Záruky

share/distribution.yaml je model. Platformní tabulka instalátoru, sestavovací matice release, tabulka v dokumentaci, datová sada webu a veřejná metadata release se z něj generují a `majordomus generate --check` skončí s kódem 10 a pojmenuje každé, které zaostalo.

Příkaz ke stažení, základní URL, název skriptu a shell jsou čtyři pole; příkaz je jejich složení. README.md a průvodce instalací se proti němu kontrolují, nevěří se jim.

Špatný digest, useknuté stažení, archiv, který uniká ze svého adresáře nebo nese odkaz, a spustitelný soubor, který hlásí jinou verzi, se každé odmítnou pojmenovaně, ještě než se launcher nahradí. Neexistuje cesta varuj-a-pokračuj a sudo se nevyskytuje nikde.

Matice buildů se zastaví při prvním selhání, publikace začíná, až když uspěje každý build, a recorder odmítne zapsat záznam, kterému chybí cíl, jejž model označuje jako podporovaný.

Řádek se spouští přesně tak, jak je napsán, včetně roury, na Linuxu i macOS, do vlastního domovského adresáře každého běhu. Dokazuje, že se metadata přeloží, nástroj hlásí přeloženou verzi, launcher MCP běží bez toolchainu a lze inicializovat repozitář. Release to dokazuje jednou při publikaci; tohle v dokazování pokračuje i potom. ADR 0037 jej plánuje na požádání, protože jeho úloha má větev pro macOS a tyto runnery čekaly ve frontě hodiny: žádají o něj noční plán, ruční spuštění a pull request označený ci:full, běžný push ne.

Balič čte zpět, co zapsal, a smaže archiv s opakovanou cestou nebo položkou, která není soubor ani adresář; ověřovač zkontroluje tytéž dvě vlastnosti znovu na runneru, který archiv sestavil. Žádný záložní balič neexistuje, protože archiv zabalený jinak není tím, který byl ověřen.

Omezená podmnožina YAML. Tabulátory, kotvy, flow mapy a víceřádkové skaláry se odmítají, ne hádají.

Cesta musí existovat, být spustitelná a být vyvolána jmenovaným dispatcherem. Hook, který ji vyvolá a zahodí návratový kód, se počítá jako nezapojený.

Dvojí spuštění update zanechá bajtově shodný soubor. Test ověřuje hash.

Jak Majordomus převezme repozitář, který už má ručně psaný CLAUDE.md. Úprava mimo značky není nikdy drift; úprava uvnitř nich se zachytí. Poškozené značky se odmítnou, nehádají se.

Zjištění jmenuje soubor, který vyvolání skutečně nese. Podhook, který není spustitelný, se hlásí jako nezapojený, protože ho dispatcher přeskočí.

Doktrína, jejíž validátor neexistuje, validátor, který žádná doktrína nedeklaruje, příkaz, který se nikdy nedispečuje, blokující pravidlo, jehož příkaz nemůže skončit nenulovým kódem, chybějící test a CI, které polyká sadu testů, jsou šest samostatných selhání se šesti samostatnými zprávami. Každé je mutačně testováno.

Test změní aktuálnost checkpointu z poradní na blokující v kopii vendorovaného souboru s pravidlem a ověří, že návratový kód kontroly se změní z 0 na 10. Existují dvě třídy a žádná výjimka.

Čtenář vadný řádek přeskočí, místo aby spadl, a check, doctor i watch jej hlásí. Kniha je jediný trvalý záznam, který nelze zrekonstruovat odjinud.

Kontrola, která nedokáže přečíst záznam, se dá obejít překlepem, takže nečitelná otázka není menší problém než otevřená.

Pokrývá pět stavů, v nichž může být poskytovatel, idempotenci podle identity promptu poskytovatele, archiv, který je ignorován a nesledován, sadu záznamů, která nemůže nést výstup modelu, dvojici záznam–vykreslení, v níž se uchovává každý prompt, a identifikátor schématu, který se rozřeší na dva soubory popisující obě poloviny.

Mapování relace poskytovatele na epizodu dříve existovalo jen po dobu, kdy byla epizoda otevřená, takže prompty uzavřené epizody se okamžitě staly nepřiřaditelnými — 713 z 974 záznamů tohoto repozitáře. Záznam nyní nese epizodu, relaci poskytovatele, repozitář a worktree s původem vazby; archiv má oprávnění 0600 a je omezen prompts.retention_max_days a prompts.retention_max_bytes, které odřezávají tělo a ponechávají záznam; a tvary přihlašovacích údajů se nahrazují dřív, než se cokoli uloží. Nepropojené starší záznamy zůstávají nepropojené: důkazy pro ně neexistují a toto tvrzení nepředstírá opak.

Pokrývá neshodu jména a názvu souboru, prázdný popis, neznámý klíč front matter, chybějící front matter a blokový token použitý inline.

Próza popisující nástroj se kontroluje stejně, jako se kontroluje nástroj sám. Křížové odkazy se ověřují v obou směrech, takže případ užití jmenující aplikaci, která jej nejmenuje zpět, je selhání, ne tichá asymetrie. Aplikace, která nedeklaruje žádné does_not_fit_when, se odmítne, protože katalog, který uvádí jen to, kam se hodí, je marketing.

update odmítne, nabídne diff a přepíše jen s výslovným příznakem.

Mód každé položky se bere z indexu gitu, zapisuje se do manifestu archivu a před návratem příkazu se prokazuje skrz kontejner.

Nad rozpočet se nezapíše vůbec nic.

Cesta rozsahu, která uniká z kořene repozitáře, se odmítne. Spuštění druhé úlohy, zatímco jedna je aktivní, se odmítne.

Tělo předávky, které se pokusí jeden nastavit, se odmítne, místo aby se sloučilo.

Hlásí se, nikdy neblokuje. Rozpracovaná práce se hlásí a nikdy neblokuje.

Tělo s chybějící nebo prázdnou povinnou sekcí se odmítne a sekce jmenuje.

no_match znamená, že práce byla provedena a hledaná věc neexistuje. failed znamená, že práci nešlo provést. Jsou to různé skutečnosti.

Nejdřív git, pak úloha a profil, pak blokátory, pak psané záznamy, pak historie. Kontextový blok profilu rozhoduje, co se nabídne; je to jediný kód, který ta pole čte.

Počítá se vytištěný dokument, ne jeho sekce. Git, úloha, profil a otevřené blokátory se nikdy nevypouštějí; těla záznamů degradují na odkaz dřív, než zmizí.

Strop je to, co odlišuje checkpoint od předávky. Mód 0600, vytvořeno atomicky, nikdy se nestaguje.

Stejný worktree a větev, jinak stejná větev, jinak nic. Shody v rámci jedné sekundy se rozhodují pořadím v ledgeru. Absence se hlásí jako absence.

Co se stalo, kdy, pro kterou úlohu, na které hlavě a jaký výsledek byl přijat. Nikdy ne to, co kdo řekl.

Odmítne přepsat existující archiv a nedělá nic, když je kniha pod svým stropem.

--why je povinné. --supersedes odmítne text, který neodpovídá žádnému zaznamenanému rozhodnutí. Úloha a head se vypočítají.

Kontrola, která nedokáže přečíst položku, se dá obejít překlepem v ní, proto check, doctor i watch selžou na poškozené položce.

Žádné podmínky, smyčky, includy ani shell. Prompt, který tiše vykreslí překlepnutý token jako doslovný text, je horší než ten, který odmítne.

Grep na pevný řetězec v pořadí podle autority. Žádné řazení, žádné embeddingy, žádný index, který by se mohl rozejít se záznamy, které popisuje.

doctor spustí resolver, vykreslí každý prompt asset, zvaliduje oba naparsované sklady a sestaví kontext. Adresář záznamů, které nečte žádný příkaz, je přesně to selhání, které má tento nástroj zachytit.

Dokument je soubor Markdown pod .ai/, jehož front matter nese schéma context/v1; jméno souboru je konvence a identitou je id. Pořadí je hloubka, pak deklarované pořadí, pak cesta. Poskytovatelé a publikum filtrují; extend, replace a final skládají; duplicitní id, visící odkaz, nahrazený final dokument nebo cyklus se odmítne jménem.

Adresář uvnitř stromu bez dokumentu je missing-contract, s uvedením adresáře a tam, kde požadavek explicitně učinil předek, i kontraktu, který ho učinil. Výjimka je children.require_contract v dokumentu podstromu; platí hodnota nejblíže adresáři, absence znamená, že je kontrakt dlužen, a snížení zděděného true je illegal-override. Strom je adresář manifestu bez poloviny, kterou manifest deklaruje jako nesledovanou; nic jiného se nepřeskakuje podle jména a podstrom, který vrstva nese, ale nevytváří, se uvolní pomocí children.exempt na kontraktu, který ho řídí a který smí jmenovat jen adresáře uvnitř svého rozsahu.

context affected čte pracovní strom, index nebo základní ref, s detekcí přejmenování; změna sledovaného zdroje je WARN k posouzení a nikdy exit kód, protože nástroj nemůže rozhodnout, zda próza stále popisuje kód. context check-sync je validate, pak každá projekce proti svému razítku, pak affected; test/cases/71_context_sync.sh dokazuje exit kódy.

init zasévá .ai/ ze skeletonu a nic dalšího; žádný hook, žádný shellový soubor, žádná instalace nástrojů. doctor selže na sekci, kterou manifest jmenuje a která chybí, a na klíč manifestu, který nic nečte.

Krytí je označený blok v info/exclude společného adresáře gitu. init --personal skončí s kódem 10, pokud git status po něm nevypadá stejně jako před ním, instalátor to sám znovu porovná, update a capture install pokryjí každou cestu před zápisem a sledovanou cestu odmítnou celou a doctor při každém běhu ověří znovu. Zda je vrstva osobní, se čte z bloku a nikde se neukládá. init --extend --shared krytí odstraní a nic necommituje.

Záznam úlohy, ledger, rozhodnutí, otázky, checkpointy a předávky nikdy neputují přes git. Záznam, který do jiného checkoutu dorazí jinak, pojmenovává checkout, kterému patří, a jinde se nevynucuje, což dokazuje test/cases/27_foreign_task.sh.

rules vendor status ohlásí upravený, chybějící nebo cizí soubor; rules vendor update nad ním odmítne pokračovat, dokud se nepoužije --force, a nikdy se nedotkne rules/project/. Novější spustitelný soubor ohlásí novější balíček a neaplikuje jej.

Chybějící nebo zastaralá závislost, cyklus, jedna identita zabraná dvakrát, projektové pravidlo ve vendorovaném jmenném prostoru, nevalidní front matter, neznámý klíč a blok x-majordomus bez vazby jsou odmítnuty každé zvlášť jménem. Každá závislost je uvedena před pravidlem, které na ní závisí, a dva běhy se shodují.

Každá projekce jmenuje .ai/README.md, README.md jmenuje AGENTS.md a doctor selže na projekci, která si vypěstovala vlastní sekci pravidel nebo jmenuje id pravidla, které efektivní sada neposkytuje (případ 899). Člověk i worker se k téže vrstvě dostanou týmiž dvěma kroky.

Každý další příkaz odmítne starší rozvržení a jmenuje migrate. --dry-run vytiskne plán a nic nezapíše. Soubor, který verze nezná, se ohlásí, nikdy nesmaže; cíl, který už existuje, odmítne celý běh.

Kopie checkoutu, nesouvisející absolutní cesta a instalace na PATH čtou tytéž soubory repozitáře a nezapisují nic do distribuce, jejíž hash je po každém příkazu stejný. Kořen distribuce se odvozuje ze vstupního bodu, nikdy z prostředí.

Hodnoty politiky nemají výchozí hodnoty na straně čtenáře, stavy tvrzení se deklarují v matici, fixtures webu odvozují své vstupy z generátoru a každý příkaz, doktrína i tvrzení se kontroluje proti seznamu čtenému z dispatch tabulky nebo registru, a ne zapsanému do testu.

Registr je autorita pro to, co příkaz znamená; bin/majordomus zůstává autoritou pro to, co běží. Příkaz předaný bez záznamu i záznam, který nic nepředává, oba selhávají. Příkaz je veřejný právě tehdy, když ho uvádí text použití, kontrolováno oběma směry.

