@educa-corp/sdd-framework 0.9.0 → 0.9.2

package/bin/self-check.js

@@ -61,6 +61,7 @@
 
 const fs = require('fs');
 const path = require('path');
+const crypto = require('crypto');   // R16(b) — băm file snapshot để đối chiếu base_sha
 
 const ROOT = path.join(__dirname, '..');
 const WARN_ONLY = process.argv.includes('--warn-only');
@@ -1182,6 +1183,151 @@ for (const [vocab, def] of Object.entries(schema.vocabularies)) {
   }
 }
 
+// ── R16 — snapshot upstream và framework không được trôi khỏi nhau trong im lặng ─
+//
+// Hai sự cố thật đã xảy ra trong lúc port bộ QC, và KHÔNG tầng nào bắt được:
+//
+// (1) 35 file skill QC bị xoá khỏi skills/. self-check ✅ · build ✅ 41/41 · .agent vẫn
+//     chạy được (mirror KHÔNG prune nên bản cũ còn nằm đó) — nhưng core/ thì rỗng, và
+//     bin/index.js prune sẽ CHỦ ĐỘNG xoá chúng ở project người dùng khi nâng cấp (đúng
+//     luật: có trong manifest + không còn ship + hash khớp). Ba tầng che nhau; hỏng chỉ
+//     lộ ở phía người dùng. → R16(d).
+//
+// (2) Một `upstream_sha` được GÕ BỪA vào frontmatter thay vì tính. Tự phát hiện, nhưng
+//     nếu lọt thì nó là BASE sai cho mọi lần merge ba chiều về sau — tức mọi lần đồng bộ
+//     sau đều đoán. Đây đúng loại việc con người không làm đáng tin bằng sự cẩn thận.
+//     → R16(b).
+//
+// (a) là cái quan trọng nhất về lâu dài: file upstream KHÔNG có entry trong bản đồ =
+// bị bỏ quên trong im lặng. `state: skipped` (có lý do) là câu trả lời hợp lệ; VẮNG MẶT
+// thì không. Cùng khuôn với `checkpoint_levels` và `strict_use_check`: khai tường minh
+// từng cái, rồi để máy canh — thay vì tin rằng ai đó sẽ nhớ.
+//
+// R16 tự bỏ qua nếu chưa có bin/qc-base-map.json (repo chưa port bộ QC) — không ép
+// mọi consumer phải có bản đồ này.
+{
+  const MAP_PATH  = path.join(ROOT, 'bin/qc-base-map.json');
+  const SNAP_DIR  = path.join(ROOT, 'upstream/qc-base');
+  const hasMap    = fs.existsSync(MAP_PATH);
+  const hasSnap   = fs.existsSync(SNAP_DIR);
+
+  // ── (d) lệnh qc-* trỏ vào skill nào thì skill đó phải tồn tại ────────────────
+  // Chạy ĐỘC LẬP với bản đồ: đây là lớp lỗi (1) ở trên, và nó không cần snapshot.
+  const SKILLS_QC = path.join(ROOT, 'skills/qc');
+  if (fs.existsSync(SKILLS_QC)) {
+    const cmdDir = path.join(ROOT, 'commands');
+    for (const f of fs.readdirSync(cmdDir).filter(n => /^qc-.*\.tmpl$/.test(n))) {
+      const txt = fs.readFileSync(path.join(cmdDir, f), 'utf8');
+      // `{paths.qc_skills_dir}/<đường dẫn>` — lấy phần sau dấu / đầu tiên
+      const refs = new Set();
+      for (const m of txt.matchAll(/\{paths\.qc_skills_dir\}\/([A-Za-z0-9._\/-]+)/g)) {
+        refs.add(m[1].replace(/[.,)`]+$/, ''));
+      }
+      for (const ref of refs) {
+        const abs = path.join(SKILLS_QC, ref);
+        if (!fs.existsSync(abs)) {
+          err('R16', `${f} trỏ vào \`{paths.qc_skills_dir}/${ref}\` — KHÔNG TỒN TẠI trong skills/qc/`,
+              'Lệnh vẫn chạy, vẫn ghi file, nhưng phân tích rỗng logic và KHÔNG cờ nào bật. ' +
+              'Khôi phục skill, hoặc sửa lệnh nếu đã cố ý bỏ.');
+        }
+      }
+    }
+  }
+
+  if (hasMap && hasSnap) {
+    let map;
+    try { map = JSON.parse(fs.readFileSync(MAP_PATH, 'utf8')); }
+    catch (e) { err('R16', `bin/qc-base-map.json không parse được: ${e.message}`); map = null; }
+
+    if (map) {
+      const entries = map.map || [];
+      const byUp = new Map(entries.map(e => [e.upstream, e]));
+
+      // liệt kê file snapshot thật
+      const walk = (dir, base = '') => {
+        let out = [];
+        for (const n of fs.readdirSync(dir)) {
+          const p = path.join(dir, n), rel = base ? `${base}/${n}` : n;
+          out = out.concat(fs.statSync(p).isDirectory() ? walk(p, rel) : [rel]);
+        }
+        return out;
+      };
+      const snap = walk(SNAP_DIR).sort();
+
+      // ── (a) mọi file snapshot phải có entry ───────────────────────────────────
+      const missing = snap.filter(r => !byUp.has(r));
+      if (missing.length) {
+        err('R16', `${missing.length} file trong upstream/qc-base/ KHÔNG có entry trong bin/qc-base-map.json`,
+            `Bị bỏ quên trong im lặng. Thêm entry với state \`skipped\` + \`why\` nếu cố ý không lấy.\n` +
+            `        ${missing.slice(0, 5).join('\n        ')}${missing.length > 5 ? `\n        … và ${missing.length - 5} file nữa` : ''}`);
+      }
+      const orphan = entries.filter(e => !snap.includes(e.upstream));
+      if (orphan.length) {
+        err('R16', `${orphan.length} entry trỏ vào file KHÔNG còn trong snapshot: ${orphan.map(e => e.upstream).join(', ')}`,
+            'Snapshot đã đổi mà bản đồ chưa theo — chạy lại bước dựng bản đồ.');
+      }
+
+      // ── (b) entry `ported` phải có base_sha, và base_sha phải KHỚP file thật ──
+      const sha1 = b => crypto.createHash('sha1').update(b).digest('hex');
+      for (const e of entries.filter(x => x.state === 'ported')) {
+        if (!e.base_sha) {
+          err('R16', `entry \`${e.upstream}\` là \`ported\` nhưng THIẾU base_sha`,
+              'Không có base thì merge ba chiều lần sau mất một chiều — mọi đồng bộ thành đoán.');
+          continue;
+        }
+        const abs = path.join(SNAP_DIR, e.upstream);
+        if (!fs.existsSync(abs)) continue;             // đã báo ở orphan
+        const real = sha1(fs.readFileSync(abs));
+        if (real !== e.base_sha) {
+          err('R16', `base_sha của \`${e.upstream}\` KHÔNG khớp file snapshot`,
+              `khai=${e.base_sha.slice(0, 12)}… thật=${real.slice(0, 12)}… — sha bịa, hoặc snapshot đã bị sửa tay sau khi port.`);
+        }
+        // frontmatter của file đích phải khai đúng cùng một sha VÀ cùng một upstream_path
+        for (const t of (e.targets || [])) {
+          const tp = path.join(ROOT, t);
+          if (!fs.existsSync(tp)) continue;            // đã báo ở (c)
+          const txt = fs.readFileSync(tp, 'utf8');
+          const m = /^upstream_sha: (.+)$/m.exec(txt);
+          if (m && m[1].trim() !== e.base_sha) {
+            err('R16', `${t} khai upstream_sha khác base_sha trong bản đồ`,
+                `file=${m[1].trim().slice(0, 12)}… map=${e.base_sha.slice(0, 12)}… — hai chỗ nói về cùng một sự thật mà lệch nhau.`);
+          }
+          // ── (e) upstream_path trong frontmatter phải trỏ vào file snapshot CÓ THẬT ──
+          //
+          // Vì sao cần nhánh riêng: (b) so sha, và sha vẫn khớp khi đường dẫn bị sửa sai —
+          // nên (b) mù với ca này. Ca thật (B9): một script đổi tên `DOC_GAPS.md → DOC_GAP.md`
+          // chạy quét cả frontmatter, sửa luôn `upstream_path` thành tên KHÔNG tồn tại ở
+          // upstream. self-check vẫn xanh; chỉ lộ ra khi kiểm tay. Mất `upstream_path` là mất
+          // nửa BASE của merge ba chiều — biết "sha nào" mà không biết "của file nào".
+          const mp = /^upstream_path: (.+)$/m.exec(txt);
+          if (mp) {
+            const declared = mp[1].trim();
+            if (declared !== e.upstream) {
+              err('R16', `${t} khai upstream_path "${declared}" ≠ bản đồ "${e.upstream}"`,
+                  'Hai chỗ cùng khai một sự thật mà lệch nhau — sửa cho khớp.');
+            }
+            if (!fs.existsSync(path.join(SNAP_DIR, declared))) {
+              err('R16', `${t} khai upstream_path "${declared}" — KHÔNG TỒN TẠI trong snapshot`,
+                  'Đường dẫn bị sửa sai (vd một lần đổi tên hàng loạt quét cả frontmatter), ' +
+                  'hoặc upstream đã đổi tên. sha có thể vẫn khớp nên nhánh (b) không bắt được.');
+            }
+          }
+        }
+      }
+
+      // ── (c) mọi target của entry `ported` phải tồn tại ────────────────────────
+      for (const e of entries.filter(x => x.state === 'ported')) {
+        for (const t of (e.targets || [])) {
+          if (!fs.existsSync(path.join(ROOT, t))) {
+            err('R16', `entry \`${e.upstream}\` là \`ported\` nhưng target \`${t}\` không tồn tại`,
+                'Bản đồ lỗi thời sau khi đổi tên/xoá file đích.');
+          }
+        }
+      }
+    }
+  }
+}
+
 // ── report ────────────────────────────────────────────────────────────────────
 const tagCount = schema.tags.length;
 const colCount = schema.tsv_columns.length;

