@autodevjapan/godd-mcp-alpha 2.13.0 → 2.14.0

package/README.md

@@ -1,7 +1,7 @@
 # GoDD MCP α Server
 
 <p align="center">
-  <img src="https://unpkg.com/@autodevjapan/godd-mcp-alpha@latest/assets/godd-mcp-alpha-icon.png" alt="GoDD MCP α icon" width="240" />
+  <img src="https://unpkg.com/@autodevjapan/godd-mcp-alpha@latest/assets/godd-mcp-alpha-icon.png?v=cb453fa6bce1d316857cf3ab220fad32c980f0165cf82ecd54fb5d7ceec0a691" alt="GoDD MCP α icon" width="240" />
 </p>
 
 <p align="center"><strong>Govern AI development from intent to verified, shippable code.</strong></p>
@@ -73,8 +73,14 @@ godd-a install --client=cursor --license-key=YOUR_LICENSE_KEY
 godd-a init
 ```
 
+`godd-a init` and the MCP `config` tool also use the Rust native anchored filesystem boundary to atomically synchronize a marker-scoped block in the project-root `.gitignore` for GoDD's local artifacts. Existing rules outside that block are preserved. If the markers are malformed, the target is a symlink/non-regular file, the lock is busy, I/O fails, or the native process exceeds its 15-second timeout, GoDD leaves the file untouched and fails init/config with a stable error code. Only already tracked files produce a non-fatal `GODD_GITIGNORE_TRACKED_FILES` warning; GoDD never runs `git rm` automatically.
+
+If `GODD_GITIGNORE_LOCKED` persists, first confirm that no init/config process is running, then remove only `.godd/managed-gitignore.lock` and retry. Do not remove the entire `.godd` directory or change the Git index.
+
 > Use `godd-a install` — it configures the startup command, PATH, and license key for you. Restart your client afterward and the GoDD tools appear automatically.
 
+`godd_files.docs_dir` in `config.godd` selects the single repository-relative root for specs, ADRs, diagrams, and guides (default: `documents`). Always write it as a YAML double-quoted scalar (for example, `docs_dir: "docs"`) so valid names such as `true`, `null`, and `123` remain strings. Use `/` separators; each segment accepts only Unicode letters/numbers and `._-`. Empty values, absolute paths, backslashes, shell-expansion characters, trailing dots, `.` / `..` segments, and Windows reserved device names (including extensions and NFKC-compatible forms such as `COM¹`) are rejected. The configured value is also supplied to Registry-rendered prompts, so GoDD does not create a second documentation root.
+
 ### Usage
 
 Invoke GoDD in whichever way your client supports:
@@ -93,6 +99,27 @@ import { validateAudioLengthAdapterContract } from "@autodevjapan/godd-mcp-alpha
 
 The contract preserves waveform/mel inputs and PCM16 WAV output. Padding, frame, and trim arithmetic remain Rust-owned and are rejected if duplicated in the Node payload. This validates the adapter boundary only; it does not expose a production inference route.
 
+### Media interval adapter contract
+
+Use the typed npm subpath to validate an untrusted adapter envelope, forward its transformation specification unchanged, and verify the calibration snapshot before using its default tolerance:
+
+```ts
+import {
+  forwardMediaIntervalTransformation,
+  loadMediaIntervalCalibrationSnapshot,
+  validateMediaIntervalAdapterContract,
+} from "@autodevjapan/godd-mcp-alpha/media-interval-adapter-contract";
+
+const contract = validateMediaIntervalAdapterContract(adapterPayload);
+const transformation = forwardMediaIntervalTransformation(contract);
+const calibration = loadMediaIntervalCalibrationSnapshot();
+if (calibration.status === "INCONCLUSIVE") {
+  throw new Error("Media interval calibration could not be verified");
+}
+```
+
+The loader verifies the official content-addressed snapshot embedded in this subpath; consumers do not need to locate a separate JSON asset. Node validates and forwards the envelope only. Interval arithmetic, canonical union coverage, coverage decisions, and source-buffer application remain Rust-owned and must not be duplicated in the adapter payload. An unsupported schema, unknown nested field, insufficient sample count, invalid metadata, or digest mismatch returns `INCONCLUSIVE` with no numeric fallback; callers must stop instead of inventing a default tolerance. This subpath does not expose a production media-processing route.
+
 ### GoDD prompts
 
 | Prompt | Description |
@@ -138,12 +165,69 @@ onboarding guide lives at [getgodd.dev/connect.md](https://getgodd.dev/connect.m
 | `godd-a uninstall [--client=...]` | Remove from MCP clients |
 | `godd-a version` (or `--version` / `-v`) | Show the installed version and check for updates |
