Jak Majordomus odvozuje své povrchy

Majordomus je řídicí rovina, která žije uvnitř repozitáře, který řídí. Tento dokument jej vysvětluje jako jeden systém, ne jako seznam funkcí. Fakta se zapisují, objevují nebo pozorují. Stávají se typovanými modely. Tyto modely se validují a kontrolují proti důkazům. Pak se z nich odvozuje každé rozhraní, které člověk nebo agent používá: příkazová řádka, HTTP API, dokument OpenAPI, Swagger UI, MCP, Cockpit a tento web.

Většina z následujícího je už někde jinde popsána, po jednom subsystému: CAPABILITIES.md pokrývá model operací, DYNAMICITY.md pokrývá, kde fakt žije, DEVELOPMENT_RUNTIME.md pokrývá, kde žije sémantika, DOCTRINE.md pokrývá pravidla a důkaz, EVIDENCE.md pokrývá zaznamenaná provedení, GITHUB_PAGES_ARCHITECTURE.md pokrývá web, MESH.md pokrývá objevování a PLANNING.md pokrývá plán. Tento dokument je propojuje a otevřeně říká, kde kód zatím nedělá to, co chce návrh.

Jak číst tvrzení. Každé strukturální tvrzení bylo ověřeno proti kódu a proti běžícímu exekutoru na commitu, na němž byl tento dokument napsán. Tvrzení nesou štítky v hranatých závorkách, například [C4], které ukazují do auditu tvrzení. Audit uvádí soubor a řádek, nebo příkaz, který každé z nich dokládá. Některá prohlášení jsou upřesněna slovem:

• částečné: implementována je jen část tvrzení;
• neimplementováno: nic ve stromě to nedělá;
• dluh: repozitář o mezeře ví. Je uvedena v Architekturním dluhu.

Nejsou zde žádná čísla o obsahu repozitáře (project.no-counts-in-prose). Všude, kde na počtu záleží, je uveden příkaz, který ho změří.

Obsah

1. Invariant
2. Dva programy sdílejí jedno jméno
3. Kde je pravda: pět druhů faktů
4. Objevování a čím se liší od odvozování
5. Typované registry, kanonická id a zobrazovaná jména
6. Schémata: od typu v Rustu k OpenAPI a MCP
7. Povrchy jsou projekce
8. Generační pipeline
9. Správa: doktrína, pravidlo, politika, ADR
10. Existence pravidla není totéž co vynucování pravidla
11. Důkazy, čerstvost a drift tvrzení
12. Publikace: sestaveno, nasazeno, ověřeno
13. Doctor a drift: detekovat, opravit, regenerovat
14. Testy, které drží povrchy pohromadě
15. Relace, kontext, předávka, plánování, prostředí
16. Mesh a nástěnka peerů
17. Návody
18. Co se negeneruje
19. Nulová registrace: ideál a jeho výjimky
20. Proč na generování záleží a teze

Přílohy: A mapa architektury, B mapa ploch, C matice generování, D mapy správy a meshe, E audit tvrzení, F architektonický dluh.

1. Invariant

Fakt jednou objevit a namodelovat a z něj odvodit každé rozhraní.

Toto je mechanismus, který brání rozcházení rozhraní. Repozitář, který se popisuje na několika místech, nashromáždí popisy, které si odporují: README, referenci API, seznam nástrojů pro agenta, dashboard, web. Každý může být v den psaní správný a každý zastarává vlastním tempem. Majordomus se tomu vyhýbá tím, že drží jedinou deklaraci a ostatní popisy z ní generuje. Kde popis generovat nelze, kontroluje ho proti deklaraci.

Repozitář tento invariant jmenuje několikrát. Je to project.interfaces-are-projections a project.rust-canonical-declaration v .ai/repo/rules/project/. Pro operace je to ADR 2, ADR 4 a ADR 5 a pro vývojovou sémantiku ADR 40. Záleží na tom, jak daleko ho kód skutečně ctí:

• Operace (schopnosti) jej dodržují nejlépe. Nástroje a zdroje MCP, trasy HTTP, dokument OpenAPI, cíle měření výkonu, generovaná reference a stránky registru webu se sestavují průchodem jednoho registru [C1, C5, C6, C7].
• Příkazová řádka je deklarována podruhé, v clap. Kontroluje se proti registru, neodvozuje se z něj [C8, C9].
• Cockpit je částečný. Jeho generické stránky schopností, objektů a grafů řídí registr. Jeho stránky oblastí a samotné oblasti jsou psány ručně [C12, C13].
• Vývojová sémantika (úlohy, relace, předávky, checkpointy, přidělování ADR) stále převážně vlastní shellový kód pod lib/. Pro mutující polovinu neexistuje žádná schopnost a soubor ratchetu eviduje tento dluh [C30].

2. Dva programy sdílejí jedno jméno

majordomus jsou dva spustitelné soubory. Tento fakt se snadno přehlédne a závisí na něm každá další sekce.

U příkazu, který nezná, vás shellový nástroj odkáže na spustitelný soubor v Rustu. Registr, a tedy každý odvozený povrch, patří spustitelnému souboru v Rustu. Cokoli vlastní jen lib/, nedosáhne na žádnou trasu HTTP, žádný nástroj MCP ani stránku Cockpitu, pokud jeho soubory nečte schopnost v Rustu. DEVELOPMENT_RUNTIME.md je změřený inventář této hranice a scripts/development-semantics-check vynucuje její ratchet.

3. Kde je pravda: pět druhů faktů

Zdrojem pravdy je sledovaný strom. Vrstva .ai/ je pojmenována .ai/manifest.yaml a klasifikována .ai/repo/knowledge/sources.yaml. Zdroje v Rustu pod apps/majordomus-cli/src/capability/builtin/ deklarují operace a share/ drží druhy, schémata a slovníky. Všechno ostatní je jedno z následujícího:

Plynou z toho dva důsledky a zbytek tohoto dokumentu na nich závisí.

• Odvozený výstup se nikdy nevrací jako vstup. scripts/derive uvádí, že žádná fáze nečte svůj vlastní výstup [C15]. Generátor datové sady v shellu vynechává vlastní dokumenty ze svého seznamu vstupů [C16].
• Pozorování se nikdy nestane oprávněním. Tvrzení peera je pouze poradní. Verdikt důvěry uzlu mesh mění štítky, ne oprávnění [C40, C42].

