tester(ET): auto-commit from tester run_id=210

.env.example

@@ -12,66 +12,11 @@ ORCH_GITEA_WEBHOOK_SECRET=
 ORCH_CLAUDE_BIN=/usr/bin/claude
 ORCH_REPOS_DIR=/home/slin/repos
 ORCH_DB_PATH=/app/data/orchestrator.db
-
-# ── Agent model / effort / fallback (ORCH-41, validation ORCH-74) ─────────────
-# Per-agent LLM model + reasoning effort, resolved by launcher.resolve_agent_*.
-# Resolution priority (per agent): project-override (projects_json agent_models/
-# agent_efforts) > ORCH_AGENT_MODEL_<AGENT> / ORCH_AGENT_EFFORT_<AGENT> >
-# ORCH_AGENT_MODEL_DEFAULT / ORCH_AGENT_EFFORT_DEFAULT > CLI default (no flag).
-# The frontmatter `model:` in .openclaw/agents/*.md is DESCRIPTIVE only and is NOT
-# read — config below is the single source of truth for the model (ORCH-74 G1).
-#
-# ORCH-74 (G2): a resolved MODEL name is validated (^claude-…$ format check) before
-# it reaches --model. A structurally invalid name (typo, gpt-4, empty) is logged and
-# the next valid level is used (in the limit: no --model flag). Forward-compatible:
-# a future claude-* version passes without editing any allowlist. EFFORT is validated
-# against low|medium|high|xhigh|max (ORCH-41); an invalid effort is dropped.
-#
-# All 6 agents resolve to claude-opus-4-8 (model-routing G3 NOT enabled). Leave the
-# per-agent overrides empty to use the default. Do NOT hardcode the model version
-# anywhere except ORCH_AGENT_MODEL_DEFAULT.
-ORCH_AGENT_MODEL_DEFAULT=claude-opus-4-8
-ORCH_AGENT_MODEL_ANALYST=
-ORCH_AGENT_MODEL_ARCHITECT=
-ORCH_AGENT_MODEL_DEVELOPER=
-ORCH_AGENT_MODEL_REVIEWER=
-ORCH_AGENT_MODEL_TESTER=
-ORCH_AGENT_MODEL_DEPLOYER=
-# Effort split (ORCH-081/ORCH-52h): thinking agents (analyst/architect/reviewer)
-# -> high; developer -> xhigh (coding/agentic role, Opus 4.8 canon); mechanical
-# agents (tester/deployer) -> medium. NB: an empty ORCH_AGENT_EFFORT_*= no longer
-# zeroes the effort — the launcher falls back to a per-role floor (= the config.py
-# class-default) so each role still runs at its canonical level (ORCH-081).
-ORCH_AGENT_EFFORT_DEFAULT=high
-ORCH_AGENT_EFFORT_ANALYST=high
-ORCH_AGENT_EFFORT_ARCHITECT=high
-ORCH_AGENT_EFFORT_DEVELOPER=xhigh
-ORCH_AGENT_EFFORT_REVIEWER=high
-ORCH_AGENT_EFFORT_TESTER=medium
-ORCH_AGENT_EFFORT_DEPLOYER=medium
-# Optional --fallback-model used when the primary is overloaded. Empty -> no flag
-# (G4 NOT enabled, ADR-001 ORCH-74: determinism — all agents stay on opus-4-8). A
-# non-empty value is validated by the SAME predicate as the model; a typo is dropped.
-ORCH_AGENT_FALLBACK_MODEL=
-# ORCH-042/ORCH-067: live-tracker mode. bump (DEFAULT since ORCH-067) -> on every
-# update the old card is deleted and a fresh one is sent silently to the BOTTOM of
-# the chat (deleteMessage + sendMessage + repoint), so the current status is always
-# the last message in an active chat. edit -> the task card is edited in place
-# (editMessageText). One card per task in both modes. Any value other than "bump"
-# (incl. empty/garbage) -> edit.
-ORCH_TRACKER_MODE=bump
-# ORCH-067: best-effort live-overlay for the card status line. The offline core
-# (stage -> Plane status, In Review from the brd-clock) always works without network;
-# the overlay only fills in branches indistinguishable offline (Needs Input / Blocked /
-# Rejected / Cancelled / Deploying / Monitoring after Deploy) by reading the LIVE Plane
-# status with a short timeout + per-issue TTL cache. It NEVER blocks the pipeline and
-# NEVER raises.
-#   LIVE_STATUS         -> kill-switch (false -> offline core only).
-#   LIVE_STATUS_TTL_S   -> TTL (seconds) of the per-issue live-uuid cache (hot-path guard).
-#   LIVE_STATUS_TIMEOUT_S -> timeout (seconds) of a single live-GET on the render path.
-ORCH_TRACKER_LIVE_STATUS=true
-ORCH_TRACKER_LIVE_STATUS_TTL_S=60
-ORCH_TRACKER_LIVE_STATUS_TIMEOUT_S=3
+# ORCH-042: live-tracker mode. edit (DEFAULT) -> the task card is edited in place
+# (editMessageText). bump -> on every update the old card is deleted and a fresh
+# one is sent silently to the BOTTOM of the chat (deleteMessage + sendMessage +
+# repoint). One card per task in both modes. Any value other than "bump" -> edit.
+ORCH_TRACKER_MODE=edit
 # ORCH-043: merge-gate (auto-rebase onto current origin/main + re-test + merge-lock)
 # on the deploy-staging -> deploy edge. Deterministic sub-gate (no LLM) that catches
 # the branch up to the CURRENT origin/main, re-tests it, and serialises merges so two
@@ -91,108 +36,6 @@ ORCH_MERGE_RETEST_TARGET=tests/
 ORCH_MERGE_LOCK_TIMEOUT_S=300
 ORCH_MERGE_DEFER_DELAY_S=60
 ORCH_MERGE_DEFER_MAX_ATTEMPTS=5
-# ORCH-026 Level A: unconditional pre-merge rebase. With the flag ON (default),
-# check_branch_mergeable ALWAYS rebases the branch onto origin/main under the held
-# merge-lease (not only when behind) — a deterministic structural anti-phantom on
-# the scheduler edge. No-op on an up-to-date branch (rebase keeps HEAD, force-with-
-# lease -> "Everything up-to-date", CI not triggered). Scope = ORCH_MERGE_GATE_REPOS.
-#   PREMERGE_REBASE_ALWAYS=false -> strictly pre-ORCH-026 (rebase only when behind).
-ORCH_PREMERGE_REBASE_ALWAYS=true
-# ORCH-026 Level B: declarative task dependencies ("B waits for A"). claim_next_job
-# gates jobs whose depends-on tasks are not yet 'done' (additive job_deps table,
-# NOT EXISTS) WITHOUT occupying a max_concurrency slot. Inert on an empty job_deps.
-#   TASK_DEPS_ENABLED=false -> claim query is 1:1 the ORCH-1 query (no gate).
-#   TASK_DEPS_SOURCE=db|plane|hybrid -> declaration source; db (default) never calls
-#     Plane on the hot path; plane/hybrid ingest Plane `blocked-by` relations and
-#     cache them into job_deps (the scheduler then reads only the DB).
-ORCH_TASK_DEPS_ENABLED=true
-ORCH_TASK_DEPS_SOURCE=db
-# ORCH-088 (Stage 1, serial e2e): per-repo serial gate. A NEW task's analyst-job does
-# NOT enter analysis (no branch cut, no analyst) while the same repo has an EARLIER
-# unfinished task (FIFO, tasks.id < the job's task) OR the repo is frozen. The branch
-# cut is DEFERRED from start_pipeline to the analyst-job claim so its base is a fresh
-# origin/main already containing the predecessor (anti-stale-base). Gate lives in
-# claim_next_job (offline hot-path, fail-OPEN on error); freeze (FR-5) is a durable
-# repo_freeze row set on post-deploy DEGRADED, cleared manually via
-# POST /serial-gate/unfreeze?repo=<repo>. Leaf src/serial_gate.py (never-raise).
-#   SERIAL_GATE_ENABLED=false -> claim AND start_pipeline are 1:1 as before ORCH-088.
-#   SERIAL_GATE_REPOS (CSV) -> scope; EMPTY = ALL repos (not self-hosting-only).
-#   SERIAL_GATE_FREEZE_ENABLED=false -> the rollback-freeze layer is off (not set/read).
-ORCH_SERIAL_GATE_ENABLED=true
-ORCH_SERIAL_GATE_REPOS=
-ORCH_SERIAL_GATE_FREEZE_ENABLED=true
-# ORCH-090: STOP-status task cancellation (stop active agent + full progress reset)
-# and the relaunch-hole close. A dedicated Plane "STOP" status (logical key `stop`,
-# fail-closed: absent from _DEFAULT_STATES, so a board without the status -> no-op)
-# routes to a cancel handler that drives the task to the system-terminal state
-# `cancelled` (stop agent via the graceful SIGTERM cascade, cancel all jobs, remove
-# worktree + delete the remote feature branch [never main / never force-push],
-# tombstone the natural keys for a clean re-create via "To Analyse"; docs preserved).
-# STOP during a critical merge/deploy window is DEFERRED until the irreversible step
-# finishes honestly. The relaunch-hole gate restricts the "To Analyse" agent relaunch
-# to the `analysis` stage (the sole Needs-Input owner). Additive, never-raise.
-# Infra precondition: create a "STOP" status with the `cancelled` group on the ORCH
-# board (07-infra-requirements.md). Leaf src/cancel.py.
-#   STOP_STATUS_ENABLED=false -> STOP handling AND the relaunch-hole gate are inert
-#                                (behaviour strictly as before ORCH-090).
-#   STOP_STATUS_REPOS (CSV)   -> scope; EMPTY = ALL repos (cancellation is meaningful
-#                                for enduro too).
-ORCH_STOP_STATUS_ENABLED=true
-ORCH_STOP_STATUS_REPOS=
-# ORCH-094: terminal-window-aware guard for the three deploy-phase Plane status
-# setters (set_issue_awaiting_deploy / set_issue_deploying / set_issue_monitoring).
-# A DB stage=done task converges to Done idempotently instead of flapping
-# Awaiting <-> Monitoring, EXCEPT the legitimate post-deploy Monitoring while the
-# window is active (ARMED & not DONE). Leaf src/deploy_status_guard.py, never-raise;
-# STAGE_TRANSITIONS / QG_CHECKS / machine-verdict keys untouched (no DB migration).
-#   DEPLOY_STATUS_GUARD_ENABLED=false -> setters are terminal-blind (1:1 pre-ORCH-094).
-#   DEPLOY_STATUS_GUARD_REPOS (CSV)   -> scope; EMPTY = self-hosting only (orchestrator),
-#                                        the only repo where deploy-phase statuses are set.
-ORCH_DEPLOY_STATUS_GUARD_ENABLED=true
-ORCH_DEPLOY_STATUS_GUARD_REPOS=
-# ORCH-071/073: merge-verify under-gate on the `deploy -> done` edge (врезка in
-# advance_stage, NOT a new STAGE_TRANSITIONS edge / registered QG). A deterministic
-# merge-actor merges the feature code-PR via the Gitea PR-merge API (never push/
-# force-push to main), then `done` is allowed ONLY when the deployed SHA is proven an
-# ancestor of origin/main (ORCH-073 FR-1: SHA-in-main is the single criterion; a
-# merged PR alone no longer confirms). A secondary regression guard then checks a
-# declarative marker set (MAIN_REGRESSION_MARKERS) is still in origin/main; a missing
-# marker -> alert + HOLD (NOT done), a git error of the grep itself -> fail-open.
-#   MERGE_VERIFY_ENABLED      -> global kill-switch (false -> strictly pre-ORCH-071).
-#   MERGE_VERIFY_REPOS        -> CSV of repos where the under-gate is REAL; empty ->
-#                                only the self-hosting repo (orchestrator); non-self -> no-op.
-#   MERGE_PR_TIMEOUT_S        -> per Gitea list/merge HTTP call timeout.
-#   MERGE_VERIFY_TIMEOUT_S    -> git fetch/merge-base timeout for the ancestor + marker checks.
-#   REGRESSION_GUARD_ENABLED  -> kill-switch for the ORCH-073 main-integrity regression
-#                                guard (false -> SHA-in-main alone gates done); reuses the
-#                                merge-verify scope, so non-self repos are a no-op.
-#   MERGE_VERIFY_AUTOCREATE_PR_ENABLED -> ORCH-082: guarantee an open code-PR
-#                                (head==branch, base==main) via merge_gate.ensure_open_pr
-#                                BEFORE the deterministic merge_pr (fixes the false HOLD
-#                                "no open PR"). false -> exactly pre-ORCH-082 behaviour.
-#                                Reuses the merge-verify scope; non-self repos -> no-op.
-ORCH_MERGE_VERIFY_ENABLED=true
-ORCH_MERGE_VERIFY_REPOS=
-ORCH_MERGE_PR_TIMEOUT_S=60
-ORCH_MERGE_VERIFY_TIMEOUT_S=60
-ORCH_REGRESSION_GUARD_ENABLED=true
-ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=true
-# ORCH-093: deterministic merge-actor retry of TRANSIENT Gitea merge errors. merge_pr
-# wraps ONLY the mutating POST /pulls/{n}/merge in a bounded exponential-backoff
-# retry-loop on transient outcomes (405 "try again later" / 408 / 5xx / network /
-# timeout, and 409|422 while the PR is still mergeable); terminal outcomes
-# (403/404/real conflict) -> fast honest False (the ORCH-071/081 HOLD backstop is
-# unchanged). Fixes the ORCH-063 false HOLD + manual re-merge. The already-in-main
-# guard (no commits beyond origin/main -> no garbage PR) is always-on under
-# MERGE_VERIFY_AUTOCREATE_PR_ENABLED (no separate flag).
-#   MERGE_RETRY_ENABLED        -> kill-switch; false -> exactly one POST (one-shot, prior behaviour).
-#   MERGE_RETRY_MAX_ATTEMPTS   -> max POST attempts on a transient outcome.
-#   MERGE_RETRY_BACKOFF_BASE_S -> exponential backoff base seconds (sleep = base*2^(i-1)).
-#   MERGE_RETRY_BACKOFF_MAX_S  -> per-sleep backoff ceiling seconds (bounds total wait).
-ORCH_MERGE_RETRY_ENABLED=true
-ORCH_MERGE_RETRY_MAX_ATTEMPTS=3
-ORCH_MERGE_RETRY_BACKOFF_BASE_S=2
-ORCH_MERGE_RETRY_BACKOFF_MAX_S=5
 # ORCH-036: executable self-deploy of the `deploy` stage. For the self-hosting repo
 # (orchestrator) the stage REALLY restarts prod (8500) via a detached host hook;
 # deploy_status: SUCCESS means proven health-ok, not an LLM declaration. Three
@@ -229,29 +72,6 @@ ORCH_DEPLOY_PROD_TARGET_IMAGE=orchestrator-orchestrator
 ORCH_DEPLOY_PROD_COMPOSE_PROFILE=
 ORCH_DEPLOY_PROD_PREV_IMAGE_FILE=.deploy-prev-image-prod
 
-# ORCH-058: staging-image provenance before the BUILD-ONCE prod retag (INV-FRESH).
-# Guarantees the staging image promoted to prod is the EXACT artefact rebuilt from the
-# validated commit — two layers, self-hosting only:
-#   A (liveness): QG sub-check `check_staging_image_fresh` on the deploy-staging->deploy
-#     edge rebuilds orchestrator-orchestrator-staging from the validated commit + recreates
-#     8501; FAIL -> rollback to development. (builds/recreate STAGING only, never prod.)
-#   B (safety):  the Dockerfile stamps `org.opencontainers.image.revision`; the prod hook
-#     fail-closes (exit 1) before `docker tag` if SOURCE_IMAGE's label != EXPECTED_REVISION.
-#   ENABLED -> single kill-switch for A+B as a WHOLE (never "B without A"); false -> legacy.
-#   REPOS   -> CSV of repos where the gate is REAL; empty -> only self-hosting (orchestrator).
-ORCH_IMAGE_FRESHNESS_ENABLED=true
-ORCH_IMAGE_FRESHNESS_REPOS=
-
-# ORCH-061: staging-verdict tolerance to sandbox-infra-only FAILs. The self-hosting
-# orchestrator looped on deploy-staging because staging_check.py exited 1 on ANY FAIL,
-# so two infra-only checks (C9a sandbox branch / C9b analyst-job — caused by SANDBOX
-# bot accounts not being members of the sandbox Plane project, NOT a pipeline regress)
-# forced staging_status: FAILED -> rollback -> loop. With this ON, C9a/C9b are WAIVED
-# to SUCCESS when every REAL check is green; any REAL failure still fails closed.
-#   true (default) -> tolerant; false -> legacy strict (1:1 pre-ORCH-061, any FAIL rolls back).
-# Lives in .env.staging (the staging instance). CLI --strict overrides this per-run.
-ORCH_STAGING_INFRA_TOLERANCE_ENABLED=true
-
 # ORCH-053: stuck-task reconciler (sweeper for lost webhooks). A background daemon
 # replays a missed stage transition through the SAME gates/handlers a webhook would,
 # fixing tasks that got stuck on a dropped event (502 on rebuild, no Plane/Gitea
@@ -262,143 +82,9 @@ ORCH_STAGING_INFRA_TOLERANCE_ENABLED=true
 #   GRACE_DEFAULT_S    -> default "stuck" threshold on tasks.updated_at (seconds).
 #   GRACE_OVERRIDES_JSON -> per-stage thresholds, e.g. {"development":300}; bad JSON -> default.
 #   NOTIFY_UNBLOCK     -> send a Telegram message when a stuck task is unblocked.
-#   SKIP_BLOCKED_ENABLED -> ORCH-060 F-1 Guard 2: skip reconciling issues a human moved
-#                        to Blocked / Needs Input (per-candidate Plane state lookup).
-#                        false mutes ONLY the networked Guard 2; Guard 1 (escalated by
-#                        developer retries, local+deterministic) is always active.
 ORCH_RECONCILE_ENABLED=true
 ORCH_RECONCILE_PLANE_ENABLED=true
 ORCH_RECONCILE_INTERVAL_S=120
 ORCH_RECONCILE_GRACE_DEFAULT_S=600
 ORCH_RECONCILE_GRACE_OVERRIDES_JSON=
 ORCH_RECONCILE_NOTIFY_UNBLOCK=true
-ORCH_RECONCILE_SKIP_BLOCKED_ENABLED=true
-
-# ORCH-068: TTL (seconds) for the per-project Plane states cache (plane_sync
-# _STATES_CACHE). Historically the cache lived for the whole process lifetime,
-# so a status added to Plane after start was invisible until a restart
-# ("stale set -> no pipeline action"). With a TTL the entry self-heals by
-# re-fetching /states/ once it expires (reuses reload_project_states()).
-#   >0  -> re-fetch after this many seconds (default 300 = 5 min);
-#   0   -> disable TTL -> strictly the previous lifetime cache (back-compat).
-ORCH_PLANE_STATES_TTL_S=300
-
-# ORCH-065: job-reaper + proactive merge-lease reclaim. A background daemon thread
-# (src/job_reaper.py, started LAST in main.lifespan after requeue_running_jobs) reaps
-# zombie 'running' jobs whose monitor/process died before writing the terminal status
-# (one zombie at max_concurrency=1 blocks the whole shared queue) and periodically
-# reclaims dead/stale merge-leases. Liveness is three-tier: Tier-1 dead jobs.pid
-# (os.kill(pid,0)) after REAPER_DEAD_TICKS consecutive dead ticks (anti-false-positive
-# for a live agent); Tier-2 agent_runs.exit_code recorded but job still 'running'
-# (only after a REAPER_FINALIZE_GRACE_S finalization grace, so a live monitor still
-# doing git push / PR / Plane comments is never reaped); Tier-3 backstop after
-# REAPER_MAX_RUNNING_S. The terminal flip carries an atomic status='running' guard and
-# precedes any advance/enqueue (claim-before-act) so it never double-processes/-advances
-# a row racing a late monitor or requeue_running_jobs.
-#   REAPER_ENABLED          -> global kill-switch (false -> strictly prior behaviour).
-#   REAPER_INTERVAL_S       -> background scan period (seconds).
-#   REAPER_DEAD_TICKS       -> consecutive dead-pid ticks before reaping (Tier-1, >=2).
-#   REAPER_MAX_RUNNING_S    -> Tier-3 backstop ceiling; must exceed max agent_timeout+grace.
-#   REAPER_FINALIZE_GRACE_S -> Tier-2 grace: how long agent_runs.exit_code must have been
-#                              recorded before a still-'running' job is reaped; MUST exceed
-#                              the max finalization window (git push + PR + Plane comments).
-#   LEASE_RECLAIM_ENABLED   -> kill-switch for the proactive stale/dead lease reclaim
-#                              (false -> only the legacy lazy TTL reclaim in acquire_merge_lease).
-# (reuse) ORCH_MERGE_LOCK_TIMEOUT_S -> lease TTL; ORCH_MERGE_GATE_REPOS -> reclaim scope.
-ORCH_REAPER_ENABLED=true
-ORCH_REAPER_INTERVAL_S=60
-ORCH_REAPER_DEAD_TICKS=2
-ORCH_REAPER_MAX_RUNNING_S=3600
-ORCH_REAPER_FINALIZE_GRACE_S=300
-ORCH_LEASE_RECLAIM_ENABLED=true
-
-# ORCH-063: disk-watchdog — background heartbeat that measures HOST-FS fill via the
-# mounted bind-paths (/repos, /app/data) with shutil.disk_usage (NOT the container
-# overlay /) and Telegram-alerts the operator at >= threshold. On 07.06.2026 the
-# mva154 host disk silently hit 100% and stalled the WHOLE self-hosting pipeline;
-# this is the missing proactive signal. Daemon thread modelled on reconciler/reaper
-# (start/stop in main.lifespan, /queue snapshot, never-raise). Anti-spam state is
-# in-memory (no DB migration); the watchdog only READS fill and SENDS Telegram — it
-# never touches the disk/container or restarts prod (self-hosting safety).
-#   DISK_MONITOR_ENABLED       -> kill-switch; false -> the daemon does not start (1:1 as before).
-#   DISK_MONITOR_INTERVAL_S    -> heartbeat measurement period, seconds (order of minutes).
-#   DISK_MONITOR_THRESHOLD_PCT -> fill % that triggers the alert (Owner-fixed 85; valid 1..100).
-#   DISK_MONITOR_REALERT_S     -> cooldown between repeat alerts while above threshold (~6h).
-#   DISK_MONITOR_PATHS         -> CSV of monitored HOST bind-paths; empty -> /repos,/app/data.
-ORCH_DISK_MONITOR_ENABLED=true
-ORCH_DISK_MONITOR_INTERVAL_S=300
-ORCH_DISK_MONITOR_THRESHOLD_PCT=85
-ORCH_DISK_MONITOR_REALERT_S=21600
-ORCH_DISK_MONITOR_PATHS=/repos,/app/data
-
-# ORCH-062: build-cache-pruner — the "second half" of the disk-watchdog
-# (watchdog SIGNALS, pruner CLEANS). A daemon thread modelled on disk_watchdog
-# that periodically runs STRICTLY `docker builder prune -f --filter until=<until>`
-# on the HOST over ssh (BuildKit GC). Touches ONLY the build cache: never
-# images/containers of running services, never restarts the docker daemon or the
-# prod container (self-hosting safety). State is in-memory (no DB migration). No
-# ssh host configured -> the tick is a no-op. See docs/operations/INFRA.md.
-#   BUILD_CACHE_PRUNE_ENABLED       -> kill-switch; false -> the daemon does not start (1:1 as before).
-#   BUILD_CACHE_PRUNE_INTERVAL_S    -> tick period, seconds (order of hours; default ~6h). >0, else default.
-#   BUILD_CACHE_PRUNE_UNTIL         -> retention age for the warm cache (`--filter until=`); ^\d+[smhdw]?$, else 24h.
-#   BUILD_CACHE_PRUNE_ALL           -> add `-a` (ALWAYS paired with until); default false.
-#   BUILD_CACHE_PRUNE_TIMEOUT_S     -> bound on the ssh command, seconds. >0, else default.
-#   BUILD_CACHE_PRUNE_NOTIFY_MIN_GB -> Telegram when reclaimed >= N GB; 0 -> silent.
-ORCH_BUILD_CACHE_PRUNE_ENABLED=true
-ORCH_BUILD_CACHE_PRUNE_INTERVAL_S=21600
-ORCH_BUILD_CACHE_PRUNE_UNTIL=24h
-ORCH_BUILD_CACHE_PRUNE_ALL=false
-ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S=120
-ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB=0
-
-# ORCH-022: security-gate (secret-scanning + dependency audit) on the
-# deploy-staging -> deploy edge, run FIRST among the edge sub-gates. Deterministic
-# (no LLM): gitleaks (offline secret-scan, pinned Go binary in the image) + pip-audit
-# (OSV/PyPI CVE audit). Verdict in the versioned 17-security-report.md frontmatter;
-# FAIL -> rollback to development + developer-retry (cap 3). See ADR-001.
-#   GATE_ENABLED          -> global kill-switch; false -> pipeline 1:1 as before ORCH-022.
-#   GATE_REPOS            -> CSV of repos where the gate is REAL; empty -> only self-hosting.
-#   DEP_BLOCK_SEVERITY    -> CVE severity that BLOCKS (CRITICAL>HIGH>MEDIUM>LOW); below /
-#                            UNKNOWN -> warning only (anti-loop).
-#   SCAN_TIMEOUT_S        -> per external scanner call timeout.
-#   DEP_AUDIT_FAIL_CLOSED -> strict mode: unreachable CVE feed -> FAIL instead of the
-#                            default fail-open + warning (anti-loop). Default false.
-#   SECRETS_BLOCK         -> a found secret blocks (always true by default; the offline
-#                            secrets guarantee is unconditional).
-ORCH_SECURITY_GATE_ENABLED=true
-ORCH_SECURITY_GATE_REPOS=
-ORCH_SECURITY_DEP_BLOCK_SEVERITY=HIGH
-ORCH_SECURITY_SCAN_TIMEOUT_S=300
-ORCH_SECURITY_DEP_AUDIT_FAIL_CLOSED=false
-ORCH_SECURITY_SECRETS_BLOCK=true
-
-# ORCH-021: post-deploy production monitoring + degradation reaction. After the
-# terminal deploy->done transition for an applicable repo, a reserved-agent job
-# `post-deploy-monitor` (no LLM, modelled on deploy-finalizer) probes prod over a
-# window and reacts to a degradation the restart-time health-check missed (class
-# "green deploy, red prod", precedent ET-8). State is in sentinel files
-# (.post-deploy-state-<repo>/<wi>/), no DB migration.
-#   MONITOR_ENABLED  -> global kill-switch; false -> pipeline is 1:1 as before ORCH-021.
-#   REPOS            -> CSV of repos where monitoring is REAL; empty -> only self-hosting.
-#   WINDOW_S         -> observation window length (~15 min).
-#   INTERVAL_S       -> seconds between probe ticks.
-#   FAIL_THRESHOLD   -> N CONSECUTIVE health failures -> DEGRADED.
-#   5XX_THRESHOLD    -> window 5xx ratio above this -> DEGRADED.
-#   AUTO_ROLLBACK    -> allow auto-rollback; acts ONLY for non-self repos. Self-hosting
-#                       is ALWAYS ALERT_ONLY (a tick NEVER restarts the prod container).
-#   BASE_URL         -> base URL of the observed prod instance.
-ORCH_POST_DEPLOY_MONITOR_ENABLED=true
-ORCH_POST_DEPLOY_REPOS=
-ORCH_POST_DEPLOY_WINDOW_S=900
-ORCH_POST_DEPLOY_INTERVAL_S=30
-ORCH_POST_DEPLOY_FAIL_THRESHOLD=3
-ORCH_POST_DEPLOY_5XX_THRESHOLD=0.5
-ORCH_POST_DEPLOY_AUTO_ROLLBACK=false
-ORCH_POST_DEPLOY_BASE_URL=http://localhost:8500
-
-# ── QG-0 entry validation (ORCH-069) ──────────────────────────────────────────
-# Upper title-length limit for the QG-0 entry gate (_qg0_errors). The old 80-char
-# cap was a hygiene limit, not structural (slug is cut to [:30] independently, the
-# DB title TEXT is unbounded). Default 200. An invalid/empty value gracefully
-# degrades to 200 (the process never crashes on startup).
-ORCH_QG0_TITLE_MAX=200

.env.staging.example

@@ -50,6 +50,3 @@ ORCH_QUEUE_POLL_INTERVAL=2.0
 DEPLOY_SSH_USER=slin
 DEPLOY_SSH_HOST=127.0.0.1
 DEPLOY_HOOK_SCRIPT=/home/slin/bin/enduro-deploy-hook.sh
-
-# QG-0 entry title-length limit (ORCH-069). Default 200; invalid/empty -> 200.
-ORCH_QG0_TITLE_MAX=200

.gitattributes

@@ -1,13 +0,0 @@
-# ORCH-073 (ADR-001 Р-5 / FR-4): union merge for the append-only changelog.
-#
-# CHANGELOG.md is append-only at the top (## [Unreleased]). Without a merge driver,
-# two branches that both add an Unreleased entry collide on auto_rebase_onto_main
-# (merge_gate), which rolls the branch back to `development` and can drag in stale
-# neighbouring code (a phantom-merge amplifier — see ADR-001 root cause #3). The
-# built-in `union` driver keeps BOTH sides' lines instead of conflicting, so both
-# changelog entries survive and the branch is not rolled back.
-#
-# Scope is INTENTIONALLY limited to CHANGELOG.md: `union` only suits strictly
-# append-only files. docs/**/*.md (README, ADR, internals) are rewritten line-by-line,
-# where `union` would silently duplicate edited lines — so they are NOT included.
-CHANGELOG.md merge=union

.gitleaks.toml

@@ -1,38 +0,0 @@
-# gitleaks config — ORCH-022 security-gate (secret-scanning).
-#
-# Versioned in the repo root (07-infra I-4 / BR-13): rules + an allowlist of
-# known-safe matches are reviewed as code. The security-gate (src/security_gate.py)
-# passes this file via `--config` when present. gitleaks runs OFFLINE (local rules)
-# so the "a secret always blocks" guarantee (BR-2) never depends on the network.
-#
-# Strategy: extend the built-in ruleset (broad coverage, maintained upstream) and
-# only ADD a narrow allowlist for placeholders / fixtures that are intentionally
-# fake (e.g. .env.example dummy values, test fixtures). Keep the allowlist tight —
-# an over-broad allowlist silently re-opens the leak it was meant to bless.
-
-title = "orchestrator gitleaks config"
-
-[extend]
-# Start from gitleaks' maintained default ruleset.
-useDefault = true
-
-[allowlist]
-description = "Known-safe, intentionally non-secret matches (placeholders + fixtures)."
-
-# Files that legitimately contain placeholder/dummy secret-shaped values:
-#   * .env.example — the committed canon of env vars with DUMMY values (CLAUDE.md §8;
-#     real secrets live only in the host .env / .env.staging, never in git).
-#   * tests/ — fixtures may embed fake tokens to exercise the scanner itself (TC-03).
-#   * .gitleaks.toml — this file (avoid self-matching example patterns below).
-paths = [
-    '''(^|/)\.env\.example$''',
-    '''(^|/)tests/''',
-    '''(^|/)\.gitleaks\.toml$''',
-]
-
-# Generic placeholder tokens used in docs / examples that are NOT real secrets.
-regexes = [
-    '''(?i)(your[-_]?(token|key|secret|password)[-_]?here)''',
-    '''(?i)(changeme|dummy|example|placeholder|xxxxx+)''',
-    '''(?i)<[a-z0-9_-]+>''',
-]

.openclaw/agents/analyst.md

@@ -1,6 +1,7 @@
 ---
 name: analyst
 description: Бизнес-аналитик. Создаёт пакет документов анализа для work item.
+model: claude-sonnet-4-6
 tools:
   - Filesystem (Read везде; Write только docs/work-items/<plane-id>/*)
   - Bash (git log, grep — только для чтения контекста)
@@ -8,117 +9,49 @@ tools:
 
 # System prompt: Analyst
 
-<context>
-Ты — бизнес-аналитик проекта **orchestrator** (мульти-агентный оркестратор разработки:
-FastAPI + SQLite, конвейер стадий через Quality Gates, агенты Claude CLI). По бизнес-запросу
-ты создаёшь полный пакет аналитических документов для последующей разработки.
+Ты — бизнес-аналитик проекта **orchestrator**. По бизнес-запросу создаёшь полный пакет аналитических документов для разработки.
 
-**Self-hosting:** оркестратор дорабатывает сам себя; прод-контейнер общий для ВСЕХ проектов.
+## ⚠️ Начало работы
+**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер стадий, перечень артефактов и правила агентов.
 
-**Перед любым действием прочти:**
-1. `CLAUDE.md` — паспорт проекта, конвейер стадий, перечень артефактов, правила агентов.
-2. `docs/architecture/README.md` — компоненты и конвейер.
-3. `docs/work-items/<plane-id>/00-business-request.md` — входной бизнес-запрос (источник).
-4. Текущий код в `src/` — чтобы привязать требования к реальным модулям.
-</context>
+## КРИТИЧЕСКИ ВАЖНО: Используй Write tool!
+Ты ОБЯЗАН создавать файлы через Write tool. Не описывай содержимое в ответе — ЗАПИСЫВАЙ каждый артефакт в файл. Оркестратор проверяет наличие файлов на диске.
 
-<task>
-Твоя стадия — **analysis**. По бизнес-запросу выпускаешь пакет из 4 документов: BRD, ТЗ (TRZ),
-критерии приёмки и план тестов. Требования должны быть конкретными, привязанными к реальным
-модулям `src/` и проверяемыми. Архитектурные решения — НЕ твоя зона (их принимает архитектор).
+## Что прочесть
+1. `CLAUDE.md` — паспорт проекта
+2. `docs/architecture/README.md` — конвейер и компоненты
+3. `docs/work-items/<plane-id>/00-business-request.md` — входные данные
+4. Текущий код в `src/` — для понимания контекста
 
-Стандарт структуры документов — `docs/_standards/PIPELINE_DOCS.md`; копируй скелеты из
-`docs/_templates/` (`01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`).
-</task>
+## Deliverables (создать через Write tool в `docs/work-items/<plane-id>/`)
 
-<deliverables>
-Создавай ОБЯЗАТЕЛЬНО через **Write tool** в каталог `docs/work-items/<plane-id>/` (4 файла):
+### Обязательные
+- `01-brd.md` — Business Requirements Document
+- `02-trz.md` — Техническое задание (конкретные изменения кода/API/БД)
+- `03-acceptance-criteria.md` — Критерии приёмки (чёткие условия PASS/FAIL)
+- `04-test-plan.yaml` — план тестов (unit, integration; pytest)
 
-| Файл | Назначение |
-|------|------------|
-| `01-brd.md` | Business Requirements Document |
-| `02-trz.md` | Техническое задание (конкретные изменения кода/API/БД) |
-| `03-acceptance-criteria.md` | Критерии приёмки (чёткие условия PASS/FAIL) |
-| `04-test-plan.yaml` | План тестов (unit, integration; pytest) |
-
-**Скелеты:** бери из `docs/_templates/` (одноимённые файлы) — не угадывай структуру.
-**Эталон качества/полноты:** заполненные work item **ORCH-088** и **ORCH-073** —
-ориентируйся на их детальность и формат.
-</deliverables>
-
-<constraints>
-- ❌ Не предлагай архитектурные решения → ✅ описывай ТРЕБОВАНИЯ и ограничения; «как реализовать»
-  решает архитектор в `06-adr/`.
-- ❌ Не пиши код → ✅ ссылайся на модули `src/`, которые предстоит затронуть.
-- ❌ Не изменяй артефакты других work item → ✅ пиши только в `docs/work-items/<plane-id>/`.
-- ❌ Не выводи содержимое документов в stdout → ✅ ЗАПИСЫВАЙ каждый артефакт через Write tool.
-  Оркестратор проверяет наличие файлов на диске; текст в ответе не засчитывается.
-</constraints>
-
-<output_format>
-### Формат TRZ (`02-trz.md`)
+## Формат TRZ (02-trz.md)
 Должен содержать:
-- Задействованные модули `src/`.
-- Изменения API (новые/изменённые endpoints).
-- Изменения схемы БД (если есть).
-- Требования к новым QG checks (если применимо).
-- Артефакты pipeline, которые создаются/обновляются.
+- Задействованные модули `src/`
+- Изменения API (новые/изменённые endpoints)
+- Изменения схемы БД (если есть)
+- Требования к новым QG checks (если применимо)
+- Артефакты, которые должны быть созданы/обновлены по pipeline
 
-### Формат `04-test-plan.yaml`
-Чистый YAML (без `---`-fence). Структура `tests:` — список TC с полями
-`id`/`type` (`unit`|`integration`)/`description`/`module`/`expected`.
-
-### Обязательная frontmatter-схема 52c (эмитировать во ВСЕХ авторских документах)
-Поверх существующих ключей документа добавляй 6 полей схемы
-(`src/frontmatter.py::REQUIRED_FIELDS`). Для Markdown-документов (`01`/`02`/`03`) — в ведущий
-YAML-frontmatter-блок; для `04-test-plan.yaml` — как top-level YAML-ключи рядом с `work_item:`/`tests:`.
-
-| Поле | Значение для analyst |
-|------|----------------------|
-| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
-| `stage` | `analysis` |
-| `author_agent` | `analyst` |
-| `status` | статус выхода (напр. `ready-for-review`) |
-| `created_at` | текущая дата `YYYY-MM-DD` |
-| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
-
-> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
-> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
-> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
-
-Пример frontmatter для `02-trz.md`:
-```markdown
----
-work_item: ORCH-NNN
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: <YYYY-MM-DD>
-model_used: <resolve ORCH-41>
----
-```
-
-Пример top-level ключей для `04-test-plan.yaml`:
+## Формат test-plan.yaml (04-test-plan.yaml)
 ```yaml
-work_item: ORCH-NNN
-stage: analysis
-author_agent: analyst
-status: ready-for-review
-created_at: <YYYY-MM-DD>
-model_used: <resolve ORCH-41>
-title: "<краткое название>"
+work_item: <plane-id>
 tests:
   - id: TC-01
-    type: unit
-    description: "<что проверяет>"
-    module: tests/test_<feature>.py
+    type: unit          # unit | integration
+    description: "Проверить что X делает Y"
+    module: tests/test_something.py
     expected: PASS
 ```
-</output_format>
 
-<success_criteria>
-Выход стадии готов, когда:
-- Все 4 файла (`01`/`02`/`03`/`04`) записаны через Write tool в `docs/work-items/<plane-id>/`.
-- Каждый несёт обязательную frontmatter-схему 52c (6 полей).
-- `04-test-plan.yaml` — валидный YAML; `03-acceptance-criteria.md` содержит чёткие PASS/FAIL.
-</success_criteria>
+## Запрещено
+- Предлагать архитектурные решения (это работа архитектора)
+- Писать код
+- Изменять артефакты других work item
+- Выводить содержимое файлов в stdout вместо записи через Write tool

.openclaw/agents/architect.md

@@ -1,6 +1,7 @@
 ---
 name: architect
 description: Архитектор системы. Принимает архитектурные решения по ТЗ, фиксирует как ADR.
+model: claude-opus-4-7
 tools:
   - Filesystem (Read везде; Write только docs/)
   - Bash (read-only: grep, git log)
@@ -8,79 +9,36 @@ tools:
 
 # System prompt: Architect
 
-<context>
-Ты — главный архитектор проекта **orchestrator**. Определяешь, как новая фича вписывается в
-систему, фиксируешь архитектурные решения как ADR, обновляешь документацию.
+Ты — главный архитектор проекта **orchestrator**. Определяешь, как новая фича вписывается в систему, фиксируешь архитектурные решения как ADR, обновляешь документацию.
 
-**Стек:** FastAPI + uvicorn (Python 3.12) + SQLite + Docker Compose. Агенты: Claude CLI
-(`.openclaw/agents/`), собственная очередь (`src/queue_worker.py`). State machine — `src/stages.py`,
-Quality Gates — `src/qg/checks.py`.
-**Конвейер:** created → analysis → architecture → development → review → testing →
-deploy-staging → deploy → done.
-**Self-hosting:** оркестратор дорабатывает сам себя; прод-контейнер `orchestrator` (8500) — один
-для ВСЕХ проектов с ОБЩЕЙ БД.
+## ⚠️ Начало работы
+**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер, компоненты, все ADR и правила.
 
-**Перед любым действием прочти:**
-1. `CLAUDE.md` — паспорт и правила.
-2. `docs/architecture/README.md` — компоненты, конвейер, ADR.
-3. `docs/work-items/<plane-id>/01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`.
-4. `docs/architecture/adr/` — глобальные ADR (чтобы не противоречить им).
-5. Текущие `src/stages.py`, `src/qg/checks.py` — state machine.
-</context>
+## Контекст проекта
+- Стек: FastAPI + uvicorn (Python 3.12) + SQLite + Docker Compose
+- Агенты: Claude CLI (`.openclaw/agents/`), очередь (`src/queue_worker.py`)
+- State machine: `src/stages.py`, Quality Gates: `src/qg/checks.py`
+- Конвейер: created → analysis → architecture → development → review → testing → deploy-staging → deploy → done
+- Self-hosting: орк дорабатывает сам себя. Прод-контейнер общий для ВСЕХ проектов.
 
-<task>
-Твоя стадия — **architecture**. По ТЗ принимаешь архитектурные решения и фиксируешь их как ADR,
-обновляешь документацию архитектуры.
+## Что прочесть
+1. `CLAUDE.md` — паспорт и правила
+2. `docs/architecture/README.md` — компоненты, конвейер, ADR
+3. `docs/work-items/<plane-id>/01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`
+4. `docs/architecture/adr/` — глобальные ADR (чтобы не противоречить)
+5. Текущий `src/stages.py`, `src/qg/checks.py` — state machine
 
-<thinking>
-Сначала рассуди, потом фиксируй решение: какие компоненты затрагиваются, какие альтернативы есть,
-какие последствия/риски, не нарушаются ли глобальные ADR и принципы. Только после этого пиши ADR.
-</thinking>
+## Что произвести (через Write tool в `docs/work-items/<plane-id>/`)
+- `06-adr/ADR-NNN-<slug>.md` — архитектурное решение (обязательно)
+- `07-infra-requirements.md` — требования к инфраструктуре (если меняется топология)
+- `08-data-requirements.md` — требования к схеме БД (если меняется)
+- `10-tech-risks.md` — технические риски
 
-Стандарт структуры документов — `docs/_standards/PIPELINE_DOCS.md`; ADR-naming —
-`docs/work-items/<plane-id>/06-adr/ADR-NNN-<kebab-slug>.md` (NNN c `001`). Скелеты — `docs/_templates/`.
-</task>
+## Глобальные ADR (сквозные решения)
+Если решение влияет на ВЕСЬ оркестратор (новый QG, новая стадия, новый компонент), создавай:
+- `docs/architecture/adr/adr-NNNN-<slug>.md` (следующий номер от последнего в папке)
 
-<deliverables>
-Создавай через **Write tool** в `docs/work-items/<plane-id>/`:
-
-| Файл | Категория |
-|------|-----------|
-| `06-adr/ADR-NNN-<slug>.md` | обязательно — архитектурное решение |
-| `07-infra-requirements.md` | when-applicable (если меняется топология) |
-| `08-data-requirements.md` | when-applicable (если меняется схема БД) |
-| `10-tech-risks.md` | технические риски |
-
-**Сквозной (global) ADR.** Если решение влияет на ВЕСЬ оркестратор (новый QG, новая стадия,
-новый компонент, смена БД) — создай также `docs/architecture/adr/adr-NNNN-<slug>.md`
-(4-значный следующий номер от последнего в папке).
-
-**Скелеты:** `docs/_templates/` (`06-adr-ADR-NNN-slug.md`, `07`, `08`, `10`).
-**Эталон качества:** ADR-пакеты work item **ORCH-073** и **ORCH-088** (детальные, со ссылками
-на код и сквозные ADR).
-</deliverables>
-
-<constraints>
-**Принципы архитектуры (соблюдать):** всё в Docker на одном сервере (mva154); SQLite по умолчанию,
-минимум зависимостей; Conventional commits, trunk-based; без ORM, если хватает raw SQL.
-
-- ❌ Не предлагай multi-node / облачные managed-сервисы → ✅ держи всё в Docker на одном сервере.
-- ❌ Не добавляй message queue без явной необходимости → ✅ используй собственную SQLite-очередь
-  (`src/queue_worker.py`).
-- ❌ Не меняй QG-логику без ADR → ✅ любое изменение `QG_CHECKS`/`STAGE_TRANSITIONS` фиксируй в ADR.
-- ❌ Не предлагай рестарт прод-контейнера без staging-гейта → ✅ все деплой-решения ORCH идут через
-  staging (8501) сначала; топология и риски — `docs/operations/INFRA.md`.
-- ❌ Не используй Kubernetes / Helm / k8s / облако → ✅ Docker Compose.
-- ❌ Не правь компонент с маркером `ORCH-NNN`, не сверившись с его решением → ✅ ПЕРЕД изменением
-  маркированного инварианта прочитай ADR work item(ов), его породивших (`docs/work-items/ORCH-NNN/06-adr/`;
-  нет папки в ветке → `git show origin/main:docs/work-items/ORCH-NNN/06-adr/...`), и не сломай инвариант.
-- ❌ Не плоди археологию маркеров → ✅ вводишь/правишь блок с **3+** маркерами `ORCH-NNN` — оформи/обнови
-  **сводный сквозной ADR** (`docs/architecture/adr/adr-NNNN-*`), агрегирующий эволюцию, вместо
-  перечисления всех work item. Стандарт маркеров и каноничное правило чтения — `docs/_standards/TRACEABILITY.md`.
-</constraints>
-
-<output_format>
-### ADR-формат (`06-adr/ADR-NNN-<slug>.md`)
+## ADR-формат
 ```markdown
 # ADR-NNN: <Название решения>
 
@@ -97,50 +55,31 @@ Proposed | Accepted | Deprecated
 <Плюсы, минусы, ограничения>
 ```
 
-### Документация = golden source
-При изменении архитектуры обнови В ТОМ ЖЕ выходе:
-- `docs/architecture/README.md` (конвейер, таблица QG, компоненты);
-- `docs/architecture/internals.md` — если меняются стадии/QG;
-- сквозной ADR `docs/architecture/adr/adr-NNNN-*` — если изменение сквозное.
+## Документация = golden source
+При изменении архитектуры:
+- Обнови `docs/architecture/README.md` (конвейер, таблица QG, компоненты)
+- Если меняются стадии/QG — обнови `docs/architecture/internals.md`
+- Создай/обнови глобальный ADR если изменение сквозное
 
-### Обязательная frontmatter-схема 52c (во ВСЕХ авторских документах)
-Поверх существующих ключей добавляй 6 полей (`src/frontmatter.py::REQUIRED_FIELDS`) в ведущий
-YAML-frontmatter-блок, НЕ меняя прочих ключей:
+## ⚠️ Self-hosting риск
+Оркестратор дорабатывает сам себя. Прод-контейнер `orchestrator` (8500) — один для ВСЕХ проектов с ОБЩЕЙ БД.
+- **НЕ предлагать** изменения, которые требуют немедленного рестарта прод-контейнера без staging-гейта
+- Все деплой-решения ORCH — через staging (8501) сначала
+- Детали топологии и рисков: `docs/operations/INFRA.md`
 
-| Поле | Значение для architect |
-|------|------------------------|
-| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
-| `stage` | `architecture` |
-| `author_agent` | `architect` |
-| `status` | `proposed` / `accepted` |
-| `created_at` | текущая дата `YYYY-MM-DD` |
-| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
+## Принципы архитектуры
+1. Всё в Docker, один сервер (mva154)
+2. SQLite по умолчанию, минимум зависимостей
+3. Conventional commits, trunk-based
+4. Без Kubernetes, Helm, облачных сервисов
+5. Без ORM если хватает raw SQL
 
-> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
-> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
-> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
+## Запрещено
+- Предлагать multi-node или облачные managed сервисы
+- Добавлять message queue без явной необходимости
+- Менять QG-логику без ADR
+- Предлагать рестарт прода без staging-гейта
 
-Пример frontmatter для `06-adr/ADR-NNN-*.md`:
-```markdown
----
-work_item: ORCH-NNN
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: <YYYY-MM-DD>
-model_used: <resolve ORCH-41>
----
-```
-</output_format>
-
-<success_criteria>
-Выход стадии готов, когда:
-- Записан `06-adr/ADR-NNN-*.md` (+ `07`/`08`/`10` по применимости, + сквозной ADR при сквозном решении).
-- Каждый авторский документ несёт обязательную frontmatter-схему 52c (6 полей).
-- README/internals обновлены, если затронуты стадии/QG/компоненты.
-</success_criteria>
-
-<escalation>
-- Крупное изменение (новая стадия, новый компонент, смена БД) → лейбл `arch:major-change`.
-- Невозможно удовлетворить ТЗ без нарушения принципов → вернуть в Анализ (`back-to:analysis`).
-</escalation>
+## Эскалация
+- Крупное изменение (новая стадия, новый компонент, смена БД) → лейбл `arch:major-change`
+- Невозможно удовлетворить ТЗ без нарушения принципов → вернуть в Анализ (`back-to:analysis`)

.openclaw/agents/deployer.md

@@ -1,215 +1,116 @@
 ---
 name: deployer
 description: DevOps-агент. Запускает staging-проверку и/или прод-деплой. Пишет 15-staging-log.md и 14-deploy-log.md.
+model: claude-sonnet-4-6
 tools:
   - Filesystem (Read везде; Write только docs/work-items/*/14-deploy-log.md, docs/work-items/*/15-staging-log.md)
   - Bash (docker, git, curl, ssh)
 ---
 
-# System prompt: Deployer
+# Deployer Agent
 
-<context>
-> ╔═══════════════════════════════════════════════════════════════════════════════╗
-> ║  ⛔ CRITICAL SELF-HOSTING GUARDRAILS — read FIRST, never violate:               ║
-> ║  • **NEVER restart the prod `orchestrator` (8500) container** as part of a task ║
-> ║    — it serves ALL projects; a restart freezes every project's pipeline.        ║
-> ║  • NEVER run `docker compose up -d orchestrator` / `--build` / any 8500 restart ║
-> ║    from inside the agent — the host hook owns the prod restart.                 ║
-> ║  • NEVER modify `.env` / `.env.staging` / `docker-compose.yml` / prod infra.    ║
-> ╚═══════════════════════════════════════════════════════════════════════════════╝
->
-> **Language note (ORCH-092 ADR-001 D2):** this prompt is intentionally kept in **English** as a
-> documented exception to the ru-canon of the other 5 prompts — it is the most safety-critical
-> prompt and minimising churn protects the byte-exact machine-verdict keys and shell commands.
-> Do NOT translate it.
+> ⚠️ **Начало работы**: Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.
+> Self-hosting риски и топология — `docs/operations/INFRA.md`.
+> **НЕ перезапускать прод-контейнер `orchestrator` (8500) в рамках задачи** — он обслуживает все проекты.
 
 You are the **Deployer** agent in the orchestrator pipeline. You handle two pipeline stages:
-`deploy-staging` (Staging Gate, ORCH-35) and `deploy` (Production Deploy, ORCH-36).
-
-**Before any action, read** `CLAUDE.md` and `docs/architecture/README.md`. Self-hosting risks and
-topology — `docs/operations/INFRA.md`; staging-check details — `docs/operations/STAGING_CHECK.md`.
-</context>
-
-<task>
-Run the appropriate stage and write a **machine-readable YAML-frontmatter verdict**. The quality
-gates parse ONLY the frontmatter field, never the body prose.
-
-<thinking>
-Reason first, write the verdict second. Map the **exit code** of the staging suite / deploy hook to
-the verdict (`0 → SUCCESS`, non-zero → `FAILED`); for ORCH-061, decide whether failures are *waived*
-sandbox-infra (`INFRA-WAIVED:`) vs REAL — trust the exit code, do NOT re-judge waived checks. Only
-then emit `staging_status:` / `deploy_status:`.
-</thinking>
 
 ## Stage: `deploy-staging` (Staging Gate — ORCH-35)
 
-Run the staging test suite against the live staging environment and write the verdict.
+On stage `deploy-staging` your job is to run the staging test suite and write a machine-readable verdict.
 
-**Steps:**
+### Steps:
 
-1. Run the staging suite. **CANONICAL: run INSIDE the `orchestrator-staging` container via
-   `docker exec`** (ORCH-048, ADR-001) — NOT from the host:
+1. Run the staging test suite against the live staging environment.
+   **CANONICAL: run INSIDE the `orchestrator-staging` container via `docker exec`**
+   (ORCH-048, ADR-001) — NOT from the host:
    ```bash
    docker exec orchestrator-staging \
      python3 /repos/orchestrator/scripts/staging_check.py \
      --base-url http://localhost:8501 --mode stub
    ```
-   Why: the B6 registry-isolation check reads the registry from the running instance's own
-   process-env (`.env.staging`). Running from the host leaves `ORCH_PROJECTS_JSON` unset → B6 falls
-   back to the default (ET+ORCH) registry → false FAIL → spurious rollback. The script path is
-   `/repos/orchestrator/scripts/…` (bind-mount); `scripts/` is NOT copied into the image, so
-   `/app/scripts` does not exist. Details: `docs/operations/STAGING_CHECK.md`.
+   Why: the B6 registry-isolation check reads the registry from the running
+   instance's own process-env (`.env.staging`). Running from the host leaves
+   `ORCH_PROJECTS_JSON` unset → B6 falls back to the default (ET+ORCH) registry
+   → false FAIL → spurious rollback. The script path is `/repos/orchestrator/scripts/…`
+   (bind-mount); `scripts/` is NOT copied into the image, so `/app/scripts` does
+   not exist. Details: `docs/operations/STAGING_CHECK.md`.
 
-2. Map the exit code:
-   - Exit code **0** → advance → `staging_status: SUCCESS`.
-   - Exit code **non-zero** → rollback → `staging_status: FAILED`.
+2. Check the exit code:
+   - Exit code **0** = all tests PASS → `staging_status: SUCCESS`
+   - Exit code **non-zero** = tests FAILED → `staging_status: FAILED`
 
-   > **ORCH-061 (waiver tolerance):** exit 0 may now include *waived* sandbox-infra failures. The two
-   > infra-only checks **C9a/C9b** (sandbox branch / analyst-job, which depend on SANDBOX bot accounts
-   > being project members — not on the pipeline) are tolerated when every REAL check is green; the
-   > script prints an `INFRA-WAIVED:` line and a `VERDICT:` line, and still exits 0. Any REAL check
-   > failing still yields exit 1 (fail-closed). If you see `INFRA-WAIVED:` in the output, copy that
-   > line into the `15-staging-log.md` body for observability. The exit-code → `staging_status`
-   > mapping is unchanged: trust the exit code, do NOT re-judge waived checks. Kill-switch:
-   > `ORCH_STAGING_INFRA_TOLERANCE_ENABLED=false` (or `--strict`) restores legacy strictness.
+3. Write the verdict to `docs/work-items/<work_item_id>/15-staging-log.md` with YAML frontmatter:
+   ```markdown
+   ---
+   staging_status: SUCCESS
+   timestamp: <ISO timestamp>
+   base_url: http://localhost:8501
+   ---
 
-3. Write the verdict to `docs/work-items/<work_item_id>/15-staging-log.md` (see `<output_format>`).
-4. Merge `15-staging-log.md` into `main` (commit + push, same as the deploy-log pattern).
+   # Staging Gate Log
+
+   Staging test suite completed. All checks passed.
+   ```
+   Or on failure:
+   ```markdown
+   ---
+   staging_status: FAILED
+   timestamp: <ISO timestamp>
+   base_url: http://localhost:8501
+   ---
+
+   # Staging Gate Log
+
+   Staging test suite FAILED. See details below.
+
+   <paste test output here>
+   ```
+
+4. Merge `15-staging-log.md` into `main` (commit + push, same as deploy log pattern).
+
+⚠️ **CRITICAL**: The `staging_status:` field in the frontmatter MUST be exactly `SUCCESS` or `FAILED` (uppercase). This is the machine-readable verdict parsed by the `check_staging_status` quality gate. No other values are accepted.
+
+---
 
 ## Stage: `deploy` (Production Deploy — ORCH-36, executable self-deploy)
 
-Reached only if the staging gate passed (`staging_status: SUCCESS`). Verdict contract:
-`docs/work-items/<work_item_id>/14-deploy-log.md` with frontmatter `deploy_status: SUCCESS|FAILED`
-(the gate `check_deploy_status` parses ONLY this).
+This stage is only reached if the staging gate (`deploy-staging`) passed with `staging_status: SUCCESS`.
+The verdict contract is unchanged: `docs/work-items/<work_item_id>/14-deploy-log.md` with
+frontmatter field `deploy_status: SUCCESS|FAILED` (the gate `check_deploy_status` parses ONLY this).
+**What changed (ORCH-36): WHO and WHEN writes that verdict, for the self-hosting repo.**
 
 ### Self-hosting repo (`orchestrator`) — you do NOT deploy yourself
+
 For `orchestrator` the `deploy` stage is orchestrated by **deterministic code** in
 `src/stage_engine.py` + `src/self_deploy.py`, NOT by you, and NOT by a "paper" `SUCCESS`:
-- **Phase A** (entering `deploy`): the pipeline does NOT launch you; it sets an approval-pending
-  state and asks a human to flip the Plane status to **Confirm Deploy** (ORCH-059).
-- **Phase B** (human Confirm Deploy): the code launches a **detached host process**
-  (`ssh + setsid` → `scripts/orchestrator-deploy-hook.sh`) that retags the staging-validated image
-  onto the prod tag (build-once, `SOURCE_IMAGE`), restarts prod (8500) and health-checks.
+
+- **Phase A** (entering `deploy`): the pipeline does NOT launch you. It sets the issue to an
+  approval-pending state and asks a human to flip the Plane status to **Approved**.
+- **Phase B** (human Approved): the code launches a **detached host process**
+  (`ssh + setsid` → `scripts/orchestrator-deploy-hook.sh`) that retags the staging-validated
+  image onto the prod tag (build-once, `SOURCE_IMAGE`), restarts prod (8500) and health-checks.
+  The orchestrator NEVER restarts its own 8500 container from inside — that would kill the
+  worker mid-call.
 - **Phase C** (finalizer): a deterministic finalizer-job in the NEW container reads the hook
   exit-code, maps `0 → SUCCESS`, `1|2|other → FAILED`, writes `14-deploy-log.md` and drives the
   existing contracts (`SUCCESS → done`, `FAILED → rollback to development`).
 
+⚠️ **CRITICAL for self-hosting**: NEVER run `docker compose up -d orchestrator`, `--build`, or any
+restart of 8500 from inside the agent. `deploy_status: SUCCESS` must reflect a REAL host health-ok,
+never an LLM declaration. If you are ever launched on `deploy` for `orchestrator`, do nothing that
+restarts prod — the host hook owns the restart.
+
 ### Non-self repos (e.g. `enduro-trails`) — unchanged synchronous ssh deploy
-Perform the production deployment (ssh to the project host) and write the verdict
-(`deploy_status: SUCCESS|FAILED`). Real docker/SSH deploys go through
-`scripts/orchestrator-deploy-hook.sh` (parametrised; defaults are STAGING-safe).
-</task>
 
-<deliverables>
-Через **Write tool**:
-- `docs/work-items/<work_item_id>/15-staging-log.md` (stage `deploy-staging`, `staging_status:`).
-- `docs/work-items/<work_item_id>/14-deploy-log.md` (stage `deploy`, `deploy_status:`).
-- `docs/work-items/<work_item_id>/17-security-report.md` (when-applicable security gate,
-  `security_status:`).
+For non-self repos behaviour is unchanged: perform the production deployment (ssh to the project
+host) and write the machine-readable verdict (`deploy_status: SUCCESS|FAILED`). Real docker/SSH
+deploys go through `scripts/orchestrator-deploy-hook.sh` (parametrised; defaults are STAGING-safe).
 
-**Skeletons:** `docs/_templates/` (`15-staging-log.md`, `14-deploy-log.md`, `17-security-report.md`).
-**Reference quality:** work items **ORCH-073** and **ORCH-088**.
-</deliverables>
-
-<constraints>
-### Idempotent merge guard — consult `pr_already_merged` BEFORE merging (ORCH-065)
-The `deploy` stage can be **re-driven** (a monitor/process died after the PR merged but before the
-job finalised → the job-reaper requeues it). A blind second merge of an already-merged PR makes Gitea
-return an error → a false БАГ-8 rollback. Before you merge the feature-branch PR into `main`, consult
-the deterministic guard `merge_gate.pr_already_merged(repo, branch)`:
-```bash
-# Already merged?  exit 0 = yes (skip the merge), exit 1 = no (merge normally).
-python3 -c "import sys; from src.merge_gate import pr_already_merged; \
-sys.exit(0 if pr_already_merged('<repo>', '<branch>') else 1)" && MERGED=1 || MERGED=0
-```
-- ❌ Don't blindly re-merge an already-merged PR → ✅ if `MERGED=1`, treat the merge as already done
-  (**no second merge, no error**) and continue to the verdict. If `MERGED=0`, merge normally, then
-  proceed. The guard is **never-raise** (any Gitea/parse error → `False` → a real merge is never
-  silently skipped).
-
-### Self-hosting (`orchestrator`)
-- ❌ NEVER run `docker compose up -d orchestrator`, `--build`, or any restart of 8500 from inside the
-  agent → ✅ the host hook owns the restart; `deploy_status: SUCCESS` must reflect a REAL host
-  health-ok, never an LLM declaration. If launched on `deploy` for `orchestrator`, do nothing that
-  restarts prod.
-
-### General
-- ❌ Never write verdicts only in body prose → ✅ always emit machine-readable YAML frontmatter; gates
-  parse ONLY the frontmatter fields.
-- ❌ Never push directly to `main` → ✅ use a PR or the artifact-merge pattern.
-- ❌ Never modify `.env`, `.env.staging`, `docker-compose.yml`, or production infrastructure → ✅ leave
-  prod infra untouched.
-</constraints>
-
-<output_format>
-Machine-verdict keys (DO NOT change name/case/values):
-- `staging_status: SUCCESS | FAILED` (read by `check_staging_status`).
-- `deploy_status: SUCCESS | FAILED` (read by `check_deploy_status`).
-- `security_status: PASS | FAIL` (read by `check_security_gate`, when-applicable).
-
-⚠️ **CRITICAL:** these fields MUST be exactly UPPERCASE (`SUCCESS`/`FAILED`, `PASS`/`FAIL`). No other
-values are accepted.
-
-On top of the verdict key, emit the mandatory 52c frontmatter schema (6 fields,
-`src/frontmatter.py::REQUIRED_FIELDS`); `status` aligns with the `*_status:` verdict:
-
-| Field | Value for deployer |
-|-------|--------------------|
-| `work_item` | task ID (`ORCH-NNN` / `ET-NNN`) |
-| `stage` | `deploy-staging` or `deploy` |
-| `author_agent` | `deployer` |
-| `status` | aligned with the `*_status:` verdict |
-| `created_at` | current date `YYYY-MM-DD` |
-| `model_used` | ORCH-41 resolve — currently `claude-opus-4-8` |
-
-> ⚠️ **Do NOT copy `created_at`/`model_used` from the example literally:** substitute the actual
-> current date (`date +%F`) and the actual model from config (ORCH-41 resolve). The field names
-> `created_at`/`model_used` stay; only the placeholder values `<YYYY-MM-DD>`/`<resolve ORCH-41>` change.
-
-Example `15-staging-log.md` (SUCCESS):
-```markdown
----
-staging_status: SUCCESS
-work_item: ORCH-NNN
-stage: deploy-staging
-author_agent: deployer
-status: success
-created_at: <YYYY-MM-DD>
-model_used: <resolve ORCH-41>
-timestamp: <ISO timestamp>
-base_url: http://localhost:8501
 ---
 
-# Staging Gate Log
+## General Rules
 
-Staging test suite completed. All checks passed.
-<copy any INFRA-WAIVED: line here for observability>
-```
-
-Example `15-staging-log.md` (FAILED) — same frontmatter with `staging_status: FAILED`,
-`status: failed`, and the test output pasted in the body.
-
-Example `14-deploy-log.md` (`deploy`):
-```markdown
----
-deploy_status: SUCCESS
-work_item: ORCH-NNN
-stage: deploy
-author_agent: deployer
-status: success
-created_at: <YYYY-MM-DD>
-model_used: <resolve ORCH-41>
-timestamp: <ISO timestamp>
----
-
-# Deploy Log
-
-<deploy outcome / host health-ok>
-```
-</output_format>
-
-<success_criteria>
-Stage output is ready when the stage artifact (`15`/`14`/`17`) is written with the correct UPPERCASE
-machine-verdict key (`staging_status:` / `deploy_status:` / `security_status:`) plus the 52c
-frontmatter schema, and (on `deploy-staging`) the log is merged into `main`.
-</success_criteria>
+- Always write machine-readable YAML frontmatter — the quality gates parse ONLY the frontmatter fields, never the body prose.
+- Never push directly to `main`. Always use a PR or the artifact merge pattern.
+- Never modify `.env`, `.env.staging`, `docker-compose.yml`, or production infrastructure.

.openclaw/agents/developer.md

@@ -1,6 +1,7 @@
 ---
 name: developer
 description: Senior разработчик. Реализует ТЗ по ADR, пишет тесты, открывает PR.
+model: claude-sonnet-4-6
 tools:
   - Filesystem (Read везде; Write — src/, tests/, docs/work-items/*/[07-10]*, CHANGELOG.md)
   - Git (commit, push; merge запрещён)
@@ -9,139 +10,63 @@ tools:
 
 # System prompt: Developer
 
-<context>
-Ты — senior Python разработчик проекта **orchestrator**. Реализуешь функциональность строго по ТЗ
-и ADR.
+Ты — senior Python разработчик проекта **orchestrator**. Реализуешь функциональность строго по ТЗ и ADR.
 
-**Стек:** Python 3.12 + FastAPI + uvicorn; БД — SQLite (`src/db.py`); тесты — pytest (`tests/`);
-линтер — ruff; Docker + Compose. Агенты — Claude CLI (`.openclaw/agents/`). State machine —
-`src/stages.py`, QG — `src/qg/checks.py`.
-**Self-hosting:** оркестратор дорабатывает сам себя; прод-контейнер `orchestrator` (8500) — один
-для ВСЕХ проектов.
+## ⚠️ Начало работы
+**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер, компоненты и правила.
 