 | `godd-a serve` | Start the MCP stdio server (auto-invoked by the client) |
+| `godd-a shard partition <plan|lease|report|expire|abandon|status>` | Manage a Rust-native shard plan that prevents missing or duplicate sequences |
 | `godd-a realtime admission --evaluated-at-ms <u64>` | Evaluate one bounded event envelope from stdin with fail-closed ALLOW/DENY/INCONCLUSIVE receipts |
+| `godd-a dataset coverage --ledger <path>` | Persist CAS-issued sample attempts and bounded coverage from one strict JSON stdin action using the trusted system clock |
+
+Start a shard workflow with
+`plan --state-dir <dir> --source-root <dir> --selector 1/M`; it creates an immutable
+plan for every shard and a fully pre-seeded ledger. A worker calls
+`lease --state-dir <dir> --selector N/M --ttl-ms <ms>` and uses the returned
+`assigned_ids` and digest instead of enumerating the source root again. Send the worker's
+completion report as one JSON document on stdin to `report --state-dir <dir>`. Use
+`expire --state-dir <dir>` to sweep expired leases,
+`abandon --state-dir <dir> --selector N/M` to abandon one explicitly,
+`lease ... --takeover` to reassign it, and `status --state-dir <dir>` to read aggregate state.
+The npm CLI only forwards this wire protocol to the packaged Rust command. Each successful
+action writes exactly one JSON document to stdout and exits 0; invalid input or state,
+persistence failure, and conflicts write only a stable `PARTITION_*` reason code to stderr
+and exit 2.
+
+Plaintext `assigned_ids` appear only in a lease response. Diagnostics never include sequence
+IDs or host paths. Lease responses and `status` return the current `ledger_revision`; an
+accepted report receipt returns the next revision. Copy `plan_generation`,
+`reporting_shard_index`, and `lease_generation` from the lease response into the report JSON,
+and set `expected_ledger_revision` from the latest receipt or `status`. Do not convert
+`PARTITION_CAS_MISMATCH` into success: fetch `status` again and reevaluate the report.
+The strict report body has this shape; `expected_state` is one of `assigned`, `completed`,
+`rejected`, or `missing`, while `outcome` is `completed` or `rejected`:
+
+```json
+{
+  "plan_generation": {
+    "source_generation": "<64 lowercase hex>",
+    "expected_set_digest": "<64 lowercase hex>"
+  },
+  "sequence_id": "<one assigned_ids value>",
+  "reporting_shard_index": 1,
+  "lease_generation": 1,
+  "expected_state": "assigned",
+  "expected_ledger_revision": 0,
+  "outcome": "completed"
+}
+```
 
 Realtime envelopes accept identifiers only as field-specific lowercase digests:
 `principal:sha256:<hex64>`, `resource:sha256:<hex64>`, and `evidence:sha256:<hex64>`.
 Raw tokens, cookies, user names, and socket IDs are rejected without being echoed.
 
+Dataset coverage accepts exactly one strict JSON action: `initialize`, `issue`, `report`,
+`sweep`, or `finalize`. `initialize` preregisters the generation, assigned/expected sample
+sets, retry policy, coverage thresholds and both declared digests, plus the replacement policy
+(`forbidden`; `within_assigned_set` is reserved and rejected in Stage 2). `issue` takes `canonical_sample_id` and
+`requested_position`; `report` adds an issued `attempt` and a typed outcome (`Accepted`,
+`Rejected`, `TimedOut`, `Cancelled`, or `InfrastructureFailed`); `sweep` has no payload;
+`finalize` must repeat the preregistered thresholds, digests, and replacement policy exactly.
+Retry exhaustion atomically appends a `TerminalDecision`; load rejects any missing, duplicate, or
+tampered terminal-event projection.
+The usual flow is initialize → issue → report (repeat) → sweep/finalize. Success writes one JSON
+receipt and exits 0. Invalid JSON/state, persistence failure, or a conflict writes only a stable
+reason-code envelope to stderr and exits 2. Coverage receipts bind the generation source,
+threshold/expected-set, ledger/event-head, and full durable-snapshot digests, finalized event sequence,
+failure-attempt counts by class, and at most 32 stable opaque terminal-failure fingerprints;
+raw sample IDs are never returned.
+The parent directory of `--ledger` must already exist; the command never creates path components.
+
 ### Troubleshooting
 
 **"0 tools available" in your client** — this means the server was started without the required `serve` argument. Re-run `godd-a install` to regenerate the client config correctly, then restart the client.
@@ -213,8 +297,14 @@ godd-a install --client=cursor --license-key=YOUR_LICENSE_KEY
 godd-a init
 ```
 