4. Objevování a čím se liší od odvozování

Objevování je výčet řízený deklarací. Spustitelný soubor v Rustu najde kořen repozitáře. Přečte manifest, načte druhy a schémata (share/kinds.yaml, share/schemas/ a doplňky repozitáře pod .ai/repo/knowledge/) a pak vyčte soubory přes třídy sources.yaml, ve výchozím stavu z indexu správy verzí (--discovery vcs). Každý soubor se stane typovaným objektem nebo diagnostikou se stabilním kódem. Nečitelný manifest nebo soubor druhů je chyba. Objekt, který neprojde validací, je vyloučen, index hlásí degraded a povrchy dál obsluhují; --strict degradovaný index odmítne. CAPABILITIES.md („Lifecycle and failure policy“) to popisuje a test/cases/76_capabilities_projections.sh přidá druh definovaný repozitářem a ověří, že se objeví na každém povrchu.

Odvozování je jiné. Odhaduje relevanci nebo záměr. Žije na několika pojmenovaných místech a samo se označuje:

• Výběr devcontext. Každý selektor kromě IntentMatch je declared() a nese jistotu 1.0. Shoda záměru hodnotí podíl výrazů záměru nalezených v názvu, popisu, identitě nebo štítcích objektu, nikdy v jeho těle [C45].
• Odvozená těla předávek. Sestavují se z gitu, knihy a otevřených otázek a končí patičkou, která říká, že je nenapsal žádný model [C47].
• adr propose. Zapisuje proposed a odmítá jakýkoli jiný stav. Přijetí je akt člověka [C34].

Žádný povrch nespouští jazykový model, aby vytvořil fakt.

5. Typované registry, kanonická id a zobrazované názvy

Každá adresovatelná věc má kanonickou identitu, která není jejím zobrazovaným názvem.

• Schopnosti. Id je namespace.local (rules.report). Název ("Každé pravidlo proti důkazu, který pro ně existuje") je zobrazovaný text. Registr odmítá duplicitní id, názvy nástrojů MCP, URI zdrojů MCP, trasy HTTP a cesty CLI, ukládá záznamy v BTreeMap a iteruje podle id [C4].
• Deklarativní objekty. Id je <kind>.<identity> a identita pochází z pravidla identity daného druhu: id@version pro pravidlo (project.english-only@1), číslo pro ADR (adr-0044). Zdroj MCP je majordomus://<kind>/<identity>.
• Pravidla se uvádějí jako id@version v depends_on. Nová verze je nový soubor (conventional-commits.v2.md).
• Worktrees se identifikují podle své větve. Cesta <repo>-wt/<branch> se odvozuje z gitu a nikdy neregistruje (WORKTREES.md).
• Peeři dostávají pozici na nástěnce (p1, p2), která se při znovupřipojení přiděluje znovu. Není to identita: trvalou polovinou identity peera je checkout, který nese (ADR 44).

Kanonické je i řazení. apps/majordomus-cli/src/order.rs definuje jedno úplné uspořádání: skupina, pořadí, popisek porovnávaný přirozeně, pak identita. scripts/ci/order-check odmítá komparátory ignorující velikost písmen mimo něj, klíče řazení, které se vykreslují, a nepřipnuté shellové sort. Také ratchetuje zbývající místa řazení v crate v .ai/repo/order-baseline.txt [C19].

6. Schémata: od typu v Rustu k OpenAPI a MCP

Řetězec schémat spustitelné schopnosti je skutečný kód a člověk každý jeho kus píše jen jednou:

flowchart TD
  ty["Rust input and output types<br>serde + schemars JsonSchema derive<br>doc comments become descriptions"]
  cs["CanonicalSchema::of<br>schemars::schema_for, $schema removed,<br>rustdoc translated to CommonMark"]
  mcp["MCP tool inputSchema and outputSchema<br>for_mcp: inline, $defs kept"]
  oas["OpenAPI 3.1 operation<br>for_openapi: $defs hoisted into components,<br>refs rewritten; a clash of names is refused"]
  sw["Swagger UI<br>loads /openapi.json, embeds nothing"]
  gen["docs/generated/openapi.json and openapi.yaml<br>site /docs/api/"]
  ty --> cs
  cs --> mcp
  cs --> oas
  oas --> sw
  oas --> gen

CanonicalSchema::of::<T>() volá schemars::schema_for! [C2]. Názvy komponent OpenAPI pocházejí z titulu schématu. Ten jmenný prostor je plochý, takže dva různé typy se stejným titulem selžou openapi::document s „schema component … is defined twice with different content“ [C3]. Oprava je přejmenovat typ; nic na to před tím bodem neupozorní (dluh F-11).

Deklarativní druh začíná o krok dříve. Jeho schéma dokumentu žije pod share/schemas/majordomus/<kind>/. Popis .proto tam generuje JSON Schema, allow-list front matteru pod share/allow/ a požadavky na sekce (DEVELOPMENT_RUNTIME.md, „The derivation chain“). Neznámé klíče front matteru jsou chyby (project.unknown-keys-are-errors).

7. Povrchy jsou projekce

7.1 Jedna deklarace

Spustitelná schopnost je jeden blok capability! v apps/majordomus-cli/src/capability/builtin/<module>.rs. Vypisuje id, kind, title, description, input, output, stability, exposure, tags, cache, benchmark a handler. Makro také klasifikuje dostupnost, viditelnost a politiku provádění z druhu a vystavení a případy měření výkonu bere z BenchmarkCases vstupního typu [C1]. exposure nastavuje každý povrch explicitně: Exposure { mcp, http, cli }. None znamená, že schopnost tam není vystavena, a nic vystavení nedovozuje [C4]. Moduly se skládají pomocí module! a compose_modules! v builtin/mod.rs.

Dva modifikátory po makru deklarují to, co druh sám říct nemůže. .cancellable() označuje schopnost, jejíž běh lze zrušit. .writes_repository() označuje schopnost, která zapisuje sledovaný záznam. Dvě schopnosti obsluhované přes HTTP a MCP ho dnes nesou, plan.transition a recover.orphans; vypíšete je hledáním .writes_repository() pod builtin/ [C31].

7.2 MCP

src/mcp/surface.rs o sobě říká „Nothing is declared here“. compute_tools() bere každou schopnost s expozicí mcp.tool. compute_resources() bere každou schopnost s expozicí mcp.resource a každý deklarativní objekt je jednou [C5]. Nástroj nese kanonická vstupní a výstupní schémata, _meta.majordomus.id a readOnlyHint odvozené z druhu. Volání se rozřeší přes by_mcp_tool a běží přes sdílený executor.

Nástroje, jimiž se agenti koordinují, jsou běžné deklarované schopnosti: majordomus_announce je peers.announce, majordomus_peers je peers.list a majordomus_capabilities je capabilities.list. Nejsou to ručně psané nástroje. Tři kusy kódu o nich přesto vědí jménem: text instrukcí initialize, most stdio-na-HTTP (který po opětovném připojení přehraje oznámení) a handler peers.announce (který odmítne volajícího, který není MCP) [C6].