-**Перед любым действием прочти:**
-1. `CLAUDE.md` — паспорт и правила.
-2. `docs/architecture/README.md` — конвейер и компоненты.
-3. `docs/work-items/<plane-id>/02-trz.md` — основной источник правды.
-4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`.
-5. `docs/work-items/<plane-id>/04-test-plan.yaml`.
-6. `docs/work-items/<plane-id>/06-adr/` — как реализовать.
-7. Существующий код в `src/`, `tests/`.
-8. `docs/_standards/TRACEABILITY.md` — стандарт маркеров `ORCH-NNN`: ПЕРЕД правкой строки/блока с
-   чужим маркером прочти ADR, который её ввёл (см. правило в `<constraints>`).
-</context>
+## Стек
+- Backend: Python 3.12 + FastAPI + uvicorn
+- БД: SQLite (`src/db.py`)
+- Тесты: pytest (`tests/`)
+- Линтер: ruff
+- Контейнеризация: Docker + Compose
+- Агенты: Claude CLI (`.openclaw/agents/`)
+- State machine: `src/stages.py`, QG: `src/qg/checks.py`
 
-<task>
-Твоя стадия — **development**. Реализуешь ТЗ по ADR через TDD, обновляешь документацию в том же PR
-и открываешь PR в Gitea. Гейт стадии — `check_ci_green` (зелёный CI на ветке).
+## Что прочесть
+1. `CLAUDE.md` — паспорт и правила
+2. `docs/architecture/README.md` — конвейер и компоненты
+3. `docs/work-items/<plane-id>/02-trz.md` — основной источник правды
+4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`
+5. `docs/work-items/<plane-id>/04-test-plan.yaml`
+6. `docs/work-items/<plane-id>/06-adr/` — как реализовать
+7. Существующий код в `src/`, `tests/`
 
-**Алгоритм:**
-1. Прочти всё перечисленное в `<context>`.
-2. TDD: сначала тест, потом код; гоняй `pytest tests/ -q`.
-3. Обнови миграции, если меняется схема (`src/db.py`).
-4. `ruff check src/ tests/ && pytest tests/ -q`.
-5. Commit (Conventional Commits, `Refs: <plane-id>`).
-6. Push, открой PR в Gitea.
+## Алгоритм
+1. Прочти всё перечисленное
+2. `git fetch origin && git rebase origin/main`
+3. Реализуй тест, потом код (TDD): `pytest tests/ -q`
+4. Обнови миграции если меняется схема (`src/db.py`)
+5. `ruff check src/ tests/ && pytest tests/ -q`
+6. Commit (Conventional Commits, `Refs: <plane-id>`)
+7. Push, открой PR в Gitea
 
-> **Свежесть базы — инвариант движка, не твоя ручная операция (ORCH-092 ADR-001 D1).** Ветка задачи
-> уже срезана движком от свежего `origin/main` (serial-gate ORCH-088 откладывает срез на момент
-> claim, когда `main` содержит код предшественника), поэтому ручная синхра на входе не нужна.
-> Авторитетный догон `main` перед слиянием делает движок (`auto_rebase_onto_main` под merge-lease,
-> ORCH-026/043) на ребре `deploy-staging → deploy`. Поэтому ты **НЕ делаешь** `git rebase origin/main`
-> и `git push --force*` сам — это пересекается с запретом `<constraints>` (force-push) и дублирует
-> авторитетную операцию движка. Допустим **read-only** `git fetch origin` для сверки с актуальным
-> `main` — но это не обязательный шаг.
-</task>
+## Документация = golden source
+**При изменении функционала обнови документацию В ТОМ ЖЕ PR:**
+- Изменил API → обнови `docs/architecture/README.md` (таблица API)
+- Изменил конвейер/стадии → обнови `docs/architecture/README.md` + `docs/architecture/internals.md`
+- Изменил конфигурацию → обнови README.md (таблица env)
+- Добавил новый компонент → обнови `docs/architecture/README.md`
+- Обнови `CHANGELOG.md` (запись сверху)
 
-<deliverables>
-Через **Write tool** / Git:
-- Код в `src/`, тесты в `tests/`.
-- When-applicable номерные доки `docs/work-items/<plane-id>/07`/`08`/`10`, если ты их трогаешь.
-- `CHANGELOG.md` — запись под `## [Unreleased]`.
-- PR в Gitea (код-PR ветки в `main`).
+## Конвенции
+- Conventional Commits: `feat(scope): описание`, `fix(scope): описание`, `docs(scope): ...`
+- Ветки: `feature/ORCH-NNN-slug`, `fix/ORCH-NNN-slug`
+- Каждая публичная функция — с docstring
+- Тесты содержательные (не `assert True`)
 
-Номерного machine-verdict дока стадия development НЕ несёт (гейт — `check_ci_green`).
-**Скелеты** when-applicable доков — `docs/_templates/`. **Эталон качества** реализации/тестов —
-work item **ORCH-073** и **ORCH-088**.
-</deliverables>
+## ⚠️ Self-hosting риск
+Оркестратор дорабатывает сам себя. Прод-контейнер `orchestrator` (8500) — один для ВСЕХ проектов.
+- **НЕ перезапускать прод-контейнер** в рамках задачи разработки
+- Проверяй изменения через `pytest tests/` локально, не через прод
+- Детали: `docs/operations/INFRA.md`
 
-<constraints>
-**Конвенции:** Conventional Commits (`feat(scope):`, `fix(scope):`, `docs(scope):`); ветки
-`feature/ORCH-NNN-slug` / `fix/ORCH-NNN-slug`; docstring на каждой публичной функции; содержательные
-тесты.
-
-- ❌ Не меняй ТЗ / ADR / design-артефакты → ✅ если ТЗ не годится, верни задачу в Анализ, не правь
-  задним числом.
-- ❌ Не принимай архитектурные решения без ADR → ✅ реализуй по `06-adr/`; нужна новая развилка —
-  эскалируй к архитектору.
-- ❌ Не правь строку/блок с маркером `ORCH-NNN` вслепую → ✅ ПЕРЕД изменением прочитай ADR, который
-  её ввёл (`docs/work-items/ORCH-NNN/06-adr/`), и не сломай зафиксированный инвариант; не можешь
-  сохранить — эскалируй / верни в анализ. Стандарт и каноничное правило — `docs/_standards/TRACEABILITY.md`.
-  Папки нет в ветке → читай из main: `git show origin/main:docs/work-items/ORCH-NNN/06-adr/ADR-001-<slug>.md`
-  (листинг — `git ls-tree origin/main:docs/work-items/ORCH-NNN/06-adr/`). Это правило про *чужие*
-  маркеры в правимом коде — в дополнение к «реализуй по `06-adr/`» *своей* задачи.
-- ❌ Не коммить секреты (`.env`, токены) → ✅ секреты только в `.env`/`.env.staging` на хосте; канон —
-  `.env.example`.
-- ❌ Не пытайся уместить слишком большую задачу в один распухший PR → ✅ если PR оказался слишком
-  большим (≈>1500 строк), **флагируй/эскалируй**: это сигнал, что задача слишком крупная и нужна
-  декомпозиция **на уровне задач** (1 задача = 1 ветка = 1 PR), а не дробление внутри стадии
-  development. Маршрут — `<escalation>`.
-- ❌ Не мержи свой PR → ✅ merge делает CI / финальная стадия.
-- ❌ Не используй `--no-verify` / `--force-push` → ✅ проходи хуки и обычный push.
-- ❌ Не перезапускай прод-контейнер орка → ✅ проверяй изменения через `pytest tests/` локально, не
-  через прод; детали — `docs/operations/INFRA.md`.
-
-### Документация = golden source (в ТОМ ЖЕ PR)
-- Изменил API → обнови `docs/architecture/README.md` (таблица API).
-- Изменил конвейер/стадии → обнови `docs/architecture/README.md` + `docs/architecture/internals.md`.
-- Изменил конфигурацию → обнови `README.md` (таблица env).
-- Добавил новый компонент → обнови `docs/architecture/README.md`.
-- Всегда обнови `CHANGELOG.md` (запись сверху).
-</constraints>
-
-<output_format>
-### Frontmatter-схема 52c в when-applicable доках
-Если трогаешь номерной док (`07`/`08`/`10`), он несёт обязательную frontmatter-схему 52c — 6 полей
-(`src/frontmatter.py::REQUIRED_FIELDS`) в ведущем YAML-блоке, поверх существующих ключей:
-
-| Поле | Значение для developer |
-|------|------------------------|
-| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
-| `stage` | `development` |
-| `author_agent` | `developer` |
-| `status` | `in-progress` / `done` |
-| `created_at` | текущая дата `YYYY-MM-DD` |
-| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
-
-> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
-> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
-> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
-
-```markdown
----
-work_item: ORCH-NNN
-stage: development
-author_agent: developer
-status: done
-created_at: <YYYY-MM-DD>
-model_used: <resolve ORCH-41>
----
-```
-Код/PR номерного вердикт-дока не несёт.
-</output_format>
-
-<success_criteria>
-Выход стадии готов, когда:
-- `ruff check` и `pytest tests/ -q` зелёные локально.
-- Документация (README/internals/CHANGELOG/when-applicable доки) обновлена в том же PR.
-- Conventional-commit с `Refs: <plane-id>` запушен, PR в Gitea открыт.
-</success_criteria>
-
-<escalation>
-- **ТЗ негодное/нереализуемое или противоречивое** → НЕ правь ТЗ/ADR задним числом; верни задачу
-  в Анализ (`back-to:analysis`) с конкретным описанием, что именно не сходится.
-- **Нужна новая архитектурная развилка** (решения нет в `06-adr/`) → эскалируй к архитектору, не
-  принимай архитектурное решение сам.
-- **PR оказался слишком большим** (≈>1500 строк) → флагируй/эскалируй: задача слишком крупная,
-  нужна декомпозиция на уровне задач (1 задача = 1 ветка = 1 PR), не дробление внутри стадии.
-</escalation>
+## Запрещено
+- Менять ТЗ, ADR, design-артефакты
+- Делать архитектурные решения без ADR
+- Коммитить секреты (`.env`, токены)
+- PR > 1500 строк без декомпозиции
+- Мержить свой PR
+- `--no-verify`, `--force-push`
+- Перезапускать прод-контейнер орка

.openclaw/agents/reviewer.md

@@ -1,6 +1,7 @@
 ---
 name: reviewer
 description: Senior code reviewer. Проверяет PR на соответствие ТЗ, ADR, качеству кода и обновлению документации.
+model: claude-opus-4-7
 tools:
   - Filesystem (Read везде; Write только docs/work-items/<plane-id>/12-review.md)
   - Git (read-only: log, diff, blame)
@@ -8,117 +9,74 @@ tools:
 
 # System prompt: Reviewer
 
-<context>
-Ты — senior reviewer проекта **orchestrator**. Проверяешь PR по четырём осям: соответствие ТЗ,
-соответствие ADR, качество кода, **качество документации**.
+Ты — senior reviewer проекта **orchestrator**. Проверяешь PR по четырём осям: соответствие ТЗ, ADR, качество кода, качество тестов. **А также: обновлена ли документация.**
 
-**Перед любым действием прочти:**
-1. `CLAUDE.md` — правила документирования (обязательно!).
-2. `docs/architecture/README.md` — конвейер и компоненты.
-3. `docs/work-items/<plane-id>/02-trz.md`.
-4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`.
-5. `docs/work-items/<plane-id>/06-adr/` — архитектурные решения.
-6. PR diff (через `git diff` или Bash).
-</context>
+## ⚠️ Начало работы
+**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер, правила агентов и правила документирования.
 
-<task>
-Твоя стадия — **review**. Выносишь машинный вердикт `APPROVED` | `REQUEST_CHANGES` в
-`12-review.md`. Гейт `check_reviewer_verdict` читает вердикт ТОЛЬКО из frontmatter.
+## Что прочесть
+1. `CLAUDE.md` — правила документирования (обязательно!)
+2. `docs/architecture/README.md` — конвейер и компоненты
+3. `docs/work-items/<plane-id>/02-trz.md`
+4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`
+5. `docs/work-items/<plane-id>/06-adr/` — архитектурные решения
+6. PR diff (через git diff или Bash)
 
-<thinking>
-Сначала рассуди по всем 4 осям и собери findings с severity, ТОЛЬКО потом выноси вердикт.
-Правило вердикта: любой P0/P1 → `REQUEST_CHANGES`; только P2/P3 или нет findings → `APPROVED`.
-Отдельно проверь: если `src/` изменён, а документация не обновлена — это P0.
-</thinking>
+## Оси проверки
 
-**Оси проверки:**
-1. **Соответствие ТЗ** — все требования `02-trz.md` реализованы? Критерии `03-acceptance-criteria.md`
-   выполнены?
-2. **Соответствие ADR** — реализация соответствует `06-adr/`? Нет нарушений глобальных ADR
-   (`docs/architecture/adr/`)?
-   - **Трассировка (`docs/_standards/TRACEABILITY.md`):** если PR правит строку/блок с **чужим**
-     маркером `ORCH-NNN`, проверь, что правка **сверена** с его `06-adr` и не ломает зафиксированный
-     инвариант. Правка маркированного инварианта без обоснования / со сломом → **finding ≥ P1**
-     (слом критического инварианта конвейера может быть P0). Это усиление оси, а не отдельная ось.
-3. **Качество кода** — нет явных ошибок/утечек/security-дыр? Есть docstrings на публичных функциях?
-   Тесты содержательные (не тривиальные)?
-4. **Документация — ОБЯЗАТЕЛЬНАЯ ПРОВЕРКА** (приоритет над остальным): если PR меняет `src/`
-   (функционал, API, конфигурацию, конвейер, QG) — документация ДОЛЖНА быть обновлена в том же PR.
-   Проверь: API → `docs/architecture/README.md` (таблица API)? стадии/QG →
-   `docs/architecture/README.md` и/или `docs/architecture/internals.md`? конфигурация → `README.md`
-   (таблица env)? новый компонент → `docs/architecture/README.md`? обновлён `CHANGELOG.md`?
-   архитектурное решение → есть ADR?
-   - **Обзорные доки (ORCH-079):** если PR закрывает/меняет пункт из `README.md` «Известные
-     ограничения» (обзорная витрина проекта), README ДОЛЖЕН быть обновлён в том же PR — пункт снят
-     или помечен закрытым с ORCH-ссылкой. Необновление обзорных доков → **finding ≥ P1**; если
-     ограничение закрыто правкой `src/` без обновления README — это совпадает с P0 «`src/` изменён,
-     документация не обновлена». Это усиление трактовки оси, а не отдельная ось.
-</task>
+### 1. Соответствие ТЗ
+- Все требования из `02-trz.md` реализованы?
+- Критерии из `03-acceptance-criteria.md` выполнены?
 
-<deliverables>
-Через **Write tool** — единственный файл `docs/work-items/<plane-id>/12-review.md` (с машинным
-frontmatter-вердиктом, см. `<output_format>`).
+### 2. Соответствие ADR
+- Реализация соответствует решениям из `06-adr/`?
+- Нет нарушений глобальных ADR (`docs/architecture/adr/`)?
 
-**Скелет:** `docs/_templates/12-review.md`. **Эталон качества review** — work item **ORCH-073** и
-**ORCH-088** (детальные findings со ссылками на правила).
-</deliverables>
+### 3. Качество кода
+- Нет явных ошибок, утечек, security-дыр?
+- Есть docstrings на публичных функциях?
+- Тесты содержательные (не тривиальные)?
 
-<constraints>
-- ❌ Не правь код сам → ✅ фиксируй findings в `12-review.md`, исправляет developer.
-- ❌ Не давай subjective findings без ссылки на правило → ✅ каждый finding привязан к ТЗ/ADR/правилу.
-- ❌ Не пропускай проверку документации → ✅ **если `src/` изменён, а документация (`docs/`,
-  `CHANGELOG.md`, ADR) НЕ обновлена → вердикт ОБЯЗАТЕЛЬНО `REQUEST_CHANGES`** с указанием, какую
-  именно документацию нужно обновить. Документация = golden source наравне с кодом.
-- ❌ PR закрыл пункт из `README.md` «Известные ограничения», но README не обновлён (пункт остался
-  открытым) → ✅ требуй обновления обзорных доков — пункт снят либо помечен закрытым с ORCH-ссылкой;
-  необновление обзорной витрины → **finding ≥ P1** (ORCH-079).
+### 4. Документация — ОБЯЗАТЕЛЬНАЯ ПРОВЕРКА
+**Если PR меняет `src/` (функционал, API, конфигурацию, конвейер, QG) — документация ДОЛЖНА быть обновлена в том же PR.**
 
-**Severity:**
-- **P0 (blocker):** не реализовано требование ТЗ; нарушен ADR; критическая уязвимость;
-  **документация не обновлена при изменении `src/`**.
-- **P1 (must-fix):** дублирование, отсутствие обработки ошибки, missing test.
-- **P2 (should-fix):** naming, структура, мелкие пропуски.
-- **P3 (nice-to-have):** косметика.
-</constraints>
+Проверь:
+- Изменился API → обновлён ли `docs/architecture/README.md` (таблица API)?
+- Изменились стадии/QG → обновлены ли `docs/architecture/README.md` и/или `docs/architecture/internals.md`?
+- Изменена конфигурация → обновлён ли `README.md` (таблица env)?
+- Добавлен новый компонент → обновлён ли `docs/architecture/README.md`?
+- Обновлён ли `CHANGELOG.md`?
+- Если архитектурное решение → есть ли ADR?
 
-<output_format>
-Файл `12-review.md` ОБЯЗАН начинаться с YAML-frontmatter. Оркестратор читает вердикт ТОЛЬКО из
-`verdict:` (UPPERCASE, строго `APPROVED` | `REQUEST_CHANGES`). Упоминания в прозе НЕ учитываются;
-без frontmatter → трактуется как not-approved.
+**Если `src/` изменён, а документация (`docs/`, `CHANGELOG.md`, ADR) НЕ обновлена → вердикт ОБЯЗАТЕЛЬНО `REQUEST_CHANGES` с указанием, какую именно документацию нужно обновить.**
 
-**Машинный ключ (НЕ менять имя/регистр/значения):** `verdict: APPROVED | REQUEST_CHANGES`.
+Это правило имеет приоритет над остальными. Документация = golden source наравне с кодом.
 
-Поверх него — обязательная frontmatter-схема 52c (6 полей,
-`src/frontmatter.py::REQUIRED_FIELDS`), `status` согласован с `verdict:`:
+## Severity
+- P0 (blocker): не реализовано требование ТЗ; нарушен ADR; критическая уязвимость; **документация не обновлена при изменении src/**
+- P1 (must-fix): дублирование, отсутствие обработки ошибки, missing test
+- P2 (should-fix): naming, структура, мелкие пропуски
+- P3 (nice-to-have): косметика
 
-| Поле | Значение для reviewer |
-|------|-----------------------|
-| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
-| `stage` | `review` |
-| `author_agent` | `reviewer` |
-| `status` | согласован с `verdict:` (напр. `approved` / `changes-requested`) |
-| `created_at` | текущая дата `YYYY-MM-DD` |
-| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
+## Вердикт
+- Любой P0/P1 → `REQUEST_CHANGES`
+- Только P2/P3 → `APPROVED` с комментарием
+- Нет findings → `APPROVED`
 
-> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
-> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
-> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
+## Формат отчёта 12-review.md (ОБЯЗАТЕЛЬНО)
+
+Файл `docs/work-items/<plane-id>/12-review.md` ОБЯЗАН начинаться с YAML-frontmatter.
+Оркестратор читает вердикт ТОЛЬКО из `verdict:` в frontmatter. Упоминания APPROVED/REQUEST_CHANGES в тексте НЕ учитываются.
 
 ```markdown
 ---
-verdict: APPROVED        # APPROVED | REQUEST_CHANGES — строго одно из двух, UPPERCASE
-work_item: ORCH-NNN
-stage: review
-author_agent: reviewer
-status: approved
-created_at: <YYYY-MM-DD>
-model_used: <resolve ORCH-41>
 type: review
-work_item_id: ORCH-NNN
-version: 1
+work_item_id: <plane-id>
+verdict: APPROVED        # APPROVED | REQUEST_CHANGES — строго одно из двух, UPPERCASE
+version: <N>
 ---
 
-# Review ORCH-NNN
+# Review <plane-id>
 
 ## Summary
 <краткий итог>
@@ -138,22 +96,13 @@ version: 1
 <статус обновления документации: что обновлено / что нужно обновить>
 ```
 
-**Правила вердикта:**
-- `verdict: APPROVED` — только если нет P0/P1.
-- `verdict: REQUEST_CHANGES` — при ЛЮБОМ P0/P1, включая необновлённую документацию.
-- Никаких других значений; без frontmatter QG не пройдёт.
-</output_format>
+## Правила
+- `verdict: APPROVED` только если нет P0/P1.
+- `verdict: REQUEST_CHANGES` при ЛЮБОМ P0/P1 — включая необновлённую документацию.
+- Никаких других значений. Без frontmatter QG не пройдёт (трактуется как not-approved).
 
-<success_criteria>
-Выход стадии готов, когда `12-review.md` записан, несёт корректный машинный `verdict:`
-(`APPROVED`|`REQUEST_CHANGES`, UPPERCASE) + frontmatter-схему 52c, а проверка документации выполнена
-явно.
-</success_criteria>
-
-<escalation>
-- **Любой finding P0/P1** (не реализовано требование ТЗ, нарушен ADR, критическая уязвимость,
-  необновлённая документация при изменении `src/`, слом маркированного инварианта) → единая точка:
-  вердикт `REQUEST_CHANGES` с перечнем findings и ссылками на ТЗ/ADR/правило.
-- **Неоднозначность/противоречивость требований** (не ясно, что считать корректным) → finding со
-  ссылкой на конкретное место `02-trz.md`/`03-acceptance-criteria.md`/`06-adr/`, а не subjective-оценка.
-</escalation>
+## Запрещено
+- Самому править код
+- Апрувить PR от того же экземпляра Developer
+- Subjective findings без ссылки на правило
+- Пропускать проверку документации

.openclaw/agents/tester.md

@@ -1,6 +1,7 @@
 ---
 name: tester
 description: QA-инженер. Прогоняет тесты, оформляет отчёт.
+model: claude-sonnet-4-6
 tools:
   - Filesystem (Read везде; Write только docs/work-items/<plane-id>/13-test-report.md)
   - Bash (pytest, curl)
@@ -8,90 +9,53 @@ tools:
 
 # System prompt: Tester
 
-<context>
 Ты — QA-инженер проекта **orchestrator**. Прогоняешь полный регресс и оформляешь отчёт.
 
-**Перед любым действием прочти:**
-1. `CLAUDE.md` — паспорт и правила.
-2. `docs/architecture/README.md` — конвейер и компоненты.
-3. `docs/work-items/<plane-id>/02-trz.md`.
-4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`.
-5. `docs/work-items/<plane-id>/04-test-plan.yaml`.
-6. `docs/work-items/<plane-id>/12-review.md` — убедись, что вердикт `APPROVED`.
-</context>
+## ⚠️ Начало работы
+**Прочти `CLAUDE.md` и `docs/architecture/README.md` перед любым действием.** Там паспорт проекта, конвейер и артефакты.
 
-<task>
-Твоя стадия — **testing**. Прогоняешь регресс и smoke, выносишь машинный вердикт `result:`
-(`PASS`|`FAIL`) в `13-test-report.md`. Гейт `check_tests_passed` читает вердикт из frontmatter.
+## Что прочесть
+1. `CLAUDE.md` — паспорт и правила
+2. `docs/architecture/README.md` — конвейер и компоненты
+3. `docs/work-items/<plane-id>/02-trz.md`
+4. `docs/work-items/<plane-id>/03-acceptance-criteria.md`
+5. `docs/work-items/<plane-id>/04-test-plan.yaml`
+6. `docs/work-items/<plane-id>/12-review.md` — убедись что вердикт APPROVED
 
-<thinking>
-Сначала прогони тесты и собери факты (pytest, smoke, покрытие ТЗ), классифицируй каждый TC, и
-ТОЛЬКО потом выноси вердикт. Любой FAIL/смок-сбой → `result: FAIL`; всё зелёное → `result: PASS`.
-</thinking>
+## Алгоритм
 
-**Алгоритм:**
-1. **Окружение:** `curl -s http://localhost:8500/health`.
-2. **Тесты — в worktree ветки задачи, НЕ в общем `/repos/orchestrator`.** Прогоняй `pytest` из
-   рабочего дерева именно этой задачи (`/repos/_wt/orchestrator/<branch-slug>/`, например
-   `feature_ORCH-NNN-slug`), где лежит код ветки. Общий чекаут `/repos/orchestrator` могут
-   параллельно переключать другие задачи (гонка checkout) → можно прогнать чужой код. Команда:
-   `cd <worktree-ветки> && pytest tests/ -v --tb=short`.
-3. **Smoke API (read-only):** `curl -s http://localhost:8500/health`, `…/status`, `…/queue`.
-   В ответе `/queue` проверь наличие блока `serial_gate` (ORCH-088) — он должен присутствовать в
-   полезной нагрузке (наряду с `auto_labels`); его отсутствие = регресс смока.
-4. **Покрытие ТЗ:** для **каждого** TC из `04-test-plan.yaml` — выполнен? PASS/FAIL? Сопоставь с
-   критериями `03-acceptance-criteria.md`. Готовность = каждый TC сопоставлен, а не «файл записан».
-</task>
+### Шаг 1 — Проверка окружения
+```bash
+curl -s http://localhost:8500/health
+```
 
-<deliverables>
-Через **Write tool** — единственный файл `docs/work-items/<plane-id>/13-test-report.md` (с машинным
-frontmatter-вердиктом, см. `<output_format>`).
+### Шаг 2 — Запуск тестов
+```bash
+cd /repos/orchestrator  # или worktree ветки
+pytest tests/ -v --tb=short
+```
 
-**Скелет:** `docs/_templates/13-test-report.md`. **Эталон полноты отчёта** — work item **ORCH-073**
-и **ORCH-088**.
-</deliverables>
+### Шаг 3 — Smoke test API
+```bash
+curl -s http://localhost:8500/health
+curl -s http://localhost:8500/status
+curl -s http://localhost:8500/queue
+```
 
-<constraints>
-- ❌ Не пиши продакшн-код → ✅ только прогоняй тесты и фиксируй результаты.
-- ❌ Не подгоняй тесты под код → ✅ если тест падает обоснованно, фиксируй `result: FAIL`.
-- ❌ Не запускай деструктивные операции на прод-контейнере → ✅ smoke только read-only
-  (`/health`, `/status`, `/queue`).
-</constraints>
+### Шаг 4 — Проверка покрытия ТЗ
+Для каждого теста из `04-test-plan.yaml`: выполнен? PASS/FAIL?
+Сопоставь результаты с критериями из `03-acceptance-criteria.md`.
 
-<output_format>
-Файл `13-test-report.md` ОБЯЗАН начинаться с YAML-frontmatter. Машинный ключ (НЕ менять
-имя/регистр/значения): `result: PASS | FAIL`.
-
-Поверх него — обязательная frontmatter-схема 52c (6 полей, `src/frontmatter.py::REQUIRED_FIELDS`),
-`status` согласован с `result:`:
-
-| Поле | Значение для tester |
-|------|---------------------|
-| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) |
-| `stage` | `testing` |
-| `author_agent` | `tester` |
-| `status` | согласован с `result:` (`pass` / `fail`) |
-| `created_at` | текущая дата `YYYY-MM-DD` |
-| `model_used` | резолв ORCH-41 — сейчас `claude-opus-4-8` |
-
-> ⚠️ **Не копируй `created_at`/`model_used` из примера буквально:** подставь фактическую текущую
-> дату (`date +%F`) и фактическую модель из конфига (резолв ORCH-41). Имена полей `created_at`/
-> `model_used` сохраняются; меняются только значения-плейсхолдеры `<YYYY-MM-DD>`/`<resolve ORCH-41>`.
+### Шаг 5 — Отчёт 13-test-report.md
 
 ```markdown
 ---
-result: PASS   # PASS | FAIL — машинный вердикт, UPPERCASE
-work_item: ORCH-NNN
-stage: testing
-author_agent: tester
-status: pass
-created_at: <YYYY-MM-DD>
-model_used: <resolve ORCH-41>
 type: test-report
-work_item_id: ORCH-NNN
+work_item_id: <plane-id>
+result: PASS   # PASS | FAIL
 ---
 
-# Test Report — ORCH-NNN
+# Test Report — <plane-id>
 
 ## Окружение
 - Python: <версия>
@@ -111,21 +75,11 @@ work_item_id: ORCH-NNN
 PASS / FAIL
 ```
 
-**Вердикт:**
-- Все тесты PASS + smoke OK → `result: PASS` → задача переходит на `deploy-staging`.
-- Любой FAIL → `result: FAIL` → откат на `development` (`back-to:dev`).
-</output_format>
+## Вердикт
+- Все тесты PASS, smoke OK → `result: PASS` → задача переходит deploy-staging
+- Любой FAIL → `result: FAIL` → откат на development (back-to:dev)
 
-<success_criteria>
-Выход стадии готов, когда `13-test-report.md` записан, несёт корректный машинный `result:`
-(`PASS`|`FAIL`, UPPERCASE) + frontmatter-схему 52c, таблицу TC и вывод pytest, И **каждый TC из
-`04-test-plan.yaml` выполнен и сопоставлен** с `03-acceptance-criteria.md` (а не только «файл
-записан»).
-</success_criteria>
-
-<escalation>
-- **Обоснованный FAIL** (тест/смок падает по делу) → `result: FAIL` → откат на development
-  (`back-to:dev`); НЕ подгоняй тесты под код.
-- **Смок-сбой инфраструктуры** (окружение/`/health`/`/queue` недоступны) → зафиксируй как
-  `result: FAIL` с диагностикой (что именно недоступно), а не «зелено по умолчанию».
-</escalation>
+## Запрещено
+- Писать продакшн-код
+- Подгонять тесты под код
+- Запускать на prod-контейнере деструктивные операции

.task-arch.md

@@ -1,4 +0,0 @@
-Work item: ORCH-061
-Repo: orchestrator
-Branch: feature/ORCH-061-bug-deploy-staging-development
-Stage: architecture

.task-dev.md

@@ -1,4 +0,0 @@
-Work item: ORCH-093
-Repo: orchestrator
-Branch: feature/ORCH-093-bug-merge-gitea-405-5xx-hold-p
-Stage: development

.task.md

@@ -1,8 +0,0 @@
-Work item: ORCH-061
-Repo: orchestrator
-Branch: feature/ORCH-061-bug-deploy-staging-development
-Stage: analysis
-Title: BUG: deploy-staging петля — откат на development (self-deploy)
-
-Description:
-Симптом: на стадии deploy-staging для self-hosting orchestrator задача откатывается deploy-staging -> development и крутится по кругу.ДВЕ подтверждённые причины (ORCH-58 + ORCH-60):1. check_staging_status FAILED (ложный). deployer гоняет staging_check.py, тот падает на C9a/C9b (sandbox e2e: branch not found + analyst job in queue) с пометкой «Plane comment check skipped: bot-tokens not added to SANDBOX project». 8/10 PASS, 2 ложных FAIL из-за ненастроенных bot-токенов SANDBOX-проекта. QG check_staging_status -> FAILED -> rollback deploy-staging->development. Это НЕ регресс кода, а отсутствие sandbox-настроек.2. no changes to commit. для action-стадий (деплой = рестарт/retag, не правка кода) deployer exit0 + «no changes» тоже трактуется stage_engine как недовыполнение -> откат.Последствие: прод-деплой self-hosting репо НЕВОЗМОЖЕН автономно — ORCH-58 и ORCH-60 доводились ВРУЧНУЮ (merge PR + build-once retag + --deploy). Прямой блокер автономного внедрения (эпик ORCH-54).Fix-направления (одно или оба):(а) Настроить sandbox bot-токены в SANDBOX Plane-проект, чтобы staging_check C9a/C9b проходили честно (10/10). Тогда check_staging_status не будет ложно падать.(б) Отвязать advance deploy-стадии от git-changes для self-deploy репо: успех = exit0 + health PASS (+ опц. staging_check), а не наличие коммита.Acceptance: ORCH-задача для self-hosting orchestrator проходит deploy-staging -> deploy -> Done БЕЗ ручного вмешательства и без петли. Priority P0.

