deployer(ET): auto-commit from deployer run_id=563

tester(ET): auto-commit from tester run_id=562
reviewer(ET): auto-commit from reviewer run_id=561
2026-06-10 03:58:05 +03:00 · 2026-06-10 03:54:20 +03:00 · 2026-06-10 03:51:54 +03:00 · 2026-06-10 03:47:49 +03:00 · 2026-06-10 03:25:36 +03:00 · 2026-06-10 03:17:22 +03:00
73 changed files with 7131 additions and 15 deletions
--- a/.env.example
+++ b/.env.example
@@ -139,6 +139,18 @@ ORCH_SERIAL_GATE_FREEZE_ENABLED=true
 #                                for enduro too).
 ORCH_STOP_STATUS_ENABLED=true
 ORCH_STOP_STATUS_REPOS=
+# ORCH-019: bug-fast-track — a cheaper/shorter pipeline route for bug-fix tasks.
+# A task carrying the Plane `Bug` label skips the whole `architecture` stage; EVERY
+# Quality Gate / sub-gate runs UNCHANGED (route is a scheduler property, not a gate).
+# Additive, never-raise, fail-safe -> full cycle. Infra precondition: create a `Bug`
+# label on the ORCH board (its absence = full cycle, fail-safe). Leaf src/bug_fast_track.py.
+#   BUG_FAST_TRACK_ENABLED=false -> start_pipeline AND advance_stage are 1:1 as before
+#                                   ORCH-019 (zero regression).
+#   BUG_FAST_TRACK_LABEL         -> Plane label that activates the track (default `Bug`).
+#   BUG_FAST_TRACK_REPOS (CSV)   -> scope; EMPTY = self-hosting only (orchestrator).
+ORCH_BUG_FAST_TRACK_ENABLED=true
+ORCH_BUG_FAST_TRACK_LABEL=Bug
+ORCH_BUG_FAST_TRACK_REPOS=
 # ORCH-094: terminal-window-aware guard for the three deploy-phase Plane status
 # setters (set_issue_awaiting_deploy / set_issue_deploying / set_issue_monitoring).
 # A DB stage=done task converges to Done idempotently instead of flapping
@@ -394,6 +406,35 @@ ORCH_COVERAGE_EPSILON=0.5
 ORCH_COVERAGE_TOOL_FAIL_CLOSED=false
 ORCH_COVERAGE_RUN_TIMEOUT_S=900

+# ORCH-057 (follow-up ORCH-040): legacy root-owned ownership detect + actionable
+# worktree error. After the uid migration (user: "1000:1000") legacy root:root files
+# in /repos broke worktree creation under uid 1000 with a raw "Permission denied".
+# Three additive, kill-switch-reversible layers: an actionable RuntimeError in
+# ensure_worktree, a cheap never-raise detect leaf (src/fs_normalize.py) with a
+# startup WARNING/Telegram + GET /queue fs_ownership block, and an opt-in chown ONLY
+# when privileged (under uid 1000 a no-op; the real fix is the operator procedure in
+# docs/operations/INFRA.md «Миграция uid»). No STAGE_TRANSITIONS / QG_CHECKS / schema
+# change.
+#   ENABLED        -> kill-switch; false -> all code inert, behaviour 1:1 as before
+#                     ORCH-057 (the actionable error too).
+#   REPOS          -> CSV of repos the layer is REAL for; empty -> self-hosting only.
+#   TARGET_UID     -> target uid fallback when os.getuid() is unavailable.
+#   NORMALIZE_AUTO -> detect-only (false) | attempt chown when privileged (true).
+#   SCAN_ROOTS     -> CSV override of the scan roots (empty -> default roots).
+#   SCAN_CACHE_TTL_S -> TTL of the detect cache (mirrors ORCH_PREFLIGHT_CACHE_TTL).
+ORCH_FS_NORMALIZE_ENABLED=true
+ORCH_FS_NORMALIZE_REPOS=
+ORCH_FS_TARGET_UID=1000
+ORCH_FS_NORMALIZE_AUTO=false
+ORCH_FS_SCAN_ROOTS=
+ORCH_FS_SCAN_CACHE_TTL_S=300
+
+# ORCH-099 (FND/F1a): operator off-switch for the read-only GET /metrics endpoint
+# (raw-signal snapshot for the F1b sidecar). Default true -> available out of the
+# box. false -> /metrics returns a minimal parsable body {"schema_version":1,
+# "enabled":false} (200, not 404). The endpoint is inert / read-only anyway.
+ORCH_METRICS_ENABLED=true
+
 # ORCH-021: post-deploy production monitoring + degradation reaction. After the
 # terminal deploy->done transition for an applicable repo, a reserved-agent job
 # `post-deploy-monitor` (no LLM, modelled on deploy-finalizer) probes prod over a
--- a/.openclaw/agents/analyst.md
+++ b/.openclaw/agents/analyst.md
@@ -29,6 +29,17 @@ FastAPI + SQLite, конвейер стадий через Quality Gates, аге

 Стандарт структуры документов — `docs/_standards/PIPELINE_DOCS.md`; копируй скелеты из
 `docs/_templates/` (`01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`).
+
+**Багфикс-трек (ORCH-019).** Если задача помечена меткой Plane `Bug` (укороченный маршрут —
+пропуск стадии `architecture`), выпускай **облегчённый** пакет, но **всё равно все 4 файла**
+(гейт `check_analysis_complete` требует `01/02/03/04` — не меняется): `01-brd.md` = короткий
+bug-report (симптом / шаги воспроизведения / локализация / причина), `02-trz.md` +
+`03-acceptance-criteria.md` = краткие bug-shaped заглушки, `04-test-plan.yaml` = план
+**обязательного регресс-теста** (красный до фикса, зелёный после). Экономия — в пропуске целой
+стадии `architecture` (отдельный прогон архитектора + ADR), не в числе файлов. Если баг оказался
+**сложным/архитектурным/визуальным** (нужен ADR или макет) — выпусти **полный** analysis-пакет и
+помечай в bug-report `escalate: full-cycle` (эскалация в полный цикл, ADR-001 D5 ORCH-019); оператор
+снимает багфикс-трек эндпоинтом `POST /bug-fast-track/escalate`.
 </task>

 <deliverables>
--- a/.openclaw/agents/reviewer.md
+++ b/.openclaw/agents/reviewer.md
@@ -42,6 +42,11 @@ tools:
     (слом критического инварианта конвейера может быть P0). Это усиление оси, а не отдельная ось.
 3. **Качество кода** — нет явных ошибок/утечек/security-дыр? Есть docstrings на публичных функциях?
   Тесты содержательные (не тривиальные)?
+   - **Багфикс-трек: регресс-тест (ORCH-019, BR-4).** Если задача — багфикс (метка `Bug` /
+     укороченный маршрут с пропуском `architecture`), исправление кода **обязано** нести
+     новый/изменённый тест-фиксатор дефекта (красный до фикса, зелёный после). Фикс кода без
+     теста-фиксатора → **finding ≥ P1 / REQUEST_CHANGES**. Это усиление оси «качество», а не
+     отдельная ось (структурно дублируется coverage-гейтом ORCH-027).
 4. **Документация — ОБЯЗАТЕЛЬНАЯ ПРОВЕРКА** (приоритет над остальным): если PR меняет `src/`
   (функционал, API, конфигурацию, конвейер, QG) — документация ДОЛЖНА быть обновлена в том же PR.
   Проверь: API → `docs/architecture/README.md` (таблица API)? стадии/QG →
--- a/.task-dev.md
+++ b/.task-dev.md
@@ -1,4 +1,4 @@
-Work item: ORCH-093
+Work item: ORCH-057
 Repo: orchestrator
-Branch: feature/ORCH-093-bug-merge-gitea-405-5xx-hold-p
+Branch: feature/ORCH-057-bug-follow-up-orch-040-normali
 Stage: development
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -3,6 +3,28 @@
 Формат: [Keep a Changelog](https://keepachangelog.com/). Записи — на смысловой PR/задачу.

 ## [Unreleased]
+- **Багфикс-трек: упрощённый/дешёвый маршрут конвейера для багов** (ORCH-019, `feat`): задача с меткой Plane `Bug` идёт **укороченным маршрутом** — пропускается стадия `architecture` (отдельный прогон opus-агента `architect` + ADR + exit-гейт `check_architecture_done`), тяжёлая аналитика заменяется облегчённым пакетом (короткий bug-report + обязательный план регресс-теста). **Все Quality Gate'ы исполняются без изменений** (корневой инвариант NFR-1): `STAGE_TRANSITIONS` / реестр `QG_CHECKS` / сигнатуры `check_*` / machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/`coverage_status:`) — байт-в-байт прежние; маршрутизация багфикса — свойство планировщика, **не** гейт. Аддитивно, под kill-switch, с областью репо, never-raise, fail-safe → полный цикл. ADR: `docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md`, сквозной `docs/architecture/adr/adr-0032-bug-fast-track.md`.
+  - **Классификация (D1, FR-1):** новый leaf `src/bug_fast_track.py` (never-raise, паттерн `labels`/`serial_gate`). `bug_fast_track_applies(repo)` (локально, без сети) проверяется ПЕРВЫМ → выключенный флаг = нулевой сетевой оверхед; `is_bug_task(work_item_id, project_id)` делегирует в проверенный `labels.has_label` (ORCH-089: `fetch_issue_labels`+`get_project_labels`, нормализация, TTL-кэш). **Источник истины — Plane API**, не payload вебхука. Чтение метки — только в `start_pipeline`, **никогда** в горячем `claim_next_job` (NFR-4).
+  - **Хранение типа (D2):** аддитивная идемпотентная колонка `tasks.track TEXT DEFAULT 'full'` (`_ensure_column`, паттерн `tasks.cancelled_at` ORCH-090); значения `'full'` (дефолт, ВСЕ существующие и не-баг задачи) | `'bug'`. Хелперы `db.set_task_track`/`db.get_task_track` (отсутствие/NULL → `'full'`, fail-safe). Сигнатура `create_task_atomic` не меняется.
+  - **Routing-override (D3, FR-2):** врезка в `advance_stage` на ребре выхода из `analysis`: при `track='bug'` (через чистый предикат `bug_fast_track.skips_architecture`) `next_stage` → `development`, `next_agent` → `developer` (минуя `architect`). `get_next_stage`/`get_agent_for_stage`/`STAGE_TRANSITIONS` — чистые, 1:1; тип читается из БД (без сети, NFR-4). Для не-баг задач (`track='full'`) маршрут байт-в-байт прежний. Сопутствующе: стамп `mark_brd_review_ended` расширен на `analysis → development` (честная метрика ORCH-087 на багфикс-треке).
+  - **Гейт `analysis` не тронут (D4, FR-6):** `check_analysis_complete`/`check_analysis_approved` байт-в-байт прежние; багфикс-аналитик всё равно эмитит все 4 файла (облегчённые) — сильнейшая позиция NFR-1 (нулевая поверхность правок гейта).
+  - **Эскалация (D5, FR-5):** админ-эндпоинт `POST /bug-fast-track/escalate?work_item=<id>` (по образцу `POST /serial-gate/unfreeze`) сбрасывает `track` `'bug'→'full'` → следующий переход уходит в `architecture` (полный цикл). Плюс решение мини-аналитика «баг сложный → полный пакет + `escalate: full-cycle`».
+  - **Область / флаги (D6):** `bug_fast_track_enabled` (kill-switch, env `ORCH_BUG_FAST_TRACK_ENABLED`), `bug_fast_track_label` (дефолт `Bug`), `bug_fast_track_repos` (CSV; **пусто → self-hosting only** — enduro подключается явным CSV). `False` → старт и маршрут 1:1 как до ORCH-019 (нулевая регрессия, AC-6).
+  - **Наблюдаемость (D7, FR-7):** аддитивный read-only блок `bug_fast_track` в `GET /queue` (флаг/метка/область + счётчик багфикс-задач + метрика сэкономленных стадий `architecture`); лог-строка на решение о маршруте; отметка `🐞` в Telegram-карточке (never-raise). Композиция (D8, AC-9): багфикс-задача — обычная задача репо для serial-gate (ORCH-088, не обходит его); `autoApprove`/`autoDeploy` (ORCH-089), coverage-gate (ORCH-027, союзник BR-4), merge-gate (ORCH-043) — штатно.
+  - **Промпты:** `analyst.md` (облегчённый багфикс-пакет + путь эскалации), `reviewer.md` (ось «багфикс без регресс-теста → finding ≥P1 / REQUEST_CHANGES») — канон 52d не нарушен. **Инфра-предусловие:** создать метку `Bug` в Plane-проекте ORCH (её отсутствие = fail-safe полный цикл). Тесты: `tests/test_bug_fast_track*.py` + `tests/test_db_migrations.py` + блок в `tests/test_queue_endpoint.py` (TC-01…TC-15). Полный регресс `tests/ -q` зелёный. Откат: `ORCH_BUG_FAST_TRACK_ENABLED=false` (мгновенный; остаточная колонка `track` безвредна).
+- **Детект legacy root-owned файлов + внятная ошибка worktree при миграции на uid 1000** (ORCH-057, follow-up ORCH-040, `feat`): закрыт недоделанный AC ORCH-040 — legacy `root:root` файлы в `/repos` (после перевода контейнеров на `user: "1000:1000"`) ломали создание worktree под uid 1000 (`ensure_worktree` → сырой `fatal: … Permission denied`, агент не стартовал, диагноза не было). Три аддитивных, обратимых kill-switch'ем слоя; **`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict-ключи / схема БД — байт-в-байт прежние**. ADR: `docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md`, сквозной `docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`.
+  - **D1 — actionable-ошибка `ensure_worktree`:** класс «нет прав» (`Permission denied` / `could not create leading directories` / `insufficient permission for adding an object` / `PermissionError`/`EACCES`/`EPERM`) оборачивается в `RuntimeError` с **причиной** (legacy root-файлы в `/repos/_wt`/`.git` после миграции uid), **лечащей командой** (`chown -R <uid>:<uid> …`) и ссылкой на `INFRA.md` — вместо сырого git stderr. Ошибки, **не** связанные с правами, сохраняют прежний контракт (меняется только формулировка, не факт сбоя; чистый классификатор `fs_normalize.classify_worktree_error`). Под выключенным kill-switch контракт ошибки 1:1 как до ORCH-057.
+  - **D2 — детект-леаф `src/fs_normalize.py`** (never-raise, паттерн `serial_gate`/`coverage_gate`): `scan_ownership(roots, target_uid=os.getuid())` обходит `/repos/_wt`, `<repo>/.git/{objects,worktrees}`, `data/runs` с ранним выходом при первом `st_uid != target_uid`, TTL-кэшем (`fs_scan_cache_ttl_s`, по образцу `preflight._cache`) и `applies(repo)` first (пустой CSV → self-hosting only → enduro-trails не сканируется). Опц. `normalize()` chown'ит **только** при `geteuid()==0` (под uid 1000 — no-op + честный лог «нужна операторская процедура», НЕ ошибка).
+  - **D3 — наблюдаемость, БЕЗ блокировки claim:** best-effort вызов `scan_ownership()` на старте `main.lifespan` (рядом с lease-reclaim/log-rotation, never-fatal) → WARNING + Telegram при mismatch; read-only блок `fs_ownership` в `GET /queue`; опц. ручной `POST /fs-normalize/check`. Claim **не** блокируется (preflight repo-слеп → регресс enduro; queue_worker — дорогой FS-обход в hot-path + молчаливое зависание); внятный ранний отказ даёт D1 в точке launch.
+  - **Процедура (D5):** обязательная операторская нормализация под root на хосте — в `docs/operations/INFRA.md` (раздел «Миграция uid: обязательная нормализация legacy root-файлов», все корни: `_wt`, оба `.git`, `data/runs`); фактический `chown` остаётся ручным шагом (контейнер без root его сделать не может) — задача гарантирует **внятность** отказа, а не его отсутствие.
+  - **Флаги** (`src/config.py`, аддитивно): `ORCH_FS_NORMALIZE_ENABLED` (kill-switch), `ORCH_FS_NORMALIZE_REPOS` (CSV; пусто → self-hosting only), `ORCH_FS_TARGET_UID` (1000), `ORCH_FS_NORMALIZE_AUTO` (детект-only), `ORCH_FS_SCAN_ROOTS`, `ORCH_FS_SCAN_CACHE_TTL_S`. Тесты: `tests/test_fs_normalize.py`, `tests/test_git_worktree_perm.py`, `tests/test_fs_normalize_startup.py`, `tests/test_api_queue.py` (TC-01…TC-12).
+- **Лёгкий read-only `GET /metrics` — машинное «сырьё» о самом орке для sidecar F1b** (ORCH-099, FND/F1a, `feat`): добавлен версионируемый JSON-эндпоинт `GET /metrics`, отдающий снимок внутреннего состояния орка для будущего отдельного sidecar-наблюдателя F1b (`watchdog/`) — наблюдатель отделён от наблюдаемого (BRD §1): орк отдаёт ТОЛЬКО факты, которые знает лишь он сам; пороги/алерты/история/Telegram — на стороне F1b. **Аддитивно, строго read-only, never-raise:** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи / схема БД — **не тронуты**; `/health`/`/status`/`/queue` — байт-в-байт прежние. ADR: `docs/work-items/ORCH-099/06-adr/ADR-001-metrics-endpoint.md`, сквозной `docs/architecture/adr/adr-0030-metrics-endpoint.md`.
+  - **Leaf-сборщик + тонкий эндпоинт (D1):** новый `src/metrics.py` (`build_metrics() -> dict`, never-raise по разделам, паттерн `serial_gate.snapshot()`) собирает конверт по-раздельно (каждый раздел в своём `try/except` → безопасный дефолт `null`/`[]`/`{}` + WARNING); эндпоинт `@app.get("/metrics")` в `src/main.py` — тонкая обёртка, возвращает результат как есть (стиль `GET /queue`). Тестируемость без ASGI: разделы проверяются прямым вызовом `build_metrics()`.
+  - **Конверт + контракт `schema_version` (D2):** `schema_version` (стартует с `1`), `generated_at` (UTC ISO-8601, часовой домен орка → дельты CPU иммунны к skew орк↔sidecar, TR-3), `clk_tck` (`os.sysconf("SC_CLK_TCK")`, базис тиков). Политика: аддитивные изменения **НЕ бампят** версию (sidecar обязан игнорировать незнакомые ключи) — бамп только при ломающем (rename/remove/retype).
+  - **Разделы сырья (D3–D7):** `stages` — незавершённые задачи (`stage NOT IN ('done','cancelled')`, ORCH-090) с `work_item`/`stage`/`age_in_stage_s`/`repo` (источник `db.get_active_tasks_for_reconcile()` + фильтр терминалов на потребителе, helper-инвариант ORCH-053/086 не тронут). `queue` — `db.job_status_counts()` (+`cancelled`-ключ дефолтом), глубина, сырьё ретраев (`db.queue_retry_stats()`: attempts/transient/в-backoff), `worker.breaker.snapshot()`, `max_concurrency`. `agents` (liveness) — по running-job (новый read-only `db.get_running_agents()`, dedicated SELECT, НЕ расширение hot-path `get_running_jobs()`): `agent`/`run_id`/`job_id`/`pid`/`runtime_s` (= `running_age_s` от `jobs.started_at`, D6)/`model`/`effort` + **CPU-сырьё** `cpu_ticks` (utime+stime из `/proc/<pid>/stat`, поля 14+15; орк дельту не считает — stateless, арбитр sidecar). `cost` — `running` (по running-job, `null` до завершения = честное сырьё) + `aggregate` (новый `db.agent_cost_totals()`, `COALESCE(SUM(...),0)` по `agent_runs`).
+  - **Never-raise сырьё для liveness (FR-6/NFR-2):** `metrics._read_cpu_ticks(pid)` — `pid is None` / нет `/proc/<pid>` / мёртвый процесс / не-Linux → `cpu_ticks: null` у этого агента, прочие поля и весь эндпоинт целы (НЕ raise). Недоступный `worker` → `breaker: null`/`max_concurrency: null`, не 500. Пустые таблицы → `stages=[]`/`agents=[]`/`cost.aggregate=нули`.
+  - **Kill-switch (D8):** `src/config.py` `metrics_endpoint_enabled: bool = True` (env `ORCH_METRICS_ENABLED` через явный `validation_alias` — документированное имя контракта реально управляет флагом). `False` → `200` с минимальным телом `{"schema_version":1,"enabled":false}` (НЕ 404 — контракт остаётся парсимым). Дефолт `True` → нулевая регрессия (эндпоинт доступен из коробки).
+  - **Контракт задокументирован (AC-7):** формат `/metrics` зафиксирован в `docs/architecture/README.md` (раздел «Сырьё-эндпоинт `/metrics`» + строка в таблице API) как стабильный контракт для F1b. Тесты: `tests/test_metrics.py` (TC-01…TC-11: конверт/4 раздела, исключение терминалов, queue-поля, liveness-сырьё + cpu_ticks на живом pid, never-raise на `pid=None`/мёртвом pid/бросающем источнике/недоступном breaker, cost-агрегат + пустая таблица, эндпоинт через handler, read-only снимок БД до/после, аддитивность `/health`//status//queue, пустое состояние, kill-switch). Полный регресс `tests/ -q` зелёный (1480 → +14). Откат: `ORCH_METRICS_ENABLED=false` (мгновенный) или удаление модуля/эндпоинта/helper'ов (без следов в БД/схеме).
 - **Детерминированный гейт покрытия тестами — защита от тихой деградации coverage перед merge в `main`** (ORCH-027, `feat`): существующие тестовые гейты (`check_ci_green`, `check_tests_passed`, merge-gate re-test) судят только по **факту** прохождения, не по **полноте** — ни один не замечает «300 строк кода, 0 тестов», и при пакетном автономном прогоне (ORCH-088) покрытие монотонно деградирует. Введён детерминированный (без LLM) под-гейт ребра `deploy-staging → deploy` по образцу security-гейта (ORCH-022): leaf `src/coverage_gate.py` (never-raise) + тонкая обёртка `check_coverage_gate` в `QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. **Аддитивно:** `STAGE_TRANSITIONS` / семантика существующих `check_*` / machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) — байт-в-байт прежние; новая БД-таблица аддитивна (NFR-5/AC-8). См. `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`, сквозной `docs/architecture/adr/adr-0029-coverage-gate.md`.
  - **Точка/порядок (D1, AC-2):** под-гейт исполняется **ПОСЛЕ merge-gate** (покрытие меряется на догнанном `auto_rebase_onto_main` HEAD — ровно том коде, что landed в `main`) и **ДО image-freshness** (фейл до дорогого docker-rebuild). FAIL → штатный откат на `development` (+ инкремент developer-retry, cap `MAX_DEVELOPER_RETRIES`) **и освобождение merge-lease** (merge-gate держал его на своём PASS — зеркало image-freshness rollback, TR-2). `STAGE_TRANSITIONS` не меняется (под-гейт, как security/merge/image-freshness).
  - **Измерение (D2, FR-1/AC-1):** `python -m pytest tests/ --cov=src --cov-report=json` в изолированном per-branch worktree (`ensure_worktree`, прецедент `check_tests_local`); метрика — `totals.percent_covered` (line coverage `src/`). Измеритель инкапсулирован за `measure_coverage(repo, branch) -> float | None` (стек-расширяемость BR-6: jest/jacoco — новая ветка `measure_*`, без переписывания ядра). Тайм-аут `coverage_run_timeout_s`. Новая pip-зависимость `pytest-cov==5.0.0` (offline на момент замера). 
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -153,6 +153,43 @@ created → analysis → architecture → development → review → testing →
  `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`,
  `docs/architecture/adr/adr-0026-stop-cancel-task.md`.

+## Багфикс-трек: дешёвый маршрут для багов (ORCH-019)
+Задача с меткой Plane `Bug` идёт **укороченным маршрутом** — пропускается стадия `architecture`
+(отдельный прогон opus-агента `architect` + ADR + exit-гейт `check_architecture_done`); тяжёлая
+аналитика заменяется облегчённым пакетом (короткий bug-report + обязательный план регресс-теста,
+но всё равно все 4 файла analysis — гейт `check_analysis_complete` не меняется). **Корневой
+инвариант (NFR-1):** срезается ТОЛЬКО аналитика/архитектура — **все Quality Gate'ы и под-гейты
+исполняются без изменений** (`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи —
+байт-в-байт прежние); маршрутизация багфикса — свойство планировщика, **не** гейт. Аддитивно, под
+kill-switch, never-raise, fail-safe → полный цикл.
+- **Классификация (D1):** leaf `src/bug_fast_track.py` (never-raise, образец `labels`/`serial_gate`).
+  `bug_fast_track_applies(repo)` (локально, без сети) ПЕРВЫМ → выключенный флаг = нулевой сетевой
+  оверхед; `is_bug_task` делегирует в `labels.has_label` (ORCH-089-аппарат, источник истины — Plane
+  API, не payload). Чтение метки — только в `start_pipeline`, **никогда** в горячем `claim_next_job`
+  (NFR-4).
+- **Хранение типа (D2):** аддитивная идемпотентная колонка `tasks.track TEXT DEFAULT 'full'`
+  (`_ensure_column`, паттерн `tasks.cancelled_at`); значения `'full'` (дефолт, ВСЕ существующие и
+  не-баг задачи) | `'bug'`. Хелперы `db.set_task_track`/`get_task_track` (отсутствие/NULL → `'full'`,
+  fail-safe). Читается в `advance_stage` из БД, не из сети.
+- **Routing-override (D3):** врезка в `advance_stage` на ребре выхода из `analysis`: при `track='bug'`
+  (чистый предикат `bug_fast_track.skips_architecture`) `next_stage` → `development`, `next_agent` →
+  `developer` (минуя `architect`). `STAGE_TRANSITIONS`/`get_next_stage`/`get_agent_for_stage` — чистые,
+  1:1. Стамп `mark_brd_review_ended` расширен на `analysis → development` (честная метрика ORCH-087).
+- **Эскалация (D5):** `POST /bug-fast-track/escalate?work_item=<id>` сбрасывает `track` `'bug'→'full'`
+  → следующий переход уходит в `architecture` (полный цикл). Плюс self-escalate мини-аналитика
+  («баг сложный → полный пакет + `escalate: full-cycle`»).
+- **Флаги** (`config.py`): `bug_fast_track_enabled` (kill-switch, env `ORCH_BUG_FAST_TRACK_ENABLED`),
+  `bug_fast_track_label` (дефолт `Bug`), `bug_fast_track_repos` (CSV; **пусто → self-hosting only**).
+  `False`/неприменимый репо → старт и маршрут байт-в-байт прежние (нулевая регрессия для enduro и
+  orchestrator). Наблюдаемость — read-only блок `bug_fast_track` в `GET /queue` (флаг/метка/область +
+  счётчик багфикс-задач + метрика пропущенных стадий `architecture`) + отметка `🐞` в Telegram-карточке
+  (never-raise). Композиция: багфикс-задача — обычная задача репо для serial-gate (ORCH-088, не
+  обходит его); `autoApprove`/`autoDeploy` (ORCH-089), coverage-gate (ORCH-027, союзник BR-4),
+  merge-gate (ORCH-043) — штатно. **Инфра-предусловие:** создать метку **`Bug`** в Plane-проекте ORCH
+  (её отсутствие = fail-safe полный цикл). Детали —
+  `docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md`,
+  `docs/architecture/adr/adr-0032-bug-fast-track.md`.
+
 ## Гейт покрытия тестами (ORCH-027)
 Существующие тестовые гейты (`check_ci_green`, `check_tests_passed`, merge-gate re-test) судят
 только по **факту** прохождения, не по **полноте** — ни один не замечает «300 строк кода, 0
--- a/README.md
+++ b/README.md
@@ -45,6 +45,7 @@ created → analysis → architecture → development → review → testing →
 | GET | `/queue` | Очередь задач (ORCH-1): counts по статусам + max_concurrency + последние 10 jobs |
 | POST | `/webhook/plane` | Plane webhook receiver |
 | POST | `/webhook/gitea` | Gitea webhook receiver |
+| POST | `/bug-fast-track/escalate?work_item=<id>` | Эскалация багфикс-задачи в полный цикл (ORCH-019): сброс `track` `'bug'→'full'` → следующий переход уходит в `architecture` |

 ## Структура проекта

@@ -140,6 +141,9 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_QG0_TITLE_MAX` | Верхний лимит длины заголовка QG-0 (вход `_qg0_errors`); невалидное/пустое значение → дефолт (ORCH-069) | `200` |
 | `ORCH_STOP_STATUS_ENABLED` | Kill-switch отмены задачи по Plane-статусу **STOP** + закрытия дыры релонча (ORCH-090); `false` → поведение 1:1 как до ORCH-090 | `true` |
 | `ORCH_STOP_STATUS_REPOS` | CSV область репо для STOP-отмены; пусто = все репо (ORCH-090) | `""` |
+| `ORCH_BUG_FAST_TRACK_ENABLED` | Kill-switch багфикс-трека (ORCH-019): задача с меткой Plane `Bug` пропускает стадию `architecture`; `false` → старт и маршрут 1:1 как до ORCH-019 (нулевая регрессия) | `true` |
+| `ORCH_BUG_FAST_TRACK_LABEL` | Имя метки Plane, активирующей багфикс-трек (ORCH-019) | `Bug` |
+| `ORCH_BUG_FAST_TRACK_REPOS` | CSV область репо для багфикс-трека; **пусто → self-hosting only** (`orchestrator`) — enduro подключается явным CSV (ORCH-019) | `""` |

 ## Очередь задач (ORCH-1 / F-2b)

@@ -181,6 +185,36 @@ ORCH-090/06-adr/ADR-001-stop-cancel-task.md` + сквозной
 > группой `cancelled`. До создания статуса фича в fail-safe (нет UUID → ветка STOP
 > не активируется).

+## Багфикс-трек: дешёвый маршрут для багов (ORCH-019)
+
+Задача с меткой Plane `Bug` (имя метки — `ORCH_BUG_FAST_TRACK_LABEL`, дефолт `Bug`)
+идёт **укороченным маршрутом** конвейера: `analysis(lite) → development → review →
+testing → deploy-staging → deploy → done`, т.е. **пропускается стадия `architecture`**
+(отдельный прогон opus-агента `architect` + ADR + exit-гейт `check_architecture_done`).
+Мини-аналитик выдаёт облегчённый пакет (короткий bug-report + обязательный план
+регресс-теста), но всё равно все 4 файла analysis — гейт `check_analysis_complete`
+не меняется.
+
+**Корневой инвариант:** упрощается только аналитика/архитектура — **все Quality
+Gate'ы и под-гейты исполняются без изменений** (`STAGE_TRANSITIONS` / `QG_CHECKS` /
+`check_*` / machine-verdict ключи — байт-в-байт прежние). Маршрутизация багфикса —
+свойство планировщика (routing-override в `advance_stage` по `tasks.track='bug'`),
+**не** Quality Gate.
+
+Классификация (`src/bug_fast_track.py`, never-raise): локальный `bug_fast_track_applies(repo)`
+ПЕРВЫМ (выключенный флаг = нулевой сетевой оверхед), затем `is_bug_task` через
+`labels.has_label` (источник истины — Plane API). Тип хранится в аддитивной колонке
+`tasks.track` (`'full'` | `'bug'`), читается в горячем пути из БД (не из сети).
+**Эскалация** сложного/архитектурного бага в полный цикл — `POST /bug-fast-track/escalate?work_item=<id>`
+(сброс `'bug'→'full'`). Всё под kill-switch `ORCH_BUG_FAST_TRACK_ENABLED`, область —
+`ORCH_BUG_FAST_TRACK_REPOS` (пусто → self-hosting only), fail-safe → полный цикл.
+Наблюдаемость — блок `bug_fast_track` в `GET /queue` + отметка `🐞` в Telegram-карточке.
+Деталь — `docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md` + сквозной
+`docs/architecture/adr/adr-0032-bug-fast-track.md`.
+
+> **Инфра-предусловие:** на доске Plane проекта ORCH создать метку **`Bug`**. До её
+> создания фича в fail-safe (нет метки → задача идёт полным циклом).
+
 **Resilience-слой:** дешёвый preflight (CLI/net, кэш, без токенов) гейтит claim;
 429/overload детектится по логу (transient vs permanent), transient ретраится с
 exp-backoff (`available_at`, Retry-After); circuit breaker паузит воркер после N
--- a/docs/architecture/README.md
+++ b/docs/architecture/README.md
--- a/docs/architecture/adr/README.md
+++ b/docs/architecture/adr/README.md
@@ -31,11 +31,17 @@ Per-work-item решения живут в `docs/work-items/<id>/06-adr/ADR-NNN-
 | adr-0023 | Обзорная ось reviewer + закрытие эпика 52 | accepted | 2026-06-09 | ORCH-079 |
 | adr-0024 | Disk-watchdog — heartbeat-сигнал заполнения хост-ФС | proposed | 2026-06-09 | ORCH-063 |
 | adr-0025 | Build-cache-pruner — авто-prune docker build cache на хосте | proposed | 2026-06-09 | ORCH-062 |
+| adr-0026 | STOP / отмена задачи — системный терминал `cancelled` | proposed | 2026-06-09 | ORCH-090 |
+| adr-0027 | Merge-актор — ретрай транзиентных ошибок Gitea + гард «ветка уже в `main`» | proposed | 2026-06-09 | ORCH-093 |
+| adr-0028 | Terminal-window-aware гард deploy-фазовых статусов Plane | proposed | 2026-06-09 | ORCH-094 |
+| adr-0029 | Гейт покрытия тестами — edge sub-gate + ratchet-базовая линия | proposed | 2026-06-10 | ORCH-027 |
+| adr-0030 | Лёгкий read-only `/metrics` — сырьё о самом орке для sidecar (F1b) | proposed | 2026-06-10 | ORCH-099 |
+| adr-0031 | Нормализация legacy root-owned файлов при миграции uid — детект-leaf + actionable worktree-ошибка | proposed | 2026-06-10 | ORCH-057 |

 > ⚠️ Историческая коллизия: номер `0007` занят двумя файлами —
 > `adr-0007-reconciler.md` (ORCH-053) и `adr-0007-executable-self-deploy.md`
 > (ORCH-036). Оба accepted; для новых сквозных ADR использовать следующий
-> свободный номер (текущий максимум — `0020`).
+> свободный номер (текущий максимум — `0031`).
 > adr-0014 **amends** adr-0013 (меняет критерий merge-verify на «SHA-в-main»).
 > adr-0016 **amends** adr-0013/0014 (гарантирует открытый код-PR перед merge_pr, ORCH-082).
 > adr-0020 реализует машинный слой к adr-0019 (ORCH-52b→52c).
--- a/docs/architecture/adr/adr-0030-metrics-endpoint.md
+++ b/docs/architecture/adr/adr-0030-metrics-endpoint.md
@@ -0,0 +1,88 @@
+---
+work_item: ORCH-099
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0030: Лёгкий read-only `/metrics` — сырьё о самом орке для sidecar (F1b)
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-099 (FND/F1a)
+- **Детальный ADR:** `docs/work-items/ORCH-099/06-adr/ADR-001-metrics-endpoint.md`
+
+## Контекст
+Эпик автономного саморазвития, домен 0 «Фундамент». Рамка наблюдаемости (заказчик): **наблюдатель
+отделён от наблюдаемого** — мозг мониторинга (пороги/алерты/история/Telegram) живёт в отдельном
+sidecar-контейнере **F1b** (`watchdog/`), а орк отдаёт **только сырьё**, которое знает лишь он сам.
+Сегодня такого источника нет: `/health` = `{"status":"ok"}`, `/status` = активные задачи, `/queue` —
+«человеческий» снимок, перемешанный с конфигом демонов. Нет стабильного машинного контракта для
+детекта застрявшей стадии / зависшего агента / деградации очереди / всплеска стоимости. F1b
+заблокирована этой задачей. Self-hosting: прод общий с enduro-trails ⇒ эндпоинт обязан быть строго
+read-only и never-raise.
+
+## Решение
+Новый **leaf-модуль** `src/metrics.py` (`build_metrics() -> dict`, чистый, never-raise по разделам —
+паттерн `serial_gate.snapshot()`) + тонкий эндпоинт `@app.get("/metrics")` в `src/main.py` (стиль
+`GET /queue`). Только чтение существующих таблиц (`tasks`/`jobs`/`agent_runs`) и in-memory-снапшотов
+ два read-only helper'а в `src/db.py`. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict-
+ключи/схема БД — **не трогаются**.
+
+- **Конверт + контракт версии:** `schema_version` (старт `1`), `generated_at` (UTC ISO-8601 —
+  момент снимка, домен часов орка), `clk_tck` (`os.sysconf("SC_CLK_TCK")`), разделы
+  `stages`/`queue`/`agents`/`cost`. **Политика версии:** аддитивные изменения НЕ бампят (sidecar
+  обязан игнорировать незнакомые ключи и толерировать отсутствие опциональных); бамп — только при
+  ломающем (rename/remove/retype). Forward-compatible контракт для F1b.
+- **`stages`** — `db.get_active_tasks_for_reconcile()` + фильтр `stage NOT IN ('done','cancelled')`
+  на слое metrics (helper намеренно отдаёт `cancelled` для ORCH-086 — не трогаем его инвариант);
+  поля `work_item`/`stage`/`age_in_stage_s`/`repo`.
+- **`queue`** — `db.job_status_counts()` (+`cancelled`), глубина, сырьё ретраев
+  (`attempts`/`max_attempts`/`transient_attempts`/в-backoff), `worker.breaker.snapshot()`,
+  `max_concurrency`. Недоступный worker → `breaker: null`, не 500.
+- **`agents` (liveness)** — новый dedicated read-only helper `db.get_running_agents()` (НЕ расширение
+  hot-path `get_running_jobs()` reaper'а, ORCH-065): `agent`/`run_id`/`job_id`/`pid`/`runtime_s`
+  (= `running_age_s` от `jobs.started_at`)/`model`/`effort`. CPU-сырьё — **вариант A**: орк читает
+  `/proc/<pid>/stat` (поля 14+15, utime+stime) → `cpu_ticks`; **дельту не считает** — арбитр
+  «жив/завис» это sidecar (stateless-эмиссия). `pid is None`/мёртвый/нет `/proc`/не-Linux →
+  `cpu_ticks: null`, не ошибка.
+- **`cost`** — `running` (по running-job, часто `null` до завершения — честное сырьё, `null` ≠ ноль)
+  + `aggregate` (новый helper `db.agent_cost_totals()`, `COALESCE(SUM(...),0)` по
+  `cost_usd`/`input_tokens`/`output_tokens`/`cache_read_tokens`/`cache_creation_tokens`).
+- **Kill-switch** `metrics_endpoint_enabled` (env `ORCH_METRICS_ENABLED`, дефолт `True`): при `False`
+  → `200` с `{"schema_version":1,"enabled":false}` (контракт остаётся парсимым). Операторский
+  off-switch на общем инстансе.
+- **Never-raise:** каждый раздел — свой `try/except` + `logger.warning` + дефолт (`null`/`[]`/`{}`);
+  `build_metrics()` никогда не пробрасывает. Read-only: ни одного `INSERT/UPDATE/DELETE/CREATE/ALTER`.
+
+## Альтернативы
+- **Расширить `/queue`** — отклонено: ломает байт-в-байт контракт (BR-6) + смешивает сырьё с
+  человеческим снимком.
+- **Prometheus/OpenMetrics** — отклонено: заказчик задал тонкий кастомный sidecar (не Prometheus),
+  контракт — JSON.
+- **Орк считает CPU-дельту сам** — отклонено: требует состояния; stateful-арбитр это sidecar (C-1).
+- **Расширить SELECT `get_running_jobs()`** — отклонено: перенос инварианта hot-path reaper'а;
+  изолируем dedicated helper.
+- **Push в sidecar** — отклонено: нарушает разделение C-1; зависший орк ⇒ pull падает = сам сигнал.
+
+## Последствия
+- F1b разблокирована стабильным машинным контрактом; домен наблюдаемости стартует.
+- Строго read-only + never-raise ⇒ near-zero риск для общего прод-конвейера (enduro-trails);
+  `/health`/`/status`/`/queue` байт-в-байт; гейты/схема/machine-verdict-ключи не тронуты (NFR-5).
+- `schema_version` + аддитивно-толерантная политика ⇒ расширения не ломают F1b.
+- Плата: новая поверхность совместимости `/metrics`↔F1b (митигейшн — единый репо контракта + версия);
+  CPU-liveness Linux-специфичен (`/proc`; не-Linux → `null`). Топология/схема не меняются (sidecar и
+  его сетевая достижимость — объём F1b).
+- Новый компонент + публичный контракт → `arch:major-change` (хоть и аддитивно/read-only/обратимо);
+  прод-деплой строго через staging-гейт (8501), без рестарта прод-контейнера.
+- **Откат:** `metrics_endpoint_enabled=False` (мгновенный) или удаление модуля/эндпоинта/helper'ов —
+  без следов в БД/схеме.
+
+## Связи
+adr-0002 (job-queue/circuit-breaker — источник `queue`-сырья), adr-0011 (job-reaper —
+`get_running_jobs`/pid/liveness-семантика, изоляция hot-path), adr-0026 (терминал `{done,cancelled}`
+— фильтр `stages`), adr-0017 (serial_gate — паттерн leaf `snapshot()`/never-raise), adr-0020
+(frontmatter-контракт — стиль версионируемого контракта). Прямой потребитель — **F1b** (sidecar
+`watchdog/`, отдельная задача).
--- a/docs/architecture/adr/adr-0031-legacy-ownership-normalization.md
+++ b/docs/architecture/adr/adr-0031-legacy-ownership-normalization.md
@@ -0,0 +1,92 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0031: Нормализация legacy root-owned файлов при миграции uid — детект-leaf + actionable worktree-ошибка
+
+- **Статус:** proposed
+- **Дата:** 2026-06-10
+- **Задача:** ORCH-057 (follow-up ORCH-040)
+- **Детальный ADR:** `docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md`
+
+## Контекст
+ORCH-040 перевёл контейнеры на `user: "1000:1000"`, изменив только `docker-compose.yml`. Владельца
+уже существующих `root:root` файлов в bind-mount `/repos` это не меняет. Под uid 1000
+`src/git_worktree.py::ensure_worktree` (`os.makedirs` стр. 78 / `git worktree add` стр. 81/85) не может
+создать worktree рядом с root-owned `/repos/_wt/` → `fatal: could not create leading directories …
+Permission denied`, который сейчас пробрасывается сырым. Конвейер приходит сюда из
+`launcher._spawn`/`_materialize_deferred_branch` (ORCH-088) — **агент не стартует** (launch-time
+инфра-сбой, не код задачи). Инцидент 06.06 на проде (первый запуск ORCH-043); workaround Стрима
+(`chown -R 1000:1000`) наложен вручную. ADR-040 описал нормализацию абстрактно («вне объёма кода») и
+не дал процедуры → баг воспроизводим на чистой среде / новом репо / после исторического запуска под
+root. Контейнер бежит **без root** → код физически не может `chown` чужие файлы; ему доступны лишь
+детект + диагностика.
+
+## Решение
+Три аддитивных, обратимых kill-switch'ем слоя — паттерн условного leaf-гейта (`coverage_gate`/
+`serial_gate`) + best-effort startup-хук (`main.lifespan`, как lease-reclaim). `STAGE_TRANSITIONS` /
+`QG_CHECKS` / `check_*` / machine-verdict-ключи (`verdict:`/`result:`/`deploy_status:`/
+`staging_status:`/`security_status:`/`coverage_status:`) / схема БД — **байт-в-байт прежние**.
+
+- **Actionable worktree-ошибка (D1):** `ensure_worktree` классифицирует класс «нет прав» (маркеры
+  `Permission denied`/`could not create leading directories`/`insufficient permission`/`EACCES`/
+  `EPERM`) и поднимает `RuntimeError` с причиной (legacy root-файлы после миграции uid) + лечащей
+  командой + ссылкой на INFRA.md. Не-прав-ошибки сохраняют прежний текст/смысл (никакой подмены).
+  Меняется лишь **формулировка**, не факт сбоя.
+- **Детект-leaf `src/fs_normalize.py` (D2):** чистый, never-raise, TTL-кэш (паттерн `preflight`).
+  `scan_ownership(roots, target_uid)` обходит `/repos/_wt`, `<repo>/.git/objects`,
+  `<repo>/.git/worktrees`, `data/runs`; ранний выход при первом `st_uid != target_uid`
+  (`target_uid=os.getuid()` по умолчанию). `applies(repo)` (kill-switch + scope; пусто →
+  `is_self_hosting_repo`) проверяется ПЕРВЫМ → дорогой обход только при applies. Идемпотентно;
+  ошибка обхода → WARNING + консервативный `mismatch=False`.
+- **Интеграция = наблюдаемость, без блокировки claim (D3):** best-effort `scan_ownership()` на старте
+  `main.lifespan` → WARNING + Telegram при mismatch. Claim НЕ гейтится: внятный ранний отказ даёт D1
+  в точке launch (знает repo, агент ещё не тратил токены). Блокирующий preflight-гейт отвергнут —
+  preflight не знает repo, заблокировал бы и enduro-trails на общем `/repos`.
+- **Опц. `normalize()` (D4):** chown только при `CAP_CHOWN`/root (под uid 1000 — no-op + лог),
+  флаг `fs_normalize_auto` (дефолт `False`). Init-контейнер/root-entrypoint отвергнут: реинтродукция
+  root-контекста (анти-цель ORCH-040) + правка compose = self-deploy/групповой риск. Реальную
+  нормализацию несёт операторская процедура.
+- **Процедура (D5):** `INFRA.md` получает раздел «Миграция uid: обязательная нормализация legacy
+  root-файлов» (точные команды по всем корням) как обязательный шаг миграции; forward-breadcrumb из
+  ADR-040.
+- **Флаги:** `fs_normalize_enabled` (kill-switch, дефолт `True`), `fs_normalize_repos` (CSV, пусто →
+  self-hosting only), `fs_target_uid` (1000), `fs_normalize_auto` (`False`), `fs_scan_roots`,
+  `fs_scan_cache_ttl_s` (300). Наблюдаемость — блок `fs_ownership` в `GET /queue`; опц. `POST
+  /fs-normalize/check`.
+
+## Альтернативы
+- **Init-контейнер/root-entrypoint** — реинтродукция root (анти-цель ORCH-040), self-deploy compose,
+  групповой риск ради разовой операции. Отвергнуто; носитель нормализации — операторская процедура.
+- **Блокирующий claim-гейт (preflight)** — preflight не знает repo → регресс enduro на общем `/repos`.
+  Отвергнуто.
+- **Блокирующий claim-гейт (queue_worker/claim)** — дорогой FS-обход в hot-path + «молчаливое
+  зависание» вместо диагноза D1. Отвергнуто.
+- **Авто-chown из app по умолчанию** — под uid 1000 невозможен; ложное ожидание самолечения.
+  Отвергнуто (оставлен opt-in `fs_normalize_auto`).
+- **Hard-fail старта при mismatch** — нарушает never-raise, стопорит сервис всех проектов. Отвергнуто.
+
+## Последствия
+- Класс «сырой git-fatal на launch после миграции uid» закрыт внятным диагнозом (D1) + проактивным
+  startup-сигналом (D3); пробел процедуры ADR-040 закрыт (INFRA.md).
+- Нулевая регрессия enduro-trails (scope first); инварианты конвейера/схема БД — байт-в-байт.
+- Никакого root-контекста/рестарта прода/касания `main`/force-push/прод-образа (NFR-1).
+- Плата: фактический `chown` остаётся ручным операторским шагом (но теперь внятным, с инструкцией);
+  +1 best-effort startup-хук и leaf-модуль; `fs_normalize_auto=True` под root реинтродуцирует
+  chown-контекст (дефолт `False`, не для прод-self).
+- Аддитивно/обратимо: **не** `arch:major-change` (нет новой стадии/QG/таблицы/смены топологии) — leaf
+  + startup-хук + docs.
+- **Откат:** `fs_normalize_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
+
+## Связи
+adr-0005 (контейнер под host-uid — порождающее решение ORCH-040, чей пробел закрываем),
+adr-0029/adr-0012 (coverage/security-гейт — паттерн условного leaf `applies`/scope/never-raise/
+fail-open), adr-0017 (serial-gate — leaf never-raise + отложенный срез ветки `_materialize_deferred_
+branch`, чья точка падает в `ensure_worktree`), adr-0011 (job-reaper — образец best-effort
+startup-хука в `lifespan`), adr-0024 (disk-watchdog — образец «только читать/уведомлять, не трогать
+хост/прод»).
--- a/docs/architecture/adr/adr-0032-bug-fast-track.md
+++ b/docs/architecture/adr/adr-0032-bug-fast-track.md
@@ -0,0 +1,95 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# adr-0032: Багфикс-трек — укороченный маршрут конвейера для багов (ORCH-019)
+
+## Статус
+Proposed
+
+## Контекст
+
+Любая задача идёт по полному конвейеру `analysis → architecture → development → review → testing
+→ deploy-staging → deploy → done`. Для мелкого бага стадия `architecture` (отдельный прогон
+opus-агента `architect` + ADR + exit-гейт `check_architecture_done`) избыточна и тратит
+токены/время (прецедент ET-9/ET-014 ~35 мин).
+
+**Корневой инвариант (нерушимый):** упрощаем только *аналитику/архитектуру*; ни один Quality
+Gate / под-гейт (security/merge/coverage/image-freshness) / exit-код deploy-хука — НЕ ослаблен
+(урок ET-8: срезанная проверка = недоделка на проде).
+
+Кросс-каттинговость: затрагивает семантику маршрутизации (`advance_stage`), вводит новый
+leaf-компонент `src/bug_fast_track.py` и аддитивную колонку `tasks.track` → регистрируется
+сквозным ADR.
+
+## Решение
+
+Багфикс-трек — **свойство планировщика/точки входа, НЕ Quality Gate**.
+
+1. **Классификация** (`src/bug_fast_track.py`, leaf never-raise по образцу `serial_gate`/`labels`):
+   задача с меткой Plane `Bug` (`bug_fast_track_label`, читается аппаратом ORCH-089
+   `labels.has_label`) помечается `track='bug'`. `applies(repo)` (локально, без сети) — первым;
+   `has_label` (сеть) — только при `applies==True`; чтение метки **только** в `start_pipeline`,
+   никогда в горячем `claim_next_job` (anti-stall).
+
+2. **Хранение** — аддитивная идемпотентная колонка `tasks.track TEXT DEFAULT 'full'`
+   (`_ensure_column`, паттерн `tasks.cancelled_at` ORCH-090); читается в `advance_stage` из БД
+   (не из сети).
+
+3. **Routing-override** — `STAGE_TRANSITIONS` и `get_next_stage`/`get_agent_for_stage` остаются
+   **чистыми** (1:1). В `advance_stage`, на ребре выхода из `analysis`, при `track='bug'`:
+   `next_stage` → `development` (вместо `architecture`), `next_agent` → `developer` (вместо
+   `architect`). Багфикс физически минует стадию `architecture` → её exit-гейт
+   `check_architecture_done` и `06-adr/` для багфикса не исполняются.
+
+4. **Гейт `analysis` не трогаем** — `check_analysis_complete`/`check_analysis_approved` байт-в-байт
+   прежние; lite-аналитик эмитит все 4 файла (01-bug-report / 02-03 краткие заглушки / 04 план
+   обязательного регресс-теста). Экономия — пропуск всей стадии `architecture`, не число файлов.
+
+5. **Эскалация** (обратимость) — `POST /bug-fast-track/escalate?work_item=<id>` сбрасывает
+   `track→'full'` (+ self-escalate мини-аналитика); задача далее идёт через `architecture`.
+
+6. **Условность/откат** — `bug_fast_track_enabled` (kill-switch), `bug_fast_track_label`,
+   `bug_fast_track_repos` (CSV; **пусто → self-hosting only**). `False`/неприменимый репо →
+   путь старта и маршрут **байт-в-байт** прежние.
+
+7. **Наблюдаемость** — read-only блок `bug_fast_track` в `GET /queue` (флаг/область/метка +
+   счётчик `track='bug'` + метрика экономии из `agent_runs`); лог на решение о маршруте; опц.
+   `🐞` в Telegram-карточке.
+
+## Кросс-каттинговые инварианты (НЕ нарушаются)
+
+- `STAGE_TRANSITIONS` структурно не меняется (нет новых/удалённых стадий); `cancelled`/`done`
+  стоки и предикаты терминальности (ORCH-090) не затронуты.
+- Реестр `QG_CHECKS`, сигнатуры `check_*`, вердикт-ключи (`verdict:`/`result:`/`deploy_status:`/
+  `staging_status:`/`security_status:`/`coverage_status:`), порядок под-гейтов — байт-в-байт.
+- Врезка ORCH-019 в `advance_stage` — ТОЛЬКО на ребре выхода из `analysis`, ДО всех deploy-edge
+  под-гейтов (ORCH-022/043/027/058) и Phase A/B (ORCH-036/059) → их инварианты сохранены.
+- Композиция с serial-gate (ORCH-088), auto-label (ORCH-089), coverage-gate (ORCH-027),
+  merge-gate (ORCH-043) — багфикс-задача остаётся обычной задачей репо.
+
+## Последствия
+
+- **+** Багфикс минует стадию `architecture` (основная экономия), гейты качества сохранены.
+- **+** Аддитивно, под kill-switch, per-repo, never-raise, fail-safe → полный цикл; нулевая
+  регрессия для enduro и orchestrator при выключении.
+- **−** lite-аналитик эмитит 02/03 заглушки (компромисс ради неизменности гейта); эскалация v1
+  требует операторского действия (авто-триаж сложности — будущее, ORCH-13/Вариант 3).
+- **Откат:** `bug_fast_track_enabled=False` (мгновенно); колонка `tasks.track` аддитивна и
+  безвредна (дефолт `'full'`).
+
+## Связанные решения
+- ORCH-089 (auto-label) — переиспользуемый аппарат label-чтения: [adr-0018](adr-0018-auto-label-gates.md)
+- ORCH-088 (serial gate) — композиция очереди репо
+- ORCH-027 (coverage-gate) — структурный союзник BR-4: [adr-0029](adr-0029-coverage-gate.md)
+- ORCH-090 (cancelled) — паттерн аддитивной колонки `tasks.*`: [adr-0026](adr-0026-stop-cancel-task.md)
+
+## Ссылки
+- Детальный ADR задачи: `docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md`
+- BRD/TRZ/AC: `docs/work-items/ORCH-019/01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`
+</content>
--- a/docs/architecture/internals.md
+++ b/docs/architecture/internals.md
@@ -106,6 +106,17 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash

 Примечание: переход `review → testing` использует `check_reviewer_verdict` (читается из frontmatter `12-review.md`); `development → review` — `check_tests_local` (оркестратор сам прогоняет тесты, не зависит от Gitea CI).