Požadavek se odvozuje z registru, takže příkaz přidaný zítra dluží pokrytí od té chvíle. Pokrytí se deklaruje v hlavičkách jednotlivých případů, ne odhaduje, protože negativní aserce využívající stdin a smyčka případu povrchu jsou pro každé skenování neviditelné.

share/events.yaml deklaruje každý název, příkaz, který ho vysílá, a povinné klíče jeho obsahu. Neregistrovaný název je odmítnut při zápisu, odmítnut jako filtr historie a ohlášen příkazem history --validate, pokud je už uložen.

Záznam je lokální pro checkout a nikdy se nesleduje, takže necestuje přes git; ten, který dorazí jinou cestou, se pozná podle worktree, které jmenuje. check, finish --check a watch cizí záznam hlásí a nic z něj nevynucují; finish jej odmítne zapsat. Záznam z doby před zavedením pole se bere jako lokální, takže upgrade neobarví instalaci načerveno.

Kontrola čte každou nevyřešenou položku v úložišti, a ne jen položky aktivní úlohy, takže předávka nemůže vyprat blokátor. Úložiště je lokální pro checkout, takže otázky, které kontrola vidí, jsou ty položené v této pracovní kopii. Odmítá se jen dokončený finish; blocked, partial, no_match a failed jsou poctivá nedokončení a odmítnuta nejsou. Libovolná úloha smí vyřešit libovolnou otázku. Alternativy - přenést otázku s předávkou nebo podmínit kontrolu překryvem rozsahu - byly v M001 zamítnuty s případem, který každá z nich řeší špatně.

Měří se výběr, ne úspory. Zaznamenává to `majordomus economics measure`; metrika nese vlastní vyjádření, čím není.

`majordomus economics check` skončí s kódem 10 a pojmenuje každé zjištění; čísla, která čtenáři vidí, se generují ze zaznamenaných běhů do docs/generated/economics.* a do dat webu.

Stejné pravidlo allowlist, pod kterým žijí politika a profily. Název souboru je id; záznam, který si odporuje se svým vlastním názvem souboru, je odmítnut, ne uveden do souladu.

Úkol zaznamenává started_at, verified_at, completed_at, cancelled a své důkazy. BLOCKED, READY, ACTIVE, VERIFY, DONE a CANCELLED z toho a ze stavu jeho závislostí vyplývají. `status` není pole, takže jeho zápis je neznámý klíč.

Kahnovo vrstvení; hlášené jsou úkoly, které z grafu nikdy nevystoupí. Poškozený graf způsobí selhání doctor a watch ho ohlásí jako drift.

Sdílení vlny je pro souběžnost nutné, ale nestačí. Překrývající se deklarovaný rozsah se serializuje konzervativně, protože falešná serializace stojí čas a falešná paralelnost stojí konflikt.

Důkazem je příkaz a jeho výsledek, nebo artefakt. Vyprávění se odmítá. Úkol, jehož completed_at je nastaveno, ale jehož důkazy jsou neúplné, se odvozuje jako VERIFY, nikdy DONE.

Pořadí je topologický rank grafu milníků, takže nikde neexistuje seznam verzí. Dokud přežívá ručně psaná tabulka plánu rozvoje, doktrína ji vůči modelu hlídá v obou směrech; jakmile zmizí, kontrola platí triviálně, což je právě regrese, kterou má odmítnout.

Adaptér leží ve scripts/, protože samotný nástroj nevolá žádnou síť, což dokazuje test/cases/08_no_forbidden_constructs.sh. Počáteční značka nese hash záznamu, z něhož byl vygenerován, což odlišuje přesunutý plán od ruční úpravy; druhá značka nese identitu záznamu, takže titulek, který člověk přepíše, ji nemůže osiřet. Toto tvrzení se týká toho, co adaptér vykresluje a odmítá. Zda remote skutečně přijal, je jiná otázka a odpovídá na ni tvrzení github-projection-gated.

Adaptér končil kódem 11 při driftu od svého vzniku a nic ho nevolalo, takže projekce během pěti dnů zchátrala na desetinu modelu, zatímco každé sestavení bylo zelené. Kontrola rovnou odmítá behind, edited, conflict, unmanaged, state a milestone a hlídá nahromaděný dluh nepromítnutých záznamů proti .ai/repo/ci/github-drift-baseline.txt, který smí klesat a nikdy růst. Jediný drift, který hlásí bez odmítnutí, je drift, který způsobila hlava větve nebo mladé přistání samo, a ten pokrývá projected-record-edit-is-landable.

GitHub ukazuje plán trunku a nic jiného, takže záznam, který pull request upravuje, tam zaostává, dokud se pull request nesloučí a přistání jej neaplikuje (.github/workflows/github.yml). Kontrola hlásí behind, state, milestone a closed jako PENDING u záznamů, které hlava od své merge base změnila, a na trunku u záznamů, které se změnily v přistání mladším než apply.window v .ai/repo/ci/github.yaml. Záznam se změnil, když se liší jeho soubor nebo jeho vykreslení. Drift na jakémkoli jiném záznamu se odmítá jako dřív, stejně jako každý záznam, když změnu nelze změřit.

O záměru se neukládá nic kromě jeho výroku. Úspěšný běh při otevřeném milníku kritérium splňuje, ale nic neuspokojuje; uzavření milníku je uspokojí; změna testu po jeho běhu zastará důkazy a záměr se vrací k ověřování, a selhávající běh také není důkaz, to vše bez doteku souboru záměru. `majordomus intent list`, `intent show`, HTTP API a nástroje MCP odpovídají ze stejného odvození.

`majordomus intent validate` skončí s kódem 10 a `unresolved_evidence_ref`, který jmenuje záměr, a spouští jej kontrola intent-check. Milník nebo položka správy, která se nerozřeší na nic, je odmítnuta stejně. Odkaz na nic by jinak navždy vypadal jako plánovaný záměr.

Úkol jmenuje kritérium, kterému slouží, v `serves`; pokrytí od kritéria k úkolu se odvozuje při každém čtení a vypisuje ho `majordomus intent coverage` spolu s důvodem, proč každý úkol existuje. Záměr zatím bez práce je `intent_not_planned`, varování, protože tak začíná každý záměr.

Odmítnutí je `majordomus intent validate` a kontrola intent-check po startu. Samotný `plan start` uspěje; odmítnutí startu je intent-refused-at-plan-start, které je plánováno. Majordomus nezapisuje ani jeden záznam. Worker pozoruje a kritizuje a repozitář odmítá to, co do sebe nezapadá.

`majordomus intent realization` skončí s kódem 10 a `closed_work_contradicted` a spouští jej kontrola intent-realization; `intent explain` říká, proč záměr stojí tam, kde stojí. Každý odkaz říká, jak je znám: deklarovaný, pozorovaný, odvozený nebo usuzovaný. Uzavřená práce, která je pouze neprokázaná, a úkol uzavřený, zatímco kritérium, kterému slouží, není splněno, jsou varování, nikoli odmítnutí.

`majordomus intent preflight --issue <id>` (nebo `--path`) sleduje kritéria, která úkol deklaruje v `serves`, nikdy jen jeho milník, a každý odkaz posuzuje podle pokrytí, z něhož vychází `intent validate`. Odpovídá `serves` (exit 0), když platí každý odkaz a každý sloužený záměr má kritiku bez otevřeného blokujícího nálezu, `maintenance` (exit 0) pro úkol, který neslouží ničemu pod milníkem, jejž nejmenuje žádný živý záměr, a `refused` (exit 10) se jmenovanou příčinou: unknown_issue, no_issue_covers_paths, issue_serves_nothing, serves_another_intent, serves_unknown_criterion, intent_not_critiqued nebo open_blocking_finding. Nástroj MCP odpovídá totéž. `majordomus start` a `plan start` se ptají téhož joinu přes `intents.binding` (intent-in-session-context, intent-refused-at-plan-start).

Obě stránky vykreslují schopnosti intent-realization a samy nic nerozhodují. Každé kritérium odkazuje na testovací objekt, který jmenuje, a na úkol, který mu slouží; realizující práce nese své poskytovatele a původ svého odkazu a záměr, který repozitář nedrží, je 404.

`majordomus start --issue <id>` (nebo `--intent <id>`) se zeptá `intents.binding`, čemu úloha slouží, a zaznamená, co bylo jmenováno, dvěma piny; `majordomus context` pak při každém volání nese sekci INTENT čtenou z vazby - výrok, invarianty, sloužená kritéria se stavem jejich důkazů, kritiku a mezeru - a uvede `unknown`, když vazbu nelze přečíst. Předávka vazbu připíná a `handover --resolve` odpovídá `unchanged`, `evidence_moved` nebo `plan_changed` (test/cases/961). Úloha, která nic nejmenuje, se briefuje bez záměru a při politice `intent.binding: off` se neptá nic. Záznam drží jen jména a hashe: neukládá se žádná fáze, verdikt ani kritérium (ADR 0111).

Pod politikou `intent.binding: required` se `majordomus plan start`, schopnost `plan.transition` i `majordomus start` ptají `intents.binding` a odmítnou odmítnutou vazbu, týmž slovním zněním v obou plánovacích enginech, a nic nezapíšou; odpověď, kterou nelze přečíst, také odmítne. Pod `advisory` se odmítnutá vazba úlohy hlásí a úloha startuje; při chybějícím klíči nebo `off` `plan start` uspěje jako dřív a `intent validate` poté jmenuje `executing_without_critique` nebo `executing_with_open_blocker` (intent-plan-reviewed). Politika tohoto repozitáře je `advisory`.

Jeden proces na klienta, živý, dokud žije jeho roura; diagnostika jde na stderr; relace nechá repozitář byte po bytu totožný. Vlastní sada crate, tests/mcp_stdio.rs, podřizuje tytéž rámce týmž pravidlům.

Sekvence přidat, odebrat a rozbít skrz sestavenou binárku je tests/external_extension.rs v crate; shellový případ dokazuje, že vrstva, kterou init zapíše, se servíruje a že pravidlo do ní přidané se objeví.

Dva soubory jednoho druhu, které si nárokují jednu identitu, jsou oba vyloučeny a oba pojmenovány. --strict odmítne obsluhovat degradovanou vrstvu; --inspect u ní skončí s kódem 10.

Dva zdroje, vestavěné spustitelné soubory a objekty vrstvy, se setkávají v jednom registru sestaveném na jednom místě; id, názvy a URI MCP, HTTP routes a cesty CLI jsou každé jedinečné, jinak se registr nesestaví. Testy crate v tests/registry.rs pokrývají každou kolizi.

Žádná projekce nedeklaruje vlastní název, popis, schéma ani route; tests/projections.rs dokazuje, že každá deklarovaná projekce je přítomna a žádná není osiřelá a že změněný vstupní typ a popis dorazí do schématu MCP, operace OpenAPI i reference. MCP a HTTP odpovídají na tentýž handler shodně.

share/kinds.yaml a share/schemas/*.schema.json patří distribuci; .ai/repo/knowledge/kinds.yaml a schemas/ patří repozitáři; název deklarovaný oběma je chyba jmenující oba soubory. Allow-listy shellového nástroje se generují z týchž schémat.

JSON, YAML a Markdown dokumentu jsou vykreslení jedné hodnoty, takže se nemohou rozcházet; každé nese hlavičku původu ve formě, kterou jeho kódování dovoluje; index celé sady, docs/generated/artifacts.json, je sám generovaný a čte jej zpět artifacts.list.

Při regeneraci bajtově shodné, bez časových značek, bez absolutních cest; --check nic nezapisuje a skončí s kódem 10, přičemž jmenuje každý soubor, který se liší nebo chybí. Spouští to CI.

Volba je jeden soubor leasu pod .ai/local/state/mcp/, vytvořený atomicky a odstraněný při ukončení; zastaralý lease se převezme; přemostěný klient, jehož server zanikne, převezme nebo se znovu připojí, aniž by si toho klient všiml. Testy crate v tests/mcp_shared.rs pokrývají stranu socketu; --standalone drží jeden proces na klienta. Checkout, nikoli repozitář - propojený worktree je vlastní checkout a volí si vlastní server (ADR 0035), což znamenalo, že změřeno 2026-09-11 běželo sedm živých serverů nad jedním repozitářem git. Slovo bylo zde do ADR 0044 chybné; spolupráci napříč repozitářem činí sesbíraná nástěnka mcp-peers, ne sdílený proces.

