@shiftleftpt/sbd-toe-mcp 0.20.0-beta.41 → 0.20.0-beta.43

package/data/publish/runtime/v1/v1_manifest.json

@@ -1,7 +1,7 @@
 {
   "artifact_type": "v1_runtime_surface_manifest",
   "build": {
-    "generated_at": "2026-09-07T13:37:20.178067+00:00",
+    "generated_at": "2026-09-08T11:34:32.300946+00:00",
     "generator": "sbdtoe_indexing.workflows.build_v1_runtime_surface"
   },
   "drift_note": "Counts sourced from slice contracts (authoritative actual). Declared sum from consolidated index. Drift concentrated in working_contract slices (notably ASC-09 RPR); upstream V1 enumeration incomplete in some slices. Flagged for Archon visibility via Step 8 delivery handover.",

package/data/publish/semantic/ctrl_acore_alignment.jsonl

@@ -1,4 +1,4 @@
-{"confidence": {"exact": 0.95, "partial": 0.85, "related": 0.7}, "counts": {"aco_covered": 66, "aco_related_only": 9, "acp_with_supports_edge": 69, "alignments": 102, "emitted_base": 102, "emitted_derived_acp": 164, "exact": 52, "partial": 21, "related": 29}, "coverage_rule": "um CO conta como coberto se tiver >=1 alinhamento exact ou partial; related não cobre", "curation": {"curator": "archon-2026-09-03", "ratified_by": "programme-lead", "ratified_on": "2026-09-03", "source": "agentic/briefs/2026-09-03-archon-walkthrough-ctrl-acore-alinhamento.md"}, "derivation": {"acm": null, "acp": "cada ACP herda os alinhamentos dos ACO em supports_objectives (69/69 têm a aresta); derivação determinística, não curada"}, "epistemic_status": {"asserts": "model_correspondence", "composed_traceability": "coverage_compensated", "does_not_assert": "content_authorship"}, "layer": "ctrl_acore_alignment", "note": "ACM nunca emitidos (deferido F-W1); não-alinhados declarados aqui — nunca silêncio. Composto REQ->CTRL->ACO->ES é cobertura compensada, não autoria.", "pins": {"appsec_core_tag": "ontology-v1.1-fair-baseline", "sbdtoe_ontology_tag": "sbdtoe-ontology-v2.4"}, "record_type": "layer_manifest", "schema_version": "1.0", "source_models": {"acore": {"commit": "84fe8bf", "entities": {"control_objectives": 75, "mechanisms": 58, "practices": 69}, "ontology": "appsec-core", "tag": "ontology-v1.1-fair-baseline", "version": "V1.1"}, "ctrl": {"entities": 20, "ontology": "sbdtoe-ontology", "tag": "sbdtoe-ontology-v2.3", "version": "2.3"}}, "taxonomy": {"exact": "o CTRL e o CO afirmam o mesmo objecto de controlo; correspondência 1:1 no essencial", "partial": "sobreposição material sem cobertura total (CO repartido por vários CTRL, ou CTRL que excede o CO)", "related": "adjacência semântica que suporta rastreabilidade composta sem afirmar cobertura; inclui os CO de coerência de slice (*-007)"}, "unaligned": {"acm": [{"ids_count": 58, "reason": "a superfície V1 servida não materializa a aresta ACM→CO (supports/implements vazio nos components-drafts); deferido até F-W1 (materializar mecanismo→objectivo no V1) e então derivar como as ACP"}], "aco": [], "aco_related_only": [{"ids": ["ACO-IAT-007", "ACO-ATB-007", "ACO-TSV-007", "ACO-TMR-007", "ACO-SPC-007", "ACO-IVF-007", "ACO-ITS-007", "ACO-RPR-007", "ACO-SLG-007"], "reason": "CO de coerência de slice — agregam CO específicos já alinhados; cobertura chega pelos constituintes"}], "ctrl": [{"id": "CTRL-governance-capacitacao-e-onboarding-de-seguranca-f84db7abdf", "reason": "AppSec Core V1 não modela capacitação/formação — domínio organizacional fora do âmbito do Core"}, {"id": "CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead", "reason": "o Core V1 exclui governação organizacional/maturidade por desenho (module_split: só semântica AppSec reutilizável)"}, {"id": "CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a", "reason": "sem slice de ambiente/tooling de desenvolvimento no Core V1; candidato a ACR-watch se surgir pressão