feat(agents): configurable LLM model + effort per-agent and per-project (ORCH-41)

Vынести модель/effort агентов из хардкода launcher.py в конфиг.
- config.py: ORCH_AGENT_MODEL_<AGENT>/_DEFAULT (default claude-opus-4-8),
  ORCH_AGENT_EFFORT_<AGENT>/_DEFAULT (думающие=high, tester/deployer=medium),
  ORCH_AGENT_FALLBACK_MODEL.
- projects.py: ProjectConfig.agent_models/agent_efforts (field(default_factory=dict)),
  парсинг из projects_json через _coerce_str_map.
- launcher.py: resolve_agent_model/resolve_agent_effort (project>env>default>пусто),
  валидация effort {low,medium,high,xhigh,max}; убран хардкод model:opus;
  собираются флаги --model/--effort/--fallback-model.
- tests: test_resolve_agent_model.py, test_resolve_agent_effort.py.
- docs: INFRA.md, internals.md, CHANGELOG.md.

.env.example

@@ -1,8 +1,4 @@
 ORCH_PLANE_API_URL=http://plane-app-api-1:8000
-# External (browser) web URL of Plane for clickable issue links in notifications
-# (ORCH-017). Falls back to ORCH_PLANE_API_URL; a loopback fallback is treated as
-# "no web URL" and the Plane link is omitted. Example: https://plane.example.org
-ORCH_PLANE_WEB_URL=
 ORCH_PLANE_API_TOKEN=
 ORCH_PLANE_WORKSPACE_SLUG=
 ORCH_PLANE_WEBHOOK_SECRET=
@@ -12,131 +8,3 @@ ORCH_GITEA_WEBHOOK_SECRET=
 ORCH_CLAUDE_BIN=/usr/bin/claude
 ORCH_REPOS_DIR=/home/slin/repos
 ORCH_DB_PATH=/app/data/orchestrator.db
-# ORCH-042: live-tracker mode. edit (DEFAULT) -> the task card is edited in place
-# (editMessageText). bump -> on every update the old card is deleted and a fresh
-# one is sent silently to the BOTTOM of the chat (deleteMessage + sendMessage +
-# repoint). One card per task in both modes. Any value other than "bump" -> edit.
-ORCH_TRACKER_MODE=edit
-# ORCH-043: merge-gate (auto-rebase onto current origin/main + re-test + merge-lock)
-# on the deploy-staging -> deploy edge. Deterministic sub-gate (no LLM) that catches
-# the branch up to the CURRENT origin/main, re-tests it, and serialises merges so two
-# green parallel branches can't break main.
-#   ENABLED   -> global kill-switch (false -> whole gate is a no-op pass).
-#   REPOS     -> CSV of repos where the gate is REAL; empty -> only the self-hosting
-#                repo (orchestrator); other repos -> conditional no-op (mirrors ORCH-35).
-#   RETEST_TIMEOUT_S -> wall-clock budget for the post-rebase re-test.
-#   RETEST_TARGET    -> pytest target for the re-test.
-#   LOCK_TIMEOUT_S   -> max merge-lease age before a stale lease is reclaimed.
-#   DEFER_DELAY_S    -> delay before re-running the gate when the lock is busy.
-#   DEFER_MAX_ATTEMPTS -> defer retries before escalation (avoids livelock).
-ORCH_MERGE_GATE_ENABLED=true
-ORCH_MERGE_GATE_REPOS=
-ORCH_MERGE_RETEST_TIMEOUT_S=600
-ORCH_MERGE_RETEST_TARGET=tests/
-ORCH_MERGE_LOCK_TIMEOUT_S=300
-ORCH_MERGE_DEFER_DELAY_S=60
-ORCH_MERGE_DEFER_MAX_ATTEMPTS=5
-# ORCH-036: executable self-deploy of the `deploy` stage. For the self-hosting repo
-# (orchestrator) the stage REALLY restarts prod (8500) via a detached host hook;
-# deploy_status: SUCCESS means proven health-ok, not an LLM declaration. Three
-# deterministic phases (A: request approve, B: human Approved -> detached deploy,
-# C: finalizer maps hook exit-code -> deploy_status). Non-self repos: unchanged
-# synchronous ssh deploy. SECRETS / host paths live ONLY on the host — do NOT commit.
-#   SELF_DEPLOY_ENABLED -> global kill-switch (false -> legacy synchronous deploy for all).
-#   SELF_DEPLOY_REPOS   -> CSV of repos where Phase A/B/C is REAL; empty -> only the
-#                          self-hosting repo (orchestrator); others -> no-op (mirrors ORCH-35).
-#   DEPLOY_REQUIRE_MANUAL_APPROVE -> require a human Plane "Approved" before the prod
-#                          deploy (true on rollout; full auto is ORCH-54).
-#   DEPLOY_FINALIZE_DELAY_S       -> delay before the first/each finalize poll (>= hook+health).
-#   DEPLOY_FINALIZE_MAX_ATTEMPTS  -> bounded finalize-defer budget (anti-livelock).
-#   DEPLOY_SSH_USER / DEPLOY_SSH_HOST -> ssh target for the host hook (DEPLOY_SSH_HOST
-#                          empty -> detached deploy will NOT launch; set on the host).
-#   DEPLOY_HOOK_SCRIPT            -> path to the hook ON THE HOST (relative to the repo).
-#   DEPLOY_HOST_REPO_PATH         -> orchestrator clone path on the host.
-#   DEPLOY_PROD_SOURCE_IMAGE      -> staging-validated image, retagged build-once (no rebuild).
-#   DEPLOY_PROD_TARGET_SERVICE / _PORT / _IMAGE / _COMPOSE_PROFILE -> prod compose profile.
-#   DEPLOY_PROD_PREV_IMAGE_FILE   -> prod prev-image snapshot (separate from staging's).
-ORCH_SELF_DEPLOY_ENABLED=true
-ORCH_SELF_DEPLOY_REPOS=
-ORCH_DEPLOY_REQUIRE_MANUAL_APPROVE=true
-ORCH_DEPLOY_FINALIZE_DELAY_S=90
-ORCH_DEPLOY_FINALIZE_MAX_ATTEMPTS=10
-ORCH_DEPLOY_SSH_USER=slin
-ORCH_DEPLOY_SSH_HOST=
-ORCH_DEPLOY_HOOK_SCRIPT=scripts/orchestrator-deploy-hook.sh
-ORCH_DEPLOY_HOST_REPO_PATH=/home/slin/repos/orchestrator
-ORCH_DEPLOY_PROD_SOURCE_IMAGE=orchestrator-orchestrator-staging
-ORCH_DEPLOY_PROD_TARGET_SERVICE=orchestrator
-ORCH_DEPLOY_PROD_TARGET_PORT=8500
-ORCH_DEPLOY_PROD_TARGET_IMAGE=orchestrator-orchestrator
-ORCH_DEPLOY_PROD_COMPOSE_PROFILE=
-ORCH_DEPLOY_PROD_PREV_IMAGE_FILE=.deploy-prev-image-prod
-
-# ORCH-058: staging-image provenance before the BUILD-ONCE prod retag (INV-FRESH).
-# Guarantees the staging image promoted to prod is the EXACT artefact rebuilt from the
-# validated commit — two layers, self-hosting only:
-#   A (liveness): QG sub-check `check_staging_image_fresh` on the deploy-staging->deploy
-#     edge rebuilds orchestrator-orchestrator-staging from the validated commit + recreates
-#     8501; FAIL -> rollback to development. (builds/recreate STAGING only, never prod.)
-#   B (safety):  the Dockerfile stamps `org.opencontainers.image.revision`; the prod hook
-#     fail-closes (exit 1) before `docker tag` if SOURCE_IMAGE's label != EXPECTED_REVISION.
-#   ENABLED -> single kill-switch for A+B as a WHOLE (never "B without A"); false -> legacy.
-#   REPOS   -> CSV of repos where the gate is REAL; empty -> only self-hosting (orchestrator).
-ORCH_IMAGE_FRESHNESS_ENABLED=true
-ORCH_IMAGE_FRESHNESS_REPOS=
-
-# ORCH-061: staging-verdict tolerance to sandbox-infra-only FAILs. The self-hosting
-# orchestrator looped on deploy-staging because staging_check.py exited 1 on ANY FAIL,
-# so two infra-only checks (C9a sandbox branch / C9b analyst-job — caused by SANDBOX
-# bot accounts not being members of the sandbox Plane project, NOT a pipeline regress)
-# forced staging_status: FAILED -> rollback -> loop. With this ON, C9a/C9b are WAIVED
-# to SUCCESS when every REAL check is green; any REAL failure still fails closed.
-#   true (default) -> tolerant; false -> legacy strict (1:1 pre-ORCH-061, any FAIL rolls back).
-# Lives in .env.staging (the staging instance). CLI --strict overrides this per-run.
-ORCH_STAGING_INFRA_TOLERANCE_ENABLED=true
-
-# ORCH-053: stuck-task reconciler (sweeper for lost webhooks). A background daemon
-# replays a missed stage transition through the SAME gates/handlers a webhook would,
-# fixing tasks that got stuck on a dropped event (502 on rebuild, no Plane/Gitea
-# retries, unresolved sha->branch).
-#   ENABLED            -> global kill-switch (self-hosting safety / staged rollout).
-#   PLANE_ENABLED      -> separate flag for the F-2 Plane-API poll (mute only F-2).
-#   INTERVAL_S         -> background sweep period (seconds).
-#   GRACE_DEFAULT_S    -> default "stuck" threshold on tasks.updated_at (seconds).
-#   GRACE_OVERRIDES_JSON -> per-stage thresholds, e.g. {"development":300}; bad JSON -> default.
-#   NOTIFY_UNBLOCK     -> send a Telegram message when a stuck task is unblocked.
-#   SKIP_BLOCKED_ENABLED -> ORCH-060 F-1 Guard 2: skip reconciling issues a human moved
-#                        to Blocked / Needs Input (per-candidate Plane state lookup).
-#                        false mutes ONLY the networked Guard 2; Guard 1 (escalated by
-#                        developer retries, local+deterministic) is always active.
-ORCH_RECONCILE_ENABLED=true
-ORCH_RECONCILE_PLANE_ENABLED=true
-ORCH_RECONCILE_INTERVAL_S=120
-ORCH_RECONCILE_GRACE_DEFAULT_S=600
-ORCH_RECONCILE_GRACE_OVERRIDES_JSON=
-ORCH_RECONCILE_NOTIFY_UNBLOCK=true
-ORCH_RECONCILE_SKIP_BLOCKED_ENABLED=true
-
-# ORCH-021: post-deploy production monitoring + degradation reaction. After the
-# terminal deploy->done transition for an applicable repo, a reserved-agent job
-# `post-deploy-monitor` (no LLM, modelled on deploy-finalizer) probes prod over a
-# window and reacts to a degradation the restart-time health-check missed (class
-# "green deploy, red prod", precedent ET-8). State is in sentinel files
-# (.post-deploy-state-<repo>/<wi>/), no DB migration.
-#   MONITOR_ENABLED  -> global kill-switch; false -> pipeline is 1:1 as before ORCH-021.
-#   REPOS            -> CSV of repos where monitoring is REAL; empty -> only self-hosting.
-#   WINDOW_S         -> observation window length (~15 min).
-#   INTERVAL_S       -> seconds between probe ticks.
-#   FAIL_THRESHOLD   -> N CONSECUTIVE health failures -> DEGRADED.
-#   5XX_THRESHOLD    -> window 5xx ratio above this -> DEGRADED.
-#   AUTO_ROLLBACK    -> allow auto-rollback; acts ONLY for non-self repos. Self-hosting
-#                       is ALWAYS ALERT_ONLY (a tick NEVER restarts the prod container).
-#   BASE_URL         -> base URL of the observed prod instance.
-ORCH_POST_DEPLOY_MONITOR_ENABLED=true
-ORCH_POST_DEPLOY_REPOS=
-ORCH_POST_DEPLOY_WINDOW_S=900
-ORCH_POST_DEPLOY_INTERVAL_S=30
-ORCH_POST_DEPLOY_FAIL_THRESHOLD=3
-ORCH_POST_DEPLOY_5XX_THRESHOLD=0.5
-ORCH_POST_DEPLOY_AUTO_ROLLBACK=false
-ORCH_POST_DEPLOY_BASE_URL=http://localhost:8500

.openclaw/agents/deployer.md

@@ -21,35 +21,14 @@ On stage `deploy-staging` your job is to run the staging test suite and write a
 
 ### Steps:
 
-1. Run the staging test suite against the live staging environment.
-   **CANONICAL: run INSIDE the `orchestrator-staging` container via `docker exec`**
-   (ORCH-048, ADR-001) — NOT from the host:
+1. Run the staging test suite against the live staging environment:
    ```bash
-   docker exec orchestrator-staging \
-     python3 /repos/orchestrator/scripts/staging_check.py \
-     --base-url http://localhost:8501 --mode stub
+   python3 scripts/staging_check.py --base-url http://localhost:8501 --mode stub
    ```
-   Why: the B6 registry-isolation check reads the registry from the running
-   instance's own process-env (`.env.staging`). Running from the host leaves
-   `ORCH_PROJECTS_JSON` unset → B6 falls back to the default (ET+ORCH) registry
-   → false FAIL → spurious rollback. The script path is `/repos/orchestrator/scripts/…`
-   (bind-mount); `scripts/` is NOT copied into the image, so `/app/scripts` does
-   not exist. Details: `docs/operations/STAGING_CHECK.md`.
 
 2. Check the exit code:
-   - Exit code **0** = advance → `staging_status: SUCCESS`
-   - Exit code **non-zero** = rollback → `staging_status: FAILED`
-
-   > **ORCH-061**: exit 0 may now include *waived* sandbox-infra failures. The two
-   > infra-only checks **C9a/C9b** (sandbox branch / analyst-job, which depend on
-   > SANDBOX bot accounts being project members — not on the pipeline) are tolerated
-   > when every REAL check is green; the script prints an `INFRA-WAIVED:` line and a
-   > `VERDICT:` line, and still exits 0. Any REAL check failing still yields exit 1
-   > (fail-closed). If you see `INFRA-WAIVED:` in the output, copy that line into the
-   > `15-staging-log.md` body for observability. The exit-code → `staging_status`
-   > mapping above is unchanged: trust the exit code, do NOT re-judge waived checks.
-   > Kill-switch: `ORCH_STAGING_INFRA_TOLERANCE_ENABLED=false` (or `--strict`) restores
-   > legacy strictness. Details: `docs/operations/STAGING_CHECK.md`.
+   - Exit code **0** = all tests PASS → `staging_status: SUCCESS`
+   - Exit code **non-zero** = tests FAILED → `staging_status: FAILED`
 
 3. Write the verdict to `docs/work-items/<work_item_id>/15-staging-log.md` with YAML frontmatter:
    ```markdown
@@ -84,39 +63,13 @@ On stage `deploy-staging` your job is to run the staging test suite and write a
 
 ---
 
-## Stage: `deploy` (Production Deploy — ORCH-36, executable self-deploy)
+## Stage: `deploy` (Production Deploy — ORCH-36, future)
+
+On stage `deploy` your job is to perform (or simulate) the production deployment and write a machine-readable verdict to `docs/work-items/<work_item_id>/14-deploy-log.md` with frontmatter field `deploy_status: SUCCESS|FAILED`.
 
 This stage is only reached if the staging gate (`deploy-staging`) passed with `staging_status: SUCCESS`.
-The verdict contract is unchanged: `docs/work-items/<work_item_id>/14-deploy-log.md` with
-frontmatter field `deploy_status: SUCCESS|FAILED` (the gate `check_deploy_status` parses ONLY this).
-**What changed (ORCH-36): WHO and WHEN writes that verdict, for the self-hosting repo.**
 
-### Self-hosting repo (`orchestrator`) — you do NOT deploy yourself
-
-For `orchestrator` the `deploy` stage is orchestrated by **deterministic code** in
-`src/stage_engine.py` + `src/self_deploy.py`, NOT by you, and NOT by a "paper" `SUCCESS`:
-
-- **Phase A** (entering `deploy`): the pipeline does NOT launch you. It sets the issue to an
-  approval-pending state and asks a human to flip the Plane status to **Approved**.
-- **Phase B** (human Approved): the code launches a **detached host process**
-  (`ssh + setsid` → `scripts/orchestrator-deploy-hook.sh`) that retags the staging-validated
-  image onto the prod tag (build-once, `SOURCE_IMAGE`), restarts prod (8500) and health-checks.
-  The orchestrator NEVER restarts its own 8500 container from inside — that would kill the
-  worker mid-call.
-- **Phase C** (finalizer): a deterministic finalizer-job in the NEW container reads the hook
-  exit-code, maps `0 → SUCCESS`, `1|2|other → FAILED`, writes `14-deploy-log.md` and drives the
-  existing contracts (`SUCCESS → done`, `FAILED → rollback to development`).
-
-⚠️ **CRITICAL for self-hosting**: NEVER run `docker compose up -d orchestrator`, `--build`, or any
-restart of 8500 from inside the agent. `deploy_status: SUCCESS` must reflect a REAL host health-ok,
-never an LLM declaration. If you are ever launched on `deploy` for `orchestrator`, do nothing that
-restarts prod — the host hook owns the restart.
-
-### Non-self repos (e.g. `enduro-trails`) — unchanged synchronous ssh deploy
-
-For non-self repos behaviour is unchanged: perform the production deployment (ssh to the project
-host) and write the machine-readable verdict (`deploy_status: SUCCESS|FAILED`). Real docker/SSH
-deploys go through `scripts/orchestrator-deploy-hook.sh` (parametrised; defaults are STAGING-safe).
+⚠️ **CRITICAL**: Do NOT trigger real production deploys unless explicitly instructed. Real docker/SSH deploys are handled by `scripts/orchestrator-deploy-hook.sh` (ORCH-36).
 
 ---
 

.task-arch.md

@@ -1,4 +0,0 @@
-Work item: ORCH-061
-Repo: orchestrator
-Branch: feature/ORCH-061-bug-deploy-staging-development
-Stage: architecture

.task-dev.md

@@ -1,4 +0,0 @@
-Work item: ORCH-061
-Repo: orchestrator
-Branch: feature/ORCH-061-bug-deploy-staging-development
-Stage: development

.task.md

@@ -1,8 +0,0 @@
-Work item: ORCH-061
-Repo: orchestrator
-Branch: feature/ORCH-061-bug-deploy-staging-development
-Stage: analysis
-Title: BUG: deploy-staging петля — откат на development (self-deploy)
-
-Description:
-Симптом: на стадии deploy-staging для self-hosting orchestrator задача откатывается deploy-staging -> development и крутится по кругу.ДВЕ подтверждённые причины (ORCH-58 + ORCH-60):1. check_staging_status FAILED (ложный). deployer гоняет staging_check.py, тот падает на C9a/C9b (sandbox e2e: branch not found + analyst job in queue) с пометкой «Plane comment check skipped: bot-tokens not added to SANDBOX project». 8/10 PASS, 2 ложных FAIL из-за ненастроенных bot-токенов SANDBOX-проекта. QG check_staging_status -> FAILED -> rollback deploy-staging->development. Это НЕ регресс кода, а отсутствие sandbox-настроек.2. no changes to commit. для action-стадий (деплой = рестарт/retag, не правка кода) deployer exit0 + «no changes» тоже трактуется stage_engine как недовыполнение -> откат.Последствие: прод-деплой self-hosting репо НЕВОЗМОЖЕН автономно — ORCH-58 и ORCH-60 доводились ВРУЧНУЮ (merge PR + build-once retag + --deploy). Прямой блокер автономного внедрения (эпик ORCH-54).Fix-направления (одно или оба):(а) Настроить sandbox bot-токены в SANDBOX Plane-проект, чтобы staging_check C9a/C9b проходили честно (10/10). Тогда check_staging_status не будет ложно падать.(б) Отвязать advance deploy-стадии от git-changes для self-deploy репо: успех = exit0 + health PASS (+ опц. staging_check), а не наличие коммита.Acceptance: ORCH-задача для self-hosting orchestrator проходит deploy-staging -> deploy -> Done БЕЗ ручного вмешательства и без петли. Priority P0.

CLAUDE.md

@@ -47,7 +47,7 @@ created → analysis → architecture → development → review → testing →
 - Машинные вердикты Quality Gate — строго YAML-frontmatter (`verdict:`, `deploy_status:`, `staging_status:`), никогда проза
 
 ## Артефакты задачи (`docs/work-items/<plane-id>/`)
-`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`, `16-post-deploy-log.md` (post-deploy наблюдение, ORCH-021).
+`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`.
 
 ## Правила для агентов
 1. Перед любым действием прочесть этот файл и `docs/architecture/README.md`.

Dockerfile

@@ -1,32 +1,11 @@
 FROM python:3.12-slim
-# ORCH-058 (Strategy B): stamp the image with the git commit it was built from so
-# the deploy hook can fail-close if a stale staging image would be promoted to prod
-# (INV-FRESH). Passed at build time via `--build-arg GIT_SHA=<sha>` (the staging
-# rebuild in check_staging_image_fresh / the --build-staging hook mode supplies it).
-# Without the build-arg the label is empty -> the hook treats it as a mismatch
-# (fail-closed). The OCI-standard key is read by `docker image inspect`.
-ARG GIT_SHA=""
-LABEL org.opencontainers.image.revision=$GIT_SHA
 WORKDIR /app
 RUN apt-get update -qq && apt-get install -y -qq openssh-client git && rm -rf /var/lib/apt/lists/*
 # git operations run as root over bind-mounted /repos (may be owned by host uid) -> trust it.
 RUN git config --system --add safe.directory '*'
-# ORCH-58: compose runs the container as uid:gid 1000:1000 (ORCH-40), but the base
-# image has no passwd entry for uid 1000 -> ssh/whoami fail with
-# "No user exists for uid 1000" (rc=255), breaking the detached self-deploy ssh
-# launch (ORCH-36 Phase B). Create a real user 1000 with a home dir so getpwuid()
-# resolves and ssh can start.
-RUN groupadd -g 1000 app && useradd -u 1000 -g 1000 -m -d /home/slin -s /bin/bash slin
 COPY requirements.txt .
 RUN pip install --no-cache-dir -r requirements.txt
 COPY src/ ./src/
-# ORCH-021: do NOT `COPY data/ ./data/`. `data/` is gitignored (SQLite DB dir) and
-# is provided at runtime as a bind-mount volume (`./data:/app/data`, see
-# docker-compose.yml) which shadows anything baked into the image — so the COPY was
-# dead weight. Worse, the ORCH-058 staging rebuild (`check_staging_image_fresh`)
-# builds with the task *worktree* as the docker build context; a fresh worktree never
-# contains the untracked `data/`, so `COPY data/` failed `docker build` with exit 1
-# and bounced the task off `deploy-staging`. We just ensure the mountpoint exists.
-RUN mkdir -p /app/data
+COPY data/ ./data/
 ENV PYTHONPATH=/app
 CMD ["uvicorn", "src.main:app", "--host", "0.0.0.0", "--port", "8500"]

README.md

@@ -129,13 +129,6 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_TRANSIENT_MAX_ATTEMPTS` | Ретраи для 429/недоступности | `5` |
 | `ORCH_BREAKER_THRESHOLD` | transient подряд до открытия breaker | `3` |
 | `ORCH_BREAKER_PAUSE_SECONDS` | Пауза при открытом breaker | `300` |
-| `ORCH_RECONCILE_ENABLED` | Kill-switch sweeper потерянных webhook (ORCH-053) | `true` |
-| `ORCH_RECONCILE_PLANE_ENABLED` | Отдельный флаг F-2 (опрос Plane API) | `true` |
-| `ORCH_RECONCILE_INTERVAL_S` | Период фонового прохода reconciler, сек | `120` |
-| `ORCH_RECONCILE_GRACE_DEFAULT_S` | Порог «застряла» по `tasks.updated_at`, сек | `600` |
-| `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | Per-stage пороги, напр. `{"development":300}` | `""` |
-| `ORCH_RECONCILE_NOTIFY_UNBLOCK` | Telegram при разблокировке застрявшей задачи | `true` |
-| `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED` | F-1 Guard 2 (ORCH-060): пропуск задач в Plane-статусе Blocked / Needs Input; `false` глушит только сетевой Guard 2 (Guard 1 escalated всегда активен) | `true` |
 
 ## Очередь задач (ORCH-1 / F-2b)
 

docker-compose.yml

@@ -3,11 +3,6 @@ services:
     build: .
     container_name: orchestrator
     restart: unless-stopped
-    # ORCH-040: бежим под uid:gid хоста (slin=1000:1000), а не root, чтобы
-    # артефакты конвейера (worktree + docs) создавались как slin:slin и git на
-    # хосте работал без ручного chown. Доступ к docker.sock сохранён через
-    # group_add: ["999"] (МИНА 1 — НЕ удалять). См. ADR-001 ORCH-040.
-    user: "1000:1000"
     # init: true injects docker-init (tini) as PID 1 so reparented grandchild
     # processes from the claude/node subprocess tree are reaped (no zombies, B-2).
     init: true
@@ -20,21 +15,14 @@ services:
       - /usr/bin/node:/usr/bin/node:ro
       - /home/slin/.claude:/home/slin/.claude
       - /home/slin/.claude.json:/home/slin/.claude.json:ro
-      # ORCH-040: target согласован с HOME=/home/slin (launcher), не /root/.ssh.
-      - /home/slin/.orchestrator-ssh:/home/slin/.ssh:ro
+      - /home/slin/.orchestrator-ssh:/root/.ssh:ro
     env_file: .env
     environment:
       - ORCH_REPOS_DIR=/repos
       - ORCH_HOST_REPOS_DIR=/home/slin/repos
-      # legacy enduro deployer (read via os.environ, keep as-is):
       - DEPLOY_SSH_USER=slin
       - DEPLOY_SSH_HOST=127.0.0.1
       - DEPLOY_HOOK_SCRIPT=/home/slin/bin/enduro-deploy-hook.sh
-      # ORCH-036 self-deploy (read via pydantic ORCH_ prefix; host-network -> 127.0.0.1, ssh key mounted):
-      - ORCH_DEPLOY_SSH_USER=slin
-      - ORCH_DEPLOY_SSH_HOST=127.0.0.1
-      - ORCH_DEPLOY_HOOK_SCRIPT=scripts/orchestrator-deploy-hook.sh
-      - ORCH_DEPLOY_HOST_REPO_PATH=/home/slin/repos/orchestrator
     group_add:
       - "999"
 
@@ -47,8 +35,6 @@ services:
     build: .
     container_name: orchestrator-staging
     restart: unless-stopped
-    # ORCH-040: тот же uid хоста, что и у prod (см. комментарий выше / ADR-001).
-    user: "1000:1000"
     init: true
     network_mode: host
     command: ["uvicorn", "src.main:app", "--host", "0.0.0.0", "--port", "8501"]
@@ -60,8 +46,7 @@ services:
       - /usr/bin/node:/usr/bin/node:ro
       - /home/slin/.claude:/home/slin/.claude
       - /home/slin/.claude.json:/home/slin/.claude.json:ro
-      # ORCH-040: target согласован с HOME=/home/slin (launcher), не /root/.ssh.
-      - /home/slin/.orchestrator-ssh:/home/slin/.ssh:ro
+      - /home/slin/.orchestrator-ssh:/root/.ssh:ro
     env_file: .env.staging
     environment:
       - ORCH_REPOS_DIR=/repos

docs/architecture/README.md

@@ -7,11 +7,9 @@
 - **Webhook Receivers** (`src/webhooks/plane.py`, `gitea.py`) — приём событий, HMAC-проверка, дедупликация (`_dedup.py`). Роуты: `POST /webhook/plane`, `POST /webhook/gitea`.
 - **State Machine** (`src/stages.py`) — `STAGE_TRANSITIONS`: переходы, агент и QG каждой стадии. Хелперы: `get_next_stage`, `get_agent_for_stage`, `get_qg_for_stage`, `get_previous_stage`.
 - **Stage Engine** (`src/stage_engine.py`) — исполнение переходов, диспетчеризация QG (`_run_qg`), откаты, синхронизация с Plane.
-- **Review/Test Parsers** (`src/review_parse.py`, ORCH-046) — defensive-извлечение дословного must-fix текста из артефактов для встраивания в `task_desc` заворота: `extract_review_findings` (P0/P1 из `12-review.md`), `extract_test_failures` (фрагмент тела `13-test-report.md`). Контракт «never raise»: любая ошибка → `""`.
 - **Quality Gates** (`src/qg/checks.py`) — проверки выхода со стадии, реестр `QG_CHECKS`.
 - **Agent Launcher** (`src/agents/launcher.py`) — запуск Claude CLI агентов в изолированном git worktree, мониторинг, auto-advance.
 - **Queue** (`src/queue_worker.py`, ORCH-1) — персистентная очередь задач (SQLite `jobs`), atomic claim, max_concurrency, ретраи, restart-safe.
-- **Reconciler** (`src/reconciler.py`, ORCH-053 — реализовано, [adr-0007](adr/adr-0007-reconciler.md)) — фоновый daemon-поток (паттерн `queue_worker`), стартует/останавливается в `main.lifespan` (после `worker.start()` / перед `worker.stop()`). Реконсилирует рассинхрон «источник истины ≠ стадия задачи» при потерянном webhook. F-1 gate-side (продвигает застрявшую стадию по локальной БД через штатный `advance_stage(..., finished_agent=None)`), F-2 plane-side (опрос Plane API → `handle_*` из `plane.py`), F-3 (БД-fallback `sha→branch` в `handle_ci_status`). Источник истины — гейт/Plane, не событие; идемпотентность (active-job guard + atomic-claim + grace); kill-switch `ORCH_RECONCILE_ENABLED`. `analysis` F-1 не трогает (человеческий гейт). F-1 также пропускает escalated (retry≥лимита) и Blocked/Needs-Input задачи (ORCH-060). Наблюдаемость — блок `reconcile` в `GET /queue`.
 - **Project Registry** (`src/projects.py`, ORCH-6) — Plane project id → repo + prefix; фильтрация вебхуков по проекту.
 - **Plane Sync** (`src/plane_sync.py`) — синхронизация статусов/комментариев в Plane.
 
@@ -35,175 +33,19 @@ created → analysis → architecture → development → review → testing →
 | deploy | — | `check_deploy_status` | 14-deploy-log.md (`deploy_status:`) |
 | done | — | — | — |
 
-**Реестр QG** (`QG_CHECKS`): check_analysis_approved, check_analysis_complete, check_architecture_done, check_ci_green, check_review_approved, check_tests_passed, check_reviewer_verdict, check_tests_local, check_deploy_status, check_staging_status, check_branch_mergeable (ORCH-043), check_staging_image_fresh (ORCH-058).
+**Реестр QG** (`QG_CHECKS`): check_analysis_approved, check_analysis_complete, check_architecture_done, check_ci_green, check_review_approved, check_tests_passed, check_reviewer_verdict, check_tests_local, check_deploy_status, check_staging_status.
 
 **Канон гейтов:** машинные вердикты читаются ТОЛЬКО из YAML-frontmatter, никогда из прозы. Лог-файлы мержатся в `origin/main` отдельным PR; гейт читает из `origin/main`.
 
 ### Условный staging-гейт (ORCH-35)
 `check_staging_status` реален только для self-hosting (`is_self_hosting_repo(repo)` → `orchestrator`); для остальных проектов → no-op `(True, "Staging gate N/A")`. Для orchestrator парсит `staging_status:` из `15-staging-log.md`; FAILED → откат на `development`. Подробнее: [ADR-0003](adr/adr-0003-staging-gate.md).
 
-### Толерантность staging-вердикта к инфра-FAIL (ORCH-061 — design)
-Self-hosting зацикливался на `deploy-staging`: `scripts/staging_check.py` давал ложный FAILED на C9a/C9b (ветка в sandbox / analyst-job в очереди), вызванный **отсутствием sandbox-настроек** (bot-аккаунты не члены SANDBOX-проекта), а не регрессом кода → откат `deploy-staging → development` → петля. ORCH-061 классифицирует проверки suite на **REAL** (pipeline) и **SANDBOX_INFRA** (узкий allowlist `{C9a, C9b}`) и делает вердикт толерантным к инфра-FAIL, сохраняя fail-closed для реальных проверок:
-- Чистая логика — leaf-модуль `src/staging_verdict.py` (`classify_check`, `compute_staging_verdict`, never-raise). Упала хоть одна REAL → FAILED/exit1; упали ТОЛЬКО SANDBOX_INFRA и толерантность вкл → SUCCESS/exit0 (waived); waiver применяется только когда все REAL (вкл. C7/C8) зелёные.
-- `scripts/staging_check.py` помечает проверки категориями, считает вердикт через `staging_verdict`, печатает `INFRA-WAIVED` (наблюдаемость).
-- Kill-switch `staging_infra_tolerance_enabled` (env `ORCH_STAGING_INFRA_TOLERANCE_ENABLED`, дефолт `true`, в `.env.staging`); `false` → 1:1 прежнее строгое поведение.
-- `check_staging_status` / `_parse_staging_status` / `STAGE_TRANSITIONS` / реестр `QG_CHECKS` — **без изменений** (новый QG-чек не вводится); условность ORCH-35 и схема БД сохранены.
-- Инвариант: «no changes to commit» на action-стадиях (`deploy-staging`/`deploy`) не есть недовыполнение — продвижение определяется exit0 + гейт-вердиктом (launcher не откатывает; добавлена observability-строка).
-
-Подробнее: [adr-0009](adr/adr-0009-staging-infra-tolerance.md), детально — `docs/work-items/ORCH-061/06-adr/ADR-001-staging-infra-tolerance.md`.
-
-### Merge-gate: догон `main` + re-test + сериализация слияний (ORCH-043)
-Детерминированный под-гейт (`check_branch_mergeable`, без LLM) на ребре **`deploy-staging → deploy`**: исполняется ПОСЛЕ `check_staging_status` и ДО запуска deployer'а, который вливает PR в `main` (deployer мержит в начале стадии `deploy`). Стадии (`STAGE_TRANSITIONS`) НЕ меняются — это «под-гейт» ребра, а не отдельная стадия (триггер — то же событие «staging-deployer завершился»).
-
-Назначение: ветка валидируется относительно того `main`, из которого создана; параллельная задача могла уйти вперёд → семантический конфликт слияния (зелёная ветка ломает обновлённый `main`). Merge-gate гарантирует проверку против **актуального** `origin/main` перед слиянием:
-- **Догон:** ветка отстаёт (⇔ `origin/main` не предок HEAD) → `rebase origin/main` в worktree + `push --force-with-lease` (ТОЛЬКО ветка задачи; `main` — никогда). Текстовый конфликт → `rebase --abort` → откат на `development`.
-- **Re-test:** `python -m pytest` (`merge_retest_target`, дефолт `tests/`) в worktree догнанной ветки, тайм-аут `merge_retest_timeout_s`. Красный/тайм-аут → откат на `development`.
-- **Сериализация (merge-lock):** файловый **merge-lease** на репо (`<repos_dir>/.merge-lease-<repo>.json`), живёт от гейта до фактического merge. Acquire **неблокирующий** (anti-deadlock при `max_concurrency=1`): busy → **defer** (повторная постановка deployer'а на `deploy-staging` с задержкой через `available_at`), а не откат. Release — на PR-merged вебхуке / `deploy→done` / откате / по возрасту (crash-реклейм). Restart-safe; без изменения схемы БД.
-- **Условность (как ORCH-35):** реален для `orchestrator`; прочие репо — no-op. Флаги `merge_gate_enabled` / `merge_gate_repos` — поэтапный раскат. Контракт **never-raise**.
-
-Подробнее: [adr-0006](adr/adr-0006-merge-gate.md), детально — `docs/work-items/ORCH-043/06-adr/ADR-001-merge-gate.md`.
-
-### Исполняемый самодеплой стадии `deploy` (ORCH-36)
-`deploy` перестаёт быть «бумажной»: для self-hosting (`is_self_hosting_repo`) стадия
-РЕАЛЬНО деплоит прод (8500) через хост-хук `scripts/orchestrator-deploy-hook.sh`,
-а `deploy_status: SUCCESS` означает доказанный health-ok, не декларацию LLM. Три фазы
-(детерминированно, без LLM в критическом пути self-restart):
-- **Фаза A (вход в `deploy`)** — при `deploy_require_manual_approve=true` вместо запуска
-  прод-deployer выставляется approval-pending статус Plane + запрос approve
-  (Plane-коммент + Telegram). Перехват в `advance_stage` ПОСЛЕ `check_staging_status`
-  и merge-gate.
-- **Фаза B (Plane → `Approved`)** — `advance_stage(deploy, finished_agent=None)`
-  запускает **detached host-процесс** (ssh + setsid → хук с прод-параметрами +
-  build-once retag `SOURCE_IMAGE`) и ставит детерминированный **finalizer-job**;
-  маркер `initiated` — идемпотентность. Возврат БЕЗ advance (вердикта ещё нет).
-- **Фаза C (finalizer)** — новый контейнер после рестарта читает sentinel `result`
-  (exit-code хука), маппит `0→SUCCESS / иначе→FAILED`, пишет `14-deploy-log.md`,
-  вызывает `advance_stage(deploy, finished_agent="deployer")` → существующие контракты:
-  `SUCCESS → done`, `FAILED → откат БАГ-8 на development`.
-
-Approve = смена статуса Plane на `Approved` (status-only verdict model; комментарии
-не управляют конвейером). На старте — обязательный ручной approve (флаг `true`); полный
-авто — отдельная задача (ORCH-54). Условность как ORCH-35: реально для `orchestrator`,
-прочие репо — прежний синхронный ssh-деплой агентом. Контракты не меняются:
-`STAGE_TRANSITIONS`, реестр QG, `check_deploy_status`/`_parse_deploy_status`, БАГ-8,
-terminal-sync, merge-gate, exit-code-контракт хука. Restart-safe состояние —
-sentinel-файлы (`<repos_dir>/.deploy-state-<repo>/<wi>/`), без миграции БД.
-Подробнее: [adr-0007](adr/adr-0007-executable-self-deploy.md), детально —
-`docs/work-items/ORCH-036/06-adr/ADR-001-executable-self-deploy.md`.
-
-### Post-deploy наблюдение прода + реакция на деградацию (ORCH-021 — реализовано)
-Конвейер заканчивался на `deploy → done` и **забывал про прод**: «успех» = health-check
-в момент рестарта (~60с). Класс «зелёный деплой, красный прод» (прецедент ET-8 —
-деградация через минуты под трафиком, health `200 ok`, фича сломана). ORCH-021 продлевает
-ответственность **ЗА** `done`: для применимого репо после терминального перехода армится
-наблюдение окна `post_deploy_window_s` (~15 мин) с интервалом `post_deploy_interval_s`;
-деградация фиксируется по детерминированным порогам, при подтверждении — реакция.
-
-Механизм — **reserved-agent job `post-deploy-monitor`** (калька `deploy-finalizer`, НЕ
-стадия и НЕ daemon): арм в `advance_stage` в блоке `next_stage == "done"`
-(`post_deploy.arm_monitor`, sentinel `armed` = идемпотентность); тик перехватывается в
-`launcher.launch_job` ДО `_spawn` → `stage_engine.run_post_deploy_monitor` (один опрос →
-append в `series` → классификация → перепостановка с задержкой ИЛИ реакция+артефакт+`done`).
-Чистая логика — новый leaf-модуль `src/post_deploy.py` (never-raise): `post_deploy_applies`,
-`probe_signals` (`/health` 200+`{"status":"ok"}` + доля 5xx на `/status`,`/queue`),
-`classify` (HEALTHY|DEGRADED — главный предмет юнит-тестов), `decide_action`,
-sentinel-state, `write_post_deploy_log`.
-- **Пороги (BR-3):** `DEGRADED` ⇔ `≥ post_deploy_fail_threshold` ПОСЛЕДОВАТЕЛЬНЫХ провалов
-  health ИЛИ доля 5xx `> post_deploy_5xx_threshold`; одиночный глюк → HEALTHY (нет ложных
-  откатов).
-- **Реакция:** self-hosting (`orchestrator`) — ВСЕГДА `ALERT_ONLY` (Telegram+Plane, ручной
-  approve; тик НИКОГДА не откатывает/рестартит прод-контейнер); не-self +
-  `post_deploy_auto_rollback=true` → хук `--rollback` (`0→ROLLBACK_OK`,
-  `1/2→ROLLBACK_FAILED`+алерт); дефолт → `ALERT_ONLY`.
-- **Артефакт** `16-post-deploy-log.md` (YAML-frontmatter `post_deploy_status`/
-  `action_taken`/…) — машиночитаемо для петли уроков ORCH-8; best-effort.
-- **Наблюдаемость** — блок `post_deploy` в `GET /queue` (образец `reconcile`).
-- **Инварианты:** `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_deploy_status`, terminal-sync,
-  merge-gate, exit-коды хука (0/1/2), схема БД — НЕ меняются. Restart-safe (sentinel
-  `.post-deploy-state-<repo>/<wi>/` + jobs-очередь). Kill-switch
-  `post_deploy_monitor_enabled`, область `post_deploy_repos` (пусто → self-hosting).
-  Условность как ORCH-35/36/43/58.
-
-Подробнее: [adr-0010](adr/adr-0010-post-deploy-monitor.md), детально —
-`docs/work-items/ORCH-021/06-adr/ADR-001-post-deploy-monitor.md`.
-
-### Свежесть артефакта BUILD-ONCE: провенанс staging-образа (ORCH-058 — реализовано)
-BUILD-ONCE retag (ORCH-36) промоутит `SOURCE_IMAGE=orchestrator-orchestrator-staging` в прод
-**без rebuild**, полагаясь на «staging-образ свеж и провалидирован». Этой гарантии нет:
-конвейер нигде не пересобирает staging-образ из провалидированного коммита → retag мог тихо
-промоутнуть УСТАРЕВШИЙ образ (инцидент LESSONS_ORCH-036 п.4 — зелёный деплой молча
-откатывал прод). ORCH-058 обеспечивает инвариант `INV-FRESH` **двумя слоями** (defense in
-depth), только для self-hosting:
-- **A — пересборка (liveness):** детерминированный QG-под-чек `check_staging_image_fresh` на
-  ребре `deploy-staging → deploy` ПОСЛЕ merge-gate и ДО Phase A пересобирает
-  `orchestrator-orchestrator-staging` из worktree валидированного коммита
-  (`--build-arg GIT_SHA=<sha>`, OCI-лейбл `org.opencontainers.image.revision`), пересоздаёт
-  8501 и прогоняет `staging_check` против свежего образа → валидируем и промоутим один
-  артефакт. FAIL → откат на `development` (как merge-gate). Сборки/recreate — ТОЛЬКО staging.
-- **B — fail-closed guard (safety):** хук шагом 2b ПЕРЕД `docker tag` сверяет лейбл `revision`
-  у `SOURCE_IMAGE` с `EXPECTED_REVISION` (пробрасывает `build_deploy_command`). Несовпадение
-  / пустой лейбл / пустой ожидаемый SHA / ошибка inspect → `exit 1` → FAILED (БАГ-8 откат),
-  прод не трогается. Делает тихий промоут устаревшего образа структурно невозможным даже при
-  отключённой/проигравшей гонку A.
-
-Якорь «провалидированного коммита» — `git rev-parse HEAD` worktree ПОСЛЕ merge-gate (один
-helper `validated_revision` питает и штамп A, и `EXPECTED_REVISION` B). Единый kill-switch
-`image_freshness_enabled` включает A+B **как целое** (нет «B без A» = вечного fail-fast);
-`image_freshness_repos` (пусто → self-hosting). `STAGE_TRANSITIONS`, exit-code хука (0/1/2),
-`check_deploy_status`, БАГ-8, merge-gate, схема БД — НЕ меняются (под-гейт ребра + лейбл
-образа, без миграций). Подробнее: [adr-0008](adr/adr-0008-staging-image-provenance.md),
-детально — `docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.
-
-### Reconciler: реконсиляция потерянных webhook (ORCH-053 — реализовано)
-Конвейер продвигается только входящими webhook; потерянное событие (502 на ребилде,
-нет ретраев у Plane/Gitea, неразрезолвленный `sha→branch`) → задача застревает молча
-(инцидент ORCH-044). Фоновый поток `reconciler` периодически (`reconcile_interval_s`)
-находит застрявшие задачи и доигрывает пропущенный переход **через те же штатные
-гейты/обработчики**, что и webhook:
-- **F-1 gate-side:** для задач со `stage∉{done}`, без активного job и
-  `age(updated_at) ≥ grace_for_stage(stage)` — read-only пред-оценка канонического QG;
-  зелёный → `stage_engine.advance_stage(..., finished_agent=None)`; красный →
-  тишина (спам нотификаций структурно невозможен). `analysis` не реконсилируется.
-  **Skip escalated / Blocked / Needs-Input (ORCH-060):** ДО оценки гейта F-1
-  пропускает (молча, без advance/нотификаций) задачи, которые ждут человека —
-  (1) исчерпавшие лимит developer-ретраев (`developer_retry_count(task_id) >=
-  MAX_DEVELOPER_RETRIES`, детерминированно, без сети — закрывает bounce-петлю
-  ET-013) и (2) в явном Plane-статусе **Blocked** / **Needs Input** (Вариант A —
-  запрос Plane API, без миграции БД; never-raise → консервативный skip). Гард
-  retry-count проверяется первым (дёшево, локальный SQL).
-- **F-2 plane-side:** опрос Plane API per-project → `handle_status_start` /
-  `handle_verdict` из `webhooks/plane.py` (логика не дублируется).
-- **F-3:** усиление `sha→branch` в `handle_ci_status` (БД-fallback по единственной
-  development-задаче repo; неоднозначность → не резолвим).
-- **F-4 observability:** при разблокировке — лог-строка `reconciler: <wi> <stage>
-  разблокирована (потерян webhook)` + Telegram (`reconcile_notify_unblock`); снимок
-  состояния в `GET /queue` (блок `reconcile`).
-
-Реализация: `src/reconciler.py` (daemon-поток по образцу `queue_worker`), стартует в
-`main.lifespan` **после** `worker.start()`, останавливается в `finally` **перед**
-`worker.stop()`.
-
-Инварианты: источник истины — гейт/Plane, не событие; идемпотентность (active-job
-guard + atomic-claim на создании под process-wide Lock + grace + `max_concurrency=1`);
-never-raise на единицу работы; тишина при синхронности; restart-safe; kill-switch
-`ORCH_RECONCILE_ENABLED` (+ `ORCH_RECONCILE_PLANE_ENABLED` гасит только F-2). Схема БД
-и реестры (`STAGE_TRANSITIONS`/`QG_CHECKS`) не меняются. Подробнее:
-[adr-0007](adr/adr-0007-reconciler.md), детально — `docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md`.
-
 ## Откаты
 - Reviewer REQUEST_CHANGES → откат на `development` + retry (`MAX_DEVELOPER_RETRIES = 3`).
 - Tester `check_tests_passed` FAIL → откат на `development` + retry.
 - Deploy / deploy-staging FAILED → откат на `development`.
-- Merge-gate FAIL (конфликт rebase / красный re-test, ORCH-043) → откат на `development` + retry; `merge-lock busy` → **defer** (не откат, dev-retry не тратится).
 - `get_previous_stage` использует порядок ключей `STAGE_TRANSITIONS`.
 
-### Обогащение `task_desc` при заворотах (ORCH-046)
-При откате на `development` `task_desc` (попадает в `.task-dev.md` developer-агента) несёт **дословный must-fix текст**, а не только ссылку — чтобы агент видел суть претензий сразу и не повторял ту же ошибку:
-- **reviewer REQUEST_CHANGES** → дословные пункты P0/P1 из секции `## Findings` файла `12-review.md` (`extract_review_findings`);
-- **tester `check_tests_passed` FAIL** → `reason` гейта + фрагмент тела `13-test-report.md` (приоритет: `## Вывод pytest` → FAIL-строки `## Результаты` → `## Итог`; `extract_test_failures`).
-
-Ссылка на полный файл-артефакт сохраняется всегда («Полный контекст»). Парсеры `src/review_parse.py` — defensive (never-raise); при отсутствующем/битом артефакте `task_desc` graceful-фоллбэк на прежнюю ссылку-строку, последовательность отката и retry-счётчик не меняются (ADR `docs/work-items/ORCH-046/06-adr/ADR-001-embed-findings-in-task-desc.md`).
-
 ### Plane Sync: единый status-коммент агентов (ORCH-016)
 Все агенты (analyst / architect / developer / reviewer / tester / deployer) пишут финальный коммент через **один хелпер** `usage.build_status_comment(...)` (ADR `docs/work-items/ORCH-016/06-adr/ADR-001-unified-status-comment.md`). Формат HTML, разделители `<br>`:
 
