verdict`, `_parse_deploy_status`, `_parse_staging_status`, `parse_security_status`)
++ в `_strip_frontmatter`/`extract_security_findings`. Единого контракта чтения, writer'а, схемы
+и формальной спеки handoff — нет. Эти парсеры читают вердикты **на гейтах self-hosting**
+инструмента, обслуживающего прод других проектов из общего инстанса → любой регресс = стоп
+конвейера всех проектов.
+
+## Решение
+
+1. **`src/frontmatter.py` → полный frontmatter-контракт** (функции в существующем leaf-модуле,
+   контракт **never-raise**): сохранённый `read_frontmatter_value` (без изменений) + единый
+   парс-примитив `parse_frontmatter(content) -> FrontmatterParse` (единственная точка
+   YAML-логики, структура различает no-block / malformed / yaml-error / data) + `render_/
+   write_frontmatter` (writer) + `validate_schema` (обязательная схема
+   `work_item, stage, author_agent, status, created_at, model_used`) + `strip_frontmatter`.
+2. **Унифицируется механизм парсинга, НЕ семантика.** Все 5 вердикт-парсеров читают YAML через
+   `parse_frontmatter`; token-наборы, upper-casing, приоритет негативного токена, 3-полевой
+   контракт tester'а (ORCH-047), fallback `worktree→origin/main` — **1:1**. Сигнатуры и
+   `tuple[bool, str]` — неизменны. Reason-строки переносятся дословно.
+3. **Валидатор не hard-fail по умолчанию.** Флаг `frontmatter_validation_strict` (env
+   `ORCH_FRONTMATTER_VALIDATION_STRICT`, дефолт `False`): default — warning/лог, **вне
+   вердикт-пути гейтов** (нулевая регрессия); hard-fail — зарезервированный strict-режим
+   (включение — с ORCH-52d). Иначе ORCH-52c заблокировала бы собственный деплой.
+4. **Формальная спека handoff** `docs/_standards/HANDOFF_PROTOCOL.md` — «стадия → обязательный
+   выход» (документы + frontmatter-ключи), согласована 1:1 с `PIPELINE_DOCS.md` §2–§3; источник
+   истины — код. `PIPELINE_DOCS.md` обновляется ссылкой + отметкой о реализации машинного слоя.
+5. **Без изменений** `STAGE_TRANSITIONS`, состава `QG_CHECKS`, API, схемы БД.
+
+## Альтернативы
+
+- Общий «умный» verdict-резолвер (поле+токены для всех гейтов) — отклонён: различия token-логики
+  → риск тонкого регресса на гейте при self-hosting. Унифицируем только парс YAML.
+- Класс/новый пакет — отклонён: состояния нет, лишний blast radius.
+- Hard-fail валидатор по умолчанию — отклонён (NFR-3: self-block собственного деплоя).
+- Сторонняя `python-frontmatter` — отклонена: лишняя зависимость ради ~30 строк.
+
+## Последствия
+
+- **+** Конец дублирования/рассинхрона парсинга; writer+валидатор+схема готовы к ORCH-52d;
+  спека handoff закрывает пробел контракта стадий.
+- **+** Нулевая регрессия по построению: семантика и reason-строки 1:1, валидатор инертен при
+  дефолте, never-raise сохранён, enduro 1:1.
+- **−** Унификация частичная (парс, не семантика); strict-режим «спящий» до ORCH-52d.
+- **Обратимость:** `frontmatter_validation_strict=False` ⇒ прежнее поведение; перевод гейтов
+  поведенчески инвариантен.
+- **Риск:** первый боевой `autoDeploy` орка (ORCH-089) — наблюдение за стадией `deploy`
+  (`docs/work-items/ORCH-076/10-tech-risks.md`).
+
+## Связи
+
+- Опирается: adr-0019 (pipeline-docs-standard, ORCH-075), ORCH-016 (reader), ORCH-047
+  (3-полевой tester), adr-0012 (security-гейт), adr-0018 (auto-label/`autoDeploy`).
+- Готовит: ORCH-52d (эмиссия полной схемы агентами; возможное включение strict).

docs/architecture/adr/adr-0021-prompt-canon-anthropic.md

@@ -0,0 +1,84 @@
+# adr-0021: Канон Anthropic для системных промптов агентов + эмиссия frontmatter-схемы 52c
+
+- **Статус:** proposed
+- **Дата:** 2026-06-09
+- **Источник:** ORCH-077 (эпик ORCH-52, слой 52d — замыкающий)
+- **Связи:** реализует слой промптов к adr-0019 (52b, PIPELINE_DOCS) и adr-0020 (52c,
+  frontmatter-контракт). Детально — `docs/work-items/ORCH-077/06-adr/ADR-001-anthropic-prompt-canon.md`.
+
+## Контекст
+
+Эпик ORCH-52 строит сквозной контракт документации конвейера: **52b** (adr-0019) — описательный
+стандарт документов + скелеты `docs/_templates/`; **52c** (adr-0020) — машинный контракт
+`src/frontmatter.py` (reader/writer/валидатор `REQUIRED_FIELDS`) + спека `HANDOFF_PROTOCOL.md` с
+обязательной 6-польной схемой `(work_item, stage, author_agent, status, created_at, model_used)`.
+
+Две незакрытые проблемы:
+1. **Цепочка 52b→52c→52d разорвана.** Writer и валидатор схемы есть, но работают warning-only
+   (`frontmatter_validation_strict=False`); агенты **не эмитят** поля схемы — на входе валидатора нет
+   данных, петля не замкнута.
+2. **Форма 6 промптов `.openclaw/agents/*.md` разнородна** (RU/EN, свободная структура) → снижает
+   предсказуемость агентов прода, которые исполняются на КАЖДОЙ задаче ВСЕХ проектов из общего
+   инстанса (self-hosting).
+
+Факт загрузки (сверено `src/agents/launcher.py`): промпт `cat`-ается из git-worktree агента в момент
+запуска (`--system-prompt "$(cat .openclaw/agents/<role>.md)"`), НЕ запекается в образ.
+
+## Решение
+
+Ввести **обязательный канон формы** для всех агент-промптов и сделать его машинно-проверяемым.
+
+1. **Фиксированный XML-скелет (5 обязательных секций, нормативный порядок):**
+   `<context>` → `<task>` (+ опц. `<thinking>`) → `<deliverables>` → `<constraints>` →
+   `<output_format>`. Доп. секции (`<success_criteria>`, `<escalation>`) — после. Контекст/роль
+   вперёд, формат вывода последним (recency для следования схеме).
+2. **Аддитивная эмиссия схемы 52c.** `<output_format>` каждого промпта перечисляет 6 полей схемы с
+   роле-специфичными значениями и инструктирует ставить их **рядом** с существующим machine-verdict
+   ключом, **не меняя его имя/регистр/значения** (`verdict:`, `result:`, `staging_status:`,
+   `deploy_status:`, `security_status:` — байт-в-байт). Для `04-test-plan.yaml` (чистый YAML) — как
+   top-level ключи. Гейты читают вердикты как раньше (схема в boolean-вердикте не участвует).
+3. **Few-shot + позитивные альтернативы.** Ссылки на `docs/_templates/` и эталоны (ORCH-073/088);
+   каждый запрет в формате «❌ X → ✅ Y».
+4. **CoT/thinking** у решающих ролей (architect/reviewer/tester/deployer).
+5. **Анти-регресс машинно.** Структурные тесты `tests/test_agent_prompts_canon.py` (без запуска
+   агентов): 5 секций, 6 полей схемы, точный регистр machine-verdict ключей, ключевые
+   self-hosting-маркеры (deployer: `docker exec orchestrator-staging`, `pr_already_merged`,
+   «не рестартить 8500»). `test_agent_frontmatter_no_model.py` остаётся зелёным.
+6. **Enforcement не включается.** `frontmatter_validation_strict` остаётся `False` (warning-only);
+   52d учит эмитить добровольно. Hard-fail — отдельная будущая задача.
+
+**Границы:** docs/prompts-only. `src/**` (config, launcher, frontmatter, stages, qg/checks,
+stage_engine), `STAGE_TRANSITIONS`, `QG_CHECKS`, состав machine-verdict ключей, схема БД, `tools:`-блок
+промптов — **не трогаются**.
+
+**Норматив на будущее:** любая новая правка/добавление агент-промпта следует этому канону (5 секций +
+аддитивная схема + ❌→✅). Отступление требует нового ADR.
+
+## Альтернативы
+
+- **Сразу включить hard-fail схемы.** Отвергнуто: правка `src/config.py` вне scope; для self-hosting
+  рискованно (забытое поле валит гейт всех проектов). Сначала эмиссия, enforcement — позже.
+- **Канон как рекомендация, не норма.** Отвергнуто: теряется машинная проверяемость, эпик требует
+  контракт.
+- **Запечь промпты в образ.** Отвергнуто: противоречит loading-model (cat из worktree), добавило бы
+  прод-рестарт-зависимость.
+
+## Последствия
+
+- **+** Петля 52 замкнута: схема наполняется реальными данными на каждой стадии всех проектов.
+- **+** Единый предсказуемый канон; правки промптов вступают в силу **без прод-рестарта** (следующий
+  worktree от `main`) → нулевой self-hosting-риск выкатки.
+- **+** Естественный in-vivo A/B: reviewer/tester задачи исполняются под новыми промптами в той же
+  ветке (метод BR-6).
+- **−** Рост объёма промптов (митигейшн: ссылки вместо инлайна, контроль объёма).
+- **−** Риск регресса инструкции (митигейшн: построчная карта + структурные тесты + приоритетный
+  review deployer/reviewer).
+- **Откат:** `git revert` PR — свободная форма возвращается, эмиссия прекращается, гейты идентичны.
+
+## Связи
+- Реализует: adr-0019 (52b), adr-0020 (52c).
+- Per-work-item: `docs/work-items/ORCH-077/06-adr/ADR-001-anthropic-prompt-canon.md`.
+- Стандарты: `docs/_standards/PIPELINE_DOCS.md`, `docs/_standards/HANDOFF_PROTOCOL.md`,
+  `src/frontmatter.py::REQUIRED_FIELDS`.
+- Сверено по коду: `src/agents/launcher.py`, `Dockerfile`,
+  `src/config.py::frontmatter_validation_strict`, `tests/test_agent_frontmatter_no_model.py`.

docs/architecture/adr/adr-0022-traceability-marker-standard.md

@@ -0,0 +1,106 @@
+---
+work_item: ORCH-078
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# adr-0022: Стандарт маркеров-трассировки `ORCH-NNN` + правило чтения ADR перед правкой
+
+- **Статус:** proposed
+- **Дата:** 2026-06-09
+- **Источник:** ORCH-078 (эпик ORCH-52, слой 52e — трассировка, слой 4)
+- **Связи:** продолжает цепочку стандартов эпика 52 — adr-0019 (52b, `PIPELINE_DOCS.md`),
+  adr-0020 (52c, frontmatter-контракт), adr-0021 (52d, канон промптов). Детально —
+  `docs/work-items/ORCH-078/06-adr/ADR-001-traceability-marker-standard.md`.
+
+## Контекст
+
+Эпик ORCH-52 строит сквозной контракт документации конвейера: **52b** (adr-0019) — описательный
+стандарт документов + скелеты; **52c** (adr-0020) — машинный frontmatter-контракт + `HANDOFF_PROTOCOL.md`;
+**52d** (adr-0021) — 6 промптов в каноне Anthropic + добровольная эмиссия 52c-схемы. Закрыты слои
+структуры (52b), машинного вердикта (52c) и формы промптов (52d), но **слой трассировки кода к
+решениям не формализован**.
+
+Факты, сверенные с кодом `main`:
+- В `src/` живёт **51 уникальный** маркер `ORCH-NNN` (`grep -rhoE 'ORCH-[0-9]+' src/ | sort -u | wc -l`),
+  привязывающий нетривиальные инварианты к породившему их work item — **сложившаяся практика без
+  формального стандарта** (`docs/_standards/` несёт лишь `PIPELINE_DOCS.md`/`HANDOFF_PROTOCOL.md`).
+- Высокая плотность: `config.py`=63, `stage_engine.py`=55, `agents/launcher.py`=50, `plane_sync.py`=48,
+  `merge_gate.py`=26 вхождений.
+
+Три незакрытые проблемы:
+1. **Нет правила чтения.** Агент, правя маркированную строку, не обязан прочитать ADR, который её
+   ввёл → риск молча сломать инвариант. Это класс «фантомного merge»
+   (`docs/history/LESSONS_2026-06-08_phantom-merge.md`), породившего ORCH-071/073.
+2. **Reviewer не контролирует соблюдение** — ось «Соответствие ADR» проверяет ADR текущей задачи, не
+   сверку правки чужого маркированного кода с его ADR.
+3. **Анти-археология** — блок с 50+ маркерами = раскопки по 4+ work item.
+
+## Решение
+
+Ввести **нормативный стандарт маркеров-трассировки** `docs/_standards/TRACEABILITY.md` (слой 4 эпика
+52) и точечно дополнить промпты правилом чтения / контролем соблюдения **со ссылкой на единый
+источник**. Это **docs + prompts-only**, нулевое касание кода; стандарт — описательно-нормативный
+документ + анти-регресс-тест промптов, **не машинный гейт конвейера**.
+
+1. **`TRACEABILITY.md`** кодифицирует существующий контракт (не вводит новый синтаксис): определение
+   маркера, формат (inline-комментарий, рекомендуется ссылка на решение), правило размещения (рядом с
+   нетривиальным инвариантом), чтение истории **с реальным проверяемым примером**
+   (`src/serial_gate.py` → ORCH-088 → `ADR-001-serial-gate.md`), fallback-доступ, анти-археология,
+   каноничный текст правила чтения.
+2. **Единый источник истины правила.** Каноничная формулировка живёт только в `TRACEABILITY.md`;
+   промпты несут короткую врезку-**ссылку**, не копию → нет дрейфа между файлами (анти-дубль 52d).
+3. **Точечные врезки (аддитивно, 52d-канон не переписывается):** `developer.md` — правило чтения +
+   fallback-доступ («❌ X → ✅ Y»); `architect.md` — правило чтения + анти-археология; `reviewer.md` —
+   усиление оси «Соответствие ADR» под-пунктом «правка маркированного кода сверена с его ADR; слом →
+   finding ≥P1».
+4. **Анти-археология:** блок с **≥3** маркерами → одна сводная ссылка на сквозной ADR
+   (`docs/architecture/adr/`) вместо перечисления всех work item. Пример: `src/merge_gate.py` →
+   `adr-0006/0013/0014/0016`.
+5. **Fallback-доступ:** `git show origin/main:docs/work-items/ORCH-NNN/06-adr/ADR-001-<slug>.md` —
+   когда папки нет в текущей ветке.
+6. **Анти-регресс машинно:** расширение `tests/test_agent_prompts_canon.py` (tests-only) — утверждает
+   присутствие reading-rule/`TRACEABILITY`-маркеров; существующие проверки 52d и
+   `test_agent_frontmatter_no_model.py` остаются зелёными.
+
+**Границы:** `src/**`, `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, `_parse_*`, `src/frontmatter.py`,
+схема БД — **не трогаются**. `frontmatter_validation_strict` остаётся `False`; новый QG не вводится.
+Массовый ретро-фит 51 существующего маркера **вне объёма** — стандарт действует «на будущее».
+
+**Норматив на будущее:** новый/правимый значимый инвариант → ставь маркер своей задачи рядом; блок с
+3+ маркерами → сводный сквозной ADR; правка чужого маркера → читай его `06-adr` до изменения.
+
+## Альтернативы
+
+- **Машинный гейт/CI-lint маркеров.** Отвергнуто: правка `src/`/CI вне scope; для self-hosting
+  рискованно (ложный fail валит конвейер всех проектов); премэйчур до описательного стандарта.
+  Enforcement — потенциальная будущая задача (как hard-fail схемы в adr-0021).
+- **Массовый ретро-фит 51 маркера.** Отвергнуто: огромный диф, риск регресса смысла, вне объёма.
+- **Копировать правило в каждый промпт.** Отвергнуто: дрейф между файлами, нарушение анти-дубль.
+- **Только per-work-item ADR без глобального.** Отвергнуто: рвёт цепочку эпика 52 (52b/c/d имеют
+  глобальный ADR); нет точки входа для будущих агентов.
+
+## Последствия
+
+- **+** Замкнут слой 4 эпика 52: практика маркеров формализована, правило чтения защищает от слома
+  инвариантов; reviewer получает ось контроля.
+- **+** Единый источник правила → нет дрейфа; обновление в одном файле.
+- **+** Self-hosting без рестарта: промпт `cat`-ается из worktree → правило действует на следующем
+  worktree от `main` без рестарта 8500.
+- **+** Полная обратимость: чисто текстовое изменение, нет миграций/состояния/kill-switch.
+- **−** Рост объёма 3 промптов (митигейшн: короткие врезки-ссылки).
+- **−** Стандарт нормативен, но не enforced машинно → соблюдение на дисциплине + ревью (осознанный
+  компромисс).
+- **Откат:** `git revert` PR — стандарт удаляется, врезки исчезают, поведение кода/гейтов идентично.
+
+## Связи
+- Продолжает: adr-0019 (52b), adr-0020 (52c), adr-0021 (52d).
+- Per-work-item: `docs/work-items/ORCH-078/06-adr/ADR-001-traceability-marker-standard.md`.
+- Стандарты-соседи: `docs/_standards/PIPELINE_DOCS.md`, `docs/_standards/HANDOFF_PROTOCOL.md`,
+  будущий `docs/_standards/TRACEABILITY.md` (создаёт стадия development).
+- Сверено по коду: `src/serial_gate.py:241,269` (ORCH-088), `src/merge_gate.py` (26 маркеров),
+  `tests/test_agent_prompts_canon.py`, `.openclaw/agents/{developer,architect,reviewer}.md`.
+- Прецедент класса ошибки: `docs/history/LESSONS_2026-06-08_phantom-merge.md`.

docs/architecture/adr/adr-0023-overview-docs-reviewer-axis-and-epic52-close.md

@@ -0,0 +1,98 @@
+---
+work_item: ORCH-079
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# adr-0023: Reviewer-ось «обзорные доки» (README-ограничения) + закрытие эпика ORCH-52
+
+- **Статус:** proposed
+- **Дата:** 2026-06-09
+- **Источник:** ORCH-079 (эпик ORCH-52, слой 52f — обзорные доки, слой 5/финал)
+- **Связи:** замыкает цепочку стандартов эпика 52 — adr-0019 (52b, `PIPELINE_DOCS.md`),
+  adr-0020 (52c, frontmatter-контракт), adr-0021 (52d, канон промптов), adr-0022 (52e,
+  трассировка маркеров). Детально — `docs/work-items/ORCH-079/06-adr/ADR-001-readme-sync-and-reviewer-overview-docs-axis.md`.
+
+## Контекст
+
+Эпик ORCH-52 строит сквозной контракт «документация = golden source наравне с кодом» слоями:
+**52b** (adr-0019) — описательный стандарт документов + скелеты; **52c** (adr-0020) — машинный
+frontmatter-контракт + `HANDOFF_PROTOCOL.md`; **52d** (adr-0021) — 6 промптов в каноне Anthropic +
+добровольная эмиссия 52c-схемы; **52e** (adr-0022) — стандарт трассировки маркеров + reviewer-ось
+«соответствие ADR». Закрыты слои структуры, машинного вердикта, формы промптов и трассировки кода —
+но **обзорная витрина проекта (корневой `README.md`) не охвачена**.
+
+Факты, сверенные с кодом `main`:
+- Секция `README.md` «Известные ограничения» (`:236–241`) имеет битую нумерацию (`1,2,3,4,3,4`) и
+  **выдаёт решённое за открытое**: worktree-гонки (закрыто `ensure_worktree` + ORCH-026/088),
+  in-process daemon (закрыто очередью ORCH-1), «Gitea CI не настроен» (опровергнуто `check_ci_green`,
+  `src/qg/checks.py:82`), «no retry» (опровергнуто backoff/breaker в `queue_worker.py`), плюс
+  устаревшие issue-ID (зрелый `plane_sync` ORCH-010/066/068) и Playwright-timeout (неприменим к
+  pytest-сервису; реальный механизм — watchdog ORCH-7).
+- **Процессный пробел:** reviewer (ось «Документация») проверяет обновление *конвейерных* доков, но
+  **обзорные** разделы (README «Известные ограничения») в правиле не названы → витрина копит
+  рассинхрон, т.к. закрытие ограничения не обязывает автора снять пункт.
+
+## Решение
+
+Закрыть слой 5 (финал) эпика 52: **синхронизировать обзорные доки с кодом по факту** и добавить
+reviewer'у **нормативную под-ось «обзорные доки»** (по образцу оси трассировки 52e). Это **docs +
+prompt-only**, нулевое касание кода; правило — описательно-нормативное, **не машинный гейт**.
+
+1. **Reviewer-ось «обзорные доки» (cross-cutting).** В `.openclaw/agents/reviewer.md` ось 4
+   «Документация» + `<constraints>` несут точечную врезку «❌→✅»: *PR закрыл пункт README «Известные
+   ограничения», README не обновлён → finding*. Severity **≥ P1**; при закрытии ограничения правкой
+   `src/` без обновления README — совпадает с существующим **P0** «`src/` изменён, доки не обновлены».
+   Канон 52d (5 секций, формат запретов, `<thinking>`), 6 полей схемы 52c и ключ
+   `verdict: APPROVED|REQUEST_CHANGES` — байт-в-байт.
+2. **Витрина приведена к коду (NFR-3).** Все 6 устаревших пунктов сняты/перенесены в «Закрыто
+   (история)» с ORCH-ссылками; в «открытых» остаются ТОЛЬКО реально открытые, верифицированные
+   кодом/задачей; нумерация сквозная. Запрет на изобретение ограничений (только уже
+   задокументированные known-limitations — анти-scope-creep).
+3. **Точечная сверка** `README.md` / `docs/architecture/README.md` с `src/` (стадии/`QG_CHECKS`/
+   модели-эффорты/компоненты), минимально инвазивно.
+4. **Анти-регресс машинно:** расширение `tests/test_agent_prompts_canon.py` (tests-only) — assert
+   присутствия оси обзорных доков; проверки 52d и `test_agent_frontmatter_no_model.py` зелёные.
+
+**Границы:** `src/**`, `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, `_parse_*`, `src/frontmatter.py`,
+схема БД — **не трогаются**. `frontmatter_validation_strict` остаётся `False`; новый QG не вводится.
+
+### Эпик ORCH-52 — закрыт (карта слоёв)
+
+| Слой | Задача | Глобальный ADR | Артефакт |
+|------|--------|----------------|----------|
+| 52b — структура доков | ORCH-075 | adr-0019 | `docs/_standards/PIPELINE_DOCS.md` + `_templates/` |
+| 52c — машинный frontmatter | ORCH-076 | adr-0020 | `src/frontmatter.py` + `HANDOFF_PROTOCOL.md` |
+| 52d — канон промптов | ORCH-077 | adr-0021 | 6 промптов `.openclaw/agents/*.md` |
+| 52e — трассировка маркеров | ORCH-078 | adr-0022 | `docs/_standards/TRACEABILITY.md` |
+| **52f — обзорные доки** (финал) | **ORCH-079** | **adr-0023** | `README.md` + reviewer-ось |
+
+## Альтернативы
+- **Машинный enforcement (новый QG «README актуален»).** Отвергнуто: вне scope; для self-hosting
+  ложный fail валит конвейер всех проектов; правило остаётся нормативным, как 52e. Enforcement —
+  возможная будущая задача (как hard-fail схемы 52c).
+- **Отдельный `docs/_standards/` для правила обзорных доков.** Отвергнуто: одно правило, один
+  артефакт (README) — врезки в промпт достаточно; новый стандарт-файл избыточен.
+- **Только per-work-item ADR.** Отвергнуто: рвёт цепочку эпика 52 (52b–e имеют глобальный ADR); нет
+  явной точки «эпик 52 закрыт».
+
+## Последствия
+- **+** Витрина проекта честна; самоподдерживающаяся синхронность (reviewer-ось).
+- **+** Эпик 52 формально закрыт сквозным ADR — единая точка входа для будущих агентов.
+- **+** Self-hosting без рестарта: промпт `cat`-ается из worktree → правило с следующего worktree
+  от `main` без рестарта 8500.
+- **+** Полная обратимость: чисто текстовое изменение, нет миграций/состояния/kill-switch.
+- **−** Правило нормативно, не enforced машинно → дисциплина + ревью (осознанный компромисс).
+- **−** Рост `reviewer.md` на короткую врезку (митигейшн: точечность, без переписывания).
+- **Откат:** `git revert` PR — доки/промпт/тест откатываются, поведение кода/гейтов идентично.
+
+## Связи
+- Замыкает: adr-0019 (52b), adr-0020 (52c), adr-0021 (52d), adr-0022 (52e).
+- Per-work-item: `docs/work-items/ORCH-079/06-adr/ADR-001-readme-sync-and-reviewer-overview-docs-axis.md`.
+- Сверено по коду: `src/agents/launcher.py` (`ensure_worktree`, `_resolve_timeout`),
+  `src/queue_worker.py` (backoff/breaker), `src/qg/checks.py:82,381`, `src/plane_sync.py:451,541`,
+  `README.md:236–241`, `.openclaw/agents/reviewer.md`, `tests/test_agent_prompts_canon.py`.
+</content>

docs/architecture/adr/adr-0024-disk-watchdog.md

@@ -0,0 +1,59 @@
+---
+work_item: ORCH-063
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# adr-0024: Disk-watchdog — фоновый heartbeat-демон мониторинга заполнения хост-ФС
+
+> Сквозной (cross-cutting) ADR: вводит **новый фоновый компонент** оркестратора в ряду
+> `reconciler` (adr-0007) и `job_reaper` (adr-0011). Детальное решение задачи —
+> `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md`.
+
+## Статус
+Proposed (ORCH-063)
+
+## Контекст
+07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь self-hosting-конвейер** (один
+прод-инстанс `orchestrator` обслуживает все прод-проекты из общей БД/очереди). Проактивного сигнала
+о заполнении диска у системы не было. Оркестратор уже имеет два проверенных фоновых daemon-потока с
+единым каркасом (`threading.Thread(daemon=True)` + `threading.Event`, `start/stop/status`,
+never-raise, снимок в `GET /queue`): `reconciler` (ORCH-053) и `job_reaper` (ORCH-065). Новый
+эксплуатационный watchdog логично встроить тем же паттерном.
+
+## Решение
+Вводится третий фоновый компонент **disk-watchdog** (`src/disk_watchdog.py`):
+- **Калька каркаса** `reconciler`/`reaper`: daemon-поток, чистый stop через `_stop.wait(interval)`,
+  контракт `start()`/`stop(timeout)`/`status()`, старт/стоп в `main.lifespan` (старт последним —
+  после `reaper.start()`; стоп первым в reverse-порядке), наблюдаемость — аддитивный блок
+  `disk_monitor` в `GET /queue`.
+- **Замер** заполнения **хост-ФС** через смонтированные bind-пути (`/repos`, `/app/data`) stdlib
+  `shutil.disk_usage` (не overlay `/` контейнера, не субпроцесс `df`); дедуп путей по `st_dev`.
+- **Решение об алерте** — pure-функция от `(used_pct, threshold, prev_state, now, realert_s)`:
+  алерт на пересечении порога (дефолт 85%), ограниченный cooldown-повтор, recovery при возврате
+  ниже порога. Состояние анти-спама — in-memory (без миграции БД).
+- **Алерт** — `send_telegram` (notifying), best-effort. Kill-switch `disk_monitor_enabled`.
+- **Только сигнал, не лечение:** watchdog читает и уведомляет, не трогает диск/контейнер, не
+  рестартит прод (self-hosting безопасность). Авто-очистка диска — отдельная задача.
+
+**Инварианты:** `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, схема БД — **не меняются**
+(watchdog — эксплуатационный демон, не Quality Gate, как `reconciler`/`reaper`). never-raise на
+уровнях per-path / per-tick / per-send. При выключенном kill-switch — поведение 1:1 как сейчас
+(нулевая регрессия для enduro-trails).
+
+## Последствия
+- **+** Ранний сигнал предотвращает групповой простой всех проектов; дёшево, без внешних
+  зависимостей (принцип «всё в Docker на одном сервере, минимум зависимостей»).
+- **+** Знакомый паттерн фонового демона → низкий риск, простое сопровождение.
+- **−** In-memory состояние / best-effort Telegram — допустимы для раннего сигнала (не SLA).
+- **Откат:** `ORCH_DISK_MONITOR_ENABLED=false`; миграций БД нет.
+
+## Ссылки
+- Задачный ADR: `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md`
+- Родственные компоненты: [adr-0007-reconciler.md](adr-0007-reconciler.md),
+  [adr-0011-job-reaper-lease-reclaim.md](adr-0011-job-reaper-lease-reclaim.md)
+- Топология host-разделов: `docs/operations/INFRA.md`
+</content>

docs/architecture/adr/adr-0025-build-cache-pruner.md

@@ -0,0 +1,86 @@
+---
+work_item: ORCH-062
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# adr-0025: Build-cache-pruner — фоновый heartbeat-демон авто-уборки docker build cache на хосте
+
+> Сквозной (cross-cutting) ADR: вводит **новый фоновый компонент** оркестратора в ряду
+> `reconciler` (adr-0007), `job_reaper` (adr-0011) и `disk_watchdog` (adr-0024). Детальное
+> решение задачи — `docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md`.
+
+## Статус
+Proposed (ORCH-062)
+
+## Контекст
+
+07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь self-hosting-конвейер всех
+проектов** (один прод-инстанс `orchestrator` на общей БД/очереди). Доминирующий «пожиратель» —
+**docker build cache** (≈11 ГБ от частых пересборок прод/staging-образов). `disk_watchdog`
+(adr-0024, ORCH-063) ввёл **сигнал** о заполнении (Telegram ≥85%) и явно отложил авто-очистку в
+отдельную задачу. ORCH-062 — эта задача: **автоматическое освобождение build cache**, чтобы
+инцидент не повторялся без оператора.
+
+Сверено по коду: контейнер `orchestrator` **не содержит docker CLI** (`Dockerfile:11` — только
+`openssh-client git curl`); host-docker-операции приложение уже делает **через ssh на хост**
+(`image_freshness.image_revision`, `self_deploy` Phase B), канал `deploy_ssh_user@deploy_ssh_host`
+настроен. У оркестратора три проверенных фоновых daemon-потока с единым каркасом.
+
+## Решение
+
+Вводится четвёртый фоновый компонент **build-cache-pruner** (`src/build_cache_pruner.py`):
+- **Калька каркаса** `disk_watchdog`/`reconciler`/`reaper`: daemon-поток, чистый стоп через
+  `_stop.wait(interval)`, контракт `start()`/`stop(timeout)`/`status()`, старт/стоп в
+  `main.lifespan` (старт последним — после `disk_watchdog.start()`; стоп первым в reverse),
+  наблюдаемость — аддитивный блок `build_cache_prune` в `GET /queue`. Leaf-модуль (без обратных
+  зависимостей на `stage_engine`/`stages`/`qg`).
+- **Уборка — строго `docker builder prune -f --filter until=<until>`** (BuildKit GC, дефолт
+  `until=24h`): удаляется только старый build cache, тёплый ≤24ч сохраняется. `-a` — опционально и
+  только в паре с возрастным фильтром. **Запрещены** `docker image prune`/`system prune`/удаление
+  образов запущенных сервисов/остановка-рестарт контейнеров.
+- **Исполнение на хосте через ssh** (CLI в контейнере нет): `ssh deploy_ssh_user@deploy_ssh_host
+  "docker builder prune …"`, bounded таймаутом. **Нет ssh-таргета → тик no-op** → фича
+  естественно скоупится на self-hosting-прод.
+- **Конфиг/kill-switch** (`ORCH_BUILD_CACHE_PRUNE_*`, дефолты безопасные): `enabled` (дефолт
+  `true`), `interval_s` (6ч), `until` (`24h`), `all` (`false`), `timeout_s`, `notify_min_gb`.
+  Валидаторы по образцу `disk_monitor_*` (невалид → лог + дефолт).
+- **Сигнал + лечение как пара:** disk_watchdog сигналит о росте диска, build-cache-pruner убирает
+  доминирующего «пожирателя» — две половины одной операционной защиты.
+
+**Инварианты:** `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, `src/stage_engine.py`, схема БД
+— **не меняются** (pruner — эксплуатационный демон, не Quality Gate, как watchdog/reaper). Без
+миграции БД (учёт результата in-memory, best-effort). never-raise per-команда/per-tick. Уборка
+**никогда** не рестартит docker daemon/прод-контейнер (self-hosting безопасность; рестарт-путь —
+отвергнутый Вариант B). При выключенном kill-switch — поведение 1:1 как сейчас (нулевая регрессия
+для enduro-trails).
+
+## Альтернативы
+- **host `daemon.json builder.gc.defaultKeepStorage`** — отвергнуто: требует рестарта docker
+  daemon (останавливает ВСЕ контейнеры хоста = групповой self-hosting риск); политика по объёму,
+  не по возрасту; не наблюдаемо в `GET /queue`.
+- **host-cron** — отвергнуто как основное (оставлено ручным fallback): off-git невидимая инфра,
+  без `/queue`-наблюдаемости, без config-kill-switch, не тестируется.
+- **raw-HTTP по docker.sock / docker CLI в образе** — отвергнуто: лишний код / раздувание образа
+  против уже существующего ssh-канала.
+
+## Последствия
+- **+** Корень инцидента 07.06 устраняется автоматически; тёплый кэш сохранён; без новых
+  зависимостей и без рестарта docker/прода (принцип «всё в Docker, минимум зависимостей»).
+- **+** Знакомый паттерн фонового демона → низкий риск, наблюдаемость, обратимость, тестируемость.
+- **−** Зависимость от ssh на хост (как `image_freshness`/`self_deploy`); нет таргета → no-op
+  (наблюдаемо), фича не работает, но ничего не ломает.
+- **Откат:** `ORCH_BUILD_CACHE_PRUNE_ENABLED=false`; миграций БД нет.
+
+## Ссылки
+- Задачный ADR: `docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md`
+- Инфра/риски: `docs/work-items/ORCH-062/07-infra-requirements.md`,
+  `docs/work-items/ORCH-062/10-tech-risks.md`
+- Комплемент: [adr-0024-disk-watchdog.md](adr-0024-disk-watchdog.md) (ORCH-063 — сигнал)
+- Родственные компоненты: [adr-0007-reconciler.md](adr-0007-reconciler.md),
+  [adr-0011-job-reaper-lease-reclaim.md](adr-0011-job-reaper-lease-reclaim.md)
+- Топология host / env-карта: `docs/operations/INFRA.md`
+</content>

docs/architecture/adr/adr-0026-stop-cancel-task.md

@@ -0,0 +1,106 @@
+---
+work_item: ORCH-090
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# ADR-0026: Системное терминальное состояние `cancelled` — STOP-отмена задачи
+
+Сквозной (cross-cutting) ADR. Детальное решение задачи —
+`docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`.
+
+## Статус
+Proposed
+
+## Контекст
+
+ORCH-090 вводит Plane-статус **STOP** — единый декларативный механизм отмены задачи (остановка
+агента + полный сброс прогресса). Самое́ кросс-каттинговое следствие — появление **нового
+системного терминального состояния `cancelled`** (стадия `tasks.stage='cancelled'` + терминальный
+job-статус `jobs.status='cancelled'`). До ORCH-090 «терминальность задачи» в горячем планировщике
+была захардкожена как **`stage == 'done'`** (единственный сток в `STAGE_TRANSITIONS`), и это
+определение разъехалось между подсистемами:
+
+- `src/reconciler.py` **уже** трактует `stage in ("done","cancelled")` как терминал-скип
+  (ORCH-086 D2 предвосхитил `cancelled`; стр. 196) и `_is_terminal_state` по группе Plane
+  `{completed, cancelled}` (ORCH-068, стр. 398–415).
+- `src/serial_gate.py` (ORCH-088) и `src/task_deps.py` (ORCH-026) считают задачу «незавершённой»
+  по `stage != 'done'` — **без** `cancelled`. Если ввести `cancelled`-стадию, не тронув их,
+  отменённая задача навсегда будет «активной»/«незавершённой зависимостью» и **заклинит очередь
+  репо**.
+
+Этот ADR фиксирует `cancelled` как первоклассное терминальное состояние, равноправное `done`, и
+перечисляет ВСЕ точки, где системный предикат терминальности должен его признавать.
+
+## Решение
+
+### Инвариант
+**«Задача терминальна» ⇔ `stage ∈ {done, cancelled}`.** Это единое определение для всех
+подсистем планировщика/мониторинга. `cancelled` — терминальный **сток** (не новое ребро
+конвейера): exit-гейты рёбер `STAGE_TRANSITIONS` и реестр `QG_CHECKS`/`check_*` **не меняются**.
+
+### Точки, признающие `cancelled` терминальным (исчерпывающе)
+1. `src/stages.py::STAGE_TRANSITIONS` — добавить сток
+   `"cancelled": {"next": None, "agent": None, "qg": None}` (параллельно `done`).
+2. `src/serial_gate.py` — `repo_has_other_unfinished` и claim-фрагмент `t2.stage != 'done'`,
+   snapshot: `stage != 'done'` → `stage NOT IN ('done','cancelled')`. **(маркер ORCH-088)**
+3. `src/task_deps.py` — dep-gate и `is_task_ready`: `stage != 'done'` →
+   `stage NOT IN ('done','cancelled')`. **(маркер ORCH-026)**
+4. `src/reconciler.py` — уже покрыто скипом `stage in ("done","cancelled")` (стр. 196);
+   `get_active_tasks_for_reconcile` опционально сузить до `NOT IN ('done','cancelled')`.
+5. `src/job_reaper.py` / `src/queue_worker.py` — перед авто-requeue dead/running-job'а сверять
+   терминал задачи: `stage in ("done","cancelled")` → job помечается `cancelled`, не реквью'ится.
+6. `src/post_deploy.py` / `stage_engine.run_post_deploy_monitor` — монитор не тикает по
+   отменённой задаче (терминал-проверка/маркер `done`).
+
+### Новые терминальные исходы
+- **Job:** `jobs.status='cancelled'` — нигде не реквью'ится; `claim_next_job` выбирает только
+  `status='queued'` (изменений в claim нет). `mark_job` стампит `finished_at` для `cancelled`.
+- **Задача:** `tasks.stage='cancelled'` + аддитивные колонки `cancelled_at`,
+  `cancel_requested_at` (отложенная отмена в критическом окне merge/deploy). Натуральные ключи
+  `plane_id`/`work_item_id` тумбстонятся (`#cancelled-<id>`) для переиспользования «To Analyse»
+  с нуля; `plane_issue_id` сохраняется (аудит). Детали — 08-data-requirements.md.
+
+### Точки врезки STOP (компоненты)
+- `plane.py` — маршрут `stop` (fail-closed, не в `_DEFAULT_STATES`) → `handle_stop`; гейт релонча
+  ограничен стадией `analysis`.
+- `stage_engine.cancel_task` — оркестрация отмены (graceful SIGTERM, cancel-jobs, worktree+branch,
+  tombstone, notify); безопасное прерывание merge/deploy (D7 локального ADR).
+- leaf `src/cancel.py` — чистая логика (`applies`/`in_critical_window`/`snapshot`), never-raise.
+- `src/gitea.py` — `delete_remote_branch` (never-raise; только feature-ветка, `main` неприкосновенен).
+- `GET /queue` — read-only блок `stop`.
+
+### Флаги / совместимость
+- Kill-switch `stop_status_enabled` + scope `stop_status_repos` (CSV, пусто → все репо).
+- При `stop_status_enabled=False`: STOP-обработка и гейт релонча инертны; расширение
+  терминал-набора `cancelled` безвредно при отсутствии отменённых задач → **нулевая регрессия**.
+- `STAGE_TRANSITIONS` (exit-гейты) / `QG_CHECKS` / `check_*` / семантика
+  Approved/Rejected/Confirm Deploy / merge-gate (ORCH-043) / merge-verify (ORCH-071/073) /
+  image-freshness (ORCH-058) / post-deploy (ORCH-021) / serial-gate FIFO (ORCH-088) / auto-label
+  (ORCH-089) — **без изменений**.
+- Миграции БД — только аддитивные/идемпотентные (`_ensure_column`); enduro не затронут (NFR-2).
+
+## Последствия
+- **+** Единое, консистентное определение терминальности — устранён латентный рассинхрон
+  `done`-only между планировщиком и реконсилятором.
+- **+** STOP безопасен для self-hosting: не трогает `main`/прод, отложенная отмена в критическом
+  окне.
+- **−** Терминальность теперь читается из набора `{done, cancelled}`, а не из скаляра `'done'` —
+  будущие подсистемы обязаны использовать набор. Митигейшн: этот ADR + маркер `ORCH-090` в
+  изменённых местах + тесты.
+- **Откат:** `stop_status_enabled=False`; полный revert — снять врезки и вернуть предикаты к
+  `stage != 'done'`.
+
+## Эволюция маркеров `cancelled`-терминала
+Места, признающие `cancelled` терминальным (см. список выше), несут маркер `ORCH-090`. Правка
+любого из них — сверяться с этим ADR (анти-археология: 3+ маркеров → одна ссылка сюда,
+TRACEABILITY.md).
+
+## Ссылки
+- Детальный ADR: `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`
+- Data: `docs/work-items/ORCH-090/08-data-requirements.md`
+- Связанные: adr-0017 (serial-gate), adr-0015 (task-deps), adr-0007 (self-deploy),
+  adr-0006 (merge-gate), adr-0018 (auto-label)

docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md

@@ -0,0 +1,82 @@
+---
+work_item: ORCH-093
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# adr-0027: Merge-актор — ретрай транзиентных ошибок Gitea + гард «ветка уже в `main`»
+
+Сквозной (cross-cutting) ADR. **Амендмент** к [adr-0013](adr-0013-merge-verify-gate.md) (merge-verify
+под-гейт), [adr-0014](adr-0014-merge-verify-sha-source-of-truth.md) (SHA-в-main как источник истины)
+и [adr-0016](adr-0016-ensure-open-pr-before-merge-verify.md) (гарантированный код-PR). Детальное
+решение задачи — `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`.
+
+> Регистрируется как сквозной, т.к. правит блок merge-актора с **3+ маркерами** (`ORCH-071`,
+> `ORCH-073`, `ORCH-082`) — анти-археология маркеров (`docs/_standards/TRACEABILITY.md`): сводный
+> ADR агрегирует эволюцию вместо перечисления work item в коде.
+
+## Статус
+Proposed
+
+## Контекст
+
+Детерминированный merge-актор merge-verify под-гейта (`deploy → done`, self-hosting) состоит из
+`ensure_open_pr` → `merge_pr` → `verify_merged_to_main` (`src/merge_gate.py`). Инцидент **ORCH-063
+(09.06)** вскрыл два дефекта, оба сверены по коду прода:
+
+1. `merge_pr` — **one-shot**: `POST /pulls/{index}/merge`, любой не-`200/201` → мгновенный `False`.
+   Транзиентная икота Gitea (`405 "Please try again later"` при пересчёте `mergeable` сразу после
+   пуша; `5xx`; таймаут) → ложный HOLD защиты ORCH-071/073 → ручной домерж.
+2. `ensure_open_pr` — после ручного мержа код-PR `closed`, открытый не найден → создаёт **новый
+   пустой PR** на ветке, уже целиком в `main`.
+
+Защита ORCH-071/073 («deploy succeeded but not merged») корректна и сохраняется; задача снижает
+лишь **ложные** срабатывания на транзиентах и устраняет мусорные PR. Это блокер автономного прогона
+(эпик ORCH-088).
+
+## Решение
+
+Аддитивно, без правки `STAGE_TRANSITIONS` / `QG_CHECKS` / схемы БД; INV-4 (мерж только через Gitea
+PR-merge API; никогда `push`/`force-push` в `main`) и never-raise сохранены.
+
+- **Ретрай-loop вокруг `POST …/merge`** (только мутирующий вызов) до `merge_retry_max_attempts`
+  (дефолт 3) с экспоненциальным backoff и потолком (`base 2`, `max 5`; суммарно ≤10 с). Классификатор
+  **транзиент** (`405`/`408`/`5xx`/таймаут/сетевое; `409`/`422` при `mergeable==True`; `mergeable==None`
+  → транзиент-по-дефолту в рамках бюджета) vs **терминал** (`403`/`404`; `409`/`422` при
+  `mergeable==False`) — по коду ответа **и** полю `mergeable` (`GET /pulls/{index}`). Терминал →
+  быстрый честный `False` (защита ORCH-071/073 — как прежде). Образец — `check_ci_green`
+  (`attempt i/N`) + transient-breaker агентов.
+- **Гард already-in-main в `ensure_open_pr`**: перед созданием PR — `git merge-base --is-ancestor
+  <branch> origin/main` (rc==0 → ветка целиком в `main`) → новый исход `"already-in-main"`, PR не
+  создаётся; git-ошибка/ambiguous → **fail-OPEN** на текущий create-путь (гард не должен превратить
+  икоту git в ложный no-op мержа). `_handle_merge_verify` трактует `"already-in-main"` как «мержить
+  нечего» → пропуск `merge_pr` → авторитетный SHA-в-main (`verify_merged_to_main`, ADR-0014) доводит
+  до `done` без мусорного PR.
+- **Конфиг**: `merge_retry_enabled` (kill-switch; `False` → one-shot, нулевая регрессия),
+  `merge_retry_max_attempts`, `merge_retry_backoff_base_s`, `merge_retry_backoff_max_s`
+  (env `ORCH_MERGE_RETRY_*`). Гард already-in-main — без отдельного флага (накрыт существующим
+  `merge_verify_autocreate_pr_enabled`).
+
+Объём раската — реально только self-hosting (`merge_verify_applies`); на прочих репо мерж делает
+LLM-deployer → изменение нейтрально.
+
+## Последствия
+
+- **+** Транзиент Gitea переживается автоматически → нет ложного HOLD / ручного домержа в автономном
+  конвейере; нет мусорных пустых PR; повтор финализатора идемпотентен.
+- **+** Реальный конфликт → быстрый честный HOLD; защита ORCH-071/073 и SHA-в-main (ADR-0014) —
+  авторитетны и неизменны.
+- **−** Дефолт `mergeable==None → transient` может добавить ≤10 с до HOLD на реальном конфликте
+  (бюджет жёстко ограничен); один лишний `GET /pulls/{index}` в редком ambiguous-кейсе.
+- **Откат:** `ORCH_MERGE_RETRY_ENABLED=false` → one-shot; `ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=false`
+  → отключает врезку `ensure_open_pr` с гардом. Полный откат — revert PR.
+
+## Ссылки
+- Детальный ADR: `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`
+- Лехатая: [adr-0006](adr-0006-merge-gate.md), [adr-0013](adr-0013-merge-verify-gate.md),
+  [adr-0014](adr-0014-merge-verify-sha-source-of-truth.md),
+  [adr-0016](adr-0016-ensure-open-pr-before-merge-verify.md)
+- Код: `src/merge_gate.py`, `src/stage_engine.py::_handle_merge_verify`, `src/config.py`

docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md

@@ -0,0 +1,96 @@
+---
+work_item: ORCH-094
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# adr-0028: Terminal-window-aware гард выставления deploy-фазовых статусов Plane
+
+Сквозной (cross-cutting) ADR. **Амендмент** к [adr-0010](adr-0010-post-deploy-monitor.md)
+(post-deploy monitor, ORCH-021) и Plane-статусной модели (ORCH-066): вводит инвариант
+«deploy-фазовые Plane-статусы — terminal-window-aware» поверх общих сеттеров `plane_sync` и
+переупорядочивает блок `next_stage == "done"` в `advance_stage`. Детальное решение задачи —
+`docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`.
+
+> Регистрируется как сквозной, т.к. правит **общие** сеттеры `set_issue_awaiting_deploy`/
+> `set_issue_deploying`/`set_issue_monitoring` (используются системно) и трогает маркированный блок с
+> `ORCH-021`/`ORCH-066` (`docs/_standards/TRACEABILITY.md`).
+
+## Статус
+Proposed
+
+## Контекст
+
+Терминальная (`done`) задача в Plane **не держит `Done`**: непрерывный флапп
+`Awaiting Deploy ⟷ Monitoring after Deploy` (верифицировано живьём на **ORCH-061**, task 47, done с
+07.06 — 273 активности, само не затихает). Установлено по коду/логам/БД прода:
+
+- Три code-писателя deploy-фазовых статусов (`src/stage_engine.py:404/1218/1316`) делегируют в тонкие
+  сеттеры `src/plane_sync.py`, которые **БД-стадию не читают** ⇒ терминал-слепы: любой повторный вызов
+  перезаписывает `Done` обратно на промежуточный статус.
+- **Ordering:** `update_task_stage("done")` (`stage_engine.py:369`) пишет `tasks.stage='done'`
+  **раньше** легитимного `set_issue_monitoring` (стр. 404) ⇒ пост-деплой-окно ORCH-021 — by-design
+  индикация поверх уже-`done` задачи. Наивный гард «stage==done → Done» ⇒ регресс легитимного окна.
+- Актор всех 273 переходов — бот-токен орка (`daf4d3f4-…`), не привязан к активной task/job; в БД нет
+  активного post-deploy-monitor для task 47 (окно 15 мин закрыто). Реконсилятор F-1 пропускает
+  `done`/`cancelled`, F-2 опрашивает только `[to_analyse, approved, rejected]` ⇒ механизма привести
+  застрявшую на deploy-статусе done-задачу к `Done` нет.
+
+## Решение
+
+**Единый terminal-window-aware гард на низком чокпоинте** — на входе трёх deploy-фазовых сеттеров
+`plane_sync`. Чистую логику держит **новый leaf-модуль `src/deploy_status_guard.py`** (never-raise,
+config-gated; образец `serial_gate.py`/`labels.py`/`cancel.py`); сеттеры исполняют вердикт.
+
+- **Инвариант легитимности:** deploy-фазовый статус легитимен ⇔ задача **нетерминальна** ИЛИ
+  (`done` **И** активно пост-деплой-окно). Иначе — идемпотентное схождение к `Done`.
+  `decide(work_item_id, target) -> ALLOW | CONVERGE_DONE | SUPPRESS`:
+  kill-switch off / чужой issue / не-self репо / нетерминал → **ALLOW**; `cancelled` → **SUPPRESS**;
+  `done` + `target==monitoring` + `window_active` → **ALLOW**; `done` иначе → **CONVERGE_DONE**
+  (`set_issue_done`, идемпотентно); любое исключение → **ALLOW** + warning (never-raise).
+- **Новый helper** `post_deploy.window_active(repo, wi)` = `has_marker(ARMED) and not
+  has_marker(DONE)` (restart-safe).
+- **Перенос арм-блока** (`post_deploy.arm_monitor`) **перед** terminal-sync в блоке
+  `next_stage == "done"`: на стр. 404 `ARMED` уже записан ⇒ `window_active==True` ⇒ легитимный первый
+  `Monitoring` проходит; re-drive после закрытия окна сходится к `Done`.
+- **Харднинг монитора:** идемпотентный страж `has_marker(...DONE)` (ранний return без PATCH/реэнкью)
+  + тик no-op при `cancelled` мид-окно; тики привязаны к активному job'у (нет job → нет тика).
+- **Наблюдаемость:** каждый вердикт логируется (`work_item`/`caller`/`target`/`db_stage`/
+  `window_active`/вердикт); подавление/схождение — явно.
+- **Флаги** (`config.py`): `deploy_status_guard_enabled=True`
+  (`ORCH_DEPLOY_STATUS_GUARD_ENABLED`, kill-switch → 1:1) + `deploy_status_guard_repos=""`
+  (`ORCH_DEPLOY_STATUS_GUARD_REPOS`, пусто → self-hosting only) с локальным `applies(repo)`.
+
+## Альтернативы
+
+- **Гард в caller'ах `stage_engine`** — отвергнуто: не ловит неизвестный/стейл путь под бот-токеном,
+  размазывает инвариант.
+- **Наивный «stage==done → Done» без предиката окна** — отвергнуто: регресс легитимного `Monitoring`.
+- **Bypass-флаг на доверенном вызове 404** — отвергнуто в пользу переноса арм-блока (один предикат).
+- **Активная сходимость в реконсиляторе F-2** — отвергнуто как основной механизм (лишний polling,
+  правка маркированного F-2); гард на сеттере гасит непрерывный флапп.
+
+## Последствия
+
+- Терминальная задача стабильно держит `Done`; маятник гаснет за один цикл независимо от актора.
+- Легитимный пост-деплой `Monitoring` и рабочий self-deploy-цикл — 1:1 (предикат окна + перенос арм).
+- `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи / схема БД — **не тронуты**.
+- `main`/force-push/прод-контейнер/detached-деплой — не тронуты; не-self репо инертны.
+- Ограничение: если актор флаппа — внешняя Plane-automation (вне кода орка), гард — буфер на стороне
+  орка; локализация (FR-1) и итог документируются (BR-7).
+- **Откат:** `ORCH_DEPLOY_STATUS_GUARD_ENABLED=false` → поведение 1:1; полный — revert ветки.
+
+## Связи
+
+- [adr-0010](adr-0010-post-deploy-monitor.md) (ORCH-021 — пост-деплой-окно, sentinel `armed`/`done`,
+  арм-блок) — амендмент: окно становится предикатом легитимности `Monitoring`.
+- ORCH-066 (Plane-статусная модель — слой B индикации; `deploy→done` self ⇒ `Monitoring`) — инвариант
+  сохранён.
+- [adr-0026](adr-0026-stop-cancel-task.md) (ORCH-090 — терминал `cancelled`) — гард не штампует
+  deploy-статус поверх `cancelled`.
+- ORCH-068/086 (терминал-скип реконсилятора) — этот ADR распространяет идею терминал-aware на
+  выставление deploy-статусов.
+- Детально: `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`.

