@orchestrator-claude/definitions 3.37.0 → 3.37.2

package/skills/ciclo-lane-dispatch/SKILL.md

@@ -1,9 +1,9 @@
 ---
 name: ciclo-lane-dispatch
-description: Use BEFORE delegating a lane 2A run to ciclo-engineer (PRD do cliente → Ciclo modelado + protótipo navegável). Triggers on "delegar lane 2A", "rodar o ciclo-engineer", "PRD para protótipo", "run de medição do charter", "modelar o ciclo do cliente". Carries the orchestrator side of the lane: pré-voo, prompt de despacho, e — o essencial — como julgar o relatório que volta re-medindo em vez de acreditar. Do NOT use to BUILD the artifact (that is the agent's charter, which it carries itself) nor for lane 2B (ciclo sem tela — captura não fechada).
+description: Use BEFORE delegating a lane 2A run to ciclo-engineer (PRD do cliente → Ciclo modelado + protótipo navegável). Triggers on "delegar lane 2A", "rodar o ciclo-engineer", "PRD para protótipo", "run de medição do charter", "modelar o ciclo do cliente". Carries the orchestrator side of the lane: pré-voo, prompt de despacho, e — o essencial — como julgar o relatório que volta re-medindo em vez de acreditar. Do NOT use to BUILD the artifact (that is the agent's charter, which it carries itself). Covers both lane 2A and lane 2B (ciclo sem tela) — in 2B the pre-flight carries eight inputs instead of five (§1.3-B) and judgment uses the modeling auditor (§3.6) instead of Playwright.
 ---
 
-# Ciclo Lane Dispatch — o lado do orquestrador da lane 2A
+# Ciclo Lane Dispatch — o lado do orquestrador da lane 2 (2A e 2B)
 
 O `ciclo-engineer` carrega o **executável** (fases 0–6, dez armadilhas, disciplina de token). Esta
 skill carrega o que **não** cabe nele: o que fazer antes de despachar, e o que fazer com o que
@@ -15,12 +15,11 @@ usuário · `[L]` lacuna aberta.
 
 ## Quando usar
 
-USE quando for delegar uma corrida da lane 2A: um PRD de cliente vira **Ciclo modelado** (sempre) e
-**protótipo navegável** (quando o PRD tem superfície).
+USE quando for delegar uma corrida da lane 2A **ou 2B**: um PRD de cliente vira **Ciclo modelado** (sempre) e
+**protótipo navegável** (quando o PRD tem superfície). Em 2B o pré-voo tem **nove** insumos (§1.3-B) e o julgamento usa o auditor de modelagem (§3.6).
 
 NÃO use para:
 - **construir** o artefato — é a fase do agente, e ele traz o procedimento próprio;
-- **lane 2B** (ciclo sem tela) — não tem doc de procedimento; o agente recusa por construção;
 - deck Slidev (`presentation-engineer`) ou React app code (`frontend-engineer`).
 
 ---
@@ -36,31 +35,79 @@ de processo não chega ao delegado. Se a sessão anterior "corrigiu o charter",
 `agents/ciclo-engineer.md` pelos termos da correção antes de rodar um teste que depende dela —
 senão o run mede o charter velho e tu credita o resultado ao novo.
 
-**1.3 Meça os cinco insumos do contrato, não os presuma.** São: caminho do PRD · caminho do design
+**1.3 (2A) Meça os cinco insumos do contrato, não os presuma.** São: caminho do PRD · caminho do design
 system · repo-alvo · escopo (quais US) · ator-alvo. O **ator sai do PRD com linha citada**, nunca de
 memória. `[M]` Na S420 cinco das seis correções ao orquestrador foram da mesma família: afirmação
 sobre artefato externo sem probe — o Invariante 6 escrito e não aplicado.
 