CLAUDE.md

@@ -6,8 +6,8 @@
 ## Стек
 - Backend: FastAPI + uvicorn (Python 3.12)
 - БД: SQLite (`src/db.py`)
-- Агенты: Claude CLI (`ORCH_CLAUDE_BIN`), по одному промпту на роль в `.openclaw/agents/`. **ORCH-74:** модель/эффорт агента берутся ТОЛЬКО из config (`resolve_agent_model`/`resolve_agent_effort`, ORCH-41) — frontmatter `model:` удалён как мёртвый, frontmatter описательный; имя модели валидируется форматом `^claude-…$` перед `--model` (never-break). **ORCH-077 (52d, замыкает эпик 52):** тело всех 6 промптов переписано в едином **каноне Anthropic** (5 обязательных XML-секций в нормативном порядке `<context>`→`<task>`→`<deliverables>`→`<constraints>`→`<output_format>`, запреты в формате «❌ X → ✅ Y», `<thinking>` у решающих ролей), и каждый промпт **добровольно** эмитит 6-польную frontmatter-схему 52c (`work_item`/`stage`/`author_agent`/`status`/`created_at`/`model_used`) **аддитивно** — рядом с machine-verdict ключом, НЕ меняя его имя/регистр/значения (`verdict:`/`result:`/`staging_status:`/`deploy_status:`/`security_status:` — байт-в-байт). Это **docs/prompts-only** изменение: `src/**`/`STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД не тронуты; `frontmatter_validation_strict` остаётся `False` (enforcement НЕ включён). Промпт `cat`-ается из worktree в момент запуска → новые промпты вступают в силу на следующем worktree от `main` без прод-рестарта. Анти-регресс — структурные тесты `tests/test_agent_prompts_canon.py` + зелёный `test_agent_frontmatter_no_model.py`. **Норматив на будущее:** новые/изменённые агент-промпты следуют этому канону. Детали — `docs/architecture/adr/adr-0021-prompt-canon-anthropic.md`. **ORCH-092 (эпилог эпика 52, docs/prompts-only):** аудит 6 промптов поверх канона — копируемые frontmatter-примеры расхардкожены (`created_at: <YYYY-MM-DD>`/`model_used: <resolve ORCH-41>` + врезка «подставь `date +%F`/модель из конфига, не копируй буквально»; литерал `claude-opus-4-8` — только справка в таблице полей); добавлена секция `<escalation>` developer/reviewer/tester (после `</success_criteria>`, порядок 5 секций цел); developer лишён ручного `git rebase origin/main` (свежесть базы — инвариант движка serial-gate ORCH-088 + `auto_rebase_onto_main` под merge-lease; ручной rebase конфликтовал с запретом force-push — ADR-001 D1); tester обогащён worktree-путём + smoke `serial_gate` + покрытием каждого TC; из reviewer удалена мёртвая строка «тот же экземпляр Developer». **Языковое исключение (нормативно, ADR-001 D2):** `deployer.md` сознательно остаётся на **английском** (5 ru + 1 en) как самый safety-critical промпт — НЕ «чинить» язык вслепую; критичные self-hosting-запреты подняты в видную рамку. Verdict-ключи и канон 52d — байт-в-байт; анти-регресс — `tests/test_agent_prompts_canon.py` (ORCH-092 TC-01…TC-08). Детали — `docs/work-items/ORCH-092/06-adr/ADR-001-developer-rebase-and-deployer-language.md`.
-- Очередь задач: собственная (SQLite `jobs`, `src/queue_worker.py`, ORCH-1). **ORCH-026:** `claim_next_job` гейтит задачи с незавершёнными зависимостями (`job_deps`, `NOT EXISTS`) без занятия слота `max_concurrency`; декларации/детект циклов — leaf `src/task_deps.py` (kill-switch `ORCH_TASK_DEPS_ENABLED`). Сериализация мержа одного репо — безусловный pre-merge rebase под merge-lease (`ORCH_PREMERGE_REBASE_ALWAYS`). **ORCH-088 (serial gate, Этап 1):** новая задача репо не входит в `analysis` (analyst-job не выбирается, ветка не режется), пока в репо есть **более ранняя** незавершённая задача (`t2.id < jobs.task_id`, FIFO) ИЛИ репо заморожен (`repo_freeze`). Срез ветки **отложен** со `start_pipeline` на момент claim analyst-job (`launcher._materialize_deferred_branch`) — база = свежий `origin/main` с кодом предшественника (анти-stale-base). Post-deploy `DEGRADED` → durable per-repo freeze (`repo_freeze`, `cleared_at IS NULL` = активен) + Telegram; снятие — вручную `POST /serial-gate/unfreeze?repo=…`. Leaf `src/serial_gate.py` (claim — fail-OPEN, freeze — fail-CLOSED); флаги `ORCH_SERIAL_GATE_ENABLED` (kill-switch), `ORCH_SERIAL_GATE_REPOS` (CSV; пусто = все репо), `ORCH_SERIAL_GATE_FREEZE_ENABLED`. Блок `serial_gate` в `GET /queue`. `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты. **ORCH-093 (merge-актор устойчив к икоте Gitea):** детерминированный merge-актор под-гейта `deploy → done` (`src/merge_gate.py`) ретраит **транзиентные** ошибки Gitea вместо ложного HOLD (инцидент ORCH-063: `POST …/merge` → `405 "try again later"` сразу после пуша). `merge_pr` оборачивает **только** мутирующий `POST …/merge` в ограниченный retry-loop с экспоненциальным backoff (`min(base*2^(i-1), max)`, потолок суммарного сна `(N-1)*max ≤ 10 с`); классификатор `_classify_merge_response`: транзиент (ретрай) — `405`/`408`/`5xx`/таймаут/сетевая + `409`/`422` при `mergeable==True` (доп. `GET /pulls/{index}`; `mergeable==None` → дефолт-транзиент, fail-OPEN-в-ретрай), терминал (быстрый честный `False`, защита ORCH-071/073 как прежде) — `403`/`404`/реальный конфликт (`mergeable==False`). Kill-switch `merge_retry_enabled=false` → ровно один POST (байт-в-байт прежнее one-shot); флаги `ORCH_MERGE_RETRY_*` (`max_attempts=3`, `backoff_base_s=2`, `backoff_max_s=5`). Гард **already-in-main** в `ensure_open_pr` (leaf `_branch_fully_in_main`, `git merge-base --is-ancestor HEAD origin/main`): ветка целиком в `main` → исход `"already-in-main"` без создания мусорного пустого PR; `_handle_merge_verify` пропускает `merge_pr` и отдаёт авторитетному SHA-в-main довести до `done` (НЕ HOLD); git-ошибка → fail-OPEN на create-путь. Без отдельного флага (накрыт `merge_verify_autocreate_pr_enabled`). INV-4 (мерж только через Gitea PR-merge API, никогда push/force-push в `main`), never-raise, `STAGE_TRANSITIONS`/`QG_CHECKS`/схема БД — сохранены. Детали — `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`, сквозной `docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md`.
+- Агенты: Claude CLI (`ORCH_CLAUDE_BIN`), по одному промпту на роль в `.openclaw/agents/`
+- Очередь задач: собственная (SQLite `jobs`, `src/queue_worker.py`, ORCH-1)
 - Контейнеризация: Docker + Compose
 - CI/CD: Gitea Actions (`.gitea/workflows/`)
 - Деплой: docker compose на mva154
@@ -38,157 +38,32 @@ created → analysis → architecture → development → review → testing →
                           └──── REQUEST_CHANGES ──────┘  (откат на development, max 3)
 ```
 
-## Статусная модель Plane (ORCH-066) — индикация ≠ управление
-Статусы Plane — это **слой B (индикация)**, отдельный от **слоя A (машина стадий)** `src/stages.py::STAGE_TRANSITIONS`. Plane показывает наблюдателю осмысленную картину (`Backlog → Todo → Analysis → Architecture → Development → Code-Review → Testing → Awaiting Deploy → Deploying → Monitoring after Deploy → Done` + человеческие гейты `In Review/Approved`, `Confirm Deploy`), но НИКОГДА не управляет конвейером. Маппинг и сеттеры — `src/plane_sync.py` (6 новых ключей: `to_analyse/analysis/code_review/awaiting_deploy/deploying/monitoring`), с project-relative alias-fallback: на частично сконфигурированном проекте новый ключ деградирует на базовый UUID ТОГО ЖЕ проекта (нулевая регрессия для enduro-trails). Детали — `docs/architecture/README.md`.
-
-**Terminal-window-aware гард deploy-статусов (ORCH-094).** Задача с БД `stage=done` и 0 активных job'ов стабильно держит Plane=`Done`: три deploy-фазовых сеттера (`set_issue_awaiting_deploy`/`set_issue_deploying`/`set_issue_monitoring`) были терминал-слепы и флаппили `Awaiting ⟷ Monitoring` (верифицировано на ORCH-061, task 47), т.к. любой стейл/двойной/неизвестный вызов под бот-токеном перезаписывал терминал промежуточным статусом. Новый leaf `src/deploy_status_guard.py` (чистая, never-raise, config-gated; по образцу `serial_gate`/`labels`/`cancel`) — `decide(work_item_id, target, reason) -> ALLOW | CONVERGE_DONE | SUPPRESS` на **входе** трёх сеттеров `plane_sync` (низкий чокпоинт ловит любой путь, включая неизвестный актор). Инвариант: deploy-статус легитимен ⇔ задача **нетерминальна** ИЛИ (`done` И активно пост-деплой-окно `post_deploy.window_active` = ARMED & не DONE); иначе для `done` — идемпотентное `CONVERGE_DONE` (сеттер зовёт `set_issue_done`), для `cancelled` — `SUPPRESS`. Чтобы легитимный первый `Monitoring` (БД уже `done` к моменту стр. 404) прошёл, арм-блок `post_deploy.arm_monitor` **перенесён выше** terminal-sync-блока в `advance_stage` (ADR-001 D3) → `window_active==True` до выставления `Monitoring`. Монитор-тик при БД `cancelled` мид-окно → закрыть окно без статус-PATCH (zombie-tick guard, FR-3). Наблюдаемость: BC-kwarg `reason` у трёх сеттеров + одна структурная лог-запись на вердикт (`work_item`/`caller`/`target`/`db_stage`/`window_active`/`verdict`; converge/suppress → WARNING). Read-only аксессор `db.get_task_by_work_item_id`. Флаги `deploy_status_guard_enabled` (kill-switch; `False` → 1:1 прежнее) / `deploy_status_guard_repos` (CSV; **пусто → self-hosting only**, enduro не затронут). `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/machine-verdict/схема БД — не тронуты. Детали — `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`, сквозной `docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md`.
-
-## Нотификации / Telegram live-tracker (ORCH-042/066/067/087)
-Каждая задача = **одна карточка** в Telegram (`src/notifications.py`). Поведение карточки:
-- **Дефолт `tracker_mode` — `bump`** (ORCH-067; `edit` доступен через `ORCH_TRACKER_MODE=edit`).
-  `bump` на каждом обновлении удаляет старую карточку и шлёт свежую вниз чата (тихо), `edit`
-  редактирует на месте. Инвариант «одна карточка на задачу» — в обоих режимах.
-- **Зачистка сирот (ORCH-087):** bump ведёт авторитетный леджер ВСЕХ созданных карточек
-  (таблица `tracker_messages`, `deleted_at IS NULL` = жива) и на каждом обновлении удаляет
-  ВСЕ незакрытые mid, а не только скаляр `tracker_message_id` (он сохранён как указатель на
-  текущую карточку, BC). Это устраняет класс «замёрзшая сирота» (старая карточка с заголовком
-  ранней стадии, потерявшая ссылку при гонке/`delete`-fail+`send`-ok). Новый mid пишется в
-  леджер ТОЛЬКО при успешном `send` (BR-6); transient-`delete` остаётся незакрытым для ретрая;
-  «already gone»/>48ч (`_DELETE_GONE_MARKERS`) → закрывается. Остаточная гонка самозалечивается
-  за один bump. Known-limitation: Telegram 48ч (сироты старше неудаляемы).
-- **Эффорт в строке стадии (ORCH-087):** колонка `agent_runs.effort` стампится фактическим
-  `resolve_agent_effort` в `launcher._spawn` (CLI его в result-JSON не возвращает); строка
-  рендерится `· {model} · {effort}` (developer=`xhigh`, tester/deployer=`medium`, прочие=`high`);
-  пустой/исторический effort → суффикс опускается.
-- **Честное итоговое время (ORCH-087):** done-строка = три независимых подписанных метрики
-  `⏱️ Агенты {Σ agent_runs} · твоё {review~cap} · общее с ожиданием {wall}` (раньше `Всего {wall}`
-  читалось как сумма, которой не является). «Твоё» ограничено `tracker_brd_review_cap_s`
-  (`ORCH_TRACKER_BRD_REVIEW_CAP_S`, дефолт 2ч; маркер `~` при отсечке аномального застоя).
-- **Статус-строка карточки** (`📍 <status_label>`) показывает текущий Plane-статус по модели
-  ORCH-066 (`plane_status_label`). Оффлайн-ядро (`stage → статус`, In Review из brd-clock)
-  работает всегда без сети; best-effort live-overlay (kill-switch `tracker_live_status`,
-  TTL-кэш, короткий таймаут) лишь дорисовывает ветки, неотличимые offline (Needs Input /
-  Blocked / Rejected / Cancelled / **Confirm Deploy** / Deploying / Monitoring) и **никогда не
-  блокирует конвейер**.
-- **Кликабельный номер задачи** (`plane_issue_link`) — `ORCH-NNN` в карточке И во всех
-  уведомлениях (`notify_*`, alert'ы стадий) рендерится как `<a href=…>` на issue в Plane;
-  fail-safe → просто `html.escape(номер)`, если ссылку построить нельзя. Никогда не падает.
-- **Без link-preview (ORCH-080):** оба примитива (`send_telegram`/`edit_telegram`) шлют
-  payload с `disable_web_page_preview: True` — баннер Plane («Modern project management»)
-  под кликабельной ссылкой `ORCH-NNN` больше не разворачивается ни в карточке (`bump`/`edit`),
-  ни в notify/alert-сообщениях. `parse_mode: HTML` сохранён → ссылка остаётся кликабельной.
-- Транспорт (`send_telegram`/`edit_telegram`/`delete_telegram`), `disable_notification`
-  (карточка тихая, пингуют только alert-хелперы), схема БД — не трогаются.
-
-## Авто-режим по лейблам: autoApprove + autoDeploy (ORCH-089)
-Конвейер имеет два **человеческих** гейта, тормозящих пакетный автономный прогон
-(эпик ORCH-088): гейт BRD (`analysis`: ручной `Approved`) и гейт прод-деплоя
-(`deploy` Phase A: ручной `Confirm Deploy`, ORCH-059). ORCH-089 снимает **только эти
-два человеческих решения** — выборочно (лейбл Plane на задаче), декларативно,
-обратимо, **не трогая ни одной технической проверки**. Инвариант: авто-режим снимает
-лишь ожидание человеческого сигнала; `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_*`/схема БД
-— **не трогаются**. Аддитивно: leaf `src/labels.py` (never-raise) + две точечные врезки.
-- **`autoApprove`** → врезка в `stage_engine._handle_analysis_approved_flow` (ветка
-  `files_ok`): `set_issue_approved` (индикация) + лог/Telegram/Plane-коммент +
-  `advance_stage(..., finished_agent=None)` — **тот же путь, что человеческий Approved**
-  (`approved-via-status` → `analysis → architecture` + `mark_brd_review_ended`).
-- **`autoDeploy`** → врезка в `stage_engine._handle_self_deploy_phase_a` после advance
-  на `deploy` + `clear_state`: лог/Telegram/Plane-коммент + `_handle_self_deploy_phase_b`
-  (маркер `INITIATED`, статус `Deploying`, finalizer). Пропускаются лишь
-  индикативно-человеческие шаги. **BR-5 структурно:** Phase A достигается только после
-  зелёных под-гейтов ребра `deploy-staging → deploy` (security → merge-gate →
-  image-freshness → staging) → autoDeploy физически не деплоит сломанное.
-- **Чтение лейблов** — `plane_sync.fetch_issue_labels` (`None` при ошибке ≠ `[]`) +
-  `get_project_labels` (`{normalized_name→uuid}`, TTL-кэш); сопоставление по
-  нормализованному имени (`strip().casefold()`), неоднозначность → «нет лейбла».
-  Источник истины — Plane API, не payload вебхука. Новый сеттер `set_issue_approved`.
-- **Флаги** (`config.py`): `auto_label_enabled` (kill-switch), `auto_approve_label`/
-  `auto_deploy_label`, `auto_label_repos` (CSV; **пусто → self-hosting only**),
-  `auto_label_states_ttl_s`. `applies(repo)` (локальный) проверяется ПЕРВЫМ; `has_label`
-  (сеть) — только при `applies==True` → при выключенном флаге нулевой сетевой оверхед.
-- **Fail-safe (never auto):** любая ошибка/недоступность Plane/неоднозначность →
-  «нет авто» → ручной гейт (never-raise). Прозрачность: лог + Telegram + Plane-коммент +
-  live-карточка; блок `auto_labels` в `GET /queue`. **Инфра-предусловие:** создать лейблы
-  `autoApprove`/`autoDeploy` в Plane-проекте ORCH (их отсутствие = ручной режим, fail-safe).
-  Детали — `docs/work-items/ORCH-089/06-adr/ADR-001-auto-label-gates.md`,
-  `docs/architecture/adr/adr-0018-auto-label-gates.md`.
-
-## Отмена задачи: статус STOP (ORCH-090)
-Выделенный Plane-статус **STOP** — операторская кнопка «отменить + сбросить» задачу. Вводит
-**новое системное терминальное состояние `cancelled`** (стадия `tasks.stage='cancelled'` + job-исход
-`jobs.status='cancelled'`), равноправное `done`. Логический ключ `stop` — **fail-closed** (нет в
-`_DEFAULT_STATES`, по образцу `confirm_deploy`/ORCH-059): доска без статуса STOP → ветка не
-активируется. Маршрут `handle_issue_updated → handle_stop → stage_engine.cancel_task`:
-- **Полный сброс** (вне критичного окна): graceful SIGTERM активного агента (`launcher.stop_process`,
-  переиспользует каскад `_watchdog`), все job'ы → терминальный `cancelled` (не реквью'ятся:
-  `claim_next_job` берёт только `queued`, reaper/worker сверяют терминал задачи — TR-2), удаление
-  worktree + **рабочей** Gitea-ветки (`gitea.delete_remote_branch`, **никогда** `main`, без
-  force-push), durable `stage='cancelled'` + **тумбстон** натуральных ключей (`plane_id`/
-  `work_item_id`/`plane_issue_id` → суффикс `#cancelled-<id>`; ADR-001 D4 уточнён: тумбстонится и
-  `plane_issue_id`, т.к. `get_task_by_plane_id`/`create_task_atomic` матчат по нему — иначе re-create
-  коллизирует; исходный UUID парсится из суффикса для аудита). Docs-артефакты (`01..17`) сохраняются.
-- **STOP в критичном окне merge/deploy** (ADR-001 D7): `cancel.in_critical_window` → **отложенная**
-  отмена: `tasks.cancel_requested_at`, снимаются только `queued` job'ы (running-актор деплоя/мержа не
-  трогается), алерт; детерминированный finalizer (`run_deploy_finalizer`) доводит необратимый шаг до
-  честного исхода и применяет отмену (`force=True`). «Критичное окно» = реально начатый необратимый
-  шаг: INITIATED-sentinel self-deploy (ORCH-036; детач-деплой + поздний `merge_pr` в
-  `_handle_merge_verify` идут под тем же маркером) **либо** держание merge-lease (ORCH-043) **И**
-  активно бегущий актор (running-job). **Уточнение P1 (ORCH-090 review):** держание merge-lease в
-  Phase A на стадии `deploy` в ожидании ручного `Confirm Deploy` БЕЗ бегущего актора **полностью
-  обратимо** (ничего не смержено/задеплоено) → НЕ критично → немедленный полный сброс (сам отпускает
-  lease). Иначе отмена откладывалась бы к finalizer'у, который оператор (нажавший STOP именно чтобы НЕ
-  подтверждать деплой) не запускает — задача застревала бы с удержанным lease, клиня serial-gate репо.
-  STOP **никогда** не трогает `main`/force-push/прод-контейнер/detached-процесс (NFR-3).
-- **Кросс-каттинг (adr-0026):** предикат «задача терминальна» расширен `{done}` → `{done, cancelled}`
-  в `serial_gate`/`task_deps`/`stages.py`-сток (иначе отменённая задача заклинит очередь репо);
-  reconciler-терминал-скип уже знал `cancelled` (ORCH-086). `STAGE_TRANSITIONS` exit-гейты рёбер /
-  `QG_CHECKS` / `check_*` — **не тронуты** (`cancelled` — сток, не ребро).
-- **Дыра релонча закрыта (D6):** relaunch агента в `handle_status_start` ограничен стадией `analysis`
-  (единственный владелец Needs Input, ORCH-066); ручной перевод существующей задачи в иной промежуточный
-  статус больше не релончит середину пайплайна. Запуск пайплайна — только «To Analyse» → `start_pipeline`.
-- Флаги `stop_status_enabled` (kill-switch; `False` → всё инертно, нулевая регрессия) / `stop_status_repos`
-  (CSV; пусто → все репо). Leaf `src/cancel.py` (never-raise). Read-only блок `stop` в `GET /queue`.
-  Аддитивные колонки `tasks.cancelled_at`/`cancel_requested_at` (`_ensure_column`). **Инфра-предусловие:**
-  создать статус **STOP** с группой `cancelled` на доске ORCH (его отсутствие = fail-safe no-op). Детали —
-  `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`,
-  `docs/architecture/adr/adr-0026-stop-cancel-task.md`.
-
 ## Конвенции
 - Conventional Commits (`feat:`, `fix:`, `docs:`, `refactor:`, `test:`)
 - Ветки: `feature/ORCH-NNN-slug`, `fix/ORCH-NNN-slug`
 - ADR per work-item: `docs/work-items/<plane-id>/06-adr/ADR-NNN-slug.md`
 - Global ADR (сквозные решения): `docs/architecture/adr/adr-NNNN-slug.md`
 - Work items: `docs/work-items/<plane-id>/`
-- Машинные вердикты Quality Gate — строго YAML-frontmatter (`verdict:`, `deploy_status:`, `staging_status:`, `security_status:`), никогда проза. **ORCH-52c (ORCH-076):** парсинг frontmatter сведён к единому контракту `src/frontmatter.py` (reader `read_frontmatter_value` — BC; единый парс-примитив `parse_frontmatter`; writer `render/write_frontmatter`; валидатор схемы `validate_schema`/`REQUIRED_FIELDS` — warning-only по умолчанию, hard-fail только под kill-switch `frontmatter_validation_strict`, дефолт `False`). Пять вердикт-парсеров (`check_reviewer_verdict`, `_parse_tests_verdict`, `_parse_deploy_status`, `_parse_staging_status`, `parse_security_status`) читают через ОДНУ точку парсинга; семантика вердиктов и `STAGE_TRANSITIONS`/состав `QG_CHECKS` — 1:1. Формальная спека «стадия → обязательный выход» + обязательная frontmatter-схема — `docs/_standards/HANDOFF_PROTOCOL.md`
+- Машинные вердикты Quality Gate — строго YAML-frontmatter (`verdict:`, `deploy_status:`, `staging_status:`), никогда проза
 
 ## Артефакты задачи (`docs/work-items/<plane-id>/`)
-`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`, `16-post-deploy-log.md` (post-deploy наблюдение, ORCH-021), `17-security-report.md` (security-гейт: `security_status:`/secrets/deps, ORCH-022).
-
-**Стандарт документов (ORCH-075, ORCH-52b):** структура каждого дока, карта «стадия→агент→документ→гейт→machine-key» и конвенция ADR-naming зафиксированы в `docs/_standards/PIPELINE_DOCS.md` (golden source); копируемые скелеты — в `docs/_templates/`. Перед написанием номерного дока бери скелет из `docs/_templates/` и не меняй имя machine-key frontmatter (регистр чувствителен — иначе гейт упадёт ложно).
+`00-business-request.md`, `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml`, `06-adr/ADR-NNN-slug.md`, `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md`, `12-review.md`, `13-test-report.md`, `14-deploy-log.md`, `15-staging-log.md`.
 
 ## Правила для агентов
 1. Перед любым действием прочесть этот файл и `docs/architecture/README.md`.
-2. **Документация = golden source наравне с кодом.** Изменил функционал → обнови доку В ТОМ ЖЕ PR. Архитектурное решение → заведи ADR (формат — `docs/_standards/PIPELINE_DOCS.md` §4). Структура номерных доков и шаблоны — `docs/_standards/PIPELINE_DOCS.md` + `docs/_templates/`. Обнови `CHANGELOG.md`.
+2. **Документация = golden source наравне с кодом.** Изменил функционал → обнови доку В ТОМ ЖЕ PR. Архитектурное решение → заведи ADR. Обнови `CHANGELOG.md`.
 3. Никогда не править артефакты других этапов.
 4. Никогда не комментировать ТЗ задним числом — если ТЗ не годится, возвращай в Анализ.
 5. Никогда не закрывать задачу самостоятельно — это делает CI / финальная стадия.
-6. **Reviewer проверяет: обновлена ли документация. Нет → REQUEST_CHANGES.** Это включает **обзорные доки** (ORCH-079, 52f — финал эпика 52): если PR закрывает пункт `README.md` «Известные ограничения», но README не обновлён → finding ≥P1 (витрина проекта не должна выдавать решённое за открытое).
+6. **Reviewer проверяет: обновлена ли документация. Нет → REQUEST_CHANGES.**
 7. Не использовать `--no-verify` без явного одобрения Owner.
 8. Секреты — только в `.env`/`.env.staging` на хосте, в гит НЕ коммитятся (канон — `.env.example`).
-9. **Трассировка маркеров (ORCH-078, ORCH-52e):** правишь строку/блок с маркером `ORCH-NNN` →
-   ПЕРЕД изменением прочитай его `docs/work-items/ORCH-NNN/06-adr/` и не сломай зафиксированный
-   инвариант; блок с 3+ маркерами → опирайся на сводный сквозной ADR. Стандарт маркеров (формат,
-   размещение, fallback-доступ, анти-археология, каноничное правило чтения) — `docs/_standards/TRACEABILITY.md`.
 
 ## ⚠️ Self-hosting — оркестратор правит САМ СЕБЯ
 Задачи проекта ORCH меняют инструмент, который СЕЙЧАС работает в продакшене и обслуживает ДРУГИЕ проекты (enduro-trails) из ОДНОГО инстанса с ОБЩЕЙ БД и общей очередью.
 - **НЕ перезапускать / не ронять прод-контейнер** `orchestrator` в рамках задачи — встанет конвейер всех проектов.
 - Любой деплой/рестарт self = групповой риск. Детали и топология — `docs/operations/INFRA.md`.
 - Стадия `deploy-staging` (порт 8501) — обязательная страховка перед прод-деплоем орка.
-- Прод-деплой орка запускается ТОЛЬКО переводом задачи на стадии `deploy` в выделенный
-  Plane-статус **«Confirm Deploy»** (ORCH-059). Статус `Approved` — человеческий гейт
-  конвейера и прод-деплой НЕ запускает (на `deploy` — no-op). Это разделяет «одобрить
-  артефакт» и «выкатить в прод», чтобы привычный approve не ронял прод случайным кликом.
 
 ---
 *Паспорт проекта orchestrator. Поддерживается агентами при каждой доработке. Изолирован: описывает только этот проект (канон per-repo, см. ORCH-9).*

Dockerfile

@@ -1,51 +1,11 @@
 FROM python:3.12-slim
-# ORCH-058 (Strategy B): stamp the image with the git commit it was built from so
-# the deploy hook can fail-close if a stale staging image would be promoted to prod
-# (INV-FRESH). Passed at build time via `--build-arg GIT_SHA=<sha>` (the staging
-# rebuild in check_staging_image_fresh / the --build-staging hook mode supplies it).
-# Without the build-arg the label is empty -> the hook treats it as a mismatch
-# (fail-closed). The OCI-standard key is read by `docker image inspect`.
-ARG GIT_SHA=""
-LABEL org.opencontainers.image.revision=$GIT_SHA
 WORKDIR /app
-RUN apt-get update -qq && apt-get install -y -qq openssh-client git curl ca-certificates && rm -rf /var/lib/apt/lists/*
+RUN apt-get update -qq && apt-get install -y -qq openssh-client git && rm -rf /var/lib/apt/lists/*
 # git operations run as root over bind-mounted /repos (may be owned by host uid) -> trust it.
 RUN git config --system --add safe.directory '*'
-# ORCH-022: pinned gitleaks static Go binary for the offline secret-scan sub-gate
-# (07-infra I-1). Baked into the image (NOT a pip package): the gate runs INSIDE the
-# orchestrator container over a per-task worktree. Pinned release => deterministic
-# rules; gitleaks needs no network so the "a secret always blocks" guarantee (BR-2)
-# is independent of internet access. Multi-arch aware (amd64/arm64).
-ARG GITLEAKS_VERSION=8.18.4
-RUN set -eux; \
-    arch="$(dpkg --print-architecture)"; \
-    case "$arch" in \
-      amd64) gl_arch="x64" ;; \
-      arm64) gl_arch="arm64" ;; \
-      *) echo "unsupported arch: $arch" >&2; exit 1 ;; \
-    esac; \
-    curl -fsSL -o /tmp/gitleaks.tar.gz \
-      "https://github.com/gitleaks/gitleaks/releases/download/v${GITLEAKS_VERSION}/gitleaks_${GITLEAKS_VERSION}_linux_${gl_arch}.tar.gz"; \
-    tar -xzf /tmp/gitleaks.tar.gz -C /usr/local/bin gitleaks; \
-    chmod +x /usr/local/bin/gitleaks; \
-    rm -f /tmp/gitleaks.tar.gz; \
-    gitleaks version
-# ORCH-58: compose runs the container as uid:gid 1000:1000 (ORCH-40), but the base
-# image has no passwd entry for uid 1000 -> ssh/whoami fail with
-# "No user exists for uid 1000" (rc=255), breaking the detached self-deploy ssh
-# launch (ORCH-36 Phase B). Create a real user 1000 with a home dir so getpwuid()
-# resolves and ssh can start.
-RUN groupadd -g 1000 app && useradd -u 1000 -g 1000 -m -d /home/slin -s /bin/bash slin
 COPY requirements.txt .
 RUN pip install --no-cache-dir -r requirements.txt
 COPY src/ ./src/
-# ORCH-021: do NOT `COPY data/ ./data/`. `data/` is gitignored (SQLite DB dir) and
-# is provided at runtime as a bind-mount volume (`./data:/app/data`, see
-# docker-compose.yml) which shadows anything baked into the image — so the COPY was
-# dead weight. Worse, the ORCH-058 staging rebuild (`check_staging_image_fresh`)
-# builds with the task *worktree* as the docker build context; a fresh worktree never
-# contains the untracked `data/`, so `COPY data/` failed `docker build` with exit 1
-# and bounced the task off `deploy-staging`. We just ensure the mountpoint exists.
-RUN mkdir -p /app/data
+COPY data/ ./data/
 ENV PYTHONPATH=/app
 CMD ["uvicorn", "src.main:app", "--host", "0.0.0.0", "--port", "8500"]

README.md

@@ -29,7 +29,7 @@ created → analysis → architecture → development → review → testing →
 | created | — | — | Plane webhook (work_item.created) |
 | analysis | analyst | Файлы BRD/TRZ/AC/TestPlan | Push docs/ |
 | architecture | architect | ADR или infra-requirements | Push docs/ |
-| development | developer | check_ci_green (Gitea CI зелёный на ветке) | Auto-advance после developer |
+| development | developer | check_tests_local (орк сам гоняет `make test`) | Auto-advance после developer |
 | review | reviewer | check_reviewer_verdict (`verdict:` во frontmatter 12-review.md) | Auto-advance после reviewer |
 | testing | tester | check_tests_passed (test-report.md) | Auto-advance после tester |
 | deploy-staging | deployer | check_staging_status (15-staging-log.md) | Auto-advance после tester |
@@ -121,7 +121,6 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_REPOS_DIR` | Repos dir (container) | `/repos` |
 | `ORCH_HOST_REPOS_DIR` | Repos dir (host) | `/home/slin/repos` |
 | `ORCH_DB_PATH` | SQLite path | `/app/data/orchestrator.db` |
-| `ORCH_RUNS_DIR` | Базовый каталог per-run логов агентов (`<runs_dir>/{run_id}.log`, ORCH-087) | `/app/data/runs` |
 | `ORCH_MAX_CONCURRENCY` | Сколько jobs воркер запускает параллельно (ORCH-1) | `1` |
 | `ORCH_QUEUE_POLL_INTERVAL` | Период опроса очереди воркером, сек (ORCH-1) | `2.0` |
 | `ORCH_PREFLIGHT_CACHE_TTL` | Кэш preflight (CLI/net), сек (ORCH-1 resilience) | `45` |
@@ -136,10 +135,6 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_RECONCILE_GRACE_DEFAULT_S` | Порог «застряла» по `tasks.updated_at`, сек | `600` |
 | `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | Per-stage пороги, напр. `{"development":300}` | `""` |
 | `ORCH_RECONCILE_NOTIFY_UNBLOCK` | Telegram при разблокировке застрявшей задачи | `true` |
-| `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED` | F-1 Guard 2 (ORCH-060): пропуск задач в Plane-статусе Blocked / Needs Input; `false` глушит только сетевой Guard 2 (Guard 1 escalated всегда активен) | `true` |
-| `ORCH_QG0_TITLE_MAX` | Верхний лимит длины заголовка QG-0 (вход `_qg0_errors`); невалидное/пустое значение → дефолт (ORCH-069) | `200` |
-| `ORCH_STOP_STATUS_ENABLED` | Kill-switch отмены задачи по Plane-статусу **STOP** + закрытия дыры релонча (ORCH-090); `false` → поведение 1:1 как до ORCH-090 | `true` |
-| `ORCH_STOP_STATUS_REPOS` | CSV область репо для STOP-отмены; пусто = все репо (ORCH-090) | `""` |
 
 ## Очередь задач (ORCH-1 / F-2b)
 
@@ -156,30 +151,7 @@ Webhook-хэндлеры больше не спавнят claude-агентов
 - **Ретраи.** Упавший job (exit≠0) ретраится пока `attempts < max_attempts`,
   потом `failed` + Telegram-нотификация.
 
-Статусы job: `queued → running → done | failed`; **`cancelled`** — терминальный
-исход STOP-отмены (ORCH-090), нигде не реквью'ится. Наблюдаемость — через `GET /queue`.
-
-## Отмена задачи: статус STOP (ORCH-090)
-
-Перевод задачи в выделенный Plane-статус **STOP** отменяет её: оркестратор
-останавливает активного агента (graceful SIGTERM-каскад), снимает все job'ы
-(терминальный `cancelled`, без авто-requeue), удаляет worktree и **рабочую**
-ветку в Gitea (**никогда** `main`, без force-push), сбрасывает прогресс в
-durable-терминал `tasks.stage='cancelled'` и тумбстонит натуральные ключи
-(`#cancelled-<id>`), чтобы повторный «To Analyse» создал задачу **с нуля**.
-Docs-артефакты (`01..17`) сохраняются. STOP во время критичного шага merge/deploy
-— **откладывается** до его честного завершения (никакого half-merge / рестарта
-прода). Параллельно закрыта «дыра релонча»: ручной перевод в промежуточный рабочий
-статус больше не релончит агента — единственный вход к запуску пайплайна остаётся
-«To Analyse» (релонч агента сменой статуса разрешён только на стадии `analysis` —
-владельце Needs Input). Всё под kill-switch `ORCH_STOP_STATUS_ENABLED`, аддитивно,
-never-raise. Наблюдаемость — блок `stop` в `GET /queue`. Деталь — `docs/work-items/
-ORCH-090/06-adr/ADR-001-stop-cancel-task.md` + сквозной
-`docs/architecture/adr/adr-0026-stop-cancel-task.md`.
-
-> **Инфра-предусловие:** на доске Plane проекта ORCH создать статус **«STOP»** с
-> группой `cancelled`. До создания статуса фича в fail-safe (нет UUID → ветка STOP
-> не активируется).
+Статусы job: `queued → running → done | failed`. Наблюдаемость — через `GET /queue`.
 
 **Resilience-слой:** дешёвый preflight (CLI/net, кэш, без токенов) гейтит claim;
 429/overload детектится по логу (transient vs permanent), transient ретраится с
@@ -248,7 +220,7 @@ stdout/stderr агента перенаправляются СРАЗУ в `/app/
 Gitea events роутятся по типу:
 - `push` → проверка файлов, advance architecture/development
 - `pull_request*` (wildcard) → review approved/rejected, PR merge
-- `status` → Gitea CI статус; ORCH-045: авторитетный гейт развития (`development → review`) — `check_ci_green` читает статус ветки с polling-retry (устраняет гонку «pending сразу после push»)
+- `status` → (legacy) Gitea CI; С-1: больше не authoritative, `failure` логируется на debug и не блокирует/не алертит (QG развития = локальный `check_tests_local`)
 
 ## Тесты
 
@@ -258,19 +230,9 @@ pytest tests/ -v
 
 ## Известные ограничения
 
-Реально открытые ограничения (сверено с кодом, ORCH-079):
-
-1. **Telegram 48h** — карточки-сироты старше 48 часов неудаляемы (лимит Telegram Bot API); зачистка сирот самозалечивает только свежие (ORCH-087).
-2. **Зависимости задач — только intra-repo (v1)** — `job_deps` выражают связи в пределах одного репозитория; кросс-репо зависимости пока не поддержаны (ORCH-026).
-3. **Пакетный автоном — Этап 1** — per-repo serial gate сериализует задачи одного репо (ORCH-088); полный пакетный автономный прогон «10–20 задач за ночь» — в развитии (эпик ORCH-088).
-
-### Закрыто (история)
-
-Пункты, ранее значившиеся ограничениями, закрыты кодом — оставлены как трассировка:
-
-- **Single-task / shared `/repos` checkout** → git worktree per task (`ensure_worktree`) + serial-gate (ORCH-088) + task-deps (ORCH-026).
-- **In-process daemon-потоки** → персистентная очередь задач (SQLite `jobs`, `src/queue_worker.py`), restart-safe (ORCH-1).
-- **Gitea CI не настроен** → активный гейт стадии `development` — `check_ci_green` (`src/qg/checks.py`); `check_tests_local` помечен DEPRECATED.
-- **No retry on API errors** → exp-backoff + circuit breaker в `queue_worker.py` (`ORCH_BACKOFF_*` / `ORCH_BREAKER_*` / `ORCH_TRANSIENT_MAX_ATTEMPTS`) + retry-loop в `check_ci_green` (ORCH-1 resilience / ORCH-045).
-- **Plane sync — маппинг issue ID** → зрелый `src/plane_sync.py` (`find_issue_id`, `fetch_issue_sequence_id`) со статус-моделью и TTL-самозалечиванием (ORCH-010 / 066 / 068).
-- **Tester timeout — Playwright e2e** → orchestrator является pytest-сервисом (Playwright неприменим); реальный механизм — конфигурируемый watchdog (`agent_timeout_seconds`, ORCH-7).
+1. **Single-task / shared `/repos` checkout** — одновременно безопасно обрабатывается одна задача: все агенты и `check_tests_local` делают `git checkout` в одном `/repos/<repo>` → гонки при параллельных задачах. Исправление — git worktree per task (S-4, отдельно).
+2. **Plane sync** — маппинг issue ID может быть некорректным (P3, в работе)
+3. **In-process daemon-потоки** — агенты живут в потоках uvicorn; при рестарте ловит orphan-recovery. Целевое — очередь задач (F-2b)
+4. **Gitea CI не настроен** — тесты гоняет сам оркестратор локально
+3. **Tester timeout** — e2e тесты с Playwright могут занимать >25 мин на тяжёлых фичах
+4. **No retry on API errors** — httpx вызовы к Gitea/Plane без retry logic

docker-compose.yml

@@ -26,15 +26,9 @@ services:
     environment:
       - ORCH_REPOS_DIR=/repos
       - ORCH_HOST_REPOS_DIR=/home/slin/repos
-      # legacy enduro deployer (read via os.environ, keep as-is):
       - DEPLOY_SSH_USER=slin
       - DEPLOY_SSH_HOST=127.0.0.1
       - DEPLOY_HOOK_SCRIPT=/home/slin/bin/enduro-deploy-hook.sh
-      # ORCH-036 self-deploy (read via pydantic ORCH_ prefix; host-network -> 127.0.0.1, ssh key mounted):
-      - ORCH_DEPLOY_SSH_USER=slin
-      - ORCH_DEPLOY_SSH_HOST=127.0.0.1
-      - ORCH_DEPLOY_HOOK_SCRIPT=scripts/orchestrator-deploy-hook.sh
-      - ORCH_DEPLOY_HOST_REPO_PATH=/home/slin/repos/orchestrator
     group_add:
       - "999"
 

docs/_standards/HANDOFF_PROTOCOL.md

@@ -1,118 +0,0 @@
-# HANDOFF_PROTOCOL — формальный контракт handoff «стадия → обязательный выход»
-
-> **Назначение.** Нормативная спека: что КАЖДАЯ стадия конвейера обязана оставить на выходе —
-> какие документы и какие frontmatter-ключи. Дополняет [`PIPELINE_DOCS.md`](PIPELINE_DOCS.md)
-> (карта «документ → агент → стадия → гейт → machine-key») «вертикальным» срезом по стадиям и
-> вводит **обязательную frontmatter-схему** для машинной проверки.
->
-> **Статус истины (важно).** Источник истины поведения — **код**: `src/stages.py`
-> (`STAGE_TRANSITIONS`), `src/qg/checks.py` (`QG_CHECKS` / `check_*` / `_parse_*`),
-> `src/stage_engine.py` (врезки под-гейтов). Машинный контракт чтения/записи/валидации
-> frontmatter — `src/frontmatter.py`. Эта спека **документирует**; при расхождении первичен код
-> (правило ORCH-075).
-
-Введено задачей **ORCH-076** (ORCH-52c — слой 2 эпика ORCH-52: машинный контракт). Слой 1
-(ORCH-075/52b) дал описательный стандарт документов; ORCH-52c реализовала единый машинный
-frontmatter-контракт (reader + writer + валидатор) и свела чтение пяти вердиктов к одной точке
-парсинга. Сквозной ADR: [`adr-0020-frontmatter-contract.md`](../architecture/adr/adr-0020-frontmatter-contract.md);
-детально — [`ORCH-076/06-adr/ADR-001-frontmatter-contract.md`](../work-items/ORCH-076/06-adr/ADR-001-frontmatter-contract.md).
-
----
-
-## 1. Обязательная frontmatter-схема (машинный источник: `frontmatter.REQUIRED_FIELDS`)
-
-Forward-looking аддитивная схема: набор полей, которые handoff-документ стадии **должен** нести
-в ведущем YAML-frontmatter. Машинный источник истины — кортеж
-[`src/frontmatter.py`](../../src/frontmatter.py) `REQUIRED_FIELDS`:
-
-| Поле | Смысл |
-|------|-------|
-| `work_item` | ID задачи (`ORCH-NNN` / `ET-NNN`) — к какой задаче относится выход |
-| `stage` | стадия, на выходе которой написан документ (`analysis` … `deploy`) |
-| `author_agent` | роль-автор (`analyst` / `architect` / `developer` / `reviewer` / `tester` / `deployer`) |
-| `status` | человеко/машинно-читаемый статус выхода стадии |
-| `created_at` | дата создания артефакта (YYYY-MM-DD) |
-| `model_used` | модель агента, сгенерировавшего артефакт (`claude-…`) |
-
-**Режим проверки (ORCH-52c, критично для self-hosting).** Валидатор схемы
-`frontmatter.validate_schema` / `maybe_warn_schema` по умолчанию **warning-only** и **никогда не
-влияет на boolean-вердикт ни одного гейта**: отсутствие полей логируется (`logger.warning`), но не
-роняет конвейер и не заваливает гейт. Жёсткий режим (hard-fail) зарезервирован на будущее
-(ORCH-52d) и включается ТОЛЬКО kill-switch'ем `frontmatter_validation_strict`
-(env `ORCH_FRONTMATTER_VALIDATION_STRICT`, дефолт `False`). Схема **аддитивна**: старый
-документ-вердикт без этих полей читается гейтом ровно как раньше (см. §3).
-
----
-
-## 2. Контракт handoff по стадиям
-
-Категории документов — как в `PIPELINE_DOCS.md` §2: **required** (всегда), **when-applicable**
-(при наличии предмета: инфра / данные / security / post-deploy — отсутствие не нарушение).
-«Machine-verdict ключ» — поле, которое exit-гейт/под-гейт ребра читает ТОЛЬКО из frontmatter
-(никогда из прозы). Набор документов/ключей/гейтов **согласован 1:1 с `PIPELINE_DOCS.md` §2–§3**.
-
-| Стадия (выход) | Агент | Обязательные документы на выходе | Machine-verdict ключ (читает гейт ребра) | Гейт ребра |
-|----------------|-------|----------------------------------|------------------------------------------|------------|
-| `created` | система (`_create_initial_docs`) / заказчик | `00-business-request.md` | — (вход, не гейтится) | — |
-| `analysis` | analyst | `01-brd.md`, `02-trz.md`, `03-acceptance-criteria.md`, `04-test-plan.yaml` | — (гейт проверяет наличие файлов + Approved) | `check_analysis_approved` |
-| `architecture` | architect | `06-adr/ADR-NNN-<slug>.md` (≥1); `07-infra-requirements.md`, `08-data-requirements.md`, `10-tech-risks.md` (when-applicable/required-info) | — (гейт проверяет наличие `06-adr/` ≥1 ИЛИ `07-…`) | `check_architecture_done` |
-| `development` | developer | код + тесты в ветке (артефакт-док не пишется; гейт — зелёный CI) | — (гейт читает CI-статус Gitea) | `check_ci_green` |
-| `review` | reviewer | `12-review.md` | `verdict:` (`APPROVED` \| `REQUEST_CHANGES`) | `check_reviewer_verdict` |
-| `testing` | tester | `13-test-report.md` | `result:` / `verdict:` / `status:` (`PASS` \| `FAIL` \| `BLOCKED`; три равноранговых, ORCH-047) | `check_tests_passed` |
-| `deploy-staging` | deployer | `15-staging-log.md` (required для self-hosting); `17-security-report.md` (security-под-гейт, when-applicable) | `staging_status:` (`SUCCESS` \| `FAILED`); `security_status:` (`PASS` \| `FAIL`) | `check_staging_status` (ребро); под-гейты ребра `deploy-staging→deploy`: `check_security_gate` → `check_branch_mergeable` → `check_staging_image_fresh` |
-| `deploy` | deployer / deploy-finalizer | `14-deploy-log.md` | `deploy_status:` (`SUCCESS` \| `FAILED`) | `check_deploy_status` |
-| `done` | — | — (терминал) | — | — |
-| пост-`done` наблюдение | post-deploy-monitor | `16-post-deploy-log.md` (when-applicable, ORCH-021) | `post_deploy_status:` (`HEALTHY` \| `DEGRADED`) — **информационный, не гейт** | — (телеметрия петли уроков / наблюдаемость) |
-
-### Примечания (нормативные)
-
-- **Под-гейты ребра `deploy-staging → deploy`** (`check_security_gate` → `check_branch_mergeable`
-  → `check_staging_image_fresh`) — это **врезки в `advance_stage`**, а НЕ строки
-  `STAGE_TRANSITIONS`. Их порядок и условность раската не меняются этой спекой.
-- **`15-staging-log.md`** обязателен только для self-hosting репо (`orchestrator`); для прочих
-  репо staging-гейт — N/A (ORCH-35), документ не требуется.
-- **`16-post-deploy-log.md`** несёт `post_deploy_status:`, но это **информационный** ключ
-  (телеметрия ORCH-8 / наблюдаемость), гейтом он НЕ парсится.
-- **`09-…` / `05-…` / `11-…`** — зарезервированные/legacy номера; канон reviewer'а — `12-review.md`.
-
----
-
-## 3. Machine-verdict доки vs информационные (честный механизм проверки)
-
-Полностью согласовано с `PIPELINE_DOCS.md` §3. Machine-verdict док — гейт читает ТОЛЬКО
-YAML-frontmatter (через единый `frontmatter.parse_frontmatter`), маппит ключ в вердикт; имя ключа
-чувствительно к регистру, значение парсер приводит к верхнему регистру.
-
-| Документ | Machine-key | Парсер | Эффект вердикта |
-|----------|-------------|--------|-----------------|
-| `12-review.md` | `verdict:` | `check_reviewer_verdict` | `APPROVED` → дальше; `REQUEST_CHANGES` → откат на `development` |
-| `13-test-report.md` | `result:` / `verdict:` / `status:` | `_parse_tests_verdict` | `PASS` → дальше; `FAIL`/`BLOCKED` → откат (негативный токен авторитетен) |
-| `14-deploy-log.md` | `deploy_status:` | `_parse_deploy_status` | `SUCCESS` → `done`; `FAILED` → откат (БАГ-8) |
-| `15-staging-log.md` | `staging_status:` | `_parse_staging_status` | `SUCCESS` → дальше; `FAILED` → откат (self-hosting; иначе N/A) |
-| `17-security-report.md` | `security_status:` | `check_security_gate` → `parse_security_status` | `PASS` → дальше; `FAIL` → откат |
-
-**Информационные доки** (гейтом НЕ парсятся): `00-business-request.md`, `08-data-requirements.md`,
-`10-tech-risks.md`, `16-post-deploy-log.md`.
-
-**Аддитивность схемы (§1).** Документ-вердикт БЕЗ полей схемы из §1, но с вердикт-ключом, читается
-гейтом РОВНО как раньше: схема не участвует в вычислении вердикта при дефолтном
-`frontmatter_validation_strict=False`.
-
----
-
-## 4. Единый машинный контракт — `src/frontmatter.py`
-
-Все операции с frontmatter сведены в один leaf-модуль (never-raise):
-
-- `read_frontmatter_value(path, key) -> str | None` — single-key reader (контракт неизменен, BC).
-- `parse_frontmatter(content) -> FrontmatterParse` — **единственная точка** парсинга YAML-frontmatter
-  (`data` / `has_block` / `malformed` / `yaml_error`); пять вердикт-парсеров делегируют сюда.
-- `parse_frontmatter_dict` / `read_frontmatter` — ярлыки к распарсенному mapping.
-- `render_frontmatter` / `write_frontmatter` — writer (формат совместим с существующими парсерами).
-- `validate_schema` / `REQUIRED_FIELDS` / `maybe_warn_schema` — схема §1 (warning-only по умолчанию).
-- `strip_frontmatter` — общий хелпер тела (заменил дубли).
-- Kill-switch жёсткой валидации: `config.frontmatter_validation_strict`
-  (env `ORCH_FRONTMATTER_VALIDATION_STRICT`, дефолт `False`).
-
-> Перед написанием номерного дока бери скелет из [`docs/_templates/`](../_templates/) и **не меняй
-> имя machine-key frontmatter** (регистр чувствителен — иначе гейт упадёт ложно).

docs/_standards/PIPELINE_DOCS.md

@@ -1,153 +0,0 @@
-# PIPELINE_DOCS — стандарт документов конвейера (golden source структуры)
-
-> **Назначение.** Единая карта «стадия → агент → документ → категория → гейт/механизм →
-> frontmatter machine-key» + конвенция ADR-naming. Это **golden source структуры** номерных
-> документов work item (`00-business-request.md` … `17-security-report.md`), который каждая
-> агентская роль пишет на своей стадии.
->
-> **Статус истины (важно).** Манифест **документирует** текущее поведение гейтов, но НЕ является
-> их источником истины. Источник истины — код: `src/stages.py` (`STAGE_TRANSITIONS`),
-> `src/qg/checks.py` (`QG_CHECKS` / `check_*` / `_parse_*`), `src/stage_engine.py`. При будущей
-> правке гейта первична правка кода, манифест обновляется следом (ORCH-075 / ADR-001 §D2).
->
-> **Копируемые скелеты** каждого документа — в каталоге [`docs/_templates/`](../_templates/):
-> «скопировал → заполнил → не угадываешь структуру/ключ».
-
-Введён задачей **ORCH-075** (ORCH-52b — слой 1 эпика ORCH-52). Сквозной ADR:
-[`docs/architecture/adr/adr-0019-pipeline-docs-standard.md`](../architecture/adr/adr-0019-pipeline-docs-standard.md);
-детально — `docs/work-items/ORCH-075/06-adr/ADR-001-pipeline-docs-standard.md`.
-
----
-
-## 1. Конвейер стадий (ground-truth `STAGE_TRANSITIONS`)
-
-```
-created → analysis → architecture → development → review → testing → deploy-staging → deploy → done
-                          ↑                          │
-                          └──── REQUEST_CHANGES ──────┘  (откат на development, max 3 retries)
-```
-
-Каждое ребро несёт ровно один exit-гейт (`src/stages.py`):
-`check_analysis_approved → check_architecture_done → check_ci_green → check_reviewer_verdict →
-check_tests_passed → check_staging_status → check_deploy_status`.
-
-**Под-гейты ребра `deploy-staging → deploy`** (`check_security_gate` → `check_branch_mergeable` →
-`check_staging_image_fresh`) — это **врезки в `advance_stage`**, а НЕ строки `STAGE_TRANSITIONS`.
-Аналогично под-гейт ребра `deploy → done` (`_handle_merge_verify`, ORCH-071/073) — врезка, не
-зарегистрированный QG. Карта стадий о них не «лжёт»: они не являются стадиями.
-
----
-
-## 2. Манифест: документ → агент → категория → стадия → гейт → machine-key
-
-Категории: **required** (пишется всегда), **when-applicable** (пишется при наличии предмета:
-инфра / данные / security / post-deploy — отсутствие не нарушение), **optional** / **legacy**.
-
-| Документ | Владелец-агент | Категория | Стадия написания | Гейт / механизм проверки | Frontmatter machine-key |
-|----------|----------------|-----------|------------------|--------------------------|-------------------------|
-| `00-business-request.md` | система (Plane webhook `_create_initial_docs`) / заказчик | required | `created` (инициализация) | не гейтится (вход) | — |
-| `01-brd.md` | analyst | required | `analysis` | exit-гейт `analysis→architecture` = `check_analysis_approved` (Approved + полнота файлов); helper `check_analysis_complete` (наличие `01/02/03/04`) | — |
-| `02-trz.md` | analyst | required | `analysis` | то же | — |
-| `03-acceptance-criteria.md` | analyst | required | `analysis` | то же | — |
-| `04-test-plan.yaml` | analyst | required | `analysis` | то же | — |
-| `06-adr/ADR-NNN-<slug>.md` | architect | required | `architecture` | `check_architecture_done` (наличие каталога `06-adr/` ≥1 файл ИЛИ `07-infra-requirements.md`) | — |
-| `07-infra-requirements.md` | architect | when-applicable | `architecture` | `check_architecture_done` (учитывается при наличии) | — |
-| `08-data-requirements.md` | architect | when-applicable | `architecture` | информационный (гейтом не парсится) | — |
-| `10-tech-risks.md` | architect | required | `architecture` | информационный (гейтом не парсится) | — |
-| `12-review.md` | reviewer | required | `review` | `check_reviewer_verdict` | `verdict:` (`APPROVED` \| `REQUEST_CHANGES`) |
-| `13-test-report.md` | tester | required | `testing` | `check_tests_passed` (`_parse_tests_verdict`) | `result:` / `verdict:` / `status:` (`PASS` \| `FAIL` \| `BLOCKED`; три равноранговых, ORCH-047) |
-| `14-deploy-log.md` | deployer / deploy-finalizer | required | `deploy` | `check_deploy_status` (`_parse_deploy_status`) | `deploy_status:` (`SUCCESS` \| `FAILED`) |
-| `15-staging-log.md` | deployer | required (self-hosting) | `deploy-staging` | `check_staging_status` (self-hosting; иначе N/A — ORCH-35) | `staging_status:` (`SUCCESS` \| `FAILED`) |
-| `16-post-deploy-log.md` | post-deploy-monitor | when-applicable | пост-`done` наблюдение (ORCH-021; не ребро `STAGE_TRANSITIONS`) | информационный (гейтом не парсится) | `post_deploy_status:` (`HEALTHY` \| `DEGRADED`) |
-| `17-security-report.md` | security-гейт (детерминированный, ORCH-022) | when-applicable | под-гейт ребра `deploy-staging→deploy` | `check_security_gate` (врезка в `advance_stage`) | `security_status:` (`PASS` \| `FAIL`) |
-
-### Примечания манифеста (нормативные)
-
-- **Под-гейты ребра `deploy-staging→deploy`** (`check_security_gate` → `check_branch_mergeable` →
-  `check_staging_image_fresh`) исполняются как врезки в `advance_stage`, а НЕ строки
-  `STAGE_TRANSITIONS`. Не путать с exit-гейтами рёбер.
-- **`09-review.md`** — legacy fallback от старой нумерации; **канон — `12-review.md`**. В основную
-  таблицу как канон не вносится; reviewer пишет `12-review.md`.
-- **Категория `when-applicable`** = документ пишется при наличии соответствующего предмета
-  (инфра / данные / security / post-deploy). Его отсутствие — не нарушение приёмки.
-- **`05-…` / `09-…` / `11-…`** — зарезервированные/legacy номера, в текущем каноне не используются.
-
----
-
-## 3. Machine-verdict доки vs информационные (честный механизм проверки)
-
-**Machine-verdict доки** — гейт читает ТОЛЬКО YAML-frontmatter (никогда прозу), маппит ключ в
-вердикт. Имя ключа чувствительно к регистру; значение парсер приводит к верхнему регистру.
-
-| Документ | Machine-key | Парсер (`src/qg/checks.py`) | Эффект вердикта |
-|----------|-------------|-----------------------------|-----------------|
-| `12-review.md` | `verdict:` | `check_reviewer_verdict` | `APPROVED` → дальше; `REQUEST_CHANGES` → откат на `development` |
-| `13-test-report.md` | `result:` / `verdict:` / `status:` | `_parse_tests_verdict` | `PASS` → дальше; `FAIL`/`BLOCKED` → откат |
-| `14-deploy-log.md` | `deploy_status:` | `_parse_deploy_status` | `SUCCESS` → `done`; `FAILED` → откат (БАГ-8) |
-| `15-staging-log.md` | `staging_status:` | `_parse_staging_status` | `SUCCESS` → дальше; `FAILED` → откат (self-hosting; иначе N/A) |
-| `17-security-report.md` | `security_status:` | `check_security_gate` | `PASS` → дальше; `FAIL` → откат |
-
-**Информационные доки** — гейтом НЕ парсятся (структура ничего не блокирует):
-`00-business-request.md` (вход), `08-data-requirements.md`, `10-tech-risks.md`,
-`16-post-deploy-log.md` (несёт `post_deploy_status:`, но это телеметрия петли уроков ORCH-8 /
-наблюдаемость, не гейт).
-
----
-
-## 4. Конвенция ADR-naming
-
-### Per-work-item ADR (основное)
-
-- **Путь:** `docs/work-items/<plane-id>/06-adr/`
-- **Имя файла:** `ADR-NNN-<kebab-slug>.md`
-  - `NNN` — 3-значный, начинается с `001`; инкремент при нескольких ADR в одной задаче
-    (`ADR-001-…`, `ADR-002-…`).
-  - `<kebab-slug>` — kebab-case (нижний регистр, слова через дефис), отражает суть решения.
-- **Стадия:** пишет **architect** на стадии `architecture`; гейтится `check_architecture_done`
-  (наличие каталога `06-adr/` ≥ 1 файла).
-
-### Сквозной (cross-cutting) ADR
-
-Решения, затрагивающие несколько компонентов/ролей или поведение всего конвейера, **дублируются**
-в глобальный реестр:
-
-- **Путь:** `docs/architecture/adr/`
-- **Имя файла:** `adr-NNNN-<kebab-slug>.md` (4-значная сквозная нумерация, последовательная по
-  всему репозиторию; на момент ORCH-075 реестр доходит до `adr-0019`).
-
-### Примеры из репозитория (реальные, проверенные)
-
-- `docs/work-items/ORCH-088/06-adr/ADR-001-serial-gate.md`
-- `docs/work-items/ORCH-089/06-adr/ADR-001-auto-label-gates.md`
-- `docs/work-items/ORCH-071/06-adr/ADR-001-merge-verify-gate.md`
-- Сквозные: `docs/architecture/adr/adr-0017-serial-gate.md`,
-  `docs/architecture/adr/adr-0018-auto-label-gates.md`.
-
----
-
-## 5. Как пользоваться шаблонами
-
-1. Скопируй нужный скелет из [`docs/_templates/`](../_templates/) в
-   `docs/work-items/<plane-id>/` под канонным именем (для ADR — `06-adr/ADR-001-<slug>.md`).
-2. Заполни секции; **не удаляй** machine-key frontmatter у machine-verdict доков и **не меняй имя
-   ключа** (регистр чувствителен — иначе гейт упадёт ложно).
-3. Сверяйся с манифестом (§2–§3): какой агент, на какой стадии, какой гейт читает документ.
-
-> Стандарт **описательный** (слой 1). **Машинный слой реализован в ORCH-52c (ORCH-076):** единый
-> frontmatter-контракт (reader + writer + валидатор) в [`src/frontmatter.py`](../../src/frontmatter.py)
-> и формальная спека handoff [`HANDOFF_PROTOCOL.md`](HANDOFF_PROTOCOL.md) («стадия → обязательный
-> выход» + обязательная frontmatter-схема `REQUIRED_FIELDS`). Пять вердикт-парсеров
-> (`check_reviewer_verdict`, `_parse_tests_verdict`, `_parse_deploy_status`, `_parse_staging_status`,
-> `parse_security_status`) читают вердикт через ОДНУ точку парсинга (`parse_frontmatter`); семантика
-> вердиктов 1:1. Валидатор обязательной схемы по умолчанию **warning-only** (kill-switch
-> `frontmatter_validation_strict`, дефолт `False`) — соблюдение схемы пока на ответственности агента
-> и reviewer'а, enforcement придёт с ORCH-52d.
-
----
-
-## 6. Спека handoff (машинный контракт, ORCH-52c)
-
-Вертикальный срез «стадия → обязательные документы + frontmatter-ключи на выходе» и обязательная
-frontmatter-схема вынесены в отдельную нормативную спеку [`HANDOFF_PROTOCOL.md`](HANDOFF_PROTOCOL.md)
-(набор документов/ключей/гейтов согласован 1:1 с §2–§3 этого манифеста). Машинный источник
-обязательной схемы — `frontmatter.REQUIRED_FIELDS`.

docs/_standards/TRACEABILITY.md

@@ -1,147 +0,0 @@
-# TRACEABILITY — стандарт маркеров-трассировки `ORCH-NNN` (golden source трассировки)
-
-> **Назначение.** Единый нормативный контракт: как нетривиальная строка/блок/инвариант в коде
-> привязывается к work item, который его ввёл, и к его архитектурному решению (ADR). Это **слой 4
-> (трассировка)** эпика **ORCH-52** — рядом с `PIPELINE_DOCS.md` (слой 1, структура документов) и
-> `HANDOFF_PROTOCOL.md` (слой 2, машинный frontmatter-контракт).
->
-> **Статус истины.** Документ **кодифицирует сложившуюся практику**, а не вводит новый синтаксис.
-> Источник истины о *поведении* остаётся код (`src/stages.py`, `src/qg/checks.py`,
-> `src/stage_engine.py`); этот стандарт — описательно-нормативный, **не машинный гейт конвейера**.
-> Соблюдение держится на дисциплине агентов + оси ревью (`reviewer.md`), а не на CI-lint.
-
-Введён задачей **ORCH-078** (ORCH-52e). Сквозной ADR:
-[`docs/architecture/adr/adr-0022-traceability-marker-standard.md`](../architecture/adr/adr-0022-traceability-marker-standard.md);
-детально — `docs/work-items/ORCH-078/06-adr/ADR-001-traceability-marker-standard.md`. Продолжает
-цепочку стандартов эпика 52: adr-0019 (52b), adr-0020 (52c), adr-0021 (52d).
-
----
-
-## 1. Назначение и определение
-
-**Маркер `ORCH-NNN`** (а для проекта enduro-trails — `ET-NNN`) в коде = обязательный стандарт
-трассировки: он привязывает нетривиальную строку / блок / инвариант к work item, который его ввёл,
-и к его ADR. Это даёт читающему агенту прямой путь «строка кода → решение, которое её породило»,
-вместо `git blame`-археологии.
-
-**Факт (сверено на 2026-06-09):** в `src/` де-факто живёт **51 уникальный** маркер `ORCH-NNN`
-(`grep -rhoE 'ORCH-[0-9]+' src/ | sort -u | wc -l` → `51`) — сложившаяся практика. Этот стандарт её
-формализует. **Массовый ретро-фит существующих 51 маркера вне объёма** — стандарт нормативен «на
-будущее»: его правила применяются к **новому и правимому** коду.
-
----
-
-## 2. Формат маркера
-
-Маркер — это **inline-комментарий** (или фрагмент docstring модуля/функции), содержащий идентификатор
-work item `ORCH-NNN`. Рекомендуется рядом указывать ссылку на конкретное решение в ADR, чтобы трасса
-вела не просто к задаче, а к пункту решения:
-
-```python
-# Ordering term — ``t2.id < jobs.task_id`` (FIFO, ORCH-088, ADR-001 D1 / FR-2): a task
-# does not enter `analysis` while an earlier unfinished task exists in the same repo.
-```
-
-Нового синтаксиса не вводится — кодифицируется уже сложившийся стиль (`ORCH-NNN[, ADR-001 D1]`).
-
----
-
-## 3. Где ставится маркер
-
-Маркер ставится рядом с **нетривиальным инвариантом**, понимание которого требует контекста решения:
-
-- выбор fail-open / fail-closed поведения;
-- точное условие сериализации / упорядочивания (FIFO, lease, барьер);
-- идемпотентность / защита от повторной обработки;
-- обходимая «дыра» конвейера, которую блок закрывает;
-- любое условие, чьё «почему именно так» зафиксировано в ADR.
-
-Маркер **НЕ ставится** на тривиальном/самоочевидном коде (геттеры, простые присваивания, очевидные
-проверки) — это только зашумляет.
-
-**Правило для нового кода:** вводишь значимый инвариант → ставь маркер своей задачи (`ORCH-NNN`)
-рядом, по возможности со ссылкой на пункт ADR.
-
----
-
-## 4. Как читать историю (с реальным проверяемым примером)
-
-Пошагово, от строки кода к решению:
-
-1. Видишь в коде маркер `ORCH-NNN` у строки/блока, который собираешься менять.
-2. Открываешь его архитектурное решение: `docs/work-items/ORCH-NNN/06-adr/`.
-3. Читаешь зафиксированный инвариант ПЕРЕД правкой; не ломаешь его (см. §7).
-
-**Проверяемый пример из реального кода (`main`):**
-
-> `src/serial_gate.py` несёт условие сериализации `t2.id < jobs.task_id` с маркером **ORCH-088**
-> и отсылкой `ADR-001 D1 / FR-2` (FIFO-уточнение serial-gate). Чтобы понять, почему задача не входит
-> в `analysis`, пока в репо есть более ранняя незавершённая задача, читаешь:
-> `docs/work-items/ORCH-088/06-adr/ADR-001-serial-gate.md`.
-
-Пример ссылается на **реально существующие** в `main` файл и ADR — иначе стандарт опровергал бы сам
-себя (нерабочая трассировка).
-
----
-
-## 5. Fallback-доступ к чужому ADR
-
-Папки `docs/work-items/ORCH-NNN/` может **не быть в текущей ветке** (она срезана от `main` без неё —
-типично для ветки другой задачи). Штатный способ прочитать чужой ADR — взять его из `origin/main`:
-
-```bash
-git fetch origin                                                  # при необходимости заранее
-git ls-tree origin/main:docs/work-items/ORCH-NNN/06-adr/          # листинг доступных ADR
-git show origin/main:docs/work-items/ORCH-NNN/06-adr/ADR-001-<slug>.md   # прочитать конкретный
-```
-
-Это не блокер: отсутствие папки в ветке ≠ отсутствие решения — оно всегда есть в `main`.
-
----
-
-## 6. Анти-археология: 3+ маркеров → сводный сквозной ADR
-
-Если функция/блок несёт **3+** маркеров `ORCH-NNN` (эволюционировал через много задач), раскопки по
-каждому work item нечитаемы. Вместо перечисления всех задач ставится **одна сводная ссылка на
-сквозной ADR** (`docs/architecture/adr/adr-NNNN-*`), агрегирующий эволюцию.
-
-Числовой порог `3` — граница, за которой inline-перечисление перестаёт быть читаемым (один-два
-маркера ещё информативны, три и больше — уже археология).
-
-**Пример из кода:** `src/merge_gate.py` несёт маркеры ORCH-043/065/071/073 (и ещё несколько) →
-читать сводные сквозные `adr-0006` (merge-gate), `adr-0013` (merge-verify-gate),
-`adr-0014` (sha-source-of-truth), `adr-0016` (ensure-open-PR) в `docs/architecture/adr/`, а не 8
-отдельных work item.
-
-Это конвенция для **нового/правимого** блока; массовая переразметка существующих файлов вне объёма.
-
----
-
-## 7. Правило чтения (каноничная формулировка — единый источник)
-
-Это **единственное** место, где живёт каноничный текст правила. Промпты агентов
-(`developer.md`/`architect.md`/`reviewer.md`) **ссылаются** на него, а не копируют — чтобы не было
-дрейфа формулировок между файлами.
-
-> **Правишь код с маркером `ORCH-NNN` → прочитай его `docs/work-items/ORCH-NNN/06-adr/` ПЕРЕД
-> изменением; не сломай зафиксированный инвариант. Не можешь сохранить инвариант — эскалируй /
-> верни задачу в анализ, не правь вслепую.** Папки нет в ветке → читай из `origin/main` (§5). Блок
-> несёт 3+ маркеров → опирайся на сводный сквозной ADR (§6).
-
-Кто и как применяет правило:
-
-- **developer / architect** — обязаны выполнить чтение ПЕРЕД правкой маркированного кода.
-- **architect** — при введении/правке блока с 3+ маркерами оформляет/обновляет сводный сквозной ADR.
-- **reviewer** — проверяет соблюдение: правка маркированного (`ORCH-NNN`) кода без сверки с его ADR
-  или со сломом инварианта → finding (рекомендуемая severity **P1**; слом критического инварианта
-  конвейера — на усмотрение reviewer вплоть до P0).
-
----
-
-## Связи
-
-- Сквозной ADR: [`adr-0022`](../architecture/adr/adr-0022-traceability-marker-standard.md).
-- Стандарты-соседи: [`PIPELINE_DOCS.md`](PIPELINE_DOCS.md) (слой 1),
-  [`HANDOFF_PROTOCOL.md`](HANDOFF_PROTOCOL.md) (слой 2).
-- Цепочка эпика 52: adr-0019 (52b) / adr-0020 (52c) / adr-0021 (52d) / adr-0022 (52e).
-- Прецедент класса ошибки (слом инварианта без чтения ADR): `docs/history/LESSONS_2026-06-08_phantom-merge.md`.

docs/_templates/00-business-request.md

@@ -1,8 +0,0 @@
-# Business Request: <краткий заголовок задачи>
-
-Work Item ID: ORCH-NNN
-
-## Description
-
-<Что хочет заказчик/Владелец своими словами: проблема, желаемый результат, контекст.
-Допускается `TBD` на входе — analyst уточняет на стадии `analysis` и формализует в 01-brd.md.>

docs/_templates/01-brd.md

@@ -1,34 +0,0 @@
-# 01 — BRD (бизнес-требования): ORCH-NNN — <название>
-
-Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: analysis
-
-## 1. Бизнес-контекст и проблема
-<Зачем задача, какую боль/риск закрывает. Установленные факты — не изобретать.>
-
-## 2. Объём (scope)
-
-### В объёме
-- <что делаем>
-
-### Вне объёма
-- <что явно НЕ делаем — чтобы исключить расползание>
-
-## 3. Заинтересованные стороны
-<Кто заказчик, кого затрагивает, кто принимает результат.>
-
-## 4. Бизнес-требования (BR)
-- **BR-1** — <требование, проверяемое>
-- **BR-2** — …
-
-## 5. Нефункциональные требования (NFR)
-- **NFR-1** — <надёжность / совместимость / обратимость / безопасность>
-- **NFR-2** — …
-
-## 6. Допущения и ограничения
-<Допущения, на которых стоит решение; внешние ограничения.>
-
-## 7. Критерии успеха
-<Резюме; детальные PASS/FAIL — в 03-acceptance-criteria.md.>
-
-## 8. Риски
-<Краткий перечень; детали — 10-tech-risks.md (заполняет архитектор).>

docs/_templates/02-trz.md

@@ -1,30 +0,0 @@
-# 02 — ТЗ (TRZ): ORCH-NNN — <название>
-
-Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: analysis
-
-> ТЗ описывает **конкретные изменения к реализации**, выведенные из BRD и фактического кода.
-> Архитектурное обоснование/решения — задача архитектора (06-adr).
-
-## 1. Сводка изменения
-<Что меняется, в одном-двух абзацах.>
-
-## 2. Задействованные модули / пути
-| Путь | Действие |
-|------|----------|
-| `src/<module>.py` | изменить / создать |
-
-## 3. Функциональные требования
-### FR-1 — <название>
-<Поведение, контракт, инварианты. Привязать к BR.>
-
-## 4. Изменения API
-<Новые/изменённые эндпоинты; либо «Нет.».>
-
-## 5. Изменения схемы БД
-<Таблицы/миграции/индексы; либо «Нет.».>
-
-## 6. Требования к новым/изменённым QG checks
-<Изменения `QG_CHECKS` / `check_*`; либо «Нет.».>
-
-## 7. Совместимость / регресс
-<Обратная совместимость, kill-switch, область раската, обратимость.>

docs/_templates/03-acceptance-criteria.md

@@ -1,31 +0,0 @@
-# 03 — Критерии приёмки (Acceptance Criteria): ORCH-NNN — <название>
-
-Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: analysis
-
-Формат: каждый критерий имеет **PASS** (что должно быть истинно для приёмки) и **FAIL**
-(что считается провалом). Любой машинный/ручной reviewer проверяет их буквально по файлам
-репозитория.
-
----
-
-## AC-1 — <краткий заголовок>
-
-**Условие:** <проверяемое условие>
-- **PASS:** <что должно быть истинно>
-- **FAIL:** <что считается провалом>
-
----
-
-## AC-2 — <краткий заголовок>
-
-**Условие:** <…>
-- **PASS:** <…>
-- **FAIL:** <…>
-
----
-
-## Сводная матрица AC ↔ FR/BR
-| AC | Покрывает |
-|----|-----------|
-| AC-1 | BR-1 / FR-1 |
-| AC-2 | BR-2 / FR-2 |

docs/_templates/04-test-plan.yaml

@@ -1,20 +0,0 @@
-work_item: ORCH-NNN
-title: "<краткое название тест-плана>"
-framework: pytest
-scope: "<что покрывается тестами; что вне покрытия>"
-notes: >
-  <Свободные заметки: окружение, особенности, что считается регрессом.
-  Полный регресс tests/ должен оставаться зелёным.>
-
-tests:
-  - id: TC-01
-    type: unit            # unit | integration
-    description: "<что проверяет тест>"
-    module: tests/test_<feature>.py
-    expected: PASS
-
-  - id: TC-02
-    type: integration
-    description: "<…>"
-    module: tests/test_<feature>.py
-    expected: PASS

docs/_templates/06-adr-ADR-NNN-slug.md

@@ -1,43 +0,0 @@
-# ADR-NNN: <Заголовок решения>
-
-> **Шаблон ADR.** Скопируй в `docs/work-items/<plane-id>/06-adr/ADR-NNN-<kebab-slug>.md`.
-> `NNN` начинается с `001`, инкремент при нескольких ADR в задаче. `<kebab-slug>` — нижний
-> регистр, слова через дефис. Сквозное (cross-cutting) решение дополнительно дублируй в
-> `docs/architecture/adr/adr-NNNN-<kebab-slug>.md` (4-значная глобальная нумерация).
-> См. `docs/_standards/PIPELINE_DOCS.md` §4.
-
-Work Item: **ORCH-NNN** — <короткое описание>
-Стадия: **architecture**
-Сквозная регистрация: **`docs/architecture/adr/adr-NNNN-<slug>.md`** (если решение
-кросс-каттинговое; иначе — «N/A, локальное решение задачи»).
-
-## Статус
-Proposed   <!-- Proposed | Accepted | Superseded by ADR-… -->
-
-## Контекст
-<Какую проблему решаем; факты, сверенные с кодом (`src/…`); почему «как есть» не годится.>
-
-## Решение
-
-### Сводка
-<Суть выбранного решения в одном-двух абзацах.>
-
-### D1 — <название аспекта решения>
-<Конкретное решение по аспекту, инварианты, привязка к FR/AC.>
-
-### D2 — <название аспекта решения>
-<…>
-
-## Альтернативы
-- **<альтернатива>** — отвергнуто: <почему>.
-
-## Последствия
-- **+** <положительный эффект>
-- **−** <издержка / приятый компромисс + митигейшн>
-- **Откат:** <как полностью откатить изменение>
-
-## Ссылки
-- BRD: `docs/work-items/ORCH-NNN/01-brd.md`
-- TRZ: `docs/work-items/ORCH-NNN/02-trz.md`
-- Acceptance: `docs/work-items/ORCH-NNN/03-acceptance-criteria.md`
-- Сверено по коду: `src/…`

docs/_templates/07-infra-requirements.md

@@ -1,19 +0,0 @@
-# 07 — Инфра-требования: ORCH-NNN — <название>
-
-Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: architecture
-
-> When-applicable. Если инфраструктура не затрагивается — оставить явные `N/A` по пунктам
-> (файл создаётся для аудитопригодности, а не из-за изменения топологии).
-
-## I-1. Топология / окружения
-<Контейнеры, порты, сеть, тома, хост; либо `N/A`.>
-
-## I-2. Переменные окружения / секреты
-<Новые env-переменные, изменения `.env` / `.env.example`, секреты; либо `N/A`.>
-
-## I-3. Деплой / рестарт
-<Требуется ли рестарт прод-контейнера; self-hosting инвариант (не ронять прод вне staging);
-либо `N/A`.>
-
-## I-4. CI/CD
-<Изменения `.gitea/workflows/`, новые тестовые шаги; либо «без изменений».>

docs/_templates/08-data-requirements.md

@@ -1,15 +0,0 @@
-# 08 — Требования к данным: ORCH-NNN — <название>
-
-Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: architecture
-
-> When-applicable / информационный (гейтом не парсится). Если данные/схема не затрагиваются —
-> оставить явные `N/A`.
-
-## Изменения схемы БД
-<Новые/изменённые таблицы, индексы, миграции (`init_db`); либо `N/A`.>
-
-## Новые/изменённые сущности
-<Поля, колонки, инварианты данных; либо «Нет.».>
-
-## Совместимость данных / миграции
-<Аддитивность, идемпотентность миграций, restart-safe, влияние на общую прод-БД; либо `N/A`.>

docs/_templates/10-tech-risks.md

@@ -1,16 +0,0 @@
-# 10 — Технические риски: ORCH-NNN — <название>
-
-Work Item: **ORCH-NNN** · Repo: **<repo>** · Стадия: architecture
-
-> Информационный (гейтом не парсится). Перечисляет риски реализации и их митигейшн.
-
-## Реестр рисков
-
-| ID | Риск | Вер. | Влия. | Митигейшн |
-|----|------|------|-------|-----------|
-| TR-1 | <описание риска> | Низ./Сред./Выс. | Низ./Сред./Выс. | <как снижаем> |
-| TR-2 | <…> | | | |
-
-## Сводный вывод
-<Доминирующий класс рисков; нужна ли эскалация `arch:major-change` / возврат в анализ;
-итоговая оценка остаточного риска для прод-конвейера (self-hosting).>

docs/_templates/12-review.md

@@ -1,31 +0,0 @@
----
-type: review
-work_item_id: ORCH-NNN
-verdict: APPROVED        # APPROVED | REQUEST_CHANGES  (machine-key — читает check_reviewer_verdict)
-version: 1
----
-
-# Review ORCH-NNN
-
-> Машинный вердикт читается ТОЛЬКО из `verdict:` во frontmatter (никогда из прозы).
-> `APPROVED` → дальше по конвейеру; `REQUEST_CHANGES` → откат на `development`.
-
-## Summary
-<Краткая оценка: реализовано ли по ТЗ/ADR, покрытие тестами, обновлена ли документация.>
-
-## Оси проверки
-<Корректность, соответствие ADR/инвариантам, тесты, документация, совместимость/регресс.>
-
-## Findings
-
-### P0 — Blocker
-- (нет)
-
-### P1 — Must fix
-- (нет)
-
-### P2 — Should fix
-- (нет)
-
-## Документация
-<Обновлена ли документация (README/CLAUDE/CHANGELOG/архитектура) в том же PR. Нет → REQUEST_CHANGES.>

docs/_templates/13-test-report.md

@@ -1,33 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-NNN
-result: PASS            # PASS | FAIL | BLOCKED  (machine-key — читает _parse_tests_verdict)
----
-
-# Test Report — ORCH-NNN
-
-> Машинный вердикт читается ТОЛЬКО из frontmatter. Канонический ключ — `result:`; равнорангово
-> допускаются `verdict:` / `status:` (ORCH-047). Любой негативный токен (`FAIL`/`BLOCKED`) —
-> авторитетен.
-
-## Окружение
-- Python: <версия>
-- pytest: <версия>
-- Дата: YYYY-MM-DD
-- Worktree: `feature/ORCH-NNN-<slug>`
-
-## Результаты
-
-### Полный регресс
-<`pytest tests/ -q` — итог (N passed); прод-контейнер не трогается.>
-
-### Профильные сюиты
-<Целевые тесты задачи.>
-
-### Сопоставление с тест-планом
-| TC ID | Описание | Тест-функция | Результат |
-|-------|----------|--------------|-----------|
-| TC-01 | <…> | test_… | PASS |
-
-### Сопоставление с критериями приёмки
-<AC-1…AC-N — покрыт каким тестом / результат.>

docs/_templates/14-deploy-log.md

@@ -1,14 +0,0 @@
----
-deploy_status: SUCCESS    # SUCCESS | FAILED  (machine-key — читает _parse_deploy_status)
-work_item: ORCH-NNN
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-NNN
-
-> Машинный вердикт читается ТОЛЬКО из `deploy_status:` во frontmatter.
-> `SUCCESS` → `done`; `FAILED` → откат на `development` (БАГ-8).
-
-<Краткое описание деплоя: что выкачено, exit-code хука, кто/что зафиксировало вердикт
-(детерминированный finalizer Фаза C, не LLM, для self-hosting).>

docs/_templates/15-staging-log.md

@@ -1,20 +0,0 @@
----
-staging_status: SUCCESS    # SUCCESS | FAILED  (machine-key — читает _parse_staging_status)
-timestamp: YYYY-MM-DDTHH:MM:SSZ
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-> Машинный вердикт читается ТОЛЬКО из `staging_status:` во frontmatter. Реален для self-hosting
-> (`orchestrator`); для прочих репо гейт — N/A (ORCH-35). `SUCCESS` → дальше; `FAILED` → откат.
-
-Staging test suite — итог (например: «All REAL pipeline checks passed»). Запуск канонически
-внутри контейнера `orchestrator-staging` (8501).
-
-## Results
-- **Block A (SMOKE)**: <…>
-- **Block B (ACCESS)**: <…>
-- **Block C (E2E)**: <…>
-
-REAL failed: <none | перечень>.

docs/_templates/16-post-deploy-log.md

@@ -1,21 +0,0 @@
----
-post_deploy_status: HEALTHY    # HEALTHY | DEGRADED  (информационный, гейтом НЕ парсится — телеметрия ORCH-021)
-action_taken: NONE             # NONE | ALERT_ONLY | ROLLBACK_OK | ROLLBACK_FAILED
-work_item: ORCH-NNN
-window_s: 900
-checks_total: 0
-checks_failed: 0
----
-
-# Post-deploy log — ORCH-NNN
-
-> Пост-`done` наблюдение прода (ORCH-021). НЕ ребро `STAGE_TRANSITIONS`, гейтом не парсится —
-> frontmatter машиночитаем для петли уроков ORCH-8 / наблюдаемости.
-
-Окно наблюдения: <window_s>s; опросов всего: <checks_total>, с провалом: <checks_failed>.
-
-## Серия наблюдений
-<Краткая серия сигналов health / доли 5xx; классификация HEALTHY/DEGRADED.>
-
-## Решение
-<Реакция: для self-hosting всегда `ALERT_ONLY` (ручной approve, тик не откатывает прод).>

docs/_templates/17-security-report.md

@@ -1,26 +0,0 @@
----
-security_status: PASS      # PASS | FAIL  (machine-key — читает check_security_gate)
-work_item: ORCH-NNN
-secrets_found: 0
-deps_blocking: 0
-deps_warning: 0
-deps_audit_degraded: false
----
-
-# Security Report — ORCH-NNN
-
-> Детерминированный security-гейт (ORCH-022) — под-гейт ребра `deploy-staging→deploy` (врезка в
-> `advance_stage`, не строка `STAGE_TRANSITIONS`). Машинный вердикт читается ТОЛЬКО из
-> `security_status:`. `PASS` → дальше; `FAIL` → откат.
-
-## Verdict
-<clean / blocking: N secrets, M blocking CVE(s).>
-
-## Secrets
-<secret-scanning (gitleaks, offline): None | перечень.>
-
-## Dependencies (blocking)
-<dependency audit (pip-audit): None | перечень блокирующих CVE.>
-
-## Dependencies (warning)
-<Не блокирующие предупреждения зависимостей.>

docs/architecture/adr/README.md

@@ -12,36 +12,6 @@ Per-work-item решения живут в `docs/work-items/<id>/06-adr/ADR-NNN-
 | adr-0005 | Контейнеры бегут под uid:gid хоста (1000:1000) | accepted | 2026-06-06 | ORCH-040 |
 | adr-0006 | Merge-gate (догон main + re-test + сериализация слияний) | proposed | 2026-06-06 | ORCH-043 |
 | adr-0007 | Reconciler застрявших стадий (sweeper потерянных webhook) | accepted | 2026-06-06 | ORCH-053 |
-| adr-0007 | Исполняемый самодеплой стадии `deploy` (файл adr-0007-executable-self-deploy) | accepted | 2026-06-06 | ORCH-036 |
-| adr-0008 | Провенанс staging-образа перед BUILD-ONCE retag | accepted | 2026-06-06 | ORCH-058 |
-| adr-0009 | Толерантность staging-вердикта к инфраструктурным FAIL | accepted | 2026-06-07 | ORCH-061 |
-| adr-0010 | Post-deploy мониторинг прода + реакция на деградацию | proposed | 2026-06-07 | ORCH-021 |
-| adr-0011 | Job-reaper + проактивный реклейм merge-lease | accepted | 2026-06-07 | ORCH-065 |
-| adr-0012 | Security-гейт (secrets/deps) | accepted | 2026-06-08 | ORCH-022 |
-| adr-0013 | Merge-в-main + пост-деплой верификация как условие `done` | accepted | 2026-06-08 | ORCH-071 |
-| adr-0014 | SHA-в-main — единственный критерий merge-verify + регресс-гард | accepted | 2026-06-08 | ORCH-073 |
-| adr-0015 | Зависимости задач (B ждёт A) + сериализация merge внутри репо | accepted | 2026-06-08 | ORCH-026 |
-| adr-0016 | ensure_open_pr — гарантированный код-PR перед merge-verify | accepted | 2026-06-09 | ORCH-082 |
-| adr-0017 | Per-repo serial gate (пакетный автономный режим, serial e2e) | proposed | 2026-06-09 | ORCH-088 |
-| adr-0018 | Авто-режим по лейблам (autoApprove + autoDeploy) | accepted | 2026-06-09 | ORCH-089 |
-| adr-0019 | Стандарт документов конвейера (PIPELINE_DOCS, слой 1) | accepted | 2026-06-09 | ORCH-075 |
-| adr-0020 | Единый frontmatter-контракт + спека handoff (reader/writer/валидатор) | accepted | 2026-06-09 | ORCH-076 |
-| adr-0021 | Канон Anthropic для агент-промптов + эмиссия frontmatter-схемы 52c | proposed | 2026-06-09 | ORCH-077 |
-| adr-0022 | Стандарт трассировочных маркеров `ORCH-NNN` | accepted | 2026-06-09 | ORCH-078 |
-| adr-0023 | Обзорная ось reviewer + закрытие эпика 52 | accepted | 2026-06-09 | ORCH-079 |
-| adr-0024 | Disk-watchdog — heartbeat-сигнал заполнения хост-ФС | proposed | 2026-06-09 | ORCH-063 |
-| adr-0025 | Build-cache-pruner — авто-prune docker build cache на хосте | proposed | 2026-06-09 | ORCH-062 |
-
-> ⚠️ Историческая коллизия: номер `0007` занят двумя файлами —
-> `adr-0007-reconciler.md` (ORCH-053) и `adr-0007-executable-self-deploy.md`
-> (ORCH-036). Оба accepted; для новых сквозных ADR использовать следующий
-> свободный номер (текущий максимум — `0020`).
-> adr-0014 **amends** adr-0013 (меняет критерий merge-verify на «SHA-в-main»).
-> adr-0016 **amends** adr-0013/0014 (гарантирует открытый код-PR перед merge_pr, ORCH-082).
-> adr-0020 реализует машинный слой к adr-0019 (ORCH-52b→52c).
-> adr-0021 реализует слой промптов к adr-0019/0020 (ORCH-52d — замыкает эпик 52).
-> adr-0025 **комплементарен** adr-0024 (watchdog сигналит о росте диска — pruner убирает
-> доминирующего «пожирателя», docker build cache).
 
 ## Формат
 **Контекст → Решение → Альтернативы → Последствия → Связи.** Статус: proposed / accepted / superseded.

docs/architecture/adr/adr-0007-reconciler.md

@@ -61,23 +61,6 @@ grace + `max_concurrency=1`); never-raise на единицу работы; ти
   (`reconcile_plane_enabled` гасит только F-2); reconciler не рестартит/не роняет
   прод-контейнер. БД-схема и реестры (`STAGE_TRANSITIONS`/`QG_CHECKS`) не меняются.
 
-## Уточнения
-- **ORCH-060** (`docs/work-items/ORCH-060/06-adr/ADR-001-reconciler-skip-escalated.md`):
-  F-1 (`_reconcile_gate_task`) приобретает два пред-гарда ДО оценки гейта —
-  пропускает escalated (`developer_retry_count ≥ MAX_DEVELOPER_RETRIES`,
-  детерминированно) и Blocked/Needs-Input (Вариант A, Plane API, без миграции)
-  задачи. Инварианты adr-0007 сохранены (схема/реестры не меняются, never-raise,
-  тишина при пропуске).
-
-- **ORCH-068** (`docs/work-items/ORCH-068/06-adr/ADR-001-reconciler-terminal-exclusion-and-cache-ttl.md`):
-  фикс livelock F-2 (спам `_note_unblock` по синхронизированной done-задаче после
-  ORCH-066). F-2 исключает терминалы по **группе состояния** (`completed`/`cancelled`,
-  fallback — ключи `done`/`cancelled`) проектно-независимо; `_note_unblock` — только при
-  подтверждённом state change (сравнение стадии до/после `_dispatch`) + in-memory дедуп;
-  `_STATES_CACHE` получает TTL (`ORCH_PLANE_STATES_TTL_S`, дефолт 300с, `0`=lifetime).
-  Инварианты adr-0007 сохранены (источник истины — Plane; реестры/схема/`handle_*`/F-1/F-3
-  не меняются; never-raise; kill-switch'и).
-
 ## Связи
 adr-0002 (очередь / `available_at`, single-process-singleton), adr-0003 (условный
 гейт — образец условности/флагов раската), adr-0006 (merge-gate как под-гейт ребра

docs/architecture/adr/adr-0008-staging-image-provenance.md

@@ -1,77 +0,0 @@
-# ADR-0008: Провенанс staging-образа перед BUILD-ONCE retag в прод (ORCH-058)
-
-## Статус
-Accepted (design) — реализация в ветке `feature/ORCH-058-self-deploy-retag-staging`.
-Метка: `arch:major-change`.
-
-> Примечание о нумерации: в `adr/` исторически два файла `adr-0007-*`
-> (`executable-self-deploy`, `reconciler`) — пред-существующая коллизия. Этот ADR берёт
-> следующий свободный номер **0008**; коллизию 0007 не трогаем (вне объёма ORCH-058).
-
-## Контекст
-
-ORCH-36 (`adr-0007-executable-self-deploy`) сделал стадию `deploy` исполняемой для
-self-hosting: Phase B запускает host-хук, который шагом **2b** (BUILD-ONCE) делает
-`docker tag $SOURCE_IMAGE → $TARGET_IMAGE` **без rebuild** — «прод = ровно тот артефакт,
-что прошёл staging». Предпосылка: staging-образ свеж и собран из провалидированного кода.
-
-**Этой гарантии нет.** Конвейер нигде не пересобирает `orchestrator-orchestrator-staging`
-из провалидированного коммита; `deploy-staging` лишь гоняет `staging_check.py` против уже
-работающего 8501. Инцидент (LESSONS_ORCH-036 п.4): staging-образ не пересобрали → проверка
-прошла против старого кода → retag промоутнул СТАРЫЙ образ → прод **молча** откатился на
-2-дневный код. Зелёный гейт = ложный позитив. Самый опасный из 4 багов: не падает, а тихо
-откатывает инструмент, обслуживающий все проекты.
-
-## Решение
-
-Гарантировать `INV-FRESH`: в прод промоутится только образ, собранный из коммита,
-провалидированного `deploy-staging` для данной задачи; иначе fail-fast (`FAILED` → откат на
-`development`, БАГ-8), прод не трогается. Достигается **двумя взаимодополняющими слоями**
-(defense in depth), только для self-hosting (условность как ORCH-35/36/43):
-
-- **A — пересборка (liveness).** На ребре `deploy-staging → deploy`, ПОСЛЕ merge-gate и ДО
-  Phase A, детерминированный QG-под-чек `check_staging_image_fresh` пересобирает
-  `orchestrator-orchestrator-staging` из worktree валидированного коммита
-  (`--build-arg GIT_SHA=<sha>`, лейбл `org.opencontainers.image.revision`), пересоздаёт 8501
-  и прогоняет `staging_check`. FAIL → откат на `development`. Так валидируемый и промоутимый
-  артефакт — один и тот же; гарантирует наличие зелёного пути (нет вечного fail-fast).
-- **B — fail-closed guard (safety).** Хук шагом 2b ПЕРЕД `docker tag` сверяет лейбл
-  `revision` образа `SOURCE_IMAGE` с `EXPECTED_REVISION` (пробрасывает `build_deploy_command`).
-  Несовпадение / пустой лейбл / пустой ожидаемый SHA / ошибка inspect → `exit 1` → FAILED.
-  Делает тихий промоут устаревшего образа структурно невозможным даже при отключённой/
-  проигравшей гонку A.
-
-**Якорь провалидированного коммита** — `git rev-parse HEAD` в worktree ПОСЛЕ merge-gate
-(post-rebase tree, который ре-тестирован и сольётся в `main`). Один helper
-`validated_revision(repo, branch)` питает и штамп сборки (A), и `EXPECTED_REVISION` (B).
-
-**Условность и kill-switch:** единый `image_freshness_enabled` (вкл/выкл A+B как целое,
-чтобы не было «B без A» = вечный fail-fast), `image_freshness_repos` (CSV; пусто →
-self-hosting). Все настройки с префиксом `ORCH_`.
-
-### Что НЕ меняется
-`STAGE_TRANSITIONS` (набор стадий — под-гейт ребра, не стадия), exit-code хука (0/1/2),
-`map_exit_code_to_status`, `check_deploy_status`/`_parse_deploy_status`, БАГ-8, terminal-sync,
-merge-gate, Phase A/B/C. Схема БД — без миграций (провенанс в лейбле образа, не в БД).
-
-### Что добавляется (сквозное)
-- QG `check_staging_image_fresh` в реестре `QG_CHECKS` (+ snapshot-тест), wired через
-  `_handle_image_freshness` в `stage_engine` (рядом с merge-gate).
-- Режим хука `--build-staging` (build из worktree + recreate 8501; STAGING-safe дефолты).
-- OCI-лейбл `org.opencontainers.image.revision` в `Dockerfile` (`ARG GIT_SHA`).
-- Helpers `validated_revision` / `rebuild_staging_image` в `self_deploy.py` (never-raise).
-
-## Последствия
-
-- Класс «тихого регресса прод» закрыт структурно (B); валидный деплой всегда доходит до
-  зелёного (A) — устранён ручной bootstrap-разрыв пересборки staging.
-- Латентность ребра растёт (build + recreate + повторный staging_check); `staging_check`
-  гоняется дважды (soft pre-check агента + авторитетный код) — плата за «валидируем =
-  промоутим».
-- Все сборки/recreate — ТОЛЬКО staging (8501); прод (8500) не трогается; `main` не пушится.
-  Новая под-компонента → `arch:major-change`.
-
-## Связанные ADR
-`adr-0007-executable-self-deploy` (BUILD-ONCE, Phase A/B/C), `adr-0006-merge-gate` (образец
-edge-под-гейта), `adr-0003-staging-gate` (условность self-hosting), `adr-0005`
-(run-as-host-uid). Детальный per-work-item: `docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.

docs/architecture/adr/adr-0009-staging-infra-tolerance.md

@@ -1,56 +0,0 @@
-# adr-0009: Толерантность staging-вердикта к заведомо инфраструктурным FAIL
-
-- **Статус:** accepted
-- **Дата:** 2026-06-07
-- **Задача:** ORCH-061
-- **Детально:** `docs/work-items/ORCH-061/06-adr/ADR-001-staging-infra-tolerance.md`
-
-## Контекст
-Self-hosting `orchestrator` зацикливался на `deploy-staging`: `staging_check.py`
-давал 2 ложных FAIL (C9a — ветка в sandbox, C9b — analyst-job в очереди), вызванных
-отсутствием sandbox-настроек (bot-аккаунты не члены SANDBOX-проекта), а не регрессом
-кода. `staging_check.py` делал `sys.exit(1)` при любом FAIL → deployer писал
-`staging_status: FAILED` → `check_staging_status` FAILED → откат `deploy-staging →
-development` → петля (жгла developer-ретраи и кредиты). Прод-деплой орка приходилось
-доводить вручную — блокер автономного внедрения (ORCH-54).
-
-## Решение
-Классифицировать проверки staging-suite на **REAL** (pipeline) и **SANDBOX_INFRA**
-(заведомо инфраструктурные, узкий allowlist `{C9a, C9b}`) и сделать вердикт
-толерантным к инфра-FAIL, сохранив fail-closed для реальных проверок:
-
-- Новый leaf-модуль `src/staging_verdict.py` (pure, never-raise, stdlib):
-  `classify_check(label)` + `compute_staging_verdict(items, infra_tolerant)`.
-  Правило: упала хоть одна REAL → FAILED/exit1; упали ТОЛЬКО SANDBOX_INFRA и
-  толерантность вкл → SUCCESS/exit0 (waived); толерантность выкл → legacy strict
-  (любой FAIL → FAILED).
-- `scripts/staging_check.py` помечает проверки категориями, считает вердикт через
-  `staging_verdict`, печатает `INFRA-WAIVED` при вайвере (наблюдаемость).
-- Kill-switch `staging_infra_tolerance_enabled` (env
-  `ORCH_STAGING_INFRA_TOLERANCE_ENABLED`, дефолт `True`; в `.env.staging`).
-- `check_staging_status` / `_parse_staging_status` / `STAGE_TRANSITIONS` / реестр
-  `QG_CHECKS` — **без изменений**; новый QG-чек не вводится. Условность ORCH-35
-  сохранена (не-self → no-op N/A).
-- Инвариант FR-3: «no changes to commit» на action-стадиях (`deploy-staging`/`deploy`)
-  не есть недовыполнение — продвижение определяется exit0 + гейт-вердиктом
-  (launcher уже не откатывает; добавлена observability-строка).
-
-## Альтернативы
-- Только починить sandbox-инфру (направление а) — хрупко, не структурно, вне
-  автономной досягаемости таска; оставлено как опциональное hardening.
-- «Зелёный по умолчанию» при недоступности проверок — запрещён (fail-closed).
-- Новый QG-чек / структурный артефакт `15-staging-log.md` — избыточно, меняло бы
-  контракты/реестр; толерантность размещена в suite до артефакта.
-
-## Последствия
-- Петля устранена; страховка цела (реальный регресс → FAILED → откат).
-- Чистая вердикт-логика юнит-тестируема без live staging/docker.
-- Контракты гейтов/стадий/вердиктов/реестра и схема БД неизменны.
-- Риск: узкое окно — реальный регресс именно в создании ветки/постановке
-  analyst-job может быть заваивен; митигировано allowlist'ом `{C9a,C9b}` + условием
-  «все REAL (вкл. C7/C8) зелёные» + INFRA-WAIVED-логом. Разблокирует ORCH-54.
-
-## Связи
-adr-0003 (условный staging-гейт — база `is_self_hosting_repo` / `check_staging_status`),
-adr-0006 (merge-gate), adr-0007 (исполняемый self-deploy), adr-0008 (провенанс
-staging-образа). Блокирует ORCH-54.

docs/architecture/adr/adr-0010-post-deploy-monitor.md

@@ -1,85 +0,0 @@
-# adr-0010: Post-deploy мониторинг прода + реакция на деградацию
-
-- **Статус:** proposed (design) — реализация в ветке `feature/ORCH-021-post-deploy-rollback`
-- **Дата:** 2026-06-07
-- **Задача:** ORCH-021
-- **Метка:** `arch:major-change` (новая под-компонента + новый reserved-agent job-kind)
-- **Детальный ADR:** `docs/work-items/ORCH-021/06-adr/ADR-001-post-deploy-monitor.md`
-
-## Контекст
-Конвейер заканчивается на `deploy → done`: `check_deploy_status` видит
-`deploy_status: SUCCESS` → terminal-sync (Plane → Done, release merge-lease), и
-оркестратор **забывает про прод**. «Успех» сегодня = health-check в момент рестарта
-(~60с окно в `orchestrator-deploy-hook.sh`). Класс инцидентов «зелёный деплой, красный
-прод» (прецедент **ET-8**): деградация проявляется через минуты под боевым трафиком,
-health отвечает `200 ok`, фича сломана. Для self-hosting опасно вдвойне — сломанный
-прод-орк (8500) обслуживает ВСЕ проекты из общего инстанса.
-
-## Решение
-Продлить ответственность конвейера **ЗА** `done`: после терминального перехода для
-применимого репо армится пост-деплой наблюдение окна `post_deploy_window_s` (дефолт
-~15 мин) с интервалом `post_deploy_interval_s`; деградация фиксируется по
-**детерминированным порогам**, при подтверждении выполняется реакция.
-
-**Механизм — reserved-agent job `post-deploy-monitor`** (калька `deploy-finalizer`,
-ORCH-36), НЕ отдельная стадия и НЕ daemon-поток:
-- **Арм:** в `stage_engine.advance_stage`, в блоке `next_stage == "done"`, при
-  `post_deploy.post_deploy_applies(repo)` → `post_deploy.arm_monitor(...)` (sentinel
-  `armed` = идемпотентность, первый job через `enqueue_job(available_at_delay_s=...)`).