docs/architecture/adr/adr-0029-coverage-gate.md

@@ -0,0 +1,92 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0029: Гейт покрытия тестами — edge sub-gate + ratchet-базовая линия
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-027
+- **Детальный ADR:** `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`
+
+## Контекст
+Оркестратор автономен: `developer` пишет код без человека-фильтра, `tester` сам решает, хватает
+ли тестов. Существующие тестовые гейты судят только по факту прохождения, не по полноте:
+`check_ci_green` (exit-code CI), `check_tests_passed` (LLM-вердикт `tester`'а), merge-gate
+re-test (exit-code). Ни один не замечает «300 строк кода, 0 тестов». При пакетном автономном
+прогоне (ORCH-088) это монотонная деградация покрытия. Нужна детерминированная метрика — по духу
+как security-гейт (adr-0012).
+
+## Решение
+Детерминированный (без LLM) **гейт покрытия как под-гейт ребра `deploy-staging → deploy`**,
+рядом с security-gate (ORCH-022), merge-gate (ORCH-043), image-freshness (ORCH-058). Паттерн —
+leaf-модуль `src/coverage_gate.py` (never-raise) + обёртка в `QG_CHECKS` (`check_coverage_gate`)
++ врезка `_handle_coverage_gate` в `advance_stage`. `STAGE_TRANSITIONS` не меняется.
+
+- **Порядок: security → merge → `coverage` → image-freshness.** Coverage идёт **ПОСЛЕ
+  merge-gate** (ветка догнана на свежий `origin/main` → меряем покрытие того кода, что landed) и
+  **ДО image-freshness** (фейлить дёшево до docker-rebuild). На этой точке merge-lease **held** →
+  **FAIL обязан освободить lease** при откате (как image-freshness rollback; в отличие от
+  security, который идёт до захвата lease).
+- **Измеритель:** `pytest-cov` (`coverage.py`), `python -m pytest tests/ --cov=src
+  --cov-report=json` в изолированном worktree (`ensure_worktree`); метрика —
+  `totals.percent_covered`. Тайм-аут `coverage_run_timeout_s`. Скоуп — `src/` (не тесты).
+- **Чистая функция** `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)`:
+  `absolute` (≥floor−ε), `baseline` (≥baseline−ε, ratchet), `both` (дефолт). `baseline=None` →
+  bootstrap (только absolute). FAIL → откат на `development` + developer-retry (cap
+  `MAX_DEVELOPER_RETRIES`), дословный reason в `task_desc` (ORCH-046).
+- **Базовая линия — аддитивная БД-таблица** `coverage_baseline(repo PK, coverage, source_sha,
+  updated_at)` (`CREATE TABLE IF NOT EXISTS`, паттерн `repo_freeze`/`job_deps`). Выбор БД над
+  файлом-в-репо: нет git-churn/конфликтов на ratchet, restart-safe, атомарное обновление.
+- **Ratchet-up** в choke-point подтверждённого merge `_handle_merge_verify` (ребро
+  `deploy → done`, ORCH-071/073): читает измеренное покрытие из `18-coverage-report.md`,
+  атомарный compare-and-set `UPDATE ... WHERE coverage <= measured` (базовая линия не падает).
+  Под held merge-lease + per-repo сериализацией merge (ORCH-043) — двойная анти-гонка.
+- **Артефакт `18-coverage-report.md`** с frontmatter `coverage_status: PASS|FAIL` (+
+  `measured_coverage`/`baseline`/`floor`/`policy`/`delta` + аддитивная 52c-схема); вердикт
+  читается ТОЛЬКО из frontmatter через `src/frontmatter.py` (single source of truth).
+- **Условность (как ORCH-35/43/58):** `coverage_gate_enabled` + `coverage_gate_repos` (пусто →
+  только self-hosting `orchestrator`); вне области → no-op pass. `applies(repo)` ПЕРВОЙ, дорогой
+  прогон — только при applies.
+- **Ошибка инструмента → fail-open + WARNING** по умолчанию (`coverage_tool_fail_closed=False`,
+  анти-петля как ORCH-061); флаг → fail-closed.
+- **Наблюдаемость:** read-only блок `coverage` в `GET /queue`; FAIL → Telegram (кликабельный
+  номер, измеренное/порог/дельта). Опциональный `POST /coverage/baseline` (ручной override).
+- **never-raise**, гейт не деплоит/не рестартит прод/не пушит в `main` (NFR-3).
+
+## Альтернативы
+- **CI-job (`check_ci_green`):** пороги/политика/baseline/артефакт плохо выражаются статусом
+  коммита; ratchet требует записи в БД. Отклонено для v1 (точка расширения).
+- **Edge `testing → deploy-staging`:** ветка не догнана на свежий `main` → метрика неточна;
+  откат не освобождает lease. Отклонено.
+- **Базовая линия в файле репо:** git-churn/конфликты на каждый ratchet. Отклонено.
+- **Новая стадия `coverage`:** «пустая» стадия без агента не имеет триггера (как ORCH-043/022).
+  Отклонено.
+- **Жёсткий absolute-порог без baseline/epsilon:** массовые ложные заворота. Отклонено.
+
+## Последствия
+- Класс «тихо просевшее покрытие» закрыт детерминированной метрикой; baseline только растёт.
+- Нулевая регрессия вне области (enduro-trails); `STAGE_TRANSITIONS`/`QG_CHECKS`-семантика/
+  вердикт-ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) —
+  байт-в-байт прежние; новая БД-таблица аддитивна.
+- Плата: ещё один «скрытый» под-гейт ребра; новая pip-зависимость (`pytest-cov`); доп. прогон
+  pytest (после merge-gate re-test, ограничен таймаутом, фейлит до rebuild); v1 — Python-only.
+- Дефолтный fail-open тихо пропускает при устойчивом сбое инструмента (с WARNING) —
+  переключаемо `coverage_tool_fail_closed`.
+- Сквозное изменение (новый QG + edge-под-гейт + новая таблица + новый артефакт) →
+  `arch:major-change`; прод-деплой строго через staging-гейт (8501), без рестарта прод-контейнера.
+- **Откат:** `coverage_gate_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
+
+## Связи
+adr-0012 (security-гейт — паттерн edge-под-гейта/leaf/never-raise/fail-open), adr-0006
+(merge-gate — edge-под-гейт/откат/merge-lease), adr-0008 (image-freshness — условность/
+fail-closed/release-lease-on-rollback), adr-0003 (условный гейт / `is_self_hosting_repo`),
+adr-0009 (анти-петля ложных FAIL, ORCH-061), adr-0013/adr-0014 (merge-verify / SHA-in-main как
+source of truth — точка ratchet), adr-0015/adr-0017 (per-repo сериализация merge/serial-gate),
+adr-0020 (frontmatter-контракт — парсинг `coverage_status:`), adr-0019 (PIPELINE_DOCS — артефакт
+`18-coverage-report.md`), ORCH-9/15 (мульти-стек — будущая зависимость BR-6).

docs/architecture/adr/adr-0030-metrics-endpoint.md

@@ -0,0 +1,88 @@
+---
+work_item: ORCH-099
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0030: Лёгкий read-only `/metrics` — сырьё о самом орке для sidecar (F1b)
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-099 (FND/F1a)
+- **Детальный ADR:** `docs/work-items/ORCH-099/06-adr/ADR-001-metrics-endpoint.md`
+
+## Контекст
+Эпик автономного саморазвития, домен 0 «Фундамент». Рамка наблюдаемости (заказчик): **наблюдатель
+отделён от наблюдаемого** — мозг мониторинга (пороги/алерты/история/Telegram) живёт в отдельном
+sidecar-контейнере **F1b** (`watchdog/`), а орк отдаёт **только сырьё**, которое знает лишь он сам.
+Сегодня такого источника нет: `/health` = `{"status":"ok"}`, `/status` = активные задачи, `/queue` —
+«человеческий» снимок, перемешанный с конфигом демонов. Нет стабильного машинного контракта для
+детекта застрявшей стадии / зависшего агента / деградации очереди / всплеска стоимости. F1b
+заблокирована этой задачей. Self-hosting: прод общий с enduro-trails ⇒ эндпоинт обязан быть строго
+read-only и never-raise.
+
+## Решение
+Новый **leaf-модуль** `src/metrics.py` (`build_metrics() -> dict`, чистый, never-raise по разделам —
+паттерн `serial_gate.snapshot()`) + тонкий эндпоинт `@app.get("/metrics")` в `src/main.py` (стиль
+`GET /queue`). Только чтение существующих таблиц (`tasks`/`jobs`/`agent_runs`) и in-memory-снапшотов
++ два read-only helper'а в `src/db.py`. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict-
+ключи/схема БД — **не трогаются**.
+
+- **Конверт + контракт версии:** `schema_version` (старт `1`), `generated_at` (UTC ISO-8601 —
+  момент снимка, домен часов орка), `clk_tck` (`os.sysconf("SC_CLK_TCK")`), разделы
+  `stages`/`queue`/`agents`/`cost`. **Политика версии:** аддитивные изменения НЕ бампят (sidecar
+  обязан игнорировать незнакомые ключи и толерировать отсутствие опциональных); бамп — только при
+  ломающем (rename/remove/retype). Forward-compatible контракт для F1b.
+- **`stages`** — `db.get_active_tasks_for_reconcile()` + фильтр `stage NOT IN ('done','cancelled')`
+  на слое metrics (helper намеренно отдаёт `cancelled` для ORCH-086 — не трогаем его инвариант);
+  поля `work_item`/`stage`/`age_in_stage_s`/`repo`.
+- **`queue`** — `db.job_status_counts()` (+`cancelled`), глубина, сырьё ретраев
+  (`attempts`/`max_attempts`/`transient_attempts`/в-backoff), `worker.breaker.snapshot()`,
+  `max_concurrency`. Недоступный worker → `breaker: null`, не 500.
+- **`agents` (liveness)** — новый dedicated read-only helper `db.get_running_agents()` (НЕ расширение
+  hot-path `get_running_jobs()` reaper'а, ORCH-065): `agent`/`run_id`/`job_id`/`pid`/`runtime_s`
+  (= `running_age_s` от `jobs.started_at`)/`model`/`effort`. CPU-сырьё — **вариант A**: орк читает
+  `/proc/<pid>/stat` (поля 14+15, utime+stime) → `cpu_ticks`; **дельту не считает** — арбитр
+  «жив/завис» это sidecar (stateless-эмиссия). `pid is None`/мёртвый/нет `/proc`/не-Linux →
+  `cpu_ticks: null`, не ошибка.
+- **`cost`** — `running` (по running-job, часто `null` до завершения — честное сырьё, `null` ≠ ноль)
+  + `aggregate` (новый helper `db.agent_cost_totals()`, `COALESCE(SUM(...),0)` по
+  `cost_usd`/`input_tokens`/`output_tokens`/`cache_read_tokens`/`cache_creation_tokens`).
+- **Kill-switch** `metrics_endpoint_enabled` (env `ORCH_METRICS_ENABLED`, дефолт `True`): при `False`
+  → `200` с `{"schema_version":1,"enabled":false}` (контракт остаётся парсимым). Операторский
+  off-switch на общем инстансе.
+- **Never-raise:** каждый раздел — свой `try/except` + `logger.warning` + дефолт (`null`/`[]`/`{}`);
+  `build_metrics()` никогда не пробрасывает. Read-only: ни одного `INSERT/UPDATE/DELETE/CREATE/ALTER`.
+
+## Альтернативы
+- **Расширить `/queue`** — отклонено: ломает байт-в-байт контракт (BR-6) + смешивает сырьё с
+  человеческим снимком.
+- **Prometheus/OpenMetrics** — отклонено: заказчик задал тонкий кастомный sidecar (не Prometheus),
+  контракт — JSON.
+- **Орк считает CPU-дельту сам** — отклонено: требует состояния; stateful-арбитр это sidecar (C-1).
+- **Расширить SELECT `get_running_jobs()`** — отклонено: перенос инварианта hot-path reaper'а;
+  изолируем dedicated helper.
+- **Push в sidecar** — отклонено: нарушает разделение C-1; зависший орк ⇒ pull падает = сам сигнал.
+
+## Последствия
+- F1b разблокирована стабильным машинным контрактом; домен наблюдаемости стартует.
+- Строго read-only + never-raise ⇒ near-zero риск для общего прод-конвейера (enduro-trails);
+  `/health`/`/status`/`/queue` байт-в-байт; гейты/схема/machine-verdict-ключи не тронуты (NFR-5).
+- `schema_version` + аддитивно-толерантная политика ⇒ расширения не ломают F1b.
+- Плата: новая поверхность совместимости `/metrics`↔F1b (митигейшн — единый репо контракта + версия);
+  CPU-liveness Linux-специфичен (`/proc`; не-Linux → `null`). Топология/схема не меняются (sidecar и
+  его сетевая достижимость — объём F1b).
+- Новый компонент + публичный контракт → `arch:major-change` (хоть и аддитивно/read-only/обратимо);
+  прод-деплой строго через staging-гейт (8501), без рестарта прод-контейнера.
+- **Откат:** `metrics_endpoint_enabled=False` (мгновенный) или удаление модуля/эндпоинта/helper'ов —
+  без следов в БД/схеме.
+
+## Связи
+adr-0002 (job-queue/circuit-breaker — источник `queue`-сырья), adr-0011 (job-reaper —
+`get_running_jobs`/pid/liveness-семантика, изоляция hot-path), adr-0026 (терминал `{done,cancelled}`
+— фильтр `stages`), adr-0017 (serial_gate — паттерн leaf `snapshot()`/never-raise), adr-0020
+(frontmatter-контракт — стиль версионируемого контракта). Прямой потребитель — **F1b** (sidecar
+`watchdog/`, отдельная задача).

docs/architecture/adr/adr-0031-legacy-ownership-normalization.md

@@ -0,0 +1,92 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0031: Нормализация legacy root-owned файлов при миграции uid — детект-leaf + actionable worktree-ошибка
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-057 (follow-up ORCH-040)
+- **Детальный ADR:** `docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md`
+
+## Контекст
+ORCH-040 перевёл контейнеры на `user: "1000:1000"`, изменив только `docker-compose.yml`. Владельца
+уже существующих `root:root` файлов в bind-mount `/repos` это не меняет. Под uid 1000
+`src/git_worktree.py::ensure_worktree` (`os.makedirs` стр. 78 / `git worktree add` стр. 81/85) не может
+создать worktree рядом с root-owned `/repos/_wt/` → `fatal: could not create leading directories …
+Permission denied`, который сейчас пробрасывается сырым. Конвейер приходит сюда из
+`launcher._spawn`/`_materialize_deferred_branch` (ORCH-088) — **агент не стартует** (launch-time
+инфра-сбой, не код задачи). Инцидент 06.06 на проде (первый запуск ORCH-043); workaround Стрима
+(`chown -R 1000:1000`) наложен вручную. ADR-040 описал нормализацию абстрактно («вне объёма кода») и
+не дал процедуры → баг воспроизводим на чистой среде / новом репо / после исторического запуска под
+root. Контейнер бежит **без root** → код физически не может `chown` чужие файлы; ему доступны лишь
+детект + диагностика.
+
+## Решение
+Три аддитивных, обратимых kill-switch'ем слоя — паттерн условного leaf-гейта (`coverage_gate`/
+`serial_gate`) + best-effort startup-хук (`main.lifespan`, как lease-reclaim). `STAGE_TRANSITIONS` /
+`QG_CHECKS` / `check_*` / machine-verdict-ключи (`verdict:`/`result:`/`deploy_status:`/
+`staging_status:`/`security_status:`/`coverage_status:`) / схема БД — **байт-в-байт прежние**.
+
+- **Actionable worktree-ошибка (D1):** `ensure_worktree` классифицирует класс «нет прав» (маркеры
+  `Permission denied`/`could not create leading directories`/`insufficient permission`/`EACCES`/
+  `EPERM`) и поднимает `RuntimeError` с причиной (legacy root-файлы после миграции uid) + лечащей
+  командой + ссылкой на INFRA.md. Не-прав-ошибки сохраняют прежний текст/смысл (никакой подмены).
+  Меняется лишь **формулировка**, не факт сбоя.
+- **Детект-leaf `src/fs_normalize.py` (D2):** чистый, never-raise, TTL-кэш (паттерн `preflight`).
+  `scan_ownership(roots, target_uid)` обходит `/repos/_wt`, `<repo>/.git/objects`,
+  `<repo>/.git/worktrees`, `data/runs`; ранний выход при первом `st_uid != target_uid`
+  (`target_uid=os.getuid()` по умолчанию). `applies(repo)` (kill-switch + scope; пусто →
+  `is_self_hosting_repo`) проверяется ПЕРВЫМ → дорогой обход только при applies. Идемпотентно;
+  ошибка обхода → WARNING + консервативный `mismatch=False`.
+- **Интеграция = наблюдаемость, без блокировки claim (D3):** best-effort `scan_ownership()` на старте
+  `main.lifespan` → WARNING + Telegram при mismatch. Claim НЕ гейтится: внятный ранний отказ даёт D1
+  в точке launch (знает repo, агент ещё не тратил токены). Блокирующий preflight-гейт отвергнут —
+  preflight не знает repo, заблокировал бы и enduro-trails на общем `/repos`.
+- **Опц. `normalize()` (D4):** chown только при `CAP_CHOWN`/root (под uid 1000 — no-op + лог),
+  флаг `fs_normalize_auto` (дефолт `False`). Init-контейнер/root-entrypoint отвергнут: реинтродукция
+  root-контекста (анти-цель ORCH-040) + правка compose = self-deploy/групповой риск. Реальную
+  нормализацию несёт операторская процедура.
+- **Процедура (D5):** `INFRA.md` получает раздел «Миграция uid: обязательная нормализация legacy
+  root-файлов» (точные команды по всем корням) как обязательный шаг миграции; forward-breadcrumb из
+  ADR-040.
+- **Флаги:** `fs_normalize_enabled` (kill-switch, дефолт `True`), `fs_normalize_repos` (CSV, пусто →
+  self-hosting only), `fs_target_uid` (1000), `fs_normalize_auto` (`False`), `fs_scan_roots`,
+  `fs_scan_cache_ttl_s` (300). Наблюдаемость — блок `fs_ownership` в `GET /queue`; опц. `POST
+  /fs-normalize/check`.
+
+## Альтернативы
+- **Init-контейнер/root-entrypoint** — реинтродукция root (анти-цель ORCH-040), self-deploy compose,
+  групповой риск ради разовой операции. Отвергнуто; носитель нормализации — операторская процедура.
+- **Блокирующий claim-гейт (preflight)** — preflight не знает repo → регресс enduro на общем `/repos`.
+  Отвергнуто.
+- **Блокирующий claim-гейт (queue_worker/claim)** — дорогой FS-обход в hot-path + «молчаливое
+  зависание» вместо диагноза D1. Отвергнуто.
+- **Авто-chown из app по умолчанию** — под uid 1000 невозможен; ложное ожидание самолечения.
+  Отвергнуто (оставлен opt-in `fs_normalize_auto`).
+- **Hard-fail старта при mismatch** — нарушает never-raise, стопорит сервис всех проектов. Отвергнуто.
+
+## Последствия
+- Класс «сырой git-fatal на launch после миграции uid» закрыт внятным диагнозом (D1) + проактивным
+  startup-сигналом (D3); пробел процедуры ADR-040 закрыт (INFRA.md).
+- Нулевая регрессия enduro-trails (scope first); инварианты конвейера/схема БД — байт-в-байт.
+- Никакого root-контекста/рестарта прода/касания `main`/force-push/прод-образа (NFR-1).
+- Плата: фактический `chown` остаётся ручным операторским шагом (но теперь внятным, с инструкцией);
+  +1 best-effort startup-хук и leaf-модуль; `fs_normalize_auto=True` под root реинтродуцирует
+  chown-контекст (дефолт `False`, не для прод-self).
+- Аддитивно/обратимо: **не** `arch:major-change` (нет новой стадии/QG/таблицы/смены топологии) — leaf
+  + startup-хук + docs.
+- **Откат:** `fs_normalize_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
+
+## Связи
+adr-0005 (контейнер под host-uid — порождающее решение ORCH-040, чей пробел закрываем),
+adr-0029/adr-0012 (coverage/security-гейт — паттерн условного leaf `applies`/scope/never-raise/
+fail-open), adr-0017 (serial-gate — leaf never-raise + отложенный срез ветки `_materialize_deferred_
+branch`, чья точка падает в `ensure_worktree`), adr-0011 (job-reaper — образец best-effort
+startup-хука в `lifespan`), adr-0024 (disk-watchdog — образец «только читать/уведомлять, не трогать
+хост/прод»).

docs/architecture/internals.md

@@ -61,9 +61,15 @@ STAGE_TRANSITIONS = {
     testing:      → deploy-staging (agent: deployer,   QG: check_tests_passed)
     deploy-staging: → deploy      (agent: deployer,   QG: check_staging_status)
     deploy:       → done          (agent: None,       QG: None)
+    cancelled:    → None          (agent: None,       QG: None)   # ORCH-090: терминал-сток отмены
 }
 ```
 
+**Терминальные стоки (ORCH-090):** `done` и `cancelled` — равноправные терминальные состояния
+(`{"next": None, "agent": None, "qg": None}`). `cancelled` — это **не новое ребро** (exit-гейты
+рёбер не меняются), а терминал STOP-отмены. Системный предикат «задача завершена» —
+`stage ∈ {done, cancelled}` (синхронно в `reconciler`/`serial_gate`/`task_deps`; adr-0026).
+
 ### 3. Quality Gates (`src/qg/checks.py`)
 
 | Check | Метод проверки |
@@ -111,12 +117,12 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 Вместо ~15 отдельных сообщений на задачу оркестратор держит **ОДНУ** live-карточку на задачу (`update_task_tracker`), которая обновляется на каждом переходе стадии. Текст рендерится статически из БД (`render_task_tracker`: стадии, токены, стоимость, BRD-подтверждение, итоги). Карточка всегда тихая (`disable_notification=True`); отдельные пинги шлют только `notify_approve_requested` / `notify_error`. `message_id` хранится в `tasks.tracker_message_id`; helpers `get_tracker_message_id` / `set_tracker_message_id`. Контракт всего компонента — **never raises**.
 
-**Режимы (ORCH-042, `ORCH_TRACKER_MODE` → `Settings.tracker_mode`).** Резолвится в `update_task_tracker` (case-insensitive, trim); всё, что ≠ `"bump"` (включая пустое/мусор/None), трактуется как `edit` → нулевая регрессия и безопасный фолбэк. Инвариант «одна карточка на задачу» сохраняется в обоих режимах.
+**Режимы (ORCH-042, `ORCH_TRACKER_MODE` → `Settings.tracker_mode`; дефолт переключён `edit → bump` в ORCH-067).** Резолвится в `update_task_tracker` (case-insensitive, trim); всё, что ≠ `"bump"` (включая пустое/мусор/None), трактуется как `edit` → безопасный фолбэк. Инвариант «одна карточка на задачу» сохраняется в обоих режимах.
 
 | Режим | Поведение при обновлении |
 |-------|--------------------------|
-| `edit` (дефолт) | первый вызов → `send_telegram` (тихо) + сохранение `message_id`; далее → `edit_telegram` на сохранённый id. Новое сообщение шлётся ТОЛЬКО при `EDIT_GONE` (удалено/старше 48ч/невалидный id). `EDIT_NOT_MODIFIED` / `EDIT_FAILED` → нового сообщения нет (анти-дубль). |
-| `bump` | карточка пересоздаётся внизу чата: best-effort `delete_telegram(старый_id)` → `send_telegram(text, disable_notification=True)` → `set_tracker_message_id(new_id)` **только** при успешном send (`new_mid is not None`). За один вызов — не более одного нового сообщения. |
+| `bump` (дефолт, ORCH-067) | карточка пересоздаётся внизу чата: best-effort `delete_telegram(старый_id)` → `send_telegram(text, disable_notification=True)` → `set_tracker_message_id(new_id)` **только** при успешном send (`new_mid is not None`). За один вызов — не более одного нового сообщения. Живая карточка всегда «догоняет» переписку. |
+| `edit` | первый вызов → `send_telegram` (тихо) + сохранение `message_id`; далее → `edit_telegram` на сохранённый id. Новое сообщение шлётся ТОЛЬКО при `EDIT_GONE` (удалено/старше 48ч/невалидный id). `EDIT_NOT_MODIFIED` / `EDIT_FAILED` → нового сообщения нет (анти-дубль). |
 
 **`delete_telegram(message_id) -> bool`** (low-level, never raises). Семантика возврата — «исчезло ли старое сообщение»:
 - `ok:true` → `True`;
@@ -128,6 +134,16 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 **Текст карточки (оба режима, ORCH-042):** метка `Подтверждение BRD` (была «Ревью БРД»); после прохождения approve-gate строка BRD начинается с ✅ (ветка ожидания сохраняет ⏸️/⏳); русские display-labels стадий (`Анализ / Архитектура / Разработка / Код ревью / Тестирование / Внедрение`); финальная строка `📦 Внедрено` (было `deployed`). Меняются только отображаемые строки — ключи стадий и имена агентов (завязаны на `_STAGE_ACTIVE_AGENT`, `last_done`, БД) не трогаются.
 
+**Строки стадий: отражение откатов + суммирование метрик (ORCH-091).** Цикл рендера строк стадий (`render_task_tracker` → `_stage_line`) исправлен по двум осям. (1) **Откат (Деф.2):** `✅`-строка стадии рисуется только если её позиция в конвейере `≤` текущей позиции задачи; позиция берётся из порядка `STAGE_TRANSITIONS` (read-only хелпер `_pipeline_pos`, never-raise; неизвестная стадия → «далёкое будущее» → ✅ не пере-подавляется) с нормализацией `deploy-staging → deploy` ТОЛЬКО в гейте подавления (схлопнутая строка «Внедрение» несёт `stage_key="deploy"`). После отката (`deploy-staging → development`, `review → development`) строки стадий ПОЗЖЕ текущей больше не рисуются как пройденные — пропадает абсурд «✅ Внедрение + 🔄 Разработка»; `is_active_stage` не тронут. (2) **Метрики (Деф.3):** `_stage_line` агрегирует ВСЕ `agent_runs` агента стадии (Σ cost / Σ токены / Σ время теми же per-run-формулами, что блок тоталов задачи), а не последний прогон — каждый агент привязан ровно к одной строке `_TRACKER_STAGES`, поэтому Σ(строк стадий) ≡ тоталы ≡ `SUM(agent_runs)` по `task_id`; модель/эффорт/«попытка N» берутся из последнего прогона. Прогоны, подавлённые откатом, по-прежнему входят в тоталы (намеренная семантика отката).
+
+**Строка Plane-статуса и кликабельный номер (ORCH-067, слой B — индикация).** Под заголовком карточка несёт строку `📍 <Plane-статус>` по модели ORCH-066. Источник — двухслойный, контракт **never raises**:
+- **Оффлайн-ядро** `plane_status_label(task_row)` — чистая функция БЕЗ сети: `stage → статус` (`created→To Analyse`, `analysis→Analysis`, `architecture→Architecture`, `development→Development`, `review→Code-Review`, `testing→Testing`, `deploy-staging→Deploying (staging)` [ORCH-091], `deploy→⏸️ Awaiting Deploy`, `done→Done`, `cancelled→Cancelled` [ORCH-091]) + `⏸️ In Review` из brd-часов (`brd_review_started_at` задан, `…_ended_at` пуст). **ORCH-091:** карта `_STAGE_STATUS_LABEL` покрывает ВСЕ ключи `STAGE_TRANSITIONS` (полнота — тестом, не статичным списком); неизвестная/будущая стадия → нейтральный фолбэк (капитализированное имя стадии), а НЕ «To Analyse» (он остаётся лишь явным лейблом `created` и безопасной деградацией на истинно-битом входе).
+- **Live-overlay** `_live_plane_branch_override` — best-effort: дорисовывает ветви-статусы, неразличимые оффлайн (Needs Input / Blocked / Rejected / Cancelled / Deploying / Monitoring after Deploy), чтением живого Plane-статуса (`fetch_issue_state` с коротким `tracker_live_status_timeout_s`, TTL-кэш `tracker_live_status_ttl_s`, kill-switch `tracker_live_status`). Любой сбой / выключенный флаг / нехватка данных → оффлайн-метка; `⏸️ In Review` (авторитет brd-часов) overlay не консультирует. Анти-false-positive: `deploying/monitoring`, алиасящие базовый UUID на проекте без выделенного статуса (enduro), не вызывают override.
+
+**Кликабельный номер задачи (ORCH-067).** Номер в заголовке карточки И во всех уведомлениях орка, где упоминается `work_item_id`, — HTML-ссылка на issue в Plane через общий `plane_issue_link` / `link_for` (URL строит `_plane_issue_url` с loopback/workspace/project-гардами, переиспользуя резолв ORCH-017). Fail-safe: при нехватке любого из (web-base/не-loopback, workspace, project_id, plane_issue_id) → `html.escape(work_item_id)` без `<a>`; динамические части экранируются, `<a>`-разметка валидна под `parse_mode=HTML`. Алерты `stage_engine`/`launcher`/`security_gate`/`reconciler` переведены на `link_for` (резолвит `repo`+`plane_issue_id` из БД по `task_id` или `work_item_id`).
+
+**HTML-безопасность данных карточки (ORCH-095).** Текст карточки шлётся с `parse_mode=HTML` и собирается из слотов двух категорий: **markup** (намеренная разметка — `num_html`/`plane_issue_link`, `link_for(...)`, `_done_link(...)`, уже-экранированный `esc_title`) и **data** (подставляемые значения — длительности `_fmt_minutes`/`_capped_review_str`, статус-лейбл `_card_status_label`, имя модели `short_model_name`, эффорт `_run_effort`, токены/стоимость `fmt_tokens`/`fmt_cost`). Инвариант: **каждый data-слот экранируется `html.escape` ровно один раз на границе рендера** (`render_task_tracker`/`_stage_line`); функции-источники остаются HTML-агностичными, markup-слоты не экранируются (двойное экранирование запрещено). Это устранило класс «неэкранированные данные в HTML-тексте»: до фикса `_fmt_minutes(<60s)` возвращал литерал `<1м`, который Telegram парсил как открывающий тег → `editMessageText` `400 can't parse entities` → `EDIT_FAILED` → ранний `return` (анти-дубль ORCH-087) → карточка застывала (инцидент ORCH-093). `_fmt_minutes` по-прежнему возвращает `<1м` — escape на границе (`&lt;1м`) рендерит его визуально идентично; формат не меняется. Застрявшая (в окне) карточка авто-восстанавливается следующим безопасным рендером; `edit_telegram`/`update_task_tracker`/леджер сирот/режимы `bump`/`edit` не тронуты. Детали — [ORCH-095 ADR-001](../work-items/ORCH-095/06-adr/ADR-001-html-safe-card-data-render.md).
+
 ## Database Schema
 
 ```sql
@@ -323,7 +339,7 @@ webhook (plane/gitea)                 background thread (queue_worker)
 
 | Колонка | Назначение |
 |--------|------------|
-| `status` | `queued` → `running` → `done` \| `failed` |
+| `status` | `queued` → `running` → `done` \| `failed` \| `cancelled` (ORCH-090: терминальный исход STOP-отмены, не реквью'ится) |
 | `attempts` / `max_attempts` | счётчик попыток (инкремент при claim) / лимит ретраев (default 2) |
 | `run_id` | FK на `agent_runs.id` после старта |
 | `pid` | (ORCH-065) pid агентского процесса (`proc.pid` из `_spawn`); liveness-сигнал для job-reaper. Добавляется `_ensure_column` (idempotent) |

docs/epics/self-evolution.md

@@ -0,0 +1,287 @@
+# 🧬 ЭПИК: Автономное саморазвитие платформы оркестратора
+
+> **Статус:** концепция v2 (структура согласована Славой 09.06 → ждёт финального апрува → декомпозиция)
+> **Автор:** Стрим · **Дата:** 2026-06-09 · **Заказчик:** Слава
+> **Связанные:** ORCH-8 (петля самообучения), ORCH-83 (наблюдаемость), ORCH-54 (автономное внедрение, done)
+> **Источники:** память орка (инциденты 06–09.06), инвентаризация 94 задач Plane, мировые практики (STRATUS NeurIPS'25, ChaosEater ASE'25, self-healing LLM-agents arXiv'26, agentic AIOps, FinOps token-economics).
+
+---
+
+## 0. Зачем это (vision)
+
+Оркестратор уже **автономно внедряет** (ORCH-54: задача проходит analysis→prod без человека). Но автономность исполнения ≠ автономное **развитие**. Сегодня платформу развивает связка Слава+Стрим вручную: ловим инциденты → формулируем уроки → заводим задачи → апрувим.
+
+**Цель эпика:** управляемый самоподдерживающийся контур, где платформа сама замечает свои слабые места И возможности роста, предлагает улучшения как готовые задачи, проводит их через собственный конвейер (ORCH-7 self-hosting) — **под контролем человека на ключевых развилках** (safety > автономность).
+
+**Принцип баланса (коррекция Славы 09.06):** саморазвитие — это НЕ только «не падать и не косячить». Стабильная платформа, которая не растёт в возможностях, — тупик. **Рост функционала (новые фичи, стеки, удобства для заказчиков) — равноценный домен, а не следствие надёжности.** Платформа развивается по двум рукам одновременно: крепнет (надёжность/качество/экономика) И раздаётся вширь (возможности/масштаб).
+
+---
+
+## 1. Архитектура эпика: фундамент + 5 доменов + 2 вертикали
+
+```
+┌─────────────────────────────────────────────────────────────┐
+│  ВЕРТИКАЛЬ-ДВИГАТЕЛЬ 🧠        ВЕРТИКАЛЬ-ТОРМОЗ 🛑            │
+│  🔄 уроки (крепнем) +          governance / safety L0-L3      │
+│  💡 генератор идей (растём)    (ограничивает, апрувы)         │
+│ ░░░░░░░░░░░░ проходят СКВОЗЬ все домены ░░░░░░░░░░░░░░░░░░░░░ │
+├─────────────────────────────────────────────────────────────┤
+│         ДОМЕНЫ РАЗВИТИЯ (равноценные, две руки роста)         │
+│                                                               │
+│   КРЕПНЕТ ───────────────────►   РАЗДАЁТСЯ ВШИРЬ ────────►    │
+│   🛡️ D1 Надёжность              🚀 D4 Возможности (фичи)      │
+│   ✅ D2 Качество/Доверие         📈 D5 Масштаб                 │
+│   💰 D3 Экономика                                             │
+├─────────────────────────────────────────────────────────────┤
+│  ФУНДАМЕНТ (слой 0):  👁️ Наблюдаемость + 📒 Журнал уроков    │
+│  глаза и память — без них всё слепо                          │
+└─────────────────────────────────────────────────────────────┘
+       Общая метрика-объединитель: 🌡️ ГРАДУСНИК АВТОНОМНОСТИ
+       (каждый домен двигает её вверх контролируемо)
+```
+
+### Что изменилось против v1 (мои же правки по критике)
+- **Наблюдаемость вынесена в фундамент** (была внутри M1) — она питает ВСЁ.
+- **M0 разбит на 2 вертикали:** двигатель (петля) и тормоз (governance) — у них противоположная логика, нельзя в одну коробку.
+- **Добавлен домен D2 Качество/Доверие** — была дыра: надёжная платформа может стабильно генерить говнокод. Надёжность инфры ≠ корректность результата.
+- **Рост (D4+D5) — равноценные домены, не «второй эшелон»** (коррекция Славы).
+- **Градусник автономности** — сквозная измеримая цель вместо абстракции.
+
+---
+
+## 🏗️ АРХИТЕКТУРНЫЕ РАМКИ наблюдаемости (решено Славой 09.06 — constraints для архитектора)
+
+> Это НЕЗЫБЛЕМЫЕ границы (заказчик). Конкретные ADR (стек, формат метрик, точки врезки) — зона архитектора внутри этих рамок.
+
+**Принцип:** наблюдатель ОТДЕЛЁН от наблюдаемого. Мониторинг НЕ живёт внутри орка — иначе орк упал/завис/съел память → мониторинг ляжет вместе с ним, и мы слепы в самый критичный момент.
+
+**Решения Славы:**
+- **С-1. Sidecar-контейнер на том же хосте** (вариант A). Отдельный процесс/память/рестарт — орк падает, наблюдатель жив и РЕПОРТИТ это.
+- **С-1б. КОД sidecar — В РЕПО орка** (отдельная папка `watchdog/`), рантайм — ОТДЕЛЬНЫЙ контейнер. Изоляция — на уровне КОНТЕЙНЕРА, не репозитория. Плюсы: (1) конвейер орка пилит свой мониторинг сам (self-hosting ORCH-7); (2) контракт `/metrics`↔sidecar в одном репо — не разъедется (один PR/тесты); (3) один CI. Сборка: ОТДЕЛЬНЫЙ `watchdog/Dockerfile` + сервис `orchestrator-watchdog` в docker-compose.yml. Разовое инфра-действие: добавить сервис в compose + первый запуск (Слава/Стрим на хосте), дальше код watchdog катится через конвейер.
+- **С-2. Без внешнего плеча (L2).** Не усложняем второй площадкой. (Принятый риск: падёнвесь хост/Docker → наблюдатель тоже молчит; осознанно.)
+- **С-3. Тонкий стек.** НЕ Grafana+Prometheus (+5-6 контейнеров на забитый хост). Тонкий Python/Go sidecar. **Факт хоста 09.06: RAM 171Mi free / 7.7Gi, диск 92%** — ресурсы впритык, наблюдатель обязан быть лёгким.
+
+**Разделение ответственности:**
+- **Орк отдаёт только сырьё:** лёгкий read-only `/metrics` (свои внутренние данные — стадии/очередь/agent-liveness/cost, что знает только он). БЕЗ логики мониторинга/алертов/хранения. Орк лёг → endpoint недоступен = САМ сигнал тревоги.
+- **Sidecar — мозг мониторинга:** читает `/metrics` орка + хост (диск/память/CPU) + контейнеры (docker.sock read-only) + пинг Plane/Gitea/Anthropic; хранит пороги, шлёт Telegram-алерты СО СВОИМ каналом (не зависит от кода орка).
+- **Журнал уроков (F2)** — исключение: это НЕ realtime-мониторинг, а историческая память петли → допустимо в БД орка (аддитивная таблица). Не критично к падению орка в момент (запись best-effort).
+
+---
+
+## 2. ФУНДАМЕНТ (слой 0) — 👁️ Глаза и 📒 Память
+
+Без данных нечем ни чинить, ни считать, ни приоритизировать, ни учиться. Строится первым.
+
+- **F1 Наблюдаемость** (ORCH-83 [ЭПИК]): метрики agent-liveness + очередь + стадии + хост (диск/память/CPU) + контейнеры + внешние деп (Plane/Gitea/Anthropic). Эндпоинты /health /status /queue → расширить до /metrics + дашборд.
+- **F2 Журнал уроков** (ORCH-8 шаг 1): машинная структурированная таблица отклонений (тип, контекст, корень, предложение, статус) — формализовать то, что сейчас в memory/. Это «топливо» для вертикали-двигателя.
+
+---
+
+## 3. ДОМЕН D1 — 🛡️ Надёжность (Self-Repairing)
+
+**Есть:** reconciler (53), post-deploy monitor+rollback (21), merge-verify (71/73), reaper (65), disk-watchdog (63), build-prune (62).
+**Уроки:** фантом-merge, deploy-петли, транзиенты, флапп-статусы, зомби-jobs.
+
+- **D1.1** Предиктивный мониторинг (causal, не порог): «диск заполнится через N ч».
+- **D1.2** Авто-ремедиация рантайма: каталог типовых фиксов (зомби-job→requeue, stale-lease→reclaim, флапп→форс-терминал).
+- **D1.3** Транзиент-резилентность everywhere (обобщение ORCH-93): единый retry+backoff для всех внешних вызовов.
+- **D1.4** Zero-downtime деплой платформы (blue-green/canary): резервное плечо вместо окна недоступности.
+- **D1.5** Авто-rollback по SLO (расширение 21): откат по деградации latency/error-rate, не только health.
+- **D1.6** Deep agent-liveness (self-healing LLM): «думает / завис / зациклился» по reasoning+CPU+прогрессу.
+- **D1.7** Backup/restore БД+worktree (recovery после краша хоста).
+
+---
+
+## 4. ДОМЕН D2 — ✅ Качество / Доверие результата
+
+> Новый домен. Закрывает дыру: платформа может надёжно и дёшево производить плохой результат. Надёжность инфры ≠ корректность кода/аналитики.
+
+**Есть:** security-гейт (22), reviewer/tester стадии, промпт-аудит (92).
+
+- **D2.1** Code-coverage гейт (ORCH-27): защита от деградации покрытия.
+- **D2.2** Регресс-страж результата: не только «тесты зелёные», но «не сломали соседнюю фичу» (расширение regression-guard ORCH-73).
+- **D2.3** Качество аналитики: метрика «BRD не пришлось переделывать», сверка факт vs ТЗ (как сегодня ловила ложное P0).
+- **D2.4** Доверие к выходу: provenance артефактов, воспроизводимость, «деплой OK = прод реально работает» (урок ET-8).
+- **D2.5** Опциональная человеческая приёмка важных фич (ORCH-28).
+- **D2.6** Само-оценка агентов: уверенность в результате → эскалация при низкой.
+
+---
+
+## 5. ДОМЕН D3 — 💰 Экономика
+
+**Боль (ORCH-38):** developer сжёг **$13.68 на мелочь** (cache_read 18.98M — слепое сканирование src/).
+
+- **D3.1** Model-routing cascade (мир: −87%): классификатор сложности → дешёвая модель на простое, opus на сложное (ORCH-20+13).
+- **D3.2** Бюджет circuit-breaker (ORCH-23): хард-лимит $/токенов/времени → пауза+алерт.
+- **D3.3** Оценка задачи ДО старта (ORCH-20): прогноз $/время по истории.
+- **D3.4** Целевые файлы в задании (ORCH-38): analyst даёт точный список из TRZ → нет слепого сканирования. **Самый дешёвый высокий impact.**
+- **D3.5** Fast-track простых задач (ORCH-19): багфикс → урезанный цикл без architect, дешёвая модель.
+- **D3.6** Semantic caching / prompt compression (мир: −31%).
+- **D3.7** Cost-дашборд + детект аномалий.
+
+---
+
+## 6. ДОМЕН D4 — 🚀 Возможности (рост функционала)
+
+> **Равноценный домен (акцент Славы).** Это то, ради чего платформой ПОЛЬЗУЮТСЯ. Без новых возможностей надёжность бессмысленна — нечего надёжно делать. Развивается параллельно с D1-D3, а не после.
+
+**Backlog-зародыши:** ORCH-12/13/14/15/18/24/25.
+
+- **D4.1** Стеки-плагины: профили стека (web/mobile/data/ML/embedded) → агенты адаптируют процесс. Расширяемо без правки ядра. **Открывает заказчикам новые типы проектов.**
+- **D4.2** Android/мобильный стек (ORCH-15): полноценная разработка приложений.
+- **D4.3** UX/UI-дизайнер (ORCH-14): дизайнер-агент генерит макеты на аналитике, согласование с BRD.
+- **D4.4** Интерактивный аналитик (ORCH-18): живой диалог Слава↔analyst — уточнение BRD, обсуждение вариантов до старта. Удобство + качество постановки.
+- **D4.5** Тяжёлые вычисления (ORCH-12): воркер/стадия для долгих расчётов (ML-обучение, миграции данных).
+- **D4.6** База знаний проекта (ORCH-24): RAG-контекст решений/архитектуры — агенты умнее (+экономия).
+- **D4.7** Декомпозиция эпиков (ORCH-25): эпик→задачи→сборка автоматически (этот документ — кандидат №1).
+- **D4.8** Новые роли-агенты: data-engineer, ML-инженер, DevOps — по мере типов проектов.
+- **D4.9** Мультипровайдерность моделей (ORCH-13): не только Claude — выбор под задачу/стек/бюджет.
+
+---
+
+## 7. ДОМЕН D5 — 📈 Масштаб
+
+> Вторая «рука роста»: способность делать БОЛЬШЕ и ШИРЕ. Сейчас потолок — `max_concurrency=1`.
+
+**Backlog-зародыши:** ORCH-9/10; done: ORCH-6 (multi-repo), ORCH-88 (serial-batch).
+
+- **D5.1** Параллельная разработка (снять max_concurrency=1): безопасный N>1 (изоляция worktree есть, нужна merge-orchestration FIFO + защита main). **Много фич параллельно = быстрее растём.**
+- **D5.2** Turnkey-онбординг проекта (ORCH-9): команда → Plane+Gitea+агенты+инфра за минуты.
+- **D5.3** Тиражирование на новый хост (ORCH-10): перенос платформы на инфру нового заказчика (IaC-bundle).
+- **D5.4** Горизонтальный воркер-пул: очередь jobs (ORCH-1) → несколько воркеров/хостов.
+- **D5.5** Per-project лимиты ресурсов (concurrency/бюджет на проект).
+- **D5.6** Мультитенантность (отложено — SaaS-сценарий, по спросу).
+
+---
+
+## 8. ВЕРТИКАЛЬ-ДВИГАТЕЛЬ 🧠 — две турбины: реактивная + проактивная
+
+> Двигатель питается из ДВУХ источников (коррекция Славы 09.06). Реактивная турбина (уроки из боли) кормит «крепнем» (D1-D3). Проактивная (генератор идей) кормит «растём» (D4-D5). Без второй турбины рост фич зависит только от Славы — бутылочное горлышко.
+
+### 8A. Реактивная турбина 🔄 — петля самообучения из уроков (ORCH-8)
+```
+ДЕТЕКЦИЯ → ЖУРНАЛ урока → АНАЛИЗ/паттерны → ПРЕДЛОЖЕНИЕ задачи → [governance-гейт] → конвейер ORCH-7 → проверка эффекта → журнал
+```
+- **Детекция:** провал гейта, **ручное вмешательство (самый ценный сигнал — каждый ручной пинок = дыра автономности)**, ретраи/откаты/таймауты, ложные срабатывания, «деплой OK / прод сломан».
+- **Анализ (гибрид):** машина копит и предлагает черновик → Стрим фильтрует/оформляет → Слава апрувит.
+- **E1** Журнал уроков (=F2). **E2** Агент-ретроспективщик (анализ→предложение).
+
+### 8B. Проактивная турбина 💡 — генератор идей новых возможностей (НОВОЕ — запрос Славы)
+
+> Отдельный источник идей роста функционала — НЕ только требования от Славы. Проактивно предлагает новые фичи/возможности/удобства. Та же воронка: машина/агент генерит черновики → Стрим фильтрует → Слава решает.
+
+**Источники идей (вход генератора):**
+- **I1 Гэпы реализации:** чего НЕ хватило для запрошенных проектов (enduro-trails, snowbike — что было тяжело/невозможно сделать платформой → кандидат в фичу).
+- **I2 Паттерны ручного труда:** что Слава/заказчики часто делают руками ВНЕ платформы → кандидат на автоматизацию/фичу.
+- **I3 Тренды и новые технологии:** сканирование новых моделей/стеков/инструментов (web-поиск, release-notes провайдеров) → «вышла модель X / фреймворк Y — даёт новую возможность».
+- **I4 Конкурентный/рыночный анализ:** что умеют другие AI-платформы разработки (Devin, Cursor, Copilot Workspace…) → чего нет у нас.
+- **I5 Анализ собственного бэклога/истории:** паттерны типов задач → «часто просят X → стоит сделать шаблон/фичу».
+- **I6 Обратная связь заказчиков:** явные пожелания/жалобы по реализованным проектам.
+- **I7 Саморефлексия Стрим:** я вижу работу платформы изнутри каждый день — предлагаю удобства/фичи из опыта ведения.
+
+**Компоненты:**
+- **E4 Агент-идеатор (product-discovery):** по расписанию сканирует I1-I7 → генерит бэклог идей-черновиков фич (с обоснованием «зачем/кому/из какого источника»).
+- **E5 Банк идей:** отдельный реестр (не путать с журналом уроков): идея, источник, предполагаемая ценность, статус (new/отклонена/в работе).
+
+### 8C. Общий выход двигателя
+- **E3 Приоритизатор RICE:** сводит ОБА потока (уроки из 8A + идеи из 8B) в единый ранжированный бэклог по impact/cost/risk — что брать первым по всем доменам. Баланс «крепнем vs растём» — настраиваемый (квота слотов на надёжность vs фичи).
+
+---
+
+## 9. ВЕРТИКАЛЬ-ТОРМОЗ 🛑 — Governance / Safety
+
+> «Контроль и управление саморазвитием» (требование Славы). Двигатель жмёт газ — этот контур держит руль и тормоз.
+
+**Принцип (ORCH-8, незыблемо):** самомодификация платформы (промпты/скиллы/конфиги агентов/ядро) — ТОЛЬКО через PR+ревью+апрув Славы. Орк ПРЕДЛАГАЕТ, ПРИМЕНЯЕТ через свой конвейер с гейтами.
+
+**Уровни автономии (agentic AIOps maturity):**
+| Уровень | Что авто | Гейт |
+|---------|----------|------|
+| L0 reactive | только алерт | человек делает всё |
+| L1 assistive | предложить задачу+ТЗ | человек апрувит запуск |
+| L2 autonomous-bounded | гонит безопасные классы (бэкенд-фиксы) до прода | safety-гейты CI/staging/regression |
+| L3 self-modifying | менять агентов/ядро | **всегда** PR+апрув Славы, НИКОГДА не авто |
+
+- **G1** Safety-политика L0-L3 + per-class правила (что можно само, что только через Славу). Лейблы autoApprove/autoDeploy (ORCH-89) = уже зародыш.
+- **G2** Бюджет на саморазвитие: лимит $/мес, чтобы контур не жёг бесконтрольно.
+- **G3** Дашборд эволюции: метрики 5 доменов в динамике — видно, КУДА развивается платформа.
+- **G4** Kill-switch петли: остановить самогенерацию задач одним флагом.
+
+---
+
+## 10. 🌡️ Градусник автономности (сквозная метрика)
+
+Объединяющая измеримая цель эпика. Каждый домен двигает её вверх:
+- **% задач без ручного пинка** (сегодня было ~5 вмешательств: апрувы, домерж 063, sync 061).
+- **Ручных вмешательств / неделю** (тренд вниз).
+- **MTBF / MTTR** платформы (D1).
+- **$/задача, токены/задача, время/задача** (D3).
+- **Типов проектов/стеков поддержано** (D4).
+- **Задач параллельно** (D5).
+- **% уроков, ставших задачами** (двигатель).
+
+---
+
+## 11. Связь с Backlog (ничего не теряем)
+
+| Backlog | Домен/вертикаль |
+|---------|-----------------|
+| ORCH-8 петля | 🧠 Двигатель (ядро) |
+| ORCH-83 наблюдаемость | Фундамент F1 |
+| ORCH-20/23/38/19 | 💰 D3 |
+| ORCH-27/28 | ✅ D2 |
+| ORCH-12/13/14/15/18/24/25 | 🚀 D4 |
+| ORCH-9/10 | 📈 D5 |
+| ORCH-94 флапп | 🛡️ D1.2 |
+| ORCH-89 авто-лейблы | 🛑 G1 |
+
+~18 backlog-задач ложатся в структуру. Эпик их систематизирует и достраивает.
+
+---
+
+## 12. Дорожная карта (предложение)
+
+1. **Фаза 0 (фундамент):** F1 наблюдаемость + F2 журнал. Без них рулить нечем.
+2. **Фаза 1 (две руки параллельно):**
+   - крепнем: D3.4 целевые файлы + D3.2 бюджет-breaker (дешёвый impact)
+   - растём: D4.1 стеки-плагины ИЛИ D4.4 интерактив-аналитик (по спросу)
+3. **Фаза 2:** D1 надёжность (транзиент-резилентность, авто-ремедиация) + D2 качество + D5.1 параллелизм.
+4. **Фаза 3 (мозг):** E2 ретроспективщик + E3 приоритизатор + G1 safety-политика → петля замыкается, дальше платформа предлагает сама.
+
+---
+
+## ⛓️ Реализация в Plane (решено 09.06)
+
+**Ось ДОМЕНА → модули Plane** (1 задача = 1 модуль; slug в `external_id`, name с эмодзи для человека):
+
+| Модуль (name) | slug (external_id) | module_id |
+|---|---|---|
+| 👁️ Фундамент | `foundation` | 74dee25a-a44b-4c3b-ab55-1b5638b8cc1f |
+| 🧠 Мозг | `brain` | ab1afa08-14ce-4b7d-8ebc-e45ac19b2ba7 |
+| 🛡️ Надёжность | `reliability` | abd7479e-4f9b-4a56-a926-cb2ece7558ca |
+| ✅ Качество | `quality` | cbf5f8ca-dc1a-4dee-9d35-555459de2b30 |
+| 💰 Экономика | `economy` | 9b4bbab3-95d6-4b8a-8d72-379a618ea2f3 |
+| 🚀 Возможности | `features` | baa6936c-6a39-4935-ad57-31ef5ffc3041 |
+| 📈 Масштаб | `scale` | 18373528-14fa-4627-a0f6-32497ff22177 |
+
+**Ось ВЕРТИКАЛЬ → лейблы** (могут быть несколько, список короткий):
+- `engine` (36f398f7-5a1c-4eeb-847a-56c457e1da6b) — задача пришла от петли/идеатора.
+- `governance` (9eea4dd8-0fe7-473a-8c40-630fc3ab0d25) — требует апрува L3 / safety-внимания.
+- (+ существующие `autoApprove`/`autoDeploy` — ортогональны, режим автономности.)
+
+**Правило раскладки:** каждая задача эпика = 1 модуль-домен (по slug) + 0..N вертикаль-лейблов. Орк ищет/привязывает по `external_id` (не по русскому имени).
+
+⚠️ **Порядок модулей на доске:** Plane API игнорирует `sort_order` на запись (только drag-and-drop в UI). Сейчас порядок перевёрнут (Масштаб сверху) — Славе поправить мышкой (фундамент→мозг→надёжность→качество→экономика→возможности→масштаб). На машинную логику не влияет (орк по slug).
+
+---
+
+## 13. Открытые вопросы Славе
+
+1. **Структура Plane:** мега-эпик с фундаментом+5 доменами+2 вертикалями? Или эпик на каждый домен?
+2. **D4 (возможности):** какой стек/фича приоритетны для тебя/заказчиков — Android, UX/UI, тяжёлые расчёты, интерактив-аналитик? С чего рост начинать?
+3. **Баланс «крепнем vs растём»:** идти строго параллельно обеими руками, или в каждой фазе перевес в одну сторону?
+4. **Safety L3:** подтверждаешь — самомодификация ядра/агентов всегда через твой апрув?
+5. **Двигатель (E2/E4):** ретроспективщик + агент-идеатор сразу как агенты, или сначала Стрим ведёт журнал/банк идей вручную?
+8. **Генератор идей (8B):** какие из источников I1-I7 тебе ценнее (гэпы проектов / тренды-технологии / конкуренты / саморефлексия Стрим)? Генерить автономно или только по твоему запросу?
+6. **Бюджет на эпик (G2):** лимит $/мес?
+7. **Первая задача** после апрува: F1 наблюдаемость, быстрая победа D3.4, или сразу рост D4.*?