+**Багфикс-трек: routing-override на ребре выхода из `analysis` (ORCH-019 — design).** Для задачи
+с `tasks.track='bug'` (помечена в `start_pipeline` по метке Plane `Bug` через аппарат ORCH-089)
+`advance_stage` на шаге 3 переопределяет результат `get_next_stage('analysis')`: `next_stage` →
+`development` (вместо `architecture`), а на шаге 4 `next_agent` → `developer` (вместо `architect`)
+→ стадия `architecture` и её exit-гейт `check_architecture_done` для багфикса не исполняются.
+`STAGE_TRANSITIONS`/`get_next_stage`/`get_agent_for_stage` остаются чистыми (1:1) — override живёт
+только в `advance_stage`. Чистый предикат `bug_fast_track.skips_architecture(track)` (leaf
+`src/bug_fast_track.py`, never-raise) под `bug_fast_track_enabled`; `track` читается из БД, не из
+сети (NFR-4). `False`/неприменимый репо → маршрут байт-в-байт прежний. Детали —
+[adr-0032](adr/adr-0032-bug-fast-track.md).
+
 ### 6. Review Bounce

 При REQUEST_CHANGES:
--- a/docs/operations/INFRA.md
+++ b/docs/operations/INFRA.md
@@ -47,8 +47,35 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 - **P-3:** `id slin` → `1000:1000`; `/repos`, `/app/data` уже `1000:1000`.
 - **P-4:** прод-рестарт self — только в окно тишины (`GET /status` без активных задач):
  общий инстанс с enduro-trails.
- Разовый разгребающий `chown -R 1000:1000 /home/slin/repos/orchestrator` для старых
-  `root:root` файлов из истории (вне объёма кода).
+- **P-5 (блокер миграции uid, ORCH-057):** нормализация **всех** legacy `root:root` файлов в `/repos`
+  — см. подраздел «Миграция uid: обязательная нормализация legacy root-файлов» ниже. Без неё первый
+  job падает на launch при создании worktree (инцидент 06.06, ORCH-043).
+
+### Миграция uid: обязательная нормализация legacy root-файлов (ORCH-057)
+ORCH-040 сменил `user:` контейнера, но **не** владельца уже существующих файлов в bind-mount `/repos`,
+созданных прежним root-контейнером. Под uid 1000 `src/git_worktree.py::ensure_worktree` не может
+создать worktree рядом с `root:root` каталогом `/repos/_wt/` → `fatal: could not create leading
+directories … Permission denied` (агент даже не стартует). С ORCH-057 эта ошибка распознаётся и
+выдаётся **внятно** (с лечащей командой) + детектится на старте сервиса (WARNING/Telegram, блок
+`fs_ownership` в `GET /queue`), но **фактический `chown` обязан выполнить оператор под root на хосте**
+(контейнер бежит без root и chown'ить чужие файлы не может).
+
+**Обязательный разовый шаг при миграции uid / на новой среде (под root на mva154, ПЕРЕД стартом app):**
+```bash
+# 1) worktree-корень (все ветки всех проектов режутся здесь)
+sudo chown -R 1000:1000 /home/slin/repos/_wt
+# 2) .git обоих репо (objects / worktrees-административные записи)
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git \
+                        /home/slin/repos/enduro-trails/.git
+# 3) корень orchestrator целиком (включая data/runs/*.log — 37 root-логов в инциденте)
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator
+# Проверка (пусто = ок):
+find /home/slin/repos/_wt ! -uid 1000 -print -quit
+```
+Процедура **идемпотентна** (повтор на корректной среде — no-op) и входит в **чеклист деплоя/миграции
+self**. Область охвата: `_wt`, оба `.git` (`objects`+`worktrees`), `data/runs`. См.
+`docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md` и сквозной
+`docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`.