+**1.3.1 O `escopo` tem procedência, e ela viaja no prompt — não na tua cabeça.** `[M]` (S475) O
+insumo *quais US* não é servido pelo PRD: é servido pela **projeção** (a fase 1b da lane 1). Uma
+projeção só vale se for re-derivável, e o contrato da lane 1 exige três itens juntos no registro
+dela — commit, `sha256` da fonte e o pedido literal (`J4`, §5 do contrato). Antes de despachar:
+
+`[S]` **Em modo 2B, um quarto campo.** O escopo não é "a projeção" — é o **corte humano congelado**,
+com o seu próprio `sha256`. Leve os três de sempre **e** o caminho do arquivo do corte com o `sha`.
+
+```bash
+# 1. o sha256 que a projecao DECLARA ter derivado (Anexo A.1 dela)
+grep -A1 'sha256.*fonte' <projecao>
+# 2. o sha256 do PRD hoje
+sha256sum <prd>
+```
+
+Se **não** baterem, **não despache**: mande re-derivar (é trabalho de fase 1b, não de lane 2) —
+e re-derivar, nunca editar à mão, porque editar produz documento sincronizado e destrói a chance
+de rodar o teste de derivabilidade. `[M]` Uma projeção desta casa ficou 330 linhas atrás da fonte
+e nada no despacho dizia isso; o modo de falha está medido e é o pior tipo: **não falha limpo,
+preenche** (cláusula *Marca `client` proibida sem registro*, no §2 abaixo, e S469:100).
+
+> Referência por conteúdo e não por número de linha, de propósito: esta própria inserção deslocou
+> em +21 as linhas que a versão anterior citava como `:57-59`.
+
+**1.3-B (2B) Os insumos da 2B não são os cinco da 2A — são nove, com papel diferente em três.**
+`[M]` Os cinco da 2A contra o teste do contrato §2.4 (*"campo que só faz sentido para um tipo de
+escopo captura substrato"*), re-medidos:
+
+| insumo 2A | na 2B | marca | referente |
+|---|---|---|---|
+| caminho do PRD | **exigido**, igual | `[M]` | Fase 0 é agnóstica |
+| escopo (quais US) | **exigido — como corte humano congelado com `sha`**, nunca "a projeção" | `[U]` **B6, PM** | `ORCAMENTO…:175`; ruído medido 33·66·55·78·74·80·75·75 |
+| ator-alvo | **exigido, com linha citada** do PRD | `[M]` | §1.3 (*o ator sai do PRD com linha citada*); a projeção current tem 12 rótulos, o PRD nove posições (§1.2) — o despacho diz **qual** |
+| caminho do design system | **exigido com outro papel**: contrato de renderização do trilho | `[S]` D6 | Ciclo 01 e os nove Ciclos da partição D-022 inlinam verbatim (os seis da geração 1, hoje em `deliverables/lane-2a/superados/`, também inlinavam); `design-system/od-format/system/` existe |
+| repo-alvo | **dissolvido** → *onde o artefato mora* (`deliverables/lane-2b/`) | `[M]` TD-293 | `ORCAMENTO…` C.3 |
+| **novo:** `modo = 2B` | **exigido, declarado** | `[S]` D2 | contrato §2.4 `:197`: inferir é ambíguo |
+| *(sem equivalente 2A — é 2B-only, como `modo`)* | **novo:** `reflexivo = sim/não`, declarado no despacho quando o PRD descreve o harness que executa a lane | `[S]` D4 | `PROPOSTA-EQUIPAMENTO-LANE2B-S515.md` §5.3 :266-267 (Detecção); `ciclo-engineer.md:137` (F10 — a sonda obrigatória que o campo dispara) |
+| **novo:** registro da conversa do cliente (se houver) | opcional; **sem ele a marca `client` não existe** | `[M]` | `ciclo-engineer.md:107`; §2, cláusula *Marca `client` proibida sem registro* |
+| **novo:** caminho do auditor de modelagem | **exigido** — pré-condição de o agente aceitar 2B | `[S]` F4 | `ciclo-engineer.md`, *Fora de escopo* (recusa 2B sem o auditor em disco) |
+
+Rótulos B·/D·/F· e "contrato" referem-se à `PROPOSTA-EQUIPAMENTO-LANE2B-S515.md` e ao `LANE1-CONTRATO-SAIDA-S473.md`.
+
 **1.4 Se for run de medição, retire a referência E prove que ela não cobre o alvo.** `[M]` (S420)
 Antes de escrever o prompt, `grep -c` no artefato de referência pelo escopo pretendido. Se ele já
 cobre o alvo, o run mede cópia, não transferência. Quando a referência cobre todo o espaço de
-alvos, a restrição vira ativo: retire-a do agente e **use-a depois como ground truth**.
+alvos, a restrição vira ativo: retire-a do agente e **use-a depois como ground truth**. `[S]` Em 2B a referência a vedar são os **nove Ciclos da partição D-022** (mesmo PRD-001: `ciclo-agente-fase-dispatch-s516.html`, `ciclo-continuidade-handoff-s516.html`, `ciclo-define-gate-s515.html`, `ciclo-emenda-constituicao-s516.html`, `ciclo-instrumento-varredura-s515.html`, `ciclo-opera-sessao-s515.html`, `ciclo-orquestrador-workflow-s516.html`, `ciclo-ratifica-s515-run2.html`, `ciclo-time-cliente-curva-s516.html`) e o **Ciclo 01** (`CICLO-01-TOKEN-EXTRACTION-S417.md`), **e também os três protótipos** `prototipo-app-canvas.html`, `prototipo-app-canvas-v2.html`, `prototipo-app-canvas-v3.html` (`deliverables/lane-2a/`) — telas 2A sobre o mesmo PRD-001; a 2B existe para não ver tela; o próximo protótipo, por superfície, nasce depois do run 2B como unidade separada. Os seis Ciclos da geração 1 (pré-partição, movidos para `deliverables/lane-2a/superados/` na S517) não contam — não são a referência ativa.
 
 ---
 
 ## 2 · O prompt de despacho
 
-Entregue os cinco insumos e mais estas cláusulas:
+Entregue os cinco insumos (nove em 2B, §1.3-B) e mais estas cláusulas:
 
 - **Vedação de referência** (em run de medição): *não leia o conteúdo de artefatos anteriores desta
   lane; listar o diretório para escolher nome livre é permitido.*
 - **Marca `client` proibida sem registro.** Se tu não passar a conversa do cliente, a marca não
   existe para o agente e o fato vira lacuna. Sem isso ele marca `client` "porque faz sentido", que é
   palpite com crachá.
+- **Procedência do escopo, em três campos.** Passe o **caminho da projeção**, o **`sha256` que ela
+  declara** e o **caminho do PRD**. Sem os três o agente não tem como conferir vintage, e a Fase 0
+  dele manda parar e devolver — corretamente, porque insumo sem procedência é palpite com crachá.
 - **Segure o commit** (§14.6, publicar-antes-de-corrigir): o agente grava e **não** commita; tu
   commita depois de ler o relatório.
 - **Cláusula de escape.** `[M]` (S420) *"Se o protocolo te obrigar a abrir o arquivo vedado, não
   abra — registre o conflito."* Produziu duas declarações honestas e espontâneas.
+- **Em modo 2B, quatro campos a mais.** `[S]` *"modo = 2B; auditor em `scripts/audit-ciclo-modelagem.py`;
+  reflexivo = sim/não; corte = <arquivo> sha <x>."* A **neutralidade** abaixo continua valendo: não
+  diga ao agente que se mede c6/c7 (§5.4 da proposta).
 
 **Neutralidade do dispatch — regra dura.** `[S]` Se o run existe para medir alguma dimensão
 (interatividade, densidade, fidelidade), **não conte isso ao agente**. Dizer "estou medindo teus
@@ -98,6 +145,13 @@ mesma US nos quatro runs):
 `[M]` O baseline opus **não é comparável no eixo de telas**: ele usa vocabulário próprio
 (`ws-step`, `spine-step`). Compare runs entre si, que compartilham o charter.
 