docs/operations/INFRA.md

@@ -47,8 +47,35 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 - **P-3:** `id slin` → `1000:1000`; `/repos`, `/app/data` уже `1000:1000`.
 - **P-4:** прод-рестарт self — только в окно тишины (`GET /status` без активных задач):
   общий инстанс с enduro-trails.
-- Разовый разгребающий `chown -R 1000:1000 /home/slin/repos/orchestrator` для старых
-  `root:root` файлов из истории (вне объёма кода).
+- **P-5 (блокер миграции uid, ORCH-057):** нормализация **всех** legacy `root:root` файлов в `/repos`
+  — см. подраздел «Миграция uid: обязательная нормализация legacy root-файлов» ниже. Без неё первый
+  job падает на launch при создании worktree (инцидент 06.06, ORCH-043).
+
+### Миграция uid: обязательная нормализация legacy root-файлов (ORCH-057)
+ORCH-040 сменил `user:` контейнера, но **не** владельца уже существующих файлов в bind-mount `/repos`,
+созданных прежним root-контейнером. Под uid 1000 `src/git_worktree.py::ensure_worktree` не может
+создать worktree рядом с `root:root` каталогом `/repos/_wt/` → `fatal: could not create leading
+directories … Permission denied` (агент даже не стартует). С ORCH-057 эта ошибка распознаётся и
+выдаётся **внятно** (с лечащей командой) + детектится на старте сервиса (WARNING/Telegram, блок
+`fs_ownership` в `GET /queue`), но **фактический `chown` обязан выполнить оператор под root на хосте**
+(контейнер бежит без root и chown'ить чужие файлы не может).
+
+**Обязательный разовый шаг при миграции uid / на новой среде (под root на mva154, ПЕРЕД стартом app):**
+```bash
+# 1) worktree-корень (все ветки всех проектов режутся здесь)
+sudo chown -R 1000:1000 /home/slin/repos/_wt
+# 2) .git обоих репо (objects / worktrees-административные записи)
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git \
+                        /home/slin/repos/enduro-trails/.git
+# 3) корень orchestrator целиком (включая data/runs/*.log — 37 root-логов в инциденте)
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator
+# Проверка (пусто = ок):
+find /home/slin/repos/_wt ! -uid 1000 -print -quit
+```
+Процедура **идемпотентна** (повтор на корректной среде — no-op) и входит в **чеклист деплоя/миграции
+self**. Область охвата: `_wt`, оба `.git` (`objects`+`worktrees`), `data/runs`. См.
+`docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md` и сквозной
+`docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`.
 
 ### Тома (volumes)
 - `./data` → `/app/data` (БД; у staging — `./data/staging`)
@@ -58,6 +85,47 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 - `~/.orchestrator-ssh` → `/home/slin/.ssh` (ro, деплой по ssh; target в HOME агента,
   согласован с `HOME=/home/slin` из launcher — ORCH-040, ранее `/root/.ssh`)
 
+### Disk-watchdog: мониторинг заполнения диска mva154 (ORCH-063)
+07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь конвейер всех проектов**
+(один прод-инстанс `orchestrator` на общей БД/очереди). Чтобы такой инцидент сигнализировался
+**заранее**, работает фоновый daemon-поток `src/disk_watchdog.py` (каркас `reconciler`/`job_reaper`):
+- **Что мониторится:** заполнение **хост-разделов** по смонтированным bind-путям (`/repos` →
+  host `/home/slin/repos`, `/app/data` → host `./data`) через stdlib `shutil.disk_usage` — НЕ
+  overlay `/` контейнера (иначе замер ложно-низкий). Пути с одним физическим устройством (`st_dev`)
+  дедуплицируются → один алерт, не два.
+- **Порог и период:** при заполнении **≥ 85%** (`ORCH_DISK_MONITOR_THRESHOLD_PCT`) шлётся
+  Telegram-алерт оператору; замер — раз в 300с (`ORCH_DISK_MONITOR_INTERVAL_S`). Пока диск выше
+  порога, повтор — не чаще раза в ~6ч (`ORCH_DISK_MONITOR_REALERT_S`, анти-спам). При возврате
+  ниже порога — однократное recovery-сообщение.
+- **Как отключить:** `ORCH_DISK_MONITOR_ENABLED=false` (демон не стартует; `GET /queue` →
+  `disk_monitor.enabled=false`; поведение 1:1 как сейчас). Наблюдаемость — блок `disk_monitor` в
+  `GET /queue` (последний замер: `used_pct`/`free_gb`/`alerting`/`last_alert_at` по каждому пути).
+- **Что делать при алерте:** watchdog **только сигнализирует** — он не трогает диск/контейнер и не
+  рестартит прод (self-hosting безопасность). Освобождение **docker build cache** автоматизировано
+  отдельным демоном (ORCH-062, см. ниже); прочие «пожиратели» — старые worktree-каталоги
+  `/home/slin/repos/_wt/*` завершённых задач, логи, dangling-образы (`docker image prune`) —
+  по-прежнему **ручная** операция оператора (авто-уборка этих категорий — вне объёма ORCH-062/063).
+
+### Build-cache-pruner: авто-prune docker build cache на mva154 (ORCH-062)
+Доминирующий «пожиратель» в инциденте 07.06.2026 — **docker build cache** (≈11 ГБ от частых
+пересборок прод/staging-образов). Чтобы он не мог снова заполнить диск **без оператора**, работает
+фоновый daemon-поток `src/build_cache_pruner.py` (каркас `disk_watchdog`) — «вторая половина»
+watchdog'а: **watchdog сигналит, pruner убирает**.
+- **Что делает:** каждые `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` (дефолт 21600с = 6ч) выполняет
+  **строго `docker builder prune -f --filter until=<until>`** (BuildKit GC; дефолт `until=24h` —
+  удаляется build cache старше суток, тёплый свежий кэш сохраняется). Команда затрагивает **только
+  build cache** — НЕ образы/контейнеры запущенных сервисов; рестарт docker daemon/прода НЕ
+  выполняется (self-hosting безопасность).
+- **Как исполняется:** в контейнере нет `docker` CLI (образ несёт только `openssh-client git`),
+  поэтому уборка идёт **на хосте через ssh** тем же каналом `ORCH_DEPLOY_SSH_USER@_HOST`, что
+  деплой/`image_freshness`. **Пустой `ORCH_DEPLOY_SSH_HOST` → тик no-op** (фича активна только на
+  self-host, где ssh настроен).
+- **Как отключить:** `ORCH_BUILD_CACHE_PRUNE_ENABLED=false` (демон не стартует; поведение 1:1 как
+  до ORCH-062). Наблюдаемость — блок `build_cache_prune` в `GET /queue` (`enabled`/`interval_s`/
+  `until`/`last_run_ts`/`last_reclaimed`/`last_error`); never-raise; in-memory учёт (без миграции).
+- **Ручной fallback** (если ssh-канал недоступен) — host-cron на mva154:
+  `0 */6 * * * docker builder prune -f --filter until=24h` (off-git, процедура Owner).
+
 ## Переменные окружения (карта; значения — в `.env`)
 
 | Переменная | Назначение |
@@ -91,6 +159,17 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 | `ORCH_RECONCILE_GRACE_DEFAULT_S` | порог «застряла» по `tasks.updated_at`, сек; дефолт `600` |
 | `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | per-stage пороги, напр. `{"development":300}`; невалидный JSON → дефолт |
 | `ORCH_RECONCILE_NOTIFY_UNBLOCK` | слать Telegram при разблокировке застрявшей задачи; дефолт `true` |
+| `ORCH_DISK_MONITOR_ENABLED` | kill-switch disk-watchdog (ORCH-063); дефолт `true`. `false` → демон не стартует, поведение 1:1 как сейчас |
+| `ORCH_DISK_MONITOR_INTERVAL_S` | период heartbeat-замера заполнения диска, сек; дефолт `300` |
+| `ORCH_DISK_MONITOR_THRESHOLD_PCT` | порог заполнения для алерта, %; дефолт `85` (валидация 1..100, иначе → дефолт) |
+| `ORCH_DISK_MONITOR_REALERT_S` | cooldown повторного алерта, пока выше порога, сек; дефолт `21600` (~6 ч) |
+| `ORCH_DISK_MONITOR_PATHS` | CSV отслеживаемых **хост**-bind-путей; пусто → `/repos,/app/data` |
+| `ORCH_BUILD_CACHE_PRUNE_ENABLED` | kill-switch build-cache-pruner (ORCH-062); дефолт `true`. `false` → демон не стартует, поведение 1:1 как до задачи |
+| `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` | период тика авто-prune, сек; дефолт `21600` (~6 ч); валидация >0, иначе → дефолт |
+| `ORCH_BUILD_CACHE_PRUNE_UNTIL` | возраст удержания тёплого кэша (`docker builder prune --filter until=`); дефолт `24h`; валидация `^\d+[smhdw]?$`, иначе → `24h` |
+| `ORCH_BUILD_CACHE_PRUNE_ALL` | добавить `-a` к prune (только в паре с `until`); дефолт `false` |
+| `ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S` | таймаут ssh-команды prune, сек; дефолт `120` |
+| `ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB` | Telegram при освобождении ≥ N ГБ; дефолт `0` (тихо) |
 | `DEPLOY_SSH_USER` / `_HOST` / `DEPLOY_HOOK_SCRIPT` | параметры деплой-хука |
 
 **Секреты — только в `.env` / `.env.staging` на хосте, в гит НЕ коммитятся.** Канон — `.env.example`, `.env.staging.example`.

docs/work-items/ORCH-026/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: Управление зависимостями задач (B ждёт A) в очереди
+
+Work Item ID: ORCH-026
+
+## Description
+
+TBD

docs/work-items/ORCH-026/01-brd.md

@@ -0,0 +1,135 @@
+# 01-BRD — Управление зависимостями задач (B ждёт A) в очереди
+
+**Work Item:** ORCH-026
+**Repo:** orchestrator (self-hosting)
+**Branch:** feature/ORCH-026-b-a
+**Стадия:** analysis
+**Источник:** предложение Стрим, одобрено Славой (2026-06-04); дополнение Слава+Стрим 2026-06-08 (инцидент эрозии `main`)
+
+---
+
+## 1. Контекст и проблема
+
+### 1.1 Первопричина (мотивация СЕЙЧАС — инцидент 08.06)
+Эрозия `main` 08.06 (потеря кода ORCH-067/069, фантом-merge) родилась НЕ из логических
+зависимостей, а из **некоординированного параллелизма**: несколько self-hosting задач
+(ORCH-067/069/071) одновременно срезали ветки от `main` и правили общие файлы
+(`CHANGELOG.md`, `notifications.py`, `config.py`). Последствия:
+
+- CHANGELOG-конфликты на `auto_rebase` → откаты `deploy-staging → development` (дорого:
+  ORCH-069 = 3 попытки = $3.98);
+- тихое затирание кода соседа при merge ветки, срезанной от устаревшего `main` (фантом).
+
+**ORCH-073** закрыл ПОСЛЕДСТВИЯ (3 рубежа: CHANGELOG `merge=union` + SHA-in-main verify +
+регресс-гард маркеров). ORCH-026 должен закрыть **ПЕРВОПРИЧИНУ**: задачи одного репо не
+должны мешать друг другу в `main`.
+
+### 1.2 Исходный скоуп (плоская очередь ORCH-1)
+Очередь (`src/queue_worker.py`, ORCH-1) — плоская: `jobs` упорядочены по `id` (FIFO),
+гейтятся только `available_at` и `max_concurrency`. Нельзя выразить «задача B не стартует,
+пока не готова A». Декомпозиция эпиков (ORCH-025) порождает заведомо зависимые подзадачи.
+
+### 1.3 Что уже есть (опора, НЕ переписывать)
+- **ORCH-1** — персистентная очередь (`jobs`), atomic claim, `available_at`-defer, restart-safe.
+- **ORCH-065** — `merge-lease` (`src/merge_gate.py`): per-repo файловый лиз
+  `.merge-lease-<repo>.json`, неблокирующий acquire, holder-aware release, проактивный
+  реклейм мёртвого/устаревшего держателя. **Сейчас лиз держится только на ребре
+  `deploy-staging → deploy`** (от merge-gate до фактического merge).
+- **ORCH-043** — merge-gate: `branch_is_behind_main`, `auto_rebase_onto_main` (rebase
+  **только когда ветка отстаёт или при конфликте**), `retest_branch`.
+- **ORCH-073** — merge-verify: `verify_merged_to_main` (SHA-in-main), `check_main_regression`.
+- **Plane-статусы** `Blocked` / `Needs Input` + `set_issue_blocked` (`src/plane_sync.py`).
+- **Telegram live-tracker** (`src/notifications.py`) — одна карточка на задачу, уже умеет
+  показывать статус `Blocked`.
+
+---
+
+## 2. Цель (бизнес-результат)
+
+Задачи одного репозитория перестают повреждать `main` друг друга, а очередь умеет
+выражать логические зависимости между задачами — БЕЗ потери параллелизма между разными
+репозиториями и без риска для self-hosting прода.
+
+---
+
+## 3. Два уровня требований (объединить в одной задаче; приоритет — Уровень A)
+
+### Уровень A — Сериализация merge/деплоя внутри ОДНОГО репо (КРИТИЧНО, корень эрозии)
+Закрывает первопричину инцидента 08.06.
+
+- **A-1.** В рамках ОДНОГО репо merge-в-`main` + деплой должны быть **сериализованы**: пока
+  задача A не слита в `main` (и для self-hosting — не задеплоена), задача B того же репо НЕ
+  доходит до своего merge/деплоя от устаревшего `main`.
+- **A-2.** B перед своим merge-gate **обязана ребейзнуться на СВЕЖИЙ `main`** (где уже есть
+  A) — **proactive pre-merge rebase**, а не только при текстовом конфликте (как сейчас в
+  ORCH-043). Цель: B всегда несёт актуальный код предшественников → структурный анти-фантом
+  на уровне планировщика (дополняет рубежи ORCH-073, не заменяет).
+- **A-3.** Сериализация — **только внутри одного репо**. Задачи РАЗНЫХ репо (orchestrator vs
+  enduro-trails) параллелятся свободно (общая БД/очередь — пропускная способность не падает).
+- **A-4.** Механизм — минимально-инвазивный и **restart-safe** (как ORCH-1/065): переживает
+  рестарт прод-контейнера, не оставляет навсегда захваченных ресурсов (опора на проактивный
+  реклейм ORCH-065).
+- **A-5.** **Совместимость с self-hosting safety:** не ронять/не рестартить прод-контейнер
+  вне штатного deploy; гейт `Confirm Deploy` (ORCH-059) сохранён; никаких push/force-push в
+  `main`.
+- **A-6.** Защита от взаимоблокировки: B при занятой сериализации **defer** (повторная
+  постановка с задержкой через `available_at`), а НЕ откат на `development` и НЕ вечное
+  ожидание; bounded defer-бюджет (анти-livelock, как `merge_defer_max_attempts`).
+
+### Уровень B — Декларативные зависимости (исходный скоуп ORCH-26)
+- **B-1.** Задача может объявить связь `blocked-by` / `blocks` (depends-on).
+- **B-2.** Планировщик очереди (ORCH-1) **не запускает** заблокированную задачу, пока все её
+  depends-on не достигли терминального состояния (`done`).
+- **B-3.** **Защита от дедлоков:** циклические зависимости детектируются; задача в цикле не
+  «пропадает молча» — выставляется `Blocked` + alert (Telegram/Plane).
+- **B-4.** **Видимость:** заблокированная задача видна — Plane-статус `Blocked` и/или
+  ожидание в Telegram-карточке (что и кого ждёт).
+
+---
+
+## 4. Открытые вопросы для архитектора (НЕ решаются на этапе анализа)
+
+> Аналитик фиксирует требования; выбор механизма — за архитектором (ADR в `06-adr/`).
+
+1. **Где хранить связи (Уровень B):** Plane relations (родное, видимо в UI, но требует
+   сетевого запроса и зависит от Plane) vs таблица в БД (`job_deps`/поля `tasks`, надёжно и
+   offline, но дубль источника) vs **гибрид** (Plane — источник декларации, БД — кэш для
+   планировщика). Рекомендация анализа: гибрид с offline-fallback (см. §6).
+2. **Механизм сериализации (Уровень A):** глобальный per-repo merge-lock vs FIFO merge-queue
+   vs **обязательный pre-merge rebase + расширение окна merge-lease** (от «момента merge» до
+   «main-updated»). Выбрать минимально-инвазивный, restart-safe, переиспользующий ORCH-065/043.
+3. **Граница окна сериализации для self-hosting:** для не-self репо «merged в main» = конец
+   окна; для self (orchestrator) деплой асинхронный (Phase B/C, ORCH-036/071) — нужно решить,
+   до какого события держать лиз (до `merged_to_main: true` / до `done`).
+4. **Совместимость B и A:** depends-on (B) на уровне постановки в очередь vs merge-сериализация
+   (A) на уровне merge-gate — разные точки конвейера; убедиться, что не конфликтуют.
+
+---
+
+## 5. Вне скоупа (Non-goals)
+- Изменение машины стадий `STAGE_TRANSITIONS` (сериализация/зависимости — врезки/гейты, не
+  новые стадии — паттерн ORCH-043/058/071).
+- Приоритизация/перепланирование задач по весам (только зависимости и сериализация).
+- Кросс-репо зависимости (A-3 явно запрещает кросс-репо сериализацию; кросс-репо логические
+  зависимости — возможный follow-up, не v1).
+- Отмена/замена рубежей ORCH-073 — ORCH-026 их **дополняет** на уровне планировщика.
+
+---
+
+## 6. Заинтересованные стороны
+- **Owner (Слава)** — одобряет BRD; держатель self-hosting прод-риска.
+- **Стрим** — автор предложения.
+- **Конвейер агентов** — потребитель: developer/deployer работают с веткой, которую затрагивает
+  сериализация; reviewer проверяет обновление доки.
+
+---
+
+## 7. Критерии успеха (бизнес-уровень)
+- Две зелёные задачи одного репо больше не способны затереть код друг друга в `main` на уровне
+  планировщика (без участия рубежей-последствий ORCH-073).
+- Задача может объявить зависимость; заблокированная задача не стартует раньше времени и видна
+  наблюдателю.
+- Пропускная способность разных репо не деградирует.
+- Прод-контейнер orchestrator не падает и не рестартится вне штатного `Confirm Deploy`.
+
+Точные PASS/FAIL — `03-acceptance-criteria.md`.

docs/work-items/ORCH-026/02-trz.md

@@ -0,0 +1,134 @@
+# 02-ТЗ — Управление зависимостями задач (B ждёт A) в очереди
+
+**Work Item:** ORCH-026 · **Repo:** orchestrator · **Стадия:** analysis
+
+> ТЗ фиксирует ТРЕБОВАНИЯ к изменениям (модули, контракты, артефакты). Конкретный механизм
+> сериализации и место хранения связей — решение архитектора (ADR в `06-adr/`); ниже отмечены
+> как «КАНДИДАТ / решает архитектор». Аналитик не предлагает архитектуру.
+
+---
+
+## 1. Задействованные модули `src/`
+
+| Модуль | Роль в задаче | Уровень |
+|--------|---------------|---------|
+| `src/queue_worker.py` | Планировщик: `_drain_once` / `claim_next_job` — точка учёта зависимостей и сериализации при выборе job. | A + B |
+| `src/db.py` | Очередь `jobs` / `tasks`; `claim_next_job`, `enqueue_job`, `count_running_jobs`. Кандидат на хранение связей и блокировки claim. | A + B |
+| `src/merge_gate.py` | merge-lease (ORCH-065), `branch_is_behind_main` / `auto_rebase_onto_main` (ORCH-043) — опора для proactive pre-merge rebase и расширения окна сериализации. | A |
+| `src/qg/checks.py` | `check_branch_mergeable` (под-гейт ребра `deploy-staging → deploy`) — точка форсированного pre-merge rebase. | A |
+| `src/stage_engine.py` | `advance_stage` — врезки гейтов; точка интеграции сериализации/верификации. | A |
+| `src/webhooks/plane.py` | `handle_work_item_created` / `start_pipeline` — приём задачи; точка чтения relations (если источник — Plane). | B |
+| `src/plane_sync.py` | `set_issue_blocked`, `get_project_states` (`blocked`/`needs_input`), relations API. | B |
+| `src/notifications.py` | live-карточка: индикация `Blocked` / «ждёт ORCH-NNN». | B |
+| `src/config.py` | Новые kill-switch + scope-настройки (паттерн `*_enabled` / `*_repos`). | A + B |
+| `src/reconciler.py` / `src/job_reaper.py` | Не ломать: skip заблокированных задач (как уже делается для Blocked/Needs-Input, ORCH-060/068); реклейм ресурсов сериализации. | A + B |
+
+---
+
+## 2. Требования к изменениям — Уровень A (сериализация merge/деплоя)
+
+### 2.1 Proactive pre-merge rebase (A-2)
+- На ребре `deploy-staging → deploy`, ДО фактического merge (в составе `check_branch_mergeable`
+  или соседнего под-гейта), ветка задачи **всегда** догоняется на свежий `origin/main` —
+  **не только при `branch_is_behind_main`/конфликте**.
+- Переиспользовать `merge_gate.auto_rebase_onto_main` (rebase + `push --force-with-lease`
+  ТОЛЬКО ветки задачи). Текстовый конфликт → существующий контракт: `rebase --abort` → откат на
+  `development` (как ORCH-043).
+- **Инвариант:** никаких push/force-push в `main`.
+
+### 2.2 Расширение окна merge-lease (A-1, A-3, A-4)
+- **КАНДИДАТ (решает архитектор):** держать per-repo merge-lease (ORCH-065) не только «на
+  момент merge», а на окно **«merge → main-updated»** (для self — до подтверждения
+  `merged_to_main: true` / `done`), чтобы B не дошла до своего merge, пока A не в `main`.
+- Acquire — **неблокирующий** (как сейчас): занято → **defer** задачи B через
+  `enqueue_job(available_at_delay_s=...)`, bounded бюджет (анти-livelock; ср.
+  `merge_defer_max_attempts`). Откат на `development` НЕ применять для defer.
+- Release — holder-aware (как `release_merge_lease`), на merged-вебхуке / `deploy→done` /
+  откате / по проактивному реклейму (ORCH-065 `reclaim_stale_lease`).
+- Сериализация **строго per-repo** (`.merge-lease-<repo>.json`) — кросс-репо параллелизм не
+  затрагивается (A-3).
+
+### 2.3 Условность и безопасность (A-5)
+- Реально только для применимых репо: kill-switch + CSV-scope (паттерн `merge_gate_repos` /
+  `merge_verify_repos`; пусто → только self-hosting `orchestrator`).
+- `STAGE_TRANSITIONS`, `Confirm Deploy` (ORCH-059), exit-коды deploy-хука, БАГ-8,
+  terminal-sync — **без изменений**.
+- Контракт **never-raise** для всех новых функций (как соседи в `merge_gate.py`).
+
+---
+
+## 3. Требования к изменениям — Уровень B (декларативные зависимости)
+
+### 3.1 Декларация связи (B-1)
+- **КАНДИДАТ хранения (решает архитектор, см. BRD §4.1):**
+  - вариант Plane relations: читать `blocked-by` через Plane API в `handle_work_item_created`;
+  - вариант БД: новая таблица `job_deps(task_id, depends_on_task_id)` или поле в `tasks`
+    (idempotent `_ensure_column` миграция, как ORCH-065 `jobs.pid`);
+  - гибрид: Plane — декларация, БД — кэш для планировщика (offline-устойчивость).
+- Миграция БД (если выбран вариант с таблицей/колонкой) — **только аддитивная**
+  (`CREATE TABLE IF NOT EXISTS` / `_ensure_column`), безопасная на живой прод-БД с общими
+  данными enduro-trails.
+
+### 3.2 Гейт планировщика (B-2)
+- При выборе job (`claim_next_job` / `_drain_once`) задача с незавершёнными depends-on
+  **не клеймится** (аналог `available_at`-gate): пропускается до тех пор, пока все depends-on
+  не `done`. Не должна занимать слот `max_concurrency`.
+- Реализация — **leaf-функция** с чистой логикой «готова ли задача к запуску» (тестируемо
+  юнитами, never-raise), по образцу `staging_verdict.py` / `post_deploy.py`.
+
+### 3.3 Защита от дедлоков (B-3)
+- Детектор циклов в графе depends-on (DFS/обнаружение цикла) — чистая функция, юнит-тестируемая.
+- Цикл → задача(и) НЕ запускается молча: `set_issue_blocked` + alert (Telegram/Plane) с
+  указанием цикла. Не блокировать поток других задач.
+
+### 3.4 Видимость (B-4)
+- Заблокированная задача: Plane-статус `Blocked` (`set_issue_blocked`) и/или строка ожидания в
+  Telegram-карточке («⏳ ждёт ORCH-NNN»). Использовать существующий механизм карточки
+  (`notifications.update_task_tracker`), контракт never-raise / silent.
+- `reconciler` F-1 уже пропускает Blocked/Needs-Input (ORCH-060/068) — убедиться, что новые
+  заблокированные-по-зависимости задачи тоже пропускаются (не «разблокируются» ошибочно).
+
+---
+
+## 4. Изменения API (endpoints)
+- **Новые HTTP endpoints не требуются.**
+- **Наблюдаемость:** расширить снимок `GET /queue` блоком о зависимостях/сериализации
+  (по образцу блоков `reconcile` / `reaper` / `post_deploy` / `merge_verify`): кол-во
+  заблокированных задач, держатель merge-lease, defer-счётчики, обнаруженные циклы. Read-only,
+  никогда не источник истины для решений.
+
+## 5. Изменения схемы БД
+- **КАНДИДАТ (если выбран БД/гибрид для Уровня B):** аддитивная таблица `job_deps` или колонка
+  в `tasks` (см. §3.1). Только `CREATE TABLE IF NOT EXISTS` / `_ensure_column`. Без изменения
+  существующих колонок `jobs`/`tasks`. Restart-safe, безопасно на общей прод-БД.
+- Уровень A (сериализация) — **без изменения схемы БД** (merge-lease файловый, как ORCH-065).
+
+## 6. Требования к новым QG checks
+- **Новый зарегистрированный QG-чек НЕ вводится** (паттерн ORCH-071/058: под-гейт — врезка в
+  `advance_stage` или расширение `check_branch_mergeable`, а не новая запись в `QG_CHECKS`).
+- Реестр `QG_CHECKS` — без изменений.
+
+## 7. Конфигурация (`src/config.py`)
+Новые настройки по паттерну `*_enabled` (kill-switch) + `*_repos` (CSV scope, пусто →
+self-hosting). КАНДИДАТ-имена (финализирует архитектор):
+- Уровень A: `merge_serialize_enabled` / `merge_serialize_repos` (или расширение
+  `merge_gate_*`); опционально `premerge_rebase_always` (вкл proactive rebase).
+- Уровень B: `task_deps_enabled` / `task_deps_source` (`plane|db|hybrid`).
+Дефолты — обратная совместимость (для не-self репо — прежнее поведение).
+
+## 8. Артефакты pipeline (создать/обновить В ТОМ ЖЕ PR)
+- `06-adr/ADR-001-*.md` — решение по сериализации (A) и хранению зависимостей (B).
+- Обновить `docs/architecture/README.md` (раздел про очередь/merge-gate/сериализацию).
+- Обновить `CLAUDE.md` (паспорт: конвейер/инварианты, если меняется поведение очереди).
+- Обновить `CHANGELOG.md` (`## [Unreleased]`).
+- Если вводится таблица БД — отразить в `08-data-requirements.md` (создаёт архитектор).
+- `07-infra-requirements.md` — если требуется новый Plane-статус/настройка relations.
+
+## 9. Инварианты (НЕ нарушать)
+1. `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_deploy_status`/`check_staging_status`,
+   `Confirm Deploy` (ORCH-059), БАГ-8, terminal-sync — без изменений.
+2. Никаких push/force-push в `main`; force только `--force-with-lease` на ветку задачи.
+3. Сериализация — строго per-repo; кросс-репо параллелизм сохранён.
+4. never-raise во всех новых функциях; restart-safe состояние.
+5. ORCH-026 дополняет рубежи ORCH-073, не заменяет.
+6. Прод-контейнер orchestrator не рестартится вне штатного `Confirm Deploy`.

docs/work-items/ORCH-026/03-acceptance-criteria.md

@@ -0,0 +1,107 @@
+# 03-Критерии приёмки — ORCH-026
+
+**Work Item:** ORCH-026 · **Repo:** orchestrator · **Стадия:** analysis
+
+Каждый критерий — проверяемое условие PASS/FAIL. Маппинг на тесты — `04-test-plan.yaml`.
+
+---
+
+## Уровень A — Сериализация merge/деплоя внутри одного репо
+
+### AC-A1 — Сериализация merge внутри репо
+- **PASS:** пока задача A применимого репо удерживает окно merge (merge-lease не освобождён /
+  `main` ещё не обновлён), задача B того же репо НЕ доходит до фактического merge — она
+  **defer**-ится (повторная постановка через `available_at`), а не мержится от устаревшего `main`.
+- **FAIL:** B мержится/деплоится, пока A не в `main`; или B откатывается на `development` вместо
+  defer.
+
+### AC-A2 — Proactive pre-merge rebase
+- **PASS:** перед merge ветка задачи **всегда** догоняется на свежий `origin/main` (вызывается
+  rebase), даже когда текстового конфликта нет и ветка формально не «behind» по старой проверке;
+  после rebase ветка содержит код предшественника (A).
+- **FAIL:** rebase запускается только при конфликте/`branch_is_behind_main`, и B мержится без
+  кода A.
+
+### AC-A3 — Кросс-репо параллелизм сохранён
+- **PASS:** задача в `orchestrator` и задача в `enduro-trails` доходят до merge/деплоя
+  параллельно — сериализация одного репо не блокирует другой (lease/гейт строго per-repo).
+- **FAIL:** задача одного репо ждёт освобождения ресурса, удерживаемого задачей ДРУГОГО репо.
+
+### AC-A4 — Restart-safe
+- **PASS:** после рестарта прод-контейнера состояние сериализации восстанавливается корректно;
+  мёртвый держатель merge-lease проактивно реклеймится (ORCH-065), конвейер не встаёт навсегда.
+- **FAIL:** рестарт оставляет навсегда захваченный lease → конвейер всех проектов встаёт.
+
+### AC-A5 — Self-hosting safety
+- **PASS:** прод-контейнер orchestrator НЕ рестартится/не падает вне штатного `Confirm Deploy`
+  (ORCH-059); нет push/force-push в `main`; `STAGE_TRANSITIONS` и реестр `QG_CHECKS` не изменены.
+- **FAIL:** любой незапрошенный рестарт прода, прямой push в `main`, или изменение машины стадий.
+
+### AC-A6 — Anti-deadlock / anti-livelock при defer
+- **PASS:** при занятой сериализации B defer-ится с задержкой и bounded бюджетом; исчерпание
+  бюджета → эскалация (alert/Blocked), не бесконечный цикл и не откат.
+- **FAIL:** B уходит в вечный defer-цикл, либо немедленно откатывается на `development`.
+
+### AC-A7 — Условность (не-self репо без регресса)
+- **PASS:** при выключенном kill-switch и для репо вне scope поведение конвейера 1:1 как до
+  ORCH-026 (нулевая регрессия для enduro-trails).
+- **FAIL:** не-self репо меняет поведение merge/деплоя.
+
+---
+
+## Уровень B — Декларативные зависимости
+
+### AC-B1 — Декларация зависимости
+- **PASS:** задача может объявить `blocked-by`/`depends-on` (через выбранный источник —
+  Plane relations / БД / гибрid), и связь корректно считывается планировщиком.
+- **FAIL:** связь не считывается / теряется.
+
+### AC-B2 — Гейт планировщика (B не стартует до A)
+- **PASS:** задача с незавершённым depends-on **не клеймится** воркером (не запускается агент,
+  слот `max_concurrency` не занимается), пока все depends-on не достигли `done`; как только A
+  становится `done` — B становится claimable.
+- **FAIL:** B запускается раньше завершения A; или занимает слот, простаивая.
+
+### AC-B3 — Детект дедлоков (циклы)
+- **PASS:** циклическая зависимость (A→B→A и длиннее) детектируется детерминированно; задача(и)
+  в цикле → `Blocked` + alert (Telegram/Plane) с указанием цикла; поток остальных задач не
+  блокируется.
+- **FAIL:** цикл приводит к молчаливому вечному ожиданию или к падению воркера.
+
+### AC-B4 — Видимость заблокированной задачи
+- **PASS:** заблокированная задача видна — Plane-статус `Blocked` и/или строка ожидания в
+  Telegram-карточке (что/кого ждёт); инвариант «одна карточка на задачу» сохранён.
+- **FAIL:** заблокированная задача невидима наблюдателю.
+
+### AC-B5 — Совместимость с reconciler/reaper
+- **PASS:** `reconciler` F-1 НЕ «разблокирует» задачу, заблокированную по зависимости (как уже
+  делает для Blocked/Needs-Input, ORCH-060/068); reaper не реапит корректно ожидающую задачу.
+- **FAIL:** reconciler продвигает заблокированную задачу мимо её depends-on.
+
+---
+
+## Общие (оба уровня)
+
+### AC-G1 — never-raise
+- **PASS:** любая ошибка (git/сеть/БД/Plane) в новой логике не пробрасывается в `advance_stage`/
+  воркер; деградирует консервативно (defer/skip/fail-closed), конвейер не падает.
+- **FAIL:** необработанное исключение роняет воркер/монитор-поток.
+
+### AC-G2 — Kill-switch
+- **PASS:** глобальный kill-switch выключает фичу целиком → поведение 1:1 как до ORCH-026.
+- **FAIL:** при выключенном флаге поведение изменено.
+
+### AC-G3 — Документация обновлена (golden source)
+- **PASS:** в ТОМ ЖЕ PR обновлены `docs/architecture/README.md`, `CLAUDE.md` (если изменилось
+  поведение очереди), `CHANGELOG.md`, заведён ADR в `06-adr/`. Reviewer проверяет.
+- **FAIL:** код изменён, документация — нет (→ REQUEST_CHANGES).
+
+### AC-G4 — Миграция БД безопасна (если применимо)
+- **PASS:** миграция только аддитивная (`CREATE TABLE IF NOT EXISTS`/`_ensure_column`),
+  идемпотентна, безопасна на живой общей прод-БД; существующие данные enduro-trails не затронуты.
+- **FAIL:** деструктивная миграция / изменение существующих колонок.
+
+### AC-G5 — Тесты зелёные
+- **PASS:** новые unit+integration тесты (`04-test-plan.yaml`) проходят; существующий
+  `pytest tests/ -q` остаётся зелёным (нет регресса merge-gate/merge-verify/reconciler/reaper).
+- **FAIL:** красный pytest или регресс существующих тестов.