 ### Тома (volumes)
 - `./data` → `/app/data` (БД; у staging — `./data/staging`)
--- a/docs/work-items/ORCH-019/00-business-request.md
+++ b/docs/work-items/ORCH-019/00-business-request.md
@@ -0,0 +1,7 @@
+# Business Request: Режим багфиксинга: упрощённый/дешёвый трек для багов (не полный цикл)
+
+Work Item ID: ORCH-019
+
+## Description
+
+TBD
--- a/docs/work-items/ORCH-019/01-brd.md
+++ b/docs/work-items/ORCH-019/01-brd.md
@@ -0,0 +1,178 @@
+---
+work_item: ORCH-019
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-019 — Режим багфиксинга (упрощённый/дешёвый трек для багов)
+
+Work Item: **ORCH-019** · Repo: **orchestrator** (self-hosting) · Стадия: analysis
+Заказчик: Слава · Тип: фича (новый режим конвейера, опциональный, под флагом)
+
+> ⚠️ **Принцип, заданный Владельцем (нерушимый):** упрощаем **аналитику**, но **НЕ ослабляем
+> качество**. Гейты CI / review / tester verdict / deploy verdict **остаются**. Горький урок
+> ET-8 / BUG-TESTS-SUBSTRING: срезанная *проверка* = недоделка на проде. «Дешевле ≠
+> бесконтрольнее». Этот принцип — корневой инвариант всей задачи (см. NFR-1, BR-6).
+
+---
+
+## 1. Бизнес-контекст и проблема
+
+### 1.1. Цель
+Дать оркестратору **отдельный удешевлённый трек для багфиксов**. Сейчас любой баг (пример:
+зашёл на карту enduro-trails, увидел дефект, завёл задачу) идёт по **полному** конвейеру
+`analysis → architecture → development → review → testing → deploy-staging → deploy`. Для мелкой
+правки полный цикл **избыточен**: лишние стадии (полный BRD/TRZ/AC + архитектурный ADR) тратят
+токены и время, не добавляя ценности на однострочном фиксе.
+
+### 1.2. Установленные факты (проверено по коду, не изобретать)
+- **Точка входа задачи в конвейер:** `src/webhooks/plane.py::start_pipeline` создаёт task-row
+  с **жёстко зашитой** начальной стадией `"analysis"` (`create_task_atomic(..., "analysis", ...)`)
+  и режет ветку (`_create_gitea_branch`). Это единственная точка, где задаётся точка входа.
+- **Маршрутизация стадий полностью управляется** `src/stages.py::STAGE_TRANSITIONS` через
+  `get_next_stage` — `advance_stage` (`src/stage_engine.py`) не содержит «зашитого» порядка стадий,
+  он спрашивает `get_next_stage`. → Изменение точки входа / маршрута локализуемо, машину стадий
+  ломать не нужно.
+- **Метка задачи уже читается из Plane** аппаратом ORCH-089: `src/labels.py::has_label` +
+  `plane_sync.fetch_issue_labels` / `get_project_labels` (TTL-кэш, нормализация имени, never-raise,
+  fail-safe → False). Источник истины — Plane API, **не** payload вебхука (`type`/`priority` в
+  payload отсутствуют). Это готовый, проверенный шаблон классификации задачи.
+- **Все Quality Gate'ы читают вердикт из артефактов**, а не из стадии входа: `check_ci_green`,
+  `check_reviewer_verdict` (`12-review.md`), `check_tests_passed` (`13-test-report.md`),
+  `check_staging_status`, `check_deploy_status`, под-гейты security/merge/coverage/image-freshness.
+  Они **не зависят** от того, прошла ли задача `analysis`/`architecture`, → их можно сохранить
+  нетронутыми при срезанном «входе».
+- **Coverage-гейт (ORCH-027)** уже структурно ловит «код без тестов» на ребре
+  `deploy-staging → deploy` — союзник принципа «баг фиксируется тестом».
+- **Прецедент стоимости:** UI z-index баг ET-9/ET-014 прошёл **полный** цикл ~35 мин — типичный
+  кандидат на удешевление.
+
+### 1.3. Связки и разграничение
+- **ORCH-13 (роутинг моделей):** «дешёвая модель на багфиксе» (Вариант 4 постановки) —
+  **вне объёма** ORCH-019, отдельная задача; ORCH-019 лишь оставляет точку композиции
+  (флаг bug-track наблюдаем, по нему ORCH-13 позже может выбрать модель). См. §2.2.
+- **ORCH-088 (serial gate) / ORCH-089 (auto-label):** ORCH-019 **сосуществует** с ними и
+  переиспользует их аппарат (label-чтение, per-repo flag, claim-gate); не конфликтует.
+- **ORCH-12 / ORCH-14 (UX) / ET-9 (визуальные баги):** часть багов визуальные и может требовать
+  мини-макета — для таких случаев предусмотрен механизм **эскалации обратно в полный цикл**
+  (BR-5), а не слепое удешевление.
+- **ORCH-8 (петля уроков):** баг, найденный на проде, — сигнал петли уроков; ORCH-019 этого не
+  меняет (post-deploy-телеметрия ORCH-021 сохраняется).
+
+---
+
+## 2. Объём (scope)
+
+### 2.1. В объёме
+- **BR-1 — Классификация «баг».** Задача распознаётся как баг по **метке Plane** (рекоменд. имя
+  `Bug`), читаемой аппаратом ORCH-089. Операторская, детерминированная, обратимая разметка.
+- **BR-2 — Упрощённый трек.** Багфикс-задача идёт по **укороченному** пути: пропускается
+  **тяжёлая аналитика и стадия `architecture`** (полный BRD/TRZ/AC/ADR не требуются); вместо них —
+  **минимальный набор артефактов** (короткий bug-report + обязательный план регресс-теста).
+- **BR-3 — Гейты качества сохраняются ПОЛНОСТЬЮ.** CI (`check_ci_green`), review
+  (`check_reviewer_verdict`), testing (`check_tests_passed`), staging/deploy-вердикты и под-гейты
+  (security/merge/coverage/image-freshness) исполняются **без изменений** на багфикс-треке.
+- **BR-4 — Обязательный регресс-тест.** Багфикс **обязан** зафиксировать дефект тестом (тест,
+  падающий до фикса и зелёный после) — главный предохранитель от рецидива (урок ET-8).
+- **BR-5 — Эскалация в полный цикл.** Если баг оказался сложным/архитектурным или визуальным
+  (нужен макет), он **возвращается** в полный цикл; багфикс-трек не «застревает» на сложном.
+- **BR-6 — Безопасность по умолчанию (fail-safe → полный цикл).** Любая неоднозначность/ошибка
+  чтения метки/выключенный флаг → задача идёт **полным** циклом (никогда не «теряет» стадии молча).
+- **BR-7 — Наблюдаемость стоимости.** Виден факт «задача на багфикс-треке» и метрика экономии
+  (стадии/agent-runs/токены/время) относительно полного цикла.
+
+### 2.2. Вне объёма (явно не делать)
+- **Роутинг моделей (ORCH-13 / Вариант 4):** выбор дешёвой модели на багфиксе — отдельная задача.
+- **Авто-триаж сложности аналитиком (полный Вариант 3):** автоматическая classification
+  `trivial/small/complex` LLM-аналитиком — будущее развитие; v1 опирается на явную метку оператора
+  + ручную/мини-эскалацию (BR-5), не на ML-классификатор.
+- **Изменение `STAGE_TRANSITIONS` (новые стадии), реестра `QG_CHECKS`, семантики любого `check_*`,
+  вердикт-ключей** (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/
+  `coverage_status:`).
+- **Параллелизм багфиксов**, изменение `max_concurrency`, merge-очередь.
+- **Полный отказ от стадии `analysis`** (вариант «hotfix → сразу development») как дефолт — см.
+  §6 (требуется минимальный аналитический проход ради регресс-теста и трассируемости). Чистый
+  hotfix без аналитики оставлен как возможная опция архитектора, но не дефолт.
+
+---
+
+## 3. Заинтересованные стороны
+- **Владелец/оператор (Слава):** ставит метку `Bug`, получает быстрый дешёвый фикс, эскалирует
+  сложный баг, читает метрику экономии.
+- **Self-hosting прод (`orchestrator`) и enduro-trails:** общий инстанс/БД/очередь — режим обязан
+  быть аддитивным, под флагом, per-repo, с нулевой регрессией при выключении (FR-условие).
+- **Агенты конвейера (analyst/developer/reviewer/tester):** работают по тем же контрактам; на
+  багфикс-треке analyst выдаёт облегчённый пакет, остальные — как обычно.
+
+---
+
+## 4. Бизнес-требования (BR) — сводная таблица
+
+| ID | Требование | Связь |
+|----|------------|-------|
+| BR-1 | Задача распознаётся как баг по метке Plane (`Bug`), читаемой через аппарат ORCH-089 (`labels.has_label` + `plane_sync.fetch_issue_labels`). Источник истины — Plane API, не payload. | FR-1, AC-1 |
+| BR-2 | Багфикс-задача пропускает тяжёлую аналитику и стадию `architecture`; маршрут `analysis(lite) → development → review → testing → deploy-staging → deploy`. Полный BRD/TRZ/AC/ADR не обязателен. | FR-2, AC-2 |
+| BR-3 | Все Quality Gate'ы (CI/review/tester/staging/deploy + под-гейты security/merge/coverage/image-freshness) исполняются на багфикс-треке **без изменений**. | FR-3, AC-3 |
+| BR-4 | Багфикс обязан содержать **регресс-тест** (падает до фикса, зелён после); отсутствие нового/изменённого теста на исправление — повод для REQUEST_CHANGES reviewer'ом. | FR-3/FR-4, AC-4 |
+| BR-5 | Существует механизм **эскалации** багфикса в полный цикл (сложный/архитектурный/визуальный баг) — задача возвращается на полную аналитику/архитектуру. | FR-5, AC-5 |
+| BR-6 | **Fail-safe:** при выключенном флаге, ошибке/неоднозначности чтения метки, неприменимом репо — задача идёт **полным** циклом (никогда не теряет стадии молча). never-raise. | FR-6, AC-6 |
+| BR-7 | Факт багфикс-трека и метрика экономии (пропущенные стадии / Σ agent-runs / токены / время vs полный цикл) наблюдаемы (`GET /queue` блок + лог/Telegram-карточка). | FR-7, AC-7 |
+| BR-8 | Поведение управляется kill-switch'ом и областью репо (как ORCH-35/43/58/88/89): выключение флага → строго прежнее поведение (нулевая регрессия для enduro и для orchestrator). | NFR-2, AC-6 |
+
+---
+
+## 5. Нефункциональные требования (NFR)
+
+| ID | Требование |
+|----|------------|
+| NFR-1 | **Качество не ослабляется (корневой инвариант).** Срезается только *аналитика/архитектура*; ни один Quality Gate, exit-код deploy-хука, под-гейт безопасности/покрытия — не ослаблен и не пропущен. |
+| NFR-2 | **Нулевая регрессия / аддитивность.** При `bug_fast_track_enabled=False` или неприменимом репо путь старта и маршрут идентичны текущим. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/вердикт-ключи/схема БД — не меняются (допустима лишь аддитивная идемпотентная миграция, если архитектор сочтёт нужным помечать тип задачи в БД). |
+| NFR-3 | **never-raise / fail-safe.** Любая ошибка классификации/маршрутизации → деградация на полный цикл, не падение вебхука/конвейера (по образцу `labels.py`/`serial_gate.py`). |
+| NFR-4 | **Offline-устойчивость горячего пути.** Классификация может ходить в Plane API только в момент `start_pipeline` (как ORCH-089), но **не** в горячем `claim_next_job` (иначе встанет очередь всех проектов). |
+| NFR-5 | **Per-repo область.** Режим включается по CSV-области репо; orchestrator и enduro управляются независимо. |
+| NFR-6 | **Self-hosting безопасность.** Механизм не рестартит/не роняет прод-контейнер, не пушит/force-push в `main`. |
+| NFR-7 | **Композируемость.** Корректно сосуществует с serial-gate (ORCH-088), auto-label (ORCH-089), coverage-gate (ORCH-027), merge-gate (ORCH-043). |
+
+---
+
+## 6. Допущения и ограничения
+- **Минимальный аналитический проход сохраняется** (а не «hotfix → сразу dev»): ради (а)
+  фиксации регресс-теста как контракта приёмки (BR-4), (б) трассируемости (минимальный bug-report).
+  Полный отказ от `analysis` для багов оставлен архитектору как опция, но дефолт — мини-анализ.
+  Обоснование: урок ET-8 — именно отсутствие явного теста-фиксатора привело к «недоделка в Done».
+- **Классификация v1 — явная метка оператора**, не LLM-авто-триаж (Вариант 3 в полном объёме —
+  будущее). Метка `Bug` должна существовать в Plane-проекте; её отсутствие = fail-safe полный цикл.
+- **Эскалация v1** — допускает как минимум ручной путь (снять метку `Bug` / вернуть стадию) и/или
+  решение мини-аналитика «баг сложный → не фаст-трекать». Конкретный механизм — архитектору.
+- **Стоимость измеряется относительно**: метрика «во сколько раз дешевле» считается по факту из
+  существующей телеметрии `agent_runs` (стадии/токены/время), без новой тяжёлой инфраструктуры.
+
+---
+
+## 7. Критерии успеха (резюме; детали — `03-acceptance-criteria.md`)
+- AC-1 — задача с меткой `Bug` распознаётся и помечается как багфикс-трек.
+- AC-2 — багфикс-задача проходит конвейер, пропустив стадию `architecture` (и тяжёлый BRD/TRZ/AC).
+- AC-3 — все Quality Gate'ы исполнены на багфикс-треке (CI/review/tester/staging/deploy + под-гейты).
+- AC-4 — багфикс содержит регресс-тест; его отсутствие даёт REQUEST_CHANGES.
+- AC-5 — сложный/визуальный баг эскалируется в полный цикл.
+- AC-6 — при выключенном флаге / ошибке / неприменимом репо — поведение строго прежнее (полный цикл).
+- AC-7 — факт багфикс-трека и метрика экономии наблюдаемы.
+
+---
+
+## 8. Риски (детали — `10-tech-risks.md`, заполняет архитектор)
+- R-1: **Срезали лишнее.** Ошибочный пропуск гейта качества → недоделка на проде (ET-8). Митигатор —
+  NFR-1: режется только аналитика/архитектура, гейты структурно нетронуты + тест AC-3.
+- R-2: **Сложный баг под меткой `Bug`** уходит на фаст-трек и упирается в отсутствие архитектуры →
+  нужна эскалация (BR-5) и/или решение мини-аналитика.
+- R-3: **Регресс-тест не написан** (developer «забыл») → рецидив бага. Митигатор — BR-4 + reviewer-ось
+  + союзник coverage-gate (ORCH-027).
+- R-4: **Fail-safe инвертирован** (ошибка → молча срезали стадии) → недоделка. Митигатор — NFR-3
+  fail-safe строго в сторону полного цикла + тест AC-6.
+- R-5: **Конфликт с serial-gate/auto-label** при изменённой точке входа. Митигатор — NFR-7 +
+  интеграционный тест композиции.
+</content>
+</invoke>
--- a/docs/work-items/ORCH-019/02-trz.md
+++ b/docs/work-items/ORCH-019/02-trz.md
@@ -0,0 +1,207 @@
+---
+work_item: ORCH-019
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-019 — Режим багфиксинга (упрощённый/дешёвый трек для багов)
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **что** должно измениться и **где** (модули/контракты/артефакты), выведенное из BRD
+> и фактического кода. **Как** (точная схема: где именно ветвить маршрут, хранить ли тип задачи в
+> БД, отдельный leaf-модуль или расширение `labels.py`) — решает архитектор в `06-adr/`. ТЗ
+> фиксирует требования и границы, архитектурное решение не предлагает.
+
+> ⚠️ **Корневой инвариант (NFR-1 BRD):** срезается ТОЛЬКО аналитика/архитектура. Любой Quality Gate,
+> exit-код deploy-хука, под-гейт безопасности/покрытия — байт-в-байт прежние.
+
+---
+
+## 1. Сводка изменения
+Ввести **опциональный багфикс-трек**: задача, помеченная в Plane меткой `Bug`, проходит конвейер по
+**укороченному маршруту** — пропускается стадия `architecture` и тяжёлая аналитика (полный
+BRD/TRZ/AC/ADR заменяются минимальным bug-report + обязательным планом регресс-теста). Все
+Quality Gate'ы (CI/review/tester/staging/deploy + под-гейты security/merge/coverage/image-freshness)
+исполняются **без изменений**. Распознавание бага и маршрут — аддитивно, под kill-switch, с областью
+репо, never-raise, fail-safe → полный цикл. `STAGE_TRANSITIONS` и реестр `QG_CHECKS` структурно не
+меняются.
+
+---
+
+## 2. Задействованные модули / пути
+
+| Путь | Роль в задаче | Характер изменения |
+|------|---------------|--------------------|
+| `src/labels.py` | аппарат чтения метки Plane (ORCH-089: `has_label`, `*_applies`) | переиспользовать; **добавить** `is_bug_task(work_item_id, project_id) -> bool` + `bug_fast_track_applies(repo) -> bool` (по образцу `auto_approve_applies`), либо вынести в новый leaf `src/bug_fast_track.py` (never-raise) — выбор архитектора |
+| `src/plane_sync.py` | `fetch_issue_labels` / `get_project_labels` / `_normalize_label` | **без изменений** — переиспользуются для чтения метки `Bug` (источник истины — Plane API) |
+| `src/webhooks/plane.py` | `start_pipeline` (создаёт task-row со стадией `"analysis"`, режет ветку `_create_gitea_branch`), `handle_status_start`, `handle_issue_updated` | **ключевая врезка:** перед `create_task_atomic(...)` определить тип задачи и (при багфикс-треке) пометить задачу багом / задать укороченный маршрут. Внешний контракт вебхука Plane не меняется |
+| `src/stages.py` | `STAGE_TRANSITIONS`, `get_next_stage` | **структура `STAGE_TRANSITIONS` не меняется** (новых стадий нет). Требование: маршрут багфикса = `analysis → development` (пропуск `architecture`). Механизм (условный `get_next_stage` по типу задачи / bug-mode-флаг на task) — архитектору |
+| `src/stage_engine.py` | `advance_stage`, `_run_qg`, `_handle_analysis_approved_flow`, откаты | `advance_stage` уже маршрутизирует через `get_next_stage` (не зашивает порядок) → при условной маршрутизации правка точечная. Гейты диспетчеризуются как раньше |
+| `src/db.py` | `create_task_atomic(plane_id, work_item_id, repo, branch, stage, title)`, схема `tasks`, `claim_next_job` | если архитектор решит хранить «тип=bug» в БД — **аддитивная идемпотентная** колонка (`_ensure_column`, напр. `tasks.track TEXT DEFAULT 'full'`); горячий `claim_next_job` **не** должен ходить в сеть (NFR-4) |
+| `src/config.py` | флаги фичи | новые: `bug_fast_track_enabled`, `bug_fast_track_label`, `bug_fast_track_repos` (CSV) + helper `applies(repo)` по образцу `auto_label_*` / `serial_gate_*` |
+| `src/qg/checks.py` | реестр `QG_CHECKS` и `check_*` | **без изменений** (инвариант NFR-1) |
+| `src/serial_gate.py`, `src/coverage_gate.py`, `src/merge_gate.py` | композиция | **без изменений**; проверить совместимость (NFR-7) интеграционным тестом |
+| `src/main.py` | `GET /queue` | **аддитивный** read-only блок `bug_fast_track` (флаг/область/счётчики/метрика экономии) |
+| `src/notifications.py` | live-карточка | опционально — отметка «🐞 багфикс-трек» в карточке (never-raise) |
+| `.openclaw/agents/analyst.md` | промпт мини-аналитика | при багфикс-треке выдавать **облегчённый** пакет (bug-report + регресс-тест-план), не полный BRD/TRZ/AC. Канон промптов 52d не нарушать |
+| `.openclaw/agents/reviewer.md` | ось контроля | добавить ось «багфикс без регресс-теста → REQUEST_CHANGES» (BR-4) — нормативно-описательно, не машинный гейт |
+
+---
+
+## 3. Функциональные требования
+
+### FR-1 — Классификация задачи как «баг» (BR-1)
+- Багфикс-трек активируется, если issue несёт метку Plane с именем `bug_fast_track_label`
+  (дефолт `Bug`), прочитанную через `labels.has_label(work_item_id, label, project_id)` (ORCH-089:
+  `fetch_issue_labels` + `get_project_labels`, нормализация `_normalize_label`, TTL-кэш).
+- **Источник истины — Plane API**, не payload вебхука (поле `type` в payload отсутствует).
+- Чтение метки допускается **только** в `start_pipeline` (момент старта, сетевой вызов приемлем,
+  как ORCH-089) — **не** в горячем `claim_next_job` (NFR-4).
+- `applies(repo)` (локальный, без сети) проверяется **первым**; `has_label` (сеть) — только при
+  `applies==True` → при выключенном флаге нулевой сетевой оверхед (образец ORCH-089).
+
+### FR-2 — Укороченный маршрут (BR-2)
+- Для багфикс-задачи маршрут конвейера: `analysis(lite) → development → review → testing →
+  deploy-staging → deploy → done`, т.е. **пропускается стадия `architecture`** (и её exit-гейт
+  `check_architecture_done` / требование `06-adr/`).
+- `STAGE_TRANSITIONS` **не изменяется структурно**. Требуемый инвариант результата: при выходе
+  багфикс-задачи из `analysis` следующая стадия = `development` (а не `architecture`); для
+  не-багфикс задач — прежняя `architecture`. Конкретный механизм (условный `get_next_stage(stage,
+  task)` / bug-mode-флаг на task / точка входа сразу в `development`) — решение архитектора.
+- Тяжёлая аналитика облегчается: на багфикс-треке обязательны лишь `01-brd.md` (короткий
+  bug-report: симптом, шаги воспроизведения, локализация, причина) и `04-test-plan.yaml` (план
+  регресс-теста). Полные `02-trz.md`/`03-acceptance-criteria.md` и `06-adr/` — **не обязательны**.
+  (Совместимость с `check_analysis_complete`, требующим `01/02/03/04` — см. FR-6.)
+
+### FR-3 — Гейты качества сохраняются полностью (BR-3, корневой инвариант)
+- На багфикс-треке исполняются **без изменений**: `check_ci_green` (development→review),
+  `check_reviewer_verdict` (review→testing, `12-review.md`), `check_tests_passed` (testing→
+  deploy-staging, `13-test-report.md`), `check_staging_status`, `check_deploy_status`, под-гейты
+  ребра `deploy-staging→deploy` (security ORCH-022 → merge ORCH-043 → coverage ORCH-027 →
+  image-freshness ORCH-058) и merge-verify ребра `deploy→done` (ORCH-071/073).
+- Ни один `check_*`, его сигнатура, вердикт-ключ или порядок под-гейтов **не меняется**.
+
+### FR-4 — Обязательный регресс-тест (BR-4)
+- Багфикс **обязан** содержать новый/изменённый тест, воспроизводящий дефект (красный до фикса,
+  зелёный после). Требование закрепляется: (а) в `04-test-plan.yaml` багфикса как обязательный TC;
+  (б) reviewer-осью (`.openclaw/agents/reviewer.md`): «исправление кода без теста-фиксатора →
+  finding ≥P1 / REQUEST_CHANGES»; (в) усиливается coverage-гейтом ORCH-027 (структурно ловит «код
+  без тестов»). Это требование, не новый машинный гейт.
+
+### FR-5 — Эскалация в полный цикл (BR-5)
+- Багфикс-задача должна иметь путь возврата в полный цикл, если баг оказался сложным/архитектурным
+  или визуальным (нужен макет — связка ORCH-12/14, прецедент ET-9). Минимум v1: ручная эскалация
+  (оператор снимает метку `Bug` / переводит стадию) **и/или** решение мини-аналитика «баг сложный →
+  не фаст-трекать» (тогда задача идёт штатным маршрутом с `architecture`). Конкретный механизм и
+  его автоматизация — архитектору; v1 не обязан включать LLM-авто-триаж сложности.
+
+### FR-6 — Fail-safe → полный цикл (BR-6, NFR-3)
+- При `bug_fast_track_enabled=False`, неприменимом репо, ошибке/таймауте/неоднозначности чтения
+  метки (`has_label` → False / `None`-labels), отсутствии метки `Bug` в проекте — задача идёт
+  **полным** циклом (точка входа `analysis`, маршрут с `architecture`). never-raise: ошибка логики
+  не роняет `start_pipeline`/вебхук.
+- **Совместимость с `check_analysis_complete`** (требует наличие `01/02/03/04`): при облегчённом
+  пакете багфикса гейт не должен ложно блокировать. Варианты (архитектору): мини-аналитик всё равно
+  эмитит заглушки `02/03` ИЛИ гейт `check_analysis_approved` на багфикс-треке учитывает облегчённый
+  набор. Требование: **не ослабить** проверку для не-баг задач и **не заблокировать ложно** баг.
+
+### FR-7 — Наблюдаемость стоимости (BR-7)
+- Факт «задача на багфикс-треке» и метрика экономии видны: (а) аддитивный блок `bug_fast_track` в
+  `GET /queue` (флаг/область + счётчик задач на треке + агрегат сэкономленных стадий/agent-runs);
+  (б) лог-строка на решение о маршруте; (в) опц. отметка в Telegram-карточке. Метрика «во сколько
+  дешевле» считается из существующей телеметрии `agent_runs` (Σ токены/время багфикс-трека vs
+  средний полный цикл) — без новой тяжёлой инфраструктуры.
+
+---
+
+## 4. Изменения API
+
+### 4.1. Новые публичные endpoint'ы
+- **Не требуются обязательно.** (Эскалация и классификация идут через Plane-метки/статусы, не через
+  новый HTTP-эндпоинт. Если архитектор вводит админ-эндпоинт принудительной (де)классификации —
+  описать в ADR и обновить таблицу API в README.)
+
+### 4.2. Изменяемые endpoint'ы
+- `GET /queue` — **аддитивно** добавляется блок `bug_fast_track` (read-only, never-raise) по образцу
+  блоков `serial_gate` / `auto_labels` / `coverage`: `enabled`, `repos`, `label`, перечень/счётчик
+  задач на багфикс-треке, агрегатная метрика экономии. Существующие ключи `GET /queue` не меняются.
+
+### 4.3. Webhook-обработчики
+- `start_pipeline` (`webhooks/plane.py`): добавляется ветвление «issue имеет метку `Bug` и
+  `applies(repo)` → багфикс-трек (пометить задачу / задать укороченный вход-маршрут)». Внешний
+  контракт вебхука Plane не меняется.
+
+---
+
+## 5. Изменения схемы БД
+> Только **аддитивные, идемпотентные** миграции (общая прод-БД; enduro не трогать).
+
+- **Опционально (выбор архитектора):** если тип задачи нужно знать после старта (для маршрутизации
+  в `advance_stage`/`get_next_stage` и для метрики), ввести аддитивную колонку
+  `tasks.track TEXT DEFAULT 'full'` (значения `full` | `bug`) через `_ensure_column` (паттерн
+  `tasks.cancelled_at` ORCH-090). Тогда горячий `claim_next_job` читает тип из БД, **не** из сети
+  (NFR-4). Альтернатива без колонки (вывести тип повторным чтением метки) допустима, но повторный
+  сетевой вызов в горячем пути запрещён (NFR-4) → колонка предпочтительнее.
+- **Существующие** `tasks`-контракт (прочие колонки), `jobs`, `job_deps`, `agent_runs`,
+  `coverage_baseline`, `repo_freeze` — **без изменений**.
+
+---
+
+## 6. Требования к новым/изменённым QG checks
+- **Новых QG-проверок не вводить; ни один `check_*` не менять семантически** (NFR-1). Маршрутизация
+  багфикса — свойство планировщика/точки входа, **не** Quality Gate.
+- Единственная допустимая тонкая правка — обеспечить, чтобы exit-гейт стадии `analysis`
+  (`check_analysis_approved` / helper `check_analysis_complete`) **не блокировал ложно** облегчённый
+  багфикс-пакет, **не ослабляя** проверку для полного цикла (FR-6). Если для этого требуется правка
+  `check_*` — она должна сохранить вердикт-семантику для не-баг задач байт-в-байт.
+
+---
+
+## 7. Совместимость / регресс
+- **Kill-switch** `bug_fast_track_enabled` (env `ORCH_BUG_FAST_TRACK_ENABLED`); `False` → точка входа
+  и маршрут строго прежние (`analysis → architecture → …`), нулевая регрессия (NFR-2).
+- **Область репо** `bug_fast_track_repos` (CSV; пусто → рекомендуется self-hosting + явно
+  разрешённые проекты, где есть метка `Bug` — решение об области по умолчанию фиксирует архитектор).
+- **`applies(repo)` первым** (локально, без сети) → выключенный флаг = нулевой сетевой оверхед,
+  enduro не затронут.
+- **Композиция (NFR-7):** не конфликтует с serial-gate (ORCH-088: багфикс-задача — обычная задача
+  репо, учитывается в serial-очереди), auto-label (ORCH-089: `autoApprove`/`autoDeploy` работают и
+  на багфикс-треке), coverage-gate (ORCH-027: союзник BR-4), merge-gate (ORCH-043).
+- **never-raise / fail-safe** (NFR-3): ошибка классификации/маршрута → полный цикл, не падение.
+- **Self-hosting** (NFR-6): механизм не рестартит/не роняет прод, не пушит/force-push в `main`.
+- **Маркеры трассировки** (CLAUDE.md §9): новые инварианты помечаются `ORCH-019`; правка
+  маркированного кода (ORCH-088/089/027) — со сверкой их `06-adr/`.
+
+---
+
+## 8. Артефакты pipeline (создать/обновить в ТОМ ЖЕ PR)
+- `docs/work-items/ORCH-019/06-adr/ADR-001-<slug>.md` — решение (механизм маршрута, хранение типа,
+  совместимость с `check_analysis_complete`, область по умолчанию, механизм эскалации).
+- `docs/architecture/README.md` — новый раздел «Багфикс-трек (ORCH-019)» + блок `bug_fast_track` в
+  описании `GET /queue`; при новой колонке — раздел «База данных».
+- `CLAUDE.md` — краткий абзац о багфикс-режиме (правила для агентов / конвейер).
+- `CHANGELOG.md` — запись `feat:`.
+- `.openclaw/agents/analyst.md` / `reviewer.md` — облегчённый пакет багфикса + reviewer-ось
+  регресс-теста (канон 52d не нарушать).
+- При новой колонке — `docs/work-items/ORCH-019/08-data-requirements.md` (заполняет архитектор).
+
+---
+
+## 9. Открытые вопросы для архитектора (не блокируют анализ)
+- OQ-1: Механизм пропуска `architecture` — условный `get_next_stage(stage, task)`, bug-mode-флаг на
+  task, или прямой вход багфикса сразу в `development` с сохранённым мини-bug-report? (Влияет на
+  §3 `stages.py`/`stage_engine.py` и на `check_analysis_complete`.)
+- OQ-2: Хранить ли тип задачи в БД (`tasks.track`) vs выводить из метки. Рекоменд. — колонка
+  (NFR-4 запрещает сеть в горячем claim).
+- OQ-3: Сохранять ли мини-стадию `analysis(lite)` (рекоменд., ради регресс-теста и трассируемости)
+  или допустить чистый hotfix `→ development` (вне дефолта). См. BRD §6.
+- OQ-4: Механизм эскалации (BR-5) — только ручной (снять метку/сменить стадию) или авто-сигнал
+  мини-аналитика «баг сложный → полный цикл».
+- OQ-5: Область по умолчанию (пустой CSV) — self-hosting only vs все репо с меткой `Bug`.
+- OQ-6: Совместимость с `check_analysis_approved`/`check_analysis_complete` на облегчённом пакете
+  (FR-6) — заглушки `02/03` vs условный учёт гейтом.
+</content>
--- a/docs/work-items/ORCH-019/03-acceptance-criteria.md
+++ b/docs/work-items/ORCH-019/03-acceptance-criteria.md
@@ -0,0 +1,139 @@
+---
+work_item: ORCH-019
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-019 — Режим багфиксинга
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
+считается провалом). Reviewer/tester проверяют их буквально по файлам репозитория и тестам.
+
+> ⚠️ Корневой инвариант (см. AC-3/AC-8): срезается только аналитика/архитектура; ни один Quality
+> Gate не ослаблен. Это главное условие приёмки — нарушение = безусловный FAIL всей задачи.
+
+---
+
+## AC-1 — Классификация задачи по метке `Bug`
+
+**Условие:** issue с меткой Plane `bug_fast_track_label` (дефолт `Bug`) при включённом флаге и
+применимом репо распознаётся как багфикс-задача.
+- **PASS:** при `bug_fast_track_enabled=True` и `applies(repo)==True` для issue с меткой `Bug`
+  `is_bug_task(...)` возвращает `True` (через `labels.has_label` → `plane_sync.fetch_issue_labels`);
+  задача стартует на багфикс-треке. Источник метки — Plane API, не payload вебхука.
+- **FAIL:** метка `Bug` игнорируется; ИЛИ тип читается из payload вебхука; ИЛИ задача без метки
+  `Bug` ошибочно попадает на багфикс-трек.
+
+---
+
+## AC-2 — Укороченный маршрут: пропуск стадии `architecture`
+
+**Условие:** багфикс-задача проходит конвейер, минуя стадию `architecture`.
+- **PASS:** для багфикс-задачи переход из `analysis` ведёт в `development` (а не `architecture`);
+  стадия `architecture` и её требование `06-adr/` для багфикса не исполняются; задача доходит до
+  `done`. Маршрут не-баг задачи остаётся `analysis → architecture → development → …`.
+- **FAIL:** багфикс-задача всё равно проходит `architecture`; ИЛИ не-баг задача начинает пропускать
+  `architecture`; ИЛИ `STAGE_TRANSITIONS` изменён структурно (новые/удалённые стадии).
+
+---
+
+## AC-3 — Все Quality Gate'ы исполнены на багфикс-треке (корневой инвариант)
+
+**Условие:** на багфикс-треке исполняются все гейты качества без изменений.
+- **PASS:** для багфикс-задачи отрабатывают `check_ci_green`, `check_reviewer_verdict`
+  (`12-review.md`), `check_tests_passed` (`13-test-report.md`), `check_staging_status`,
+  `check_deploy_status` и под-гейты ребра `deploy-staging→deploy` (security → merge → coverage →
+  image-freshness) и merge-verify ребра `deploy→done`. Реестр `QG_CHECKS`, сигнатуры `check_*`,
+  вердикт-ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/
+  `coverage_status:`) и порядок под-гейтов — байт-в-байт прежние.
+- **FAIL:** хоть один гейт качества пропущен/ослаблен/изменён на багфикс-треке; ИЛИ изменён состав
+  `QG_CHECKS` / имя или регистр любого вердикт-ключа / порядок под-гейтов.
+
+---
+
+## AC-4 — Обязательный регресс-тест
+
+**Условие:** багфикс фиксирует дефект тестом.
+- **PASS:** PR багфикса содержит новый/изменённый тест, воспроизводящий исправляемый дефект
+  (красный на коде до фикса, зелёный после); требование закреплено в `04-test-plan.yaml` багфикса
+  и в reviewer-оси (`.openclaw/agents/reviewer.md`: фикс без теста → finding ≥P1 / REQUEST_CHANGES).
+- **FAIL:** багфикс мержится без теста-фиксатора; ИЛИ reviewer-ось отсутствует/не срабатывает; ИЛИ
+  тест присутствует, но не падает на исходном (нефиксированном) коде.
+
+---
+
+## AC-5 — Эскалация сложного бага в полный цикл
+
+**Условие:** сложный/архитектурный/визуальный баг возвращается в полный цикл.
+- **PASS:** существует и документирован путь эскалации (минимум ручной: снятие метки `Bug` /
+  перевод стадии, и/или решение мини-аналитика «баг сложный → не фаст-трекать»); после эскалации
+  задача проходит штатный маршрут с `architecture`.
+- **FAIL:** механизма эскалации нет; ИЛИ багфикс-задача необратимо застревает без `architecture`,
+  когда баг требует архитектурного решения/макета.
+
+---
+
+## AC-6 — Fail-safe → полный цикл (нулевая регрессия)
+
+**Условие:** при выключении/ошибке/неприменимости — строго прежнее поведение (полный цикл).
+- **PASS:** при `bug_fast_track_enabled=False`, неприменимом репо, ошибке/таймауте/неоднозначности
+  чтения метки, отсутствии метки `Bug` — задача стартует на `analysis` и идёт маршрутом с
+  `architecture` (как до ORCH-019). Логика never-raise: ошибка не роняет `start_pipeline`/вебхук.
+  При выключенном флаге путь старта и маршрут идентичны текущим (диффом по поведению — нулевые).
+- **FAIL:** ошибка/неоднозначность приводит к молчаливому пропуску стадий; ИЛИ исключение из
+  логики классификации роняет вебхук/конвейер; ИЛИ при выключенном флаге поведение отличается от
+  прежнего.
+
+---
+
+## AC-7 — Наблюдаемость трека и метрика стоимости
+
+**Условие:** факт багфикс-трека и экономия наблюдаемы.
+- **PASS:** `GET /queue` содержит аддитивный read-only блок `bug_fast_track` (флаг/область/метка +
+  счётчик задач на треке + агрегатная метрика экономии стадий/agent-runs/токенов/времени);
+  решение о маршруте логируется; существующие ключи `GET /queue` не изменены.
+- **FAIL:** трек/метрика ненаблюдаемы; ИЛИ блок ломает существующий контракт `GET /queue`; ИЛИ
+  ошибка построения блока роняет эндпоинт (нарушен never-raise).
+
+---
+
+## AC-8 — Аддитивность и self-hosting безопасность
+
+**Условие:** изменение аддитивно и безопасно для общего прод-инстанса.
+- **PASS:** миграции БД (если есть) аддитивны и идемпотентны (`_ensure_column`/`CREATE TABLE IF NOT
+  EXISTS`); enduro при выключенном/неприменимом флаге не затронут; механизм не рестартит/не роняет
+  прод-контейнер, не пушит/force-push в `main`. Полный регресс `tests/` зелёный.
+- **FAIL:** ломающая миграция/изменение существующих контрактов; ИЛИ затронут enduro при выключенном
+  флаге; ИЛИ механизм трогает прод-контейнер/`main`; ИЛИ красный `tests/`.
+
+---
+
+## AC-9 — Композиция с существующими гейтами
+
+**Условие:** багфикс-трек корректно сосуществует с ORCH-088/089/027/043.
+- **PASS:** багфикс-задача корректно учитывается serial-gate (ORCH-088) как обычная задача репо;
+  `autoApprove`/`autoDeploy` (ORCH-089) работают на багфикс-треке; coverage-gate (ORCH-027) и
+  merge-gate (ORCH-043) исполняются штатно. Интеграционный тест композиции зелёный.
+- **FAIL:** изменённая точка входа ломает serial-очередь/auto-label/merge/coverage; ИЛИ багфикс-
+  задача обходит serial-gate.
+
+---
+
+## Сводная матрица AC ↔ BR/FR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1 |
+| AC-2 | BR-2 / FR-2 |
+| AC-3 | BR-3 / FR-3 / NFR-1 |
+| AC-4 | BR-4 / FR-4 |
+| AC-5 | BR-5 / FR-5 |
+| AC-6 | BR-6 / FR-6 / NFR-2 / NFR-3 |
+| AC-7 | BR-7 / FR-7 |
+| AC-8 | BR-8 / NFR-2 / NFR-6 |
+| AC-9 | NFR-7 |
+</content>
--- a/docs/work-items/ORCH-019/04-test-plan.yaml
+++ b/docs/work-items/ORCH-019/04-test-plan.yaml
@@ -0,0 +1,111 @@
+work_item: ORCH-019
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+title: "Багфикс-трек: классификация по метке, укороченный маршрут, сохранность гейтов, fail-safe"
+framework: pytest
+scope: >
+  Покрывает: классификацию задачи как бага по метке Plane (ORCH-089-аппарат), маршрутизацию
+  багфикса в обход стадии architecture, сохранность ВСЕХ Quality Gate'ов, обязательность
+  регресс-теста, эскалацию в полный цикл, fail-safe → полный цикл, наблюдаемость/метрику,
+  аддитивность и композицию с serial-gate/auto-label/coverage. Вне покрытия: реальный
+  Plane/Gitea I/O (мокается), роутинг моделей ORCH-13, LLM-авто-триаж сложности.
+notes: >
+  Сетевые вызовы Plane (fetch_issue_labels/get_project_labels) мокаются. Полный регресс tests/
+  должен оставаться зелёным. Тесты на сохранность гейтов проверяют НЕИЗМЕННОСТЬ QG_CHECKS/check_*/
+  вердикт-ключей — это анти-регресс корневого инварианта (NFR-1). Финальные имена модулей/функций
+  (labels.py vs новый bug_fast_track.py; tasks.track колонка) фиксирует архитектор — TC привязаны
+  к поведению, имена путей уточняются на стадии разработки.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "is_bug_task() возвращает True для issue с меткой 'Bug' (has_label True); метка читается из Plane API, не из payload."
+    module: tests/test_bug_fast_track.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "is_bug_task() возвращает False при отсутствии метки, неоднозначной метке или labels=None (fail-safe)."
+    module: tests/test_bug_fast_track.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "bug_fast_track_applies(repo): первым проверяется локальная область (enabled + CSV repos) до любого сетевого вызова; выключенный флаг → False без обращения к has_label."
+    module: tests/test_bug_fast_track.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "never-raise: исключение в fetch_issue_labels/get_project_labels не пробрасывается — is_bug_task деградирует в False (полный цикл)."
+    module: tests/test_bug_fast_track.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "Маршрут багфикса: для bug-задачи следующая стадия после analysis = development (architecture пропущена); для не-баг задачи = architecture."
+    module: tests/test_bug_fast_track_routing.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "STAGE_TRANSITIONS структурно не изменён: набор стадий и рёбер байт-в-байт прежний (анти-регресс)."
+    module: tests/test_bug_fast_track_routing.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "Реестр QG_CHECKS и сигнатуры check_* не изменены багфикс-треком; вердикт-ключи (verdict/result/deploy_status/staging_status/security_status/coverage_status) сохранены по имени и регистру."
+    module: tests/test_bug_fast_track_gates.py
+    expected: PASS
+
+  - id: TC-08
+    type: integration
+    description: "E2E багфикс-трек: bug-задача проходит development→review→testing→deploy-staging→deploy с исполнением всех гейтов (check_ci_green/reviewer_verdict/tests_passed/staging/deploy + под-гейты security/merge/coverage/image-freshness), минуя architecture."
+    module: tests/test_bug_fast_track_e2e.py
+    expected: PASS
+
+  - id: TC-09
+    type: integration
+    description: "start_pipeline: issue с меткой Bug (флаг вкл, репо применим) создаёт задачу на багфикс-треке; issue без метки — на полном цикле (точка входа analysis + маршрут с architecture)."
+    module: tests/test_bug_fast_track_e2e.py
+    expected: PASS
+
+  - id: TC-10
+    type: integration
+    description: "Fail-safe: при bug_fast_track_enabled=False путь старта и маршрут идентичны прежним (нулевая регрессия) — задача с меткой Bug идёт полным циклом."
+    module: tests/test_bug_fast_track_e2e.py
+    expected: PASS
+
+  - id: TC-11
+    type: integration
+    description: "Эскалация: после снятия метки Bug / решения 'баг сложный' задача проходит штатный маршрут с architecture (возврат в полный цикл)."
+    module: tests/test_bug_fast_track_escalation.py
+    expected: PASS
+
+  - id: TC-12
+    type: unit
+    description: "check_analysis_approved/check_analysis_complete не блокирует ложно облегчённый багфикс-пакет, но сохраняет прежнюю проверку для не-баг задач (требование FR-6)."
+    module: tests/test_bug_fast_track_gates.py
+    expected: PASS
+
+  - id: TC-13
+    type: integration
+    description: "GET /queue содержит аддитивный read-only блок bug_fast_track (enabled/repos/label/счётчик/метрика); существующие ключи неизменны; ошибка построения блока не роняет эндпоинт."
+    module: tests/test_queue_endpoint.py
+    expected: PASS
+
+  - id: TC-14
+    type: integration
+    description: "Композиция: багфикс-задача учитывается serial-gate (ORCH-088) как обычная задача репо и не обходит его; autoApprove/autoDeploy (ORCH-089) применимы на багфикс-треке."
+    module: tests/test_bug_fast_track_composition.py
+    expected: PASS
+
+  - id: TC-15
+    type: unit
+    description: "Миграция (если введена колонка tasks.track) аддитивна и идемпотентна: повторный init_db/_ensure_column не падает; дефолт 'full' для существующих строк."
+    module: tests/test_db_migrations.py
+    expected: PASS
--- a/docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md
+++ b/docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md
@@ -0,0 +1,231 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Багфикс-трек — пропуск стадии `architecture` через track-aware routing override
+
+Work Item: **ORCH-019** — упрощённый/дешёвый трек для багов (укороченный маршрут конвейера)
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0032-bug-fast-track.md`** (решение
+кросс-каттинговое: новый leaf-компонент + аддитивная колонка `tasks.track` + семантика
+маршрутизации, затрагивающая `advance_stage`).
+
+## Статус
+Proposed
+
+## Контекст
+
+Любая задача входит в конвейер через `webhooks/plane.py::start_pipeline`, который
+**жёстко** создаёт task-row со стадией `"analysis"` (`create_task_atomic(..., "analysis", ...)`)
+и режет ветку. Маршрут стадий полностью управляется `src/stages.py::STAGE_TRANSITIONS` через
+`get_next_stage` — `advance_stage` (`src/stage_engine.py`) НЕ зашивает порядок, а спрашивает
+`get_next_stage(current_stage)` (строка 214) и `get_agent_for_stage(current_stage)` (строка 464).
+
+Для мелкого бага полный цикл `analysis → architecture → development → …` избыточен: стадия
+`architecture` = отдельный прогон агента `architect` (opus, дорогой) + ADR + exit-гейт
+`check_architecture_done`. Прецедент: UI z-index баг ET-9/ET-014 прошёл полный цикл ~35 мин.
+
+**Корневой инвариант (NFR-1 BRD, нерушимый):** упрощаем только *аналитику/архитектуру*; ни один
+Quality Gate / exit-код deploy-хука / под-гейт (security/merge/coverage/image-freshness) — НЕ
+ослаблен. Горький урок ET-8: срезанная *проверка* = недоделка на проде.
+
+**Факты, сверенные с кодом:**
+- `src/labels.py::has_label` + `plane_sync.fetch_issue_labels`/`get_project_labels` (ORCH-089) —
+  готовый, проверенный аппарат чтения метки Plane (TTL-кэш, нормализация, never-raise,
+  fail-safe → False, источник истины Plane API, не payload).
+- `advance_stage` маршрутизирует через `get_next_stage`/`get_agent_for_stage` → точка ветвления
+  локализуема, `STAGE_TRANSITIONS` ломать не нужно.
+- `check_analysis_approved` (exit-гейт `analysis`) вызывает `check_analysis_complete`, требующий
+  **01/02/03/04** (`src/qg/checks.py:33`). Это и есть точка риска ложной блокировки облегчённого
+  пакета (FR-6).
+- `_ensure_column` (`src/db.py:334`) — идемпотентная аддитивная миграция (паттерн
+  `tasks.cancelled_at`, ORCH-090).
+
+## Решение
+
+### Сводка
+
+Багфикс-трек — **свойство планировщика/точки входа, не Quality Gate**. Задача с меткой Plane
+`Bug` помечается в БД как `track='bug'`; на ребре выхода из `analysis` `advance_stage` применяет
+**чистый routing-override**: `next_stage` → `development` (вместо `architecture`), `next_agent`
+→ `developer` (вместо `architect`). `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, все `check_*` и
+вердикт-ключи — **байт-в-байт прежние**. Распознавание, маршрут и метрика — аддитивно, под
+kill-switch, с областью репо, never-raise, fail-safe → полный цикл.
+
+### D1 — Классификация: метка Plane `Bug`, читаемая в `start_pipeline` (FR-1, AC-1)
+
+Новый leaf `src/bug_fast_track.py` (пустой импорт-граф как `serial_gate`/`labels`: только
+`config`, лениво `labels`/`plane_sync`/`qg.checks`), never-raise. Публичные функции:
+- `bug_fast_track_applies(repo) -> bool` — локальный, без сети, по образцу `_auto_label_applies`:
+  `bug_fast_track_enabled=False` → `False`; `bug_fast_track_repos` (CSV) непустой → только
+  перечисленные репо; **пусто → self-hosting only** (`is_self_hosting_repo`, см. D6). Проверяется
+  **ПЕРВЫМ** → при выключенном флаге нулевой сетевой оверхед, enduro не затронут.
+- `is_bug_task(work_item_id, project_id) -> bool` — `bug_fast_track_applies` уже проверен
+  вызывающим; делегирует в `labels.has_label(work_item_id, settings.bug_fast_track_label,
+  project_id)` (дефолт метки `Bug`). Любая ошибка/неоднозначность → `False` (fail-safe → полный
+  цикл).
+
+Чтение метки — **только** в `start_pipeline` (момент старта, сетевой вызов приемлем, как
+ORCH-089), **никогда** в горячем `claim_next_job` (NFR-4).
+
+### D2 — Хранение типа: аддитивная колонка `tasks.track` (OQ-2, NFR-4)
+
+Идемпотентная миграция `_ensure_column(conn, "tasks", "track", "TEXT DEFAULT 'full'")` рядом с
+`tasks.cancelled_at`/`cancel_requested_at` (`src/db.py` init). Значения: `'full'` (дефолт, ВСЕ
+существующие и не-баг задачи) | `'bug'`. Хелперы: `db.set_task_track(task_id, track)` (запись),
+`db.get_task_track(task_id) -> str` (чтение, дефолт `'full'`). Тип читается из **БД** в
+`advance_stage` (NFR-4: горячий путь без сети). Альтернатива «выводить тип повторным чтением
+метки» отвергнута — повторный сетевой вызов в горячем пути запрещён.
+
+`create_task_atomic` НЕ меняет сигнатуру: задача создаётся как `'full'` (DEFAULT), затем
+`start_pipeline` после успешного `created=True` при `is_bug_task` вызывает
+`db.set_task_track(task_id, 'bug')`. Точка входа стадии остаётся `"analysis"` (мини-анализ
+сохраняется, OQ-3/BRD §6 — НЕ чистый hotfix).
+
+### D3 — Routing-override: пропуск `architecture` без правки `STAGE_TRANSITIONS` (FR-2, AC-2)
+
+`get_next_stage`/`get_agent_for_stage` остаются **чистыми** (принимают только стадию, 1:1).
+Override живёт в `advance_stage`, сразу после строки `next_stage = get_next_stage(current_stage)`:
+
+```python
+next_stage = get_next_stage(current_stage)
+# ORCH-019: bug-fast-track skips the architecture stage entirely.
+if current_stage == "analysis" and bug_fast_track.skips_architecture(track):
+    next_stage = "development"
+```
+
+и при запуске следующего агента (строка 464):
+
+```python
+next_agent = get_agent_for_stage(current_stage)        # "analysis" -> "architect"
+if current_stage == "analysis" and next_stage == "development":
+    next_agent = "developer"                            # skip architect run
+```
+
+`track` читается один раз в начале `advance_stage` (`db.get_task_track(task_id)`). Чистый
+предикат `bug_fast_track.skips_architecture(track) -> bool` (== `track == 'bug'` под
+`bug_fast_track_enabled`; иначе `False`). Багфикс-задача физически НЕ попадает в стадию
+`architecture` → её exit-гейт `check_architecture_done` и требование `06-adr/` не исполняются для
+багфикса. Для не-баг задач (`track='full'`) поведение **байт-в-байт** прежнее.
+
+**Сопутствующая правка телеметрии:** строка 386 стампит `mark_brd_review_ended` при
+`analysis → architecture`. Для багфикса next_stage = `development`, поэтому условие расширяется до
+`current_stage == "analysis" and next_stage in ("architecture", "development")` — чтобы метрика
+«твоё время» (ORCH-087) оставалась честной на багфикс-треке. Не влияет на гейты.
+
+### D4 — Quality Gate `analysis`: НЕ трогаем; lite-пакет эмитит все 4 файла (FR-3/FR-6, OQ-6, AC-3)
+
+**Корневой инвариант диктует минимальную поверхность изменения гейтов = ноль.**
+`check_analysis_complete` (требует 01/02/03/04) и `check_analysis_approved` остаются **байт-в-байт
+прежними**. Багфикс-аналитик (`analyst.md` lite-режим) всё равно эмитит **все 4** файла, но в
+облегчённой багфикс-форме: `01-brd.md` = короткий bug-report (симптом / шаги воспроизведения /
+локализация / причина), `02-trz.md` + `03-acceptance-criteria.md` = краткие bug-shaped заглушки,
+`04-test-plan.yaml` = план **обязательного регресс-теста** (красный до фикса, зелёный после).
+
+Обоснование выбора: доминирующая экономия — пропуск **всей стадии `architecture`** (отдельный
+прогон opus-агента `architect` + ADR), а не число файлов analysis (они эмитятся в ОДНОМ прогоне
+analyst-агента). Сохранение 4-файлового гейта = **сильнейшая** позиция NFR-1 (нулевая поверхность
+правок гейта) ценой почти нулевого оверхеда. Альтернатива «track-aware `check_analysis_complete`
+(для bug требовать только 01/04)» рассмотрена и отвергнута для v1 (D-Alt) — она трогает `check_*`
+и расширяет поверхность риска без существенной экономии.
+
+### D5 — Эскалация в полный цикл (FR-5, AC-5)
+
+Два пути возврата сложного/архитектурного/визуального бага в полный цикл, оба сбрасывают
+`track='bug'` → `'full'` (после чего `advance_stage` маршрутизирует `analysis → architecture`
+штатно):
+1. **Операторский (ручной, v1-дефолт):** админ-эндпоинт `POST /bug-fast-track/escalate?work_item=<id>`
+   (по образцу `POST /serial-gate/unfreeze`, `POST /coverage/baseline`) — `db.set_task_track(...,
+   'full')`, лог + Telegram + Plane-коммент, never-raise. Применять, пока задача в `analysis`
+   (до выхода) — тогда следующий переход уйдёт в `architecture`.
+2. **Решение мини-аналитика:** если на багфикс-треке аналитик определяет, что баг архитектурный,
+   он эмитит **полный** analysis-пакет (включая запрос на `06-adr/`) и помечает в bug-report
+   `escalate: full-cycle` — оператор подтверждает эскалацию эндпоинтом (1). v1 НЕ включает
+   автоматический LLM-авто-триаж сложности (вне объёма, BRD §2.2).
+
+Эскалация обратима, детерминирована, наблюдаема. Багфикс-задача не «застревает» без архитектуры.
+
+### D6 — Область по умолчанию: self-hosting only (OQ-5, NFR-5)
+
+Пустой `bug_fast_track_repos` → **self-hosting only** (`is_self_hosting_repo`, как
+ORCH-089/027/058). Это безопасный дефолт: режим обкатывается на самом орке (где метка `Bug`
+гарантированно заводится оператором), enduro подключается явным добавлением в CSV. Флаги
+(`config.py`): `bug_fast_track_enabled` (kill-switch, env `ORCH_BUG_FAST_TRACK_ENABLED`),
+`bug_fast_track_label` (дефолт `Bug`, env `ORCH_BUG_FAST_TRACK_LABEL`), `bug_fast_track_repos`
+(CSV, env `ORCH_BUG_FAST_TRACK_REPOS`).
+
+### D7 — Наблюдаемость стоимости (FR-7, AC-7)
+
+- **`GET /queue`** — аддитивный read-only блок `bug_fast_track` (`bug_fast_track.snapshot()`,
+  never-raise, по образцу `serial_gate`/`auto_labels`/`coverage`): `enabled`, `repos`, `label`,
+  счётчик задач с `track='bug'`, агрегатная метрика экономии (пропущенные стадии / Σ agent-runs /
+  токены / время багфикс-трека против среднего полного цикла из существующей телеметрии
+  `agent_runs`). Существующие ключи `GET /queue` не меняются.
+- **Лог-строка** на решение о маршруте (`analysis → development (bug-fast-track)`).
+- **Опц.** отметка `🐞 багфикс-трек` в Telegram-карточке (`notifications.py`, never-raise).
+
+### D8 — Композиция (NFR-7, AC-9)
+
+- **serial-gate (ORCH-088):** багфикс-задача — обычная задача репо, учитывается в serial-очереди
+  как есть (FIFO `t2.id < jobs.task_id`); точка входа `analysis` не меняется, defer-branch логика
+  не затронута. Маркированный код `serial_gate.py` НЕ правится.
+- **auto-label (ORCH-089):** `autoApprove`/`autoDeploy` работают на багфикс-треке — autoApprove
+  врезка в `_handle_analysis_approved_flow` вызывает `advance_stage(finished_agent=None)`, который
+  применяет D3-override и уходит в `development`. Переиспользуем `labels.has_label`.
+- **coverage-gate (ORCH-027):** союзник BR-4 (структурно ловит «код без теста») — исполняется
+  штатно на ребре `deploy-staging → deploy`.
+- **merge-gate (ORCH-043):** не затронут.
+
+Правки маркированного кода (`advance_stage` несёт врезки ORCH-088/089/027/059/094) — точечные,
+со сверкой их `06-adr/`; зафиксированные инварианты (порядок под-гейтов, merge-lease,
+terminal-sync) НЕ нарушаются: ORCH-019 добавляет ветвление ТОЛЬКО на ребре выхода из `analysis`,
+до всех deploy-edge под-гейтов.
+
+## Альтернативы
+
+- **Track-aware `get_next_stage(stage, task)` / новая стадия в `STAGE_TRANSITIONS`** — отвергнуто:
+  ломает чистоту `stages.py` и риск задеть структуру таблицы (AC-2 FAIL при структурном изменении).
+  Override в `advance_stage` локальнее и держит `STAGE_TRANSITIONS` неизменным.
+- **Track-aware `check_analysis_complete` (bug → только 01/04)** — отвергнуто для v1 (D-Alt):
+  трогает `check_*`, расширяет поверхность риска NFR-1 ради почти нулевой экономии (см. D4).
+  Оставлено как возможное будущее уточнение, если потребуется реальный отказ от 02/03.
+- **Чистый hotfix `start_pipeline → development`, минуя `analysis`** — отвергнуто как дефолт
+  (BRD §6): теряется фиксация регресс-теста как контракта приёмки и трассируемость (урок ET-8).
+- **Тип задачи из payload вебхука / повторное чтение метки в `claim_next_job`** — отвергнуто:
+  payload не несёт `type` (источник истины — Plane API); сеть в горячем claim запрещена (NFR-4).
+- **Чтение типа без БД-колонки** — отвергнуто: потребовало бы сетевого вызова в горячем пути.
+
+## Последствия
+
+- **+** Багфикс минует целую стадию `architecture` (один прогон opus-агента `architect` + ADR) —
+  основная экономия токенов/времени; гейты качества **байт-в-байт** сохранены.
+- **+** Полностью аддитивно: kill-switch `False` или неприменимый репо → путь старта и маршрут
+  идентичны текущим (AC-6, нулевая регрессия для enduro и orchestrator).
+- **+** Переиспользует проверенный аппарат ORCH-089 (label-чтение) и паттерн leaf+флаги+snapshot.
+- **−** Багфикс-аналитик всё равно эмитит 02/03 (краткие заглушки) ради неизменности гейта —
+  принятый компромисс (D4); экономия на их содержании, не на их наличии.
+- **−** Эскалация v1 требует операторского действия (эндпоинт) — авто-триаж сложности отложен
+  (BRD §2.2). Митигатор: путь эскалации документирован, обратим, наблюдаем (D5).
+- **Откат:** `bug_fast_track_enabled=False` (мгновенно, 1:1 прежнее поведение); колонка
+  `tasks.track` остаётся (аддитивна, дефолт `'full'`, безвредна). Полный откат — revert PR;
+  миграция идемпотентна, остаточная колонка не мешает.
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-019/01-brd.md`
+- TRZ: `docs/work-items/ORCH-019/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-019/03-acceptance-criteria.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0032-bug-fast-track.md`
+- Data: `docs/work-items/ORCH-019/08-data-requirements.md`
+- Infra: `docs/work-items/ORCH-019/07-infra-requirements.md`
+- Риски: `docs/work-items/ORCH-019/10-tech-risks.md`
+- Сверено по коду: `src/stages.py`, `src/stage_engine.py` (advance_stage:175-477),
+  `src/webhooks/plane.py::start_pipeline` (505-684), `src/labels.py`,
+  `src/qg/checks.py` (check_analysis_complete:33, check_analysis_approved:286,
+  check_architecture_done:62), `src/db.py` (_ensure_column:334, create_task_atomic:433)
+</content>
+</invoke>
--- a/docs/work-items/ORCH-019/07-infra-requirements.md
+++ b/docs/work-items/ORCH-019/07-infra-requirements.md
@@ -0,0 +1,62 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 07 — Инфраструктурные требования (Infra Requirements): ORCH-019 — Багфикс-трек
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: architecture
+
+> **Топология не меняется.** Один прод-контейнер `orchestrator` (8500) + staging (8501) на mva154,
+> общая SQLite-БД. ORCH-019 — чисто прикладное изменение под флагом. Этот документ фиксирует
+> **предусловия включения** (Plane-метка + env-флаги), не новую инфраструктуру.
+
+---
+
+## 1. Предусловие: метка `Bug` в Plane-проекте (блокирующее для активации)
+
+Багфикс-трек активируется по метке Plane с именем `bug_fast_track_label` (дефолт `Bug`),
+читаемой аппаратом ORCH-089 (`fetch_issue_labels`/`get_project_labels`). **Метка должна
+существовать** в Plane-проекте orchestrator (и в любом проекте, добавленном в
+`bug_fast_track_repos`).
+
+- Её **отсутствие = fail-safe полный цикл** (`has_label → False`), не сбой. Включение флага без
+  заведённой метки безопасно, но эффекта не даёт.
+- Создаётся оператором в Plane вручную (как `autoApprove`/`autoDeploy` для ORCH-089).
+
+## 2. Конфигурация (env-флаги, `src/config.py`)
+
+| Флаг | Env | Дефолт | Назначение |
+|------|-----|--------|-----------|
+| `bug_fast_track_enabled` | `ORCH_BUG_FAST_TRACK_ENABLED` | `False` | kill-switch; `False` → путь старта/маршрут строго прежние (нулевая регрессия) |
+| `bug_fast_track_label` | `ORCH_BUG_FAST_TRACK_LABEL` | `Bug` | имя метки Plane для распознавания бага |
+| `bug_fast_track_repos` | `ORCH_BUG_FAST_TRACK_REPOS` | `""` (пусто) | CSV-область; пусто → **self-hosting only** (`orchestrator`) |
+
+> Рекомендация выката: `enabled=False` до момента, когда метка `Bug` заведена в Plane и проведён
+> staging-прогон. Дефолт области (пустой CSV) = self-hosting only → enduro не затронут даже при
+> включённом флаге.
+
+## 3. Зависимости / образ
+
+- **Новых pip-зависимостей нет.** Переиспользуются существующие `httpx`/`plane_sync` (label-чтение)
+  и `sqlite3` (колонка `tasks.track`). Пересборка образа из-за зависимостей не требуется.
+- **Миграция БД** (`tasks.track`) применяется идемпотентно при старте приложения (`_ensure_column`)
+  — без ручного шага, без даунтайма (ALTER ADD COLUMN на SQLite — мгновенный).
+
+## 4. Self-hosting безопасность (NFR-6)
+
+- Механизм **не** рестартит/не роняет прод-контейнер, **не** пушит/force-push в `main`. Это
+  routing-решение планировщика + аддитивная колонка + read-only наблюдаемость.
+- Выкат самого ORCH-019 на прод орка идёт штатным конвейером через обязательный
+  `deploy-staging` (8501) → `Confirm Deploy` (ORCH-059). Топология/процедура — `docs/operations/INFRA.md`.
+
+## 5. Новый эндпоинт (эскалация)
+
+`POST /bug-fast-track/escalate?work_item=<id>` — админ-ручка возврата задачи в полный цикл
+(`track → 'full'`), по образцу `POST /serial-gate/unfreeze`. Без новой инфраструктуры (тот же
+FastAPI-приложение/порт). Read-only блок `bug_fast_track` добавляется в существующий `GET /queue`.
+</content>
--- a/docs/work-items/ORCH-019/08-data-requirements.md
+++ b/docs/work-items/ORCH-019/08-data-requirements.md
@@ -0,0 +1,64 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 08 — Требования к данным (Data Requirements): ORCH-019 — Багфикс-трек
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: architecture
+
+> ⚠️ Общая прод-БД (self-hosting + enduro). Только **аддитивные, идемпотентные** миграции;
+> существующие контракты таблиц не меняются.
+
+---
+
+## 1. Новая колонка `tasks.track`
+
+| Атрибут | Значение |
+|---------|----------|
+| Таблица | `tasks` |
+| Колонка | `track` |
+| Тип | `TEXT` |
+| DEFAULT | `'full'` |
+| Допустимые значения | `'full'` (дефолт; ВСЕ существующие и не-баг задачи) \| `'bug'` |
+| Миграция | `_ensure_column(conn, "tasks", "track", "TEXT DEFAULT 'full'")` (идемпотентно, паттерн `tasks.cancelled_at` ORCH-090) |
+| Размещение | рядом с `_ensure_column(conn, "tasks", "cancel_requested_at", ...)` в init `src/db.py` |
+
+**Семантика:** тип задачи (полный цикл / багфикс). Записывается в `start_pipeline` после
+успешного `create_task_atomic` (`created=True`) при `is_bug_task==True`. Читается в `advance_stage`
+для routing-override (D3) — из БД, **никогда** из сети (NFR-4).
+
+## 2. Хелперы доступа (`src/db.py`)
+
+| Хелпер | Контракт |
+|--------|----------|
+| `set_task_track(task_id: int, track: str) -> None` | `UPDATE tasks SET track=? WHERE id=?`; идемпотентно; never-raise на уровне вызова в `start_pipeline`/escalate |
+| `get_task_track(task_id: int) -> str` | `SELECT track FROM tasks WHERE id=?`; отсутствие/NULL → `'full'` (fail-safe → полный цикл) |
+
+## 3. Что НЕ меняется
+
+- Сигнатура `create_task_atomic(plane_id, work_item_id, repo, branch, stage, title)` —
+  **без изменений** (задача создаётся как `track='full'` по DEFAULT, тип проставляется отдельным
+  `set_task_track`).
+- Существующие колонки `tasks` (прочие), таблицы `jobs`, `job_deps`, `agent_runs`,
+  `coverage_baseline`, `repo_freeze`, `tracker_messages` — **без изменений**.
+- `claim_next_job` — **без изменений** (не читает `track`; сеть/маршрут в горячем claim не вводятся).
+
+## 4. Обратная совместимость / откат
+
+- Колонка аддитивна с безопасным DEFAULT `'full'` → существующие строки и enduro-задачи ведут
+  себя как сегодня без обратной записи.
+- Откат фичи (`bug_fast_track_enabled=False`) не требует удаления колонки: при выключенном флаге
+  `track` не влияет на маршрут (`skips_architecture` → `False`). Остаточная колонка безвредна.
+- Полный revert PR: миграция `_ensure_column` идемпотентна; повторный запуск на БД с уже
+  существующей колонкой — no-op.
+
+## 5. Объём данных / производительность
+
+- Одна `TEXT`-колонка на строку `tasks` (низкая кардинальность: 2 значения). Индекс не требуется
+  (чтение по `id` PK в `advance_stage`; агрегат для `GET /queue` — редкий read-only скан).
+</content>
--- a/docs/work-items/ORCH-019/10-tech-risks.md
+++ b/docs/work-items/ORCH-019/10-tech-risks.md
@@ -0,0 +1,39 @@
+---
+work_item: ORCH-019
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-019 — Багфикс-трек
+
+Work Item: **ORCH-019** · Repo: **orchestrator** · Стадия: architecture
+
+> Шкала: вероятность × влияние ∈ {Низк., Средн., Выс.}. Каждый риск — с митигатором, привязанным
+> к ADR-001 / AC.
+
+---
+
+| ID | Риск | Вер. | Влияние | Митигатор |
+|----|------|------|---------|-----------|
+| R-1 | **Срезали лишнее** — ошибочный пропуск гейта качества → недоделка на проде (урок ET-8). | Низк. | Выс. | NFR-1 диктует **нулевую** поверхность правок гейтов (D4): `STAGE_TRANSITIONS`/`QG_CHECKS`/все `check_*`/вердикт-ключи — байт-в-байт; режется ТОЛЬКО стадия `architecture`. Тест AC-3: на багфикс-треке отрабатывают все гейты. |
+| R-2 | **Сложный баг под меткой `Bug`** уходит на фаст-трек и упирается в отсутствие архитектуры. | Средн. | Средн. | Эскалация D5 (эндпоинт `escalate` + self-escalate мини-аналитика) сбрасывает `track→full` → задача идёт через `architecture`. AC-5. |
+| R-3 | **Регресс-тест не написан** (developer «забыл») → рецидив бага. | Средн. | Выс. | BR-4: обязательный TC в `04-test-plan.yaml` + reviewer-ось (фикс без теста → REQUEST_CHANGES) + структурный союзник coverage-gate ORCH-027. AC-4. |
+| R-4 | **Fail-safe инвертирован** — ошибка чтения метки молча срежет стадии. | Низк. | Выс. | never-raise leaf `bug_fast_track.py`: любая ошибка/неоднозначность/`None`-labels → `is_bug_task=False` → полный цикл; `get_task_track` при NULL → `'full'`. AC-6. |
+| R-5 | **Конфликт с serial-gate/auto-label** при изменённой точке входа. | Низк. | Средн. | Точка входа НЕ меняется (задача стартует на `analysis`, ветвление — только на ребре выхода). serial_gate/auto-label маркированный код не правится. Интеграционный тест композиции (AC-9). |
+| R-6 | **Ложная блокировка** облегчённого пакета exit-гейтом `analysis` (`check_analysis_complete` требует 01/02/03/04). | Низк. | Средн. | D4: гейт НЕ трогаем; lite-аналитик эмитит все 4 файла (02/03 — краткие заглушки). FR-6/OQ-6. |
+| R-7 | **Правка маркированного `advance_stage`** (несёт врезки ORCH-088/089/027/059/094) сломает чужой инвариант. | Низк. | Выс. | Врезка ORCH-019 — ТОЛЬКО на ребре выхода из `analysis`, ДО всех deploy-edge под-гейтов; порядок под-гейтов/merge-lease/terminal-sync не затронуты (CLAUDE.md §9: сверка `06-adr/` затронутых ORCH-NNN). |
+| R-8 | **Телеметрия `mark_brd_review_ended`** не сработает на багфиксе (next=`development`, не `architecture`) → искажённая метрика «твоё время». | Низк. | Низк. | D3: условие расширено до `next_stage in ("architecture","development")`. Не влияет на гейты. |
+| R-9 | **Метрика экономии** (FR-7) вводит в заблуждение (несравнимые задачи). | Низк. | Низк. | Метрика помечена как относительная оценка из существующей телеметрии `agent_runs`; без новой тяжёлой инфраструктуры; read-only, never-raise. AC-7. |
+
+---
+
+## Сводный вывод
+
+Доминирующий риск — **R-1 (срезали лишнее)**; он структурно закрыт нулевой поверхностью правок
+гейтов (D4) — изменение касается планировщика/точки входа, а не Quality Gate. Остальные риски
+покрыты паттерном leaf+флаги+fail-safe (ORCH-088/089/027) и обратимой эскалацией (D5). Откат —
+мгновенный через `bug_fast_track_enabled=False`.
+</content>
--- a/docs/work-items/ORCH-019/12-review.md
+++ b/docs/work-items/ORCH-019/12-review.md
@@ -0,0 +1,108 @@
+---
+verdict: APPROVED
+work_item: ORCH-019
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-019
+version: 1
+---
+
+# Review ORCH-019 — Багфикс-трек (упрощённый/дешёвый маршрут для багов)
+
+## Summary
+
+Реализация соответствует ТЗ (`02-trz.md`), ADR-001 и всем 9 критериям приёмки
+(`03-acceptance-criteria.md`). Корневой инвариант NFR-1 («срезается только аналитика/архитектура;
+ни один Quality Gate не тронут») соблюдён **структурно**: `src/stages.py` и `src/qg/checks.py` —
+**пустой diff**; маршрутизация багфикса реализована чистым routing-override в `advance_stage`, как
+и предписывал ADR (D3). Полный регресс `tests/` зелёный (**1551 passed**), 46 целевых тестов
+ORCH-019 (6 suites) — PASS. Документация обновлена исчерпывающе во всех требуемых поверхностях.
+Findings уровня P0/P1 — нет. → **APPROVED**.
+
+## Проверка по осям
+
+### 1. Соответствие ТЗ / Acceptance Criteria
+- **AC-1 (классификация по метке `Bug`)** ✓ — `bug_fast_track.is_bug_task` делегирует в
+  `labels.has_label` (источник истины — Plane API, не payload); `applies(repo)` (локальный)
+  проверяется ПЕРВЫМ в `start_pipeline` → при выключенном флаге нулевой сетевой оверхед.
+- **AC-2 (пропуск `architecture`)** ✓ — override на ребре выхода из `analysis`
+  (`next_stage → development`, `next_agent → developer`); `STAGE_TRANSITIONS`/`get_next_stage`/
+  `get_agent_for_stage` остались чистыми (1:1). Анти-регресс структуры — TC-06.
+- **AC-3 (все QG сохранены — корневой инвариант)** ✓ — `git diff` по `src/stages.py`/`src/qg/`
+  пуст; вердикт-ключи и порядок под-гейтов не тронуты (TC-07). Подтверждено независимой проверкой
+  diff, не только тестом.
+- **AC-4 (обязательный регресс-тест)** ✓ — ось добавлена в `.openclaw/agents/reviewer.md`
+  («фикс без теста-фиксатора → finding ≥P1»); `04-test-plan.yaml` несёт требование. (Сам ORCH-019 —
+  feature, не bugfix, поэтому правило к нему не применяется; покрытие — 46 содержательных тестов.)
+- **AC-5 (эскалация)** ✓ — `POST /bug-fast-track/escalate` (`db.set_task_track 'bug'→'full'`,
+  Telegram+Plane-коммент, never-raise) + self-escalate мини-аналитика (`analyst.md`).
+- **AC-6 (fail-safe / нулевая регрессия)** ✓ — `bug_fast_track_enabled` kill-switch; все публичные
+  функции leaf'а never-raise → False (full cycle); `get_task_track` деградирует в `'full'`.
+  Дефолт `True` согласован со всеми sibling-флагами (serial_gate/auto_label/coverage/stop/… все
+  `= True` при пустом scope = self-hosting only).
+- **AC-7 (наблюдаемость)** ✓ — read-only блок `bug_fast_track` в `GET /queue` (`snapshot()`,
+  never-raise) + отметка `🐞` в Telegram-карточке (never-raise) + лог-строки на решение.
+- **AC-8 (аддитивность / self-hosting)** ✓ — `_ensure_column(tasks, track, "TEXT DEFAULT 'full'")`
+  идемпотентна (TC-15); прод-контейнер/`main` не трогаются; полный `tests/` зелёный.
+- **AC-9 (композиция)** ✓ — serial-gate/auto-label/coverage/merge — тест композиции зелёный
+  (TC-14); override применяется ДО всех deploy-edge под-гейтов.
+
+### 2. Соответствие ADR
+Реализация точно следует ADR-001 (D1–D8): leaf `src/bug_fast_track.py`, колонка `tasks.track`,
+override в `advance_stage`, эскалация-эндпоинт, область self-hosting-only. Сквозной ADR
+`adr-0032-bug-fast-track.md` присутствует.
+**Трассировка:** `advance_stage` несёт маркеры ORCH-088/089/027/059/094; врезка ORCH-019 добавляет
+ветвление ТОЛЬКО на ребре выхода из `analysis` (до deploy-edge под-гейтов) — зафиксированные
+инварианты (порядок под-гейтов, merge-lease, terminal-sync) не нарушены. Сверено по diff. Расширение
+`mark_brd_review_ended` на `analysis → development` (ORCH-087 метрика) гейтов не касается.
+
+### 3. Качество кода
+- Leaf чист (импортирует только `config`, лениво `labels`/`db`/`qg.checks`), never-raise контракт
+  соблюдён везде, публичные функции снабжены docstrings. ✓
+- Next-agent override (`next_stage == "development"`) безопасен: единственный путь к
+  `analysis → development` — сам багфикс-override (штатно `get_next_stage("analysis") == "architecture"`). ✓
+- `get_task_by_work_item_id`/`add_comment`/`set_task_track`/`get_task_track` существуют и
+  совместимы по сигнатурам. ✓
+
+### 4. Документация — обязательная проверка
+`src/` изменён → документация ДОЛЖНА быть обновлена. **Обновлено в том же PR:**
+- `docs/architecture/README.md` — раздел «Багфикс-трек (ORCH-019)» + блок `bug_fast_track` в `GET /queue`;
+- `README.md` — таблица env (`ORCH_BUG_FAST_TRACK_*`) + обзорный раздел;
+- `.env.example` — три новых переменных;
+- `docs/architecture/adr/adr-0032-bug-fast-track.md` (сквозной) + `06-adr/ADR-001`;
+- `docs/architecture/internals.md`, `CLAUDE.md`, `CHANGELOG.md` (`feat:`);
+- `07-infra-requirements.md` / `08-data-requirements.md` / `10-tech-risks.md`;
+- `.openclaw/agents/analyst.md` (lite-пакет + self-escalate) и `reviewer.md` (ось регресс-теста).
+
+Все поверхности из §8 ТЗ покрыты. **Обзорная витрина README** — добавлен раздел, ничего из «Известных
+ограничений» не оставлено открытым в нарушение ORCH-079.
+
+## Findings
+
+### P0 — Blocker
+- (нет)
+
+### P1 — Must fix
+- (нет)
+
+### P2 — Should fix
+- (нет)
+
