deployer(ET): auto-commit from deployer run_id=482

Эпилог эпика ORCH-52. Docs/prompts-only: src/**, STAGE_TRANSITIONS, QG_CHECKS,
machine-verdict ключи и схема БД не тронуты; frontmatter_validation_strict=False.

- FR-1/FR-2: копируемые frontmatter-примеры всех 6 промптов расхардкожены
  (created_at: <YYYY-MM-DD> / model_used: <resolve ORCH-41> + врезка «не копируй
  буквально, подставь date +%F и модель из конфига»); литерал claude-opus-4-8 —
  только справка в таблице полей.
- FR-3: имена check_* в промптах сверены с QG_CHECKS — несовпадений нет
  (закреплено интеграционным тестом TC-03).
- FR-4: developer «PR>1500 → разбивай» переформулирован в эскалацию на уровне задач.
- FR-5: секция <escalation> у developer/reviewer/tester (после </success_criteria>):
  back-to:analysis / back-to:dev / REQUEST_CHANGES.
- FR-6: deployer — критичные self-hosting-запреты в видной рамке в начале <context>.
- FR-7: tester обогащён worktree-путём, smoke serial_gate (ORCH-088), покрытием TC.
- FR-8: из reviewer удалена мёртвая строка «тот же экземпляр Developer».
- FR-9 (ADR-001 D1): убран ручной git rebase origin/main — свежесть базы держит
  движок (serial-gate ORCH-088 + auto_rebase_onto_main под merge-lease).
- FR-10 (ADR-001 D2): deployer.md оставлен на английском как нормативное исключение.
- FR-11: расширен tests/test_agent_prompts_canon.py (ORCH-092 TC-01…TC-08);
  канон 52d и test_agent_frontmatter_no_model.py зелёные; полный регресс 1278 зелёный.

Документация: 6 промптов, CLAUDE.md, docs/architecture/README.md, CHANGELOG.md.

Refs: ORCH-092

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.example

@@ -121,35 +121,6 @@ ORCH_TASK_DEPS_SOURCE=db
 ORCH_SERIAL_GATE_ENABLED=true
 ORCH_SERIAL_GATE_REPOS=
 ORCH_SERIAL_GATE_FREEZE_ENABLED=true
-# ORCH-090: STOP-status task cancellation (stop active agent + full progress reset)
-# and the relaunch-hole close. A dedicated Plane "STOP" status (logical key `stop`,
-# fail-closed: absent from _DEFAULT_STATES, so a board without the status -> no-op)
-# routes to a cancel handler that drives the task to the system-terminal state
-# `cancelled` (stop agent via the graceful SIGTERM cascade, cancel all jobs, remove
-# worktree + delete the remote feature branch [never main / never force-push],
-# tombstone the natural keys for a clean re-create via "To Analyse"; docs preserved).
-# STOP during a critical merge/deploy window is DEFERRED until the irreversible step
-# finishes honestly. The relaunch-hole gate restricts the "To Analyse" agent relaunch
-# to the `analysis` stage (the sole Needs-Input owner). Additive, never-raise.
-# Infra precondition: create a "STOP" status with the `cancelled` group on the ORCH
-# board (07-infra-requirements.md). Leaf src/cancel.py.
-#   STOP_STATUS_ENABLED=false -> STOP handling AND the relaunch-hole gate are inert
-#                                (behaviour strictly as before ORCH-090).
-#   STOP_STATUS_REPOS (CSV)   -> scope; EMPTY = ALL repos (cancellation is meaningful
-#                                for enduro too).
-ORCH_STOP_STATUS_ENABLED=true
-ORCH_STOP_STATUS_REPOS=
-# ORCH-094: terminal-window-aware guard for the three deploy-phase Plane status
-# setters (set_issue_awaiting_deploy / set_issue_deploying / set_issue_monitoring).
-# A DB stage=done task converges to Done idempotently instead of flapping
-# Awaiting <-> Monitoring, EXCEPT the legitimate post-deploy Monitoring while the
-# window is active (ARMED & not DONE). Leaf src/deploy_status_guard.py, never-raise;
-# STAGE_TRANSITIONS / QG_CHECKS / machine-verdict keys untouched (no DB migration).
-#   DEPLOY_STATUS_GUARD_ENABLED=false -> setters are terminal-blind (1:1 pre-ORCH-094).
-#   DEPLOY_STATUS_GUARD_REPOS (CSV)   -> scope; EMPTY = self-hosting only (orchestrator),
-#                                        the only repo where deploy-phase statuses are set.
-ORCH_DEPLOY_STATUS_GUARD_ENABLED=true
-ORCH_DEPLOY_STATUS_GUARD_REPOS=
 # ORCH-071/073: merge-verify under-gate on the `deploy -> done` edge (врезка in
 # advance_stage, NOT a new STAGE_TRANSITIONS edge / registered QG). A deterministic
 # merge-actor merges the feature code-PR via the Gitea PR-merge API (never push/
@@ -177,22 +148,6 @@ ORCH_MERGE_PR_TIMEOUT_S=60
 ORCH_MERGE_VERIFY_TIMEOUT_S=60
 ORCH_REGRESSION_GUARD_ENABLED=true
 ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=true
-# ORCH-093: deterministic merge-actor retry of TRANSIENT Gitea merge errors. merge_pr
-# wraps ONLY the mutating POST /pulls/{n}/merge in a bounded exponential-backoff
-# retry-loop on transient outcomes (405 "try again later" / 408 / 5xx / network /
-# timeout, and 409|422 while the PR is still mergeable); terminal outcomes
-# (403/404/real conflict) -> fast honest False (the ORCH-071/081 HOLD backstop is
-# unchanged). Fixes the ORCH-063 false HOLD + manual re-merge. The already-in-main
-# guard (no commits beyond origin/main -> no garbage PR) is always-on under
-# MERGE_VERIFY_AUTOCREATE_PR_ENABLED (no separate flag).
-#   MERGE_RETRY_ENABLED        -> kill-switch; false -> exactly one POST (one-shot, prior behaviour).
-#   MERGE_RETRY_MAX_ATTEMPTS   -> max POST attempts on a transient outcome.
-#   MERGE_RETRY_BACKOFF_BASE_S -> exponential backoff base seconds (sleep = base*2^(i-1)).
-#   MERGE_RETRY_BACKOFF_MAX_S  -> per-sleep backoff ceiling seconds (bounds total wait).
-ORCH_MERGE_RETRY_ENABLED=true
-ORCH_MERGE_RETRY_MAX_ATTEMPTS=3
-ORCH_MERGE_RETRY_BACKOFF_BASE_S=2
-ORCH_MERGE_RETRY_BACKOFF_MAX_S=5
 # ORCH-036: executable self-deploy of the `deploy` stage. For the self-hosting repo
 # (orchestrator) the stage REALLY restarts prod (8500) via a detached host hook;
 # deploy_status: SUCCESS means proven health-ok, not an LLM declaration. Three
@@ -312,45 +267,6 @@ ORCH_REAPER_MAX_RUNNING_S=3600
 ORCH_REAPER_FINALIZE_GRACE_S=300
 ORCH_LEASE_RECLAIM_ENABLED=true
 
-# ORCH-063: disk-watchdog — background heartbeat that measures HOST-FS fill via the
-# mounted bind-paths (/repos, /app/data) with shutil.disk_usage (NOT the container
-# overlay /) and Telegram-alerts the operator at >= threshold. On 07.06.2026 the
-# mva154 host disk silently hit 100% and stalled the WHOLE self-hosting pipeline;
-# this is the missing proactive signal. Daemon thread modelled on reconciler/reaper
-# (start/stop in main.lifespan, /queue snapshot, never-raise). Anti-spam state is
-# in-memory (no DB migration); the watchdog only READS fill and SENDS Telegram — it
-# never touches the disk/container or restarts prod (self-hosting safety).
-#   DISK_MONITOR_ENABLED       -> kill-switch; false -> the daemon does not start (1:1 as before).
-#   DISK_MONITOR_INTERVAL_S    -> heartbeat measurement period, seconds (order of minutes).
-#   DISK_MONITOR_THRESHOLD_PCT -> fill % that triggers the alert (Owner-fixed 85; valid 1..100).
-#   DISK_MONITOR_REALERT_S     -> cooldown between repeat alerts while above threshold (~6h).
-#   DISK_MONITOR_PATHS         -> CSV of monitored HOST bind-paths; empty -> /repos,/app/data.
-ORCH_DISK_MONITOR_ENABLED=true
-ORCH_DISK_MONITOR_INTERVAL_S=300
-ORCH_DISK_MONITOR_THRESHOLD_PCT=85
-ORCH_DISK_MONITOR_REALERT_S=21600
-ORCH_DISK_MONITOR_PATHS=/repos,/app/data
-
-# ORCH-062: build-cache-pruner — the "second half" of the disk-watchdog
-# (watchdog SIGNALS, pruner CLEANS). A daemon thread modelled on disk_watchdog
-# that periodically runs STRICTLY `docker builder prune -f --filter until=<until>`
-# on the HOST over ssh (BuildKit GC). Touches ONLY the build cache: never
-# images/containers of running services, never restarts the docker daemon or the
-# prod container (self-hosting safety). State is in-memory (no DB migration). No
-# ssh host configured -> the tick is a no-op. See docs/operations/INFRA.md.
-#   BUILD_CACHE_PRUNE_ENABLED       -> kill-switch; false -> the daemon does not start (1:1 as before).
-#   BUILD_CACHE_PRUNE_INTERVAL_S    -> tick period, seconds (order of hours; default ~6h). >0, else default.
-#   BUILD_CACHE_PRUNE_UNTIL         -> retention age for the warm cache (`--filter until=`); ^\d+[smhdw]?$, else 24h.
-#   BUILD_CACHE_PRUNE_ALL           -> add `-a` (ALWAYS paired with until); default false.
-#   BUILD_CACHE_PRUNE_TIMEOUT_S     -> bound on the ssh command, seconds. >0, else default.
-#   BUILD_CACHE_PRUNE_NOTIFY_MIN_GB -> Telegram when reclaimed >= N GB; 0 -> silent.
-ORCH_BUILD_CACHE_PRUNE_ENABLED=true
-ORCH_BUILD_CACHE_PRUNE_INTERVAL_S=21600
-ORCH_BUILD_CACHE_PRUNE_UNTIL=24h
-ORCH_BUILD_CACHE_PRUNE_ALL=false
-ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S=120
-ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB=0
-
 # ORCH-022: security-gate (secret-scanning + dependency audit) on the
 # deploy-staging -> deploy edge, run FIRST among the edge sub-gates. Deterministic
 # (no LLM): gitleaks (offline secret-scan, pinned Go binary in the image) + pip-audit
@@ -372,28 +288,6 @@ ORCH_SECURITY_SCAN_TIMEOUT_S=300
 ORCH_SECURITY_DEP_AUDIT_FAIL_CLOSED=false
 ORCH_SECURITY_SECRETS_BLOCK=true
 
-# ORCH-027: coverage-gate (deterministic test-coverage) on the deploy-staging ->
-# deploy edge, run AFTER the merge-gate and BEFORE image-freshness. Measures line
-# coverage of src/ with pytest-cov in the per-branch worktree, compares to an absolute
-# floor and/or the ratchet baseline of `main`; FAIL -> rollback to development +
-# developer-retry (cap 3). Verdict in the 18-coverage-report.md frontmatter
-# (coverage_status:). See ADR-001-coverage-gate.md.
-#   GATE_ENABLED       -> global kill-switch; false -> pipeline 1:1 as before ORCH-027.
-#   GATE_REPOS         -> CSV of repos where the gate is REAL; empty -> only self-hosting.
-#   MIN_PERCENT        -> absolute floor (% line coverage) for policy absolute/both.
-#   POLICY             -> absolute | baseline | both (default both).
-#   EPSILON            -> noise tolerance (%) at the boundary (anti-flap).
-#   TOOL_FAIL_CLOSED   -> strict mode: a coverage-tool error -> FAIL instead of the
-#                         default fail-open + warning (anti-loop). Default false.
-#   RUN_TIMEOUT_S      -> wall-clock budget for the pytest --cov run.
-ORCH_COVERAGE_GATE_ENABLED=true
-ORCH_COVERAGE_GATE_REPOS=
-ORCH_COVERAGE_MIN_PERCENT=0.0
-ORCH_COVERAGE_POLICY=both
-ORCH_COVERAGE_EPSILON=0.5
-ORCH_COVERAGE_TOOL_FAIL_CLOSED=false
-ORCH_COVERAGE_RUN_TIMEOUT_S=900
-
 # ORCH-021: post-deploy production monitoring + degradation reaction. After the
 # terminal deploy->done transition for an applicable repo, a reserved-agent job
 # `post-deploy-monitor` (no LLM, modelled on deploy-finalizer) probes prod over a

.task-dev.md

@@ -1,4 +1,4 @@
-Work item: ORCH-093
+Work item: ORCH-088
 Repo: orchestrator
-Branch: feature/ORCH-093-bug-merge-gitea-405-5xx-hold-p
+Branch: feature/ORCH-088-orch-88-10-20
 Stage: development

CHANGELOG.md

@@ -3,65 +3,6 @@
 Формат: [Keep a Changelog](https://keepachangelog.com/). Записи — на смысловой PR/задачу.
 
 ## [Unreleased]
-- **Детерминированный гейт покрытия тестами — защита от тихой деградации coverage перед merge в `main`** (ORCH-027, `feat`): существующие тестовые гейты (`check_ci_green`, `check_tests_passed`, merge-gate re-test) судят только по **факту** прохождения, не по **полноте** — ни один не замечает «300 строк кода, 0 тестов», и при пакетном автономном прогоне (ORCH-088) покрытие монотонно деградирует. Введён детерминированный (без LLM) под-гейт ребра `deploy-staging → deploy` по образцу security-гейта (ORCH-022): leaf `src/coverage_gate.py` (never-raise) + тонкая обёртка `check_coverage_gate` в `QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. **Аддитивно:** `STAGE_TRANSITIONS` / семантика существующих `check_*` / machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) — байт-в-байт прежние; новая БД-таблица аддитивна (NFR-5/AC-8). См. `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`, сквозной `docs/architecture/adr/adr-0029-coverage-gate.md`.
-  - **Точка/порядок (D1, AC-2):** под-гейт исполняется **ПОСЛЕ merge-gate** (покрытие меряется на догнанном `auto_rebase_onto_main` HEAD — ровно том коде, что landed в `main`) и **ДО image-freshness** (фейл до дорогого docker-rebuild). FAIL → штатный откат на `development` (+ инкремент developer-retry, cap `MAX_DEVELOPER_RETRIES`) **и освобождение merge-lease** (merge-gate держал его на своём PASS — зеркало image-freshness rollback, TR-2). `STAGE_TRANSITIONS` не меняется (под-гейт, как security/merge/image-freshness).
-  - **Измерение (D2, FR-1/AC-1):** `python -m pytest tests/ --cov=src --cov-report=json` в изолированном per-branch worktree (`ensure_worktree`, прецедент `check_tests_local`); метрика — `totals.percent_covered` (line coverage `src/`). Измеритель инкапсулирован за `measure_coverage(repo, branch) -> float | None` (стек-расширяемость BR-6: jest/jacoco — новая ветка `measure_*`, без переписывания ядра). Тайм-аут `coverage_run_timeout_s`. Новая pip-зависимость `pytest-cov==5.0.0` (offline на момент замера). 
-  - **Чистая функция решения (D3, FR-2/AC-3):** `compute_coverage_verdict(measured, baseline, floor, policy, epsilon) -> (ok, reason)` — детерминированная, без LLM/IO. `absolute` → `measured ≥ floor−ε`; `baseline` → `measured ≥ baseline−ε`; `both` (дефолт) → оба; `baseline is None` (bootstrap) → baseline-условие не применяется (нельзя регрессировать против пустоты). `epsilon` — допуск на шум измерения (NFR-4, анти-флап у границы). Покрыто unit-тестами всех режимов/границ/epsilon.
-  - **Базовая линия + ratchet (D4/D5, FR-4/AC-4):** аддитивная БД-таблица `coverage_baseline(repo PK, coverage, source_sha, updated_at)` (`CREATE TABLE IF NOT EXISTS`, паттерн `repo_freeze`/`job_deps`; существующие таблицы не мигрируются). Хелперы `db.get_coverage_baseline`/`ratchet_coverage_baseline`/`set_coverage_baseline`/`all_coverage_baselines`. Наращивание **только вверх** в choke-point подтверждённого merge `_handle_merge_verify` (ребро `deploy → done`): `coverage_gate.ratchet_baseline_on_merge` читает измеренное из `18-coverage-report.md` (single source of truth) и применяет **атомарный compare-and-set** `UPDATE … WHERE coverage <= measured` (или `INSERT` — bootstrap) под держимым merge-lease (ORCH-043) → базовая линия никогда не падает даже при гонке. Меньшее значение базовую линию не понижает.
-  - **Условность + fail-open (D6, FR-5/FR-6/AC-5/AC-6):** `coverage_gate_applies(repo)` (локально) ПЕРВЫМ — дорогой прогон только при `applies==True`. `coverage_gate_enabled=False` → инертно (1:1 как до ORCH-027); `coverage_gate_repos` (CSV; **пусто → self-hosting only** `is_self_hosting_repo`, как security/merge/image-freshness) → enduro-trails не затронут (no-op `(True, "N/A")`). Ошибка/недоступность coverage-инструмента или непарсимая метрика → **fail-open + WARNING** по умолчанию (`coverage_tool_fail_closed=False`, анти-петля по образцу ORCH-061/022 dep-audit); флаг переключает в fail-closed.
-  - **Машинный вердикт + наблюдаемость (D7/D8, FR-7/AC-9):** артефакт `18-coverage-report.md` (frontmatter `coverage_status: PASS|FAIL` + `measured_coverage`/`baseline`/`floor`/`policy`/`epsilon`/`delta`), вердикт читается ТОЛЬКО из frontmatter через `src/frontmatter.parse_frontmatter` (ORCH-052c, регистр фиксирован); гейт сам пишет отчёт и читает вердикт обратно из того же файла (single source of truth, как `security_status:`). Read-only блок `coverage` в `GET /queue` (kill-switch/scope/policy/floor/epsilon/per-repo baselines). При FAIL — `send_telegram` с кликабельным номером (`link_for`), измеренным покрытием, порогом/базовой линией и дельтой. Опциональный ручной override `POST /coverage/baseline?repo=…&value=…` (по образцу `POST /serial-gate/unfreeze`) для легитимного разового снижения покрытия.
-  - **Self-hosting безопасность (NFR-1/NFR-3/AC-7):** leaf не импортирует `stage_engine`; любое исключение перехвачено (never-raise); гейт только мерит/читает/пишет/решает — не деплоит, не рестартит прод-контейнер, не пушит/форс-пушит `main` (структурно проверено AST-тестом TC-12). Прод-деплой ORCH-027 — строго через staging-гейт (8501), без рестарта прод-контейнера (лейбл `arch:major-change`).
-  - **Флаги (`config.py`, env `ORCH_COVERAGE_*`, `.env.example`):** `coverage_gate_enabled` (kill-switch), `coverage_gate_repos`, `coverage_min_percent` (дефолт 0.0 — безопасный раскат: no-regression ведёт ratchet-базовая линия, floor не фейлит в день один), `coverage_policy` (дефолт `both`), `coverage_epsilon` (0.5), `coverage_tool_fail_closed` (False), `coverage_run_timeout_s` (900). Откат: `ORCH_COVERAGE_GATE_ENABLED=false` → полный no-op (мгновенный обратимый kill-switch).
-  - **Инфра-предусловие:** добавить `pytest-cov` в прод/staging-образ (`requirements.txt`). При первом применимом merge базовая линия засевается фактическим покрытием `main` (bootstrap). Тесты: `tests/test_coverage_gate.py` (TC-01…TC-15: режимы/границы/epsilon verdict, ratchet up-only + bootstrap + per-repo изоляция, applies/kill-switch, fail-open/closed, never-raise, write/read-back отчёта, self-hosting AST-safety, интеграция в `advance_stage` с откатом+release lease, реальное измерение pytest-cov на фикстур-репо + тайм-аут, snapshot + неизменность `QG_CHECKS`/`STAGE_TRANSITIONS`). Обновлены анти-регресс-реестры `QG_CHECKS` (`test_config`/`test_plane_status_model`/`test_qg_registry_snapshot`/`test_stages_invariants`) и edge-тесты `test_stage_engine` (`check_coverage_gate: _pass`). Полный регресс `tests/ -q` зелёный.
-- **Live-карточка трекера: HTML-инъекция «<1м» больше не застывает карточку — экранирование всех данных-полей на границе рендера** (ORCH-095, `fix`): карточка задачи (`src/notifications.py::render_task_tracker`) шлётся/редактируется с `parse_mode=HTML`. `_fmt_minutes` для стадии < 60 с возвращает литерал `"<1м"`, который интерполировался в HTML-текст **сырым** → Telegram парсит `<1м` как открывающий тег → `editMessageText` отвечает `400 can't parse entities: Unsupported start tag "1м"` → `edit_telegram` классифицирует как `EDIT_FAILED` → `update_task_tracker` делает ранний `return` (анти-дубль ORCH-087) → **карточка застывает** (детерминированно воспроизведено 09.06 на ORCH-093, `message_id 18854`). Корневой класс шире одного `<1м`: все подставляемые **данные** (длительности, статус-лейбл, модель, эффорт, токены/стоимость) вставлялись сырыми; экранирован был только заголовок (`esc_title`) и href/label внутри `plane_issue_link`. **Аддитивно, never-raise, без нового поведения конвейера:** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / транспорт нотификаций / схема БД — **не тронуты** (затронут ровно один модуль индикативного слоя); kill-switch не требуется (исправление дефекта корректности, откат = `git revert`).
-  - **Экранирование на границе рендера, не в источнике (ADR-001 D1/D2, AC-1/AC-2):** новый модуль-локальный хелпер `_esc(x) = html.escape(str(x))` (never-raise → `""` на исключении) оборачивает каждое подставляемое **данные-значение** (категория D) ровно один раз в точке интерполяции в `render_task_tracker`/`_stage_line`: длительности (`_fmt_minutes`/`_capped_review_str`), статус-лейбл (`_card_status_label`), модель (`short_model_name`), эффорт (`_run_effort`), токены/стоимость (`fmt_tokens`/`fmt_cost`). Функции-источники остаются **HTML-агностичными** (данные, не разметка): `src/usage.py` и `_fmt_minutes` не тронуты — `_fmt_minutes` продолжает возвращать `"<1м"`, безопасность даёт escape на границе (`&lt;1м` рендерится оператору визуально идентично `<1м` → видимый формат не меняется).
-  - **Категория M (намеренная разметка) неприкосновенна (D5, AC-3):** кликабельный номер задачи `num_html` (`plane_issue_link`, внутри уже экранированы href+label), `link_for(...)` в строке «⏳ ждёт …», `_done_link(...)` («🔗 PR #n · 📦 Внедрено») и уже-экранированный `esc_title` через `_esc` **не** проходят → остаются валидным HTML, номер остаётся кликабельным. Двойное экранирование (`&amp;lt;`) структурно исключено: D-слот → `_esc` ровно один раз, M-слот → as-is.
-  - **Defence-in-depth (D3):** экранируются и сейчас-безопасные D-поля (токены/стоимость/модель дают только цифры/`.`/`k`/`M`/`$`/`^claude-…$`) — escape для них no-op, выгода — структурный инвариант «каждый D-слот экранирован», устойчивый к будущей смене формата источника.
-  - **Восстановление застрявших карточек (D4, AC-4):** механизм — достаточное условие FR-4 без нового кода: на ближайшем переходе стадии `update_task_tracker` рендерит новый безопасный текст → `edit_telegram` отвечает `200` → застрявшая карточка обновляется на месте. Переклассификация `can't parse entities` → переотправка **отвергнута** (после фикса источник из наших данных устранён структурно; касание ветки `EDIT_FAILED`/леджера рискует анти-дублем ORCH-087). Known-limitation (унаследовано ORCH-087/Telegram-48ч): карточка задачи, завершившейся до деплоя фикса, не восстанавливается (нет будущего рендера).
-  - **Трассировка:** перед правкой блоков, помеченных ORCH-042/067/087/091, прочитаны их ADR — инварианты (одна карточка на задачу, леджер сирот + анти-дубль, отражение откатов + суммирование `_stage_line`, строка Plane-статуса/кликабельный номер) сохранены по построению (ORCH-095 лишь оборачивает уже вычисленные D-значения в `_esc`, не меняя состав строк/порядок/логику подавления).
-  - Тесты: новый `tests/test_tracker_html_escape.py` (TC-01..TC-11: sub-minute escape на границе, never-raise `_fmt_minutes`/`_esc` на граничных входах, рендер sub-minute без сырого `<1м`, заголовок со спецсимволами без двойного экранирования, escape статус-лейбла/модели/эффорта, HTML-безопасность токенов/стоимости, регресс кликабельного `<a href>` номера и `_done_link`, parse-safe edit-payload, edit-in-place без новой карточки + анти-дубль на транзиентном фейле, never-raise на битых входах). Полный регресс `tests/ -q` зелёный (1437). ADR: `docs/work-items/ORCH-095/06-adr/ADR-001-html-safe-card-data-render.md`. Откат: `git revert` (один модуль + тесты + CHANGELOG, без миграций/kill-switch).
-- **Терминальная (done) задача держит `Done` в Plane: terminal-window-aware гард deploy-статусов** (ORCH-094, `fix`): задача с БД `stage=done` и 0 активных job'ов (верифицировано на ORCH-061, task 47) стабильно флаппила в Plane `Awaiting Deploy ⟷ Monitoring after Deploy` (273 активности парами, само не затихает) вместо `Done`. Корень: три deploy-фазовых сеттера (`set_issue_awaiting_deploy`/`set_issue_deploying`/`set_issue_monitoring`) **терминал-слепы** — любой стейл/двойной/неизвестный вызов под бот-токеном перезаписывает `Done` промежуточным deploy-статусом, и обратно, бесконечно. **Аддитивно, never-raise, под kill-switch, в зоне self-hosting:** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи (`deploy_status:`/`staging_status:`/…) / схема БД — **не тронуты** (читается существующая `tasks.stage`, без миграции).
-  - **Единый гард на низком чокпоинте (FR-2, D1/D2):** новый leaf `src/deploy_status_guard.py` (чистая, never-raise, config-gated логика; по образцу `serial_gate.py`/`labels.py`/`cancel.py`) — `decide(work_item_id, target, reason) -> ALLOW | CONVERGE_DONE | SUPPRESS`. Гард ставится на **входе** трёх сеттеров `plane_sync` (а не в caller'ах `stage_engine`) → перехватывает **любой** путь, включая неизвестный актор под бот-токеном. Предикат легитимности: deploy-статус легитимен ⇔ задача **нетерминальна** ИЛИ (`done` **И** активно пост-деплой-окно `post_deploy.window_active` = ARMED & не DONE). Для `done`: `monitoring`+окно-активно → `ALLOW`; иначе → `CONVERGE_DONE` (сеттер вместо PATCH'а зовёт `set_issue_done`, идемпотентно). `cancelled` → `SUPPRESS` (не штампуем поверх терминала ORCH-090). Нетерминальная задача → `ALLOW` (рабочий deploy-цикл 1:1, AC-4). Task не найден / не-self репо / kill-switch off / любое исключение → `ALLOW` (fail-safe к прежнему поведению 1:1, NFR-1).
-  - **Перенос арм-блока перед terminal-sync (D3, AC-4):** в `advance_stage` (ветка `next_stage=="done"`) блок `post_deploy.arm_monitor` перемещён **выше** блока `set_issue_monitoring` (стр. 404). Критично: `update_task_stage(task_id,"done")` пишет `stage='done'` **раньше** легитимного первого `Monitoring` — без переноса гард ошибочно свёл бы его к Done. Арм-первым пишет `ARMED` → `window_active==True` → `ALLOW` пропускает легитимный `Monitoring`; re-drive `deploy→done` **после** закрытия окна (`DONE` present) → `window_active==False` → `CONVERGE_DONE` (не воскрешает `Monitoring`). Перенос безопасен: `arm_monitor` лишь пишет sentinel + ставит отложенный job, не зависит от Plane-статуса/merge-lease (release остаётся после terminal-sync). Инварианты ORCH-021 (идемпотентный арм по `ARMED`) и ORCH-066 (`deploy→done` self ⇒ `Monitoring`) сохранены.
-  - **Харднинг пост-деплой-монитора (FR-3, D4, AC-3):** `run_post_deploy_monitor` — существующий идемпотентный страж `has_marker(DONE)` (no-op завершённого окна) сохранён; аддитивно: тик при БД `stage='cancelled'` мид-окно → закрыть окно `mark_done` **без статус-PATCH и без перепостановки** следующего тика (zombie-tick guard). Перепостановка остаётся строго при `HEALTHY and ticks < budget` (тик ≡ job; нет job → нет тика). После закрытия окна — 0 последующих статус-PATCH; любой стейл `set_issue_monitoring` добивается гардом D2.
-  - **Наблюдаемость (FR-4, D5, AC-5):** аддитивный BC-kwarg `reason: str | None = None` у трёх сеттеров; call-site'ы передают `"advance:deploy->done"`/`"phase_a"`/`"phase_b"`. `decide` эмитит ОДНУ структурную запись на вызов: `work_item`, `caller(reason)`, `target_status`, `db_stage`, `window_active`, `verdict` (`ALLOW` → INFO; `CONVERGE_DONE`/`SUPPRESS` → WARNING, «что подавили и почему» — атрибуция будущего флаппа). Новый read-only аксессор `db.get_task_by_work_item_id` (human-readable `work_item_id` матчит живой ряд; тумбстоны ORCH-090 имеют суффикс `#cancelled-<id>`).
-  - **Конфиг/откат (FR-5, D6):** `src/config.py` `deploy_status_guard_enabled: bool = True` (env `ORCH_DEPLOY_STATUS_GUARD_ENABLED`; `False` → сеттеры терминал-слепы, поведение **1:1** прежнее) / `deploy_status_guard_repos: str = ""` (env `ORCH_DEPLOY_STATUS_GUARD_REPOS`; CSV, **пусто → self-hosting only** — не-self репо (enduro) гард не трогает, нулевая регрессия). Откат: `ORCH_DEPLOY_STATUS_GUARD_ENABLED=false` (мгновенный runtime) или revert ветки.
-  - **Источник флаппа (BR-7):** code-писатели deploy-статусов — только `stage_engine.py:404/1218/1316`; реконсилятор F-2 эти статусы не перебирает; live-overlay `notifications.py` — read-only. Гард — **буфер на стороне орка**, гасящий маятник за один цикл независимо от актора (известный/стейл/неизвестный под бот-токеном). Если актор — внешняя Plane-automation под другим токеном, code-фикс не закрывает её полностью, но идемпотентное схождение к Done нейтрализует видимый эффект.
-  - **Трассировка:** перед правкой блока `next_stage=="done"` (маркеры ORCH-021/066/043/088) прочитаны их ADR — инварианты сохранены (deploy→done self ⇒ Monitoring; монитор-close ⇒ Done; терминал-набор `{done,cancelled}`). Тесты: `tests/test_deploy_status_terminal_guard.py` (TC-01..05/12), `tests/test_post_deploy_monitor_termination.py` (TC-06..08), `tests/test_deploy_status_observability.py` (TC-09), `tests/test_reconciler_done_deploy_convergence.py` (TC-10), `tests/test_self_deploy_cycle_regression.py` (TC-11). Обновлены анти-регресс-ассерты `tests/test_deploy_terminal_sync.py`/`test_deploy_approve.py` под `reason`-kwarg. Полный регресс `tests/ -q` зелёный (1411). ADR: `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`, сквозной `docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`.
-- **Merge-актор ретраит транзиентные ошибки Gitea (405/5xx) + гард «ветка уже в `main`»** (ORCH-093, `fix`): две точечные доработки детерминированного merge-актора `src/merge_gate.py`, чинящие инцидент **ORCH-063**: self-deploy прошёл, staging OK, PR был `open`+`mergeable`, но `POST /pulls/{n}/merge` вернул `HTTP 405 "Please try again later"` (Gitea пересчитывал `mergeable` сразу после пуша) → one-shot `merge_pr` мгновенно вернул `False` → корректная защита ORCH-071/081 удержала задачу на `deploy` + потребовала ручной домерж; повторный прогон финализатора плодил мусорный пустой PR. **Аддитивно, never-raise, под существующими kill-switch'ами:** `STAGE_TRANSITIONS` / `QG_CHECKS` / схема БД — **не тронуты**; INV-4 (мерж только через Gitea PR-merge API, никогда `push`/`force-push` в `main`) сохранён 1:1.
-  - **Retry-loop транзиента (FR-1/FR-2, AC-1/AC-2/AC-3, D1/D2):** `merge_pr` оборачивает **только** мутирующий `POST …/merge` в ограниченный retry-loop с экспоненциальным backoff (`min(base*2^(i-1), max)`, дефолты 2/5 с → суммарный сон `(N-1)*max ≤ 10 с`, monitor-поток не подвешивается). Классификатор `_classify_merge_response`: **транзиент** (ретрай) — `405`/`408`/любой `5xx`/`httpx`-таймаут/сетевая ошибка, **и** `409`/`422` когда PR всё ещё mergeable; **терминал** (быстрый честный `False`, защита ORCH-071/081 как прежде) — `403`/`404`/реальный конфликт (`409`/`422` при `mergeable==False`). Неоднозначный `409`/`422` разрешается доп. `GET /pulls/{index}` → `mergeable`; дефолт-политика `mergeable==None`/недоступно → **транзиент** (fail-OPEN-в-ретрай: икота Gitea — наблюдаемый кейс, бюджет конечен, backstop сохранён). Каждая попытка логируется `attempt i/N` (образец `check_ci_green`).
-  - **Гард already-in-main (FR-3/FR-4, AC-4, D3/D4):** новый leaf `_branch_fully_in_main` (`git merge-base --is-ancestor HEAD origin/main` в per-branch worktree) вызывается в `ensure_open_pr` **между** «открытый code-PR не найден» и `POST …/pulls`: ветка целиком в `main` (нет коммитов `origin/main..HEAD`) → новый исход `"already-in-main"` **без создания PR** (нет мусорного пустого PR на уже влитой ветке). git-ошибка/ambiguous (`None`) → **fail-OPEN** (деградация на create-путь, НЕ ложный no-op). В `stage_engine._handle_merge_verify` исход `already-in-main` **пропускает** `merge_pr` (мержить нечего) и отдаёт авторитетному SHA-in-main (`verify_merged_to_main`) довести до `done`; это НЕ HOLD. SHA-in-main остаётся единственным доказательством мержа (ADR-0014).
-  - **Конфиг/откат (FR-5, AC-5/AC-7, D5):** новые поля `src/config.py` `merge_retry_enabled` (kill-switch; `False` → ровно один POST = байт-в-байт прежнее one-shot, нулевая регрессия) / `merge_retry_max_attempts` (3) / `merge_retry_backoff_base_s` (2) / `merge_retry_backoff_max_s` (5), env `ORCH_MERGE_RETRY_*`, дескрипторы в `.env.example`. Гард already-in-main — без отдельного флага (накрыт `merge_verify_autocreate_pr_enabled`). Откат: `ORCH_MERGE_RETRY_ENABLED=false` (мгновенный runtime) или revert PR.
-  - **Трассировка:** перед правкой `merge_pr`/`ensure_open_pr`/`_handle_merge_verify` прочитаны ADR ORCH-071/073/082 — инварианты (SHA-in-main authoritative, never-raise, idempotency-guard `pr_already_merged`, base==main фильтр code-PR) сохранены; в `MAIN_REGRESSION_MARKERS` добавлена строка `("ORCH-093", "_classify_merge_response", "src/merge_gate.py")` (append-only).
-  - Тесты: `tests/test_merge_gate.py` (TC-01..TC-12: 405×2→200, 5xx→200, network→200, реальный конфликт/403 терминал, ambiguous-mergeable, исчерпание ретраев, kill-switch one-shot, already-in-main без POST, create при коммитах сверх main, fail-OPEN на git-ошибке гарда, never-raise; `httpx` мокается, `time.sleep` → no-op), `tests/test_config.py` (TC-13: дефолты + env-override `ORCH_MERGE_RETRY_*`), `tests/test_merge_verify.py` (TC-14..TC-16: already-in-main пропускает `merge_pr`→done; исчерпание+SHA-not-in-main→HOLD; транзиент-успех→done). Обновлён `tests/test_orch082_ensure_pr.py` (гард запинён на create-путь — у гарда своё покрытие). Полный регресс `tests/ -q` зелёный (1389). ADR: `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`, сквозной `docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`.
-- **Live-карточка трекера: полнота карты статусов, отражение откатов, суммирование метрик стадии по попыткам** (ORCH-091, `fix`): три верифицированных дефекта рендера Telegram-карточки (`src/notifications.py`, ORCH-067/087). **Аддитивно, never-raise, без нового поведения конвейера:** `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / транспорт нотификаций / схема БД — **не тронуты** (затронут ровно один модуль индикативного слоя); kill-switch не требуется (рендер деградирует безопасно, откат = `git revert`).
-  - **Деф.1 — застрявший заголовок «To Analyse» (FR-1/2/3, AC-1/2/3):** `_STAGE_STATUS_LABEL` покрывал 8 из 10 ключей `STAGE_TRANSITIONS` — `deploy-staging` и `cancelled` (ORCH-090) выпадали в дефолт-«To Analyse» (ложный «первый статус» на стадии staging-деплоя). Карта расширена: `deploy-staging → "Deploying (staging)"` (plain-стиль активной стадии, суффикс «(staging)» снимает коллизию с prod-overlay `_LIVE_BRANCH_LABELS['deploying']` и с pause-лейблом `deploy`), `cancelled → "Cancelled"` (offline-база ORCH-090, совпадает с overlay-лейблом → нет конфликта precedence). Runtime-фолбэк `plane_status_label` для **немаппленной** (будущей/неизвестной) стадии заменён с «To Analyse» на **нейтральный** капитализированный лейбл (`_neutral_stage_label`, `"deploy-staging" → "Deploy Staging"`); `created` остаётся явным ключом → честная «To Analyse»; битый/None-вход → безопасный дефолт. Полнота карты гарантируется **программно** тестом, итерирующим `STAGE_TRANSITIONS.keys()` (единый источник истины) — новая стадия без курируемого лейбла даёт красный тест; автогенерация лейблов в самом модуле запрещена (карта остаётся курируемой/человекочитаемой).
-  - **Деф.2 — ложная картина при откате (FR-4, AC-4):** цикл рендера выводил `✅`-строку для каждой стадии с завершённым прогоном её агента **без учёта позиции** относительно текущей — после отката (`deploy-staging → development` ORCH-043, `review → development` REQUEST_CHANGES) карточка показывала абсурд «✅ Внедрение … + 🔄 Разработка». Введён лёгкий read-only хелпер `_pipeline_pos` от **порядка `STAGE_TRANSITIONS`** (не от `_TRACKER_STAGES`, который не содержит `deploy-staging`/`cancelled` и не авторитетен по порядку); гейт подавления: `✅`-строка рисуется только если `current_pos >= _pipeline_pos(stage_key)`. Нормализация `deploy-staging → deploy` применяется **только** к вычислению текущей позиции (схлопнутая строка «Внедрение» несёт `stage_key="deploy"`); `is_active_stage` — **без изменений** (нулевой регресс активного рендера). Подавлённые откатом прогоны по-прежнему входят в тоталы задачи (намеренная семантика отката).
-  - **Деф.3 — занижение метрик строки стадии (FR-5, AC-5):** `_stage_line` брал ПОСЛЕДНИЙ прогон (`last_done`), теряя предыдущие попытки (верифицировано на ORCH-069: developer 3 прогона Σ $3.98 → карточка показывала ~$0.00). Теперь `_stage_line` агрегирует **ВСЕ** `agent_runs` агента стадии теми же per-run-формулами, что и блок тоталов (`Σ cost_usd`, `Σ _input_total`, `Σ output_tokens`, `Σ _duration_seconds`); модель/эффорт/«попытка N» берутся из последнего прогона (`id ASC`). Каждый агент привязан ровно к одной строке `_TRACKER_STAGES` → строгий инвариант сходимости: Σ(строк стадий) ≡ тоталы задачи ≡ `SUM(agent_runs)` по `task_id`. Формат строк/тоталов и эффорт-суффикс (ORCH-087) — байт-в-байт.
-  - **Совместимость/регресс (NFR-2, AC-6):** In Review (brd-clock), Awaiting Deploy (`deploy`), Done, live-overlay ветки (Needs Input / Blocked / Rejected / Cancelled / Confirm Deploy / Deploying / Monitoring), строка «Подтверждение BRD», формат строк/тоталов, эффорт-суффикс — без изменений; все существующие тесты карточки зелёные. Перед правкой кода, помеченного ORCH-067/087/090, прочитаны их ADR — инварианты (single-card, never-raise, разделение offline-ядра и live-overlay, терминал `cancelled`) сохранены.
-  - Тесты: `tests/test_tracker_status_line.py` (ORCH-091 TC-01..TC-03: полнота карты от `STAGE_TRANSITIONS`, staging-лейбл, нейтральный фолбэк/never-raise; обновлён `test_tc06_*` под нейтральный фолбэк), новый `tests/test_tracker_rollback_metrics.py` (TC-05..TC-08: подавление `✅` при откате + анти-регресс forward-progress/`deploy-staging`-строка; суммирование метрик developer 3 прогона ≈ $3.98; сходимость тоталов с `SUM(agent_runs)`; never-raise на NULL-таймстампах/битой стадии). Полный регресс `tests/ -q` зелёный (1370). ADR: `docs/work-items/ORCH-091/06-adr/ADR-001-tracker-status-rollback-metrics.md`. Откат: `git revert` (docs/code-only, один модуль, без миграций/kill-switch).
-- **Отмена задачи: Plane-статус STOP (остановка агента + полный сброс) + закрытие дыры релонча** (ORCH-090, `feat`): выделенный Plane-статус **STOP** — единый декларативный механизм отмены задачи вместо ручной хирургии по БД/процессам. Вводит **новое системное терминальное состояние `cancelled`** (стадия `tasks.stage='cancelled'` + job-исход `jobs.status='cancelled'`), равноправное `done`. **Аддитивно, под kill-switch, never-raise, restart-safe:** `STAGE_TRANSITIONS` (exit-гейты рёбер) / `QG_CHECKS` / `check_*` / семантика существующих статусов — **не тронуты** (`cancelled` — терминальный сток, не новое ребро); enduro не затронут; при `stop_status_enabled=false` — нулевая регрессия.
-  - **Распознавание (fail-closed):** новый логический ключ `stop` в `_PLANE_NAME_TO_KEY` (`"STOP" → "stop"`), **намеренно отсутствует** в `_DEFAULT_STATES` (по образцу `confirm_deploy`/ORCH-059) → доска без статуса STOP резолвит `None` → ветка не активируется (нет `KeyError`, нет слепой отмены). `handle_issue_updated` маршрутизирует `stop` → `handle_stop` → `stage_engine.cancel_task` (проверяется ПЕРВЫМ, до to_analyse/approved/rejected).
-  - **Полный сброс (вне критичного окна, AC-1..AC-4):** graceful SIGTERM активного агента через переиспользуемый каскад `launcher.stop_process` (вынесен из `_watchdog`: SIGTERM → grace → SIGKILL) по `jobs.pid`; `db.cancel_jobs_for_task` (queued/running → терминальный `cancelled`, нигде не реквью'ится — `claim_next_job` берёт только `queued`); `git_worktree.remove_worktree` + новый never-raise `src/gitea.py::delete_remote_branch` (удаляет **только** feature-ветку; `main`/`master` — явный гард-отказ; без force-push); durable `stage='cancelled'` + `cancelled_at`; **тумбстон** натуральных ключей суффиксом `#cancelled-<id>`. Docs-артефакты (`01..17`) сохраняются.
-  - **Уточнение ADR-001 D4 (при реализации):** ADR предлагал сохранить `plane_issue_id` нетронутым, но `get_task_by_plane_id`/`create_task_atomic` матчат по `plane_id OR plane_issue_id` — нетумбстоненный `plane_issue_id` заблокировал бы clean-slate re-create (BR-3/TR-4). Поэтому `plane_issue_id` тоже тумбстонится; исходный UUID (== исходный `plane_id` во всех путях создания) парсится из детерминированного суффикса для аудита. Зафиксировано в коде/`docs/architecture/README.md`/CLAUDE.md.
-  - **Безопасное прерывание merge/deploy (AC-7, NFR-3):** STOP в критическом окне → **отложенная отмена** (`cancel.in_critical_window` fail-CLOSED): durable `tasks.cancel_requested_at`, снимаются только `queued`-job'ы (running-актор деплоя/мержа не трогается), алерт; детерминированный `run_deploy_finalizer` доводит необратимый шаг до честного исхода и применяет отмену (`cancel_task(force=True)`; задача, дошедшая до `done`, — честный no-op, код уже в проде). «Критическое окно» = реально начатый необратимый шаг: self-deploy `INITIATED`-sentinel (ORCH-036; детач-деплой + поздний `merge_pr` в `_handle_merge_verify` идут под тем же маркером) **либо** держание merge-lease (ORCH-043) **И** активно бегущий актор (running-job). STOP **никогда** не трогает `main`/force-push/прод-контейнер/detached-процесс.
-  - **Фикс P1 (ORCH-090 review, attempt 2): deferred-cancel недостижим при STOP в ожидании `Confirm Deploy` → wedge.** Для self-hosting merge-lease держится от merge-gate (ребро `deploy-staging → deploy`) до `deploy → done`, включая всё время, пока задача **припаркована** на `deploy` в ожидании ручного `Confirm Deploy` (Phase A) — но это окно **полностью обратимо** (ничего не смержено/задеплоено; необратимый `merge_pr` идёт позже в `_handle_merge_verify` уже под `INITIATED`). Прежде голое держание lease классифицировалось как «критичное» → STOP уходил в deferred-ветку, отмену применял бы только `run_deploy_finalizer` (после Phase B), которого оператор, нажавший STOP именно чтобы НЕ деплоить, никогда не запустит → отмена **не применялась никогда**, задача застревала нетерминальной с удержанным lease, клиня serial-gate репо (ORCH-088) и мержи. Фикс: merge-lease-ветка `in_critical_window` сужена — критично, лишь когда lease держится **И** есть бегущий актор (`_task_has_running_actor`, running-job); припаркованное окно без актора → НЕ критично → немедленный полный сброс (сам отпускает lease в шаге 3c). Новые тесты `test_d7_lease_held_idle_parking_is_not_critical` / `test_d7_lease_held_with_running_actor_still_critical` / `test_d7_stop_on_deploy_awaiting_confirm_full_resets`.
-  - **Кросс-каттинг (adr-0026):** предикат «задача терминальна» расширен `{done}` → `{done, cancelled}` в `serial_gate.py` (ORCH-088: `repo_has_active_task`, claim-фрагмент, snapshot), `db.claim_next_job`/`get_unfinished_dependencies` (task_deps ORCH-026) и `stages.py`-сток — иначе отменённая задача заклинила бы очередь репо (TR-1); reconciler-терминал-скип уже знал `cancelled` (ORCH-086 D2). `job_reaper`/`queue_worker` ПЕРЕД авто-requeue сверяют терминал задачи → помечают job `cancelled`, не реквью'ят (закрыта гонка SIGTERM/reaper, TR-2).
-  - **Закрытие дыры релонча (AC-5, D6):** `handle_status_start` больше не релончит агента середины пайплайна при ручном переводе в промежуточный статус — relaunch ограничен стадией `analysis` (единственный владелец Needs Input, ORCH-066); единственный вход к запуску пайплайна остаётся «To Analyse» (`start_pipeline`). Под `stop_status_enabled=false` гейт инертен (1:1 как раньше).
-  - **Флаги/наблюдаемость:** `stop_status_enabled` (kill-switch, env `ORCH_STOP_STATUS_ENABLED`) + `stop_status_repos` (CSV, пусто → все репо); leaf `src/cancel.py` (`applies`/`in_critical_window`/`snapshot`, never-raise); read-only блок `stop` в `GET /queue`; лог + Telegram (кликабельный номер) + Plane-коммент + `update_task_tracker`. Аддитивные идемпотентные миграции (`_ensure_column` для `cancelled_at`/`cancel_requested_at`). **Инфра-предусловие:** создать статус **STOP** с группой `cancelled` на доске Plane проекта ORCH (его отсутствие = fail-safe no-op).
-  - Тесты: `tests/test_stop_status.py` (TC-01..TC-14 + D7-кейсы, включая 3 новых P1-кейса для окна «припаркован на `deploy`, ждёт Confirm Deploy»; SIGTERM/git/gitea замоканы — ни один тест не шлёт сигнал/не трогает сеть); обновлены анти-регресс-тесты STAGE_TRANSITIONS 5 прошлых задач (добавлен терминал-сток `cancelled`); полный регресс `tests/` зелёный (1348). Документация: `docs/architecture/README.md` (статус «реализовано» + блок `/queue` + раздел БД), `CLAUDE.md`, `README.md`, `.env.example`. ADR: `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`, сквозной `docs/architecture/adr/adr-0026-stop-cancel-task.md`. Откат: `ORCH_STOP_STATUS_ENABLED=false` (аддитивные колонки/терминал-набор инертны при отсутствии отменённых задач).
-- **Build-cache-pruner: авто-prune docker build cache на mva154** (ORCH-062, `feat`): новый фоновый daemon-поток `src/build_cache_pruner.py` (каркас `disk_watchdog`) — «вторая половина» disk-watchdog (ORCH-063): **watchdog сигналит — pruner убирает**. Устраняет корень инцидента 07.06.2026 (docker build cache ≈11 ГБ → диск mva154 100% → падение self-hosting-конвейера всех проектов) **автоматически, без оператора**. **Аддитивно, never-raise:** `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/`_parse_*`/`src/stage_engine.py`/схема БД — **не тронуты**, новой миграции нет (состояние last-run/last-result — in-memory, best-effort).
-  - **Периодическая уборка (FR-1/AC-1):** каждые `build_cache_prune_interval_s` (дефолт **21600с = 6ч**) тик выполняет **строго `docker builder prune -f --filter until=<until>`** (BuildKit GC). Анти-частота — pure-функция `decide_prune(prev_run_ts, now, interval_s)` (юнит-тестируема без потока/таймера, время инъецируется). Дефолт `until=24h` удерживает тёплый недавний кэш (BR-2/AC-2); `-a/--all` (`build_cache_prune_all`, дефолт `False`) — **только в паре** с возрастным фильтром.
-  - **Self-hosting безопасность (FR-3/AC-3):** команда затрагивает **только** build cache — **нет** `docker image prune`/`docker system prune`, удаления образов/контейнеров запущенных сервисов, остановки/рестарта контейнеров; прод-контейнер `orchestrator` **никогда** не рестартится. Уборка исполняется **на хосте через ssh** (`deploy_ssh_user@deploy_ssh_host`, тот же канал, что `image_freshness`/`self_deploy` — в образе нет docker CLI). Нет ssh-таргета → тик no-op (наблюдаемо в `status().last_error`).
-  - **never-raise (FR-6/AC-4):** per-команда (ненулевой rc / `TimeoutExpired` / `OSError`/`FileNotFoundError` / недоступность ssh / parsing-ошибка → лог + проглот, тик жив) и per-tick (внешний `try/except` в `_run`, как `disk_watchdog`). Фоновый цикл и конвейер не падают.
-  - **Конфигурируемость + kill-switch (FR-5/AC-5/AC-6):** флаги `build_cache_prune_enabled`/`_interval_s`/`_until`/`_all`/`_timeout_s`/`_notify_min_gb` (`src/config.py`, env `ORCH_BUILD_CACHE_PRUNE_*`) с defensive-валидацией (интервал/таймаут >0, `until` ~ `^\d+[smhdw]?$`, notify_min_gb ≥0 → невалидное к безопасному дефолту + warning, старт не падает). `build_cache_prune_enabled=false` → демон не стартует (старт/стоп в `main.lifespan` рядом с `disk_watchdog`, гард), `GET /queue` → `{"enabled": false}` — поведение 1:1 как до задачи.
-  - **Наблюдаемость (FR-4/AC-7):** аддитивный read-only блок `build_cache_prune` в `GET /queue` (`enabled`/`interval_s`/`until`/`all`/`last_run_ts`/`last_reclaimed`[+`_bytes`]/`last_error`); `status()` never-raise. Опц. Telegram при освобождении ≥ `notify_min_gb` ГБ (дефолт `0` = тихо). Тесты: `tests/test_build_cache_pruner.py` (TC-01..TC-12, 23 кейса, docker замокан — ни один тест не трогает реальный docker); полный регресс `tests/` зелёный (1319). Документация: `docs/operations/INFRA.md` (секция авто-prune + env-карта; снята формулировка ORCH-063 «освобождение build cache — ручная операция»), `docs/architecture/README.md`, `.env.example`. ADR: `docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md`, сквозной `docs/architecture/adr/adr-0025-build-cache-pruner.md`. Откат: `ORCH_BUILD_CACHE_PRUNE_ENABLED=false` (миграций нет).
-- **Disk-watchdog: мониторинг заполнения диска mva154 + Telegram-алерт при ≥85%** (ORCH-063, `feat`): новый фоновый daemon-поток `src/disk_watchdog.py` (каркас `reconciler`/`job_reaper`) — недостающий **проактивный** сигнал о заполнении хост-диска (07.06.2026 диск mva154 тихо дорос до 100% и положил весь self-hosting-конвейер всех проектов). **Аддитивно, never-raise:** `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/схема БД — **не тронуты**, новой миграции нет (состояние анти-спама — in-memory).
-  - **Замер хост-ФС (FR-2/AC-8):** каждые `disk_monitor_interval_s` (дефолт 300с) меряет заполнение **смонтированных хост-bind-путей** (`/repos`, `/app/data`) через stdlib `shutil.disk_usage` — НЕ overlay `/` контейнера, НЕ субпроцесс `df`; дедуп путей по физическому устройству (`st_dev`) → один алерт на раздел. Недоступный путь → пропуск с warning, остальные пути меряются (per-path never-raise).
-  - **Решение об алерте (FR-3/FR-4/AC-2..AC-4):** pure-функция `decide_action(used_pct, threshold, prev_state, now, realert_s)` (юнит-тестируема без потока/таймера, время инъецируется): алерт на пересечении порога (дефолт **85%**, граница `>=` включительно), cooldown-повтор `disk_monitor_realert_s` (~6ч, анти-спам — не на каждом тике), однократный recovery при возврате ниже порога. Алерт — `send_telegram` (notifying, не silent), best-effort.
-  - **Конфигурируемость + kill-switch (FR-5/AC-5):** флаги `disk_monitor_enabled`/`_interval_s`/`_threshold_pct`/`_realert_s`/`_paths` (`src/config.py`, env `ORCH_DISK_MONITOR_*`) с defensive-валидацией (порог 1..100, интервалы > 0 → невалидное к дефолту + warning). `disk_monitor_enabled=false` → демон не стартует (старт/стоп в `main.lifespan`, гард), `GET /queue` → `{"enabled": false}` — поведение 1:1 как сейчас.
-  - **Наблюдаемость (FR-6/AC-7):** аддитивный read-only блок `disk_monitor` в `GET /queue` (`enabled`/`threshold_pct`/`interval_s`/`realert_s`/`last_run_ts`/`paths`[`used_pct`/`free_gb`/`free_pct`/`alerting`/`last_alert_at`]); существующие ключи `/queue` не изменены; `status()` never-raise.
-  - **Self-hosting безопасность (NFR-6):** watchdog только читает заполнение и шлёт уведомление — не трогает диск/контейнер, не рестартит прод; безопасен для enduro-trails в общем инстансе. Откат тривиален (`ORCH_DISK_MONITOR_ENABLED=false`, миграций нет). Тесты: `tests/test_disk_watchdog.py` (TC-01..TC-12, 18 кейсов); полный регресс `tests/` зелёный (1296). Документация: `docs/architecture/README.md` (компонент + блок `/queue`), `docs/operations/INFRA.md` (что мониторится/порог/как отключить/реакция на алерт), `.env.example`. ADR: `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md`, сквозной `docs/architecture/adr/adr-0024-disk-watchdog.md`.
 - **Промпт-аудит 6 агентов: расхардкод даты/модели, сверка гейтов, escalation, чистка** (ORCH-092 / эпилог эпика ORCH-52, `docs`): точечная правка 6 системных промптов `.openclaw/agents/*.md` + анти-регресс-тестов, устраняющая класс дефектов промптов (хардкод даты/модели в примерах, размазанная эскалация, нереализуемая/конфликтующая инструкция rebase, мёртвая инструкция reviewer, недообогащённый tester). **Docs/prompts-only:** `src/**`, `STAGE_TRANSITIONS`, `QG_CHECKS`, состав machine-verdict ключей и схема БД — **не тронуты**; `frontmatter_validation_strict` остаётся `False`. Машинные verdict-ключи (`verdict:`/`result:`/`staging_status:`/`deploy_status:`/`security_status:` + значения APPROVED/REQUEST_CHANGES/PASS/FAIL/SUCCESS/FAILED) и канон 52d/52c/52e (5 секций, 6 полей) — байт-в-байт.
   - **Расхардкод даты/модели (FR-1/FR-2, AC-1/AC-2):** во всех 6 промптах копируемые примеры frontmatter несут плейсхолдеры `created_at: <YYYY-MM-DD>` / `model_used: <resolve ORCH-41>` + явную врезку «не копируй буквально: подставь `date +%F` и фактическую модель из конфига». Литерал `claude-opus-4-8` остаётся лишь как справка в таблице полей (вне копируемого блока).
   - **Сверка имён гейтов (FR-3, AC-3):** все `check_*` в 6 промптах сверены с реестром `QG_CHECKS` — несовпадений нет (`check_tests_passed` подтверждён валидным, не «исправлен вслепую»); закреплено интеграционным тестом.

CLAUDE.md

@@ -7,7 +7,7 @@
 - Backend: FastAPI + uvicorn (Python 3.12)
 - БД: SQLite (`src/db.py`)
 - Агенты: Claude CLI (`ORCH_CLAUDE_BIN`), по одному промпту на роль в `.openclaw/agents/`. **ORCH-74:** модель/эффорт агента берутся ТОЛЬКО из config (`resolve_agent_model`/`resolve_agent_effort`, ORCH-41) — frontmatter `model:` удалён как мёртвый, frontmatter описательный; имя модели валидируется форматом `^claude-…$` перед `--model` (never-break). **ORCH-077 (52d, замыкает эпик 52):** тело всех 6 промптов переписано в едином **каноне Anthropic** (5 обязательных XML-секций в нормативном порядке `<context>`→`<task>`→`<deliverables>`→`<constraints>`→`<output_format>`, запреты в формате «❌ X → ✅ Y», `<thinking>` у решающих ролей), и каждый промпт **добровольно** эмитит 6-польную frontmatter-схему 52c (`work_item`/`stage`/`author_agent`/`status`/`created_at`/`model_used`) **аддитивно** — рядом с machine-verdict ключом, НЕ меняя его имя/регистр/значения (`verdict:`/`result:`/`staging_status:`/`deploy_status:`/`security_status:` — байт-в-байт). Это **docs/prompts-only** изменение: `src/**`/`STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД не тронуты; `frontmatter_validation_strict` остаётся `False` (enforcement НЕ включён). Промпт `cat`-ается из worktree в момент запуска → новые промпты вступают в силу на следующем worktree от `main` без прод-рестарта. Анти-регресс — структурные тесты `tests/test_agent_prompts_canon.py` + зелёный `test_agent_frontmatter_no_model.py`. **Норматив на будущее:** новые/изменённые агент-промпты следуют этому канону. Детали — `docs/architecture/adr/adr-0021-prompt-canon-anthropic.md`. **ORCH-092 (эпилог эпика 52, docs/prompts-only):** аудит 6 промптов поверх канона — копируемые frontmatter-примеры расхардкожены (`created_at: <YYYY-MM-DD>`/`model_used: <resolve ORCH-41>` + врезка «подставь `date +%F`/модель из конфига, не копируй буквально»; литерал `claude-opus-4-8` — только справка в таблице полей); добавлена секция `<escalation>` developer/reviewer/tester (после `</success_criteria>`, порядок 5 секций цел); developer лишён ручного `git rebase origin/main` (свежесть базы — инвариант движка serial-gate ORCH-088 + `auto_rebase_onto_main` под merge-lease; ручной rebase конфликтовал с запретом force-push — ADR-001 D1); tester обогащён worktree-путём + smoke `serial_gate` + покрытием каждого TC; из reviewer удалена мёртвая строка «тот же экземпляр Developer». **Языковое исключение (нормативно, ADR-001 D2):** `deployer.md` сознательно остаётся на **английском** (5 ru + 1 en) как самый safety-critical промпт — НЕ «чинить» язык вслепую; критичные self-hosting-запреты подняты в видную рамку. Verdict-ключи и канон 52d — байт-в-байт; анти-регресс — `tests/test_agent_prompts_canon.py` (ORCH-092 TC-01…TC-08). Детали — `docs/work-items/ORCH-092/06-adr/ADR-001-developer-rebase-and-deployer-language.md`.
-- Очередь задач: собственная (SQLite `jobs`, `src/queue_worker.py`, ORCH-1). **ORCH-026:** `claim_next_job` гейтит задачи с незавершёнными зависимостями (`job_deps`, `NOT EXISTS`) без занятия слота `max_concurrency`; декларации/детект циклов — leaf `src/task_deps.py` (kill-switch `ORCH_TASK_DEPS_ENABLED`). Сериализация мержа одного репо — безусловный pre-merge rebase под merge-lease (`ORCH_PREMERGE_REBASE_ALWAYS`). **ORCH-088 (serial gate, Этап 1):** новая задача репо не входит в `analysis` (analyst-job не выбирается, ветка не режется), пока в репо есть **более ранняя** незавершённая задача (`t2.id < jobs.task_id`, FIFO) ИЛИ репо заморожен (`repo_freeze`). Срез ветки **отложен** со `start_pipeline` на момент claim analyst-job (`launcher._materialize_deferred_branch`) — база = свежий `origin/main` с кодом предшественника (анти-stale-base). Post-deploy `DEGRADED` → durable per-repo freeze (`repo_freeze`, `cleared_at IS NULL` = активен) + Telegram; снятие — вручную `POST /serial-gate/unfreeze?repo=…`. Leaf `src/serial_gate.py` (claim — fail-OPEN, freeze — fail-CLOSED); флаги `ORCH_SERIAL_GATE_ENABLED` (kill-switch), `ORCH_SERIAL_GATE_REPOS` (CSV; пусто = все репо), `ORCH_SERIAL_GATE_FREEZE_ENABLED`. Блок `serial_gate` в `GET /queue`. `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты. **ORCH-093 (merge-актор устойчив к икоте Gitea):** детерминированный merge-актор под-гейта `deploy → done` (`src/merge_gate.py`) ретраит **транзиентные** ошибки Gitea вместо ложного HOLD (инцидент ORCH-063: `POST …/merge` → `405 "try again later"` сразу после пуша). `merge_pr` оборачивает **только** мутирующий `POST …/merge` в ограниченный retry-loop с экспоненциальным backoff (`min(base*2^(i-1), max)`, потолок суммарного сна `(N-1)*max ≤ 10 с`); классификатор `_classify_merge_response`: транзиент (ретрай) — `405`/`408`/`5xx`/таймаут/сетевая + `409`/`422` при `mergeable==True` (доп. `GET /pulls/{index}`; `mergeable==None` → дефолт-транзиент, fail-OPEN-в-ретрай), терминал (быстрый честный `False`, защита ORCH-071/073 как прежде) — `403`/`404`/реальный конфликт (`mergeable==False`). Kill-switch `merge_retry_enabled=false` → ровно один POST (байт-в-байт прежнее one-shot); флаги `ORCH_MERGE_RETRY_*` (`max_attempts=3`, `backoff_base_s=2`, `backoff_max_s=5`). Гард **already-in-main** в `ensure_open_pr` (leaf `_branch_fully_in_main`, `git merge-base --is-ancestor HEAD origin/main`): ветка целиком в `main` → исход `"already-in-main"` без создания мусорного пустого PR; `_handle_merge_verify` пропускает `merge_pr` и отдаёт авторитетному SHA-в-main довести до `done` (НЕ HOLD); git-ошибка → fail-OPEN на create-путь. Без отдельного флага (накрыт `merge_verify_autocreate_pr_enabled`). INV-4 (мерж только через Gitea PR-merge API, никогда push/force-push в `main`), never-raise, `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД — сохранены. Детали — `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`, сквозной `docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`.
+- Очередь задач: собственная (SQLite `jobs`, `src/queue_worker.py`, ORCH-1). **ORCH-026:** `claim_next_job` гейтит задачи с незавершёнными зависимостями (`job_deps`, `NOT EXISTS`) без занятия слота `max_concurrency`; декларации/детект циклов — leaf `src/task_deps.py` (kill-switch `ORCH_TASK_DEPS_ENABLED`). Сериализация мержа одного репо — безусловный pre-merge rebase под merge-lease (`ORCH_PREMERGE_REBASE_ALWAYS`). **ORCH-088 (serial gate, Этап 1):** новая задача репо не входит в `analysis` (analyst-job не выбирается, ветка не режется), пока в репо есть **более ранняя** незавершённая задача (`t2.id < jobs.task_id`, FIFO) ИЛИ репо заморожен (`repo_freeze`). Срез ветки **отложен** со `start_pipeline` на момент claim analyst-job (`launcher._materialize_deferred_branch`) — база = свежий `origin/main` с кодом предшественника (анти-stale-base). Post-deploy `DEGRADED` → durable per-repo freeze (`repo_freeze`, `cleared_at IS NULL` = активен) + Telegram; снятие — вручную `POST /serial-gate/unfreeze?repo=…`. Leaf `src/serial_gate.py` (claim — fail-OPEN, freeze — fail-CLOSED); флаги `ORCH_SERIAL_GATE_ENABLED` (kill-switch), `ORCH_SERIAL_GATE_REPOS` (CSV; пусто = все репо), `ORCH_SERIAL_GATE_FREEZE_ENABLED`. Блок `serial_gate` в `GET /queue`. `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты.
 - Контейнеризация: Docker + Compose
 - CI/CD: Gitea Actions (`.gitea/workflows/`)
 - Деплой: docker compose на mva154
@@ -41,8 +41,6 @@ created → analysis → architecture → development → review → testing →
 ## Статусная модель Plane (ORCH-066) — индикация ≠ управление
 Статусы Plane — это **слой B (индикация)**, отдельный от **слоя A (машина стадий)** `src/stages.py::STAGE_TRANSITIONS`. Plane показывает наблюдателю осмысленную картину (`Backlog → Todo → Analysis → Architecture → Development → Code-Review → Testing → Awaiting Deploy → Deploying → Monitoring after Deploy → Done` + человеческие гейты `In Review/Approved`, `Confirm Deploy`), но НИКОГДА не управляет конвейером. Маппинг и сеттеры — `src/plane_sync.py` (6 новых ключей: `to_analyse/analysis/code_review/awaiting_deploy/deploying/monitoring`), с project-relative alias-fallback: на частично сконфигурированном проекте новый ключ деградирует на базовый UUID ТОГО ЖЕ проекта (нулевая регрессия для enduro-trails). Детали — `docs/architecture/README.md`.
 
-**Terminal-window-aware гард deploy-статусов (ORCH-094).** Задача с БД `stage=done` и 0 активных job'ов стабильно держит Plane=`Done`: три deploy-фазовых сеттера (`set_issue_awaiting_deploy`/`set_issue_deploying`/`set_issue_monitoring`) были терминал-слепы и флаппили `Awaiting ⟷ Monitoring` (верифицировано на ORCH-061, task 47), т.к. любой стейл/двойной/неизвестный вызов под бот-токеном перезаписывал терминал промежуточным статусом. Новый leaf `src/deploy_status_guard.py` (чистая, never-raise, config-gated; по образцу `serial_gate`/`labels`/`cancel`) — `decide(work_item_id, target, reason) -> ALLOW | CONVERGE_DONE | SUPPRESS` на **входе** трёх сеттеров `plane_sync` (низкий чокпоинт ловит любой путь, включая неизвестный актор). Инвариант: deploy-статус легитимен ⇔ задача **нетерминальна** ИЛИ (`done` И активно пост-деплой-окно `post_deploy.window_active` = ARMED & не DONE); иначе для `done` — идемпотентное `CONVERGE_DONE` (сеттер зовёт `set_issue_done`), для `cancelled` — `SUPPRESS`. Чтобы легитимный первый `Monitoring` (БД уже `done` к моменту стр. 404) прошёл, арм-блок `post_deploy.arm_monitor` **перенесён выше** terminal-sync-блока в `advance_stage` (ADR-001 D3) → `window_active==True` до выставления `Monitoring`. Монитор-тик при БД `cancelled` мид-окно → закрыть окно без статус-PATCH (zombie-tick guard, FR-3). Наблюдаемость: BC-kwarg `reason` у трёх сеттеров + одна структурная лог-запись на вердикт (`work_item`/`caller`/`target`/`db_stage`/`window_active`/`verdict`; converge/suppress → WARNING). Read-only аксессор `db.get_task_by_work_item_id`. Флаги `deploy_status_guard_enabled` (kill-switch; `False` → 1:1 прежнее) / `deploy_status_guard_repos` (CSV; **пусто → self-hosting only**, enduro не затронут). `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема БД — не тронуты. Детали — `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`, сквозной `docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`.
-
 ## Нотификации / Telegram live-tracker (ORCH-042/066/067/087)
 Каждая задача = **одна карточка** в Telegram (`src/notifications.py`). Поведение карточки:
 - **Дефолт `tracker_mode` — `bump`** (ORCH-067; `edit` доступен через `ORCH_TRACKER_MODE=edit`).
@@ -113,91 +111,6 @@ created → analysis → architecture → development → review → testing →
   Детали — `docs/work-items/ORCH-089/06-adr/ADR-001-auto-label-gates.md`,
   `docs/architecture/adr/adr-0018-auto-label-gates.md`.
 
-## Отмена задачи: статус STOP (ORCH-090)
-Выделенный Plane-статус **STOP** — операторская кнопка «отменить + сбросить» задачу. Вводит
-**новое системное терминальное состояние `cancelled`** (стадия `tasks.stage='cancelled'` + job-исход
-`jobs.status='cancelled'`), равноправное `done`. Логический ключ `stop` — **fail-closed** (нет в
-`_DEFAULT_STATES`, по образцу `confirm_deploy`/ORCH-059): доска без статуса STOP → ветка не
-активируется. Маршрут `handle_issue_updated → handle_stop → stage_engine.cancel_task`:
-- **Полный сброс** (вне критичного окна): graceful SIGTERM активного агента (`launcher.stop_process`,
-  переиспользует каскад `_watchdog`), все job'ы → терминальный `cancelled` (не реквью'ятся:
-  `claim_next_job` берёт только `queued`, reaper/worker сверяют терминал задачи — TR-2), удаление
-  worktree + **рабочей** Gitea-ветки (`gitea.delete_remote_branch`, **никогда** `main`, без
-  force-push), durable `stage='cancelled'` + **тумбстон** натуральных ключей (`plane_id`/
-  `work_item_id`/`plane_issue_id` → суффикс `#cancelled-<id>`; ADR-001 D4 уточнён: тумбстонится и
-  `plane_issue_id`, т.к. `get_task_by_plane_id`/`create_task_atomic` матчат по нему — иначе re-create
-  коллизирует; исходный UUID парсится из суффикса для аудита). Docs-артефакты (`01..17`) сохраняются.
-- **STOP в критичном окне merge/deploy** (ADR-001 D7): `cancel.in_critical_window` → **отложенная**
-  отмена: `tasks.cancel_requested_at`, снимаются только `queued` job'ы (running-актор деплоя/мержа не
-  трогается), алерт; детерминированный finalizer (`run_deploy_finalizer`) доводит необратимый шаг до
-  честного исхода и применяет отмену (`force=True`). «Критичное окно» = реально начатый необратимый
-  шаг: INITIATED-sentinel self-deploy (ORCH-036; детач-деплой + поздний `merge_pr` в
-  `_handle_merge_verify` идут под тем же маркером) **либо** держание merge-lease (ORCH-043) **И**
-  активно бегущий актор (running-job). **Уточнение P1 (ORCH-090 review):** держание merge-lease в
-  Phase A на стадии `deploy` в ожидании ручного `Confirm Deploy` БЕЗ бегущего актора **полностью
-  обратимо** (ничего не смержено/задеплоено) → НЕ критично → немедленный полный сброс (сам отпускает
-  lease). Иначе отмена откладывалась бы к finalizer'у, который оператор (нажавший STOP именно чтобы НЕ
-  подтверждать деплой) не запускает — задача застревала бы с удержанным lease, клиня serial-gate репо.
-  STOP **никогда** не трогает `main`/force-push/прод-контейнер/detached-процесс (NFR-3).
-- **Кросс-каттинг (adr-0026):** предикат «задача терминальна» расширен `{done}` → `{done, cancelled}`
-  в `serial_gate`/`task_deps`/`stages.py`-сток (иначе отменённая задача заклинит очередь репо);
-  reconciler-терминал-скип уже знал `cancelled` (ORCH-086). `STAGE_TRANSITIONS` exit-гейты рёбер /
-  `QG_CHECKS` / `check_*` — **не тронуты** (`cancelled` — сток, не ребро).
-- **Дыра релонча закрыта (D6):** relaunch агента в `handle_status_start` ограничен стадией `analysis`
-  (единственный владелец Needs Input, ORCH-066); ручной перевод существующей задачи в иной промежуточный
-  статус больше не релончит середину пайплайна. Запуск пайплайна — только «To Analyse» → `start_pipeline`.
-- Флаги `stop_status_enabled` (kill-switch; `False` → всё инертно, нулевая регрессия) / `stop_status_repos`
-  (CSV; пусто → все репо). Leaf `src/cancel.py` (never-raise). Read-only блок `stop` в `GET /queue`.
-  Аддитивные колонки `tasks.cancelled_at`/`cancel_requested_at` (`_ensure_column`). **Инфра-предусловие:**
-  создать статус **STOP** с группой `cancelled` на доске ORCH (его отсутствие = fail-safe no-op). Детали —
-  `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`,
-  `docs/architecture/adr/adr-0026-stop-cancel-task.md`.
-
-## Гейт покрытия тестами (ORCH-027)
-Существующие тестовые гейты (`check_ci_green`, `check_tests_passed`, merge-gate re-test) судят
-только по **факту** прохождения, не по **полноте** — ни один не замечает «300 строк кода, 0
-тестов», и при пакетном автономном прогоне (ORCH-088) покрытие монотонно деградирует. Введён
-**детерминированный (без LLM) под-гейт ребра `deploy-staging → deploy`** по образцу security-гейта
-(ORCH-022): leaf `src/coverage_gate.py` (never-raise) + тонкая обёртка `check_coverage_gate` в
-`QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. **Инвариант:** `STAGE_TRANSITIONS` /
-семантика существующих `check_*` / machine-verdict ключи (`verdict:`/`result:`/`deploy_status:`/
-`staging_status:`/`security_status:`) — байт-в-байт прежние; новая БД-таблица аддитивна (NFR-5).
-- **Точка/порядок:** **ПОСЛЕ merge-gate** (покрытие меряется на догнанном `auto_rebase_onto_main`
-  HEAD — ровно том коде, что landed в `main`) и **ДО image-freshness** (фейл до дорогого
-  docker-rebuild). Порядок под-гейтов: **security → merge → coverage → image-freshness.** FAIL →
-  штатный откат на `development` (+ инкремент developer-retry, cap `MAX_DEVELOPER_RETRIES`) **и
-  освобождение merge-lease** (merge-gate держал его на своём PASS — зеркало image-freshness rollback).
-- **Измерение:** `python -m pytest tests/ --cov=src --cov-report=json` в изолированном per-branch
-  worktree (`ensure_worktree`); метрика — `totals.percent_covered` (line coverage `src/`). Измеритель
-  за `measure_coverage(repo, branch) -> float | None` (стек-расширяемость BR-6). Тайм-аут
-  `coverage_run_timeout_s`. Новая pip-зависимость `pytest-cov`.
-- **Решение — чистая функция** `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)
-  -> (ok, reason)`: `absolute` → `measured ≥ floor−ε`; `baseline` → `measured ≥ baseline−ε`; `both`
-  (дефолт) → оба; `baseline is None` (bootstrap) → baseline-условие не применяется. `epsilon` —
-  допуск на шум измерения (анти-флап у границы).
-- **Базовая линия — аддитивная БД-таблица** `coverage_baseline(repo PK, coverage, source_sha,
-  updated_at)` (`CREATE TABLE IF NOT EXISTS`; хелперы `db.get_coverage_baseline`/
-  `ratchet_coverage_baseline`/`set_coverage_baseline`). Наращивание **только вверх** в choke-point
-  подтверждённого merge `_handle_merge_verify` (ребро `deploy → done`): `ratchet_baseline_on_merge`
-  читает измеренное из `18-coverage-report.md` (single source of truth), атомарный compare-and-set
-  `UPDATE … WHERE coverage <= measured` под держимым merge-lease (ORCH-043) → базовая линия не падает
-  даже при гонке; bootstrap засевается первым применимым merge.
-- **Условность (как ORCH-22/43/58):** `coverage_gate_enabled` (kill-switch; `False` → 1:1 как до
-  ORCH-027) + `coverage_gate_repos` (CSV; **пусто → self-hosting only** `is_self_hosting_repo` →
-  enduro не затронут, no-op `(True, "N/A")`); `applies(repo)` (локально) ПЕРВЫМ — дорогой прогон
-  только при `applies==True`. Ошибка инструмента/непарсимая метрика → **fail-open + WARNING** по
-  умолчанию (`coverage_tool_fail_closed=False`, анти-петля); флаг → fail-closed.
-- **Артефакт `18-coverage-report.md`** (frontmatter `coverage_status: PASS|FAIL` +
-  `measured_coverage`/`baseline`/`floor`/`policy`/`epsilon`/`delta`), вердикт читается ТОЛЬКО из
-  frontmatter через `src/frontmatter.py` (single source of truth, как `security_status:`).
-  Наблюдаемость — read-only блок `coverage` в `GET /queue`; при FAIL — `send_telegram` с кликабельным
-  номером, измеренным/порогом/дельтой; опциональный ручной override `POST /coverage/baseline`.
-  Флаги `ORCH_COVERAGE_*` (`MIN_PERCENT`/`POLICY`/`EPSILON`/`TOOL_FAIL_CLOSED`/`RUN_TIMEOUT_S`).
-  Self-hosting-безопасно: гейт только мерит/читает/пишет/решает — не деплоит/не рестартит прод/не
-  пушит `main`. **Инфра-предусловие:** `pytest-cov` в прод/staging-образе. Детали —
-  `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`,
-  `docs/architecture/adr/adr-0029-coverage-gate.md`.
-
 ## Конвенции
 - Conventional Commits (`feat:`, `fix:`, `docs:`, `refactor:`, `test:`)
 - Ветки: `feature/ORCH-NNN-slug`, `fix/ORCH-NNN-slug`
@@ -207,7 +120,7 @@ created → analysis → architecture → development → review → testing →
 - Машинные вердикты Quality Gate — строго YAML-frontmatter (`verdict:`, `deploy_status:`, `staging_status:`, `security_status:`), никогда проза. **ORCH-52c (ORCH-076):** парсинг frontmatter сведён к единому контракту `src/frontmatter.py` (reader `read_frontmatter_value` — BC; единый парс-примитив `parse_frontmatter`; writer `render/write_frontmatter`; валидатор схемы `validate_schema`/`REQUIRED_FIELDS` — warning-only по умолчанию, hard-fail только под kill-switch `frontmatter_validation_strict`, дефолт `False`). Пять вердикт-парсеров (`check_reviewer_verdict`, `_parse_tests_verdict`, `_parse_deploy_status`, `_parse_staging_status`, `parse_security_status`) читают через ОДНУ точку парсинга; семантика вердиктов и `STAGE_TRANSITIONS`/состав `QG_CHECKS` — 1:1. Формальная спека «стадия → обязательный выход» + обязательная frontmatter-схема — `docs/_standards/HANDOFF_PROTOCOL.md`
 
 ## Артефакты задачи (`docs/work-items/<plane-id>/`)
-`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`, `16-post-deploy-log.md` (post-deploy наблюдение, ORCH-021), `17-security-report.md` (security-гейт: `security_status:`/secrets/deps, ORCH-022), `18-coverage-report.md` (coverage-гейт: `coverage_status:`/measured/baseline, ORCH-027).
+`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`, `16-post-deploy-log.md` (post-deploy наблюдение, ORCH-021), `17-security-report.md` (security-гейт: `security_status:`/secrets/deps, ORCH-022).
 
 **Стандарт документов (ORCH-075, ORCH-52b):** структура каждого дока, карта «стадия→агент→документ→гейт→machine-key» и конвенция ADR-naming зафиксированы в `docs/_standards/PIPELINE_DOCS.md` (golden source); копируемые скелеты — в `docs/_templates/`. Перед написанием номерного дока бери скелет из `docs/_templates/` и не меняй имя machine-key frontmatter (регистр чувствителен — иначе гейт упадёт ложно).
 

README.md

@@ -138,8 +138,6 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_RECONCILE_NOTIFY_UNBLOCK` | Telegram при разблокировке застрявшей задачи | `true` |
 | `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED` | F-1 Guard 2 (ORCH-060): пропуск задач в Plane-статусе Blocked / Needs Input; `false` глушит только сетевой Guard 2 (Guard 1 escalated всегда активен) | `true` |
 | `ORCH_QG0_TITLE_MAX` | Верхний лимит длины заголовка QG-0 (вход `_qg0_errors`); невалидное/пустое значение → дефолт (ORCH-069) | `200` |
-| `ORCH_STOP_STATUS_ENABLED` | Kill-switch отмены задачи по Plane-статусу **STOP** + закрытия дыры релонча (ORCH-090); `false` → поведение 1:1 как до ORCH-090 | `true` |
-| `ORCH_STOP_STATUS_REPOS` | CSV область репо для STOP-отмены; пусто = все репо (ORCH-090) | `""` |
 
 ## Очередь задач (ORCH-1 / F-2b)
 
@@ -156,30 +154,7 @@ Webhook-хэндлеры больше не спавнят claude-агентов
 - **Ретраи.** Упавший job (exit≠0) ретраится пока `attempts < max_attempts`,
   потом `failed` + Telegram-нотификация.
 
-Статусы job: `queued → running → done | failed`; **`cancelled`** — терминальный
-исход STOP-отмены (ORCH-090), нигде не реквью'ится. Наблюдаемость — через `GET /queue`.
-
-## Отмена задачи: статус STOP (ORCH-090)
-
-Перевод задачи в выделенный Plane-статус **STOP** отменяет её: оркестратор
-останавливает активного агента (graceful SIGTERM-каскад), снимает все job'ы
-(терминальный `cancelled`, без авто-requeue), удаляет worktree и **рабочую**
-ветку в Gitea (**никогда** `main`, без force-push), сбрасывает прогресс в
-durable-терминал `tasks.stage='cancelled'` и тумбстонит натуральные ключи
-(`#cancelled-<id>`), чтобы повторный «To Analyse» создал задачу **с нуля**.
-Docs-артефакты (`01..17`) сохраняются. STOP во время критичного шага merge/deploy
-— **откладывается** до его честного завершения (никакого half-merge / рестарта
-прода). Параллельно закрыта «дыра релонча»: ручной перевод в промежуточный рабочий
-статус больше не релончит агента — единственный вход к запуску пайплайна остаётся
-«To Analyse» (релонч агента сменой статуса разрешён только на стадии `analysis` —
-владельце Needs Input). Всё под kill-switch `ORCH_STOP_STATUS_ENABLED`, аддитивно,
-never-raise. Наблюдаемость — блок `stop` в `GET /queue`. Деталь — `docs/work-items/
-ORCH-090/06-adr/ADR-001-stop-cancel-task.md` + сквозной
-`docs/architecture/adr/adr-0026-stop-cancel-task.md`.
-
-> **Инфра-предусловие:** на доске Plane проекта ORCH создать статус **«STOP»** с
-> группой `cancelled`. До создания статуса фича в fail-safe (нет UUID → ветка STOP
-> не активируется).
+Статусы job: `queued → running → done | failed`. Наблюдаемость — через `GET /queue`.
 