docs/work-items/ORCH-026/04-test-plan.yaml

@@ -0,0 +1,169 @@
+work_item: ORCH-026
+description: >
+  План тестов для управления зависимостями задач (Уровень B) и сериализации
+  merge/деплоя внутри одного репо (Уровень A). Стек: pytest. Имена модулей/функций —
+  кандидаты; финализирует архитектор/разработчик. Все новые функции — never-raise.
+
+tests:
+  # ---------------- Уровень A: сериализация merge/деплоя ----------------
+  - id: TC-A01
+    type: unit
+    description: >
+      Proactive pre-merge rebase: ветка догоняется на свежий origin/main ДАЖЕ когда
+      branch_is_behind_main вернул бы False (нет конфликта). Проверить, что rebase
+      вызывается всегда перед merge (AC-A2).
+    module: tests/test_orch026_premerge_rebase.py
+    expected: PASS
+
+  - id: TC-A02
+    type: unit
+    description: >
+      Расширенное окно merge-lease: пока A держит lease (окно merge→main-updated),
+      acquire для B того же репо возвращает busy → defer (не откат). holder-aware
+      release не удаляет чужой lease (AC-A1, AC-A6).
+    module: tests/test_orch026_merge_serialize.py
+    expected: PASS
+
+  - id: TC-A03
+    type: unit
+    description: >
+      Сериализация строго per-repo: lease/гейт orchestrator не влияет на задачу
+      enduro-trails — обе claimable параллельно (AC-A3).
+    module: tests/test_orch026_merge_serialize.py
+    expected: PASS
+
+  - id: TC-A04
+    type: unit
+    description: >
+      Restart-safe + проактивный реклейм: мёртвый держатель lease (pid не жив)
+      реклеймится reclaim_stale_lease; конвейер не встаёт навсегда (AC-A4).
+    module: tests/test_orch026_merge_serialize.py
+    expected: PASS
+
+  - id: TC-A05
+    type: unit
+    description: >
+      Anti-livelock defer: B defer-ится с available_at-задержкой и bounded бюджетом;
+      исчерпание → эскалация (Blocked/alert), не бесконечный цикл (AC-A6).
+    module: tests/test_orch026_merge_serialize.py
+    expected: PASS
+
+  - id: TC-A06
+    type: unit
+    description: >
+      Условность/kill-switch: при выключенном флаге и для репо вне scope поведение
+      merge/деплоя 1:1 как до ORCH-026 — no-op (AC-A7, AC-G2).
+    module: tests/test_orch026_conditionality.py
+    expected: PASS
+
+  - id: TC-A07
+    type: unit
+    description: >
+      Self-hosting safety: новая логика никогда не делает push/force-push в main;
+      force только --force-with-lease на ветку задачи; STAGE_TRANSITIONS не изменены
+      (AC-A5).
+    module: tests/test_orch026_conditionality.py
+    expected: PASS
+
+  - id: TC-A08
+    type: integration
+    description: >
+      Сквозной сценарий: две задачи одного репо проходят deploy-staging→deploy; B не
+      доходит до merge, пока A не в main; после A→done B ребейзится на свежий main
+      (несёт код A) и мержится. main не теряет код A (AC-A1/AC-A2).
+    module: tests/test_orch026_serialize_integration.py
+    expected: PASS
+
+  # ---------------- Уровень B: декларативные зависимости ----------------
+  - id: TC-B01
+    type: unit
+    description: >
+      Чтение/декларация связи blocked-by из выбранного источника (Plane/БД/гибрид);
+      связь корректно резолвится в depends_on_task_id (AC-B1). never-raise при
+      недоступности источника → консервативно (нет связи или fail-closed по решению ADR).
+    module: tests/test_orch026_task_deps.py
+    expected: PASS
+
+  - id: TC-B02
+    type: unit
+    description: >
+      Гейт готовности (leaf-функция): задача с незавершённым depends-on НЕ ready;
+      все depends-on в done → ready. Чистая логика, юнит-тестируемая (AC-B2).
+    module: tests/test_orch026_task_deps.py
+    expected: PASS
+
+  - id: TC-B03
+    type: unit
+    description: >
+      Детект циклов: A→B→A (и длиннее) детектируется детерминированно; ацикличный
+      граф → циклов нет. Чистая функция (AC-B3).
+    module: tests/test_orch026_dep_cycles.py
+    expected: PASS
+
+  - id: TC-B04
+    type: unit
+    description: >
+      Цикл → set_issue_blocked + alert (Telegram/Plane), без падения воркера и без
+      блокировки потока других задач (AC-B3, AC-G1).
+    module: tests/test_orch026_dep_cycles.py
+    expected: PASS
+
+  - id: TC-B05
+    type: unit
+    description: >
+      claim_next_job не клеймит заблокированную задачу (не занимает слот
+      max_concurrency); как только depends-on done — задача становится claimable (AC-B2).
+    module: tests/test_orch026_task_deps.py
+    expected: PASS
+
+  - id: TC-B06
+    type: unit
+    description: >
+      Видимость: заблокированная задача отражается в Plane-статусе Blocked и/или
+      строке ожидания Telegram-карточки; инвариант «одна карточка на задачу» сохранён
+      (AC-B4). notifications never-raise / silent.
+    module: tests/test_orch026_dep_visibility.py
+    expected: PASS
+
+  - id: TC-B07
+    type: unit
+    description: >
+      reconciler F-1 НЕ разблокирует задачу, заблокированную по зависимости (как для
+      Blocked/Needs-Input); reaper не реапит корректно ожидающую (AC-B5).
+    module: tests/test_orch026_task_deps.py
+    expected: PASS
+
+  - id: TC-B08
+    type: integration
+    description: >
+      Сквозной сценарий: B объявлена blocked-by A; при постановке в очередь B не
+      стартует, пока A не done; после A→done воркер запускает B. Telegram/Plane
+      показывают Blocked у B до разблокировки (AC-B1/B2/B4).
+    module: tests/test_orch026_deps_integration.py
+    expected: PASS
+
+  # ---------------- Общие / миграция / регресс ----------------
+  - id: TC-G01
+    type: unit
+    description: >
+      Аддитивная миграция БД (если выбран вариант с таблицей/колонкой): идемпотентна,
+      безопасна на существующей БД с данными, не меняет существующие колонки (AC-G4).
+    module: tests/test_orch026_migration.py
+    expected: PASS
+
+  - id: TC-G02
+    type: unit
+    description: >
+      Наблюдаемость GET /queue: новый блок (заблокированные задачи / держатель lease /
+      defer-счётчики / циклы) присутствует и read-only; не источник истины.
+    module: tests/test_orch026_queue_observability.py
+    expected: PASS
+
+  - id: TC-G03
+    type: integration
+    description: >
+      Регресс: полный pytest tests/ -q остаётся зелёным — merge-gate (ORCH-043),
+      merge-verify (ORCH-073), reconciler (ORCH-053/068), reaper (ORCH-065) не
+      деградировали (AC-G5).
+    module: tests/
+    expected: PASS

docs/work-items/ORCH-026/06-adr/ADR-001-merge-serialization-and-task-deps.md

@@ -0,0 +1,226 @@
+# ADR-001: Сериализация merge/деплоя внутри репо (A) + декларативные зависимости задач (B)
+
+**Work Item:** ORCH-026 · **Repo:** orchestrator (self-hosting) · **Стадия:** architecture
+**Статус:** Accepted
+**Связи:** дополняет ORCH-043 (merge-gate), ORCH-065 (merge-lease + reclaim), ORCH-073/071
+(merge-verify, SHA-in-main), ORCH-1 (очередь). Глобальный ADR — `adr/adr-0015`.
+
+---
+
+## Контекст
+
+ORCH-026 закрывает **первопричину** эрозии `main` 08.06 (некоординированный параллелизм
+задач одного репо: ветки от устаревшего `main`, фантом-merge затирает соседа) и попутно вводит
+исходный скоуп — декларативные зависимости задач (B ждёт A). Требования — `01-brd.md`,
+`02-trz.md`; PASS/FAIL — `03-acceptance-criteria.md`.
+
+Ключевое наблюдение архитектора: **бо́льшая часть инфраструктуры для Уровня A уже существует** и
+её НЕ нужно переписывать:
+
+- **merge-lease** (ORCH-065, `src/merge_gate.py`): per-repo файловый лиз
+  `.merge-lease-<repo>.json`, неблокирующий acquire, holder-aware release, проактивный реклейм
+  мёртвого/устаревшего держателя (`reclaim_stale_lease`, `pid_alive`). Restart-safe, per-repo.
+- **merge-gate** (ORCH-043, `check_branch_mergeable`): на ребре `deploy-staging → deploy`
+  захватывает лиз, при необходимости ребейзит, держит лиз до фактического merge.
+- **defer-механизм** (`_handle_merge_gate_defer`): `merge-lock busy` → повторная постановка
+  deployer'а через `available_at`, bounded `merge_defer_max_attempts` → эскалация (Blocked+alert).
+- **окно лиза** уже простирается от `deploy-staging → deploy` до release на одном из событий:
+  PR-merged webhook (`gitea.py`), `deploy→done` (`stage_engine.py`), откат, проактивный реклейм.
+  Для self-hosting `done` достигается ТОЛЬКО после `verify_merged_to_main` (SHA-in-main, ORCH-073).
+
+Таким образом окно сериализации A-1 («merge → main-updated») **структурно уже реализовано**:
+пока A не подтверждена в `main` (для self — SHA-in-main → `done`), лиз держится, и B того же
+репо на своём merge-gate получает `merge-lock busy` → defer. Открытый вопрос BRD §4.3 (граница
+окна для self) решается так: **окно = от acquire до release; release-события не меняем**. Для
+non-self репо граница — PR-merged webhook; для self — `deploy→done` (= SHA-in-main подтверждён).
+
+Что реально **отсутствует** для Уровня A:
+
+- **A-2: безусловный proactive pre-merge rebase.** Сейчас `check_branch_mergeable` ребейзит
+  ТОЛЬКО если `branch_is_behind_main` (⇔ `origin/main` не предок HEAD). AC-A2 требует, чтобы
+  rebase вызывался **всегда** перед merge — детерминированный структурный анти-фантом на уровне
+  планировщика, не зависящий от точности ancestor-проверки.
+
+Для Уровня B инфраструктуры нет вовсе: очередь `jobs` (ORCH-1) плоская (FIFO по `id` +
+`available_at` + `max_concurrency`), выразить «B ждёт A» нельзя.
+
+---
+
+## Решение
+
+### Уровень A — сериализация merge/деплоя (минимально-инвазивно, переиспользуя ORCH-043/065)
+
+**A-1/A-3/A-4 (окно сериализации) — без изменений механизма.** Окно сериализации обеспечивается
+существующим merge-lease: захват в `check_branch_mergeable`, удержание до release. Подтверждаем и
+фиксируем в доке, что release-события (`PR-merged` / `deploy→done` / откат / `reclaim_stale_lease`)
+формируют окно «merge → main-updated». Кросс-репо параллелизм сохранён автоматически (лиз —
+per-repo файл). Restart-safe и анти-залипание — за счёт ORCH-065 reclaim. **Кода-изменений нет.**
+
+**A-2 (безусловный pre-merge rebase) — новое поведение, флаг `premerge_rebase_always`.**
+
+- В `check_branch_mergeable` (`src/qg/checks.py`), ПОД захваченным merge-lease: когда
+  `settings.premerge_rebase_always` истинно (и merge-gate применим к репо), **пропустить
+  short-circuit `branch_is_behind_main`** и **всегда** вызвать `merge_gate.auto_rebase_onto_main`.
+- `auto_rebase_onto_main` уже идемпотентен и дёшев на актуальной ветке: `git rebase origin/main`
+  на не-отстающей ветке — no-op (rc 0, HEAD не меняется), последующий `push --force-with-lease`
+  → «Everything up-to-date» (тот же SHA, **CI не перезапускается, лишних коммитов нет**). На
+  отстающей ветке — реальный догон. Текстовый конфликт → существующий контракт: `rebase --abort`
+  → откат на `development` (как ORCH-043). **Инвариант: никаких push/force-push в `main`** —
+  единственная force-операция остаётся `--force-with-lease` на ветку задачи.
+- Когда флаг выключен → прежнее поведение (ребейз только при `branch_is_behind_main`),
+  обратная совместимость 1:1 (AC-A7/AC-G2).
+- **Скоуп — общий с merge-gate:** реально только для `merge_gate_repos` (пусто → self-hosting
+  `orchestrator`). Никакого нового scope-флага.
+
+**A-5/A-6 (safety, anti-livelock) — без изменений.** `STAGE_TRANSITIONS`, `QG_CHECKS`,
+`Confirm Deploy` (ORCH-059), exit-коды хука, terminal-sync не трогаются. defer-бюджет —
+существующий `merge_defer_max_attempts` → Blocked+alert при исчерпании. Прод-контейнер не
+рестартится вне штатного `Confirm Deploy`.
+
+### Уровень B — декларативные зависимости (новая инфраструктура)
+
+**B-источник: гибрид с БД как источником истины для планировщика; флаг `task_deps_source`.**
+
+Планировщик `claim_next_job` — горячий цикл, обслуживающий очередь ВСЕХ проектов из ОДНОГО
+инстанса. Он **обязан** быть offline-устойчивым и быстрым: сетевой запрос в Plane на каждый claim
+= при недоступности Plane встанет конвейер всех проектов (нарушение self-hosting safety). Поэтому:
+
+- **Авторитетный для планировщика стор — локальная БД**, новая аддитивная таблица
+  `job_deps(task_id, depends_on_task_id, created_at)` (детали — `08-data-requirements.md`).
+  Связь хранится по `tasks.id` (стабильный локальный ключ). Зависимости — **только внутри одного
+  репо** (v1; кросс-репо — non-goal, BRD §5).
+- **`task_deps_source = db | plane | hybrid`** (дефолт **`db`**): `db` — связи пишутся напрямую в
+  `job_deps` (потребитель — декомпозиция эпиков ORCH-025); `plane` — связи читаются из Plane
+  relations в `handle_work_item_created` и **кэшируются** в `job_deps`; `hybrid` — Plane как
+  декларация + БД-кэш. Plane-ingestion — тонкий add-on за флагом; планировщик ВСЕГДА читает БД.
+
+**B-2 (гейт планировщика) — SQL `NOT EXISTS`, без занятия слота `max_concurrency`.**
+
+Гейт готовности выражается декларативно в `claim_next_job` (`src/db.py`): задача claimable, если
+у неё нет ни одной незавершённой зависимости. Когда `settings.task_deps_enabled` — к существующему
+SELECT добавляется условие:
+
+```sql
+AND NOT EXISTS (
+    SELECT 1 FROM job_deps d
+    JOIN tasks t ON t.id = d.depends_on_task_id
+    WHERE d.task_id = j.task_id AND t.stage != 'done'
+)
+```
+
+Это: (1) **не занимает слот** — job просто не выбирается, агент не запускается (AC-B2);
+(2) restart-safe (чистая БД); (3) never-raise (это SQL); (4) при пустой `job_deps` —
+инертно (нулевая регрессия, AC-G2); (5) при выключенном `task_deps_enabled` условие НЕ
+добавляется → запрос 1:1 как в ORCH-1. Как только все зависимости достигают `stage='done'`,
+задача автоматически становится claimable.
+
+Чистая leaf-логика «готова ли задача» выносится в новый модуль `src/task_deps.py`:
+`is_task_ready(task_id) -> (bool, waiting_on: list[str])` (never-raise) — для реконсилятора,
+карточки и `/queue` (SQL в `claim_next_job` — горячий путь, дублирует ту же семантику).
+
+**B-3 (детект дедлоков) — DFS, чистая функция.**
+
+`task_deps.detect_cycle(task_id) -> list[int] | None` — обход графа `job_deps` (внутри репо),
+детерминированный, юнит-тестируемый, never-raise. Запускается: (1) при вставке связи
+(`add_dependency`) — цикл отклоняется/алертится сразу (лучший UX); (2) backstop-проход в тике
+`reconciler` (на случай связей, добавленных в обход). Цикл → `set_issue_blocked(work_item_id)` +
+Telegram/Plane alert с перечислением цикла. SQL-гейт B-2 сам по себе никогда не выберет задачу в
+цикле (её зависимости не достигнут `done`) — детектор делает это **видимым**, а не молчаливым
+вечным ожиданием (AC-B3). Поток остальных задач не блокируется.
+
+**B-4 (видимость).**
+
+- Нормальное ожидание (B ждёт A, A в работе — транзиентно и ожидаемо): строка в Telegram-карточке
+  «⏳ ждёт ORCH-NNN» через `notifications.update_task_tracker`, never-raise/silent. **Plane Blocked
+  при нормальном ожидании НЕ ставим** — иначе флаппинг Blocked на каждом коротком ожидании.
+- Дедлок/цикл (B-3): `set_issue_blocked` (Plane `Blocked`) + alert. Это «и/или» из AC-B4.
+- Инвариант «одна карточка на задачу» сохранён (ORCH-042/067).
+
+**B-5 (совместимость reconciler/reaper).**
+
+- `reconciler` F-1 не должен «разблокировать» dep-заблокированную задачу мимо её зависимостей.
+  В фильтр пригодности reconciler добавляется проверка `task_deps.is_task_ready` (по образцу
+  `reconcile_skip_blocked_enabled`, ORCH-060): не готова → skip.
+- `reaper` сканирует **`running`** jobs; dep-заблокированный job остаётся `queued` (его не
+  клеймят) → reaper его не трогает по построению. Фиксируем в доке.
+
+**Наблюдаемость (TRZ §4):** блок `task_deps` в снимке `GET /queue` (read-only, по образцу
+`reconcile`/`reaper`): кол-во заблокированных задач, держатель merge-lease, defer-счётчики,
+обнаруженные циклы. Никогда не источник решений.
+
+### Конфигурация (`src/config.py`)
+
+| Флаг | Дефолт | Назначение |
+|------|--------|-----------|
+| `premerge_rebase_always` | `True` | Уровень A: безусловный pre-merge rebase под лизом. Скоуп — `merge_gate_repos`. Kill-switch (`False` → ребейз только при behind, как ORCH-043). |
+| `task_deps_enabled` | `True` | Уровень B: глобальный kill-switch гейта зависимостей. `False` → `claim_next_job` 1:1 как ORCH-1. Инертно при пустой `job_deps`. |
+| `task_deps_source` | `"db"` | Источник деклараций: `db`\|`plane`\|`hybrid`. Планировщик всегда читает БД-кэш. |
+
+Дефолты следуют конвенции репо (`*_enabled=True` + kill-switch), при этом обе фичи инертны без
+данных (нет деклараций / нет применимых репо) → нулевая регрессия для enduro-trails.
+
+---
+
+## Альтернативы (и почему отвергнуты)
+
+1. **Уровень A — отдельный глобальный per-repo merge-lock или FIFO merge-queue.** Дублировал бы
+   уже существующий merge-lease (ORCH-065), вводил второй механизм сериализации с риском
+   рассинхрона. Отвергнуто: BRD §4.2 требует минимально-инвазивного решения, переиспользующего
+   ORCH-065/043. Окно лиза уже даёт сериализацию.
+
+2. **Уровень A — расширять release-точки лиза (держать до отдельного `main-updated`-события).**
+   Не требуется: для self `done` ⇔ SHA-in-main (ORCH-073), для non-self — PR-merged webhook;
+   окно уже корректно. Доп. событие усложнило бы reclaim без выигрыша.
+
+3. **Уровень B — Plane relations как источник истины планировщика.** Сетевой запрос в горячем
+   цикле claim; при недоступности Plane встаёт очередь всех проектов (self-hosting risk).
+   Отвергнуто; Plane оставлен опциональным источником **декларации** (`task_deps_source=plane`),
+   но планировщик читает только БД-кэш.
+
+4. **Уровень B — гейт зависимостей в воркере (`_drain_once`) поверх `claim_next_job`.** Пришлось
+   бы клеймить job, обнаруживать незавершённую зависимость и re-queue’ить — churn, расход attempts,
+   гонки. SQL `NOT EXISTS` в самом `claim_next_job` чище: job просто не выбирается, слот свободен.
+
+5. **Уровень B — поле/JSON в `tasks` вместо таблицы.** Таблица `job_deps` нормальна (M:N),
+   индексируема, проще для DFS и `NOT EXISTS`. Поле в `tasks` потребовало бы парсинг-логики.
+
+---
+
+## Последствия
+
+**Плюсы.**
+- Минимально-инвазивно: Уровень A — один флаг + снятие short-circuit; окно сериализации не
+  переписывается. Переиспользует ORCH-043/065 целиком.
+- Уровень B — одно `NOT EXISTS` в `claim_next_job` + аддитивная таблица + leaf-модуль
+  `task_deps.py`; `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты (паттерн врезки ORCH-071/058).
+- Обе фичи инертны без данных → нулевая регрессия для enduro-trails (AC-A7/AC-G2).
+- restart-safe (БД + файловый лиз), never-raise, kill-switch на каждую фичу.
+
+**Минусы / ограничения.**
+- `premerge_rebase_always=True` добавляет (дешёвый, no-op на актуальной ветке) `rebase`+`push`
+  на каждый self-merge. Цена — лишний git-вызов; компенсируется детерминизмом анти-фантома.
+- Уровень B v1 — только intra-repo зависимости; кросс-репо — follow-up (non-goal).
+- Гейт B-2 в `claim_next_job` слегка усложняет горячий SQL (один `NOT EXISTS`); защищён
+  kill-switch и инертностью при пустой таблице.
+- `task_deps.py` цикл-детектор — новая поверхность; покрывается юнит-тестами (`04-test-plan.yaml`).
+
+**Инварианты (не нарушать).**
+1. `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_deploy_status`/`check_staging_status`,
+   `Confirm Deploy` (ORCH-059), БАГ-8, terminal-sync — без изменений.
+2. Никаких push/force-push в `main`; force только `--force-with-lease` на ветку задачи.
+3. Сериализация — строго per-repo; кросс-репо параллелизм сохранён.
+4. never-raise во всех новых функциях; restart-safe состояние; миграция БД только аддитивная.
+5. ORCH-026 **дополняет** рубежи ORCH-073, не заменяет.
+6. Прод-контейнер orchestrator не рестартится вне штатного `Confirm Deploy`.
+
+**Места реализации (для developer).**
+- `src/qg/checks.py::check_branch_mergeable` — ветка `premerge_rebase_always`.
+- `src/db.py::claim_next_job` — условный `NOT EXISTS`-гейт; новые helpers `add_dependency`,
+  `get_dependencies`, `job_deps` миграция в `init_db` (`CREATE TABLE IF NOT EXISTS`).
+- `src/task_deps.py` (новый, leaf) — `is_task_ready`, `detect_cycle`, snapshot для `/queue`.
+- `src/webhooks/plane.py::handle_work_item_created` — ingestion Plane relations (за `task_deps_source`).
+- `src/reconciler.py` — skip dep-заблокированных + backstop цикл-детект.
+- `src/notifications.py` — строка ожидания в карточке.
+- `src/config.py` — `premerge_rebase_always`, `task_deps_enabled`, `task_deps_source`.
+- Документация: `docs/architecture/README.md`, `CLAUDE.md` (если меняется поведение очереди),
+  `CHANGELOG.md`, глобальный `adr/adr-0015`.

docs/work-items/ORCH-026/08-data-requirements.md

@@ -0,0 +1,65 @@
+# 08 — Требования к схеме БД — ORCH-026
+
+**Work Item:** ORCH-026 · **Repo:** orchestrator · **Стадия:** architecture
+**Связь:** ADR `06-adr/ADR-001-merge-serialization-and-task-deps.md` (Уровень B).
+
+> Уровень A (сериализация merge/деплоя) — **БЕЗ изменения схемы БД** (merge-lease файловый,
+> `.merge-lease-<repo>.json`, ORCH-065). Изменения схемы касаются ТОЛЬКО Уровня B.
+
+---
+
+## Новая таблица `job_deps` (аддитивная)
+
+Хранит декларативные зависимости «задача `task_id` ждёт задачу `depends_on_task_id`».
+
+```sql
+CREATE TABLE IF NOT EXISTS job_deps (
+    task_id            INTEGER NOT NULL,   -- tasks.id зависимой задачи (B)
+    depends_on_task_id INTEGER NOT NULL,   -- tasks.id задачи-предшественника (A)
+    created_at         TEXT DEFAULT (datetime('now')),
+    PRIMARY KEY (task_id, depends_on_task_id)
+);
+CREATE INDEX IF NOT EXISTS idx_job_deps_task    ON job_deps(task_id);
+CREATE INDEX IF NOT EXISTS idx_job_deps_depends ON job_deps(depends_on_task_id);
+```
+
+### Поля
+| Поле | Тип | Назначение |
+|------|-----|-----------|
+| `task_id` | INTEGER | `tasks.id` зависимой задачи (B). Не запускается, пока зависимости не `done`. |
+| `depends_on_task_id` | INTEGER | `tasks.id` предшественника (A). Терминальность — `tasks.stage = 'done'`. |
+| `created_at` | TEXT | Время декларации (диагностика). |
+
+### Ключ и индексы
+- **PK `(task_id, depends_on_task_id)`** — идемпотентность вставки (повторная декларация связи —
+  no-op через `INSERT OR IGNORE`), запрет дублей.
+- `idx_job_deps_task` — гейт планировщика (`NOT EXISTS ... WHERE d.task_id = j.task_id`).
+- `idx_job_deps_depends` — обратные рёбра для DFS цикл-детектора.
+
+### Семантика готовности (источник истины планировщика)
+Задача `task_id` **готова к запуску** ⇔ нет ни одной строки `job_deps` для неё, чей
+`depends_on_task_id` указывает на задачу с `tasks.stage != 'done'`. Терминал — только `done`
+(совпадает с тем, как `get_active_tasks_for_reconcile` трактует терминальность).
+
+### Связь по `task_id`, а не `work_item_id`
+`tasks.id` — стабильный локальный автоинкремент-ключ; `work_item_id`/`plane_id` могут
+ресолвиться/коллизиться (см. `ensure_unique_work_item_id`). FK логический (без `REFERENCES`,
+как у `jobs.task_id`) — не блокирует аддитивную миграцию и удаление строк tasks (которого в
+конвейере нет). Зависимости — **только intra-repo** (v1); кросс-репо рёбра не создаются.
+
+---
+
+## Миграция (AC-G4)
+
+- Выполняется в `src/db.py::init_db` рядом с прочими: **только** `CREATE TABLE IF NOT EXISTS` +
+  `CREATE INDEX IF NOT EXISTS`. **Идемпотентно**, restart-safe, безопасно на живой общей прод-БД.
+- **Существующие колонки/таблицы (`jobs`, `tasks`, `agent_runs`, `events`) НЕ изменяются** →
+  данные enduro-trails не затронуты.
+- Откат фичи — флагом `task_deps_enabled=False` (таблица остаётся, гейт не применяется); сама
+  таблица деструктивно не удаляется.
+
+## Что НЕ меняется
+- Схема `jobs` (включая `available_at`, `pid`, `attempts`/`transient_attempts`) — без изменений;
+  defer Уровня A/B переиспользует существующий `available_at`-механизм.
+- Схема `tasks` — без изменений (видимость через существующие `tracker_message_id` и Plane Blocked).
+- merge-lease — файловый, вне БД.

docs/work-items/ORCH-026/10-tech-risks.md

@@ -0,0 +1,17 @@
+# 10 — Технические риски — ORCH-026
+
+**Work Item:** ORCH-026 · **Repo:** orchestrator · **Стадия:** architecture
+**Связь:** ADR `06-adr/ADR-001-merge-serialization-and-task-deps.md`.
+
+| # | Риск | Уровень | Митигация |
+|---|------|---------|-----------|
+| R-1 | **Гейт `NOT EXISTS` в `claim_next_job` (горячий путь всех проектов) содержит баг → встаёт очередь ВСЕХ проектов** (self-hosting групповой риск). | Высокий | Условие добавляется ТОЛЬКО при `task_deps_enabled`; инертно при пустой `job_deps` (нулевая регрессия); kill-switch `task_deps_enabled=False` мгновенно возвращает поведение ORCH-1; интеграционный тест «пустые deps ⇒ FIFO 1:1» (AC-G2). |
+| R-2 | **Безусловный `premerge_rebase_always` делает лишний `push --force-with-lease` → ложный перезапуск CI / новые коммиты.** | Низкий | На актуальной ветке `rebase origin/main` — no-op (HEAD не меняется), push → «Everything up-to-date» (тот же SHA, CI не триггерится). Подтвердить тестом, что SHA не меняется на уже-актуальной ветке. |
+| R-3 | **Дедлок по циклической зависимости → задача молча ждёт вечно.** | Средний | DFS-детектор `detect_cycle` при вставке связи + backstop в `reconciler`; цикл → `set_issue_blocked` + alert с перечислением цикла (AC-B3); SQL-гейт не выбирает задачу в цикле, детектор делает это видимым. |
+| R-4 | **Livelock: B бесконечно defer’ится на `merge-lock busy`.** | Низкий | Существующий bounded-бюджет `merge_defer_max_attempts` → Blocked+alert (ORCH-043, без изменений). |
+| R-5 | **Залипший merge-lease после смерти держателя → конвейер репо встаёт навсегда.** | Средний | Переиспользуется ORCH-065: `reclaim_stale_lease` (мёртвый `pid` / TTL `merge_lock_timeout_s`) + holder-aware release. Restart-safe (AC-A4). |
+| R-6 | **Plane relations недоступны/неверно смаплены при `task_deps_source=plane`.** | Средний | Планировщик читает ТОЛЬКО БД-кэш `job_deps`; Plane-ingestion — best-effort, never-raise; дефолт `task_deps_source=db` не зависит от Plane. |
+| R-7 | **reconciler «разблокирует» dep-заблокированную задачу мимо её зависимостей.** | Средний | В фильтр reconciler добавляется `is_task_ready` (паттерн ORCH-060 skip-Blocked); reaper трогает только `running` — dep-блок остаётся `queued` (AC-B5). |
+| R-8 | **Миграция БД повреждает общую прод-БД (данные enduro-trails).** | Низкий | Только аддитивно: `CREATE TABLE/INDEX IF NOT EXISTS`; существующие колонки не меняются; идемпотентно (AC-G4). |
+| R-9 | **Self-hosting: изменения требуют рестарта прод-контейнера вне `Confirm Deploy`.** | Высокий (если нарушено) | Все изменения — обычный код, проходят `deploy-staging` (8501) → `Confirm Deploy` (ORCH-059). `STAGE_TRANSITIONS`/`QG_CHECKS` не трогаются; никакого внеочередного рестарта (AC-A5). |
+| R-10 | **Конфликт точек интеграции A (merge-gate) и B (постановка в очередь).** | Низкий | Разные точки конвейера: B гейтит claim job (вход), A гейтит merge на ребре `deploy-staging→deploy`. Независимы; покрыть интеграционным тестом совместной работы (BRD §4.4). |

docs/work-items/ORCH-026/12-review.md

@@ -0,0 +1,47 @@
+---
+type: review
+work_item_id: ORCH-026
+verdict: APPROVED
+version: 1
+---
+
+# Review ORCH-026
+
+## Summary
+ORCH-026 реализует два уровня по ADR-001: **Уровень A** — сериализация merge/deploy внутри одного репо (переиспользует merge-lease ORCH-043/065 + единственная новая логика — безусловный pre-merge rebase под флагом `premerge_rebase_always`) и **Уровень B** — декларативные зависимости задач (аддитивная таблица `job_deps`, гейт `NOT EXISTS` в `claim_next_job`, leaf-модуль `src/task_deps.py`). Реализация минимально-инвазивна, строго соответствует ТЗ и ADR, обе фичи условны (kill-switch) и инертны без данных. Все 16 критериев приёмки выполнены. Полный прогон `pytest tests/ -q` — **991 passed**, из них 50 новых ORCH-026-тестов зелёные. Документация обновлена в том же PR. **APPROVED.**
+
+## Findings
+
+### P0 — Blocker
+- (нет)
+
+### P1 — Must fix
+- (нет)
+
+### P2 — Should fix
+- (нет)
+
+### P3 — Nice to have
+- [ ] PR-ветка несёт коммиты ORCH-073 (`main` ещё не получил merge #77, merge-base = `77abfb3`). Это ожидаемо по топологии (ORCH-026 (B) построен поверх уже отревьюенного предшественника ORCH-073 (A): у ORCH-073 есть собственные `12-review.md`/`13-test-report.md`/`14-deploy-log.md`) и фактически демонстрирует саму фичу A (rebase B на код A). Не блокирует; при merge в `main` приедут оба набора изменений — это корректно.
+
+## Соответствие ТЗ и ADR
+- **Уровень A (AC-A1…A7):** окно сериализации обеспечено существующим merge-lease без нового механизма (ADR §A-1/A-3/A-4). A-2 — `check_branch_mergeable` (`src/qg/checks.py`) под лизом при `premerge_rebase_always=True` всегда вызывает `auto_rebase_onto_main`, снимая short-circuit `branch_is_behind_main`; kill-switch off → поведение ORCH-043 1:1. `STAGE_TRANSITIONS`/`QG_CHECKS`/`Confirm Deploy` не тронуты — соответствует инвариантам §9. Никаких push/force в `main` (только `--force-with-lease` ветки).
+- **Уровень B (AC-B1…B5):** гейт `NOT EXISTS (job_deps JOIN tasks WHERE stage!='done')` в `claim_next_job` (`src/db.py`) — job не выбирается, слот `max_concurrency` не занимается; при выключенном флаге / пустой таблице clause не добавляется (нулевая регрессия). `task_deps.py` — чистый leaf: `is_task_ready` (fail-open), итеративный WHITE/GREY/BLACK DFS-детектор циклов (защита от recursion-limit на проде), `handle_cycle` (Blocked+alert), `declare_dependency`, `ingest_plane_relations` (только `plane|hybrid`, дефолт `db` не ходит в сеть на горячем пути). reconciler F-1 получил Guard 3 (skip dep-заблокированных + backstop детект цикла); reaper не тронут (сканирует `running`).
+- **Общие (AC-G1…G5):** контракт never-raise выдержан во всех новых функциях (try/except, консервативная деградация). Миграция строго аддитивна — `CREATE TABLE/INDEX IF NOT EXISTS`, без `REFERENCES`, схема `tasks`/`jobs` не изменена (AC-G4 OK на живой общей БД). Наблюдаемость — read-only блок `task_deps` в `GET /queue`. Реализация в точности по местам, указанным в ADR §«Места реализации».
+
+## Качество кода
+- Docstrings на всех публичных функциях, явно документирован контракт fail-open/fail-closed.
+- SQL-гейт безопасен: `dep_gate` — константная строка (нет инъекции), таблица `job_deps` гарантированно создана в `init_db`.
+- Переменные `plane_id`/`plane_project_id`/`task_id` в `start_pipeline` — в области видимости (проверено).
+- Тесты содержательные: миграция, conditionality (kill-switch), циклы, видимость, observability, интеграция сериализации и зависимостей.
+
+## Документация — обновлена (golden source)
+Проверено: код в `src/` изменён → документация обновлена В ТОМ ЖЕ PR (разнесена по pipeline-коммитам ветки, что нормально):
+- `docs/architecture/README.md` — разделы про очередь (`claim_next_job`-гейт), pre-merge rebase, «Зависимости задач: B ждёт A», `job_deps`, наблюдаемость (architect-коммит `f8ec1c2`). ✓
+- `docs/work-items/ORCH-026/06-adr/ADR-001-merge-serialization-and-task-deps.md` + глобальный `docs/architecture/adr/adr-0015-task-deps-and-merge-serialization.md`. ✓
+- `CLAUDE.md` — паспорт (очередь/сериализация). ✓
+- `CHANGELOG.md` — запись `## [Unreleased]`. ✓
+- `.env.example` — `ORCH_PREMERGE_REBASE_ALWAYS`/`ORCH_TASK_DEPS_ENABLED`/`ORCH_TASK_DEPS_SOURCE`. ✓
+- `08-data-requirements.md` — таблица `job_deps`. ✓
+
+Документация = golden source: требование выполнено.

docs/work-items/ORCH-026/13-test-report.md

@@ -0,0 +1,75 @@
+---
+type: test-report
+work_item_id: ORCH-026
+result: PASS
+---
+
+# Test Report — ORCH-026
+
+Задача: «Управление зависимостями задач (B ждёт A) в очереди» + сериализация merge/деплоя
+одного репо. Ветка `feature/ORCH-026-b-a`. Review-вердикт: **APPROVED** (`12-review.md`).
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3
+- Ветка: `feature/ORCH-026-b-a` (HEAD `aaa4829`)
+- Прод-оркестратор (8500): `/health` → `{"status":"ok"}` (не перезапускался, self-hosting инвариант соблюдён)
+- Дата: 2026-06-08
+
+## Результаты по тест-плану (04-test-plan.yaml)
+
+### Уровень A — сериализация merge/деплоя
+
+| TC ID | Описание | Тест-функция | Результат |
+|-------|----------|--------------|-----------|
+| TC-A01 | Proactive pre-merge rebase (всегда, даже когда не behind) | `test_orch026_premerge_rebase::test_always_rebases_even_when_not_behind` | PASS |
+| TC-A02 | Расширенное окно merge-lease, defer не откат; holder-aware release | `test_orch026_merge_serialize::test_second_task_same_repo_defers_not_rollback`, `test_holder_aware_release_keeps_foreign_lease` | PASS |
+| TC-A03 | Сериализация строго per-repo (orchestrator ≠ enduro-trails) | `test_orch026_merge_serialize::test_serialization_is_strictly_per_repo` | PASS |
+| TC-A04 | Restart-safe + реклейм мёртвого держателя lease | `test_orch026_merge_serialize::test_dead_holder_lease_is_reclaimed`, `test_stale_lease_age_reclaimed_on_acquire` | PASS |
+| TC-A05 | Anti-livelock defer: bounded бюджет, эскалация | `test_orch026_merge_serialize::test_defer_budget_is_bounded` | PASS |
+| TC-A06 | Условность/kill-switch: off + out-of-scope = no-op | `test_orch026_conditionality::test_out_of_scope_repo_is_noop_even_with_flag_on`, `test_premerge_rebase::test_flag_off_short_circuits_like_orch043` | PASS |
+| TC-A07 | Self-hosting safety: только `--force-with-lease` на ветку, STAGE_TRANSITIONS не тронуты | `test_orch026_conditionality::test_premerge_only_force_with_lease_on_branch`, `test_stage_transitions_unchanged` | PASS |
+| TC-A08 | Сквозной сценарий сериализации merge-окна | `test_orch026_serialize_integration::test_serialized_merge_window` | PASS |
+
+### Уровень B — декларативные зависимости
+
+| TC ID | Описание | Тест-функция | Результат |
+|-------|----------|--------------|-----------|
+| TC-B01 | Декларация/резолв blocked-by; never-raise при недоступности | `test_orch026_task_deps::test_add_dependency_declares_and_resolves`, `test_add_dependency_never_raises_on_bad_input` | PASS |
+| TC-B02 | Гейт готовности: незавершённый depends-on → не ready; все done → ready | `test_orch026_task_deps::test_is_task_ready_blocked_then_ready`, `test_is_task_ready_no_deps_is_ready` | PASS |
+| TC-B03 | Детект циклов A→B→A и длиннее; ацикличный → нет | `test_orch026_dep_cycles::test_detect_two_node_cycle`, `test_detect_longer_cycle`, `test_acyclic_graph_has_no_cycle`, `test_detect_cycle_never_raises_on_garbage` | PASS |
+| TC-B04 | Цикл → Blocked + alert без падения воркера | `test_orch026_dep_cycles::test_handle_cycle_blocks_and_alerts`, `test_handle_cycle_never_raises_when_notify_fails` | PASS |
+| TC-B05 | claim_next_job не клеймит заблокированную (слот свободен), разблокируется при done | `test_orch026_task_deps::test_claim_skips_dep_blocked_job`, `test_claim_prefers_unblocked_job_over_blocked` | PASS |
+| TC-B06 | Видимость: строка ожидания в карточке; never-raise рендер | `test_orch026_dep_visibility::test_blocked_task_shows_waiting_line`, `test_render_never_raises_on_dep_error` | PASS |
+| TC-B07 | reconciler F-1 не разблокирует dep-заблокированную | `test_orch026_task_deps::test_reconciler_skip_helper_honours_block` | PASS |
+| TC-B08 | Сквозной: B стартует только после A→done; multiple predecessors | `test_orch026_deps_integration::test_b_waits_for_a_then_runs`, `test_multiple_predecessors_all_must_be_done`, `test_ingest_plane_relations_writes_db` | PASS |
+
+### Общие / миграция / регресс
+
+| TC ID | Описание | Тест-функция | Результат |
+|-------|----------|--------------|-----------|
+| TC-G01 | Аддитивная миграция job_deps: идемпотентна, данные сохранены | `test_orch026_migration::test_job_deps_table_created`, `test_job_deps_indices_created`, `test_migration_idempotent_and_preserves_data` | PASS |
+| TC-G02 | Наблюдаемость GET /queue: read-only блок task_deps | `test_orch026_queue_observability::test_queue_endpoint_includes_task_deps`, `test_snapshot_*` | PASS |
+| TC-G03 | Регресс: полный pytest зелёный | `tests/` (991 passed) | PASS |
+
+## Smoke test API (прод 8500)
+- `GET /health` → `{"status":"ok","service":"orchestrator"}` — OK
+- `GET /status` → активные задачи отдаются, ORCH-026 (id 58) в стадии `testing` — OK
+- `GET /queue` → counts/resilience/reconcile/reaper/merge_verify читаются; брейкер `closed`, preflight OK — OK
+- Примечание: блок `task_deps` в `/queue` прода 8500 ОТСУТСТВУЕТ — ожидаемо: прод-контейнер несёт текущую задеплоенную версию, ORCH-026 ещё не выкатан (self-hosting, деплой на поздних стадиях). Фича наблюдаемости верифицирована in-branch тестом `test_queue_endpoint_includes_task_deps` (PASS) через TestClient на коде ветки.
+
+## Вывод pytest
+```
+tests/test_orch026_*.py — 50 passed, 1 warning in 1.56s
+tests/                   — 991 passed, 1 warning in 26.52s
+```
+(единственный warning — PydanticDeprecatedSince20 в `src/config.py`, предсуществующий, не относится к ORCH-026)
+
+## Покрытие критериев приёмки (03-acceptance-criteria.md)
+Все 16 критериев (AC-A1…A7, AC-B1…B5, AC-G1…G5) покрыты прохождением соответствующих TC и
+подтверждены review-вердиктом APPROVED. Регрессии merge-gate (ORCH-043), merge-verify
+(ORCH-073), reconciler (ORCH-053/068), reaper (ORCH-065) не обнаружено.
+
+## Итог
+**PASS** — 50/50 новых ORCH-026-тестов зелёные, полный регресс 991 passed, smoke API OK,
+прод-контейнер не затронут. Задача готова к переходу на `deploy-staging`.

docs/work-items/ORCH-026/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-026
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-026/15-staging-log.md

@@ -0,0 +1,34 @@
+---
+staging_status: SUCCESS
+timestamp: 2026-06-08T16:14:11+00:00
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed. Exit code 0 → advance.
+
+Canonical run (ORCH-048, ADR-001) inside the live staging container:
+
+```
+docker exec orchestrator-staging \
+  python3 /repos/orchestrator/scripts/staging_check.py \
+  --base-url http://localhost:8501 --mode stub
+```
+
+## Result: 8/10 checks PASS
+
+- **Block A (SMOKE):** A1 /health, A2 /queue, A3 ORCH_STAGING=true — all PASS.
+- **Block B (ACCESS):** B4 Plane sandbox (R), B5 Gitea orchestrator-sandbox (R+push), B6 registry isolation (sandbox present, prod ET/ORCH absent) — all PASS.
+- **Block C (E2E, stub):** C7 create issue, C8 trigger pipeline — PASS.
+
+REAL failed: **none** — all pipeline checks green.
+
+## INFRA-WAIVED (ORCH-061)
+
+```
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+```
+
+C9a/C9b are the two known sandbox-infra-only checks (depend on SANDBOX bot accounts being members of the sandbox Plane project, not on the pipeline). They are tolerated because every REAL check is green; the script printed `INFRA-WAIVED:` and exited 0 (fail-closed semantics preserved: any REAL failure would still yield exit 1).

docs/work-items/ORCH-027/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: Code coverage как гейт (защита от деградации покрытия тестами)
+
+Work Item ID: ORCH-027
+
+## Description
+
+TBD

docs/work-items/ORCH-027/01-brd.md

@@ -0,0 +1,166 @@
+---
+work_item: ORCH-027
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-027 — Code coverage как гейт (защита от деградации покрытия тестами)
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+Оркестратор ведёт **автономную** разработку: код пишет агент `developer` без человеческого
+фильтра, а на стадии `testing` агент `tester` сам решает, достаточно ли тестов. Существующие
+тестовые гейты проверяют только **факт прохождения** тестов, а не их **полноту**:
+
+- `check_ci_green` (ребро `development → review`) — зелёный прогон `pytest tests/` в Gitea CI
+  (`.gitea/workflows/ci.yml`), судит по exit-code, покрытие **не меряет**.
+- `check_tests_passed` (ребро `testing → deploy-staging`) — читает machine-verdict
+  `result:`/`verdict:`/`status:` из `13-test-report.md`; это вердикт LLM-`tester`'а, а не
+  измеренная метрика.
+- Merge-gate re-test (ORCH-043) — повторный `pytest` на догнанной ветке, тоже только exit-code.
+
+Ни один гейт не замечает, что фича добавила 300 строк кода и 0 тестов, или что багфикс
+изменил поведение без регрессионного теста. При пакетном автономном прогоне (эпик ORCH-088,
+«10–20 задач за ночь») это означает **монотонную деградацию покрытия**: каждая задача может
+«срезать угол» на тестах, и за десятки задач проект тихо теряет тестируемость. Предложено
+Стрим, одобрено Славой (`00-business-request.md`).
+
+**Задача вводит измеримый гейт покрытия**: покрытие тестами измеряется инструментально и не
+должно опускаться ниже политики (абсолютный порог и/или «не ниже базовой линии»). Это
+структурная защита от деградации, аналогичная по духу security-гейту (ORCH-022) —
+детерминированная метрика вместо доверия суждению агента.
+
+> **Self-hosting.** Гейт работает на инструменте, который в проде обслуживает все проекты из
+> общей БД и очереди (`CLAUDE.md` §self-hosting). Измерение покрытия — это исполнение тест-сьюта
+> в изолированном worktree; оно **не трогает прод-контейнер и не касается `main`**.
+
+## 2. Объём (scope)
+
+### В объёме
+- Инструментальное измерение покрытия тестами для репозитория `orchestrator` (стек Python /
+  pytest) перед слиянием ветки задачи в `main`.
+- Гейт-решение: покрытие **не ниже** заданной политики порога. Политика поддерживает два режима:
+  абсолютный порог (`%`) и «не ниже базовой линии» (no-regression / ratchet), а также их
+  комбинацию.
+- Хранение и обновление **базовой линии** покрытия (last-known покрытие `main`).
+- Наблюдаемость результата: артефакт-отчёт о покрытии с machine-readable вердиктом, строка в
+  `GET /queue`, сигнал в Telegram при провале.
+- Конфигурируемость: kill-switch + per-repo область + настраиваемый порог/политика +
+  поведение при ошибке инструмента (fail-open/closed).
+
+### Вне объёма
+- Реализация измерения покрытия для НЕ-Python стеков (jest / jacoco для будущих репозиториев) —
+  фактическая интеграция инструментов оставлена на будущее; в ORCH-027 закладывается лишь
+  расширяемость (политика и хранилище не должны быть жёстко завязаны на Python).
+- Изменение существующей семантики `check_ci_green` / `check_tests_passed` /
+  `check_reviewer_verdict` для репозиториев, где гейт покрытия выключен.
+- Принудительное доведение покрытия до 100% или установка агрессивного абсолютного порога —
+  стартовая политика консервативна (см. NFR-4).
+- Покрытие самих тестовых файлов и мутационное тестирование.
+- Выбор конкретного инструмента/механизма интеграции и его расположения в конвейере как
+  архитектурного решения — это зона архитектора (`06-adr/`); BRD/ТЗ фиксируют требования и
+  кандидатные точки, выведенные из фактического кода.
+
+## 3. Заинтересованные стороны
+
+- **Заказчик / инициатор:** Стрим (предложение), Слава (одобрение).
+- **Затрагиваются:** конвейер `orchestrator` (self-hosting); агенты `developer`/`tester`
+  (теперь обязаны держать покрытие); проект enduro-trails — **не должен быть затронут** (гейт
+  по умолчанию неактивен вне сконфигурированных репозиториев).
+- **Принимает результат:** reviewer (стадия `review`) + финальная стадия конвейера; владелец
+  (Owner) — по факту работы гейта в проде.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1 — Измерение покрытия.** Перед слиянием ветки задачи в `main` покрытие тестами
+  репозитория измеряется инструментально (исполнением тест-сьюта под coverage-инструментацией),
+  а не оценивается на глаз. Результат — числовая метрика покрытия (как минимум line coverage).
+- **BR-2 — Гейт деградации.** Если измеренное покрытие нарушает политику (ниже абсолютного
+  порога ИЛИ ниже базовой линии — в зависимости от выбранного режима), конвейер **не
+  пропускает** задачу дальше к деплою и инициирует штатный откат на `development` для доработки
+  тестов.
+- **BR-3 — Базовая линия (ratchet).** Поддерживается режим «не ниже предыдущего»: гейт
+  сравнивает покрытие ветки с зафиксированной базовой линией `main`. Базовая линия **обновляется
+  вверх** при успешном слиянии задачи в `main` (покрытие может только расти или держаться, но
+  не падать).
+- **BR-4 — Конфигурируемость и нулевая регрессия.** Гейт управляется kill-switch'ем и
+  per-repo областью (по образцу `merge_gate`/`security_gate`/`image_freshness`,
+  ORCH-035/043/058). Для репозиториев вне области (в частности enduro-trails) гейт — **полный
+  no-op**, поведение конвейера 1:1 как до задачи. Порог, политика (absolute|baseline|both) и
+  поведение при ошибке инструмента — настраиваемы.
+- **BR-5 — Наблюдаемость.** Результат измерения виден: (а) артефакт-отчёт о покрытии с
+  machine-readable вердиктом в `docs/work-items/<id>/`; (б) read-only блок в `GET /queue`;
+  (в) уведомление в Telegram при провале гейта (кликабельный номер задачи, как у прочих
+  алертов). Сообщение указывает измеренное покрытие, порог/базовую линию и дельту.
+- **BR-6 — Стек-расширяемость.** Логика политики (PASS/FAIL по метрике/базовой линии) и
+  хранилище базовой линии не зависят от конкретного инструмента; добавление измерителя для
+  другого стека (jest/jacoco) в будущем не требует переписывания ядра гейта.
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 — never-raise / fail-safe.** Ядро гейта — изолированный leaf-модуль (по образцу
+  `src/security_gate.py`, `src/serial_gate.py`, `src/labels.py`): любая внутренняя ошибка
+  обрабатывается, исключение **никогда** не всплывает в `advance_stage` и не роняет конвейер
+  всех проектов.
+- **NFR-2 — Поведение при недоступности/ошибке инструмента.** По умолчанию ошибка измерения
+  (coverage-инструмент упал/недоступен) → **fail-open + громкий warning** (анти-петля,
+  прецедент ORCH-061/ORCH-022 dep-audit), переключаемое в fail-closed флагом. Дефолт не должен
+  заклинивать автономный конвейер из-за инфраструктурного сбоя.
+- **NFR-3 — Self-hosting безопасность.** Гейт только исполняет тесты в изолированном worktree,
+  читает метрику, пишет отчёт и принимает решение. Он **никогда** не вызывает деплой-хук, не
+  перезапускает прод-контейнер, не пушит/форс-пушит в `main`.
+- **NFR-4 — Консервативный старт (анти-флап).** Стартовая политика не должна массово заворачивать
+  существующие задачи: базовая линия инициализируется фактическим покрытием `main`, абсолютный
+  порог — как мягкий backstop. Допускается малый отрицательный допуск (epsilon) на шум измерения,
+  чтобы дрожание ±доли процента не заворачивало задачу.
+- **NFR-5 — Совместимость.** `STAGE_TRANSITIONS`, состав/семантика `QG_CHECKS` и `check_*`,
+  machine-verdict ключи существующих доков (`verdict:`/`result:`/`deploy_status:`/
+  `staging_status:`/`security_status:`) — не меняются. Любая новая БД-сущность — аддитивна
+  (без миграции существующих таблиц). Restart-safe.
+- **NFR-6 — Детерминизм.** Решение гейта — чистая функция от (измеренное покрытие, базовая
+  линия, порог, политика); без участия LLM в критическом пути (как security/merge/image-freshness
+  под-гейты).
+
+## 6. Допущения и ограничения
+
+- Тест-сьют `orchestrator` запускается командой `python -m pytest tests/` из корня репозитория
+  (подтверждено `.gitea/workflows/ci.yml`, `pytest.ini` `testpaths = tests`); измерение покрытия
+  накладывается на этот же прогон.
+- Coverage-инструмент для Python (`coverage.py` / `pytest-cov`) добавляется как pip-зависимость;
+  он не требует сети во время измерения.
+- Репозиторий `orchestrator` — единственный self-hosting (предикат `is_self_hosting_repo`);
+  стартовая область гейта — он. enduro-trails и прочие репозитории по умолчанию вне области.
+- Базовая линия привязана к покрытию `main`; её первичная инициализация выполняется один раз
+  (bootstrap) фактическим замером текущего `main`.
+- Тесты исполняются в per-branch worktree (`ensure_worktree`), что безопасно при параллельных
+  активных задачах (прецедент `check_tests_local`/merge-gate re-test).
+
+## 7. Критерии успеха
+
+- Покрытие тестами `orchestrator` измеряется на каждой задаче и не может опуститься ниже
+  политики, не заблокировав продвижение к деплою.
+- При выключенном флаге / вне области — конвейер ведёт себя 1:1 как до ORCH-027 (нулевая
+  регрессия для enduro-trails).
+- Сбой coverage-инструмента не заклинивает автономный конвейер (дефолт fail-open + warning).
+- Результат измерения прозрачен (отчёт + `GET /queue` + Telegram при провале).
+
+Детальные PASS/FAIL — `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- **Флап на шуме измерения** — недетерминированное покрытие (например, зависящее от порядка/
+  окружения) может дрожать у границы → ложные заворота. Митигировать epsilon-допуском (NFR-4).
+- **Петля заворотов** — слишком высокий абсолютный порог завернёт многие задачи в бесконечный
+  rework. Митигировать консервативной стартовой политикой и baseline-режимом.
+- **Гонка базовой линии** при параллельных слияниях — два слияния в `main` могут конкурентно
+  обновлять baseline. Требуется атомарное/сериализованное обновление (опереться на окно
+  сериализации merge-lease, ORCH-043).
+- **Инфраструктурная хрупкость** — coverage-инструмент недоступен/несовместим с версией pytest →
+  закрыто требованием NFR-2 (fail-open + warning).
+
+Детальная техническая проработка рисков — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-027/02-trz.md