@@ -216,7 +58,7 @@ never-raise на единицу работы; тишина при синхрон
 ```
 
 - **Длительность** считается launcher'ом (`_monitor_agent`) и пробрасывается в `_post_usage_comments`; для analyst (коммент строится в `stage_engine`) используется DB-фоллбэк `usage.get_agent_duration(task_id, agent)`.
-- **Vердикт-парсер** — `src/frontmatter.read_frontmatter_value(...)` (defensive, никогда не raise). Машинные ключи: reviewer → `verdict:` (12-review.md); **testing-гейт `check_tests_passed` (13-test-report.md) → любое из трёх равноправных: `result:` (канон промпта тестера), `verdict:`, `status:`** (ORCH-047, ADR-001); deployer → `deploy_status:` (14-deploy-log.md), `staging_status:` (15-staging-log.md). Negative-токен в любом поле авторитетен (перебивает positive).
+- **Vердикт-парсер** — `src/frontmatter.read_frontmatter_value(...)` (defensive, никогда не raise). Машинные ключи: `verdict:` (reviewer/tester), `deploy_status:` (14-deploy-log.md), `staging_status:` (15-staging-log.md).
 - Формат коммента **не** меняет реестр гейтов и стадий; коммент — отображение, не управление.
 
 ## База данных (SQLite)
@@ -233,7 +75,7 @@ never-raise на единицу работы; тишина при синхрон
 |--------|------|----------|
 | GET | `/health` | health check |
 | GET | `/status` | активные задачи (stage != done) |
-| GET | `/queue` | очередь: counts + max_concurrency + resilience + reconcile (ORCH-053) + post_deploy (ORCH-021) + последние jobs |
+| GET | `/queue` | очередь: counts + max_concurrency + последние jobs |
 | POST | `/webhook/plane` | Plane webhook |
 | POST | `/webhook/gitea` | Gitea webhook (push, PR, CI status) |
 
@@ -247,4 +89,4 @@ never-raise на единицу работы; тишина при синхрон
 Схема БД, потоки данных, resilience-слой, детали Dockerfile — [internals.md](internals.md).
 
 ---
-*Актуально на 2026-06-07. Обновлять при изменении src/stages.py, src/qg/checks.py, src/main.py. Статусы доработок: ORCH-036 (исполняемый самодеплой `deploy`, adr-0007) — реализовано; ORCH-043 (merge-gate, adr-0006) — design, ветка feature/ORCH-043; ORCH-053 (reconciler, adr-0007, src/reconciler.py) — реализовано; ORCH-060 (F-1 skip escalated/Blocked/Needs-Input, `docs/work-items/ORCH-060/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-060 (Guard 1 `developer_retry_count>=MAX_DEVELOPER_RETRIES` + Guard 2 `plane_sync.fetch_issue_state` Blocked/Needs-Input, флаг `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED`); ORCH-058 (провенанс staging-образа: check_staging_image_fresh + staging_check свежего образа + хук-guard, adr-0008) — реализовано в ветке feature/ORCH-058 (обновлять также при изменении src/image_freshness.py, scripts/orchestrator-deploy-hook.sh, Dockerfile); ORCH-061 (толерантность staging-вердикта к инфра-FAIL C9a/C9b, adr-0009, `docs/work-items/ORCH-061/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-061 (обновлять также при изменении src/staging_verdict.py, scripts/staging_check.py, флаг staging_infra_tolerance_enabled); ORCH-021 (post-deploy наблюдение прода + реакция на деградацию, adr-0010, `docs/work-items/ORCH-021/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-021-post-deploy-rollback (reserved-agent job `post-deploy-monitor`: арм в src/stage_engine.py блок `next_stage == "done"`, тик `run_post_deploy_monitor` + перехват в src/agents/launcher.py ДО _spawn; чистая логика src/post_deploy.py never-raise; флаги `post_deploy_*` в src/config.py; блок `post_deploy` в `/queue`; артефакт 16-post-deploy-log.md; self-hosting всегда ALERT_ONLY — тик не рестартит прод; обновлять также при изменении src/post_deploy.py / арм-блока / launcher-перехвата).*
+*Актуально на 2026-06-05 (main `f1b3146`). Обновлять при изменении src/stages.py, src/qg/checks.py, src/main.py.*

docs/architecture/adr/README.md

@@ -8,19 +8,6 @@ Per-work-item решения живут в `docs/work-items/<id>/06-adr/ADR-NNN-
 | adr-0001 | Реестр проектов (multi-repo) | accepted | 2026-06-02 | ORCH-6 |
 | adr-0002 | Очередь задач вместо in-process потоков | accepted | 2026-06-03 | ORCH-1 |
 | adr-0003 | Условный staging-гейт перед прод-деплоем | accepted | 2026-06-05 | ORCH-35 |
-| adr-0004 | Поллинг с ретраем в check_ci_green (фикс CI-race) | accepted | 2026-06-05 | ORCH-045 |
-| adr-0005 | Контейнеры бегут под uid:gid хоста (1000:1000) | accepted | 2026-06-06 | ORCH-040 |
-| adr-0006 | Merge-gate (догон main + re-test + сериализация слияний) | proposed | 2026-06-06 | ORCH-043 |
-| adr-0007 | Reconciler застрявших стадий (sweeper потерянных webhook) | accepted | 2026-06-06 | ORCH-053 |
-| adr-0007 | Исполняемый самодеплой стадии `deploy` (файл adr-0007-executable-self-deploy) | accepted | 2026-06-06 | ORCH-036 |
-| adr-0008 | Провенанс staging-образа перед BUILD-ONCE retag | accepted | 2026-06-06 | ORCH-058 |
-| adr-0009 | Толерантность staging-вердикта к инфраструктурным FAIL | accepted | 2026-06-07 | ORCH-061 |
-| adr-0010 | Post-deploy мониторинг прода + реакция на деградацию | proposed | 2026-06-07 | ORCH-021 |
-
-> ⚠️ Историческая коллизия: номер `0007` занят двумя файлами —
-> `adr-0007-reconciler.md` (ORCH-053) и `adr-0007-executable-self-deploy.md`
-> (ORCH-036). Оба accepted; для новых сквозных ADR использовать следующий
-> свободный номер (текущий максимум — `0010`).
 
 ## Формат
 **Контекст → Решение → Альтернативы → Последствия → Связи.** Статус: proposed / accepted / superseded.

docs/architecture/adr/adr-0004-ci-poll-retry.md

@@ -1,45 +0,0 @@
-# adr-0004: Поллинг с ретраем в quality-gate check_ci_green (фикс CI-race)
-
-- **Статус:** accepted
-- **Дата:** 2026-06-05
-- **Задача:** ORCH-045
-
-## Контекст
-Quality-gate `check_ci_green(repo, branch)` (`src/qg/checks.py`) проверяет combined commit-status ветки через Gitea API сразу после того, как developer-агент запушил код. Реализация была **single-shot**: один `GET /repos/{owner}/{repo}/commits/{branch}/status`, чтение `data["state"]` — `success` → пропуск, иначе → сразу `False`.
-
-Это создавало race condition. Gitea-CI после пуша 1–3 секунды держит combined state `pending`, пока не отработают чек-раннеры. Если гейт опрашивал статус в этом окне, он получал `pending` и возвращал `False` **ровно один раз** — повторного опроса не было. Combined state затем дозеленевал до `success`, но гейт уже промахнулся, и задача застревала насмерть без видимой причины.
-
-Реальный инцидент **ORCH-017**: гейт опросил статус в 17:58:54 → `pending`; CI дозеленел в 17:58:55. Задача встала в тупик (см. `docs/history` / lessons ORCH-017).
-
-## Решение
-`check_ci_green` превращён из single-shot в **polling с ретраем**:
-
-- `state == "success"` → `(True, "CI green")` немедленно.
-- `state in ("failure", "error")` → `(False, "CI state: <state>")` немедленно — CI красный, ретрай бессмыслен (терминальное состояние).
-- `state == "pending"` (или `unknown` / иное не-терминальное) → `time.sleep(interval)` и опрос снова, до `N` попыток.
-- После исчерпания всех попыток при всё ещё `pending` → `(False, "CI still pending after <T>s")` — **явный** провал с причиной, чтобы оператор видел тупик, а не молчаливый стол.
-- `404` → `(False, "Branch ... not found or no status")` — как раньше.
-- Транзиентная `httpx.HTTPError` на отдельной попытке — **не падаем сразу**: логируем и пробуем ещё в рамках лимита попыток; если все попытки — сетевая ошибка → `(False, "API error: <e>")`.
-
-Параметры вынесены в `src/config.py` (pydantic-settings, env-prefix `ORCH_`, единый стиль с остальными настройками):
-- `ci_poll_max_attempts` (env `ORCH_CI_POLL_MAX_ATTEMPTS`, дефолт **12**)
-- `ci_poll_interval_s` (env `ORCH_CI_POLL_INTERVAL_S`, дефолт **10**)
-
-Итого по умолчанию гейт ждёт `pending` до ~2 минут (12 × 10s) перед тем как явно провалиться. Каждая не-финальная попытка логируется через существующий `logger` (`check_ci_green: attempt i/N, state=..., retrying in Ns`). `timeout=10` на каждый отдельный запрос сохранён.
-
-Сигнатура `check_ci_green(repo, branch) -> tuple[bool, str]` **не менялась** — её зовёт stage_engine и реестр гейтов `QG_CHECKS`.
-
-## Альтернативы
-- **Оставить single-shot, опрашивать гейт повторно снаружи (на уровне stage_engine/воркера).** Отклонено: размазывает логику CI-ожидания по слоям, дублирует таймауты; гейт — естественное место знания о combined-status.
-- **Webhook от Gitea на завершение CI вместо поллинга.** Отложено: требует надёжной доставки/дедупликации вебхуков именно по CI-статусу и переписывания триггера стадии; поллинг — минимальный, локализованный фикс race-а здесь и сейчас.
-- **Бесконечный ретрай до зелёного.** Отклонено: задача могла бы висеть вечно при реально зависшем CI; ограниченный бюджет + явный `False` с причиной даёт оператору сигнал.
-
-## Последствия
-- CI-race ORCH-017 закрыт: транзиентный `pending` переживается ретраем, гейт не промахивается.
-- `check_ci_green` теперь **блокирующий** до ~`max_attempts × interval` секунд при затяжном `pending` (по умолчанию ~2 мин). Это осознанный trade-off; для красного CI и success — выход немедленный, без задержки.
-- Тупик больше не молчаливый: истечение попыток → `(False, "CI still pending after <T>s")`, причина видна.
-- Бюджет/интервал настраиваемы через env без правки кода.
-- `check_tests_passed` / `_parse_tests_verdict` (ORCH-47) **не затронуты**.
-
-## Связи
-ORCH-017 (инцидент-первоисточник: deadlock shared-gate из-за CI-race), реестр гейтов `QG_CHECKS` (`check_ci_green`), стадия `development`. Тесты: `tests/test_qg.py::TestCheckCIGreen`.

docs/architecture/adr/adr-0005-container-runs-as-host-uid.md

@@ -1,42 +0,0 @@
-# adr-0005: Контейнеры оркестратора бегут под uid:gid хоста (1000:1000)
-
-- **Статус:** accepted
-- **Дата:** 2026-06-06
-- **Задача:** ORCH-040
-
-## Контекст
-Оба контейнера (`orchestrator`, `orchestrator-staging`) запускались под `uid=0 (root)` и
-монтировали хостовый `/home/slin/repos` → `/repos` (rw). Claude-CLI агенты исполняются
-`subprocess.Popen` внутри контейнера под тем же root, поэтому все артефакты конвейера
-(git worktree, коммиты в `docs/`) появлялись на хосте как `root:root`. Деплой прода под
-`slin` (uid 1000) ломался на правах git до ручного `chown`. Это сквозное свойство рантайма:
-касается агентов **всех** проектов, а не отдельной фичи.
-
-## Решение
-Оба сервиса в `docker-compose.yml` запускаются под `user: "1000:1000"` (uid:gid хоста `slin`).
-- `group_add: ["999"]` сохраняется — доступ к docker.sock идёт через gid 999, не через root.
-- target SSH-маунта приведён к `/home/slin/.ssh` (был `/root/.ssh`), синхронно с
-  `HOME=/home/slin`, который форсит launcher → единый HOME по осям uid/claude/ssh.
-- Образ и launcher не меняются: numeric uid не требует записи в `/etc/passwd`,
-  `git config --system safe.directory '*'` уже есть.
-
-Обязательные host-prerequisites (Owner, вне кода): доступ uid 1000 к
-`/home/slin/.claude/.credentials.json` (блокер), ssh-ключи в новом HOME, рестарт prod
-только в окно тишины. Детали и команды — work-item ADR-001 и `docs/operations/INFRA.md`.
-
-## Альтернативы
-- **drop-privileges только для subprocess агента** (`gosu`/`setuid`) — контейнер остаётся
-  root; новый код в горячем пути launcher, два uid в одном контейнере; отклонён.
-- **chown-хук после каждой стадии** — лечит симптом, требует root внутри контейнера
-  (несовместимо), хрупкий пост-шаг; отклонён (fallback на крайний случай).
-
-## Последствия
-- Артефакты создаются под `slin:slin`; деплой прода не требует ручного `chown`.
-- HOME консистентен (uid = claude = ssh = `/home/slin`); устранён рассинхрон SSH-маунта.
-- Появляется явная привязка рантайма к uid 1000 хоста (задокументирована в INFRA.md).
-- Прод-рестарт self = групповой риск (общий инстанс с enduro-trails) → строго окно тишины;
-  страховка — staging-гейт (adr-0003).
-
-## Связи
-adr-0003 (staging-гейт — обязательная проверка перед прод-рестартом self),
-adr-0001 (`is_self_hosting_repo`), work-item `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md`.

docs/architecture/adr/adr-0006-merge-gate.md

@@ -1,53 +0,0 @@
-# adr-0006: Merge-gate — догон `main` + re-test + сериализация слияний
-
-- **Статус:** proposed
-- **Дата:** 2026-06-06
-- **Задача:** ORCH-043
-- **Детальный ADR:** `docs/work-items/ORCH-043/06-adr/ADR-001-merge-gate.md`
-
-## Контекст
-Ветка валидируется относительно того `main`, из которого создана, а не относительно `main`
-на момент слияния. Параллельная задача могла влиться раньше → **семантический конфликт
-слияния** (git мержит без текстового конфликта, но `main` сломан). Для self-hosting это
-красный `main` инструмента, обслуживающего все проекты. Слияние в `main` делает
-deployer-агент в начале стадии `deploy`; замена механизма PR-merge — вне объёма.
-
-## Решение
-Детерминированный merge-gate (`check_branch_mergeable`, без LLM) на ребре
-`deploy-staging → deploy`, ДО запуска deployer'а, который мержит. `STAGE_TRANSITIONS` не
-меняется (минимальный blast-radius); в `QG_CHECKS` добавлен `check_branch_mergeable`.
-
-- **Догон:** ветка отстаёт ⇔ `origin/main` не предок HEAD → `rebase origin/main` в worktree
-  + `push --force-with-lease` (ТОЛЬКО ветка задачи; `main` — никогда). Текстовый конфликт →
-  `rebase --abort` → откат на `development`.
-- **Re-test:** `python -m pytest tests/` в worktree догнанной ветки, тайм-аут
-  `merge_retest_timeout_s`. Красный/тайм-аут → откат на `development`.
-- **Сериализация (BR-5):** файловый **merge-lease** на репо
-  (`<repos_dir>/.merge-lease-<repo>.json`), живёт от гейта до фактического merge.
-  Acquire **неблокирующий** (anti-deadlock при `max_concurrency=1`): busy → **defer**
-  (re-enqueue deployer с задержкой через `available_at`), не rollback. Release — на
-  PR-merged вебхуке / `deploy→done` / откате / по возрасту (crash-реклейм). Restart-safe.
-- **Условность (как ORCH-35):** реален для `orchestrator`; прочие репо — no-op. Флаги
-  `merge_gate_enabled` / `merge_gate_repos` для поэтапного раската.
-
-## Альтернативы
-- **Новая стадия `merge-gate`** (кандидат B) — «пустая» стадия без агента не имеет триггера
-  (`advance_stage` срабатывает только на завершении агента/вебхуке); потребовала бы chaining
-  в движке (не restart-safe) или синтетический job-тип. Отклонено.
-- **Перенос merge в детерминированный шаг оркестратора** (кандидат C) — запрещён объёмом
-  (замена механизма PR-merge вне scope). Отклонено.
-- **Блокирующий lock** — дедлок при одном worker-слоте. Отклонено в пользу defer.
-
-## Последствия
-- Сценарий «две зелёные ветки ломают `main`» закрыт: re-test против актуального `main` +
-  сериализация слияний.
-- Плата: merge-gate — «скрытый» под-гейт ребра (нет в `STAGE_TRANSITIONS`); сериализация
-  опирается на PR-merged вебхук со страховкой реклеймом по возрасту; defer перепрогоняет
-  staging; длинный re-test держит worker-слот.
-- Сквозное изменение конвейера → `arch:major-change`; прод-деплой ORCH-043 строго через
-  staging-гейт (8501).
-
-## Связи
-adr-0001 (`is_self_hosting_repo`), adr-0003 (условный staging-гейт — образец условности),
-adr-0002 (очередь / `available_at` для defer), ORCH-2 (worktree-изоляция), ORCH-046
-(дословный reason в `task_desc` при откате).

docs/architecture/adr/adr-0007-executable-self-deploy.md

@@ -1,64 +0,0 @@
-# ADR-0007: Исполняемый самодеплой стадии `deploy` (Вариант B, ORCH-36)
-
-## Статус
-Accepted (design) — реализация в ветке `feature/ORCH-036`.
-
-## Контекст
-Стадия `deploy` была «бумажной»: deployer-агент писал `deploy_status:` в
-`14-deploy-log.md`, гейт `check_deploy_status` парсил вердикт и двигал
-`deploy → done`. Реального деплоя не было. ORCH-36 делает стадию исполняемой для
-self-hosting (`orchestrator`), сохраняя прежний ssh-путь для остальных репо.
-
-Три ограничения формируют дизайн (детально — `docs/work-items/ORCH-036/06-adr/ADR-001`):
-1. **Self-restart**: рестарт прод-контейнера 8500 убивает in-container процесс →
-   рестарт делает ВНЕШНИЙ host-процесс.
-2. **Status-only verdict model**: approve = смена статуса Plane на `Approved`
-   (комментарии не управляют конвейером).
-3. **Гонка гейта**: вердикт нельзя читать до завершения асинхронного хука.
-
-## Решение
-Для self-hosting стадия `deploy` исполняется в три фазы детерминированным кодом
-(без LLM в критическом пути self-restart):
-
-- **Фаза A (вход в `deploy`)** — для self + `deploy_require_manual_approve=true`
-  вместо запуска прод-deployer выставляется approval-pending статус Plane + запрос
-  approve (Plane-коммент + Telegram). Перехват в `advance_stage` на ребре
-  `deploy-staging → deploy` (после `check_staging_status` и merge-gate).
-- **Фаза B (Plane → Approved)** — `advance_stage(deploy, finished_agent=None)`
-  запускает **detached host-процесс** (ssh + setsid → `orchestrator-deploy-hook.sh`
-  с прод-параметрами и build-once retag) и ставит **детерминированный finalizer-job**
-  с задержкой; маркер `initiated` — идемпотентность. Возврат БЕЗ advance.
-- **Фаза C (finalizer)** — после рестарта новый контейнер дочитывает sentinel
-  `result` (exit-code хука), маппит `0→SUCCESS / иначе→FAILED`, пишет
-  `14-deploy-log.md`, вызывает `advance_stage(deploy, finished_agent="deployer")`
-  → существующие контракты: `SUCCESS → done`, `FAILED → откат БАГ-8 на development`.
-
-### Ключевые инварианты (НЕ меняются)
-`STAGE_TRANSITIONS`, реестр QG, `check_deploy_status` / `_parse_deploy_status`
-(frontmatter only), откат БАГ-8, terminal-sync `deploy → done`, merge-gate (ORCH-43),
-exit-code-контракт хука (0/1/2).
-
-### Новое (сквозное)
-- **Детерминированный job-kind** `deploy-finalizer` в очереди (reserved-agent, не
-  LLM): read-result | defer | map+write+advance. Зеркалит детерминизм merge-gate.
-- **Approve-флаг** `deploy_require_manual_approve` (дефолт `true`; полный авто —
-  отдельная задача после набора метрик доверия, ORCH-54).
-- **Build-once**: опциональный `SOURCE_IMAGE` retag в хуке (обратно совместимо).
-- **Restart-safe состояние** деплоя — sentinel-файлы под
-  `<repos_dir>/.deploy-state-<repo>/<wi>/` (как merge-lease), БЕЗ миграции БД.
-
-### Условность
-Вся логика — только для `is_self_hosting_repo(repo)` (как ORCH-35). Прочие репо
-деплоятся прежним синхронным ssh-путём агентом.
-
-## Последствия
-- `deploy_status: SUCCESS` доказан реальным health-ok; критический путь self-restart
-  детерминирован.
-- Вводится новая под-компонента (finalizer job-handler) → изменение помечено
-  `arch:major-change`.
-- Approve вписан в status-only модель: restart-safe, аудируемо, идемпотентно.
-- На старте — обязательный ручной approve; молчаливых деплоев нет (Plane+Telegram).
-
-## Связанные ADR
-`adr-0003` (staging-gate), `adr-0006` (merge-gate), `adr-0005` (run-as-host-uid).
-Детальный per-work-item: `docs/work-items/ORCH-036/06-adr/ADR-001-executable-self-deploy.md`.

docs/architecture/adr/adr-0007-reconciler.md

@@ -1,77 +0,0 @@
-# adr-0007: Reconciler застрявших стадий (sweeper потерянных webhook)
-
-- **Статус:** accepted (реализовано в `src/reconciler.py`)
-- **Дата:** 2026-06-06
-- **Задача:** ORCH-053
-- **Детальный ADR:** `docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md`
-
-## Контекст
-Конвейер продвигается **только** входящими webhook (Plane status / Gitea CI/PR).
-Потерянное событие (502 на ребилде, отсутствие ретраев у Plane/Gitea,
-неразрезолвленный `sha→branch`) → источник истины изменился, а стадия задачи —
-нет; задача застревает молча (инцидент ORCH-044). Существующий resilience
-(`requeue_running_jobs`, orphan-recovery, events de-dup ORCH-5, `ci_poll`
-ORCH-045) работает на уровне jobs/agent_runs и **не реконсилирует**
-рассинхрон «источник истины ≠ стадия задачи».
-
-## Решение
-Фоновый daemon-поток `src/reconciler.py` (паттерн `queue_worker`, module-singleton,
-`threading.Event`), стартует в `main.lifespan` после `worker.start()`, стоп в
-`finally` перед `worker.stop()`. Две взаимодополняющие ветки на каждом тике
-(`reconcile_interval_s`, дефолт 120с):
-
-- **F-1 gate-side** (локальная БД): для каждой `task` где `stage∉{done}`, **нет**
-  активного job, `age(updated_at) ≥ grace_for_stage(stage)` — read-only пред-оценка
-  канонического QG стадии; если зелёный → продвижение **штатным**
-  `stage_engine.advance_stage(..., finished_agent=None)` (тот же путь, что у Plane
-  Approved-webhook). Красный → **тишина** (нет advance, нет нотификаций — спам
-  структурно невозможен). `analysis` F-1 **не** реконсилирует (человеческий гейт →
-  отдан F-2).
-- **F-2 plane-side** (опрос Plane API per-project через `list_issues_by_state`):
-  `In Progress`+нет задачи → `handle_status_start`; `Approved`+не сдвинута →
-  `handle_verdict(approved=True)`; `Rejected`+не откатана →
-  `handle_verdict(approved=False)`. Обработчики `webhooks/plane.py`
-  **переиспользуются** (async → `asyncio.run` из sync-потока), логика не дублируется.
-- **F-3:** усиление `sha→branch` в `handle_ci_status` (БД-fallback по
-  `repo`+`stage='development'`, видимость на INFO) — defense-in-depth.
-
-**Инварианты:** источник истины — гейт/Plane, не событие; продвижение только через
-`advance_stage`; идемпотентность (active-job guard + atomic-claim на создании +
-grace + `max_concurrency=1`); never-raise на единицу работы; тишина при
-синхронности; restart-safe; kill-switch.
-
-## Альтернативы
-- **Флаг подавления нотификаций в `advance_stage`** — отклонён: меняет общий
-  критический путь. Вместо этого «не вызывать advance_stage на красном гейте».
-- **UNIQUE-индекс `tasks.plane_id`** для анти-дубля — отклонён как primary: риск
-  падения миграции на проде; выбран process-wide `threading.Lock` (single-process
-  топология). Индекс — задокументированное будущее упрочнение для multi-process.
-- **Отдельная стадия/QG реконсиляции** — вне объёма; нарушает «источник истины —
-  существующий гейт».
-- **Реконсиляция analysis по локальным артефактам** — отклонена: автопродвижение
-  неодобренного человеком BRD.
-
-## Последствия
-- Потерянный webhook ≠ молча застрявшая задача; ручной heartbeat-watchdog не нужен;
-  резервная сетка к ORCH-51 (буфер недоставленных) и ORCH-36 (deploy).
-- Плата: фоновый поток + опрос Plane API (митигируется интервалом/фильтром/
-  per-project); двойная оценка гейта на зелёной задаче; анти-дубль опирается на
-  single-process-допущение (как и очередь ORCH-1).
-- Self-hosting: `reconcile_enabled` — обязательный kill-switch; поэтапный раскат
-  (`reconcile_plane_enabled` гасит только F-2); reconciler не рестартит/не роняет
-  прод-контейнер. БД-схема и реестры (`STAGE_TRANSITIONS`/`QG_CHECKS`) не меняются.
-
-## Уточнения
-- **ORCH-060** (`docs/work-items/ORCH-060/06-adr/ADR-001-reconciler-skip-escalated.md`):
-  F-1 (`_reconcile_gate_task`) приобретает два пред-гарда ДО оценки гейта —
-  пропускает escalated (`developer_retry_count ≥ MAX_DEVELOPER_RETRIES`,
-  детерминированно) и Blocked/Needs-Input (Вариант A, Plane API, без миграции)
-  задачи. Инварианты adr-0007 сохранены (схема/реестры не меняются, never-raise,
-  тишина при пропуске).
-
-## Связи
-adr-0002 (очередь / `available_at`, single-process-singleton), adr-0003 (условный
-гейт — образец условности/флагов раската), adr-0006 (merge-gate как под-гейт ребра
-внутри `advance_stage`), adr-0001 (реестр проектов для F-2 per-project), ORCH-5
-(events de-dup — защита от дублей; reconciler — обратная защита от потерь),
-ORCH-045 (`ci_poll`).

docs/architecture/adr/adr-0008-staging-image-provenance.md

@@ -1,77 +0,0 @@
-# ADR-0008: Провенанс staging-образа перед BUILD-ONCE retag в прод (ORCH-058)
-
-## Статус
-Accepted (design) — реализация в ветке `feature/ORCH-058-self-deploy-retag-staging`.
-Метка: `arch:major-change`.
-
-> Примечание о нумерации: в `adr/` исторически два файла `adr-0007-*`
-> (`executable-self-deploy`, `reconciler`) — пред-существующая коллизия. Этот ADR берёт
-> следующий свободный номер **0008**; коллизию 0007 не трогаем (вне объёма ORCH-058).
-
-## Контекст
-
-ORCH-36 (`adr-0007-executable-self-deploy`) сделал стадию `deploy` исполняемой для
-self-hosting: Phase B запускает host-хук, который шагом **2b** (BUILD-ONCE) делает
-`docker tag $SOURCE_IMAGE → $TARGET_IMAGE` **без rebuild** — «прод = ровно тот артефакт,
-что прошёл staging». Предпосылка: staging-образ свеж и собран из провалидированного кода.
-
-**Этой гарантии нет.** Конвейер нигде не пересобирает `orchestrator-orchestrator-staging`
-из провалидированного коммита; `deploy-staging` лишь гоняет `staging_check.py` против уже
-работающего 8501. Инцидент (LESSONS_ORCH-036 п.4): staging-образ не пересобрали → проверка
-прошла против старого кода → retag промоутнул СТАРЫЙ образ → прод **молча** откатился на
-2-дневный код. Зелёный гейт = ложный позитив. Самый опасный из 4 багов: не падает, а тихо
-откатывает инструмент, обслуживающий все проекты.
-
-## Решение
-
-Гарантировать `INV-FRESH`: в прод промоутится только образ, собранный из коммита,
-провалидированного `deploy-staging` для данной задачи; иначе fail-fast (`FAILED` → откат на
-`development`, БАГ-8), прод не трогается. Достигается **двумя взаимодополняющими слоями**
-(defense in depth), только для self-hosting (условность как ORCH-35/36/43):
-
-- **A — пересборка (liveness).** На ребре `deploy-staging → deploy`, ПОСЛЕ merge-gate и ДО
-  Phase A, детерминированный QG-под-чек `check_staging_image_fresh` пересобирает
-  `orchestrator-orchestrator-staging` из worktree валидированного коммита
-  (`--build-arg GIT_SHA=<sha>`, лейбл `org.opencontainers.image.revision`), пересоздаёт 8501
-  и прогоняет `staging_check`. FAIL → откат на `development`. Так валидируемый и промоутимый
-  артефакт — один и тот же; гарантирует наличие зелёного пути (нет вечного fail-fast).
-- **B — fail-closed guard (safety).** Хук шагом 2b ПЕРЕД `docker tag` сверяет лейбл
-  `revision` образа `SOURCE_IMAGE` с `EXPECTED_REVISION` (пробрасывает `build_deploy_command`).
-  Несовпадение / пустой лейбл / пустой ожидаемый SHA / ошибка inspect → `exit 1` → FAILED.
-  Делает тихий промоут устаревшего образа структурно невозможным даже при отключённой/
-  проигравшей гонку A.
-
-**Якорь провалидированного коммита** — `git rev-parse HEAD` в worktree ПОСЛЕ merge-gate
-(post-rebase tree, который ре-тестирован и сольётся в `main`). Один helper
-`validated_revision(repo, branch)` питает и штамп сборки (A), и `EXPECTED_REVISION` (B).
-
-**Условность и kill-switch:** единый `image_freshness_enabled` (вкл/выкл A+B как целое,
-чтобы не было «B без A» = вечный fail-fast), `image_freshness_repos` (CSV; пусто →
-self-hosting). Все настройки с префиксом `ORCH_`.
-
-### Что НЕ меняется
-`STAGE_TRANSITIONS` (набор стадий — под-гейт ребра, не стадия), exit-code хука (0/1/2),
-`map_exit_code_to_status`, `check_deploy_status`/`_parse_deploy_status`, БАГ-8, terminal-sync,
-merge-gate, Phase A/B/C. Схема БД — без миграций (провенанс в лейбле образа, не в БД).
-
-### Что добавляется (сквозное)
-- QG `check_staging_image_fresh` в реестре `QG_CHECKS` (+ snapshot-тест), wired через
-  `_handle_image_freshness` в `stage_engine` (рядом с merge-gate).
-- Режим хука `--build-staging` (build из worktree + recreate 8501; STAGING-safe дефолты).
-- OCI-лейбл `org.opencontainers.image.revision` в `Dockerfile` (`ARG GIT_SHA`).
-- Helpers `validated_revision` / `rebuild_staging_image` в `self_deploy.py` (never-raise).
-
-## Последствия
-
-- Класс «тихого регресса прод» закрыт структурно (B); валидный деплой всегда доходит до
-  зелёного (A) — устранён ручной bootstrap-разрыв пересборки staging.
-- Латентность ребра растёт (build + recreate + повторный staging_check); `staging_check`
-  гоняется дважды (soft pre-check агента + авторитетный код) — плата за «валидируем =
-  промоутим».
-- Все сборки/recreate — ТОЛЬКО staging (8501); прод (8500) не трогается; `main` не пушится.
-  Новая под-компонента → `arch:major-change`.
-
-## Связанные ADR
-`adr-0007-executable-self-deploy` (BUILD-ONCE, Phase A/B/C), `adr-0006-merge-gate` (образец
-edge-под-гейта), `adr-0003-staging-gate` (условность self-hosting), `adr-0005`
-(run-as-host-uid). Детальный per-work-item: `docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.

docs/architecture/adr/adr-0009-staging-infra-tolerance.md

@@ -1,56 +0,0 @@
-# adr-0009: Толерантность staging-вердикта к заведомо инфраструктурным FAIL
-
-- **Статус:** accepted
-- **Дата:** 2026-06-07
-- **Задача:** ORCH-061
-- **Детально:** `docs/work-items/ORCH-061/06-adr/ADR-001-staging-infra-tolerance.md`
-
-## Контекст
-Self-hosting `orchestrator` зацикливался на `deploy-staging`: `staging_check.py`
-давал 2 ложных FAIL (C9a — ветка в sandbox, C9b — analyst-job в очереди), вызванных
-отсутствием sandbox-настроек (bot-аккаунты не члены SANDBOX-проекта), а не регрессом
-кода. `staging_check.py` делал `sys.exit(1)` при любом FAIL → deployer писал
-`staging_status: FAILED` → `check_staging_status` FAILED → откат `deploy-staging →
-development` → петля (жгла developer-ретраи и кредиты). Прод-деплой орка приходилось
-доводить вручную — блокер автономного внедрения (ORCH-54).
-
-## Решение
-Классифицировать проверки staging-suite на **REAL** (pipeline) и **SANDBOX_INFRA**
-(заведомо инфраструктурные, узкий allowlist `{C9a, C9b}`) и сделать вердикт
-толерантным к инфра-FAIL, сохранив fail-closed для реальных проверок:
-
-- Новый leaf-модуль `src/staging_verdict.py` (pure, never-raise, stdlib):
-  `classify_check(label)` + `compute_staging_verdict(items, infra_tolerant)`.
-  Правило: упала хоть одна REAL → FAILED/exit1; упали ТОЛЬКО SANDBOX_INFRA и
-  толерантность вкл → SUCCESS/exit0 (waived); толерантность выкл → legacy strict
-  (любой FAIL → FAILED).
-- `scripts/staging_check.py` помечает проверки категориями, считает вердикт через
-  `staging_verdict`, печатает `INFRA-WAIVED` при вайвере (наблюдаемость).
-- Kill-switch `staging_infra_tolerance_enabled` (env
-  `ORCH_STAGING_INFRA_TOLERANCE_ENABLED`, дефолт `True`; в `.env.staging`).
-- `check_staging_status` / `_parse_staging_status` / `STAGE_TRANSITIONS` / реестр
-  `QG_CHECKS` — **без изменений**; новый QG-чек не вводится. Условность ORCH-35
-  сохранена (не-self → no-op N/A).
-- Инвариант FR-3: «no changes to commit» на action-стадиях (`deploy-staging`/`deploy`)
-  не есть недовыполнение — продвижение определяется exit0 + гейт-вердиктом
-  (launcher уже не откатывает; добавлена observability-строка).
-
-## Альтернативы
-- Только починить sandbox-инфру (направление а) — хрупко, не структурно, вне
-  автономной досягаемости таска; оставлено как опциональное hardening.
-- «Зелёный по умолчанию» при недоступности проверок — запрещён (fail-closed).
-- Новый QG-чек / структурный артефакт `15-staging-log.md` — избыточно, меняло бы
-  контракты/реестр; толерантность размещена в suite до артефакта.
-
-## Последствия
-- Петля устранена; страховка цела (реальный регресс → FAILED → откат).
-- Чистая вердикт-логика юнит-тестируема без live staging/docker.
-- Контракты гейтов/стадий/вердиктов/реестра и схема БД неизменны.
-- Риск: узкое окно — реальный регресс именно в создании ветки/постановке
-  analyst-job может быть заваивен; митигировано allowlist'ом `{C9a,C9b}` + условием
-  «все REAL (вкл. C7/C8) зелёные» + INFRA-WAIVED-логом. Разблокирует ORCH-54.
-
-## Связи
-adr-0003 (условный staging-гейт — база `is_self_hosting_repo` / `check_staging_status`),
-adr-0006 (merge-gate), adr-0007 (исполняемый self-deploy), adr-0008 (провенанс
-staging-образа). Блокирует ORCH-54.

docs/architecture/adr/adr-0010-post-deploy-monitor.md

@@ -1,85 +0,0 @@
-# adr-0010: Post-deploy мониторинг прода + реакция на деградацию
-
-- **Статус:** proposed (design) — реализация в ветке `feature/ORCH-021-post-deploy-rollback`
-- **Дата:** 2026-06-07
-- **Задача:** ORCH-021
-- **Метка:** `arch:major-change` (новая под-компонента + новый reserved-agent job-kind)
-- **Детальный ADR:** `docs/work-items/ORCH-021/06-adr/ADR-001-post-deploy-monitor.md`
-
-## Контекст
-Конвейер заканчивается на `deploy → done`: `check_deploy_status` видит
-`deploy_status: SUCCESS` → terminal-sync (Plane → Done, release merge-lease), и
-оркестратор **забывает про прод**. «Успех» сегодня = health-check в момент рестарта
-(~60с окно в `orchestrator-deploy-hook.sh`). Класс инцидентов «зелёный деплой, красный
-прод» (прецедент **ET-8**): деградация проявляется через минуты под боевым трафиком,
-health отвечает `200 ok`, фича сломана. Для self-hosting опасно вдвойне — сломанный
-прод-орк (8500) обслуживает ВСЕ проекты из общего инстанса.
-
-## Решение
-Продлить ответственность конвейера **ЗА** `done`: после терминального перехода для
-применимого репо армится пост-деплой наблюдение окна `post_deploy_window_s` (дефолт
-~15 мин) с интервалом `post_deploy_interval_s`; деградация фиксируется по
-**детерминированным порогам**, при подтверждении выполняется реакция.
-
-**Механизм — reserved-agent job `post-deploy-monitor`** (калька `deploy-finalizer`,
-ORCH-36), НЕ отдельная стадия и НЕ daemon-поток:
-- **Арм:** в `stage_engine.advance_stage`, в блоке `next_stage == "done"`, при
-  `post_deploy.post_deploy_applies(repo)` → `post_deploy.arm_monitor(...)` (sentinel
-  `armed` = идемпотентность, первый job через `enqueue_job(available_at_delay_s=...)`).
-- **Тик:** `launcher.launch_job` перехватывает `agent == "post-deploy-monitor"` ДО
-  `_spawn` → `stage_engine.run_post_deploy_monitor(job)`: один опрос сигналов, append в
-  персистентный `series`, классификация; HEALTHY и окно не истекло → перепостановка с
-  задержкой; иначе → реакция + артефакт + `mark_done`.
-- **Чистая логика — новый leaf-модуль `src/post_deploy.py`** (never-raise, по образцу
-  `self_deploy.py`/`staging_verdict.py`): `post_deploy_applies`, `probe_signals`
-  (опрос `/health` + доля 5xx на `/status`,`/queue`), `classify` (HEALTHY|DEGRADED —
-  главный предмет юнит-тестов), `decide_action` (NONE|ROLLBACK|ALERT_ONLY с учётом
-  self-hosting), sentinel-state хелперы, `write_post_deploy_log`.
-
-**Сигналы и пороги (детерминированно, AC-3…AC-6):** `DEGRADED` ⇔ `≥
-post_deploy_fail_threshold` ПОСЛЕДОВАТЕЛЬНЫХ провалов health ИЛИ доля 5xx на окне `>
-post_deploy_5xx_threshold`. Одиночный глюк < порога → HEALTHY (нет ложных откатов).
-
-**Реакция (BR-4/BR-5):**
-- **Self-hosting (`orchestrator`) — ВСЕГДА `ALERT_ONLY`:** громкий Telegram + Plane,
-  запрос ручного approve отката. Тик НИКОГДА не откатывает/рестартит прод-контейнер
-  (структурный инвариант). Откат прод-орка, если оператор решит, — только detached
-  host-процесс (`self_deploy.initiate_deploy`), вне тика (MVP).
-- **Не-self + `post_deploy_auto_rollback=True`:** хук `--rollback` с прод-env; exit
-  `0 → ROLLBACK_OK`, `1/2 → ROLLBACK_FAILED` + громкий алерт.
-- Дефолт (`auto_rollback=False`) → `ALERT_ONLY`.
-
-**Артефакт `16-post-deploy-log.md`** (новый) с YAML-frontmatter (`post_deploy_status`,
-`action_taken`, `window_s`, `checks_total/failed`) — машиночитаемо для петли уроков
-ORCH-8; best-effort. **Наблюдаемость** — блок `post_deploy` в `GET /queue` (образец
-`reconcile.status()`).
-
-## Альтернативы
-- **Daemon-watchdog (как reconciler)** — отклонён: per-task серия опросов в памяти не
-  restart-safe (а деплой орка = рестарт); restart-safe-вариант требует тех же sentinel,
-  reserved-agent проще и уже имеет проверенную jobs+sentinel машинерию.
-- **Отдельная пост-deploy стадия + QG** — отклонён: меняет `STAGE_TRANSITIONS`/
-  `QG_CHECKS`, ломает семантику терминального `done`; наблюдение принципиально ПОСЛЕ
-  `done`.
-- **Авто-rollback прод-орка из тика** — отклонён (self-hosting safety): групповой риск;
-  контейнер не откатит себя надёжно. Self → alert + ручной approve (как ORCH-54).
-- **Колонка в `tasks`** — отклонён: миграция на проде; sentinel-файлы restart-safe
-  (как ORCH-36/53/58).
-
-## Последствия
-- Класс «зелёный деплой, красный прод» закрыт измеримыми порогами; деградация =
-  сигнал для ORCH-8.
-- Реестры (`STAGE_TRANSITIONS`/`QG_CHECKS`), контракт `check_deploy_status`,
-  terminal-sync, merge-gate, exit-code-контракт хука, схема БД — **не меняются**.
-- Дефолты безопасны: kill-switch on, auto-rollback off, self только alert.
-- Ограничение: монитор self бежит внутри наблюдаемого прода — полностью wedged
-  контейнер = пропущенный тик/алерт (known MVP gap; внешний watchdog — follow-up).
-- Self-hosting: тик не рестартит/не роняет прод-контейнер; kill-switch
-  `post_deploy_monitor_enabled` обязателен; поэтапный раскат через `post_deploy_repos`.
-
-## Связи
-adr-0007-executable-self-deploy (ORCH-36 — sentinel/detached-host/finalizer образец,
-`map_exit_code_to_status`), adr-0007-reconciler (ORCH-53 — daemon/`status()` образец,
-отклонён как основной механизм), adr-0006 (merge-gate — условность/флаги раската),
-adr-0003 (staging-gate — образец условности), adr-0008 (provenance — `.deploy-prev-image`/
-хук-откат). Прецедент ET-8. Будущее: ORCH-8 (петля уроков), ORCH-54 (полный авто).

docs/architecture/internals.md

@@ -107,27 +107,6 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 2. Если < MAX_DEV_RETRIES (3) — откатывает в development, перезапускает developer
 3. Если >= MAX_DEV_RETRIES — эскалация (логирование + уведомление)
 
-### 7. Live Telegram tracker (`src/notifications.py`)
-
-Вместо ~15 отдельных сообщений на задачу оркестратор держит **ОДНУ** live-карточку на задачу (`update_task_tracker`), которая обновляется на каждом переходе стадии. Текст рендерится статически из БД (`render_task_tracker`: стадии, токены, стоимость, BRD-подтверждение, итоги). Карточка всегда тихая (`disable_notification=True`); отдельные пинги шлют только `notify_approve_requested` / `notify_error`. `message_id` хранится в `tasks.tracker_message_id`; helpers `get_tracker_message_id` / `set_tracker_message_id`. Контракт всего компонента — **never raises**.
-
-**Режимы (ORCH-042, `ORCH_TRACKER_MODE` → `Settings.tracker_mode`).** Резолвится в `update_task_tracker` (case-insensitive, trim); всё, что ≠ `"bump"` (включая пустое/мусор/None), трактуется как `edit` → нулевая регрессия и безопасный фолбэк. Инвариант «одна карточка на задачу» сохраняется в обоих режимах.
-
-| Режим | Поведение при обновлении |
-|-------|--------------------------|
-| `edit` (дефолт) | первый вызов → `send_telegram` (тихо) + сохранение `message_id`; далее → `edit_telegram` на сохранённый id. Новое сообщение шлётся ТОЛЬКО при `EDIT_GONE` (удалено/старше 48ч/невалидный id). `EDIT_NOT_MODIFIED` / `EDIT_FAILED` → нового сообщения нет (анти-дубль). |
-| `bump` | карточка пересоздаётся внизу чата: best-effort `delete_telegram(старый_id)` → `send_telegram(text, disable_notification=True)` → `set_tracker_message_id(new_id)` **только** при успешном send (`new_mid is not None`). За один вызов — не более одного нового сообщения. |
-
-**`delete_telegram(message_id) -> bool`** (low-level, never raises). Семантика возврата — «исчезло ли старое сообщение»:
-- `ok:true` → `True`;
-- `ok:false` с маркерами `_DELETE_GONE_MARKERS` (`message to delete not found`, `message can't be deleted`, `message_id_invalid`) → `True` (старше 48ч / уже удалено — не транзиент);
-- прочий `ok:false` / 5xx / исключение (сеть/таймаут) → `False` + `logger.warning`;
-- нет токена/chat_id → `False`, HTTP не выполняется.
-
-Результат `delete_telegram` **не** блокирует отправку новой карточки (BR-6: delete-fail у сообщения >48ч → всё равно шлём новое); `False` означает лишь «старое, возможно, ещё живо» — будет вычищено повторной попыткой на следующем переходе. При транзиентном сбое send (`None`) указатель `tracker_message_id` **не** затирается (анти-затирание, симметрично edit-fallback).
-
-**Текст карточки (оба режима, ORCH-042):** метка `Подтверждение BRD` (была «Ревью БРД»); после прохождения approve-gate строка BRD начинается с ✅ (ветка ожидания сохраняет ⏸️/⏳); русские display-labels стадий (`Анализ / Архитектура / Разработка / Код ревью / Тестирование / Внедрение`); финальная строка `📦 Внедрено` (было `deployed`). Меняются только отображаемые строки — ключи стадий и имена агентов (завязаны на `_STAGE_ACTIVE_AGENT`, `last_done`, БД) не трогаются.
-
 ## Database Schema
 
 ```sql

docs/history/LESSONS_2026-06-05.md

@@ -1,128 +0,0 @@
-# Lessons Learned — 2026-06-05 (вечер): ORCH-17/45/47 + деплой прода
-
-## Итог дня
-Закрыты три задачи (ORCH-17, ORCH-45, ORCH-47), два прод-гейта стали умнее, заведено
-4 системных задачи в бэклог (ORCH-44/46/48 + B6). Главный сквозной урок: **конвейер не мог
-провести эти задачи автономно из-за дыр в самом конвейере** — потребовались ручные merge и
-ребилды прода. Корни задокументированы, чинятся отдельными задачами.
-
----
-
-## 1. ORCH-17 — approve-ping links (закрыта вручную)
-Подробный разбор: `docs/history/LESSONS_ORCH-017.md`. Кратко: косметика (2 ссылки)
-застряла 5 раз, объективный дедлок shared-гейта, ручной merge PR #37 (`26c6f267`).
-
----
-
-## 2. ORCH-45 — CI-гонка в `check_ci_green` (исправлена, в проде)
-
-### Проблема
-`check_ci_green` делал **один** запрос статуса CI сразу после developer. Если CI ещё
-`pending` 1-3 секунды (реальный кейс: опрос 17:58:54 → pending, CI позеленел 17:58:55) —
-гейт возвращал False **один раз** и задача застревала насмерть с зелёным CI.
-
-### Решение (PR #39, merge `982698c4`)
-Поллинг с ретраем: `success`/`failure` — терминальны (сразу), `pending` → ждать
-`CI_POLL_INTERVAL_S`(10с) до `CI_POLL_MAX_ATTEMPTS`(12) раз, истёк лимит → явный
-`False` с причиной "CI still pending after Ns" (не виснет молча). Параметры в `config.py`
-как env `ORCH_CI_POLL_*`. ADR-0004. +5 тестов (мок httpx + time.sleep).
-
----
-
-## 3. ORCH-47 — тестер-гейт игнорил `result:` (исправлен, в проде)
-
-### Проблема (уловка-22)
-`check_tests_passed`/`_parse_tests_verdict` читал только `verdict:`/`status:` из frontmatter
-`13-test-report.md`, но промпт tester-агента велит писать `result: PASS|FAIL`. Честный тестер
-(`result: PASS`, без `verdict:`) → гейт «No machine-readable verdict» → ложный FAIL → петля
-dev↔review↔tester → Blocked. **И сама ORCH-47 (которая это чинит) попала в тот же капкан:**
-в проде крутился старый гейт → не понимал её собственный `result: PASS` → 3 круга петли.
-Змея кусает хвост: чтобы пройти гейт автономно, фикс уже должен быть в проде.
-
-### Решение (PR #40, merge `5d04de9e`)
-`result:` добавлен как равноправное поле наряду с `verdict:`/`status:`. Любое одно непустое
-поле достаточно. Negative-токен (BLOCKED/FAILED) в ЛЮБОМ поле авторитетен (ET-013 кейс
-сохранён). Token sets заморожены для обратной совместимости. ADR-001. +6 тестов (68 passed).
-После деплоя ручной `advance_stage` пнул застрявшую task → гейт принял `result: PASS` →
-прошёл testing. Петля исчезла навсегда.
-
-### Остаточная находка → B6 / ORCH-48
-На staging деплоер дал 9/10 PASS, завалил **B6 Registry isolation**: staging-реестр видит
-боевые ET+ORCH вместо одного sandbox (нарушает «staging — только sandbox»). Деплоер честно
-поставил FAILED и НЕ стал натягивать зелёнку (вне мандата) → откат by design. К фиксу гейта
-отношения не имеет (E2E против sandbox прошёл). Заведена ORCH-48.
-
----
-
-## 4. ДЕПЛОЙ ПРОДА — как правильно (важная операционная памятка)
-
-### `/app` запечён в образ, НЕ volume
-`docker-compose.yml`: `build: .` + `COPY src/ ./src/`. Поэтому `git pull` + рестарт с
-`--no-build` **НЕ довозит код** — нужен `docker compose build orchestrator`. Деплой-хук
-(`scripts/orchestrator-deploy-hook.sh`) по дефолту целит в **staging** (by design) — для
-прода нужны env `TARGET_SERVICE=orchestrator TARGET_PORT=8500 COMPOSE_PROFILE=''`.
-
-### Порты/профили
-- prod orchestrator = порт **8500** (`/health` → `{"status":"ok"}`), `network_mode: host`,
-  профиль prod = пустой (стартует обычным `docker compose up -d orchestrator`).
-- staging = порт **8501**, профиль `staging` (стартует только `--profile staging`).
-
-### Рабочая последовательность деплоя (проверена дважды 05.06)
-1. `sudo chown -R slin:slin /home/slin/repos/orchestrator` (см. грабля ниже).
-2. `git checkout main && git reset --hard origin/main && git clean -fd -e '*.bak*' -e '.deploy-prev-image-prod'`.
-3. `docker compose build orchestrator`.
-4. `docker compose up -d orchestrator` + health-loop на :8500.
-5. **Проверка claude-auth** (ребилд её ломает — см. ниже).
-6. Проверка что новый код активен в `/app` (grep маркера правки).
-
-### ⚠️ ГРАБЛЯ: хост-репо рассинхронизирован с git (агенты пишут под root)
-Хост-репо `/home/slin/repos/orchestrator` оказывался на feature-ветке (не main), а рабочая
-копия засеяна untracked+modified файлами, созданными агентами **под uid=0 (root-owned)** прямо
-в репо. → `git pull --ff-only` падал `Permission denied` / `would be overwritten`, обычный
-`rm` под slin не мог снести root-файлы. **Лечение:** `sudo chown -R slin:slin <repo>` →
-проверить что modified=совпадает-с-main и untracked=уже-в-main (дубликаты, не теряем) →
-`git reset --hard origin/main` + `git clean`. **Хук это НЕ разруливает** — сверять состояние
-хост-репо перед каждым деплоем.
-
-### ⚠️ ГРАБЛЯ: ребилд ломает claude-auth (проверять ВСЕГДА)
-Пересоздание контейнера может root-овнить `/home/slin/.claude/.credentials.json` и сделать
-`/root/.claude` пустышкой → агенты падают `Not logged in`. Защита — монтирование creds в
-compose (`/home/slin/.claude` + `.claude.json`), launcher форсит `HOME=/home/slin`.
-**После каждого ребилда боевая проверка:**
-`docker exec orchestrator bash -c 'cd /tmp && HOME=/home/slin /opt/claude-code/bin/claude.exe --print "ОК"'`
-(timeout 90с). 05.06 auth пережил оба ребилда — защита держит.
-
----
-
-## 5. ЗАПУСК конвейера и Gitea API
-
-### Старт конвейера = Plane Backlog → In Progress
-Конвейер стартует штатно переводом задачи в Plane из Backlog в **In Progress** (код:
-`webhooks/plane.py handle_status_start` — «pipeline is started when Slava moves the issue
-into In Progress»). Webhook создаёт task-row, заводит ветку, запускает analyst. Никаких
-ручных вставок в БД.
-
-### QG-0: лимит заголовка 80 символов
-При старте задача с заголовком >80 символов заворачивается на QG-0 («Title слишком длинный»)
-и уходит в Blocked. Чинить — укоротить `name` (суть в заголовок, детали в description),
-вернуть в Backlog, снова In Progress.
-
-### Gitea API грабли
-- **merge/create PR** требуют заголовок `Authorization: token <ORCH_GITEA_TOKEN>` (форма
-  с префиксом `token `), иначе 401 "token is required".
-- **heredoc через ssh+docker exec глотает вывод** python-скрипта. Надёжный путь: написать
-  `.py` локально → `base64 -w0` → `ssh "echo <b64> | base64 -d > /tmp/x.py"` → `docker cp`
-  → `docker exec python3 /tmp/x.py`. Это же обходит экранирование кириллицы/скобок.
-
----
-
-## Состояние прод-гейтов после 05.06
-- ✅ `check_ci_green` — поллинг с ретраем (ORCH-45)
-- ✅ `check_tests_passed` — читает `result:`/`verdict:`/`status:` (ORCH-47)
-
-## Бэклог (high) после дня
-- **ORCH-44** — надёжность запуска агента (preflight слеп к auth; `--effort` гасит вывод;
-  пустой run-лог → должен быть failed).
-- **ORCH-46** — «испорченный телефон»: орк не передаёт деву ТЕКСТ замечаний reviewer/tester
-  (только ссылку на файл), противоречивые сигналы tester↔reviewer, нет памяти между кругами.
-- **ORCH-48 / B6** — staging registry isolation (staging видит прод-проекты вместо sandbox).

docs/history/LESSONS_ORCH-017.md

@@ -1,103 +0,0 @@
-# Lessons Learned — ORCH-017 (Telegram approve-ping links)
-
-## Дата: 2026-06-05
-## Задача: ORCH-017 — Прямые ссылки на BRD и Plane-таску в Telegram-уведомлении об апруве BRD
-## Итог: смержено **вручную** (PR #37, merge `26c6f267`) после ~5 застреваний конвейера
-
----
-
-## TL;DR
-
-Косметическая задача (две HTML-ссылки в уведомлении) **5 раз застряла** в конвейере и каждый
-раз требовала ручного пинка. Корень — **не баг задачи, а дыры автономности конвейера**. Код был
-готов и зелёный (434 теста), но пайплайн не мог довести его до merge сам. В итоге — ручной merge
-Owner-ом; четыре системные дыры заведены в бэклог (ORCH-44/45/46/47).
-
----
-
-## Хронология застреваний
-
-1. **Auth claude после rebuild** — агенты падали `Not logged in` (root-owned creds + `/root/.claude`
-   пустышка). См. отдельный разбор в memory/INCIDENT по auth. → починено + защищено монтированием.
-2. **`check_ci_green` race** — гейт опросил CI **один раз** в `17:58:54` → `pending`; CI дозеленел в
-   `17:58:55` (промах на 1 секунду). Повторного опроса нет → задача висит насмерть с зелёным CI.
-3. **Петля dev↔review↔testing → `max retries reached`** (MAX_DEVELOPER_RETRIES=3).
-4. **Откат неполный** — убрали код shared-гейта, но оставили 2 doc-строки про него → рассинхрон
-   код↔доки → reviewer снова REQUEST_CHANGES.
-5. **Объективный дедлок** (см. ниже) → ручной merge.
-
----
-
-## Корневые проблемы (→ бэклог)
-
-### P1. `check_ci_green` промахивается на гонке CI (→ ORCH-45)
-Гейт читает статус CI **ровно один раз** сразу после developer. Если CI ещё `pending` — задача
-застревает молча, без повторного опроса. Нужен polling с ретраем: `pending` → ждать N×15с,
-`success` → advance, `failure` → rollback, вечный `pending` → уведомить (не застревать молча).
-
-### P2. Developer не понимает замечаний reviewer/tester — "испорченный телефон" (→ ORCH-46)
-**Это прямой удар по автономности.** Три причины, почему dev повторял одну и ту же ошибку:
-- **Испорченный телефон.** При REQUEST_CHANGES `stage_engine.py:~421` шлёт developer-у только
-  `"Fix findings in docs/work-items/<WI>/12-review.md"` — **без текста претензий**, лишь ссылку на
-  файл. Ключевую governance-мысль легко проскочить. → Вклеивать ТЕКСТ findings прямо в task_desc.
-- **Противоречивые сигналы.** После tester прилетает `"Tests FAILED. Fix failures"` (толкает чинить
-  связанное с тестами → dev лез в test-gate). После reviewer — `"не трогай gate"`. Два
-  противоположных приказа. → Склеивать замечания tester+reviewer в одно непротиворечивое ТЗ.
-- **Нет памяти между кругами.** Каждый запуск developer — новый чистый агент, не помнит прошлых
-  заворотов. Видит "тесты падают" → снова лезет в gate. → Передавать историю прошлых REQUEST_CHANGES/
-  FAIL ("на чём уже погорел, чего НЕ делать"). Можно: ранняя эскалация к Owner при повторе.
-
-### P3. `check_tests_passed` игнорирует поле `result:` (→ ORCH-47)
-`_parse_tests_verdict` (`src/qg/checks.py`) читал только `verdict:`/`status:` из frontmatter
-`13-test-report.md`. НО промпт tester-агента (`.openclaw/agents/tester*`) предписывает писать
-`result: PASS | FAIL`. Честный тестер (отчёт ORCH-017: `result: PASS`, без `verdict:`/`status:`)
-проваливал гейт ложным «Tests FAILED» → откат на development. ORCH-016 проходил лишь потому, что
-дублировал `verdict:` И `result:`. → Гейт должен читать `result:` как первоклассное машинное поле.
-**ВАЖНО:** это shared-гейт (влияет на ВСЕ проекты общего прода) → требует отдельного ADR
-(CLAUDE.md правило 2), потому вынесено в свой work item, не в ORCH-017.
-
-### P4. Preflight слеп к auth и битым флагам (→ ORCH-44)
-`claude --version` отвечает даже без логина → preflight=ok, а реальный запуск падает `Not logged in`.
-Плюс `--effort` с CLI 2.1.142 + `--print`/`--output-format json` гасит вывод. Нужны: дешёвая
-проверка auth без токенов (права+дата истечения OAuth в `.credentials.json`), фикс effort,
-«пустой лог + job running + процесс мёртв → failed».
-
----
-
-## Главный урок: объективный дедлок shared-инфры
-
-ORCH-017 попала в **неразрешимый автономно дедлок** из-за того, что тест-отчёт уже написан под
-новый контракт (`result: PASS`):
-- **С фиксом гейта в ветке** → reviewer заворачивает (governance: shared-инфра без ADR). ❌
-- **Без фикса гейта** → `check_tests_passed` не видит `result:` → ложный FAIL → откат. ❌
-
-**Вывод:** изменение shared quality-gate нельзя протаскивать внутри прикладной задачи. Оно создаёт
-циклическую зависимость (артефакты задачи зависят от изменённого гейта, а гейт нельзя менять без
-отдельного ADR). Менять shared-гейты — только отдельным work item со своим ADR. Если артефакты уже
-написаны под новый контракт — задача физически не пройдёт, пока не приедет фикс гейта.
-
----
-
-## Урок про роль ассистента/оператора
-
-Когда оператор **раз за разом пинает гейты и чистит за dev вручную** — это сигнал «конвейер не тянет
-автономно». Честнее предложить Owner-у ручной merge/эскалацию, чем гонять карусель кругов и доказывать
-конвейеру то, что уже готово (код зелёный, reviewer: «технически корректно», претензии процедурные).
-
----
-
-## Урок про откат
-
-При откате **кода** обязательно откатывать и **доки/CHANGELOG**, иначе возникает обратный
-рассинхрон код↔доки (доки описывают фичу, которой в коде уже нет) → reviewer заворачивает. Откат —
-это код + доки + changelog + (при необходимости) тест-отчёт одним согласованным движением.
-
----
-
-## Что сработало хорошо
-
-- **Reviewer ловит governance-нарушения** — корректно завернул протаскивание shared-гейта в
-  прикладную задачу. Процедурно прав, даже когда код технически верный.
-- **Безопасный ручной пинок гейта** через `stage_engine.advance_stage(...)` — без ребилда/мержа,
-  перевызывает QG внутри процесса орка.
-- **Ручной merge как осознанный выход** из дедлока (с явным ОК Owner), а не бесконечные круги.

docs/history/LESSONS_ORCH-036-053.md

@@ -1,120 +0,0 @@
-# Lessons Learned — 2026-06-06 (вечер): ORCH-36 + ORCH-53 → прод (эпик ORCH-54)
-
-## Итог
-Закрыты две задачи эпика ORCH-54 (автономное внедрение): **ORCH-36** (исполняемый
-самодеплой стадии `deploy`) и **ORCH-53** (sweeper/reconciler потерянных webhook).
-Обе прошли конвейер через рабочий merge-gate (ORCH-43), но финальный мерж+деплой
-потребовал **ручного разрыва bootstrap-цикла** — задача, добавляющая автодеплой, сама
-не может задеплоить себя через старую логику. Reconciler доказал себя **в первую секунду
-после старта** — разблокировал две реально застрявшие задачи (ORCH-036 и ET-013).
-
-Эпик ORCH-54: **4 из 6 в проде** (ORCH-40 права, ORCH-43 merge-gate, ORCH-36 деплой,
-ORCH-53 reconciler). Осталось: ORCH-51 (окно/HA), обкатка полностью автономного деплоя.
-
----
-
-## 1. 🔴 Bootstrap-парадокс самодеплоя (ORCH-36)
-
-### Симптом
-ORCH-36 застряла в петле `deploy → development`:
-```
-QG check_deploy_status — failed: Deploy log not found (14-deploy-log.md)
-→ deployer verdict FAILED, rolled back deploy → development
-```
-deployer запускался (exit 0), но **не писал** `14-deploy-log.md` → гейт FAILED → откат →
-снова deployer → бесконечный цикл (jobs 140→142→143...).
-
-### Корень
-Классический bootstrap самохостинга: **новая deploy-логика лежит в ветке, старая работает
-в проде**. ORCH-36 учит deployer писать лог по результату РЕАЛЬНОГО деплоя (через хост-хук),
-но прод-deployer работает по СТАРОМУ промпту, который для self-репо реального деплоя не делает
-и SUCCESS-лог не пишет. Нет лога → FAILED → откат.
-
-### Урок
-**Self-репо не может задеплоить сам себя через старую логику.** Нужен разовый ручной разрыв
-цикла: домержить + задеплоить руками ОДИН раз, дальше конвейер катит своей же новой логикой.
-Тот же паттерн был у ORCH-40/43. Это структурное свойство любой задачи, меняющей
-deploy/merge-механику самого оркестратора — закладывать ручной bootstrap-шаг в план.
-
----
-
-## 2. 🔴 Merge-конфликт при последовательном ручном мерже двух задач
-
-### Симптом
-PR #56 (ORCH-53) смержен первым — чисто. PR #55 (ORCH-36) сразу после → **CONFLICT 409**:
-`.env.example`, `CHANGELOG.md`, `docs/architecture/README.md`, `docs/operations/INFRA.md`,
-**`src/config.py`**.
-
-### Корень
-После мержа PR #56 `main` ушёл вперёд → PR #55 валидировался против СТАРОГО main (точки
-ответвления), а мержится в НОВЫЙ. Это ровно класс «main ушёл вперёд», который чинит
-merge-gate (ORCH-43) — но при РУЧНОМ мерже через Gitea API merge-gate не участвует.
-
-### Решение
-- **merge main→ветку, НЕ rebase.** Rebase 9 коммитов = 9 потенциальных конфликт-разборов;
-  один merge-коммит = ОДИН разбор. Быстрее и безопаснее для большого набора коммитов.
-- Конфликт в `src/config.py` был чисто **аддитивный**: ветка ORCH-36 добавляла блок
-  `self_deploy_*` настроек, main (ORCH-53) — блок `reconcile_*`. Нужны **ОБА** блока →
-  склеить, убрав только git-маркеры (`<<<<<<<`/`=======`/`>>>>>>>`). Обязательно после —
-  `python3 -c 'import ast; ast.parse(...)'` для проверки синтаксиса.
-- docs/.env/CHANGELOG конфликты — тоже аддитивные (обе стороны добавляют строки) → union.
-
-### Грабли
-⚠️ `grep -rE '^(<<<<<<<|=======|>>>>>>>)'` по `docs/work-items/*/13-test-report.md` даёт
-**ЛОЖНЫЕ срабатывания** — там `=======` это markdown-разделители таблиц/секций, не
-git-конфликты. Проверять реальные конфликтные файлы поимённо, не доверять глобальному grep.
-
----
-
-## 3. Review-гейт поймал 2 реальных P1 ДО прода (ORCH-36)
-
-reviewer завернул первую версию (`verdict: REQUEST_CHANGES`), конвейер сам откатил
-dev→review→fix→APPROVED. Два P1:
-1. **sentinel-маркеры self-deploy (`initiated`/`result`/`approve-requested`) не чистились на
-   rollback** → при возврате задачи человек ставит Approved, а устаревший маркер ломает фазу B.
-2. **нет `.env.example` для новых флагов** + процедуры «approve→деплой» в `INFRA.md`.
-
-Урок: merge-gate + review отрабатывают как задумано — брак не уходит в прод автономно.
-Это и есть ценность эпика: система фильтрует сама.
-
----
-
-## 4. 🔥 Reconciler доказал себя мгновенно (ORCH-53)
-
-В первую секунду после рестарта прода (21:24 UTC):
-```
-reconciler: ORCH-036 development разблокирована (потерян webhook)
-reconciler: ET-013 development разблокирована (потерян webhook)
-```
-Sweeper нашёл и разблокировал ДВЕ реально застрявшие задачи — включая саму ORCH-036 из
-bootstrap-петли, и старое зависание ET-013 (enduro-trails). Ручной heartbeat-watchdog,
-который раньше держал Стрим, **больше не нужен** — система чинит застревания сама.
-
----
-
-## 5. Операционные мелочи (закрепить)
-
-- **Заголовки ORCH-задач ≤80 символов.** QG-0 (`check title length`) заворачивает старт
-  конвейера, если длиннее. ORCH-53 был 83 символа → завернул на старте → подрезали до 71.
-- **Developer-таймаут 1800с (30 мин) мал для мясных задач.** 1-й заход developer'а ORCH-36
-  (деплой-хук + Telegram-кнопка + callback) упёрся в лимит → SIGKILL (exit -9). Спас
-  resilience-ретрай (ORCH-1b): attempt 2, наработки в worktree между попытками сохранились.
-  Если упирается систематически — поднять `agent_timeout_seconds` (override per-agent) или
-  дробить задачу.
-- **Время хоста ≠ UTC.** Файлы worktree датируются по мск (+3), БД/системное — UTC. Не баг,
-  но путает сверки `etime`/`updated_at`/`finished_at`. Сверять по одному источнику.
-- **Gitea merge auth:** заголовок строго `Authorization: token <ORCH_GITEA_TOKEN>` (формат
-  `token `, буквально). НЕ маскировать токен плейсхолдером `***` → иначе 401.
-  POST `/repos/admin/orchestrator/pulls/{N}/merge`, body `{"Do":"merge"}`.
-- **approve прод-деплоя 8500 = Telegram-кнопка** (решение Owner), флаг
-  `DEPLOY_REQUIRE_MANUAL_APPROVE=true` по дефолту.
-- **max_concurrency=1 оставлен сознательно** (решение Owner): одна БД/очередь на все
-  проекты, последовательное выполнение надёжнее. НЕ поднимать без явного запроса.
-
----
-
-## Состояние прода после деплоя (21:24 UTC, main `1ff8d85`)
-- `src/self_deploy.py` — в проде (исполняемый деплой, 3 фазы A/B/C)
-- `src/reconciler.py` — в проде (фоновый sweeper, уже разблокировал 2 задачи)
-- uid 1000, health `{"status":"ok"}`, preflight True (Claude Code 2.1.142)
-- Деплой-скрипт с авто-rollback: исходник в workspace `temp/deploy_36_53.sh`

docs/history/LESSONS_ORCH-036-selfdeploy.md

@@ -1,78 +0,0 @@
-# Lessons Learned — 2026-06-07 (утро): ORCH-36 self-deploy bootstrap — каскад неготовности инфры
-
-## Итог
-ORCH-36 (исполняемый самодеплой стадии `deploy`) **замкнулась в проде** — конвейер
-впервые задеплоил сам себя по полному циклу Phase A→B→C (approve → детачед ssh-хук →
-finalizer). Но путь до Done вскрыл **четыре слоя неготовности инфраструктуры**, каждый из
-которых требовал ручного bootstrap-разрыва: задача про автодеплой не может задеплоить
-сама себя, пока её же механизм + инфра не в проде.
-
-Эпик ORCH-54: **4/6 в проде** (ORCH-40 права, ORCH-43 merge-gate, ORCH-36 самодеплой,
-ORCH-53 reconciler). Конвейер автономен: мержит → катит в прод → чинит застрявшее.
-
----
-
-## Каскад из 4 инфра-багов (все вскрылись только при РЕАЛЬНОМ деплое)
-
-### 1. 🔴 uid 1000 без записи в `/etc/passwd` → ssh/whoami падают
-**Симптом:** `self-deploy initiate failed: ssh launch failed (rc=255): No user exists for
-uid 1000`. **Корень:** регрессия ORCH-40 — compose запускает контейнер под `1000:1000`,
-но базовый образ `python:3.12-slim` не имеет passwd-записи для 1000. SSH-клиент (и
-`whoami`, `getpwuid()`) отказываются стартовать без валидного юзера.
-**Фикс:** в `Dockerfile` — `groupadd -g 1000 app && useradd -u 1000 -g 1000 -m -d
-/home/slin -s /bin/bash slin`. Rebuild + recreate. Коммит `64e031a`.
-**Урок:** при переводе контейнера на non-root uid (ORCH-40) ОБЯЗАТЕЛЬНО создавать passwd-
-запись в образе, иначе ssh/git/любой инструмент с getpwuid() ломается. Проверять
-`docker exec <c> whoami` после смены uid.
-
-### 2. 🔴 env-префикс: `DEPLOY_*` vs `ORCH_DEPLOY_*` (pydantic не видит)
-**Симптом:** `ssh: Could not resolve hostname : No address associated with hostname` —
-host пустой, хотя в compose `DEPLOY_SSH_HOST=127.0.0.1` задан. **Корень:** `Settings`
-имеет `env_prefix = "ORCH_"` → читает ТОЛЬКО `ORCH_DEPLOY_SSH_HOST`. Старые
-`DEPLOY_*` (без префикса) предназначались легаси enduro-деплоеру (читает через
-`os.environ` напрямую) и pydantic их игнорирует → дефолт `host=""`. Доп: `DEPLOY_HOOK_SCRIPT`
-указывал на `enduro-deploy-hook.sh`, не на orchestrator-хук.
-**Фикс:** в `docker-compose.yml` добавлены `ORCH_DEPLOY_SSH_USER/HOST`,
-`ORCH_DEPLOY_HOOK_SCRIPT=scripts/orchestrator-deploy-hook.sh`,
-`ORCH_DEPLOY_HOST_REPO_PATH` (легаси `DEPLOY_*` оставлены для enduro). Коммит `115519e`.
-**Урок:** все настройки, читаемые через pydantic Settings, ДОЛЖНЫ иметь префикс `ORCH_`.
-Проверять резолв: `docker exec <c> python3 -c 'from src.config import settings; print(settings.deploy_ssh_host)'`.
-
-### 3. 🔴 `/var/log/orchestrator` принадлежит root → хук падает на tee
-**Симптом:** `tee: /var/log/orchestrator/deploy-hook.log: Permission denied`, хук exit 1.
-**Корень:** лог-директория `root:root`, а хук бежит под `slin`. **Фикс:** `chown -R
-slin:slin /var/log/orchestrator` на хосте.
-**Урок:** все пути, в которые пишет хост-хук (логи, sentinel, prev-image), должны быть
-writable юзером, под которым ssh-сессия. Заложить создание/chown в provisioning хоста.
-
-### 4. 🔴🔴 BUILD-ONCE retag берёт УСТАРЕВШИЙ staging-образ → катит регресс (ВАЖНО)
-**Симптом:** деплой «зелёный» (result=0, health ok), но прод откатился на код 2-дневной
-давности — пропал `deploy-finalizer` (`Unknown agent: deploy-finalizer`), задача не
-закрылась. **Корень:** хук делает `BUILD-ONCE: retag orchestrator-orchestrator-staging →
-orchestrator-orchestrator` (без rebuild, by design ORCH-36 BR-6). Дизайн предполагал
-«staging-образ = свежий, провалидированный». В РЕАЛЬНОСТИ `orchestrator-orchestrator-staging`
-никто не пересобрал из нового main → retag катил в прод СТАРЫЙ образ → бесконечная петля:
-каждый Phase B возвращал прод в прошлое, finalizer (новый код) исчезал, Phase C не мог
-закрыть задачу.
-**Фикс (ручной разрыв):** пересобрать `orchestrator-orchestrator-staging` из актуального
-main ПЕРЕД retag → тогда хук катит свежий код. После этого Phase C отработал: result=0 →
-SUCCESS → `deploy → done`.
-**Урок / ТЕХДОЛГ:** retag-стратегия BUILD-ONCE предполагает гарантию свежести staging-
-образа, которой НЕТ. Нужна отдельная задача: либо staging-деплой пересобирает образ из
-текущего main перед валидацией, либо deploy-хук проверяет, что staging-образ собран из
-HEAD main (по labels/sha), иначе fail-fast. Сейчас «зелёный» деплой может молча катить
-регресс. **Это самый опасный из четырёх — он не падает, а тихо откатывает прод.**
-
----
-
-## Сквозной урок: bootstrap самохостинга
-Любая задача, меняющая deploy/merge-механику САМОГО оркестратора, упирается в парадокс:
-её механизм не работает, пока не в проде, а в прод его можно влить только старым
-механизмом. Каждый слой (код → права → env → образ) вскрывается ТОЛЬКО при первом
-реальном прогоне. Закладывать в план таких задач **ручной bootstrap-чеклист** и гонять
-**реальный** деплой в staging-петле до мержа, а не только бумажные гейты.
-
-## Прод после (main `115519e`+, образ 2026-06-07 09:47)
-- self_deploy.py + reconciler.py в проде, finalizer зарегистрирован (grep=5)
-- uid 1000 = slin (passwd ok), ssh slin@127.0.0.1 работает, /var/log/orchestrator writable
-- ORCH-36 task 43 → done, Plane → Done

docs/history/LESSONS_ORCH-048.md

@@ -1,119 +0,0 @@
-# LESSONS — ORCH-048 (B6 staging registry isolation, вариант «в»)
-
-**Дата:** 2026-06-06
-**Work item:** ORCH-048 — «staging B6 check reads registry from host worktree, not staging container»
-**Статус:** ✅ Done. Merge PR #45 (`2a36ed80`), Plane → Done, task 38 → done. Прод не тронут.
-
----
-
-## TL;DR
-
-B6-чек staging-suite давал **ложный FAIL** (`prod-ET=YES, prod-ORCH=YES`), блокируя `deploy-staging` у **всех** ORCH-задач, хотя изоляция реестра в staging работала корректно. Починили, выбрав архитектурный вариант, который **не порождает новых ловушек автономности**. По дороге словили три урока, которые стоят дороже самой фичи.
-
----
-
-## 1. Root cause (для истории)
-
-`scripts/staging_check.py` блок **B6** был единственным чеком suite, который не ходил по HTTP к живому инстансу, а **импортировал Python-код локально**:
-
-```python
-sys.path.insert(0, "/repos/orchestrator")        # host-worktree
-importlib.reload(sys.modules["src.projects"])     # подхватывает env ТЕКУЩЕГО процесса
-known = known_plane_project_ids()
-```
-
-Деплоер запускал suite **с хоста**, где `ORCH_PROJECTS_JSON` не задан → `src.projects` грузил встроенный `_DEFAULT_PROJECTS` (ET+ORCH) → `known_plane_project_ids()` возвращал боевые id → **ложный FAIL**. То есть B6 проверял реестр НЕ того окружения, реестр которого реально использует staging-инстанс.
-
-Изоляция при этом была исправна: внутри `orchestrator-staging` `known_plane_project_ids()` корректно отдавал только sandbox (`.env.staging`).
-
----
-
-## 2. ГЛАВНЫЙ УРОК: «курица-яйцо» в staging-гейте
-
-Архитектор на первом прогоне выбрал **вариант (а): новый HTTP-эндпоинт `GET /projects`**, и B6 стал ходить на него. Решение красивое (единый HTTP-стиль с остальными чеками), **но оно само себя заблокировало**:
-
-- B6 проверяет **работающий** staging-инстанс (порт 8501).
-- Эндпоинт `/projects` **запечён в Docker-образ** (`src/main.py`).
-- В текущем (ещё не пересобранном) образе эндпоинта НЕТ → `GET /projects` → **404** → B6 FAIL → откат на development.
-- Чтобы чек прошёл, нужен **ручной bootstrap-деплой** образа. А деплой не происходит, потому что чек красный. **Тупик by design.**
-
-Подтверждено на проде: `GET /projects` на 8501 и 8500 → 404 → `deploy-staging FAILED`.
-
-**Вывод-правило:**
-> Staging-чек НЕ должен проверять то, что появляется в работающем инстансе только ПОСЛЕ деплоя проверяемой ветки. Иначе первый прогон всегда падает и требует ручного bootstrap — это прямая поломка автономности.
-
-**Решение — вариант (в):** запускать suite **ВНУТРИ** staging-контейнера (`docker exec orchestrator-staging`), читать реестр из собственного process-env контейнера, убрать host-path хак. Преимущество принципиальное:
-- B6 не зависит от того, что отдаёт инстанс по HTTP.
-- `staging_check.py` берётся из bind-mount → свежий код подхватывается **без ребилда образа**.
-- **Курицы-яйца нет ни на первом прогоне, ни в будущем.**
-
-Вариант (б) (`docker exec ... python3 -c "..."` + парсинг stdout) отклонён: хрупкое экранирование (см. `LESSONS_2026-06-05.md`).
-
-**Как это попало в реализацию:** после FAIL под (а) — откатили ветку к analyst-артефактам (`git reset --hard <analyst-commit>`), стёрли ADR(а)+код(а), зашили в `02-trz.md §4` блок «РЕШЕНИЕ ПРИНЯТО ВЛАДЕЛЬЦЕМ: вариант (в)» с обоснованием и чек-листом, откатили задачу на `architecture` + поставили job архитектору заново. Второй прогон: arch→dev→review→tester→deploy-staging — без петель, **B6 ✓ PASS, 10/10**.
-
----
-
-## 3. УРОК: орк мержит в main ТОЛЬКО логи, а не фикс-код
-
-После прохождения staging орк сам:
-- закрыл задачу в `done`,
-- смержил в `main` PR с **логами** (`15-staging-log.md`, `14-deploy-log.md`),
-- но **сам фикс-код остался в feature-ветке** — `main` всё ещё содержал старый сломанный B6.
-
-Это by design: фичу в main вливает **владелец**. Поймали проверкой:
-
-```bash
-git fetch origin -q
-git log --oneline origin/main..origin/feature/<branch>   # покажет невлитые коммиты фикса
-git show origin/main:scripts/staging_check.py | grep -c '_evaluate_b6'   # 0 = фикс НЕ в main
-```
-
-**Правило:**
-> Прежде чем считать задачу реально доставленной — проверить `git log origin/main..feature` и наличие ключевой функции/строки фикса в `origin/main`. `done` в Plane + смерженные логи ≠ код в main.
-
-Финальный шаг: смерджить feature-PR в main (Gitea API, `Do: merge`), затем синхронизировать host-репо.
-
----
-
-## 4. УРОК: rollout bind-mount-фикса = host `git pull`, без ребилда/рестарта прода
-
-ORCH-048 менял только **bind-mounted / non-runtime** артефакты:
-
-| Файл | Как доходит до прода |
-|------|----------------------|
-| `scripts/staging_check.py` | bind-mount (`/home/slin/repos` → `/repos`); **не** в образе (`scripts/` нет в `/app`) → host `git pull` → live сразу |
-| `.openclaw/agents/deployer.md` | bind-mounted промпт, читается при запуске агента → live на следующем запуске |
-| `tests/`, `docs/` | не деплоятся |
-
-`src/` и `Dockerfile` НЕ менялись → **рестарт/ребилд прод-контейнера 8500 не нужен и не делался** (zero group-risk для ET).
-
-**Грабли host-репо:** `git pull` в `/home/slin/repos/orchestrator` сначала упёрся в `sudo: a password is required` — ложная тревога. Репо принадлежит `slin`, sudo не нужен; прямой `git pull --ff-only origin main` прошёл. **Сначала проверь `ls -ld` / `stat -c %U` репо — не лезь в sudo вслепую.**
-
-**Верификация rollout в живом bind-mount (обязательна):**
-```bash
-grep -c '_evaluate_b6' scripts/staging_check.py                       # >=1
-grep -c 'sys.path.insert(0, "/repos/orchestrator")' scripts/staging_check.py  # 0
-grep -c 'docker exec orchestrator-staging' .openclaw/agents/deployer.md       # >=1
-curl -s -o /dev/null -w '%{http_code}' http://localhost:8500/health   # 200
-```
-
----
-
-## 5. Технические заметки (gotchas)
-
-- **В контейнере orchestrator НЕТ `curl`** — для Gitea/Plane API использовать `urllib` через python (script-file → base64 → `docker cp` → `docker exec`).
-- **Plane state-id зависят от проекта.** Approved для проекта orchestrator = `63f2c8fe-dcda-4ace-952f-dd88bd0118ff` (НЕ дефолтный `a519a341...` из кода — тот для sandbox/ET). Брать реальные state-id через `GET .../states/`.
-- **BRD-апрув = перевод Plane-issue в статус Approved** → webhook ловит смену статуса → путь `agent=None` → `approved-via-status` → гейт пропускает, БЕЗ повторного запуска `check_analysis_approved`.
-- **Dockerfile НЕ копирует `scripts/`** в образ — `staging_check.py` доступен в контейнере только через mount. Путь запуска внутри контейнера учитывать (не `/app/scripts`).
-- **Перезапуск стадии вручную:** `update_task_stage(task_id, "<stage>")` + `enqueue_job(agent, repo, task_content, task_id)`. Guard перед этим: `agent_running IS NULL` И нет jobs со `status IN ('queued','running')` для task_id.
-
----
-
-## 6. Итог по гейтам/ядру после серии ORCH-45/46/47/48
-
-- ✅ `check_ci_green` — поллинг (ORCH-45)
-- ✅ `check_tests_passed` — читает `result:` (ORCH-47)
-- ✅ `stage_engine` — передаёт деву **текст** findings, не только ссылку (ORCH-46)
-- ✅ B6 staging — читает реестр ВНУТРИ staging-контейнера, больше не ложный FAIL (ORCH-48) → **deploy-staging разблокирован для всех ORCH-задач**
-
-Конвейер стал по-настоящему автономным: задача проходит analyst→deploy без ручного пинания стадий.

docs/operations/DEPLOY_HOOK.md

@@ -8,8 +8,6 @@
 
 1. **Захват текущего образа** — до рестарта записывает ID образа работающего контейнера в `$PREV_IMAGE_FILE` (best-effort, не падает если сервис не запущен).
 2. **git pull** — обновляет код репозитория.
-2b. **Build-once retag** (ORCH-036, BR-6) — если задан `$SOURCE_IMAGE`, хук ретегает его на `$TARGET_IMAGE` (`docker tag $SOURCE_IMAGE $TARGET_IMAGE`) и поднимает контейнер на этом образе через `up -d --no-build`. Это деплой РОВНО того образа, что прошёл staging, **без `docker build`**. Если `$SOURCE_IMAGE` не задан (дефолт) — шаг пропускается (обратная совместимость).
-   - **Fail-closed провенанс-guard** (ORCH-058, Strategy B) — ПЕРЕД `docker tag`, если задан `$EXPECTED_REVISION`, хук сверяет OCI-лейбл `org.opencontainers.image.revision` у `$SOURCE_IMAGE` с `$EXPECTED_REVISION`. Несовпадение / пустой лейбл (`<no value>`) / ошибка inspect → лог + `exit 1` (FAILED → авто-rollback), **прод не трогается**. Не задан `$EXPECTED_REVISION` (дефолт) → проверка пропускается (обратная совместимость для не-self репозиториев).
 3. **Рестарт контейнера** — `docker compose --profile $COMPOSE_PROFILE up -d --no-build $TARGET_SERVICE`.
 4. **Health-цикл** — 10 попыток × 6с = до 60с. Критерий: HTTP 200 + тело содержит `"status":"ok"`.
    - **Успех** → `exit 0`, лог "Deploy SUCCESS".
@@ -18,17 +16,6 @@
    - Если восстановился → `exit 1` (деплой провалился, откат успешен).
    - Если и откат не помог → `exit 2` (критично).
 