Volba klasifikuje lease při každém pokusu a je časově omezená; commands/mcp.rs degraduje na samostatnou relaci, když nelze použít lease nebo server; SIGTERM, SIGINT a SIGHUP odpojí lease v handleru. Testy crate v tests/mcp_shared.rs dokazují každou cestu nad skutečnými procesy a případ 90 podstrčí poškozený lease za launcher. Doktrína je project.shared-server-resilience.

Samotné převzetí je správné, hlídač zastaralého spustitelného souboru udělal svou práci; bez vlastníka zůstaly jeho důsledky. Vystřídaný proces si ponechal svůj socket, svou nástěnku peerů i svou generaci vrstvy a na GET / odpovídal stejným name a repository_id jako držitel leasu, takže na něm prošel každý test živosti v systému. Změřeno 2026-09-10 - dva servery jednoho checkoutu, jeden lease a relace, jejíž prostředí nesla starší adresu a četla nástěnku s jedním peerem, zatímco sdílená nástěnka měla dva. GET / nyní nese leaseholder (lease::LEASEHOLDER_KEY, čte ho lease::probe, takže zapisovatel a čtenář se nemohou rozejít), nový initialize je odmítnut s 409 lease_lost a jménem launcheru a kontrola serveru v health.report varuje, že tento proces není serverem, který popisuje. Server příliš starý na to, aby na otázku odpověděl, probe záměrně přijme - jeho odmítnutí by převzalo živý server, a tak se stane, že jeden checkout má servery dva. Doktrína je project.shared-server-resilience.

Dvě schopnosti registru, peers.list (dotaz) a peers.announce (jediný příkaz), promítnuté jako každá jiná; každá nástěnka je pamětí jednoho procesu a s ním zaniká. peers.list sbírá - vyjmenuje checkouty, které git eviduje, přečte vlastní nástěnku z paměti a zeptá se serveru každého dalšího checkoutu na jeho vlastní nástěnku (checkouts=this, což drží sběr jen na jeden skok) a v boards a complete ohlásí, které checkouty pokryl a zda je dokázal přečíst všechny. Před ADR 0044 odpovídal nástěnkou jednoho checkoutu, zatímco bootstrap řekl každému workeru, že viděl repozitář; změřeno 2026-09-11, devět agentů napříč šedesáti worktrees četlo každý nástěnku, na které byl jen on sám. ID peera je pozice na jedné nástěnce a při opětovném připojení se přidělí znovu; checkout, který peer nese, je jeho trvalá polovina. Oznámení jsou informativní a zanikají s připojením; rozsah vynucuje záznam úlohy shellového nástroje, ne zde.

.mcp.json (Claude Code), .gemini/settings.json (Gemini CLI) a .codex/config.toml (Codex) pojmenovávají tentýž launcher, který nic nezapisuje na stdout a předává všechny argumenty příkazu majordomus mcp; build řídí MAJORDOMUS_BIN, MAJORDOMUS_BUILD_PROFILE a MAJORDOMUS_NO_BUILD.

Jen `mcp` má fallback; každý jiný příkaz stále končí kódem 12. Fallback běží po buildu, který mohl uspět, nebo bez něj, když chybí cargo nebo je volného místa méně než práh, a na stderr uvádí release i důvod. Soubor uvnitř repozitáře a soubor, který neodpovídá na --version, se nikdy nepovažuje za nainstalovaný release. MAJORDOMUS_MCP_BUILD=1 vrací build přispěvateli. Relace z 2026-10-16, která začala jako jediný worker repozitáře (ADR 0156), začala právě zde, s kódem 12 při 4,5 GB volných proti prahu 5120 MB.

Ověřeno v bash a zsh proti atrapám claude a majordomus; skutečný claude přijímá prompt jako poziční argument (claude --help). Obaluje se pouze Claude Code; Codex a Gemini se netvrdí, dokud nejsou ověřeny proti skutečnému nástroji. Instalátor soubor nenačítá (source), protože se nedotýká ničeho mimo svůj prefix.

Drží se na třech místech, která se musí shodovat. scripts/release-record odvodí kanál ze tagu a odmítne stable u tagu s příponou; release.yml pro něj předává --prerelease --latest=false; Release::is_stable_candidate odmítne jakoukoli verzi s pre-release částí bez ohledu na to, co říká její záznam, a Release::findings hlásí chybné označení. Rozlišení a precedenci semver (alpha.2 před alpha.10, build metadata se ignorují) dokazují distribuční testy crate, které případ nespouští. Nalezeno auditem před v1.0.0-alpha.1, kdy by pipeline zveřejnila alpha jako stabilní release.

Jedna funkce, objects::resolve, je rozlišení pro každou projekci; soubor vrstvy je odpovězen označený declarative, dotaz s expozicí zdroje označený builtin s odpovědí jako daty a textem zdroje vedle; neznámé URI je všude not found; registr odmítne dotaz čtený jako zdroj, jehož vstup cokoli vyžaduje. Testy crate v tests/objects.rs pokrývají každou větev na úrovni knihovny.

Formát, lint s varováními jako chybami (veřejná položka bez dokumentace je jedním z nich), sady testů s příklady v dokumentaci, rustdoc s odmítnutými varováními, sestavení měření výkonu, vlastní validace registru, potvrzené projekce v synchronizaci, úplné pokrytí měření výkonu a pokrytí řádků nad potvrzeným minimem; --ci přidá kontrolu měření výkonu proti základní hodnotě platformy a pokrytí ponechá vlastní úloze, --integration spustí samotné kontroly registru pro změnu mimo crate. Úloha rust ve workflow spouští samotný skript v režimu, který zvolil plán, takže neexistuje druhý seznam, který by se rozešel v pořadí; případ čte skript, workflow a justfile a selže, když se neshodují; je-li přítomen toolchain, spouští i příklady v dokumentaci a sestavuje měření výkonu.

cargo-llvm-cov přes všechny cíle, exportovaný jako JSON a následně zpracovaný tak, že tests/, benches/, examples/ i každá inline položka `#[cfg(test)]` opustí zlomek na obou stranách. --ignore-filename-regex druhé nezvládne, proto je to skript a ne přepínač. Dvě minima, každé jedno celé číslo v samostatném souboru, každé čtené CI, scripts/rust-check i just coverage a každé západka — pokrytí změřené při jejím nastavení, které smí růst a nikdy klesat; mez minima crate je FLOOR_BOUND ve scripts/ci/rust-command-check (pravidlo project.rust-command-tested-in-file) a případ 77 ji tam čte. Doména, kterou druhé měří, je deklarována ve scripts/session-coverage-domain a skript odmítne doménu jmenující soubor, který export nenese, takže její zúžení kvůli zvýšení čísla je viditelná úprava. Pravé pokrytí větví vyžaduje nightly toolchain; nahrazuje je pokrytí regionů a hlásí se pod tímto jménem. Úloha coverage běží, když plán zvolí kontrolu rust-coverage, kterou volí třídy rust a share v .ai/repo/ci/gates.yaml a každý úplný plán.

YAML subset a front matter, porovnávání glob vzorů, index, registr, dokument OpenAPI, jeden výpis MCP a jedno volání schopnosti (benches/projections.rs); router, bridge a sdílený server (benches/shared.rs). Čísla se hlásí, netvrdí se; žádný limit latence se neslibuje, dokud se nezměří na CI. Makro capability! nepřeloží spustitelnou schopnost bez případů měření výkonu, registr počítá povinné i prominuté a případ čte politiku každé spustitelné schopnosti zpět přes capabilities list.

capability!, module! a compose_modules! vytvářejí prosté hodnoty předávané builderu registru; přidání schopnosti do existujícího modulu se dotkne jen souboru onoho modulu a MCP, HTTP, OpenAPI, Swagger UI, CLI, cíle měření výkonu, cache i generovaná reference ho následují. Testy crate v tests/registry.rs drží invarianty, tests/projections.rs propagaci.

Každý povinný spustitelný soubor je cílem přímo i na každém transportu, který jeho expozice deklaruje, s případy, které poskytuje jeho vstupní typ; vlastní operace transportů jsou cíle deklarované jednou; prominutí jsou typovaná a nikdy se nepočítají. Runnery měří executor, skutečný loopback socket a skutečného potomka majordomus mcp; výsledky jsou majordomus/benchmark-result/v1; baseline je pro každou platformu pod .ai/repo/benchmarks/rust/ a politika jsou data.

Čítače platné pro celý proces, každý zvyšovaný na jednom pojmenovaném místě a poskytovaný jako perf.counters přes každý transport; tests/hot_path.rs pošle stovky požadavků skutečnými transporty a vyžaduje, aby startovací čítače zůstaly beze změny; výpisy MCP a dokument OpenAPI se připravují jednou.

Jeden exekutor pro každý transport; CachePolicy na deskriptoru; omezeno na schopnost; klíčem je kanonické id, vstup v kanonické podobě a otisk sha-256 obsahu repozitáře a deskriptorů. tests/executor.rs a proptest harness v tests/properties.rs procházejí každou cachovanou schopnost každým případem a generovanými vstupy.

Jeden renderer, dva vstupní body, které se shodují na každém razítku; politika je jediným vstupem (její hash a hash profilů je první hash razítka). Cíl mimo repozitář, poskytovatel bez šablony, token, který politika neumí vyplnit, a cíl always_loaded přesahující rozpočet jsou odmítnuty s důvodem a nic se nezapíše. Režim regionu ponechává hostitelský dokument mimo značky. apps/majordomus-cli/tests/providers_projection.rs pokrývá stranu fixture; CI spouští generate --check při každém pushi.

Každý vestavěný deskriptor celý se souborem, v němž byl složen, každý modul s jeho id, každý objekt vrstvy bez jeho obsahu, každý druh se schématem, deklarované projekce poskytovatelů, příkazový řádek tak, jak jej deklaruje clap, nástroje a zdroje MCP, cesty HTTP, cíle měření výkonu, pokrytí, politika a přijaté základní hodnoty a otisky registru a indexu (majordomus-site-registry/v2); žádné vlastní časové značky, žádné absolutní cesty, žádný stav gitu. Adresář patří výhradně spustitelnému souboru v Rustu, shellový generátor webu vlastní site/data/generated/ celý, takže žádný adresář nemá dva zapisovatele. Kanonický objekt přidaný do vrstvy změní otisk a datovou sadu a bootstrapy nechá být; expozice odebraná z deskriptoru posune cesty a pokrytí a nic jiného; test sleduje každou mutaci přesně k projekci, které se týká.

Kontroly, které běží vždy, jsou v každém plánu; změněná cesta vybírá kontroly každé třídy, které odpovídá, jako sjednocení; třída může eskalovat; kontrola přináší, co implikuje a co vyžaduje; plán je deterministický a pro každou kontrolu říká, proč běžela či neběžela. Workflow čte výstupy plánu a nenese vlastní seznam cest; test/cases/26_ci_wiring.sh dokazuje, že úloha každé kontroly existuje, je podmíněna plánem a verdikt ji potřebuje.

Úloha verdict se spouští vždy, takže stav nikdy nezůstane viset kvůli úloze, kterou plán přeskočil, a zapisuje tabulku každé kontroly s výsledkem její úlohy a důvodem, proč byla či nebyla naplánována. Případ ji pouští s fixture plány a kontexty needs přes každou červenou podmínku. Toto tvrzení znělo do 2026-09-11 "jediný stav, který pravidlo větve vyžaduje", což předpokládalo pravidlo větve, které neexistuje - viz ci-verdict-is-required níže. To, co scripts/ci/verdict počítá, platilo vždy; to, co na něm podmiňovalo merge, ne.