 **Resilience-слой:** дешёвый preflight (CLI/net, кэш, без токенов) гейтит claim;
 429/overload детектится по логу (transient vs permanent), transient ретраится с

docs/_standards/PIPELINE_DOCS.md

@@ -2,7 +2,7 @@
 
 > **Назначение.** Единая карта «стадия → агент → документ → категория → гейт/механизм →
 > frontmatter machine-key» + конвенция ADR-naming. Это **golden source структуры** номерных
-> документов work item (`00-business-request.md` … `18-coverage-report.md`), который каждая
+> документов work item (`00-business-request.md` … `17-security-report.md`), который каждая
 > агентская роль пишет на своей стадии.
 >
 > **Статус истины (важно).** Манифест **документирует** текущее поведение гейтов, но НЕ является
@@ -60,7 +60,6 @@ check_tests_passed → check_staging_status → check_deploy_status`.
 | `15-staging-log.md` | deployer | required (self-hosting) | `deploy-staging` | `check_staging_status` (self-hosting; иначе N/A — ORCH-35) | `staging_status:` (`SUCCESS` \| `FAILED`) |
 | `16-post-deploy-log.md` | post-deploy-monitor | when-applicable | пост-`done` наблюдение (ORCH-021; не ребро `STAGE_TRANSITIONS`) | информационный (гейтом не парсится) | `post_deploy_status:` (`HEALTHY` \| `DEGRADED`) |
 | `17-security-report.md` | security-гейт (детерминированный, ORCH-022) | when-applicable | под-гейт ребра `deploy-staging→deploy` | `check_security_gate` (врезка в `advance_stage`) | `security_status:` (`PASS` \| `FAIL`) |
-| `18-coverage-report.md` | coverage-гейт (детерминированный, ORCH-027) | when-applicable | под-гейт ребра `deploy-staging→deploy` (ПОСЛЕ merge-gate, ДО image-freshness) | `check_coverage_gate` (врезка в `advance_stage`) | `coverage_status:` (`PASS` \| `FAIL`) |
 
 ### Примечания манифеста (нормативные)
 
@@ -87,7 +86,6 @@ check_tests_passed → check_staging_status → check_deploy_status`.
 | `14-deploy-log.md` | `deploy_status:` | `_parse_deploy_status` | `SUCCESS` → `done`; `FAILED` → откат (БАГ-8) |
 | `15-staging-log.md` | `staging_status:` | `_parse_staging_status` | `SUCCESS` → дальше; `FAILED` → откат (self-hosting; иначе N/A) |
 | `17-security-report.md` | `security_status:` | `check_security_gate` | `PASS` → дальше; `FAIL` → откат |
-| `18-coverage-report.md` | `coverage_status:` | `check_coverage_gate` | `PASS` → дальше; `FAIL` → откат на `development` |
 
 **Информационные доки** — гейтом НЕ парсятся (структура ничего не блокирует):
 `00-business-request.md` (вход), `08-data-requirements.md`, `10-tech-risks.md`,

docs/_templates/18-coverage-report.md

@@ -1,29 +0,0 @@
----
-coverage_status: PASS      # PASS | FAIL  (machine-key — читает check_coverage_gate)
-work_item: ORCH-NNN
-measured_coverage: 0.0      # измеренное line coverage src/ (%, float)
-baseline: 0.0              # базовая линия main на момент измерения (%, или пусто при bootstrap)
-floor: 0.0                 # абсолютный порог coverage_min_percent (%)
-policy: both               # absolute | baseline | both
-epsilon: 0.5               # допуск на шум измерения (%)
-delta: 0.0                 # measured − max(baseline, floor) (%, знаковая дельта)
----
-
-# Coverage Report — ORCH-NNN
-
-> Детерминированный гейт покрытия (ORCH-027) — под-гейт ребра `deploy-staging→deploy` (врезка в
-> `advance_stage`, ПОСЛЕ merge-gate, ДО image-freshness; не строка `STAGE_TRANSITIONS`). Машинный
-> вердикт читается ТОЛЬКО из `coverage_status:`. `PASS` → дальше; `FAIL` → откат на `development`.
-> Измерение — `pytest --cov=src --cov-report=json` в изолированном worktree. Source of truth
-> измеренного значения для ratchet базовой линии (`_handle_merge_verify`, ребро `deploy→done`).
-
-## Verdict
-<PASS / FAIL: measured X% vs floor F% / baseline B% (policy=…, epsilon=…), delta=±D%.>
-
-## Measurement
-<Инструмент (pytest-cov/coverage.py), команда, line coverage src/ = X%; либо fail-open WARNING
-при ошибке инструмента (coverage_tool_fail_closed=False).>
-
-## Policy
-<Режим (absolute|baseline|both), порог floor, базовая линия main, epsilon, какое условие
-нарушено при FAIL.>

docs/architecture/adr/README.md

@@ -27,10 +27,6 @@ Per-work-item решения живут в `docs/work-items/<id>/06-adr/ADR-NNN-
 | adr-0019 | Стандарт документов конвейера (PIPELINE_DOCS, слой 1) | accepted | 2026-06-09 | ORCH-075 |
 | adr-0020 | Единый frontmatter-контракт + спека handoff (reader/writer/валидатор) | accepted | 2026-06-09 | ORCH-076 |
 | adr-0021 | Канон Anthropic для агент-промптов + эмиссия frontmatter-схемы 52c | proposed | 2026-06-09 | ORCH-077 |
-| adr-0022 | Стандарт трассировочных маркеров `ORCH-NNN` | accepted | 2026-06-09 | ORCH-078 |
-| adr-0023 | Обзорная ось reviewer + закрытие эпика 52 | accepted | 2026-06-09 | ORCH-079 |
-| adr-0024 | Disk-watchdog — heartbeat-сигнал заполнения хост-ФС | proposed | 2026-06-09 | ORCH-063 |
-| adr-0025 | Build-cache-pruner — авто-prune docker build cache на хосте | proposed | 2026-06-09 | ORCH-062 |
 
 > ⚠️ Историческая коллизия: номер `0007` занят двумя файлами —
 > `adr-0007-reconciler.md` (ORCH-053) и `adr-0007-executable-self-deploy.md`
@@ -40,8 +36,6 @@ Per-work-item решения живут в `docs/work-items/<id>/06-adr/ADR-NNN-
 > adr-0016 **amends** adr-0013/0014 (гарантирует открытый код-PR перед merge_pr, ORCH-082).
 > adr-0020 реализует машинный слой к adr-0019 (ORCH-52b→52c).
 > adr-0021 реализует слой промптов к adr-0019/0020 (ORCH-52d — замыкает эпик 52).
-> adr-0025 **комплементарен** adr-0024 (watchdog сигналит о росте диска — pruner убирает
-> доминирующего «пожирателя», docker build cache).
 
 ## Формат
 **Контекст → Решение → Альтернативы → Последствия → Связи.** Статус: proposed / accepted / superseded.

docs/architecture/adr/adr-0024-disk-watchdog.md

@@ -1,59 +0,0 @@
----
-work_item: ORCH-063
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0024: Disk-watchdog — фоновый heartbeat-демон мониторинга заполнения хост-ФС
-
-> Сквозной (cross-cutting) ADR: вводит **новый фоновый компонент** оркестратора в ряду
-> `reconciler` (adr-0007) и `job_reaper` (adr-0011). Детальное решение задачи —
-> `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md`.
-
-## Статус
-Proposed (ORCH-063)
-
-## Контекст
-07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь self-hosting-конвейер** (один
-прод-инстанс `orchestrator` обслуживает все прод-проекты из общей БД/очереди). Проактивного сигнала
-о заполнении диска у системы не было. Оркестратор уже имеет два проверенных фоновых daemon-потока с
-единым каркасом (`threading.Thread(daemon=True)` + `threading.Event`, `start/stop/status`,
-never-raise, снимок в `GET /queue`): `reconciler` (ORCH-053) и `job_reaper` (ORCH-065). Новый
-эксплуатационный watchdog логично встроить тем же паттерном.
-
-## Решение
-Вводится третий фоновый компонент **disk-watchdog** (`src/disk_watchdog.py`):
-- **Калька каркаса** `reconciler`/`reaper`: daemon-поток, чистый stop через `_stop.wait(interval)`,
-  контракт `start()`/`stop(timeout)`/`status()`, старт/стоп в `main.lifespan` (старт последним —
-  после `reaper.start()`; стоп первым в reverse-порядке), наблюдаемость — аддитивный блок
-  `disk_monitor` в `GET /queue`.
-- **Замер** заполнения **хост-ФС** через смонтированные bind-пути (`/repos`, `/app/data`) stdlib
-  `shutil.disk_usage` (не overlay `/` контейнера, не субпроцесс `df`); дедуп путей по `st_dev`.
-- **Решение об алерте** — pure-функция от `(used_pct, threshold, prev_state, now, realert_s)`:
-  алерт на пересечении порога (дефолт 85%), ограниченный cooldown-повтор, recovery при возврате
-  ниже порога. Состояние анти-спама — in-memory (без миграции БД).
-- **Алерт** — `send_telegram` (notifying), best-effort. Kill-switch `disk_monitor_enabled`.
-- **Только сигнал, не лечение:** watchdog читает и уведомляет, не трогает диск/контейнер, не
-  рестартит прод (self-hosting безопасность). Авто-очистка диска — отдельная задача.
-
-**Инварианты:** `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, схема БД — **не меняются**
-(watchdog — эксплуатационный демон, не Quality Gate, как `reconciler`/`reaper`). never-raise на
-уровнях per-path / per-tick / per-send. При выключенном kill-switch — поведение 1:1 как сейчас
-(нулевая регрессия для enduro-trails).
-
-## Последствия
-- **+** Ранний сигнал предотвращает групповой простой всех проектов; дёшево, без внешних
-  зависимостей (принцип «всё в Docker на одном сервере, минимум зависимостей»).
-- **+** Знакомый паттерн фонового демона → низкий риск, простое сопровождение.
-- **−** In-memory состояние / best-effort Telegram — допустимы для раннего сигнала (не SLA).
-- **Откат:** `ORCH_DISK_MONITOR_ENABLED=false`; миграций БД нет.
-
-## Ссылки
-- Задачный ADR: `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md`
-- Родственные компоненты: [adr-0007-reconciler.md](adr-0007-reconciler.md),
-  [adr-0011-job-reaper-lease-reclaim.md](adr-0011-job-reaper-lease-reclaim.md)
-- Топология host-разделов: `docs/operations/INFRA.md`
-</content>

docs/architecture/adr/adr-0025-build-cache-pruner.md

@@ -1,86 +0,0 @@
----
-work_item: ORCH-062
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0025: Build-cache-pruner — фоновый heartbeat-демон авто-уборки docker build cache на хосте
-
-> Сквозной (cross-cutting) ADR: вводит **новый фоновый компонент** оркестратора в ряду
-> `reconciler` (adr-0007), `job_reaper` (adr-0011) и `disk_watchdog` (adr-0024). Детальное
-> решение задачи — `docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md`.
-
-## Статус
-Proposed (ORCH-062)
-
-## Контекст
-
-07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь self-hosting-конвейер всех
-проектов** (один прод-инстанс `orchestrator` на общей БД/очереди). Доминирующий «пожиратель» —
-**docker build cache** (≈11 ГБ от частых пересборок прод/staging-образов). `disk_watchdog`
-(adr-0024, ORCH-063) ввёл **сигнал** о заполнении (Telegram ≥85%) и явно отложил авто-очистку в
-отдельную задачу. ORCH-062 — эта задача: **автоматическое освобождение build cache**, чтобы
-инцидент не повторялся без оператора.
-
-Сверено по коду: контейнер `orchestrator` **не содержит docker CLI** (`Dockerfile:11` — только
-`openssh-client git curl`); host-docker-операции приложение уже делает **через ssh на хост**
-(`image_freshness.image_revision`, `self_deploy` Phase B), канал `deploy_ssh_user@deploy_ssh_host`
-настроен. У оркестратора три проверенных фоновых daemon-потока с единым каркасом.
-
-## Решение
-
-Вводится четвёртый фоновый компонент **build-cache-pruner** (`src/build_cache_pruner.py`):
-- **Калька каркаса** `disk_watchdog`/`reconciler`/`reaper`: daemon-поток, чистый стоп через
-  `_stop.wait(interval)`, контракт `start()`/`stop(timeout)`/`status()`, старт/стоп в
-  `main.lifespan` (старт последним — после `disk_watchdog.start()`; стоп первым в reverse),
-  наблюдаемость — аддитивный блок `build_cache_prune` в `GET /queue`. Leaf-модуль (без обратных
-  зависимостей на `stage_engine`/`stages`/`qg`).
-- **Уборка — строго `docker builder prune -f --filter until=<until>`** (BuildKit GC, дефолт
-  `until=24h`): удаляется только старый build cache, тёплый ≤24ч сохраняется. `-a` — опционально и
-  только в паре с возрастным фильтром. **Запрещены** `docker image prune`/`system prune`/удаление
-  образов запущенных сервисов/остановка-рестарт контейнеров.
-- **Исполнение на хосте через ssh** (CLI в контейнере нет): `ssh deploy_ssh_user@deploy_ssh_host
-  "docker builder prune …"`, bounded таймаутом. **Нет ssh-таргета → тик no-op** → фича
-  естественно скоупится на self-hosting-прод.
-- **Конфиг/kill-switch** (`ORCH_BUILD_CACHE_PRUNE_*`, дефолты безопасные): `enabled` (дефолт
-  `true`), `interval_s` (6ч), `until` (`24h`), `all` (`false`), `timeout_s`, `notify_min_gb`.
-  Валидаторы по образцу `disk_monitor_*` (невалид → лог + дефолт).
-- **Сигнал + лечение как пара:** disk_watchdog сигналит о росте диска, build-cache-pruner убирает
-  доминирующего «пожирателя» — две половины одной операционной защиты.
-
-**Инварианты:** `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, `src/stage_engine.py`, схема БД
-— **не меняются** (pruner — эксплуатационный демон, не Quality Gate, как watchdog/reaper). Без
-миграции БД (учёт результата in-memory, best-effort). never-raise per-команда/per-tick. Уборка
-**никогда** не рестартит docker daemon/прод-контейнер (self-hosting безопасность; рестарт-путь —
-отвергнутый Вариант B). При выключенном kill-switch — поведение 1:1 как сейчас (нулевая регрессия
-для enduro-trails).
-
-## Альтернативы
-- **host `daemon.json builder.gc.defaultKeepStorage`** — отвергнуто: требует рестарта docker
-  daemon (останавливает ВСЕ контейнеры хоста = групповой self-hosting риск); политика по объёму,
-  не по возрасту; не наблюдаемо в `GET /queue`.
-- **host-cron** — отвергнуто как основное (оставлено ручным fallback): off-git невидимая инфра,
-  без `/queue`-наблюдаемости, без config-kill-switch, не тестируется.
-- **raw-HTTP по docker.sock / docker CLI в образе** — отвергнуто: лишний код / раздувание образа
-  против уже существующего ssh-канала.
-
-## Последствия
-- **+** Корень инцидента 07.06 устраняется автоматически; тёплый кэш сохранён; без новых
-  зависимостей и без рестарта docker/прода (принцип «всё в Docker, минимум зависимостей»).
-- **+** Знакомый паттерн фонового демона → низкий риск, наблюдаемость, обратимость, тестируемость.
-- **−** Зависимость от ssh на хост (как `image_freshness`/`self_deploy`); нет таргета → no-op
-  (наблюдаемо), фича не работает, но ничего не ломает.
-- **Откат:** `ORCH_BUILD_CACHE_PRUNE_ENABLED=false`; миграций БД нет.
-
-## Ссылки
-- Задачный ADR: `docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md`
-- Инфра/риски: `docs/work-items/ORCH-062/07-infra-requirements.md`,
-  `docs/work-items/ORCH-062/10-tech-risks.md`
-- Комплемент: [adr-0024-disk-watchdog.md](adr-0024-disk-watchdog.md) (ORCH-063 — сигнал)
-- Родственные компоненты: [adr-0007-reconciler.md](adr-0007-reconciler.md),
-  [adr-0011-job-reaper-lease-reclaim.md](adr-0011-job-reaper-lease-reclaim.md)
-- Топология host / env-карта: `docs/operations/INFRA.md`
-</content>

docs/architecture/adr/adr-0026-stop-cancel-task.md

@@ -1,106 +0,0 @@
----
-work_item: ORCH-090
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# ADR-0026: Системное терминальное состояние `cancelled` — STOP-отмена задачи
-
-Сквозной (cross-cutting) ADR. Детальное решение задачи —
-`docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`.
-
-## Статус
-Proposed
-
-## Контекст
-
-ORCH-090 вводит Plane-статус **STOP** — единый декларативный механизм отмены задачи (остановка
-агента + полный сброс прогресса). Самое́ кросс-каттинговое следствие — появление **нового
-системного терминального состояния `cancelled`** (стадия `tasks.stage='cancelled'` + терминальный
-job-статус `jobs.status='cancelled'`). До ORCH-090 «терминальность задачи» в горячем планировщике
-была захардкожена как **`stage == 'done'`** (единственный сток в `STAGE_TRANSITIONS`), и это
-определение разъехалось между подсистемами:
-
-- `src/reconciler.py` **уже** трактует `stage in ("done","cancelled")` как терминал-скип
-  (ORCH-086 D2 предвосхитил `cancelled`; стр. 196) и `_is_terminal_state` по группе Plane
-  `{completed, cancelled}` (ORCH-068, стр. 398–415).
-- `src/serial_gate.py` (ORCH-088) и `src/task_deps.py` (ORCH-026) считают задачу «незавершённой»
-  по `stage != 'done'` — **без** `cancelled`. Если ввести `cancelled`-стадию, не тронув их,
-  отменённая задача навсегда будет «активной»/«незавершённой зависимостью» и **заклинит очередь
-  репо**.
-
-Этот ADR фиксирует `cancelled` как первоклассное терминальное состояние, равноправное `done`, и
-перечисляет ВСЕ точки, где системный предикат терминальности должен его признавать.
-
-## Решение
-
-### Инвариант
-**«Задача терминальна» ⇔ `stage ∈ {done, cancelled}`.** Это единое определение для всех
-подсистем планировщика/мониторинга. `cancelled` — терминальный **сток** (не новое ребро
-конвейера): exit-гейты рёбер `STAGE_TRANSITIONS` и реестр `QG_CHECKS`/`check_*` **не меняются**.
-
-### Точки, признающие `cancelled` терминальным (исчерпывающе)
-1. `src/stages.py::STAGE_TRANSITIONS` — добавить сток
-   `"cancelled": {"next": None, "agent": None, "qg": None}` (параллельно `done`).
-2. `src/serial_gate.py` — `repo_has_other_unfinished` и claim-фрагмент `t2.stage != 'done'`,
-   snapshot: `stage != 'done'` → `stage NOT IN ('done','cancelled')`. **(маркер ORCH-088)**
-3. `src/task_deps.py` — dep-gate и `is_task_ready`: `stage != 'done'` →
-   `stage NOT IN ('done','cancelled')`. **(маркер ORCH-026)**
-4. `src/reconciler.py` — уже покрыто скипом `stage in ("done","cancelled")` (стр. 196);
-   `get_active_tasks_for_reconcile` опционально сузить до `NOT IN ('done','cancelled')`.
-5. `src/job_reaper.py` / `src/queue_worker.py` — перед авто-requeue dead/running-job'а сверять
-   терминал задачи: `stage in ("done","cancelled")` → job помечается `cancelled`, не реквью'ится.
-6. `src/post_deploy.py` / `stage_engine.run_post_deploy_monitor` — монитор не тикает по
-   отменённой задаче (терминал-проверка/маркер `done`).
-
-### Новые терминальные исходы
-- **Job:** `jobs.status='cancelled'` — нигде не реквью'ится; `claim_next_job` выбирает только
-  `status='queued'` (изменений в claim нет). `mark_job` стампит `finished_at` для `cancelled`.
-- **Задача:** `tasks.stage='cancelled'` + аддитивные колонки `cancelled_at`,
-  `cancel_requested_at` (отложенная отмена в критическом окне merge/deploy). Натуральные ключи
-  `plane_id`/`work_item_id` тумбстонятся (`#cancelled-<id>`) для переиспользования «To Analyse»
-  с нуля; `plane_issue_id` сохраняется (аудит). Детали — 08-data-requirements.md.
-
-### Точки врезки STOP (компоненты)
-- `plane.py` — маршрут `stop` (fail-closed, не в `_DEFAULT_STATES`) → `handle_stop`; гейт релонча
-  ограничен стадией `analysis`.
-- `stage_engine.cancel_task` — оркестрация отмены (graceful SIGTERM, cancel-jobs, worktree+branch,
-  tombstone, notify); безопасное прерывание merge/deploy (D7 локального ADR).
-- leaf `src/cancel.py` — чистая логика (`applies`/`in_critical_window`/`snapshot`), never-raise.
-- `src/gitea.py` — `delete_remote_branch` (never-raise; только feature-ветка, `main` неприкосновенен).
-- `GET /queue` — read-only блок `stop`.
-
-### Флаги / совместимость
-- Kill-switch `stop_status_enabled` + scope `stop_status_repos` (CSV, пусто → все репо).
-- При `stop_status_enabled=False`: STOP-обработка и гейт релонча инертны; расширение
-  терминал-набора `cancelled` безвредно при отсутствии отменённых задач → **нулевая регрессия**.
-- `STAGE_TRANSITIONS` (exit-гейты) / `QG_CHECKS` / `check_*` / семантика
-  Approved/Rejected/Confirm Deploy / merge-gate (ORCH-043) / merge-verify (ORCH-071/073) /
-  image-freshness (ORCH-058) / post-deploy (ORCH-021) / serial-gate FIFO (ORCH-088) / auto-label
-  (ORCH-089) — **без изменений**.
-- Миграции БД — только аддитивные/идемпотентные (`_ensure_column`); enduro не затронут (NFR-2).
-
-## Последствия
-- **+** Единое, консистентное определение терминальности — устранён латентный рассинхрон
-  `done`-only между планировщиком и реконсилятором.
-- **+** STOP безопасен для self-hosting: не трогает `main`/прод, отложенная отмена в критическом
-  окне.
-- **−** Терминальность теперь читается из набора `{done, cancelled}`, а не из скаляра `'done'` —
-  будущие подсистемы обязаны использовать набор. Митигейшн: этот ADR + маркер `ORCH-090` в
-  изменённых местах + тесты.
-- **Откат:** `stop_status_enabled=False`; полный revert — снять врезки и вернуть предикаты к
-  `stage != 'done'`.
-
-## Эволюция маркеров `cancelled`-терминала
-Места, признающие `cancelled` терминальным (см. список выше), несут маркер `ORCH-090`. Правка
-любого из них — сверяться с этим ADR (анти-археология: 3+ маркеров → одна ссылка сюда,
-TRACEABILITY.md).
-
-## Ссылки
-- Детальный ADR: `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`
-- Data: `docs/work-items/ORCH-090/08-data-requirements.md`
-- Связанные: adr-0017 (serial-gate), adr-0015 (task-deps), adr-0007 (self-deploy),
-  adr-0006 (merge-gate), adr-0018 (auto-label)

docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md

@@ -1,82 +0,0 @@
----
-work_item: ORCH-093
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0027: Merge-актор — ретрай транзиентных ошибок Gitea + гард «ветка уже в `main`»
-
-Сквозной (cross-cutting) ADR. **Амендмент** к [adr-0013](adr-0013-merge-verify-gate.md) (merge-verify
-под-гейт), [adr-0014](adr-0014-merge-verify-sha-source-of-truth.md) (SHA-в-main как источник истины)
-и [adr-0016](adr-0016-ensure-open-pr-before-merge-verify.md) (гарантированный код-PR). Детальное
-решение задачи — `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`.
-
-> Регистрируется как сквозной, т.к. правит блок merge-актора с **3+ маркерами** (`ORCH-071`,
-> `ORCH-073`, `ORCH-082`) — анти-археология маркеров (`docs/_standards/TRACEABILITY.md`): сводный
-> ADR агрегирует эволюцию вместо перечисления work item в коде.
-
-## Статус
-Proposed
-
-## Контекст
-
-Детерминированный merge-актор merge-verify под-гейта (`deploy → done`, self-hosting) состоит из
-`ensure_open_pr` → `merge_pr` → `verify_merged_to_main` (`src/merge_gate.py`). Инцидент **ORCH-063
-(09.06)** вскрыл два дефекта, оба сверены по коду прода:
-
-1. `merge_pr` — **one-shot**: `POST /pulls/{index}/merge`, любой не-`200/201` → мгновенный `False`.
-   Транзиентная икота Gitea (`405 "Please try again later"` при пересчёте `mergeable` сразу после
-   пуша; `5xx`; таймаут) → ложный HOLD защиты ORCH-071/073 → ручной домерж.
-2. `ensure_open_pr` — после ручного мержа код-PR `closed`, открытый не найден → создаёт **новый
-   пустой PR** на ветке, уже целиком в `main`.
-
-Защита ORCH-071/073 («deploy succeeded but not merged») корректна и сохраняется; задача снижает
-лишь **ложные** срабатывания на транзиентах и устраняет мусорные PR. Это блокер автономного прогона
-(эпик ORCH-088).
-
-## Решение
-
-Аддитивно, без правки `STAGE_TRANSITIONS` / `QG_CHECKS` / схемы БД; INV-4 (мерж только через Gitea
-PR-merge API; никогда `push`/`force-push` в `main`) и never-raise сохранены.
-
-- **Ретрай-loop вокруг `POST …/merge`** (только мутирующий вызов) до `merge_retry_max_attempts`
-  (дефолт 3) с экспоненциальным backoff и потолком (`base 2`, `max 5`; суммарно ≤10 с). Классификатор
-  **транзиент** (`405`/`408`/`5xx`/таймаут/сетевое; `409`/`422` при `mergeable==True`; `mergeable==None`
-  → транзиент-по-дефолту в рамках бюджета) vs **терминал** (`403`/`404`; `409`/`422` при
-  `mergeable==False`) — по коду ответа **и** полю `mergeable` (`GET /pulls/{index}`). Терминал →
-  быстрый честный `False` (защита ORCH-071/073 — как прежде). Образец — `check_ci_green`
-  (`attempt i/N`) + transient-breaker агентов.
-- **Гард already-in-main в `ensure_open_pr`**: перед созданием PR — `git merge-base --is-ancestor
-  <branch> origin/main` (rc==0 → ветка целиком в `main`) → новый исход `"already-in-main"`, PR не
-  создаётся; git-ошибка/ambiguous → **fail-OPEN** на текущий create-путь (гард не должен превратить
-  икоту git в ложный no-op мержа). `_handle_merge_verify` трактует `"already-in-main"` как «мержить
-  нечего» → пропуск `merge_pr` → авторитетный SHA-в-main (`verify_merged_to_main`, ADR-0014) доводит
-  до `done` без мусорного PR.
-- **Конфиг**: `merge_retry_enabled` (kill-switch; `False` → one-shot, нулевая регрессия),
-  `merge_retry_max_attempts`, `merge_retry_backoff_base_s`, `merge_retry_backoff_max_s`
-  (env `ORCH_MERGE_RETRY_*`). Гард already-in-main — без отдельного флага (накрыт существующим
-  `merge_verify_autocreate_pr_enabled`).
-
-Объём раската — реально только self-hosting (`merge_verify_applies`); на прочих репо мерж делает
-LLM-deployer → изменение нейтрально.
-
-## Последствия
-
-- **+** Транзиент Gitea переживается автоматически → нет ложного HOLD / ручного домержа в автономном
-  конвейере; нет мусорных пустых PR; повтор финализатора идемпотентен.
-- **+** Реальный конфликт → быстрый честный HOLD; защита ORCH-071/073 и SHA-в-main (ADR-0014) —
-  авторитетны и неизменны.
-- **−** Дефолт `mergeable==None → transient` может добавить ≤10 с до HOLD на реальном конфликте
-  (бюджет жёстко ограничен); один лишний `GET /pulls/{index}` в редком ambiguous-кейсе.
-- **Откат:** `ORCH_MERGE_RETRY_ENABLED=false` → one-shot; `ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=false`
-  → отключает врезку `ensure_open_pr` с гардом. Полный откат — revert PR.
-
-## Ссылки
-- Детальный ADR: `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`
-- Лехатая: [adr-0006](adr-0006-merge-gate.md), [adr-0013](adr-0013-merge-verify-gate.md),
-  [adr-0014](adr-0014-merge-verify-sha-source-of-truth.md),
-  [adr-0016](adr-0016-ensure-open-pr-before-merge-verify.md)
-- Код: `src/merge_gate.py`, `src/stage_engine.py::_handle_merge_verify`, `src/config.py`

docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md

@@ -1,96 +0,0 @@
----
-work_item: ORCH-094
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0028: Terminal-window-aware гард выставления deploy-фазовых статусов Plane
-
-Сквозной (cross-cutting) ADR. **Амендмент** к [adr-0010](adr-0010-post-deploy-monitor.md)
-(post-deploy monitor, ORCH-021) и Plane-статусной модели (ORCH-066): вводит инвариант
-«deploy-фазовые Plane-статусы — terminal-window-aware» поверх общих сеттеров `plane_sync` и
-переупорядочивает блок `next_stage == "done"` в `advance_stage`. Детальное решение задачи —
-`docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`.
-
-> Регистрируется как сквозной, т.к. правит **общие** сеттеры `set_issue_awaiting_deploy`/
-> `set_issue_deploying`/`set_issue_monitoring` (используются системно) и трогает маркированный блок с
-> `ORCH-021`/`ORCH-066` (`docs/_standards/TRACEABILITY.md`).
-
-## Статус
-Proposed
-
-## Контекст
-
-Терминальная (`done`) задача в Plane **не держит `Done`**: непрерывный флапп
-`Awaiting Deploy ⟷ Monitoring after Deploy` (верифицировано живьём на **ORCH-061**, task 47, done с
-07.06 — 273 активности, само не затихает). Установлено по коду/логам/БД прода:
-
-- Три code-писателя deploy-фазовых статусов (`src/stage_engine.py:404/1218/1316`) делегируют в тонкие
-  сеттеры `src/plane_sync.py`, которые **БД-стадию не читают** ⇒ терминал-слепы: любой повторный вызов
-  перезаписывает `Done` обратно на промежуточный статус.
-- **Ordering:** `update_task_stage("done")` (`stage_engine.py:369`) пишет `tasks.stage='done'`
-  **раньше** легитимного `set_issue_monitoring` (стр. 404) ⇒ пост-деплой-окно ORCH-021 — by-design
-  индикация поверх уже-`done` задачи. Наивный гард «stage==done → Done» ⇒ регресс легитимного окна.
-- Актор всех 273 переходов — бот-токен орка (`daf4d3f4-…`), не привязан к активной task/job; в БД нет
-  активного post-deploy-monitor для task 47 (окно 15 мин закрыто). Реконсилятор F-1 пропускает
-  `done`/`cancelled`, F-2 опрашивает только `[to_analyse, approved, rejected]` ⇒ механизма привести
-  застрявшую на deploy-статусе done-задачу к `Done` нет.
-
-## Решение
-
-**Единый terminal-window-aware гард на низком чокпоинте** — на входе трёх deploy-фазовых сеттеров
-`plane_sync`. Чистую логику держит **новый leaf-модуль `src/deploy_status_guard.py`** (never-raise,
-config-gated; образец `serial_gate.py`/`labels.py`/`cancel.py`); сеттеры исполняют вердикт.
-
-- **Инвариант легитимности:** deploy-фазовый статус легитимен ⇔ задача **нетерминальна** ИЛИ
-  (`done` **И** активно пост-деплой-окно). Иначе — идемпотентное схождение к `Done`.
-  `decide(work_item_id, target) -> ALLOW | CONVERGE_DONE | SUPPRESS`:
-  kill-switch off / чужой issue / не-self репо / нетерминал → **ALLOW**; `cancelled` → **SUPPRESS**;
-  `done` + `target==monitoring` + `window_active` → **ALLOW**; `done` иначе → **CONVERGE_DONE**
-  (`set_issue_done`, идемпотентно); любое исключение → **ALLOW** + warning (never-raise).
-- **Новый helper** `post_deploy.window_active(repo, wi)` = `has_marker(ARMED) and not
-  has_marker(DONE)` (restart-safe).
-- **Перенос арм-блока** (`post_deploy.arm_monitor`) **перед** terminal-sync в блоке
-  `next_stage == "done"`: на стр. 404 `ARMED` уже записан ⇒ `window_active==True` ⇒ легитимный первый
-  `Monitoring` проходит; re-drive после закрытия окна сходится к `Done`.
-- **Харднинг монитора:** идемпотентный страж `has_marker(...DONE)` (ранний return без PATCH/реэнкью)
-  + тик no-op при `cancelled` мид-окно; тики привязаны к активному job'у (нет job → нет тика).
-- **Наблюдаемость:** каждый вердикт логируется (`work_item`/`caller`/`target`/`db_stage`/
-  `window_active`/вердикт); подавление/схождение — явно.
-- **Флаги** (`config.py`): `deploy_status_guard_enabled=True`
-  (`ORCH_DEPLOY_STATUS_GUARD_ENABLED`, kill-switch → 1:1) + `deploy_status_guard_repos=""`
-  (`ORCH_DEPLOY_STATUS_GUARD_REPOS`, пусто → self-hosting only) с локальным `applies(repo)`.
-
-## Альтернативы
-
-- **Гард в caller'ах `stage_engine`** — отвергнуто: не ловит неизвестный/стейл путь под бот-токеном,
-  размазывает инвариант.
-- **Наивный «stage==done → Done» без предиката окна** — отвергнуто: регресс легитимного `Monitoring`.
-- **Bypass-флаг на доверенном вызове 404** — отвергнуто в пользу переноса арм-блока (один предикат).
-- **Активная сходимость в реконсиляторе F-2** — отвергнуто как основной механизм (лишний polling,
-  правка маркированного F-2); гард на сеттере гасит непрерывный флапп.
-
-## Последствия
-
-- Терминальная задача стабильно держит `Done`; маятник гаснет за один цикл независимо от актора.
-- Легитимный пост-деплой `Monitoring` и рабочий self-deploy-цикл — 1:1 (предикат окна + перенос арм).
-- `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи / схема БД — **не тронуты**.
-- `main`/force-push/прод-контейнер/detached-деплой — не тронуты; не-self репо инертны.
-- Ограничение: если актор флаппа — внешняя Plane-automation (вне кода орка), гард — буфер на стороне
-  орка; локализация (FR-1) и итог документируются (BR-7).
-- **Откат:** `ORCH_DEPLOY_STATUS_GUARD_ENABLED=false` → поведение 1:1; полный — revert ветки.
-
-## Связи
-
-- [adr-0010](adr-0010-post-deploy-monitor.md) (ORCH-021 — пост-деплой-окно, sentinel `armed`/`done`,
-  арм-блок) — амендмент: окно становится предикатом легитимности `Monitoring`.
-- ORCH-066 (Plane-статусная модель — слой B индикации; `deploy→done` self ⇒ `Monitoring`) — инвариант
-  сохранён.
-- [adr-0026](adr-0026-stop-cancel-task.md) (ORCH-090 — терминал `cancelled`) — гард не штампует
-  deploy-статус поверх `cancelled`.
-- ORCH-068/086 (терминал-скип реконсилятора) — этот ADR распространяет идею терминал-aware на
-  выставление deploy-статусов.
-- Детально: `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`.

docs/architecture/adr/adr-0029-coverage-gate.md

@@ -1,92 +0,0 @@
----
-work_item: ORCH-027
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-10
-model_used: claude-opus-4-8
----
-
-# adr-0029: Гейт покрытия тестами — edge sub-gate + ratchet-базовая линия
-
-- **Статус:** proposed
-- **Дата:** 2026-06-10
-- **Задача:** ORCH-027
-- **Детальный ADR:** `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md`
-
-## Контекст
-Оркестратор автономен: `developer` пишет код без человека-фильтра, `tester` сам решает, хватает
-ли тестов. Существующие тестовые гейты судят только по факту прохождения, не по полноте:
-`check_ci_green` (exit-code CI), `check_tests_passed` (LLM-вердикт `tester`'а), merge-gate
-re-test (exit-code). Ни один не замечает «300 строк кода, 0 тестов». При пакетном автономном
-прогоне (ORCH-088) это монотонная деградация покрытия. Нужна детерминированная метрика — по духу
-как security-гейт (adr-0012).
-
-## Решение
-Детерминированный (без LLM) **гейт покрытия как под-гейт ребра `deploy-staging → deploy`**,
-рядом с security-gate (ORCH-022), merge-gate (ORCH-043), image-freshness (ORCH-058). Паттерн —
-leaf-модуль `src/coverage_gate.py` (never-raise) + обёртка в `QG_CHECKS` (`check_coverage_gate`)
-+ врезка `_handle_coverage_gate` в `advance_stage`. `STAGE_TRANSITIONS` не меняется.
-
-- **Порядок: security → merge → `coverage` → image-freshness.** Coverage идёт **ПОСЛЕ
-  merge-gate** (ветка догнана на свежий `origin/main` → меряем покрытие того кода, что landed) и
-  **ДО image-freshness** (фейлить дёшево до docker-rebuild). На этой точке merge-lease **held** →
-  **FAIL обязан освободить lease** при откате (как image-freshness rollback; в отличие от
-  security, который идёт до захвата lease).
-- **Измеритель:** `pytest-cov` (`coverage.py`), `python -m pytest tests/ --cov=src
-  --cov-report=json` в изолированном worktree (`ensure_worktree`); метрика —
-  `totals.percent_covered`. Тайм-аут `coverage_run_timeout_s`. Скоуп — `src/` (не тесты).
-- **Чистая функция** `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)`:
-  `absolute` (≥floor−ε), `baseline` (≥baseline−ε, ratchet), `both` (дефолт). `baseline=None` →
-  bootstrap (только absolute). FAIL → откат на `development` + developer-retry (cap
-  `MAX_DEVELOPER_RETRIES`), дословный reason в `task_desc` (ORCH-046).
-- **Базовая линия — аддитивная БД-таблица** `coverage_baseline(repo PK, coverage, source_sha,
-  updated_at)` (`CREATE TABLE IF NOT EXISTS`, паттерн `repo_freeze`/`job_deps`). Выбор БД над
-  файлом-в-репо: нет git-churn/конфликтов на ratchet, restart-safe, атомарное обновление.
-- **Ratchet-up** в choke-point подтверждённого merge `_handle_merge_verify` (ребро
-  `deploy → done`, ORCH-071/073): читает измеренное покрытие из `18-coverage-report.md`,
-  атомарный compare-and-set `UPDATE ... WHERE coverage <= measured` (базовая линия не падает).
-  Под held merge-lease + per-repo сериализацией merge (ORCH-043) — двойная анти-гонка.
-- **Артефакт `18-coverage-report.md`** с frontmatter `coverage_status: PASS|FAIL` (+
-  `measured_coverage`/`baseline`/`floor`/`policy`/`delta` + аддитивная 52c-схема); вердикт
-  читается ТОЛЬКО из frontmatter через `src/frontmatter.py` (single source of truth).
-- **Условность (как ORCH-35/43/58):** `coverage_gate_enabled` + `coverage_gate_repos` (пусто →
-  только self-hosting `orchestrator`); вне области → no-op pass. `applies(repo)` ПЕРВОЙ, дорогой
-  прогон — только при applies.
-- **Ошибка инструмента → fail-open + WARNING** по умолчанию (`coverage_tool_fail_closed=False`,
-  анти-петля как ORCH-061); флаг → fail-closed.
-- **Наблюдаемость:** read-only блок `coverage` в `GET /queue`; FAIL → Telegram (кликабельный
-  номер, измеренное/порог/дельта). Опциональный `POST /coverage/baseline` (ручной override).
-- **never-raise**, гейт не деплоит/не рестартит прод/не пушит в `main` (NFR-3).
-
-## Альтернативы
-- **CI-job (`check_ci_green`):** пороги/политика/baseline/артефакт плохо выражаются статусом
-  коммита; ratchet требует записи в БД. Отклонено для v1 (точка расширения).
-- **Edge `testing → deploy-staging`:** ветка не догнана на свежий `main` → метрика неточна;
-  откат не освобождает lease. Отклонено.
-- **Базовая линия в файле репо:** git-churn/конфликты на каждый ratchet. Отклонено.
-- **Новая стадия `coverage`:** «пустая» стадия без агента не имеет триггера (как ORCH-043/022).
-  Отклонено.
-- **Жёсткий absolute-порог без baseline/epsilon:** массовые ложные заворота. Отклонено.
-
-## Последствия
-- Класс «тихо просевшее покрытие» закрыт детерминированной метрикой; baseline только растёт.
-- Нулевая регрессия вне области (enduro-trails); `STAGE_TRANSITIONS`/`QG_CHECKS`-семантика/
-  вердикт-ключи (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) —
-  байт-в-байт прежние; новая БД-таблица аддитивна.
-- Плата: ещё один «скрытый» под-гейт ребра; новая pip-зависимость (`pytest-cov`); доп. прогон
-  pytest (после merge-gate re-test, ограничен таймаутом, фейлит до rebuild); v1 — Python-only.
-- Дефолтный fail-open тихо пропускает при устойчивом сбое инструмента (с WARNING) —
-  переключаемо `coverage_tool_fail_closed`.
-- Сквозное изменение (новый QG + edge-под-гейт + новая таблица + новый артефакт) →
-  `arch:major-change`; прод-деплой строго через staging-гейт (8501), без рестарта прод-контейнера.
-- **Откат:** `coverage_gate_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
-
-## Связи
-adr-0012 (security-гейт — паттерн edge-под-гейта/leaf/never-raise/fail-open), adr-0006
-(merge-gate — edge-под-гейт/откат/merge-lease), adr-0008 (image-freshness — условность/
-fail-closed/release-lease-on-rollback), adr-0003 (условный гейт / `is_self_hosting_repo`),
-adr-0009 (анти-петля ложных FAIL, ORCH-061), adr-0013/adr-0014 (merge-verify / SHA-in-main как
-source of truth — точка ratchet), adr-0015/adr-0017 (per-repo сериализация merge/serial-gate),
-adr-0020 (frontmatter-контракт — парсинг `coverage_status:`), adr-0019 (PIPELINE_DOCS — артефакт
-`18-coverage-report.md`), ORCH-9/15 (мульти-стек — будущая зависимость BR-6).

docs/architecture/internals.md

@@ -61,15 +61,9 @@ STAGE_TRANSITIONS = {
     testing:      → deploy-staging (agent: deployer,   QG: check_tests_passed)
     deploy-staging: → deploy      (agent: deployer,   QG: check_staging_status)
     deploy:       → done          (agent: None,       QG: None)
-    cancelled:    → None          (agent: None,       QG: None)   # ORCH-090: терминал-сток отмены
 }
 ```
 
-**Терминальные стоки (ORCH-090):** `done` и `cancelled` — равноправные терминальные состояния
-(`{"next": None, "agent": None, "qg": None}`). `cancelled` — это **не новое ребро** (exit-гейты
-рёбер не меняются), а терминал STOP-отмены. Системный предикат «задача завершена» —
-`stage ∈ {done, cancelled}` (синхронно в `reconciler`/`serial_gate`/`task_deps`; adr-0026).
-
 ### 3. Quality Gates (`src/qg/checks.py`)
 
 | Check | Метод проверки |
@@ -134,16 +128,12 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 **Текст карточки (оба режима, ORCH-042):** метка `Подтверждение BRD` (была «Ревью БРД»); после прохождения approve-gate строка BRD начинается с ✅ (ветка ожидания сохраняет ⏸️/⏳); русские display-labels стадий (`Анализ / Архитектура / Разработка / Код ревью / Тестирование / Внедрение`); финальная строка `📦 Внедрено` (было `deployed`). Меняются только отображаемые строки — ключи стадий и имена агентов (завязаны на `_STAGE_ACTIVE_AGENT`, `last_done`, БД) не трогаются.
 
-**Строки стадий: отражение откатов + суммирование метрик (ORCH-091).** Цикл рендера строк стадий (`render_task_tracker` → `_stage_line`) исправлен по двум осям. (1) **Откат (Деф.2):** `✅`-строка стадии рисуется только если её позиция в конвейере `≤` текущей позиции задачи; позиция берётся из порядка `STAGE_TRANSITIONS` (read-only хелпер `_pipeline_pos`, never-raise; неизвестная стадия → «далёкое будущее» → ✅ не пере-подавляется) с нормализацией `deploy-staging → deploy` ТОЛЬКО в гейте подавления (схлопнутая строка «Внедрение» несёт `stage_key="deploy"`). После отката (`deploy-staging → development`, `review → development`) строки стадий ПОЗЖЕ текущей больше не рисуются как пройденные — пропадает абсурд «✅ Внедрение + 🔄 Разработка»; `is_active_stage` не тронут. (2) **Метрики (Деф.3):** `_stage_line` агрегирует ВСЕ `agent_runs` агента стадии (Σ cost / Σ токены / Σ время теми же per-run-формулами, что блок тоталов задачи), а не последний прогон — каждый агент привязан ровно к одной строке `_TRACKER_STAGES`, поэтому Σ(строк стадий) ≡ тоталы ≡ `SUM(agent_runs)` по `task_id`; модель/эффорт/«попытка N» берутся из последнего прогона. Прогоны, подавлённые откатом, по-прежнему входят в тоталы (намеренная семантика отката).
-
 **Строка Plane-статуса и кликабельный номер (ORCH-067, слой B — индикация).** Под заголовком карточка несёт строку `📍 <Plane-статус>` по модели ORCH-066. Источник — двухслойный, контракт **never raises**:
-- **Оффлайн-ядро** `plane_status_label(task_row)` — чистая функция БЕЗ сети: `stage → статус` (`created→To Analyse`, `analysis→Analysis`, `architecture→Architecture`, `development→Development`, `review→Code-Review`, `testing→Testing`, `deploy-staging→Deploying (staging)` [ORCH-091], `deploy→⏸️ Awaiting Deploy`, `done→Done`, `cancelled→Cancelled` [ORCH-091]) + `⏸️ In Review` из brd-часов (`brd_review_started_at` задан, `…_ended_at` пуст). **ORCH-091:** карта `_STAGE_STATUS_LABEL` покрывает ВСЕ ключи `STAGE_TRANSITIONS` (полнота — тестом, не статичным списком); неизвестная/будущая стадия → нейтральный фолбэк (капитализированное имя стадии), а НЕ «To Analyse» (он остаётся лишь явным лейблом `created` и безопасной деградацией на истинно-битом входе).
+- **Оффлайн-ядро** `plane_status_label(task_row)` — чистая функция БЕЗ сети: `stage → статус` (`created→To Analyse`, `analysis→Analysis`, `architecture→Architecture`, `development→Development`, `review→Code-Review`, `testing→Testing`, `deploy→⏸️ Awaiting Deploy`, `done→Done`) + `⏸️ In Review` из brd-часов (`brd_review_started_at` задан, `…_ended_at` пуст). Неизвестная/битая стадия → безопасный дефолт `To Analyse`.
 - **Live-overlay** `_live_plane_branch_override` — best-effort: дорисовывает ветви-статусы, неразличимые оффлайн (Needs Input / Blocked / Rejected / Cancelled / Deploying / Monitoring after Deploy), чтением живого Plane-статуса (`fetch_issue_state` с коротким `tracker_live_status_timeout_s`, TTL-кэш `tracker_live_status_ttl_s`, kill-switch `tracker_live_status`). Любой сбой / выключенный флаг / нехватка данных → оффлайн-метка; `⏸️ In Review` (авторитет brd-часов) overlay не консультирует. Анти-false-positive: `deploying/monitoring`, алиасящие базовый UUID на проекте без выделенного статуса (enduro), не вызывают override.
 
 **Кликабельный номер задачи (ORCH-067).** Номер в заголовке карточки И во всех уведомлениях орка, где упоминается `work_item_id`, — HTML-ссылка на issue в Plane через общий `plane_issue_link` / `link_for` (URL строит `_plane_issue_url` с loopback/workspace/project-гардами, переиспользуя резолв ORCH-017). Fail-safe: при нехватке любого из (web-base/не-loopback, workspace, project_id, plane_issue_id) → `html.escape(work_item_id)` без `<a>`; динамические части экранируются, `<a>`-разметка валидна под `parse_mode=HTML`. Алерты `stage_engine`/`launcher`/`security_gate`/`reconciler` переведены на `link_for` (резолвит `repo`+`plane_issue_id` из БД по `task_id` или `work_item_id`).
 
-**HTML-безопасность данных карточки (ORCH-095).** Текст карточки шлётся с `parse_mode=HTML` и собирается из слотов двух категорий: **markup** (намеренная разметка — `num_html`/`plane_issue_link`, `link_for(...)`, `_done_link(...)`, уже-экранированный `esc_title`) и **data** (подставляемые значения — длительности `_fmt_minutes`/`_capped_review_str`, статус-лейбл `_card_status_label`, имя модели `short_model_name`, эффорт `_run_effort`, токены/стоимость `fmt_tokens`/`fmt_cost`). Инвариант: **каждый data-слот экранируется `html.escape` ровно один раз на границе рендера** (`render_task_tracker`/`_stage_line`); функции-источники остаются HTML-агностичными, markup-слоты не экранируются (двойное экранирование запрещено). Это устранило класс «неэкранированные данные в HTML-тексте»: до фикса `_fmt_minutes(<60s)` возвращал литерал `<1м`, который Telegram парсил как открывающий тег → `editMessageText` `400 can't parse entities` → `EDIT_FAILED` → ранний `return` (анти-дубль ORCH-087) → карточка застывала (инцидент ORCH-093). `_fmt_minutes` по-прежнему возвращает `<1м` — escape на границе (`&lt;1м`) рендерит его визуально идентично; формат не меняется. Застрявшая (в окне) карточка авто-восстанавливается следующим безопасным рендером; `edit_telegram`/`update_task_tracker`/леджер сирот/режимы `bump`/`edit` не тронуты. Детали — [ORCH-095 ADR-001](../work-items/ORCH-095/06-adr/ADR-001-html-safe-card-data-render.md).
-
 ## Database Schema
 
 ```sql
@@ -339,7 +329,7 @@ webhook (plane/gitea)                 background thread (queue_worker)
 
 | Колонка | Назначение |
 |--------|------------|
-| `status` | `queued` → `running` → `done` \| `failed` \| `cancelled` (ORCH-090: терминальный исход STOP-отмены, не реквью'ится) |
+| `status` | `queued` → `running` → `done` \| `failed` |
 | `attempts` / `max_attempts` | счётчик попыток (инкремент при claim) / лимит ретраев (default 2) |
 | `run_id` | FK на `agent_runs.id` после старта |
 | `pid` | (ORCH-065) pid агентского процесса (`proc.pid` из `_spawn`); liveness-сигнал для job-reaper. Добавляется `_ensure_column` (idempotent) |

docs/epics/self-evolution.md

@@ -1,287 +0,0 @@
-# 🧬 ЭПИК: Автономное саморазвитие платформы оркестратора
-
-> **Статус:** концепция v2 (структура согласована Славой 09.06 → ждёт финального апрува → декомпозиция)
-> **Автор:** Стрим · **Дата:** 2026-06-09 · **Заказчик:** Слава
-> **Связанные:** ORCH-8 (петля самообучения), ORCH-83 (наблюдаемость), ORCH-54 (автономное внедрение, done)
-> **Источники:** память орка (инциденты 06–09.06), инвентаризация 94 задач Plane, мировые практики (STRATUS NeurIPS'25, ChaosEater ASE'25, self-healing LLM-agents arXiv'26, agentic AIOps, FinOps token-economics).
-
----
-
-## 0. Зачем это (vision)
-
-Оркестратор уже **автономно внедряет** (ORCH-54: задача проходит analysis→prod без человека). Но автономность исполнения ≠ автономное **развитие**. Сегодня платформу развивает связка Слава+Стрим вручную: ловим инциденты → формулируем уроки → заводим задачи → апрувим.
-
-**Цель эпика:** управляемый самоподдерживающийся контур, где платформа сама замечает свои слабые места И возможности роста, предлагает улучшения как готовые задачи, проводит их через собственный конвейер (ORCH-7 self-hosting) — **под контролем человека на ключевых развилках** (safety > автономность).
-
-**Принцип баланса (коррекция Славы 09.06):** саморазвитие — это НЕ только «не падать и не косячить». Стабильная платформа, которая не растёт в возможностях, — тупик. **Рост функционала (новые фичи, стеки, удобства для заказчиков) — равноценный домен, а не следствие надёжности.** Платформа развивается по двум рукам одновременно: крепнет (надёжность/качество/экономика) И раздаётся вширь (возможности/масштаб).
-
----
-
-## 1. Архитектура эпика: фундамент + 5 доменов + 2 вертикали
-
-```
-┌─────────────────────────────────────────────────────────────┐
-│  ВЕРТИКАЛЬ-ДВИГАТЕЛЬ 🧠        ВЕРТИКАЛЬ-ТОРМОЗ 🛑            │
-│  🔄 уроки (крепнем) +          governance / safety L0-L3      │
-│  💡 генератор идей (растём)    (ограничивает, апрувы)         │
-│ ░░░░░░░░░░░░ проходят СКВОЗЬ все домены ░░░░░░░░░░░░░░░░░░░░░ │
-├─────────────────────────────────────────────────────────────┤
-│         ДОМЕНЫ РАЗВИТИЯ (равноценные, две руки роста)         │
-│                                                               │
-│   КРЕПНЕТ ───────────────────►   РАЗДАЁТСЯ ВШИРЬ ────────►    │
-│   🛡️ D1 Надёжность              🚀 D4 Возможности (фичи)      │
-│   ✅ D2 Качество/Доверие         📈 D5 Масштаб                 │
-│   💰 D3 Экономика                                             │
-├─────────────────────────────────────────────────────────────┤
-│  ФУНДАМЕНТ (слой 0):  👁️ Наблюдаемость + 📒 Журнал уроков    │
-│  глаза и память — без них всё слепо                          │
-└─────────────────────────────────────────────────────────────┘
-       Общая метрика-объединитель: 🌡️ ГРАДУСНИК АВТОНОМНОСТИ
-       (каждый домен двигает её вверх контролируемо)
-```
-
-### Что изменилось против v1 (мои же правки по критике)
-- **Наблюдаемость вынесена в фундамент** (была внутри M1) — она питает ВСЁ.
-- **M0 разбит на 2 вертикали:** двигатель (петля) и тормоз (governance) — у них противоположная логика, нельзя в одну коробку.
-- **Добавлен домен D2 Качество/Доверие** — была дыра: надёжная платформа может стабильно генерить говнокод. Надёжность инфры ≠ корректность результата.
-- **Рост (D4+D5) — равноценные домены, не «второй эшелон»** (коррекция Славы).
-- **Градусник автономности** — сквозная измеримая цель вместо абстракции.
-
----
-
-## 🏗️ АРХИТЕКТУРНЫЕ РАМКИ наблюдаемости (решено Славой 09.06 — constraints для архитектора)
-
-> Это НЕЗЫБЛЕМЫЕ границы (заказчик). Конкретные ADR (стек, формат метрик, точки врезки) — зона архитектора внутри этих рамок.
-
-**Принцип:** наблюдатель ОТДЕЛЁН от наблюдаемого. Мониторинг НЕ живёт внутри орка — иначе орк упал/завис/съел память → мониторинг ляжет вместе с ним, и мы слепы в самый критичный момент.
-
-**Решения Славы:**
-- **С-1. Sidecar-контейнер на том же хосте** (вариант A). Отдельный процесс/память/рестарт — орк падает, наблюдатель жив и РЕПОРТИТ это.
-- **С-1б. КОД sidecar — В РЕПО орка** (отдельная папка `watchdog/`), рантайм — ОТДЕЛЬНЫЙ контейнер. Изоляция — на уровне КОНТЕЙНЕРА, не репозитория. Плюсы: (1) конвейер орка пилит свой мониторинг сам (self-hosting ORCH-7); (2) контракт `/metrics`↔sidecar в одном репо — не разъедется (один PR/тесты); (3) один CI. Сборка: ОТДЕЛЬНЫЙ `watchdog/Dockerfile` + сервис `orchestrator-watchdog` в docker-compose.yml. Разовое инфра-действие: добавить сервис в compose + первый запуск (Слава/Стрим на хосте), дальше код watchdog катится через конвейер.
-- **С-2. Без внешнего плеча (L2).** Не усложняем второй площадкой. (Принятый риск: падёнвесь хост/Docker → наблюдатель тоже молчит; осознанно.)
-- **С-3. Тонкий стек.** НЕ Grafana+Prometheus (+5-6 контейнеров на забитый хост). Тонкий Python/Go sidecar. **Факт хоста 09.06: RAM 171Mi free / 7.7Gi, диск 92%** — ресурсы впритык, наблюдатель обязан быть лёгким.
-
-**Разделение ответственности:**
-- **Орк отдаёт только сырьё:** лёгкий read-only `/metrics` (свои внутренние данные — стадии/очередь/agent-liveness/cost, что знает только он). БЕЗ логики мониторинга/алертов/хранения. Орк лёг → endpoint недоступен = САМ сигнал тревоги.
-- **Sidecar — мозг мониторинга:** читает `/metrics` орка + хост (диск/память/CPU) + контейнеры (docker.sock read-only) + пинг Plane/Gitea/Anthropic; хранит пороги, шлёт Telegram-алерты СО СВОИМ каналом (не зависит от кода орка).
-- **Журнал уроков (F2)** — исключение: это НЕ realtime-мониторинг, а историческая память петли → допустимо в БД орка (аддитивная таблица). Не критично к падению орка в момент (запись best-effort).
-
----
-
-## 2. ФУНДАМЕНТ (слой 0) — 👁️ Глаза и 📒 Память
-
-Без данных нечем ни чинить, ни считать, ни приоритизировать, ни учиться. Строится первым.
-
-- **F1 Наблюдаемость** (ORCH-83 [ЭПИК]): метрики agent-liveness + очередь + стадии + хост (диск/память/CPU) + контейнеры + внешние деп (Plane/Gitea/Anthropic). Эндпоинты /health /status /queue → расширить до /metrics + дашборд.
-- **F2 Журнал уроков** (ORCH-8 шаг 1): машинная структурированная таблица отклонений (тип, контекст, корень, предложение, статус) — формализовать то, что сейчас в memory/. Это «топливо» для вертикали-двигателя.
-
----
-
-## 3. ДОМЕН D1 — 🛡️ Надёжность (Self-Repairing)
-
-**Есть:** reconciler (53), post-deploy monitor+rollback (21), merge-verify (71/73), reaper (65), disk-watchdog (63), build-prune (62).
-**Уроки:** фантом-merge, deploy-петли, транзиенты, флапп-статусы, зомби-jobs.
-
-- **D1.1** Предиктивный мониторинг (causal, не порог): «диск заполнится через N ч».
-- **D1.2** Авто-ремедиация рантайма: каталог типовых фиксов (зомби-job→requeue, stale-lease→reclaim, флапп→форс-терминал).
-- **D1.3** Транзиент-резилентность everywhere (обобщение ORCH-93): единый retry+backoff для всех внешних вызовов.
-- **D1.4** Zero-downtime деплой платформы (blue-green/canary): резервное плечо вместо окна недоступности.
-- **D1.5** Авто-rollback по SLO (расширение 21): откат по деградации latency/error-rate, не только health.
-- **D1.6** Deep agent-liveness (self-healing LLM): «думает / завис / зациклился» по reasoning+CPU+прогрессу.
-- **D1.7** Backup/restore БД+worktree (recovery после краша хоста).
-
----
-
-## 4. ДОМЕН D2 — ✅ Качество / Доверие результата
-
-> Новый домен. Закрывает дыру: платформа может надёжно и дёшево производить плохой результат. Надёжность инфры ≠ корректность кода/аналитики.
-
-**Есть:** security-гейт (22), reviewer/tester стадии, промпт-аудит (92).
-
-- **D2.1** Code-coverage гейт (ORCH-27): защита от деградации покрытия.
-- **D2.2** Регресс-страж результата: не только «тесты зелёные», но «не сломали соседнюю фичу» (расширение regression-guard ORCH-73).
-- **D2.3** Качество аналитики: метрика «BRD не пришлось переделывать», сверка факт vs ТЗ (как сегодня ловила ложное P0).
-- **D2.4** Доверие к выходу: provenance артефактов, воспроизводимость, «деплой OK = прод реально работает» (урок ET-8).
-- **D2.5** Опциональная человеческая приёмка важных фич (ORCH-28).
-- **D2.6** Само-оценка агентов: уверенность в результате → эскалация при низкой.
-
----
-
-## 5. ДОМЕН D3 — 💰 Экономика
-
-**Боль (ORCH-38):** developer сжёг **$13.68 на мелочь** (cache_read 18.98M — слепое сканирование src/).
-
-- **D3.1** Model-routing cascade (мир: −87%): классификатор сложности → дешёвая модель на простое, opus на сложное (ORCH-20+13).
-- **D3.2** Бюджет circuit-breaker (ORCH-23): хард-лимит $/токенов/времени → пауза+алерт.
-- **D3.3** Оценка задачи ДО старта (ORCH-20): прогноз $/время по истории.
-- **D3.4** Целевые файлы в задании (ORCH-38): analyst даёт точный список из TRZ → нет слепого сканирования. **Самый дешёвый высокий impact.**
-- **D3.5** Fast-track простых задач (ORCH-19): багфикс → урезанный цикл без architect, дешёвая модель.
-- **D3.6** Semantic caching / prompt compression (мир: −31%).
-- **D3.7** Cost-дашборд + детект аномалий.
-
----
-
-## 6. ДОМЕН D4 — 🚀 Возможности (рост функционала)
-
-> **Равноценный домен (акцент Славы).** Это то, ради чего платформой ПОЛЬЗУЮТСЯ. Без новых возможностей надёжность бессмысленна — нечего надёжно делать. Развивается параллельно с D1-D3, а не после.
-
-**Backlog-зародыши:** ORCH-12/13/14/15/18/24/25.
-
-- **D4.1** Стеки-плагины: профили стека (web/mobile/data/ML/embedded) → агенты адаптируют процесс. Расширяемо без правки ядра. **Открывает заказчикам новые типы проектов.**
-- **D4.2** Android/мобильный стек (ORCH-15): полноценная разработка приложений.
-- **D4.3** UX/UI-дизайнер (ORCH-14): дизайнер-агент генерит макеты на аналитике, согласование с BRD.
-- **D4.4** Интерактивный аналитик (ORCH-18): живой диалог Слава↔analyst — уточнение BRD, обсуждение вариантов до старта. Удобство + качество постановки.
-- **D4.5** Тяжёлые вычисления (ORCH-12): воркер/стадия для долгих расчётов (ML-обучение, миграции данных).
-- **D4.6** База знаний проекта (ORCH-24): RAG-контекст решений/архитектуры — агенты умнее (+экономия).
-- **D4.7** Декомпозиция эпиков (ORCH-25): эпик→задачи→сборка автоматически (этот документ — кандидат №1).
-- **D4.8** Новые роли-агенты: data-engineer, ML-инженер, DevOps — по мере типов проектов.
-- **D4.9** Мультипровайдерность моделей (ORCH-13): не только Claude — выбор под задачу/стек/бюджет.
-
----
-
-## 7. ДОМЕН D5 — 📈 Масштаб
-
-> Вторая «рука роста»: способность делать БОЛЬШЕ и ШИРЕ. Сейчас потолок — `max_concurrency=1`.
-
-**Backlog-зародыши:** ORCH-9/10; done: ORCH-6 (multi-repo), ORCH-88 (serial-batch).
-
-- **D5.1** Параллельная разработка (снять max_concurrency=1): безопасный N>1 (изоляция worktree есть, нужна merge-orchestration FIFO + защита main). **Много фич параллельно = быстрее растём.**
-- **D5.2** Turnkey-онбординг проекта (ORCH-9): команда → Plane+Gitea+агенты+инфра за минуты.
-- **D5.3** Тиражирование на новый хост (ORCH-10): перенос платформы на инфру нового заказчика (IaC-bundle).
-- **D5.4** Горизонтальный воркер-пул: очередь jobs (ORCH-1) → несколько воркеров/хостов.
-- **D5.5** Per-project лимиты ресурсов (concurrency/бюджет на проект).
-- **D5.6** Мультитенантность (отложено — SaaS-сценарий, по спросу).
-
----
-
-## 8. ВЕРТИКАЛЬ-ДВИГАТЕЛЬ 🧠 — две турбины: реактивная + проактивная
-
-> Двигатель питается из ДВУХ источников (коррекция Славы 09.06). Реактивная турбина (уроки из боли) кормит «крепнем» (D1-D3). Проактивная (генератор идей) кормит «растём» (D4-D5). Без второй турбины рост фич зависит только от Славы — бутылочное горлышко.
-
-### 8A. Реактивная турбина 🔄 — петля самообучения из уроков (ORCH-8)
-```
-ДЕТЕКЦИЯ → ЖУРНАЛ урока → АНАЛИЗ/паттерны → ПРЕДЛОЖЕНИЕ задачи → [governance-гейт] → конвейер ORCH-7 → проверка эффекта → журнал
-```
-- **Детекция:** провал гейта, **ручное вмешательство (самый ценный сигнал — каждый ручной пинок = дыра автономности)**, ретраи/откаты/таймауты, ложные срабатывания, «деплой OK / прод сломан».
-- **Анализ (гибрид):** машина копит и предлагает черновик → Стрим фильтрует/оформляет → Слава апрувит.
-- **E1** Журнал уроков (=F2). **E2** Агент-ретроспективщик (анализ→предложение).
-
-### 8B. Проактивная турбина 💡 — генератор идей новых возможностей (НОВОЕ — запрос Славы)
-
-> Отдельный источник идей роста функционала — НЕ только требования от Славы. Проактивно предлагает новые фичи/возможности/удобства. Та же воронка: машина/агент генерит черновики → Стрим фильтрует → Слава решает.
-
-**Источники идей (вход генератора):**
-- **I1 Гэпы реализации:** чего НЕ хватило для запрошенных проектов (enduro-trails, snowbike — что было тяжело/невозможно сделать платформой → кандидат в фичу).
-- **I2 Паттерны ручного труда:** что Слава/заказчики часто делают руками ВНЕ платформы → кандидат на автоматизацию/фичу.
-- **I3 Тренды и новые технологии:** сканирование новых моделей/стеков/инструментов (web-поиск, release-notes провайдеров) → «вышла модель X / фреймворк Y — даёт новую возможность».
-- **I4 Конкурентный/рыночный анализ:** что умеют другие AI-платформы разработки (Devin, Cursor, Copilot Workspace…) → чего нет у нас.
-- **I5 Анализ собственного бэклога/истории:** паттерны типов задач → «часто просят X → стоит сделать шаблон/фичу».
-- **I6 Обратная связь заказчиков:** явные пожелания/жалобы по реализованным проектам.
-- **I7 Саморефлексия Стрим:** я вижу работу платформы изнутри каждый день — предлагаю удобства/фичи из опыта ведения.
-
-**Компоненты:**
-- **E4 Агент-идеатор (product-discovery):** по расписанию сканирует I1-I7 → генерит бэклог идей-черновиков фич (с обоснованием «зачем/кому/из какого источника»).
-- **E5 Банк идей:** отдельный реестр (не путать с журналом уроков): идея, источник, предполагаемая ценность, статус (new/отклонена/в работе).
-
-### 8C. Общий выход двигателя
-- **E3 Приоритизатор RICE:** сводит ОБА потока (уроки из 8A + идеи из 8B) в единый ранжированный бэклог по impact/cost/risk — что брать первым по всем доменам. Баланс «крепнем vs растём» — настраиваемый (квота слотов на надёжность vs фичи).
-
----
-
-## 9. ВЕРТИКАЛЬ-ТОРМОЗ 🛑 — Governance / Safety
-
-> «Контроль и управление саморазвитием» (требование Славы). Двигатель жмёт газ — этот контур держит руль и тормоз.
-
-**Принцип (ORCH-8, незыблемо):** самомодификация платформы (промпты/скиллы/конфиги агентов/ядро) — ТОЛЬКО через PR+ревью+апрув Славы. Орк ПРЕДЛАГАЕТ, ПРИМЕНЯЕТ через свой конвейер с гейтами.
-
-**Уровни автономии (agentic AIOps maturity):**
-| Уровень | Что авто | Гейт |
-|---------|----------|------|
-| L0 reactive | только алерт | человек делает всё |
-| L1 assistive | предложить задачу+ТЗ | человек апрувит запуск |
-| L2 autonomous-bounded | гонит безопасные классы (бэкенд-фиксы) до прода | safety-гейты CI/staging/regression |
-| L3 self-modifying | менять агентов/ядро | **всегда** PR+апрув Славы, НИКОГДА не авто |
-
-- **G1** Safety-политика L0-L3 + per-class правила (что можно само, что только через Славу). Лейблы autoApprove/autoDeploy (ORCH-89) = уже зародыш.
-- **G2** Бюджет на саморазвитие: лимит $/мес, чтобы контур не жёг бесконтрольно.
-- **G3** Дашборд эволюции: метрики 5 доменов в динамике — видно, КУДА развивается платформа.
-- **G4** Kill-switch петли: остановить самогенерацию задач одним флагом.
-
----
-
-## 10. 🌡️ Градусник автономности (сквозная метрика)
-
-Объединяющая измеримая цель эпика. Каждый домен двигает её вверх:
-- **% задач без ручного пинка** (сегодня было ~5 вмешательств: апрувы, домерж 063, sync 061).
-- **Ручных вмешательств / неделю** (тренд вниз).
-- **MTBF / MTTR** платформы (D1).
-- **$/задача, токены/задача, время/задача** (D3).
-- **Типов проектов/стеков поддержано** (D4).
-- **Задач параллельно** (D5).
-- **% уроков, ставших задачами** (двигатель).
-
----
-
-## 11. Связь с Backlog (ничего не теряем)
-
-| Backlog | Домен/вертикаль |
-|---------|-----------------|
-| ORCH-8 петля | 🧠 Двигатель (ядро) |
-| ORCH-83 наблюдаемость | Фундамент F1 |
-| ORCH-20/23/38/19 | 💰 D3 |
-| ORCH-27/28 | ✅ D2 |
-| ORCH-12/13/14/15/18/24/25 | 🚀 D4 |
-| ORCH-9/10 | 📈 D5 |
-| ORCH-94 флапп | 🛡️ D1.2 |
-| ORCH-89 авто-лейблы | 🛑 G1 |
-
-~18 backlog-задач ложатся в структуру. Эпик их систематизирует и достраивает.
-
----
-
-## 12. Дорожная карта (предложение)
-
-1. **Фаза 0 (фундамент):** F1 наблюдаемость + F2 журнал. Без них рулить нечем.
-2. **Фаза 1 (две руки параллельно):**
-   - крепнем: D3.4 целевые файлы + D3.2 бюджет-breaker (дешёвый impact)
-   - растём: D4.1 стеки-плагины ИЛИ D4.4 интерактив-аналитик (по спросу)
-3. **Фаза 2:** D1 надёжность (транзиент-резилентность, авто-ремедиация) + D2 качество + D5.1 параллелизм.
-4. **Фаза 3 (мозг):** E2 ретроспективщик + E3 приоритизатор + G1 safety-политика → петля замыкается, дальше платформа предлагает сама.
-
----
-
-## ⛓️ Реализация в Plane (решено 09.06)
-
-**Ось ДОМЕНА → модули Plane** (1 задача = 1 модуль; slug в `external_id`, name с эмодзи для человека):
-
-| Модуль (name) | slug (external_id) | module_id |
-|---|---|---|
-| 👁️ Фундамент | `foundation` | 74dee25a-a44b-4c3b-ab55-1b5638b8cc1f |
-| 🧠 Мозг | `brain` | ab1afa08-14ce-4b7d-8ebc-e45ac19b2ba7 |
-| 🛡️ Надёжность | `reliability` | abd7479e-4f9b-4a56-a926-cb2ece7558ca |
-| ✅ Качество | `quality` | cbf5f8ca-dc1a-4dee-9d35-555459de2b30 |
-| 💰 Экономика | `economy` | 9b4bbab3-95d6-4b8a-8d72-379a618ea2f3 |
-| 🚀 Возможности | `features` | baa6936c-6a39-4935-ad57-31ef5ffc3041 |
-| 📈 Масштаб | `scale` | 18373528-14fa-4627-a0f6-32497ff22177 |
-
-**Ось ВЕРТИКАЛЬ → лейблы** (могут быть несколько, список короткий):
-- `engine` (36f398f7-5a1c-4eeb-847a-56c457e1da6b) — задача пришла от петли/идеатора.
-- `governance` (9eea4dd8-0fe7-473a-8c40-630fc3ab0d25) — требует апрува L3 / safety-внимания.
-- (+ существующие `autoApprove`/`autoDeploy` — ортогональны, режим автономности.)
-
-**Правило раскладки:** каждая задача эпика = 1 модуль-домен (по slug) + 0..N вертикаль-лейблов. Орк ищет/привязывает по `external_id` (не по русскому имени).
-
-⚠️ **Порядок модулей на доске:** Plane API игнорирует `sort_order` на запись (только drag-and-drop в UI). Сейчас порядок перевёрнут (Масштаб сверху) — Славе поправить мышкой (фундамент→мозг→надёжность→качество→экономика→возможности→масштаб). На машинную логику не влияет (орк по slug).
-
----
-
-## 13. Открытые вопросы Славе
-
-1. **Структура Plane:** мега-эпик с фундаментом+5 доменами+2 вертикалями? Или эпик на каждый домен?
-2. **D4 (возможности):** какой стек/фича приоритетны для тебя/заказчиков — Android, UX/UI, тяжёлые расчёты, интерактив-аналитик? С чего рост начинать?
-3. **Баланс «крепнем vs растём»:** идти строго параллельно обеими руками, или в каждой фазе перевес в одну сторону?
-4. **Safety L3:** подтверждаешь — самомодификация ядра/агентов всегда через твой апрув?
-5. **Двигатель (E2/E4):** ретроспективщик + агент-идеатор сразу как агенты, или сначала Стрим ведёт журнал/банк идей вручную?
-8. **Генератор идей (8B):** какие из источников I1-I7 тебе ценнее (гэпы проектов / тренды-технологии / конкуренты / саморефлексия Стрим)? Генерить автономно или только по твоему запросу?
-6. **Бюджет на эпик (G2):** лимит $/мес?
-7. **Первая задача** после апрува: F1 наблюдаемость, быстрая победа D3.4, или сразу рост D4.*?

docs/operations/INFRA.md

@@ -58,47 +58,6 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 - `~/.orchestrator-ssh` → `/home/slin/.ssh` (ro, деплой по ssh; target в HOME агента,
   согласован с `HOME=/home/slin` из launcher — ORCH-040, ранее `/root/.ssh`)
 
-### Disk-watchdog: мониторинг заполнения диска mva154 (ORCH-063)
-07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь конвейер всех проектов**
-(один прод-инстанс `orchestrator` на общей БД/очереди). Чтобы такой инцидент сигнализировался
-**заранее**, работает фоновый daemon-поток `src/disk_watchdog.py` (каркас `reconciler`/`job_reaper`):
-- **Что мониторится:** заполнение **хост-разделов** по смонтированным bind-путям (`/repos` →
-  host `/home/slin/repos`, `/app/data` → host `./data`) через stdlib `shutil.disk_usage` — НЕ
-  overlay `/` контейнера (иначе замер ложно-низкий). Пути с одним физическим устройством (`st_dev`)
-  дедуплицируются → один алерт, не два.
-- **Порог и период:** при заполнении **≥ 85%** (`ORCH_DISK_MONITOR_THRESHOLD_PCT`) шлётся
-  Telegram-алерт оператору; замер — раз в 300с (`ORCH_DISK_MONITOR_INTERVAL_S`). Пока диск выше
-  порога, повтор — не чаще раза в ~6ч (`ORCH_DISK_MONITOR_REALERT_S`, анти-спам). При возврате
-  ниже порога — однократное recovery-сообщение.
-- **Как отключить:** `ORCH_DISK_MONITOR_ENABLED=false` (демон не стартует; `GET /queue` →
-  `disk_monitor.enabled=false`; поведение 1:1 как сейчас). Наблюдаемость — блок `disk_monitor` в
-  `GET /queue` (последний замер: `used_pct`/`free_gb`/`alerting`/`last_alert_at` по каждому пути).
-- **Что делать при алерте:** watchdog **только сигнализирует** — он не трогает диск/контейнер и не
-  рестартит прод (self-hosting безопасность). Освобождение **docker build cache** автоматизировано
-  отдельным демоном (ORCH-062, см. ниже); прочие «пожиратели» — старые worktree-каталоги
-  `/home/slin/repos/_wt/*` завершённых задач, логи, dangling-образы (`docker image prune`) —
-  по-прежнему **ручная** операция оператора (авто-уборка этих категорий — вне объёма ORCH-062/063).
-
-### Build-cache-pruner: авто-prune docker build cache на mva154 (ORCH-062)
-Доминирующий «пожиратель» в инциденте 07.06.2026 — **docker build cache** (≈11 ГБ от частых
-пересборок прод/staging-образов). Чтобы он не мог снова заполнить диск **без оператора**, работает
-фоновый daemon-поток `src/build_cache_pruner.py` (каркас `disk_watchdog`) — «вторая половина»
-watchdog'а: **watchdog сигналит, pruner убирает**.
-- **Что делает:** каждые `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` (дефолт 21600с = 6ч) выполняет
-  **строго `docker builder prune -f --filter until=<until>`** (BuildKit GC; дефолт `until=24h` —
-  удаляется build cache старше суток, тёплый свежий кэш сохраняется). Команда затрагивает **только
-  build cache** — НЕ образы/контейнеры запущенных сервисов; рестарт docker daemon/прода НЕ
-  выполняется (self-hosting безопасность).
-- **Как исполняется:** в контейнере нет `docker` CLI (образ несёт только `openssh-client git`),
-  поэтому уборка идёт **на хосте через ssh** тем же каналом `ORCH_DEPLOY_SSH_USER@_HOST`, что
-  деплой/`image_freshness`. **Пустой `ORCH_DEPLOY_SSH_HOST` → тик no-op** (фича активна только на
-  self-host, где ssh настроен).
-- **Как отключить:** `ORCH_BUILD_CACHE_PRUNE_ENABLED=false` (демон не стартует; поведение 1:1 как
-  до ORCH-062). Наблюдаемость — блок `build_cache_prune` в `GET /queue` (`enabled`/`interval_s`/
-  `until`/`last_run_ts`/`last_reclaimed`/`last_error`); never-raise; in-memory учёт (без миграции).
-- **Ручной fallback** (если ssh-канал недоступен) — host-cron на mva154:
-  `0 */6 * * * docker builder prune -f --filter until=24h` (off-git, процедура Owner).
-
 ## Переменные окружения (карта; значения — в `.env`)
 
 | Переменная | Назначение |
@@ -132,17 +91,6 @@ watchdog'а: **watchdog сигналит, pruner убирает**.
 | `ORCH_RECONCILE_GRACE_DEFAULT_S` | порог «застряла» по `tasks.updated_at`, сек; дефолт `600` |
 | `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | per-stage пороги, напр. `{"development":300}`; невалидный JSON → дефолт |
 | `ORCH_RECONCILE_NOTIFY_UNBLOCK` | слать Telegram при разблокировке застрявшей задачи; дефолт `true` |
-| `ORCH_DISK_MONITOR_ENABLED` | kill-switch disk-watchdog (ORCH-063); дефолт `true`. `false` → демон не стартует, поведение 1:1 как сейчас |
-| `ORCH_DISK_MONITOR_INTERVAL_S` | период heartbeat-замера заполнения диска, сек; дефолт `300` |
-| `ORCH_DISK_MONITOR_THRESHOLD_PCT` | порог заполнения для алерта, %; дефолт `85` (валидация 1..100, иначе → дефолт) |
-| `ORCH_DISK_MONITOR_REALERT_S` | cooldown повторного алерта, пока выше порога, сек; дефолт `21600` (~6 ч) |
-| `ORCH_DISK_MONITOR_PATHS` | CSV отслеживаемых **хост**-bind-путей; пусто → `/repos,/app/data` |
-| `ORCH_BUILD_CACHE_PRUNE_ENABLED` | kill-switch build-cache-pruner (ORCH-062); дефолт `true`. `false` → демон не стартует, поведение 1:1 как до задачи |
-| `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` | период тика авто-prune, сек; дефолт `21600` (~6 ч); валидация >0, иначе → дефолт |
-| `ORCH_BUILD_CACHE_PRUNE_UNTIL` | возраст удержания тёплого кэша (`docker builder prune --filter until=`); дефолт `24h`; валидация `^\d+[smhdw]?$`, иначе → `24h` |
-| `ORCH_BUILD_CACHE_PRUNE_ALL` | добавить `-a` к prune (только в паре с `until`); дефолт `false` |
-| `ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S` | таймаут ssh-команды prune, сек; дефолт `120` |
-| `ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB` | Telegram при освобождении ≥ N ГБ; дефолт `0` (тихо) |
 | `DEPLOY_SSH_USER` / `_HOST` / `DEPLOY_HOOK_SCRIPT` | параметры деплой-хука |
 
 **Секреты — только в `.env` / `.env.staging` на хосте, в гит НЕ коммитятся.** Канон — `.env.example`, `.env.staging.example`.