+`godd-a init` と MCP の `config` ツールは、Rust native の anchored filesystem 境界を使って、プロジェクトルートの `.gitignore` に GoDD のローカル成果物用マーカーブロックも atomic に同期します。ブロック外の既存ルールは保持されます。マーカー不正、symlink/非通常ファイル、lock競合、I/O 失敗、native process の15秒 timeout時はファイルを変更せず、安定したエラーコードで init/config を失敗させます。すでに追跡済みのファイルだけは非致命的な `GODD_GITIGNORE_TRACKED_FILES` 警告となり、GoDD が自動で `git rm` を実行することはありません。
+
+`GODD_GITIGNORE_LOCKED` が継続する場合は、実行中の init/config がないことを確認してから `.godd/managed-gitignore.lock` だけを削除して再実行してください。`.godd` 全体や Git index は変更しないでください。
+
 > `godd-a install` を使ってください — 起動コマンド・PATH・ライセンスキーを自動で設定します。実行後にクライアントを再起動すると、GoDD ツールが自動的に表示されます。
 
+`config.godd` の `godd_files.docs_dir` で、仕様・ADR・図・ガイドを置く単一のリポジトリ相対ルートを選択できます（既定: `documents`）。`true`、`null`、`123`のような合法名も文字列のまま保持するため、必ずYAMLの二重引用符で囲んでください（例: `docs_dir: "docs"`）。`/` 区切りで指定し、各セグメントには Unicode の文字・数字と `._-` だけを使用します。空値、絶対パス、バックスラッシュ、shell 展開文字、末尾の`.`、`.` / `..` セグメント、Windows予約device名（拡張子付きや`COM¹`のようなNFKC互換形も含む）は拒否されます。この設定は Registry で描画されるプロンプトにも渡るため、GoDD が別のドキュメントルートを作ることはありません。
+
 ### 使い方
 
 クライアントが対応している方法で GoDD を呼び出せます。
@@ -233,6 +323,27 @@ import { validateAudioLengthAdapterContract } from "@autodevjapan/godd-mcp-alpha
 
 このcontractはwaveform/mel入力とPCM16 WAV出力を固定します。padding・frame・trimの算術はRustだけが所有し、Node payloadへの複製を拒否します。これはadapter境界の検証用であり、production inference routeを公開するものではありません。
 
