@opetope/runtime 0.1.0

package/docs/decisions.md

@@ -0,0 +1,1437 @@
+# Opetope — решения и основания
+
+Нормативный API и законы описаны в [spec.md](spec.md), устройство — в [how-it-works.md](how-it-works.md). Здесь собраны краткие причины и связи решений. Номера Dnnn стабильны; ссылки на уточняющее решение задают действующую форму. Изменение публичного контракта добавляет новый номер и обновляет спецификацию.
+
+<a id="d1"></a>
+
+## D1 — три слова: `call`, `command`, `action`
+
+Команды объявляются через call/calls, исполняются через invoke; useCommand/useCommands связывают Call с UI. См. [D174](#d174), [D243](#d243).
+
+<a id="d2"></a>
+
+## D2 — отказ новой работы после retirement
+
+Неактивный экземпляр отклоняет новую работу ошибкой авторского subject/code. Действующая система ошибок — [D69](#d69), [D81](#d81).
+
+<a id="d3"></a>
+
+## D3 — `attach` и dynamic lifetime без слова `lifetime`
+
+`attach` подключает источник с open/close, `scope.while/switch/keyed` это dynamic lifetime; слова `lifetime` в API нет. время жизни выражается формой, а не термином. Сужено [D141](#d141).
+
+<a id="d4"></a>
+
+## D4 — `defineModel<Shape>(id)`, View сливается в Model
+
+модель это запись `Readable` и `Call`; слово Token уходит. UI-контракт и контракт данных — одно понятие.
+
+<a id="d5"></a>
+
+## D5 — принадлежащие фиче значения объявляются в own
+
+Секция own объявляет принадлежащие фиче модели, команды, реактивные источники и вложения. Действующая форма — [D80](#d80).
+
+<a id="d6"></a>
+
+## D6 — `ModelContext` без generic
+
+зависимости модель объявляет своим интерфейсом, фича подставляет. модель не должна знать, кто её собирает.
+
+<a id="d7"></a>
+
+## D7 — `imports` принимает определение фичи
+
+imports принимает определение фичи как контракт её exports. Внешний контракт хоста объявляется defineHostContract. См. [D80](#d80), [D98](#d98).
+
+<a id="d8"></a>
+
+## D8 — `requires.x` это `Call`, доменные порты удалены
+
+`requires.x` это `Call`; `domainPorts`, `defineDomainPort`, `adaptPort` удалены. требование к чужому провайдеру — обычный вызов.
+
+<a id="d9"></a>
+
+## D9 — `provides` объединяет `port`, `slot`, `pipe`, `register`
+
+одна секция на capability и вклады; `contributions` и слово `contribute` удалены. вид цели различает форму вклада, поэтому вторая секция ничего не добавляла.
+
+<a id="d10"></a>
+
+## D10 — `defineRoot` опционален
+
+Отдельные публичные root-декларации не требуются: права UI задаёт frame вклада Slot. См. [D85](#d85).
+
+<a id="d11"></a>
+
+## D11 — секция `ui` это builder
+
+Монтаж UI реализуется через Slot и integration entry; отдельной authoring-секции ui нет. См. [D85](#d85).
+
+<a id="d12"></a>
+
+## D12 — публичный authoring root один: `defineFeature`
+
+`defineModule`, `Module*` и `Task*` живут в `internal`. kernel-словарь наружу не выходит.
+
+<a id="d13"></a>
+
+## D13 — ошибки `<Subject><State>Error`
+
+Ошибки имеют авторский subject и стабильный code; действующая система — [D69](#d69), [D81](#d81).
+
+<a id="d14"></a>
+
+## D14 — один словарь `phase`
+
+фазы это `open`, `close`, `rollback`, `fence`, `drain`, `retry`. одно время жизни — один набор слов, включая devtools.
+
+<a id="d15"></a>
+
+## D15 — переименования под авторский словарь
+
+Authoring names следуют общему словарю. Текущие имена: useCommand, calls, onDemand, openFeature, event.subscribe, key и Collection. См. spec §3.
+
+<a id="d16"></a>
+
+## D16 — обязателен только `id`
+
+суффикса `.feature` нет, разделитель только точка. id это адрес в плане приложения, а не вид сущности.
+
+<a id="d17"></a>
+
+## D17 — изоляция временной совместимости
+
+Временные адаптеры отделяются от постоянного API библиотеки. Дополнительная совместимость должна иметь явную границу и владельца.
+
+<a id="d18"></a>
+
+## D18 — `gateway` остаётся для owned I/O
+
+Owned I/O описывается attachment/resource/stream с lifetime владельца; отдельного gateway primitive нет. См. [D96](#d96).
+
+<a id="d19"></a>
+
+## D19 — тестовая поверхность `renderRoot`
+
+Публичный UI test harness использует renderSlot и createScenario. См. [D85](#d85), [D215](#d215).
+
+<a id="d20"></a>
+
+## D20 — trusted subpaths
+
+доверенные подпути это `@opetope/core/internal`, `@opetope/runtime/internal`, `@opetope/react/integration`. граница автора и хоста проверяется линтом, а не соглашением.
+
+<a id="d21"></a>
+
+## D21 — см. D26
+
+`resource(from, target, {…})`, `stream(from, target, {…})`, `event(from, subscribe, {…})`; lint-правило порядка ключей снято. См. [D26](#d26).
+
+<a id="d22"></a>
+
+## D22 — формы `once` и `singleFlight`
+
+`once: true` — один результат на поколение, `once: input => key` — по ключу, `singleFlight: input => key` без объекта-обёртки. политика вызова описывается значением, а не конфигурацией.
+
+<a id="d23"></a>
+
+## D23 — типы переименованы вместе со значениями
+
+Типы используют тот же словарь, что значения. Текущие subject names и ошибки — [D81](#d81); формы Call/Readable/Model — spec §3.
+
+<a id="d24"></a>
+
+## D24 — монтаж UI находится в integration
+
+Монтаж модели относится к host integration. Действующие entry points — @opetope/react/integration и @opetope/react/testing; отдельный ViewRootProvider не нужен. См. [D85](#d85).
+
+<a id="d25"></a>
+
+## D25 — поле снапшота ресурса называется `key`
+
+в `ResourceSnapshot` поле `key`, как и опция; `requestKey` удалён. опция и снапшот говорят об одном ключе.
+
+<a id="d26"></a>
+
+## D26 — позиционные источник и носитель типа
+
+`resource(from, target, {…})`, `stream(from, target, {…})`, `event(from, subscribe, {…})`; lint-правило порядка ключей снято. TypeScript выводит второй аргумент до контекстной типизации третьего, поэтому порядок ключей опций больше не влияет на вывод `Target` и `Payload`; закреплять порядок линтом значило бы поставить форму в зависимость от конфига. Уточняет: [D21](#d21).
+
+<a id="d27"></a>
+
+## D27 — id позиционной строкой, слово Token убрано
+
+`ModelToken`→`Model`, `isModelToken`→`isModel`, id передаётся позиционно. слово Token не принадлежит авторскому словарю.
+
+<a id="d28"></a>
+
+## D28 — View слит в Model
+
+`defineViewContract`, `viewReadable`, `viewCommand`, `useView` и типы `View*` удалены; UI-контракт это `defineModel<Shape>`, `requires` корня содержит только `models`. два контракта на один UI-вход давали два места правки.
+
+<a id="d29"></a>
+
+## D29 — см. D59
+
+`bindModel` отвергает значение, которое не `Readable` и не связанная команда, лишнее имя поля остаётся ошибкой типа. runtime-список дублировал бы `Shape` — два источника правды. См. [D59](#d59).
+
+<a id="d30"></a>
+
+## D30 — см. D71
+
+`Command<Input, Output>` без режима, `CommandHook` это `{ run, inFlight, lastError }`, `useCommand` не держит listener на invoker; наблюдаемое состояние вызова модель отдаёт полем `Readable`. режим был вторым способом смотреть на вызов, а харнесс строится через `externalReadable`. См. [D71](#d71).
+
+<a id="d31"></a>
+
+## D31 — см. D60
+
+две декларации с одинаковым `Shape` взаимозаменяемы для компилятора, различает их runtime-идентичность. id в типе сделал бы объявления номинальными и потянул брендирование в подписи. См. [D60](#d60).
+
+<a id="d32"></a>
+
+## D32 — см. D76
+
+`useCommand` держит ноль listener-ов на invoker, `useReadable` ровно один на `Readable`, после unmount ноль и там, и там. проверка требовала listener на хук, а [D71](#d71) убрал подписку у `useCommand`. См. [D76](#d76).
+
+<a id="d33"></a>
+
+## D33 — см. D77
+
+`measure` берёт `before` после открытия харнесса, `sampleHeap` собирает мусор перед `liveBytes()`. См. [D77](#d77).
+
+<a id="d34"></a>
+
+## D34 — семейство `ViewCommand*` переименовано
+
+`ViewCommandHook`→`CommandHook`, `bindViewCommand`→`bindCommand`, `ViewBindingInvalidError`→`ModelBindingInvalidError`. слово `View` ушло с концептом ([D28](#d28)), имена не могут его переживать.
+
+<a id="d35"></a>
+
+## D35 — никаких deprecated-алиасов до первой публикации
+
+Публичное переименование выполняется согласованно во всех пакетах, типах, документации и примерах. Пока API экспериментальный, устаревшие aliases не сохраняются как параллельный словарь.
+
+<a id="d36"></a>
+
+## D36 — `model()` и `state()` возвращают ref
+
+значение живёт от открытия экземпляра до retire, источник позиционный — `model(Declaration, from, create)`; refs данных не входят в module IR. фабрика модели получает живой `ModelContext`, поэтому deps модели это значения, а не refs.
+
+<a id="d37"></a>
+
+## D37 — см. D73
+
+`ModelContext` в полном составе — `call`, `lane`, `effect`, `event`, `resource`, `stream`, `scope`, `own` рядом с `state`, `update`, `signal`; узлы живут от открытия экземпляра до retire, а `from` это готовое значение: у модели нет импортов. без своего kernel-а роль узлов модели играли deps. См. [D73](#d73).
+
+<a id="d38"></a>
+
+## D38 — см. D72
+
+`ctx.state` возвращает `OwnedState`, `ctx.update` принимает только его, поэтому чужой `Readable` отвергается компилятором. иначе владение проверяется только в рантайме. См. [D72](#d72).
+
+<a id="d39"></a>
+
+## D39 — `exports` это фабрика call-ref
+
+контракт создаётся автоматически под id `<feature>.exports`, пять перегрузок `defineFeature` сведены в одну форму. отдельный контракт дублировал то, что фича уже описала.
+
+<a id="d40"></a>
+
+## D40 — `defineHostImport` и перенос типов в internal
+
+`defineImportContract`→`defineHostImport`, `ImportContract`→`HostImport`; `OnDemandImportContract`, `FeatureReady*`, `RequiredPort` уходят в `internal`. публичный вход содержит только словарь автора.
+
+<a id="d41"></a>
+
+## D41 — см. D61
+
+`ApplicationExecution` публичен; `RequiredPort`, `OnDemandHostImport`, `CollectionLookup` и `SignalSource` остаются выводимыми результатами в allowlist гейта. См. [D61](#d61).
+
+<a id="d42"></a>
+
+## D42 — `requires.x` это call-ref фичи
+
+требование lower-ится в один call скрытого вложения требований, доменные порты удалены. требование это тот же вызов, второго механизма не нужно.