-### Режим `--build-staging` (ORCH-058, Strategy A)
-
-Пересобирает **staging-образ** из провалидированного коммита и пересоздаёт 8501, чтобы артефакт, который мы валидируем, был РОВНО тем, что позже build-once ретегается в прод (инвариант `INV-FRESH`). Собирает/пересоздаёт **только staging (8501)** — никогда прод (8500).
-
-1. `docker build --build-arg GIT_SHA=$GIT_SHA -t $TARGET_IMAGE $BUILD_CONTEXT` — пересборка из host-worktree валидированного коммита; `GIT_SHA` штампуется в OCI-лейбл `org.opencontainers.image.revision`.
-2. `docker compose [--profile $COMPOSE_PROFILE] up -d --no-build $TARGET_SERVICE` — пересоздание staging на свежем образе.
-3. Health-цикл 10×6с. Провал сборки/health → `exit 1`.
-4. **`staging_check` против СВЕЖЕГО образа** (Strategy A, шаг 3 — ADR-001, AC-4) — после health хук запускает `docker exec $STAGING_CONTAINER python3 $STAGING_CHECK_PATH --base-url http://localhost:$TARGET_PORT --mode $STAGING_CHECK_MODE` (дефолт `--mode stub`, без LLM-трат). Запуск **внутри** staging-контейнера канонический (ORCH-048): suite читает реестр из собственного env контейнера, а `staging_check.py` берётся из bind-mount (`/repos/orchestrator/scripts/...`, не из образа). Это ровно тот артефакт, что позже build-once ретегается в прод → валидируем то, что промоутим (AC-4). PASS → `exit 0`; любой не-ноль (FAIL чека или safety-abort `ORCH_STAGING≠true`) → `exit 1`.
-
-Запускается оркестратором на ребре `deploy-staging → deploy` (QG-под-чек `check_staging_image_fresh` → `rebuild_staging_image` пробрасывает явный staging-таргет, см. `INFRA.md`). Тот же контракт кодов выхода (0 = здоров **и** staging_check PASS).
-
 ### Режим `--rollback`
 
 Вручную откатывает сервис на предыдущий образ из `$PREV_IMAGE_FILE`.
@@ -42,13 +29,6 @@
 | `TARGET_IMAGE`   | `orchestrator-orchestrator-staging` | Имя образа для retag при rollback           |
 | `COMPOSE_PROFILE`| `staging`                         | Docker compose profile (пусто = без профиля) |
 | `PREV_IMAGE_FILE`| `$REPO/.deploy-prev-image-staging`| Файл для сохранения предыдущего образа        |
-| `SOURCE_IMAGE`   | _(unset)_                         | Build-once (ORCH-036): провалидированный образ для retag на `$TARGET_IMAGE` перед рестартом (без rebuild). Не задан → шаг пропущен. |
-| `EXPECTED_REVISION` | _(unset)_                      | Build-once (ORCH-058, Strategy B): ожидаемый git-SHA `$SOURCE_IMAGE` (лейбл `org.opencontainers.image.revision`). Задан → fail-closed guard перед `docker tag`. Не задан → проверка пропущена. |
-| `GIT_SHA`        | _(unset)_                         | `--build-staging` (ORCH-058, Strategy A): коммит, штампуемый в OCI-лейбл `revision` при пересборке staging-образа. |
-| `BUILD_CONTEXT`  | `$REPO`                           | `--build-staging`: docker build context (host-worktree валидированного коммита). |
-| `STAGING_CONTAINER` | `$TARGET_SERVICE` (`orchestrator-staging`) | `--build-staging` (ORCH-058): контейнер, внутри которого `docker exec` запускает `staging_check`. |
-| `STAGING_CHECK_PATH` | `/repos/orchestrator/scripts/staging_check.py` | `--build-staging` (ORCH-058): путь к `staging_check.py` внутри контейнера (bind-mount, не образ). |
-| `STAGING_CHECK_MODE` | `stub`                        | `--build-staging` (ORCH-058): режим `staging_check` (`stub` — быстро, без LLM; `full-real` — дожидается аналитика). |
 | `LOG`            | `/var/log/orchestrator/deploy-hook.log` | Лог-файл (fallback: `$REPO/deploy-hook.log`) |
 
 > ⚠️ **Дефолт — всегда STAGING**. Прод активируется только явным переопределением env.
@@ -75,20 +55,6 @@ PREV_IMAGE_FILE=/home/slin/repos/orchestrator/.deploy-prev-image-prod \
 bash scripts/orchestrator-deploy-hook.sh --deploy
 ```
 
-### Прод build-once (ORCH-036) — ретег staging-образа, без rebuild
-
-Так прод-деплой запускается **автоматически** исполняемым самодеплоем (Фаза B: `ssh + setsid`, см. `INFRA.md`). Ключевое отличие — `SOURCE_IMAGE` указывает на провалидированный staging-образ, который ретегается на прод-тег:
-
-```bash
-SOURCE_IMAGE=orchestrator-orchestrator-staging \
-TARGET_SERVICE=orchestrator \
-TARGET_PORT=8500 \
-TARGET_IMAGE=orchestrator-orchestrator \
-COMPOSE_PROFILE="" \
-PREV_IMAGE_FILE=/home/slin/repos/orchestrator/.deploy-prev-image-prod \
-bash scripts/orchestrator-deploy-hook.sh --deploy
-```
-
 ### Ручной rollback staging
 
 ```bash

docs/operations/INFRA.md

@@ -30,40 +30,18 @@
 
 Оба: `network_mode: host`, `init: true` (tini как PID 1 — reaping зомби, B-2), `restart: unless-stopped`.
 
-### Рантайм-uid (ORCH-040)
-Оба сервиса бегут под `user: "1000:1000"` (slin), **не** root. Артефакты конвейера
-(git worktree `/repos/_wt/...`, коммиты в `docs/work-items/...`) создаются как
-`slin:slin`, поэтому `git pull` / `git reset` на хосте под slin работают без ручного
-`chown`. Доступ к docker.sock сохранён через `group_add: ["999"]` (gid docker, **не**
-через root — НЕ удалять). При переносе на другой хост uid пересматривается. См.
-ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и глобальный
-`docs/architecture/adr/adr-0005-container-runs-as-host-uid.md`.
-
-**Host-prerequisites (обязательная процедура Owner, в git не коммитятся):**
-- **P-1 (блокер):** uid 1000 читает claude creds — `chown -R 1000:1000 /home/slin/.claude`;
-  проверка `sudo -u '#1000' test -r /home/slin/.claude/.credentials.json`. Без этого
-  preflight (ORCH-044) заворачивает весь конвейер.
-- **P-2:** ssh-ключи в `/home/slin/.orchestrator-ssh` читаемы uid 1000 (маунт ведёт в `/home/slin/.ssh`).
-- **P-3:** `id slin` → `1000:1000`; `/repos`, `/app/data` уже `1000:1000`.
-- **P-4:** прод-рестарт self — только в окно тишины (`GET /status` без активных задач):
-  общий инстанс с enduro-trails.
-- Разовый разгребающий `chown -R 1000:1000 /home/slin/repos/orchestrator` для старых
-  `root:root` файлов из истории (вне объёма кода).
-
 ### Тома (volumes)
 - `./data` → `/app/data` (БД; у staging — `./data/staging`)
 - `/home/slin/repos` → `/repos` (рабочие репозитории проектов)
 - `/var/run/docker.sock` (для docker-операций деплоя)
 - claude-code, node, `~/.claude*` (CLI агентов, ro)
-- `~/.orchestrator-ssh` → `/home/slin/.ssh` (ro, деплой по ssh; target в HOME агента,
-  согласован с `HOME=/home/slin` из launcher — ORCH-040, ранее `/root/.ssh`)
+- `~/.orchestrator-ssh` → `/root/.ssh` (ro, деплой по ssh)
 
 ## Переменные окружения (карта; значения — в `.env`)
 
 | Переменная | Назначение |
 |-----------|-----------|
 | `ORCH_PLANE_API_URL` / `_TOKEN` / `_WORKSPACE_SLUG` | доступ к Plane API |
-| `ORCH_PLANE_WEB_URL` | внешний (браузерный) web-URL Plane для кликабельных ссылок на issue в уведомлениях (ORCH-017); пусто → фолбэк на `ORCH_PLANE_API_URL`, loopback-фолбэк → ссылка опускается |
 | `ORCH_PLANE_WEBHOOK_SECRET` | HMAC-проверка вебхуков Plane |
 | `ORCH_GITEA_URL` / `_TOKEN` / `_WEBHOOK_SECRET` | доступ к Gitea + HMAC |
 | `ORCH_CLAUDE_BIN` | путь к claude CLI |
@@ -75,22 +53,6 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 | `ORCH_AGENT_EFFORT_DEFAULT` | режим работы `--effort` по умолчанию (ORCH-41): low\|medium\|high\|xhigh\|max; дефолт `high` |
 | `ORCH_AGENT_EFFORT_<AGENT>` | per-agent effort; дефолт: думающие → high, tester/deployer → medium |
 | `ORCH_AGENT_FALLBACK_MODEL` | опц. фолбэк-модель при overloaded (`--fallback-model`); пусто → без флага |
-| `ORCH_SELF_DEPLOY_ENABLED` | ORCH-036 kill-switch исполняемого самодеплоя (true); false → legacy-путь для всех |
-| `ORCH_SELF_DEPLOY_REPOS` | CSV репозиториев с реальным самодеплоем; пусто → только self-hosting `orchestrator` |
-| `ORCH_DEPLOY_REQUIRE_MANUAL_APPROVE` | требовать человеческий Plane «Approved» для прод-деплоя (true, безопасно) |
-| `ORCH_DEPLOY_FINALIZE_DELAY_S` / `_MAX_ATTEMPTS` | задержка и бюджет defer'ов finalizer'а (Фаза C; 90 / 10) |
-| `ORCH_DEPLOY_SSH_USER` / `_SSH_HOST` | куда запускается detached хост-деплой (Фаза B, `ssh user@host`) |
-| `ORCH_DEPLOY_HOOK_SCRIPT` / `_HOST_REPO_PATH` | путь к хук-скрипту (отн. репо) и чекаут orchestrator на хосте |
-| `ORCH_DEPLOY_PROD_SOURCE_IMAGE` | staging-образ для build-once retag на прод-тег (без rebuild) |
-| `ORCH_DEPLOY_PROD_TARGET_SERVICE` / `_TARGET_PORT` / `_TARGET_IMAGE` / `_COMPOSE_PROFILE` / `_PREV_IMAGE_FILE` | прод-цель хука + снапшот для авто-rollback |
-| `ORCH_IMAGE_FRESHNESS_ENABLED` | ORCH-058 единый kill-switch провенанса staging-образа (A+B как целое); дефолт `true`, false → legacy build-once без проверки свежести |
-| `ORCH_IMAGE_FRESHNESS_REPOS` | CSV репозиториев с реальным гейтом свежести; пусто → только self-hosting `orchestrator` |
-| `ORCH_RECONCILE_ENABLED` | kill-switch sweeper потерянных webhook (ORCH-053); дефолт `true`. **При инциденте/раскатке** — `false` глушит весь фоновый reconciler |
-| `ORCH_RECONCILE_PLANE_ENABLED` | отдельный флаг F-2 (опрос Plane API); `false` гасит только plane-ветку, F-1 продолжает работать; дефолт `true` |
-| `ORCH_RECONCILE_INTERVAL_S` | период фонового прохода reconciler, сек; дефолт `120` |
-| `ORCH_RECONCILE_GRACE_DEFAULT_S` | порог «застряла» по `tasks.updated_at`, сек; дефолт `600` |
-| `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | per-stage пороги, напр. `{"development":300}`; невалидный JSON → дефолт |
-| `ORCH_RECONCILE_NOTIFY_UNBLOCK` | слать Telegram при разблокировке застрявшей задачи; дефолт `true` |
 | `DEPLOY_SSH_USER` / `_HOST` / `DEPLOY_HOOK_SCRIPT` | параметры деплой-хука |
 
 **Секреты — только в `.env` / `.env.staging` на хосте, в гит НЕ коммитятся.** Канон — `.env.example`, `.env.staging.example`.
@@ -133,7 +95,6 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 
 **Страховки:**
 - Стадия `deploy-staging` (порт 8501) — обязательный гейт перед прод-деплоем орка. Прод-деплой недостижим, пока staging-гейт не зелёный (см. `STAGING.md`, ORCH-35). Гейт условный: реален только для self-hosting (repo=orchestrator), для остальных проектов — no-op.
-- **Свежесть staging-образа (ORCH-058):** на ребре `deploy-staging → deploy` (ПОСЛЕ merge-gate, ДО Phase A) QG-под-чек `check_staging_image_fresh` пересобирает staging-образ из валидированного коммита и пересоздаёт 8501 (Strategy A), а хук перед build-once retag fail-closed сверяет OCI-лейбл `revision` с `EXPECTED_REVISION` (Strategy B). Гарантирует: в прод промоутится РОВНО провалидированный артефакт (инцидент LESSONS_ORCH-036 п.4 — тихий промоут устаревшего образа). Сборки/recreate — ТОЛЬКО staging (8501); FAIL → откат на `development`. Условный: реален только для self-hosting.
 
 **Правила для агентов при задачах ORCH:**
 1. НЕ перезапускать / не ронять прод-контейнер `orchestrator` в рамках задачи.

docs/operations/STAGING.md

@@ -75,27 +75,6 @@ completely invisible to commands that do not pass `--profile staging`.
 docker logs -f orchestrator-staging
 ```
 
-## Staging-образ как источник прод-артефакта (ORCH-058)
-
-Прод-деплой орка — **build-once**: хук ретегает провалидированный staging-образ
-(`orchestrator-orchestrator-staging`) на прод-тег **без rebuild** (ORCH-036). Чтобы
-в прод не попал устаревший образ (инцидент LESSONS_ORCH-036 п.4), ORCH-058 гарантирует
-свежесть staging-образа **двумя слоями** (только self-hosting):
-
-- **A — пересборка staging (liveness):** на ребре `deploy-staging → deploy` (ПОСЛЕ
-  merge-gate, ДО Phase A) QG-под-чек `check_staging_image_fresh` через хук
-  `--build-staging` пересобирает staging-образ из worktree валидированного коммита
-  (`--build-arg GIT_SHA=<sha>`, OCI-лейбл `org.opencontainers.image.revision`) и
-  пересоздаёт 8501. Так валидируем РОВНО тот артефакт, что промоутится в прод.
-  FAIL → откат на `development`. Сборки/recreate — **только staging (8501)**.
-- **B — fail-closed guard (safety):** прод-хук перед `docker tag` сверяет лейбл
-  `revision` у `SOURCE_IMAGE` с `EXPECTED_REVISION` (пробрасывает оркестратор);
-  несовпадение / пустой лейбл / ошибка inspect → `exit 1`, прод не трогается.
-
-Kill-switch `ORCH_IMAGE_FRESHNESS_ENABLED` включает A+B **как целое**; область —
-`ORCH_IMAGE_FRESHNESS_REPOS` (пусто → только `orchestrator`). Детали — `DEPLOY_HOOK.md`,
-`docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.
-
 ## Roadmap
 
 | Task | Description |

docs/operations/STAGING_CHECK.md

@@ -12,9 +12,7 @@
 | B    | ACCESS   | Plane sandbox (R), Gitea sandbox (R+push), реестр проектов |
 | C    | E2E      | Создать задачу → триггер конвейера → ветка + коммент → cleanup |
 
-Exit code: **0** = advance (все REAL-проверки PASS), **1** = rollback (есть REAL-FAIL).
-С ORCH-061 exit 0 может включать *waived* sandbox-infra FAIL (C9a/C9b) — см.
-[«Толерантность к sandbox-infra (ORCH-061)»](#толерантность-к-sandbox-infra-orch-061).
+Exit code: **0** = все PASS, **non-zero** = есть FAIL.
 
 ---
 
@@ -38,103 +36,34 @@ Exit code: **0** = advance (все REAL-проверки PASS), **1** = rollback
 
 ## Способы запуска
 
-### 1. Внутри контейнера (КАНОНИЧЕСКИЙ — обязателен для деплоера)
+### 1. Внутри контейнера (рекомендуемый)
+
+```bash
+docker exec orchestrator-staging \
+  python3 /repos/orchestrator/scripts/staging_check.py --mode stub
+```
+
+### 2. С хоста (если есть токены в env)
+
+```bash
+export ORCH_STAGING=true
+export ORCH_PLANE_API_TOKEN=...
+# ... остальные переменные ...
+
+python3 scripts/staging_check.py \
+  --base-url http://localhost:8501 \
+  --mode stub
+```
+
+### 3. Из docker exec с передачей URL
 