+`[M]` (S513) A coluna de telas sai **particionada por vocabulário**, `Ns/Mv` — `s` é token de classe
+`screen`/`*-screen`, `v` é container com token `view` (a forma dos artefatos do app, `<main
+class="view" data-view=…>`). Antes disso o contador deu **0 na v1 e na v2** do protótipo do app,
+que têm 6 telas cada (S512 contou por grep) — segundo falso zero da família do §3.3, noventa e duas sessões e
+um vocabulário depois. Um zero de um lado nunca mais se disfarça de zero de superfície: `0s/6v` é
+leitura, `0s/0v` é o achado grave. `[S]` Em 2B este instrumento (`audit-prototype-interactivity.sh`) imprime `0s/0v` **por definição** — não é veredito de nada; o veredito de 2B é o do auditor de modelagem (§3.6).
+
 ### 3.2 Fidelidade do contrato de tokens — a checagem que o auditor NÃO faz
 
 `[M]` (S420) O auditor valida o **grafo de referências** (`var(--x)` aponta para algo declarado).
@@ -131,6 +185,61 @@ Duas regras saem disso:
 **corrobora** que os gates são estruturais e não decorativos; não substitui percorrer o fluxo no
 browser e ver o botão travar e liberar. Se tu não abriu o browser, diga que não abriu.
 
+### 3.5 O que nenhum dos três lê: a CSSOM — regra escrita e não aplicada
+
+`[M]` (S512) `ciclo-registro-estrutural.html`, **mergeado em main**, tinha em `:335` um `/*` que
+documentava o conserto do overflow da S511 e não tinha `*/`. O próximo `*/` estava em `:365`, dentro
+de outro comentário; como comentário CSS não aninha, ele fechou o de 335 — e **vinte regras entre
+345-364 viraram texto** (`.chip` inclusive o `white-space:normal` que a memória S507 prescreve,
+`.edge-head`, `.edge-title`, `.edge-open`). Segundo caso em `:391→:402`. Confirmado no render com
+controle positivo: 24 `.chip` com borda 0, padding 0, Montserrat em vez de mono; `.edge-card
+{min-width:0}`, que está **antes** do comentário, vivo.
+
+**Por que passou pelos três instrumentos:** o auditor de tokens valida o *grafo de referências* no
+texto — `var(--x)` dentro de comentário é texto e aponta para token declarado. O diff de pares
+(§3.2) olha declarações `--x: v;`, que não estavam no span. O auditor de interatividade (§3.1)
+conta listeners e JS. **Nenhum lê a CSSOM.** E o 375×375 da S511 passou plausivelmente *por causa*
+do defeito: chip sem padding é mais estreito. É a lição da S511 em outra roupa — documentar o
+**conserto** matou vinte regras vizinhas.
+
+Dois passos, o segundo é o veredito:
+
+```bash
+# 1. detector barato — por bloco <style>, máquina de estados; imprime cada span de
+#    comentário com `/*` aninhado E linhas com forma de regra CSS dentro dele.
+scripts/audit-css-dead-by-comment.py <artefato.html> [outros.html ...]
+```
+
+`[M]` Calibrado na S513 com **um defeituoso e sete controles**: o registro-estrutural dá 2 `SUSPEITO`
+(`:335→:365` com 17 linhas com forma de regra; `:391→:402` com 1), exit 1; os sete irmãos dão 1
+`AVISO` cada e exit 0 — é o `/*` do glob `fonts/*.woff2` em prosa dentro do comentário das fontes,
+que um balanço cru `/*` contra `*/` acusaria como defeito. **Balanço por arquivo dá falso positivo;
+máquina de estados simples dá falso negativo** (o `/*` de 335 *é* fechado, pelo `*/` errado). O
+sinal é a conjunção: aninhamento **e** regra engolida.
+
+```js
+// 2. o juiz — Playwright browser_evaluate. Um seletor de DENTRO do span suspeito e um
+//    de FORA (controle positivo). Regra escrita no arquivo e ausente aqui é CSS morto.
+(() => {
+  const live = new Set();
+  for (const sh of document.styleSheets) for (const r of sh.cssRules) if (r.selectorText) live.add(r.selectorText);
+  const probe = (sel) => ({ sel, naCSSOM: live.has(sel), el: document.querySelector(sel) && getComputedStyle(document.querySelector(sel)).padding });
+  return [probe('.chip'), probe('.edge-card')];   // troque pelos seletores do span e do controle
+})()
+```
+
+Suspeita do passo 1 sem o passo 2 é suspeita; passo 2 sem controle positivo é leitura de um
+instrumento que pode estar cego. Em despacho de agente, a cláusula "zero token novo" **não** protege
+disto — se for pedir, peça o balanço por bloco no relatório, e re-meça.
+
+### 3.6 Julgar um Ciclo 2B
+
+`[S]` Em modo 2B não há Playwright para dirigir gate nem interatividade para contar (§3.1 dá
+`0s/0v` **por definição** — não é veredito). §3.2, §3.3 e §3.5 continuam valendo para o trilho. O julgamento é: rode `scripts/audit-ciclo-modelagem.py`,
+cole a tabela de saída inteira, **e** confira por leitura duas coisas que o instrumento não lê:
+**(i)** um `open` ao acaso — o PRD realmente não diz aquilo? **(ii)** um `prd` ao acaso — a linha
+citada existe de fato no PRD?
+
 ---
 