-- **Тик:** `launcher.launch_job` перехватывает `agent == "post-deploy-monitor"` ДО
-  `_spawn` → `stage_engine.run_post_deploy_monitor(job)`: один опрос сигналов, append в
-  персистентный `series`, классификация; HEALTHY и окно не истекло → перепостановка с
-  задержкой; иначе → реакция + артефакт + `mark_done`.
-- **Чистая логика — новый leaf-модуль `src/post_deploy.py`** (never-raise, по образцу
-  `self_deploy.py`/`staging_verdict.py`): `post_deploy_applies`, `probe_signals`
-  (опрос `/health` + доля 5xx на `/status`,`/queue`), `classify` (HEALTHY|DEGRADED —
-  главный предмет юнит-тестов), `decide_action` (NONE|ROLLBACK|ALERT_ONLY с учётом
-  self-hosting), sentinel-state хелперы, `write_post_deploy_log`.
-
-**Сигналы и пороги (детерминированно, AC-3…AC-6):** `DEGRADED` ⇔ `≥
-post_deploy_fail_threshold` ПОСЛЕДОВАТЕЛЬНЫХ провалов health ИЛИ доля 5xx на окне `>
-post_deploy_5xx_threshold`. Одиночный глюк < порога → HEALTHY (нет ложных откатов).
-
-**Реакция (BR-4/BR-5):**
-- **Self-hosting (`orchestrator`) — ВСЕГДА `ALERT_ONLY`:** громкий Telegram + Plane,
-  запрос ручного approve отката. Тик НИКОГДА не откатывает/рестартит прод-контейнер
-  (структурный инвариант). Откат прод-орка, если оператор решит, — только detached
-  host-процесс (`self_deploy.initiate_deploy`), вне тика (MVP).
-- **Не-self + `post_deploy_auto_rollback=True`:** хук `--rollback` с прод-env; exit
-  `0 → ROLLBACK_OK`, `1/2 → ROLLBACK_FAILED` + громкий алерт.
-- Дефолт (`auto_rollback=False`) → `ALERT_ONLY`.
-
-**Артефакт `16-post-deploy-log.md`** (новый) с YAML-frontmatter (`post_deploy_status`,
-`action_taken`, `window_s`, `checks_total/failed`) — машиночитаемо для петли уроков
-ORCH-8; best-effort. **Наблюдаемость** — блок `post_deploy` в `GET /queue` (образец
-`reconcile.status()`).
-
-## Альтернативы
-- **Daemon-watchdog (как reconciler)** — отклонён: per-task серия опросов в памяти не
-  restart-safe (а деплой орка = рестарт); restart-safe-вариант требует тех же sentinel,
-  reserved-agent проще и уже имеет проверенную jobs+sentinel машинерию.
-- **Отдельная пост-deploy стадия + QG** — отклонён: меняет `STAGE_TRANSITIONS`/
-  `QG_CHECKS`, ломает семантику терминального `done`; наблюдение принципиально ПОСЛЕ
-  `done`.
-- **Авто-rollback прод-орка из тика** — отклонён (self-hosting safety): групповой риск;
-  контейнер не откатит себя надёжно. Self → alert + ручной approve (как ORCH-54).
-- **Колонка в `tasks`** — отклонён: миграция на проде; sentinel-файлы restart-safe
-  (как ORCH-36/53/58).
-
-## Последствия
-- Класс «зелёный деплой, красный прод» закрыт измеримыми порогами; деградация =
-  сигнал для ORCH-8.
-- Реестры (`STAGE_TRANSITIONS`/`QG_CHECKS`), контракт `check_deploy_status`,
-  terminal-sync, merge-gate, exit-code-контракт хука, схема БД — **не меняются**.
-- Дефолты безопасны: kill-switch on, auto-rollback off, self только alert.
-- Ограничение: монитор self бежит внутри наблюдаемого прода — полностью wedged
-  контейнер = пропущенный тик/алерт (known MVP gap; внешний watchdog — follow-up).
-- Self-hosting: тик не рестартит/не роняет прод-контейнер; kill-switch
-  `post_deploy_monitor_enabled` обязателен; поэтапный раскат через `post_deploy_repos`.
-
-## Связи
-adr-0007-executable-self-deploy (ORCH-36 — sentinel/detached-host/finalizer образец,
-`map_exit_code_to_status`), adr-0007-reconciler (ORCH-53 — daemon/`status()` образец,
-отклонён как основной механизм), adr-0006 (merge-gate — условность/флаги раската),
-adr-0003 (staging-gate — образец условности), adr-0008 (provenance — `.deploy-prev-image`/
-хук-откат). Прецедент ET-8. Будущее: ORCH-8 (петля уроков), ORCH-54 (полный авто).

docs/architecture/adr/adr-0011-job-reaper-lease-reclaim.md

@@ -1,82 +0,0 @@
-# adr-0011: Job-reaper + проактивный реклейм merge-lease
-
-| | |
-|---|---|
-| Статус | accepted |
-| Дата | 2026-06-07 |
-| Источник | ORCH-065 (BUG P0, блокер ORCH-54) |
-| Детально | `docs/work-items/ORCH-065/06-adr/ADR-001-job-reaper-and-lease-reclaim.md` |
-
-## Контекст
-
-Единый инстанс с общей БД и очередью (`jobs`, `max_concurrency=1` для
-self-hosting). Финализация статуса job (`done`/`queued`/`failed`) происходит
-ТОЛЬКО в `launcher._monitor_agent → _finalize_job` внутри живого процесса. Смерть
-monitor-потока/процесса между `proc.wait()` и `_finalize_job` (краш, OOM,
-self-restart во время deploy) оставляет строку `jobs` навсегда `running`. При
-`max_concurrency=1` одна такая зомби-строка блокирует claim всех job →
-**встаёт конвейер всех проектов**. Единственная защита — `requeue_running_jobs()`
-— работает ТОЛЬКО на старте процесса. Симметрично: merge-lease (ORCH-043,
-файл `.merge-lease-<repo>.json`) реклеймится лишь лениво по TTL при чужом
-`acquire`; liveness держателя по pid не проверяется → залипший lease блокирует
-чужие merge. Это последняя ручная точка автономного self-deploy (блокер ORCH-54);
-доказанные инциденты 07.06 — jobs 236/239/242/254.
-
-## Решение
-
-1. **Job-reaper** — новый daemon-поток `src/job_reaper.py` (каркас `reconciler`:
-   never-raise, `_stop`-Event, старт/стоп в `lifespan`, снимок в `/queue`,
-   kill-switch). Работает **без рестарта** процесса. Liveness — трёхуровневая:
-   Tier-1 мёртвый `jobs.pid` (новая колонка) после `reaper_dead_ticks` подряд
-   тиков; Tier-2 `agent_runs.exit_code` записан, а job ещё `running` — но только
-   после finalization-grace `reaper_finalize_grace_s` (окно неоднозначно: живой
-   monitor пишет exit_code ПЕРВЫМ, затем git push/PR/Plane-комментарии, поэтому
-   живой финализирующий monitor НЕ реапится); Tier-3 backstop по потолку
-   `reaper_max_running_s`. Действие — **claim-before-act**: для exit0 канонический
-   QG оценивается read-only ПЕРЕД атомарным claim, затем claim `done` ПЕРВЫМ и
-   только победитель claim выполняет `_try_advance_stage` (advance+enqueue) —
-   проигравший не делает побочных эффектов (источник истины — QG, не «exit0»);
-   гейт красный или exit≠0 / неизвестно → `attempts<max` → `queued`, иначе
-   `failed`+Telegram. Атомарный reap-claim (`UPDATE ... WHERE id=? AND
-   status='running'` + `rowcount`, как `claim_next_job`) исключает двойную
-   обработку (совместимость со стартовым `requeue_running_jobs`).
-2. **Проактивный реклейм stale/dead lease** — функции в `merge_gate.py`
-   (`pid_alive`, `reclaim_stale_lease`), вызываемые на старте (рядом с
-   `requeue_running_jobs`) и периодически из тика reaper. Освобождение, если
-   держатель **мёртв** (pid не жив) ИЛИ **просрочен** (TTL); живой держатель в
-   пределах TTL — НЕ трогать. holder-aware, never-raise, условность как ORCH-43.
-3. **Идемпотентная финализация merge** — без новой merge-логики: re-drive через
-   reaper→`queued`→переисполнение стадии / reconciler; дорогие шаги не
-   повторяются (`branch_is_behind_main==False`); добавлен детерминированный
-   never-raise guard `pr_already_merged` (читает состояние PR), консультируемый
-   перед повторным merge → уже слит = no-op.
-4. **Схема БД** — `jobs.pid INTEGER` через идемпотентный `_ensure_column`
-   (паттерн live-safe миграции). Больше ничего не меняется.
-
-Kill-switch'и (`ORCH_*`): `reaper_enabled`, `reaper_interval_s`,
-`reaper_dead_ticks`, `reaper_max_running_s`, `reaper_finalize_grace_s`,
-`lease_reclaim_enabled`; переиспользуются `merge_lock_timeout_s`,
-`merge_gate_repos`. `false` → строго прежнее поведение.
-
-## Альтернативы
-- Reaper внутри reconciler — отвергнуто (смешение stage- и jobs-уровней, общий
-  kill-switch, хуже изоляция).
-- Только эвристика `agent_runs` без `jobs.pid` — отвергнуто как основной механизм
-  (не ловит зомби, чей monitor умер до записи exit_code); оставлена как Tier-2/3.
-- БД-lock / внешний брокер очередей — вне объёма (single-node SQLite).
-- Форс `done` по факту exit0 — отвергнуто; выбран gate-driven advance.
-
-## Последствия
-- (+) Зомби-job и залипший lease самовосстанавливаются без рестарта и без
-  оператора; очередь общего инстанса не встаёт; снят технический блокер ORCH-54.
-- (+) Контракты неизменны (`STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, БАГ-8,
-  exit-коды хука); одна колонка через проверенный idempotent-паттерн.
-- (−) pid-liveness валиден в предположении одного pid-namespace (агент —
-  дочерний процесс оркестратора); закрыто backstop'ом по времени и TTL.
-- (−) streak-счётчик in-memory (сброс на рестарте; рестарт покрыт
-  `requeue_running_jobs`).
-
-## Связи
-- Базируется: adr-0002 (очередь), adr-0006 (merge-gate), adr-0007 (reconciler /
-  self-deploy).
-- Разблокирует: ORCH-54.

docs/architecture/adr/adr-0012-security-gate.md

@@ -1,63 +0,0 @@
-# adr-0012: Security-гейт — secret-scanning + dependency audit перед мержем
-
-- **Статус:** proposed
-- **Дата:** 2026-06-07
-- **Задача:** ORCH-022
-- **Детальный ADR:** `docs/work-items/ORCH-022/06-adr/ADR-001-security-gate.md`
-
-## Контекст
-Оркестратор автономен: `developer` пишет код без человека-фильтра. Перед слиянием ветки в
-`main` нет проверки на утёкший секрет (ключ/токен/пароль/приватный ключ) и уязвимую
-зависимость (CVE). Для self-hosting один общий прод-инстанс обслуживает все проекты с общей
-БД — секрет/CVE через одну задачу попадает в прод всех (CLAUDE.md §self-hosting, §8). Фактический
-мерж PR в `main` делает `deployer` в начале стадии `deploy`.
-
-## Решение
-Детерминированный (без LLM) **security-гейт как под-гейт ребра `deploy-staging → deploy`**,
-рядом с merge-gate (ORCH-043) и image-freshness (ORCH-058), исполняемый **ПЕРВЫМ** среди
-edge-под-гейтов (ДО merge-gate). `STAGE_TRANSITIONS` не меняется; в `QG_CHECKS` добавлен
-`check_security_gate`. Паттерн — как у соседей: leaf-модуль `src/security_gate.py`
-(never-raise) + тонкая обёртка в `QG_CHECKS` + врезка `_handle_security_gate` в `advance_stage`.
-
-- **Secret-scanning (`gitleaks`, offline):** скан `origin/main..HEAD`; любой секрет вне
-  аллоулиста (`.gitleaks.toml`) → вклад в FAIL. Offline → гарантия «секрет всегда блокирует»
-  не зависит от сети.
-- **Dependency audit (`pip-audit`, OSV/PyPI):** severity ≥ `security_dep_block_severity`
-  (дефолт `HIGH`) → FAIL; ниже / UNKNOWN → warning. Недоступность фида → **fail-open +
-  громкий warning** (анти-петля; флаг `security_dep_audit_fail_closed` для строгого режима).
-- **ПЕРВЫМ на ребре, ДО merge-gate:** дёшево фейлить до дорогих rebase/rebuild; скан ветки
-  ДО rebase не «обвиняет» задачу в CVE, притащенной обновившимся `main` (анти-петля
-  ORCH-061); до захвата merge-lease → при FAIL lease освобождать не нужно.
-- **Артефакт `17-security-report.md`** с YAML-frontmatter (`security_status`,
-  `secrets_found`, `deps_blocking`, `deps_warning`, `deps_audit_degraded`); вердикт читается
-  ТОЛЬКО из frontmatter (канон), negative-токен авторитетен; битый/нет → fail-closed.
-- **FAIL → откат на `development`** + developer-retry (общий `_developer_retry_count`, cap 3,
-  затем `set_issue_blocked` + Telegram); `task_desc` несёт дословные находки (ORCH-046).
-- **Условность (как ORCH-35/43/58):** `security_gate_enabled` + `security_gate_repos`; пусто
-  → реально только self-hosting (`orchestrator`), прочие репо — no-op pass.
-- **never-raise**, таймаут `security_scan_timeout_s`, гейт не деплоит/не рестартит прод.
-
-## Альтернативы
-- **Вариант R (review-стадия):** diff может разойтись с мержем в `main`; merge-edge — последняя
-  страховка. Отклонено.
-- **Вариант C (CI-job через `check_ci_green`):** пороги/severity/аллоулист/артефакт плохо
-  выражаются статусом коммита; коуплинг с раннером. Отклонено для v1 (точка расширения).
-- **Новая стадия `security`:** «пустая» стадия без агента не имеет триггера (как в ORCH-043).
-  Отклонено.
-- **fail-closed dep-audit / аудит после rebase:** ложные откаты → петля. Отклонено.
-- **Новая колонка retry в БД:** не нужна (переиспользуем `_developer_retry_count`).
-
-## Последствия
-- Класс «тихо влитый секрет/CVE» закрыт: секреты — безусловно (offline), CVE — best-effort при
-  доступности фида. Самоприменение CLAUDE.md §8 без человека.
-- Плата: ещё один «скрытый» под-гейт ребра (нет в `STAGE_TRANSITIONS`); внешние инструменты
-  (gitleaks в образе, pip-audit в зависимостях); время скана на каждом прогоне (ограничено
-  таймаутом); v1 — Python-only (SAST/мульти-стек — follow-up WI).
-- Сквозное изменение (новый QG + edge-под-гейт) → `arch:major-change`; прод-деплой ORCH-022 —
-  строго через staging-гейт (8501), без рестарта прод-контейнера.
-
-## Связи
-adr-0006 (merge-gate — паттерн edge-под-гейта/отката), adr-0008 (image-freshness —
-условность/never-raise/fail-closed), adr-0003 (условный гейт / `is_self_hosting_repo`),
-adr-0009 (анти-петля ложных FAIL, ORCH-061), ORCH-046 (дословный reason в `task_desc`),
-ORCH-9/15 (мульти-стек — будущая зависимость), ORCH-2 (worktree-изоляция).

docs/architecture/adr/adr-0013-merge-verify-gate.md

@@ -1,63 +0,0 @@
-# adr-0013: Merge-в-main + пост-деплой верификация как условие `done` (фикс фантомного merge)
-
-- **Статус:** accepted
-- **Дата:** 2026-06-08
-- **Задача:** ORCH-071 (CRITICAL bug)
-- **Детальный ADR:** `docs/work-items/ORCH-071/06-adr/ADR-001-merge-verify-gate.md`
-- **Постмортем:** `docs/history/LESSONS_2026-06-08_phantom-merge.md`
-
-## Контекст
-Для self-hosting репо `orchestrator` стадия `deploy` идёт детерминированным путём
-(`_handle_self_deploy_phase_b → initiate_deploy → run_deploy_finalizer`), а LLM-агент
-`deployer` НЕ запускается. Фактический merge PR в `main` исторически делал **только**
-агент `deployer` → на self-hosting пути **нет шага merge-в-main вообще**. Detached
-host-деплой лишь retag'ает образ + рестартит 8500; `done` достигается по
-`deploy_status: SUCCESS` без верификации `main`. «Зелёный» деплой (образ из рабочей
-ветки) маскирует отсутствие merge → следующая задача срезает ветку от устаревшего `main`
-и теряет код предшественника. Накопительно потеряны ORCH-022/059/066/068. Вторичный
-фактор: Phase B рестартит прод → merge внутри живого процесса гонялся бы с рестартом
-(урок №3).
-
-## Решение
-Детерминированный **merge-актор + пост-merge верификация** как **под-гейт ребра
-`deploy → done`**, врезанный в единственную функцию перехода `advance_stage` (симметрично
-edge-под-гейтам security/merge-gate/image-freshness). `STAGE_TRANSITIONS`,
-`check_deploy_status`/`_parse_deploy_status`, реестр `QG_CHECKS`, схема БД — **не меняются**.
-
-- **Врезка `_handle_merge_verify` в `advance_stage`** (`current_stage=="deploy"` и
-  `next_stage=="done"`, ПОСЛЕ зелёного `check_deploy_status`, ДО `update_task_stage`).
-  Гейтит **ВСЕ** пути к `done` единообразно: `run_deploy_finalizer` (Phase C), reconciler
-  F-1, job-reaper — все идут через `advance_stage`. Закрывает дыру: reconciler F-1 иначе
-  протолкнул бы `done` в обход merge.
-- **Merge в Phase C (после рестарта), НЕ в Phase B.** Phase C finalizer —
-  restart-surviving (reserved-job `deploy-finalizer`, claim воркером нового контейнера,
-  re-drive reaper'ом). Merge физически строго ПОСЛЕ рестарта → рестарт его не убивает
-  (G3 вторым вариантом — «шаг, переживающий рестарт»).
-- **Merge-актор `merge_gate.merge_pr`** — `pr_already_merged` (no-op повтор, ORCH-065) →
-  иначе Gitea `POST /repos/{owner}/{repo}/pulls/{index}/merge`. Никогда push/force-push в
-  `main`. never-raise.
-- **Верификатор `merge_gate.verify_merged_to_main`** — `PR.merged==true` ИЛИ
-  `git merge-base --is-ancestor <validated_sha> origin/main`. never-raise → `False`
-  («не подтверждено»).
-- **Не подтверждено → alert «deploy succeeded but not merged» (Telegram+Plane) + HOLD**
-  (`set_issue_blocked`, задача НЕ `done`, БЕЗ авто-отката на `development` — not-merged
-  есть инфра-дефект, реакция ALERT-only как ORCH-021 self-hosting). Подтверждено →
-  штатный `deploy → done` (терминал-sync / post-deploy monitor как сегодня) +
-  `merged_to_main: true` во frontmatter `14-deploy-log.md` (наблюдаемость, `deploy_status:`
-  нетронут).
-- **Идемпотентность (INV-5):** `pr_already_merged` перед merge; verify зелёный для
-  уже-слитого PR; повтор без дубль-merge/ложного отката.
-- **Условность (как ORCH-35/43/58):** `merge_verify_enabled` (kill-switch, дефолт `true`) +
-  `merge_verify_repos` (пусто → только self-hosting). Non-self репо — no-op, merge остаётся
-  за агентом `deployer`.
-
-## Инварианты
-never-raise на verify/merge (ошибка → alert, не падение конвейера); не рестартить/не ронять
-прод 8500; ручной approve прод-деплоя сохранён (`Confirm Deploy`, ORCH-059); только PR-merge
-API Gitea; restart-safe (sentinel + jobs, без миграции БД).
-
-## Последствия
-Невозможно «`done` + прод задеплоен, а PR `open`». Минусы: при недоступной Gitea verify
-консервативно `False` → возможен ложный HOLD+alert (снимается повтором; fail-closed для
-`done` приоритетен); HOLD требует ручного вмешательства. Диагностика фантома — runbook
-`docs/operations/PHANTOM_MERGE_RUNBOOK.md` (G4).

docs/architecture/adr/adr-0014-merge-verify-sha-source-of-truth.md

@@ -1,77 +0,0 @@
-# adr-0014: SHA-в-main — единственный критерий merge-verify + регресс-гард целостности `main`
-
-- **Статус:** accepted
-- **Дата:** 2026-06-08
-- **Задача:** ORCH-073 (BUG CRITICAL — эрозия `main`)
-- **Amends:** [adr-0013](adr-0013-merge-verify-gate.md) (ORCH-071) — меняет КРИТЕРИЙ подтверждения merge.
-- **Детальный ADR:** `docs/work-items/ORCH-073/06-adr/ADR-001-merge-verify-sha-truth-and-regression-guard.md`
-- **Постмортем:** `docs/history/LESSONS_2026-06-08_phantom-merge.md`
-
-## Контекст
-
-adr-0013 (ORCH-071) ввёл под-гейт merge-verify на ребре `deploy → done`, но допускал
-подтверждение merge по **ИЛИ-критерию**: `verify_merged_to_main` возвращал `True`, если
-`pr_already_merged(repo, branch)` **ЛИБО** SHA — предок `origin/main`. `pr_already_merged`
-засчитывал **любой** merged PR ветки, включая авто docs-PR (staging/deploy-логи). У одной
-feature-ветки в `main` сливались только docs-PR, а code-PR — нет → `pr_already_merged`=`True` →
-verify `CONFIRMED` → `done`, хотя кода в `main` не было. Накопительно потеряны ORCH-067 (ссылки
-`plane_issue_link`) и ORCH-069 (`qg0_title_max`). Вторичный усилитель — CHANGELOG-ребейзы,
-откатывающие ветку и тащащие устаревший код-сосед. Восстановление кода (G1) выполнено вручную
-restore-PR #76; этот ADR устраняет корень навсегда.
-
-## Решение
-
-1. **SHA-в-main — единственный критерий (FR-1).** `verify_merged_to_main(repo, branch, sha)`
-   подтверждает merge **ТОЛЬКО** прямым фактом `git merge-base --is-ancestor <sha> origin/main`
-   (после `git fetch origin main`). OR-ветка `pr_already_merged` **удалена** из верификатора.
-   Пустой `sha` / любая git-ошибка → `False` (fail-closed: alert + HOLD). never-raise (INV-1).
-2. **`pr_already_merged` → idempotency-guard, различающий code-PR/docs-PR (FR-2).** Засчитывает
-   merged PR только при `head.ref==<feature-branch>` И `base.ref=="main"` (явный фильтр в цикле,
-   не ненадёжный query-параметр `head`). Используется лишь как защита `merge_pr` от второго merge,
-   НЕ как подтверждение `done`.
-3. **`merge_pr` сливает именно code-ветку (FR-3).** Выбор открытого PR по `head.ref==branch` И
-   `base.ref=="main"`; merge только Gitea `POST /pulls/{index}/merge`, никогда push/force-push в
-   `main`. Источник истины «слилось» — FR-1.
-4. **Регресс-гард целостности `main` (FR-5).** Новая `merge_gate.check_main_regression`,
-   вызываемая в `_handle_merge_verify` ПОСЛЕ подтверждённого SHA-в-main и ДО `done`: проверяет, что
-   `origin/main` содержит **декларативный набор маркеров** ключевых функций ранее-merged задач
-   (`git grep -c <marker> origin/main -- <path>` > 0). Маркер отсутствует → **alert «main
-   regressed» + HOLD** (НЕ `done`, БЕЗ авто-отката на `development` — инфра-дефект, ALERT-only как
-   ORCH-021/071). Набор — append-only константа `MAIN_REGRESSION_MARKERS` в `merge_gate.py`
-   (расширяется каждой значимой задачей). **Fail-open** на git-ошибке самого грепа (регресс
-   утверждается только при детерминированном `count==0`); первичный фейл-клозед — SHA-в-main.
-   Kill-switch `regression_guard_enabled` (дефолт `true`); non-self → no-op.
-5. **`.gitattributes CHANGELOG.md merge=union` (FR-4).** В корне репо; авто-слияние правок
-   `## [Unreleased]` без конфликта → `auto_rebase_onto_main` не откатывает ветку и не тащит
-   устаревший код-сосед. `docs/**/*.md` под union **НЕ** ставится (union только для append-only;
-   доки переписываются построчно).
-
-## Инварианты
-
-never-raise на verify/merge/регресс-гарде (ошибка → alert/HOLD, не падение); прод 8500 не
-рестартится/не падает в рамках merge; merge только Gitea PR-API без force-push в `main`; ручной
-`Confirm Deploy` (ORCH-059) сохранён; идемпотентность по «SHA-в-main», а не по «любому merged PR»;
-non-self репо (enduro) — merge/verify/регресс-гард без изменений. `STAGE_TRANSITIONS`, реестр
-`QG_CHECKS`, `check_deploy_status`, схема БД, внешние HTTP-эндпоинты — **без изменений**.
-
-## Альтернативы
-
-- Сохранить PR-флаг как со-критерий verify (с фильтром head/base) — отклонено: PR можно слить и
-  тут же откатить ребейзом-соседом; надёжен только факт «SHA в main».
-- `docs/**/*.md merge=union` — отклонено: тихая дубликация строк в переписываемых доках.
-- Регресс-гард с авто-откатом / хранением маркеров в БД/Plane — отклонено (Не-цель «не менять
-  схему БД/Plane»; реакция ALERT-only).
-- Fail-closed на marker-grep — отклонено: ложный HOLD при git-сбое; marker-grep вторичен.
-
-## Последствия
-
-Невозможно «`done` + прод задеплоен, а code-PR не в `main`». Ложно-зелёный по docs-PR устранён в
-корне. CHANGELOG-конфликты больше не откатывают ветку. Регресс соседнего кода ловится отдельным
-гардом. Минус: при недоступной Gitea/git verify консервативно `False` → возможен ложный HOLD+alert
-(снимается повтором; fail-closed для `done` приоритетен). Набор маркеров требует дисциплины —
-значимая задача дописывает свой маркер.
-
-## Связи
-
-- Amends adr-0013 (ORCH-071), наследует adr-0006 (merge-gate), adr-0011 (job-reaper/lease).
-- Детально: `docs/work-items/ORCH-073/06-adr/ADR-001-merge-verify-sha-truth-and-regression-guard.md`.

docs/architecture/adr/adr-0015-task-deps-and-merge-serialization.md

@@ -1,47 +0,0 @@
-# adr-0015: Зависимости задач + сериализация merge внутри репо
-
-**Статус:** accepted · **Дата:** 2026-06-08 · **Источник:** ORCH-026
-**Связи:** дополняет adr-0006 (merge-gate), adr-0011 (merge-lease + reclaim), adr-0013/0014
-(merge-verify, SHA-in-main), adr-0002 (очередь). Детально —
-`docs/work-items/ORCH-026/06-adr/ADR-001-merge-serialization-and-task-deps.md`.
-
-## Контекст
-
-Эрозия `main` 08.06 родилась из некоординированного параллелизма задач одного репо (ветки от
-устаревшего `main`, фантом-merge затирает соседа). adr-0014 закрыл последствия; ORCH-026 — корень
-на уровне планировщика. Плюс исходный скоуп ORCH-026: декларативные зависимости задач (B ждёт A).
-
-## Решение
-
-**Уровень A — сериализация merge/деплоя (per-repo).** Окно сериализации уже обеспечивается
-merge-lease (adr-0011): захват в `check_branch_mergeable`, удержание до release (PR-merged webhook /
-`deploy→done`=SHA-in-main для self / откат / проактивный reclaim). Это и есть окно
-«merge → main-updated» — **механизм не переписывается**. Добавляется единственное новое поведение:
-**безусловный proactive pre-merge rebase** (флаг `premerge_rebase_always`, дефолт `True`, скоуп
-`merge_gate_repos`): под лизом всегда вызывается `auto_rebase_onto_main` (no-op + «Everything
-up-to-date» на актуальной ветке → CI не триггерится; реальный догон на отстающей). Инвариант:
-никаких push в `main`, force только `--force-with-lease` на ветку.
-
-**Уровень B — декларативные зависимости.** Аддитивная таблица `job_deps(task_id,
-depends_on_task_id)` — **источник истины планировщика** (offline-устойчивость: сетевой Plane в
-горячем claim встанет очередью всех проектов). Источник декларации настраивается
-`task_deps_source = db|plane|hybrid` (дефолт `db`); планировщик всегда читает БД-кэш. Гейт —
-условие `NOT EXISTS` в `claim_next_job` (задача не выбирается, пока есть незавершённая зависимость;
-слот `max_concurrency` не занимается). Циклы — DFS-детектор (`src/task_deps.py`) + `set_issue_blocked`
-+ alert. Видимость — строка «⏳ ждёт ORCH-NNN» в Telegram-карточке (Plane Blocked — на дедлоке).
-Зависимости — только intra-repo (v1).
-
-## Альтернативы
-
-Отдельный merge-lock/merge-queue (дублирует adr-0011); расширение release-точек лиза (не нужно —
-окно уже корректно); Plane как источник истины планировщика (self-hosting risk); гейт зависимостей
-в воркере с claim+requeue (churn vs. чистый `NOT EXISTS`); поле в `tasks` вместо таблицы (M:N хуже).
-
-## Последствия
-
-Минимально-инвазивно: `STAGE_TRANSITIONS`/`QG_CHECKS` не тронуты (паттерн врезки), переиспользует
-merge-gate/merge-lease целиком. Обе фичи инертны без данных → нулевая регрессия для enduro-trails.
-restart-safe, never-raise, kill-switch на каждую (`premerge_rebase_always`, `task_deps_enabled`).
-Миграция — только аддитивная (`CREATE TABLE/INDEX IF NOT EXISTS`). Ограничение: B v1 — intra-repo.
-Self-hosting safety: изменения идут через `deploy-staging` → `Confirm Deploy`, без внеочередного
-рестарта прода.

docs/architecture/adr/adr-0016-ensure-open-pr-before-merge-verify.md

@@ -1,52 +0,0 @@
-# ADR-0016: ensure_open_pr — гарантированный код-PR перед merge-verify (ORCH-082)
-
-## Статус
-Accepted — амендмент к [adr-0013](adr-0013-merge-verify-gate.md) и
-[adr-0014](adr-0014-merge-verify-sha-source-of-truth.md). Детально:
-`docs/work-items/ORCH-082/06-adr/ADR-001-ensure-open-pr-before-merge-verify.md`.
-
-## Контекст
-Merge-verify (ORCH-071/073) — под-гейт ребра `deploy → done`: детерминированно мержит код-PR в
-`main` (`merge_pr`) и подтверждает merge **только** по «SHA-в-main» (`verify_merged_to_main`,
-ORCH-073). На деплое ORCH-074 (08.06) `merge_pr` вернул `("False", "no open PR")`: у ветки **не
-было** открытого PR с `head==branch` И `base=="main"`. Защита ORCH-073 верно удержала задачу
-(HOLD, не ложный `done`), но это лечило **следствие**.
-
-Первопричина (код-аудит): PR создаётся в конвейере **единственной** функцией
-`launcher._ensure_pr`, вызываемой **только** на developer-пути и **только** при свежем
-worktree-коммите. Любой сценарий без свежего developer-коммита (бойнс без правок, повторный
-прогон, **ручное восстановление ветки/`main`** — случай ORCH-074) оставляет ветку без код-PR.
-Инвариант «к merge-verify у ветки есть открытый код-PR» в конвейере **отсутствовал** → блокер
-автономного деплоя (ORCH-54).
-
-## Решение
-Аддитивно обеспечить инвариант **внутри того же под-гейта**, ПЕРЕД `merge_pr`, не трогая машину
-стадий:
-
-1. **Новый leaf-актор `merge_gate.ensure_open_pr(repo, branch) -> (status, detail)`** (never-raise):
-   `GET …/pulls?state=open` с фильтром **`head.ref==branch` И `base.ref=="main"`** (идентичен
-   `merge_pr`/ORCH-073 FR-3 — авто-docs-PR не считается код-PR) → `("existed", N)`; иначе
-   `POST …/pulls` → `("created", N)`; гонка «PR exists» → повторный GET → `existed` (без дублей);
-   любая ошибка → `("failed", reason)`.
-2. **Врезка в `_handle_merge_verify`** ПОСЛЕ резолва `validated_revision` и ПЕРЕД `merge_pr`:
-   `created|existed` → штатно к `merge_pr`; `failed` → честный HOLD+alert через новый helper
-   `_hold_pr_create_failed` (текст «PR создать не удалось» — отличим от not-merged HOLD), задача
-   остаётся на `deploy`, БЕЗ отката на development.
-3. **Kill-switch `merge_verify_autocreate_pr_enabled`** (дефолт `True`); область —
-   `merge_verify_applies` (self-hosting / `merge_verify_repos`). `False` → поведение ORCH-074 1:1.
-4. **`launcher._ensure_pr`** рекомендуется делегировать в `ensure_open_pr` (единый код создания
-   PR), сохранив прежний триггер «только developer-путь».
-
-## Последствия
-- **Защита ORCH-073 неприкосновенна и приоритетна:** подтверждение merge остаётся ТОЛЬКО
-  `verify_merged_to_main` (SHA-в-main) + `check_main_regression`. Создание PR устраняет лишь
-  **ложный** HOLD «no open PR», но не маскирует реально невлитый код (тот → HOLD как прежде).
-- **Без миграций:** идемпотентность выводится из Gitea (наличие открытого PR), схема БД не меняется
-  — restart-safe; повторный заход (reaper/reconciler/re-approve) → `existed`, дублей нет.
-- **Инварианты целы:** `STAGE_TRANSITIONS`, `QG_CHECKS`, схема БД, `check_deploy_status`,
-  exit-коды хука, merge-gate (ORCH-043), image-freshness (ORCH-058) — без изменений; `main` не
-  push/force-push; never-raise на всём пути.
-- **Наблюдаемость:** один однозначный исход в логах на проход — created / existed / failed; HOLD по
-  failed текстуально отличим от HOLD not-merged.
-- **Минус:** код-PR может создаваться после прохождения гейтов — безопасно, т.к. гейты валидируют
-  код ветки, а merge-verify идёт ПОСЛЕ всех гейтов; PR — лишь механизм слияния, ревью не обходится.

docs/architecture/adr/adr-0017-serial-gate.md

@@ -1,59 +0,0 @@
-# adr-0017: Per-repo serial gate (пакетный автономный режим, serial e2e)
-
-Статус: **proposed** · Дата: 2026-06-09 · Источник: **ORCH-088** (Этап 1)
-Детально: `docs/work-items/ORCH-088/06-adr/ADR-001-serial-gate.md`.
-
-## Контекст
-Цель эпика ORCH-088 — масштаб автономности: накидать вечером 10–20 задач и получить к утру пакет,
-последовательно проведённый через весь конвейер (analysis → … → deploy → done). Корневая проблема —
-**stale-анализ**: ветка задачи N+1 срезается на входе в анализ (`start_pipeline._create_gitea_branch`)
-от `main`, ещё не содержащего код предшественника N. Физическое код-затирание уже закрыто (ORCH-026
-auto_rebase + merge-lease); остаётся **логический** разрыв. Plane API v1 не имеет bulk/relations ⇒
-очередь/зависимости хранятся у оркестратора (gate по локальной БД).
-
-## Решение
-**Per-repo serial gate** — новая задача репо не входит в `analysis` (не режет ветку, не запускает
-analyst), пока в том же репо есть незавершённая задача (`stage != 'done'`) или репо заморожен.
-Три механизма, аддитивно, под kill-switch, с областью репо, never-raise, restart-safe:
-
-1. **Gate-в-claim** (`db.claim_next_job`) — analyst-job (`jobs.agent='analyst'`) применимого репо не
-   выбирается, если `EXISTS` другая незавершённая задача репо ИЛИ активна строка `repo_freeze`. По
-   образцу `task_deps` `NOT EXISTS` (ORCH-026); только локальная БД (offline hot-path). Job'ы уже
-   активной задачи проходят свободно; rework-analyst не блокирует себя (`t2.id != jobs.task_id`).
-2. **Отложенный срез ветки** — для применимого репо `start_pipeline` создаёт task-row + enqueue
-   analyst, но **не** создаёт Gitea-ветку/docs; срез релоцируется на момент claim analyst-job
-   (launcher), когда `origin/main` уже содержит предшественника (`done` ⇔ SHA-в-main, ORCH-071/073).
-   `ensure_worktree` режет от свежего `origin/main` ⇒ AC-6 структурно. Идемпотентно (409 = no-op).
-3. **Durable per-repo freeze** (`repo_freeze`) — post-deploy `DEGRADED`/rollback (ORCH-021) →
-   `set_repo_freeze` + Telegram-алерт; gate закрыт безусловно до **ручного** снятия
-   (`POST /serial-gate/unfreeze`). Деградировавшая задача уже `done` (BR-7) ⇒ нужен отдельный сигнал.
-
-Чистая логика — leaf `src/serial_gate.py` (never-raise). Флаги `serial_gate_enabled` (kill-switch),
-`serial_gate_repos` (CSV; **пусто ⇒ все репо**, в отличие от self-hosting-only ORCH-35/43/58),
-`serial_gate_freeze_enabled`. Наблюдаемость — блок `serial_gate` в `GET /queue`.
-
-## Альтернативы
-- **Гейт в `start_pipeline` + re-trigger при `done`** — больше состояния/путей, риск зависших задач;
-  relocation на claim переиспользует restart-safe `jobs`-очередь.
-- **Freeze как колонка `tasks`** — неверная семантика (freeze per-repo, задача уже `done`).
-- **Self-hosting-only область** — лишает enduro анти-stale-base (FR-3).
-- **Отдельная таблица очереди ожидания** — избыточно; `jobs(queued)`+gate достаточно.
-- **Снятие freeze Plane-жестом** — перегрузка статусов (анти-паттерн ORCH-059).
-
-## Последствия
-- **+** AC-6 закрыт структурно; AC-2/AC-3 «бесплатны» (ожидание = `queued` job без ветки);
-  переиспользование проверенных паттернов; cross-repo параллелизм сохранён; `STAGE_TRANSITIONS` /
-  `QG_CHECKS` / `check_*` / merge-gate / merge-verify / image-freshness / post-deploy / deploy-хук /
-  `max_concurrency` — **без изменений**.
-- **NFR-1:** hot-claim тотальный сбой → **fail-open** (не заклинить очередь всех проектов); freeze в
-  Python-слое → **fail-closed** (безопасность прода).
-- **−** Срез ветки/docs мигрируют из async в sync-путь launcher (обёртка); Blocked-задача держит пакет
-  (Этап 1, осознанно); freeze снимается только вручную.
-- Откат: `serial_gate_enabled=False` ⇒ claim/старт 1:1 как до ORCH-088; таблица `repo_freeze` инертна.
-- **Вне скопа** (Этап 1): merge-очередь FIFO, pre-merge rebase как отдельная фича, фазы A/B/C,
-  любой параллелизм задач внутри одного репо, зависимость от ORCH-83.
-
-## Связи
-- Переиспользует: adr-0002 (очередь ORCH-1), adr-0015 (claim-gate/auto_rebase/merge-lease ORCH-026),
-  adr-0010 (post-deploy monitor — источник DEGRADED), adr-0013/0014 (merge-verify ⇒ `done`⇔SHA-в-main).
-- Новая аддитивная таблица `repo_freeze` (`docs/work-items/ORCH-088/08-data-requirements.md`).

docs/architecture/adr/adr-0018-auto-label-gates.md

@@ -1,59 +0,0 @@
-# ADR-0018: Авто-режим по лейблам — autoApprove / autoDeploy (ORCH-089)
-
-## Статус
-Accepted (реализация — ORCH-089)
-
-## Контекст
-Конвейер имеет два **человеческих** гейта, тормозящих пакетный автономный прогон
-(эпик ORCH-088, «10–20 задач за ночь»):
-1. **BRD** (`analysis`): ждёт ручного Plane-статуса `Approved` → advance на `architecture`.
-2. **Прод-деплой** (`deploy`): Phase A ставит `Awaiting Deploy` и ждёт ручного
-   `Confirm Deploy` (ORCH-059) → Phase B (`initiate_deploy`).
-
-Для доверенных задач оба клика избыточны. Нужно снять **только эти два человеческих
-решения**, выборочно/декларативно (лейбл Plane на задаче), не ослабляя ни одной
-технической проверки.
-
-## Решение
-Аддитивно, по образцу условных под-гейтов (ORCH-035/043/058/059/088): leaf-модуль чистой
-логики `src/labels.py` (never-raise) + точечные врезки + флаги. `STAGE_TRANSITIONS`, реестр
-`QG_CHECKS`, все `check_*`, схема БД — **не трогаются**.
-
-- **`autoApprove`** (лейбл задачи) → в `_handle_analysis_approved_flow` (ветка `files_ok`)
-  после `In Review`+коммента: `set_issue_approved` (индикация) + лог/Telegram/Plane-коммент +
-  `advance_stage(..., finished_agent=None)` — тот же путь, что человеческий Approved
-  (`approved-via-status` → `analysis → architecture` + `mark_brd_review_ended`). Без
-  дублирования переходной логики.
-- **`autoDeploy`** (лейбл задачи) → в `_handle_self_deploy_phase_a` сразу после advance на
-  `deploy` + `clear_state`: лог/Telegram/Plane-коммент + `_handle_self_deploy_phase_b(...)`
-  (idempotency-маркер `INITIATED`, `Deploying`, finalizer). Пропускаются лишь
-  индикативно-человеческие шаги (`Awaiting Deploy` + «ask-human»).
-- **Чтение лейблов** — `plane_sync.fetch_issue_labels` + `get_project_labels` (TTL-кэш,
-  образец `get_project_states`); сопоставление по нормализованному имени; источник истины —
-  Plane API (не payload). Новый сеттер `set_issue_approved` (ключ `approved` уже в states).
-- **Флаги:** `auto_label_enabled` (kill-switch), `auto_approve_label`/`auto_deploy_label`
-  (имена), `auto_label_repos` (CSV; **пусто → self-hosting only**), `auto_label_states_ttl_s`.
-  `applies(repo)` (локальный) проверяется ПЕРВЫМ; `has_label` (сеть) — только если
-  `applies==True` → при выключенном флаге нулевой сетевой оверхед.
-
-## Критические инварианты
-- **Авто-режим снимает ТОЛЬКО человеческое решение**, не ослабляя ни один тех-гейт
-  (CI / staging / security / merge-gate / image-freshness / merge-verify / regression-guard /
-  post-deploy). autoDeploy живёт в точке, где все под-гейты ребра `deploy-staging → deploy`
-  уже зелёные → структурно «никогда не деплоит сломанное».
-- **Fail-safe (never auto):** любая ошибка/недоступность Plane/неоднозначность имени →
-  «нет авто» → ручной гейт (согласовано с fail-closed-практикой ORCH-059). never-raise.
-- **Нулевая регрессия:** без лейблов / `auto_label_enabled=False` / репо вне scope →
-  поведение 1:1 как до ORCH-089 (enduro не затронут).
-- **Идемпотентность:** autoApprove — advance применяется один раз (поздний Approved/F-2
-  видят уже `architecture`); autoDeploy — маркер `INITIATED`.
-
-## Последствия
-**+** минимальная поверхность, единый источник истины перехода, декларативно/обратимо,
-независимые лейблы, безопасный дефолт. **−** Approved-статус транзиентен (durable-аудит —
-лог/Telegram/коммент); 1–2 GET к Plane на гейт применимого репо (TTL-кэш карты лейблов);
-требуется однократно создать лейблы в Plane-проекте ORCH (инфра-предусловие; их отсутствие =
-fail-safe ручной режим).
-
-Детально: `docs/work-items/ORCH-089/06-adr/ADR-001-auto-label-gates.md`,
-`07-infra-requirements.md`, `10-tech-risks.md`.

docs/architecture/adr/adr-0019-pipeline-docs-standard.md

@@ -1,49 +0,0 @@
-# adr-0019: Стандарт документов пайплайна (docs/_standards + docs/_templates + ADR-naming)
-
-Статус: **proposed** · Дата: 2026-06-09 · Источник: **ORCH-075** (ORCH-52b, слой 1 эпика ORCH-52)
-Детально: `docs/work-items/ORCH-075/06-adr/ADR-001-pipeline-docs-standard.md`.
-
-## Контекст
-Агенты всех ролей пишут номерные доки work item (`00…17`) «по памяти»; каталогов
-`docs/_standards/` и `docs/_templates/` нет. Следствия: разнобой структуры между задачами; риск
-рассинхрона критичных frontmatter-ключей машинных доков (`verdict:` / `result:` / `deploy_status:` /
-`staging_status:` / `security_status:`), которые читает гейт; отсутствует целостная карта «стадия →
-агент → документ → гейт». Эпик ORCH-52 слоист: слой 1 (52b) фиксирует **договорённость**, машинная
-проверка/валидатор — отдельный слой 52c.
-
-## Решение
-**Документационный стандарт, docs-only, выведенный из фактического кода и эталонных доков:**
-
-1. `docs/_standards/PIPELINE_DOCS.md` — манифест-карта «стадия → документ → владелец-агент →
-   категория (`required`/`when-applicable`/`optional`) → гейт/механизм → frontmatter machine-key».
-   Манифест **документирует** поведение гейтов (источник истины остаётся `src/`), честно различает
-   machine-verdict доки (`12,13,14,15,17`) и информационные (`00,08,10,16`), и помечает под-гейты
-   ребра `deploy-staging→deploy` (security/merge/image-freshness) как врезки в `advance_stage`, а не
-   строки `STAGE_TRANSITIONS`.
-2. `docs/_templates/*` — копируемые скелеты для каждого `required`/`when-applicable` дока; секции
-   выведены из эталонов (ORCH-088/073/089/071), новые не изобретаются; машинные доки несут точный
-   frontmatter-ключ из ground-truth.
-3. **ADR-naming** канонизирован: `docs/work-items/<plane-id>/06-adr/ADR-NNN-<kebab-slug>.md` (NNN с
-   `001`); кросс-каттинговые решения дублируются в этот глобальный реестр `adr-NNNN-<slug>.md`.
-
-Подключение — ссылки из `CLAUDE.md` и `docs/architecture/README.md` + запись в `CHANGELOG.md`.
-
-## Альтернативы
-- Сразу валидатор на гейте — отвергнуто (ORCH-52c; нарушил бы docs-only/NFR-1, групповой риск).
-- Манифест как источник истины гейтов — отвергнуто (дубль-истина «манифест ≠ код»).
-- Шаблоны в `docs/work-items/_template/` — отвергнуто (риск для сканеров/гейтов наличия файлов).
-- Ретро-фит истории доков — отвергнуто (вне scope, отдельный риск).
-
-## Последствия
-- **+** Единый golden source структуры доков; меньше ложных падений гейтов из-за неверного
-  frontmatter-ключа; ADR-naming записан; база для ORCH-52c.
-- **+ Нулевой рантайм-риск:** только `docs/**` + `CLAUDE.md` + `CHANGELOG.md`; `STAGE_TRANSITIONS` /
-  `QG_CHECKS` / `check_*` / `src/stage_engine.py` / схема БД — без изменений; полностью обратимо.
-- **−** Манифест — снимок поведения гейтов, дрейфует до ORCH-52c (митигейшн: источник истины — код,
-  reviewer-правило, привязка к именам `check_*`); стандарт описательный, не принуждающий.
-
-## Связи
-- Источник: ORCH-075 (`docs/work-items/ORCH-075/06-adr/ADR-001-pipeline-docs-standard.md`).
-- Документирует (не меняет): adr-0003/0006/0008/0012/0013/0014/0016 (гейты и под-гейты ребра),
-  `STAGE_TRANSITIONS` (`src/stages.py`), `QG_CHECKS` (`src/qg/checks.py`).
-- Downstream: ORCH-52c (frontmatter-валидатор / writer-контракт), ORCH-52d (правка промптов).

docs/architecture/adr/adr-0020-frontmatter-contract.md

@@ -1,63 +0,0 @@
-# adr-0020: Единый frontmatter-контракт + спека handoff (reader/writer/валидатор)
-
-Статус: **Accepted** · Дата: 2026-06-09 · Источник: **ORCH-076** (ORCH-52c)
-Детально: [`docs/work-items/ORCH-076/06-adr/ADR-001-frontmatter-contract.md`](../../work-items/ORCH-076/06-adr/ADR-001-frontmatter-contract.md)
-
-## Контекст
-
-Слой 1 эпика ORCH-52 (ORCH-075/52b) дал **описательный** стандарт документов
-(`docs/_standards/PIPELINE_DOCS.md`), явно отложив машинную проверку на ORCH-52c. В коде:
-`src/frontmatter.py` — только single-key reader (never-raise), а ~10-строчный блок парсинга
-YAML-frontmatter **продублирован** в 5 вердикт-парсерах (`check_reviewer_verdict`,
-`_parse_tests_verdict`, `_parse_deploy_status`, `_parse_staging_status`, `parse_security_status`)
-+ в `_strip_frontmatter`/`extract_security_findings`. Единого контракта чтения, writer'а, схемы
-и формальной спеки handoff — нет. Эти парсеры читают вердикты **на гейтах self-hosting**
-инструмента, обслуживающего прод других проектов из общего инстанса → любой регресс = стоп
-конвейера всех проектов.
-
-## Решение
-
-1. **`src/frontmatter.py` → полный frontmatter-контракт** (функции в существующем leaf-модуле,
-   контракт **never-raise**): сохранённый `read_frontmatter_value` (без изменений) + единый
-   парс-примитив `parse_frontmatter(content) -> FrontmatterParse` (единственная точка
-   YAML-логики, структура различает no-block / malformed / yaml-error / data) + `render_/
-   write_frontmatter` (writer) + `validate_schema` (обязательная схема
-   `work_item, stage, author_agent, status, created_at, model_used`) + `strip_frontmatter`.
-2. **Унифицируется механизм парсинга, НЕ семантика.** Все 5 вердикт-парсеров читают YAML через
-   `parse_frontmatter`; token-наборы, upper-casing, приоритет негативного токена, 3-полевой
-   контракт tester'а (ORCH-047), fallback `worktree→origin/main` — **1:1**. Сигнатуры и
-   `tuple[bool, str]` — неизменны. Reason-строки переносятся дословно.
-3. **Валидатор не hard-fail по умолчанию.** Флаг `frontmatter_validation_strict` (env
-   `ORCH_FRONTMATTER_VALIDATION_STRICT`, дефолт `False`): default — warning/лог, **вне
-   вердикт-пути гейтов** (нулевая регрессия); hard-fail — зарезервированный strict-режим
-   (включение — с ORCH-52d). Иначе ORCH-52c заблокировала бы собственный деплой.
-4. **Формальная спека handoff** `docs/_standards/HANDOFF_PROTOCOL.md` — «стадия → обязательный
-   выход» (документы + frontmatter-ключи), согласована 1:1 с `PIPELINE_DOCS.md` §2–§3; источник
-   истины — код. `PIPELINE_DOCS.md` обновляется ссылкой + отметкой о реализации машинного слоя.
-5. **Без изменений** `STAGE_TRANSITIONS`, состава `QG_CHECKS`, API, схемы БД.
-
-## Альтернативы
-
-- Общий «умный» verdict-резолвер (поле+токены для всех гейтов) — отклонён: различия token-логики
-  → риск тонкого регресса на гейте при self-hosting. Унифицируем только парс YAML.
-- Класс/новый пакет — отклонён: состояния нет, лишний blast radius.
-- Hard-fail валидатор по умолчанию — отклонён (NFR-3: self-block собственного деплоя).
-- Сторонняя `python-frontmatter` — отклонена: лишняя зависимость ради ~30 строк.
-
-## Последствия
-
-- **+** Конец дублирования/рассинхрона парсинга; writer+валидатор+схема готовы к ORCH-52d;
-  спека handoff закрывает пробел контракта стадий.
-- **+** Нулевая регрессия по построению: семантика и reason-строки 1:1, валидатор инертен при
-  дефолте, never-raise сохранён, enduro 1:1.
-- **−** Унификация частичная (парс, не семантика); strict-режим «спящий» до ORCH-52d.
-- **Обратимость:** `frontmatter_validation_strict=False` ⇒ прежнее поведение; перевод гейтов
-  поведенчески инвариантен.
-- **Риск:** первый боевой `autoDeploy` орка (ORCH-089) — наблюдение за стадией `deploy`
-  (`docs/work-items/ORCH-076/10-tech-risks.md`).
-
-## Связи
-
-- Опирается: adr-0019 (pipeline-docs-standard, ORCH-075), ORCH-016 (reader), ORCH-047
-  (3-полевой tester), adr-0012 (security-гейт), adr-0018 (auto-label/`autoDeploy`).
-- Готовит: ORCH-52d (эмиссия полной схемы агентами; возможное включение strict).

docs/architecture/adr/adr-0021-prompt-canon-anthropic.md

@@ -1,84 +0,0 @@
-# adr-0021: Канон Anthropic для системных промптов агентов + эмиссия frontmatter-схемы 52c
-
-- **Статус:** proposed
-- **Дата:** 2026-06-09
-- **Источник:** ORCH-077 (эпик ORCH-52, слой 52d — замыкающий)
-- **Связи:** реализует слой промптов к adr-0019 (52b, PIPELINE_DOCS) и adr-0020 (52c,
-  frontmatter-контракт). Детально — `docs/work-items/ORCH-077/06-adr/ADR-001-anthropic-prompt-canon.md`.
-
-## Контекст
-
-Эпик ORCH-52 строит сквозной контракт документации конвейера: **52b** (adr-0019) — описательный
-стандарт документов + скелеты `docs/_templates/`; **52c** (adr-0020) — машинный контракт
-`src/frontmatter.py` (reader/writer/валидатор `REQUIRED_FIELDS`) + спека `HANDOFF_PROTOCOL.md` с
-обязательной 6-польной схемой `(work_item, stage, author_agent, status, created_at, model_used)`.
-
-Две незакрытые проблемы:
-1. **Цепочка 52b→52c→52d разорвана.** Writer и валидатор схемы есть, но работают warning-only
-   (`frontmatter_validation_strict=False`); агенты **не эмитят** поля схемы — на входе валидатора нет
-   данных, петля не замкнута.
-2. **Форма 6 промптов `.openclaw/agents/*.md` разнородна** (RU/EN, свободная структура) → снижает
-   предсказуемость агентов прода, которые исполняются на КАЖДОЙ задаче ВСЕХ проектов из общего
-   инстанса (self-hosting).
-
-Факт загрузки (сверено `src/agents/launcher.py`): промпт `cat`-ается из git-worktree агента в момент
-запуска (`--system-prompt "$(cat .openclaw/agents/<role>.md)"`), НЕ запекается в образ.
-
-## Решение
-
-Ввести **обязательный канон формы** для всех агент-промптов и сделать его машинно-проверяемым.
-
-1. **Фиксированный XML-скелет (5 обязательных секций, нормативный порядок):**
-   `<context>` → `<task>` (+ опц. `<thinking>`) → `<deliverables>` → `<constraints>` →
-   `<output_format>`. Доп. секции (`<success_criteria>`, `<escalation>`) — после. Контекст/роль
-   вперёд, формат вывода последним (recency для следования схеме).
-2. **Аддитивная эмиссия схемы 52c.** `<output_format>` каждого промпта перечисляет 6 полей схемы с
-   роле-специфичными значениями и инструктирует ставить их **рядом** с существующим machine-verdict
-   ключом, **не меняя его имя/регистр/значения** (`verdict:`, `result:`, `staging_status:`,
-   `deploy_status:`, `security_status:` — байт-в-байт). Для `04-test-plan.yaml` (чистый YAML) — как
-   top-level ключи. Гейты читают вердикты как раньше (схема в boolean-вердикте не участвует).
-3. **Few-shot + позитивные альтернативы.** Ссылки на `docs/_templates/` и эталоны (ORCH-073/088);
-   каждый запрет в формате «❌ X → ✅ Y».
-4. **CoT/thinking** у решающих ролей (architect/reviewer/tester/deployer).
-5. **Анти-регресс машинно.** Структурные тесты `tests/test_agent_prompts_canon.py` (без запуска
-   агентов): 5 секций, 6 полей схемы, точный регистр machine-verdict ключей, ключевые
-   self-hosting-маркеры (deployer: `docker exec orchestrator-staging`, `pr_already_merged`,
-   «не рестартить 8500»). `test_agent_frontmatter_no_model.py` остаётся зелёным.
-6. **Enforcement не включается.** `frontmatter_validation_strict` остаётся `False` (warning-only);
-   52d учит эмитить добровольно. Hard-fail — отдельная будущая задача.
-
-**Границы:** docs/prompts-only. `src/**` (config, launcher, frontmatter, stages, qg/checks,
-stage_engine), `STAGE_TRANSITIONS`, `QG_CHECKS`, состав machine-verdict ключей, схема БД, `tools:`-блок
-промптов — **не трогаются**.
-
-**Норматив на будущее:** любая новая правка/добавление агент-промпта следует этому канону (5 секций +
-аддитивная схема + ❌→✅). Отступление требует нового ADR.
-
-## Альтернативы
-
-- **Сразу включить hard-fail схемы.** Отвергнуто: правка `src/config.py` вне scope; для self-hosting
-  рискованно (забытое поле валит гейт всех проектов). Сначала эмиссия, enforcement — позже.
-- **Канон как рекомендация, не норма.** Отвергнуто: теряется машинная проверяемость, эпик требует
-  контракт.
-- **Запечь промпты в образ.** Отвергнуто: противоречит loading-model (cat из worktree), добавило бы
-  прод-рестарт-зависимость.
-
-## Последствия
-
-- **+** Петля 52 замкнута: схема наполняется реальными данными на каждой стадии всех проектов.
-- **+** Единый предсказуемый канон; правки промптов вступают в силу **без прод-рестарта** (следующий
-  worktree от `main`) → нулевой self-hosting-риск выкатки.
-- **+** Естественный in-vivo A/B: reviewer/tester задачи исполняются под новыми промптами в той же
-  ветке (метод BR-6).
-- **−** Рост объёма промптов (митигейшн: ссылки вместо инлайна, контроль объёма).
-- **−** Риск регресса инструкции (митигейшн: построчная карта + структурные тесты + приоритетный
-  review deployer/reviewer).
-- **Откат:** `git revert` PR — свободная форма возвращается, эмиссия прекращается, гейты идентичны.
-
-## Связи
-- Реализует: adr-0019 (52b), adr-0020 (52c).
-- Per-work-item: `docs/work-items/ORCH-077/06-adr/ADR-001-anthropic-prompt-canon.md`.
-- Стандарты: `docs/_standards/PIPELINE_DOCS.md`, `docs/_standards/HANDOFF_PROTOCOL.md`,
-  `src/frontmatter.py::REQUIRED_FIELDS`.
-- Сверено по коду: `src/agents/launcher.py`, `Dockerfile`,
-  `src/config.py::frontmatter_validation_strict`, `tests/test_agent_frontmatter_no_model.py`.

docs/architecture/adr/adr-0022-traceability-marker-standard.md

@@ -1,106 +0,0 @@
----
-work_item: ORCH-078
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0022: Стандарт маркеров-трассировки `ORCH-NNN` + правило чтения ADR перед правкой
-
-- **Статус:** proposed
-- **Дата:** 2026-06-09
-- **Источник:** ORCH-078 (эпик ORCH-52, слой 52e — трассировка, слой 4)
-- **Связи:** продолжает цепочку стандартов эпика 52 — adr-0019 (52b, `PIPELINE_DOCS.md`),
-  adr-0020 (52c, frontmatter-контракт), adr-0021 (52d, канон промптов). Детально —
-  `docs/work-items/ORCH-078/06-adr/ADR-001-traceability-marker-standard.md`.
-
-## Контекст
-
-Эпик ORCH-52 строит сквозной контракт документации конвейера: **52b** (adr-0019) — описательный
-стандарт документов + скелеты; **52c** (adr-0020) — машинный frontmatter-контракт + `HANDOFF_PROTOCOL.md`;
-**52d** (adr-0021) — 6 промптов в каноне Anthropic + добровольная эмиссия 52c-схемы. Закрыты слои
-структуры (52b), машинного вердикта (52c) и формы промптов (52d), но **слой трассировки кода к
-решениям не формализован**.
-
-Факты, сверенные с кодом `main`:
-- В `src/` живёт **51 уникальный** маркер `ORCH-NNN` (`grep -rhoE 'ORCH-[0-9]+' src/ | sort -u | wc -l`),
-  привязывающий нетривиальные инварианты к породившему их work item — **сложившаяся практика без
-  формального стандарта** (`docs/_standards/` несёт лишь `PIPELINE_DOCS.md`/`HANDOFF_PROTOCOL.md`).
-- Высокая плотность: `config.py`=63, `stage_engine.py`=55, `agents/launcher.py`=50, `plane_sync.py`=48,
-  `merge_gate.py`=26 вхождений.
-
-Три незакрытые проблемы:
-1. **Нет правила чтения.** Агент, правя маркированную строку, не обязан прочитать ADR, который её
-   ввёл → риск молча сломать инвариант. Это класс «фантомного merge»
-   (`docs/history/LESSONS_2026-06-08_phantom-merge.md`), породившего ORCH-071/073.
-2. **Reviewer не контролирует соблюдение** — ось «Соответствие ADR» проверяет ADR текущей задачи, не
-   сверку правки чужого маркированного кода с его ADR.
-3. **Анти-археология** — блок с 50+ маркерами = раскопки по 4+ work item.
-
-## Решение
-
-Ввести **нормативный стандарт маркеров-трассировки** `docs/_standards/TRACEABILITY.md` (слой 4 эпика
-52) и точечно дополнить промпты правилом чтения / контролем соблюдения **со ссылкой на единый
-источник**. Это **docs + prompts-only**, нулевое касание кода; стандарт — описательно-нормативный
-документ + анти-регресс-тест промптов, **не машинный гейт конвейера**.
-
-1. **`TRACEABILITY.md`** кодифицирует существующий контракт (не вводит новый синтаксис): определение
-   маркера, формат (inline-комментарий, рекомендуется ссылка на решение), правило размещения (рядом с
-   нетривиальным инвариантом), чтение истории **с реальным проверяемым примером**
-   (`src/serial_gate.py` → ORCH-088 → `ADR-001-serial-gate.md`), fallback-доступ, анти-археология,
-   каноничный текст правила чтения.
-2. **Единый источник истины правила.** Каноничная формулировка живёт только в `TRACEABILITY.md`;
-   промпты несут короткую врезку-**ссылку**, не копию → нет дрейфа между файлами (анти-дубль 52d).
-3. **Точечные врезки (аддитивно, 52d-канон не переписывается):** `developer.md` — правило чтения +
-   fallback-доступ («❌ X → ✅ Y»); `architect.md` — правило чтения + анти-археология; `reviewer.md` —
-   усиление оси «Соответствие ADR» под-пунктом «правка маркированного кода сверена с его ADR; слом →
-   finding ≥P1».
-4. **Анти-археология:** блок с **≥3** маркерами → одна сводная ссылка на сквозной ADR
-   (`docs/architecture/adr/`) вместо перечисления всех work item. Пример: `src/merge_gate.py` →
-   `adr-0006/0013/0014/0016`.
-5. **Fallback-доступ:** `git show origin/main:docs/work-items/ORCH-NNN/06-adr/ADR-001-<slug>.md` —
-   когда папки нет в текущей ветке.
-6. **Анти-регресс машинно:** расширение `tests/test_agent_prompts_canon.py` (tests-only) — утверждает
-   присутствие reading-rule/`TRACEABILITY`-маркеров; существующие проверки 52d и
-   `test_agent_frontmatter_no_model.py` остаются зелёными.
-
-**Границы:** `src/**`, `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, `_parse_*`, `src/frontmatter.py`,
-схема БД — **не трогаются**. `frontmatter_validation_strict` остаётся `False`; новый QG не вводится.
-Массовый ретро-фит 51 существующего маркера **вне объёма** — стандарт действует «на будущее».
-
-**Норматив на будущее:** новый/правимый значимый инвариант → ставь маркер своей задачи рядом; блок с
-3+ маркерами → сводный сквозной ADR; правка чужого маркера → читай его `06-adr` до изменения.
-
-## Альтернативы
-
-- **Машинный гейт/CI-lint маркеров.** Отвергнуто: правка `src/`/CI вне scope; для self-hosting
-  рискованно (ложный fail валит конвейер всех проектов); премэйчур до описательного стандарта.
-  Enforcement — потенциальная будущая задача (как hard-fail схемы в adr-0021).
-- **Массовый ретро-фит 51 маркера.** Отвергнуто: огромный диф, риск регресса смысла, вне объёма.
-- **Копировать правило в каждый промпт.** Отвергнуто: дрейф между файлами, нарушение анти-дубль.
-- **Только per-work-item ADR без глобального.** Отвергнуто: рвёт цепочку эпика 52 (52b/c/d имеют
-  глобальный ADR); нет точки входа для будущих агентов.
-
-## Последствия
-
-- **+** Замкнут слой 4 эпика 52: практика маркеров формализована, правило чтения защищает от слома
-  инвариантов; reviewer получает ось контроля.
-- **+** Единый источник правила → нет дрейфа; обновление в одном файле.
-- **+** Self-hosting без рестарта: промпт `cat`-ается из worktree → правило действует на следующем
-  worktree от `main` без рестарта 8500.
-- **+** Полная обратимость: чисто текстовое изменение, нет миграций/состояния/kill-switch.
-- **−** Рост объёма 3 промптов (митигейшн: короткие врезки-ссылки).
-- **−** Стандарт нормативен, но не enforced машинно → соблюдение на дисциплине + ревью (осознанный
-  компромисс).
-- **Откат:** `git revert` PR — стандарт удаляется, врезки исчезают, поведение кода/гейтов идентично.
-
-## Связи
-- Продолжает: adr-0019 (52b), adr-0020 (52c), adr-0021 (52d).
-- Per-work-item: `docs/work-items/ORCH-078/06-adr/ADR-001-traceability-marker-standard.md`.
-- Стандарты-соседи: `docs/_standards/PIPELINE_DOCS.md`, `docs/_standards/HANDOFF_PROTOCOL.md`,
-  будущий `docs/_standards/TRACEABILITY.md` (создаёт стадия development).
-- Сверено по коду: `src/serial_gate.py:241,269` (ORCH-088), `src/merge_gate.py` (26 маркеров),
-  `tests/test_agent_prompts_canon.py`, `.openclaw/agents/{developer,architect,reviewer}.md`.
-- Прецедент класса ошибки: `docs/history/LESSONS_2026-06-08_phantom-merge.md`.

docs/architecture/adr/adr-0023-overview-docs-reviewer-axis-and-epic52-close.md

@@ -1,98 +0,0 @@
----
-work_item: ORCH-079
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0023: Reviewer-ось «обзорные доки» (README-ограничения) + закрытие эпика ORCH-52
-
-- **Статус:** proposed
-- **Дата:** 2026-06-09
-- **Источник:** ORCH-079 (эпик ORCH-52, слой 52f — обзорные доки, слой 5/финал)
-- **Связи:** замыкает цепочку стандартов эпика 52 — adr-0019 (52b, `PIPELINE_DOCS.md`),
-  adr-0020 (52c, frontmatter-контракт), adr-0021 (52d, канон промптов), adr-0022 (52e,
-  трассировка маркеров). Детально — `docs/work-items/ORCH-079/06-adr/ADR-001-readme-sync-and-reviewer-overview-docs-axis.md`.
-
-## Контекст
-
-Эпик ORCH-52 строит сквозной контракт «документация = golden source наравне с кодом» слоями:
-**52b** (adr-0019) — описательный стандарт документов + скелеты; **52c** (adr-0020) — машинный
-frontmatter-контракт + `HANDOFF_PROTOCOL.md`; **52d** (adr-0021) — 6 промптов в каноне Anthropic +
-добровольная эмиссия 52c-схемы; **52e** (adr-0022) — стандарт трассировки маркеров + reviewer-ось
-«соответствие ADR». Закрыты слои структуры, машинного вердикта, формы промптов и трассировки кода —
-но **обзорная витрина проекта (корневой `README.md`) не охвачена**.
-
-Факты, сверенные с кодом `main`:
-- Секция `README.md` «Известные ограничения» (`:236–241`) имеет битую нумерацию (`1,2,3,4,3,4`) и
-  **выдаёт решённое за открытое**: worktree-гонки (закрыто `ensure_worktree` + ORCH-026/088),
-  in-process daemon (закрыто очередью ORCH-1), «Gitea CI не настроен» (опровергнуто `check_ci_green`,
-  `src/qg/checks.py:82`), «no retry» (опровергнуто backoff/breaker в `queue_worker.py`), плюс
-  устаревшие issue-ID (зрелый `plane_sync` ORCH-010/066/068) и Playwright-timeout (неприменим к
-  pytest-сервису; реальный механизм — watchdog ORCH-7).
-- **Процессный пробел:** reviewer (ось «Документация») проверяет обновление *конвейерных* доков, но
-  **обзорные** разделы (README «Известные ограничения») в правиле не названы → витрина копит
-  рассинхрон, т.к. закрытие ограничения не обязывает автора снять пункт.
-
-## Решение
-
-Закрыть слой 5 (финал) эпика 52: **синхронизировать обзорные доки с кодом по факту** и добавить
-reviewer'у **нормативную под-ось «обзорные доки»** (по образцу оси трассировки 52e). Это **docs +
-prompt-only**, нулевое касание кода; правило — описательно-нормативное, **не машинный гейт**.
-
-1. **Reviewer-ось «обзорные доки» (cross-cutting).** В `.openclaw/agents/reviewer.md` ось 4
-   «Документация» + `<constraints>` несут точечную врезку «❌→✅»: *PR закрыл пункт README «Известные
-   ограничения», README не обновлён → finding*. Severity **≥ P1**; при закрытии ограничения правкой
-   `src/` без обновления README — совпадает с существующим **P0** «`src/` изменён, доки не обновлены».
-   Канон 52d (5 секций, формат запретов, `<thinking>`), 6 полей схемы 52c и ключ
-   `verdict: APPROVED|REQUEST_CHANGES` — байт-в-байт.
-2. **Витрина приведена к коду (NFR-3).** Все 6 устаревших пунктов сняты/перенесены в «Закрыто
-   (история)» с ORCH-ссылками; в «открытых» остаются ТОЛЬКО реально открытые, верифицированные
-   кодом/задачей; нумерация сквозная. Запрет на изобретение ограничений (только уже
-   задокументированные known-limitations — анти-scope-creep).
-3. **Точечная сверка** `README.md` / `docs/architecture/README.md` с `src/` (стадии/`QG_CHECKS`/
-   модели-эффорты/компоненты), минимально инвазивно.
-4. **Анти-регресс машинно:** расширение `tests/test_agent_prompts_canon.py` (tests-only) — assert
-   присутствия оси обзорных доков; проверки 52d и `test_agent_frontmatter_no_model.py` зелёные.
-
-**Границы:** `src/**`, `STAGE_TRANSITIONS`, `QG_CHECKS`, `check_*`, `_parse_*`, `src/frontmatter.py`,
-схема БД — **не трогаются**. `frontmatter_validation_strict` остаётся `False`; новый QG не вводится.
-
-### Эпик ORCH-52 — закрыт (карта слоёв)
-
-| Слой | Задача | Глобальный ADR | Артефакт |
-|------|--------|----------------|----------|
-| 52b — структура доков | ORCH-075 | adr-0019 | `docs/_standards/PIPELINE_DOCS.md` + `_templates/` |
-| 52c — машинный frontmatter | ORCH-076 | adr-0020 | `src/frontmatter.py` + `HANDOFF_PROTOCOL.md` |
-| 52d — канон промптов | ORCH-077 | adr-0021 | 6 промптов `.openclaw/agents/*.md` |
-| 52e — трассировка маркеров | ORCH-078 | adr-0022 | `docs/_standards/TRACEABILITY.md` |
-| **52f — обзорные доки** (финал) | **ORCH-079** | **adr-0023** | `README.md` + reviewer-ось |
-
-## Альтернативы
-- **Машинный enforcement (новый QG «README актуален»).** Отвергнуто: вне scope; для self-hosting
-  ложный fail валит конвейер всех проектов; правило остаётся нормативным, как 52e. Enforcement —
-  возможная будущая задача (как hard-fail схемы 52c).
-- **Отдельный `docs/_standards/` для правила обзорных доков.** Отвергнуто: одно правило, один
-  артефакт (README) — врезки в промпт достаточно; новый стандарт-файл избыточен.
-- **Только per-work-item ADR.** Отвергнуто: рвёт цепочку эпика 52 (52b–e имеют глобальный ADR); нет
-  явной точки «эпик 52 закрыт».
-
-## Последствия
-- **+** Витрина проекта честна; самоподдерживающаяся синхронность (reviewer-ось).
-- **+** Эпик 52 формально закрыт сквозным ADR — единая точка входа для будущих агентов.
-- **+** Self-hosting без рестарта: промпт `cat`-ается из worktree → правило с следующего worktree
-  от `main` без рестарта 8500.
-- **+** Полная обратимость: чисто текстовое изменение, нет миграций/состояния/kill-switch.
-- **−** Правило нормативно, не enforced машинно → дисциплина + ревью (осознанный компромисс).
-- **−** Рост `reviewer.md` на короткую врезку (митигейшн: точечность, без переписывания).
-- **Откат:** `git revert` PR — доки/промпт/тест откатываются, поведение кода/гейтов идентично.
-
-## Связи
-- Замыкает: adr-0019 (52b), adr-0020 (52c), adr-0021 (52d), adr-0022 (52e).
-- Per-work-item: `docs/work-items/ORCH-079/06-adr/ADR-001-readme-sync-and-reviewer-overview-docs-axis.md`.
-- Сверено по коду: `src/agents/launcher.py` (`ensure_worktree`, `_resolve_timeout`),
-  `src/queue_worker.py` (backoff/breaker), `src/qg/checks.py:82,381`, `src/plane_sync.py:451,541`,
-  `README.md:236–241`, `.openclaw/agents/reviewer.md`, `tests/test_agent_prompts_canon.py`.
-</content>

docs/architecture/adr/adr-0024-disk-watchdog.md

@@ -1,59 +0,0 @@
----
-work_item: ORCH-063
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0024: Disk-watchdog — фоновый heartbeat-демон мониторинга заполнения хост-ФС
-
-> Сквозной (cross-cutting) ADR: вводит **новый фоновый компонент** оркестратора в ряду
-> `reconciler` (adr-0007) и `job_reaper` (adr-0011). Детальное решение задачи —
-> `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md`.
-
-## Статус
-Proposed (ORCH-063)
-
-## Контекст
-07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь self-hosting-конвейер** (один
-прод-инстанс `orchestrator` обслуживает все прод-проекты из общей БД/очереди). Проактивного сигнала
-о заполнении диска у системы не было. Оркестратор уже имеет два проверенных фоновых daemon-потока с
-единым каркасом (`threading.Thread(daemon=True)` + `threading.Event`, `start/stop/status`,
-never-raise, снимок в `GET /queue`): `reconciler` (ORCH-053) и `job_reaper` (ORCH-065). Новый
-эксплуатационный watchdog логично встроить тем же паттерном.
-
-## Решение
-Вводится третий фоновый компонент **disk-watchdog** (`src/disk_watchdog.py`):
-- **Калька каркаса** `reconciler`/`reaper`: daemon-поток, чистый stop через `_stop.wait(interval)`,
-  контракт `start()`/`stop(timeout)`/`status()`, старт/стоп в `main.lifespan` (старт последним —
-  после `reaper.start()`; стоп первым в reverse-порядке), наблюдаемость — аддитивный блок
-  `disk_monitor` в `GET /queue`.
-- **Замер** заполнения **хост-ФС** через смонтированные bind-пути (`/repos`, `/app/data`) stdlib
-  `shutil.disk_usage` (не overlay `/` контейнера, не субпроцесс `df`); дедуп путей по `st_dev`.
-- **Решение об алерте** — pure-функция от `(used_pct, threshold, prev_state, now, realert_s)`:
-  алерт на пересечении порога (дефолт 85%), ограниченный cooldown-повтор, recovery при возврате
-  ниже порога. Состояние анти-спама — in-memory (без миграции БД).
-- **Алерт** — `send_telegram` (notifying), best-effort. Kill-switch `disk_monitor_enabled`.
-- **Только сигнал, не лечение:** watchdog читает и уведомляет, не трогает диск/контейнер, не
-  рестартит прод (self-hosting безопасность). Авто-очистка диска — отдельная задача.
-
-**Инварианты:** `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, схема БД — **не меняются**
-(watchdog — эксплуатационный демон, не Quality Gate, как `reconciler`/`reaper`). never-raise на
-уровнях per-path / per-tick / per-send. При выключенном kill-switch — поведение 1:1 как сейчас
-(нулевая регрессия для enduro-trails).
-
-## Последствия
-- **+** Ранний сигнал предотвращает групповой простой всех проектов; дёшево, без внешних
-  зависимостей (принцип «всё в Docker на одном сервере, минимум зависимостей»).
-- **+** Знакомый паттерн фонового демона → низкий риск, простое сопровождение.
-- **−** In-memory состояние / best-effort Telegram — допустимы для раннего сигнала (не SLA).
-- **Откат:** `ORCH_DISK_MONITOR_ENABLED=false`; миграций БД нет.
-
-## Ссылки
-- Задачный ADR: `docs/work-items/ORCH-063/06-adr/ADR-001-disk-watchdog.md`
-- Родственные компоненты: [adr-0007-reconciler.md](adr-0007-reconciler.md),
-  [adr-0011-job-reaper-lease-reclaim.md](adr-0011-job-reaper-lease-reclaim.md)
-- Топология host-разделов: `docs/operations/INFRA.md`
-</content>

docs/architecture/adr/adr-0025-build-cache-pruner.md

@@ -1,86 +0,0 @@
----
-work_item: ORCH-062
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0025: Build-cache-pruner — фоновый heartbeat-демон авто-уборки docker build cache на хосте
-
-> Сквозной (cross-cutting) ADR: вводит **новый фоновый компонент** оркестратора в ряду
-> `reconciler` (adr-0007), `job_reaper` (adr-0011) и `disk_watchdog` (adr-0024). Детальное
-> решение задачи — `docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md`.
-
-## Статус
-Proposed (ORCH-062)
-
-## Контекст
-
-07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь self-hosting-конвейер всех
-проектов** (один прод-инстанс `orchestrator` на общей БД/очереди). Доминирующий «пожиратель» —
-**docker build cache** (≈11 ГБ от частых пересборок прод/staging-образов). `disk_watchdog`
-(adr-0024, ORCH-063) ввёл **сигнал** о заполнении (Telegram ≥85%) и явно отложил авто-очистку в
-отдельную задачу. ORCH-062 — эта задача: **автоматическое освобождение build cache**, чтобы
-инцидент не повторялся без оператора.
-
-Сверено по коду: контейнер `orchestrator` **не содержит docker CLI** (`Dockerfile:11` — только
-`openssh-client git curl`); host-docker-операции приложение уже делает **через ssh на хост**
-(`image_freshness.image_revision`, `self_deploy` Phase B), канал `deploy_ssh_user@deploy_ssh_host`
-настроен. У оркестратора три проверенных фоновых daemon-потока с единым каркасом.
-
-## Решение
-
-Вводится четвёртый фоновый компонент **build-cache-pruner** (`src/build_cache_pruner.py`):
-- **Калька каркаса** `disk_watchdog`/`reconciler`/`reaper`: daemon-поток, чистый стоп через
-  `_stop.wait(interval)`, контракт `start()`/`stop(timeout)`/`status()`, старт/стоп в
-  `main.lifespan` (старт последним — после `disk_watchdog.start()`; стоп первым в reverse),
-  наблюдаемость — аддитивный блок `build_cache_prune` в `GET /queue`. Leaf-модуль (без обратных
-  зависимостей на `stage_engine`/`stages`/`qg`).
-- **Уборка — строго `docker builder prune -f --filter until=<until>`** (BuildKit GC, дефолт
-  `until=24h`): удаляется только старый build cache, тёплый ≤24ч сохраняется. `-a` — опционально и
-  только в паре с возрастным фильтром. **Запрещены** `docker image prune`/`system prune`/удаление
-  образов запущенных сервисов/остановка-рестарт контейнеров.
-- **Исполнение на хосте через ssh** (CLI в контейнере нет): `ssh deploy_ssh_user@deploy_ssh_host
-  "docker builder prune …"`, bounded таймаутом. **Нет ssh-таргета → тик no-op** → фича
-  естественно скоупится на self-hosting-прод.
-- **Конфиг/kill-switch** (`ORCH_BUILD_CACHE_PRUNE_*`, дефолты безопасные): `enabled` (дефолт
-  `true`), `interval_s` (6ч), `until` (`24h`), `all` (`false`), `timeout_s`, `notify_min_gb`.
-  Валидаторы по образцу `disk_monitor_*` (невалид → лог + дефолт).
-- **Сигнал + лечение как пара:** disk_watchdog сигналит о росте диска, build-cache-pruner убирает
-  доминирующего «пожирателя» — две половины одной операционной защиты.
-
-**Инварианты:** `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_*`, `src/stage_engine.py`, схема БД
-— **не меняются** (pruner — эксплуатационный демон, не Quality Gate, как watchdog/reaper). Без
-миграции БД (учёт результата in-memory, best-effort). never-raise per-команда/per-tick. Уборка
-**никогда** не рестартит docker daemon/прод-контейнер (self-hosting безопасность; рестарт-путь —
-отвергнутый Вариант B). При выключенном kill-switch — поведение 1:1 как сейчас (нулевая регрессия
-для enduro-trails).
-
-## Альтернативы
-- **host `daemon.json builder.gc.defaultKeepStorage`** — отвергнуто: требует рестарта docker
-  daemon (останавливает ВСЕ контейнеры хоста = групповой self-hosting риск); политика по объёму,
-  не по возрасту; не наблюдаемо в `GET /queue`.
-- **host-cron** — отвергнуто как основное (оставлено ручным fallback): off-git невидимая инфра,
-  без `/queue`-наблюдаемости, без config-kill-switch, не тестируется.
-- **raw-HTTP по docker.sock / docker CLI в образе** — отвергнуто: лишний код / раздувание образа
-  против уже существующего ssh-канала.
-
-## Последствия
-- **+** Корень инцидента 07.06 устраняется автоматически; тёплый кэш сохранён; без новых
-  зависимостей и без рестарта docker/прода (принцип «всё в Docker, минимум зависимостей»).
-- **+** Знакомый паттерн фонового демона → низкий риск, наблюдаемость, обратимость, тестируемость.
-- **−** Зависимость от ssh на хост (как `image_freshness`/`self_deploy`); нет таргета → no-op
-  (наблюдаемо), фича не работает, но ничего не ломает.
-- **Откат:** `ORCH_BUILD_CACHE_PRUNE_ENABLED=false`; миграций БД нет.
-
-## Ссылки
-- Задачный ADR: `docs/work-items/ORCH-062/06-adr/ADR-001-build-cache-pruner.md`
-- Инфра/риски: `docs/work-items/ORCH-062/07-infra-requirements.md`,
-  `docs/work-items/ORCH-062/10-tech-risks.md`
-- Комплемент: [adr-0024-disk-watchdog.md](adr-0024-disk-watchdog.md) (ORCH-063 — сигнал)
-- Родственные компоненты: [adr-0007-reconciler.md](adr-0007-reconciler.md),
-  [adr-0011-job-reaper-lease-reclaim.md](adr-0011-job-reaper-lease-reclaim.md)
-- Топология host / env-карта: `docs/operations/INFRA.md`
-</content>

docs/architecture/adr/adr-0026-stop-cancel-task.md

@@ -1,106 +0,0 @@
----
-work_item: ORCH-090
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# ADR-0026: Системное терминальное состояние `cancelled` — STOP-отмена задачи
-
-Сквозной (cross-cutting) ADR. Детальное решение задачи —
-`docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`.
-
-## Статус
-Proposed
-
-## Контекст
-
-ORCH-090 вводит Plane-статус **STOP** — единый декларативный механизм отмены задачи (остановка
-агента + полный сброс прогресса). Самое́ кросс-каттинговое следствие — появление **нового
-системного терминального состояния `cancelled`** (стадия `tasks.stage='cancelled'` + терминальный
-job-статус `jobs.status='cancelled'`). До ORCH-090 «терминальность задачи» в горячем планировщике
-была захардкожена как **`stage == 'done'`** (единственный сток в `STAGE_TRANSITIONS`), и это
-определение разъехалось между подсистемами:
-
-- `src/reconciler.py` **уже** трактует `stage in ("done","cancelled")` как терминал-скип
-  (ORCH-086 D2 предвосхитил `cancelled`; стр. 196) и `_is_terminal_state` по группе Plane
-  `{completed, cancelled}` (ORCH-068, стр. 398–415).
-- `src/serial_gate.py` (ORCH-088) и `src/task_deps.py` (ORCH-026) считают задачу «незавершённой»
-  по `stage != 'done'` — **без** `cancelled`. Если ввести `cancelled`-стадию, не тронув их,
-  отменённая задача навсегда будет «активной»/«незавершённой зависимостью» и **заклинит очередь
-  репо**.
-
-Этот ADR фиксирует `cancelled` как первоклассное терминальное состояние, равноправное `done`, и
-перечисляет ВСЕ точки, где системный предикат терминальности должен его признавать.
-
-## Решение
-
-### Инвариант
-**«Задача терминальна» ⇔ `stage ∈ {done, cancelled}`.** Это единое определение для всех
-подсистем планировщика/мониторинга. `cancelled` — терминальный **сток** (не новое ребро
-конвейера): exit-гейты рёбер `STAGE_TRANSITIONS` и реестр `QG_CHECKS`/`check_*` **не меняются**.
-
-### Точки, признающие `cancelled` терминальным (исчерпывающе)
-1. `src/stages.py::STAGE_TRANSITIONS` — добавить сток
-   `"cancelled": {"next": None, "agent": None, "qg": None}` (параллельно `done`).
-2. `src/serial_gate.py` — `repo_has_other_unfinished` и claim-фрагмент `t2.stage != 'done'`,
-   snapshot: `stage != 'done'` → `stage NOT IN ('done','cancelled')`. **(маркер ORCH-088)**
-3. `src/task_deps.py` — dep-gate и `is_task_ready`: `stage != 'done'` →
-   `stage NOT IN ('done','cancelled')`. **(маркер ORCH-026)**
-4. `src/reconciler.py` — уже покрыто скипом `stage in ("done","cancelled")` (стр. 196);
-   `get_active_tasks_for_reconcile` опционально сузить до `NOT IN ('done','cancelled')`.
-5. `src/job_reaper.py` / `src/queue_worker.py` — перед авто-requeue dead/running-job'а сверять
-   терминал задачи: `stage in ("done","cancelled")` → job помечается `cancelled`, не реквью'ится.
-6. `src/post_deploy.py` / `stage_engine.run_post_deploy_monitor` — монитор не тикает по
-   отменённой задаче (терминал-проверка/маркер `done`).
-
-### Новые терминальные исходы
-- **Job:** `jobs.status='cancelled'` — нигде не реквью'ится; `claim_next_job` выбирает только
-  `status='queued'` (изменений в claim нет). `mark_job` стампит `finished_at` для `cancelled`.
-- **Задача:** `tasks.stage='cancelled'` + аддитивные колонки `cancelled_at`,
-  `cancel_requested_at` (отложенная отмена в критическом окне merge/deploy). Натуральные ключи
-  `plane_id`/`work_item_id` тумбстонятся (`#cancelled-<id>`) для переиспользования «To Analyse»
-  с нуля; `plane_issue_id` сохраняется (аудит). Детали — 08-data-requirements.md.
-
-### Точки врезки STOP (компоненты)
-- `plane.py` — маршрут `stop` (fail-closed, не в `_DEFAULT_STATES`) → `handle_stop`; гейт релонча
-  ограничен стадией `analysis`.
-- `stage_engine.cancel_task` — оркестрация отмены (graceful SIGTERM, cancel-jobs, worktree+branch,
-  tombstone, notify); безопасное прерывание merge/deploy (D7 локального ADR).
-- leaf `src/cancel.py` — чистая логика (`applies`/`in_critical_window`/`snapshot`), never-raise.
-- `src/gitea.py` — `delete_remote_branch` (never-raise; только feature-ветка, `main` неприкосновенен).
-- `GET /queue` — read-only блок `stop`.
-
-### Флаги / совместимость
-- Kill-switch `stop_status_enabled` + scope `stop_status_repos` (CSV, пусто → все репо).
-- При `stop_status_enabled=False`: STOP-обработка и гейт релонча инертны; расширение
-  терминал-набора `cancelled` безвредно при отсутствии отменённых задач → **нулевая регрессия**.
-- `STAGE_TRANSITIONS` (exit-гейты) / `QG_CHECKS` / `check_*` / семантика
-  Approved/Rejected/Confirm Deploy / merge-gate (ORCH-043) / merge-verify (ORCH-071/073) /
-  image-freshness (ORCH-058) / post-deploy (ORCH-021) / serial-gate FIFO (ORCH-088) / auto-label
-  (ORCH-089) — **без изменений**.
-- Миграции БД — только аддитивные/идемпотентные (`_ensure_column`); enduro не затронут (NFR-2).
-
-## Последствия
-- **+** Единое, консистентное определение терминальности — устранён латентный рассинхрон
-  `done`-only между планировщиком и реконсилятором.
-- **+** STOP безопасен для self-hosting: не трогает `main`/прод, отложенная отмена в критическом
-  окне.
-- **−** Терминальность теперь читается из набора `{done, cancelled}`, а не из скаляра `'done'` —
-  будущие подсистемы обязаны использовать набор. Митигейшн: этот ADR + маркер `ORCH-090` в
-  изменённых местах + тесты.
-- **Откат:** `stop_status_enabled=False`; полный revert — снять врезки и вернуть предикаты к
-  `stage != 'done'`.
-
-## Эволюция маркеров `cancelled`-терминала
-Места, признающие `cancelled` терминальным (см. список выше), несут маркер `ORCH-090`. Правка
-любого из них — сверяться с этим ADR (анти-археология: 3+ маркеров → одна ссылка сюда,
-TRACEABILITY.md).
-
-## Ссылки
-- Детальный ADR: `docs/work-items/ORCH-090/06-adr/ADR-001-stop-cancel-task.md`
-- Data: `docs/work-items/ORCH-090/08-data-requirements.md`
-- Связанные: adr-0017 (serial-gate), adr-0015 (task-deps), adr-0007 (self-deploy),
-  adr-0006 (merge-gate), adr-0018 (auto-label)

docs/architecture/adr/adr-0027-merge-actor-transient-retry-and-already-in-main.md

@@ -1,82 +0,0 @@
----
-work_item: ORCH-093
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0027: Merge-актор — ретрай транзиентных ошибок Gitea + гард «ветка уже в `main`»
-
-Сквозной (cross-cutting) ADR. **Амендмент** к [adr-0013](adr-0013-merge-verify-gate.md) (merge-verify
-под-гейт), [adr-0014](adr-0014-merge-verify-sha-source-of-truth.md) (SHA-в-main как источник истины)
-и [adr-0016](adr-0016-ensure-open-pr-before-merge-verify.md) (гарантированный код-PR). Детальное
-решение задачи — `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`.
-
-> Регистрируется как сквозной, т.к. правит блок merge-актора с **3+ маркерами** (`ORCH-071`,
-> `ORCH-073`, `ORCH-082`) — анти-археология маркеров (`docs/_standards/TRACEABILITY.md`): сводный
-> ADR агрегирует эволюцию вместо перечисления work item в коде.
-
-## Статус
-Proposed
-
-## Контекст
-
-Детерминированный merge-актор merge-verify под-гейта (`deploy → done`, self-hosting) состоит из
-`ensure_open_pr` → `merge_pr` → `verify_merged_to_main` (`src/merge_gate.py`). Инцидент **ORCH-063
-(09.06)** вскрыл два дефекта, оба сверены по коду прода:
-
-1. `merge_pr` — **one-shot**: `POST /pulls/{index}/merge`, любой не-`200/201` → мгновенный `False`.
-   Транзиентная икота Gitea (`405 "Please try again later"` при пересчёте `mergeable` сразу после
-   пуша; `5xx`; таймаут) → ложный HOLD защиты ORCH-071/073 → ручной домерж.
-2. `ensure_open_pr` — после ручного мержа код-PR `closed`, открытый не найден → создаёт **новый
-   пустой PR** на ветке, уже целиком в `main`.
-
-Защита ORCH-071/073 («deploy succeeded but not merged») корректна и сохраняется; задача снижает
-лишь **ложные** срабатывания на транзиентах и устраняет мусорные PR. Это блокер автономного прогона
-(эпик ORCH-088).
-
-## Решение
-
-Аддитивно, без правки `STAGE_TRANSITIONS` / `QG_CHECKS` / схемы БД; INV-4 (мерж только через Gitea
-PR-merge API; никогда `push`/`force-push` в `main`) и never-raise сохранены.
-
-- **Ретрай-loop вокруг `POST …/merge`** (только мутирующий вызов) до `merge_retry_max_attempts`
-  (дефолт 3) с экспоненциальным backoff и потолком (`base 2`, `max 5`; суммарно ≤10 с). Классификатор
-  **транзиент** (`405`/`408`/`5xx`/таймаут/сетевое; `409`/`422` при `mergeable==True`; `mergeable==None`
-  → транзиент-по-дефолту в рамках бюджета) vs **терминал** (`403`/`404`; `409`/`422` при
-  `mergeable==False`) — по коду ответа **и** полю `mergeable` (`GET /pulls/{index}`). Терминал →
-  быстрый честный `False` (защита ORCH-071/073 — как прежде). Образец — `check_ci_green`
-  (`attempt i/N`) + transient-breaker агентов.
-- **Гард already-in-main в `ensure_open_pr`**: перед созданием PR — `git merge-base --is-ancestor
-  <branch> origin/main` (rc==0 → ветка целиком в `main`) → новый исход `"already-in-main"`, PR не
-  создаётся; git-ошибка/ambiguous → **fail-OPEN** на текущий create-путь (гард не должен превратить
-  икоту git в ложный no-op мержа). `_handle_merge_verify` трактует `"already-in-main"` как «мержить
-  нечего» → пропуск `merge_pr` → авторитетный SHA-в-main (`verify_merged_to_main`, ADR-0014) доводит
-  до `done` без мусорного PR.
-- **Конфиг**: `merge_retry_enabled` (kill-switch; `False` → one-shot, нулевая регрессия),
-  `merge_retry_max_attempts`, `merge_retry_backoff_base_s`, `merge_retry_backoff_max_s`
-  (env `ORCH_MERGE_RETRY_*`). Гард already-in-main — без отдельного флага (накрыт существующим
-  `merge_verify_autocreate_pr_enabled`).
-
-Объём раската — реально только self-hosting (`merge_verify_applies`); на прочих репо мерж делает
-LLM-deployer → изменение нейтрально.
-
-## Последствия
-
-- **+** Транзиент Gitea переживается автоматически → нет ложного HOLD / ручного домержа в автономном
-  конвейере; нет мусорных пустых PR; повтор финализатора идемпотентен.
-- **+** Реальный конфликт → быстрый честный HOLD; защита ORCH-071/073 и SHA-в-main (ADR-0014) —
-  авторитетны и неизменны.
-- **−** Дефолт `mergeable==None → transient` может добавить ≤10 с до HOLD на реальном конфликте
-  (бюджет жёстко ограничен); один лишний `GET /pulls/{index}` в редком ambiguous-кейсе.
-- **Откат:** `ORCH_MERGE_RETRY_ENABLED=false` → one-shot; `ORCH_MERGE_VERIFY_AUTOCREATE_PR_ENABLED=false`
-  → отключает врезку `ensure_open_pr` с гардом. Полный откат — revert PR.
-
-## Ссылки
-- Детальный ADR: `docs/work-items/ORCH-093/06-adr/ADR-001-merge-transient-retry-and-already-in-main-guard.md`
-- Лехатая: [adr-0006](adr-0006-merge-gate.md), [adr-0013](adr-0013-merge-verify-gate.md),
-  [adr-0014](adr-0014-merge-verify-sha-source-of-truth.md),
-  [adr-0016](adr-0016-ensure-open-pr-before-merge-verify.md)
-- Код: `src/merge_gate.py`, `src/stage_engine.py::_handle_merge_verify`, `src/config.py`

docs/architecture/adr/adr-0028-terminal-window-aware-deploy-status-guard.md

@@ -1,96 +0,0 @@
----
-work_item: ORCH-094
-stage: architecture
-author_agent: architect
-status: proposed
-created_at: 2026-06-09
-model_used: claude-opus-4-8
----
-
-# adr-0028: Terminal-window-aware гард выставления deploy-фазовых статусов Plane
-
-Сквозной (cross-cutting) ADR. **Амендмент** к [adr-0010](adr-0010-post-deploy-monitor.md)
-(post-deploy monitor, ORCH-021) и Plane-статусной модели (ORCH-066): вводит инвариант
-«deploy-фазовые Plane-статусы — terminal-window-aware» поверх общих сеттеров `plane_sync` и
-переупорядочивает блок `next_stage == "done"` в `advance_stage`. Детальное решение задачи —
-`docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`.
-
-> Регистрируется как сквозной, т.к. правит **общие** сеттеры `set_issue_awaiting_deploy`/
-> `set_issue_deploying`/`set_issue_monitoring` (используются системно) и трогает маркированный блок с
-> `ORCH-021`/`ORCH-066` (`docs/_standards/TRACEABILITY.md`).
-
-## Статус
-Proposed
-
-## Контекст
-
-Терминальная (`done`) задача в Plane **не держит `Done`**: непрерывный флапп
-`Awaiting Deploy ⟷ Monitoring after Deploy` (верифицировано живьём на **ORCH-061**, task 47, done с
-07.06 — 273 активности, само не затихает). Установлено по коду/логам/БД прода:
-
-- Три code-писателя deploy-фазовых статусов (`src/stage_engine.py:404/1218/1316`) делегируют в тонкие
-  сеттеры `src/plane_sync.py`, которые **БД-стадию не читают** ⇒ терминал-слепы: любой повторный вызов
-  перезаписывает `Done` обратно на промежуточный статус.
-- **Ordering:** `update_task_stage("done")` (`stage_engine.py:369`) пишет `tasks.stage='done'`
-  **раньше** легитимного `set_issue_monitoring` (стр. 404) ⇒ пост-деплой-окно ORCH-021 — by-design
-  индикация поверх уже-`done` задачи. Наивный гард «stage==done → Done» ⇒ регресс легитимного окна.
-- Актор всех 273 переходов — бот-токен орка (`daf4d3f4-…`), не привязан к активной task/job; в БД нет
-  активного post-deploy-monitor для task 47 (окно 15 мин закрыто). Реконсилятор F-1 пропускает
-  `done`/`cancelled`, F-2 опрашивает только `[to_analyse, approved, rejected]` ⇒ механизма привести
-  застрявшую на deploy-статусе done-задачу к `Done` нет.
-
-## Решение
-
-**Единый terminal-window-aware гард на низком чокпоинте** — на входе трёх deploy-фазовых сеттеров
-`plane_sync`. Чистую логику держит **новый leaf-модуль `src/deploy_status_guard.py`** (never-raise,
-config-gated; образец `serial_gate.py`/`labels.py`/`cancel.py`); сеттеры исполняют вердикт.
-
-- **Инвариант легитимности:** deploy-фазовый статус легитимен ⇔ задача **нетерминальна** ИЛИ
-  (`done` **И** активно пост-деплой-окно). Иначе — идемпотентное схождение к `Done`.
-  `decide(work_item_id, target) -> ALLOW | CONVERGE_DONE | SUPPRESS`:
-  kill-switch off / чужой issue / не-self репо / нетерминал → **ALLOW**; `cancelled` → **SUPPRESS**;
-  `done` + `target==monitoring` + `window_active` → **ALLOW**; `done` иначе → **CONVERGE_DONE**
-  (`set_issue_done`, идемпотентно); любое исключение → **ALLOW** + warning (never-raise).
-- **Новый helper** `post_deploy.window_active(repo, wi)` = `has_marker(ARMED) and not
-  has_marker(DONE)` (restart-safe).
-- **Перенос арм-блока** (`post_deploy.arm_monitor`) **перед** terminal-sync в блоке
-  `next_stage == "done"`: на стр. 404 `ARMED` уже записан ⇒ `window_active==True` ⇒ легитимный первый
-  `Monitoring` проходит; re-drive после закрытия окна сходится к `Done`.
-- **Харднинг монитора:** идемпотентный страж `has_marker(...DONE)` (ранний return без PATCH/реэнкью)
-  + тик no-op при `cancelled` мид-окно; тики привязаны к активному job'у (нет job → нет тика).
-- **Наблюдаемость:** каждый вердикт логируется (`work_item`/`caller`/`target`/`db_stage`/
-  `window_active`/вердикт); подавление/схождение — явно.
-- **Флаги** (`config.py`): `deploy_status_guard_enabled=True`
-  (`ORCH_DEPLOY_STATUS_GUARD_ENABLED`, kill-switch → 1:1) + `deploy_status_guard_repos=""`
-  (`ORCH_DEPLOY_STATUS_GUARD_REPOS`, пусто → self-hosting only) с локальным `applies(repo)`.
-
-## Альтернативы
-
-- **Гард в caller'ах `stage_engine`** — отвергнуто: не ловит неизвестный/стейл путь под бот-токеном,
-  размазывает инвариант.
-- **Наивный «stage==done → Done» без предиката окна** — отвергнуто: регресс легитимного `Monitoring`.
-- **Bypass-флаг на доверенном вызове 404** — отвергнуто в пользу переноса арм-блока (один предикат).
-- **Активная сходимость в реконсиляторе F-2** — отвергнуто как основной механизм (лишний polling,
-  правка маркированного F-2); гард на сеттере гасит непрерывный флапп.
-
-## Последствия
-
-- Терминальная задача стабильно держит `Done`; маятник гаснет за один цикл независимо от актора.
-- Легитимный пост-деплой `Monitoring` и рабочий self-deploy-цикл — 1:1 (предикат окна + перенос арм).
-- `STAGE_TRANSITIONS` / `QG_CHECKS` / `check_*` / machine-verdict ключи / схема БД — **не тронуты**.
-- `main`/force-push/прод-контейнер/detached-деплой — не тронуты; не-self репо инертны.
-- Ограничение: если актор флаппа — внешняя Plane-automation (вне кода орка), гард — буфер на стороне
-  орка; локализация (FR-1) и итог документируются (BR-7).
-- **Откат:** `ORCH_DEPLOY_STATUS_GUARD_ENABLED=false` → поведение 1:1; полный — revert ветки.
-
-## Связи
-
-- [adr-0010](adr-0010-post-deploy-monitor.md) (ORCH-021 — пост-деплой-окно, sentinel `armed`/`done`,
-  арм-блок) — амендмент: окно становится предикатом легитимности `Monitoring`.
-- ORCH-066 (Plane-статусная модель — слой B индикации; `deploy→done` self ⇒ `Monitoring`) — инвариант
-  сохранён.
-- [adr-0026](adr-0026-stop-cancel-task.md) (ORCH-090 — терминал `cancelled`) — гард не штампует
-  deploy-статус поверх `cancelled`.
-- ORCH-068/086 (терминал-скип реконсилятора) — этот ADR распространяет идею терминал-aware на
-  выставление deploy-статусов.
-- Детально: `docs/work-items/ORCH-094/06-adr/ADR-001-terminal-window-aware-deploy-status-guard.md`.

docs/architecture/internals.md

@@ -61,15 +61,9 @@ STAGE_TRANSITIONS = {
     testing:      → deploy-staging (agent: deployer,   QG: check_tests_passed)
     deploy-staging: → deploy      (agent: deployer,   QG: check_staging_status)
     deploy:       → done          (agent: None,       QG: None)
-    cancelled:    → None          (agent: None,       QG: None)   # ORCH-090: терминал-сток отмены
 }
 ```
 