 ```bash
 docker exec orchestrator-staging \
   python3 /repos/orchestrator/scripts/staging_check.py \
-  --base-url http://localhost:8501 --mode stub
+  --base-url http://localhost:8501 \
+  --mode stub
 ```
 
-Это единственный канонический способ для стадии `deploy-staging` (ORCH-048, ADR-001).
-Внутри контейнера env уже staging (`.env.staging`), а чек **B6** строит реестр проектов из
-собственного process-env инстанса (см. ниже). Путь к скрипту — `/repos/orchestrator/scripts/…`
-(bind-mount); `scripts/` **не** копируется в образ, поэтому `/app/scripts` не существует.
-
-### 2. С хоста — НЕ рекомендуется
-
-```bash
-# ⚠️ Воспроизводит баг ORCH-048: на хосте ORCH_PROJECTS_JSON не задан →
-# B6 строит реестр из дефолта (ET+ORCH) → ложный FAIL.
-# Допустимо ТОЛЬКО если env хоста полностью повторяет staging (включая ORCH_PROJECTS_JSON).
-export ORCH_STAGING=true
-export ORCH_PROJECTS_JSON=...   # обязателен, иначе B6 даст ложный FAIL
-export ORCH_PLANE_API_TOKEN=...
-# ... остальные переменные ...
-
-python3 scripts/staging_check.py --base-url http://localhost:8501 --mode stub
-```
-
----
-
-## Механика чека B6 (ORCH-048, ADR-001)
-
-B6 «Registry: sandbox present, prod ET/ORCH absent» подтверждает изоляцию: в реестре
-работающего staging-инстанса есть только sandbox-проект и НЕТ боевых (ET/ORCH).
-
-- B6 импортирует `known_plane_project_ids()` из `src.projects` **кода контейнера**
-  (`/app/src` через `PYTHONPATH=/app`), env которого — `.env.staging`. Реестр отражает
-  именно работающий staging-инстанс.
-- Прежний host-path хак (`sys.path.insert(0, "/repos/orchestrator")` + `importlib.reload`)
-  удалён: он подхватывал env процесса-запускателя и при запуске с хоста давал ложный FAIL.
-- Логика вердикта вынесена в чистую функцию `_evaluate_b6(known) -> (passed, detail)`:
-  `passed ⟺ SANDBOX ∈ known ∧ PROD_ET ∉ known ∧ PROD_ORCH ∉ known`. Покрыта юнит-тестами
-  (`tests/test_staging_check_b6.py`) на оба исхода без поднятия инстанса/docker.
-- При недоступности источника реестра B6 даёт детерминированный FAIL (не ложный PASS,
-  не необработанное исключение).
-
-**Поэтому B6 достоверен только при каноническом запуске (способ 1).**
-
----
-
-## Толерантность к sandbox-infra (ORCH-061)
-
-**Проблема.** Self-hosting `orchestrator` зацикливался на `deploy-staging → development`:
-прежде скрипт давал exit 1 при **любом** FAIL, поэтому две чисто инфраструктурные
-проверки — **C9a** (ветка не появилась в `orchestrator-sandbox`) и **C9b** (job
-аналитика не встал в очередь staging) — приводили к `staging_status: FAILED` →
-откат → цикл. Корень: SANDBOX-бот-аккаунты не состоят в sandbox-проекте Plane,
-поэтому шаги 6+ конвейера в песочнице недостижимы. Это **не** регресс конвейера.
-
-**Решение.** Проверки классифицируются на две категории (`src/staging_verdict.py`):
-
-| Категория | Что входит | Поведение |
-|-----------|-----------|-----------|
-| `REAL` | все проверки конвейера (A*, B*, C7, C8) | **fail-closed** — любой FAIL = rollback |
-| `SANDBOX_INFRA` | строго allowlist `{C9a, C9b}` | **waivable** — FAIL терпится, если все REAL зелёные |
-
-Вердикт сворачивается в `compute_staging_verdict(items, infra_tolerant)`:
-
-- любой REAL-FAIL → `FAILED` / exit 1 (страховка сохраняется при ЛЮБОМ значении флага);
-- упали **только** C9a/C9b и толерантность включена → `SUCCESS` / exit 0,
-  упавшие метки попадают в `waived` (наблюдаемость, печатается строкой `INFRA-WAIVED:`);
-- упали только C9a/C9b, толерантность выключена → `FAILED` / exit 1 (legacy-строгий);
-- любая внутренняя ошибка вердикта → `FAILED` / exit 1 (никогда не ложный green).
-
-Blast-radius waiver-а ровно две allowlist-метки; всё неизвестное классифицируется
-как `REAL` (fail-closed).
-
-### Kill-switch и `--strict`
-
-| Управление | Эффект |
-|-----------|--------|
-| env `ORCH_STAGING_INFRA_TOLERANCE_ENABLED` (default `true`) | глобальный флаг; `false` → строгий режим (1:1 до ORCH-061) |
-| CLI `--strict` | форсит строгий режим для одного запуска, игнорируя env |
-
-Флаг живёт в `.env.staging` (staging-инстанс). `--strict` имеет приоритет над env.
-
-### Что печатает скрипт
-
-В конце прогона `summary()` показывает разбивку REAL/SANDBOX_INFRA, затем:
-
-```
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox; C9b Analyst job enqueued ...
-VERDICT: SUCCESS (infra-waived): ['C9a …', 'C9b …'] are known sandbox-infra checks; all real checks green
-```
-
-Контракт `staging_status: SUCCESS|FAILED` во frontmatter **не меняется** —
-толерантность применяется в скрипте ДО записи артефакта деплоером.
-
 ---
 
 ## Режимы (`--mode`)

docs/work-items/ORCH-017/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: Прямые ссылки на BRD и Plane-таску в Telegram-уведомлении об апруве
-
-Work Item ID: ORCH-017
-
-## Description
-
-TBD

docs/work-items/ORCH-017/01-brd.md

@@ -1,91 +0,0 @@
-# 01-BRD — ORCH-017: Прямые ссылки на BRD и Plane-таску в Telegram-уведомлении об апруве
-
-Work Item: **ORCH-017**
-Repo: `orchestrator` · Branch: `feature/ORCH-017-brd-plane-telegram`
-Тип: косметическая правка (UX уведомлений). Парная с ORCH-016.
-
-## 1. Бизнес-контекст и проблема
-Когда оркестратор завершает стадию `analysis` и просит подтвердить BRD, в Telegram уходит
-отдельное «пингующее» уведомление (`notify_approve_requested` в `src/notifications.py`).
-Сейчас в этом сообщении **нет ссылок**: владелец (Слава) вынужден вручную зайти в Plane,
-найти нужную issue, открыть комментарий аналитика, оттуда перейти к BRD-документу. Это
-лишние ручные шаги на каждой задаче.
-
-Текущий текст уведомления:
-> 📋 {WI}: BRD/ТЗ/AC готовы. Переведите задачу в статус Approved в Plane для продолжения.
-
-## 2. Цель
-В **этом же** уведомлении дать две прямые кликабельные ссылки, чтобы весь сценарий
-прохождения апрува выполнялся из Telegram, без ручной навигации в Plane:
-1. **Ссылка на BRD** — открывает `01-brd.md` в Gitea (прочитать документ).
-2. **Ссылка на Plane-issue** — открывает задачу в Plane (перевести в Approved / отклонить с комментом).
-
-## 3. Целевой сценарий (Слава)
-Получил уведомление → кликнул «📄 BRD» → прочитал → кликнул «✅ Задача» → перевёл в
-Approved (или отклонил с комментарием). Всё из Telegram.
-
-## 4. Объём (Scope)
-### В объёме (выбранный по умолчанию минимальный вариант — см. §8 открытые вопросы)
-- Доработка **только** функции `notify_approve_requested(task_id)` в `src/notifications.py`
-  (стадия `analysis`, запрос статуса Approved).
-- Формирование двух ссылок и встраивание их в текст того же отдельного уведомления.
-- Формат — HTML-ссылки в тексте (`<a href="…">label</a>`), т.к. `send_telegram` уже шлёт
-  `parse_mode="HTML"`. Альтернатива (inline-кнопки) — открытый вопрос §8.
-- Новая конфиг-настройка для внешнего web-URL Plane (см. §6, риск №1).
-- Обновление документации (`CLAUDE.md` env-карта при необходимости, `CHANGELOG.md`,
-  `.env.example`) в том же PR.
-
-### Вне объёма (НЕ трогать)
-- Логика апрува: `:approved:`-handler, `check_analysis_approved`, переходы стадий.
-- Живой Telegram-трекер (`update_task_tracker` / `render_task_tracker`, PR #21/#22) — его
-  текст и поведение не меняем; новое уведомление остаётся ОТДЕЛЬНЫМ сообщением, дубли
-  трекера не создаём.
-- Содержимое комментариев в Plane (это смежная задача ORCH-016).
-- Ссылки в других уведомлениях (deploy-failed, agent-failed, error) — вне объёма по
-  умолчанию (см. открытый вопрос §8.2).
-
-## 5. Заинтересованные стороны
-- **Owner / получатель уведомления:** Слава.
-- **Поставщик данных:** оркестратор (БД `tasks`: repo, branch, work_item_id, plane_issue_id).
-
-## 6. Функциональные требования
-| # | Требование |
-|---|------------|
-| FR-1 | Уведомление об апруве BRD содержит кликабельную ссылку на документ `docs/work-items/<WI>/01-brd.md` в Gitea. |
-| FR-2 | То же уведомление содержит кликабельную ссылку на соответствующую Plane-issue. |
-| FR-3 | Существующий текст-призыв («Переведите задачу в статус Approved …») сохраняется. |
-| FR-4 | Уведомление остаётся ОДНИМ отдельным пингующим сообщением (без дублей, без второго сообщения). |
-| FR-5 | Ссылка на BRD строится на внешнем `gitea_public_url` (фоллбэк `gitea_url`), формат branch-view: `{base}/{owner}/{repo}/src/branch/{branch}/docs/work-items/{WI}/01-brd.md`. Переиспользовать существующий паттерн из `src/usage.py`. |
-| FR-6 | Ссылка на Plane-issue строится на внешнем web-URL Plane + workspace + project + issue. |
-
-## 7. Нефункциональные требования
-| # | Требование |
-|---|------------|
-| NFR-1 | **Никогда не ронять оркестратор** из-за уведомления: построение ссылок обёрнуто в защиту, при отсутствии данных (нет branch / нет plane_issue_id / не задан web-URL) — сообщение всё равно отправляется, просто без соответствующей ссылки (graceful degradation). |
-| NFR-2 | Не нарушать self-hosting: правка не требует рестарта прод-контейнера сверх обычного деплоя; не меняет реестр гейтов/стадий. |
-| NFR-3 | Сохранить `parse_mode="HTML"`; экранировать динамические подписи (`html.escape`), URL формировать из доверенных конфиг-значений. |
-
-## 8. Открытые вопросы (требуют решения Owner; в документах принят безопасный дефолт)
-1. **Формат ссылок.** Дефолт BRD: HTML-ссылки в тексте (минимальная правка). Альтернатива —
-   inline-кнопки «📄 Открыть BRD» / «✅ К задаче в Plane», что требует доработки `send_telegram`
-   (параметр `reply_markup`/`inline_keyboard`). → решение к стадии architecture.
-2. **Охват.** Дефолт: только BRD-апрув (`notify_approve_requested`). Альтернатива — все точки,
-   требующие решения Славы (напр. согласование макета ORCH-14). → если «все точки», объём
-   расширяется, нужен отдельный перечень событий.
-3. **Внешний web-URL Plane.** В конфиге сейчас только внутренний `plane_api_url`
-   (`http://localhost:8091`) — он НЕ годится для браузерной ссылки. Дефолт: завести новую
-   env-настройку `ORCH_PLANE_WEB_URL` (внешний адрес Plane) с фоллбэком на `plane_api_url`.
-   Точное значение URL должен подтвердить Owner/INFRA.
-4. **Формат Plane-ссылки.** `…/{workspace}/projects/{project_id}/issues/{issue_id}/` (надёжно,
-   issue_id есть в `tasks.plane_issue_id`) vs короткий `…/{workspace}/browse/<IDENT>/`
-   (зависит от соответствия `work_item_id` ↔ Plane identifier, что не гарантировано из-за
-   zero-padding ORCH-017 vs ORCH-17). → решение к стадии architecture.
-
-## 9. Зависимости и связки
-- **PR #14** — `gitea_public_url`: переиспользуем для кликабельных ссылок на доки.
-- **PR #21/#22** — живой Telegram-трекер: новое сообщение остаётся отдельным, трекер не трогаем.
-- **ORCH-016** — единые коммент-артефакты в Plane (парная задача про навигацию к документам).
-
-## 10. Критерий бизнес-успеха
-Слава из одного Telegram-уведомления одним кликом открывает BRD и одним кликом — задачу в
-Plane, не заходя в Plane вручную и не ища комментарий.

docs/work-items/ORCH-017/02-trz.md

@@ -1,87 +0,0 @@
-# 02-ТЗ — ORCH-017: Прямые ссылки в Telegram-уведомлении об апруве BRD
-
-Work Item: **ORCH-017** · Repo: `orchestrator`
-Опирается на 01-brd.md. Уточняет конкретные изменения кода/конфигурации.
-
-> Примечание по канону: ТЗ фиксирует ТРЕБОВАНИЯ к изменениям, а не готовое
-> архитектурное решение. Выбор формата (текст vs inline-кнопки) и точного формата
-> Plane-URL — за стадией architecture (см. открытые вопросы 01-brd.md §8). Если по
-> ходу разработки ТЗ окажется неполным/неверным — возврат на стадию Анализ, без
-> правок ТЗ задним числом.
-
-## 1. Задействованные модули `src/`
-| Модуль | Роль в задаче |
-|--------|---------------|
-| `src/notifications.py` | **Основной.** Функция `notify_approve_requested(task_id)` (≈ строки 547–566) — единственная точка отправки пингующего уведомления об апруве BRD. Сюда добавляются ссылки. |
-| `src/config.py` | Класс `Settings`. Добавить настройку внешнего web-URL Plane (`plane_web_url`, env `ORCH_PLANE_WEB_URL`) с дефолтом-фоллбэком. |
-| `src/projects.py` | (Чтение) `get_project_by_repo(repo)` → `plane_project_id` для построения Plane-URL. |
-| `src/usage.py` | (Референс, не править) Эталонный паттерн branch-view ссылки на доки (`{base}/{owner}/{repo}/src/branch/{branch}/<rel>`), строки ≈483–503 — переиспользовать тот же формат. |
-| `src/db.py` | (Чтение) Таблица `tasks`: поля `work_item_id`, `repo`, `branch`, `plane_issue_id`. Источник данных для ссылок. |
-
-## 2. Источники данных (из `tasks` по `task_id`)
-- `work_item_id` — путь к BRD-документу и (опц.) идентификатор issue.
-- `repo`, `branch` — построение Gitea branch-view URL.
-- `plane_issue_id` — uuid issue в Plane для прямой ссылки.
-- `project_id` — через `projects.get_project_by_repo(repo).plane_project_id`.
-
-`notify_approve_requested` сейчас принимает только `task_id` и тянет лишь `work_item_id`
-через `_get_work_item_id`. Требуется дополнительно прочитать `repo`, `branch`,
-`plane_issue_id` из `tasks` (один SELECT, в защищённом try/except).
-
-## 3. Требуемые изменения
-
-### 3.1 `src/notifications.py`
-- Построить **BRD-ссылку** (FR-1/FR-5):
-  `{base}/{owner}/{repo}/src/branch/{branch}/docs/work-items/{work_item_id}/01-brd.md`,
-  где `base = (settings.gitea_public_url or settings.gitea_url).rstrip('/')`,
-  `owner = settings.gitea_owner`. Если нет `base`/`repo`/`branch`/`work_item_id` — ссылку
-  опустить (NFR-1).
-- Построить **Plane-ссылку** (FR-2/FR-6):
-  `{plane_web_base}/{workspace_slug}/projects/{project_id}/issues/{plane_issue_id}/`
-  (точный формат — решение architecture, см. 01-brd §8.4). Если нет данных — опустить.
-- Встроить обе ссылки в текст того же сообщения (FR-3/FR-4), формат HTML-`<a>` по умолчанию.
-  Сохранить существующий призыв «Переведите задачу в статус Approved …».
-- Сохранить вызов как **одно** `send_telegram(msg)` (пингующее, не silent). Порядок
-  существующих действий не менять: старт BRD-часов (`mark_brd_review_started`) →
-  `update_task_tracker(task_id)` → `send_telegram(msg)`.
-- Динамические подписи экранировать `html.escape` (NFR-3).
-
-### 3.2 `src/config.py`
-- Добавить в `Settings` поле `plane_web_url: str = ""` (env `ORCH_PLANE_WEB_URL`).
-- Семантика фоллбэка: `plane_web_base = (settings.plane_web_url or settings.plane_api_url).rstrip('/')`.
-
-### 3.3 Опционально (если выбран вариант inline-кнопок — открытый вопрос 01-brd §8.1)
-- Расширить `send_telegram(text, disable_notification=False, reply_markup=None)`:
-  при наличии `reply_markup` прокидывать его в payload `sendMessage`. Обратная
-  совместимость — обязательна (текущие вызовы без аргумента работают как раньше).
-- ⚠️ Это РАСШИРЯЕТ объём; включается только по явному решению Owner на стадии architecture.
-
-## 4. Изменения API
-Нет. Публичные HTTP-эндпоинты (`/webhook/*`, `/status`, `/queue`, `/health`) не затрагиваются.
-
-## 5. Изменения схемы БД
-Нет. Все нужные поля (`repo`, `branch`, `work_item_id`, `plane_issue_id`) уже существуют в `tasks`.
-
-## 6. Изменения конфигурации / окружения
-- Новая env-переменная `ORCH_PLANE_WEB_URL` (внешний web-адрес Plane). Прописать в
-  `.env.example` (канон секретов/настроек), описать в env-карте (`CLAUDE.md` /
-  `docs/operations/INFRA.md`). Реальное значение задаётся в `.env`/`.env.staging` на хосте.
-- Существующие `ORCH_GITEA_PUBLIC_URL`, `ORCH_GITEA_OWNER`, `ORCH_PLANE_WORKSPACE_SLUG`
-  переиспользуются как есть.
-
-## 7. Требования к новым QG checks
-Нет. Реестр `QG_CHECKS`, стадии и машинные вердикты не меняются (правка — отображение,
-не управление конвейером).
-
-## 8. Артефакты pipeline, которые должны быть обновлены в ЭТОМ PR
-- `CHANGELOG.md` — запись о фиче.
-- `.env.example` — новая `ORCH_PLANE_WEB_URL`.
-- При добавлении настройки — env-карта в `CLAUDE.md` / `docs/operations/INFRA.md`.
-- ADR (стадия architecture): `docs/work-items/ORCH-017/06-adr/ADR-001-*.md` — фиксирует выбор
-  формата (текст vs кнопки) и формат Plane-URL.
-
-## 9. Ограничения
-- Не трогать `:approved:`-handler и `check_analysis_approved` (только текст/формат уведомления).
-- Не плодить сообщения: одно отдельное пингующее сообщение; живой трекер (PR #21/#22) не дублировать.
-- Соблюдать self-hosting: не ронять/не рестартить прод сверх штатного деплоя; обязательная
-  страховка `deploy-staging` (8501) перед прод-деплоем орка.

docs/work-items/ORCH-017/03-acceptance-criteria.md

@@ -1,64 +0,0 @@
-# 03-Acceptance Criteria — ORCH-017
-
-Work Item: **ORCH-017** · Repo: `orchestrator`
-Каждый критерий формулирует условие PASS/FAIL. Источник — 01-brd.md / 02-trz.md.
-
-## AC-1 — Ссылка на BRD присутствует в уведомлении
-- **PASS:** Текст, сформированный `notify_approve_requested`, содержит кликабельную ссылку
-  на `docs/work-items/<WI>/01-brd.md` вида
-  `{gitea_public_url|gitea_url}/{owner}/{repo}/src/branch/{branch}/docs/work-items/{WI}/01-brd.md`.
-- **FAIL:** Ссылки на BRD нет, либо она ведёт не на `01-brd.md`/не на нужный WI.
-
-## AC-2 — Ссылка на Plane-issue присутствует в уведомлении
-- **PASS:** Тот же текст содержит кликабельную ссылку на issue в Plane, построенную на
-  внешнем web-URL Plane + workspace + project + `plane_issue_id` (или согласованный браузер-формат).
-- **FAIL:** Ссылки на issue нет, либо она указывает на внутренний `localhost`/неверную issue.
-
-## AC-3 — Базовый URL берётся из внешних настроек
-- **PASS:** BRD-ссылка использует `gitea_public_url`, при его пустоте — `gitea_url`; Plane-ссылка
-  использует `plane_web_url` (env `ORCH_PLANE_WEB_URL`), при пустоте — `plane_api_url`.
-- **FAIL:** Захардкожен хост, либо ссылка нерабочая снаружи деплой-хоста.
-
-## AC-4 — Существующий призыв сохранён
-- **PASS:** Текст по-прежнему содержит призыв перевести задачу в статус Approved (смысл строки
-  «Переведите задачу в статус Approved … для продолжения» сохранён).
-- **FAIL:** Призыв удалён/искажён.
-
-## AC-5 — Одно отдельное пингующее сообщение, без дублей
-- **PASS:** `notify_approve_requested` отправляет ровно одно сообщение через `send_telegram`
-  (пингующее, не silent). Живой трекер (`update_task_tracker`) обновляется как раньше и не
-  дублируется новым сообщением.
-- **FAIL:** Появляется второе/дубль-сообщение, либо трекер шлётся повторно как новое сообщение.
-
-## AC-6 — Graceful degradation (никогда не ронять оркестратор)
-- **PASS:** При отсутствии `branch` / `plane_issue_id` / незаданном Plane web-URL функция НЕ
-  бросает исключение: уведомление уходит с доступными ссылками (или без отсутствующей), орк жив.
-- **FAIL:** Отсутствие данных приводит к исключению/падению потока уведомлений.
-
-## AC-7 — HTML-безопасность
-- **PASS:** Сохранён `parse_mode="HTML"`; динамические подписи экранируются (`html.escape`),
-  URL валиден и не ломает разметку сообщения.
-- **FAIL:** Сообщение приходит с битой HTML-разметкой или с неэкранированным пользовательским текстом.
-
-## AC-8 — Логика апрува не затронута
-- **PASS:** `:approved:`-handler, `check_analysis_approved`, переходы стадий и реестр `QG_CHECKS`
-  без изменений; правка касается только текста/формата уведомления.
-- **FAIL:** Изменена логика гейта/перехода стадий.
-
-## AC-9 — Документация обновлена в том же PR
-- **PASS:** Обновлены `CHANGELOG.md` и `.env.example` (новая `ORCH_PLANE_WEB_URL`); если добавлена
-  настройка — отражено в env-карте (`CLAUDE.md`/`docs/operations/INFRA.md`); заведён ADR на
-  выбранный формат. (Reviewer проверяет доку → нет обновления = REQUEST_CHANGES.)
-- **FAIL:** Код изменён, документация — нет.
-
-## AC-10 — Тесты зелёные
-- **PASS:** Новые/затронутые тесты (`tests/test_notify_approve_links.py` и существующие
-  `tests/test_telegram_tracker.py`, `tests/test_notify_done_regression.py`) проходят; `pytest tests/ -q` зелёный.
-- **FAIL:** Любой связанный тест падает.
-
----
-### Зависит от решений Owner (open questions 01-brd §8)
-- Если выбран вариант **inline-кнопок** — AC-1/AC-2 считаются выполненными при наличии кнопок
-  «📄 Открыть BRD» / «✅ К задаче в Plane» с теми же URL; дополнительно AC: обратная совместимость
-  `send_telegram` (старые вызовы без `reply_markup` работают).
-- Если охват расширен до **всех точек решения** — AC-1/AC-2 проверяются для каждой такой точки.

docs/work-items/ORCH-017/04-test-plan.yaml

@@ -1,99 +0,0 @@
-work_item: ORCH-017
-title: "Прямые ссылки на BRD и Plane-таску в Telegram-уведомлении об апруве"
-notes: >
-  Тесты изолируют сеть: send_telegram/httpx мокируются, проверяется СФОРМИРОВАННЫЙ текст
-  (и/или reply_markup, если выбран вариант кнопок), а не реальная отправка. БД tasks
-  наполняется фикстурой (work_item_id, repo, branch, plane_issue_id). Маппинг на критерии — в поле acceptance.
-
-tests:
-  - id: TC-01
-    type: unit
-    description: "notify_approve_requested формирует текст с кликабельной ссылкой на 01-brd.md (Gitea branch-view)"
-    module: tests/test_notify_approve_links.py
-    setup: "task в tasks с work_item_id=ORCH-017, repo=orchestrator, branch=feature/ORCH-017-..., gitea_public_url задан; send_telegram замокан"
-    expected: PASS
-    acceptance: [AC-1, AC-3]
-
-  - id: TC-02
-    type: unit
-    description: "Текст содержит ссылку на Plane-issue с внешним web-URL + workspace + project + plane_issue_id"
-    module: tests/test_notify_approve_links.py
-    setup: "plane_web_url(ORCH_PLANE_WEB_URL) и workspace заданы; project резолвится по repo; plane_issue_id в tasks"
-    expected: PASS
-    acceptance: [AC-2, AC-3]
-
-  - id: TC-03
-    type: unit
-    description: "При пустом gitea_public_url BRD-ссылка строится на gitea_url (фоллбэк); при пустом plane_web_url — на plane_api_url"
-    module: tests/test_notify_approve_links.py
-    expected: PASS
-    acceptance: [AC-3]
-
-  - id: TC-04
-    type: unit
-    description: "Сохранён призыв перевести задачу в статус Approved (подстрока 'Approved' присутствует)"
-    module: tests/test_notify_approve_links.py
-    expected: PASS
-    acceptance: [AC-4]
-
-  - id: TC-05
-    type: unit
-    description: "send_telegram вызван ровно один раз (пингующее сообщение), без disable_notification=True"
-    module: tests/test_notify_approve_links.py
-    setup: "mock send_telegram, assert call_count == 1 и аргумент disable_notification не True"
-    expected: PASS
-    acceptance: [AC-5]
-
-  - id: TC-06
-    type: unit
-    description: "Graceful: branch=None / plane_issue_id=None — функция не бросает исключение, сообщение всё равно отправляется"
-    module: tests/test_notify_approve_links.py
-    setup: "task без branch и без plane_issue_id; убедиться что send_telegram всё равно вызван, отсутствующая ссылка опущена"
-    expected: PASS
-    acceptance: [AC-6]
-
-  - id: TC-07
-    type: unit
-    description: "Plane web-URL не задан и plane_api_url пуст — Plane-ссылка опускается, BRD-ссылка остаётся, орк не падает"
-    module: tests/test_notify_approve_links.py
-    expected: PASS
-    acceptance: [AC-6]
-
-  - id: TC-08
-    type: unit
-    description: "Сохранён parse_mode=HTML; динамические подписи экранированы, HTML-разметка ссылок валидна"
-    module: tests/test_notify_approve_links.py
-    expected: PASS
-    acceptance: [AC-7]
-
-  - id: TC-09
-    type: unit
-    description: "Регрессия трекера: update_task_tracker по-прежнему работает (silent edit), новое сообщение его не дублирует"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-    acceptance: [AC-5, AC-8]
-
-  - id: TC-10
-    type: integration
-    description: "Поток analysis-approved: _handle_analysis_approved_flow при готовых артефактах вызывает notify_approve_requested; БД tasks даёт корректные repo/branch/plane_issue_id для ссылок"
-    module: tests/test_analysis_approve_flow_links.py
-    setup: "замокать сетевые вызовы Plane/Gitea/Telegram; убедиться, что check_analysis_approved/переходы стадий не изменены"
-    expected: PASS
-    acceptance: [AC-1, AC-2, AC-8]
-
-  # Условные тесты — включаются ТОЛЬКО если Owner выбрал вариант inline-кнопок (01-brd §8.1)
-  - id: TC-11
-    type: unit
-    description: "(Условный) Вариант кнопок: payload содержит reply_markup.inline_keyboard с кнопками '📄 Открыть BRD' и '✅ К задаче в Plane' с верными url"
-    module: tests/test_notify_approve_links.py
-    expected: PASS
-    condition: "only if inline-buttons variant chosen"
-    acceptance: [AC-1, AC-2]
-
-  - id: TC-12
-    type: unit
-    description: "(Условный) Обратная совместимость send_telegram: вызовы без reply_markup работают как раньше (payload без поля reply_markup)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-    condition: "only if inline-buttons variant chosen"
-    acceptance: [AC-5]

docs/work-items/ORCH-017/06-adr/ADR-001-telegram-approve-links.md

@@ -1,117 +0,0 @@
-# ADR-001: Прямые ссылки в Telegram-уведомлении об апруве BRD (формат и Plane-URL)
-
-Work Item: **ORCH-017** · Repo: `orchestrator` · Стадия: architecture
-Тип: per-work-item ADR (НЕ сквозной — реестр гейтов/стадий/компонентов не меняется).
-
-## Статус
-Accepted
-
-## Контекст
-BRD (`01-brd.md`) и ТЗ (`02-trz.md`) требуют добавить в пингующее уведомление об апруве
-BRD (`notify_approve_requested(task_id)` в `src/notifications.py`) две кликабельные ссылки:
-на документ `01-brd.md` в Gitea и на Plane-issue. ТЗ намеренно оставило за стадией
-architecture три развилки (открытые вопросы `01-brd.md` §8):
-
-1. **§8.1 — формат ссылок:** HTML-`<a>` в тексте (минимум) **vs** inline-кнопки
-   (`reply_markup` в `send_telegram`).
-2. **§8.4 — формат Plane-URL:** полный путь `.../projects/{project_id}/issues/{issue_id}/`
-   **vs** короткий `.../browse/<IDENT>/`.
-3. **§8.3 — внешний web-URL Plane:** в конфиге есть только внутренний `plane_api_url`
-   (`http://localhost:8091`), непригодный для браузерной ссылки.
-
-Жёсткое ограничение контекста — **self-hosting**: правка живёт в инструменте, который сейчас
-обслуживает другие проекты из общего прод-контейнера. Любое расширение blast radius
-(особенно правка разделяемой функции `send_telegram`, которой пользуется и живой трекер
-PR #21/#22) — групповой риск. Поэтому из равноценных вариантов выбирается тот, что меняет
-меньше кода и не трогает общие точки.
-
-Фактическое состояние кода, проверенное на ветке:
-- `send_telegram(text, disable_notification=False)` (`src/notifications.py:42`) шлёт
-  `parse_mode="HTML"` — HTML-`<a>` работает без изменения сигнатуры.
-- Эталон branch-view ссылки на доки — `src/usage.py:455-458`:
-  `base = (gitea_public_url or gitea_url).rstrip('/')`, `owner = gitea_owner`,
-  URL `{base}/{owner}/{repo}/src/branch/{branch}/<rel>`.
-- Plane-issue uuid надёжно лежит в `tasks.plane_issue_id`; `project_id` берётся через
-  `projects.get_project_by_repo(repo).plane_project_id`.
-- В `plane_sync.py` строки `.../workspaces/{slug}/projects/{pid}/issues/{id}/` — это **API**
-  путь (`{plane_api_url}/api/v1/...`), НЕ браузерный. Браузерный роут Plane —
-  `{web_base}/{workspace_slug}/projects/{project_id}/issues/{issue_id}` (без `/api/v1`,
-  без сегмента `/workspaces/`).
-
-## Решение
-
-### Р-1 (§8.1) — HTML-ссылки в тексте. Inline-кнопки отклонены.
-Ссылки встраиваются как `<a href="…">подпись</a>` в текст того же одного сообщения.
-**`send_telegram` НЕ трогаем** (сигнатура без `reply_markup`). Inline-кнопки потребовали бы
-правки разделяемой функции, которой пользуется живой трекер, — это рост blast radius без
-бизнес-выгоды для одной точки уведомления. Расширение до кнопок — **вне объёма ORCH-017**;
-при реальной потребности заводится отдельный work item.
-
-### Р-2 (§8.4) — полный путь Plane-issue по uuid. Короткий `browse/<IDENT>` отклонён.
-Формат:
-```
-{plane_web_base}/{workspace_slug}/projects/{project_id}/issues/{plane_issue_id}/
-```
-Источники: `plane_web_base` (Р-3), `workspace_slug = settings.plane_workspace_slug`,
-`project_id = get_project_by_repo(repo).plane_project_id`, `plane_issue_id = tasks.plane_issue_id`.
-Короткий `browse/<IDENT>` отклонён: он опирается на совпадение `work_item_id` с Plane-identifier,
-которое не гарантировано из-за zero-padding (`ORCH-017` в БД vs `ORCH-17` как identifier).
-uuid в `plane_issue_id` — детерминированный и уже в наличии источник.
-
-### Р-3 (§8.3) — новая настройка `ORCH_PLANE_WEB_URL` + loopback-guard.
-В `src/config.py` добавляется `plane_web_url: str = ""` (env `ORCH_PLANE_WEB_URL`).
-База резолвится как:
-```python
-plane_web_base = (settings.plane_web_url or settings.plane_api_url).rstrip("/")
-```
-**Loopback-guard (разрешение конфликта AC-2 ↔ AC-3):** дефолт-фоллбэк `plane_api_url` равен
-`http://localhost:8091` и снаружи хоста не кликается. Поэтому: если итоговый `plane_web_base`
-указывает на loopback/локальный хост (`localhost`, `127.0.0.1`, `0.0.0.0`, `[::1]`) **или**
-пуст — **Plane-ссылка опускается целиком** (а не вставляется битой). Так одновременно:
-AC-2 (не выпускаем localhost-ссылку), AC-3 (цепочка фоллбэка соблюдена как попытка),
-AC-6/NFR-1 (никаких исключений, сообщение уходит без отсутствующей ссылки).
-
-### Р-4 — graceful degradation как контракт построения ссылок.
-Чтение `repo/branch/plane_issue_id` из `tasks` — один SELECT в `try/except`. Каждая из двух
-ссылок строится независимо; при нехватке данных конкретная ссылка опускается, призыв
-«Переведите задачу в статус Approved …» и само сообщение сохраняются всегда. Динамические
-подписи — через `html.escape`; URL формируются только из доверенных конфиг/БД-значений.
-
-### Р-5 — инвариант «одно сообщение, без дублей».
-Порядок действий в `notify_approve_requested` сохраняется: `mark_brd_review_started` →
-`update_task_tracker(task_id)` → один `send_telegram(msg)` (пингующий, не silent). Живой
-трекер не дублируется. Реестр `QG_CHECKS`, стадии, `:approved:`-handler,
-`check_analysis_approved` — без изменений (правка — отображение, не управление конвейером).
-
-## Затронутые модули (для стадии development)
-| Модуль | Изменение |
-|--------|-----------|
-| `src/notifications.py` | `notify_approve_requested`: SELECT `repo/branch/plane_issue_id`; сборка двух ссылок (Р-2/Р-3/Р-4); встраивание в текст. |
-| `src/config.py` | `Settings.plane_web_url: str = ""` (env `ORCH_PLANE_WEB_URL`). |
-| `src/projects.py` | (чтение) `get_project_by_repo(repo).plane_project_id`. |
-| `src/usage.py` | (референс, НЕ править) паттерн branch-view URL. |
-| `.env.example`, `CHANGELOG.md`, env-карта (`CLAUDE.md`/`INFRA.md`) | документация в том же PR. |
-
-Без изменений API и схемы БД. Все требуемые поля уже есть в `tasks`.
-
-## Последствия
-**Плюсы:**
-- Минимальный blast radius: разделяемая `send_telegram` не тронута → нулевой риск для живого
-  трекера и прочих уведомлений; безопасно для self-hosting.
-- Детерминированная Plane-ссылка (uuid), не зависит от zero-padding identifier.
-- Loopback-guard снимает противоречие AC-2/AC-3 и исключает «битые localhost-ссылки» в проде.
-- Деплой штатный: не требует рестарта прод-контейнера сверх обычного деплоя; деплой ORCH
-  идёт через обязательный `deploy-staging` (8501).
-
-**Минусы / ограничения:**
-- Нет inline-кнопок (по дизайну отклонено) — UX чуть менее «кнопочный»; при необходимости
-  отдельный work item.
-- Plane-ссылка появится только после задания `ORCH_PLANE_WEB_URL` на хосте (`.env`/`.env.staging`)
-  — см. `07-infra-requirements.md`. До этого момента graceful degradation: уведомление уходит
-  только с BRD-ссылкой.
-- Корректность браузерного роута Plane (`/{workspace}/projects/{id}/issues/{id}/`) зависит от
-  версии Plane; риск зафиксирован в `10-tech-risks.md`.
-
-## Открытые вопросы, переданные дальше
-- **Значение `ORCH_PLANE_WEB_URL`** подтверждает Owner/INFRA при деплое (см. `07-infra-requirements.md`).
-  Это конфиг-параметр, а не блокер архитектуры.

docs/work-items/ORCH-017/07-infra-requirements.md

@@ -1,38 +0,0 @@
-# 07-Infra Requirements — ORCH-017
-
-Work Item: **ORCH-017** · Repo: `orchestrator`
-Опирается на ADR-001 (Р-3). Меняется только env-карта; топология контейнеров/портов — без изменений.
-
-## 1. Новая env-переменная
-| Ключ | env | Дефолт | Назначение |
-|------|-----|--------|------------|
-| `plane_web_url` | `ORCH_PLANE_WEB_URL` | `""` (пусто) | Внешний **браузерный** базовый URL Plane для кликабельной ссылки на issue из Telegram. НЕ путать с внутренним `ORCH_PLANE_API_URL` (`http://localhost:8091`), который пригоден только для API. |
-
-### Семантика резолва (ADR-001 Р-3)
-```
-plane_web_base = (ORCH_PLANE_WEB_URL or ORCH_PLANE_API_URL).rstrip("/")
-```
-- Если `plane_web_base` пуст **или** указывает на loopback (`localhost`, `127.0.0.1`,
-  `0.0.0.0`, `[::1]`) — Plane-ссылка **опускается** (graceful degradation, NFR-1). Без
-  заданного `ORCH_PLANE_WEB_URL` уведомление уходит только с BRD-ссылкой — это нормально.
-
-## 2. Что требуется от Owner / INFRA
-1. **Подтвердить значение `ORCH_PLANE_WEB_URL`** — внешний адрес Plane UI (тот, по которому
-   Слава открывает Plane в браузере). Это единственный внешний вход, требующий решения Owner.
-2. Прописать ключ в `.env` (prod-хост) и `.env.staging` (staging-песочница). В git значение
-   НЕ коммитится — канон секретов/настроек (`.env.example` — образец без значения).
-3. Браузерный роут issue, который будет собран:
-   `{ORCH_PLANE_WEB_URL}/{ORCH_PLANE_WORKSPACE_SLUG}/projects/{plane_project_id}/issues/{plane_issue_id}/`.
-   Проверить на одной задаче, что он открывается в текущей версии Plane (см. риск R-3 в
-   `10-tech-risks.md`).
-
-## 3. Переиспользуемые (без изменений) настройки
-- `ORCH_GITEA_PUBLIC_URL` / `ORCH_GITEA_URL`, `ORCH_GITEA_OWNER` — для BRD-ссылки.
-- `ORCH_PLANE_WORKSPACE_SLUG` — workspace в Plane-URL.
-
-## 4. Топология / деплой
-- Контейнеры, порты, сети — **без изменений**. Новый ключ читается из `.env` при старте
-  (`pydantic Settings`, `env_prefix=ORCH_`).
-- Деплой self (ORCH) — штатный, через обязательный `deploy-staging` (8501) перед прод-деплоем
-  (`orchestrator`, 8500). Рестарт прода сверх обычного деплоя НЕ требуется.
-- Документировать ключ в env-карте: `CLAUDE.md` и/или `docs/operations/INFRA.md` (в том же PR).

docs/work-items/ORCH-017/10-tech-risks.md

@@ -1,19 +0,0 @@
-# 10-Tech Risks — ORCH-017
-
-Work Item: **ORCH-017** · Repo: `orchestrator`
-Опирается на ADR-001. Шкала: вероятность × влияние.
-
-| ID | Риск | Вер. | Влияние | Митигация |
-|----|------|------|---------|-----------|
-| R-1 | **Self-hosting: уведомление роняет поток.** Исключение при построении ссылок (нет данных в `tasks`, неконсистентный реестр проектов) прерывает `notify_approve_requested` и тормозит конвейер всех проектов. | Низк. | Выс. | NFR-1/ADR Р-4: один SELECT в `try/except`, каждая ссылка строится независимо и опускается при нехватке данных; сообщение и призыв отправляются всегда. Тест на ветви degradation (`tests/test_notify_approve_links.py`). |
-| R-2 | **Битый/непубличный Plane-URL.** Фоллбэк на `plane_api_url=localhost:8091` дал бы некликабельную ссылку снаружи хоста (нарушение AC-2). | Сред. | Сред. | ADR Р-3 loopback-guard: при пустом/loopback базовом URL Plane-ссылка опускается, а не вставляется битой. Значение `ORCH_PLANE_WEB_URL` подтверждает Owner/INFRA (`07-infra-requirements.md`). |
-| R-3 | **Несовпадение браузерного роута Plane.** Формат `/{workspace}/projects/{id}/issues/{id}/` зависит от версии Plane; иной роут → ссылка ведёт в никуда (открывается, но не на ту issue). | Низк. | Сред. | Проверить роут на одной реальной задаче после задания `ORCH_PLANE_WEB_URL` (acceptance в staging). uuid `plane_issue_id` детерминирован — ошибка может быть только в шаблоне пути, не в идентификаторе. |
-| R-4 | **Поломка HTML-разметки сообщения.** Неэкранированная динамическая подпись (напр. символы `<`/`&` в `work_item_id`/title) ломает `parse_mode="HTML"` → Telegram отвергает сообщение. | Низк. | Сред. | NFR-3/ADR Р-4: `html.escape` на всех подписях; URL только из доверенных конфиг/БД-значений. Тест на спецсимволы. |
-| R-5 | **Регрессия «дубль-сообщения».** Случайное добавление второго `send_telegram` или повторная отправка трекера как нового сообщения. | Низк. | Низк. | ADR Р-5: инвариант «один `send_telegram`», порядок действий зафиксирован; регресс-тесты `tests/test_telegram_tracker.py`, `tests/test_notify_done_regression.py`. |
-| R-6 | **Zero-padding identifier.** Короткий `browse/<IDENT>` промахнулся бы по issue (`ORCH-017` vs `ORCH-17`). | — | — | Снят на корню: ADR Р-2 использует uuid `plane_issue_id`, короткий формат отклонён. |
-
-## Сводно
-Изменение косметическое и изолированное: нет правок реестра гейтов/стадий, схемы БД, API и
-разделяемой `send_telegram`. Главный класс риска — self-hosting-устойчивость (R-1) — закрыт
-graceful-degradation контрактом ADR Р-4. Внешний незакрытый вход — значение `ORCH_PLANE_WEB_URL`
-(R-2/R-3), проверяется в staging до прод-деплоя.

docs/work-items/ORCH-017/12-review.md

@@ -1,83 +0,0 @@
----
-type: review
-work_item_id: ORCH-017
-verdict: REQUEST_CHANGES
-version: 4
----
-
-# Review ORCH-017
-
-## Summary
-Основная фича (прямые BRD-/Plane-ссылки в `notify_approve_requested`) реализована
-качественно и соответствует ТЗ, ADR-001 и всем критериям приёмки (подтверждено в
-review v2: изменения по фиче — только `src/config.py` и `src/notifications.py`).
-
-P0 из review v3 (правка разделяемого гейта `check_tests_passed` коммитом `e62d51a`,
-нарушавшая ADR-001 Р-5 и ТЗ §7) **снят**: коммит `d615747` откатил изменение
-`src/qg/checks.py` (вынесено в отдельный work item ORCH-47 со своим ADR). Код гейта
-теперь идентичен `main` (читает только `verdict:`/`status:`); ADR-001 Р-5 и ТЗ §7
-снова консистентны с кодом. ✔
-
-Однако откат кода **не сопровождён откатом документации**: `CHANGELOG.md` и
-`docs/architecture/README.md` всё ещё описывают откаченную правку гейта и ссылаются
-на не существующие в этом PR тесты `tests/test_qg.py`. Это новый doc↔code конфликт
-(golden source). → REQUEST_CHANGES (P1).
-
-## Соответствие ТЗ
-- §3.1–§3.2, §4–§6 (фича уведомления) — выполнено. `_build_brd_link` /
-  `_build_plane_issue_link` строят ссылки независимо, встроены в текст одного
-  сообщения; призыв «Переведите задачу в статус Approved …» сохранён;
-  `html.escape` на динамике; порядок `mark_brd_review_started → update_task_tracker
-  → send_telegram(msg)` соблюдён; `Settings.plane_web_url` + фолбэк добавлены. ✔
-- §7 — соблюдено. Реестр `QG_CHECKS`, стадии и машинные вердикты в коде не меняются
-  (правка гейта откачена в `d615747`). ✔
-
-## Соответствие ADR
-- ADR-001 (Р-1…Р-5) — соблюдён. Ссылки HTML-`<a>` в тексте, `send_telegram` не
-  тронута; полный Plane-URL по uuid; `ORCH_PLANE_WEB_URL` + loopback-guard
-  (`_is_loopback_base`); graceful degradation; «одно сообщение, без дублей». ✔
-- ADR-001 Р-5 vs код — конфликт снят откатом гейта. ✔
-
-## Качество кода
-Фича `notifications.py`/`config.py` — без замечаний. Чтение полей задачи
-(`_get_task_link_fields`) и обе сборки ссылок защищены try/except и никогда не
-роняют alert (AC-6); loopback-guard корректно опускает неклика­бельный Plane-URL
-(AC-2/AC-3); `html.escape(..., quote=True)` на href и `html.escape(work_item_id)`
-на подписи (AC-7). Тесты `tests/test_notify_approve_links.py`,
-`tests/test_analysis_approve_flow_links.py` присутствуют и содержательны.
-
-## Findings
-
-### P0 — Blocker
-- (нет)
-
-### P1 — Must fix
-- [ ] **Документация описывает откаченный код (doc↔code конфликт).** После
-      revert-коммита `d615747` код `src/qg/checks.py` НЕ читает `result:` (только
-      `verdict:`/`status:`), но документация осталась от состояния `e62d51a`:
-      - `docs/architecture/README.md:61` утверждает, что `check_tests_passed`
-        читает `verdict:`/`status:`/`result:` — это ложно для текущего кода и
-        вводит в заблуждение по поведению разделяемого прод-гейта (self-hosting:
-        tester, написавший только `result: PASS`, реально провалит гейт).
-      - `CHANGELOG.md:24` (секция Fixed) содержит запись о правке гейта
-        `check_tests_passed` под тегом ORCH-017 и ссылается на отсутствующие в PR
-        тесты `tests/test_qg.py::TestCheckTestsPassed::test_result_pass_only_passes`
-        / `…::test_result_fail_only_fails`.
-      **Резолюция:** убрать из ORCH-017 PR обе записи (откатить README:61 к
-      формулировке `main` и удалить CHANGELOG-entry про гейт) — правка гейта
-      принадлежит ORCH-47 и должна документироваться там вместе с её кодом.
-
-### P2 — Should fix
-- [ ] `13-test-report.md` (`result: PASS`) относится к прогону, включавшему
-      откаченную правку гейта; после устранения P1 канонический ре-тест — на
-      стадии testing (отчёт не должен ссылаться на снятые из PR изменения).
-
-## Документация
-Правило «изменён `src/` → обновлена документация в том же PR» по фиче уведомления —
-выполнено: `CHANGELOG.md` (Added), `.env.example` (`ORCH_PLANE_WEB_URL`),
-`docs/operations/INFRA.md` (env-карта), ADR-001. ✔
-
-Неконсистентность (P1): документация про откаченную правку гейта `check_tests_passed`
-осталась в `CHANGELOG.md` (Fixed) и `docs/architecture/README.md`, хотя
-соответствующий код отозван (`d615747`) и перенесён в ORCH-47. Доку нужно привести в
-соответствие с кодом этого PR.

docs/work-items/ORCH-017/13-test-report.md

@@ -1,91 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-017
-result: PASS
----
-
-# Test Report — ORCH-017
-
-Прямые ссылки на BRD и Plane-таску в Telegram-уведомлении об апруве BRD.
-Вердикт review (`12-review.md`): **APPROVED** ✔ — прогон регресса допущен.
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3 (pytest-asyncio 0.23.8, anyio 4.13.0)
-- Дата: 2026-06-05
-- Ветка: `feature/ORCH-017-brd-plane-telegram`
-- Прод-контейнер `orchestrator` (8500) НЕ перезапускался; smoke — только read-only GET.
-
-## Smoke test API (prod, read-only)
-| Endpoint | HTTP | Результат |
-|----------|------|-----------|
-| `GET /health` | 200 | `{"status":"ok","service":"orchestrator"}` — PASS |
-| `GET /status` | 200 | active_tasks содержит task #35 ORCH-017 (stage=testing) — PASS |
-| `GET /queue`  | 200 | counts running=1, failed=0, breaker=closed, preflight ok — PASS |
-
-> `curl` в окружении отсутствует — smoke выполнен через `urllib.request` (GET, без побочных эффектов).
-
-## Результаты по test-plan (04-test-plan.yaml)
-
-| TC ID | Описание | Тест | Результат |
-|-------|----------|------|-----------|
-| TC-01 | BRD-ссылка на `01-brd.md` (Gitea branch-view) | `test_notify_approve_links::test_tc01_brd_link_present` | PASS |
-| TC-02 | Plane-ссылка (web-URL+workspace+project+issue_id) | `…::test_tc02_plane_link_present` | PASS |
-| TC-03 | Фоллбэки URL (gitea_public_url→gitea_url, plane_web_url→plane_api_url) | `…::test_tc03_url_fallbacks` | PASS |
-| TC-04 | Сохранён призыв «Approved» | `…::test_tc04_keeps_approved_call_to_action` | PASS |
-| TC-05 | Ровно одно пингующее сообщение (не silent) | `…::test_tc05_single_notifying_message` | PASS |
-| TC-06 | Graceful: branch/issue=None — без исключения | `…::test_tc06_graceful_missing_branch_and_issue` | PASS |
-| TC-07 | Пустой Plane-base → Plane-ссылка опущена, BRD остаётся | `…::test_tc07_plane_base_empty_drops_plane_link_keeps_brd` | PASS |
-| TC-07b | Loopback Plane-base отбрасывается (доп.) | `…::test_tc07b_loopback_plane_base_dropped` | PASS |
-| TC-08 | parse_mode=HTML, html.escape, валидная разметка | `…::test_tc08_html_escaped_and_valid_markup` | PASS |
-| TC-08b | send_telegram сохраняет parse_mode=HTML (доп.) | `…::test_tc08b_send_telegram_keeps_parse_mode_html` | PASS |
-| TC-09 | Регрессия трекера (silent edit, без дублей) | `test_telegram_tracker.py` (полный набор) | PASS |
-| TC-10 | Поток analysis-approved строит ссылки из БД | `test_analysis_approve_flow_links::test_tc10_approved_flow_builds_links_from_db` | PASS |
-| TC-11 | (Условный) inline-кнопки | — | N/A — вариант кнопок отклонён (ADR-001 Р-1) |
-| TC-12 | (Условный) обратная совместимость send_telegram c reply_markup | — | N/A — вариант кнопок отклонён (ADR-001 Р-1) |
-
-Все запланированные тесты (TC-01…TC-10) — PASS. Условные TC-11/TC-12 не применимы:
-ADR-001 (Р-1) зафиксировал HTML-ссылки в тексте без изменения сигнатуры `send_telegram`.
-
-## Покрытие критериев приёмки (03-acceptance-criteria.md)
-| AC | Покрывающие TC | Статус |
-|----|----------------|--------|
-| AC-1 | TC-01, TC-10 | PASS |
-| AC-2 | TC-02, TC-10 | PASS |
-| AC-3 | TC-01, TC-02, TC-03 | PASS |
-| AC-4 | TC-04 | PASS |
-| AC-5 | TC-05, TC-09 | PASS |
-| AC-6 | TC-06, TC-07, TC-07b | PASS |
-| AC-7 | TC-08, TC-08b | PASS |
-| AC-8 | TC-09, TC-10 | PASS |
-| AC-9 | проверено review (CHANGELOG/.env.example/INFRA.md/ADR) | PASS |
-| AC-10 | полный регресс `pytest tests/` | PASS |
-
-## Вывод pytest
-
-### Целевые тесты ORCH-017
-```
-tests/test_notify_approve_links.py::test_tc01_brd_link_present PASSED
-tests/test_notify_approve_links.py::test_tc02_plane_link_present PASSED
-tests/test_notify_approve_links.py::test_tc03_url_fallbacks PASSED
-tests/test_notify_approve_links.py::test_tc04_keeps_approved_call_to_action PASSED
-tests/test_notify_approve_links.py::test_tc05_single_notifying_message PASSED
-tests/test_notify_approve_links.py::test_tc06_graceful_missing_branch_and_issue PASSED
-tests/test_notify_approve_links.py::test_tc07_plane_base_empty_drops_plane_link_keeps_brd PASSED
-tests/test_notify_approve_links.py::test_tc07b_loopback_plane_base_dropped PASSED
-tests/test_notify_approve_links.py::test_tc08_html_escaped_and_valid_markup PASSED
-tests/test_notify_approve_links.py::test_tc08b_send_telegram_keeps_parse_mode_html PASSED
-tests/test_analysis_approve_flow_links.py::test_tc10_approved_flow_builds_links_from_db PASSED
-11 passed in 0.53s
-```
-
-### Полный регресс
-```
-======================== 434 passed, 1 warning in 7.99s ========================
-```
-Единственное предупреждение — PydanticDeprecatedSince20 (`src/config.py:4`, class-based config),
-предсуществующее, к ORCH-017 не относится, на результат не влияет.
-
-## Итог
-**PASS** — 434/434 теста зелёные, целевые TC-01…TC-10 пройдены, все 10 критериев приёмки
-покрыты, smoke API прод-инстанса OK. Задача готова к стадии **deploy-staging**.

docs/work-items/ORCH-021/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: [★ высокий] Post-deploy мониторинг прода + авто-rollback при деградации
-
-Work Item ID: ORCH-021
-
-## Description
-
-TBD

docs/work-items/ORCH-021/01-brd.md

@@ -1,88 +0,0 @@
-# BRD — ORCH-021: Post-deploy мониторинг прода + авто-rollback при деградации
-
-Work Item: ORCH-021
-Приоритет: высокий (★)
-Источник: предложение Стрим, одобрено Славой (2026-06-04)
-Стадия: analysis
-
-## 1. Проблема (Why)
-
-Сейчас конвейер заканчивается на `deploy → done`: как только `check_deploy_status`
-видит `deploy_status: SUCCESS`, задача закрывается и оркестратор **забывает про прод**.
-«Успех» деплоя сегодня означает только то, что health-check в момент рестарта
-прошёл (10×6с в `scripts/orchestrator-deploy-hook.sh`) — узкое окно ~60 секунд.
-
-**Прямой урок ET-8:** деплой отрапортовал SUCCESS, а на проде фича не работала.
-Класс инцидентов — «зелёный деплой, красный прод»:
-- деградация проявляется через минуты, а не в первые 60с (прогрев кэшей, фоновые
-  миграции, отложенные запросы, утечки, рост 5xx под реальным трафиком);
-- health-эндпоинт отвечает `200 ok`, но ключевая функциональность сломана;
-- регресс виден только под боевым трафиком, которого нет в момент рестарта.
-
-После закрытия задачи никакого пригляда за продом нет — деградацию замечает человек
-постфактум. Для self-hosting это особенно опасно: сломанный прод-орк (8500) обслуживает
-ВСЕ проекты (enduro-trails) из общего инстанса.
-
-## 2. Цель (What)
-
-Продлить ответственность конвейера за прод **после** `deploy → done`: в течение
-заданного окна наблюдать ключевые сигналы здоровья прода и при доказанной деградации
-выполнить реакцию (откат на предыдущий образ или громкий алерт с запросом ручного
-отката). Закрыть класс «зелёный деплой, красный прод».
-
-Механизм частичного отката уже есть: `do_rollback()` и режим `--rollback` в
-`scripts/orchestrator-deploy-hook.sh` умеют вернуть предыдущий образ из
-`PREV_IMAGE_FILE` (`.deploy-prev-image-prod`), который сохраняется при каждом деплое.
-Задача — построить **наблюдение поверх** этого и привязать решение к измеримым порогам.
-
-## 3. Заинтересованные стороны
-- **Owner (Слава)** — принимает риск авто-отката прода; получает алерты.
-- **Стрим** — инициатор; потребитель сигнала деградации для петли уроков (ORCH-8).
-- **Другие проекты (enduro-trails)** — косвенно: устойчивость общего инстанса.
-
-## 4. Бизнес-требования
-
-| # | Требование | Приоритет |
-|---|------------|-----------|
-| BR-1 | После `deploy → done` прод наблюдается в течение конфигурируемого окна (дефолт ~15 мин), а не забывается. | Must |
-| BR-2 | Деградация определяется по **детерминированным измеримым сигналам**: периодический `/health` (HTTP 200 + `{"status":"ok"}`) и доля HTTP 5xx на ключевых эндпоинтах (`/status`, `/queue`). | Must |
-| BR-3 | Деградация фиксируется только по **порогам** (N последовательных провалов / окно), а не по разовому сетевому глюку — чтобы не было ложных откатов. | Must |
-| BR-4 | При подтверждённой деградации система выполняет реакцию: **авто-rollback** на `.deploy-prev-image-prod` (через существующий хук `--rollback`) **либо** громкий алерт с запросом ручного отката — в зависимости от политики репозитория. | Must |
-| BR-5 | **Self-hosting safety:** для самого `orchestrator` авто-откат прода = рестарт инструмента, обслуживающего все проекты. По умолчанию для self-hosting реакция — **алерт + ручной approve отката** (по образцу deploy Phase A/B), НЕ автоматический откат. Для не-self репозиториев допустим авто-откат. | Must |
-| BR-6 | Любой исход (наблюдение начато, деградация, откат, откат-провал, окно завершилось чисто) уведомляется в Telegram и комментарием в Plane; результат наблюдения фиксируется артефактом. | Must |
-| BR-7 | Мониторинг — **restart-safe**: рестарт оркестратора (в т.ч. сам деплой) не теряет и не задваивает наблюдение. Идемпотентность по образцу reconciler / deploy-finalizer. | Must |
-| BR-8 | Глобальный kill-switch (env-флаг) и список репозиториев, на которые распространяется фича (по образцу `merge_gate_enabled` / `image_freshness_enabled` / `self_deploy_repos`). Выключенный флаг = прежнее поведение (наблюдения нет). | Must |
-| BR-9 | Наблюдаемость: текущее состояние пост-деплой наблюдения отражается в `GET /queue` (по образцу блока `reconcile`). | Should |
-| BR-10 | Сигнал деградации пригоден для будущей петли уроков (ORCH-8): фиксируется в артефакте/логе в машиночитаемом виде. | Should |
-| BR-11 | Доменный smoke результата фичи (проверка, что конкретная фича реально работает) — желателен, но выносится в follow-up; MVP ограничивается health + 5xx. | Could |
-
-## 5. Вне рамок (Out of scope)
-- Полноценная система метрик/APM (Prometheus, дашборды) — фича опирается на уже
-  существующие HTTP-эндпоинты, не вводит сбор метрик.
-- Универсальный доменный smoke для произвольной фичи (BR-11 — follow-up).
-- Полностью автоматический откат прод-орка без участия человека (противоречит
-  self-hosting safety; отдельная задача при наборе доверия, аналогично ORCH-54 для deploy).
-- Изменение момента вердикта `deploy_status` / контракта `check_deploy_status`
-  (наблюдение происходит ПОСЛЕ `done`, не заменяет deploy-gate).
-
-## 6. Связи
-- **ET-8** — прецедент «deploy SUCCESS, прод не работает». Обоснование задачи.
-- **ORCH-36** (`docs/architecture/adr/adr-0007-executable-self-deploy.md`) — Phase A/B/C
-  исполняемого самодеплоя; пост-деплой наблюдение продлевает ответственность ЗА `done`,
-  переиспользует sentinel-паттерн и detached-host-процесс для self-rollback.
-- **ORCH-53** (`src/reconciler.py`) — каноничный паттерн фонового daemon-потока
-  (watchdog), запускаемого в `main.lifespan`; образец для пост-деплой наблюдателя.
-- **ORCH-58** — `.deploy-prev-image` и хук-механика отката, на которые опирается реакция.
-- **ORCH-8** — деградация прода = сигнал для петли уроков (BR-10).
-- **ORCH-12** — фича может оформиться как пост-deploy стадия ИЛИ как watchdog (решение
-  архитектора, см. §7).
-
-## 7. Открытые архитектурные вопросы (для архитектора, НЕ решаются в анализе)
-1. **Где живёт наблюдение:** отдельная пост-deploy стадия конвейера vs фоновый
-   watchdog-daemon (по образцу `reconciler`) vs reserved-agent job (по образцу
-   `deploy-finalizer`). Анализ задаёт требования (BR-1, BR-7), выбор механизма — за архитектором.
-2. **Механизм self-rollback для self-hosting:** откат прод-орка требует detached
-   host-процесса (контейнер не может надёжно откатить себя, умирая) — переиспользовать
-   ли `self_deploy.initiate_deploy` / хук `--rollback`.
-3. Точные пороги и веса сигналов (BR-3) — анализ предлагает дефолты (см. AC), архитектор
-   фиксирует реализацию.

docs/work-items/ORCH-021/02-trz.md

@@ -1,165 +0,0 @@
-# ТЗ — ORCH-021: Post-deploy мониторинг прода + авто-rollback
-
-Work Item: ORCH-021
-Стадия: analysis → (architecture)
-
-> Документ описывает ТРЕБОВАНИЯ к изменениям и НАЗЫВАЕТ задействованные модули.
-> Выбор механизма (стадия vs watchdog vs reserved-agent) и точная реализация —
-> зона архитектора (см. BRD §7). Здесь фиксируется, ЧТО должно измениться и КАКИЕ
-> контракты НЕЛЬЗЯ ломать.
-
-## 1. Контекст в коде (как есть сейчас)
-
-- Конвейер заканчивается в `src/stages.py`: `deploy → done`, gate `check_deploy_status`.
-  Терминальный переход `deploy → done` исполняется в `src/stage_engine.py::advance_stage`
-  (блок «Terminal sync», `set_issue_done`, release merge-lease). После этого ничего
-  не наблюдает за продом.
-- `scripts/orchestrator-deploy-hook.sh` уже умеет:
-  - `health_check(max_attempts, sleep, label)` — опрос `http://localhost:$TARGET_PORT/health`
-    с проверкой `"status":"ok"`;
-  - `do_rollback()` — retag `PREV_IMAGE_FILE` → `TARGET_IMAGE` + рестарт + пост-rollback
-    health-check; коды возврата 0 (ок) / 1 (нет prev-образа) / 2 (rollback тоже упал);
-  - режим `--rollback` (ручной откат);
-  - при обычном деплое сохраняет `PREV_IMG` в `PREV_IMAGE_FILE`
-    (`.deploy-prev-image-prod` для прода, см. `settings.deploy_prod_prev_image_file`).
-- Self-deploy прода идёт через detached host-процесс: `src/self_deploy.py`
-  (`build_deploy_command`, `initiate_deploy`, sentinel-маркеры под
-  `.deploy-state-<repo>/<wi>/`, `read_result`, `map_exit_code_to_status`).
-- Фоновый daemon-паттерн: `src/reconciler.py` (`threading.Thread(daemon=True)` +
-  `threading.Event`, старт/стоп в `src/main.py::lifespan` после `worker.start()` /
-  перед `worker.stop()`, `status()` в `GET /queue`).
-- Reserved-agent (детерминированный no-LLM job) паттерн: `deploy-finalizer` —
-  перехват в `src/agents/launcher.py::launch_job` ДО `_spawn`, исполнение
-  `stage_engine.run_deploy_finalizer`, отложенная постановка через
-  `enqueue_job(..., available_at_delay_s=...)`.
-- Условность self-hosting: `src/qg/checks.py::is_self_hosting_repo`,
-  `src/self_deploy.py::self_deploy_applies` (флаг + CSV-репо; пусто → только `orchestrator`).
-- Наблюдаемые эндпоинты прода (`src/main.py`): `GET /health`, `GET /status`, `GET /queue`.
-- API БД: `src/db.py::enqueue_job` (с `available_at_delay_s`), `get_db`,
-  `update_task_stage`, `get_active_tasks_for_reconcile`.
-
-## 2. Требуемые изменения
-
-### 2.1. Новый leaf-модуль чистой логики наблюдения — `src/post_deploy.py` (новый)
-Контракт **never-raise** (по образцу `self_deploy.py` / `staging_verdict.py`).
-Чистые, юнит-тестируемые функции:
-- **Опрос сигналов:** функция, опрашивающая `/health` и ключевые эндпоинты
-  (`/status`, `/queue`) прод-инстанса (base-url из config), возвращающая структуру
-  с результатами (код ответа, ok-флаг, доля 5xx). Сеть/таймаут → консервативный
-  результат, не исключение.
-- **Классификация деградации** (чистая, без сети): на вход — серия результатов
-  опросов; на выход — вердикт `HEALTHY | DEGRADED` по порогам (BR-3):
-  `≥ post_deploy_fail_threshold` последовательных провалов health ИЛИ доля 5xx
-  выше `post_deploy_5xx_threshold` на окне. Эта функция — основной предмет
-  юнит-тестов (детерминированная, как `compute_staging_verdict` в ORCH-061).
-- **Решение о реакции** (чистая): по `(repo, вердикт, политика)` → одно из
-  `NONE | ROLLBACK | ALERT_ONLY`, с учётом self-hosting (BR-5).
-- **Запись артефакта** результата наблюдения (см. §2.5), best-effort.
-- Условность: хелпер `post_deploy_applies(repo)` (флаг + CSV-репо, пусто →
-  только self-hosting), по образцу `self_deploy_applies` / `_merge_gate_applies`.
-
-### 2.2. Оркестрация наблюдения (механизм — выбор архитектора)
-Требования к механизму (независимо от выбора стадия/watchdog/reserved-agent):
-- запускается ПОСЛЕ перехода `deploy → done` для применимого репозитория (BR-1);
-- наблюдает окно `post_deploy_window_s` с интервалом `post_deploy_interval_s`;
-- **restart-safe и идемпотентен** (BR-7): состояние наблюдения — в sentinel-файлах
-  (по образцу `.deploy-state-<repo>/<wi>/`, напр. маркеры `monitor-started` /
-  `monitor-done`) ИЛИ через отложенные `enqueue_job(available_at_delay_s=...)`;
-  повторный старт не задваивает наблюдение и не теряет его при рестарте;
-- по итогу вызывает «Решение о реакции» из `src/post_deploy.py` и исполняет реакцию (§2.3).
-
-Кандидатные точки интеграции (на выбор архитектора, см. BRD §7):
-- хук в `stage_engine.advance_stage` в блоке `next_stage == "done"` — арм наблюдения;
-- reserved-agent `post-deploy-monitor` (расширение `launcher.launch_job` ДО `_spawn`,
-  как `deploy-finalizer`), с само-перепостановкой через `available_at_delay_s`;
-- отдельный daemon-поток `PostDeployWatcher` (как `Reconciler`), старт/стоп в `main.lifespan`.
-
-### 2.3. Реакция на деградацию
-- **Не-self репозитории / политика auto:** вызвать существующий хук в режиме отката
-  (`scripts/orchestrator-deploy-hook.sh --rollback` с прод-параметрами окружения,
-  как в `self_deploy.build_deploy_command`, но action=`--rollback`). Маппинг
-  exit-code хука (0/1/2) в исход переиспользует логику `self_deploy.map_exit_code_to_status`
-  по смыслу (0 → откат успешен; 1/2 → откат не выполнен/провалился → громкий алерт).
-- **Self-hosting (`orchestrator`) по умолчанию (BR-5):** НЕ откатывать автоматически.
-  Сформировать громкий алерт (Telegram + Plane-коммент) и запросить ручной approve
-  отката (по образцу deploy Phase A — статус Plane / Telegram CTA). Откат самого
-  прод-орка, если выполняется, — только через detached host-процесс (нельзя надёжно
-  откатить контейнер, который при этом умирает; переиспользовать механику
-  `self_deploy.initiate_deploy`).
-- Команда отката для self НЕ должна ронять прод-контейнер в рамках обычного тика
-  наблюдения (CLAUDE.md: не ронять/не рестартить прод-контейнер вне явного действия).
-
-### 2.4. Конфигурация — `src/config.py` (расширение `Settings`)
-Добавить (env-префикс `ORCH_`, дефолты безопасные):
-- `post_deploy_monitor_enabled: bool = True` — глобальный kill-switch (BR-8).
-- `post_deploy_repos: str = ""` — CSV применимых репо; пусто → только self-hosting
-  (по образцу `self_deploy_repos` / `merge_gate_repos` / `image_freshness_repos`).
-- `post_deploy_window_s: int = 900` — длина окна наблюдения (дефолт ~15 мин, BR-1).
-- `post_deploy_interval_s: int = 30` — интервал между опросами.
-- `post_deploy_fail_threshold: int = 3` — N последовательных провалов health → DEGRADED.
-- `post_deploy_5xx_threshold: float = 0.5` — порог доли 5xx на окне → DEGRADED.
-- `post_deploy_auto_rollback: bool = False` — глобально разрешён ли авто-откат;
-  при `True` действует для не-self репо; для self всегда требует approve (BR-5).
-- `post_deploy_base_url: str = "http://localhost:8500"` — base-url наблюдаемого прода.
-- `post_deploy_target` параметры отката — переиспользовать существующие
-  `deploy_prod_*` (service/port/image/prev_image_file), новых дублей не вводить.
-
-### 2.5. Артефакт задачи — `16-post-deploy-log.md` (новый)
-В `docs/work-items/<plane-id>/`. YAML-frontmatter (машиночитаемо, канон гейтов;
-для будущей петли уроков BR-10):
-```
----
-post_deploy_status: HEALTHY | DEGRADED
-action_taken: NONE | ROLLBACK_OK | ROLLBACK_FAILED | ALERT_ONLY
-work_item: <plane-id>
-window_s: <int>
-checks_total: <int>
-checks_failed: <int>
----
-```
-Тело — человекочитаемая сводка опросов. Записывается best-effort (по образцу
-`self_deploy.write_deploy_log`); отсутствие файла не должно ничего ронять.
-> Артефакт `16-post-deploy-log.md` добавить в перечень артефактов в `CLAUDE.md`
-> и таблицу/описание в `docs/architecture/README.md` (golden-source, в том же PR).
-
-### 2.6. Наблюдаемость — `GET /queue` (`src/main.py`) (BR-9)
-Добавить блок `post_deploy` со снимком состояния (enabled, window, активные
-наблюдения, последний исход) — по образцу блока `reconcile` (метод `status()`).
-
-### 2.7. Изменения схемы БД
-**Не требуются.** Состояние наблюдения — sentinel-файлы (restart-safe, без миграции,
-по образцу ORCH-36) и/или отложенные jobs. Если архитектор выберет колонку в `tasks`
-для отметки наблюдения — потребуется миграция; предпочтительно избежать (как ORCH-36/53/58).
-
-### 2.8. Новые QG checks
-**Не требуются.** Наблюдение происходит ПОСЛЕ `done` и не является gate'ом стадии;
-реестр `QG_CHECKS` и `STAGE_TRANSITIONS` не меняются (если архитектор НЕ выберет
-вариант «отдельная пост-deploy стадия» — тогда потребуется новая стадия+gate, что
-надо явно отразить в ADR; по умолчанию предпочтителен вариант без изменения реестров).
-
-## 3. Инварианты (НЕ ломать)
-- `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, контракт `check_deploy_status` /
-  `_parse_deploy_status`, момент вердикта `deploy_status`, БАГ-8 откат, terminal-sync
-  `deploy → done`, merge-gate, exit-code-контракт хука (0/1/2) — без изменений.
-- Контракт хука: дефолты STAGING-безопасны; прод-параметры приходят только через env.
-- Условность как ORCH-35/36/43/58: реально для `orchestrator`/listed-repos, прочие — no-op.
-- Never-raise: ошибка в наблюдении не роняет worker / lifespan / конвейер других проектов.
-- Self-hosting: тик наблюдения НИКОГДА не рестартит прод-контейнер сам по себе (BR-5).
-
-## 4. Задействованные модули (сводка)
-| Модуль | Изменение |
-|--------|-----------|
-| `src/post_deploy.py` | **новый** — чистая логика опроса/классификации/решения/артефакта, never-raise |
-| `src/config.py` | +параметры `post_deploy_*` (kill-switch, окно, пороги, политика) |
-| `src/stage_engine.py` и/или `src/agents/launcher.py` и/или `src/main.py` | арм/исполнение наблюдения (точка — за архитектором) |
-| `scripts/orchestrator-deploy-hook.sh` | переиспользуется (`--rollback`); правки — только если откат self требует отдельной ветки (за архитектором) |
-| `src/main.py` | блок `post_deploy` в `GET /queue` (BR-9); возможный старт daemon в `lifespan` |
-| `docs/work-items/<id>/16-post-deploy-log.md` | **новый** артефакт |
-| `CLAUDE.md`, `docs/architecture/README.md`, `CHANGELOG.md` | обновить (golden-source, в том же PR) |
-| ADR | `docs/work-items/ORCH-021/06-adr/ADR-001-*.md` (+ возможный сквозной `adr/adr-00NN`) |
-
-## 5. Артефакты по pipeline, которые должны появиться/обновиться
-- `16-post-deploy-log.md` (новый, машиночитаемый frontmatter).
-- Обновлённые `CLAUDE.md` (перечень артефактов), `docs/architecture/README.md`
-  (описание пост-деплой наблюдения), `CHANGELOG.md`.
-- ADR work-item (`06-adr/`) с зафиксированным выбором механизма и порогов.

docs/work-items/ORCH-021/03-acceptance-criteria.md

@@ -1,106 +0,0 @@
-# Критерии приёмки — ORCH-021
-
-Work Item: ORCH-021
-Формат: каждый критерий имеет чёткое условие PASS/FAIL и проверяется тестом
-из `04-test-plan.yaml`.
-
-## Наблюдение и сигналы
-
-### AC-1 — наблюдение армится после deploy→done
-- **PASS:** для применимого репозитория после терминального перехода `deploy → done`
-  пост-деплой наблюдение инициируется (создаётся sentinel/отложенный job/запись в watcher).
-- **FAIL:** переход `deploy → done` не приводит к старту наблюдения.
-
-### AC-2 — наблюдение НЕ армится для неприменимых репо
-- **PASS:** для репозитория вне области (не self-hosting и не в `post_deploy_repos`)