docs/work-items/ORCH-027/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: Code coverage как гейт (защита от деградации покрытия тестами)
-
-Work Item ID: ORCH-027
-
-## Description
-
-TBD

docs/work-items/ORCH-027/01-brd.md

@@ -1,166 +0,0 @@
----
-work_item: ORCH-027
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-10
-model_used: claude-opus-4-8
----
-
-# 01 — BRD (бизнес-требования): ORCH-027 — Code coverage как гейт (защита от деградации покрытия тестами)
-
-Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
-
-## 1. Бизнес-контекст и проблема
-
-Оркестратор ведёт **автономную** разработку: код пишет агент `developer` без человеческого
-фильтра, а на стадии `testing` агент `tester` сам решает, достаточно ли тестов. Существующие
-тестовые гейты проверяют только **факт прохождения** тестов, а не их **полноту**:
-
-- `check_ci_green` (ребро `development → review`) — зелёный прогон `pytest tests/` в Gitea CI
-  (`.gitea/workflows/ci.yml`), судит по exit-code, покрытие **не меряет**.
-- `check_tests_passed` (ребро `testing → deploy-staging`) — читает machine-verdict
-  `result:`/`verdict:`/`status:` из `13-test-report.md`; это вердикт LLM-`tester`'а, а не
-  измеренная метрика.
-- Merge-gate re-test (ORCH-043) — повторный `pytest` на догнанной ветке, тоже только exit-code.
-
-Ни один гейт не замечает, что фича добавила 300 строк кода и 0 тестов, или что багфикс
-изменил поведение без регрессионного теста. При пакетном автономном прогоне (эпик ORCH-088,
-«10–20 задач за ночь») это означает **монотонную деградацию покрытия**: каждая задача может
-«срезать угол» на тестах, и за десятки задач проект тихо теряет тестируемость. Предложено
-Стрим, одобрено Славой (`00-business-request.md`).
-
-**Задача вводит измеримый гейт покрытия**: покрытие тестами измеряется инструментально и не
-должно опускаться ниже политики (абсолютный порог и/или «не ниже базовой линии»). Это
-структурная защита от деградации, аналогичная по духу security-гейту (ORCH-022) —
-детерминированная метрика вместо доверия суждению агента.
-
-> **Self-hosting.** Гейт работает на инструменте, который в проде обслуживает все проекты из
-> общей БД и очереди (`CLAUDE.md` §self-hosting). Измерение покрытия — это исполнение тест-сьюта
-> в изолированном worktree; оно **не трогает прод-контейнер и не касается `main`**.
-
-## 2. Объём (scope)
-
-### В объёме
-- Инструментальное измерение покрытия тестами для репозитория `orchestrator` (стек Python /
-  pytest) перед слиянием ветки задачи в `main`.
-- Гейт-решение: покрытие **не ниже** заданной политики порога. Политика поддерживает два режима:
-  абсолютный порог (`%`) и «не ниже базовой линии» (no-regression / ratchet), а также их
-  комбинацию.
-- Хранение и обновление **базовой линии** покрытия (last-known покрытие `main`).
-- Наблюдаемость результата: артефакт-отчёт о покрытии с machine-readable вердиктом, строка в
-  `GET /queue`, сигнал в Telegram при провале.
-- Конфигурируемость: kill-switch + per-repo область + настраиваемый порог/политика +
-  поведение при ошибке инструмента (fail-open/closed).
-
-### Вне объёма
-- Реализация измерения покрытия для НЕ-Python стеков (jest / jacoco для будущих репозиториев) —
-  фактическая интеграция инструментов оставлена на будущее; в ORCH-027 закладывается лишь
-  расширяемость (политика и хранилище не должны быть жёстко завязаны на Python).
-- Изменение существующей семантики `check_ci_green` / `check_tests_passed` /
-  `check_reviewer_verdict` для репозиториев, где гейт покрытия выключен.
-- Принудительное доведение покрытия до 100% или установка агрессивного абсолютного порога —
-  стартовая политика консервативна (см. NFR-4).
-- Покрытие самих тестовых файлов и мутационное тестирование.
-- Выбор конкретного инструмента/механизма интеграции и его расположения в конвейере как
-  архитектурного решения — это зона архитектора (`06-adr/`); BRD/ТЗ фиксируют требования и
-  кандидатные точки, выведенные из фактического кода.
-
-## 3. Заинтересованные стороны
-
-- **Заказчик / инициатор:** Стрим (предложение), Слава (одобрение).
-- **Затрагиваются:** конвейер `orchestrator` (self-hosting); агенты `developer`/`tester`
-  (теперь обязаны держать покрытие); проект enduro-trails — **не должен быть затронут** (гейт
-  по умолчанию неактивен вне сконфигурированных репозиториев).
-- **Принимает результат:** reviewer (стадия `review`) + финальная стадия конвейера; владелец
-  (Owner) — по факту работы гейта в проде.
-
-## 4. Бизнес-требования (BR)
-
-- **BR-1 — Измерение покрытия.** Перед слиянием ветки задачи в `main` покрытие тестами
-  репозитория измеряется инструментально (исполнением тест-сьюта под coverage-инструментацией),
-  а не оценивается на глаз. Результат — числовая метрика покрытия (как минимум line coverage).
-- **BR-2 — Гейт деградации.** Если измеренное покрытие нарушает политику (ниже абсолютного
-  порога ИЛИ ниже базовой линии — в зависимости от выбранного режима), конвейер **не
-  пропускает** задачу дальше к деплою и инициирует штатный откат на `development` для доработки
-  тестов.
-- **BR-3 — Базовая линия (ratchet).** Поддерживается режим «не ниже предыдущего»: гейт
-  сравнивает покрытие ветки с зафиксированной базовой линией `main`. Базовая линия **обновляется
-  вверх** при успешном слиянии задачи в `main` (покрытие может только расти или держаться, но
-  не падать).
-- **BR-4 — Конфигурируемость и нулевая регрессия.** Гейт управляется kill-switch'ем и
-  per-repo областью (по образцу `merge_gate`/`security_gate`/`image_freshness`,
-  ORCH-035/043/058). Для репозиториев вне области (в частности enduro-trails) гейт — **полный
-  no-op**, поведение конвейера 1:1 как до задачи. Порог, политика (absolute|baseline|both) и
-  поведение при ошибке инструмента — настраиваемы.
-- **BR-5 — Наблюдаемость.** Результат измерения виден: (а) артефакт-отчёт о покрытии с
-  machine-readable вердиктом в `docs/work-items/<id>/`; (б) read-only блок в `GET /queue`;
-  (в) уведомление в Telegram при провале гейта (кликабельный номер задачи, как у прочих
-  алертов). Сообщение указывает измеренное покрытие, порог/базовую линию и дельту.
-- **BR-6 — Стек-расширяемость.** Логика политики (PASS/FAIL по метрике/базовой линии) и
-  хранилище базовой линии не зависят от конкретного инструмента; добавление измерителя для
-  другого стека (jest/jacoco) в будущем не требует переписывания ядра гейта.
-
-## 5. Нефункциональные требования (NFR)
-
-- **NFR-1 — never-raise / fail-safe.** Ядро гейта — изолированный leaf-модуль (по образцу
-  `src/security_gate.py`, `src/serial_gate.py`, `src/labels.py`): любая внутренняя ошибка
-  обрабатывается, исключение **никогда** не всплывает в `advance_stage` и не роняет конвейер
-  всех проектов.
-- **NFR-2 — Поведение при недоступности/ошибке инструмента.** По умолчанию ошибка измерения
-  (coverage-инструмент упал/недоступен) → **fail-open + громкий warning** (анти-петля,
-  прецедент ORCH-061/ORCH-022 dep-audit), переключаемое в fail-closed флагом. Дефолт не должен
-  заклинивать автономный конвейер из-за инфраструктурного сбоя.
-- **NFR-3 — Self-hosting безопасность.** Гейт только исполняет тесты в изолированном worktree,
-  читает метрику, пишет отчёт и принимает решение. Он **никогда** не вызывает деплой-хук, не
-  перезапускает прод-контейнер, не пушит/форс-пушит в `main`.
-- **NFR-4 — Консервативный старт (анти-флап).** Стартовая политика не должна массово заворачивать
-  существующие задачи: базовая линия инициализируется фактическим покрытием `main`, абсолютный
-  порог — как мягкий backstop. Допускается малый отрицательный допуск (epsilon) на шум измерения,
-  чтобы дрожание ±доли процента не заворачивало задачу.
-- **NFR-5 — Совместимость.** `STAGE_TRANSITIONS`, состав/семантика `QG_CHECKS` и `check_*`,
-  machine-verdict ключи существующих доков (`verdict:`/`result:`/`deploy_status:`/
-  `staging_status:`/`security_status:`) — не меняются. Любая новая БД-сущность — аддитивна
-  (без миграции существующих таблиц). Restart-safe.
-- **NFR-6 — Детерминизм.** Решение гейта — чистая функция от (измеренное покрытие, базовая
-  линия, порог, политика); без участия LLM в критическом пути (как security/merge/image-freshness
-  под-гейты).
-
-## 6. Допущения и ограничения
-
-- Тест-сьют `orchestrator` запускается командой `python -m pytest tests/` из корня репозитория
-  (подтверждено `.gitea/workflows/ci.yml`, `pytest.ini` `testpaths = tests`); измерение покрытия
-  накладывается на этот же прогон.
-- Coverage-инструмент для Python (`coverage.py` / `pytest-cov`) добавляется как pip-зависимость;
-  он не требует сети во время измерения.
-- Репозиторий `orchestrator` — единственный self-hosting (предикат `is_self_hosting_repo`);
-  стартовая область гейта — он. enduro-trails и прочие репозитории по умолчанию вне области.
-- Базовая линия привязана к покрытию `main`; её первичная инициализация выполняется один раз
-  (bootstrap) фактическим замером текущего `main`.
-- Тесты исполняются в per-branch worktree (`ensure_worktree`), что безопасно при параллельных
-  активных задачах (прецедент `check_tests_local`/merge-gate re-test).
-
-## 7. Критерии успеха
-
-- Покрытие тестами `orchestrator` измеряется на каждой задаче и не может опуститься ниже
-  политики, не заблокировав продвижение к деплою.
-- При выключенном флаге / вне области — конвейер ведёт себя 1:1 как до ORCH-027 (нулевая
-  регрессия для enduro-trails).
-- Сбой coverage-инструмента не заклинивает автономный конвейер (дефолт fail-open + warning).
-- Результат измерения прозрачен (отчёт + `GET /queue` + Telegram при провале).
-
-Детальные PASS/FAIL — `03-acceptance-criteria.md`.
-
-## 8. Риски
-
-- **Флап на шуме измерения** — недетерминированное покрытие (например, зависящее от порядка/
-  окружения) может дрожать у границы → ложные заворота. Митигировать epsilon-допуском (NFR-4).
-- **Петля заворотов** — слишком высокий абсолютный порог завернёт многие задачи в бесконечный
-  rework. Митигировать консервативной стартовой политикой и baseline-режимом.
-- **Гонка базовой линии** при параллельных слияниях — два слияния в `main` могут конкурентно
-  обновлять baseline. Требуется атомарное/сериализованное обновление (опереться на окно
-  сериализации merge-lease, ORCH-043).
-- **Инфраструктурная хрупкость** — coverage-инструмент недоступен/несовместим с версией pytest →
-  закрыто требованием NFR-2 (fail-open + warning).
-
-Детальная техническая проработка рисков — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-027/02-trz.md

@@ -1,156 +0,0 @@
----
-work_item: ORCH-027
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-10
-model_used: claude-opus-4-8
----
-
-# 02 — ТЗ (TRZ): ORCH-027 — Code coverage как гейт
-
-Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
-
-> ТЗ описывает **конкретные требования к реализации**, выведенные из BRD и фактического кода.
-> Архитектурное обоснование и выбор механизма (где именно врезать гейт, как хранить базовую
-> линию, какой инструмент) — задача архитектора (`06-adr/`). Ниже зафиксированы требования и
-> **кандидатные** точки интеграции, грунтованные реальным кодом; финальное решение по каждой
-> отмеченной точке принимает архитектор.
-
-## 1. Сводка изменения
-
-Вводится **детерминированный гейт покрытия тестами** для репозитория `orchestrator`. Гейт
-измеряет покрытие исполнением тест-сьюта под coverage-инструментацией, сравнивает с политикой
-(абсолютный порог и/или базовая линия `main`) и блокирует продвижение задачи к деплою при
-деградации, инициируя штатный откат на `development`. Ядро — изолированный leaf-модуль с чистой
-логикой решения (по образцу `security_gate`/`serial_gate`), управляемый kill-switch'ем и per-repo
-областью; вне области — полный no-op. Базовая линия покрытия `main` хранится персистентно и
-обновляется вверх при слиянии (ratchet).
-
-## 2. Задействованные модули / пути
-
-| Путь | Действие | Назначение |
-|------|----------|-----------|
-| `requirements.txt` | изменить | добавить coverage-зависимость Python (`coverage.py` / `pytest-cov`; точный выбор — архитектор) |
-| `src/coverage_gate.py` | создать | **NEW leaf-модуль**: измерение покрытия (run suite под coverage в `ensure_worktree`), чистые функции `compute_coverage_verdict(measured, baseline, floor, policy, epsilon)` и классификация, чтение/запись отчёта; never-raise; импортирует только `config`/`git_worktree` (+ лениво `qg.checks.is_self_hosting_repo`/`notifications`) |
-| `src/config.py` | изменить | добавить флаги гейта (см. §6 ниже / раздел совместимости) |
-| `src/qg/checks.py` | изменить | зарегистрировать механизм проверки покрытия (новый `check_*` ЛИБО делегирование из под-гейта); **семантика существующих `check_*` не меняется** |
-| `src/stage_engine.py` | изменить *(кандидат)* | врезка под-гейта в `advance_stage` по образцу `_handle_security_gate`/`_handle_merge_gate` — если выбран механизм «edge sub-gate» (см. §3 FR-3) |
-| `src/db.py` | изменить *(кандидат)* | аддитивная таблица базовой линии покрытия (`coverage_baseline` per-repo), если базовая линия хранится в БД, а не в файле; `_ensure_column`/`CREATE TABLE IF NOT EXISTS` — без миграции существующих |
-| `.gitea/workflows/ci.yml` | изменить *(кандидат)* | если измерение делается в CI-шаге — добавить `--cov`/порог в прогон pytest; **точка измерения — решение архитектора** |
-| `src/main.py` | изменить | read-only блок `coverage` в `GET /queue` (наблюдаемость) |
-| `docs/work-items/<id>/<NN>-coverage-report.md` | создать (артефакт run-time) | отчёт о покрытии с machine-readable вердиктом (см. §4/§6); номер/имя и регистрация в `docs/_standards/PIPELINE_DOCS.md` + скелет в `docs/_templates/` — оформляет архитектор |
-| `tests/test_coverage_gate.py` | создать | unit/integration по `04-test-plan.yaml` |
-
-## 3. Функциональные требования
-
-### FR-1 — Измерение покрытия (привязка BR-1)
-Гейт исполняет тест-сьют `orchestrator` (`python -m pytest tests/`, см. `.gitea/workflows/ci.yml`)
-под coverage-инструментацией в изолированном per-branch worktree (`ensure_worktree`, прецедент
-`check_tests_local`) и извлекает числовую метрику покрытия (как минимум суммарный line coverage,
-`%`). Тайм-аут на прогон ограничен (по образцу `merge_retest_timeout_s` / `security_scan_timeout_s`).
-
-### FR-2 — Решение гейта (привязка BR-2, BR-3)
-Чистая функция `compute_coverage_verdict(measured, baseline, floor, policy, epsilon) -> (ok, reason)`:
-- `policy = absolute` → PASS ⇔ `measured >= floor - epsilon`.
-- `policy = baseline` → PASS ⇔ `measured >= baseline - epsilon`.
-- `policy = both` (дефолт) → PASS ⇔ выполнены оба условия.
-- FAIL → гейт инициирует штатный откат на `development` для доработки тестов (по образцу
-  `_handle_security_gate` / merge-gate rollback), с инкрементом счётчика developer-retry.
-- `epsilon` — малый неотрицательный допуск на шум измерения (NFR-4), настраиваемый.
-
-### FR-3 — Точка в конвейере (привязка BR-2; **кандидат, решает архитектор**)
-Бизнес-запрос указывает «на testing-гейте». Грунтованные кодом кандидаты (выбрать один):
-- **(a) Edge sub-gate** в `advance_stage` на ребре `deploy-staging → deploy` (рядом с
-  `_handle_security_gate`/`_handle_merge_gate`/`_handle_image_freshness`) — даёт гарантию «гейт
-  ДО слияния в `main`», детерминирован, владеет исходом на вмешательстве. Предпочтительно для
-  соответствия NFR-3/NFR-6.
-- **(b) Под-гейт/расширение на ребре `testing → deploy-staging`** (рядом с `check_tests_passed`).
-- **(c) CI-шаг** в `.gitea/workflows/ci.yml` (ребро `development → review`, читается
-  `check_ci_green`) — порог проверяется самим pytest-прогоном.
-Требование, инвариантное к выбору: гейт обязан отработать **до фактического merge в `main`** и не
-пропускать деградацию в `main`.
-
-### FR-4 — Базовая линия и её обновление (привязка BR-3)
-- Персистентное per-repo хранилище базовой линии покрытия `main` (БД-таблица ИЛИ файл в репо —
-  решает архитектор; при БД — аддитивная таблица, NFR-5).
-- Bootstrap: первичная инициализация фактическим замером текущего `main`.
-- Ratchet-up: при успешном слиянии задачи в `main` базовая линия обновляется значением
-  смёрженного покрытия, **только если оно ≥ текущей** (покрытие не откатывается вниз). Обновление
-  должно быть атомарным/сериализованным относительно параллельных слияний (опереться на окно
-  merge-lease, ORCH-043).
-
-### FR-5 — Условность и kill-switch (привязка BR-4)
-- `coverage_gate_enabled=False` → гейт инертен, конвейер 1:1 как до ORCH-027.
-- `coverage_gate_repos` (CSV) — область применения; **пусто → только self-hosting**
-  (`is_self_hosting_repo`, по образцу `merge_gate`/`security_gate`/`image_freshness`).
-- Вне области → no-op `(True, "Coverage gate N/A")` (прецедент `check_staging_status` для
-  не-self-hosting, ORCH-035).
-- `applies(repo)` (локальная проверка) выполняется ПЕРВОЙ; дорогой прогон измерения — только при
-  `applies==True`.
-
-### FR-6 — Поведение при ошибке инструмента (привязка NFR-2)
-Ошибка/недоступность coverage-инструмента или невозможность распарсить метрику → по умолчанию
-**fail-open + WARNING** (`coverage_tool_fail_closed=False`, прецедент `security_dep_audit_fail_closed`);
-флаг переключает в fail-closed. Поведение логируется явной observability-строкой.
-
-### FR-7 — Наблюдаемость (привязка BR-5)
-- Артефакт-отчёт `<NN>-coverage-report.md` с machine-readable вердиктом (см. §4).
-- Read-only блок `coverage` в `GET /queue` (per-repo: `enabled`/`policy`/`floor`/`baseline`/
-  последнее измеренное/вердикт).
-- При FAIL — `send_telegram` (notifying) с кликабельным номером задачи (`plane_issue_link`),
-  измеренным покрытием, порогом/базовой линией и дельтой.
-
-## 4. Изменения API
-
-- **`GET /queue`** — добавить read-only блок `coverage` (наблюдаемость; форма прочих блоков
-  `serial_gate`/`security`/`merge`). Без изменения существующих полей ответа.
-- **Опционально (решает архитектор):** ручной эндпоинт сброса/override базовой линии
-  (`POST /coverage/baseline?repo=…`) — по образцу `POST /serial-gate/unfreeze`, на случай
-  легитимного разового снижения покрытия. Если не вводится — override выполняется через конфиг.
-- Существующие webhook-роуты (`/webhook/plane`, `/webhook/gitea`) — без изменений.
-
-## 5. Изменения схемы БД
-
-Зависит от выбора хранилища базовой линии (FR-4):
-- **Если БД:** аддитивная таблица `coverage_baseline(repo TEXT PRIMARY KEY, coverage REAL,
-  updated_at, source_sha TEXT)` через `CREATE TABLE IF NOT EXISTS` (паттерн `repo_freeze`/
-  `job_deps`). Существующие таблицы — **не мигрируются** (NFR-5).
-- **Если файл в репо:** изменений схемы БД нет (базовая линия — версионируемый файл вроде
-  `.coverage-baseline.json`, читаемый/обновляемый под merge-lease).
-
-Выбор — архитектор; ТЗ требует лишь: персистентность, restart-safe, аддитивность, атомарность
-обновления.
-
-## 6. Требования к новым/изменённым QG checks
-
-- **Новый машинный вердикт покрытия.** Если гейт реализован как edge sub-gate (FR-3a/b), он
-  **сам вычисляет** вердикт (как `check_security_gate`) и пишет отчёт `<NN>-coverage-report.md`
-  с frontmatter-ключом `coverage_status:` (`PASS` | `FAIL`), читаемым обратно из того же файла
-  (single source of truth, по образцу `security_status:` в `17-security-report.md`). Имя ключа
-  фиксируется и регистр чувствителен.
-- **Реестр `QG_CHECKS`.** Допустимо добавить `check_coverage_gate` в реестр (если механизм —
-  зарегистрированный QG) ЛИБО оставить его врезкой-под-гейтом (как security/merge/image-freshness,
-  которые в `QG_CHECKS` присутствуют, но исполняются как врезки). **Семантика и состав
-  существующих `check_*` — без изменений** (NFR-5).
-- **Парсинг frontmatter** вердикта — через единый контракт `src/frontmatter.py`
-  (`parse_frontmatter`/`read_frontmatter_value`), как все вердикт-парсеры (ORCH-052c). Если
-  отчёт несёт обязательную 6-польную схему 52c — добавить её аддитивно, не трогая `coverage_status:`.
-
-## 7. Совместимость / регресс
-
-- **Обратная совместимость:** при `coverage_gate_enabled=False` или для репозитория вне
-  `coverage_gate_repos` — поведение конвейера байт-в-байт прежнее; enduro-trails не затронут.
-- **Kill-switch + поэтапный раскат:** `coverage_gate_enabled` (глобальный), `coverage_gate_repos`
-  (область). Старт — только `orchestrator`.
-- **Конфиг-флаги (итог §3/§6):** `coverage_gate_enabled` (bool), `coverage_gate_repos` (CSV),
-  `coverage_min_percent` (float, абсолютный порог), `coverage_policy` (`absolute|baseline|both`,
-  дефолт `both`), `coverage_epsilon` (float, допуск шума), `coverage_tool_fail_closed` (bool,
-  дефолт `False`), `coverage_run_timeout_s` (int). Имена env — `ORCH_COVERAGE_*`.
-- **never-raise / fail-open в hot-path:** ядро не роняет `advance_stage`; ошибка инструмента →
-  fail-open + warning по умолчанию (NFR-2). Прод-контейнер/`main`/force-push — не трогаются (NFR-3).
-- **Restart-safe:** базовая линия персистентна; in-flight измерение при рестарте переигрывается
-  штатным механизмом стадии (idempotent).
-- **Документация (golden source):** при выборе механизма архитектор регистрирует артефакт
-  `<NN>-coverage-report.md` и его machine-key в `docs/_standards/PIPELINE_DOCS.md` +
-  `docs/_templates/`, и обновляет `docs/architecture/README.md` и `CHANGELOG.md` в том же PR.

docs/work-items/ORCH-027/03-acceptance-criteria.md

@@ -1,138 +0,0 @@
----
-work_item: ORCH-027
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-10
-model_used: claude-opus-4-8
----
-
-# 03 — Критерии приёмки (Acceptance Criteria): ORCH-027 — Code coverage как гейт
-
-Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: analysis
-
-Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
-(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам
-репозитория.
-
----
-
-## AC-1 — Покрытие измеряется инструментально
-
-**Условие:** на применимом репозитории конвейер измеряет покрытие тестами исполнением сьюта под
-coverage-инструментацией перед слиянием в `main`.
-- **PASS:** в коде есть путь, который запускает `pytest` под coverage в изолированном worktree и
-  извлекает числовую метрику line coverage (`%`); coverage-зависимость добавлена в `requirements.txt`.
-- **FAIL:** покрытие не измеряется инструментально, метрика берётся из прозы/вердикта LLM, либо
-  зависимость не объявлена.
-
----
-
-## AC-2 — Гейт блокирует деградацию
-
-**Условие:** покрытие ниже политики не пропускается дальше к деплою.
-- **PASS:** при измеренном покрытии ниже порога/базовой линии (с учётом epsilon) гейт даёт FAIL и
-  инициирует штатный откат на `development` (инкремент developer-retry), задача не достигает `done`.
-- **FAIL:** задача с упавшим покрытием проходит гейт и продвигается к деплою/`done`.
-
----
-
-## AC-3 — Чистая функция решения
-
-**Условие:** вердикт — детерминированная чистая функция от (measured, baseline, floor, policy, epsilon).
-- **PASS:** `compute_coverage_verdict(...)` покрыта unit-тестами для всех режимов
-  (`absolute`/`baseline`/`both`), границ (равно порогу), epsilon-допуска; без участия LLM.
-- **FAIL:** решение принимает LLM, либо логика недетерминирована/не покрыта тестами границ.
-
----
-
-## AC-4 — Режим базовой линии (ratchet)
-
-**Условие:** поддержан режим «не ниже предыдущего» с обновлением базовой линии вверх при слиянии.
-- **PASS:** базовая линия персистентна per-repo; при слиянии обновляется значением смёрженного
-  покрытия только если оно ≥ текущей; bootstrap инициализирует её фактическим покрытием `main`;
-  обновление атомарно/сериализовано относительно параллельных слияний.
-- **FAIL:** базовая линия не хранится / откатывается вниз / обновляется неатомарно (гонка двух
-  слияний теряет/занижает значение).
-
----
-
-## AC-5 — Условность и нулевая регрессия
-
-**Условие:** вне области / при выключенном флаге — поведение конвейера 1:1 как до ORCH-027.
-- **PASS:** при `coverage_gate_enabled=False` или repo ∉ `coverage_gate_repos` гейт — no-op
-  (`(True, "...N/A")`); существующая тестовая база (`pytest tests/`) зелёная; enduro-trails не
-  затронут; `applies(repo)` проверяется до дорогого прогона.
-- **FAIL:** гейт срабатывает вне области, либо выключенный флаг меняет поведение, либо есть
-  регресс существующих тестов.
-
----
-
-## AC-6 — Fail-open по умолчанию при ошибке инструмента
-
-**Условие:** сбой/недоступность coverage-инструмента не заклинивает автономный конвейер.
-- **PASS:** при ошибке измерения и `coverage_tool_fail_closed=False` гейт даёт PASS + WARNING-лог
-  (observability-строка); флаг `=True` переключает в fail-closed (FAIL). Поведение покрыто тестом.
-- **FAIL:** ошибка инструмента по умолчанию заворачивает задачу (петля rework) либо роняет
-  `advance_stage`.
-
----
-
-## AC-7 — never-raise / self-hosting безопасность
-
-**Условие:** ядро гейта не роняет конвейер и не трогает прод/`main`.
-- **PASS:** `src/coverage_gate.py` — leaf (не импортирует `stage_engine`); любое исключение
-  перехвачено и не всплывает в `advance_stage`; код не вызывает деплой-хук, не перезапускает
-  прод-контейнер, не пушит/форс-пушит в `main`/`master`.
-- **FAIL:** исключение из гейта всплывает в `advance_stage`; гейт трогает прод-контейнер или `main`.
-
----
-
-## AC-8 — Совместимость контрактов
-
-**Условие:** существующие машинные контракты не изменены.
-- **PASS:** `STAGE_TRANSITIONS`, семантика существующих `check_*`, machine-verdict ключи
-  (`verdict:`/`result:`/`deploy_status:`/`staging_status:`/`security_status:`) — байт-в-байт
-  прежние; любая новая БД-сущность аддитивна (без миграции существующих таблиц).
-- **FAIL:** изменена семантика/имя существующего гейта или вердикт-ключа; миграция ломает
-  существующую схему.
-
----
-
-## AC-9 — Машинный вердикт покрытия и наблюдаемость
-
-**Условие:** результат измерения прозрачен и машинно читаем.
-- **PASS:** при FAIL — Telegram-алерт с кликабельным номером задачи, измеренным покрытием,
-  порогом/базовой линией и дельтой; `GET /queue` несёт read-only блок `coverage`; артефакт-отчёт
-  с machine-readable вердиктом (`coverage_status: PASS|FAIL`) записан и читается обратно из того
-  же файла через `src/frontmatter.py`.
-- **FAIL:** результат не виден в `GET /queue`/Telegram, либо вердикт парсится из прозы, а не из
-  frontmatter, либо имя ключа не зафиксировано (регистр).
-
----
-
-## AC-10 — Документация обновлена (golden source)
-
-**Условие:** документация синхронизирована с изменением в том же PR.
-- **PASS:** если введён артефакт-отчёт — он зарегистрирован в `docs/_standards/PIPELINE_DOCS.md`
-  и `docs/_templates/`; обновлены `docs/architecture/README.md` (описание гейта/флагов) и
-  `CHANGELOG.md`; новые/изменённые инварианты несут маркер `ORCH-027`.
-- **FAIL:** функционал введён без обновления обзорной/стандартной документации (reviewer →
-  REQUEST_CHANGES, ORCH-079).
-
----
-
-## Сводная матрица AC ↔ FR/BR
-
-| AC | Покрывает |
-|----|-----------|
-| AC-1 | BR-1 / FR-1 |
-| AC-2 | BR-2 / FR-2, FR-3 |
-| AC-3 | BR-2 / FR-2 / NFR-6 |
-| AC-4 | BR-3 / FR-4 |
-| AC-5 | BR-4 / FR-5 / NFR-5 |
-| AC-6 | NFR-2 / FR-6 |
-| AC-7 | NFR-1 / NFR-3 |
-| AC-8 | NFR-5 / FR-6 (§6 ТЗ) |
-| AC-9 | BR-5 / FR-7 / §6 ТЗ |
-| AC-10 | Правила агентов §2/§6 (CLAUDE.md) |

docs/work-items/ORCH-027/04-test-plan.yaml

@@ -1,110 +0,0 @@
-work_item: ORCH-027
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-10
-model_used: claude-opus-4-8
-title: "Code coverage gate — защита от деградации покрытия тестами"
-framework: pytest
-scope: >
-  Покрываются: чистая логика вердикта покрытия (режимы absolute/baseline/both, границы,
-  epsilon), ratchet-обновление базовой линии, условность (kill-switch + per-repo область),
-  fail-open/fail-closed при ошибке инструмента, never-raise, наблюдаемость (GET /queue,
-  Telegram при FAIL), интеграция гейта в advance_stage / точку конвейера. Вне покрытия:
-  фактические измерители не-Python стеков (jest/jacoco), мутационное тестирование.
-notes: >
-  Тесты не должны исполнять реальный прод-деплой и не трогают prod-контейнер/main.
-  Измерение покрытия в тестах мокается/стабится (фиктивная метрика), реальный pytest-прогон
-  под coverage проверяется отдельным интеграционным тестом на минимальном фикстур-репо/worktree.
-  Полный регресс tests/ должен оставаться зелёным (нулевая регрессия для enduro-trails).
-
-tests:
-  - id: TC-01
-    type: unit
-    description: "compute_coverage_verdict, policy=absolute: measured>=floor → PASS; measured<floor-epsilon → FAIL; ровно на пороге → PASS"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "compute_coverage_verdict, policy=baseline: measured>=baseline → PASS; ниже baseline-epsilon → FAIL (no-regression / ratchet)"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "compute_coverage_verdict, policy=both: PASS только при выполнении обоих условий; нарушение любого → FAIL"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "epsilon-допуск: дрожание покрытия в пределах epsilon у границы не заворачивает задачу (анти-флап, NFR-4)"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "Ratchet базовой линии: при слиянии baseline растёт до смёрженного покрытия только если >= текущей; меньшее значение не понижает baseline"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-06
-    type: unit
-    description: "Bootstrap базовой линии: первичная инициализация фактическим покрытием main при отсутствии сохранённого значения"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-07
-    type: unit
-    description: "Условность applies(repo): пустой coverage_gate_repos → только self-hosting (is_self_hosting_repo); repo вне области → no-op (True, 'N/A'), дорогой прогон не запускается"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "Kill-switch coverage_gate_enabled=False → гейт инертен, advance_stage ведёт себя 1:1 как до ORCH-027"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-09
-    type: unit
-    description: "Fail-open по умолчанию: ошибка/недоступность coverage-инструмента и coverage_tool_fail_closed=False → PASS + WARNING-лог; флаг True → FAIL (fail-closed)"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-10
-    type: unit
-    description: "never-raise: внутреннее исключение (битый вывод coverage, отсутствие worktree) перехватывается, не всплывает в advance_stage"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-11
-    type: unit
-    description: "Запись/чтение отчёта: write_coverage_report пишет coverage_status: PASS|FAIL во frontmatter; parse читает обратно из того же файла через src/frontmatter.py (single source of truth)"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-12
-    type: unit
-    description: "Self-hosting безопасность: гейт не вызывает деплой-хук, не перезапускает прод-контейнер, не пушит/форс-пушит в main/master"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-13
-    type: integration
-    description: "Гейт в конвейере: при measured ниже политики advance_stage не продвигает к деплою и инициирует откат на development (инкремент developer-retry); при PASS — продвигает штатно"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-14
-    type: integration
-    description: "Реальное измерение: pytest под coverage в ensure_worktree на минимальном фикстур-репо возвращает корректную метрику line coverage и тайм-аутится по coverage_run_timeout_s"
-    module: tests/test_coverage_gate.py
-    expected: PASS
-
-  - id: TC-15
-    type: integration
-    description: "Наблюдаемость: FAIL даёт Telegram-алерт с кликабельным номером (измеренное/порог/дельта); GET /queue несёт read-only блок coverage; совместимость — STAGE_TRANSITIONS/QG_CHECKS/существующие вердикт-ключи не изменены"
-    module: tests/test_coverage_gate.py
-    expected: PASS

docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md

@@ -1,266 +0,0 @@
----
-work_item: ORCH-027
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-10
-model_used: claude-opus-4-8
----
-
-# ADR-001: Гейт покрытия тестами — edge sub-gate с ratchet-базовой линией
-
-Work Item: **ORCH-027** — детерминированный гейт покрытия тестами, блокирующий деградацию
-покрытия перед слиянием ветки задачи в `main`.
-Стадия: **architecture**
-Сквозная регистрация: **`docs/architecture/adr/adr-0029-coverage-gate.md`** (решение
-кросс-каттинговое — вводит новый QG `check_coverage_gate`, новый edge-под-гейт ребра
-`deploy-staging→deploy`, новую аддитивную БД-таблицу `coverage_baseline` и новый артефакт
-`18-coverage-report.md`).
-
-## Статус
-Proposed
-
----
-
-## Контекст
-
-Оркестратор ведёт **автономную** разработку: код пишет агент `developer` без человека-фильтра,
-а на стадии `testing` агент `tester` сам решает, достаточно ли тестов. Существующие тестовые
-гейты судят только по **факту прохождения**, не по **полноте** (сверено по коду):
-
-- `check_ci_green` (`development → review`) — exit-code `pytest tests/` в Gitea CI
-  (`.gitea/workflows/ci.yml`); покрытие не меряется.
-- `check_tests_passed` (`testing → deploy-staging`, `qg/checks.py::_parse_tests_verdict`) —
-  читает machine-verdict LLM-`tester`'а из `13-test-report.md`, а не измеренную метрику.
-- Merge-gate re-test (ORCH-043, `src/merge_gate.py`) — повторный `pytest` на догнанной ветке,
-  снова только exit-code.
-
-Ни один гейт не замечает «300 строк кода, 0 тестов» или багфикс без регрессионного теста. При
-пакетном автономном прогоне (ORCH-088, «10–20 задач за ночь») это означает **монотонную
-деградацию покрытия**: каждая задача срезает угол на тестах, и за десятки задач проект тихо
-теряет тестируемость. Нужна детерминированная метрика вместо доверия суждению агента — по духу
-аналогично security-гейту (ORCH-022, adr-0012).
-
-Требования (`01-brd.md`/`02-trz.md`/`03-acceptance-criteria.md`): измерять покрытие
-инструментально перед merge в `main` (BR-1/FR-1); блокировать деградацию относительно
-абсолютного порога и/или базовой линии (BR-2/BR-3/FR-2); хранить и наращивать базовую линию
-(ratchet, FR-4); kill-switch + per-repo область, нулевая регрессия для enduro-trails
-(BR-4/FR-5); fail-open по умолчанию при сбое инструмента (NFR-2/FR-6); never-raise и
-self-hosting-безопасность (NFR-1/NFR-3); неизменность существующих контрактов (NFR-5).
-
-## Решение
-
-### Сводка
-
-Вводим **детерминированный (без LLM) гейт покрытия** как **под-гейт ребра
-`deploy-staging → deploy`** — рядом с security-gate (ORCH-022), merge-gate (ORCH-043) и
-image-freshness (ORCH-058), исполняемый **ПОСЛЕ merge-gate и ДО image-freshness**.
-`STAGE_TRANSITIONS` не меняется; в `QG_CHECKS` добавляется `check_coverage_gate`. Паттерн —
-1:1 как у соседних под-гейтов: leaf-модуль `src/coverage_gate.py` (never-raise) + тонкая
-обёртка в `QG_CHECKS` + врезка `_handle_coverage_gate` в `advance_stage`. Базовая линия `main`
-хранится в **аддитивной БД-таблице** `coverage_baseline` и наращивается **вверх** (ratchet) в
-choke-point подтверждённого merge `_handle_merge_verify` (ребро `deploy → done`). Вердикт
-пишется в артефакт `18-coverage-report.md` (frontmatter-ключ `coverage_status:`) и читается
-обратно из того же файла (single source of truth, как `security_status:`).
-
-### D1 — Точка в конвейере: edge sub-gate `deploy-staging → deploy`, ПОСЛЕ merge-gate (FR-3a)
-
-Из трёх кандидатов TRZ FR-3 выбран **(a) edge sub-gate** на ребре `deploy-staging → deploy`
-(`advance_stage`, `src/stage_engine.py`, блок `current_stage == "deploy-staging"`). Это даёт
-структурную гарантию «гейт ДО merge в `main`» (merge выполняется детерминированным merge-актором
-в `_handle_merge_verify` на ребре `deploy → done`), детерминизм и владение исходом на
-вмешательстве — полное соответствие NFR-3/NFR-6.
-
-**Порядок среди под-гейтов: security → merge → `coverage` → image-freshness.** Обоснование:
-
-- **ПОСЛЕ merge-gate (а не первым, как security).** Merge-gate выполняет догон ветки на свежий
-  `origin/main` (`auto_rebase_onto_main` под merge-lease, ORCH-043/026). Покрытие имеет смысл
-  мерить на **догнанном** HEAD — это ровно тот код, что landed в `main`; измерение до rebase
-  показало бы покрытие устаревшей базы. Поэтому coverage **обязан** идти после merge-gate
-  (в отличие от security, который специально фейлит дёшево ДО rebase).
-- **ДО image-freshness.** Прогон pytest под coverage дорог, но дешевле полного docker-rebuild
-  staging-образа. Фейлить покрытие до rebuild — экономия (паттерн «fail before expensive
-  rebuild», 07-infra security-гейта).
-- **Merge-lease held на этой точке.** Merge-gate уже захватил merge-lease (ORCH-043). Значит
-  **FAIL coverage обязан освободить merge-lease** при откате — как делает image-freshness
-  rollback (`merge_gate.release_merge_lease`, `stage_engine.py:1165`), и **в отличие** от
-  security-gate rollback (тот идёт ДО захвата lease и lease не трогает). Это явный инвариант
-  реализации (TR-2).
-
-Привязка: BR-2/FR-3/AC-2; NFR-3/AC-7.
-
-### D2 — Измеритель: `pytest-cov` (`coverage.py`), `--cov=src` (FR-1, BR-6)
-
-В `requirements.txt` добавляется **`pytest-cov`** (плагин-обёртка над `coverage.py`). Измерение —
-прогон `python -m pytest tests/ --cov=src --cov-report=json:<tmp>/coverage.json
---cov-report=` в изолированном per-branch worktree (`ensure_worktree`, прецедент
-`check_tests_local`/merge-gate re-test). Числовая метрика — `totals.percent_covered` из JSON
-(line coverage, `%`). Скоуп измерения — **`src/`** (не `tests/`: покрытие самих тестов вне
-объёма, BRD §«Вне объёма»). Сеть при измерении не нужна. Тайм-аут — `coverage_run_timeout_s`
-(по образцу `merge_retest_timeout_s`/`security_scan_timeout_s`).
-
-**Стек-расширяемость (BR-6/AC-… BR-6):** измеритель инкапсулирован за функцией
-`measure_coverage(repo, branch) -> float | None`; чистая логика решения
-`compute_coverage_verdict(...)` и хранилище базовой линии **не зависят** от Python/pytest.
-Добавление jest/jacoco-измерителя для будущего стека — новая ветка `measure_*`, без переписывания
-ядра. Фактическая интеграция не-Python стеков — вне объёма ORCH-027.
-
-### D3 — Чистая функция решения (FR-2, NFR-6, BR-2/BR-3)
-
-`compute_coverage_verdict(measured, baseline, floor, policy, epsilon) -> (ok: bool, reason: str)` —
-детерминированная чистая функция (без LLM, без I/O):
-
-- `policy = "absolute"` → PASS ⇔ `measured >= floor - epsilon`.
-- `policy = "baseline"` → PASS ⇔ `measured >= baseline - epsilon`.
-- `policy = "both"` (дефолт) → PASS ⇔ выполнены **оба** условия.
-- `baseline is None` (нет сохранённой базовой линии) → baseline-условие **не применяется**
-  (bootstrap: нельзя регрессировать против пустоты) → решает только absolute-часть; измеренное
-  значение засеет базовую линию при merge (D5).
-- `epsilon` — малый неотрицательный допуск на шум измерения (NFR-4/AC-4): дрожание ±доли
-  процента у границы не заворачивает задачу.
-
-FAIL → штатный откат на `development` + инкремент общего `_developer_retry_count` (cap
-`MAX_DEVELOPER_RETRIES`, затем `set_issue_blocked` + Telegram) — точно как security/merge-gate
-rollback. Дословный reason (измеренное/порог/базовая линия/дельта) встраивается в `task_desc`
-developer'а (паттерн ORCH-046). Привязка: AC-2/AC-3.
-
-### D4 — Хранилище базовой линии: аддитивная БД-таблица `coverage_baseline` (FR-4, NFR-5)
-
-Базовая линия `main` хранится в **БД**, не в файле репозитория:
-
-```sql
-CREATE TABLE IF NOT EXISTS coverage_baseline (
-    repo        TEXT PRIMARY KEY,
-    coverage    REAL NOT NULL,
-    source_sha  TEXT,
-    updated_at  TEXT NOT NULL
-);
-```
-
-(паттерн `repo_freeze`/`job_deps` — `CREATE TABLE IF NOT EXISTS`, существующие таблицы не
-мигрируются, NFR-5/AC-8; детали — `08-data-requirements.md`). **Почему БД, а не файл в репо**
-(`.coverage-baseline.json`): файл пришлось бы коммитить в `main` на каждый ratchet → git-churn,
-сам файл попадает в diff и может конфликтовать при параллельных merge, плюс он часть измеряемого
-дерева. БД-таблица — restart-safe, аддитивна, обновляется атомарно и не порождает коммитов.
-Таблица keyed by `repo` → общая прод-БД (self-hosting) безопасно разделяет базовые линии разных
-репозиториев.
-
-### D5 — Ratchet-up в choke-point подтверждённого merge (FR-4, BR-3)
-
-Базовая линия наращивается **только вверх** и **только при подтверждённом** слиянии в `main`.
-Единственный авторитетный choke-point подтверждённого merge — `_handle_merge_verify` (ребро
-`deploy → done`, ORCH-071/073, доказательство SHA-in-main). Туда добавляется never-raise врезка
-`coverage_gate.ratchet_baseline_on_merge(repo, work_item_id, branch, sha)`, вызываемая **после**
-того как merge подтверждён (`_handle_merge_verify` вернул `False` = confirmed) и **до** перехода
-в `done`:
-
-1. Читает измеренное покрытие смёрженной ветки из артефакта `18-coverage-report.md` (single
-   source of truth — то же значение, что гейт записал на ребре `deploy-staging→deploy`).
-2. **Атомарный compare-and-set:** `UPDATE coverage_baseline SET coverage=?, source_sha=?,
-   updated_at=? WHERE repo=? AND coverage <= ?` (или `INSERT` при отсутствии строки —
-   bootstrap). Условие `coverage <= measured` гарантирует, что базовая линия **никогда не
-   падает** (FR-4), даже при гонке.
-
-**Сериализация (анти-гонка, NFR-5/AC-4):** на этой точке merge-lease ещё **held** (release на
-`done`/rollback, `stage_engine.py:446`), а merge репо сериализован per-repo (ORCH-043). Плюс
-атомарный compare-and-set в SQL — **двойная защита**: даже без lease два параллельных merge не
-понизят и не потеряют значение. Bootstrap — первый merge применимого репо засевает базовую линию
-своим измеренным покрытием.
-
-### D6 — Условность, kill-switch, наблюдаемость (FR-5/FR-7, BR-4/BR-5)
-
-- **Флаги (`config.py`, env `ORCH_COVERAGE_*`):** `coverage_gate_enabled` (bool, kill-switch),
-  `coverage_gate_repos` (CSV; **пусто → только self-hosting** `is_self_hosting_repo`, по образцу
-  `merge_gate`/`security_gate`/`image_freshness`), `coverage_min_percent` (float, абсолютный
-  порог-floor), `coverage_policy` (`absolute|baseline|both`, дефолт `both`), `coverage_epsilon`
-  (float, дефолт малый, напр. `0.5`), `coverage_tool_fail_closed` (bool, дефолт `False`),
-  `coverage_run_timeout_s` (int).
-- **`applies(repo)`** (локальная проверка) выполняется **ПЕРВОЙ**; дорогой прогон измерения —
-  только при `applies==True`. Вне области → no-op `(True, "Coverage gate N/A")` (прецедент
-  `check_staging_status` для не-self, ORCH-035). При `coverage_gate_enabled=False` — гейт инертен,
-  конвейер 1:1 как до ORCH-027 (AC-5).
-- **FR-6 (ошибка инструмента):** `measure_coverage` вернул `None` (инструмент упал/недоступен/
-  метрика не распарсилась) → по умолчанию **fail-open + WARNING** (observability-строка),
-  `coverage_tool_fail_closed=True` → fail-closed (FAIL). Дефолт анти-петля (прецедент
-  ORCH-061/ORCH-022 dep-audit), чтобы инфра-сбой не заклинил автономный конвейер.
-- **FR-7 (наблюдаемость):** артефакт `18-coverage-report.md` (frontmatter `coverage_status:
-  PASS|FAIL` + `measured_coverage`/`baseline`/`floor`/`policy`/`delta`); read-only блок
-  `coverage` в `GET /queue` (`src/main.py`); при FAIL — `send_telegram` с кликабельным номером
-  (`plane_issue_link`/`link_for`), измеренным покрытием, порогом/базовой линией и дельтой.
-
-### D7 — Машинный вердикт и парсинг (§6 ТЗ, AC-9)
-
-Гейт **сам вычисляет** вердикт (как `check_security_gate`) и пишет
-`18-coverage-report.md` с YAML-frontmatter `coverage_status:` (`PASS` | `FAIL`); регистр
-чувствителен, имя фиксируется. Чтение обратно — через единый контракт `src/frontmatter.py`
-(`parse_frontmatter`/`read_frontmatter_value`, ORCH-052c), как все вердикт-парсеры. Артефакт
-несёт **аддитивно** обязательную 6-польную схему 52c, не трогая `coverage_status:`. В `QG_CHECKS`
-добавляется `check_coverage_gate` (тонкая обёртка, делегирующая в leaf); **семантика и состав
-существующих `check_*` / machine-verdict ключей (`verdict:`/`result:`/`deploy_status:`/
-`staging_status:`/`security_status:`) — байт-в-байт прежние** (NFR-5/AC-8).
-
-### D8 — Опциональный override базовой линии (FR-4 / §4 API)
-
-Для легитимного разового снижения покрытия (напр. удаление большого протестированного модуля)
-вводится опциональный ручной эндпоинт `POST /coverage/baseline?repo=<repo>&value=<float>` (по
-образцу `POST /serial-gate/unfreeze`) — устанавливает/сбрасывает базовую линию вручную.
-Альтернатива без эндпоинта — временно переключить `coverage_policy=absolute`. Эндпоинт
-рекомендован для эксплуатационной гибкости, но не критичен для v1.
-
-## Альтернативы
-
-- **Точка измерения — CI-job (`check_ci_green`, FR-3c).** Пороги/политика/базовая линия/артефакт
-  плохо выражаются статусом коммита; ratchet требует записи в общую БД, недоступную из CI-раннера
-  чисто. Коуплинг с раннером. Отклонено для v1 (точка расширения), как у security-гейта.
-- **Точка измерения — `testing → deploy-staging` (рядом с `check_tests_passed`, FR-3b).** Ветка
-  ещё не догнана на свежий `main` → измеренное покрытие может не соответствовать landed-коду;
-  откат отсюда не освобождает merge-lease иначе. Edge `deploy-staging→deploy` после merge-gate —
-  точнее. Отклонено.
-- **Базовая линия в файле репо (`.coverage-baseline.json`).** Git-churn на каждый ratchet,
-  конфликты при параллельных merge, файл — часть измеряемого дерева. Отклонено в пользу
-  аддитивной БД-таблицы (D4).
-- **Складывание измерения в merge-gate re-test (один pytest-прогон).** Снижает дабл-ран, но
-  коуплит coverage-логику с merge_gate; нарушает leaf-изоляцию ТЗ. Отклонено для v1 (возможный
-  follow-up — измерять покрытие в том же прогоне).
-- **Новый stage `coverage`.** «Пустая» стадия без агента не имеет триггера (как в ORCH-043/022).
-  Отклонено.
-- **Жёсткий абсолютный порог без baseline/epsilon.** Массовые ложные заворота → петля rework.
-  Отклонено в пользу консервативного `both` + epsilon (NFR-4).
-
-## Последствия
-
-- **+** Класс «тихо просевшее покрытие» закрыт детерминированной метрикой; защита от монотонной
-  деградации в пакетном автономном прогоне (ORCH-088). Базовая линия может только расти (ratchet).
-- **+** Нулевая регрессия: при выключенном флаге / вне области (enduro-trails) — конвейер
-  байт-в-байт прежний; `STAGE_TRANSITIONS`/`QG_CHECKS`-семантика/вердикт-ключи не тронуты.
-- **+** Self-hosting-безопасно: гейт только мерит/читает/пишет/решает; не деплоит, не рестартит
-  прод, не пушит/форс-пушит в `main` (NFR-3).
-- **−** Дополнительный прогон pytest под coverage на каждой применимой задаче (после merge-gate
-  re-test) → ещё один полный тест-ран. Митигейшн: ограничен `coverage_run_timeout_s`; фейлит до
-  дорогого image-rebuild; follow-up — слияние с merge-gate re-test.
-- **−** Ещё один «скрытый» под-гейт ребра (нет в `STAGE_TRANSITIONS`); новая pip-зависимость
-  (`pytest-cov`); v1 — Python-only (мульти-стек — точка расширения BR-6).
-- **−** Дефолтный fail-open означает, что устойчивый сбой инструмента **тихо** пропускает задачи
-  (с WARNING). Митигейшн: громкий лог + переключатель `coverage_tool_fail_closed`.
-- **Сквозное изменение** (новый QG + edge-под-гейт + новая БД-таблица + новый артефакт) →
-  лейбл `arch:major-change`; прод-деплой ORCH-027 — строго через staging-гейт (8501), без
-  рестарта прод-контейнера.
-- **Откат:** `coverage_gate_enabled=False` → полный no-op (мгновенный обратимый kill-switch).
-  Полное удаление — снять врезки `_handle_coverage_gate`/`ratchet_baseline_on_merge`, удалить
-  leaf-модуль, `check_coverage_gate` из `QG_CHECKS`, флаги, артефакт-шаблон; таблица
-  `coverage_baseline` аддитивна и может остаться (инертна).
-
-## Ссылки
-
-- BRD: `docs/work-items/ORCH-027/01-brd.md`
-- TRZ: `docs/work-items/ORCH-027/02-trz.md`
-- Acceptance: `docs/work-items/ORCH-027/03-acceptance-criteria.md`
-- Data: `docs/work-items/ORCH-027/08-data-requirements.md`
-- Risks: `docs/work-items/ORCH-027/10-tech-risks.md`
-- Сквозной ADR: `docs/architecture/adr/adr-0029-coverage-gate.md`
-- Сверено по коду: `src/stage_engine.py` (`_handle_security_gate`/`_handle_merge_gate`/
-  `_handle_image_freshness`/`_handle_merge_verify`), `src/security_gate.py`, `src/merge_gate.py`,
-  `src/qg/checks.py`, `.gitea/workflows/ci.yml`, `pytest.ini`
-- Прецеденты: adr-0012 (security-гейт), adr-0006 (merge-gate — edge-под-гейт/откат/lease),
-  adr-0008 (image-freshness — условность/fail-closed), adr-0003 (`is_self_hosting_repo`),
-  adr-0009 (анти-петля ложных FAIL), adr-0014 (SHA-in-main как source of truth для merge)

docs/work-items/ORCH-027/07-infra-requirements.md

@@ -1,64 +0,0 @@
----
-work_item: ORCH-027
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-10
-model_used: claude-opus-4-8
----
-
-# 07 — Инфраструктурные требования: ORCH-027 — Code coverage как гейт
-
-Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
-
-> When-applicable. Топология **не меняется** (всё в существующем Docker-контейнере на одном
-> сервере mva154, SQLite, собственная очередь). Затрагивается только зависимостный и
-> конфигурационный слой.
-
-## Топология / окружение
-
-- **Без изменений топологии** — никаких новых контейнеров/сервисов/нод. Гейт исполняется внутри
-  существующего процесса оркестратора, измерение — в per-branch worktree (`ensure_worktree`),
-  как merge-gate re-test. `docs/operations/INFRA.md` — без правок.
-- **Self-hosting безопасность (NFR-3):** гейт не вызывает деплой-хук, не рестартит прод-контейнер
-  `orchestrator` (8500), не пушит в `main`. Прод-деплой ORCH-027 — **только** через
-  staging-гейт (8501) → выделенный статус «Confirm Deploy» (ORCH-059), без рестарта прод
-  случайным approve.
-
-## Зависимости
-
-| Зависимость | Где | Назначение |
-|-------------|-----|-----------|
-| `pytest-cov` (обёртка `coverage.py`) | `requirements.txt` | измерение line coverage прогоном `pytest --cov=src --cov-report=json`. Offline (сеть при измерении не нужна). Попадает в прод-образ при пересборке. |
-
-- Версия фиксируется совместимой с текущим `pytest` (см. `requirements.txt`/`pytest.ini`).
-- Новых системных пакетов в `Dockerfile` не требуется (чистый pip-пакет).
-
-## Конфигурация (env, `.env` на хосте)
-
-Новые флаги (`config.py`, префикс `ORCH_COVERAGE_*`; дефолты безопасны — нулевая регрессия):
-
-| Env | Дефолт | Назначение |
-|-----|--------|-----------|
-| `ORCH_COVERAGE_GATE_ENABLED` | `false` (раскат поэтапный) | kill-switch |
-| `ORCH_COVERAGE_GATE_REPOS` | пусто → только self-hosting | CSV область применения |
-| `ORCH_COVERAGE_MIN_PERCENT` | консервативно (напр. backstop) | абсолютный порог-floor |
-| `ORCH_COVERAGE_POLICY` | `both` | `absolute\|baseline\|both` |
-| `ORCH_COVERAGE_EPSILON` | малый (напр. `0.5`) | допуск на шум измерения |
-| `ORCH_COVERAGE_TOOL_FAIL_CLOSED` | `false` | поведение при сбое инструмента |
-| `ORCH_COVERAGE_RUN_TIMEOUT_S` | по образцу `merge_retest_timeout_s` | тайм-аут прогона |
-
-## Эксплуатационные предусловия
-
-- **Bootstrap базовой линии:** при первом merge применимого репо базовая линия `main`
-  засевается автоматически фактическим измеренным покрытием (D5). Ручной первичный замер не
-  обязателен; при необходимости — `POST /coverage/baseline?repo=orchestrator&value=<%>` (D8).
-- **Раскат:** включать `ORCH_COVERAGE_GATE_ENABLED=true` только после прод-деплоя кода и
-  прогона на staging (8501); стартовая область — только `orchestrator`.
-- **Override (легитимное снижение покрытия):** `POST /coverage/baseline` (по образцу
-  `POST /serial-gate/unfreeze`) либо временный `ORCH_COVERAGE_POLICY=absolute`.
-
-## Секреты / сеть
-
-- Новых секретов нет. Сетевого доступа при измерении нет (coverage offline).
-- enduro-trails и прочие репозитории — вне области по умолчанию, нулевое влияние.

docs/work-items/ORCH-027/08-data-requirements.md

@@ -1,67 +0,0 @@
----
-work_item: ORCH-027
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-10
-model_used: claude-opus-4-8
----
-
-# 08 — Требования к данным: ORCH-027 — Code coverage как гейт
-
-Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
-
-> When-applicable / информационный (гейтом не парсится). Затрагивается схема БД — вводится
-> **одна аддитивная таблица** базовой линии покрытия. Существующие таблицы не мигрируются.
-
-## Изменения схемы БД
-
-Новая аддитивная таблица `coverage_baseline` (паттерн `repo_freeze`/`job_deps` —
-`CREATE TABLE IF NOT EXISTS` в `init_db`, `src/db.py`; без `ALTER`/миграции существующих):
-
-```sql
-CREATE TABLE IF NOT EXISTS coverage_baseline (
-    repo        TEXT PRIMARY KEY,   -- репозиторий (напр. "orchestrator")
-    coverage    REAL NOT NULL,      -- last-known базовая линия покрытия main (%, line coverage)
-    source_sha  TEXT,               -- SHA main, на котором зафиксирована базовая линия (аудит)
-    updated_at  TEXT NOT NULL       -- ISO-таймстамп последнего ratchet/bootstrap
-);
-```
-
-Доступ — через аддитивные read-only/мутирующие хелперы `src/db.py`:
-- `get_coverage_baseline(repo) -> float | None` (None ⇒ bootstrap-режим, базовой линии ещё нет);
-- `ratchet_coverage_baseline(repo, coverage, sha) -> bool` — **атомарный compare-and-set**:
-  `INSERT` при отсутствии строки; иначе `UPDATE ... SET coverage=?, source_sha=?, updated_at=?
-  WHERE repo=? AND coverage <= ?` (базовая линия **никогда не понижается**);
-- `set_coverage_baseline(repo, coverage, sha)` — безусловная установка (ручной override D8 /
-  `POST /coverage/baseline`).
-
-## Новые/изменённые сущности
-
-- **`coverage_baseline`** — одна строка на репозиторий; keyed by `repo`. Инвариант: `coverage`
-  монотонно не убывает через `ratchet_coverage_baseline` (только `set_coverage_baseline`/ручной
-  override может понизить — легитимный разовый случай, D8). На общей прод-БД (self-hosting)
-  строки разных репозиториев изолированы первичным ключом.
-- **Артефакт `18-coverage-report.md`** — НЕ БД-сущность: файл в `docs/work-items/<id>/`,
-  несёт frontmatter `coverage_status: PASS|FAIL` + `measured_coverage`/`baseline`/`floor`/
-  `policy`/`delta`. Source of truth измеренного значения для ratchet (D5).
-
-Существующие таблицы (`tasks`, `jobs`, `job_deps`, `repo_freeze`, `agent_runs`,
-`tracker_messages`, …) — **не изменяются** (NFR-5/AC-8).
-
-## Совместимость данных / миграции
-
-- **Аддитивность:** только `CREATE TABLE IF NOT EXISTS` — ни один существующий столбец/таблица
-  не трогается; миграции существующих данных нет.
-- **Идемпотентность:** `CREATE TABLE IF NOT EXISTS` безопасен при повторном старте; bootstrap
-  (первый `INSERT`) выполняется один раз на репозиторий.
-- **Restart-safe:** базовая линия персистентна; in-flight измерение при рестарте переигрывается
-  штатным механизмом стадии (idempotent — гейт пересчитает вердикт, ratchet — атомарный
-  compare-and-set, повтор не понизит и не задвоит).
-- **Атомарность / анти-гонка:** ratchet — единичный SQL `UPDATE ... WHERE coverage <= ?` (или
-  `INSERT`), выполняется под held merge-lease (ORCH-043, per-repo сериализация merge) → двойная
-  защита от параллельных слияний.
-- **Влияние на общую прод-БД:** одна маленькая таблица (≤ числа репозиториев строк); нулевой
-  риск для enduro-trails и прочих проектов (строки изолированы по `repo`, гейт для них no-op).
-- При `coverage_gate_enabled=False` таблица может существовать пустой/инертной — нулевая
-  регрессия.

docs/work-items/ORCH-027/10-tech-risks.md

@@ -1,42 +0,0 @@
----
-work_item: ORCH-027
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-10
-model_used: claude-opus-4-8
----
-
-# 10 — Технические риски: ORCH-027 — Code coverage как гейт
-
-Work Item: **ORCH-027** · Repo: **orchestrator** · Стадия: architecture
-
-> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
-
-## Реестр рисков
-
-| ID | Риск | Вер. | Влия. | Митигейшн |
-|----|------|------|-------|-----------|
-| TR-1 | **Флап на шуме измерения** — недетерминированное покрытие (порядок тестов/окружение) дрожит у границы → ложные заворота, петля rework. | Сред. | Сред. | `coverage_epsilon` (NFR-4/D3): дрожание ±доли % не заворачивает. Дефолт `policy=both` мягкий; абсолютный порог — backstop, не агрессивный. |
-| TR-2 | **Не освобождён merge-lease при FAIL.** Coverage идёт ПОСЛЕ merge-gate (lease уже held) — забытый release при откате заклинит serial-gate репо (другие задачи репо в defer навсегда). | Сред. | Выс. | Явный инвариант D1: rollback coverage вызывает `merge_gate.release_merge_lease` (как image-freshness rollback, `stage_engine.py:1165`); покрыто тестом TC-13. Backstop — crash-реклейм lease по возрасту (ORCH-043). |
-| TR-3 | **Гонка базовой линии** — два параллельных слияния в `main` конкурентно обновляют baseline, теряя/занижая значение. | Низ. | Сред. | Атомарный SQL compare-and-set `UPDATE ... WHERE coverage <= ?` (D5/08-data) + held merge-lease + per-repo сериализация merge (ORCH-043) → тройная защита. Покрыто TC-05. |
-| TR-4 | **Инфра-хрупкость инструмента** — `pytest-cov` несовместим с версией pytest / упал / метрика не парсится → конвейер клинит. | Низ. | Сред. | NFR-2/FR-6/D6: дефолт fail-open + громкий WARNING (анти-петля ORCH-061); `coverage_tool_fail_closed` для строгого режима. `measure_coverage`→`None` обрабатывается, не всплывает. Покрыто TC-09. |
-| TR-5 | **Исключение всплывает в `advance_stage`** — ошибка leaf-модуля роняет конвейер ВСЕХ проектов (общий прод-инстанс). | Низ. | Выс. | NFR-1/AC-7: `src/coverage_gate.py` — leaf (не импортирует `stage_engine`), контракт never-raise; любое исключение → `(False/True, reason)` по политике fail-open/closed. Покрыто TC-10. |
-| TR-6 | **Дабл-ран pytest** — coverage-прогон после merge-gate re-test удваивает время тестов на применимой задаче. | Выс. | Низ. | Ограничен `coverage_run_timeout_s`; фейлит ДО дорогого image-rebuild; follow-up — слияние измерения с merge-gate re-test (вне объёма v1). Влияет только на self-hosting `orchestrator`. |
-| TR-7 | **Стартовая петля заворотов** — высокий `coverage_min_percent` массово заворачивает существующие задачи в rework. | Сред. | Сред. | NFR-4/D3: bootstrap инициализирует baseline фактическим покрытием `main`; absolute-порог — мягкий backstop; cap `MAX_DEVELOPER_RETRIES` → Blocked+alert вместо бесконечной петли. |
-| TR-8 | **Self-hosting побочка** — гейт случайно трогает прод-контейнер/`main`/force-push. | Низ. | Выс. | NFR-3/AC-7: гейт только мерит/читает/пишет/решает в изолированном worktree; не вызывает деплой-хук, не рестартит прод, не пушит в `main`. Покрыто TC-12. |
-| TR-9 | **Регресс контрактов** — затронуты `STAGE_TRANSITIONS`/существующие `check_*`/вердикт-ключи. | Низ. | Выс. | NFR-5/AC-8: новый QG аддитивен, edge-врезка не меняет `STAGE_TRANSITIONS`; вердикт-ключи прежних доков байт-в-байт. Покрыто TC-15. |
-
-## Сводный вывод
-
-Доминирующий класс рисков — **эксплуатация автономного self-hosting-конвейера**: самые
-тяжёлые по влиянию (TR-2 заклинивание serial-gate, TR-5 падение конвейера всех проектов, TR-8
-побочка на прод) имеют **низкую вероятность** и закрыты структурными инвариантами, повторяющими
-проверенные паттерны соседних под-гейтов (security/merge/image-freshness): leaf never-raise,
-fail-open дефолт, явный release merge-lease при откате, kill-switch. Остаточный риск для
-прод-конвейера — **низкий** при условии тестового покрытия инвариантов TR-2/TR-5/TR-8
-(`04-test-plan.yaml` TC-09…TC-13) и поэтапного раската через staging-гейт (8501).
-
-Решение **сквозное** (новый QG + edge-под-гейт + новая БД-таблица + новый артефакт) → эскалация
-лейблом **`arch:major-change`**. Возврат в анализ не требуется — ТЗ реализуемо без нарушения
-принципов архитектуры (Docker/один сервер/SQLite/собственная очередь сохранены).

docs/work-items/ORCH-027/12-review.md

@@ -1,121 +0,0 @@
----
-verdict: APPROVED
-work_item: ORCH-027
-stage: review
-author_agent: reviewer
-status: approved
-created_at: 2026-06-10
-model_used: claude-opus-4-8
-type: review
-work_item_id: ORCH-027
-version: 2
----
-
-# Review ORCH-027 — Code coverage как гейт
-
-## Summary
-
-Дисциплинированная реализация детерминированного coverage-гейта строго по образцу
-security/merge/image-freshness под-гейтов. Соответствие ТЗ/ADR — полное; код качественный,
-тесты содержательны (`test_coverage_gate.py` — 30 тестов; **полный регресс `tests/ -q`
-зелёный: 1466 passed**); документация обновлена исчерпывающе.
-
-**Единственный прежний блокер закрыт.** Ревизия v1 выносила P1 за повреждённую (дословно
-продублированную) запись ORCH-095 в `CHANGELOG.md` — коммит `75c33ab docs(changelog): repair
-duplicated ORCH-095 entry body` устранил дубль: тело bullet ORCH-095 теперь присутствует ровно
-один раз (`git revert occurrences on line 16: 1`), артефакт чужой задачи восстановлен. Новых
-P0/P1 не выявлено.
-
-Проверено: 4 оси (ТЗ / ADR / качество кода / документация) + трассировка маркеров + полный
-прогон тест-сьюта.
-
-## Findings
-
-### P0 — Blocker
-- (нет)
-
-### P1 — Must fix
-- (нет) — прежний P1 (дубль записи ORCH-095 в CHANGELOG) исправлен коммитом `75c33ab`.
-
-### P2 — Should fix
-- [ ] **Несоответствие формулировки ADR-001 D7 фактическому артефакту: 6-польная схема 52c
-  не эмитится.** `ADR-001-coverage-gate.md` D7 утверждает: «Артефакт несёт **аддитивно**
-  обязательную 6-польную схему 52c, не трогая `coverage_status:`». Фактически и генератор
-  (`coverage_gate.render_coverage_report`), и скелет `docs/_templates/18-coverage-report.md`
-  эмитят только `coverage_status`/`work_item` + coverage-поля; отсутствуют 5 из 6 полей схемы
-  52c (`stage`/`author_agent`/`status`/`created_at`/`model_used`). **Почему не блокер:** (а)
-  TRZ §6 формулирует это условно («*Если* отчёт несёт обязательную 6-польную схему 52c —
-  добавить её аддитивно»), (б) валидация схемы warning-only по умолчанию
-  (`frontmatter_validation_strict=False`), (в) гейт-генерируемые артефакты (прецедент
-  `17-security-report.md`) исторически несут лишь свой machine-key — эпик 52c (ORCH-077)
-  скоупил схему на 6 агент-промптов, не на машинные отчёты. Машинный вердикт читается из
-  `coverage_status:` корректно, контракт не нарушен. **Действие (на усмотрение, не блокирует
-  приёмку):** привести формулировку D7 к факту (отчёт несёт `coverage_status:` + coverage-поля,
-  без полной 52c-схемы) ЛИБО добавить 5 полей в генератор+шаблон.
-
-## Документация
-
-**Статус: обновлена исчерпывающе** (golden source синхронизирован в том же PR, AC-10 PASS):
-
-- `docs/architecture/README.md` — реестр `QG_CHECKS` дополнен `check_coverage_gate (ORCH-027)`;
-  добавлен раздел «Coverage-гейт: защита от деградации покрытия» (точка/порядок, измерение,
-  чистая функция, baseline+ratchet, условность/fail-open, артефакт/наблюдаемость). ✅
-- `docs/_standards/PIPELINE_DOCS.md` — диапазон доков `…18-coverage-report.md`; строка карты
-  `стадия→агент→документ→гейт→machine-key` + строка таблицы вердикт-парсеров
-  (`coverage_status:` → `check_coverage_gate`). ✅
-- `docs/_templates/18-coverage-report.md` — скелет с frontmatter зарегистрирован. ✅
-- `docs/work-items/ORCH-027/06-adr/ADR-001-coverage-gate.md` (D1…D8) +
-  сквозной `docs/architecture/adr/adr-0029-coverage-gate.md`. ✅
-- `CHANGELOG.md` — детальная корректная запись ORCH-027; повреждение соседней записи ORCH-095
-  устранено (v1-P1 закрыт). ✅
-- `CLAUDE.md` — паспортный блок «Гейт покрытия тестами (ORCH-027)» добавлен. ✅
-- `.env.example` / `src/config.py` — флаги `ORCH_COVERAGE_*` задокументированы. ✅
-- Маркеры `ORCH-027` проставлены в коде/доках (AC-10). ✅
-
-`src/` изменён → документация обновлена в том же PR: **да** (P0-условие выполнено).
-**Обзорные доки (ORCH-079):** PR не закрывает ни один пункт `README.md` «Известные ограничения»
-(coverage-деградация там не значилась) → обновление витрины не требуется, finding отсутствует.
-
-## Оси проверки (детально)
-
-**1. Соответствие ТЗ (02-trz / 03-acceptance) — PASS.**
-AC-1 измерение инструментально (`measure_coverage` → `pytest --cov=src` → `totals.percent_covered`,
-`pytest-cov==5.0.0` в `requirements.txt`); AC-2 блокировка деградации + откат на `development` с
-release merge-lease (`_handle_coverage_gate`); AC-3 чистая функция `compute_coverage_verdict`
-покрыта по всем режимам/границам/epsilon (TC-01…04); AC-4 ratchet up-only + bootstrap + per-repo
-изоляция + атомарный compare-and-set `UPDATE … WHERE coverage <= ?` (`db.ratchet_coverage_baseline`);
-AC-5 kill-switch/scope + `applies(repo)` ПЕРВЫМ (дорогой прогон только при `applies==True`) —
-регресс зелёный, enduro не затронут; AC-6 fail-open дефолт / fail-closed по флагу; AC-7 never-raise
-+ leaf (не импортирует `stage_engine`) + AST-проверка отсутствия деплой/force-push токенов; AC-8
-контракты `STAGE_TRANSITIONS`/`check_*`/вердикт-ключи байт-в-байт, таблица `coverage_baseline`
-аддитивна; AC-9 вердикт только из frontmatter (`parse_coverage_status` через
-`frontmatter.parse_frontmatter`) + `GET /queue` блок `coverage` + Telegram с кликабельным номером.
-
-**2. Соответствие ADR (ADR-001 D1…D8 / adr-0029) — PASS** (с P2-оговоркой по тексту D7).
-Порядок под-гейтов `security → merge → coverage → image-freshness` реализован ровно как в D1
-(врезка `_handle_coverage_gate` между merge-handling и ORCH-058 freshness в `advance_stage`);
-coverage ПОСЛЕ merge-gate (догнанный HEAD) и `merge_gate.release_merge_lease` при FAIL —
-соответствует D1/TR-2 (зеркало image-freshness rollback, в отличие от security — тот до захвата
-lease). Ratchet в choke-point `_handle_merge_verify` (ребро `deploy→done`, D5), БД-таблица
-`coverage_baseline` (D4), машинный вердикт/парсинг (D7), override `POST /coverage/baseline` (D8).
-Глобальные ADR (INV-4 merge только через Gitea API; не трогать `main`/прод) не нарушены — leaf
-только мерит/читает/пишет/решает.
-
-**3. Качество кода — PASS.**
-Docstrings на всех публичных функциях; never-raise контракт выдержан последовательно (все
-внешние границы обёрнуты, исключение не всплывает в `advance_stage`); единый frontmatter-контракт
-переиспользован (нет дублирования парс-логики); тесты содержательные (режимы/границы/epsilon,
-ratchet up-only + bootstrap + per-repo изоляция, fail-open/closed, never-raise, write/read-back
-отчёта, self-hosting AST-инвариант, интеграция в `advance_stage` с откатом+release lease).
-Фикс `sys.executable` вместо bare `python` (коммит `8cd7c20`) корректен — pytest-cov живёт в
-интерпретаторе орка. Нет утечек/security-дыр; измерение offline. Замечание (не finding):
-синхронный `pytest --cov` в hot-path `advance_stage` (тайм-аут `coverage_run_timeout_s=900`)
-наследует established-паттерн merge-gate re-test/security-gate — нового класса риска не вводит.
-
-**4. Документация — см. раздел «Документация» выше (P0-условие выполнено; обзорные доки N/A).**
-
-**Трассировка маркеров (TRACEABILITY).** Правки рядом с маркерами `ORCH-022`/`ORCH-043`/`ORCH-058`
-в `advance_stage` — аддитивная врезка между merge-gate и image-freshness; инварианты соседних
-под-гейтов не сломаны (release-lease зеркалит image-freshness rollback, merge через Gitea API
-не тронут). Врезка в `_handle_merge_verify` (ORCH-071/073) — never-raise best-effort ratchet,
-SHA-in-main choke-point не изменён. Чужие артефакты не повреждены (восстановлена запись ORCH-095).

docs/work-items/ORCH-027/13-test-report.md

@@ -1,76 +0,0 @@
----
-result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
-work_item: ORCH-027
-stage: testing
-author_agent: tester
-status: pass
-created_at: 2026-06-10
-model_used: claude-opus-4-8
-type: test-report
-work_item_id: ORCH-027
----
-
-# Test Report — ORCH-027 — Code coverage как гейт
-
-Work Item: **ORCH-027** · Repo: **orchestrator** · Branch: **feature/ORCH-027-code-coverage** · Стадия: testing
-Предусловие: `12-review.md` → `verdict: APPROVED` ✅ (проверено).
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3 (plugins: cov-5.0.0, anyio-4.13.0, asyncio-0.23.8)
-- Worktree: `/repos/_wt/orchestrator/feature_ORCH-027-code-coverage` (HEAD `619fd0c`)
-- Дата: 2026-06-10
-
-## Smoke API (read-only)
-| Endpoint | Результат |
-|----------|-----------|
-| `GET /health` | PASS — `{"status":"ok","service":"orchestrator"}` |
-| `GET /status` | PASS — активные задачи отдаются, ORCH-027 в `testing` |
-| `GET /queue` | PASS — блоки `serial_gate` (ORCH-088) **и** `auto_labels` присутствуют в payload; добавлен read-only блок `coverage`-наблюдаемости по ТЗ FR-7 (через общий снапшот) |
-
-`serial_gate.per_repo.orchestrator.active_task = ORCH-027 (testing)` — гейт сериализации виден, регресса смока нет.
-
-## Результаты — покрытие ТЗ (каждый TC из 04-test-plan.yaml ↔ AC из 03-acceptance-criteria.md)
-
-| TC ID | Тип | Описание | Тест-функция(и) | AC | Результат |
-|-------|-----|----------|-----------------|----|-----------|
-| TC-01 | unit | `compute_coverage_verdict` policy=absolute (порог/ниже/ровно) | `test_tc01_policy_absolute` | AC-3 | PASS |
-| TC-02 | unit | policy=baseline (no-regression / ratchet) | `test_tc02_policy_baseline` | AC-3/AC-4 | PASS |
-| TC-03 | unit | policy=both — оба условия | `test_tc03_policy_both` | AC-3 | PASS |
-| TC-04 | unit | epsilon-допуск (анти-флап, NFR-4) | `test_tc04_epsilon_tolerance` | AC-3 | PASS |
-| TC-05 | unit | Ratchet базовой линии up-only + per-repo изоляция | `test_tc05_ratchet_up_only`, `test_tc05_ratchet_per_repo_isolated` | AC-4 | PASS |
-| TC-06 | unit | Bootstrap baseline при отсутствии значения | `test_tc06_bootstrap` | AC-4 | PASS |
-| TC-07 | unit | `applies(repo)`: пустой CSV → self-hosting only; вне области → no-op без прогона | `test_tc07_applies_self_hosting_only`, `test_tc07_applies_csv_scope`, `test_tc07_out_of_scope_noop_no_measure` | AC-5 | PASS |
-| TC-08 | unit | Kill-switch `coverage_gate_enabled=False` → инертен (1:1 до ORCH-027) | `test_tc08_kill_switch_off` | AC-5 | PASS |
-| TC-09 | unit | Fail-open дефолт + fail-closed по флагу | `test_tc09_fail_open_default`, `test_tc09_fail_closed_when_configured` | AC-6 | PASS |
-| TC-10 | unit | never-raise: битый вывод/отсутствие worktree не всплывает | `test_tc10_verdict_never_raises_on_bad_inputs`, `test_tc10_parse_coverage_percent_tolerant`, `test_tc10_check_never_raises`, `test_tc10_ratchet_never_raises_on_missing_report` | AC-7 | PASS |
-| TC-11 | unit | write/read-back отчёта `coverage_status:` через `src/frontmatter.py` | `test_tc11_report_roundtrip`, `test_tc11_parse_missing_frontmatter`, `test_tc11_bootstrap_report_blank_baseline` | AC-9 | PASS |
-| TC-12 | unit | Self-hosting безопасность: leaf без engine-импорта; нет деплой/force-push | `test_tc12_leaf_no_engine_import`, `test_tc12_delta_signed` | AC-7 | PASS |
-| TC-13 | integration | Гейт в конвейере: FAIL → откат на development; PASS → штатное продвижение | `test_tc13_advance_rolls_back_on_fail`, `test_tc13_advance_passes_through_on_ok` | AC-2 | PASS |
-| TC-14 | integration | Реальное измерение pytest под coverage в worktree + тайм-аут | `test_tc14_real_measurement`, `test_tc14_measure_timeout_returns_none` | AC-1 | PASS |
-| TC-15 | integration | Наблюдаемость `GET /queue` блок coverage + контракты не изменены | `test_tc15_snapshot_shape`, `test_tc15_snapshot_never_raises`, `test_tc15_registry_and_transitions_unchanged` | AC-8/AC-9 | PASS |
-
-**Итог покрытия ТЗ:** все 15 TC выполнены и сопоставлены с AC-1…AC-10; ни одного непокрытого/пропущенного TC.
-
-## Вывод pytest
-
-### Целевой набор — `tests/test_coverage_gate.py`
-```
-collected 29 items
-tests/test_coverage_gate.py::test_tc01_policy_absolute PASSED
-... (29 тестов, TC-01…TC-15) ...
-tests/test_coverage_gate.py::test_tc15_registry_and_transitions_unchanged PASSED
-======================== 29 passed, 1 warning in 2.28s =========================
-```
-
-### Полный регресс — `pytest tests/ -q`
-```
-1466 passed, 1 warning in 48.89s
-```
-(Единственное предупреждение — PydanticDeprecatedSince20 в `src/config.py:8`, не связано с ORCH-027, регрессом не является.)
-
-## Итог
-**PASS** — целевой набор coverage-гейта зелёный (29/29), полный регресс зелёный (1466/1466,
-нулевая регрессия для enduro-trails), smoke API read-only OK (`serial_gate` + `auto_labels`
-присутствуют). Каждый TC из `04-test-plan.yaml` выполнен и сопоставлен с критериями приёмки.
-Задача готова к продвижению на `deploy-staging`.

docs/work-items/ORCH-027/14-deploy-log.md

@@ -1,12 +0,0 @@
----
-deploy_status: SUCCESS
-work_item: ORCH-027
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-036 executable self-deploy
-
-Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
-
-Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-027/15-staging-log.md

@@ -1,32 +0,0 @@
----
-staging_status: SUCCESS
-work_item: ORCH-027
-stage: deploy-staging
-author_agent: deployer
-status: success
-created_at: 2026-06-10
-model_used: claude-opus-4-8
-timestamp: 2026-06-09T22:25:00Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-Staging test suite completed against the live `orchestrator-staging` stand (8501), run canonically
-inside the container (`docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py
---base-url http://localhost:8501 --mode stub`). **Exit code 0 → SUCCESS.** All REAL pipeline checks
-passed; the only failures are the two known waived sandbox-infra checks (C9a/C9b), tolerated under
-ORCH-061 because every REAL check is green.
-
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
-
-## Results
-- **Block A (SMOKE)**: PASS — A1 `/health` 200 ok; A2 `/queue` 200 with counts/max_concurrency/resilience; A3 `ORCH_STAGING=true` (not prod).
-- **Block B (ACCESS)**: PASS — B4 Plane sandbox project accessible (sandbox=YES); B5 Gitea `orchestrator-sandbox` accessible push=true; B6 Registry isolation (sandbox present, prod ET/ORCH absent).
-- **Block C (E2E, mode=stub)**: C7 create issue in Plane SANDBOX PASS; C8 trigger pipeline via `/webhook/plane` PASS; C9a/C9b FAIL — **waived sandbox-infra** (SANDBOX bot-accounts not members of the sandbox Plane project; not a pipeline regression).
-
-REAL failed: none.
-SANDBOX_INFRA failed (waived): C9a Branch appears in orchestrator-sandbox; C9b Analyst job enqueued in staging queue.
-
-Result: 8/10 checks PASS, exit 0. Tolerance `staging_infra_tolerance_enabled=True`. Cleanup OK (Plane test issue deleted, HTTP 204; no branch created to delete).

docs/work-items/ORCH-027/16-post-deploy-log.md

@@ -1,14 +0,0 @@
----
-post_deploy_status: HEALTHY
-action_taken: NONE
-work_item: ORCH-027
-window_s: 900
-checks_total: 30
-checks_failed: 0
----
-
-# Post-deploy log — ORCH-021 post-deploy monitor
-
-Наблюдение прода завершено: `post_deploy_status: HEALTHY`, `action_taken: NONE`.
-
-Окно наблюдения: 900s; опросов всего: 30, из них с провалом: 0.