 ## 4 · Artefato falho é evidência — não conserte

package/skills/fase-1b-projecao/SKILL.md

@@ -0,0 +1,150 @@
+---
+name: fase-1b-projecao
+description: Use ANTES de derivar um PRD em épicos e user stories — a fase 1b da lane 1, que produz o insumo `escopo (quais US)` que a lane 2A consome. Triggers on "derivar o PRD em épicos", "quebrar o PRD em user stories", "re-derivar a projeção", "o par PRD/projeção está dessincronizado", "fechar J4". Carrega o procedimento de re-derivação, o pedido literal canônico, o isolamento que torna o teste de derivabilidade possível, e — o essencial — o que esta fase NÃO pode prometer. Do NOT use para escrever o PRD (isso é autoria, não tem procedimento) nem para despachar a lane 2A (use ciclo-lane-dispatch).
+---
+
+# Fase 1b — a projeção do PRD em épicos e user stories
+
+A lane 1 entrega um **par**: o PRD constitucional e a **projeção** dele. Esta skill cobre a
+segunda peça. `[U]` Ela é **fase da lane 1**, não lane nova — o contrato de saída já a contratou
+em `J1` (decomposição rastreável, cada item com referente citado) e `J2` (critério de aceite por
+item), cita o documento, mede os itens e carrega o `sha256` dele.
+
+Marcas: `[M]` medido · `[S]` síntese nossa · `[U]` decidido pelo usuário · `[L]` lacuna aberta.
+
+---
+
+## 1 · O que esta fase NÃO promete — leia antes de tudo
+
+`[M]` **Granularidade não é propriedade do PRD.** Medido na S475 com réplica exata — mesma fonte,
+mesmo pedido, mesma árvore, **zero variáveis**: 55 stories numa execução e **78** na outra, +42%.
+Quatro derivações do mesmo PRD deram **33 · 66 · 55 · 78** stories e **8 · 12 · 11 · 15** épicos.
+
+Consequências operacionais, e nenhuma se conserta melhorando o prompt:
+
+1. **Não prometa um número.** Se alguém a jusante precisa de granularidade fixa, ela vem de um
+   **corte humano**, não de re-derivar até sair o número desejado — re-derivar até gostar do
+   resultado é escolher a amostra depois de ver os dados.
+2. **Divergência de contagem entre duas projeções não é sinal de nada.** Está dentro do ruído.
+3. **O que É estável** (medido em 3 de 3 braços independentes): o **ator** sai como posição do
+   fluxo e nunca como cargo · a **espinha** cai das capacidades que o próprio PRD enumera · a
+   **cobertura** por referente `§x.y`.
+
+---
+
+## 2 · O procedimento — quatro passos, e o passo 4 é o que quase ninguém roda
+
+1. **Fixe a fonte antes de derivar.** `git rev-parse HEAD` e `sha256sum` do PRD; registre os dois.
+   Fonte não fixada torna a comparação seguinte impossível de interpretar.
+2. **Derive, guardando o pedido literal.** Escreva o pedido **antes** do despacho e congele-o.
+   `[M]` É assim que o item se perde: quem deriva primeiro e pensa em guardar depois não guarda.
+3. **Compare com a versão anterior.** Divergência é **sinal, não estado**.
+4. **Decida de que lado o documento cai.** Se a derivação não for reproduzível a partir da mesma
+   fonte, ele não é projeção — é fonte autoral, e passa a exigir **backup** como defesa em vez de
+   reconstrução.
+
+> `[M]` **O passo 4 é executável mais vezes do que parece.** Se a versão anterior declara o
+> `sha256` da fonte de que derivou, **a fonte velha está em git**: `git show <commit>:<PRD>` a
+> devolve byte a byte. Não presuma que só resta a fonte de hoje — o controle do experimento
+> costuma já existir.
+
+---
+
+## 3 · O pedido literal — e o que **não** pode entrar nele
+
+O pedido é curto de propósito. Fixe **forma**, nunca **conteúdo**:
+
+```
+Transforme o PRD em épicos e user stories.
+
+Fonte única: <PRD>. Não consulte nenhum outro documento deste repositório e não procure
+decomposições anteriores; se encontrar uma, não a abra.
+
+Escreva a saída em <SAIDA>, markdown único, com esta estrutura:
+
+- épico: heading `## EP-NN — <título>`
+- story: heading `### US-NN.N — <título>`, aninhada no épico a que pertence
+- cada story traz: a formulação "como … / quero … / para …", o critério de aceite, e o
+  referente `§x.y` da seção do PRD de onde ela cai
+