MJ_TEST_JOBS omezuje pool (xargs -P, nikdy holý ampersand); každý případ má vlastní log; verdikty se vykreslují v pořadí jmen a celý log selhávajícího případu předchází jeho řádku; filtr, který nic nezachytí, a prázdný adresář případů jsou chyby použití v obou režimech; MJ_TEST_REPORT zapisuje pro souhrn jeden řádek na případ; test/lib.sh odmítne případ, který nestojí ve fixture, jenž pro něj vytvořilo test/run.sh, takže ručně spuštěný případ nemůže zapsat svou fixture do checkoutu. test/cases/26_ci_wiring.sh dokazuje sémantiku selhání v obou režimech na soukromém harnessu.

scripts/rust-check --artifact DIR zkopíruje debug spustitelný soubor vedle majordomus-cli.json, který jmenuje commit, target triple, toolchain a digest Cargo.lock; workflow jej nahraje jako majordomus-cli-<target>. rust_bin v test/lib.sh předá případu MAJORDOMUS_BIN, je-li nastaveno, odmítne soubor, který není spustitelný, při nenastavení jednou sestaví cargem a požádá případ o přeskočení, není-li ani jedno; launcher bin/majordomus-mcp respektuje stejnou proměnnou.

Publikační cesta dokazuje, že commitnutá odvozená data jsou aktuální podle hashe vstupu, staví z nich web, spouští nad výstupem každou statickou kontrolu a pushuje gh-pages, v jedné úloze spouštěné přímo pushem na master na cestách odvozených z modelu kontrol; předběhnuté běhy se ruší; sada, kontroly crate, pokrytí, sada na macOS, kontrola měření výkonu a sonda prohlížeče běží ve validate.yml na stejném commitu a podmiňují merge. Případ dokazuje spouštěč, odvozené cesty, rušení, oprávnění, že na cestě není žádná těžká kontrola a žádná neopustila validate.yml, a že build, který přeskočí generování, je byte po bytu totožný s tím, který ho nepřeskočí.

Tagy z registry.modules(), příklady z BenchmarkCases schopností vůči indexu repozitáře, odpovědi z jedné stavové tabulky podle druhu, info z about.rs a manifestu crate; benches/routes.rs měří čas každé trasy týmiž případy; web promítá commitnutý dokument, vykresluje /docs/api/ a servíruje /openapi.json surový a site-check odmítne build bez nich.

Deklarace je typovaná a validovaná schématem (share/schemas/majordomus/scope/scope.v1.schema.json; z něj se pro shellový nástroj generuje share/allow/scope.txt); repozitář, který žádnou nedeklaruje, se čte pod výchozím nastavením distribuce a říká to; nalezený soubor mimo rozsah je diagnostika out_of_scope jmenující pravidlo; sledované tajemství je varování tracked_secret; repository.scope a repository.scope_classify se promítají do MCP, HTTP a `majordomus scope`. Testy crate v tests/scope.rs pokrývají každou větev na úrovni knihovny, socketu i procesu. Doktrína je project.scope-is-declared.

Souhrn se počítá z registru příkazů, docs/CLAIMS.yaml, registru spustitelného souboru a případů užití pod .ai/repo/use-cases/; koncept se nikdy nezapočítává. Doktrína je majordomus.use-case-coverage, řízená politikou use_cases.coverage a klíčem finish use_cases_covered.

majordomus usecase run zapíše .ai/local/evidence/use-cases/<id>.json; scripts/generate-site-data spouští stejné scénáře a vkládá důkazy do site/data/generated/catalogue.json, takže --check dokazuje, že stránky ukazují to, co nástroj udělal. Cesty, časové značky, id, hashe a doby trvání jsou normalizovány; nic z chování ne.

usecase impact mapuje cesty přes docs/RESPONSIBILITIES.yaml, dispatch tabulku, identity pravidel a fixtures scénářů; usecase scaffold zapisuje návrhy z registru, fixture příkazu a tvrzení, nikdy však záruku.

Třída se čte ze share/commands.yaml, deklarace, ze které už pocházejí referenční sémantiky, takže bezpečnost je vlastností deklarace, ne pečlivosti autora (ADR 38). Krok se závazkem je ve scénáři s fixture odmítnut, protože jednorázový repozitář nic nedluží, a krok, který zároveň spouští příkaz a ověřuje závazek, je odmítnut jako ani jedno.

Živý výsledek popisuje jeden strom na jednom stroji v jedné minutě, proto se zapisuje do .ai/local/evidence/live/<id>.json, a ne vedle commitnutých fixture důkazů, a pokrytí jej počítá jako jmenování příkazu, nikdy jako jeho pokrytí. Běh odděluje dva verdikty, protože selhávající fixture scénář je vada nástroje, zatímco nesplněný závazek je neprovedená práce (ADR 38).

Případ provede celou cestu proti lokálnímu bare remote, bez sítě; patička každé stránky jmenuje commit, takže nasazení lze ověřit pomocí curl. Workflow volá tentýž skript s --skip-build po své kontrole. Nasměrování GitHub Pages na větev je jednorázové --configure-pages. Ruční postup je .ai/repo/skills/deploy-site/SKILL.md.

Generátor zaznamenává hash vstupu do site/data/generated/source.json, takže `pages current` odpoví na otázku "musí se to znovu vygenerovat?" za pětinu sekundy, aniž cokoli generuje, díky čemuž může běžet při každém commitu, ne jen v CI. V seznamu vynucování politiky je deklarována jako derived-current, zapojena přes git-hook:pre-commit a doctor toto zapojení ověřuje stejně jako ostatní – takže kontrola odmítne zastaralý commit a doktrína odmítne repozitář, který kontrolu odstraní. Dříve se zastaralost projevila až po merge a ten, koho zastavila, nikdy nebyl tím, kdo ji způsobil.

scripts/generate-site-data čte docs/generated/registry.json - projekci čistě z kódu, takže skrz index neběží žádný cyklus - kvůli id, která mění na routes, a zapisuje site/data/generated/executable.json (routes, odkazy na moduly a API, zdroj na GitHubu, tvrzení připojená ke každému povrchu podle cesty jejich implementace) a obsahové stuby pod site/content/registry/; šablony čtou všechny ostatní fakty ze site/data/registry/registry.json. Manifest jmenující modul, který registr nedrží, zdrojový soubor, který strom nemá, nebo jiné schéma, se odmítne a nic se nepublikuje. scripts/site-check dokazuje vykreslenou stranu: každý modul a schopnost má stránku a žádná stránka není bez své položky, stránky CLI, MCP a měření výkonu vykreslují každý příkaz, nástroj, cíl a baseline, každá stránka schopnosti odkazuje na svůj modul a svou operaci a žádná šablona, generátor ani navigační soubor nejmenuje schopnost. Manifest patří mezi vstupy webu, takže jeho hash se mění spolu s kódem spustitelného souboru.

scripts/derive spouští majordomus generate (projekce jen z kódu), scripts/generate-site-data (data a obsah webu a odvozené dokumenty, čtoucí manifest registru a dokument OpenAPI) a znovu majordomus generate (datovou sadu webu a matici měření výkonu nad indexem, k němuž se dokumenty připojily); žádná fáze nečte vlastní výstup. scripts/derive-check skládá generate --check a generate-site-data --check a skončí s kódem 10 s oběma zprávami. Commit, z něhož byla stránka sestavena, je fakt sestavení (site/data/build.json, servírovaný na /build.json, nikdy necommitovaný), takže source.json jej už nenese a generátor je na čistém stromu idempotentní. just derive, just derive-check a workflow Pages volají skripty; just test spouští kontrolu.

share/kinds.yaml deklaruje druh, share/schemas/majordomus/skill/skill.v1.schema.json jeho kontrakt a zdrojové třídy skill a skill_example v .ai/repo/knowledge/sources.yaml určují, které soubory ho nesou. Nic jiného dovednost nejmenuje. lib/skills.sh z tohoto zjišťování odvozuje jediný katalog pro `skills list|show|check`, validátor doktríny a scripts/generate-site-data; index v Rustu servíruje tytéž soubory jako zdroje majordomus://skill/<id> přes majordomus_list a majordomus_get, bez jakéhokoli kódu, který by ten druh znal. Případ dovednost přidá, rozbije, přejmenuje a odstraní a sleduje, jak všechny povrchy následují.

Slovník závazků je share/obligations.yaml, takže token se přidává tam, ne v shellu. Důkazem je řádek ledgeru task.evidence nesoucí hash sledovaných souborů, které závazek pojmenovává; validátor hash přepočítá a při rozdílu uvede obě hodnoty, stejně jako to už dělá kontrola aktuálnosti webu. Závazek, jehož fakt je vzdálený, je místo toho vázán na commit, ve kterém byl převzat, a posuzuje se pomocí mj_git_label, ne pátého slovníku zastaralosti. Výsledek jiný než completed není nikdy odmítnut kvůli tomu, že něco dluží.

share/obligations.yaml dává každému tokenu established_by a jedno z hodnoty `none` ho zavazuje říct v `unestablished`, proč to zde nic nemůže určit. commit, push a target se určují z gitu bez fetche, takže zastaralý tracking ref může říct jen "ještě ne" a nikdy "ano"; pages se určuje pomocí scripts/pages verify s --timeout 0, tedy jediným sondováním kontroly publikace, kterou workflow Pages už spouští a která nyní končí kódem 12 místo 10, když web nikdy neodpověděl - nedosažitelný a nepublikovaný jsou různé nálezy. Takto určený fakt se bere na HEAD, což je `exact` z mj_git_label; ostatní tři štítky si na záložní cestě zachovávají svůj význam a deploy a verify zůstávají zaznamenávány ručně, protože nasazení je fakt o stroji, s nímž tento repozitář nikdy nekomunikuje.

`skills check` a doktrína majordomus.skill-integrity (spouštěná příkazy doctor a watch) provádějí jedno vyšetření – neznámé klíče, verze schématu, celočíselná verze, uzavřená množina stavů, id shodné s adresářem, neprázdné sekce Purpose, Procedure a Output, duplicitní id, popisy, které dvě dovednosti nerozliší, související id, která se dají vyřešit, příklady s nadpisem – a vypíšou počty toho, co prozkoumaly. Generátor webu odmítne sestavit web z dovednosti, která neprojde validací.

site/data/generated/skills.json a site/content/skills/ zapisuje generátor z katalogu lib/skills.sh, adresář s obsahem se při každém běhu nahradí celý; generate-site-data --check skončí s kódem 10, když se dovednost změnila nebo se projekce upravila ručně, a CI tuto kontrolu spouští dřív, než se web sestaví.

Odstranění souboru jej odstraní ze všech, což je přesně to, na čem by skrytý registr selhal.

Publika, oblasti a související okamžiky proti katalogu; příkazy, schopnosti, tvrzení, pravidla a případy užití proti jejich vlastním registrům.

Žádné vážení ani procenta; dotazník na webu a `majordomus why diagnose` provádějí stejnou aritmetiku nad stejnými daty.

Záznam leží v sekci sessions manifestu. Každé pole je odvozené - časy z hodin, hlavy a commity z gitu, seznamy odkazů z událostí účetní knihy pro danou epizodu - a jedinou ručně psanou částí je tělo. Repozitář je pojmenován svým remote a pracovní kopie hashem, takže resolver rozliší záznamy jednoho checkoutu od druhého bez prozrazení cesty. Objevuje je jedna třída zdrojů; index, MCP, objektové cesty, graf i web ji následují.

Vlastní události poskytovatele SessionStart, PreCompact a SessionEnd vymezují hranici a řídí životní cyklus; každá je idempotentní, protože jsou to i události, a doctor ověří zapojení tím, že prožene payload koncovým shimem s vypnutou mutací. Událost start zapíše briefing z politiky na stdout, čímž záznam o pokračování dorazí k pracovníkovi, který o něj nežádal; zbylé dvě nezapisují nic, protože se spouštějí uvnitř již probíhajícího tahu. Pracovní kontext, který každé otevření zmrazí, je lokální, jen se k němu připisuje, nepřepisuje se, a je odmítnut, pokud by obsahoval konverzaci.

continuity.state odpovídá na otázku pracovníka o jedné epizodě, což je správné pro briefing, ale slepé k ostatním oknům otevřeným na stejném worktree, protože state/session-current.yaml je symlink, který přesměruje nejnovější událost start. Pět schopností životního cyklu místo toho čte úložiště, ledger a index, každé postavení určí z toho, co repozitář dokáže pozorovat, a ke každému nálezu přiloží nápravu. Nikdy nezapisují, neposuzují žádné prahy – věk hlásí session.freshness a continuity.state – a nedeklarují žádný příkazový řádek, protože čtou .ai/local/ a jsou poskytovány, ne distribuovány. Stránka Continuity v Cockpitu je jejich projekcí a nemá vlastní model relace.