docs/work-items/ORCH-062/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: INFRA: авто-prune docker build cache на mva154 (диск забивается)
-
-Work Item ID: ORCH-062
-
-## Description
-
-TBD

docs/work-items/ORCH-062/01-brd.md

@@ -1,145 +0,0 @@
----
-work_item: ORCH-062
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 01 — BRD (бизнес-требования): ORCH-062 — INFRA: авто-prune docker build cache на mva154
-
-Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: analysis
-
-## 1. Бизнес-контекст и проблема
-
-**Установленный факт (инцидент 07.06.2026).** Хост-диск mva154 тихо дорос до 100% и положил
-**весь конвейер всех проектов** (один прод-инстанс `orchestrator` на общей БД/очереди обслуживает
-и `enduro-trails`, и `orchestrator`). Доминирующий «пожиратель» в этом инциденте — **docker build
-cache**: частые пересборки образа (`docker compose up -d --build` при прод-деплое, пересборки
-staging-образа `--profile staging` и `check_staging_image_fresh` ORCH-058) накапливают слои build
-cache, который дорос до **≈11 ГБ**. Заполнение диска положило **CI + Gitea** и остановило приём
-вебхуков/обработку очереди.
-
-**Что уже сделано (ORCH-063, не дублировать).** Введён фоновый daemon `src/disk_watchdog.py`,
-который **только сигнализирует** (Telegram-алерт при заполнении ≥85%). В ADR/INFRA ORCH-063 явно
-зафиксировано: *«watchdog только сигнализирует — он не трогает диск/контейнер … Авто-очистка — вне
-объёма ORCH-063 (отдельная задача)»*. **ORCH-062 — и есть эта отдельная задача:** автоматическое
-освобождение места за счёт build cache, чтобы инцидент 07.06 не повторялся и не требовал ручного
-вмешательства оператора.
-
-**Приоритет:** P1 (риск повторной полной остановки конвейера всех проектов).
-
-## 2. Объём (scope)
-
-### В объёме
-- Автоматическое периодическое освобождение **docker build cache** на хосте mva154, чтобы он не
-  мог бесконтрольно дорасти до заполнения диска.
-- Удержание «тёплого» недавнего кэша (политика хранения по возрасту, ориентир из запроса —
-  `until=24h`), чтобы не убивать скорость штатных пересборок.
-- Наблюдаемость результата авто-prune для оператора (когда последний раз отработал, сколько
-  освобождено / текущий объём build cache).
-- Обратимость: kill-switch и конфигурируемость периода/порога/политики хранения.
-- Документирование операционной процедуры в `docs/operations/INFRA.md` (и инфра-требований в
-  `07-infra-requirements.md` — заполняет архитектор).
-
-### Вне объёма
-- **Очистка прочих «пожирателей» диска** (старые worktree-каталоги `/home/slin/repos/_wt/*`
-  завершённых задач, логи, dangling-образы `docker image prune`) — это **ручная** операция
-  оператора по ORCH-063; авто-уборка этих категорий — отдельные задачи, здесь НЕ делается.
-- **Изменение поведения disk-watchdog** (`src/disk_watchdog.py`, пороги/алерты ORCH-063) — не
-  трогаем; ORCH-062 ортогонален и комплементарен (watchdog сигналит, pruner убирает).
-- **Любое управление конвейером / стадиями / Quality Gates.** Авто-prune — операционная фоновая
-  задача, НЕ элемент `STAGE_TRANSITIONS` / `QG_CHECKS` (ровно как watchdog/reconciler/job_reaper).
-- **Перезапуск/рестарт прод-контейнера** `orchestrator` ради уборки — категорически вне объёма
-  (self-hosting групповой риск).
-- Выбор между конкретными механизмами реализации (heartbeat-демон в приложении vs host
-  `daemon.json builder.gc` vs host-cron) — это **архитектурное решение** (06-adr), не предмет BRD.
-
-## 3. Заинтересованные стороны
-
-- **Owner / оператор (slin, homenet542@gmail.com)** — заказчик, принимает результат, владеет
-  хостом mva154 и его host-prerequisites.
-- **Все прод-проекты** (`enduro-trails`, `orchestrator`) — косвенно затронуты: общий инстанс,
-  общий диск; падение диска = простой всех.
-- **Self-hosting контур** — изменение касается инструмента, который работает в проде и обслуживает
-  другие проекты; безопасность изменения критична.
-
-## 4. Бизнес-требования (BR)
-
-- **BR-1 (авто-освобождение)** — docker build cache очищается **автоматически, периодически, без
-  ручного вмешательства** оператора, так что он не может бесконтрольно заполнить диск (устранение
-  корня инцидента 07.06).
-- **BR-2 (удержание тёплого кэша)** — очистка удаляет преимущественно **старый** build cache
-  (политика по возрасту, ориентир `until=24h`); свежий кэш недавних сборок сохраняется, чтобы
-  штатные пересборки не теряли скорость без необходимости.
-- **BR-3 (self-hosting безопасность)** — операция уборки **никогда не нарушает работу запущенных
-  контейнеров и не удаляет образы/слои, используемые работающими прод-контейнерами**, и **никогда
-  не рестартит/не роняет прод**. Затрагивается **только build cache** (`docker builder prune`), не
-  образы запущенных сервисов.
-- **BR-4 (наблюдаемость)** — оператор может увидеть состояние авто-prune: включён ли, когда
-  последний раз отработал, объём/освобождено (через тот же канал наблюдаемости, что у фоновых
-  демонов — блок в `GET /queue`, и/или Telegram при значимом освобождении).
-- **BR-5 (обратимость)** — поведение управляется **kill-switch**: выключение возвращает систему к
-  поведению «как сейчас» 1:1 (никакой авто-уборки), как у `ORCH_DISK_MONITOR_ENABLED` /
-  `ORCH_RECONCILE_ENABLED`.
-- **BR-6 (конфигурируемость)** — период, порог запуска и политика хранения (возраст/объём
-  удержания) задаются конфигом (env), с безопасными дефолтами; невалидные значения деградируют на
-  дефолт (как валидаторы ORCH-063).
-
-## 5. Нефункциональные требования (NFR)
-
-- **NFR-1 (never-raise)** — фоновая уборка не должна ронять процесс/конвейер ни на одном уровне:
-  ошибка docker-команды / недоступность docker.sock / таймаут логируются и проглатываются (как
-  per-tick/per-send never-raise в `disk_watchdog.py`).
-- **NFR-2 (изоляция от Quality Gate)** — `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / схема БД
-  **не изменяются**; авто-prune — операционный демон/процедура, не гейт.
-- **NFR-3 (нулевая регрессия при выключении)** — при выключенном kill-switch поведение байт-в-байт
-  как до задачи; никакого фонового потока/процедуры не стартует.
-- **NFR-4 (низкий оверхед)** — частота уборки — порядка часов; сама команда `docker builder prune`
-  дешева и не должна влиять на латентность конвейера; уборка не должна конкурировать за ресурсы с
-  активными сборками сверх необходимого.
-- **NFR-5 (best-effort состояние)** — учёт «когда убирали в последний раз» может быть in-memory /
-  best-effort (как анти-спам watchdog'а): сброс при рестарте безопасен (приведёт максимум к одной
-  лишней безопасной уборке), без новой миграции БД.
-- **NFR-6 (документируемость)** — операционная процедура, env-переменные и поведение при сбое
-  зафиксированы в `docs/operations/INFRA.md` и `.env.example` в том же PR (golden source = код+доки).
-
-## 6. Допущения и ограничения
-
-- **A-1.** У контейнера `orchestrator` есть доступ к `/var/run/docker.sock` (через `group_add:
-  ["999"]`, gid docker — НЕ удалять, ORCH-040), что технически позволяет приложению вызывать
-  `docker builder prune`. Это **не предрешает** выбор реализации (демон в приложении vs host-уровень).
-- **A-2.** `docker builder prune` по контракту docker затрагивает **только build cache**, не
-  останавливает контейнеры и не удаляет образы запущенных сервисов — это основа безопасности BR-3.
-- **A-3.** Доминирующий «пожиратель» в инциденте — именно build cache (≈11 ГБ); прочие категории
-  (worktree/логи/dangling-образы) адресуются отдельно (см. Вне объёма).
-- **A-4.** Хост — mva154 (`network_mode: host`), uid рантайма 1000:1000; любые host-prerequisites
-  (например, права на docker.sock, настройка `daemon.json` если выбран этот путь) — процедура
-  Owner, в git не коммитятся (по аналогии с P-1…P-4 в INFRA.md).
-- **Ограничение C-1.** Нельзя рестартить docker daemon в рабочее время без окна тишины, если
-  выбранный архитектором путь (`daemon.json builder.gc`) требует перезапуска демона — это решает и
-  планирует архитектор/Owner (вне объёма кода).
-
-## 7. Критерии успеха
-
-- Build cache на mva154 удерживается в безопасных пределах **автоматически**: после внедрения
-  повторение сценария 07.06 (build cache → 11 ГБ → диск 100%) предотвращается без ручных действий.
-- Свежие сборки не теряют скорость без необходимости (тёплый кэш ≤ политики хранения сохраняется).
-- Запущенные прод-контейнеры и обслуживание `enduro-trails` не затронуты; прод не рестартился.
-- Оператор видит состояние авто-prune и может его выключить одним флагом.
-- Детальные PASS/FAIL — в `03-acceptance-criteria.md`.
-
-## 8. Риски
-
-Краткий перечень (детальная проработка — `10-tech-risks.md`, заполняет архитектор):
-- **R-1.** Слишком агрессивная политика (`-a` без возрастного фильтра / малый `until`) убивает
-  тёплый кэш → каждая сборка «холодная» и медленная. Митигирует BR-2 (удержание по возрасту).
-- **R-2.** Гонка уборки с активной сборкой staging/прод-образа (`check_staging_image_fresh`,
-  build-once retag) → теоретически удаление кэша во время сборки. `docker builder prune` штатно не
-  трогает кэш, занятый активной сборкой, но политику/таймиг проверить (адресует архитектор).
-- **R-3.** Реализация через host-`daemon.json` требует рестарта docker daemon → риск для
-  self-hosting; реализация через демон в приложении требует доступа к docker.sock и устойчивости к
-  его недоступности.
-- **R-4.** Ошибочное расширение скоупа на `docker image prune` / `system prune` → удаление образов
-  запущенных контейнеров. Жёстко исключено BR-3 (только build cache).

docs/work-items/ORCH-062/02-trz.md

@@ -1,139 +0,0 @@
----
-work_item: ORCH-062
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 02 — ТЗ (TRZ): ORCH-062 — INFRA: авто-prune docker build cache на mva154
-
-Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: analysis
-
-> ТЗ описывает **требуемое поведение и точки изменения**, выведенные из BRD и фактического кода.
-> **Выбор механизма реализации — за архитектором (`06-adr`).** Запрещено комментировать ТЗ задним
-> числом: если требование не годится — вернуть в Анализ.
-
-## 1. Сводка изменения
-
-Ввести **автоматическое периодическое освобождение docker build cache** на хосте mva154, чтобы
-build cache не мог дорасти до заполнения диска (корень инцидента 07.06.2026, ≈11 ГБ → диск 100% →
-падение CI+Gitea+конвейера всех проектов). Это комплемент к disk-watchdog (ORCH-063, «только
-сигнал»): watchdog предупреждает, **pruner убирает**. Требование — безопасно для self-hosting
-(только build cache, без рестарта прода, never-raise), обратимо (kill-switch), наблюдаемо (`GET
-/queue`) и конфигурируемо.
-
-**Развилка реализации (решает архитектор, фиксируется в `06-adr` + `07-infra-requirements.md`):**
-- **Вариант A — heartbeat-демон в приложении:** новый leaf-модуль, фоновый
-  `threading.Thread(daemon=True)`, моделируемый **1:1 на `src/disk_watchdog.py`**
-  (`start()/stop()/status()`, `threading.Event`, per-tick never-raise, kill-switch, блок в `GET
-  /queue`), который периодически вызывает `docker builder prune` через docker.sock.
-- **Вариант B — host-уровень `daemon.json builder.gc.defaultKeepStorage`:** конфигурация
-  garbage-collection BuildKit на хосте (инфра-процедура Owner, без кода приложения).
-- **Вариант C — host-cron** `docker builder prune -af --filter until=24h` (инфра-процедура Owner).
-
-ТЗ ниже формулирует требования **инвариантно к выбору**; колонка «применимость» в §2 помечает, что
-именно затрагивается при code-пути (Вариант A). Если архитектор выбирает чистый инфра-путь (B/C),
-изменения `src/**` не требуются, а предметом становятся `07-infra-requirements.md` + INFRA.md +
-host-процедура (см. §7, §5 теста).
-
-## 2. Задействованные модули / пути
-
-| Путь | Действие | Применимость |
-|------|----------|--------------|
-| `src/build_cache_pruner.py` (новый leaf) | создать: фоновый демон-pruner по образцу `src/disk_watchdog.py` | Вариант A |
-| `src/config.py` | добавить флаги kill-switch/период/политика хранения (блок рядом с `disk_monitor_*`, строки ~392–442) + валидаторы | Вариант A (часть флагов — и для B/C как декларация) |
-| `src/main.py` | в `lifespan` — `start()`/`stop()` нового демона рядом с `disk_watchdog.start()/stop()` (строки ~113–120); в `GET /queue` — блок наблюдаемости рядом с `"disk_monitor": disk_watchdog.status()` (строка ~186) | Вариант A |
-| `.env.example` | задокументировать новые env-переменные (канон) | A / B / C (декларация) |
-| `docs/operations/INFRA.md` | секция «авто-prune build cache» + переменные в карте env; уточнить, что освобождение build cache теперь автоматизировано (ORCH-063 говорил «ручная операция») | A / B / C (обязательно) |
-| `docs/work-items/ORCH-062/06-adr/ADR-001-*.md` | решение по выбору механизма + параметрам (архитектор) | A / B / C |
-| `docs/work-items/ORCH-062/07-infra-requirements.md` | host-prerequisites/процедура (docker.sock / daemon.json / cron) (архитектор) | A / B / C |
-| `tests/test_build_cache_pruner.py` (новый) | unit/integration по `04-test-plan.yaml` | Вариант A |
-| `CHANGELOG.md` | запись в `## [Unreleased]` | A / B / C |
-
-> Модуль-pruner должен быть **leaf** (как `disk_watchdog.py`, `serial_gate.py`, `task_deps.py`):
-> без обратных зависимостей на `stage_engine`/`stages`/`qg`, чтобы не задевать конвейер.
-
-## 3. Функциональные требования
-
-### FR-1 — периодическая авто-уборка build cache (BR-1)
-Build cache очищается автоматически по расписанию/периодически без участия оператора. Для code-пути
-(A): фоновый поток с периодом `prune_interval_s` (порядка часов) вызывает уборку каждый тик. Для
-инфра-пути (B/C): garbage-collection BuildKit / cron обеспечивают эквивалентную периодичность.
-Привязка: BR-1.
-
-### FR-2 — политика удержания тёплого кэша (BR-2)
-Уборка по умолчанию удаляет **старый** build cache, удерживая свежий. Ориентир из бизнес-запроса —
-возрастной фильтр `--filter until=24h` (для пути A: команда вида `docker builder prune -f --filter
-until=<retention>`), либо порог объёма `builder.gc.defaultKeepStorage` (для пути B). Параметры
-удержания конфигурируемы (см. §ниже). Флаг `-a/--all` применять **только** в сочетании с возрастным
-фильтром/политикой удержания, не как «снести весь кэш». Привязка: BR-2.
-
-### FR-3 — self-hosting-безопасность операции (BR-3, NFR-2)
-- Уборка затрагивает **исключительно build cache** — команда строго `docker builder prune`
-  (BuildKit GC). **Запрещены** `docker image prune`, `docker system prune`, любое удаление образов
-  запущенных сервисов и любая остановка/рестарт контейнеров.
-- Операция **никогда не рестартит и не роняет прод-контейнер** `orchestrator` (групповой риск
-  self-hosting).
-- Для пути A: вызов docker — неблокирующий конвейер, с таймаутом; недоступность docker.sock →
-  пропуск тика (never-raise).
-- Привязка: BR-3, NFR-1, NFR-2.
-
-### FR-4 — наблюдаемость (BR-4)
-Состояние авто-prune доступно оператору. Для пути A — блок в `GET /queue` (как `disk_monitor`):
-`enabled`, `interval_s`, `retention`, `last_run_ts`, и (best-effort) результат последней уборки
-(освобождено байт / текущий объём build cache, если доступно из `docker builder prune`/`du`).
-Опционально — Telegram-сообщение при значимом освобождении (как recovery-сообщение watchdog'а).
-Для пути B/C — наблюдаемость через хост (`docker system df`), описанная в INFRA.md. Привязка: BR-4.
-
-### FR-5 — kill-switch + конфигурируемость (BR-5, BR-6, NFR-3)
-- `*_enabled` (kill-switch, дефолт безопасный): выключено → демон не стартует (путь A) / процедура
-  неактивна; поведение 1:1 как до задачи (NFR-3).
-- Конфигурируемые: период (`*_interval_s`), политика удержания (возраст `until` и/или объём
-  `keep_storage`), опц. порог запуска. Невалидные значения → лог-warning + дефолт (как валидаторы
-  `disk_monitor_interval_s`/`disk_monitor_threshold_pct` в `config.py`).
-- Область раската — безопасная: операция привязана к хосту mva154; не вводит per-repo гейтов.
-- Привязка: BR-5, BR-6.
-
-### FR-6 — never-raise на всех уровнях (NFR-1)
-Любая ошибка (subprocess-сбой, ненулевой rc, таймаут, недоступность docker.sock, parsing-ошибка
-вывода) логируется и проглатывается; фоновый цикл/процедура продолжает жить и не влияет на
-конвейер. Для пути A — `try/except` per-tick и per-команда, как `_run`/`tick`/`_send` в
-`disk_watchdog.py`. Привязка: NFR-1, NFR-5.
-
-## 4. Изменения API
-
-**Внешних HTTP-эндпоинтов оркестратора (`src/main.py`) НЕ добавлять и не менять контрактно.**
-Допустимо (путь A): `GET /queue` дополнить **read-only** блоком `build_cache_pruner`/аналогичным
-ключом (наблюдаемость, не источник истины) — по образцу блока `disk_monitor`. Внутренний контракт
-нового модуля (путь A) — `start()` / `stop(timeout)` / `status() -> dict`, 1:1 как `DiskWatchdog`.
-
-## 5. Изменения схемы БД
-
-**Нет.** Схема БД (`src/db.py`) не трогается. Учёт «времени последней уборки» — in-memory /
-best-effort (NFR-5), новой миграции не требуется (как анти-спам-состояние disk-watchdog).
-
-## 6. Требования к новым/изменённым QG checks
-
-**Нет.** `QG_CHECKS` / `check_*` / `_parse_*` / `STAGE_TRANSITIONS` / `src/stage_engine.py` **не
-изменяются**. Авто-prune — операционный фоновый демон/процедура (категория `reconciler` /
-`job_reaper` / `disk_watchdog`), **не** элемент реестра Quality Gate.
-
-## 7. Совместимость / регресс · артефакты pipeline
-
-- **Обратная совместимость / обратимость:** kill-switch (FR-5) выключает фичу в 1:1-исходное
-  состояние; никаких изменений поведения для `enduro-trails` и для конвейера (демон ортогонален).
-- **Область раската:** только хост mva154 / self-hosting инстанс; фича не вводит per-repo гейтов и
-  не меняет рёбер конвейера.
-- **Артефакты pipeline, которые должны быть созданы/обновлены:**
-  - `06-adr/ADR-001-*.md` — выбор механизма (A/B/C) + параметры удержания/периода (архитектор).
-  - `07-infra-requirements.md` — host-процедура: доступ к docker.sock (A) / правка `daemon.json` +
-    окно рестарта docker daemon (B) / cron-юнит (C) (архитектор).
-  - `10-tech-risks.md` — детализация R-1…R-4 из BRD (архитектор).
-  - `docs/operations/INFRA.md` — секция авто-prune + карта env; снять формулировку ORCH-063
-    «освобождение места — ручная операция» в части build cache.
-  - `.env.example` — новые переменные.
-  - `CHANGELOG.md` — `## [Unreleased]`.
-  - `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md` — по ходу конвейера.
-  - `tests/` — реализовать тесты из `04-test-plan.yaml` (путь A).

docs/work-items/ORCH-062/03-acceptance-criteria.md

@@ -1,129 +0,0 @@
----
-work_item: ORCH-062
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 03 — Критерии приёмки (Acceptance Criteria): ORCH-062 — авто-prune docker build cache на mva154
-
-Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: analysis
-
-Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
-считается провалом). Reviewer/tester проверяют их буквально по файлам репозитория и поведению.
-
-> Критерии сформулированы инвариантно к выбору механизма (heartbeat-демон A / `daemon.json` B /
-> cron C). Где критерий специфичен пути A (код), это помечено; при выборе B/C его проверяет
-> эквивалент на хосте, задокументированный в `07-infra-requirements.md` / INFRA.md.
-
----
-
-## AC-1 — Авто-уборка build cache выполняется без оператора
-
-**Условие:** build cache очищается автоматически и периодически (BR-1/FR-1).
-- **PASS:** существует автоматический механизм (демон-тик пути A / BuildKit GC пути B / cron пути C),
-  который без ручного вмешательства запускает уборку build cache с настроенным периодом; механизм
-  описан в `06-adr` и INFRA.md.
-- **FAIL:** уборка возможна только ручным запуском оператором; либо механизм не описан/не внедрён.
-
----
-
-## AC-2 — Удерживается тёплый недавний кэш
-
-**Условие:** очистка по умолчанию удаляет старый кэш, сохраняя свежий (BR-2/FR-2).
-- **PASS:** команда/политика по умолчанию несёт возрастной фильтр (ориентир `until=24h`) или порог
-  объёма (`builder.gc.defaultKeepStorage`); `-a/--all` (если используется) применяется только в
-  паре с фильтром удержания. Параметр удержания конфигурируем.
-- **FAIL:** дефолт безусловно сносит весь build cache (например, `docker builder prune -af` без
-  возрастного фильтра/порога), убивая тёплый кэш каждой сборки.
-
----
-
-## AC-3 — Self-hosting безопасность: только build cache, без рестарта прода
-
-**Условие:** операция затрагивает только build cache и не нарушает работу контейнеров (BR-3/FR-3).
-- **PASS:** используется строго `docker builder prune` (BuildKit GC); в коде/процедуре **нет**
-  `docker image prune`, `docker system prune`, остановки/рестарта контейнеров или прод-деплоя;
-  обслуживание `enduro-trails` и прод-контейнер `orchestrator` не затрагиваются.
-- **FAIL:** найдено любое удаление образов запущенных сервисов / `system prune` / любая
-  остановка/рестарт прод-контейнера в рамках уборки.
-
----
-
-## AC-4 — never-raise: уборка не роняет конвейер
-
-**Условие:** ошибки уборки изолированы (NFR-1/FR-6).
-- **PASS:** сбой docker-команды, ненулевой rc, таймаут или недоступность docker.sock логируются и
-  проглатываются; фоновый цикл/процедура продолжает работу; конвейер не падает. (Путь A:
-  per-tick/per-команда `try/except`, как `disk_watchdog._run`/`tick`.)
-- **FAIL:** ошибка уборки всплывает в процесс/останавливает фоновый цикл/влияет на обработку очереди.
-
----
-
-## AC-5 — kill-switch отключает фичу в исходное состояние
-
-**Условие:** обратимость одним флагом (BR-5/FR-5/NFR-3).
-- **PASS:** при выключенном `*_enabled` демон не стартует (путь A) / процедура неактивна; поведение
-  системы 1:1 как до задачи; (путь A) `GET /queue` показывает `enabled=false`. Флаг задокументирован
-  в `.env.example` и INFRA.md.
-- **FAIL:** фича работает при выключенном флаге, либо kill-switch отсутствует/не документирован.
-
----
-
-## AC-6 — Конфигурируемость с безопасными дефолтами
-
-**Условие:** период/политика удержания настраиваемы, невалид деградирует на дефолт (BR-6/FR-5).
-- **PASS:** период (`*_interval_s`) и политика удержания (возраст/объём) читаются из env с
-  безопасными дефолтами; невалидное значение → лог-warning + дефолт (как валидаторы
-  `disk_monitor_*` в `src/config.py`).
-- **FAIL:** параметры захардкожены без возможности конфигурации, либо невалидное значение роняет
-  старт/процедуру.
-
----
-
-## AC-7 — Наблюдаемость состояния авто-prune
-
-**Условие:** оператор видит состояние уборки (BR-4/FR-4).
-- **PASS:** (путь A) `GET /queue` содержит read-only блок авто-prune (`enabled`, `interval_s`,
-  `retention`, `last_run_ts`, best-effort результат последней уборки); `status()` never-raise.
-  (Путь B/C) способ наблюдения (`docker system df`) описан в INFRA.md.
-- **FAIL:** состояние авто-prune нигде не наблюдаемо.
-
----
-
-## AC-8 — Изоляция от Quality Gate и схемы БД
-
-**Условие:** конвейер и гейты не затронуты (NFR-2/FR §5,§6).
-- **PASS:** `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, `_parse_*`, `src/stage_engine.py` и схема
-  БД (`src/db.py`) — без изменений; новый модуль (путь A) — leaf без зависимостей на конвейер.
-- **FAIL:** изменён любой элемент реестра гейтов / переходов стадий / схемы БД, либо введена новая
-  миграция ради учёта уборки.
-
----
-
-## AC-9 — Документация и регресс
-
-**Условие:** golden source обновлён, полный регресс зелёный (NFR-6).
-- **PASS:** `docs/operations/INFRA.md` обновлён (секция авто-prune + env-карта; снята формулировка
-  ORCH-063 «освобождение build cache — ручная операция»); `.env.example` несёт новые ключи;
-  `CHANGELOG.md` имеет запись Unreleased; `06-adr/ADR-001-*.md` и `07-infra-requirements.md`
-  заполнены; `pytest tests/ -q` зелёный.
-- **FAIL:** функционал изменён, но INFRA.md/.env.example/CHANGELOG/ADR не обновлены; либо регресс
-  `tests/` красный.
-
----
-
-## Сводная матрица AC ↔ FR/BR
-| AC | Покрывает |
-|----|-----------|
-| AC-1 | BR-1 / FR-1 |
-| AC-2 | BR-2 / FR-2 |
-| AC-3 | BR-3 / FR-3 / NFR-2 |
-| AC-4 | NFR-1 / FR-6 |
-| AC-5 | BR-5 / FR-5 / NFR-3 |
-| AC-6 | BR-6 / FR-5 |
-| AC-7 | BR-4 / FR-4 |
-| AC-8 | NFR-2 / FR-5 / FR-6 (TRZ §5,§6) |
-| AC-9 | NFR-6 |

docs/work-items/ORCH-062/04-test-plan.yaml

@@ -1,95 +0,0 @@
-work_item: ORCH-062
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-title: "Авто-prune docker build cache на mva154 — план тестов"
-framework: pytest
-scope: >
-  Покрывает code-путь (Вариант A — heartbeat-демон src/build_cache_pruner.py по образцу
-  src/disk_watchdog.py): чистая decision-логика (надо ли убирать на этом тике), построение
-  безопасной docker-команды с политикой удержания, never-raise на ошибках subprocess/таймаут/
-  недоступность docker.sock, kill-switch (демон не стартует), наблюдаемость status()/GET /queue,
-  интеграция в lifespan. ВНЕ покрытия pytest: реальный вызов docker (subprocess мокается — тесты
-  не должны трогать настоящий docker daemon), реальное освобождение диска. Если архитектор выберет
-  чистый инфра-путь (B daemon.json / C cron) без кода src/**, применимые TC сводятся к ручной
-  host-верификации, описанной в 07-infra-requirements.md / INFRA.md (см. TC-10).
-notes: >
-  docker-вызовы изолируются моками (monkeypatch subprocess.run / docker-клиента) — НИ ОДИН тест не
-  выполняет настоящий `docker builder prune`. Время/период инъектируются (now_provider), как в
-  тестах disk_watchdog. Полный регресс `pytest tests/ -q` остаётся зелёным; STAGE_TRANSITIONS /
-  QG_CHECKS / схема БД не затрагиваются — отдельных гейт-тестов фича не добавляет.
-
-tests:
-  - id: TC-01
-    type: unit
-    description: "decide-функция: при включённом pruner и истёкшем периоде с прошлой уборки решение = PRUNE"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "decide-функция: период с прошлой уборки не истёк → решение = SKIP (анти-частота, NFR-4)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "Построение docker-команды несёт возрастной фильтр удержания (until=<retention>) и НЕ содержит image/system prune (FR-2/FR-3/AC-2/AC-3)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "never-raise: subprocess бросает исключение / возвращает ненулевой rc → тик не падает, ошибка залогирована (FR-6/AC-4)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "never-raise: недоступность docker.sock (FileNotFoundError/PermissionError) → тик пропускается, цикл жив (FR-6/AC-4)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-06
-    type: unit
-    description: "never-raise: таймаут docker-команды (TimeoutExpired) проглатывается, фоновый цикл продолжает работу (FR-6/AC-4)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-07
-    type: unit
-    description: "kill-switch: при *_enabled=False start() — no-op, фоновый поток не стартует (FR-5/AC-5/NFR-3)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "config: невалидный *_interval_s / retention → лог-warning + безопасный дефолт, старт не падает (FR-5/AC-6)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-09
-    type: unit
-    description: "status() never-raise и содержит enabled/interval_s/retention/last_run_ts + best-effort результат последней уборки (FR-4/AC-7)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-10
-    type: unit
-    description: "Изоляция от Quality Gate: модуль-pruner — leaf, не импортирует stage_engine/stages/qg; STAGE_TRANSITIONS и QG_CHECKS не изменены (NFR-2/AC-8)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-11
-    type: integration
-    description: "lifespan: при включённом флаге демон стартует в app-lifespan и корректно останавливается на shutdown (рядом с disk_watchdog), docker замокан (FR-1/AC-1)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS
-
-  - id: TC-12
-    type: integration
-    description: "GET /queue содержит read-only блок авто-prune с состоянием (enabled/interval_s/retention/last_run_ts); при выключенном флаге enabled=false (FR-4/AC-5/AC-7)"
-    module: tests/test_build_cache_pruner.py
-    expected: PASS

docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md

@@ -1,206 +0,0 @@
----
-work_item: ORCH-062
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# ADR-001: Авто-prune docker build cache — фоновый heartbeat-демон, выполняющий `docker builder prune` на хосте через ssh
-
-Work Item: **ORCH-062** — INFRA: авто-prune docker build cache на mva154
-Стадия: **architecture**
-Сквозная регистрация: **`docs/architecture/adr/adr-0025-build-cache-pruner.md`** (кросс-каттинг —
-вводит новый фоновый компонент в ряду `reconciler`/`job_reaper`/`disk_watchdog`).
-
-## Статус
-Proposed
-
-## Контекст
-
-07.06.2026 хост-диск mva154 тихо дорос до 100% и положил **весь self-hosting-конвейер всех
-проектов** (один прод-инстанс `orchestrator` на общей БД/очереди обслуживает и `enduro-trails`, и
-`orchestrator`). Доминирующий «пожиратель» — **docker build cache** (≈11 ГБ), накопленный частыми
-пересборками (`docker compose up -d --build` при прод-деплое; пересборка staging-образа
-`--profile staging`; build-once retag за `check_staging_image_fresh`, ORCH-058). ORCH-063 ввёл
-disk-watchdog, который **только сигнализирует** (Telegram-алерт ≥85%) и явно отложил авто-очистку в
-отдельную задачу. **ORCH-062 — эта задача.**
-
-BRD/ТЗ ставят развилку реализации (`06-adr` решает):
-- **A** — heartbeat-демон в приложении (`src/build_cache_pruner.py`), 1:1 на `src/disk_watchdog.py`.
-- **B** — host `daemon.json builder.gc.defaultKeepStorage` (BuildKit GC, инфра-процедура Owner).
-- **C** — host-cron `docker builder prune -af --filter until=24h` (инфра-процедура Owner).
-
-**Факты, сверенные с кодом (важно для выбора):**
-- **Контейнер `orchestrator` НЕ содержит `docker` CLI.** `Dockerfile:11` ставит только
-  `openssh-client git curl ca-certificates`. `src/image_freshness.py::image_revision` прямо
-  фиксирует: *«`docker` lives on the HOST (the container ships only `openssh-client git`), so when
-  `ssh_target` is given the inspect runs over ssh»*. → Любая docker-операция приложения над хостом
-  идёт **через ssh на хост** (`ssh deploy_ssh_user@deploy_ssh_host docker …`), как уже делают
-  `image_freshness` и `self_deploy` (Phase B). Допущение BRD A-1 («docker.sock смонтирован →
-  приложение может вызвать `docker builder prune`») верно на уровне сокета, но **не** даёт готового
-  CLI; raw-HTTP-over-UDS — лишний код против существующего ssh-канала.
-- В оркестраторе уже три проверенных фоновых daemon-потока с единым каркасом
-  (`threading.Thread(daemon=True)` + `threading.Event`, `start()/stop(timeout)/status()`,
-  per-tick never-raise, kill-switch, снимок в `GET /queue`): `reconciler` (ORCH-053),
-  `job_reaper` (ORCH-065), `disk_watchdog` (ORCH-063, `src/disk_watchdog.py`).
-- ssh-канал на хост сконфигурирован и доступен: `settings.deploy_ssh_user` (дефолт `slin`),
-  `settings.deploy_ssh_host`; ключи проброшены ro (`~/.orchestrator-ssh → /home/slin/.ssh`,
-  ORCH-040); `slin` — в группе docker (деплой-хук запускает `docker compose` на хосте).
-- `docker builder prune` по контракту BuildKit затрагивает **только build cache**, не
-  останавливает контейнеры и не удаляет образы запущенных сервисов (основа BR-3).
-
-## Решение
-
-### Сводка
-
-Выбран **Вариант A — фоновый heartbeat-демон `src/build_cache_pruner.py`**, смоделированный
-**1:1 на `src/disk_watchdog.py`** (тот же каркас, контракт, kill-switch, never-raise, блок в
-`GET /queue`), который **периодически выполняет `docker builder prune` на ХОСТЕ через ssh** —
-тем же каналом `deploy_ssh_user@deploy_ssh_host`, что уже используют `image_freshness` и
-`self_deploy`. Это «вторая половина» disk-watchdog: **watchdog сигналит — pruner убирает**.
-
-Варианты B и C отклонены (см. «Альтернативы»). Вариант C сохраняется как
-**задокументированный ручной fallback** в `07-infra-requirements.md` на случай, если ssh-канал
-недоступен.
-
-### D1 — Механизм: фоновый демон приложения (A), не host-инфра (B/C) — BR-1/FR-1
-
-Новый **leaf**-модуль `src/build_cache_pruner.py` (без обратных зависимостей на
-`stage_engine`/`stages`/`qg`, как `disk_watchdog`/`serial_gate`/`task_deps`). Класс
-`BuildCachePruner` с каркасом `disk_watchdog`: daemon-поток, чистый стоп через
-`_stop.wait(interval)`, контракт `start()/stop(timeout)/status()`, модульный singleton
-`build_cache_pruner`. Каждые `build_cache_prune_interval_s` (дефолт **21600с = 6ч**, NFR-4
-«порядка часов») один тик выполняет уборку. Выбор A над B/C даёт: наблюдаемость в `GET /queue`,
-kill-switch из конфига, golden-source-в-git, юнит-тесты, и **симметрию с disk-watchdog** (один
-паттерн на два смежных эксплуатационных демона) — это снижает стоимость сопровождения и
-когнитивную нагрузку следующего агента.
-
-### D2 — Команда и политика удержания: строго BuildKit GC с возрастным фильтром — BR-2/BR-3/FR-2/FR-3
-
-- Команда уборки — **строго `docker builder prune -f --filter until=<until>`** (BuildKit GC).
-  Дефолт `until=24h` (`build_cache_prune_until`, ориентир из бизнес-запроса): удаляется build
-  cache **старше 24ч**, свежий тёплый кэш недавних сборок сохраняется (BR-2/AC-2).
-- Флаг `-a/--all` — **только** опционально (`build_cache_prune_all`, дефолт `False`) и **всегда в
-  паре с возрастным фильтром**; «снести весь кэш» (`prune -af` без `until`) запрещён дефолтом.
-- **Жёстко запрещены** `docker image prune`, `docker system prune`, любое удаление образов
-  запущенных сервисов, любая остановка/рестарт контейнеров. Затрагивается **только** build cache
-  (BR-3/AC-3). Уборка **никогда** не рестартит/не роняет прод-контейнер `orchestrator`
-  (групповой риск self-hosting).
-
-### D3 — Канал исполнения: ssh на хост (CLI в контейнере нет) — BR-3/FR-3/NFR-1
-
-- Уборка исполняется на хосте: `ssh -o StrictHostKeyChecking=no <deploy_ssh_user@deploy_ssh_host>
-  "docker builder prune -f --filter until=<until>"`, по образцу `image_freshness.image_revision`
-  (`ssh_target`-ветка). Это где **физически** живёт build cache (host docker daemon).
-- **Нет ssh-таргета (`deploy_ssh_host` пуст) → тик no-op** (лог + `status()` отражает причину).
-  Это естественно **скоупит** фичу на self-hosting-прод (где ssh настроен) и делает дефолт
-  безопасным для любого окружения без host-доступа — параллель тому, как `self_deploy`/
-  `image_freshness` деградируют без `_ssh_target()`.
-- Вызов **bounded** таймаутом (`build_cache_prune_timeout_s`, дефлот 120с) и **неблокирующий**
-  конвейер (отдельный daemon-поток). Любой сбой — ниже D6.
-
-### D4 — Конфиг, kill-switch, дефолты — BR-5/BR-6/FR-5/NFR-3
-
-Новый блок флагов в `src/config.py` рядом с `disk_monitor_*` (env-префикс `ORCH_BUILD_CACHE_PRUNE_*`):
-
-| Поле (`settings.*`) | env | Дефолт | Назначение |
-|---|---|---|---|
-| `build_cache_prune_enabled` | `ORCH_BUILD_CACHE_PRUNE_ENABLED` | `True` | kill-switch; `False` → демон не стартует, поведение 1:1 как до задачи (NFR-3) |
-| `build_cache_prune_interval_s` | `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` | `21600` (6ч) | период тика, сек |
-| `build_cache_prune_until` | `ORCH_BUILD_CACHE_PRUNE_UNTIL` | `24h` | возраст удержания (`--filter until=`) |
-| `build_cache_prune_all` | `ORCH_BUILD_CACHE_PRUNE_ALL` | `False` | добавить `-a` (только в паре с `until`) |
-| `build_cache_prune_timeout_s` | `ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S` | `120` | таймаут ssh-команды, сек |
-| `build_cache_prune_notify_min_gb` | `ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB` | `0` | Telegram при освобождении ≥ N ГБ; `0` → тихо (без нотификаций) |
-
-**Дефолт `enabled=True` (обоснование, не самоочевидно):** (а) бизнес-цель BR-1 — авто-предотвращение
-инцидента *без ручного вмешательства*; дефолт `False` означал бы, что оператор обязан вспомнить и
-включить флаг, что подрывает саму задачу; (б) операция документированно-безопасна (только build
-cache, never images/containers/restart — D2/A-2); (в) при отсутствии ssh-таргета тик no-op (D3) →
-фича безопасна-по-построению в любом окружении без host-доступа; (г) полностью обратима kill-switch.
-Это сознательный, явно зафиксированный компромисс «безопасный дефолт vs авто-цель» в пользу
-авто-цели, при сохранённой обратимости. Параллель: `disk_monitor_enabled` тоже дефолт `True`.
-
-**Валидаторы** (паттерн `_disk_positive_int`/`_disk_threshold_pct` из `config.py`): невалидный
-`interval_s`/`timeout_s` (не-int / ≤0) → лог-warning + дефолт; невалидный `until` (не матчит
-`^\d+[smhdw]?$`) → лог-warning + `24h`. Невалидное значение **никогда** не роняет старт (AC-6).
-
-### D5 — Наблюдаемость — BR-4/FR-4
-
-Аддитивный read-only блок `build_cache_prune` в `GET /queue` (как `disk_monitor`):
-`enabled`, `interval_s`, `until`, `all`, `last_run_ts`, `last_reclaimed` (распарсенное
-`Total reclaimed space: …` из вывода `docker builder prune`, best-effort), `last_error`
-(строка причины последнего сбоя/no-op, или `null`). `status()` — never-raise (минимум
-`{"enabled": …}` при ошибке). Опционально — `send_telegram` при освобождении
-≥ `notify_min_gb` (по образцу recovery-сообщения watchdog'а; дефолт выключено).
-
-### D6 — Инварианты и never-raise — NFR-1/NFR-2/NFR-5/FR-6, AC-4/AC-8
-
-- `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, `_parse_*`, `src/stage_engine.py`, схема БД
-  (`src/db.py`) — **не изменяются**. Pruner — эксплуатационный демон, не Quality Gate (категория
-  `reconciler`/`job_reaper`/`disk_watchdog`).
-- **Без миграции БД**: учёт «когда убирали в последний раз»/последний результат — **in-memory**,
-  best-effort; сброс при рестарте безопасен (максимум одна лишняя безопасная уборка, NFR-5).
-- **never-raise на двух уровнях:** per-команда (ненулевой rc / таймаут / `OSError` /
-  недоступность ssh / parsing-ошибка вывода → лог + проглот, тик жив) и per-tick (внешний
-  `try/except` в `_run`, как `disk_watchdog._run`). Фоновый цикл и конвейер не падают.
-- **Self-hosting:** ssh выполняет `docker builder prune` на хосте под `slin` (в группе docker);
-  команда не трогает образы/контейнеры запущенных сервисов; прод не рестартится. Обслуживание
-  `enduro-trails` в общем инстансе не затронуто.
-
-### D7 — Жизненный цикл (`main.lifespan`)
-
-Старт демона — **последним**, сразу после `disk_watchdog.start()` (строки ~113–114 `main.py`);
-стоп — **первым** в reverse-порядке, перед `disk_watchdog.stop()`. `start()` чтит kill-switch
-(no-op при `enabled=False`), как `DiskWatchdog.start()`.
-
-## Альтернативы
-
-- **Вариант B — host `daemon.json builder.gc.defaultKeepStorage`** — **отвергнуто:** применение
-  конфигурации требует **рестарта docker daemon** на mva154, что останавливает **ВСЕ** контейнеры
-  хоста (прод `orchestrator` + всё остальное) → катастрофический self-hosting blast radius (BRD
-  C-1/R-3). Дополнительно: политика BuildKit GC — по **объёму** (`defaultKeepStorage`), а не по
-  возрасту (BR-2 хочет `until=24h`); состояние не наблюдаемо в `GET /queue` (только хостовый
-  `docker system df`); конфигурация — off-git host-артефакт.
-- **Вариант C — host-cron** `docker builder prune -af --filter until=24h` — **отвергнуто как
-  основное** (сохранено как ручной fallback в `07`): off-git невидимая инфра (следующий
-  оператор/агент её не видит), **нет** наблюдаемости в `GET /queue`, **нет** kill-switch из
-  конфига, **не** покрывается `tests/` — ломает принцип self-contained/reproducible/observable,
-  которому следуют остальные демоны.
-- **A через raw-HTTP по docker.sock (без ssh)** — **отвергнуто:** требует ручного HTTP-over-UDS
-  клиента (chunked-ответы, версионирование API) — лишний код против уже существующего,
-  проверенного ssh-канала `image_freshness`/`self_deploy`.
-- **A через `docker` CLI, вкомпилированный в образ** — **отвергнуто:** раздувает образ и требует
-  пересборки/рестарта прода ради уборки; ssh-канал на хост уже есть и не трогает образ.
-
-## Последствия
-
-- **+** Корень инцидента 07.06 (build cache → 100% диска) устраняется **автоматически**, без
-  ручного вмешательства; тёплый кэш ≤24ч сохранён → штатные пересборки не «холодные».
-- **+** Знакомый паттерн фонового демона (калька `disk_watchdog`) → низкий риск, наблюдаемость в
-  `GET /queue`, обратимость одним флагом, юнит-тестируемость, golden-source-в-git.
-- **+** Без новых внешних зависимостей и без рестарта docker daemon/прода (принцип «всё в Docker
-  на одном сервере, минимум зависимостей»); ssh-канал переиспользован.
-- **−** Зависимость от ssh-доступа на хост (как у `image_freshness`/`self_deploy`); при
-  отсутствии — тик no-op (наблюдаемо в `status().last_error`), фича просто не работает, но ничего
-  не ломает. Митигейшн: документированный host-prerequisite + fallback-cron (`07`).
-- **−** In-memory учёт результата (без миграции) — допустим для эксплуатационного демона (не SLA).
-- **Откат:** `ORCH_BUILD_CACHE_PRUNE_ENABLED=false` → демон не стартует, поведение 1:1 как до
-  задачи; миграций БД нет, удалять нечего.
-
-## Ссылки
-- BRD: `docs/work-items/ORCH-062/01-brd.md`
-- TRZ: `docs/work-items/ORCH-062/02-trz.md`
-- Acceptance: `docs/work-items/ORCH-062/03-acceptance-criteria.md`
-- Инфра-требования: `docs/work-items/ORCH-062/07-infra-requirements.md`
-- Тех-риски: `docs/work-items/ORCH-062/10-tech-risks.md`
-- Сквозной ADR: `docs/architecture/adr/adr-0025-build-cache-pruner.md`
-- Сверено по коду: `src/disk_watchdog.py` (каркас-образец), `src/image_freshness.py`
-  (`image_revision`/`_ssh_target` — ssh-канал к host docker), `src/config.py`
-  (`disk_monitor_*` + валидаторы, `deploy_ssh_user/host`), `src/main.py`
-  (`lifespan` старт/стоп демонов, `GET /queue`), `Dockerfile:11` (нет docker CLI в образе).
-- Родственные компоненты: `docs/architecture/adr/adr-0024-disk-watchdog.md` (ORCH-063),
-  `adr-0007-reconciler.md`, `adr-0011-job-reaper-lease-reclaim.md`.
-</content>
-</invoke>

docs/work-items/ORCH-062/07-infra-requirements.md

@@ -1,76 +0,0 @@
----
-work_item: ORCH-062
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 07 — Инфра-требования: ORCH-062 — авто-prune docker build cache на mva154
-
-Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: architecture
-
-> Решение: **Вариант A** (фоновый демон приложения, `docker builder prune` на хосте через ssh) —
-> см. `06-adr/ADR-001-build-cache-pruner.md`. Этот файл фиксирует host-prerequisites выбранного
-> пути и задокументированный ручной fallback (Вариант C, host-cron).
-
-## I-1. Топология / окружения
-
-- Без изменений топологии: **новый внутренний фоновый daemon-поток** в существующем прод-контейнере
-  `orchestrator` (8500), наравне с `reconciler`/`job_reaper`/`disk_watchdog`. Новых контейнеров,
-  портов, сетей, томов — **нет**.
-- Уборка исполняется **на хосте mva154** (host docker daemon — там физически живёт build cache)
-  через уже существующий ssh-канал `deploy_ssh_user@deploy_ssh_host`
-  (по образцу `image_freshness`/`self_deploy` Phase B). В контейнере `docker` CLI **нет**
-  (`Dockerfile:11` — только `openssh-client git curl`), поэтому raw-вызов CLI в контейнере
-  невозможен — только ssh на хост.
-
-## I-2. Переменные окружения / секреты
-
-Новые env (дефолты безопасны; полная карта — `docs/operations/INFRA.md`; канон — `.env.example`):
-
-| env | Дефолт | Назначение |
-|-----|--------|------------|
-| `ORCH_BUILD_CACHE_PRUNE_ENABLED` | `true` | kill-switch; `false` → демон не стартует, 1:1 как до задачи |
-| `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` | `21600` (6ч) | период тика, сек (валидация >0, иначе → дефолт) |
-| `ORCH_BUILD_CACHE_PRUNE_UNTIL` | `24h` | возраст удержания тёплого кэша (`--filter until=`); валидация `^\d+[smhdw]?$`, иначе → `24h` |
-| `ORCH_BUILD_CACHE_PRUNE_ALL` | `false` | добавить `-a` (только в паре с `until`) |
-| `ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S` | `120` | таймаут ssh-команды, сек |
-| `ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB` | `0` | Telegram при освобождении ≥ N ГБ; `0` → тихо |
-
-- Переиспользуются существующие `ORCH_DEPLOY_SSH_USER` (дефолт `slin`) / `ORCH_DEPLOY_SSH_HOST` как
-  ssh-таргет. **Пустой `ORCH_DEPLOY_SSH_HOST` → тик no-op** (фича не активна вне self-host).
-- Секретов не добавляет. ssh-ключи уже проброшены ro (`~/.orchestrator-ssh → /home/slin/.ssh`,
-  ORCH-040); в git не коммитятся.
-
-## I-3. Деплой / рестарт
-
-- **Рестарт docker daemon — НЕ требуется** (ключевое отличие от отклонённого Варианта B). Уборка —
-  это `docker builder prune` (BuildKit GC), без правки `daemon.json`.
-- **Рестарт прод-контейнера ради уборки — категорически НЕ требуется и запрещён** (self-hosting
-  групповой риск). Сам код демона активируется штатным конвейерным деплоем оркестратора
-  (staging 8501 → Confirm Deploy → prod), не отдельной операцией.
-- Host-prerequisites выбранного пути A (процедура Owner, в git не коммитятся — как P-1…P-4 в
-  INFRA.md):
-  1. На хосте установлен `docker` и пользователь `slin` — в группе `docker` (уже выполняется:
-     деплой-хук запускает `docker compose` на хосте).
-  2. ssh с контейнера на хост под `slin` работает без пароля (уже настроено для Phase B деплоя).
-  Иные действия Owner не требуются — фича включена дефолтом и активна при наличии ssh-таргета.
-
-### Ручной fallback (Вариант C, host-cron) — если ssh-канал недоступен
-
-Если по какой-то причине ssh-канал на хост закрыт, эквивалентную защиту можно временно обеспечить
-host-cron на mva154 (процедура Owner, off-git):
-```cron
-# каждые 6 часов: удалить build cache старше 24ч (только build cache, не образы/контейнеры)
-0 */6 * * *  docker builder prune -f --filter until=24h >> /var/log/orch-build-cache-prune.log 2>&1
-```
-Это fallback, не основной путь: cron не наблюдаем в `GET /queue` и не имеет config-kill-switch.
-
-## I-4. CI/CD
-
-- `.gitea/workflows/` — **без изменений**. Добавляется юнит-тест `tests/test_build_cache_pruner.py`
-  (путь A), исполняется существующим `pytest tests/ -q`; docker/ssh в тестах мокируются (как
-  `image_freshness`-тесты не требуют реального docker).
-</content>

docs/work-items/ORCH-062/10-tech-risks.md

@@ -1,43 +0,0 @@
----
-work_item: ORCH-062
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 10 — Технические риски: ORCH-062 — авто-prune docker build cache на mva154
-
-Work Item: **ORCH-062** · Repo: **orchestrator** · Стадия: architecture
-
-> Информационный (гейтом не парсится). Детализация R-1…R-4 из BRD + риски, выявленные при
-> архитектурном решении (Вариант A, ssh-на-хост). Решение — `06-adr/ADR-001-build-cache-pruner.md`.
-
-## Реестр рисков
-
-| ID | Риск | Вер. | Влия. | Митигейшн |
-|----|------|------|-------|-----------|
-| TR-1 | **Слишком агрессивная политика** (`-a` без возрастного фильтра / малый `until`) убивает тёплый кэш → каждая сборка «холодная», медленная (BRD R-1) | Низ. | Сред. | Дефолт `docker builder prune -f --filter until=24h` **без** `-a`; `-a` — только опционально и всегда в паре с `until` (D2/AC-2). Параметр удержания конфигурируем |
-| TR-2 | **Гонка уборки с активной сборкой** staging/прод-образа (`check_staging_image_fresh`, build-once retag) — теоретическое удаление кэша во время сборки (BRD R-2) | Низ. | Низ. | `docker builder prune --filter until=24h` по контракту BuildKit не трогает кэш, занятый/использованный активной сборкой (свежий < 24ч); период тика — порядка часов (6ч), не конкурирует за ресурсы (NFR-4) |
-| TR-3 | **Контейнер не имеет docker CLI** (`Dockerfile:11`) → наивный `subprocess.run(["docker",…])` упал бы FileNotFoundError | — (закрыт решением) | — | Решено архитектурно: уборка идёт через **ssh на хост** (`image_freshness`-канал), не CLI-в-контейнере. Не риск реализации, а зафиксированный инвариант D3 |
-| TR-4 | **ssh-канал недоступен** (нет `deploy_ssh_host` / закрыт ssh) → уборка не выполняется | Низ. | Сред. | Тик no-op + причина в `status().last_error` (наблюдаемо в `GET /queue`); never-raise — конвейер не страдает; документированный host-cron fallback (`07` I-3); disk-watchdog продолжает сигналить о росте диска |
-| TR-5 | **Расширение скоупа** на `docker image prune` / `system prune` → удаление образов запущенных контейнеров (BRD R-4) | Низ. | Выс. | Жёстко исключено D2/FR-3/AC-3: команда строго `docker builder prune`; reviewer проверяет отсутствие `image prune`/`system prune`/рестарта в коде и процедуре |
-| TR-6 | **Рестарт прода/докера ради уборки** (групповой self-hosting риск) | — (исключён) | Выс. | Вариант B (рестарт docker daemon) отвергнут именно по этой причине; Вариант A не рестартит ни прод, ни docker daemon (D3/I-3) |
-| TR-7 | **Сбой docker-команды/таймаут** на хосте всплывает в фоновый поток → останавливает цикл/конвейер | Низ. | Сред. | never-raise per-команда и per-tick (D6/FR-6/AC-4), как `disk_watchdog._run`/`tick`; ненулевой rc/таймаут/`OSError` логируются и проглатываются |
-| TR-8 | **Telegram-шум** при каждом тике | Низ. | Низ. | Нотификация только при освобождении ≥ `notify_min_gb`; дефолт `0` → тихо (D4/D5) |
-
-## Сводный вывод
-
-Доминирующий класс — **операционная безопасность self-hosting** (уборка на проде, обслуживающем
-все проекты). Все высоко-влиятельные риски (TR-5/TR-6) **структурно исключены** выбором узкой
-команды `docker builder prune` и отказом от рестарта docker daemon/прода (отклонён Вариант B).
-Остаточные риски — низкой вероятности и нейтрализуются never-raise + наблюдаемостью в `GET /queue`
-+ обратимостью kill-switch.
-
-**Эскалация:** вводится **новый фоновый компонент** (leaf-демон) — формально подпадает под
-`arch:major-change`. Однако это калька уже принятого паттерна `disk_watchdog`/`reconciler`/
-`job_reaper` **без** изменения `STAGE_TRANSITIONS`/`QG_CHECKS`/схемы БД и **без** рестарта прода,
-поэтому остаточный риск для прод-конвейера — **низкий**; возврат в анализ не требуется (ТЗ
-реализуемо без нарушения принципов архитектуры).
-</content>

docs/work-items/ORCH-062/12-review.md

@@ -1,95 +0,0 @@
----
-verdict: APPROVED
-work_item: ORCH-062
-stage: review
-author_agent: reviewer
-status: approved
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: review
-work_item_id: ORCH-062
-version: 1
----
-
-# Review ORCH-062 — INFRA: авто-prune docker build cache на mva154
-
-## Summary
-
-PR вводит фоновый daemon-поток `src/build_cache_pruner.py` («вторая половина» disk-watchdog
-ORCH-063): периодически выполняет **строго `docker builder prune -f --filter until=<until>`** на
-хосте через ssh, устраняя корень инцидента 07.06.2026 (build cache → 100% диска) автоматически.
-
-Проверены все 4 оси. Реализация **точно** соответствует ADR-001 (D1…D7) и закрывает все 9 критериев
-приёмки. Полный регресс зелёный (`pytest tests/ -q` → **1319 passed**); новый модуль покрыт
-`tests/test_build_cache_pruner.py` (TC-01…TC-12, 23 кейса, docker замокан — ни один тест не трогает
-реальный docker/диск). Реестр QG, переходы стадий и схема БД **не тронуты** (проверено `git diff`:
-`src/stages.py`/`src/stage_engine.py`/`src/qg/`/`src/db.py` без изменений). Документация (golden
-source) обновлена в том же PR. **Findings P0/P1 отсутствуют.**
-
-### Соответствие ТЗ / Acceptance Criteria
-- **AC-1** (авто-уборка без оператора): ✅ тик каждые `interval_s` (дефолт 6ч), pure-функция
-  `decide_prune`.
-- **AC-2** (тёплый кэш удерживается): ✅ дефолт `until=24h`; `-a` добавляется **только в паре** с
-  `until` (`build_prune_command`, TC-03).
-- **AC-3** (self-hosting безопасность): ✅ строго `docker builder prune`; в коде **нет**
-  `image prune`/`system prune`/удаления контейнеров/рестарта прода (TC-03 ассертит явно).
-- **AC-4** (never-raise): ✅ per-команда + per-tick `try/except` (TC-04/05/06).
-- **AC-5** (kill-switch): ✅ гард в `main.lifespan` + `start()` (TC-07).
-- **AC-6** (конфигурируемость + валидаторы): ✅ `_bcp_positive_int`/`_bcp_until`/`_bcp_notify_min_gb`
-  деградируют на безопасный дефолт + warning, старт не падает (TC-08).
-- **AC-7** (наблюдаемость): ✅ read-only блок `build_cache_prune` в `GET /queue`, `status()`
-  never-raise (TC-09/TC-12).
-- **AC-8** (изоляция от QG/БД): ✅ leaf-модуль (TC-10 AST-проверка импортов); `STAGE_TRANSITIONS`/
-  `QG_CHECKS`/схема БД не тронуты (проверено diff).
-- **AC-9** (документация + регресс): ✅ см. раздел «Документация»; регресс зелёный.
-
-### Соответствие ADR
-- **ADR-001 D1** (leaf-демон, не host-инфра B/C): ✅ модуль leaf, каркас `disk_watchdog`.
-- **D2** (команда + удержание): ✅ строго BuildKit GC, `-a` только с `until`.
-- **D3** (ssh-канал, no-op без таргета): ✅ `_ssh_target()`, пустой `deploy_ssh_host` → no-op
-  (TC-05).
-- **D4** (конфиг/дефолты/валидаторы): ✅ 6 флагов и дефолты (`enabled=True`, `interval=21600`,
-  `until=24h`, `all=False`, `timeout=120`, `notify_min_gb=0`) совпадают с таблицей ADR.
-- **D5** (наблюдаемость): ✅ форма `status()` соответствует.
-- **D6** (инварианты/never-raise/без миграции): ✅ in-memory state, два уровня never-raise.
-- **D7** (lifecycle): ✅ старт последним после `disk_watchdog.start()`, стоп первым в reverse.
-- **Трассировка маркеров:** правки в `main.py`/`config.py`/`INFRA.md` аддитивны рядом с маркерами
-  ORCH-063; инвариант disk-watchdog (порядок старт/стоп демонов) сохранён — стоп идёт строго в
-  reverse (`build_cache_pruner.stop()` → `disk_watchdog.stop()`). Нарушений нет.
-
-### Качество кода
-- Docstrings на всех публичных функциях/методах; модульный docstring фиксирует инварианты.
-- `shlex.quote` на `until` (защита remote-shell) поверх regex-валидации `^\d+[smhdw]?$` —
-  двойная защита от инъекции.
-- `decide_prune` вынесена в чистую функцию → детерминированно тестируема без потока/таймера.
-- Тесты содержательные: проверяют поведение (no-op без таргета, запись `last_error`, парсинг
-  reclaimed, изоляция от QG через AST), а не тривиальные ассерты.
-
-## Findings
-
-### P0 — Blocker
-- Нет.
-
-### P1 — Must fix
-- Нет.
-
-### P2 — Should fix
-- Нет (опционально, не блокирует): `decide_prune(interval_s)` и `_stop.wait(interval_s)` дважды
-  гейтят один интервал — это осознанный belt-and-braces (помечено в docstring), регрессом не
-  является.
-
-## Документация
-
-Документация обновлена в том же PR — ось пройдена (golden source = код):
-- **`docs/operations/INFRA.md`**: добавлена секция «Build-cache-pruner (ORCH-062)» + 6 строк в
-  карте env; **снята** формулировка ORCH-063 «освобождение build cache — ручная операция» в части
-  build cache (требование AC-9 / TRZ §7 выполнено буквально).
-- **`docs/architecture/README.md`**: новый компонент в ряду фоновых демонов.
-- **`docs/architecture/adr/README.md`**: индекс adr-0025 (+ комплементарность adr-0024).
-- **`docs/architecture/adr/adr-0025-build-cache-pruner.md`**: сквозной ADR.
-- **`.env.example`**: 6 новых ключей `ORCH_BUILD_CACHE_PRUNE_*` (канон).
-- **`CHANGELOG.md`**: запись в `## [Unreleased]`.
-- **Артефакты задачи**: `06-adr/ADR-001`, `07-infra-requirements.md`, `10-tech-risks.md` заполнены.
-
-Изменений в `README.md` «Известные ограничения» (ORCH-079) данный PR не закрывает — обзорная витрина
-обновления не требует.

docs/work-items/ORCH-062/13-test-report.md

@@ -1,86 +0,0 @@
----
-result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
-work_item: ORCH-062
-stage: testing
-author_agent: tester
-status: pass
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: test-report
-work_item_id: ORCH-062
----
-
-# Test Report — ORCH-062 — INFRA: авто-prune docker build cache на mva154
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3
-- Worktree: `/repos/_wt/orchestrator/feature_ORCH-062-infra-prune-docker-build-cache/`
-- Ветка: `feature/ORCH-062-infra-prune-docker-build-cache`
-- Дата: 2026-06-09
-- Команда: `cd <worktree> && python -m pytest tests/ -v --tb=short`
-
-## Предусловия
-- Review-вердикт ORCH-062 (`12-review.md`): **APPROVED** (P0/P1 отсутствуют). ✅
-- Тесты прогнаны строго из worktree ветки задачи (не из общего `/repos/orchestrator`). ✅
-
-## Smoke API (read-only)
-| Проверка | Результат |
-|----------|-----------|
-| `GET /health` | ✅ `{"status":"ok","service":"orchestrator"}` |
-| `GET /status` | ✅ отвечает (ORCH-062 = id 75, stage `testing`) |
-| `GET /queue` → блок `serial_gate` (ORCH-088) | ✅ присутствует |
-| `GET /queue` → блок `auto_labels` (ORCH-089) | ✅ присутствует |
-| `GET /queue` → блок `build_cache_prune` (ORCH-062) | ⚠️ отсутствует в проде — **ожидаемо** (см. примечание) |
-
-> **Примечание (не регресс):** прод-контейнер на 8500 работает на текущем (старом) коде —
-> фича ORCH-062 ещё НЕ задеплоена (это стадия `testing`, деплой впереди). Блок
-> `build_cache_prune` в `GET /queue` проверяется на коде ветки интеграционным TC-12
-> (`test_tc12_queue_has_build_cache_block` / `test_tc12_queue_disabled_block`) через
-> FastAPI test client — оба PASS. Смок-требование о наличии `serial_gate` (и `auto_labels`)
-> в полезной нагрузке `/queue` выполнено. Регресса смока нет.
-
-## Результаты по TC (04-test-plan.yaml ↔ 03-acceptance-criteria.md)
-
-| TC ID | Тип | Описание | AC | Pytest-кейс(ы) | Результат |
-|-------|-----|----------|----|----------------|-----------|
-| TC-01 | unit | decide=PRUNE при истёкшем периоде | AC-1 | `test_tc01_decide_prune_when_interval_elapsed` | PASS |
-| TC-02 | unit | decide=SKIP внутри периода (анти-частота) | AC-1 | `test_tc02_decide_skip_within_interval` | PASS |
-| TC-03 | unit | команда несёт `until=<retention>`, только builder, без image/system prune; `-a` только с `until` | AC-2/AC-3 | `test_tc03_command_carries_until_and_is_builder_only`, `test_tc03_all_flag_only_paired_with_until` | PASS |
-| TC-04 | unit | never-raise: исключение / ненулевой rc → тик не падает, ошибка залогирована | AC-4 | `test_tc04_subprocess_exception_does_not_raise`, `test_tc04_nonzero_rc_recorded` | PASS |
-| TC-05 | unit | never-raise: недоступность docker.sock / пустой ssh-таргет → тик no-op, цикл жив | AC-4 | `test_tc05_socket_unavailable_skips_tick`, `test_tc05_no_ssh_target_is_noop` | PASS |
-| TC-06 | unit | never-raise: таймаут команды проглатывается | AC-4 | `test_tc06_timeout_swallowed` | PASS |
-| TC-07 | unit | kill-switch: `*_enabled=False` → start() no-op, поток не стартует | AC-5 | `test_tc07_killswitch_does_not_start`, `test_tc07_killswitch_status_block` | PASS |
-| TC-08 | unit | config: невалидный interval/until/notify_min_gb → warning + безопасный дефолт, старт не падает | AC-6 | `test_tc08_invalid_interval_falls_back_to_default`, `test_tc08_invalid_until_falls_back_to_24h`, `test_tc08_negative_notify_min_gb_falls_back_to_zero` | PASS |
-| TC-09 | unit | status() never-raise + содержит enabled/interval_s/until/last_run_ts/last_reclaimed/last_error | AC-7 | `test_tc09_status_shape`, `test_tc09_status_reflects_last_prune` | PASS |
-| TC-10 | unit | изоляция от QG: leaf-модуль (нет импортов stage_engine/stages/qg); STAGE_TRANSITIONS/QG_CHECKS не изменены | AC-8 | `test_tc10_module_is_leaf_no_pipeline_imports`, `test_tc10_stage_transitions_and_qg_unchanged` | PASS |
-| TC-11 | integration | lifespan: при включённом флаге демон стартует и корректно останавливается | AC-1 | `test_tc11_lifespan_starts_and_stops` | PASS |
-| TC-12 | integration | `GET /queue` несёт read-only блок авто-prune; при выключенном флаге `enabled=false` | AC-5/AC-7 | `test_tc12_queue_has_build_cache_block`, `test_tc12_queue_disabled_block` | PASS |
-
-Доп. кейсы модуля (вне нумерации TC, усиливают покрытие): `test_parse_reclaimed_variants`,
-`test_notify_on_significant_reclaim` — PASS.
-
-**Покрытие:** все 12 TC из `04-test-plan.yaml` выполнены и сопоставлены с критериями приёмки
-AC-1…AC-8. AC-9 (документация + зелёный регресс) подтверждён зелёным `pytest tests/` и
-review-осью документации (`12-review.md`).
-
-## Вывод pytest
-
-Модуль ORCH-062 (`tests/test_build_cache_pruner.py`):
-```
-collected 23 items
-... (TC-01 … TC-12, 23 кейса) ...
-======================== 23 passed, 1 warning in 0.38s =========================
-```
-
-Полный регресс (`pytest tests/ -v --tb=short`):
-```
-======================= 1319 passed, 1 warning in 34.74s =======================
-```
-(1 warning — известная Pydantic V2 deprecation в `src/config.py:8`, не связана с задачей.)
-
-## Итог
-PASS — все 1319 тестов зелёные, новый модуль покрыт TC-01…TC-12 (23 кейса, docker замокан —
-ни один тест не трогает реальный docker/диск), smoke read-only OK (`serial_gate` и `auto_labels`
-присутствуют в `/queue`). Каждый TC из плана сопоставлен с AC. Задача готова к переходу на
-`deploy-staging`.

docs/work-items/ORCH-062/14-deploy-log.md

@@ -1,12 +0,0 @@
----
-deploy_status: SUCCESS
-work_item: ORCH-062
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-036 executable self-deploy
-
-Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
-
-Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-062/15-staging-log.md

@@ -1,41 +0,0 @@
----
-staging_status: SUCCESS
-work_item: ORCH-062
-stage: deploy-staging
-author_agent: deployer
-status: success
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-timestamp: 2026-06-09T16:53:42Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-Staging test suite completed against the live staging environment (`orchestrator-staging`, port 8501).
-
-- **Mode:** stub
-- **Result:** 8/10 checks PASS — **exit code 0**
-- **REAL failed:** none
-- **Verdict:** SUCCESS (infra-waived)
-
-The canonical invocation was run inside the `orchestrator-staging` container
-(`docker exec … python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub`),
-so B6 registry-isolation read the running instance's own `.env.staging` process-env (sandbox present, prod ET/ORCH absent).
-
-## Block results
-
-- **[A] SMOKE** — A1 `/health` 200, A2 `/queue` 200, A3 `ORCH_STAGING=true` — all PASS.
-- **[B] ACCESS** — B4 Plane sandbox (R), B5 Gitea sandbox (R+push=true), B6 registry isolation — all PASS.
-- **[C] E2E (stub)** — C7 create issue (PASS), C8 trigger pipeline (PASS), C9a/C9b waived (see below).
-
-## INFRA-WAIVED (ORCH-061, observability)
-
-```
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
-```
-
-C9a/C9b are the two sandbox-infra-only checks (sandbox branch / analyst-job) that depend on SANDBOX bot accounts being project members — not on the pipeline. They are tolerated per ORCH-061 because every REAL check is green; the suite still exits 0. Per the verdict contract, the exit-code → `staging_status` mapping is unchanged: exit 0 → SUCCESS.
-
-Advance to `deploy`.

docs/work-items/ORCH-063/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: INFRA: мониторинг диска mva154 + алерт при >85%
-
-Work Item ID: ORCH-063
-
-## Description
-
-TBD

docs/work-items/ORCH-063/01-brd.md

@@ -1,147 +0,0 @@
----
-work_item: ORCH-063
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 01 — BRD (бизнес-требования): ORCH-063 — INFRA: мониторинг диска mva154 + алерт при >85%
-
-Work Item: **ORCH-063** · Repo: **orchestrator** (self-hosting) · Стадия: analysis
-Заказчик: Слава (Владелец/оператор)
-Тип: INFRA · Приоритет: **P1**
-
----
-
-## 1. Бизнес-контекст и проблема
-
-### 1.1. Инцидент (установленный факт)
-**07.06.2026** диск на хосте **mva154** (`slin@82.22.50.71`) незаметно дорос до **100%** и положил
-**весь конвейер**: CI стал красным, очередь Gitea застряла. Сбой произошёл **тихо** — не было
-ни одного предупреждающего сигнала до полного исчерпания диска. Разбор был ручным и пост-фактум.
-
-### 1.2. Корневая боль
-У оркестратора **нет проактивного сигнала о заполнении диска**. Диск хоста заполняется накопительно
-и предсказуемо (git-worktree в `/repos/_wt/...`, образы Docker, БД `./data/orchestrator.db`, логи),
-но оператор узнаёт о проблеме только когда уже **поздно** — конвейер всех проектов (self-hosting:
-`orchestrator` + `enduro-trails` из одного инстанса) уже встал.
-
-### 1.3. Self-hosting контекст (групповой риск)
-Прод-инстанс `orchestrator` (8500) — ОДИН на ВСЕ прод-проекты, с общей БД и общей очередью
-(`docs/operations/INFRA.md`). Исчерпание диска роняет конвейер **всех** проектов сразу. Ранний
-сигнал (heartbeat-watchdog) — дешёвая страховка от дорогого группового простоя.
-
-### 1.4. Что нужно (формулировка Владельца)
-**Heartbeat-watchdog:** периодически измерять заполнение диска (`df`); при превышении порога
-**85%** — слать алерт Славе (Telegram). Сигнал должен прийти **заранее**, пока есть запас места
-на ручную/будущую авто-очистку.
-
----
-
-## 2. Объём (scope)
-
-### 2.1. В объёме
-- **Фоновый watchdog-демон** (по образцу `reconciler`/`job_reaper`, ORCH-053/065): периодически
-  семплит заполнение хост-ФС, на которой живут рабочие данные оркестратора (репозитории, БД,
-  Docker), и при пересечении порога шлёт Telegram-алерт оператору.
-- **Конфигурируемый порог** (дефолт **85%**), период опроса, kill-switch.
-- **Анти-спам:** алерт по факту пересечения порога + ограниченное по частоте повторение, пока
-  заполнение выше порога (а не на каждом тике); сообщение о возврате «ниже порога» (recovery).
-- **Наблюдаемость** последнего замера/состояния алерта в `GET /queue` (read-only).
-- **never-raise:** любой сбой watchdog не влияет на конвейер.
-
-### 2.2. Вне объёма (явно, не делать)
-- **Авто-очистка / garbage collection диска** (прунинг старых worktree, образов, логов, vacuum БД) —
-  отдельная задача; ORCH-063 только **сигнализирует**, не **лечит**.
-- Интеграция с внешними системами мониторинга (Prometheus/Grafana/Zabbix), метрики/экспортёры.
-- Алерт-каналы кроме существующего Telegram (`send_telegram`).
-- Мониторинг ресурсов кроме диска (CPU/RAM/inode — возможное расширение, не сейчас; inode —
-  кандидат на follow-up, см. §8 R-4).
-- Мониторинг нескольких хостов / удалённый сбор (только локальный хост текущего инстанса).
-- Изменение `STAGE_TRANSITIONS`, реестра `QG_CHECKS`, стадий конвейера, схемы БД-контрактов.
-
----
-
-## 3. Заинтересованные стороны
-- **Владелец/оператор (Слава):** получает алерт, выполняет ручную очистку/реакцию; принимает
-  результат.
-- **Self-hosting прод (`orchestrator`):** обслуживает enduro-trails из того же инстанса — watchdog
-  не должен мешать/ронять конвейер (изоляция через never-raise).
-- **Все прод-проекты:** косвенные бенефициары — ранний сигнал предотвращает групповой простой.
-
----
-
-## 4. Бизнес-требования (BR)
-
-| ID | Требование | Связь |
-|----|------------|-------|
-| BR-1 | Оркестратор **периодически** (heartbeat) измеряет заполнение хост-файловой системы, на которой растут его рабочие данные (репозитории `/repos`, БД `/app/data`, Docker). | FR-1, AC-1 |
-| BR-2 | При достижении/превышении **порога заполнения** (дефолт **85%**) оператор получает **Telegram-алерт** с действенными деталями: точка монтирования/путь, занято %, свободно (ГБ/%). | FR-2, FR-3, AC-2 |
-| BR-3 | **Анти-спам:** алерт шлётся при **пересечении** порога (переход «ниже→на/выше»), а далее повторяется не чаще, чем раз в настраиваемый период (`re-alert`), пока заполнение остаётся выше порога — конвейер/чат не заваливается одинаковыми сообщениями на каждом тике. | FR-4, AC-3 |
-| BR-4 | При возврате заполнения **ниже порога** состояние алерта сбрасывается и отправляется однократное сообщение восстановления «диск ниже порога» (recovery), чтобы оператор знал, что инцидент снят. | FR-4, AC-4 |
-| BR-5 | Порог, период опроса, период повторного алерта и набор отслеживаемых путей **конфигурируемы**; есть **kill-switch** для полного отключения watchdog (нулевая регрессия). | FR-5, AC-5 |
-| BR-6 | **never-raise:** любая ошибка измерения/отправки алерта/самого демона **не роняет** и не блокирует конвейер (фоновый поток, изолированный как `reconciler`/`reaper`). | NFR-1, AC-6 |
-| BR-7 | Текущее состояние watchdog (последний замер по путям, состояние алерта, время последнего алерта, порог/период) наблюдаемо в `GET /queue` (read-only). | FR-6, AC-7 |
-| BR-8 | Watchdog стартует/останавливается вместе с приложением (в `main.lifespan`) и не требует ручного запуска. | FR-1, AC-8 |
-
----
-
-## 5. Нефункциональные требования (NFR)
-
-| ID | Требование |
-|----|------------|
-| NFR-1 | **never-raise / изоляция:** watchdog — отдельный daemon-поток (паттерн `reconciler`/`job_reaper`); исключение в тике логируется и не прерывает ни поток, ни конвейер. |
-| NFR-2 | **Дешевизна:** замер диска — лёгкая операция (предпочтительно stdlib `shutil.disk_usage`, без тяжёлого порождения процессов на каждом тике); период опроса по умолчанию — порядка минут (не секунд), чтобы не создавать нагрузки. |
-| NFR-3 | **Корректность источника замера (self-hosting):** измеряется заполнение **хост-ФС**, а не overlay-ФС контейнера. Контейнер видит хост-разделы через bind-mount'ы (`/repos`, `/app/data`); замер обязан отражать раздел(ы), которые реально заполняются на хосте (см. §6). |
-| NFR-4 | **Нулевая регрессия:** при выключенном kill-switch поведение приложения идентично текущему; enduro-trails и конвейер не затрагиваются. |
-| NFR-5 | **Инварианты неизменны:** `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, существующие таблицы-контракты БД — не меняются. Допустимо не вводить новую миграцию (состояние watchdog — best-effort, может жить в памяти). |
-| NFR-6 | **Self-hosting безопасность:** watchdog только **читает** заполнение и **шлёт** уведомление — не выполняет действий над диском/контейнером, не рестартит прод. |
-
----
-
-## 6. Допущения и ограничения
-
-- **Видимость хост-диска из контейнера.** Оркестратор бежит в контейнере с `network_mode: host` и
-  bind-mount'ами `/home/slin/repos → /repos`, `./data → /app/data`, `/var/run/docker.sock`
-  (`docs/operations/INFRA.md`). Замер `shutil.disk_usage()`/`df` по **смонтированному пути**
-  (`/repos`, `/app/data`) отражает заполнение **хост-раздела**, который этот путь подмонтировал —
-  именно той ФС, что переполнилась 07.06. Замер по `/` (overlay контейнера) **нерепрезентативен** и
-  не должен использоваться как источник истины.
-- **Один заполняющийся раздел.** На mva154, вероятно, рабочие данные (`/home/slin/repos`,
-  `./data`, Docker) лежат на одном host-разделе; набор отслеживаемых путей по умолчанию должен
-  покрывать его и при совпадении физического устройства не дублировать алерт (дедуп по устройству —
-  желательное, не блокирующее требование; решение — за архитектором).
-- **Best-effort алертинг.** Доставка Telegram не гарантирована (та же `send_telegram`, never-raise);
-  watchdog — ранний сигнал, не SLA-гарантия. Состояние анти-спама может быть in-memory (после
-  рестарта допустим повторный алерт, если всё ещё выше порога — это безопасно).
-- **Порог 85%** — зафиксирован Владельцем как дефолт; конфигурируем (BR-5) на случай тюнинга.
-- **Только сигнал, не лечение.** Авто-освобождение места — вне объёма (§2.2).
-
----
-
-## 7. Критерии успеха (резюме; детали — 03-acceptance-criteria.md)
-- AC-1 watchdog периодически измеряет заполнение хост-ФС и стартует с приложением.
-- AC-2 при ≥85% оператор получает Telegram-алерт с действенными деталями.
-- AC-3 анти-спам: один алерт на пересечение + ограниченное повторение, не на каждом тике.
-- AC-4 возврат ниже порога → сброс состояния + recovery-сообщение.
-- AC-5 порог/период/пути/kill-switch конфигурируемы; выключение → нулевая регрессия.
-- AC-6 любой сбой watchdog не роняет конвейер (never-raise).
-- AC-7 состояние watchdog видно в `GET /queue`.
-
----
-
-## 8. Риски (детали — 10-tech-risks.md, заполняет архитектор)
-- **R-1** — замер по неверной ФС (overlay `/` контейнера вместо хост-раздела) → ложно-низкое
-  заполнение → watchdog «молчит» при реально полном хосте (повтор инцидента 07.06). Митигировать:
-  замер по bind-mount-путям хост-разделов (NFR-3).
-- **R-2** — спам-алерты на каждом тике при длительном превышении порога → шум, оператор глохнет к
-  сигналу. Митигировать: анти-спам/cooldown (BR-3).
-- **R-3** — порог 85% слишком близок к 100% при быстром росте (один большой build/worktree) →
-  оператор не успевает среагировать. Зафиксирован как дефолт Владельцем; конфигурируемость (BR-5)
-  оставляет рычаг. Возможный follow-up — второй «критический» порог (напр. 95%) с более громким
-  алертом (кандидат, не в объёме).
-- **R-4** — исчерпание **inode** (а не байтов) тоже валит ФС, но не ловится замером по %-байтам.
-  Кандидат на расширение (вне объёма ORCH-063).
-- **R-5** — `df`/субпроцесс на каждом тике — лишняя нагрузка; предпочесть stdlib (NFR-2).

docs/work-items/ORCH-063/02-trz.md

@@ -1,186 +0,0 @@
----
-work_item: ORCH-063
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 02 — ТЗ (TRZ): ORCH-063 — INFRA: мониторинг диска mva154 + алерт при >85%
-
-Work Item: **ORCH-063** · Repo: **orchestrator** · Стадия: analysis
-
-> ТЗ описывает **что** и **где** должно измениться (модули/контракты/артефакты), выведенное из BRD и
-> фактического кода. **Как** (точная структура демона, способ замера, хранение состояния анти-спама,
-> точки врезки) — решает архитектор в `06-adr/`. ТЗ фиксирует требования и границы.
-
----
-
-## 1. Сводка изменения
-
-Ввести **disk-watchdog** — фоновый daemon-поток (по образцу `reconciler`/`job_reaper`), который
-периодически (heartbeat) измеряет заполнение **хост-файловой системы** через смонтированные в
-контейнер bind-пути и при пересечении настраиваемого порога (дефолт **85%**) шлёт **Telegram-алерт**
-оператору. Анти-спам (алерт на пересечение + ограниченное повторение + recovery при возврате ниже
-порога), наблюдаемость в `GET /queue`, kill-switch, never-raise. **Машина стадий, реестр QG и схема
-БД-контрактов не меняются; новой миграции не требуется.**
-
----
-
-## 2. Задействованные модули / пути
-
-| Путь | Действие |
-|------|----------|
-| `src/disk_watchdog.py` *(новый leaf-модуль; имя — на усмотрение архитектора)* | **создать** — чистая логика замера + решение об алерте (pure, тестируемо) + daemon-обёртка (`threading.Thread(daemon=True)` + `threading.Event`, `start`/`stop`/`status`), never-raise. Образец: `src/reconciler.py`, `src/job_reaper.py`. |
-| `src/config.py` | **изменить** — добавить флаги фичи (см. §8). |
-| `src/main.py` | **изменить** — `start()`/`stop()` watchdog в `lifespan` (после `reaper.start()` / в reverse-порядке на shutdown); добавить read-only блок `disk_monitor` в `GET /queue`. |
-| `src/notifications.py` | **изменить (опц.)** — переиспользовать `send_telegram(text)` (notifying) напрямую из watchdog **или** добавить тонкий helper `notify_disk_alert(...)`/`notify_disk_recovery(...)` (never-raise). Выбор — архитектор. |
-| `.env.example` | **изменить** — задокументировать новые `ORCH_DISK_*` переменные (дескрипторы, без значений-секретов). |
-
-> Чистую логику (замер по путям, дедуп по устройству, решение «алертить / повторить / recovery» как
-> функция от текущего %, порога и предыдущего состояния) держать в **leaf-модуле**, never-raise, по
-> образцу `src/task_deps.py` / `src/post_deploy.py` — для юнит-тестируемости без фонового потока.
-
----
-
-## 3. Функциональные требования
-
-### FR-1 — Heartbeat-демон (BR-1, BR-8)
-- Фоновый daemon-поток измеряет заполнение диска каждые `disk_monitor_interval_s` секунд.
-- Стартует/останавливается в `main.lifespan` (паттерн `reconciler.start()`/`reaper.start()` и reverse
-  на shutdown). Период — `threading.Event().wait(interval)` (чистый stop, как `reconciler._run`).
-- Контракт демона: `start()`, `stop(timeout)`, `status() -> dict` (для `/queue`).
-
-### FR-2 — Замер заполнения хост-ФС (BR-1, NFR-3)
-- Для каждого пути из `disk_monitor_paths` измерить заполнение (`used/total`, %), свободно (байты/%).
-- **Источник — смонтированные хост-пути**, а не overlay `/` контейнера (NFR-3): дефолтный набор
-  путей должен покрывать раздел(ы), на которых растут рабочие данные оркестратора — `/repos`
-  (host `/home/slin/repos`) и `/app/data` (host `./data`). Способ замера — предпочтительно stdlib
-  `shutil.disk_usage(path)` (без субпроцесса `df` на каждом тике, NFR-2); финальный выбор — архитектор.
-- При совпадении физического устройства у нескольких путей — желательно не дублировать алерт (дедуп
-  по устройству `st_dev`/mount); требование «желательно», не блокирующее.
-- Недоступный/несуществующий путь → пропуск этого пути с лог-warning, без падения тика.
-
-### FR-3 — Алерт при превышении порога (BR-2)
-- Если заполнение пути **≥ `disk_monitor_threshold_pct`** (дефолт `85`) — сформировать и отправить
-  Telegram-алерт через `send_telegram` (notifying, **не** silent — это alert, как `notify_error`).
-- **Содержимое алерта (действенное):** идентификатор хоста/пути (точка монтирования), занято %,
-  свободно (ГБ и/или %), порог. Текст — на русском, по стилю существующих `notify_*`-алертов.
-
-### FR-4 — Анти-спам, повтор и recovery (BR-3, BR-4)
-- Решение об отправке — функция от `(current_pct, threshold, previous_state, now)`:
-  - **переход «ниже→на/выше порога»** → отправить алерт (первое пересечение);
-  - **остаётся выше порога** → повторно слать **не чаще**, чем раз в `disk_monitor_realert_s`
-    (cooldown), а не на каждом тике;
-  - **переход «выше→ниже порога»** → сбросить состояние алерта и отправить однократное
-    **recovery-сообщение** «диск ниже порога» (notifying).
-- Состояние анти-спама может быть **in-memory** (best-effort; после рестарта допустим повторный
-  алерт, если всё ещё выше порога — безопасно, NFR-5). Время — через инъецируемый `now`-провайдер,
-  чтобы решение было тестируемо без реального таймера.
-
-### FR-5 — Конфигурируемость и kill-switch (BR-5, NFR-4)
-- Поведение управляется флагами `config.py` (см. §8). При `disk_monitor_enabled=False` watchdog
-  **не запускается** (демон не стартует в `lifespan`) — нулевая регрессия.
-
-### FR-6 — Наблюдаемость (BR-7)
-- `GET /queue` получает аддитивный read-only блок `disk_monitor` (по образцу блоков `reconcile`/
-  `reaper`/`serial_gate`): `enabled`, `threshold_pct`, `interval_s`, `paths` с последним замером
-  (`used_pct`, `free_bytes`/`free_gb`), `alerting` (bool на путь/глобально), `last_alert_at`.
-  never-raise: при ошибке — минимальный словарь с флагами.
-
----
-
-## 4. Изменения API
-
-- **Новых обязательных endpoint'ов нет.** Снимок состояния отдаётся через существующий `GET /queue`
-  (аддитивный блок `disk_monitor`, §3/FR-6); существующие ключи ответа не меняются.
-- Опционально (на усмотрение архитектора, **не обязательно**): отдельный `GET /disk` для on-demand
-  замера. Если вводится — задокументировать в README. Рекомендация: ограничиться блоком в `/queue`.
-
----
-
-## 5. Изменения схемы БД
-
-**Нет.** Состояние watchdog — best-effort, держится в памяти демона (NFR-5). Новых таблиц/колонок/
-миграций не вводится. `STAGE_TRANSITIONS`/`QG_CHECKS`/`tasks`/`jobs`/`agent_runs` — без изменений.
-
-> Если архитектор решит сделать состояние last-alert durable (переживающим рестарт) — допустима
-> только **аддитивная, идемпотентная** миграция (`CREATE TABLE IF NOT EXISTS`), но это **не**
-> требование ТЗ (по умолчанию — in-memory).
-
----
-
-## 6. Требования к новым/изменённым QG checks
-
-**Нет.** Watchdog — фоновый эксплуатационный демон, **не** Quality Gate стадии. Реестр `QG_CHECKS` и
-`check_*` не трогаются (аналогично `reconciler`/`job_reaper`, которые тоже не являются QG).
-
----
-
-## 7. Совместимость / регресс
-
-- **Аддитивно:** новый leaf-модуль + точечные врезки в `main.lifespan` и `GET /queue` + флаги config.
-  Существующий код не переписывается.
-- **Kill-switch** `disk_monitor_enabled` (дефолт `True`): `False` → демон не стартует, `/queue`-блок
-  отдаёт `{"enabled": false}` — поведение приложения 1:1 как сейчас (NFR-4).
-- **never-raise:** изоляция фонового потока (паттерн `reconciler`/`reaper`); сбой замера/отправки/
-  тика не влияет на конвейер (BR-6/NFR-1). Демон бежит в общем self-hosting-инстансе — обязан быть
-  безопасным для enduro-trails.
-- **Обратимость:** удаление эффекта = выключение флага; миграций БД нет, откат тривиален.
-- **Self-hosting:** watchdog только читает заполнение и шлёт уведомление — не трогает диск/контейнер,
-  не рестартит прод (NFR-6).
-
----
-
-## 8. Конфигурация (`src/config.py`)
-
-По образцу `reconcile_*` / `merge_gate_*`:
-
-| Поле (env) | Тип / дефолт | Назначение |
-|------------|--------------|------------|
-| `disk_monitor_enabled` (`ORCH_DISK_MONITOR_ENABLED`) | `bool = True` | kill-switch; `False` → демон не стартует (нулевая регрессия). |
-| `disk_monitor_interval_s` (`ORCH_DISK_MONITOR_INTERVAL_S`) | `int = 300` | период heartbeat-замера, сек (порядок минут, NFR-2). |
-| `disk_monitor_threshold_pct` (`ORCH_DISK_MONITOR_THRESHOLD_PCT`) | `int = 85` | порог заполнения для алерта (дефолт фиксирован Владельцем). |
-| `disk_monitor_realert_s` (`ORCH_DISK_MONITOR_REALERT_S`) | `int = 21600` | минимальный интервал между повторными алертами, пока выше порога (анти-спам; ~6 ч). |
-| `disk_monitor_paths` (`ORCH_DISK_MONITOR_PATHS`) | `str = "/repos,/app/data"` (CSV) | отслеживаемые пути (смонтированные хост-разделы, NFR-3); пусто → дефолтный набор. |
-
-Финальный набор/имена флагов и дефолты уточняет архитектор; диапазон/валидация значений (порог в
-1..100, интервалы > 0) — defensive, невалидное → дефолт + лог-warning (паттерн `reconcile_grace_*`).
-
----
-
-## 9. Артефакты pipeline (создать/обновить в ТОМ ЖЕ PR)
-
-Документация — golden source (CLAUDE.md §2). По итогам разработки обновить:
-- `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md` — решение (способ замера хост-ФС,
-  набор путей/дедуп, хранение состояния анти-спама, точки врезки, дефолты порога/периода).
-- `docs/architecture/README.md` — новый компонент «Disk-watchdog (ORCH-063)» в списке компонентов +
-  описание блока `disk_monitor` в `GET /queue`.
-- `docs/operations/INFRA.md` — раздел/строки про disk-watchdog: что мониторится, порог, как
-  отключить (`ORCH_DISK_MONITOR_ENABLED`), что делать при алерте (ручная очистка — ссылка/руководство).
-- `.env.example` — новые `ORCH_DISK_*` дескрипторы.
-- `CHANGELOG.md` — запись `feat:`.
-- При новом endpoint `/disk` (если архитектор введёт) — обновить таблицу API в README.
-
----
-
-## 10. Инварианты (не нарушать)
-- `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, схема существующих таблиц БД — **без изменений**.
-- never-raise на тик демона; сбой watchdog не блокирует и не роняет конвейер (NFR-1).
-- Замер — по **хост-разделам** (bind-mount-пути), не по overlay `/` контейнера (NFR-3).
-- Не рестартить/не ронять прод-контейнер; watchdog только читает и уведомляет (NFR-6, self-hosting).
-- При выключенном флаге — поведение 1:1 как сейчас; enduro-trails не затрагивается.
-
----
-
-## 11. Открытые вопросы для архитектора (не блокируют анализ)
-- OQ-1: Способ замера — stdlib `shutil.disk_usage(path)` vs субпроцесс `df` (рекомендация — stdlib,
-  NFR-2).
-- OQ-2: Дедуп путей по физическому устройству (`os.stat().st_dev`), чтобы единый host-раздел не
-  алертил дважды.
-- OQ-3: Состояние анти-спама — in-memory (рекомендация) vs durable (доп. таблица); влияет на
-  поведение после рестарта.
-- OQ-4: Нужен ли второй «критический» порог (напр. 95%) с усиленным/более частым алертом — кандидат,
-  по умолчанию **нет** (один порог 85%).
-- OQ-5: Helper в `notifications.py` (`notify_disk_alert`) vs прямой вызов `send_telegram` из watchdog.