-  `post_deploy_applies(repo)` → False; наблюдение не стартует; конвейер не меняется.
-- **FAIL:** наблюдение стартует для неприменимого репо.
-
-### AC-3 — классификация HEALTHY
-- **PASS:** серия опросов без провалов (или провалов меньше `post_deploy_fail_threshold`
-  и доля 5xx ниже `post_deploy_5xx_threshold`) → вердикт `HEALTHY`.
-- **FAIL:** при здоровых сигналах возвращается `DEGRADED`.
-
-### AC-4 — классификация DEGRADED по порогу провалов health
-- **PASS:** `≥ post_deploy_fail_threshold` ПОСЛЕДОВАТЕЛЬНЫХ провалов health → `DEGRADED`.
-- **FAIL:** порог достигнут, но вердикт не `DEGRADED`.
-
-### AC-5 — классификация DEGRADED по доле 5xx
-- **PASS:** доля 5xx на окне выше `post_deploy_5xx_threshold` → `DEGRADED`,
-  даже если `/health` отвечает 200.
-- **FAIL:** превышение порога 5xx не даёт `DEGRADED`.
-
-### AC-6 — устойчивость к разовому глюку (нет ложного срабатывания)
-- **PASS:** одиночный провал (1 < `post_deploy_fail_threshold`) с последующим
-  восстановлением → итог `HEALTHY`, реакции нет.
-- **FAIL:** одиночный разовый провал приводит к `DEGRADED`/откату.
-
-## Реакция
-
-### AC-7 — авто-rollback для не-self репо при политике auto
-- **PASS:** при `post_deploy_auto_rollback=True` и НЕ-self репо вердикт `DEGRADED`
-  приводит к вызову отката (хук `--rollback` с прод-параметрами); `action_taken`
-  фиксируется как `ROLLBACK_OK`/`ROLLBACK_FAILED` по exit-code.
-- **FAIL:** откат не вызывается, либо вызывается с staging-дефолтами, либо роняет прод напрямую.
-
-### AC-8 — self-hosting НЕ откатывается автоматически (safety)
-- **PASS:** для `orchestrator` вердикт `DEGRADED` НЕ приводит к автоматическому
-  откату/рестарту прод-контейнера в тике наблюдения; вместо этого формируется
-  громкий алерт + запрос ручного approve (`action_taken: ALERT_ONLY`).
-- **FAIL:** тик наблюдения автоматически откатывает/рестартит прод-орк.
-
-### AC-9 — откат-провал эскалируется
-- **PASS:** если откат вызван и вернул код 1/2 (нет prev-образа / откат тоже упал) →
-  `action_taken: ROLLBACK_FAILED` + громкий Telegram-алерт о необходимости ручного вмешательства.
-- **FAIL:** провал отката проглатывается тихо.
-
-## Конфигурация и совместимость
-
-### AC-10 — kill-switch выключает фичу
-- **PASS:** `post_deploy_monitor_enabled=False` → наблюдение не армится ни для кого;
-  поведение конвейера 1:1 как до ORCH-021.
-- **FAIL:** при выключенном флаге наблюдение всё равно работает.
-
-### AC-11 — пороги/окно конфигурируемы через env
-- **PASS:** `post_deploy_window_s`, `post_deploy_interval_s`, `post_deploy_fail_threshold`,
-  `post_deploy_5xx_threshold` читаются из `Settings` (env `ORCH_*`) и влияют на поведение.
-- **FAIL:** значения захардкожены.
-
-### AC-12 — реестры и схема БД не изменены
-- **PASS:** `STAGE_TRANSITIONS`, `QG_CHECKS`, контракт `check_deploy_status` и схема
-  таблиц БД не изменены (если архитектор не вводит явно новую стадию — тогда это
-  отражено в ADR и тестах). Существующие тесты deploy/staging/merge-gate зелёные.
-- **FAIL:** молча сломан какой-либо существующий контракт/тест.
-
-## Наблюдаемость, артефакт, идемпотентность
-
-### AC-13 — артефакт 16-post-deploy-log.md с машиночитаемым frontmatter
-- **PASS:** по итогу наблюдения пишется `16-post-deploy-log.md` с валидным YAML-frontmatter
-  (`post_deploy_status`, `action_taken`); запись best-effort (её отсутствие ничего не роняет).
-- **FAIL:** артефакт не пишется или frontmatter невалиден/непарсится.
-
-### AC-14 — наблюдаемость в /queue
-- **PASS:** `GET /queue` содержит блок `post_deploy` со снимком состояния (enabled,
-  window, активные/последний исход).
-- **FAIL:** состояние наблюдения нигде не видно.
-
-### AC-15 — идемпотентность / restart-safe
-- **PASS:** повторный арм для той же задачи (двойной webhook / рестарт оркестратора)
-  не создаёт второе параллельное наблюдение и не теряет уже идущее.
-- **FAIL:** дублируется наблюдение или теряется при рестарте.
-
-### AC-16 — never-raise
-- **PASS:** любая ошибка опроса/сети/файлов/классификации логируется и НЕ роняет
-  worker / lifespan / конвейер других проектов.
-- **FAIL:** исключение из наблюдения всплывает и ломает обслуживание других проектов.
-
-### AC-17 — уведомления
-- **PASS:** ключевые события (наблюдение начато, DEGRADED, откат/алерт, чистое
-  завершение окна) уведомляются в Telegram и/или Plane-комментарием.
-- **FAIL:** деградация/откат происходят молча.
-
-### AC-18 — документация обновлена (golden-source)
-- **PASS:** в том же PR обновлены `CLAUDE.md` (артефакт `16-post-deploy-log.md`),
-  `docs/architecture/README.md` (описание пост-деплой наблюдения), `CHANGELOG.md`,
-  и заведён ADR work-item.
-- **FAIL:** функционал есть, документация не обновлена (reviewer → REQUEST_CHANGES).

docs/work-items/ORCH-021/04-test-plan.yaml

@@ -1,163 +0,0 @@
-work_item: ORCH-021
-description: >
-  Тест-план пост-деплой мониторинга прода + авто-rollback. Упор на детерминированную
-  чистую логику классификации/решения (юнит, без сети/LLM) и на интеграцию
-  армирования наблюдения после deploy->done. Сетевые опросы и хук-вызовы мокируются.
-  Имена модулей/функций — целевые (src/post_deploy.py); архитектор уточняет точную
-  сигнатуру, тесты адаптируются под ADR.
-
-tests:
-  # --- Классификация деградации (чистая логика, ядро) ---
-  - id: TC-01
-    type: unit
-    description: "HEALTHY: серия опросов без провалов (< порога) -> вердикт HEALTHY"
-    module: tests/test_post_deploy.py
-    covers: [AC-3]
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "DEGRADED: N последовательных провалов health (== fail_threshold) -> DEGRADED"
-    module: tests/test_post_deploy.py
-    covers: [AC-4]
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "DEGRADED по 5xx: доля 5xx выше порога при health=200 -> DEGRADED"
-    module: tests/test_post_deploy.py
-    covers: [AC-5]
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "Нет ложного срабатывания: одиночный провал (1 < threshold) + восстановление -> HEALTHY"
-    module: tests/test_post_deploy.py
-    covers: [AC-6]
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "Пороги читаются из Settings (env ORCH_*), изменение порога меняет вердикт на тех же данных"
-    module: tests/test_post_deploy.py
-    covers: [AC-11]
-    expected: PASS
-
-  # --- Решение о реакции (чистая логика + self-hosting safety) ---
-  - id: TC-06
-    type: unit
-    description: "Решение: не-self репо + auto_rollback=True + DEGRADED -> ROLLBACK"
-    module: tests/test_post_deploy.py
-    covers: [AC-7]
-    expected: PASS
-
-  - id: TC-07
-    type: unit
-    description: "Решение self-hosting: orchestrator + DEGRADED -> ALERT_ONLY (НИКОГДА не авто-rollback)"
-    module: tests/test_post_deploy.py
-    covers: [AC-8]
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "Решение: HEALTHY -> NONE (реакции нет) для любого репо"
-    module: tests/test_post_deploy.py
-    covers: [AC-3]
-    expected: PASS
-
-  # --- Условность / kill-switch ---
-  - id: TC-09
-    type: unit
-    description: "post_deploy_applies: пусто в repos -> True только для orchestrator, False для enduro-trails"
-    module: tests/test_post_deploy.py
-    covers: [AC-2]
-    expected: PASS
-
-  - id: TC-10
-    type: unit
-    description: "kill-switch: post_deploy_monitor_enabled=False -> applies()=False для всех; наблюдение не армится"
-    module: tests/test_post_deploy.py
-    covers: [AC-10]
-    expected: PASS
-
-  # --- Маппинг exit-code отката -> исход ---
-  - id: TC-11
-    type: unit
-    description: "Откат exit 0 -> action_taken=ROLLBACK_OK"
-    module: tests/test_post_deploy.py
-    covers: [AC-7]
-    expected: PASS
-
-  - id: TC-12
-    type: unit
-    description: "Откат exit 1/2 (нет prev-образа / откат упал) -> ROLLBACK_FAILED + эскалация-алерт"
-    module: tests/test_post_deploy.py
-    covers: [AC-9]
-    expected: PASS
-
-  # --- Артефакт ---
-  - id: TC-13
-    type: unit
-    description: "16-post-deploy-log.md пишется с валидным YAML-frontmatter (post_deploy_status/action_taken), парсится yaml.safe_load"
-    module: tests/test_post_deploy.py
-    covers: [AC-13]
-    expected: PASS
-
-  # --- never-raise ---
-  - id: TC-14
-    type: unit
-    description: "Опрос при сетевой ошибке/таймауте -> консервативный результат (провал-как-down), исключение НЕ всплывает"
-    module: tests/test_post_deploy.py
-    covers: [AC-16]
-    expected: PASS
-
-  - id: TC-15
-    type: unit
-    description: "Ошибка записи артефакта (нет каталога/IO) -> логируется, функция возвращает False, не raise"
-    module: tests/test_post_deploy.py
-    covers: [AC-16, AC-13]
-    expected: PASS
-
-  # --- Интеграция: армирование после deploy->done ---
-  - id: TC-16
-    type: integration
-    description: "advance_stage deploy->done для orchestrator армит наблюдение (sentinel/job создан); для enduro-trails — нет"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-1, AC-2]
-    expected: PASS
-
-  - id: TC-17
-    type: integration
-    description: "Идемпотентность: повторный арм той же задачи (двойной webhook) не создаёт второе наблюдение"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-15]
-    expected: PASS
-
-  - id: TC-18
-    type: integration
-    description: "Полный цикл DEGRADED -> для не-self вызывается откат (хук замокан), пишется лог, шлётся уведомление"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-7, AC-13, AC-17]
-    expected: PASS
-
-  - id: TC-19
-    type: integration
-    description: "Self-hosting DEGRADED: тик НЕ вызывает рестарт/откат прод-контейнера, формирует алерт+approve-запрос"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-8, AC-17]
-    expected: PASS
-
-  # --- Наблюдаемость и обратная совместимость ---
-  - id: TC-20
-    type: integration
-    description: "GET /queue содержит блок post_deploy со снимком состояния"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-14]
-    expected: PASS
-
-  - id: TC-21
-    type: integration
-    description: "Регресс: существующие тесты deploy/staging/merge-gate/reconciler зелёные; STAGE_TRANSITIONS и QG_CHECKS не изменены"
-    module: tests/test_stages.py
-    covers: [AC-12]
-    expected: PASS

docs/work-items/ORCH-021/06-adr/ADR-001-post-deploy-monitor.md

@@ -1,212 +0,0 @@
-# ADR-001 (ORCH-021): Post-deploy мониторинг прода + реакция на деградацию
-
-## Статус
-Proposed (design) — реализация в ветке `feature/ORCH-021-post-deploy-rollback`.
-Сквозной индексный ADR: `docs/architecture/adr/adr-0010-post-deploy-monitor.md`.
-Помечено `arch:major-change` (новая под-компонента + новый reserved-agent job-kind).
-
-## Контекст
-Конвейер заканчивается на `deploy → done` (`check_deploy_status` видит
-`deploy_status: SUCCESS` → terminal-sync, Plane → Done, release merge-lease). После
-этого оркестратор **забывает про прод**. «Успех» сегодня = прохождение health-check
-в момент рестарта (10×6с в `scripts/orchestrator-deploy-hook.sh`) — узкое окно ~60с.
-
-Класс инцидентов «зелёный деплой, красный прод» (прецедент **ET-8**): деградация
-проявляется через минуты под боевым трафиком (прогрев кэшей, фоновые миграции,
-утечки, рост 5xx), health отвечает `200 ok`, но фича сломана. Для self-hosting это
-критично: сломанный прод-орк (8500) обслуживает ВСЕ проекты из общего инстанса.
-
-BRD/ТЗ задают требования (BR-1…BR-11, AC-1…AC-18) и оставляют архитектору **три
-открытых вопроса** (BRD §7): (1) где живёт наблюдение — стадия / watchdog-daemon /
-reserved-agent job; (2) механизм self-rollback; (3) пороги/веса сигналов.
-
-Существующие переиспользуемые механики:
-- **deploy-finalizer** (ORCH-36, `stage_engine.run_deploy_finalizer` + перехват в
-  `launcher.launch_job` ДО `_spawn`) — детерминированный no-LLM reserved-agent job,
-  само-перепостановка через `enqueue_job(available_at_delay_s=...)`, defer-budget,
-  restart-safe (jobs-очередь + sentinel-файлы `.deploy-state-<repo>/<wi>/`).
-- **self_deploy.py** — sentinel-state хелперы (`write_marker`/`has_marker`/
-  `read_result`/`clear_state`), detached host-процесс (`build_deploy_command`/
-  `initiate_deploy`: ssh + setsid), `map_exit_code_to_status`, `self_deploy_applies`.
-- **reconciler.py** — daemon-поток + `status()` в `GET /queue`.
-- **хук `--rollback`** (`do_rollback`): retag `PREV_IMAGE_FILE` → `TARGET_IMAGE` +
-  рестарт + health, коды 0 / 1 (нет prev-образа) / 2 (rollback тоже упал).
-- **Условность** ORCH-35/36/43/58: `is_self_hosting_repo`, флаг + CSV-репо.
-
-## Решение
-
-### 1. Механизм наблюдения — reserved-agent job `post-deploy-monitor` (Вариант B)
-Наблюдение реализуется как **детерминированный no-LLM reserved-agent job**, точная
-калька **deploy-finalizer**. Один «тик» наблюдения = один job: он делает ОДИН опрос
-сигналов, обновляет персистентные счётчики в sentinel-файлах, классифицирует и либо
-**перепостанавливает себя** с задержкой `post_deploy_interval_s` (окно не истекло и
-ещё не DEGRADED), либо завершает наблюдение (DEGRADED → реакция; либо окно истекло →
-HEALTHY). Это «watchdog поверх очереди»: между тиками job не выполняется (он
-запланирован в будущем через `available_at_delay_s`), worker свободен для других
-проектов — ровно как defer у finalizer.
-
-**Почему НЕ daemon-watchdog (Вариант A, как reconciler):** daemon тикает глобально, а
-не per-task; серию опросов (последовательные провалы health, доля 5xx на окне) пришлось
-бы держать в памяти → теряется/двоится при рестарте (а сам деплой орка = рестарт). Чтобы
-сделать daemon restart-safe, всё равно нужны персистентные per-task счётчики в sentinel —
-тогда reserved-agent проще и уже имеет проверенную restart-safe машинерию (jobs-очередь
-+ `requeue_running_jobs` + sentinels). Per-task жизненный цикл естественно ложится на
-job-цепочку, а не на глобальный sweep.
-
-**Почему НЕ отдельная пост-deploy стадия (Вариант C):** меняет `STAGE_TRANSITIONS` +
-реестр `QG_CHECKS` (нарушает AC-12, ТЗ §2.8 — явно непредпочтительно); ломает семантику
-`deploy → done` как терминального перехода (Plane уже Done). Наблюдение происходит
-**ПОСЛЕ** `done` — «продление ответственности ЗА done», а не новая стадия конвейера.
-
-### 2. Арм наблюдения — хук в terminal-блоке `advance_stage`
-В `stage_engine.advance_stage`, в существующем блоке `next_stage == "done"` (после
-`set_issue_done` и `release_merge_lease`), добавляется арм:
-```
-if next_stage == "done" and post_deploy.post_deploy_applies(repo):
-    post_deploy.arm_monitor(repo, work_item_id, branch, task_id)
-```
-`arm_monitor` (never-raise): если sentinel `armed` отсутствует → создаёт state-dir,
-пишет `armed` (идемпотентность, по образцу `INITIATED`), инициализирует `series`-файл,
-ставит первый `post-deploy-monitor` job через `enqueue_job(available_at_delay_s=
-post_deploy_interval_s)`. Если `armed` уже есть → no-op (двойной webhook / reconciler
-F-1 / finalizer Phase C могут довести `done` повторно — AC-15). Выключенный
-kill-switch / неприменимый репо → `post_deploy_applies` False → арма нет (AC-2/AC-10).
-
-### 3. Чистая логика — новый leaf-модуль `src/post_deploy.py` (never-raise)
-По образцу `self_deploy.py` / `staging_verdict.py`. Импортирует только config (+lazy
-`qg.checks.is_self_hosting_repo`), НЕ импортирует `stage_engine`/`launcher`. Функции:
-- **`post_deploy_applies(repo) -> bool`** — флаг `post_deploy_monitor_enabled` +
-  CSV `post_deploy_repos` (пусто → только self-hosting). Калька `self_deploy_applies`.
-- **`probe_signals(base_url) -> ProbeResult`** — один опрос: `GET /health` (HTTP 200 +
-  `{"status":"ok"}`) и ключевые эндпоинты `/status`, `/queue` (учёт доли 5xx).
-  Сеть/таймаут → консервативный «провал»-результат, не исключение.
-- **`classify(series, fail_threshold, 5xx_threshold) -> "HEALTHY"|"DEGRADED"`** —
-  чистая, без сети, **главный предмет юнит-тестов** (детерминированная, как
-  `compute_staging_verdict`): `DEGRADED` если `≥ fail_threshold` ПОСЛЕДОВАТЕЛЬНЫХ
-  провалов health (AC-4) ИЛИ доля 5xx на окне `> 5xx_threshold` (AC-5). Иначе
-  `HEALTHY` (одиночный провал < порога с восстановлением → HEALTHY, AC-3/AC-6).
-- **`decide_action(repo, verdict) -> "NONE"|"ROLLBACK"|"ALERT_ONLY"`** — чистая:
-  `HEALTHY → NONE`; `DEGRADED` + self-hosting → `ALERT_ONLY` (BR-5/AC-8, ВСЕГДА);
-  `DEGRADED` + не-self + `post_deploy_auto_rollback=True` → `ROLLBACK`; иначе →
-  `ALERT_ONLY`.
-- **Sentinel-state хелперы** (state-dir `.post-deploy-state-<repo>/<wi>/`, по образцу
-  `self_deploy._state_dir`): `armed`, `series` (JSON-список результатов опросов,
-  append каждый тик — restart-safe счётчики), `done`. `read_series`/`append_probe`/
-  `mark_done`/`has_marker` — never-raise.
-- **`write_post_deploy_log(...)`** — артефакт `16-post-deploy-log.md`, best-effort
-  (по образцу `self_deploy.write_deploy_log`).
-- **`build_rollback_command(repo)`** — argv хука `--rollback` с прод-env (как
-  `build_deploy_command`, но action=`--rollback`; переиспользует `deploy_prod_*`).
-
-### 4. Исполнение тика — `stage_engine.run_post_deploy_monitor(job)` + перехват в launcher
-По образцу `run_deploy_finalizer` / `_run_deploy_finalizer_job`:
-`launcher.launch_job` перехватывает `agent == "post-deploy-monitor"` ДО `_spawn` →
-`stage_engine.run_post_deploy_monitor(job)`. Алгоритм тика (never-raise):
-1. `mark_done` уже стоит → no-op (AC-15, защита от дубля).
-2. `probe = post_deploy.probe_signals(base_url)`; `append_probe(series, probe)`.
-3. `verdict = classify(series, ...)`.
-4. **Если `HEALTHY` и окно не истекло** (число тиков < `window_s/interval_s`) →
-   перепостановка `post-deploy-monitor` через `available_at_delay_s=interval_s`
-   (как finalizer defer; счётчик тиков — из jobs-очереди/`series`, restart-safe).
-5. **Если `HEALTHY` и окно истекло** → исход `NONE`, `write_post_deploy_log(HEALTHY,
-   NONE)`, `mark_done`, нотификация «окно завершилось чисто» (BR-6/AC-17).
-6. **Если `DEGRADED`** → `action = decide_action(...)`; исполнить реакцию (§5),
-   `write_post_deploy_log`, `mark_done`, нотификации.
-
-`mark_done` + sentinel `armed` дают идемпотентность; jobs-очередь +
-`requeue_running_jobs` + `series` дают restart-safe (AC-15). Бюджет тиков bounded
-(`window_s/interval_s`) — анти-livelock, как `deploy_finalize_max_attempts`.
-
-### 5. Реакция на деградацию
-- **Self-hosting (`orchestrator`), всегда (BR-5/AC-8):** `ALERT_ONLY`. НЕ откатывать
-  и НЕ рестартить прод-контейнер в тике. Громкий Telegram + Plane-коммент с запросом
-  ручного approve отката (по образцу deploy Phase A CTA). `action_taken: ALERT_ONLY`.
-  Откат самого прод-орка (если оператор решит) — ТОЛЬКО через detached host-процесс
-  (контейнер не откатит себя, умирая); переиспользуется механика
-  `self_deploy.initiate_deploy`, но в MVP она вне тика наблюдения (ручной approve →
-  отдельный путь, как ORCH-54 для авто-deploy). Тик self НИКОГДА не запускает хук
-  `--rollback` (структурный инвариант).
-- **Не-self + `post_deploy_auto_rollback=True` (AC-7):** вызвать хук `--rollback` с
-  прод-env (`build_rollback_command`). Маппинг exit-code по смыслу
-  `map_exit_code_to_status`: `0 → ROLLBACK_OK`; `1/2 → ROLLBACK_FAILED` + громкий
-  Telegram о необходимости ручного вмешательства (AC-9). Целевой контейнер не есть
-  orchestrator → его рестарт безопасен для конвейера.
-- **Не-self + auto_rollback=False (дефолт):** `ALERT_ONLY`.
-
-### 6. Артефакт `16-post-deploy-log.md` (новый, машиночитаемый)
-YAML-frontmatter (канон гейтов; для петли уроков ORCH-8, BR-10):
-```
----
-post_deploy_status: HEALTHY | DEGRADED
-action_taken: NONE | ROLLBACK_OK | ROLLBACK_FAILED | ALERT_ONLY
-work_item: <plane-id>
-window_s: <int>
-checks_total: <int>
-checks_failed: <int>
----
-```
-Тело — человекочитаемая сводка опросов. Best-effort (отсутствие файла ничего не роняет,
-AC-13). **Не** читается ни одним гейтом — наблюдение происходит после `done`.
-
-### 7. Конфигурация — `src/config.py` (env-префикс `ORCH_`)
-- `post_deploy_monitor_enabled: bool = True` — глобальный kill-switch (BR-8/AC-10).
-- `post_deploy_repos: str = ""` — CSV применимых репо; пусто → только self-hosting.
-- `post_deploy_window_s: int = 900` — окно наблюдения (~15 мин, BR-1).
-- `post_deploy_interval_s: int = 30` — интервал опросов.
-- `post_deploy_fail_threshold: int = 3` — N послед. провалов health → DEGRADED.
-- `post_deploy_5xx_threshold: float = 0.5` — порог доли 5xx → DEGRADED.
-- `post_deploy_auto_rollback: bool = False` — глоб. разрешение авто-отката (для self
-  всегда требует approve, BR-5).
-- `post_deploy_base_url: str = "http://localhost:8500"` — наблюдаемый прод.
-- Параметры отката — переиспользовать существующие `deploy_prod_*` (новых дублей нет).
-
-### 8. Наблюдаемость — блок `post_deploy` в `GET /queue` (BR-9/AC-14)
-По образцу блока `reconcile` (метод `status()`): `enabled`, `window_s`, `interval_s`,
-активные наблюдения (по sentinel `armed` без `done`), последний исход
-(`post_deploy_status`/`action_taken`). Best-effort, never-raise.
-
-### Инварианты (НЕ меняются)
-`STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_deploy_status`/`_parse_deploy_status`,
-момент вердикта `deploy_status`, БАГ-8 откат, terminal-sync `deploy → done`, merge-gate,
-exit-code-контракт хука (0/1/2), схема БД. Условность как ORCH-35/36/43/58. Never-raise
-во всём наблюдении (AC-16). Тик self НИКОГДА не рестартит прод-контейнер (AC-8).
-
-## Альтернативы
-- **Daemon-watchdog (как reconciler)** — отклонён: per-task серия в памяти не
-  restart-safe; restart-safe-вариант требует тех же sentinel-счётчиков → reserved-agent
-  проще и уже проверен.
-- **Отдельная пост-deploy стадия + QG** — отклонён: меняет реестры (AC-12), ломает
-  семантику терминального `done`; наблюдение принципиально ПОСЛЕ `done`.
-- **Авто-rollback прод-орка из тика** — отклонён (BR-5): контейнер не откатит себя
-  надёжно; групповой риск для всех проектов. Self → только ALERT + ручной approve.
-- **Новая колонка в `tasks` для отметки наблюдения** — отклонён: миграция на проде
-  (риск, как в adr-0007); sentinel-файлы достаточны и restart-safe (как ORCH-36/53/58).
-- **Прометей/APM** — вне рамок (BR out-of-scope): опираемся на существующие
-  HTTP-эндпоинты, не вводим сбор метрик.
-
-## Последствия
-- Класс «зелёный деплой, красный прод» закрыт измеримыми порогами; деградация —
-  машиночитаемый сигнал для петли уроков (ORCH-8).
-- Плюс: максимальное переиспользование проверенной finalizer/sentinel/hook-машинерии;
-  нулевая миграция БД; реестры не тронуты; дефолты безопасны (auto-rollback off, self
-  только alert).
-- Минус/ограничение: монитор self бежит ВНУТРИ наблюдаемого прод-контейнера — если
-  контейнер полностью wedged, worker может не выполнить тик и алерта не будет (gap).
-  Это known limitation MVP; внешний независимый watchdog — follow-up (вне рамок).
-- Минус: каждый тик на короткое время занимает single-worker (`max_concurrency=1`);
-  митигируется коротким опросом (~секунды) и `interval_s` между тиками (defer не держит
-  worker), как finalizer.
-- Доменный smoke результата фичи (BR-11) — follow-up; MVP = health + 5xx.
-
-## Связи
-- **ET-8** — обоснование (deploy SUCCESS, прод не работает).
-- **adr-0007-executable-self-deploy** (ORCH-36) — sentinel-паттерн, detached
-  host-процесс, `map_exit_code_to_status`, deploy-finalizer reserved-agent (образец).
-- **adr-0007-reconciler** (ORCH-53) — daemon/`status()` образец (рассмотрен и отклонён
-  как основной механизм; `status()`-снимок в `/queue` переиспользуется).
-- **adr-0006-merge-gate** / **adr-0003-staging-gate** — образец условности и флагов
-  раската (`*_enabled` + `*_repos`).
-- **adr-0008-staging-image-provenance** — `.deploy-prev-image` / хук-механика отката.
-- **ORCH-8** — петля уроков (потребитель `16-post-deploy-log.md`).
-- **ORCH-54** — будущий полный авто (включая авто-approve отката self), по аналогии
-  с авто-deploy.

docs/work-items/ORCH-021/07-infra-requirements.md

@@ -1,56 +0,0 @@
-# 07 — Инфраструктурные требования (ORCH-021)
-
-> Топология НЕ меняется. Фича опирается на уже существующие HTTP-эндпоинты прода и
-> существующий деплой-хук. Этот документ фиксирует, какие инфра-предпосылки должны
-> выполняться, чтобы наблюдение и реакция работали.
-
-## 1. Топология — без изменений
-- Прод `orchestrator` (8500), staging `orchestrator-staging` (8501), один сервер
-  mva154 (см. `docs/operations/INFRA.md`). Новых контейнеров/портов/сервисов нет.
-- Наблюдение — внутрипроцессный reserved-agent job в worker'е прод-контейнера.
-  Daemon-потоков не добавляется (в отличие от reconciler).
-
-## 2. Наблюдаемый прод — HTTP-эндпоинты
-- Монитор опрашивает `post_deploy_base_url` (дефолт `http://localhost:8500`):
-  - `GET /health` → ожидается HTTP 200 + тело `{"status":"ok"}` (BR-2);
-  - `GET /status`, `GET /queue` → учёт доли HTTP 5xx (BR-2).
-- Эндпоинты уже существуют (`src/main.py`). Новых эндпоинтов фича НЕ вводит
-  (out-of-scope APM/метрики).
-- Для self-hosting `base_url=localhost:8500` означает: монитор бьёт по собственному
-  контейнеру. Это допустимо для MVP (см. риск R-1 в `10-tech-risks.md`).
-
-## 3. Деплой-хук `--rollback` — предпосылки реакции
-- Реакция ROLLBACK (только не-self + `post_deploy_auto_rollback=True`) вызывает
-  `scripts/orchestrator-deploy-hook.sh --rollback` с прод-env (переиспользуются
-  `deploy_prod_*`: `TARGET_SERVICE`/`TARGET_PORT`/`TARGET_IMAGE`/`COMPOSE_PROFILE`/
-  `PREV_IMAGE_FILE`), по образцу `self_deploy.build_deploy_command`.
-- Предпосылка: при штатном деплое хук сохраняет предыдущий образ в
-  `PREV_IMAGE_FILE` (`.deploy-prev-image-prod`). Без снимка → хук вернёт exit 1
-  («нет prev-образа») → `ROLLBACK_FAILED` + алерт (AC-9). Контракт exit-кодов хука
-  (0/1/2) НЕ меняется.
-- **Self-hosting:** откат прод-орка хуком в тике ЗАПРЕЩЁН (контейнер не откатит себя,
-  умирая). Если оператор по алерту решит откатить — только detached host-процесс
-  (ssh + setsid, механика `self_deploy.initiate_deploy`), как у Phase B самодеплоя.
-  Предпосылки для detached-пути (ssh-доступ host, shared-mount state-dir) уже
-  выполнены для ORCH-36; в MVP detached-откат self вне тика наблюдения.
-
-## 4. Restart-safe состояние — shared mount
-- Состояние наблюдения — sentinel-файлы под `.post-deploy-state-<repo>/<wi>/`
-  (`armed`, `series`, `done`) на том же mount `settings.repos_dir`, что и
-  `.deploy-state-*` (ORCH-36). Миграции БД нет (см. `08-data-requirements.md`).
-- `requeue_running_jobs` (ORCH-1) восстанавливает claimed `post-deploy-monitor` job
-  после рестарта; `series` хранит счётчики опросов → наблюдение продолжается
-  с того же места (BR-7/AC-15).
-
-## 5. Конфигурация окружения (env `ORCH_*`)
-Новые ключи (дефолты безопасны, в `.env`/`.env.staging` по необходимости):
-`post_deploy_monitor_enabled` (kill-switch, дефолт true), `post_deploy_repos` (CSV,
-пусто → self-hosting), `post_deploy_window_s` (900), `post_deploy_interval_s` (30),
-`post_deploy_fail_threshold` (3), `post_deploy_5xx_threshold` (0.5),
-`post_deploy_auto_rollback` (false), `post_deploy_base_url` (localhost:8500).
-Параметры отката — существующие `deploy_prod_*`, новых дублей не вводить.
-
-## 6. Чего НЕ требуется
-- Новых контейнеров, портов, сетевых правил, секретов.
-- Prometheus / Grafana / APM (out-of-scope).
-- Изменений compose-топологии или деплой-пути не-self репо.

docs/work-items/ORCH-021/08-data-requirements.md

@@ -1,40 +0,0 @@
-# 08 — Требования к данным / схеме БД (ORCH-021)
-
-## Вывод: миграция БД НЕ требуется
-Состояние наблюдения хранится в **sentinel-файлах** (restart-safe, без миграции —
-по образцу ORCH-36/53/58), а не в таблицах. Реестры и схема не меняются (AC-12).
-
-## 1. Существующие таблицы — без изменений
-- `events`, `tasks`, `agent_runs`, `jobs` — структура не меняется.
-- В `tasks` НЕ вводится колонка статуса/окна наблюдения (намеренно — миграция на
-  проде = риск, как обосновано в adr-0007; альтернатива отклонена в ADR-001 §Альтернативы).
-
-## 2. Очередь `jobs` — переиспользование, без схемы
-- `post-deploy-monitor` — новый **job-kind** (значение в существующей колонке
-  `agent`/`task_content`), НЕ новая колонка. Ставится через существующий
-  `enqueue_job(..., available_at_delay_s=...)` (ORCH-1).
-- Счётчик тиков/деферов восстанавливается из jobs-очереди (как
-  `_deploy_finalize_defer_count` считает по `task_content LIKE`), restart-safe.
-
-## 3. Sentinel-состояние (файлы, не БД)
-State-dir `.post-deploy-state-<repo>/<work_item_id>/` на `settings.repos_dir`
-(по образцу `.deploy-state-*`):
-| Файл | Назначение |
-|------|------------|
-| `armed` | наблюдение заармлено (идемпотентность арма; калька `INITIATED`) |
-| `series` | JSON-список результатов опросов (счётчики health-fail / 5xx; restart-safe) |
-| `done` | наблюдение завершено (защита от повторной обработки) |
-
-Все обращения — never-raise (по образцу `self_deploy.has_marker`/`write_marker`/
-`read_result`). Отсутствие/битость файла → консервативный фоллбэк, не исключение.
-
-## 4. Артефакт `16-post-deploy-log.md` — файл репозитория, не БД
-Машиночитаемый YAML-frontmatter (`post_deploy_status`, `action_taken`, `window_s`,
-`checks_total`, `checks_failed`) пишется best-effort в `docs/work-items/<id>/`; в БД
-не реплицируется. Источник для петли уроков ORCH-8 (BR-10).
-
-## 5. Очистка состояния
-По завершении окна / реакции `done`-маркер ставится; state-dir можно чистить
-best-effort (по образцу `self_deploy.clear_state`) — необязательно для корректности,
-но желательно для гигиены. Stale-`armed` без `done` после краха → виден в `/queue`
-как «активное наблюдение» и доигрывается восстановленным job'ом.

docs/work-items/ORCH-021/10-tech-risks.md

@@ -1,20 +0,0 @@
-# 10 — Технические риски (ORCH-021)
-
-| # | Риск | Вероятн. | Влияние | Митигация |
-|---|------|----------|---------|-----------|
-| R-1 | **Монитор self бежит внутри наблюдаемого прода.** Полностью wedged прод-контейнер → worker не выполнит тик → деградация не замечена, алерта нет. | Сред. | Высок. | Known MVP limitation (зафиксировано в ADR-001 §Последствия). Health в момент рестарта (хук) + reconciler ловят часть случаев. Внешний независимый watchdog — follow-up (вне рамок). |
-| R-2 | **Ложный авто-rollback** по сетевому глюку. | Низк. | Высок. | Пороги по N ПОСЛЕДОВАТЕЛЬНЫХ провалов + доля 5xx на окне (BR-3/AC-6), а не разовый провал. Self ВСЕГДА `ALERT_ONLY` (BR-5). `auto_rollback=False` по умолчанию. |
-| R-3 | **Авто-rollback прод-орка убивает инструмент всех проектов.** | Низк. | Критич. | Структурный инвариант: тик self НИКОГДА не откатывает/рестартит прод-контейнер (AC-8). Self → только alert + ручной approve. Откат self — только detached host-процесс вне тика. |
-| R-4 | **Нет prev-образа** при ROLLBACK → откат невозможен. | Сред. | Сред. | Хук возвращает exit 1 → `ROLLBACK_FAILED` + громкий алерт (AC-9), деградация не проглатывается тихо. |
-| R-5 | **Дубль/потеря наблюдения** при двойном webhook / рестарте. | Сред. | Сред. | Идемпотентность: sentinel `armed` (арм-гард) + `done` (защита от повторной обработки) + restart-safe jobs-очередь + `series` (AC-15). По образцу finalizer. |
-| R-6 | **Исключение в наблюдении роняет worker / конвейер других проектов.** | Низк. | Высок. | Контракт never-raise во всём `post_deploy.py` и `run_post_deploy_monitor` (AC-16), по образцу `self_deploy`/`staging_verdict`. |
-| R-7 | **Тик занимает single-worker** (`max_concurrency=1`) → задержка других задач. | Низк. | Низк. | Опрос короткий (~секунды), между тиками job не выполняется (defer через `available_at_delay_s`) — worker свободен, как у finalizer. Окно bounded (`window_s/interval_s`). |
-| R-8 | **Скрытое изменение контракта** (реестры/гейты/exit-коды/схема). | Низк. | Высок. | Инвариант: `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_deploy_status`/terminal-sync/merge-gate/exit-коды/схема БД НЕ меняются (AC-12). Существующие тесты deploy/staging/merge-gate должны остаться зелёными. |
-| R-9 | **5xx на `/queue`/`/status` из-за самого монитора** (рекурсивная нагрузка). | Низк. | Низк. | Интервал `post_deploy_interval_s` (30с) — низкая частота; опрос лёгкий GET. |
-| R-10 | **Артефакт `16-post-deploy-log.md` не пишется / невалиден** → петля уроков без данных. | Низк. | Низк. | Best-effort запись с валидным frontmatter (AC-13); отсутствие файла ничего не роняет. Парсинг — defensive. |
-
-## Эскалация
-- Изменение помечено `arch:major-change` (новая под-компонента `src/post_deploy.py`
-  + новый reserved-agent job-kind `post-deploy-monitor`).
-- R-1 (gap наблюдения для wedged self-контейнера) — кандидат на отдельную задачу
-  (внешний watchdog), вне рамок ORCH-021.

docs/work-items/ORCH-021/12-review.md

@@ -1,99 +0,0 @@
----
-type: review
-work_item_id: ORCH-021
-verdict: APPROVED
-version: 2
----
-
-# Review ORCH-021 — Post-deploy мониторинг прода + реакция на деградацию
-
-## Summary
-Реализация продлевает ответственность конвейера ЗА терминальный переход
-`deploy → done`, закрывая класс инцидентов «зелёный деплой, красный прод» (ET-8).
-Механизм — детерминированный reserved-agent job `post-deploy-monitor` (вариант B
-из ADR-001, точная калька `deploy-finalizer`): арм в `stage_engine.advance_stage`
-(блок `next_stage == "done"`), один тик = один job (перехват в
-`launcher.launch_job` ДО `_spawn` → `stage_engine.run_post_deploy_monitor`),
-чистая логика в новом leaf-модуле `src/post_deploy.py` (never-raise).
-
-Проверены все четыре оси. Реализация соответствует ТЗ (`02-trz.md`), ADR-001 и
-глобальному adr-0010, удовлетворяет всем критериям приёмки AC-1…AC-18.
-Документация (golden-source) обновлена в том же PR. Регрессов нет.
-
-## Соответствие ТЗ
-- §2.1 `src/post_deploy.py` (leaf, never-raise): `post_deploy_applies`,
-  `probe_signals`, `classify`, `decide_action`, sentinel-state, артефакт,
-  `build_rollback_command` — все на месте. ✅
-- §2.2 Оркестрация: арм в terminal-блоке + reserved-agent тик с
-  само-перепостановкой через `available_at_delay_s`; restart-safe (sentinel
-  `armed`/`series`/`done` + jobs-очередь). ✅
-- §2.3 Реакция: non-self+auto → хук `--rollback` (синхронно, целевой ≠ orch);
-  self-hosting → ВСЕГДА `ALERT_ONLY`. ✅
-- §2.4 Конфигурация: все `post_deploy_*` в `src/config.py`, дефолты безопасны
-  (kill-switch on, auto-rollback off), параметры отката переиспользуют
-  `deploy_prod_*`. ✅
-- §2.5 Артефакт `16-post-deploy-log.md` с машиночитаемым frontmatter,
-  best-effort. ✅
-- §2.6 Блок `post_deploy` в `GET /queue`. ✅
-- §2.7/§2.8/§3 Инварианты: `STAGE_TRANSITIONS`, `QG_CHECKS`,
-  `check_deploy_status`, terminal-sync, merge-gate, exit-code-контракт хука,
-  схема БД — не тронуты (подтверждено зелёным полным прогоном). ✅
-
-## Соответствие ADR
-Реализация 1:1 повторяет ADR-001: механизм (reserved-agent, не стадия/не daemon),
-точки интеграции, пороги BR-3, политика реакции BR-5 (self never auto-rollback —
-структурный инвариант в `decide_action` + отсутствие вызова `run_rollback` на
-ALERT_ONLY). Нарушений глобальных ADR не выявлено.
-
-## Качество кода
-- Контракт never-raise выдержан во всех публичных функциях и в каждой ветке
-  `run_post_deploy_monitor`; launcher оборачивает тик в доп. guard (AC-16).
-- `classify` fail-safe → HEALTHY на мусорном входе (ложный DEGRADED опаснее).
-- Docstrings содержательные, со ссылками на AC/BR.
-- Условность раската по образцу ORCH-35/36/43/58 (флаг + CSV-репо).
-
-## Тесты
-30 тестов ORCH-021 (`tests/test_post_deploy.py`,
-`tests/test_post_deploy_integration.py`) — содержательные, покрывают
-классификацию (AC-3..6), self-hosting safety (TC-19 явно проверяет, что хук
-`--rollback` НЕ вызывается для self — AC-8), idempotency двойного арма (AC-15),
-kill-switch/условность (AC-2/10/11), exit-code маппинг (AC-9), frontmatter
-артефакта (AC-13), never-raise (AC-16), `/queue` (AC-14). Полный прогон
-`pytest tests/` — **701 passed** (регрессов нет, AC-12).
-
-## Findings
-
-### P0 — Blocker
-- нет
-
-### P1 — Must fix
-- нет
-
-### P2 — Should fix
-- нет
-
-### P3 — Nice to have
-- [ ] `run_post_deploy_monitor`: в ветке `ALERT_ONLY` для **не-self** репо при
-  `post_deploy_auto_rollback=false` текст алерта упоминает «авто-rollback для
-  self-hosting запрещён (BR-5)», что для не-self случая формулировка не совсем
-  точна (косметика сообщения; на поведение не влияет).
-- [ ] `write_post_deploy_log` коммитит/пушит артефакт в ветку задачи, которая к
-  моменту наблюдения уже слита/может быть удалена — артефакт может не попасть в
-  `main`. Контракт best-effort соблюдён (never-raise, ничего не роняет); как
-  улучшение наблюдаемости — рассмотреть запись лог-артефакта отдельным путём.
-
-## Документация
-Обновлено в том же PR (golden-source, AC-18 — PASS):
-- `CLAUDE.md` — `16-post-deploy-log.md` добавлен в перечень артефактов;
-- `docs/architecture/README.md` — раздел «Post-deploy наблюдение прода» + блок
-  `post_deploy` в таблице API `/queue`;
-- `docs/architecture/adr/adr-0010-post-deploy-monitor.md` — новый сквозной ADR;
-- `docs/work-items/ORCH-021/06-adr/ADR-001-post-deploy-monitor.md` — детальный ADR;
-- `CHANGELOG.md` — запись в `Added` (+ fix Dockerfile `COPY data/`);
-- `README.md` / `.env.example` — все `ORCH_POST_DEPLOY_*` env задокументированы.
-
-Изменение `src/` сопровождено обновлением документации — правило CLAUDE.md №2/№6
-выполнено.
-
-## Вердикт
-Только P3 (nice-to-have) findings, блокеров и must-fix нет → **APPROVED**.

docs/work-items/ORCH-021/13-test-report.md

@@ -1,82 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-021
-result: PASS
----
-
-# Test Report — ORCH-021
-
-Post-deploy наблюдение прода + реакция на деградацию (reserved-agent job
-`post-deploy-monitor`, leaf-модуль `src/post_deploy.py`).
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3 (asyncio mode=AUTO, anyio 4.13.0)
-- Ветка: feature/ORCH-021-post-deploy-rollback
-- Дата: 2026-06-07
-
-## Прогон
-- `pytest tests/ -v --tb=short` → **701 passed, 1 warning** (Pydantic V2 deprecation, не относится к задаче).
-- Целевые модули `tests/test_post_deploy.py` + `tests/test_post_deploy_integration.py` → **30 passed**.
-
-## Smoke-test (read-only, прод 8500)
-`curl` в окружении недоступен — опрос через `python urllib` (read-only, прод-контейнер не трогается).
-
-| Эндпоинт | Результат |
-|----------|-----------|
-| `GET /health` | 200 `{"status":"ok","service":"orchestrator"}` |
-| `GET /status` | 200, активная задача ORCH-021 на стадии `testing` |
-| `GET /queue` | 200, counts/resilience/reconcile присутствуют |
-
-> Примечание: блок `post_deploy` в **живом** `/queue` отсутствует — это ожидаемо: прод
-> сейчас работает на коде ДО ORCH-021 (задача ещё не задеплоена, стадия testing).
-> Наличие блока (AC-14) проверяется интеграционным тестом TC-20 против кода ветки → PASS.
-> Smoke-проверка подтверждает живость окружения, не версию ветки.
-
-## Результаты по тест-плану (04-test-plan.yaml)
-
-| TC ID | Описание | Покрывает AC | Тест-функция | Результат |
-|-------|----------|--------------|--------------|-----------|
-| TC-01 | HEALTHY: серия без провалов < порога | AC-3 | test_tc01_healthy_no_failures | PASS |
-| TC-02 | DEGRADED: N посл. провалов health == threshold | AC-4 | test_tc02_degraded_consecutive_health_failures | PASS |
-| TC-03 | DEGRADED по 5xx при health=200 | AC-5 | test_tc03_degraded_by_5xx_ratio_even_when_health_200 | PASS |
-| TC-04 | Нет ложного срабатывания: одиночный глюк + восстановление | AC-6 | test_tc04_no_false_trip_single_glitch_then_recovery | PASS |
-| TC-05 | Пороги из Settings меняют вердикт на тех же данных | AC-11 | test_tc05_thresholds_change_verdict_on_same_data, test_classify_uses_settings_thresholds | PASS |
-| TC-06 | не-self + auto_rollback=True + DEGRADED → ROLLBACK | AC-7 | test_tc06_nonself_auto_rollback_degraded_rolls_back | PASS |
-| TC-07 | self-hosting + DEGRADED → ALERT_ONLY (никогда не авто-rollback) | AC-8 | test_tc07_self_hosting_degraded_never_rolls_back | PASS |
-| TC-08 | HEALTHY → NONE для любого репо | AC-3 | test_tc08_healthy_means_none_for_any_repo, test_nonself_default_policy_alert_only | PASS |
-| TC-09 | post_deploy_applies: пусто → только orchestrator | AC-2 | test_tc09_applies_empty_repos_only_self_hosting, test_tc09_applies_explicit_repos_csv | PASS |
-| TC-10 | kill-switch: monitor_enabled=False → applies()=False для всех | AC-10 | test_tc10_kill_switch_disables_for_everyone | PASS |
-| TC-11 | Откат exit 0 → ROLLBACK_OK | AC-7 | test_tc11_rollback_exit0_is_ok | PASS |
-| TC-12 | Откат exit 1/2 → ROLLBACK_FAILED + эскалация | AC-9 | test_tc12_rollback_exit_nonzero_is_failed | PASS |
-| TC-13 | 16-post-deploy-log.md: валидный YAML-frontmatter | AC-13 | test_tc13_log_frontmatter_parses | PASS |
-| TC-14 | Опрос при сетевой ошибке → консервативный, не raise | AC-16 | test_tc14_probe_network_error_is_conservative_not_raise, test_tc14_classify_junk_input_swallowed | PASS |
-| TC-15 | Ошибка записи артефакта → False, не raise | AC-16, AC-13 | test_tc15_write_log_no_worktree_returns_false | PASS |
-| TC-16 | advance_stage deploy→done армит наблюдение (self), не армит (non-self) | AC-1, AC-2 | test_tc16_arm_for_self_hosting, test_tc16_no_arm_for_nonself, test_tc16_no_arm_when_kill_switch_off | PASS |
-| TC-17 | Идемпотентность: повторный арм не задваивает | AC-15 | test_tc17_double_arm_is_noop | PASS |
-| TC-18 | Полный цикл DEGRADED → не-self откат + лог + уведомление | AC-7, AC-13, AC-17 | test_tc18_degraded_nonself_rolls_back | PASS |
-| TC-19 | Self-hosting DEGRADED → НЕ рестарт/откат, алерт+approve | AC-8, AC-17 | test_tc19_degraded_self_hosting_alert_only | PASS |
-| TC-20 | GET /queue содержит блок post_deploy | AC-14 | test_tc20_queue_block_present | PASS |
-| TC-21 | Регресс: deploy/staging/merge-gate/reconciler зелёные; STAGE_TRANSITIONS/QG_CHECKS не изменены | AC-12 | tests/test_stages.py (+ полный прогон 701) | PASS |
-
-Доп. тесты ветки (не из плана, подтверждают контракты): `test_series_append_and_read_roundtrip`,
-`test_mark_done_idempotency_marker`, `test_healthy_tick_requeues_without_finishing`,
-`test_finished_window_tick_is_noop` — все PASS.
-
-## Покрытие критериев приёмки
-AC-1…AC-18 — все покрыты прошедшими тестами (см. таблицу). AC-12 (реестры/схема БД
-не изменены) дополнительно подтверждён зелёным полным регрессом 701 теста, включая
-deploy/staging/merge-gate/reconciler. AC-18 (документация) — вне scope прогона тестов,
-подтверждён ревью (12-review.md, verdict APPROVED).
-
-## Вывод pytest (хвост)
-```
-======================= 701 passed, 1 warning in 12.71s ========================
-```
-```
-======================== 30 passed, 1 warning in 0.58s =========================
-```
-
-## Итог
-**PASS.** Все 21 тест-кейс плана зелёные, полный регресс (701) зелёный, smoke прод-эндпоинтов
-OK (окружение живо). Существующие контракты не сломаны. Задача готова к стадии deploy-staging.

docs/work-items/ORCH-021/15-staging-log.md

@@ -1,42 +0,0 @@
----
-staging_status: SUCCESS
-timestamp: 2026-06-07T14:37:33Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-Staging test suite completed. Verdict: **SUCCESS** (exit 0).
-
-Run canonically inside the `orchestrator-staging` container (ORCH-048, ADR-001)
-via the Docker Engine API over the mounted socket (`docker` CLI is not installed
-in the prod-agent container; `network_mode: host` + group `999` allow direct
-socket access):
-
-```
-python3 /repos/orchestrator/scripts/staging_check.py \
-  --base-url http://localhost:8501 --mode stub
-```
-
-## Result
-
-```
-RESULT: 8/10 checks PASS
-REAL failed         : none
-SANDBOX_INFRA failed: ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue']
-tolerance: staging_infra_tolerance_enabled=True
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
-```
-
-- **Block A (SMOKE):** A1 `/health` 200 ok, A2 `/queue` 200, A3 `ORCH_STAGING=true` — all PASS.
-- **Block B (ACCESS):** B4 Plane sandbox, B5 Gitea `orchestrator-sandbox` (push=true),
-  B6 registry isolation (sandbox present, prod ET/ORCH absent) — all PASS.
-- **Block C (E2E, stub):** C7 create issue in SANDBOX, C8 trigger pipeline via
-  `/webhook/plane` — PASS. C9a/C9b FAILED but are sandbox-infra checks (bot accounts
-  not members of the SANDBOX Plane project) — **waived** per ORCH-061; not a pipeline
-  regression. Cleanup deleted the test Plane issue (HTTP 204).
-
-All REAL pipeline checks are green; the only failures are the two known
-sandbox-infra checks, which the verdict tolerates (`staging_infra_tolerance_enabled=true`).
-The script exited 0 → advance.

docs/work-items/ORCH-036/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: ORCH-36: Исполняемый самодеплой — стадия deploy дёргает хост-хук (Вариант B)
-
-Work Item ID: ORCH-036
-
-## Description
-
-TBD

docs/work-items/ORCH-036/01-brd.md

@@ -1,109 +0,0 @@
-# BRD — ORCH-36: Исполняемый самодеплой (стадия deploy дёргает хост-хук, Вариант B)
-
-Work Item: ORCH-036
-Stage: analysis
-Автор: analyst
-Дата: 2026-06-06
-
-## 1. Контекст и проблема
-
-Стадия `deploy` конвейера сейчас **«бумажная»**. На ней deployer-агент (LLM) только
-пишет `docs/work-items/<wi>/14-deploy-log.md` с `deploy_status: SUCCESS|FAILED`, а QG
-`check_deploy_status` (`src/qg/checks.py:464`) парсит этот вердикт и пускает `deploy → done`.
-**Реального docker-деплоя нет** — продакшен орка катается руками (Стрим).
-
-Хост-хук `scripts/orchestrator-deploy-hook.sh` **уже существует** (ORCH-34) и умеет:
-захват PREV_IMG → `git pull` → рестарт сервиса → health-check (10×6с = 60с) →
-авто-rollback при провале health, с корректным exit-code. Дефолты — STAGING-безопасные;
-прод включается через override env (`TARGET_SERVICE`, `TARGET_PORT`, `TARGET_IMAGE`,
-`COMPOSE_PROFILE`).
-
-**Главная мина (self-hosting):** прод-контейнер `orchestrator` (8500) — ОДИН на все
-проекты, и в нём же бежит сам deployer-агент. Deployer не может синхронно рестартить
-контейнер, в котором живёт (`docker compose up -d orchestrator` убьёт его процесс на
-середине). Реальный рестарт self-репо обязан делать ВНЕШНИЙ хост-хук (вне контейнера),
-который срабатывает ПОСЛЕ выхода агента. Рубильник — снаружи; орк только ИНИЦИИРУЕТ.
-
-## 2. Цель
-
-Превратить стадию `deploy` в РЕАЛЬНЫЙ самодеплой: после зелёного `deploy-staging`-гейта
-конвейер вызывает хост-хук с прод-параметрами, хук промоутит образ в прод (8500) с
-health-чеком и авто-rollback. Результат хука (exit-code) маппится в `deploy_status`.
-**На старте — с ОБЯЗАТЕЛЬНЫМ ручным approve** (`DEPLOY_REQUIRE_MANUAL_APPROVE=true`):
-прод не трогается без явного «go» Владельца.
-
-## 3. Ценность для бизнеса
-
-- Уходит последний ручной шаг конвейера (прод-деплой Стрим) → шаг к автономному внедрению (эпик ORCH-54).
-- `deploy_status: SUCCESS` становится **доказанным** (реальный health-ok), а не декларацией LLM.
-- Гарантия build-once: «что протестировали на staging — то и в проде» (тот же образ, без пересборки).
-- Прод никогда не остаётся в нерабочем состоянии: авто-rollback + health-таймаут.
-
-## 4. Заинтересованные стороны
-
-| Роль | Интерес |
-|------|---------|
-| Владелец (Слава/Стрим) | Контроль через ручной approve; уведомления о каждом промоуте/откате |
-| Проект enduro-trails | Прод-орк не должен падать (общий инстанс) — групповой риск |
-| Конвейер ORCH | Стадия `deploy` исполняемая, гейты не сломаны |
-
-## 5. Объём (scope)
-
-### В объёме
-1. Исполнение реального прод-деплоя из стадии `deploy` через хост-хук (ssh / detached на хосте).
-2. Обязательный ручной approve-гейт ПОСЛЕ зелёного staging и ДО прод-рестарта (флаг включён).
-3. Маппинг exit-code хука → `deploy_status: SUCCESS|FAILED` (реальный, не бумажный).
-4. Уведомления (Plane-коммент + Telegram) на каждый промоут и откат.
-5. Build-once: перетегирование образа, прошедшего staging, без пересборки.
-6. Обновление `deployer.md` и `INFRA.md` (документация = golden source).
-7. Для НЕ-self репо (enduro-trails и др.) — деплой по ssh на их хост (поведение не ломается).
-
-### Вне объёма (явно)
-- **Включение полного авто** (`DEPLOY_REQUIRE_MANUAL_APPROVE: true → false`) — отдельная задача,
-  ТОЛЬКО после набора метрик доверия (см. §7). В этой задаче флаг НЕ выключается.
-- Изменение `docker-compose.yml` без явной необходимости.
-- Изменение стадий `STAGE_TRANSITIONS`, реестра QG, terminal-sync `deploy → done`.
-- Прод-деплой в реальный бой во время разработки задачи (отладка — только на staging-цели хука).
-
-## 6. Бизнес-требования
-
-- **BR-1.** После зелёного `deploy-staging`-гейта стадия `deploy` РЕАЛЬНО собирает/перетегирует
-  образ, рестартит целевой сервис и проверяет health — не пишет бумажный SUCCESS.
-- **BR-2.** Для self-репо `orchestrator` рестарт 8500 выполняется ВНЕШНИМ (detached/host)
-  процессом; deployer-агент НЕ убивает контейнер, в котором работает.
-- **BR-3.** `deploy_status: SUCCESS` пишется ТОЛЬКО при health-ok хука; провал/health-fail →
-  `deploy_status: FAILED` → откат на `development` (как ORCH-35 staging-rollback, БАГ-8).
-- **BR-4.** Ручной approve обязателен (флаг `true`): без явного «go» прод НЕ трогается.
-- **BR-5.** Каждый промоут и откат уведомляет Владельца: Plane-коммент в задачу + Telegram.
-  «Молчаливых» деплоев нет.
-- **BR-6.** Build-once: в прод идёт тот образ, что прошёл staging-гейт (перетег, не пересборка).
-- **BR-7.** Staging-гейт (`check_staging_status`) остаётся обязательным предусловием прод-деплоя.
-- **BR-8.** Прод никогда не остаётся в нерабочем состоянии — авто-rollback при провале health.
-- **BR-9.** Существующие гейты и инварианты не ломаются: `check_deploy_status`,
-  `_parse_deploy_status`, rollback `deploy → development` (БАГ-8), terminal-sync `deploy → done`,
-  merge-gate (ORCH-43).
-- **BR-10.** Документация (`deployer.md`, `INFRA.md`, `CHANGELOG.md`) обновлена в том же PR.
-
-## 7. Критерии готовности к включению ПОЛНОГО авто (вне этой задачи)
-
-Переключать `DEPLOY_REQUIRE_MANUAL_APPROVE: true → false` можно ТОЛЬКО когда закрыты ВСЕ 5:
-1. ≥10 успешных промоутов подряд (staging зелёный → approve → прод поднялся, откат не нужен).
-2. Zero false-negative: staging-гейт ни разу не пропустил битый деплой как «зелёный».
-3. Авто-rollback проверен в бою (≥2–3 реальных срабатывания), recovery 100%, MTTR < 60с.
-4. Ни одного «молчаливого» деплоя (каждый промоут/откат уведомил Владельца).
-5. Период наблюдения ≥10 деплоев ИЛИ ≥2 недели без инцидентов в режиме manual-approve.
-
-## 8. Риски
-
-| Риск | Влияние | Митигация |
-|------|---------|-----------|
-| Падение прод-орка 8500 при self-деплое | Встаёт конвейер ВСЕХ проектов | Detached host-хук + health + авто-rollback; отладка на staging-цели |
-| Deployer рестартит сам себя синхронно | Процесс агента убит на середине | BR-2: рестарт только внешним detached-процессом |
-| Преждевременный `deploy_status: SUCCESS` (хук ещё не закончил) | Задача уходит в done при незавершённом деплое | Гейт читает РЕАЛЬНЫЙ исход хука (механизм — на дизайне) |
-| Деплой без approve | Неконтролируемый прод-деплой | BR-4: approve-гейт блокирует до «go» |
-| Пересборка вместо перетега | В прод уезжает не то, что тестировали | BR-6: build-once, `--no-build` + retag |
-
-## 9. Связанные задачи
-ORCH-7 (self-hosting), ORCH-21 (auto-rollback), ORCH-34 (хук готов), ORCH-35 (staging-гейт),
-ORCH-43 (merge-gate в проде), ORCH-54 (эпик автономного внедрения).
-Дизайн-референс: `tasks/orchestrator/DESIGN_STAGING_ENV.md §4/§7`.

docs/work-items/ORCH-036/02-trz.md

@@ -1,136 +0,0 @@
-# ТЗ — ORCH-36: Исполняемый самодеплой (стадия deploy дёргает хост-хук, Вариант B)
-
-Work Item: ORCH-036
-Stage: analysis
-Автор: analyst
-Дата: 2026-06-06
-
-> Документ фиксирует ТРЕБОВАНИЯ к изменениям (что и где). Конкретный механизм
-> (ssh vs docker.sock vs detached nohup/systemd-run; механизм approve) выбирает
-> архитектор в ADR (`06-adr/`). ТЗ задаёт границы и контракты, не реализацию.
-
-## 1. Текущее устройство (as-is, разведано в коде)
-
-- **Стадии** (`src/stages.py`): `… testing → deploy-staging → deploy → done`.
-  - `deploy-staging`: `agent=deployer`, `qg=check_staging_status` (запускается deployer при
-    выходе из `deploy-staging`, входе в `deploy`).
-  - `deploy`: `agent=None`, `qg=check_deploy_status` (агент НЕ запускается при выходе из `deploy`).
-  - **Вывод:** реальную работу стадии `deploy` делает deployer-агент, запущенный на переходе
-    `deploy-staging → deploy`. Он пишет `14-deploy-log.md`. Когда он завершается, `advance_stage`
-    с `current_stage=deploy` прогоняет `check_deploy_status` и двигает `deploy → done`.
-- **QG** (`src/qg/checks.py`):
-  - `check_deploy_status:464` → `_parse_deploy_status:406` читает ТОЛЬКО `deploy_status:` из
-    YAML-frontmatter `14-deploy-log.md` (worktree → origin/main fallback → not found).
-  - `check_staging_status:580` — условный (реален только для self-hosting `orchestrator`).
-  - `is_self_hosting_repo()` (`:511`) — детектор self-репо.
-- **Откаты/диспетчеризация** (`src/stage_engine.py`):
-  - `_handle_qg_failure_rollbacks:585` — ветка `deployer` + `check_deploy_status` FAILED →
-    откат `deploy → development`, `set_issue_blocked`, release merge-lease, Plane+Telegram.
-  - Terminal-sync `deploy → done` (`:281`) → `set_issue_done`, release merge-lease.
-  - merge-gate (ORCH-43) на ребре `deploy-staging → deploy` — НЕ трогать.
-- **Launcher** (`src/agents/launcher.py`):
-  - deployer-агент конфиг: `.task-deploy.md` / `.openclaw/agents/deployer.md` (`:180`).
-  - Пост-обработка: commit+push артефактов в worktree (`:506-558`).
-  - `exit_code != 0 && agent == deployer` → откат `deploy → development` (`:560-581`).
-- **Хост-хук** (`scripts/orchestrator-deploy-hook.sh`, ORCH-34) — ГОТОВ: `--deploy`/`--rollback`,
-  параметризован env, дефолты STAGING; health 10×6с; авто-rollback; exit 0/1/2.
-- **Agent (deployer.md)**: на стадии `deploy` сейчас пишет «бумажный» вердикт; в промпте маркер
-  «Real docker/SSH deploys are handled by scripts/orchestrator-deploy-hook.sh (ORCH-36)».
-- **Топология** (`docs/operations/INFRA.md`): prod=8500 (`.env`), staging=8501 (`.env.staging`,
-  profile staging). Контейнер под uid 1000, доступ к docker.sock через gid 999.
-
-## 2. Изменения по модулям (to-be)
-
-### 2.1 `scripts/orchestrator-deploy-hook.sh` (донастройка прод-режима)
-- Хук уже параметризован; требуется обеспечить **корректный прод-профиль вызова**:
-  `TARGET_SERVICE=orchestrator`, `TARGET_PORT=8500`, `TARGET_IMAGE=orchestrator-orchestrator`,
-  `COMPOSE_PROFILE` (для прод-сервиса — пустой/дефолтный, т.к. prod стартует без profile).
-- **Build-once (BR-6):** деплой должен использовать образ, прошедший staging (перетег
-  staging-образа → прод-тег + `docker compose up -d --no-build`), а НЕ пересобирать. Если
-  текущий хук всегда `--no-build` и тянет `git pull` — уточнить в ADR, как гарантируется
-  идентичность артефакта staging↔prod (retag staging image, либо общий build-once шаг).
-- `PREV_IMAGE_FILE` для прод — отдельный путь (например `.deploy-prev-image` без `-staging`),
-  чтобы не путать снапшоты prod/staging.
-- Поведение `--rollback`, health-loop, exit-code (0=ok, 1=rolled back, 2=rollback тоже упал) —
-  НЕ менять контракт.
-
-### 2.2 Approve-гейт (новое; место — на дизайне)
-- Ввести флаг конфигурации `DEPLOY_REQUIRE_MANUAL_APPROVE` (bool, дефолт `true`).
-- При `true`: перед вызовом прод-хука (после зелёного `deploy-staging`) конвейер ОСТАНАВЛИВАЕТСЯ
-  и ждёт явного «go» Владельца. Без «go» прод-хук НЕ вызывается.
-- Механизм approve (выбрать ОДИН в ADR): Plane-коммент-триггер (по образцу `:approved:`
-  в `check_analysis_approved`) / Telegram-кнопка / signal-файл. Требование к механизму:
-  рестарт-safe (переживает перезапуск инстанса), идемпотентный, аудируемый.
-- При `false` (вне этой задачи): approve-шаг пропускается — НЕ реализовывать выключение здесь,
-  только заложить ветку по флагу.
-
-### 2.3 Триггер реального деплоя из стадии `deploy`
-- На стадии `deploy` (для self-репо `orchestrator`) вместо/в дополнение к записи вердикта
-  агентом — ИНИЦИИРОВАТЬ внешний detached-процесс (host-хук), который выполнит
-  build-once+restart+health ПОСЛЕ выхода агента (BR-2: агент не рестартит сам себя).
-- Маршрут вызова (на дизайне): ssh на хост (`DEPLOY_SSH_USER`/`DEPLOY_HOOK_SCRIPT`) ИЛИ
-  detached через docker.sock/nohup/systemd-run. Требование: процесс хука переживает выход
-  агента и завершение его сессии.
-- Для **не-self** репо (enduro-trails): деплой по ssh на их хост (как раньше) — поведение не ломать.
-
-### 2.4 Маппинг результата хука → `deploy_status`
-- `deploy_status: SUCCESS` пишется в `14-deploy-log.md` ТОЛЬКО при exit-code хука = 0 (health-ok).
-- exit-code ≠ 0 (1 = rolled back; 2 = rollback тоже упал) → `deploy_status: FAILED`.
-- **Контракт `_parse_deploy_status` НЕ меняется** (читает `deploy_status: SUCCESS|FAILED` из
-  frontmatter). Меняется только КТО и КОГДА пишет этот вердикт — на основе реального исхода.
-- **Гонка чтения гейта:** т.к. self-рестарт асинхронный (detached), гейт `check_deploy_status`
-  не должен прочитать вердикт ДО завершения хука. Механизм синхронизации (post-factum запись
-  лога/мердж в main / отложенный гейт) — спроектировать в ADR так, чтобы гейт читал РЕАЛЬНЫЙ
-  итог. Контракт чтения из worktree→origin/main (`_deploy_log_from_main`) можно переиспользовать.
-
-### 2.5 Уведомления (BR-5)
-- На промоут (старт прод-деплоя + успех) и на откат → `plane_add_comment(work_item_id, …)` +
-  `send_telegram(…)`. Переиспользовать существующие хелперы (`src/notifications.py`,
-  `src/plane_sync.py`). Никаких «молчаливых» деплоев.
-
-### 2.6 Конфигурация (`src/config.py` / `.env.example` / `.env.staging.example`)
-- Новый: `deploy_require_manual_approve: bool = True` (env `ORCH_DEPLOY_REQUIRE_MANUAL_APPROVE`).
-- Прод-параметры хука: `DEPLOY_SSH_USER`, `DEPLOY_SSH_HOST`, `DEPLOY_HOOK_SCRIPT` (уже есть в
-  INFRA-карте) + прод-override `TARGET_SERVICE/PORT/IMAGE`. Прописать дескрипторы в `.env.example`
-  (значения — только на хосте, не коммитить).
-- Условность по репо: реальный прод-деплой — только для self-hosting (`is_self_hosting_repo`),
-  как ORCH-35; прочие репо идут прежним ssh-путём.
-
-### 2.7 Документация (BR-10, golden source)
-- `.openclaw/agents/deployer.md` — раздел «Stage: deploy»: переписать с «бумажного SUCCESS» на
-  «стадия ВЫЗЫВАЕТ хук»; зафиксировать запрет синхронного рестарта 8500 и detached-путь self.
-- `docs/operations/INFRA.md` — процедура прод-деплоя орка через хук + approve.
-- `docs/operations/DEPLOY_HOOK.md` — обновить, если затронут контракт хука.
-- `CHANGELOG.md` — запись о включении исполняемого деплоя (manual-approve).
-- ADR в `docs/work-items/ORCH-036/06-adr/ADR-NNN-*.md` (создаёт архитектор).
-
-## 3. API
-- Изменений публичного HTTP API (`/health`, `/status`, `/queue`, `/webhook/*`) **не требуется**.
-- Если approve реализуется через Plane-коммент — переиспользуется существующий webhook-путь
-  (`POST /webhook/plane`), новый endpoint не вводится. Если через signal-файл/Telegram —
-  внешний по отношению к HTTP API механизм. Решение — ADR.
-
-## 4. Схема БД
-- Изменения схемы **не требуются** для базового сценария (вердикт — в `14-deploy-log.md`;
-  approve-состояние желательно хранить рестарт-safe — допустимо через jobs/task_content или
-  signal-файл, без новой таблицы). Если архитектор сочтёт нужным поле статуса approve —
-  обосновать в ADR; по умолчанию — без миграции.
-
-## 5. Требования к Quality Gates
-- `check_deploy_status` и `_parse_deploy_status` — контракт чтения НЕ менять (frontmatter only).
-- Откат `deploy → development` при `deploy_status: FAILED` (`stage_engine` БАГ-8) — сохранить.
-- Terminal-sync `deploy → done` и release merge-lease — сохранить.
-- merge-gate (`check_branch_mergeable`) на ребре `deploy-staging → deploy` — не затрагивать.
-- `check_staging_status` остаётся обязательным предусловием (BR-7).
-
-## 6. Артефакты pipeline
-- Создаётся/обновляется: `docs/work-items/ORCH-036/14-deploy-log.md` (с РЕАЛЬНЫМ `deploy_status`).
-- Обновляются по pipeline: `06-adr/ADR-NNN-*.md`, `12-review.md`, `13-test-report.md`,
-  `15-staging-log.md` (последующими агентами).
-
-## 7. Нефункциональные требования
-- **Безопасность self-deploy:** рестарт 8500 — только внешним рубильником; орк не может
-  необратимо убить себя.
-- **Идемпотентность** хука и approve-механизма; **рестарт-safe** approve-состояние.
-- **MTTR < 60с** при авто-rollback (health-loop хука 10×6с уже укладывается).
-- **Отладка только на staging-цели** хука; реальный прод — лишь после approve.

docs/work-items/ORCH-036/03-acceptance-criteria.md

@@ -1,97 +0,0 @@
-# Критерии приёмки — ORCH-36: Исполняемый самодеплой (Вариант B)
-
-Work Item: ORCH-036
-Stage: analysis
-Автор: analyst
-Дата: 2026-06-06
-
-Формат: каждый критерий — проверяемое условие PASS/FAIL. Отладка и проверки
-выполняются на **staging-цели хука** (8501); реальный прод (8500) — только после approve.
-
----
-
-## AC-1. Стадия deploy исполняет реальный деплой (не бумажный)
-- **PASS:** на стадии `deploy` (после зелёного `deploy-staging`) вызывается хост-хук,
-  который реально перетегирует образ, рестартит целевой сервис и выполняет health-check;
-  `deploy_status` отражает РЕАЛЬНЫЙ исход хука.
-- **FAIL:** `deploy_status: SUCCESS` пишется без фактического рестарта/health (бумажный лог).
-- **Проверка:** прогон на staging-цели хука; в логе хука видны retag + `up -d` + health-loop;
-  exit-code хука соответствует записанному `deploy_status`.
-
-## AC-2. Self-репо: рестарт 8500 — внешним detached-процессом, агент себя не убивает
-- **PASS:** для `orchestrator` рестарт 8500 выполняет процесс ВНЕ контейнера агента; deployer-агент
-  завершается штатно (exit 0), его процесс не убит рестартом контейнера.
-- **FAIL:** deployer синхронно делает `docker compose up -d orchestrator` из контейнера и/или
-  агент падает/обрывается на середине из-за рестарта собственного контейнера.
-- **Проверка:** симуляция на staging-цели; убедиться, что detached-процесс переживает выход агента.
-
-## AC-3. deploy_status маппится из exit-code хука
-- **PASS:** exit-code хука 0 → `deploy_status: SUCCESS`; exit-code ≠ 0 (1/2) → `deploy_status: FAILED`.
-- **FAIL:** любой иной маппинг (например SUCCESS при exit 1).
-- **Проверка:** unit-тест маппинга exit-code → вердикт; интеграционный прогон с искусственным
-  кодом возврата хука.
-
-## AC-4. Провал деплоя → откат на development
-- **PASS:** при `deploy_status: FAILED` задача откатывается `deploy → development`
-  (`set_issue_blocked`, Plane+Telegram), как в существующей ветке БАГ-8.
-- **FAIL:** при FAILED задача уходит в `done` или зависает.
-- **Проверка:** существующий контракт `stage_engine._handle_qg_failure_rollbacks` для
-  `deployer`+`check_deploy_status` сохранён и срабатывает.
-
-## AC-5. Ручной approve обязателен и реально тормозит прод
-- **PASS:** при `DEPLOY_REQUIRE_MANUAL_APPROVE=true` прод-хук НЕ вызывается до явного «go»;
-  после «go» — вызывается.
-- **FAIL:** прод-хук дёргается без approve.
-- **Проверка:** прогон без «go» — целевой сервис НЕ перезапущен (нет записи рестарта в логе хука,
-  не сменился uptime/контейнер); прогон с «go» — рестарт состоялся.
-
-## AC-6. Уведомления о каждом промоуте и откате
-- **PASS:** на старт/успех прод-деплоя и на откат приходят и Plane-коммент в задачу, и Telegram.
-- **FAIL:** хотя бы один промоут/откат прошёл «молчаливо».
-- **Проверка:** в Plane-задаче и в Telegram-чате присутствуют сообщения для каждого исхода.
-
-## AC-7. Build-once: в прод идёт образ, прошедший staging
-- **PASS:** прод-деплой использует тот же образ, что прошёл staging-гейт (retag + `--no-build`),
-  без пересборки.
-- **FAIL:** прод-деплой пересобирает образ заново (артефакт может отличаться от протестированного).
-- **Проверка:** sha/тег образа прод == образ, валидированный на staging; в логе нет `build`.
-
-## AC-8. Staging-гейт остаётся обязательным предусловием
-- **PASS:** прод-деплой недостижим без зелёного `check_staging_status` (`staging_status: SUCCESS`).