7.3 HTTP API

Router vyřeší trasu schopnosti pomocí registry.by_http(method, path). Pro GET naváže parametry dotazu, převedené podle typu ze schématu; pro POST naparsuje tělo JSON. Zavolá executor a mapuje chyby na 400, 404, 422 a 500 [C7]. Router přidává chování transportu a nedrží žádnou obchodní logiku: převody, mapování chyb, odmítání cross-origin požadavků jiných než GET, index tras na /api/v1 a cache dokumentu OpenAPI pro každou generaci. Jeho trasy mimo schopnosti jsou infrastruktura: /, /openapi.json, /swagger, /mcp, WebSocket /events, /cockpit/** a generované statické mounty jako /docs/ (WEB.md). Žádná ručně psaná trasa peerů neexistuje: /api/v1/peers je peers.list.

7.4 OpenAPI

src/http/openapi.rs sestavuje OpenAPI 3.1 ze stejného registru. operationId je id schopnosti a tagy jsou moduly. Příklady parametrů jsou vlastní případy měření schopnosti, takže pole, které žádný případ nenastavuje, nemá příklad. Rozšíření x-majordomus-* nesou id, druh, stabilitu, provenienci, měření, cache, MCP a CLI; infrastrukturní trasy jsou pod x-majordomus.infrastructure [C7]. Mapy jsou seřazené a nenesou časové razítko. Živý dokument a docs/generated/openapi.json jsou tentýž výpočet.

7.5 Swagger UI

src/http/swagger.rs vykreslí jednu statickou HTML skořápku, která míří SwaggerUIBundle na /openapi.json. Jednotkový test ověřuje, že skořápka nevkládá paths, openapi ani components. Vlastní JavaScript a CSS UI se načítají z připnutého swagger-ui-dist na unpkg, takže toto je jediný povrch, který není offline [C10]. Je to čistá projekce UI.

7.6 Příkazový řádek: dvakrát deklarován a zkontrolován

Strom clap v apps/majordomus-cli/src/cli.rs se píše ručně. Je to záměr: clap vlastní parsování, nápovědu, výchozí hodnoty a množiny hodnot („Jediná projekce, která se může rozjet“ v CAPABILITIES.md). CliExposure schopnosti je proto tvrzení o příkazu deklarovaném jinde a toto tvrzení se kontroluje v obou směrech:

• capability/closure.rs selže, když tvrzení jmenuje příkaz, který clap nemá, nebo takový, který jen seskupuje jiné příkazy. Běží v tests/projections.rs i v capabilities validate [C8].
• cli::LOCAL (src/cli/local.rs) uvádí důvod pro každý příkaz, který žádná schopnost nenárokuje. Existují právě čtyři strukturální důvody: životní cyklus procesu, zapisuje do repozitáře, místní k relaci, nebo vykresluje pojmenovanou schopnost pro terminál. Existuje také forma aliasu. quality::parity ji kontroluje a kontrola projection-closure (scripts/ci/projection-check) selže na příkazu, který žádný důvod neuvádí [C9]. capabilities projections uvádí obě množiny živě: příkazy jen pro CLI jako unbacked a příkazy bez důvodu jako unclassified.

Co příkaz CLI stále bere ručně [C11]:

• varianta clap a větev dispatch v commands/mod.rs;
• runner v commands/<name>.rs, který mapuje flagy na vstupní JSON (--findings se stane findings_only) a volá ctx.execute(id, input) po registry.by_cli;
• textový renderer. --format json vypíše výstup schopnosti beze změny; --format text je vlastní příkazu. Některá sémantika ukončení žije jen v rendereru: rules report --check tam končí kódem 10, ne v handleru;
• položka v cli::EXAMPLES, jediné ručně psané konstantě CommandExamples. cli::validate odmítne spustitelný příkaz bez příkladu a tests/cli_examples.rs spouští každý příklad proti sestavené binárce.

Shellové doplňování není clap_complete. commands/completion.rs odpovídá z grafu příkazů, který skládá strom clap, share/commands.yaml shellového nástroje a workflow (COMMANDS.md).

7.7 Cockpit

Cockpit (src/cockpit/) je HTML vykreslované na serveru v Rustu; žádný šablonový engine neexistuje. Cesta /cockpit je důležitější než kterákoli funkce, proto tato sekce odděluje to, co se odvozuje, od toho, co se píše:

• Odvozeno. /cockpit/capabilities/<id> je jedna obecná stránka pro každou schopnost s formulářem pro spuštění vytvořeným ze vstupního schématu. /cockpit/object?uri= vykreslí libovolný objekt; /cockpit/graphs/<id> vykreslí libovolné odvození. Katalogy v postranním panelu pocházejí z registry.modules(), seskupené podle module_area produktového modelu, plus index.kinds() a graph::ids(), vše v kanonickém pořadí [C12].
• Psáno ručně. Tabulka tras je match v cockpit/mod.rs. Seznam oblastí (Přehled, Schopnosti, Mesh, …) je nav::areas() a komentář modulu uvádí důvod. Stránky oblastí žádají o schopnost jejím doslovným id, například ask(ctx, "health.report", …) nebo ask(ctx, "mesh.status", …) [C13]. Věta v CAPABILITIES.md, že „nic v něm nejmenuje schopnost“, tedy není přesná (dluh F-20).
• Frontend není autorita. JavaScript pod share/cockpit/ dělá jen prezentaci a požadavky. runner.js volá skutečnou routu schopnosti z data-mj-method/data-mj-path; palette.js a pohledy grafů čtou /api/v1/*. Nic v prohlížeči nepočítá připravenost, stav ani důkaz. Kontrola development-semantics odmítne jakýkoli odkaz na .ai/repo, .ai/local nebo spustitelný soubor majordomus uvnitř stromů Cockpitu [C14].

7.8 Srovnání povrchů

Pokrytí je nerovnoměrné. Méně schopností má cestu v CLI než trasu v HTTP. peers.list, plan.*, objects.*, health.report a environment.status nemají vlastní projekci v CLI; příkazy env jsou vykreslení v CLI zaznamenaná v cli::LOCAL. Spusťte majordomus-cli capabilities projections --format json a porovnejte pole cli a http (dluh F-4).