+### Media interval adapter contract
+
+型付きnpm subpathで未信頼のadapter envelopeを検証し、変換指定を変更せず転送します。既定の許容値を使う前にcalibration snapshotも検証してください。
+
+```ts
+import {
+  forwardMediaIntervalTransformation,
+  loadMediaIntervalCalibrationSnapshot,
+  validateMediaIntervalAdapterContract,
+} from "@autodevjapan/godd-mcp-alpha/media-interval-adapter-contract";
+
+const contract = validateMediaIntervalAdapterContract(adapterPayload);
+const transformation = forwardMediaIntervalTransformation(contract);
+const calibration = loadMediaIntervalCalibrationSnapshot();
+if (calibration.status === "INCONCLUSIVE") {
+  throw new Error("Media interval calibrationを検証できませんでした");
+}
+```
+
+loaderはこのsubpathへ埋め込まれた公式content-addressed snapshotを検証するため、consumerが別のJSON assetを探す必要はありません。Nodeが所有するのはenvelopeの検証と透過転送だけです。区間算術、canonical union coverage、coverage判定、source bufferへの適用はRustだけが所有し、adapter payloadへ複製してはいけません。未対応schema、未知のnested field、標本数不足、不正なmetadata、digest不一致では数値へfallbackせず`INCONCLUSIVE`を返すため、callerは既定値を推測せず処理を停止してください。このsubpathはproduction media-processing routeを公開しません。
+
 ### GoDD プロンプト
 
 | プロンプト | 説明 |
@@ -278,12 +389,66 @@ import { validateAudioLengthAdapterContract } from "@autodevjapan/godd-mcp-alpha
 | `godd-a uninstall [--client=...]` | MCP クライアントから削除 |
 | `godd-a version`（または `--version` / `-v`） | インストール済みバージョンの表示と更新確認 |
 | `godd-a serve` | MCP stdio サーバーを起動（クライアントが自動呼び出し） |
+| `godd-a shard partition <plan|lease|report|expire|abandon|status>` | sequence集合の欠落・重複を防ぐRust native shard planを管理 |
 | `godd-a realtime admission --evaluated-at-ms <u64>` | stdinのbounded event envelopeをfail-closedな3値receiptとして評価 |
+| `godd-a dataset coverage --ledger <path>` | trusted system clockとstrict JSON action 1件からCAS払い出しsample attemptとbounded coverageを永続化 |
+
+Shard plan は、最初に `plan --state-dir <dir> --source-root <dir> --selector 1/M`
+で全 shard の immutable plan と全件 pre-seed ledger を作成します。worker は
+`lease --state-dir <dir> --selector N/M --ttl-ms <ms>` の応答に含まれる
+`assigned_ids` と digest を使用し、source root を再列挙しません。worker の完了報告は
+`report --state-dir <dir>` の stdin に JSON で渡します。期限監視は
+`expire --state-dir <dir>`、明示的放棄は
+`abandon --state-dir <dir> --selector N/M`、再割当は `lease ... --takeover`、集約状態は
+`status --state-dir <dir>` で確認します。npm CLI はこの wire protocol を packaged Rust
+command へ中継するだけです。成功した各 action は stdout へ JSON 1件を出して exit 0、
+不正な入力・状態、永続化失敗、競合は stderr へ安定した `PARTITION_*` reason codeだけを
+出して exit 2 です。
+
+平文の `assigned_ids` は lease response だけに含まれます。診断には sequence ID や
+host path は出力されません。
+lease応答と`status`は現在の`ledger_revision`を返し、accepted report receiptは次の
+revisionを返します。report JSONの`plan_generation`、`reporting_shard_index`、
+`lease_generation`はlease応答から、`expected_ledger_revision`は直前のreceiptまたは
+`status`から渡します。競合時は`PARTITION_CAS_MISMATCH`を成功へ変換せず、statusを
+再取得して再評価してください。
+strict report body は次の形です。`expected_state` は `assigned` / `completed` /
+`rejected` / `missing`、`outcome` は `completed` / `rejected` のいずれかです。
+
+```json
+{
+  "plan_generation": {
+    "source_generation": "<64 lowercase hex>",
+    "expected_set_digest": "<64 lowercase hex>"
+  },
+  "sequence_id": "<one assigned_ids value>",
+  "reporting_shard_index": 1,
+  "lease_generation": 1,
+  "expected_state": "assigned",
+  "expected_ledger_revision": 0,
+  "outcome": "completed"
+}
+```
 
 Realtime envelopeの識別子はfield別lowercase digest
 （`principal:sha256:<hex64>`、`resource:sha256:<hex64>`、`evidence:sha256:<hex64>`）
 だけを受理します。生token、cookie、ユーザー名、socket IDは表示せず拒否します。
 