package/bin/trace-schema.json

@@ -1855,6 +1855,11 @@
     ]
   },
   "forbidden_patterns": [
+    {
+      "pattern": "`integration`",
+      "reason": "Giá trị cột `fe_phase` là `integrated` (CÓ hậu tố -ed). Dạng không -ed chỉ thuộc về CỜ `--phase=integration`. Ghi sai vào sổ thì `--lint-trace` T3 báo lỗi enum, VÀ `fe_integrated` ở /validate-traces Step 7 đếm `integrated` nên counter mãi bằng 0 trong im lặng — đúng hình dạng G1 (cờ im lặng). R6 ĐÃ DỰ ĐOÁN ca này (comment của nó: 'G19 là ca này') và chỉ đúng công cụ là forbidden_patterns — nhưng chưa ai khai. Nó tái diễn thật ở 0.9.0: bốn chỗ trong hai lệnh ghi giá trị cột là dạng không -ed, và CHÍNH validate-traces.tmpl tự mâu thuẫn: một dòng bảo ghi dạng đó, dòng khác đếm `integrated`.",
+      "gap": "G19/G61"
+    },
     {
       "pattern": "bdd/{UC-ID}.feature",
       "reason": "@trace.source thiếu segment {platform}. Layout thật: bdd/{platform}/{UC-ID}-{slug}.feature",

package/core/FRAMEWORK_VERSION

@@ -1 +1 @@
-0.9.0
+0.9.2

package/core/commands/generate-code.md

@@ -776,7 +776,8 @@ Cập nhật `{paths.trace_dir}/{domain}/{prd-slug}/{UC-ID}-{@trace.platform}.ts
 | `bdd_version` | `@trace.bdd_version` từ header `.feature` |
 | `tech_doc_revision` | `@trace.revision` từ tech-doc gộp `{TICKET-ID}-tech-design.md` (§4 backend đã điều khiển codegen của UC này), hoặc `—` nếu chưa có doc |
 | `fe_tech_doc_revision` | `@trace.revision` của cùng tech-doc gộp, ghi khi sinh FE có wire adapter theo §4.5.4 (`--phase=integration` **hoặc** `fe_full`); `—` cho BE, hoặc cho FE `--phase=ui` / chưa có §4.5.4 |
-| `fe_phase` | `ui` nếu `--phase=ui` \| `integration` nếu `--phase=integration` **hoặc** `fe_full` (đều đã wire real adapter) \| `—` cho BE |
+| `fe_phase` | `ui` nếu `--phase=ui` \| **`integrated`** nếu `--phase=integration` **hoặc** `fe_full` (đều đã wire real adapter) \| `—` cho BE |
+> ⚠️ Giá trị cột là **`integrated`** — có hậu tố **-ed**. Dạng không -ed chỉ thuộc về **cờ** `--phase=integration`, không bao giờ là giá trị của cột; vocabulary của cột chỉ có `ui` \| `integrated` (`trace-schema.json` → `vocabularies.fe_phase`). Ghi sai giá trị thì `--lint-trace` T3 báo lỗi, và `fe_integrated` ở `/validate-traces` Step 7 đếm `integrated` nên sẽ **mãi bằng 0 trong im lặng**.
 | `last_updated` | hôm nay `YYYY-MM-DD` |
 