+
+<a id="d43"></a>
+
+## D43 — `calls(imports.x, keys)` принимает импорт напрямую
+
+источник без open/close получает одно неявное вложение; `attach` остаётся для источников с lifecycle. `attach` ради значения без жизненного цикла — лишний шаг.
+
+<a id="d44"></a>
+
+## D44 — см. D62
+
+`slot(target, contribution|factory, { priority })`, так же `pipe` и `register`; у `pipe` второй аргумент всегда фабрика. обработчик `pipe` сам функция, поэтому короткая форма неотличима от фабрики. См. [D62](#d62).
+
+<a id="d45"></a>
+
+## D45 — `contributions` слита в `provides`
+
+`contribute` заменён на `slot`, `pipe`, `register` по виду цели, `provide` переименован в `port`. одна секция объявляет и capability, и вклады.
+
+<a id="d46"></a>
+
+## D46 — имена корня и action по авторскому словарю
+
+`defineViewRoot`→`defineRoot`, `defineRootInput`→`input`, `defineInputAction`→`action`, `ViewRootDefinition`→`Root`; `RootInstance`, `ActionHandler` ушли с входа. на входе остаётся то, что автор пишет руками.
+
+<a id="d47"></a>
+
+## D47 — см. D63
+
+добавлен рядом с `root`, `model`, `mapCommand`. есть фичи, чей UI-продукт это сам ресурс. См. [D63](#d63).
+
+<a id="d48"></a>
+
+## D48 — `@opetope/react/testing` с `renderRoot`
+
+отдельный подпуть, разрешённый только тестам: харнесс монтирует фикстуру моделей и отдаёт `close`, `instance`, `Root`, `updateInput`. тестовый вход не должен расширять продуктовый. `renderRoot`→`renderSlot` в [D85](#d85).
+
+<a id="d49"></a>
+
+## D49 — см. D64
+
+`command(run)` живёт в `@opetope/react/testing`, `defineCallTarget` публичным не становится. фикстуре нужна идентичность вызова, но конструктор целей ради тестов не открывают. См. [D64](#d64).
+
+<a id="d50"></a>
+
+## D50 — см. D65
+
+UI использует contribution frame Slot; отдельные публичные root declarations не требуются. См. [D65](#d65).
+
+<a id="d51"></a>
+
+## D51 — `FeatureRoot` принимает результат секции `ui`
+
+проп `ui` это результат `root(...)` или фабрика корня; `ui.roots.x` больше нет. реестр корней добавлял адресацию там, где хост и так держит ссылку. Удалено [D85](#d85).
+
+<a id="d52"></a>
+
+## D52 — см. D66
+
+Модель принадлежит lifetime своего владельца; contribution frame определяет доступ UI. См. [D66](#d66).
+
+<a id="d53"></a>
+
+## D53 — см. D69
+
+`GenerationError` (`inactive`, `not-ready`, `quarantined`, `cleanup-failed`), `CallError` (`cancelled`, `closed`, `publication-rejected`), `ReadableError`, `RootError`, `ModelError`, `ActionError`, `ApplicationError`, `DeclarationError`; `isCancellation` это маркер отменяющих кодов. класс на состояние раздувал вход — 44 значения при цели 40. См. [D69](#d69).
+
+<a id="d54"></a>
+
+## D54 — внутренние имена react без слова `View`
+
+`createViewRootController`→`createRootController`, `requireViewRootFrameBinding`→`requireRootFrameBinding`, тексты ошибок тоже. снятое слово не выживает во внутренних именах.
+
+<a id="d55"></a>
+
+## D55 — авторитет корня проверяется типом
+
+`root(Root, { models, strict })` требует все объявленные корнем модели, strict-корень не принимает лишних. грант моделей это часть контракта; лишнюю модель ловит только структурное различие, потому что `Model<Shape>` не несёт id ([D60](#d60)). Удалено [D85](#d85).
+
+<a id="d56"></a>
+
+## D56 — см. D66
+
+Модель принадлежит lifetime своего владельца; contribution frame определяет доступ UI. См. [D66](#d66).
+
+<a id="d57"></a>
+
+## D57 — см. D78
+
+Изменение области видимости API должно сопровождаться обновлением типов и исполняемых consumer examples. См. [D78](#d78).
+
+<a id="d58"></a>
+
+## D58 — см. D67
+
+`defineSlot`, `defineSwitchSlot` и `Slot` остаются в `react`; типы это `SlotTarget`, `SwitchSlotTarget`, `SlotContribution`. слот рендерит разметку и без React смысла не имеет. См. [D67](#d67).
+
+<a id="d59"></a>
+
+## D59 — у `defineModel` нет runtime-списка полей
+
+`bindModel` отвергает значение, которое не `Readable` и не связанная команда, лишнее имя поля остаётся ошибкой типа. runtime-список дублировал бы `Shape` — два источника правды. Уточняет: [D29](#d29).
+
+<a id="d60"></a>
+
+## D60 — `Model<Shape>` структурный, id в типе не несёт
+
+две декларации с одинаковым `Shape` взаимозаменяемы для компилятора, различает их runtime-идентичность. id в типе сделал бы объявления номинальными и потянул брендирование в подписи. Уточняет: [D31](#d31).
+
+<a id="d61"></a>
+
+## D61 — публично только `ApplicationExecution`
+
+`ApplicationExecution` публичен; `RequiredPort`, `OnDemandHostImport`, `CollectionLookup` и `SignalSource` остаются выводимыми результатами в allowlist гейта. Правило: тип из результата публичного значения в `internal` не переносить. имя нужно там, где автор пишет его руками. Уточняет: [D41](#d41).
+
+<a id="d62"></a>
+
+## D62 — форма вкладов: цель первым аргументом
+
+`slot(target, contribution|factory, { priority })`, так же `pipe` и `register`; у `pipe` второй аргумент всегда фабрика. обработчик `pipe` сам функция, поэтому короткая форма неотличима от фабрики. Уточняет: [D44](#d44).
+
+<a id="d63"></a>
+
+## D63 — `resource` это четвёртый метод секции `ui`
+
+добавлен рядом с `root`, `model`, `mapCommand`. есть фичи, чей UI-продукт это сам ресурс. Уточняет: [D47](#d47).
+
+<a id="d64"></a>
+
+## D64 — `command(run)` остаётся на тестовом входе
+
+`command(run)` живёт в `@opetope/react/testing`, `defineCallTarget` публичным не становится. фикстуре нужна идентичность вызова, но конструктор целей ради тестов не открывают. Уточняет: [D49](#d49).
+
+<a id="d65"></a>
+
+## D65 — `defineRoot` остаётся обязательным
+
+UI использует contribution frame Slot; отдельные публичные root declarations не требуются. См. [D85](#d85), [D188](#d188).
+
+<a id="d66"></a>
+
+## D66 — authority-слой удалён, `uiGrants` нет
+
+Модель принадлежит lifetime своего владельца; contribution frame определяет доступ UI. Действующая модель монтажа — [D85](#d85), [D188](#d188), [D209](#d209).
+
+<a id="d67"></a>
+
+## D67 — слоты принадлежат `@opetope/react`
+
+`defineSlot`, `defineSwitchSlot` и `Slot` остаются в `react`; типы это `SlotTarget`, `SwitchSlotTarget`, `SlotContribution`. слот рендерит разметку и без React смысла не имеет. Уточняет: [D58](#d58).
+
+<a id="d68"></a>
+
+## D68 — композиция приложения упрощена
+
+мир выводится как roots, члены доменов и транзитивное замыкание импортов; приложение получает обязательный `id`, `defineDomain` переходит на `when`, а `openApplication` принимает `signals` и `bind(contract, value)`. перечислять мир руками — работа компилятора.
+
+<a id="d69"></a>
+
+## D69 — один класс ошибки на субъект, состояние в `code`
+
+`GenerationError` (`inactive`, `not-ready`, `quarantined`, `cleanup-failed`), `CallError` (`cancelled`, `closed`, `publication-rejected`), `ReadableError`, `RootError`, `ModelError`, `ActionError`, `ApplicationError`, `DeclarationError`; `isCancellation` это маркер отменяющих кодов. класс на состояние раздувал вход — 44 значения при цели 40. Уточняет: [D13](#d13), [D53](#d53).
+
+<a id="d70"></a>
+
+## D70 — вклад получает авторитет на моделях своего экземпляра
+
+`Slot` рендерит вклад внутри неявного module-frame фичи-контрибьютора, поэтому в `Component` работают `useModel` на любую модель этого экземпляра и хуки поверх её полей; strict-набор остаётся у явных корней. иначе вклад читает состояние через пропсы и хост становится передатчиком данных фичи.
+
+<a id="d71"></a>
+
+## D71 — режим `observe` удалён
+
+`Command<Input, Output>` без режима, `CommandHook` это `{ run, inFlight, lastError }`, `useCommand` не держит listener на invoker; наблюдаемое состояние вызова модель отдаёт полем `Readable`. режим был вторым способом смотреть на вызов, а харнесс строится через `externalReadable`. Уточняет: [D30](#d30).
+
+<a id="d72"></a>
+
+## D72 — `OwnedState<Value>` в публичном словаре
+
+`ctx.state` возвращает `OwnedState`, `ctx.update` принимает только его, поэтому чужой `Readable` отвергается компилятором. иначе владение проверяется только в рантайме. Уточняет: [D38](#d38).
+
+<a id="d73"></a>
+
+## D73 — у модели свой kernel
+
+`ModelContext` в полном составе — `call`, `lane`, `effect`, `event`, `resource`, `stream`, `scope`, `own` рядом с `state`, `update`, `signal`; узлы живут от открытия экземпляра до retire, а `from` это готовое значение: у модели нет импортов. без своего kernel-а роль узлов модели играли deps. Уточняет: [D37](#d37).
+
+<a id="d74"></a>
+
+## D74 — транспорт не расширяет словарь модели
+
+Модель объявляет зависимости интерфейсом и получает готовые значения при создании; отдельного ленивого источника моделей не требуется. См. [D169](#d169).
+
+<a id="d75"></a>
+
+## D75 — типы политик публичны
+
+`scoped` и `latest` возвращают `ScopedRetention` и `LatestBackpressure`, оба имени публичны. правило [D61](#d61) — тип результата публичного значения не уходит в `internal`.
+
+<a id="d76"></a>
+
+## D76 — `listenerMultiplicity.root` под контракт после D71
+
+`useCommand` держит ноль listener-ов на invoker, `useReadable` ровно один на `Readable`, после unmount ноль и там, и там. проверка требовала listener на хук, а [D71](#d71) убрал подписку у `useCommand`. Уточняет: [D32](#d32).
+
+<a id="d77"></a>
+
+## D77 — метрика на операцию без разовой материализации
+
+`measure` берёт `before` после открытия харнесса, `sampleHeap` собирает мусор перед `liveBytes()`. Уточняет: [D33](#d33).
+
+<a id="d78"></a>
+
+## D78 — состав чанка вместо подъёма cap
+
+Изменение области видимости API должно сопровождаться обновлением типов и исполняемых consumer examples. Внутренний ABI не становится словарём UI.
+
+<a id="d79"></a>
+
+## D79 — вклад получает опцию `when`
+
+Отключённый diagnostic consumer не должен создавать runtime subscriptions и работу в горячем пути. Наблюдение включается явно.
+
+<a id="d80"></a>
+
+## D80 — секция владения называется `own`
+
+`defineFeature({ own })`, контексты `exports`, `provides`, `ui` отдают `own`. секция называет владение, а не настройку. Уточняет: [D5](#d5).