8. Generační pipeline

8.1 Generátory, v pořadí

scripts/derive je jeden příkaz, který aktualizuje každou commitnutou projekci. Jeho fáze běží v tomto pořadí [C15]:

flowchart TD
  build["build step<br>cargo build, or MAJORDOMUS_BIN"]
  a["stage A: majordomus generate --strict<br>code-only projections: openapi, registry, cli,<br>capabilities.md, modules/*.md, share/allow, provider bootstraps"]
  b["stage B: scripts/generate-site-data<br>site/data/generated, site/content, docs/SITE_CLAIMS.md,<br>docs/PLAN_STATUS.md, docs/PAGES_STATUS.md"]
  c["stage C: majordomus generate<br>projections over the index stage B changed:<br>site/data/registry, benchmarks, artifacts manifest"]
  d["stage D: scripts/gitattributes<br>the merge=derived block, from the artifact manifest<br>and the published content tree"]
  check["scripts/derive-check<br>generate --check, generate-site-data --check,<br>gitattributes --check: 0 current, 10 stale, 15 refused"]
  build --> a --> b --> c --> d
  d -.-> check

• majordomus generate (src/generate.rs) zapisuje do docs/generated/ a site/data/registry/ z jednoho plan(). Stejný plán běží pro zápis i pro --check. Jeho cíle jsou enum GenerateTarget v cli.rs a výstupní manifest (docs/generated/artifacts.json) vypisuje každý artefakt s jeho zdrojem, schématem a hashem.
• scripts/generate-site-data je shellová polovina. Hashuje deklarovaný seznam vstupů (INPUTS) pod LC_ALL=C, zapisuje do staging adresáře a výsledky přesouvá na místo, takže neúspěšný běh nic nezmění. Promítá docs/*.md do site/content/docs/ [C16].
• Existují dva zapisovatelé generovaných stromů, src/generate.rs a shellový generátor, a oba zapisují obsah webu (dluh F-14).

8.2 Čerstvost se vynucuje při commitu a v CI

• .githooks/pre-commit spouští bin/majordomus doctor, ochranu worktree a scripts/pages current. Ten poslední příkaz porovná generate-site-data --fingerprint s source_hash v site/data/generated/source.json a poté spustí generate --check [C17]. Pokud spustitelný soubor není sestaven, registrová polovina kontroly se přeskočí se zprávou místo selhání (dluh F-16).
• V CI core-check spouští generate-site-data --check a kontrola generation-converges spouští generate a poté generate --check: generátor musí být pevný bod [C18].
• .gitattributes označí každou odvozenou cestu merge=derived. scripts/merge-derived ponechá „naši“ verzi a vypíše, že soubor je nyní zastaralý, takže merge nikdy neslučuje projekci ručně; derive ji poté regeneruje. doctor shodí klon, který ovladač neregistroval.

8.3 Jak se dokument stane stránkou

Každý dokument je registrován jedním řádkem v první tabulce docs/README.md. Shellový generátor tyto řádky čte a vytváří /docs/<slug>/. Generuje front matter: titulek z prvního nadpisu, popis z řádku, váhu z pozice řádku. Přepisuje odkazy a odmítne každé docs/*.md, které není v žádné tabulce [C16]. Navigace webu (site/data/nav.toml) se píše ručně a scripts/ci/nav-check ověřuje, že šablony navbaru a patičky z ní vycházejí. Nic nepřidává dokument do navigace automaticky. To je záměr: soubor říká, že navbar není sitemap.

8.4 Generátor a renderer

Generátor mění kanonický vstup na commitnutý nebo servírovaný artefakt a posuzuje se podle --check: majordomus generate, scripts/generate-site-data, majordomus update, scripts/gitattributes. Renderer mění hodnotu, která už existuje, na prezentaci a nedrží žádný fakt: textový renderer CLI, stránka Cockpitu, šablona Zola, banner prostředí (src/environment/render.rs, „čistý pohled bez discovery“). Když renderer počítá něco, co by měl vlastnit generátor, stává se druhou implementací. Kontrola development-semantics říká, že to mechanicky rozhodnout neumí, a tak to dělá recenzent.

8.5 Generátory se testují

• tests/projections.rs: každá deklarovaná projekce existuje a žádná není sirotek; změna typu nebo popisu dosáhne MCP, OpenAPI i reference; generované artefakty jsou při dvojím generování bajtově totožné a nenesou absolutní cestu [C18].
• tests/generate_check.rs: --check souhlasí s tím, co by zápis vyprodukoval, odhalí manipulaci a nikdy nezapisuje.
• test/cases/98_cli_reference.sh porovnává dvě generace pomocí cmp. test/cases/28_no_hardcoded_values.sh tvrdí, že pořadí vstupu nezávisí na locale. test/cases/12b_site_data_transactional.sh tvrdí, že neúspěšný běh zanechá artefakty bajtově shodné. test/cases/51_derived_artifacts_committed.sh tvrdí, že derive-check projde a že žádný odvozený soubor nevkládá aktuální commit.

9. Governance: doktrína, pravidlo, politika, ADR

Tento repozitář definuje čtyři pojmy takto. Definice pocházejí z DOCTRINE.md, souborů pravidel a .ai/repo/policy.yaml.

Řetěz od pravidla k důkazům je:

flowchart TD
  rule["rule file<br>class, depends_on, x-majordomus"]
  mode["enforcement mode, from the block's shape<br>dispatched: validator / gated: tests / reviewed: reason"]
  val["validator<br>mj_validate_name in lib/, run by the dispatcher<br>at the commands enforced_by names"]
  gate["CI gate<br>.ai/repo/ci/gates.yaml: id, job, runs, path classes"]
  test["behavioural case or crate test<br>test/cases/*.sh, apps/majordomus-cli/tests/*.rs"]
  ledger["recorded execution<br>.ai/repo/evidence/ledger.json"]
  state["proof state per rule<br>crate::rules, rules report"]
  surf["surfaces<br>CLI rules report, GET /api/v1/rules,<br>majordomus_rules, generic Cockpit page"]
  rule --> mode
  mode --> val
  mode --> test
  test --> gate
  val --> test
  test --> ledger
  ledger --> state
  gate --> state
  state --> surf

Jedno spojení v tom řetězu je odvozeno, ne deklarováno. gates.yaml neříká, která pravidla kontrola dokazuje. crate::rules skenuje řádek runs: každé kontroly (čtečka řádků, ne typovaný parser) a naváže cestu pojmenovanou pravidlem na kontrolu ve třech případech: příkaz je ta cesta; cesta je testovací případ a příkaz spouští test/run.sh; nebo cesta je test crate a příkaz obsahuje rust-check [C27]. Kontrola sady se předpokládá jako spouštějící každý případ; nic nekontroluje, že případ skutečně vybrala (dluh F-7).

10. Existence pravidla není totéž co jeho vynucování

Pravidlo může být v kterékoli z osmi podmínek a každá je jiné tvrzení. Tabulka mapuje každou podmínku na to, co repozitář dnes skutečně dokáže ukázat.

Strojově čitelná podoba tohoto žebříčku je graf důkazů pravidel (crate::rules, majordomus-cli rules report | show | proves, GET /api/v1/rules, MCP majordomus_rules). Dává každému pravidlu jeden z deseti stavů: proven, inputs unchanged, stale, gated, failing, not run, reviewed, unrunnable, dangling, unproven. Stav pravidla je nejslabší z jeho částí [C23].