 Giữ nguyên mọi cột khác (`sc_title`, `spec_ver`, `prd_version`, `prd_status`, `uc_status`, `test_count`, `test_classes`, `dev_selftest`, `dev_selftest_at`, `qc_status`, `qc_run_at`, `qc_owner`, `qc_blocked_by`) — **trừ ngoại lệ có kiểm soát ngay dưới đây**: khi logic vừa đổi thật (lấp stub, hoặc sửa method vì `DRIFT`), 4 cột nghiệm thu `dev_selftest`/`dev_selftest_at`/`qc_status`/`qc_run_at` **phải bị hạ** về "chưa biết". Giữ một `pass` đã hết hiệu lực là báo cáo sai, không phải tôn trọng quyền sở hữu cột.
@@ -908,7 +909,7 @@ Output Artifacts · Next) cho report cuối, kèm khối bên dưới.
 Files: created={N}, extended={M}, filled={F} stub, skipped={K} | Build: SUCCESS
 Branch: feature/{TICKET_ID}-{slug}
 Phase    : {UI (mock layer) | Integration (real API) | FE full (UI + real API) | BE full}
-fe_phase : {ui | integration (—phase=integration | fe_full) | —}
+fe_phase : {ui | integrated (--phase=integration | fe_full) | —}
 Figma    : {Dev Mode MCP local (grounded) | ⚠️ chỉ link web + text spec (không có MCP local) | n/a cho BE}   ← chỉ UI FE/App
 
 Next:

package/core/commands/propose-scenario.md

@@ -1,7 +1,7 @@
 # /propose-scenario — Đề xuất một BDD Scenario mới (cho Tester & QC)
 
 Dành cho **tester và QC** phát hiện edge case chưa được BDD hiện tại phủ (vd một gap missing-coverage
-`DOC_GAPS` từ `/qc-analyze`). Draft một Gherkin scenario vào **khu proposal** để
+`DOC_GAP` từ `/qc-analyze`). Draft một Gherkin scenario vào **khu proposal** để
 PO/Dev review và promote.
 
 **KHÔNG sửa file `.feature` canonical.** BDD do PO/Dev sở hữu — lệnh này chỉ ghi

package/core/commands/qc-analyze.md

@@ -9,6 +9,9 @@ ported_from: ai-automation-qc-base
 > Stage 1 của QC automation pipeline native (qc-analyze → qc-plan → qc-design-test → qc-review → qc-run-test → qc-report). Port từ qa-analyst của team QC. Markdown-first: không có script ở đây.
 
 ## Gate
+
+*Checkpoint: **chặn thường** — lệnh ghi 2 file artifact. `--yes` bỏ qua được (gate Bước 3a).*
+
 # Gate — Quy trình vào chuẩn cho mọi lệnh
 
 Mọi lệnh PHẢI chạy gate này trước khi thực thi phần logic riêng của nó.
@@ -162,7 +165,7 @@ Mỗi dòng ⚠️/🔴 phải ứng với một trạng thái **context-loader
   🔴/⚠️ (không chặn ≠ không báo — người đọc log sau này vẫn cần thấy).
 
 
-*Lưu ý: Với lệnh này, target ở Bước 1 là một UC-ID hoặc file feature/PRD. Đọc spec chính thức của UC đó — file `.feature` (mang `@trace.id={UC-ID}` và mỗi scenario `@trace.scenario={UC-ID}-SC{N}`), PRD, và design-spec — từ feature package `{paths.specs_dir}/{domain}/{prd-slug}/` (file `.feature` dưới `bdd/`, file PRD `{TICKET-ID}-{prd-slug}.md` ở gốc folder, và design-spec dưới `design-spec/`). Spec của framework CHÍNH LÀ source of truth; đừng suy lại các requirement đã có ở đó.*
+*Lưu ý: Với lệnh này, target ở Bước 1 là một UC-ID hoặc file feature/PRD. Đọc spec chính thức của UC đó — file `.feature` (mang `@trace.id={UC-ID}` và mỗi scenario `@trace.scenario={UC-ID}-SC{N}`), PRD, và design-spec — từ feature package `{paths.specs_dir}/{domain}/{prd-slug}/` (file `.feature` dưới `bdd/`, file PRD `{TICKET-ID}-{prd-slug}.md` ở gốc folder, và design-spec dưới `design-spec/`). Spec của framework CHÍNH LÀ source of truth; đừng suy lại các requirement đã có ở đó. **Ngoài ra đọc tech-doc gộp** `{paths.tech_docs_dir}/{domain}/{prd-slug}/tech-docs/{TICKET-ID}-tech-design.md` làm **nguồn thứ hai** — xem §Đối chiếu tài liệu kỹ thuật.*
 
 ## Context
 **BẮT BUỘC — đọc `.agent/steps/context-loader.md` và thực thi TOÀN BỘ quy trình trong đó**,
@@ -174,30 +177,103 @@ placeholder bên dưới sẽ rỗng và lệnh sẽ đọc/ghi sai chỗ.
 
 ---
 
+## Platform Resolution *(thiết lập cho cả QC pass — mọi stage sau kế thừa)*
+
+> **PHẢI chạy TRƯỚC Guard bên dưới.** `{UC-ID}-SC{N}` chỉ độc nhất trong (UC × platform), nên
+> một UC đa nền có **nhiều file `.feature`** — `bdd/web/`, `bdd/app/`, `bdd/system/` — và mỗi
+> file mang `@trace.status` **riêng**: bản web có thể `approved` trong khi bản app còn `draft`.
+> Guard đọc "file `.feature` của UC" khi chưa biết platform là đọc một file **bất kỳ trong ba**:
+> báo `approved` trong khi bản đang dùng còn nháp, hoặc chặn oan một bản đã duyệt.
+> Chốt platform trước thì Guard mới có đúng một file để đọc.
+
+`{UC-ID}-SC{N}` chỉ độc nhất trong (UC × platform) — `web SC3` và `app SC3` là hai scenario khác nhau, và sổ trace tách theo `{UC-ID}-{platform}.tsv`. Nên **một QC pass khoá đúng MỘT platform**, và mọi artifact QC nằm dưới `{paths.qc_dir}/{UC-ID}/{active_platform}/`.
+
+Phân giải `active_platform` — theo thứ tự, dừng ở cái đầu tiên khớp:
+1. `$ARGUMENTS` nêu platform (`web`/`app`/`system`) → dùng.
+2. Target ở Bước 1 là một file `.feature` → đọc `# @trace.platform` của nó.
+3. Glob `{paths.specs_dir}/{domain}/{prd-slug}/bdd/*/` — **đúng một** thư mục platform tồn tại → dùng nó.
+4. Nhiều platform mà không suy được → hỏi *"QC pass này cho platform nào? (web/app/system)"*.
+   **Có `--yes`:** không hỏi — dừng với lỗi rõ ràng, vì đoán bừa platform là ghi artifact vào sai
+   thư mục và ghi `qc_status` vào sai sổ trace:
+   ```
+   ❌ {UC-ID} có {n} platform ({list}) — không suy được platform nào cho QC pass này.
+      Chạy headless thì phải nêu tường minh: /qc-analyze {UC-ID} web --yes
+   ```
+
+Lưu `active_platform`. Đọc **đúng file `.feature` của platform đó** (`{paths.specs_dir}/{domain}/{prd-slug}/bdd/{active_platform}/{UC-ID}*.feature`) làm nguồn SC — không trộn SC chéo platform.
+
+---
+
 ## Guard — BDD đã duyệt chưa
 