Epizoda se otevírá na episodes.attach a nikdy na initialize, takže klient, který vrstvu jen čte, nezanechá záznam; je klíčována vnější identitou, kterou klient dodá, a nikdy id peera, které se přiděluje pro každé spojení; každá zpráva, kterou klient pošle, je jeho heartbeat; ztráta spojení epizodu odpojí, ne uzavře, a opětovné připojení pod toutéž identitou pokračuje ve stejné epizodě. Nic z toho nezapisuje záznam relace - nástěnka spouští `capture session --provider generic`, tentýž příkaz, který spouští shim hooku poskytovatele, a hlásí, co řekl. Zachycení promptu je pro spojení deklarováno jako nemožné a nepokouší se o ně: serveru MCP se předávají volání nástrojů, nikdy prompt, který je vyvolal. ADR 0103.

share/providers.yaml nese u každého poskytovatele blok offers - episode (hooks, connection, none), prompts (hook, none) a citaci, ze které byl každý ověřen; slovo mimo kterýkoli slovník shodí čtení souboru, místo aby se degradovalo na none. share::ProviderDeclaration a product::ProductProvider jej nesou a každý povrch je projekce. `capture status` jej spojuje se stromem a hlásí dva fakty na aspekt, schopnost dodavatele a stav tohoto checkoutu, nad sjednocením deklarovaných poskytovatelů a tabulek adaptérů; `unsupported` je vyhrazeno poskytovateli, který věc neumí, a `unadapted` pojmenovává mezeru v této distribuci. scripts/provider-evidence-check je kontrola a případ ji drží u jejího vlastního negativu. ADR 0103, pravidlo project.a-provider-capability-cites-its-evidence.

share/kinds.yaml deklaruje druh, share/schemas/majordomus/adr/adr.v1.schema.json jeho kontrakt (share/allow/adr.txt se z něj generuje) a třída zdrojů adr v .ai/repo/knowledge/sources.yaml říká, které soubory jej nesou; nic jiného rozhodnutí neregistruje. lib/adr.sh odvozuje z tohoto objevování jeden katalog pro `adr list|show|check` a pro mj_validate_adr, validátor majordomus.adr-integrity spouštěný z doctoru a watch. Případ procvičuje duplicitní identity, neznámý stav, verzi schématu, kterou nic nečte, jednostranné nahrazení, nahrazený záznam bez náhrady a chybějící sekci těla.

Dopředná hrana je `related` v front matter rozhodnutí – rule:<id>, claim:<id>, file:<path>, test:<path>. Validace odmítne pravidlo, které efektivní sada nemá, tvrzení, které matice nemá, a cestu, kterou repozitář neobsahuje. Extraktor z každého udělá hranu grafu (declares, supports, references, tested_by), jejíž původ je klíč front matter, který ji vyslovil, takže `knowledge edges` odpovídá v obou směrech z jednoho autorského faktu.

Přijetí je úkon člověka - nástroj, který umí zapsat `accepted`, mění vlastní odvození v pravdu repozitáře a pozdější čtenář nepozná, které z toho je které, proto propose pro to nemá žádný příznak a extrahovaný záznam, který si je nárokuje, je nález. Extrahovaný záznam musí jmenovat své důkazy v provenance.derived_from, jehož reference jsou typované a reference na soubory a testy se musí přeložit; může být stále nahrazen, protože to je něco, co mu udělal pozdější záznam. Identita se přiděluje pod zámkem nad adresářem sekce a případ to dokazuje skutečnými souběžnými procesy, protože tento repozitář vydal dvě 0005 a dvě 0007, než to cokoli kontrolovalo.

Dokumentace a příklady jsou deklarovány vedle deklarace clap jako typovaný Rust; příklad je vektor argumentů a příkazový řádek, který čtenář vidí, se z něj skládá. capabilities validate skončí s kódem 10 a pojmenuje každé porušení s příkazem, souborem a pravidlem; sada zparsuje každý zdokumentovaný vektor kanonickým parserem a spustí každý příklad proti zkompilovanému binárnímu souboru v jednorázovém repozitáři, dva dlouho běžící příkazy jako omezené sondy. Příklad, který sada záměrně nespouští, nese svůj důvod a ukazuje ho všude, kde se příklad zobrazuje.

Povrch je mount, producent, druh, kategorie, viditelnost a původ každého z nich; cesty, na které spustitelný soubor odpovídá, pocházejí z již existujících deklarací schopností, generovaný adresář se deklaruje vedle svého výstupu a web aplikace se čte z konfigurace generátoru webu. Žádný centrální seznam neexistuje. Případ se stránky i indexu ptá nezávisle a vyžaduje stejnou množinu veřejných mountů, takže ručně do stránky zapsaný odkaz jím neprojde.

Swagger UI držel /docs, dokud nedorazila dokumentace, a ta chtěla jméno, které už jí bylo dáno. Případ ověřuje mounty jako data dřív než jako cesty, odmítne producenta Swaggeru na /docs a dokazuje, že mount dokumentace po svém sestavení nepohltí /swagger ani /openapi.json. Nesestavená dokumentace odpoví 503 a jmenuje příkaz, který ji sestaví, místo prohlížeče, který tam dříve odpovídal.

Povrch je deklarován z crate tak, jak je poskytovaná dokumentace deklarována z konfigurace webu, takže nic na něm nezávisí na tom, zda ho některý checkout sestavil; built_from pochází ze surface.json producenta a v docs/generated/web.json chybí, protože ten se musí v každém klonu číst stejně. Stranu Rustu tvoří testy web::discover. ADR 0086 rozhoduje o mountu a o tom, proč není pod /docs.

Seznam je docs/generated/web.json, čtený přes mj_web_composed v lib/common.sh, na který se ptá i každá kontrola, která musí odlišit stránky webu od složeného povrchu. Přípojný bod, který web sám už vyplňuje, se odmítne jako druhý vlastník jedné cesty, místo aby se přepsal. Skládání běží po Zole a po přístupnostním průchodu webu, takže normalizace webu se stránek jiného producenta nikdy nedotkne.

Případ nasadí složený web do lokálního bare remote, bez sítě, a publikovanou větev přečte zpět. Soubor /build.json webu zaznamenává každý složený povrch s commitem, který deklaroval jeho producent, takže commit, ze kterého byla reference sestavena, je zvenčí čitelný vedle commitu, ze kterého byl sestaven web. Strom vytváří v CI úloha rustdoc workflow pro pages pomocí .github/actions/rustdoc, tedy akce, kterou používá i workflow pro validaci.

majordomus quality rustdoc spojuje vykreslený strom s quality::source::Inventory, vlastním měřením syntaktického stromu crate o tom, co exportuje, které měří i kontrola rust-quality. Pro referenci se neudržuje žádný soupis modulů ani položek. Kontrola skončí s kódem 10 a pojmenuje každou chybějící nebo osiřelou stránku, a s kódem 12, když strom neexistuje – nikdy neprojde nad prázdnem. Testy crate quality::rustdoc obsahují jednu fixture pro každý způsob selhání.

Dva svědci, kteří nesdílejí zapisovatele, jmenují commit: built_from producenta a hodnota, kterou rustdoc vykresluje na stránce konstanty COMMIT samotného crate. scripts/pages verify-rustdoc je tvrdý krok workflow pages, jakmile web servíruje nasazený commit, takže nasazení, jehož veřejná reference chybí, je rozbitá nebo zastaralá, shodí svůj běh, a scripts/ci/pages-check se ptá znovu jako kontrola pages-live.

Mapování je quality::rustdoc::module_routes: exportované moduly crate, každý se stránkou odvozenou z vlastního inventáře crate, kterou `majordomus quality rustdoc` od stromu vyžaduje jako zjištění o chybějící stránce. `majordomus generate` ji přenese do datové sady registru webu jako rustdoc u každého modulu a modul, pro který rustdoc stránku nevytvoří (pub(crate) nebo privátní), žádnou nenese. Šablona ji spojí s povrchy, které sestavení složilo, z data/build.json, kterou scripts/site-build zapisuje z docs/generated/web.json; žádnou cestu neodvozuje a sestavení bez reference nic neodkazuje. scripts/ci/link-check ověří každý takový odkaz proti složenému webu.

Identitou je společný adresář gitu a hlavní worktree, který git uvádí jako první, nikdy aktuální adresář, takže propojený worktree neodvozuje kontejner sám v sobě. Název větve se validuje referenčními pravidly gitu a odvozená cesta se při každém volání dokazuje, že zůstává pod kontejnerem. Každý registrovaný worktree dostane postavení a každá podmínka stabilní kód s nápravou; čtyři schopnosti worktree.* promítají stejnou typovanou topologii do MCP, HTTP, OpenAPI, Swagger UI a Cockpitu a pre-commit hook se ptá hlídače.

Plán nic nemění a před aplikací se přepočítá pod zámkem repozitáře. Git přesune adresář jedním přejmenováním; obyvatel kontejneru odejde na přípravnou cestu a pak dovnitř; přesun mezi souborovými systémy se odmítne, pokud není povolena kopie, a pak se ověří proti manifestu každé položky, než se odstraní originál. Nic se neresetuje, neodkládá do stashe, nečistí, nečekoutuje ani nepřepisuje: existující cíl je pojmenovaný konflikt, zamčený worktree čeká, odpojený se nikdy nepřesouvá a pracovní checkout relace se hlásí a přesouvá jen na požádání.

Odstranění souboru jej odstraní ze všech, což je přesně to, na čem by skrytý registr selhal. Druh, jeho schéma a jeho zdrojová třída jsou deklarace, takže zjišťování, validace, identita, index i zdroj MCP nepotřebovaly žádný vlastní kód.

Doména neuvádí žádnou funkci. Stabilní funkce, která nejmenuje žádnou doménu, přestože nějaká je deklarována, nebo jmenuje doménu, která neexistuje, neprojde product validate; odstranění souboru domény ji odstraní z každé odpovědi (ADR 0104).

Soubor funkce obsahuje pouze odkazy a redakční rozhodnutí. Povrchy plynou z toho, na co se promítají její moduly, příkazy a druhy, počty z registru a indexu, okamžiky z katalogu why, cesta z id. Schéma nastavuje additionalProperties false, takže `surfaces:` nebo `route:` ve funkci je chyba validace, ne tvrzení, kterému stránka uvěří.

Modul schopnosti, veřejný příkaz nebo druh objektu, který nepojmenovává žádná stabilní funkce, se ohlásí jako mezera a zobrazí na matici, ne odmítne: věc, kterou produkt dělá a produktová stránka ji nezmiňuje, je přesně to, co má model zviditelnit.

Hranicí je kopie pole po poli přes PUBLIC_FEATURE_FIELDS, ne vyloučení, na které by se dalo zapomenout: pole přidané do modelu na webu chybí, dokud ho někdo nepojmenuje. Test ověřuje, že tam není klíč mimo allowlist, žádné tělo, žádný kořen fixture ani dočasná cesta; scripts/generate-site-data artefakt odmítne ještě jednou, než z něj cokoli vykreslí.

scripts/site-check odmítne šablonu, generátor, program jq nebo navigační soubor, který jmenuje cestu funkce nebo vlastní soubor poskytovatele, dokazuje, že každá veřejná funkce má svou stránku a každá stránka funkci, a porovnává značky, které matice ukazuje, se značkami, které odvodil model. `majordomus generate --check` odmítne strom, jehož datová sada neodpovídá repozitáři.

a_capability_the_repository_adds_reaches_every_cockpit_surface přidá jedno pravidlo do fixture repozitáře, z něhož registr udělá schopnost, a ptá se Cockpitu na ni přes skutečný socket v jeho výpisu, na její vlastní stránce, na stránce jejího objektu s položkou navigace pro její druh a v jeho vyhledávání; the_runner_form_is_generated_from_the_input_schema ve stejném souboru dokazuje formulář. Nic v Cockpitu tu schopnost nejmenuje.

the_dashboard_is_served_at_ui_under_the_cockpits_policy spustí skutečný server nad fixture repozitářem a ověří, že stránka odkazuje na /cockpit/capabilities/<id> pro každou ze schopností health.report, release.version, distribution.releases, plan.status, plan.roadmap a mesh.peers, nese content-security politiku Cockpitu a frontu tahá z /ui/panels/pull-requests, místo aby citovala integration.queue; the_queue_panel_is_a_page_and_a_fragment dokazuje vlastní route fronty.