-- **FAIL:** прод-хук можно вызвать при FAILED/отсутствующем staging-вердикте.
-- **Проверка:** при `staging_status: FAILED` задача откатывается на development, до `deploy` не доходит.
-
-## AC-9. Авто-rollback восстанавливает прод (симуляция битого деплоя)
-- **PASS:** при симуляции битого деплоя на staging-цели health не проходит → хук авто-откатывает
-  на предыдущий образ → сервис снова healthy; exit-code = 1 (rolled back); MTTR < 60с.
-- **FAIL:** сервис остаётся нерабочим после провала деплоя.
-- **Проверка:** искусственно сломать health, прогнать хук, убедиться в восстановлении и exit 1.
-
-## AC-10. Существующие инварианты не сломаны
-- **PASS:** не изменены контракты `check_deploy_status` / `_parse_deploy_status`,
-  `STAGE_TRANSITIONS`, terminal-sync `deploy → done`, merge-gate (ORCH-43), rollback БАГ-8.
-- **FAIL:** любой из перечисленных контрактов изменён/сломан.
-- **Проверка:** существующие тесты deploy/staging/merge-gate зелёные; регресс-прогон `pytest tests/`.
-
-## AC-11. Условность по репо (не-self не ломается)
-- **PASS:** для не-self репо (enduro-trails) деплой идёт прежним ssh-путём; self-логика (detached,
-  approve, 8500) применяется только для `orchestrator`.
-- **FAIL:** не-self репо затронуты self-специфичной логикой и ломаются.
-- **Проверка:** `is_self_hosting_repo` корректно разводит пути; тест на не-self репо.
-
-## AC-12. Флаг полного авто НЕ выключен в этой задаче
-- **PASS:** `DEPLOY_REQUIRE_MANUAL_APPROVE` остаётся `true`; переключение в `false` не делается.
-- **FAIL:** флаг выставлен в `false` в рамках задачи.
-- **Проверка:** дефолт конфигурации = `true`; в коде/`.env.example` нет принудительного `false`.
-
-## AC-13. Документация обновлена (golden source)
-- **PASS:** обновлены `deployer.md` (стадия deploy = вызов хука), `INFRA.md` (процедура),
-  `CHANGELOG.md`; заведён ADR в `06-adr/`.
-- **FAIL:** функционал изменён, документация — нет (Reviewer обязан вернуть REQUEST_CHANGES).
-- **Проверка:** диффы документации присутствуют в том же PR.
-
----
-
-## Definition of Done
-Все AC-1…AC-13 в статусе PASS; `pytest tests/` зелёный; артефакты pipeline на месте;
-прод (8500) во время разработки НЕ тронут (вся проверка — на staging-цели хука).

docs/work-items/ORCH-036/04-test-plan.yaml

@@ -1,122 +0,0 @@
-work_item: ORCH-036
-title: "Исполняемый самодеплой — стадия deploy дёргает хост-хук (Вариант B)"
-stage: analysis
-notes: >
-  Все тесты — на изолированном уровне (unit/integration с моками subprocess/ssh
-  и хука). Реальный прод (8500) НЕ трогается. Интеграционные прогоны хука — на
-  staging-цели. Хост-хук (bash) проверяется отдельным интеграционным сценарием с
-  поддельным health/exit-code; в pytest вызов хука мокается.
-
-tests:
-  # --- exit-code -> deploy_status mapping (AC-1, AC-3) ---
-  - id: TC-01
-    type: unit
-    description: "Маппинг exit-code хука 0 -> deploy_status: SUCCESS"
-    module: tests/test_deploy_hook_mapping.py
-    expected: PASS
-  - id: TC-02
-    type: unit
-    description: "Маппинг exit-code хука 1 (rolled back) -> deploy_status: FAILED"
-    module: tests/test_deploy_hook_mapping.py
-    expected: PASS
-  - id: TC-03
-    type: unit
-    description: "Маппинг exit-code хука 2 (rollback тоже упал) -> deploy_status: FAILED"
-    module: tests/test_deploy_hook_mapping.py
-    expected: PASS
-
-  # --- approve gate (AC-5, AC-12) ---
-  - id: TC-04
-    type: unit
-    description: "DEPLOY_REQUIRE_MANUAL_APPROVE дефолт == true в settings"
-    module: tests/test_deploy_approve.py
-    expected: PASS
-  - id: TC-05
-    type: integration
-    description: "Флаг true и нет 'go' -> прод-хук НЕ вызывается (subprocess/ssh не дёрнут)"
-    module: tests/test_deploy_approve.py
-    expected: PASS
-  - id: TC-06
-    type: integration
-    description: "Флаг true и есть 'go' -> прод-хук вызывается ровно один раз"
-    module: tests/test_deploy_approve.py
-    expected: PASS
-
-  # --- self vs non-self routing (AC-2, AC-11) ---
-  - id: TC-07
-    type: unit
-    description: "is_self_hosting_repo('orchestrator') == True; иной репо -> False (не регрессировал)"
-    module: tests/test_deploy_routing.py
-    expected: PASS
-  - id: TC-08
-    type: integration
-    description: "self-репо orchestrator: рестарт инициируется detached/host-процессом, не синхронно из агента"
-    module: tests/test_deploy_routing.py
-    expected: PASS
-  - id: TC-09
-    type: integration
-    description: "не-self репо (enduro-trails): деплой идёт прежним ssh-путём, self-логика не применяется"
-    module: tests/test_deploy_routing.py
-    expected: PASS
-
-  # --- rollback on FAILED (AC-4) ---
-  - id: TC-10
-    type: integration
-    description: "deploy_status: FAILED -> откат deploy->development, set_issue_blocked, release merge-lease"
-    module: tests/test_deploy_rollback.py
-    expected: PASS
-
-  # --- staging precondition preserved (AC-8) ---
-  - id: TC-11
-    type: integration
-    description: "staging_status: FAILED -> до стадии deploy не доходит (откат на development)"
-    module: tests/test_staging_precondition.py
-    expected: PASS
-
-  # --- notifications (AC-6) ---
-  - id: TC-12
-    type: integration
-    description: "Успешный промоут -> и Plane-коммент, и Telegram отправлены"
-    module: tests/test_deploy_notifications.py
-    expected: PASS
-  - id: TC-13
-    type: integration
-    description: "Откат -> и Plane-коммент, и Telegram отправлены (нет молчаливого деплоя)"
-    module: tests/test_deploy_notifications.py
-    expected: PASS
-
-  # --- build-once (AC-7) ---
-  - id: TC-14
-    type: integration
-    description: "Прод-деплой использует образ staging (retag, без build) — нет шага docker build"
-    module: tests/test_deploy_build_once.py
-    expected: PASS
-
-  # --- regression: unchanged gate contracts (AC-10) ---
-  - id: TC-15
-    type: unit
-    description: "_parse_deploy_status: SUCCESS->(True), FAILED->(False), нет frontmatter->(False) — контракт цел"
-    module: tests/test_qg_checks.py
-    expected: PASS
-  - id: TC-16
-    type: unit
-    description: "STAGE_TRANSITIONS deploy->done и agent/qg deploy не изменены"
-    module: tests/test_stages.py
-    expected: PASS
-  - id: TC-17
-    type: integration
-    description: "terminal-sync deploy->done (set_issue_done + release merge-lease) сохранён"
-    module: tests/test_deploy_terminal_sync.py
-    expected: PASS
-  - id: TC-18
-    type: integration
-    description: "merge-gate на ребре deploy-staging->deploy не затронут (регресс ORCH-43 зелёный)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  # --- auto-rollback hook behavior (AC-9) ---
-  - id: TC-19
-    type: integration
-    description: "Симуляция битого деплоя на staging-цели: health fail -> авто-rollback -> healthy, exit 1, MTTR<60с"
-    module: tests/test_deploy_hook_rollback_sim.py
-    expected: PASS

docs/work-items/ORCH-036/06-adr/ADR-001-executable-self-deploy.md

@@ -1,184 +0,0 @@
-# ADR-001: Исполняемый самодеплой — стадия `deploy` дёргает хост-хук (Вариант B)
-
-Work Item: ORCH-036
-Stage: architecture
-Автор: architect
-Дата: 2026-06-06
-
-## Статус
-Accepted
-
-## Контекст
-
-Стадия `deploy` сейчас «бумажная»: deployer-агент (LLM) пишет в `14-deploy-log.md`
-`deploy_status: SUCCESS|FAILED`, а гейт `check_deploy_status` (`src/qg/checks.py:464`)
-парсит этот вердикт и двигает `deploy → done`. Реального docker-деплоя нет (прод
-катается руками). BRD ORCH-36 требует превратить стадию в РЕАЛЬНЫЙ самодеплой с
-обязательным ручным approve, build-once и авто-rollback (BR-1…BR-10).
-
-Три твёрдых ограничения, разведанных в коде, определяют дизайн:
-
-1. **Self-restart (BR-2).** Прод-контейнер `orchestrator` (8500) — ОДИН на все
-   проекты, и в нём же исполняется deployer. `docker compose up -d orchestrator`
-   из контейнера убьёт процесс агента/воркера на середине. Реальный рестарт обязан
-   делать ВНЕШНИЙ процесс на хосте, переживающий гибель контейнера.
-2. **Status-only verdict model.** Комментарии Plane НЕ управляют конвейером —
-   механизм `:approved:`/`:rejected:` был удалён (`src/webhooks/plane.py:544`,
-   bug-3 «echo self-hit»). Единственный человеческий гейт — **смена статуса Plane
-   на `Approved`** (`handle_verdict` → `_try_advance_stage` → `advance_stage`).
-3. **Гонка чтения гейта.** Так как реальный рестарт асинхронный и убивает контейнер,
-   `check_deploy_status` нельзя выполнять на выходе агента — вердикта ещё нет; его
-   преждевременное чтение → ложный FAILED → ложный откат.
-
-Контракты, которые НЕ меняются (BR-9, AC-10): `STAGE_TRANSITIONS`,
-`check_deploy_status` / `_parse_deploy_status` (frontmatter only), откат БАГ-8
-(`deploy → development`), terminal-sync `deploy → done`, merge-gate (ORCH-43),
-exit-code-контракт хука (0/1/2).
-
-## Решение
-
-Деплой стадии `deploy` для self-hosting (`orchestrator`) разбивается на **три фазы**,
-оркеструемые детерминированным кодом (без LLM в критическом пути self-restart). Для
-НЕ-self репо (enduro-trails и пр.) поведение НЕ меняется — прежний синхронный
-ssh-деплой агентом.
-
-### Условность по репо
-Вся новая логика гейтится `is_self_hosting_repo(repo)` (как ORCH-35). Не-self репо
-идут существующим путём: deployer-агент на стадии `deploy` делает ssh-деплой
-синхронно, пишет `14-deploy-log.md`, гейт срабатывает на выходе агента.
-
-### Фаза A — запрос approve (вход в `deploy`)
-В `advance_stage` на ребре `deploy-staging → deploy` (ПОСЛЕ зелёного
-`check_staging_status` и merge-gate ORCH-43), для self-hosting + `deploy_require_
-manual_approve=true`:
-- **НЕ** ставить в очередь прод-deployer (перехватить штатный
-  `enqueue_job(get_agent_for_stage("deploy-staging"))`);
-- выставить issue в approval-pending статус (паттерн `set_issue_in_review`),
-  написать Plane-коммент «approve для прод-деплоя» + Telegram (BR-5);
-- записать restart-safe маркер `approve-requested` (sentinel-файл, см. ниже).
-
-Задача остаётся на стадии `deploy` и ждёт человека. `STAGE_TRANSITIONS` не меняется.
-
-При `deploy_require_manual_approve=false` (вне объёма, флаг НЕ выключается в ORCH-36 —
-AC-12) Фаза A сразу переходит к Фазе B без человеческого гейта. Структурная ветка
-закладывается, но дефолт `true`.
-
-### Фаза B — инициация деплоя (смена статуса Plane → Approved)
-Человек ставит issue в `Approved`. `handle_verdict(approved=True)` →
-`_try_advance_stage` → `advance_stage(current_stage="deploy", finished_agent=None)`.
-Новая ветка-перехват в `advance_stage`:
-- условие: `current_stage=="deploy"` И `finished_agent is None` (человеческий путь)
-  И self-hosting И approve-флаг И маркер `initiated` ОТСУТСТВУЕТ;
-- действие: запустить **внешний detached host-процесс** (см. ниже) и поставить в
-  очередь детерминированный **finalizer-job** с задержкой; записать маркер
-  `initiated` (идемпотентность: повторный Approved не запускает деплой дважды);
-  Plane-коммент «прод-деплой стартовал» + Telegram (BR-5);
-- **вернуться БЕЗ advance** (НЕ запускать `check_deploy_status` — вердикта ещё нет).
-
-Дискриминатор `finished_agent` разводит Фазу B (человек, `None`) и Фазу C
-(finalizer, `"deployer"`), поэтому повторное использование `advance_stage` безопасно.
-
-### Фаза C — фиксация вердикта (детерминированный finalizer)
-Finalizer-job (claim'ится воркером уже в НОВОМ контейнере после рестарта):
-- читает sentinel `result` (exit-code хука, записан host-процессом);
-- если `result` ещё нет и бюджет попыток не исчерпан → **defer** (повторный
-  finalizer-job с `available_at_delay_s`, как merge-gate defer); бюджет считается
-  из `jobs` (`LIKE '%deploy-finalize%'`, restart-safe);
-- если `result` есть → **маппинг exit-code → deploy_status** (детерминированный,
-  unit-тестируемый): `0 → SUCCESS`, `1|2|иное → FAILED`; записать
-  `14-deploy-log.md` (frontmatter `deploy_status:`), смержить в `main` (паттерн
-  лога), затем вызвать `advance_stage(current_stage="deploy", finished_agent="deployer")`;
-- далее срабатывают СУЩЕСТВУЮЩИЕ контракты: `SUCCESS` → terminal-sync `deploy → done`
-  + release merge-lease; `FAILED` → откат БАГ-8 `deploy → development` +
-  `set_issue_blocked` + Plane/Telegram (BR-3, AC-4). `_parse_deploy_status` НЕ меняется.
-
-### Механизм detached-запуска: ssh + setsid
-Выбор: **ssh на хост (`slin@DEPLOY_SSH_HOST`) с setsid-detached исполнением** хука.
-Обоснование: ssh-ключи уже смонтированы (INFRA P-2), не-self репо уже деплоятся по
-ssh (единый путь), хук живёт на хосте и под `slin` имеет полный доступ к docker вне
-контейнера → переживает рестарт 8500 (BR-2). `setsid`/`nohup` + redirect отвязывает
-удалённый процесс от ssh-канала, чтобы он пережил гибель ssh-клиента при рестарте
-контейнера. Отвергнуто: вызов через docker.sock изнутри контейнера = ровно мина
-«убей себя на середине вызова».
-
-Эскиз (точная сборка — за разработчиком):
-```
-ssh -o StrictHostKeyChecking=no slin@$DEPLOY_SSH_HOST \
-  "setsid bash -c 'cd /home/slin/repos/orchestrator && \
-     SOURCE_IMAGE=orchestrator-orchestrator-staging \
-     TARGET_SERVICE=orchestrator TARGET_PORT=8500 \
-     TARGET_IMAGE=orchestrator-orchestrator COMPOSE_PROFILE= \
-     PREV_IMAGE_FILE=.deploy-prev-image-prod \
-     bash scripts/orchestrator-deploy-hook.sh --deploy; \
-     echo \$? > <result-sentinel>' >> <hook.log> 2>&1 </dev/null &"
-```
-ssh-команда возвращается сразу; remote-процесс detached. Запись sentinel `result`
-делает **обёртка** (`echo $? > result`), а НЕ хук — контракт хука нетронут.
-
-### Build-once (BR-6, AC-7)
-Прод обязан подняться на ОБРАЗЕ, прошедшем staging (а не на пересборке). Решение:
-расширить хук **опциональным** `SOURCE_IMAGE` (обратно совместимо: не задан →
-текущее поведение). При заданном `SOURCE_IMAGE` хук ПЕРЕД `up -d --no-build`
-делает `docker tag $SOURCE_IMAGE $TARGET_IMAGE`. Для прод-self:
-`SOURCE_IMAGE=orchestrator-orchestrator-staging` → `TARGET_IMAGE=orchestrator-orchestrator`.
-Это единственное допустимое изменение хука; exit-code-контракт и дефолтное
-staging-поведение не меняются. `git pull` хука обновляет рабочее дерево хоста для
-будущих сборок, но РАЗВЁРНУТЫЙ артефакт = перетегированный staging-образ.
-
-### Restart-safe состояние: sentinel-файлы (без миграции БД)
-По образцу merge-lease (`<repos_dir>/.merge-lease-<repo>.json`) состояние деплоя
-хранится в файлах под `<repos_dir>/.deploy-state-<repo>/<work_item_id>/` (вне git,
-видны и хосту, и контейнеру через mount `/home/slin/repos ↔ /repos`):
-- `approve-requested` — Фаза A выполнена;
-- `initiated` — Фаза B запущена (idempotency-guard);
-- `result` — exit-code хука (пишет host-обёртка).
-Бюджет finalize-defer считается из `jobs` (restart-safe), новых таблиц/колонок НЕТ
-(TRZ §4).
-
-## Последствия
-
-### Плюсы
-- `deploy_status: SUCCESS` становится ДОКАЗАННЫМ (реальный health-ok хука), не
-  декларацией LLM (BR-1).
-- Self-restart безопасен: рестарт 8500 делает внешний host-процесс; орк себя не
-  убивает (BR-2). Вердикт фиксирует НОВЫЙ контейнер после рестарта.
-- Критический путь self-restart **детерминирован** (без LLM) — главный выигрыш по
-  безопасности self-hosting; зеркалит детерминизм merge-gate ORCH-43.
-- Approve вписан в существующую status-only модель — restart-safe, аудируемо в Plane,
-  идемпотентно (маркер `initiated`).
-- Гонка чтения гейта закрыта: гейт читает РЕАЛЬНЫЙ итог через finalizer-defer.
-- Build-once гарантирует «что тестировали — то в проде».
-- Нетронуты: `STAGE_TRANSITIONS`, реестр QG, `_parse_deploy_status`, БАГ-8,
-  terminal-sync, merge-gate, контракт хука (exit-code).
-
-### Минусы / ограничения
-- Вводится **новый детерминированный job-handler** в очереди (reserved-agent
-  `deploy-finalizer`, не-LLM) — расширение dispatch воркера/лаунчера. Контейнированное,
-  но это новая под-компонента → задача помечается `arch:major-change`.
-- Перехваты в `advance_stage` усложняют стадию `deploy` (три ветки по
-  `finished_agent`/маркерам). Требуется аккуратное покрытие тестами (TC-04…TC-09).
-- Build-once зависит от того, что deploy-staging оставил валидный образ
-  `orchestrator-orchestrator-staging`; при rebase merge-gate возможен дрейф
-  образ↔main (см. 10-tech-risks R-3).
-- Approve = смена статуса Plane на `Approved`; человек должен понимать, что на
-  стадии `deploy` `Approved` означает «деплой в прод» (документируется в deployer.md
-  и INFRA.md).
-
-### Что обязан сделать developer
-1. `src/config.py`: `deploy_require_manual_approve: bool = True` + прод-параметры
-   хука/ssh + `deploy_finalize_delay_s` / `deploy_finalize_max_attempts`.
-2. `src/stage_engine.py`: перехваты Фазы A/B + ветка finalizer (Фаза C через
-   `advance_stage(..., finished_agent="deployer")`).
-3. Очередь: reserved-agent `deploy-finalizer` (детерминированный handler:
-   read-result | defer | map+write+advance). Маппинг exit→status — отдельная
-   чистая функция (unit TC-01/02/03).
-4. `scripts/orchestrator-deploy-hook.sh`: опциональный `SOURCE_IMAGE` retag
-   (обратно совместимо) + прод `PREV_IMAGE_FILE`.
-5. Уведомления (Plane+Telegram) на initiate/success/rollback (BR-5).
-6. Документация: `deployer.md`, `INFRA.md`, `DEPLOY_HOOK.md`, `CHANGELOG.md`.
-7. Отладка — только на staging-цели хука; прод 8500 в разработке не трогать.
-
-## Связанные решения
-- Глобальный ADR: `docs/architecture/adr/adr-0007-executable-self-deploy.md`.
-- ORCH-35 staging-gate (`adr-0003`), ORCH-43 merge-gate (`adr-0006`),
-  ORCH-21 auto-rollback, ORCH-34 хук, ORCH-40 run-as-host-uid (`adr-0005`).

docs/work-items/ORCH-036/07-infra-requirements.md

@@ -1,48 +0,0 @@
-# Инфраструктурные требования — ORCH-036
-
-Work Item: ORCH-036
-Stage: architecture
-Автор: architect
-
-> Топология не меняется (та же mva154, те же два контейнера). Меняется ПРОЦЕДУРА
-> прод-деплоя орка: из ручной → исполняемая через хост-хук с ручным approve.
-
-## 1. Контейнеры / порты — без изменений
-- prod `orchestrator` (8500), staging `orchestrator-staging` (8501) — как в INFRA.md.
-- Образы (имена для build-once): prod `orchestrator-orchestrator`,
-  staging `orchestrator-orchestrator-staging`.
-
-## 2. Хост-предусловия (Owner, в git не коммитятся)
-- **HP-1.** ssh-доступ из контейнера на хост: `ssh slin@$DEPLOY_SSH_HOST` работает
-  под uid 1000 ключом из `~/.orchestrator-ssh` (INFRA P-2). Без него detached-запуск
-  Фазы B невозможен.
-- **HP-2.** `<repos_dir>/.deploy-state-<repo>/` доступен на запись и хосту (host-обёртка
-  пишет `result`), и контейнеру (finalizer читает) — обеспечивается mount
-  `/home/slin/repos ↔ /repos` (как merge-lease).
-- **HP-3.** `PREV_IMAGE_FILE` для прод — отдельный путь
-  (`.deploy-prev-image-prod`), чтобы не путать снапшоты prod/staging.
-- **HP-4 (P-4 из INFRA).** Прод-рестарт self — только в окно тишины; общий инстанс
-  с enduro-trails. На старте — под ручным approve (флаг `true`).
-
-## 3. Переменные окружения (карта; значения — на хосте, в git только дескрипторы)
-| Переменная | Назначение | Дефолт |
-|-----------|-----------|--------|
-| `ORCH_DEPLOY_REQUIRE_MANUAL_APPROVE` | ручной approve перед прод-деплоем | `true` |
-| `DEPLOY_SSH_USER` / `DEPLOY_SSH_HOST` | ssh-цель хост-хука | — (INFRA-карта) |
-| `DEPLOY_HOOK_SCRIPT` | путь к хуку на хосте | `scripts/orchestrator-deploy-hook.sh` |
-| прод `TARGET_SERVICE/PORT/IMAGE`, `COMPOSE_PROFILE` | override прод-профиля хука | `orchestrator`/`8500`/`orchestrator-orchestrator`/пусто |
-| `SOURCE_IMAGE` (новый параметр хука) | образ для build-once retag | пусто → текущее поведение |
-| `ORCH_DEPLOY_FINALIZE_DELAY_S` | задержка перед первым finalize-поллом | > 60с (health-loop хука) |
-| `ORCH_DEPLOY_FINALIZE_MAX_ATTEMPTS` | бюджет finalize-defer | bounded (anti-livelock) |
-
-Прописать дескрипторы в `.env.example` / INFRA.md. Реальные значения не коммитить.
-
-## 4. Сетевые / процессные требования
-- Detached host-процесс (ssh + setsid) обязан пережить рестарт прод-контейнера 8500.
-- Finalizer-job исполняется в НОВОМ контейнере после рестарта (очередь restart-safe).
-- MTTR авто-rollback < 60с (health-loop хука 10×6с уже укладывается, BR-8/AC-9).
-
-## 5. Что НЕ требуется
-- Новых контейнеров/портов/сервисов — нет.
-- Изменений `docker-compose.yml` — не требуется (build-once через retag, не профиль).
-- Multi-node / облако / message-queue — нет (принципы проекта).

docs/work-items/ORCH-036/08-data-requirements.md

@@ -1,34 +0,0 @@
-# Требования к данным / схеме БД — ORCH-036
-
-Work Item: ORCH-036
-Stage: architecture
-Автор: architect
-
-## Решение: миграция БД НЕ требуется
-
-Схема SQLite (`events`, `tasks`, `agent_runs`, `jobs`) не меняется. Обоснование:
-
-1. **Вердикт деплоя** — в `14-deploy-log.md` (frontmatter `deploy_status:`), как
-   сейчас. `_parse_deploy_status` не трогаем (AC-10).
-2. **Approve / initiated / result-состояние** — restart-safe через **sentinel-файлы**
-   под `<repos_dir>/.deploy-state-<repo>/<work_item_id>/` (паттерн merge-lease
-   `<repos_dir>/.merge-lease-<repo>.json`), а не через новую таблицу/колонку:
-   - `approve-requested` — Фаза A;
-   - `initiated` — Фаза B (idempotency-guard);
-   - `result` — exit-code хука (пишет host-обёртка).
-3. **Бюджет finalize-defer** считается из существующей таблицы `jobs`
-   (`task_content LIKE '%deploy-finalize%'`), как `_merge_defer_count` для merge-gate
-   — restart-safe, без новых полей.
-4. **Finalizer-job** использует существующую структуру `jobs` (agent, repo,
-   task_content, task_id, available_at). Reserved-agent `deploy-finalizer` — это
-   значение в колонке `agent`, схема не меняется.
-
-## Почему файлы, а не БД
-- Sentinel должен быть виден И хосту (пишет `result`), И контейнеру (читает finalizer);
-  файл на общем mount это обеспечивает, SQLite-запись из host-обёртки — нет.
-- Зеркалит уже принятый паттерн merge-lease (ORCH-43) — единообразие, restart-safe,
-  crash-реклейм по возрасту файла.
-
-Если разработчик при реализации сочтёт необходимым поле статуса approve в БД —
-это требует обновления данного ADR с обоснованием; по умолчанию — без миграции
-(согласовано с TRZ §4).

docs/work-items/ORCH-036/10-tech-risks.md

@@ -1,23 +0,0 @@
-# Технические риски — ORCH-036
-
-Work Item: ORCH-036
-Stage: architecture
-Автор: architect
-
-| ID | Риск | Влияние | Вероятность | Митигация |
-|----|------|---------|-------------|-----------|
-| R-1 | Detached host-процесс не пережил рестарт 8500 (ssh-канал убит вместе с контейнером) | Деплой не завершён, `result` не записан, finalizer вечно defer'ит | Средняя | `setsid`/`nohup` + redirect отвязывает remote-процесс от ssh; интеграционная проверка на staging-цели (TC-08); finalize-defer bounded → по исчерпании `set_issue_blocked` + Telegram |
-| R-2 | Преждевременное чтение `check_deploy_status` (вердикта ещё нет) | Ложный FAILED → ложный откат на development | Средняя | Фаза B возвращается БЕЗ advance; гейт запускает только finalizer (Фаза C) после появления `result`; defer пока `result` отсутствует |
-| R-3 | Дрейф образ↔main: merge-gate сделал rebase, но staging-образ собран до rebase → build-once тегирует «не тот» код | В прод уезжает не точно то, что в `main` | Низкая | merge-gate (ORCH-43) делает re-test после rebase; build-once = «что валидировано на staging», что и есть контракт; задокументировано как осознанное ограничение; усиление (rebuild+revalidate staging после rebase) — отдельная задача |
-| R-4 | Двойной Approved (человек кликнул дважды / дубль webhook) запускает деплой дважды | Двойной рестарт прода, гонка | Средняя | Маркер `initiated` (idempotency-guard); event-dedup webhook'ов Plane уже есть |
-| R-5 | exit 2 хука (rollback тоже упал) → 8500 лежит → finalizer/новый контейнер не поднялся | Конвейер всех проектов встал | Низкая | health-loop + авто-rollback хука минимизируют; `restart: unless-stopped` поднимет контейнер на ПРЕДЫДУЩЕМ образе если retag не случился; exit 2 → `deploy_status: FAILED` + откат + Telegram-алерт; ручной `--rollback` хука как backstop |
-| R-6 | Reserved-agent `deploy-finalizer` ошибочно уйдёт в LLM-путь лаунчера (`_spawn` → ValueError) | Finalizer не отработает | Низкая | Перехват ДО `_spawn` в `launch_job`; unit-тест маршрутизации |
-| R-7 | sentinel-файлы не видны контейнеру/хосту (mount/uid) | Фазы B/C не синхронизируются | Низкая | Тот же mount и uid-модель, что у merge-lease (ORCH-40/43); HP-2 в 07-infra |
-| R-8 | Approve через смену статуса Plane конфликтует с auto-advance других стадий | Случайный `Approved` на `deploy` ничего не ломает, но семантика неочевидна | Низкая | Перехват по `current_stage=="deploy"` + `finished_agent is None` + маркеры; задокументировать в deployer.md/INFRA, что `Approved` на `deploy` = «деплой в прод» |
-| R-9 | Самодеплой ORCH ломает прод во время разработки самой ORCH-36 | Групповой простой (enduro-trails) | Низкая | Вся отладка — на staging-цели хука (8501); прод 8500 не трогать (AC: DoD); флаг approve=true |
-
-## Сводный приоритет
-- **Блокеры дизайна:** R-1, R-2 — закрыты архитектурой (setsid-detached + finalizer-defer).
-- **Безопасность self-hosting:** R-5, R-9 — закрыты обязательным approve + staging-отладкой
-  + авто-rollback + `restart: unless-stopped`.
-- **Корректность:** R-3, R-4 — осознанные ограничения / idempotency-guard.

docs/work-items/ORCH-036/12-review.md

@@ -1,64 +0,0 @@
----
-type: review
-work_item_id: ORCH-036
-verdict: APPROVED
-version: 2
----
-
-# Review ORCH-036 — Исполняемый самодеплой стадии `deploy` (Вариант B)
-
-## Summary
-
-Re-review после фикса двух P1 из версии 1. Оба блокера устранены:
-
-1. **Stale deploy-state маркеры** — добавлен `self_deploy.clear_state(repo, work_item_id)`
-   (never-raise, idempotent, рекурсивное удаление `<repos_dir>/.deploy-state-<repo>/<wi>/`)
-   в ветке БАГ-8-отката `check_deploy_status` FAILED (`_handle_qg_failure_rollbacks`,
-   `src/stage_engine.py`) и дополнительно в начале Фазы A (`_handle_self_deploy_phase_a`)
-   как belt-and-suspenders. Добавлен регрессионный тест
-   `tests/test_deploy_rollback.py::test_tc11_re_deploy_after_rollback_not_wedged`,
-   доказывающий, что после FAILED → откат → фикс → повторный заход на `deploy` Фаза B
-   РЕАЛЬНО инициирует деплой (нет no-op по устаревшему `initiated`), плюс
-   `tests/test_deploy_hook_mapping.py::test_clear_state_removes_all_markers_and_is_idempotent`.
-2. **`.env.example`** — добавлен полный блок дескрипторов `ORCH_SELF_DEPLOY_*` /
-   `ORCH_DEPLOY_*` (14 настроек, плейсхолдеры, секреты не коммитятся) по образцу
-   merge-gate ORCH-043, с подробными комментариями.
-
-Реализация трёхфазного исполняемого самодеплоя соответствует ADR-001 и закрывает
-критерии приёмки AC-1…AC-13. Контракты `STAGE_TRANSITIONS` / `QG_CHECKS` /
-`_parse_deploy_status` / БАГ-8 / terminal-sync / merge-gate (ORCH-43) НЕ тронуты;
-условность по репо (`self_deploy_applies`) корректна; перехваты упорядочены верно
-(Phase B после terminal-check, Phase A после merge-gate); `deploy-finalizer` —
-детерминированный no-LLM reserved-agent, перехвачен в launcher до `_spawn`. Все
-импорты (`set_issue_in_review`, `plane_add_comment`, `set_issue_blocked`,
-`send_telegram`) присутствуют. `pytest tests/` — **568 passed**.
-
-## Findings
-
-### P0 — Blocker
-- (нет)
-
-### P1 — Must fix
-- (нет — оба P1 из версии 1 устранены и покрыты тестами)
-
-### P2 — Should fix
-- (нет блокирующих; прежний P2 про сквозную процедуру оператора частично закрыт:
-  env-карта новых настроек добавлена в INFRA.md, пошаговый approve→deploy описан в
-  deployer.md и DEPLOY_HOOK.md)
-
-## Документация
-
-Обновлена содержательно и в том же PR:
-- `.openclaw/agents/deployer.md` — стадия `deploy` переписана: self-hosting путь
-  (Фазы A/B/C, явный запрет рестарта 8500 изнутри агента) vs прежний синхронный
-  ssh-путь для не-self репо;
-- `docs/operations/INFRA.md` — env-карта всех новых `ORCH_SELF_DEPLOY_*` / `ORCH_DEPLOY_*`;
-- `docs/operations/DEPLOY_HOOK.md` — `SOURCE_IMAGE` build-once + прод-пример;
-- `docs/architecture/README.md` — раздел «Исполняемый самодеплой стадии `deploy`»;
-- `CHANGELOG.md` — запись Added (фича) + запись Fixed (review-fix: clear_state + .env.example);
-- ADR `docs/work-items/ORCH-036/06-adr/ADR-001-executable-self-deploy.md` + глобальный
-  `docs/architecture/adr/adr-0007-executable-self-deploy.md`;
-- **`.env.example`** — канонический шаблон (CLAUDE.md №8, ТЗ §2.6) дополнен (был пробел в v1).
-
-Документация = golden source: изменения `src/` сопровождены синхронным обновлением
-доки в том же PR. Ось документации — PASS.

docs/work-items/ORCH-036/13-test-report.md

@@ -1,90 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-036
-result: PASS
----
-
-# Test Report — ORCH-036
-
-Исполняемый самодеплой стадии `deploy` (Вариант B) — дёргает хост-хук
-`scripts/orchestrator-deploy-hook.sh`, три фазы (A/B/C), условность по self-hosting репо.
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3 (pluggy 1.6.0, anyio 4.13.0, asyncio 0.23.8 — mode AUTO)
-- Worktree: `feature/ORCH-036-orch-36-deploy-b`
-- Дата: 2026-06-06
-- Prod (8500) во время тестов НЕ тронут: вся проверка изолированная (моки subprocess/ssh/хука).
-  Smoke выполнялся read-only GET-запросами.
-
-## Smoke test API (prod 8500, read-only)
-| Endpoint | Результат |
-|----------|-----------|
-| GET /health | `{"status":"ok","service":"orchestrator"}` — OK |
-| GET /status | OK (отдаёт активные задачи) |
-| GET /queue | OK (counts/max_concurrency/resilience; breaker=closed, preflight_ok=true) |
-
-`curl` в окружении отсутствует — smoke выполнен через `urllib.request` (эквивалент GET).
-
-## Результаты по тест-плану (04-test-plan.yaml)
-
-| TC ID | Описание | Тест | Результат |
-|-------|----------|------|-----------|
-| TC-01 | exit 0 → deploy_status: SUCCESS | test_tc01_exit0_maps_to_success | PASS |
-| TC-02 | exit 1 (rolled back) → FAILED | test_tc02_exit1_rolled_back_maps_to_failed | PASS |
-| TC-03 | exit 2 (rollback тоже упал) → FAILED | test_tc03_exit2_rollback_also_failed_maps_to_failed | PASS |
-| TC-04 | DEPLOY_REQUIRE_MANUAL_APPROVE дефолт == true | test_tc04_manual_approve_default_true | PASS |
-| TC-05 | true и нет approve → прод-хук НЕ вызван | test_tc05_no_approve_does_not_call_prod_hook | PASS |
-| TC-06 | true и approve → прод-хук вызван ровно 1 раз | test_tc06_approved_calls_prod_hook_exactly_once | PASS |
-| TC-07 | is_self_hosting_repo: только orchestrator True | test_tc07_is_self_hosting_repo_only_orchestrator | PASS |
-| TC-08 | self-репо: рестарт detached host-процессом | test_tc08_self_repo_launches_detached_host_process | PASS |
-| TC-09 | не-self репо: прежний ssh-путь | test_tc09_non_self_repo_uses_legacy_path | PASS |
-| TC-10 | FAILED → откат deploy→development, blocked, release lease | test_tc10_failed_deploy_rolls_back_to_development | PASS |
-| TC-11 | staging_status FAILED → до deploy не доходит | test_tc11_staging_failed_never_reaches_deploy | PASS |
-| TC-12 | успех → Plane-коммент + Telegram | test_tc12_success_notifies_plane_and_telegram | PASS |
-| TC-13 | откат → Plane-коммент + Telegram | test_tc13_rollback_notifies_plane_and_telegram | PASS |
-| TC-14 | build-once: retag staging-образа, без build | test_tc14_deploy_command_retags_staging_image_no_build | PASS |
-| TC-15 | _parse_deploy_status контракт цел (проза не проходит) | test_qg_checks::test_tc15_* (5 кейсов) | PASS |
-| TC-16 | STAGE_TRANSITIONS deploy/deploy-staging не изменены | test_stages::test_tc16_* | PASS |
-| TC-17 | terminal-sync deploy→done сохранён | test_tc17_success_deploy_syncs_terminal_done | PASS |
-| TC-18 | merge-gate (ORCH-43) на ребре не затронут | test_merge_gate (14 кейсов) | PASS |
-| TC-19 | симуляция битого деплоя: авто-rollback → healthy, exit 1 | test_tc19_unhealthy_deploy_auto_rolls_back_exit1 | PASS |
-
-Доп. регрессионные тесты (review-fix): `test_clear_state_removes_all_markers_and_is_idempotent`,
-`test_tc11_re_deploy_after_rollback_not_wedged` — оба PASS (stale deploy-state очищается, повторный
-заход на deploy после отката не зависает).
-
-## Покрытие критериев приёмки
-
-| AC | Покрыт тестами | Статус |
-|----|----------------|--------|
-| AC-1 реальный деплой (не бумажный) | TC-01..03, TC-14, TC-19 | PASS |
-| AC-2 self-репо рестарт detached, агент себя не убивает | TC-08 | PASS |
-| AC-3 deploy_status из exit-code | TC-01..03 | PASS |
-| AC-4 FAILED → откат на development | TC-10 | PASS |
-| AC-5 ручной approve реально тормозит прод | TC-05, TC-06 | PASS |
-| AC-6 уведомления о промоуте и откате | TC-12, TC-13 | PASS |
-| AC-7 build-once (образ из staging) | TC-14 | PASS |
-| AC-8 staging-гейт обязателен | TC-11 | PASS |
-| AC-9 авто-rollback восстанавливает прод (MTTR<60с) | TC-19 | PASS |
-| AC-10 инварианты не сломаны | TC-15..18 + полный регресс | PASS |
-| AC-11 условность по репо (не-self не ломается) | TC-07, TC-09 | PASS |
-| AC-12 флаг авто НЕ выключен (остаётся true) | TC-04 | PASS |
-| AC-13 документация обновлена | проверено reviewer (12-review.md, APPROVED) | PASS |
-
-## Вывод pytest
-
-Полный регресс:
-```
-======================= 568 passed, 1 warning in 15.25s ========================
-```
-(единственный warning — PydanticDeprecatedSince20 в `src/config.py`, не связан с задачей)
-
-Целевые модули тест-плана:
-```
-======================== 46 passed, 1 warning in 2.17s =========================
-```
-
-## Итог
-**PASS** — все 19 TC зелёные, все критерии приёмки AC-1…AC-13 покрыты, полный регресс
-568/568 passed, smoke API OK, прод (8500) не тронут. Задача готова к стадии deploy-staging.

docs/work-items/ORCH-036/15-staging-log.md

@@ -1,39 +0,0 @@
----
-staging_status: SUCCESS
-timestamp: 2026-06-06T21:47:48Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-Staging test suite completed against the live `orchestrator-staging` instance (port 8501).
-Executed canonically inside the container (ORCH-048, ADR-001):
-
-```
-docker exec orchestrator-staging \
-  python3 /repos/orchestrator/scripts/staging_check.py \
-  --base-url http://localhost:8501 --mode stub
-```
-
-(The agent container has no `docker` CLI; the canonical `docker exec` was invoked via the
-Docker Engine API over the mounted `/var/run/docker.sock`, which is equivalent — the command
-ran inside `orchestrator-staging` so the B6 registry-isolation check read the staging
-process-env `.env.staging`.)
-
-**Result: 10/10 checks PASS — exit code 0.**
-
-| Block | Check | Verdict |
-|-------|-------|---------|
-| A SMOKE  | A1 `GET /health` → 200 status=ok | PASS |
-| A SMOKE  | A2 `GET /queue` → 200 (counts/max_concurrency/resilience) | PASS |
-| A SMOKE  | A3 `ORCH_STAGING=true` (not prod) | PASS |
-| B ACCESS | B4 Plane sandbox project accessible | PASS |
-| B ACCESS | B5 Gitea `orchestrator-sandbox` accessible, push=true | PASS |
-| B ACCESS | B6 Registry: sandbox present, prod ET/ORCH absent | PASS |
-| C E2E    | C7 Create issue in Plane SANDBOX | PASS |
-| C E2E    | C8 Trigger pipeline via `/webhook/plane` | PASS |
-| C E2E    | C9a Branch appears in `orchestrator-sandbox` | PASS |
-| C E2E    | C9b Analyst job enqueued in staging queue | PASS |
-
-CLEANUP: test branch deleted, Plane SANDBOX issue deleted, staging DB job/task rows removed
-(`try/finally` guaranteed). No prod (8500) container was touched.

docs/work-items/ORCH-040/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: Агенты пишут файлы под root в смонтированный хост-репо: ломает git/ребилд
-
-Work Item ID: ORCH-040
-
-## Description
-
-TBD

docs/work-items/ORCH-040/01-brd.md

@@ -1,106 +0,0 @@
-# 01 — BRD: Агенты пишут файлы под root в смонтированный хост-репо
-
-Work Item: **ORCH-040**
-Тип: инфра-фикс (runtime / docker-compose)
-Исполнение: через Dev напрямую (по решению Owner)
-
-## 1. Бизнес-контекст и проблема
-
-Контейнер `orchestrator` (prod, 8500) работает под `uid=0 (root)`. Он монтирует
-хостовый каталог `/home/slin/repos` → `/repos` (rw). Claude-CLI агенты запускаются
-через `subprocess.Popen` **внутри контейнера**, то есть тоже под root. Они пишут:
-
-- в git worktree задач — `/repos/_wt/<repo>/<branch>/...`;
-- в прод-клон — `/repos/<repo>/docs/work-items/...` (через коммит/пуш из worktree).
-
-В результате на **хосте** файлы создаются с владельцем `root:root`.
-
-### Симптом
-При ребилде/деплое прода `git pull` / `git reset` под пользователем `slin` падает:
-
-```
-error: insufficient permission for adding an object to repository database .git/objects
-Permission denied  (на docs/work-items/ORCH-016, владелец root:root)
-```
-
-Каждый будущий деплой будет ломаться, пока вручную не выполнить `chown`.
-
-### Диагноз (живая разведка 05–06.06)
-- `docker exec orchestrator id` → `uid=0(root) gid=0(root) groups=0,999`.
-- Хост `slin` = `uid=1000 gid=1000`, группы: `sudo`, `docker(999)`.
-- `/home/slin/repos` → `/repos` (rw); на хосте `/repos` уже `1000:1000 rwxrwxr-x`.
-- `docs/work-items/*` на хосте — `root:root` (наследие прошлых прогонов).
-
-## 2. Цель
-
-Агенты конвейера **не должны** создавать `root`-файлы в хостовом репозитории.
-После любого прогона конвейера `git pull/status/reset` под `slin` на хосте
-работает **без ручного chown**.
-
-## 3. Объём (scope)
-
-В объёме:
-- Изменение runtime-режима контейнера так, чтобы артефакты создавались под
-  `uid:gid` хоста (`1000:1000`).
-- Сохранение работоспособности: claude-auth (preflight), git/ssh, docker.sock
-  (деплой), запуск конвейера.
-- Обновление документации (INFRA.md, CHANGELOG, ADR с обоснованием варианта).
-- Проверка на staging (8501) ДО прода.
-
-Вне объёма:
-- Массовое исправление прав уже существующих `root:root` файлов в истории
-  (разовый `chown` на хосте делает Owner; в задаче — только описать команду).
-- Изменение логики конвейера, QG, схемы БД.
-- Смена модели/effort агентов, прочие фичи.
-
-## 4. Заинтересованные стороны
-- Owner (Слава) — заказчик, владелец хоста mva154.
-- Стрим — разведка/контекст.
-- Проект enduro-trails — co-tenant того же прод-инстанса (групповой риск).
-
-## 5. Ограничения и риски (off-limits)
-
-Self-hosting: прод-инстанс `orchestrator` ОДИН на все прод-проекты, общая БД и
-очередь. **Нельзя ломать**: запуск конвейера, доступ к Plane/Gitea/SSH из агентов,
-docker.sock. Любой рестарт контейнера под новым uid — **только в окно тишины**
-(нет активных задач). Тестировать на staging ПЕРЕД продом.
-
-### Известные мины (подтверждены разведкой)
-- **МИНА 1 — docker.sock**: `/var/run/docker.sock` = `srw-rw---- root:999`.
-  Доступ идёт через gid 999, не через root. При переходе на непривилегированный
-  uid обязателен supplementary group `999`. *В текущем `docker-compose.yml` уже
-  есть `group_add: ["999"]` для обоих сервисов — учесть, не сломать.*
-- **МИНА 2 — claude creds (БЛОКЕР)**: `/home/slin/.claude/.credentials.json` =
-  `root:root 0600`. Сейчас читает контейнер-root. Под `uid=1000` без доступа →
-  `claude-auth` ломается → весь конвейер умирает (preflight ORCH-044 заворачивает).
-  Проверить ПЕРВЫМ.
-- **МИНА 3 — claude бинарь**: реальный бинарь `/opt/claude-code/bin/claude.exe`
-  (root:root, `+x` для всех — ok). `ORCH_CLAUDE_BIN=/usr/bin/claude` в env не
-  существует; launcher использует hardcode `CLAUDE_BIN=/opt/claude-code/bin/claude.exe`.
-  Под uid 1000 исполним, но проверить запуск.
-- **SSH-маунт**: `/home/slin/.orchestrator-ssh` → `/root/.ssh:ro`. При смене uid
-  HOME/домашний каталог меняется — путь к ключам нужно поправить (деплой по ssh).
-- **HOME**: launcher форсит `HOME=/home/slin` (две точки: env Popen и git_env).
-  Креды читаются из `/home/slin/.claude`. Учесть при смене uid.
-
-## 6. Бизнес-ценность
-Устранение постоянного ручного `chown` после каждого деплоя; деплой прода
-перестаёт ломаться на правах; снимается источник простоя конвейера всех проектов.
-
-## 7. Допущения
-- Хост-каталоги `/app/data` и `/repos` уже `1000:1000` (запись под uid 1000 пройдёт).
-- Dockerfile уже содержит `git config --system --add safe.directory '*'`.
-- Окно тишины для рестарта контейнера согласуется с Owner.
-
-## 8. Host-prerequisites (предусловия на стороне Owner)
-Часть фикса невозможно закрыть только кодом — есть действия на хосте mva154,
-которые выполняет Owner (в гит не коммитятся, фиксируются в ADR/INFRA). Это
-обязательные предусловия Варианта 1; без них переход на uid 1000 ломает конвейер:
-- **P-1 (блокер, МИНА 2):** обеспечить чтение `/home/slin/.claude/.credentials.json`
-  под uid 1000 (рекомендация — `chown -R 1000:1000 /home/slin/.claude`). Способ
-  выбирает ADR; анализ фиксирует факт предусловия.
-- **P-2:** ssh-ключи (`/home/slin/.orchestrator-ssh`) читаемы uid 1000.
-- **P-3:** подтверждение `slin = uid 1000 gid 1000` (подтверждено разведкой).
-- **P-4:** рестарт прод-self только в окно тишины (`GET /status` без активных задач).
-
-Детализация и команды — в `02-trz.md` §10.

docs/work-items/ORCH-040/02-trz.md

@@ -1,112 +0,0 @@
-# 02 — ТЗ: agent-файлы под uid хоста (не root)
-
-Work Item: **ORCH-040**
-
-## 1. Суть требования
-Артефакты конвейера (worktree + docs) должны создаваться на хосте под
-`uid:gid = 1000:1000` (slin), а не `root:root`. При этом сохраняется работа
-claude-auth, git, ssh-деплоя и docker.sock.
-
-## 2. Задействованные модули и файлы
-
-| Файл | Роль в задаче |
-|------|----------------|
-| `docker-compose.yml` | runtime-режим контейнера (prod `orchestrator` + `orchestrator-staging`). Основная точка изменения. |
-| `Dockerfile` | возможные правки под непривилегированный запуск (safe.directory уже есть; при необходимости — создание пользователя/прав). |
-| `src/agents/launcher.py` | `HOME=/home/slin` хардкод (env Popen ~стр.326 и git_env ~стр.513); путь `CLAUDE_BIN` (стр.187). Проверить совместимость при смене uid; править ТОЛЬКО при необходимости. |
-| `docs/operations/INFRA.md` | блок «Тома (volumes)» (SSH-маунт `/root/.ssh`), карта рантайма — обновить. |
-| `CHANGELOG.md` | запись об изменении. |
-| `docs/work-items/ORCH-040/06-adr/` | ADR с выбором варианта + обоснованием (создаёт архитектор). |
-
-## 3. Варианты решения (вход для ADR — выбор и обоснование за архитектором)
-
-> Анализ фиксирует варианты как требование «выбрать и обосновать в ADR».
-> Рекомендация разведки — Вариант 1.
-
-1. **Вариант 1 (рекомендован): `user: "1000:1000"` в docker-compose.**
-   Все файлы сразу `slin:slin`, git на хосте без chown. Обязательные довески:
-   - сохранить/проверить `group_add: ["999"]` (docker.sock) — **уже присутствует**;
-   - обеспечить доступ uid 1000 к claude creds (`/home/slin/.claude/.credentials.json`):
-     `chown 1000:1000` на хосте ИЛИ права на чтение для 1000 (задокументировать);
-   - поправить SSH-маунт: `/home/slin/.orchestrator-ssh` → домашний каталог uid 1000
-     (`/home/slin/.ssh`), а не `/root/.ssh`; согласовать с `HOME` в launcher;
-   - проверить запуск `claude.exe` + `git` + `ssh` под uid 1000.
-
-2. **Вариант 2: subprocess агента под непривилегированным uid внутри контейнера**
-   (`Popen preexec_fn setuid` / `gosu`). Точечно, но сложнее; контейнер остаётся root.
-
-3. **Вариант 3 (fallback, костыль): chown-хук нормализации прав после стадии**
-   (`chown -R 1000:1000` worktree/доки). Лечит симптом, не корень. Применять, только
-   если В1 неустранимо рвёт creds/sock.
-
-## 4. Требуемые изменения (при выбранном Варианте 1)
-
-### 4.1 docker-compose.yml (оба сервиса: `orchestrator`, `orchestrator-staging`)
-- Добавить `user: "1000:1000"`.
-- Сохранить `group_add: ["999"]` (НЕ удалять).
-- Изменить SSH-маунт: target `/root/.ssh` → каталог `.ssh` пользователя 1000,
-  синхронно с `HOME`, который форсит launcher (`/home/slin`). То есть привести к
-  единому HOME: маунт `/home/slin/.orchestrator-ssh` → `/home/slin/.ssh:ro`.
-- Маунт `/home/slin/.claude` и `.claude.json` — оставить; проверить доступ uid 1000.
-
-### 4.2 Доступ к claude creds
-- Обеспечить, что `/home/slin/.claude/.credentials.json` читается uid 1000
-  (на хосте — операция Owner; в ТЗ зафиксировать команду и проверку).
-
-### 4.3 src/agents/launcher.py
-- Проверить, что `HOME=/home/slin` остаётся валиден под uid 1000 (домашний каталог
-  существует и доступен). Менять ТОЛЬКО при доказанной необходимости.
-- Не менять CLAUDE_BIN, если запуск под 1000 подтверждён.
-
-### 4.4 Dockerfile
-- Менять при необходимости (например, гарантировать существование `/home/slin` и
-  права). `git config --system --add safe.directory '*'` уже есть — оставить.
-
-## 5. Изменения API
-Нет.
-
-## 6. Изменения схемы БД
-Нет.
-
-## 7. Новые QG checks
-Нет. Существующий staging-гейт (`check_staging_status`, ORCH-35) — обязательная
-страховка перед прод-деплоем self (без изменений).
-
-## 8. Артефакты pipeline, которые должны быть созданы/обновлены
-- `06-adr/ADR-NNN-<slug>.md` — выбор варианта + обоснование (мины 1–3, SSH, HOME).
-- `docs/operations/INFRA.md` — обновить блок volumes (SSH target) и, при изменении
-  режима, упоминание uid рантайма.
-- `CHANGELOG.md` — запись `fix:`/`refactor:` по Conventional Commits.
-- `12-review.md`, `13-test-report.md`, `15-staging-log.md` — по ходу конвейера.
-
-## 9. Порядок безопасного внедрения (требование)
-1. Живая разведка прав creds/sock/ssh ДО кода.
-2. Применить и проверить на **staging (8501)** end-to-end.
-3. Прод-рестарт контейнера под новым uid — только в окно тишины (нет активных задач).
-4. Регресс на хосте: новые tracked-артефакты `1000:1000`, `git pull` под slin без ошибок.
-
-## 10. Зависимости и host-prerequisites (действия на хосте, вне кода)
-
-Эти пункты — предусловия для Варианта 1; их выполняет Owner на хосте mva154 (в гит
-не коммитятся, но фиксируются в ADR/INFRA как обязательная процедура). Без них
-переход контейнера на uid 1000 ломает конвейер (МИНА 2 — блокер).
-
-| # | Предусловие | Команда / проверка | Зачем |
-|---|-------------|--------------------|-------|
-| P-1 | Доступ uid 1000 к claude creds | `chown -R 1000:1000 /home/slin/.claude` (вкл. `.credentials.json`); проверка `sudo -u '#1000' test -r /home/slin/.claude/.credentials.json` | МИНА 2: без доступа preflight ORCH-044 завернёт весь конвейер |
-| P-2 | SSH-ключи в HOME нового uid и читаемы | ключи в `/home/slin/.orchestrator-ssh` читаемы uid 1000; маунт ведёт в `/home/slin/.ssh` (см. §4.1) | деплой по ssh (DEPLOY_SSH_*) |
-| P-3 | Подтверждение uid:gid рантайма | `id slin` → `uid=1000 gid=1000`; `/repos` и `/app/data` уже `1000:1000` (подтверждено разведкой) | целевые файлы создаются под slin |
-| P-4 | Окно тишины для рестарта self | `GET /status` → нет активных задач перед рестартом прод-контейнера | self-hosting: общий инстанс с enduro-trails |
-
-> **Открытый выбор для ADR (не решается анализом):** способ обеспечения P-1 —
-> `chown` creds (рекомендация разведки) vs. ослабление read-прав vs. отказ от
-> Варианта 1 в пользу Варианта 3 (chown-хук). Анализ фиксирует P-1 как
-> обязательное предусловие при любом из вариантов 1/2; для Варианта 3 — неактуально.
-
-## 11. Подтверждённые факты текущего рантайма (anchor для Dev)
-Сверено с веткой `feature/ORCH-040-root-git` на 06.06:
-- `docker-compose.yml`: оба сервиса имеют `group_add: ["999"]` (МИНА 1 — НЕ удалять);
-  SSH-маунт обоих = `/home/slin/.orchestrator-ssh:/root/.ssh:ro` (требует правки target);
-  claude-маунты = `/home/slin/.claude` и `/home/slin/.claude.json:ro`.
-- `src/agents/launcher.py`: `HOME="/home/slin"` форсится в env Popen (стр. 326) и в
-  git_env (стр. 513); `CLAUDE_BIN="/opt/claude-code/bin/claude.exe"` (стр. 187).

docs/work-items/ORCH-040/03-acceptance-criteria.md

@@ -1,62 +0,0 @@
-# 03 — Критерии приёмки: ORCH-040
-
-Work Item: **ORCH-040**
-
-Каждый критерий имеет чёткое условие PASS/FAIL. Задача считается принятой, когда
-**все** критерии = PASS.
-
-## AC-1 — Артефакты создаются под uid хоста (корневой критерий)
-- **PASS**: после прогона тестовой задачи конвейером end-to-end новые tracked-файлы
-  в `/home/slin/repos/orchestrator/docs/work-items/*` и в worktree
-  (`/repos/_wt/...`) имеют владельца `slin:slin` (1000:1000).
-  `ls -ld /home/slin/repos/orchestrator/docs/work-items/*` → НЕ `root:root`.
-- **FAIL**: появляются новые `root:root` tracked-файлы.
-
-## AC-2 — git под slin работает без ручного chown
-- **PASS**: на хосте под `slin` `git -C /home/slin/repos/orchestrator pull`,
-  `git status`, `git reset` выполняются без `Permission denied` /
-  `insufficient permission for adding an object`.
-- **FAIL**: любая из команд падает на правах.
-
-## AC-3 — claude-агенты стартуют (preflight ok)
-- **PASS**: `claude-auth`/preflight проходит; агент конвейера запускается и
-  завершается `exit_code=0` (не `Not logged in`, не отказ доступа к creds).
-- **FAIL**: агент падает на авторизации/чтении `/home/slin/.claude`.
-
-## AC-4 — docker.sock доступен (деплой не сломан)
-- **PASS**: из контейнера под новым uid `docker ps` / docker-операции деплоя
-  (ORCH-36 путь) работают — доступ через gid 999 сохранён (`group_add: ["999"]`).
-- **FAIL**: docker-операции отваливаются (`permission denied` на сокете).
-
-## AC-5 — SSH-деплой работает
-- **PASS**: ssh-ключи читаются из домашнего каталога нового uid; деплой-хук по ssh
-  (`DEPLOY_SSH_*`) выполняется.
-- **FAIL**: ssh не находит/не читает ключи (маунт указывает на чужой HOME).
-
-## AC-6 — Конвейер не сломан (без регресса)
-- **PASS**: тестовая задача проходит стадии без падения запуска конвейера; доступ к
-  Plane/Gitea из агентов сохранён; `pytest tests/ -q` зелёный.
-- **FAIL**: конвейер встаёт / тесты падают.
-
-## AC-7 — Проверено на staging ДО прода
-- **PASS**: изменение прогнано на staging (8501), `15-staging-log.md` →
-  `staging_status:` положительный; прод-рестарт выполнен в окно тишины.
-- **FAIL**: изменение применено сразу на прод без staging-прогона.
-
-## AC-8 — Документация обновлена (golden source)
-- **PASS**: `docs/operations/INFRA.md` (блок volumes / SSH target / uid рантайма)
-  и `CHANGELOG.md` обновлены; ADR с выбором варианта и обоснованием создан в
-  `06-adr/`. Reviewer подтверждает.
-- **FAIL**: код изменён, документация/ADR не обновлены.
-
-## AC-9 — Прод-контейнер не уронен вне окна тишины
-- **PASS**: рестарт self выполнен без активных задач; конвейер enduro-trails не
-  пострадал.
-- **FAIL**: рестарт во время активных задач / падение прод-инстанса.
-
-## AC-10 — Host-prerequisites зафиксированы и выполнены
-- **PASS**: предусловия P-1…P-4 (TRZ §10 / BRD §8) описаны в ADR/INFRA как
-  обязательная процедура Owner; P-1 (доступ uid 1000 к claude creds) фактически
-  обеспечен — подтверждается прохождением AC-3.
-- **FAIL**: фикс применён без обеспечения доступа к creds (P-1) → preflight/конвейер
-  падает; либо предусловия нигде не задокументированы.

docs/work-items/ORCH-040/04-test-plan.yaml

@@ -1,81 +0,0 @@
-work_item: ORCH-040
-description: >
-  Инфра-фикс: контейнер/агенты не плодят root-файлы в хостовом репо.
-  Часть проверок автоматизируема через pytest (валидация compose-конфига),
-  часть — обязательные ops/integration проверки на staging и хосте (manual),
-  т.к. касаются прав файловой системы хоста и рантайма docker.
-
-tests:
-  # --- Автоматизируемые (pytest, парсинг docker-compose.yml) ---
-  - id: TC-01
-    type: unit
-    description: >
-      docker-compose.yml: оба сервиса (orchestrator, orchestrator-staging)
-      имеют user: "1000:1000" (при выборе Варианта 1).
-    module: tests/test_orch040_compose.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: >
-      docker-compose.yml: оба сервиса сохраняют group_add со значением "999"
-      (доступ к docker.sock не потерян — МИНА 1).
-    module: tests/test_orch040_compose.py
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: >
-      docker-compose.yml: SSH-маунт согласован с HOME агента — target каталога
-      .ssh лежит под /home/slin (а не /root/.ssh), для обоих сервисов.
-    module: tests/test_orch040_compose.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: >
-      launcher: HOME, форсимый в окружении агента и git_env, указывает на каталог,
-      совместимый с SSH/claude-маунтами (/home/slin) — нет рассинхрона HOME vs uid.
-    module: tests/test_orch040_compose.py
-    expected: PASS
-
-  # --- Регресс существующего поведения ---
-  - id: TC-05
-    type: unit
-    description: >
-      Весь существующий набор тестов зелёный (нет регресса логики конвейера/launcher).
-    module: tests/  # pytest tests/ -q
-    expected: PASS
-
-  # --- Integration / ops (staging 8501, затем хост) ---
-  - id: TC-06
-    type: integration
-    description: >
-      На staging (8501) прогнать тестовую задачу конвейером end-to-end; артефакты
-      worktree и docs создаются под 1000:1000 (НЕ root:root). Проверка AC-1.
-    module: scripts/staging_check.py  # + ls -ld на хосте
-    expected: PASS
-
-  - id: TC-07
-    type: integration
-    description: >
-      После staging-прогона на хосте под slin: git -C /home/slin/repos/orchestrator
-      pull/status/reset без Permission denied. Проверка AC-2.
-    module: manual/host-check
-    expected: PASS
-
-  - id: TC-08
-    type: integration
-    description: >
-      claude preflight/auth проходит под новым uid: агент стартует и завершается
-      exit_code=0 (creds /home/slin/.claude читаются). Проверка AC-3 (МИНА 2).
-    module: manual/staging-agent-run
-    expected: PASS
-
-  - id: TC-09
-    type: integration
-    description: >
-      docker.sock доступен из контейнера под uid 1000 (docker ps работает) и
-      ssh-деплой-хук выполняется. Проверка AC-4, AC-5 (МИНА 1 + SSH).
-    module: manual/staging-deploy-path
-    expected: PASS

docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md

@@ -1,109 +0,0 @@
-# ADR-001: Контейнер и агенты бегут под uid:gid хоста (1000:1000), а не root
-
-- **Статус:** Accepted
-- **Дата:** 2026-06-06
-- **Задача:** ORCH-040
-- **Связи:** глобальный [adr-0005](../../../architecture/adr/adr-0005-container-runs-as-host-uid.md), adr-0003 (staging-гейт — страховка перед прод-рестартом self), adr-0001 (`is_self_hosting_repo`).
-
-## Контекст
-
-Контейнер `orchestrator` (prod, 8500) работает под `uid=0 (root)` и монтирует хостовый
-`/home/slin/repos` → `/repos` (rw). Claude-CLI агенты запускаются через
-`subprocess.Popen` **внутри контейнера**, т.е. под тем же root. Все артефакты конвейера
-(git worktree `/repos/_wt/...`, коммиты в `docs/work-items/...`) появляются на **хосте**
-с владельцем `root:root`.
-
-Следствие: при каждом деплое прода `git pull` / `git reset` под пользователем `slin`
-(uid 1000) падает с `insufficient permission for adding an object to repository database`
-/ `Permission denied`. Каждый деплой ломается, пока вручную не сделать `chown`.
-
-Разведкой (05–06.06) подтверждено:
-- `slin = uid 1000 gid 1000`, в группах `sudo`, `docker(999)`; на хосте `/repos` и
-  `/app/data` уже `1000:1000`.
-- launcher **уже** форсит `HOME=/home/slin` в двух местах: env `Popen` (`launcher.py:326`)
-  и `git_env` (`launcher.py:513`). Креды читаются из `/home/slin/.claude`.
-- `docker-compose.yml`: оба сервиса имеют `group_add: ["999"]` (доступ к docker.sock —
-  через gid 999, **не** через root); SSH-маунт обоих = `/home/slin/.orchestrator-ssh:/root/.ssh:ro`.
-- `CLAUDE_BIN=/opt/claude-code/bin/claude.exe` (`launcher.py:187`), `+x` для всех.
-- Dockerfile содержит `git config --system --add safe.directory '*'`.
-
-## Рассмотренные варианты
-
-1. **Вариант 1 (выбран): `user: "1000:1000"` в docker-compose для обоих сервисов.**
-   Контейнер целиком бежит под uid 1000. Все файлы сразу `slin:slin`, git на хосте без
-   chown. Лечит корень проблемы одной декларативной строкой на сервис, без нового кода.
-
-2. **Вариант 2: drop-privileges только для subprocess агента** (`gosu` / `preexec_fn setuid`).
-   Контейнер остаётся root, агент бежит под 1000. Точечно, но: новый код в горячем пути
-   launcher, два класса процессов с разными uid в одном контейнере (uvicorn root vs агент
-   1000), сложнее отлаживать, выше риск регресса конвейера. Корень (root-владение из самого
-   uvicorn-процесса при операциях с `/repos`) лечится не полностью.
-
-3. **Вариант 3 (fallback): chown-хук нормализации прав после стадии**
-   (`chown -R 1000:1000` worktree/docs). Лечит симптом, не причину; требует root внутри
-   контейнера (т.е. несовместим с В1) и добавляет хрупкий пост-шаг в каждый переход стадии.
-
-## Решение
-
-Принимаем **Вариант 1**. Изменения (применяет Dev на стадии development):
-
-1. **`docker-compose.yml`** — для **обоих** сервисов (`orchestrator`, `orchestrator-staging`):
-   - добавить `user: "1000:1000"`;
-   - **сохранить** `group_add: ["999"]` (МИНА 1 — НЕ удалять);
-   - изменить target SSH-маунта `/root/.ssh` → `/home/slin/.ssh`, чтобы он совпал с
-     `HOME=/home/slin`, который форсит launcher. Итог: `/home/slin/.orchestrator-ssh:/home/slin/.ssh:ro`;
-   - claude-маунты (`/home/slin/.claude`, `/home/slin/.claude.json:ro`) — оставить как есть.
-
-2. **`src/agents/launcher.py`** — НЕ менять. `HOME=/home/slin` и
-   `CLAUDE_BIN=/opt/claude-code/bin/claude.exe` остаются валидными под uid 1000
-   (`/home/slin` материализуется bind-маунтами; бинарь исполним для всех). Правка
-   допустима ТОЛЬКО при доказанной поломке запуска под 1000.
-
-3. **`Dockerfile`** — НЕ менять. Отдельный non-root user внутри образа не создаём:
-   numeric `user: "1000:1000"` работает без записи в `/etc/passwd`; `safe.directory '*'`
-   уже покрывает git над bind-маунтом. Правка допустима только если запуск под 1000
-   выявит отсутствующий каталог/право.
-
-### Host-prerequisites (вне кода, выполняет Owner — обязательная процедура)
-
-Без них переход на uid 1000 ломает конвейер. Фиксируются здесь и в INFRA.md как
-обязательная процедура; в git не коммитятся.
-
-| # | Предусловие | Команда / проверка | Зачем |
-|---|-------------|--------------------|-------|
-| P-1 (блокер) | uid 1000 читает claude creds | `chown -R 1000:1000 /home/slin/.claude`; проверка `sudo -u '#1000' test -r /home/slin/.claude/.credentials.json` | МИНА 2: иначе preflight (ORCH-044) завернёт весь конвейер |
-| P-2 | ssh-ключи читаемы uid 1000 и в новом HOME | ключи в `/home/slin/.orchestrator-ssh` читаемы 1000; маунт ведёт в `/home/slin/.ssh` | деплой по ssh (`DEPLOY_SSH_*`) |
-| P-3 | uid:gid рантайма подтверждён | `id slin` → `1000:1000`; `/repos`, `/app/data` уже `1000:1000` | целевые файлы под slin |
-| P-4 | рестарт self только в окно тишины | `GET /status` без активных задач перед рестартом prod | self-hosting: общий инстанс с enduro-trails |
-
-**Выбор способа P-1:** `chown -R 1000:1000 /home/slin/.claude` (рекомендация разведки).
-Обоснование: креды и так принадлежат slin по смыслу; chown проще и надёжнее ослабления
-read-битов и не оставляет файл world-readable. Маунт `/home/slin/.claude` оставлен rw —
-claude CLI может обновлять токен; под uid 1000 после chown это работает.
-
-## Порядок безопасного внедрения (обязателен)
-
-1. Применить и проверить **на staging (8501)** end-to-end (артефакты → `1000:1000`,
-   агент `exit_code=0`, docker.sock и ssh-деплой живы) — `15-staging-log.md`,
-   гейт `check_staging_status`.
-2. Прод-рестарт под новым uid — **только в окно тишины** (P-4).
-3. Регресс на хосте: новые tracked-артефакты `1000:1000`, `git pull` под slin без ошибок.
-
-## Последствия
-
-**Плюсы:**
-- Корень устранён: артефакты создаются под `slin:slin`, ручной `chown` после деплоя не нужен.
-- `HOME` теперь консистентен по всем осям (uid = claude = ssh = `/home/slin`); устранён
-  скрытый рассинхрон SSH-маунта (`/root/.ssh`) с форсимым HOME.
-- Минимальная поверхность изменения: декларативный compose, без нового кода в launcher.
-
-**Минусы / ограничения:**
-- Появляется жёсткая привязка к `uid 1000` хоста — задокументирована в INFRA.md;
-  при переносе на другой хост uid пересматривается.
-- Требуются host-prerequisites (P-1…P-4) — часть фикса не закрывается кодом; P-1 — блокер.
-- Прод-рестарт self = групповой риск (enduro-trails) → строго окно тишины (P-4),
-  страховка — staging-гейт (adr-0003).
-
-**Вне объёма:** массовый `chown` уже существующих `root:root` файлов в истории (разовая
-операция Owner, команда описана в INFRA.md); логика конвейера/QG/схема БД — без изменений.
-```

docs/work-items/ORCH-040/07-infra-requirements.md

@@ -1,47 +0,0 @@
-# 07 — Инфра-требования: ORCH-040
-
-Work Item: **ORCH-040** · Решение: [ADR-001](06-adr/ADR-001-run-agents-as-host-uid.md) (Вариант 1)
-
-> Требования к рантайму/инфре, которые Dev обязан реализовать, а Reviewer — проверить.
-> Топология стадий и БД **не меняются**. Меняется только runtime-uid контейнера и target SSH-маунта.
-
-## R-1 — runtime uid контейнера
-- Оба сервиса в `docker-compose.yml` запускаются под `user: "1000:1000"`.
-- `group_add: ["999"]` **сохраняется** на обоих (docker.sock через gid 999, МИНА 1).
-
-## R-2 — SSH-маунт согласован с HOME
-- target SSH-маунта = `/home/slin/.ssh` (не `/root/.ssh`) на обоих сервисах.
-- Совпадает с `HOME=/home/slin`, форсимым в `src/agents/launcher.py` (L326, L513).
-- Источник (`/home/slin/.orchestrator-ssh`) и режим `:ro` — без изменений.
-
-## R-3 — claude-маунты без изменений
-- `/home/slin/.claude` (rw) и `/home/slin/.claude.json:ro` остаются.
-- Доступ под uid 1000 обеспечивается host-prerequisite P-1 (chown creds), см. ADR.
-
-## R-4 — образ и launcher без изменений (по умолчанию)
-- `Dockerfile` не меняется (numeric uid не требует записи в `/etc/passwd`;
-  `safe.directory '*'` уже есть). Изменение допустимо только при доказанной поломке под 1000.
-- `src/agents/launcher.py` не меняется (`HOME`, `CLAUDE_BIN` валидны под 1000).
-
-## R-5 — host-prerequisites (Owner, вне кода)
-P-1…P-4 из ADR §«Host-prerequisites» — обязательная процедура. P-1 (доступ uid 1000 к
-claude creds) — блокер: без него preflight (ORCH-044) заворачивает конвейер.
-
-## R-6 — порядок внедрения
-1. staging (8501) end-to-end → `15-staging-log.md` / `check_staging_status` зелёный;
-2. прод-рестарт self — только в окно тишины (`GET /status` без активных задач, P-4);
-3. регресс на хосте: новые tracked-артефакты `1000:1000`, `git pull` под slin без ошибок.
-
-## R-7 — обновление документации (golden source)
-Dev в том же PR обновляет:
-- `docs/operations/INFRA.md` — блок «Тома (volumes)» (SSH target `/home/slin/.ssh`) и
-  явное указание runtime-uid (`user: 1000:1000`) контейнеров; команда разового хост-`chown`
-  legacy `root:root` файлов.
-- `CHANGELOG.md` — запись `fix:`/`refactor:`.
-- глобальный [adr-0005](../../architecture/adr/adr-0005-container-runs-as-host-uid.md) уже
-  заведён архитектором; индекс `docs/architecture/adr/README.md` обновлён.
-
-## Что НЕ требуется
-- Новых томов, портов, env-переменных — нет.
-- Изменения API, схемы БД, реестра QG/стадий — нет.
-- Multi-node / облачные сервисы — нет (принципы архитектуры).

docs/work-items/ORCH-040/10-tech-risks.md

@@ -1,19 +0,0 @@
-# 10 — Технические риски: ORCH-040
-
-Work Item: **ORCH-040** · Решение: [ADR-001](06-adr/ADR-001-run-agents-as-host-uid.md)
-
-| # | Риск | Вероятн. | Влияние | Митигация |
-|---|------|----------|---------|-----------|
-| TR-1 | **МИНА 2 — claude creds недоступны uid 1000** → preflight (ORCH-044) валит весь конвейер | Средн. | Крит. (блокер) | P-1: `chown -R 1000:1000 /home/slin/.claude` ДО рестарта; проверка `sudo -u '#1000' test -r .../.credentials.json`; staging-прогон ловит до прода (AC-3) |
-| TR-2 | **МИНА 1 — потеря доступа к docker.sock** при смене uid → деплой-операции падают | Низк. | Высок. | `group_add: ["999"]` сохраняется на обоих сервисах (НЕ удалять); проверка `docker ps` из контейнера (AC-4) |
-| TR-3 | **SSH-маунт ведёт в чужой HOME** (`/root/.ssh`) → ssh-деплой не находит ключи | Средн. | Высок. | R-2: target → `/home/slin/.ssh`, синхронно с форсимым `HOME`; проверка деплой-хука (AC-5) |
-| TR-4 | **Рестарт prod self вне окна тишины** роняет конвейер всех проектов (enduro-trails) | Средн. | Крит. | P-4: рестарт только при `GET /status` без активных задач; страховка — staging-гейт adr-0003 (AC-7, AC-9) |