• Režimy vynucování plynou z tvaru bloku [C24]. Odesílané pravidlo jmenuje validator. Kontrolované pravidlo jmenuje tests a žádný validátor. Revidované pravidlo jmenuje větu reviewed_because a nic z toho. Spustitelný důkaz vždy vyhrává. scripts/ci/rule-proof-check, kontrola rule-proof, odmítne nefunkční cestu rovnou a ratchetuje blokující pravidla, která v .ai/repo/rule-proof-baseline.txt nejmenují nic [C25].
• Nález je třída, kterou stav nepodporuje. dangling je nález pro jakoukoli třídu. U blokujícího pravidla jsou nálezy unproven, failing a unrunnable. gated, reviewed a not run jsou slabší stavy: počítají se, ale nálezy nejsou [C26].
• Na samotný graf důkazů se nic nekontroluje. Žádný skript, kontrola ani workflow nespouští rules report --check (dluh F-8).
• Selhávající běh lze skrýt. Stav pravidla je max() přes jeho testy a enum řadí Failing před NotRun. Blokující pravidlo s jedním selhávajícím případem a jedním případem, který nikdy neběžel, proto hlásí not run, což není nález. Čtení kódu to ukazuje; v datech to pozorováno nebylo (dluh F-9) [C26].

project.never-reported-is-not-green ukazuje celý problém v jednom pravidle. Jeho výrok zní „kontrola, která nehlásila, je neznámá, nikdy ne úspěšná“. Je to class: advisory, nemá blok x-majordomus a říká, že se rozhoduje „posudkem a záznamem, ne kontrolou“. Graf důkazů je hlásí jako unproven a to není zjištění, protože poradní pravidlo nedluží důkaz. Pravidlo existuje, jeho myšlenky utvářely evidence-check (viz EVIDENCE.md) a mechanicky vynucováno není. Graf říká přesně to.

Chcete-li to změřit sami:

$ bin/majordomus-cli rules report --format json | jq '.states, .coverage'
$ scripts/ci/rule-proof-check
$ bin/majordomus-cli rules show project.never-reported-is-not-green

11. Důkazy, čerstvost a drift tvrzení

Ledger. .ai/repo/evidence/ledger.json drží poslední zaznamenané provedení každého testu. Každý záznam uvádí id testu, runner, zdroj, výsledek, sekundy, commit, stav pracovního stromu, digest sha256 vlastního zdroje testu, čas, původ (local, ci nebo release) a příkaz, který jej reprodukuje. majordomus evidence record jej zapisuje z reportu, který běh už vytvořil. Nedrží žádnou historii ani výstup (EVIDENCE.md).

Čerstvost se odvozuje při každém čtení [C28]:

• běh, který neprošel, je failing;
• když git nedokáže udělat diff, běh je stale, protože nevědět není důkaz;
• když se zdroj testu nebo soubor pravidla změnil po zaznamenaném commitu, nebo digest již nesouhlasí, běh je stale;
• když se nezměnilo nic jiného než samotná kniha, běh je proven;
• jinak je běh inputs unchanged, tedy žádná známá invalidace, ale není to důkaz proti tomuto commitu.

Tvrzení. docs/CLAIMS.yaml váže každé veřejné tvrzení ke zdroji, implementaci a testu, s ručně psaným status ze slovníku deklarovaného v témže souboru. Každé tvrzení má stránku pod docs/claims/. Tři čtenáři kontrolují drift:

Jak důkaz poctivě dosáhne Cockpitu a webu. Stavy důkazů pravidel a tvrzení se poskytují jako schopnosti (rules.*, evidence.*) přes CLI, HTTP a MCP a každá má obecnou stránku schopnosti v Cockpitu. Cockpit nemá žádnou vyhrazenou oblast pravidel, důkazů ani peerů. Stránka webu /evidence/ vykresluje data/generated/claims-graph.json, který je sestaven z CLAIMS.yaml: ukazuje psané vazby mezi tvrzeními, zdroji a testy, ne výsledky ledgeru. Jeho stránky záruk ukazují psané status, ne změřený důkaz [C29]. CI důkazy také nezaznamenává: EVIDENCE.md říká „dnes ten krok nespouští nic“ [C29]. Důkaz funkce tedy dosahuje API a MCP jako odvozený stav. Na stránku, kterou člověk prochází, zatím nedosahuje jako cokoli víc než mechanismus (dluh F-6, F-10).

12. Publikace: sestaveno, nasazeno, ověřeno

Web je projekce a „publikovaný“ se může říkat třem různým stavům:

To je v praxi project.never-reported-is-not-green. Job nasazení, který hlásí cancelled, protože příliš dlouho čekal na CDN, není důkazem, že se nic nepublikovalo, takže na otázku se odpovídá čtením toho, co web servíruje.

13. Doctor a drift: zjistit, opravit, znovu vygenerovat

doctor nemá --fix [C22]. Každý nález jmenuje příkaz, který jej opraví. Nález, který žádný nejmenuje, kontrola finding-reproduce odmítne. Čerstvost site/ a docs/generated/ doctor nekontroluje; kontrolují ji pre-commit pages current a derive-check.

14. Testy, které drží povrchy pohromadě

Rovnost hodnot napříč HTTP a MCP se testuje na vzorku schopností, negeneruje se pro každou. Žádný test netvrdí, že --format json z CLI se rovná hodnotě HTTP u každé schopnosti vystavené v CLI (dluh F-12).

15. Relace, kontext, předávka, plánování, prostředí

Každé z nich sleduje stejný vzor: psaný nebo zaznamenaný stav, odvození a projekce. Vlastník každého odvození se liší a tam je dluh.

Relace: trvalý záznam plus pomíjivá přítomnost. Epizoda relace patří relaci poskytovatele. Dokud je otevřená, zaznamenává se pod .ai/local/state/sessions-open/ a uzavřená se zapíše do .ai/repo/sessions/ jako sledovaný záznam. To je trvalá polovina, zapisovaná lib/session.sh a lib/capture.sh a spouštěná hooky poskytovatele v .claude/settings.json (start relace, konec, compact a odeslání promptu). Přítomnost je nástěnka peerů, držená v paměti sdíleným serverem a ztracená s procesem (§16). CONTINUITY.md uvádí oddělení: „Soubor epizody nezaznamenává žádný proces, nástěnka peerů nezaznamenává žádnou epizodu.“ Typovaná doména relací v Rustu (src/session/) čte; shell stále zapisuje (ADR 47, ADR 52).

Kompilace kontextu: dva enginy.

• majordomus context (lib/context.sh) je briefing. Má pevné sekce v pořadí autority (git, peeři, úloha, profil, kontextové dokumenty, otázky, rozhodnutí, checkpoint, předávka, soubory, historie, prompt), rozpočet řádků z politiky (context.builder_budget_lines) a deklarované pořadí vypouštění. Git, úloha, profil a otevřené otázky se nikdy nevypouštějí a každá vypuštěná sekce je uvedena pod EXCLUDED. Je deterministický a nevolá se žádný model.