docs/work-items/ORCH-063/03-acceptance-criteria.md

@@ -1,132 +0,0 @@
----
-work_item: ORCH-063
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 03 — Критерии приёмки (Acceptance Criteria): ORCH-063 — INFRA: мониторинг диска mva154 + алерт при >85%
-
-Work Item: **ORCH-063** · Repo: **orchestrator** · Стадия: analysis
-
-Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
-считается провалом). Reviewer/tester проверяет их буквально по файлам репозитория и тестам.
-
----
-
-## AC-1 — Heartbeat-демон запускается с приложением
-
-**Условие:** фоновый disk-watchdog периодически измеряет заполнение диска и стартует вместе с
-приложением без ручного запуска.
-- **PASS:** есть daemon-поток (паттерн `reconciler`/`job_reaper`: `threading.Thread(daemon=True)` +
-  `threading.Event`), стартующий в `main.lifespan` (после `reaper.start()`) и останавливающийся на
-  shutdown; период замера = `disk_monitor_interval_s`; есть метод `status()`.
-- **FAIL:** watchdog не стартует автоматически; блокирующий `time.sleep` без чистого stop; замер
-  выполняется в обработчике вебхука/в горячем пути конвейера, а не в отдельном демоне.
-
----
-
-## AC-2 — Алерт при заполнении ≥ порога
-
-**Условие:** при заполнении отслеживаемого пути ≥ `disk_monitor_threshold_pct` (дефолт 85%) оператор
-получает Telegram-алерт с действенными деталями.
-- **PASS:** при `used_pct ≥ threshold` вызывается `send_telegram` (notifying, не silent) с
-  сообщением, содержащим путь/точку монтирования, занято %, свободно (ГБ или %) и порог.
-- **FAIL:** алерт не отправляется при превышении; отправляется silent (`disable_notification=True`)
-  и не пингует; сообщение без действенных деталей (нет %/пути/свободно).
-
----
-
-## AC-3 — Анти-спам: не на каждом тике
-
-**Условие:** при длительном превышении порога алерт не дублируется на каждом тике.
-- **PASS:** алерт отправляется при пересечении порога (переход «ниже→на/выше»); пока заполнение
-  остаётся выше порога, повторный алерт шлётся не чаще `disk_monitor_realert_s`. Решение об отправке
-  выражено чистой функцией от `(current_pct, threshold, previous_state, now)` и покрыто юнит-тестом.
-- **FAIL:** алерт шлётся на каждом тике при стабильном превышении; нет cooldown/состояния; логика
-  отправки не тестируема (зашита в поток с реальным таймером).
-
----
-
-## AC-4 — Recovery при возврате ниже порога
-
-**Условие:** при возврате заполнения ниже порога состояние сбрасывается и приходит однократное
-сообщение восстановления.
-- **PASS:** переход «выше→ниже порога» сбрасывает состояние алерта и отправляет ровно одно
-  recovery-сообщение «диск ниже порога»; последующее новое превышение снова алертит (цикл повторяем).
-- **FAIL:** после спада ниже порога состояние не сбрасывается (новое превышение молчит из-за
-  «залипшего» cooldown); recovery шлётся повторно на каждом тике ниже порога.
-
----
-
-## AC-5 — Конфигурируемость и kill-switch
-
-**Условие:** порог, период, период повтора, пути и включение конфигурируемы; выключение даёт нулевую
-регрессию.
-- **PASS:** в `config.py` есть `disk_monitor_enabled` / `disk_monitor_interval_s` /
-  `disk_monitor_threshold_pct` / `disk_monitor_realert_s` / `disk_monitor_paths` (с env-маппингом);
-  при `disk_monitor_enabled=False` демон не стартует, `/queue`-блок отдаёт `{"enabled": false}`,
-  поведение приложения идентично текущему. Новые env задокументированы в `.env.example`.
-- **FAIL:** значения захардкожены; нет kill-switch; при выключении меняется поведение конвейера;
-  env не задокументированы.
-
----
-
-## AC-6 — never-raise (изоляция от конвейера)
-
-**Условие:** любой сбой watchdog не роняет и не блокирует конвейер.
-- **PASS:** замер по несуществующему/недоступному пути, ошибка `send_telegram`, исключение в тике —
-  логируются и **не** пробрасываются; демон продолжает работу; конвейер и enduro-trails не
-  затронуты. Покрыто тестом (замер по битому пути / исключение в отправке → тик не падает).
-- **FAIL:** исключение в тике останавливает поток или всплывает в приложение; недоступный путь
-  роняет замер всех путей.
-
----
-
-## AC-7 — Наблюдаемость в `GET /queue`
-
-**Условие:** состояние watchdog видно в `GET /queue`.
-- **PASS:** ответ `GET /queue` содержит аддитивный блок `disk_monitor` с `enabled`, `threshold_pct`,
-  `interval_s`, `paths` (последний замер: `used_pct`, свободно), `alerting`, `last_alert_at`;
-  существующие ключи ответа не изменены; блок never-raise (при ошибке — минимальный словарь).
-- **FAIL:** блока нет; изменены/сломаны существующие ключи `/queue`; блок может выбросить исключение.
-
----
-
-## AC-8 — Корректный источник замера (хост-ФС)
-
-**Условие:** замер отражает заполнение хост-раздела, а не overlay-ФС контейнера.
-- **PASS:** дефолтный набор путей — смонтированные хост-пути (`/repos`, `/app/data`); замер по ним
-  репрезентативен для заполняющегося хост-раздела. Источником истины **не** является `shutil.disk_usage("/")`
-  (overlay контейнера).
-- **FAIL:** мониторится только `/` контейнера → ложно-низкое заполнение при реально полном хосте
-  (риск повтора инцидента 07.06).
-
----
-
-## AC-9 — Документация обновлена (golden source)
-
-**Условие:** документация обновлена в том же PR (CLAUDE.md §2; reviewer-ось).
-- **PASS:** обновлены `docs/architecture/README.md` (компонент + блок `/queue`),
-  `docs/operations/INFRA.md` (что мониторится, порог, как отключить, реакция на алерт),
-  `.env.example` (новые `ORCH_DISK_*`), `CHANGELOG.md` (`feat:`); создан
-  `docs/work-items/ORCH-063/06-adr/ADR-001-*.md`.
-- **FAIL:** функционал добавлен, но обзорные/операционные доки или ADR не обновлены.
-
----
-
-## Сводная матрица AC ↔ FR/BR
-
-| AC | Покрывает |
-|----|-----------|
-| AC-1 | BR-1 / BR-8 / FR-1 |
-| AC-2 | BR-2 / FR-2 / FR-3 |
-| AC-3 | BR-3 / FR-4 |
-| AC-4 | BR-4 / FR-4 |
-| AC-5 | BR-5 / FR-5 / NFR-4 |
-| AC-6 | BR-6 / NFR-1 |
-| AC-7 | BR-7 / FR-6 |
-| AC-8 | NFR-3 / FR-2 |
-| AC-9 | CLAUDE.md §2 (документация = golden source) |

docs/work-items/ORCH-063/04-test-plan.yaml

@@ -1,92 +0,0 @@
-work_item: ORCH-063
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-title: "Disk-watchdog mva154: heartbeat-замер + Telegram-алерт при >85%"
-framework: pytest
-scope: >
-  Покрывается: чистая логика решения об алерте (порог/анти-спам/recovery), замер заполнения
-  по путям с дедупом/never-raise, формат алерт-сообщения, daemon start/stop/status,
-  блок disk_monitor в GET /queue, нулевая регрессия при выключенном kill-switch.
-  Вне покрытия: реальная отправка в Telegram (мокается), реальное заполнение диска mva154,
-  внешние системы мониторинга, авто-очистка диска (вне объёма ORCH-063).
-notes: >
-  Время и Telegram-транспорт инъецируются/мокаются: now-провайдер для cooldown,
-  monkeypatch send_telegram для перехвата вызовов. shutil.disk_usage мокается для задания
-  used_pct без реального диска. Полный регресс tests/ должен оставаться зелёным.
-  Имена модулей/функций финализирует архитектор (ADR-001) — module в TC ориентировочны.
-
-tests:
-  - id: TC-01
-    type: unit
-    description: "Решение алертить: used_pct >= threshold и состояние было 'ниже' -> should_alert=True (пересечение порога)."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "Анти-спам: used_pct >= threshold, состояние уже 'выше', с последнего алерта прошло < realert_s -> should_alert=False (не на каждом тике)."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "Повтор по cooldown: 'выше' порога, прошло >= realert_s с последнего алерта -> should_alert=True (повторный алерт)."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "Recovery: переход used_pct < threshold из состояния 'выше' -> сброс состояния + ровно одно recovery-сообщение; ниже порога устойчиво -> recovery не повторяется."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "Граница порога: used_pct ровно == threshold трактуется как превышение (>= порога алертит); used_pct == threshold-1 -> молчит."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-06
-    type: unit
-    description: "Замер по путям: для каждого пути считается used_pct/free через (мок) shutil.disk_usage; совпадающие по устройству пути дедуплицируются (одно срабатывание)."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-07
-    type: unit
-    description: "never-raise: недоступный/несуществующий путь и исключение в send_telegram логируются и не пробрасываются; тик завершается, демон жив."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "Формат алерта: сообщение содержит путь/точку монтирования, used_pct, свободно (ГБ или %) и порог; отправляется notifying (disable_notification не True)."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-09
-    type: unit
-    description: "Kill-switch: при disk_monitor_enabled=False демон не стартует в lifespan (или start() — no-op); замеры/алерты не выполняются."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-10
-    type: unit
-    description: "status(): возвращает dict с enabled/threshold_pct/interval_s/paths(последний замер)/alerting/last_alert_at; never-raise при отсутствии замеров."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-11
-    type: integration
-    description: "GET /queue содержит аддитивный блок disk_monitor с ожидаемыми ключами; существующие ключи ответа (counts/reconcile/reaper/serial_gate/...) не изменены."
-    module: tests/test_disk_watchdog.py
-    expected: PASS
-
-  - id: TC-12
-    type: integration
-    description: "Тик демона при замоканном высоком заполнении (>=85%) вызывает send_telegram один раз; при выключенном флаге GET /queue отдаёт disk_monitor.enabled=false и алертов нет (нулевая регрессия)."
-    module: tests/test_disk_watchdog.py
-    expected: PASS

docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md

@@ -1,196 +0,0 @@
----
-work_item: ORCH-063
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# ADR-001: Disk-watchdog — heartbeat-демон мониторинга заполнения хост-ФС + Telegram-алерт при ≥85%
-
-Work Item: **ORCH-063** — INFRA: мониторинг диска mva154 + алерт при >85%
-Стадия: **architecture**
-Сквозная регистрация: **`docs/architecture/adr/adr-0024-disk-watchdog.md`** (новый фоновый
-компонент-демон в ряду `reconciler`/`job_reaper` — кросс-каттинговое решение).
-
-## Статус
-Proposed
-
-## Контекст
-07.06.2026 диск хоста **mva154** (`slin@82.22.50.71`) тихо дорос до 100% и положил **весь
-конвейер всех проектов** (CI красный, очередь Gitea застряла). Корневая боль: у оркестратора
-**нет проактивного сигнала** о заполнении диска — оператор узнаёт о проблеме постфактум, когда
-self-hosting-инстанс `orchestrator` (8500, один на все прод-проекты, общая БД/очередь) уже встал
-(BRD §1).
-
-Факты, сверенные с кодом:
-- В оркестраторе уже есть **каркас фонового daemon-потока**, повторённый дважды:
-  `src/reconciler.py::Reconciler` (ORCH-053) и `src/job_reaper.py` (ORCH-065) — оба
-  `threading.Thread(daemon=True)` + `threading.Event`, чистый stop через `self._stop.wait(interval)`,
-  контракт `start()`/`stop(timeout)`/`status()`, **never-raise** на тик, наблюдаемость через
-  `GET /queue`. Старт/стоп — в `src/main.py::lifespan` (старт после `reaper.start()`, стоп в
-  reverse-порядке), снимок — в `@app.get("/queue")` (`"reaper": reaper.status()` и др.).
-- Контейнер бежит `network_mode: host` с bind-mount'ами host-разделов: `/home/slin/repos → /repos`,
-  `./data → /app/data` (`docs/operations/INFRA.md` §«Тома»). Именно эта ФС переполнилась 07.06.
-  Замер по overlay `/` контейнера нерепрезентативен (BRD §6, NFR-3).
-- Алерты шлются через `src/notifications.py::send_telegram` (notifying по умолчанию; silent —
-  только при явном `disable_notification`).
-- Образец «чистая leaf-логика + тонкая обёртка» уже принят: `src/task_deps.py`, `src/serial_gate.py`,
-  `src/staging_verdict.py` — pure-функции (never-raise) + точечные врезки.
-
-«Как есть» не годится: единственный сигнал о диске — падение всего конвейера. Нужен дешёвый ранний
-heartbeat-watchdog. ТЗ (02-trz) фиксирует требования; данный ADR фиксирует **как** (§OQ-1..OQ-5).
-
-## Решение
-
-### Сводка
-Вводим **disk-watchdog** — новый фоновый daemon-поток `src/disk_watchdog.py`, точная калька
-архитектуры `reconciler`/`job_reaper`. Демон каждые `disk_monitor_interval_s` (дефолт 300с) меряет
-заполнение **смонтированных хост-путей** через stdlib `shutil.disk_usage(path)`, дедуплицирует пути
-по физическому устройству (`os.stat(path).st_dev`), и через **чистую функцию решения** от
-`(used_pct, threshold, prev_state, now)` решает: послать алерт (пересечение порога вверх), повторить
-(cooldown `disk_monitor_realert_s`), послать recovery (возврат вниз) или молчать. Состояние
-анти-спама — **in-memory** (без миграции БД). Наблюдаемость — аддитивный блок `disk_monitor` в
-`GET /queue`. Kill-switch `disk_monitor_enabled`. **never-raise** на каждом уровне.
-`STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/схема БД — **не трогаются**.
-
-### D1 — Способ замера: stdlib `shutil.disk_usage` (OQ-1, FR-2/NFR-2)
-Замер каждого пути — `shutil.disk_usage(path)` (`total`/`used`/`free` в байтах), `used_pct =
-round(used / total * 100, 1)`. Чистый системный вызов `statvfs`, без порождения субпроцесса `df` на
-каждом тике (NFR-2: heartbeat порядка минут, дёшево). `df` отвергнут (см. Альтернативы).
-- **Почему репрезентативно для хост-ФС (NFR-3, AC-8):** `shutil.disk_usage(path)` возвращает
-  статистику ФС, которой принадлежит `path`. На bind-mount'е `/repos`/`/app/data` это **хост-раздел**
-  (тот, что переполнился 07.06), а не overlay контейнера. Дефолтный набор путей —
-  `/repos,/app/data`; `shutil.disk_usage("/")` **не** используется как источник истины.
-- Недоступный/несуществующий путь (`FileNotFoundError`/`PermissionError`/`OSError`) → пропуск
-  **этого** пути с `logger.warning`, остальные пути меряются дальше (FR-2, AC-6: один битый путь не
-  роняет весь тик).
-
-### D2 — Дедуп путей по физическому устройству (OQ-2, FR-2)
-Перед замером пути резолвим `os.stat(path).st_dev` и схлопываем пути с одинаковым `st_dev` в один
-логический раздел (ключ дедупа — `st_dev`; для отображения берём первый успешно резолвнутый путь).
-На mva154 `/repos` и `/app/data` с высокой вероятностью лежат на одном host-разделе (BRD §6) → один
-алерт, а не два дубля. Дедуп — **желательное** требование (BRD §6), реализуемое, never-raise: ошибка
-`os.stat` → путь обрабатывается как отдельный (fail-open, без потери замера).
-
-### D3 — Чистая функция решения + модель состояния (OQ-3, FR-4, AC-3/AC-4)
-Решение об отправке вынесено в **pure-функцию** (юнит-тестируема без потока и реального таймера,
-AC-3):
-
-```
-decide_action(used_pct, threshold, prev: PathAlertState, now, realert_s) -> Action
-# Action ∈ {NONE, ALERT, REALERT, RECOVERY}
-```
-
-- `prev.alerting == False` и `used_pct >= threshold` → **ALERT** (пересечение «ниже→на/выше»);
-- `prev.alerting == True` и `used_pct >= threshold` и `now - prev.last_alert_at >= realert_s` →
-  **REALERT** (cooldown истёк); иначе при `alerting && >=threshold` → **NONE** (анти-спам: не на
-  каждом тике, BR-3/AC-3);
-- `prev.alerting == True` и `used_pct < threshold` → **RECOVERY** (переход «выше→ниже», ровно одно
-  сообщение, сброс `alerting`, BR-4/AC-4);
-- `prev.alerting == False` и `used_pct < threshold` → **NONE** (норма).
-
-**Модель состояния (in-memory, per device/path):** `PathAlertState{alerting: bool, last_alert_at:
-float|None}`, словарь `{dedup_key -> PathAlertState}` в демоне. Durable-хранение **отвергнуто**
-(OQ-3): TRZ §5/NFR-5 допускает in-memory, состояние best-effort. После рестарта `alerting`
-сбрасывается → при всё ещё полном диске придёт повторный алерт — это **безопасно** (ранний сигнал,
-не SLA). **Время инъецируется** `now`-провайдером (дефолт — обёртка над часами; в тестах — фейк),
-чтобы cooldown/recovery тестировались детерминированно (AC-3).
-
-### D4 — Отправка алерта: формат в leaf + `send_telegram` напрямую (OQ-5, FR-3)
-Форматирование текста — pure-функция в `disk_watchdog.py` (`format_alert_message` /
-`format_recovery_message`, тестируема). Отправка — **прямой** `send_telegram(text)`
-(**notifying**, не silent — это алерт, как `notify_error`); отдельный helper в `notifications.py`
-**не** вводим (минимизация поверхности; OQ-5 оставляет выбор за архитектором). Вызов `send_telegram`
-обёрнут `try/except` → ошибка доставки логируется и не роняет тик (BR-6/AC-6; доставка best-effort,
-BRD §6).
-- **Содержимое (действенное, FR-3/AC-2):** точка монтирования/путь, занято %, свободно (ГБ и %),
-  порог; текст на русском в стиле существующих `notify_*`. Пример:
-  `🔴 Диск mva154: /repos заполнен на 87.3% (порог 85%). Свободно 6.2 ГБ (12.7%). Освободите
-  место — риск остановки конвейера всех проектов.`
-  Recovery: `🟢 Диск mva154: /repos вернулся ниже порога — 78.1% (свободно 11.0 ГБ).`
-
-### D5 — Один порог 85% (OQ-4, BR-2)
-Один настраиваемый порог `disk_monitor_threshold_pct` (дефолт 85, зафиксирован Владельцем).
-Второй «критический» порог (напр. 95%) с усиленным алертом — **вне объёма** (OQ-4, BRD §8 R-3),
-кандидат на follow-up. Конфигурируемость порога (BR-5) оставляет рычаг тюнинга.
-
-### D6 — Lifecycle и точки врезки (FR-1/FR-5/FR-6, AC-1/AC-5/AC-7)
-- **`src/disk_watchdog.py`** (новый leaf) — pure-логика (`measure_paths`, `decide_action`,
-  `format_*`) + класс `DiskWatchdog(threading.Thread(daemon=True) + threading.Event)` с
-  `start()`/`stop(timeout=5.0)`/`status()`; цикл `while not self._stop.is_set(): try: tick();
-  except: log; self._stop.wait(interval)`. Модуль-синглтон `disk_watchdog = DiskWatchdog()`.
-- **`src/config.py`** — флаги §«Конфигурация» (D7); defensive-валидация значений (порог 1..100,
-  интервалы > 0) → невалидное к дефолту + warning (паттерн `reconcile_grace_*`).
-- **`src/main.py::lifespan`** — `disk_watchdog.start()` **последним** (после `reaper.start()`,
-  гард `if settings.disk_monitor_enabled`), `disk_watchdog.stop()` **первым** в `finally`
-  (reverse-порядок). Демон независим (не трогает очередь/БД) → порядок не критичен, но
-  следуем конвенции.
-- **`@app.get("/queue")`** — аддитивный ключ `"disk_monitor": disk_watchdog.status()`; существующие
-  ключи не меняются; `status()` never-raise (при ошибке — `{"enabled": ...}` минимум, FR-6/AC-7).
-  Снимок: `enabled`, `threshold_pct`, `interval_s`, `realert_s`, `paths` (по каждому
-  устройству/пути: `path`, `used_pct`, `free_gb`, `alerting`, `last_alert_at`).
-- **`.env.example`** — дескрипторы `ORCH_DISK_*` (AC-5).
-
-### D7 — Конфигурация (`src/config.py`, FR-5/AC-5)
-| Поле (env) | Тип / дефолт | Назначение |
-|------------|--------------|------------|
-| `disk_monitor_enabled` (`ORCH_DISK_MONITOR_ENABLED`) | `bool = True` | kill-switch; `False` → демон не стартует (нулевая регрессия, NFR-4). |
-| `disk_monitor_interval_s` (`ORCH_DISK_MONITOR_INTERVAL_S`) | `int = 300` | период heartbeat (порядок минут, NFR-2). |
-| `disk_monitor_threshold_pct` (`ORCH_DISK_MONITOR_THRESHOLD_PCT`) | `int = 85` | порог алерта (дефолт Владельца). |
-| `disk_monitor_realert_s` (`ORCH_DISK_MONITOR_REALERT_S`) | `int = 21600` | cooldown повторного алерта выше порога (~6 ч, анти-спам). |
-| `disk_monitor_paths` (`ORCH_DISK_MONITOR_PATHS`) | `str = "/repos,/app/data"` (CSV) | отслеживаемые host-пути (NFR-3); пусто → дефолтный набор. |
-
-### D8 — Инварианты (NFR-5/NFR-6, AC-6)
-- `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, схема существующих таблиц БД — **без изменений**
-  (watchdog — эксплуатационный демон, не QG; как `reconciler`/`reaper`). Новой миграции нет (D3).
-- **never-raise** на трёх уровнях: per-path (D1), per-tick (внешний `try/except` в `_run`),
-  per-send (D4). Сбой watchdog не блокирует и не роняет конвейер (BR-6/NFR-1).
-- **Self-hosting безопасность (NFR-6):** watchdog только **читает** заполнение и **шлёт** Telegram —
-  не трогает диск/контейнер, не рестартит прод. Безопасен для enduro-trails в общем инстансе.
-
-## Альтернативы
-- **Субпроцесс `df -P` на каждом тике** — отвергнут: лишнее порождение процесса при heartbeat
-  порядка минут (NFR-2), парсинг вывода, зависимость от формата `df`. `shutil.disk_usage` — stdlib,
-  без субпроцесса, кроссплатформенно.
-- **Замер по `/` (overlay контейнера)** — отвергнут: нерепрезентативен для хост-раздела (NFR-3/AC-8),
-  прямой путь к повтору инцидента 07.06 (ложно-низкое заполнение).
-- **Durable-состояние анти-спама (доп. таблица)** — отвергнуто: TRZ §5/NFR-5 допускает in-memory;
-  повторный алерт после рестарта при полном диске безопасен; миграция = лишняя поверхность и
-  усложнение отката.
-- **Внешний мониторинг (Prometheus/Grafana/node_exporter)** — вне объёма (BRD §2.2): тяжёлая
-  инфра-зависимость против принципа «минимум зависимостей, всё в Docker на одном сервере». Дешёвый
-  встроенный heartbeat закрывает боль.
-- **Новый endpoint `GET /disk`** — не вводим (TRZ §4 рекомендация): снимок отдаётся блоком в
-  `/queue`, меньше API-поверхности.
-
-## Последствия
-- **+** Ранний сигнал о заполнении диска до остановки конвейера всех проектов; дешёвая страховка от
-  дорогого группового self-hosting-простоя.
-- **+** Полная архитектурная калька проверенных `reconciler`/`reaper` → низкий риск, знакомый паттерн
-  для ревью/сопровождения.
-- **+** Чистая pure-логика (`decide_action`, `format_*`, `measure_paths`) юнит-тестируема без потока
-  и таймера (AC-3/AC-6).
-- **−** In-memory состояние → повторный алерт после рестарта при всё ещё полном диске. Митигейшн:
-  это безопасно (ранний сигнал, не SLA; NFR-5) и редко (рестарт прода — событие).
-- **−** Best-effort доставка Telegram (та же `send_telegram`): алерт может не дойти при сбое сети.
-  Митигейшн: watchdog — ранний сигнал, не гарантия; cooldown-повтор повышает шанс доставки.
-- **−** Дедуп по `st_dev` не покрывает редкий случай разных устройств для `/repos` и `/app/data`
-  (тогда — два независимых алерта, что корректно). Без ущерба.
-- **Откат:** `ORCH_DISK_MONITOR_ENABLED=false` (демон не стартует, блок `/queue` → `{"enabled":
-  false}`, поведение 1:1 как сейчас). Полное удаление — снять врезки в `main.py`/`config.py` +
-  удалить leaf; миграций БД нет → откат тривиален (TRZ §7).
-
-## Ссылки
-- BRD: `docs/work-items/ORCH-063/01-brd.md`
-- TRZ: `docs/work-items/ORCH-063/02-trz.md`
-- Acceptance: `docs/work-items/ORCH-063/03-acceptance-criteria.md`
-- Инфра: `docs/work-items/ORCH-063/07-infra-requirements.md`
-- Риски: `docs/work-items/ORCH-063/10-tech-risks.md`
-- Сквозной ADR: `docs/architecture/adr/adr-0024-disk-watchdog.md`
-- Сверено по коду: `src/reconciler.py` (каркас демона), `src/job_reaper.py` (lifecycle/status),
-  `src/main.py` (lifespan §94-118, `/queue` §142-173), `src/notifications.py::send_telegram`,
-  `docs/operations/INFRA.md` (bind-mount'ы `/repos`, `/app/data`).
-</content>
-</invoke>

docs/work-items/ORCH-063/07-infra-requirements.md

@@ -1,63 +0,0 @@
----
-work_item: ORCH-063
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 07 — Инфра-требования: ORCH-063 — мониторинг диска mva154 + алерт при ≥85%
-
-Work Item: **ORCH-063** · Repo: **orchestrator** (self-hosting) · Стадия: architecture
-
-## I-1. Топология / окружения
-Топология **не меняется**. Watchdog работает внутри существующего контейнера `orchestrator`
-(8500, `network_mode: host`) и опирается на уже существующие bind-mount'ы host-разделов:
-- `/home/slin/repos → /repos` (рабочие репозитории, git-worktree `/repos/_wt/...`);
-- `./data → /app/data` (SQLite БД).
-
-Именно эта host-ФС переполнилась 07.06. Замер ведётся по смонтированным путям `/repos`, `/app/data`
-(`shutil.disk_usage`), что отражает **хост-раздел**, а не overlay `/` контейнера (NFR-3/AC-8). Новых
-контейнеров/портов/томов/сетей не требуется. Тот же демон автоматически работает и в staging-инстансе
-(8501) — на собственной Ф С/путях, без отдельной настройки.
-
-## I-2. Переменные окружения / секреты
-Новые env (дескрипторы — в `.env.example`; **без секретов**):
-
-| Env | Дефолт | Назначение |
-|-----|--------|------------|
-| `ORCH_DISK_MONITOR_ENABLED` | `true` | kill-switch (false → демон не стартует, нулевая регрессия). |
-| `ORCH_DISK_MONITOR_INTERVAL_S` | `300` | период heartbeat-замера, сек. |
-| `ORCH_DISK_MONITOR_THRESHOLD_PCT` | `85` | порог заполнения для алерта. |
-| `ORCH_DISK_MONITOR_REALERT_S` | `21600` | cooldown повторного алерта выше порога (~6 ч). |
-| `ORCH_DISK_MONITOR_PATHS` | `/repos,/app/data` | CSV отслеживаемых host-путей. |
-
-Telegram-доставка использует **существующие** секреты `send_telegram` (`ORCH_TELEGRAM_*` /
-`.env`) — новых секретов не вводится. Дефолты пригодны для прода без обязательной правки `.env`
-(env опциональны — все имеют значения по умолчанию в `config.py`).
-
-## I-3. Деплой / рестарт
-- Изменение **не требует** специальной инфра-процедуры сверх штатного self-hosting-деплоя
-  (staging 8501 → прод 8500 через `Confirm Deploy`, ORCH-059/036).
-- **Self-hosting инвариант соблюдён:** watchdog только читает заполнение и шлёт уведомление — не
-  рестартит/не роняет прод-контейнер, не выполняет действий над диском (NFR-6). Безопасен для
-  enduro-trails в общем инстансе.
-- Демон стартует/останавливается автоматически в `main.lifespan` (ручной запуск не нужен, AC-1/AC-8).
-
-### Реакция оператора на алерт (runbook-минимум)
-При получении Telegram-алерта «Диск mva154 ≥ порога»:
-1. Зайти на хост (`slin@82.22.50.71`), проверить `df -h /home/slin/repos`.
-2. Освободить место (кандидаты — порядок ручной очистки): прунинг старых git-worktree
-   `/home/slin/repos/_wt/*` завершённых задач; `docker image prune` / `docker builder prune`;
-   ротация/удаление старых логов. **Авто-очистка — вне объёма ORCH-063** (отдельная задача).
-3. Дождаться recovery-сообщения «диск ниже порога» (приходит однократно при возврате под порог).
-
-> Развёрнутый раздел про disk-watchdog (что мониторится, порог, как отключить
-> `ORCH_DISK_MONITOR_ENABLED`, реакция на алерт) добавляется в `docs/operations/INFRA.md` на стадии
-> development (TRZ §9, AC-9).
-
-## I-4. CI/CD
-Без изменений `.gitea/workflows/`. Новый код покрывается существующим `pytest tests/` (юнит-тесты
-pure-логики `decide_action`/`measure_paths`/`format_*` + изоляция never-raise — TRZ/AC-3/AC-6).
-</content>

docs/work-items/ORCH-063/10-tech-risks.md

@@ -1,39 +0,0 @@
----
-work_item: ORCH-063
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 10 — Технические риски: ORCH-063 — мониторинг диска mva154 + алерт при ≥85%
-
-Work Item: **ORCH-063** · Repo: **orchestrator** · Стадия: architecture
-
-> Информационный (гейтом не парсится). Риски реализации и их митигейшн.
-
-## Реестр рисков
-
-| ID | Риск | Вер. | Влия. | Митигейшн |
-|----|------|------|-------|-----------|
-| TR-1 | **Замер по неверной ФС** (overlay `/` контейнера вместо host-раздела) → ложно-низкое заполнение → watchdog молчит при реально полном хосте (повтор 07.06). | Сред. | Выс. | ADR D1: замер `shutil.disk_usage` по bind-mount-путям `/repos`/`/app/data` (host-разделы); `/` запрещён как источник (NFR-3/AC-8). Тест AC-8. |
-| TR-2 | **Спам-алерты на каждом тике** при длительном превышении → шум, оператор глохнет. | Сред. | Сред. | ADR D3: pure `decide_action` — алерт на пересечении + cooldown `disk_monitor_realert_s` (~6 ч); юнит-тест AC-3. |
-| TR-3 | **Залипший cooldown** — после спада ниже порога состояние не сброшено → новое превышение молчит. | Низ. | Сред. | ADR D3: переход «выше→ниже» сбрасывает `alerting` + однократный recovery; цикл повторяем. Тест AC-4. |
-| TR-4 | **Исключение в тике/отправке роняет поток или конвейер.** | Низ. | Выс. | ADR D8: never-raise на 3 уровнях (per-path, per-tick, per-send), как `reconciler`/`reaper`. Тест AC-6 (битый путь / падение `send_telegram`). |
-| TR-5 | **Порог 85% близок к 100% при быстром росте** (один большой build/worktree) → оператор не успевает. | Низ. | Сред. | Дефолт зафиксирован Владельцем; конфигурируем (BR-5). Второй «критический» порог (95%) — кандидат follow-up (OQ-4, вне объёма). |
-| TR-6 | **Исчерпание inode** (не байтов) валит ФС, но не ловится замером по %-байтам. | Низ. | Сред. | Вне объёма ORCH-063 (BRD §8 R-4); кандидат на расширение замера (`os.statvfs` f_files/f_favail). Задокументировать как known-limitation. |
-| TR-7 | **Потеря анти-спам-состояния при рестарте** (in-memory) → повторный алерт при всё ещё полном диске. | Сред. | Низ. | Осознанный компромисс (ADR D3, NFR-5): повторный ранний сигнал безопасен; durable-хранение отвергнуто (лишняя миграция). |
-| TR-8 | **Best-effort Telegram** — алерт не доставлен при сбое сети. | Низ. | Сред. | Та же `send_telegram` (never-raise); cooldown-повтор повышает шанс доставки. Watchdog — ранний сигнал, не SLA (BRD §6). |
-| TR-9 | **Дедуп по `st_dev` ошибочно схлопнет разные разделы** или `os.stat` упадёт. | Низ. | Низ. | ADR D2: ключ дедупа — фактический `st_dev`; ошибка `os.stat` → fail-open (путь как отдельный, замер не теряется). |
-
-## Сводный вывод
-Доминирующий класс — **риски ложного молчания/шума** (TR-1, TR-2, TR-3), полностью закрытые
-конструктивно: корректный источник замера (host-ФС) + pure-функция анти-спама с юнит-покрытием.
-Изоляция от конвейера обеспечена never-raise-каркасом проверенных `reconciler`/`reaper`. Эскалация
-`arch:major-change` **не требуется**: изменение аддитивное, под kill-switch, без правки
-`STAGE_TRANSITIONS`/`QG_CHECKS`/схемы БД, тривиально откатывается. Возврат в анализ **не требуется** —
-ТЗ реализуемо без нарушения принципов. Остаточный риск для прод-конвейера (self-hosting) — **низкий**:
-watchdog только читает и уведомляет, не трогает прод. TR-6 (inode) — осознанная known-limitation вне
-объёма.
-</content>

docs/work-items/ORCH-063/12-review.md

@@ -1,99 +0,0 @@
----
-verdict: APPROVED
-work_item: ORCH-063
-stage: review
-author_agent: reviewer
-status: approved
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: review
-work_item_id: ORCH-063
-version: 1
----
-
-# Review ORCH-063 — INFRA: disk-watchdog мониторинг диска mva154 + алерт при ≥85%
-
-> Машинный вердикт читается ТОЛЬКО из `verdict:` во frontmatter. `APPROVED` → дальше по конвейеру.
-
-## Summary
-
-PR реализует disk-watchdog — фоновый daemon-поток `src/disk_watchdog.py` по канону
-`reconciler`/`job_reaper`, точно по ТЗ `02-trz.md` и ADR-001/`adr-0024`. Все 9 критериев приёмки
-(`03-acceptance-criteria.md` AC-1..AC-9) выполнены и покрыты содержательными тестами
-(`tests/test_disk_watchdog.py`, TC-01..TC-12, 18 кейсов). Полный регресс зелёный: **1296 passed**.
-Инварианты соблюдены: `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/схема БД — **не тронуты** (проверено
-`git diff` — `src/stages.py`/`src/stage_engine.py`/`src/qg/` без изменений), миграций нет. Документация
-обновлена как golden source в том же work-item. **Блокеров (P0/P1) нет → APPROVED.**
-
-## Оси проверки
-
-### 1. Соответствие ТЗ / Acceptance Criteria
-- **AC-1 (heartbeat-демон):** `DiskWatchdog(threading.Thread(daemon=True) + threading.Event)`,
-  `_stop.wait(interval)` (чистый stop, без блокирующего `time.sleep`), контракт
-  `start()`/`stop(timeout)`/`status()`. Старт в `main.lifespan` **после** `reaper.start()`, стоп
-  **первым** в `finally` (reverse) — `src/main.py`. ✓
-- **AC-2 (алерт ≥ порога):** `format_alert_message` несёт host/путь/`used_pct`/свободно (ГБ+%)/порог;
-  отправка `send_telegram(..., disable_notification=False)` — notifying. Подтверждено TC-08. ✓
-- **AC-3 (анти-спам):** чистая `decide_action(used_pct, threshold, prev, now, realert_s)`, cooldown
-  `disk_monitor_realert_s`, время инъецируется `now_provider`. TC-02/TC-03 + e2e. ✓
-- **AC-4 (recovery):** переход «выше→ниже» → ровно одно recovery-сообщение + сброс `alerting`; ниже
-  порога молчит. TC-04 + e2e (`test_tick_antispam_then_realert_then_recovery`). ✓
-- **AC-5 (config + kill-switch):** 5 флагов `disk_monitor_*` (env `ORCH_DISK_MONITOR_*`, `env_prefix=ORCH_`)
-  + defensive-валидаторы (порог 1..100, интервалы > 0 → дефолт + warning). `enabled=False` → `start()`
-  no-op (TC-09), `.env.example` обновлён. ✓
-- **AC-6 (never-raise):** три уровня — per-path (`_measure_one`), per-tick (`_run` outer try/except),
-  per-send (`_send`). TC-07 (битый путь / падение `send_telegram`). ✓
-- **AC-7 (наблюдаемость):** аддитивный блок `disk_monitor` в `GET /queue`; `status()` never-raise
-  (минимум `{"enabled": …}` при ошибке). TC-11 проверяет сохранность всех существующих ключей. ✓
-- **AC-8 (источник = хост-ФС):** дефолт `/repos,/app/data` через `shutil.disk_usage`, не overlay `/`,
-  не субпроцесс `df`; дедуп по `st_dev`. TC-06. ✓
-- **AC-9 (документация):** см. секцию «Документация». ✓
-
-### 2. Соответствие ADR / инвариантам
-- Реализация 1:1 с ADR-001 D1–D8: stdlib-замер (D1), дедуп `st_dev` fail-open (D2), pure
-  `decide_action` + in-memory state (D3), прямой `send_telegram` без helper (D4), один порог 85% (D5),
-  lifecycle/врезки (D6), config (D7), инварианты (D8). Сквозной `adr-0024` зарегистрирован в ряду
-  `reconciler`/`job_reaper`.
-- **Трассировка:** врезки в `main.lifespan` и `@app.get("/queue")` — строго **аддитивные** (новый
-  импорт + один вызов `disk_watchdog.start()/stop()` + ключ `"disk_monitor"`); зафиксированные
-  инварианты соседних маркеров не сломаны. `STAGE_TRANSITIONS`/`QG_CHECKS` не затронуты — подтверждено.
-
-### 3. Качество кода
-- Docstrings на всех публичных функциях/классе; чистая leaf-логика отделена от потока (тестируемо).
-- Defensive-граничные случаи покрыты: `total == 0` → `0.0`, пустой CSV → дефолт, `os.stat` fail → fail-open.
-- Тесты содержательные (не тривиальные): юнит-решения, измерение/дедуп, e2e цикл alert→silent→realert→
-  recovery, интеграция `/queue`. Полный suite зелёный (1296).
-
-### 4. Документация (golden source)
-- `docs/architecture/README.md` — компонент «Disk-watchdog» + описание блока `/queue`. ✓
-- `docs/operations/INFRA.md` — что мониторится / порог / как отключить / реакция на алерт. ✓
-- `.env.example` — 5 дескрипторов `ORCH_DISK_MONITOR_*`. ✓
-- `CHANGELOG.md` — запись `feat:`. ✓
-- `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md` + сквозной `adr-0024`. ✓
-- `src/` изменён → документация обновлена в том же work-item. Ось пройдена.
-
-## Findings
-
-### P0 — Blocker
-- (нет)
-
-### P1 — Must fix
-- (нет)
-
-### P2 — Should fix
-- (нет)
-
-### P3 — Nice-to-have
-- [ ] Косметика: хвостовые артефакты тул-обёртки `</content>` / `</invoke>`, протёкшие в текст
-  golden-source доков, авторизованных на стадии architecture (НЕ в developer-коммите):
-  `06-adr/ADR-001-disk-watchdog.md` (строки 195–196), `docs/architecture/adr/adr-0024-disk-watchdog.md`
-  (стр. 59), `07-infra-requirements.md` (стр. 63), `10-tech-risks.md` (стр. 39). На парсинг
-  frontmatter/QG не влияют (находятся в конце файла), функциональность не затрагивают — поэтому P3.
-  Рекомендуется зачистить при следующем касании этих доков (правка чужой стадии — по согласованию,
-  CLAUDE.md §3). Не блокирует вердикт.
-
-## Документация
-Обновлена полностью в том же work-item: `architecture/README.md` (компонент + блок `/queue`),
-`operations/INFRA.md` (мониторинг/порог/отключение/реакция), `.env.example` (новые `ORCH_DISK_*`),
-`CHANGELOG.md` (`feat:`), задачный ADR-001 + сквозной `adr-0024`. Обзорная витрина (README «Известные
-ограничения») этим PR не затрагивается. Ось документации пройдена — оснований для `REQUEST_CHANGES` нет.

docs/work-items/ORCH-063/13-test-report.md

@@ -1,94 +0,0 @@
----
-result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
-work_item: ORCH-063
-stage: testing
-author_agent: tester
-status: pass
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: test-report
-work_item_id: ORCH-063
----
-
-# Test Report — ORCH-063 — INFRA: disk-watchdog мониторинг диска mva154 + алерт при ≥85%
-
-> Машинный вердикт читается ТОЛЬКО из `result:` во frontmatter. `PASS` → задача переходит на `deploy-staging`.
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3 (pytest-asyncio 0.23.8, anyio 4.13.0)
-- Worktree: `/repos/_wt/orchestrator/feature_ORCH-063-infra-mva154-85/` (ветка `feature/ORCH-063-infra-mva154-85`)
-- Дата: 2026-06-09
-
-## Smoke API (read-only)
-| Endpoint | Результат |
-|----------|-----------|
-| `GET /health` | PASS — `{"status":"ok","service":"orchestrator"}` |
-| `GET /status` | PASS — отвечает; ORCH-063 (task 74) виден в `active_tasks` на `stage=testing` |
-| `GET /queue` | PASS — блок `serial_gate` присутствует (ORCH-088) рядом с `auto_labels` (ORCH-089); существующие ключи `counts/reconcile/reaper/post_deploy/merge_verify/task_deps` на месте |
-
-`serial_gate.per_repo.orchestrator.active_task = ORCH-063 (testing)` — регресса смока нет.
-
-## Результаты по тест-плану (`04-test-plan.yaml`)
-
-Все TC прогнаны в `tests/test_disk_watchdog.py` (18 кейсов покрывают TC-01..TC-12). Сопоставление с
-критериями приёмки `03-acceptance-criteria.md`:
-
-| TC ID | Тип | Описание | Тест(ы) | AC | Результат |
-|-------|-----|----------|---------|----|-----------|
-| TC-01 | unit | Алерт при пересечении порога (ниже→на/выше) → should_alert=True | `test_tc01_alert_on_crossing_up` | AC-2/AC-3 | PASS |
-| TC-02 | unit | Анти-спам: выше порога, прошло < realert_s → should_alert=False | `test_tc02_antispam_within_cooldown` | AC-3 | PASS |
-| TC-03 | unit | Повтор по cooldown: прошло ≥ realert_s → should_alert=True | `test_tc03_realert_after_cooldown` | AC-3 | PASS |
-| TC-04 | unit | Recovery: выше→ниже → сброс + ровно одно recovery; ниже устойчиво → не повторяется | `test_tc04_recovery_and_no_repeat`, `test_tick_antispam_then_realert_then_recovery` | AC-4 | PASS |
-| TC-05 | unit | Граница порога: `== threshold` алертит; `== threshold-1` молчит | `test_tc05_threshold_boundary_inclusive` | AC-2 | PASS |
-| TC-06 | unit | Замер по путям через (мок) `shutil.disk_usage`; дедуп по устройству | `test_tc06_measure_and_dedup_by_device` | AC-8 | PASS |
-| TC-07 | unit | never-raise: битый путь и исключение в `send_telegram` не пробрасываются | `test_tc07_broken_path_does_not_kill_tick`, `test_tc07_send_failure_does_not_raise` | AC-6 | PASS |
-| TC-08 | unit | Формат алерта: путь/used_pct/свободно/порог; notifying (не silent) | `test_tc08_alert_message_actionable_and_notifying`, `test_tc08_format_helpers` | AC-2 | PASS |
-| TC-09 | unit | Kill-switch: `enabled=False` → демон не стартует / `/queue` enabled=false | `test_tc09_killswitch_does_not_start`, `test_tc09_killswitch_status_block` | AC-5 | PASS |
-| TC-10 | unit | `status()`: dict с enabled/threshold_pct/interval_s/paths/alerting/last_alert_at; never-raise | `test_tc10_status_shape`, `test_tc10_status_reflects_last_measurement` | AC-7 | PASS |
-| TC-11 | integration | `GET /queue` содержит блок `disk_monitor`; существующие ключи не изменены | `test_tc11_queue_has_disk_monitor_block` | AC-7 | PASS |
-| TC-12 | integration | Тик при ≥85% → `send_telegram` один раз; при выключенном флаге `disk_monitor.enabled=false`, алертов нет | `test_tc12_queue_disabled_block`, `test_tick_antispam_then_realert_then_recovery` | AC-5/AC-2 | PASS |
-
-Доп. кейсы (вне номерных TC, усиливают покрытие): `test_parse_paths_default_and_csv` (парс CSV/дефолт путей) — PASS.
-
-Покрытие: все 12 TC из тест-плана выполнены, каждый сопоставлен с AC; AC-1 (heartbeat-демон,
-lifecycle) и AC-9 (документация) — структурно подтверждены review (`12-review.md`, вердикт `APPROVED`)
-и не требуют отдельного рантайм-теста.
-
-## Вывод pytest
-
-Целевой файл:
-```
-tests/test_disk_watchdog.py ... 18 items
-test_tc01_alert_on_crossing_up PASSED
-test_tc02_antispam_within_cooldown PASSED
-test_tc03_realert_after_cooldown PASSED
-test_tc04_recovery_and_no_repeat PASSED
-test_tc05_threshold_boundary_inclusive PASSED
-test_tc06_measure_and_dedup_by_device PASSED
-test_tc07_broken_path_does_not_kill_tick PASSED
-test_tc07_send_failure_does_not_raise PASSED
-test_tc08_alert_message_actionable_and_notifying PASSED
-test_tc08_format_helpers PASSED
-test_tc09_killswitch_does_not_start PASSED
-test_tc09_killswitch_status_block PASSED
-test_tc10_status_shape PASSED
-test_tc10_status_reflects_last_measurement PASSED
-test_tick_antispam_then_realert_then_recovery PASSED
-test_parse_paths_default_and_csv PASSED
-test_tc11_queue_has_disk_monitor_block PASSED
-test_tc12_queue_disabled_block PASSED
-======================== 18 passed, 1 warning in 0.40s =========================
-```
-
-Полный регресс:
-```
-======================= 1296 passed, 1 warning in 31.97s =======================
-```
-(Единственный warning — `PydanticDeprecatedSince20` в `src/config.py:7`, предсуществующий, не связан
-с ORCH-063, не влияет на функциональность.)
-
-## Итог
-**PASS** — все 12 TC выполнены и зелёные, полный регресс `1296 passed`, smoke API (read-only)
-исправен, блоки `serial_gate`/`auto_labels` в `/queue` на месте. Регрессов и обоснованных
-FAIL не выявлено. Задача готова к переходу на `deploy-staging`.

docs/work-items/ORCH-063/14-deploy-log.md

@@ -1,12 +0,0 @@
----
-deploy_status: SUCCESS
-work_item: ORCH-063
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-036 executable self-deploy
-
-Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
-
-Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-063/15-staging-log.md

@@ -1,33 +0,0 @@
----
-staging_status: SUCCESS
-work_item: ORCH-063
-stage: deploy-staging
-author_agent: deployer
-status: success
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-timestamp: 2026-06-09T16:03:48Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. `SUCCESS` → дальше; `FAILED` → откат.
-
-Staging test suite completed. All REAL pipeline checks passed. Suite run canonically **inside the
-`orchestrator-staging` container** (8501) via the Docker exec API (`docker exec` equivalent), so
-check **B6** built the project registry from the instance's own `.env.staging` process-env
-(`ORCH_PROJECTS_JSON` set) — avoiding the ORCH-048 host false-FAIL.
-
-Exit code **0** → `staging_status: SUCCESS` (ORCH-061 waiver tolerance: exit 0 includes the two
-waived sandbox-infra checks C9a/C9b; every REAL check is green).
-
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
-
-## Results
-- **Block A (SMOKE)**: PASS — A1 `/health` 200 ok · A2 `/queue` 200 (counts/max_concurrency/resilience) · A3 `ORCH_STAGING=true`.
-- **Block B (ACCESS)**: PASS — B4 Plane sandbox project accessible · B5 Gitea orchestrator-sandbox accessible push=true · B6 registry sandbox present, prod ET/ORCH absent.
-- **Block C (E2E, mode=stub)**: C7 create Plane issue PASS · C8 trigger `/webhook/plane` PASS · C9a branch / C9b analyst-job **INFRA-WAIVED** (sandbox bot-accounts not project members — depends on sandbox infra, not the pipeline). CLEANUP: Plane issue deleted (HTTP 204).
-
-RESULT: 8/10 checks PASS — REAL failed: **none**; SANDBOX_INFRA failed (waived): C9a, C9b.

docs/work-items/ORCH-090/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: Механизм отмены задачи: статус STOP в Plane (остановка + полный сброс)
-
-Work Item ID: ORCH-090
-
-## Description
-
-TBD

docs/work-items/ORCH-090/01-brd.md

@@ -1,165 +0,0 @@
----
-work_item: ORCH-090
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 01 — BRD (бизнес-требования): ORCH-090 — Механизм отмены задачи: статус STOP в Plane (остановка + полный сброс)
-
-Work Item: **ORCH-090** · Repo: **orchestrator** · Стадия: analysis
-
-## 1. Бизнес-контекст и проблема
-
-Сегодня в оркестраторе **нет штатного способа отменить/остановить задачу**. Оператор вынужден
-выполнять разрозненные ручные действия: убить процесс агента, дождаться исчерпания ретраев job,
-удалить ветку/worktree/строку task из БД и вручную сбросить статус в Plane. Это медленно,
-ошибкоопасно и не воспроизводимо (инцидент 09.06 с ORCH-087 — оператор делал всё это руками).
-
-Вторая, связанная проблема — **дыра ручного релонча**: `src/webhooks/plane.py::handle_status_start`
-при ручном переводе задачи в рабочий статус (через «To Analyse» / In Progress) **повторно ставит в
-очередь агента текущей стадии на той же ветке** (`has_active_job_for_task` → иначе
-`enqueue_job(stage_agent, …)`). Это означает, что попытка оператора «подтолкнуть» задачу сменой
-статуса может незаметно релончить агента — именно этот механизм усугубил сегодняшний инцидент.
-
-Требуется единый, декларативный механизм: **перевод задачи в новый Plane-статус STOP →
-оркестратор немедленно останавливает всю работу по задаче и полностью сбрасывает её прогресс**.
-Повторный запуск возможен ТОЛЬКО через «To Analyse» (с нуля). Никакой другой статус пайплайн не
-запускает.
-
-**Установленные факты (по текущему коду, не изобретать):**
-- Машина стадий — `src/stages.py::STAGE_TRANSITIONS`; терминальная стадия только `done`
-  (`cancelled`-стадии нет).
-- Plane-маппинг — `src/plane_sync.py`: `_PLANE_NAME_TO_KEY` уже содержит `"Cancelled" → "cancelled"`,
-  `_DEFAULT_STATES` содержит UUID `cancelled`; имени «STOP» в маппинге сейчас нет.
-- Остановка процесса агента уже реализована как graceful-каскад в
-  `src/agents/launcher.py::_watchdog` (SIGTERM → grace `agent_kill_grace_seconds` → SIGKILL); PID
-  задачи хранится в `jobs.pid`.
-- Статусы job в `jobs` — `queued | running | done | failed`; статуса `cancelled` нет.
-- Терминал-скип для реконсилятора/мониторов уже учитывает `done` и `cancelled`
-  (`src/reconciler.py::_is_terminal_state`, ORCH-068/086).
-- Запуск пайплайна с нуля — `handle_status_start → start_pipeline` (создаёт ветку + docs + analyst).
-
-## 2. Объём (scope)
-
-### В объёме
-- Новый Plane-статус **STOP** как сигнал отмены задачи (распознавание в диспетчере статусов).
-- **Остановка задачи (G1):** graceful-стоп активного агента (SIGTERM), отмена всех job'ов задачи
-  (queued/running → терминальный «cancelled»-исход), исчерпание ретраев (запрет авто-requeue),
-  снятие таймеров/мониторов (post-deploy monitor, brd-review clock и т.п.).
-- **Полный сброс прогресса (G2):** удаление/архив рабочей ветки и worktree, очистка незавершённого
-  прогресса задачи в БД так, чтобы повторный старт шёл строго через `start_pipeline` (с нуля).
-  Docs-артефакты задачи — сохранить/забэкапить (не теряем аналитику).
-- **Закрытие дыры релонча (G3/G4):** перевод в любой промежуточный рабочий статус
-  (Development/Architecture/Review/Deploying/…) вручную **не** запускает агента; единственный вход
-  к запуску пайплайна — «To Analyse» (старт с нуля).
-- **Идемпотентность и fail-safe (G5):** STOP на уже остановленной/завершённой задаче — no-op; STOP
-  во время критичной операции (merge/deploy) — корректное прерывание без порчи `main`/прода.
-- Kill-switch фичи; наблюдаемость (лог + Telegram + блок в `GET /queue`).
-- Обновление документации (CLAUDE.md, architecture/README.md, CHANGELOG.md) и инфра-предусловие
-  (создать статус STOP на доске Plane).
-
-### Вне объёма
-- Автоматическая отмена задач по таймауту/эвристике — STOP только по явному человеческому сигналу.
-- Возобновление задачи «с середины» после STOP — сознательно НЕ поддерживается (только перезапуск
-  с нуля через To Analyse).
-- Изменение семантики Rejected (откат на стадию назад) — STOP это отдельный путь, не Rejected.
-- Изменение состава/семантики `STAGE_TRANSITIONS` exit-гейтов и `QG_CHECKS` / `check_*`.
-- Откат уже задеплоенного в прод кода (rollback) — STOP не выполняет rollback; он лишь прерывает
-  незавершённую работу безопасно.
-- Кросс-проектная отмена пакета задач (отменяется одна задача за сигнал).
-
-## 3. Заинтересованные стороны
-
-- **Заказчик / владелец продукта:** Слава (идея STOP-статуса).
-- **Оператор оркестратора** (Стрим и др.) — главный потребитель: получает кнопку «отменить» вместо
-  ручной хирургии по БД/процессам.
-- **Затрагиваемые проекты:** orchestrator (self-hosting) и enduro-trails (общая прод-БД/очередь) —
-  изменения должны быть аддитивны и не задевать enduro при выключенном/неприменимом флаге.
-- **Принимает результат:** reviewer/tester по критериям приёмки (`03`/`04`).
-
-## 4. Бизнес-требования (BR)
-
-- **BR-1 (STOP останавливает работу)** — перевод задачи в Plane-статус STOP → оркестратор
-  останавливает всю работу по задаче: (a) активному агенту посылается SIGTERM (graceful, с
-  последующим жёстким kill по существующему grace-каскаду); (b) все job'ы задачи (queued и running)
-  переводятся в терминальный «отменённый» исход и не выбираются claim'ом; (c) ретраи исчерпываются
-  (никакого авто-requeue после STOP); (d) таймеры/мониторы задачи (post-deploy monitor, brd-review
-  clock, merge-lease defer и т.п.) снимаются. Контракт фичи — **never-raise**.
-- **BR-2 (STOP = полный сброс)** — после STOP задача НЕ продолжается с середины. Рабочая
-  ветка+worktree удаляются/архивируются; незавершённый прогресс задачи в БД очищается или
-  помечается так, что повторный запуск идёт через `start_pipeline` с нуля (свежая ветка от
-  актуального `origin/main`, новый аналитик). Docs-артефакты (`01..17`) — сохранить/забэкапить.
-- **BR-3 (единственный вход — To Analyse)** — единственный Plane-статус, запускающий пайплайн —
-  «To Analyse» (старт с нуля). После STOP повторный «To Analyse» создаёт задачу заново.
-- **BR-4 (закрыть дыру релонча)** — ручной перевод задачи в любой промежуточный рабочий статус
-  (Architecture/Development/Review/Testing/Deploying/Awaiting Deploy/…) **не** запускает агента
-  соответствующей стадии. Текущее поведение `handle_status_start`, релончащее агента текущей стадии
-  на той же ветке, должно быть устранено/загейчено так, чтобы пайплайн стартовал только из
-  «To Analyse».
-- **BR-5 (идемпотентность)** — STOP на задаче, которая уже остановлена (cancelled), уже `done` или
-  не существует, — **no-op** (без ошибок, без побочных эффектов, без повторного kill).
-- **BR-6 (безопасное прерывание критичных операций)** — STOP во время merge/deploy не оставляет
-  `main` в half-merged состоянии и не роняет/не рестартит прод-контейнер. Если критичный шаг уже
-  необратимо запущен (детач-деплой/слияние в процессе), STOP не должен его «разорвать» с порчей —
-  допустимо дождаться/пропустить необратимый шаг и зафиксировать честный итог (детали безопасной
-  точки прерывания — архитектору).
-- **BR-7 (STOP ≠ Rejected)** — STOP это полная остановка+сброс задачи, а не откат на предыдущую
-  стадию. Существующий путь Rejected (`handle_verdict(approved=False)` → `_rollback_stage`) не
-  меняется и не смешивается с STOP.
-- **BR-8 (наблюдаемость)** — каждое срабатывание STOP прозрачно: лог, Telegram-уведомление (с
-  кликабельным номером задачи), Plane-коммент (best-effort), отражение в live-карточке и read-only
-  блок в `GET /queue`.
-
-## 5. Нефункциональные требования (NFR)
-
-- **NFR-1 (нулевая регрессия + kill-switch)** — фича под флагом включения (по образцу
-  `serial_gate_enabled`/`merge_gate_enabled`); при выключенном флаге поведение оркестратора строго
-  как сейчас. `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / семантика существующих статусов — без
-  изменений.
-- **NFR-2 (общая прод-БД, аддитивность)** — любые изменения схемы БД — только аддитивные и
-  идемпотентные (`CREATE TABLE IF NOT EXISTS` / `_ensure_column`); enduro-trails не затрагивается.
-- **NFR-3 (self-hosting safety)** — STOP не должен убить сам оркестратор / прод и не портить `main`.
-  Прерывание merge/deploy — fail-safe (не оставлять half-merge; не рестартить прод).
-- **NFR-4 (restart-safe)** — состояние «задача отменена» durable (БД); после рестарта контейнера
-  отменённая задача не «оживает» и не релончится reconciler'ом/reaper'ом (переиспользовать
-  терминал-скип `done`/`cancelled`).
-- **NFR-5 (never-raise)** — обработчик STOP и закрытие дыры релонча не должны валить вебхук-поток;
-  ошибка на единице работы логируется и не прерывает обработку других задач/проектов.
-- **NFR-6 (offline-устойчивость горячего пути)** — закрытие дыры релонча и терминал-скип не должны
-  добавлять обязательных сетевых вызовов в горячий claim-цикл.
-
-## 6. Допущения и ограничения
-
-- На доске Plane проекта ORCH будет создан статус **STOP** (инфра-предусловие); до его создания
-  фича в режиме fail-safe (нет статуса → нет STOP-действия, ничего не ломается).
-- Логический ключ `cancelled` и его UUID/группа уже присутствуют в `plane_sync` — STOP может
-  переиспользовать «cancelled»-семантику терминал-скипа (точное соответствие имя→ключ и
-  группа-`cancelled` — решение архитектора).
-- Существующий graceful kill-каскад агента (`_watchdog`: SIGTERM→grace→SIGKILL) переиспользуется
-  для остановки активного агента; новый механизм kill не изобретается.
-- Терминал-скип `done`/`cancelled` в `reconciler`/мониторах уже есть и должен покрыть
-  STOP-отменённые задачи (NFR-4) — переиспользовать, не дублировать.
-- Архитектурные решения (хранилище статуса отмены, точка безопасного прерывания merge/deploy,
-  удаление vs архив ветки, точные точки врезки в `plane.py`) — зона архитектора (`06-adr/`).
-
-## 7. Критерии успеха
-
-STOP-статус, выставленный на задаче, приводит к: остановленному агенту, отменённым job'ам без
-авто-requeue, снятым таймерам/мониторам, удалённой/заархивированной ветке+worktree, durable-статусу
-«отменена» (переживает рестарт), сохранённым docs-артефактам. Ручной перевод в промежуточный
-рабочий статус более не релончит агента; пайплайн стартует только из «To Analyse». STOP
-идемпотентен и безопасен при merge/deploy. Детальные PASS/FAIL — в `03-acceptance-criteria.md`.
-
-## 8. Риски
-
-- Гонка «STOP во время merge/deploy» → риск half-merge/порчи `main` (mitigation: безопасная точка
-  прерывания, fail-safe — детали архитектору).
-- Закрытие дыры релонча может задеть легитимный сценарий resume после «Needs Input» → нужно
-  сохранить намеренные сценарии возврата к работе, не ломая их (уточнить с архитектором, какой путь
-  заменяет релонч).
-- Очистка прогресса в БД при общей прод-БД → риск задеть enduro/другие задачи (mitigation:
-  строго per-task, аддитивно).
-- Детали — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-090/02-trz.md

@@ -1,191 +0,0 @@
----
-work_item: ORCH-090
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 02 — ТЗ (TRZ): ORCH-090 — Механизм отмены задачи: статус STOP в Plane (остановка + полный сброс)
-
-Work Item: **ORCH-090** · Repo: **orchestrator** · Стадия: analysis
-
-> ТЗ описывает **что** и **где** должно измениться (модули/контракты/артефакты), выведенное из BRD
-> и фактического кода. **Как** (хранилище статуса отмены, точка безопасного прерывания merge/deploy,
-> удаление vs архив ветки, точные точки врезки) — решает архитектор в `06-adr/`. ТЗ фиксирует
-> требования и границы, не предлагает архитектурное решение.
-
----
-
-## 1. Сводка изменения
-
-Ввести обработку нового Plane-статуса **STOP** как сигнала отмены задачи. При его получении
-оркестратор: (1) останавливает активного агента (graceful SIGTERM через существующий каскад),
-(2) отменяет все job'ы задачи и исчерпывает ретраи, (3) снимает таймеры/мониторы, (4) удаляет/
-архивирует рабочую ветку+worktree и сбрасывает незавершённый прогресс в БД до состояния «отменена»
-(durable), сохраняя docs-артефакты. Параллельно закрывается **дыра релонча**: ручной перевод в
-промежуточный рабочий статус больше не запускает агента — единственный вход к запуску пайплайна
-остаётся «To Analyse» (`start_pipeline`). Всё — аддитивно, под kill-switch, never-raise,
-restart-safe. `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*` и семантика существующих статусов —
-**не меняются**.
-
----
-
-## 2. Задействованные модули / пути
-
-| Путь | Действие |
-|------|----------|
-| `src/webhooks/plane.py` | изменить: добавить распознавание/маршрутизацию STOP (`handle_issue_updated`) → новый обработчик `handle_stop` (имя — на усмотрение архитектора); **загейтить/убрать релонч агента** в `handle_status_start` (промежуточные статусы не запускают агента; пайплайн — только из `To Analyse`/`start_pipeline`) |
-| `src/agents/launcher.py` | изменить: предоставить/переиспользовать остановку активного процесса задачи (SIGTERM каскад `_watchdog`; `jobs.pid`), пометку «не релончить» (исчерпание `max_attempts`/запрет авто-requeue для отменённой задачи) |
-| `src/queue_worker.py` / `src/db.py` | изменить: отмена job'ов задачи (queued/running → терминальный «cancelled»-исход); claim не выбирает отменённые; helper'ы выборки job'ов задачи; (возможно) новый терминальный статус job `cancelled` ИЛИ переиспользование `failed`+флаг — выбор архитектора; durable-пометка задачи «отменена» в `tasks` |
-| `src/git_worktree.py` | изменить/переиспользовать: удаление/архив рабочей ветки и worktree отменённой задачи (`remove_worktree`; удаление/архив Gitea-ветки) — never-raise |
-| `src/plane_sync.py` | изменить: маппинг Plane-статуса STOP (`_PLANE_NAME_TO_KEY` / `_DEFAULT_STATES`); переиспользовать группу `cancelled` для терминал-скипа; сеттер статуса (best-effort) |
-| `src/stages.py` | при необходимости — терминальная трактовка отменённой задачи (НЕ менять exit-гейты рёбер; добавление `cancelled`-стадии — решение архитектора, см. §5) |
-| `src/reconciler.py` | переиспользовать терминал-скип `done`/`cancelled` (`_is_terminal_state`) — отменённая задача не реконсилируется/не релончится |
-| `src/job_reaper.py` | согласовать: reaper не «оживляет» отменённые job'ы (терминальный исход не requeue'ится) |
-| `src/stage_engine.py` | согласовать: снятие таймеров/мониторов (post-deploy monitor, brd-review clock) и безопасное прерывание merge/deploy при STOP |
-| `src/notifications.py` | переиспользовать `send_telegram`/`update_task_tracker` для алерта/карточки отмены (never-raise, кликабельный номер) |
-| `src/config.py` | изменить: новый kill-switch `stop_status_enabled` (+ при необходимости область репо/доп-флаги) по образцу `serial_gate_enabled` |
-| `src/main.py` | изменить: read-only блок наблюдаемости отмены в `GET /queue` (аддитивно) |
-| `docs/architecture/README.md`, `CLAUDE.md`, `CHANGELOG.md` | обновить в том же PR (golden source) |
-| `tests/` | добавить тесты (см. `04-test-plan.yaml`) |
-
-> Чистую логику распознавания/решения по STOP желательно вынести в leaf-модуль (по образцу
-> `src/serial_gate.py` / `src/labels.py`, never-raise) — окончательно решает архитектор.
-
----
-
-## 3. Функциональные требования
-
-### FR-1 — Распознавание и маршрутизация STOP (BR-1, BR-5)
-- `handle_issue_updated` (`webhooks/plane.py`) распознаёт перевод задачи в логический статус STOP
-  (через `_PLANE_NAME_TO_KEY`/группа `cancelled`) и маршрутизирует в обработчик отмены.
-- Обработчик идемпотентен: если задача уже отменена / `done` / отсутствует → no-op (BR-5).
-- Контракт — never-raise: ошибка обработки STOP логируется, вебхук-поток не падает (NFR-5).
-
-### FR-2 — Остановка активного агента (BR-1a)
-- Для running-job'а задачи послать активному процессу SIGTERM (graceful) через существующий
-  каскад `launcher._watchdog` (SIGTERM → grace `agent_kill_grace_seconds` → SIGKILL); PID берётся
-  из `jobs.pid`.
-- Если активного процесса нет (idle/queued) — шаг no-op.
-
-### FR-3 — Отмена job'ов и исчерпание ретраев (BR-1b, BR-1c)
-- Все job'ы задачи (`status IN (queued, running)`) переводятся в **терминальный отменённый исход**
-  так, что `claim_next_job` их больше не выбирает и `_finalize_*`/reaper не делает авто-requeue.
-- Запрет авто-requeue: после STOP `attempts` считаются исчерпанными (либо отдельный терминальный
-  статус job `cancelled`, либо `failed`+маркер — выбор архитектора). Reaper (`job_reaper.py`) и
-  `_finalize_permanent` не должны возвращать отменённый job в `queued`.
-
-### FR-4 — Снятие таймеров и мониторов (BR-1d)
-- При STOP снимаются/обнуляются связанные с задачей таймеры и фоновые наблюдатели: post-deploy
-  monitor (ORCH-021), brd-review clock (ORCH-087), отложенные defer'ы merge-lease/serial-gate.
-- Терминал-скип `done`/`cancelled` (`reconciler._is_terminal_state`, ORCH-068/086) применяется к
-  отменённой задаче, чтобы реконсилятор/мониторы её не трогали (NFR-4).
-
-### FR-5 — Полный сброс прогресса (BR-2)
-- Рабочая ветка и worktree задачи удаляются/архивируются (`git_worktree.remove_worktree` + удаление/
-  архив Gitea-ветки; never-raise). `main` не трогается, force-push в `main` запрещён.
-- Незавершённый прогресс задачи в БД приводится к durable-состоянию «отменена» так, что повторный
-  запуск возможен ТОЛЬКО через `start_pipeline` с нуля (новая ветка от свежего `origin/main`, новый
-  analyst). Конкретика «очистить строку vs пометить cancelled» — архитектору; инвариант:
-  возобновления «с середины» не происходит.
-- **Docs-артефакты задачи (`01..17`) сохраняются/бэкапятся** — не удаляются вместе с прогрессом.
-
-### FR-6 — Закрытие дыры релонча (BR-3, BR-4)
-- `handle_status_start` (или эквивалентная точка) **не должен релончить агента текущей стадии** при
-  ручном переводе в промежуточный рабочий статус (Architecture/Development/Review/Testing/
-  Deploying/Awaiting Deploy/Monitoring/…).
-- Запуск пайплайна остаётся возможен **только** через статус «To Analyse» → `start_pipeline`
-  (создание ветки + docs + enqueue analyst). Любой намеренный сценарий «вернуть задачу в работу»
-  (например, после Needs Input) должен быть пересмотрен так, чтобы НЕ опираться на авто-релонч
-  агента сменой рабочего статуса (точный заменяющий механизм — архитектору).
-
-### FR-7 — Безопасное прерывание критичных операций (BR-6, NFR-3)
-- STOP во время merge/deploy не оставляет `main` в half-merged состоянии и не рестартит/не роняет
-  прод-контейнер. Если необратимый шаг (detached self-deploy / слияние PR) уже запущен — STOP не
-  «разрывает» его с порчей: допускается дать необратимому шагу завершиться/зафиксировать честный
-  исход, после чего применить отмену. Точка безопасного прерывания и обработка merge-lease — ADR.
-
-### FR-8 — Наблюдаемость (BR-8)
-- Каждое срабатывание STOP: `logger.info/warning` (что остановлено/сброшено), Telegram-алерт
-  (`send_telegram`, кликабельный номер `plane_issue_link`), Plane-коммент (best-effort), обновление
-  live-карточки (`update_task_tracker`, never-raise), read-only блок отмены в `GET /queue`.
-
----
-
-## 4. Изменения API
-
-- **Новых обязательных публичных endpoint'ов нет.** Триггер STOP — смена статуса Plane (webhook),
-  не REST. (По аналогии с ORCH-088 возможен опциональный админ-эндпоинт принудительной отмены —
-  на усмотрение архитектора; если вводится, описать в ADR и таблице API README.)
-- `GET /queue` — **аддитивно**: новый read-only блок (например `stop`/`cancel`) — флаг `enabled`,
-  счётчик отменённых задач/job'ов, последние отмены. Существующие ключи не меняются; never-raise.
-- Внешний контракт вебхука `POST /webhook/plane` — не меняется (новая ветка обработки статуса
-  внутри `handle_issue_updated`).
-
----
-
-## 5. Изменения схемы БД
-
-> Только **аддитивные, идемпотентные** миграции (общая прод-БД; enduro не трогать).
-> `CREATE TABLE IF NOT EXISTS` / `_ensure_column`.
-
-- **Статус job «отменён» (FR-3):** требуется терминальный исход, который не requeue'ится. Варианты
-  (выбор — архитектор): новый статус `jobs.status='cancelled'` ИЛИ переиспользование `failed` +
-  аддитивный маркер. Требование к выбранному варианту: claim/finalize/reaper не возвращают его в
-  `queued`; restart-safe.
-- **Состояние задачи «отменена» (FR-5, NFR-4):** durable-признак, что задача отменена и не
-  возобновляется с середины. Варианты: добавление терминальной стадии `cancelled` в `tasks.stage`
-  (учитывается терминал-скипом `done`/`cancelled`, уже поддержан reconciler'ом) ИЛИ аддитивная
-  колонка/таблица. `STAGE_TRANSITIONS` (exit-гейты рёбер) при этом **не меняются** — отмена это
-  терминальное состояние, не новое ребро конвейера.
-- `QG_CHECKS`, `check_*`, `job_deps`, `agent_runs`-контракт, `repo_freeze` — **без изменений**.
-
----
-
-## 6. Требования к новым/изменённым QG checks
-
-- **Новых QG-проверок не вводить.** STOP — это решение диспетчера статусов/планировщика (отмена),
-  а не Quality Gate стадии. Реестр `QG_CHECKS` и `check_*` не меняются (по образцу `task_deps`
-  ORCH-026 и `serial_gate` ORCH-088 — логика в обработчике/claim, не новый QG).
-
----
-
-## 7. Совместимость / регресс
-
-- **Kill-switch:** новый флаг `stop_status_enabled` (env `ORCH_STOP_STATUS_ENABLED`) по образцу
-  `serial_gate_enabled`; `False` → STOP-обработка и закрытие дыры релонча ведут себя нейтрально
-  (поведение строго как сейчас, нулевая регрессия). При необходимости — область репо
-  (`stop_status_repos`, CSV) с дефолтом «все репо» (отмена осмысленна и для enduro).
-- **Аддитивность БД (NFR-2):** только идемпотентные миграции; enduro при выключенном/неприменимом
-  флаге не затрагивается.
-- **Инварианты (не нарушать):** `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, exit-коды
-  deploy-хука, merge-gate (ORCH-043), merge-verify (ORCH-071/073), image-freshness (ORCH-058),
-  post-deploy контракт (ORCH-021), serial-gate (ORCH-088), auto-label (ORCH-089), семантика
-  Rejected/Approved/Confirm Deploy — **без изменений**.
-- **Self-hosting safety (NFR-3):** STOP не рестартит/не роняет прод-контейнер; не push/force-push в
-  `main`; merge/deploy прерываются fail-safe (без half-merge).
-- **never-raise (NFR-5):** обработчик STOP и закрытие релонча не валят вебхук-поток; ошибка на
-  единице работы изолирована.
-- **Артефакты pipeline (создать/обновить в том же PR):** `docs/work-items/ORCH-090/06-adr/ADR-001-…`
-  (решение архитектора), `docs/architecture/README.md` (раздел «STOP / отмена задачи (ORCH-090)»,
-  обновление описания `GET /queue`, раздела статусной модели и при новой таблице/колонке — раздела
-  «База данных»), `CLAUDE.md` (абзац о STOP в статусной модели), `CHANGELOG.md` (`feat:`); при новой
-  таблице/колонке — `docs/work-items/ORCH-090/08-data-requirements.md`; при админ-эндпоинте — таблица
-  API в README.
-
----
-
-## 8. Открытые вопросы для архитектора (не блокируют анализ)
-
-- OQ-1: Имя Plane-статуса — отдельный «STOP» (новый key) vs переиспользование существующего
-  «Cancelled» (key `cancelled` уже в `_PLANE_NAME_TO_KEY`). Влияет на маппинг и группу терминал-скипа.
-- OQ-2: Статус отменённого job — новый `cancelled` vs `failed`+маркер.
-- OQ-3: Состояние отменённой задачи — терминальная стадия `cancelled` vs аддитивная колонка/таблица.
-- OQ-4: Сброс прогресса — удалить строку task (полный re-create через To Analyse) vs пометить
-  cancelled и при To Analyse создавать новую задачу.
-- OQ-5: Удаление vs архив рабочей ветки (и Gitea-ветки) — что безопаснее для аудита.
-- OQ-6: Точка безопасного прерывания merge/deploy (FR-7) и обработка удерживаемого merge-lease.
-- OQ-7: Чем заменить легитимный «resume после Needs Input», который сейчас опирается на релонч в
-  `handle_status_start` (FR-6), чтобы не сломать намеренный сценарий возврата к работе.