+Quantos épicos e quantas stories saem é resultado, não meta.
+```
+
+`[S]` **O que fica de fora, e é a decisão que faz o teste valer.** Regras de conteúdo que a
+projeção anterior declarava — *ator é posição e não cargo*, *nenhuma story nomeia mecanismo*,
+*nada por inferência* — **não entram**, mesmo citando o PRD. Se estão mesmo na fonte, o derivador
+chega nelas sozinho, e chegar **é** a evidência de derivabilidade. Colocá-las no pedido faz o
+passo 4 medir obediência ao pedido em vez de derivabilidade da fonte: verde por vacuidade.
+
+`[M]` Funciona: com o pedido acima, três braços independentes produziram **zero** cargos e
+nomearam a espinha correta sem instrução.
+
+`[L]` **Contaminação residual, declarada:** fixar os headings `## EP-NN` / `### US-NN.N` já
+entrega parte da forma escolhida pela versão anterior. Mantida porque é o que os comandos do
+contrato medem; não há como remover sem perder a comparabilidade.
+
+---
+
+## 4 · Executor e isolamento
+
+**Executor: `general-purpose`.** `[S]` Não use `specifier` nem `task-generator` — os dois têm
+formato de saída próprio no corpo (spec, tasks atômicas) que empurra a derivação para um molde
+que não é do PRD, contaminando o eixo que se quer medir. Agente **sem** corpo calibrado é a
+escolha certa aqui, e é a razão de esta fase ser skill e não agente.
+
+**Isolamento por construção, não por instrução.** `[M]` Instruir "não olhe a projeção anterior"
+depende do agente obedecer. Derivar numa **worktree de um commit anterior à promoção** dela não
+depende de nada: o arquivo não existe lá.
+
+```bash
+git worktree add --detach <tmp>/wt b4b1eba4          # commit anterior a promocao
+git show HEAD:<PRD> > <tmp>/wt/<PRD>                 # so a fonte e trocada
+git grep -l 'EP-0[1-9]\|US-0[1-9]\.' b4b1eba4 -- ':!*agent-memory*'   # esperado: vazio
+```
+
+O último comando é o que transforma "isolado" em **medido**. Rode-o e cole a saída.
+
+---
+
+## 5 · O que medir na volta — e o instrumento certo
+
+Use os comandos que o contrato registra, nunca os inventados na hora:
+
+```bash
+grep -cE '^## EP-'  <projecao>      # epicos
+grep -cE '^### US-' <projecao>      # stories
+grep -oE '§[0-9]+(\.[0-9]+)*' <projecao> | sort -u   # cobertura por referente
+```
+
+> `[M]` **Para medir se o delta da fonte atravessou, olhe o ITEM que a emenda tocou — nunca o
+> agregado.** Medido S475: contagem e sobreposição de referentes não distinguem troca de fonte de
+> ruído (réplica pura dá 95%/88%; trocar a fonte dá 85–91% — dentro do ruído). O mesmo delta
+> aparece **limpo e reprodutível** no item específico: a seção emendada saiu como *item aberto* na
+> fonte velha e como *requisito* nas **duas** réplicas da fonte nova. O agregado afoga o sinal.
+
+`[U]` **Quando há mais de um braço válido da mesma fonte, promove-se o de maior cobertura de
+referentes únicos do PRD (`grep -oE '§…' | sort -u | wc -l`); empate → o que terminou primeiro.**
+Regra do PM, D-018 (S514) — antes dela a escolha era arbitrária e declarada como tal.
+
+---
+
+## 6 · Fechar `J4` — três itens, juntos
+
+> Uma projeção só é projeção se vier com o que a torna re-derivável: **commit** da fonte,
+> **`sha256`** da fonte, e o **pedido literal**. Faltando qualquer um, o artefato não é projeção —
+> é **segunda fonte**, e passa a exigir backup porque não há de onde reconstruir.
+
+`[M]` O item que se perde é sempre o terceiro. Escreva o pedido antes do despacho e o dispatch
+**vira** o registro; guardá-lo depois depende de lembrar, e a primeira execução desta fase nesta
+casa não lembrou.
+
+---
+
+## 7 · Erro de classe a evitar
+
+`[M]` **Quando um insumo "falta", meça no artefato que deveria servi-lo, não no que está à mão.**
+O insumo *quais US* nunca seria servido pelo PRD — é servido pela projeção. `grep 'US-'` na fonte
+dá zero, e o zero é real enquanto a conclusão é falsa.
+
+`[M]` **Re-derivar, nunca editar à mão.** Editar as peças dessincronizadas produz um documento
+sincronizado e **destrói a única chance de rodar o passo 4**.