Případ spustí server nad čerstvě inicializovaným repozitářem a pořídí z něj snímek UI a na obojím čte projekci, kterou stránka nese: osm scén v deklarovaném pořadí, každý zdroj uvedený se svým stavem a selhavší s důvodem, dostupnou scénu s modelem a nedostupnou bez něj a s důvodem, tři scény meshe nedostupné tam, kde žádný mesh neběží, kiosk nesoucí stejné scény, dvě přesměrování a snímek obsahující stránku a její skript. Čte projekci, ne plátno: co skript vykreslí z modelu dostupné scény, se tu netvrdí.

Toto je shellová polovina kontraktu, rozhodnutá bez přítomného toolchainu Rustu. Sémantická polovina, tedy health route, kterou nezaregistrovala žádná schopnost, nebo balíček, který workspace neobsahuje, patří do apps/majordomus-cli/src/deploy/mod.rs a dokazují ji testy tohoto modulu, ne tento případ. Případ páruje každé odmítnutí podle jeho důvodu; nevyžaduje, aby nález jmenoval objekt, nekontroluje exit status doctor a neukazuje, že objekt dorazí do indexu nebo výpisu objektů, takže nic z toho se zde netvrdí.

Matice váže tvrzení k testu cestou a kontrola cesty dokazuje jen to, že soubor existuje. Kniha pod .ai/repo/evidence zaznamenává poslední provedení každého testu s jeho výsledkem, délkou, commitem, stavem stromu, digestem zdroje, časem a původem; `majordomus evidence show` odvozuje stav každého tvrzení z tohoto joinu při každém čtení a tvrzení, jehož test nikdo nespustil, se čte jako `not_run`, místo aby z existence souboru zdědilo záruku.

Úloha evidence ve validate.yml nejprve odvodí report přes `majordomus evidence show` na vlastním checkoutu, změřeném čistém či špinavém, se staženými reporty a výstupem v dočasném adresáři runneru, takže tento report je verdiktem sledovaného ledgeru na commitu běhu. Teprve poté zaznamená výsledky sady a crate přes `majordomus evidence record --origin ci`, který každé provedení označí během z jeho prostředí; tyto řádky jsou záznamem běhu, počítají se v manifestu a o žádném verdiktu nerozhodují, a řádky běhu na trunku se do sledovaného ledgeru dostanou jen přes zaznamenávací pull request z ADR 0080. Sada i úloha rust měří každá strom, ve kterém běžely, s vyloučením jen výstupů, které jejich běh pojmenovává, na cestách, kam tento běh zapisuje (rust-check zapisuje v adresáři crate), a pracovní strom manifestu se odvozuje z těchto měření; report změřený na jiném commitu je odmítnut a report, který nepřinesl žádné provedení, je nepřítomný. U pull requestu je zaznamenaným commitem merge commit, který běžel, s head vedle něj. `scripts/pages evidence` publikuje artefakt publikovaného commitu nebo jeho nejbližšího předka do site/data/evidence.json, který se nikdy necommituje, a zadrží current, se všemi důvody, kdykoli běh nemůže report potvrdit, včetně reportu, který kolektor neodvodil nebo nepřinesl. ADR 68, ve znění ADR 0087.

Pravidlo mohlo v anglické próze pojmenovat případ chování a nikdo si nevšiml, když byl tento případ přejmenován nebo smazán; pravidlo se dál četlo jako vynucované. Kontrola drží obě poloviny vztahu. Pojmenovaná cesta, která ve stromu není, je `dangling` a nikdy se neratchetuje, protože neexistující důkaz je horší než žádný důkaz. Pravidlo kterékoli třídy, které nepojmenovává ani validátor, ani test, ani důvod, je `unproven`, což je polovina, kterou žádná jiná kontrola v tomto repozitáři neumí hledat; poradní není výjimka a jedinou výjimkou je vendorované pravidlo označené `principle`, které balíček připíná hashem a které kontrola počítá při každém běhu. `majordomus rules` hlásí stejný stav `unproven` pro každou třídu, ale za nález ho označuje jen u blokujícího pravidla; u poradního ho odmítá až kontrola.

`majordomus generate site` zapisuje site/data/registry/evidence-subjects.json z matice tvrzení, pravidel, funkcí, případů užití, registru příkazů, zdokumentovaných příkladů příkazové řádky, vestavěných schopností a první hlavičky pokrytí a negativní hlavičky každého případu; schopnost se skládá z tvrzení implementovaných v souboru, v němž je její modul sestaven, a slovo příkazu, na které odpovídá shellový nástroj i spustitelný soubor, jmenuje oba programy. Nic neuvádí subjekt, člena ani route ručně, takže přidání deklarace přidá její subjekt a odebrání ho odebere. `generate --check` ruční úpravu odmítne. Soubor nese jen strukturu - žádný řádek knihy ani commit - takže zaznamenání běhu ho nikdy nezastará.

Hlavičky případů měly před indexem několik čtenářů: stránky příkazů generátoru webu, doktrínu pokrytí příkazů, kontrolu command-furnished a trasování dopadu případů užití, přičemž poslední dvě hledají příkaz kdekoli v kterémkoli řádku covers mezi hranicemi slov, a ne jako slovo prvního. Index čte první řádek slovo od slova, jako stránka. Případ drží obojí shodné, drží každý případ na jedné hlavičce od každého druhu a drží každý řádek covers na jmenování týchž veřejných příkazů v obou čteních, takže čtenáři se zatím nemohou rozejít; kontrolní řez je přesune na index. Dvě další shellová odvození se k testům dostávají deklaracemi, ne hlavičkami: stránky schopností dávají každé schopnosti tvrzení implementovaná v souboru jejího modulu a stránky doktrín jmenují první test každého pravidla. Tentýž případ drží každé z nich shodné s indexem.

Některá pravidla opravdu nemají strojový výraz: původ toho, co bylo napsáno, nebo zda si mechanismus zaslouží své náklady. Před `reviewed_because` ležela v seznamu dluhů vedle pravidel, na která se jen nedostalo, a obojí bylo nerozlišitelné. Důvod je celá deklarace — vedle něj není žádný příznak, protože příznak lze nastavit, ale důvod nelze nastavit, aniž by se napsal. Spustitelný důkaz ho vždy přebije, takže pravidlo, které získá případ, přestane být vynucováno revizí, aniž si kdokoli musí pamatovat něco smazat.

`majordomus doctrine` se ptá, zda repozitář pravidlo nyní splňuje; graf důkazů se ptá, zda je pravidlo vůbec ve stavu, v němž by splněno být mohlo. Deset stavů a ty, které se nesmí slít, jsou `proven` (úspěšný běh a od té doby se nic nezměnilo), `gated` (spustitelná kontrola, kterou spouští kontrola CI, bez zde zaznamenaného verdiktu) a `reviewed` (deklarovaná výjimka). Stav pravidla je nejslabší z jeho částí, takže jediný visící případ způsobí, že pravidlo visí, kolik dalších jich prochází.

Kontrola je test abecedy a říká to: písmeno, které se vyskytuje v češtině, slovenštině či polštině a nikdy v angličtině, nebo celé jiné písmo, není angličtina, ať je o souboru pravda cokoli jiného. Anglická próza nesoucí větu v jiném jazyce zapsanou v ASCII jím projde a vždy projde - pravidlo zůstává širší než kontrola, což je poctivý vztah mezi nimi. Dvě výjimky se deklarují s důvodem: `name` pro vlastní jméno a `fixture` pro soubor, který používá cizí řetězec jako data k důkazu, že s ním program umí zacházet.

project.english-only v2 (ADR 0077) drží vlastní artefakty repozitáře v angličtině bez výjimek a jmenuje jednu oddělenou populaci: obsah publikovaný pro čtenáře v jeho jazyce. Toto oprávnění stojí tři deklarace, které se musí shodovat - cesta je pod site/content-src/ nebo jeho projekcí, allow list nese jazyk a povinný důvod a samotná stránka deklaruje tentýž jazyk. Třetí z nich brání tomu, aby allow list byl souborem, do něhož lze připsat položku a umlčet nález.

`mj_finding` bere příkaz k reprodukci jako pátý argument a bez něj nález vypíše bez příkazu, takže volající, který na něj zapomněl, vytvořil nález, který vypadal přesně jako nález, který ho mít nemůže. Kontrola počítá argumenty každého volání pomocných funkcí pro hlášení, volání předávající dál bere jako věc volajícího a volání, které neumí rozebrat, hlásí jako nečitelné, místo aby ho tiše propustila. Zavedena byla s prázdnou baseline: devět porušení, která našla, bylo opraveno, ne zaznamenáno.

`proven` znamená, že rozdíl mezi vlastním commitem provedení a pracovním stromem je prázdný, s výjimkou řádku samotné účetní knihy — strom před vámi je strom, který běh změřil. `inputs_unchanged` je úspěšný běh, kde se nic z toho, co tvrzení jmenuje, neliší od pracovního stromu — absence známé invalidace, nikoli důkaz na HEAD, protože změna, kterou tvrzení nejmenuje, ho mohla porušit. Smíchání obojího je cesta, jak odznak přestane cokoli znamenat, proto jsou stavy odlišné v modelu, v každé projekci i v kontrole.

Účetní kniha se slučuje po testech, nepřepisuje se po bězích, takže `bash test/run.sh 84_distribution_model` následované záznamem aktualizuje přesně tuto jednu položku. Zápis celé knihy by z běhu jednoho případu udělal repozitář, který prokázal jedinou věc, což je horší než repozitář, který neprokázal nic, protože to vypadá záměrně.

`evidence claim` odpovídá, co dokazuje tvrzení, a `evidence proves` odpovídá, co dokazuje test, včetně ostatních tvrzení, která ho sdílejí. Oba čtou stejný join, takže si ty dva směry nemohou odporovat; relace, kterou lze procházet jen jedním směrem, je jen půl relace.

`majordomus evidence show --check` skončí s kódem 10 u každého zaručeného tvrzení, které důkazy nepodporují, a `scripts/evidence-check` to hlídá proti .ai/repo/evidence-baseline.txt, který eviduje stav po jednotlivých tvrzeních, nikoli seznam jmen. Selhat mohou dvě věci: záruka, kterou baseline vedla jako podloženou a která už není, a podložená záruka, která z matice zmizela. Tvrzení, které baseline nikdy neznala a které nemá zaznamenaný běh, je nový dluh — pojmenovaný a započítaný, nikdy regrese — protože západka, která by střílela na růst, by zdaňovala sepisování tvrzení. Kontrola je poradní, dokud baseline nese nepodložené řádky, a `--strict` je cílový stav; posuzuje se pouze `guaranteed`, protože advisory, planned a rejected už samy říkají, že aktuální důkaz není tím, co tvrdí.

`evidence::freshness` je jediná pravdivostní tabulka, kterou čtou všechny povrchy, a jen její řádek proven se smí zobrazit jako ověřený. `evidence show --presented HEAD` posuzuje načtený commit tak, jak je commitnut, z knihy, kterou ten commit drží, proti jeho stromu změřenému bez pracovní kopie knihy; `--presented-tree` toto měření jen oslabuje. Běh, který drží pracovní kniha a commitnutá ne, je uveden v `presented.uncommitted` a čte se jen monotónním pravidlem, které proven zadržuje a verdikt nikdy nerozhoduje.

Zaznamenané přeskočení dříve četlo jako selhání, protože tak četl každý výsledek, který nebyl průchodem. Je to absence důkazu, ne protidůkaz: tvrzení čte not_run s podrobností, že test odmítl běžet, a záruka, která na něm spočívá, je stále zjištěním, takovým, které říká, že test odmítl, ne že nebyl nikdy zaznamenán.