-Đọc `# @trace.status:` từ header file `.feature` của UC target:
+*Chạy SAU Platform Resolution — xem lý do ở khối trên.*
+
+Đọc `# @trace.status:` từ header file `.feature` **của `{active_platform}` đã phân giải**:
 - `approved` → tiếp tục bình thường.
 - `draft` (hoặc khác `approved`) → **CHECKPOINT cảnh báo mềm** (không chặn cứng — cho phép QC sớm/prototype):
   ```
-  ⚠️  BDD của {UC-ID} đang ở @trace.status: {status} (chưa duyệt). QC chạy trên BDD chưa chốt có thể phải làm lại.
+  ⚠️  BDD của {UC-ID} ({active_platform}) đang ở @trace.status: {status} (chưa duyệt). QC chạy trên BDD chưa chốt có thể phải làm lại.
      Khuyến nghị: review-context (BDD) sạch + người duyệt đặt `# @trace.status: approved` rồi mới chạy QC.
      Vẫn chạy QC bây giờ? (Y/N)
   ```
-  Chỉ tiếp khi chọn Y.
+  Chỉ tiếp khi chọn Y — **trừ khi `$ARGUMENTS` có `--yes`**: coi như Y, **nhưng vẫn IN khối cảnh
+  báo** (không chặn ≠ không báo — người đọc log sau này vẫn cần thấy QC đã chạy trên BDD nháp).
+
+> **Vì sao `--yes` phải phủ cả guard mềm này.** `steps/gate.md` mở đường chạy headless
+> (`claude -p "… --yes"`), nhưng `--yes` chỉ khai là bỏ qua CHECKPOINT của gate. Guard mềm ở đây
+> là một `(Y/N)` thứ hai — nên lệnh vẫn treo vô hạn ở chế độ không có người trả lời, và đường
+> headless mà gate hứa bị bít cho đúng lệnh này. Một cổng chỉ chặn được khi có người ngồi đó
+> thì ở chế độ headless nó không phải cổng, nó là treo.
 
 ---
 
-## Platform Resolution *(thiết lập cho cả QC pass — mọi stage sau kế thừa)*
+## Đối chiếu tài liệu kỹ thuật *(nguồn thứ hai — bắt lệch nghiệp vụ ↔ kỹ thuật)*
 
-`{UC-ID}-SC{N}` chỉ độc nhất trong (UC × platform) — `web SC3` và `app SC3` là hai scenario khác nhau, và sổ trace tách theo `{UC-ID}-{platform}.tsv`. Nên **một QC pass khoá đúng MỘT platform**, và mọi artifact QC nằm dưới `{paths.qc_dir}/{UC-ID}/{active_platform}/`.
+Định vị tech-doc gộp cấp PRD: `{paths.tech_docs_dir}/{domain}/{prd-slug}/tech-docs/{TICKET-ID}-tech-design.md`.
+Nó phủ **nhiều UC** — lọc theo `@trace.ucs` ở header, chỉ đọc phần chạm `{UC-ID}` đang xét.
 
-Phân giải `active_platform`:
-- Target ở Bước 1 là một file `.feature` → đọc `# @trace.platform` của nó.
-- `$ARGUMENTS` nêu platform (`web`/`app`/`system`) → dùng.
-- Ngược lại → hỏi: *"QC pass này cho platform nào? (web/app/system)"* và chờ chọn.
+**Không tìm thấy → cảnh báo mềm, KHÔNG chặn** (dự án có thể chưa dựng tech-doc):
+```
+⚠️  Không có tech-doc cho {TICKET-ID} — phân tích chỉ dựa trên PRD + BDD + design-spec.
+   Lệch giữa yêu cầu nghiệp vụ và hợp đồng kỹ thuật (enum, mã lỗi, ràng buộc field) sẽ KHÔNG được phát hiện ở trạm này.
+```
 
-Lưu `active_platform`. Đọc **đúng file `.feature` của platform đó** (`{paths.specs_dir}/{domain}/{prd-slug}/bdd/{active_platform}/{UC-ID}*.feature`) làm nguồn SC — không trộn SC chéo platform.
+**Có → đối chiếu các mục sau với PRD/BDD, mỗi chỗ vênh là một gap `CONTRADICTORY`:**
+
+| Mục tech-doc | Đối chiếu gì với PRD/BDD |
+|---|---|
+| §3 Mô hình dữ liệu | thực thể/field/quan hệ PRD nhắc tới có khớp không |
+| **§4 Hợp đồng API** | **enum & tập giá trị hợp lệ** · ràng buộc field (độ dài, định dạng, bắt buộc) · **mã lỗi** — PRD nêu bao nhiêu nhánh lỗi, contract định nghĩa bao nhiêu |
+| §4.5 Ánh xạ component UI | màn/component PRD·design-spec mô tả có mặt đủ không |
+| §5 Luồng chính | thứ tự bước, nhánh rẽ có khớp scenario `.feature` không |
+| §6 Điểm tích hợp | side-effect PRD nêu (gửi sự kiện, gọi dịch vụ khác) có được định nghĩa không |
+| §8 Xử lý lỗi & biên | trường hợp biên PRD nêu có đường xử lý không, và ngược lại |
+
+> **Vì sao mục này tồn tại.** Có một lớp gap **chỉ lộ ra khi so hai loại tài liệu với nhau** —
+> đọc riêng bên nào cũng thấy hợp lý. Ca điển hình: PRD viết *"chọn lớp 1–6"*, contract định
+> nghĩa enum `1..9`. Không ai đọc cả hai thì không ai thấy, và nó ra tận lúc chạy thật.
+> **Đây là lý do trạm này đọc tech-doc — không phải để hiểu kỹ thuật, mà để bắt chỗ hai bên nói khác nhau.**
+
+### §12 GAP Register — ĐỌC, KHÔNG GHI
+
+Tech-doc có sổ ẩn số thiết kế riêng (`§12`), với vòng đời và người chịu trách nhiệm riêng, và
+`/generate-code` đã canh nó. **Trạm này chỉ đọc, tuyệt đối không ghi vào.**
+
+Với mỗi mục `open` trong §12 chạm `{UC-ID}`:
+- **KHÔNG mở gap mới** trong `DOC_GAP.md` về cùng chuyện đó.
+- Ghi vào `REQUIREMENT_ANALYSIS.md` mục *"Đang chờ chốt (từ §12 tech-doc)"*: `{id}` · điều chưa biết · owner · severity.
+- Test case chạm nó về sau sẽ bị chặn — nhưng bị chặn bởi **một mục đã có người xử lý**, không phải bởi một câu hỏi mới gửi PO.
+
+> **Vì sao không ghi vào.** Một ẩn số đã nằm trong §12 nghĩa là **đã có người đang lo**: có
+> owner, có mức chặn, có cổng chặn sinh code. Mở lại nó thành gap QC là gửi PO một câu hỏi
+> về thứ không phải việc của PO, và tạo hai sổ cùng theo dõi một chuyện — rồi chúng lệch nhau.
+> Đây đúng là **câu hỏi lọc Q1** của `steps/gap-verify.md` (*"chỗ này đã được trả lời ở tài liệu
+> khác chưa?"*), chỉ mở rộng phạm vi "tài liệu khác" thêm một nguồn.
+
+**Ngoại lệ — mục `spec-defect` là việc của PO.** §12 phân ba loại: `nội tại` (backend tự quyết) ·
+`cross-service` (đội khác) · `spec-defect` (PRD/BDD sai hoặc thiếu). Hai loại đầu → ghi "đang chờ".
+Loại thứ ba **đúng là gap tài liệu** → vẫn ghi vào `DOC_GAP.md`, trỏ ngược về `{id}` của §12 để
+không đếm hai lần.
 