docs/work-items/ORCH-090/03-acceptance-criteria.md

@@ -1,146 +0,0 @@
----
-work_item: ORCH-090
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 03 — Критерии приёмки (Acceptance Criteria): ORCH-090 — Механизм отмены задачи: статус STOP в Plane
-
-Work Item: **ORCH-090** · Repo: **orchestrator** · Стадия: analysis
-
-Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
-(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам
-репозитория.
-
----
-
-## AC-1 — STOP останавливает активного агента
-
-**Условие:** задача с running-job'ом переведена в Plane-статус STOP.
-- **PASS:** активному процессу агента послан SIGTERM через существующий каскад
-  (`launcher._watchdog`: SIGTERM → grace → SIGKILL); по grace процесс завершён; `agent_runs`/`jobs`
-  отражают завершение. Тест демонстрирует вызов остановки по `jobs.pid`.
-- **FAIL:** процесс агента продолжает работать после STOP, либо kill реализован новым «грязным»
-  механизмом мимо graceful-каскада, либо STOP падает с исключением.
-
----
-
-## AC-2 — Все job'ы задачи отменены без авто-requeue
-
-**Условие:** у задачи есть job'ы в `queued` и/или `running`; пришёл STOP.
-- **PASS:** все job'ы задачи переведены в терминальный отменённый исход; `claim_next_job` их не
-  выбирает; `_finalize_permanent`/`job_reaper` не возвращают их в `queued` (ретраи исчерпаны).
-  Тест: после STOP claim не возвращает job задачи, reaper не requeue'ит.
-- **FAIL:** хотя бы один job задачи остаётся claimable/возвращается в `queued` после STOP, либо
-  происходит авто-requeue.
-
----
-
-## AC-3 — Таймеры/мониторы сняты, отменённая задача не реконсилируется
-
-**Условие:** задача отменена через STOP.
-- **PASS:** связанные таймеры/мониторы (post-deploy monitor, brd-review clock, defer'ы) не активны
-  для задачи; `reconciler` (`_is_terminal_state`, терминал-скип `done`/`cancelled`) и `job_reaper`
-  не трогают/не «оживляют» отменённую задачу. Тест: reconciler F-1 пропускает отменённую задачу.
-- **FAIL:** монитор/таймер срабатывает по отменённой задаче, либо reconciler/reaper её
-  релончит/реанимирует.
-
----
-
-## AC-4 — Полный сброс: ветка/worktree удалены/архивированы, прогресс сброшен, docs сохранены
-
-**Условие:** задача отменена через STOP.
-- **PASS:** рабочий worktree удалён (`remove_worktree`, never-raise), рабочая ветка удалена/
-  заархивирована; `main` не тронут (force-push в `main` отсутствует); прогресс задачи в БД приведён
-  к durable-состоянию «отменена» (повторный запуск возможен только с нуля); docs-артефакты
-  (`docs/work-items/ORCH-090/01..17`) **сохранены/забэкаплены**, не удалены.
-- **FAIL:** worktree/ветка остаются как «живой» прогресс, либо тронут `main`, либо docs-артефакты
-  удалены, либо задача способна продолжиться «с середины».
-
----
-
-## AC-5 — Единственный вход к запуску — To Analyse; дыра релонча закрыта
-
-**Условие:** существующая задача (с веткой/прогрессом) вручную переведена в промежуточный рабочий
-статус (Architecture/Development/Review/Testing/Deploying/Awaiting Deploy/Monitoring).
-- **PASS:** агент соответствующей стадии **не** запускается (нет `enqueue_job` стадийного агента по
-  факту ручной смены рабочего статуса). Запуск пайплайна происходит ТОЛЬКО при статусе «To Analyse»
-  (`start_pipeline`). Тест: перевод в Development не порождает job; перевод в To Analyse порождает
-  старт с нуля.
-- **FAIL:** ручной перевод в любой промежуточный рабочий статус релончит агента текущей стадии
-  (текущее дырявое поведение `handle_status_start`).
-
----
-
-## AC-6 — Идемпотентность STOP
-
-**Условие:** STOP приходит на задачу, которая уже отменена / `done` / не существует.
-- **PASS:** обработчик — no-op: нет повторного kill, нет повторного удаления ветки, нет ошибок, нет
-  Telegram-спама дублями. Тест: повторный STOP не меняет состояние и не бросает.
-- **FAIL:** повторный STOP бросает исключение, повторно убивает/чистит, либо генерирует
-  дубль-уведомления.
-
----
-
-## AC-7 — Безопасное прерывание merge/deploy (self-hosting safety)
-
-**Условие:** STOP приходит во время merge/deploy задачи.
-- **PASS:** `main` не остаётся в half-merged состоянии; прод-контейнер не рестартится/не роняется
-  обработчиком STOP; force-push в `main` отсутствует. Если необратимый шаг уже запущен — он не
-  «разрывается» с порчей (исход зафиксирован честно, затем применена отмена). Тест/обоснование
-  демонстрирует fail-safe точку прерывания.
-- **FAIL:** после STOP `main` в неконсистентном состоянии, прод перезапущен/упал по вине STOP, либо
-  выполнен force-push в `main`.
-
----
-
-## AC-8 — Kill-switch и нулевая регрессия
-
-**Условие:** флаг `stop_status_enabled=False`.
-- **PASS:** STOP-обработка не активна, дыра релонча в поведении не меняется относительно текущего
-  кода; `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` не изменены; полный `pytest tests/` зелёный;
-  enduro-trails не затронут. При `True` — STOP работает по AC-1…AC-7.
-- **FAIL:** при выключенном флаге поведение отличается от текущего; изменены exit-гейты/реестр QG;
-  регресс существующих тестов.
-
----
-
-## AC-9 — Аддитивность БД и restart-safe
-
-**Условие:** изменения схемы БД и поведение после рестарта.
-- **PASS:** все миграции аддитивны и идемпотентны (`CREATE TABLE IF NOT EXISTS`/`_ensure_column`);
-  после рестарта контейнера отменённая задача остаётся отменённой и не релончится. Тест: повторная
-  инициализация БД не падает; отменённая задача durable.
-- **FAIL:** деструктивная/неидемпотентная миграция, изменение существующих таблиц-контрактов, либо
-  «оживание» отменённой задачи после рестарта.
-
----
-
-## AC-10 — Наблюдаемость STOP
-
-**Условие:** STOP применён к задаче.
-- **PASS:** факт отмены залогирован; отправлен Telegram-алерт с кликабельным номером задачи;
-  Plane-коммент (best-effort); live-карточка обновлена (never-raise); `GET /queue` несёт read-only
-  блок отмены. Тест: блок присутствует в ответе `GET /queue`.
-- **FAIL:** STOP не оставляет следов в логе/уведомлениях, либо `GET /queue` падает/не отражает
-  отмену.
-
----
-
-## Сводная матрица AC ↔ FR/BR
-
-| AC | Покрывает |
-|----|-----------|
-| AC-1 | BR-1 / FR-2 |
-| AC-2 | BR-1 / FR-3 |
-| AC-3 | BR-1 / FR-4 / NFR-4 |
-| AC-4 | BR-2 / FR-5 |
-| AC-5 | BR-3, BR-4 / FR-6 |
-| AC-6 | BR-5 / FR-1 |
-| AC-7 | BR-6 / FR-7 / NFR-3 |
-| AC-8 | NFR-1 / FR-6 |
-| AC-9 | NFR-2, NFR-4 / FR-3, FR-5 |
-| AC-10 | BR-8 / FR-8 |

docs/work-items/ORCH-090/04-test-plan.yaml

@@ -1,107 +0,0 @@
-work_item: ORCH-090
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-title: "STOP-статус: отмена задачи (остановка + полный сброс) и закрытие дыры релонча"
-framework: pytest
-scope: >
-  Покрывается: распознавание/маршрутизация STOP, остановка агента, отмена job'ов без авто-requeue,
-  снятие мониторов/терминал-скип, полный сброс ветки/worktree/прогресса при сохранении docs,
-  закрытие дыры релонча (только To Analyse стартует пайплайн), идемпотентность, kill-switch,
-  аддитивность БД/restart-safe, наблюдаемость (GET /queue, уведомления).
-  Вне покрытия: реальный прод-деплой/рестарт контейнера (self-hosting safety проверяется на уровне
-  «не вызывается рестарт/force-push», а не живым деплоем); кросс-проектная пакетная отмена.
-notes: >
-  Полный регресс `pytest tests/` должен оставаться зелёным (NFR-1). Регрессом считается: изменение
-  STAGE_TRANSITIONS/QG_CHECKS/check_*, релонч агента ручной сменой рабочего статуса, авто-requeue
-  отменённого job, «оживание» отменённой задачи reconciler/reaper, любой push/force-push в main,
-  рестарт прод-контейнера обработчиком STOP. Тесты должны проходить и при stop_status_enabled=False
-  (нейтральное поведение). Использовать существующие фикстуры из tests/test_plane_webhook.py /
-  test_launcher.py / test_queue.py / test_reconciler.py.
-
-tests:
-  - id: TC-01
-    type: unit
-    description: "STOP-статус распознаётся и маршрутизируется в обработчик отмены (handle_issue_updated); неизвестная/прочая задача -> no-op, never-raise."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "Остановка активного агента: при STOP по running-job посылается SIGTERM по jobs.pid через каскад _watchdog (SIGTERM->grace->SIGKILL); нет активного процесса -> no-op."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "Отмена job'ов: queued+running job'ы задачи переведены в терминальный отменённый исход; claim_next_job их не выбирает (AC-2)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "Запрет авто-requeue: _finalize_permanent/job_reaper не возвращают отменённый job в queued (ретраи исчерпаны)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "Полный сброс: при STOP вызывается remove_worktree и удаление/архив рабочей ветки; main не трогается; force-push в main отсутствует (AC-4, AC-7)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-06
-    type: unit
-    description: "Docs-артефакты задачи (01..17) сохраняются/бэкапятся при сбросе прогресса, не удаляются (AC-4)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-07
-    type: unit
-    description: "Идемпотентность: повторный STOP на уже отменённой / done / несуществующей задаче -> no-op (нет повторного kill/cleanup, нет исключений, нет дубль-уведомлений) (AC-6)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "Kill-switch: при stop_status_enabled=False STOP-обработка нейтральна, поведение как сейчас; при True -> отмена выполняется (AC-8)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-09
-    type: unit
-    description: "Наблюдаемость: GET /queue несёт read-only блок отмены; never-raise при ошибке построения блока (AC-10)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-10
-    type: integration
-    description: "Закрытие дыры релонча: ручной перевод существующей задачи в Development/Architecture/Review/Testing НЕ порождает job стадийного агента (handle_status_start не релончит) (AC-5)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-11
-    type: integration
-    description: "Единственный вход: перевод в To Analyse запускает start_pipeline (новая ветка от свежего origin/main + analyst) — единственный путь старта пайплайна (AC-5)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-12
-    type: integration
-    description: "Терминал-скип/restart-safe: отменённая задача durable; reconciler F-1 и job_reaper её не реконсилируют/не оживляют (терминал-скип done/cancelled, _is_terminal_state) (AC-3, AC-9)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-13
-    type: integration
-    description: "End-to-end STOP: задача со срезанной веткой и активным job -> STOP -> агент остановлен, job'ы отменены, ветка/worktree убраны, статус задачи durable 'отменена', уведомления отправлены (AC-1..AC-4, AC-10)."
-    module: tests/test_stop_status.py
-    expected: PASS
-
-  - id: TC-14
-    type: unit
-    description: "Аддитивность БД: миграция нового терминального исхода job/состояния задачи идемпотентна (повторная init_db не падает); существующие таблицы-контракты не изменены (AC-9, NFR-2)."
-    module: tests/test_stop_status.py
-    expected: PASS

docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md

@@ -1,294 +0,0 @@
----
-work_item: ORCH-090
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# ADR-001: Механизм отмены задачи — Plane-статус STOP (остановка + полный сброс)
-
-Work Item: **ORCH-090** — единый декларативный механизм отмены/сброса задачи через
-Plane-статус STOP.
-Стадия: **architecture**
-Сквозная регистрация: **`docs/architecture/adr/adr-0026-stop-cancel-task.md`** (решение
-кросс-каттинговое — вводит системное терминальное состояние `cancelled`, затрагивающее
-планировщик, реконсилятор, serial-gate, task-deps, мониторы).
-
-## Статус
-Proposed
-
----
-
-## Контекст
-
-Сегодня в оркестраторе **нет штатного способа отменить/остановить задачу** (BRD §1). Оператор
-делает ручную хирургию: убивает процесс агента, ждёт исчерпания ретраев job, чистит
-ветку/worktree/строку `tasks` и сбрасывает статус Plane. Медленно, ошибкоопасно,
-невоспроизводимо (инцидент 09.06 с ORCH-087).
-
-Вторая, связанная проблема — **дыра релонча**. Сверено по коду
-`src/webhooks/plane.py::handle_status_start` (строки 215–306): при существующей задаче без
-активного job функция **безусловно релончит агента текущей стадии** на той же ветке
-(`has_active_job_for_task(task_id)` → иначе `enqueue_job(stage_agent, …)`, где
-`stage_agent = STAGE_AUTHORS.get(current_stage)`). Этот путь задуман для «аналитик ответил на
-Needs Input», но релончит агента **любой** стадии — именно он усугубил инцидент.
-
-**Факты, сверенные по коду (не изобретать):**
-- Машина стадий — `src/stages.py::STAGE_TRANSITIONS`; `done` — терминальный сток
-  (`{"next": None, "agent": None, "qg": None}`, строка 21). `cancelled`-стадии нет.
-- Plane-маппинг — `src/plane_sync.py`: `_PLANE_NAME_TO_KEY` уже содержит
-  `"Cancelled" → "cancelled"` (стр. 141); `_DEFAULT_STATES` содержит UUID `cancelled` (стр. 102);
-  имени «STOP» в маппинге нет. Маршрутизация статуса — `handle_issue_updated` (стр. 129–173),
-  сравнивает `new_state` с per-project UUID из `get_project_states(project_id)`; `to_analyse →
-  handle_status_start`, `confirm_deploy → handle_confirm_deploy`, `approved/rejected →
-  handle_verdict`; всё прочее → `else` (no-op).
-- Остановка процесса агента уже есть — graceful-каскад `launcher._watchdog`
-  (SIGTERM → grace `agent_kill_grace_seconds` → SIGKILL, стр. 661–718); PID задачи стампится в
-  `jobs.pid` (`_spawn`, стр. 607–614).
-- Статусы job в `jobs` — `queued | running | done | failed` (`src/db.py`, стр. 56–72); claim
-  выбирает только `status='queued'` (`claim_next_job`, стр. 586–651). Реквью на dead-running —
-  `job_reaper._reap_unknown_outcome` (`attempts<max → queued`, иначе `failed`, стр. 315–334).
-- **Терминал-скип уже учитывает `cancelled`:** `reconciler._is_terminal_state` (group
-  `completed`/`cancelled` или логический ключ `cancelled`, стр. 398–415) и F-1 пропускает
-  `stage in ("done","cancelled")` ДО любой работы (стр. 196, ORCH-086 D2 — `cancelled`-стадия
-  **уже предвосхищена**).
-- **Но** «незавершённость» задачи в горячем планировщике определена как `stage != 'done'`
-  (БЕЗ `cancelled`) в `src/serial_gate.py` (стр. 115, 120, 270, 334) и `src/task_deps.py`
-  (`stage != 'done'`). Новая терминальная стадия `cancelled`, не распознанная здесь, **заклинит
-  очередь** репо (serial-gate сочтёт отменённую задачу «активной»; task-deps — «незавершённой
-  зависимостью»).
-- `remove_worktree(repo, branch)` — never-raise локальная очистка (`src/git_worktree.py`,
-  стр. 98–107); функции удаления Gitea-ветки **нет**.
-- Запуск с нуля — `handle_status_start → start_pipeline` (ветка + docs + analyst, стр. 430–626);
-  `create_task_atomic` с anti-dup по `plane_id`; uniqueness-guard по `work_item_id`
-  (`ensure_unique_work_item_id`).
-
-Требуется единый, декларативный, обратимый, аддитивный механизм под kill-switch, never-raise,
-restart-safe; `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*` — без изменений (TRZ §1, NFR-1).
-
----
-
-## Решение
-
-### Сводка
-
-Ввести **STOP** как сигнал отмены задачи: новый логический Plane-ключ `stop` (fail-closed, по
-образцу `confirm_deploy`/ORCH-059), маршрутизируемый в новый обработчик `handle_stop`. Обработчик
-переводит задачу в **новое системное терминальное состояние `cancelled`** (стадия + durable),
-останавливая активного агента существующим graceful-каскадом, отменяя все job'ы новым
-терминальным исходом `jobs.status='cancelled'`, снимая таймеры/мониторы, удаляя рабочую
-ветку+worktree (docs сохраняются) и **тумбстоня** натуральные ключи (`plane_id`/`work_item_id`),
-чтобы повторный «To Analyse» создал задачу с нуля. Параллельно закрывается дыра релонча:
-relaunch в `handle_status_start` ограничивается единственным легитимным владельцем Needs-Input —
-стадией `analysis`. Чистая логика — leaf `src/cancel.py` (never-raise); оркестрация —
-`stage_engine.cancel_task`. Всё под флагом `stop_status_enabled`.
-
-**Ключевой кросс-каттинг (см. adr-0026):** системный предикат «задача терминальна» расширяется с
-`{done}` до `{done, cancelled}` в трёх горячих местах планировщика (serial-gate, task-deps,
-`stages.py`-сток), приводя их в соответствие с уже существующим терминал-скипом реконсилятора.
-
-### D1 — Распознавание и маршрутизация STOP (FR-1, BR-1, BR-5)
-
-- В `_PLANE_NAME_TO_KEY` добавить `"STOP" → "stop"`. **В `_DEFAULT_STATES` ключ `stop` НЕ
-  добавляется** — fail-closed по образцу ORCH-059: нет UUID-фолбэка для enduro/API-сбоя →
-  `get_project_states(...).get("stop")` вернёт `None` → ветка просто не активируется (нет
-  `KeyError`, нет слепой отмены). Инфра-предусловие — создать статус STOP на доске ORCH с
-  **группой `cancelled`** (07-infra-requirements.md), чтобы терминал-скип по группе работал
-  нативно.
-- `handle_issue_updated`: добавить ветку `stop_state = proj_states.get("stop")` →
-  `elif stop_state and new_state == stop_state: await handle_stop(data, project_id)`. Ставится
-  **до** `to_analyse`/`approved`/`rejected`, чтобы жесты не алиасили.
-- `handle_stop` (новый, в `plane.py`): резолвит задачу по `get_task_by_plane_id`; делегирует в
-  `stage_engine.cancel_task(task_id, …)`. Гард kill-switch + repo-scope через `cancel.applies(repo)`.
-- **Идемпотентность (BR-5):** если задача отсутствует / уже `stage in ("done","cancelled")` →
-  no-op (без повторного kill/удаления/уведомления). Контракт — never-raise (NFR-5): ошибка
-  логируется, вебхук-поток не падает.
-
-### D2 — Остановка активного агента (FR-2, BR-1a)
-
-Переиспользовать существующий graceful-каскад, **не изобретать новый kill**. Для running-job'а
-задачи взять `jobs.pid` и послать `SIGTERM` через путь `launcher._watchdog`
-(SIGTERM → grace `agent_kill_grace_seconds` → SIGKILL). Вынести из `_watchdog` переиспользуемый
-хелпер `launcher.stop_process(pid, run_id)` (тот же каскад + `_record_kill`), вызываемый и из
-cancel-пути. Нет активного процесса (idle/queued) → шаг no-op. **Никогда** не убивать
-detached-процесс self-deploy (см. D7).
-
-### D3 — Отмена job'ов и запрет авто-requeue (FR-3, BR-1b/1c)
-
-- Новый **терминальный** статус job `jobs.status='cancelled'`. Схема не меняется (`status` — TEXT);
-  расширяется лишь набор допустимых значений → `queued|running|done|failed|cancelled`.
-- Хелпер `db.cancel_jobs_for_task(task_id)` — guarded UPDATE
-  `SET status='cancelled', finished_at=datetime('now') WHERE task_id=? AND status IN ('queued','running')`.
-  `mark_job` расширяется: `cancelled` тоже стампит `finished_at` (в наборе с `done|failed`).
-- **claim не трогается:** `claim_next_job` выбирает только `status='queued'` → `cancelled`
-  исключён нативно (NFR-6 — без новых JOIN'ов в горячий путь).
-- **Запрет авто-requeue (race-safe):** `job_reaper._reap_unknown_outcome` и launch-error requeue
-  в `queue_worker` ПЕРЕД реквью читают терминальное состояние задачи; `stage in
-  ("done","cancelled")` → job помечается `cancelled` (терминал), **без** возврата в `queued`.
-  Это закрывает гонку «SIGTERM послан, job ещё `running`, reaper видит dead-pid → реквью».
-  Источник истины «не оживлять» — **стадия задачи `cancelled`**, а не статус job.
-
-### D4 — Durable терминал задачи + переиспользование ключей (FR-5, NFR-4, BR-2/BR-3)
-
-- Durable-состояние = **`tasks.stage='cancelled'`**. Это уже понимается терминал-скипом
-  реконсилятора (стр. 196) → **ноль нового кода** для NFR-4; после рестарта отменённая задача не
-  оживает (`requeue_running_jobs` флипает только `running`, а job'ы — `cancelled`).
-- Аддитивная колонка `tasks.cancelled_at TEXT` (через `_ensure_column`) — durable-метка
-  времени для аудита/наблюдаемости.
-- **Переиспользование натуральных ключей (BR-3):** чтобы повторный «To Analyse» создал задачу с
-  нуля, на cancel выполняется **тумбстон** ключей отменённой строки:
-  `plane_id := plane_id || '#cancelled-' || id`, `work_item_id := work_item_id || '#cancelled-' || id`.
-  Тогда `get_task_by_plane_id(plane_id)` вернёт `None` → `start_pipeline` создаст свежую задачу
-  (новая ветка от актуального `origin/main`, новый analyst); anti-dup `create_task_atomic` и
-  `ensure_unique_work_item_id` не коллизируют. Поле `plane_issue_id` **сохраняется** нетронутым —
-  аудит-связь с issue Plane не теряется. Строка `tasks` **не удаляется** (история + durable
-  терминал).
-- **Возобновления «с середины» нет** — единственный вход к запуску остаётся `start_pipeline`
-  через «To Analyse» (D6).
-
-### D5 — Системное терминальное состояние `cancelled` (кросс-каттинг — adr-0026)
-
-Расширить предикат «задача терминальна/завершена» с `{done}` до `{done, cancelled}` там, где он
-сейчас захардкожен как `stage != 'done'`, **приводя планировщик в соответствие с уже
-существующим терминал-скипом реконсилятора** (стр. 196, `{done, cancelled}`):
-- `src/serial_gate.py` — `repo_has_other_unfinished` (стр. 115/120), claim-фрагмент
-  `t2.stage != 'done'` (стр. 270), snapshot (стр. 334): `stage != 'done'` →
-  `stage NOT IN ('done','cancelled')`. Иначе отменённая задача навсегда заблокирует репо.
-  **Маркер ORCH-088** — сверено по `src/serial_gate.py` и
-  `docs/work-items/ORCH-088/06-adr/ADR-001-serial-gate.md`: инвариант serial-gate — «не входить в
-  analysis, пока есть **более ранняя незавершённая** задача»; «незавершённость» определяется
-  стадией, и расширение терминал-набора `cancelled` лишь harmonизирует определение, не меняя
-  FIFO-семантику (`t2.id < jobs.task_id`).
-- `src/task_deps.py` — dep-gate `t.stage != 'done'` и `is_task_ready`: `NOT IN ('done','cancelled')`.
-  Иначе отменённая зависимость заблокирует зависимые задачи навсегда. **Маркер ORCH-026** —
-  сверено: зависимость считается «готовой», когда предшественник терминален; `cancelled` —
-  терминальный исход, поэтому его включение в готовность корректно.
-- `src/stages.py::STAGE_TRANSITIONS` — добавить терминальный **сток**
-  `"cancelled": {"next": None, "agent": None, "qg": None}` (параллельно `done`, стр. 21). Это
-  **не новое ребро** — ни одно exit-гейт ребра не меняется (TRZ §5, NFR-1); сток лишь делает
-  `get_next_stage('cancelled')` корректным (None).
-- `src/reconciler.py::get_active_tasks_for_reconcile` (фильтр `stage != 'done'`) опционально
-  сузить до `NOT IN ('done','cancelled')` (микро-оптимизация; функционально уже покрыто скипом
-  стр. 196).
-
-### D6 — Закрытие дыры релонча (FR-6, BR-3/BR-4, OQ-7)
-
-Маршрутизация уже игнорирует промежуточные статусы (Architecture/Development/… → `else`, no-op),
-поэтому реальная дыра — relaunch внутри `handle_status_start` при `To Analyse` на существующей
-задаче. Решение: **ограничить relaunch единственным легитимным владельцем Needs-Input —
-стадией `analysis`** (единственный, кто ставит Needs Input, ORCH-066). Конкретно: ветку
-«existing task + idle agent → `enqueue_job(stage_agent,…)`» загейтить условием
-`current_stage == 'analysis'`. Для существующей задачи любой иной стадии «To Analyse» → **no-op**
-(лог + best-effort Plane-коммент «для перезапуска с нуля: STOP → To Analyse»). Это сохраняет
-легитимный «аналитик ответил на вопросы», но устраняет тихий релонч середины пайплайна на старой
-ветке (инцидент ORCH-087). Гейт — под `stop_status_enabled` (AC-8: флаг off → поведение 1:1 как
-сейчас).
-
-### D7 — Безопасное прерывание merge/deploy (FR-7, BR-6, NFR-3, AC-7)
-
-STOP **никогда** не трогает `main`, не делает force-push, не рестартит/не роняет прод-контейнер и
-**не SIGKILL'ит** detached-процесс self-deploy. `cancel_task` классифицирует «критическое окно» по
-существующим маркерам (чистая функция `cancel.in_critical_window(task)`, never-raise):
-- self-deploy Phase B запущен — sentinel `INITIATED` в `<repos_dir>/.deploy-state-<repo>/<wi>/`
-  (ORCH-036);
-- задача держит merge-lease `<repos_dir>/.merge-lease-<repo>.json` / merge в процессе (ORCH-043/071).
-
-**Вне критического окна** — полный сброс немедленно (D2–D4, D8).
-**Внутри критического окна** — отложенная отмена: ставится durable-метка
-`tasks.cancel_requested_at` (аддитивная колонка), отменяются **только `queued`** job'ы (не
-running-актор деплоя/мержа), шлётся алерт «STOP отложен до завершения критичного шага».
-Детерминированный finalizer (`run_deploy_finalizer` Phase C / `_handle_merge_verify`) **доводит
-необратимый шаг до честного исхода** и на терминальном `advance_stage` сверяется с
-`cancel_requested_at`: задача переводится в `cancelled` с очисткой (worktree/ветка; код, уже
-влитый в `main`, **не откатывается** — rollback вне объёма, BRD §2). Если шаг достиг `done` —
-STOP фиксируется как «no-op после завершения» (честно: код уже в проде). Так AC-7 выполняется без
-порчи `main`/прода.
-
-### D8 — Полный сброс ветки/worktree, сохранение docs (FR-5, BR-2, AC-4)
-
-- `git_worktree.remove_worktree(repo, branch)` — снять worktree (never-raise, уже есть).
-- **Удалить удалённую feature-ветку** через новый never-raise хелпер
-  `gitea.delete_remote_branch(repo, branch)` (Gitea `DELETE /repos/{owner}/{repo}/branches/{branch}`).
-  Удаляется **только** ветка задачи; `main` — никогда; force-push отсутствует. Выбор «удалить» (не
-  архив): ветку легко восстановить из Gitea, а аналитику хранят docs — минимум новой Gitea-логики
-  (OQ-5).
-- **Docs-артефакты (`01..17`) сохраняются** — не удаляются. На диске они в `docs/work-items/ORCH-090/`
-  (merge'ятся отдельным PR); cancel их не трогает. (Бэкап = они уже в `origin/main`/ветке docs.)
-
-### D9 — Флаги, leaf-модуль, наблюдаемость (FR-8, BR-8, NFR-1, AC-10)
-
-- `src/config.py`: `stop_status_enabled: bool = True` (env `ORCH_STOP_STATUS_ENABLED`,
-  kill-switch) + `stop_status_repos: str = ""` (CSV; **пусто → все репо**, отмена осмысленна и для
-  enduro; токены санитайзятся `^[A-Za-z0-9._-]+$`) — по образцу `serial_gate_*`.
-- Leaf `src/cancel.py` (never-raise, импортирует только `config`/`db`, лениво `plane_sync`): чистая
-  логика — `applies(repo)`, `in_critical_window(task)`, `snapshot()`. Оркестрация
-  (SIGTERM/cancel-jobs/worktree/branch/tombstone/notify) — `stage_engine.cancel_task` (там уже есть
-  доступ к launcher/db/notifications/plane_sync).
-- Наблюдаемость: `logger.info/warning`, Telegram-алерт (`send_telegram`, кликабельный
-  `plane_issue_link`), Plane-коммент (best-effort), `update_task_tracker` (never-raise),
-  read-only блок `stop` в `GET /queue` (`cancel.snapshot()`: `enabled`/`repos`/счётчик
-  `stage='cancelled'`/последние отмены). Существующие ключи `/queue` не меняются.
-
----
-
-## Альтернативы
-
-- **Переиспользовать существующий статус «Cancelled» (key `cancelled`) вместо нового «STOP»** —
-  отвергнуто: владелец продукта явно хочет операторскую кнопку «STOP», отличную от встроенного
-  Plane-«Cancelled» (которым наблюдатели могут пользоваться иначе). Терминал-семантику группы
-  `cancelled` мы при этом переиспользуем (D1, D5).
-- **Job-статус `failed`+маркер вместо нового `cancelled`** (OQ-2) — отвергнуто: `failed`
-  семантически реквью-абелен (reaper/worker путь `attempts<max → queued`); отдельный
-  терминальный `cancelled`, нигде не реквью'ящийся, самодокументируем и безопаснее.
-- **Удалять строку `tasks` целиком** (OQ-4) — отвергнуто: теряется durable-аудит и durable
-  терминал в БД; тумбстон ключей (D4) даёт переиспользование с нуля, сохраняя строку и аудит.
-- **Архивировать ветку (rename `archive/…`)** вместо удаления (OQ-5) — отвергнуто: лишняя
-  Gitea-логика; удаление обратимо в Gitea, аналитику хранят docs.
-- **Прерывать merge/deploy жёстко (kill detached)** (OQ-6) — отвергнуто: риск half-merge/порчи
-  `main`/прода (NFR-3); отложенная отмена (D7) безопаснее.
-- **Полностью блокировать «To Analyse» на существующей задаче** (D6) — отвергнуто: сломает
-  легитимный resume аналитика после Needs Input; ограничение релонча стадией `analysis` точечнее.
-
----
-
-## Последствия
-
-- **+** Оператор получает декларативную кнопку «отменить+сбросить» вместо ручной хирургии;
-  воспроизводимо, наблюдаемо, обратимо (kill-switch).
-- **+** Дыра релонча закрыта; тихий релонч середины пайплайна на старой ветке исключён.
-- **+** Терминал-набор планировщика приведён в соответствие с реконсилятором (`{done,cancelled}`)
-  — устранён латентный рассинхрон ORCH-086.
-- **+** Аддитивно/идемпотентно; при `stop_status_enabled=False` — нулевая регрессия; enduro не
-  затронут.
-- **−** Вводится **системная терминальная стадия `cancelled`** — затрагивает несколько горячих
-  предикатов (serial-gate/task-deps/stages). Митигейшн: исчерпывающий список точек в adr-0026 +
-  тесты на «отменённая задача не клинит очередь / не реквью'ится / переживает рестарт».
-- **−** Отложенная отмена в критическом окне (D7) — не мгновенная. Митигейшн: прозрачный алерт
-  «STOP отложен»; необратимый шаг доводится до честного исхода; код в `main` не откатывается (в
-  объёме BRD — STOP ≠ rollback).
-- **−** Тумбстон `work_item_id` меняет значение колонки на отменённой строке. Митигейшн: формат
-  суффикса `#cancelled-<id>` детерминирован и парсится для аудита; `plane_issue_id` нетронут.
-- **Откат:** `stop_status_enabled=False` отключает обработку STOP, гейт релонча и
-  freeze-неотносимые ветки; аддитивные колонки (`cancelled_at`/`cancel_requested_at`) и расширение
-  терминал-набора инертны при отсутствии отменённых задач. Полный revert — снять врезки в
-  `plane.py`/`stage_engine.py`/`serial_gate.py`/`task_deps.py`/`stages.py`, leaf `cancel.py`, флаги.
-
----
-
-## Ссылки
-- BRD: `docs/work-items/ORCH-090/01-brd.md`
-- TRZ: `docs/work-items/ORCH-090/02-trz.md`
-- Acceptance: `docs/work-items/ORCH-090/03-acceptance-criteria.md`
-- Data: `docs/work-items/ORCH-090/08-data-requirements.md`
-- Infra: `docs/work-items/ORCH-090/07-infra-requirements.md`
-- Риски: `docs/work-items/ORCH-090/10-tech-risks.md`
-- Сквозной ADR: `docs/architecture/adr/adr-0026-stop-cancel-task.md`
-- Сверено по коду: `src/webhooks/plane.py`, `src/plane_sync.py`, `src/db.py`,
-  `src/queue_worker.py`, `src/agents/launcher.py`, `src/reconciler.py`, `src/job_reaper.py`,
-  `src/serial_gate.py`, `src/task_deps.py`, `src/stages.py`, `src/git_worktree.py`,
-  `src/post_deploy.py`, `src/main.py`
-- Маркеры (сверено перед изменением, TRACEABILITY.md): ORCH-088 (`serial_gate`), ORCH-026
-  (`task_deps`), ORCH-086/068 (терминал-скип reconciler), ORCH-036/059 (self-deploy phases),
-  ORCH-043/071 (merge-gate/merge-verify), ORCH-021 (post-deploy), ORCH-087 (brd-clock)

docs/work-items/ORCH-090/07-infra-requirements.md

@@ -1,51 +0,0 @@
----
-work_item: ORCH-090
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 07 — Инфра-требования: ORCH-090 — Механизм отмены задачи (STOP)
-
-Work Item: **ORCH-090** · Repo: **orchestrator** · Стадия: architecture
-
-## I-1. Топология / окружения
-
-Без изменения топологии. Тот же прод-контейнер `orchestrator` (8500) и staging (8501), та же
-общая SQLite-БД и очередь. STOP — обработка вебхука внутри существующего сервиса; новых
-контейнеров/портов/томов/сетей нет.
-
-**Инфра-предусловие (обязательно):** на доске Plane проекта ORCH создать статус **«STOP»** с
-**группой `cancelled`** (а не `started`/`unstarted`). Группа `cancelled` обеспечивает нативный
-терминал-скип реконсилятора (`_is_terminal_state`, ORCH-068/086) без доп-кода. До создания
-статуса фича в fail-safe: `get_project_states(...).get("stop")` → `None` → ветка STOP не
-активируется (нет `KeyError`, ничего не ломается). После создания — сбросить кэш состояний
-(`reload_project_states`) или дождаться TTL `ORCH_PLANE_STATES_TTL_S` (дефолт 300с).
-
-> Для enduro-trails статус STOP **не** обязателен: `stop` отсутствует в `_DEFAULT_STATES`
-> (fail-closed), отмена для enduro станет доступна только при создании статуса на их доске.
-
-## I-2. Переменные окружения / секреты
-
-Новые env (в `.env.example`, аддитивно; секретов нет):
-- `ORCH_STOP_STATUS_ENABLED` — kill-switch фичи (дефолт `true`).
-- `ORCH_STOP_STATUS_REPOS` — CSV области репо (дефолт пусто → все репо).
-
-Существующие переиспользуются: `ORCH_AGENT_KILL_GRACE_SECONDS` (graceful kill), Gitea-токен
-(`delete_remote_branch`), Telegram-токен (алерт). Новых секретов нет.
-
-## I-3. Деплой / рестарт
-
-Прод-деплой орка — обязательно через staging-гейт (8501) перед `deploy` (self-hosting инвариант,
-INFRA.md). STOP-обработчик сам **никогда** не рестартит/не роняет прод-контейнер и не трогает
-`main` (NFR-3): при STOP во время self-deploy критичный detached-шаг не прерывается — отмена
-откладывается до его честного завершения (ADR-001 D7). Раскат — поэтапно через `stop_status_repos`
-при необходимости; дефолт «все репо».
-
-## I-4. CI/CD
-
-Без изменений `.gitea/workflows/`. Добавляются только pytest-тесты (`tests/`, см.
-`04-test-plan.yaml`): STOP-каскад, запрет авто-requeue, терминал-скип, закрытие дыры релонча,
-kill-switch, аддитивность миграций.

docs/work-items/ORCH-090/08-data-requirements.md

@@ -1,70 +0,0 @@
----
-work_item: ORCH-090
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 08 — Требования к данным: ORCH-090 — Механизм отмены задачи (STOP)
-
-Work Item: **ORCH-090** · Repo: **orchestrator** · Стадия: architecture
-
-> Общая прод-БД (orchestrator + enduro). Все изменения — **только аддитивные и идемпотентные**
-> (`_ensure_column`); существующие таблицы-контракты не переопределяются (NFR-2, AC-9).
-
-## Изменения схемы БД
-
-### Таблица `tasks` — аддитивные колонки (через `_ensure_column`)
-| Колонка | Тип | Назначение |
-|---------|-----|------------|
-| `cancelled_at` | `TEXT` | durable-метка времени отмены (аудит/наблюдаемость). NULL для неотменённых. |
-| `cancel_requested_at` | `TEXT` | durable-метка «отмена запрошена, но отложена» (STOP в критическом окне merge/deploy, ADR-001 D7). Снимается при доведении отмены до конца. |
-
-Никаких `ALTER` существующих колонок. `init_db` идемпотентен (повторный вызов — no-op).
-
-### Без DDL-изменений (расширение допустимых значений TEXT)
-- **`jobs.status`** — добавляется значение `cancelled` к набору `queued|running|done|failed`.
-  Колонка уже `TEXT`; DDL не меняется. `claim_next_job` выбирает только `status='queued'` →
-  `cancelled` исключён нативно.
-- **`tasks.stage`** — добавляется терминальное значение `cancelled` (сток, параллельно `done`).
-  Колонка уже `TEXT DEFAULT 'created'`; DDL не меняется. `STAGE_TRANSITIONS` exit-гейты рёбер
-  **не меняются** — `cancelled` это терминальное состояние, не новое ребро.
-
-### Без изменений
-`job_deps`, `agent_runs`, `repo_freeze`, `tracker_messages`, индексы — контракты нетронуты.
-`QG_CHECKS` / `check_*` — без изменений.
-
-## Новые/изменённые сущности
-
-### Тумбстон натуральных ключей отменённой задачи (ADR-001 D4)
-На cancel выполняется UPDATE отменённой строки `tasks`:
-- `plane_id := plane_id || '#cancelled-' || id`
-- `work_item_id := work_item_id || '#cancelled-' || id`
-- `stage := 'cancelled'`, `cancelled_at := datetime('now')`
-- `plane_issue_id` — **сохраняется нетронутым** (аудит-связь с issue Plane).
-
-Цель: освободить натуральные ключи, чтобы повторный «To Analyse» создал свежую задачу
-(`get_task_by_plane_id(plane_id)` → `None`; anti-dup `create_task_atomic` /
-`ensure_unique_work_item_id` не коллизируют), сохранив строку для аудита. Формат суффикса
-`#cancelled-<id>` детерминирован и парсится.
-
-### Отмена job'ов (ADR-001 D3)
-`cancel_jobs_for_task(task_id)` — guarded UPDATE
-`SET status='cancelled', finished_at=datetime('now') WHERE task_id=? AND status IN ('queued','running')`.
-Терминальный исход, нигде не реквью'ящийся.
-
-## Совместимость данных / миграции
-
-- **Аддитивность/идемпотентность:** только `_ensure_column` (no-op если колонка есть) и
-  расширение наборов TEXT-значений; деструктивных/несовместимых миграций нет (AC-9). Повторная
-  `init_db` после рестарта не падает.
-- **Restart-safe (NFR-4):** durable терминал = `tasks.stage='cancelled'` (уже понимается
-  терминал-скипом реконсилятора, стр. 196). После рестарта `requeue_running_jobs` флипает только
-  `running` → отменённые job'ы (`cancelled`) не оживают; отменённая задача не реконсилируется.
-- **Влияние на общую прод-БД:** изменения строго per-task; enduro не затрагивается, при
-  `stop_status_enabled=False` или отсутствии отменённых задач — поведение БД 1:1 как сейчас.
-- **Кросс-каттинг (adr-0026):** предикат «задача незавершена» в `serial_gate`/`task_deps`
-  расширяется `stage != 'done'` → `stage NOT IN ('done','cancelled')`, иначе отменённая задача
-  заклинит очередь репо. Чтение БД (offline hot-path) не приобретает новых сетевых вызовов (NFR-6).

docs/work-items/ORCH-090/10-tech-risks.md

@@ -1,42 +0,0 @@
----
-work_item: ORCH-090
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 10 — Технические риски: ORCH-090 — Механизм отмены задачи (STOP)
-
-Work Item: **ORCH-090** · Repo: **orchestrator** · Стадия: architecture
-
-## Реестр рисков
-
-| ID | Риск | Вер. | Влия. | Митигейшн |
-|----|------|------|-------|-----------|
-| TR-1 | **Отменённая задача клинит очередь репо** — `serial_gate`/`task_deps` считают `cancelled` «незавершённой» (`stage != 'done'`) → serial-gate блокирует репо, dep-gate вечно держит зависимые. | Выс. | Выс. | Расширить предикат до `stage NOT IN ('done','cancelled')` во ВСЕХ точках (adr-0026, исчерпывающий список). Тест: после STOP другая задача репо стартует; зависимая разблокируется. |
-| TR-2 | **Гонка reaper/worker реквью** — SIGTERM послан, job ещё `running`, reaper видит dead-pid → `attempts<max → queued` (авто-requeue отменённой задачи). | Сред. | Выс. | Источник истины «не оживлять» — `tasks.stage='cancelled'`. reaper/worker ПЕРЕД реквью сверяют терминал задачи → помечают job `cancelled`, не реквью'ят. Тест: reaper не возвращает job отменённой задачи в `queued`. |
-| TR-3 | **STOP во время merge/deploy → half-merge / порча `main` / рестарт прода.** | Низ. | Крит. | D7: критическое окно (`INITIATED`-sentinel self-deploy, держание merge-lease) → отложенная отмена; необратимый шаг доводится до честного исхода; STOP **никогда** не трогает `main`/force-push/прод-контейнер/detached-процесс. Тест/обоснование fail-safe точки. |
-| TR-4 | **Коллизия натуральных ключей при повторном «To Analyse»** — старая отменённая строка держит `plane_id`/`work_item_id` → anti-dup/uniqueness блокируют пере-создание. | Сред. | Сред. | Тумбстон ключей `#cancelled-<id>` на cancel (D4); `plane_issue_id` сохранён. Тест: после STOP «To Analyse» создаёт свежую задачу без коллизии. |
-| TR-5 | **Очистка прогресса в общей прод-БД задевает enduro/другие задачи.** | Низ. | Выс. | Все операции строго per-`task_id`; тумбстон/cancel-jobs гардятся `WHERE task_id=?`; аддитивные миграции; при `stop_status_enabled=False` — инертно. Тест: enduro-строки не тронуты. |
-| TR-6 | **Закрытие дыры релонча ломает легитимный resume аналитика после Needs Input.** | Сред. | Сред. | Relaunch ограничивается стадией `analysis` (единственный владелец Needs-Input, ORCH-066), а не блокируется целиком (D6). Тест: To Analyse на `analysis` релончит аналитика; на середине пайплайна — no-op. |
-| TR-7 | **STOP на «Cancelled»-группе без явного статуса STOP** — fail-closed `stop` не в `_DEFAULT_STATES` может удивить (на доске нет статуса → отмены нет). | Низ. | Низ. | Документировано как fail-safe (07-infra); инфра-предусловие — создать статус STOP (группа `cancelled`). Наблюдаемость: блок `stop` в `/queue` показывает `enabled`/`repos`. |
-| TR-8 | **Дубль-уведомления / повторный kill при повторном STOP.** | Низ. | Низ. | Идемпотентность (BR-5/D1): `stage in ("done","cancelled")` → no-op до любых действий. Тест: повторный STOP не меняет состояние и не шлёт дубль. |
-| TR-9 | **`delete_remote_branch` падает / ветка уже удалена / Gitea недоступна.** | Низ. | Низ. | never-raise хелпер: ошибка/404 логируется, отмена продолжается; worktree снимается локально независимо; `main` не трогается. |
-| TR-10 | **Удаление feature-ветки теряет код, не влитый в `main`.** | Низ. | Сред. | По замыслу: STOP = сброс незавершённого прогресса (BRD §2). docs-артефакты (`01..17`) сохраняются; ветку можно восстановить в Gitea. Влитый в `main` код не откатывается (rollback вне объёма). |
-
-## Сводный вывод
-
-Доминирующий класс — **консистентность системного терминал-набора** (TR-1, TR-2): введение
-`cancelled` как первоклассного терминала обязывает синхронно обновить ВСЕ предикаты «задача
-завершена», иначе латентный клин очереди. Это покрыто исчерпывающим списком в adr-0026 и
-маркером `ORCH-090`. Второй класс — **self-hosting safety при STOP во время merge/deploy** (TR-3),
-покрыт отложенной отменой (D7) с жёсткими запретами (`main`/прод/force-push/kill detached).
-
-**Эскалация:** решение вводит **новое системное терминальное состояние `cancelled`** (новая
-стадия-сток + новый job-статус + сквозное изменение предиката терминальности) → классифицируется
-как `arch:major-change`. Возврат в анализ **не требуется** — ТЗ полно, OQ-1…OQ-7 разрешены в
-ADR-001; реализация аддитивна, под kill-switch, с нулевой регрессией при выключенном флаге.
-Остаточный риск для прод-конвейера (self-hosting) — **низкий** при условии полного покрытия
-тестами TR-1/TR-2/TR-3 и обязательного staging-гейта перед прод-деплоем.

docs/work-items/ORCH-090/12-review.md

@@ -1,114 +0,0 @@
----
-verdict: APPROVED
-work_item: ORCH-090
-stage: review
-author_agent: reviewer
-status: approved
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: review
-work_item_id: ORCH-090
-version: 2
----
-
-# Review ORCH-090 — Механизм отмены задачи: статус STOP (re-review, attempt 2)
-
-## Summary
-
-Повторный review после фикса блокирующего P1 из предыдущей итерации (`12-review.md` v1).
-Реализация STOP-отмены аккуратна и канонична (leaf `src/cancel.py` never-raise, kill-switch
-`stop_status_enabled`, fail-closed маршрутизация по образцу `confirm_deploy`/ORCH-059, аддитивные
-идемпотентные миграции). Кросс-каттинг `{done}` → `{done, cancelled}` проведён исчерпывающе и
-консистентно (serial_gate / task_deps / stages / db / job_reaper / queue_worker), в точности по
-adr-0026.
-
-**Оба ранее блокировавших/важных дефекта закрыты и покрыты содержательными тестами:**
-- **P1 (был blocker) — ИСПРАВЛЕН.** `cancel.in_critical_window` сужен: удержание merge-lease без
-  бегущего актора (`_task_has_running_actor`) на стадии `deploy` в ожидании `Confirm Deploy` теперь
-  НЕ считается критическим окном → немедленный полный сброс, который сам отпускает lease (шаг 3c).
-  Тесты `test_d7_lease_held_idle_parking_is_not_critical`,
-  `test_d7_lease_held_with_running_actor_still_critical`,
-  `test_d7_stop_on_deploy_awaiting_confirm_full_resets` (последний прямо проверяет
-  `stage='cancelled'` + удалённую ветку + `current_lease_holder is None`). Сверено по коду
-  `src/cancel.py::in_critical_window` (стр. 100–158) и `stage_engine.cancel_task` — wedge
-  self-hosting-репо устранён.
-- **P2 (был should-fix) — ИСПРАВЛЕН.** Deferred-ветка `cancel_task` шлёт алерт только при первом
-  переходе (`first = set_task_cancel_requested(...)`, далее `if first:`); повторный STOP в
-  критическом окне даёт `deferred-already-pending` без повторного уведомления. Тест
-  `test_d7_repeated_stop_in_critical_window_no_duplicate_notify` (ровно 1 notify).
-
-Полный регресс `pytest tests/` зелёный (**1349 passed**); `tests/test_stop_status.py` — 30 кейсов
-(TC-01…TC-14 + D7), покрывают AC-1…AC-10 и оба фикса.
-
-Оси проверки: ✅ ТЗ/AC (AC-1…AC-10, включая ранее проваленный AC-7) · ✅ ADR (соответствие
-adr-0026/ADR-001; см. P2-нит ниже) · ✅ качество кода · ✅ документация.
-
-## Findings
-
-### P0 — Blocker
-- (нет)
-
-### P1 — Must fix
-- (нет)
-
-### P2 — Should fix
-
-- [ ] **Work-item ADR-001 §D7 не синхронизирован с фиксом P1 (running-actor-уточнение).**
-  `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md` §D7 (стр. 189–201) по-прежнему
-  определяет критическое окно как «задача держит merge-lease … / merge в процессе» — **без**
-  оговорки «И активно бегущий актор», которую фактически реализует код
-  (`cancel.in_critical_window` + `_task_has_running_actor`) после фикса P1. Авторитетные
-  golden-source доки уже синхронизированы (`CLAUDE.md` — абзац «Уточнение P1 (ORCH-090 review)»;
-  `docs/architecture/README.md` стр. 316–317 «P1-уточнение»; `CHANGELOG.md` — буллет «Фикс P1»),
-  поэтому витрина проекта корректна и это **не** P0 «src изменён, доки не обновлены». Но per
-  «documentation = golden source» работа-айтемный ADR (запись именно этого архитектурного решения)
-  должен честно отражать итоговую семантику — как это уже сделано для уточнения D4. Предложение:
-  добавить в §D7 строку-уточнение «merge-lease критичен ТОЛЬКО при бегущем акторе; припаркованное
-  ожидание `Confirm Deploy` обратимо → немедленный сброс» (ссылка на review P1). Не блокирует.
-
-### P3 — Nice to have
-
-- [ ] **«Завис» `cancel_requested_at` на успешно задеплоенной задаче → вечный `pending` в
-  `GET /queue`** (перенесено из v1, не адресовано). При SUCCESS-деплое `run_deploy_finalizer`
-  вызывает `cancel_task(force=True)`, который видит `stage='done'` → «already-terminal» no-op и
-  **не очищает** `cancel_requested_at`; `db.cancelled_tasks_snapshot` считает
-  `pending = cancel_requested_at IS NOT NULL AND stage != 'cancelled'` → done-задача с бывшим
-  deferred-STOP навсегда показывается «pending». Чисто наблюдаемость; предложение — очищать
-  `cancel_requested_at` при честном no-op после завершения.
-- [ ] **adr-0026 п.6 (post-deploy monitor «не тикает по отменённой задаче») в коде не реализован**
-  (перенесено из v1). Фактически безвреден и недостижим: post-deploy наблюдение идёт только ПОСЛЕ
-  `done`, а STOP на `done` — no-op. Рекомендация: снять пункт из adr-0026 как нерелевантный либо
-  добавить дешёвый терминал-гард для строгого соответствия ADR.
-- [ ] **Косметика:** «рваная» строковая склейка комментария relaunch-hole в
-  `src/webhooks/plane.py` (стр. 345–351) — собрать в одну строку для читаемости.
-
-## Документация
-
-**Обновлена полностью и качественно — отдельных blocking-findings нет.** Проверено пофайльно:
-- `README.md` — таблица env (`ORCH_STOP_STATUS_ENABLED`/`ORCH_STOP_STATUS_REPOS`), раздел «Отмена
-  задачи: статус STOP (ORCH-090)», обновлён список job-статусов (`cancelled`), инфра-предусловие.
-- `docs/architecture/README.md` — раздел STOP со статусом «реализовано», блок `stop` в `/queue`,
-  раздел «База данных» (колонки/тумбстон/статусы) **и P1-уточнение** (стр. 316–317).
-- `docs/architecture/internals.md` — `STAGE_TRANSITIONS` (сток `cancelled`), терминал-предикат
-  `{done,cancelled}`, job-статусы.
-- `CHANGELOG.md` (`feat:` + отдельный буллет «Фикс P1»), `CLAUDE.md` (раздел «Отмена задачи: статус
-  STOP (ORCH-090)» с абзацем «Уточнение P1»), `.env.example` — согласованы.
-- ADR: локальный `06-adr/ADR-001-stop-cancel-task.md` + сквозной
-  `docs/architecture/adr/adr-0026-stop-cancel-task.md`; уточнение D4 (тумбстон `plane_issue_id`)
-  отражено в коде и доках. Единственный gap — §D7 локального ADR не дотянут до running-actor-фикса
-  (P2 выше).
-- Раздела README «Известные ограничения», который ORCH-090 закрывал бы (ORCH-079), нет — обзорная
-  витрина не рассинхронена.
-
-**Трассировка маркеров (TRACEABILITY.md):** правки маркированных инвариантов `serial_gate`/ORCH-088
-и `task_deps`/ORCH-026 сверены с их ADR — расширение терминал-набора до `{done,cancelled}` сохраняет
-FIFO-семантику (`t2.id < jobs.task_id`) и dep-готовность (терминальный предшественник), инварианты
-не сломаны. `STAGE_TRANSITIONS` exit-гейты / `QG_CHECKS` / `check_*` — не тронуты (подтверждено
-анти-регресс-снапшотами, зелёные).
-
-## Вердикт
-
-`APPROVED` — оба ранее найденных дефекта (P1 wedge при STOP в ожидании Confirm Deploy; P2
-дубль-уведомления в deferred-ветке) исправлены и покрыты содержательными тестами; полный регресс
-зелёный (1349 passed). Остаются только P2 (синхронизация §D7 локального ADR) и P3 (наблюдаемость/
-косметика) — не блокируют приёмку, желательны к устранению попутно.

docs/work-items/ORCH-090/13-test-report.md

@@ -1,95 +0,0 @@
----
-result: PASS
-work_item: ORCH-090
-stage: testing
-author_agent: tester
-status: pass
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: test-report
-work_item_id: ORCH-090
----
-
-# Test Report — ORCH-090 — Механизм отмены задачи: статус STOP (остановка + полный сброс)
-
-> Машинный вердикт читается ТОЛЬКО из frontmatter (`result:`). Гейт `check_tests_passed`
-> (`_parse_tests_verdict`) парсит его. Review-вердикт предшественника — `APPROVED` (`12-review.md` v2).
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3
-- Дата: 2026-06-09
-- Worktree: `feature/ORCH-090-stop-plane` (`/repos/_wt/orchestrator/feature_ORCH-090-stop-plane/`)
-- Прод-контейнер `orchestrator` (8500) не трогался (smoke только read-only).
-
-## Результаты
-
-### Полный регресс
-`pytest tests/ -q` (из worktree ветки задачи) — **1349 passed, 1 warning** (37.91s).
-Warning — известный pydantic v2 deprecation в `src/config.py:8` (не относится к ORCH-090, не регресс).
-`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` анти-регресс-снапшоты — зелёные (NFR-1).
-
-### Профильные сюиты
-`pytest tests/test_stop_status.py -v` — **30 passed** (1.72s): TC-01…TC-14 + 7 кейсов D7
-(безопасное прерывание merge/deploy, P1-фикс «merge-lease критичен только при бегущем акторе»,
-P2-фикс «нет дубль-уведомлений в deferred-ветке»).
-
-### Smoke API (read-only, прод 8500)
-| Проверка | Результат |
-|----------|-----------|
-| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
-| `GET /status` | OK (active_tasks отдаётся; ORCH-090 видна на `testing`) |
-| `GET /queue` → блок `serial_gate` (ORCH-088) | присутствует — OK |
-| `GET /queue` → блок `auto_labels` (ORCH-089) | присутствует — OK |
-
-> Блок `stop` (ORCH-090) в проде 8500 отсутствует — ожидаемо: фича этой задачи ещё не задеплоена
-> (прод несёт предыдущий образ). В коде ветки блок присутствует (`src/main.py:198 "stop": cancel.snapshot()`)
-> и покрыт тестом `test_tc09_queue_has_stop_block_and_keeps_keys` — это НЕ регресс смока.
-
-## Сопоставление с тест-планом (`04-test-plan.yaml`)
-
-| TC ID | Описание | Тест-функция(и) | Результат |
-|-------|----------|-----------------|-----------|
-| TC-01 | STOP распознаётся/маршрутизируется; прочее → no-op, never-raise | `test_tc01_stop_routed_and_unknown_is_noop` | PASS |
-| TC-02 | Остановка агента: SIGTERM по `jobs.pid` через каскад `_watchdog`; idle → no-op | `test_tc02_stop_active_agent_by_pid`, `test_tc02_idle_agent_no_stop` | PASS |
-| TC-03 | Отмена job'ов: queued+running → терминал; `claim_next_job` их не выбирает | `test_tc03_jobs_cancelled_and_claim_skips`, `test_tc03_cancel_jobs_helper_only_queued` | PASS |
-| TC-04 | Запрет авто-requeue: `_finalize`/reaper не возвращают в `queued` | `test_tc04_reaper_does_not_requeue_terminal_task` | PASS |
-| TC-05 | Полный сброс: `remove_worktree`+удаление ветки; `main` не тронут, нет force-push | `test_tc05_full_reset_removes_branch_and_worktree`, `test_tc05_delete_remote_branch_refuses_main` | PASS |
-| TC-06 | Docs-артефакты (01..17) сохраняются при сбросе | `test_tc06_docs_and_task_row_survive` | PASS |
-| TC-07 | Идемпотентность: повторный STOP на cancelled/done/missing → no-op | `test_tc07_idempotent_on_cancelled_done_missing` | PASS |
-| TC-08 | Kill-switch `stop_status_enabled=False` нейтрален; `True` → отмена; scope CSV | `test_tc08_kill_switch_off_inert`, `test_tc08_kill_switch_off_handle_stop_noop`, `test_tc08_scope_csv` | PASS |
-| TC-09 | Наблюдаемость: `GET /queue` несёт блок `stop`; never-raise при ошибке | `test_tc09_queue_has_stop_block_and_keeps_keys`, `test_tc09_snapshot_never_raises` | PASS |
-| TC-10 | Дыра релонча закрыта: ручной перевод в mid-стадию НЕ порождает job | `test_tc10_relaunch_hole_closed_midpipeline` | PASS |
-| TC-11 | Единственный вход — To Analyse → `start_pipeline`; analysis idle релончит analyst | `test_tc11_new_task_starts_pipeline`, `test_tc11_analysis_idle_relaunches_analyst` | PASS |
-| TC-12 | Терминал-скип/restart-safe: reconciler F-1 и reaper не оживляют cancelled | `test_tc12_reconciler_skips_cancelled`, `test_tc12_requeue_running_does_not_revive_cancelled` | PASS |
-| TC-13 | End-to-end STOP: агент остановлен, job'ы отменены, ветка убрана, статус durable, уведомления | `test_tc13_end_to_end_stop` | PASS |
-| TC-14 | Аддитивность БД: миграция идемпотентна; существующие контракты целы | `test_tc14_migration_idempotent_and_columns_present`, `test_tc14_existing_contracts_intact` | PASS |
-| — (D7) | Безопасное прерывание merge/deploy + P1/P2-фиксы | `test_d7_*` (7 кейсов) | PASS |
-
-Все 14 TC из тест-плана выполнены и сопоставлены; ожидаемый `expected: PASS` совпадает с фактом.
-
-## Сопоставление с критериями приёмки (`03-acceptance-criteria.md`)
-
-| AC | Критерий | Покрытие | Результат |
-|----|----------|----------|-----------|
-| AC-1 | STOP останавливает активного агента (SIGTERM-каскад по `jobs.pid`) | TC-02, TC-13 | PASS |
-| AC-2 | Все job'ы отменены без авто-requeue (claim не выбирает) | TC-03, TC-04 | PASS |
-| AC-3 | Таймеры/мониторы сняты; отменённая задача не реконсилируется | TC-12 | PASS |
-| AC-4 | Полный сброс: ветка/worktree убраны, прогресс durable, docs сохранены | TC-05, TC-06, TC-13 | PASS |
-| AC-5 | Единственный вход — To Analyse; дыра релонча закрыта | TC-10, TC-11 | PASS |
-| AC-6 | Идемпотентность STOP (cancelled/done/missing) | TC-07 | PASS |
-| AC-7 | Безопасное прерывание merge/deploy (нет half-merge/рестарта прода/force-push) | TC-05, D7 (`test_d7_*`) | PASS |
-| AC-8 | Kill-switch и нулевая регрессия (полный pytest зелёный) | TC-08, полный регресс 1349 passed | PASS |
-| AC-9 | Аддитивность БД и restart-safe | TC-14, TC-12 | PASS |
-| AC-10 | Наблюдаемость STOP (`GET /queue` блок, уведомления) | TC-09, TC-13 | PASS |
-
-Все AC-1…AC-10 покрыты и зелёные.
-
-## Итог
-
-**PASS.** Полный регресс зелёный (1349 passed), профильная сюита `tests/test_stop_status.py` зелёная
-(30 passed), smoke read-only OK (`/health`, `/status`, `/queue` с блоками `serial_gate`/`auto_labels`),
-каждый TC тест-плана выполнен и сопоставлен с AC. Регрессов (`STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`,
-авто-requeue, оживание отменённой задачи, касание `main`/прод-контейнера) не обнаружено.
-
-`result: PASS` → задача переходит на `deploy-staging`.

docs/work-items/ORCH-090/14-deploy-log.md

@@ -1,12 +0,0 @@
----
-deploy_status: SUCCESS
-work_item: ORCH-090
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-036 executable self-deploy
-
-Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
-
-Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-090/15-staging-log.md

@@ -1,53 +0,0 @@
----
-staging_status: SUCCESS
-work_item: ORCH-090
-stage: deploy-staging
-author_agent: deployer
-status: success
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-timestamp: 2026-06-09T18:30:25Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-Staging test suite completed against the live staging environment
-(`orchestrator-staging`, 8501), run canonically inside the container
-(ORCH-048, ADR-001):
-
-```
-docker exec orchestrator-staging \
-  python3 /repos/orchestrator/scripts/staging_check.py \
-  --base-url http://localhost:8501 --mode stub
-```
-
-**Verdict: SUCCESS** (exit code 0).
-
-## Results
-
-Result: 8/10 checks PASS. All REAL (pipeline) checks are green:
-
-- **Block A (SMOKE)**: A1 `/health`, A2 `/queue`, A3 `ORCH_STAGING=true` — PASS
-- **Block B (ACCESS)**: B4 Plane sandbox, B5 Gitea sandbox (push=true), B6 registry
-  isolation (sandbox present, prod ET/ORCH absent) — PASS
-- **Block C (E2E, stub)**: C7 create issue in SANDBOX, C8 trigger pipeline via
-  `/webhook/plane` — PASS; C9a/C9b — waived sandbox-infra
-
-REAL failed: none.
-
-## Infra waiver (ORCH-061)
-
-The two failed checks are known sandbox-infra checks (C9a branch appears in
-`orchestrator-sandbox`, C9b analyst-job enqueued) — they depend on SANDBOX bot
-accounts being members of the sandbox Plane project, not on the pipeline. They
-were waived per ORCH-061 (`staging_infra_tolerance_enabled=True`); the script
-still exited 0 fail-closed because every REAL check is green.
-
-```
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
-```
-
-Exit code remains the source of truth (fail-closed: any REAL failure still yields
-exit 1).

docs/work-items/ORCH-091/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: BUG: заголовок-строка карточки застревает на «To Analyse» на stage=deploy-staging (нет ключа в _STAGE_STATUS_LABEL)
-
-Work Item ID: ORCH-091
-
-## Description
-
-TBD

docs/work-items/ORCH-091/01-brd.md

@@ -1,137 +0,0 @@
----
-work_item: ORCH-091
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 01 — BRD (бизнес-требования): ORCH-091 — Карточка трекера: фикс «To Analyse» на deploy-staging, отражение откатов, суммирование метрик по попыткам
-
-Work Item: **ORCH-091** · Repo: **orchestrator** · Стадия: analysis
-
-## 1. Бизнес-контекст и проблема
-
-Live Telegram-карточка задачи (ORCH-067, единственная карточка на задачу, рендер
-`src/notifications.py::render_task_tracker`) — основной канал, по которому Owner/Слава
-наблюдают прогресс конвейера. Карточка обязана показывать **честную** текущую картину.
-Объединены три верифицированных по коду и БД прода (09.06) дефекта одной карточки
-(ORCH-072 закрыт как дубль; ORCH-091 расширена до полного объёма):
-
-- **Дефект 1 (косметика, но вводит в заблуждение).** Заголовок-строка статуса карточки
-  (`📍 <status_label>`) застревает на «To Analyse», когда задача реально на стадии
-  `deploy-staging`. Корень верифицирован: словарь `_STAGE_STATUS_LABEL`
-  (`src/notifications.py` ~стр. 940) содержит 8 ключей (`created/analysis/architecture/
-  development/review/testing/deploy/done`), а реальные значения `tasks.stage` — это ключи
-  `STAGE_TRANSITIONS` (`src/stages.py`), среди которых есть `deploy-staging`. Ровно эта
-  стадия не покрыта → `.get(stage, _DEFAULT_STATUS_LABEL)` отдаёт дефолт «To Analyse»
-  (`_DEFAULT_STATUS_LABEL`, ~стр. 950). Программно проверено: из 9 реальных стадий не
-  покрыта **ровно одна** — `deploy-staging` (предпоследняя перед прод-деплоем, видна
-  чаще всего). Сам дефолт-«To Analyse» — мина на будущее: любая новая стадия даст ложный
-  «первый статус».
-
-- **Дефект 2 (ложная картина при откате).** При rollback по конвейеру (напр. merge-gate
-  `deploy-staging → development`, ORCH-43; или REQUEST_CHANGES `review → development`)
-  верхние строки `✅ пройдено` (Код-ревью / Тестирование / Внедрение) НЕ снимаются, а внизу
-  снова `🔄 Разработка`. Абсурд: «Внедрение готово ✅, но идёт Разработка 🔄». Корень:
-  цикл рендера в `render_task_tracker` (~стр. 474–505) выводит `✅`-строку для каждой
-  стадии `_TRACKER_STAGES`, у чьего агента есть завершённый прогон (`last_done`), без
-  учёта позиции стадии относительно текущей.
-
-- **Дефект 3 (реальное занижение тоталов, не косметика).** Строка стадии берёт ПОСЛЕДНИЙ
-  прогон агента (`run = last_done.get(agent)`, ~стр. 475; `_stage_line`), теряя предыдущие
-  попытки. На задаче с ретраями метрики стадии занижены. Верифицировано на ORCH-069
-  (`task_id=54`, прод 09.06): developer = 3 прогона Σ $3.98 (карточка показывала ~$0.00 за
-  «Разработка»), reviewer = 3 Σ $2.10, tester = 2 Σ $1.03, deployer = 2 Σ $1.59. Источник
-  истины — таблица `agent_runs` (`cost_usd`, `input_tokens`, `output_tokens`,
-  `cache_read_tokens`, `cache_creation_tokens`, `started_at`/`finished_at`).
-
-> **Замечание (факт кода, не противоречие).** Блок тоталов задачи (`💰`/`🔢`/`⏱ Агенты`)
-> в текущем worktree уже суммирует ВСЕ прогоны (`render_task_tracker` ~стр. 388–404).
-> Заниженной остаётся **строка стадии** (`_stage_line` показывает только последний прогон).
-> Требование G4/AC-5 формулируется на уровне строки стадии и инварианта сходимости тоталов
-> с `SUM(agent_runs)` — реализация/архитектура подбора агрегата за архитектором.
-
-## 2. Объём (scope)
-
-### В объёме
-- Покрытие `_STAGE_STATUS_LABEL` всеми ключами `STAGE_TRANSITIONS` из единого
-  программного источника истины (не «на глаз», не дублирующим списком).
-- Осмысленный staging-лейбл для `deploy-staging`, согласованный с моделью статусов
-  ORCH-066/059.
-- Нейтральный фолбэк для истинно неизвестной/битой стадии (вместо «To Analyse»).
-- Отражение откатов: снятие `✅` со стадий ПОСЛЕ текущей позиции задачи.
-- Метрика строки стадии = Σ всех `agent_runs` стадии (💰 стоимость / 🔢 токены / ⏱ время),
-  с сохранением сходимости тоталов задачи с `SUM(agent_runs)` по `task_id`.
-- Тесты на полноту карты стадий, суммирование метрик, отражение отката; `CHANGELOG.md`.
-
-### Вне объёма
-- Изменение `STAGE_TRANSITIONS`, схемы БД, реестра `QG_CHECKS`/`check_*`, транспорта
-  нотификаций (`send/edit/delete_telegram`).
-- Live-overlay ветки (Needs Input / Blocked / Rejected / Cancelled / Confirm Deploy /
-  Deploying / Monitoring) — работают, не трогаем.
-- Архитектурное решение «как реализовать» (ordering-источник, форма агрегата) —
-  зона архитектора (`06-adr/`).
-
-## 3. Заинтересованные стороны
-- **Заказчик / приёмка:** Owner (homenet542), Слава (нашёл дефекты 08.06).
-- **Затрагивается:** все наблюдатели карточек конвейера всех проектов (общий прод-инстанс,
-  self-hosting). Косметика карточки — для всех репо (orchestrator + enduro-trails).
-
-## 4. Бизнес-требования (BR)
-
-- **BR-1 (Деф.1, G1)** — `_STAGE_STATUS_LABEL` покрывает КАЖДЫЙ ключ `STAGE_TRANSITIONS`;
-  полнота гарантируется программно (итерация по единому источнику истины `src/stages.py`),
-  а не статичным списком. Для каждой реальной стадии `plane_status_label` возвращает
-  непустой осмысленный лейбл (не дефолт-«To Analyse», кроме реального `created`).
-- **BR-2 (Деф.1, G1)** — `stage='deploy-staging'` → осмысленный staging-лейбл (напр.
-  «Deploying (staging)» / «⏳ Staging»), согласованный с моделью статусов ORCH-066/059.
-- **BR-3 (Деф.1, G2)** — фолбэк для истинно неизвестной/битой стадии — нейтральный (напр.
-  «В работе» / stage capitalized), НЕ «To Analyse», чтобы будущая стадия не давала ложный
-  «первый статус». `plane_status_label` остаётся never-raise.
-- **BR-4 (Деф.2, G3)** — при откате стадии карточка отражает ФАКТИЧЕСКУЮ текущую позицию:
-  с стадий ПОСЛЕ точки отката снимается `✅`; текущая стадия отрисовывается как активная
-  (`🔄`). Сценарий-эталон: после `deploy-staging → development` Разработка = `🔄`,
-  Тестирование/Внедрение — НЕ `✅`.
-- **BR-5 (Деф.3, G4)** — метрика строки стадии = СУММА всех `agent_runs` этой стадии
-  (по `task_id` + агент стадии) по трём метрикам: 💰 `Σ cost_usd`, 🔢 `Σ (input + output +
-  cache_read + cache_creation)`, ⏱ `Σ (finished_at − started_at)`. Тоталы задачи = суммы по
-  всем стадиям и попыткам, сходятся с `SUM(agent_runs)` по `task_id`.
-
-## 5. Нефункциональные требования (NFR)
-
-- **NFR-1 (надёжность)** — `render_task_tracker` и `plane_status_label` остаются
-  **stateless / never-raise**: любая ошибка деградирует к безопасному выводу, конвейер
-  никогда не блокируется рендером карточки.
-- **NFR-2 (совместимость / регресс)** — существующие метки и строки НЕ меняются: In Review
-  (brd-clock), Awaiting Deploy (`deploy`), Done, live-overlay ветки, строка `Подтверждение
-  BRD`, формат строк стадий/тоталов, эффорт-суффикс (ORCH-087). Изменение аддитивно.
-- **NFR-3 (источник истины)** — полнота карты стадий выводится из `STAGE_TRANSITIONS`
-  программно; запрещено дублировать перечень стадий руками (анти-рассинхрон на будущее).
-- **NFR-4 (self-hosting)** — изменения только в `src/notifications.py` + тесты + доки; без
-  правки `STAGE_TRANSITIONS`/схемы БД/QG; без рестарта прод-контейнера в рамках задачи.
-
-## 6. Допущения и ограничения
-- `tasks.stage` принимает строго значения-ключи `STAGE_TRANSITIONS` (включая
-  `deploy-staging`, `cancelled`). Это инвариант движка стадий.
-- `cancelled` (ORCH-090) — системный терминал; его статус-лейбл уже рисуется live-overlay
-  (`_LIVE_BRANCH_LABELS['cancelled']`). Для offline-фолбэка `plane_status_label` он не
-  должен давать «To Analyse» (покрывается BR-3 нейтральным фолбэком; явный лейбл для
-  `cancelled` — на усмотрение архитектора, без конфликта с overlay).
-- Источник метрик — `agent_runs`; стадия `deploy-staging` и `deploy` обслуживаются одним
-  агентом `deployer` — агрегат по агенту корректно покрывает обе (вопрос разнесения
-  staging/prod-прогонов по строкам — зона архитектора, не требование BRD).
-- Telegram-ограничение 48ч на удаление сирот (ORCH-087) — вне объёма.
-
-## 7. Критерии успеха
-Карточка показывает корректный статус-заголовок на всех стадиях (включая `deploy-staging`),
-не «лжёт» о пройденных стадиях после отката, и метрики строки стадии + тоталы сходятся с
-`SUM(agent_runs)` по `task_id`. Полный регресс `pytest tests/ -q` зелёный. Детальные
-PASS/FAIL — `03-acceptance-criteria.md`.
-
-## 8. Риски
-- Рассинхрон карты стадий с `STAGE_TRANSITIONS` в будущем (митигируется NFR-3 + тест полноты).
-- Регресс существующих меток/строк при правке цикла рендера (митигируется NFR-2 + тесты).
-- Неверная точка отсчёта «позиции» стадии для отката (ordering) → неверное снятие `✅`.
-Детали — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-091/02-trz.md

@@ -1,112 +0,0 @@
----
-work_item: ORCH-091
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 02 — ТЗ (TRZ): ORCH-091 — Карточка трекера: полнота карты статусов, отражение откатов, суммирование метрик по попыткам
-
-Work Item: **ORCH-091** · Repo: **orchestrator** · Стадия: analysis
-
-> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
-> Архитектурное обоснование/решения (выбор ordering-источника для отката, форма агрегата
-> метрик, явный лейбл для `cancelled`) — задача архитектора (`06-adr/`).
-
-## 1. Сводка изменения
-
-Три точечные правки в `src/notifications.py` (рендер live-карточки ORCH-067), все аддитивные,
-без изменения транспорта, схемы БД, `STAGE_TRANSITIONS` и `QG_CHECKS`:
-
-1. **Полнота карты статусов (Деф.1).** `_STAGE_STATUS_LABEL` должен покрывать все ключи
-   `STAGE_TRANSITIONS` (источник истины — `src/stages.py`), добавить `deploy-staging` →
-   осмысленный staging-лейбл; нейтральный фолбэк вместо «To Analyse» для неизвестной стадии.
-2. **Отражение откатов (Деф.2).** Цикл рендера строк стадий перестаёт показывать `✅` для
-   стадий, расположенных ПОСЛЕ текущей позиции задачи в конвейере.
-3. **Суммирование метрик стадии (Деф.3).** Строка стадии агрегирует ВСЕ `agent_runs` агента
-   стадии (Σ стоимость/токены/время) вместо последнего прогона; тоталы сходятся с `SUM`.
-
-## 2. Задействованные модули / пути
-
-| Путь | Действие |
-|------|----------|
-| `src/notifications.py` | изменить: `_STAGE_STATUS_LABEL` (~940), `_DEFAULT_STATUS_LABEL` (~950), `plane_status_label` (~990), `render_task_tracker` (рендер строк стадий ~474–505, агрегат метрик ~388–404 / `_stage_line` ~445–466) |
-| `src/stages.py` | **только чтение** — импорт ключей `STAGE_TRANSITIONS` как источника истины для полноты карты (НЕ изменять) |
-| `tests/test_tracker_status_line.py` | изменить/дополнить: полнота карты, staging-лейбл, нейтральный фолбэк |
-| `tests/test_telegram_tracker.py` (или новый `tests/test_tracker_rollback_metrics.py`) | дополнить/создать: откат + суммирование метрик |
-| `CHANGELOG.md` | изменить: запись ORCH-091 |
-
-## 3. Функциональные требования
-
-### FR-1 — Полнота `_STAGE_STATUS_LABEL` по `STAGE_TRANSITIONS` (BR-1)
-- Для каждого ключа `STAGE_TRANSITIONS` (`created, analysis, architecture, development,
-  review, testing, deploy-staging, deploy, done, cancelled`) `plane_status_label` возвращает
-  непустой осмысленный лейбл.
-- Полнота гарантируется **программно** от единого источника `src/stages.py::STAGE_TRANSITIONS`
-  (итерация/проверка пересечения ключей), а не статичным дублирующим списком (NFR-3).
-- Сохранить спецветки `plane_status_label`: `analysis` + открытый brd-clock → `_IN_REVIEW_LABEL`
-  (без изменений).
-
-### FR-2 — Staging-лейбл для `deploy-staging` (BR-2)
-- `stage='deploy-staging'` → осмысленный лейбл (предлагается «Deploying (staging)» или
-  «⏳ Staging»; финальный текст согласует архитектор с моделью статусов ORCH-066/059).
-- НЕ равен «To Analyse» и НЕ равен лейблу `deploy` (`⏸️ Awaiting Deploy …`).
-
-### FR-3 — Нейтральный фолбэк (BR-3)
-- Для строки `tasks.stage`, отсутствующей в карте (истинно неизвестная/битая/будущая
-  стадия), `plane_status_label` возвращает нейтральный лейбл (напр. «В работе» или
-  капитализированный stage), НЕ «To Analyse».
-- `created` сохраняет осмысленный «To Analyse» как реальный первый статус.
-- `plane_status_label` остаётся never-raise (любой сбой → безопасный лейбл).
-
-### FR-4 — Отражение откатов в строках стадий (BR-4)
-- В `render_task_tracker` строка `✅ <стадия>` НЕ отрисовывается для стадии, позиция которой
-  в конвейере ПОЗЖЕ текущего `tasks.stage`, даже если у её агента есть завершённый `agent_run`.
-- Текущая стадия рисуется активной (`🔄`) по существующей логике `is_active_stage`.
-- Стадии ДО текущей позиции (фактически пройденные) сохраняют `✅` со своими метриками.
-- Источник порядка стадий — конвейер `STAGE_TRANSITIONS` (а не индекс в `_TRACKER_STAGES`);
-  конкретный механизм определения позиции — за архитектором. Учесть, что `deploy-staging`
-  отсутствует в `_TRACKER_STAGES` и `_STAGE_ACTIVE_AGENT` (обе стадии staging/deploy → агент
-  `deployer`): решение не должно ломать существующий рендер строки «Внедрение».
-
-### FR-5 — Суммирование метрик стадии по попыткам (BR-5)
-- Строка стадии показывает СУММУ по всем `agent_runs` агента стадии (по `task_id`):
-  - 💰 стоимость = `Σ cost_usd`;
-  - 🔢 токены = `Σ (input_tokens + output_tokens + cache_read_tokens + cache_creation_tokens)`
-    (вход — через существующий `_input_total`; формат строки `<in>↓/<out>↑` сохранить);
-  - ⏱ время = `Σ _duration_seconds(started_at, finished_at)` по всем прогонам стадии.
-- Тоталы задачи (💰/🔢/⏱ Агенты) остаются суммой по всем стадиям/попыткам и сходятся с
-  `SUM(agent_runs)` по `task_id` (инвариант сходимости).
-- Модель/эффорт/счётчик «попытка N» в строке стадии сохранить (ORCH-087): при N≥2 показывать
-  актуально (модель — допускается из последнего прогона; согласовать с архитектором).
-
-## 4. Изменения API
-Нет. Эндпоинты не затрагиваются (рендер карточки вызывается из конвейера). Диагностический
-блок `GET /queue` не меняется.
-
-## 5. Изменения схемы БД
-Нет. Используются существующие колонки `agent_runs` (`cost_usd`, `input_tokens`,
-`output_tokens`, `cache_read_tokens`, `cache_creation_tokens`, `started_at`, `finished_at`,
-`agent`, `task_id`, `exit_code`) и `tasks` (`stage`, `brd_review_started_at/ended_at`).
-
-## 6. Требования к новым/изменённым QG checks
-Нет. `QG_CHECKS` / `check_*` / `_parse_*` / `STAGE_TRANSITIONS` не затрагиваются. Изменение
-касается только слоя индикации (карточка), не управляющего слоя конвейера.
-
-## 7. Совместимость / регресс
-- **Обратная совместимость:** все существующие метки и строки карточки неизменны (NFR-2):
-  In Review (brd-clock), Awaiting Deploy (`deploy`), Done, live-overlay ветки (Needs Input /
-  Blocked / Rejected / Cancelled / Confirm Deploy / Deploying / Monitoring), строка
-  `Подтверждение BRD`, формат строк стадий и тоталов, эффорт-суффикс.
-- **Область раската:** косметика карточки для всех проектов общего инстанса (self-hosting +
-  enduro-trails). Чисто индикативный слой — управляющий конвейер не затронут.
-- **Обратимость:** изменение docs/code-only в одном модуле; откат = revert PR. Kill-switch не
-  требуется (нет нового поведения конвейера; рендер never-raise деградирует безопасно).
-- **Артефакты pipeline:** создаются/обновляются стандартные analysis-доки
-  (`01..04`); на стадии review — `12-review.md`; на testing — `13-test-report.md`. Новых
-  типов артефактов не вводится.
-- **Анти-стейл/трассировка:** правится код, помеченный ORCH-067/ORCH-087 — перед правкой
-  читать их ADR (`docs/work-items/ORCH-067|ORCH-087/06-adr/`) и не ломать инварианты
-  (single-card, never-raise, разделение offline-ядра и live-overlay).