package/skills/lane-1-entrevista/SKILL.md

@@ -0,0 +1,173 @@
+---
+name: lane-1-entrevista
+description: Use quando for equipar ou conduzir uma entrevista da lane 1a — entrevista → consolidação → devolutiva — de um usuário (PM ou cliente) por role de terminal do Maestri. É o lado de QUEM DESPACHA (Manager ou TL); o Entrevistador é a role em `workstation/roles/entrevistador.md`. Triggers on "entrevistar o PM como usuário", "abrir a rodada N", "equipar a entrevista", "consolidar as rodadas", "devolutiva ratificada", "insumo do PRD-001-v2", "retomar a entrevista". Carrega o pré-voo (repo fora do harness, isolamento por conduta, role a partir do arquivo), a cadência decidida pelo PM por rodada, o assert de fora após cada rodada, o rastro por citação, a ratificação com grão registrado e os parâmetros em que as duas execuções medidas discordam. Do NOT use para escrever o PRD (autoria, fica fora) nem para derivar épicos e user stories (use fase-1b-projecao — esta skill não a emenda).
+---
+
+# Lane 1a — a entrevista do usuário, do lado de quem despacha
+
+A lane 1 entrega um PRD. Antes dele existe o **material do usuário** — o que ele faz, o que dói, o
+que pede, dito por ele, com citação. Esta skill equipa essa captura: o Manager (ou um TL) lança
+um **Entrevistador** por role do Maestri, decide a cadência com o PM, mede de fora a cada rodada
+e recebe um material **ratificado**. `[M]` Executada duas vezes nesta casa: TL Estudo HM (09/09,
+cliente, transcrições) e Entrevistador (S519–S520, PM, ao vivo: 6 rodadas, 73/73, 12/12 leituras
+confirmadas, repo `produto/entrevista-pm` HEAD `0228708`). Onde as duas discordam, §6.
+
+Marcas: `[M]` medido · `[S]` síntese nossa · `[U]` decidido pelo usuário / ordem do Manager · `[L]` lacuna aberta.
+
+---
+
+## 1 · Pré-voo — o que existe antes da rodada 1
+
+1. **Repo de trabalho FORA do repo do harness, com git próprio.** `[M]` `produto/entrevista-pm/`
+   nasceu com `chore: nasce o repo da entrevista` e a estrutura que o README dele fixa:
+   `rodadas/rN.md` (transcrição literal, escrita ANTES de analisar) · `analise/rN.md` · 
+   `consolidacao/material-<quem>.md` · `devolutiva/devolutiva-<quem>.md`. Cada rodada fechada é
+   um commit; o sha é a proveniência. `[M]` A execução HM em `Downloads/trc-plat/hm/` **não é git** —
+   sem sha por rodada, a proveniência é só a data do arquivo.
+2. **Isolamento é conduta, não isolamento técnico.** `[M]` O plugin viaja para qualquer cwd (escopo
+   de usuário): o Entrevistador vê `orchestrator:*` na lista e a role manda ignorar. A regra vive na
+   role e no README do repo alvo (não ler o harness, não invocar `orchestrator:*`, não pesquisar o que
+   o produto é — o fato é do entrevistado) e o **vazamento é medido ao fim** por grep (§3).
+3. **Role a partir do arquivo, nunca do canvas.** Fonte: `workstation/roles/entrevistador.md`
+   (sha canônico `d61e0bea`, 5099 B; regra de sincronia no README do diretório). O Maestro escreve
+   no banco com `maestri role write "Entrevistador" "$(awk 'c>=2{print;next} /^---$/{c++}' <arquivo> | tail -n +2)"`
+   e faz `role assign` no slot do repo alvo. `[M]` A role **proíbe ler o repo do harness** — por isso a
+   instância vai copiada para o repo alvo como `ROLE-ENTREVISTADOR.md` (commit `10b8775` na primeira
+   execução) e o README da run registra o sha da instância. Divergência entre fonte e instância é diff
+   explícito, não drift. Parâmetros da role que mudam por run: repo alvo, quem é o entrevistado.
+4. **Contrato de saída do Entrevistador**, gravado na role: ao fechar cada rodada (commit feito) e ao
+   travar, `maestri ask "Orchestrator Manager" "<rodada N fechada: sha, perguntas/respostas, o que
+   ficou aberto>"`. `[M]` O `ask` devolve a **tela** do alvo, não a resposta — se o que volta é rodapé
+   de menu ou barra de status, a mensagem chegou; confirme com `maestri check "<alvo>"` antes de
+   qualquer reenvio (reenviar duplica no terminal dele).
+
+---
+
+## 2 · Cadência — o PM decide por rodada, a entrevista termina por esvaziamento
+
+`[U]` **Decisão do PM POR RODADA, ANTES de abrir a rodada, via `AskUserQuestion`.** Nada de rodada
+automática: quem despacha pergunta ao PM se abre a rodada N+1 agora, pausa, ou encerra. O
+Entrevistador só recomputa a fronteira e apresenta; quem autoriza a próxima é o PM.
+
+`[M]` **A entrevista termina quando a fronteira esvazia, não por número decidido.** Curva medida:
+**16 → 20 → 15 → 8 → 1 → 0** perguntas em aberto ao fim de cada rodada — 6 rodadas, 73 perguntas,
+73 respostas. A rodada 6 foi uma micro-rodada de 1 pergunta ("Cloud"): a fronteira caiu para zero
+e só então veio a consolidação. Não decida o número antes — ele cai do material.
+
+**Pausa = `RETOMADA-rN.md` com a fronteira preservada.** `[M]` A `RETOMADA-r3.md` foi escrita a
+pedido do Manager quando o PM pausou com a rodada 3 **aberta** (20 perguntas apresentadas, 0
+respondidas) — **fora da role**, improvisada. Esta skill a torna procedimento. Conteúdo mínimo:
+estado por rodada (fechada/aberta, commit, N/N) · as perguntas abertas **exatamente como estão na
+tela**, sem reformular · o que ficou parcial nas rodadas anteriores e qual pergunta cobre · conduta
+aprendida · instrução de retomada para a própria role "caso acorde sem memória" (`[M]` a sessão da
+filha não sobrevive ao restart; a tela sim). Commit da pausa: `pausa: RETOMADA-rN — fronteira de K
+perguntas preservada`.
+
+---
+
+## 3 · Assert de fora após cada rodada — quem despacha roda, sem entrar na árvore
+
+Cada `ask` de rodada fechada é verificado por instrumento, do lado de fora, antes do próximo
+`AskUserQuestion` ao PM:
+
+```bash
+R=<repo-alvo>; N=<rodada>
+git -C $R log --oneline -1                                 # sha bate com o que o ask relatou
+wc -l $R/rodadas/r$N.md $R/analise/r$N.md                  # os dois existem; nenhum vazio
+grep -c "(r$N, Q" $R/analise/r$N.md                        # rastro (rN, Qn): esperado > 0
+sed -n '/^## 0/,/^## 1/p' $R/analise/r$N.md | grep -E 'perguntas feitas|respostas recebidas|sem resposta'
+```
+
+**Grep de vocabulário do harness nas análises — com controle positivo obrigatório:**
+
+```bash
+T='workflow|gate|orchestrator:|artifactStore|advancePhase|sub-?agente|skill|hook|MCP|checkpoint|manifest'
+grep -ciE "\b($T)s?\b" $R/analise/r*.md                                  # bruto, por arquivo
+grep -iE "\b($T)s?\b" $R/analise/r$N.md | grep -vE '^> ' | grep -vE "\"[^\"]*\b($T)s?\b[^\"]*\""   # fora de aspas: esperado VAZIO