 ---
 
@@ -228,42 +304,204 @@ File `.feature` chính thức đã định nghĩa scenario là `@trace.scenario=
 và ghi lại mapping — qc-design-test và qc-run-test cần nó để gắn tag
 `@trace.verifies` cho test và ghi `qc_status` theo từng scenario.
 
-## DOC_GAPS (bắt buộc)
+## Quét gap — hai nguồn, gộp rồi mới thẩm định
+
+Gap đến từ **hai chỗ**, và chúng bổ sung nhau chứ không thay thế:
+
+| Nguồn | Trả lời câu | Gap là |
+|---|---|---|
+| **4 kỹ năng phân tích** ở trên | *"yêu cầu là gì?"* | sản phẩm phụ — đang bóc luật nghiệp vụ thì gặp chỗ mâu thuẫn |
+| **Quét theo lăng kính** *(dưới đây)* | *"còn thiếu gì?"* | mục tiêu chính |
+
+### Quét theo lăng kính
+
+Chạy `steps/review-fanout.md` với:
 
-Luôn tạo một file gaps theo `{paths.qc_skills_dir}/qa-analyst/DOC_GAPS.template.md`:
+| Tham số | Giá trị |
+|---|---|
+| `DIMENSIONS` | **4 lăng kính** — `D2 Xử lý lỗi` · `D3 Giao diện` · `D4 Dữ liệu & cấu hình` · `D5 Đối chiếu chéo` **(thu hẹp — xem dưới)** *(định nghĩa ở `{paths.qc_skills_dir}/qa-analyst/exhaustive-gap-scanner.md`)* |
+| `FINDINGS SCHEMA` | như §Output dưới đây |
+| `GRANULARITY` | **`auto`** — chia theo ngưỡng kích thước, KHÔNG ép mịn theo từng UC |
+| `VERIFY` | **`off`** — thẩm định chạy MỘT lần ở bước sau, trên tập đã gộp |
+
+**`D5` chạy ở dạng THU HẸP — chỉ 2 trong 4 cặp tài liệu:**
+
+| Cặp | |
+|---|---|
+| `PRD ↔ design-spec/` | ✅ **SO** — không ai đối chiếu nội dung. `/generate-bdd` chỉ kiểm `Built from PRD` (số phiên bản); cùng phiên bản mà nội dung lệch thì lọt |
+| `bdd/{platform}/ ↔ design-spec/` | ✅ **SO** — không ai |
+| `PRD ↔ bdd/` | ❌ bỏ — `/review-context` **B1** đã làm |
+| `PRD·bdd/ ↔ tech-docs/` | ❌ bỏ — §Đối chiếu tài liệu kỹ thuật **ở trên** đã làm |
+
+> **Cả hai cặp SO đều dính `design-spec/`** — artifact duy nhất trong feature package mà **không
+> tài liệu nào đối chiếu nội dung với nó**. Đừng lẫn với `tech-docs/`: `design-spec/` là *giao diện
+> Designer vẽ*, `tech-docs/` là *hợp đồng hệ thống* — và `tech-docs/` đã được phủ ở §trên.
+>
+> Trạm này **đã đọc `design-spec/`** từ trước (nó nằm trong danh sách nguồn ở Gate), nên `D5`
+> không nạp thêm file nào — chỉ bắt nó **so** thay vì chỉ **đọc**. Rẻ hơn một lăng kính thường.
+
+**`D1 Luật nghiệp vụ` là lăng kính duy nhất KHÔNG bật:** `qa-analyst/business-rules.md` đã hỏi
+4/5 câu của nó, và hỏi cụ thể hơn — *"min/max · ký tự cho phép · trim · định dạng"* thay vì
+*"ngưỡng đã chốt chưa"*.
+
+> **Ghi lại vì sao `D5` từng bị tắt:** lý do ban đầu là *"trùng nhiều"* — **đúng một nửa**. Nó phủ
+> **bốn** cặp, chỉ **hai** cặp đã có người làm. Sai vì suy từ ấn tượng thay vì đếm danh sách; bảng
+> kiểm chứng 31 câu hỏi (`docs/plans/qc-implementation-log.md`) là thứ đáng lẽ phải làm **trước**
+> khi quyết. Đừng tắt lại `D5` mà không đọc bảng đó.
+
+> **`GRANULARITY = auto`, không phải `per-uc`.** `/refine-prd` ép mịn theo từng UC vì ở tầng PRD
+> một gap bỏ sót **im lặng đi tiếp** tới tận lúc chạy thật. Ở đây khác: gap bỏ sót còn **bốn lớp
+> chặn phía sau** — trạm 3 bật ngược khi không viết nổi giá trị mong đợi, trạm 4 soát độ phủ,
+> trạm 5 phân loại lỗi thật vs script sai. Ép mịn ở đây tốn gấp ~3 lần cho tính năng nhỏ mà đổi
+> lấy một lưới an toàn đã có sẵn ba lớp khác.
+
+### Gộp trước, thẩm định sau
+
+Gộp gap từ **cả hai nguồn** vào một tập trước khi sang bước thẩm định.
+
+> **Không thẩm định từng nguồn riêng.** Phép kiểm `T6` của `gap-verify` là *"hai gap cùng gốc
+> thì gộp lại"* — nó chỉ chạy được khi **thấy toàn bộ** tập. Thẩm định hai lần trên hai tập rời
+> thì không bắt được trùng lặp chéo nguồn, và PO nhận hai câu hỏi giống nhau.
+
+---
+
+## DOC_GAP (bắt buộc)
+
+Luôn tạo một file gaps theo `{paths.qc_skills_dir}/qa-analyst/DOC_GAP.template.md`:
 - Mỗi gap `GAP-xx`, phân loại MISSING / AMBIGUOUS / CONTRADICTORY / ASSUMPTION / OPEN QUESTION, với severity (🔴 Blocker → 🟢 Low) và function/BR/AC bị ảnh hưởng.
 - Không bao giờ bịa câu trả lời; đánh dấu giả định là `ASSUMPTION` để PO/dev confirm.
 - Bất kỳ `🔴 Blocker` nào còn `Open` ⇒ UC chưa sẵn sàng cho qc-design-test — bàn giao cho qc-plan.
 - **Đẩy các defect spec thực sự lên PO (không chỉ giữ local).** Một blocker là lỗi thật
   trong spec chính thức — `AMBIGUOUS` / `CONTRADICTORY` / `MISSING` trong PRD/BDD — phải tới
-  PO qua feedback flow, không chỉ nằm trong `DOC_GAPS.md`: tạo `/report-bug {UC-ID} {desc}`
+  PO qua feedback flow, không chỉ nằm trong `DOC_GAP.md`: tạo `/report-bug {UC-ID} {desc}`
   (BUG_FLOW của nó phân loại PRD vs BDD), hoặc `/propose-scenario {UC-ID}` nếu gap là thiếu test
   coverage. Gap `ASSUMPTION` / `OPEN QUESTION` được confirm qua questions-for-dev của qc-plan — không file thành bug.
 