+
+<a id="d81"></a>
+
+## D81 — авторские имена без слова generation
+
+`GenerationBoundary`→`FeatureBoundary`, `useGenerationDemand`→`useFeature`, `Generation`→`FeatureInstance`, `GenerationError`→`FeatureError`, код `inactive`→`retired`; `FeatureBoundaryError` отдельным классом, потому что субъект тут не поколение, а отсутствующий boundary. поколение это слово рантайма, автор видит экземпляр фичи.
+
+<a id="d82"></a>
+
+## D82 — `fold` у `pipe` трекуемый
+
+обработчик получает `{ get }` третьим аргументом, `fold(value, meta, get?)` — третьим параметром, поэтому в `computed` результат подписан и на `entries`, и на прочитанное обработчиками. без трекинга fold пересчитывался только при смене состава вкладов.
+
+<a id="d83"></a>
+
+## D83 — `defineHostContract` вместо `defineHostImport`
+
+`HostImport<Value>`→`HostContract<Value>`, `OnDemandHostImport`→`OnDemandHostContract`; `bind` не менялся. слово «контракт» уже стоит в `bind(contract, value)`, а `Host` отвечает, кто его исполняет.
+
+<a id="d84"></a>
+
+## D84 — см. D89
+
+`own`→`timers` во всех пяти контекстах (`ModelContext`, `ModelEffectContext`, `ModelEventSubscribeContext`, `ModelScopeOpen`, `open`/`close` вложений). слово `own` закреплено за секцией владения ([D80](#d80)) и `OwnedState`, а `cleanup.delay(…)` читалось бы неверно. См. [D89](#d89).
+
+<a id="d85"></a>
+
+## D85 — секция `ui` и корни уходят, UI входит вкладами
+
+уходят секция `ui` и её builder, `defineRoot`, `input`, `action`, `FeatureRoot`, `renderRoot`, `mapCommand`, типы `Root`, `RootInput`, `Action` и strict-frame; остаются `FeatureBoundary`, `useFeature`, `useFeatureRetry`, `useFeatureError` с обычным `ReactNode` в children. Форма вклада `slot(target, value|factory, { priority, when })` со `value` вида `{ Component, props?, models? }`: `props` это адаптер `(slotProps) => componentProps`, `models` — UI-модели вклада, а `requiresModels([...])(Component)` проверяется типом на его границе. корень был вторым способом входа UI в приложение, а вклады уже несут авторитет моделей ([D70](#d70)). Уточняет: [D10](#d10), [D11](#d11), [D19](#d19), [D46](#d46), [D48](#d48), [D51](#d51), [D55](#d55), [D63](#d63), [D65](#d65) (не редактируются).
+
+<a id="d86"></a>
+
+## D86 — доменные исходы это возвращаемые значения
+
+`useCommand` отдаёт `result` последнего исхода `ok`, `throw` остаётся для исключительного, а форма `{ type: 'ok'; data } | { type: 'error'; error }` это конвенция, не тип фреймворка. доменная ошибка это ответ продукта, и на исключениях UI её не различал.
+
+<a id="d87"></a>
+
+## D87 — см. D118
+
+фабрика вклада остаётся фабрикой экземпляра, а per-mount часть это `models`: `model(Decl, create)`, где `create` получает `(ctx, props)` — `Readable` пропсов этого монтирования. фабрика поколения не видит пропсов монтирования; отклонены фабрика на каждое монтирование и отдельный per-mount член. См. [D118](#d118).
+
+<a id="d88"></a>
+
+## D88 — см. D98
+
+запись принимает `Call`, `Readable` и `Resource`; владеемое состояние выходит суженным до `Readable` (писатель остаётся у владельца), а модель целиком не экспортируется. экспорт ref-ов заставлял импортера самого материализовать значение. См. [D98](#d98).
+
+<a id="d89"></a>
+
+## D89 — namespace владеемых таймеров это `timers`
+
+`own`→`timers` во всех пяти контекстах (`ModelContext`, `ModelEffectContext`, `ModelEventSubscribeContext`, `ModelScopeOpen`, `open`/`close` вложений). слово `own` закреплено за секцией владения ([D80](#d80)) и `OwnedState`, а `cleanup.delay(…)` читалось бы неверно. Уточняет: [D84](#d84).
+
+<a id="d90"></a>
+
+## D90 — type-only реэкспорт внутри границы фреймворка
+
+линт допускает в `opetope/*/src` type-only реэкспорт там, где маршрут уже разрешён на импорт; value-реэкспорт запрещён, для потребителей запрет не меняется. политика линта, а не форма API.
+
+<a id="d91"></a>
+
+## D91 — см. D99, D101, D105
+
+optional оформляет слабое ребро без принудительного открытия провайдера; текущий результат — Lookup со found/missing. См. [D99](#d99), [D101](#d101), [D105](#d105). отменены [D105](#d105).
+
+<a id="d92"></a>
+
+## D92 — см. D105
+
+`optional` в `imports` и `requires` это слабое ребро: потребитель может жить дольше провайдера, экспорты приходят как `Readable<Lookup<Exports>>`, вызов слабого порта оседает `CallError` кодом `unavailable`, а провайдер вне приложения это постоянно отсутствующий провайдер. См. [D105](#d105).
+
+<a id="d93"></a>
+
+## D93 — см. D102
+
+`defineCondition({ id })` привязывает хост, `defineCondition({ from, id, select })` вычисляет факт из экспортов одной фичи и хосту не принадлежит; `defineFeature({ when: [Condition] })` задаёт время жизни и строк не принимает; в `defineApplication({ id, features, reporter })` `roots` и `domains` удалены, а группа фич с одинаковым набором условий это выведенный домен для порядка активации и плана devtools; `openApplication` принимает `conditions`, а `defineSignal`, `Signal` и `Domain` ушли с публичного входа. домен был вторым местом объявления времени жизни, и хост мог его переопределить. См. [D102](#d102).
+
+<a id="d94"></a>
+
+## D94 — см. D109, D110, D112, D113, D114
+
+`TaskExecutor`→`CallExecutor`, `TaskLane`→`CallLane`, `TaskCall`→`CallInvocation`, поле `task` рецепта стало `policy`, метрика `listenerMultiplicity.task`→`.call`; `Attachment`, `Scope`, `Lane`, `Hub` остались. у автора вызов называется `call`, kernel не имеет права звать тот же концепт иначе. См. [D109](#d109), [D110](#d110), [D112](#d112), [D113](#d113), [D114](#d114).
+
+<a id="d95"></a>
+
+## D95 — см. D107, D108
+
+диспозер выполняется в том же drain, что диспозеры узлов модели, в обратном порядке; после фенса регистрация это `TypeError`, как у `timers`. уборку без узла некуда было положить; вложениям член не добавлен — у них есть колбэк `close`. См. [D107](#d107), [D108](#d108).
+
+<a id="d96"></a>
+
+## D96 — `gateway` и секция `gateways` удаляются
+
+уходят builder `gateway`, ключ `gateways` и скрытые вложения `gatewayN`; owned I/O это `attach` плюс `call({ within })`, `ctx.stream` или `ctx.event`, методы хоста — `calls`. Уточняет: [D18](#d18), [D97](#d97).
+
+<a id="d97"></a>
+
+## D97 — см. D96
+
+уходят builder `gateway`, ключ `gateways` и скрытые вложения `gatewayN`; owned I/O это `attach` плюс `call({ within })`, `ctx.stream` или `ctx.event`, методы хоста — `calls`. См. [D96](#d96).
+
+<a id="d98"></a>
+
+## D98 — `exports` вычисляется на открытии с живым `own`
+
+запись принимает `Call`, `Readable` и `Resource`; владеемое состояние выходит суженным до `Readable` (писатель остаётся у владельца), а модель целиком не экспортируется. экспорт ref-ов заставлял импортера самого материализовать значение. Уточняет: [D39](#d39) (не редактируется), [D88](#d88).
+
+<a id="d99"></a>
+
+## D99 — `optional(x)` в `imports`
+
+optional оформляет слабое ребро без принудительного открытия провайдера; текущий результат — Lookup со found/missing. См. [D105](#d105).
+
+<a id="d100"></a>
+
+## D100 — см. D101
+
+ref остаётся на define, `undefined` появляется только там, где ref материализуется — живой `own`, `exports`, источник `attach`, фабрика модели. присутствие порта известно только на компиляции приложения, а builder обязан вернуть ref; отклонён `CallError unavailable` у живого ref. См. [D101](#d101).
+
+<a id="d101"></a>
+
+## D101 — `optional(port)` в `requires`, вариант (а)
+
+ref остаётся на define, `undefined` появляется только там, где ref материализуется — живой `own`, `exports`, источник `attach`, фабрика модели. присутствие порта известно только на компиляции приложения, а builder обязан вернуть ref; отклонён `CallError unavailable` у живого ref. Отменено [D105](#d105).
+
+<a id="d102"></a>
+
+## D102 — время жизни объявляет фича
+
+`defineCondition({ id })` привязывает хост, `defineCondition({ from, id, select })` вычисляет факт из экспортов одной фичи и хосту не принадлежит; `defineFeature({ when: [Condition] })` задаёт время жизни и строк не принимает; в `defineApplication({ id, features, reporter })` `roots` и `domains` удалены, а группа фич с одинаковым набором условий это выведенный домен для порядка активации и плана devtools; `openApplication` принимает `conditions`, а `defineSignal`, `Signal` и `Domain` ушли с публичного входа. домен был вторым местом объявления времени жизни, и хост мог его переопределить. Уточняет: [D68](#d68) (не редактируется), [D93](#d93), [D103](#d103).
+
+<a id="d103"></a>
+
+## D103 — см. D102
+
+`defineCondition({ id })` привязывает хост, `defineCondition({ from, id, select })` вычисляет факт из экспортов одной фичи и хосту не принадлежит; `defineFeature({ when: [Condition] })` задаёт время жизни и строк не принимает; в `defineApplication({ id, features, reporter })` `roots` и `domains` удалены, а группа фич с одинаковым набором условий это выведенный домен для порядка активации и плана devtools; `openApplication` принимает `conditions`, а `defineSignal`, `Signal` и `Domain` ушли с публичного входа. домен был вторым местом объявления времени жизни, и хост мог его переопределить. См. [D102](#d102).
+
+<a id="d104"></a>
+
+## D104 — см. D105, D106
+
+`optional` в `imports` и `requires` это слабое ребро: потребитель может жить дольше провайдера, экспорты приходят как `Readable<Lookup<Exports>>`, вызов слабого порта оседает `CallError` кодом `unavailable`, а провайдер вне приложения это постоянно отсутствующий провайдер. См. [D105](#d105), [D106](#d106).
+
+<a id="d105"></a>
+
+## D105 — `optional` и `onDemand` сливаются в одно слово
+
+`optional` в `imports` и `requires` это слабое ребро: потребитель может жить дольше провайдера, экспорты приходят как `Readable<Lookup<Exports>>`, вызов слабого порта оседает `CallError` кодом `unavailable`, а провайдер вне приложения это постоянно отсутствующий провайдер. Compile-time формы [D99](#d99) и [D101](#d101) удалены, `onDemand` остался только у host-контрактов, слабое ребро не влияет на активацию, тип `Lookup` публичен в форме `selectByKey`. два слова описывали одно — «значения может не быть». Уточняет: [D91](#d91), [D99](#d99), [D101](#d101), [D92](#d92), [D104](#d104), [D106](#d106).