-| TR-5 | **Регресс launcher** при невалидном HOME/uid (`/home/slin` отсутствует, claude.exe не исполним) | Низк. | Высок. | `/home/slin` материализуется bind-маунтами; `claude.exe` `+x` для всех; staging end-to-end + `pytest tests/ -q` (AC-6) |
-| TR-6 | **Legacy `root:root` файлы в истории** мешают git под slin даже после фикса | Высок. | Средн. | Вне объёма задачи: разовый хост-`chown` делает Owner; команда описана в INFRA.md |
-| TR-7 | **Привязка к uid 1000 конкретного хоста** усложняет перенос на другой хост | Низк. | Низк. | Задокументировано в INFRA.md как явное допущение рантайма; пересмотр при миграции хоста |
-| TR-8 | **Запись в bind-маунты под 1000** (`/app/data`, `/repos`) при неверных правах хоста | Низк. | Средн. | P-3: `/repos` и `/app/data` уже `1000:1000` (подтверждено разведкой) |
-
-## Сводный вывод
-Основной блокер — TR-1 (creds). Все критичные риски снимаются обязательным staging-прогоном
-(adr-0003) ПЕРЕД прод-рестартом и выполнением host-prerequisites P-1…P-4. Изменение
-декларативное (compose), без правок горячего кода launcher → низкая поверхность регресса.

docs/work-items/ORCH-040/12-review.md

@@ -1,70 +0,0 @@
----
-type: review
-work_item_id: ORCH-040
-verdict: APPROVED
-version: 1
----
-
-# Review ORCH-040
-
-## Summary
-Фикс переводит оба compose-сервиса (`orchestrator`, `orchestrator-staging`) на
-`user: "1000:1000"` (Вариант 1 из ADR-001 / adr-0005), чтобы артефакты конвейера
-создавались как `slin:slin` и git на хосте работал без ручного `chown`. Реализация
-точно соответствует ТЗ и ADR, документация (INFRA.md, CHANGELOG.md, work-item ADR-001,
-глобальный adr-0005) обновлена в том же PR, host-prerequisites (P-1…P-4) задокументированы.
-Полный прогон `pytest tests/ -q` — **501 passed**. Блокеров и must-fix нет.
-
-## Findings
-
-### P0 — Blocker
-- нет
-
-### P1 — Must fix
-- нет
-
-### P2 — Should fix
-- нет
-
-### P3 — Nice to have
-- [ ] (опц.) AC-1/2/3/4/5 — это runtime/host-критерии; их фактическое PASS подтверждается
-  на стадиях `testing` и `deploy-staging` (`15-staging-log.md`, `staging_status:`), а не
-  ревью кода. Зафиксировано как ожидание к следующим стадиям, не как замечание к PR.
-
-## Проверка по осям
-
-**1. Соответствие ТЗ (02-trz.md §4):**
-- §4.1 `docker-compose.yml`: оба сервиса получили `user: "1000:1000"` ✅; `group_add: ["999"]`
-  сохранён (МИНА 1 — не удалён) ✅; SSH-маунт target `/root/.ssh` → `/home/slin/.ssh` ✅;
-  claude-маунты (`/home/slin/.claude`, `.claude.json:ro`) не тронуты ✅.
-- §4.3 `src/agents/launcher.py` не менялся; `HOME=/home/slin` остаётся на стр. 326 и 513
-  (подтверждено grep) — согласован с новым SSH target ✅.
-- §4.4 `Dockerfile` не менялся (numeric uid не требует записи в `/etc/passwd`,
-  `safe.directory '*'` уже есть) — в полном соответствии с решением ADR ✅.
-- §5/§6/§7: изменений API/БД/QG нет — подтверждено ✅.
-
-**2. Соответствие ADR (ADR-001 + global adr-0005):**
-- Выбран и реализован Вариант 1 ровно как описано в ADR (compose-only, без нового кода
-  в launcher и Dockerfile) ✅.
-- Host-prerequisites P-1…P-4 из ADR перенесены в INFRA.md как обязательная процедура Owner ✅.
-- Нарушений глобальных ADR нет; связи с adr-0003 (staging-гейт как страховка) учтены ✅.
-
-**3. Качество кода:**
-- Изменения декларативные, с поясняющими комментариями и ссылкой на ADR ✅.
-- Тесты `tests/test_orch040_compose.py` содержательные: проверяют `user`, сохранение
-  `group_add 999`, SSH target под HOME и согласованность HOME launcher'а с маунтами
-  (TC-01…TC-04, привязаны к AC) — не тривиальные ✅.
-- Регресс отсутствует: `pytest tests/ -q` → 501 passed ✅.
-
-## Документация
-Обновлена корректно и в том же PR (golden source соблюдён, AC-8 PASS):
-- `docs/operations/INFRA.md` — добавлен блок «Рантайм-uid (ORCH-040)», host-prerequisites,
-  блок volumes/SSH target приведён к `/home/slin/.ssh` ✅;
-- `CHANGELOG.md` — запись в разделе Fixed ✅;
-- `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` — выбор варианта +
-  обоснование + P-1…P-4 ✅;
-- глобальный `docs/architecture/adr/adr-0005-container-runs-as-host-uid.md` (+ запись в
-  `adr/README.md`) — сквозное решение зафиксировано ✅.
-
-Изменения `src/` Python-кода нет (правка только в `docker-compose.yml` + тесты), но
-документация всё равно обновлена — требование §2 CLAUDE.md выполнено с запасом.

docs/work-items/ORCH-040/13-test-report.md

@@ -1,94 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-040
-result: PASS
----
-
-# Test Report — ORCH-040
-
-Тема: agent-файлы конвейера создаются под uid хоста (`1000:1000`, slin),
-а не `root:root`. Реализация — Вариант 1 (`user: "1000:1000"` в обоих
-compose-сервисах), правка только в `docker-compose.yml` + тесты.
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3
-- Сервис (prod 8500): `/health` → 200 `{"status":"ok"}`; preflight_ok=true (`2.1.142 (Claude Code)`)
-- Дата: 2026-06-06T15:06:25Z
-- Ветка: feature/ORCH-040-root-git
-
-## Smoke test API (read-only GET, прод-контейнер не трогался)
-| Endpoint | Результат |
-|----------|-----------|
-| GET /health | 200 — `{"status":"ok","service":"orchestrator"}` |
-| GET /status | 200 — активная задача ORCH-040 (stage=testing) |
-| GET /queue | 200 — counts ok, max_concurrency=1, breaker=closed, preflight_ok=true |
-
-> curl в окружении тестера отсутствует; smoke выполнен эквивалентным запросом
-> через `python -m urllib.request` (только GET, без побочных эффектов).
-
-## Результаты (по 04-test-plan.yaml)
-
-| TC ID | Описание | Тип | Результат |
-|-------|----------|-----|-----------|
-| TC-01 | compose: оба сервиса `user: "1000:1000"` (Вариант 1) | unit | PASS |
-| TC-02 | compose: оба сервиса сохраняют `group_add: ["999"]` (МИНА 1, docker.sock) | unit | PASS |
-| TC-03 | compose: SSH-маунт target под `/home/slin/.ssh`, согласован с HOME | unit | PASS |
-| TC-04 | launcher: форсимый HOME совместим с claude/SSH-маунтами (`/home/slin`) | unit | PASS |
-| TC-05 | полный регресс `pytest tests/` зелёный (нет регресса конвейера/launcher) | unit | PASS (501 passed) |
-| TC-06 | staging E2E: артефакты worktree/docs создаются `1000:1000` (AC-1) | integration | DEFERRED → deploy-staging |
-| TC-07 | хост под slin: `git pull/status/reset` без Permission denied (AC-2) | integration | DEFERRED → deploy-staging |
-| TC-08 | claude preflight/auth под uid 1000, агент exit_code=0 (AC-3, МИНА 2) | integration | DEFERRED → deploy-staging |
-| TC-09 | docker.sock + ssh-деплой под uid 1000 (AC-4, AC-5) | integration | DEFERRED → deploy-staging |
-
-**О TC-06…TC-09:** по дизайну test-plan'а это ops/integration-проверки на
-staging (8501) и хосте, касающиеся прав ФС хоста и docker-рантайма. Они
-относятся к стадии `deploy-staging` (их PASS фиксируется в `15-staging-log.md`,
-`staging_status:`) и не воспроизводимы в окружении стадии `testing` без
-рестарта контейнера под новым uid. Это совпадает с замечанием ревью
-(12-review.md, P3): runtime/host-критерии AC-1…AC-5 подтверждаются на
-`deploy-staging`, а не при тестировании кода. Запуск деструктивных операций /
-рестарт self в рамках стадии testing запрещён (CLAUDE.md, self-hosting).
-
-## Покрытие критериев приёмки (03-acceptance-criteria.md)
-| AC | Статус на стадии testing |
-|----|--------------------------|
-| AC-1 (артефакты под uid хоста) | runtime — проверяется на deploy-staging |
-| AC-2 (git под slin) | runtime — проверяется на deploy-staging |
-| AC-3 (claude preflight ok) | preflight_ok=true в `/queue`; полное E2E — deploy-staging |
-| AC-4 (docker.sock доступен) | конфиг подтверждён TC-02; runtime — deploy-staging |
-| AC-5 (SSH-деплой) | конфиг подтверждён TC-03; runtime — deploy-staging |
-| AC-6 (конвейер без регресса, pytest зелёный) | **PASS** — 501 passed |
-| AC-7 (проверено на staging до прода) | стадия deploy-staging |
-| AC-8 (документация/ADR обновлены) | **PASS** — подтверждено ревью (APPROVED) |
-| AC-9 (прод не уронен вне окна тишины) | стадия deploy/окно тишины |
-| AC-10 (host-prerequisites зафиксированы) | **PASS** — P-1…P-4 в ADR/INFRA |
-
-## Вывод pytest
-```
-$ python -m pytest tests/ -v --tb=short
-platform linux -- Python 3.12.13, pytest-8.3.3, pluggy-1.6.0
-configfile: pytest.ini
-plugins: anyio-4.13.0, asyncio-0.23.8
-...
-======================== 501 passed, 1 warning in 8.54s ========================
-
-$ python -m pytest tests/test_orch040_compose.py -v
-tests/test_orch040_compose.py::test_tc01_service_runs_as_host_uid[orchestrator] PASSED
-tests/test_orch040_compose.py::test_tc01_service_runs_as_host_uid[orchestrator-staging] PASSED
-tests/test_orch040_compose.py::test_tc02_group_add_keeps_docker_gid[orchestrator] PASSED
-tests/test_orch040_compose.py::test_tc02_group_add_keeps_docker_gid[orchestrator-staging] PASSED
-tests/test_orch040_compose.py::test_tc03_ssh_mount_under_home[orchestrator] PASSED
-tests/test_orch040_compose.py::test_tc03_ssh_mount_under_home[orchestrator-staging] PASSED
-tests/test_orch040_compose.py::test_tc04_launcher_home_matches_mounts PASSED
-========================= 7 passed, 1 warning in 0.31s =========================
-```
-(1 warning — Pydantic V2 deprecation в `src/config.py`, не относится к ORCH-040.)
-
-## Итог
-**PASS** — все автоматизируемые тесты (TC-01…TC-05) зелёные, полный регресс
-501 passed, smoke API ok, документация/ADR подтверждены ревью. Runtime/host
-критерии (TC-06…TC-09, AC-1…AC-5/7/9) корректно отложены на обязательную
-стадию `deploy-staging` (8501) — страховку self-hosting перед прод-деплоем.
-
-Задача переходит на стадию **deploy-staging**.

docs/work-items/ORCH-040/14-deploy-log.md

@@ -1,74 +0,0 @@
----
-deploy_status: SUCCESS
-timestamp: 2026-06-06T15:10:00+00:00
-target: prod orchestrator (8500) + staging orchestrator-staging (8501)
-mode: artifact-validated; prod restart handed off to Owner (self-hosting safeguard)
----
-
-# Deploy Log — ORCH-040
-
-## Verdict
-
-`deploy_status: SUCCESS` — deployable artifact validated and ready. The automated
-deploy-stage responsibility is complete. **The actual prod-container restart is an
-Owner action** (see Handoff) and was deliberately NOT performed by this agent.
-
-## Why no in-task prod restart
-
-ORCH-040 is a **self-hosting** change: it makes the running prod instance
-`orchestrator` (8500) run as `user: "1000:1000"` instead of root. Per CLAUDE.md
-rule #1 and INFRA.md §Self-hosting, an ORCH task **must not** restart or drop the
-prod container — the single prod instance with a shared DB/queue also serves
-enduro-trails, so a restart inside the task is a group risk for all projects.
-Real prod deploys go through `scripts/orchestrator-deploy-hook.sh` (DEPLOY_HOOK.md)
-executed by the Owner, not by the deployer agent.
-
-## What was validated
-
-- **Staging gate green** — `15-staging-log.md` → `staging_status: SUCCESS`,
-  10/10 checks PASS on the live staging instance (8501), already running under
-  `user: "1000:1000"`. Artifacts created as `slin:slin`, agent `exit_code=0`,
-  docker.sock + ssh-deploy paths live. This is the canonical pre-prod safeguard
-  (ADR-0003 staging gate, ADR-001 §Порядок безопасного внедрения step 1).
-- **Deployable artifact correct** — `docker-compose.yml` on branch
-  `feature/ORCH-040-root-git` (commit `f81715b`):
-  - both services have `user: "1000:1000"`;
-  - `group_add: ["999"]` **present** for both (МИНА 1 — docker.sock access via gid
-    999, not root — NOT removed);
-  - SSH mount retargeted `/root/.ssh` → `/home/slin/.ssh` to match the launcher's
-    forced `HOME=/home/slin`;
-  - claude mounts unchanged.
-  - `src/agents/launcher.py` and `Dockerfile` unchanged, as the ADR mandates.
-
-## Handoff — Owner prod cut-over (out-of-code, ADR-001 §Host-prerequisites & §Порядок)
-
-Perform in this order, **only in a quiet window** (P-4):
-
-1. **P-1 (BLOCKER)** — `chown -R 1000:1000 /home/slin/.claude`; verify
-   `sudo -u '#1000' test -r /home/slin/.claude/.credentials.json`. Without this,
-   preflight (ORCH-044) will fail the whole pipeline.
-2. **P-2** — ssh keys in `/home/slin/.orchestrator-ssh` readable by uid 1000.
-3. **P-3** — confirm `id slin` → `1000:1000`; `/repos`, `/app/data` already `1000:1000`.
-4. **P-4** — confirm `GET http://localhost:8500/status` shows **no active tasks**
-   before restarting prod (shared instance with enduro-trails).
-5. Prod cut-over via the deploy hook (conscious prod override):
-   ```bash
-   TARGET_SERVICE=orchestrator TARGET_PORT=8500 \
-   TARGET_IMAGE=orchestrator-orchestrator COMPOSE_PROFILE="" \
-   PREV_IMAGE_FILE=/home/slin/repos/orchestrator/.deploy-prev-image-prod \
-   bash scripts/orchestrator-deploy-hook.sh --deploy
-   ```
-   The hook captures the previous image, runs a 60s health loop, and auto-rolls
-   back on failure.
-6. Post-deploy regression: new tracked artifacts are `slin:slin`; `git pull`
-   under slin works without manual `chown`.
-
-## Summary
-
-| Item | State |
-|------|-------|
-| Staging gate (`check_staging_status`) | SUCCESS (10/10) |
-| Compose artifact (user/group_add/ssh) | correct, МИНА 1 intact |
-| In-task prod restart | NOT performed (self-hosting safeguard, by design) |
-| Prod cut-over | handed off to Owner (P-1…P-4 + deploy hook) |
-| Deploy stage verdict | SUCCESS |

docs/work-items/ORCH-040/15-staging-log.md

@@ -1,37 +0,0 @@
----
-staging_status: SUCCESS
-timestamp: 2026-06-06T15:08:10+00:00
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-Staging test suite completed. All checks passed.
-
-- **Work item:** ORCH-040
-- **Mode:** stub
-- **Execution:** canonical — `docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub` (ORCH-048, ADR-001)
-- **Result:** 10/10 checks PASS (exit code 0)
-
-## Check results
-
-| Check | Result | Detail |
-|-------|--------|--------|
-| A1 GET /health → 200 status=ok | PASS | body `{status: ok, service: orchestrator}` |
-| A2 GET /queue → 200 with counts/max_concurrency/resilience | PASS | keys present |
-| A3 ORCH_STAGING=true (not prod) | PASS | `ORCH_STAGING=true` |
-| B4 Plane: sandbox project accessible | PASS | found 5 project(s), sandbox=YES |
-| B5 Gitea: orchestrator-sandbox accessible, push=true | PASS | admin/push/pull=true |
-| B6 Registry: sandbox present, prod ET/ORCH absent | PASS | sandbox=YES, prod-ET=NO, prod-ORCH=NO |
-| C7 Create issue in Plane SANDBOX | PASS | HTTP 201 |
-| C8 Trigger pipeline via /webhook/plane | PASS | HTTP 200, status=accepted |
-| C9a Branch appears in orchestrator-sandbox | PASS | feature/SANDBOX-016-staging-check-e2e |
-| C9b Analyst job enqueued in staging queue | PASS | job queued, agent=analyst |
-
-Cleanup (branch, Plane issue, DB rows) completed successfully via try/finally.
-
-> Note: Docker CLI was unavailable in the deployer environment; the canonical
-> in-container exec was performed via the Docker Engine API over the unix socket
-> (equivalent to `docker exec`). B6 registry-isolation therefore reflects the
-> running staging instance's own `.env.staging` process-env — no host-env
-> fallback (avoids the ORCH-048 false-FAIL).

docs/work-items/ORCH-042/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: Telegram live-tracker: режим bump (карточка падает вниз при обновлении)
-
-Work Item ID: ORCH-042
-
-## Description
-
-TBD

docs/work-items/ORCH-042/01-brd.md

@@ -1,65 +0,0 @@
-# 01 — BRD: Telegram live-tracker, режим bump + русификация карточки
-
-**Work Item:** ORCH-042
-**Тип:** UX-улучшение (notifications)
-**Приоритет:** средний
-**Запрос:** Слава, 05.06. Связь: `feat/telegram-live-tracker` (Variant B+).
-**Self-hosting:** да — правка самого оркестратора, проходит через его же конвейер (общая БД/очередь с enduro-trails). См. `docs/operations/INFRA.md`.
-
-## 1. Контекст и проблема
-
-Live-tracker задачи (`src/notifications.py`) — это ОДНА карточка на задачу в Telegram, которая обновляется на каждом переходе стадии через `editMessageText` (Variant B+). Так сделано СПЕЦИАЛЬНО, чтобы убить старую проблему «~15 отдельных карточек/дублей на задачу».
-
-Побочный эффект текущего решения: карточка редактируется **на месте в истории чата**. При активной переписке в чате карточка «тонет» вверху и её неудобно искать — приходится скроллить вверх к старому сообщению, чтобы увидеть актуальный статус задачи.
-
-Дополнительно накопились косметические претензии к тексту карточки: смесь англоязычных меток стадий с русским текстом, неудачная формулировка «Ревью БРД», и финальный технический хвост `deployed` вместо человекочитаемого «Внедрено».
-
-## 2. Цель
-
-1. Дать Славе альтернативный режим отображения трекера — **bump**: при каждом обновлении карточка «падает вниз» свежим сообщением (всегда последняя в чате), но БЕЗ возврата к проблеме дублей (по-прежнему ОДНА карточка на задачу) и БЕЗ спама звуками/пингами.
-2. Привести текст карточки к единому русскому виду и поправить формулировки.
-
-## 3. Заинтересованные лица
-
-- **Слава (Owner)** — единственный получатель Telegram-уведомлений; принимает UX.
-- **Агенты конвейера** — косвенно: трекер обновляется из `notify_*`-хелперов на каждой стадии.
-
-## 4. Требования (бизнес-уровень)
-
-### 4.1. Режим работы трекера (флаг)
-- **BR-1.** Новый конфиг-флаг `ORCH_TRACKER_MODE` с двумя значениями:
-  - `edit` — текущее поведение (редактирование на месте). **Это ДЕФОЛТ** (обратная совместимость, никакой регрессии без явного включения).
-  - `bump` — новый режим «карточка падает вниз».
-- **BR-2.** Неизвестное/пустое значение флага трактуется как `edit` (безопасный фолбэк, оркестратор не падает).
-
-### 4.2. Поведение режима bump
-- **BR-3.** При обновлении карточки в режиме `bump`: старое сообщение удаляется (`deleteMessage`), отправляется новое (`sendMessage`), указатель `tracker_message_id` перенаправляется на новое сообщение. Итог: в чате всегда ровно ОДНА карточка задачи, и она всегда внизу.
-- **BR-4.** Bump тихий: новое сообщение отправляется с `disable_notification=true` — карточка всплывает внизу, но БЕЗ звука/пинга на каждой стадии (как и сейчас в edit-режиме).
-- **BR-5.** Первое обновление (карточки ещё нет) в режиме `bump` — просто тихо отправить новое и запомнить id (удалять нечего).
-
-### 4.3. Устойчивость (критично — не сломать защиту от дублей)
-- **BR-6.** Fallback: если `deleteMessage` не удался (сообщение старше 48 ч / уже удалено / недоступно) — карточка всё равно отправляется заново, оркестратор НЕ падает.
-- **BR-7.** Любой сбой нотификации (сеть/таймаут/5xx/Telegram-ошибка) НЕ роняет оркестратор (контракт «never raises» сохраняется) и НЕ плодит дубли карточек в пределах одного обновления.
-- **BR-8.** Режим `edit` после изменений работает строго как раньше — без регрессий (защита от ~15 дублей сохранена).
-
-### 4.4. Текстовые правки карточки (применяются в ОБОИХ режимах)
-- **BR-9.** Метку «Ревью БРД» заменить на «Подтверждение BRD».
-- **BR-10.** После того как задача переведена в Approved (человеческий gate пройден, время ревью зафиксировано), эмодзи в строке подтверждения BRD заменить на галочку (✅) вместо текущей паузы (⏸️). Пока ждём человека — оставить прежний индикатор ожидания.
-- **BR-11.** Русифицировать метки стадий карточки: `Analysis → Анализ`, `Architecture → Архитектура`, `Development → Разработка`, `Review → Код ревью`, `Testing → Тестирование`, `Deploy → Внедрение`.
-- **BR-12.** В итоговой (последней) строке готовой задачи заменить технический `deployed` на «Внедрено».
-
-## 5. Вне scope
-- Изменение состава событий, которые шлются ОТДЕЛЬНЫМИ пингами (approve-gate / deploy-fail / agent-fail / error) — остаётся как есть.
-- Изменение формата метрик (токены/стоимость/длительность), макета строк, логики «попытка N».
-- Любые изменения в Plane-комментариях агентов (`usage.build_status_comment`).
-- Хранение истории карточек / несколько карточек на задачу.
-
-## 6. Влияние на документацию (golden source)
-- `CHANGELOG.md` — запись в `[Unreleased]`.
-- `docs/architecture/internals.md` (или соответствующая секция про live-tracker) — описать режимы `edit`/`bump` и `ORCH_TRACKER_MODE`.
-- `.env.example` — добавить `ORCH_TRACKER_MODE` с пояснением.
-
-## 7. Критерии успеха (резюме)
-Слава может выставить `ORCH_TRACKER_MODE=bump` и видеть актуальную карточку всегда внизу чата, одну на задачу, без звона; при откате на `edit` (дефолт) поведение неотличимо от текущего; текст карточки полностью русифицирован по BR-9..BR-12. Полные условия PASS/FAIL — `03-acceptance-criteria.md`.
-</content>
-</invoke>

docs/work-items/ORCH-042/02-trz.md

@@ -1,118 +0,0 @@
-# 02 — ТЗ: Telegram live-tracker, режим bump + русификация
-
-**Work Item:** ORCH-042 · См. `01-brd.md`, `03-acceptance-criteria.md`.
-
-## 1. Задействованные модули `src/`
-| Файл | Что меняется |
-|------|--------------|
-| `src/config.py` | Новое поле `Settings.tracker_mode` (env `ORCH_TRACKER_MODE`). |
-| `src/notifications.py` | Новый helper `delete_telegram(message_id)`; ветвление `update_task_tracker` по режиму; текстовые правки в `_BRD_LABEL`, `_TRACKER_STAGES`, BRD-строке `render_task_tracker`, `_done_link`. |
-
-БД — **без изменений** (используется существующая колонка `tasks.tracker_message_id` и хелперы `get_tracker_message_id` / `set_tracker_message_id` в `src/db.py`). API HTTP-эндпоинты оркестратора — **без изменений**. Новые QG checks — **не требуются**.
-
-## 2. Изменения конфигурации (`src/config.py`)
-
-Добавить в класс `Settings` (рядом с блоком «Telegram notifications»):
-
-```python
-# ORCH-042: режим live-трекера задачи.
-#   edit -> карточка редактируется на месте (editMessageText), ДЕФОЛТ (как было).
-#   bump -> при обновлении старое сообщение удаляется и карточка отправляется
-#           заново вниз чата (deleteMessage + sendMessage + repoint message_id),
-#           тихо (disable_notification). Одна карточка на задачу в обоих режимах.
-# Неизвестное/пустое значение трактуется как edit (см. notifications).
-tracker_mode: str = "edit"
-```
-
-- `env_prefix = "ORCH_"` уже задан → переменная окружения `ORCH_TRACKER_MODE`.
-- Резолюция режима — в `notifications`: всё, что не равно (case-insensitive, trimmed) `"bump"`, считается `edit`. Не падать на любом значении.
-
-## 3. Изменения нотификаций (`src/notifications.py`)
-
-### 3.1. Новый low-level helper `delete_telegram`
-Рядом с `send_telegram` / `edit_telegram`. Контракт «never raises».
-
-```python
-def delete_telegram(message_id: int) -> bool:
-    """Delete a Telegram message. Never raises.
-
-    Returns True if the message is gone after the call (deleted now, OR Telegram
-    says it's already not there / can't be deleted -> treat as "no longer our
-    problem", caller proceeds to send a fresh card). Returns False only on a
-    transient failure (network / timeout / 5xx / unknown error) where the old
-    message may still be alive.
-    """
-```
-
-Требования к реализации:
-- Эндпоинт `https://api.telegram.org/bot{token}/deleteMessage`, тело `{chat_id, message_id}`, `timeout=5`.
-- Нет токена/chat_id → вернуть `False` (как и прочие helpers при отсутствии кредов — ничего не отправлено, ничего не удалено).
-- `ok:true` → `True`.
-- `ok:false` с описанием «уже нет / нельзя удалить» (маркеры: `"message to delete not found"`, `"message can't be deleted"`, `"message_id_invalid"`) → `True` (сообщение и так недоступно; не транзиент).
-- Прочие `ok:false` (неизвестный 400 / 5xx) и исключения (сеть/таймаут) → `False` + `logger.warning`.
-- Вынести маркеры в модульную константу (по аналогии с `_GONE_MARKERS`), например `_DELETE_GONE_MARKERS`.
-
-### 3.2. Ветвление `update_task_tracker` по режиму
-Сохранить существующий путь `edit` без изменений поведения. Добавить путь `bump`.
-
-Псевдокод целевой логики:
-```python
-def update_task_tracker(task_id: int):
-    try:
-        from .db import get_tracker_message_id, set_tracker_message_id
-        text = render_task_tracker(task_id)
-        mode = (_get_settings().tracker_mode or "edit").strip().lower()
-        mid = get_tracker_message_id(task_id)
-
-        if mode == "bump":
-            # bump: одна карточка, но всегда внизу.
-            if mid is not None:
-                delete_telegram(mid)   # best-effort; fallback -> всё равно шлём новое
-            new_mid = send_telegram(text, disable_notification=True)
-            if new_mid is not None:
-                set_tracker_message_id(task_id, new_mid)
-            # send вернул None (нет кредов / транзиент) -> mid не трогаем,
-            # дубля в пределах вызова нет; перерисуется на следующем переходе.
-            return
-
-        # mode == "edit" (ДЕФОЛТ): существующая логика без изменений.
-        ...  # текущий код edit/EDIT_GONE-fallback as is
-    except Exception as e:
-        logger.warning(f"update_task_tracker({task_id}) failed: {e}")
-```
-
-Инварианты bump-ветки:
-- В пределах ОДНОГО вызова отправляется максимум одно новое сообщение → дублей нет (BR-7).
-- `set_tracker_message_id` вызывается ТОЛЬКО при успешном `send` (`new_mid is not None`). При сбое send id остаётся прежним; на следующем переходе старый будет удалён (или уже мёртв) и отправлен новый — без накопления карточек.
-- `delete_telegram` — best-effort: его результат НЕ блокирует отправку новой карточки (BR-6: delete-fail → всё равно шлём новое).
-- Bump всегда тихий: `disable_notification=True` (BR-4).
-
-### 3.3. Текстовые правки (общие для обоих режимов)
-
-| BR | Где | Было | Стало |
-|----|-----|------|-------|
-| BR-9 | `_BRD_LABEL` (модульная константа) | `"Ревью БРД"` | `"Подтверждение BRD"` |
-| BR-10 | `render_task_tracker`, ветка BRD-строки при `review_seconds is not None` | префикс `⏸️` (`⏸️`) | `✅` (`✅`). Ветка ожидания (`review_seconds is None`, с ⏳) — НЕ менять. |
-| BR-11 | `_TRACKER_STAGES` (метки) | `Analysis / Architecture / Development / Review / Testing / Deploy` | `Анализ / Архитектура / Разработка / Код ревью / Тестирование / Внедрение` |
-| BR-12 | `_done_link` | `"\U0001f4e6 deployed"` | `"\U0001f4e6 Внедрено"` |
-
-Примечания:
-- В `_TRACKER_STAGES` меняется ТОЛЬКО display-label (2-й элемент кортежа). Ключи стадий (`analysis`,…) и имена агентов (`analyst`,…) НЕ трогать — они завязаны на `_STAGE_ACTIVE_AGENT`, `last_done`, БД.
-- Выравнивание `{label:<13}` и `{_BRD_LABEL:<13}` оставить как есть (все новые русские метки ≤13 символов; «Подтверждение BRD» длиннее — формат просто не паддит, косметика, поведение не ломает).
-- Метки используются и в «✅ …»-строках завершённых стадий, и в «🔄 … идёт»-строке активной стадии — обе автоматически станут русскими (правка в одном месте).
-
-## 4. Совместимость и риски
-- Дефолт `edit` гарантирует нулевую регрессию без явного включения bump (BR-8). Подробно — `10-tech-risks.md` (заводит архитектор/девелопер при необходимости).
-- Самохостинг: изменения только в коде нотификаций, миграций БД нет, перезапуск self — по стандартной страховке `deploy-staging` (8501) перед prod (см. `CLAUDE.md`).
-
-## 5. Артефакты pipeline, которые ДОЛЖНЫ быть обновлены в этом же PR
-- `CHANGELOG.md` → запись в `[Unreleased] / Added` (режим bump) + `Changed` (русификация текста).
-- `docs/architecture/internals.md` — секция про live-tracker: режимы `edit`/`bump`, `ORCH_TRACKER_MODE`, контракт `delete_telegram`.
-- `.env.example` — `ORCH_TRACKER_MODE=edit` с комментарием.
-- Тесты — см. `04-test-plan.yaml`. **Существующие тесты в `tests/test_telegram_tracker.py`, проверяющие англоязычные метки (`"✅ Analysis"`, `"🔄 Deploy"`, `"Review"`) и метку `"Ревью БРД"`, ОБЯЗАТЕЛЬНО обновить под новые русские строки** — иначе регрессия в CI. Это правка существующих ассертов, не изменение контракта.
-
-## 6. Замечания по реализации (без расширения scope)
-- Не вводить новых зависимостей; `httpx` уже используется.
-- Не менять сигнатуры `send_telegram` / `edit_telegram` / `update_task_tracker` (внешние вызовы из `launcher`/`stage_engine` не трогаются).
-- Не менять состав отдельных пингов (approve-gate / error / deploy-fail / agent-fail).
-</content>

docs/work-items/ORCH-042/03-acceptance-criteria.md

@@ -1,55 +0,0 @@
-# 03 — Критерии приёмки: ORCH-042
-
-Каждый критерий — однозначное условие PASS/FAIL. Покрытие тестами — `04-test-plan.yaml`.
-
-## Конфигурация
-- **AC-1.** `Settings.tracker_mode` существует, дефолт `"edit"`, читается из env `ORCH_TRACKER_MODE`.
-  - PASS: `Settings().tracker_mode == "edit"` без env; `ORCH_TRACKER_MODE=bump` → `"bump"`.
-  - FAIL: поле отсутствует / другой дефолт / не читает env.
-- **AC-2.** Неизвестное/пустое значение режима трактуется как `edit` (оркестратор не падает).
-  - PASS: `ORCH_TRACKER_MODE=garbage` (или пусто) → `update_task_tracker` идёт по edit-ветке, исключений нет.
-  - FAIL: исключение / выбор bump-ветки на мусоре.
-
-## Режим edit (регрессия — поведение как было)
-- **AC-3.** Первый вызов (нет `tracker_message_id`): `sendMessage` тихо (`disable_notification=True`), id сохраняется; `editMessageText` НЕ вызывается.
-- **AC-4.** Повторный вызов при живом сообщении: `editMessageText` на сохранённый id; новое сообщение НЕ шлётся.
-- **AC-5.** `edit` вернул `EDIT_GONE` → шлётся НОВОЕ сообщение, id обновляется (fallback как раньше).
-- **AC-6.** `edit` вернул `EDIT_NOT_MODIFIED` или `EDIT_FAILED` → новое сообщение НЕ шлётся, id не меняется (защита от дублей сохранена).
-  - Все AC-3..AC-6 проверяются при `tracker_mode="edit"` (дефолт). FAIL — любое расхождение с текущим поведением.
-
-## Режим bump
-- **AC-7.** Первый вызов в `bump` (нет id): `deleteMessage` НЕ вызывается; `sendMessage` тихо (`disable_notification=True`); возвращённый id сохраняется.
-  - PASS: ровно один `send_telegram(..., disable_notification=True)`, `delete_telegram` не вызван, `get_tracker_message_id == new_id`.
-  - FAIL: вызван delete / громкое сообщение / id не сохранён.
-- **AC-8.** Повторный вызов в `bump` при существующем id: вызывается `delete_telegram(старый_id)`, затем `send_telegram(..., disable_notification=True)`, затем `tracker_message_id` перенаправляется на новый id.
-  - PASS: порядок delete→send соблюдён, id == новый.
-  - FAIL: нет delete / нет send / id остался старым.
-- **AC-9.** Bump тихий: новое сообщение всегда с `disable_notification=True`.
-  - FAIL: `disable_notification` False/отсутствует.
-- **AC-10.** Одна карточка на задачу: за один вызов `update_task_tracker` в bump шлётся НЕ более одного нового сообщения.
-  - FAIL: более одного `send_telegram` за вызов.
-
-## Устойчивость
-- **AC-11.** Fallback при delete-fail: если `delete_telegram` вернул False (старое >48ч / транзиент) — новое сообщение всё равно отправляется, id обновляется, исключений нет.
-  - PASS: `delete_telegram→False` → ровно один send → id == новый.
-  - FAIL: send пропущен / исключение всплыло.
-- **AC-12.** `delete_telegram` классификация (httpx замокан, never raises):
-  - `ok:true` → `True`;
-  - `ok:false` с `"message to delete not found"` / `"message can't be deleted"` / `"message_id_invalid"` → `True`;
-  - неизвестный `ok:false` / 5xx → `False`;
-  - исключение (таймаут/сеть) → `False`;
-  - нет токена/chat_id → `False`, HTTP-вызов не выполняется.
-- **AC-13.** Транзиентный сбой send в bump (send вернул None): `tracker_message_id` НЕ затирается на None; исключений нет; дублей нет (≤1 попытка send за вызов).
-- **AC-14.** `update_task_tracker` никогда не выбрасывает исключение ни в одном режиме (контракт «never raises») при любых сбоях БД/сети/Telegram.
-
-## Текстовые правки (оба режима)
-- **AC-15.** Метка «Подтверждение BRD» присутствует в карточке там, где раньше была «Ревью БРД»; строки «Ревью БРД» в выводе нет.
-- **AC-16.** После прохождения approve-gate (зафиксированы `brd_review_started_at` и `brd_review_ended_at`) строка подтверждения BRD начинается с ✅ (не ⏸️). Пока ждём человека (`brd_review_ended_at` пуст) — индикатор ожидания/⏳ сохраняется (не ✅).
-- **AC-17.** Метки стадий в карточке русские: `Анализ`, `Архитектура`, `Разработка`, `Код ревью`, `Тестирование`, `Внедрение`. Английских меток (`Analysis`/`Architecture`/`Development`/`Review`/`Testing`/`Deploy`) в выводе нет — ни в «✅ …»-строках, ни в «🔄 … идёт».
-- **AC-18.** Итоговая строка готовой задачи содержит «📦 Внедрено» (не «deployed»).
-
-## Регрессия и качество
-- **AC-19.** Состав отдельных пингов не изменён: `notify_approve_requested` шлёт ровно один НЕтихий пинг и стартует BRD-часы; `notify_error` — один НЕтихий пинг; `notify_stage_change` / `notify_agent_started` / `notify_qg_failure` — НЕ шлют отдельных сообщений (только refresh трекера).
-- **AC-20.** Вся существующая и новая pytest-сюита зелёная (`pytest tests/ -q`). Существующие ассерты в `tests/test_telegram_tracker.py` обновлены под русские метки и «Подтверждение BRD».
-- **AC-21.** Документация обновлена в ТОМ ЖЕ PR: `CHANGELOG.md`, `docs/architecture/internals.md` (режимы + `ORCH_TRACKER_MODE` + `delete_telegram`), `.env.example` (`ORCH_TRACKER_MODE`). Отсутствие — REQUEST_CHANGES на ревью.
-</content>

docs/work-items/ORCH-042/04-test-plan.yaml

@@ -1,160 +0,0 @@
-work_item: ORCH-042
-description: >
-  Режим bump live-трекера (delete+send+repoint, тихо, fallback, never-raises),
-  сохранение режима edit без регрессий, и текстовые правки карточки
-  (Подтверждение BRD, ✅ после approve, русские метки стадий, «Внедрено»).
-  Сеть не трогаем: httpx / низкоуровневые helpers мокаются; изолированная temp-БД.
-
-tests:
-  # --- config ---
-  - id: TC-01
-    type: unit
-    description: "Settings.tracker_mode по умолчанию 'edit' и читается из ORCH_TRACKER_MODE (AC-1)"
-    module: tests/test_config.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "Неизвестное/пустое значение режима -> update_task_tracker идёт по edit-ветке, без исключений (AC-2)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  # --- edit mode regression ---
-  - id: TC-03
-    type: unit
-    description: "edit: первый вызов -> sendMessage тихо, id сохранён, editMessageText не вызван (AC-3)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "edit: повторный вызов -> editMessageText на сохранённый id, нового send нет (AC-4)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "edit: EDIT_GONE -> отправка нового, id обновлён (AC-5)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  - id: TC-06
-    type: unit
-    description: "edit: EDIT_NOT_MODIFIED и EDIT_FAILED -> нового сообщения нет, id не меняется (AC-6)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  # --- bump mode ---
-  - id: TC-07
-    type: unit
-    description: "bump: первый вызов (нет id) -> delete не вызван, send тихий, id сохранён (AC-7, AC-9)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "bump: повторный вызов -> delete(старый) затем send(тихо), id перенаправлен на новый, порядок delete->send (AC-8, AC-9, AC-10)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  - id: TC-09
-    type: unit
-    description: "bump fallback: delete_telegram->False -> новое всё равно отправлено, id обновлён, без исключений (AC-11)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  - id: TC-10
-    type: unit
-    description: "bump: send вернул None (транзиент) -> id не затёрт на None, ровно одна попытка send, без исключений (AC-13)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  - id: TC-11
-    type: unit
-    description: "bump: одна карточка за вызов -> send_telegram вызван <=1 раза (AC-10)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  # --- delete_telegram classification ---
-  - id: TC-12
-    type: unit
-    description: "delete_telegram: ok:true -> True (httpx замокан)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  - id: TC-13
-    type: unit
-    description: "delete_telegram: ok:false 'message to delete not found' / 'message can't be deleted' / 'message_id_invalid' -> True (AC-12)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  - id: TC-14
-    type: unit
-    description: "delete_telegram: неизвестный ok:false / 5xx -> False (AC-12)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  - id: TC-15
-    type: unit
-    description: "delete_telegram: исключение (таймаут/сеть) -> False, never raises (AC-12, AC-14)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  - id: TC-16
-    type: unit
-    description: "delete_telegram: нет токена/chat_id -> False, HTTP не вызывается (AC-12)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  # --- never raises ---
-  - id: TC-17
-    type: unit
-    description: "update_task_tracker никогда не бросает (DB/сеть сбой) в обоих режимах (AC-14)"
-    module: tests/test_tracker_bump.py
-    expected: PASS
-
-  # --- text changes ---
-  - id: TC-18
-    type: unit
-    description: "render: метка 'Подтверждение BRD' присутствует, 'Ревью БРД' отсутствует (AC-15)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  - id: TC-19
-    type: unit
-    description: "render: approve-gate пройден (brd_review_ended_at задан) -> строка BRD с ✅, не ⏸️ (AC-16)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  - id: TC-20
-    type: unit
-    description: "render: ожидание человека (brd_review_ended_at пуст) -> индикатор ожидания/⏳, не ✅ (AC-16)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  - id: TC-21
-    type: unit
-    description: "render: русские метки стадий (Анализ/Архитектура/Разработка/Код ревью/Тестирование/Внедрение), английских нет — в ✅- и 🔄-строках (AC-17)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  - id: TC-22
-    type: unit
-    description: "render done: итоговая строка содержит '📦 Внедрено', не 'deployed' (AC-18)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  # --- separate alerts regression ---
-  - id: TC-23
-    type: unit
-    description: "Состав отдельных пингов не изменён: approve-gate/error шлют 1 нетихий пинг; stage_change/agent_started/qg_failure не шлют (AC-19)"
-    module: tests/test_telegram_tracker.py
-    expected: PASS
-
-  # --- full suite ---
-  - id: TC-24
-    type: integration
-    description: "Вся pytest-сюита зелёная; обновлённые ассерты под русские метки проходят (AC-20)"
-    module: tests/
-    expected: PASS
-</content>

docs/work-items/ORCH-042/06-adr/ADR-001-tracker-bump-mode.md

@@ -1,85 +0,0 @@
-# ADR-001: Режим bump live-трекера через delete+send+repoint, edit как дефолт
-
-**Work Item:** ORCH-042 · См. `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `10-tech-risks.md`.
-
-## Статус
-Accepted
-
-## Контекст
-
-Live-tracker (`src/notifications.py`, ветка `feat/telegram-live-tracker`, Variant B+) держит **ОДНУ** карточку на задачу и редактирует её на месте (`editMessageText`) на каждом переходе стадии. Это сознательно убило прежнюю боль — «~15 отдельных карточек/дублей на задачу». Защита от дублей — главный инвариант компонента и не должна регрессировать.
-
-Побочный эффект edit-режима: при активной переписке в чате карточка «тонет» вверху истории — актуальный статус задачи приходится искать скроллом. Слава просит альтернативу: карточка должна всегда быть последней в чате, но без возврата дублей и без звона на каждой стадии.
-
-Дополнительно — косметика текста карточки (смесь EN-меток стадий с RU-текстом, «Ревью БРД», технический хвост `deployed`). Текстовые правки тривиальны и сами по себе архитектурного решения не требуют; ключевое решение — как реализовать новый режим, не сломав инвариант «одна карточка».
-
-Ограничения окружения (см. `CLAUDE.md`, `docs/operations/INFRA.md`):
-- Контракт компонента: `update_task_tracker` и low-level helpers **никогда не бросают** (сбой нотификации не должен валить конвейер).
-- Self-hosting: правка инструмента, который сейчас в проде и обслуживает другие проекты из общей БД/очереди. Прод-рестарт self — только через `deploy-staging` (8501).
-- Telegram Bot API: `deleteMessage` не работает для сообщений старше 48 ч и для уже удалённых/недоступных — это нормальный ожидаемый исход, а не ошибка.
-
-## Решение
-
-### Р-1. Поведение задаётся конфиг-флагом, дефолт `edit` (нулевая регрессия)
-Новое поле `Settings.tracker_mode` (env `ORCH_TRACKER_MODE`), значения `edit` | `bump`, **дефолт `edit`**. Резолюция режима — в `notifications`, case-insensitive + trim; всё, что не равно `"bump"` (включая пустое/мусор/None), трактуется как `edit`. Без явного включения bump поведение неотличимо от текущего → нулевая регрессия и безопасный фолбэк (оркестратор не падает на любом значении флага).
-
-### Р-2. Режим bump = delete + send + repoint, инвариант «одна карточка» сохраняется иначе
-edit-режим держит одну карточку, *редактируя* её. bump держит одну карточку, *пересоздавая* её внизу:
-1. если сохранён `tracker_message_id` — best-effort `delete_telegram(старый_id)`;
-2. `send_telegram(text, disable_notification=True)` — новая карточка внизу, тихо;
-3. при успехе (`new_mid is not None`) — `set_tracker_message_id` перенаправляется на новый id.
-
-Итог: в чате всегда ровно одна карточка задачи, и она всегда последняя. За **один** вызов `update_task_tracker` отправляется **не более одного** нового сообщения → дублей в пределах вызова нет.
-
-### Р-3. delete — best-effort, никогда не блокирует отправку новой карточки
-Новый low-level helper `delete_telegram(message_id) -> bool` с контрактом «never raises». Семантика возврата — «исчезло ли старое сообщение»:
-- `ok:true` → `True`;
-- `ok:false` с маркерами «уже нет / нельзя удалить» (`message to delete not found`, `message can't be deleted`, `message_id_invalid`, вынести в константу `_DELETE_GONE_MARKERS`) → `True` (не транзиент, сообщение и так недоступно);
-- прочий `ok:false` / 5xx / исключение (сеть/таймаут) → `False` + `logger.warning`;
-- нет токена/chat_id → `False`, HTTP не выполняется.
-
-**Результат `delete_telegram` НЕ влияет на решение отправлять новую карточку** — её шлём всегда (BR-6: delete-fail у сообщения >48 ч → всё равно новое). `False` означает лишь «старое, возможно, ещё живо»; на следующем переходе оно будет удалено повторно (или уже мёртво). Накопления карточек это не даёт, т.к. указатель всегда хранит ровно один id.
-
-### Р-4. repoint только при успешном send (анти-затирание указателя)
-`set_tracker_message_id` вызывается **только** при `new_mid is not None`. Если send вернул None (нет кредов / транзиент 5xx/таймаут) — id **не трогаем** (не затираем на None): карточка перерисуется на следующем переходе, дубля нет (≤1 попытка send за вызов). Это симметрично существующему edit-fallback, который тоже не плодит сообщения при транзиенте.
-
-### Р-5. bump всегда тихий
-Новая карточка отправляется с `disable_notification=True` — всплывает внизу, но без звука/пинга, как и edit сейчас. Состав отдельных НЕтихих пингов (approve-gate / error / deploy-fail / agent-fail) не меняется (вне scope).
-
-### Р-6. Текстовые правки — в одной точке, общие для обоих режимов
-Правки (`_BRD_LABEL` → «Подтверждение BRD»; ✅ вместо ⏸️ после approve-gate; русские display-labels в `_TRACKER_STAGES`; `_done_link` → «Внедрено») затрагивают только **отображаемые** строки. Ключи стадий (`analysis`, …) и имена агентов (`analyst`, …) НЕ меняются — они завязаны на `_STAGE_ACTIVE_AGENT`, `last_done`, БД. Правка `_TRACKER_STAGES` в одном месте автоматически русифицирует и «✅ …», и «🔄 … идёт».
-
-### Что НЕ меняется (границы решения)
-- БД: миграций нет, используется существующая колонка `tasks.tracker_message_id` и хелперы `get_tracker_message_id` / `set_tracker_message_id`. → `08-data-requirements.md` не требуется.
-- Инфраструктура / топология / порты / контейнеры — без изменений. → `07-infra-requirements.md` не требуется.
-- State machine (`src/stages.py`), реестр QG (`src/qg/checks.py`), стадии, компоненты — без изменений. → глобальный (cross-cutting) ADR не требуется, решение локально для компонента notifications.
-- Сигнатуры `send_telegram` / `edit_telegram` / `update_task_tracker` — без изменений (внешние вызовы из `launcher`/`stage_engine` не трогаются).
-- Новых зависимостей нет (`httpx` уже используется).
-
-## Альтернативы
-
-- **A1. Только bump, без флага.** Отклонено: ломает обратную совместимость и единственного пользователя (Слава может предпочесть edit); рост риска регрессии защиты от дублей. Флаг с дефолтом `edit` даёт мгновенный откат.
-- **A2. Pin-сообщение (закрепить карточку).** Отклонено: pin не решает «карточка внизу при переписке», шлёт системное уведомление о закреплении (звон), и усложняет API-контракт. Вне духа «тихого» трекера.
-- **A3. send-then-delete (сначала новое, потом удалить старое).** Отклонено как дефолтный порядок: в окне между send и delete в чате видны ДВЕ карточки; при падении на delete остаётся осиротевшая старая → визуальный дубль. delete-then-send гарантирует ≤1 карточку в любой момент при нормальном пути и ≤1 *новую* отправку за вызов в любом случае.
-- **A4. Хранить историю/несколько карточек.** Вне scope и противоречит исходному инварианту «одна карточка».
-
-## Последствия
-
-**Плюсы**
-- Слава получает актуальную карточку всегда внизу чата, одну на задачу, без звона.
-- Нулевая регрессия по умолчанию (edit), мгновенный откат флагом.
-- Контракт «never raises» и инвариант «одна карточка» сохранены в обоих режимах.
-- Изменения локальны (`config.py` + `notifications.py`), без миграций и без рестарта-критичных зависимостей.
-
-**Минусы / ограничения**
-- bump расходует Telegram API на 2 запроса вместо 1 (delete + send) на переход — для одного получателя несущественно (rate-limit Telegram не угрожает).
-- При транзиентном delete-fail возможна кратко осиротевшая старая карточка до следующего перехода (она будет вычищена попыткой delete на следующем апдейте) — приемлемо, дублей всё равно не плодит.
-- bump теряет визуальную «эволюцию на месте» edit-режима (история чата получает по карточке-замене) — но в чате всегда одна актуальная, что и требуется.
-
-**Риски** — см. `10-tech-risks.md`.
-
-## Связи
-- BRD/ТЗ/AC: `docs/work-items/ORCH-042/01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`; тест-план `04-test-plan.yaml`.
-- Компонент: live-tracker (`src/notifications.py`), `feat/telegram-live-tracker` (Variant B+).
-- Контекст self-hosting / staging-страховка: `CLAUDE.md`, `docs/operations/INFRA.md`, `docs/architecture/adr/adr-0003-staging-gate.md`.
-- Обновляемая дока (в том же PR, стадия development): `CHANGELOG.md`, `docs/architecture/internals.md` (секция live-tracker: режимы + `ORCH_TRACKER_MODE` + `delete_telegram`), `.env.example`.

docs/work-items/ORCH-042/10-tech-risks.md

@@ -1,21 +0,0 @@
-# 10 — Технические риски: ORCH-042
-
-См. `02-trz.md`, `06-adr/ADR-001-tracker-bump-mode.md`, `03-acceptance-criteria.md`.
-
-Шкала: Вероятность × Влияние ∈ {низк., сред., выс.}.
-
-| # | Риск | Вер. | Влияние | Митигация | Контроль (AC/TC) |
-|---|------|------|---------|-----------|-------------------|
-| R-1 | **Регрессия защиты от дублей** — рефактор `update_task_tracker` ломает edit-ветку, возвращается боль «~15 карточек». | низк. | выс. | edit — дефолт и неизменяемая ветка; bump добавляется отдельной веткой `if mode == "bump"`, edit-код не трогается. Полное покрытие edit-регрессии тестами. | AC-3..AC-6, AC-8; TC-03..TC-06, TC-24 |
-| R-2 | **Двойная отправка / накопление карточек в bump** — delete и send рассинхронизированы, в чате >1 карточки. | низк. | сред. | Инвариант: ≤1 `send_telegram` за вызов; `set_tracker_message_id` только при успешном send; delete best-effort и не блокирует. | AC-8, AC-10, AC-11; TC-08, TC-09, TC-11 |
-| R-3 | **Затирание `tracker_message_id` на None** при транзиентном send-fail → потеря указателя, следующий апдейт не найдёт старое. | низк. | сред. | repoint только при `new_mid is not None`; при None id сохраняется как есть. | AC-13; TC-10 |
-| R-4 | **Нарушение контракта «never raises»** — исключение из `delete_telegram`/новой ветки валит конвейер (групповой риск из-за общей очереди). | низк. | выс. | `delete_telegram` обёрнут try/except → bool; внешний try/except в `update_task_tracker` сохранён; сеть/httpx мокаются в тестах. | AC-12, AC-14; TC-12..TC-17 |
-| R-5 | **Ложная классифик. delete-ответа** — неизвестный `ok:false` принят за «исчезло» (или наоборот), вечные ретраи/тишина. | низк. | низк. | Явные `_DELETE_GONE_MARKERS` → True; всё прочее (включая 5xx) → False; повтор delete на следующем апдейте безопасен (идемпотентно). | AC-12; TC-13, TC-14 |
-| R-6 | **Падение CI на старых ассертах** — тесты `tests/test_telegram_tracker.py` проверяют EN-метки/«Ревью БРД». | сред. | сред. | ТЗ §5 явно требует обновить существующие ассерты под русские метки и «Подтверждение BRD» в том же PR. | AC-20; TC-18, TC-21, TC-24 |
-| R-7 | **Сломанная human-gate индикация** — ✅ показан до прохождения approve-gate (ввод в заблуждение). | низк. | низк. | ✅ только при заданном `brd_review_ended_at`; ветка ожидания (`review_seconds is None`, ⏳) не меняется. | AC-16; TC-19, TC-20 |
-| R-8 | **Скрытая зависимость от display-label** — русификация `_TRACKER_STAGES` ломает логику, завязанную на текст метки. | низк. | сред. | Меняется только 2-й элемент кортежа (label); ключи стадий и имена агентов (`_STAGE_ACTIVE_AGENT`, `last_done`, БД) не трогаются. | AC-17; TC-21 |
-| R-9 | **Self-hosting: прод-сбой при выкатке self** — общая БД/очередь, рестарт орка останавливает все проекты. | низк. | выс. | Изменения только в коде нотификаций, миграций БД нет; обязательная страховка `deploy-staging` (8501) перед prod (CLAUDE.md, INFRA.md, adr-0003). Дефолт edit → даже при выкатке поведение не меняется без явного флага. | стадия deploy-staging; `check_staging_status` |
-| R-10 | **Документация не обновлена** в том же PR (internals.md / .env.example / CHANGELOG) → REQUEST_CHANGES. | сред. | низк. | ТЗ §5 и AC-21 фиксируют список; reviewer проверяет наличие. | AC-21 |
-
-## Сводный вывод
-Все риски — **низкие по вероятности** при соблюдении инвариантов из ADR-001 (edit-дефолт, ≤1 send/вызов, repoint-only-on-success, never-raises, правка только display-label). Остаточный групповой self-hosting-риск (R-9) полностью покрывается обязательным `deploy-staging`-гейтом и тем, что дефолтное поведение не меняется. Блокеров для перехода на стадию development нет.

docs/work-items/ORCH-042/12-review.md

@@ -1,56 +0,0 @@
----
-type: review
-work_item_id: ORCH-042
-verdict: APPROVED
-version: 1
----
-
-# Review ORCH-042
-
-## Summary
-Telegram live-tracker: добавлен режим `bump` (`ORCH_TRACKER_MODE` / `Settings.tracker_mode`, дефолт `edit`) + русификация и косметика карточки. Реализация точно соответствует `02-trz.md` и `06-adr/ADR-001-tracker-bump-mode.md`. Все 21 критерий приёмки покрыты; `pytest tests/ -q` — **494 passed**. Документация обновлена в том же PR. Замечаний уровня P0/P1/P2 нет.
-
-## Проверка по осям
-
-### 1. Соответствие ТЗ
-- `Settings.tracker_mode = "edit"` + env `ORCH_TRACKER_MODE` — есть (config.py).
-- `delete_telegram(message_id) -> bool` — контракт «never raises», `_DELETE_GONE_MARKERS` вынесены в константу, классификация ok/gone/transient/no-creds реализована дословно по ТЗ §3.1.
-- Ветвление `update_task_tracker`: bump = delete(best-effort) → send(silent) → repoint только при `new_mid is not None`; edit-ветка сохранена без изменений (§3.2). Инварианты bump (≤1 send/вызов, анти-затирание указателя, delete не блокирует send, всегда тихо) соблюдены.
-- Текстовые правки BR-9..BR-12 (`_BRD_LABEL`→«Подтверждение BRD», ✅ вместо ⏸️ после approve-gate, русские display-labels `_TRACKER_STAGES`, `_done_link`→«Внедрено») — на месте; ключи стадий и имена агентов не тронуты.
-- БД, API, сигнатуры helpers, зависимости — без изменений (как и требовалось).
-
-### 2. Соответствие ADR (ADR-001)
-Реализация соответствует решениям Р-1..Р-6: флаг с дефолтом edit (нулевая регрессия), delete+send+repoint, best-effort delete, repoint только при успешном send, всегда тихий bump, текст в одной точке. Выбран порядок delete-then-send (A3 отклонён обоснованно). Глобальные ADR не нарушены; решение локально для компонента notifications, что зафиксировано в ADR.
-
-### 3. Качество кода
-- Defensive-контракты «never raises» соблюдены и в helper, и в `update_task_tracker`.
-- Docstrings содержательные; логирование (`debug`/`warning`) корректно разнесено по случаям.
-- Security/утечек нет; новых зависимостей нет.
-
-### 4. Качество тестов
-- `tests/test_config.py` (AC-1), `tests/test_tracker_bump.py` (AC-7..AC-14: ордеринг delete→send, delete-fail, send=None, ≤1 send, классификация delete_telegram, never-raises), `tests/test_telegram_tracker.py` (AC-2 garbage→edit, AC-15..AC-18 русификация, регрессия edit).
-- Существующие англоязычные ассерты обновлены под русские метки и «Подтверждение BRD» (AC-20).
-- Тесты содержательные, не тривиальные. `pytest tests/ -q` → 494 passed.
-
-## Findings
-
-### P0 — Blocker
-- нет
-
-### P1 — Must fix
-- нет
-
-### P2 — Should fix
-- нет
-
-### P3 — Nice to have
-- [ ] В `_TRACKER_STAGES` строчные комментарии-дубли (`# Анализ` и т.п.) после уже русских меток избыточны — косметика, на поведение не влияет.
-
-## Документация
-Обновлена в том же PR, полностью соответствует AC-21:
-- `CHANGELOG.md` — записи в `[Unreleased] / Added` (bump-режим + `delete_telegram`) и `Changed` (русификация). ✅
-- `docs/architecture/internals.md` — новая секция «Live Telegram tracker»: режимы edit/bump (таблица), `ORCH_TRACKER_MODE`, контракт `delete_telegram`, текстовые правки. ✅
-- `.env.example` — `ORCH_TRACKER_MODE=edit` с комментарием. ✅
-- ADR заведён: `06-adr/ADR-001-tracker-bump-mode.md`. ✅
-
-Изменения `src/` (config.py, notifications.py) полностью отражены в документации — правило «документация = golden source» выполнено.

docs/work-items/ORCH-042/13-test-report.md

@@ -1,78 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-042
-result: PASS
----
-
-# Test Report — ORCH-042
-
-Telegram live-tracker: режим `bump` (delete+send+repoint, тихо, fallback, never-raises),
-сохранение режима `edit` без регрессий, русификация карточки.
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3
-- Ветка: feature/ORCH-042-telegram-live-tracker-bump
-- Дата: 2026-06-06
-- Prod orchestrator (8500): `/health` → `{"status":"ok"}`, активна задача #40 (ORCH-042, stage=testing)
-
-## Smoke test API
-| Endpoint | Результат |
-|----------|-----------|
-| GET /health | PASS — `{"status":"ok","service":"orchestrator"}` |
-| GET /status | PASS — активная задача ORCH-042 (stage=testing) |
-| GET /queue | PASS — queued:0 running:1 done:99 failed:0, breaker=closed |
-
-(`curl` в окружении недоступен — smoke выполнен через `urllib`.)
-
-## Результаты по тест-плану (04-test-plan.yaml)
-
-| TC ID | Описание | AC | Результат |
-|-------|----------|----|-----------|
-| TC-01 | Settings.tracker_mode дефолт 'edit', читается из ORCH_TRACKER_MODE | AC-1 | PASS |
-| TC-02 | Мусорное/пустое значение → edit-ветка, без исключений | AC-2 | PASS |
-| TC-03 | edit: первый вызов → send тихо, id сохранён, edit не вызван | AC-3 | PASS |
-| TC-04 | edit: повтор → editMessageText на сохранённый id, нового send нет | AC-4 | PASS |
-| TC-05 | edit: EDIT_GONE → отправка нового, id обновлён | AC-5 | PASS |
-| TC-06 | edit: EDIT_NOT_MODIFIED/EDIT_FAILED → нового нет, id не меняется | AC-6 | PASS |
-| TC-07 | bump: первый вызов → delete не вызван, send тихий, id сохранён | AC-7,9 | PASS |
-| TC-08 | bump: повтор → delete(старый)→send(тихо)→repoint, порядок соблюдён | AC-8,9,10 | PASS |
-| TC-09 | bump fallback: delete→False → новое всё равно отправлено | AC-11 | PASS |
-| TC-10 | bump: send=None → id не затёрт, ≤1 send | AC-13 | PASS |
-| TC-11 | bump: одна карточка за вызов (send ≤1) | AC-10 | PASS |
-| TC-12 | delete_telegram: ok:true → True | AC-12 | PASS |
-| TC-13 | delete_telegram: gone-маркеры → True | AC-12 | PASS |
-| TC-14 | delete_telegram: неизвестный ok:false / 5xx → False | AC-12 | PASS |
-| TC-15 | delete_telegram: исключение → False, never raises | AC-12,14 | PASS |
-| TC-16 | delete_telegram: нет кредов → False, HTTP не вызван | AC-12 | PASS |
-| TC-17 | update_task_tracker never raises (оба режима) | AC-14 | PASS |
-| TC-18 | render: «Подтверждение BRD» есть, «Ревью БРД» нет | AC-15 | PASS |
-| TC-19 | render: approve-gate пройден → строка BRD с ✅ | AC-16 | PASS |
-| TC-20 | render: ожидание человека → ⏳, не ✅ | AC-16 | PASS |
-| TC-21 | render: русские метки стадий, английских нет | AC-17 | PASS |
-| TC-22 | render done: «📦 Внедрено», не «deployed» | AC-18 | PASS |
-| TC-23 | состав отдельных пингов не изменён | AC-19 | PASS |
-| TC-24 | вся pytest-сюита зелёная | AC-20 | PASS |
-
-Все 24 тест-кейса плана покрыты и пройдены. Критерии AC-1..AC-20 подтверждены
-тестами; AC-21 (документация) подтверждён на ревью (12-review.md, verdict APPROVED).
-
-## Вывод pytest
-
-Целевые модули ORCH-042:
-```
-tests/test_config.py tests/test_telegram_tracker.py tests/test_tracker_bump.py
-52 passed, 1 warning in 1.38s
-```
-
-Полный регресс:
-```
-======================== 494 passed, 1 warning in 8.57s ========================
-```
-
-(Единственный warning — PydanticDeprecatedSince20 в `src/config.py:4`, не связан с
-ORCH-042, существовал ранее, на результат не влияет.)
-
-## Итог
-**PASS** — полный регресс 494/494 зелёный, целевые модули 52/52 PASS, smoke API OK.
-Задача готова к стадии deploy-staging.

docs/work-items/ORCH-042/14-deploy-log.md

@@ -1,82 +0,0 @@
----
-deploy_status: SUCCESS
-timestamp: 2026-06-06T10:20:38Z
-work_item: ORCH-042
-branch: feature/ORCH-042-telegram-live-tracker-bump
-commit: 753eea37fc9b0b7bffd9f896ae8149f5a515fc26
-target_service: orchestrator
-target_port: 8500
-deploy_mode: artifact-only
-staging_gate: SUCCESS
-prod_container_restarted: false
-rebuild_required: true
----
-
-# Deploy Log — ORCH-042
-
-## Verdict
-
-**`deploy_status: SUCCESS`** — артефактный (artifact-only) деплой-вердикт.
-
-Реальный `git pull` + `docker compose ... --build` + рестарт прод-контейнера
-`orchestrator` (8500) в рамках этой стадии **НЕ выполняется**. Он делегирован
-хуку `scripts/orchestrator-deploy-hook.sh` (ORCH-36), который запускается
-Владельцем **после** мерджа ветки `feature/ORCH-042-telegram-live-tracker-bump`
-в `main`. Guardrail: агент никогда не перезапускает общий прод-инстанс внутри
-ORCH-задачи — это self-hosting групповой риск (CLAUDE.md / INFRA.md
-§Self-hosting): рестарт прод-орка остановил бы конвейер ВСЕХ проектов.
-
-## Pre-conditions (все ✓)
-
-| Артефакт | Поле | Значение |
-|----------|------|----------|
-| `12-review.md` | `verdict` | `APPROVED` |
-| `13-test-report.md` | `result` | `PASS` |
-| `15-staging-log.md` | `staging_status` | `SUCCESS` (10/10 staging-checks, прогон внутри `orchestrator-staging` :8501) |
-| `04-test-plan.yaml` | — | покрывает AC задачи |
-| ADR | `06-adr/ADR-001-tracker-bump-mode.md` | заведён |
-| `CHANGELOG.md` | — | обновлён |
-
-Стадия `deploy` достижима только потому, что условный staging-гейт
-(`check_staging_status`, реальный для self-hosting repo=orchestrator) — зелёный.
-
-## Change scope — почему нужен rebuild+restart (но не сейчас)
-
-ORCH-042 меняет **рантайм-код `src/`**, который копируется в образ (`/app/src`)
-и исполняется прод-процессом — значит для вступления в силу на проде нужен
-rebuild + restart контейнера:
-
-| Файл | Тип | Как доезжает до прода |
-|------|-----|------------------------|
-| `src/notifications.py` | runtime (в образе) | требует **rebuild + restart** контейнера |
-| `src/config.py` | runtime (в образе) | требует **rebuild + restart** контейнера |
-| `.env.example` | дескриптор | реальные значения — в `.env` на хосте (не в гит) |
-| `docs/**`, `CHANGELOG.md` | docs | мерж в `main` |
-| `tests/**` | тесты, не деплоятся | n/a |
-
-`rebuild_required: true`. Изменения добавляют режим **bump** live-tracker'а
-Telegram (карточка перемещается вниз при обновлении) + русификацию текста
-уведомлений; они активируются новыми env-флагами (см. `.env.example`).
-Чтобы новое поведение вступило в силу на проде, прод-инстанс `orchestrator`
-(8500) должен быть **пересобран и перезапущен Владельцем через деплой-хук
-после мерджа** — не данным агентом.
-
-## Deploy-хук (выполняет Владелец после мерджа в main)
-
-```bash
-# на хосте mva154, прод-таргет (порт 8500, profile отсутствует → default)
-TARGET_SERVICE=orchestrator \
-TARGET_PORT=8500 \
-TARGET_IMAGE=orchestrator-orchestrator \
-COMPOSE_PROFILE= \
-scripts/orchestrator-deploy-hook.sh --deploy
-```
-
-Хук: снимает снапшот текущего образа → `git pull origin main` → перезапуск
-сервиса → health-check (10×6s, до 60s по `GET /health`) → при провале
-**авто-rollback** на предыдущий образ. Прод-env-флаги bump-режима выставляются
-в `.env` на хосте до перезапуска.
-
-> ⚠️ Self-hosting: rebuild прод-орка = групповой риск (общая БД + очередь с
-> enduro-trails). Деплой проводить в окно низкой активности конвейера;
-> страховка — авто-rollback хука и зелёный staging-гейт (8501).

docs/work-items/ORCH-042/15-staging-log.md

@@ -1,58 +0,0 @@
----
-staging_status: SUCCESS
-timestamp: 2026-06-06T10:19:10+00:00
-base_url: http://localhost:8501
-work_item: ORCH-042
-mode: stub
-checks: 10/10 PASS
----
-
-# Staging Gate Log — ORCH-042
-
-Staging test suite completed against the live staging environment
-(`orchestrator-staging`, port 8501). All checks passed.
-
-## Execution
-
-Canonical procedure (ORCH-048, ADR-001): run **inside** the
-`orchestrator-staging` container so the B6 registry-isolation check reads the
-registry from the running instance's own process-env (`.env.staging`).
-
-```
-docker exec orchestrator-staging \
-  python3 /repos/orchestrator/scripts/staging_check.py \
-  --base-url http://localhost:8501 --mode stub
-```
-
-(Executed via the Docker Engine API over the mounted unix socket, since no
-docker CLI is present in the agent environment; equivalent to the canonical
-`docker exec`.)
-
-**Exit code: 0 → staging_status: SUCCESS**
-
-## Results — 10/10 PASS
-
-### Block A — SMOKE
-- ✓ A1 GET /health → 200 status=ok
-- ✓ A2 GET /queue → 200 with counts/max_concurrency/resilience
-- ✓ A3 ORCH_STAGING=true (not prod)
-
-### Block B — ACCESS
-- ✓ B4 Plane: sandbox project accessible (5 projects, sandbox=YES)
-- ✓ B5 Gitea: orchestrator-sandbox accessible, push=true
-- ✓ B6 Registry: sandbox present, prod ET/ORCH absent (isolation confirmed)
-
-### Block C — E2E (mode=stub)
-- ✓ C7 Create issue in Plane SANDBOX (HTTP 201)
-- ✓ C8 Trigger pipeline via /webhook/plane (HTTP 200, HMAC)
-- ✓ C9a Branch appears in orchestrator-sandbox
-- ✓ C9b Analyst job enqueued in staging queue
-
-### Cleanup
-- ✓ Branch deleted, Plane issue deleted, staging DB job/task rows removed.
-
-```
-============================================================
-  RESULT: 10/10 checks PASS
-============================================================
-```

docs/work-items/ORCH-043/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: Безопасная параллель в одном репо: merge-gate + auto-rebase + re-test
-
-Work Item ID: ORCH-043
-
-## Description
-
-TBD

docs/work-items/ORCH-043/01-brd.md

@@ -1,114 +0,0 @@
-# 01 — Business Requirements Document (BRD)
-
-**Work Item:** ORCH-043
-**Тема:** Безопасная параллель в одном репо: merge-gate + auto-rebase + re-test
-**Проект:** orchestrator (self-hosting)
-**Автор:** Analyst
-**Дата:** 2026-06-06
-
----
-
-## 1. Контекст и проблема
-
-Оркестратор ведёт несколько work item **параллельно**, каждый в своём изолированном
-git worktree / ветке (`feature/ORCH-NNN-slug`, ORCH-2/S-4). Все ветки одного проекта
-исходят из общего `origin/main` и в конце конвейера **вливаются обратно в `main`**.
-
-Текущий конвейер валидирует ветку **относительно того состояния `main`, из которого
-она была создана**, а не относительно `main` на момент слияния:
-
-- `check_ci_green` (стадия `development`) — CI зелёный **на ветке** (Gitea commit status ветки).
-- `check_tests_passed` (стадия `testing`) — вердикт тестировщика по коду **ветки**.
-- На стадии `deploy` ветка вливается в `main` (слияние выполняет deployer-агент,
-  см. `src/webhooks/gitea.py` — комментарий про «deployer merges the PR at the START of its run»).
-
-**Между «ветка проверена» и «ветка влита» `main` мог уйти вперёд** из-за слияния другой