+### Thẩm định trước khi bàn giao *(bắt buộc)*
+
+Sinh xong `DOC_GAP.md`, **đọc `.agent/steps/gap-verify.md` và chạy toàn bộ quy trình trong đó**
+với:
+- `FINDINGS` = mọi gap đang `Open` trong `DOC_GAP.md`
+- `EVIDENCE_ROOT` = `{paths.specs_dir}` — spec repo của PO, **không** phải `{paths.qc_dir}`
+- `VERDICT_FIELD` = cột `Trạng thái` + `Câu trả lời` của bảng gap
+- `RERATE` = `on`
+
+Gap rớt thẩm định được **đóng kèm lý do**, KHÔNG xoá — người đọc phải kiểm chứng được vì sao
+nó bị loại. Cập nhật `Tổng số gap` + bảng ưu tiên sau khi áp verdict, và in khối
+`[GAP VERIFY]` + cam kết cuối vào report.
+
+> **Vì sao bắt buộc, không phải tuỳ chọn.** Bước phân tích ở trên chỉ có lực **tìm thêm** —
+> bốn skill lần lượt quét spec và mỗi cái đều được khuyến khích ghi ra chỗ nghi ngờ. Không có
+> bước nào hỏi ngược *"cái vừa ghi có thật không?"*. Hệ quả đo được ở đội QC: phần lớn gap sinh
+> ra là gap ảo — spec đã trả lời ở tài liệu khác, hoặc trích dẫn sai, hoặc là chuyện QC tự quyết
+> được. Mà gap ảo không chỉ tốn thời gian PO: nó **làm PO mất tin vào cả danh sách**, và lúc đó
+> những gap thật cũng chết theo. `gap-verify` là bộ lọc duy nhất đứng giữa hai chuyện đó.
+
 ## Output
 
-Ghi **đúng HAI file** dưới `{paths.qc_dir}/{UC-ID}/{active_platform}/` — **đừng** tách phân tích
+Ghi **hai file** dưới `{paths.qc_dir}/{UC-ID}/{active_platform}/` + **một** dưới `{paths.refinement_dir}/` — **đừng** tách phân tích
 thành một-file-mỗi-bước (không có file spec-breakdown / business-rules / data-flow / AC riêng):
 
 1. **`{paths.qc_dir}/{UC-ID}/{active_platform}/REQUIREMENT_ANALYSIS.md`** — bản phân tích hợp nhất duy nhất.
    Section theo thứ tự: phân rã requirement → bảng business-rule (`BR-xx`) → data-flow →
    acceptance-criteria (`AC-xx`), mỗi `BR`/`AC` map tới `{UC-ID}-SC{N}` (của `.feature` platform này) sở hữu nó.
-2. **`{paths.qc_dir}/{UC-ID}/{active_platform}/DOC_GAPS.md`** — file gaps (theo `{paths.qc_skills_dir}/qa-analyst/DOC_GAPS.template.md`).
+   Cuối file thêm mục **"Đang chờ chốt (từ §12 tech-doc)"** — các ẩn số thiết kế `open` chạm UC này
+   (`{id}` · điều chưa biết · owner · severity). Rỗng thì ghi "Không có"; **đừng bỏ mục**.
+2. **`{paths.qc_dir}/{UC-ID}/{active_platform}/DOC_GAP.md`** — file gap, theo
+   `{paths.qc_skills_dir}/qa-analyst/DOC_GAP.template.md` + luật viết ở
+   `{paths.qc_skills_dir}/qa-analyst/spec-issue-reporter.md`. Bắt buộc:
+   - **Bảng 10 cột** đúng thứ tự, có cột **Giao cho đội** (Dev / PO / BA / Design / Kiến trúc / Dữ liệu).
+   - Ô câu hỏi đủ **bốn phần** tách bằng `<br/>`: **Bối cảnh → Vấn đề → Tại sao quan trọng → Gợi ý**.
+     *Ba phần đầu cho PO xếp ưu tiên; phần cuối cho PO trả lời nhanh mà không phải nghĩ lại từ đầu.*
+   - Section **"Tài liệu đầu vào đã đọc để phân tích"** đặt ngay sau metadata — liệt kê **đủ** mọi
+     file đã mở. Đây là căn cứ độ phủ: không có nó thì không ai phân biệt được *"đã đọc và không thấy"*
+     với *"chưa đọc"*.
+   - Mức nặng nhất dùng từ **`🔴 Blocker`** (không phải `Critical`) — `/qc-run-test` đọc đúng từ này
+     để đặt *"scenario đang chờ PO"* vào sổ trace.
+3. **`{paths.refinement_dir}/{UC-ID}-qa-findings.yaml`** — **cùng dữ liệu gap**, ở định dạng Review Board đọc được. Xem §Bản findings dưới đây.
 
 `{paths.qc_dir}` là folder top-level NHÌN THẤY trong QC repo (mặc định `docs/`, **không** phải
 `.agent/review/` ẩn) để team QC mở và xử lý output dễ dàng. Spec chính thức ở lại
 spec submodule của PO — đừng ghi phân tích vào đó.
 