+### P3 — Nice to have
+- [ ] `snapshot.est_saved_architecture_runs == total_bug_tasks` считает ВСЕ багфикс-задачи, включая
+  `cancelled` (которые могли не дойти до пропуска `architecture`). Косметическая неточность метрики
+  экономии; на гейты/маршрут не влияет. Можно сузить до `stage NOT IN ('cancelled')` при случае.
+
+## Документация
+Обновлена полностью и согласованно во всех требуемых поверхностях (architecture/README, README env +
+обзор, оба ADR, internals, CLAUDE.md, CHANGELOG, .env.example, промпты analyst/reviewer,
+infra/data/risks). Расхождений код↔документация не обнаружено. Требований к доработке документации
+нет.
+
+## Вердикт
+Нет findings уровня P0/P1; документация обновлена; корневой инвариант подтверждён независимой
+проверкой diff и зелёным полным регрессом (1551 passed). → **APPROVED**.
--- a/docs/work-items/ORCH-019/13-test-report.md
+++ b/docs/work-items/ORCH-019/13-test-report.md
@@ -0,0 +1,84 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-019
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-019
+---
+
+# Test Report — ORCH-019 — Багфикс-трек (упрощённый/дешёвый маршрут для багов)
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8)
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-019-` (ветка `feature/ORCH-019-`)
+- Дата: 2026-06-10T00:53:34Z
+- Предусловие: review `12-review.md` = `verdict: APPROVED` ✓
+
+## Smoke API (read-only)
+| Endpoint | Результат | Примечание |
+|----------|-----------|------------|
+| `GET /health` | PASS | `{"status":"ok","service":"orchestrator"}` |
+| `GET /status` | PASS | отвечает; ORCH-019 (task 84) виден на стадии `testing` |
+| `GET /queue` | PASS | блок `serial_gate` присутствует (ORCH-088) ✓; `auto_labels` присутствует ✓ |
+
+> Прод-контейнер (8500) исполняет код **до** ORCH-019 (фича ещё не задеплоена), поэтому блока
+> `bug_fast_track` в живом `/queue` ожидаемо нет — это не регресс смока. Обязательные для смока
+> блоки `serial_gate` и `auto_labels` присутствуют. Новый блок `bug_fast_track` верифицирован
+> юнит/интеграционными тестами `test_queue_endpoint.py` (TC-13) на коде ветки. Smoke — read-only,
+> прод-контейнер не трогался.
+
+## Результаты — покрытие TC из `04-test-plan.yaml`
+
+| TC ID | Описание (кратко) | Тип | Тесты | AC | Результат |
+|-------|-------------------|-----|-------|----|-----------|
+| TC-01 | `is_bug_task()` True для метки `Bug`; источник — Plane API, не payload | unit | `test_tc01_is_bug_task_true`, `test_tc01_label_from_plane_api_not_payload` | AC-1 | PASS |
+| TC-02 | `is_bug_task()` False при отсутствии/неоднозначной метке/`labels=None` (fail-safe) | unit | `test_tc02_label_absent`, `test_tc02_labels_none`, `test_tc02_label_ambiguous`, `test_tc02_empty_label_config` | AC-1/AC-6 | PASS |
+| TC-03 | `bug_fast_track_applies(repo)`: локальная область ПЕРВОЙ; выключенный флаг → без сети | unit | `test_tc03_empty_csv_self_hosting_only`, `test_tc03_csv_membership`, `test_tc03_killswitch_off_no_network` | AC-6 | PASS |
+| TC-04 | never-raise: исключение в fetch labels → деградация в False (полный цикл) | unit | `test_tc04_is_bug_task_never_raises`, `test_tc04_applies_never_raises` | AC-6 | PASS |
+| TC-05 | Маршрут: bug → next stage после analysis = `development`; не-баг = `architecture` | unit | `test_tc05_bug_task_skips_architecture`, `test_tc05_full_task_keeps_architecture`, `test_tc05_killswitch_off_bug_keeps_architecture`, `test_tc05_bug_only_affects_analysis_edge` | AC-2 | PASS |
+| TC-06 | `STAGE_TRANSITIONS` структурно не изменён (анти-регресс) | unit | `test_tc06_stage_transitions_unchanged`, `test_tc06_get_next_stage_pure` | AC-2 | PASS |
+| TC-07 | `QG_CHECKS`/сигнатуры `check_*`/вердикт-ключи не изменены (имя+регистр) | unit | `test_tc07_qg_checks_registry_unchanged`, `test_tc07_verdict_keys_preserved` | AC-3 | PASS |
+| TC-08 | E2E багфикс-трек проходит development→…→deploy, минуя architecture, все гейты | integration | `test_tc08_bug_task_full_walk_skips_architecture` | AC-2/AC-3 | PASS |
+| TC-09 | `start_pipeline`: метка Bug → bug-track; без метки → full-track | integration | `test_tc09_bug_label_creates_bug_track`, `test_tc09_no_label_creates_full_track` | AC-1 | PASS |
+| TC-10 | Fail-safe: `enabled=False` → метка Bug идёт полным циклом (нулевая регрессия) | integration | `test_tc10_killswitch_off_bug_label_full_cycle` | AC-6 | PASS |
+| TC-11 | Эскалация: `'bug'→'full'` → штатный маршрут с architecture | integration | `test_tc11_escalate_returns_to_full_cycle`, `test_tc11_escalate_unknown_work_item`, `test_tc11_escalate_missing_arg`, `test_tc11_escalate_idempotent_on_full` | AC-5 | PASS |
+| TC-12 | `check_analysis_*` не блокирует ложно lite-пакет; не ослаблен для не-баг | unit | `test_tc12_bug_lite_package_with_all_four_passes`, `test_tc12_missing_file_still_fails_for_any_track`, `test_tc12_signature_has_no_track_param` | AC-3/FR-6 | PASS |
+| TC-13 | `GET /queue` несёт read-only блок `bug_fast_track`; существующие ключи целы | integration | `test_queue_has_bug_fast_track_block_and_keeps_existing_keys`, `test_queue_bug_fast_track_counts_bug_tasks` | AC-7 | PASS |
+| TC-14 | Композиция: bug-задача учтена serial-gate; autoApprove/autoDeploy применимы | integration | `test_tc14_bug_task_counts_as_active_in_serial_gate`, `test_tc14_bug_task_itself_gated_behind_predecessor`, `test_tc14_bug_task_claimable_once_predecessor_done`, `test_tc14_auto_label_applies_track_agnostic` | AC-9 | PASS |
+| TC-15 | Миграция `tasks.track` аддитивна/идемпотентна; дефолт `'full'` | unit | `test_tc15_track_column_present_with_default`, `test_tc15_init_db_idempotent`, `test_tc15_helpers_round_trip`, `test_tc15_get_task_track_missing_row_failsafe` | AC-8 | PASS |
+
+**Итог покрытия:** все 15 TC из `04-test-plan.yaml` выполнены и сопоставлены с критериями
+`03-acceptance-criteria.md` (AC-1…AC-9). Непокрытых/пропущенных TC нет.
+
+## Вывод pytest
+
+### Целевые suite ORCH-019 (6 файлов + queue/migrations)
+```
+$ pytest tests/test_bug_fast_track.py tests/test_bug_fast_track_routing.py \
+         tests/test_bug_fast_track_gates.py tests/test_bug_fast_track_e2e.py \
+         tests/test_bug_fast_track_escalation.py tests/test_bug_fast_track_composition.py \
+         tests/test_queue_endpoint.py tests/test_db_migrations.py -v
+...
+======================== 46 passed, 1 warning in 2.51s =========================
+```
+46/46 целевых тестов — PASS.
+
+### Полный регресс
+```
+$ pytest tests/ -q --tb=short
+........................................................................ [100%]
+1551 passed, 1 warning in 56.64s
+```
+1551/1551 — PASS, 0 failed. (Единственный warning — известный Pydantic V2 deprecation в
+`src/config.py:8`, не относится к ORCH-019.)
+
+## Итог
+**PASS** — полный регресс (1551 passed) и целевые suites ORCH-019 (46 passed) зелёные; smoke API
+(`/health`/`/status`/`/queue` с блоками `serial_gate`+`auto_labels`) — OK; все 15 TC выполнены и
+сопоставлены с AC-1…AC-9. Корневой инвариант NFR-1 (неизменность `STAGE_TRANSITIONS`/`QG_CHECKS`/
+вердикт-ключей) подтверждён анти-регресс-тестами TC-06/TC-07. → стадия переходит на `deploy-staging`.
--- a/docs/work-items/ORCH-019/15-staging-log.md
+++ b/docs/work-items/ORCH-019/15-staging-log.md
@@ -0,0 +1,51 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-019
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+timestamp: 2026-06-10T00:56:51Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed against the live `orchestrator-staging` environment (port 8501),
+run inside the `orchestrator-staging` container (canonical path, ORCH-048):
+
+```
+docker exec orchestrator-staging \
+  python3 /repos/orchestrator/scripts/staging_check.py \
+  --base-url http://localhost:8501 --mode stub
+```
+
+**Result: 8/10 checks PASS — exit code 0 → SUCCESS.**
+
+- REAL failed: **none**
+- SANDBOX_INFRA waived (ORCH-061): C9a, C9b
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Check breakdown
+
+| Block | Check | Result |
+|-------|-------|--------|
+| A SMOKE | A1 GET /health → 200 status=ok | ✓ PASS |
+| A SMOKE | A2 GET /queue → 200 with counts/max_concurrency/resilience | ✓ PASS |
+| A SMOKE | A3 ORCH_STAGING=true (not prod) | ✓ PASS |
+| B ACCESS | B4 Plane: sandbox project accessible | ✓ PASS |
+| B ACCESS | B5 Gitea: orchestrator-sandbox accessible, push=true | ✓ PASS |
+| B ACCESS | B6 Registry: sandbox present, prod ET/ORCH absent | ✓ PASS |
+| C E2E | C7 Create issue in Plane SANDBOX | ✓ PASS |
+| C E2E | C8 Trigger pipeline via /webhook/plane | ✓ PASS |
+| C E2E | C9a Branch appears in orchestrator-sandbox | ✗ FAIL (INFRA-WAIVED) |
+| C E2E | C9b Analyst job enqueued in staging queue | ✗ FAIL (INFRA-WAIVED) |
+
+Cleanup: Plane issue deleted (HTTP 204); no branch to delete.
+
+Exit-code → verdict mapping unchanged: exit 0 → `staging_status: SUCCESS`. Waived checks are not
+re-judged (trust the exit code; the two infra-only checks C9a/C9b depend on SANDBOX bot accounts
+being project members, not on the pipeline). Staging gate **PASSED**; task advances to `deploy`.
--- a/docs/work-items/ORCH-057/00-business-request.md
+++ b/docs/work-items/ORCH-057/00-business-request.md
@@ -0,0 +1,7 @@
+# Business Request: BUG/follow-up ORCH-040: normalize legacy root-owned файлы при миграции на uid 1000 (one-time + защита)
+
+Work Item ID: ORCH-057
+
+## Description
+
+TBD
--- a/docs/work-items/ORCH-057/01-brd.md
+++ b/docs/work-items/ORCH-057/01-brd.md
@@ -0,0 +1,140 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000 (one-time + защита)
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+ORCH-040 перевёл оба контейнера (`orchestrator` 8500, `orchestrator-staging` 8501) с root
+на `user: "1000:1000"` (slin). Изменён был **только** `docker-compose.yml`. Однако bind-mount
+`/home/slin/repos → /repos` уже содержал файлы и каталоги, созданные **прежним root-контейнером**
+(`root:root`). Смена `user:` владельца существующих файлов НЕ меняет.
+
+**Реальный инцидент (прод, 06.06, поймали на первом запуске ORCH-043).** Первый job под uid 1000
+упал на стадии **launch** (НЕ на коде задачи):
+
+```
+fatal: could not create leading directories of
+'/repos/_wt/orchestrator/feature_ORCH-043-.../.git': Permission denied
+```
+
+Причина: `/repos/_wt/` и старые worktree-папки = `root:root` → uid 1000 не может создать рядом
+новый каталог worktree. Установлено фактически: ошибка возникает в `src/git_worktree.py::ensure_worktree`
+(вызов `git worktree add`), куда конвейер приходит из `src/agents/launcher.py::_spawn` (стр. 500)
+и `_materialize_deferred_branch` (ORCH-088). Агент даже не стартует — падает создание worktree.
+
+**Ручной workaround (применён Стрим, прод снова рабочий, ОДНОРАЗОВО):**
+```
+sudo chown -R 1000:1000 /home/slin/repos/_wt
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git /home/slin/repos/enduro-trails/.git
+sudo chown -R 1000:1000 /home/slin/repos/orchestrator   # +data/runs/*.log (37 root-логов)
+```
+
+ADR-001 ORCH-040 упоминал «массовый chown старых root-файлов» лишь абстрактно («вне объёма кода»,
+«разовая операция Owner») и НЕ дал конкретной процедуры чистки legacy worktree — поэтому deployer
+её не выполнил, и баг проявился в проде. Прод сейчас рабочий (ручной фикс наложен), но проблема
+**воспроизведётся** на чистой среде, новом репо или после любого исторического запуска под root,
+если её не закрыть кодом + процедурой.
+
+**Это follow-up / закрытие недоделанного AC ORCH-040** (legacy-файлы), а не новая фича.
+
+## 2. Объём (scope)
+
+### В объёме
+- **Защита launcher (код):** при `Permission denied` на создании worktree выдавать **внятную,
+  диагностируемую** ошибку «legacy root-файлы в `/repos/_wt` — требуется нормализация прав»
+  с указанием команды, а НЕ сырой `git fatal`.
+- **Раннее обнаружение (код):** детектирование наличия файлов с `uid != <target_uid>` в
+  `ORCH_REPOS_DIR` (включая `_wt`, `.git/objects`, `.git/worktrees`, `data/runs`) при старте
+  контейнера / перед претензией на job — чтобы конвейер падал **внятно и заранее**, а не сырым
+  git-фаталом на launch.
+- **Процедура нормализации (документация):** в `docs/operations/INFRA.md` (и собственный ADR
+  ORCH-057) — обязательная одноразовая процедура нормализации legacy root-файлов при миграции uid,
+  с точными командами и областью охвата (`_wt`, `.git`, `data/runs`).
+- **Опционально (по решению архитектора):** механизм one-time нормализации при буте/деплое —
+  init-контейнер/хук под root, либо blocking-entrypoint-проверка.
+
+### Вне объёма
+- Изменение логики конвейера, `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, схемы БД.
+- Пересмотр самого решения ORCH-040 (uid 1000) — оно принято и остаётся.
+- Перенос инстанса на другой хост / другой uid (отдельная задача при миграции хоста).
+- Массовая ретроактивная переработка ADR-001 ORCH-040 (его история не переписывается;
+  допускается forward-breadcrumb-ссылка на ORCH-057 — решает архитектор).
+- Выбор конкретного варианта реализации one-time нормализации (a/b/в) — зона архитектора (06-adr).
+
+## 3. Заинтересованные стороны
+
+- **Заказчик / Owner** — Слава (homenet542), инициатор; принимает результат.
+- **Эксплуатация** — Стрим (применял ручной workaround); потребитель процедуры в INFRA.md.
+- **Затронутые проекты** — `orchestrator` (self-hosting) и `enduro-trails` (общий инстанс, общая
+  очередь, общий bind-mount `/repos`): нормализация прав `/repos` касается обоих репо.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1** — После миграции контейнера на новый uid конвейер запускается **без ручного `chown`**:
+  либо авто-нормализация прав, либо **явная блокирующая ошибка с инструкцией** (никогда не сырой
+  `git fatal` на launch).
+- **BR-2** — На свежей среде / новом репо / после исторического запуска под root проблема
+  **не воспроизводится** (детект + понятная диагностика срабатывают до падения агента).
+- **BR-3** — `INFRA.md` и ADR содержат **конкретную процедуру** нормализации legacy root-файлов
+  (точные команды, область: `_wt`, `.git/objects`, `.git/worktrees`, `data/runs`), помеченную как
+  обязательный шаг миграции uid.
+- **BR-4** — Несоответствие владельца наблюдаемо: оператор узнаёт о проблеме из лога/уведомления/
+  read-only статуса, а не по падению задачи на launch.
+- **BR-5** — Защита `ensure_worktree` распознаёт класс ошибки «нет прав на создание worktree» и
+  сообщает причину + лечащую команду (опц. — авто-самолечение, если процесс имеет права).
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 (self-hosting безопасность)** — Решение **никогда** не перезапускает/не роняет
+  прод-контейнер `orchestrator`, не трогает `main`/force-push/прод-образ. Контейнер бежит под
+  uid 1000 (без root) → код **не может** делать `chown` без root; код ограничивается
+  детектом + внятной диагностикой/блокировкой, а фактический `chown` — операторская/init-процедура.
+- **NFR-2 (общий инстанс)** — Нулевая регрессия для `enduro-trails`: feature под kill-switch и
+  scope-флагом (по образцу `serial_gate`/`coverage_gate`); выключено → поведение 1:1 как до ORCH-057.
+- **NFR-3 (never-raise / fail-safe)** — Детект-леаф никогда не бросает наружу неожиданное исключение
+  и не блокирует старт сервиса по своей ошибке; деградирует в WARNING.
+- **NFR-4 (идемпотентность)** — Повторный запуск детекта/нормализации на уже корректной среде —
+  no-op без побочных эффектов.
+- **NFR-5 (обратимость)** — Поведение откатывается выключением kill-switch без миграций/правки схемы.
+- **NFR-6 (наблюдаемость)** — Вердикт (есть/нет mismatch, сколько файлов, какие корни) логируется
+  структурно; при проблеме — Telegram с кликабельным номером задачи (если применимо) + read-only
+  отражение в `GET /queue`.
+
+## 6. Допущения и ограничения
+
+- Целевой uid:gid рантайма = `1000:1000` (slin), подтверждён ORCH-040 (P-3); на хосте `/repos`,
+  `/app/data` штатно `1000:1000`.
+- Контейнер бежит под numeric uid 1000 без записи в `/etc/passwd` базового образа; в образе создан
+  реальный user `slin` (uid 1000) для `getpwuid()` (ORCH-058, Dockerfile). Под uid 1000 `chown`
+  чужих (root) файлов **невозможен** без CAP_CHOWN/root.
+- `git config --system --add safe.directory '*'` уже в образе — git доверяет bind-mount.
+- Корни проверки: `ORCH_REPOS_DIR` (`/repos`), включая `_wt`, `<repo>/.git/objects`,
+  `<repo>/.git/worktrees`, и `data/runs` (37 root-логов в инциденте).
+- `start_pipeline` (ORCH-088) отложил срез ветки на момент claim analyst-job → детект уместен
+  и на старте сервиса, и перед claim'ом (точку выбирает архитектор).
+
+## 7. Критерии успеха
+
+После миграции uid (или на чистой среде) первый же job проходит launch без ручного `chown`, либо —
+если права не нормализованы — конвейер выдаёт **понятную блокирующую диагностику** с командой
+исправления вместо сырого `git fatal`. INFRA.md/ADR содержат воспроизводимую процедуру.
+Для `enduro-trails` — нулевая регрессия. Детальные PASS/FAIL — в `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- Контейнер без root не может `chown` → авто-самолечение возможно только частично/при наличии прав;
+  основной гарант — детект+диагностика+процедура (детали — `10-tech-risks.md`, архитектор).
+- Рекурсивный обход больших `.git/objects` / `_wt` может быть дорог → нужен дешёвый/семплированный
+  детект и кэш (как preflight TTL).
+- Ложно-блокирующая ошибка может застопорить и enduro-trails (общий `/repos`) → строгий scope/fail-safe.
+- Правка `docker-compose.yml`/entrypoint (init-контейнер) = деплой self → групповой риск (NFR-1),
+  обязательная страховка staging.
--- a/docs/work-items/ORCH-057/02-trz.md
+++ b/docs/work-items/ORCH-057/02-trz.md
@@ -0,0 +1,117 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование/выбор варианта one-time нормализации (init-контейнер vs blocking-entrypoint
+> vs ансибл) — задача архитектора (`06-adr/`). Здесь — требования, контракты и ограничения.
+
+## 1. Сводка изменения
+
+Закрыть недоделанный AC ORCH-040 по legacy-файлам. Три слоя:
+1. **Защита launcher** — `ensure_worktree` распознаёт `Permission denied`/git-fatal на создании
+   worktree и поднимает **внятную** ошибку с диагнозом «legacy root-файлы в `/repos/_wt` — нужна
+   нормализация прав» + лечащая команда (опц. авто-самолечение при наличии прав).
+2. **Ранний детект** — новый чистый леаф находит файлы с `uid != target_uid` в `ORCH_REPOS_DIR`
+   (`_wt`, `.git/objects`, `.git/worktrees`, `data/runs`); вызывается на старте сервиса и/или перед
+   claim'ом job; never-raise, config-gated, с наблюдаемостью.
+3. **Процедура** — `INFRA.md` + ADR ORCH-057: точные команды разовой нормализации как обязательный
+   шаг миграции uid. Опционально — one-time нормализация под root через init-механизм (решает архитектор).
+
+Инвариант: `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict-ключи / схема БД —
+**байт-в-байт прежние**. Изменение аддитивно и обратимо kill-switch'ем.
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие |
+|------|----------|
+| `src/git_worktree.py` (`ensure_worktree`, `remove_worktree`) | изменить — классификация `Permission denied`/git-fatal на `git worktree add` / `os.makedirs` → внятный actionable `RuntimeError` (опц. self-heal при правах) |
+| `src/fs_normalize.py` | **создать** — чистый леаф (never-raise): `scan_ownership(roots, target_uid) -> результат`; опц. `normalize(...)` (chown только при наличии прав); хелпер `applies(repo)` + кэш (TTL, как preflight) |
+| `src/config.py` | изменить — добавить флаги (см. §7); без правки существующих значений |
+| `src/main.py` (`lifespan`) | изменить — добавить startup-вызов детекта (best-effort, never-fatal по образцу L-2/lease-reclaim), лог + Telegram при mismatch; read-only блок в `GET /queue` |
+| `src/preflight.py` **или** `src/queue_worker.py` | изменить (на выбор архитектора) — опц. гейт claim'а job при обнаруженном mismatch, чтобы падать внятно ДО launch (по образцу preflight-гейта) |
+| `docker-compose.yml` / `Dockerfile` / `scripts/*entrypoint*` | **кандидат** (решает архитектор) — one-time root-нормализация (init-контейнер/хук) ПЕРЕД стартом app; если выбрано — деплой self, обязательная staging-страховка |
+| `docs/operations/INFRA.md` | изменить — раздел «Миграция uid: обязательная нормализация legacy root-файлов» (команды + область) |
+| `docs/work-items/ORCH-057/06-adr/ADR-001-*.md` | создать (architect) — решение + процедура; опц. forward-breadcrumb из ADR-001 ORCH-040 (без переписывания истории) |
+| `CHANGELOG.md` | изменить — запись о ORCH-057 |
+| `tests/test_*` | создать — см. `04-test-plan.yaml` |
+
+## 3. Функциональные требования
+
+### FR-1 — Внятная ошибка `ensure_worktree` (BR-1, BR-5)
+При неуспехе `git worktree add` / `os.makedirs(os.path.dirname(wt))` по причине отказа доступа
+(`Permission denied`, `could not create leading directories`, `insufficient permission for adding an
+object`) `ensure_worktree` поднимает `RuntimeError` с сообщением, которое: (а) называет корневую
+причину (legacy root-owned файлы в `/repos/_wt` или `.git` после миграции uid ORCH-040); (б) указывает
+лечащую команду (`chown -R <uid>:<gid> …`) или ссылку на процедуру INFRA.md; (в) НЕ является сырым
+git stderr. Прочие (нет-прав-несвязанные) ошибки сохраняют текущий контракт (никакой подмены смысла).
+
+### FR-2 — Детект несоответствия владельца (BR-2, BR-4)
+Леаф `fs_normalize.scan_ownership` обходит корни (`/repos/_wt`, `<repo>/.git/objects`,
+`<repo>/.git/worktrees`, `data/runs`) и возвращает: есть ли файлы с `uid != target_uid`, их число
+(или флаг «≥1»), список затронутых корней. Обход дешёвый/ограниченный (ранний выход при первом
+mismatch для быстрого вердикта; полный подсчёт — опционально/семплировано). Результат кэшируется по
+TTL (по образцу `preflight._cache`). `target_uid` = `os.getuid()` или конфиг (дефолт 1000).
+
+### FR-3 — Реакция на детект (BR-1, BR-4)
+- **Startup (main.lifespan):** вызвать детект best-effort; при mismatch — структурный WARNING +
+  Telegram (если включён) с числом/корнями и лечащей командой. Никогда не падать на старте по
+  ошибке детекта (NFR-3).
+- **Опц. гейт claim'а:** при обнаруженном mismatch и `target_uid` без прав на chown — не претендовать
+  на job (или претендовать и сразу честно фейлить с FR-1-сообщением), чтобы исход был внятным до launch.
+  Конкретную точку (preflight vs queue_worker) выбирает архитектор; требование — «внятно и заранее».
+
+### FR-4 — Опциональная авто-нормализация (BR-1)
+`fs_normalize.normalize` выполняет `chown -R target_uid:target_gid` по корням **только если процесс
+имеет на это право** (CAP_CHOWN/root). Под uid 1000 без прав — no-op + честный лог «нужна операторская
+процедура» (НЕ ошибка). Включается отдельным флагом (`*_AUTO`), по умолчанию — выкл (детект-only).
+Если архитектор выбирает init-контейнер под root — это и есть носитель FR-4 на буте.
+
+### FR-5 — Документированная процедура (BR-3)
+`INFRA.md` получает раздел с точными командами разовой нормализации (`_wt`, оба `.git`, `data/runs`),
+помеченный как **обязательный** шаг миграции uid и часть чеклиста деплоя self. ADR ORCH-057 фиксирует
+решение и ссылается на процедуру; ADR-001 ORCH-040 опц. получает forward-ссылку.
+
+## 4. Изменения API
+
+Нет новых обязательных эндпоинтов. **Опционально** (наблюдаемость, решает архитектор):
+- расширить `GET /queue` read-only блоком `fs_ownership` (`{enabled, target_uid, mismatch, roots, checked_at}`);
+- ручной триггер `POST /fs-normalize/check` (форс-пересчёт детекта) — по образцу `POST /serial-gate/unfreeze`.
+
+## 5. Изменения схемы БД
+
+Нет. Состояние детекта — в памяти (TTL-кэш), как `preflight`. Таблицы/миграции/индексы не вводятся.
+
+## 6. Требования к новым/изменённым QG checks
+
+Нет. Это **не** stage-гейт и **не** под-гейт ребра. `QG_CHECKS` / `check_*` / `STAGE_TRANSITIONS` /
+machine-verdict-ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/
+`coverage_status:`) — не трогаются. (В описании баг-репорта «deploy-гейт ORCH-040» — это деплой-хук/
+процедура, а не зарегистрированный QG.)
+
+## 7. Совместимость / регресс
+
+- **Kill-switch** `ORCH_FS_NORMALIZE_ENABLED` (дефолт по решению архитектора; `False` → весь код инертен,
+  поведение 1:1 как до ORCH-057).
+- **Scope** `ORCH_FS_NORMALIZE_REPOS` (CSV; пусто → **self-hosting only**, как `coverage_gate_repos` →
+  enduro-trails не затронут). Локальный `applies(repo)` проверяется ПЕРВЫМ (дешёвый обход только при applies).
+- **Флаги** (рабочие имена, финал — за архитектором): `ORCH_FS_TARGET_UID` (дефолт 1000),
+  `ORCH_FS_NORMALIZE_AUTO` (дефолт `False` — детект-only; `True` → попытка chown при наличии прав),
+  `ORCH_FS_SCAN_ROOTS` (CSV переопределения корней), `ORCH_FS_SCAN_CACHE_TTL_S`.
+- **Never-raise / fail-safe** — ошибка детекта/нормализации деградирует в WARNING, не блокирует старт
+  сервиса по своей вине; FR-1 меняет лишь **формулировку** ошибки worktree, не её факт.
+- **Self-hosting** (NFR-1) — код только читает/детектит/диагностирует (и chown ТОЛЬКО при наличии прав);
+  не деплоит/не рестартит прод/не трогает `main`. Любое касание `docker-compose.yml`/entrypoint требует
+  staging-прогона (8501) перед прод-рестартом в окно тишины.
+- **Обратимость** — выкл kill-switch → прежнее поведение; миграций/правки схемы нет.
+- **Пайплайн-артефакты:** обновляются `01..04` (analysis), `06-adr/`+`07-infra-requirements.md`+`10-tech-risks.md`
+  (architecture), `12/13/15/14` (review/testing/staging/deploy), `INFRA.md`, `CHANGELOG.md`.
--- a/docs/work-items/ORCH-057/03-acceptance-criteria.md
+++ b/docs/work-items/ORCH-057/03-acceptance-criteria.md
@@ -0,0 +1,99 @@
+---
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-057 — нормализация legacy root-owned файлов
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам репозитория.
+
+---
+
+## AC-1 — Конвейер стартует без ручного chown (или внятная блокирующая ошибка)
+
+**Условие:** после миграции контейнера на новый uid первый job не падает сырым git-фаталом на launch.
+- **PASS:** при нормализованных правах worktree создаётся и агент стартует; при НЕнормализованных
+  правах конвейер выдаёт понятную блокирующую ошибку с диагнозом и лечащей командой (НЕ сырой
+  `fatal: could not create leading directories … Permission denied`).
+- **FAIL:** на launch всплывает сырой git-fatal/Permission denied без диагноза причины и инструкции.
+
+---
+
+## AC-2 — `ensure_worktree` даёт actionable-ошибку при отказе доступа
+
+**Условие:** `src/git_worktree.py::ensure_worktree` классифицирует ошибки прав.
+- **PASS:** при `Permission denied`/`could not create leading directories`/`insufficient permission`
+  поднимается `RuntimeError`, текст которого называет причину (legacy root-файлы в `/repos/_wt`/`.git`
+  после миграции uid) и указывает команду/ссылку на процедуру; ошибки, не связанные с правами,
+  сохраняют прежний контракт.
+- **FAIL:** сырой git stderr пробрасывается без диагноза; либо подменяется смысл не-прав-ошибок;
+  либо `ensure_worktree` падает необработанно.
+
+---
+
+## AC-3 — Детект несоответствия владельца
+
+**Условие:** новый леаф `src/fs_normalize.py` обнаруживает файлы с `uid != target_uid` в корнях
+(`/repos/_wt`, `<repo>/.git/objects`, `<repo>/.git/worktrees`, `data/runs`).
+- **PASS:** на среде с root-файлами `scan_ownership` возвращает mismatch=True + затронутые корни;
+  на чистой (`1000:1000`) среде — mismatch=False (no-op, идемпотентно); леаф never-raise.
+- **FAIL:** mismatch не обнаружен на грязной среде / ложный mismatch на чистой / леаф бросает наружу.
+
+---
+
+## AC-4 — Наблюдаемость детекта
+
+**Условие:** результат детекта виден оператору без падения задачи.
+- **PASS:** при mismatch — структурный лог-WARNING (число/корни/лечащая команда) и Telegram (если
+  включён); опц. read-only отражение в `GET /queue`.
+- **FAIL:** mismatch обнаружен, но никак не сообщён; оператор узнаёт о проблеме только по упавшей задаче.
+
+---
+
+## AC-5 — Self-hosting безопасность и нулевая регрессия enduro-trails
+
+**Условие:** изменение безопасно для общего инстанса.
+- **PASS:** код не рестартит/не роняет прод, не трогает `main`/force-push/прод-образ; chown — только
+  при наличии прав; при выключенном kill-switch поведение 1:1 как до ORCH-057; при пустом scope-CSV
+  feature активен только для self-hosting (enduro-trails не затронут); регресс `pytest tests/ -q` зелёный.
+- **FAIL:** любой рестарт/деградация прода из кода задачи; ненулевая регрессия enduro-trails;
+  поведение меняется при выключенном флаге; падение всего регресса.
+
+---
+
+## AC-6 — Инварианты конвейера сохранены
+
+**Условие:** изменение аддитивно.
+- **PASS:** `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, machine-verdict-ключи и схема БД —
+  байт-в-байт прежние; новые флаги аддитивны и обратимы.
+- **FAIL:** затронут любой exit/под-гейт, изменён machine-key, добавлена миграция схемы.
+
+---
+
+## AC-7 — Документированная процедура нормализации
+
+**Условие:** процедура воспроизводима.
+- **PASS:** `INFRA.md` содержит раздел «Миграция uid: обязательная нормализация legacy root-файлов»
+  с точными командами (`_wt`, оба `.git`, `data/runs`) как обязательный шаг миграции; ADR ORCH-057
+  фиксирует решение и ссылается на процедуру.
+- **FAIL:** процедура отсутствует/абстрактна (как было в ORCH-040) либо не покрывает все корни.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1 / FR-1, FR-3 |
+| AC-2 | BR-1, BR-5 / FR-1 |
+| AC-3 | BR-2 / FR-2 |
+| AC-4 | BR-4 / FR-3 |
+| AC-5 | NFR-1, NFR-2, NFR-5 / FR-4 |
+| AC-6 | NFR-5 (инварианты) |
+| AC-7 | BR-3 / FR-5 |
--- a/docs/work-items/ORCH-057/04-test-plan.yaml
+++ b/docs/work-items/ORCH-057/04-test-plan.yaml
@@ -0,0 +1,92 @@
+work_item: ORCH-057
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+title: "Нормализация legacy root-owned файлов при миграции на uid 1000 (детект + защита worktree)"
+framework: pytest
+scope: >
+  Покрывается: классификация ошибки прав в ensure_worktree (внятная actionable-ошибка),
+  детект несоответствия владельца (fs_normalize.scan_ownership), идемпотентность на чистой среде,
+  fail-safe/never-raise, scope/kill-switch (self-hosting only при пустом CSV), опц. self-heal-noop
+  без прав. ВНЕ покрытия: реальный chown под root (требует привилегий — проверяется на staging
+  вручную), правка docker-compose/entrypoint (инфра, ручная проверка на 8501).
+notes: >
+  Все FS-зависимые тесты используют tmp_path и monkeypatch os.getuid/os.stat — без реального chown
+  и без записи в /repos. Telegram/Plane мокаются. Полный регресс tests/ должен оставаться зелёным;
+  STAGE_TRANSITIONS/QG_CHECKS/схема БД не затрагиваются — отдельные guard-тесты не требуются, но
+  существующие тесты на инварианты должны пройти без изменений.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "ensure_worktree при git-fatal 'could not create leading directories / Permission denied' поднимает RuntimeError с диагнозом legacy-root + лечащей командой, а не сырой git stderr"
+    module: tests/test_git_worktree_perm.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "ensure_worktree при ошибке, НЕ связанной с правами (например branch conflict), сохраняет прежний контракт сообщения (не подменяет смысл)"
+    module: tests/test_git_worktree_perm.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "scan_ownership на дереве с файлом uid != target_uid возвращает mismatch=True и список затронутых корней"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "scan_ownership на чистом дереве (все файлы target_uid) возвращает mismatch=False (идемпотентный no-op)"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "scan_ownership never-raise: при недоступном/несуществующем корне деградирует в WARNING и не бросает наружу"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "applies(repo): пустой ORCH_FS_NORMALIZE_REPOS → True только для self-hosting репо (orchestrator), False для enduro-trails; непустой CSV — по списку"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "kill-switch ORCH_FS_NORMALIZE_ENABLED=False → scan/normalize инертны (no-op), поведение 1:1 как до ORCH-057"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "normalize без прав (uid 1000, чужие root-файлы, ORCH_FS_NORMALIZE_AUTO=True) → no-op + честный лог 'нужна операторская процедура', НЕ исключение"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "TTL-кэш детекта: повторный вызов в окне TTL не пере-сканирует дерево (по образцу preflight._cache); force/reset инвалидирует"
+    module: tests/test_fs_normalize.py
+    expected: PASS
+
+  - id: TC-10
+    type: integration
+    description: "startup-хук lifespan при mismatch вызывает send_telegram (мок) и логирует WARNING; при ошибке детекта старт сервиса не падает (never-fatal)"
+    module: tests/test_fs_normalize_startup.py
+    expected: PASS
+
+  - id: TC-11
+    type: integration
+    description: "опц. гейт claim'а: при обнаруженном mismatch без прав исход job внятный (FR-1-сообщение / не-claim) ДО launch, а не сырой git-fatal"
+    module: tests/test_fs_normalize_startup.py
+    expected: PASS
+
+  - id: TC-12
+    type: integration
+    description: "GET /queue (если реализован read-only блок fs_ownership) отдаёт {enabled,target_uid,mismatch,roots,checked_at} и не 5xx-ит при выключенном флаге"
+    module: tests/test_api_queue.py
+    expected: PASS
--- a/docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md
+++ b/docs/work-items/ORCH-057/06-adr/ADR-001-legacy-ownership-normalization.md
@@ -0,0 +1,210 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Нормализация legacy root-owned файлов при миграции на uid 1000 — детект + actionable-ошибка + процедура
+
+Work Item: **ORCH-057** — follow-up ORCH-040 (legacy `root:root` файлы в `/repos` ломают создание worktree под uid 1000)
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`** (новый
+leaf-компонент + startup-поведение, затрагивает весь инстанс → кросс-каттинг).
+
+## Статус
+Proposed
+
+## Контекст
+
+ORCH-040 перевёл оба контейнера на `user: "1000:1000"`, изменив **только** `docker-compose.yml`.
+Смена `user:` не меняет владельца уже существующих файлов, созданных прежним root-контейнером.
+Bind-mount `/home/slin/repos → /repos` содержал `root:root` каталоги (`_wt/`, старые worktree,
+`.git/objects`, `data/runs` — 37 root-логов).
+
+**Сверено по коду:**
+- `src/git_worktree.py::ensure_worktree` (стр. 78 `os.makedirs(os.path.dirname(wt))`, стр. 81/85
+  `git worktree add`) — точка реального падения. При `root:root` владельце `/repos/_wt/` uid 1000
+  не может создать рядом новый каталог worktree → `fatal: could not create leading directories …
+  Permission denied`. Сейчас этот stderr пробрасывается «сырым» в `RuntimeError` (стр. 90–93) без
+  диагноза причины.
+- Конвейер приходит сюда из `src/agents/launcher.py::_spawn` и `_materialize_deferred_branch`
+  (ORCH-088, отложенный срез ветки на момент claim analyst-job). **Агент не стартует** — падает
+  создание worktree (НЕ код задачи), т.е. это launch-time инфраструктурный сбой.
+- Контейнер бежит под numeric uid 1000 **без root** (ORCH-040 P-3, ORCH-058 реальный user `slin`
+  в образе). Под uid 1000 `chown` чужих (root) файлов **невозможен** без `CAP_CHOWN`. Значит код
+  физически не может «починить» права сам — ему доступны только **детект + диагностика**, а
+  фактический `chown` — операторская процедура.
+- ADR-001 ORCH-040 упоминал «массовый chown старых root-файлов» лишь абстрактно («вне объёма кода»,
+  «разовая операция Owner») и не дал конкретной процедуры → deployer её не выполнил → баг проявился
+  в проде 06.06 на первом запуске ORCH-043. Прод сейчас рабочий (ручной workaround Стрима наложен),
+  но проблема **воспроизводится** на чистой среде / новом репо / после любого исторического запуска
+  под root.
+
+Это **закрытие недоделанного AC ORCH-040**, а не новая фича. Существующие гейты/паттерны для опоры:
+условный leaf-гейт `coverage_gate`/`serial_gate` (kill-switch + scope + `is_self_hosting_repo`),
+best-effort startup-хуки в `main.lifespan` (lease-reclaim, log-rotation — never-fatal),
+read-only снимки `GET /queue` (`serial_gate.snapshot()`), TTL-кэш `preflight._cache`.
+
+## Решение
+
+### Сводка
+Три аддитивных, обратимых kill-switch'ем слоя, **без** изменения `STAGE_TRANSITIONS` / `QG_CHECKS` /
+`check_*` / machine-verdict-ключей / схемы БД:
+
+1. **Actionable-ошибка** в `ensure_worktree` — класс «нет прав на создание worktree» распознаётся и
+   превращается в диагностируемый `RuntimeError` с причиной + лечащей командой (FR-1).
+2. **Детект-леаф** `src/fs_normalize.py` — чистый, never-raise, TTL-кэшируемый обход корней, ищет
+   файлы с `uid != target_uid` (FR-2); вызывается best-effort на старте сервиса с наблюдаемостью
+   (FR-3).
+3. **Операторская процедура** в `INFRA.md` + forward-breadcrumb из ADR-040 — точные команды разовой
+   нормализации как обязательный шаг миграции uid (FR-5).
+
+Фактический `chown` остаётся **операторской процедурой** (NFR-1: код под uid 1000 без root его делать
+не может и не должен).
+
+### D1 — `ensure_worktree`: классификация отказа доступа (FR-1, AC-1, AC-2)
+Оборачиваем **обе** точки сбоя по правам — `os.makedirs(os.path.dirname(wt))` (стр. 78) и оба
+`git worktree add` (стр. 81/85). Класс «нет прав» детектируется по маркерам в `stderr`/исключении:
+`Permission denied`, `could not create leading directories`, `insufficient permission for adding an
+object`, `PermissionError` (errno `EACCES`/`EPERM`). При совпадении — `RuntimeError`, текст которого:
+(а) называет корневую причину («legacy root-owned файлы в `/repos/_wt` или `.git` после миграции uid
+ORCH-040»); (б) указывает лечащую команду (`chown -R <target_uid>:<gid> /repos/_wt …`) и ссылку на
+раздел INFRA.md; (в) **не** является сырым git stderr.
+
+**Инвариант контракта (AC-2 FAIL-условие):** ошибки, **не** связанные с правами (реальный git-конфликт,
+отсутствие `origin/main`, таймаут), сохраняют **прежний** текст/смысл — никакой подмены. Классификатор —
+чистая функция `classify_worktree_error(stderr_or_exc) -> bool` (или хелпер в `fs_normalize`),
+покрытая юнит-тестами на обе ветки. Помощь-сообщение строится только при `True`. Это **меняет лишь
+формулировку** ошибки, не её факт (NFR-3): worktree как падал, так и падает — но теперь внятно.
+
+### D2 — Детект-леаф `src/fs_normalize.py` (FR-2, AC-3)
+Новый чистый модуль по образцу `serial_gate`/`post_deploy` (импортирует только `config`/`logging`/
+`os`/`pwd`; не тянет `stage_engine`/`launcher`). API:
+
+- `scan_ownership(roots: list[str] | None = None, target_uid: int | None = None) -> OwnershipScan` —
+  обходит корни, возвращает `{mismatch: bool, target_uid: int, roots_checked: list, roots_mismatch:
+  list, sample_path: str | None, count: int | None, checked_at: float}`.
+- **`target_uid`** по умолчанию = `os.getuid()` (uid, под которым реально бежит процесс — ровно тот
+  субъект, что «не может создать файл»); переопределяется `fs_target_uid` (дефолт 1000) для тестов/
+  нестандартного рантайма.
+- **Корни** по умолчанию: `/repos/_wt`, `<repo>/.git/objects`, `<repo>/.git/worktrees` (для репо из
+  скоупа), `data/runs` (`os.path.dirname(settings.db_path)/runs`). Переопределяемы `fs_scan_roots`
+  (CSV).
+- **Дешевизна (риск стоимости обхода):** **ранний выход при первом mismatch** (для быстрого булева
+  вердикта `os.lstat(...).st_uid != target_uid`). Полный `count` — опционален/семплирован (отдельный
+  дешёвый режим, по умолчанию выключен), чтобы не обходить целиком большие `.git/objects`. Результат
+  **кэшируется по TTL** `fs_scan_cache_ttl_s` (паттерн `preflight._cache`, `force=` обходит кэш).
+- **never-raise (NFR-3):** любая ошибка обхода (исчезнувший путь, отказ stat) → деградирует в WARNING
+  и консервативный вердикт `mismatch=False` (не блокирует и не паникует); идемпотентно (AC-3:
+  повторный скан на чистой среде — `mismatch=False`, no-op).
+- **`applies(repo: str) -> bool`** — `fs_normalize_enabled` (kill-switch) И scope (`fs_normalize_repos`
+  CSV; пусто → `is_self_hosting_repo(repo)`, как `coverage_gate`); проверяется **ПЕРВЫМ**, дорогой
+  обход — только при `applies==True` (NFR-2: enduro-trails не сканируется при пустом CSV).
+- **`snapshot() -> dict`** — read-only для `GET /queue`.
+
+### D3 — Точка интеграции: startup-наблюдаемость, БЕЗ блокировки claim (FR-3 — разрешение открытого выбора TRZ)
+TRZ §2 оставил архитектору выбор «preflight vs queue_worker» для опц. гейта claim'а. **Решение:
+claim НЕ блокируем.**
+
+- **Startup (`main.lifespan`):** best-effort вызов `scan_ownership()` рядом с lease-reclaim/log-rotation
+  (стр. 63–90), обёрнут `try/except` (never-fatal). При `mismatch` — структурный WARNING (число/корни/
+  лечащая команда) + Telegram (если включён). Это даёт оператору **проактивный сигнал заранее**
+  (AC-4), не дожидаясь падения задачи.
+- **«Внятно и заранее» обеспечивает D1, а не claim-гейт.** `ensure_worktree` знает `repo` и падает
+  до того, как агент потратит хоть один токен (агент не стартует). Это и есть требуемый ранний внятный
+  исход.
+
+**Почему НЕ блокирующий claim-гейт (отвергнуто):**
+- `preflight.check()` **не знает repo** и гейтит claim **всех** репо → при mismatch в общем `/repos/_wt`
+  заблокировал бы и enduro-trails (нарушение NFR-2 при включённом флаге). Сделать его scope-aware
+  внутри preflight нельзя без знания репо в точке вызова.
+- Гейт в `queue_worker`/`db.claim_next_job` (как `serial_gate`) технически scope-aware, но: (1)
+  оставил бы задачу «молча висеть» в очереди вместо явного диагноза; (2) добавил бы дорогой FS-обход
+  в offline hot-path claim'а; (3) дублировал бы исход, который D1 уже даёт внятно. Лишняя поверхность
+  без выигрыша.
+
+Итог: **детект = наблюдаемость (startup + опц. ручной POST), а внятный отказ = D1 в точке launch.**
+
+### D4 — Опциональная авто-нормализация `normalize()` (FR-4) — не init-контейнер
+`fs_normalize.normalize(roots, target_uid)` выполняет `os.chown`/`chown -R` по корням **только если
+процесс имеет `CAP_CHOWN`/root**. Под uid 1000 без прав — **no-op + честный лог** «нужна операторская
+процедура» (НЕ ошибка). Включается отдельным флагом `fs_normalize_auto` (дефолт `False` — детект-only).
+
+**Init-контейнер/root-entrypoint отвергнут (см. Альтернативы):** он (а) реинтродуцирует root-контекст,
+ровно который ORCH-040 убрал ради безопасности; (б) требует правки `docker-compose.yml`/entrypoint →
+**self-deploy** с групповым риском (NFR-1) и обязательной staging-страховкой ради разовой задачи;
+(в) discretionary по BRD §2 «Опционально». Носитель реальной нормализации — **документированная
+операторская процедура** (D5), запускаемая под root **на хосте** один раз при миграции uid.
+
+### D5 — Процедура в INFRA.md + forward-breadcrumb (FR-5, AC-7)
+В `docs/operations/INFRA.md` (раздел «Рантайм-uid (ORCH-040)») добавляется подраздел **«Миграция uid:
+обязательная нормализация legacy root-файлов»** с точными командами, покрывающими **все** корни
+(`_wt`, оба `.git`, `data/runs`), помеченный как **обязательный** шаг миграции uid и пункт чеклиста
+деплоя self. Существующий абстрактный буллет (стр. 50–51) заменяется ссылкой на новый подраздел.
+В ADR-040 — необязательный forward-breadcrumb на ORCH-057 (история ORCH-040 не переписывается, §2 BRD).
+
+### D6 — Конфиг-флаги (TRZ §7) и наблюдаемость
+Аддитивно в `src/config.py` (существующие значения не трогаются):
+
+| Флаг (env) | Дефолт | Смысл |
+|------------|--------|-------|
+| `fs_normalize_enabled` (`ORCH_FS_NORMALIZE_ENABLED`) | `True` | kill-switch; `False` → весь код инертен, поведение 1:1 как до ORCH-057 (D1 тоже гардится — при выкл. контракт ошибки прежний) |
+| `fs_normalize_repos` (`ORCH_FS_NORMALIZE_REPOS`) | `""` | scope CSV; пусто → self-hosting only (`is_self_hosting_repo`) |
+| `fs_target_uid` (`ORCH_FS_TARGET_UID`) | `1000` | целевой uid (фолбэк, если `os.getuid()` неприменим) |
+| `fs_normalize_auto` (`ORCH_FS_NORMALIZE_AUTO`) | `False` | детект-only; `True` → попытка chown при наличии прав (D4) |
+| `fs_scan_roots` (`ORCH_FS_SCAN_ROOTS`) | `""` | CSV-переопределение корней |
+| `fs_scan_cache_ttl_s` (`ORCH_FS_SCAN_CACHE_TTL_S`) | `300` | TTL детект-кэша |
+
+Наблюдаемость (AC-4): read-only блок `fs_ownership` в `GET /queue` (`snapshot()`:
+`{enabled, target_uid, mismatch, roots_checked, roots_mismatch, checked_at}`); опц. ручной триггер
+`POST /fs-normalize/check` (форс-пересчёт, по образцу `POST /serial-gate/unfreeze`). Telegram при
+mismatch — с кликабельным номером задачи (если в контексте есть `work_item_id`), числом/корнями,
+лечащей командой.
+
+## Альтернативы
+- **Init-контейнер / root-entrypoint, выполняющий `chown` на буте** — отвергнуто: реинтродуцирует
+  root-контекст (анти-цель ORCH-040), требует правки `docker-compose.yml`/entrypoint = self-deploy +
+  групповой риск + обязательная staging-страховка ради одноразовой операции; BRD помечает его
+  «Опционально». Реальную нормализацию несёт документированная разовая операторская процедура.
+- **Блокирующий claim-гейт в `preflight`** — отвергнуто: preflight не знает repo → блокирует claim
+  ВСЕХ репо, регресс enduro-trails на общем `/repos` (нарушение NFR-2).
+- **Блокирующий claim-гейт в `queue_worker`/`claim_next_job`** — отвергнуто: дорогой FS-обход в
+  offline hot-path, «молчаливое зависание» вместо внятного диагноза, дублирует исход D1.
+- **Авто-`chown` из app-кода по умолчанию** — отвергнуто: под uid 1000 невозможен; включение по
+  умолчанию создавало бы ложное ожидание самолечения. Оставлен как opt-in `fs_normalize_auto` для
+  сред, где процесс имеет CAP_CHOWN.
+- **Жёсткий fail на старте при mismatch** — отвергнуто: нарушает never-raise (NFR-3) и мог бы
+  застопорить старт сервиса всех проектов из-за грязного `/repos`. Детект — only WARNING/Telegram.
+
+## Последствия
+- **+** Класс «сырой git-fatal на launch после миграции uid» закрыт: оператор получает внятный
+  диагноз + лечащую команду в точке падения (D1) и проактивный сигнал на старте (D3).
+- **+** Воспроизводимая процедура в INFRA.md закрывает пробел ADR-040 (AC-7).
+- **+** Нулевая регрессия enduro-trails (scope `applies()` first, пустой CSV → self-hosting only);
+  `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема БД — байт-в-байт прежние (AC-6).
+- **+** Никакого root-контекста, рестарта прода, касания `main`/force-push/прод-образа (NFR-1, AC-5).
+- **−** Фактический `chown` остаётся **ручным** операторским шагом — на средах, где его забыли, баг
+  всё ещё проявится, но теперь **внятно** (с инструкцией), а не сырым git-fatal. Митигейшн:
+  startup-WARNING+Telegram + обязательный пункт чеклиста миграции в INFRA.md.
+- **−** Ещё один best-effort startup-хук + leaf-модуль (рост поверхности). Митигейшн: чистый
+  never-raise leaf, TTL-кэш, ранний выход обхода, kill-switch.
+- **−** `fs_normalize_auto=True` под root реинтродуцирует chown-контекст — поэтому дефолт `False` и
+  он не для прод-self (прод бежит под uid 1000).
+- **Откат:** `fs_normalize_enabled=False` → весь код инертен (D1 контракт ошибки прежний, детект не
+  запускается); миграций/правки схемы нет → мгновенный обратимый kill-switch.
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-057/01-brd.md`
+- TRZ: `docs/work-items/ORCH-057/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-057/03-acceptance-criteria.md`
+- Инфра: `docs/work-items/ORCH-057/07-infra-requirements.md`
+- Риски: `docs/work-items/ORCH-057/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0031-legacy-ownership-normalization.md`
+- Сверено по коду: `src/git_worktree.py` (`ensure_worktree` стр. 78/81/85/90), `src/preflight.py`
+  (TTL-кэш), `src/main.py` (`lifespan` стр. 63–114), `src/serial_gate.py` / `src/coverage_gate.py`
+  (паттерн условного leaf `applies`/scope/`is_self_hosting_repo`).
+- Предшественник: `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md`,
+  `docs/architecture/adr/adr-0005-container-runs-as-host-uid.md`.
--- a/docs/work-items/ORCH-057/07-infra-requirements.md
+++ b/docs/work-items/ORCH-057/07-infra-requirements.md
@@ -0,0 +1,63 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 07 — Инфра-требования: ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: architecture
+
+> When-applicable. Топология контейнеров **не меняется** (init-контейнер/правка `docker-compose.yml`
+> отвергнуты — ADR-001 D4). Файл фиксирует новые env-флаги и **обязательную операторскую процедуру**
+> нормализации legacy root-файлов как шаг миграции uid.
+
+## I-1. Топология / окружения
+**Без изменений.** Контейнеры `orchestrator` (8500) / `orchestrator-staging` (8501), `user:
+"1000:1000"`, bind-mount `/home/slin/repos → /repos`, `network_mode: host` — как есть. Init-контейнер
+/ root-entrypoint **сознательно НЕ вводятся** (реинтродуцировали бы root-контекст, убранный ORCH-040,
+и потребовали бы self-deploy compose с групповым риском — ADR-001 D4, Альтернативы).
+
+## I-2. Переменные окружения / секреты
+Новые env-флаги (аддитивно в `src/config.py`, дефолты сохраняют поведение до ORCH-057). Добавить в
+`.env.example` (секретов нет):
+
+| Env | Дефолт | Назначение |
+|-----|--------|------------|
+| `ORCH_FS_NORMALIZE_ENABLED` | `true` | kill-switch всего слоя ORCH-057 |
+| `ORCH_FS_NORMALIZE_REPOS` | `` (пусто) | scope CSV; пусто → self-hosting only (enduro не затронут) |
+| `ORCH_FS_TARGET_UID` | `1000` | целевой uid (фолбэк к `os.getuid()`) |
+| `ORCH_FS_NORMALIZE_AUTO` | `false` | детект-only; `true` → попытка chown при наличии CAP_CHOWN |
+| `ORCH_FS_SCAN_ROOTS` | `` (пусто) | CSV-переопределение корней обхода |
+| `ORCH_FS_SCAN_CACHE_TTL_S` | `300` | TTL детект-кэша |
+
+Секреты не вводятся.
+
+## I-3. Деплой / рестарт
+- **Self-hosting инвариант (NFR-1):** код задачи **не** рестартит/не роняет прод-контейнер
+  `orchestrator`, не трогает `main`/force-push/прод-образ. `chown` из кода возможен лишь при наличии
+  прав (под uid 1000 — no-op).
+- Изменение **только** `src/**` + docs → штатный деплой self **через staging-гейт (8501)**, затем
+  прод-рестарт **в окно тишины** (`GET /status` без активных задач). Правки `docker-compose.yml`/
+  entrypoint в задаче **нет** → нет дополнительного инфра-риска сверх обычного self-деплоя.
+- **Обязательная операторская процедура нормализации (host-prerequisite миграции uid)** — выполняется
+  **под root на хосте mva154 один раз** при миграции uid / на новой среде, ПЕРЕД стартом app.
+  Каноничный текст — в `docs/operations/INFRA.md` (раздел «Миграция uid: обязательная нормализация
+  legacy root-файлов»). Команды покрывают все корни:
+  ```
+  sudo chown -R 1000:1000 /home/slin/repos/_wt
+  sudo chown -R 1000:1000 /home/slin/repos/orchestrator/.git \
+                          /home/slin/repos/enduro-trails/.git
+  sudo chown -R 1000:1000 /home/slin/repos/orchestrator        # incl. data/runs/*.log
+  # Проверка: find /home/slin/repos/_wt ! -uid 1000 -print -quit   (пусто = ок)
+  ```
+  Идемпотентна (повтор на корректной среде — no-op). Помечена обязательным пунктом чеклиста
+  деплоя/миграции self.
+
+## I-4. CI/CD
+Без изменений в `.gitea/workflows/`. Новые юнит-тесты (`tests/test_fs_normalize.py`,
+`tests/test_git_worktree_perm_error.py` — см. `04-test-plan.yaml`) гоняются существующим
+`pytest tests/ -q`. Новых системных зависимостей образа нет.
--- a/docs/work-items/ORCH-057/10-tech-risks.md
+++ b/docs/work-items/ORCH-057/10-tech-risks.md
@@ -0,0 +1,37 @@
+---
+work_item: ORCH-057
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-057 — нормализация legacy root-owned файлов при миграции на uid 1000
+
+Work Item: **ORCH-057** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | **Ложная классификация ошибки worktree** (D1): не-прав-ошибка распознана как «нет прав» → подмена смысла (FAIL AC-2). | Низ. | Сред. | Узкий набор маркеров (`Permission denied`/`could not create leading directories`/`insufficient permission`/`EACCES`/`EPERM`); классификатор — чистая функция с юнит-тестами на обе ветки; не-совпадение → прежний сырой текст без изменений. |
+| TR-2 | **Дорогой рекурсивный обход** больших `.git/objects` / `_wt` тормозит старт сервиса. | Сред. | Сред. | Ранний выход при первом mismatch (булев вердикт); полный `count` опционален/семплирован; TTL-кэш (`fs_scan_cache_ttl_s`); вызов best-effort на старте, не в hot-path claim'а; `applies()` first → обход только при applies. |
+| TR-3 | **Ложно-блокирующий эффект на enduro-trails** через общий `/repos`. | Низ. | Выс. | Claim НЕ блокируется (D3 — только наблюдаемость); scope `applies()` first, пустой CSV → self-hosting only → enduro не сканируется; детект never-raise. |
+| TR-4 | **Забытый ручной `chown`**: на среде без выполненной процедуры баг всё ещё проявится. | Сред. | Сред. | Теперь проявляется **внятно** (D1 actionable-ошибка + startup WARNING/Telegram, не сырой git-fatal); процедура — обязательный пункт чеклиста миграции в INFRA.md; идемпотентна. Остаточный риск принят (код под uid 1000 не может chown). |
+| TR-5 | **`fs_normalize_auto=True` под root** реинтродуцирует chown-контекст / неожиданный массовый chown. | Низ. | Сред. | Дефолт `False`; прод-self бежит под uid 1000 (chown = no-op); auto-режим — opt-in для сред с CAP_CHOWN; init-контейнер отвергнут (ADR-001 D4). |
+| TR-6 | **never-raise дыра**: необработанное исключение детекта роняет старт сервиса всех проектов. | Низ. | Выс. | Леаф never-raise (паттерн `serial_gate`/`post_deploy`); startup-вызов в `try/except` (как lease-reclaim/log-rotation); ошибка → WARNING + консервативный `mismatch=False`. |
+| TR-7 | **`os.getuid()` неприменим** в нестандартном рантайме → неверный target_uid → ложный mismatch. | Низ. | Низ. | Фолбэк `fs_target_uid` (дефолт 1000); идемпотентность скана; вердикт only-наблюдательный (не блокирует). |
+| TR-8 | **Кэш устарел** после выполнения нормализации → stale `mismatch=True` в `GET /queue`. | Низ. | Низ. | TTL-инвалидизация; ручной `POST /fs-normalize/check` (`force=True`) для немедленного пересчёта. |
+
+## Сводный вывод
+Доминирующий класс — **операционные риски разовой нормализации**, а не алгоритмические: код только
+читает/детектит/диагностирует (chown — операторская процедура под root на хосте). Самостоятельный
+техдолг (TR-4) — остаточный и **принят**: контейнер без root физически не может починить права сам;
+решение гарантирует **внятность** отказа, а не его отсутствие. Self-hosting-безопасность соблюдена
+(никакого рестарта прода / касания `main` / root-контекста в коде). Изменение аддитивно и обратимо
+kill-switch'ем → **эскалация `arch:major-change` НЕ требуется** (нет новой стадии/QG/таблицы/смены
+топологии). Возврат в анализ не нужен — ТЗ удовлетворяется без нарушения принципов архитектуры.
+Остаточный риск для прод-конвейера — **низкий**.
--- a/docs/work-items/ORCH-057/12-review.md
+++ b/docs/work-items/ORCH-057/12-review.md
@@ -0,0 +1,105 @@
+---
+verdict: APPROVED
+work_item: ORCH-057
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-057
+version: 1
+---
+
+# Review ORCH-057
+
+## Summary
+
+Follow-up ORCH-040: закрыт недоделанный AC по legacy `root:root` файлам, ломавшим создание
+worktree под uid 1000. Реализованы три аддитивных, обратимых kill-switch'ем слоя ровно по ADR-001:
+**D1** actionable-ошибка в `ensure_worktree`, **D2** детект-леаф `src/fs_normalize.py`
+(never-raise, TTL-кэш, scope-aware), **D3** best-effort startup-наблюдаемость в `main.lifespan`
+(WARNING + Telegram, claim не блокируется), плюс `GET /queue` блок `fs_ownership` и
+`POST /fs-normalize/check`. Документация (INFRA.md процедура, architecture/README.md, сквозной
+adr-0031, CHANGELOG, .env.example) обновлена в том же PR.
+
+Проверено по 4 осям; все 7 AC выполнены, P0/P1 findings нет. Регресс `pytest tests/ -q` —
+**1507 passed**; целевые модули (`test_fs_normalize`, `test_fs_normalize_startup`,
+`test_git_worktree_perm`, `test_api_queue`) — **25 passed**, покрывают TC-01…TC-12.
+
+## Соответствие ТЗ (02-trz) и AC (03-acceptance-criteria)
+
+- **FR-1 / AC-1, AC-2** ✓ — `git_worktree._raise_if_permission` + `fs_normalize.is_permission_failure`/
+  `build_worktree_help`: класс «нет прав» (`Permission denied`/`could not create leading directories`/
+  `insufficient permission`/`PermissionError`/`EACCES`/`EPERM`) → actionable `RuntimeError` с причиной,
+  `chown`-командой и ссылкой на INFRA.md. Обе точки сбоя обёрнуты (`os.makedirs` + оба `worktree add`).
+  Не-прав-ошибки сохраняют прежний raw-контракт (TC-02 PASS). Под kill-switch — no-op, контракт 1:1.
+- **FR-2 / AC-3** ✓ — `scan_ownership` обходит `/repos/_wt`, `<repo>/.git/{objects,worktrees}`,
+  `data/runs`; ранний выход на первом `lstat.st_uid != target_uid`; чистая среда → `mismatch=False`
+  идемпотентно; never-raise → консервативный `mismatch=False` (TC-03/04/05).
+- **FR-3 / AC-4** ✓ — startup-хук never-fatal: WARNING + Telegram при mismatch; claim не блокируется
+  (D3, преднамеренно — внятный ранний отказ даёт D1, знающий repo). Read-only блок `fs_ownership` в
+  `GET /queue` (TC-10/TC-12).
+- **FR-4** ✓ — `normalize()` chown только при `_is_privileged()` (geteuid==0); под uid 1000 — no-op +
+  честный лог, НЕ ошибка; gated `fs_normalize_auto` (дефолт False) (TC-08).
+- **FR-5 / AC-7** ✓ — INFRA.md: блокер P-5 + подраздел «Миграция uid: обязательная нормализация»
+  со всеми корнями; work-item ADR + сквозной adr-0031.
+- **§7 совместимость / AC-5** ✓ — `applies(repo)` first (kill-switch + scope; пустой CSV →
+  self-hosting only через `is_self_hosting_repo`); enduro-trails не сканируется при дефолте.
+  TTL-кэш (`fs_scan_cache_ttl_s`). Регресс зелёный (1507 passed).
+
+## Соответствие ADR
+
+- Реализация совпадает с ADR-001 D1–D6 (включая сознательный отказ от блокирующего claim-гейта и
+  init-контейнера — обоснование в «Альтернативах»). Сквозная регистрация adr-0031 присутствует и
+  отражена в architecture/README.md.
+- **Трассировка (AC-6 / TRACEABILITY):** инварианты конвейера не тронуты — commit `9852871` НЕ
+  затрагивает `src/stages.py`, `src/qg/checks.py`, `src/db.py`, `src/stage_engine.py`. Маркеры
+  ORCH-040/088 в `git_worktree`/`main` читаются, зафиксированные инварианты (never-fatal startup,
+  отложенный срез ветки) не сломаны. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема
+  БД — байт-в-байт прежние.
+
+## Качество кода
+
+- `src/fs_normalize.py` — чистый leaf (импортирует только `config`/`logging`/`os`/`time`,
+  лениво `qg.checks`/`notifications`); строгий never-raise на каждой публичной функции; docstrings
+  на всех публичных символах; `os.lstat` (не `stat`) для честной оценки симлинков. Зависимость
+  односторонняя (`git_worktree` → `fs_normalize`).
+- Узкий `_PERM_MARKERS` сознательно не реклассифицирует не-прав-ошибки (защита AC-2).
+- Тесты содержательны (214/136/139/68 строк), используют `tmp_path`/monkeypatch, без реального
+  chown и записи в `/repos`; покрывают обе ветки классификатора, идемпотентность, scope, kill-switch,
+  TTL-кэш, startup-never-fatal.
+- Утечек/секретов/security-дыр не выявлено; chown физически возможен только под root (`_is_privileged`).
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- Нет.
+
+### P3 — Nice-to-have (не блокирует)
+- [ ] `snapshot()` в `GET /queue` на холодном кэше инициирует реальный обход `.git/objects` синхронно
+  в обработчике запроса. На практике кэш прогрет startup-хуком и TTL=300s, обход только для
+  self-hosting — латентность пренебрежима, паттерн зеркалит `coverage_gate`. Можно при желании
+  отдавать в `/queue` только кэш без форс-скана. Информационно.
+
+## Документация
+
+Обновлена в том же PR — golden source синхронен с кодом:
+- `docs/operations/INFRA.md` — P-5 (блокер миграции uid) + подраздел процедуры со всеми корнями ✓
+- `docs/architecture/README.md` — компонент «FS ownership detect» (D1–D3, условность, наблюдаемость) ✓
+- `docs/architecture/adr/adr-0031-legacy-ownership-normalization.md` — сквозной ADR (tracked) ✓
+- `docs/work-items/ORCH-057/06-adr/ADR-001-…md` — work-item ADR ✓
+- `CHANGELOG.md` — запись ORCH-057 ✓
+- `.env.example` — 6 флагов `ORCH_FS_*` ✓
+
+`README.md` «Известные ограничения» (ORCH-079): пункт про legacy-ownership/uid-миграцию там
+отсутствует — закрывать/снимать нечего, обзорная витрина в обновлении не нуждается.
+
+**Вывод:** изменение `src/` сопровождено обновлением документации → требование правила 6
+выполнено.
--- a/docs/work-items/ORCH-057/13-test-report.md
+++ b/docs/work-items/ORCH-057/13-test-report.md
@@ -0,0 +1,94 @@
+---
+result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
+work_item: ORCH-057
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-057
+---
+
+# Test Report — ORCH-057
+
+Нормализация legacy root-owned файлов при миграции на uid 1000 (детект + защита worktree).
+Review-вердикт `12-review.md` — **APPROVED**, P0/P1 findings нет.
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8)
+- Дата: 2026-06-10
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-057-bug-follow-up-orch-040-normali`
+  (ветка `feature/ORCH-057-bug-follow-up-orch-040-normali`, тесты прогнаны из рабочего дерева
+  именно этой задачи, НЕ из общего `/repos/orchestrator`)
+
+## Smoke API (read-only, прод-контейнер 8500 не тронут)
+| Эндпоинт | Результат |
+|----------|-----------|
+| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
+| `GET /status` | OK — задача ORCH-057 (id 83) видна на стадии `testing` |
+| `GET /queue` | OK — присутствуют блоки `serial_gate` (ORCH-088) ✓ и `auto_labels` (ORCH-089) ✓ |
+
+> Примечание: блок `fs_ownership` (ORCH-057) на прод-контейнере 8500 **отсутствует** —
+> это ожидаемо: ORCH-057 ещё не задеплоен, прод исполняет предыдущий образ. Read-only блок
+> `fs_ownership` присутствует и протестирован в коде ветки (TC-12, `test_api_queue.py` PASS).
+> Это НЕ регресс смока: обязательные блоки `serial_gate` + `auto_labels` на месте.
+
+## Результаты
+
+### Полный регресс
+`pytest tests/ -q` → **1507 passed, 1 warning in 52.22s** (warning — Pydantic V2 deprecation,
+предсуществующий, не относится к ORCH-057). Прод-контейнер не трогался.
+
+### Профильные сюиты
+`pytest tests/test_git_worktree_perm.py tests/test_fs_normalize.py tests/test_fs_normalize_startup.py tests/test_api_queue.py -v`
+→ **25 passed** — покрывают TC-01…TC-12.
+
+### Сопоставление с тест-планом (04-test-plan.yaml)
+| TC ID | Описание | Тест-функция | Результат |
+|-------|----------|--------------|-----------|
+| TC-01 | `ensure_worktree` на git-fatal Permission denied → actionable RuntimeError | `test_git_worktree_perm::test_tc01_permission_git_fatal_becomes_actionable`, `test_tc01_makedirs_permission_error_becomes_actionable` | PASS |
+| TC-02 | не-прав-ошибка сохраняет прежний raw-контракт | `test_git_worktree_perm::test_tc02_non_permission_error_keeps_prior_contract`, `test_tc02_killswitch_off_keeps_raw_contract_even_for_permission` | PASS |
+| TC-03 | `scan_ownership` на дереве с uid≠target → mismatch=True + корни | `test_fs_normalize::test_tc03_scan_detects_mismatch` | PASS |
+| TC-04 | `scan_ownership` на чистом дереве → mismatch=False (идемпотентно) | `test_fs_normalize::test_tc04_clean_tree_no_mismatch` | PASS |
+| TC-05 | never-raise при недоступном/несуществующем корне → WARNING | `test_fs_normalize::test_tc05_never_raise_on_missing_root`, `test_tc05_never_raise_on_walk_error` | PASS |
+| TC-06 | `applies(repo)`: пустой CSV → self-hosting only; непустой — по списку | `test_fs_normalize::test_tc06_applies_empty_csv_self_hosting_only`, `test_tc06_applies_explicit_csv` | PASS |
+| TC-07 | kill-switch OFF → scan/normalize инертны (1:1 как до ORCH-057) | `test_fs_normalize::test_tc07_killswitch_off_scan_inert`, `test_tc07_killswitch_off_normalize_inert` | PASS |
+| TC-08 | `normalize` без прав → no-op + честный лог, НЕ исключение | `test_fs_normalize::test_tc08_normalize_without_rights_is_noop_not_error` | PASS |
+| TC-09 | TTL-кэш: повтор в окне TTL не пере-сканирует; ключ по roots+uid | `test_fs_normalize::test_tc09_ttl_cache_avoids_rescan`, `test_tc09_cache_keyed_by_roots_and_uid` | PASS |
+| TC-10 | startup-хук: mismatch → send_telegram + WARNING; ошибка детекта never-fatal | `test_fs_normalize_startup::test_tc10_startup_mismatch_warns_and_telegrams`, `test_tc10_startup_detect_error_never_fatal`, `test_tc10_startup_clean_no_telegram` | PASS |
+| TC-11 | гейт claim'а: mismatch без прав → внятный исход ДО launch, не сырой git-fatal | `test_fs_normalize_startup::test_tc11_launch_permission_failure_is_actionable_not_raw` | PASS |
+| TC-12 | `GET /queue` блок `fs_ownership` отдаёт поля и не 5xx-ит при выключенном флаге | `test_api_queue::test_tc12_queue_exposes_fs_ownership_block`, `test_tc12_queue_no_5xx_when_disabled`, `test_fs_normalize_check_endpoint` | PASS |
+
+Доп. целевые тесты (сверх плана, усиливают покрытие): `test_classify_worktree_error_markers`,
+`test_is_permission_failure_from_exc`, `test_snapshot_shape` — PASS.
+
+### Сопоставление с критериями приёмки (03-acceptance-criteria.md)
+| AC | Покрыто | Результат |
+|----|---------|-----------|
+| AC-1 — конвейер стартует без ручного chown / внятная блокирующая ошибка | TC-01, TC-11 | PASS |
+| AC-2 — `ensure_worktree` actionable-ошибка при отказе доступа, не-прав сохраняет контракт | TC-01, TC-02 | PASS |
+| AC-3 — детект несоответствия владельца (mismatch на грязной, no-op на чистой) | TC-03, TC-04, TC-05 | PASS |
+| AC-4 — наблюдаемость детекта (WARNING + Telegram + `GET /queue`) | TC-10, TC-12 | PASS |
+| AC-5 — self-hosting безопасность, нулевая регрессия enduro, зелёный регресс | TC-06, TC-07, TC-08 + 1507 passed | PASS |
+| AC-6 — инварианты конвейера (STAGE_TRANSITIONS/QG_CHECKS/check_*/machine-key/схема БД) | полный регресс зелёный, guard-тесты пройдены | PASS |
+| AC-7 — документированная процедура нормализации (INFRA.md + ADR) | проверено reviewer (12-review.md), вне scope pytest | PASS (док.) |
+
+## Вывод pytest
+```
+============================= test session starts ==============================
+platform linux -- Python 3.12.13, pytest-8.3.3, pluggy-1.6.0
+rootdir: /repos/_wt/orchestrator/feature_ORCH-057-bug-follow-up-orch-040-normali
+plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8
+collected 25 items  (профильные сюиты)
+... 25 passed, 1 warning in 2.19s
+
+Полный регресс:
+1507 passed, 1 warning in 52.22s
+```
+
+## Итог
+**PASS** — все 12 TC выполнены и сопоставлены с тест-планом и критериями приёмки; профильные
+сюиты 25 passed; полный регресс 1507 passed; smoke (`/health`, `/status`, `/queue` c блоками
+`serial_gate` + `auto_labels`) — зелёный. Задача переходит на `deploy-staging`.
--- a/docs/work-items/ORCH-057/14-deploy-log.md
+++ b/docs/work-items/ORCH-057/14-deploy-log.md
@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-057
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.
--- a/docs/work-items/ORCH-057/15-staging-log.md
+++ b/docs/work-items/ORCH-057/15-staging-log.md
@@ -0,0 +1,33 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-057
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+timestamp: 2026-06-10T00:02:11Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. `SUCCESS` → дальше; `FAILED` → откат.
+
+Staging test suite завершён против живого стенда `orchestrator-staging` (8501). Запуск канонический —
+`docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub`
+(ORCH-048, ADR-001). Скрипт завершился с **exit code 0** → `staging_status: SUCCESS`.
+
+Итог: **8/10 checks PASS**. Все REAL-проверки зелёные; два FAIL — известные sandbox-infra-проверки
+(C9a/C9b), waived согласно ORCH-061 (зависят от членства SANDBOX bot-аккаунтов в проекте, не от
+конвейера). Exit-code → вердикт не меняется: trust the exit code, REAL failed = none.
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Results
+- **Block A (SMOKE)**: PASS — A1 `/health` → 200 `status=ok`; A2 `/queue` → 200 с counts/max_concurrency/resilience; A3 `ORCH_STAGING=true` (не прод).
+- **Block B (ACCESS)**: PASS — B4 Plane sandbox доступен (5 projects, sandbox=YES); B5 Gitea `orchestrator-sandbox` доступен, push=true; B6 Registry изолирован (sandbox present, prod ET/ORCH absent).
+- **Block C (E2E, mode=stub)**: C7 создать issue в Plane SANDBOX → PASS; C8 триггер конвейера `/webhook/plane` → PASS; C9a (branch в sandbox) и C9b (analyst job в очереди) → FAIL, **INFRA-WAIVED** (sandbox bot-accounts не члены проекта). Cleanup: Plane issue удалён (HTTP 204).