docs/work-items/ORCH-091/03-acceptance-criteria.md

@@ -1,111 +0,0 @@
----
-work_item: ORCH-091
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 03 — Критерии приёмки (Acceptance Criteria): ORCH-091 — Карточка трекера: статусы, откаты, метрики
-
-Work Item: **ORCH-091** · Repo: **orchestrator** · Стадия: analysis
-
-Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
-(что считается провалом). Reviewer/тестер проверяет их буквально по файлам репозитория и
-по выводу тестов.
-
----
-
-## AC-1 — Полнота карты статусов по `STAGE_TRANSITIONS` (Деф.1 / BR-1)
-
-**Условие:** для КАЖДОГО ключа `src/stages.py::STAGE_TRANSITIONS` `plane_status_label`
-возвращает непустой осмысленный лейбл.
-- **PASS:** параметризованный тест итерирует по всем ключам `STAGE_TRANSITIONS` и для каждого
-  (кроме реального `created`) получает непустой лейбл ≠ `_DEFAULT_STATUS_LABEL`-«To Analyse».
-  Полнота карты выведена программно из `STAGE_TRANSITIONS`, а не статичным списком в тесте.
-- **FAIL:** хотя бы одна стадия из `STAGE_TRANSITIONS` отдаёт «To Analyse» (кроме `created`);
-  либо полнота проверяется захардкоженным списком, не связанным с `STAGE_TRANSITIONS`.
-
----
-
-## AC-2 — Staging-лейбл для `deploy-staging` (Деф.1 / BR-2)
-
-**Условие:** `stage='deploy-staging'` даёт осмысленный staging-лейбл.
-- **PASS:** `plane_status_label` для строки со `stage='deploy-staging'` возвращает осмысленный
-  staging-лейбл (напр. «Deploying (staging)» / «⏳ Staging»), отличный от «To Analyse» и от
-  лейбла стадии `deploy` (`⏸️ Awaiting Deploy …`).
-- **FAIL:** возвращает «To Analyse», пустую строку, либо лейбл, неотличимый от `deploy`.
-
----
-
-## AC-3 — Нейтральный фолбэк для неизвестной стадии (Деф.1 / BR-3)
-
-**Условие:** истинно неизвестная/битая стадия → нейтральный фолбэк, never-raise.
-- **PASS:** для строки с заведомо несуществующим `stage` (напр. `"__bogus__"`)
-  `plane_status_label` возвращает нейтральный лейбл (НЕ «To Analyse») и не бросает исключение;
-  для битого входа (None/нет ключа `stage`) тоже не падает.
-- **FAIL:** неизвестная стадия даёт «To Analyse»; либо функция бросает исключение на
-  битом/неизвестном входе.
-
----
-
-## AC-4 — Отражение отката в строках стадий (Деф.2 / BR-4)
-
-**Условие:** после rollback `deploy-staging → development` карточка показывает фактическую
-позицию.
-- **PASS:** для задачи с завершёнными прогонами reviewer/tester/deployer, но текущим
-  `stage='development'`, `render_task_tracker` рисует Разработку как активную (`🔄`), а
-  Тестирование и Внедрение — НЕ как `✅ пройдено`. Стадии до development (Анализ, Архитектура)
-  остаются `✅`.
-- **FAIL:** карточка одновременно показывает `✅ Внедрение/Тестирование/Код-ревью` и
-  `🔄 Разработка` (картина «Внедрение готово ✅, но идёт Разработка»).
-
----
-
-## AC-5 — Суммирование метрик стадии по попыткам (Деф.3 / BR-5)
-
-**Условие:** стадия с N попытками показывает СУММУ метрик по всем N `agent_runs`.
-- **PASS:** для стадии с N>1 `agent_runs` строка стадии показывает Σ времени, Σ токенов
-  (`input+output+cache_read+cache_creation`) и Σ стоимости по всем N прогонам. На фикстуре
-  по образцу ORCH-069 (developer: 3 прогона, суммарно ≈ $3.98) строка «Разработка» отражает
-  ≈ $3.98, а не стоимость последнего прогона. Тоталы задачи (💰/🔢/⏱ Агенты) сходятся с
-  `SUM(agent_runs)` по `task_id` (по стоимости, токенам, длительностям).
-- **FAIL:** строка стадии показывает метрики только последнего прогона (занижение); либо
-  тоталы задачи не сходятся с `SUM(agent_runs)`.
-
----
-
-## AC-6 — Регресс существующих меток (NFR-2)
-
-**Условие:** существующие индикаторы карточки не изменены.
-- **PASS:** In Review (brd-clock, `_IN_REVIEW_LABEL`), Awaiting Deploy (`deploy`), Done,
-  live-overlay ветки (Needs Input / Blocked / Rejected / Cancelled / Confirm Deploy /
-  Deploying / Monitoring), строка `Подтверждение BRD`, формат строк стадий/тоталов и
-  эффорт-суффикс — рендерятся как прежде; существующие тесты карточки зелёные.
-- **FAIL:** изменён текст/формат любой из перечисленных меток; падает существующий тест
-  карточки.
-
----
-
-## AC-7 — Тесты и документация (G/AC-7)
-
-**Условие:** добавлены тесты и обновлена документация.
-- **PASS:** `pytest tests/ -q` зелёный; добавлены тесты на полноту карты стадий (AC-1/2/3),
-  суммирование метрик (AC-5), отражение отката (AC-4); `CHANGELOG.md` содержит запись
-  ORCH-091; `render_task_tracker`/`plane_status_label` остаются never-raise.
-- **FAIL:** регресс `pytest tests/ -q`; отсутствует любой из обязательных новых тестов; не
-  обновлён `CHANGELOG.md`.
-
----
-
-## Сводная матрица AC ↔ FR/BR
-| AC | Покрывает |
-|----|-----------|
-| AC-1 | BR-1 / FR-1 |
-| AC-2 | BR-2 / FR-2 |
-| AC-3 | BR-3 / FR-3 |
-| AC-4 | BR-4 / FR-4 |
-| AC-5 | BR-5 / FR-5 |
-| AC-6 | NFR-2 (регресс) |
-| AC-7 | NFR-1 + цель G/AC-7 (тесты, доки, never-raise) |

docs/work-items/ORCH-091/04-test-plan.yaml

@@ -1,76 +0,0 @@
-work_item: ORCH-091
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-title: "Карточка трекера: полнота статусов, отражение откатов, суммирование метрик по попыткам"
-framework: pytest
-scope: >
-  Юнит-покрытие чистых функций src/notifications.py (plane_status_label,
-  render_task_tracker) и интеграция рендера от состояния БД (tasks + agent_runs).
-  Вне покрытия: транспорт Telegram (send/edit/delete), live-overlay ветки (сеть),
-  STAGE_TRANSITIONS/QG/схема БД (не трогаются).
-notes: >
-  Полнота карты статусов должна выводиться программно из src/stages.py::STAGE_TRANSITIONS
-  (а не из захардкоженного списка стадий). Метрики читаются из таблицы agent_runs:
-  cost_usd, input_tokens, output_tokens, cache_read_tokens, cache_creation_tokens,
-  started_at/finished_at. Фикстура-эталон сумм — ORCH-069 (developer: 3 прогона ≈ $3.98).
-  Полный регресс pytest tests/ -q должен оставаться зелёным; существующие тесты карточки
-  (test_tracker_status_line, test_telegram_tracker, test_tracker_effort_time) не должны
-  ломаться.
-
-tests:
-  - id: TC-01
-    type: unit
-    description: "Полнота: для каждого ключа STAGE_TRANSITIONS (программная итерация) plane_status_label возвращает непустой лейбл, не 'To Analyse' (кроме created). AC-1"
-    module: tests/test_tracker_status_line.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "stage='deploy-staging' -> осмысленный staging-лейбл, отличный от 'To Analyse' и от лейбла стадии 'deploy'. AC-2"
-    module: tests/test_tracker_status_line.py
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "Истинно неизвестная стадия ('__bogus__') -> нейтральный фолбэк (не 'To Analyse'); never-raise на битом/None входе. AC-3"
-    module: tests/test_tracker_status_line.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "Регресс ветки plane_status_label: analysis + открытый brd-clock -> In Review; deploy -> Awaiting Deploy; done -> Done; created -> To Analyse. AC-6"
-    module: tests/test_tracker_status_line.py
-    expected: PASS
-
-  - id: TC-05
-    type: integration
-    description: "Откат deploy-staging->development: задача stage='development' с завершёнными прогонами reviewer/tester/deployer -> Разработка активна (🔄), Тестирование/Внедрение НЕ как ✅; Анализ/Архитектура остаются ✅. AC-4"
-    module: tests/test_tracker_rollback_metrics.py
-    expected: PASS
-
-  - id: TC-06
-    type: integration
-    description: "Суммирование метрик стадии: developer с 3 agent_runs (фикстура ORCH-069) -> строка 'Разработка' показывает Σ стоимости ≈ $3.98, Σ токенов, Σ времени, а не последний прогон. AC-5"
-    module: tests/test_tracker_rollback_metrics.py
-    expected: PASS
-
-  - id: TC-07
-    type: integration
-    description: "Сходимость тоталов: тоталы карточки (💰/🔢/⏱ Агенты) равны SUM(agent_runs) по task_id (cost_usd, токены, длительности) при наличии ретраев. AC-5"
-    module: tests/test_tracker_rollback_metrics.py
-    expected: PASS
-
-  - id: TC-08
-    type: integration
-    description: "render_task_tracker never-raise: битые/частичные строки tasks/agent_runs (NULL timestamps, отсутствующий stage) -> возвращает строку-фолбэк без исключения. NFR-1 / AC-7"
-    module: tests/test_tracker_rollback_metrics.py
-    expected: PASS
-
-  - id: TC-09
-    type: unit
-    description: "Регресс существующих строк карточки: формат строк стадий, эффорт-суффикс (ORCH-087), строка 'Подтверждение BRD', блок тоталов — без изменений. AC-6"
-    module: tests/test_telegram_tracker.py
-    expected: PASS

docs/work-items/ORCH-091/06-adr/ADR-001-tracker-status-rollback-metrics.md

@@ -1,193 +0,0 @@
----
-work_item: ORCH-091
-stage: architecture
-author_agent: architect
-status: accepted
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# ADR-001: Карточка трекера — полнота карты статусов, отражение откатов, суммирование метрик по попыткам
-
-Work Item: **ORCH-091** — три верифицированных дефекта live-карточки (`src/notifications.py`)
-Стадия: **architecture**
-Сквозная регистрация: **N/A, локальное решение задачи** (затронут ровно один модуль
-индикативного слоя `src/notifications.py`; `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` /
-схема БД / транспорт нотификаций — не трогаются; новый компонент/стадия/гейт не вводятся).
-
-## Статус
-Accepted
-
-## Контекст
-
-Live Telegram-карточка (ORCH-067/087, единственная карточка на задачу,
-`render_task_tracker` / `plane_status_label`) — основной канал наблюдения за конвейером.
-BRD/ТЗ объединяют три дефекта, сверенные по коду и БД прода (09.06):
-
-- **Деф.1 — застрявший заголовок «To Analyse».** `_STAGE_STATUS_LABEL`
-  (`src/notifications.py:940`) содержит 8 ключей (`created/analysis/architecture/development/
-  review/testing/deploy/done`), а `tasks.stage` принимает ключи `STAGE_TRANSITIONS`
-  (`src/stages.py:12`) — среди них **`deploy-staging`** (не покрыт) и **`cancelled`** (ORCH-090,
-  не покрыт). `plane_status_label` (`:1009`) делает `.get(stage, _DEFAULT_STATUS_LABEL)` →
-  непокрытая стадия отдаёт дефолт **«To Analyse»** (`:950`). Из 10 реальных стадий не покрыты
-  две; дефолт-«To Analyse» — ещё и мина: любая новая стадия даст ложный «первый статус».
-- **Деф.2 — ложная картина при откате.** Цикл рендера (`:474–505`) выводит `✅`-строку для
-  каждой стадии `_TRACKER_STAGES`, у чьего агента есть завершённый прогон (`last_done`), **без
-  учёта позиции стадии относительно текущей**. После отката (`deploy-staging → development`,
-  ORCH-43; `review → development`, REQUEST_CHANGES) карточка показывает «✅ Внедрение … +
-  🔄 Разработка» — абсурд.
-- **Деф.3 — занижение метрик строки стадии.** `_stage_line` берёт `run = last_done.get(agent)`
-  (`:475`) — ПОСЛЕДНИЙ прогон, теряя предыдущие попытки. Верифицировано на ORCH-069 (task 54):
-  developer 3 прогона Σ $3.98, карточка показывала ~$0.00. Блок тоталов задачи (`:388–404`) уже
-  суммирует все прогоны — заниженной остаётся **строка стадии**.
-
-Ключевая структурная сложность (флаг ТЗ §FR-4): `_TRACKER_STAGES` — 6 строк; стадии
-`deploy-staging` и `deploy` **схлопнуты** в одну строку «Внедрение» (`stage_key="deploy"`,
-агент `deployer`). `_STAGE_ACTIVE_AGENT` тоже не содержит `deploy-staging`. Любое решение по
-порядку/позиции обязано не сломать этот сложившийся рендер строки «Внедрение».
-
-## Решение
-
-### Сводка
-
-Три аддитивные правки в `src/notifications.py`, минимизирующие регресс-поверхность:
-1. **Полнота карты** — расширить `_STAGE_STATUS_LABEL` недостающими ключами
-   (`deploy-staging`, `cancelled`); заменить runtime-фолбэк с «To Analyse» на **нейтральный**
-   (капитализированное имя стадии). Полнота гарантируется **тестом**, итерирующим
-   `STAGE_TRANSITIONS.keys()` (единый источник истины), а не дублирующим списком.
-2. **Отражение откатов** — ввести позицию стадии в конвейере из **порядка `STAGE_TRANSITIONS`**
-   и гасить `✅`-строку для стадий ПОЗЖЕ текущей позиции. Нормализация `deploy-staging → deploy`
-   применяется **только** к вычислению текущей позиции (для гейта подавления), логика
-   `is_active_stage` — **без изменений** (нулевой регресс активного рендера).
-3. **Суммирование метрик** — `_stage_line` агрегирует ВСЕ `agent_runs` агента стадии
-   (теми же per-run-аккумуляторами, что и блок тоталов) → строгая сходимость с `SUM(agent_runs)`.
-
-Все функции остаются **stateless / never-raise**; любая ошибка деградирует к безопасному
-выводу (старое поведение).
-
-### D1 — Полнота `_STAGE_STATUS_LABEL` + нейтральный фолбэк (Деф.1 / FR-1,2,3 / AC-1,2,3)
-
-- Расширить `_STAGE_STATUS_LABEL`, добавив **все** недостающие ключи `STAGE_TRANSITIONS`:
-  - `"deploy-staging": "Deploying (staging)"` — осмысленный staging-лейбл, согласованный с
-    моделью статусов ORCH-066/059: **plain-стиль** активной стадии (как `Analysis`/`Testing`,
-    без `⏸️`-маркера паузы), **отличен** от «To Analyse» и от лейбла `deploy`
-    («⏸️ Awaiting Deploy — ожидание Confirm Deploy»). Суффикс «(staging)» снимает коллизию с
-    prod-overlay «Deploying» (`_LIVE_BRANCH_LABELS['deploying']`). (FR-2 / AC-2.)
-  - `"cancelled": "Cancelled"` — offline-база для системного терминала ORCH-090. Совпадает с
-    overlay-лейблом `_LIVE_BRANCH_LABELS['cancelled']` ("Cancelled") → нет конфликта precedence
-    в `_card_status_label`; offline-путь больше не отдаёт «To Analyse» для отменённой задачи.
-- **Runtime-фолбэк** в `plane_status_label`: вместо `_STAGE_STATUS_LABEL.get(stage,
-  _DEFAULT_STATUS_LABEL)` использовать **нейтральный** лейбл для отсутствующего ключа —
-  капитализированное имя стадии (напр. `stage.replace("-", " ").title()` → «Deploy Staging»),
-  с финальным безопасным дефолтом при пустом/битом входе. `created` сохраняет осмысленный
-  «To Analyse» как реальный первый статус (он **остаётся явным ключом** в карте). (FR-3 / AC-3.)
-- `_DEFAULT_STATUS_LABEL` сохраняется как имя для `created` и для безопасной деградации на
-  истинно-битом входе (`None`/нет ключа `stage`); он **перестаёт** быть фолбэком для «известная
-  стадия, но нет лейбла» — этот путь теперь нейтрально-капитализированный.
-- Спецветка `analysis` + открытый brd-clock → `_IN_REVIEW_LABEL` — **без изменений** (NFR-2).
-- **Программная полнота (NFR-3)** обеспечивается тестом, который итерирует
-  `from src.stages import STAGE_TRANSITIONS` и для каждого ключа (кроме `created`) утверждает
-  непустой лейбл `≠ _DEFAULT_STATUS_LABEL`. Новая стадия без курируемого лейбла → красный тест.
-  **Запрещено** в самом модуле автогенерировать лейблы из имён стадий (теряется человеческая
-  осмысленность) — карта остаётся курируемой, тест лишь гарантирует её покрытие.
-
-### D2 — Отражение откатов: позиция из `STAGE_TRANSITIONS` (Деф.2 / FR-4 / AC-4)
-
-- Ввести в `src/notifications.py` (НЕ в `src/stages.py` — он read-only по ТЗ) лёгкий
-  индекс-хелпер от **единого источника порядка** `STAGE_TRANSITIONS`:
-  ```python
-  from .stages import STAGE_TRANSITIONS
-  _PIPELINE_ORDER = list(STAGE_TRANSITIONS.keys())  # created..done, cancelled
-  def _pipeline_pos(stage):            # never-raise
-      try:
-          return _PIPELINE_ORDER.index(stage)
-      except (ValueError, TypeError):
-          return len(_PIPELINE_ORDER)  # unknown -> «далёкое будущее»
-  ```
-- **Нормализация staging→deploy ТОЛЬКО для текущей позиции:**
-  `effective_stage = "deploy" if stage == "deploy-staging" else stage`;
-  `current_pos = _pipeline_pos(effective_stage)`. Это отражает, что строка «Внедрение»
-  представляет фазу deployer'а (staging+prod) как одну — иначе при `stage='deploy-staging'`
-  строка «Внедрение» (`stage_key="deploy"`, pos 7) была бы ошибочно подавлена (6 < 7).
-- **Гейт подавления:** ветка `elif run is not None` (рендер `✅ <стадия>`) срабатывает **только
-  если** `current_pos >= _pipeline_pos(stage_key)`. Иначе (прогон есть, но стадия ПОЗЖЕ
-  текущей — откат) строка не выводится. Стадии ДО/НА текущей позиции сохраняют `✅` (фактически
-  пройденные).
-- **`is_active_stage` — без изменений** (использует «сырой» `stage`, `_STAGE_ACTIVE_AGENT`,
-  `has_inflight`). Это даёт нулевой регресс активного/«just-finished snapshot» рендера (NFR-2):
-  при `stage='deploy-staging'` строка «Внедрение» ведёт себя как сегодня (✅ при завершённом
-  staging-прогоне, иначе ничего) — нормализация затрагивает лишь гейт подавления, не активность.
-- Источник позиции — **порядок `STAGE_TRANSITIONS`**, а не индекс в `_TRACKER_STAGES` (NFR-3,
-  FR-4): добавление/перестановка стадий в движке автоматически корректирует подавление.
-- **Условие 🔄 после отката (AC-4):** строка «Разработка» рисуется активной (`🔄`) существующей
-  логикой `is_active_stage`, которой нужен `has_inflight or run is None`. Реальное
-  пост-откатное состояние — reviewer/merge-gate ставит developer-job → launcher создаёт строку
-  `agent_runs` c `finished_at IS NULL` (in-flight) → `🔄`. Фикстура AC-4 обязана содержать
-  этот in-flight developer-прогон (так выглядит прод после отката). Наш фикс ортогонально
-  снимает ложные `✅` со стадий review/testing/Внедрение.
-
-### D3 — Суммирование метрик строки стадии (Деф.3 / FR-5 / AC-5)
-
-- `_stage_line` принимает **список прогонов** агента стадии (готовый
-  `agent_runs_by_agent.get(agent, [])`) вместо одного `run` и агрегирует **теми же
-  per-run-формулами, что блок тоталов задачи** (`:388–404`):
-  - 💰 `cost = Σ float(cost_usd or 0)`;
-  - 🔢 `in = Σ _input_total(usage)` (= Σ(input+cache_read+cache_creation)),
-    `out = Σ int(output_tokens or 0)`; формат `<in>↓/<out>↑` сохранён;
-  - ⏱ `dur = Σ _duration_seconds(started_at, finished_at)` (None-прогоны пропускаются, как в
-    тоталах).
-- **Инвариант сходимости:** блок тоталов и строки стадий теперь аккумулируют **по одному и тому
-  же множеству строк `agent_runs`** и **одними формулами**; каждый агент привязан ровно к одной
-  строке `_TRACKER_STAGES` (analyst/architect/developer/reviewer/tester/deployer). Поэтому
-  Σ(показанных+подавленных строк стадий) ≡ тоталы задачи ≡ `SUM(agent_runs)` по `task_id`
-  (по стоимости/токенам/времени). Подавлённые откатом строки (D2) не рисуются, но их прогоны
-  **по-прежнему** входят в тоталы — это и есть намеренная семантика отката, инвариант AC-5 не
-  нарушается (тоталы считают всё; строка стадии — Σ своих прогонов).
-- **Модель/эффорт/«попытка N» (ORCH-087, FR-5):** агрегируются метрики, но модель/эффорт
-  берутся из **последнего** прогона агента (`agent_runs` упорядочены `id ASC` → последний
-  элемент списка) через существующие `short_model_name` / `_run_effort`; счётчик попыток для
-  активной строки (`len(agent_runs)`) — без изменений. Формат строки байт-в-байт сохранён (NFR-2).
-
-## Альтернативы
-
-- **Автогенерация лейблов из имён стадий (полностью программная карта)** — отвергнуто: теряется
-  человеческая осмысленность («deploy-staging» → не лучше «Deploying (staging)»); курируемая
-  карта + тест полноты дают и читаемость, и анти-рассинхрон.
-- **Нормализация `deploy-staging→deploy` во ВСЁМ цикле (включая `is_active_stage`)** —
-  отвергнуто как первичное решение: меняет активный рендер строки «Внедрение» на стадии
-  `deploy-staging` (риск регресса существующих тестов, NFR-2/AC-6). Нормализация ограничена
-  гейтом подавления — минимальная поверхность.
-- **Позиция стадии из индекса `_TRACKER_STAGES`** — отвергнуто: `_TRACKER_STAGES` не содержит
-  `deploy-staging`/`cancelled` и не является источником истины о порядке конвейера (нарушает
-  NFR-3). Источник — `STAGE_TRANSITIONS`.
-- **Изменение `_TRACKER_STAGES`/`_STAGE_ACTIVE_AGENT` (добавить deploy-staging-строку)** —
-  отвергнуто: вне объёма BRD (формат строк неизменен, NFR-2), расширяет регресс-поверхность.
-
-## Последствия
-
-- **+** Заголовок честен на всех стадиях (вкл. `deploy-staging`, `cancelled`); будущая стадия
-  не даёт ложный «To Analyse» (нейтральный фолбэк + тест полноты).
-- **+** Карточка не «лжёт» после отката: `✅` снимается со стадий ПОЗЖЕ текущей позиции.
-- **+** Метрики строки стадии = Σ всех попыток; строгая сходимость с `SUM(agent_runs)`.
-- **+** Источник порядка/полноты — `STAGE_TRANSITIONS` (программно), анти-рассинхрон на будущее.
-- **−** Новая read-only связь `notifications.py → stages.STAGE_TRANSITIONS` (порядок+ключи).
-  Митигейшн: импорт ключей, `stages.py` не изменяется (разрешено ТЗ §2); `_pipeline_pos`
-  never-raise (unknown → «далёкое будущее» = старое поведение, ✅ не пере-подавляется).
-- **−** При `stage='deploy-staging'` строка «Внедрение» может показать `✅` по завершённому
-  staging-прогону (до prod-деплоя). Это **сохранённое** поведение (NFR-2), не регресс и не
-  дефект по BRD; нормализация затрагивает только подавление, не активность.
-- **Откат:** изменение docs/code-only в одном модуле + тесты → `git revert` PR. Kill-switch не
-  требуется (нет нового поведения конвейера; рендер never-raise деградирует безопасно).
-
-## Ссылки
-- BRD: `docs/work-items/ORCH-091/01-brd.md`
-- TRZ: `docs/work-items/ORCH-091/02-trz.md`
-- Acceptance: `docs/work-items/ORCH-091/03-acceptance-criteria.md`
-- Tech-risks: `docs/work-items/ORCH-091/10-tech-risks.md`
-- Сверено по коду: `src/notifications.py` (`_STAGE_STATUS_LABEL:940`, `_DEFAULT_STATUS_LABEL:950`,
-  `plane_status_label:990`, `render_task_tracker:333`, `_stage_line:445`, `_TRACKER_STAGES:233`,
-  `_STAGE_ACTIVE_AGENT:248`, totals `:388-404`), `src/stages.py::STAGE_TRANSITIONS:12`,
-  `src/usage.py::_input_total:348`.
-- Инварианты, которые НЕЛЬЗЯ ломать (прочитаны перед правкой): ORCH-067/ORCH-087
-  (`docs/work-items/ORCH-067|ORCH-087/06-adr/`) — single-card, never-raise, разделение
-  offline-ядра и live-overlay; ORCH-090 (`adr-0026`) — терминал `cancelled`.

docs/work-items/ORCH-091/10-tech-risks.md

@@ -1,36 +0,0 @@
----
-work_item: ORCH-091
-stage: architecture
-author_agent: architect
-status: accepted
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 10 — Технические риски: ORCH-091 — Карточка трекера (статусы, откаты, метрики)
-
-Work Item: **ORCH-091** · Repo: **orchestrator** · Стадия: architecture
-
-> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
-
-## Реестр рисков
-
-| ID | Риск | Вер. | Влия. | Митигейшн |
-|----|------|------|-------|-----------|
-| TR-1 | Регресс существующих меток/строк при правке цикла рендера (In Review, Awaiting Deploy, Done, эффорт-суффикс, формат строк/тоталов) | Сред. | Сред. | `is_active_stage` не трогаем; нормализация только в гейте подавления (D2); формат `_stage_line` байт-в-байт; зелёные `tests/test_tracker_*` + `test_telegram_tracker` (AC-6). |
-| TR-2 | Рассинхрон карты статусов с `STAGE_TRANSITIONS` в будущем (новая стадия без лейбла) | Сред. | Низ. | Полнота — тест по `STAGE_TRANSITIONS.keys()` (NFR-3); нейтральный фолбэк вместо «To Analyse» (D1) → даже без лейбла не «лжёт». |
-| TR-3 | Неверная точка отсчёта позиции стадии → неверное снятие/сохранение `✅` (особенно схлопывание `deploy-staging`/`deploy` в строку «Внедрение») | Сред. | Сред. | Позиция из порядка `STAGE_TRANSITIONS`; нормализация `deploy-staging→deploy` только для current-pos (D2); сценарные тесты отката `deploy-staging→development` и `review→development` (AC-4). |
-| TR-4 | Расхождение метрик строки стадии с тоталами задачи (двойной/потерянный учёт) | Низ. | Сред. | Строка и тоталы используют ОДНИ формулы (`_input_total`/`_duration_seconds`/`cost_usd`) над ОДНИМ множеством `agent_runs`; тест сходимости Σ(строки) == `SUM(agent_runs)` по `task_id` (AC-5). |
-| TR-5 | Исключение в `render_task_tracker`/`plane_status_label` блокирует индикацию | Низ. | Сред. | Контракт never-raise сохранён; `_pipeline_pos` never-raise (unknown → «далёкое будущее» = старое поведение); деградация к безопасному выводу (NFR-1/AC-3,7). |
-| TR-6 | Новая import-связь `notifications.py → stages` вводит цикл импорта | Низ. | Низ. | `stages.py` — лист без обратных зависимостей на `notifications`; импорт ключей словаря, не функций; `stages.py` не изменяется (ТЗ §2). |
-| TR-7 | Фикстура AC-4 без in-flight developer-прогона → строка «Разработка» не `🔄` | Низ. | Низ. | ADR D2 фиксирует: пост-откатный `🔄` требует строки `agent_runs` c `finished_at IS NULL`; тест-план обязан включать такой прогон (реальное прод-состояние после relaunch). |
-
-## Сводный вывод
-
-Доминирующий класс — **риски регресса индикативного слоя** (TR-1/TR-3) и **сходимости метрик**
-(TR-4). Все смягчаются тестами и минимальной поверхностью правок (один модуль, без затрагивания
-`STAGE_TRANSITIONS`/`QG_CHECKS`/схемы БД/транспорта). Эскалация `arch:major-change` **не нужна**:
-изменение локально, обратимо `git revert`, never-raise, kill-switch не требуется. Возврат в анализ
-**не требуется** — BRD/ТЗ полны и реализуемы без нарушения принципов. Остаточный риск для
-прод-конвейера (self-hosting) — **низкий**: слой чисто индикативный, управляющий конвейер
-(стадии/гейты/очередь) не затрагивается, рендер деградирует безопасно.

docs/work-items/ORCH-091/12-review.md

@@ -1,85 +0,0 @@
----
-verdict: APPROVED
-work_item: ORCH-091
-stage: review
-author_agent: reviewer
-status: approved
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: review
-work_item_id: ORCH-091
-version: 1
----
-
-# Review ORCH-091
-
-## Summary
-
-PR закрывает три верифицированных дефекта рендера live-карточки трекера
-(`src/notifications.py`, ORCH-067/087): (Д1) застрявший заголовок «To Analyse» из-за неполноты
-`_STAGE_STATUS_LABEL`; (Д2) ложные `✅`-строки стадий после отката конвейера; (Д3) занижение
-метрик строки стадии (последний прогон вместо суммы попыток). Изменение **аддитивное,
-indication-only, never-raise**: затронут ровно один src-модуль (`src/notifications.py`),
-`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / транспорт нотификаций / схема БД — не тронуты.
-
-Проверка по четырём осям пройдена:
-- **Соответствие ТЗ** — все FR-1…FR-5 реализованы; AC-1…AC-7 выполнены буквально.
-- **Соответствие ADR** — реализация 1:1 с `06-adr/ADR-001` (D1/D2/D3); read-only-связь
-  `notifications.py → stages.STAGE_TRANSITIONS` оформлена как указано; `is_active_stage` не тронут.
-- **Качество кода** — `_pipeline_pos` / `_neutral_stage_label` never-raise; докстринги и
-  трассировочные ORCH-091-комментарии присутствуют; полный регресс зелёный (1370).
-- **Документация** — обновлена в том же PR (см. ниже).
-
-### Проверенные инварианты
-- **Трассировка ORCH-067/087** (правка маркированного кода): инварианты single-card, never-raise,
-  разделение offline-ядра/live-overlay сохранены — подтверждено ADR (прочитаны перед правкой) и
-  зелёным регрессом `test_tracker_status_line.py`.
-- **Терминал `cancelled` (ORCH-090, adr-0026)**: добавлен offline-лейбл `cancelled → "Cancelled"`,
-  совпадает с overlay `_LIVE_BRANCH_LABELS['cancelled']` → нет конфликта precedence.
-- **Полнота карты от источника истины** — тест `test_orch091_tc01_*` параметризован по
-  `STAGE_TRANSITIONS.keys()` (не статичный список) → NFR-3 выполнен.
-- **Сходимость метрик** — `_stage_line` использует те же per-run-формулы, что блок тоталов;
-  тест `test_tc07_*` проверяет сходимость с `SUM(agent_runs)` и Σ(строк стадий) ≡ тоталы на done.
-- **Нормализация `deploy-staging → deploy`** ограничена гейтом подавления (не затрагивает
-  активный рендер строки «Внедрение») — подтверждено `test_tc05_deploy_staging_keeps_deployer_row`.
-- **Отсутствие циркулярного импорта** — `import src.notifications; import src.stages` → OK.
-- **ORCH-079 (обзорные доки)** — `README.md` «Известные ограничения» НЕ содержит пункта о
-  дефектах карточки трекера → закрывать/обновлять нечего; gate не нарушен.
-
-## Findings
-
-### P0 — Blocker
-- Нет.
-
-### P1 — Must fix
-- Нет.
-
-### P2 — Should fix
-- Нет.
-
-### P3 — Nice-to-have (не блокирует)
-- [ ] `from .stages import STAGE_TRANSITIONS` размещён в середине модуля (`src/notifications.py`
-  после `_STAGE_ACTIVE_AGENT`, с `# noqa: E402`). Размещение намеренно и документировано
-  комментарием, циркулярного импорта нет; вынос в шапку модуля — косметическая необязательная
-  уборка на будущее.
-
-## Документация
-
-Обновлена в том же PR (golden source синхронен с кодом):
-- **`CHANGELOG.md`** — запись ORCH-091 (`fix`) с описанием трёх дефектов, тестов и отката. ✅
-- **`docs/architecture/internals.md`** §7 — описаны откат-подавление `✅`, суммирование метрик
-  и полнота `_STAGE_STATUS_LABEL`. ✅
-- **`docs/architecture/README.md`** (Notifications / Live-tracker) — добавлен блок «ORCH-091
-  (индикация-only)» с тремя правками и ссылкой на ADR. ✅ (внесено архитектором, присутствует в PR)
-- **ADR** — `docs/work-items/ORCH-091/06-adr/ADR-001-tracker-status-rollback-metrics.md`
-  (status: accepted), решения D1/D2/D3, альтернативы, последствия. ✅
-- **`README.md` (root)** — обновление не требуется: ни один пункт «Известные ограничения» не
-  закрывается данным PR (ORCH-079 gate соблюдён). ✅
-
-Изменения `src/` сопровождены соответствующим обновлением документации → ось «документация»
-пройдена; основание для `REQUEST_CHANGES` по этой оси отсутствует.
-
-## Вердикт
-
-`APPROVED` — нет findings уровня P0/P1; код, тесты и документация согласованы; инварианты
-ORCH-067/087/090 и NFR-2/NFR-3 сохранены; полный регресс `pytest tests/ -q` зелёный (1370 passed).

docs/work-items/ORCH-091/13-test-report.md

@@ -1,98 +0,0 @@
----
-result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
-work_item: ORCH-091
-stage: testing
-author_agent: tester
-status: pass
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: test-report
-work_item_id: ORCH-091
----
-
-# Test Report — ORCH-091
-
-BUG: заголовок-строка live-карточки трекера застревает на «To Analyse» на
-`stage=deploy-staging` (нет ключа в `_STAGE_STATUS_LABEL`) + ложные `✅`-строки после
-отката + занижение метрик строки стадии (последний прогон вместо суммы попыток).
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3
-- Worktree: `/repos/_wt/orchestrator/feature_ORCH-091-bug-to-analyse-stage-deploy-st`
-- Ветка: `feature/ORCH-091-bug-to-analyse-stage-deploy-st`
-- Дата: 2026-06-09
-
-## Предусловия
-- Вердикт reviewer (`12-review.md`): **APPROVED** (P0=0, P1=0) ✅
-- Тесты прогнаны из worktree ветки задачи (не из общего `/repos/orchestrator`) ✅
-
-## Smoke API (read-only)
-| Эндпоинт | Результат |
-|----------|-----------|
-| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
-| `GET /status` | 200, активные задачи отдаются (ORCH-091 = `testing`) — OK |
-| `GET /queue` | 200; блок `serial_gate` присутствует (ORCH-088) ✅; блок `auto_labels` присутствует (ORCH-089) ✅ |
-
-`serial_gate.per_repo.orchestrator.active_task = ORCH-091/testing`, регресс смока отсутствует.
-
-## Покрытие тест-плана (`04-test-plan.yaml`) ↔ критерии приёмки (`03-acceptance-criteria.md`)
-
-| TC ID | Описание | AC | Тест(ы) | Результат |
-|-------|----------|----|---------|-----------|
-| TC-01 | Полнота карты: каждый ключ `STAGE_TRANSITIONS` (программная итерация) → непустой лейбл ≠ «To Analyse» (кроме `created`) | AC-1 | `test_tracker_status_line::test_orch091_tc01_every_stage_has_meaningful_label[*]` (9 параметров) + `test_orch091_tc01_created_stays_to_analyse` | PASS |
-| TC-02 | `stage='deploy-staging'` → осмысленный staging-лейбл ≠ «To Analyse» и ≠ лейбла `deploy` | AC-2 | `test_tracker_status_line::test_orch091_tc02_deploy_staging_label` | PASS |
-| TC-03 | Неизвестная стадия (`__bogus__`) → нейтральный фолбэк (не «To Analyse»); never-raise на битом/None входе | AC-3 | `test_orch091_tc03_unknown_stage_neutral_not_to_analyse` + `test_orch091_tc03_cancelled_offline_label` + `test_tc09c_plane_status_label_never_raises` | PASS |
-| TC-04 | Регресс ветвей `plane_status_label`: analysis+brd-clock→In Review; deploy→Awaiting Deploy; done→Done; created→To Analyse | AC-6 | `test_tracker_status_line::test_tc06_stage_to_plane_status[*]` (8) + `test_tc07_in_review_from_brd_clock` + `test_tc08_awaiting_deploy_offline` | PASS |
-| TC-05 | Откат `deploy-staging→development`: Разработка активна (`🔄`), Тестирование/Внедрение НЕ `✅`; Анализ/Архитектура остаются `✅` | AC-4 | `test_tracker_rollback_metrics::test_tc05_rollback_suppresses_later_stage_checkmarks` + `test_tc05_forward_progress_keeps_earlier_checkmarks` + `test_tc05_deploy_staging_keeps_deployer_row` | PASS |
-| TC-06 | Суммирование метрик: developer с 3 `agent_runs` (фикстура ORCH-069) → строка «Разработка» = Σ стоимости ≈ $3.98, Σ токенов, Σ времени | AC-5 | `test_tracker_rollback_metrics::test_tc06_stage_line_sums_all_developer_runs` | PASS |
-| TC-07 | Сходимость тоталов карточки (💰/🔢/⏱ Агенты) с `SUM(agent_runs)` по `task_id` при ретраях | AC-5 | `test_tc07_totals_converge_with_sum_agent_runs` + `test_tc07_sum_of_stage_lines_equals_totals_on_done` | PASS |
-| TC-08 | `render_task_tracker` never-raise: NULL timestamps / отсутствующий stage → строка-фолбэк без исключения | AC-7 / NFR-1 | `test_tc08_render_survives_null_timestamps_and_runs` + `test_tc08_render_survives_bogus_stage` | PASS |
-| TC-09 | Регресс строк карточки: формат строк стадий, эффорт-суффикс (ORCH-087), «Подтверждение BRD», блок тоталов — без изменений | AC-6 | `test_telegram_tracker.py` + `test_tracker_effort_time.py` (эффорт по ролям, capped review-time, done-time labels) — все зелёные | PASS |
-
-Каждый TC из `04-test-plan.yaml` выполнен и сопоставлен с критериями `03-acceptance-criteria.md`.
-
-## Вывод pytest
-
-```
-$ cd /repos/_wt/orchestrator/feature_ORCH-091-bug-to-analyse-stage-deploy-st
-$ pytest tests/ -v --tb=short
-
-tests/test_tracker_rollback_metrics.py::test_tc05_rollback_suppresses_later_stage_checkmarks PASSED
-tests/test_tracker_rollback_metrics.py::test_tc05_forward_progress_keeps_earlier_checkmarks PASSED
-tests/test_tracker_rollback_metrics.py::test_tc05_deploy_staging_keeps_deployer_row PASSED
-tests/test_tracker_rollback_metrics.py::test_tc06_stage_line_sums_all_developer_runs PASSED
-tests/test_tracker_rollback_metrics.py::test_tc07_totals_converge_with_sum_agent_runs PASSED
-tests/test_tracker_rollback_metrics.py::test_tc07_sum_of_stage_lines_equals_totals_on_done PASSED
-tests/test_tracker_rollback_metrics.py::test_tc08_render_survives_null_timestamps_and_runs PASSED
-tests/test_tracker_rollback_metrics.py::test_tc08_render_survives_bogus_stage PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[analysis] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[architecture] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[development] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[review] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[testing] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[deploy-staging] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[deploy] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[done] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_every_stage_has_meaningful_label[cancelled] PASSED
-tests/test_tracker_status_line.py::test_orch091_tc01_created_stays_to_analyse PASSED
-tests/test_tracker_status_line.py::test_orch091_tc02_deploy_staging_label PASSED
-tests/test_tracker_status_line.py::test_orch091_tc03_unknown_stage_neutral_not_to_analyse PASSED
-tests/test_tracker_status_line.py::test_orch091_tc03_cancelled_offline_label PASSED
-... (полный набор регресса трекера/usage/webhooks/verdict-status зелёный)
-
-======================= 1370 passed, 1 warning in 39.33s =======================
-```
-
-(1 warning — PydanticDeprecatedSince20 в `src/config.py:8`, преэкзистный, не связан с ORCH-091.)
-
-## Итог
-
-PASS
-
-- Все 1370 тестов зелёные; новые тесты ORCH-091 (TC-01…TC-08) присутствуют и проходят.
-- Каждый TC из тест-плана выполнен и сопоставлен с AC-1…AC-7.
-- Smoke read-only OK; блоки `serial_gate` и `auto_labels` присутствуют в `GET /queue` (без регресса).
-- Изменение indication-only / never-раise; регресс существующих меток карточки (AC-6) подтверждён.
-
-**Вердикт: `result: PASS`** → задача переходит на `deploy-staging`.

docs/work-items/ORCH-091/14-deploy-log.md

@@ -1,12 +0,0 @@
----
-deploy_status: SUCCESS
-work_item: ORCH-091
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-036 executable self-deploy
-
-Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
-
-Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-091/15-staging-log.md

@@ -1,36 +0,0 @@
----
-staging_status: SUCCESS
-work_item: ORCH-091
-stage: deploy-staging
-author_agent: deployer
-status: success
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-timestamp: 2026-06-09T19:07:24Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. Реален для self-hosting
-> (`orchestrator`); для прочих репо гейт — N/A (ORCH-35). `SUCCESS` → дальше; `FAILED` → откат.
-
-Staging test suite completed against the live `orchestrator-staging` стенд (8501). Запуск
-канонический — внутри контейнера `orchestrator-staging` через `docker exec`
-(ORCH-048, ADR-001), mode=stub. **Exit code 0 → `staging_status: SUCCESS`.**
-
-All REAL pipeline checks (Block A SMOKE, Block B ACCESS, C7/C8) passed. The two sandbox-infra
-checks C9a/C9b failed and were **waived** under ORCH-061 tolerance (depend on SANDBOX bot accounts
-being project members, not on the pipeline) — script still exited 0.
-
-```
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
-```
-
-## Results
-- **Block A (SMOKE)**: A1 `/health`→200 ok · A2 `/queue`→200 (counts/max_concurrency/resilience) · A3 `ORCH_STAGING=true`. PASS.
-- **Block B (ACCESS)**: B4 Plane sandbox accessible (sandbox=YES) · B5 Gitea `orchestrator-sandbox` push=true · B6 Registry isolation (sandbox present, prod ET/ORCH absent). PASS.
-- **Block C (E2E, stub)**: C7 create issue in Plane SANDBOX (HTTP 201) · C8 trigger pipeline `/webhook/plane` (accepted) PASS; C9a branch / C9b analyst-job — FAIL, **waived** (sandbox-infra). CLEANUP отработал (Plane issue удалён, ветки не было).
-
-RESULT: 8/10 checks PASS. REAL failed: **none**. SANDBOX_INFRA failed (waived): C9a, C9b.

docs/work-items/ORCH-092/14-deploy-log.md

@@ -1,12 +0,0 @@
----
-deploy_status: SUCCESS
-work_item: ORCH-092
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-036 executable self-deploy
-
-Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
-
-Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-093/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: BUG: merge-актор не ретраит транзиентные ошибки Gitea (405/5xx) → ложный HOLD + мусорные PR
-
-Work Item ID: ORCH-093
-
-## Description
-
-TBD

docs/work-items/ORCH-093/01-brd.md

@@ -1,145 +0,0 @@
----
-work_item: ORCH-093
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 01 — BRD (бизнес-требования): ORCH-093 — merge-актор не ретраит транзиентные ошибки Gitea (405/5xx) → ложный HOLD + мусорные PR
-
-Work Item: **ORCH-093** · Repo: **orchestrator** · Стадия: analysis
-
-## 1. Бизнес-контекст и проблема
-
-Тип: **BUG** (надёжность self-deploy merge-фазы). Найдено по инциденту **ORCH-063 (09.06)**.
-
-**Инцидент-первоисточник (ORCH-063, 09.06).** Прод-деплой self-hosting прошёл, staging OK, но при
-мерже PR в `main` Gitea вернул `HTTP 405 {"message":"Please try again later"}` — транзиентная икота
-(Gitea пересчитывал `mergeable` сразу после пуша). PR #98 был `open` + `mergeable=True`, конфликтов
-**не было**. Однако merge-актор `merge_gate.merge_pr()` — **one-shot**: на любой не-200/201 он сразу
-вернул `(False, "merge failed: HTTP 405")`. Сработала корректная защита ORCH-071/081 «deploy
-succeeded but not merged» → задача удержана на `deploy` (НЕ `done`), алерт, потребовался **ручной
-домерж** (повтор `merge_pr` вручную → смержилось с первого раза). Защита отработала верно, но
-**транзиент не должен был требовать человека**.
-
-**Два дефекта, оба верифицированы по коду прода `src/merge_gate.py`:**
-
-- **ДЕФЕКТ 1 — `merge_pr` не ретраит транзиентные HTTP-ошибки.** `merge_gate.merge_pr()`
-  (`src/merge_gate.py` ~700) делает **один** `POST /pulls/{index}/merge`; на любой не-200/201
-  (включая `405 "try again later"`, `5xx`, `409/422` «ещё считается mergeable») сразу
-  `return False, "merge failed: HTTP {code}"` — без ретрая. Сравни: у Claude-агентов есть
-  transient-breaker (`429/overload` ретраится), у merge-актора такого механизма нет → инфра-икота
-  Gitea = ложный HOLD.
-- **ДЕФЕКТ 2 — `ensure_open_pr` плодит мусорные PR на уже влитой ветке.** При повторном прогоне
-  финализатора **после** ручного мержа: PR #98 уже `merged+closed` → `ensure_open_pr`
-  (`src/merge_gate.py` ~605) не находит открытого code-PR → **создаёт новый пустой PR #99** (ветка
-  уже в `main`, diff пустой). Пришлось закрывать вручную.
-
-**Боль:** ложные HOLD при инфра-икоте Gitea требуют ручного вмешательства в автономный конвейер
-(эпик ORCH-088 — пакетный автономный прогон) и оставляют мусорные пустые PR.
-
-## 2. Объём (scope)
-
-### В объёме
-- `merge_pr` ретраит **транзиентные** ошибки мержа (405/«try again», 408, `5xx`, таймаут/сетевые, а
-  также `409/422` когда PR **всё ещё mergeable**) с ограниченным числом попыток и backoff — **перед**
-  тем как вернуть `False`.
-- Различение «mergeable, но Gitea временно отказал» (ретраить) vs «реальный конфликт / не-mergeable»
-  (НЕ ретраить, честный быстрый HOLD).
-- `ensure_open_pr` / merge-verify **не создаёт** новый PR, если ветка уже полностью в `main` (нет
-  коммитов `origin/main..branch`) — возвращает исход «already-in-main»; финализатор сразу доводит до
-  `done` без мусорного PR.
-- Конфигурируемость (число ретраев, backoff, kill-switch на ретрай-поведение); разумные дефолты.
-- Обновление `.env.example`, `CHANGELOG.md`, merge-gate-раздела документации.
-
-### Вне объёма
-- ❌ Снятие/ослабление защиты ORCH-071/081 «deploy succeeded but not merged» — она корректна; задача
-  лишь снижает **ложные** срабатывания на транзиентах.
-- ❌ Ретрай **реального** конфликта / не-mergeable — это законный HOLD, нужен человек.
-- ❌ Любые прямые `push`/`force-push` в `main` (инвариант INV-4 ORCH-071/073 — мерж только через
-  Gitea PR-merge API).
-- ❌ Изменение `STAGE_TRANSITIONS`, состава `QG_CHECKS`, схемы БД.
-- ❌ Изменение SHA-in-main-доказательства мержа (`verify_merged_to_main`) как источника истины.
-
-## 3. Заинтересованные стороны
-
-- **Заказчик / оператор автономного конвейера (Owner, Стрим)** — меньше ручных домержей, чище список
-  PR в Gitea.
-- **Self-hosting репо `orchestrator`** — основной потребитель merge-verify under-gate (ORCH-071);
-  изменение в первую очередь касается self-deploy merge-фазы.
-- **Все проекты на общем инстансе** — косвенно: меньше зависших на `deploy` задач, держащих
-  merge-lease и клинящих serial-gate репо (ORCH-088).
-- **Reviewer / tester** — принимают результат по AC и зелёному `pytest`.
-
-## 4. Бизнес-требования (BR)
-
-- **BR-1** — При транзиентной ошибке мержа (`405`/«Please try again later», `408`, `5xx`,
-  таймаут/сетевая ошибка) `merge_pr` повторяет `POST …/merge` до `N` раз с backoff, прежде чем
-  вернуть `(False, …)`; успешный повтор внутри бюджета → `(True, …)`, мерж выполнен.
-- **BR-2** — `merge_pr` различает «PR mergeable, Gitea временно отказал» (ретраить) и «реальный
-  конфликт / PR не mergeable» (НЕ ретраить). Различение опирается на код ответа **и** поле
-  `mergeable` PR (`GET /pulls/{n}`). Неоднозначный `409/422` классифицируется по `mergeable`.
-- **BR-3** — Терминальные ошибки (`404` нет PR / реальный конфликт / `403`) НЕ ретраятся — `merge_pr`
-  возвращает `(False, …)` быстро; честный HOLD (защита ORCH-071/081) сохраняется.
-- **BR-4** — При исчерпании ретраев `merge_pr` возвращает `(False, …)` с понятным reason; защита
-  «deploy succeeded but not merged» срабатывает как прежде (HOLD + алерт).
-- **BR-5** — Если ветка уже полностью в `main` (нет коммитов `origin/main..branch`), `ensure_open_pr`
-  НЕ создаёт PR — возвращает исход «already-in-main»; merge-verify доводит задачу до `done` без
-  мусорного пустого PR.
-- **BR-6** — Поведение ретрая конфигурируемо: число попыток, backoff и kill-switch; дефолты разумны
-  (≈3 попытки, backoff 2–5 с) и задокументированы в `.env.example`.
-- **BR-7** — При выключенном ретрай-kill-switch поведение `merge_pr` идентично текущему (one-shot) —
-  нулевая регрессия.
-
-## 5. Нефункциональные требования (NFR)
-
-- **NFR-1 (never-raise)** — Контракт never-raise `merge_pr` / `ensure_open_pr` сохранён: любая
-  HTTP/parse/сетевая ошибка → `(False, …)` / `("failed"|"already-in-main", …)`, исключение никогда не
-  пробрасывается в `_handle_merge_verify` / `advance_stage`.
-- **NFR-2 (self-hosting safety / INV-4)** — Никаких прямых `push`/`force-push` в `main`; мерж только
-  через Gitea PR-merge API. Прод-контейнер `orchestrator` не перезапускается этой задачей.
-- **NFR-3 (обратимость / kill-switch)** — Ретрай-поведение полностью отключаемо одним флагом →
-  откат к нынешнему one-shot без изменения кода.
-- **NFR-4 (ограниченность)** — Суммарное время ретраев ограничено (`N` × backoff_max) и не может
-  «подвесить» monitor-поток, исполняющий merge-verify; backoff с верхним потолком.
-- **NFR-5 (идемпотентность)** — Повторный прогон финализатора на уже влитой ветке безопасен и
-  бесследен (нет дублей PR, нет дублей мержа — переиспользуется `pr_already_merged`).
-- **NFR-6 (наблюдаемость)** — Каждый ретрай и его причина логируются (по образцу `check_ci_green`:
-  `attempt i/N`); исход (успех/исчерпание/терминал) различим в логе.
-
-## 6. Допущения и ограничения
-
-- Gitea-код `405 {"message":"Please try again later"}` — **транзиент** (Gitea пересчитывает
-  `mergeable` сразу после пуша); `5xx`/таймаут/сетевая — транзиент.
-- `409` (conflict) и `422` (unprocessable) **двойственны**: либо реальный конфликт, либо «ещё не
-  пересчитан mergeable». Источник различения — поле `mergeable` из `GET /pulls/{n}` (а не только
-  код): `mergeable==True` → транзиент (ретраить), `mergeable==False` → реальный конфликт (НЕ
-  ретраить).
-- `404` (нет PR) обрабатывается раньше шагом «no open PR» и/или трактуется как терминал.
-- Образец паттерна ретрая уже есть в репо: `check_ci_green` (`src/qg/checks.py`, attempts + interval
-  + backoff) и transient-breaker агентов (`backoff_base_seconds`/`backoff_max_seconds`/
-  `transient_max_attempts` в `config.py`).
-- Merge-verify under-gate (ORCH-071) реален только для self-hosting (`merge_verify_applies`); на
-  прочих репо мерж делает LLM-deployer — там изменение `merge_pr` не задействуется.
-- Изменение **точечное** в `src/merge_gate.py` + флаги в `src/config.py`; `STAGE_TRANSITIONS`,
-  `QG_CHECKS`, схема БД не трогаются.
-
-## 7. Критерии успеха
-
-`merge_pr` переживает транзиентную икоту Gitea (405/5xx/таймаут/«not mergeable yet») за счёт
-ограниченного ретрая с backoff и больше не даёт ложного HOLD; реальный конфликт по-прежнему даёт
-быстрый честный HOLD; `ensure_open_pr` не создаёт мусорных PR на уже влитой ветке; поведение
-конфигурируемо и отключаемо; never-raise сохранён; `pytest tests/ -q` зелёный; доки и `.env.example`
-обновлены. Детальные PASS/FAIL — `03-acceptance-criteria.md`.
-
-## 8. Риски
-
-- Слишком агрессивный ретрай реального конфликта → задержка честного HOLD (митигируется BR-2/BR-3:
-  классификация по `mergeable`).
-- Ошибочная классификация транзиента как терминала (или наоборот) при неполном ответе Gitea
-  (`mergeable=None`) — нужна осторожная дефолт-политика.
-- Гонка `ensure_open_pr` already-in-main vs параллельный мерж.
-
-Детали и оценка — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-093/02-trz.md

@@ -1,142 +0,0 @@
----
-work_item: ORCH-093
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 02 — ТЗ (TRZ): ORCH-093 — merge-актор ретраит транзиентные ошибки Gitea + гард «ветка уже в main»
-
-Work Item: **ORCH-093** · Repo: **orchestrator** · Стадия: analysis
-
-> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода
-> (`src/merge_gate.py`, `src/config.py`, `src/stage_engine.py`). Архитектурное обоснование (точный
-> алгоритм классификации, формат хелпера, выбор дефолтов) — задача архитектора (`06-adr`).
-
-## 1. Сводка изменения
-
-Две точечные доработки `src/merge_gate.py`:
-
-1. **`merge_pr` (~700)** — обернуть `POST /pulls/{index}/merge` в **retry-loop** на транзиентных
-   кодах (`405`/«try again», `408`, `5xx`, таймаут/сетевые, плюс `409/422` при `mergeable==True`) с
-   ограниченным числом попыток и backoff; **терминальные** исходы (`404` нет PR, реальный конфликт /
-   `mergeable==False`, `403`) → быстрый `(False, …)` без ретрая. По образцу `check_ci_green`
-   (attempts + interval) и transient-breaker агентов.
-2. **`ensure_open_pr` (~605)** — добавить гард «ветка уже полностью в `main`» (нет коммитов
-   `origin/main..branch`) → новый исход `"already-in-main"` **до** создания PR; в
-   `_handle_merge_verify` этот исход трактуется как «мерж уже состоялся» → SHA-in-main подтверждает →
-   `done` без мусорного PR.
-
-Новые флаги ретрая в `src/config.py` (`ORCH_MERGE_RETRY_*`) + дескрипторы в `.env.example`. Контракт
-never-raise и INV-4 (никогда не `push`/`force-push` `main`) — сохраняются. `STAGE_TRANSITIONS`,
-`QG_CHECKS`, схема БД — **не трогаются**.
-
-## 2. Задействованные модули / пути
-
-| Путь | Действие |
-|------|----------|
-| `src/merge_gate.py` | изменить — `merge_pr` (retry-loop + классификатор транзиент/терминал); `ensure_open_pr` (гард already-in-main); при необходимости leaf-хелперы `_is_transient_merge_error()` / `_branch_fully_in_main()` |
-| `src/config.py` | изменить — добавить флаги ретрая мержа (`merge_retry_enabled`, `merge_retry_max_attempts`, `merge_retry_backoff_base_s`, `merge_retry_backoff_max_s`) по образцу `ci_poll_*` / `merge_pr_timeout_s` |
-| `src/stage_engine.py` | изменить (точечно) — `_handle_merge_verify` (~1447): обработать новый исход `ensure_open_pr == "already-in-main"` как «мерж уже состоялся» (пропустить `merge_pr`, дать `verify_merged_to_main` подтвердить → `done`) |
-| `.env.example` | изменить — новые дескрипторы `ORCH_MERGE_RETRY_*` |
-| `tests/test_merge_gate.py` | изменить — мок httpx-последовательностей (405×2→200; конфликт; already-in-main; исчерпание; kill-switch off) |
-| `CHANGELOG.md` | изменить — запись ORCH-093 |
-| `docs/architecture/README.md` (merge-gate раздел) / `CLAUDE.md` | изменить — описать ретрай и гард already-in-main |
-
-## 3. Функциональные требования
-
-### FR-1 — retry-loop транзиентных ошибок мержа в `merge_pr` (BR-1, BR-4, BR-6, BR-7)
-- Шаги `merge_pr` до `POST` (idempotency-guard `pr_already_merged`; `GET …/pulls?state=open` поиск
-  code-PR `head==branch AND base==main`; `index is None → (False, "no open PR")`) — **без изменений**.
-- `POST /pulls/{index}/merge` выполняется в цикле до `merge_retry_max_attempts` попыток (дефолт `3`):
-  - `200/201` → `(True, "merged PR #<n>")` (немедленный выход).
-  - **транзиентный** исход (см. FR-2) И остались попытки → `sleep(backoff)` и повтор `POST`;
-    `backoff` экспоненциальный от `merge_retry_backoff_base_s` (дефолт `2`) с потолком
-    `merge_retry_backoff_max_s` (дефолт `5`).
-  - **терминальный** исход (см. FR-2) → немедленно `(False, "merge failed: HTTP <code>")` без
-    дальнейших попыток.
-  - исчерпание попыток на транзиенте → `(False, "merge failed after <N> attempts: HTTP <code>")`.
-- **Kill-switch** `merge_retry_enabled=False` → ровно одна попытка `POST` (текущее one-shot
-  поведение, BR-7).
-- Каждая попытка логируется (`attempt i/N`, код, transient/terminal) — образец `check_ci_green`.
-
-### FR-2 — классификация транзиент vs терминал (BR-2, BR-3)
-- **Транзиентные** (ретраить): `405` («Please try again later»), `408` (timeout), любой `5xx`,
-  `httpx`-таймаут / сетевая ошибка, **и** `409`/`422` когда PR **всё ещё mergeable**.
-- **Терминальные** (НЕ ретраить, быстрый `False`): `403` (нет прав), `404` (PR исчез), и `409`/`422`
-  при **реальном конфликте** (`mergeable==False`).
-- Различение неоднозначного `409`/`422`: дополнительный `GET /pulls/{index}` → поле `mergeable`:
-  - `mergeable==True` → транзиент (Gitea ещё не пересчитал) → ретрай.
-  - `mergeable==False` → реальный конфликт → терминал.
-  - `mergeable` отсутствует/`None` → консервативная дефолт-политика (рекомендация аналитика:
-    трактовать как транзиент с тем же ограниченным бюджетом ретраев, т.к. сетевая икота Gitea —
-    наблюдаемый кейс; финальное решение — архитектор в `06-adr`).
-- Сетевые/таймаут-исключения `httpx` внутри попытки ловятся (never-raise) и классифицируются как
-  транзиент в рамках того же бюджета.
-
-### FR-3 — гард «ветка уже полностью в main» в `ensure_open_pr` (BR-5)
-- Перед шагом «создать PR» (после того как открытый code-PR не найден) `ensure_open_pr` проверяет,
-  что в ветке нет коммитов сверх `origin/main`: в per-branch worktree `git fetch origin main` +
-  `git rev-list --count origin/main..<branch>` (или `git merge-base --is-ancestor <branch> origin/main`).
-  - count `== 0` (ветка целиком в `main`) → `("already-in-main", "<reason>")` — **PR не создаётся**.
-  - count `> 0` (есть невлитые коммиты) → текущий путь `POST …/pulls` (создать code-PR).
-  - git/OS ошибка проверки → **не** блокировать (never-raise); деградировать на текущее поведение
-    (попытаться создать PR) ИЛИ вернуть `failed` — точную fail-политику фиксирует архитектор. Гард
-    не должен превратить инфра-икоту git в ложный no-op мержа.
-- Сигнатура возврата `ensure_open_pr` расширяется новым статусом `"already-in-main"` дополнительно к
-  `"existed"|"created"|"failed"` (обратносовместимо для существующих веток вызова).
-
-### FR-4 — обработка `already-in-main` в `_handle_merge_verify` (BR-5)
-- В `stage_engine._handle_merge_verify` (~1487): при `pr_status == "already-in-main"` —
-  логировать, **пропустить** `merge_gate.merge_pr` (мержить нечего) и перейти сразу к
-  `verify_merged_to_main` (SHA-in-main подтвердит факт мержа → `done`). Это НЕ `failed`-ветка (не
-  HOLD): ветка уже в `main`, цель достигнута.
-- SHA-in-main (`verify_merged_to_main`) остаётся **авторитетным** доказательством мержа; гард только
-  избегает мусорного PR и лишнего `merge_pr`.
-
-### FR-5 — конфигурация и обратная совместимость (BR-6, BR-7)
-- Новые поля `settings` (см. §2) с дефолтами; читаются из env (`ORCH_MERGE_RETRY_*`).
-- При `merge_retry_enabled=False` — поведение `merge_pr` байт-в-байт как сейчас (one-shot).
-- Гард already-in-main также под флагом ИЛИ всегда-вкл (рекомендация: всегда-вкл, т.к. он лишь
-  предотвращает создание заведомо пустого PR; решение — архитектор).
-
-## 4. Изменения API
-
-Нет (внешних HTTP-эндпоинтов оркестратора не добавляется/не меняется). Меняется только клиентское
-обращение к Gitea API внутри `merge_gate` (дополнительный `GET /pulls/{index}` для чтения
-`mergeable` при неоднозначном `409/422`; ретрай `POST …/merge`). Read-only блок merge-verify в
-`GET /queue` (`merge_verify_status()`) опционально может получить счётчик ретраев (необязательно).
-
-## 5. Изменения схемы БД
-
-Нет. (Merge-lease — файловый, не БД; счётчики `_MERGE_VERIFY_COUNTERS` — in-process. Новые поля —
-только в `config.Settings`, не в схеме.)
-
-## 6. Требования к новым/изменённым QG checks
-
-Нет. `STAGE_TRANSITIONS`, состав `QG_CHECKS`, exit-гейты рёбер и под-гейты ребра
-`deploy-staging → deploy` — **не трогаются**. Изменение целиком внутри детерминированного
-merge-актора `merge_pr`/`ensure_open_pr` (под-гейт-врезка `_handle_merge_verify` ребра
-`deploy → done`), который НЕ зарегистрирован в `QG_CHECKS`.
-
-## 7. Совместимость / регресс
-
-- **Kill-switch `merge_retry_enabled=False`** → one-shot `merge_pr` (текущее поведение) — нулевая
-  регрессия.
-- **Защита ORCH-071/081** «deploy succeeded but not merged» сохраняется 1:1: после исчерпания
-  ретраев / на терминальном конфликте `merge_pr` возвращает `False`, и при неподтверждённом
-  SHA-in-main срабатывает прежний HOLD + алерт.
-- **INV-4 / self-hosting safety**: никаких `push`/`force-push` в `main`; мерж только через Gitea
-  PR-merge API; прод-контейнер не перезапускается.
-- **never-raise**: `merge_pr` / `ensure_open_pr` ловят все исключения и возвращают безопасный
-  кортеж — контракт сохранён (тесты на never-raise остаются зелёными).
-- **Идемпотентность**: `pr_already_merged` (idempotency-guard) и гард already-in-main делают
-  повторный прогон финализатора бесследным (нет дублей PR/мержей).
-- **Область раската**: реально задействуется на merge-verify under-gate (self-hosting,
-  `merge_verify_applies`); на прочих репо merge делает LLM-deployer — изменение нейтрально.
-- **Артефакты pipeline**: создаётся/обновляется только аналитический пакет (`01`–`04`); в
-  development-стадии обновятся `CHANGELOG.md`, `.env.example`, merge-gate-раздел доки. ADR
-  (`06-adr/`) — пишет архитектор.
-- Полный регресс `pytest tests/ -q` должен оставаться зелёным.

docs/work-items/ORCH-093/03-acceptance-criteria.md

@@ -1,114 +0,0 @@
----
-work_item: ORCH-093
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 03 — Критерии приёмки (Acceptance Criteria): ORCH-093 — ретрай транзиентных merge-ошибок Gitea + гард already-in-main
-
-Work Item: **ORCH-093** · Repo: **orchestrator** · Стадия: analysis
-
-Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
-считается провалом). Reviewer/tester проверяет их буквально по файлам репозитория и тестам.
-
----
-
-## AC-1 — ретрай транзиента 405/5xx/таймаут → успешный мерж
-
-**Условие:** `merge_pr` при транзиентной ошибке мержа повторяет `POST …/merge` с backoff и
-доводит мерж до успеха в пределах бюджета.
-- **PASS:** мок httpx даёт на `POST …/merge` `405` дважды, затем `200` → `merge_pr` возвращает
-  `(True, …)`, выполнено ровно 3 `POST`, ложного `False` нет. Аналогично для `5xx` и
-  таймаута/сетевой ошибки в первых попытках.
-- **FAIL:** `merge_pr` возвращает `False` на первом `405`/`5xx`/таймауте (one-shot), не делая
-  повторных `POST`.
-
----
-
-## AC-2 — реальный конфликт / не-mergeable НЕ ретраится (быстрый честный HOLD)
-
-**Условие:** `merge_pr` при реальном конфликте (`409`/`422` с `mergeable==False`) или `403` не
-зацикливается, а возвращает `(False, …)` быстро.
-- **PASS:** мок httpx даёт `409` на `POST …/merge` и `GET /pulls/{n}` с `mergeable=False` →
-  `merge_pr` возвращает `(False, …)` без дополнительных `POST` (не более одной попытки мержа);
-  reason различим как терминальный. `403` → немедленный `(False, …)`.
-- **FAIL:** `merge_pr` ретраит реальный конфликт до исчерпания бюджета (вечный/долгий цикл),
-  задерживая честный HOLD.
-
----
-
-## AC-3 — исчерпание ретраев → (False, …) + защита ORCH-071/081 как прежде
-
-**Условие:** если транзиент не проходит за `N` попыток, `merge_pr` возвращает `(False, …)` с
-понятным reason; защита «deploy succeeded but not merged» срабатывает как раньше.
-- **PASS:** мок даёт `405` на всех `N` попытках → `merge_pr` возвращает
-  `(False, "merge failed after <N> attempts: HTTP 405")` (или эквивалент); в `_handle_merge_verify`
-  неподтверждённый SHA-in-main → HOLD + алерт (поведение ORCH-071/081 неизменно). Тест на
-  не-merged HOLD остаётся зелёным.
-- **FAIL:** при исчерпании ретраев reason неинформативен; или защита HOLD не срабатывает / задача
-  ошибочно уходит в `done`.
-
----
-
-## AC-4 — гард «ветка уже в main» → нет мусорного PR, задача доходит до done
-
-**Условие:** если ветка уже полностью в `main` (нет коммитов `origin/main..branch`),
-`ensure_open_pr` не создаёт PR и возвращает `already-in-main`; финализатор доводит до `done`.
-- **PASS:** мок: открытого code-PR нет, `git rev-list --count origin/main..branch == 0` →
-  `ensure_open_pr` возвращает `("already-in-main", …)` и **не делает** `POST …/pulls`; в
-  `_handle_merge_verify` этот статус пропускает `merge_pr` и `verify_merged_to_main` (SHA-in-main)
-  подтверждает мерж → задача доходит до `done` без создания пустого PR.
-- **FAIL:** `ensure_open_pr` создаёт новый пустой PR на уже влитой ветке, либо статус
-  `already-in-main` ошибочно трактуется как `failed` (ложный HOLD).
-
----
-
-## AC-5 — kill-switch / конфиг ретраев; дефолты задокументированы
-
-**Условие:** ретрай-поведение конфигурируемо (число попыток, backoff, kill-switch); при выключении —
-one-shot как сейчас; дефолты в `.env.example`.
-- **PASS:** в `src/config.py` есть поля `merge_retry_enabled` / `merge_retry_max_attempts` /
-  `merge_retry_backoff_base_s` / `merge_retry_backoff_max_s` с разумными дефолтами (≈3 / 2 / 5);
-  `.env.example` содержит дескрипторы `ORCH_MERGE_RETRY_*`; при `merge_retry_enabled=False` тест
-  подтверждает ровно одну попытку `POST` (one-shot).
-- **FAIL:** ретрай захардкожен (нет флагов/kill-switch), или `.env.example` не обновлён, или при
-  выключенном флаге поведение отличается от текущего one-shot.
-
----
-
-## AC-6 — never-raise сохранён; регресс зелёный; доки обновлены
-
-**Условие:** контракт never-raise `merge_pr`/`ensure_open_pr` цел; полный регресс зелёный;
-документация и `CHANGELOG` обновлены.
-- **PASS:** при любой HTTP/parse/сетевой ошибке (в т.ч. внутри ретрай-цикла и git-проверки гарда)
-  функции возвращают безопасный кортеж, исключение не пробрасывается; `pytest tests/ -q` зелёный;
-  merge-gate-раздел доки (`docs/architecture/README.md` / `CLAUDE.md`) и `CHANGELOG.md` описывают
-  ретрай и гард already-in-main.
-- **FAIL:** исключение пробрасывается в `advance_stage`; падает любой тест в `tests/`; доки/CHANGELOG
-  не отражают изменение.
-
----
-
-## AC-7 — инварианты self-hosting / INV-4 не нарушены
-
-**Условие:** изменение не вводит прямых `push`/`force-push` в `main` и не трогает
-`STAGE_TRANSITIONS`/`QG_CHECKS`/схему БД.
-- **PASS:** мерж по-прежнему идёт только через Gitea PR-merge API; `git diff` не содержит правок
-  `STAGE_TRANSITIONS` / состава `QG_CHECKS` / схемы БД; никаких новых вызовов `git push … main`.
-- **FAIL:** появился прямой push в `main`, либо изменены `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД.
-
----
-
-## Сводная матрица AC ↔ FR/BR
-| AC | Покрывает |
-|----|-----------|
-| AC-1 | BR-1 / FR-1, FR-2 |
-| AC-2 | BR-2, BR-3 / FR-2 |
-| AC-3 | BR-4 / FR-1 |
-| AC-4 | BR-5 / FR-3, FR-4 |
-| AC-5 | BR-6, BR-7 / FR-5 |
-| AC-6 | NFR-1, NFR-6 / FR-1…FR-5 |
-| AC-7 | NFR-2 / §6, §7 ТЗ |

docs/work-items/ORCH-093/04-test-plan.yaml

@@ -1,116 +0,0 @@
-work_item: ORCH-093
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-title: "Ретрай транзиентных merge-ошибок Gitea (405/5xx) + гард already-in-main"
-framework: pytest
-scope: >
-  Покрывает src/merge_gate.py::merge_pr (retry-loop + классификация транзиент/терминал) и
-  ensure_open_pr (гард «ветка уже в main»), новые флаги src/config.py (ORCH_MERGE_RETRY_*) и
-  обработку already-in-main в stage_engine._handle_merge_verify. Вне покрытия: реальная сеть Gitea,
-  STAGE_TRANSITIONS/QG_CHECKS, схема БД.
-notes: >
-  httpx мокается monkeypatch'ем (по образцу tests/test_merge_gate.py / test_orch073_merge_pr.py):
-  последовательности ответов на POST /pulls/{n}/merge и GET /pulls/{n}. time.sleep патчится в no-op,
-  чтобы backoff не замедлял тесты. git-операции гарда (rev-list/merge-base) мокаются через
-  monkeypatch subprocess.run. Полный регресс tests/ должен оставаться зелёным; считается регрессом
-  любое падение существующих test_merge_gate*/test_merge_verify*/test_orch073*.
-
-tests:
-  - id: TC-01
-    type: unit
-    description: "merge_pr: POST даёт 405,405,200 -> возвращает (True, merged PR #n); ровно 3 POST; ложного False нет (AC-1)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "merge_pr: POST даёт 503 (5xx), затем 200 -> ретрай -> (True, ...) (AC-1)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "merge_pr: POST бросает httpx Timeout/сетевую ошибку в 1-й попытке, затем 200 -> ретрай -> (True, ...); never-raise (AC-1, AC-6)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "merge_pr: реальный конфликт 409 + GET /pulls/{n} mergeable=False -> (False, ...) без доп. POST (терминал, быстрый HOLD) (AC-2)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "merge_pr: неоднозначный 409 + GET /pulls/{n} mergeable=True -> классифицирован как транзиент -> ретрай -> 200 -> (True, ...) (AC-2)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-06
-    type: unit
-    description: "merge_pr: 403 (нет прав) -> немедленно (False, ...) без ретрая (терминал) (AC-2)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-07
-    type: unit
-    description: "merge_pr: 405 на всех N попытках -> (False, 'merge failed after N attempts: HTTP 405') с понятным reason (AC-3)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "merge_pr: kill-switch merge_retry_enabled=False -> ровно один POST (one-shot, как сейчас) при 405 -> (False, ...) (AC-5, AC-3)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-09
-    type: unit
-    description: "ensure_open_pr: открытого code-PR нет, rev-list --count origin/main..branch == 0 -> ('already-in-main', ...); POST /pulls НЕ вызывается (AC-4)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-10
-    type: unit
-    description: "ensure_open_pr: открытого PR нет, есть невлитые коммиты (count>0) -> создаёт PR ('created', ...) (регресс прежнего поведения) (AC-4)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-11
-    type: unit
-    description: "ensure_open_pr: git-ошибка проверки гарда -> never-raise, безопасный кортеж, без падения (AC-6)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-12
-    type: unit
-    description: "merge_pr/ensure_open_pr: любая непойманная httpx/parse ошибка -> (False/failed, ...) кортеж, исключение не пробрасывается (never-raise) (AC-6)"
-    module: tests/test_merge_gate.py
-    expected: PASS
-
-  - id: TC-13
-    type: unit
-    description: "config: дефолты merge_retry_enabled/merge_retry_max_attempts/backoff_base/backoff_max присутствуют и читаются из ORCH_MERGE_RETRY_* env (AC-5)"
-    module: tests/test_config.py
-    expected: PASS
-
-  - id: TC-14
-    type: integration
-    description: "_handle_merge_verify: ensure_open_pr -> 'already-in-main' пропускает merge_pr, verify_merged_to_main (SHA-in-main) подтверждает -> задача доходит до done без мусорного PR (AC-4)"
-    module: tests/test_merge_verify.py
-    expected: PASS
-
-  - id: TC-15
-    type: integration
-    description: "_handle_merge_verify: merge_pr исчерпал ретраи (False) и SHA-in-main не подтверждён -> HOLD + alert (ORCH-071/081 как прежде), задача удержана на deploy, не done (AC-3)"
-    module: tests/test_merge_verify.py
-    expected: PASS
-
-  - id: TC-16
-    type: integration
-    description: "_handle_merge_verify happy-path: транзиент 405x2->200 в merge_pr -> SHA-in-main подтверждён -> done без ложного HOLD (end-to-end под-гейта deploy->done) (AC-1)"
-    module: tests/test_merge_verify.py
-    expected: PASS

docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md

@@ -1,222 +0,0 @@
----
-work_item: ORCH-093
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# ADR-001: Ретрай транзиентных merge-ошибок Gitea + гард «ветка уже в `main`» (ORCH-093)
-
-Work Item: **ORCH-093** — merge-актор не ретраит транзиентные ошибки Gitea (405/5xx) → ложный HOLD + мусорные PR
-Стадия: **architecture**
-Сквозная регистрация: **`docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`**
-(амендмент к [adr-0013](../../../architecture/adr/adr-0013-merge-verify-gate.md) /
-[adr-0014](../../../architecture/adr/adr-0014-merge-verify-sha-source-of-truth.md) /
-[adr-0016](../../../architecture/adr/adr-0016-ensure-open-pr-before-merge-verify.md) — лехатая merge-verify под-гейта).
-
-## Статус
-Proposed
-
-## Контекст
-
-Инцидент **ORCH-063 (09.06)**: self-deploy прошёл, staging OK, PR #98 был `open` + `mergeable=True`,
-конфликтов не было — но `POST /pulls/98/merge` вернул `HTTP 405 {"message":"Please try again later"}`
-(Gitea пересчитывал `mergeable` сразу после пуша). Сверено по коду прода `src/merge_gate.py`:
-
-- **`merge_pr` (`src/merge_gate.py:700`) — one-shot.** Тело цикла отсутствует: единственный
-  `POST /pulls/{index}/merge` (стр. 747-752); любой не-`200/201` → немедленно
-  `return False, "merge failed: HTTP {code}"` (стр. 761). Транзиентная икота Gitea = мгновенный
-  `False`. Сработала корректная защита ORCH-071/073 «deploy succeeded but not merged»
-  (`_handle_merge_verify`, `src/stage_engine.py:1527`) → задача удержана на `deploy`, алерт,
-  **потребовался ручной домерж** (повтор `merge_pr` вручную → влилось с первого раза).
-- **`ensure_open_pr` (`src/merge_gate.py:605`) — плодит мусорный PR.** При повторном прогоне
-  финализатора **после** ручного мержа: код-PR уже `merged+closed` → `_find_open_code_pr()`
-  (стр. 639) → `None` → шаг 2 `POST …/pulls` (стр. 663) создаёт **новый пустой PR** на ветке,
-  которая уже целиком в `main` (diff пустой). Пришлось закрывать вручную.
-
-Контраст: у Claude-агентов есть transient-breaker (`429/overload` ретраится,
-`config.transient_max_attempts`/`backoff_*`), у CI-гейта — `check_ci_green`
-(`src/qg/checks.py:82`, `ci_poll_max_attempts` × `ci_poll_interval_s` с логом `attempt i/N`).
-У детерминированного merge-актора аналога нет. Защита ORCH-071/073 отработала верно, но
-**транзиент не должен был требовать человека** — это блокер автономного прогона (эпик ORCH-088) и
-оставляет мусор в списке PR Gitea.
-
-«Как есть» не годится: инфра-икота Gitea = ложный HOLD + ручное вмешательство в автономный конвейер.
-
-## Решение
-
-### Сводка
-
-Две точечные доработки `src/merge_gate.py`, обе **аддитивны**, never-raise, под существующими
-kill-switch'ами; `STAGE_TRANSITIONS` / `QG_CHECKS` / схема БД — не трогаются; INV-4 (мерж только
-через Gitea PR-merge API, никогда `push`/`force-push` в `main`) сохранён.
-
-1. **`merge_pr`** — обернуть **только** `POST …/merge` в ограниченный retry-loop на транзиентных
-   исходах; терминальные → быстрый честный `False` (защита ORCH-071/073 — как прежде).
-2. **`ensure_open_pr`** — гард «ветка уже полностью в `main`» **до** создания PR → новый исход
-   `"already-in-main"`; `_handle_merge_verify` трактует его как «мержить нечего» и даёт
-   авторитетному SHA-in-main (`verify_merged_to_main`) довести до `done` без мусорного PR.
-
-### D1 — retry-loop вокруг `POST …/merge` в `merge_pr` (BR-1, BR-4, BR-6, BR-7 / FR-1)
-
-Шаги `merge_pr` **до** POST — без изменений (идемпотентность `pr_already_merged`; `GET …/pulls?state=open`
-поиск код-PR `head==branch AND base==main`; `index is None → (False, "no open PR")`). Ретраится
-**исключительно** мутирующий `POST /pulls/{index}/merge`:
-
-- Цикл `for attempt in range(1, N+1)`, `N = settings.merge_retry_max_attempts` (дефолт `3`).
-- `200/201` → немедленный `(True, "merged PR #<n>")`.
-- **транзиентный** исход (D2) И `attempt < N` → лог `attempt i/N` (образец `check_ci_green`) →
-  `time.sleep(backoff(attempt))` → повтор POST.
-- **терминальный** исход (D2) → немедленно `(False, "merge failed: HTTP <code>")`, без ретрая.
-- исчерпание на транзиенте → `(False, "merge failed after <N> attempts: HTTP <code>")`.
-
-**Backoff** — экспоненциальный c потолком (идиома transient-breaker агентов, ограничен NFR-4):
-`backoff(i) = min(merge_retry_backoff_base_s * 2**(i-1), merge_retry_backoff_max_s)`
-(дефолты base `2`, max `5`). Суммарный сон ограничен `(N-1) × backoff_max ≤ 10 с`; плюс
-`merge_pr_timeout_s` на POST → верхняя граница задержки детерминирована и **не подвешивает**
-monitor-поток, исполняющий merge-verify (NFR-4).
-
-**Kill-switch** `merge_retry_enabled=False` → ровно одна попытка POST = байт-в-байт текущее one-shot
-поведение (BR-7, нулевая регрессия). Реализуется как `N_eff = N if merge_retry_enabled else 1` без
-ветвления тела цикла.
-
-Привязка: AC-1 (405×2→200 = 3 POST, `True`), AC-3 (405×N → `False` + понятный reason), AC-5
-(kill-switch → 1 POST).
-
-### D2 — классификация транзиент vs терминал (BR-2, BR-3 / FR-2)
-
-Leaf-хелпер `_classify_merge_response(repo, branch, index, status_code) -> "transient" | "terminal"`
-(never-raise). Дерево решений:
-
-| Исход POST | Класс | Действие |
-|------------|-------|----------|
-| `405` («try again later»), `408`, любой `5xx` | **transient** | ретрай |
-| `httpx`-таймаут / сетевое исключение | **transient** | ретрай (ловится внутри попытки, never-raise) |
-| `403` (нет прав), `404` (PR исчез) | **terminal** | быстрый `False` |
-| `409` / `422` | **ambiguous** → доп. `GET /pulls/{index}` → поле `mergeable` | см. ниже |
-
-Разрешение неоднозначного `409/422` по `GET /pulls/{index}` → `mergeable`:
-- `mergeable == True` → **transient** (Gitea ещё не пересчитал — корневой кейс ORCH-063) → ретрай.
-- `mergeable == False` → **terminal** (реальный конфликт) → быстрый честный HOLD.
-- `mergeable` отсутствует / `None` / сам `GET` упал → **transient** в рамках того же ограниченного
-  бюджета (см. дефолт-политику ниже).
-
-**Дефолт-политика для `mergeable == None`/недоступного — транзиент** (принято от рекомендации
-аналитика, FR-2). Обоснование: (а) цель задачи — не давать ложного HOLD на икоте Gitea, а икота —
-именно наблюдаемый кейс с неполным/запаздывающим `mergeable`; (б) цена ошибки ограничена — даже
-если за `None` скрывается реальный конфликт, бюджет ретраев конечен (`≤10 с`), после чего
-`merge_pr` всё равно вернёт `False` → срабатывает **та же** защита ORCH-071/073 (HOLD + алерт);
-(в) обратный выбор (терминал по `None`) воспроизводит ровно тот ложный HOLD, что чинит задача.
-Таким образом дефолт fail-OPEN-в-ретрай безопасен: автономность выигрывает, корректность
-backstop'а сохранена.
-
-Привязка: AC-1 (транзиент → ретрай), AC-2 (`409`+`mergeable=False`/`403` → терминал, ≤1 POST).
-
-### D3 — гард «ветка уже полностью в `main`» в `ensure_open_pr` (BR-5 / FR-3)
-
-Новый leaf-хелпер `_branch_fully_in_main(repo, branch) -> bool | None` (never-raise), вызывается в
-`ensure_open_pr` **после** того как `_find_open_code_pr()` вернул `None` и **до** `POST …/pulls`:
-
-- В per-branch worktree (`ensure_worktree`, изоляция ORCH-2): `git fetch origin main` →
-  `git merge-base --is-ancestor <branch-HEAD> origin/main` (идиома уже используется в
-  `branch_is_behind_main` / `verify_merged_to_main`; эквивалент `git rev-list --count origin/main..HEAD == 0`).
-  - `rc == 0` → ветка целиком в `main` → `True`.
-  - `rc == 1` → есть невлитые коммиты → `False`.
-  - git/OS-ошибка / ambiguous rc → `None`.
-
-Маппинг в `ensure_open_pr`:
-- `True` → новый исход `("already-in-main", "<reason>")` — **PR не создаётся**.
-- `False` → текущий путь шага 2 (`POST …/pulls` создать код-PR) — без изменений.
-- `None` (**fail-OPEN**) → деградировать на текущее поведение (попытаться создать PR), **НЕ**
-  блокировать. Обоснование: единственная цель гарда — избежать заведомо пустого PR; вернуть
-  `"failed"` на git-икоте значило бы превратить инфра-икоту git в ложный no-op/HOLD мержа — ровно
-  анти-паттерн, против которого предостерегает BRD. SHA-in-main downstream остаётся авторитетным:
-  даже если на git-ошибке гард ошибётся и создаст пустой PR, это лишь косметика, не ложный `done`.
-
-Сигнатура `ensure_open_pr` расширяется исходом `"already-in-main"` дополнительно к
-`"existed"|"created"|"failed"` (обратносовместимо для существующих веток вызова).
-
-**Без отдельного флага:** гард — чистый fail-OPEN correctness-guard, уже целиком накрыт
-существующим kill-switch'ем `merge_verify_autocreate_pr_enabled` (вся врезка `ensure_open_pr` в
-`_handle_merge_verify` под ним — `src/stage_engine.py:1486`). Отдельный флаг был бы избыточной
-конфиг-поверхностью (принято от рекомендации FR-5: «всегда-вкл»).
-
-Привязка: AC-4 (count==0 → `already-in-main`, нет POST …/pulls).
-
-### D4 — обработка `already-in-main` в `_handle_merge_verify` (BR-5 / FR-4)
-
-В `stage_engine._handle_merge_verify` (`src/stage_engine.py:1486-1495`): при
-`pr_status == "already-in-main"` — лог, **пропустить** `merge_gate.merge_pr` (мержить нечего) и
-сразу к `verify_merged_to_main` (SHA-in-main подтвердит факт мержа → `done`). Это **НЕ** `failed`-ветка
-(не HOLD): цель уже достигнута, ветка в `main`. Реализуется флагом `skip_merge`, обнуляющим вызов
-`merge_pr` на строке 1498; ветка `verify_merged_to_main` (стр. 1503) и весь нижестоящий код —
-без изменений. SHA-in-main остаётся **авторитетным** доказательством мержа (ADR-0014); гард только
-избегает мусорного PR и лишнего `merge_pr`.
-
-Деградация safety: если по какой-то причине SHA не в `main` при `already-in-main` (не должно случаться,
-т.к. `sha = validated_revision = worktree HEAD`, а ветка целиком в `main`), срабатывает прежний
-HOLD (стр. 1527) — fail-closed, безопасно.
-
-Привязка: AC-4 (`already-in-main` → пропуск `merge_pr`, SHA-in-main → `done`).
-
-### D5 — конфигурация (BR-6, BR-7 / FR-5)
-
-Новые поля `src/config.Settings` (по образцу `ci_poll_*` / `merge_pr_timeout_s`), читаются из env:
-
-| Поле | env | Дефолт |
-|------|-----|--------|
-| `merge_retry_enabled` | `ORCH_MERGE_RETRY_ENABLED` | `True` (kill-switch; `False` → one-shot) |
-| `merge_retry_max_attempts` | `ORCH_MERGE_RETRY_MAX_ATTEMPTS` | `3` |
-| `merge_retry_backoff_base_s` | `ORCH_MERGE_RETRY_BACKOFF_BASE_S` | `2` |
-| `merge_retry_backoff_max_s` | `ORCH_MERGE_RETRY_BACKOFF_MAX_S` | `5` |
-
-Дескрипторы добавляются в `.env.example`. Гард already-in-main — без отдельного флага (D3).
-
-## Альтернативы
-
-- **Ретрай всех steps `merge_pr` (включая `GET …/pulls?state=open`)** — отвергнуто: ретраить нужно
-  только мутирующий POST; список PR — дешёвый идемпотентный GET, его транзиент-ретрай усложняет
-  логику без выгоды (повторный POST сам перечитает при необходимости через `pr_already_merged`).
-- **Терминал по `mergeable == None`** — отвергнуто: воспроизводит ложный HOLD, который чинит задача
-  (см. D2); бюджет ретраев конечен, backstop ORCH-071/073 сохранён.
-- **Фиксированный interval-backoff (как `check_ci_green`)** — отвергнуто в пользу экспоненциального
-  с потолком: merge-икота короткая, экспонента с малым потолком (`5 с`) быстрее проходит первую
-  попытку и жёстко ограничена сверху (NFR-4).
-- **`"failed"` на git-ошибке гарда already-in-main** — отвергнуто: превращает икоту git в ложный
-  no-op/HOLD мержа (анти-паттерн BRD); выбран fail-OPEN-в-create (D3).
-- **Отдельный kill-switch для гарда already-in-main** — отвергнуто: уже накрыт
-  `merge_verify_autocreate_pr_enabled`; лишняя конфиг-поверхность.
-- **Снять/ослабить защиту ORCH-071/081** — вне объёма и неверно: защита корректна, задача лишь
-  снижает **ложные** срабатывания.
-
-## Последствия
-
-- **+** Транзиентная икота Gitea (405/5xx/таймаут/«not mergeable yet») переживается автоматически →
-  нет ложного HOLD, нет ручного домержа в автономном прогоне (ORCH-088).
-- **+** Нет мусорных пустых PR на уже влитой ветке; повторный прогон финализатора идемпотентен (NFR-5).
-- **+** Реальный конфликт по-прежнему даёт быстрый честный HOLD (≤1 POST); защита ORCH-071/073 — 1:1.
-- **+** Наблюдаемость: каждый ретрай логируется `attempt i/N` + класс (transient/terminal) (NFR-6).
-- **−** Доп. `GET /pulls/{index}` на неоднозначном `409/422` (один лишний дешёвый запрос только в
-  редком ambiguous-кейсе) — приемлемо.
-- **−** Дефолт-политика `mergeable==None → transient` может на реальном конфликте добавить ≤10 с
-  до HOLD. Митигейшн: бюджет жёстко ограничен; HOLD всё равно срабатывает.
-- **−** Расширение возврата `ensure_open_pr` новым исходом — все вызовы перечислены, BC сохранён.
-- **Откат:** `ORCH_MERGE_RETRY_ENABLED=false` → one-shot `merge_pr` (нынешнее поведение);
-  `ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=false` отключает врезку `ensure_open_pr` целиком (вместе
-  с гардом). Полный откат кода — revert PR; флаги дают мгновенный runtime-откат без деплоя кода.
-
-## Ссылки
-- BRD: `docs/work-items/ORCH-093/01-brd.md`
-- TRZ: `docs/work-items/ORCH-093/02-trz.md`
-- Acceptance: `docs/work-items/ORCH-093/03-acceptance-criteria.md`
-- Tech-risks: `docs/work-items/ORCH-093/10-tech-risks.md`
-- Сквозной ADR: `docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`
-- Лехатая merge-verify: [adr-0013](../../../architecture/adr/adr-0013-merge-verify-gate.md),
-  [adr-0014](../../../architecture/adr/adr-0014-merge-verify-sha-source-of-truth.md),
-  [adr-0016](../../../architecture/adr/adr-0016-ensure-open-pr-before-merge-verify.md)
-- Сверено по коду: `src/merge_gate.py` (`merge_pr:700`, `ensure_open_pr:605`,
-  `branch_is_behind_main:53`, `verify_merged_to_main:767`), `src/stage_engine.py`
-  (`_handle_merge_verify:1447`), `src/qg/checks.py` (`check_ci_green:82`), `src/config.py`
-  (`ci_poll_*:140`, `merge_pr_timeout_s:549`, `transient_max_attempts:77`)

docs/work-items/ORCH-093/10-tech-risks.md

@@ -1,36 +0,0 @@
----
-work_item: ORCH-093
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 10 — Технические риски: ORCH-093 — ретрай транзиентных merge-ошибок Gitea + гард already-in-main
-
-Work Item: **ORCH-093** · Repo: **orchestrator** · Стадия: architecture
-
-> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
-
-## Реестр рисков
-
-| ID | Риск | Вер. | Влия. | Митигейшн |
-|----|------|------|-------|-----------|
-| TR-1 | Ошибочная классификация реального конфликта как транзиента (`mergeable==None`/неполный ответ) → лишние ретраи перед HOLD | Сред. | Низ. | D2: бюджет ретраев жёстко ограничен (`(N-1)×backoff_max ≤ 10 с`); после исчерпания — тот же HOLD ORCH-071/073. Цена ≤10 с задержки, не ложный `done`. |
-| TR-2 | Слишком агрессивный/долгий ретрай подвешивает monitor-поток, исполняющий merge-verify | Низ. | Сред. | D1/NFR-4: экспон. backoff с потолком `merge_retry_backoff_max_s`; суммарный сон детерминирован; `merge_pr_timeout_s` ограничивает каждый POST. |
-| TR-3 | Гонка гарда already-in-main vs параллельный мерж (ветка влита между `_find_open_code_pr` и `_branch_fully_in_main`) | Низ. | Низ. | SHA-в-main (`verify_merged_to_main`, ADR-0014) остаётся авторитетным; гард лишь избегает пустого PR. Ложный `done` невозможен — решает SHA, не гард. |
-| TR-4 | git-икота гарда (`fetch`/`merge-base` падает) → ложный `already-in-main` → пропуск реального мержа | Низ. | Выс. | D3: fail-OPEN — `None` деградирует на create-PR, НЕ на `already-in-main`; ложный пропуск мержа структурно невозможен (для `already-in-main` нужен rc==0, не ошибка). |
-| TR-5 | Регрессия one-shot поведения при `merge_retry_enabled=False` | Низ. | Сред. | BR-7: `N_eff = 1` без ветвления тела цикла; тест AC-5 подтверждает ровно один POST. |
-| TR-6 | Расширение возврата `ensure_open_pr` (`already-in-main`) ломает необработанную ветку вызова | Низ. | Сред. | Все вызовы перечислены (`_handle_merge_verify`, `launcher._ensure_pr`); BC: новый исход обрабатывается явно, прочие пути 1:1. Покрытие — тест AC-4. |
-| TR-7 | Лишний `GET /pulls/{index}` на ambiguous `409/422` сам транзиентно падает → неверный класс | Низ. | Низ. | never-raise: сбой `GET` → дефолт transient в рамках бюджета (D2); никогда не исключение в `advance_stage`. |
-
-## Сводный вывод
-
-Доминирующий класс — **корректность классификации транзиент/терминал** (TR-1, TR-4): обе ветки
-спроектированы fail-safe в сторону, противоположную багу (ретрай-с-бюджетом и fail-OPEN-в-create),
-с авторитетным backstop'ом SHA-в-main + защитой ORCH-071/073, которые не трогаются. Остаточный риск
-для прод-конвейера (self-hosting) **низкий**: изменение точечное, аддитивное, полностью отключаемо
-двумя существующими/новыми kill-switch'ами без деплоя кода; `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД
-не затронуты. Эскалация `arch:major-change` **не требуется**; возврат в анализ **не требуется** —
-ТЗ реализуемо без нарушения принципов архитектуры.