+Dataset coverage は strict JSON の `initialize` / `issue` / `report` / `sweep` /
+`finalize` のいずれか1 actionだけを受理します。`initialize` で generation、割当/期待sample集合、
+retry policy、coverage thresholds、両declared digest、replacement policy
+（Stage 2は`forbidden`のみ。`within_assigned_set`は予約済みで拒否）を事前固定します。`issue` は
+`canonical_sample_id` と `requested_position`、`report` は発行済み `attempt` と型付きoutcome
+（`Accepted` / `Rejected` / `TimedOut` / `Cancelled` / `InfrastructureFailed`）を受け取り、
+`sweep` はpayloadなし、`finalize` は事前固定したthresholds・digests・policyとの完全一致を要求します。
+retry exhaustion時は`TerminalDecision`を原子的にappendし、欠落・重複・改変されたterminal projectionはloadで拒否します。
+典型フローは initialize → issue → report（反復）→ sweep/finalize です。成功はJSON receiptを
+stdoutへ1件出してexit 0、不正JSON/state・永続化失敗・conflictは秘密値を含まない安定reason codeを
+stderrへ出してexit 2です。Coverage receiptはgeneration source、threshold/expected-set digest、
+ledger/event-head/full durable-snapshot digest、finalized event sequence、failure class別attempt件数、最大32件の安定した
+終局failure fingerprintを束縛し、raw sample IDは返しません。
+`--ledger`の親directoryは事前作成が必要で、command自身はpath componentを作成しません。
+
 ### トラブルシューティング
 