+
+REAL failed: none.
--- a/docs/work-items/ORCH-099/00-business-request.md
+++ b/docs/work-items/ORCH-099/00-business-request.md
@@ -0,0 +1,7 @@
+# Business Request: FND/F1a: лёгкий /metrics в орке — отдать сырьё (стадии/очередь/agent-liveness/cost)
+
+Work Item ID: ORCH-099
+
+## Description
+
+TBD
--- a/docs/work-items/ORCH-099/01-brd.md
+++ b/docs/work-items/ORCH-099/01-brd.md
@@ -0,0 +1,141 @@
+---
+work_item: ORCH-099
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 01 — BRD (бизнес-требования): ORCH-099 — FND/F1a: лёгкий `/metrics` в орке (отдать сырьё)
+
+Work Item: **ORCH-099** · Repo: **orchestrator** · Стадия: analysis
+
+## 1. Бизнес-контекст и проблема
+
+Задача — фундаментный кирпич **F1a** домена 0 «Фундамент» эпика автономного саморазвития
+(`docs/epics/self-evolution.md`). Архитектурная рамка наблюдаемости **зафиксирована заказчиком
+(Слава, 09.06)** и для аналитика — установленный факт, не предмет переизобретения:
+
+- **C-1/C-1б:** наблюдатель ОТДЕЛЁН от наблюдаемого. Мониторинг живёт в **отдельном sidecar-контейнере**
+  (`watchdog/`, рантайм — свой Dockerfile + сервис в compose), а НЕ внутри орка. Если орк
+  упал/завис/съел память — sidecar жив и репортит это.
+- **C-2/C-3:** без внешнего плеча, тонкий стек (хост впритык: RAM 171Mi free, диск 92% — НЕ
+  Grafana/Prometheus).
+- **Разделение ответственности:** орк отдаёт **только сырьё** (лёгкий read-only `/metrics` — свои
+  внутренние данные, которые знает только он сам), БЕЗ логики мониторинга/порогов/алертов/хранения.
+  Мозг (пороги, алерты, свой Telegram-канал, история) — это **F1b (sidecar)**, отдельная задача.
+
+**Боль, которую закрывает задача.** Сегодня у орка нет машинного «сырья» о самом себе в одной
+точке. `/health` отдаёт лишь `{"status":"ok"}`, `/status` — список активных задач, `/queue` —
+богатый, но «человеческий» снимок очереди, перемешанный с конфигом демонов. Ни один из них не даёт
+sidecar'у структурированный, стабильный КОНТРАКТ для детекта: застрявшая стадия, зависший агент
+(liveness по pid/CPU), деградация очереди (breaker open, рост failed), всплеск стоимости токенов.
+Без этого источника весь домен наблюдаемости (F1b и далее) слеп и не может стартовать.
+
+**Self-hosting контекст.** Орк дорабатывает сам себя; прод-контейнер общий для всех проектов.
+`/metrics` обязан быть **строго read-only** и **never-raise** — он не должен ни при каких входных
+данных уронить или притормозить прод, обслуживающий enduro-trails.
+
+## 2. Объём (scope)
+
+### В объёме
+- Новый **read-only** HTTP-эндпоинт (`GET /metrics`), отдающий JSON-снимок сырья о самом орке.
+- Четыре раздела сырья: **активные стадии задач**, **очередь jobs**, **agent-liveness**,
+  **стоимость/токены** (`agent_runs`).
+- Новый leaf-модуль `src/metrics.py` — сборка снимка из БД (чистый, never-raise, без побочных
+  эффектов), по образцу `snapshot()`-функций (`serial_gate`/`task_deps`/`cancel`).
+- Документирование формата `/metrics` как **контракта для sidecar (F1b)** в
+  `docs/architecture/README.md` + запись в `CHANGELOG.md`.
+- Pytest-покрытие: структура ответа, never-raise, read-only-инвариант.
+
+### Вне объёма
+- ❌ Любая логика мониторинга: пороги, алерты, Telegram, оценка «застрял/завис», хранение истории
+  — это **F1b (sidecar)**.
+- ❌ Сам sidecar-контейнер (`watchdog/`, Dockerfile, compose-сервис) — отдельная задача F1b.
+- ❌ Хостовые/контейнерные/внешние метрики (диск/RAM/CPU хоста, docker.sock, пинг
+  Plane/Gitea/Anthropic) — их собирает sidecar, не орк.
+- ❌ Изменение `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / схемы БД / любых machine-verdict
+  ключей.
+- ❌ Дашборд/UI (упомянут в F1 эпика как отдельный последующий шаг).
+- ❌ Прометей-совместимый text-формат — отдаём JSON (контракт под конкретный sidecar; OpenMetrics
+  не требование заказчика).
+
+## 3. Заинтересованные стороны
+
+- **Заказчик:** Слава (рамки наблюдаемости F1, эпик саморазвития).
+- **Прямой потребитель контракта:** будущий sidecar **F1b** (`watchdog/`) — читает `/metrics` по
+  HTTP. Задача F1b **заблокирована** этой (ORCH-099 — источник контракта).
+- **Затрагивается:** прод-инстанс орка (общий с enduro-trails) — поэтому жёсткое требование
+  read-only/never-raise.
+- **Принимает результат:** reviewer/tester конвейера + Слава как владелец рамок.
+
+## 4. Бизнес-требования (BR)
+
+- **BR-1 — Эндпоинт сырья.** Орк предоставляет HTTP `GET /metrics`, отдающий JSON с четырьмя
+  разделами: (a) активные стадии задач, (b) очередь jobs, (c) agent-liveness, (d) стоимость/токены.
+  Состав полей каждого раздела — см. TRZ §3 (FR-1…FR-4).
+- **BR-2 — Стадии задач.** По каждой незавершённой задаче отдаётся `work_item`, текущая `stage` и
+  «как давно в стадии» (секунды) — сырьё для детекта застреваний sidecar'ом.
+- **BR-3 — Очередь jobs.** Отдаются счётчики по статусам (`queued`/`running`/`failed`/…), глубина
+  очереди, информация о ретраях и состояние circuit-breaker'а — сырьё для детекта деградации.
+- **BR-4 — Agent-liveness.** По каждому running-job отдаётся `agent`, `run_id`, `pid`, `runtime_s`
+  и сырьё для alive-детекта (CPU-тики pid либо данные, по которым sidecar посчитает CPU-дельту).
+  sidecar — арбитр «жив/завис»; орк лишь поставляет факты.
+- **BR-5 — Стоимость/токены.** Отдаётся текущая (по running-job) и агрегированная стоимость/токены
+  из `agent_runs` (`cost_usd`, `input/output/cache_*` токены) — сырьё для cost-наблюдаемости (D3).
+- **BR-6 — Аддитивность.** Существующие `/health`, `/status`, `/queue` остаются байт-в-байт прежними
+  по контракту; `/metrics` добавляется рядом, ничего не ломая.
+- **BR-7 — Документированный контракт.** Формат `/metrics` зафиксирован в
+  `docs/architecture/README.md` как стабильный контракт для sidecar (F1b) + `CHANGELOG.md`.
+
+## 5. Нефункциональные требования (NFR)
+
+- **NFR-1 — Read-only.** Эндпоинт НИЧЕГО не мутирует: не пишет в БД, не запускает/останавливает
+  процессы, не рестартит, не дёргает внешние API. Только SELECT'ы + чтение in-memory-снимков
+  демонов.
+- **NFR-2 — Never-raise (по полям).** Любая ошибка при сборе отдельного поля/раздела → это поле
+  получает `null` (или раздел — безопасный дефолт), но эндпоинт **возвращает 200 и валидный JSON**,
+  никогда не 500. Эталон — `serial_gate.snapshot()` с fallback в `except`.
+- **NFR-3 — Лёгкость.** Только быстрые запросы к локальной SQLite + чтение уже посчитанных
+  in-memory снапшотов; без тяжёлых вычислений, без сетевых вызовов, без сканирования файлов/git.
+  Цель — единичные мс на типовом объёме (десятки задач/jobs).
+- **NFR-4 — Self-hosting-безопасность.** Эндпоинт физически не способен повлиять на прод-конвейер
+  (следствие NFR-1) — безопасен на общем инстансе с enduro-trails.
+- **NFR-5 — Совместимость БД/гейтов.** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` /
+  machine-verdict ключи / схема БД — НЕ трогаются. Задача читает существующие таблицы
+  (`tasks`/`jobs`/`agent_runs`) и существующие in-memory снапшоты.
+- **NFR-6 — Стабильность контракта.** Формат — аддитивный и версионируемый (поле `schema_version`),
+  чтобы будущие расширения не ломали уже написанный sidecar.
+
+## 6. Допущения и ограничения
+
+- **Данные уже есть в БД.** Все нужные поля присутствуют: `tasks(stage, work_item_id, updated_at,
+  created_at)`, `jobs(status, attempts, max_attempts, transient_attempts, available_at, pid,
+  run_id)`, `agent_runs(agent, started_at, finished_at, model, effort, cost_usd, input_tokens,
+  output_tokens, cache_read_tokens, cache_creation_tokens)`. **Новые колонки/таблицы не нужны.**
+- **Breaker-состояние — in-memory** (`queue_worker.worker.status()` / `CircuitBreaker.snapshot()`);
+  читается без БД.
+- **CPU-тики pid** читаются из `/proc/<pid>/stat` (Linux прод-контейнер). Допущение: контейнер
+  Linux; при отсутствии/гонке (процесс уже умер) — поле `null` (NFR-2), НЕ ошибка. Это согласуется
+  с рамкой C-1: «орк лёг → endpoint недоступен = сам сигнал тревоги» — детект делает sidecar.
+- **Арбитраж liveness — на стороне sidecar.** Орк не решает «завис/жив»; он лишь отдаёт `pid`,
+  `runtime_s` и (по возможности) CPU-тики; sidecar считает дельту между опросами.
+- **Формат — JSON**, не OpenMetrics/Prometheus (рамка C-3: тонкий кастомный sidecar, не Prometheus).
+
+## 7. Критерии успеха
+
+`GET /metrics` отдаёт лёгкий, read-only, never-raise JSON с четырьмя разделами сырья;
+`/health`/`/status`/`/queue` не сломаны; формат задокументирован как контракт sidecar; pytest
+зелёный. Детальные PASS/FAIL — `03-acceptance-criteria.md`.
+
+## 8. Риски
+
+- Гонка чтения `/proc/<pid>/stat` (процесс умер между выборкой job и чтением proc) → закрывается
+  NFR-2 (`null`, не ошибка).
+- Расхождение контракта `/metrics` и ожиданий sidecar (F1b) → закрывается BR-7 (контракт в одном
+  репо, документирован) + `schema_version` (NFR-6).
+- Соблазн «протащить» в `/metrics` логику алертинга → закрывается scope-границей (вне объёма) и
+  NFR-1.
+
+Детальная оценка технических рисков — `10-tech-risks.md` (заполняет архитектор).
--- a/docs/work-items/ORCH-099/02-trz.md
+++ b/docs/work-items/ORCH-099/02-trz.md
@@ -0,0 +1,173 @@
+---
+work_item: ORCH-099
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 02 — ТЗ (TRZ): ORCH-099 — FND/F1a: лёгкий `/metrics` в орке (отдать сырьё)
+
+Work Item: **ORCH-099** · Repo: **orchestrator** · Стадия: analysis
+
+> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
+> Архитектурное обоснование/решения (формат полей liveness, способ чтения CPU, версионирование
+> контракта) — задача архитектора (`06-adr/`).
+
+## 1. Сводка изменения
+
+Добавить read-only HTTP-эндпоинт `GET /metrics`, отдающий JSON-снимок «сырья» о самом орке для
+будущего sidecar (F1b): активные стадии задач, очередь jobs, agent-liveness, стоимость/токены.
+Логика сборки выносится в **новый leaf-модуль** `src/metrics.py` (чистая функция-сборщик, never-raise,
+без побочных эффектов — по образцу `serial_gate.snapshot()`/`task_deps.snapshot()`/`cancel.snapshot()`).
+Эндпоинт в `src/main.py` — тонкая обёртка над сборщиком, в том же стиле, что `GET /queue`
+(`src/main.py`, дикт с разделами). Никаких изменений `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/схемы
+БД/machine-verdict ключей. Только чтение существующих таблиц и существующих in-memory-снапшотов.
+
+## 2. Задействованные модули / пути
+
+| Путь | Действие |
+|------|----------|
+| `src/metrics.py` | **создать** — leaf-сборщик снимка из БД (`build_metrics() -> dict`, never-raise) |
+| `src/main.py` | изменить — добавить `@app.get("/metrics")` (тонкая обёртка над `metrics.build_metrics()`) |
+| `src/db.py` | изменить (при необходимости) — добавить read-only helper(ы) для агрегатов `agent_runs` (напр. `agent_cost_totals()`); существующие `job_status_counts`/`get_running_jobs`/`recent_jobs`/`get_active_tasks_for_reconcile` переиспользуются как есть |
+| `docs/architecture/README.md` | изменить — задокументировать контракт `/metrics` (формат для sidecar F1b) |
+| `CHANGELOG.md` | изменить — запись `## [Unreleased]` (ORCH-099) |
+| `tests/test_metrics.py` | **создать** — pytest на структуру/never-raise/read-only |
+
+**Существующие источники данных (переиспользуются, НЕ дублируются):**
+- `db.get_active_tasks_for_reconcile()` — задачи с `stage != 'done'` + вычисленный `age_s`
+  (секунды с `updated_at`). Базис для раздела стадий.
+- `db.job_status_counts()` — `{queued, running, done, failed}` из `jobs`.
+- `db.get_running_jobs()` — running-jobs с `running_age_s`, плюс джойн на `agent_runs` (`agent`,
+  `run_id`, `pid`, `started_at`, `model`, `effort`). Базис для liveness.
+- `queue_worker.worker.status()` / `worker.breaker.snapshot()` — breaker-состояние in-memory
+  (`state`/`consecutive_transient`/`pause_remaining_s`), `max_concurrency`, `poll_interval`.
+
+## 3. Функциональные требования
+
+### FR-1 — Раздел `stages` (активные стадии задач) — BR-2
+
+Список активных (незавершённых) задач. По каждой:
+- `work_item` — `tasks.work_item_id`.
+- `stage` — `tasks.stage` (значение слоя A, машина стадий).
+- `age_in_stage_s` — целое; секунды с `tasks.updated_at` (= момент последней смены стадии).
+  Источник вычисления — SQL `CAST(strftime('%s','now') - strftime('%s', updated_at) AS INTEGER)`,
+  как в `get_active_tasks_for_reconcile`.
+- `repo` — `tasks.repo` (sidecar мультипроектный; нужно отличать orchestrator от enduro-trails).
+- (опционально) `task_id`, `created_age_s` (общий возраст задачи).
+
+Инвариант: выборка только `stage NOT IN ('done', 'cancelled')` (терминальные исключены — см.
+ORCH-090: множество терминалов `{done, cancelled}`). Пустой список — валидный ответ.
+
+### FR-2 — Раздел `queue` (очередь jobs) — BR-3
+
+- `counts` — `db.job_status_counts()` (`queued`/`running`/`done`/`failed`); при наличии —
+  добавить `cancelled` (ORCH-090 терминал).
+- `depth` — глубина очереди = число `queued`-jobs, готовых к выдаче (можно вернуть как
+  `counts.queued`; при желании — отдельно «доступные сейчас» с учётом `available_at <= now`).
+- `retries` — сырьё по ретраям: сумма/список `attempts` vs `max_attempts` и `transient_attempts`
+  по незавершённым jobs; как минимум агрегат «сколько jobs в backoff» (`available_at > now`).
+- `breaker` — `worker.breaker.snapshot()`: `state` (`closed`/`open`/`half-open`),
+  `consecutive_transient`, `pause_remaining_s`.
+- `max_concurrency` — `worker.max_concurrency`.
+
+Инвариант: ни одно поле не обязано существовать ценой падения — недоступный breaker
+(например, worker не инициализирован в тесте) → `breaker: null`, не 500 (NFR-2).
+
+### FR-3 — Раздел `agents` (agent-liveness) — BR-4
+
+Список running-jobs (из `db.get_running_jobs()`), по каждому:
+- `agent` — `agent_runs.agent` (через джойн; роль: analyst/architect/developer/…).
+- `run_id` — `jobs.run_id` (= `agent_runs.id`).
+- `job_id` — `jobs.id`.
+- `pid` — `jobs.pid` (может быть `null`, если процесс ещё не застамплен / уже завершён).
+- `runtime_s` — `running_age_s` из `get_running_jobs` (секунды с `jobs.started_at`); как
+  альтернатива — секунды с `agent_runs.started_at`. Решение о базисе — за архитектором (ADR).
+- **Сырьё для alive-детекта** — одно из (выбор реализации — ADR архитектора, BR-4 допускает оба):
+  - вариант A: `cpu_ticks` — суммарные utime+stime из `/proc/<pid>/stat` (поля 14–15), плюс
+    `clk_tck` (`os.sysconf("SC_CLK_TCK")`), чтобы sidecar посчитал CPU-дельту между опросами;
+  - вариант B: орк сам не считает дельту (он опрашивается стейтлесс sidecar'ом) — отдаёт только
+    сырые тики + временную метку выборки.
+- `model`, `effort` — `agent_runs.model`/`effort` (контекст стоимости).
+
+Инвариант (NFR-2): `pid is None` ИЛИ `/proc/<pid>` отсутствует/гонка (процесс умер) →
+`cpu_ticks: null` для этого агента, остальные поля и весь эндпоинт целы. НЕ бросать, НЕ ждать.
+
+### FR-4 — Раздел `cost` (стоимость/токены) — BR-5
+
+- `running` — по каждому running-job текущие накопленные значения из `agent_runs`, если уже
+  застамплены (часто `null` до завершения — токены/cost парсятся из CLI-JSON в `_monitor_agent`
+  по окончании). Допустимо отдавать `null` для незавершённых — это честное сырьё.
+- `aggregate` — агрегаты по `agent_runs`: суммарные `cost_usd`, `input_tokens`, `output_tokens`,
+  `cache_read_tokens`, `cache_creation_tokens`. Желателен срез: всего + за последние N (или
+  по `repo`). Реализуется новым read-only helper'ом `db.agent_cost_totals()` (чистый SELECT
+  с `COALESCE(SUM(...),0)`).
+
+Инвариант: пустая `agent_runs` → нули, не ошибка.
+
+### FR-5 — Конверт ответа (envelope) — BR-1, BR-6, NFR-6
+
+`GET /metrics` возвращает JSON:
+```json
+{
+  "schema_version": 1,
+  "generated_at": "<ISO-8601 / datetime('now')>",
+  "stages": [ ... ],
+  "queue": { ... },
+  "agents": [ ... ],
+  "cost": { "running": [...], "aggregate": {...} }
+}
+```
+- `schema_version` — целое; точка стабильности контракта для sidecar (NFR-6). Стартовое значение
+  и политика инкремента — за архитектором.
+- `generated_at` — метка времени снимка (нужна sidecar'у для расчёта дельт).
+- Точные имена ключей разделов/полей фиксируются в `docs/architecture/README.md` (BR-7) и являются
+  контрактом; reviewer/tester сверяют ответ с документом.
+
+### FR-6 — Never-raise сборщик — NFR-2
+
+`metrics.build_metrics()` строит ответ по-раздельно; каждый раздел — в своём `try/except`, в
+`except` пишет `logger.warning(...)` и подставляет безопасный дефолт (`null`/`[]`/`{}`). Функция
+**никогда** не пробрасывает исключение. Эндпоинт `main` дополнительно не нуждается в обработке, но
+обязан вернуть результат сборщика как есть. Эталон — `serial_gate.snapshot()`.
+
+## 4. Изменения API
+
+**Новый эндпоинт:**
+- `GET /metrics` → `200 application/json`, тело — конверт FR-5. Без параметров. Без аутентификации
+  сверх существующей (тот же уровень, что `/queue`/`/status`). Read-only.
+
+**Изменённые эндпоинты:** Нет. `/health`, `/status`, `/queue`, `/webhook/*` — без изменений
+(BR-6). Регресс-проверка: существующие тесты эндпоинтов остаются зелёными.
+
+## 5. Изменения схемы БД
+
+**Нет.** Новые таблицы/колонки/индексы/миграции не вводятся. Используются существующие
+`tasks`/`jobs`/`agent_runs` и их колонки (перечислены в §2). Допускается добавление **read-only**
+helper-функций в `src/db.py` (например `agent_cost_totals()`) — это код, не схема; `CREATE`/`ALTER`
+не выполняются. `STAGE_TRANSITIONS`/`QG_CHECKS`/схема — байт-в-байт прежние (NFR-5).
+
+## 6. Требования к новым/изменённым QG checks
+
+**Нет.** `/metrics` — наблюдаемость, не гейт конвейера. `QG_CHECKS` / `check_*` / `_parse_*` /
+machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`/
+`coverage_status:`) — НЕ трогаются. Новых артефактов pipeline (`NN-*.md`) задача не создаёт.
+
+## 7. Совместимость / регресс
+
+- **Аддитивность:** новый модуль (`src/metrics.py`) + новый эндпоинт + read-only helper(ы).
+  Существующий код путей конвейера не модифицируется.
+- **Read-only / never-raise:** по конструкции (NFR-1/NFR-2) эндпоинт не влияет на состояние и не
+  падает → нулевой риск для прод-конвейера, общего с enduro-trails (NFR-4).
+- **Kill-switch:** жёсткий флаг не обязателен (эндпоинт инертен и не подключён к конвейеру). Если
+  архитектор сочтёт нужным — допустим конфиг-флаг включения `/metrics` (по образцу snapshot-флагов),
+  но это НЕ требование BRD; дефолт — эндпоинт доступен.
+- **Обратимость:** удаление эндпоинта/модуля полностью откатывает изменение без следов в БД/схеме.
+- **Контракт sidecar:** `schema_version` + документ в README обеспечивают, что F1b не сломается при
+  будущих аддитивных расширениях (NFR-6).
+- **Артефакты pipeline, создаваемые/обновляемые задачей:** `01-brd.md`, `02-trz.md`,
+  `03-acceptance-criteria.md`, `04-test-plan.yaml` (analysis); далее — `06-adr/` (architect),
+  обновление `docs/architecture/README.md` и `CHANGELOG.md` (developer в том же PR — правило
+  «доки = golden source»).
--- a/docs/work-items/ORCH-099/03-acceptance-criteria.md
+++ b/docs/work-items/ORCH-099/03-acceptance-criteria.md
@@ -0,0 +1,127 @@
+---
+work_item: ORCH-099
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 03 — Критерии приёмки (Acceptance Criteria): ORCH-099 — FND/F1a: лёгкий `/metrics` в орке
+
+Work Item: **ORCH-099** · Repo: **orchestrator** · Стадия: analysis
+
+Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
+(что считается провалом). Reviewer/tester проверяет их буквально по файлам репозитория и по ответу
+эндпоинта.
+
+---
+
+## AC-1 — Эндпоинт `/metrics` отдаёт четыре раздела сырья
+
+**Условие:** `GET /metrics` возвращает `200` и JSON с разделами `stages`, `queue`, `agents`, `cost`
+(плюс конверт `schema_version` / `generated_at`), с полями из TRZ §3.
+- **PASS:** ответ — валидный JSON-объект; присутствуют ключи `schema_version`, `generated_at`,
+  `stages` (список; элемент содержит `work_item`, `stage`, `age_in_stage_s`, `repo`), `queue`
+  (содержит `counts`, `breaker`, `max_concurrency`, сырьё ретраев), `agents` (список; элемент
+  содержит `agent`, `run_id`, `pid`, `runtime_s` и поле сырья CPU-liveness), `cost` (содержит
+  `aggregate` с суммами `cost_usd`/`input_tokens`/`output_tokens`/`cache_read_tokens`/
+  `cache_creation_tokens`).
+- **FAIL:** отсутствует любой из четырёх разделов; в `agents` нет `pid`/`runtime_s`; в `stages` нет
+  «как давно в стадии»; в `cost` нет агрегата токенов/стоимости; ответ не JSON или статус ≠ 200.
+
+---
+
+## AC-2 — Аддитивность: `/health`, `/status`, `/queue` не сломаны
+
+**Условие:** существующие эндпоинты сохраняют прежний контракт.
+- **PASS:** `GET /health` → `{"status":"ok", ...}`; `GET /status` → `{"active_tasks":[...]}`;
+  `GET /queue` отдаёт прежний набор ключей; существующие тесты эндпоинтов (`tests/test_queue_endpoint.py`
+  и пр.) зелёные без модификации их ожиданий.
+- **FAIL:** изменён/удалён любой существующий ключ ответа `/health`/`/status`/`/queue`; пришлось
+  править существующие тесты под новый контракт; регресс в этих эндпоинтах.
+
+---
+
+## AC-3 — Лёгкость и быстрая выборка
+
+**Условие:** эндпоинт лёгкий — только быстрые локальные SQL + чтение in-memory снапшотов, без
+тяжёлых вычислений и сетевых вызовов.
+- **PASS:** в коде `src/metrics.py` нет сетевых вызовов (HTTP/Plane/Gitea/Anthropic), нет запуска
+  подпроцессов кроме безопасного чтения `/proc/<pid>/stat`, нет сканирования git/файлового дерева;
+  данные берутся из существующих helper'ов БД и `worker`-снапшота; на типовом объёме ответ
+  формируется без заметной задержки.
+- **FAIL:** эндпоинт делает сетевой запрос, запускает агента/тяжёлый процесс, сканирует worktree/git
+  или выполняет дорогие агрегаты, заметно тормозящие ответ.
+
+---
+
+## AC-4 — Never-raise (ошибка поля → `null`, эндпоинт не падает)
+
+**Условие:** любая ошибка сбора отдельного поля/раздела не роняет эндпоинт.
+- **PASS:** при недоступном источнике (например, `worker` не инициализирован, `pid` уже мёртв,
+  `/proc/<pid>` отсутствует, пустые таблицы) соответствующее поле получает `null`/безопасный дефолт,
+  а `GET /metrics` всё равно возвращает `200` и валидный JSON; есть тест, симулирующий сбой раздела
+  и проверяющий 200 + `null` в этом поле.
+- **FAIL:** при любом из перечисленных условий эндпоинт возвращает `500` / бросает исключение /
+  возвращает невалидный JSON.
+
+---
+
+## AC-5 — Read-only (ничего не меняет; гейты/схема не тронуты)
+
+**Условие:** эндпоинт и модуль строго read-only; конвейерные инварианты целы.
+- **PASS:** `src/metrics.py` и обработчик `/metrics` не выполняют `INSERT`/`UPDATE`/`DELETE`/`CREATE`/
+  `ALTER`, не запускают/останавливают процессы, не рестартят, не мутируют состояние демонов;
+  `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, machine-verdict ключи и схема БД (`tasks`/`jobs`/
+  `agent_runs` и пр.) — без изменений в диффе; повторный вызов `/metrics` не меняет состояние БД
+  (тест: снимок БД до/после идентичен).
+- **FAIL:** дифф трогает `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/схему/machine-verdict; модуль
+  выполняет любую запись/мутацию; вызов эндпоинта меняет состояние.
+
+---
+
+## AC-6 — agent-liveness содержит сырьё для alive-детекта
+
+**Условие:** по каждому running-job отдаётся идентификация процесса и сырьё для CPU-детекта
+sidecar'ом.
+- **PASS:** для running-job ответ содержит `agent`, `run_id`, `pid`, `runtime_s` и поле сырья
+  CPU-liveness (например `cpu_ticks` из `/proc/<pid>/stat` + базис тиков `clk_tck`, либо
+  эквивалент по решению ADR), позволяющее внешнему наблюдателю посчитать CPU-дельту между опросами;
+  при `pid is None`/мёртвом процессе CPU-поле = `null` (см. AC-4), прочие поля целы.
+- **FAIL:** liveness-раздел не позволяет sidecar'у отличить «жив» от «завис» (нет ни CPU-сырья, ни
+  pid+runtime); отсутствуют `run_id`/`pid`; обращение к мёртвому pid роняет эндпоинт.
+
+---
+
+## AC-7 — Контракт задокументирован (для sidecar F1b) + CHANGELOG
+
+**Условие:** формат `/metrics` зафиксирован как контракт и отражён в журнале изменений.
+- **PASS:** в `docs/architecture/README.md` описан формат ответа `/metrics` (разделы, поля,
+  `schema_version`) как стабильный контракт для sidecar (F1b); в `CHANGELOG.md` есть запись
+  `## [Unreleased]` с пометкой `ORCH-099`.
+- **FAIL:** формат не задокументирован или описан только в коде; нет записи в `CHANGELOG.md`;
+  документация противоречит фактическому ответу эндпоинта.
+
+---
+
+## AC-8 — pytest зелёный
+
+**Условие:** новый тест-набор и полный регресс проходят.
+- **PASS:** `pytest tests/ -q` зелёный; присутствует `tests/test_metrics.py`, покрывающий структуру
+  ответа (AC-1), never-raise (AC-4), read-only (AC-5), liveness-сырьё (AC-6) и аддитивность (AC-2).
+- **FAIL:** любой тест красный; новые тесты отсутствуют или не покрывают перечисленные критерии.
+
+---
+
+## Сводная матрица AC ↔ FR/BR
+| AC | Покрывает |
+|----|-----------|
+| AC-1 | BR-1/BR-2/BR-3/BR-5 / FR-1…FR-5 |
+| AC-2 | BR-6 / FR-4 |
+| AC-3 | NFR-3 / FR-6 |
+| AC-4 | NFR-2 / FR-6 |
+| AC-5 | NFR-1/NFR-4/NFR-5 / FR-5 |
+| AC-6 | BR-4 / FR-3 |
+| AC-7 | BR-7 / FR-5 |
+| AC-8 | NFR-3 (валидация) / все FR |
--- a/docs/work-items/ORCH-099/04-test-plan.yaml
+++ b/docs/work-items/ORCH-099/04-test-plan.yaml
@@ -0,0 +1,86 @@
+work_item: ORCH-099
+stage: analysis
+author_agent: analyst
+status: ready-for-review
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+title: "FND/F1a — лёгкий read-only /metrics: стадии/очередь/agent-liveness/cost"
+framework: pytest
+scope: >
+  Покрывается: структура ответа GET /metrics (4 раздела + конверт), never-raise по полям,
+  read-only инвариант, agent-liveness сырьё (pid/runtime/cpu-тики), агрегаты cost/токенов,
+  аддитивность (не сломаны /health//status//queue). Вне покрытия: сам sidecar (F1b),
+  хостовые/контейнерные метрики, пороги/алерты/Telegram. Полный регресс tests/ остаётся зелёным.
+notes: >
+  Тесты идут в новый tests/test_metrics.py. Используется существующий паттерн conftest.py
+  (autouse fresh_db на tmp_path + init_db, monkeypatch send_telegram). Эндпоинт зовётся как
+  корутина через asyncio.run(main.metrics()) по образцу tests/test_queue_endpoint.py
+  (asyncio.run(main.queue())). Read-only проверяется сравнением снимка БД до/после вызова.
+  Never-raise — monkeypatch источника (worker / helper БД / чтения /proc) на бросающий стаб.
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "build_metrics() возвращает dict с ключами schema_version, generated_at, stages, queue, agents, cost (конверт FR-5)."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "Раздел stages: для задачи со stage!=done/cancelled элемент содержит work_item, stage, age_in_stage_s (int), repo; терминальные задачи (done/cancelled) исключены."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "Раздел queue: counts (queued/running/failed), max_concurrency, сырьё ретраев и breaker-снимок (state/consecutive_transient/pause_remaining_s) присутствуют."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "Раздел agents: по running-job отдаются agent, run_id, job_id, pid, runtime_s и поле CPU-liveness сырья (cpu_ticks или эквивалент)."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "agent-liveness never-raise: при pid=None или отсутствующем /proc/<pid> CPU-поле = null, остальные поля агента и весь ответ целы (без исключения)."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "Раздел cost.aggregate: суммы cost_usd/input_tokens/output_tokens/cache_read_tokens/cache_creation_tokens из agent_runs; пустая таблица -> нули, не ошибка."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "Never-raise по разделу: если источник раздела (напр. job_status_counts/worker.status) бросает, раздел получает null/дефолт, build_metrics() не пробрасывает исключение."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-08
+    type: integration
+    description: "GET /metrics через ASGI/обработчик возвращает 200 и валидный JSON со всеми разделами на засеянной БД (задача + running-job + agent_run)."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-09
+    type: integration
+    description: "Read-only: снимок всех таблиц БД (tasks/jobs/agent_runs) до и после вызова /metrics идентичен; повторный вызов не меняет состояние."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-10
+    type: integration
+    description: "Аддитивность: GET /health, /status, /queue сохраняют прежний контракт (ключи на месте) при наличии /metrics; существующие тесты эндпоинтов зелёные."
+    module: tests/test_metrics.py
+    expected: PASS
+
+  - id: TC-11
+    type: unit
+    description: "Пустое состояние: при отсутствии активных задач/running-jobs/agent_runs ответ валиден — stages=[], agents=[], cost.aggregate=нули, queue.counts с нулями; 200/без исключений."
+    module: tests/test_metrics.py
+    expected: PASS
--- a/docs/work-items/ORCH-099/06-adr/ADR-001-metrics-endpoint.md
+++ b/docs/work-items/ORCH-099/06-adr/ADR-001-metrics-endpoint.md
@@ -0,0 +1,249 @@
+---
+work_item: ORCH-099
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# ADR-001: Лёгкий read-only `/metrics` — сырьё о самом орке для sidecar (F1b)
+
+Work Item: **ORCH-099** — FND/F1a: лёгкий `/metrics` в орке (отдать сырьё)
+Стадия: **architecture**
+Сквозная регистрация: **`docs/architecture/adr/adr-0030-metrics-endpoint.md`** (решение
+кросс-каттинговое — новый компонент наблюдаемости + новый публичный HTTP-контракт для будущего
+sidecar F1b).
+
+## Статус
+Proposed
+
+## Контекст
+
+F1a — фундаментный кирпич домена 0 «Фундамент» эпика автономного саморазвития. Рамка наблюдаемости
+зафиксирована заказчиком (BRD §1): **наблюдатель отделён от наблюдаемого** — мониторинг (пороги,
+алерты, история, свой Telegram) живёт в отдельном sidecar-контейнере **F1b** (`watchdog/`), а орк
+отдаёт **только сырьё**, которое знает лишь он сам. F1a поставляет источник этого сырья и **ничего
+больше**.
+
+Факты, сверенные с кодом:
+- `GET /health` (`src/main.py:147`) → `{"status":"ok", ...}`; `GET /status` (`:152`) → список
+  активных задач; `GET /queue` (`:163`) — богатый, но «человеческий» снимок, перемешанный с
+  конфигом демонов (reconciler/reaper/post_deploy/disk_monitor/…). Ни один не даёт **стабильного
+  машинного контракта** для детекта: застрявшая стадия, зависший агент, деградация очереди, всплеск
+  стоимости.
+- Все нужные данные уже в БД и in-memory: `db.get_active_tasks_for_reconcile()` (`src/db.py:388` —
+  `stage != 'done'` + `age_s` в SQL), `db.get_running_jobs()` (`:1103` — `SELECT j.*` + `running_age_s`,
+  LEFT JOIN `agent_runs` на `run_id`), `db.job_status_counts()` (`:1187`),
+  `queue_worker.worker.status()`/`CircuitBreaker.snapshot()` (`src/queue_worker.py:242`/`:113` — breaker
+  in-memory). `pid`/`run_id`/`job_id` — колонки `jobs` (ORCH-065, `:83`); `model`/`effort`/`cost_usd`/
+  `*_tokens` — колонки `agent_runs` (`:97`–`:106`). Терминальное множество — `{done, cancelled}`
+  (ORCH-090, adr-0026).
+- Self-hosting: прод-контейнер общий с enduro-trails. Эндпоинт обязан быть строго **read-only** и
+  **never-raise** — не ронять и не тормозить прод ни при каких входных данных.
+
+«Как есть» не годится: добавлять поля в `/queue` сломало бы его контракт (BR-6) и смешало бы сырьё с
+человеческим снимком; в коде sidecar'а нет ни одной стабильной точки опроса. Нужен отдельный,
+версионируемый, машинный контракт.
+
+## Решение
+
+### Сводка
+
+Новый **leaf-модуль** `src/metrics.py` с чистой never-raise функцией-сборщиком
+`build_metrics() -> dict` (по образцу `serial_gate.snapshot()`/`task_deps.snapshot()`/
+`cancel.snapshot()`) + тонкий эндпоинт `@app.get("/metrics")` в `src/main.py` (обёртка над
+сборщиком, в стиле `GET /queue`). Сборщик собирает четыре раздела (`stages`/`queue`/`agents`/`cost`)
+в версионируемом конверте, **каждый раздел — в своём `try/except`** с безопасным дефолтом. Только
+чтение существующих таблиц (`tasks`/`jobs`/`agent_runs`) и существующих in-memory-снапшотов + два
+read-only helper'а в `src/db.py`. `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict-ключи/
+схема БД — **не трогаются**.
+
+### D1 — Новый leaf-модуль + тонкий эндпоинт (изоляция, never-raise по разделам)
+
+Логика сборки — в `src/metrics.py`, не в `main.py` (тестируемость без ASGI, паттерн `*.snapshot()`).
+`build_metrics()` строит конверт по-раздельно; каждый раздел обёрнут в `try/except Exception`, в
+`except` → `logger.warning(...)` + безопасный дефолт (`null` для скаляра/объекта, `[]` для списка).
+Функция **никогда** не пробрасывает исключение (FR-6, NFR-2, AC-4). Эндпоинт `/metrics` —
+тонкая обёртка: возвращает `build_metrics()` как есть; собственной обработки ошибок не требует
+(сборщик уже never-raise). Уровень доступа — тот же, что `/queue`/`/status` (без доп. аутентификации,
+FR-4).
+
+Привязка: FR-6, NFR-1, NFR-2, AC-4, AC-5.
+
+### D2 — Конверт ответа + контракт `schema_version` (BR-1, BR-6, NFR-6)
+
+```json
+{
+  "schema_version": 1,
+  "generated_at": "2026-06-10T12:34:56Z",
+  "clk_tck": 100,
+  "stages":  [ ... ],
+  "queue":   { ... },
+  "agents":  [ ... ],
+  "cost":    { "running": [ ... ], "aggregate": { ... } }
+}
+```
+
+- **`schema_version` стартует с `1`.** Политика инкремента (контракт для F1b, документируется в
+  README, BR-7): **аддитивные** изменения (новое поле/раздел) **НЕ бампят версию** — sidecar
+  **обязан игнорировать незнакомые ключи и толерировать отсутствие опциональных**. Версия бампится
+  **только при ломающем** изменении (переименование/удаление/смена типа существующего поля). Это
+  делает контракт forward-compatible: будущие расширения F1a не ломают уже написанный F1b (NFR-6,
+  TR-4). Формат-чек версии — по духу `is_valid_model` (ORCH-74): структурный, не статичный allowlist.
+- **`generated_at`** — `datetime('now')` UTC, ISO-8601 (тот же часовой домен, что timestamp'ы БД и
+  выборка CPU-тиков). Это момент снимка: sidecar считает дельты между двумя опросами по
+  `(cpu_ticks, generated_at)` из ответов — **всё в часах самого орка**, поэтому расчёт иммунен к
+  расхождению часов орк↔sidecar (TR-3).
+- **`clk_tck`** — `os.sysconf("SC_CLK_TCK")` на уровне конверта (а не на каждом агенте — значение
+  процесс-глобальное): базис для перевода CPU-тиков в секунды на стороне sidecar.
+
+Привязка: BR-1, BR-6, NFR-6, FR-5, AC-1, AC-7.
+
+### D3 — Раздел `stages` (BR-2, FR-1)
+
+Список активных задач из `db.get_active_tasks_for_reconcile()`, **с дополнительной фильтрацией
+`stage NOT IN ('done','cancelled')`** на слое metrics. Обоснование: helper намеренно возвращает
+`cancelled`-задачи (для skip-счётчика реконсилятора ORCH-086, см. `src/db.py:396`) — но для сырья
+наблюдаемости терминальные задачи не нужны (терминальное множество `{done, cancelled}`, ORCH-090).
+Не меняем helper (его инвариант принадлежит ORCH-053/086) — фильтруем на потребителе. По каждой
+задаче: `work_item` (`work_item_id`), `stage`, `age_in_stage_s` (= `age_s`, целое, SQL
+`strftime` против UTC-now — момент последней смены стадии), `repo` (sidecar мультипроектный),
+опц. `task_id`/`created_age_s`. Пустой список — валидный ответ (AC, TC-11).
+
+Привязка: BR-2, FR-1, AC-1, TC-02, TC-11.
+
+### D4 — Раздел `queue` (BR-3, FR-2)
+
+- `counts` — `db.job_status_counts()` (`queued`/`running`/`done`/`failed`); добавить `cancelled`
+  (ORCH-090 терминал) — helper уже агрегирует `GROUP BY status`, нужно лишь не терять ключ.
+- `depth` — глубина очереди = число `queued`-jobs (можно `counts.queued`); опц. «доступные сейчас»
+  с учётом `available_at <= now`.
+- `retries` — агрегат по незавершённым jobs: `attempts` vs `max_attempts`, `transient_attempts`, и
+  как минимум «сколько jobs в backoff» (`available_at > now`). Источник — read-only SELECT-агрегат
+  (новый helper или агрегация по `recent_jobs`/прямой SELECT; решение реализации за developer'ом в
+  рамках read-only).
+- `breaker` — `worker.breaker.snapshot()` (`state`/`consecutive_transient`/`pause_remaining_s`).
+- `max_concurrency` — `worker.max_concurrency`; опц. `poll_interval`.
+
+Инвариант (NFR-2): недоступный `worker` (не инициализирован в тесте) → `breaker: null` и/или
+`max_concurrency: null`, **не 500** (own `try/except` вокруг in-memory доступа).
+
+Привязка: BR-3, FR-2, AC-1, TC-03, TC-07.
+
+### D5 — Раздел `agents` (agent-liveness) — источник данных и CPU-сырьё (BR-4, FR-3)
+
+**Источник данных — новый dedicated read-only helper `db.get_running_agents()`, НЕ расширение
+`get_running_jobs()`.** Причина: `get_running_jobs()` — hot-path запрос job-reaper'а (ORCH-065,
+`src/db.py:1103`); расширять его SELECT под нужды наблюдаемости — перенос инварианта чужого
+компонента. Новый helper — изолированный `SELECT j.id, j.run_id, j.pid, j.agent, j.started_at,
+running_age_s, r.model, r.effort FROM jobs j LEFT JOIN agent_runs r ON r.id = j.run_id WHERE
+j.status='running'` (LEFT JOIN сохраняет job без `agent_runs`-строки). По каждому running-job:
+`agent`, `run_id`, `job_id`, `pid` (может быть `null`), `runtime_s`, `model`, `effort`, `cpu_ticks`.
+
+**CPU-сырьё — вариант A (орк читает `/proc`, остаётся stateless).** Орк эмитит сырые тики, дельту
+**не считает** — арбитр liveness это sidecar (BRD-допущение C-1). Чистый never-raise helper в
+`src/metrics.py`:
+
+```
+_read_cpu_ticks(pid) -> int | None
+    # читает /proc/<pid>/stat, поля 14 (utime) + 15 (stime), возвращает их сумму (в тиках);
+    # pid is None / нет /proc/<pid> / гонка (процесс умер) / не-Linux -> None (НЕ raise)
+```
+
+`clk_tck` (D2) — на уровне конверта. sidecar между двумя опросами считает
+`cpu_busy = (ticks₂ − ticks₁) / clk_tck`, делит на `(generated_at₂ − generated_at₁)` → доля CPU;
+малая доля при растущем `runtime_s` ⇒ кандидат на «завис». Парсинг `/proc/<pid>/stat` устойчив к
+пробелам в `comm`: брать поля **после** `') '` (закрывающая скобка имени) — канон чтения proc-stat.
+
+Инвариант (NFR-2, AC-6, TC-05): `pid is None` ИЛИ мёртвый/отсутствующий `/proc/<pid>` → `cpu_ticks:
+null` у этого агента; прочие поля и весь эндпоинт целы.
+
+Привязка: BR-4, FR-3, AC-6, TC-04, TC-05.
+
+### D6 — `runtime_s` — базис `jobs.started_at` (FR-3)
+
+`runtime_s = running_age_s` (секунды с `jobs.started_at`, считается в SQL в `get_running_agents`),
+**не** `agent_runs.started_at`. Обоснование: `jobs.started_at` — якорь жизненного цикла процесса,
+рядом с которым застамплен `pid` (ORCH-065); это тот же базис, что использует reaper для
+backstop-liveness. Значения почти совпадают, но `jobs` — авторитетный процесс-якорь, а
+`agent_runs`-строки может не быть (LEFT JOIN). Консистентность с reaper > микроточность.
+
+Привязка: FR-3, AC-6.
+
+### D7 — Раздел `cost` (BR-5, FR-4)
+
+- `running` — по каждому running-job текущие значения из `agent_runs`, если уже застамплены. Часто
+  `null` до завершения: токены/`cost_usd` парсятся из CLI-JSON в `launcher._monitor_agent` по
+  окончании. **`null` для незавершённых — честное сырьё** (документируется: `null` ≠ ноль, TR-5).
+- `aggregate` — новый read-only helper `db.agent_cost_totals()`: чистый
+  `SELECT COALESCE(SUM(cost_usd),0), COALESCE(SUM(input_tokens),0), … FROM agent_runs` по
+  `cost_usd`/`input_tokens`/`output_tokens`/`cache_read_tokens`/`cache_creation_tokens`. Пустая
+  таблица → нули, не ошибка (TC-06, TC-11). Опц. срез (всего + по `repo` через джойн `tasks`) —
+  расширяемо без бампа версии (D2).
+
+Привязка: BR-5, FR-4, AC-1, TC-06, TC-11.
+
+### D8 — Kill-switch `metrics_endpoint_enabled` (default `True`)
+
+TRZ §7 оставляет флаг на усмотрение архитектора. **Решение: добавить** конфиг-флаг
+`metrics_endpoint_enabled` (env `ORCH_METRICS_ENABLED`, дефолт `True`) — по образцу snapshot-флагов
+кодовой базы и из self-hosting-осторожности (операторский off-switch на общем прод-инстансе). При
+`False` эндпоинт возвращает **`200` с минимальным телом** `{"schema_version": 1, "enabled": false}`
+(не 404 — контракт остаётся парсимым, sidecar видит `enabled:false` и трактует это явно). Дефолт
+`True` ⇒ нулевая регрессия требований BRD (эндпоинт доступен из коробки). Флаг — дешёвая страховка,
+не предмет BRD; реализация инертна.
+
+Привязка: NFR-1, NFR-4, TRZ §7.
+
+## Альтернативы
+
+- **Расширить `/queue` вместо нового эндпоинта** — отвергнуто: сломало бы байт-в-байт контракт
+  `/queue` (BR-6, AC-2) и смешало бы машинное сырьё с человеческим снимком + конфигом демонов;
+  sidecar'у нужна узкая стабильная точка.
+- **Prometheus/OpenMetrics text-формат** — отвергнуто: заказчик задал тонкий кастомный sidecar (не
+  Prometheus, C-3); требование — JSON-контракт под конкретный F1b.
+- **Орк сам считает CPU-дельту** — отвергнуто: требует состояния между опросами; орк — пассивный
+  источник, stateful-арбитр это sidecar (C-1). Stateless-эмиссия сырых тиков проще и надёжнее.
+- **Расширить SELECT `get_running_jobs()`** под model/effort — отвергнуто: перенос инварианта
+  hot-path reaper'а (ORCH-065); изолируем dedicated helper `get_running_agents()`.
+- **Push метрик в sidecar** — отвергнуто: нарушает разделение C-1 (орк остаётся пассивным
+  источником); при зависшем орке pull-опрос падает — это **сам сигнал тревоги** для sidecar.
+- **Без kill-switch** — рассматривалось (эндпоинт инертен); выбран флаг ради конвенции кодовой базы
+  и операторского off-switch (D8).
+
+## Последствия
+
+- **+** Появляется стабильный машинный контракт сырья — F1b (заблокированная этой задачей)
+  разблокирована; домен наблюдаемости может стартовать.
+- **+** Строго read-only + never-raise по разделам ⇒ near-zero остаточный риск для общего
+  прод-конвейера (enduro-trails); физически не способен повлиять на конвейер (NFR-4).
+- **+** Аддитивно и обратимо: `/health`/`/status`/`/queue` байт-в-байт; `STAGE_TRANSITIONS`/
+  `QG_CHECKS`/`check_*`/schema/machine-verdict-ключи не тронуты (NFR-5).
+- **+** `schema_version` + аддитивно-толерантная политика ⇒ будущие расширения не ломают F1b.
+- **−** Новый публичный контракт = новая поверхность совместимости: дрейф `/metrics`↔F1b митигируется
+  единым репозиторием контракта (README, BR-7) + `schema_version` (D2). Издержка принимается.
+- **−** CPU-liveness Linux-специфичен (`/proc`); на не-Linux `cpu_ticks: null` (деградация, не
+  ошибка). Прод-контейнер — Linux, допущение выполняется (BRD §6).
+- **Топология/схема:** не меняются (07/08 — N/A). Sidecar-контейнер и его сетевая достижимость
+  `/metrics` — объём **F1b**, не этой задачи (см. README-заметку о предусловии достижимости).
+- **Эскалация:** формально вводится новый компонент наблюдаемости + публичный контракт → лейбл
+  **`arch:major-change`** (консервативно, хотя изменение полностью аддитивно/read-only/обратимо).
+  Прод-деплой — строго через staging-гейт (8501), без рестарта прод-контейнера.
+- **Откат:** `metrics_endpoint_enabled=False` (мгновенный) либо удаление `src/metrics.py` + эндпоинта
+  + helper'ов — полностью откатывает изменение без следов в БД/схеме (TRZ §7).
+
+## Ссылки
+- BRD: `docs/work-items/ORCH-099/01-brd.md`
+- TRZ: `docs/work-items/ORCH-099/02-trz.md`
+- Acceptance: `docs/work-items/ORCH-099/03-acceptance-criteria.md`
+- Тех-риски: `docs/work-items/ORCH-099/10-tech-risks.md`
+- Сквозной ADR: `docs/architecture/adr/adr-0030-metrics-endpoint.md`
+- Сверено по коду: `src/main.py` (`/health`/`/status`/`/queue`), `src/db.py`
+  (`get_active_tasks_for_reconcile`/`get_running_jobs`/`job_status_counts`, схема `agent_runs`/`jobs`),
+  `src/queue_worker.py` (`worker.status`/`CircuitBreaker.snapshot`), `src/serial_gate.py`
+  (`snapshot()` — эталон never-raise).
+- Связанные ADR: adr-0002 (job-queue/breaker — источник `queue`-сырья), adr-0011 (job-reaper —
+  `get_running_jobs`/pid/liveness-семантика), adr-0026 (терминал `{done,cancelled}` — фильтр стадий),
+  adr-0017 (serial_gate — паттерн leaf `snapshot()`/never-raise), adr-0020 (frontmatter-контракт —
+  стиль версионируемого контракта).
--- a/docs/work-items/ORCH-099/10-tech-risks.md
+++ b/docs/work-items/ORCH-099/10-tech-risks.md
@@ -0,0 +1,43 @@
+---
+work_item: ORCH-099
+stage: architecture
+author_agent: architect
+status: proposed
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+---
+
+# 10 — Технические риски: ORCH-099 — FND/F1a: лёгкий `/metrics` (сырьё для sidecar)
+
+Work Item: **ORCH-099** · Repo: **orchestrator** · Стадия: architecture
+
+> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
+
+## Реестр рисков
+
+| ID | Риск | Вер. | Влия. | Митигейшн |
+|----|------|------|-------|-----------|
+| TR-1 | Гонка чтения `/proc/<pid>/stat`: процесс умер между выборкой running-job и чтением proc → `FileNotFoundError`/частичная строка | Сред. | Низ. | `_read_cpu_ticks` never-raise → `cpu_ticks: null` (NFR-2, FR-3, AC-6); прочие поля и эндпоинт целы. Парс proc-stat читает поля **после** `') '` (устойчивость к пробелам в `comm`). |
+| TR-2 | PID-namespace mismatch: `jobs.pid` относится не к тому PID-namespace, где орк читает `/proc` | Низ. | Сред. | Агент — дочерний процесс орка (launcher `subprocess` в том же контейнере/ns), `pid` стамплется орком (ORCH-065) → `/proc/<pid>` валиден в том же ns. Несовпадение → `null` (деградация, не падение). |
+| TR-3 | Расхождение часов орк↔sidecar искажает расчёт CPU-доли | Низ. | Низ. | Контракт by-design: sidecar считает дельту по `(cpu_ticks, generated_at)` из **двух ответов орка** → всё в домене часов орка, skew-иммунно (ADR D2). |
+| TR-4 | Дрейф контракта `/metrics`↔ожидания F1b при будущих расширениях | Сред. | Сред. | `schema_version` (старт 1) + аддитивно-толерантная политика (sidecar игнорирует незнакомые ключи, толерирует отсутствие опциональных); контракт документирован в README в одном репо (BR-7, NFR-6). |
+| TR-5 | `cost.running = null` (токены ещё не застамплены) ошибочно прочитан sidecar'ом как «ноль стоимости» | Сред. | Низ. | Документировать: `null` ≠ ноль (= «не завершён, не застамплен»); авторитет по спенду — `cost.aggregate` (ADR D7). |
+| TR-6 | Контеншн на `CircuitBreaker._lock` при опросе breaker-снимка | Низ. | Низ. | `snapshot()` держит lock кратко (только чтение полей, `src/queue_worker.py:113`); раздел обёрнут own `try/except` → `breaker: null` при любой проблеме. Частота опроса sidecar — секунды, не микросекунды. |
+| TR-7 | Рост стоимости `SUM`-агрегата по `agent_runs` при разрастании таблицы | Низ. | Низ. | `agent_cost_totals()` — один индексируемый full-scan `SUM`, n мал (десятки–сотни строк на текущем горизонте); точка расширения — временное окно/`repo`-срез без бампа версии (ADR D2/D7). |
+| TR-8 | Соблазн «протащить» в `/metrics` логику алертинга/порогов | Низ. | Сред. | Scope-граница BRD (вне объёма) + NFR-1 (read-only) + reviewer-контроль; мозг (пороги/алерты) — строго F1b. |
+| TR-9 | Незаметная мутация состояния (случайный не-read-only вызов в сборщике) роняет инвариант read-only | Низ. | Выс. | Сборщик использует только SELECT-helper'ы; AC-5/TC-09 — тест «снимок БД до/после идентичен»; reviewer сверяет дифф на отсутствие `INSERT/UPDATE/DELETE/CREATE/ALTER` и запуска процессов. |
+
+## Сводный вывод
+
+Доминирующий класс — **гонки/деградация чтения runtime-данных** (`/proc`, in-memory breaker), все
+закрыты конструктивным never-raise по разделам (эталон `serial_gate.snapshot()`) → деградация в
+`null`, не отказ. Контрактные риски (TR-4/TR-5) закрыты `schema_version` + документированием.
+Наивысшее потенциальное влияние (TR-9, нарушение read-only) митигируется тестом «БД до/после
+идентична» (TC-09) и reviewer-сверкой диффа.
+
+Изменение полностью аддитивно, read-only, never-raise, обратимо (kill-switch + удаление модуля).
+**Остаточный риск для прод-конвейера (self-hosting, общий с enduro-trails) — near-zero:** эндпоинт
+физически не способен мутировать состояние или уронить процесс (NFR-1/NFR-2/NFR-4). Эскалация в
+анализ не требуется. Формальный лейбл **`arch:major-change`** проставляется консервативно (новый
+компонент наблюдаемости + публичный контракт), хотя по существу изменение низкорисковое; прод-деплой
+— строго через staging-гейт (8501), без рестарта прод-контейнера.
--- a/docs/work-items/ORCH-099/12-review.md
+++ b/docs/work-items/ORCH-099/12-review.md
@@ -0,0 +1,86 @@
+---
+verdict: APPROVED
+work_item: ORCH-099
+stage: review
+author_agent: reviewer
+status: approved
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: review
+work_item_id: ORCH-099
+version: 1
+---
+
+# Review ORCH-099 — FND/F1a: лёгкий read-only `GET /metrics` (сырьё для sidecar F1b)
+
+## Summary
+
+Реализация полностью соответствует ТЗ (`02-trz.md`), критериям приёмки (`03-acceptance-criteria.md`)
+и архитектурному решению (`06-adr/ADR-001` + сквозной `adr-0030`). Добавлен аддитивный, строго
+read-only, never-raise эндпоинт `GET /metrics` через leaf-модуль `src/metrics.py` (`build_metrics()`,
+паттерн `serial_gate.snapshot()`) + тонкая обёртка в `src/main.py` + три read-only helper'а в
+`src/db.py`. Конвейерные инварианты целы: `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` /
+machine-verdict ключи / схема БД — не тронуты (в диффе нет `src/stages.py`/`src/qg/`; упоминания этих
+имён — только в документации/комментариях). Полный регресс `pytest tests/ -q` — **1482 passed**.
+Документация обновлена в том же PR. Блокирующих findings нет.
+
+**Оси проверки:**
+
+1. **Соответствие ТЗ** — ✅. FR-1 (`stages`, фильтр терминалов `{done,cancelled}`), FR-2 (`queue`:
+   counts+`cancelled`, depth, retries, breaker, max_concurrency), FR-3 (`agents`-liveness:
+   agent/run_id/job_id/pid/runtime_s/model/effort + `cpu_ticks`), FR-4 (`cost`: running+aggregate),
+   FR-5 (конверт `schema_version`/`generated_at`/`clk_tck`), FR-6 (never-raise по разделам) —
+   реализованы. AC-1…AC-8 проверены по коду и тестам (TC-01…TC-11), все зелёные.
+2. **Соответствие ADR** — ✅. D1–D8 реализованы как описано: D3 фильтр терминалов на потребителе
+   (helper-инвариант ORCH-053/086 не тронут); D5 dedicated `get_running_agents()` вместо расширения
+   hot-path `get_running_jobs()` (ORCH-065); D6 `runtime_s` от `jobs.started_at`; D8 kill-switch
+   `metrics_endpoint_enabled` (дефолт `True`, `200` с минимальным телом при `False`). Глобальный
+   инвариант терминального множества `{done,cancelled}` (adr-0026) соблюдён. `validation_alias`
+   `ORCH_METRICS_ENABLED` — обоснованное усиление D8 (документированное имя контракта реально
+   управляет флагом), покрыто `tests/test_config.py`. Нарушений глобальных ADR нет.
+3. **Качество кода** — ✅. Все колонки БД (`agent_runs.{cost_usd,*_tokens}`, `jobs.{pid,run_id,
+   started_at,repo,attempts,transient_attempts,available_at}`) сверены — существуют. Парсинг
+   `/proc/<pid>/stat` устойчив к пробелам/скобкам в `comm` (`rfind(") ")`, индексы 11/12 = поля
+   14/15); `_read_cpu_ticks` never-raise per-pid. Docstrings на всех публичных функциях, тесты
+   содержательные (живой pid → реальный int, мёртвый/`None` → `null`, бросающий источник → дефолт).
+4. **Документация** — ✅ (см. секцию ниже).
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- Нет.
+
+### P3 — Nice-to-have (не блокирует)
+- [ ] `db.get_running_agents()` вызывается дважды на один запрос `/metrics` — в `_build_agents` и в
+  `_build_cost` (`src/metrics.py:176` и `:206`) — два идентичных SELECT'а. На типовом объёме
+  (running-jobs ≤ `max_concurrency`) — пренебрежимо, AC-3 не нарушен; при желании можно выбрать строки
+  один раз и переиспользовать. Косметика, исправление не требуется для приёмки.
+
+## Документация
+
+Обновлена в том же PR (правило «доки = golden source», AC-7) — проверено явно:
+- **`docs/architecture/README.md`** — новый компонент «Metrics endpoint» в списке, полный раздел-
+  контракт «Сырьё-эндпоинт `/metrics` для sidecar» (конверт, разделы, политика `schema_version`,
+  гарантии read-only/never-raise, kill-switch) и строка в таблице API. Соответствует фактическому
+  ответу эндпоинта.
+- **`CHANGELOG.md`** — запись `## [Unreleased]` с пометкой `ORCH-099` (D1–D8 + тесты + откат).
+- **`docs/work-items/ORCH-099/06-adr/ADR-001-metrics-endpoint.md`** — детальное решение (D1–D8).
+- **`docs/architecture/adr/adr-0030-metrics-endpoint.md`** — сквозной ADR (новый компонент
+  наблюдаемости + публичный контракт), зарегистрирован в `docs/architecture/adr/README.md` (индекс +
+  «текущий максимум — `0030`»).
+- **`.env.example`** — задокументирован `ORCH_METRICS_ENABLED=true`.
+
+`src/` изменён → документация обновлена (golden source соблюдён). Эпик-обзорные доки `README.md`
+«Известные ограничения» этой задачей не затрагиваются (новый компонент, не закрытие ограничения).
+
+## Регресс / проверки
+- `pytest tests/ -q` → **1482 passed** (новые `tests/test_metrics.py` TC-01…TC-11 + `test_config.py`
+  ×2; регресс `/health`//status//queue зелёный, TC-10).
+- Дифф `src/stages.py` / `src/qg/` — пуст; machine-verdict ключи и схема БД — байт-в-байт прежние.
+- Read-only подтверждён тестом снимка БД до/после (TC-09); never-raise — TC-05/TC-07.
--- a/docs/work-items/ORCH-099/13-test-report.md
+++ b/docs/work-items/ORCH-099/13-test-report.md
@@ -0,0 +1,87 @@
+---
+result: PASS
+work_item: ORCH-099
+stage: testing
+author_agent: tester
+status: pass
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+type: test-report
+work_item_id: ORCH-099
+---
+
+# Test Report — ORCH-099 — FND/F1a: лёгкий read-only `GET /metrics` (сырьё для sidecar F1b)
+
+> Машинный вердикт читается ТОЛЬКО из frontmatter. Канонический ключ — `result:` (UPPERCASE).
+> Любой негативный токен (`FAIL`/`BLOCKED`) авторитетен.
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (pytest-cov 5.0.0, pytest-asyncio 0.23.8)
+- Дата: 2026-06-10
+- Worktree: `/repos/_wt/orchestrator/feature_ORCH-099-fnd-f1a-metrics-agent-liveness`
+  (ветка `feature/ORCH-099-fnd-f1a-metrics-agent-liveness`)
+- Review verdict (`12-review.md`): **APPROVED** — гейт пройден до тестирования.
+
+## Результаты
+
+### Полный регресс
+`cd <worktree> && pytest tests/ -v --tb=short` → **1482 passed, 1 warning** за 49.98s.
+Прод-контейнер (8500) не трогался; прогон — в рабочем дереве ветки задачи.
+Единственный warning — известный PydanticDeprecatedSince20 (`src/config.py:8`), не связан с задачей.
+
+### Профильная сюита
+`pytest tests/test_metrics.py -v` → **14 passed** за 0.96s (TC-01…TC-11; часть TC покрыта
+несколькими тест-функциями). Новый код присутствует в worktree: `src/metrics.py` (10 538 байт),
+`@app.get("/metrics")` в `src/main.py:216` — тонкая обёртка над `metrics.build_metrics()`.
+
+### Smoke API (read-only, прод 8500)
+- `GET /health` → `{"status":"ok","service":"orchestrator"}` — OK.
+- `GET /status` → `{"active_tasks":[...]}` — контракт цел.
+- `GET /queue` → ключи на месте; блок **`serial_gate` присутствует** (ORCH-088), **`auto_labels`
+  присутствует** (ORCH-089) — регресса смока нет.
+- `GET /metrics` на проде → `404 Not Found` — **ожидаемо**: новый эндпоинт ещё не задеплоен (стадия
+  testing, до `deploy`); функционал верифицирован тестами в worktree (TC-08). Не является FAIL.
+
+### Сопоставление с тест-планом (`04-test-plan.yaml`)
+| TC ID | Описание | Тест-функция | Результат |
+|-------|----------|--------------|-----------|
+| TC-01 | Конверт FR-5: dict с schema_version/generated_at/stages/queue/agents/cost | `test_tc01_envelope_has_all_sections` | PASS |
+| TC-02 | stages: активные только; work_item/stage/age_in_stage_s(int)/repo; терминалы исключены | `test_tc02_stages_active_only_with_fields` | PASS |
+| TC-03 | queue: counts/max_concurrency/retries/breaker-снимок | `test_tc03_queue_section_fields` | PASS |
+| TC-04 | agents: agent/run_id/job_id/pid/runtime_s + CPU-liveness сырьё | `test_tc04_agents_liveness_fields` | PASS |
+| TC-05 | liveness never-raise: pid=None / нет /proc → cpu_ticks=null, ответ цел | `test_tc05_dead_or_none_pid_cpu_ticks_null`, `test_tc05_read_cpu_ticks_helper_none_paths` | PASS |
+| TC-06 | cost.aggregate: суммы cost_usd/токены; пустая таблица → нули | `test_tc06_cost_aggregate_sums_and_empty_zeros` | PASS |
+| TC-07 | never-raise по разделу: бросающий источник/breaker → null/дефолт | `test_tc07_section_source_throws_degrades_not_500`, `test_tc07_breaker_unavailable_is_null` | PASS |
+| TC-08 | GET /metrics → 200 + валидный JSON со всеми разделами на засеянной БД | `test_tc08_endpoint_returns_full_payload`, `test_tc08_kill_switch_minimal_body` | PASS |
+| TC-09 | read-only: снимок БД до/после идентичен; повтор не меняет состояние | `test_tc09_metrics_is_read_only` | PASS |
+| TC-10 | аддитивность: /health//status//queue сохраняют контракт | `test_tc10_existing_endpoints_intact` | PASS |
+| TC-11 | пустое состояние: stages=[]/agents=[]/cost нули/queue нули → 200 без исключений | `test_tc11_empty_state_valid` | PASS |
+
+Все 11 TC из тест-плана выполнены и сопоставлены. Расхождений с `expected: PASS` нет.
+
+### Сопоставление с критериями приёмки (`03-acceptance-criteria.md`)
+| AC | Условие | Покрытие | Результат |
+|----|---------|----------|-----------|
+| AC-1 | 4 раздела + конверт с полями TRZ §3 | TC-01/02/03/04/06 | PASS |
+| AC-2 | /health//status//queue не сломаны | TC-10 + smoke | PASS |
+| AC-3 | лёгкость: только локальный SQL + in-memory, без сети/тяжёлых процессов | код `src/metrics.py` (нет сетевых вызовов; только read /proc), профильный прогон 0.96s | PASS |
+| AC-4 | never-raise: ошибка поля → null, не 500 | TC-05/TC-07/TC-11 | PASS |
+| AC-5 | read-only; STAGE_TRANSITIONS/QG_CHECKS/check_*/схема не тронуты | TC-09 + review (дифф `src/stages.py`/`src/qg/` пуст) | PASS |
+| AC-6 | agent-liveness: pid/runtime_s + CPU-сырьё для alive-детекта | TC-04/TC-05 | PASS |
+| AC-7 | контракт в README + CHANGELOG | подтверждено review (`12-review.md`, §Документация) | PASS |
+| AC-8 | pytest зелёный; есть test_metrics.py | 1482 passed; 14 в test_metrics.py | PASS |
+
+## Вывод pytest
+```
+======================= 1482 passed, 1 warning in 49.98s =======================
+```
+```
+tests/test_metrics.py ........... (14 items)
+======================== 14 passed, 1 warning in 0.96s =========================
+```
+
+## Итог
+PASS — полный регресс (1482) и профильная сюита (14) зелёные; smoke read-only OK
+(`serial_gate` + `auto_labels` присутствуют в `/queue`); каждый TC тест-плана выполнен и
+сопоставлен с критериями приёмки. Задача готова к переходу на `deploy-staging`.
--- a/docs/work-items/ORCH-099/14-deploy-log.md
+++ b/docs/work-items/ORCH-099/14-deploy-log.md
@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-099
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.
--- a/docs/work-items/ORCH-099/15-staging-log.md
+++ b/docs/work-items/ORCH-099/15-staging-log.md
@@ -0,0 +1,34 @@
+---
+staging_status: SUCCESS
+work_item: ORCH-099
+stage: deploy-staging
+author_agent: deployer
+status: success
+created_at: 2026-06-10
+model_used: claude-opus-4-8
+timestamp: 2026-06-09T23:05:57Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed against the live `orchestrator-staging` instance (port 8501),
+run canonically inside the `orchestrator-staging` container (`scripts/staging_check.py
+--base-url http://localhost:8501 --mode stub`). Exit code **0 → SUCCESS**. All REAL pipeline
+checks passed; the two sandbox-infra checks (C9a/C9b) are tolerated per ORCH-061.
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+## Results
+- **Block A (SMOKE)**: ✓ A1 `/health` → 200 ok · ✓ A2 `/queue` → 200 (counts/max_concurrency/resilience) · ✓ A3 `ORCH_STAGING=true`
+- **Block B (ACCESS)**: ✓ B4 Plane sandbox accessible (sandbox=YES) · ✓ B5 Gitea `orchestrator-sandbox` accessible, push=true · ✓ B6 Registry isolation (sandbox present, prod ET/ORCH absent)
+- **Block C (E2E, mode=stub)**: ✓ C7 Create issue in Plane SANDBOX · ✓ C8 Trigger pipeline via `/webhook/plane` · ✗ C9a Branch in orchestrator-sandbox (INFRA-WAIVED) · ✗ C9b Analyst job enqueued (INFRA-WAIVED)
+- **Cleanup**: ✓ deleted Plane issue (HTTP 204)
+
+RESULT: 8/10 checks PASS.
+REAL failed: none.
+SANDBOX_INFRA failed (waived): C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue.
+
+Tolerance: `staging_infra_tolerance_enabled=True` (ORCH-061). The exit-code → `staging_status`
+mapping is unchanged: exit 0 → `SUCCESS`. Advancing to the `deploy` gate.
--- a/src/bug_fast_track.py
+++ b/src/bug_fast_track.py
@@ -0,0 +1,166 @@
+"""ORCH-019: bug-fast-track — a cheaper/shorter pipeline route for bug-fix tasks.
+
+Leaf module — pure, unit-testable logic over the config flags + the proven Plane
+label apparatus (``labels.has_label`` -> ``plane_sync``, ORCH-089). Mirrors the
+leaf pattern of ``src/labels.py`` / ``src/serial_gate.py``: imports only
+``config`` (and lazily ``labels`` / ``db`` / ``qg.checks``), never
+``stage_engine`` / ``launcher``.
+
+What it decides (ADR-001):
+  * Whether the bug-fast-track is in scope for a repo (``bug_fast_track_applies``)
+    — a LOCAL, network-free check evaluated FIRST.
+  * Whether a given Plane issue carries the ``Bug`` label (``is_bug_task``) — the
+    only network call, made ONLY after ``applies()`` is True, so a disabled
+    kill-switch costs zero network and yields zero regression (AC-6).
+  * Whether a task's stored track skips the ``architecture`` stage
+    (``skips_architecture``) — a pure predicate over the DB-stored ``track``,
+    read in the hot ``advance_stage`` path WITHOUT any network call (NFR-4).
+
+never-raise contract (BR-6/AC-6, fail-safe to the FULL cycle): every public
+function degrades to "full cycle" on ANY error / ambiguity / Plane
+unavailability / disabled flag. There is NO fail-open here — the conservative
+default is always the full pipeline (with ``architecture``), so an error can
+never silently skip a stage.
+"""
+from __future__ import annotations
+
+import logging
+
+from .config import settings
+
+logger = logging.getLogger("orchestrator.bug_fast_track")
+
+
+# ---------------------------------------------------------------------------
+# Scope / kill-switch (mirrors _auto_label_applies / serial_gate_applies)
+# ---------------------------------------------------------------------------
+def bug_fast_track_applies(repo: str) -> bool:
+    """Whether the bug-fast-track is REAL for ``repo`` (ADR-001 D6 / AC-6).
+
+      * ``bug_fast_track_enabled=False`` -> always False (kill-switch; start and
+        routing are 1:1 as before ORCH-019, and — crucially — ``has_label`` is
+        never consulted, so no new network call on start, AC-6).
+      * ``bug_fast_track_repos`` (CSV) non-empty -> real only for the listed repos.
+      * empty CSV -> self-hosting only (``orchestrator``) — the safe default (the
+        track is first burnt in on the orchestrator itself, where the `Bug` label
+        is guaranteed to exist; enduro opts in via an explicit CSV entry).
+    Checked FIRST (local, network-free); never raises -> False on error (degrade
+    to "full cycle", which matches the kill-switch-off behaviour).
+    """
+    try:
+        if not getattr(settings, "bug_fast_track_enabled", False):
+            return False
+        raw = (getattr(settings, "bug_fast_track_repos", "") or "").strip()
+        if raw:
+            allowed = {r.strip().lower() for r in raw.split(",") if r.strip()}
+            return (repo or "").strip().lower() in allowed
+        # Lazy import keeps this module a leaf (avoids importing qg at load).
+        from .qg.checks import is_self_hosting_repo
+        return is_self_hosting_repo(repo)
+    except Exception as e:  # noqa: BLE001 - never-raise -> full cycle
+        logger.warning("bug_fast_track_applies error for %s: %s", repo, e)
+        return False
+
+
+# ---------------------------------------------------------------------------
+# Classification (the ONLY network call; ADR-001 D1)
+# ---------------------------------------------------------------------------
+def is_bug_task(work_item_id: str, project_id: str | None = None) -> bool:
+    """True iff the issue carries the configured ``Bug`` label (Plane API source).
+
+    ``bug_fast_track_applies`` is assumed already True (checked by the caller —
+    the gate idiom ``applies(repo) and is_bug_task(...)`` short-circuits before any
+    network call when the kill-switch is off). Delegates to the proven
+    ``labels.has_label`` (fetch_issue_labels + get_project_labels, normalization,
+    TTL-cache, source-of-truth = Plane API, not the webhook payload).
+
+    Any error / ambiguity / Plane unavailability -> **False** (fail-safe -> full
+    cycle, never silently fast-track on doubt).
+    """
+    try:
+        label = (getattr(settings, "bug_fast_track_label", "") or "").strip()
+        if not label:
+            return False
+        from . import labels
+        return bool(labels.has_label(work_item_id, label, project_id))
+    except Exception as e:  # noqa: BLE001 - never-raise -> full cycle
+        logger.warning(
+            "is_bug_task error for %s -> fail-safe (full cycle): %s", work_item_id, e
+        )
+        return False
+
+
+# ---------------------------------------------------------------------------
+# Routing predicate (pure, DB-backed; hot path — NO network, NFR-4) — ADR-001 D3
+# ---------------------------------------------------------------------------
+def skips_architecture(track: str | None) -> bool:
+    """Whether a task with stored ``track`` skips the ``architecture`` stage.
+
+    Pure predicate (no I/O): True iff the kill-switch is on AND ``track == 'bug'``.
+    Used by ``advance_stage`` on the analysis-exit edge to map
+    ``analysis -> architecture`` to ``analysis -> development`` for a bug task.
+    A disabled flag -> always False (1:1 prior routing); any error -> False
+    (fail-safe -> full cycle).
+    """
+    try:
+        if not getattr(settings, "bug_fast_track_enabled", False):
+            return False
+        return (track or "").strip().lower() == "bug"
+    except Exception as e:  # noqa: BLE001 - never-raise -> full cycle
+        logger.warning("skips_architecture error for track=%r: %s", track, e)
+        return False
+
+
+# ---------------------------------------------------------------------------
+# Observability snapshot for GET /queue (ADR-001 D7)
+# ---------------------------------------------------------------------------
+def snapshot() -> dict:
+    """Read-only bug-fast-track summary for GET /queue (additive block). never-raise.
+
+    Surfaces the flags + a savings metric derived from the existing telemetry: the
+    count of tasks on the bug track and the number of ``architecture`` agent runs
+    those tasks structurally skipped (one per bug task = ``est_saved_architecture_runs``).
+    Any error -> a minimal dict with the flags (never crashes the endpoint).
+    """
+    try:
+        enabled = bool(getattr(settings, "bug_fast_track_enabled", False))
+    except Exception:  # noqa: BLE001
+        enabled = False
+    try:
+        label = getattr(settings, "bug_fast_track_label", "Bug") or "Bug"
+    except Exception:  # noqa: BLE001
+        label = "Bug"
+    try:
+        repos_cfg = getattr(settings, "bug_fast_track_repos", "") or ""
+    except Exception:  # noqa: BLE001
+        repos_cfg = ""
+    active_bug_tasks = 0
+    total_bug_tasks = 0
+    try:
+        from . import db
+        conn = db.get_db()
+        try:
+            # ORCH-090 terminal set {done,cancelled}: "active" = not terminal.
+            row = conn.execute(
+                "SELECT "
+                "  COUNT(*) AS total, "
+                "  SUM(CASE WHEN stage NOT IN ('done','cancelled') THEN 1 ELSE 0 END) AS active "
+                "FROM tasks WHERE track = 'bug'"
+            ).fetchone()
+            if row:
+                total_bug_tasks = int(row["total"] or 0)
+                active_bug_tasks = int(row["active"] or 0)
+        finally:
+            conn.close()
+    except Exception as e:  # noqa: BLE001
+        logger.warning("bug_fast_track snapshot count error: %s", e)
+    return {
+        "enabled": enabled,
+        "label": label,
+        "repos": repos_cfg,
+        "active_bug_tasks": active_bug_tasks,
+        "total_bug_tasks": total_bug_tasks,
+        # Each bug task skips exactly one `architecture` stage (one architect agent
+        # run + ADR). This is the structural savings the track buys (FR-7 / AC-7).
+        "est_saved_architecture_runs": total_bug_tasks,
+    }
--- a/src/config.py
+++ b/src/config.py
@@ -1,7 +1,7 @@
 import logging
 import re