+### Bản findings — một nguồn, hai mặt
+
+File `.yaml` và `DOC_GAP.md` là **cùng một tập gap**, không phải hai tập. Sinh `DOC_GAP.md`
+trước (nó là bản người đọc), rồi **render** sang `.yaml` — đừng phân tích lại lần hai.
+
+Dùng **đúng schema của `/refine-prd`** để Review Board đọc được cả hai loại file:
+
+```yaml
+prd_source: "{paths.specs_dir}/{domain}/{prd-slug}/{TICKET-ID}-{prd-slug}.md"
+uc_id: "{UC-ID}"
+platform: "{active_platform}"
+generated_at: "{ISO datetime}"
+generated_by: "qc-analyze"
+status: "pending_review"
+
+findings:
+  - id: "F001"
+    lens: "QA"                    # LUÔN là QA — file này chỉ có một lăng kính
+    severity: "critical"          # critical | major | minor  ← map từ 🔴/🟠/🟡⚪ của DOC_GAP
+    section: "{section PRD/BDD chứa vấn đề}"
+    uc_id: "{UC-ID}"
+    quote: "{trích nguyên văn ≤120 ký tự từ spec tại đúng chỗ}"
+    finding: "{gap là gì}"
+    suggestion: "{cần PO/BA làm rõ điều gì}"
+    resolution_edge_cases: []     # để [] — phân tích bậc-hai là việc của /refine-prd
+    auto_fixable: false           # LUÔN false — xem cảnh báo dưới
+    status: "pending"
+    applied_via: ""
+    gap_ref: "GAP-xx"             # trỏ ngược về hàng trong DOC_GAP.md
+
+summary:
+  total_findings: {N}
+  by_severity: { critical: {N}, major: {N}, minor: {N} }
+  by_lens: { QA: {N} }
+  recommendation: "APPROVED_WITH_MINOR_CHANGES | NEEDS_REVISION | BLOCKED"
+```
+
+> **`auto_fixable` LUÔN `false`, và KHÔNG có `--resume` cho file này.**
+>
+> Review Board có nút *"chấp nhận rồi tự sửa PRD"*. Với gap của `/refine-prd` thì đúng — nó chạy
+> ở **thời điểm PRD**, sửa PRD lúc đó là sửa đúng chỗ đúng lúc.
+>
+> Gap của lệnh này phát hiện **sau khi code đã xong**. Tự sửa PRD ở thời điểm đó là **sửa sau lưng
+> cả dây chuyền**: BDD sinh từ PRD cũ, code sinh từ BDD đó, sổ kết quả kiểm thử neo vào scenario
+> của BDD đó. Đổi PRD mà không đi lại đường ấy thì mọi thứ phía sau nói dối.
+>
+> Đường đúng vẫn là kênh đã có: `/report-bug` cho defect spec thật, `/propose-scenario` cho thiếu
+> độ phủ. File `.yaml` này để **PO đọc và quyết trong một chỗ quen**, không phải để máy tự áp.
+
+**File riêng, không ghi chung với `/refine-prd`.** Tên có `{UC-ID}` nên không đụng
+`{prd-slug}-findings.yaml`. Ghi chung sẽ phá trường `applied_to_version` mà `/refine-prd` dùng để
+phân biệt *"PRD đổi do chính tôi áp fix"* với *"có người lạ sửa"* — và nó sẽ mãi mãi tưởng có
+người sửa sau lưng, mỗi lần chạy đều quét lại toàn bộ kèm cảnh báo giả.
+
+---
+
 ## Report
 
 **Đọc `.agent/steps/report-footer.md`** và áp đúng khuôn footer trong đó (Status Badge ·
 Output Artifacts · Next) cho report cuối, kèm khối bên dưới.
 
 ```
-/qc-analyze Hoàn tất — {UC-ID}
-Files: {paths.qc_dir}/{UC-ID}/{active_platform}/REQUIREMENT_ANALYSIS.md + DOC_GAPS.md   (2 files)
-Gaps: {N} ({blockers} blocker)   ← blocker là spec-defect? → /report-bug {UC-ID}  | coverage gap → /propose-scenario {UC-ID}
-SC mapping: {M} BR/AC map tới {K} scenario
-Next: /qc-plan {UC-ID}   ← risk / what-if / questions-for-dev
-      (giải quyết các gap 🔴 Blocker với PO/Dev trước)
+/qc-analyze Hoàn tất — {UC-ID} ({active_platform})
+Files : {paths.qc_dir}/{UC-ID}/{active_platform}/REQUIREMENT_ANALYSIS.md + DOC_GAP.md (10 cột)
+        {paths.refinement_dir}/{UC-ID}-qa-findings.yaml    ← mở bằng Review Board (chuột phải)
+Nguồn : PRD · BDD({active_platform}) · design-spec · tech-doc{nếu thiếu tech-doc: " (THIẾU — không đối chiếu được nghiệp vụ ↔ kỹ thuật)"}
+Quét  : 4 kỹ năng phân tích + 4 lăng kính (xử lý lỗi · giao diện · dữ liệu & cấu hình
+        · đối chiếu chéo: PRD↔design-spec, bdd↔design-spec)
+Verify: {raw} gap thô → {N} còn Open  (❌ {invalid} bịa/đã-trả-lời · ⚠️ {reclass} không phải gap nghiệp vụ · 🔁 {merge} trùng)
+Gaps  : {N} ({blockers} blocker)   ← blocker là spec-defect? → /report-bug {UC-ID}  | coverage gap → /propose-scenario {UC-ID}
+Chờ chốt: {G} ẩn số §12 tech-doc đang open chạm UC này (đã ghi vào REQUIREMENT_ANALYSIS, KHÔNG hỏi lại PO)
+SC map: {M} BR/AC map tới {K} scenario
+Next  : /qc-plan {UC-ID} {active_platform}   ← rủi ro / what-if / câu hỏi cho dev
+        (giải quyết các gap 🔴 Blocker với PO/Dev trước)
 ```
+
+> **Dòng `Next` là bắt buộc in, không phải trang trí.** Dây gốc của đội QC ra **cả** file gap
+> **và** kế hoạch test trong một lần chạy (13/14 lần đo được ở repo của họ). Ở framework đó là
+> **hai lệnh**. Người quen dây cũ sẽ dừng lại ở đây và tưởng đã xong — dòng này là chỗ duy nhất
+> nói cho họ biết còn một bước nữa.
+

package/core/commands/qc-design-test.md

@@ -162,7 +162,7 @@ Mỗi dòng ⚠️/🔴 phải ứng với một trạng thái **context-loader
   🔴/⚠️ (không chặn ≠ không báo — người đọc log sau này vẫn cần thấy).
 