@@ -0,0 +1,156 @@
+---
+work_item: ORCH-027
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные требования к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование и выбор механизма (где именно врезать гейт, как хранить базовую
+> линию, какой инструмент) — задача архитектора (`06-adr/`). Ниже зафиксированы требования и
+> **кандидатные** точки интеграции, грунтованные реальным кодом; финальное решение по каждой
+> отмеченной точке принимает архитектор.
+
+## 1. Сводка изменения
+
+Вводится **детерминированный гейт покрытия тестами** для репозитория `orchestrator`. Гейт
+измеряет покрытие исполнением тест-сьюта под coverage-инструментацией, сравнивает с политикой
+(абсолютный порог и/или базовая линия `main`) и блокирует продвижение задачи к деплою при
+деградации, инициируя штатный откат на `development`. Ядро — изолированный leaf-модуль с чистой
+логикой решения (по образцу `security_gate`/`serial_gate`), управляемый kill-switch'ем и per-repo
+областью; вне области — полный no-op. Базовая линия покрытия `main` хранится персистентно и
+обновляется вверх при слиянии (ratchet).
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие | Назначение |
+|------|----------|-----------|
+| `requirements.txt` | изменить | добавить coverage-зависимость Python (`coverage.py` / `pytest-cov`; точный выбор — архитектор) |
+| `src/coverage_gate.py` | создать | **NEW leaf-модуль**: измерение покрытия (run suite под coverage в `ensure_worktree`), чистые функции `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)` и классификация, чтение/запись отчёта; never-raise; импортирует только `config`/`git_worktree` (+ лениво `qg.checks.is_self_hosting_repo`/`notifications`) |
+| `src/config.py` | изменить | добавить флаги гейта (см. §6 ниже / раздел совместимости) |
+| `src/qg/checks.py` | изменить | зарегистрировать механизм проверки покрытия (новый `check_*` ЛИБО делегирование из под-гейта); **семантика существующих `check_*` не меняется** |
+| `src/stage_engine.py` | изменить *(кандидат)* | врезка под-гейта в `advance_stage` по образцу `_handle_security_gate`/`_handle_merge_gate` — если выбран механизм «edge sub-gate» (см. §3 FR-3) |
+| `src/db.py` | изменить *(кандидат)* | аддитивная таблица базовой линии покрытия (`coverage_baseline` per-repo), если базовая линия хранится в БД, а не в файле; `_ensure_column`/`CREATE TABLE IF NOT EXISTS` — без миграции существующих |
+| `.gitea/workflows/ci.yml` | изменить *(кандидат)* | если измерение делается в CI-шаге — добавить `--cov`/порог в прогон pytest; **точка измерения — решение архитектора** |
+| `src/main.py` | изменить | read-only блок `coverage` в `GET /queue` (наблюдаемость) |
+| `docs/work-items/<id>/<NN>-coverage-report.md` | создать (артефакт run-time) | отчёт о покрытии с machine-readable вердиктом (см. §4/§6); номер/имя и регистрация в `docs/_standards/PIPELINE_DOCS.md` + скелет в `docs/_templates/` — оформляет архитектор |
+| `tests/test_coverage_gate.py` | создать | unit/integration по `04-test-plan.yaml` |
+
+## 3. Функциональные требования
+
+### FR-1 — Измерение покрытия (привязка BR-1)
+Гейт исполняет тест-сьют `orchestrator` (`python -m pytest tests/`, см. `.gitea/workflows/ci.yml`)
+под coverage-инструментацией в изолированном per-branch worktree (`ensure_worktree`, прецедент
+`check_tests_local`) и извлекает числовую метрику покрытия (как минимум суммарный line coverage,
+`%`). Тайм-аут на прогон ограничен (по образцу `merge_retest_timeout_s` / `security_scan_timeout_s`).
+
+### FR-2 — Решение гейта (привязка BR-2, BR-3)
+Чистая функция `compute_coverage_verdict(measured, baseline, floor, policy, epsilon) -> (ok, reason)`:
+- `policy = absolute` → PASS ⇔ `measured >= floor - epsilon`.
+- `policy = baseline` → PASS ⇔ `measured >= baseline - epsilon`.
+- `policy = both` (дефолт) → PASS ⇔ выполнены оба условия.
+- FAIL → гейт инициирует штатный откат на `development` для доработки тестов (по образцу
+  `_handle_security_gate` / merge-gate rollback), с инкрементом счётчика developer-retry.
+- `epsilon` — малый неотрицательный допуск на шум измерения (NFR-4), настраиваемый.
+
+### FR-3 — Точка в конвейере (привязка BR-2; **кандидат, решает архитектор**)
+Бизнес-запрос указывает «на testing-гейте». Грунтованные кодом кандидаты (выбрать один):
+- **(a) Edge sub-gate** в `advance_stage` на ребре `deploy-staging → deploy` (рядом с
+  `_handle_security_gate`/`_handle_merge_gate`/`_handle_image_freshness`) — даёт гарантию «гейт
+  ДО слияния в `main`», детерминирован, владеет исходом на вмешательстве. Предпочтительно для
+  соответствия NFR-3/NFR-6.
+- **(b) Под-гейт/расширение на ребре `testing → deploy-staging`** (рядом с `check_tests_passed`).
+- **(c) CI-шаг** в `.gitea/workflows/ci.yml` (ребро `development → review`, читается
+  `check_ci_green`) — порог проверяется самим pytest-прогоном.
+Требование, инвариантное к выбору: гейт обязан отработать **до фактического merge в `main`** и не
+пропускать деградацию в `main`.
+
+### FR-4 — Базовая линия и её обновление (привязка BR-3)
+- Персистентное per-repo хранилище базовой линии покрытия `main` (БД-таблица ИЛИ файл в репо —
+  решает архитектор; при БД — аддитивная таблица, NFR-5).
+- Bootstrap: первичная инициализация фактическим замером текущего `main`.
+- Ratchet-up: при успешном слиянии задачи в `main` базовая линия обновляется значением
+  смёрженного покрытия, **только если оно ≥ текущей** (покрытие не откатывается вниз). Обновление
+  должно быть атомарным/сериализованным относительно параллельных слияний (опереться на окно
+  merge-lease, ORCH-043).
+
+### FR-5 — Условность и kill-switch (привязка BR-4)
+- `coverage_gate_enabled=False` → гейт инертен, конвейер 1:1 как до ORCH-027.
+- `coverage_gate_repos` (CSV) — область применения; **пусто → только self-hosting**
+  (`is_self_hosting_repo`, по образцу `merge_gate`/`security_gate`/`image_freshness`).
+- Вне области → no-op `(True, "Coverage gate N/A")` (прецедент `check_staging_status` для
+  не-self-hosting, ORCH-035).
+- `applies(repo)` (локальная проверка) выполняется ПЕРВОЙ; дорогой прогон измерения — только при
+  `applies==True`.
+
+### FR-6 — Поведение при ошибке инструмента (привязка NFR-2)
+Ошибка/недоступность coverage-инструмента или невозможность распарсить метрику → по умолчанию
+**fail-open + WARNING** (`coverage_tool_fail_closed=False`, прецедент `security_dep_audit_fail_closed`);
+флаг переключает в fail-closed. Поведение логируется явной observability-строкой.
+
+### FR-7 — Наблюдаемость (привязка BR-5)
+- Артефакт-отчёт `<NN>-coverage-report.md` с machine-readable вердиктом (см. §4).
+- Read-only блок `coverage` в `GET /queue` (per-repo: `enabled`/`policy`/`floor`/`baseline`/
+  последнее измеренное/вердикт).
+- При FAIL — `send_telegram` (notifying) с кликабельным номером задачи (`plane_issue_link`),
+  измеренным покрытием, порогом/базовой линией и дельтой.
+
+## 4. Изменения API
+
+- **`GET /queue`** — добавить read-only блок `coverage` (наблюдаемость; форма прочих блоков
+  `serial_gate`/`security`/`merge`). Без изменения существующих полей ответа.
+- **Опционально (решает архитектор):** ручной эндпоинт сброса/override базовой линии
+  (`POST /coverage/baseline?repo=…`) — по образцу `POST /serial-gate/unfreeze`, на случай
+  легитимного разового снижения покрытия. Если не вводится — override выполняется через конфиг.
+- Существующие webhook-роуты (`/webhook/plane`, `/webhook/gitea`) — без изменений.
+
+## 5. Изменения схемы БД
+
+Зависит от выбора хранилища базовой линии (FR-4):
+- **Если БД:** аддитивная таблица `coverage_baseline(repo TEXT PRIMARY KEY, coverage REAL,
+  updated_at, source_sha TEXT)` через `CREATE TABLE IF NOT EXISTS` (паттерн `repo_freeze`/
+  `job_deps`). Существующие таблицы — **не мигрируются** (NFR-5).
+- **Если файл в репо:** изменений схемы БД нет (базовая линия — версионируемый файл вроде
+  `.coverage-baseline.json`, читаемый/обновляемый под merge-lease).
+
+Выбор — архитектор; ТЗ требует лишь: персистентность, restart-safe, аддитивность, атомарность
+обновления.
+
+## 6. Требования к новым/изменённым QG checks
+
+- **Новый машинный вердикт покрытия.** Если гейт реализован как edge sub-gate (FR-3a/b), он
+  **сам вычисляет** вердикт (как `check_security_gate`) и пишет отчёт `<NN>-coverage-report.md`
+  с frontmatter-ключом `coverage_status:` (`PASS` | `FAIL`), читаемым обратно из того же файла
+  (single source of truth, по образцу `security_status:` в `17-security-report.md`). Имя ключа
+  фиксируется и регистр чувствителен.
+- **Реестр `QG_CHECKS`.** Допустимо добавить `check_coverage_gate` в реестр (если механизм —
+  зарегистрированный QG) ЛИБО оставить его врезкой-под-гейтом (как security/merge/image-freshness,
+  которые в `QG_CHECKS` присутствуют, но исполняются как врезки). **Семантика и состав
+  существующих `check_*` — без изменений** (NFR-5).
+- **Парсинг frontmatter** вердикта — через единый контракт `src/frontmatter.py`
+  (`parse_frontmatter`/`read_frontmatter_value`), как все вердикт-парсеры (ORCH-052c). Если
+  отчёт несёт обязательную 6-польную схему 52c — добавить её аддитивно, не трогая `coverage_status:`.
+
+## 7. Совместимость / регресс
+
+- **Обратная совместимость:** при `coverage_gate_enabled=False` или для репозитория вне
+  `coverage_gate_repos` — поведение конвейера байт-в-байт прежнее; enduro-trails не затронут.
+- **Kill-switch + поэтапный раскат:** `coverage_gate_enabled` (глобальный), `coverage_gate_repos`
+  (область). Старт — только `orchestrator`.
+- **Конфиг-флаги (итог §3/§6):** `coverage_gate_enabled` (bool), `coverage_gate_repos` (CSV),
+  `coverage_min_percent` (float, абсолютный порог), `coverage_policy` (`absolute|baseline|both`,
+  дефолт `both`), `coverage_epsilon` (float, допуск шума), `coverage_tool_fail_closed` (bool,
+  дефолт `False`), `coverage_run_timeout_s` (int). Имена env — `ORCH_COVERAGE_*`.
+- **never-raise / fail-open в hot-path:** ядро не роняет `advance_stage`; ошибка инструмента →
+  fail-open + warning по умолчанию (NFR-2). Прод-контейнер/`main`/force-push — не трогаются (NFR-3).
+- **Restart-safe:** базовая линия персистентна; in-flight измерение при рестарте переигрывается
+  штатным механизмом стадии (idempotent).
+- **Документация (golden source):** при выборе механизма архитектор регистрирует артефакт
+  `<NN>-coverage-report.md` и его machine-key в `docs/_standards/PIPELINE_DOCS.md` +
+  `docs/_templates/`, и обновляет `docs/architecture/README.md` и `CHANGELOG.md` в том же PR.

docs/work-items/ORCH-027/03-acceptance-criteria.md

@@ -0,0 +1,138 @@
+---
+work_item: ORCH-027
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам
+репозитория.
+
+---
+
+## AC-1 — Покрытие измеряется инструментально
+
+**Условие:** на применимом репозитории конвейер измеряет покрытие тестами исполнением сьюта под
+coverage-инструментацией перед слиянием в `main`.
+- **PASS:** в коде есть путь, который запускает `pytest` под coverage в изолированном worktree и
+  извлекает числовую метрику line coverage (`%`); coverage-зависимость добавлена в `requirements.txt`.
+- **FAIL:** покрытие не измеряется инструментально, метрика берётся из прозы/вердикта LLM, либо
+  зависимость не объявлена.
+
+---
+
+## AC-2 — Гейт блокирует деградацию
+
+**Условие:** покрытие ниже политики не пропускается дальше к деплою.
+- **PASS:** при измеренном покрытии ниже порога/базовой линии (с учётом epsilon) гейт даёт FAIL и
+  инициирует штатный откат на `development` (инкремент developer-retry), задача не достигает `done`.
+- **FAIL:** задача с упавшим покрытием проходит гейт и продвигается к деплою/`done`.
+
+---
+
+## AC-3 — Чистая функция решения
+
+**Условие:** вердикт — детерминированная чистая функция от (measured, baseline, floor, policy, epsilon).
+- **PASS:** `compute_coverage_verdict(...)` покрыта unit-тестами для всех режимов
+  (`absolute`/`baseline`/`both`), границ (равно порогу), epsilon-допуска; без участия LLM.
+- **FAIL:** решение принимает LLM, либо логика недетерминирована/не покрыта тестами границ.
+
+---
+
+## AC-4 — Режим базовой линии (ratchet)
+
+**Условие:** поддержан режим «не ниже предыдущего» с обновлением базовой линии вверх при слиянии.
+- **PASS:** базовая линия персистентна per-repo; при слиянии обновляется значением смёрженного
+  покрытия только если оно ≥ текущей; bootstrap инициализирует её фактическим покрытием `main`;
+  обновление атомарно/сериализовано относительно параллельных слияний.
+- **FAIL:** базовая линия не хранится / откатывается вниз / обновляется неатомарно (гонка двух
+  слияний теряет/занижает значение).
+
+---
+
+## AC-5 — Условность и нулевая регрессия
+
+**Условие:** вне области / при выключенном флаге — поведение конвейера 1:1 как до ORCH-027.
+- **PASS:** при `coverage_gate_enabled=False` или repo ∉ `coverage_gate_repos` гейт — no-op
+  (`(True, "...N/A")`); существующая тестовая база (`pytest tests/`) зелёная; enduro-trails не
+  затронут; `applies(repo)` проверяется до дорогого прогона.
+- **FAIL:** гейт срабатывает вне области, либо выключенный флаг меняет поведение, либо есть
+  регресс существующих тестов.
+
+---
+
+## AC-6 — Fail-open по умолчанию при ошибке инструмента
+
+**Условие:** сбой/недоступность coverage-инструмента не заклинивает автономный конвейер.
+- **PASS:** при ошибке измерения и `coverage_tool_fail_closed=False` гейт даёт PASS + WARNING-лог
+  (observability-строка); флаг `=True` переключает в fail-closed (FAIL). Поведение покрыто тестом.
+- **FAIL:** ошибка инструмента по умолчанию заворачивает задачу (петля rework) либо роняет
+  `advance_stage`.
+
+---
+
+## AC-7 — never-raise / self-hosting безопасность
+
+**Условие:** ядро гейта не роняет конвейер и не трогает прод/`main`.
+- **PASS:** `src/coverage_gate.py` — leaf (не импортирует `stage_engine`); любое исключение
+  перехвачено и не всплывает в `advance_stage`; код не вызывает деплой-хук, не перезапускает
+  прод-контейнер, не пушит/форс-пушит в `main`/`master`.
+- **FAIL:** исключение из гейта всплывает в `advance_stage`; гейт трогает прод-контейнер или `main`.
+
+---
+
+## AC-8 — Совместимость контрактов
+
+**Условие:** существующие машинные контракты не изменены.
+- **PASS:** `STAGE_TRANSITIONS`, семантика существующих `check_*`, machine-verdict ключи
+  (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) — байт-в-байт
+  прежние; любая новая БД-сущность аддитивна (без миграции существующих таблиц).
+- **FAIL:** изменена семантика/имя существующего гейта или вердикт-ключа; миграция ломает
+  существующую схему.
+
+---
+
+## AC-9 — Машинный вердикт покрытия и наблюдаемость
+
+**Условие:** результат измерения прозрачен и машинно читаем.
+- **PASS:** при FAIL — Telegram-алерт с кликабельным номером задачи, измеренным покрытием,
+  порогом/базовой линией и дельтой; `GET /queue` несёт read-only блок `coverage`; артефакт-отчёт
+  с machine-readable вердиктом (`coverage_status: PASS|FAIL`) записан и читается обратно из того
+  же файла через `src/frontmatter.py`.
+- **FAIL:** результат не виден в `GET /queue`/Telegram, либо вердикт парсится из прозы, а не из
+  frontmatter, либо имя ключа не зафиксировано (регистр).
+
+---
+
+## AC-10 — Документация обновлена (golden source)
+
+**Условие:** документация синхронизирована с изменением в том же PR.
+- **PASS:** если введён артефакт-отчёт — он зарегистрирован в `docs/_standards/PIPELINE_DOCS.md`
+  и `docs/_templates/`; обновлены `docs/architecture/README.md` (описание гейта/флагов) и
+  `CHANGELOG.md`; новые/изменённые инварианты несут маркер `ORCH-027`.
+- **FAIL:** функционал введён без обновления обзорной/стандартной документации (reviewer →
+  REQUEST_CHANGES, ORCH-079).
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1 |
+| AC-2 | BR-2 / FR-2, FR-3 |
+| AC-3 | BR-2 / FR-2 / NFR-6 |
+| AC-4 | BR-3 / FR-4 |
+| AC-5 | BR-4 / FR-5 / NFR-5 |
+| AC-6 | NFR-2 / FR-6 |
+| AC-7 | NFR-1 / NFR-3 |
+| AC-8 | NFR-5 / FR-6 (§6 ТЗ) |
+| AC-9 | BR-5 / FR-7 / §6 ТЗ |
+| AC-10 | Правила агентов §2/§6 (CLAUDE.md) |

docs/work-items/ORCH-027/04-test-plan.yaml

@@ -0,0 +1,110 @@
+work_item: ORCH-027
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+title: "Code coverage gate — защита от деградации покрытия тестами"
+framework: pytest
+scope: >
+  Покрываются: чистая логика вердикта покрытия (режимы absolute/baseline/both, границы,
+  epsilon), ratchet-обновление базовой линии, условность (kill-switch + per-repo область),
+  fail-open/fail-closed при ошибке инструмента, never-raise, наблюдаемость (GET /queue,
+  Telegram при FAIL), интеграция гейта в advance_stage / точку конвейера. Вне покрытия:
+  фактические измерители не-Python стеков (jest/jacoco), мутационное тестирование.
+notes: >
+  Тесты не должны исполнять реальный прод-деплой и не трогают prod-контейнер/main.
+  Измерение покрытия в тестах мокается/стабится (фиктивная метрика), реальный pytest-прогон
+  под coverage проверяется отдельным интеграционным тестом на минимальном фикстур-репо/worktree.
+  Полный регресс tests/ должен оставаться зелёным (нулевая регрессия для enduro-trails).
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "compute_coverage_verdict, policy=absolute: measured>=floor → PASS; measured<floor-epsilon → FAIL; ровно на пороге → PASS"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "compute_coverage_verdict, policy=baseline: measured>=baseline → PASS; ниже baseline-epsilon → FAIL (no-regression / ratchet)"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "compute_coverage_verdict, policy=both: PASS только при выполнении обоих условий; нарушение любого → FAIL"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "epsilon-допуск: дрожание покрытия в пределах epsilon у границы не заворачивает задачу (анти-флап, NFR-4)"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "Ratchet базовой линии: при слиянии baseline растёт до смёрженного покрытия только если >= текущей; меньшее значение не понижает baseline"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "Bootstrap базовой линии: первичная инициализация фактическим покрытием main при отсутствии сохранённого значения"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "Условность applies(repo): пустой coverage_gate_repos → только self-hosting (is_self_hosting_repo); repo вне области → no-op (True, 'N/A'), дорогой прогон не запускается"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "Kill-switch coverage_gate_enabled=False → гейт инертен, advance_stage ведёт себя 1:1 как до ORCH-027"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "Fail-open по умолчанию: ошибка/недоступность coverage-инструмента и coverage_tool_fail_closed=False → PASS + WARNING-лог; флаг True → FAIL (fail-closed)"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-10
+    type: unit
+    description: "never-raise: внутреннее исключение (битый вывод coverage, отсутствие worktree) перехватывается, не всплывает в advance_stage"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-11
+    type: unit
+    description: "Запись/чтение отчёта: write_coverage_report пишет coverage_status: PASS|FAIL во frontmatter; parse читает обратно из того же файла через src/frontmatter.py (single source of truth)"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-12
+    type: unit
+    description: "Self-hosting безопасность: гейт не вызывает деплой-хук, не перезапускает прод-контейнер, не пушит/форс-пушит в main/master"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-13
+    type: integration
+    description: "Гейт в конвейере: при measured ниже политики advance_stage не продвигает к деплою и инициирует откат на development (инкремент developer-retry); при PASS — продвигает штатно"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-14
+    type: integration
+    description: "Реальное измерение: pytest под coverage в ensure_worktree на минимальном фикстур-репо возвращает корректную метрику line coverage и тайм-аутится по coverage_run_timeout_s"
+    module: tests/test_coverage_gate.py
+    expected: PASS
+
+  - id: TC-15
+    type: integration
+    description: "Наблюдаемость: FAIL даёт Telegram-алерт с кликабельным номером (измеренное/порог/дельта); GET /queue несёт read-only блок coverage; совместимость — STAGE_TRANSITIONS/QG_CHECKS/существующие вердикт-ключи не изменены"
+    module: tests/test_coverage_gate.py
+    expected: PASS

docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md

@@ -0,0 +1,266 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Гейт покрытия тестами — edge sub-gate с ratchet-базовой линией
+
+Work Item: **ORCH-027** — детерминированный гейт покрытия тестами, блокирующий деградацию
+покрытия перед слиянием ветки задачи в `main`.
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0029-coverage-gate.md`** (решение
+кросс-каттинговое — вводит новый QG `check_coverage_gate`, новый edge-под-гейт ребра
+`deploy-staging→deploy`, новую аддитивную БД-таблицу `coverage_baseline` и новый артефакт
+`18-coverage-report.md`).
+
+## Статус
+Proposed
+
+---
+
+## Контекст
+
+Оркестратор ведёт **автономную** разработку: код пишет агент `developer` без человека-фильтра,
+а на стадии `testing` агент `tester` сам решает, достаточно ли тестов. Существующие тестовые
+гейты судят только по **факту прохождения**, не по **полноте** (сверено по коду):
+
+- `check_ci_green` (`development → review`) — exit-code `pytest tests/` в Gitea CI
+  (`.gitea/workflows/ci.yml`); покрытие не меряется.
+- `check_tests_passed` (`testing → deploy-staging`, `qg/checks.py::_parse_tests_verdict`) —
+  читает machine-verdict LLM-`tester`'а из `13-test-report.md`, а не измеренную метрику.
+- Merge-gate re-test (ORCH-043, `src/merge_gate.py`) — повторный `pytest` на догнанной ветке,
+  снова только exit-code.
+
+Ни один гейт не замечает «300 строк кода, 0 тестов» или багфикс без регрессионного теста. При
+пакетном автономном прогоне (ORCH-088, «10–20 задач за ночь») это означает **монотонную
+деградацию покрытия**: каждая задача срезает угол на тестах, и за десятки задач проект тихо
+теряет тестируемость. Нужна детерминированная метрика вместо доверия суждению агента — по духу
+аналогично security-гейту (ORCH-022, adr-0012).
+
+Требования (`01-brd.md`/`02-trz.md`/`03-acceptance-criteria.md`): измерять покрытие
+инструментально перед merge в `main` (BR-1/FR-1); блокировать деградацию относительно
+абсолютного порога и/или базовой линии (BR-2/BR-3/FR-2); хранить и наращивать базовую линию
+(ratchet, FR-4); kill-switch + per-repo область, нулевая регрессия для enduro-trails
+(BR-4/FR-5); fail-open по умолчанию при сбое инструмента (NFR-2/FR-6); never-raise и
+self-hosting-безопасность (NFR-1/NFR-3); неизменность существующих контрактов (NFR-5).
+
+## Решение
+
+### Сводка
+
+Вводим **детерминированный (без LLM) гейт покрытия** как **под-гейт ребра
+`deploy-staging → deploy`** — рядом с security-gate (ORCH-022), merge-gate (ORCH-043) и
+image-freshness (ORCH-058), исполняемый **ПОСЛЕ merge-gate и ДО image-freshness**.
+`STAGE_TRANSITIONS` не меняется; в `QG_CHECKS` добавляется `check_coverage_gate`. Паттерн —
+1:1 как у соседних под-гейтов: leaf-модуль `src/coverage_gate.py` (never-raise) + тонкая
+обёртка в `QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. Базовая линия `main`
+хранится в **аддитивной БД-таблице** `coverage_baseline` и наращивается **вверх** (ratchet) в
+choke-point подтверждённого merge `_handle_merge_verify` (ребро `deploy → done`). Вердикт
+пишется в артефакт `18-coverage-report.md` (frontmatter-ключ `coverage_status:`) и читается
+обратно из того же файла (single source of truth, как `security_status:`).
+
+### D1 — Точка в конвейере: edge sub-gate `deploy-staging → deploy`, ПОСЛЕ merge-gate (FR-3a)
+
+Из трёх кандидатов TRZ FR-3 выбран **(a) edge sub-gate** на ребре `deploy-staging → deploy`
+(`advance_stage`, `src/stage_engine.py`, блок `current_stage == "deploy-staging"`). Это даёт
+структурную гарантию «гейт ДО merge в `main`» (merge выполняется детерминированным merge-актором
+в `_handle_merge_verify` на ребре `deploy → done`), детерминизм и владение исходом на
+вмешательстве — полное соответствие NFR-3/NFR-6.
+
+**Порядок среди под-гейтов: security → merge → `coverage` → image-freshness.** Обоснование:
+
+- **ПОСЛЕ merge-gate (а не первым, как security).** Merge-gate выполняет догон ветки на свежий
+  `origin/main` (`auto_rebase_onto_main` под merge-lease, ORCH-043/026). Покрытие имеет смысл
+  мерить на **догнанном** HEAD — это ровно тот код, что landed в `main`; измерение до rebase
+  показало бы покрытие устаревшей базы. Поэтому coverage **обязан** идти после merge-gate
+  (в отличие от security, который специально фейлит дёшево ДО rebase).
+- **ДО image-freshness.** Прогон pytest под coverage дорог, но дешевле полного docker-rebuild
+  staging-образа. Фейлить покрытие до rebuild — экономия (паттерн «fail before expensive
+  rebuild», 07-infra security-гейта).
+- **Merge-lease held на этой точке.** Merge-gate уже захватил merge-lease (ORCH-043). Значит
+  **FAIL coverage обязан освободить merge-lease** при откате — как делает image-freshness
+  rollback (`merge_gate.release_merge_lease`, `stage_engine.py:1165`), и **в отличие** от
+  security-gate rollback (тот идёт ДО захвата lease и lease не трогает). Это явный инвариант
+  реализации (TR-2).
+
+Привязка: BR-2/FR-3/AC-2; NFR-3/AC-7.
+
+### D2 — Измеритель: `pytest-cov` (`coverage.py`), `--cov=src` (FR-1, BR-6)
+
+В `requirements.txt` добавляется **`pytest-cov`** (плагин-обёртка над `coverage.py`). Измерение —
+прогон `python -m pytest tests/ --cov=src --cov-report=json:<tmp>/coverage.json
+--cov-report=` в изолированном per-branch worktree (`ensure_worktree`, прецедент
+`check_tests_local`/merge-gate re-test). Числовая метрика — `totals.percent_covered` из JSON
+(line coverage, `%`). Скоуп измерения — **`src/`** (не `tests/`: покрытие самих тестов вне
+объёма, BRD §«Вне объёма»). Сеть при измерении не нужна. Тайм-аут — `coverage_run_timeout_s`
+(по образцу `merge_retest_timeout_s`/`security_scan_timeout_s`).
+
+**Стек-расширяемость (BR-6/AC-… BR-6):** измеритель инкапсулирован за функцией
+`measure_coverage(repo, branch) -> float | None`; чистая логика решения
+`compute_coverage_verdict(...)` и хранилище базовой линии **не зависят** от Python/pytest.
+Добавление jest/jacoco-измерителя для будущего стека — новая ветка `measure_*`, без переписывания
+ядра. Фактическая интеграция не-Python стеков — вне объёма ORCH-027.
+
+### D3 — Чистая функция решения (FR-2, NFR-6, BR-2/BR-3)
+
+`compute_coverage_verdict(measured, baseline, floor, policy, epsilon) -> (ok: bool, reason: str)` —
+детерминированная чистая функция (без LLM, без I/O):
+
+- `policy = "absolute"` → PASS ⇔ `measured >= floor - epsilon`.
+- `policy = "baseline"` → PASS ⇔ `measured >= baseline - epsilon`.
+- `policy = "both"` (дефолт) → PASS ⇔ выполнены **оба** условия.
+- `baseline is None` (нет сохранённой базовой линии) → baseline-условие **не применяется**
+  (bootstrap: нельзя регрессировать против пустоты) → решает только absolute-часть; измеренное
+  значение засеет базовую линию при merge (D5).
+- `epsilon` — малый неотрицательный допуск на шум измерения (NFR-4/AC-4): дрожание ±доли
+  процента у границы не заворачивает задачу.
+
+FAIL → штатный откат на `development` + инкремент общего `_developer_retry_count` (cap
+`MAX_DEVELOPER_RETRIES`, затем `set_issue_blocked` + Telegram) — точно как security/merge-gate
+rollback. Дословный reason (измеренное/порог/базовая линия/дельта) встраивается в `task_desc`
+developer'а (паттерн ORCH-046). Привязка: AC-2/AC-3.
+
+### D4 — Хранилище базовой линии: аддитивная БД-таблица `coverage_baseline` (FR-4, NFR-5)
+
+Базовая линия `main` хранится в **БД**, не в файле репозитория:
+
+```sql
+CREATE TABLE IF NOT EXISTS coverage_baseline (
+    repo        TEXT PRIMARY KEY,
+    coverage    REAL NOT NULL,
+    source_sha  TEXT,
+    updated_at  TEXT NOT NULL
+);
+```
+
+(паттерн `repo_freeze`/`job_deps` — `CREATE TABLE IF NOT EXISTS`, существующие таблицы не
+мигрируются, NFR-5/AC-8; детали — `08-data-requirements.md`). **Почему БД, а не файл в репо**
+(`.coverage-baseline.json`): файл пришлось бы коммитить в `main` на каждый ratchet → git-churn,
+сам файл попадает в diff и может конфликтовать при параллельных merge, плюс он часть измеряемого
+дерева. БД-таблица — restart-safe, аддитивна, обновляется атомарно и не порождает коммитов.
+Таблица keyed by `repo` → общая прод-БД (self-hosting) безопасно разделяет базовые линии разных
+репозиториев.
+
+### D5 — Ratchet-up в choke-point подтверждённого merge (FR-4, BR-3)
+
+Базовая линия наращивается **только вверх** и **только при подтверждённом** слиянии в `main`.
+Единственный авторитетный choke-point подтверждённого merge — `_handle_merge_verify` (ребро
+`deploy → done`, ORCH-071/073, доказательство SHA-in-main). Туда добавляется never-raise врезка
+`coverage_gate.ratchet_baseline_on_merge(repo, work_item_id, branch, sha)`, вызываемая **после**
+того как merge подтверждён (`_handle_merge_verify` вернул `False` = confirmed) и **до** перехода
+в `done`:
+
+1. Читает измеренное покрытие смёрженной ветки из артефакта `18-coverage-report.md` (single
+   source of truth — то же значение, что гейт записал на ребре `deploy-staging→deploy`).
+2. **Атомарный compare-and-set:** `UPDATE coverage_baseline SET coverage=?, source_sha=?,
+   updated_at=? WHERE repo=? AND coverage <= ?` (или `INSERT` при отсутствии строки —
+   bootstrap). Условие `coverage <= measured` гарантирует, что базовая линия **никогда не
+   падает** (FR-4), даже при гонке.
+
+**Сериализация (анти-гонка, NFR-5/AC-4):** на этой точке merge-lease ещё **held** (release на
+`done`/rollback, `stage_engine.py:446`), а merge репо сериализован per-repo (ORCH-043). Плюс
+атомарный compare-and-set в SQL — **двойная защита**: даже без lease два параллельных merge не
+понизят и не потеряют значение. Bootstrap — первый merge применимого репо засевает базовую линию
+своим измеренным покрытием.
+
+### D6 — Условность, kill-switch, наблюдаемость (FR-5/FR-7, BR-4/BR-5)
+
+- **Флаги (`config.py`, env `ORCH_COVERAGE_*`):** `coverage_gate_enabled` (bool, kill-switch),
+  `coverage_gate_repos` (CSV; **пусто → только self-hosting** `is_self_hosting_repo`, по образцу
+  `merge_gate`/`security_gate`/`image_freshness`), `coverage_min_percent` (float, абсолютный
+  порог-floor), `coverage_policy` (`absolute|baseline|both`, дефолт `both`), `coverage_epsilon`
+  (float, дефолт малый, напр. `0.5`), `coverage_tool_fail_closed` (bool, дефолт `False`),
+  `coverage_run_timeout_s` (int).
+- **`applies(repo)`** (локальная проверка) выполняется **ПЕРВОЙ**; дорогой прогон измерения —
+  только при `applies==True`. Вне области → no-op `(True, "Coverage gate N/A")` (прецедент
+  `check_staging_status` для не-self, ORCH-035). При `coverage_gate_enabled=False` — гейт инертен,
+  конвейер 1:1 как до ORCH-027 (AC-5).
+- **FR-6 (ошибка инструмента):** `measure_coverage` вернул `None` (инструмент упал/недоступен/
+  метрика не распарсилась) → по умолчанию **fail-open + WARNING** (observability-строка),
+  `coverage_tool_fail_closed=True` → fail-closed (FAIL). Дефолт анти-петля (прецедент
+  ORCH-061/ORCH-022 dep-audit), чтобы инфра-сбой не заклинил автономный конвейер.
+- **FR-7 (наблюдаемость):** артефакт `18-coverage-report.md` (frontmatter `coverage_status:
+  PASS|FAIL` + `measured_coverage`/`baseline`/`floor`/`policy`/`delta`); read-only блок
+  `coverage` в `GET /queue` (`src/main.py`); при FAIL — `send_telegram` с кликабельным номером
+  (`plane_issue_link`/`link_for`), измеренным покрытием, порогом/базовой линией и дельтой.
+
+### D7 — Машинный вердикт и парсинг (§6 ТЗ, AC-9)
+
+Гейт **сам вычисляет** вердикт (как `check_security_gate`) и пишет
+`18-coverage-report.md` с YAML-frontmatter `coverage_status:` (`PASS` | `FAIL`); регистр
+чувствителен, имя фиксируется. Чтение обратно — через единый контракт `src/frontmatter.py`
+(`parse_frontmatter`/`read_frontmatter_value`, ORCH-052c), как все вердикт-парсеры. Артефакт
+несёт **аддитивно** обязательную 6-польную схему 52c, не трогая `coverage_status:`. В `QG_CHECKS`
+добавляется `check_coverage_gate` (тонкая обёртка, делегирующая в leaf); **семантика и состав
+существующих `check_*` / machine-verdict ключей (`verdict:`/`result:`/`deploy_status:`/
+`staging_status:`/`security_status:`) — байт-в-байт прежние** (NFR-5/AC-8).
+
+### D8 — Опциональный override базовой линии (FR-4 / §4 API)
+
+Для легитимного разового снижения покрытия (напр. удаление большого протестированного модуля)
+вводится опциональный ручной эндпоинт `POST /coverage/baseline?repo=<repo>&value=<float>` (по
+образцу `POST /serial-gate/unfreeze`) — устанавливает/сбрасывает базовую линию вручную.
+Альтернатива без эндпоинта — временно переключить `coverage_policy=absolute`. Эндпоинт
+рекомендован для эксплуатационной гибкости, но не критичен для v1.
+
+## Альтернативы
+
+- **Точка измерения — CI-job (`check_ci_green`, FR-3c).** Пороги/политика/базовая линия/артефакт
+  плохо выражаются статусом коммита; ratchet требует записи в общую БД, недоступную из CI-раннера
+  чисто. Коуплинг с раннером. Отклонено для v1 (точка расширения), как у security-гейта.
+- **Точка измерения — `testing → deploy-staging` (рядом с `check_tests_passed`, FR-3b).** Ветка
+  ещё не догнана на свежий `main` → измеренное покрытие может не соответствовать landed-коду;
+  откат отсюда не освобождает merge-lease иначе. Edge `deploy-staging→deploy` после merge-gate —
+  точнее. Отклонено.
+- **Базовая линия в файле репо (`.coverage-baseline.json`).** Git-churn на каждый ratchet,
+  конфликты при параллельных merge, файл — часть измеряемого дерева. Отклонено в пользу
+  аддитивной БД-таблицы (D4).
+- **Складывание измерения в merge-gate re-test (один pytest-прогон).** Снижает дабл-ран, но
+  коуплит coverage-логику с merge_gate; нарушает leaf-изоляцию ТЗ. Отклонено для v1 (возможный
+  follow-up — измерять покрытие в том же прогоне).
+- **Новый stage `coverage`.** «Пустая» стадия без агента не имеет триггера (как в ORCH-043/022).
+  Отклонено.
+- **Жёсткий абсолютный порог без baseline/epsilon.** Массовые ложные заворота → петля rework.
+  Отклонено в пользу консервативного `both` + epsilon (NFR-4).
+
+## Последствия
+
+- **+** Класс «тихо просевшее покрытие» закрыт детерминированной метрикой; защита от монотонной
+  деградации в пакетном автономном прогоне (ORCH-088). Базовая линия может только расти (ratchet).
+- **+** Нулевая регрессия: при выключенном флаге / вне области (enduro-trails) — конвейер
+  байт-в-байт прежний; `STAGE_TRANSITIONS`/`QG_CHECKS`-семантика/вердикт-ключи не тронуты.
+- **+** Self-hosting-безопасно: гейт только мерит/читает/пишет/решает; не деплоит, не рестартит
+  прод, не пушит/форс-пушит в `main` (NFR-3).
+- **−** Дополнительный прогон pytest под coverage на каждой применимой задаче (после merge-gate
+  re-test) → ещё один полный тест-ран. Митигейшн: ограничен `coverage_run_timeout_s`; фейлит до
+  дорогого image-rebuild; follow-up — слияние с merge-gate re-test.
+- **−** Ещё один «скрытый» под-гейт ребра (нет в `STAGE_TRANSITIONS`); новая pip-зависимость
+  (`pytest-cov`); v1 — Python-only (мульти-стек — точка расширения BR-6).
+- **−** Дефолтный fail-open означает, что устойчивый сбой инструмента **тихо** пропускает задачи
+  (с WARNING). Митигейшн: громкий лог + переключатель `coverage_tool_fail_closed`.
+- **Сквозное изменение** (новый QG + edge-под-гейт + новая БД-таблица + новый артефакт) →
+  лейбл `arch:major-change`; прод-деплой ORCH-027 — строго через staging-гейт (8501), без
+  рестарта прод-контейнера.
+- **Откат:** `coverage_gate_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
+  Полное удаление — снять врезки `_handle_coverage_gate`/`ratchet_baseline_on_merge`, удалить
+  leaf-модуль, `check_coverage_gate` из `QG_CHECKS`, флаги, артефакт-шаблон; таблица
+  `coverage_baseline` аддитивна и может остаться (инертна).
+
+## Ссылки
+
+- BRD: `docs/work-items/ORCH-027/01-brd.md`
+- TRZ: `docs/work-items/ORCH-027/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-027/03-acceptance-criteria.md`
+- Data: `docs/work-items/ORCH-027/08-data-requirements.md`
+- Risks: `docs/work-items/ORCH-027/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0029-coverage-gate.md`
+- Сверено по коду: `src/stage_engine.py` (`_handle_security_gate`/`_handle_merge_gate`/
+  `_handle_image_freshness`/`_handle_merge_verify`), `src/security_gate.py`, `src/merge_gate.py`,
+  `src/qg/checks.py`, `.gitea/workflows/ci.yml`, `pytest.ini`
+- Прецеденты: adr-0012 (security-гейт), adr-0006 (merge-gate — edge-под-гейт/откат/lease),
+  adr-0008 (image-freshness — условность/fail-closed), adr-0003 (`is_self_hosting_repo`),
+  adr-0009 (анти-петля ложных FAIL), adr-0014 (SHA-in-main как source of truth для merge)

docs/work-items/ORCH-027/07-infra-requirements.md

@@ -0,0 +1,64 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 07 — Инфраструктурные требования: ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
+
+> When-applicable. Топология **не меняется** (всё в существующем Docker-контейнере на одном
+> сервере mva154, SQLite, собственная очередь). Затрагивается только зависимостный и
+> конфигурационный слой.
+
+## Топология / окружение
+
+- **Без изменений топологии** — никаких новых контейнеров/сервисов/нод. Гейт исполняется внутри
+  существующего процесса оркестратора, измерение — в per-branch worktree (`ensure_worktree`),
+  как merge-gate re-test. `docs/operations/INFRA.md` — без правок.
+- **Self-hosting безопасность (NFR-3):** гейт не вызывает деплой-хук, не рестартит прод-контейнер
+  `orchestrator` (8500), не пушит в `main`. Прод-деплой ORCH-027 — **только** через
+  staging-гейт (8501) → выделенный статус «Confirm Deploy» (ORCH-059), без рестарта прод
+  случайным approve.
+
+## Зависимости
+
+| Зависимость | Где | Назначение |
+|-------------|-----|-----------|
+| `pytest-cov` (обёртка `coverage.py`) | `requirements.txt` | измерение line coverage прогоном `pytest --cov=src --cov-report=json`. Offline (сеть при измерении не нужна). Попадает в прод-образ при пересборке. |
+
+- Версия фиксируется совместимой с текущим `pytest` (см. `requirements.txt`/`pytest.ini`).
+- Новых системных пакетов в `Dockerfile` не требуется (чистый pip-пакет).
+
+## Конфигурация (env, `.env` на хосте)
+
+Новые флаги (`config.py`, префикс `ORCH_COVERAGE_*`; дефолты безопасны — нулевая регрессия):
+
+| Env | Дефолт | Назначение |
+|-----|--------|-----------|
+| `ORCH_COVERAGE_GATE_ENABLED` | `false` (раскат поэтапный) | kill-switch |
+| `ORCH_COVERAGE_GATE_REPOS` | пусто → только self-hosting | CSV область применения |
+| `ORCH_COVERAGE_MIN_PERCENT` | консервативно (напр. backstop) | абсолютный порог-floor |
+| `ORCH_COVERAGE_POLICY` | `both` | `absolute\|baseline\|both` |
+| `ORCH_COVERAGE_EPSILON` | малый (напр. `0.5`) | допуск на шум измерения |
+| `ORCH_COVERAGE_TOOL_FAIL_CLOSED` | `false` | поведение при сбое инструмента |
+| `ORCH_COVERAGE_RUN_TIMEOUT_S` | по образцу `merge_retest_timeout_s` | тайм-аут прогона |
+
+## Эксплуатационные предусловия
+
+- **Bootstrap базовой линии:** при первом merge применимого репо базовая линия `main`
+  засевается автоматически фактическим измеренным покрытием (D5). Ручной первичный замер не
+  обязателен; при необходимости — `POST /coverage/baseline?repo=orchestrator&value=<%>` (D8).
+- **Раскат:** включать `ORCH_COVERAGE_GATE_ENABLED=true` только после прод-деплоя кода и
+  прогона на staging (8501); стартовая область — только `orchestrator`.
+- **Override (легитимное снижение покрытия):** `POST /coverage/baseline` (по образцу
+  `POST /serial-gate/unfreeze`) либо временный `ORCH_COVERAGE_POLICY=absolute`.
+
+## Секреты / сеть
+
+- Новых секретов нет. Сетевого доступа при измерении нет (coverage offline).
+- enduro-trails и прочие репозитории — вне области по умолчанию, нулевое влияние.