+
+<a id="d106"></a>
+
+## D106 — см. D105
+
+`optional` в `imports` и `requires` это слабое ребро: потребитель может жить дольше провайдера, экспорты приходят как `Readable<Lookup<Exports>>`, вызов слабого порта оседает `CallError` кодом `unavailable`, а провайдер вне приложения это постоянно отсутствующий провайдер. См. [D105](#d105).
+
+<a id="d107"></a>
+
+## D107 — `ModelContext.cleanup(disposer)`
+
+диспозер выполняется в том же drain, что диспозеры узлов модели, в обратном порядке; после фенса регистрация это `TypeError`, как у `timers`. уборку без узла некуда было положить; вложениям член не добавлен — у них есть колбэк `close`.
+
+<a id="d108"></a>
+
+## D108 — адаптеры сторонних библиотек состояния
+
+`@opetope/adapter-effector` и `@opetope/adapter-mobx` строятся как `externalReadable` плюс `adaptRecord` и живут отдельными пакетами вне бюджета трёх входов. ядро не зависит от библиотек; форма зафиксирована, реализация в очередь не входит.
+
+<a id="d109"></a>
+
+## D109 — `Task*` → `Call*`
+
+`TaskExecutor`→`CallExecutor`, `TaskLane`→`CallLane`, `TaskCall`→`CallInvocation`, поле `task` рецепта стало `policy`, метрика `listenerMultiplicity.task`→`.call`; `Attachment`, `Scope`, `Lane`, `Hub` остались. у автора вызов называется `call`, kernel не имеет права звать тот же концепт иначе.
+
+<a id="d110"></a>
+
+## D110 — `Domain` и `Generation` как имена концептов
+
+`DomainExecution`→`ConditionGroupExecution`, `DomainGeneration`→`GroupMemberInstance`, одна жизнь фичи это instance (`openFeatureGeneration`→`openFeatureInstance`); счётчик поколения в kernel-слотах остался — это номер, а не концепт. домены удалены [D102](#d102), поколение как концепт заменено экземпляром ([D81](#d81)).
+
+<a id="d111"></a>
+
+## D111 — см. D114
+
+`module` это единица lowering — фича или ребёнок динамического scope, — поэтому `defineModule`, `instantiateModule` и `Module*Ref` не переименовываются, а гейт запрещает слово в именах безопасных входов и в сообщениях. сплошное переименование давало столкновения с публичным словарём (`ModuleInstanceRef` рядом с `FeatureInstance`); отклонён и промежуточный `Lowered*`. См. [D114](#d114).
+
+<a id="d112"></a>
+
+## D112 — `step`, поле `instance` и forbidden-word гейт
+
+контексты `open` вложений носят член `step`, а не namespace `own`; `FeatureDemandState.generation`→`instance`, `SignalSnapshot`→`ConditionSnapshot`, а гейт запрещает снятому слову выжить в любой позиции идентификатора внутренних входов. слово `own` закреплено за секцией владения, а без гейта снятые слова возвращались.
+
+<a id="d113"></a>
+
+## D113 — слово `capability` становится `port`
+
+`feature-capability.ts`→`feature-port.ts`, `compileApplicationCapabilities`→`compileApplicationPorts`, локальные `capabilities`→`ports`, гейт получил шаблон `[Cc]apabilit`. у автора это `port` ([D9](#d9), [D45](#d45)).
+
+<a id="d114"></a>
+
+## D114 — `module` остаётся kernel-словом, вариант (б)
+
+`module` это единица lowering — фича или ребёнок динамического scope, — поэтому `defineModule`, `instantiateModule` и `Module*Ref` не переименовываются, а гейт запрещает слово в именах безопасных входов и в сообщениях. сплошное переименование давало столкновения с публичным словарём (`ModuleInstanceRef` рядом с `FeatureInstance`); отклонён и промежуточный `Lowered*`. Уточняет: [D111](#d111).
+
+<a id="d115"></a>
+
+## D115 — ленивая загрузка тела фичи
+
+Header/body splitting отделяет описание границы фичи от загрузки кода. Body загружается при открытии; preload не открывает instance. Ready и retirement соблюдают lifetime независимо от общей загрузки. См. [D186](#d186), [D207](#d207), [D208](#d208), [D211](#d211).
+
+<a id="d116"></a>
+
+## D116 — `useCommand` отдаёт `result`
+
+`{ run, inFlight, result, lastError }`: `result` переживает следующий запуск, `lastError` чистит только успех, `cancelled` не меняет ни того, ни другого. отмена это не ответ продукта. Уточняет: [D86](#d86) (исполнение).
+
+<a id="d117"></a>
+
+## D117 — проверка объявленных моделей вклада
+
+Модели UI доступны только через разрешённый contribution frame; declared UI models проверяются типами, runtime и отдельным lint gate. Вклад сохраняет owner by entry; requiresModels описывает потребности компонента. См. [D121](#d121), [D188](#d188), [D214](#d214).
+
+<a id="d118"></a>
+
+## D118 — per-mount `models` получают `(ctx, props)`, вариант (б)
+
+фабрика вклада остаётся фабрикой экземпляра, а per-mount часть это `models`: `model(Decl, create)`, где `create` получает `(ctx, props)` — `Readable` пропсов этого монтирования. фабрика поколения не видит пропсов монтирования; отклонены фабрика на каждое монтирование и отдельный per-mount член. Уточняет: [D87](#d87).
+
+<a id="d119"></a>
+
+## D119 — см. D120
+
+поднят с 29 до 31 кБ как новый ratchet — опускается вместе с диетой рантайма и не поднимается ради прохода. минимальная фича весит 29.86 кБ brotli, а снятие `resource` или `register` меняет вес на 40–140 байт: граф почти монолитен. См. [D120](#d120).
+
+<a id="d120"></a>
+
+## D120 — бюджет `public feature consumer` 31 кБ
+
+поднят с 29 до 31 кБ как новый ratchet — опускается вместе с диетой рантайма и не поднимается ради прохода. минимальная фича весит 29.86 кБ brotli, а снятие `resource` или `register` меняет вес на 40–140 байт: граф почти монолитен. Уточняет: [D119](#d119).
+
+<a id="d121"></a>
+
+## D121 — монтирование, дошедшее до коммита закрытым, пересобирается
+
+Создание UI-моделей и side effects выполняется только после commit. Временное скрытие Suspense сохраняет committed bundle, окончательный unmount его закрывает. Действующий контракт — [D188](#d188), [D209](#d209).
+
+<a id="d122"></a>
+
+## D122 — форма порта наблюдения Phase 1
+
+`createInspectionSession(execution, { ringCapacity })` только на `@opetope/runtime/internal`, связь через `WeakMap`; протокол devtools рантайм реализует, а не импортирует, и диффит записи чтением на коммите. наблюдение не имеет права добавить ни одной подписки.
+
+<a id="d123"></a>
+
+## D123 — порядок между группами условий и проекция слабого импорта
+
+порядок берётся из жёстких рёбер плана и API не меняет: контроллер группы получает `order` с `awaitProvidersReady` перед открытием членов и `awaitConsumersClosed` перед снятием, а проекция слабого импорта держит подписчиков сама. ребро между группами качалось двумя контроллерами, и потребитель открывался, пока провайдер ещё открывался; ждать, а не падать.
+
+<a id="d124"></a>
+
+## D124 — атомарность публикации вкладов
+
+подписка на `when` вынесена в preflight `hub.watch(entries)` до мутаций, отказ откатывает наблюдателей, а охранник видимости ставит `dirty`.
+
+<a id="d125"></a>
+
+## D125 — присоединение к идущему закрытию
+
+`retire()` в состоянии `closing` возвращает handle, ждущий текущий drain; узлы модели после фенса отказывают тем же `TypeError`, что `cleanup` и `timers`.
+
+<a id="d126"></a>
+
+## D126 — наблюдение не касается жизненного цикла
+
+хуки сессии идут внутри охранника, поэтому отказ наблюдающей половины уходит в reporter, а не в `retire()`; потребитель получает фасад с замороженными записями.
+
+<a id="d127"></a>
+
+## D127 — авторские отказы и реестры
+
+`exports: ({ own }) => own` принимается, а член без формы значения падает на своём ключе; запись модели проверяется на открытии, `pipe` различает фабрику и обработчик по арности, реестр id приложений держит определение слабо.
+
+<a id="d128"></a>
+
+## D128 — публичные типы без kernel-слов
+
+`FeatureInstance.instance` получил псевдоним `FeatureInstanceHandle`, поле модели с писателем сужается до `Readable` при пересечении `exports`, план UI-модели сверх пропсов цели отвергается типом.
+
+<a id="d129"></a>
+
+## D129 — независимые гейты корректности и стоимости
+
+Public-surface, types, package consumers и численные бюджеты проверяются независимыми гейтами. Успех одного тестового слоя не заменяет типизацию, реальную упаковку или browser path.
+
+<a id="d130"></a>
+
+## D130 — измеренная производительность
+
+чтение активного чистого узла возвращает осевшее значение сразу — было O(графа) на каждом `getSnapshot`; монтирование вклада мемоизировано, `readyListeners` разделены по индексу фичи.
+
+<a id="d131"></a>
+
+## D131 — состав чанка вместо ослабления бюджетов
+
+Публичный feature API остаётся независимым от конкретного хоста; адаптация внешних сервисов находится за host contracts.
+
+<a id="d132"></a>
+
+## D132 — граница прикладной интеграции
+
+Связь feature с внешним приложением выполняется через integration boundary и explicit imports/requirements.
+
+<a id="d133"></a>
+
+## D133 — первое прикладное внедрение application graph
+
+Application graph собирается из объявленных features и их hard-import closure; конкретный состав графа принадлежит приложению, а не библиотеке.
+
+<a id="d134"></a>
+
+## D134 — транзакционная активация реактивного графа
+
+`scheduler.activate` запоминает активированные узлы и при отказе откатывает их в обратном порядке, агрегируя отказы диспозеров с исходной причиной. отказ на середине оставлял часть графа активной без владельца подписки.
+
+<a id="d135"></a>
+
+## D135 — ratchet `data layer consumer` до 4.9 кБ
+
+бюджет поднят с фиксацией факта: транзакционная активация ([D134](#d134)) стоила фикстуре 0.21 кБ brotli. диета без потери закона дала ноль — brotli на неё не отвечает; цена закона названа в строке, а не спрятана в число.
+
+<a id="d136"></a>
+
+## D136 — граница адаптера внешнего хранилища
+
+Реактивный адаптер сохраняет семантику источника и явно выбирает equals. Pass-through не должен добавлять второе владение или незаметно терять обновления.
+
+<a id="d137"></a>
+
+## D137 — тексты авторских отказов
+
+`FeatureError('retired')` говорит «Feature <id> instance is retired.», тексты `CallError` не говорят «authority», а отказ без провайдера называет исправление; гейт сканирует аргументы классов ошибок.
+
+<a id="d138"></a>
+
+## D138 — отмена это два кода `CallError`
+
+бренд отмены несут только `cancelled` и `closed`; `unavailable` и `publication-rejected` приходят исходом `failed`, а маркер ставится по множеству кодов, а не наследованием.
+
+<a id="d139"></a>
+
+## D139 — `state` уходит из `own`-builder-а фичи
+
+метод удалён целиком; владеемое состояние остаётся только в модели, а фича отдаёт значение полем модели через `exports`.