+```
+
+`[M]` Dentro de aspas **não é vazamento** — é a palavra do PM. Controle positivo: r2 deu 2× "gate",
+ambos em citação dele (`(r2, Q13)`); ao fim das 6 rodadas, 14 linhas com termos e **0 fora de aspas**.
+Se o bruto der zero em todas as rodadas, desconfie do instrumento (vocabulário do grep casado com
+outro nome) antes de comemorar: contador que nunca dispara não foi testado, foi só concordante.
+Acrescente à lista os termos que o seu harness usa e o entrevistado não.
+
+---
+
+## 4 · Consolidação com rastro por citação
+
+Ao esvaziar a fronteira, o Entrevistador escreve `consolidacao/material-<quem>.md`. Quem despacha
+confere a **forma**, não o conteúdo — o conteúdo é do entrevistado:
+
+- **Cada afirmação em uma de quatro categorias:** *fato dito* · *número dito* · *pedido dito* ·
+  *leitura a confirmar*. `[M]` `material-pm.md` "Como ler este documento".
+- **Toda citação com `(rN, Qn)`** — rodada e pergunta apontam para `rodadas/rN.md`. `[M]` Instrumento:
+  `grep -c '(r[0-9]*, Q' consolidacao/material-*.md` alto; linhas entre aspas sem `(r` → defeito.
+- **Respostas "como dono" FORA do material.** `[M]` §10 do material lista onde o PM explicou a
+  ferramenta por dentro (r2 Q1, Q7, Q8, Q13, Q14; r3 Q1…; r4…; r5 Q1; r6 Q1) — tudo literal em
+  `rodadas/`, **nada vira requisito** por mão do Entrevistador. Os desenhos dele entram só entre aspas,
+  como *pedido dele*. A nota de conduta que abre `analise/r2.md` é o precedente.
+- **Tabela de proveniência por rodada com commit** (§0 do material): rodada · data · N/N · commit ·
+  parciais e em que rodada fecharam · total · curva da fronteira. `[M]` `5689abb` → `dfb07e0` → pausa
+  `3c696fe` → `50e0a22` → `a7b9aed` → `7a2f56c` → `0db146e` → consolidação `b1684f9`.
+- **Leituras numeradas (L1..Ln)** em seção própria, marcadas `[síntese]`, todas indo para a devolutiva.
+
+---
+
+## 5 · Devolutiva com ratificação — e o GRÃO em que foi ratificada fica registrado
+
+`devolutiva/devolutiva-<quem>.md`, apresentada no terminal do Entrevistador, em três partes `[M]`:
+
+- **Parte A — o que ouvimos**, nas palavras dele: uma linha por dor/pedido, com a fala e o `(rN, Qn)`.
+  Aqui ele confirma *que foi isso que disse*, não que concorda com a leitura.
+- **Parte B — as leituras L1..Ln, uma a uma**, cada uma com campo **Ratificação** a preencher com a
+  resposta literal: *confirmada* ou *corrigida* (e como é de verdade).
+- **Parte C — o que ficou não determinado → respondido**: tabela item aberto × resposta literal.
+  `[M]` 5 de 7 itens fechados na devolutiva de S520; 2 ficaram como estavam.
+
+**Registro da ratificação no próprio arquivo:** data e hora · fala literal · Parte A confirmada/
+corrigida · leituras confirmadas/corrigidas (contagem) · Parte C · **alterações no material** (quais
+seções mudaram) · commit. `[M]` `devolutiva: ratificada pelo PM — 12 confirmadas, 0 corrigidas` (`0228708`).
+
+**Discordância registrada, não resolvida.** `[M]` A role pede ratificação **ponto a ponto**
+(`entrevistador.md`, "Fim: consolidação e devolutiva"); a ratificação de S520 foi **em bloco** —
+fala literal "A: ok e B: ok", replicada em L1–L12 como "ratificação em bloco de L1–L12". Esta skill
+**não escolhe o grão**: ela exige que o arquivo diga em que grão foi ratificado, para que quem lê o
+material saiba se cada leitura foi olhada uma a uma ou aceita em lote.
+
+---
+
+## 6 · Parâmetros que a segunda execução mudou — decidir no pré-voo, nunca em silêncio
+
+`[M]` Duas execuções, onze eixos. Onde discordam, a skill **não escolhe**: o pré-voo declara o valor,
+com os dois medidos à vista. Eixos já fixados por esta skill (por ordem do Manager, S521) estão marcados.
+
+| eixo | TL Estudo HM (09/09) | Entrevistador (S519–S520) | nesta skill |
+|---|---|---|---|
+| quem analisa | subagentes do Manager escrevem `analise/*.md`; a role só monta o deck | o próprio Entrevistador escreve rodada, análise, consolidação e devolutiva | **parâmetro** |
+| quem ouviu | "Escuta", por role — `[L]` não está entre as 4 roles capturadas; existe no banco? | o Entrevistador, ao vivo | **parâmetro** (segue a fonte) |
+| fonte | transcrições Copilot sem falantes + PDFs; material existe antes; sem rodadas | rodadas ao vivo com fronteira; a transcrição literal é do mesmo agente que analisa | **parâmetro** |
+| inventário de falantes | §1 da análise: ALTA/MÉDIA/BAIXA; nome só com confiança ALTA | não existe (1:1); §3 vira "o que o PM faz hoje" | **só quando a fonte não identifica** |
+| unidade de lastro | reunião + página de PDF externo | `(rN, Qn)` apontando para `rodadas/` de autoria própria | **parâmetro** (§4 exige rastro; a unidade segue a fonte) |
+| isolamento | nenhum; a role manda ler o design system do harness | inegociável; vazamento medido por grep | `[U]` fixado: conduta + grep (§1.2, §3) |
+| forma da devolutiva | deck HTML, tokens do design system, Playwright | markdown com campo Ratificação, no próprio arquivo | **parâmetro** (§5 exige registro do grão em qualquer forma) |
+| instrumento da condição 3 | Playwright + retro "número impresso = número da fonte", feita depois da aprovação | grep de vocabulário + ratificação do PM | `[U]` fixado para markdown (§3); deck exige o seu |
+| proveniência | diretório sem git | commit por rodada | `[U]` fixado: git próprio, commit por rodada (§1.1) |
+| pausa/retomada | n/a (um dia) | `RETOMADA-r3.md`, improvisada fora da role | `[U]` fixado: procedimento (§2) |
+| marcação de síntese | `**[LITERAL]**` / `**[SÍNTESE]**` | aspas / `[síntese]` | **parâmetro** (escolha uma; declare na análise r1) |
+
+`[S]` A role diz que a estrutura da análise é "a mesma que a casa usou com um cliente" — **não é**:
+§1 e §3 diferem por causa da fonte (multi-falante vs 1:1). Quem despacha declara a estrutura no
+pré-voo em vez de herdar a frase.
+
+---
+
+## 7 · O que esta skill NÃO faz
+
+- **Não escreve o PRD.** A saída é material ratificado — insumo de autoria. Autoria não tem
+  procedimento nesta casa.
+- **Não substitui nem emenda `fase-1b-projecao`.** A projeção em épicos e US vem **depois** do PRD;
+  esta skill fica antes dele. Não há sobreposição de passos.
+- **Não decide o número de rodadas.** O PM decide cada rodada (§2); a fronteira decide o fim.
+- **Não entra na árvore do Entrevistador** para corrigir análise: a correção é dele, disparada por
+  `maestri ask`, e aparece como commit.