docs/work-items/ORCH-027/08-data-requirements.md

@@ -0,0 +1,67 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 08 — Требования к данным: ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
+
+> When-applicable / информационный (гейтом не парсится). Затрагивается схема БД — вводится
+> **одна аддитивная таблица** базовой линии покрытия. Существующие таблицы не мигрируются.
+
+## Изменения схемы БД
+
+Новая аддитивная таблица `coverage_baseline` (паттерн `repo_freeze`/`job_deps` —
+`CREATE TABLE IF NOT EXISTS` в `init_db`, `src/db.py`; без `ALTER`/миграции существующих):
+
+```sql
+CREATE TABLE IF NOT EXISTS coverage_baseline (
+    repo        TEXT PRIMARY KEY,   -- репозиторий (напр. "orchestrator")
+    coverage    REAL NOT NULL,      -- last-known базовая линия покрытия main (%, line coverage)
+    source_sha  TEXT,               -- SHA main, на котором зафиксирована базовая линия (аудит)
+    updated_at  TEXT NOT NULL       -- ISO-таймстамп последнего ratchet/bootstrap
+);
+```
+
+Доступ — через аддитивные read-only/мутирующие хелперы `src/db.py`:
+- `get_coverage_baseline(repo) -> float | None` (None ⇒ bootstrap-режим, базовой линии ещё нет);
+- `ratchet_coverage_baseline(repo, coverage, sha) -> bool` — **атомарный compare-and-set**:
+  `INSERT` при отсутствии строки; иначе `UPDATE ... SET coverage=?, source_sha=?, updated_at=?
+  WHERE repo=? AND coverage <= ?` (базовая линия **никогда не понижается**);
+- `set_coverage_baseline(repo, coverage, sha)` — безусловная установка (ручной override D8 /
+  `POST /coverage/baseline`).
+
+## Новые/изменённые сущности
+
+- **`coverage_baseline`** — одна строка на репозиторий; keyed by `repo`. Инвариант: `coverage`
+  монотонно не убывает через `ratchet_coverage_baseline` (только `set_coverage_baseline`/ручной
+  override может понизить — легитимный разовый случай, D8). На общей прод-БД (self-hosting)
+  строки разных репозиториев изолированы первичным ключом.
+- **Артефакт `18-coverage-report.md`** — НЕ БД-сущность: файл в `docs/work-items/<id>/`,
+  несёт frontmatter `coverage_status: PASS|FAIL` + `measured_coverage`/`baseline`/`floor`/
+  `policy`/`delta`. Source of truth измеренного значения для ratchet (D5).
+
+Существующие таблицы (`tasks`, `jobs`, `job_deps`, `repo_freeze`, `agent_runs`,
+`tracker_messages`, …) — **не изменяются** (NFR-5/AC-8).
+
+## Совместимость данных / миграции
+
+- **Аддитивность:** только `CREATE TABLE IF NOT EXISTS` — ни один существующий столбец/таблица
+  не трогается; миграции существующих данных нет.
+- **Идемпотентность:** `CREATE TABLE IF NOT EXISTS` безопасен при повторном старте; bootstrap
+  (первый `INSERT`) выполняется один раз на репозиторий.
+- **Restart-safe:** базовая линия персистентна; in-flight измерение при рестарте переигрывается
+  штатным механизмом стадии (idempotent — гейт пересчитает вердикт, ratchet — атомарный
+  compare-and-set, повтор не понизит и не задвоит).
+- **Атомарность / анти-гонка:** ratchet — единичный SQL `UPDATE ... WHERE coverage <= ?` (или
+  `INSERT`), выполняется под held merge-lease (ORCH-043, per-repo сериализация merge) → двойная
+  защита от параллельных слияний.
+- **Влияние на общую прод-БД:** одна маленькая таблица (≤ числа репозиториев строк); нулевой
+  риск для enduro-trails и прочих проектов (строки изолированы по `repo`, гейт для них no-op).
+- При `coverage_gate_enabled=False` таблица может существовать пустой/инертной — нулевая
+  регрессия.

docs/work-items/ORCH-027/10-tech-risks.md

@@ -0,0 +1,42 @@
+---
+work_item: ORCH-027
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | **Флап на шуме измерения** — недетерминированное покрытие (порядок тестов/окружение) дрожит у границы → ложные заворота, петля rework. | Сред. | Сред. | `coverage_epsilon` (NFR-4/D3): дрожание ±доли % не заворачивает. Дефолт `policy=both` мягкий; абсолютный порог — backstop, не агрессивный. |
+| TR-2 | **Не освобождён merge-lease при FAIL.** Coverage идёт ПОСЛЕ merge-gate (lease уже held) — забытый release при откате заклинит serial-gate репо (другие задачи репо в defer навсегда). | Сред. | Выс. | Явный инвариант D1: rollback coverage вызывает `merge_gate.release_merge_lease` (как image-freshness rollback, `stage_engine.py:1165`); покрыто тестом TC-13. Backstop — crash-реклейм lease по возрасту (ORCH-043). |
+| TR-3 | **Гонка базовой линии** — два параллельных слияния в `main` конкурентно обновляют baseline, теряя/занижая значение. | Низ. | Сред. | Атомарный SQL compare-and-set `UPDATE ... WHERE coverage <= ?` (D5/08-data) + held merge-lease + per-repo сериализация merge (ORCH-043) → тройная защита. Покрыто TC-05. |
+| TR-4 | **Инфра-хрупкость инструмента** — `pytest-cov` несовместим с версией pytest / упал / метрика не парсится → конвейер клинит. | Низ. | Сред. | NFR-2/FR-6/D6: дефолт fail-open + громкий WARNING (анти-петля ORCH-061); `coverage_tool_fail_closed` для строгого режима. `measure_coverage`→`None` обрабатывается, не всплывает. Покрыто TC-09. |
+| TR-5 | **Исключение всплывает в `advance_stage`** — ошибка leaf-модуля роняет конвейер ВСЕХ проектов (общий прод-инстанс). | Низ. | Выс. | NFR-1/AC-7: `src/coverage_gate.py` — leaf (не импортирует `stage_engine`), контракт never-raise; любое исключение → `(False/True, reason)` по политике fail-open/closed. Покрыто TC-10. |
+| TR-6 | **Дабл-ран pytest** — coverage-прогон после merge-gate re-test удваивает время тестов на применимой задаче. | Выс. | Низ. | Ограничен `coverage_run_timeout_s`; фейлит ДО дорогого image-rebuild; follow-up — слияние измерения с merge-gate re-test (вне объёма v1). Влияет только на self-hosting `orchestrator`. |
+| TR-7 | **Стартовая петля заворотов** — высокий `coverage_min_percent` массово заворачивает существующие задачи в rework. | Сред. | Сред. | NFR-4/D3: bootstrap инициализирует baseline фактическим покрытием `main`; absolute-порог — мягкий backstop; cap `MAX_DEVELOPER_RETRIES` → Blocked+alert вместо бесконечной петли. |
+| TR-8 | **Self-hosting побочка** — гейт случайно трогает прод-контейнер/`main`/force-push. | Низ. | Выс. | NFR-3/AC-7: гейт только мерит/читает/пишет/решает в изолированном worktree; не вызывает деплой-хук, не рестартит прод, не пушит в `main`. Покрыто TC-12. |
+| TR-9 | **Регресс контрактов** — затронуты `STAGE_TRANSITIONS`/существующие `check_*`/вердикт-ключи. | Низ. | Выс. | NFR-5/AC-8: новый QG аддитивен, edge-врезка не меняет `STAGE_TRANSITIONS`; вердикт-ключи прежних доков байт-в-байт. Покрыто TC-15. |
+
+## Сводный вывод
+
+Доминирующий класс рисков — **эксплуатация автономного self-hosting-конвейера**: самые
+тяжёлые по влиянию (TR-2 заклинивание serial-gate, TR-5 падение конвейера всех проектов, TR-8
+побочка на прод) имеют **низкую вероятность** и закрыты структурными инвариантами, повторяющими
+проверенные паттерны соседних под-гейтов (security/merge/image-freshness): leaf never-raise,
+fail-open дефолт, явный release merge-lease при откате, kill-switch. Остаточный риск для
+прод-конвейера — **низкий** при условии тестового покрытия инвариантов TR-2/TR-5/TR-8
+(`04-test-plan.yaml` TC-09…TC-13) и поэтапного раската через staging-гейт (8501).
+
+Решение **сквозное** (новый QG + edge-под-гейт + новая БД-таблица + новый артефакт) → эскалация
+лейблом **`arch:major-change`**. Возврат в анализ не требуется — ТЗ реализуемо без нарушения
+принципов архитектуры (Docker/один сервер/SQLite/собственная очередь сохранены).

docs/work-items/ORCH-027/12-review.md

@@ -0,0 +1,121 @@
+---
+verdict: APPROVED
+work_item: ORCH-027
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-027
+version: 2
+---
+
+# Review ORCH-027 — Code coverage как гейт
+
+## Summary
+
+Дисциплинированная реализация детерминированного coverage-гейта строго по образцу
+security/merge/image-freshness под-гейтов. Соответствие ТЗ/ADR — полное; код качественный,
+тесты содержательны (`test_coverage_gate.py` — 30 тестов; **полный регресс `tests/ -q`
+зелёный: 1466 passed**); документация обновлена исчерпывающе.
+
+**Единственный прежний блокер закрыт.** Ревизия v1 выносила P1 за повреждённую (дословно
+продублированную) запись ORCH-095 в `CHANGELOG.md` — коммит `75c33ab docs(changelog): repair
+duplicated ORCH-095 entry body` устранил дубль: тело bullet ORCH-095 теперь присутствует ровно
+один раз (`git revert occurrences on line 16: 1`), артефакт чужой задачи восстановлен. Новых
+P0/P1 не выявлено.
+
+Проверено: 4 оси (ТЗ / ADR / качество кода / документация) + трассировка маркеров + полный
+прогон тест-сьюта.
+
+## Findings
+
+### P0 — Blocker
+- (нет)
+
+### P1 — Must fix
+- (нет) — прежний P1 (дубль записи ORCH-095 в CHANGELOG) исправлен коммитом `75c33ab`.
+
+### P2 — Should fix
+- [ ] **Несоответствие формулировки ADR-001 D7 фактическому артефакту: 6-польная схема 52c
+  не эмитится.** `ADR-001-coverage-gate.md` D7 утверждает: «Артефакт несёт **аддитивно**
+  обязательную 6-польную схему 52c, не трогая `coverage_status:`». Фактически и генератор
+  (`coverage_gate.render_coverage_report`), и скелет `docs/_templates/18-coverage-report.md`
+  эмитят только `coverage_status`/`work_item` + coverage-поля; отсутствуют 5 из 6 полей схемы
+  52c (`stage`/`author_agent`/`status`/`created_at`/`model_used`). **Почему не блокер:** (а)
+  TRZ §6 формулирует это условно («*Если* отчёт несёт обязательную 6-польную схему 52c —
+  добавить её аддитивно»), (б) валидация схемы warning-only по умолчанию
+  (`frontmatter_validation_strict=False`), (в) гейт-генерируемые артефакты (прецедент
+  `17-security-report.md`) исторически несут лишь свой machine-key — эпик 52c (ORCH-077)
+  скоупил схему на 6 агент-промптов, не на машинные отчёты. Машинный вердикт читается из
+  `coverage_status:` корректно, контракт не нарушен. **Действие (на усмотрение, не блокирует
+  приёмку):** привести формулировку D7 к факту (отчёт несёт `coverage_status:` + coverage-поля,
+  без полной 52c-схемы) ЛИБО добавить 5 полей в генератор+шаблон.
+
+## Документация
+
+**Статус: обновлена исчерпывающе** (golden source синхронизирован в том же PR, AC-10 PASS):
+
+- `docs/architecture/README.md` — реестр `QG_CHECKS` дополнен `check_coverage_gate (ORCH-027)`;
+  добавлен раздел «Coverage-гейт: защита от деградации покрытия» (точка/порядок, измерение,
+  чистая функция, baseline+ratchet, условность/fail-open, артефакт/наблюдаемость). ✅
+- `docs/_standards/PIPELINE_DOCS.md` — диапазон доков `…18-coverage-report.md`; строка карты
+  `стадия→агент→документ→гейт→machine-key` + строка таблицы вердикт-парсеров
+  (`coverage_status:` → `check_coverage_gate`). ✅
+- `docs/_templates/18-coverage-report.md` — скелет с frontmatter зарегистрирован. ✅
+- `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md` (D1…D8) +
+  сквозной `docs/architecture/adr/adr-0029-coverage-gate.md`. ✅
+- `CHANGELOG.md` — детальная корректная запись ORCH-027; повреждение соседней записи ORCH-095
+  устранено (v1-P1 закрыт). ✅
+- `CLAUDE.md` — паспортный блок «Гейт покрытия тестами (ORCH-027)» добавлен. ✅
+- `.env.example` / `src/config.py` — флаги `ORCH_COVERAGE_*` задокументированы. ✅
+- Маркеры `ORCH-027` проставлены в коде/доках (AC-10). ✅
+
+`src/` изменён → документация обновлена в том же PR: **да** (P0-условие выполнено).
+**Обзорные доки (ORCH-079):** PR не закрывает ни один пункт `README.md` «Известные ограничения»
+(coverage-деградация там не значилась) → обновление витрины не требуется, finding отсутствует.
+
+## Оси проверки (детально)
+
+**1. Соответствие ТЗ (02-trz / 03-acceptance) — PASS.**
+AC-1 измерение инструментально (`measure_coverage` → `pytest --cov=src` → `totals.percent_covered`,
+`pytest-cov==5.0.0` в `requirements.txt`); AC-2 блокировка деградации + откат на `development` с
+release merge-lease (`_handle_coverage_gate`); AC-3 чистая функция `compute_coverage_verdict`
+покрыта по всем режимам/границам/epsilon (TC-01…04); AC-4 ratchet up-only + bootstrap + per-repo
+изоляция + атомарный compare-and-set `UPDATE … WHERE coverage <= ?` (`db.ratchet_coverage_baseline`);
+AC-5 kill-switch/scope + `applies(repo)` ПЕРВЫМ (дорогой прогон только при `applies==True`) —
+регресс зелёный, enduro не затронут; AC-6 fail-open дефолт / fail-closed по флагу; AC-7 never-raise
++ leaf (не импортирует `stage_engine`) + AST-проверка отсутствия деплой/force-push токенов; AC-8
+контракты `STAGE_TRANSITIONS`/`check_*`/вердикт-ключи байт-в-байт, таблица `coverage_baseline`
+аддитивна; AC-9 вердикт только из frontmatter (`parse_coverage_status` через
+`frontmatter.parse_frontmatter`) + `GET /queue` блок `coverage` + Telegram с кликабельным номером.
+
+**2. Соответствие ADR (ADR-001 D1…D8 / adr-0029) — PASS** (с P2-оговоркой по тексту D7).
+Порядок под-гейтов `security → merge → coverage → image-freshness` реализован ровно как в D1
+(врезка `_handle_coverage_gate` между merge-handling и ORCH-058 freshness в `advance_stage`);
+coverage ПОСЛЕ merge-gate (догнанный HEAD) и `merge_gate.release_merge_lease` при FAIL —
+соответствует D1/TR-2 (зеркало image-freshness rollback, в отличие от security — тот до захвата
+lease). Ratchet в choke-point `_handle_merge_verify` (ребро `deploy→done`, D5), БД-таблица
+`coverage_baseline` (D4), машинный вердикт/парсинг (D7), override `POST /coverage/baseline` (D8).
+Глобальные ADR (INV-4 merge только через Gitea API; не трогать `main`/прод) не нарушены — leaf
+только мерит/читает/пишет/решает.
+
+**3. Качество кода — PASS.**
+Docstrings на всех публичных функциях; never-raise контракт выдержан последовательно (все
+внешние границы обёрнуты, исключение не всплывает в `advance_stage`); единый frontmatter-контракт
+переиспользован (нет дублирования парс-логики); тесты содержательные (режимы/границы/epsilon,
+ratchet up-only + bootstrap + per-repo изоляция, fail-open/closed, never-raise, write/read-back
+отчёта, self-hosting AST-инвариант, интеграция в `advance_stage` с откатом+release lease).
+Фикс `sys.executable` вместо bare `python` (коммит `8cd7c20`) корректен — pytest-cov живёт в
+интерпретаторе орка. Нет утечек/security-дыр; измерение offline. Замечание (не finding):
+синхронный `pytest --cov` в hot-path `advance_stage` (тайм-аут `coverage_run_timeout_s=900`)
+наследует established-паттерн merge-gate re-test/security-gate — нового класса риска не вводит.
+
+**4. Документация — см. раздел «Документация» выше (P0-условие выполнено; обзорные доки N/A).**
+
+**Трассировка маркеров (TRACEABILITY).** Правки рядом с маркерами `ORCH-022`/`ORCH-043`/`ORCH-058`
+в `advance_stage` — аддитивная врезка между merge-gate и image-freshness; инварианты соседних
+под-гейтов не сломаны (release-lease зеркалит image-freshness rollback, merge через Gitea API
+не тронут). Врезка в `_handle_merge_verify` (ORCH-071/073) — never-raise best-effort ratchet,
+SHA-in-main choke-point не изменён. Чужие артефакты не повреждены (восстановлена запись ORCH-095).

docs/work-items/ORCH-027/13-test-report.md

@@ -0,0 +1,76 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-027
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-027
+---
+
+# Test Report — ORCH-027 — Code coverage как гейт
+
+Work Item: **ORCH-027** · Repo: **orchestrator** · Branch: **feature/ORCH-027-code-coverage** · Стадия: testing
+Предусловие: `12-review.md` → `verdict: APPROVED` ✅ (проверено).
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8)
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-027-code-coverage` (HEAD `619fd0c`)
+- Дата: 2026-06-10
+
+## Smoke API (read-only)
+| Endpoint | Результат |
+|----------|-----------|
+| `GET /health` | PASS — `{"status":"ok","service":"orchestrator"}` |
+| `GET /status` | PASS — активные задачи отдаются, ORCH-027 в `testing` |
+| `GET /queue` | PASS — блоки `serial_gate` (ORCH-088) **и** `auto_labels` присутствуют в payload; добавлен read-only блок `coverage`-наблюдаемости по ТЗ FR-7 (через общий снапшот) |
+
+`serial_gate.per_repo.orchestrator.active_task = ORCH-027 (testing)` — гейт сериализации виден, регресса смока нет.
+
+## Результаты — покрытие ТЗ (каждый TC из 04-test-plan.yaml ↔ AC из 03-acceptance-criteria.md)
+
+| TC ID | Тип | Описание | Тест-функция(и) | AC | Результат |
+|-------|-----|----------|-----------------|----|-----------|
+| TC-01 | unit | `compute_coverage_verdict` policy=absolute (порог/ниже/ровно) | `test_tc01_policy_absolute` | AC-3 | PASS |
+| TC-02 | unit | policy=baseline (no-regression / ratchet) | `test_tc02_policy_baseline` | AC-3/AC-4 | PASS |
+| TC-03 | unit | policy=both — оба условия | `test_tc03_policy_both` | AC-3 | PASS |
+| TC-04 | unit | epsilon-допуск (анти-флап, NFR-4) | `test_tc04_epsilon_tolerance` | AC-3 | PASS |
+| TC-05 | unit | Ratchet базовой линии up-only + per-repo изоляция | `test_tc05_ratchet_up_only`, `test_tc05_ratchet_per_repo_isolated` | AC-4 | PASS |
+| TC-06 | unit | Bootstrap baseline при отсутствии значения | `test_tc06_bootstrap` | AC-4 | PASS |
+| TC-07 | unit | `applies(repo)`: пустой CSV → self-hosting only; вне области → no-op без прогона | `test_tc07_applies_self_hosting_only`, `test_tc07_applies_csv_scope`, `test_tc07_out_of_scope_noop_no_measure` | AC-5 | PASS |
+| TC-08 | unit | Kill-switch `coverage_gate_enabled=False` → инертен (1:1 до ORCH-027) | `test_tc08_kill_switch_off` | AC-5 | PASS |
+| TC-09 | unit | Fail-open дефолт + fail-closed по флагу | `test_tc09_fail_open_default`, `test_tc09_fail_closed_when_configured` | AC-6 | PASS |
+| TC-10 | unit | never-raise: битый вывод/отсутствие worktree не всплывает | `test_tc10_verdict_never_raises_on_bad_inputs`, `test_tc10_parse_coverage_percent_tolerant`, `test_tc10_check_never_raises`, `test_tc10_ratchet_never_raises_on_missing_report` | AC-7 | PASS |
+| TC-11 | unit | write/read-back отчёта `coverage_status:` через `src/frontmatter.py` | `test_tc11_report_roundtrip`, `test_tc11_parse_missing_frontmatter`, `test_tc11_bootstrap_report_blank_baseline` | AC-9 | PASS |
+| TC-12 | unit | Self-hosting безопасность: leaf без engine-импорта; нет деплой/force-push | `test_tc12_leaf_no_engine_import`, `test_tc12_delta_signed` | AC-7 | PASS |
+| TC-13 | integration | Гейт в конвейере: FAIL → откат на development; PASS → штатное продвижение | `test_tc13_advance_rolls_back_on_fail`, `test_tc13_advance_passes_through_on_ok` | AC-2 | PASS |
+| TC-14 | integration | Реальное измерение pytest под coverage в worktree + тайм-аут | `test_tc14_real_measurement`, `test_tc14_measure_timeout_returns_none` | AC-1 | PASS |
+| TC-15 | integration | Наблюдаемость `GET /queue` блок coverage + контракты не изменены | `test_tc15_snapshot_shape`, `test_tc15_snapshot_never_raises`, `test_tc15_registry_and_transitions_unchanged` | AC-8/AC-9 | PASS |
+
+**Итог покрытия ТЗ:** все 15 TC выполнены и сопоставлены с AC-1…AC-10; ни одного непокрытого/пропущенного TC.
+
+## Вывод pytest
+
+### Целевой набор — `tests/test_coverage_gate.py`
+```
+collected 29 items
+tests/test_coverage_gate.py::test_tc01_policy_absolute PASSED
+... (29 тестов, TC-01…TC-15) ...
+tests/test_coverage_gate.py::test_tc15_registry_and_transitions_unchanged PASSED
+======================== 29 passed, 1 warning in 2.28s =========================
+```
+
+### Полный регресс — `pytest tests/ -q`
+```
+1466 passed, 1 warning in 48.89s
+```
+(Единственное предупреждение — PydanticDeprecatedSince20 в `src/config.py:8`, не связано с ORCH-027, регрессом не является.)
+
+## Итог
+**PASS** — целевой набор coverage-гейта зелёный (29/29), полный регресс зелёный (1466/1466,
+нулевая регрессия для enduro-trails), smoke API read-only OK (`serial_gate` + `auto_labels`
+присутствуют). Каждый TC из `04-test-plan.yaml` выполнен и сопоставлен с критериями приёмки.
+Задача готова к продвижению на `deploy-staging`.

docs/work-items/ORCH-027/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-027
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-027/15-staging-log.md

@@ -0,0 +1,32 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-027
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+timestamp: 2026-06-09T22:25:00Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed against the live `orchestrator-staging` stand (8501), run canonically
+inside the container (`docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py
+--base-url http://localhost:8501 --mode stub`). **Exit code 0 → SUCCESS.** All REAL pipeline checks
+passed; the only failures are the two known waived sandbox-infra checks (C9a/C9b), tolerated under
+ORCH-061 because every REAL check is green.
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Results
+- **Block A (SMOKE)**: PASS — A1 `/health` 200 ok; A2 `/queue` 200 with counts/max_concurrency/resilience; A3 `ORCH_STAGING=true` (not prod).
+- **Block B (ACCESS)**: PASS — B4 Plane sandbox project accessible (sandbox=YES); B5 Gitea `orchestrator-sandbox` accessible push=true; B6 Registry isolation (sandbox present, prod ET/ORCH absent).
+- **Block C (E2E, mode=stub)**: C7 create issue in Plane SANDBOX PASS; C8 trigger pipeline via `/webhook/plane` PASS; C9a/C9b FAIL — **waived sandbox-infra** (SANDBOX bot-accounts not members of the sandbox Plane project; not a pipeline regression).
+
+REAL failed: none.
+SANDBOX_INFRA failed (waived): C9a Branch appears in orchestrator-sandbox; C9b Analyst job enqueued in staging queue.
+
+Result: 8/10 checks PASS, exit 0. Tolerance `staging_infra_tolerance_enabled=True`. Cleanup OK (Plane test issue deleted, HTTP 204; no branch created to delete).

docs/work-items/ORCH-057/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: BUG/follow-up ORCH-040: normalize legacy root-owned файлы при миграции на uid 1000 (one-time + защита)
+
+Work Item ID: ORCH-057
+
+## Description
+
+TBD

docs/work-items/ORCH-057/01-brd.md

@@ -0,0 +1,140 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000 (one-time + защита)
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+ORCH-040 перевёл оба контейнера (`orchestrator` 8500, `orchestrator-staging` 8501) с root
+на `user: "1000:1000"` (slin). Изменён был **только** `docker-compose.yml`. Однако bind-mount
+`/home/slin/repos → /repos` уже содержал файлы и каталоги, созданные **прежним root-контейнером**
+(`root:root`). Смена `user:` владельца существующих файлов НЕ меняет.
+
+**Реальный инцидент (прод, 06.06, поймали на первом запуске ORCH-043).** Первый job под uid 1000
+упал на стадии **launch** (НЕ на коде задачи):
+
+```
+fatal: could not create leading directories of
+'/repos/_wt/orchestrator/feature_ORCH-043-.../.git': Permission denied
+```
+
+Причина: `/repos/_wt/` и старые worktree-папки = `root:root` → uid 1000 не может создать рядом
+новый каталог worktree. Установлено фактически: ошибка возникает в `src/git_worktree.py::ensure_worktree`
+(вызов `git worktree add`), куда конвейер приходит из `src/agents/launcher.py::_spawn` (стр. 500)
+и `_materialize_deferred_branch` (ORCH-088). Агент даже не стартует — падает создание worktree.
+
+**Ручной workaround (применён Стрим, прод снова рабочий, ОДНОРАЗОВО):**
+```
+sudo chown -R 1000:1000 /home/slin/repos/_wt
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git /home/slin/repos/enduro-trails/.git
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator   # +data/runs/*.log (37 root-логов)
+```
+
+ADR-001 ORCH-040 упоминал «массовый chown старых root-файлов» лишь абстрактно («вне объёма кода»,
+«разовая операция Owner») и НЕ дал конкретной процедуры чистки legacy worktree — поэтому deployer
+её не выполнил, и баг проявился в проде. Прод сейчас рабочий (ручной фикс наложен), но проблема
+**воспроизведётся** на чистой среде, новом репо или после любого исторического запуска под root,
+если её не закрыть кодом + процедурой.
+
+**Это follow-up / закрытие недоделанного AC ORCH-040** (legacy-файлы), а не новая фича.
+
+## 2. Объём (scope)
+
+### В объёме
+- **Защита launcher (код):** при `Permission denied` на создании worktree выдавать **внятную,
+  диагностируемую** ошибку «legacy root-файлы в `/repos/_wt` — требуется нормализация прав»
+  с указанием команды, а НЕ сырой `git fatal`.
+- **Раннее обнаружение (код):** детектирование наличия файлов с `uid != <target_uid>` в
+  `ORCH_REPOS_DIR` (включая `_wt`, `.git/objects`, `.git/worktrees`, `data/runs`) при старте
+  контейнера / перед претензией на job — чтобы конвейер падал **внятно и заранее**, а не сырым
+  git-фаталом на launch.
+- **Процедура нормализации (документация):** в `docs/operations/INFRA.md` (и собственный ADR
+  ORCH-057) — обязательная одноразовая процедура нормализации legacy root-файлов при миграции uid,
+  с точными командами и областью охвата (`_wt`, `.git`, `data/runs`).
+- **Опционально (по решению архитектора):** механизм one-time нормализации при буте/деплое —
+  init-контейнер/хук под root, либо blocking-entrypoint-проверка.
+
+### Вне объёма
+- Изменение логики конвейера, `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, схемы БД.
+- Пересмотр самого решения ORCH-040 (uid 1000) — оно принято и остаётся.
+- Перенос инстанса на другой хост / другой uid (отдельная задача при миграции хоста).
+- Массовая ретроактивная переработка ADR-001 ORCH-040 (его история не переписывается;
+  допускается forward-breadcrumb-ссылка на ORCH-057 — решает архитектор).
+- Выбор конкретного варианта реализации one-time нормализации (a/b/в) — зона архитектора (06-adr).
+
+## 3. Заинтересованные стороны
+
+- **Заказчик / Owner** — Слава (homenet542), инициатор; принимает результат.
+- **Эксплуатация** — Стрим (применял ручной workaround); потребитель процедуры в INFRA.md.
+- **Затронутые проекты** — `orchestrator` (self-hosting) и `enduro-trails` (общий инстанс, общая
+  очередь, общий bind-mount `/repos`): нормализация прав `/repos` касается обоих репо.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1** — После миграции контейнера на новый uid конвейер запускается **без ручного `chown`**:
+  либо авто-нормализация прав, либо **явная блокирующая ошибка с инструкцией** (никогда не сырой
+  `git fatal` на launch).
+- **BR-2** — На свежей среде / новом репо / после исторического запуска под root проблема
+  **не воспроизводится** (детект + понятная диагностика срабатывают до падения агента).
+- **BR-3** — `INFRA.md` и ADR содержат **конкретную процедуру** нормализации legacy root-файлов
+  (точные команды, область: `_wt`, `.git/objects`, `.git/worktrees`, `data/runs`), помеченную как
+  обязательный шаг миграции uid.
+- **BR-4** — Несоответствие владельца наблюдаемо: оператор узнаёт о проблеме из лога/уведомления/
+  read-only статуса, а не по падению задачи на launch.
+- **BR-5** — Защита `ensure_worktree` распознаёт класс ошибки «нет прав на создание worktree» и
+  сообщает причину + лечащую команду (опц. — авто-самолечение, если процесс имеет права).
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 (self-hosting безопасность)** — Решение **никогда** не перезапускает/не роняет
+  прод-контейнер `orchestrator`, не трогает `main`/force-push/прод-образ. Контейнер бежит под
+  uid 1000 (без root) → код **не может** делать `chown` без root; код ограничивается
+  детектом + внятной диагностикой/блокировкой, а фактический `chown` — операторская/init-процедура.
+- **NFR-2 (общий инстанс)** — Нулевая регрессия для `enduro-trails`: feature под kill-switch и
+  scope-флагом (по образцу `serial_gate`/`coverage_gate`); выключено → поведение 1:1 как до ORCH-057.
+- **NFR-3 (never-raise / fail-safe)** — Детект-леаф никогда не бросает наружу неожиданное исключение
+  и не блокирует старт сервиса по своей ошибке; деградирует в WARNING.
+- **NFR-4 (идемпотентность)** — Повторный запуск детекта/нормализации на уже корректной среде —
+  no-op без побочных эффектов.
+- **NFR-5 (обратимость)** — Поведение откатывается выключением kill-switch без миграций/правки схемы.
+- **NFR-6 (наблюдаемость)** — Вердикт (есть/нет mismatch, сколько файлов, какие корни) логируется
+  структурно; при проблеме — Telegram с кликабельным номером задачи (если применимо) + read-only
+  отражение в `GET /queue`.
+
+## 6. Допущения и ограничения
+
+- Целевой uid:gid рантайма = `1000:1000` (slin), подтверждён ORCH-040 (P-3); на хосте `/repos`,
+  `/app/data` штатно `1000:1000`.
+- Контейнер бежит под numeric uid 1000 без записи в `/etc/passwd` базового образа; в образе создан
+  реальный user `slin` (uid 1000) для `getpwuid()` (ORCH-058, Dockerfile). Под uid 1000 `chown`
+  чужих (root) файлов **невозможен** без CAP_CHOWN/root.
+- `git config --system --add safe.directory '*'` уже в образе — git доверяет bind-mount.
+- Корни проверки: `ORCH_REPOS_DIR` (`/repos`), включая `_wt`, `<repo>/.git/objects`,
+  `<repo>/.git/worktrees`, и `data/runs` (37 root-логов в инциденте).
+- `start_pipeline` (ORCH-088) отложил срез ветки на момент claim analyst-job → детект уместен
+  и на старте сервиса, и перед claim'ом (точку выбирает архитектор).
+
+## 7. Критерии успеха
+
+После миграции uid (или на чистой среде) первый же job проходит launch без ручного `chown`, либо —
+если права не нормализованы — конвейер выдаёт **понятную блокирующую диагностику** с командой
+исправления вместо сырого `git fatal`. INFRA.md/ADR содержат воспроизводимую процедуру.
+Для `enduro-trails` — нулевая регрессия. Детальные PASS/FAIL — в `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- Контейнер без root не может `chown` → авто-самолечение возможно только частично/при наличии прав;
+  основной гарант — детект+диагностика+процедура (детали — `10-tech-risks.md`, архитектор).
+- Рекурсивный обход больших `.git/objects` / `_wt` может быть дорог → нужен дешёвый/семплированный
+  детект и кэш (как preflight TTL).
+- Ложно-блокирующая ошибка может застопорить и enduro-trails (общий `/repos`) → строгий scope/fail-safe.
+- Правка `docker-compose.yml`/entrypoint (init-контейнер) = деплой self → групповой риск (NFR-1),
+  обязательная страховка staging.

docs/work-items/ORCH-057/02-trz.md

@@ -0,0 +1,117 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование/выбор варианта one-time нормализации (init-контейнер vs blocking-entrypoint
+> vs ансибл) — задача архитектора (`06-adr/`). Здесь — требования, контракты и ограничения.
+
+## 1. Сводка изменения
+
+Закрыть недоделанный AC ORCH-040 по legacy-файлам. Три слоя:
+1. **Защита launcher** — `ensure_worktree` распознаёт `Permission denied`/git-fatal на создании
+   worktree и поднимает **внятную** ошибку с диагнозом «legacy root-файлы в `/repos/_wt` — нужна
+   нормализация прав» + лечащая команда (опц. авто-самолечение при наличии прав).
+2. **Ранний детект** — новый чистый леаф находит файлы с `uid != target_uid` в `ORCH_REPOS_DIR`
+   (`_wt`, `.git/objects`, `.git/worktrees`, `data/runs`); вызывается на старте сервиса и/или перед
+   claim'ом job; never-raise, config-gated, с наблюдаемостью.
+3. **Процедура** — `INFRA.md` + ADR ORCH-057: точные команды разовой нормализации как обязательный
+   шаг миграции uid. Опционально — one-time нормализация под root через init-механизм (решает архитектор).
+
+Инвариант: `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict-ключи / схема БД —
+**байт-в-байт прежние**. Изменение аддитивно и обратимо kill-switch'ем.
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие |
+|------|----------|
+| `src/git_worktree.py` (`ensure_worktree`, `remove_worktree`) | изменить — классификация `Permission denied`/git-fatal на `git worktree add` / `os.makedirs` → внятный actionable `RuntimeError` (опц. self-heal при правах) |
+| `src/fs_normalize.py` | **создать** — чистый леаф (never-raise): `scan_ownership(roots, target_uid) -> результат`; опц. `normalize(...)` (chown только при наличии прав); хелпер `applies(repo)` + кэш (TTL, как preflight) |
+| `src/config.py` | изменить — добавить флаги (см. §7); без правки существующих значений |
+| `src/main.py` (`lifespan`) | изменить — добавить startup-вызов детекта (best-effort, never-fatal по образцу L-2/lease-reclaim), лог + Telegram при mismatch; read-only блок в `GET /queue` |
+| `src/preflight.py` **или** `src/queue_worker.py` | изменить (на выбор архитектора) — опц. гейт claim'а job при обнаруженном mismatch, чтобы падать внятно ДО launch (по образцу preflight-гейта) |
+| `docker-compose.yml` / `Dockerfile` / `scripts/*entrypoint*` | **кандидат** (решает архитектор) — one-time root-нормализация (init-контейнер/хук) ПЕРЕД стартом app; если выбрано — деплой self, обязательная staging-страховка |
+| `docs/operations/INFRA.md` | изменить — раздел «Миграция uid: обязательная нормализация legacy root-файлов» (команды + область) |
+| `docs/work-items/ORCH-057/06-adr/ADR-001-*.md` | создать (architect) — решение + процедура; опц. forward-breadcrumb из ADR-001 ORCH-040 (без переписывания истории) |
+| `CHANGELOG.md` | изменить — запись о ORCH-057 |
+| `tests/test_*` | создать — см. `04-test-plan.yaml` |
+
+## 3. Функциональные требования
+
+### FR-1 — Внятная ошибка `ensure_worktree` (BR-1, BR-5)
+При неуспехе `git worktree add` / `os.makedirs(os.path.dirname(wt))` по причине отказа доступа
+(`Permission denied`, `could not create leading directories`, `insufficient permission for adding an
+object`) `ensure_worktree` поднимает `RuntimeError` с сообщением, которое: (а) называет корневую
+причину (legacy root-owned файлы в `/repos/_wt` или `.git` после миграции uid ORCH-040); (б) указывает
+лечащую команду (`chown -R <uid>:<gid> …`) или ссылку на процедуру INFRA.md; (в) НЕ является сырым
+git stderr. Прочие (нет-прав-несвязанные) ошибки сохраняют текущий контракт (никакой подмены смысла).
+
+### FR-2 — Детект несоответствия владельца (BR-2, BR-4)
+Леаф `fs_normalize.scan_ownership` обходит корни (`/repos/_wt`, `<repo>/.git/objects`,
+`<repo>/.git/worktrees`, `data/runs`) и возвращает: есть ли файлы с `uid != target_uid`, их число
+(или флаг «≥1»), список затронутых корней. Обход дешёвый/ограниченный (ранний выход при первом
+mismatch для быстрого вердикта; полный подсчёт — опционально/семплировано). Результат кэшируется по
+TTL (по образцу `preflight._cache`). `target_uid` = `os.getuid()` или конфиг (дефолт 1000).
+
+### FR-3 — Реакция на детект (BR-1, BR-4)
+- **Startup (main.lifespan):** вызвать детект best-effort; при mismatch — структурный WARNING +
+  Telegram (если включён) с числом/корнями и лечащей командой. Никогда не падать на старте по
+  ошибке детекта (NFR-3).
+- **Опц. гейт claim'а:** при обнаруженном mismatch и `target_uid` без прав на chown — не претендовать
+  на job (или претендовать и сразу честно фейлить с FR-1-сообщением), чтобы исход был внятным до launch.
+  Конкретную точку (preflight vs queue_worker) выбирает архитектор; требование — «внятно и заранее».
+
+### FR-4 — Опциональная авто-нормализация (BR-1)
+`fs_normalize.normalize` выполняет `chown -R target_uid:target_gid` по корням **только если процесс
+имеет на это право** (CAP_CHOWN/root). Под uid 1000 без прав — no-op + честный лог «нужна операторская
+процедура» (НЕ ошибка). Включается отдельным флагом (`*_AUTO`), по умолчанию — выкл (детект-only).
+Если архитектор выбирает init-контейнер под root — это и есть носитель FR-4 на буте.
+
+### FR-5 — Документированная процедура (BR-3)
+`INFRA.md` получает раздел с точными командами разовой нормализации (`_wt`, оба `.git`, `data/runs`),
+помеченный как **обязательный** шаг миграции uid и часть чеклиста деплоя self. ADR ORCH-057 фиксирует
+решение и ссылается на процедуру; ADR-001 ORCH-040 опц. получает forward-ссылку.
+
+## 4. Изменения API
+
+Нет новых обязательных эндпоинтов. **Опционально** (наблюдаемость, решает архитектор):
+- расширить `GET /queue` read-only блоком `fs_ownership` (`{enabled, target_uid, mismatch, roots, checked_at}`);
+- ручной триггер `POST /fs-normalize/check` (форс-пересчёт детекта) — по образцу `POST /serial-gate/unfreeze`.
+
+## 5. Изменения схемы БД
+
+Нет. Состояние детекта — в памяти (TTL-кэш), как `preflight`. Таблицы/миграции/индексы не вводятся.
+
+## 6. Требования к новым/изменённым QG checks
+
+Нет. Это **не** stage-гейт и **не** под-гейт ребра. `QG_CHECKS` / `check_*` / `STAGE_TRANSITIONS` /
+machine-verdict-ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/
+`coverage_status:`) — не трогаются. (В описании баг-репорта «deploy-гейт ORCH-040» — это деплой-хук/
+процедура, а не зарегистрированный QG.)
+
+## 7. Совместимость / регресс
+
+- **Kill-switch** `ORCH_FS_NORMALIZE_ENABLED` (дефолт по решению архитектора; `False` → весь код инертен,
+  поведение 1:1 как до ORCH-057).
+- **Scope** `ORCH_FS_NORMALIZE_REPOS` (CSV; пусто → **self-hosting only**, как `coverage_gate_repos` →
+  enduro-trails не затронут). Локальный `applies(repo)` проверяется ПЕРВЫМ (дешёвый обход только при applies).
+- **Флаги** (рабочие имена, финал — за архитектором): `ORCH_FS_TARGET_UID` (дефолт 1000),
+  `ORCH_FS_NORMALIZE_AUTO` (дефолт `False` — детект-only; `True` → попытка chown при наличии прав),
+  `ORCH_FS_SCAN_ROOTS` (CSV переопределения корней), `ORCH_FS_SCAN_CACHE_TTL_S`.
+- **Never-raise / fail-safe** — ошибка детекта/нормализации деградирует в WARNING, не блокирует старт
+  сервиса по своей вине; FR-1 меняет лишь **формулировку** ошибки worktree, не её факт.
+- **Self-hosting** (NFR-1) — код только читает/детектит/диагностирует (и chown ТОЛЬКО при наличии прав);
+  не деплоит/не рестартит прод/не трогает `main`. Любое касание `docker-compose.yml`/entrypoint требует
+  staging-прогона (8501) перед прод-рестартом в окно тишины.
+- **Обратимость** — выкл kill-switch → прежнее поведение; миграций/правки схемы нет.
+- **Пайплайн-артефакты:** обновляются `01..04` (analysis), `06-adr/`+`07-infra-requirements.md`+`10-tech-risks.md`
+  (architecture), `12/13/15/14` (review/testing/staging/deploy), `INFRA.md`, `CHANGELOG.md`.

docs/work-items/ORCH-057/03-acceptance-criteria.md

@@ -0,0 +1,99 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-057 — нормализация legacy root-owned файлов
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам репозитория.
+
+---
+
+## AC-1 — Конвейер стартует без ручного chown (или внятная блокирующая ошибка)
+
+**Условие:** после миграции контейнера на новый uid первый job не падает сырым git-фаталом на launch.
+- **PASS:** при нормализованных правах worktree создаётся и агент стартует; при НЕнормализованных
+  правах конвейер выдаёт понятную блокирующую ошибку с диагнозом и лечащей командой (НЕ сырой
+  `fatal: could not create leading directories … Permission denied`).
+- **FAIL:** на launch всплывает сырой git-fatal/Permission denied без диагноза причины и инструкции.
+
+---
+
+## AC-2 — `ensure_worktree` даёт actionable-ошибку при отказе доступа
+
+**Условие:** `src/git_worktree.py::ensure_worktree` классифицирует ошибки прав.
+- **PASS:** при `Permission denied`/`could not create leading directories`/`insufficient permission`
+  поднимается `RuntimeError`, текст которого называет причину (legacy root-файлы в `/repos/_wt`/`.git`
+  после миграции uid) и указывает команду/ссылку на процедуру; ошибки, не связанные с правами,
+  сохраняют прежний контракт.
+- **FAIL:** сырой git stderr пробрасывается без диагноза; либо подменяется смысл не-прав-ошибок;
+  либо `ensure_worktree` падает необработанно.
+
+---
+
+## AC-3 — Детект несоответствия владельца
+
+**Условие:** новый леаф `src/fs_normalize.py` обнаруживает файлы с `uid != target_uid` в корнях
+(`/repos/_wt`, `<repo>/.git/objects`, `<repo>/.git/worktrees`, `data/runs`).
+- **PASS:** на среде с root-файлами `scan_ownership` возвращает mismatch=True + затронутые корни;
+  на чистой (`1000:1000`) среде — mismatch=False (no-op, идемпотентно); леаф never-raise.
+- **FAIL:** mismatch не обнаружен на грязной среде / ложный mismatch на чистой / леаф бросает наружу.
+
+---
+
+## AC-4 — Наблюдаемость детекта
+
+**Условие:** результат детекта виден оператору без падения задачи.
+- **PASS:** при mismatch — структурный лог-WARNING (число/корни/лечащая команда) и Telegram (если
+  включён); опц. read-only отражение в `GET /queue`.
+- **FAIL:** mismatch обнаружен, но никак не сообщён; оператор узнаёт о проблеме только по упавшей задаче.
+
+---
+
+## AC-5 — Self-hosting безопасность и нулевая регрессия enduro-trails
+
+**Условие:** изменение безопасно для общего инстанса.
+- **PASS:** код не рестартит/не роняет прод, не трогает `main`/force-push/прод-образ; chown — только
+  при наличии прав; при выключенном kill-switch поведение 1:1 как до ORCH-057; при пустом scope-CSV
+  feature активен только для self-hosting (enduro-trails не затронут); регресс `pytest tests/ -q` зелёный.
+- **FAIL:** любой рестарт/деградация прода из кода задачи; ненулевая регрессия enduro-trails;
+  поведение меняется при выключенном флаге; падение всего регресса.
+
+---
+
+## AC-6 — Инварианты конвейера сохранены
+
+**Условие:** изменение аддитивно.
+- **PASS:** `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, machine-verdict-ключи и схема БД —
+  байт-в-байт прежние; новые флаги аддитивны и обратимы.
+- **FAIL:** затронут любой exit/под-гейт, изменён machine-key, добавлена миграция схемы.
+
+---
+
+## AC-7 — Документированная процедура нормализации
+
+**Условие:** процедура воспроизводима.
+- **PASS:** `INFRA.md` содержит раздел «Миграция uid: обязательная нормализация legacy root-файлов»
+  с точными командами (`_wt`, оба `.git`, `data/runs`) как обязательный шаг миграции; ADR ORCH-057
+  фиксирует решение и ссылается на процедуру.
+- **FAIL:** процедура отсутствует/абстрактна (как было в ORCH-040) либо не покрывает все корни.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1, FR-3 |
+| AC-2 | BR-1, BR-5 / FR-1 |
+| AC-3 | BR-2 / FR-2 |
+| AC-4 | BR-4 / FR-3 |
+| AC-5 | NFR-1, NFR-2, NFR-5 / FR-4 |
+| AC-6 | NFR-5 (инварианты) |
+| AC-7 | BR-3 / FR-5 |

docs/work-items/ORCH-057/04-test-plan.yaml

@@ -0,0 +1,92 @@
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+title: "Нормализация legacy root-owned файлов при миграции на uid 1000 (детект + защита worktree)"
+framework: pytest
+scope: >
+  Покрывается: классификация ошибки прав в ensure_worktree (внятная actionable-ошибка),
+  детект несоответствия владельца (fs_normalize.scan_ownership), идемпотентность на чистой среде,
+  fail-safe/never-raise, scope/kill-switch (self-hosting only при пустом CSV), опц. self-heal-noop
+  без прав. ВНЕ покрытия: реальный chown под root (требует привилегий — проверяется на staging
+  вручную), правка docker-compose/entrypoint (инфра, ручная проверка на 8501).
+notes: >
+  Все FS-зависимые тесты используют tmp_path и monkeypatch os.getuid/os.stat — без реального chown
+  и без записи в /repos. Telegram/Plane мокаются. Полный регресс tests/ должен оставаться зелёным;
+  STAGE_TRANSITIONS/QG_CHECKS/схема БД не затрагиваются — отдельные guard-тесты не требуются, но
+  существующие тесты на инварианты должны пройти без изменений.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "ensure_worktree при git-fatal 'could not create leading directories / Permission denied' поднимает RuntimeError с диагнозом legacy-root + лечащей командой, а не сырой git stderr"
+    module: tests/test_git_worktree_perm.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "ensure_worktree при ошибке, НЕ связанной с правами (например branch conflict), сохраняет прежний контракт сообщения (не подменяет смысл)"
+    module: tests/test_git_worktree_perm.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "scan_ownership на дереве с файлом uid != target_uid возвращает mismatch=True и список затронутых корней"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "scan_ownership на чистом дереве (все файлы target_uid) возвращает mismatch=False (идемпотентный no-op)"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "scan_ownership never-raise: при недоступном/несуществующем корне деградирует в WARNING и не бросает наружу"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "applies(repo): пустой ORCH_FS_NORMALIZE_REPOS → True только для self-hosting репо (orchestrator), False для enduro-trails; непустой CSV — по списку"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "kill-switch ORCH_FS_NORMALIZE_ENABLED=False → scan/normalize инертны (no-op), поведение 1:1 как до ORCH-057"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "normalize без прав (uid 1000, чужие root-файлы, ORCH_FS_NORMALIZE_AUTO=True) → no-op + честный лог 'нужна операторская процедура', НЕ исключение"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "TTL-кэш детекта: повторный вызов в окне TTL не пере-сканирует дерево (по образцу preflight._cache); force/reset инвалидирует"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-10
+    type: integration
+    description: "startup-хук lifespan при mismatch вызывает send_telegram (мок) и логирует WARNING; при ошибке детекта старт сервиса не падает (never-fatal)"
+    module: tests/test_fs_normalize_startup.py
+    expected: PASS
+
+  - id: TC-11
+    type: integration
+    description: "опц. гейт claim'а: при обнаруженном mismatch без прав исход job внятный (FR-1-сообщение / не-claim) ДО launch, а не сырой git-fatal"
+    module: tests/test_fs_normalize_startup.py
+    expected: PASS
+
+  - id: TC-12
+    type: integration
+    description: "GET /queue (если реализован read-only блок fs_ownership) отдаёт {enabled,target_uid,mismatch,roots,checked_at} и не 5xx-ит при выключенном флаге"
+    module: tests/test_api_queue.py
+    expected: PASS

docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md

@@ -0,0 +1,210 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Нормализация legacy root-owned файлов при миграции на uid 1000 — детект + actionable-ошибка + процедура
+
+Work Item: **ORCH-057** — follow-up ORCH-040 (legacy `root:root` файлы в `/repos` ломают создание worktree под uid 1000)
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`** (новый
+leaf-компонент + startup-поведение, затрагивает весь инстанс → кросс-каттинг).
+
+## Статус
+Proposed
+
+## Контекст
+
+ORCH-040 перевёл оба контейнера на `user: "1000:1000"`, изменив **только** `docker-compose.yml`.
+Смена `user:` не меняет владельца уже существующих файлов, созданных прежним root-контейнером.
+Bind-mount `/home/slin/repos → /repos` содержал `root:root` каталоги (`_wt/`, старые worktree,
+`.git/objects`, `data/runs` — 37 root-логов).
+
+**Сверено по коду:**
+- `src/git_worktree.py::ensure_worktree` (стр. 78 `os.makedirs(os.path.dirname(wt))`, стр. 81/85
+  `git worktree add`) — точка реального падения. При `root:root` владельце `/repos/_wt/` uid 1000
+  не может создать рядом новый каталог worktree → `fatal: could not create leading directories …
+  Permission denied`. Сейчас этот stderr пробрасывается «сырым» в `RuntimeError` (стр. 90–93) без
+  диагноза причины.
+- Конвейер приходит сюда из `src/agents/launcher.py::_spawn` и `_materialize_deferred_branch`
+  (ORCH-088, отложенный срез ветки на момент claim analyst-job). **Агент не стартует** — падает
+  создание worktree (НЕ код задачи), т.е. это launch-time инфраструктурный сбой.
+- Контейнер бежит под numeric uid 1000 **без root** (ORCH-040 P-3, ORCH-058 реальный user `slin`
+  в образе). Под uid 1000 `chown` чужих (root) файлов **невозможен** без `CAP_CHOWN`. Значит код
+  физически не может «починить» права сам — ему доступны только **детект + диагностика**, а
+  фактический `chown` — операторская процедура.
+- ADR-001 ORCH-040 упоминал «массовый chown старых root-файлов» лишь абстрактно («вне объёма кода»,
+  «разовая операция Owner») и не дал конкретной процедуры → deployer её не выполнил → баг проявился
+  в проде 06.06 на первом запуске ORCH-043. Прод сейчас рабочий (ручной workaround Стрима наложен),
+  но проблема **воспроизводится** на чистой среде / новом репо / после любого исторического запуска
+  под root.
+
+Это **закрытие недоделанного AC ORCH-040**, а не новая фича. Существующие гейты/паттерны для опоры:
+условный leaf-гейт `coverage_gate`/`serial_gate` (kill-switch + scope + `is_self_hosting_repo`),
+best-effort startup-хуки в `main.lifespan` (lease-reclaim, log-rotation — never-fatal),
+read-only снимки `GET /queue` (`serial_gate.snapshot()`), TTL-кэш `preflight._cache`.
+
+## Решение
+
+### Сводка
+Три аддитивных, обратимых kill-switch'ем слоя, **без** изменения `STAGE_TRANSITIONS` / `QG_CHECKS` /
+`check_*` / machine-verdict-ключей / схемы БД:
+
+1. **Actionable-ошибка** в `ensure_worktree` — класс «нет прав на создание worktree» распознаётся и
+   превращается в диагностируемый `RuntimeError` с причиной + лечащей командой (FR-1).
+2. **Детект-леаф** `src/fs_normalize.py` — чистый, never-raise, TTL-кэшируемый обход корней, ищет
+   файлы с `uid != target_uid` (FR-2); вызывается best-effort на старте сервиса с наблюдаемостью
+   (FR-3).
+3. **Операторская процедура** в `INFRA.md` + forward-breadcrumb из ADR-040 — точные команды разовой
+   нормализации как обязательный шаг миграции uid (FR-5).
+
+Фактический `chown` остаётся **операторской процедурой** (NFR-1: код под uid 1000 без root его делать
+не может и не должен).
+
+### D1 — `ensure_worktree`: классификация отказа доступа (FR-1, AC-1, AC-2)
+Оборачиваем **обе** точки сбоя по правам — `os.makedirs(os.path.dirname(wt))` (стр. 78) и оба
+`git worktree add` (стр. 81/85). Класс «нет прав» детектируется по маркерам в `stderr`/исключении:
+`Permission denied`, `could not create leading directories`, `insufficient permission for adding an
+object`, `PermissionError` (errno `EACCES`/`EPERM`). При совпадении — `RuntimeError`, текст которого:
+(а) называет корневую причину («legacy root-owned файлы в `/repos/_wt` или `.git` после миграции uid
+ORCH-040»); (б) указывает лечащую команду (`chown -R <target_uid>:<gid> /repos/_wt …`) и ссылку на
+раздел INFRA.md; (в) **не** является сырым git stderr.
+
+**Инвариант контракта (AC-2 FAIL-условие):** ошибки, **не** связанные с правами (реальный git-конфликт,
+отсутствие `origin/main`, таймаут), сохраняют **прежний** текст/смысл — никакой подмены. Классификатор —
+чистая функция `classify_worktree_error(stderr_or_exc) -> bool` (или хелпер в `fs_normalize`),
+покрытая юнит-тестами на обе ветки. Помощь-сообщение строится только при `True`. Это **меняет лишь
+формулировку** ошибки, не её факт (NFR-3): worktree как падал, так и падает — но теперь внятно.
+
+### D2 — Детект-леаф `src/fs_normalize.py` (FR-2, AC-3)
+Новый чистый модуль по образцу `serial_gate`/`post_deploy` (импортирует только `config`/`logging`/
+`os`/`pwd`; не тянет `stage_engine`/`launcher`). API:
+
+- `scan_ownership(roots: list[str] | None = None, target_uid: int | None = None) -> OwnershipScan` —
+  обходит корни, возвращает `{mismatch: bool, target_uid: int, roots_checked: list, roots_mismatch:
+  list, sample_path: str | None, count: int | None, checked_at: float}`.
+- **`target_uid`** по умолчанию = `os.getuid()` (uid, под которым реально бежит процесс — ровно тот
+  субъект, что «не может создать файл»); переопределяется `fs_target_uid` (дефолт 1000) для тестов/
+  нестандартного рантайма.
+- **Корни** по умолчанию: `/repos/_wt`, `<repo>/.git/objects`, `<repo>/.git/worktrees` (для репо из
+  скоупа), `data/runs` (`os.path.dirname(settings.db_path)/runs`). Переопределяемы `fs_scan_roots`
+  (CSV).
+- **Дешевизна (риск стоимости обхода):** **ранний выход при первом mismatch** (для быстрого булева
+  вердикта `os.lstat(...).st_uid != target_uid`). Полный `count` — опционален/семплирован (отдельный
+  дешёвый режим, по умолчанию выключен), чтобы не обходить целиком большие `.git/objects`. Результат
+  **кэшируется по TTL** `fs_scan_cache_ttl_s` (паттерн `preflight._cache`, `force=` обходит кэш).
+- **never-raise (NFR-3):** любая ошибка обхода (исчезнувший путь, отказ stat) → деградирует в WARNING
+  и консервативный вердикт `mismatch=False` (не блокирует и не паникует); идемпотентно (AC-3:
+  повторный скан на чистой среде — `mismatch=False`, no-op).
+- **`applies(repo: str) -> bool`** — `fs_normalize_enabled` (kill-switch) И scope (`fs_normalize_repos`
+  CSV; пусто → `is_self_hosting_repo(repo)`, как `coverage_gate`); проверяется **ПЕРВЫМ**, дорогой
+  обход — только при `applies==True` (NFR-2: enduro-trails не сканируется при пустом CSV).
+- **`snapshot() -> dict`** — read-only для `GET /queue`.
+
+### D3 — Точка интеграции: startup-наблюдаемость, БЕЗ блокировки claim (FR-3 — разрешение открытого выбора TRZ)
+TRZ §2 оставил архитектору выбор «preflight vs queue_worker» для опц. гейта claim'а. **Решение:
+claim НЕ блокируем.**
+
+- **Startup (`main.lifespan`):** best-effort вызов `scan_ownership()` рядом с lease-reclaim/log-rotation
+  (стр. 63–90), обёрнут `try/except` (never-fatal). При `mismatch` — структурный WARNING (число/корни/
+  лечащая команда) + Telegram (если включён). Это даёт оператору **проактивный сигнал заранее**
+  (AC-4), не дожидаясь падения задачи.
+- **«Внятно и заранее» обеспечивает D1, а не claim-гейт.** `ensure_worktree` знает `repo` и падает
+  до того, как агент потратит хоть один токен (агент не стартует). Это и есть требуемый ранний внятный
+  исход.
+
+**Почему НЕ блокирующий claim-гейт (отвергнуто):**
+- `preflight.check()` **не знает repo** и гейтит claim **всех** репо → при mismatch в общем `/repos/_wt`
+  заблокировал бы и enduro-trails (нарушение NFR-2 при включённом флаге). Сделать его scope-aware
+  внутри preflight нельзя без знания репо в точке вызова.
+- Гейт в `queue_worker`/`db.claim_next_job` (как `serial_gate`) технически scope-aware, но: (1)
+  оставил бы задачу «молча висеть» в очереди вместо явного диагноза; (2) добавил бы дорогой FS-обход
+  в offline hot-path claim'а; (3) дублировал бы исход, который D1 уже даёт внятно. Лишняя поверхность
+  без выигрыша.
+
+Итог: **детект = наблюдаемость (startup + опц. ручной POST), а внятный отказ = D1 в точке launch.**
+
+### D4 — Опциональная авто-нормализация `normalize()` (FR-4) — не init-контейнер
+`fs_normalize.normalize(roots, target_uid)` выполняет `os.chown`/`chown -R` по корням **только если
+процесс имеет `CAP_CHOWN`/root**. Под uid 1000 без прав — **no-op + честный лог** «нужна операторская
+процедура» (НЕ ошибка). Включается отдельным флагом `fs_normalize_auto` (дефолт `False` — детект-only).
+
+**Init-контейнер/root-entrypoint отвергнут (см. Альтернативы):** он (а) реинтродуцирует root-контекст,
+ровно который ORCH-040 убрал ради безопасности; (б) требует правки `docker-compose.yml`/entrypoint →
+**self-deploy** с групповым риском (NFR-1) и обязательной staging-страховкой ради разовой задачи;
+(в) discretionary по BRD §2 «Опционально». Носитель реальной нормализации — **документированная
+операторская процедура** (D5), запускаемая под root **на хосте** один раз при миграции uid.
+
+### D5 — Процедура в INFRA.md + forward-breadcrumb (FR-5, AC-7)
+В `docs/operations/INFRA.md` (раздел «Рантайм-uid (ORCH-040)») добавляется подраздел **«Миграция uid:
+обязательная нормализация legacy root-файлов»** с точными командами, покрывающими **все** корни
+(`_wt`, оба `.git`, `data/runs`), помеченный как **обязательный** шаг миграции uid и пункт чеклиста
+деплоя self. Существующий абстрактный буллет (стр. 50–51) заменяется ссылкой на новый подраздел.
+В ADR-040 — необязательный forward-breadcrumb на ORCH-057 (история ORCH-040 не переписывается, §2 BRD).
+
+### D6 — Конфиг-флаги (TRZ §7) и наблюдаемость
+Аддитивно в `src/config.py` (существующие значения не трогаются):
+
+| Флаг (env) | Дефолт | Смысл |
+|------------|--------|-------|
+| `fs_normalize_enabled` (`ORCH_FS_NORMALIZE_ENABLED`) | `True` | kill-switch; `False` → весь код инертен, поведение 1:1 как до ORCH-057 (D1 тоже гардится — при выкл. контракт ошибки прежний) |
+| `fs_normalize_repos` (`ORCH_FS_NORMALIZE_REPOS`) | `""` | scope CSV; пусто → self-hosting only (`is_self_hosting_repo`) |
+| `fs_target_uid` (`ORCH_FS_TARGET_UID`) | `1000` | целевой uid (фолбэк, если `os.getuid()` неприменим) |
+| `fs_normalize_auto` (`ORCH_FS_NORMALIZE_AUTO`) | `False` | детект-only; `True` → попытка chown при наличии прав (D4) |
+| `fs_scan_roots` (`ORCH_FS_SCAN_ROOTS`) | `""` | CSV-переопределение корней |
+| `fs_scan_cache_ttl_s` (`ORCH_FS_SCAN_CACHE_TTL_S`) | `300` | TTL детект-кэша |
+
+Наблюдаемость (AC-4): read-only блок `fs_ownership` в `GET /queue` (`snapshot()`:
+`{enabled, target_uid, mismatch, roots_checked, roots_mismatch, checked_at}`); опц. ручной триггер
+`POST /fs-normalize/check` (форс-пересчёт, по образцу `POST /serial-gate/unfreeze`). Telegram при
+mismatch — с кликабельным номером задачи (если в контексте есть `work_item_id`), числом/корнями,
+лечащей командой.
+
+## Альтернативы
+- **Init-контейнер / root-entrypoint, выполняющий `chown` на буте** — отвергнуто: реинтродуцирует
+  root-контекст (анти-цель ORCH-040), требует правки `docker-compose.yml`/entrypoint = self-deploy +
+  групповой риск + обязательная staging-страховка ради одноразовой операции; BRD помечает его
+  «Опционально». Реальную нормализацию несёт документированная разовая операторская процедура.
+- **Блокирующий claim-гейт в `preflight`** — отвергнуто: preflight не знает repo → блокирует claim
+  ВСЕХ репо, регресс enduro-trails на общем `/repos` (нарушение NFR-2).
+- **Блокирующий claim-гейт в `queue_worker`/`claim_next_job`** — отвергнуто: дорогой FS-обход в
+  offline hot-path, «молчаливое зависание» вместо внятного диагноза, дублирует исход D1.
+- **Авто-`chown` из app-кода по умолчанию** — отвергнуто: под uid 1000 невозможен; включение по
+  умолчанию создавало бы ложное ожидание самолечения. Оставлен как opt-in `fs_normalize_auto` для
+  сред, где процесс имеет CAP_CHOWN.
+- **Жёсткий fail на старте при mismatch** — отвергнуто: нарушает never-raise (NFR-3) и мог бы
+  застопорить старт сервиса всех проектов из-за грязного `/repos`. Детект — only WARNING/Telegram.
+
+## Последствия
+- **+** Класс «сырой git-fatal на launch после миграции uid» закрыт: оператор получает внятный
+  диагноз + лечащую команду в точке падения (D1) и проактивный сигнал на старте (D3).
+- **+** Воспроизводимая процедура в INFRA.md закрывает пробел ADR-040 (AC-7).
+- **+** Нулевая регрессия enduro-trails (scope `applies()` first, пустой CSV → self-hosting only);
+  `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема БД — байт-в-байт прежние (AC-6).
+- **+** Никакого root-контекста, рестарта прода, касания `main`/force-push/прод-образа (NFR-1, AC-5).
+- **−** Фактический `chown` остаётся **ручным** операторским шагом — на средах, где его забыли, баг
+  всё ещё проявится, но теперь **внятно** (с инструкцией), а не сырым git-fatal. Митигейшн:
+  startup-WARNING+Telegram + обязательный пункт чеклиста миграции в INFRA.md.
+- **−** Ещё один best-effort startup-хук + leaf-модуль (рост поверхности). Митигейшн: чистый
+  never-raise leaf, TTL-кэш, ранний выход обхода, kill-switch.
+- **−** `fs_normalize_auto=True` под root реинтродуцирует chown-контекст — поэтому дефолт `False` и
+  он не для прод-self (прод бежит под uid 1000).
+- **Откат:** `fs_normalize_enabled=False` → весь код инертен (D1 контракт ошибки прежний, детект не
+  запускается); миграций/правки схемы нет → мгновенный обратимый kill-switch.
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-057/01-brd.md`
+- TRZ: `docs/work-items/ORCH-057/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-057/03-acceptance-criteria.md`
+- Инфра: `docs/work-items/ORCH-057/07-infra-requirements.md`
+- Риски: `docs/work-items/ORCH-057/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`
+- Сверено по коду: `src/git_worktree.py` (`ensure_worktree` стр. 78/81/85/90), `src/preflight.py`
+  (TTL-кэш), `src/main.py` (`lifespan` стр. 63–114), `src/serial_gate.py` / `src/coverage_gate.py`
+  (паттерн условного leaf `applies`/scope/`is_self_hosting_repo`).
+- Предшественник: `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md`,
+  `docs/architecture/adr/adr-0005-container-runs-as-host-uid.md`.

docs/work-items/ORCH-057/07-infra-requirements.md

@@ -0,0 +1,63 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 07 — Инфра-требования: ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: architecture
+
+> When-applicable. Топология контейнеров **не меняется** (init-контейнер/правка `docker-compose.yml`
+> отвергнуты — ADR-001 D4). Файл фиксирует новые env-флаги и **обязательную операторскую процедуру**
+> нормализации legacy root-файлов как шаг миграции uid.
+
+## I-1. Топология / окружения
+**Без изменений.** Контейнеры `orchestrator` (8500) / `orchestrator-staging` (8501), `user:
+"1000:1000"`, bind-mount `/home/slin/repos → /repos`, `network_mode: host` — как есть. Init-контейнер
+/ root-entrypoint **сознательно НЕ вводятся** (реинтродуцировали бы root-контекст, убранный ORCH-040,
+и потребовали бы self-deploy compose с групповым риском — ADR-001 D4, Альтернативы).
+
+## I-2. Переменные окружения / секреты
+Новые env-флаги (аддитивно в `src/config.py`, дефолты сохраняют поведение до ORCH-057). Добавить в
+`.env.example` (секретов нет):
+
+| Env | Дефолт | Назначение |
+|-----|--------|------------|
+| `ORCH_FS_NORMALIZE_ENABLED` | `true` | kill-switch всего слоя ORCH-057 |
+| `ORCH_FS_NORMALIZE_REPOS` | `` (пусто) | scope CSV; пусто → self-hosting only (enduro не затронут) |
+| `ORCH_FS_TARGET_UID` | `1000` | целевой uid (фолбэк к `os.getuid()`) |
+| `ORCH_FS_NORMALIZE_AUTO` | `false` | детект-only; `true` → попытка chown при наличии CAP_CHOWN |
+| `ORCH_FS_SCAN_ROOTS` | `` (пусто) | CSV-переопределение корней обхода |
+| `ORCH_FS_SCAN_CACHE_TTL_S` | `300` | TTL детект-кэша |
+
+Секреты не вводятся.
+
+## I-3. Деплой / рестарт
+- **Self-hosting инвариант (NFR-1):** код задачи **не** рестартит/не роняет прод-контейнер
+  `orchestrator`, не трогает `main`/force-push/прод-образ. `chown` из кода возможен лишь при наличии
+  прав (под uid 1000 — no-op).
+- Изменение **только** `src/**` + docs → штатный деплой self **через staging-гейт (8501)**, затем
+  прод-рестарт **в окно тишины** (`GET /status` без активных задач). Правки `docker-compose.yml`/
+  entrypoint в задаче **нет** → нет дополнительного инфра-риска сверх обычного self-деплоя.
+- **Обязательная операторская процедура нормализации (host-prerequisite миграции uid)** — выполняется
+  **под root на хосте mva154 один раз** при миграции uid / на новой среде, ПЕРЕД стартом app.
+  Каноничный текст — в `docs/operations/INFRA.md` (раздел «Миграция uid: обязательная нормализация
+  legacy root-файлов»). Команды покрывают все корни:
+  ```
+  sudo chown -R 1000:1000 /home/slin/repos/_wt
+  sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git \
+                          /home/slin/repos/enduro-trails/.git
+  sudo chown -R 1000:1000 /home/slin/repos/orchestrator        # incl. data/runs/*.log
+  # Проверка: find /home/slin/repos/_wt ! -uid 1000 -print -quit   (пусто = ок)
+  ```
+  Идемпотентна (повтор на корректной среде — no-op). Помечена обязательным пунктом чеклиста
+  деплоя/миграции self.
+
+## I-4. CI/CD
+Без изменений в `.gitea/workflows/`. Новые юнит-тесты (`tests/test_fs_normalize.py`,
+`tests/test_git_worktree_perm_error.py` — см. `04-test-plan.yaml`) гоняются существующим
+`pytest tests/ -q`. Новых системных зависимостей образа нет.

docs/work-items/ORCH-057/10-tech-risks.md

@@ -0,0 +1,37 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | **Ложная классификация ошибки worktree** (D1): не-прав-ошибка распознана как «нет прав» → подмена смысла (FAIL AC-2). | Низ. | Сред. | Узкий набор маркеров (`Permission denied`/`could not create leading directories`/`insufficient permission`/`EACCES`/`EPERM`); классификатор — чистая функция с юнит-тестами на обе ветки; не-совпадение → прежний сырой текст без изменений. |
+| TR-2 | **Дорогой рекурсивный обход** больших `.git/objects` / `_wt` тормозит старт сервиса. | Сред. | Сред. | Ранний выход при первом mismatch (булев вердикт); полный `count` опционален/семплирован; TTL-кэш (`fs_scan_cache_ttl_s`); вызов best-effort на старте, не в hot-path claim'а; `applies()` first → обход только при applies. |
+| TR-3 | **Ложно-блокирующий эффект на enduro-trails** через общий `/repos`. | Низ. | Выс. | Claim НЕ блокируется (D3 — только наблюдаемость); scope `applies()` first, пустой CSV → self-hosting only → enduro не сканируется; детект never-raise. |
+| TR-4 | **Забытый ручной `chown`**: на среде без выполненной процедуры баг всё ещё проявится. | Сред. | Сред. | Теперь проявляется **внятно** (D1 actionable-ошибка + startup WARNING/Telegram, не сырой git-fatal); процедура — обязательный пункт чеклиста миграции в INFRA.md; идемпотентна. Остаточный риск принят (код под uid 1000 не может chown). |
+| TR-5 | **`fs_normalize_auto=True` под root** реинтродуцирует chown-контекст / неожиданный массовый chown. | Низ. | Сред. | Дефолт `False`; прод-self бежит под uid 1000 (chown = no-op); auto-режим — opt-in для сред с CAP_CHOWN; init-контейнер отвергнут (ADR-001 D4). |
+| TR-6 | **never-raise дыра**: необработанное исключение детекта роняет старт сервиса всех проектов. | Низ. | Выс. | Леаф never-raise (паттерн `serial_gate`/`post_deploy`); startup-вызов в `try/except` (как lease-reclaim/log-rotation); ошибка → WARNING + консервативный `mismatch=False`. |
+| TR-7 | **`os.getuid()` неприменим** в нестандартном рантайме → неверный target_uid → ложный mismatch. | Низ. | Низ. | Фолбэк `fs_target_uid` (дефолт 1000); идемпотентность скана; вердикт only-наблюдательный (не блокирует). |
+| TR-8 | **Кэш устарел** после выполнения нормализации → stale `mismatch=True` в `GET /queue`. | Низ. | Низ. | TTL-инвалидизация; ручной `POST /fs-normalize/check` (`force=True`) для немедленного пересчёта. |
+
+## Сводный вывод
+Доминирующий класс — **операционные риски разовой нормализации**, а не алгоритмические: код только
+читает/детектит/диагностирует (chown — операторская процедура под root на хосте). Самостоятельный
+техдолг (TR-4) — остаточный и **принят**: контейнер без root физически не может починить права сам;
+решение гарантирует **внятность** отказа, а не его отсутствие. Self-hosting-безопасность соблюдена
+(никакого рестарта прода / касания `main` / root-контекста в коде). Изменение аддитивно и обратимо
+kill-switch'ем → **эскалация `arch:major-change` НЕ требуется** (нет новой стадии/QG/таблицы/смены
+топологии). Возврат в анализ не нужен — ТЗ удовлетворяется без нарушения принципов архитектуры.
+Остаточный риск для прод-конвейера — **низкий**.

docs/work-items/ORCH-057/12-review.md

@@ -0,0 +1,105 @@
+---
+verdict: APPROVED
+work_item: ORCH-057
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-057
+version: 1
+---
+
+# Review ORCH-057
+
+## Summary
+
+Follow-up ORCH-040: закрыт недоделанный AC по legacy `root:root` файлам, ломавшим создание
+worktree под uid 1000. Реализованы три аддитивных, обратимых kill-switch'ем слоя ровно по ADR-001:
+**D1** actionable-ошибка в `ensure_worktree`, **D2** детект-леаф `src/fs_normalize.py`
+(never-raise, TTL-кэш, scope-aware), **D3** best-effort startup-наблюдаемость в `main.lifespan`
+(WARNING + Telegram, claim не блокируется), плюс `GET /queue` блок `fs_ownership` и
+`POST /fs-normalize/check`. Документация (INFRA.md процедура, architecture/README.md, сквозной
+adr-0031, CHANGELOG, .env.example) обновлена в том же PR.
+
+Проверено по 4 осям; все 7 AC выполнены, P0/P1 findings нет. Регресс `pytest tests/ -q` —
+**1507 passed**; целевые модули (`test_fs_normalize`, `test_fs_normalize_startup`,
+`test_git_worktree_perm`, `test_api_queue`) — **25 passed**, покрывают TC-01…TC-12.
+
+## Соответствие ТЗ (02-trz) и AC (03-acceptance-criteria)
+
+- **FR-1 / AC-1, AC-2** ✓ — `git_worktree._raise_if_permission` + `fs_normalize.is_permission_failure`/
+  `build_worktree_help`: класс «нет прав» (`Permission denied`/`could not create leading directories`/
+  `insufficient permission`/`PermissionError`/`EACCES`/`EPERM`) → actionable `RuntimeError` с причиной,
+  `chown`-командой и ссылкой на INFRA.md. Обе точки сбоя обёрнуты (`os.makedirs` + оба `worktree add`).
+  Не-прав-ошибки сохраняют прежний raw-контракт (TC-02 PASS). Под kill-switch — no-op, контракт 1:1.
+- **FR-2 / AC-3** ✓ — `scan_ownership` обходит `/repos/_wt`, `<repo>/.git/{objects,worktrees}`,
+  `data/runs`; ранний выход на первом `lstat.st_uid != target_uid`; чистая среда → `mismatch=False`
+  идемпотентно; never-raise → консервативный `mismatch=False` (TC-03/04/05).
+- **FR-3 / AC-4** ✓ — startup-хук never-fatal: WARNING + Telegram при mismatch; claim не блокируется
+  (D3, преднамеренно — внятный ранний отказ даёт D1, знающий repo). Read-only блок `fs_ownership` в
+  `GET /queue` (TC-10/TC-12).
+- **FR-4** ✓ — `normalize()` chown только при `_is_privileged()` (geteuid==0); под uid 1000 — no-op +
+  честный лог, НЕ ошибка; gated `fs_normalize_auto` (дефолт False) (TC-08).
+- **FR-5 / AC-7** ✓ — INFRA.md: блокер P-5 + подраздел «Миграция uid: обязательная нормализация»
+  со всеми корнями; work-item ADR + сквозной adr-0031.
+- **§7 совместимость / AC-5** ✓ — `applies(repo)` first (kill-switch + scope; пустой CSV →
+  self-hosting only через `is_self_hosting_repo`); enduro-trails не сканируется при дефолте.
+  TTL-кэш (`fs_scan_cache_ttl_s`). Регресс зелёный (1507 passed).
+
+## Соответствие ADR
+
+- Реализация совпадает с ADR-001 D1–D6 (включая сознательный отказ от блокирующего claim-гейта и
+  init-контейнера — обоснование в «Альтернативах»). Сквозная регистрация adr-0031 присутствует и
+  отражена в architecture/README.md.
+- **Трассировка (AC-6 / TRACEABILITY):** инварианты конвейера не тронуты — commit `9852871` НЕ
+  затрагивает `src/stages.py`, `src/qg/checks.py`, `src/db.py`, `src/stage_engine.py`. Маркеры
+  ORCH-040/088 в `git_worktree`/`main` читаются, зафиксированные инварианты (never-fatal startup,
+  отложенный срез ветки) не сломаны. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема
+  БД — байт-в-байт прежние.
+
+## Качество кода
+
+- `src/fs_normalize.py` — чистый leaf (импортирует только `config`/`logging`/`os`/`time`,
+  лениво `qg.checks`/`notifications`); строгий never-raise на каждой публичной функции; docstrings
+  на всех публичных символах; `os.lstat` (не `stat`) для честной оценки симлинков. Зависимость
+  односторонняя (`git_worktree` → `fs_normalize`).
+- Узкий `_PERM_MARKERS` сознательно не реклассифицирует не-прав-ошибки (защита AC-2).
+- Тесты содержательны (214/136/139/68 строк), используют `tmp_path`/monkeypatch, без реального
+  chown и записи в `/repos`; покрывают обе ветки классификатора, идемпотентность, scope, kill-switch,
+  TTL-кэш, startup-never-fatal.
+- Утечек/секретов/security-дыр не выявлено; chown физически возможен только под root (`_is_privileged`).
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- Нет.
+
+### P3 — Nice-to-have (не блокирует)
+- [ ] `snapshot()` в `GET /queue` на холодном кэше инициирует реальный обход `.git/objects` синхронно
+  в обработчике запроса. На практике кэш прогрет startup-хуком и TTL=300s, обход только для
+  self-hosting — латентность пренебрежима, паттерн зеркалит `coverage_gate`. Можно при желании
+  отдавать в `/queue` только кэш без форс-скана. Информационно.
+
+## Документация
+
+Обновлена в том же PR — golden source синхронен с кодом:
+- `docs/operations/INFRA.md` — P-5 (блокер миграции uid) + подраздел процедуры со всеми корнями ✓
+- `docs/architecture/README.md` — компонент «FS ownership detect» (D1–D3, условность, наблюдаемость) ✓
+- `docs/architecture/adr/adr-0031-legacy-ownership-normalization.md` — сквозной ADR (tracked) ✓
+- `docs/work-items/ORCH-057/06-adr/ADR-001-…md` — work-item ADR ✓
+- `CHANGELOG.md` — запись ORCH-057 ✓
+- `.env.example` — 6 флагов `ORCH_FS_*` ✓
+
+`README.md` «Известные ограничения» (ORCH-079): пункт про legacy-ownership/uid-миграцию там
+отсутствует — закрывать/снимать нечего, обзорная витрина в обновлении не нуждается.
+
+**Вывод:** изменение `src/` сопровождено обновлением документации → требование правила 6
+выполнено.

docs/work-items/ORCH-057/13-test-report.md

@@ -0,0 +1,94 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-057
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-057
+---
+
+# Test Report — ORCH-057
+
+Нормализация legacy root-owned файлов при миграции на uid 1000 (детект + защита worktree).
+Review-вердикт `12-review.md` — **APPROVED**, P0/P1 findings нет.
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8)
+- Дата: 2026-06-10
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-057-bug-follow-up-orch-040-normali`
+  (ветка `feature/ORCH-057-bug-follow-up-orch-040-normali`, тесты прогнаны из рабочего дерева
+  именно этой задачи, НЕ из общего `/repos/orchestrator`)
+
+## Smoke API (read-only, прод-контейнер 8500 не тронут)
+| Эндпоинт | Результат |
+|----------|-----------|
+| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
+| `GET /status` | OK — задача ORCH-057 (id 83) видна на стадии `testing` |
+| `GET /queue` | OK — присутствуют блоки `serial_gate` (ORCH-088) ✓ и `auto_labels` (ORCH-089) ✓ |
+
+> Примечание: блок `fs_ownership` (ORCH-057) на прод-контейнере 8500 **отсутствует** —
+> это ожидаемо: ORCH-057 ещё не задеплоен, прод исполняет предыдущий образ. Read-only блок
+> `fs_ownership` присутствует и протестирован в коде ветки (TC-12, `test_api_queue.py` PASS).
+> Это НЕ регресс смока: обязательные блоки `serial_gate` + `auto_labels` на месте.
+
+## Результаты
+
+### Полный регресс
+`pytest tests/ -q` → **1507 passed, 1 warning in 52.22s** (warning — Pydantic V2 deprecation,
+предсуществующий, не относится к ORCH-057). Прод-контейнер не трогался.
+
+### Профильные сюиты
+`pytest tests/test_git_worktree_perm.py tests/test_fs_normalize.py tests/test_fs_normalize_startup.py tests/test_api_queue.py -v`
+→ **25 passed** — покрывают TC-01…TC-12.
+
+### Сопоставление с тест-планом (04-test-plan.yaml)
+| TC ID | Описание | Тест-функция | Результат |
+|-------|----------|--------------|-----------|
+| TC-01 | `ensure_worktree` на git-fatal Permission denied → actionable RuntimeError | `test_git_worktree_perm::test_tc01_permission_git_fatal_becomes_actionable`, `test_tc01_makedirs_permission_error_becomes_actionable` | PASS |
+| TC-02 | не-прав-ошибка сохраняет прежний raw-контракт | `test_git_worktree_perm::test_tc02_non_permission_error_keeps_prior_contract`, `test_tc02_killswitch_off_keeps_raw_contract_even_for_permission` | PASS |
+| TC-03 | `scan_ownership` на дереве с uid≠target → mismatch=True + корни | `test_fs_normalize::test_tc03_scan_detects_mismatch` | PASS |
+| TC-04 | `scan_ownership` на чистом дереве → mismatch=False (идемпотентно) | `test_fs_normalize::test_tc04_clean_tree_no_mismatch` | PASS |
+| TC-05 | never-raise при недоступном/несуществующем корне → WARNING | `test_fs_normalize::test_tc05_never_raise_on_missing_root`, `test_tc05_never_raise_on_walk_error` | PASS |
+| TC-06 | `applies(repo)`: пустой CSV → self-hosting only; непустой — по списку | `test_fs_normalize::test_tc06_applies_empty_csv_self_hosting_only`, `test_tc06_applies_explicit_csv` | PASS |
+| TC-07 | kill-switch OFF → scan/normalize инертны (1:1 как до ORCH-057) | `test_fs_normalize::test_tc07_killswitch_off_scan_inert`, `test_tc07_killswitch_off_normalize_inert` | PASS |
+| TC-08 | `normalize` без прав → no-op + честный лог, НЕ исключение | `test_fs_normalize::test_tc08_normalize_without_rights_is_noop_not_error` | PASS |
+| TC-09 | TTL-кэш: повтор в окне TTL не пере-сканирует; ключ по roots+uid | `test_fs_normalize::test_tc09_ttl_cache_avoids_rescan`, `test_tc09_cache_keyed_by_roots_and_uid` | PASS |
+| TC-10 | startup-хук: mismatch → send_telegram + WARNING; ошибка детекта never-fatal | `test_fs_normalize_startup::test_tc10_startup_mismatch_warns_and_telegrams`, `test_tc10_startup_detect_error_never_fatal`, `test_tc10_startup_clean_no_telegram` | PASS |
+| TC-11 | гейт claim'а: mismatch без прав → внятный исход ДО launch, не сырой git-fatal | `test_fs_normalize_startup::test_tc11_launch_permission_failure_is_actionable_not_raw` | PASS |
+| TC-12 | `GET /queue` блок `fs_ownership` отдаёт поля и не 5xx-ит при выключенном флаге | `test_api_queue::test_tc12_queue_exposes_fs_ownership_block`, `test_tc12_queue_no_5xx_when_disabled`, `test_fs_normalize_check_endpoint` | PASS |
+
+Доп. целевые тесты (сверх плана, усиливают покрытие): `test_classify_worktree_error_markers`,
+`test_is_permission_failure_from_exc`, `test_snapshot_shape` — PASS.
+
+### Сопоставление с критериями приёмки (03-acceptance-criteria.md)
+| AC | Покрыто | Результат |
+|----|---------|-----------|
+| AC-1 — конвейер стартует без ручного chown / внятная блокирующая ошибка | TC-01, TC-11 | PASS |
+| AC-2 — `ensure_worktree` actionable-ошибка при отказе доступа, не-прав сохраняет контракт | TC-01, TC-02 | PASS |
+| AC-3 — детект несоответствия владельца (mismatch на грязной, no-op на чистой) | TC-03, TC-04, TC-05 | PASS |
+| AC-4 — наблюдаемость детекта (WARNING + Telegram + `GET /queue`) | TC-10, TC-12 | PASS |
+| AC-5 — self-hosting безопасность, нулевая регрессия enduro, зелёный регресс | TC-06, TC-07, TC-08 + 1507 passed | PASS |
+| AC-6 — инварианты конвейера (STAGE_TRANSITIONS/QG_CHECKS/check_*/machine-key/схема БД) | полный регресс зелёный, guard-тесты пройдены | PASS |
+| AC-7 — документированная процедура нормализации (INFRA.md + ADR) | проверено reviewer (12-review.md), вне scope pytest | PASS (док.) |
+
+## Вывод pytest
+```
+============================= test session starts ==============================
+platform linux -- Python 3.12.13, pytest-8.3.3, pluggy-1.6.0
+rootdir: /repos/_wt/orchestrator/feature_ORCH-057-bug-follow-up-orch-040-normali
+plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8
+collected 25 items  (профильные сюиты)
+... 25 passed, 1 warning in 2.19s
+
+Полный регресс:
+1507 passed, 1 warning in 52.22s
+```
+
+## Итог
+**PASS** — все 12 TC выполнены и сопоставлены с тест-планом и критериями приёмки; профильные
+сюиты 25 passed; полный регресс 1507 passed; smoke (`/health`, `/status`, `/queue` c блоками
+`serial_gate` + `auto_labels`) — зелёный. Задача переходит на `deploy-staging`.

docs/work-items/ORCH-057/15-staging-log.md

@@ -0,0 +1,33 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-057
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+timestamp: 2026-06-10T00:02:11Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. `SUCCESS` → дальше; `FAILED` → откат.
+
+Staging test suite завершён против живого стенда `orchestrator-staging` (8501). Запуск канонический —
+`docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub`
+(ORCH-048, ADR-001). Скрипт завершился с **exit code 0** → `staging_status: SUCCESS`.
+
+Итог: **8/10 checks PASS**. Все REAL-проверки зелёные; два FAIL — известные sandbox-infra-проверки
+(C9a/C9b), waived согласно ORCH-061 (зависят от членства SANDBOX bot-аккаунтов в проекте, не от
+конвейера). Exit-code → вердикт не меняется: trust the exit code, REAL failed = none.
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Results
+- **Block A (SMOKE)**: PASS — A1 `/health` → 200 `status=ok`; A2 `/queue` → 200 с counts/max_concurrency/resilience; A3 `ORCH_STAGING=true` (не прод).
+- **Block B (ACCESS)**: PASS — B4 Plane sandbox доступен (5 projects, sandbox=YES); B5 Gitea `orchestrator-sandbox` доступен, push=true; B6 Registry изолирован (sandbox present, prod ET/ORCH absent).
+- **Block C (E2E, mode=stub)**: C7 создать issue в Plane SANDBOX → PASS; C8 триггер конвейера `/webhook/plane` → PASS; C9a (branch в sandbox) и C9b (analyst job в очереди) → FAIL, **INFRA-WAIVED** (sandbox bot-accounts не члены проекта). Cleanup: Plane issue удалён (HTTP 204).
+
+REAL failed: none.

docs/work-items/ORCH-062/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: INFRA: авто-prune docker build cache на mva154 (диск забивается)
+
+Work Item ID: ORCH-062
+
+## Description
+
+TBD

docs/work-items/ORCH-062/01-brd.md

@@ -0,0 +1,145 @@
+---
+work_item: ORCH-062
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-062 — INFRA: авто-prune docker build cache на mva154
+
+Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+**Установленный факт (инцидент 07.06.2026).** Хост-диск mva154 тихо дорос до 100% и положил
+**весь конвейер всех проектов** (один прод-инстанс `orchestrator` на общей БД/очереди обслуживает
+и `enduro-trails`, и `orchestrator`). Доминирующий «пожиратель» в этом инциденте — **docker build
+cache**: частые пересборки образа (`docker compose up -d --build` при прод-деплое, пересборки
+staging-образа `--profile staging` и `check_staging_image_fresh` ORCH-058) накапливают слои build
+cache, который дорос до **≈11 ГБ**. Заполнение диска положило **CI + Gitea** и остановило приём
+вебхуков/обработку очереди.
+
+**Что уже сделано (ORCH-063, не дублировать).** Введён фоновый daemon `src/disk_watchdog.py`,
+который **только сигнализирует** (Telegram-алерт при заполнении ≥85%). В ADR/INFRA ORCH-063 явно
+зафиксировано: *«watchdog только сигнализирует — он не трогает диск/контейнер … Авто-очистка — вне
+объёма ORCH-063 (отдельная задача)»*. **ORCH-062 — и есть эта отдельная задача:** автоматическое
+освобождение места за счёт build cache, чтобы инцидент 07.06 не повторялся и не требовал ручного
+вмешательства оператора.
+
+**Приоритет:** P1 (риск повторной полной остановки конвейера всех проектов).
+
+## 2. Объём (scope)
+
+### В объёме
+- Автоматическое периодическое освобождение **docker build cache** на хосте mva154, чтобы он не
+  мог бесконтрольно дорасти до заполнения диска.
+- Удержание «тёплого» недавнего кэша (политика хранения по возрасту, ориентир из запроса —
+  `until=24h`), чтобы не убивать скорость штатных пересборок.
+- Наблюдаемость результата авто-prune для оператора (когда последний раз отработал, сколько
+  освобождено / текущий объём build cache).
+- Обратимость: kill-switch и конфигурируемость периода/порога/политики хранения.
+- Документирование операционной процедуры в `docs/operations/INFRA.md` (и инфра-требований в
+  `07-infra-requirements.md` — заполняет архитектор).
+
+### Вне объёма
+- **Очистка прочих «пожирателей» диска** (старые worktree-каталоги `/home/slin/repos/_wt/*`
+  завершённых задач, логи, dangling-образы `docker image prune`) — это **ручная** операция
+  оператора по ORCH-063; авто-уборка этих категорий — отдельные задачи, здесь НЕ делается.
+- **Изменение поведения disk-watchdog** (`src/disk_watchdog.py`, пороги/алерты ORCH-063) — не
+  трогаем; ORCH-062 ортогонален и комплементарен (watchdog сигналит, pruner убирает).
+- **Любое управление конвейером / стадиями / Quality Gates.** Авто-prune — операционная фоновая
+  задача, НЕ элемент `STAGE_TRANSITIONS` / `QG_CHECKS` (ровно как watchdog/reconciler/job_reaper).
+- **Перезапуск/рестарт прод-контейнера** `orchestrator` ради уборки — категорически вне объёма
+  (self-hosting групповой риск).
+- Выбор между конкретными механизмами реализации (heartbeat-демон в приложении vs host
+  `daemon.json builder.gc` vs host-cron) — это **архитектурное решение** (06-adr), не предмет BRD.
+
+## 3. Заинтересованные стороны
+
+- **Owner / оператор (slin, homenet542@gmail.com)** — заказчик, принимает результат, владеет
+  хостом mva154 и его host-prerequisites.
+- **Все прод-проекты** (`enduro-trails`, `orchestrator`) — косвенно затронуты: общий инстанс,
+  общий диск; падение диска = простой всех.
+- **Self-hosting контур** — изменение касается инструмента, который работает в проде и обслуживает
+  другие проекты; безопасность изменения критична.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1 (авто-освобождение)** — docker build cache очищается **автоматически, периодически, без
+  ручного вмешательства** оператора, так что он не может бесконтрольно заполнить диск (устранение
+  корня инцидента 07.06).
+- **BR-2 (удержание тёплого кэша)** — очистка удаляет преимущественно **старый** build cache
+  (политика по возрасту, ориентир `until=24h`); свежий кэш недавних сборок сохраняется, чтобы
+  штатные пересборки не теряли скорость без необходимости.
+- **BR-3 (self-hosting безопасность)** — операция уборки **никогда не нарушает работу запущенных
+  контейнеров и не удаляет образы/слои, используемые работающими прод-контейнерами**, и **никогда
+  не рестартит/не роняет прод**. Затрагивается **только build cache** (`docker builder prune`), не
+  образы запущенных сервисов.
+- **BR-4 (наблюдаемость)** — оператор может увидеть состояние авто-prune: включён ли, когда
+  последний раз отработал, объём/освобождено (через тот же канал наблюдаемости, что у фоновых
+  демонов — блок в `GET /queue`, и/или Telegram при значимом освобождении).
+- **BR-5 (обратимость)** — поведение управляется **kill-switch**: выключение возвращает систему к
+  поведению «как сейчас» 1:1 (никакой авто-уборки), как у `ORCH_DISK_MONITOR_ENABLED` /
+  `ORCH_RECONCILE_ENABLED`.
+- **BR-6 (конфигурируемость)** — период, порог запуска и политика хранения (возраст/объём
+  удержания) задаются конфигом (env), с безопасными дефолтами; невалидные значения деградируют на
+  дефолт (как валидаторы ORCH-063).
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 (never-raise)** — фоновая уборка не должна ронять процесс/конвейер ни на одном уровне:
+  ошибка docker-команды / недоступность docker.sock / таймаут логируются и проглатываются (как
+  per-tick/per-send never-raise в `disk_watchdog.py`).
+- **NFR-2 (изоляция от Quality Gate)** — `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / схема БД
+  **не изменяются**; авто-prune — операционный демон/процедура, не гейт.
+- **NFR-3 (нулевая регрессия при выключении)** — при выключенном kill-switch поведение байт-в-байт
+  как до задачи; никакого фонового потока/процедуры не стартует.
+- **NFR-4 (низкий оверхед)** — частота уборки — порядка часов; сама команда `docker builder prune`
+  дешева и не должна влиять на латентность конвейера; уборка не должна конкурировать за ресурсы с
+  активными сборками сверх необходимого.
+- **NFR-5 (best-effort состояние)** — учёт «когда убирали в последний раз» может быть in-memory /
+  best-effort (как анти-спам watchdog'а): сброс при рестарте безопасен (приведёт максимум к одной
+  лишней безопасной уборке), без новой миграции БД.
+- **NFR-6 (документируемость)** — операционная процедура, env-переменные и поведение при сбое
+  зафиксированы в `docs/operations/INFRA.md` и `.env.example` в том же PR (golden source = код+доки).
+
+## 6. Допущения и ограничения
+
+- **A-1.** У контейнера `orchestrator` есть доступ к `/var/run/docker.sock` (через `group_add:
+  ["999"]`, gid docker — НЕ удалять, ORCH-040), что технически позволяет приложению вызывать
+  `docker builder prune`. Это **не предрешает** выбор реализации (демон в приложении vs host-уровень).
+- **A-2.** `docker builder prune` по контракту docker затрагивает **только build cache**, не
+  останавливает контейнеры и не удаляет образы запущенных сервисов — это основа безопасности BR-3.
+- **A-3.** Доминирующий «пожиратель» в инциденте — именно build cache (≈11 ГБ); прочие категории
+  (worktree/логи/dangling-образы) адресуются отдельно (см. Вне объёма).
+- **A-4.** Хост — mva154 (`network_mode: host`), uid рантайма 1000:1000; любые host-prerequisites
+  (например, права на docker.sock, настройка `daemon.json` если выбран этот путь) — процедура
+  Owner, в git не коммитятся (по аналогии с P-1…P-4 в INFRA.md).
+- **Ограничение C-1.** Нельзя рестартить docker daemon в рабочее время без окна тишины, если
+  выбранный архитектором путь (`daemon.json builder.gc`) требует перезапуска демона — это решает и
+  планирует архитектор/Owner (вне объёма кода).
+
+## 7. Критерии успеха
+
+- Build cache на mva154 удерживается в безопасных пределах **автоматически**: после внедрения
+  повторение сценария 07.06 (build cache → 11 ГБ → диск 100%) предотвращается без ручных действий.
+- Свежие сборки не теряют скорость без необходимости (тёплый кэш ≤ политики хранения сохраняется).
+- Запущенные прод-контейнеры и обслуживание `enduro-trails` не затронуты; прод не рестартился.
+- Оператор видит состояние авто-prune и может его выключить одним флагом.
+- Детальные PASS/FAIL — в `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+Краткий перечень (детальная проработка — `10-tech-risks.md`, заполняет архитектор):
+- **R-1.** Слишком агрессивная политика (`-a` без возрастного фильтра / малый `until`) убивает
+  тёплый кэш → каждая сборка «холодная» и медленная. Митигирует BR-2 (удержание по возрасту).
+- **R-2.** Гонка уборки с активной сборкой staging/прод-образа (`check_staging_image_fresh`,
+  build-once retag) → теоретически удаление кэша во время сборки. `docker builder prune` штатно не
+  трогает кэш, занятый активной сборкой, но политику/таймиг проверить (адресует архитектор).
+- **R-3.** Реализация через host-`daemon.json` требует рестарта docker daemon → риск для
+  self-hosting; реализация через демон в приложении требует доступа к docker.sock и устойчивости к
+  его недоступности.
+- **R-4.** Ошибочное расширение скоупа на `docker image prune` / `system prune` → удаление образов
+  запущенных контейнеров. Жёстко исключено BR-3 (только build cache).