-**Терминальные стоки (ORCH-090):** `done` и `cancelled` — равноправные терминальные состояния
-(`{"next": None, "agent": None, "qg": None}`). `cancelled` — это **не новое ребро** (exit-гейты
-рёбер не меняются), а терминал STOP-отмены. Системный предикат «задача завершена» —
-`stage ∈ {done, cancelled}` (синхронно в `reconciler`/`serial_gate`/`task_deps`; adr-0026).
-
 ### 3. Quality Gates (`src/qg/checks.py`)
 
 | Check | Метод проверки |
@@ -117,12 +111,12 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 Вместо ~15 отдельных сообщений на задачу оркестратор держит **ОДНУ** live-карточку на задачу (`update_task_tracker`), которая обновляется на каждом переходе стадии. Текст рендерится статически из БД (`render_task_tracker`: стадии, токены, стоимость, BRD-подтверждение, итоги). Карточка всегда тихая (`disable_notification=True`); отдельные пинги шлют только `notify_approve_requested` / `notify_error`. `message_id` хранится в `tasks.tracker_message_id`; helpers `get_tracker_message_id` / `set_tracker_message_id`. Контракт всего компонента — **never raises**.
 
-**Режимы (ORCH-042, `ORCH_TRACKER_MODE` → `Settings.tracker_mode`; дефолт переключён `edit → bump` в ORCH-067).** Резолвится в `update_task_tracker` (case-insensitive, trim); всё, что ≠ `"bump"` (включая пустое/мусор/None), трактуется как `edit` → безопасный фолбэк. Инвариант «одна карточка на задачу» сохраняется в обоих режимах.
+**Режимы (ORCH-042, `ORCH_TRACKER_MODE` → `Settings.tracker_mode`).** Резолвится в `update_task_tracker` (case-insensitive, trim); всё, что ≠ `"bump"` (включая пустое/мусор/None), трактуется как `edit` → нулевая регрессия и безопасный фолбэк. Инвариант «одна карточка на задачу» сохраняется в обоих режимах.
 
 | Режим | Поведение при обновлении |
 |-------|--------------------------|
-| `bump` (дефолт, ORCH-067) | карточка пересоздаётся внизу чата: best-effort `delete_telegram(старый_id)` → `send_telegram(text, disable_notification=True)` → `set_tracker_message_id(new_id)` **только** при успешном send (`new_mid is not None`). За один вызов — не более одного нового сообщения. Живая карточка всегда «догоняет» переписку. |
-| `edit` | первый вызов → `send_telegram` (тихо) + сохранение `message_id`; далее → `edit_telegram` на сохранённый id. Новое сообщение шлётся ТОЛЬКО при `EDIT_GONE` (удалено/старше 48ч/невалидный id). `EDIT_NOT_MODIFIED` / `EDIT_FAILED` → нового сообщения нет (анти-дубль). |
+| `edit` (дефолт) | первый вызов → `send_telegram` (тихо) + сохранение `message_id`; далее → `edit_telegram` на сохранённый id. Новое сообщение шлётся ТОЛЬКО при `EDIT_GONE` (удалено/старше 48ч/невалидный id). `EDIT_NOT_MODIFIED` / `EDIT_FAILED` → нового сообщения нет (анти-дубль). |
+| `bump` | карточка пересоздаётся внизу чата: best-effort `delete_telegram(старый_id)` → `send_telegram(text, disable_notification=True)` → `set_tracker_message_id(new_id)` **только** при успешном send (`new_mid is not None`). За один вызов — не более одного нового сообщения. |
 
 **`delete_telegram(message_id) -> bool`** (low-level, never raises). Семантика возврата — «исчезло ли старое сообщение»:
 - `ok:true` → `True`;
@@ -134,16 +128,6 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 **Текст карточки (оба режима, ORCH-042):** метка `Подтверждение BRD` (была «Ревью БРД»); после прохождения approve-gate строка BRD начинается с ✅ (ветка ожидания сохраняет ⏸️/⏳); русские display-labels стадий (`Анализ / Архитектура / Разработка / Код ревью / Тестирование / Внедрение`); финальная строка `📦 Внедрено` (было `deployed`). Меняются только отображаемые строки — ключи стадий и имена агентов (завязаны на `_STAGE_ACTIVE_AGENT`, `last_done`, БД) не трогаются.
 