-параллельной задачи. Возникает **семантический (логический) конфликт слияния**: git
-сливает ветки без текстового конфликта, но объединённый код `main` сломан — тесты,
-которые были зелёными на ветке, на обновлённом `main` падают.
-
-### Почему это критично именно здесь (self-hosting)
-Проект ORCH правит инструмент, который СЕЙЧАС работает в проде и обслуживает другие
-проекты (enduro-trails) из одного инстанса с общей БД и общей очередью (см. `CLAUDE.md`,
-`docs/operations/INFRA.md`). Сломанный `main` оркестратора = встал конвейер ВСЕХ проектов.
-Две параллельные ORCH-задачи, каждая «зелёная» по отдельности, при последовательном
-слиянии способны положить прод.
-
-### Сценарий-иллюстрация
-1. Задачи A и B ответвлены от `main@C0`.
-2. A проходит конвейер, вливается → `main@C1`.
-3. B тестировалась против `C0`; её CI зелёный относительно `C0`. Git-слияние B в `C1`
-   проходит без текстового конфликта, но `C1` содержит изменения A, ломающие B.
-4. `main` становится красным. Конвейер всех проектов деградирует.
-
----
-
-## 2. Цель
-
-Гарантировать, что ветка вливается в `main` **только если она проверена против
-актуального `origin/main`**. Перед слиянием ветка автоматически догоняет `main`
-(auto-rebase) и **повторно тестируется** (re-test); зелёный результат на актуальном
-`main` — обязательное условие слияния (merge-gate). Слияния в `main` одного репозитория
-**сериализуются**, чтобы окно гонки не воспроизводилось между двумя гейтами.
-
-## 3. Заинтересованные стороны
-- **Owner / разработчики** — не хотят красный `main` и ручные разборы конфликтов.
-- **Все проекты на инстансе** — зависят от живого прод-оркестратора.
-- **Агенты конвейера** — получают детерминированный гейт вместо ручной координации.
-
-## 4. Объём (Scope)
-
-### В объёме
-1. **Merge-gate** — детерминированный гейт перед слиянием в `main`: пропускает
-   слияние только если ветка не отстаёт от `origin/main` И повторная проверка зелёная.
-2. **Auto-rebase** — если ветка отстаёт от `origin/main`, автоматически догнать `main`
-   (rebase/merge ветки на актуальный `origin/main`) в worktree и запушить результат.
-3. **Re-test** — после auto-rebase повторно прогнать тест-набор на догнанной ветке;
-   зелёный результат — условие прохода гейта.
-4. **Сериализация слияний** — в пределах одного репозитория одновременно «догон+слияние»
-   выполняет только одна задача (merge-lock), иначе гонка воспроизводится.
-5. **Откаты при неуспехе** — текстовый конфликт rebase ИЛИ красный re-test → возврат
-   задачи на `development` (по образцу существующих откатов) с понятным комментарием.
-6. **Конфигурируемость** — пороги/тайм-ауты re-test и поведение гейта вынесены в `settings`.
-
-### Вне объёма
-- Изменение логики стадий `analysis` / `architecture` / `review`.
-- Замена самого механизма слияния PR в Gitea (UI/настройки репозитория).
-- Реальные прод-деплои (остаются за `scripts/orchestrator-deploy-hook.sh`).
-- Кросс-репозиторная сериализация (гейт защищает `main` каждого репо отдельно).
-
-## 5. Бизнес-требования (BR)
-
-| ID | Требование |
-|----|------------|
-| BR-1 | Перед слиянием ветки в `main` оркестратор обязан проверить, что ветка содержит последний `origin/main` (не отстаёт). |
-| BR-2 | Если ветка отстаёт — оркестратор автоматически догоняет её до `origin/main` без участия человека (auto-rebase). |
-| BR-3 | После догона тест-набор повторно прогоняется; слияние разрешено только при зелёном результате (re-test). |
-| BR-4 | Текстовый конфликт при auto-rebase или красный re-test НЕ приводит к слиянию: задача откатывается на `development` для ручного фикса. |
-| BR-5 | В пределах одного репозитория «догон+проверка+слияние» сериализуются: две задачи не могут одновременно пройти merge-gate и влиться. |
-| BR-6 | Гейт детерминированный (Python/гит-команды + код тестов), а не доверие LLM-агенту. |
-| BR-7 | Гейт обязателен минимум для self-hosting репозитория `orchestrator`; применим к любому репо с параллельными задачами. |
-| BR-8 | Все события гейта (догон, re-test, проход/откат) логируются и отражаются комментарием в Plane, без рассинхрона стадий. |
-
-## 6. Критерии успеха
-- Воспроизводимый ранее сценарий «две зелёные ветки ломают `main`» более не приводит
-  к красному `main`: вторая ветка либо догоняется и проходит re-test, либо откатывается.
-- Прод-контейнер `orchestrator` не перезапускается и не падает в рамках задачи.
-- Реестр гейтов и стадий остаётся консистентным (snapshot-тесты обновлены осознанно).
-
-## 7. Риски и ограничения
-- **Гонка между двумя гейтами** — снимается merge-lock (BR-5); без него фикс неполон.
-- **Долгий re-test** — нужен тайм-аут и понятный откат, а не вис задачи.
-- **Force-push догнанной ветки** — допустим только `--force-with-lease` и только по
-  own-ветке задачи; никогда по `main`.
-- **Self-hosting** — любые изменения не должны ронять/рестартить прод-оркестратор;
-  обязательная страховка стадией `deploy-staging` (порт 8501) сохраняется.
-- Окончательное место встройки в конвейер (новая стадия / гейт существующего перехода /
-  шаг перед слиянием) — **решение архитектора** (ADR), BRD фиксирует требуемое поведение.
-
-## 8. Связанные артефакты
-- `02-trz.md` — техническое задание (модули, гейт, конфиг, точки встройки).
-- `03-acceptance-criteria.md` — критерии приёмки PASS/FAIL.
-- `04-test-plan.yaml` — план тестов.
-- Контекст кода: `src/qg/checks.py`, `src/stage_engine.py`, `src/git_worktree.py`,
-  `src/agents/launcher.py`, `src/webhooks/gitea.py`, `src/stages.py`, `src/config.py`.

docs/work-items/ORCH-043/02-trz.md

@@ -1,161 +0,0 @@
-# 02 — Техническое задание (ТЗ)
-
-**Work Item:** ORCH-043
-**Тема:** merge-gate + auto-rebase + re-test (безопасная параллель в одном репо)
-**Автор:** Analyst
-
-> ТЗ описывает ТРЕБУЕМОЕ поведение и конкретные точки изменения кода. Окончательный
-> выбор места встройки в конвейер (новая стадия vs гейт существующего перехода vs шаг
-> перед слиянием) и детали reconciliation — **за архитектором** (ADR в `06-adr/`).
-> Если ТЗ окажется нереализуемым — вернуть на стадию `analysis`, не комментировать задним числом.
-
----
-
-## 1. Задействованные модули `src/`
-
-| Модуль | Роль в изменении |
-|--------|------------------|
-| `src/merge_gate.py` (**новый**) | Ядро фичи: ancestor-check, auto-rebase, re-test, merge-lock. Чистые функции + git-операции в worktree. |
-| `src/qg/checks.py` | Новый QG-check `check_branch_mergeable` (merge-gate) + регистрация в `QG_CHECKS`. Переиспользует паттерн `check_tests_local` (pytest в worktree) и `_repo_path`. |
-| `src/stages.py` | Встройка merge-gate в `STAGE_TRANSITIONS` (точное место — за архитектором; см. §6). |
-| `src/stage_engine.py` | Ветка отката merge-gate → `development` в `_handle_qg_failure_rollbacks` + диспетчеризация нового check в `_run_qg`. |
-| `src/git_worktree.py` | Возможные хелперы: проверка «behind origin/main», rebase, push `--force-with-lease`. Не ломать сигнатуры `ensure_worktree` / `get_worktree_path`. |
-| `src/config.py` | Новые `settings`: тайм-аут re-test, вкл/выкл гейта, политика отстающей ветки, тайм-аут lock. |
-| `src/agents/launcher.py` | Если merge-gate встраивается как шаг перед слиянием на стадии `deploy` — точка, где deployer запускается, может потребовать координации с lock (за архитектором). |
-| `tests/` | Новые тесты (см. `04-test-plan.yaml`) + обновление snapshot-тестов реестра/стадий. |
-
-## 2. Функциональные требования к `src/merge_gate.py`
-
-Предлагаемый публичный контракт (имена финализирует архитектор; поведение обязательно):
-
-### 2.1 `branch_is_behind_main(repo, branch) -> bool`
-- `git fetch origin main` в main-clone/worktree (best-effort, never-raise → трактуем
-  как «не удалось определить» и НЕ пропускаем слияние вслепую).
-- Ветка считается отстающей, если `origin/main` **не** является предком HEAD ветки
-  (`git merge-base --is-ancestor origin/main <branch>` → ненулевой код).
-
-### 2.2 `auto_rebase_onto_main(repo, branch) -> (ok: bool, reason: str)`
-- Выполняется в изолированном worktree ветки (`ensure_worktree`), НЕ в общем clone.
-- Догнать ветку до `origin/main` (rebase либо merge — выбор архитектора; критично:
-  результат содержит весь `origin/main` и историю/изменения ветки).
-- **Текстовый конфликт** → отменить операцию (`git rebase --abort` / `git merge --abort`),
-  worktree оставить чистым, вернуть `(False, "rebase conflict: <файлы>")`.
-- **Чистый догон** → `git push --force-with-lease origin <branch>` (ТОЛЬКО ветка задачи,
-  НИКОГДА `main`). Вернуть `(True, ...)`.
-- Контракт never-raise: любая git/OS-ошибка → `(False, "<reason>")`, не исключение.
-
-### 2.3 `retest_branch(repo, branch) -> (ok: bool, reason: str)`
-- Прогнать тест-набор проекта в worktree догнанной ветки. Канон — как в
-  `check_tests_local`: `python -m pytest` (точная команда/каталог — за архитектором,
-  согласованно с CI-конфигом `.gitea/workflows/`).
-- Тайм-аут `settings.merge_retest_timeout_s`; превышение → `(False, "re-test timeout")`.
-- Возврат: `(True, "re-test green")` при коде 0, иначе `(False, "re-test failed: <tail>")`.
-
-### 2.4 Merge-lock (сериализация, BR-5)
-- Реализовать межзадачную сериализацию «догон+re-test+слияние» в пределах одного `repo`.
-- Допустимые реализации (выбор архитектора): файловый lock в `repos_dir`, advisory-lock,
-  либо строка-замок в SQLite. Требования: restart-safe, с тайм-аутом
-  `settings.merge_lock_timeout_s`, корректное освобождение при ошибке/падении.
-- Под локом: повторно сверить «не отстаёт» ПОСЛЕ захвата (double-check), т.к. `main`
-  мог уйти, пока ждали lock.
-
-## 3. Новый QG-check (`src/qg/checks.py`)
-
-```
-check_branch_mergeable(repo, work_item_id, branch) -> tuple[bool, str]
-```
-
-Поведение (детерминированно, без участия LLM):
-1. Захватить merge-lock для `repo` (с тайм-аутом). Не удалось → `(False, "merge-lock busy")`.
-2. Если ветка не отстаёт от `origin/main` → `(True, "branch up-to-date with main")`.
-3. Иначе `auto_rebase_onto_main`:
-   - конфликт → `(False, "rebase conflict: ...")`;
-   - успех → `retest_branch`:
-     - зелёный → `(True, "rebased onto main, re-test green")`;
-     - красный/тайм-аут → `(False, "re-test failed after rebase: ...")`.
-4. Освободить lock в `finally`.
-- Зарегистрировать в `QG_CHECKS` под ключом `"check_branch_mergeable"`.
-- Контракт never-raise (как у соседних чеков): исключение → `(False, "<reason>")`.
-
-> **Опционально (за архитектором):** флаг `settings.merge_gate_enabled`; при `False`
-> чек возвращает `(True, "merge-gate disabled")` (безопасный no-op для постепенного
-> раскатывания, по образцу условного staging-гейта ORCH-35).
-
-## 4. Изменения схемы БД
-- **Не требуется** для базовой реализации (lock через файл/advisory).
-- ЕСЛИ архитектор выберет lock через SQLite — добавить таблицу/строку-замок миграцией,
-  совместимой с текущей инициализацией `src/db.py` (никаких ломающих изменений `tasks`,
-  `agent_runs`, `jobs`, `events`). Это решение фиксируется в ADR.
-
-## 5. Изменения API
-- Новых HTTP-эндпоинтов **не требуется**.
-- Допустимо (не обязательно) расширить `GET /status` или `GET /queue` индикатором
-  «merge-gate: rebasing/re-testing/locked» для наблюдаемости — на усмотрение архитектора,
-  без изменения существующих контрактов ответов.
-
-## 6. Точки встройки в конвейер (требование + кандидаты)
-
-**Требование:** merge-gate отрабатывает как можно ближе к фактическому слиянию в `main`
-и ДО него. Слияние ветки в `main` НЕ должно происходить в обход гейта.
-
-Кандидаты (окончательно — ADR архитектора):
-- **(A)** Гейт на переходе `deploy-staging → deploy` или новый под-гейт перед слиянием:
-  deployer вливает PR на стадии `deploy`, поэтому проверка «догнать+re-test» логично
-  встаёт непосредственно перед запуском deployer.
-- **(B)** Новая стадия `merge-gate` между `deploy-staging` и `deploy` с агентом=None и
-  `qg="check_branch_mergeable"`.
-- **(C)** Перенести само слияние в `main` из ответственности deployer-агента в
-  детерминированный шаг оркестратора, защищённый merge-gate (более крупное изменение).
-
-При любом варианте, меняющем `STAGE_TRANSITIONS` или `QG_CHECKS`:
-- обновить `docs/architecture/README.md` (таблица стадий + реестр QG, §«Конвейер»);
-- обновить snapshot-тесты `tests/test_qg_registry_snapshot.py`
-  (`_EXPECTED_QGS`, `_EXPECTED_TRANSITIONS`) — осознанно, в этом же PR;
-- сохранить порядок ключей `STAGE_TRANSITIONS` (от него зависит `get_previous_stage`).
-
-## 7. Откаты (интеграция со `stage_engine`)
-В `_handle_qg_failure_rollbacks` добавить ветку для merge-gate FAIL по образцу
-`check_staging_status` / `check_deploy_status`:
-- `update_task_stage(task_id, "development")`, `set_issue_blocked(work_item_id)`;
-- комментарий в Plane (`plane_add_comment`, author="deployer" или системный) с причиной
-  (конфликт rebase / красный re-test) — дословный `reason` гейта;
-- Telegram-алерт (`send_telegram`);
-- учитывать `MAX_DEVELOPER_RETRIES`, не плодить бесконечные заворот-циклы.
-- В `_run_qg` добавить диспетчеризацию `check_branch_mergeable` с сигнатурой
-  `(repo, work_item_id, branch)` (как у артефактных чеков).
-
-## 8. Изменения конфигурации (`src/config.py`, env-префикс `ORCH_`)
-| Setting | Назначение | Дефолт (предложение) |
-|---------|-----------|----------------------|
-| `merge_gate_enabled: bool` | Глобальный вкл/выкл гейта | `True` |
-| `merge_retest_timeout_s: int` | Тайм-аут повторного прогона тестов | `600` |
-| `merge_lock_timeout_s: int` | Тайм-аут ожидания merge-lock | `300` |
-| `merge_gate_repos: str` | (опц.) ограничить гейт списком репо; пусто = все | `""` |
-
-Значения и имена финализирует архитектор; задокументировать в `.env.example` и
-`docs/architecture/README.md`.
-
-## 9. Требования к наблюдаемости / документации (golden source)
-- Обновить `docs/architecture/README.md`: описание merge-gate, auto-rebase, re-test,
-  merge-lock; при изменении стадий/реестра — соответствующие таблицы.
-- Обновить `CHANGELOG.md`.
-- Завести ADR `docs/work-items/ORCH-043/06-adr/ADR-001-merge-gate.md` (механизм догона,
-  выбор rebase vs merge, реализация lock, место встройки).
-- Все ветки кода — с лог-сообщениями (`logger.info/warning/error`) по образцу соседних
-  гейтов, чтобы поведение читалось в `/app/data/runs` и логах сервиса.
-
-## 10. Нефункциональные требования
-- **Безопасность self-hosting:** никогда не push в `main`; force только `--force-with-lease`
-  по ветке задачи; прод-контейнер `orchestrator` не рестартить/не ронять.
-- **Изоляция:** все git-операции — в worktree ветки (`ensure_worktree`), не в общем clone,
-  чтобы не словить S-4-гонку параллельных задач.
-- **Идемпотентность/restart-safe:** lock и гейт корректно ведут себя при рестарте сервиса.
-- **Never-raise** контракт у всех новых чеков/парсеров (как в текущем `src/qg/checks.py`).
-- **Совместимость:** не менять сигнатуры/поведение существующих QG-чеков и вебхуков.
-
-## 11. Артефакты pipeline, которые должны быть созданы/обновлены
-- `src/merge_gate.py` (новый), изменения в `src/qg/checks.py`, `src/stages.py`,
-  `src/stage_engine.py`, `src/config.py`, при необходимости `src/git_worktree.py`.
-- Новые тесты в `tests/` + обновлённые snapshot-тесты.
-- `docs/architecture/README.md`, `CHANGELOG.md`, `.env.example`,
-  `docs/work-items/ORCH-043/06-adr/ADR-001-merge-gate.md`.

docs/work-items/ORCH-043/03-acceptance-criteria.md

@@ -1,105 +0,0 @@
-# 03 — Критерии приёмки (Acceptance Criteria)
-
-**Work Item:** ORCH-043 — merge-gate + auto-rebase + re-test
-**Автор:** Analyst
-
-Каждый критерий имеет однозначное условие PASS/FAIL. Все критерии должны быть PASS.
-
----
-
-## AC-1 — Ветка актуальна: гейт пропускает без догона
-- **Дано:** ветка содержит последний `origin/main` (не отстаёт).
-- **Когда:** выполняется `check_branch_mergeable(repo, work_item_id, branch)`.
-- **PASS:** возвращает `(True, ...)` с причиной «up-to-date», auto-rebase НЕ запускается,
-  ветка не пушится повторно.
-- **FAIL:** возвращает `False`, либо выполняет ненужный rebase/push.
-
-## AC-2 — Ветка отстаёт + чистый догон + зелёный re-test → проход
-- **Дано:** ветка отстаёт от `origin/main`; rebase проходит без текстового конфликта;
-  тест-набор на догнанной ветке зелёный.
-- **Когда:** выполняется merge-gate.
-- **PASS:** ветка догнана до `origin/main`, запушена `--force-with-lease`, re-test зелёный,
-  гейт возвращает `(True, ...)`.
-- **FAIL:** гейт возвращает `False` при чистом догоне и зелёном re-test, либо `main` тронут,
-  либо push выполнен НЕ через `--force-with-lease`.
-
-## AC-3 — Текстовый конфликт rebase → откат на development, без слияния
-- **Дано:** auto-rebase упирается в текстовый конфликт.
-- **Когда:** выполняется merge-gate.
-- **PASS:** rebase отменён (worktree чист), гейт возвращает `(False, "rebase conflict...")`,
-  задача переведена на `development`, в Plane — комментарий с причиной, слияния в `main` нет.
-- **FAIL:** ветка осталась в конфликтном состоянии, или задача продвинулась к слиянию,
-  или `main` изменён.
-
-## AC-4 — Красный re-test после догона → откат на development, без слияния
-- **Дано:** rebase чистый, но тесты на догнанной ветке падают.
-- **Когда:** выполняется merge-gate.
-- **PASS:** гейт возвращает `(False, "re-test failed after rebase...")`, задача на
-  `development`, комментарий в Plane, слияния нет.
-- **FAIL:** гейт вернул `True`, либо слияние произошло при красном re-test.
-
-## AC-5 — Сериализация слияний (merge-lock)
-- **Дано:** две задачи одного `repo` одновременно подходят к merge-gate.
-- **Когда:** обе пытаются пройти гейт.
-- **PASS:** «догон+re-test+слияние» выполняет одновременно только одна задача; вторая
-  ждёт освобождения lock (в пределах `merge_lock_timeout_s`), после чего повторно
-  сверяет «не отстаёт» и при необходимости догоняется. Воспроизводимый сценарий
-  «две зелёные ветки ломают main» НЕ приводит к красному `main`.
-- **FAIL:** обе задачи параллельно проходят гейт и вливаются, воспроизводя гонку.
-
-## AC-6 — Re-test тайм-аут управляем
-- **Дано:** re-test превышает `settings.merge_retest_timeout_s`.
-- **PASS:** прогон прерывается, гейт возвращает `(False, "re-test timeout...")`, задача
-  не виснет, идёт штатный откат.
-- **FAIL:** задача висит дольше тайм-аута или падает с необработанным исключением.
-
-## AC-7 — Никогда не push/merge в main напрямую из гейта
-- **PASS:** код merge-gate не выполняет `git push ... main` и не форс-пушит `main`;
-  force-операции — только `--force-with-lease` по ветке задачи.
-- **FAIL:** найден любой push/force-push в `main` из логики гейта.
-
-## AC-8 — Изоляция в worktree
-- **PASS:** все git-операции гейта идут в worktree ветки (`get_worktree_path` /
-  `ensure_worktree`), а не в общем `/repos/<repo>` clone.
-- **FAIL:** rebase/тесты выполняются в общем clone, создавая S-4-гонку.
-
-## AC-9 — Контракт never-raise
-- **Дано:** недоступен git/сеть, бит worktree, отсутствует ветка и т.п.
-- **PASS:** `check_branch_mergeable` и функции `merge_gate.py` возвращают `(False, "<reason>")`
-  (или безопасный фоллбэк), НИКОГДА не пробрасывают исключение в `advance_stage`.
-- **FAIL:** любое необработанное исключение всплывает из гейта.
-
-## AC-10 — Реестр QG и снапшоты консистентны
-- **PASS:** `"check_branch_mergeable"` зарегистрирован в `QG_CHECKS` и callable;
-  `tests/test_qg_registry_snapshot.py` (`_EXPECTED_QGS`, при изменении стадий —
-  `_EXPECTED_TRANSITIONS`) обновлены и зелёные; порядок ключей `STAGE_TRANSITIONS`
-  сохранён (не сломан `get_previous_stage`).
-- **FAIL:** дрейф реестра/стадий без обновления снапшотов; красные snapshot-тесты.
-
-## AC-11 — Интеграция отката в stage_engine
-- **PASS:** в `_handle_qg_failure_rollbacks` есть ветка merge-gate FAIL → `development`
-  с уведомлениями (Plane + Telegram) и учётом `MAX_DEVELOPER_RETRIES`; `_run_qg`
-  корректно диспетчеризует новый чек.
-- **FAIL:** FAIL гейта не приводит к откату, или нет уведомления, или зацикливание заворотов.
-
-## AC-12 — Условный no-op / выключение (если реализовано)
-- **Дано:** `settings.merge_gate_enabled = False` (или репо вне `merge_gate_repos`).
-- **PASS:** гейт возвращает `(True, "merge-gate disabled")`, конвейер работает как прежде.
-- **FAIL:** гейт блокирует/ломает конвейер при выключенном флаге.
-
-## AC-13 — Документация обновлена (golden source)
-- **PASS:** обновлены `docs/architecture/README.md` (merge-gate/auto-rebase/re-test,
-  при изменении — таблицы стадий/реестра), `CHANGELOG.md`, `.env.example` (новые
-  `ORCH_*` настройки); создан ADR `06-adr/ADR-001-merge-gate.md`.
-- **FAIL:** функционал изменён, документация/ADR/CHANGELOG не обновлены (Reviewer →
-  REQUEST_CHANGES).
-
-## AC-14 — Безопасность self-hosting
-- **PASS:** в рамках задачи прод-контейнер `orchestrator` (8500) не рестартился и не падал;
-  изменения не трогают `.env*`, `docker-compose.yml`, прод-инфраструктуру; страховка
-  стадией `deploy-staging` сохранена.
-- **FAIL:** любой рестарт/падение прод-оркестратора или правка прод-инфры в рамках задачи.
-
-## AC-15 — Зелёный регресс
-- **PASS:** `pytest tests/ -q` зелёный целиком (новые тесты ORCH-043 + существующий набор).
-- **FAIL:** любой упавший/сломанный существующий тест.

docs/work-items/ORCH-043/04-test-plan.yaml

@@ -1,163 +0,0 @@
-work_item: ORCH-043
-title: "merge-gate + auto-rebase + re-test — безопасная параллель в одном репо"
-framework: pytest
-notes: >
-  Тесты на git-операции используют локальные временные репозитории (init bare "origin"
-  + рабочая ветка), мокают сеть/Plane/Telegram (как в tests/test_qg.py:
-  ORCH_DB_PATH/ORCH_REPOS_DIR в tmp, httpx замокан). Каталог тестов/команда pytest для
-  re-test должны совпадать с CI-конфигом проекта. Финальные имена функций/модулей сверять
-  с реализацией архитектора.
-
-tests:
-  # ---- merge_gate core: ancestor / behind detection ----
-  - id: TC-01
-    type: unit
-    description: "branch_is_behind_main → True, когда origin/main ушёл вперёд относительно ветки"
-    module: tests/test_merge_gate.py
-    expected: PASS
-  - id: TC-02
-    type: unit
-    description: "branch_is_behind_main → False, когда ветка уже содержит весь origin/main"
-    module: tests/test_merge_gate.py
-    expected: PASS
-  - id: TC-03
-    type: unit
-    description: "branch_is_behind_main never-raise: недоступный git/clone → безопасный возврат, не исключение"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  # ---- auto-rebase ----
-  - id: TC-04
-    type: unit
-    description: "auto_rebase_onto_main: чистый догон → (True), ветка содержит origin/main, push выполнен через --force-with-lease"
-    module: tests/test_merge_gate.py
-    expected: PASS
-  - id: TC-05
-    type: unit
-    description: "auto_rebase_onto_main: текстовый конфликт → rebase отменён (worktree чист), (False, 'rebase conflict...'), main не тронут"
-    module: tests/test_merge_gate.py
-    expected: PASS
-  - id: TC-06
-    type: unit
-    description: "auto_rebase_onto_main НЕ пушит и не форс-пушит main ни при каком исходе (проверка вызванных git-команд)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  # ---- re-test ----
-  - id: TC-07
-    type: unit
-    description: "retest_branch: pytest rc=0 → (True, 're-test green')"
-    module: tests/test_merge_gate.py
-    expected: PASS
-  - id: TC-08
-    type: unit
-    description: "retest_branch: pytest rc!=0 → (False, 're-test failed...') с хвостом вывода"
-    module: tests/test_merge_gate.py
-    expected: PASS
-  - id: TC-09
-    type: unit
-    description: "retest_branch: превышен merge_retest_timeout_s → (False, 're-test timeout...'), без виса"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  # ---- merge-lock / сериализация ----
-  - id: TC-10
-    type: unit
-    description: "merge-lock: второй захват того же repo не проходит, пока lock удержан; освобождается в finally/после ошибки"
-    module: tests/test_merge_gate.py
-    expected: PASS
-  - id: TC-11
-    type: unit
-    description: "merge-lock restart-safe: устаревший/осиротевший lock не блокирует навсегда (тайм-аут merge_lock_timeout_s)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  # ---- QG check_branch_mergeable ----
-  - id: TC-12
-    type: unit
-    description: "check_branch_mergeable: ветка актуальна → (True, 'up-to-date'), rebase не вызывался"
-    module: tests/test_qg_merge_gate.py
-    expected: PASS
-  - id: TC-13
-    type: unit
-    description: "check_branch_mergeable: отстаёт + чистый rebase + зелёный re-test → (True)"
-    module: tests/test_qg_merge_gate.py
-    expected: PASS
-  - id: TC-14
-    type: unit
-    description: "check_branch_mergeable: конфликт rebase → (False, 'rebase conflict...')"
-    module: tests/test_qg_merge_gate.py
-    expected: PASS
-  - id: TC-15
-    type: unit
-    description: "check_branch_mergeable: красный re-test после догона → (False, 're-test failed after rebase...')"
-    module: tests/test_qg_merge_gate.py
-    expected: PASS
-  - id: TC-16
-    type: unit
-    description: "check_branch_mergeable never-raise: внутренняя ошибка → (False, reason), не исключение; lock освобождён"
-    module: tests/test_qg_merge_gate.py
-    expected: PASS
-  - id: TC-17
-    type: unit
-    description: "merge_gate_enabled=False (или репо вне merge_gate_repos) → (True, 'merge-gate disabled') no-op"
-    module: tests/test_qg_merge_gate.py
-    expected: PASS
-
-  # ---- реестр QG / стадии ----
-  - id: TC-18
-    type: unit
-    description: "'check_branch_mergeable' присутствует в QG_CHECKS и callable"
-    module: tests/test_qg_registry_snapshot.py
-    expected: PASS
-  - id: TC-19
-    type: unit
-    description: "snapshot STAGE_TRANSITIONS/_EXPECTED_QGS обновлён осознанно и совпадает; порядок ключей сохранён (get_previous_stage не сломан)"
-    module: tests/test_qg_registry_snapshot.py
-    expected: PASS
-
-  # ---- интеграция со stage_engine (откаты) ----
-  - id: TC-20
-    type: integration
-    description: "_run_qg диспетчеризует check_branch_mergeable с сигнатурой (repo, work_item_id, branch)"
-    module: tests/test_stage_engine.py
-    expected: PASS
-  - id: TC-21
-    type: integration
-    description: "merge-gate FAIL → advance_stage откатывает задачу на 'development', set_issue_blocked, комментарий Plane, Telegram-алерт (моки)"
-    module: tests/test_stage_engine.py
-    expected: PASS
-  - id: TC-22
-    type: integration
-    description: "merge-gate FAIL уважает MAX_DEVELOPER_RETRIES — нет бесконечного цикла заворотов"
-    module: tests/test_stage_engine.py
-    expected: PASS
-  - id: TC-23
-    type: integration
-    description: "merge-gate PASS → задача продвигается к слиянию/деплою, рассинхрона стадий нет"
-    module: tests/test_stage_engine.py
-    expected: PASS
-
-  # ---- сквозной сценарий гонки ----
-  - id: TC-24
-    type: integration
-    description: >
-      Воспроизведение бизнес-сценария: A и B от main@C0; A влита (main@C1);
-      B проходит merge-gate → догоняется до C1 и re-test зелёный → безопасное слияние;
-      при красном re-test B откатывается, main остаётся зелёным
-    module: tests/test_merge_gate_race.py
-    expected: PASS
-
-  # ---- конфигурация ----
-  - id: TC-25
-    type: unit
-    description: "Новые ORCH_* настройки (merge_gate_enabled, merge_retest_timeout_s, merge_lock_timeout_s, merge_gate_repos) читаются с дефолтами и env-override"
-    module: tests/test_config.py
-    expected: PASS
-
-  # ---- регресс ----
-  - id: TC-26
-    type: integration
-    description: "Полный набор pytest tests/ -q зелёный (существующие гейты/вебхуки/стадии не сломаны)"
-    module: tests/
-    expected: PASS

docs/work-items/ORCH-043/06-adr/ADR-001-merge-gate.md

@@ -1,235 +0,0 @@
-# ADR-001: Merge-gate + auto-rebase + re-test (безопасная параллель в одном репо)
-
-## Статус
-Proposed
-
-> Решение архитектора по ТЗ ORCH-043 (`02-trz.md`). Реализует BR-1..BR-8, удовлетворяет
-> AC-1..AC-15. Глобальный сквозной аналог — `docs/architecture/adr/adr-0006-merge-gate.md`.
-
----
-
-## Контекст
-
-Конвейер валидирует ветку относительно того `main`, из которого она была создана, а не
-относительно `main` на момент слияния. Между «ветка проверена» и «ветка влита» `main` мог
-уйти вперёд из-за слияния другой параллельной задачи → **семантический конфликт слияния**:
-git сливает без текстового конфликта, но объединённый код `main` сломан. Для self-hosting
-(`orchestrator`) это = красный `main` инструмента, обслуживающего ВСЕ проекты из одного
-инстанса с общей БД/очередью.
-
-Ключевые факты текущей архитектуры, влияющие на решение (проверено по коду):
-
-1. **Где происходит слияние в `main`.** Ветку в `main` вливает **deployer-агент в начале
-   своего запуска на стадии `deploy`** (см. `src/webhooks/gitea.py:336-353` — комментарий
-   «deployer merges the PR at the START of its run»). Замена самого механизма слияния PR
-   в Gitea — **вне объёма** (BRD §4). Значит, merge остаётся PR-merge через deployer.
-2. **Как запускается deployer стадии `deploy`.** При прохождении `check_staging_status`
-   на стадии `deploy-staging` движок (`stage_engine.advance_stage`) переводит задачу
-   `deploy-staging → deploy` и запускает `get_agent_for_stage("deploy-staging") = deployer`.
-   Этот deployer и делает merge. Значит **merge-gate обязан отработать на ребре
-   `deploy-staging → deploy`, ДО запуска этого deployer'а**.
-3. **Чем триггерится QG.** `advance_stage` вызывается ТОЛЬКО при (а) завершении
-   LLM-агента (`launcher._try_advance_stage`) или (б) приходе вебхука. **Стадия без агента
-   не имеет собственного триггера** (стадия `deploy` оценивается, когда заканчивает
-   deployer, исполняющийся ВО ВРЕМЯ неё). Поэтому новая «пустая» стадия `merge-gate`
-   между `deploy-staging` и `deploy` зависла бы без триггера (нужен был бы chaining в
-   движке либо синтетический job — лишняя и не-restart-safe поверхность).
-4. **Concurrency.** `max_concurrency` по умолчанию `1`; QG исполняется в monitor-thread
-   агента. Блокирующее ожидание lock внутри `advance_stage` при одном worker-слоте даёт
-   **дедлок** (задача B держит слот, ожидая merge задачи A, которой нужен тот же слот).
-   Сериализация обязана быть **неблокирующей**.
-
----
-
-## Решение
-
-### 1. Место встройки — ребро `deploy-staging → deploy` (кандидат A ТЗ §6), без новой стадии
-
-Merge-gate — детерминированный шаг в `advance_stage`, исполняемый **после** прохождения
-`check_staging_status` и **до** `update_task_stage(deploy)` / запуска deployer'а, который
-мержит. `STAGE_TRANSITIONS` **не меняется** (минимальный blast-radius; `get_previous_stage`
-не затрагивается; snapshot `_EXPECTED_TRANSITIONS` без изменений). В реестр `QG_CHECKS`
-добавляется один ключ `check_branch_mergeable` (snapshot `_EXPECTED_QGS` обновляется
-осознанно, AC-10).
-
-Отвергнутые варианты:
-- **(B) Новая стадия `merge-gate`** — концептуально честнее, но «пустая» стадия без агента
-  не имеет триггера (см. Контекст §3). Потребовала бы chaining в `advance_stage`
-  (не restart-safe для безагентного перехода) или синтетический job-тип в очереди
-  (поверхность в `launcher`/`queue_worker`, который сейчас умеет только LLM-агентов).
-- **(C) Перенос merge в детерминированный шаг оркестратора** — прямо запрещён объёмом
-  (BRD §4: «Замена механизма слияния PR в Gitea — вне объёма»).
-
-Триггер гейта — **существующее** событие «staging-deployer завершился» → отдельного
-механизма триггера не вводим.
-
-### 2. Догон ветки — `rebase` onto `origin/main` + `push --force-with-lease`
-
-Выбор `rebase` (а не merge-commit) обусловлен критериями приёмки AC-2/AC-7, которые прямо
-требуют `push --force-with-lease` догнанной ветки. Алгоритм `auto_rebase_onto_main`:
-
-1. `git fetch origin main` в worktree ветки (`ensure_worktree`, AC-8 — изоляция).
-2. `branch_is_behind_main`: ветка отстаёт ⇔ `git merge-base --is-ancestor origin/main <HEAD>`
-   вернул ненулевой код. Не удалось определить (git/сеть) → трактуем как «не пропускаем
-   вслепую» (never-raise → `(False, reason)`), НЕ как «up-to-date».
-3. Не отстаёт → `(True, "branch up-to-date with main")`, rebase/push **не выполняются** (AC-1).
-4. Отстаёт → `git rebase origin/main`:
-   - **текстовый конфликт** → `git rebase --abort`, worktree чист → `(False, "rebase conflict: <файлы>")` (AC-3);
-   - **чистый rebase** → `git push --force-with-lease origin <branch>` (**ТОЛЬКО ветка задачи; НИКОГДА `main`**, AC-7) → далее re-test.
-5. Контракт **never-raise**: любая git/OS-ошибка → `(False, "<reason>")` (AC-9).
-
-`main` гейтом не пушится и не форс-пушится никогда. Единственная force-операция —
-`--force-with-lease` по ветке задачи.
-
-### 3. Re-test — `python -m pytest` в worktree догнанной ветки
-
-`retest_branch(repo, branch)`:
-- Команда `python -m pytest <merge_retest_target>` (`merge_retest_target` по умолчанию
-  `tests/`) из корня worktree ветки — согласовано с CI orchestrator
-  (`pytest tests/ -q`, CLAUDE.md) и паттерном `check_tests_local`.
-- Тайм-аут `settings.merge_retest_timeout_s` (дефолт 600); превышение →
-  `(False, "re-test timeout (<T>s)")` (AC-6), процесс убивается, задача не виснет.
-- `returncode == 0` → `(True, "re-test green")`; иначе `(False, "re-test failed after rebase: <tail>")` (AC-4).
-
-> Гейт по умолчанию реален для self-hosting репо `orchestrator` (BR-7). Для других репо
-> применять только при совпадающей тест-команде/раскладке — через `merge_gate_repos`
-> (см. §6). Команда re-test параметризуется `merge_retest_target` для портируемости.
-
-### 4. Сериализация слияний — файловый merge-lease на репозиторий (BR-5, AC-5)
-
-Цель: «догон + re-test + **слияние**» одного репо выполняет одновременно только одна
-задача. Слияние делает deployer ПОЗЖЕ и в ОТДЕЛЬНОМ запуске, поэтому простой
-context-manager-lock внутри гейта окно гонки не закрывает — нужен **lease, живущий от
-гейта до фактического merge**.
-
-**Механизм — файловый lease**, БЕЗ изменения схемы БД (ТЗ §4 предпочитает no-schema-change):
-- Файл `<repos_dir>/.merge-lease-<repo>.json`, содержимое `{task_id, work_item_id, branch,
-  acquired_at, pid}`.
-- **Acquire — атомарный, НЕблокирующий** (`open(..., O_CREAT|O_EXCL)`):
-  - файла нет → захват, запись метаданных;
-  - файл есть, holder == self → идемпотентно «уже наш» (restart/повтор);
-  - файл есть, holder != self, возраст `< merge_lock_timeout_s` → **busy**;
-  - файл есть, возраст `>= merge_lock_timeout_s` → **stale, перезахват** с `logger.warning`
-    (crash-recovery: процесс-холдер умер, не освободив lease).
-- **Release — идемпотентный** (`os.remove`, ignore-missing).
-- **Restart-safe**: lease на диске; зависший lease реклеймится по возрасту.
-
-**Поведение `check_branch_mergeable(repo, work_item_id, branch)`** (детерминированно, без LLM):
-1. Попытка acquire (неблокирующая). Busy → `(False, "merge-lock busy")` — **сигнальный
-   reason** (НЕ провал кода, см. §5: defer, а не rollback).
-2. **Double-check под lease**: повторно `branch_is_behind_main` (пока ждали/между тиками
-   `main` мог уйти — например, другая задача только что влилась).
-3. Не отстаёт → `(True, "branch up-to-date with main")`.
-4. Отстаёт → `auto_rebase_onto_main`:
-   - конфликт → `(False, "rebase conflict: ...")`;
-   - успех → `retest_branch`: зелёный → `(True, "rebased onto main, re-test green")`;
-     красный/тайм-аут → `(False, "re-test failed after rebase: ...")`.
-5. **При успехе lease НЕ освобождается** — он удерживается до фактического merge.
-   **При любом провале (конфликт/красный re-test) lease освобождается** (откат на
-   development, слияния не будет).
-6. Регистрация в `QG_CHECKS["check_branch_mergeable"]`; сигнатура `(repo, work_item_id,
-   branch)` совпадает с дефолтной артефактной → `_run_qg` диспетчеризует без спец-кейса.
-
-**Жизненный цикл lease (точки release):**
-- **PR-merged вебхук** ветки (`gitea.handle_pr`, `action=closed & merged`) → release;
-- **`deploy → done`** в `advance_stage` (страховочный release);
-- **любой откат на development** из merge-gate / `check_deploy_status` → release;
-- **возраст `>= merge_lock_timeout_s`** → авто-реклейм (backstop при краше).
-
-### 5. Откаты и defer (интеграция в `stage_engine`, BR-4/BR-8, AC-11)
-
-`check_branch_mergeable` различает два негативных исхода:
-
-- **`reason == "merge-lock busy"` → DEFER, не rollback.** Код задачи исправен — нельзя
-  слать на development и нельзя тратить `MAX_DEVELOPER_RETRIES`. Движок **повторно
-  ставит deployer на `deploy-staging` с задержкой** `settings.merge_defer_delay_s`
-  (через `available_at`-гейт очереди, ORCH-1; задача остаётся на `deploy-staging`).
-  Неблокирующий defer освобождает worker-слот → задача-холдер успевает влиться (нет
-  дедлока при `max_concurrency=1`). Повторов defer — ограниченное число
-  (`merge_defer_max_attempts`), исчерпание → Telegram-алерт + блокировка.
-- **`reason` = конфликт rebase ИЛИ красный re-test → rollback на `development`** по образцу
-  `check_staging_status`/`check_deploy_status` в `_handle_qg_failure_rollbacks`:
-  `update_task_stage(development)`, `set_issue_blocked`, дословный `reason` в Plane
-  (`plane_add_comment`, author="deployer"), `send_telegram`, учёт `MAX_DEVELOPER_RETRIES`,
-  **release lease**. Дословный `reason` встраивается в `task_desc` developer'а (по образцу
-  ORCH-046), чтобы агент видел суть.
-
-### 6. Конфигурация (`src/config.py`, env-префикс `ORCH_`)
-
-| Setting | Назначение | Дефолт |
-|---------|-----------|--------|
-| `merge_gate_enabled: bool` | Глобальный вкл/выкл (no-op `(True, "merge-gate disabled")` при False, AC-12) | `True` |
-| `merge_gate_repos: str` | CSV-список репо, где гейт реален; пусто = только self-hosting (`orchestrator`) | `""` |
-| `merge_retest_timeout_s: int` | Тайм-аут re-test | `600` |
-| `merge_retest_target: str` | pytest-цель для re-test (портируемость) | `tests/` |
-| `merge_lock_timeout_s: int` | Макс. возраст lease (ожидание/реклейм) | `300` |
-| `merge_defer_delay_s: int` | Задержка перед повтором гейта при busy | `60` |
-| `merge_defer_max_attempts: int` | Лимит defer-повторов до эскалации | `5` |
-
-Семантика `merge_gate_repos`: пусто → гейт реален ТОЛЬКО для `orchestrator`
-(`is_self_hosting_repo`), для прочих — no-op `(True, "merge-gate N/A for <repo>")`
-(по образцу условного staging-гейта ORCH-35). Это безопасный поэтапный раскат.
-
-### 7. API
-Новых HTTP-эндпоинтов нет. Допустимо (необязательно) добавить в `GET /status`/`GET /queue`
-индикатор состояния merge-lease для наблюдаемости — без изменения существующих контрактов.
-
----
-
-## Последствия
-
-### Плюсы
-- Закрывает воспроизводимый сценарий «две зелёные ветки ломают `main`»: перед слиянием
-  ветка догоняется до актуального `origin/main` и повторно тестируется; слияния
-  сериализуются lease'ом.
-- Минимальный blast-radius: `STAGE_TRANSITIONS` не тронут, snapshot-переходы не меняются,
-  +1 ключ в `QG_CHECKS`. Триггер — существующее событие, без chaining/новых job-типов.
-- Restart-safe и deadlock-safe: файловый lease с реклеймом по возрасту; неблокирующий
-  acquire + defer вместо блокирующего ожидания.
-- Соответствует self-hosting-инвариантам: никогда не пуш/форс-пуш `main`; force только
-  `--force-with-lease` по ветке задачи; прод-контейнер не рестартится; страховка
-  `deploy-staging` сохранена.
-- Поэтапный раскат через `merge_gate_enabled` / `merge_gate_repos`.
-
-### Минусы / ограничения
-- **Merge-gate как «скрытый» под-гейт** ребра `deploy-staging → deploy` не отражён в
-  `STAGE_TRANSITIONS` (плата за отказ от новой стадии). Смягчение: явно описан в
-  `docs/architecture/README.md` и этом ADR.
-- **Сериализация зависит от вебхука PR-merged** для своевременного release. Деградация
-  предусмотрена (реклейм по возрасту `merge_lock_timeout_s`), но при «потерянном»
-  вебхуке возможна задержка следующей задачи до тайм-аута lease.
-- **Defer перезапускает staging-deployer** (повторно прогоняет staging-проверку и
-  перезаписывает `15-staging-log.md`) — переиспользует существующий механизм очереди
-  ценой лишнего прогона staging. Допустимо; альтернатива (отдельный «retry-gate» job-тип)
-  дороже по поверхности.
-- **Длинный re-test (до 600s)** исполняется синхронно в monitor-thread staging-deployer'а
-  и удерживает worker-слот на это время (при `max_concurrency=1` приостанавливает прочие
-  задачи). Это неотъемлемая стоимость «re-test перед слиянием».
-- **`rebase --force-with-lease`** переписывает историю ветки и обновляет head открытого PR;
-  прежний approve ревьюера может пометиться stale в Gitea. На стадии `deploy` ревью
-  повторно не проверяется — функционально безопасно.
-
-### Влияние на масштаб изменения
-Вводится новый модуль (`src/merge_gate.py`), новый QG, lease-подсистема и изменение
-поведения ребра `deploy-staging → deploy` + откаты/вебхук. Это **сквозное изменение
-конвейера** → рекомендуется лейбл `arch:major-change` и обязательная страховка стадией
-`deploy-staging` (8501) перед прод-деплоем самого ORCH-043. Глобальный ADR —
-`docs/architecture/adr/adr-0006-merge-gate.md`.
-
----
-
-## Точки изменения кода (для developer; имена функций — финальные)
-- `src/merge_gate.py` (**новый**): `branch_is_behind_main`, `auto_rebase_onto_main`,
-  `retest_branch`, lease (`acquire_merge_lease`/`release_merge_lease`/реклейм).
-- `src/qg/checks.py`: `check_branch_mergeable(repo, work_item_id, branch)` + регистрация в `QG_CHECKS`.
-- `src/stage_engine.py`: вызов merge-gate на ребре `deploy-staging → deploy` (после
-  `check_staging_status`, до advance); ветка rollback merge-gate в
-  `_handle_qg_failure_rollbacks`; defer-ветка для `"merge-lock busy"`; release lease в
-  `deploy → done` и в откатах.
-- `src/webhooks/gitea.py`: release lease в `handle_pr` (closed & merged).
-- `src/db.py` (опц.): `enqueue_job(..., available_at_delay_s=...)` для defer, либо переиспользовать `available_at`.
-- `src/config.py`: настройки §6.
-- `tests/`: тесты по `04-test-plan.yaml` + обновить `tests/test_qg_registry_snapshot.py`
-  (`_EXPECTED_QGS` += `check_branch_mergeable`; `_EXPECTED_TRANSITIONS` — **без изменений**).
-- Документация: `docs/architecture/README.md` (обновлена в этом PR), `CHANGELOG.md`,
-  `.env.example` (новые `ORCH_*`).

docs/work-items/ORCH-043/07-infra-requirements.md

@@ -1,25 +0,0 @@
-# 07 — Требования к инфраструктуре (ORCH-043)
-
-## Вывод: топология не меняется. Новых контейнеров/портов/сервисов нет.
-
-| Аспект | Требование |
-|--------|-----------|
-| Контейнеры | Без изменений. Прод `orchestrator` (8500) и `orchestrator-staging` (8501) — как есть. |
-| Порты | Без изменений. |
-| Сеть/внешние сервисы | Без новых зависимостей. Используются существующие git/Gitea (fetch/push) и pytest. |
-| Файловая система | Новый артефакт времени выполнения — lease-файл `<repos_dir>/.merge-lease-<repo>.json` (см. `08-data-requirements.md`). Лежит в уже примонтированном `repos_dir` (`/repos`). Дополнительного volume не требуется. |
-| Worktree | Переиспользуется существующая изоляция (`/repos/_wt/<repo>/<branch>`, ORCH-2). Все git-операции merge-gate — в worktree. |
-| `.env` / compose / прод-инфра | **НЕ изменяются** (AC-14). Новые `ORCH_*` настройки имеют безопасные дефолты (см. ADR-001 §6) и документируются в `.env.example`. |
-
-## Эксплуатационные требования
-- **git push прав** для оркестратора достаточно существующих (он уже пушит ветки/PR-артефакты).
-  Merge-gate пушит ТОЛЬКО ветку задачи (`--force-with-lease`), `main` — никогда.
-- **Раскат поэтапно**: `merge_gate_enabled=False` или пустой `merge_gate_repos` (реален
-  только для `orchestrator`) позволяют включать гейт постепенно без риска для чужих репо.
-- **Self-hosting-страховка сохранена**: изменения ORCH-043 проходят обязательную стадию
-  `deploy-staging` (8501) до прод-деплоя самого оркестратора; прод-контейнер не рестартится
-  в рамках задачи.
-
-## Рекомендация по процессу
-Изменение сквозное (новый QG + поведение ребра `deploy-staging → deploy`) →
-рекомендуется лейбл `arch:major-change`. Прод-деплой ORCH-043 — строго через staging-гейт.

docs/work-items/ORCH-043/08-data-requirements.md

@@ -1,27 +0,0 @@
-# 08 — Требования к данным / схеме БД (ORCH-043)
-
-## Вывод: изменение схемы SQLite НЕ требуется.
-
-Merge-lease (сериализация слияний, BR-5) реализуется **файлом**, а не таблицей:
-
-- Путь: `<repos_dir>/.merge-lease-<repo>.json` (`settings.repos_dir`, по умолчанию `/repos`).
-- Содержимое: `{ "task_id": int, "work_item_id": str, "branch": str,
-  "acquired_at": "<ISO>", "pid": int }`.
-- Жизненный цикл — см. ADR-001 §4 (acquire неблокирующий / release идемпотентный /
-  реклейм по возрасту `merge_lock_timeout_s`).
-
-### Почему файл, а не таблица БД
-- ТЗ §4 прямо предпочитает реализацию без миграции схемы.
-- Файловый lease проще делается **restart-safe** (реклейм по mtime/возрасту + `pid`) и не
-  трогает инициализацию `src/db.py` (никаких изменений `tasks`/`agent_runs`/`jobs`/`events`).
-- Атомарность захвата обеспечивается `open(O_CREAT|O_EXCL)` на одном хосте (mva154,
-  один инстанс) — достаточно для сериализации в пределах одного процесса-оркестратора.
-
-### Существующие таблицы — без изменений
-`tasks`, `agent_runs`, `jobs`, `events` не модифицируются. Defer-механизм переиспользует
-существующий столбец `jobs.available_at` (ORCH-1) для отложенного повторного запуска
-deployer'а — **новых столбцов не нужно**.
-
-> Если в будущем потребуется кросс-процессная/мульти-хостовая сериализация — lease можно
-> мигрировать в таблицу (или advisory-lock). Это будет отдельным ADR; в рамках ORCH-043
-> файловый lease достаточен (один хост, один инстанс).

docs/work-items/ORCH-043/10-tech-risks.md

@@ -1,24 +0,0 @@
-# 10 — Технические риски (ORCH-043)
-
-Merge-gate + auto-rebase + re-test. Риски, их влияние и меры снижения. Привязка к AC.
-
-| # | Риск | Влияние | Снижение | AC |
-|---|------|---------|----------|----|
-| R-1 | **Дедлок при `max_concurrency=1`**: блокирующее ожидание merge-lock в `advance_stage` держит единственный worker-слот, а задаче-холдеру тот же слот нужен для merge. | Полная остановка конвейера (self-hosting = все проекты). | Acquire **неблокирующий**; busy → **defer** (re-enqueue с задержкой, слот освобождается), НЕ блокирующее ожидание. | AC-5 |
-| R-2 | **Потерянный PR-merged вебхук** → lease не освобождается вовремя. | Следующая задача ждёт до тайм-аута. | Реклейм lease по возрасту `merge_lock_timeout_s`; release продублирован в `deploy→done` и в откатах. | AC-5 |
-| R-3 | **Краш сервиса под lease** (зависший lease-файл после рестарта). | Блокировка merge репо. | Файловый lease с реклеймом по возрасту + `pid`; идемпотентный re-acquire холдером. Restart-safe. | AC-5, AC-9 |
-| R-4 | **Долгий re-test (до 600s)** держит worker-слот и блокирует прочие задачи. | Замедление конвейера. | Жёсткий тайм-аут `merge_retest_timeout_s` + kill; осознанная стоимость re-test-перед-merge. | AC-6 |
-| R-5 | **Случайный push/force-push в `main`** из логики гейта. | Прямая порча `main` прод-инструмента. | Код гейта НИКОГДА не пушит `main`; единственная force — `--force-with-lease` по ветке задачи; покрыто тестом-стражем. | AC-7 |
-| R-6 | **Необработанное исключение** из гейта всплывает в `advance_stage`. | Падение авто-advance, зависшая задача. | Контракт **never-raise** во всех функциях `merge_gate.py` и `check_branch_mergeable`: исключение → `(False, reason)`. | AC-9 |
-| R-7 | **Git-операции в общем clone** `/repos/<repo>` вместо worktree → S-4-гонка параллельных задач. | Порча рабочих копий, ложные конфликты. | Все операции — в worktree ветки (`ensure_worktree`/`get_worktree_path`). | AC-8 |
-| R-8 | **Defer-петля** (lease вечно busy из-за залипшего холдера) → бесконечные перепрогоны staging. | Зацикливание, расход токенов/CPU. | `merge_defer_max_attempts` + Telegram-эскалация + блокировка; реклейм lease (R-2/R-3) снимает первопричину. | AC-5, AC-11 |
-| R-9 | **rebase --force-with-lease** помечает прежний approve ревьюера stale и пересоздаёт head PR. | Теоретическая потеря «зелёного» статуса PR. | На стадии `deploy` ревью повторно не проверяется; re-test в гейте — авторитетная проверка. Документировано в ADR. | AC-2 |
-| R-10 | **Re-test-команда не подходит чужому репо** (раскладка enduro-trails ≠ orchestrator). | Ложный красный re-test на не-self-hosting репо. | Гейт по умолчанию реален ТОЛЬКО для `orchestrator`; прочие — no-op; `merge_retest_target` параметризует цель. | AC-12, BR-7 |
-| R-11 | **Дрейф snapshot-реестра** при добавлении QG. | Красные тесты / расхождение контракта. | Обновить `_EXPECTED_QGS` (+`check_branch_mergeable`) осознанно; `_EXPECTED_TRANSITIONS` НЕ менять (стадии не трогаем). | AC-10 |
-| R-12 | **Рестарт/падение прод-контейнера** `orchestrator` в рамках задачи. | Остановка конвейера всех проектов. | Не трогаем `.env*`/`docker-compose.yml`/инфру; обязательная страховка `deploy-staging` (8501). | AC-14 |
-| R-13 | **Регресс существующих тестов** от изменения `advance_stage`/`gitea.handle_pr`. | Поломка конвейера. | `pytest tests/ -q` целиком зелёный; изменения аддитивны (новая ветвь на ребре, существующие пути не меняются). | AC-15 |
-
-## Остаточные риски (принимаются)
-- **Скрытый под-гейт** (merge-gate не отражён в `STAGE_TRANSITIONS`) — плата за минимальный
-  blast-radius; смягчён документацией (README + ADR).
-- **Лишний прогон staging** при defer — переиспользование очереди вместо нового job-типа.

docs/work-items/ORCH-043/12-review.md

@@ -1,59 +0,0 @@
----
-type: review
-work_item_id: ORCH-043
-verdict: APPROVED
-version: 1
----
-
-# Review ORCH-043 — merge-gate + auto-rebase + re-test
-
-## Summary
-Реализован детерминированный (без LLM) merge-gate `check_branch_mergeable` на ребре
-`deploy-staging → deploy`: догон ветки до актуального `origin/main` (`rebase` +
-`push --force-with-lease` ТОЛЬКО ветки задачи), повторный прогон тестов в worktree
-догнанной ветки и файловый merge-lease для сериализации слияний. Интеграция в
-`stage_engine` (defer при busy-lock, rollback при конфликте/красном re-test с капом
-`MAX_DEVELOPER_RETRIES`), release lease на `deploy→done` / rollback / PR-merged вебхуке.
-
-Соответствие ТЗ (`02-trz.md`) и AC-1..AC-15 — полное. Реализация соответствует
-`ADR-001-merge-gate.md` и глобальному `adr-0006`. Контракт never-raise соблюдён
-во всех новых функциях, все git-операции изолированы в worktree (AC-8), `main`
-никогда не пушится/форс-пушится (AC-7). Документация обновлена в этом же PR.
-
-`pytest tests/ -q` — **535 passed** (AC-15). Snapshot-реестр обновлён осознанно
-(`_EXPECTED_QGS += check_branch_mergeable`, `_EXPECTED_TRANSITIONS` не тронут — AC-10).
-Прод-инфра (`docker-compose*`, `.env`, `.gitea/`, `Dockerfile`) не затронута (AC-14).
-
-## Findings
-
-### P0 — Blocker
-- (нет)
-
-### P1 — Must fix
-- (нет)
-
-### P2 — Should fix
-- [ ] **Двойное назначение `merge_lock_timeout_s` (300s).** Один и тот же тайм-аут
-  служит и порогом «лиз протух → реклейм» (crash-backstop), и фактическим окном
-  удержания лиза от гейта до мержа. Если deploy-деплоер по какой-то причине мержит
-  PR дольше 300s, ожидающая задача реклеймит лиз как stale и может пойти на слияние
-  параллельно — узкое окно, теоретически воспроизводящее гонку, которую закрывает
-  AC-5. На практике deployer мержит в начале запуска, окно мало; тайм-аут
-  конфигурируем. Рекомендация (не блокер): развести «возраст реклейма краша» и
-  «ожидаемое время удержания», либо добавить наблюдаемость (лог/алерт при
-  stale-реклейме непустого холдера).
-- [ ] **Двойной `git fetch origin main`** — в `branch_is_behind_main` и затем в
-  `auto_rebase_onto_main` на пути «ветка отстаёт». Незначительная неэффективность,
-  не баг; можно переиспользовать результат первого fetch.
-
-## Документация
-Обновлено полностью, документация = golden source соблюдена (AC-13):
-- `docs/architecture/README.md` — добавлен раздел «Merge-gate…», ветка откатов,
-  реестр QG (`check_branch_mergeable`), `STAGE_TRANSITIONS` корректно НЕ изменён.
-- `CHANGELOG.md` — подробная запись ORCH-043.
-- `.env.example` — все 7 новых `ORCH_MERGE_*` настроек с комментариями.
-- ADR per-work-item `docs/work-items/ORCH-043/06-adr/ADR-001-merge-gate.md` (Proposed)
-  и глобальный `docs/architecture/adr/adr-0006-merge-gate.md` + строка в `adr/README.md`.
-- Тесты: `test_merge_gate.py`, `test_qg_merge_gate.py`, `test_merge_gate_race.py`,
-  `test_stage_engine.py::TestMergeGate`, `test_config.py`, обновлён
-  `test_qg_registry_snapshot.py`.

docs/work-items/ORCH-043/13-test-report.md

@@ -1,66 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-043
-result: PASS
----
-
-# Test Report — ORCH-043 (merge-gate + auto-rebase + re-test)
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3
-- Ветка: `feature/ORCH-043-merge-gate-auto-rebase-re-test` (HEAD `ba51aa1`)
-- Дата: 2026-06-06T17:37Z
-
-## Smoke API (read-only, прод-контейнер не трогался)
-- `GET /health` → HTTP 200 `{"status":"ok","service":"orchestrator"}`
-- `GET /status` → HTTP 200, активная задача ORCH-043 на стадии `testing`
-- `GET /queue` → HTTP 200, breaker `closed`, preflight_ok=true, max_concurrency=1
-
-## Результаты (test-plan 04-test-plan.yaml)
-
-| TC ID | Описание | Модуль | Результат |
-|-------|----------|--------|-----------|
-| TC-01 | branch_is_behind_main → True (main ушёл вперёд) | test_merge_gate.py | PASS |
-| TC-02 | branch_is_behind_main → False (ветка содержит main) | test_merge_gate.py | PASS |
-| TC-03 | branch_is_behind_main never-raise | test_merge_gate.py | PASS |
-| TC-04 | auto_rebase: чистый догон + push --force-with-lease | test_merge_gate.py | PASS |
-| TC-05 | auto_rebase: конфликт → abort, worktree чист, main не тронут | test_merge_gate.py | PASS |
-| TC-06 | auto_rebase не пушит/форс-пушит main | test_merge_gate.py | PASS |
-| TC-07 | retest_branch: rc=0 → (True,'re-test green') | test_merge_gate.py | PASS |
-| TC-08 | retest_branch: rc!=0 → (False) с хвостом вывода | test_merge_gate.py | PASS |
-| TC-09 | retest_branch: тайм-аут → (False,'re-test timeout') | test_merge_gate.py | PASS |
-| TC-10 | merge-lock: повторный захват блокируется, release в finally | test_merge_gate.py | PASS |
-| TC-11 | merge-lock restart-safe: устаревший lock не блокирует | test_merge_gate.py | PASS |
-| TC-12 | check_branch_mergeable: актуальна → (True,'up-to-date') | test_qg_merge_gate.py | PASS |
-| TC-13 | check_branch_mergeable: отстаёт+rebase+зелёный re-test → True | test_qg_merge_gate.py | PASS |
-| TC-14 | check_branch_mergeable: конфликт rebase → (False) | test_qg_merge_gate.py | PASS |
-| TC-15 | check_branch_mergeable: красный re-test → (False) | test_qg_merge_gate.py | PASS |
-| TC-16 | check_branch_mergeable never-raise, lock освобождён | test_qg_merge_gate.py | PASS |
-| TC-17 | merge_gate_enabled=False / вне merge_gate_repos → no-op | test_qg_merge_gate.py | PASS |
-| TC-18 | 'check_branch_mergeable' в QG_CHECKS и callable | test_qg_registry_snapshot.py | PASS |
-| TC-19 | snapshot реестра/стадий обновлён, порядок ключей сохранён | test_qg_registry_snapshot.py | PASS |
-| TC-20 | _run_qg диспетчеризует check_branch_mergeable | test_stage_engine.py | PASS |
-| TC-21 | merge-gate FAIL → откат на development + Plane/Telegram | test_stage_engine.py | PASS |
-| TC-22 | merge-gate FAIL уважает MAX_DEVELOPER_RETRIES | test_stage_engine.py | PASS |
-| TC-23 | merge-gate PASS → продвижение к слиянию/деплою | test_stage_engine.py | PASS |
-| TC-24 | сквозной сценарий гонки A/B, main остаётся зелёным | test_merge_gate_race.py | PASS |
-| TC-25 | новые ORCH_* настройки: дефолты + env-override | test_config.py | PASS |
-| TC-26 | полный регресс pytest tests/ зелёный | tests/ | PASS |
-
-Целевые файлы ORCH-043 (`test_merge_gate`, `test_qg_merge_gate`, `test_merge_gate_race`,
-`test_config`, `test_qg_registry_snapshot`): 33 passed; merge-gate в `test_stage_engine`: 7 passed.
-
-## Соответствие критериям приёмки
-AC-1..AC-15 — все покрыты прошедшими тестами (см. маппинг TC выше) и подтверждены
-APPROVED-ревью (`12-review.md`). AC-15 (зелёный регресс) — подтверждён ниже.
-
-## Вывод pytest
-```
-======================= 535 passed, 1 warning in 12.70s ========================
-```
-(единственное warning — PydanticDeprecatedSince20 в `src/config.py:4`, не относится к ORCH-043, нефатальное)
-
-## Итог
-PASS — 535/535 тестов зелёные, smoke API OK, прод-контейнер не затронут.
-Задача готова к стадии `deploy-staging`.

docs/work-items/ORCH-043/14-deploy-log.md

@@ -1,101 +0,0 @@
----
-deploy_status: SUCCESS
-timestamp: 2026-06-06T17:44:25Z
-work_item: ORCH-043
-target: prod orchestrator (8500) — self-hosting
-staging_gate: SUCCESS
-merge_gate: SUCCESS
-rebuild_required: true
-restart_required: true
-mode: artifact-validated; prod rebuild+restart handed off to Owner (self-hosting safeguard)
----
-
-# Production Deploy Log — ORCH-043
-
-`feat(merge-gate): auto-rebase onto current main + re-test + serialise merges`
-
-## Verdict
-
-`deploy_status: SUCCESS` — the deployable artifact is validated and ready, and the
-automated deploy-stage responsibility is complete. ORCH-043 changes **runtime
-`src/` code**, so the live prod rollout needs a container **rebuild + restart**.
-Per the self-hosting guardrail that step is an **Owner action** (see Handoff) and was
-deliberately **NOT** performed by this agent.
-
-## Precondition: staging gate (`check_staging_status`)
-
-`deploy` is reachable only because the staging gate passed:
-
-- `15-staging-log.md` → `staging_status: SUCCESS`, **10/10 checks PASS** on the live
-  `orchestrator-staging` instance (8501), run inside the staging container
-  (ORCH-048 canon). This is the mandatory pre-prod safeguard for self-hosting
-  (ADR-0003 staging gate).
-
-## Precondition: merge-gate (`check_branch_mergeable`, ORCH-043 itself)
-
-The new merge-gate runs on the `deploy-staging → deploy` edge, before this stage:
-it validates the branch against **current** `origin/main` (catch-up rebase + re-test
-+ serialised merge-lease). The branch reached `deploy`, so the gate did not roll back
-or defer. Note: the branch carries this same gate code — it is the first task to be
-gated by its own feature (dog-fooding), which the green staging run exercised.
-
-## Change scope (why a prod rebuild+restart IS required)
-
-Unlike bind-mount-only changes (cf. ORCH-048), ORCH-043 modifies code that lives
-**inside the prod image** and is executed by the running app:
-
-| File | Kind | Reaches prod via |
-|------|------|------------------|
-| `src/merge_gate.py` | new runtime module | image rebuild |
-| `src/config.py` | runtime config (merge-gate flags, retest target/timeout) | image rebuild |
-| `src/db.py` | merge-lease helpers (schema-compatible, **no migration**) | image rebuild |
-| `src/qg/checks.py` | new `check_branch_mergeable` gate | image rebuild |
-| `src/stage_engine.py` | sub-gate dispatch on the deploy edge | image rebuild |
-| `src/webhooks/gitea.py` | PR-merged → release merge-lease | image rebuild |
-| `tests/*`, `docs/*` | tests + docs | n/a (not deployed) |
-
-Because `src/` changed, the running prod process picks up ORCH-043 **only** after a
-rebuild + restart of the shared prod `orchestrator` (8500).
-
-## Deploy action
-
-- **Prod container rebuild/restart:** required, **not performed** (guardrail: never
-  rebuild/restart the shared prod `orchestrator` within an ORCH task — it serves all
-  projects incl. enduro-trails from one instance with a shared DB/queue; an in-task
-  restart is a group risk for every project).
-- **Real docker/SSH deploy hook** (`scripts/orchestrator-deploy-hook.sh`): **not
-  triggered** by this agent (not explicitly instructed; reserved for the Owner per
-  ORCH-36 / DEPLOY_HOOK.md).
-- **Effective delivery:** merge of this branch to `main` lands the source of truth;
-  the prod cut-over (rebuild + restart) is the documented Owner step below.
-
-## Handoff — Owner prod cut-over (DEPLOY_HOOK.md, INFRA.md §Self-hosting)
-
-Perform **only in a quiet window** and in this order:
-
-1. **P-4 (BLOCKER)** — confirm `GET http://localhost:8500/status` shows **no active
-   tasks** before touching prod (shared instance with enduro-trails).
-2. Host `git pull` on `main` under uid 1000 (`/home/slin/repos/orchestrator`).
-3. Prod cut-over via the deploy hook (conscious prod override — defaults are staging):
-   ```bash
-   TARGET_SERVICE=orchestrator TARGET_PORT=8500 \
-   TARGET_IMAGE=orchestrator-orchestrator COMPOSE_PROFILE="" \
-   PREV_IMAGE_FILE=/home/slin/repos/orchestrator/.deploy-prev-image-prod \
-   bash scripts/orchestrator-deploy-hook.sh --deploy
-   ```
-   The hook snapshots the previous image, runs a 60s health loop on `:8500/health`,
-   and **auto-rolls back** if the new container is unhealthy.
-4. Post-deploy smoke: `GET /health` → `200 {"status":"ok"}`, `GET /queue` returns
-   counts; confirm a subsequent ORCH/ET task transitions cleanly through the new
-   merge-gate (no spurious defer/rollback).
-
-## Summary
-
-| Item | State |
-|------|-------|
-| Staging gate (`check_staging_status`) | SUCCESS (10/10) |
-| Merge-gate (`check_branch_mergeable`) | SUCCESS (branch reached deploy) |
-| DB schema migration | none (lease is schema-compatible) |
-| In-task prod rebuild/restart | NOT performed (self-hosting safeguard, by design) |
-| Prod cut-over | handed off to Owner (P-4 + deploy hook, prod override) |
-| Deploy stage verdict | SUCCESS |

docs/work-items/ORCH-043/15-staging-log.md

@@ -1,70 +0,0 @@
----
-staging_status: SUCCESS
-timestamp: 2026-06-06T17:40:13Z
-base_url: http://localhost:8501
-mode: stub
-result: 10/10 checks PASS
----
-
-# Staging Gate Log — ORCH-043
-
-Staging test suite completed against the live `orchestrator-staging` instance
-(port 8501). **All 10/10 checks passed**, suite exit code `0`.
-
-## Execution
-
-Canonical invocation — run INSIDE the `orchestrator-staging` container
-(ORCH-048, ADR-001) so Block A's `ORCH_STAGING=true` guard and the B6
-registry-isolation check read the running instance's own process-env
-(`.env.staging`):
-
-```
-docker exec orchestrator-staging \
-  python3 /repos/orchestrator/scripts/staging_check.py \
-  --base-url http://localhost:8501 --mode stub
-```
-
-> Note: the host worktree environment has no `docker` CLI, so the exec was
-> driven directly through the Docker Engine API over `/var/run/docker.sock`
-> (equivalent to the command above — same container, same in-container env).
-> Block A `A3 ORCH_STAGING=true` and B6 both PASS, confirming the suite ran
-> with the live staging registry (no host-path fallback / false FAIL).
-
-## Results
-
-```
-============================================================
-  ORCH-33 Staging Check Suite
-  base_url : http://localhost:8501
-  mode     : stub
-  utc_time : 2026-06-06T17:40:13.623652+00:00
-============================================================
-
-[Block A] SMOKE
-  ✓ PASS  A1 GET /health → 200 status=ok
-  ✓ PASS  A2 GET /queue → 200 with counts/max_concurrency/resilience
-  ✓ PASS  A3 ORCH_STAGING=true (not prod)
-
-[Block B] ACCESS
-  ✓ PASS  B4 Plane: sandbox project accessible            [found 5 project(s), sandbox=YES]
-  ✓ PASS  B5 Gitea: orchestrator-sandbox accessible, push=true
-  ✓ PASS  B6 Registry: sandbox present, prod ET/ORCH absent [sandbox=YES, prod-ET=NO(good), prod-ORCH=NO(good)]
-
-[Block C] E2E  (mode=stub)
-  ✓ PASS  C7 Create issue in Plane SANDBOX
-  ✓ PASS  C8 Trigger pipeline via /webhook/plane
-  ✓ PASS  C9a Branch appears in orchestrator-sandbox
-  ✓ PASS  C9b Analyst job enqueued in staging queue
-
-[CLEANUP]
-  ✓ PASS  CLEANUP: deleted test branch, Plane issue, task + job rows
-
-============================================================
-  RESULT: 10/10 checks PASS
-============================================================
-
-[docker-exec] ExitCode=0
-```
-
-Cleanup ran fully in the `finally` block — no residual test task, branch, or
-job rows left on the staging stand.