docs/work-items/ORCH-062/02-trz.md

@@ -0,0 +1,139 @@
+---
+work_item: ORCH-062
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-062 — INFRA: авто-prune docker build cache на mva154
+
+Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **требуемое поведение и точки изменения**, выведенные из BRD и фактического кода.
+> **Выбор механизма реализации — за архитектором (`06-adr`).** Запрещено комментировать ТЗ задним
+> числом: если требование не годится — вернуть в Анализ.
+
+## 1. Сводка изменения
+
+Ввести **автоматическое периодическое освобождение docker build cache** на хосте mva154, чтобы
+build cache не мог дорасти до заполнения диска (корень инцидента 07.06.2026, ≈11 ГБ → диск 100% →
+падение CI+Gitea+конвейера всех проектов). Это комплемент к disk-watchdog (ORCH-063, «только
+сигнал»): watchdog предупреждает, **pruner убирает**. Требование — безопасно для self-hosting
+(только build cache, без рестарта прода, never-raise), обратимо (kill-switch), наблюдаемо (`GET
+/queue`) и конфигурируемо.
+
+**Развилка реализации (решает архитектор, фиксируется в `06-adr` + `07-infra-requirements.md`):**
+- **Вариант A — heartbeat-демон в приложении:** новый leaf-модуль, фоновый
+  `threading.Thread(daemon=True)`, моделируемый **1:1 на `src/disk_watchdog.py`**
+  (`start()/stop()/status()`, `threading.Event`, per-tick never-raise, kill-switch, блок в `GET
+  /queue`), который периодически вызывает `docker builder prune` через docker.sock.
+- **Вариант B — host-уровень `daemon.json builder.gc.defaultKeepStorage`:** конфигурация
+  garbage-collection BuildKit на хосте (инфра-процедура Owner, без кода приложения).
+- **Вариант C — host-cron** `docker builder prune -af --filter until=24h` (инфра-процедура Owner).
+
+ТЗ ниже формулирует требования **инвариантно к выбору**; колонка «применимость» в §2 помечает, что
+именно затрагивается при code-пути (Вариант A). Если архитектор выбирает чистый инфра-путь (B/C),
+изменения `src/**` не требуются, а предметом становятся `07-infra-requirements.md` + INFRA.md +
+host-процедура (см. §7, §5 теста).
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие | Применимость |
+|------|----------|--------------|
+| `src/build_cache_pruner.py` (новый leaf) | создать: фоновый демон-pruner по образцу `src/disk_watchdog.py` | Вариант A |
+| `src/config.py` | добавить флаги kill-switch/период/политика хранения (блок рядом с `disk_monitor_*`, строки ~392–442) + валидаторы | Вариант A (часть флагов — и для B/C как декларация) |
+| `src/main.py` | в `lifespan` — `start()`/`stop()` нового демона рядом с `disk_watchdog.start()/stop()` (строки ~113–120); в `GET /queue` — блок наблюдаемости рядом с `"disk_monitor": disk_watchdog.status()` (строка ~186) | Вариант A |
+| `.env.example` | задокументировать новые env-переменные (канон) | A / B / C (декларация) |
+| `docs/operations/INFRA.md` | секция «авто-prune build cache» + переменные в карте env; уточнить, что освобождение build cache теперь автоматизировано (ORCH-063 говорил «ручная операция») | A / B / C (обязательно) |
+| `docs/work-items/ORCH-062/06-adr/ADR-001-*.md` | решение по выбору механизма + параметрам (архитектор) | A / B / C |
+| `docs/work-items/ORCH-062/07-infra-requirements.md` | host-prerequisites/процедура (docker.sock / daemon.json / cron) (архитектор) | A / B / C |
+| `tests/test_build_cache_pruner.py` (новый) | unit/integration по `04-test-plan.yaml` | Вариант A |
+| `CHANGELOG.md` | запись в `## [Unreleased]` | A / B / C |
+
+> Модуль-pruner должен быть **leaf** (как `disk_watchdog.py`, `serial_gate.py`, `task_deps.py`):
+> без обратных зависимостей на `stage_engine`/`stages`/`qg`, чтобы не задевать конвейер.
+
+## 3. Функциональные требования
+
+### FR-1 — периодическая авто-уборка build cache (BR-1)
+Build cache очищается автоматически по расписанию/периодически без участия оператора. Для code-пути
+(A): фоновый поток с периодом `prune_interval_s` (порядка часов) вызывает уборку каждый тик. Для
+инфра-пути (B/C): garbage-collection BuildKit / cron обеспечивают эквивалентную периодичность.
+Привязка: BR-1.
+
+### FR-2 — политика удержания тёплого кэша (BR-2)
+Уборка по умолчанию удаляет **старый** build cache, удерживая свежий. Ориентир из бизнес-запроса —
+возрастной фильтр `--filter until=24h` (для пути A: команда вида `docker builder prune -f --filter
+until=<retention>`), либо порог объёма `builder.gc.defaultKeepStorage` (для пути B). Параметры
+удержания конфигурируемы (см. §ниже). Флаг `-a/--all` применять **только** в сочетании с возрастным
+фильтром/политикой удержания, не как «снести весь кэш». Привязка: BR-2.
+
+### FR-3 — self-hosting-безопасность операции (BR-3, NFR-2)
+- Уборка затрагивает **исключительно build cache** — команда строго `docker builder prune`
+  (BuildKit GC). **Запрещены** `docker image prune`, `docker system prune`, любое удаление образов
+  запущенных сервисов и любая остановка/рестарт контейнеров.
+- Операция **никогда не рестартит и не роняет прод-контейнер** `orchestrator` (групповой риск
+  self-hosting).
+- Для пути A: вызов docker — неблокирующий конвейер, с таймаутом; недоступность docker.sock →
+  пропуск тика (never-raise).
+- Привязка: BR-3, NFR-1, NFR-2.
+
+### FR-4 — наблюдаемость (BR-4)
+Состояние авто-prune доступно оператору. Для пути A — блок в `GET /queue` (как `disk_monitor`):
+`enabled`, `interval_s`, `retention`, `last_run_ts`, и (best-effort) результат последней уборки
+(освобождено байт / текущий объём build cache, если доступно из `docker builder prune`/`du`).
+Опционально — Telegram-сообщение при значимом освобождении (как recovery-сообщение watchdog'а).
+Для пути B/C — наблюдаемость через хост (`docker system df`), описанная в INFRA.md. Привязка: BR-4.
+
+### FR-5 — kill-switch + конфигурируемость (BR-5, BR-6, NFR-3)
+- `*_enabled` (kill-switch, дефолт безопасный): выключено → демон не стартует (путь A) / процедура
+  неактивна; поведение 1:1 как до задачи (NFR-3).
+- Конфигурируемые: период (`*_interval_s`), политика удержания (возраст `until` и/или объём
+  `keep_storage`), опц. порог запуска. Невалидные значения → лог-warning + дефолт (как валидаторы
+  `disk_monitor_interval_s`/`disk_monitor_threshold_pct` в `config.py`).
+- Область раската — безопасная: операция привязана к хосту mva154; не вводит per-repo гейтов.
+- Привязка: BR-5, BR-6.
+
+### FR-6 — never-raise на всех уровнях (NFR-1)
+Любая ошибка (subprocess-сбой, ненулевой rc, таймаут, недоступность docker.sock, parsing-ошибка
+вывода) логируется и проглатывается; фоновый цикл/процедура продолжает жить и не влияет на
+конвейер. Для пути A — `try/except` per-tick и per-команда, как `_run`/`tick`/`_send` в
+`disk_watchdog.py`. Привязка: NFR-1, NFR-5.
+
+## 4. Изменения API
+
+**Внешних HTTP-эндпоинтов оркестратора (`src/main.py`) НЕ добавлять и не менять контрактно.**
+Допустимо (путь A): `GET /queue` дополнить **read-only** блоком `build_cache_pruner`/аналогичным
+ключом (наблюдаемость, не источник истины) — по образцу блока `disk_monitor`. Внутренний контракт
+нового модуля (путь A) — `start()` / `stop(timeout)` / `status() -> dict`, 1:1 как `DiskWatchdog`.
+
+## 5. Изменения схемы БД
+
+**Нет.** Схема БД (`src/db.py`) не трогается. Учёт «времени последней уборки» — in-memory /
+best-effort (NFR-5), новой миграции не требуется (как анти-спам-состояние disk-watchdog).
+
+## 6. Требования к новым/изменённым QG checks
+
+**Нет.** `QG_CHECKS` / `check_*` / `_parse_*` / `STAGE_TRANSITIONS` / `src/stage_engine.py` **не
+изменяются**. Авто-prune — операционный фоновый демон/процедура (категория `reconciler` /
+`job_reaper` / `disk_watchdog`), **не** элемент реестра Quality Gate.
+
+## 7. Совместимость / регресс · артефакты pipeline
+
+- **Обратная совместимость / обратимость:** kill-switch (FR-5) выключает фичу в 1:1-исходное
+  состояние; никаких изменений поведения для `enduro-trails` и для конвейера (демон ортогонален).
+- **Область раската:** только хост mva154 / self-hosting инстанс; фича не вводит per-repo гейтов и
+  не меняет рёбер конвейера.
+- **Артефакты pipeline, которые должны быть созданы/обновлены:**
+  - `06-adr/ADR-001-*.md` — выбор механизма (A/B/C) + параметры удержания/периода (архитектор).
+  - `07-infra-requirements.md` — host-процедура: доступ к docker.sock (A) / правка `daemon.json` +
+    окно рестарта docker daemon (B) / cron-юнит (C) (архитектор).
+  - `10-tech-risks.md` — детализация R-1…R-4 из BRD (архитектор).
+  - `docs/operations/INFRA.md` — секция авто-prune + карта env; снять формулировку ORCH-063
+    «освобождение места — ручная операция» в части build cache.
+  - `.env.example` — новые переменные.
+  - `CHANGELOG.md` — `## [Unreleased]`.
+  - `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md` — по ходу конвейера.
+  - `tests/` — реализовать тесты из `04-test-plan.yaml` (путь A).

docs/work-items/ORCH-062/03-acceptance-criteria.md

@@ -0,0 +1,129 @@
+---
+work_item: ORCH-062
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-062 — авто-prune docker build cache на mva154
+
+Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
+считается провалом). Reviewer/tester проверяют их буквально по файлам репозитория и поведению.
+
+> Критерии сформулированы инвариантно к выбору механизма (heartbeat-демон A / `daemon.json` B /
+> cron C). Где критерий специфичен пути A (код), это помечено; при выборе B/C его проверяет
+> эквивалент на хосте, задокументированный в `07-infra-requirements.md` / INFRA.md.
+
+---
+
+## AC-1 — Авто-уборка build cache выполняется без оператора
+
+**Условие:** build cache очищается автоматически и периодически (BR-1/FR-1).
+- **PASS:** существует автоматический механизм (демон-тик пути A / BuildKit GC пути B / cron пути C),
+  который без ручного вмешательства запускает уборку build cache с настроенным периодом; механизм
+  описан в `06-adr` и INFRA.md.
+- **FAIL:** уборка возможна только ручным запуском оператором; либо механизм не описан/не внедрён.
+
+---
+
+## AC-2 — Удерживается тёплый недавний кэш
+
+**Условие:** очистка по умолчанию удаляет старый кэш, сохраняя свежий (BR-2/FR-2).
+- **PASS:** команда/политика по умолчанию несёт возрастной фильтр (ориентир `until=24h`) или порог
+  объёма (`builder.gc.defaultKeepStorage`); `-a/--all` (если используется) применяется только в
+  паре с фильтром удержания. Параметр удержания конфигурируем.
+- **FAIL:** дефолт безусловно сносит весь build cache (например, `docker builder prune -af` без
+  возрастного фильтра/порога), убивая тёплый кэш каждой сборки.
+
+---
+
+## AC-3 — Self-hosting безопасность: только build cache, без рестарта прода
+
+**Условие:** операция затрагивает только build cache и не нарушает работу контейнеров (BR-3/FR-3).
+- **PASS:** используется строго `docker builder prune` (BuildKit GC); в коде/процедуре **нет**
+  `docker image prune`, `docker system prune`, остановки/рестарта контейнеров или прод-деплоя;
+  обслуживание `enduro-trails` и прод-контейнер `orchestrator` не затрагиваются.
+- **FAIL:** найдено любое удаление образов запущенных сервисов / `system prune` / любая
+  остановка/рестарт прод-контейнера в рамках уборки.
+
+---
+
+## AC-4 — never-raise: уборка не роняет конвейер
+
+**Условие:** ошибки уборки изолированы (NFR-1/FR-6).
+- **PASS:** сбой docker-команды, ненулевой rc, таймаут или недоступность docker.sock логируются и
+  проглатываются; фоновый цикл/процедура продолжает работу; конвейер не падает. (Путь A:
+  per-tick/per-команда `try/except`, как `disk_watchdog._run`/`tick`.)
+- **FAIL:** ошибка уборки всплывает в процесс/останавливает фоновый цикл/влияет на обработку очереди.
+
+---
+
+## AC-5 — kill-switch отключает фичу в исходное состояние
+
+**Условие:** обратимость одним флагом (BR-5/FR-5/NFR-3).
+- **PASS:** при выключенном `*_enabled` демон не стартует (путь A) / процедура неактивна; поведение
+  системы 1:1 как до задачи; (путь A) `GET /queue` показывает `enabled=false`. Флаг задокументирован
+  в `.env.example` и INFRA.md.
+- **FAIL:** фича работает при выключенном флаге, либо kill-switch отсутствует/не документирован.
+
+---
+
+## AC-6 — Конфигурируемость с безопасными дефолтами
+
+**Условие:** период/политика удержания настраиваемы, невалид деградирует на дефолт (BR-6/FR-5).
+- **PASS:** период (`*_interval_s`) и политика удержания (возраст/объём) читаются из env с
+  безопасными дефолтами; невалидное значение → лог-warning + дефолт (как валидаторы
+  `disk_monitor_*` в `src/config.py`).
+- **FAIL:** параметры захардкожены без возможности конфигурации, либо невалидное значение роняет
+  старт/процедуру.
+
+---
+
+## AC-7 — Наблюдаемость состояния авто-prune
+
+**Условие:** оператор видит состояние уборки (BR-4/FR-4).
+- **PASS:** (путь A) `GET /queue` содержит read-only блок авто-prune (`enabled`, `interval_s`,
+  `retention`, `last_run_ts`, best-effort результат последней уборки); `status()` never-raise.
+  (Путь B/C) способ наблюдения (`docker system df`) описан в INFRA.md.
+- **FAIL:** состояние авто-prune нигде не наблюдаемо.
+
+---
+
+## AC-8 — Изоляция от Quality Gate и схемы БД
+
+**Условие:** конвейер и гейты не затронуты (NFR-2/FR §5,§6).
+- **PASS:** `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, `_parse_*`, `src/stage_engine.py` и схема
+  БД (`src/db.py`) — без изменений; новый модуль (путь A) — leaf без зависимостей на конвейер.
+- **FAIL:** изменён любой элемент реестра гейтов / переходов стадий / схемы БД, либо введена новая
+  миграция ради учёта уборки.
+
+---
+
+## AC-9 — Документация и регресс
+
+**Условие:** golden source обновлён, полный регресс зелёный (NFR-6).
+- **PASS:** `docs/operations/INFRA.md` обновлён (секция авто-prune + env-карта; снята формулировка
+  ORCH-063 «освобождение build cache — ручная операция»); `.env.example` несёт новые ключи;
+  `CHANGELOG.md` имеет запись Unreleased; `06-adr/ADR-001-*.md` и `07-infra-requirements.md`
+  заполнены; `pytest tests/ -q` зелёный.
+- **FAIL:** функционал изменён, но INFRA.md/.env.example/CHANGELOG/ADR не обновлены; либо регресс
+  `tests/` красный.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1 |
+| AC-2 | BR-2 / FR-2 |
+| AC-3 | BR-3 / FR-3 / NFR-2 |
+| AC-4 | NFR-1 / FR-6 |
+| AC-5 | BR-5 / FR-5 / NFR-3 |
+| AC-6 | BR-6 / FR-5 |
+| AC-7 | BR-4 / FR-4 |
+| AC-8 | NFR-2 / FR-5 / FR-6 (TRZ §5,§6) |
+| AC-9 | NFR-6 |

docs/work-items/ORCH-062/04-test-plan.yaml

@@ -0,0 +1,95 @@
+work_item: ORCH-062
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+title: "Авто-prune docker build cache на mva154 — план тестов"
+framework: pytest
+scope: >
+  Покрывает code-путь (Вариант A — heartbeat-демон src/build_cache_pruner.py по образцу
+  src/disk_watchdog.py): чистая decision-логика (надо ли убирать на этом тике), построение
+  безопасной docker-команды с политикой удержания, never-raise на ошибках subprocess/таймаут/
+  недоступность docker.sock, kill-switch (демон не стартует), наблюдаемость status()/GET /queue,
+  интеграция в lifespan. ВНЕ покрытия pytest: реальный вызов docker (subprocess мокается — тесты
+  не должны трогать настоящий docker daemon), реальное освобождение диска. Если архитектор выберет
+  чистый инфра-путь (B daemon.json / C cron) без кода src/**, применимые TC сводятся к ручной
+  host-верификации, описанной в 07-infra-requirements.md / INFRA.md (см. TC-10).
+notes: >
+  docker-вызовы изолируются моками (monkeypatch subprocess.run / docker-клиента) — НИ ОДИН тест не
+  выполняет настоящий `docker builder prune`. Время/период инъектируются (now_provider), как в
+  тестах disk_watchdog. Полный регресс `pytest tests/ -q` остаётся зелёным; STAGE_TRANSITIONS /
+  QG_CHECKS / схема БД не затрагиваются — отдельных гейт-тестов фича не добавляет.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "decide-функция: при включённом pruner и истёкшем периоде с прошлой уборки решение = PRUNE"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "decide-функция: период с прошлой уборки не истёк → решение = SKIP (анти-частота, NFR-4)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "Построение docker-команды несёт возрастной фильтр удержания (until=<retention>) и НЕ содержит image/system prune (FR-2/FR-3/AC-2/AC-3)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "never-raise: subprocess бросает исключение / возвращает ненулевой rc → тик не падает, ошибка залогирована (FR-6/AC-4)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "never-raise: недоступность docker.sock (FileNotFoundError/PermissionError) → тик пропускается, цикл жив (FR-6/AC-4)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "never-raise: таймаут docker-команды (TimeoutExpired) проглатывается, фоновый цикл продолжает работу (FR-6/AC-4)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "kill-switch: при *_enabled=False start() — no-op, фоновый поток не стартует (FR-5/AC-5/NFR-3)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "config: невалидный *_interval_s / retention → лог-warning + безопасный дефолт, старт не падает (FR-5/AC-6)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "status() never-raise и содержит enabled/interval_s/retention/last_run_ts + best-effort результат последней уборки (FR-4/AC-7)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-10
+    type: unit
+    description: "Изоляция от Quality Gate: модуль-pruner — leaf, не импортирует stage_engine/stages/qg; STAGE_TRANSITIONS и QG_CHECKS не изменены (NFR-2/AC-8)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-11
+    type: integration
+    description: "lifespan: при включённом флаге демон стартует в app-lifespan и корректно останавливается на shutdown (рядом с disk_watchdog), docker замокан (FR-1/AC-1)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS
+
+  - id: TC-12
+    type: integration
+    description: "GET /queue содержит read-only блок авто-prune с состоянием (enabled/interval_s/retention/last_run_ts); при выключенном флаге enabled=false (FR-4/AC-5/AC-7)"
+    module: tests/test_build_cache_pruner.py
+    expected: PASS

docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md

@@ -0,0 +1,206 @@
+---
+work_item: ORCH-062
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Авто-prune docker build cache — фоновый heartbeat-демон, выполняющий `docker builder prune` на хосте через ssh
+
+Work Item: **ORCH-062** — INFRA: авто-prune docker build cache на mva154
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0025-build-cache-pruner.md`** (кросс-каттинг —
+вводит новый фоновый компонент в ряду `reconciler`/`job_reaper`/`disk_watchdog`).
+
+## Статус
+Proposed
+
+## Контекст
+
+07.06.2026 хост-диск mva154 тихо дорос до 100% и положил **весь self-hosting-конвейер всех
+проектов** (один прод-инстанс `orchestrator` на общей БД/очереди обслуживает и `enduro-trails`, и
+`orchestrator`). Доминирующий «пожиратель» — **docker build cache** (≈11 ГБ), накопленный частыми
+пересборками (`docker compose up -d --build` при прод-деплое; пересборка staging-образа
+`--profile staging`; build-once retag за `check_staging_image_fresh`, ORCH-058). ORCH-063 ввёл
+disk-watchdog, который **только сигнализирует** (Telegram-алерт ≥85%) и явно отложил авто-очистку в
+отдельную задачу. **ORCH-062 — эта задача.**
+
+BRD/ТЗ ставят развилку реализации (`06-adr` решает):
+- **A** — heartbeat-демон в приложении (`src/build_cache_pruner.py`), 1:1 на `src/disk_watchdog.py`.
+- **B** — host `daemon.json builder.gc.defaultKeepStorage` (BuildKit GC, инфра-процедура Owner).
+- **C** — host-cron `docker builder prune -af --filter until=24h` (инфра-процедура Owner).
+
+**Факты, сверенные с кодом (важно для выбора):**
+- **Контейнер `orchestrator` НЕ содержит `docker` CLI.** `Dockerfile:11` ставит только
+  `openssh-client git curl ca-certificates`. `src/image_freshness.py::image_revision` прямо
+  фиксирует: *«`docker` lives on the HOST (the container ships only `openssh-client git`), so when
+  `ssh_target` is given the inspect runs over ssh»*. → Любая docker-операция приложения над хостом
+  идёт **через ssh на хост** (`ssh deploy_ssh_user@deploy_ssh_host docker …`), как уже делают
+  `image_freshness` и `self_deploy` (Phase B). Допущение BRD A-1 («docker.sock смонтирован →
+  приложение может вызвать `docker builder prune`») верно на уровне сокета, но **не** даёт готового
+  CLI; raw-HTTP-over-UDS — лишний код против существующего ssh-канала.
+- В оркестраторе уже три проверенных фоновых daemon-потока с единым каркасом
+  (`threading.Thread(daemon=True)` + `threading.Event`, `start()/stop(timeout)/status()`,
+  per-tick never-raise, kill-switch, снимок в `GET /queue`): `reconciler` (ORCH-053),
+  `job_reaper` (ORCH-065), `disk_watchdog` (ORCH-063, `src/disk_watchdog.py`).
+- ssh-канал на хост сконфигурирован и доступен: `settings.deploy_ssh_user` (дефолт `slin`),
+  `settings.deploy_ssh_host`; ключи проброшены ro (`~/.orchestrator-ssh → /home/slin/.ssh`,
+  ORCH-040); `slin` — в группе docker (деплой-хук запускает `docker compose` на хосте).
+- `docker builder prune` по контракту BuildKit затрагивает **только build cache**, не
+  останавливает контейнеры и не удаляет образы запущенных сервисов (основа BR-3).
+
+## Решение
+
+### Сводка
+
+Выбран **Вариант A — фоновый heartbeat-демон `src/build_cache_pruner.py`**, смоделированный
+**1:1 на `src/disk_watchdog.py`** (тот же каркас, контракт, kill-switch, never-raise, блок в
+`GET /queue`), который **периодически выполняет `docker builder prune` на ХОСТЕ через ssh** —
+тем же каналом `deploy_ssh_user@deploy_ssh_host`, что уже используют `image_freshness` и
+`self_deploy`. Это «вторая половина» disk-watchdog: **watchdog сигналит — pruner убирает**.
+
+Варианты B и C отклонены (см. «Альтернативы»). Вариант C сохраняется как
+**задокументированный ручной fallback** в `07-infra-requirements.md` на случай, если ssh-канал
+недоступен.
+
+### D1 — Механизм: фоновый демон приложения (A), не host-инфра (B/C) — BR-1/FR-1
+
+Новый **leaf**-модуль `src/build_cache_pruner.py` (без обратных зависимостей на
+`stage_engine`/`stages`/`qg`, как `disk_watchdog`/`serial_gate`/`task_deps`). Класс
+`BuildCachePruner` с каркасом `disk_watchdog`: daemon-поток, чистый стоп через
+`_stop.wait(interval)`, контракт `start()/stop(timeout)/status()`, модульный singleton
+`build_cache_pruner`. Каждые `build_cache_prune_interval_s` (дефолт **21600с = 6ч**, NFR-4
+«порядка часов») один тик выполняет уборку. Выбор A над B/C даёт: наблюдаемость в `GET /queue`,
+kill-switch из конфига, golden-source-в-git, юнит-тесты, и **симметрию с disk-watchdog** (один
+паттерн на два смежных эксплуатационных демона) — это снижает стоимость сопровождения и
+когнитивную нагрузку следующего агента.
+
+### D2 — Команда и политика удержания: строго BuildKit GC с возрастным фильтром — BR-2/BR-3/FR-2/FR-3
+
+- Команда уборки — **строго `docker builder prune -f --filter until=<until>`** (BuildKit GC).
+  Дефолт `until=24h` (`build_cache_prune_until`, ориентир из бизнес-запроса): удаляется build
+  cache **старше 24ч**, свежий тёплый кэш недавних сборок сохраняется (BR-2/AC-2).
+- Флаг `-a/--all` — **только** опционально (`build_cache_prune_all`, дефолт `False`) и **всегда в
+  паре с возрастным фильтром**; «снести весь кэш» (`prune -af` без `until`) запрещён дефолтом.
+- **Жёстко запрещены** `docker image prune`, `docker system prune`, любое удаление образов
+  запущенных сервисов, любая остановка/рестарт контейнеров. Затрагивается **только** build cache
+  (BR-3/AC-3). Уборка **никогда** не рестартит/не роняет прод-контейнер `orchestrator`
+  (групповой риск self-hosting).
+
+### D3 — Канал исполнения: ssh на хост (CLI в контейнере нет) — BR-3/FR-3/NFR-1
+
+- Уборка исполняется на хосте: `ssh -o StrictHostKeyChecking=no <deploy_ssh_user@deploy_ssh_host>
+  "docker builder prune -f --filter until=<until>"`, по образцу `image_freshness.image_revision`
+  (`ssh_target`-ветка). Это где **физически** живёт build cache (host docker daemon).
+- **Нет ssh-таргета (`deploy_ssh_host` пуст) → тик no-op** (лог + `status()` отражает причину).
+  Это естественно **скоупит** фичу на self-hosting-прод (где ssh настроен) и делает дефолт
+  безопасным для любого окружения без host-доступа — параллель тому, как `self_deploy`/
+  `image_freshness` деградируют без `_ssh_target()`.
+- Вызов **bounded** таймаутом (`build_cache_prune_timeout_s`, дефлот 120с) и **неблокирующий**
+  конвейер (отдельный daemon-поток). Любой сбой — ниже D6.
+
+### D4 — Конфиг, kill-switch, дефолты — BR-5/BR-6/FR-5/NFR-3
+
+Новый блок флагов в `src/config.py` рядом с `disk_monitor_*` (env-префикс `ORCH_BUILD_CACHE_PRUNE_*`):
+
+| Поле (`settings.*`) | env | Дефолт | Назначение |
+|---|---|---|---|
+| `build_cache_prune_enabled` | `ORCH_BUILD_CACHE_PRUNE_ENABLED` | `True` | kill-switch; `False` → демон не стартует, поведение 1:1 как до задачи (NFR-3) |
+| `build_cache_prune_interval_s` | `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` | `21600` (6ч) | период тика, сек |
+| `build_cache_prune_until` | `ORCH_BUILD_CACHE_PRUNE_UNTIL` | `24h` | возраст удержания (`--filter until=`) |
+| `build_cache_prune_all` | `ORCH_BUILD_CACHE_PRUNE_ALL` | `False` | добавить `-a` (только в паре с `until`) |
+| `build_cache_prune_timeout_s` | `ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S` | `120` | таймаут ssh-команды, сек |
+| `build_cache_prune_notify_min_gb` | `ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB` | `0` | Telegram при освобождении ≥ N ГБ; `0` → тихо (без нотификаций) |
+
+**Дефолт `enabled=True` (обоснование, не самоочевидно):** (а) бизнес-цель BR-1 — авто-предотвращение
+инцидента *без ручного вмешательства*; дефолт `False` означал бы, что оператор обязан вспомнить и
+включить флаг, что подрывает саму задачу; (б) операция документированно-безопасна (только build
+cache, never images/containers/restart — D2/A-2); (в) при отсутствии ssh-таргета тик no-op (D3) →
+фича безопасна-по-построению в любом окружении без host-доступа; (г) полностью обратима kill-switch.
+Это сознательный, явно зафиксированный компромисс «безопасный дефолт vs авто-цель» в пользу
+авто-цели, при сохранённой обратимости. Параллель: `disk_monitor_enabled` тоже дефолт `True`.
+
+**Валидаторы** (паттерн `_disk_positive_int`/`_disk_threshold_pct` из `config.py`): невалидный
+`interval_s`/`timeout_s` (не-int / ≤0) → лог-warning + дефолт; невалидный `until` (не матчит
+`^\d+[smhdw]?$`) → лог-warning + `24h`. Невалидное значение **никогда** не роняет старт (AC-6).
+
+### D5 — Наблюдаемость — BR-4/FR-4
+
+Аддитивный read-only блок `build_cache_prune` в `GET /queue` (как `disk_monitor`):
+`enabled`, `interval_s`, `until`, `all`, `last_run_ts`, `last_reclaimed` (распарсенное
+`Total reclaimed space: …` из вывода `docker builder prune`, best-effort), `last_error`
+(строка причины последнего сбоя/no-op, или `null`). `status()` — never-raise (минимум
+`{"enabled": …}` при ошибке). Опционально — `send_telegram` при освобождении
+≥ `notify_min_gb` (по образцу recovery-сообщения watchdog'а; дефолт выключено).
+
+### D6 — Инварианты и never-raise — NFR-1/NFR-2/NFR-5/FR-6, AC-4/AC-8
+
+- `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, `_parse_*`, `src/stage_engine.py`, схема БД
+  (`src/db.py`) — **не изменяются**. Pruner — эксплуатационный демон, не Quality Gate (категория
+  `reconciler`/`job_reaper`/`disk_watchdog`).
+- **Без миграции БД**: учёт «когда убирали в последний раз»/последний результат — **in-memory**,
+  best-effort; сброс при рестарте безопасен (максимум одна лишняя безопасная уборка, NFR-5).
+- **never-raise на двух уровнях:** per-команда (ненулевой rc / таймаут / `OSError` /
+  недоступность ssh / parsing-ошибка вывода → лог + проглот, тик жив) и per-tick (внешний
+  `try/except` в `_run`, как `disk_watchdog._run`). Фоновый цикл и конвейер не падают.
+- **Self-hosting:** ssh выполняет `docker builder prune` на хосте под `slin` (в группе docker);
+  команда не трогает образы/контейнеры запущенных сервисов; прод не рестартится. Обслуживание
+  `enduro-trails` в общем инстансе не затронуто.
+
+### D7 — Жизненный цикл (`main.lifespan`)
+
+Старт демона — **последним**, сразу после `disk_watchdog.start()` (строки ~113–114 `main.py`);
+стоп — **первым** в reverse-порядке, перед `disk_watchdog.stop()`. `start()` чтит kill-switch
+(no-op при `enabled=False`), как `DiskWatchdog.start()`.
+
+## Альтернативы
+
+- **Вариант B — host `daemon.json builder.gc.defaultKeepStorage`** — **отвергнуто:** применение
+  конфигурации требует **рестарта docker daemon** на mva154, что останавливает **ВСЕ** контейнеры
+  хоста (прод `orchestrator` + всё остальное) → катастрофический self-hosting blast radius (BRD
+  C-1/R-3). Дополнительно: политика BuildKit GC — по **объёму** (`defaultKeepStorage`), а не по
+  возрасту (BR-2 хочет `until=24h`); состояние не наблюдаемо в `GET /queue` (только хостовый
+  `docker system df`); конфигурация — off-git host-артефакт.
+- **Вариант C — host-cron** `docker builder prune -af --filter until=24h` — **отвергнуто как
+  основное** (сохранено как ручной fallback в `07`): off-git невидимая инфра (следующий
+  оператор/агент её не видит), **нет** наблюдаемости в `GET /queue`, **нет** kill-switch из
+  конфига, **не** покрывается `tests/` — ломает принцип self-contained/reproducible/observable,
+  которому следуют остальные демоны.
+- **A через raw-HTTP по docker.sock (без ssh)** — **отвергнуто:** требует ручного HTTP-over-UDS
+  клиента (chunked-ответы, версионирование API) — лишний код против уже существующего,
+  проверенного ssh-канала `image_freshness`/`self_deploy`.
+- **A через `docker` CLI, вкомпилированный в образ** — **отвергнуто:** раздувает образ и требует
+  пересборки/рестарта прода ради уборки; ssh-канал на хост уже есть и не трогает образ.
+
+## Последствия
+
+- **+** Корень инцидента 07.06 (build cache → 100% диска) устраняется **автоматически**, без
+  ручного вмешательства; тёплый кэш ≤24ч сохранён → штатные пересборки не «холодные».
+- **+** Знакомый паттерн фонового демона (калька `disk_watchdog`) → низкий риск, наблюдаемость в
+  `GET /queue`, обратимость одним флагом, юнит-тестируемость, golden-source-в-git.
+- **+** Без новых внешних зависимостей и без рестарта docker daemon/прода (принцип «всё в Docker
+  на одном сервере, минимум зависимостей»); ssh-канал переиспользован.
+- **−** Зависимость от ssh-доступа на хост (как у `image_freshness`/`self_deploy`); при
+  отсутствии — тик no-op (наблюдаемо в `status().last_error`), фича просто не работает, но ничего
+  не ломает. Митигейшн: документированный host-prerequisite + fallback-cron (`07`).
+- **−** In-memory учёт результата (без миграции) — допустим для эксплуатационного демона (не SLA).
+- **Откат:** `ORCH_BUILD_CACHE_PRUNE_ENABLED=false` → демон не стартует, поведение 1:1 как до
+  задачи; миграций БД нет, удалять нечего.
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-062/01-brd.md`
+- TRZ: `docs/work-items/ORCH-062/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-062/03-acceptance-criteria.md`
+- Инфра-требования: `docs/work-items/ORCH-062/07-infra-requirements.md`
+- Тех-риски: `docs/work-items/ORCH-062/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0025-build-cache-pruner.md`
+- Сверено по коду: `src/disk_watchdog.py` (каркас-образец), `src/image_freshness.py`
+  (`image_revision`/`_ssh_target` — ssh-канал к host docker), `src/config.py`
+  (`disk_monitor_*` + валидаторы, `deploy_ssh_user/host`), `src/main.py`
+  (`lifespan` старт/стоп демонов, `GET /queue`), `Dockerfile:11` (нет docker CLI в образе).
+- Родственные компоненты: `docs/architecture/adr/adr-0024-disk-watchdog.md` (ORCH-063),
+  `adr-0007-reconciler.md`, `adr-0011-job-reaper-lease-reclaim.md`.
+</content>
+</invoke>

docs/work-items/ORCH-062/07-infra-requirements.md

@@ -0,0 +1,76 @@
+---
+work_item: ORCH-062
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 07 — Инфра-требования: ORCH-062 — авто-prune docker build cache на mva154
+
+Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: architecture
+
+> Решение: **Вариант A** (фоновый демон приложения, `docker builder prune` на хосте через ssh) —
+> см. `06-adr/ADR-001-build-cache-pruner.md`. Этот файл фиксирует host-prerequisites выбранного
+> пути и задокументированный ручной fallback (Вариант C, host-cron).
+
+## I-1. Топология / окружения
+
+- Без изменений топологии: **новый внутренний фоновый daemon-поток** в существующем прод-контейнере
+  `orchestrator` (8500), наравне с `reconciler`/`job_reaper`/`disk_watchdog`. Новых контейнеров,
+  портов, сетей, томов — **нет**.
+- Уборка исполняется **на хосте mva154** (host docker daemon — там физически живёт build cache)
+  через уже существующий ssh-канал `deploy_ssh_user@deploy_ssh_host`
+  (по образцу `image_freshness`/`self_deploy` Phase B). В контейнере `docker` CLI **нет**
+  (`Dockerfile:11` — только `openssh-client git curl`), поэтому raw-вызов CLI в контейнере
+  невозможен — только ssh на хост.
+
+## I-2. Переменные окружения / секреты
+
+Новые env (дефолты безопасны; полная карта — `docs/operations/INFRA.md`; канон — `.env.example`):
+
+| env | Дефолт | Назначение |
+|-----|--------|------------|
+| `ORCH_BUILD_CACHE_PRUNE_ENABLED` | `true` | kill-switch; `false` → демон не стартует, 1:1 как до задачи |
+| `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` | `21600` (6ч) | период тика, сек (валидация >0, иначе → дефолт) |
+| `ORCH_BUILD_CACHE_PRUNE_UNTIL` | `24h` | возраст удержания тёплого кэша (`--filter until=`); валидация `^\d+[smhdw]?$`, иначе → `24h` |
+| `ORCH_BUILD_CACHE_PRUNE_ALL` | `false` | добавить `-a` (только в паре с `until`) |
+| `ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S` | `120` | таймаут ssh-команды, сек |
+| `ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB` | `0` | Telegram при освобождении ≥ N ГБ; `0` → тихо |
+
+- Переиспользуются существующие `ORCH_DEPLOY_SSH_USER` (дефолт `slin`) / `ORCH_DEPLOY_SSH_HOST` как
+  ssh-таргет. **Пустой `ORCH_DEPLOY_SSH_HOST` → тик no-op** (фича не активна вне self-host).
+- Секретов не добавляет. ssh-ключи уже проброшены ro (`~/.orchestrator-ssh → /home/slin/.ssh`,
+  ORCH-040); в git не коммитятся.
+
+## I-3. Деплой / рестарт
+
+- **Рестарт docker daemon — НЕ требуется** (ключевое отличие от отклонённого Варианта B). Уборка —
+  это `docker builder prune` (BuildKit GC), без правки `daemon.json`.
+- **Рестарт прод-контейнера ради уборки — категорически НЕ требуется и запрещён** (self-hosting
+  групповой риск). Сам код демона активируется штатным конвейерным деплоем оркестратора
+  (staging 8501 → Confirm Deploy → prod), не отдельной операцией.
+- Host-prerequisites выбранного пути A (процедура Owner, в git не коммитятся — как P-1…P-4 в
+  INFRA.md):
+  1. На хосте установлен `docker` и пользователь `slin` — в группе `docker` (уже выполняется:
+     деплой-хук запускает `docker compose` на хосте).
+  2. ssh с контейнера на хост под `slin` работает без пароля (уже настроено для Phase B деплоя).
+  Иные действия Owner не требуются — фича включена дефолтом и активна при наличии ssh-таргета.
+
+### Ручной fallback (Вариант C, host-cron) — если ssh-канал недоступен
+
+Если по какой-то причине ssh-канал на хост закрыт, эквивалентную защиту можно временно обеспечить
+host-cron на mva154 (процедура Owner, off-git):
+```cron
+# каждые 6 часов: удалить build cache старше 24ч (только build cache, не образы/контейнеры)
+0 */6 * * *  docker builder prune -f --filter until=24h >> /var/log/orch-build-cache-prune.log 2>&1
+```
+Это fallback, не основной путь: cron не наблюдаем в `GET /queue` и не имеет config-kill-switch.
+
+## I-4. CI/CD
+
+- `.gitea/workflows/` — **без изменений**. Добавляется юнит-тест `tests/test_build_cache_pruner.py`
+  (путь A), исполняется существующим `pytest tests/ -q`; docker/ssh в тестах мокируются (как
+  `image_freshness`-тесты не требуют реального docker).
+</content>

docs/work-items/ORCH-062/10-tech-risks.md

@@ -0,0 +1,43 @@
+---
+work_item: ORCH-062
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-062 — авто-prune docker build cache на mva154
+
+Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Детализация R-1…R-4 из BRD + риски, выявленные при
+> архитектурном решении (Вариант A, ssh-на-хост). Решение — `06-adr/ADR-001-build-cache-pruner.md`.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | **Слишком агрессивная политика** (`-a` без возрастного фильтра / малый `until`) убивает тёплый кэш → каждая сборка «холодная», медленная (BRD R-1) | Низ. | Сред. | Дефолт `docker builder prune -f --filter until=24h` **без** `-a`; `-a` — только опционально и всегда в паре с `until` (D2/AC-2). Параметр удержания конфигурируем |
+| TR-2 | **Гонка уборки с активной сборкой** staging/прод-образа (`check_staging_image_fresh`, build-once retag) — теоретическое удаление кэша во время сборки (BRD R-2) | Низ. | Низ. | `docker builder prune --filter until=24h` по контракту BuildKit не трогает кэш, занятый/использованный активной сборкой (свежий < 24ч); период тика — порядка часов (6ч), не конкурирует за ресурсы (NFR-4) |
+| TR-3 | **Контейнер не имеет docker CLI** (`Dockerfile:11`) → наивный `subprocess.run(["docker",…])` упал бы FileNotFoundError | — (закрыт решением) | — | Решено архитектурно: уборка идёт через **ssh на хост** (`image_freshness`-канал), не CLI-в-контейнере. Не риск реализации, а зафиксированный инвариант D3 |
+| TR-4 | **ssh-канал недоступен** (нет `deploy_ssh_host` / закрыт ssh) → уборка не выполняется | Низ. | Сред. | Тик no-op + причина в `status().last_error` (наблюдаемо в `GET /queue`); never-raise — конвейер не страдает; документированный host-cron fallback (`07` I-3); disk-watchdog продолжает сигналить о росте диска |
+| TR-5 | **Расширение скоупа** на `docker image prune` / `system prune` → удаление образов запущенных контейнеров (BRD R-4) | Низ. | Выс. | Жёстко исключено D2/FR-3/AC-3: команда строго `docker builder prune`; reviewer проверяет отсутствие `image prune`/`system prune`/рестарта в коде и процедуре |
+| TR-6 | **Рестарт прода/докера ради уборки** (групповой self-hosting риск) | — (исключён) | Выс. | Вариант B (рестарт docker daemon) отвергнут именно по этой причине; Вариант A не рестартит ни прод, ни docker daemon (D3/I-3) |
+| TR-7 | **Сбой docker-команды/таймаут** на хосте всплывает в фоновый поток → останавливает цикл/конвейер | Низ. | Сред. | never-raise per-команда и per-tick (D6/FR-6/AC-4), как `disk_watchdog._run`/`tick`; ненулевой rc/таймаут/`OSError` логируются и проглатываются |
+| TR-8 | **Telegram-шум** при каждом тике | Низ. | Низ. | Нотификация только при освобождении ≥ `notify_min_gb`; дефолт `0` → тихо (D4/D5) |
+
+## Сводный вывод
+
+Доминирующий класс — **операционная безопасность self-hosting** (уборка на проде, обслуживающем
+все проекты). Все высоко-влиятельные риски (TR-5/TR-6) **структурно исключены** выбором узкой
+команды `docker builder prune` и отказом от рестарта docker daemon/прода (отклонён Вариант B).
+Остаточные риски — низкой вероятности и нейтрализуются never-raise + наблюдаемостью в `GET /queue`
++ обратимостью kill-switch.
+
+**Эскалация:** вводится **новый фоновый компонент** (leaf-демон) — формально подпадает под
+`arch:major-change`. Однако это калька уже принятого паттерна `disk_watchdog`/`reconciler`/
+`job_reaper` **без** изменения `STAGE_TRANSITIONS`/`QG_CHECKS`/схемы БД и **без** рестарта прода,
+поэтому остаточный риск для прод-конвейера — **низкий**; возврат в анализ не требуется (ТЗ
+реализуемо без нарушения принципов архитектуры).
+</content>

docs/work-items/ORCH-062/12-review.md

@@ -0,0 +1,95 @@
+---
+verdict: APPROVED
+work_item: ORCH-062
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-09
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-062
+version: 1
+---
+
+# Review ORCH-062 — INFRA: авто-prune docker build cache на mva154
+
+## Summary
+
+PR вводит фоновый daemon-поток `src/build_cache_pruner.py` («вторая половина» disk-watchdog
+ORCH-063): периодически выполняет **строго `docker builder prune -f --filter until=<until>`** на
+хосте через ssh, устраняя корень инцидента 07.06.2026 (build cache → 100% диска) автоматически.
+
+Проверены все 4 оси. Реализация **точно** соответствует ADR-001 (D1…D7) и закрывает все 9 критериев
+приёмки. Полный регресс зелёный (`pytest tests/ -q` → **1319 passed**); новый модуль покрыт
+`tests/test_build_cache_pruner.py` (TC-01…TC-12, 23 кейса, docker замокан — ни один тест не трогает
+реальный docker/диск). Реестр QG, переходы стадий и схема БД **не тронуты** (проверено `git diff`:
+`src/stages.py`/`src/stage_engine.py`/`src/qg/`/`src/db.py` без изменений). Документация (golden
+source) обновлена в том же PR. **Findings P0/P1 отсутствуют.**
+
+### Соответствие ТЗ / Acceptance Criteria
+- **AC-1** (авто-уборка без оператора): ✅ тик каждые `interval_s` (дефолт 6ч), pure-функция
+  `decide_prune`.
+- **AC-2** (тёплый кэш удерживается): ✅ дефолт `until=24h`; `-a` добавляется **только в паре** с
+  `until` (`build_prune_command`, TC-03).
+- **AC-3** (self-hosting безопасность): ✅ строго `docker builder prune`; в коде **нет**
+  `image prune`/`system prune`/удаления контейнеров/рестарта прода (TC-03 ассертит явно).
+- **AC-4** (never-raise): ✅ per-команда + per-tick `try/except` (TC-04/05/06).
+- **AC-5** (kill-switch): ✅ гард в `main.lifespan` + `start()` (TC-07).
+- **AC-6** (конфигурируемость + валидаторы): ✅ `_bcp_positive_int`/`_bcp_until`/`_bcp_notify_min_gb`
+  деградируют на безопасный дефолт + warning, старт не падает (TC-08).
+- **AC-7** (наблюдаемость): ✅ read-only блок `build_cache_prune` в `GET /queue`, `status()`
+  never-raise (TC-09/TC-12).
+- **AC-8** (изоляция от QG/БД): ✅ leaf-модуль (TC-10 AST-проверка импортов); `STAGE_TRANSITIONS`/
+  `QG_CHECKS`/схема БД не тронуты (проверено diff).
+- **AC-9** (документация + регресс): ✅ см. раздел «Документация»; регресс зелёный.
+
+### Соответствие ADR
+- **ADR-001 D1** (leaf-демон, не host-инфра B/C): ✅ модуль leaf, каркас `disk_watchdog`.
+- **D2** (команда + удержание): ✅ строго BuildKit GC, `-a` только с `until`.
+- **D3** (ssh-канал, no-op без таргета): ✅ `_ssh_target()`, пустой `deploy_ssh_host` → no-op
+  (TC-05).
+- **D4** (конфиг/дефолты/валидаторы): ✅ 6 флагов и дефолты (`enabled=True`, `interval=21600`,
+  `until=24h`, `all=False`, `timeout=120`, `notify_min_gb=0`) совпадают с таблицей ADR.
+- **D5** (наблюдаемость): ✅ форма `status()` соответствует.
+- **D6** (инварианты/never-raise/без миграции): ✅ in-memory state, два уровня never-raise.
+- **D7** (lifecycle): ✅ старт последним после `disk_watchdog.start()`, стоп первым в reverse.
+- **Трассировка маркеров:** правки в `main.py`/`config.py`/`INFRA.md` аддитивны рядом с маркерами
+  ORCH-063; инвариант disk-watchdog (порядок старт/стоп демонов) сохранён — стоп идёт строго в
+  reverse (`build_cache_pruner.stop()` → `disk_watchdog.stop()`). Нарушений нет.
+
+### Качество кода
+- Docstrings на всех публичных функциях/методах; модульный docstring фиксирует инварианты.
+- `shlex.quote` на `until` (защита remote-shell) поверх regex-валидации `^\d+[smhdw]?$` —
+  двойная защита от инъекции.
+- `decide_prune` вынесена в чистую функцию → детерминированно тестируема без потока/таймера.
+- Тесты содержательные: проверяют поведение (no-op без таргета, запись `last_error`, парсинг
+  reclaimed, изоляция от QG через AST), а не тривиальные ассерты.
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- Нет (опционально, не блокирует): `decide_prune(interval_s)` и `_stop.wait(interval_s)` дважды
+  гейтят один интервал — это осознанный belt-and-braces (помечено в docstring), регрессом не
+  является.
+
+## Документация
+
+Документация обновлена в том же PR — ось пройдена (golden source = код):
+- **`docs/operations/INFRA.md`**: добавлена секция «Build-cache-pruner (ORCH-062)» + 6 строк в
+  карте env; **снята** формулировка ORCH-063 «освобождение build cache — ручная операция» в части
+  build cache (требование AC-9 / TRZ §7 выполнено буквально).
+- **`docs/architecture/README.md`**: новый компонент в ряду фоновых демонов.
+- **`docs/architecture/adr/README.md`**: индекс adr-0025 (+ комплементарность adr-0024).
+- **`docs/architecture/adr/adr-0025-build-cache-pruner.md`**: сквозной ADR.
+- **`.env.example`**: 6 новых ключей `ORCH_BUILD_CACHE_PRUNE_*` (канон).
+- **`CHANGELOG.md`**: запись в `## [Unreleased]`.
+- **Артефакты задачи**: `06-adr/ADR-001`, `07-infra-requirements.md`, `10-tech-risks.md` заполнены.
+
+Изменений в `README.md` «Известные ограничения» (ORCH-079) данный PR не закрывает — обзорная витрина
+обновления не требует.