 
-*Lưu ý: Với lệnh này, target ở Bước 1 là một UC-ID. **Phân giải `active_platform`** (QC pass khoá 1 platform): nếu `$ARGUMENTS` nêu platform → dùng; else glob `{paths.qc_dir}/{UC-ID}/*/` — đúng 1 folder platform → dùng nó, nhiều folder → hỏi. Đọc output của qc-analyze + qc-plan (`REQUIREMENT_ANALYSIS.md`, `DOC_GAPS.md`, `TEST_PLAN.md`) từ `{paths.qc_dir}/{UC-ID}/{active_platform}/` và file `.feature` của đúng platform đó (với `@trace.scenario` mỗi scenario). Với layer GUI, cũng đọc bảng **Test Selectors** §4.5.6 (block platform) của tech-doc gộp tại `{paths.tech_docs_dir}/{domain}/{prd-slug}/tech-docs/{TICKET-ID}-tech-design.md` (nếu có — bảng gộp mọi UC của platform, **lọc theo cột "Serves SC" khớp SC của UC này**) — các test-id ổn định mà QC sẽ định vị theo.*
+*Lưu ý: Với lệnh này, target ở Bước 1 là một UC-ID. **Phân giải `active_platform`** (QC pass khoá 1 platform): nếu `$ARGUMENTS` nêu platform → dùng; else glob `{paths.qc_dir}/{UC-ID}/*/` — đúng 1 folder platform → dùng nó, nhiều folder → hỏi. Đọc output của qc-analyze + qc-plan (`REQUIREMENT_ANALYSIS.md`, `DOC_GAP.md`, `TEST_PLAN.md`) từ `{paths.qc_dir}/{UC-ID}/{active_platform}/` và file `.feature` của đúng platform đó (với `@trace.scenario` mỗi scenario). Với layer GUI, cũng đọc bảng **Test Selectors** §4.5.6 (block platform) của tech-doc gộp tại `{paths.tech_docs_dir}/{domain}/{prd-slug}/tech-docs/{TICKET-ID}-tech-design.md` (nếu có — bảng gộp mọi UC của platform, **lọc theo cột "Serves SC" khớp SC của UC này**) — các test-id ổn định mà QC sẽ định vị theo.*
 
 ## Context
 **BẮT BUỘC — đọc `.agent/steps/context-loader.md` và thực thi TOÀN BỘ quy trình trong đó**,

package/core/commands/qc-plan.md

@@ -162,7 +162,7 @@ Mỗi dòng ⚠️/🔴 phải ứng với một trạng thái **context-loader
   🔴/⚠️ (không chặn ≠ không báo — người đọc log sau này vẫn cần thấy).
 
 
-*Lưu ý: Với lệnh này, target ở Bước 1 là một UC-ID. **Phân giải `active_platform`** (QC pass khoá 1 platform — artifact dưới `{paths.qc_dir}/{UC-ID}/{active_platform}/`): nếu `$ARGUMENTS` nêu platform (web/app/system) → dùng; else glob `{paths.qc_dir}/{UC-ID}/*/` — đúng 1 folder platform → dùng nó, nhiều folder → hỏi platform nào. Đọc output của qc-analyze (`REQUIREMENT_ANALYSIS.md` + `DOC_GAPS.md`) từ `{paths.qc_dir}/{UC-ID}/{active_platform}/` và file `.feature` của đúng platform đó.*
+*Lưu ý: Với lệnh này, target ở Bước 1 là một UC-ID. **Phân giải `active_platform`** (QC pass khoá 1 platform — artifact dưới `{paths.qc_dir}/{UC-ID}/{active_platform}/`): nếu `$ARGUMENTS` nêu platform (web/app/system) → dùng; else glob `{paths.qc_dir}/{UC-ID}/*/` — đúng 1 folder platform → dùng nó, nhiều folder → hỏi platform nào. Đọc output của qc-analyze (`REQUIREMENT_ANALYSIS.md` + `DOC_GAP.md`) từ `{paths.qc_dir}/{UC-ID}/{active_platform}/` và file `.feature` của đúng platform đó.*
 
 ## Context
 **BẮT BUỘC — đọc `.agent/steps/context-loader.md` và thực thi TOÀN BỘ quy trình trong đó**,
@@ -183,9 +183,12 @@ thiết kế test case cụ thể (đó là qc-design-test).
 
 ## Skills (`{paths.qc_skills_dir}/qa-planner/`)
 
-- `test-plan.md` — tự đủ: risk matrix, what-if, scope theo từng test layer
-  (functional / integration / e2e / non-functional), entry/exit criteria, và
-  danh sách questions-for-dev suy ra từ `DOC_GAPS.md`.
+- `test-plan.md` — khung plan: scope theo từng test layer (functional / integration /
+  e2e / non-functional), what-if, entry/exit criteria, và danh sách questions-for-dev
+  suy ra từ `DOC_GAP.md`.
+- `risk-model.md` — **cách tính** mức rủi ro: 7 nguồn rủi ro · khả năng × thiệt hại → P0–P3 ·
+  và dùng mức đó chia **độ sâu** test. `test-plan.md` có khung bảng `§6`; file này là cách điền.
+  Nạp cùng lúc, không phải thay thế.
 
 ## Output
 

package/core/commands/qc-run-test.md

@@ -225,7 +225,7 @@ Sau khi chạy, cập nhật **sổ của platform đang test** `{paths.trace_di
 | `qc_status` | Đọc cột `status` của row **TRƯỚC** — xem §Guard ngay dưới bảng. Row `OK`/`GAP`/`UNTRACKED`: `pass` nếu mọi QC test của SC này pass · `fail` nếu có cái fail · `skip` nếu tất cả skip/xfail · `not_run` nếu không QC test nào phủ nó. Row **`DRIFT`/`ORPHANED`**: **không bao giờ ghi `pass`** — hạ về `not_run` |
 | `qc_run_at` | hôm nay `YYYY-MM-DD` |
 | `last_updated` | hôm nay `YYYY-MM-DD` |
-| `qc_owner` | **SC đang chờ ai** (view "pending" của PM/PO): `dev` nếu FAIL = product-gap (defect thật → dev fix) · `po` nếu `skip`/`not_run` vì một **`DOC_GAPS` 🔴 Blocker đang open** chặn test (PO phải làm rõ PRD/BDD) · `—` nếu `pass`, hoặc FAIL = script-bug (QC tự fix — tạm thời) |
+| `qc_owner` | **SC đang chờ ai** (view "pending" của PM/PO): `dev` nếu FAIL = product-gap (defect thật → dev fix) · `po` nếu `skip`/`not_run` vì một **`DOC_GAP` 🔴 Blocker đang open** chặn test (PO phải làm rõ PRD/BDD) · `—` nếu `pass`, hoặc FAIL = script-bug (QC tự fix — tạm thời) |
 | `qc_blocked_by` | artifact liên kết: `GAP-{id}` khi bị chặn bởi spec gap (set ở đây) · `BUG-{id}` khi `/report-bug` đã được file cho product-gap (backfill bởi `/report-bug`) · `—` ngược lại |
 
 Set `qc_owner`/`qc_blocked_by` cùng với `qc_status`. Khi `pass`, **clear** cả hai về `—` — nhưng **PHẢI chạy §Đóng bug đã verify bên dưới TRƯỚC**, vì `qc_blocked_by` chính là con trỏ tới bug và clear xong là mất đường về.