docs/work-items/ORCH-093/12-review.md

@@ -1,89 +0,0 @@
----
-verdict: APPROVED
-work_item: ORCH-093
-stage: review
-author_agent: reviewer
-status: approved
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: review
-work_item_id: ORCH-093
-version: 1
----
-
-# Review ORCH-093
-
-## Summary
-
-Две точечные доработки детерминированного merge-актора (`src/merge_gate.py`), чинящие инцидент
-**ORCH-063** (ложный HOLD на транзиентном `HTTP 405` от Gitea + мусорный пустой PR на уже влитой
-ветке): (1) retry-loop вокруг мутирующего `POST …/merge` с классификатором транзиент/терминал;
-(2) гард `already-in-main` в `ensure_open_pr` + врезка в `_handle_merge_verify`.
-
-Реализация **полностью соответствует** ТЗ (FR-1…FR-5), критериям приёмки (AC-1…AC-7) и ADR-001
-(D1…D5). Контракты сохранены: never-raise, INV-4 (мерж только через Gitea PR-merge API, никогда
-`push`/`force-push` в `main`), `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД — байт-в-байт не тронуты
-(проверено `git diff`: затронуты только `src/merge_gate.py`, `src/config.py` и точечно
-`src/stage_engine.py`). Защита ORCH-071/073/081 («deploy succeeded but not merged») сохранена 1:1:
-терминал/исчерпание ретраев → `(False, …)` → прежний HOLD+alert.
-
-**Тесты содержательные и зелёные:** `tests/test_merge_gate.py` (TC-01…TC-12), `tests/test_config.py`
-(TC-13), `tests/test_merge_verify.py` (TC-14…TC-16), обновлён `tests/test_orch082_ensure_pr.py`.
-Локальный прогон затронутых сьютов — **72 passed**. Каждый AC покрыт буквально (405×2→200=3 POST;
-5xx→200; network→200; реальный конфликт/403 терминал без ретрая; ambiguous-409+mergeable=True ретрай;
-исчерпание; kill-switch one-shot; already-in-main без POST; fail-OPEN на git-ошибке гарда;
-never-raise).
-
-**Трассировка (TRACEABILITY.md):** правки в блоках с маркерами ORCH-071/073/082 сверены с их
-инвариантами — SHA-in-main остаётся единственным авторитетным доказательством мержа (ADR-0014),
-idempotency-guard `pr_already_merged`, фильтр `base==main` для code-PR, never-raise — сохранены.
-В append-only `MAIN_REGRESSION_MARKERS` корректно добавлена строка
-`("ORCH-093", "_classify_merge_response", "src/merge_gate.py")` — без слома существующих маркеров.
-
-Документация обновлена (CHANGELOG, `.env.example`, `CLAUDE.md`, локальный ADR-001 + сквозной
-adr-0027, `docs/architecture/README.md`). Один P2 по гигиене документации (дубль секции в README) —
-не блокирует приёмку.
-
-## Findings
-
-### P0 — Blocker
-- Нет.
-
-### P1 — Must fix
-- Нет.
-
-### P2 — Should fix
-- [ ] **Дубль секции ORCH-093 в `docs/architecture/README.md`.** Один и тот же заголовок
-  `#### Ретрай транзиентных merge-ошибок Gitea + гард already-in-main (ORCH-093 — фикс ложного HOLD
-  на 405/5xx)` встречается **дважды** — строки **480–516** и **518–550** — с почти идентичным,
-  перекрывающимся содержимым и совпадающим markdown-anchor'ом. Подтверждено `git diff` (на `origin/main`
-  — 0 вхождений, на ветке — 2), т.е. обе секции добавлены этим PR (вероятно случайная вставка/дубль
-  блока при правке golden-source). README — обзорная витрина архитектуры; дублирующий блок с
-  коллизией заголовков следует схлопнуть в одну секцию (оставить вариант 480–516 или 518–550, не оба).
-  Правило: `CLAUDE.md` §2 «документация = golden source», стандарт обзорных доков (ORCH-079).
-
-### P3 — Nice to have
-- [ ] **`tests/test_merge_gate.py::_PostSeq`** обращается к `self._items_last` до его первой
-  инициализации, если конструктору передать пустой список (атрибут ставится только после первого
-  `pop`). Сейчас не срабатывает (все вызовы передают непустую последовательность), но защититься
-  дефолтом `self._items_last = None` в `__init__` дешевле, чем потенциальный `AttributeError` при
-  будущем редактировании теста.
-
-## Документация
-
-Проверка обязательна (изменён `src/`). Статус — **обновлена** (golden source синхронизирован с кодом):
-
-| Артефакт | Статус |
-|----------|--------|
-| `CHANGELOG.md` | ✅ запись ORCH-093 (`[Unreleased]`) с детализацией retry/guard/конфиг/тесты |
-| `.env.example` | ✅ дескрипторы `ORCH_MERGE_RETRY_*` (4 поля) + пояснительный блок |
-| `CLAUDE.md` | ✅ абзац ORCH-093 в секции «Очередь задач» |
-| `docs/architecture/README.md` | ⚠️ обновлена, но **секция продублирована** (P2 — схлопнуть) |
-| `docs/work-items/ORCH-093/06-adr/ADR-001-…md` | ✅ локальный ADR (proposed) |
-| `docs/architecture/adr/adr-0027-…md` | ✅ сквозной ADR (amends 0013/0014/0016) |
-
-API / `STAGE_TRANSITIONS` / QG / схема БД не менялись → доп. обновлений не требуется. Пункт
-`README.md` «Известные ограничения» данным PR не закрывается (ORCH-079 не применим).
-
-**Вывод:** P0/P1 нет; единственный P2 — косметический дубль секции README (не блокирует). Verdict —
-`APPROVED`. Рекомендую попутно схлопнуть дубль перед мержем.

docs/work-items/ORCH-093/13-test-report.md

@@ -1,83 +0,0 @@
----
-result: PASS
-work_item: ORCH-093
-stage: testing
-author_agent: tester
-status: pass
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: test-report
-work_item_id: ORCH-093
----
-
-# Test Report — ORCH-093
-
-merge-актор ретраит транзиентные ошибки Gitea (405/5xx/таймаут) + гард «ветка уже в main».
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3
-- Worktree: `/repos/_wt/orchestrator/feature_ORCH-093-bug-merge-gitea-405-5xx-hold-p`
-- Branch: `feature/ORCH-093-bug-merge-gitea-405-5xx-hold-p`
-- Дата: 2026-06-09
-
-## Предусловия
-- Review verdict: **APPROVED** (`12-review.md`, P0/P1 нет; единственный P2 — косметический дубль секции README, не блокирует).
-
-## Smoke API (read-only, prod 8500)
-| Эндпоинт | Результат |
-|----------|-----------|
-| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
-| `GET /status` | OK (active_tasks отдаётся; ORCH-093 task#78 в `testing`) |
-| `GET /queue` | OK — блок `serial_gate` **присутствует** (ORCH-088), `auto_labels` **присутствует** (ORCH-089), `stop` присутствует (ORCH-090). Регресса смока нет. |
-
-## Результаты (покрытие ТЗ — каждый TC из 04-test-plan.yaml)
-
-| TC ID | Описание (AC) | Тест | Результат |
-|-------|---------------|------|-----------|
-| TC-01 | merge_pr: 405,405,200 → (True, …); ровно 3 POST; ложного False нет (AC-1) | `test_merge_gate.py::test_tc01_merge_retries_405_then_succeeds` | PASS |
-| TC-02 | merge_pr: 503 (5xx)→200 → ретрай → (True, …) (AC-1) | `test_merge_gate.py::test_tc02_merge_retries_5xx_then_succeeds` | PASS |
-| TC-03 | merge_pr: httpx Timeout/сетевая→200 → ретрай; never-raise (AC-1, AC-6) | `test_merge_gate.py::test_tc03_merge_retries_network_error_then_succeeds` | PASS |
-| TC-04 | merge_pr: 409 + GET mergeable=False → (False, …) без доп. POST (терминал) (AC-2) | `test_merge_gate.py::test_tc04_real_conflict_terminal_no_retry` | PASS |
-| TC-05 | merge_pr: ambiguous 409 + GET mergeable=True → транзиент → ретрай → 200 (AC-2) | `test_merge_gate.py::test_tc05_ambiguous_409_mergeable_true_retries` | PASS |
-| TC-06 | merge_pr: 403 → немедленно (False, …) без ретрая (терминал) (AC-2) | `test_merge_gate.py::test_tc06_403_terminal_no_retry` | PASS |
-| TC-07 | merge_pr: 405 на всех N → (False, 'merge failed after N attempts…') понятный reason (AC-3) | `test_merge_gate.py::test_tc07_exhausts_retries_clear_reason` | PASS |
-| TC-08 | merge_pr: kill-switch off → ровно один POST (one-shot) при 405 (AC-5, AC-3) | `test_merge_gate.py::test_tc08_killswitch_off_one_shot` | PASS |
-| TC-09 | ensure_open_pr: count==0 → ('already-in-main', …); POST /pulls НЕ вызван (AC-4) | `test_merge_gate.py::test_tc09_ensure_already_in_main_no_post` | PASS |
-| TC-10 | ensure_open_pr: count>0 → создаёт PR (регресс прежнего поведения) (AC-4) | `test_merge_gate.py::test_tc10_ensure_creates_when_commits_beyond_main` | PASS |
-| TC-11 | ensure_open_pr: git-ошибка гарда → never-raise, fail-open (AC-6) | `test_merge_gate.py::test_tc11_ensure_guard_git_error_fail_open`, `::test_tc11_branch_fully_in_main_never_raises` | PASS |
-| TC-12 | merge_pr/ensure_open_pr: любая httpx/parse ошибка → безопасный кортеж, never-raise (AC-6) | `test_merge_gate.py::test_tc12_merge_pr_never_raises`, `::test_tc12_ensure_open_pr_never_raises` | PASS |
-| TC-13 | config: дефолты merge_retry_* + чтение ORCH_MERGE_RETRY_* env (AC-5) | `test_config.py::test_merge_retry_settings_defaults`, `::test_merge_retry_settings_env_override` | PASS |
-| TC-14 | _handle_merge_verify: 'already-in-main' пропускает merge_pr, SHA-in-main → done (AC-4) | `test_merge_verify.py::test_tc14_already_in_main_skips_merge_pr_then_done` | PASS |
-| TC-15 | _handle_merge_verify: merge_pr исчерпал ретраи + SHA не подтверждён → HOLD+alert (ORCH-071/081) (AC-3) | `test_merge_verify.py::test_tc15_merge_failed_and_not_in_main_holds` | PASS |
-| TC-16 | _handle_merge_verify happy-path: 405x2→200 → SHA-in-main → done без ложного HOLD (AC-1) | `test_merge_verify.py::test_tc16_transient_retry_success_then_done` | PASS |
-
-**Сопоставление с `03-acceptance-criteria.md`:** AC-1 (TC-01/02/03/16), AC-2 (TC-04/05/06),
-AC-3 (TC-07/15), AC-4 (TC-09/10/14), AC-5 (TC-08/13), AC-6 (TC-11/12 + зелёный регресс),
-AC-7 (`STAGE_TRANSITIONS`/`QG_CHECKS`/сигнатуры неизменны — `test_config.py::test_tc19_*` зелёные).
-Все 16 TC выполнены и сопоставлены.
-
-## Вывод pytest
-
-Полный регресс из worktree ветки задачи:
-
-```
-$ cd /repos/_wt/orchestrator/feature_ORCH-093-bug-merge-gitea-405-5xx-hold-p && pytest tests/ -v --tb=short
-...
-======================= 1389 passed, 1 warning in 44.62s =======================
-```
-
-Целевые сьюты ORCH-093 (`test_merge_gate.py`, `test_config.py`, `test_merge_verify.py`,
-`test_orch082_ensure_pr.py`):
-
-```
-======================== 72 passed, 1 warning in 1.84s =========================
-```
-
-Единственный warning — `PydanticDeprecatedSince20` (class-based config, существующий, не связан с ORCH-093).
-Падений и регрессов `test_merge_gate*/test_merge_verify*/test_orch08*/test_config*` нет.
-
-## Итог
-
-PASS — все 1389 тестов зелёные, целевые TC-01…TC-16 PASS и сопоставлены с AC-1…AC-7,
-smoke read-only OK (`serial_gate`/`auto_labels` присутствуют в `/queue`). Задача переходит на `deploy-staging`.

docs/work-items/ORCH-093/14-deploy-log.md

@@ -1,12 +0,0 @@
----
-deploy_status: SUCCESS
-work_item: ORCH-093
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-036 executable self-deploy
-
-Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
-
-Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-093/15-staging-log.md

@@ -1,38 +0,0 @@
----
-staging_status: SUCCESS
-work_item: ORCH-093
-stage: deploy-staging
-author_agent: deployer
-status: success
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-timestamp: 2026-06-09T19:44:29Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. `SUCCESS` → дальше; `FAILED` → откат.
-
-Staging test suite completed against the live staging instance. All REAL pipeline checks passed.
-Run canonically **inside the `orchestrator-staging` container** (8501) via the Docker Engine API
-exec endpoint (the `docker` CLI is absent in this agent environment, so the exec was driven over
-`/var/run/docker.sock`; semantics identical to `docker exec` — the script ran with the
-container's own `.env.staging` process-env, so B6 registry-isolation is authoritative).
-
-Command (in-container):
-`python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub`
-
-**Exit code: 0 → SUCCESS.**
-
-## Results — 8/10 checks PASS
-
-- **Block A (SMOKE)**: PASS — A1 `/health` 200 ok · A2 `/queue` 200 with counts/max_concurrency/resilience · A3 `ORCH_STAGING=true`.
-- **Block B (ACCESS)**: PASS — B4 Plane sandbox project accessible · B5 Gitea `orchestrator-sandbox` accessible, push=true · B6 Registry isolation (sandbox=YES, prod-ET=NO, prod-ORCH=NO).
-- **Block C (E2E, mode=stub)**: C7 create issue in Plane SANDBOX PASS · C8 trigger pipeline via `/webhook/plane` PASS · C9a/C9b FAILED (sandbox-infra, **waived** per ORCH-061). Cleanup OK (Plane issue deleted, no branch to delete).
-
-REAL failed: **none**.
-
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green.

docs/work-items/ORCH-094/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: BUG: терминальная (done) задача флаппит deploy-статусы в Plane (Awaiting↔Monitoring), не держит Done
-
-Work Item ID: ORCH-094
-
-## Description
-
-TBD

docs/work-items/ORCH-094/01-brd.md

@@ -1,155 +0,0 @@
----
-work_item: ORCH-094
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 01 — BRD (бизнес-требования): ORCH-094 — терминальная (done) задача флаппит deploy-статусы в Plane (Awaiting↔Monitoring), не держит Done
-
-Work Item: **ORCH-094** · Repo: **orchestrator** · Стадия: analysis
-
-## 1. Бизнес-контекст и проблема
-
-**Тип:** BUG — рассинхрон БД↔Plane / «зомби»-цикл post-deploy-статуса (self-hosting).
-
-**Симптом (верифицирован живьём 09.06 на ORCH-061):**
-Задача ORCH-061 в БД оркестратора = `done` с 07.06 (task 47; фикс задеплоен в прод; конвейер её
-не трогает — 0 активных job'ов). При этом карточка задачи в **Plane не держит Done**: непрерывно
-флаппит `Monitoring after Deploy ⟷ Awaiting Deploy` парами (туда-обратно за ~2 сек), каждые
-несколько минут. Накоплено 273 активности. Доходило до абсурда: 09.06 14:56 встала в `Done` →
-15:48 её выдернуло обратно `Done → Awaiting Deploy`. Воспроизводится детерминированно: ручной
-sync 061→Done (PATCH 200, 16:47) → через ~60 сек снова `Done → Awaiting Deploy → Monitoring`
-(16:48). Само **не затихает**.
-
-**Установленные факты (по логам/БД прода + чтение кода ветки):**
-- **Сам оркестратор не инициирует переходы из своих штатных стадийных обработчиков для done-задачи.**
-  В момент флаппа лог орка показывает только **входящие** webhook-и Plane
-  (`issue … updated to state … (Awaiting Deploy) → no pipeline action`, затем `(Monitoring) →
-  no pipeline action`). Обработчик `webhooks/plane.py::handle_issue_updated` для статусов
-  Awaiting/Monitoring логирует «no pipeline action» и **сам статус не переотправляет** (echo-loop
-  обработчика исключён).
-- **Actor всех 273 переходов** = `daf4d3f4-55df-4016-9095-0cf9ddd8fd28` — бот-актор оркестратора
-  (тот же токен, под которым орк делает гигиену доски / sync). То есть PATCH-и шлёт **что-то под
-  токеном орка**, не привязанное к активной task/job в БД.
-- В БД орка **нет активного post-deploy-monitor** для task 47 (pdm активен только у текущей
-  063/task 74). `orchestrator-staging` (8501) — не источник (task 061 в его БД отсутствует).
-- В коде ветки **единственные три писателя** deploy-статусов — `src/stage_engine.py`:
-  `set_issue_monitoring` (строка 404, на переходе `deploy → done` для self-hosting),
-  `set_issue_awaiting_deploy` (строка 1218, Phase A), `set_issue_deploying` (строка 1316, Phase B).
-  Все три — **внутри стадийных обработчиков** (`advance_stage` / `_handle_self_deploy_phase_*`),
-  ни один не сидит в фоновом цикле, независимом от таблицы `jobs`.
-- `notifications.py::_live_plane_branch_override` **только читает** живой Plane-статус (для рендера
-  карточки) — писателем не является.
-- Реконсилятор: F-1 пропускает задачи со `stage in ('done','cancelled')` (terminal-skip ORCH-086);
-  F-2 опрашивает issue **только** в статусах `[to_analyse, approved, rejected]` — статусы
-  `Monitoring`/`Awaiting` он не перебирает. **Механизма «привести done-задачу, застрявшую на
-  deploy-статусе, обратно к Done» (идемпотентного схождения) — нет.**
-
-**Боль:** карточка вводит наблюдателя в заблуждение («задача деплоится», хотя она в проде и done),
-шумит активностью (273 события на одной задаче), **вечно жжёт API-вызовы Plane** флаппом и
-маскирует реальное состояние доски. Конвейер технически не нарушен (задача в проде), поэтому
-приоритет **MEDIUM**, но дефект бессрочный и самовоспроизводящийся.
-
-**Родственные задачи:** ORCH-091 (врущие/застывшие статусы карточки), ORCH-068/086 (терминал-скип
-как защита инвариантов). ORCH-094 распространяет идею терминал-скипа на deploy-статусы и закрывает
-источник флаппа.
-
-## 2. Объём (scope)
-
-### В объёме
-- **G1 — устранить источник** PATCH-ей deploy-статуса на задачу, у которой в БД `stage=done` и нет
-  активного job'а. Терминальная (done) задача в Plane должна стабильно держать `Done` и не получать
-  `Awaiting`/`Monitoring`.
-- **G2 — идемпотентность sync/setter'ов:** если БД=`done`, любой sync/монитор/реконсилятор/прямой
-  вызов приводит Plane к `Done` (не к промежуточному deploy-статусу) — терминал-скип/схождение,
-  распространённые на статусы `Monitoring`/`Awaiting` (как ORCH-068/086 для других статусов).
-- **G3 — детерминированный конец post-deploy-monitor:** монитор завершается чётко (HEALTHY / N тиков
-  → Done) и не оставляет «зомби»-таймеров, переживающих завершение задачи/рестарт; тики монитора
-  привязаны к активному job'у в БД (нет job → нет тиков, нет статус-PATCH).
-- **G4 — наблюдаемость:** лог однозначно показывает, **кто и почему** ставит deploy-статус
-  (caller/функция + причина), для будущей диагностики таких флаппов.
-- Инструментальная локализация фактического актора флаппа на проде (воспроизведение на 061) и его
-  документирование (что это было) — в рамках выполнения задачи (developer/architect).
-
-### Вне объёма
-- Изменение конвейера стадий (`STAGE_TRANSITIONS`), состава `QG_CHECKS`, семантики machine-verdict
-  ключей (`deploy_status:`/`staging_status:`/…) — **не трогать**.
-- Изменение рабочего deploy-цикла для **реально деплоящейся** задачи (Phase A→B→C, post-deploy
-  HEALTHY-окно) — поведение должно сохраниться 1:1 (регресс, AC-4).
-- Поведение для не-self-hosting репозиториев (enduro-trails) — нулевая регрессия.
-- Архитектурное решение «где именно поставить гард» (на уровне setter'а в `plane_sync` vs на уровне
-  вызывающего в `stage_engine` vs реконсилятор) — определяет **архитектор** в `06-adr/`.
-
-## 3. Заинтересованные стороны
-
-- **Заказчик/репортёр:** Слава (владелец) — обнаружил на ORCH-061 09.06.
-- **Затрагивает:** всех наблюдателей доски Plane проекта ORCH (ложная индикация); лимиты Plane API
-  (вечный флапп жжёт вызовы под общим бот-токеном).
-- **Принимает результат:** Owner / CI на финальной стадии конвейера.
-- **Особый риск:** self-hosting — правка идёт в инструмент, обслуживающий прод всех проектов из
-  общего инстанса; рабочий deploy-цикл нельзя сломать.
-
-## 4. Бизнес-требования (BR)
-
-- **BR-1** — Терминальная задача (БД `stage=done`, 0 активных job'ов), выставленная в Plane=`Done`,
-  **остаётся `Done`** и не получает авто-переходов в `Awaiting Deploy`/`Monitoring after Deploy`.
-- **BR-2** — Любой источник синхронизации (реконсилятор, монитор, прямой вызов setter'а deploy-статуса)
-  для задачи с БД=`done` приводит Plane к **`Done` идемпотентно**, а не к промежуточному deploy-статусу;
-  повторные срабатывания не качают маятник.
-- **BR-3** — Post-deploy-monitor имеет **детерминированный конец** (HEALTHY / исчерпание N тиков → Done,
-  или DEGRADED → Blocked+freeze) и после завершения **не производит ни одного** последующего
-  статус-PATCH для этой задачи; не оставляет таймера/состояния, переживающего завершение или рестарт.
-- **BR-4** — Тики post-deploy-monitor **привязаны к активному job'у** в таблице `jobs`: нет активного
-  job'а для задачи → нет тиков → нет статус-PATCH. «Зомби»-монитор (тики без соответствующего активного
-  job'а) исключён.
-- **BR-5** — Для **реально деплоящейся** задачи (063-подобной) deploy-окно
-  `Awaiting → Deploying → Monitoring → Done` работает в точности как раньше (нет регресса).
-- **BR-6** — Каждый вызов, выставляющий deploy-статус, оставляет в логе однозначную запись **кто
-  (функция/путь) и почему** ставит статус (наблюдаемость для будущей диагностики флаппов).
-- **BR-7** — Фактический источник флаппа на проде локализован и **задокументирован** (что это было)
-  в `06-adr/` и/или `CHANGELOG.md`.
-
-## 5. Нефункциональные требования (NFR)
-
-- **NFR-1 — never-raise:** вся новая логика (гарды/терминал-скип/идемпотентность) не бросает
-  исключений в горячих путях; сетевая ошибка Plane при сверке статуса → безопасная деградация
-  (не флаппить и не падать), а не блокировка конвейера всех проектов.
-- **NFR-2 — self-hosting безопасность:** не перезапускать/не ронять прод-контейнер; не трогать
-  `main`/force-push/прод-деплой; правка не меняет рабочий критический путь self-deploy.
-- **NFR-3 — обратимость:** поведение под kill-switch (или иным обратимым флагом) — при выключении
-  возврат к прежнему поведению; нулевая регрессия для не-self репозиториев.
-- **NFR-4 — restart-safe:** состояние монитора/гардов корректно после рестарта контейнера (нет
-  «воскрешения» тиков для уже завершённой задачи).
-- **NFR-5 — `pytest tests/ -q` зелёный**; `STAGE_TRANSITIONS` / `QG_CHECKS` / machine-verdict ключи /
-  схема БД (если без миграции) — без изменений или строго аддитивно.
-
-## 6. Допущения и ограничения
-
-- Допущение: статусы `Monitoring after Deploy` / `Awaiting Deploy` существуют в Plane-проекте ORCH
-  как реальные статусы (иначе alias-fallback маппит их на базовые UUID — это часть диагностики
-  терминал-детекта).
-- Допущение: бот-токен орка (`daf4d3f4-…`) — единственный актор переходов; внешняя Plane-automation
-  под другим токеном считается отдельной гипотезой и проверяется при локализации (H-внешнее).
-- Ограничение: установленные факты выше **не изобретать** — они верифицированы на проде; точный
-  актор флаппа требует инструментального воспроизведения (фикс — после локализации).
-- Ограничение: правка строго в зоне self-hosting deploy/post-deploy/sync; конвейер и гейты неизменны.
-
-## 7. Критерии успеха
-
-Терминальная задача стабильно держит `Done` ≥10 мин без авто-переходов (AC-1); любой sync для done
-идемпотентно сходится к `Done` (AC-2); post-deploy-monitor завершается детерминированно и не
-оставляет тиков/таймеров (AC-3); рабочий deploy-цикл 063-подобной задачи не регрессирует (AC-4);
-never-raise + зелёный pytest + источник флаппа задокументирован (AC-5). Детальные PASS/FAIL — в
-`03-acceptance-criteria.md`.
-
-## 8. Риски
-
-- Гард терминал-скипа поставлен слишком широко → подавит легитимный `Monitoring` у реально
-  деплоящейся задачи (регресс AC-4). Митигировать тонкой привязкой к БД `stage=done` + активность job.
-- Фактический актор флаппа окажется внешней Plane-automation (вне кода орка) → код-фикс не закроет
-  G1 полностью; нужно зафиксировать в ADR и, при необходимости, защититься идемпотентным схождением
-  к Done (BR-2) как буфером.
-- Детали — `10-tech-risks.md` (заполняет архитектор).

docs/work-items/ORCH-094/02-trz.md

@@ -1,129 +0,0 @@
----
-work_item: ORCH-094
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 02 — ТЗ (TRZ): ORCH-094 — устранение флаппа deploy-статусов у терминальной (done) задачи
-
-Work Item: **ORCH-094** · Repo: **orchestrator** · Стадия: analysis
-
-> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода ветки.
-> Архитектурное обоснование (ГДЕ ставить гард: setter `plane_sync` vs caller `stage_engine` vs
-> реконсилятор) — задача архитектора (`06-adr/`). Здесь — ЧТО должно выполняться и ГДЕ искать.
-
-## 1. Сводка изменения
-
-Задача с БД `stage=done` и 0 активных job'ов в Plane стабильно держит `Done`: нужно (а) закрыть
-источник, который шлёт ей PATCH-и deploy-статусов (`Awaiting Deploy`/`Monitoring after Deploy`),
-(б) сделать выставление любого **deploy-фазового** статуса **терминал-aware / идемпотентным** —
-для задачи, чья БД-стадия терминальна (`done`/`cancelled`), любой sync/монитор/прямой вызов
-сходится к `Done`, а не к промежуточному статусу, (в) гарантировать детерминированный конец
-post-deploy-monitor с привязкой тиков к активному job'у (нет job → нет тиков), (г) добавить
-наблюдаемость «кто/почему ставит deploy-статус».
-
-Изменение **аддитивное, под обратимым флагом, never-raise**, в зоне self-hosting deploy/post-deploy/sync.
-`STAGE_TRANSITIONS` / `QG_CHECKS` / machine-verdict ключи — **не трогаются**.
-
-## 2. Задействованные модули / пути
-
-| Путь | Действие | Зачем |
-|------|----------|-------|
-| `src/plane_sync.py` | изменить | Сеттеры `set_issue_awaiting_deploy` (~954), `set_issue_deploying` (~964), `set_issue_monitoring` (~974), `set_issue_done` (~913) — кандидат на единый терминал-aware гард (FR-2). Терминал-детект статуса (группа/UUID, ORCH-068) уже здесь. |
-| `src/stage_engine.py` | изменить | Три писателя deploy-статуса: `advance_stage` стр. 404 (`set_issue_monitoring` на `deploy→done`), `_handle_self_deploy_phase_a` стр. 1218, `_handle_self_deploy_phase_b` стр. 1316. `run_post_deploy_monitor` (~1698–1850) — детерминированный конец, привязка к job. `arm_monitor`-вызов (~431). Логирование caller/причины (FR-4). |
-| `src/post_deploy.py` | изменить (вероятно) | `arm_monitor` (~388–411), маркеры `armed`/`series`/`done`, `enqueue_job("post-deploy-monitor", …)` — гарантия отсутствия «зомби»-тиков и привязки к активному job (FR-3). |
-| `src/reconciler.py` | изменить (вероятно) | F-2 опрашивает только `[to_analyse, approved, rejected]` (стр. ~387). Нет схождения «done-задача на deploy-статусе → Done». Добавить идемпотентное схождение/терминал-детект для deploy-статусов (FR-1/FR-2) ИЛИ убедиться, что гард в setter'е делает это излишним. |
-| `src/config.py` | изменить | Kill-switch/флаг новой логики (FR-5). |
-| `src/webhooks/plane.py` | прочитать (диагностика) | `handle_issue_updated` (~129–180): подтверждено, что для `Awaiting`/`Monitoring` логирует «no pipeline action» и не переотправляет — echo-loop исключён; править не требуется (если локализация не покажет иное). |
-| `tests/test_*` | создать/изменить | Анти-регресс по FR-1…FR-5 (см. `04-test-plan.yaml`). |
-| `CHANGELOG.md`, `docs/architecture/README.md`, `CLAUDE.md` | изменить | Документация = golden source; зафиксировать фикс + локализованный источник флаппа (BR-7). |
-
-> **Трассировка маркеров (CLAUDE.md прав. 9):** перед правкой строк с маркерами `ORCH-066`/`ORCH-068`/
-> `ORCH-086`/`ORCH-036`/`ORCH-059`/`ORCH-071`/`ORCH-088` прочитать их `06-adr/` и не сломать инвариант
-> (особенно: deploy→done ставит `Monitoring`, монитор-close ставит `Done`; терминал-скип реконсилятора;
-> post-deploy DEGRADED → freeze ORCH-088).
-
-## 3. Функциональные требования
-
-### FR-1 — Источник флаппа локализован и устранён
-Инструментально воспроизвести флапп на ORCH-061 (или эквивалентной терминальной задаче), определить
-**фактического актора** (функция/путь под бот-токеном орка ИЛИ внешняя Plane-automation) и устранить
-его так, чтобы терминальная задача не получала deploy-статус-PATCH-ей.
-- Зацепки (BR diagnostics): единственные code-писатели — `stage_engine.py:404/1218/1316`; реконсилятор
-  F-1 done-skip есть, F-2 эти статусы не перебирает; live-overlay `notifications.py` — read-only.
-- Если актор — внешняя Plane-automation (вне кода орка), это **фиксируется в ADR** (BR-7) и закрывается
-  буфером FR-2 (идемпотентное схождение к Done гасит маятник на стороне орка).
-- Привязка: BR-1, BR-7.
-
-### FR-2 — Терминал-aware идемпотентность выставления deploy-статуса
-Любая попытка выставить **deploy-фазовый** статус (`Awaiting Deploy`/`Deploying`/`Monitoring after
-Deploy`) для задачи, чья БД-стадия **терминальна** (`stage IN ('done','cancelled')`), должна вместо
-этого привести Plane к `Done` (для `done`) либо к корректному терминалу (для `cancelled`) —
-идемпотентно. Повторные вызовы не качают маятник: уже-`Done` → no-op.
-- Гард — терминал-aware (по БД-стадии задачи, не по живому Plane-статусу), чтобы НЕ подавлять
-  легитимный `Monitoring` у реально деплоящейся (нетерминальной) задачи (BR-5/AC-4).
-- Реализация-кандидат (решает архитектор): единая точка в setter'ах `plane_sync` (требует доступа к
-  БД-стадии по `work_item_id`) ИЛИ в caller'ах `stage_engine`/`reconciler`. ТЗ требует **результат**:
-  done-задача сходится к Done из любого пути.
-- never-raise: невозможность определить стадию/сетевая ошибка → безопасная деградация (не флаппить).
-- Привязка: BR-1, BR-2.
-
-### FR-3 — Детерминированный конец post-deploy-monitor + привязка тиков к активному job
-- Монитор завершается детерминированно: HEALTHY+исчерпание `post_deploy_budget` тиков → `set_issue_done`
-  + маркер `done`; DEGRADED → штатный путь (Blocked/freeze ORCH-088); после завершения — **ни одного**
-  последующего статус-PATCH (маркер `done` — идемпотентный страж, ~стр. 1729).
-- Тик монитора **обязан** проверять, что задача не терминальна и для неё есть основание тикать (нет
-  активного основания/job → тик no-op, новый тик не ставится в очередь). «Зомби»-тик (тик без
-  соответствующего активного job'а/при БД=done) → немедленный no-op без статус-PATCH.
-- Гарантировать, что `arm_monitor` не может быть вызван/перезапущен для задачи, уже находящейся в `done`,
-  способом, который заново ставит `Monitoring` (повторный `deploy→done` re-drive).
-- restart-safe: после рестарта контейнера нет воскрешения тиков для завершённого окна.
-- Привязка: BR-3, BR-4, NFR-4.
-
-### FR-4 — Наблюдаемость выставления deploy-статуса
-Каждый вызов, выставляющий deploy-фазовый статус, логирует структурно: **work_item, caller
-(функция/путь), целевой статус, причина/триггер, БД-стадия задачи на момент вызова**. Достаточно,
-чтобы по логу однозначно определить «кто и почему» при будущем флаппе. Терминал-aware-подавление
-(FR-2) тоже логируется (что подавили и почему).
-- Привязка: BR-6, G4.
-
-### FR-5 — Обратимость и совместимость
-- Новая логика — под kill-switch/флагом в `config.py` (env-override); `False` → прежнее поведение
-  1:1 (нулевая регрессия).
-- Условность self-hosting, как ORCH-035/036/043/088: для не-self репозиториев — no-op / прежнее
-  поведение.
-- Привязка: NFR-3, BR-5.
-
-## 4. Изменения API
-
-Нет новых внешних эндпоинтов конвейера. Допустимо (на усмотрение архитектора) аддитивное read-only
-поле наблюдаемости в `GET /queue` (напр. блок `post_deploy`/`deploy_status_guard` со счётчиками
-подавлений), по образцу существующих блоков `serial_gate`/`reconcile`/`reaper`. Не обязательно.
-
-## 5. Изменения схемы БД
-
-Ожидается **без миграции схемы**: терминал-aware гард читает существующую `tasks.stage`; привязка
-тиков к job — существующая таблица `jobs`; состояние монитора — существующие sentinel-файлы
-(`post_deploy.py`). Если архитектор сочтёт необходимым durable-счётчик/маркер — строго аддитивно
-(`_ensure_column`, по образцу ORCH-088/090), без изменения существующих колонок.
-
-## 6. Требования к новым/изменённым QG checks
-
-**Нет.** `QG_CHECKS` и `check_*` (включая `check_deploy_status`/`check_staging_status`) — **не
-трогаются**; machine-verdict ключи (`deploy_status:`/`staging_status:`/…) — байт-в-байт. ORCH-094 —
-фикс индикации/идемпотентности sync, не гейт.
-
-## 7. Совместимость / регресс
-
-- **Kill-switch** (FR-5): выключение → прежнее поведение 1:1.
-- **Регресс деплоя (AC-4):** рабочий цикл 063-подобной задачи `Awaiting→Deploying→Monitoring→Done`
-  сохраняется — гард срабатывает строго на терминальной БД-стадии, нетерминальная задача проходит
-  как раньше.
-- **Не-self репозитории:** условность self-hosting → нулевая регрессия (enduro-trails).
-- **`STAGE_TRANSITIONS`/`QG_CHECKS`/machine-verdict/схема БД** — без изменений (или строго аддитивно).
-- **never-raise / self-hosting безопасность:** не трогать `main`/force-push/прод-контейнер/детач-деплой.
-- **Артефакты pipeline:** обновляются `CHANGELOG.md`, обзорные доки (`README.md`/`docs/architecture/
-  README.md`), `CLAUDE.md`; `06-adr/ADR-NNN-…` с локализованным источником флаппа (BR-7).

docs/work-items/ORCH-094/03-acceptance-criteria.md

@@ -1,94 +0,0 @@
----
-work_item: ORCH-094
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 03 — Критерии приёмки (Acceptance Criteria): ORCH-094 — флапп deploy-статусов у терминальной (done) задачи
-
-Work Item: **ORCH-094** · Repo: **orchestrator** · Стадия: analysis
-
-Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL** (что
-считается провалом). Reviewer/CI проверяет их буквально по файлам репозитория и/или прод-проверкой.
-
----
-
-## AC-1 — Терминальная задача стабильно держит Done
-
-**Условие:** задача с БД `stage=done` и 0 активных job'ов, выставленная в Plane=`Done`, наблюдается
-≥10 минут (воспроизводящий тест на 061-подобной фикстуре и/или прод-проверка на ORCH-061).
-- **PASS:** за окно наблюдения **ни одного** авто-перехода в `Awaiting Deploy`/`Monitoring after
-  Deploy`; статус остаётся `Done`. В тесте: после выставления `Done` ни один кодовый путь орка не
-  порождает PATCH deploy-статуса для этой задачи.
-- **FAIL:** зафиксирован хотя бы один авто-переход done-задачи в `Awaiting`/`Monitoring`, либо флапп
-  продолжается.
-
----
-
-## AC-2 — Идемпотентное схождение к Done для done-задачи
-
-**Условие:** для задачи с БД `stage IN ('done','cancelled')` инициируется любой источник sync
-(реконсилятор-тик, монитор-тик, прямой вызов setter'а deploy-статуса).
-- **PASS:** результат — `Done` (для `done`) / корректный терминал (для `cancelled`); промежуточный
-  deploy-статус (`Awaiting`/`Deploying`/`Monitoring`) **не** выставляется; повторный вызов на
-  уже-`Done` — no-op (без PATCH-маятника). Подавление логируется (что/почему).
-- **FAIL:** sync для done-задачи выставляет промежуточный deploy-статус, либо повторные вызовы
-  качают `Done ⟷ deploy-статус`.
-
----
-
-## AC-3 — Детерминированный конец post-deploy-monitor, без «зомби»-тиков
-
-**Условие:** post-deploy-monitor отрабатывает свой жизненный цикл (HEALTHY до исчерпания
-`post_deploy_budget` тиков, либо DEGRADED).
-- **PASS:** по достижении HEALTHY/N-тиков → `set_issue_done` + маркер `done`; **после завершения —
-  0 последующих статус-PATCH** для этой задачи (тест: монитор отработал → последующих
-  `set_issue_*`-вызовов нет). Тик при БД=`done`/отсутствии активного основания → немедленный no-op
-  без PATCH. После рестарта контейнера тики завершённого окна не воскресают.
-- **FAIL:** после завершения монитора фиксируется хотя бы один статус-PATCH; либо «зомби»-тик
-  выполняется без активного job'а/при БД=done и шлёт статус; либо `arm_monitor` повторно ставит
-  `Monitoring` уже-done-задаче.
-
----
-
-## AC-4 — Регресс: рабочий deploy-цикл реально деплоящейся задачи
-
-**Условие:** реально деплоящаяся 063-подобная задача проходит self-deploy.
-- **PASS:** последовательность статусов `Awaiting Deploy → Deploying → Monitoring after Deploy →
-  Done` работает в точности как до ORCH-094; Phase A/B/C, merge-gate, post-deploy HEALTHY-окно,
-  freeze-на-DEGRADED (ORCH-088) — не затронуты; терминал-aware гард (FR-2) **не** подавляет
-  легитимный `Monitoring` у нетерминальной задачи.
-- **FAIL:** любой шаг рабочего deploy-цикла нетерминальной задачи изменён/подавлён/сломан.
-
----
-
-## AC-5 — Наблюдаемость, безопасность, документация, зелёный pytest
-
-**Условие:** реализация завершена.
-- **PASS:**
-  - Лог однозначно показывает **кто (функция/путь) и почему** ставит deploy-статус, и что/почему
-    подавлено терминал-aware гардом (FR-4).
-  - never-raise: новая логика не бросает исключений в горячих путях; сетевая ошибка Plane → безопасная
-    деградация. Не трогаются `main`/force-push/прод-контейнер/детач-деплой.
-  - `STAGE_TRANSITIONS` / `QG_CHECKS` / machine-verdict ключи — без изменений; новая логика под
-    kill-switch (`False` → прежнее поведение 1:1); не-self репозитории не затронуты.
-  - `pytest tests/ -q` зелёный; добавлены тесты по `04-test-plan.yaml`.
-  - **Источник флаппа задокументирован** (что это было) в `06-adr/ADR-NNN-…` + `CHANGELOG.md`;
-    обновлены `CLAUDE.md` / `docs/architecture/README.md` (golden source).
-- **FAIL:** нет логирования caller/причины; new-логика бросает/без флага; тронуты гейты/verdict-ключи;
-  красный pytest; источник флаппа не задокументирован; затронут не-self репозиторий.
-
----
-
-## Сводная матрица AC ↔ FR/BR
-
-| AC | Покрывает |
-|----|-----------|
-| AC-1 | BR-1 / FR-1 |
-| AC-2 | BR-2 / FR-2 |
-| AC-3 | BR-3, BR-4 / FR-3 |
-| AC-4 | BR-5 / FR-2, FR-5 |
-| AC-5 | BR-6, BR-7 / FR-4, FR-5, NFR-1…NFR-5 |

docs/work-items/ORCH-094/04-test-plan.yaml

@@ -1,97 +0,0 @@
-work_item: ORCH-094
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-title: "Тест-план: терминальная (done) задача не флаппит deploy-статусы, держит Done"
-framework: pytest
-scope: >
-  Покрывается: терминал-aware идемпотентность выставления deploy-статусов
-  (Awaiting/Deploying/Monitoring) для задач с БД stage=done/cancelled; детерминированный
-  конец post-deploy-monitor и отсутствие "зомби"-тиков/статус-PATCH после завершения;
-  привязка тиков монитора к активному job; наблюдаемость caller/причины; обратимость
-  (kill-switch) и регресс рабочего deploy-цикла реально деплоящейся задачи.
-  Вне покрытия: изменение STAGE_TRANSITIONS/QG_CHECKS/machine-verdict ключей (не трогаются);
-  поведение не-self репозиториев (проверяется как нулевая регрессия). Точный актор флаппа на
-  проде локализуется инструментально (developer) и фиксируется в ADR — на это отдельный
-  smoke/прод-чек, не unit.
-notes: >
-  Полный регресс tests/ должен оставаться зелёным (pytest tests/ -q). Setter'ы Plane и сетевые
-  вызовы — мокать (никаких реальных PATCH в Plane из тестов). Регресс = любой авто-переход
-  done-задачи в deploy-статус, либо статус-PATCH после завершения монитора, либо подавление
-  легитимного Monitoring у нетерминальной задачи. Тесты опираются на фикстуры задач со стадиями
-  done/deploy и на счётчики вызовов set_issue_* (через мок).
-
-tests:
-  - id: TC-01
-    type: unit
-    description: "deploy-статус для задачи с БД stage=done сходится к Done: попытка set_issue_monitoring/awaiting/deploying при terminal-стадии выставляет Done (или no-op, если уже Done), а не промежуточный статус."
-    module: tests/test_deploy_status_terminal_guard.py
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "Идемпотентность: повторный вызов терминал-aware setter'а на уже-Done задаче — no-op (0 дополнительных PATCH), маятник Done<->deploy-статус не возникает."
-    module: tests/test_deploy_status_terminal_guard.py
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "Нетерминальная задача (stage=deploy) не подавляется: set_issue_monitoring/awaiting/deploying проходит штатно (регресс AC-4)."
-    module: tests/test_deploy_status_terminal_guard.py
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "Kill-switch выключен -> прежнее поведение 1:1 (терминал-aware гард не вмешивается); включён -> done-задача сходится к Done."
-    module: tests/test_deploy_status_terminal_guard.py
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "never-raise: при невозможности определить БД-стадию / сетевой ошибке Plane сеттер деградирует безопасно (не флаппит, не бросает исключение)."
-    module: tests/test_deploy_status_terminal_guard.py
-    expected: PASS
-
-  - id: TC-06
-    type: unit
-    description: "post-deploy-monitor: после завершения окна (HEALTHY, ticks==budget -> set_issue_done + маркер done) последующих статус-PATCH для задачи нет (0 set_issue_* вызовов)."
-    module: tests/test_post_deploy_monitor_termination.py
-    expected: PASS
-
-  - id: TC-07
-    type: unit
-    description: "post-deploy-monitor тик при БД stage=done / отсутствии активного основания -> немедленный no-op без статус-PATCH и без постановки следующего тика ('зомби'-тик исключён)."
-    module: tests/test_post_deploy_monitor_termination.py
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "arm_monitor не пере-арминг для задачи, уже находящейся в done: повторный deploy->done re-drive не выставляет Monitoring заново (маркер armed/done -> no-op)."
-    module: tests/test_post_deploy_monitor_termination.py
-    expected: PASS
-
-  - id: TC-09
-    type: unit
-    description: "Наблюдаемость: каждый вызов выставления deploy-статуса логирует work_item, caller/путь, целевой статус, причину и БД-стадию; подавление терминал-aware гардом тоже логируется."
-    module: tests/test_deploy_status_observability.py
-    expected: PASS
-
-  - id: TC-10
-    type: integration
-    description: "Реконсилятор/sync для задачи с БД=done и Plane=Monitoring приводит к Done идемпотентно (а не к промежуточному deploy-статусу) и не качает маятник на повторных тиках."
-    module: tests/test_reconciler_done_deploy_convergence.py
-    expected: PASS
-
-  - id: TC-11
-    type: integration
-    description: "Регресс рабочего deploy-цикла: реально деплоящаяся (нетерминальная) 063-подобная задача проходит Awaiting -> Deploying -> Monitoring -> Done без подавления (Phase A/B/C, post-deploy HEALTHY-окно как раньше)."
-    module: tests/test_self_deploy_cycle_regression.py
-    expected: PASS
-
-  - id: TC-12
-    type: integration
-    description: "Не-self репозиторий (enduro-подобный): нулевая регрессия — терминал-aware гард deploy-статусов инертен (условность self-hosting)."
-    module: tests/test_deploy_status_terminal_guard.py
-    expected: PASS

docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md

@@ -1,232 +0,0 @@
----
-work_item: ORCH-094
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# ADR-001: Terminal-window-aware гард выставления deploy-фазовых статусов Plane
-
-Work Item: **ORCH-094** — терминальная (done) задача флаппит deploy-статусы в Plane
-(`Awaiting Deploy ⟷ Monitoring after Deploy`), не держит `Done`.
-Стадия: **architecture**
-Сквозная регистрация: **`docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`**
-(кросс-каттинг: правит общие сеттеры `plane_sync` + переупорядочивает маркированный блок
-`next_stage == "done"` ORCH-021/066).
-
-## Статус
-Proposed
-
-## Контекст
-
-Сверено по коду ветки `feature/ORCH-094-…`:
-
-- **Три code-писателя deploy-фазовых статусов** — все в `src/stage_engine.py`, все вызывают
-  тонкие сеттеры `src/plane_sync.py`, которые делегируют в общий `_set_issue_state_direct`
-  (PATCH issue.state; never-raise; **БД-стадию не читает**):
-  - `set_issue_awaiting_deploy` (Phase A, `stage_engine.py:1218`),
-  - `set_issue_deploying` (Phase B, `stage_engine.py:1316`),
-  - `set_issue_monitoring` (terminal-sync `deploy → done` для self-hosting, `stage_engine.py:404`).
-  - `set_issue_done` (`plane_sync.py:913`) — **терминальная цель**, отдельно.
-- **Критический факт ordering'а:** в `advance_stage` строка **369** `update_task_stage(task_id, "done")`
-  пишет `tasks.stage='done'` **РАНЬШЕ**, чем строка **404** `set_issue_monitoring(...)`. То есть в
-  момент **легитимного** первого выставления `Monitoring after Deploy` задача в БД **уже `done`**.
-  Пост-деплой-окно ORCH-021 — это by-design индикация поверх уже-терминальной (`done`) задачи
-  («ответственность ЗА `done`»). ⇒ **наивный гард «stage==done → редирект на Done» подавил бы
-  легитимный `Monitoring` → регресс AC-4.**
-- **Арм пост-деплой-монитора** (`stage_engine.py:431` → `post_deploy.arm_monitor`) выполняется
-  **ПОСЛЕ** строки 404. Sentinel `ARMED` пишется в `arm_monitor`; окно закрывается sentinel'ом
-  `DONE` (`post_deploy.mark_done`); идемпотентный страж `has_marker(...DONE)` в
-  `run_post_deploy_monitor` (~1729).
-- **Симптом (верифицирован живьём на ORCH-061, task 47, done с 07.06):** Plane не держит `Done` —
-  непрерывный флапп `Awaiting ⟷ Monitoring` парами каждые ~сек, 273 активности, само не затихает.
-  В БД **нет активного post-deploy-monitor** для task 47 (окно 15 мин давно закрыто); реконсилятор
-  F-1 пропускает `done`/`cancelled`, F-2 опрашивает только `[to_analyse, approved, rejected]` —
-  механизма «привести застрявшую на deploy-статусе done-задачу обратно к Done» нет. Актор всех 273
-  переходов — бот-токен орка (`daf4d3f4-…`), т.е. PATCH-и шлёт **что-то под токеном орка**, не
-  привязанное к активной task/job. Точный актор подлежит инструментальной локализации (FR-1,
-  developer); фикс должен быть **буфером, гасящим маятник на стороне орка независимо от актора**.
-
-**Почему «как есть» не годится:** сеттеры deploy-статусов терминал-слепы — любой повторный вызов
-(стейл-job, двойной webhook, неизвестный внутренний путь под бот-токеном) перезаписывает `Done`
-обратно на промежуточный deploy-статус, и наоборот, бесконечно. Нет ни идемпотентного схождения к
-`Done` для терминальной задачи, ни наблюдаемости «кто/почему» ставит статус.
-
-## Решение
-
-### Сводка
-
-Вводим **единый terminal-window-aware гард на самом низком чокпоинте** — на входе трёх
-deploy-фазовых сеттеров `plane_sync`. Решение принимает **новый leaf-модуль
-`src/deploy_status_guard.py`** (чистая, never-raise, config-gated логика; по образцу
-`serial_gate.py`/`labels.py`/`cancel.py`), сеттеры лишь исполняют вердикт. Ключевой инвариант:
-**deploy-фазовый статус легитимен ⇔ задача нетерминальна ИЛИ (`done` И активно пост-деплой-окно)**;
-иначе — идемпотентное схождение к `Done`. Чтобы легитимный первый `Monitoring` на строке 404
-проходил, **арм-блок переносится перед terminal-sync-блоком** (предикат «окно активно» становится
-истинным до выставления `Monitoring`). Всё под kill-switch, аддитивно, в зоне self-hosting; реестры
-конвейера не тронуты.
-
-### D1 — Где гард: единый чокпоинт в deploy-фазовых сеттерах `plane_sync`
-
-Гард ставится на входе **`set_issue_awaiting_deploy` / `set_issue_deploying` / `set_issue_monitoring`**
-(а НЕ в caller'ах `stage_engine`). Это перехватывает **любой** путь к этим статусам — известные
-(stage_engine), будущие и **неизвестный актор под бот-токеном** (если он проходит через код орка) —
-одной точкой. `set_issue_done` **не гардится** (это цель схождения). Привязка: **FR-2, BR-1, BR-2**.
-
-> Альтернатива «гард в caller'ах stage_engine» отвергнута: не ловит неизвестный/стейл путь, который
-> и есть подозреваемый источник 061-флаппа; размазывает инвариант по трём местам. См. «Альтернативы».
-
-### D2 — Предикат легитимности: терминал **И окно**, не только стадия
-
-Вердикт `deploy_status_guard.decide(work_item_id, target_status) -> ALLOW | CONVERGE_DONE | SUPPRESS`:
-
-1. `not settings.deploy_status_guard_enabled` → **ALLOW** (kill-switch off ⇒ поведение 1:1).
-2. `task = <lookup по work_item_id>`; `task is None` → **ALLOW** (чужой/не наш issue — не вмешиваемся).
-3. `not deploy_status_guard.applies(task.repo)` → **ALLOW** (не-self репо ⇒ нулевая регрессия; для них
-   `Monitoring`/`Awaiting`/`Deploying` и так не выставляются — terminal-sync идёт сразу в `Done`).
-4. `stage = task.stage`; `stage NOT IN ('done','cancelled')` → **ALLOW** (нетерминальная задача —
-   легитимный рабочий deploy-цикл; **AC-4**).
-5. `stage == 'cancelled'` → **SUPPRESS** (не штампуем deploy-статус поверх терминала `cancelled`;
-   cancel-flow ORCH-090 уже привёл Plane к своему терминалу — гард лишь не затирает его).
-6. `stage == 'done'`:
-   - `target == 'monitoring'` **И** `post_deploy.window_active(repo, work_item_id)` → **ALLOW**
-     (легитимное пост-деплой-окно — `Monitoring` корректен; **AC-4**);
-   - иначе → **CONVERGE_DONE** (для `done` `Awaiting`/`Deploying` всегда спуриозны — Phase A/B
-     случаются строго **до** `deploy → done`; и `Monitoring` при закрытом/неарм'ленном окне —
-     спуриозен, как 061).
-7. **Любое исключение / невозможность определить стадию** → **ALLOW** + `logger.warning`
-   (never-raise, fail-safe к прежнему поведению; **NFR-1**). БД-чтение локальное (SQLite) и надёжное —
-   в штатном случае стадия читается, маятник не возникает.
-
-Сеттер исполняет вердикт: `ALLOW` → штатный PATCH; `CONVERGE_DONE` → `set_issue_done(work_item_id)`
-(идемпотентно — уже-`Done` ⇒ no-op PATCH-эквивалент); `SUPPRESS` → ничего не патчим. Привязка:
-**FR-2, BR-1, BR-2, AC-1, AC-2, AC-4**.
-
-**Новый helper** `post_deploy.window_active(repo, wi) -> bool` = `has_marker(ARMED) and not
-has_marker(DONE)` (never-raise; restart-safe — sentinel'ы на диске переживают рестарт; **NFR-4**).
-
-### D3 — Перенос арм-блока перед terminal-sync (чтобы D2 пропускал легитимный первый `Monitoring`)
-
-В `advance_stage`, внутри ветки `next_stage == "done"`, **арм-блок** (`post_deploy.arm_monitor`,
-сейчас стр. 431) перемещается **выше** terminal-sync-блока (`set_issue_monitoring`, стр. 404). После
-переноса в момент строки 404: `ARMED` уже записан, `DONE` отсутствует ⇒ `window_active==True` ⇒
-вердикт **ALLOW** ⇒ легитимный `Monitoring` проходит как раньше. Re-drive `deploy → done` **после**
-закрытия окна (`DONE` присутствует) ⇒ `window_active==False` ⇒ **CONVERGE_DONE** (не воскрешает
-`Monitoring`).
-
-Перенос безопасен: `arm_monitor` лишь пишет sentinel + ставит отложенный job — не зависит ни от
-Plane-статуса, ни от merge-lease (release остаётся после terminal-sync). Инварианты ORCH-021
-(идемпотентный арм по `ARMED`) и ORCH-066 (`deploy → done` для self ⇒ `Monitoring`, не `Done`)
-сохранены. Привязка: **AC-4, BR-5**; маркеры `ORCH-021`/`ORCH-066` (прочитаны: `06-adr/ADR-001`,
-`adr-0010`).
-
-> Альтернатива «bypass-флаг `force=True` на доверенном вызове 404 вместо переноса» отвергнута: плодит
-> два определения «легитимности» и доверенный обход; перенос оставляет **один** предикат «окно активно».
-
-### D4 — Харднинг пост-деплой-монитора: нет «зомби»-тиков/PATCH после закрытия окна
-
-`run_post_deploy_monitor` (`stage_engine.py` ~1698): сохранить существующий идемпотентный страж
-`has_marker(...DONE)` (~1729; первым — ранний `return` без PATCH/реэнкью). Аддитивно: тик
-**no-op без PATCH и без перепостановки**, если задача стала терминальной аномально (`stage ==
-'cancelled'` мид-окно → закрыть окно `mark_done`, без статус-PATCH). Перепостановка тика остаётся
-строго при `HEALTHY and ticks < budget` — тики **привязаны к активному job'у** (тик и есть job; нет
-job → нет тика). После закрытия окна (`DONE`) или исчерпания бюджета — **0 последующих** статус-PATCH;
-любой стейл-вызов `set_issue_monitoring` теперь добивается гардом D2 (`window_active==False` →
-CONVERGE_DONE). `arm_monitor` уже идемпотентен по `ARMED` (повторный арм done-задачи → no-op). Привязка:
-**FR-3, BR-3, BR-4, AC-3, NFR-4**.
-
-### D5 — Наблюдаемость «кто/почему» (FR-4)
-
-Каждый вердикт гарда логируется структурно одной записью: `work_item`, `caller` (короткая причина —
-аддитивный BC-kwarg `reason: str | None = None` у трёх сеттеров; call-site передаёт напр.
-`"advance:deploy->done"`/`"phase_a"`/`"phase_b"`/`"monitor-tick"`), `target_status`, `db_stage`,
-`window_active`, итоговый вердикт (`ALLOW`/`CONVERGE_DONE`/`SUPPRESS`). Подавление/схождение
-(`CONVERGE_DONE`/`SUPPRESS`) логируется **явно** («что подавили и почему»). Достаточно, чтобы по
-логу однозначно атрибутировать будущий флапп. Привязка: **FR-4, BR-6, AC-5**.
-
-### D6 — Обратимость, скоуп, флаги (FR-5)
-
-`src/config.py` (по образцу ORCH-088/090):
-- `deploy_status_guard_enabled: bool = True` — env `ORCH_DEPLOY_STATUS_GUARD_ENABLED` (kill-switch;
-  `False` → сеттеры терминал-слепы, поведение **1:1** прежнее).
-- `deploy_status_guard_repos: str = ""` — env `ORCH_DEPLOY_STATUS_GUARD_REPOS` (CSV; **пусто →
-  self-hosting only**). `applies(repo)` (локальный, без сети) — единственная точка скоупа.
-
-Дефолт `enabled=True` + `repos=""` ⇒ активен только для self-hosting (`orchestrator`), где deploy-фазовые
-статусы вообще выставляются; не-self репо (enduro-trails) гард не трогает (D2 шаг 3). Привязка: **NFR-3,
-BR-5, FR-5, AC-4, AC-5**.
-
-### D7 — Что НЕ трогаем (инварианты)
-
-`STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи
-(`deploy_status:`/`staging_status:`/`security_status:`) — **байт-в-байт**. Схема БД — **без миграции**
-(гард читает существующую `tasks.stage`; окно — существующие sentinel'ы `post_deploy.py`; привязка к
-job — существующая таблица `jobs`). `main`/force-push/прод-контейнер/detached-деплой — **не трогаются**.
-Рабочий критический путь self-deploy (Phase A→B→C, merge-gate, freeze-на-DEGRADED ORCH-088) —
-сохранён 1:1. Реконсилятор F-1/F-2 — **без изменений** (гард на сеттере субсумирует «sync → Done»:
-любой путь, дёрнувший deploy-сеттер для done-задачи, сходится к `Done`). Привязка: **NFR-2, NFR-5, AC-5**.
-
-### D8 — Лукап задачи по `work_item_id` (реализационная заметка для developer)
-
-Сеттеры принимают `work_item_id` (напр. `"ORCH-061"`). В `src/db.py` существующий
-`get_task_by_plane_id` матчит `plane_id`/`plane_issue_id` (UUID-ы), **не** человекочитаемый
-`work_item_id`. Developer добавляет минимальный **read-only** аксессор
-`get_task_by_work_item_id(work_item_id)` (`SELECT * FROM tasks WHERE work_item_id = ?`; живой ряд
-матчит точно — тумбстоны ORCH-090 имеют суффикс `#cancelled-<id>`), **без изменения схемы**. Один
-локальный SELECT отдаёт и `repo`, и `stage` для D2.
-
-## Альтернативы
-
-- **Гард в caller'ах `stage_engine` (а не в сеттерах)** — отвергнуто: не ловит неизвестный/стейл
-  актор под бот-токеном (вероятный источник 061-флаппа), размазывает инвариант по трём врезкам,
-  слабее как буфер BR-2 «сходимость из любого пути».
-- **Наивный гард «stage==done → редирект на Done» (без предиката окна)** — отвергнуто: подавляет
-  легитимный пост-деплой `Monitoring` (он by-design поверх уже-`done` задачи, стр. 369 < 404) ⇒
-  прямой регресс **AC-4**.
-- **Bypass-флаг `force=True` на доверенном вызове 404** (вместо переноса арм-блока) — отвергнуто:
-  два определения легитимности + доверенный обход; перенос даёт один предикат «окно активно».
-- **Активная сходимость в реконсиляторе (F-2 опрашивает Awaiting/Monitoring → set_issue_done)** —
-  отвергнуто как **основной** механизм (лишний Plane-polling, правка маркированного F-2). Гард на
-  сеттере уже гасит непрерывный флапп (каждый вызов актора сходится к `Done` за один цикл). Возможен
-  как **необязательный** follow-up для разовой зачистки quiescent-застрявшего статуса (вне scope —
-  такой кейс чинится разовым ручным sync; наблюдаемый дефект — непрерывный флапп, который буфер
-  покрывает).
-- **Колонка-маркер в `tasks` для состояния окна** — отвергнуто: миграция на проде; sentinel'ы
-  `post_deploy.py` уже restart-safe (как ORCH-021/036).
-
-## Последствия
-
-- **+** Терминальная (`done`) задача стабильно держит `Done`: любой deploy-сеттер для неё сходится к
-  `Done` идемпотентно, маятник гаснет за один цикл независимо от актора (буфер BR-1/BR-2, AC-1/AC-2).
-- **+** Легитимный пост-деплой `Monitoring` сохранён точно (предикат «окно активно» + перенос
-  арм-блока); рабочий deploy-цикл 1:1 (AC-4).
-- **+** Наблюдаемость: лог однозначно атрибутирует «кто/почему» при будущем флаппе (AC-5).
-- **+** Единый низкий чокпоинт ловит и неизвестный внутренний путь под бот-токеном.
-- **−** Один локальный SELECT (`tasks`) на каждый deploy-фазовый PATCH-вызов self-репо. Митигейшн:
-  читается тот же ряд, что даёт `repo` для `applies`; SQLite-чтение пренебрежимо против сетевого PATCH;
-  для не-self/выключенного флага — ранний ALLOW без лукапа окна.
-- **−** Если фактический актор флаппа — **внешняя** Plane-automation под другим токеном (вне кода
-  орка), code-фикс не закроет G1 полностью. Митигейшн: гард — буфер на стороне орка; локализация
-  актора (FR-1) и итог документируются (BR-7) — этот ADR фиксирует гипотезу «под бот-токеном орка».
-- **−** Перенос арм-блока меняет порядок внутри маркированного блока ORCH-021/066. Митигейшн:
-  инварианты обоих ADR проверены сохранёнными (D3); анти-регресс — TC-11 (рабочий цикл) + структурные
-  тесты.
-- **Откат:** `ORCH_DEPLOY_STATUS_GUARD_ENABLED=false` → сеттеры терминал-слепы, поведение 1:1
-  прежнее (D2 шаг 1). Полный откат — revert ветки (перенос арм-блока + leaf + config + сеттер-врезки).
-
-## Ссылки
-
-- BRD: `docs/work-items/ORCH-094/01-brd.md`
-- TRZ: `docs/work-items/ORCH-094/02-trz.md`
-- Acceptance: `docs/work-items/ORCH-094/03-acceptance-criteria.md`
-- Tech-risks: `docs/work-items/ORCH-094/10-tech-risks.md`
-- Сквозной ADR: `docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`
-- Сверено по коду: `src/stage_engine.py` (369/404/431/1218/1316/~1698-1729),
-  `src/plane_sync.py` (913/954/964/974, `_set_issue_state_direct`), `src/post_deploy.py`
-  (`arm_monitor`/`has_marker`/`ARMED`/`DONE`/`state_dir`), `src/reconciler.py` (F-1/F-2),
-  `src/config.py` (флаги ORCH-088/021/036), `src/db.py` (`get_task_by_plane_id`).
-- Маркеры (прочитаны, не сломаны): ORCH-021 (`adr-0010` / `06-adr/ADR-001`), ORCH-066
-  (`06-adr/ADR-001-plane-status-model`), ORCH-086/068 (терминал-скип), ORCH-088 (freeze),
-  ORCH-090 (cancelled-терминал).

docs/work-items/ORCH-094/10-tech-risks.md

@@ -1,90 +0,0 @@
----
-work_item: ORCH-094
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# 10 — Технические риски: ORCH-094 — terminal-window-aware гард deploy-статусов
-
-Work Item: **ORCH-094** · Repo: **orchestrator** · Стадия: architecture
-
-Формат: каждый риск — **вероятность × влияние**, причина, **митигейшн**, привязка к AC/ADR-решению.
-
----
-
-## R-1 — Гард подавляет ЛЕГИТИМНЫЙ `Monitoring` у реально деплоящейся задачи (регресс AC-4)
-- **Вероятность:** средняя (без точного предиката — высокая) · **Влияние:** высокое.
-- **Причина:** `update_task_stage("done")` (стр. 369) выполняется **раньше** `set_issue_monitoring`
-  (стр. 404) ⇒ в момент легитимного `Monitoring` задача в БД уже `done`. Наивный гард
-  «stage==done → Done» затёр бы легитимную индикацию.
-- **Митигейшн:** предикат **«терминал И НЕ активное окно»** (D2 шаг 6) + **перенос арм-блока перед
-  terminal-sync** (D3): `window_active==True` на стр. 404 ⇒ ALLOW. Анти-регресс — **TC-11**
-  (рабочий цикл `Awaiting→Deploying→Monitoring→Done` без подавления) + **TC-03** (stage=deploy
-  проходит).
-
-## R-2 — Фактический актор флаппа — внешняя Plane-automation (вне кода орка)
-- **Вероятность:** низкая · **Влияние:** среднее (G1 закрыт не полностью).
-- **Причина:** все 273 перехода — под бот-токеном орка; гипотеза H-внешнее не исключена до
-  инструментальной локализации (FR-1).
-- **Митигейшн:** гард — **буфер на стороне орка** (BR-2): если PATCH идёт через код орка — гасится;
-  developer локализует актора (FR-1) и фиксирует в ADR/CHANGELOG (BR-7). Если актор реально внешний —
-  это документируется как known-limitation, гард остаётся защитой от внутренних путей.
-
-## R-3 — Перенос арм-блока ломает инвариант ORCH-021/066
-- **Вероятность:** низкая · **Влияние:** высокое (self-hosting прод).
-- **Причина:** правка порядка внутри маркированного блока `next_stage == "done"`.
-- **Митигейшн:** `arm_monitor` не зависит от Plane-статуса/merge-lease (пишет sentinel + ставит
-  отложенный job); merge-lease release остаётся после terminal-sync; идемпотентность арма по `ARMED`
-  и инвариант ORCH-066 (`deploy→done` self ⇒ `Monitoring`) сохранены (D3). Прочитаны `adr-0010` +
-  `06-adr/ADR-001-plane-status-model`. Тесты TC-06/TC-08 + TC-11.
-
-## R-4 — `never-raise`-деградация маскирует флапп (fail-safe = ALLOW)
-- **Вероятность:** низкая · **Влияние:** низкое.
-- **Причина:** при ошибке лукапа стадии / сетевой ошибке гард делает ALLOW (прежнее поведение), что
-  в теории не гасит маятник.
-- **Митигейшн:** БД-чтение — локальный SQLite (надёжно; ошибка редка); в штатном случае стадия
-  читается ⇒ сходимость работает. Деградация **логируется** `warning` (D5) ⇒ видно в диагностике.
-  NFR-1 приоритезирует «не падать/не блокировать конвейер всех проектов» над агрессивным подавлением.
-  Тест TC-05.
-
-## R-5 — «Зомби»-тик пост-деплой-монитора после рестарта/стейл-job шлёт статус-PATCH
-- **Вероятность:** низкая · **Влияние:** среднее.
-- **Причина:** стейл-job `post-deploy-monitor` в очереди после закрытия окна/рестарта мог бы дёрнуть
-  `set_issue_monitoring`.
-- **Митигейшн:** идемпотентный страж `has_marker(...DONE)` (ранний return без PATCH/реэнкью, ~1729) +
-  тик no-op при `cancelled` мид-окно (D4) + **гард D2** (`window_active==False` ⇒ CONVERGE_DONE).
-  restart-safe (sentinel'ы на диске). Тесты TC-06/TC-07.
-
-## R-6 — Стоимость лукапа `tasks` на каждый deploy-PATCH
-- **Вероятность:** низкая · **Влияние:** пренебрежимое.
-- **Причина:** новый SELECT на каждый вызов deploy-сеттера self-репо.
-- **Митигейшн:** тот же ряд даёт `repo` для `applies`; SQLite-чтение ничтожно против сетевого PATCH;
-  не-self/выключенный флаг → ранний ALLOW. Без кэша (корректность > микро-оптимизация).
-
-## R-7 — Регресс не-self репозиториев (enduro-trails)
-- **Вероятность:** очень низкая · **Влияние:** среднее.
-- **Причина:** общий инстанс/БД; правка общих сеттеров `plane_sync`.
-- **Митигейшн:** `applies(repo)` (D2 шаг 3, `deploy_status_guard_repos=""` → self-hosting only);
-  для не-self deploy-фазовые статусы и так не выставляются (terminal-sync сразу `Done`). Тест TC-12.
-
-## R-8 — Лукап по `work_item_id` не матчит (нет аксессора)
-- **Вероятность:** низкая · **Влияние:** низкое (деградирует в ALLOW).
-- **Причина:** `get_task_by_plane_id` матчит UUID-ключи, не человекочитаемый `work_item_id`.
-- **Митигейшн:** developer добавляет read-only `get_task_by_work_item_id` (D8, без миграции); при
-  промахе — ALLOW (never-raise). Тумбстоны ORCH-090 (`#cancelled-<id>`) не коллизируют с живым рядом.
-
----
-
-## Сводка по инвариантам (не нарушены)
-
-| Инвариант | Статус |
-|-----------|--------|
-| `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи | не тронуты (D7) |
-| Схема БД | без миграции (read-only аксессор) (D7/D8) |
-| `main` / force-push / прод-контейнер / detached-деплой | не тронуты (D7, NFR-2) |
-| Рабочий self-deploy (Phase A→B→C, merge-gate, freeze ORCH-088) | 1:1 (D7, AC-4) |
-| Реконсилятор F-1/F-2 | без изменений (гард субсумирует sync→Done) (D7) |
-| Обратимость (kill-switch → 1:1) | `ORCH_DEPLOY_STATUS_GUARD_ENABLED` (D6) |

docs/work-items/ORCH-094/12-review.md

@@ -1,102 +0,0 @@
----
-verdict: APPROVED
-work_item: ORCH-094
-stage: review
-author_agent: reviewer
-status: approved
-created_at: 2026-06-09
-model_used: claude-opus-4-8
-type: review
-work_item_id: ORCH-094
-version: 1
----
-
-# Review ORCH-094 — terminal-window-aware гард deploy-статусов
-
-## Summary
-
-PR устраняет флапп deploy-статусов у терминальной (`done`) задачи в Plane через единый
-terminal-window-aware гард на входе трёх deploy-фазовых сеттеров `plane_sync`. Реализация
-**точно следует** ADR-001 (D1–D8): новый leaf `src/deploy_status_guard.py` (чистый, never-raise,
-config-gated), перенос арм-блока перед terminal-sync, харднинг пост-деплой-монитора, наблюдаемость
-через `reason`-kwarg. Все 4 оси проверки — без P0/P1.
-
-Проверено по коду ветки: `deploy_status_guard.py`, `plane_sync.py` (врезка `_deploy_status_guarded` +
-3 сеттера), `stage_engine.py` (перенос арм-блока D3 + zombie-tick guard D4 + `reason`-call-sites),
-`post_deploy.py` (`window_active`), `db.py` (`get_task_by_work_item_id`), `config.py` (2 флага).
-
-## Findings
-
-### P0 — Blocker
-- Нет.
-
-### P1 — Must fix
-- Нет.
-
-### P2 — Should fix
-- Нет.
-
-### P3 — Nice-to-have (информационно, вердикт не меняет)
-- [ ] `post_deploy.window_active` при внутреннем исключении (`has_marker`-чтение sentinel'а) →
-  `False` → внутри `decide` шаг 6 даёт `CONVERGE_DONE`. Это **асимметрия** относительно общего
-  fail-safe-к-ALLOW контракта `decide` (шаг 7): транзиентная ошибка чтения sentinel'а в момент
-  легитимного первого `Monitoring` свела бы его к `Done` (индикация-глитч, не флапп). Поведение
-  **намеренное и задокументировано** (docstring `window_active`: «doubt → window closed → converge
-  to Done — safe-for-indication default»), безопасно к терминальному состоянию; SQLite/диск-чтение
-  локальное и надёжное. Оставлено как осознанный дизайн-выбор, фиксации не требует.
-
-## Соответствие ТЗ (`02-trz.md` / `03-acceptance-criteria.md`)
-
-- **FR-1 / AC-1** (источник флаппа локализован, done держит Done) — ✅ актор задокументирован
-  (BR-7: code-писатели `stage_engine.py:404/1218/1316`, F-2 не перебирает, live-overlay read-only;
-  гипотеза «под бот-токеном» в ADR), гард — буфер сходимости. Тесты TC-01/02/10.
-- **FR-2 / AC-2** (терминал-aware идемпотентность) — ✅ `decide → ALLOW|CONVERGE_DONE|SUPPRESS`,
-  предикат «нетерминал ИЛИ (`done` И окно)», `done`-иначе → `set_issue_done` идемпотентно, повтор
-  на уже-`Done` → no-op. Тесты TC-01/02/12.
-- **FR-3 / AC-3** (детерминированный конец монитора, нет зомби-тиков) — ✅ страж `has_marker(DONE)`
-  сохранён; добавлен `cancelled`-мид-окно → `mark_done` без PATCH и без перепостановки; тик ≡ job.
-  Тесты TC-06/07/08.
-- **FR-4 / AC-5** (наблюдаемость) — ✅ BC-kwarg `reason` у 3 сеттеров; ровно одна структурная запись
-  на вердикт (`work_item`/`caller`/`target`/`db_stage`/`window_active`/`verdict`; converge/suppress →
-  WARNING). Тест TC-09 (полная атрибуция).
-- **FR-5 / AC-4** (обратимость, регресс рабочего цикла) — ✅ kill-switch
-  `deploy_status_guard_enabled` (`False` → 1:1) + self-hosting-only по дефолту (`repos=""`);
-  нетерминальный `Awaiting/Deploying/Monitoring` проходит как раньше. Тесты TC-04/11/12 — особо
-  TC-11 (end-to-end `run_deploy_finalizer`: легитимный `Monitoring` НЕ свёрнут к Done).
-
-## Соответствие ADR (`06-adr/ADR-001` + сквозной `adr-0028`)
-
-- D1 (гард на входе сеттеров `plane_sync`, не в caller'ах) — ✅.
-- D2 (предикат терминал **И** окно; 7 шагов) — ✅ реализован 1:1 в `decide`.
-- D3 (перенос арм-блока выше terminal-sync) — ✅ подтверждён в diff `advance_stage`; merge-lease
-  release остаётся после terminal-sync; инварианты ORCH-021/066 сохранены.
-- D4 (харднинг монитора) — ✅. D5 (наблюдаемость) — ✅. D6 (флаги) — ✅. D7 (что НЕ трогаем) — ✅
-  (проверено: `src/stages.py`/`src/qg/`/`src/reconciler.py` — нулевой diff; machine-verdict ключи
-  байт-в-байт). D8 (`get_task_by_work_item_id` read-only) — ✅.
-- **Трассировка маркеров (CLAUDE.md прав. 9 / TRACEABILITY):** правка маркированного блока
-  `next_stage=="done"` (ORCH-021/066/043/088) — ADR прочитаны, инварианты не сломаны (deploy→done
-  self ⇒ Monitoring; монитор-close ⇒ Done; терминал-набор `{done,cancelled}`; merge-lease release
-  не сдвинут относительно terminal-sync). Слома инвариантов нет.
-
-## Качество кода
-
-- Leaf-модуль `deploy_status_guard.py` — чистый, never-raise (двойная защита: `decide` + wrapper
-  `_deploy_status_guarded`), нет рекурсии (`set_issue_done` не гардится), docstrings на всех публичных
-  функциях, образец `serial_gate`/`labels`/`cancel` выдержан.
-- Тесты содержательные (не тривиальные): 5 новых файлов, TC-01..12; TC-11 — реальный прогон
-  `run_deploy_finalizer` с проверкой стадии и единственного `Monitoring`-PATCH; обновлены
-  анти-регресс-ассерты под `reason`-kwarg. `pytest tests/ -q` — **1413 passed**.
-
-## Документация
-
-`src/` изменён → документация обновлена **в том же PR** (golden source соблюдён):
-- ✅ `CHANGELOG.md` — детальная запись ORCH-094 (FR/AC/D-разбивка).
-- ✅ `docs/architecture/README.md` — новый раздел «Terminal-window-aware гард deploy-статусов».
-- ✅ `CLAUDE.md` — врезка в блок статусной модели Plane.
-- ✅ `.env.example` — `ORCH_DEPLOY_STATUS_GUARD_ENABLED` / `_REPOS` с описанием.
-- ✅ `docs/work-items/ORCH-094/06-adr/ADR-001-…md` (work-item) + сквозной
-  `docs/architecture/adr/adr-0028-…md` (кросс-каттинг) — оба присутствуют.
-- ✅ Обзорные доки (ORCH-079): PR — баг-фикс индикации, не закрывает пункт `README.md`
-  «Известные ограничения»; обновления корневого `README.md` не требуется.
-
-Документация полная и согласована с реализацией. Расхождений код ↔ доки не найдено.