 **クライアントに「0 tools available」と表示される** — サーバーが必須の `serve` 引数なしで起動されています。`godd-a install` を再実行してクライアント設定を正しく再生成し、クライアントを再起動してください。
@@ -355,8 +520,14 @@ godd-a install --client=cursor --license-key=YOUR_LICENSE_KEY
 godd-a init
 ```
 
+`godd-a init` и MCP-инструмент `config` используют закреплённую границу файловой системы Rust native и атомарно синхронизируют ограниченный маркерами блок в корневом `.gitignore` для локальных артефактов GoDD. Правила вне блока сохраняются. При повреждённых маркерах, symlink/необычном файле, занятой блокировке, ошибке ввода-вывода или 15-секундном тайм-ауте native-процесса файл не изменяется, а init/config завершается ошибкой со стабильным кодом. Только уже отслеживаемые файлы дают некритичное предупреждение `GODD_GITIGNORE_TRACKED_FILES`; GoDD никогда не запускает `git rm` автоматически.
+
+Если `GODD_GITIGNORE_LOCKED` повторяется, сначала убедитесь, что init/config не запущен, затем удалите только `.godd/managed-gitignore.lock` и повторите команду. Не удаляйте весь каталог `.godd` и не изменяйте индекс Git.
+
 > Используйте `godd-a install` — он настроит команду запуска, PATH и лицензионный ключ. После этого перезапустите клиент, и инструменты GoDD появятся автоматически.
 
+Параметр `godd_files.docs_dir` в `config.godd` задаёт единый относительный к репозиторию корень для спецификаций, ADR, диаграмм и руководств (по умолчанию `documents`). Всегда записывайте его как строку YAML в двойных кавычках (например, `docs_dir: "docs"`), чтобы допустимые имена `true`, `null` и `123` оставались строками. Используйте разделитель `/`; каждый сегмент допускает только буквы/цифры Unicode и `._-`. Пустые значения, абсолютные пути, обратная косая черта, символы раскрытия shell, завершающие точки, сегменты `.` / `..` и зарезервированные имена устройств Windows (включая расширения и NFKC-совместимые формы вроде `COM¹`) отклоняются. Это значение также передаётся шаблонам Registry, поэтому GoDD не создаёт второй корень документации.
+
 ### Использование
 
 Вызывайте GoDD тем способом, который поддерживает ваш клиент:
@@ -375,6 +546,27 @@ import { validateAudioLengthAdapterContract } from "@autodevjapan/godd-mcp-alpha
 
 Контракт фиксирует входы waveform/mel и выход PCM16 WAV. Расчёты padding, frame и trim остаются только в Rust; их дублирование в Node payload отклоняется. Это проверка границы адаптера, а не production inference route.
 
+### Контракт media interval adapter
+
+Используйте типизированный npm subpath, чтобы проверить недоверенный envelope адаптера, передать спецификацию преобразования без изменений и проверить calibration snapshot до применения допуска по умолчанию:
+
+```ts
+import {
+  forwardMediaIntervalTransformation,
+  loadMediaIntervalCalibrationSnapshot,
+  validateMediaIntervalAdapterContract,
+} from "@autodevjapan/godd-mcp-alpha/media-interval-adapter-contract";
+
+const contract = validateMediaIntervalAdapterContract(adapterPayload);
+const transformation = forwardMediaIntervalTransformation(contract);
+const calibration = loadMediaIntervalCalibrationSnapshot();
+if (calibration.status === "INCONCLUSIVE") {
+  throw new Error("Не удалось проверить calibration media interval");
+}
+```
+
+Loader проверяет официальный content-addressed snapshot, встроенный в этот subpath, поэтому consumer не требуется искать отдельный JSON asset. Node только проверяет envelope и передаёт его дальше. Расчёт интервалов, canonical union coverage, решение по coverage и применение к source buffer остаются исключительно в Rust и не должны дублироваться в payload адаптера. Неподдерживаемая schema, неизвестное вложенное поле, недостаточный размер выборки, некорректные metadata или несовпадение digest возвращают `INCONCLUSIVE` без числового fallback; вызывающая сторона должна остановиться, а не придумывать допуск по умолчанию. Этот subpath не открывает production route обработки media.
+
 ### Промпты GoDD
 
 | Промпт | Описание |
@@ -420,12 +612,67 @@ import { validateAudioLengthAdapterContract } from "@autodevjapan/godd-mcp-alpha
 | `godd-a uninstall [--client=...]` | Удаление из MCP-клиентов |
 | `godd-a version` (или `--version` / `-v`) | Показать установленную версию и проверить обновления |
 | `godd-a serve` | Запустить MCP stdio-сервер (вызывается клиентом автоматически) |
+| `godd-a shard partition <plan|lease|report|expire|abandon|status>` | Управлять Rust-native планом shard без пропусков и дубликатов sequence |
 | `godd-a realtime admission --evaluated-at-ms <u64>` | Проверить bounded event envelope из stdin и вернуть fail-closed решение из трёх состояний |
+| `godd-a dataset coverage --ledger <path>` | Сохранить CAS-выданные попытки sample и bounded coverage из одного strict JSON action с доверенными системными часами |
+
+Рабочий процесс shard начинается с