-**Строки стадий: отражение откатов + суммирование метрик (ORCH-091).** Цикл рендера строк стадий (`render_task_tracker` → `_stage_line`) исправлен по двум осям. (1) **Откат (Деф.2):** `✅`-строка стадии рисуется только если её позиция в конвейере `≤` текущей позиции задачи; позиция берётся из порядка `STAGE_TRANSITIONS` (read-only хелпер `_pipeline_pos`, never-raise; неизвестная стадия → «далёкое будущее» → ✅ не пере-подавляется) с нормализацией `deploy-staging → deploy` ТОЛЬКО в гейте подавления (схлопнутая строка «Внедрение» несёт `stage_key="deploy"`). После отката (`deploy-staging → development`, `review → development`) строки стадий ПОЗЖЕ текущей больше не рисуются как пройденные — пропадает абсурд «✅ Внедрение + 🔄 Разработка»; `is_active_stage` не тронут. (2) **Метрики (Деф.3):** `_stage_line` агрегирует ВСЕ `agent_runs` агента стадии (Σ cost / Σ токены / Σ время теми же per-run-формулами, что блок тоталов задачи), а не последний прогон — каждый агент привязан ровно к одной строке `_TRACKER_STAGES`, поэтому Σ(строк стадий) ≡ тоталы ≡ `SUM(agent_runs)` по `task_id`; модель/эффорт/«попытка N» берутся из последнего прогона. Прогоны, подавлённые откатом, по-прежнему входят в тоталы (намеренная семантика отката).
-
-**Строка Plane-статуса и кликабельный номер (ORCH-067, слой B — индикация).** Под заголовком карточка несёт строку `📍 <Plane-статус>` по модели ORCH-066. Источник — двухслойный, контракт **never raises**:
-- **Оффлайн-ядро** `plane_status_label(task_row)` — чистая функция БЕЗ сети: `stage → статус` (`created→To Analyse`, `analysis→Analysis`, `architecture→Architecture`, `development→Development`, `review→Code-Review`, `testing→Testing`, `deploy-staging→Deploying (staging)` [ORCH-091], `deploy→⏸️ Awaiting Deploy`, `done→Done`, `cancelled→Cancelled` [ORCH-091]) + `⏸️ In Review` из brd-часов (`brd_review_started_at` задан, `…_ended_at` пуст). **ORCH-091:** карта `_STAGE_STATUS_LABEL` покрывает ВСЕ ключи `STAGE_TRANSITIONS` (полнота — тестом, не статичным списком); неизвестная/будущая стадия → нейтральный фолбэк (капитализированное имя стадии), а НЕ «To Analyse» (он остаётся лишь явным лейблом `created` и безопасной деградацией на истинно-битом входе).
-- **Live-overlay** `_live_plane_branch_override` — best-effort: дорисовывает ветви-статусы, неразличимые оффлайн (Needs Input / Blocked / Rejected / Cancelled / Deploying / Monitoring after Deploy), чтением живого Plane-статуса (`fetch_issue_state` с коротким `tracker_live_status_timeout_s`, TTL-кэш `tracker_live_status_ttl_s`, kill-switch `tracker_live_status`). Любой сбой / выключенный флаг / нехватка данных → оффлайн-метка; `⏸️ In Review` (авторитет brd-часов) overlay не консультирует. Анти-false-positive: `deploying/monitoring`, алиасящие базовый UUID на проекте без выделенного статуса (enduro), не вызывают override.
-
-**Кликабельный номер задачи (ORCH-067).** Номер в заголовке карточки И во всех уведомлениях орка, где упоминается `work_item_id`, — HTML-ссылка на issue в Plane через общий `plane_issue_link` / `link_for` (URL строит `_plane_issue_url` с loopback/workspace/project-гардами, переиспользуя резолв ORCH-017). Fail-safe: при нехватке любого из (web-base/не-loopback, workspace, project_id, plane_issue_id) → `html.escape(work_item_id)` без `<a>`; динамические части экранируются, `<a>`-разметка валидна под `parse_mode=HTML`. Алерты `stage_engine`/`launcher`/`security_gate`/`reconciler` переведены на `link_for` (резолвит `repo`+`plane_issue_id` из БД по `task_id` или `work_item_id`).
-
-**HTML-безопасность данных карточки (ORCH-095).** Текст карточки шлётся с `parse_mode=HTML` и собирается из слотов двух категорий: **markup** (намеренная разметка — `num_html`/`plane_issue_link`, `link_for(...)`, `_done_link(...)`, уже-экранированный `esc_title`) и **data** (подставляемые значения — длительности `_fmt_minutes`/`_capped_review_str`, статус-лейбл `_card_status_label`, имя модели `short_model_name`, эффорт `_run_effort`, токены/стоимость `fmt_tokens`/`fmt_cost`). Инвариант: **каждый data-слот экранируется `html.escape` ровно один раз на границе рендера** (`render_task_tracker`/`_stage_line`); функции-источники остаются HTML-агностичными, markup-слоты не экранируются (двойное экранирование запрещено). Это устранило класс «неэкранированные данные в HTML-тексте»: до фикса `_fmt_minutes(<60s)` возвращал литерал `<1м`, который Telegram парсил как открывающий тег → `editMessageText` `400 can't parse entities` → `EDIT_FAILED` → ранний `return` (анти-дубль ORCH-087) → карточка застывала (инцидент ORCH-093). `_fmt_minutes` по-прежнему возвращает `<1м` — escape на границе (`&lt;1м`) рендерит его визуально идентично; формат не меняется. Застрявшая (в окне) карточка авто-восстанавливается следующим безопасным рендером; `edit_telegram`/`update_task_tracker`/леджер сирот/режимы `bump`/`edit` не тронуты. Детали — [ORCH-095 ADR-001](../work-items/ORCH-095/06-adr/ADR-001-html-safe-card-data-render.md).
-
 ## Database Schema
 
 ```sql
@@ -339,10 +323,9 @@ webhook (plane/gitea)                 background thread (queue_worker)
 
 | Колонка | Назначение |
 |--------|------------|
-| `status` | `queued` → `running` → `done` \| `failed` \| `cancelled` (ORCH-090: терминальный исход STOP-отмены, не реквью'ится) |
+| `status` | `queued` → `running` → `done` \| `failed` |
 | `attempts` / `max_attempts` | счётчик попыток (инкремент при claim) / лимит ретраев (default 2) |
 | `run_id` | FK на `agent_runs.id` после старта |
-| `pid` | (ORCH-065) pid агентского процесса (`proc.pid` из `_spawn`); liveness-сигнал для job-reaper. Добавляется `_ensure_column` (idempotent) |
 | `task_content` | ТЗ, которое пишется в task-файл агента |
 | `error` | последняя ошибка |
 
@@ -360,36 +343,6 @@ status='queued'` и проверяет `rowcount`. При гонке двух т
 jobs со статусом `running` (воркер умёр на рестарте) → возвращаются в `queued`.
 Потом стартует воркер; на shutdown — `worker.stop()` (Event.set + join).
 
-### Job-reaper (ORCH-065, рестарт НЕ требуется)
-
-`requeue_running_jobs()` спасает ТОЛЬКО на старте процесса. Зомби-job, возникший
-**без** рестарта (умер monitor-поток/дочерний процесс, а сервис жив), оставался
-`running` навсегда и при `max_concurrency=1` блокировал всю очередь. Фоновый
-daemon-поток `src/job_reaper.py` (каркас `reconciler`) периодически
-(`reaper_interval_s`) сканирует `running`-jobs и реапит «мёртвые»:
-- **Tier-1** — `jobs.pid` мёртв (`os.kill(pid,0)`→`ProcessLookupError`) на
-  протяжении `reaper_dead_ticks` подряд тиков (анти-ложноположительность);
-- **Tier-2** — у `agent_runs[run_id]` записан `exit_code`, а `jobs.status` ещё
-  `running`. Окно неоднозначно: живой monitor пишет `exit_code` ПЕРВЫМ, затем
-  git push/PR/Plane-комментарии (секунды-десятки секунд) и лишь потом
-  `_finalize_job`; pid агента к этому моменту мёртв в обоих случаях. Поэтому
-  Tier-2 реапит только после finalization-grace `reaper_finalize_grace_s`
-  (`finished_age_s >= grace`) — живой финализирующий monitor НЕ реапится;
-- **Tier-3** — backstop: job висит `running` дольше `reaper_max_running_s`.
-
-Реап атомарен (`UPDATE jobs SET ... WHERE id=? AND status='running'` + `rowcount`,
-как `claim_next_job`) → совместим со стартовым `requeue_running_jobs` без двойной
-обработки. Действие — **claim-before-act**: для exit0 канонический QG оценивается
-read-only ПЕРЕД атомарным claim, затем claim `done` ПЕРВЫМ и только победитель
-claim делает `_try_advance_stage` (advance+enqueue) — проигравший (поздний monitor
-/ стартовый requeue) не выполняет побочных эффектов (нет дубль-advance/-enqueue);
-источник истины — QG, не «exit0»; гейт красный или exit≠0/неизвестно →
-`attempts<max`→`queued`, иначе `failed`+Telegram. Тот же поток на старте и
-периодически делает проактивный реклейм stale/dead merge-lease (`merge_gate.py`:
-`pid_alive`/`reclaim_stale_lease`). never-raise; kill-switch `ORCH_REAPER_ENABLED`
-/ `ORCH_LEASE_RECLAIM_ENABLED`; снимок в `GET /queue` (блок `reaper`). Подробнее —
-adr-0011.
-
 ### Конфиг
 
 - `ORCH_MAX_CONCURRENCY` (default 1) — лимит параллельных jobs.

docs/history/LESSONS_2026-06-07_autonomy-closure.md

@@ -1,78 +0,0 @@
-# Lessons Learned — 2026-06-07: замыкание автономности self-deploy (5 задач в прод)
-
-## Итог
-За одну сессию закрыты в прод **5 задач**, завершающих автономный self-deploy эпика ORCH-54:
-
-| Задача | Что | Прод-коммит |
-|--------|-----|-------------|
-| ORCH-58 | provenance retag-guard (свежесть staging-образа перед BUILD-ONCE) | 094b5e2 |
-| ORCH-60 | reconciler не трогает escalated/Blocked/Needs-Input | d4c6cc0 |
-| ORCH-61 | фикс петли deploy-staging (staging_verdict: waive sandbox-infra FAILs C9a/C9b) | e18947d |
-| ORCH-21 | post-deploy мониторинг прода + auto-rollback (self-hosting=alert-only) | f85e449 |
-| ORCH-65 | job-reaper + stale merge-lease reclaim + idempotent merge | bb03350 |
-
-**Главное:** после ORCH-60/61 конвейер впервые провёз задачи (ORCH-21/65) через deploy-staging
-**автономно** без отката; после ORCH-65 (job-reaper в проде) зомби-job и зависшие merge-lease
-лечатся сами. Последняя ручная точка автономного деплоя закрыта.
-
----
-
-## Класс багов: «процесс умер — ресурс захвачен навсегда» (ORCH-65)
-Три связанных отказа, все воспроизвелись на ORCH-58/60/61/21:
-- **zombie jobs:** агент завершился/умер, строка jobs осталась running. requeue_running_jobs()
-  спасает только на старте процесса; зомби без рестарта не лечился → при concurrency=1 встаёт
-  конвейер ВСЕХ проектов. (jobs 236/239/242/254/265 — все зомби за сессию.)
-- **stale merge-lease:** merge-gate берёт .merge-lease-<repo>.json, делает rebase+re-test green,
-  а на финальном merge процесс умирает с зажатым lease → merge не докатывается.
-- **неидемпотентный merge:** re-drive повторно пытается слить уже слитый PR.
-Фикс: фоновый job_reaper (паттерн reconciler, dead_ticks streak + мёртвый pid + exit_code,
-атомарный reap-claim, never-raise, kill-switch, снимок в /queue) + проактивный lease-reclaim
-по pid + guard pr_already_merged ПЕРЕД merge.
-
-## Петля deploy-staging (ORCH-61) — ДВЕ причины
-1. ложный check_staging_status FAILED: staging_check падает на C9a/C9b (sandbox e2e branch +
-   analyst-job-in-queue), т.к. bot-токены SANDBOX-проекта не настроены — НЕ регресс кода.
-2. no-changes для action-стадий (деплой = рестарт/retag, не правка → коммитить нечего).
-Фикс: staging_verdict waive sandbox-infra-only FAILs.
-
-## Инфра-каскад от переполненного диска (инцидент дня)
-- Частые build-once/--build-staging пересборки за день забили docker build cache до 11 ГБ →
-  диск 100% → CI red (No space left).
-- ДАЖЕ после чистки диска Gitea осталась в сломанном состоянии: внутренняя queue
-  (/data/gitea/queues/common/*.log) залипла → post-receive hook 500 → actions tasks НЕ
-  создаются, CI не триггерится вовсе (статус пустой, не failure). runner при этом online+idle.
-- Лечение: docker builder prune -af + рестарт Gitea (queue распускается → CI ожил).
-
----
-
-## Уроки
-1. **Self-hosting safety (сквозной принцип):** прод-орк обслуживает ВСЕ проекты. Нельзя авто-
-   откатывать/рестартить self в рамках задачи; нельзя пушить main. ORCH-21 post-deploy для
-   self-hosting = alert-only, авто-rollback только для не-self репо.
-2. **TDD без доводки (повтор ORCH-58 и ORCH-65 v1):** тесты есть, реализация/wiring не
-   подключены к боевому пути → мёртвый код + врущая дока. Reviewer обязан грепать вызовы из
-   прод-кода, не только наличие функции.
-3. **Concurrency-баги ловятся итеративно:** ORCH-65 3 прохода reviewer (мёртвый guard → race
-   condition side-effects-before-claim → approve) — каждый раз НОВЫЙ реальный дефект, не
-   зацикливание. Atomic-claim ДО side-effects — обязательное правило.
-4. **При красном CI + зелёных локальных тестах — ПЕРВЫМ делом df -h / и docker system df**,
-   не копаться в коде. После disk-full обязателен рестарт Gitea (queue залипает).
-5. **Bootstrap-разрыв:** задача про автономность деплоя не может задеплоить себя автономно,
-   пока её механизм не в проде. Последний прод-деплой каждого такого фикса — вручную.
-6. **Перед прод-retag (build-once SOURCE_IMAGE=staging):** проверить revision-label staging-
-   образа == целевой main HEAD, иначе guard fail-closed (by design). Если != → пересобрать
-   --build-staging GIT_SHA=<main HEAD>.
-
-## Ручная доводка прод-deploy (схема до ORCH-65 в проде)
-cancel zombie job → park task In Progress → merge PR (Gitea pulls/{n}/merge Do=merge, CI green)
-→ --build-staging GIT_SHA=<main HEAD> (проставит label) → rollback-снимок → --deploy с
-EXPECTED_REVISION=<sha> (guard сверит → retag → health 200) → Plane Done + UPDATE tasks stage=done.
-
-## Follow-up (Backlog)
-- ORCH-62: авто-prune docker build cache (cron/daemon.json defaultKeepStorage).
-- ORCH-63: мониторинг диска mva154 + алерт >85%.
-- ORCH-64: починить NTP/часы mva154 (ушли ~+3ч от UTC).
-
-## Осталось в эпике ORCH-54
-ORCH-22 (security-гейт), ORCH-59 (Confirm Deploy статус), ORCH-23 (budget circuit-breaker),
-P2: ORCH-57, ORCH-51.

docs/history/LESSONS_2026-06-08_confirm-deploy-deadtrigger.md

@@ -1,33 +0,0 @@
-# Lessons Learned — 2026-06-08: статус `Confirm Deploy` не триггерит Phase B (мёртвый триггер)
-
-## Контекст
-ORCH-066 ввела новую статусную модель Plane, включая человекочитаемый статус **`Confirm Deploy`** для прод-деплойного approve-gate (self-deploy Phase B). Орк сам выставляет задачу в `Awaiting Deploy` / `Confirm Deploy` через `set_issue_awaiting_deploy()` и т.п.
-
-## Инцидент (2026-06-08, первый реальный прод-self-deploy — ORCH-068)
-Слава нажал статус **`Confirm Deploy`** в Plane, ожидая запуск прод-деплоя. Орк ответил `no pipeline action` и НИЧЕГО не запустил. Прод-деплой стартовал только после ручного перевода в **`Approved`**.
-
-## Root cause
-Диспетчер статусов `handle_issue_status` (`src/webhooks/plane.py` ~158-166) слушает РОВНО три состояния:
-```python
-if   new_state == proj_states["to_analyse"]: await handle_status_start(...)
-elif new_state == proj_states["approved"]:   await handle_verdict(..., approved=True)
-elif new_state == proj_states["rejected"]:   await handle_verdict(..., approved=False)
-else: logger.info("... no pipeline action")
-```
-Phase B (прод-деплой) триггерится в `_try_advance_stage` (`src/stage_engine.py` ~215-224) при `current_stage == "deploy" and finished_agent is None` — то есть ТОЛЬКО когда пришёл вебхук `Approved`. Статус `Confirm Deploy` в эту тройку НЕ входит → ветка `else` → no-op.
-
-**ORCH-066 добавила статус как МЕТКУ (запись), но не подключила обратный путь (чтение/триггер).** Классическая дыра: протестировали, что орк правильно СТАВИТ статус, но не протестировали, что нажатие этого статуса человеком РЕАЛЬНО запускает действие.
-
-## Почему не поймали тестирование/ревью
-1. **Не в scope ORCH-068.** ORCH-068 чинит reconciler (BRD §6 N1-N3 явно: не трогать диспетчер статусов / Phase B). Тестер прогнал TC-01..13 — все про reconciler/terminal-статусы. Ревьюер смотрел diff reconciler.py/plane_sync.py. Корректно — это дефект ORCH-066, не 068.
-2. **Дыра ORCH-066.** Её тесты, видимо, проверяли запись статусов, а не обратный триггер.
-3. **Staging не покрывает прод-путь.** Phase A (staging-деплой) автоматический, ручной `Confirm Deploy` живёт ТОЛЬКО на прод-пути, который на staging не гоняется. Поэтому всплыло лишь на первом реальном прод-деплое.
-
-## Уроки
-1. **Тестировать обратный путь статусов, не только запись.** Для каждого статуса, который человек может нажать, нужен тест «нажатие → ожидаемое pipeline-действие». Запись (орк ставит статус) и чтение (орк реагирует на статус) — два разных контракта.
-2. **Прод-only пути (ручной Confirm Deploy) нуждаются в явном тесте/чеклисте.** Staging их не ловит by design. Любой approve-gate, доступный человеку, обязан иметь регресс-тест на триггер.
-3. **Новый статус = подключить В ОБЕ стороны.** При добавлении статуса в модель — сразу проверить, что диспетчер `handle_issue_status` его слушает (если он actionable), а не только что орк его выставляет.
-4. **UX-консистентность:** статус, названный действием («Confirm Deploy»), обязан выполнять это действие. Иначе оператор жмёт интуитивную кнопку, а система молчит → потеря доверия к автономности.
-
-## Фикс
-Заведена ORCH-070: подключить `Confirm Deploy` (или его actionable-эквивалент) к триггеру Phase B в `handle_issue_status`, + регресс-тест на обратный путь статусов прод-деплоя. Source-of-truth и существующий `Approved`-путь не ломать (обратная совместимость).

docs/history/LESSONS_2026-06-08_phantom-merge.md

@@ -1,47 +0,0 @@
-# Lessons Learned — 2026-06-08: «Фантомный merge» — прод деплоится, но код не сливается в main
-
-## Severity: CRITICAL (потеря целостности main, накопительная потеря кода между задачами)
-
-## Резюме
-Self-deploy (Phase B) собирал прод-образ из ВЕТКИ задачи и рапортовал `finalize SUCCESS` + `post-deploy HEALTHY`, но git-merge ветки в `main` НЕ происходил. PR оставался `open`. Следующая задача срезала свою ветку от устаревшего main → теряла код незалитых предшественников. Накопительно потеряны в main: **ORCH-022, ORCH-059, ORCH-066, ORCH-068** (PR#67/68/69/70 — все open, merged=False). Последний реально слитый — ORCH-065 (PR#66).
-
-## Как обнаружено
-Симптом: ORCH-067 переведён в `To Analyse`, но конвейер не стартовал (`no pipeline action`). Причина — прод слушал старый триггер `in_progress`, а не `to_analyse` (ORCH-066). При разборе выяснилось: код ORCH-066 не в проде, хотя он «деплоился».
-
-Решающее наблюдение оператора (Слава): «спам ET-002 начался СРАЗУ после деплоя 66 → значит код деплоился». Это вскрыло механизм: код 66 БЫЛ в проде 22:17–05:32, потом стёрт деплоем 068 (срезан от старого main без 66).
-
-## Доказательная база (как подтверждали — воспроизводимый метод)
-1. **PR-статус (Gitea API):** PR#67(022)/68(059)/69(066)/70(068) = open, merged=False. PR#66(065) = merged=True (последний честный).
-2. **md5-сверка файлов прод vs origin/main vs ветка:**
-   - `src/reconciler.py`, `src/plane_sync.py`: prod md5 == ветка ORCH-068 != main → прод = снимок ветки 068, НЕ main.
-   - `src/webhooks/plane.py`: prod == main == ветка-068 (ветка 068 этот файл не трогала → видна старая база без to_analyse).
-3. **git merge-base:** ветка ORCH-068 срезана от `bb03350` (ORCH-065), не от кода 066. История ветки-068 по 066 содержит только `docs staging`, кода (`to_analyse`) нет.
-4. **Таймлайн логов:** деплой 22:17 (ветка-066, сломанный reconciler) → спам ET-002 начался; деплой 05:32 (ветка-068, база 065 без 66) → спам прекратился (0 после 05:33). Подтверждает: прод-образ = снимок ВЕТКИ, меняется при каждом деплое, теряет незалитое.
-
-## Root cause (гипотеза → нужен код-аудит self_deploy/merge_gate)
-Self-deploy Phase B инициирует прод-деплой из worktree ветки (BUILD-ONCE из validated commit). Шаг git-merge ветки в main:
-- ЛИБО не вызывается на self-hosting пути (Phase B уходит в detached host-процесс, finalizer пишет SUCCESS-маркеры, но merge отдельно и молча скипается/падает),
-- ЛИБО регресс фикса ORCH-065 (idempotent merge / merge-lease reclaim): guard `pr_already_merged` или lease-reclaim ошибочно считает PR уже слитым / не докатывает merge после рестарта контейнера (а Phase B ИМЕННО рестартит контейнер → процесс, державший merge-lease, умирает до завершения merge).
-Симптоматически ORCH-065 был последним успешным merge — деградация началась СРАЗУ после него или из-за взаимодействия его механики с self-deploy-рестартом.
-
-## Почему конвейер не заметил
-- `finalize SUCCESS` и `post-deploy HEALTHY` маркеры пишутся НЕЗАВИСИМО от факта merge. Пайплайн считает задачу done по этим маркерам, git-состояние main не верифицируется.
-- Прод здоров (образ из ветки рабочий) → health-check зелёный → нет сигнала о проблеме.
-- Дыра видна только при сравнении main с прод ИЛИ когда следующая задача теряет код предыдущей (что и случилось с 67).
-
-## Уроки
-1. **Деплой ОБЯЗАН верифицировать, что код реально в main ПОСЛЕ деплоя.** finalize SUCCESS без проверки `git merge-base origin/main == deployed_commit` (или PR.merged==true) — фальшивый зелёный. Добавить post-merge верификацию: deployed SHA должен быть предком origin/main.
-2. **Маркер «deployed» != «merged».** Нельзя считать задачу завершённой по staging/post-deploy-маркерам, если PR не закрыт merge. Гейт: задача → done ТОЛЬКО при PR.merged==true.
-3. **Self-deploy рестартит контейнер → любой держатель merge-lease/незавершённый git-шаг умирает.** Merge ДОЛЖЕН завершиться и быть подтверждён ДО рестарта прод-контейнера, либо merge выносится в шаг, переживающий рестарт (как requeue_running_jobs, но для merge-в-main).
-4. **Срез ветки от main делает целостность main критичной.** Если main отстаёт — каждая новая задача наследует дыру. main = единственный источник для новых веток, его рассинхрон с прод = накопительная потеря.
-5. **Метод диагностики (сохранить как runbook):** при подозрении на рассинхрон — (a) Gitea API PR list merged-флаги, (b) md5 prod-файлов vs `git show origin/main:<file>`, (c) merge-base ветки vs main, (d) таймлайн деплой-логов. Эти 4 проверки однозначно локализуют фантом.
-
-## Действия
-- Восстановление main: интеграционная ветка `integ/restore-main-2026-06-08` — последовательный merge 022→059→066→068 (docs union-resolved, reconciler-конфликт 066⊕068 разрешён: каркас 068 livelock-fix + триггер to_analyse 066), полный pytest, затем merge в main + передеплой.
-- Заведён критбаг ORCH-071: «фантомный merge — self-deploy без верификации merge в main» (root-fix: post-deploy verify + done-гейт по PR.merged + merge до рестарта).
-- ORCH-070 (Confirm Deploy trigger) частично ДУБЛИРУЕТ ORCH-059 (handle_confirm_deploy уже написан в 059) — после долива 059 пересмотреть scope 070 (остаётся только display-слой статусов Monitoring after Deploy).
-
-## Связанные
-- ORCH-065 (последний честный merge; подозрение на регресс его merge-механики)
-- ORCH-066/068 (потерянный код), ORCH-059 (Confirm Deploy trigger, тоже потерян)
-- Урок 2026-06-08 confirm-deploy-deadtrigger (симптом того же корня)

docs/history/LESSONS_ORCH-036-053.md

@@ -1,120 +0,0 @@
-# Lessons Learned — 2026-06-06 (вечер): ORCH-36 + ORCH-53 → прод (эпик ORCH-54)
-
-## Итог
-Закрыты две задачи эпика ORCH-54 (автономное внедрение): **ORCH-36** (исполняемый
-самодеплой стадии `deploy`) и **ORCH-53** (sweeper/reconciler потерянных webhook).
-Обе прошли конвейер через рабочий merge-gate (ORCH-43), но финальный мерж+деплой
-потребовал **ручного разрыва bootstrap-цикла** — задача, добавляющая автодеплой, сама
-не может задеплоить себя через старую логику. Reconciler доказал себя **в первую секунду
-после старта** — разблокировал две реально застрявшие задачи (ORCH-036 и ET-013).
-
-Эпик ORCH-54: **4 из 6 в проде** (ORCH-40 права, ORCH-43 merge-gate, ORCH-36 деплой,
-ORCH-53 reconciler). Осталось: ORCH-51 (окно/HA), обкатка полностью автономного деплоя.
-
----
-
-## 1. 🔴 Bootstrap-парадокс самодеплоя (ORCH-36)
-
-### Симптом
-ORCH-36 застряла в петле `deploy → development`:
-```
-QG check_deploy_status — failed: Deploy log not found (14-deploy-log.md)
-→ deployer verdict FAILED, rolled back deploy → development
-```
-deployer запускался (exit 0), но **не писал** `14-deploy-log.md` → гейт FAILED → откат →
-снова deployer → бесконечный цикл (jobs 140→142→143...).
-
-### Корень
-Классический bootstrap самохостинга: **новая deploy-логика лежит в ветке, старая работает
-в проде**. ORCH-36 учит deployer писать лог по результату РЕАЛЬНОГО деплоя (через хост-хук),
-но прод-deployer работает по СТАРОМУ промпту, который для self-репо реального деплоя не делает
-и SUCCESS-лог не пишет. Нет лога → FAILED → откат.
-
-### Урок
-**Self-репо не может задеплоить сам себя через старую логику.** Нужен разовый ручной разрыв
-цикла: домержить + задеплоить руками ОДИН раз, дальше конвейер катит своей же новой логикой.
-Тот же паттерн был у ORCH-40/43. Это структурное свойство любой задачи, меняющей
-deploy/merge-механику самого оркестратора — закладывать ручной bootstrap-шаг в план.
-
----
-
-## 2. 🔴 Merge-конфликт при последовательном ручном мерже двух задач
-
-### Симптом
-PR #56 (ORCH-53) смержен первым — чисто. PR #55 (ORCH-36) сразу после → **CONFLICT 409**:
-`.env.example`, `CHANGELOG.md`, `docs/architecture/README.md`, `docs/operations/INFRA.md`,
-**`src/config.py`**.
-
-### Корень
-После мержа PR #56 `main` ушёл вперёд → PR #55 валидировался против СТАРОГО main (точки
-ответвления), а мержится в НОВЫЙ. Это ровно класс «main ушёл вперёд», который чинит
-merge-gate (ORCH-43) — но при РУЧНОМ мерже через Gitea API merge-gate не участвует.
-
-### Решение
-- **merge main→ветку, НЕ rebase.** Rebase 9 коммитов = 9 потенциальных конфликт-разборов;
-  один merge-коммит = ОДИН разбор. Быстрее и безопаснее для большого набора коммитов.
-- Конфликт в `src/config.py` был чисто **аддитивный**: ветка ORCH-36 добавляла блок
-  `self_deploy_*` настроек, main (ORCH-53) — блок `reconcile_*`. Нужны **ОБА** блока →
-  склеить, убрав только git-маркеры (`<<<<<<<`/`=======`/`>>>>>>>`). Обязательно после —
-  `python3 -c 'import ast; ast.parse(...)'` для проверки синтаксиса.
-- docs/.env/CHANGELOG конфликты — тоже аддитивные (обе стороны добавляют строки) → union.
-
-### Грабли
-⚠️ `grep -rE '^(<<<<<<<|=======|>>>>>>>)'` по `docs/work-items/*/13-test-report.md` даёт
-**ЛОЖНЫЕ срабатывания** — там `=======` это markdown-разделители таблиц/секций, не
-git-конфликты. Проверять реальные конфликтные файлы поимённо, не доверять глобальному grep.
-
----
-
-## 3. Review-гейт поймал 2 реальных P1 ДО прода (ORCH-36)
-
-reviewer завернул первую версию (`verdict: REQUEST_CHANGES`), конвейер сам откатил
-dev→review→fix→APPROVED. Два P1:
-1. **sentinel-маркеры self-deploy (`initiated`/`result`/`approve-requested`) не чистились на
-   rollback** → при возврате задачи человек ставит Approved, а устаревший маркер ломает фазу B.
-2. **нет `.env.example` для новых флагов** + процедуры «approve→деплой» в `INFRA.md`.
-
-Урок: merge-gate + review отрабатывают как задумано — брак не уходит в прод автономно.
-Это и есть ценность эпика: система фильтрует сама.
-
----
-
-## 4. 🔥 Reconciler доказал себя мгновенно (ORCH-53)
-
-В первую секунду после рестарта прода (21:24 UTC):
-```
-reconciler: ORCH-036 development разблокирована (потерян webhook)
-reconciler: ET-013 development разблокирована (потерян webhook)
-```
-Sweeper нашёл и разблокировал ДВЕ реально застрявшие задачи — включая саму ORCH-036 из
-bootstrap-петли, и старое зависание ET-013 (enduro-trails). Ручной heartbeat-watchdog,
-который раньше держал Стрим, **больше не нужен** — система чинит застревания сама.
-
----
-
-## 5. Операционные мелочи (закрепить)
-
-- **Заголовки ORCH-задач ≤80 символов.** QG-0 (`check title length`) заворачивает старт
-  конвейера, если длиннее. ORCH-53 был 83 символа → завернул на старте → подрезали до 71.
-- **Developer-таймаут 1800с (30 мин) мал для мясных задач.** 1-й заход developer'а ORCH-36
-  (деплой-хук + Telegram-кнопка + callback) упёрся в лимит → SIGKILL (exit -9). Спас
-  resilience-ретрай (ORCH-1b): attempt 2, наработки в worktree между попытками сохранились.
-  Если упирается систематически — поднять `agent_timeout_seconds` (override per-agent) или
-  дробить задачу.
-- **Время хоста ≠ UTC.** Файлы worktree датируются по мск (+3), БД/системное — UTC. Не баг,
-  но путает сверки `etime`/`updated_at`/`finished_at`. Сверять по одному источнику.
-- **Gitea merge auth:** заголовок строго `Authorization: token <ORCH_GITEA_TOKEN>` (формат
-  `token `, буквально). НЕ маскировать токен плейсхолдером `***` → иначе 401.
-  POST `/repos/admin/orchestrator/pulls/{N}/merge`, body `{"Do":"merge"}`.
-- **approve прод-деплоя 8500 = Telegram-кнопка** (решение Owner), флаг
-  `DEPLOY_REQUIRE_MANUAL_APPROVE=true` по дефолту.
-- **max_concurrency=1 оставлен сознательно** (решение Owner): одна БД/очередь на все
-  проекты, последовательное выполнение надёжнее. НЕ поднимать без явного запроса.
-
----
-
-## Состояние прода после деплоя (21:24 UTC, main `1ff8d85`)
-- `src/self_deploy.py` — в проде (исполняемый деплой, 3 фазы A/B/C)
-- `src/reconciler.py` — в проде (фоновый sweeper, уже разблокировал 2 задачи)
-- uid 1000, health `{"status":"ok"}`, preflight True (Claude Code 2.1.142)
-- Деплой-скрипт с авто-rollback: исходник в workspace `temp/deploy_36_53.sh`

docs/history/LESSONS_ORCH-036-selfdeploy.md

@@ -1,78 +0,0 @@
-# Lessons Learned — 2026-06-07 (утро): ORCH-36 self-deploy bootstrap — каскад неготовности инфры
-
-## Итог
-ORCH-36 (исполняемый самодеплой стадии `deploy`) **замкнулась в проде** — конвейер
-впервые задеплоил сам себя по полному циклу Phase A→B→C (approve → детачед ssh-хук →
-finalizer). Но путь до Done вскрыл **четыре слоя неготовности инфраструктуры**, каждый из
-которых требовал ручного bootstrap-разрыва: задача про автодеплой не может задеплоить
-сама себя, пока её же механизм + инфра не в проде.
-
-Эпик ORCH-54: **4/6 в проде** (ORCH-40 права, ORCH-43 merge-gate, ORCH-36 самодеплой,
-ORCH-53 reconciler). Конвейер автономен: мержит → катит в прод → чинит застрявшее.
-
----
-
-## Каскад из 4 инфра-багов (все вскрылись только при РЕАЛЬНОМ деплое)
-
-### 1. 🔴 uid 1000 без записи в `/etc/passwd` → ssh/whoami падают
-**Симптом:** `self-deploy initiate failed: ssh launch failed (rc=255): No user exists for
-uid 1000`. **Корень:** регрессия ORCH-40 — compose запускает контейнер под `1000:1000`,
-но базовый образ `python:3.12-slim` не имеет passwd-записи для 1000. SSH-клиент (и
-`whoami`, `getpwuid()`) отказываются стартовать без валидного юзера.
-**Фикс:** в `Dockerfile` — `groupadd -g 1000 app && useradd -u 1000 -g 1000 -m -d
-/home/slin -s /bin/bash slin`. Rebuild + recreate. Коммит `64e031a`.
-**Урок:** при переводе контейнера на non-root uid (ORCH-40) ОБЯЗАТЕЛЬНО создавать passwd-
-запись в образе, иначе ssh/git/любой инструмент с getpwuid() ломается. Проверять
-`docker exec <c> whoami` после смены uid.
-
-### 2. 🔴 env-префикс: `DEPLOY_*` vs `ORCH_DEPLOY_*` (pydantic не видит)
-**Симптом:** `ssh: Could not resolve hostname : No address associated with hostname` —
-host пустой, хотя в compose `DEPLOY_SSH_HOST=127.0.0.1` задан. **Корень:** `Settings`
-имеет `env_prefix = "ORCH_"` → читает ТОЛЬКО `ORCH_DEPLOY_SSH_HOST`. Старые
-`DEPLOY_*` (без префикса) предназначались легаси enduro-деплоеру (читает через
-`os.environ` напрямую) и pydantic их игнорирует → дефолт `host=""`. Доп: `DEPLOY_HOOK_SCRIPT`
-указывал на `enduro-deploy-hook.sh`, не на orchestrator-хук.
-**Фикс:** в `docker-compose.yml` добавлены `ORCH_DEPLOY_SSH_USER/HOST`,
-`ORCH_DEPLOY_HOOK_SCRIPT=scripts/orchestrator-deploy-hook.sh`,
-`ORCH_DEPLOY_HOST_REPO_PATH` (легаси `DEPLOY_*` оставлены для enduro). Коммит `115519e`.
-**Урок:** все настройки, читаемые через pydantic Settings, ДОЛЖНЫ иметь префикс `ORCH_`.
-Проверять резолв: `docker exec <c> python3 -c 'from src.config import settings; print(settings.deploy_ssh_host)'`.
-
-### 3. 🔴 `/var/log/orchestrator` принадлежит root → хук падает на tee
-**Симптом:** `tee: /var/log/orchestrator/deploy-hook.log: Permission denied`, хук exit 1.
-**Корень:** лог-директория `root:root`, а хук бежит под `slin`. **Фикс:** `chown -R
-slin:slin /var/log/orchestrator` на хосте.
-**Урок:** все пути, в которые пишет хост-хук (логи, sentinel, prev-image), должны быть
-writable юзером, под которым ssh-сессия. Заложить создание/chown в provisioning хоста.
-
-### 4. 🔴🔴 BUILD-ONCE retag берёт УСТАРЕВШИЙ staging-образ → катит регресс (ВАЖНО)
-**Симптом:** деплой «зелёный» (result=0, health ok), но прод откатился на код 2-дневной
-давности — пропал `deploy-finalizer` (`Unknown agent: deploy-finalizer`), задача не
-закрылась. **Корень:** хук делает `BUILD-ONCE: retag orchestrator-orchestrator-staging →
-orchestrator-orchestrator` (без rebuild, by design ORCH-36 BR-6). Дизайн предполагал
-«staging-образ = свежий, провалидированный». В РЕАЛЬНОСТИ `orchestrator-orchestrator-staging`
-никто не пересобрал из нового main → retag катил в прод СТАРЫЙ образ → бесконечная петля:
-каждый Phase B возвращал прод в прошлое, finalizer (новый код) исчезал, Phase C не мог
-закрыть задачу.
-**Фикс (ручной разрыв):** пересобрать `orchestrator-orchestrator-staging` из актуального
-main ПЕРЕД retag → тогда хук катит свежий код. После этого Phase C отработал: result=0 →
-SUCCESS → `deploy → done`.
-**Урок / ТЕХДОЛГ:** retag-стратегия BUILD-ONCE предполагает гарантию свежести staging-
-образа, которой НЕТ. Нужна отдельная задача: либо staging-деплой пересобирает образ из
-текущего main перед валидацией, либо deploy-хук проверяет, что staging-образ собран из
-HEAD main (по labels/sha), иначе fail-fast. Сейчас «зелёный» деплой может молча катить
-регресс. **Это самый опасный из четырёх — он не падает, а тихо откатывает прод.**
-
----
-
-## Сквозной урок: bootstrap самохостинга
-Любая задача, меняющая deploy/merge-механику САМОГО оркестратора, упирается в парадокс:
-её механизм не работает, пока не в проде, а в прод его можно влить только старым
-механизмом. Каждый слой (код → права → env → образ) вскрывается ТОЛЬКО при первом
-реальном прогоне. Закладывать в план таких задач **ручной bootstrap-чеклист** и гонять
-**реальный** деплой в staging-петле до мержа, а не только бумажные гейты.
-
-## Прод после (main `115519e`+, образ 2026-06-07 09:47)
-- self_deploy.py + reconciler.py в проде, finalizer зарегистрирован (grep=5)
-- uid 1000 = slin (passwd ok), ssh slin@127.0.0.1 работает, /var/log/orchestrator writable
-- ORCH-36 task 43 → done, Plane → Done

docs/operations/DEPLOY_HOOK.md

@@ -9,7 +9,6 @@
 1. **Захват текущего образа** — до рестарта записывает ID образа работающего контейнера в `$PREV_IMAGE_FILE` (best-effort, не падает если сервис не запущен).
 2. **git pull** — обновляет код репозитория.
 2b. **Build-once retag** (ORCH-036, BR-6) — если задан `$SOURCE_IMAGE`, хук ретегает его на `$TARGET_IMAGE` (`docker tag $SOURCE_IMAGE $TARGET_IMAGE`) и поднимает контейнер на этом образе через `up -d --no-build`. Это деплой РОВНО того образа, что прошёл staging, **без `docker build`**. Если `$SOURCE_IMAGE` не задан (дефолт) — шаг пропускается (обратная совместимость).
-   - **Fail-closed провенанс-guard** (ORCH-058, Strategy B) — ПЕРЕД `docker tag`, если задан `$EXPECTED_REVISION`, хук сверяет OCI-лейбл `org.opencontainers.image.revision` у `$SOURCE_IMAGE` с `$EXPECTED_REVISION`. Несовпадение / пустой лейбл (`<no value>`) / ошибка inspect → лог + `exit 1` (FAILED → авто-rollback), **прод не трогается**. Не задан `$EXPECTED_REVISION` (дефолт) → проверка пропускается (обратная совместимость для не-self репозиториев).
 3. **Рестарт контейнера** — `docker compose --profile $COMPOSE_PROFILE up -d --no-build $TARGET_SERVICE`.
 4. **Health-цикл** — 10 попыток × 6с = до 60с. Критерий: HTTP 200 + тело содержит `"status":"ok"`.
    - **Успех** → `exit 0`, лог "Deploy SUCCESS".
@@ -18,17 +17,6 @@
    - Если восстановился → `exit 1` (деплой провалился, откат успешен).
    - Если и откат не помог → `exit 2` (критично).
 
-### Режим `--build-staging` (ORCH-058, Strategy A)
-
-Пересобирает **staging-образ** из провалидированного коммита и пересоздаёт 8501, чтобы артефакт, который мы валидируем, был РОВНО тем, что позже build-once ретегается в прод (инвариант `INV-FRESH`). Собирает/пересоздаёт **только staging (8501)** — никогда прод (8500).
-
-1. `docker build --build-arg GIT_SHA=$GIT_SHA -t $TARGET_IMAGE $BUILD_CONTEXT` — пересборка из host-worktree валидированного коммита; `GIT_SHA` штампуется в OCI-лейбл `org.opencontainers.image.revision`.
-2. `docker compose [--profile $COMPOSE_PROFILE] up -d --no-build $TARGET_SERVICE` — пересоздание staging на свежем образе.
-3. Health-цикл 10×6с. Провал сборки/health → `exit 1`.
-4. **`staging_check` против СВЕЖЕГО образа** (Strategy A, шаг 3 — ADR-001, AC-4) — после health хук запускает `docker exec $STAGING_CONTAINER python3 $STAGING_CHECK_PATH --base-url http://localhost:$TARGET_PORT --mode $STAGING_CHECK_MODE` (дефолт `--mode stub`, без LLM-трат). Запуск **внутри** staging-контейнера канонический (ORCH-048): suite читает реестр из собственного env контейнера, а `staging_check.py` берётся из bind-mount (`/repos/orchestrator/scripts/...`, не из образа). Это ровно тот артефакт, что позже build-once ретегается в прод → валидируем то, что промоутим (AC-4). PASS → `exit 0`; любой не-ноль (FAIL чека или safety-abort `ORCH_STAGING≠true`) → `exit 1`.
-
-Запускается оркестратором на ребре `deploy-staging → deploy` (QG-под-чек `check_staging_image_fresh` → `rebuild_staging_image` пробрасывает явный staging-таргет, см. `INFRA.md`). Тот же контракт кодов выхода (0 = здоров **и** staging_check PASS).
-
 ### Режим `--rollback`
 
 Вручную откатывает сервис на предыдущий образ из `$PREV_IMAGE_FILE`.
@@ -43,12 +31,6 @@
 | `COMPOSE_PROFILE`| `staging`                         | Docker compose profile (пусто = без профиля) |
 | `PREV_IMAGE_FILE`| `$REPO/.deploy-prev-image-staging`| Файл для сохранения предыдущего образа        |
 | `SOURCE_IMAGE`   | _(unset)_                         | Build-once (ORCH-036): провалидированный образ для retag на `$TARGET_IMAGE` перед рестартом (без rebuild). Не задан → шаг пропущен. |
-| `EXPECTED_REVISION` | _(unset)_                      | Build-once (ORCH-058, Strategy B): ожидаемый git-SHA `$SOURCE_IMAGE` (лейбл `org.opencontainers.image.revision`). Задан → fail-closed guard перед `docker tag`. Не задан → проверка пропущена. |
-| `GIT_SHA`        | _(unset)_                         | `--build-staging` (ORCH-058, Strategy A): коммит, штампуемый в OCI-лейбл `revision` при пересборке staging-образа. |
-| `BUILD_CONTEXT`  | `$REPO`                           | `--build-staging`: docker build context (host-worktree валидированного коммита). |
-| `STAGING_CONTAINER` | `$TARGET_SERVICE` (`orchestrator-staging`) | `--build-staging` (ORCH-058): контейнер, внутри которого `docker exec` запускает `staging_check`. |
-| `STAGING_CHECK_PATH` | `/repos/orchestrator/scripts/staging_check.py` | `--build-staging` (ORCH-058): путь к `staging_check.py` внутри контейнера (bind-mount, не образ). |
-| `STAGING_CHECK_MODE` | `stub`                        | `--build-staging` (ORCH-058): режим `staging_check` (`stub` — быстро, без LLM; `full-real` — дожидается аналитика). |
 | `LOG`            | `/var/log/orchestrator/deploy-hook.log` | Лог-файл (fallback: `$REPO/deploy-hook.log`) |
 
 > ⚠️ **Дефолт — всегда STAGING**. Прод активируется только явным переопределением env.

docs/operations/INFRA.md

@@ -58,47 +58,6 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 - `~/.orchestrator-ssh` → `/home/slin/.ssh` (ro, деплой по ssh; target в HOME агента,
   согласован с `HOME=/home/slin` из launcher — ORCH-040, ранее `/root/.ssh`)
 
-### Disk-watchdog: мониторинг заполнения диска mva154 (ORCH-063)
-07.06.2026 диск хоста mva154 тихо дорос до 100% и положил **весь конвейер всех проектов**
-(один прод-инстанс `orchestrator` на общей БД/очереди). Чтобы такой инцидент сигнализировался
-**заранее**, работает фоновый daemon-поток `src/disk_watchdog.py` (каркас `reconciler`/`job_reaper`):
-- **Что мониторится:** заполнение **хост-разделов** по смонтированным bind-путям (`/repos` →
-  host `/home/slin/repos`, `/app/data` → host `./data`) через stdlib `shutil.disk_usage` — НЕ
-  overlay `/` контейнера (иначе замер ложно-низкий). Пути с одним физическим устройством (`st_dev`)
-  дедуплицируются → один алерт, не два.
-- **Порог и период:** при заполнении **≥ 85%** (`ORCH_DISK_MONITOR_THRESHOLD_PCT`) шлётся
-  Telegram-алерт оператору; замер — раз в 300с (`ORCH_DISK_MONITOR_INTERVAL_S`). Пока диск выше
-  порога, повтор — не чаще раза в ~6ч (`ORCH_DISK_MONITOR_REALERT_S`, анти-спам). При возврате
-  ниже порога — однократное recovery-сообщение.
-- **Как отключить:** `ORCH_DISK_MONITOR_ENABLED=false` (демон не стартует; `GET /queue` →
-  `disk_monitor.enabled=false`; поведение 1:1 как сейчас). Наблюдаемость — блок `disk_monitor` в
-  `GET /queue` (последний замер: `used_pct`/`free_gb`/`alerting`/`last_alert_at` по каждому пути).
-- **Что делать при алерте:** watchdog **только сигнализирует** — он не трогает диск/контейнер и не
-  рестартит прод (self-hosting безопасность). Освобождение **docker build cache** автоматизировано
-  отдельным демоном (ORCH-062, см. ниже); прочие «пожиратели» — старые worktree-каталоги
-  `/home/slin/repos/_wt/*` завершённых задач, логи, dangling-образы (`docker image prune`) —
-  по-прежнему **ручная** операция оператора (авто-уборка этих категорий — вне объёма ORCH-062/063).
-
-### Build-cache-pruner: авто-prune docker build cache на mva154 (ORCH-062)
-Доминирующий «пожиратель» в инциденте 07.06.2026 — **docker build cache** (≈11 ГБ от частых
-пересборок прод/staging-образов). Чтобы он не мог снова заполнить диск **без оператора**, работает
-фоновый daemon-поток `src/build_cache_pruner.py` (каркас `disk_watchdog`) — «вторая половина»
-watchdog'а: **watchdog сигналит, pruner убирает**.
-- **Что делает:** каждые `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` (дефолт 21600с = 6ч) выполняет
-  **строго `docker builder prune -f --filter until=<until>`** (BuildKit GC; дефолт `until=24h` —
-  удаляется build cache старше суток, тёплый свежий кэш сохраняется). Команда затрагивает **только
-  build cache** — НЕ образы/контейнеры запущенных сервисов; рестарт docker daemon/прода НЕ
-  выполняется (self-hosting безопасность).
-- **Как исполняется:** в контейнере нет `docker` CLI (образ несёт только `openssh-client git`),
-  поэтому уборка идёт **на хосте через ssh** тем же каналом `ORCH_DEPLOY_SSH_USER@_HOST`, что
-  деплой/`image_freshness`. **Пустой `ORCH_DEPLOY_SSH_HOST` → тик no-op** (фича активна только на
-  self-host, где ssh настроен).
-- **Как отключить:** `ORCH_BUILD_CACHE_PRUNE_ENABLED=false` (демон не стартует; поведение 1:1 как
-  до ORCH-062). Наблюдаемость — блок `build_cache_prune` в `GET /queue` (`enabled`/`interval_s`/
-  `until`/`last_run_ts`/`last_reclaimed`/`last_error`); never-raise; in-memory учёт (без миграции).
-- **Ручной fallback** (если ssh-канал недоступен) — host-cron на mva154:
-  `0 */6 * * * docker builder prune -f --filter until=24h` (off-git, процедура Owner).
-
 ## Переменные окружения (карта; значения — в `.env`)
 
 | Переменная | Назначение |
@@ -124,25 +83,12 @@ watchdog'а: **watchdog сигналит, pruner убирает**.
 | `ORCH_DEPLOY_HOOK_SCRIPT` / `_HOST_REPO_PATH` | путь к хук-скрипту (отн. репо) и чекаут orchestrator на хосте |
 | `ORCH_DEPLOY_PROD_SOURCE_IMAGE` | staging-образ для build-once retag на прод-тег (без rebuild) |
 | `ORCH_DEPLOY_PROD_TARGET_SERVICE` / `_TARGET_PORT` / `_TARGET_IMAGE` / `_COMPOSE_PROFILE` / `_PREV_IMAGE_FILE` | прод-цель хука + снапшот для авто-rollback |
-| `ORCH_IMAGE_FRESHNESS_ENABLED` | ORCH-058 единый kill-switch провенанса staging-образа (A+B как целое); дефолт `true`, false → legacy build-once без проверки свежести |
-| `ORCH_IMAGE_FRESHNESS_REPOS` | CSV репозиториев с реальным гейтом свежести; пусто → только self-hosting `orchestrator` |
 | `ORCH_RECONCILE_ENABLED` | kill-switch sweeper потерянных webhook (ORCH-053); дефолт `true`. **При инциденте/раскатке** — `false` глушит весь фоновый reconciler |
 | `ORCH_RECONCILE_PLANE_ENABLED` | отдельный флаг F-2 (опрос Plane API); `false` гасит только plane-ветку, F-1 продолжает работать; дефолт `true` |
 | `ORCH_RECONCILE_INTERVAL_S` | период фонового прохода reconciler, сек; дефолт `120` |
 | `ORCH_RECONCILE_GRACE_DEFAULT_S` | порог «застряла» по `tasks.updated_at`, сек; дефолт `600` |
 | `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | per-stage пороги, напр. `{"development":300}`; невалидный JSON → дефолт |
 | `ORCH_RECONCILE_NOTIFY_UNBLOCK` | слать Telegram при разблокировке застрявшей задачи; дефолт `true` |
-| `ORCH_DISK_MONITOR_ENABLED` | kill-switch disk-watchdog (ORCH-063); дефолт `true`. `false` → демон не стартует, поведение 1:1 как сейчас |
-| `ORCH_DISK_MONITOR_INTERVAL_S` | период heartbeat-замера заполнения диска, сек; дефолт `300` |
-| `ORCH_DISK_MONITOR_THRESHOLD_PCT` | порог заполнения для алерта, %; дефолт `85` (валидация 1..100, иначе → дефолт) |
-| `ORCH_DISK_MONITOR_REALERT_S` | cooldown повторного алерта, пока выше порога, сек; дефолт `21600` (~6 ч) |
-| `ORCH_DISK_MONITOR_PATHS` | CSV отслеживаемых **хост**-bind-путей; пусто → `/repos,/app/data` |
-| `ORCH_BUILD_CACHE_PRUNE_ENABLED` | kill-switch build-cache-pruner (ORCH-062); дефолт `true`. `false` → демон не стартует, поведение 1:1 как до задачи |
-| `ORCH_BUILD_CACHE_PRUNE_INTERVAL_S` | период тика авто-prune, сек; дефолт `21600` (~6 ч); валидация >0, иначе → дефолт |
-| `ORCH_BUILD_CACHE_PRUNE_UNTIL` | возраст удержания тёплого кэша (`docker builder prune --filter until=`); дефолт `24h`; валидация `^\d+[smhdw]?$`, иначе → `24h` |
-| `ORCH_BUILD_CACHE_PRUNE_ALL` | добавить `-a` к prune (только в паре с `until`); дефолт `false` |
-| `ORCH_BUILD_CACHE_PRUNE_TIMEOUT_S` | таймаут ssh-команды prune, сек; дефолт `120` |
-| `ORCH_BUILD_CACHE_PRUNE_NOTIFY_MIN_GB` | Telegram при освобождении ≥ N ГБ; дефолт `0` (тихо) |
 | `DEPLOY_SSH_USER` / `_HOST` / `DEPLOY_HOOK_SCRIPT` | параметры деплой-хука |
 
 **Секреты — только в `.env` / `.env.staging` на хосте, в гит НЕ коммитятся.** Канон — `.env.example`, `.env.staging.example`.
@@ -185,7 +131,6 @@ watchdog'а: **watchdog сигналит, pruner убирает**.
 
 **Страховки:**
 - Стадия `deploy-staging` (порт 8501) — обязательный гейт перед прод-деплоем орка. Прод-деплой недостижим, пока staging-гейт не зелёный (см. `STAGING.md`, ORCH-35). Гейт условный: реален только для self-hosting (repo=orchestrator), для остальных проектов — no-op.
-- **Свежесть staging-образа (ORCH-058):** на ребре `deploy-staging → deploy` (ПОСЛЕ merge-gate, ДО Phase A) QG-под-чек `check_staging_image_fresh` пересобирает staging-образ из валидированного коммита и пересоздаёт 8501 (Strategy A), а хук перед build-once retag fail-closed сверяет OCI-лейбл `revision` с `EXPECTED_REVISION` (Strategy B). Гарантирует: в прод промоутится РОВНО провалидированный артефакт (инцидент LESSONS_ORCH-036 п.4 — тихий промоут устаревшего образа). Сборки/recreate — ТОЛЬКО staging (8501); FAIL → откат на `development`. Условный: реален только для self-hosting.
 
 **Правила для агентов при задачах ORCH:**
 1. НЕ перезапускать / не ронять прод-контейнер `orchestrator` в рамках задачи.

docs/operations/PHANTOM_MERGE_RUNBOOK.md

@@ -1,125 +0,0 @@
-# Runbook — диагностика «фантомного merge» (ORCH-071)
-
-> **Когда применять.** Задача дошла до `done` (или прод задеплоен «зелёным»), но есть
-> подозрение, что её ветка **не влита в `main`** — следующая задача срежет ветку от
-> устаревшего `main` и потеряет код предшественника (постмортем
-> `docs/history/LESSONS_2026-06-08_phantom-merge.md`). Этот runbook даёт 4 проверки
-> для **однозначной локализации** фантома.
-
-С ORCH-071 такой исход блокируется автоматически: под-гейт `deploy → done`
-(`stage_engine._handle_merge_verify`) сначала **детерминированно вливает PR**
-(`merge_gate.merge_pr`, Gitea PR-merge API), затем **верифицирует merge**
-(`merge_gate.verify_merged_to_main`) и НЕ пускает задачу в `done`, пока merge не
-подтверждён (alert + HOLD). Этот runbook — для ручной перепроверки/инцидентов
-(в т.ч. при выключенном kill-switch `ORCH_MERGE_VERIFY_ENABLED=false`).
-
-Подставьте значения:
-
-```bash
-OWNER=admin                       # settings.gitea_owner
-REPO=orchestrator                 # репозиторий
-BRANCH=feature/ORCH-071-slug      # ветка задачи
-GITEA=http://localhost:3000       # settings.gitea_url
-TOKEN=<gitea_token>               # settings.gitea_token
-FILE=src/stage_engine.py          # любой файл, гарантированно изменённый задачей
-```
-
----
-
-## Проверка 1 — Gitea API: список PR + флаги `merged`
-
-Показывает, считает ли сам Gitea PR влитым.
-
-```bash
-curl -s -H "Authorization: token $TOKEN" \
-  "$GITEA/api/v1/repos/$OWNER/$REPO/pulls?state=all" \
-  | python3 -c 'import sys,json; \
-[print(p["number"], p["state"], "merged="+str(p.get("merged")), p["head"]["ref"]) \
- for p in json.load(sys.stdin)]'
-```
-
-* **Фантом НЕ подтверждён (всё хорошо):** строка ветки `$BRANCH` имеет `merged=True`.
-* **Фантом подтверждён (по этому критерию):** PR ветки `state=open` / `merged=False`
-  (или PR отсутствует), при том что задача в `done` / прод задеплоен.
-
----
-
-## Проверка 2 — md5 прод-файлов vs `git show origin/main:<file>`
-
-Сверяет содержимое файла на проде с тем, что лежит в `origin/main`.
-
-```bash
-# в прод-контейнере (или через docker exec orchestrator):
-md5sum "/app/$FILE"
-
-# содержимое того же файла из origin/main (на хосте, в клоне репо):
-git -C /home/slin/repos/$REPO fetch origin main -q
-git -C /home/slin/repos/$REPO show "origin/main:$FILE" | md5sum
-```
-
-* **Совпало:** прод соответствует `main` (фантома нет ИЛИ задача не меняла этот файл —
-  возьмите файл из проверки 3/diff'а ветки).
-* **Разошлось:** прод собран из ветки, а `main` его не получил → косвенный признак фантома.
-
----
-
-## Проверка 3 — `git merge-base` ветки vs `main`
-
-Главный детерминированный критерий: является ли HEAD ветки предком `origin/main`.
-
-```bash
-git -C /home/slin/repos/$REPO fetch origin -q
-SHA=$(git -C /home/slin/repos/$REPO rev-parse "origin/$BRANCH")
-git -C /home/slin/repos/$REPO merge-base --is-ancestor "$SHA" origin/main \
-  && echo "MERGED: ветка влита в main" \
-  || echo "NOT MERGED: ветка НЕ предок origin/main (ФАНТОМ)"
-```
-
-Это ровно та проверка, что выполняет `merge_gate.verify_merged_to_main` (rc=0 → влито).
-
-* **`MERGED`:** фантома нет.
-* **`NOT MERGED`:** фантом подтверждён — `main` не содержит коммитов задачи.
-
----
-
-## Проверка 4 — таймлайн деплой-логов
-
-Восстанавливает порядок событий: был ли merge до/после деплоя, и был ли он вообще.
-
-```bash
-# Вердикт деплоя + новое поле merge-верификации (ORCH-071):
-git -C /home/slin/repos/$REPO show "origin/$BRANCH:docs/work-items/<WI>/14-deploy-log.md" \
-  | sed -n '1,12p'   # frontmatter: deploy_status:, merged_to_main:
-
-# Наблюдаемость под-гейта в живом сервисе:
-curl -s "$GITEA_HEALTH/queue" | python3 -c \
-  'import sys,json; print(json.load(sys.stdin)["merge_verify"])'
-# -> {"enabled":..., "merge_verified_total":..., "not_merged_alerts_total":..., "last_alert_wi":...}
-
-# Журнал хоста по деплою (sentinel-каталог задачи):
-ls -la /home/slin/repos/.deploy-state-$REPO/<WI>/
-cat   /home/slin/repos/.deploy-state-$REPO/<WI>/hook.log
-```
-
-* `deploy_status: SUCCESS` + `merged_to_main: false` → деплой прошёл, merge — нет
-  (это и есть класс ORCH-071; задача должна быть удержана на `deploy`, не `done`).
-* `not_merged_alerts_total` растёт / `last_alert_wi == <WI>` → под-гейт уже поднял alert.
-
----
-
-## Критерий «фантом подтверждён»
-
-Фантомный merge считается **подтверждённым**, если выполняется ХОТЯ БЫ ОДНО из:
-
-1. Проверка 1: PR ветки `state=open` / `merged=False` (или PR нет), а задача в `done`.
-2. Проверка 3: `merge-base --is-ancestor` вернул **NOT MERGED** (HEAD ветки не предок `origin/main`).
-3. Проверка 4: `14-deploy-log.md` имеет `deploy_status: SUCCESS` при `merged_to_main: false`.
-
-Проверка 2 — вспомогательная (зависит от того, менял ли файл задачей), используется
-для подтверждения проверок 1/3.
-
-### Что делать при подтверждённом фантоме
-
-1. **Влить PR вручную** через Gitea (PR-merge API / UI) — НИКОГДА не `git push`/`--force` в `main` (INV-4).
-2. Повторить approve задачи (re-drive) — под-гейт переоценит: merge подтвердится → задача уйдёт в `done`.
-3. Если фантом случился при выключенном kill-switch — включить `ORCH_MERGE_VERIFY_ENABLED=true`.

docs/operations/STAGING.md

@@ -75,27 +75,6 @@ completely invisible to commands that do not pass `--profile staging`.
 docker logs -f orchestrator-staging
 ```
 
-## Staging-образ как источник прод-артефакта (ORCH-058)
-
-Прод-деплой орка — **build-once**: хук ретегает провалидированный staging-образ
-(`orchestrator-orchestrator-staging`) на прод-тег **без rebuild** (ORCH-036). Чтобы
-в прод не попал устаревший образ (инцидент LESSONS_ORCH-036 п.4), ORCH-058 гарантирует
-свежесть staging-образа **двумя слоями** (только self-hosting):
-
-- **A — пересборка staging (liveness):** на ребре `deploy-staging → deploy` (ПОСЛЕ
-  merge-gate, ДО Phase A) QG-под-чек `check_staging_image_fresh` через хук
-  `--build-staging` пересобирает staging-образ из worktree валидированного коммита
-  (`--build-arg GIT_SHA=<sha>`, OCI-лейбл `org.opencontainers.image.revision`) и
-  пересоздаёт 8501. Так валидируем РОВНО тот артефакт, что промоутится в прод.
-  FAIL → откат на `development`. Сборки/recreate — **только staging (8501)**.
-- **B — fail-closed guard (safety):** прод-хук перед `docker tag` сверяет лейбл
-  `revision` у `SOURCE_IMAGE` с `EXPECTED_REVISION` (пробрасывает оркестратор);
-  несовпадение / пустой лейбл / ошибка inspect → `exit 1`, прод не трогается.
-
-Kill-switch `ORCH_IMAGE_FRESHNESS_ENABLED` включает A+B **как целое**; область —
-`ORCH_IMAGE_FRESHNESS_REPOS` (пусто → только `orchestrator`). Детали — `DEPLOY_HOOK.md`,
-`docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.
-
 ## Roadmap
 
 | Task | Description |

docs/operations/STAGING_CHECK.md

@@ -12,9 +12,7 @@
 | B    | ACCESS   | Plane sandbox (R), Gitea sandbox (R+push), реестр проектов |
 | C    | E2E      | Создать задачу → триггер конвейера → ветка + коммент → cleanup |
 
-Exit code: **0** = advance (все REAL-проверки PASS), **1** = rollback (есть REAL-FAIL).
-С ORCH-061 exit 0 может включать *waived* sandbox-infra FAIL (C9a/C9b) — см.
-[«Толерантность к sandbox-infra (ORCH-061)»](#толерантность-к-sandbox-infra-orch-061).
+Exit code: **0** = все PASS, **non-zero** = есть FAIL.
 
 ---
 
@@ -87,56 +85,6 @@ B6 «Registry: sandbox present, prod ET/ORCH absent» подтверждает
 
 ---
 
-## Толерантность к sandbox-infra (ORCH-061)
-
-**Проблема.** Self-hosting `orchestrator` зацикливался на `deploy-staging → development`:
-прежде скрипт давал exit 1 при **любом** FAIL, поэтому две чисто инфраструктурные
-проверки — **C9a** (ветка не появилась в `orchestrator-sandbox`) и **C9b** (job
-аналитика не встал в очередь staging) — приводили к `staging_status: FAILED` →
-откат → цикл. Корень: SANDBOX-бот-аккаунты не состоят в sandbox-проекте Plane,
-поэтому шаги 6+ конвейера в песочнице недостижимы. Это **не** регресс конвейера.
-
-**Решение.** Проверки классифицируются на две категории (`src/staging_verdict.py`):
-
-| Категория | Что входит | Поведение |
-|-----------|-----------|-----------|
-| `REAL` | все проверки конвейера (A*, B*, C7, C8) | **fail-closed** — любой FAIL = rollback |
-| `SANDBOX_INFRA` | строго allowlist `{C9a, C9b}` | **waivable** — FAIL терпится, если все REAL зелёные |
-
-Вердикт сворачивается в `compute_staging_verdict(items, infra_tolerant)`:
-
-- любой REAL-FAIL → `FAILED` / exit 1 (страховка сохраняется при ЛЮБОМ значении флага);
-- упали **только** C9a/C9b и толерантность включена → `SUCCESS` / exit 0,
-  упавшие метки попадают в `waived` (наблюдаемость, печатается строкой `INFRA-WAIVED:`);
-- упали только C9a/C9b, толерантность выключена → `FAILED` / exit 1 (legacy-строгий);
-- любая внутренняя ошибка вердикта → `FAILED` / exit 1 (никогда не ложный green).
-
-Blast-radius waiver-а ровно две allowlist-метки; всё неизвестное классифицируется
-как `REAL` (fail-closed).
-
-### Kill-switch и `--strict`
-
-| Управление | Эффект |
-|-----------|--------|
-| env `ORCH_STAGING_INFRA_TOLERANCE_ENABLED` (default `true`) | глобальный флаг; `false` → строгий режим (1:1 до ORCH-061) |
-| CLI `--strict` | форсит строгий режим для одного запуска, игнорируя env |
-
-Флаг живёт в `.env.staging` (staging-инстанс). `--strict` имеет приоритет над env.
-
-### Что печатает скрипт
-
-В конце прогона `summary()` показывает разбивку REAL/SANDBOX_INFRA, затем:
-
-```
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox; C9b Analyst job enqueued ...
-VERDICT: SUCCESS (infra-waived): ['C9a …', 'C9b …'] are known sandbox-infra checks; all real checks green
-```
-
-Контракт `staging_status: SUCCESS|FAILED` во frontmatter **не меняется** —
-толерантность применяется в скрипте ДО записи артефакта деплоером.
-
----
-
 ## Режимы (`--mode`)
 
 | Режим | Описание | Скорость |

docs/work-items/ORCH-021/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: [★ высокий] Post-deploy мониторинг прода + авто-rollback при деградации
-
-Work Item ID: ORCH-021
-
-## Description
-
-TBD

docs/work-items/ORCH-021/01-brd.md

@@ -1,88 +0,0 @@
-# BRD — ORCH-021: Post-deploy мониторинг прода + авто-rollback при деградации
-
-Work Item: ORCH-021
-Приоритет: высокий (★)
-Источник: предложение Стрим, одобрено Славой (2026-06-04)
-Стадия: analysis
-
-## 1. Проблема (Why)
-
-Сейчас конвейер заканчивается на `deploy → done`: как только `check_deploy_status`
-видит `deploy_status: SUCCESS`, задача закрывается и оркестратор **забывает про прод**.
-«Успех» деплоя сегодня означает только то, что health-check в момент рестарта
-прошёл (10×6с в `scripts/orchestrator-deploy-hook.sh`) — узкое окно ~60 секунд.
-
-**Прямой урок ET-8:** деплой отрапортовал SUCCESS, а на проде фича не работала.
-Класс инцидентов — «зелёный деплой, красный прод»:
-- деградация проявляется через минуты, а не в первые 60с (прогрев кэшей, фоновые
-  миграции, отложенные запросы, утечки, рост 5xx под реальным трафиком);
-- health-эндпоинт отвечает `200 ok`, но ключевая функциональность сломана;
-- регресс виден только под боевым трафиком, которого нет в момент рестарта.
-
-После закрытия задачи никакого пригляда за продом нет — деградацию замечает человек
-постфактум. Для self-hosting это особенно опасно: сломанный прод-орк (8500) обслуживает
-ВСЕ проекты (enduro-trails) из общего инстанса.
-
-## 2. Цель (What)
-
-Продлить ответственность конвейера за прод **после** `deploy → done`: в течение
-заданного окна наблюдать ключевые сигналы здоровья прода и при доказанной деградации
-выполнить реакцию (откат на предыдущий образ или громкий алерт с запросом ручного
-отката). Закрыть класс «зелёный деплой, красный прод».
-
-Механизм частичного отката уже есть: `do_rollback()` и режим `--rollback` в
-`scripts/orchestrator-deploy-hook.sh` умеют вернуть предыдущий образ из
-`PREV_IMAGE_FILE` (`.deploy-prev-image-prod`), который сохраняется при каждом деплое.
-Задача — построить **наблюдение поверх** этого и привязать решение к измеримым порогам.
-
-## 3. Заинтересованные стороны
-- **Owner (Слава)** — принимает риск авто-отката прода; получает алерты.
-- **Стрим** — инициатор; потребитель сигнала деградации для петли уроков (ORCH-8).
-- **Другие проекты (enduro-trails)** — косвенно: устойчивость общего инстанса.
-
-## 4. Бизнес-требования
-
-| # | Требование | Приоритет |
-|---|------------|-----------|
-| BR-1 | После `deploy → done` прод наблюдается в течение конфигурируемого окна (дефолт ~15 мин), а не забывается. | Must |
-| BR-2 | Деградация определяется по **детерминированным измеримым сигналам**: периодический `/health` (HTTP 200 + `{"status":"ok"}`) и доля HTTP 5xx на ключевых эндпоинтах (`/status`, `/queue`). | Must |
-| BR-3 | Деградация фиксируется только по **порогам** (N последовательных провалов / окно), а не по разовому сетевому глюку — чтобы не было ложных откатов. | Must |
-| BR-4 | При подтверждённой деградации система выполняет реакцию: **авто-rollback** на `.deploy-prev-image-prod` (через существующий хук `--rollback`) **либо** громкий алерт с запросом ручного отката — в зависимости от политики репозитория. | Must |
-| BR-5 | **Self-hosting safety:** для самого `orchestrator` авто-откат прода = рестарт инструмента, обслуживающего все проекты. По умолчанию для self-hosting реакция — **алерт + ручной approve отката** (по образцу deploy Phase A/B), НЕ автоматический откат. Для не-self репозиториев допустим авто-откат. | Must |
-| BR-6 | Любой исход (наблюдение начато, деградация, откат, откат-провал, окно завершилось чисто) уведомляется в Telegram и комментарием в Plane; результат наблюдения фиксируется артефактом. | Must |
-| BR-7 | Мониторинг — **restart-safe**: рестарт оркестратора (в т.ч. сам деплой) не теряет и не задваивает наблюдение. Идемпотентность по образцу reconciler / deploy-finalizer. | Must |
-| BR-8 | Глобальный kill-switch (env-флаг) и список репозиториев, на которые распространяется фича (по образцу `merge_gate_enabled` / `image_freshness_enabled` / `self_deploy_repos`). Выключенный флаг = прежнее поведение (наблюдения нет). | Must |
-| BR-9 | Наблюдаемость: текущее состояние пост-деплой наблюдения отражается в `GET /queue` (по образцу блока `reconcile`). | Should |
-| BR-10 | Сигнал деградации пригоден для будущей петли уроков (ORCH-8): фиксируется в артефакте/логе в машиночитаемом виде. | Should |
-| BR-11 | Доменный smoke результата фичи (проверка, что конкретная фича реально работает) — желателен, но выносится в follow-up; MVP ограничивается health + 5xx. | Could |
-
-## 5. Вне рамок (Out of scope)
-- Полноценная система метрик/APM (Prometheus, дашборды) — фича опирается на уже
-  существующие HTTP-эндпоинты, не вводит сбор метрик.
-- Универсальный доменный smoke для произвольной фичи (BR-11 — follow-up).
-- Полностью автоматический откат прод-орка без участия человека (противоречит
-  self-hosting safety; отдельная задача при наборе доверия, аналогично ORCH-54 для deploy).
-- Изменение момента вердикта `deploy_status` / контракта `check_deploy_status`
-  (наблюдение происходит ПОСЛЕ `done`, не заменяет deploy-gate).
-
-## 6. Связи
-- **ET-8** — прецедент «deploy SUCCESS, прод не работает». Обоснование задачи.
-- **ORCH-36** (`docs/architecture/adr/adr-0007-executable-self-deploy.md`) — Phase A/B/C
-  исполняемого самодеплоя; пост-деплой наблюдение продлевает ответственность ЗА `done`,
-  переиспользует sentinel-паттерн и detached-host-процесс для self-rollback.
-- **ORCH-53** (`src/reconciler.py`) — каноничный паттерн фонового daemon-потока
-  (watchdog), запускаемого в `main.lifespan`; образец для пост-деплой наблюдателя.
-- **ORCH-58** — `.deploy-prev-image` и хук-механика отката, на которые опирается реакция.
-- **ORCH-8** — деградация прода = сигнал для петли уроков (BR-10).
-- **ORCH-12** — фича может оформиться как пост-deploy стадия ИЛИ как watchdog (решение
-  архитектора, см. §7).
-
-## 7. Открытые архитектурные вопросы (для архитектора, НЕ решаются в анализе)
-1. **Где живёт наблюдение:** отдельная пост-deploy стадия конвейера vs фоновый
-   watchdog-daemon (по образцу `reconciler`) vs reserved-agent job (по образцу
-   `deploy-finalizer`). Анализ задаёт требования (BR-1, BR-7), выбор механизма — за архитектором.
-2. **Механизм self-rollback для self-hosting:** откат прод-орка требует detached
-   host-процесса (контейнер не может надёжно откатить себя, умирая) — переиспользовать
-   ли `self_deploy.initiate_deploy` / хук `--rollback`.
-3. Точные пороги и веса сигналов (BR-3) — анализ предлагает дефолты (см. AC), архитектор
-   фиксирует реализацию.

docs/work-items/ORCH-021/02-trz.md

@@ -1,165 +0,0 @@
-# ТЗ — ORCH-021: Post-deploy мониторинг прода + авто-rollback
-
-Work Item: ORCH-021
-Стадия: analysis → (architecture)
-
-> Документ описывает ТРЕБОВАНИЯ к изменениям и НАЗЫВАЕТ задействованные модули.
-> Выбор механизма (стадия vs watchdog vs reserved-agent) и точная реализация —
-> зона архитектора (см. BRD §7). Здесь фиксируется, ЧТО должно измениться и КАКИЕ
-> контракты НЕЛЬЗЯ ломать.
-
-## 1. Контекст в коде (как есть сейчас)
-
-- Конвейер заканчивается в `src/stages.py`: `deploy → done`, gate `check_deploy_status`.
-  Терминальный переход `deploy → done` исполняется в `src/stage_engine.py::advance_stage`
-  (блок «Terminal sync», `set_issue_done`, release merge-lease). После этого ничего
-  не наблюдает за продом.
-- `scripts/orchestrator-deploy-hook.sh` уже умеет:
-  - `health_check(max_attempts, sleep, label)` — опрос `http://localhost:$TARGET_PORT/health`
-    с проверкой `"status":"ok"`;
-  - `do_rollback()` — retag `PREV_IMAGE_FILE` → `TARGET_IMAGE` + рестарт + пост-rollback
-    health-check; коды возврата 0 (ок) / 1 (нет prev-образа) / 2 (rollback тоже упал);
-  - режим `--rollback` (ручной откат);
-  - при обычном деплое сохраняет `PREV_IMG` в `PREV_IMAGE_FILE`
-    (`.deploy-prev-image-prod` для прода, см. `settings.deploy_prod_prev_image_file`).
-- Self-deploy прода идёт через detached host-процесс: `src/self_deploy.py`
-  (`build_deploy_command`, `initiate_deploy`, sentinel-маркеры под
-  `.deploy-state-<repo>/<wi>/`, `read_result`, `map_exit_code_to_status`).
-- Фоновый daemon-паттерн: `src/reconciler.py` (`threading.Thread(daemon=True)` +
-  `threading.Event`, старт/стоп в `src/main.py::lifespan` после `worker.start()` /
-  перед `worker.stop()`, `status()` в `GET /queue`).
-- Reserved-agent (детерминированный no-LLM job) паттерн: `deploy-finalizer` —
-  перехват в `src/agents/launcher.py::launch_job` ДО `_spawn`, исполнение
-  `stage_engine.run_deploy_finalizer`, отложенная постановка через
-  `enqueue_job(..., available_at_delay_s=...)`.
-- Условность self-hosting: `src/qg/checks.py::is_self_hosting_repo`,
-  `src/self_deploy.py::self_deploy_applies` (флаг + CSV-репо; пусто → только `orchestrator`).
-- Наблюдаемые эндпоинты прода (`src/main.py`): `GET /health`, `GET /status`, `GET /queue`.
-- API БД: `src/db.py::enqueue_job` (с `available_at_delay_s`), `get_db`,
-  `update_task_stage`, `get_active_tasks_for_reconcile`.
-
-## 2. Требуемые изменения
-
-### 2.1. Новый leaf-модуль чистой логики наблюдения — `src/post_deploy.py` (новый)
-Контракт **never-raise** (по образцу `self_deploy.py` / `staging_verdict.py`).
-Чистые, юнит-тестируемые функции:
-- **Опрос сигналов:** функция, опрашивающая `/health` и ключевые эндпоинты
-  (`/status`, `/queue`) прод-инстанса (base-url из config), возвращающая структуру
-  с результатами (код ответа, ok-флаг, доля 5xx). Сеть/таймаут → консервативный
-  результат, не исключение.
-- **Классификация деградации** (чистая, без сети): на вход — серия результатов
-  опросов; на выход — вердикт `HEALTHY | DEGRADED` по порогам (BR-3):
-  `≥ post_deploy_fail_threshold` последовательных провалов health ИЛИ доля 5xx
-  выше `post_deploy_5xx_threshold` на окне. Эта функция — основной предмет
-  юнит-тестов (детерминированная, как `compute_staging_verdict` в ORCH-061).
-- **Решение о реакции** (чистая): по `(repo, вердикт, политика)` → одно из
-  `NONE | ROLLBACK | ALERT_ONLY`, с учётом self-hosting (BR-5).
-- **Запись артефакта** результата наблюдения (см. §2.5), best-effort.
-- Условность: хелпер `post_deploy_applies(repo)` (флаг + CSV-репо, пусто →
-  только self-hosting), по образцу `self_deploy_applies` / `_merge_gate_applies`.
-
-### 2.2. Оркестрация наблюдения (механизм — выбор архитектора)
-Требования к механизму (независимо от выбора стадия/watchdog/reserved-agent):
-- запускается ПОСЛЕ перехода `deploy → done` для применимого репозитория (BR-1);
-- наблюдает окно `post_deploy_window_s` с интервалом `post_deploy_interval_s`;
-- **restart-safe и идемпотентен** (BR-7): состояние наблюдения — в sentinel-файлах
-  (по образцу `.deploy-state-<repo>/<wi>/`, напр. маркеры `monitor-started` /
-  `monitor-done`) ИЛИ через отложенные `enqueue_job(available_at_delay_s=...)`;
-  повторный старт не задваивает наблюдение и не теряет его при рестарте;
-- по итогу вызывает «Решение о реакции» из `src/post_deploy.py` и исполняет реакцию (§2.3).
-
-Кандидатные точки интеграции (на выбор архитектора, см. BRD §7):
-- хук в `stage_engine.advance_stage` в блоке `next_stage == "done"` — арм наблюдения;
-- reserved-agent `post-deploy-monitor` (расширение `launcher.launch_job` ДО `_spawn`,
-  как `deploy-finalizer`), с само-перепостановкой через `available_at_delay_s`;
-- отдельный daemon-поток `PostDeployWatcher` (как `Reconciler`), старт/стоп в `main.lifespan`.
-
-### 2.3. Реакция на деградацию
-- **Не-self репозитории / политика auto:** вызвать существующий хук в режиме отката
-  (`scripts/orchestrator-deploy-hook.sh --rollback` с прод-параметрами окружения,
-  как в `self_deploy.build_deploy_command`, но action=`--rollback`). Маппинг
-  exit-code хука (0/1/2) в исход переиспользует логику `self_deploy.map_exit_code_to_status`
-  по смыслу (0 → откат успешен; 1/2 → откат не выполнен/провалился → громкий алерт).
-- **Self-hosting (`orchestrator`) по умолчанию (BR-5):** НЕ откатывать автоматически.
-  Сформировать громкий алерт (Telegram + Plane-коммент) и запросить ручной approve
-  отката (по образцу deploy Phase A — статус Plane / Telegram CTA). Откат самого
-  прод-орка, если выполняется, — только через detached host-процесс (нельзя надёжно
-  откатить контейнер, который при этом умирает; переиспользовать механику
-  `self_deploy.initiate_deploy`).
-- Команда отката для self НЕ должна ронять прод-контейнер в рамках обычного тика
-  наблюдения (CLAUDE.md: не ронять/не рестартить прод-контейнер вне явного действия).
-
-### 2.4. Конфигурация — `src/config.py` (расширение `Settings`)
-Добавить (env-префикс `ORCH_`, дефолты безопасные):
-- `post_deploy_monitor_enabled: bool = True` — глобальный kill-switch (BR-8).
-- `post_deploy_repos: str = ""` — CSV применимых репо; пусто → только self-hosting
-  (по образцу `self_deploy_repos` / `merge_gate_repos` / `image_freshness_repos`).
-- `post_deploy_window_s: int = 900` — длина окна наблюдения (дефолт ~15 мин, BR-1).
-- `post_deploy_interval_s: int = 30` — интервал между опросами.
-- `post_deploy_fail_threshold: int = 3` — N последовательных провалов health → DEGRADED.
-- `post_deploy_5xx_threshold: float = 0.5` — порог доли 5xx на окне → DEGRADED.
-- `post_deploy_auto_rollback: bool = False` — глобально разрешён ли авто-откат;
-  при `True` действует для не-self репо; для self всегда требует approve (BR-5).
-- `post_deploy_base_url: str = "http://localhost:8500"` — base-url наблюдаемого прода.
-- `post_deploy_target` параметры отката — переиспользовать существующие
-  `deploy_prod_*` (service/port/image/prev_image_file), новых дублей не вводить.
-
-### 2.5. Артефакт задачи — `16-post-deploy-log.md` (новый)
-В `docs/work-items/<plane-id>/`. YAML-frontmatter (машиночитаемо, канон гейтов;
-для будущей петли уроков BR-10):
-```
----
-post_deploy_status: HEALTHY | DEGRADED
-action_taken: NONE | ROLLBACK_OK | ROLLBACK_FAILED | ALERT_ONLY
-work_item: <plane-id>
-window_s: <int>
-checks_total: <int>
-checks_failed: <int>
----
-```
-Тело — человекочитаемая сводка опросов. Записывается best-effort (по образцу
-`self_deploy.write_deploy_log`); отсутствие файла не должно ничего ронять.
-> Артефакт `16-post-deploy-log.md` добавить в перечень артефактов в `CLAUDE.md`
-> и таблицу/описание в `docs/architecture/README.md` (golden-source, в том же PR).
-
-### 2.6. Наблюдаемость — `GET /queue` (`src/main.py`) (BR-9)
-Добавить блок `post_deploy` со снимком состояния (enabled, window, активные
-наблюдения, последний исход) — по образцу блока `reconcile` (метод `status()`).
-
-### 2.7. Изменения схемы БД
-**Не требуются.** Состояние наблюдения — sentinel-файлы (restart-safe, без миграции,
-по образцу ORCH-36) и/или отложенные jobs. Если архитектор выберет колонку в `tasks`
-для отметки наблюдения — потребуется миграция; предпочтительно избежать (как ORCH-36/53/58).
-
-### 2.8. Новые QG checks
-**Не требуются.** Наблюдение происходит ПОСЛЕ `done` и не является gate'ом стадии;
-реестр `QG_CHECKS` и `STAGE_TRANSITIONS` не меняются (если архитектор НЕ выберет
-вариант «отдельная пост-deploy стадия» — тогда потребуется новая стадия+gate, что
-надо явно отразить в ADR; по умолчанию предпочтителен вариант без изменения реестров).
-
-## 3. Инварианты (НЕ ломать)
-- `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, контракт `check_deploy_status` /
-  `_parse_deploy_status`, момент вердикта `deploy_status`, БАГ-8 откат, terminal-sync
-  `deploy → done`, merge-gate, exit-code-контракт хука (0/1/2) — без изменений.
-- Контракт хука: дефолты STAGING-безопасны; прод-параметры приходят только через env.
-- Условность как ORCH-35/36/43/58: реально для `orchestrator`/listed-repos, прочие — no-op.
-- Never-raise: ошибка в наблюдении не роняет worker / lifespan / конвейер других проектов.
-- Self-hosting: тик наблюдения НИКОГДА не рестартит прод-контейнер сам по себе (BR-5).
-
-## 4. Задействованные модули (сводка)
-| Модуль | Изменение |
-|--------|-----------|
-| `src/post_deploy.py` | **новый** — чистая логика опроса/классификации/решения/артефакта, never-raise |
-| `src/config.py` | +параметры `post_deploy_*` (kill-switch, окно, пороги, политика) |
-| `src/stage_engine.py` и/или `src/agents/launcher.py` и/или `src/main.py` | арм/исполнение наблюдения (точка — за архитектором) |
-| `scripts/orchestrator-deploy-hook.sh` | переиспользуется (`--rollback`); правки — только если откат self требует отдельной ветки (за архитектором) |
-| `src/main.py` | блок `post_deploy` в `GET /queue` (BR-9); возможный старт daemon в `lifespan` |
-| `docs/work-items/<id>/16-post-deploy-log.md` | **новый** артефакт |
-| `CLAUDE.md`, `docs/architecture/README.md`, `CHANGELOG.md` | обновить (golden-source, в том же PR) |
-| ADR | `docs/work-items/ORCH-021/06-adr/ADR-001-*.md` (+ возможный сквозной `adr/adr-00NN`) |
-
-## 5. Артефакты по pipeline, которые должны появиться/обновиться
-- `16-post-deploy-log.md` (новый, машиночитаемый frontmatter).
-- Обновлённые `CLAUDE.md` (перечень артефактов), `docs/architecture/README.md`
-  (описание пост-деплой наблюдения), `CHANGELOG.md`.
-- ADR work-item (`06-adr/`) с зафиксированным выбором механизма и порогов.

docs/work-items/ORCH-021/03-acceptance-criteria.md

@@ -1,106 +0,0 @@
-# Критерии приёмки — ORCH-021
-
-Work Item: ORCH-021
-Формат: каждый критерий имеет чёткое условие PASS/FAIL и проверяется тестом
-из `04-test-plan.yaml`.
-
-## Наблюдение и сигналы
-
-### AC-1 — наблюдение армится после deploy→done
-- **PASS:** для применимого репозитория после терминального перехода `deploy → done`
-  пост-деплой наблюдение инициируется (создаётся sentinel/отложенный job/запись в watcher).
-- **FAIL:** переход `deploy → done` не приводит к старту наблюдения.
-
-### AC-2 — наблюдение НЕ армится для неприменимых репо
-- **PASS:** для репозитория вне области (не self-hosting и не в `post_deploy_repos`)
-  `post_deploy_applies(repo)` → False; наблюдение не стартует; конвейер не меняется.
-- **FAIL:** наблюдение стартует для неприменимого репо.
-
-### AC-3 — классификация HEALTHY
-- **PASS:** серия опросов без провалов (или провалов меньше `post_deploy_fail_threshold`
-  и доля 5xx ниже `post_deploy_5xx_threshold`) → вердикт `HEALTHY`.
-- **FAIL:** при здоровых сигналах возвращается `DEGRADED`.
-
-### AC-4 — классификация DEGRADED по порогу провалов health
-- **PASS:** `≥ post_deploy_fail_threshold` ПОСЛЕДОВАТЕЛЬНЫХ провалов health → `DEGRADED`.
-- **FAIL:** порог достигнут, но вердикт не `DEGRADED`.
-
-### AC-5 — классификация DEGRADED по доле 5xx
-- **PASS:** доля 5xx на окне выше `post_deploy_5xx_threshold` → `DEGRADED`,
-  даже если `/health` отвечает 200.
-- **FAIL:** превышение порога 5xx не даёт `DEGRADED`.
-
-### AC-6 — устойчивость к разовому глюку (нет ложного срабатывания)
-- **PASS:** одиночный провал (1 < `post_deploy_fail_threshold`) с последующим
-  восстановлением → итог `HEALTHY`, реакции нет.
-- **FAIL:** одиночный разовый провал приводит к `DEGRADED`/откату.
-
-## Реакция
-
-### AC-7 — авто-rollback для не-self репо при политике auto
-- **PASS:** при `post_deploy_auto_rollback=True` и НЕ-self репо вердикт `DEGRADED`
-  приводит к вызову отката (хук `--rollback` с прод-параметрами); `action_taken`
-  фиксируется как `ROLLBACK_OK`/`ROLLBACK_FAILED` по exit-code.
-- **FAIL:** откат не вызывается, либо вызывается с staging-дефолтами, либо роняет прод напрямую.
-
-### AC-8 — self-hosting НЕ откатывается автоматически (safety)
-- **PASS:** для `orchestrator` вердикт `DEGRADED` НЕ приводит к автоматическому
-  откату/рестарту прод-контейнера в тике наблюдения; вместо этого формируется
-  громкий алерт + запрос ручного approve (`action_taken: ALERT_ONLY`).
-- **FAIL:** тик наблюдения автоматически откатывает/рестартит прод-орк.
-
-### AC-9 — откат-провал эскалируется
-- **PASS:** если откат вызван и вернул код 1/2 (нет prev-образа / откат тоже упал) →
-  `action_taken: ROLLBACK_FAILED` + громкий Telegram-алерт о необходимости ручного вмешательства.
-- **FAIL:** провал отката проглатывается тихо.
-
-## Конфигурация и совместимость
-
-### AC-10 — kill-switch выключает фичу
-- **PASS:** `post_deploy_monitor_enabled=False` → наблюдение не армится ни для кого;
-  поведение конвейера 1:1 как до ORCH-021.
-- **FAIL:** при выключенном флаге наблюдение всё равно работает.
-
-### AC-11 — пороги/окно конфигурируемы через env
-- **PASS:** `post_deploy_window_s`, `post_deploy_interval_s`, `post_deploy_fail_threshold`,
-  `post_deploy_5xx_threshold` читаются из `Settings` (env `ORCH_*`) и влияют на поведение.
-- **FAIL:** значения захардкожены.
-
-### AC-12 — реестры и схема БД не изменены
-- **PASS:** `STAGE_TRANSITIONS`, `QG_CHECKS`, контракт `check_deploy_status` и схема
-  таблиц БД не изменены (если архитектор не вводит явно новую стадию — тогда это
-  отражено в ADR и тестах). Существующие тесты deploy/staging/merge-gate зелёные.
-- **FAIL:** молча сломан какой-либо существующий контракт/тест.
-
-## Наблюдаемость, артефакт, идемпотентность
-
-### AC-13 — артефакт 16-post-deploy-log.md с машиночитаемым frontmatter
-- **PASS:** по итогу наблюдения пишется `16-post-deploy-log.md` с валидным YAML-frontmatter
-  (`post_deploy_status`, `action_taken`); запись best-effort (её отсутствие ничего не роняет).
-- **FAIL:** артефакт не пишется или frontmatter невалиден/непарсится.
-
-### AC-14 — наблюдаемость в /queue
-- **PASS:** `GET /queue` содержит блок `post_deploy` со снимком состояния (enabled,
-  window, активные/последний исход).
-- **FAIL:** состояние наблюдения нигде не видно.
-
-### AC-15 — идемпотентность / restart-safe
-- **PASS:** повторный арм для той же задачи (двойной webhook / рестарт оркестратора)
-  не создаёт второе параллельное наблюдение и не теряет уже идущее.
-- **FAIL:** дублируется наблюдение или теряется при рестарте.
-
-### AC-16 — never-raise
-- **PASS:** любая ошибка опроса/сети/файлов/классификации логируется и НЕ роняет
-  worker / lifespan / конвейер других проектов.
-- **FAIL:** исключение из наблюдения всплывает и ломает обслуживание других проектов.
-
-### AC-17 — уведомления
-- **PASS:** ключевые события (наблюдение начато, DEGRADED, откат/алерт, чистое
-  завершение окна) уведомляются в Telegram и/или Plane-комментарием.
-- **FAIL:** деградация/откат происходят молча.
-
-### AC-18 — документация обновлена (golden-source)
-- **PASS:** в том же PR обновлены `CLAUDE.md` (артефакт `16-post-deploy-log.md`),
-  `docs/architecture/README.md` (описание пост-деплой наблюдения), `CHANGELOG.md`,
-  и заведён ADR work-item.
-- **FAIL:** функционал есть, документация не обновлена (reviewer → REQUEST_CHANGES).