-from pydantic import field_validator
+from pydantic import Field, field_validator
 from pydantic_settings import BaseSettings


@@ -291,6 +291,33 @@ class Settings(BaseSettings):
    coverage_tool_fail_closed: bool = False
    coverage_run_timeout_s: int = 900

+    # ORCH-057: legacy root-owned file ownership detect + actionable worktree error
+    # (follow-up ORCH-040). Three additive, kill-switch-reversible layers: (1) an
+    # actionable RuntimeError in git_worktree.ensure_worktree when a worktree fails
+    # to be created because of legacy root-owned files (Permission denied), (2) a
+    # cheap, TTL-cached, never-raise detect leaf src/fs_normalize.py that finds files
+    # with uid != target_uid across the infra roots (/repos/_wt, <repo>/.git, data/runs)
+    # and surfaces a startup WARNING/Telegram + GET /queue fs_ownership block, (3) an
+    # opt-in chown (normalize) ONLY when the process has CAP_CHOWN/root (under uid 1000
+    # a no-op + honest log; the real fix is the operator procedure in INFRA.md). No
+    # STAGE_TRANSITIONS / QG_CHECKS / check_* / machine-verdict / schema change. See
+    # ADR-001-legacy-ownership-normalization.md / adr-0031.
+    #   fs_normalize_enabled   -> SINGLE kill-switch; False -> all code inert, behaviour
+    #                             1:1 as before ORCH-057 (the actionable error too).
+    #                             Env ORCH_FS_NORMALIZE_ENABLED.
+    #   fs_normalize_repos     -> CSV of repos the layer is REAL for; empty -> only the
+    #                             self-hosting repo (orchestrator). Mirrors coverage_gate_repos.
+    #   fs_target_uid          -> target uid fallback when os.getuid() is unavailable.
+    #   fs_normalize_auto      -> detect-only (False) | attempt chown when privileged (True).
+    #   fs_scan_roots          -> CSV override of the scan roots (empty -> default roots).
+    #   fs_scan_cache_ttl_s    -> TTL of the detect cache (mirrors preflight_cache_ttl).
+    fs_normalize_enabled: bool = True
+    fs_normalize_repos: str = ""
+    fs_target_uid: int = 1000
+    fs_normalize_auto: bool = False
+    fs_scan_roots: str = ""
+    fs_scan_cache_ttl_s: int = 300
+
    # ORCH-061: tolerate KNOWN sandbox-infra FAILs (C9a/C9b) in the staging suite.
    # The self-hosting deploy-staging stage looped because scripts/staging_check.py
    # exited non-zero on ANY failed check, so two infra-only failures (sandbox bot
@@ -767,6 +794,34 @@ class Settings(BaseSettings):
    auto_label_repos: str = ""
    auto_label_states_ttl_s: int = 300

+    # ORCH-019: bug-fast-track — a cheaper/shorter pipeline route for bug-fix tasks.
+    # A task carrying the Plane label `bug_fast_track_label` (default `Bug`) skips
+    # the whole `architecture` stage (one opus `architect` run + ADR + the
+    # check_architecture_done exit-gate): the routing-override in advance_stage maps
+    # the analysis -> architecture edge to analysis -> development for a task whose
+    # tasks.track == 'bug'. EVERY Quality Gate / sub-gate (CI/review/tester/staging/
+    # deploy + security/merge/coverage/image-freshness/merge-verify) runs UNCHANGED
+    # — the route is a scheduler property, NOT a gate (root invariant NFR-1).
+    # Recognition reuses the proven ORCH-089 label apparatus (labels.has_label ->
+    # plane_sync), read ONLY in start_pipeline (never in the hot claim_next_job).
+    # Additive leaf (src/bug_fast_track.py, never-raise) + an additive idempotent
+    # tasks.track column; STAGE_TRANSITIONS / QG_CHECKS / check_* / verdict-keys are
+    # NOT touched. fail-safe -> full cycle on any error/ambiguity/disabled flag. See
+    # docs/work-items/ORCH-019/06-adr/ADR-001-bug-fast-track.md and the cross-cutting
+    # docs/architecture/adr/adr-0032-bug-fast-track.md.
+    #   bug_fast_track_enabled -> kill-switch (env ORCH_BUG_FAST_TRACK_ENABLED).
+    #                             False -> start_pipeline AND advance_stage are 1:1 as
+    #                             before ORCH-019 (skips_architecture always False,
+    #                             has_label never consulted) — zero regression (AC-6).
+    #   bug_fast_track_label   -> Plane label name that activates the track (env
+    #                             ORCH_BUG_FAST_TRACK_LABEL; default `Bug`).
+    #   bug_fast_track_repos   -> CSV scope (env ORCH_BUG_FAST_TRACK_REPOS). Empty ->
+    #                             self-hosting only (orchestrator), the safe default
+    #                             (D6); non-empty -> only the listed repos.
+    bug_fast_track_enabled: bool = True
+    bug_fast_track_label: str = "Bug"
+    bug_fast_track_repos: str = ""
+
    # Telegram notifications
    telegram_bot_token: str = ""
    telegram_chat_id: str = ""
@@ -819,6 +874,17 @@ class Settings(BaseSettings):
    # 200 (was hardcoded 80). Invalid/empty value -> default (graceful, no crash).
    qg0_title_max: int = 200

+    # ORCH-099 (D8): operator off-switch for the read-only GET /metrics endpoint.
+    # The env var is ORCH_METRICS_ENABLED (explicit validation_alias — the documented
+    # contract name, ADR-001 D8 / README — overriding the default ORCH_ + field-name
+    # mapping so the documented switch actually controls the flag). Default True ->
+    # the endpoint is available out of the box (zero regression vs BRD). False ->
+    # /metrics returns a minimal parsable body {"schema_version": 1, "enabled": false}
+    # (200, NOT 404) so the F1b sidecar sees the off-switch explicitly. The endpoint
+    # is inert / read-only anyway; the flag is a cheap self-hosting insurance on the
+    # shared prod instance.
+    metrics_endpoint_enabled: bool = Field(True, validation_alias="ORCH_METRICS_ENABLED")
+
    @field_validator("qg0_title_max", mode="before")
    @classmethod
    def _qg0_title_max_default(cls, v):
--- a/src/db.py
+++ b/src/db.py
@@ -140,6 +140,13 @@ def init_db():
    #                           irreversible step finishes honestly, then applied.
    _ensure_column(conn, "tasks", "cancelled_at", "TEXT")
    _ensure_column(conn, "tasks", "cancel_requested_at", "TEXT")
+    # ORCH-019 (08-data-requirements.md): bug-fast-track task type. Additive,
+    # idempotent (_ensure_column is a no-op once present) -> safe on the live shared
+    # prod DB (enduro untouched). Values: 'full' (DEFAULT — ALL existing and non-bug
+    # tasks) | 'bug' (a task carrying the Plane `Bug` label, set in start_pipeline
+    # after a successful atomic create). Read in advance_stage for the routing-override
+    # (skips architecture) — from the DB, NEVER from the network (NFR-4).
+    _ensure_column(conn, "tasks", "track", "TEXT DEFAULT 'full'")
    # ORCH-026 (Level B): declarative task dependencies. job_deps stores the
    # directed edge "task_id (B) is blocked-by depends_on_task_id (A)". The
    # scheduler gate in claim_next_job keeps B queued until every A reaches
@@ -487,6 +494,48 @@ def update_task_stage(task_id: int, stage: str):
    conn.close()


+# ---------------------------------------------------------------------------
+# ORCH-019: bug-fast-track task type (tasks.track) helpers
+# ---------------------------------------------------------------------------
+def set_task_track(task_id: int, track: str) -> None:
+    """ORCH-019: persist the task's pipeline track ('full' | 'bug').
+
+    Idempotent overwrite. Called from start_pipeline (after a successful atomic
+    create, when the issue carries the `Bug` label) and from the escalate endpoint
+    (reset 'bug' -> 'full' to return a complex bug to the full cycle).
+    """
+    conn = get_db()
+    try:
+        conn.execute(
+            "UPDATE tasks SET track = ? WHERE id = ?", (track, task_id)
+        )
+        conn.commit()
+    finally:
+        conn.close()
+
+
+def get_task_track(task_id: int) -> str:
+    """ORCH-019: read the task's pipeline track; missing/NULL -> 'full' (fail-safe).
+
+    Read in the hot advance_stage path for the routing-override (skips architecture).
+    A non-existent row, a NULL value, or any read error degrades to 'full' so a bug
+    can never be created by accident (fail-safe -> full cycle).
+    """
+    try:
+        conn = get_db()
+        try:
+            row = conn.execute(
+                "SELECT track FROM tasks WHERE id = ?", (task_id,)
+            ).fetchone()
+        finally:
+            conn.close()
+        if not row:
+            return "full"
+        return row["track"] or "full"
+    except Exception:  # noqa: BLE001 - fail-safe -> full cycle
+        return "full"
+
+
 # ---------------------------------------------------------------------------
 # Telegram live tracker helpers (feat/telegram-live-tracker)
 # ---------------------------------------------------------------------------
@@ -1133,6 +1182,100 @@ def get_running_jobs() -> list[dict]:
    return [dict(r) for r in rows]


+def get_running_agents() -> list[dict]:
+    """ORCH-099 (D5): read-only liveness snapshot of every 'running' job for /metrics.
+
+    A dedicated read-only SELECT — deliberately NOT an extension of
+    ``get_running_jobs()`` (the job-reaper hot path, ORCH-065): widening that
+    query under observability needs would migrate a foreign component's invariant.
+    Each row carries the process identity + cost context the F1b sidecar needs:
+      * ``job_id`` / ``run_id`` / ``pid`` — process identity (pid may be NULL until
+        the launcher stamps it / after the process exits);
+      * ``agent`` / ``repo`` — role and project (the sidecar is multi-project);
+      * ``running_age_s`` — seconds since ``jobs.started_at`` (the same process
+        anchor the reaper uses for backstop-liveness, D6);
+      * ``model`` / ``effort`` — cost context (LEFT JOIN ``agent_runs``);
+      * the token / ``cost_usd`` columns — current per-run accruals, usually NULL
+        until the launcher parses the CLI result JSON on finish (honest raw, TR-5).
+
+    A LEFT JOIN on ``run_id`` keeps a job with no ``agent_runs`` row. Read-only;
+    never mutates.
+    """
+    conn = get_db()
+    try:
+        rows = conn.execute(
+            "SELECT j.id AS job_id, j.run_id AS run_id, j.pid AS pid, "
+            "j.agent AS agent, j.repo AS repo, j.started_at AS started_at, "
+            "CAST(strftime('%s','now') - strftime('%s', j.started_at) AS INTEGER) "
+            "  AS running_age_s, "
+            "r.model AS model, r.effort AS effort, r.cost_usd AS cost_usd, "
+            "r.input_tokens AS input_tokens, r.output_tokens AS output_tokens, "
+            "r.cache_read_tokens AS cache_read_tokens, "
+            "r.cache_creation_tokens AS cache_creation_tokens "
+            "FROM jobs j LEFT JOIN agent_runs r ON r.id = j.run_id "
+            "WHERE j.status='running'"
+        ).fetchall()
+    finally:
+        conn.close()
+    return [dict(r) for r in rows]
+
+
+def agent_cost_totals() -> dict:
+    """ORCH-099 (D7): read-only aggregate of cost / tokens over all agent_runs.
+
+    Pure ``SELECT COALESCE(SUM(...),0)`` — an empty ``agent_runs`` table yields
+    zeros, never an error (TC-06 / TC-11). Read-only; never mutates.
+    """
+    conn = get_db()
+    try:
+        row = conn.execute(
+            "SELECT "
+            "COALESCE(SUM(cost_usd),0) AS cost_usd, "
+            "COALESCE(SUM(input_tokens),0) AS input_tokens, "
+            "COALESCE(SUM(output_tokens),0) AS output_tokens, "
+            "COALESCE(SUM(cache_read_tokens),0) AS cache_read_tokens, "
+            "COALESCE(SUM(cache_creation_tokens),0) AS cache_creation_tokens "
+            "FROM agent_runs"
+        ).fetchone()
+    finally:
+        conn.close()
+    return dict(row) if row else {
+        "cost_usd": 0,
+        "input_tokens": 0,
+        "output_tokens": 0,
+        "cache_read_tokens": 0,
+        "cache_creation_tokens": 0,
+    }
+
+
+def queue_retry_stats() -> dict:
+    """ORCH-099 (D4): read-only retry raw over UNFINISHED jobs for /metrics.queue.
+
+    Aggregates ``attempts`` / ``transient_attempts`` and counts jobs currently in
+    backoff (``available_at > now``) across non-terminal jobs (status NOT IN
+    done/failed/cancelled). Read-only; never mutates.
+    """
+    conn = get_db()
+    try:
+        row = conn.execute(
+            "SELECT "
+            "COALESCE(SUM(attempts),0) AS total_attempts, "
+            "COALESCE(SUM(transient_attempts),0) AS total_transient_attempts, "
+            "COALESCE(MAX(attempts),0) AS max_attempts_seen, "
+            "COALESCE(SUM(CASE WHEN available_at IS NOT NULL "
+            "  AND available_at > datetime('now') THEN 1 ELSE 0 END),0) AS in_backoff "
+            "FROM jobs WHERE status NOT IN ('done','failed','cancelled')"
+        ).fetchone()
+    finally:
+        conn.close()
+    return dict(row) if row else {
+        "total_attempts": 0,
+        "total_transient_attempts": 0,
+        "max_attempts_seen": 0,
+        "in_backoff": 0,
+    }
+
+
 def reap_running_job(
    job_id: int,
    status: str,
@@ -1185,13 +1328,20 @@ def get_job(job_id: int) -> dict | None:


 def job_status_counts() -> dict:
-    """Return counts grouped by status (for /queue observability)."""
+    """Return counts grouped by status (for /queue and /metrics observability).
+
+    ORCH-099 (D4): the default dict carries the ``cancelled`` terminal key
+    (ORCH-090, terminal set ``{done, cancelled}``) so the key is always present
+    with a 0 default instead of materialising only when a cancelled job exists.
+    Purely additive — the GROUP BY query is unchanged and pre-existing keys keep
+    their meaning (no /queue contract break).
+    """
    conn = get_db()
    rows = conn.execute(
        "SELECT status, COUNT(*) AS n FROM jobs GROUP BY status"
    ).fetchall()
    conn.close()
-    counts = {"queued": 0, "running": 0, "done": 0, "failed": 0}
+    counts = {"queued": 0, "running": 0, "done": 0, "failed": 0, "cancelled": 0}
    for r in rows:
        counts[r["status"]] = r["n"]
    return counts
--- a/src/fs_normalize.py
+++ b/src/fs_normalize.py
@@ -0,0 +1,539 @@
+"""Legacy root-owned ownership detect + actionable worktree error (ORCH-057).
+
+Background
+----------
+ORCH-040 moved both containers to ``user: "1000:1000"`` by editing ONLY
+``docker-compose.yml``. Changing ``user:`` does NOT change the owner of files that
+the previous root container already created. The bind-mount ``/home/slin/repos ->
+/repos`` therefore still held ``root:root`` directories (``_wt/``, old worktrees,
+``.git/objects``, ``data/runs``). Under uid 1000 (no root) ``git_worktree.
+ensure_worktree`` could not create a worktree next to a ``root:root`` ``/repos/_wt``
+and failed with a RAW ``fatal: could not create leading directories … Permission
+denied`` — the agent never started and the operator had no diagnosis.
+
+The container runs as numeric uid 1000 WITHOUT root, so it physically cannot
+``chown`` foreign (root-owned) files — only DETECT + DIAGNOSE. The real fix is the
+documented operator procedure (INFRA.md «Миграция uid»), run once on the host.
+
+This leaf (ADR-001) provides three additive, kill-switch-reversible primitives:
+
+  * ``classify_worktree_error`` / ``build_worktree_help`` — the pure classifier +
+    actionable message used by ``git_worktree.ensure_worktree`` (D1 / FR-1).
+  * ``scan_ownership`` — a cheap, TTL-cached, never-raise walk of the infra roots
+    that reports whether any file has ``uid != target_uid`` (D2 / FR-2), used by the
+    startup hook (D3 / FR-3) and the ``GET /queue`` ``fs_ownership`` block.
+  * ``normalize`` — an opt-in ``chown`` that runs ONLY when the process is
+    privileged (root / CAP_CHOWN); under uid 1000 it is a no-op + honest log, NOT
+    an error (D4 / FR-4).
+
+Invariants (never broken):
+  * **never-raise** (NFR-3): every public function degrades to a conservative,
+    non-blocking default and NEVER propagates into the worker / lifespan / worktree
+    path. A detect error -> WARNING + ``mismatch=False`` (do not block / panic).
+  * **applies() first** (NFR-2): the expensive walk runs only when the layer is REAL
+    for the repo (``fs_normalize_enabled`` + scope; empty CSV -> self-hosting only),
+    so enduro-trails is never scanned at the default config.
+  * **kill-switch reversible** (D6): ``fs_normalize_enabled=False`` -> all code inert,
+    behaviour 1:1 as before ORCH-057 (the actionable error contract too).
+  * **no chown without privilege** (NFR-1): the code only reads / detects / diagnoses;
+    a real ``chown`` happens only when privileged and ``fs_normalize_auto=True``.
+
+Leaf: imports only ``config`` / ``logging`` / ``os`` / ``time`` (+ lazily
+``qg.checks.is_self_hosting_repo`` / ``notifications`` for scope / observability). It
+never imports ``git_worktree`` / ``stage_engine`` / ``launcher`` (``git_worktree``
+imports THIS module, so the dependency is one-way).
+"""
+from __future__ import annotations
+
+import errno
+import logging
+import os
+import time
+from dataclasses import dataclass, field
+
+from .config import settings
+
+logger = logging.getLogger("orchestrator.fs_normalize")
+
+# Permission-class markers in a git stderr / OSError string (D1 / TR-1). Narrow on
+# purpose — a non-permission error (real branch conflict, missing origin/main,
+# timeout) must NOT be reclassified (AC-2 FAIL-condition), so we match only the
+# unambiguous "no permission to create the file/object" phrases.
+_PERM_MARKERS = (
+    "permission denied",
+    "could not create leading directories",
+    "insufficient permission for adding an object",
+    "operation not permitted",
+)
+
+
+# ---------------------------------------------------------------------------
+# Resolution helpers (target uid, scope, roots)
+# ---------------------------------------------------------------------------
+def _resolve_target_uid(target_uid: int | None = None) -> int:
+    """The uid the scan compares against (the subject that "cannot create files").
+
+    Resolution order (D2 / TR-7): explicit ``target_uid`` arg > ``os.getuid()`` (the
+    uid the process really runs as) > ``settings.fs_target_uid`` fallback (default
+    1000) when ``os.getuid()`` is unavailable. Never raises.
+    """
+    if target_uid is not None:
+        return int(target_uid)
+    try:
+        return os.getuid()
+    except (AttributeError, OSError):  # pragma: no cover - non-POSIX fallback
+        try:
+            return int(settings.fs_target_uid)
+        except (TypeError, ValueError):
+            return 1000
+
+
+def _scope_repos() -> list[str]:
+    """Repos the layer is REAL for (used to build the default ``.git`` roots).
+
+    Non-empty ``fs_normalize_repos`` CSV -> those repos; empty -> self-hosting only
+    (``orchestrator``), mirroring ``coverage_gate``. Never raises -> [] on error.
+    """
+    try:
+        raw = (settings.fs_normalize_repos or "").strip()
+    except Exception:  # noqa: BLE001 - never-raise
+        return []
+    if raw:
+        return [r.strip() for r in raw.split(",") if r.strip()]
+    try:
+        from .qg.checks import SELF_HOSTING_REPO
+        return [SELF_HOSTING_REPO]
+    except Exception:  # noqa: BLE001
+        return ["orchestrator"]
+
+
+def _runs_root() -> str:
+    """``data/runs`` root (per ADR: ``os.path.dirname(db_path)/runs``)."""
+    try:
+        rd = getattr(settings, "runs_dir", None)
+        if rd:
+            return rd
+    except Exception:  # noqa: BLE001
+        pass
+    try:
+        return os.path.join(os.path.dirname(settings.db_path), "runs")
+    except Exception:  # noqa: BLE001
+        return "/app/data/runs"
+
+
+def _default_roots() -> list[str]:
+    """The default scan roots (D2): ``/repos/_wt``, ``data/runs`` and each in-scope
+    repo's ``.git/objects`` + ``.git/worktrees``. Never raises -> [] on error.
+    """
+    roots: list[str] = []
+    try:
+        wt = getattr(settings, "worktrees_dir", None)
+        if wt:
+            roots.append(wt)
+        roots.append(_runs_root())
+        repos_dir = getattr(settings, "repos_dir", "/repos")
+        for repo in _scope_repos():
+            base = os.path.join(repos_dir, repo, ".git")
+            roots.append(os.path.join(base, "objects"))
+            roots.append(os.path.join(base, "worktrees"))
+    except Exception as e:  # noqa: BLE001 - never-raise
+        logger.warning("fs_normalize._default_roots error: %s", e)
+    return roots
+
+
+def _resolve_roots(roots: list[str] | None = None) -> list[str]:
+    """Resolve scan roots: explicit arg > ``fs_scan_roots`` CSV > the default set."""
+    if roots is not None:
+        return list(roots)
+    try:
+        raw = (settings.fs_scan_roots or "").strip()
+    except Exception:  # noqa: BLE001
+        raw = ""
+    if raw:
+        return [r.strip() for r in raw.split(",") if r.strip()]
+    return _default_roots()
+
+
+# ---------------------------------------------------------------------------
+# Conditionality (mirrors coverage_gate_applies)
+# ---------------------------------------------------------------------------
+def applies(repo: str) -> bool:
+    """Whether the ORCH-057 layer is REAL for this repo (D6 / NFR-2).
+
+      * ``fs_normalize_enabled=False`` -> always False (kill-switch).
+      * ``fs_normalize_repos`` (CSV) non-empty -> real only for the listed repos.
+      * empty CSV -> real ONLY for the self-hosting repo (``orchestrator``).
+    Never raises -> False (the safe no-op default).
+    """
+    try:
+        if not settings.fs_normalize_enabled:
+            return False
+        raw = (settings.fs_normalize_repos or "").strip()
+        if raw:
+            allowed = {r.strip().lower() for r in raw.split(",") if r.strip()}
+            return (repo or "").strip().lower() in allowed
+        from .qg.checks import is_self_hosting_repo
+        return is_self_hosting_repo(repo)
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.warning("fs_normalize.applies error for %s: %s", repo, e)
+        return False
+
+
+# ---------------------------------------------------------------------------
+# D1: actionable worktree error (pure classifier + message)
+# ---------------------------------------------------------------------------
+def classify_worktree_error(text: str | None) -> bool:
+    """Pure: True iff ``text`` looks like a "no permission to create" failure.
+
+    Matches only the narrow ``_PERM_MARKERS`` so a non-permission git error keeps
+    its original contract (AC-2). Never raises -> False on bad input.
+    """
+    try:
+        t = (text or "").lower()
+        return any(m in t for m in _PERM_MARKERS)
+    except Exception:  # noqa: BLE001
+        return False
+
+
+def is_permission_failure(*, stderr: str | None = None, exc: BaseException | None = None) -> bool:
+    """True iff a worktree failure is the legacy-ownership permission class.
+
+    Considers both a git ``stderr`` string (marker match) and an ``OSError``
+    (``PermissionError`` or ``errno`` in ``EACCES``/``EPERM``). Never raises.
+    """
+    try:
+        if isinstance(exc, PermissionError):
+            return True
+        if isinstance(exc, OSError) and exc.errno in (errno.EACCES, errno.EPERM):
+            return True
+        if classify_worktree_error(stderr):
+            return True
+        if exc is not None and classify_worktree_error(str(exc)):
+            return True
+    except Exception:  # noqa: BLE001
+        return False
+    return False
+
+
+def build_worktree_help(repo: str, branch: str, target_uid: int | None = None, raw: str = "") -> str:
+    """Build the actionable RuntimeError message for a permission-class worktree
+    failure (D1): names the root cause + the healing command + the INFRA.md
+    procedure, instead of a raw git stderr (AC-2). Never raises.
+    """
+    try:
+        tuid = _resolve_target_uid(target_uid)
+        wt_dir = getattr(settings, "worktrees_dir", "/repos/_wt")
+        git_dir = os.path.join(getattr(settings, "repos_dir", "/repos"), repo, ".git")
+        msg = (
+            f"Cannot create git worktree for {repo}:{branch} — permission denied. "
+            f"Likely cause: legacy root-owned files in {wt_dir} or {git_dir} left over "
+            f"from before the uid migration (ORCH-040). This container runs as uid "
+            f"{tuid} without root and cannot chown foreign files itself. Fix (run once "
+            f"on the host as root): `sudo chown -R {tuid}:{tuid} {wt_dir}` and "
+            f"`sudo chown -R {tuid}:{tuid} {git_dir}`. See docs/operations/INFRA.md "
+            f"section «Миграция uid: обязательная нормализация legacy root-файлов»."
+        )
+        if raw:
+            msg += f" (underlying error: {raw.strip()})"
+        return msg
+    except Exception:  # noqa: BLE001 - never-raise; degrade to a minimal hint
+        return (
+            f"Cannot create git worktree for {repo}:{branch} — permission denied "
+            f"(legacy root-owned files; see docs/operations/INFRA.md «Миграция uid»)."
+        )
+
+
+# ---------------------------------------------------------------------------
+# D2: ownership scan (TTL-cached, never-raise, early-exit per root)
+# ---------------------------------------------------------------------------
+@dataclass
+class OwnershipScan:
+    """Result of an ownership scan (D2). ``mismatch`` is the boolean verdict."""
+
+    mismatch: bool
+    target_uid: int
+    roots_checked: list[str] = field(default_factory=list)
+    roots_mismatch: list[str] = field(default_factory=list)
+    sample_path: str | None = None
+    count: int | None = None
+    checked_at: float = 0.0
+    enabled: bool = True
+
+    def to_dict(self) -> dict:
+        return {
+            "enabled": self.enabled,
+            "mismatch": self.mismatch,
+            "target_uid": self.target_uid,
+            "roots_checked": self.roots_checked,
+            "roots_mismatch": self.roots_mismatch,
+            "sample_path": self.sample_path,
+            "count": self.count,
+            "checked_at": self.checked_at,
+        }
+
+
+class _ScanCache:
+    def __init__(self):
+        self.ts: float = 0.0
+        self.key: tuple | None = None
+        self.result: OwnershipScan | None = None
+
+
+_cache = _ScanCache()
+
+
+def reset_cache() -> None:
+    """Invalidate the TTL detect cache (tests / forced recheck)."""
+    _cache.ts = 0.0
+    _cache.key = None
+    _cache.result = None
+
+
+def _first_mismatch(root: str, target_uid: int) -> str | None:
+    """Return the first path under ``root`` whose ``st_uid != target_uid`` (early
+    exit), else None. ``os.lstat`` (not ``stat``) so a symlink's own ownership is
+    judged, never its target. Never raises -> None on any walk error.
+    """
+    try:
+        if not os.path.exists(root):
+            return None
+        try:
+            if os.lstat(root).st_uid != target_uid:
+                return root
+        except OSError:
+            return None
+        for dirpath, dirnames, filenames in os.walk(root, onerror=None):
+            for name in dirnames:
+                p = os.path.join(dirpath, name)
+                try:
+                    if os.lstat(p).st_uid != target_uid:
+                        return p
+                except OSError:
+                    continue
+            for name in filenames:
+                p = os.path.join(dirpath, name)
+                try:
+                    if os.lstat(p).st_uid != target_uid:
+                        return p
+                except OSError:
+                    continue
+    except Exception as e:  # noqa: BLE001 - never-raise
+        logger.warning("fs_normalize._first_mismatch error for %s: %s", root, e)
+        return None
+    return None
+
+
+def _scan(roots: list[str], target_uid: int) -> OwnershipScan:
+    """Walk each root, early-exiting per root at its first mismatch. The clean case
+    (no mismatch) walks fully; the dirty case stops fast per root (TR-2 cost). Lists
+    every affected root (informative verdict). Never raises -> conservative
+    ``mismatch=False`` on a wholesale error.
+    """
+    roots_checked: list[str] = []
+    roots_mismatch: list[str] = []
+    sample_path: str | None = None
+    try:
+        for root in roots:
+            if not os.path.exists(root):
+                continue
+            roots_checked.append(root)
+            hit = _first_mismatch(root, target_uid)
+            if hit is not None:
+                roots_mismatch.append(root)
+                if sample_path is None:
+                    sample_path = hit
+    except Exception as e:  # noqa: BLE001 - never-raise -> conservative verdict
+        logger.warning("fs_normalize._scan error -> mismatch=False: %s", e)
+        return OwnershipScan(
+            mismatch=False, target_uid=target_uid,
+            roots_checked=roots_checked, roots_mismatch=[], checked_at=time.time(),
+        )
+    return OwnershipScan(
+        mismatch=bool(roots_mismatch),
+        target_uid=target_uid,
+        roots_checked=roots_checked,
+        roots_mismatch=roots_mismatch,
+        sample_path=sample_path,
+        checked_at=time.time(),
+    )
+
+
+def scan_ownership(
+    roots: list[str] | None = None,
+    target_uid: int | None = None,
+    force: bool = False,
+) -> OwnershipScan:
+    """Detect files with ``uid != target_uid`` across the infra roots (D2 / FR-2).
+
+    TTL-cached (``fs_scan_cache_ttl_s``, mirrors ``preflight._cache``): a repeat call
+    inside the window with the SAME (roots, target_uid) returns the cached result
+    without re-walking; ``force=True`` (or ``reset_cache()``) re-scans. Kill-switch
+    off -> an inert ``mismatch=False`` result (``enabled=False``). Never raises.
+    """
+    try:
+        if not settings.fs_normalize_enabled:
+            return OwnershipScan(
+                mismatch=False, target_uid=_resolve_target_uid(target_uid),
+                checked_at=time.time(), enabled=False,
+            )
+        resolved_roots = _resolve_roots(roots)
+        tuid = _resolve_target_uid(target_uid)
+        key = (tuple(resolved_roots), tuid)
+        now = time.time()
+        try:
+            ttl = float(settings.fs_scan_cache_ttl_s)
+        except (TypeError, ValueError):
+            ttl = 300.0
+        if (
+            not force
+            and _cache.result is not None
+            and _cache.key == key
+            and (now - _cache.ts) < ttl
+        ):
+            return _cache.result
+        result = _scan(resolved_roots, tuid)
+        _cache.ts = now
+        _cache.key = key
+        _cache.result = result
+        return result
+    except Exception as e:  # noqa: BLE001 - never-raise -> conservative verdict
+        logger.warning("fs_normalize.scan_ownership error -> mismatch=False: %s", e)
+        return OwnershipScan(
+            mismatch=False, target_uid=_resolve_target_uid(target_uid),
+            checked_at=time.time(),
+        )
+
+
+# ---------------------------------------------------------------------------
+# D4: opt-in normalize (chown ONLY when privileged) — never init-container
+# ---------------------------------------------------------------------------
+def _is_privileged() -> bool:
+    """True iff the process can chown foreign files (root). Under uid 1000 -> False.
+
+    A practical check: ``os.geteuid() == 0``. A CAP_CHOWN-without-root environment
+    still degrades to the honest no-op (a chown attempt would simply fail and be
+    swallowed). Never raises -> False (the safe "not privileged" default).
+    """
+    try:
+        return os.geteuid() == 0
+    except (AttributeError, OSError):  # pragma: no cover - non-POSIX
+        return False
+
+
+def normalize(roots: list[str] | None = None, target_uid: int | None = None) -> dict:
+    """Opt-in ``chown -R target_uid:target_uid`` over the roots, ONLY when the
+    process is privileged (D4 / FR-4). Under uid 1000 (the prod-self case) it is a
+    no-op + honest log "operator procedure required" — NOT an error. Gated by
+    ``fs_normalize_auto`` at the call site; this function additionally self-guards on
+    ``_is_privileged()``. Never raises.
+
+    Returns a result dict ``{attempted, privileged, changed, errors, note}``.
+    """
+    result = {"attempted": False, "privileged": False, "changed": 0, "errors": [], "note": ""}
+    try:
+        if not settings.fs_normalize_enabled:
+            result["note"] = "disabled (fs_normalize_enabled=False)"
+            return result
+        tuid = _resolve_target_uid(target_uid)
+        privileged = _is_privileged()
+        result["privileged"] = privileged
+        if not privileged:
+            result["note"] = (
+                "not privileged (process runs as non-root) — chown of legacy "
+                "root-owned files needs the operator procedure (docs/operations/"
+                "INFRA.md «Миграция uid»)."
+            )
+            logger.warning("fs_normalize.normalize: %s", result["note"])
+            return result
+
+        result["attempted"] = True
+        resolved_roots = _resolve_roots(roots)
+        changed = 0
+        for root in resolved_roots:
+            if not os.path.exists(root):
+                continue
+            for path in _iter_paths(root):
+                try:
+                    if os.lstat(path).st_uid != tuid:
+                        os.chown(path, tuid, tuid, follow_symlinks=False)
+                        changed += 1
+                except OSError as e:
+                    result["errors"].append(f"{path}: {e}")
+        result["changed"] = changed
+        result["note"] = f"chown applied to {changed} path(s) over {len(resolved_roots)} root(s)"
+        logger.info("fs_normalize.normalize: %s", result["note"])
+        return result
+    except Exception as e:  # noqa: BLE001 - never-raise
+        logger.error("fs_normalize.normalize error: %s", e)
+        result["note"] = f"error: {e}"
+        return result
+
+
+def _iter_paths(root: str):
+    """Yield ``root`` and every path beneath it (never raises per item)."""
+    try:
+        yield root
+        for dirpath, dirnames, filenames in os.walk(root, onerror=None):
+            for name in dirnames + filenames:
+                yield os.path.join(dirpath, name)
+    except Exception as e:  # noqa: BLE001
+        logger.warning("fs_normalize._iter_paths error for %s: %s", root, e)
+
+
+# ---------------------------------------------------------------------------
+# Observability snapshot for GET /queue (D6 / AC-4)
+# ---------------------------------------------------------------------------
+def snapshot() -> dict:
+    """Read-only ownership summary for GET /queue (``fs_ownership`` block, AC-4).
+
+    Additive; uses the TTL-cached scan (no expensive walk on every /queue hit).
+    never-raise: any error -> a minimal dict carrying the flags.
+    """
+    try:
+        enabled = bool(settings.fs_normalize_enabled)
+    except Exception:  # noqa: BLE001
+        enabled = False
+    try:
+        auto = bool(getattr(settings, "fs_normalize_auto", False))
+    except Exception:  # noqa: BLE001
+        auto = False
+    try:
+        repos_cfg = getattr(settings, "fs_normalize_repos", "") or ""
+    except Exception:  # noqa: BLE001
+        repos_cfg = ""
+    out = {
+        "enabled": enabled,
+        "auto": auto,
+        "repos": repos_cfg,
+        "target_uid": _resolve_target_uid(),
+        "mismatch": False,
+        "roots_checked": [],
+        "roots_mismatch": [],
+        "sample_path": None,
+        "checked_at": None,
+    }
+    try:
+        if enabled:
+            scan = scan_ownership()
+            out["mismatch"] = scan.mismatch
+            out["target_uid"] = scan.target_uid
+            out["roots_checked"] = scan.roots_checked
+            out["roots_mismatch"] = scan.roots_mismatch
+            out["sample_path"] = scan.sample_path
+            out["checked_at"] = scan.checked_at or None
+    except Exception as e:  # noqa: BLE001 - never-raise -> minimal dict
+        logger.warning("fs_normalize.snapshot error: %s", e)
+    return out
+
+
+def healing_command(target_uid: int | None = None) -> str:
+    """The one-line operator healing hint (startup WARNING / Telegram). Never raises."""
+    try:
+        tuid = _resolve_target_uid(target_uid)
+        wt_dir = getattr(settings, "worktrees_dir", "/repos/_wt")
+        return (
+            f"sudo chown -R {tuid}:{tuid} {wt_dir} <repo>/.git data/runs "
+            f"(см. docs/operations/INFRA.md «Миграция uid»)"
+        )
+    except Exception:  # noqa: BLE001
+        return "sudo chown -R 1000:1000 /repos/_wt (см. docs/operations/INFRA.md «Миграция uid»)"
--- a/src/git_worktree.py
+++ b/src/git_worktree.py
@@ -39,6 +39,31 @@ def _main_repo(repo: str) -> str:
    return os.path.join(settings.repos_dir, repo)


+def _raise_if_permission(repo: str, branch: str, *, stderr: str | None = None,
+                         exc: BaseException | None = None) -> None:
+    """ORCH-057 D1: if a worktree failure is the legacy-ownership permission class,
+    raise an actionable ``RuntimeError`` (cause + healing command + INFRA.md ref)
+    instead of a raw git stderr (FR-1 / AC-2).
+
+    Gated by ``fs_normalize_enabled`` — when the kill-switch is off the error
+    contract is byte-for-byte as before ORCH-057 (this helper is a no-op, the caller
+    re-raises the original). A non-permission error is also a no-op here, so the
+    caller's existing message/semantics are preserved (no meaning substitution).
+    Never raises anything other than the deliberate actionable RuntimeError.
+    """
+    try:
+        if not settings.fs_normalize_enabled:
+            return
+        from . import fs_normalize
+        if fs_normalize.is_permission_failure(stderr=stderr, exc=exc):
+            raw = stderr if stderr is not None else (str(exc) if exc else "")
+            raise RuntimeError(fs_normalize.build_worktree_help(repo, branch, raw=raw))
+    except RuntimeError:
+        raise
+    except Exception as e:  # noqa: BLE001 - classification must never mask the real error
+        logger.warning("worktree permission-classification skipped: %s", e)
+
+
 def ensure_worktree(repo: str, branch: str) -> str:
    """Create (or reuse) an isolated worktree for ``branch``. Returns its path.