+`plan --state-dir <dir> --source-root <dir> --selector 1/M`: команда создаёт immutable plan
+для всех shard и полностью предварительно заполненный ledger. Worker вызывает
+`lease --state-dir <dir> --selector N/M --ttl-ms <ms>` и использует возвращённые
+`assigned_ids` и digest, не перечисляя source root повторно. Отчёт worker о завершении
+передаётся как один JSON-документ через stdin в `report --state-dir <dir>`. Для просроченных
+lease используется `expire --state-dir <dir>`, для явного отказа —
+`abandon --state-dir <dir> --selector N/M`, для повторного назначения —
+`lease ... --takeover`, а агрегированное состояние возвращает `status --state-dir <dir>`.
+Npm CLI только передаёт этот wire protocol упакованной Rust-команде. Каждое успешное действие
+выводит ровно один JSON-документ в stdout и завершается с кодом 0; неверные входные данные или
+состояние, ошибка сохранения и конфликт выводят в stderr только стабильный reason code
+`PARTITION_*` и завершаются с кодом 2.
+
+Открытые `assigned_ids` присутствуют только в ответе lease. Диагностика никогда не содержит
+sequence ID или host path. Ответы lease и `status` возвращают текущий `ledger_revision`, а
+receipt принятого report — следующую revision. Поля `plan_generation`,
+`reporting_shard_index` и `lease_generation` для report JSON берутся из ответа lease, а
+`expected_ledger_revision` — из последнего receipt или `status`. Не преобразуйте
+`PARTITION_CAS_MISMATCH` в успех: повторно получите `status` и переоцените report.
+Strict body отчёта имеет следующую форму. `expected_state` принимает `assigned`, `completed`,
+`rejected` или `missing`, а `outcome` — `completed` или `rejected`:
+
+```json
+{
+  "plan_generation": {
+    "source_generation": "<64 lowercase hex>",
+    "expected_set_digest": "<64 lowercase hex>"
+  },
+  "sequence_id": "<one assigned_ids value>",
+  "reporting_shard_index": 1,
+  "lease_generation": 1,
+  "expected_state": "assigned",
+  "expected_ledger_revision": 0,
+  "outcome": "completed"
+}
+```
 
 Идентификаторы realtime envelope принимаются только как lowercase digest с доменом поля:
 `principal:sha256:<hex64>`, `resource:sha256:<hex64>` и `evidence:sha256:<hex64>`.
 Необработанные токены, cookie, имена пользователей и socket ID отклоняются без вывода значения.
 
+Dataset coverage принимает ровно одно strict JSON-действие: `initialize`, `issue`, `report`,
+`sweep` или `finalize`. `initialize` заранее фиксирует generation, assigned/expected sample sets,
+retry policy, coverage thresholds, оба declared digest и replacement policy (`forbidden`;
+`within_assigned_set` зарезервирован и отклоняется в Stage 2). `issue` принимает `canonical_sample_id` и `requested_position`, `report` —
+выданный `attempt` и типизированный outcome (`Accepted`, `Rejected`, `TimedOut`, `Cancelled` или
+`InfrastructureFailed`), `sweep` не имеет payload, а `finalize` требует точного совпадения с
+заранее зарегистрированными thresholds, digest и policy. Обычный поток: initialize → issue →
+report (повтор) → sweep/finalize. Успех возвращает один JSON receipt и код 0; invalid JSON/state,
+ошибка сохранения или conflict возвращает в stderr только стабильный reason code и код 2.
+При исчерпании retry атомарно добавляется `TerminalDecision`; отсутствующая, повторная или изменённая terminal projection отклоняется при load.
+Coverage receipt связывает generation source, threshold/expected-set digest, ledger/event-head
+и full durable-snapshot digest, finalized event sequence, число failure-attempt по классам и не более 32 стабильных
+opaque fingerprint терминальных failures; raw sample ID не возвращаются.
+Родительский каталог `--ledger` должен существовать заранее; команда не создаёт компоненты пути.
+
 ### Устранение неполадок
 
 **«0 tools available» в клиенте** — сервер запущен без обязательного аргумента `serve`. Повторно выполните `godd-a install`, чтобы корректно пересоздать конфигурацию клиента, затем перезапустите клиент.

package/assets/native/godd-native-aarch64-apple-darwin.sha256

@@ -1 +1 @@
-74267762b6605f3ac67b08d8fd416b81053041d8ad2a3d88829dc3a4da4b32b2
+b38d1c6037ca5ae209c6532b8f7c489d5bd51987c0935ac0fd0e1d2feec71d20

package/assets/native/godd-native-x86_64-apple-darwin.sha256

@@ -1 +1 @@
-d2c9c72aecd613f4a89f88190ceab5369961f1197c72bdf7c9ac1f6a2699aa46
+387b1eeceff77b77712db3528ba451aee1db1145f6ad7d41c636bec14585c2b3

package/assets/native/godd-native-x86_64-pc-windows-msvc.exe.sha256

@@ -1 +1 @@
-e9ca9423897367fc03772f3747e6d7ea7f0c13eba58a2cf21f638d6a7f3b8f09
+d265c18a2c627bdf88bed1480c070ffb4c286030e979a82c5884cc76b6d32a91

package/assets/native/godd-native-x86_64-unknown-linux-musl.sha256

@@ -1 +1 @@
-c686bc2dc7d9053a33ef56a80465e881260bf05bfca86df28f066ae9e684b756
+2e215e4bd78d0cf5d54fb235f59711467b3896acfde776277ab23cda41e4523c