package/skills/orchestrator/SKILL.md

@@ -114,7 +114,8 @@ To prevent recurrence, append the following **commit policy block** to every dis
 
 ```
 [Commit Policy]
-- createCheckpoint (mcp__orchestrator-tools__createCheckpoint) is a PostgreSQL state snapshot per RFC-012. It is INDEPENDENT of git. You do NOT need to commit before calling it. Calling createCheckpoint with no uncommitted changes is the normal path. createCheckpoint may also trigger an auto-commit hook on the orchestrator side — that hook's commit message is NOT authoritative for phase attribution (hard rule (s) S194/S195: hook reads currentPhase post-advance, drifts one phase ahead). Trust explicit authored commits (`feat|fix|refactor|docs(sN): subject`) for phase attribution in audit/blame archaeology.
+- createCheckpoint (mcp__orchestrator-tools__createCheckpoint) WRITES TO GIT. Corrected S444 (TD-257) — this line used to say it was "INDEPENDENT of git", and that was measured false: calling it runs CheckpointManager.create() -> GitOperations.createCheckpointCommit() (a real commit, message `[orchestrator] <phase>: <your description>`) plus createCheckpointTag() (a real tag `orchestrator/<phase>/<ISO-timestamp>`). Evidence: 6 such tags exist in this repo, each on a commit carrying the description a sub-agent typed. CONSEQUENCE FOR YOU: the description you pass becomes a permanent public git commit message — write it accordingly. You still do NOT need to commit before calling it (it commits what is already staged and stages nothing itself), so calling it with a clean tree is the normal path. It CANNOT restore anything: restore() has no production caller, no REST route, and the stored commit_sha is hardcoded to '' — a checkpoint is an audit marker, never a safety net.
+- SEPARATE MECHANISM, do not confuse: an unattended auto-commit hook (subagent-stop -> createCheckpointIfNeeded) has historically committed on its own, NOT triggered by your createCheckpoint call. Its commit message is NOT authoritative for phase attribution (hard rule (s) S194/S195: it reads currentPhase post-advance and drifts one phase ahead). Measured S444 under TD-257: 212 such commits, 68% capturing only machine noise, one (`01c28adf`) deleting 1627 lines of production code under the message "Auto-checkpoint after tasks phase". Trust explicit authored commits (`feat|fix|refactor|docs(sN): subject`) for phase attribution in audit/blame archaeology — never the auto-checkpoint label.
 - Commit policy for this dispatch: <one of>
     a) "DO NOT commit — orchestrator owns the closure commit at review gate."
     b) "Local commit per-phase is OK (granular revertability) using prefix `<feat|fix|refactor>(s<N>): <subject>` — confirm prefix before commit. You are on a dedicated feature branch (the orchestrator branched before dispatching you, §2c.0); commit LOCALLY only." (use when implement/framework/operational/deliver phase exceeds 80k tokens or spans multiple sub-fases)
@@ -124,7 +125,7 @@ To prevent recurrence, append the following **commit policy block** to every dis
 
 Substitute `<CURRENT_SESSION>` with the active session number (e.g., `s195`) and pick **exactly one** of (a) or (b) — never leave both options visible. The block goes **after** `[Task]` and **before** the artifactStore instruction.
 
-If the orchestrator (main) wants to own all commits, prefer option (a) + call `createCheckpoint` itself after the phase completes — do NOT delegate that call to the dispatched agent.
+If the orchestrator (main) wants to own all commits, prefer option (a) + call `createCheckpoint` itself after the phase completes — do NOT delegate that call to the dispatched agent. **Know what that call does before making it (corrected S444):** `createCheckpoint` is not a passive record — it creates a real commit *and* a real tag. "Owning all commits" therefore means owning this one too; if the working tree holds unrelated dirt, that dirt is what gets captured under your description. Check `git status` first.
 
 #### 2c.2 Verify-Before-Assert dispatch addenda (TD-S192-003)
 
@@ -154,7 +155,12 @@ The block goes **after** `[Task]` and **before** `[Commit Policy]`. It applies t
 
 ### 2d. Gate Check
 
-After each sub-agent completes, present the artifact summary and ask for approval:
+Two things travel together here and they are **not** the same (identity MUST 2 and 3, split in S478):
+
+- **the guarantee (MUST 2)** — no phase advances without a decision **recorded and attributed**. Never auto-approve.
+- **the instrument (MUST 3)** — `AskUserQuestion` by default; a project MAY declare another decision channel in its Charter. Swapping the instrument does not relax the guarantee.
+
+Default instrument — after each sub-agent completes, present the artifact summary and ask for approval:
 
 ```
 AskUserQuestion({
@@ -163,6 +169,8 @@ AskUserQuestion({
 })
 ```
 
+If this project declares a **delegated** channel instead (see `project-guidelines/technical/GATE-DELEGAVEL-PROPOSTA-S477.md` — proposed, not implemented), then the approver may be an **agent** acting for an **absent** human, and the record MUST say so: who approved, under which delegation, when. Read the answer from a **file**, never from the channel's screen (S476). Never let a timeout fall through to "proceed alone" — that is auto-approval wearing a delegation.
+
 - **Approve** → call `advancePhase`, dispatch next phase agent.
 - **Request changes** → re-dispatch same sub-agent with the user's feedback.
 - **Abort** → call `completeWorkflow` with `cancelled` status.

package/skills/workflow-coordination/SKILL.md

@@ -25,7 +25,7 @@ Note: ToolSearch results are cached — you only need to fetch each tool once pe
 The **main conversation is the orchestrator**. There is no orchestrator sub-agent.
 
 - Phase sub-agents (specifier, planner, implementer, etc.) are dispatched via `Agent(subagent_type: "...")` directly from the main conversation
-- Gates between phases use `AskUserQuestion` — never auto-approve
+- Gates between phases: the **guarantee** is a recorded decision by an authorized party, never auto-approve; the **instrument** is `AskUserQuestion` unless the project Charter declares another decision channel (identity MUST 2 and 3, split in S478)
 - The `/orchestrator` skill is the universal entry point
 
 ### Deterministic Hooks (ADR-013)
@@ -41,7 +41,7 @@ Orchestration governance is enforced by hooks, not by prompt instructions:
 | `prompt-orchestrator` | On user prompt Submit | Injects workflow hints |
 
 ### Phase Advancement
-1. Present artifact summary to user via AskUserQuestion
+1. Present the artifact summary and obtain a decision — via `AskUserQuestion`, or via the project's declared channel if it has one. Either way the decision must be **recorded and attributed** before advancing (identity MUST 2)
 2. If user approves: call advancePhase
 3. If user requests changes: re-dispatch the same sub-agent with feedback
 4. The gate-guardian hook provides an additional safety check
@@ -61,7 +61,7 @@ Orchestration governance is enforced by hooks, not by prompt instructions:
 - SPECIFY: spec.md exists in MinIO, has required sections
 - PLAN: plan.md exists, references spec, has architecture section
 - TASKS: tasks.md exists, tasks are atomic, has acceptance criteria
-- IMPLEMENT: requires human approval via AskUserQuestion
+- IMPLEMENT: requires an approval recorded by an authorized party — via `AskUserQuestion` by default. If the project delegates the gate, the record must name the approver and the delegation in force; a delegated approval is **not** a human approval and must not be written as one (identity MUST 2)
 
 ### Observability
 Hooks automatically track agent invocations via SubagentStart/SubagentStop events.