@@ -75,7 +100,14 @@ def ensure_worktree(repo: str, branch: str) -> str:
        logger.info(f"Worktree reused: {wt} (branch {branch})")
        return wt

-    os.makedirs(os.path.dirname(wt), exist_ok=True)
+    # ORCH-057 D1: creating the leading worktree directory next to a legacy
+    # root-owned /repos/_wt fails with Permission denied under uid 1000 — turn that
+    # into an actionable error (the kill-switch / non-permission path is unchanged).
+    try:
+        os.makedirs(os.path.dirname(wt), exist_ok=True)
+    except OSError as e:
+        _raise_if_permission(repo, branch, exc=e)
+        raise

    # Try to attach an existing branch (local or remote-tracking) to the new worktree.
    r = subprocess.run(["git", "-C", main_repo, "worktree", "add", wt, branch],
@@ -87,9 +119,12 @@ def ensure_worktree(repo: str, branch: str) -> str:
            capture_output=True, text=True, timeout=60,
        )
        if r2.returncode != 0:
+            combined = f"{r.stderr.strip()} | {r2.stderr.strip()}"
+            # ORCH-057 D1: a permission-class git fatal -> actionable RuntimeError;
+            # any other failure keeps the prior raw-stderr contract (AC-2).
+            _raise_if_permission(repo, branch, stderr=combined)
            raise RuntimeError(
-                f"git worktree add failed for {repo}:{branch}: "
-                f"{r.stderr.strip()} | {r2.stderr.strip()}"
+                f"git worktree add failed for {repo}:{branch}: {combined}"
            )
    logger.info(f"Worktree ready: {wt} (branch {branch})")
    return wt
--- a/src/main.py
+++ b/src/main.py
@@ -89,6 +89,44 @@ async def lifespan(app: FastAPI):
    except Exception as e:
        log.warning(f"Log rotation skipped: {e}")

+    # ORCH-057 (D3 / FR-3): best-effort legacy-ownership detect. Surfaces a
+    # PROACTIVE operator signal (WARNING + Telegram) when /repos still holds
+    # root-owned files after the uid migration, BEFORE a task fails on launch.
+    # never-fatal (mirrors lease-reclaim / log-rotation above): a detect error must
+    # not crash the start of the shared instance. The actual "clear, early" failure
+    # is delivered by the actionable error in ensure_worktree (D1) — claim is NOT
+    # blocked (ADR-001 D3). Honours ORCH_FS_NORMALIZE_ENABLED inside scan_ownership.
+    try:
+        from .fs_normalize import scan_ownership, healing_command, normalize
+        from .config import settings as _fs_settings
+        scan = scan_ownership()
+        if scan.mismatch:
+            log.warning(
+                "FS-ownership mismatch: %d root(s) with files not owned by uid %s "
+                "(%s; sample: %s). Heal: %s",
+                len(scan.roots_mismatch), scan.target_uid,
+                ", ".join(scan.roots_mismatch), scan.sample_path, healing_command(),
+            )
+            try:
+                from .notifications import send_telegram
+                send_telegram(
+                    "⚠️ Orchestrator: обнаружены legacy root-owned файлы в "
+                    f"{', '.join(scan.roots_mismatch)} (uid != {scan.target_uid}). "
+                    f"Первый запуск задачи может упасть на создании worktree. "
+                    f"Лечение: {healing_command()}"
+                )
+            except Exception:
+                pass
+            # D4 / FR-4: opt-in auto-chown ONLY when privileged (no-op under uid 1000).
+            if getattr(_fs_settings, "fs_normalize_auto", False):
+                try:
+                    res = normalize()
+                    log.warning("FS-ownership auto-normalize: %s", res.get("note"))
+                except Exception as e:  # noqa: BLE001
+                    log.warning("FS-ownership auto-normalize skipped: %s", e)
+    except Exception as e:
+        log.warning(f"FS-ownership detect skipped: {e}")
+
    # Start the background job-queue worker (ORCH-1).
    from .queue_worker import worker
    worker.start()
@@ -171,8 +209,10 @@ async def queue():
    from . import task_deps
    from . import serial_gate
    from . import coverage_gate
+    from . import fs_normalize
    from . import labels
    from . import cancel
+    from . import bug_fast_track
    from .disk_watchdog import disk_watchdog
    from .build_cache_pruner import build_cache_pruner
    return {
@@ -193,6 +233,10 @@ async def queue():
        # ORCH-027 (FR-7 / AC-9): coverage-gate observability (read-only) —
        # kill-switch, scope, policy/floor/epsilon, per-repo baselines. Additive block.
        "coverage": coverage_gate.snapshot(),
+        # ORCH-057 (D6 / AC-4): legacy-ownership detect observability (read-only) —
+        # kill-switch, scope, target_uid, mismatch + affected roots (TTL-cached scan).
+        # Additive block; never-raise.
+        "fs_ownership": fs_normalize.snapshot(),
        # ORCH-089 (D7): auto-mode-by-label observability (read-only) — kill-switch,
        # label names, scope. Additive block.
        "auto_labels": labels.snapshot(),
@@ -200,6 +244,10 @@ async def queue():
        # repo scope, cancelled/deferred counts, recent cancellations. Additive block;
        # never-raise.
        "stop": cancel.snapshot(),
+        # ORCH-019 (FR-7 / AC-7): bug-fast-track observability (read-only) —
+        # kill-switch, label, scope, bug-task counts + the structural savings metric
+        # (architecture stages skipped). Additive block; never-raise.
+        "bug_fast_track": bug_fast_track.snapshot(),
        # ORCH-063 (FR-6 / AC-7): disk-watchdog observability (read-only) —
        # enabled, threshold, interval, last measurement per host-path. Additive
        # block; never-raise (status() returns {"enabled": ...} minimum on error).
@@ -213,6 +261,26 @@ async def queue():
    }


+@app.get("/metrics")
+async def metrics():
+    """ORCH-099 (FND/F1a): lightweight read-only raw-signal snapshot for the F1b sidecar.
+
+    A versioned JSON envelope (``schema_version`` / ``generated_at`` / ``clk_tck``)
+    with four raw-signal sections — ``stages`` (active task stages + age),
+    ``queue`` (counts / retries / breaker / concurrency), ``agents`` (agent-liveness:
+    pid / runtime / cpu_ticks), ``cost`` (per-run + aggregate tokens/cost). The
+    orchestrator emits ONLY raw signal it alone knows; the stateful arbiter
+    (thresholds / deltas / alerts) is the separate sidecar (BRD §1).
+
+    Thin wrapper over ``metrics.build_metrics()`` (in the style of GET /queue): the
+    collector is already strictly read-only and never-raise, so no extra error
+    handling is needed here. Same access level as /queue//status. The format is the
+    documented contract for the sidecar (docs/architecture/README.md).
+    """
+    from . import metrics as metrics_mod
+    return metrics_mod.build_metrics()
+
+
@app.post("/serial-gate/unfreeze")
 async def serial_gate_unfreeze(repo: str = ""):
    """ORCH-088 (FR-5, ADR-001 D4): manually clear a per-repo rollback-freeze.
@@ -242,6 +310,26 @@ async def serial_gate_unfreeze(repo: str = ""):
    return {"ok": True, "repo": repo, "cleared": cleared, "frozen": frozen}


+@app.post("/fs-normalize/check")
+async def fs_normalize_check(normalize: bool = False):
+    """ORCH-057 (D6 / AC-4): force a fresh legacy-ownership detect (bypass the TTL
+    cache) and return the snapshot. By образцу ``POST /serial-gate/unfreeze``.
+
+    ``normalize=true`` additionally attempts an opt-in ``chown`` — a no-op under uid
+    1000 (the prod-self case), effective only when the process is privileged (D4).
+    The real fix remains the operator procedure (docs/operations/INFRA.md «Миграция
+    uid»). Read-only/never-raise otherwise.
+    """
+    from . import fs_normalize as _fs
+    scan = _fs.scan_ownership(force=True)
+    out = {"ok": True, "scan": scan.to_dict(), "healing": _fs.healing_command()}
+    if normalize:
+        out["normalize"] = _fs.normalize()
+        # Re-scan so the returned snapshot reflects any change a privileged run made.
+        out["scan"] = _fs.scan_ownership(force=True).to_dict()
+    return out
+
+
@app.post("/coverage/baseline")
 async def coverage_set_baseline(repo: str = "", value: float | None = None):
    """ORCH-027 (D8): manually set/override the per-repo coverage baseline.
@@ -260,3 +348,45 @@ async def coverage_set_baseline(repo: str = "", value: float | None = None):
    repo = repo.strip()
    ok = db.set_coverage_baseline(repo, value, sha="manual-override")
    return {"ok": ok, "repo": repo, "baseline": db.get_coverage_baseline(repo)}
+
+
+@app.post("/bug-fast-track/escalate")
+async def bug_fast_track_escalate(work_item: str = ""):
+    """ORCH-019 (FR-5 / AC-5, ADR-001 D5): escalate a bug-fast-track task to the
+    full cycle (return it to the route WITH `architecture`).
+
+    Operator path for a bug that turned out to be complex / architectural / visual
+    (needs an ADR or a mock): reset ``tasks.track`` 'bug' -> 'full'. Apply while the
+    task is still in `analysis` (before its exit) — the next advance_stage then routes
+    analysis -> architecture normally. By образцу ``POST /serial-gate/unfreeze`` /
+    ``POST /coverage/baseline``. never-raise.
+    """
+    from . import db
+    if not work_item or not work_item.strip():
+        return {"ok": False, "error": "missing 'work_item'", "work_item": work_item}
+    work_item = work_item.strip()
+    task = db.get_task_by_work_item_id(work_item)
+    if not task:
+        return {"ok": False, "error": "unknown work_item", "work_item": work_item}
+    prev_track = task.get("track") or "full"
+    db.set_task_track(task["id"], "full")
+    if prev_track == "bug":
+        try:
+            from .notifications import send_telegram
+            send_telegram(
+                f"🐞➡️ {work_item}: эскалация в ПОЛНЫЙ цикл "
+                f"(багфикс-трек снят, стадия architecture восстановлена)."
+            )
+        except Exception:
+            pass
+        try:
+            from .plane_sync import add_comment
+            add_comment(
+                work_item,
+                "🐞➡️ Эскалация: задача возвращена в полный цикл "
+                "(багфикс-трек снят, стадия architecture восстановлена).",
+                author="analyst",
+            )
+        except Exception:
+            pass
+    return {"ok": True, "work_item": work_item, "track": "full", "was": prev_track}
--- a/src/metrics.py
+++ b/src/metrics.py
@@ -0,0 +1,276 @@
+"""ORCH-099 (FND/F1a): lightweight read-only ``/metrics`` raw-signal collector.
+
+A leaf module that builds a versioned JSON snapshot of the orchestrator's own
+raw state for the future observability sidecar (F1b, ``watchdog/``): active task
+stages, the job queue, agent-liveness, and cost/tokens. The orchestrator emits
+ONLY raw signal it alone knows — the sidecar is the stateful arbiter that
+computes thresholds / deltas / alerts (BRD §1, observer separated from observed).
+
+Design (ADR-001, by образцу ``serial_gate.snapshot()`` / ``cancel.snapshot()``):
+  * pure, never-raise, no side effects — only reads existing tables
+    (``tasks`` / ``jobs`` / ``agent_runs``) and the in-memory worker snapshot;
+  * ``build_metrics()`` assembles the envelope section-by-section, each section in
+    its own ``try/except`` with a safe default (``None`` / ``[]`` / ``{}``) so a
+    failing source degrades one field, never the whole endpoint (FR-6, NFR-2);
+  * strictly read-only — no INSERT/UPDATE/DELETE/CREATE/ALTER, no process control,
+    no network. Self-hosting-safe on the shared prod instance.
+
+The endpoint ``GET /metrics`` (``src/main.py``) is a thin wrapper that returns
+``build_metrics()`` as-is.
+"""
+from __future__ import annotations
+
+import logging
+import os
+from datetime import datetime, timezone
+
+logger = logging.getLogger("orchestrator.metrics")
+
+# Contract version for the sidecar (D2). Additive changes (new field/section) do
+# NOT bump it — the sidecar MUST ignore unknown keys and tolerate missing
+# optional ones. Bumped ONLY on a breaking change (rename/remove/retype an
+# existing field).
+SCHEMA_VERSION = 1
+
+
+def _now_iso() -> str:
+    """UTC ISO-8601 snapshot timestamp (``...Z``), the orchestrator's own clock.
+
+    Same clock domain as the SQLite ``datetime('now')`` timestamps and the CPU
+    tick reads, so the sidecar's ``(cpu_ticks, generated_at)`` deltas are immune
+    to orchestrator↔sidecar clock skew (TR-3). Never raises.
+    """
+    try:
+        return datetime.now(timezone.utc).strftime("%Y-%m-%dT%H:%M:%SZ")
+    except Exception as e:  # noqa: BLE001 - never-raise
+        logger.warning("metrics._now_iso error: %s", e)
+        return ""
+
+
+def _clk_tck() -> int | None:
+    """Process-global SC_CLK_TCK (ticks/second) — the basis for converting raw CPU
+    ticks to seconds on the sidecar side. ``None`` on non-Linux / failure.
+    """
+    try:
+        return int(os.sysconf("SC_CLK_TCK"))
+    except Exception as e:  # noqa: BLE001 - never-raise (non-Linux / unsupported)
+        logger.warning("metrics._clk_tck error: %s", e)
+        return None
+
+
+def _read_cpu_ticks(pid: int | None) -> int | None:
+    """Sum of utime+stime (CPU ticks) from ``/proc/<pid>/stat`` — raw liveness signal.
+
+    The orchestrator emits raw ticks and does NOT compute the delta — the sidecar
+    is the stateless arbiter (it divides ``(ticks₂−ticks₁)/clk_tck`` by the
+    ``generated_at`` delta to get a CPU fraction; a tiny fraction at a growing
+    ``runtime_s`` ⇒ a "stuck" candidate). Parsing is robust to spaces in ``comm``:
+    fields are read AFTER the closing ``") "`` of the process name (canonical
+    proc-stat read). utime = field 14, stime = field 15 → indices 11 and 12 of the
+    post-``)`` token list (fields 3.. shift by 3).
+
+    never-raise (NFR-2, AC-6): ``pid is None`` / missing ``/proc/<pid>`` (process
+    died or non-Linux) / any parse error → ``None`` (NOT an exception). The caller
+    keeps every other field and the whole endpoint intact.
+    """
+    if pid is None:
+        return None
+    try:
+        with open(f"/proc/{int(pid)}/stat", "r") as f:
+            data = f.read()
+        rparen = data.rfind(") ")
+        if rparen == -1:
+            return None
+        rest = data[rparen + 2:].split()
+        # rest[0] = state (field 3); utime = field 14 -> rest[11], stime -> rest[12]
+        return int(rest[11]) + int(rest[12])
+    except Exception:  # noqa: BLE001 - dead pid / no /proc / non-Linux -> null
+        return None
+
+
+def _build_stages() -> list:
+    """Active (non-terminal) task stages (D3, FR-1).
+
+    Source: ``db.get_active_tasks_for_reconcile()`` (``stage != 'done'`` + SQL
+    ``age_s``), with an extra ``stage NOT IN ('done','cancelled')`` filter on the
+    metrics side: that helper deliberately still returns ``cancelled`` tasks for
+    the reconciler's skip-counter (ORCH-086), but terminal tasks are not raw
+    observability signal (terminal set ``{done, cancelled}``, ORCH-090). The helper
+    invariant belongs to ORCH-053/086 — we filter at the consumer, not the source.
+    """
+    from . import db
+
+    rows = db.get_active_tasks_for_reconcile()
+    out = []
+    for t in rows:
+        if t.get("stage") in ("done", "cancelled"):
+            continue
+        out.append({
+            "work_item": t.get("work_item_id"),
+            "stage": t.get("stage"),
+            "age_in_stage_s": t.get("age_s"),
+            "repo": t.get("repo"),
+            "task_id": t.get("id"),
+        })
+    return out
+
+
+def _build_queue() -> dict:
+    """Job-queue raw signal (D4, FR-2): counts, depth, retries, breaker, concurrency.
+
+    Each sub-source is independently guarded: an uninitialised ``worker`` (e.g. in
+    a test) degrades to ``breaker: null`` / ``max_concurrency: null`` — never a 500
+    (NFR-2).
+    """
+    from . import db
+
+    counts = None
+    try:
+        counts = db.job_status_counts()
+    except Exception as e:  # noqa: BLE001
+        logger.warning("metrics queue counts error: %s", e)
+
+    retries = None
+    try:
+        retries = db.queue_retry_stats()
+    except Exception as e:  # noqa: BLE001
+        logger.warning("metrics queue retries error: %s", e)
+
+    breaker = None
+    max_concurrency = None
+    poll_interval = None
+    try:
+        from .queue_worker import worker
+        try:
+            breaker = worker.breaker.snapshot()
+        except Exception as e:  # noqa: BLE001
+            logger.warning("metrics breaker snapshot error: %s", e)
+        max_concurrency = getattr(worker, "max_concurrency", None)
+        poll_interval = getattr(worker, "poll_interval", None)
+    except Exception as e:  # noqa: BLE001 - worker not initialised
+        logger.warning("metrics worker access error: %s", e)
+
+    depth = counts.get("queued") if isinstance(counts, dict) else None
+    return {
+        "counts": counts,
+        "depth": depth,
+        "retries": retries,
+        "breaker": breaker,
+        "max_concurrency": max_concurrency,
+        "poll_interval": poll_interval,
+    }
+
+
+def _build_agents() -> list:
+    """Agent-liveness raw signal (D5/D6, FR-3).
+
+    One entry per running job from ``db.get_running_agents()`` with process
+    identity (``agent`` / ``run_id`` / ``job_id`` / ``pid``), ``runtime_s``
+    (= ``running_age_s``, anchored on ``jobs.started_at``, D6), ``model`` /
+    ``effort``, and the raw ``cpu_ticks`` from ``/proc/<pid>/stat``. ``pid is
+    None`` / dead process → ``cpu_ticks: null`` for THAT agent; the rest stays
+    intact (AC-6, TC-05).
+    """
+    from . import db
+
+    rows = db.get_running_agents()
+    out = []
+    for j in rows:
+        pid = j.get("pid")
+        out.append({
+            "agent": j.get("agent"),
+            "run_id": j.get("run_id"),
+            "job_id": j.get("job_id"),
+            "repo": j.get("repo"),
+            "pid": pid,
+            "runtime_s": j.get("running_age_s"),
+            "model": j.get("model"),
+            "effort": j.get("effort"),
+            "cpu_ticks": _read_cpu_ticks(pid),
+        })
+    return out
+
+
+def _build_cost() -> dict:
+    """Cost / token raw signal (D7, FR-4).
+
+    ``running`` — current per-running-job accruals from ``agent_runs`` (often
+    ``null`` until the job finishes and the launcher parses the CLI JSON — ``null``
+    is honest raw, NOT zero, TR-5). ``aggregate`` — summed totals over all
+    ``agent_runs`` (empty table → zeros, TC-06/TC-11).
+    """
+    from . import db
+
+    running = []
+    try:
+        for j in db.get_running_agents():
+            running.append({
+                "run_id": j.get("run_id"),
+                "job_id": j.get("job_id"),
+                "agent": j.get("agent"),
+                "cost_usd": j.get("cost_usd"),
+                "input_tokens": j.get("input_tokens"),
+                "output_tokens": j.get("output_tokens"),
+                "cache_read_tokens": j.get("cache_read_tokens"),
+                "cache_creation_tokens": j.get("cache_creation_tokens"),
+            })
+    except Exception as e:  # noqa: BLE001
+        logger.warning("metrics cost.running error: %s", e)
+        running = []
+
+    aggregate = None
+    try:
+        aggregate = db.agent_cost_totals()
+    except Exception as e:  # noqa: BLE001
+        logger.warning("metrics cost.aggregate error: %s", e)
+
+    return {"running": running, "aggregate": aggregate}
+
+
+def build_metrics() -> dict:
+    """Assemble the ``/metrics`` envelope (FR-5). never-raise (FR-6, NFR-2, AC-4).
+
+    Each section is collected in its own ``try/except`` with a safe default so a
+    failing source degrades one section, not the whole response. Honours the
+    ``metrics_endpoint_enabled`` kill-switch (D8): when off, returns a minimal
+    parsable body ``{"schema_version", "enabled": false}`` (200, NOT 404) so the
+    sidecar sees the off-switch explicitly.
+    """
+    try:
+        from .config import settings
+        if not bool(getattr(settings, "metrics_endpoint_enabled", True)):
+            return {"schema_version": SCHEMA_VERSION, "enabled": False}
+    except Exception as e:  # noqa: BLE001 - kill-switch read must never break /metrics
+        logger.warning("metrics kill-switch read error: %s", e)
+
+    out: dict = {
+        "schema_version": SCHEMA_VERSION,
+        "generated_at": _now_iso(),
+        "clk_tck": _clk_tck(),
+    }
+
+    try:
+        out["stages"] = _build_stages()
+    except Exception as e:  # noqa: BLE001
+        logger.warning("metrics stages section error: %s", e)
+        out["stages"] = []
+
+    try:
+        out["queue"] = _build_queue()
+    except Exception as e:  # noqa: BLE001
+        logger.warning("metrics queue section error: %s", e)
+        out["queue"] = None
+
+    try:
+        out["agents"] = _build_agents()
+    except Exception as e:  # noqa: BLE001
+        logger.warning("metrics agents section error: %s", e)
+        out["agents"] = []
+
+    try:
+        out["cost"] = _build_cost()
+    except Exception as e:  # noqa: BLE001
+        logger.warning("metrics cost section error: %s", e)
+        out["cost"] = None
+
+    return out
--- a/src/notifications.py
+++ b/src/notifications.py
@@ -452,10 +452,18 @@ def render_task_tracker(task_id: int) -> str:
    task_repo = _row_get(task, "repo")
    task_issue_id = _row_get(task, "plane_issue_id")
    num_html = plane_issue_link(work_item_id, plane_issue_id=task_issue_id, repo=task_repo)
+    # ORCH-019 (D7): mark a bug-fast-track task with a \ud83d\udc1e in the header. Optional,
+    # never-raise \u2014 any error simply omits the marker (the card always renders).
+    bug_marker = ""
+    try:
+        if (_row_get(task, "track") or "").strip().lower() == "bug":
+            bug_marker = "\U0001f41e "
+    except Exception:
+        bug_marker = ""
    header = (
-        f"\U0001f389 {num_html} \u00b7 {esc_title} \u2014 \u0413\u041e\u0422\u041e\u0412\u041e"
+        f"\U0001f389 {bug_marker}{num_html} \u00b7 {esc_title} \u2014 \u0413\u041e\u0422\u041e\u0412\u041e"
        if done
-        else f"\U0001f6e0\ufe0f {num_html} \u00b7 {esc_title}"
+        else f"\U0001f6e0\ufe0f {bug_marker}{num_html} \u00b7 {esc_title}"
    )
    bar = "\u2501" * 22
    # ORCH-067 (req 2): a Plane-status line (model ORCH-066) under the header.
--- a/src/stage_engine.py
+++ b/src/stage_engine.py
@@ -30,7 +30,7 @@ import os
 import time
 from dataclasses import dataclass, field

-from .db import get_db, update_task_stage, enqueue_job
+from .db import get_db, update_task_stage, enqueue_job, get_task_track
 from .stages import get_next_stage, get_qg_for_stage, get_agent_for_stage
 from .git_worktree import get_worktree_path
 from .review_parse import extract_review_findings, extract_test_failures
@@ -40,6 +40,7 @@ from . import merge_gate
 from . import self_deploy
 from . import post_deploy
 from . import labels
+from . import bug_fast_track
 from .notifications import (
    notify_stage_change,
    notify_qg_failure,
@@ -212,6 +213,25 @@ def advance_stage(
    try:
        qg_name = get_qg_for_stage(current_stage)
        next_stage = get_next_stage(current_stage)
+
+        # --- ORCH-019 bug-fast-track routing-override (ADR-001 D3) ------------
+        # A task carrying the Plane `Bug` label is stored as tasks.track='bug' in
+        # start_pipeline. On the analysis-EXIT edge we map analysis -> architecture
+        # to analysis -> development, so a bug skips the whole `architecture` stage
+        # (one opus architect run + ADR + check_architecture_done). This is a pure
+        # routing-override: STAGE_TRANSITIONS / get_next_stage / get_agent_for_stage
+        # stay 1:1, and the track is read from the DB (no network in this hot path,
+        # NFR-4). For a non-bug task (track='full', the DEFAULT) the route is
+        # byte-for-byte unchanged. The `track` is reused below for the next-agent
+        # override and the brd-review-clock stamp.
+        track = get_task_track(task_id)
+        if current_stage == "analysis" and bug_fast_track.skips_architecture(track):
+            next_stage = "development"
+            logger.info(
+                f"Task {task_id}: bug-fast-track -> analysis -> development "
+                f"(skipping architecture, ORCH-019)"
+            )
+
        result.qg_name = qg_name
        result.to_stage = next_stage

@@ -383,7 +403,11 @@ def advance_stage(
        # Telegram live tracker: the analysis->architecture advance is the human
        # Approved gate clearing -> stamp the END of "Ревью БРД" (the only
        # human time). Idempotent: only the first stamp counts.
-        if current_stage == "analysis" and next_stage == "architecture":
+        # ORCH-019 (ADR-001 D3): for a bug-fast-track task the analysis-exit edge
+        # lands on `development` (not `architecture`), so the brd-review-clock end
+        # stamp must trigger on BOTH targets — otherwise "твоё время" (ORCH-087)
+        # would never close on the bug track. This does not touch any gate.
+        if current_stage == "analysis" and next_stage in ("architecture", "development"):
            try:
                from .db import mark_brd_review_ended
                mark_brd_review_ended(task_id)
@@ -462,6 +486,12 @@ def advance_stage(

        # --- Launch the next agent (ORCH-4 fix: current_stage, not next) -----
        next_agent = get_agent_for_stage(current_stage)
+        # ORCH-019 (ADR-001 D3): get_agent_for_stage('analysis') is 'architect'; for a
+        # bug-fast-track task we skip the architect run entirely and launch the
+        # developer directly (mirrors the next_stage override above). get_agent_for_stage
+        # stays pure (1:1) — the override lives here, NOT in stages.py.
+        if current_stage == "analysis" and next_stage == "development":
+            next_agent = "developer"
        if next_agent:
            task_desc = (
                f"Work item: {work_item_id}\nRepo: {repo}\n"
--- a/src/webhooks/plane.py
+++ b/src/webhooks/plane.py
@@ -18,6 +18,7 @@ from ..db import (
    enqueue_job,
    insert_event_dedup,
    create_task_atomic,
+    set_task_track,
 )
 from ._dedup import plane_delivery_id
 from ..stages import get_next_stage, get_agent_for_stage, get_qg_for_stage, get_previous_stage
@@ -648,6 +649,42 @@ async def start_pipeline(data: dict, project_id: str = ""):
        return
    task_id = task_row["id"]