+
+<a id="d140"></a>
+
+## D140 — бюджетов размера остаётся пять
+
+живут `author primitives consumer` (1.1 кБ), `data layer consumer` (4.9 кБ), `public feature consumer` (31 кБ), `application graph consumer` (48 кБ), `@opetope/react` (18 кБ) и cap чанка 64 кБ.
+
+<a id="d141"></a>
+
+## D141 — владеемые scope-ы вложения удалены
+
+ушли `attach<Value>({ open, close })` без источника и ключ `scopes` у `openFeature`/`openApplication`; значение вложения приходит ровно одним путём — из `imports`.
+
+<a id="d142"></a>
+
+## D142 — три слова уходят с безопасных входов
+
+`createState` и `isCancellation` переехали в `@opetope/core/internal`, `useFeatureError` удалён, контекст boundary несёт только `retry`.
+
+<a id="d143"></a>
+
+## D143 — `ModelContext.calls(source, keys, { lane? })`
+
+семантика и вывод типов как у `calls` в `own`, необязательная lane сериализует набор; типы выбора ключей переехали в `@opetope/core`, поэтому `own.calls` и `ctx.calls` отвергают одно и то же.
+
+<a id="d144"></a>
+
+## D144 — `Readable` вместо per-mount модели вклада
+
+Размеры и задержки оцениваются воспроизводимыми workload; бюджет не заменяет проверку корректности.
+
+<a id="d145"></a>
+
+## D145 — сахар `retain` у `FeatureBoundary`
+
+Authoring sugar должен сохранять типы, lifetime, signal и receiver методов; краткость не создаёт второй путь исполнения. См. [D244](#d244).
+
+<a id="d146"></a>
+
+## D146 — закрытие распространяется
+
+`State.close()` публикует уведомление в обычной транзакции и только потом отпускает слушателей, поэтому активные зависимые пересчитываются в той же транзакции: `derive`, `computed`, `collection` и `selectByKey` бросают `ReadableError` `closed`.
+
+<a id="d147"></a>
+
+## D147 — документы приведены к формам после ревью
+
+§2 показывает форму, которая компилируется (порт остаётся ref-ом в `own` и живым `Call` только у экземпляра); закон включения указывает на `optional`, закрытие экспортированного `Readable` названо фенсом.
+
+<a id="d148"></a>
+
+## D148 — горячие классы с `#`-полей на TS `private`
+
+На hot paths используются TypeScript private fields; native #private оставляются на границах подлинности. При browser downlevel это избегает дополнительных WeakMap lookups; изменение проверяется workload.
+
+<a id="d149"></a>
+
+## D149 — латентность языковой службы информационна
+
+`ide.diagnosticLatencyMs` печатается строкой и валит гейт только выше 2× бюджета; детерминированные бюджеты enforced по своему числу. прогоны одной фикстуры дают 182…262 мс без правок кода, и гейт переключался сам по себе.
+
+<a id="d150"></a>
+
+## D150 — общие хелперы объявлены один раз
+
+хелперы-типы (`Awaitable`, `NoExtraKeys`, `ExactInput`, `ExactKeys`, `ExactVoidResult`, `IsAny`, `ExactType`) живут в `core/src/type-helpers.ts` и на internal-входе ядра; `isReadable`, `reportDetachedError`, `assertPlainRecord` существуют в одном экземпляре; `FeatureOptions` удалён, реализация `defineFeature` типизирована публичным `FeatureInput`.
+
+<a id="d151"></a>
+
+## D151 — smoke и size-фикстуры следуют текущему API
+
+Pack smoke проверяет реальные опубликованные entry points, а size consumers компилируются с noEmitOnError. Ошибка type-check не должна давать green size или package gate.
+
+<a id="d152"></a>
+
+## D152 — гейты с доказательной силой
+
+Гейты проверяют текущий authoring API и реальные entry points. Type-stress enforce-ит instantiations, memory, RSS и diagnostics; timings информационные. См. [D224](#d224).
+
+<a id="d153"></a>
+
+## D153 — примеры §2 компилируются гейтом
+
+`generate-rfc-examples.mjs` поднимает семь блоков §2 в `fixtures/generated/rfc-section-2-*.tsx` с явными прологами и настоящими импортами между блоками; `tsconfig.docs.json` компилируется в `ci:type`, режим `--check` не даёт зафиксировать устаревшую фикстуру. Два примера исправлены: `defineApplication` с `id` и `reporter`, `derive({ from, select })` вместо позиционной формы. сверка спеки с кодом нашла два некомпилируемых примера при обещании [D147](#d147) «примеры компилируются».
+
+<a id="d154"></a>
+
+## D154 — `backpressure` обязателен и в типе
+
+`ModelStreamOptions.backpressure` стал обязательным полем, как у стрима фичи; typetest на отсутствие. тип разрешал опустить то, что рантайм требовал на открытии (`feature-stream.ts`) — расхождение находил рантайм, а не компилятор.
+
+<a id="d155"></a>
+
+## D155 — SSR, hydration и персистентность — non-goal
+
+Opetope не обещает server snapshot/restore состояния моделей и ресурсов. Такое расширение требует отдельного контракта сериализации и владения.
+
+<a id="d156"></a>
+
+## D156 — отмена на границе внешнего I/O
+
+Адаптер I/O обязан явно передавать lifetime AbortSignal в операцию и закрывать ресурсы. Fence прекращает admission; abort не заменяет физический drain.
+
+<a id="d157"></a>
+
+## D157 — поверхность считается целиком, включая `.tsx`
+
+Public-surface gate включает JSX/TSX entry points и сверяет реальные value/type exports с утверждёнными budgets. См. spec §5.
+
+<a id="d158"></a>
+
+## D158 — выдача моделей: гибрид плюс lint на вложенные
+
+Owner-модели доступны всему subtree вклада; per-mount UI-модели объявляют requiresModels. Проверка типов, runtime frame и lint gate дополняют друг друга.
+
+<a id="d159"></a>
+
+## D159 — internal ABI сужен по факту потребления
+
+с `@opetope/core/internal` ушли девять value-экспортов, с `@opetope/runtime/internal` — девятнадцать (в т. ч. `compileApplicationTopology`, `bindFeatureModel`, `createResourceController`, `createStreamController`); value-экспорты core 52 → 43, runtime 39 → 20 при 38 на безопасных входах; имена остались модульными, тесты пакета импортируют их из модулей; гейт печатает число internal values.
+
+<a id="d160"></a>
+
+## D160 — одна retention и одна backpressure-политика
+
+фабрики `drop`, `sample`, `queue` и `observer()` удалены вместе со snapshot-хелперами, ветками `emit` и `StreamQueueOverflowError`; `StreamBackpressure` это только `latest`, `ObserverRetention` свернулась до литерала `{ kind: 'observer' }` (retention по умолчанию), admission стрима — один слот.
+
+<a id="d161"></a>
+
+## D161 — одна декларация формы вызова
+
+ядро принимает авторскую форму опций вызова: `CallExecutorOptions` несёт `once` (`true` или селектор ключа) и `singleFlight` (селектор ключа); типы `CallOnceCache`/`CallSingleFlight`, их snapshot-хелперы и три транслятора между авторской, компиляторной и ядровой формами удалены.
+
+<a id="d162"></a>
+
+## D162 — наблюдаемая половина контроллера вызова удалена
+
+у контроллера вызова остались `activate`, `close`, `diagnostics` и `run`; ушли `getSnapshot`/`subscribe`/`publish`, поля `snapshot`, `listeners`, `latestOrdinal`, типы `CallSnapshot`, `CallCurrentInvocation`, `CallListenerRegistration`, константа `idleSnapshot`.
+
+<a id="d163"></a>
+
+## D163 — вложения одного scope-а закрываются одной волной
+
+граф зависимостей вложений (`after`) удалён: ушли компилятор канонического DAG (`attachment-graph`), план дренажа со счётчиками, волновой планировщик и стартовый worklist; из IR — `afterSlots`/`dependentSlots`, из scope-а — `providerSlots`, из поколения — `remainingProviders` и состояние `blocked`. Вложения одного scope-а стартуют и дренируются одной волной; порядок между фичами держат группы условий и рёбра.
+
+<a id="d164"></a>
+
+## D164 — одна форма исхода retire внутри рантайма
+
+вариант (б): планировщик закрытия перестал быть генериком со своим словарём (`AttachmentRetirementSchedulerOutcome`, `…Failure`, `…FailureOutcome` удалены) и строит результат сразу в форме локального scope-а (`LocalScopeDrainOutcome` с `{ attachmentId, attachmentSlot, outcome }`); проекция `projectRetirementOutcome` исчезла; пара `drain`/`retry` объявлена один раз. Публичный тип исхода retire ([D125](#d125)) не тронут.
+
+<a id="d165"></a>
+
+## D165 — доказывать факт один раз на пути открытия
+
+Факт подлинности и границы фиксируются при admission и повторно проверяются после пользовательского callback, если состояние могло измениться.
+
+<a id="d166"></a>
+
+## D166 — одна запись экземпляра вместо параллельных индексов
+
+у живого экземпляра одна запись: `moduleBindings` (WeakMap handle → биндинги материализации) стал полем `materializationBindings` записи, `scopeInstances` и `scopeHandleStates` свернулись в один `scopeHandles` (Map blueprint → состояние с фасадом), retire очищает одну карту. Публичное поведение не менялось.
+
+<a id="d167"></a>
+
+## D167 — порт наблюдения видит смену видимости и фенс владельца
+
+Inspection отражает опубликованную видимость contribution и fence владельца. Подключённая сессия наблюдает необходимые targets и снимает подписки при close; выключенное наблюдение не выполняет эту работу.
+
+<a id="d168"></a>
+
+## D168 — один авторский словарь закрытия, фильтра и требования
+
+публичный `FeatureInstance` закрывается через `close()`, предикат `effect` называется `when(current, previous)`, обязательный порт задаётся непосредственно `requires: { name: Port }`, а удержание — `scoped({ capacity })` с фиксированным LRU. `FeatureError.retryCleanup?: () => Promise<void>` доступен только для повторяемого карантинного фронтира: перед вызовом проверяется capability; у других ошибок её нет. Старые `retire()`, `effect.condition`, `required(port)`, опция `evict` и `FeatureError.retry` удалены без постоянных алиасов.
+
+<a id="d169"></a>
+
+## D169 — модель получает запись готовых зависимостей и может предоставлять порт
+
+без зависимостей остаётся `model(Decl, create)`; с одной или несколькими используется `model(Decl, { platform: imports.platform, lookup: requires.lookup }, create)`. Фабрика получает readonly-запись разрешённых значений с выведенными типами и объявляет свой интерфейс зависимостей. позиционный единственный импорт заставлял прятать несколько зависимостей в host-контракт или вручную замыкать refs.
+
+<a id="d170"></a>
+
+## D170 — отмена не заменяет дренаж, частичная модель уже имеет владельца
+
+логическая отмена завершает ожидание вызывающего, а физический дренаж отдельно ждёт допущенную работу, включая незавершённое открытие и активный `consume` стрима, до освобождения источника. Участник отката модели регистрируется до вызова фабрики и убирает частично созданные узлы как в feature `own`, так и в UI-монтировании.
+
+<a id="d171"></a>
+
+## D171 — devtools ограничивает историю и читает текущий экземпляр
+
+drain devtools продолжается по продвижению курсора, а не по числу кадров в byte-limited пакете; после восьми pull управление возвращается планировщику. Ошибка первого snapshot сообщает `snapshot-failed`, закрывает сессию и сохраняет исходную причину; поздние ошибки освобождают подписку и сессию идемпотентно.