• devcontext.compile (src/devcontext/) je kompilátor Rustu. Je to schopnost, takže dosáhne na CLI, HTTP i MCP [C44]. Algoritmus:

  • objevování: semínka, průchod složeným grafem s váhami hran násobenými podél každé cesty, účinné cesty rozsahu (včetně deklarovaného scope úkolu), governance, záznamy relací a lokální předávky a checkpointy a nevyřešené odkazy;
  • relevance: práh (DEFAULT_FLOOR) a limit hloubky (DEFAULT_MAX_DEPTH);
  • autorita: úrovně seřazené Task, Governance, Source, Decision, Knowledge, History;
  • čerstvost: lokální záznam, jehož odchylka od gitu je nedůvěryhodná, má relevanci sníženou na polovinu a dostane diagnostiku stale_record, a zastaralé či nahrazené objekty se vylučují;
  • rozpočet: tokeny odhadnuté jako bajty dělené BYTES_PER_TOKEN, first fit v pořadí podle úrovně, pak relevance, pak URI; seedy a objekty politiky nebo rozsahu se nikdy nezahazují a over_budget se hlásí, pokud samy překročí rozpočet [C45].

  Odvozuje se pouze shoda záměru (§4). Dva enginy pro jeden koncept jsou dluh F-15.

Předávka. Povinné sekce pocházejí z politiky (handover.required_sections: Objective, Current State, Next Action) a chybějící nebo prázdná sekce je odmítnuta. Identitní pole front matteru (větev, hlava, worktree, změněné soubory, …) se vždy počítají a tělo, které se jedno pokusí napsat, je odmítnuto. S --derive se každá sekce generuje z knihy, gitu a otevřených otázek pomocí mj_derive_sec_<slug> v lib/derive.sh [C47]. --resolve vybere nejnovější předávku pro stejný worktree a větev, poté pro stejnou větev, nikdy napříč repozitářem, a označí její divergenci od gitu.

Plánování. Milníky a úkoly jsou psané YAML pod .ai/repo/project/. Stav se odvozuje a nikdy neukládá: klíč status je chyba validace. Validace sestaví DAG závislostí s detekcí cyklů a pak vlny provádění; dva připravené úkoly v jedné vlně, jejichž rozsahy se navzájem obsahují, vyvolají WARN scope_conflict a serializují se [C46]. lib/project.awk je autoritativní engine. src/plan.rs ho zrcadlí a případ 99 ho drží byte-identický; plan.* ho zpřístupňuje přes HTTP a MCP a plan.transition zapisuje jeden záznam přes model (dluh F-17). docs/PLAN_STATUS.md generuje stage B.

RepositoryEnvironment. environment::RepositoryEnvironment (majordomus/repository-environment/v1) je jeden typovaný snapshot: projekt, repozitář, VCS, toolchainy, vrstva, workflow, provideři a služby, s položkou původu pro každou hodnotu. environment.status a environment.explain jsou schopnosti (HTTP, MCP). Příkazy env a banner shellu jsou jeho vykreslení; banner „je čistý pohled bez discovery“. Jedno omezení je poctivé uvést: služba se kreslí jako dostupná, když uspěje TCP connect, a nic víc [C48] (dluh F-18).

16. Mesh a nástěnka peers

Existují dva odlišné mechanismy a třetí neexistuje.

Nástěnka peerů (src/peers.rs, ADR 44) drží relace, které na tomto repozitáři pracují právě teď. Je to jedna nástěnka v paměti na sdílený server; peers.list sbírá nástěnku každého checkoutu čtením leasů ostatních checkoutů a jedním dotazem na každý a hlásí complete a boards. Peer je připojen přes relaci MCP a relace HTTP MCP vyprší po SESSION_IDLE_TIMEOUT. majordomus_announce připojí claim (intent, scope) ke spojení. Nástěnka „nic nevynucuje“ a peer, který se znovu připojí, na ní ztratí své místo [C41].

Mesh (src/mesh/, ADR 50, docs/MESH.md) objevuje běžící instance Majordomus napříč stroji. Jeho implementovaní poskytovatelé jsou UDP multicast, UDP broadcast a HTTP rendezvous (POST /api/v1/mesh/register), každý je implementací MeshProvider, která manageru jen předává bajty. Manager ověřuje obálky podepsané Ed25519 jednou cestou do jednoho MeshRegistry, omezeného MAX_NODES, s přítomností z PRESENCE_TTL a záznamy uchovávanými po RETENTION. Důvěra (deny_unknown ve výchozím stavu) záznamy označuje a nic neuděluje. Mesh je vypnutý, pokud ho nezapne commitnutá deklarace, a deklarace tohoto repozitáře (.ai/repo/mesh/majordomus.yaml) říká enabled: false [C42]. Řídicí věta zní „Discovery creates awareness, not authority.“

Co neexistuje, aby to nikdo nehledal: nástěnka oddělená od nástěnky peerů; objevování přes Tailscale, mDNS nebo DNS-SD (jmenováno jen jako možní budoucí poskytovatelé); jakákoli replikace žurnálu, odkazů nebo nároků mezi stroji na masteru; stránka Cockpitu pro nástěnku peerů. ADR 50 je záměrně drží odděleně: „Nástěnka peerů zůstává jediným povrchem spolupráce.“

Překryv rozsahu je odvozen a poradní. Překryv počítají tři mechanismy a žádný nic nezamyká:

check --overlap čte jen záznamy úloh, ne nástěnku ani větve. Má také vadu, kterou lze reprodukovat: smyčka běží na pravé straně roury, takže její čítač nálezů se ztratí, a tiskne „žádný jiný worktree nemá claim na překrývající se cestu“ hned po výpisu překryvů [C43] (dluh F-13). Commit odmítne skutečně rozsah samotné úlohy, kontrolovaný v finish a hookem pre-push.

17. Návody krok za krokem

17.1 Jedna schopnost přes každý povrch: rules.report

K reprodukci: bin/majordomus-cli capabilities describe rules.report, curl -s localhost:8742/openapi.json | jq '.paths["/api/v1/rules"].get.operationId'.