docs/work-items/ORCH-021/04-test-plan.yaml

@@ -1,163 +0,0 @@
-work_item: ORCH-021
-description: >
-  Тест-план пост-деплой мониторинга прода + авто-rollback. Упор на детерминированную
-  чистую логику классификации/решения (юнит, без сети/LLM) и на интеграцию
-  армирования наблюдения после deploy->done. Сетевые опросы и хук-вызовы мокируются.
-  Имена модулей/функций — целевые (src/post_deploy.py); архитектор уточняет точную
-  сигнатуру, тесты адаптируются под ADR.
-
-tests:
-  # --- Классификация деградации (чистая логика, ядро) ---
-  - id: TC-01
-    type: unit
-    description: "HEALTHY: серия опросов без провалов (< порога) -> вердикт HEALTHY"
-    module: tests/test_post_deploy.py
-    covers: [AC-3]
-    expected: PASS
-
-  - id: TC-02
-    type: unit
-    description: "DEGRADED: N последовательных провалов health (== fail_threshold) -> DEGRADED"
-    module: tests/test_post_deploy.py
-    covers: [AC-4]
-    expected: PASS
-
-  - id: TC-03
-    type: unit
-    description: "DEGRADED по 5xx: доля 5xx выше порога при health=200 -> DEGRADED"
-    module: tests/test_post_deploy.py
-    covers: [AC-5]
-    expected: PASS
-
-  - id: TC-04
-    type: unit
-    description: "Нет ложного срабатывания: одиночный провал (1 < threshold) + восстановление -> HEALTHY"
-    module: tests/test_post_deploy.py
-    covers: [AC-6]
-    expected: PASS
-
-  - id: TC-05
-    type: unit
-    description: "Пороги читаются из Settings (env ORCH_*), изменение порога меняет вердикт на тех же данных"
-    module: tests/test_post_deploy.py
-    covers: [AC-11]
-    expected: PASS
-
-  # --- Решение о реакции (чистая логика + self-hosting safety) ---
-  - id: TC-06
-    type: unit
-    description: "Решение: не-self репо + auto_rollback=True + DEGRADED -> ROLLBACK"
-    module: tests/test_post_deploy.py
-    covers: [AC-7]
-    expected: PASS
-
-  - id: TC-07
-    type: unit
-    description: "Решение self-hosting: orchestrator + DEGRADED -> ALERT_ONLY (НИКОГДА не авто-rollback)"
-    module: tests/test_post_deploy.py
-    covers: [AC-8]
-    expected: PASS
-
-  - id: TC-08
-    type: unit
-    description: "Решение: HEALTHY -> NONE (реакции нет) для любого репо"
-    module: tests/test_post_deploy.py
-    covers: [AC-3]
-    expected: PASS
-
-  # --- Условность / kill-switch ---
-  - id: TC-09
-    type: unit
-    description: "post_deploy_applies: пусто в repos -> True только для orchestrator, False для enduro-trails"
-    module: tests/test_post_deploy.py
-    covers: [AC-2]
-    expected: PASS
-
-  - id: TC-10
-    type: unit
-    description: "kill-switch: post_deploy_monitor_enabled=False -> applies()=False для всех; наблюдение не армится"
-    module: tests/test_post_deploy.py
-    covers: [AC-10]
-    expected: PASS
-
-  # --- Маппинг exit-code отката -> исход ---
-  - id: TC-11
-    type: unit
-    description: "Откат exit 0 -> action_taken=ROLLBACK_OK"
-    module: tests/test_post_deploy.py
-    covers: [AC-7]
-    expected: PASS
-
-  - id: TC-12
-    type: unit
-    description: "Откат exit 1/2 (нет prev-образа / откат упал) -> ROLLBACK_FAILED + эскалация-алерт"
-    module: tests/test_post_deploy.py
-    covers: [AC-9]
-    expected: PASS
-
-  # --- Артефакт ---
-  - id: TC-13
-    type: unit
-    description: "16-post-deploy-log.md пишется с валидным YAML-frontmatter (post_deploy_status/action_taken), парсится yaml.safe_load"
-    module: tests/test_post_deploy.py
-    covers: [AC-13]
-    expected: PASS
-
-  # --- never-raise ---
-  - id: TC-14
-    type: unit
-    description: "Опрос при сетевой ошибке/таймауте -> консервативный результат (провал-как-down), исключение НЕ всплывает"
-    module: tests/test_post_deploy.py
-    covers: [AC-16]
-    expected: PASS
-
-  - id: TC-15
-    type: unit
-    description: "Ошибка записи артефакта (нет каталога/IO) -> логируется, функция возвращает False, не raise"
-    module: tests/test_post_deploy.py
-    covers: [AC-16, AC-13]
-    expected: PASS
-
-  # --- Интеграция: армирование после deploy->done ---
-  - id: TC-16
-    type: integration
-    description: "advance_stage deploy->done для orchestrator армит наблюдение (sentinel/job создан); для enduro-trails — нет"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-1, AC-2]
-    expected: PASS
-
-  - id: TC-17
-    type: integration
-    description: "Идемпотентность: повторный арм той же задачи (двойной webhook) не создаёт второе наблюдение"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-15]
-    expected: PASS
-
-  - id: TC-18
-    type: integration
-    description: "Полный цикл DEGRADED -> для не-self вызывается откат (хук замокан), пишется лог, шлётся уведомление"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-7, AC-13, AC-17]
-    expected: PASS
-
-  - id: TC-19
-    type: integration
-    description: "Self-hosting DEGRADED: тик НЕ вызывает рестарт/откат прод-контейнера, формирует алерт+approve-запрос"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-8, AC-17]
-    expected: PASS
-
-  # --- Наблюдаемость и обратная совместимость ---
-  - id: TC-20
-    type: integration
-    description: "GET /queue содержит блок post_deploy со снимком состояния"
-    module: tests/test_post_deploy_integration.py
-    covers: [AC-14]
-    expected: PASS
-
-  - id: TC-21
-    type: integration
-    description: "Регресс: существующие тесты deploy/staging/merge-gate/reconciler зелёные; STAGE_TRANSITIONS и QG_CHECKS не изменены"
-    module: tests/test_stages.py
-    covers: [AC-12]
-    expected: PASS

docs/work-items/ORCH-021/06-adr/ADR-001-post-deploy-monitor.md

@@ -1,212 +0,0 @@
-# ADR-001 (ORCH-021): Post-deploy мониторинг прода + реакция на деградацию
-
-## Статус
-Proposed (design) — реализация в ветке `feature/ORCH-021-post-deploy-rollback`.
-Сквозной индексный ADR: `docs/architecture/adr/adr-0010-post-deploy-monitor.md`.
-Помечено `arch:major-change` (новая под-компонента + новый reserved-agent job-kind).
-
-## Контекст
-Конвейер заканчивается на `deploy → done` (`check_deploy_status` видит
-`deploy_status: SUCCESS` → terminal-sync, Plane → Done, release merge-lease). После
-этого оркестратор **забывает про прод**. «Успех» сегодня = прохождение health-check
-в момент рестарта (10×6с в `scripts/orchestrator-deploy-hook.sh`) — узкое окно ~60с.
-
-Класс инцидентов «зелёный деплой, красный прод» (прецедент **ET-8**): деградация
-проявляется через минуты под боевым трафиком (прогрев кэшей, фоновые миграции,
-утечки, рост 5xx), health отвечает `200 ok`, но фича сломана. Для self-hosting это
-критично: сломанный прод-орк (8500) обслуживает ВСЕ проекты из общего инстанса.
-
-BRD/ТЗ задают требования (BR-1…BR-11, AC-1…AC-18) и оставляют архитектору **три
-открытых вопроса** (BRD §7): (1) где живёт наблюдение — стадия / watchdog-daemon /
-reserved-agent job; (2) механизм self-rollback; (3) пороги/веса сигналов.
-
-Существующие переиспользуемые механики:
-- **deploy-finalizer** (ORCH-36, `stage_engine.run_deploy_finalizer` + перехват в
-  `launcher.launch_job` ДО `_spawn`) — детерминированный no-LLM reserved-agent job,
-  само-перепостановка через `enqueue_job(available_at_delay_s=...)`, defer-budget,
-  restart-safe (jobs-очередь + sentinel-файлы `.deploy-state-<repo>/<wi>/`).
-- **self_deploy.py** — sentinel-state хелперы (`write_marker`/`has_marker`/
-  `read_result`/`clear_state`), detached host-процесс (`build_deploy_command`/
-  `initiate_deploy`: ssh + setsid), `map_exit_code_to_status`, `self_deploy_applies`.
-- **reconciler.py** — daemon-поток + `status()` в `GET /queue`.
-- **хук `--rollback`** (`do_rollback`): retag `PREV_IMAGE_FILE` → `TARGET_IMAGE` +
-  рестарт + health, коды 0 / 1 (нет prev-образа) / 2 (rollback тоже упал).
-- **Условность** ORCH-35/36/43/58: `is_self_hosting_repo`, флаг + CSV-репо.
-
-## Решение
-
-### 1. Механизм наблюдения — reserved-agent job `post-deploy-monitor` (Вариант B)
-Наблюдение реализуется как **детерминированный no-LLM reserved-agent job**, точная
-калька **deploy-finalizer**. Один «тик» наблюдения = один job: он делает ОДИН опрос
-сигналов, обновляет персистентные счётчики в sentinel-файлах, классифицирует и либо
-**перепостанавливает себя** с задержкой `post_deploy_interval_s` (окно не истекло и
-ещё не DEGRADED), либо завершает наблюдение (DEGRADED → реакция; либо окно истекло →
-HEALTHY). Это «watchdog поверх очереди»: между тиками job не выполняется (он
-запланирован в будущем через `available_at_delay_s`), worker свободен для других
-проектов — ровно как defer у finalizer.
-
-**Почему НЕ daemon-watchdog (Вариант A, как reconciler):** daemon тикает глобально, а
-не per-task; серию опросов (последовательные провалы health, доля 5xx на окне) пришлось
-бы держать в памяти → теряется/двоится при рестарте (а сам деплой орка = рестарт). Чтобы
-сделать daemon restart-safe, всё равно нужны персистентные per-task счётчики в sentinel —
-тогда reserved-agent проще и уже имеет проверенную restart-safe машинерию (jobs-очередь
-+ `requeue_running_jobs` + sentinels). Per-task жизненный цикл естественно ложится на
-job-цепочку, а не на глобальный sweep.
-
-**Почему НЕ отдельная пост-deploy стадия (Вариант C):** меняет `STAGE_TRANSITIONS` +
-реестр `QG_CHECKS` (нарушает AC-12, ТЗ §2.8 — явно непредпочтительно); ломает семантику
-`deploy → done` как терминального перехода (Plane уже Done). Наблюдение происходит
-**ПОСЛЕ** `done` — «продление ответственности ЗА done», а не новая стадия конвейера.
-
-### 2. Арм наблюдения — хук в terminal-блоке `advance_stage`
-В `stage_engine.advance_stage`, в существующем блоке `next_stage == "done"` (после
-`set_issue_done` и `release_merge_lease`), добавляется арм:
-```
-if next_stage == "done" and post_deploy.post_deploy_applies(repo):
-    post_deploy.arm_monitor(repo, work_item_id, branch, task_id)
-```
-`arm_monitor` (never-raise): если sentinel `armed` отсутствует → создаёт state-dir,
-пишет `armed` (идемпотентность, по образцу `INITIATED`), инициализирует `series`-файл,
-ставит первый `post-deploy-monitor` job через `enqueue_job(available_at_delay_s=
-post_deploy_interval_s)`. Если `armed` уже есть → no-op (двойной webhook / reconciler
-F-1 / finalizer Phase C могут довести `done` повторно — AC-15). Выключенный
-kill-switch / неприменимый репо → `post_deploy_applies` False → арма нет (AC-2/AC-10).
-
-### 3. Чистая логика — новый leaf-модуль `src/post_deploy.py` (never-raise)
-По образцу `self_deploy.py` / `staging_verdict.py`. Импортирует только config (+lazy
-`qg.checks.is_self_hosting_repo`), НЕ импортирует `stage_engine`/`launcher`. Функции:
-- **`post_deploy_applies(repo) -> bool`** — флаг `post_deploy_monitor_enabled` +
-  CSV `post_deploy_repos` (пусто → только self-hosting). Калька `self_deploy_applies`.
-- **`probe_signals(base_url) -> ProbeResult`** — один опрос: `GET /health` (HTTP 200 +
-  `{"status":"ok"}`) и ключевые эндпоинты `/status`, `/queue` (учёт доли 5xx).
-  Сеть/таймаут → консервативный «провал»-результат, не исключение.
-- **`classify(series, fail_threshold, 5xx_threshold) -> "HEALTHY"|"DEGRADED"`** —
-  чистая, без сети, **главный предмет юнит-тестов** (детерминированная, как
-  `compute_staging_verdict`): `DEGRADED` если `≥ fail_threshold` ПОСЛЕДОВАТЕЛЬНЫХ
-  провалов health (AC-4) ИЛИ доля 5xx на окне `> 5xx_threshold` (AC-5). Иначе
-  `HEALTHY` (одиночный провал < порога с восстановлением → HEALTHY, AC-3/AC-6).
-- **`decide_action(repo, verdict) -> "NONE"|"ROLLBACK"|"ALERT_ONLY"`** — чистая:
-  `HEALTHY → NONE`; `DEGRADED` + self-hosting → `ALERT_ONLY` (BR-5/AC-8, ВСЕГДА);
-  `DEGRADED` + не-self + `post_deploy_auto_rollback=True` → `ROLLBACK`; иначе →
-  `ALERT_ONLY`.
-- **Sentinel-state хелперы** (state-dir `.post-deploy-state-<repo>/<wi>/`, по образцу
-  `self_deploy._state_dir`): `armed`, `series` (JSON-список результатов опросов,
-  append каждый тик — restart-safe счётчики), `done`. `read_series`/`append_probe`/
-  `mark_done`/`has_marker` — never-raise.
-- **`write_post_deploy_log(...)`** — артефакт `16-post-deploy-log.md`, best-effort
-  (по образцу `self_deploy.write_deploy_log`).
-- **`build_rollback_command(repo)`** — argv хука `--rollback` с прод-env (как
-  `build_deploy_command`, но action=`--rollback`; переиспользует `deploy_prod_*`).
-
-### 4. Исполнение тика — `stage_engine.run_post_deploy_monitor(job)` + перехват в launcher
-По образцу `run_deploy_finalizer` / `_run_deploy_finalizer_job`:
-`launcher.launch_job` перехватывает `agent == "post-deploy-monitor"` ДО `_spawn` →
-`stage_engine.run_post_deploy_monitor(job)`. Алгоритм тика (never-raise):
-1. `mark_done` уже стоит → no-op (AC-15, защита от дубля).
-2. `probe = post_deploy.probe_signals(base_url)`; `append_probe(series, probe)`.
-3. `verdict = classify(series, ...)`.
-4. **Если `HEALTHY` и окно не истекло** (число тиков < `window_s/interval_s`) →
-   перепостановка `post-deploy-monitor` через `available_at_delay_s=interval_s`
-   (как finalizer defer; счётчик тиков — из jobs-очереди/`series`, restart-safe).
-5. **Если `HEALTHY` и окно истекло** → исход `NONE`, `write_post_deploy_log(HEALTHY,
-   NONE)`, `mark_done`, нотификация «окно завершилось чисто» (BR-6/AC-17).
-6. **Если `DEGRADED`** → `action = decide_action(...)`; исполнить реакцию (§5),
-   `write_post_deploy_log`, `mark_done`, нотификации.
-
-`mark_done` + sentinel `armed` дают идемпотентность; jobs-очередь +
-`requeue_running_jobs` + `series` дают restart-safe (AC-15). Бюджет тиков bounded
-(`window_s/interval_s`) — анти-livelock, как `deploy_finalize_max_attempts`.
-
-### 5. Реакция на деградацию
-- **Self-hosting (`orchestrator`), всегда (BR-5/AC-8):** `ALERT_ONLY`. НЕ откатывать
-  и НЕ рестартить прод-контейнер в тике. Громкий Telegram + Plane-коммент с запросом
-  ручного approve отката (по образцу deploy Phase A CTA). `action_taken: ALERT_ONLY`.
-  Откат самого прод-орка (если оператор решит) — ТОЛЬКО через detached host-процесс
-  (контейнер не откатит себя, умирая); переиспользуется механика
-  `self_deploy.initiate_deploy`, но в MVP она вне тика наблюдения (ручной approve →
-  отдельный путь, как ORCH-54 для авто-deploy). Тик self НИКОГДА не запускает хук
-  `--rollback` (структурный инвариант).
-- **Не-self + `post_deploy_auto_rollback=True` (AC-7):** вызвать хук `--rollback` с
-  прод-env (`build_rollback_command`). Маппинг exit-code по смыслу
-  `map_exit_code_to_status`: `0 → ROLLBACK_OK`; `1/2 → ROLLBACK_FAILED` + громкий
-  Telegram о необходимости ручного вмешательства (AC-9). Целевой контейнер не есть
-  orchestrator → его рестарт безопасен для конвейера.
-- **Не-self + auto_rollback=False (дефолт):** `ALERT_ONLY`.
-
-### 6. Артефакт `16-post-deploy-log.md` (новый, машиночитаемый)
-YAML-frontmatter (канон гейтов; для петли уроков ORCH-8, BR-10):
-```
----
-post_deploy_status: HEALTHY | DEGRADED
-action_taken: NONE | ROLLBACK_OK | ROLLBACK_FAILED | ALERT_ONLY
-work_item: <plane-id>
-window_s: <int>
-checks_total: <int>
-checks_failed: <int>
----
-```
-Тело — человекочитаемая сводка опросов. Best-effort (отсутствие файла ничего не роняет,
-AC-13). **Не** читается ни одним гейтом — наблюдение происходит после `done`.
-
-### 7. Конфигурация — `src/config.py` (env-префикс `ORCH_`)
-- `post_deploy_monitor_enabled: bool = True` — глобальный kill-switch (BR-8/AC-10).
-- `post_deploy_repos: str = ""` — CSV применимых репо; пусто → только self-hosting.
-- `post_deploy_window_s: int = 900` — окно наблюдения (~15 мин, BR-1).
-- `post_deploy_interval_s: int = 30` — интервал опросов.
-- `post_deploy_fail_threshold: int = 3` — N послед. провалов health → DEGRADED.
-- `post_deploy_5xx_threshold: float = 0.5` — порог доли 5xx → DEGRADED.
-- `post_deploy_auto_rollback: bool = False` — глоб. разрешение авто-отката (для self
-  всегда требует approve, BR-5).
-- `post_deploy_base_url: str = "http://localhost:8500"` — наблюдаемый прод.
-- Параметры отката — переиспользовать существующие `deploy_prod_*` (новых дублей нет).
-
-### 8. Наблюдаемость — блок `post_deploy` в `GET /queue` (BR-9/AC-14)
-По образцу блока `reconcile` (метод `status()`): `enabled`, `window_s`, `interval_s`,
-активные наблюдения (по sentinel `armed` без `done`), последний исход
-(`post_deploy_status`/`action_taken`). Best-effort, never-raise.
-
-### Инварианты (НЕ меняются)
-`STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_deploy_status`/`_parse_deploy_status`,
-момент вердикта `deploy_status`, БАГ-8 откат, terminal-sync `deploy → done`, merge-gate,
-exit-code-контракт хука (0/1/2), схема БД. Условность как ORCH-35/36/43/58. Never-raise
-во всём наблюдении (AC-16). Тик self НИКОГДА не рестартит прод-контейнер (AC-8).
-
-## Альтернативы
-- **Daemon-watchdog (как reconciler)** — отклонён: per-task серия в памяти не
-  restart-safe; restart-safe-вариант требует тех же sentinel-счётчиков → reserved-agent
-  проще и уже проверен.
-- **Отдельная пост-deploy стадия + QG** — отклонён: меняет реестры (AC-12), ломает
-  семантику терминального `done`; наблюдение принципиально ПОСЛЕ `done`.
-- **Авто-rollback прод-орка из тика** — отклонён (BR-5): контейнер не откатит себя
-  надёжно; групповой риск для всех проектов. Self → только ALERT + ручной approve.
-- **Новая колонка в `tasks` для отметки наблюдения** — отклонён: миграция на проде
-  (риск, как в adr-0007); sentinel-файлы достаточны и restart-safe (как ORCH-36/53/58).
-- **Прометей/APM** — вне рамок (BR out-of-scope): опираемся на существующие
-  HTTP-эндпоинты, не вводим сбор метрик.
-
-## Последствия
-- Класс «зелёный деплой, красный прод» закрыт измеримыми порогами; деградация —
-  машиночитаемый сигнал для петли уроков (ORCH-8).
-- Плюс: максимальное переиспользование проверенной finalizer/sentinel/hook-машинерии;
-  нулевая миграция БД; реестры не тронуты; дефолты безопасны (auto-rollback off, self
-  только alert).
-- Минус/ограничение: монитор self бежит ВНУТРИ наблюдаемого прод-контейнера — если
-  контейнер полностью wedged, worker может не выполнить тик и алерта не будет (gap).
-  Это known limitation MVP; внешний независимый watchdog — follow-up (вне рамок).
-- Минус: каждый тик на короткое время занимает single-worker (`max_concurrency=1`);
-  митигируется коротким опросом (~секунды) и `interval_s` между тиками (defer не держит
-  worker), как finalizer.
-- Доменный smoke результата фичи (BR-11) — follow-up; MVP = health + 5xx.
-
-## Связи
-- **ET-8** — обоснование (deploy SUCCESS, прод не работает).
-- **adr-0007-executable-self-deploy** (ORCH-36) — sentinel-паттерн, detached
-  host-процесс, `map_exit_code_to_status`, deploy-finalizer reserved-agent (образец).
-- **adr-0007-reconciler** (ORCH-53) — daemon/`status()` образец (рассмотрен и отклонён
-  как основной механизм; `status()`-снимок в `/queue` переиспользуется).
-- **adr-0006-merge-gate** / **adr-0003-staging-gate** — образец условности и флагов
-  раската (`*_enabled` + `*_repos`).
-- **adr-0008-staging-image-provenance** — `.deploy-prev-image` / хук-механика отката.
-- **ORCH-8** — петля уроков (потребитель `16-post-deploy-log.md`).
-- **ORCH-54** — будущий полный авто (включая авто-approve отката self), по аналогии
-  с авто-deploy.

docs/work-items/ORCH-021/07-infra-requirements.md

@@ -1,56 +0,0 @@
-# 07 — Инфраструктурные требования (ORCH-021)
-
-> Топология НЕ меняется. Фича опирается на уже существующие HTTP-эндпоинты прода и
-> существующий деплой-хук. Этот документ фиксирует, какие инфра-предпосылки должны
-> выполняться, чтобы наблюдение и реакция работали.
-
-## 1. Топология — без изменений
-- Прод `orchestrator` (8500), staging `orchestrator-staging` (8501), один сервер
-  mva154 (см. `docs/operations/INFRA.md`). Новых контейнеров/портов/сервисов нет.
-- Наблюдение — внутрипроцессный reserved-agent job в worker'е прод-контейнера.
-  Daemon-потоков не добавляется (в отличие от reconciler).
-
-## 2. Наблюдаемый прод — HTTP-эндпоинты
-- Монитор опрашивает `post_deploy_base_url` (дефолт `http://localhost:8500`):
-  - `GET /health` → ожидается HTTP 200 + тело `{"status":"ok"}` (BR-2);
-  - `GET /status`, `GET /queue` → учёт доли HTTP 5xx (BR-2).
-- Эндпоинты уже существуют (`src/main.py`). Новых эндпоинтов фича НЕ вводит
-  (out-of-scope APM/метрики).
-- Для self-hosting `base_url=localhost:8500` означает: монитор бьёт по собственному
-  контейнеру. Это допустимо для MVP (см. риск R-1 в `10-tech-risks.md`).
-
-## 3. Деплой-хук `--rollback` — предпосылки реакции
-- Реакция ROLLBACK (только не-self + `post_deploy_auto_rollback=True`) вызывает
-  `scripts/orchestrator-deploy-hook.sh --rollback` с прод-env (переиспользуются
-  `deploy_prod_*`: `TARGET_SERVICE`/`TARGET_PORT`/`TARGET_IMAGE`/`COMPOSE_PROFILE`/
-  `PREV_IMAGE_FILE`), по образцу `self_deploy.build_deploy_command`.
-- Предпосылка: при штатном деплое хук сохраняет предыдущий образ в
-  `PREV_IMAGE_FILE` (`.deploy-prev-image-prod`). Без снимка → хук вернёт exit 1
-  («нет prev-образа») → `ROLLBACK_FAILED` + алерт (AC-9). Контракт exit-кодов хука
-  (0/1/2) НЕ меняется.
-- **Self-hosting:** откат прод-орка хуком в тике ЗАПРЕЩЁН (контейнер не откатит себя,
-  умирая). Если оператор по алерту решит откатить — только detached host-процесс
-  (ssh + setsid, механика `self_deploy.initiate_deploy`), как у Phase B самодеплоя.
-  Предпосылки для detached-пути (ssh-доступ host, shared-mount state-dir) уже
-  выполнены для ORCH-36; в MVP detached-откат self вне тика наблюдения.
-
-## 4. Restart-safe состояние — shared mount
-- Состояние наблюдения — sentinel-файлы под `.post-deploy-state-<repo>/<wi>/`
-  (`armed`, `series`, `done`) на том же mount `settings.repos_dir`, что и
-  `.deploy-state-*` (ORCH-36). Миграции БД нет (см. `08-data-requirements.md`).
-- `requeue_running_jobs` (ORCH-1) восстанавливает claimed `post-deploy-monitor` job
-  после рестарта; `series` хранит счётчики опросов → наблюдение продолжается
-  с того же места (BR-7/AC-15).
-
-## 5. Конфигурация окружения (env `ORCH_*`)
-Новые ключи (дефолты безопасны, в `.env`/`.env.staging` по необходимости):
-`post_deploy_monitor_enabled` (kill-switch, дефолт true), `post_deploy_repos` (CSV,
-пусто → self-hosting), `post_deploy_window_s` (900), `post_deploy_interval_s` (30),
-`post_deploy_fail_threshold` (3), `post_deploy_5xx_threshold` (0.5),
-`post_deploy_auto_rollback` (false), `post_deploy_base_url` (localhost:8500).
-Параметры отката — существующие `deploy_prod_*`, новых дублей не вводить.
-
-## 6. Чего НЕ требуется
-- Новых контейнеров, портов, сетевых правил, секретов.
-- Prometheus / Grafana / APM (out-of-scope).
-- Изменений compose-топологии или деплой-пути не-self репо.

docs/work-items/ORCH-021/08-data-requirements.md

@@ -1,40 +0,0 @@
-# 08 — Требования к данным / схеме БД (ORCH-021)
-
-## Вывод: миграция БД НЕ требуется
-Состояние наблюдения хранится в **sentinel-файлах** (restart-safe, без миграции —
-по образцу ORCH-36/53/58), а не в таблицах. Реестры и схема не меняются (AC-12).
-
-## 1. Существующие таблицы — без изменений
-- `events`, `tasks`, `agent_runs`, `jobs` — структура не меняется.
-- В `tasks` НЕ вводится колонка статуса/окна наблюдения (намеренно — миграция на
-  проде = риск, как обосновано в adr-0007; альтернатива отклонена в ADR-001 §Альтернативы).
-
-## 2. Очередь `jobs` — переиспользование, без схемы
-- `post-deploy-monitor` — новый **job-kind** (значение в существующей колонке
-  `agent`/`task_content`), НЕ новая колонка. Ставится через существующий
-  `enqueue_job(..., available_at_delay_s=...)` (ORCH-1).
-- Счётчик тиков/деферов восстанавливается из jobs-очереди (как
-  `_deploy_finalize_defer_count` считает по `task_content LIKE`), restart-safe.
-
-## 3. Sentinel-состояние (файлы, не БД)
-State-dir `.post-deploy-state-<repo>/<work_item_id>/` на `settings.repos_dir`
-(по образцу `.deploy-state-*`):
-| Файл | Назначение |
-|------|------------|
-| `armed` | наблюдение заармлено (идемпотентность арма; калька `INITIATED`) |
-| `series` | JSON-список результатов опросов (счётчики health-fail / 5xx; restart-safe) |
-| `done` | наблюдение завершено (защита от повторной обработки) |
-
-Все обращения — never-raise (по образцу `self_deploy.has_marker`/`write_marker`/
-`read_result`). Отсутствие/битость файла → консервативный фоллбэк, не исключение.
-
-## 4. Артефакт `16-post-deploy-log.md` — файл репозитория, не БД
-Машиночитаемый YAML-frontmatter (`post_deploy_status`, `action_taken`, `window_s`,
-`checks_total`, `checks_failed`) пишется best-effort в `docs/work-items/<id>/`; в БД
-не реплицируется. Источник для петли уроков ORCH-8 (BR-10).
-
-## 5. Очистка состояния
-По завершении окна / реакции `done`-маркер ставится; state-dir можно чистить
-best-effort (по образцу `self_deploy.clear_state`) — необязательно для корректности,
-но желательно для гигиены. Stale-`armed` без `done` после краха → виден в `/queue`
-как «активное наблюдение» и доигрывается восстановленным job'ом.

docs/work-items/ORCH-021/10-tech-risks.md

@@ -1,20 +0,0 @@
-# 10 — Технические риски (ORCH-021)
-
-| # | Риск | Вероятн. | Влияние | Митигация |
-|---|------|----------|---------|-----------|
-| R-1 | **Монитор self бежит внутри наблюдаемого прода.** Полностью wedged прод-контейнер → worker не выполнит тик → деградация не замечена, алерта нет. | Сред. | Высок. | Known MVP limitation (зафиксировано в ADR-001 §Последствия). Health в момент рестарта (хук) + reconciler ловят часть случаев. Внешний независимый watchdog — follow-up (вне рамок). |
-| R-2 | **Ложный авто-rollback** по сетевому глюку. | Низк. | Высок. | Пороги по N ПОСЛЕДОВАТЕЛЬНЫХ провалов + доля 5xx на окне (BR-3/AC-6), а не разовый провал. Self ВСЕГДА `ALERT_ONLY` (BR-5). `auto_rollback=False` по умолчанию. |
-| R-3 | **Авто-rollback прод-орка убивает инструмент всех проектов.** | Низк. | Критич. | Структурный инвариант: тик self НИКОГДА не откатывает/рестартит прод-контейнер (AC-8). Self → только alert + ручной approve. Откат self — только detached host-процесс вне тика. |
-| R-4 | **Нет prev-образа** при ROLLBACK → откат невозможен. | Сред. | Сред. | Хук возвращает exit 1 → `ROLLBACK_FAILED` + громкий алерт (AC-9), деградация не проглатывается тихо. |
-| R-5 | **Дубль/потеря наблюдения** при двойном webhook / рестарте. | Сред. | Сред. | Идемпотентность: sentinel `armed` (арм-гард) + `done` (защита от повторной обработки) + restart-safe jobs-очередь + `series` (AC-15). По образцу finalizer. |
-| R-6 | **Исключение в наблюдении роняет worker / конвейер других проектов.** | Низк. | Высок. | Контракт never-raise во всём `post_deploy.py` и `run_post_deploy_monitor` (AC-16), по образцу `self_deploy`/`staging_verdict`. |
-| R-7 | **Тик занимает single-worker** (`max_concurrency=1`) → задержка других задач. | Низк. | Низк. | Опрос короткий (~секунды), между тиками job не выполняется (defer через `available_at_delay_s`) — worker свободен, как у finalizer. Окно bounded (`window_s/interval_s`). |
-| R-8 | **Скрытое изменение контракта** (реестры/гейты/exit-коды/схема). | Низк. | Высок. | Инвариант: `STAGE_TRANSITIONS`/`QG_CHECKS`/`check_deploy_status`/terminal-sync/merge-gate/exit-коды/схема БД НЕ меняются (AC-12). Существующие тесты deploy/staging/merge-gate должны остаться зелёными. |
-| R-9 | **5xx на `/queue`/`/status` из-за самого монитора** (рекурсивная нагрузка). | Низк. | Низк. | Интервал `post_deploy_interval_s` (30с) — низкая частота; опрос лёгкий GET. |
-| R-10 | **Артефакт `16-post-deploy-log.md` не пишется / невалиден** → петля уроков без данных. | Низк. | Низк. | Best-effort запись с валидным frontmatter (AC-13); отсутствие файла ничего не роняет. Парсинг — defensive. |
-
-## Эскалация
-- Изменение помечено `arch:major-change` (новая под-компонента `src/post_deploy.py`
-  + новый reserved-agent job-kind `post-deploy-monitor`).
-- R-1 (gap наблюдения для wedged self-контейнера) — кандидат на отдельную задачу
-  (внешний watchdog), вне рамок ORCH-021.

docs/work-items/ORCH-021/12-review.md

@@ -1,99 +0,0 @@
----
-type: review
-work_item_id: ORCH-021
-verdict: APPROVED
-version: 2
----
-
-# Review ORCH-021 — Post-deploy мониторинг прода + реакция на деградацию
-
-## Summary
-Реализация продлевает ответственность конвейера ЗА терминальный переход
-`deploy → done`, закрывая класс инцидентов «зелёный деплой, красный прод» (ET-8).
-Механизм — детерминированный reserved-agent job `post-deploy-monitor` (вариант B
-из ADR-001, точная калька `deploy-finalizer`): арм в `stage_engine.advance_stage`
-(блок `next_stage == "done"`), один тик = один job (перехват в
-`launcher.launch_job` ДО `_spawn` → `stage_engine.run_post_deploy_monitor`),
-чистая логика в новом leaf-модуле `src/post_deploy.py` (never-raise).
-
-Проверены все четыре оси. Реализация соответствует ТЗ (`02-trz.md`), ADR-001 и
-глобальному adr-0010, удовлетворяет всем критериям приёмки AC-1…AC-18.
-Документация (golden-source) обновлена в том же PR. Регрессов нет.
-
-## Соответствие ТЗ
-- §2.1 `src/post_deploy.py` (leaf, never-raise): `post_deploy_applies`,
-  `probe_signals`, `classify`, `decide_action`, sentinel-state, артефакт,
-  `build_rollback_command` — все на месте. ✅
-- §2.2 Оркестрация: арм в terminal-блоке + reserved-agent тик с
-  само-перепостановкой через `available_at_delay_s`; restart-safe (sentinel
-  `armed`/`series`/`done` + jobs-очередь). ✅
-- §2.3 Реакция: non-self+auto → хук `--rollback` (синхронно, целевой ≠ orch);
-  self-hosting → ВСЕГДА `ALERT_ONLY`. ✅
-- §2.4 Конфигурация: все `post_deploy_*` в `src/config.py`, дефолты безопасны
-  (kill-switch on, auto-rollback off), параметры отката переиспользуют
-  `deploy_prod_*`. ✅
-- §2.5 Артефакт `16-post-deploy-log.md` с машиночитаемым frontmatter,
-  best-effort. ✅
-- §2.6 Блок `post_deploy` в `GET /queue`. ✅
-- §2.7/§2.8/§3 Инварианты: `STAGE_TRANSITIONS`, `QG_CHECKS`,
-  `check_deploy_status`, terminal-sync, merge-gate, exit-code-контракт хука,
-  схема БД — не тронуты (подтверждено зелёным полным прогоном). ✅
-
-## Соответствие ADR
-Реализация 1:1 повторяет ADR-001: механизм (reserved-agent, не стадия/не daemon),
-точки интеграции, пороги BR-3, политика реакции BR-5 (self never auto-rollback —
-структурный инвариант в `decide_action` + отсутствие вызова `run_rollback` на
-ALERT_ONLY). Нарушений глобальных ADR не выявлено.
-
-## Качество кода
-- Контракт never-raise выдержан во всех публичных функциях и в каждой ветке
-  `run_post_deploy_monitor`; launcher оборачивает тик в доп. guard (AC-16).
-- `classify` fail-safe → HEALTHY на мусорном входе (ложный DEGRADED опаснее).
-- Docstrings содержательные, со ссылками на AC/BR.
-- Условность раската по образцу ORCH-35/36/43/58 (флаг + CSV-репо).
-
-## Тесты
-30 тестов ORCH-021 (`tests/test_post_deploy.py`,
-`tests/test_post_deploy_integration.py`) — содержательные, покрывают
-классификацию (AC-3..6), self-hosting safety (TC-19 явно проверяет, что хук
-`--rollback` НЕ вызывается для self — AC-8), idempotency двойного арма (AC-15),
-kill-switch/условность (AC-2/10/11), exit-code маппинг (AC-9), frontmatter
-артефакта (AC-13), never-raise (AC-16), `/queue` (AC-14). Полный прогон
-`pytest tests/` — **701 passed** (регрессов нет, AC-12).
-
-## Findings
-
-### P0 — Blocker
-- нет
-
-### P1 — Must fix
-- нет
-
-### P2 — Should fix
-- нет
-
-### P3 — Nice to have
-- [ ] `run_post_deploy_monitor`: в ветке `ALERT_ONLY` для **не-self** репо при
-  `post_deploy_auto_rollback=false` текст алерта упоминает «авто-rollback для
-  self-hosting запрещён (BR-5)», что для не-self случая формулировка не совсем
-  точна (косметика сообщения; на поведение не влияет).
-- [ ] `write_post_deploy_log` коммитит/пушит артефакт в ветку задачи, которая к
-  моменту наблюдения уже слита/может быть удалена — артефакт может не попасть в
-  `main`. Контракт best-effort соблюдён (never-raise, ничего не роняет); как
-  улучшение наблюдаемости — рассмотреть запись лог-артефакта отдельным путём.
-
-## Документация
-Обновлено в том же PR (golden-source, AC-18 — PASS):
-- `CLAUDE.md` — `16-post-deploy-log.md` добавлен в перечень артефактов;
-- `docs/architecture/README.md` — раздел «Post-deploy наблюдение прода» + блок
-  `post_deploy` в таблице API `/queue`;
-- `docs/architecture/adr/adr-0010-post-deploy-monitor.md` — новый сквозной ADR;
-- `docs/work-items/ORCH-021/06-adr/ADR-001-post-deploy-monitor.md` — детальный ADR;
-- `CHANGELOG.md` — запись в `Added` (+ fix Dockerfile `COPY data/`);
-- `README.md` / `.env.example` — все `ORCH_POST_DEPLOY_*` env задокументированы.
-
-Изменение `src/` сопровождено обновлением документации — правило CLAUDE.md №2/№6
-выполнено.
-
-## Вердикт
-Только P3 (nice-to-have) findings, блокеров и must-fix нет → **APPROVED**.

docs/work-items/ORCH-021/13-test-report.md

@@ -1,82 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-021
-result: PASS
----
-
-# Test Report — ORCH-021
-
-Post-deploy наблюдение прода + реакция на деградацию (reserved-agent job
-`post-deploy-monitor`, leaf-модуль `src/post_deploy.py`).
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3 (asyncio mode=AUTO, anyio 4.13.0)
-- Ветка: feature/ORCH-021-post-deploy-rollback
-- Дата: 2026-06-07
-
-## Прогон
-- `pytest tests/ -v --tb=short` → **701 passed, 1 warning** (Pydantic V2 deprecation, не относится к задаче).
-- Целевые модули `tests/test_post_deploy.py` + `tests/test_post_deploy_integration.py` → **30 passed**.
-
-## Smoke-test (read-only, прод 8500)
-`curl` в окружении недоступен — опрос через `python urllib` (read-only, прод-контейнер не трогается).
-
-| Эндпоинт | Результат |
-|----------|-----------|
-| `GET /health` | 200 `{"status":"ok","service":"orchestrator"}` |
-| `GET /status` | 200, активная задача ORCH-021 на стадии `testing` |
-| `GET /queue` | 200, counts/resilience/reconcile присутствуют |
-
-> Примечание: блок `post_deploy` в **живом** `/queue` отсутствует — это ожидаемо: прод
-> сейчас работает на коде ДО ORCH-021 (задача ещё не задеплоена, стадия testing).
-> Наличие блока (AC-14) проверяется интеграционным тестом TC-20 против кода ветки → PASS.
-> Smoke-проверка подтверждает живость окружения, не версию ветки.
-
-## Результаты по тест-плану (04-test-plan.yaml)
-
-| TC ID | Описание | Покрывает AC | Тест-функция | Результат |
-|-------|----------|--------------|--------------|-----------|
-| TC-01 | HEALTHY: серия без провалов < порога | AC-3 | test_tc01_healthy_no_failures | PASS |
-| TC-02 | DEGRADED: N посл. провалов health == threshold | AC-4 | test_tc02_degraded_consecutive_health_failures | PASS |
-| TC-03 | DEGRADED по 5xx при health=200 | AC-5 | test_tc03_degraded_by_5xx_ratio_even_when_health_200 | PASS |
-| TC-04 | Нет ложного срабатывания: одиночный глюк + восстановление | AC-6 | test_tc04_no_false_trip_single_glitch_then_recovery | PASS |
-| TC-05 | Пороги из Settings меняют вердикт на тех же данных | AC-11 | test_tc05_thresholds_change_verdict_on_same_data, test_classify_uses_settings_thresholds | PASS |
-| TC-06 | не-self + auto_rollback=True + DEGRADED → ROLLBACK | AC-7 | test_tc06_nonself_auto_rollback_degraded_rolls_back | PASS |
-| TC-07 | self-hosting + DEGRADED → ALERT_ONLY (никогда не авто-rollback) | AC-8 | test_tc07_self_hosting_degraded_never_rolls_back | PASS |
-| TC-08 | HEALTHY → NONE для любого репо | AC-3 | test_tc08_healthy_means_none_for_any_repo, test_nonself_default_policy_alert_only | PASS |
-| TC-09 | post_deploy_applies: пусто → только orchestrator | AC-2 | test_tc09_applies_empty_repos_only_self_hosting, test_tc09_applies_explicit_repos_csv | PASS |
-| TC-10 | kill-switch: monitor_enabled=False → applies()=False для всех | AC-10 | test_tc10_kill_switch_disables_for_everyone | PASS |
-| TC-11 | Откат exit 0 → ROLLBACK_OK | AC-7 | test_tc11_rollback_exit0_is_ok | PASS |
-| TC-12 | Откат exit 1/2 → ROLLBACK_FAILED + эскалация | AC-9 | test_tc12_rollback_exit_nonzero_is_failed | PASS |
-| TC-13 | 16-post-deploy-log.md: валидный YAML-frontmatter | AC-13 | test_tc13_log_frontmatter_parses | PASS |
-| TC-14 | Опрос при сетевой ошибке → консервативный, не raise | AC-16 | test_tc14_probe_network_error_is_conservative_not_raise, test_tc14_classify_junk_input_swallowed | PASS |
-| TC-15 | Ошибка записи артефакта → False, не raise | AC-16, AC-13 | test_tc15_write_log_no_worktree_returns_false | PASS |
-| TC-16 | advance_stage deploy→done армит наблюдение (self), не армит (non-self) | AC-1, AC-2 | test_tc16_arm_for_self_hosting, test_tc16_no_arm_for_nonself, test_tc16_no_arm_when_kill_switch_off | PASS |
-| TC-17 | Идемпотентность: повторный арм не задваивает | AC-15 | test_tc17_double_arm_is_noop | PASS |
-| TC-18 | Полный цикл DEGRADED → не-self откат + лог + уведомление | AC-7, AC-13, AC-17 | test_tc18_degraded_nonself_rolls_back | PASS |
-| TC-19 | Self-hosting DEGRADED → НЕ рестарт/откат, алерт+approve | AC-8, AC-17 | test_tc19_degraded_self_hosting_alert_only | PASS |
-| TC-20 | GET /queue содержит блок post_deploy | AC-14 | test_tc20_queue_block_present | PASS |
-| TC-21 | Регресс: deploy/staging/merge-gate/reconciler зелёные; STAGE_TRANSITIONS/QG_CHECKS не изменены | AC-12 | tests/test_stages.py (+ полный прогон 701) | PASS |
-
-Доп. тесты ветки (не из плана, подтверждают контракты): `test_series_append_and_read_roundtrip`,
-`test_mark_done_idempotency_marker`, `test_healthy_tick_requeues_without_finishing`,
-`test_finished_window_tick_is_noop` — все PASS.
-
-## Покрытие критериев приёмки
-AC-1…AC-18 — все покрыты прошедшими тестами (см. таблицу). AC-12 (реестры/схема БД
-не изменены) дополнительно подтверждён зелёным полным регрессом 701 теста, включая
-deploy/staging/merge-gate/reconciler. AC-18 (документация) — вне scope прогона тестов,
-подтверждён ревью (12-review.md, verdict APPROVED).
-
-## Вывод pytest (хвост)
-```
-======================= 701 passed, 1 warning in 12.71s ========================
-```
-```
-======================== 30 passed, 1 warning in 0.58s =========================
-```
-
-## Итог
-**PASS.** Все 21 тест-кейс плана зелёные, полный регресс (701) зелёный, smoke прод-эндпоинтов
-OK (окружение живо). Существующие контракты не сломаны. Задача готова к стадии deploy-staging.

docs/work-items/ORCH-021/15-staging-log.md

@@ -1,42 +0,0 @@
----
-staging_status: SUCCESS
-timestamp: 2026-06-07T14:37:33Z
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-Staging test suite completed. Verdict: **SUCCESS** (exit 0).
-
-Run canonically inside the `orchestrator-staging` container (ORCH-048, ADR-001)
-via the Docker Engine API over the mounted socket (`docker` CLI is not installed
-in the prod-agent container; `network_mode: host` + group `999` allow direct
-socket access):
-
-```
-python3 /repos/orchestrator/scripts/staging_check.py \
-  --base-url http://localhost:8501 --mode stub
-```
-
-## Result
-
-```
-RESULT: 8/10 checks PASS
-REAL failed         : none
-SANDBOX_INFRA failed: ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue']
-tolerance: staging_infra_tolerance_enabled=True
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
-```
-
-- **Block A (SMOKE):** A1 `/health` 200 ok, A2 `/queue` 200, A3 `ORCH_STAGING=true` — all PASS.
-- **Block B (ACCESS):** B4 Plane sandbox, B5 Gitea `orchestrator-sandbox` (push=true),
-  B6 registry isolation (sandbox present, prod ET/ORCH absent) — all PASS.
-- **Block C (E2E, stub):** C7 create issue in SANDBOX, C8 trigger pipeline via
-  `/webhook/plane` — PASS. C9a/C9b FAILED but are sandbox-infra checks (bot accounts
-  not members of the SANDBOX Plane project) — **waived** per ORCH-061; not a pipeline
-  regression. Cleanup deleted the test Plane issue (HTTP 204).
-
-All REAL pipeline checks are green; the only failures are the two known
-sandbox-infra checks, which the verdict tolerates (`staging_infra_tolerance_enabled=true`).
-The script exited 0 → advance.

docs/work-items/ORCH-022/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: [★ высокий] Security-гейт: secret-scanning + аудит зависимостей перед мержем
-
-Work Item ID: ORCH-022
-
-## Description
-
-TBD

docs/work-items/ORCH-022/01-brd.md

@@ -1,150 +0,0 @@
-# 01 — BRD: Security-гейт (secret-scanning + аудит зависимостей перед мержем)
-
-Work Item: **ORCH-022**
-Приоритет: **★ высокий**
-Источник: предложение Стрим, одобрено Славой (2026-06-04).
-Стадия: analysis.
-
----
-
-## 1. Бизнес-проблема
-
-Оркестратор — автономная мульти-агентная система: агенты (`developer`) пишут код
-**без человека-фильтра по умолчанию**. Перед мержем в `main` сейчас нет проверки на:
-
-- **утёкший секрет** — закоммиченный API-ключ / токен / пароль / приватный ключ;
-- **дырявую зависимость** — пакет с известной CVE;
-- (опционально) **базовую уязвимость кода** — типовой SAST-паттерн.
-
-Для автономной системы это критично: ошибку, которую в обычной команде «выловили бы
-глазами на ревью», здесь поймать некому. Утёкший в `git`-историю ключ или уязвимая
-зависимость может уехать в прод и обслуживать **все** проекты (общий инстанс,
-self-hosting).
-
-### Прецеденты / связки
-- **PR #18** (`check_ci_green`: красный CI → возврат на `development`) — задаёт целевой
-  паттерн поведения красного гейта. Security-гейт должен вести себя так же.
-- **Управление секретами** (CLAUDE.md §8): секреты живут только в `.env`/`.env.staging`
-  на хосте, канон — `.env.example`. Гейт — это автоматический страж этого правила.
-
----
-
-## 2. Цель
-
-Ввести **security-гейт перед слиянием ветки задачи в `main`**, который детерминированно
-(без LLM) проверяет diff/ветку на секреты и уязвимые зависимости и **блокирует
-продвижение** при нарушении порогов: красный security-гейт → **возврат на `development`**
-(developer-retry, как красный CI / merge-gate), задача **не уезжает в прод**.
-
-### Бизнес-ценность
-- Структурно невозможно «тихо» влить секрет или известную CVE в прод автономной системы.
-- Самоприменение правила CLAUDE.md §8 (секреты не в гит) без участия человека.
-- Расширяет уже выстроенную линию автономных страховок (CI-гейт, merge-gate ORCH-043,
-  staging-провенанс ORCH-058, post-deploy ORCH-021).
-
----
-
-## 3. Объём (Scope)
-
-### 3.1 В объёме (v1) — **предположение по умолчанию (A1)**
-1. **Secret-scanning** — обязательный минимум гейта. Поиск закоммиченных секретов
-   в ветке задачи / её diff относительно `main`.
-2. **Dependency audit** — аудит зависимостей проекта на известные CVE.
-3. **Машиночитаемый артефакт-вердикт** security-гейта (YAML-frontmatter — канон гейтов).
-4. **Поведение красного гейта** = откат на `development` + developer-retry (cap
-   `MAX_DEVELOPER_RETRIES = 3`), наблюдаемость (Telegram + Plane-коммент).
-5. **Условный раскат** (kill-switch + scope репозиториев), **never-raise**,
-   self-hosting (`orchestrator`) — первым.
-
-### 3.2 Вне объёма (v1) — **предположение (A2), отдельные WI**
-- **SAST (semgrep)** — вынесен в follow-up WI: шумнее, требует policy-тюнинга правил;
-  гейт проектируется с точкой расширения под него, но в v1 не включается.
-- **Полноценный мульти-стек** (JS/npm, Android) — см. A3 ниже; в v1 целевой стек —
-  Python (сам оркестратор). Связь с ORCH-9/15 фиксируется как зависимость на будущее.
-- Ретроспективное сканирование уже существующей истории `main` (гейт смотрит вперёд —
-  ветку перед мержем, не чистит прошлое).
-- Управление аллоулистом ложных срабатываний через UI/Plane (в v1 — файл в репозитории).
-
-### 3.3 Зафиксированные предположения по умолчанию
-> ⚠️ Интерактивный опрос Owner на стадии анализа не дал ответа; ниже —
-> **дефолты по конвенциям проекта**. Любой из них Owner/архитектор может переопределить
-> (для A4 предусмотрены конфиг-флаги порогов).
-
-- **A1 (объём сканеров v1):** secret-scanning + dependency-audit. SAST отложен.
-- **A2 (SAST):** отложен в отдельный WI; гейт оставляет точку расширения.
-- **A3 (стек):** **Python-only сначала**, реально только для self-hosting
-  (`is_self_hosting_repo` / scope-CSV), как ORCH-35/43/58. Прочие репо — no-op pass.
-  Мульти-стек (детект стека по репо) — отдельный WI.
-- **A4 (пороги):** **секреты — всегда блок**; **зависимости — блок на HIGH/CRITICAL,
-  warning на MEDIUM/LOW**. Пороги вынесены в конфиг (переопределяемы без редеплоя кода).
-
----
-
-## 4. Заинтересованные стороны
-| Роль | Интерес |
-|------|---------|
-| Owner (Слава) | Прод-безопасность автономного конвейера; контроль порогов и раската. |
-| Стрим | Инициатор; снижение риска утечки/уязвимости в автономном режиме. |
-| Агент `developer` | Получает понятную причину красного гейта → быстрый фикс. |
-| Агент `reviewer` | Гейт снимает с него непосильную задачу «глазами ловить ключи». |
-| Все проекты на инстансе | Общий прод не должен получить секрет/CVE через одну задачу. |
-
----
-
-## 5. Бизнес-требования
-
-| ID | Требование | Приоритет |
-|----|-----------|-----------|
-| BR-1 | Перед слиянием ветки задачи в `main` обязателен security-гейт (секреты + аудит зависимостей). | MUST |
-| BR-2 | Найден секрет (порог A4) → гейт **красный** → откат на `development`, в прод не уходит. | MUST |
-| BR-3 | Уязвимость зависимости уровня блокировки (порог A4) → гейт **красный** → откат на `development`. | MUST |
-| BR-4 | Уязвимость ниже порога блокировки → **warning**, продвижение не блокируется, но фиксируется в артефакте. | MUST |
-| BR-5 | Красный гейт ведёт себя как красный CI / merge-gate: откат на `development` + developer-retry (cap 3), затем эскалация (Telegram + Plane Blocked). | MUST |
-| BR-6 | Вердикт гейта — **машиночитаемый** (YAML-frontmatter артефакта), читается гейтом ТОЛЬКО из frontmatter (канон проекта), не из прозы. | MUST |
-| BR-7 | Гейт **детерминированный, без LLM** в критическом пути (как merge-gate / image-freshness). | MUST |
-| BR-8 | Гейт **never-raise**: внутренняя ошибка не роняет `advance_stage` и не вешает конвейер всех проектов. | MUST |
-| BR-9 | Условный раскат: глобальный kill-switch + scope-CSV репозиториев; пусто → реально только self-hosting (`orchestrator`), прочие репо — no-op pass. | MUST |
-| BR-10 | Пороги блокировки конфигурируемы (env-флаги, без редеплоя кода). | SHOULD |
-| BR-11 | Наблюдаемость: причина блокировки видна (Telegram + Plane-коммент + артефакт); проход — без шума. | MUST |
-| BR-12 | Документация (CLAUDE.md «Артефакты задачи», `docs/architecture/README.md` таблица гейтов, CHANGELOG, ADR) обновлена в том же PR. | MUST |
-| BR-13 | Аллоулист ложных срабатываний (заведомо-безопасные совпадения, напр. в `.env.example`, фикстуры тестов) поддерживается версионируемым файлом в репозитории. | SHOULD |
-| BR-14 | Точка расширения под SAST и мульти-стек заложена, но в v1 не активна (A2/A3). | SHOULD |
-
----
-
-## 6. Ограничения и риски (бизнес-уровень)
-- **Self-hosting:** гейт исполняется внутри инстанса, который правит сам себя. Запрет на
-  рестарт/падение прод-контейнера в рамках задачи (CLAUDE.md §self-hosting) сохраняется —
-  гейт ничего не деплоит и не рестартит, только читает/сканирует.
-- **Ложные срабатывания** (false positives) могут зациклить откат `→ development`
-  (прецедент ORCH-061 со staging-петлёй). Митигировано: cap retry=3 + аллоулист (BR-13)
-  + конфигурируемые пороги (BR-10) + kill-switch (BR-9).
-- **Внешние БД уязвимостей** (CVE-фиды) — сетевая зависимость; недоступность фида не
-  должна давать ложный красный (см. AC: degrade-поведение при недоступности фида —
-  решение порога «fail-open vs fail-closed для аудита» закрепляется в acceptance + ADR).
-- **Стоимость/время** сканирования добавляется к каждому прогону задачи — должно быть
-  ограничено таймаутом (как merge-retest).
-
----
-
-## 7. Критерий успеха (бизнес)
-Ветка с подсаженным тестовым секретом и/или зависимостью с известной CRITICAL-CVE
-**не может** дойти до `main`/прода: гейт краснеет, задача откатывается на `development`
-с понятной причиной. Чистая ветка проходит гейт без задержек и без шума. Для не-self
-репозиториев конвейер не меняется (no-op). Прод-контейнер не рестартится гейтом.
-
----
-
-## 8. Открытые вопросы (для архитектора / Owner)
-1. **Размещение гейта** (решение архитектора): (а) на стадии `review`, либо (б) отдельный
-   под-гейт перед мержем на ребре `deploy-staging → deploy` (где уже живёт merge-gate
-   ORCH-043 / image-freshness ORCH-058). Требование BRD — «перед слиянием в `main`»;
-   обе опции его удовлетворяют. См. 02-trz §4.
-2. **Где запускается сканер**: новый job в `.gitea/workflows/ci.yml` (тогда вердикт может
-   течь через существующий `check_ci_green`) **или** отдельный QG-чек/под-гейт в `src/qg`.
-   Решение — архитектор (02-trz фиксирует требования к обоим путям).
-3. **Аудит зависимостей при недоступном CVE-фиде:** fail-open (warning) или fail-closed
-   (блок)? Дефолт-предложение — **fail-open с громким warning** (не плодить ложные
-   завороты), закрепить в ADR.
-4. **Выбор конкретных инструментов** (gitleaks vs trufflehog; pip-audit vs trivy) —
-   технологическое решение архитектора; BRD фиксирует только функцию.

docs/work-items/ORCH-022/02-trz.md

@@ -1,175 +0,0 @@
-# 02 — ТЗ: Security-гейт (secret-scanning + dependency audit)
-
-Work Item: **ORCH-022** · Стадия: analysis · См. `01-brd.md`, `03-acceptance-criteria.md`.
-
-> **Граница ответственности аналитика.** Ниже — *функциональные требования и точки
-> касания* кода. Выбор размещения гейта в пайплайне, конкретных инструментов и схемы
-> модулей — **решение архитектора** (см. §4 и `01-brd.md` §8). ТЗ фиксирует требования к
-> любому из допустимых вариантов и инварианты, которые нельзя нарушать.
-
----
-
-## 1. Контекст кода (как есть)
-
-- **Стадии:** `src/stages.py::STAGE_TRANSITIONS` — линейный конвейер
-  `… review → testing → deploy-staging → deploy → done`. Фактический merge ветки в
-  `main` делает агент `deployer` **в начале стадии `deploy`** (CLAUDE/README).
-- **Quality Gates:** `src/qg/checks.py` — реестр `QG_CHECKS` (имя → функция), сигнатуры
-  диспетчеризуются в `src/stage_engine.py::_run_qg`.
-- **Существующий паттерн «красный гейт → возврат developer»:**
-  `check_ci_green` (PR #18) и rollback-ветки в
-  `stage_engine._handle_qg_failure_rollbacks` (откат на `development`, developer-retry,
-  cap `MAX_DEVELOPER_RETRIES = 3`, затем `set_issue_blocked` + Telegram).
-- **Эталонный паттерн детерминированного под-гейта на ребре** (без LLM, never-raise,
-  условный раскат, откат на `development`):
-  - merge-gate **ORCH-043** — `src/merge_gate.py` + `check_branch_mergeable` +
-    `stage_engine._handle_merge_gate` (ребро `deploy-staging → deploy`);
-  - image-freshness **ORCH-058** — `src/image_freshness.py` + `_check_staging_image_fresh`
-    + `stage_engine._handle_image_freshness` (то же ребро).
-  Оба: leaf-модуль с чистой логикой (never-raise) + тонкая обёртка в `QG_CHECKS` +
-  врезка-обработчик в `advance_stage`, kill-switch `*_enabled` + scope `*_repos`,
-  реально только для self-hosting при пустом scope.
-- **CI:** `.gitea/workflows/ci.yml` — один job `test` (pytest) на `self-hosted` раннере,
-  push в `feature/**` и PR в `main`. `check_ci_green` читает комбинированный статус
-  коммита из Gitea API.
-- **Артефакты задачи** нумерованы до `16-post-deploy-log.md`.
-- **Зависимости Python:** `requirements.txt` (корень репо).
-
----
-
-## 2. Функциональные требования к реализации
-
-### FR-1. Secret-scanning ветки перед мержем
-- Сканировать ветку задачи / её diff относительно `origin/main` на секреты
-  (ключи, токены, пароли, приватные ключи).
-- **Любой** подтверждённый секрет (не из аллоулиста) → вердикт **FAIL** (порог A4: секреты
-  всегда блокируют).
-- Инструмент (gitleaks / trufflehog) — выбор архитектора. Должен запускаться offline-/
-  детерминированно (без LLM) и иметь конфиг правил/аллоулиста в репозитории.
-
-### FR-2. Dependency audit
-- Аудит зависимостей целевого стека на известные CVE. Для Python — манифест
-  `requirements.txt` (инструмент pip-audit / trivy — выбор архитектора).
-- Классификация по severity. **Порог блокировки (A4, конфигурируемо BR-10):**
-  - `CRITICAL`, `HIGH` → вклад в **FAIL**;
-  - `MEDIUM`, `LOW` → **warning** (фиксируется в артефакте, не блокирует).
-- Недоступность CVE-фида: degrade-поведение по решению ADR (дефолт-предложение —
-  fail-open + громкий warning, чтобы не плодить ложные завороты). Поведение должно быть
-  детерминированным и протестированным.
-
-### FR-3. Машиночитаемый артефакт-вердикт
-- Гейт порождает артефакт security-отчёта с **YAML-frontmatter**, напр.:
-  ```
-  ---
-  security_status: PASS        # PASS | FAIL
-  secrets_found: 0
-  deps_blocking: 0             # число уязвимостей уровня блокировки
-  deps_warning: 2
-  ---
-  ```
-  Имя артефакта — предложение: **`17-security-report.md`** (следующий свободный номер;
-  финализирует архитектор). Тело — человекочитаемый список находок.
-- Вердикт читается гейтом **ТОЛЬКО из frontmatter** (канон проекта: «машинные вердикты —
-  строго YAML-frontmatter, никогда проза»), по образцу `_parse_deploy_status` /
-  `_parse_staging_status` / `check_reviewer_verdict`. Negative-токен (FAIL) авторитетен.
-- Отсутствие/битый frontmatter → `(False, reason)` (fail-closed на чтении вердикта,
-  как у существующих парсеров).
-
-### FR-4. Поведение красного гейта (откат)
-- `security_status: FAIL` → откат на `development` + enqueue `developer`, по образцу
-  `_handle_qg_failure_rollbacks` (merge-gate-ветка — точный шаблон):
-  - cap `MAX_DEVELOPER_RETRIES` (3); при исчерпании — `set_issue_blocked` + Telegram-алерт;
-  - `task_desc` для developer несёт **дословную причину** (какие секреты/CVE), по образцу
-    ORCH-046 (встраивание must-fix в `task_desc`), а не только ссылку на артефакт;
-  - Plane-коммент + `notify_qg_failure` (наблюдаемость BR-11).
-
-### FR-5. Условный раскат (как ORCH-35/43/58)
-- Глобальный kill-switch `security_gate_enabled` (env `ORCH_SECURITY_GATE_ENABLED`,
-  дефолт по согласованию; рекомендуется `true` с safety-net, как у соседних фич).
-- Scope `security_gate_repos` (CSV); пусто → реально только `is_self_hosting_repo(repo)`
-  (`orchestrator`). Прочие репо → `(True, "security-gate N/A for <repo>")` (мгновенный pass).
-- Отдельные пороги-флаги (A4/BR-10): напр. `security_dep_block_severity`
-  (`HIGH` по умолчанию), при желании `security_secrets_block` (`true`).
-
-### FR-6. never-raise
-- Любая внутренняя ошибка гейта (сбой сканера, отсутствие бинаря, таймаут) →
-  `(False, "<reason>")` **без** проброса исключения в `advance_stage`. Контракт —
-  как у `check_branch_mergeable` (внешний + внутренний guard).
-- Таймаут сканирования ограничен (по образцу `merge_retest_timeout_s`).
-
-### FR-7. Наблюдаемость
-- Блокировка → Telegram + Plane-коммент (BR-11). Проход → лог-строка, без шумных
-  нотификаций (по образцу merge-gate pass).
-- Желательно: краткий снимок в `GET /queue` (опционально, по образцу блоков `reconcile`/
-  `reaper`/`post_deploy`) — на усмотрение архитектора.
-
----
-
-## 3. Задействованные модули `src/` (точки касания)
-
-| Модуль | Изменение |
-|--------|-----------|
-| `src/security_gate.py` (**новый leaf-модуль**) | Чистая логика гейта: запуск сканеров, классификация по severity, применение порогов/аллоулиста, формирование вердикта + парсер frontmatter. **never-raise.** По образцу `src/merge_gate.py` / `src/image_freshness.py` / `src/post_deploy.py`. |
-| `src/qg/checks.py` | Новый чек `check_security_gate` (тонкая обёртка над `security_gate`, ленивый импорт во избежание циклов) + регистрация в `QG_CHECKS`. Условность (kill-switch/scope/self-hosting) — как `check_branch_mergeable` / `_check_staging_image_fresh`. |
-| `src/stage_engine.py` | Врезка-обработчик `_handle_security_gate(...)` по образцу `_handle_merge_gate` / `_handle_image_freshness`: вызов в `advance_stage` на выбранном архитектором ребре; FAIL → откат на `development` (FR-4); never-raise. **`STAGE_TRANSITIONS` НЕ меняется**, если выбран вариант «под-гейт ребра». |
-| `src/config.py` | Новые настройки: `security_gate_enabled`, `security_gate_repos`, `security_dep_block_severity`, `security_scan_timeout_s` (+ при необходимости пути к бинарям/конфигам сканеров). С docstring-комментариями по образцу ORCH-043/058. |
-| `.gitea/workflows/ci.yml` | **Если** архитектор выберет CI-путь: новый job `security` (secret-scan + dep-audit), влияющий на комбинированный статус коммита (тогда срабатывает `check_ci_green`-паттерн PR #18). Иначе — не трогается. |
-| `requirements.txt` / Dockerfile | Установка выбранных сканеров (если они Python-пакеты — в `requirements.txt`; если бинари — в Dockerfile/раннер). |
-| Конфиг сканера + аллоулист | Версионируемые файлы в репозитории (напр. `.gitleaks.toml` / аллоулист) — BR-13. |
-| `.openclaw/agents/developer.md` | (Если нужно) краткая инструкция developer'у про устранение security-находок при заворотах. |
-
-> Если выбран вариант «гейт на стадии `review`» — врезка делается в соответствующую
-> ветку `advance_stage`/обработчик ревью вместо ребра `deploy-staging → deploy`.
-
----
-
-## 4. Размещение в пайплайне — варианты для архитектора
-
-Требование BRD: **«перед слиянием ветки в `main`»**. Допустимы (выбор + обоснование — в ADR):
-
-- **Вариант R (review):** security-проверка на стадии `review` (раньше отлов, дешевле
-  откат — задача ещё близко к development). Минус: дальше по конвейеру `main` может уйти
-  вперёд (но это закрывает merge-gate).
-- **Вариант M (merge-edge, рекомендуемый к рассмотрению):** под-гейт на ребре
-  `deploy-staging → deploy`, рядом с merge-gate (ORCH-043) и image-freshness (ORCH-058) —
-  непосредственно перед фактическим мержем `deployer`'ом. Плюс: единое место «последней
-  страховки перед main», переиспользование готового паттерна врезки/отката/lease.
-- **Вариант C (CI-job):** добавить job в `ci.yml`; вердикт течёт через `check_ci_green`.
-  Плюс: меньше нового кода в движке. Минус: пороги/severity-логика и артефакт-вердикт
-  сложнее выразить только статусом коммита.
-
-ТЗ не предписывает вариант; реализация обязана сохранить инварианты §6.
-
----
-
-## 5. Изменения API
-- Новых HTTP-endpoint'ов **не требуется**.
-- Допустимо (опционально, FR-7): расширить ответ `GET /queue` блоком `security`
-  (counts/last_run) — по образцу блоков `reconcile`/`reaper`/`post_deploy`. Не обязательно.
-
-## 6. Изменения схемы БД
-- **Не требуется.** Состояние гейта — артефакт-файл + (при необходимости) sentinel-файлы,
-  по образцу merge-lease / deploy-state / post-deploy-state. Миграций БД нет.
-- Если архитектор сочтёт нужным считать security-retry отдельно от developer-retry —
-  предпочесть подсчёт по `jobs`/`agent_runs` (как `_developer_retry_count` /
-  `_merge_defer_count`), без новых колонок.
-
-## 7. Инварианты (НЕ нарушать)
-1. `STAGE_TRANSITIONS` и реестр `QG_CHECKS` остаются консистентными; при варианте
-   «под-гейт ребра» — `STAGE_TRANSITIONS` не меняется (триггер — то же событие стадии).
-2. Машинный вердикт — только из YAML-frontmatter, не из прозы.
-3. never-raise: гейт никогда не пробрасывает исключение в `advance_stage`.
-4. Условность как ORCH-35/43/58: не-self репо при пустом scope не затрагиваются (no-op).
-5. Гейт **не деплоит и не рестартит** прод-контейнер (self-hosting safety).
-6. Откат и retry-счётчик developer не ломаются (cap=3, затем эскалация).
-7. Документация (CLAUDE.md, README, CHANGELOG, ADR) обновлена в том же PR (BR-12).
-
-## 8. Артефакты pipeline, создаваемые/обновляемые
-- **Новый:** `docs/work-items/ORCH-022/17-security-report.md` (имя финализирует архитектор)
-  с `security_status:`-frontmatter (FR-3) — порождается гейтом per-task.
-- **ADR:** `docs/work-items/ORCH-022/06-adr/ADR-001-<slug>.md` (решение: размещение,
-  инструменты, degrade-поведение фида, пороги). При сквозном влиянии — global ADR в
-  `docs/architecture/adr/`.
-- **Обновить:** `CLAUDE.md` (раздел «Артефакты задачи» — добавить 17-…),
-  `docs/architecture/README.md` (таблица гейтов + реестр `QG_CHECKS` + новый раздел),
-  `CHANGELOG.md`, `.env.example` (новые `ORCH_SECURITY_*`).