+
+<a id="d172"></a>
+
+## D172 — измерять аллокации отдельно от живой памяти и проверять настоящее ребро
+
+schema 8 perf-гейта считает `estimatedAllocatedBytesPerOperation` через V8 HeapProfiler Poisson sampling с интервалом 16 384 байта и сохранением samples объектов, собранных minor/major GC. Итог — медиана трёх проходов с измерительной обвязкой, без external backing stores; ноль samples проверяется 95%-ной верхней границей, а не выдаётся за отсутствие аллокаций. прежняя разность post-GC heap не измеряла объекты, уже собранные в ходе нагрузки, а счётчики async hooks не были V8 allocations.
+
+<a id="d173"></a>
+
+## D173 — абсолютный setter сохраняет последнее ожидающее значение
+
+`useCommand(call, { pending: 'latest' })` допускает один переданный запрос и один самый свежий ожидающий. У каждого свои promise исхода, callbacks и signal; вытесненное или отменённое ожидание завершается `cancelled` без уведомления успеха/ошибки.
+
+<a id="d174"></a>
+
+## D174 — объектный выбор команд в UI
+
+выбранный владельцем `useCommands({ save: model.save, remove: other.remove }, options?)` возвращает прежний `CommandHook` для каждого локального имени, с точными типами аргумента и результата. Команды могут быть из разных разрешённых моделей.
+
+<a id="d175"></a>
+
+## D175 — две вкладки и фильтр рёбер вместо пяти линз
+
+панель devtools имеет две вкладки, `Graph` и `Timeline`. Всё, что раньше было отдельной линзой, стало фильтром внутри `Graph`: один чип на вид ребра протокола плюс четыре пресета — «Импорты и порты», «Условия», «Владение», «Точки расширения». пять линз были пятью ответами на один вопрос — какие связи я сейчас смотрю, — и разработчик, которому нужны две сразу, был обязан выбрать одну.
+
+<a id="d176"></a>
+
+## D176 — управление ограничено override условия
+
+порт записи `createControlSession(execution)` живёт на `@opetope/runtime/internal` рядом с портом наблюдения, но отдельной фабрикой и над собственным реестром: держать inspection-сессию не значит иметь право писать. Единственный управляемый субъект — условие и через него его группа. `suspend(conditionId)` ставит debug-override, принудительно читающий условие как `false`; `resume(conditionId)` его снимает, и группа снова следует источнику, но `ready` не обещает; `retryCleanup(instanceId)` повторяет уборку ровно карантинного фронтира существующим retry-контрактом; `close()` снимает все override сессии. прямая запись в узел графа обошла бы планировщик, жёсткие зависимости, вклады и карантин, а «enable» ещё и двусмыслен.
+
+<a id="d177"></a>
+
+## D177 — типизированные render-колбэки `FeatureBoundary`
+
+FeatureBoundary принимает типизированные ready/error render callbacks. Boundary удерживает feature и отражает её состояние; права моделей и команд продолжает задавать contribution frame. См. [D197](#d197), [D198](#d198), [D226](#d226).
+
+<a id="d178"></a>
+
+## D178 — удержание терминального `Readable`
+
+Открытый вопрос: удержанный caller-ом терминальный derived Readable может сохранять последний payload. Это не обещание автоматической очистки пользовательского snapshot после close; изменение требует отдельного контракта.
+
+<a id="d179"></a>
+
+## D179 — измерения приложения и библиотечные workloads
+
+Производительность проверяется на репрезентативном приложении отдельно от microbenchmarks: startup, interaction latency и retained heap нельзя выводить из одних queue/allocation workload. Измеренные бюджеты относятся к конкретному workload и среде.
+
+<a id="d182"></a>
+
+## D182 — политика cleanup у приложения
+
+`openApplication(app, { cleanupFailure })` принимает тот же публичный `CleanupFailurePolicy`, что и `openFeature`, со значением по умолчанию `report`. Политика протягивается контекстом приложения в каждое открытие экземпляра, поэтому `quarantine` включается один раз на весь граф, а не по фиче. без этой опции экземпляры приложения всегда открывались с `report`, поэтому карантинного `FeatureError` в приложении не возникало вовсе и `retryCleanup` порта управления ([D176](#d176)) не имел достижимого положительного пути.
+
+<a id="d183"></a>
+
+## D183 — lossless-доставка дельт внешнего источника
+
+Открытый вопрос: lossless-доставка требует ограниченной очереди и явной overflow policy. Stream хранит актуальную selection; event по умолчанию отбрасывает новый emit при занятых running/pending, а backpressure: latest() заменяет pending. См. [D160](#d160), [D247](#d247).
+
+<a id="d184"></a>
+
+## D184 — условие вычисляется из экспорта фичи
+
+Условие может вычисляться из экспорта provider feature. Ребро provider участвует в планировании; неизвестный или неготовый provider не заменяется предположением.
+
+<a id="d185"></a>
+
+## D185 — политика Call задаётся при создании в модели
+
+Политика latest принадлежит декларации Call; useCommand/useCommands не имеют отдельной очереди. См. [D203](#d203), [D243](#d243).
+
+<a id="d186"></a>
+
+## D186 — лёгкое объявление фичи и динамическая загрузка body
+
+Лёгкий header объявляет границу фичи, body: () => import(...) загружает реализацию. defineFeature.body проверяет соответствие header; preload загружает код без открытия. См. [D207](#d207), [D208](#d208), [D211](#d211).
+
+<a id="d187"></a>
+
+## D187 — сахар слабого ребра
+
+у двух половин слабого ребра появляется по одному слову. `calls(imports.x, keys)` работает и поверх `optional(feature)`: выбранные ключи это экспортированные `Call` провайдера, вызов читает провайдера в момент обращения, проксирует его экспортированный вызов и потому едет вместе с фенсом провайдера, а пока провайдера нет (или он не экспортирует такой вызов) отвечает `CallError` с кодом `unavailable` — ровно как слабый порт ([D105](#d105), [D138](#d138)). `fromOptional(source, select, { missing })` в `@opetope/core` читает данные: `select` выполняется только на `found` и вправе вернуть значение или собственный `Readable` провайдера, вложенный readable читается с отслеживанием зависимости, поэтому отслеживается только пока провайдер есть, а в состоянии `missing` ответом служит заданное значение. Публичная поверхность растёт на одно значение: 38 → 39 при цели 40, причина записана в комментарии гейта. каждый потребитель слабого ребра писал одно и то же: разворачивал `lookup.kind` в `derive`, руками доставал `Call` из `lookup.value` и сам придумывал, что делать, когда провайдера нет.
+
+<a id="d188"></a>
+
+## D188 — модели монтирования создаются в коммите, а не в рендере
+
+`ContributionMount` ничего не создаёт в рендере. Состояние монтирования это `bundle | undefined`: первый проход рендерит `null` без `MountProvider`, `useLayoutEffect` с ключом по идентичности вклада (и фикстур) собирает bundle через `createMountBundle` из закоммитившихся `slotProps` и публикует его через `setBundle` — React сбрасывает этот дополнительный синхронный рендер до paint, — а cleanup того же эффекта его закрывает.
+
+<a id="d189"></a>
+
+## D189 — закрытие приложения фенсит admission синхронно
+
+`close()` приложения синхронно фенсит все живые экземпляры: в том же turn, до первого `await`, каждое живое поколение перестаёт допускать работу (`retirementRequested` плюс `instance.retire()` без дренажа), и только после этого начинается прежний упорядоченный физический дренаж consumer-before-provider. То же делает `close()` группы условий для своих активных участников.
+
+<a id="d190"></a>
+
+## D190 — условие это желаемое состояние, а не событие
+
+рантайм следует последнему снапшоту условия, поэтому краткое `false` с возвратом в `true` внутри одного turn коалесцируется: живое поколение сохраняется, повторного открытия нет. Конец сессии выражается фактом в самом условии (например её id), а не мгновенным `false`. обратное означало бы, что условие несёт события, а не состояние: любой дребезг источника ронял бы и поднимал экземпляры, а потребители получали бы разрыв там, где хост ничего не менял.
+
+<a id="d191"></a>
+
+## D191 — ровно одна живая control-сессия на execution
+
+у одного `ApplicationExecution` одновременно живёт не больше одной сессии управления. Второй `createControlSession(execution)` при живой сессии бросает `TypeError('Application already has a control session.')`; `close()` освобождает слот, поэтому после перезагрузки панели или HMR новую сессию открыть можно.
+
+<a id="d192"></a>
+
+## D192 — отказ connect не отменяет уже допущенную работу
+
+оба пути отказа `connect` у стрима — терминальный и тот, что уходит в повтор — закрывают admission и сохраняют его дренаж: promise ожидания активного `consume` попадает в набор дренажа контроллера, поэтому `close()` ждёт его, а импортированный источник освобождается только после последнего `consume`. Следующая попытка повтора стартует после того, как этот дренаж осел, поэтому преемник не перекрывает потребителя предшественника.
+
+<a id="d193"></a>
+
+## D193 — один id называет одно условие
+
+`defineApplication` отказывает, если в `when` включённых фич встречаются два разных authentic `Condition` с одним id — например host-bound и derived: «Condition <id> is declared twice: one id names one condition, not two». Один и тот же объект, использованный несколькими фичами, остаётся законным: это и есть множество условий одной группы.
+
+<a id="d194"></a>
+
+## D194 — публикация `ready` может закрыть стрим, и потребитель тогда не стартует
+
+`consume` стрима перепроверяет актуальность исполнения после публикации `ready` и не запускается, если подписчик этой самой публикации успел фенсить, закрыть или сменить target/key. Уже начатая работа по-прежнему дренируется: отменяется допуск, а не то, что исполняется.
+
+<a id="d195"></a>
+
+## D195 — подписка на target, вернувшаяся после закрытия, освобождается сразу
+
+`activate` контроллеров ресурса и стрима запоминает номер своей активации, и после возврата `target.subscribe` проверяет, та ли это активация: если владелец успел закрыться, дефенситься или деактивироваться внутри самого `subscribe`, возвращённый disposer освобождается ровно один раз на месте и никуда не записывается; ошибка освобождения уходит репортеру. Живой контроллер по-прежнему хранит disposer и читает target.
+
+<a id="d196"></a>
+
+## D196 — видимость фиксируется в коммите публикации, и отказ откатывает подписки
+
+публикация вклада вычисляет видимость не на этапе подготовки, а в `commit()` — уже после подписки на `when`, внутри той же транзакции; поэтому источник, перевернувший значение прямо в `subscribe`, виден сразу и вклад публикуется в правильной видимости. Публикация на несколько targets остаётся одной транзакцией: каждый hub возвращает откат ровно того, что подписал сам, и если следующий hub отказал, предыдущие откатываются в обратном порядке, а ошибка отката уходит репортеру.
+
+<a id="d197"></a>
+
+## D197 — один Call это одна команда монтирования, сколько бы полей его ни называли
+
+frame монтирования создаёт одну command-запись на различимый authentic Call. Два поля одной модели, называющие один и тот же `ctx.call`, это алиасы: они делят контроллер, активацию и фенс, а не образуют дубликат.