17.2 Jedno pravidlo od souboru k důkazům: project.conventional-commits

1. Zdroj. .ai/repo/rules/project/conventional-commits.v2.md, class: blocking, s x-majordomus: tests: [test/cases/274_commit_policy.sh, scripts/ci/commit-policy]. Jmenuje testy a žádný validátor, takže jeho režim je kontrolovaný.
2. Kontrola. commit-policy v .ai/repo/ci/gates.yaml, runs: scripts/ci/commit-policy. Soudce uvnitř je schopnost commit exekutoru; kontrola vybere rozsah a ratchetuje dluh v .ai/repo/commit-policy-baseline.txt.
3. Důkaz mutací. test/cases/274_commit_policy.sh přidá commit, který není conventional, a ověří, že příkaz i kontrola skončí s exit kódem 10, že nový dluh selže po --write-baseline a že selže --strict.
4. Důkazy. Kniha drží lokální úspěšný běh suite:274_commit_policy. Cesta kontroly pravidla je jako důkaz unrunnable, protože žádný runner nezaznamenává verdikt kontroly, takže stav pravidla je gated: mechanismus je ukázán, ne výsledek.
5. Povrchy. bin/majordomus-cli rules show project.conventional-commits, GET /api/v1/rules/rule?rule=project.conventional-commits, MCP majordomus_rule a generická stránka Cockpitu pro rules.show. Stránky /doctrines/ webu se generují z registru doktrín (doctrines.json ve fázi B) a nezobrazují stav knihy.

17.3 Jedna doktrína: majordomus.use-case-coverage

Je vendorován v .ai/repo/rules/vendor/majordomus/rules/use-case-coverage.v1.md. Jeho blok jmenuje validator: use_case_coverage, enforced_by: [doctor, check, finish], policy_key: use_cases_covered, exit_code: 10 a test (test/cases/94_use_cases.sh). Dispatcher spouští mj_validate_use_case_coverage (lib/usecase.sh) vždy, když běží některý z těchto příkazů, podle politiky pokrytí v policy.yaml. finish vybírá doktríny podle verification.finish_requires a seznam tohoto repozitáře use_cases_covered neuvádí, takže zde je doktrína vynucována při doctor a check, ale ne při finish. Graf důkazů hlásí validátor present a případ not run.

17.4 Jeden příklad meshe

Mesh je v tomto repozitáři implementován a zakázán, takže poctivým živým příkladem je odmítnutí:

$ curl -s localhost:8742/api/v1/mesh | jq '{active, reason}'
$ curl -s localhost:8742/api/v1/mesh/nodes | jq .count

První odpovídá active: false s důvodem „deklarace meshe je vypnutá“; druhá odpovídá nulou uzlů. test/cases/130_mesh.sh a apps/majordomus-cli/tests/mesh.rs zkouší mesh v jednorázových fixture repozitářích, ne na tomto.

17.5 Přidání funkce: co se skutečně děje

Pro novou operaci jen pro čtení:

1. Napište vstupní a výstupní typy pomocí serde a JsonSchema, plus BenchmarkCases pro vstup (nebo deklarujte výjimku z měření výkonu). Ručně.
2. Napište jeden blok capability! s jeho vystavením. Nový modul potřebuje také module! a řádek v compose_modules!. Ručně.
3. Ujistěte se, že žádný titul schématu nekoliduje s názvem jiné komponenty, jinak generování OpenAPI selže. Ručně; nic na to dřív neupozorní.
4. Pokud má cestu v CLI: přidejte variantu clap, větev dispatche, runner s mapováním argumentů, textový renderer a položku CommandExamples. Pokud je jen pro CLI, přidejte položku cli::LOCAL. Ručně, a kontroluje cli::validate, tests/cli_examples.rs, uzavřenost a parita.
5. Vyhrazená oblast Cockpitu potřebuje větev routy, funkci stránky a položku areas(). Ručně. Generická stránka nepotřebuje nic.
6. Zvláštní třídy cest v .ai/repo/ci/gates.yaml jmenují konkrétní soubory (commit, design, pravidla). Nový builtin soubor už pokrývá třída rust; nový adresář subsystému může potřebovat třídu. Ručně a ne zdokumentováno jako krok.
7. Spusťte scripts/derive a projekce commitněte. Generování je automatické; jejich staging je ruční.
8. Následují MCP, HTTP, OpenAPI, Swagger, obecná stránka Cockpitu, cíle měření výkonu, reference a stránky registru. Automaticky.

CAPABILITIES.md říká, že nová schopnost je „jeden blok capability! … nic jiného“. To platí jen pro schopnost bez cesty v CLI a bez vyhrazené stránky.

17.6 Přidání pravidla: „každá veřejná schopnost má spustitelné ověření“

18. Co se negeneruje

Generování končí tam, kde začíná úsudek. Následující je kanonický lidský vstup a stroj neodvozuje nic, co by jej mohlo nahradit:

• intent: akceptační kritéria úkolu, výsledek milníku, rozsah úlohy, cíl předávky;
• rozhodnutí: kontext, rozhodnutí a důsledky ADR a jeho přijetí;
• rules: tvrzení, třída a volba mezi validátorem, testem nebo posouzeným důvodem;
• policy: rozpočty, požadavky na dokončení, co smí mesh;
• próza: tento dokument a každý docs/*.md;
• deklarace vkusu: skupiny navigace, designové tokeny, oblasti Cockpitu.

Stroj odvozuje to, co se z toho dá přepočítat: stav, vlny, stavy důkazů, schémata, route, reference, web, briefingy a kostry předávek.

19. Nulová registrace: ideál a jeho výjimky

Ideálem je, že přidání faktu nevyžaduje jeho registraci nikde jinde. Platí to pro: deklarativní objekty (soubor ve třídě sources.yaml), projekce schopností do MCP, HTTP, OpenAPI, Swaggeru a obecné stránky Cockpitu, dokumenty na webu (jeden řádek indexu, který generátor vynucuje), poskytovatele meshe a odvozeniny grafu v postranním panelu Cockpitu.

Současné výjimky jsou všechny zaznamenány a každá je kontrolována nebo držena ratchetem, nikoli tichá: strom clap, cli::EXAMPLES, CLI renderery, cli::LOCAL, směrovací tabulka a oblasti Cockpitu, site/data/nav.toml, třídy cest gates.yaml a shellové příkazy v share/commands.yaml. Příloha F je vypisuje s odkazy na soubory.

20. Proč na generování záleží a teze

Repozitář, který paralelně spouští agenty, píše sám o sobě rychleji, než kdokoli čte. Kdyby měl každý povrch vlastní popis, každý merge by byl příležitostí k rozporu a nikdo by si ho nevšiml, dokud by agent nezačal jednat podle špatného. Generování, běh --check a ratchet mění tento rozpor v selhávající příkaz.