`freshness::aggregate` je jediná agregace: selhávající, pokud selhává kterákoli část, jinak nejslabší z částí, které mohou nést důkaz, jinak nejslabší ze všech. Deklarované pořadí řadí failing nad not_run, takže prosté nejslabší z neúspěšného a přeskočeného testu dalo not_run, což není nález, a selhání skrylo.

Sdílený server aktivuje runtime meshe pouze z povoleného objektu mesh-declaration (druh, schéma a třída zdrojů ve vrstvě); testy dokazují, že zakázaná deklarace nic neotevře, nevytvoří žádnou identitu a odpoví proč, a že aktivace nikdy nezdrží obsluhu. Kostra, z níž nový repozitář vychází, žádnou deklaraci nedodává (ADR 0050); tento repozitář commituje vlastní povolenou, revidované rozhodnutí, které popisuje docs/MESH.md a drží test/cases/491_the_mesh_is_on_here.sh.

tests/mesh.rs dokazuje konvergenci k jednomu záznamu přes skutečný socket a unit testy registru dokazují deduplikaci z více zdrojů, zahazování replayů, zacházení s restartem a mez vyřazování; test/cases/130_mesh.sh pokrývá cestu operátora bez sítě a žádnou část tohoto tvrzení nenese; scripts/ci/mesh-check (kontrola mesh-check) odmítne UDP socket mimo src/mesh/ a druhé místo konstrukce MeshRegistry. Od discovery protokolu 2 (ADR 0067) je záznam jedním runtimem uzlu, takže dva worktrees jednoho stroje jsou dva záznamy pod jedním klíčem.

Oddělené serverové procesy se propojují přes TCP a jejich odmítnutí poškozených, padělaných, budoucího protokolu, jiného repozitáře a nedůvěryhodných hello se čtou zpět přes HTTP; unit testy mesh::cooperation pokrývají replay hello a synchronizačního čítače i propojení se sebou samým. Žádné TLS - autenticita je věcí protokolu, důvěrnost sítě (ADR 0067).

Property testy mesh::state dokazují, že fold nezávisí na pořadí ani duplicitě a že žádné prokládání nenechá dva držené exkluzivní claimy ve střetu; integrační testy odmítnou konfliktní claim napříč dvěma procesy, dvěma worktree i přes relay; test rozdělení sítě v procesu a scénář network_partition v laboratoři sloučí rozdělení do jednoho drženého a jednoho konfliktního claimu. Nejde o silnou konzistenci: při rozdělení mohou držet obě strany a konflikt se pojmenuje po zacelení.

Identita repozitáře je digest kořenových commitů nebo deklarovaná hodnota, nikdy cesta; handshake odmítne neshodu oběma směry a ingest odmítne událost jiného repozitáře. Laboratoř to dokazuje mezi uzly Linuxu, které se navzájem objevily multicastem.

Serverový proces se zabije signálem SIGKILL a znovu se spustí ve stejném checkoutu; jeho peer jej uvádí jednou s počítanými restarty a claim jeho předchozího běhu zůstává vypršelý. Beats stárnou na vlastních monotónních hodinách každého runtime. Laboratoř to opakuje s docker kill a odpojením sítě.

Tři serverové procesy v řadě se shodnou na digestu, drží stejný počet událostí a po konvergenci nenesou další události; podpisy původu přežijí přenos. Doručení je at-least-once s idempotentní aplikací, ne exactly-once.

Případ 493 spouští tests/mesh_compaction.rs, dva runtimy propojené skutečným podepsaným protokolem přes transport uvnitř procesu, protože žádný black-box ovladač nedosáhne kompakce v omezeném čase (server kompaktuje každých šedesát heartbeatů a mrtvý stream drží patnáct minut; deklarovat lze jen heartbeat a expiraci). Jednotkové testy deníku reprodukují každou vadu zaznamenanou v PR 588 a jeho property test zajišťuje, že kompakce nezmění žádný živý claim, otevřenou relaci, přebírajícího předávky ani odpověď na review na náhodných historiích. Nepokryto – dva runtimy mohou vypsat různé digesty, dokud každý kompaktuje podle vlastního rozvrhu; živý stav se shoduje a docs/MESH.md to říká.

Čtyři kontejnery na jednom docker bridge, bez seedů; deset scénářů se změřenými časy zapsanými do target/mesh-lab/evidence.json; úloha CI mesh-lab spustí laboratoř a poté scripts/ci/mesh-lab-evidence, který odmítne záznam, jenž není úplným přejímacím záznamem — laboratoř sama sebe nesoudí. Případ 414 pokrývá tohoto čtenáře a drží jeho požadovanou množinu rovnou scénářům, jichž laboratoř dosahuje. Jeden segment vrstvy 2 a jedno jádro — nikoli směrovaná topologie, topologie s NAT ani WAN; fyzické stroje jsou zdokumentovaný ruční postup.

Jednotkové testy důvěry dokazují, že deny_unknown pozoruje, aniž by důvěřoval, sémantiku allowlist a TOFU a že změna klíče u známého id uzlu je odmítnuta; integrační test dokazuje, že padělaná obálka je započtené odmítnutí. Objevení stále nic neuděluje: být slyšen nebo důvěryhodný sám o sobě žádné spojení nepovoluje – spojení vyžaduje handshake z mesh-cooperation-links – a nic, co propojený peer pošle, nic nespouští; příkazy spolupráce zapisují deník tohoto runtime a u přijaté předávky jeden záznam do adresáře handovers tohoto checkoutu (ADR 0067).

Runtime drží jediný bit, který říká, zda sdílený server o něčem rozhodl (aktivoval se, nebo odmítl s uvedeným důvodem); kontrola `runtime` v doctoru čte rozhodnutí serveru, je-li bit nastaven, a hlásí absenci, není-li; `majordomus mesh doctor` se ptá běžícího serveru na jeho zprávu, takže verdikt je verdiktem serveru. Knihovna hooků z této zprávy vykreslí řádek briefingu a sama žádný požadavek neposílá. apps/majordomus-cli/tests/mesh.rs dokazuje tři verdikty na skutečném serveru; případ dokazuje odpovědi briefingu a návratový kód přes startovací událost poskytovatele a čte potvrzenou deklaraci tohoto repozitáře (ADR 0059). Nezajišťuje, že mesh k někomu dosáhne, a huby se spouštějí ručně.

Plán, detekce backendu a každý úsudek o výstupu firewallu jsou čisté funkce s doctesty; hostitele se dotýká jen pozorování a aplikace a každé říká, kdy nemohlo (nepozorovatelné bez roota je absence, ne selhání, pokud log jádra neukazuje zahozené pakety). Případ spouští report nad deklarací tohoto repozitáře a nad fixtures a nikdy nic neaplikuje. Nenutí firewall, na němž příkaz nikdo nespouští, cokoli připustit.

models.list a models.route jsou deklarace schopností, takže každý povrch je projekce; diagnostika katalogu sama při prvním čtení ohlásí duplicitní alias nebo nedeklarovaného dodavatele. Pořadí deklarací je pořadí preferencí směrování, ověřitelné přečtením souboru.

Směrování je čistá funkce nad deklarovaným katalogem a uvedenou potřebou; unit testy dokazují pořadí preferencí, pevné pořadí kontrol za každým důvodem vyloučení a to, že model uvedený přímo se stále kontroluje proti požadavkům.

credential_env pojmenovává proměnnou prostředí a zjišťuje se pouze std::env::var_os(..).is_some(); test projde JSON schéma katalogu a odmítne každý název vlastnosti, který zavání přihlašovacím údajem.

Cesta uzavření v lib/session.sh spouští deriver poté, co je záznam relace publikován, a před připojením session.closed, takže po každém uzavření následuje jeho řádek knowledge.derived; adaptér komprese jej volá přímo, nezávisle na přepínači kontrolních bodů. Rozhodnutí se stane konvencí, vyřešená otázka faktem, zablokovaná úloha poučením, ověřené dokončení faktem; Next Action předávky je stav pokračování a nikdy se z ní neodvozuje. Nic nečte konverzaci, prompt ani model.

Záznam se složí do dočasného souboru ve stejném adresáři a porovná se bajt po bajtu se souborem, který pojmenovává id; shodný se ohlásí jako beze změny a dočasný soubor se odstraní, odlišný se přejmenuje přes původní. Datum je den řádku s důkazem, nikdy hodiny, a do bajtů nevstupuje žádná náhodná hodnota, takže stejný ledger a stejný git dají na každém stroji stejný soubor.

session.knowledge_on_end a session.knowledge_on_compact jsou dva přepínače, čtené z politiky a nezávislé na checkpoint_on_compact. Hook musí svému poskytovateli vrátit úspěch a vrácení úspěchu není totéž jako tvrzení, že se práce stala, proto adaptér hlásí selhání přes mj_capture_session_failed s poslední řádkou deriveru jako důvodem a epizodu v každém případě uzavře.

mj_validate_knowledge_integrity čte candidates/ a curated/ jednou a odmítne kandidáta, který tvrdí verified, visící cíl derived_from nebo relations, duplicitní id napříč oběma adresáři, klíč, který generovaný allow-list nenese, nahrazený záznam bez superseded_by i bez zamítnutí a řádek titulku, popisu či těla, který odpovídá kontrole přepisů, jíž se dodržuje never-store-transcripts. Reference na knihu a git (session, task, decision, commit) se přeloží zde, v jednom průchodu, a jsou vnější vůči kompilátoru grafu, který je nikdy nehlásí jako visící.

mj_validate_knowledge_lifecycle porovnává dva fakty stejně jako validátor z ADR 0052, uzavírání epizod a následné derivace, posuzované vůči session.freshness.stale_minutes; zároveň čte zdroj životního cyklu kvůli volání deriveru, dokud je zapnuté session.knowledge_on_end. Checkout, jehož ledger neobsahuje žádný řádek knowledge.derived, se přeskočí, ne selže, takže v den, kdy derivér dorazí, žádný checkout nezčervená; první derivace přeskakování ukončí. Čtečka v Rustu knowledge_base.status dělá část posudku o aktuálnosti ze stejných čísel.

Prázdný stdin se odmítne, protože úkon bez důkazů je jen tvrzení, a stdin s označením přepisu se odmítne z téhož důvodu, z něhož záznam nesmí žádné nést. Povýšení zachová derived_from, přidá povyšující epizodu, připojí důkazy pod sekci Evidence a zapíše knowledge.promoted; zamítnutí přepíše kandidáta na místě jako superseded se sekcí Rejected a zapíše knowledge.rejected. Deriver přeskakuje povýšené či nahrazené id, takže žádný z těchto úkonů další hranice epizody nevrátí.

Druhy jsou friction, workaround, defect, drift a repetition. Subjekt je cesta relativní k repozitáři bez „..“ nebo capability:, rule:, command:, gate: následované identifikátorem; odkaz na důkaz je file:, test:, commit:, issue: nebo claim: následované tím, co jmenuje. Výrok přes více řádků nebo začínající jako replika konverzace se odmítá. Nevalidní pozorování skončí kódem 2; pozorování zaznamenané bez otevřené epizody skončí kódem 10 s odkazem na session start, protože deriver vybírá řádky podle razítka epizody. Každé odmítnutí nechá knihu, jaká byla. Pozorování se na hranici epizody odvodí do kandidáta (ADR 0118).

Id pochází z ADR 0091: epizoda následovaná otiskem druhu, subjektu a tvrzení, takže každý soubor patří jediné epizodě a nic se nečte, nesloučí a nezapisuje zpět. Odmítnutý záznam zůstává odmítnutý a pozdější pozorování jeho subjektu je nový kandidát uvedený vedle něj ve stejné skupině. Čtečka v Rustu knowledge_base.candidates odpovídá na stejné skupiny. ADR 0118.

platform je subjekt command:, capability: nebo rule:majordomus.*, cesta pod vendorovanými pravidly, nebo vlastní share/ nástroje, jen když leží uvnitř repozitáře; enforcement je jiné rule: nebo gate:; generator je cesta, kterou rozsah deklaruje jako generovanou nebo kterou .gitattributes označuje merge=derived; documentation je cesta pod docs/; cokoli jiného je project. Směrování nic nerozhoduje; povýšení a zamítnutí zůstávají úkony. ADR 0118.