+
+<a id="d198"></a>
+
+## D198 — retry прячет ошибку на время попытки, а не до смены объекта ошибки
+
+`useFeature(...).retry` возвращает `Promise<void>`, который разрешается по завершении начатой попытки, успехом или отказом; второй вызов при живой попытке присоединяется к ней, а не начинает новую (single-flight по источнику сохраняется). `FeatureBoundary` подавляет `error` на время жизни попытки и снимает подавление по её завершении, поэтому дальше показывается то, что говорит состояние. `retry`, который получает поддерево ошибки через `useFeatureRetry`, остаётся `() => void`.
+
+<a id="d199"></a>
+
+## D199 — структурный контракт читается через свой объект
+
+хуки React зовут методы `Readable`, `Resource` и источника спроса через объект, который им передали (`() => resource.getSnapshot()`), а не отдают ссылку на метод в `useSyncExternalStore`. Геттер стабилен по идентичности источника, поэтому замена источника перечитывает снимок, а StrictMode и баланс retain/release не меняются.
+
+<a id="d200"></a>
+
+## D200 — диагностический id обратим, а не сведён к допустимым символам
+
+проекция плана наблюдения экранирует каждую часть id через `_` (`_c` для `:`, `_s` для `/`, `_p` для `|`, `__` для самого `_`, `_u<hex>_` для всего прочего) и только потом собирает узловые и рёберные id через `:`. Экранирование обратимо, поэтому различные части остаются различными, а составной id разбирается однозначно: концы ребра экранируются повторно перед склейкой.
+
+<a id="d201"></a>
+
+## D201 — закрытие терминально и для апдейтера, который его вызвал
+
+`State.update` перепроверяет открытость после возврата пользовательского апдейтера: если апдейтер закрыл состояние по ходу вычисления, его результат отвергается `ReadableError` с кодом `closed`, а состояние остаётся закрытым. Проверка до вызова остаётся на месте.
+
+<a id="d202"></a>
+
+## D202 — один Call в двух моделях одного монтирования
+
+Открытый вопрос: один Call может иметь несколько имён внутри одной модели, но не может быть назначен двум моделям одного mount. Расширение требует единого владельца UI ingress и согласованного identity-контракта. См. [D197](#d197).
+
+<a id="d203"></a>
+
+## D203 — у потребителя команды нет своей политики
+
+`useCommand(call)` и `useCommands({ alias: call })` больше не принимают опцию `pending`. Каждый `run` доходит до вызова, и решает политика, с которой вызов создан (`queue`, `latest`, `parallel`, `once`, `singleFlight`).
+
+<a id="d204"></a>
+
+## D204 — один источник и условия с разным смыслом
+
+Один Readable может участвовать в нескольких conditions, но каждое условие сохраняет собственную identity и смысл. Группировка не объединяет разные conditions только по ссылке источника.
+
+<a id="d205"></a>
+
+## D205 — единый выбор данных и команд через useModel
+
+useModel выбирает Readable/Call поля одной записью. Snapshot стабилен, inline selector выполняется на каждом render; чтение явно оформлено read. useCommand/useCommands остаются самостоятельными consumers. См. [D214](#d214), [D217](#d217).
+
+<a id="d206"></a>
+
+## D206 — объяснения причин в devtools и сценарные тесты
+
+createScenario использует настоящий application/Slot/command ingress и ограниченный observation protocol. Диагностика объясняет наблюдаемые blockers и causal chain; неизвестные ownership facts остаются unknown, counters не доказывают отсутствие всех GC утечек. См. [D215](#d215), [D216](#d216).
+
+<a id="d207"></a>
+
+## D207 — заголовок и тело фичи, и загрузка тела при открытии
+
+`defineFeature` принимает вторую форму — заголовок: `id`, `imports`, `requires`, `when`, `provides` как метаданные (цель каждого вклада с его приоритетом и порт каждого провайдера) и `body: () => import(...)`. Заголовок ни во что не разворачивается: он регистрирует identity, рёбра и объявленную границу, поэтому `defineApplication` компилирует полный граф, циклы и совместимость времени жизни до загрузки тяжёлого кода. consumers и приложение обязаны импортировать identity фичи, а её модели, компоненты и прикладные зависимости — нет.
+
+<a id="d208"></a>
+
+## D208 — прогрев кода заголовка без открытия
+
+`defineFeature.preload(feature)` загружает тело заголовка, ничего не открывая: экземпляра не появляется, удержания и lease не берутся, состояние фичи не меняется, вклады не публикуются. Возвращается промис завершения загрузки; отказ наблюдает вызывающий, и он не кэшируется — следующее открытие снова обращается к loader, как и без прогрева. хост часто знает о будущей нужде раньше графа: наведение на пункт меню, idle-колбэк, предварительная навигация.
+
+<a id="d209"></a>
+
+## D209 — скрытие вклада Suspense не уничтожает его владельца
+
+UI-модели вклада по-прежнему создаются только в commit ([D188](#d188)). Временное скрытие под внешним Suspense сохраняет тот же committed bundle; reveal повторно использует его без сброса React state и пересоздания моделей. layout cleanup вызывается React и при временном hiding.
+
+<a id="d210"></a>
+
+## D210 — установка conditions учитывает закрытие внутри чужого callback
+
+application резервирует shared close Promise до вызова внешних cleanup/fence callbacks. Установка condition source после возврата из subscribe проверяет closing: поздний disposer немедленно освобождается и его ошибка входит в тот же drain; следующая группа не создаётся. subscribe — чужой синхронный код и может закрыть своего владельца до возвращения disposer.
+
+<a id="d211"></a>
+
+## D211 — lazy opening соблюдает контракт экземпляра независимо от общей загрузки кода
+
+обе формы openFeature синхронно проверяют и копируют карту imports, requirements и base options. У lazy instance close немедленно ставит fence уже существующего materialization и возвращает общий Promise закрытия; pending ready получает retired. code fetch принадлежит определению фичи, а bindings и ресурсы — отдельной попытке открытия.
+
+<a id="d212"></a>
+
+## D212 — decoder принимает весь числовой домен runtime priority
+
+contribution priority в inspection принимает любое конечное число, включая отрицательные и дробные значения, как runtime declaration. Sequence, revision и counts остаются неотрицательными safe integers. общий reader счётчика сужал допустимый домен priority, поэтому корректный runtime snapshot не проходил собственный JSON round-trip.
+
+<a id="d213"></a>
+
+## D213 — масштаб компиляции графа проверяется отдельно от повторных открытий
+
+compiler один раз распределяет imports/requirements по consumer, строит порядок групп проходом по canonical order и использует min-heap для доступных вершин вместо полной сортировки после каждого добавления. Обход hard-import closure использует индекс очереди. workload тысячи open/close одного маленького приложения не измеряет compile cost большого графа.
+
+<a id="d214"></a>
+
+## D214 — исполнение D205 сохраняет явное чтение и существующие command consumers
+
+overload `useModel(Declaration, (model, { read }) => record)` выводит readonly типы выбранных полей, authentic Calls переводит в CommandHook через существующий CommandGroup. Данные сравниваются по полям через Object.is; read deduplicates подписку на каждый Readable, не удерживает Resource.
+
+<a id="d215"></a>
+
+## D215 — исполнение D206 использует один ограниченный observation protocol
+
+graph/frame получают revision /3; optional activity имеет собственную schema /1 и ограничивает суммарное число features, Calls, registered resources и nested loads. Записи содержат execution identity, фактическое поколение владельца, lane blocker и physical drain; host demand, UI models и физические stream loads остаются unknown. сообщения ожиданий должны опираться на наблюдаемые identities, а не на догадки или второй runtime.
+
+<a id="d216"></a>
+
+## D216 — отсутствие activity в delta-frame сохраняет предыдущее наблюдение
+
+внутри одной inspection session поле `frame.activity` заменяет activity целиком, а отсутствие поля означает отсутствие изменений. Полный snapshot/reset без activity очищает прежнее наблюдение. producer публикует activity лишь при изменении.
+
+<a id="d217"></a>
+
+## D217 — selection принимает интерфейсы, scenario сохраняет props-контракт Slot
+
+тип результата `useModel` описывает конкретные ключи записи и допускает именованный interface без открытого index signature; readonly, optional и symbol-поля сохраняются. Top-level массивы, callable/constructable и встроенные non-record объекты не становятся выборкой. `scenario.mount` требует `options.props` для target с props и не принимает props у target без них, как обычный `Slot`. вынесенный selector должен иметь ту же допустимость, что эквивалентный литерал.
+
+<a id="d218"></a>
+
+## D218 — повторный вход не отменяет fence и атомарность admission
+
+закрытие приложения синхронно фенсит готовых участников ещё открывающейся condition group; возвращённый после повторного входа member тоже получает fence, а cleanup сохраняет обратный порядок зависимостей. Resource резервирует актуальность операции до abort и проверяет её после внешних callbacks; устаревшая операция не публикует данные и не забирает disposer нового activation. `latest` резервирует нового waiter и его место до уведомления об отмене вытесненного, сохраняя барьеры других Calls и workspace outcome при reentrant close/retire. abort, чтение внешнего источника и уведомление подписчика могут синхронно запустить новую операцию или закрыть владельца.
+
+<a id="d219"></a>
+
+## D219 — новая selection потока сохраняется после возврата старого callback
+
+Stream проверяет актуальность чтения target после внешнего getter и key callback; вложенное чтение или завершение текущего lifetime отменяет право прежнего чтения менять selection. Равный request key не делает старый target актуальным: refresh использует последний принятый target. `key(old)` может синхронно обновить источник до `new`, после чего прежний callback возвращает `old`.
+
+<a id="d220"></a>
+
+## D220 — видимость вклада объявляется предикатом экземпляра
+
+`when` у вклада принимает `Readable<boolean>` либо предикат экземпляра `({ exports, imports, own, read }) => boolean`. Форма выбрана тем, что написал автор: функция это предикат, объект это readable; рантайм не вызывает предикат, чтобы его классифицировать, и не зовёт дважды. автор объявляет факт видимости, а не источник факта.
+
+<a id="d221"></a>
+
+## D221 — бюджеты размера и проверки типов растут вместе с реактивным authoring
+
+cap `public feature consumer` в `@opetope/runtime` поднимается с 31 до 32 kb на всю серию authoring API, а бюджет `01.tscInstantiations` в type-stress — с 9000 до 10000, с перезаписью baseline. Диета сделана до подъёма: понижение предиката хранится одним замыканием на объявление, без объекта-дискриминанта и без второго обхода описаний; отложенная форма проверки опций (условный тип по `Options`) отвергнута, потому что контекстная типизация предиката и такое условие зависят друг от друга.
+
+<a id="d222"></a>
+
+## D222 — реактивное чтение называется `read` во всех контекстах
+
+третий аргумент обработчика `pipe` это `{ read }`, а не `{ get }`; `fold(value, meta, read?)` принимает того же читателя третьим параметром. Публичное breaking-переименование: `getSnapshot`, `subscribe`, `ComputedOptions.read` и прочие методы `get` не трогаются, второй перегрузки не заводится. одно и то же действие — прочитать источник и записать зависимость — теперь встречается в предикате видимости, в обработчике `pipe` и в `useModel`.
+
+<a id="d223"></a>
+
+## D223 — обработчик pipe объявляется дескриптором `{ fold }`
+
+второй аргумент `pipe` это дескриптор `{ fold: (value, meta, context) => next }`, а не фабрика, возвращающая обработчик. `fold` получает тот же контекст вычисления экземпляра, что и предикат `when` ([D220](#d220)): `exports`, `imports`, материализованный `own` и `read`. Дескриптор проверяется по exact-правилам plain record: голая функция, лишний ключ и не-функция в `fold` это ошибка объявления, а не поведение по умолчанию. прежняя фабрика существовала лишь потому, что обработчик — функция, и её нечем было отличить от фабрики экземпляра; автор писал `() =>` без содержания и получал два уровня вложенности там, где объявлял одну свёртку.