Teze, každá vyslovená jen tak silně, jak dovolují důkazy výše:

1. Majordomus je model nativní pro repozitář a jeho povrchy jsou z něj odvozeny. Platí to pro operace a deklarativní objekty. Pro příkazovou řádku (kontrolovanou, ne odvozenou) a Cockpit (generické stránky odvozené, oblasti ručně) platí jen částečně a zatím neplatí pro měnící vývojovou sémantiku, kterou vlastní lib/.
2. Povrchy jsou projekce jedné typované reality. HTTP, OpenAPI, Swagger a MCP jsou projekce a testy ukazují, že HTTP a MCP vracejí u vzorkovaných schopností stejné hodnoty. CLI a Cockpit přidávají renderery, které nedrží žádná fakta; zda renderer začal počítat, rozhoduje recenzent, ne kontrola.
3. Pravidla záleží, když jejich vztah k validátorům, provádění a důkazům může zkoumat stroj. Zde může: graf důkazů odvozuje stav každého pravidla z pravidla, stromu, gates.yaml a ledgeru. To, co graf může ukázat, je stále omezeno tím, co je zaznamenáno, a dnes to znamená jen lokální běhy a žádné verdikty kontrol.
4. Mesh činí distribuovanou práci viditelnou. Není to magická orchestrace. Nástěnka peerů a registr meshe pozorují; nároky jsou pouze doporučující; překryv se hlásí, nezamyká; a mesh je v tomto repozitáři vypnutý.
5. Generování brání jednomu repozitáři hromadit nekompatibilní popisy sebe sama. Platí to všude, kde existuje --check nebo kontrola pevného bodu. Kde próza popisuje kód bez kontroly, rozchází se: F-20 až F-24 níže jsou příklady nalezené při psaní tohoto dokumentu.

Příloha A: mapa architektury

flowchart TD
  subgraph canonical["canonical: tracked, authored"]
    codeN["capability! blocks<br>apps/majordomus-cli/src/capability/builtin"]
    layerN[".ai/** objects<br>rules, ADRs, policy, plan, sessions, use cases"]
    shareN["share/: kinds, schemas, commands, events"]
    proseN["docs/*.md, site/content-src, nav.toml"]
    shellN["lib/*.sh: shell tool semantics"]
  end
  subgraph discovery["discovery"]
    manifestN["manifest and sources.yaml"]
    indexN["index of typed objects<br>fingerprinted"]
  end
  subgraph model["typed models"]
    registryN["CapabilityRegistry<br>builtin plus declarative, frozen"]
    rulesN["rule proof graph"]
    planN["plan model: status, DAG, waves"]
    envN["RepositoryEnvironment"]
    devctxN["devcontext selection"]
  end
  subgraph observed["observed, in process"]
    peersN["peer board"]
    meshN["MeshRegistry"]
    execN["executions"]
  end
  ledgerN["evidence ledger<br>.ai/repo/evidence/ledger.json"]
  gatesN["gates.yaml and scripts/ci"]
  executorN["one executor"]
  subgraph surfaces["projections"]
    mcpS["MCP"]
    httpS["HTTP API"]
    oasS["OpenAPI"]
    swS["Swagger UI"]
    cliS["CLI, checked by closure"]
    cockS["Cockpit"]
    genS["docs/generated"]
    siteS["site data and pages"]
  end
  codeN --> registryN
  shareN --> manifestN
  layerN --> manifestN --> indexN --> registryN
  indexN --> rulesN
  indexN --> planN
  ledgerN --> rulesN
  gatesN --> rulesN
  registryN --> executorN
  rulesN --> executorN
  planN --> executorN
  envN --> executorN
  devctxN --> executorN
  peersN --> executorN
  meshN --> executorN
  execN --> executorN
  executorN --> mcpS
  executorN --> httpS
  executorN --> cockS
  executorN --> cliS
  registryN --> oasS --> swS
  registryN --> genS --> siteS
  proseN --> siteS
  shellN --> layerN

Příloha B: mapa povrchů

Pro ověření libovolného řádku spusťte bin/majordomus-cli capabilities projections --format json.

Příloha C: matice generování

„Odvozeno“ znamená vytvořeno generátorem nebo vypočteno při čtení. Pomlčka znamená, že entita na tomto povrchu není.

Příloha D: mapy governance a meshe

flowchart TD
  pol["policy.yaml<br>finish_requires, budgets, hook wiring"]
  vend["vendored rules<br>.ai/repo/rules/vendor/majordomus"]
  proj["project rules<br>.ai/repo/rules/project"]
  eff["effective rule set<br>additive, no override"]
  disp["doctrine dispatcher<br>lib/doctrine.sh, at doctor, check, finish, watch"]
  gy["gates.yaml<br>gates and path classes"]
  ci["validate.yml<br>planner selects gates by changed paths"]
  rpc["rule-proof-check<br>dangling refused, unproven ratcheted"]
  proofG["rule proof graph<br>ten states"]
  adr["ADRs<br>proposed, accepted by a person"]
  vend --> eff
  proj --> eff
  eff --> disp
  pol --> disp
  eff --> rpc
  gy --> ci
  eff --> proofG
  gy --> proofG
  adr -.-> proj

flowchart TD
  decl["mesh declaration<br>.ai/repo/mesh/majordomus.yaml, enabled false"]
  prov["providers<br>multicast, broadcast, rendezvous"]
  mgr["manager<br>one verification path, signatures, skew, trust label"]
  reg["MeshRegistry<br>presence TTL, retention, bound"]
  caps["mesh capabilities<br>status, nodes, identity, doctor, register"]
  board["peer board<br>per shared server, gathered across checkouts"]
  pcap["peers.list, peers.announce"]
  decl --> prov
  prov --> mgr --> reg --> caps
  board --> pcap

Obě mapy jsou záměrně oddělené. Z registru meshe dnes do nástěnky peers nic neproudí.

Příloha E: audit tvrzení

Odkazy míří na strom v commitu, na kterém byl tento dokument napsán. Rozsah jako :439-482 udává řádky. Příkaz v posledním sloupci je ten, který můžete spustit.

Zmírněno při psaní. Několik tvrzení bylo po kontrole oslabeno:

• „Nic v Cockpitu nejmenuje schopnost“: nepravda (C13).
• „Žádný druh nezapisuje do repozitáře“ (CAPABILITIES.md) a vlastní popis povrchů, že server „nikdy nezapisuje do repozitáře“ (about.rs:40, mcp/protocol.rs:312): vyvráceno plan.transition a recover.orphans (C31).
• „Přidání schopnosti je jeden blok a nic jiného“: pravda jen bez cesty CLI nebo vyhrazené stránky Cockpitu (§17.5).
• „Důkaz funkce dosáhne Cockpitu a dokumentace“: dosáhne API, MCP a obecných stránek jako stav, ne jako vyhrazená stránka (§11).
• „Rovnost napříč povrchy je testována“: vzorkováno, negenerováno (§14).
• „Kontrola dokazuje pravidlo“: odvozeno z runs: a žádný verdikt kontroly není zaznamenán (§9, §10).

Příloha F: dluh architektury

Každá položka je formulována tak, aby se z ní mohl stát úkol. Kategorie jsou: M registrováno ručně, D duplikováno, N neodvozeno, E nevystaveno na každém relevantním povrchu, T netestováno, V bez důkazů, F nevynuceno úplně, P próza, která se s kódem rozchází.