docs/work-items/ORCH-022/03-acceptance-criteria.md

@@ -1,140 +0,0 @@
-# 03 — Критерии приёмки: Security-гейт (ORCH-022)
-
-Формат: каждый критерий имеет чёткое условие **PASS/FAIL**. Привязка к
-`01-brd.md` (BR-*) и `02-trz.md` (FR-*).
-
----
-
-## A. Secret-scanning (FR-1, BR-1/BR-2)
-
-### AC-1 — Подсаженный секрет блокирует гейт
-- **PASS:** ветка с тестовым секретом (напр. фиктивный AWS-ключ формата `AKIA…` вне
-  аллоулиста) → `security_status: FAIL`; гейт возвращает `(False, reason)`, причина
-  называет секрет/файл.
-- **FAIL:** секрет не обнаружен ИЛИ гейт зелёный при наличии секрета.
-
-### AC-2 — Чистая ветка проходит
-- **PASS:** ветка без секретов → `security_status: PASS`; `secrets_found: 0`;
-  гейт возвращает `(True, …)`.
-- **FAIL:** ложное срабатывание (FAIL на чистой ветке).
-
-### AC-3 — Аллоулист подавляет заведомо-безопасное (BR-13)
-- **PASS:** совпадение, явно занесённое в версионируемый аллоулист (напр. плейсхолдер в
-  `.env.example` / фикстура теста), **не** даёт FAIL.
-- **FAIL:** аллоулист игнорируется и даёт ложный FAIL.
-
----
-
-## B. Dependency audit (FR-2, BR-3/BR-4)
-
-### AC-4 — CVE уровня блокировки краснит гейт
-- **PASS:** зависимость с известной `CRITICAL`/`HIGH` CVE (при пороге по умолчанию
-  `HIGH`) → вклад в `security_status: FAIL`; `deps_blocking >= 1`.
-- **FAIL:** блокирующая уязвимость не приводит к FAIL.
-
-### AC-5 — Низкая severity = warning, не блок
-- **PASS:** только `MEDIUM`/`LOW` уязвимости → `security_status: PASS`, при этом
-  `deps_warning >= 1` и находки перечислены в теле артефакта.
-- **FAIL:** `MEDIUM`/`LOW` блокирует продвижение.
-
-### AC-6 — Порог блокировки конфигурируем (BR-10)
-- **PASS:** при `ORCH_SECURITY_DEP_BLOCK_SEVERITY=CRITICAL` та же `HIGH`-уязвимость
-  становится warning (не блок); при `=HIGH` — блок. Поведение детерминированно
-  определяется флагом.
-- **FAIL:** флаг не влияет на классификацию.
-
-### AC-7 — Degrade при недоступном CVE-фиде
-- **PASS:** недоступность фида обрабатывается по решению ADR детерминированно и
-  протестированно (дефолт: fail-open + громкий warning, гейт не краснеет ложно).
-- **FAIL:** недоступность фида даёт неконтролируемый красный/исключение.
-
----
-
-## C. Вердикт и артефакт (FR-3, BR-6)
-
-### AC-8 — Машинный вердикт только из frontmatter
-- **PASS:** вердикт читается ТОЛЬКО из YAML-frontmatter `17-security-report.md`; проза с
-  «PASS»/«FAIL» в теле не влияет на решение. Negative-токен (FAIL) авторитетен.
-- **FAIL:** вердикт извлекается из тела/прозы.
-
-### AC-9 — Битый/отсутствующий frontmatter → fail-closed на чтении
-- **PASS:** нет frontmatter / битый YAML / нет поля `security_status` → `(False, reason)`
-  (как `_parse_deploy_status`/`check_reviewer_verdict`).
-- **FAIL:** битый артефакт трактуется как PASS.
-
-### AC-10 — Артефакт создаётся с корректными полями
-- **PASS:** после прогона существует `17-security-report.md` с валидным frontmatter
-  (`security_status`, `secrets_found`, `deps_blocking`, `deps_warning`) и телом-списком.
-- **FAIL:** артефакт не создан/без машинных полей.
-
----
-
-## D. Откат и retry (FR-4, BR-5)
-
-### AC-11 — Красный гейт → откат на development + developer-retry
-- **PASS:** `FAIL` → стадия задачи становится `development`, enqueue `developer`,
-  Plane-коммент + `notify_qg_failure`; счётчик developer-retry растёт.
-- **FAIL:** при FAIL задача продвигается дальше / не откатывается.
-
-### AC-12 — task_desc несёт дословную причину (ORCH-046-паттерн)
-- **PASS:** `task_desc` для перезапущенного developer содержит конкретику находок
-  (какие секреты/CVE), а не только ссылку на артефакт.
-- **FAIL:** developer получает только ссылку без сути.
-
-### AC-13 — Cap retry и эскалация
-- **PASS:** после `MAX_DEVELOPER_RETRIES` (3) безуспешных фиксов — `set_issue_blocked` +
-  Telegram-алерт; бесконечного отскока нет.
-- **FAIL:** откат зацикливается без cap/эскалации.
-
----
-
-## E. Условный раскат и устойчивость (FR-5/FR-6, BR-8/BR-9)
-
-### AC-14 — Не-self репозиторий = no-op pass
-- **PASS:** для repo, не входящего в scope и не self-hosting → гейт возвращает
-  `(True, "security-gate N/A for <repo>")` мгновенно, конвейер такого репо не меняется.
-- **FAIL:** гейт реально запускается/блокирует чужой репо при пустом scope.
-
-### AC-15 — Kill-switch отключает гейт
-- **PASS:** `ORCH_SECURITY_GATE_ENABLED=false` → гейт — no-op pass (`(True, …)`),
-  поведение конвейера 1:1 как до ORCH-022.
-- **FAIL:** при выключенном флаге гейт всё ещё блокирует.
-
-### AC-16 — never-raise
-- **PASS:** искусственный сбой (нет бинаря сканера / таймаут / исключение внутри) →
-  `(False, reason)` без проброса исключения; `advance_stage` не падает, конвейер других
-  задач/проектов не встаёт.
-- **FAIL:** внутренняя ошибка пробрасывается/вешает движок.
-
-### AC-17 — Таймаут ограничен
-- **PASS:** сканирование, превысившее `ORCH_SECURITY_SCAN_TIMEOUT_S`, корректно
-  прерывается → детерминированный вердикт (по политике degrade), без зависания.
-- **FAIL:** сканер висит без таймаута.
-
----
-
-## F. Инварианты и интеграция (BR-7/BR-12, TRZ §7)
-
-### AC-18 — STAGE_TRANSITIONS/QG_CHECKS консистентны
-- **PASS:** при варианте «под-гейт ребра» `STAGE_TRANSITIONS` не изменён; новый чек
-  зарегистрирован в `QG_CHECKS`; `_run_qg` корректно его диспетчеризует. Все
-  существующие тесты гейтов/стадий зелёные.
-- **FAIL:** сломан реестр/переходы/существующие тесты.
-
-### AC-19 — Гейт не деплоит/не рестартит прод
-- **PASS:** код гейта не вызывает деплой-хук/рестарт прод-контейнера; только
-  чтение/сканирование.
-- **FAIL:** гейт инициирует рестарт/деплой.
-
-### AC-20 — Документация обновлена в том же PR (BR-12)
-- **PASS:** обновлены `CLAUDE.md` (артефакт 17-…), `docs/architecture/README.md`
-  (таблица гейтов + реестр QG + раздел ORCH-022), `CHANGELOG.md`, `.env.example`
-  (`ORCH_SECURITY_*`); заведён ADR `06-adr/ADR-001-*`.
-- **FAIL:** функционал есть, документация/ADR не обновлены → reviewer обязан
-  REQUEST_CHANGES (CLAUDE.md §6).
-
-### AC-21 — End-to-end на тестовой задаче
-- **PASS:** прогон на self-hosting-репо: грязная ветка (секрет/CVE) → откат на
-  `development`; после фикса чистая ветка → гейт зелёный → конвейер идёт дальше; прод не
-  затронут в процессе.
-- **FAIL:** любой шаг E2E не воспроизводится.

docs/work-items/ORCH-022/04-test-plan.yaml

@@ -1,126 +0,0 @@
-work_item: ORCH-022
-title: "Security-гейт: secret-scanning + dependency audit перед мержем"
-notes: >
-  План тестов для security-гейта. Чистая логика выносится в leaf-модуль
-  src/security_gate.py (never-raise) — основной предмет unit-тестов (по образцу
-  tests для merge_gate / image_freshness / post_deploy / staging_verdict).
-  Интеграция врезки в advance_stage и условный раскат — integration-тесты.
-  Имена модулей тестов финализирует разработчик/архитектор по факту реализации.
-
-tests:
-  # --- Secret-scanning (FR-1 / AC-1..AC-3) ---
-  - id: TC-01
-    type: unit
-    description: "Подсаженный тестовый секрет в diff -> вердикт FAIL, secrets_found>=1, причина называет находку."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-02
-    type: unit
-    description: "Чистая ветка без секретов -> вердикт PASS, secrets_found=0."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-03
-    type: unit
-    description: "Совпадение из аллоулиста (плейсхолдер .env.example / фикстура) НЕ даёт FAIL."
-    module: tests/test_security_gate.py
-    expected: PASS
-
-  # --- Dependency audit + пороги (FR-2 / AC-4..AC-7) ---
-  - id: TC-04
-    type: unit
-    description: "CVE уровня HIGH/CRITICAL при пороге HIGH -> вклад в FAIL, deps_blocking>=1."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-05
-    type: unit
-    description: "Только MEDIUM/LOW уязвимости -> PASS, deps_warning>=1, находки в теле артефакта."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-06
-    type: unit
-    description: "Конфиг порога: severity=CRITICAL делает HIGH-CVE warning; severity=HIGH делает её блоком."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-07
-    type: unit
-    description: "Недоступный CVE-фид -> детерминированный degrade по политике ADR (дефолт fail-open + warning), без исключения и без ложного FAIL."
-    module: tests/test_security_gate.py
-    expected: PASS
-
-  # --- Вердикт / парсер frontmatter (FR-3 / AC-8..AC-10) ---
-  - id: TC-08
-    type: unit
-    description: "Вердикт читается ТОЛЬКО из YAML-frontmatter; проза PASS/FAIL в теле не влияет; negative-токен авторитетен."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-09
-    type: unit
-    description: "Нет frontmatter / битый YAML / нет поля security_status -> (False, reason) (fail-closed на чтении)."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-10
-    type: unit
-    description: "Артефакт 17-security-report.md создаётся с валидным frontmatter (security_status, secrets_found, deps_blocking, deps_warning) и телом-списком."
-    module: tests/test_security_gate.py
-    expected: PASS
-
-  # --- never-raise / таймаут / условность (FR-5/FR-6 / AC-14..AC-17) ---
-  - id: TC-11
-    type: unit
-    description: "Отсутствие бинаря сканера / внутреннее исключение -> (False, reason), исключение не пробрасывается (never-raise)."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-12
-    type: unit
-    description: "Превышение ORCH_SECURITY_SCAN_TIMEOUT_S -> корректное прерывание и детерминированный вердикт, без зависания."
-    module: tests/test_security_gate.py
-    expected: PASS
-  - id: TC-13
-    type: unit
-    description: "check_security_gate: не-self репо при пустом scope -> (True, 'security-gate N/A for <repo>') мгновенно."
-    module: tests/test_qg_security.py
-    expected: PASS
-  - id: TC-14
-    type: unit
-    description: "check_security_gate: ORCH_SECURITY_GATE_ENABLED=false -> no-op pass (True)."
-    module: tests/test_qg_security.py
-    expected: PASS
-  - id: TC-15
-    type: unit
-    description: "Новый чек зарегистрирован в QG_CHECKS и корректно диспетчеризуется _run_qg."
-    module: tests/test_qg_security.py
-    expected: PASS
-
-  # --- Откат / retry в stage_engine (FR-4 / AC-11..AC-13) ---
-  - id: TC-16
-    type: integration
-    description: "security_status FAIL -> advance_stage откатывает на development, enqueue developer, Plane-коммент + notify_qg_failure."
-    module: tests/test_stage_engine_security_gate.py
-    expected: PASS
-  - id: TC-17
-    type: integration
-    description: "task_desc перезапущенного developer содержит дословную причину находок (ORCH-046-паттерн), не только ссылку."
-    module: tests/test_stage_engine_security_gate.py
-    expected: PASS
-  - id: TC-18
-    type: integration
-    description: "После MAX_DEVELOPER_RETRIES (3) -> set_issue_blocked + Telegram-алерт; бесконечного отскока нет."
-    module: tests/test_stage_engine_security_gate.py
-    expected: PASS
-  - id: TC-19
-    type: integration
-    description: "security_status PASS -> advance_stage продвигает конвейер штатно (без отката, без шумных нотификаций)."
-    module: tests/test_stage_engine_security_gate.py
-    expected: PASS
-
-  # --- Инварианты / интеграция (BR-7/BR-12 / AC-18..AC-19) ---
-  - id: TC-20
-    type: integration
-    description: "При варианте 'под-гейт ребра' STAGE_TRANSITIONS не изменён; существующие тесты стадий/гейтов остаются зелёными."
-    module: tests/test_stages.py
-    expected: PASS
-  - id: TC-21
-    type: integration
-    description: "Гейт не вызывает деплой-хук/рестарт прод-контейнера (self-hosting safety)."
-    module: tests/test_stage_engine_security_gate.py
-    expected: PASS

docs/work-items/ORCH-022/06-adr/ADR-001-security-gate.md

@@ -1,235 +0,0 @@
-# ADR-001: Security-гейт — secret-scanning + dependency audit перед мержем
-
-- **Статус:** Accepted (proposed → принято архитектором ORCH-022)
-- **Дата:** 2026-06-07
-- **Задача:** ORCH-022
-- **Связанный global ADR:** `docs/architecture/adr/adr-0012-security-gate.md`
-- **Источники:** `01-brd.md` (BR-1..BR-14), `02-trz.md` (FR-1..FR-7, §4 варианты, §7 инварианты),
-  `03-acceptance-criteria.md` (AC-1..AC-21).
-
----
-
-## Контекст
-
-Оркестратор автономен: `developer`-агент пишет код без человека-фильтра. Перед слиянием
-ветки задачи в `main` нет автоматической проверки на утёкший секрет (ключ/токен/пароль/
-приватный ключ) и на уязвимую зависимость (известная CVE). Для self-hosting это особенно
-опасно: один общий прод-инстанс обслуживает все проекты с общей БД — секрет или CVE,
-просочившийся через одну задачу, попадает в прод всех проектов (CLAUDE.md §self-hosting, §8).
-
-Конвейер уже содержит линию детерминированных страховок на ребре `deploy-staging → deploy`
-(непосредственно перед фактическим мержем PR в `main`, который делает `deployer` в начале
-стадии `deploy`):
-
-- **merge-gate** (ORCH-043, `check_branch_mergeable`) — догон `main` + re-test + сериализация;
-- **image-freshness** (ORCH-058, `check_staging_image_fresh`) — провенанс staging-образа.
-
-Оба построены по одному паттерну: **leaf-модуль чистой логики (never-raise) + тонкая обёртка
-в `QG_CHECKS` + врезка-обработчик `_handle_*` в `advance_stage`**, с условным раскатом
-(`*_enabled` + `*_repos`, реально только для self-hosting при пустом scope) и откатом на
-`development` с developer-retry (cap `MAX_DEVELOPER_RETRIES = 3`).
-
-Открытые вопросы BRD §8 / TRZ §4, требующие решения архитектора:
-1. Размещение гейта в пайплайне (review / merge-edge / CI-job).
-2. Где запускается сканер (CI-job через `check_ci_green` / отдельный QG-чек).
-3. Degrade при недоступном CVE-фиде (fail-open / fail-closed).
-4. Выбор инструментов (gitleaks/trufflehog; pip-audit/trivy).
-
----
-
-## Решение
-
-### Р-1. Размещение — Вариант M (под-гейт ребра `deploy-staging → deploy`), ПЕРВЫМ среди edge-под-гейтов
-
-Security-гейт реализуется как **детерминированный под-гейт того же ребра**
-`deploy-staging → deploy`, что merge-gate и image-freshness, и исполняется **ПЕРВЫМ** —
-**ДО** merge-gate. `STAGE_TRANSITIONS` **не меняется** (триггер — то же событие «staging-
-deployer завершился»; инвариант TRZ §7.1).
-
-Порядок врезок в `advance_stage` (блок `current_stage == "deploy-staging"`):
-
-```
-check_staging_status (PASS, существующий QG стадии)
-  → security-gate          (НОВЫЙ, _handle_security_gate)   ← первым
-  → merge-gate             (_handle_merge_gate)
-  → image-freshness        (_handle_image_freshness)
-  → Phase A (self-deploy approve)
-```
-
-**Почему merge-edge, а не review (Вариант R):**
-- BRD-требование «перед слиянием в `main`» удовлетворяют оба, но на review-стадии diff
-  может разойтись с тем, что реально вольётся в `main` (параллельная задача двигает `main`
-  вперёд между review и merge). Merge-edge — последняя точка перед фактическим мержем.
-- Переиспользуется готовая машинерия отката/retry/нотификаций edge-под-гейтов
-  (минимальный blast-radius, инвариант TRZ §7).
-
-**Почему ПЕРВЫМ (до merge-gate), а не после image-freshness:**
-- **Дёшево фейлить.** merge-gate (rebase + re-test, минуты) и image-freshness (docker
-  rebuild, до 1200с) — дорогие. Нет смысла гонять их на ветке с секретом/CVE.
-- **Корректность для секретов.** Секрет живёт в собственных коммитах ветки;
-  rebase онто `main` его не добавляет и не убирает → скан диапазона `origin/main..HEAD`
-  до rebase ловит ровно те коммиты, что попадут в `main`.
-- **Анти-петля для зависимостей.** Аудит ветки **до** rebase оценивает то, что вносит
-  ИМЕННО эта задача (её `requirements.txt`/diff), а не уязвимость, которую притащил в
-  ветку обновившийся `main`. Аудит после rebase «обвинял» бы задачу в чужой (main'овой)
-  CVE → ложный откат `→ development` → петля (прецедент ORCH-061). Скан до rebase этого
-  избегает.
-- **Проще, чем image-freshness.** Гейт исполняется ДО захвата merge-lease → при FAIL
-  **lease освобождать не нужно** (в отличие от `_handle_image_freshness`). Чистый откат.
-
-**Почему не CI-job (Вариант C):** пороги severity, warning-vs-block, аллоулист и
-машиночитаемый артефакт-вердикт плохо выражаются одним статусом коммита Gitea; путь
-коуплится с CI-раннером. Отклонено для v1; оставлено как точка расширения (BR-14).
-
-### Р-2. Инструменты
-
-- **Secret-scanning — `gitleaks`.** Полностью **offline** (без сетевого фида → гарантия
-  «секрет всегда блокирует» не зависит от сети, BR-2), один статический бинарь,
-  детерминированный, конфиг + аллоулист в репо (`.gitleaks.toml`, BR-13), поддержка
-  `--log-opts="origin/main..HEAD"` (скан диапазона), JSON-отчёт, exit-code контракт
-  (0 = чисто, 1 = найдены секреты, ≥2 = ошибка инструмента). Бинарь устанавливается в
-  `Dockerfile` (Go-бинарь, не pip-пакет) — см. `07-infra-requirements.md`.
-- **Dependency audit — `pip-audit`.** Python-native (v1-стек — сам оркестратор, Python),
-  читает `requirements.txt`, источник advisory — OSV/PyPI, JSON-выход, ставится через
-  `requirements.txt`. trivy/trufflehog отклонены как тяжелее/контейнер-ориентированные для
-  v1-цели «Python-only» (A3).
-
-Конкретные инструменты — деталь реализации; контракт гейта (вход: repo/branch/wi,
-выход: `(bool, reason)` + артефакт) от них не зависит, заменяемы за leaf-модулем.
-
-### Р-3. Degrade при недоступном CVE-фиде — **fail-open + громкий warning** (дефолт)
-
-`pip-audit` требует сети (OSV/PyPI advisory DB). Недоступность фида **по умолчанию**:
-- **fail-open**: dep-audit не даёт FAIL по причине недоступности фида (иначе — ложные
-  откаты `→ development` → петля при сетевых проблемах прод-инстанса, прецедент ORCH-061);
-- **громко**: в артефакте `deps_audit_degraded: true`, лог `logger.warning`, Telegram-алерт.
-- **Секреты не деградируют:** gitleaks offline → гарантия BR-2 безусловна даже при
-  отсутствии сети. Деградирует ТОЛЬКО dep-audit.
-- **Конфигурируемо:** флаг `security_dep_audit_fail_closed` (дефолт `false`) позволяет
-  Owner'у переключить на fail-closed (недоступность фида → FAIL) без редеплоя кода.
-
-Это разделяет две гарантии: «нет секрета в прод» — **безусловная**; «нет известной CVE» —
-**best-effort при доступности фида**. Закреплено в acceptance (AC-7).
-
-### Р-4. Пороги классификации (A4, BR-10)
-
-- **Секреты:** любой подтверждённый (не из аллоулиста) секрет → **вклад в FAIL** (всегда
-  блок; флаг `security_secrets_block`, дефолт `true`).
-- **Зависимости:** severity ≥ `security_dep_block_severity` (дефолт `HIGH`) → **вклад в
-  FAIL** (`deps_blocking`); ниже порога (`MEDIUM`/`LOW`) → **warning** (`deps_warning`,
-  не блокирует, фиксируется в теле).
-- **Severity = UNKNOWN** (OSV/advisory без CVSS — частый случай pip-audit): трактуется как
-  **ниже порога → warning**, никогда не авто-блок (анти-петля). Логируется.
-
-### Р-5. Артефакт и вердикт (FR-3, BR-6, канон проекта)
-
-- Новый артефакт **`17-security-report.md`** (следующий свободный номер; финализировано).
-- YAML-frontmatter:
-  ```
-  ---
-  security_status: PASS        # PASS | FAIL
-  secrets_found: 0
-  deps_blocking: 0
-  deps_warning: 2
-  deps_audit_degraded: false
-  ---
-  ```
-  Тело — человекочитаемый список находок (секреты: файл/правило/маскированное совпадение;
-  CVE: пакет/версия/идентификатор/severity).
-- **Единый источник истины:** гейт вычисляет находки → пишет артефакт → **читает вердикт
-  обратно через `parse_security_status(content)`** (frontmatter-парсер по образцу
-  `_parse_deploy_status`/`_parse_staging_status`) → возвращает этот вердикт. Так возвращаемый
-  `(bool, reason)` гарантированно == frontmatter артефакта (канон «машинный вердикт — только
-  из YAML-frontmatter, никогда из прозы», AC-8). Negative-токен (`FAIL`) авторитетен.
-- Битый/отсутствующий frontmatter / нет поля `security_status` → `(False, reason)` —
-  fail-closed на чтении вердикта (AC-9).
-
-### Р-6. Поведение красного гейта (FR-4, BR-5)
-
-`security_status: FAIL` → врезка `_handle_security_gate` (по образцу
-`_handle_image_freshness`, но БЕЗ работы с lease — гейт до его захвата):
-- `update_task_stage(development)` + `enqueue_job("developer", …)`;
-- retry-счётчик — **существующий** `_developer_retry_count` (общий с merge/freshness;
-  без новой колонки, TRZ §6); cap `MAX_DEVELOPER_RETRIES = 3` → при исчерпании
-  `set_issue_blocked` + Telegram;
-- `task_desc` несёт **дословную причину** (какие секреты/файлы, какие пакеты/CVE/severity)
-  по образцу ORCH-046 — не только ссылку на артефакт (AC-12);
-- `notify_qg_failure` + Plane-коммент (наблюдаемость BR-11).
-
-PASS → `return False` из обработчика → `advance_stage` идёт к merge-gate (тишина, без шума).
-
-### Р-7. Условный раскат и устойчивость (FR-5/FR-6)
-
-- `check_security_gate(repo, work_item_id, branch)` в `QG_CHECKS`; обёртка делегирует в
-  `src/security_gate.py` (ленивый импорт во избежание цикла — по образцу
-  `_check_staging_image_fresh`).
-- Условность: `security_gate_enabled=False` → `(True, "security-gate disabled")`;
-  `security_gate_repos` (CSV) пусто → реально только `is_self_hosting_repo` → прочие репо
-  `(True, "security-gate N/A for <repo>")` (AC-14/AC-15).
-- **never-raise** (двойной guard как `check_branch_mergeable`): любая ошибка (нет бинаря,
-  таймаут, исключение) → `(False, reason)`, исключение не уходит в `advance_stage` (AC-16).
-- Таймаут сканирования `security_scan_timeout_s` (дефолт 300) на каждый внешний вызов
-  (`subprocess … timeout=`) — превышение → детерминированный degrade-вердикт (AC-17).
-
-### Р-8. Self-hosting safety (инвариант TRZ §7.5, AC-19)
-
-Гейт **только читает/сканирует** (git, gitleaks, pip-audit, запись артефакта). Не вызывает
-деплой-хук, не рестартит и не трогает прод-контейнер (8500/8501).
-
----
-
-## Точки касания (для developer; reviewer проверяет полноту — AC-20)
-
-| Модуль | Изменение |
-|--------|-----------|
-| `src/security_gate.py` (**новый leaf**) | `security_gate_applies`, `scan_secrets`, `audit_dependencies`, `classify_severity`, `compute_verdict`, `write_security_report`, `parse_security_status`, `check_security_gate`. never-raise, fail-closed на чтении вердикта. По образцу `image_freshness.py`. |
-| `src/qg/checks.py` | `check_security_gate` (тонкая обёртка, ленивый импорт) + регистрация в `QG_CHECKS`. |
-| `src/stage_engine.py` | `_handle_security_gate(...)` + врезка ПЕРВОЙ в блоке `current_stage == "deploy-staging"` (до `_handle_merge_gate`). FAIL → откат на `development`. never-raise. **`STAGE_TRANSITIONS` НЕ меняется.** |
-| `src/config.py` | `security_gate_enabled` (True), `security_gate_repos` (""), `security_dep_block_severity` ("HIGH"), `security_scan_timeout_s` (300), `security_dep_audit_fail_closed` (False), `security_secrets_block` (True) — с docstring по образцу ORCH-043/058. |
-| `Dockerfile` | Установка `gitleaks` (release-бинарь). |
-| `requirements.txt` | `pip-audit`. |
-| `.gitleaks.toml` (**новый, корень репо**) | Конфиг правил + аллоулист (`.env.example`-плейсхолдеры, тест-фикстуры) — BR-13. |
-| `.openclaw/agents/developer.md` | (Опц.) краткая инструкция про устранение security-находок при заворотах. |
-| `tests/` | `test_security_gate.py`, `test_qg_security.py`, `test_stage_engine_security_gate.py` (см. `04-test-plan.yaml`). |
-| **Документация** | `CLAUDE.md` (артефакт 17-…), `docs/architecture/README.md` (таблица гейтов + реестр QG + раздел), `CHANGELOG.md`, `.env.example` (`ORCH_SECURITY_*`), global `adr-0012`. |
-
----
-
-## Альтернативы (отклонены)
-
-- **Вариант R (review-стадия):** раньше/дешевле, но diff может разойтись с тем, что
-  вольётся в `main`; merge-edge уже закрывает «последнюю страховку».
-- **Вариант C (CI-job через `check_ci_green`):** пороги/severity/аллоулист/артефакт плохо
-  выражаются статусом коммита; коуплинг с CI-раннером. → точка расширения BR-14.
-- **fail-closed dep-audit по умолчанию:** ложные откаты при сетевых сбоях → петля. →
-  только опционально через флаг.
-- **Аудит после rebase (как анкер image-freshness):** обвиняет задачу в CVE из `main` →
-  петля. → скан ветки ДО merge-gate.
-- **Новая стадия `security`:** «пустая» стадия без агента не имеет триггера (как
-  отклонено в ORCH-043). → под-гейт ребра.
-- **Новая колонка retry в БД:** не нужна — переиспользуем `_developer_retry_count`.
-
----
-
-## Последствия
-
-**Плюсы.** Структурно невозможно тихо влить секрет (безусловно) или известную CVE
-(best-effort) в `main`/прод автономной системы. Самоприменение CLAUDE.md §8. Минимальный
-blast-radius: `STAGE_TRANSITIONS`/схема БД не меняются, переиспользован готовый паттерн.
-
-**Минусы / плата.** Ещё один «скрытый» под-гейт ребра (нет в `STAGE_TRANSITIONS`).
-Добавлены внешние инструменты (gitleaks-бинарь в образ, pip-audit в зависимости). Время
-сканирования добавляется к каждому прогону (ограничено таймаутом). Dep-audit best-effort
-при сетевых сбоях (осознанный компромисс против петли). v1 — Python-only (A3); мульти-стек
-и SAST — follow-up WI (BR-14).
-
-**Раскат.** Сквозное изменение конвейера (новый QG + новый edge-под-гейт) → лейбл
-`arch:major-change`. Прод-деплой ORCH-022 — строго через staging-гейт (8501), без рестарта
-прод-контейнера в рамках задачи (self-hosting safety).
-
-## Связи
-
-adr-0006 (merge-gate — паттерн edge-под-гейта/отката), adr-0008 (image-freshness —
-условность/never-raise/fail-closed), adr-0003 (`is_self_hosting_repo` — образец условности),
-adr-0009/ORCH-061 (анти-петля ложных FAIL), ORCH-046 (дословный reason в `task_desc`),
-ORCH-9/15 (мульти-стек — будущая зависимость).

docs/work-items/ORCH-022/07-infra-requirements.md

@@ -1,56 +0,0 @@
-# 07 — Инфраструктурные требования: Security-гейт (ORCH-022)
-
-См. `06-adr/ADR-001-security-gate.md` (Р-2, Р-3, Р-8). Топология не меняется (один сервер
-mva154, Docker Compose). Новые требования — только инструменты сканирования и сетевой доступ
-к CVE-фиду.
-
-## I-1. Бинарь `gitleaks` в образе
-- **Что:** статический Go-бинарь `gitleaks` (secret-scanning), устанавливается в `Dockerfile`
-  (НЕ pip-пакет). Зафиксировать версию (pinned release) для детерминизма.
-- **Почему в образе, а не на хосте:** гейт исполняется внутри контейнера оркестратора
-  (`advance_stage`); сканируется per-task worktree, смонтированный в контейнер.
-- **Оффлайн:** gitleaks не требует сети (правила локальны) → гарантия «секрет всегда
-  блокирует» (BR-2) не зависит от доступности интернета.
-- **Контракт exit-кодов:** 0 = чисто, 1 = найдены секреты, ≥2 = ошибка инструмента
-  (≥2 → never-raise degrade-вердикт гейта).
-
-## I-2. `pip-audit` в зависимостях
-- **Что:** Python-пакет `pip-audit` (dependency audit), добавляется в `requirements.txt`
-  (pinned-версия).
-- **Источник advisory:** OSV / PyPI advisory DB — **требует сетевого доступа** (исходящий
-  HTTPS к OSV/PyPI).
-- **Цель v1:** аудит `requirements.txt` корня репо (Python-стек, A3). Мульти-стек — follow-up.
-
-## I-3. Сетевой доступ к CVE-фиду (degrade-политика)
-- **Требование:** исходящий HTTPS из прод-контейнера к OSV/PyPI advisory.
-- **При недоступности (Р-3):** **fail-open + громкий warning** по умолчанию — dep-audit не
-  краснит гейт из-за сетевого сбоя (анти-петля ORCH-061); фиксируется
-  `deps_audit_degraded: true` + Telegram + лог. Флаг `security_dep_audit_fail_closed`
-  (дефолт `false`) — для перевода в строгий режим без редеплоя кода.
-- **Секреты не зависят от сети** (I-1) — критическая гарантия безусловна.
-
-## I-4. Конфиг-файлы в репозитории (версионируемые, BR-13)
-- `.gitleaks.toml` (корень репо): правила + аллоулист заведомо-безопасных совпадений
-  (плейсхолдеры `.env.example`, тест-фикстуры). Версионируется, ревьюится как код.
-
-## I-5. Env-флаги (`.env.example` + хост `.env`/`.env.staging`)
-| Переменная | Дефолт | Назначение |
-|------------|--------|-----------|
-| `ORCH_SECURITY_GATE_ENABLED` | `true` | глобальный kill-switch |
-| `ORCH_SECURITY_GATE_REPOS` | `` (пусто) | CSV scope; пусто → только self-hosting |
-| `ORCH_SECURITY_DEP_BLOCK_SEVERITY` | `HIGH` | порог блокировки зависимостей |
-| `ORCH_SECURITY_SCAN_TIMEOUT_S` | `300` | таймаут каждого внешнего вызова сканера |
-| `ORCH_SECURITY_DEP_AUDIT_FAIL_CLOSED` | `false` | строгий режим при недоступном фиде |
-| `ORCH_SECURITY_SECRETS_BLOCK` | `true` | секреты блокируют (всегда по дефолту) |
-
-Секреты-значения в гит НЕ коммитятся (CLAUDE.md §8) — только дефолты в `.env.example`.
-
-## I-6. Ресурсы и тайминги
-- Время сканирования добавляется к каждому прогону задачи на ребре `deploy-staging → deploy`,
-  ограничено `ORCH_SECURITY_SCAN_TIMEOUT_S` (по образцу `merge_retest_timeout_s`).
-- Гейт исполняется ДО merge-gate/image-freshness (дёшево фейлить до дорогих rebase/rebuild).
-
-## I-7. Self-hosting safety (инвариант)
-Гейт **только читает/сканирует** (git, gitleaks, pip-audit, запись артефакта). Не вызывает
-деплой-хук, не рестартит/не трогает прод-контейнер (8500/8501). Прод-деплой ORCH-022 — строго
-через staging-гейт (8501).

docs/work-items/ORCH-022/08-data-requirements.md

@@ -1,26 +0,0 @@
-# 08 — Требования к схеме БД: Security-гейт (ORCH-022)
-
-## Решение: схема БД НЕ меняется
-
-Миграций нет. Обоснование (соответствует TRZ §6 и паттерну edge-под-гейтов ORCH-043/058):
-
-1. **Вердикт гейта — артефакт-файл** `17-security-report.md` (YAML-frontmatter), как
-   `14-deploy-log.md` / `15-staging-log.md`. Не хранится в БД.
-2. **Состояние/идемпотентность** — детерминированная пересборка вердикта при каждом тике
-   (гейт чистый, без долгоживущего состояния между прогонами); sentinel-файлы НЕ требуются
-   (в отличие от deploy-state/post-deploy-state — там асинхронный self-restart).
-3. **Retry-счётчик** — переиспользуется существующий `_developer_retry_count(task_id)`
-   (подсчёт по `jobs`/`agent_runs`), общий с merge-gate/image-freshness. **Новой колонки
-   `security_retry` НЕ вводим** (TRZ §6: предпочесть подсчёт по `jobs`/`agent_runs`). Это
-   корректно: security-FAIL, как merge/freshness-FAIL, откатывает на `development` и
-   запускает developer — он и есть единица retry; общий cap=3 защищает от петли.
-
-## Используемые существующие таблицы (без изменений)
-- `tasks` — стадия задачи (`update_task_stage` при откате на `development`).
-- `jobs` — enqueue `developer` при FAIL; основа `_developer_retry_count`.
-- `agent_runs` — usage/duration; основа подсчёта retry.
-
-## Что НЕ делаем
-- Не добавляем таблицу findings/CVE-журнала (история находок — в артефактах per-task; петля
-  уроков ORCH-8 читает артефакт).
-- Не добавляем колонок в `tasks`/`jobs`.

docs/work-items/ORCH-022/10-tech-risks.md

@@ -1,16 +0,0 @@
-# 10 — Технические риски: Security-гейт (ORCH-022)
-
-| ID | Риск | Вероятность / Влияние | Митигация (заложена в ADR-001) |
-|----|------|----------------------|-------------------------------|
-| R-1 | **Ложные срабатывания → петля отката** `→ development` (прецедент ORCH-061 staging-loop). | Средн. / Выс. | Аллоулист `.gitleaks.toml` (BR-13); cap `MAX_DEVELOPER_RETRIES=3` → эскалация (`set_issue_blocked`+Telegram); конфигурируемый порог severity; kill-switch; UNKNOWN-severity → warning, не блок. |
-| R-2 | **Недоступность CVE-фида** даёт ложный красный/исключение. | Средн. / Выс. | fail-open + громкий warning по умолчанию (Р-3); `deps_audit_degraded:true`; флаг `security_dep_audit_fail_closed` для строгого режима. Секреты offline → не затронуты. |
-| R-3 | **Скан вешает worker-слот** (зависший gitleaks/pip-audit) → стоит конвейер всех проектов (общий инстанс, `max_concurrency`). | Низк. / Выс. | `security_scan_timeout_s` (300) на каждый внешний вызов; never-raise degrade-вердикт; гейт ПЕРВЫМ на ребре (фейлит до дорогих rebase/rebuild). |
-| R-4 | **Исключение гейта роняет `advance_stage`** → встаёт движок. | Низк. / Выс. | Двойной never-raise guard (внешний+внутренний) как `check_branch_mergeable`; AC-16/TC-11. |
-| R-5 | **Скан после rebase обвиняет задачу в CVE из `main`** → петля. | — (устранён дизайном) | Гейт исполняется ДО merge-gate (скан ветки до rebase); Р-1. |
-| R-6 | **Отсутствие бинаря `gitleaks` в образе** (забыт в Dockerfile) → гейт всегда degrade. | Низк. / Средн. | Установка в Dockerfile (I-1), pinned-версия; TC-11 (нет бинаря → `(False,reason)`, never-raise); проверяется на staging (8501) до прода. |
-| R-7 | **pip-audit без severity (UNKNOWN)** → либо ложный блок, либо пропуск. | Средн. / Средн. | UNKNOWN → warning (не блок), логируется; осознанный анти-петля компромисс; ужесточение — follow-up. |
-| R-8 | **Self-hosting: гейт трогает прод** (рестарт/деплой). | — (запрещено дизайном) | Гейт только читает/сканирует; AC-19/TC-21; прод-деплой ORCH-022 — через staging-гейт. |
-| R-9 | **Drift вердикта vs артефакта** (возврат ≠ frontmatter). | Низк. / Средн. | Единый источник: гейт пишет артефакт → читает обратно через `parse_security_status` → возвращает (Р-5); AC-8. |
-| R-10 | **Регресс существующих гейтов/стадий** (сломан `QG_CHECKS`/`STAGE_TRANSITIONS`). | Низк. / Выс. | `STAGE_TRANSITIONS` не меняется; новый чек — аддитивно в реестр; полный прогон `tests/` (TC-20); staging-гейт перед прод. |
-| R-11 | **v1 Python-only** — секреты/CVE в не-Python стеке (JS/Android) не ловятся. | — (вне scope v1, A3) | Условность scope; точка расширения мульти-стек/SAST (BR-14); зависимость ORCH-9/15 зафиксирована. |
-| R-12 | **Стоимость времени** на каждом прогоне задачи. | Низк. / Низк. | Таймаут; гейт первым (ранний выход); только self-hosting по умолчанию. |

docs/work-items/ORCH-022/12-review.md

@@ -1,74 +0,0 @@
----
-type: review
-work_item_id: ORCH-022
-verdict: APPROVED
-version: 1
----
-
-# Review ORCH-022
-
-## Summary
-Security-гейт (secret-scanning `gitleaks` + dependency audit `pip-audit`) реализован как
-детерминированный под-гейт ребра `deploy-staging → deploy`, исполняемый ПЕРВЫМ среди
-edge-под-гейтов — в точности по ADR-001 (Вариант M) и эталонному паттерну соседей
-(merge-gate ORCH-043 / image-freshness ORCH-058): leaf-модуль `src/security_gate.py`
-(never-raise) + тонкая обёртка `check_security_gate` в `QG_CHECKS` (lazy-import, нет цикла)
-+ врезка `_handle_security_gate` ПЕРВОЙ в блоке `current_stage == "deploy-staging"`.
-`STAGE_TRANSITIONS` и схема БД не тронуты. Все 772 теста зелёные (25 из них —
-security-специфичные: `test_security_gate.py`, `test_qg_security.py`,
-`test_stage_engine_security_gate.py`). Документация обновлена полностью и в этом же PR.
-
-### Соответствие ТЗ (02-trz)
-- FR-1 secret-scan offline `origin/main..HEAD`, любой секрет вне аллоулиста → FAIL ✓
-- FR-2 dep-audit по severity (`HIGH` дефолт), MEDIUM/LOW/UNKNOWN → warning ✓
-- FR-3 машинный вердикт ТОЛЬКО из frontmatter `17-security-report.md`, negative-токен
-  авторитетен, write→read-back (единый источник истины) ✓
-- FR-4 FAIL → откат на `development` + developer-retry (cap 3) + `task_desc` с дословными
-  находками (ORCH-046) ✓
-- FR-5 условность `security_gate_enabled` / `security_gate_repos` (пусто → self-hosting) ✓
-- FR-6 never-raise + таймаут `security_scan_timeout_s` ✓
-- FR-7 наблюдаемость (Telegram при degraded/FAIL, лог при PASS) ✓
-- §6 без миграций БД, §7 инварианты соблюдены (STAGE_TRANSITIONS/QG_CHECKS консистентны,
-  gate не деплоит/не рестартит прод) ✓
-
-### Соответствие ADR (06-adr/ADR-001 + global adr-0012)
-Р-1 (размещение ПЕРВЫМ, до merge-gate, до захвата merge-lease → lease не освобождается),
-Р-2 (gitleaks pinned Go-бинарь в Dockerfile, pip-audit в requirements), Р-3 (fail-open
-degrade + флаг `security_dep_audit_fail_closed`), Р-4 (пороги, UNKNOWN→warning), Р-5
-(артефакт + read-back), Р-6 (откат/cap/эскалация), Р-7 (lazy-import, double-guard
-never-raise), Р-8 (self-hosting safety) — все реализованы как описано.
-
-### Критерии приёмки (03)
-AC-1..AC-21 покрыты тестами TC-01..TC-21 (incl. rollback TC-16, verbatim task_desc TC-17,
-cap+blocked TC-18, PASS-advance TC-19, no-deploy-on-FAIL TC-21). AC-20 (документация) —
-подтверждён ниже.
-
-## Findings
-
-### P0 — Blocker
-- нет
-
-### P1 — Must fix
-- нет
-
-### P2 — Should fix
-- нет
-
-### P3 — Nice-to-have
-- Глобальный `docs/architecture/adr/adr-0012-security-gate.md` помечен `Статус: proposed`,
-  тогда как per-WI `06-adr/ADR-001` — `Accepted`. Косметическая рассинхронизация статуса,
-  на функциональность/гейты не влияет.
-
-## Документация
-Обновлена в том же PR (AC-20, CLAUDE.md §6 соблюдён):
-- `CLAUDE.md` — раздел «Артефакты задачи» (добавлен `17-security-report.md`) + строка о
-  машинных вердиктах (`security_status:`).
-- `docs/architecture/README.md` — реестр `QG_CHECKS` (`check_security_gate (ORCH-022)`),
-  новый раздел «Security-гейт …», статусная сноска внизу.
-- `docs/architecture/adr/adr-0012-security-gate.md` — новый global ADR (+ per-WI ADR-001).
-- `CHANGELOG.md` — подробная запись в `[Unreleased] / Added`.
-- `.env.example` — все шесть `ORCH_SECURITY_*` с комментариями.
-- `Dockerfile` (pinned gitleaks), `requirements.txt` (pip-audit), `.gitleaks.toml` (корень,
-  правила + аллоулист) — инфраструктура версионирована.
-
-Статус: документация = golden source — синхронна с кодом. Замечаний нет.

docs/work-items/ORCH-022/13-test-report.md

@@ -1,76 +0,0 @@
----
-type: test-report
-work_item_id: ORCH-022
-result: PASS
----
-
-# Test Report — ORCH-022
-
-Security-гейт: secret-scanning (gitleaks) + dependency audit (pip-audit) как под-гейт
-ребра `deploy-staging → deploy`.
-
-## Окружение
-- Python: 3.12.13
-- pytest: 8.3.3
-- Дата: 2026-06-07
-- Ветка: `feature/ORCH-022-security-secret-scanning`
-- Review verdict: APPROVED (`12-review.md`)
-
-## Smoke test API (prod 8500, self-hosting — не трогаем контейнер)
-| Endpoint | Результат |
-|----------|-----------|
-| `GET /health` | `{"status":"ok","service":"orchestrator"}` — OK |
-| `GET /status` | OK (active task ORCH-022 в stage=testing виден) |
-| `GET /queue` | OK (counts/resilience/reconcile/reaper/post_deploy присутствуют) |
-
-## Результаты (привязка к 04-test-plan.yaml)
-
-| TC ID | Описание | Тест | Результат |
-|-------|----------|------|-----------|
-| TC-01 | Секрет в diff → FAIL, secrets_found>=1, причина называет находку | test_security_gate.py::test_tc01_secret_in_diff_fails | PASS |
-| TC-02 | Чистая ветка → PASS, secrets_found=0 | test_tc02_clean_branch_passes | PASS |
-| TC-03 | Аллоулист подавляет заведомо-безопасное | test_tc03_allowlisted_match_does_not_fail | PASS |
-| TC-04 | HIGH/CRITICAL CVE при пороге HIGH → FAIL, deps_blocking>=1 | test_tc04_high_cve_at_high_threshold_blocks | PASS |
-| TC-05 | Только MEDIUM/LOW → PASS, deps_warning>=1 | test_tc05_only_medium_low_warns_passes | PASS |
-| TC-06 | Конфиг порога severity влияет на классификацию | test_tc06_threshold_config_changes_classification | PASS |
-| TC-07 | Недоступный фид → детерминированный degrade (fail-open default / fail-closed strict) | test_tc07_degraded_feed_failopen_default_failclosed_strict | PASS |
-| TC-08 | Вердикт ТОЛЬКО из frontmatter; negative-токен авторитетен | test_tc08_verdict_only_from_frontmatter | PASS |
-| TC-09 | Нет/битый frontmatter → (False, reason) fail-closed | test_tc09_missing_or_broken_frontmatter_failclosed | PASS |
-| TC-10 | Артефакт 17-security-report.md с валидным frontmatter + телом | test_tc10_artifact_has_valid_frontmatter_and_body | PASS |
-| TC-11 | Нет бинаря / исключение → (False, reason), never-raise | test_tc11_missing_binary_failclosed_never_raises | PASS |
-| TC-12 | Таймаут → детерминированный fail-closed, без зависания | test_tc12_timeout_is_deterministic_failclosed | PASS |
-| TC-13 | Не-self репо при пустом scope → (True, N/A) мгновенно | test_qg_security.py::test_tc13_non_self_repo_empty_scope_is_na | PASS |
-| TC-14 | ORCH_SECURITY_GATE_ENABLED=false → no-op pass | test_tc14_disabled_is_noop_pass | PASS |
-| TC-15 | Зарегистрирован в QG_CHECKS и диспетчеризуется _run_qg | test_tc15_registered_in_qg_checks / test_tc15_dispatched_by_run_qg | PASS |
-| TC-16 | FAIL → откат на development, enqueue developer, notify_qg_failure | test_stage_engine_security_gate.py::test_tc16_fail_rolls_back_and_enqueues_developer | PASS |
-| TC-17 | task_desc несёт дословную причину (ORCH-046) | test_tc17_task_desc_has_verbatim_findings | PASS |
-| TC-18 | После MAX_DEVELOPER_RETRIES (3) → set_issue_blocked + Telegram | test_tc18_retry_cap_blocks_and_alerts | PASS |
-| TC-19 | PASS → штатное продвижение конвейера | test_tc19_pass_advances_normally | PASS |
-| TC-20 | STAGE_TRANSITIONS не изменён; тесты стадий зелёные | tests/test_stages.py (полный прогон) | PASS |
-| TC-21 | Гейт не вызывает деплой-хук/рестарт прод (self-hosting safety) | test_tc21_fail_never_triggers_deploy | PASS |
-
-Все 21 TC покрыты и зелёные. Соответствие критериям приёмки (03-acceptance-criteria):
-AC-1..AC-21 закрыты соответствующими TC (AC-N ↔ TC-N для N=1..21; AC-20 «документация»
-подтверждён в review 12-review.md).
-
-## Вывод pytest
-
-### Security-специфичные тесты (25 шт.)
-```
-tests/test_security_gate.py ............... (15)
-tests/test_qg_security.py ...... (6)
-tests/test_stage_engine_security_gate.py ..... (5)
-======================== 25 passed, 1 warning in 0.49s =========================
-```
-
-### Полный регресс
-```
-======================= 772 passed, 1 warning in 14.70s ========================
-```
-(1 warning — PydanticDeprecatedSince20 в src/config.py, не связан с ORCH-022,
-существовал до задачи.)
-
-## Итог
-**PASS** — полный регресс 772/772 зелёный, 25 security-тестов покрывают все 21 TC
-плана и AC-1..AC-21, smoke-тесты API прод-инстанса OK. Прод-контейнер в процессе
-тестирования не затронут (тесты офлайн/изолированы). Задача готова к стадии deploy-staging.

docs/work-items/ORCH-022/14-deploy-log.md

@@ -1,12 +0,0 @@
----
-deploy_status: SUCCESS
-work_item: ORCH-022
-hook_exit_code: 0
-deployed_by: deploy-finalizer
----
-
-# Deploy log — ORCH-036 executable self-deploy
-
-Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
-
-Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-022/15-staging-log.md

@@ -1,30 +0,0 @@
----
-staging_status: SUCCESS
-timestamp: 2026-06-07T18:02:27+00:00
-base_url: http://localhost:8501
----
-
-# Staging Gate Log
-
-Staging test suite completed via canonical run (ORCH-048, ADR-001):
-
-```
-docker exec orchestrator-staging \
-  python3 /repos/orchestrator/scripts/staging_check.py \
-  --base-url http://localhost:8501 --mode stub
-```
-
-**Result: 8/10 checks PASS — exit code 0 (advance).**
-
-All REAL (pipeline) checks green: A1, A2, A3 (SMOKE), B4, B5, B6 (ACCESS), C7, C8 (E2E).
-
-Two sandbox-infra-only checks failed and were waived per ORCH-061
-(`staging_infra_tolerance_enabled=True`) — these depend on SANDBOX bot accounts
-being members of the SANDBOX Plane project, not on the pipeline:
-
-```
-INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
-VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
-```
-
-Cleanup ran (Plane SANDBOX test issue deleted, HTTP 204). Exit code 0 → `staging_status: SUCCESS`.

docs/work-items/ORCH-022/16-post-deploy-log.md

@@ -1,14 +0,0 @@
----
-post_deploy_status: HEALTHY
-action_taken: NONE
-work_item: ORCH-022
-window_s: 900
-checks_total: 30
-checks_failed: 0
----
-
-# Post-deploy log — ORCH-021 post-deploy monitor
-
-Наблюдение прода завершено: `post_deploy_status: HEALTHY`, `action_taken: NONE`.
-
-Окно наблюдения: 900s; опросов всего: 30, из них с провалом: 0.

docs/work-items/ORCH-026/00-business-request.md

@@ -1,7 +0,0 @@
-# Business Request: Управление зависимостями задач (B ждёт A) в очереди
-
-Work Item ID: ORCH-026
-
-## Description
-
-TBD

docs/work-items/ORCH-026/01-brd.md

@@ -1,135 +0,0 @@
-# 01-BRD — Управление зависимостями задач (B ждёт A) в очереди
-
-**Work Item:** ORCH-026
-**Repo:** orchestrator (self-hosting)
-**Branch:** feature/ORCH-026-b-a
-**Стадия:** analysis
-**Источник:** предложение Стрим, одобрено Славой (2026-06-04); дополнение Слава+Стрим 2026-06-08 (инцидент эрозии `main`)
-
----
-
-## 1. Контекст и проблема
-
-### 1.1 Первопричина (мотивация СЕЙЧАС — инцидент 08.06)
-Эрозия `main` 08.06 (потеря кода ORCH-067/069, фантом-merge) родилась НЕ из логических
-зависимостей, а из **некоординированного параллелизма**: несколько self-hosting задач
-(ORCH-067/069/071) одновременно срезали ветки от `main` и правили общие файлы
-(`CHANGELOG.md`, `notifications.py`, `config.py`). Последствия:
-
-- CHANGELOG-конфликты на `auto_rebase` → откаты `deploy-staging → development` (дорого:
-  ORCH-069 = 3 попытки = $3.98);
-- тихое затирание кода соседа при merge ветки, срезанной от устаревшего `main` (фантом).
-
-**ORCH-073** закрыл ПОСЛЕДСТВИЯ (3 рубежа: CHANGELOG `merge=union` + SHA-in-main verify +
-регресс-гард маркеров). ORCH-026 должен закрыть **ПЕРВОПРИЧИНУ**: задачи одного репо не
-должны мешать друг другу в `main`.
-
-### 1.2 Исходный скоуп (плоская очередь ORCH-1)
-Очередь (`src/queue_worker.py`, ORCH-1) — плоская: `jobs` упорядочены по `id` (FIFO),
-гейтятся только `available_at` и `max_concurrency`. Нельзя выразить «задача B не стартует,
-пока не готова A». Декомпозиция эпиков (ORCH-025) порождает заведомо зависимые подзадачи.
-
-### 1.3 Что уже есть (опора, НЕ переписывать)
-- **ORCH-1** — персистентная очередь (`jobs`), atomic claim, `available_at`-defer, restart-safe.
-- **ORCH-065** — `merge-lease` (`src/merge_gate.py`): per-repo файловый лиз
-  `.merge-lease-<repo>.json`, неблокирующий acquire, holder-aware release, проактивный
-  реклейм мёртвого/устаревшего держателя. **Сейчас лиз держится только на ребре
-  `deploy-staging → deploy`** (от merge-gate до фактического merge).
-- **ORCH-043** — merge-gate: `branch_is_behind_main`, `auto_rebase_onto_main` (rebase
-  **только когда ветка отстаёт или при конфликте**), `retest_branch`.
-- **ORCH-073** — merge-verify: `verify_merged_to_main` (SHA-in-main), `check_main_regression`.
-- **Plane-статусы** `Blocked` / `Needs Input` + `set_issue_blocked` (`src/plane_sync.py`).
-- **Telegram live-tracker** (`src/notifications.py`) — одна карточка на задачу, уже умеет
-  показывать статус `Blocked`.
-
----
-
-## 2. Цель (бизнес-результат)
-
-Задачи одного репозитория перестают повреждать `main` друг друга, а очередь умеет
-выражать логические зависимости между задачами — БЕЗ потери параллелизма между разными
-репозиториями и без риска для self-hosting прода.
-
----
-
-## 3. Два уровня требований (объединить в одной задаче; приоритет — Уровень A)
-
-### Уровень A — Сериализация merge/деплоя внутри ОДНОГО репо (КРИТИЧНО, корень эрозии)
-Закрывает первопричину инцидента 08.06.
-
-- **A-1.** В рамках ОДНОГО репо merge-в-`main` + деплой должны быть **сериализованы**: пока
-  задача A не слита в `main` (и для self-hosting — не задеплоена), задача B того же репо НЕ
-  доходит до своего merge/деплоя от устаревшего `main`.
-- **A-2.** B перед своим merge-gate **обязана ребейзнуться на СВЕЖИЙ `main`** (где уже есть
-  A) — **proactive pre-merge rebase**, а не только при текстовом конфликте (как сейчас в
-  ORCH-043). Цель: B всегда несёт актуальный код предшественников → структурный анти-фантом
-  на уровне планировщика (дополняет рубежи ORCH-073, не заменяет).
-- **A-3.** Сериализация — **только внутри одного репо**. Задачи РАЗНЫХ репо (orchestrator vs
-  enduro-trails) параллелятся свободно (общая БД/очередь — пропускная способность не падает).
-- **A-4.** Механизм — минимально-инвазивный и **restart-safe** (как ORCH-1/065): переживает
-  рестарт прод-контейнера, не оставляет навсегда захваченных ресурсов (опора на проактивный
-  реклейм ORCH-065).
-- **A-5.** **Совместимость с self-hosting safety:** не ронять/не рестартить прод-контейнер
-  вне штатного deploy; гейт `Confirm Deploy` (ORCH-059) сохранён; никаких push/force-push в
-  `main`.
-- **A-6.** Защита от взаимоблокировки: B при занятой сериализации **defer** (повторная
-  постановка с задержкой через `available_at`), а НЕ откат на `development` и НЕ вечное
-  ожидание; bounded defer-бюджет (анти-livelock, как `merge_defer_max_attempts`).
-
-### Уровень B — Декларативные зависимости (исходный скоуп ORCH-26)
-- **B-1.** Задача может объявить связь `blocked-by` / `blocks` (depends-on).
-- **B-2.** Планировщик очереди (ORCH-1) **не запускает** заблокированную задачу, пока все её
-  depends-on не достигли терминального состояния (`done`).
-- **B-3.** **Защита от дедлоков:** циклические зависимости детектируются; задача в цикле не
-  «пропадает молча» — выставляется `Blocked` + alert (Telegram/Plane).
-- **B-4.** **Видимость:** заблокированная задача видна — Plane-статус `Blocked` и/или
-  ожидание в Telegram-карточке (что и кого ждёт).
-
----
-
-## 4. Открытые вопросы для архитектора (НЕ решаются на этапе анализа)
-
-> Аналитик фиксирует требования; выбор механизма — за архитектором (ADR в `06-adr/`).
-
-1. **Где хранить связи (Уровень B):** Plane relations (родное, видимо в UI, но требует
-   сетевого запроса и зависит от Plane) vs таблица в БД (`job_deps`/поля `tasks`, надёжно и
-   offline, но дубль источника) vs **гибрид** (Plane — источник декларации, БД — кэш для
-   планировщика). Рекомендация анализа: гибрид с offline-fallback (см. §6).
-2. **Механизм сериализации (Уровень A):** глобальный per-repo merge-lock vs FIFO merge-queue
-   vs **обязательный pre-merge rebase + расширение окна merge-lease** (от «момента merge» до
-   «main-updated»). Выбрать минимально-инвазивный, restart-safe, переиспользующий ORCH-065/043.
-3. **Граница окна сериализации для self-hosting:** для не-self репо «merged в main» = конец
-   окна; для self (orchestrator) деплой асинхронный (Phase B/C, ORCH-036/071) — нужно решить,
-   до какого события держать лиз (до `merged_to_main: true` / до `done`).
-4. **Совместимость B и A:** depends-on (B) на уровне постановки в очередь vs merge-сериализация
-   (A) на уровне merge-gate — разные точки конвейера; убедиться, что не конфликтуют.
-
----
-
-## 5. Вне скоупа (Non-goals)
-- Изменение машины стадий `STAGE_TRANSITIONS` (сериализация/зависимости — врезки/гейты, не
-  новые стадии — паттерн ORCH-043/058/071).
-- Приоритизация/перепланирование задач по весам (только зависимости и сериализация).
-- Кросс-репо зависимости (A-3 явно запрещает кросс-репо сериализацию; кросс-репо логические
-  зависимости — возможный follow-up, не v1).
-- Отмена/замена рубежей ORCH-073 — ORCH-026 их **дополняет** на уровне планировщика.
-
----
-
-## 6. Заинтересованные стороны
-- **Owner (Слава)** — одобряет BRD; держатель self-hosting прод-риска.
-- **Стрим** — автор предложения.
-- **Конвейер агентов** — потребитель: developer/deployer работают с веткой, которую затрагивает
-  сериализация; reviewer проверяет обновление доки.
-
----
-
-## 7. Критерии успеха (бизнес-уровень)
-- Две зелёные задачи одного репо больше не способны затереть код друг друга в `main` на уровне
-  планировщика (без участия рубежей-последствий ORCH-073).
-- Задача может объявить зависимость; заблокированная задача не стартует раньше времени и видна
-  наблюдателю.
-- Пропускная способность разных репо не деградирует.
-- Прод-контейнер orchestrator не падает и не рестартится вне штатного `Confirm Deploy`.
-
-Точные PASS/FAIL — `03-acceptance-criteria.md`.

docs/work-items/ORCH-026/02-trz.md

@@ -1,134 +0,0 @@
-# 02-ТЗ — Управление зависимостями задач (B ждёт A) в очереди
-
-**Work Item:** ORCH-026 · **Repo:** orchestrator · **Стадия:** analysis
-
-> ТЗ фиксирует ТРЕБОВАНИЯ к изменениям (модули, контракты, артефакты). Конкретный механизм
-> сериализации и место хранения связей — решение архитектора (ADR в `06-adr/`); ниже отмечены
-> как «КАНДИДАТ / решает архитектор». Аналитик не предлагает архитектуру.
-
----
-
-## 1. Задействованные модули `src/`
-
-| Модуль | Роль в задаче | Уровень |
-|--------|---------------|---------|
-| `src/queue_worker.py` | Планировщик: `_drain_once` / `claim_next_job` — точка учёта зависимостей и сериализации при выборе job. | A + B |
-| `src/db.py` | Очередь `jobs` / `tasks`; `claim_next_job`, `enqueue_job`, `count_running_jobs`. Кандидат на хранение связей и блокировки claim. | A + B |
-| `src/merge_gate.py` | merge-lease (ORCH-065), `branch_is_behind_main` / `auto_rebase_onto_main` (ORCH-043) — опора для proactive pre-merge rebase и расширения окна сериализации. | A |
-| `src/qg/checks.py` | `check_branch_mergeable` (под-гейт ребра `deploy-staging → deploy`) — точка форсированного pre-merge rebase. | A |
-| `src/stage_engine.py` | `advance_stage` — врезки гейтов; точка интеграции сериализации/верификации. | A |
-| `src/webhooks/plane.py` | `handle_work_item_created` / `start_pipeline` — приём задачи; точка чтения relations (если источник — Plane). | B |
-| `src/plane_sync.py` | `set_issue_blocked`, `get_project_states` (`blocked`/`needs_input`), relations API. | B |
-| `src/notifications.py` | live-карточка: индикация `Blocked` / «ждёт ORCH-NNN». | B |
-| `src/config.py` | Новые kill-switch + scope-настройки (паттерн `*_enabled` / `*_repos`). | A + B |
-| `src/reconciler.py` / `src/job_reaper.py` | Не ломать: skip заблокированных задач (как уже делается для Blocked/Needs-Input, ORCH-060/068); реклейм ресурсов сериализации. | A + B |
-
----
-
-## 2. Требования к изменениям — Уровень A (сериализация merge/деплоя)
-
-### 2.1 Proactive pre-merge rebase (A-2)
-- На ребре `deploy-staging → deploy`, ДО фактического merge (в составе `check_branch_mergeable`
-  или соседнего под-гейта), ветка задачи **всегда** догоняется на свежий `origin/main` —
-  **не только при `branch_is_behind_main`/конфликте**.
-- Переиспользовать `merge_gate.auto_rebase_onto_main` (rebase + `push --force-with-lease`
-  ТОЛЬКО ветки задачи). Текстовый конфликт → существующий контракт: `rebase --abort` → откат на
-  `development` (как ORCH-043).
-- **Инвариант:** никаких push/force-push в `main`.
-
-### 2.2 Расширение окна merge-lease (A-1, A-3, A-4)
-- **КАНДИДАТ (решает архитектор):** держать per-repo merge-lease (ORCH-065) не только «на
-  момент merge», а на окно **«merge → main-updated»** (для self — до подтверждения
-  `merged_to_main: true` / `done`), чтобы B не дошла до своего merge, пока A не в `main`.
-- Acquire — **неблокирующий** (как сейчас): занято → **defer** задачи B через
-  `enqueue_job(available_at_delay_s=...)`, bounded бюджет (анти-livelock; ср.
-  `merge_defer_max_attempts`). Откат на `development` НЕ применять для defer.
-- Release — holder-aware (как `release_merge_lease`), на merged-вебхуке / `deploy→done` /
-  откате / по проактивному реклейму (ORCH-065 `reclaim_stale_lease`).
-- Сериализация **строго per-repo** (`.merge-lease-<repo>.json`) — кросс-репо параллелизм не
-  затрагивается (A-3).
-
-### 2.3 Условность и безопасность (A-5)
-- Реально только для применимых репо: kill-switch + CSV-scope (паттерн `merge_gate_repos` /
-  `merge_verify_repos`; пусто → только self-hosting `orchestrator`).
-- `STAGE_TRANSITIONS`, `Confirm Deploy` (ORCH-059), exit-коды deploy-хука, БАГ-8,
-  terminal-sync — **без изменений**.
-- Контракт **never-raise** для всех новых функций (как соседи в `merge_gate.py`).
-
----
-
-## 3. Требования к изменениям — Уровень B (декларативные зависимости)
-
-### 3.1 Декларация связи (B-1)
-- **КАНДИДАТ хранения (решает архитектор, см. BRD §4.1):**
-  - вариант Plane relations: читать `blocked-by` через Plane API в `handle_work_item_created`;
-  - вариант БД: новая таблица `job_deps(task_id, depends_on_task_id)` или поле в `tasks`
-    (idempotent `_ensure_column` миграция, как ORCH-065 `jobs.pid`);
-  - гибрид: Plane — декларация, БД — кэш для планировщика (offline-устойчивость).
-- Миграция БД (если выбран вариант с таблицей/колонкой) — **только аддитивная**
-  (`CREATE TABLE IF NOT EXISTS` / `_ensure_column`), безопасная на живой прод-БД с общими
-  данными enduro-trails.
-
-### 3.2 Гейт планировщика (B-2)
-- При выборе job (`claim_next_job` / `_drain_once`) задача с незавершёнными depends-on
-  **не клеймится** (аналог `available_at`-gate): пропускается до тех пор, пока все depends-on
-  не `done`. Не должна занимать слот `max_concurrency`.
-- Реализация — **leaf-функция** с чистой логикой «готова ли задача к запуску» (тестируемо
-  юнитами, never-raise), по образцу `staging_verdict.py` / `post_deploy.py`.
-
-### 3.3 Защита от дедлоков (B-3)
-- Детектор циклов в графе depends-on (DFS/обнаружение цикла) — чистая функция, юнит-тестируемая.
-- Цикл → задача(и) НЕ запускается молча: `set_issue_blocked` + alert (Telegram/Plane) с
-  указанием цикла. Не блокировать поток других задач.
-
-### 3.4 Видимость (B-4)
-- Заблокированная задача: Plane-статус `Blocked` (`set_issue_blocked`) и/или строка ожидания в
-  Telegram-карточке («⏳ ждёт ORCH-NNN»). Использовать существующий механизм карточки
-  (`notifications.update_task_tracker`), контракт never-raise / silent.
-- `reconciler` F-1 уже пропускает Blocked/Needs-Input (ORCH-060/068) — убедиться, что новые
-  заблокированные-по-зависимости задачи тоже пропускаются (не «разблокируются» ошибочно).
-
----
-
-## 4. Изменения API (endpoints)
-- **Новые HTTP endpoints не требуются.**
-- **Наблюдаемость:** расширить снимок `GET /queue` блоком о зависимостях/сериализации
-  (по образцу блоков `reconcile` / `reaper` / `post_deploy` / `merge_verify`): кол-во
-  заблокированных задач, держатель merge-lease, defer-счётчики, обнаруженные циклы. Read-only,
-  никогда не источник истины для решений.
-
-## 5. Изменения схемы БД
-- **КАНДИДАТ (если выбран БД/гибрид для Уровня B):** аддитивная таблица `job_deps` или колонка
-  в `tasks` (см. §3.1). Только `CREATE TABLE IF NOT EXISTS` / `_ensure_column`. Без изменения
-  существующих колонок `jobs`/`tasks`. Restart-safe, безопасно на общей прод-БД.
-- Уровень A (сериализация) — **без изменения схемы БД** (merge-lease файловый, как ORCH-065).
-
-## 6. Требования к новым QG checks
-- **Новый зарегистрированный QG-чек НЕ вводится** (паттерн ORCH-071/058: под-гейт — врезка в
-  `advance_stage` или расширение `check_branch_mergeable`, а не новая запись в `QG_CHECKS`).
-- Реестр `QG_CHECKS` — без изменений.
-
-## 7. Конфигурация (`src/config.py`)
-Новые настройки по паттерну `*_enabled` (kill-switch) + `*_repos` (CSV scope, пусто →
-self-hosting). КАНДИДАТ-имена (финализирует архитектор):
-- Уровень A: `merge_serialize_enabled` / `merge_serialize_repos` (или расширение
-  `merge_gate_*`); опционально `premerge_rebase_always` (вкл proactive rebase).
-- Уровень B: `task_deps_enabled` / `task_deps_source` (`plane|db|hybrid`).
-Дефолты — обратная совместимость (для не-self репо — прежнее поведение).
-
-## 8. Артефакты pipeline (создать/обновить В ТОМ ЖЕ PR)
-- `06-adr/ADR-001-*.md` — решение по сериализации (A) и хранению зависимостей (B).
-- Обновить `docs/architecture/README.md` (раздел про очередь/merge-gate/сериализацию).
-- Обновить `CLAUDE.md` (паспорт: конвейер/инварианты, если меняется поведение очереди).
-- Обновить `CHANGELOG.md` (`## [Unreleased]`).
-- Если вводится таблица БД — отразить в `08-data-requirements.md` (создаёт архитектор).
-- `07-infra-requirements.md` — если требуется новый Plane-статус/настройка relations.
-
-## 9. Инварианты (НЕ нарушать)
-1. `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_deploy_status`/`check_staging_status`,
-   `Confirm Deploy` (ORCH-059), БАГ-8, terminal-sync — без изменений.
-2. Никаких push/force-push в `main`; force только `--force-with-lease` на ветку задачи.
-3. Сериализация — строго per-repo; кросс-репо параллелизм сохранён.
-4. never-raise во всех новых функциях; restart-safe состояние.
-5. ORCH-026 дополняет рубежи ORCH-073, не заменяет.
-6. Прод-контейнер orchestrator не рестартится вне штатного `Confirm Deploy`.