+    # ORCH-019 (FR-1/FR-2, ADR-001 D1/D2): classify the task as a bug-fix and put it
+    # on the cheaper bug-fast-track (skips the `architecture` stage downstream). The
+    # gate idiom is `applies(repo) and is_bug_task(...)`: the LOCAL, network-free
+    # `bug_fast_track_applies` is checked FIRST so a disabled kill-switch / out-of-scope
+    # repo costs ZERO network (no has_label call). The Plane `Bug` label is the source
+    # of truth (read here at start, NEVER in the hot claim_next_job — NFR-4); the type
+    # is persisted in tasks.track so advance_stage routes off the DB, not the network.
+    # never-raise / fail-safe: ANY error -> task stays track='full' (full cycle, AC-6).
+    try:
+        from .. import bug_fast_track
+        if bug_fast_track.bug_fast_track_applies(repo) and bug_fast_track.is_bug_task(
+            work_item_id, plane_project_id
+        ):
+            set_task_track(task_id, "bug")
+            logger.info(
+                f"Task {work_item_id}: classified as BUG -> bug-fast-track "
+                f"(architecture stage will be skipped, ORCH-019)"
+            )
+            try:
+                from ..plane_sync import add_comment as _bug_comment
+                _bug_comment(
+                    work_item_id,
+                    "\U0001f41e Багфикс-трек: "
+                    "упрощённый маршрут "
+                    "(пропуск стадии architecture). "
+                    "Все Quality Gate исполняются.",
+                    author="analyst",
+                )
+            except Exception:
+                pass
+    except Exception as e:
+        logger.warning(
+            f"Task {work_item_id}: bug-fast-track classification skipped "
+            f"(fail-safe -> full cycle): {e}"
+        )
+
    # ORCH-088 (FR-1/AC-6, ADR-001 D1): DEFER the branch cut for an applicable repo.
    # Creating the Gitea branch here (T0, issue -> analysis) would cut it from `main`
    # BEFORE the predecessor is merged -> stale base. When the serial gate applies we
--- a/tests/test_api_queue.py
+++ b/tests/test_api_queue.py
@@ -0,0 +1,68 @@
+"""ORCH-057 TC-12: GET /queue exposes the read-only fs_ownership block.
+
+The block carries {enabled, target_uid, mismatch, roots_checked, roots_mismatch,
+sample_path, checked_at, ...} and /queue must not 5xx whether the layer is on or off.
+"""
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_apiq.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ["ORCH_GITEA_TOKEN"] = "test-token"
+os.environ["ORCH_PLANE_API_TOKEN"] = "test-token"
+os.environ["ORCH_PLANE_WEBHOOK_SECRET"] = ""
+os.environ["ORCH_GITEA_WEBHOOK_SECRET"] = ""
+
+from fastapi.testclient import TestClient
+
+from src import fs_normalize
+from src.main import app
+from src.db import init_db
+
+client = TestClient(app)
+
+
+@pytest.fixture(autouse=True)
+def _db():
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    fs_normalize.reset_cache()
+    yield
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+
+
+def test_tc12_queue_exposes_fs_ownership_block(monkeypatch):
+    """TC-12: GET /queue returns the fs_ownership block with the documented shape."""
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_enabled", True)
+    r = client.get("/queue")
+    assert r.status_code == 200
+    body = r.json()
+    assert "fs_ownership" in body
+    block = body["fs_ownership"]
+    for k in ("enabled", "target_uid", "mismatch", "roots_checked",
+              "roots_mismatch", "sample_path", "checked_at"):
+        assert k in block
+
+
+def test_tc12_queue_no_5xx_when_disabled(monkeypatch):
+    """TC-12: with the kill-switch off /queue still returns 200 (no 5xx)."""
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_enabled", False)
+    fs_normalize.reset_cache()
+    r = client.get("/queue")
+    assert r.status_code == 200
+    assert r.json()["fs_ownership"]["enabled"] is False
+
+
+def test_fs_normalize_check_endpoint():
+    """The optional POST /fs-normalize/check force-rescans and returns the snapshot."""
+    r = client.post("/fs-normalize/check")
+    assert r.status_code == 200
+    body = r.json()
+    assert body["ok"] is True
+    assert "scan" in body and "mismatch" in body["scan"]
+    assert "healing" in body
--- a/tests/test_bug_fast_track.py
+++ b/tests/test_bug_fast_track.py
@@ -0,0 +1,168 @@
+"""ORCH-019 — src/bug_fast_track.py: bug-fast-track pure logic (never-raise, fail-safe).
+
+Covers (04-test-plan.yaml):
+  TC-01  is_bug_task() True for an issue carrying the `Bug` label (label read from
+         the Plane API via labels.has_label, NOT the webhook payload).
+  TC-02  is_bug_task() False on missing/ambiguous label or labels=None (fail-safe).
+  TC-03  bug_fast_track_applies(): the LOCAL scope (enabled + CSV repos) is checked
+         FIRST, before any network; disabled flag -> False without has_label.
+  TC-04  never-raise: an exception in the label apparatus degrades is_bug_task to
+         False (full cycle), never propagates.
+"""
+import os
+import tempfile
+
+import pytest
+
+os.environ.setdefault(
+    "ORCH_DB_PATH", os.path.join(tempfile.gettempdir(), "test_bug_fast_track.db")
+)
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+from src import bug_fast_track  # noqa: E402
+from src import plane_sync  # noqa: E402
+from src import config as cfg  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def enabled_self_hosting(monkeypatch):
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", True, raising=False)
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_label", "Bug", raising=False)
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_repos", "", raising=False)
+    # Keep _resolve_project_id offline-deterministic (mirrors test_labels.py).
+    monkeypatch.setattr(plane_sync, "_resolve_project_id", lambda w=None, p=None: "proj-1")
+    yield
+
+
+# --- TC-01: classification True --------------------------------------------
+def test_tc01_is_bug_task_true(monkeypatch):
+    monkeypatch.setattr(plane_sync, "fetch_issue_labels", lambda w, p=None: ["uuid-BUG"])
+    monkeypatch.setattr(plane_sync, "get_project_labels", lambda pid: {"bug": "uuid-BUG"})
+    assert bug_fast_track.is_bug_task("ORCH-1", "proj-1") is True
+
+
+def test_tc01_label_from_plane_api_not_payload(monkeypatch):
+    """The decision comes from labels.has_label (Plane API), independent of any
+    webhook payload field — a payload `type` is irrelevant."""
+    seen = {"fetch": 0}
+
+    def fetch(w, p=None):
+        seen["fetch"] += 1
+        return ["uuid-BUG"]
+    monkeypatch.setattr(plane_sync, "fetch_issue_labels", fetch)
+    monkeypatch.setattr(plane_sync, "get_project_labels", lambda pid: {"bug": "uuid-BUG"})
+    assert bug_fast_track.is_bug_task("ORCH-1", "proj-1") is True
+    assert seen["fetch"] == 1  # the Plane API WAS consulted
+
+
+# --- TC-02: fail-safe on absent / ambiguous / None -------------------------
+def test_tc02_label_absent(monkeypatch):
+    monkeypatch.setattr(plane_sync, "fetch_issue_labels", lambda w, p=None: ["uuid-OTHER"])
+    monkeypatch.setattr(plane_sync, "get_project_labels", lambda pid: {"bug": "uuid-BUG"})
+    assert bug_fast_track.is_bug_task("ORCH-1", "proj-1") is False
+
+
+def test_tc02_labels_none(monkeypatch):
+    monkeypatch.setattr(plane_sync, "fetch_issue_labels", lambda w, p=None: None)
+    monkeypatch.setattr(plane_sync, "get_project_labels", lambda pid: {"bug": "uuid-BUG"})
+    assert bug_fast_track.is_bug_task("ORCH-1", "proj-1") is False
+
+
+def test_tc02_label_ambiguous(monkeypatch):
+    monkeypatch.setattr(plane_sync, "fetch_issue_labels", lambda w, p=None: ["uuid-BUG"])
+    monkeypatch.setattr(
+        plane_sync, "get_project_labels", lambda pid: {"bug": "__AMBIGUOUS__"}
+    )
+    assert bug_fast_track.is_bug_task("ORCH-1", "proj-1") is False
+
+
+def test_tc02_empty_label_config(monkeypatch):
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_label", "", raising=False)
+    monkeypatch.setattr(plane_sync, "fetch_issue_labels", lambda w, p=None: ["uuid-BUG"])
+    monkeypatch.setattr(plane_sync, "get_project_labels", lambda pid: {"bug": "uuid-BUG"})
+    assert bug_fast_track.is_bug_task("ORCH-1", "proj-1") is False
+
+
+# --- TC-03: local scope first (CSV + self-hosting + kill-switch) ------------
+def test_tc03_empty_csv_self_hosting_only(monkeypatch):
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_repos", "", raising=False)
+    assert bug_fast_track.bug_fast_track_applies("orchestrator") is True
+    assert bug_fast_track.bug_fast_track_applies("enduro-trails") is False
+
+
+def test_tc03_csv_membership(monkeypatch):
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_repos", "enduro-trails, foo", raising=False)
+    assert bug_fast_track.bug_fast_track_applies("enduro-trails") is True
+    assert bug_fast_track.bug_fast_track_applies("foo") is True
+    # orchestrator is NOT in the explicit CSV -> out of scope.
+    assert bug_fast_track.bug_fast_track_applies("orchestrator") is False
+
+
+def test_tc03_killswitch_off_no_network(monkeypatch):
+    """The gate idiom `applies(repo) and is_bug_task(...)` short-circuits before any
+    network call when the kill-switch is off (AC-6)."""
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", False, raising=False)
+    called = {"fetch": 0}
+
+    def spy(*a, **k):
+        called["fetch"] += 1
+        return ["uuid-BUG"]
+    monkeypatch.setattr(plane_sync, "fetch_issue_labels", spy)
+
+    repo = "orchestrator"
+    fired = bug_fast_track.bug_fast_track_applies(repo) and bug_fast_track.is_bug_task(
+        "ORCH-1", "proj-1"
+    )
+    assert fired is False
+    assert called["fetch"] == 0  # is_bug_task never reached -> zero network
+
+
+# --- TC-04: never-raise -----------------------------------------------------
+def test_tc04_is_bug_task_never_raises(monkeypatch):
+    def boom(*a, **k):
+        raise RuntimeError("plane down")
+    monkeypatch.setattr(plane_sync, "fetch_issue_labels", boom)
+    monkeypatch.setattr(plane_sync, "get_project_labels", lambda pid: {"bug": "uuid-BUG"})
+    # Degrades to False (full cycle), no exception.
+    assert bug_fast_track.is_bug_task("ORCH-1", "proj-1") is False
+
+
+def test_tc04_applies_never_raises(monkeypatch):
+    # A repos config whose access explodes still yields False, not a crash.
+    class _Poisoned:
+        bug_fast_track_enabled = True
+
+        @property
+        def bug_fast_track_repos(self):
+            raise RuntimeError("boom")
+
+    monkeypatch.setattr(bug_fast_track, "settings", _Poisoned(), raising=False)
+    assert bug_fast_track.bug_fast_track_applies("orchestrator") is False
+
+
+# --- skips_architecture predicate ------------------------------------------
+def test_skips_architecture_bug(monkeypatch):
+    assert bug_fast_track.skips_architecture("bug") is True
+    assert bug_fast_track.skips_architecture("BUG") is True
+
+
+def test_skips_architecture_full(monkeypatch):
+    assert bug_fast_track.skips_architecture("full") is False
+    assert bug_fast_track.skips_architecture(None) is False
+    assert bug_fast_track.skips_architecture("") is False
+
+
+def test_skips_architecture_killswitch_off(monkeypatch):
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", False, raising=False)
+    # Even a stored 'bug' track is inert when the kill-switch is off (1:1 routing).
+    assert bug_fast_track.skips_architecture("bug") is False
+
+
+# --- snapshot ---------------------------------------------------------------
+def test_snapshot_never_raises():
+    snap = bug_fast_track.snapshot()
+    assert set(snap) >= {
+        "enabled", "label", "repos",
+        "active_bug_tasks", "total_bug_tasks", "est_saved_architecture_runs",
+    }
--- a/tests/test_bug_fast_track_composition.py
+++ b/tests/test_bug_fast_track_composition.py
@@ -0,0 +1,87 @@
+"""ORCH-019 — composition with ORCH-088 serial-gate / ORCH-089 auto-label (AC-9).
+
+Covers (04-test-plan.yaml):
+  TC-14  A bug-fast-track task is an ORDINARY repo task for the serial gate
+         (ORCH-088): it counts as an active task and is gated like any other — it
+         does NOT bypass serialisation. autoApprove/autoDeploy (ORCH-089) apply on
+         the bug track (scope is repo-based, track-agnostic).
+"""
+import os
+import tempfile
+
+import pytest
+
+os.environ["ORCH_DB_PATH"] = os.path.join(tempfile.gettempdir(), "test_bft_composition.db")
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+import src.db as db  # noqa: E402
+from src.db import init_db, get_db, enqueue_job, claim_next_job  # noqa: E402
+from src import serial_gate, labels, config as cfg  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(tmp_path, monkeypatch):
+    dbfile = tmp_path / "comp.db"
+    monkeypatch.setattr(db.settings, "db_path", str(dbfile))
+    monkeypatch.setattr(cfg.settings, "serial_gate_enabled", True, raising=False)
+    monkeypatch.setattr(cfg.settings, "serial_gate_repos", "", raising=False)
+    monkeypatch.setattr(cfg.settings, "serial_gate_freeze_enabled", False, raising=False)
+    monkeypatch.setattr(cfg.settings, "task_deps_enabled", False, raising=False)
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", True, raising=False)
+    monkeypatch.setattr(cfg.settings, "auto_label_enabled", True, raising=False)
+    init_db()
+    yield
+
+
+def _make_task(work_item_id, stage="analysis", repo="orchestrator", track="full"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, track) "
+        "VALUES (?, ?, ?, ?, ?, ?, ?)",
+        (work_item_id, work_item_id, repo, f"feature/{work_item_id}", stage, work_item_id, track),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+def test_tc14_bug_task_counts_as_active_in_serial_gate():
+    # An EARLIER bug task A (unfinished) must gate a later task B's analyst-job —
+    # a bug task does NOT bypass the serial gate.
+    _make_task("ORCH-301", stage="development", track="bug")     # active bug predecessor
+    b = _make_task("ORCH-302", stage="analysis", track="full")   # new task
+    enqueue_job("analyst", "orchestrator", "B", task_id=b)
+    assert claim_next_job() is None, "a bug task must gate a later analyst-job (no bypass)"
+    # The bug task is the active task in the snapshot.
+    per = serial_gate.snapshot()["per_repo"]["orchestrator"]
+    assert per["active_task"]["work_item_id"] == "ORCH-301"
+
+
+def test_tc14_bug_task_itself_gated_behind_predecessor():
+    # The bug task is also HELD behind an earlier non-bug task (symmetry).
+    _make_task("ORCH-310", stage="development", track="full")    # active predecessor
+    b = _make_task("ORCH-311", stage="analysis", track="bug")    # new BUG task
+    enqueue_job("analyst", "orchestrator", "bug-B", task_id=b)
+    assert claim_next_job() is None, "a bug task is itself serialised behind the predecessor"
+
+
+def test_tc14_bug_task_claimable_once_predecessor_done():
+    a = _make_task("ORCH-320", stage="development", track="full")
+    b = _make_task("ORCH-321", stage="analysis", track="bug")
+    jid = enqueue_job("analyst", "orchestrator", "bug-B", task_id=b)
+    assert claim_next_job() is None
+    # Finish A -> the bug task's analyst-job is now claimable.
+    conn = get_db()
+    conn.execute("UPDATE tasks SET stage='done' WHERE id=?", (a,))
+    conn.commit()
+    conn.close()
+    claimed = claim_next_job()
+    assert claimed is not None and claimed["id"] == jid
+
+
+def test_tc14_auto_label_applies_track_agnostic(monkeypatch):
+    # autoApprove/autoDeploy scope is repo-based, independent of the bug track.
+    assert labels.auto_approve_applies("orchestrator") is True
+    assert labels.auto_deploy_applies("orchestrator") is True
--- a/tests/test_bug_fast_track_e2e.py
+++ b/tests/test_bug_fast_track_e2e.py
@@ -0,0 +1,184 @@
+"""ORCH-019 — bug-fast-track end-to-end / start_pipeline integration.
+
+Covers (04-test-plan.yaml):
+  TC-08  E2E: a bug task walks development -> review -> testing -> deploy-staging ->
+         deploy -> done with EVERY edge gate executed, NEVER entering architecture.
+  TC-09  start_pipeline: an issue with the `Bug` label (flag on, repo in scope) is
+         created on the bug-fast-track (tasks.track='bug'); an issue without it is
+         created on the full cycle (track='full').
+  TC-10  Fail-safe: with bug_fast_track_enabled=False a `Bug`-labelled issue is
+         created on the full cycle (track='full'), is_bug_task never consulted.
+"""
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_bug_fast_track_e2e.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+import src.db as db  # noqa: E402
+from src.db import init_db, get_db  # noqa: E402
+from src import stage_engine, config as cfg  # noqa: E402
+from src.stage_engine import advance_stage  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(monkeypatch, tmp_path):
+    dbfile = tmp_path / "e2e.db"
+    monkeypatch.setattr(db.settings, "db_path", str(dbfile))
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", True, raising=False)
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_repos", "", raising=False)
+    # Keep the edge sub-gates + self-deploy + serial gate inert so the PLAIN advance
+    # path runs deterministically and offline (we assert routing + gate execution,
+    # not the self-hosting deploy mechanics — those have their own suites).
+    for flag in (
+        "self_deploy_enabled", "security_gate_enabled", "merge_gate_enabled",
+        "coverage_gate_enabled", "image_freshness_enabled",
+        "post_deploy_monitor_enabled", "serial_gate_enabled",
+    ):
+        monkeypatch.setattr(cfg.settings, flag, False, raising=False)
+    init_db()
+    yield
+
+
+@pytest.fixture(autouse=True)
+def silence_side_effects(monkeypatch):
+    for name in (
+        "notify_stage_change", "notify_qg_failure", "notify_approve_requested",
+        "send_telegram", "plane_notify_stage", "plane_notify_qg", "plane_add_comment",
+        "set_issue_in_review", "set_issue_needs_input", "set_issue_in_progress",
+        "set_issue_blocked", "set_issue_done", "set_issue_analysis",
+        "set_issue_awaiting_deploy", "set_issue_deploying", "set_issue_monitoring",
+        "set_issue_approved",
+    ):
+        monkeypatch.setattr(stage_engine, name, lambda *a, **k: None, raising=False)
+    yield
+
+
+def _make_task(work_item_id, stage="analysis", repo="orchestrator", track="full"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, track) "
+        "VALUES (?, ?, ?, ?, ?, ?, ?)",
+        (work_item_id, work_item_id, repo, f"feature/{work_item_id}", stage, work_item_id, track),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+# --- TC-08: E2E walk, architecture skipped, every gate executed ------------
+def test_tc08_bug_task_full_walk_skips_architecture(monkeypatch):
+    tid = _make_task("ORCH-e2e", stage="analysis", track="bug")
+    invoked = []
+
+    # Record + pass every registered edge gate. check_analysis_approved is NOT in
+    # this map: with finished_agent=None it is satisfied as approved-via-status
+    # (no call). check_architecture_done MUST never be invoked.
+    def _passing(name):
+        def _fn(*a, **k):
+            invoked.append(name)
+            return (True, f"{name} ok")
+        return _fn
+
+    for gate in (
+        "check_ci_green", "check_reviewer_verdict", "check_tests_passed",
+        "check_staging_status", "check_deploy_status", "check_architecture_done",
+    ):
+        monkeypatch.setitem(stage_engine.QG_CHECKS, gate, _passing(gate))
+
+    visited = ["analysis"]
+    wi, repo, branch = "ORCH-e2e", "orchestrator", "feature/ORCH-e2e"
+    for _ in range(10):
+        row = db.get_task_by_work_item_id(wi)
+        cur = row["stage"]
+        if cur in ("done", "cancelled"):
+            break
+        res = advance_stage(tid, cur, repo, wi, branch, finished_agent=None)
+        if not res.advanced:
+            break
+        visited.append(res.to_stage)
+
+    assert "architecture" not in visited, f"bug task must skip architecture: {visited}"
+    assert visited[:3] == ["analysis", "development", "review"]
+    assert visited[-1] == "done", f"task should reach done: {visited}"
+    # Every downstream edge gate ran; the architecture gate never did.
+    for gate in ("check_ci_green", "check_reviewer_verdict", "check_tests_passed",
+                 "check_staging_status", "check_deploy_status"):
+        assert gate in invoked, f"gate {gate} must execute on the bug track"
+    assert "check_architecture_done" not in invoked
+
+
+# --- TC-09 / TC-10: start_pipeline classification --------------------------
+async def _drive_start_pipeline(monkeypatch, *, is_bug: bool, enabled: bool):
+    from src.webhooks import plane
+    from src import plane_sync, bug_fast_track
+    from src.projects import ProjectConfig
+
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", enabled, raising=False)
+
+    proj = ProjectConfig(
+        plane_project_id="proj-uuid", repo="orchestrator",
+        work_item_prefix="ORCH", name="orch",
+    )
+    monkeypatch.setattr(plane, "get_project_by_plane_id", lambda pid: proj)
+    monkeypatch.setattr(plane, "_qg0_errors", lambda name, desc: [])
+    monkeypatch.setattr(plane, "ensure_unique_work_item_id", lambda wid, repo: wid)
+    monkeypatch.setattr(plane_sync, "fetch_issue_sequence_id", lambda *a, **k: 777)
+    monkeypatch.setattr(plane_sync, "set_issue_analysis", lambda *a, **k: None)
+    monkeypatch.setattr(plane_sync, "add_comment", lambda *a, **k: None)
+    monkeypatch.setattr(plane, "enqueue_job", lambda *a, **k: 1)
+
+    async def _noop(*a, **k):
+        return None
+    monkeypatch.setattr(plane, "_create_gitea_branch", _noop)
+    monkeypatch.setattr(plane, "_create_initial_docs", _noop)
+
+    # Spy is_bug_task so we can assert it is/ isn't consulted; applies() stays REAL
+    # (flag + self-hosting scope), so TC-10 proves the local short-circuit.
+    seen = {"is_bug_task": 0}
+
+    def _is_bug(wi, pid=None):
+        seen["is_bug_task"] += 1
+        return is_bug
+    monkeypatch.setattr(bug_fast_track, "is_bug_task", _is_bug)
+
+    data = {
+        "id": "issue-uuid-1",
+        "name": "Fix the crash on submit",
+        "description_stripped": "A sufficiently long description for QG-0 to pass.",
+        "project": "proj-uuid",
+    }
+    await plane.start_pipeline(data, project_id="proj-uuid")
+    return seen
+
+
+def test_tc09_bug_label_creates_bug_track(monkeypatch):
+    import asyncio
+    seen = asyncio.run(_drive_start_pipeline(monkeypatch, is_bug=True, enabled=True))
+    assert seen["is_bug_task"] == 1  # applies() True -> classification consulted
+    row = db.get_task_by_work_item_id("ORCH-777")
+    assert row is not None
+    assert row["track"] == "bug"
+
+
+def test_tc09_no_label_creates_full_track(monkeypatch):
+    import asyncio
+    seen = asyncio.run(_drive_start_pipeline(monkeypatch, is_bug=False, enabled=True))
+    assert seen["is_bug_task"] == 1
+    row = db.get_task_by_work_item_id("ORCH-777")
+    assert row["track"] == "full"
+
+
+def test_tc10_killswitch_off_bug_label_full_cycle(monkeypatch):
+    import asyncio
+    seen = asyncio.run(_drive_start_pipeline(monkeypatch, is_bug=True, enabled=False))
+    # applies() is False (kill-switch) -> is_bug_task short-circuited (zero network).
+    assert seen["is_bug_task"] == 0
+    row = db.get_task_by_work_item_id("ORCH-777")
+    assert row["track"] == "full"
--- a/tests/test_bug_fast_track_escalation.py
+++ b/tests/test_bug_fast_track_escalation.py
@@ -0,0 +1,105 @@
+"""ORCH-019 — escalation of a complex bug to the full cycle (FR-5 / AC-5, D5).
+
+Covers (04-test-plan.yaml):
+  TC-11  After the escalate endpoint resets track 'bug' -> 'full' (while the task
+         is still in `analysis`), the next advance routes analysis -> architecture
+         (return to the full cycle with the architect run).
+"""
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_bug_fast_track_escalation.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+import src.db as db  # noqa: E402
+from src.db import init_db, get_db  # noqa: E402
+from src import stage_engine, config as cfg  # noqa: E402
+from src.stage_engine import advance_stage  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(monkeypatch, tmp_path):
+    dbfile = tmp_path / "esc.db"
+    monkeypatch.setattr(db.settings, "db_path", str(dbfile))
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", True, raising=False)
+    init_db()
+    yield
+
+
+@pytest.fixture(autouse=True)
+def silence_side_effects(monkeypatch):
+    for name in (
+        "notify_stage_change", "notify_qg_failure", "notify_approve_requested",
+        "send_telegram", "plane_notify_stage", "plane_notify_qg", "plane_add_comment",
+        "set_issue_in_review", "set_issue_needs_input", "set_issue_in_progress",
+        "set_issue_blocked", "set_issue_done", "set_issue_analysis",
+        "set_issue_awaiting_deploy", "set_issue_deploying", "set_issue_monitoring",
+        "set_issue_approved",
+    ):
+        monkeypatch.setattr(stage_engine, name, lambda *a, **k: None, raising=False)
+    yield
+
+
+def _make_task(work_item_id, stage="analysis", track="bug"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, track) "
+        "VALUES (?, ?, ?, ?, ?, ?, ?)",
+        (work_item_id, work_item_id, "orchestrator", f"feature/{work_item_id}",
+         stage, work_item_id, track),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+def test_tc11_escalate_returns_to_full_cycle(monkeypatch):
+    import asyncio
+    from src import main
+
+    tid = _make_task("ORCH-cmplx", stage="analysis", track="bug")
+
+    # Operator escalates while the task is still in analysis.
+    out = asyncio.run(main.bug_fast_track_escalate(work_item="ORCH-cmplx"))
+    assert out["ok"] is True
+    assert out["track"] == "full"
+    assert out["was"] == "bug"
+    assert db.get_task_track(tid) == "full"
+
+    # The next advance now routes back through architecture (full cycle).
+    res = advance_stage(
+        tid, "analysis", "orchestrator", "ORCH-cmplx", "feature/ORCH-cmplx",
+        finished_agent=None,
+    )
+    assert res.to_stage == "architecture"
+    assert res.enqueued_agent == "architect"
+
+
+def test_tc11_escalate_unknown_work_item():
+    import asyncio
+    from src import main
+    out = asyncio.run(main.bug_fast_track_escalate(work_item="ORCH-nope"))
+    assert out["ok"] is False
+
+
+def test_tc11_escalate_missing_arg():
+    import asyncio
+    from src import main
+    out = asyncio.run(main.bug_fast_track_escalate(work_item=""))
+    assert out["ok"] is False
+
+
+def test_tc11_escalate_idempotent_on_full(monkeypatch):
+    import asyncio
+    from src import main
+    tid = _make_task("ORCH-already", stage="analysis", track="full")
+    out = asyncio.run(main.bug_fast_track_escalate(work_item="ORCH-already"))
+    assert out["ok"] is True
+    assert out["was"] == "full"
+    assert db.get_task_track(tid) == "full"
--- a/tests/test_bug_fast_track_gates.py
+++ b/tests/test_bug_fast_track_gates.py
@@ -0,0 +1,97 @@
+"""ORCH-019 — Quality-Gate invariants on the bug-fast-track (root invariant NFR-1).
+
+Covers (04-test-plan.yaml):
+  TC-07  The QG_CHECKS registry + the check_* signatures are NOT changed by the
+         bug-fast-track; the machine verdict-keys (verdict / result / deploy_status /
+         staging_status / security_status / coverage_status) are preserved by name
+         and case.
+  TC-12  check_analysis_complete does NOT special-case the bug track (ADR-001 D4):
+         a bug lite-package that still emits all 4 analysis files passes; the same
+         requirement holds for a non-bug task (no false block, no weakening).
+"""
+import os
+import tempfile
+
+os.environ.setdefault(
+    "ORCH_DB_PATH", os.path.join(tempfile.gettempdir(), "test_bft_gates.db")
+)
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+from src.qg.checks import QG_CHECKS, check_analysis_complete  # noqa: E402
+
+
+# --- TC-07: registry + verdict-keys unchanged ------------------------------
+def test_tc07_qg_checks_registry_unchanged():
+    # The exact registered gate set — a bug-fast-track must add/remove NOTHING.
+    expected = {
+        "check_analysis_complete",
+        "check_analysis_approved",
+        "check_architecture_done",
+        "check_ci_green",
+        "check_review_approved",
+        "check_reviewer_verdict",
+        "check_tests_local",
+        "check_tests_passed",
+        "check_staging_status",
+        "check_staging_image_fresh",
+        "check_deploy_status",
+        "check_branch_mergeable",
+        "check_security_gate",
+        "check_coverage_gate",
+    }
+    assert set(QG_CHECKS.keys()) == expected
+
+
+def test_tc07_verdict_keys_preserved():
+    """The frontmatter machine verdict-keys are parsed by exact name/case. ORCH-019
+    touches none of the parsers, so the literal keys must still be present."""
+    import inspect
+    from src.qg import checks as checks_mod
+    src = inspect.getsource(checks_mod)
+    for key in ("verdict:", "result:", "deploy_status:", "staging_status:"):
+        assert key in src, f"verdict key '{key}' must be preserved in qg.checks"
+    # security_status / coverage_status live in their own leaves but are read via
+    # the same unified frontmatter contract — assert they survive there.
+    import inspect as _i
+    from src import security_gate, coverage_gate
+    assert "security_status" in _i.getsource(security_gate)
+    assert "coverage_status" in _i.getsource(coverage_gate)
+
+
+# --- TC-12: analysis gate not weakened, no false block ---------------------
+def _seed_analysis_docs(repo_root, work_item_id, files):
+    d = os.path.join(repo_root, "docs", "work-items", work_item_id)
+    os.makedirs(d, exist_ok=True)
+    for fn in files:
+        with open(os.path.join(d, fn), "w") as fh:
+            fh.write("stub\n")
+
+
+def test_tc12_bug_lite_package_with_all_four_passes(monkeypatch, tmp_path):
+    from src.qg import checks as checks_mod
+    monkeypatch.setattr(checks_mod, "_repo_path", lambda repo, branch=None: str(tmp_path))
+    _seed_analysis_docs(
+        str(tmp_path), "ORCH-bug",
+        ["01-brd.md", "02-trz.md", "03-acceptance-criteria.md", "04-test-plan.yaml"],
+    )
+    ok, reason = check_analysis_complete("orchestrator", "ORCH-bug", "feature/x")
+    assert ok is True, reason
+
+
+def test_tc12_missing_file_still_fails_for_any_track(monkeypatch, tmp_path):
+    """The gate is NOT weakened for bugs: a package missing 02/03 still fails —
+    exactly as for a non-bug task (the gate never reads tasks.track)."""
+    from src.qg import checks as checks_mod
+    monkeypatch.setattr(checks_mod, "_repo_path", lambda repo, branch=None: str(tmp_path))
+    _seed_analysis_docs(str(tmp_path), "ORCH-bug", ["01-brd.md", "04-test-plan.yaml"])
+    ok, reason = check_analysis_complete("orchestrator", "ORCH-bug", "feature/x")
+    assert ok is False
+    assert "02-trz.md" in reason and "03-acceptance-criteria.md" in reason
+
+
+def test_tc12_signature_has_no_track_param():
+    import inspect
+    params = list(inspect.signature(check_analysis_complete).parameters)
+    # byte-for-byte signature: (repo, work_item_id, branch=None) — no track-awareness.
+    assert params == ["repo", "work_item_id", "branch"]
--- a/tests/test_bug_fast_track_routing.py
+++ b/tests/test_bug_fast_track_routing.py
@@ -0,0 +1,147 @@
+"""ORCH-019 — advance_stage routing-override (ADR-001 D3).
+
+Covers (04-test-plan.yaml):
+  TC-05  bug task: analysis -> development (architecture skipped, developer
+         enqueued); non-bug task: analysis -> architecture (architect enqueued).
+  TC-06  STAGE_TRANSITIONS is structurally unchanged (set of stages + edges +
+         agents + qg byte-for-byte) — the override does NOT mutate the table.
+"""
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_bug_fast_track_routing.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+import src.db as db  # noqa: E402
+from src.db import init_db, get_db, set_task_track  # noqa: E402
+from src import stage_engine  # noqa: E402
+from src import config as cfg  # noqa: E402
+from src.stage_engine import advance_stage  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(monkeypatch, tmp_path):
+    dbfile = tmp_path / "r.db"
+    monkeypatch.setattr(db.settings, "db_path", str(dbfile))
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", True, raising=False)
+    init_db()
+    yield
+
+
+@pytest.fixture(autouse=True)
+def silence_side_effects(monkeypatch):
+    for name in (
+        "notify_stage_change", "notify_qg_failure", "notify_approve_requested",
+        "send_telegram", "plane_notify_stage", "plane_notify_qg", "plane_add_comment",
+        "set_issue_in_review", "set_issue_needs_input", "set_issue_in_progress",
+        "set_issue_blocked", "set_issue_done", "set_issue_analysis",
+        "set_issue_awaiting_deploy", "set_issue_deploying", "set_issue_monitoring",
+        "set_issue_approved",
+    ):
+        monkeypatch.setattr(stage_engine, name, lambda *a, **k: None, raising=False)
+    yield
+
+
+def _make_task(work_item_id, stage="analysis", repo="orchestrator"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title) "
+        "VALUES (?, ?, ?, ?, ?, ?)",
+        (work_item_id, work_item_id, repo, f"feature/{work_item_id}", stage, work_item_id),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+# --- TC-05 -----------------------------------------------------------------
+def test_tc05_bug_task_skips_architecture():
+    tid = _make_task("ORCH-bug", stage="analysis")
+    set_task_track(tid, "bug")
+    # agent=None -> the webhook Approved-via-status path (gate satisfied, advance).
+    res = advance_stage(
+        tid, "analysis", "orchestrator", "ORCH-bug", "feature/ORCH-bug",
+        finished_agent=None,
+    )
+    assert res.advanced is True
+    assert res.to_stage == "development"
+    assert res.enqueued_agent == "developer"
+    # DB stage actually advanced past architecture.
+    row = db.get_task_by_work_item_id("ORCH-bug")
+    assert row["stage"] == "development"
+
+
+def test_tc05_full_task_keeps_architecture():
+    tid = _make_task("ORCH-full", stage="analysis")
+    # track defaults to 'full' (no set_task_track call).
+    res = advance_stage(
+        tid, "analysis", "orchestrator", "ORCH-full", "feature/ORCH-full",
+        finished_agent=None,
+    )
+    assert res.advanced is True
+    assert res.to_stage == "architecture"
+    assert res.enqueued_agent == "architect"
+
+
+def test_tc05_killswitch_off_bug_keeps_architecture(monkeypatch):
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", False, raising=False)
+    tid = _make_task("ORCH-bugoff", stage="analysis")
+    set_task_track(tid, "bug")  # stored, but the flag is off -> inert
+    res = advance_stage(
+        tid, "analysis", "orchestrator", "ORCH-bugoff", "feature/ORCH-bugoff",
+        finished_agent=None,
+    )
+    assert res.to_stage == "architecture"
+    assert res.enqueued_agent == "architect"
+
+
+def test_tc05_bug_only_affects_analysis_edge():
+    """The override is scoped to the analysis-exit edge only — a bug task on
+    `development` still routes development -> review (no spurious skips)."""
+    tid = _make_task("ORCH-bugdev", stage="development")
+    set_task_track(tid, "bug")
+    # Make check_ci_green pass deterministically (we only assert routing, not CI).
+    import src.stage_engine as se
+    orig = se.QG_CHECKS.get("check_ci_green")
+    se.QG_CHECKS["check_ci_green"] = lambda *a, **k: (True, "ok")
+    try:
+        res = advance_stage(
+            tid, "development", "orchestrator", "ORCH-bugdev", "feature/ORCH-bugdev",
+            finished_agent=None,
+        )
+    finally:
+        if orig is not None:
+            se.QG_CHECKS["check_ci_green"] = orig
+    assert res.to_stage == "review"
+
+
+# --- TC-06: STAGE_TRANSITIONS structurally unchanged -----------------------
+def test_tc06_stage_transitions_unchanged():
+    from src.stages import STAGE_TRANSITIONS
+    expected = {
+        "created": {"next": "analysis", "agent": "analyst", "qg": None},
+        "analysis": {"next": "architecture", "agent": "architect", "qg": "check_analysis_approved"},
+        "architecture": {"next": "development", "agent": "developer", "qg": "check_architecture_done"},
+        "development": {"next": "review", "agent": "reviewer", "qg": "check_ci_green"},
+        "review": {"next": "testing", "agent": "tester", "qg": "check_reviewer_verdict"},
+        "testing": {"next": "deploy-staging", "agent": "deployer", "qg": "check_tests_passed"},
+        "deploy-staging": {"next": "deploy", "agent": "deployer", "qg": "check_staging_status"},
+        "deploy": {"next": "done", "agent": None, "qg": "check_deploy_status"},
+        "done": {"next": None, "agent": None, "qg": None},
+        "cancelled": {"next": None, "agent": None, "qg": None},
+    }
+    assert STAGE_TRANSITIONS == expected
+
+
+def test_tc06_get_next_stage_pure():
+    """get_next_stage / get_agent_for_stage stay PURE (no track arg) — the override
+    lives in advance_stage, not in stages.py."""
+    from src.stages import get_next_stage, get_agent_for_stage
+    assert get_next_stage("analysis") == "architecture"
+    assert get_agent_for_stage("analysis") == "architect"
--- a/tests/test_config.py
+++ b/tests/test_config.py
@@ -320,3 +320,20 @@ def test_deploy_status_guard_settings_env_override(monkeypatch):
    s = Settings()
    assert s.deploy_status_guard_enabled is False
    assert s.deploy_status_guard_repos == "orchestrator,enduro-trails"
+
+
+# ---------------------------------------------------------------------------
+# ORCH-099 (D8): metrics_endpoint_enabled default + env alias ORCH_METRICS_ENABLED.
+# The field carries an explicit validation_alias so the DOCUMENTED env var
+# (README / ADR-001 D8) actually controls the flag, overriding the default
+# ORCH_ + field-name mapping (which would otherwise be ORCH_METRICS_ENDPOINT_*).
+# ---------------------------------------------------------------------------
+def test_metrics_endpoint_enabled_default_true(monkeypatch):
+    monkeypatch.delenv("ORCH_METRICS_ENABLED", raising=False)
+    monkeypatch.delenv("ORCH_METRICS_ENDPOINT_ENABLED", raising=False)
+    assert Settings().metrics_endpoint_enabled is True
+
+
+def test_metrics_endpoint_enabled_reads_documented_env_alias(monkeypatch):
+    monkeypatch.setenv("ORCH_METRICS_ENABLED", "false")
+    assert Settings().metrics_endpoint_enabled is False
--- a/tests/test_db_migrations.py
+++ b/tests/test_db_migrations.py
@@ -0,0 +1,79 @@
+"""ORCH-019 (TC-15) — additive, idempotent tasks.track migration.
+
+The bug-fast-track stores the task type in an additive ``tasks.track`` column
+(``TEXT DEFAULT 'full'``) created via ``_ensure_column`` (idempotent). A repeated
+``init_db`` must not crash, existing rows must default to ``'full'``, and the
+helpers must round-trip.
+"""
+import os
+import tempfile
+
+import pytest
+
+os.environ.setdefault(
+    "ORCH_DB_PATH", os.path.join(tempfile.gettempdir(), "test_db_migrations.db")
+)
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+import src.db as db  # noqa: E402
+from src.db import init_db, get_db, set_task_track, get_task_track  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(tmp_path, monkeypatch):
+    dbfile = tmp_path / "m.db"
+    monkeypatch.setattr(db.settings, "db_path", str(dbfile))
+    init_db()
+    yield
+
+
+def _columns(table):
+    conn = get_db()
+    try:
+        return [r[1] for r in conn.execute(f"PRAGMA table_info({table})").fetchall()]
+    finally:
+        conn.close()
+
+
+def test_tc15_track_column_present_with_default():
+    assert "track" in _columns("tasks")
+    # A row inserted WITHOUT track gets the DEFAULT 'full'.
+    conn = get_db()
+    conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title) "
+        "VALUES ('p','ORCH-1','orchestrator','feature/x','analysis','t')"
+    )
+    conn.commit()
+    row = conn.execute("SELECT track FROM tasks WHERE work_item_id='ORCH-1'").fetchone()
+    conn.close()
+    assert row["track"] == "full"
+
+
+def test_tc15_init_db_idempotent():
+    # Running init_db again is a no-op on the existing column (no crash).
+    init_db()
+    init_db()
+    assert "track" in _columns("tasks")
+
+
+def test_tc15_helpers_round_trip():
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title) "
+        "VALUES ('p2','ORCH-2','orchestrator','feature/y','analysis','t')"
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+
+    assert get_task_track(tid) == "full"          # default
+    set_task_track(tid, "bug")
+    assert get_task_track(tid) == "bug"
+    set_task_track(tid, "full")
+    assert get_task_track(tid) == "full"
+
+
+def test_tc15_get_task_track_missing_row_failsafe():
+    # Unknown task id -> 'full' (fail-safe -> full cycle), never raises.
+    assert get_task_track(999999) == "full"
--- a/tests/test_fs_normalize.py
+++ b/tests/test_fs_normalize.py
@@ -0,0 +1,214 @@
+"""ORCH-057 D2/D4/D6: ownership-detect leaf (src/fs_normalize.py) unit tests.
+
+TC-03..TC-09 (04-test-plan.yaml). All FS-dependent tests use ``tmp_path`` and vary
+``target_uid`` (a uid no tmp file actually has -> mismatch; the runner's own uid ->
+clean) so NO real chown / privilege is needed. ``os.geteuid`` is monkeypatched for
+the privilege-gated normalize test (TC-08). Never touches /repos.
+"""
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_fsn.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ["ORCH_GITEA_TOKEN"] = "test-token"
+os.environ["ORCH_PLANE_API_TOKEN"] = "test-token"
+
+from src import fs_normalize
+
+
+_NONEXISTENT_UID = 999999  # no tmp file is owned by this uid -> deterministic mismatch
+
+
+@pytest.fixture(autouse=True)
+def _reset(monkeypatch):
+    fs_normalize.reset_cache()
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_enabled", True)
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_repos", "")
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_auto", False)
+    monkeypatch.setattr(fs_normalize.settings, "fs_scan_cache_ttl_s", 300)
+    yield
+    fs_normalize.reset_cache()
+
+
+@pytest.fixture
+def tree(tmp_path):
+    """A small dir tree with a file, owned by the test runner's own uid."""
+    d = tmp_path / "root"
+    (d / "sub").mkdir(parents=True)
+    (d / "a.txt").write_text("a")
+    (d / "sub" / "b.txt").write_text("b")
+    return d
+
+
+# ---------------------------------------------------------------------------
+# TC-03 / TC-04 — scan verdict
+# ---------------------------------------------------------------------------
+def test_tc03_scan_detects_mismatch(tree):
+    """TC-03: a tree whose files are not owned by target_uid -> mismatch=True with the
+    affected root listed and a sample path set."""
+    scan = fs_normalize.scan_ownership(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    assert scan.mismatch is True
+    assert str(tree) in scan.roots_mismatch
+    assert scan.sample_path is not None
+    assert scan.target_uid == _NONEXISTENT_UID
+
+
+def test_tc04_clean_tree_no_mismatch(tree):
+    """TC-04: a clean tree (all files owned by target_uid == the runner) -> idempotent
+    mismatch=False no-op."""
+    scan = fs_normalize.scan_ownership(roots=[str(tree)], target_uid=os.getuid())
+    assert scan.mismatch is False
+    assert scan.roots_mismatch == []
+    assert scan.sample_path is None
+
+
+# ---------------------------------------------------------------------------
+# TC-05 — never-raise on bad/missing root
+# ---------------------------------------------------------------------------
+def test_tc05_never_raise_on_missing_root(tmp_path):
+    """TC-05: a non-existent root degrades to mismatch=False, never raises."""
+    missing = str(tmp_path / "does-not-exist")
+    scan = fs_normalize.scan_ownership(roots=[missing], target_uid=_NONEXISTENT_UID)
+    assert scan.mismatch is False
+    assert scan.roots_checked == []  # the missing root is skipped
+
+
+def test_tc05_never_raise_on_walk_error(tree, monkeypatch):
+    """TC-05: an os.walk explosion mid-scan degrades to a conservative verdict."""
+    def boom(*a, **k):
+        raise OSError("simulated walk failure")
+
+    monkeypatch.setattr(fs_normalize.os, "walk", boom)
+    scan = fs_normalize.scan_ownership(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    # The root dir itself is owned by the runner (not _NONEXISTENT_UID was checked via
+    # lstat which still works) -> walk error swallowed, no exception escapes.
+    assert isinstance(scan, fs_normalize.OwnershipScan)
+
+
+# ---------------------------------------------------------------------------
+# TC-06 — applies() scope
+# ---------------------------------------------------------------------------
+def test_tc06_applies_empty_csv_self_hosting_only(monkeypatch):
+    """TC-06: empty ORCH_FS_NORMALIZE_REPOS -> True only for the self-hosting repo
+    (orchestrator), False for enduro-trails."""
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_repos", "")
+    assert fs_normalize.applies("orchestrator") is True
+    assert fs_normalize.applies("enduro-trails") is False
+
+
+def test_tc06_applies_explicit_csv(monkeypatch):
+    """TC-06: a non-empty CSV scopes by list (case-insensitive)."""
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_repos", "enduro-trails")
+    assert fs_normalize.applies("enduro-trails") is True
+    assert fs_normalize.applies("orchestrator") is False
+
+
+# ---------------------------------------------------------------------------
+# TC-07 — kill-switch
+# ---------------------------------------------------------------------------
+def test_tc07_killswitch_off_scan_inert(tree, monkeypatch):
+    """TC-07: fs_normalize_enabled=False -> scan is inert (mismatch=False, enabled
+    flag exposes the off state); applies() False for everyone."""
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_enabled", False)
+    scan = fs_normalize.scan_ownership(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    assert scan.mismatch is False
+    assert scan.enabled is False
+    assert fs_normalize.applies("orchestrator") is False
+
+
+def test_tc07_killswitch_off_normalize_inert(tree, monkeypatch):
+    """TC-07: normalize is a documented no-op when the kill-switch is off."""
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_enabled", False)
+    res = fs_normalize.normalize(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    assert res["attempted"] is False
+    assert res["changed"] == 0
+    assert "disabled" in res["note"]
+
+
+# ---------------------------------------------------------------------------
+# TC-08 — normalize without privilege
+# ---------------------------------------------------------------------------
+def test_tc08_normalize_without_rights_is_noop_not_error(tree, monkeypatch):
+    """TC-08: under a non-root euid with auto=True and foreign files, normalize is a
+    no-op + honest log ('operator procedure required'), NOT an exception."""
+    monkeypatch.setattr(fs_normalize.settings, "fs_normalize_auto", True)
+    monkeypatch.setattr(fs_normalize.os, "geteuid", lambda: 1000)  # non-root
+    res = fs_normalize.normalize(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    assert res["privileged"] is False
+    assert res["attempted"] is False
+    assert res["changed"] == 0
+    assert "INFRA.md" in res["note"]
+
+
+# ---------------------------------------------------------------------------
+# TC-09 — TTL cache
+# ---------------------------------------------------------------------------
+def test_tc09_ttl_cache_avoids_rescan(tree, monkeypatch):
+    """TC-09: a repeat call inside the TTL window does NOT re-walk; force/reset
+    invalidates (mirrors preflight._cache)."""
+    calls = {"n": 0}
+    real_scan = fs_normalize._scan
+
+    def counting_scan(roots, target_uid):
+        calls["n"] += 1
+        return real_scan(roots, target_uid)
+
+    monkeypatch.setattr(fs_normalize, "_scan", counting_scan)
+
+    fs_normalize.scan_ownership(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    fs_normalize.scan_ownership(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    assert calls["n"] == 1  # second call served from cache
+
+    fs_normalize.scan_ownership(roots=[str(tree)], target_uid=_NONEXISTENT_UID, force=True)
+    assert calls["n"] == 2  # force bypasses the cache
+
+    fs_normalize.reset_cache()
+    fs_normalize.scan_ownership(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    assert calls["n"] == 3  # reset invalidates
+
+
+def test_tc09_cache_keyed_by_roots_and_uid(tree, monkeypatch):
+    """A different (roots, target_uid) key is not served from another key's cache."""
+    calls = {"n": 0}
+    real_scan = fs_normalize._scan
+
+    def counting_scan(roots, target_uid):
+        calls["n"] += 1
+        return real_scan(roots, target_uid)
+
+    monkeypatch.setattr(fs_normalize, "_scan", counting_scan)
+    fs_normalize.scan_ownership(roots=[str(tree)], target_uid=_NONEXISTENT_UID)
+    fs_normalize.scan_ownership(roots=[str(tree)], target_uid=os.getuid())  # different uid
+    assert calls["n"] == 2
+
+
+# ---------------------------------------------------------------------------
+# classifier (pure) + snapshot
+# ---------------------------------------------------------------------------
+def test_classify_worktree_error_markers():
+    assert fs_normalize.classify_worktree_error("fatal: ...: Permission denied") is True
+    assert fs_normalize.classify_worktree_error("could not create leading directories") is True
+    assert fs_normalize.classify_worktree_error("insufficient permission for adding an object") is True
+    assert fs_normalize.classify_worktree_error("fatal: branch already checked out") is False
+    assert fs_normalize.classify_worktree_error("") is False
+    assert fs_normalize.classify_worktree_error(None) is False
+
+
+def test_is_permission_failure_from_exc():
+    assert fs_normalize.is_permission_failure(exc=PermissionError(13, "denied")) is True
+    import errno as _errno
+    assert fs_normalize.is_permission_failure(exc=OSError(_errno.EACCES, "x")) is True
+    assert fs_normalize.is_permission_failure(exc=OSError(_errno.ENOENT, "x")) is False
+
+
+def test_snapshot_shape(tree, monkeypatch):
+    """snapshot() returns the additive fs_ownership block and never raises."""
+    monkeypatch.setattr(fs_normalize.settings, "fs_scan_roots", str(tree))
+    snap = fs_normalize.snapshot()
+    for k in ("enabled", "auto", "repos", "target_uid", "mismatch",
+              "roots_checked", "roots_mismatch", "sample_path", "checked_at"):
+        assert k in snap
+    assert snap["enabled"] is True
--- a/tests/test_fs_normalize_startup.py
+++ b/tests/test_fs_normalize_startup.py
@@ -0,0 +1,136 @@
+"""ORCH-057 D3: startup-hook observability + the clear pre-launch outcome.
+
+TC-10 / TC-11 (04-test-plan.yaml):
+  * TC-10 — the lifespan startup hook, on a detected mismatch, emits a WARNING and a
+    Telegram message; a detect error never crashes the start (never-fatal).
+  * TC-11 — the "clear, early" outcome on a permission failure is delivered by the
+    actionable ensure_worktree error (ADR-001 D3: claim is NOT blocked), i.e. the
+    launch surfaces an actionable diagnosis, never a raw git-fatal.
+
+Background daemons are disabled via env so the lifespan is cheap and deterministic.
+"""
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_fsn_startup.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ["ORCH_GITEA_TOKEN"] = "test-token"
+os.environ["ORCH_PLANE_API_TOKEN"] = "test-token"
+os.environ["ORCH_PLANE_WEBHOOK_SECRET"] = ""
+os.environ["ORCH_GITEA_WEBHOOK_SECRET"] = ""
+# Keep the lifespan light: no background daemons during the test.
+os.environ["ORCH_RECONCILE_ENABLED"] = "false"
+os.environ["ORCH_REAPER_ENABLED"] = "false"
+os.environ["ORCH_DISK_MONITOR_ENABLED"] = "false"
+os.environ["ORCH_BUILD_CACHE_PRUNE_ENABLED"] = "false"
+os.environ["ORCH_FS_NORMALIZE_ENABLED"] = "true"
+
+from fastapi.testclient import TestClient
+
+from src import fs_normalize, git_worktree
+from src.main import app
+from src.db import init_db
+
+
+@pytest.fixture(autouse=True)
+def _db():
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    fs_normalize.reset_cache()
+    yield
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+
+
+# ---------------------------------------------------------------------------
+# TC-10 — startup observability
+# ---------------------------------------------------------------------------
+def test_tc10_startup_mismatch_warns_and_telegrams(monkeypatch, caplog):
+    """TC-10: on a detected mismatch the startup hook logs a WARNING and sends a
+    Telegram message (mocked)."""
+    sent = []
+    monkeypatch.setattr(
+        "src.notifications.send_telegram", lambda *a, **k: sent.append(a[0] if a else "")
+    )
+    scan = fs_normalize.OwnershipScan(
+        mismatch=True, target_uid=1000, roots_checked=["/repos/_wt"],
+        roots_mismatch=["/repos/_wt"], sample_path="/repos/_wt/x", checked_at=1.0,
+    )
+    monkeypatch.setattr("src.fs_normalize.scan_ownership", lambda *a, **k: scan)
+
+    with caplog.at_level("WARNING"):
+        with TestClient(app):
+            pass
+
+    assert any("FS-ownership mismatch" in r.message for r in caplog.records)
+    # Filter for the fs-ownership message (the shared startup may emit other,
+    # unrelated Telegram traffic — e.g. a leftover task's tracker card).
+    fs_msgs = [m for m in sent if "legacy root-owned" in m.lower() or "chown" in m.lower()]
+    assert fs_msgs, "expected a Telegram message on mismatch"
+
+
+def test_tc10_startup_detect_error_never_fatal(monkeypatch):
+    """TC-10: a detect error must NOT crash the start (never-fatal)."""
+    def boom(*a, **k):
+        raise RuntimeError("simulated detect failure")
+
+    monkeypatch.setattr("src.fs_normalize.scan_ownership", boom)
+    # Entering/exiting the lifespan must not raise.
+    with TestClient(app):
+        pass
+
+
+def test_tc10_startup_clean_no_telegram(monkeypatch):
+    """A clean environment (no mismatch) sends no Telegram and does not warn."""
+    sent = []
+    monkeypatch.setattr(
+        "src.notifications.send_telegram", lambda *a, **k: sent.append(a[0] if a else "")
+    )
+    clean = fs_normalize.OwnershipScan(mismatch=False, target_uid=1000, checked_at=1.0)
+    monkeypatch.setattr("src.fs_normalize.scan_ownership", lambda *a, **k: clean)
+    with TestClient(app):
+        pass
+    # No fs-ownership message on a clean environment (unrelated startup Telegram
+    # traffic from a shared-DB leftover task is ignored).
+    fs_msgs = [m for m in sent if "legacy root-owned" in m.lower() or "обнаружены legacy" in m.lower()]
+    assert fs_msgs == []
+
+
+# ---------------------------------------------------------------------------
+# TC-11 — clear pre-launch outcome (D1, not a claim gate)
+# ---------------------------------------------------------------------------
+def test_tc11_launch_permission_failure_is_actionable_not_raw(tmp_path, monkeypatch):
+    """TC-11: the launch-time worktree creation surfaces an actionable error (clear,
+    before the agent spends a token), not a raw git-fatal — the ADR-001 D3 "внятно и
+    заранее" outcome that replaces a blocking claim gate."""
+    repo = "orchestrator"
+    repos_dir = tmp_path / "repos"
+    (repos_dir / repo).mkdir(parents=True)
+    monkeypatch.setattr(git_worktree.settings, "repos_dir", str(repos_dir))
+    monkeypatch.setattr(git_worktree.settings, "worktrees_dir", str(repos_dir / "_wt"))
+    monkeypatch.setattr(git_worktree.settings, "fs_normalize_enabled", True)
+
+    class _R:
+        def __init__(self, rc, err=""):
+            self.returncode = rc
+            self.stderr = err
+            self.stdout = ""
+
+    def fake_run(cmd, *a, **k):
+        if "fetch" in cmd:
+            return _R(0)
+        if "worktree" in cmd and "add" in cmd:
+            return _R(128, "fatal: ...: Permission denied")
+        return _R(0)
+
+    monkeypatch.setattr(git_worktree.subprocess, "run", fake_run)
+
+    with pytest.raises(RuntimeError) as ei:
+        git_worktree.ensure_worktree(repo, "feature/x")
+    msg = str(ei.value)
+    assert "INFRA.md" in msg and "chown" in msg.lower()
+    assert "git worktree add failed" not in msg  # not the raw passthrough
--- a/tests/test_git_worktree_perm.py
+++ b/tests/test_git_worktree_perm.py
@@ -0,0 +1,139 @@
+"""ORCH-057 D1: actionable worktree error on a legacy-ownership permission failure.
+
+TC-01 / TC-02 (04-test-plan.yaml): a permission-class ``git worktree add`` /
+``os.makedirs`` failure must surface an actionable RuntimeError (cause + healing
+command + INFRA.md ref), while a NON-permission failure keeps the prior raw-stderr
+contract (no meaning substitution). No real chown / no writes to /repos — failures
+are simulated via monkeypatched ``subprocess.run`` / ``os.makedirs``.
+"""
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_wt_perm.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ["ORCH_GITEA_TOKEN"] = "test-token"
+os.environ["ORCH_PLANE_API_TOKEN"] = "test-token"
+
+from src import git_worktree
+from src.git_worktree import ensure_worktree
+
+
+class _R:
+    """Minimal CompletedProcess stand-in."""
+
+    def __init__(self, returncode, stderr=""):
+        self.returncode = returncode
+        self.stderr = stderr
+        self.stdout = ""
+
+
+@pytest.fixture
+def main_repo(tmp_path, monkeypatch):
+    """A bare-minimum main clone dir so ensure_worktree gets past the existence check.
+
+    repos_dir/<repo> must be a directory; worktrees_dir points at a fresh tmp path.
+    The actual git calls are monkeypatched per-test.
+    """
+    repo = "orchestrator"
+    repos_dir = tmp_path / "repos"
+    (repos_dir / repo).mkdir(parents=True)
+    monkeypatch.setattr(git_worktree.settings, "repos_dir", str(repos_dir))
+    monkeypatch.setattr(git_worktree.settings, "worktrees_dir", str(tmp_path / "repos" / "_wt"))
+    monkeypatch.setattr(git_worktree.settings, "fs_normalize_enabled", True)
+    return repo
+
+
+def test_tc01_permission_git_fatal_becomes_actionable(main_repo, monkeypatch):
+    """TC-01: a git-fatal 'could not create leading directories / Permission denied'
+    raises an actionable RuntimeError (diagnosis + chown), not the raw git stderr."""
+    perm_stderr = (
+        "fatal: could not create leading directories of "
+        "'/repos/_wt/orchestrator/x': Permission denied"
+    )
+
+    def fake_run(cmd, *a, **k):
+        # fetch -> ok; worktree add (both forms) -> permission fatal.
+        if "fetch" in cmd:
+            return _R(0)
+        if "worktree" in cmd and "add" in cmd:
+            return _R(128, perm_stderr)
+        return _R(0)
+
+    monkeypatch.setattr(git_worktree.subprocess, "run", fake_run)
+
+    with pytest.raises(RuntimeError) as ei:
+        ensure_worktree(main_repo, "feature/x")
+    msg = str(ei.value)
+    # Actionable: names the cause + the healing command + the INFRA procedure...
+    assert "legacy root-owned" in msg.lower()
+    assert "chown" in msg.lower()
+    assert "INFRA.md" in msg
+    # ...and is NOT merely the raw "git worktree add failed" passthrough.
+    assert "git worktree add failed" not in msg
+
+
+def test_tc01_makedirs_permission_error_becomes_actionable(main_repo, monkeypatch):
+    """TC-01 (sibling path): a PermissionError from os.makedirs (creating the leading
+    worktree dir) is also turned into the actionable RuntimeError."""
+    def fake_run(cmd, *a, **k):
+        return _R(0)
+
+    monkeypatch.setattr(git_worktree.subprocess, "run", fake_run)
+
+    def boom(*a, **k):
+        raise PermissionError(13, "Permission denied")
+
+    monkeypatch.setattr(git_worktree.os, "makedirs", boom)
+
+    with pytest.raises(RuntimeError) as ei:
+        ensure_worktree(main_repo, "feature/x")
+    assert "chown" in str(ei.value).lower()
+    assert "legacy root-owned" in str(ei.value).lower()
+
+
+def test_tc02_non_permission_error_keeps_prior_contract(main_repo, monkeypatch):
+    """TC-02: a NON-permission failure (e.g. a real branch conflict) keeps the prior
+    raw-stderr 'git worktree add failed' message — no meaning substitution."""
+    conflict = "fatal: 'feature/x' is already checked out at '/repos/_wt/other'"
+
+    def fake_run(cmd, *a, **k):
+        if "fetch" in cmd:
+            return _R(0)
+        if "worktree" in cmd and "add" in cmd:
+            return _R(128, conflict)
+        return _R(0)
+
+    monkeypatch.setattr(git_worktree.subprocess, "run", fake_run)
+
+    with pytest.raises(RuntimeError) as ei:
+        ensure_worktree(main_repo, "feature/x")
+    msg = str(ei.value)
+    assert "git worktree add failed" in msg
+    assert "already checked out" in msg
+    # The actionable diagnosis must NOT be injected for a non-permission error.
+    assert "legacy root-owned" not in msg.lower()
+
+
+def test_tc02_killswitch_off_keeps_raw_contract_even_for_permission(main_repo, monkeypatch):
+    """Kill-switch off (fs_normalize_enabled=False) -> the error contract is byte-for-
+    byte as before ORCH-057 even for a permission failure (raw stderr passthrough)."""
+    monkeypatch.setattr(git_worktree.settings, "fs_normalize_enabled", False)
+    perm_stderr = "fatal: ...: Permission denied"
+
+    def fake_run(cmd, *a, **k):
+        if "fetch" in cmd:
+            return _R(0)
+        if "worktree" in cmd and "add" in cmd:
+            return _R(128, perm_stderr)
+        return _R(0)
+
+    monkeypatch.setattr(git_worktree.subprocess, "run", fake_run)
+
+    with pytest.raises(RuntimeError) as ei:
+        ensure_worktree(main_repo, "feature/x")
+    msg = str(ei.value)
+    assert "git worktree add failed" in msg
+    assert "legacy root-owned" not in msg.lower()
--- a/tests/test_metrics.py
+++ b/tests/test_metrics.py
@@ -0,0 +1,295 @@
+"""ORCH-099 (FND/F1a) — read-only GET /metrics raw-signal endpoint.
+
+Covers the four-section envelope (TC-01..TC-04/TC-08/TC-11), never-raise by
+section/field (TC-05/TC-07), the cost aggregate (TC-06), read-only invariant
+(TC-09), and additivity vs /health//status//queue (TC-10).
+
+Pattern mirrors tests/test_queue_endpoint.py: the async handler is driven via
+asyncio.run(main.metrics()); the autouse conftest mutes Telegram; a per-test
+fresh_db points settings.db_path at a tmp file + init_db.
+"""
+import asyncio
+import os
+
+import pytest
+
+import src.db as db  # noqa: E402
+from src.db import get_db, init_db  # noqa: E402
+from src import config as cfg  # noqa: E402
+from src import metrics as metrics_mod  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(tmp_path, monkeypatch):
+    dbfile = tmp_path / "metrics.db"
+    monkeypatch.setattr(db.settings, "db_path", str(dbfile))
+    monkeypatch.setattr(cfg.settings, "metrics_endpoint_enabled", True, raising=False)
+    init_db()
+    yield
+
+
+# --- helpers ---------------------------------------------------------------
+def _make_task(work_item_id="ORCH-1", repo="orchestrator",
+               branch="feature/x", stage="development"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage) "
+        "VALUES (?, ?, ?, ?, ?)",
+        (work_item_id, work_item_id, repo, branch, stage),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+def _make_agent_run(agent="developer", task_id=None, model="claude-opus-4-8",
+                    effort="xhigh", cost_usd=None, input_tokens=None,
+                    output_tokens=None, cache_read_tokens=None,
+                    cache_creation_tokens=None, finished=False):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO agent_runs (task_id, agent, model, effort, cost_usd, "
+        "input_tokens, output_tokens, cache_read_tokens, cache_creation_tokens, "
+        "finished_at) VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?, "
+        + ("datetime('now')" if finished else "NULL") + ")",
+        (task_id, agent, model, effort, cost_usd, input_tokens, output_tokens,
+         cache_read_tokens, cache_creation_tokens),
+    )
+    rid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return rid
+
+
+def _make_running_job(agent="developer", repo="orchestrator", task_id=None,
+                      pid=None, run_id=None, age_s=0, attempts=0, max_attempts=2):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO jobs (agent, repo, task_id, status, attempts, max_attempts, "
+        "run_id, pid, started_at) "
+        "VALUES (?, ?, ?, 'running', ?, ?, ?, ?, datetime('now', ?))",
+        (agent, repo, task_id, attempts, max_attempts, run_id, pid,
+         f"-{int(age_s)} seconds"),
+    )
+    job_id = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return job_id
+
+
+def _db_snapshot():
+    """Full row snapshot of the mutable tables for the read-only assertion."""
+    conn = get_db()
+    snap = {}
+    for table in ("tasks", "jobs", "agent_runs"):
+        rows = conn.execute(f"SELECT * FROM {table} ORDER BY id").fetchall()
+        snap[table] = [dict(r) for r in rows]
+    conn.close()
+    return snap
+
+
+# --- TC-01: envelope keys --------------------------------------------------
+def test_tc01_envelope_has_all_sections():
+    m = metrics_mod.build_metrics()
+    assert isinstance(m, dict)
+    for key in ("schema_version", "generated_at", "stages", "queue", "agents", "cost"):
+        assert key in m, f"missing envelope key {key!r}"
+    assert m["schema_version"] == 1
+    assert isinstance(m["stages"], list)
+    assert isinstance(m["agents"], list)
+    assert isinstance(m["queue"], dict)
+    assert isinstance(m["cost"], dict)
+
+
+# --- TC-02: stages section + terminal exclusion ----------------------------
+def test_tc02_stages_active_only_with_fields():
+    _make_task(work_item_id="ORCH-10", stage="development", repo="orchestrator")
+    _make_task(work_item_id="ORCH-11", stage="done")            # terminal -> excluded
+    _make_task(work_item_id="ORCH-12", stage="cancelled")       # terminal -> excluded
+
+    stages = metrics_mod.build_metrics()["stages"]
+    wis = {s["work_item"] for s in stages}
+    assert "ORCH-10" in wis
+    assert "ORCH-11" not in wis
+    assert "ORCH-12" not in wis
+
+    item = next(s for s in stages if s["work_item"] == "ORCH-10")
+    assert item["stage"] == "development"
+    assert item["repo"] == "orchestrator"
+    assert isinstance(item["age_in_stage_s"], int)
+
+
+# --- TC-03: queue section --------------------------------------------------
+def test_tc03_queue_section_fields():
+    q = metrics_mod.build_metrics()["queue"]
+    assert "counts" in q
+    counts = q["counts"]
+    for k in ("queued", "running", "failed", "cancelled"):
+        assert k in counts
+    assert q["max_concurrency"] is not None
+    assert "retries" in q and isinstance(q["retries"], dict)
+    assert "in_backoff" in q["retries"]
+    # breaker snapshot present (worker is the module singleton, initialised)
+    assert q["breaker"] is not None
+    for k in ("state", "consecutive_transient", "pause_remaining_s"):
+        assert k in q["breaker"]
+
+
+# --- TC-04: agents liveness section ----------------------------------------
+def test_tc04_agents_liveness_fields():
+    tid = _make_task(work_item_id="ORCH-20")
+    rid = _make_agent_run(task_id=tid, model="claude-opus-4-8", effort="xhigh")
+    # use our own (alive) pid so cpu_ticks is a real integer
+    _make_running_job(task_id=tid, pid=os.getpid(), run_id=rid, age_s=5)
+
+    agents = metrics_mod.build_metrics()["agents"]
+    assert len(agents) == 1
+    a = agents[0]
+    for k in ("agent", "run_id", "job_id", "pid", "runtime_s", "model", "effort", "cpu_ticks"):
+        assert k in a, f"agent entry missing {k!r}"
+    assert a["agent"] == "developer"
+    assert a["run_id"] == rid
+    assert a["pid"] == os.getpid()
+    assert isinstance(a["runtime_s"], int)
+    # alive pid -> real cpu ticks (int), basis present at envelope level
+    assert isinstance(a["cpu_ticks"], int)
+    assert metrics_mod.build_metrics()["clk_tck"] is not None
+
+
+# --- TC-05: agent-liveness never-raise on dead/None pid --------------------
+def test_tc05_dead_or_none_pid_cpu_ticks_null():
+    tid = _make_task(work_item_id="ORCH-21")
+    rid = _make_agent_run(task_id=tid)
+    # pid=None -> cpu_ticks null; a very-unlikely-live pid -> /proc absent -> null
+    _make_running_job(task_id=tid, pid=None, run_id=rid)
+    _make_running_job(task_id=tid, pid=999999, run_id=rid)
+
+    m = metrics_mod.build_metrics()
+    agents = m["agents"]
+    assert len(agents) == 2
+    for a in agents:
+        assert a["cpu_ticks"] is None      # field degraded, not an exception
+        assert a["agent"] == "developer"   # other fields intact
+    # whole envelope still valid
+    assert m["schema_version"] == 1
+
+
+def test_tc05_read_cpu_ticks_helper_none_paths():
+    assert metrics_mod._read_cpu_ticks(None) is None
+    assert metrics_mod._read_cpu_ticks(999999) is None
+    # alive pid (this process) -> int
+    assert isinstance(metrics_mod._read_cpu_ticks(os.getpid()), int)
+
+
+# --- TC-06: cost aggregate -------------------------------------------------
+def test_tc06_cost_aggregate_sums_and_empty_zeros():
+    # empty agent_runs -> zeros, not error
+    agg0 = metrics_mod.build_metrics()["cost"]["aggregate"]
+    for k in ("cost_usd", "input_tokens", "output_tokens",
+              "cache_read_tokens", "cache_creation_tokens"):
+        assert agg0[k] == 0
+
+    tid = _make_task(work_item_id="ORCH-30")
+    _make_agent_run(task_id=tid, cost_usd=1.5, input_tokens=100, output_tokens=20,
+                    cache_read_tokens=5, cache_creation_tokens=7, finished=True)
+    _make_agent_run(task_id=tid, cost_usd=2.5, input_tokens=200, output_tokens=30,
+                    cache_read_tokens=10, cache_creation_tokens=3, finished=True)
+
+    agg = metrics_mod.build_metrics()["cost"]["aggregate"]
+    assert agg["cost_usd"] == 4.0
+    assert agg["input_tokens"] == 300
+    assert agg["output_tokens"] == 50
+    assert agg["cache_read_tokens"] == 15
+    assert agg["cache_creation_tokens"] == 10
+
+
+# --- TC-07: never-raise when a section source throws -----------------------
+def test_tc07_section_source_throws_degrades_not_500(monkeypatch):
+    def _boom(*a, **k):
+        raise RuntimeError("simulated source failure")
+
+    # queue counts source throws -> queue.counts null, build_metrics still returns
+    monkeypatch.setattr(db, "job_status_counts", _boom)
+    # cost aggregate source throws -> cost.aggregate null
+    monkeypatch.setattr(db, "agent_cost_totals", _boom)
+    # stages source throws -> stages []
+    monkeypatch.setattr(db, "get_active_tasks_for_reconcile", _boom)
+
+    m = metrics_mod.build_metrics()
+    assert m["schema_version"] == 1            # never raised
+    assert m["stages"] == []
+    assert m["queue"]["counts"] is None
+    assert m["cost"]["aggregate"] is None
+
+
+def test_tc07_breaker_unavailable_is_null(monkeypatch):
+    from src import queue_worker
+    # simulate an uninitialised / broken worker breaker
+    monkeypatch.setattr(queue_worker.worker.breaker, "snapshot",
+                        lambda: (_ for _ in ()).throw(RuntimeError("no breaker")))
+    q = metrics_mod.build_metrics()["queue"]
+    assert q["breaker"] is None                # null, not 500
+
+
+# --- TC-08: GET /metrics via handler returns valid JSON --------------------
+def test_tc08_endpoint_returns_full_payload():
+    tid = _make_task(work_item_id="ORCH-40")
+    rid = _make_agent_run(task_id=tid)
+    _make_running_job(task_id=tid, pid=os.getpid(), run_id=rid)
+
+    from src import main
+    payload = asyncio.run(main.metrics())
+    assert payload["schema_version"] == 1
+    assert isinstance(payload["stages"], list) and len(payload["stages"]) == 1
+    assert isinstance(payload["agents"], list) and len(payload["agents"]) == 1
+    assert "aggregate" in payload["cost"]
+    assert "counts" in payload["queue"]
+
+
+def test_tc08_kill_switch_minimal_body(monkeypatch):
+    monkeypatch.setattr(cfg.settings, "metrics_endpoint_enabled", False, raising=False)
+    from src import main
+    payload = asyncio.run(main.metrics())
+    assert payload == {"schema_version": 1, "enabled": False}
+
+
+# --- TC-09: read-only invariant --------------------------------------------
+def test_tc09_metrics_is_read_only():
+    tid = _make_task(work_item_id="ORCH-50")
+    rid = _make_agent_run(task_id=tid, cost_usd=1.0, input_tokens=10)
+    _make_running_job(task_id=tid, pid=os.getpid(), run_id=rid)
+
+    from src import main
+    before = _db_snapshot()
+    asyncio.run(main.metrics())
+    asyncio.run(main.metrics())   # repeat: state must not change
+    after = _db_snapshot()
+    assert before == after, "/metrics must not mutate any DB state"
+
+
+# --- TC-10: additivity vs existing endpoints -------------------------------
+def test_tc10_existing_endpoints_intact():
+    from src import main
+    health = asyncio.run(main.health())
+    assert health["status"] == "ok"
+
+    status = asyncio.run(main.status())
+    assert "active_tasks" in status
+
+    queue = asyncio.run(main.queue())
+    for key in ("counts", "max_concurrency", "poll_interval", "resilience",
+                "reconcile", "reaper", "serial_gate", "recent"):
+        assert key in queue, f"/queue lost existing key {key!r}"
+
+
+# --- TC-11: empty state is valid -------------------------------------------
+def test_tc11_empty_state_valid():
+    m = metrics_mod.build_metrics()
+    assert m["stages"] == []
+    assert m["agents"] == []
+    assert m["cost"]["running"] == []
+    agg = m["cost"]["aggregate"]
+    assert all(agg[k] == 0 for k in agg)
+    counts = m["queue"]["counts"]
+    assert counts["queued"] == 0 and counts["running"] == 0
--- a/tests/test_queue_endpoint.py
+++ b/tests/test_queue_endpoint.py
@@ -59,3 +59,50 @@ def test_queue_serial_gate_reflects_freeze():
    assert "orchestrator" in per
    assert per["orchestrator"]["frozen"] is True
    assert per["orchestrator"]["frozen_reason"] == "DEGRADED"
+
+
+# --- ORCH-019 (TC-13): additive bug_fast_track block -----------------------
+def test_queue_has_bug_fast_track_block_and_keeps_existing_keys(monkeypatch):
+    import asyncio
+    from src import main
+
+    monkeypatch.setattr(cfg.settings, "bug_fast_track_enabled", True, raising=False)
+    payload = asyncio.run(main.queue())
+
+    # Pre-existing keys are all still present (no contract break).
+    for key in ("counts", "serial_gate", "coverage", "auto_labels", "stop", "recent"):
+        assert key in payload, f"existing /queue key '{key}' must be preserved"
+
+    assert "bug_fast_track" in payload
+    bft = payload["bug_fast_track"]
+    assert bft["enabled"] is True
+    assert set(bft) >= {
+        "enabled", "label", "repos",
+        "active_bug_tasks", "total_bug_tasks", "est_saved_architecture_runs",
+    }
+
+
+def test_queue_bug_fast_track_counts_bug_tasks():
+    import asyncio
+    from src import main
+
+    conn = db.get_db()
+    conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, track) "
+        "VALUES ('p1','ORCH-401','orchestrator','feature/x','development','t','bug')"
+    )
+    conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, track) "
+        "VALUES ('p2','ORCH-402','orchestrator','feature/y','done','t','bug')"
+    )
+    conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, track) "
+        "VALUES ('p3','ORCH-403','orchestrator','feature/z','development','t','full')"
+    )
+    conn.commit()
+    conn.close()
+
+    bft = asyncio.run(main.queue())["bug_fast_track"]
+    assert bft["total_bug_tasks"] == 2          # two bug tasks total
+    assert bft["active_bug_tasks"] == 1         # one non-terminal bug task
+    assert bft["est_saved_architecture_runs"] == 2
Author	SHA1	Message	Date
claude-bot	06b025061e	deployer(ET): auto-commit from deployer run_id=563 Some checks failed CI / test (push) Has been cancelled Details CI / test (pull_request) Successful in 52s Details	2026-06-10 03:58:05 +03:00
claude-bot	c8faad232d	tester(ET): auto-commit from tester run_id=562 All checks were successful CI / test (push) Successful in 51s Details CI / test (pull_request) Successful in 47s Details	2026-06-10 03:54:20 +03:00
claude-bot	3686da0814	reviewer(ET): auto-commit from reviewer run_id=561 All checks were successful CI / test (push) Successful in 49s Details CI / test (pull_request) Successful in 50s Details	2026-06-10 03:51:54 +03:00
claude-bot	d7abbc79b3	feat(bug-fast-track): cheaper/shorter pipeline route for bug-fix tasks (ORCH-019) All checks were successful CI / test (push) Successful in 46s Details CI / test (pull_request) Successful in 46s Details A task carrying the Plane `Bug` label takes a shortened route that skips the `architecture` stage (one opus architect run + ADR + check_architecture_done), replacing heavy analysis with a lite package (bug-report + mandatory regression test plan). EVERY Quality Gate / sub-gate runs UNCHANGED — the route is a scheduler property, not a gate (root invariant NFR-1): STAGE_TRANSITIONS / QG_CHECKS / check_* / machine-verdict keys are byte-for-byte preserved. - src/bug_fast_track.py: new leaf (never-raise) — bug_fast_track_applies (local, network-free, checked first), is_bug_task (labels.has_label, Plane API source), skips_architecture (pure DB-backed routing predicate), snapshot. - src/db.py: additive idempotent tasks.track column (TEXT DEFAULT 'full') + set_task_track / get_task_track helpers (missing/NULL -> 'full', fail-safe). - src/stage_engine.py: routing-override on the analysis-exit edge (track='bug' -> development/developer, skipping architect); brd-review-clock stamp extended to analysis->development. get_next_stage/get_agent_for_stage stay pure. - src/webhooks/plane.py: classify task as bug in start_pipeline (applies-first short-circuit; never-raise -> full cycle on any error). - src/main.py: additive bug_fast_track block in GET /queue + POST /bug-fast-track/escalate (reset 'bug'->'full' to return to the full cycle). - src/config.py: bug_fast_track_enabled / _label / _repos flags (empty CSV -> self-hosting only). - src/notifications.py: optional 🐞 marker on the bug-track card (never-raise). - Prompts: analyst.md (lite bug package + escalation), reviewer.md (regression- test axis) — 52d canon preserved. - Docs: CLAUDE.md, README.md (env + API + section), docs/architecture/README.md, CHANGELOG.md, .env.example. - Tests: tests/test_bug_fast_track*.py + test_db_migrations.py + queue block (TC-01..TC-15). Full regression green (1551 passed). Kill-switch ORCH_BUG_FAST_TRACK_ENABLED=false -> 1:1 pre-ORCH-019 (zero regression; residual track column harmless). Refs: ORCH-019 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-10 03:47:49 +03:00
claude-bot	62a63ba0c6	architect(ET): auto-commit from architect run_id=558 All checks were successful CI / test (push) Successful in 46s Details	2026-06-10 03:25:36 +03:00
claude-bot	13739c0b47	analyst(ET): auto-commit from analyst run_id=557 All checks were successful CI / test (push) Successful in 46s Details	2026-06-10 03:17:22 +03:00
Slava	8c74e1259d	docs: init ORCH-019 business request All checks were successful CI / test (push) Successful in 46s Details	2026-06-10 03:09:08 +03:00
Slava	e2c0b2ba9b	Merge pull request 'feat: ORCH-057-bug-follow-up-orch-040-normali' (#113 ) from feature/ORCH-057-bug-follow-up-orch-040-normali into main Some checks failed CI / test (push) Has been cancelled Details	2026-06-10 03:09:07 +03:00
deploy-finalizer	c30dc71b88	deploy(ORCH-036): finalize SUCCESS for ORCH-057 All checks were successful CI / test (push) Successful in 44s Details	2026-06-10 03:09:06 +03:00
claude-bot	6d8b7fb934	tester(ET): auto-commit from tester run_id=555 All checks were successful CI / test (push) Successful in 51s Details CI / test (pull_request) Successful in 48s Details	2026-06-10 03:03:34 +03:00
claude-bot	5d4ef9369e	reviewer(ET): auto-commit from reviewer run_id=554	2026-06-10 03:03:34 +03:00
claude-bot	a98d605477	feat(fs): legacy root-owned ownership detect + actionable worktree error (ORCH-057) Follow-up ORCH-040: legacy root:root files in /repos broke worktree creation under uid 1000 with a raw "Permission denied" (agent never started, no diagnosis). Three additive, kill-switch-reversible layers; STAGE_TRANSITIONS / QG_CHECKS / check_* / machine-verdict keys / DB schema are byte-for-byte unchanged. - D1: ensure_worktree classifies the permission class and raises an actionable RuntimeError (cause + chown command + INFRA.md ref); non-permission errors keep the prior raw-stderr contract; kill-switch off -> contract 1:1 as before ORCH-057. - D2: new never-raise leaf src/fs_normalize.py — scan_ownership (TTL-cached, early-exit per root), applies()-first scope (empty CSV -> self-hosting only), opt-in normalize() that chowns ONLY when privileged (no-op under uid 1000). - D3: best-effort startup detect in main.lifespan (WARNING + Telegram on mismatch, never-fatal); read-only fs_ownership block in GET /queue; POST /fs-normalize/check. Claim is NOT blocked — the clear early outcome is delivered by D1 at launch. - Docs/config: .env.example flags + CHANGELOG (architecture README / adr-0031 / INFRA.md procedure already landed on the branch). - Tests: test_fs_normalize.py, test_git_worktree_perm.py, test_fs_normalize_startup.py, test_api_queue.py (TC-01..TC-12). Full suite green. Refs: ORCH-057 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-10 03:03:34 +03:00
claude-bot	34778217fe	developer(ET): auto-commit from developer run_id=552	2026-06-10 03:03:34 +03:00
claude-bot	6a923f53cb	architect(ET): auto-commit from architect run_id=551	2026-06-10 03:03:34 +03:00
claude-bot	e7868e3fc9	architect(ET): auto-commit from architect run_id=550	2026-06-10 03:03:34 +03:00
claude-bot	a0659de4d2	analyst(ET): auto-commit from analyst run_id=548	2026-06-10 03:03:34 +03:00
Slava	3364436a2e	docs: init ORCH-057 business request	2026-06-10 03:03:34 +03:00
Slava	7125c03d16	Merge pull request 'docs(ORCH-057): staging gate log — SUCCESS (8/10, C9a/C9b infra-waived)' (#114 ) from docs/ORCH-057-staging-log into main	2026-06-10 03:03:08 +03:00
claude-bot	78c3fe100f	docs(ORCH-057): staging gate log — SUCCESS (8/10, C9a/C9b infra-waived) All checks were successful CI / test (pull_request) Successful in 48s Details Staging suite exit 0; all REAL checks green, C9a/C9b INFRA-WAIVED (ORCH-061). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-10 03:02:56 +03:00
Slava	cd664b0382	Merge pull request 'feat(metrics): lightweight read-only GET /metrics raw-signal endpoint (ORCH-099)' (#111 ) from feature/ORCH-099-fnd-f1a-metrics-agent-liveness into main Some checks failed CI / test (push) Has been cancelled Details	2026-06-10 02:14:40 +03:00
deploy-finalizer	999615f8cd	deploy(ORCH-036): finalize SUCCESS for ORCH-099 All checks were successful CI / test (push) Successful in 45s Details	2026-06-10 02:14:39 +03:00
claude-bot	fda1bea9b8	tester(ET): auto-commit from tester run_id=546 All checks were successful CI / test (push) Successful in 46s Details CI / test (pull_request) Successful in 51s Details	2026-06-10 02:09:19 +03:00
claude-bot	4840f3f411	reviewer(ET): auto-commit from reviewer run_id=545	2026-06-10 02:09:19 +03:00
claude-bot	d8793c9698	feat(metrics): lightweight read-only GET /metrics raw-signal endpoint (ORCH-099) FND/F1a: add a versioned read-only JSON endpoint GET /metrics that exposes the orchestrator's own raw state for the future observability sidecar F1b — active task stages, job queue, agent-liveness (pid/runtime/cpu_ticks), and cost/tokens. The orchestrator emits ONLY raw signal it alone knows; thresholds/alerts/history live in the separate sidecar (observer separated from observed, BRD §1). - src/metrics.py: new leaf collector build_metrics() (never-raise per section, serial_gate.snapshot() pattern); envelope schema_version/generated_at/clk_tck + stages/queue/agents/cost. _read_cpu_ticks(pid) reads utime+stime from /proc/<pid>/stat (null on None/dead/non-Linux pid — never raises). - src/main.py: thin @app.get("/metrics") wrapper (style of GET /queue). - src/db.py: read-only helpers get_running_agents() (dedicated SELECT, not an extension of the hot-path get_running_jobs()), agent_cost_totals(), queue_retry_stats(); job_status_counts() default dict gains the cancelled key. - src/config.py: metrics_endpoint_enabled kill-switch (default True), env ORCH_METRICS_ENABLED via explicit validation_alias so the documented switch actually controls the flag. - docs: README API table row + CHANGELOG entry (contract section already added by architect); .env.example ORCH_METRICS_ENABLED. Strictly read-only / never-raise: STAGE_TRANSITIONS / QG_CHECKS / check_* / machine-verdict keys / DB schema untouched; /health//status//queue byte-for-byte. Tests: tests/test_metrics.py (TC-01..TC-11) + env-alias tests in test_config.py. Full suite green (1482). Refs: ORCH-099 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-10 02:09:19 +03:00
claude-bot	8988dca14d	architect(ET): auto-commit from architect run_id=542	2026-06-10 02:09:19 +03:00
claude-bot	aa724885d1	analyst(ET): auto-commit from analyst run_id=541	2026-06-10 02:09:19 +03:00
Slava	da6e1bb9f1	docs: init ORCH-099 business request	2026-06-10 02:09:19 +03:00
Slava	6ea732bbb4	Merge pull request 'docs(ORCH-099): staging gate log — SUCCESS' (#112 ) from docs/ORCH-099-staging-log into main	2026-06-10 02:08:53 +03:00
claude-bot	5632a047d5	docs(ORCH-099): staging gate log — SUCCESS (8/10, C9a/C9b infra-waived) All checks were successful CI / test (pull_request) Successful in 45s Details	2026-06-10 02:08:40 +03:00
Slava	567c27e1d9	Merge pull request 'feat(coverage): deterministic test-coverage gate (ORCH-027)' (#109 ) from feature/ORCH-027-code-coverage into main Some checks failed CI / test (push) Has been cancelled Details	2026-06-10 01:30:54 +03:00