Sekce stojí po otevřených otázkách a před předávkou v odvozeném briefingu a je omezena stejně jako blok otevřených otázek. Větev kandidáta je větev epizody, kterou jmenuje jeho derived_from, čtená ze sledovaného záznamu relace nebo, dokud ještě není zapsán, z knihy; kandidát, jehož epizodu tento checkout nedokáže přeložit, je jmenován na vlastním řádku jako unattributed, ne skryt.

knowledge.candidates_max_files a knowledge.candidate_max_age_minutes se čtou přes mj_pol_req a chybějící klíč se hlásí na třídě pravidla. Stáří revize je stáří položky ve frontě — nejstarší řádek knowledge.derived, který soubor jmenuje, poté commit, který jej přidal, poté datum záznamu — nikdy ne samotný den důkazu. Kandidát, kterého správa verzí nesleduje, je rovněž jmenován, s nápravou git add za fix:, protože záznam, který git nedrží, nikdo neobjeví. Pravidlo se spouští pouze z doctoru, takže plná fronta revizí nikdy nezčervená watch.

knowledge_base.candidates, knowledge_base.record a knowledge_base.status jsou bloky capability! v jednom modulu; majordomus generate je promítne do cest HTTP, dokumentu OpenAPI, nástrojů a zdrojů MCP, podpříkazů knowledge spustitelného souboru, katalogu modulů cockpitu a inventáře měření výkonu. Čtečka bere kandidáty z indexu, účetní knihu z modulu relací a prahy z čtení politiky v modulu kontinuity; nic nezapisuje a absenci hlásí jako absenci.

scripts/ci/coverage-differential protne jediný kanonický export llvm-cov (bez testovacího kódu) s řádky, kterých se podle gitu změna dotkla vůči merge-base větve s trunkem, včetně pracovního stromu, a skončí s kódem 10 na první změněné spustitelné položce, kterou žádný test nepokrývá. Pravidlem je project.new-code-is-covered; případ 132 podstrčí záměrně nepokrytý změněný řádek, dokáže, že kontrola selže, pak jej pokryje a dokáže, že projde, a dokáže, že nerozřešitelná báze je UNKNOWN, ne tichý průchod.

Soudcem je commit.validate; .githooks/commit-msg se ho ptá s odloženými cestami, což je jediný okamžik, kdy lze ještě levně zaznamenat opravu bez testu mezi svými soubory, a scripts/ci/commit-policy se téhož soudce ptá na historii přes commit.history. Hook je v seznamu vynucování politiky deklarován jako commit-policy-on-message a doctor toto zapojení sesouhlasuje. Předtím bylo pravidlo project.conventional-commits jen poradní a jeho chování při selhání znělo "Toto pravidlo nerozhoduje žádný příkaz; rozhoduje recenzent"; nashromáždilo se 48 předmětů nad deklarovanou šířku a 38 neznámých slov typu, aniž si toho někdo všiml.

commit.scopes čte nejvýše 1500 commitů z git log a počítá souvislost každého scope s prefixy adresářů do hloubky čtyř segmentů; suggest() remízu hlásí jako nejednoznačnou, místo aby ji rozhodl, a neodpoví vůbec nic, pokud žádný dřívější commit nespojuje žádný scope s danými cestami - což je poctivá odpověď pro první commit subsystému a lepší než nejoblíbenější scope repozitáře. Případ dokazuje, že slovník sleduje historii: scope, který byl před commitem o něm neznámý, je po něm známý.

Několik pracovníků sdílí checkout a ještě víc jich sdílí repozitář, takže plán vypočtený na jednom HEAD a provedený na jiném by commitnul soubory, které někdo jiný stageoval, pod zprávou o práci, která už není tím, co se změnilo. Otisk není zámek a závodu nezabrání; odmítá být tím, kdo v něm tiše prohraje. Dva worktree jednoho repozitáře sdílejí repozitář a liší se worktree, což drží jejich plány od sebe. Nese také pravidlo project.derived-files-regenerated: množina změn obsahující generované soubory je jeden commit, protože jen poslední z několika by mohl nést aktuální odvozená data.

Výsledkový řádek cargo test říká ok i pro binárku, která nespustila nic, proto recorder čte její počty. Selhávající počet je selhání, binárka, která nic neprošla nebo spustila filtrovanou podmnožinu, je přeskočení, řádek bez počtu nebo binárka bez výsledkového řádku je chyba a escape sekvence se odstraňují jako první. Unit-test binárka crate, její doctesty, binárky mimo tests/ a výsledkové řádky, které nejmenoval žádný řádek Running, jsou v záznamu uvedeny jako dropped s důvodem, protože žádné tvrzení je nemůže jmenovat, dokud je runner nezaznamená po jednom.

evidence stamp měří checkout tak, jak jej běh zanechal, přičemž účetní kniha důkazů je ignorována a vyloučeny jsou jen vlastní nesledované výstupy běhu; evidence record --provenance přenáší toto měření do provedení ve zprávě a digest čistého běhu bere z commitu. Razítko měří v okamžiku pořízení, ne v průběhu běhu, a soubor stromu úlohy CI nejmenuje žádnou zprávu, dokud CI neorazítkuje svou zprávou.

evidence record vrací EvidenceRunRecord a zapisuje jej přes --run-record; --coverage naváže souhrn scripts/rust-coverage na jeho commit a změřený strom s minimy, která uvádějí soubory prahů. Záznam běhu o verdiktu nerozhoduje; může pouze odepřít proven jediným monotónním pravidlem, které zatím žádný povrch neaplikuje.

Lokální účetní kniha leží pod .ai/local/evidence/, kterou repozitář ignoruje; sledovaná kniha zůstává jedinou autoritou, z níž se odvozuje verdikt.

Případ, který nemohl splnit předpoklad, to oznámil pomocí `exit 0`, tedy stavem, pro který runner zapsal `ok`, takže `majordomus evidence record` zanesl do ledgeru jako úspěch běh, který nic neměřil. `skip` z test/lib.sh skončí s kódem 4 a zapíše soubor, který runner pojmenovává v MJ_SKIP_MARK, runner zapíše SKIP do TSV v sériové i paralelní fázi a Outcome::Skip nic nedokazuje. Přeskočení stále není selhání: návratový kód běhu se nemění a běh, ve kterém všechny případy odmítly, je běh, ne "nenalezeny žádné případy". Ani selhání není přeskočení: případ běží pod `set -e`, `jq -e` selže s kódem 4, když nevyprodukoval výsledek, a 4 bez značky se zaznamená jako FAIL. Stará podoba je odmítnuta tam, kde by se zapsala: případ, který dokazuje toto tvrzení, čte každý soubor v test/cases/ a selže, když některý říká `exit 0` před svým posledním příkazem mimo tělo heredoc nebo komentář, takže případ může skončit se stavem 0 jen tím, že dojde ke svému konci.

případ staví své prostředí od nuly (env -i, PATH obsahující jen git a node, žádné přihlašovací údaje), takže platí i na stroji, kde je nainstalován každý advisor.

node --test scripts/lib/advisors/contract.test.mjs; případ odmítne běh s méně testy, než sada obsahuje.

případ nechá zvítězit menšinový postoj, jakmile spor rozhodne experiment.

circuit se odvozuje ze zaznamenaných výsledků a hodin; případ zkracuje cooldown pomocí MAJORDOMUS_REASONING_COOLDOWN_SECONDS.

skriptovaný poradce relace B by se při dotazu zasekl, takže znovupoužití dokazuje absence konzultace.

případ přidá reprezentativního poradce do fixture katalogu a přečte jej zpět z každého povrchu, pak odstraní jeho spustitelný soubor a vidí jej všude jako nedostupný.

negativní případ: každá vada je podstrčena a musí být pojmenována příkazem reasoning check (kód 10) i doctorem.

odečty patří repozitáři, ne jednomu pracovníkovi; případ přidá záznam do baseline, vytvoří větev a worktree a poškodí výchozí commit úlohy, aby viděl unknown místo pass.

případ staví fixture web, spouští průchod a scripts/ci/link-check nad ním a podstrčí nedeklarovaný uzel, uzel jiného diagramu, chybějící diagram a duplicitní deklarovaný název; chování prohlížeče je specifikace diagramu ve scripts/interaction-probe, kterou toto tvrzení nepokrývá.

decisions.md je záměrně ručně editovatelný, takže nepřipsatelná položka je varování. finish stále odmítne, když profil vyžaduje záznam, který nenajde.

Osy se validují a promítají do instrukcí workeru. Zda je worker dodržuje, zvenčí pozorovat nelze.

Přiřazení třídy ke konkrétnímu modelu je na tom, kdo spouští pracovníka. Majordomus model nikdy nevybírá ani nevolá.

majordomus context nyní sestavuje briefing z těchto přepínačů a tento výběr je zaručen (viz context-assembly). Toto tvrzení zůstává informativní, protože nic neměří, co worker po předání briefingu skutečně přečetl.

Zpráva o zastaralosti je zaručena. To, zda worker vytváří kontrolní body, zaručeno není.

Rozsah se dnes kontroluje pomocí git diff base..HEAD a rozsah commitů nemá autora, takže když do téže větve ve stejném checkoutu commituje jiná relace, její soubory se započtou jako práce této úlohy. Zaznamenání každého commitu v okamžiku, kdy vznikne, mění otázku z heuristiky nad rozsahy na výčet. Seznam by byl jen vyhledávací tabulkou, kterou git přebije, nikdy autoritou, a přepsaný commit by se ohlásil jako nerozpoznaný, ne odhadem přiřazený.

Jediná studovaná implementace byla během pár dní vrácena zpět, protože její limity byly globální konstanty, ne odvozené z úlohy.

Dnes nic neměří spotřebu tokenů. Každé pole estimated_ je označeno a vyloučeno z vynucování.

Měření, jeho runner i kalkulátor existují; chybí dostatek důkazů. Generovaná zpráva uvádí, co zaznamenané běhy ukazují a proč z nich zatím žádné tvrzení neplyne.

Pouze doporučení. Majordomus model nevolá.

Projekce na GitHub uzavře milník jen podle jeho odvozeného stavu plánu a žádný záměr nečte. Uzavřenou práci, které důkazy odporují, odmítne kontrola intent-realization, ne tracker.

Takové kritérium se rozváže a čte jako `not_derivable` a samo nikdy nenaplní kritérium, protože kniha důkazů zaznamenává jen běhy testů a tvrzení. Záměr, jehož kritéria jsou všechna tohoto druhu, dnes nelze splnit.

Pojmenováno, aby opomenutí bylo vidět, a ne jen naznačeno tvrzením výše, které je předpokládalo. Změřeno 2026-09-11 - `gh api repos/korczis/prismatic-majordomus/branches/master/protection` odpovídá 404 Branch not protected a `gh api repos/korczis/prismatic-majordomus/rulesets` odpovídá []. Na master tedy není žádný povinný stav a každá kontrola v tomto repozitáři je při merge pouze poradní, což je důvod, proč může červený trunk přetrvávat, proč mohou odvozená data zastarat po merge na straně serveru (obojí zaznamenává docs/CI.md) a proč poctivé čtení zeleného běhu zní "nic nenamítalo", a ne "nic nemohlo namítat". Uzavření je úkon v nastavení repozitáře, který provádí operátor, ne změna tohoto stromu; je zde zaznamenáno, protože slib, který nikdo nedodržuje, je horší, když nikdo nevidí, že dodržen není.

Korpus tvoří hrstka souborů Markdown a jeden JSONL. Index nebo úložiště embeddingů by byl druhý zdroj pravdy, který je nutné udržovat v souladu s prvním, a prohledání je rychlejší než tento problém. Přehodnotí se jen tehdy, objeví-li se repozitář, kde je prohledání měřitelně příliš pomalé.

Odmítnuto pro záznamy úloh, a jen pro ně. Úkoly a milníky závislosti nesou, validované jako dva grafy — viz docs/ROADMAP.md a docs/PLANNING.md. Odmítnuto zůstává, aby úloha, záznam práce jedné relace, čekala na jinou; na checkout je aktivní jedna úloha a koordinací mezi checkouty je zpráva o překryvu rozsahů. Původní znění říkalo, že nikde neexistuje graf závislostí, což přestalo platit, když přišel model plánu.