+
+<a id="d224"></a>
+
+## D224 — миллисекунда не является свойством кода
+
+в `ci:type-stress` все миллисекундные числа становятся информационными: `tscCheckMs`, `tscTotalMs`, `ideColdCompletionMs`, `ideDiagnosticMs`, `ideWarmCompletionP95Ms`, `ideQuickInfoP95Ms`, а также оба временных ratchet — время проверки против удвоенного baseline и 40 секций против `max(2.75 ×` 20 секций`, 1 000 мс)`. Каждое печатается строкой `actual of reference` и ничего не останавливает; двукратный hard stop у `ideDiagnosticMs` ([D149](#d149)) снят вместе с остальными.
+
+<a id="d225"></a>
+
+## D225 — публикация читает только свои `when` и отпускает наблюдателей после коммита
+
+транзакция публикации держит весь чужой код вне записей. Подписка на `when` и его чтение идут до того, как хоть одна цель тронула `entries`; освобождение наблюдателя ушедшей записи (`unwatch` — disposer чужого `subscribe`) идёт после того, как зафиксированы entries, snapshot и статус всех целей, поэтому снятие публикации, сделанное из такого disposer, работает поверх зафиксированного состояния, а не отменяется последующим коммитом. «единственный шаг, исполняющий чужой код» было неправдой в трёх местах сразу, и каждое давало наблюдаемый дефект: disposer первой цели воскрешал вклад, снятый им же у соседа; чтение чужого предиката, ушедшего в ошибку, блокировало обязательную уборку закрывающегося владельца; а проекция, снятая до чужого getter, коммитила видимость, которой уже не было.
+
+<a id="d226"></a>
+
+## D226 — отказ acquisition это завершившаяся попытка, а не исключение вызывающего
+
+`useFeature(...).retry` не бросает синхронно. Если `acquire()` источника отказывает броском, попытка считается завершившейся: резервирование освобождается, а `retry` отдаёт тот же зарезервированный промис, который уже разрешён. [D198](#d198) обещает, что `retry` отвечает промисом завершения попытки независимо от исхода, а граница прячет ошибку только на время попытки.
+
+<a id="d227"></a>
+
+## D227 — правила письма поставляются вместе с библиотекой
+
+проверяемая часть правил письма на Opetope живёт в самой библиотеке, отдельным пакетом `@opetope/lint`. Это ESLint-плагин без зависимости на `@opetope/core`, `@opetope/runtime` и `@opetope/react`, без чтения типов и без знания о конкретном приложении. законы §2 и §3 сейчас проверяет только чтение чужого кода, и автор узнаёт о нарушении тогда, когда его уже нужно объяснять словами.
+
+<a id="d240"></a>
+
+## D240 — размер и корректность диагностического протокола
+
+Size budgets фиксируются в конфигурации пакетов и проверяются на реальных consumers. Decoder принимает весь объявленный протокол: bucket/kind, numeric domains и limits ID должны совпадать с producer. См. [D200](#d200).
+
+<a id="d241"></a>
+
+## D241 — панель платит за собственные отказы
+
+cap панели поднимается с 20 до 21 kb. Поднятие покрывает обработку отказов, которой у панели не было: копирование диагностического id сообщает исход вместо потерянного rejection, ленивая поверхность (легенда, control, хронология, выгрузка) имеет состояния pending/loaded/failed с локальным повтором, а незавершённая загрузка кэшируется как один запрос. промах загрузки чанка и отказ clipboard — это то, что панель обязана показать своему читателю, а не то, о чём он узнаёт из консоли хоста.
+
+<a id="d242"></a>
+
+## D242 — пересчёт и наблюдение сохраняют точные границы состояния
+
+пересчёт видимости проверяет состав entries и ревизию после каждого getter; устаревшая проекция отбрасывается до следующего чтения и публикации. Повторный вход из getter или listener ограничен 100 перезапусками с освобождением guard после ошибки. проверка перед пользовательским callback не гарантирует актуальность после его возврата.
+
+<a id="d243"></a>
+
+## D243 — команда объявляется через call, исполняется через invoke
+
+существующее поле `call(target, input)` во всех контекстах исполнения переименовано в `invoke(target, input)` без совместимого алиаса. Это `ModelCallContext`, `FeatureCallContext`, `AttachmentExecutionContext` и `ModuleAttachmentExecutionContext`, включая контекст исполнения, который получает `step`.
+
+<a id="d244"></a>
+
+## D244 — обычные методы не требуют фиктивного signal, отмена остаётся явной
+
+`calls` в модели и фиче принимает обычные методы форм `() => Output`, `(input) => Output` и `(input, signal: AbortSignal) => Output`, включая безопасные необязательные параметры. Метод без аргументов даёт `Call<void, Awaited<Output>>`; единственный параметр всегда input, второй — только точный `AbortSignal` или `AbortSignal | undefined`. простому setter или синхронному преобразованию нечего отменять, а требование `_signal` только увеличивало объём адаптеров.
+
+<a id="d245"></a>
+
+## D245 — линейные горячие пути и проверяемое освобождение ожиданий
+
+публикация использует индексы принадлежности entries, сохраняя singleton без дополнительного Set; `latest` хранит связанный список ожидающих executions и проверяет хвост общей lane без полного поиска. Инспекция использует скомпилированные зависимости владельца и индекс вкладов, пересобирает edges только после изменения экземпляров и повторно отдаёт неизменный runtime snapshot. обычная серия коротких операций не обнаруживала повторный поиск по накопленной коллекции; закрытый facade мог исчезнуть из реестра, но остаться в Promise reaction или lexical scope cleanup.
+
+<a id="d247"></a>
+
+## D247 — `event` допускает `backpressure: latest()`, дефолт не меняется
+
+у `event` появляется необязательная опция `backpressure` с тем же публичным словом `latest()`, которое требует `stream`: пока `run` исполняется и один payload ждёт, новый payload заменяет ожидающего и запись отказа не пишется. Дефолт без опции остаётся прежним: слот принадлежит payload, занявшему его первым, а новый `emit` отбрасывается разделяемой записью `queue-capacity`.
+
+<a id="d248"></a>
+
+## D248 — приложение подключает devtools одним вызовом
+
+`installDevtools({ execution, mode, container, sessionOptions, theme })` принимает `ApplicationExecution`, который вернул `openApplication`, и сам открывает порт наблюдения `createInspectionSession(execution)`, а при `mode: 'control'` — и порт записи `createControlSession(execution)`. Публичные поля `session` и `control` из опций убраны, совместимой формы рядом нет ([D35](#d35)). чтобы подключить панель, приложение импортировало `/internal` и создавало обе сессии само, поэтому внутренний ABI библиотеки держали два прикладных потребителя, а владение сессиями было размазано между хостом и панелью.
+
+<a id="d249"></a>
+
+## D249 — самостоятельная тема Devtools
+
+`defaultTheme` задаёт нейтральную палитру, не требующую CSS-переменных приложения. Потребитель передаёт собственные значения через `DevtoolsTheme`; `themeMapping` ограничивает их корнем панели. Явная тема и настройки приложения используют один контракт, а установка панели без темы сохраняет её встроенные defaults.
+
+<a id="d250"></a>
+
+## D250 — декларации UI-моделей проверяет публичный lint
+
+`@opetope/lint` поставляет `opetope/require-declared-models` и включает его в `recommended`. Проверка относится к видимым `slot`-вкладам `defineFeature`/`defineFeature.body`: локальный компонент с UI-моделями и каждый видимый reader такой модели объявляют требования через `requiresModels`. Owner-модели сохраняют неявную доступность. Анализ учитывает aliases импортов, именованные компоненты и лексические bindings, ограничен одним модулем и не считает отсутствие диагностики доказательством для импортированных реализаций, динамических списков и непрозрачных helpers. Пакет не получает runtime-зависимостей и не читает типы; типы и runtime frame остаются самостоятельными проверками. Уточняет [D158](#d158), [D227](#d227).
+
+<a id="d251"></a>
+
+## D251 — нижняя граница React 19.0 проверяется на tarball-пакетах
+
+`@opetope/react` принимает peer `react >=19.0.0 <20`; UI и браузерная интеграция `@opetope/devtools` принимают согласованные `react` и `react-dom` в этом диапазоне. Production API не требует возможностей React 19.2. Contributor toolchain сохраняет более новые точные версии, а приёмка устанавливает все пять tarball-пакетов отдельно с React/React DOM и их типами `19.0.0`, проверяет NodeNext/Bundler, рендеринг моделей и команд, demand, монтирование и закрытие Devtools. Тот же consumer исполняется на Node `20.19.0`; новое использование React API не может незаметно поднять заявленную нижнюю границу.
+
+<a id="d252"></a>
+
+## D252 — стабильный замер полного application lifecycle в perf-гейте
+
+Размер 1 000 application open/close проходит один полный прогрев без замера, затем три независимых инструментированных прохода по 1 000 операций. `durationMs` — медиана трёх значений, `peakLiveBytesPerOperation` и `retainedMb` — максимумы. Все raw samples, объём и метод остаются в отчёте; checksum должен совпасть с прогревом, невалидный результат и ошибка завершают гейт без повторов до прохождения. Прежний абсолютный бюджет 1 200 мс и schema 10 не меняются. Метод уменьшает влияние единичного шума shared CI на wall-clock с forced GC; сам по себе он не является свидетельством ускорения runtime. Полный последний отчёт и список нарушений сохраняются отдельно от принятого baseline; при отказе краткая сводка идёт после JSON в том же stdout.
+
+<a id="d253"></a>
+
+## D253 — время workload измеряется отдельно от памяти
+
+Schema 11 заменяет смешанный метод [D252](#d252): для каждой нагрузки и размера в `results` выполняются один полный прогрев, три timing-прохода без heap probes и три memory-прохода с прежним post-GC sampling. Таймер охватывает полный workload, включая setup, awaited cleanup и естественный GC; предварительная сборка заканчивается до окна. Время GC не вычитается из инструментированного результата. Время — медиана, peak-live и retained memory — максимумы. Сохраняются все timing/memory samples, instrumentedDurationMs и счётчики проб; ошибки и несогласованные checksum завершают гейт без retry-until-pass. Численные бюджеты и размеры не меняются, reference переснимается явно; данные schema 10 нельзя сравнивать с новой длительностью и выдавать разницу за ускорение runtime. Baseline проверяется по схеме; enforcement использует абсолютные caps и scaling текущего запуска.
+
+<a id="d254"></a>
+
+## D254 — npm поставляет минифицированный ESM с исходными картами
+
+Пакеты собирают JavaScript с `minify: true` и `keepNames: false`; декларации `.d.ts` сохраняются отдельно, source maps включают исходный TypeScript в `sourcesContent`. Значения `fn.name` и `constructor.name`, полученные через рефлексию, не входят в стабильный API. Явные ID деклараций, публичные `error.name`/`error.code` и проверки `instanceof` с экспортируемыми классами ошибок сохраняют контракт и проверяются на реальных tarball-потребителях. Source-map-aware инструменты позволяют найти исходный TypeScript; карты раскрывают реализацию, а не скрывают её. Политика уменьшает несжатый JavaScript, не обещая уменьшения tarball или итогового бандла хоста: эти размеры измеряются отдельно.