multi-fonte"}]}, "unaligned_absence_typing": {"acm": {"absence_id": "ABS-008", "absence_type": "deferred", "debt_of": "ontology_model", "decided_on": "2026-09-03", "owner": "Archon", "statement": "Alinhamento dos 58 ACM (acore_alignment.unaligned.acm)", "trigger": "F-W1 — materializar a aresta ACM→CO na superfície V1 e derivar como as ACP"}, "ctrl": {"absence_id": "ABS-009", "absence_type": "out_of_scope", "decided_by": "programme-lead", "decided_on": "2026-09-03", "evidence": "âmbito do Core V1 por desenho (gate do walkthrough)", "statement": "CTRL sem contraparte AppSec Core (CAP, C4, C3 — acore_alignment.unaligned.ctrl)"}, "source": "declared_absences (v2.6; índice central prevalece)"}}
+{"confidence": {"exact": 0.95, "partial": 0.85, "related": 0.7}, "counts": {"aco_covered": 66, "aco_related_only": 9, "acp_with_supports_edge": 69, "alignments": 102, "emitted_base": 102, "emitted_derived_acp": 164, "exact": 52, "partial": 21, "related": 29}, "coverage_rule": "um CO conta como coberto se tiver >=1 alinhamento exact ou partial; related não cobre", "curation": {"curator": "archon-2026-09-03", "ratified_by": "programme-lead", "ratified_on": "2026-09-03", "source": "agentic/briefs/2026-09-03-archon-walkthrough-ctrl-acore-alinhamento.md"}, "derivation": {"acm": null, "acp": "cada ACP herda os alinhamentos dos ACO em supports_objectives (69/69 têm a aresta); derivação determinística, não curada"}, "epistemic_status": {"asserts": "model_correspondence", "composed_traceability": "coverage_compensated", "does_not_assert": "content_authorship"}, "layer": "ctrl_acore_alignment", "note": "ACM nunca emitidos (deferido F-W1); não-alinhados declarados aqui — nunca silêncio. Composto REQ->CTRL->ACO->ES é cobertura compensada, não autoria.", "pins": {"appsec_core_tag": "ontology-v1.1-fair-baseline", "sbdtoe_ontology_tag": "sbdtoe-ontology-v2.4"}, "record_type": "layer_manifest", "schema_version": "1.0", "source_models": {"acore": {"commit": "84fe8bf", "entities": {"control_objectives": 75, "mechanisms": 58, "practices": 69}, "ontology": "appsec-core", "tag": "ontology-v1.1-fair-baseline", "version": "V1.1"}, "ctrl": {"entities": 20, "ontology": "sbdtoe-ontology", "tag": "sbdtoe-ontology-v2.3", "version": "2.3"}}, "taxonomy": {"exact": "o CTRL e o CO afirmam o mesmo objecto de controlo; correspondência 1:1 no essencial", "partial": "sobreposição material sem cobertura total (CO repartido por vários CTRL, ou CTRL que excede o CO)", "related": "adjacência semântica que suporta rastreabilidade composta sem afirmar cobertura; inclui os CO de coerência de slice (*-007)"}, "traversal_assertion": {"does_not_assert": "autoria de conteúdo; cobertura por related", "source": "curadoria ratificada (102, tipada exact/partial/related)", "verb": "corresponde-a"}, "unaligned": {"acm": [{"ids_count": 58, "reason": "a superfície V1 servida não materializa a aresta ACM→CO (supports/implements vazio nos components-drafts); deferido até F-W1 (materializar mecanismo→objectivo no V1) e então derivar como as ACP"}], "aco": [], "aco_related_only": [{"ids": ["ACO-IAT-007", "ACO-ATB-007", "ACO-TSV-007", "ACO-TMR-007", "ACO-SPC-007", "ACO-IVF-007", "ACO-ITS-007", "ACO-RPR-007", "ACO-SLG-007"], "reason": "CO de coerência de slice — agregam CO específicos já alinhados; cobertura chega pelos constituintes"}], "ctrl": [{"id": "CTRL-governance-capacitacao-e-onboarding-de-seguranca-f84db7abdf", "reason": "AppSec Core V1 não modela capacitação/formação — domínio organizacional fora do âmbito do Core"}, {"id": "CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead", "reason": "o Core V1 exclui governação organizacional/maturidade por desenho (module_split: só semântica AppSec reutilizável)"}, {"id": "CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a", "reason": "sem slice de ambiente/tooling de desenvolvimento no Core V1; candidato a ACR-watch se surgir pressão multi-fonte"}]}, "unaligned_absence_typing": {"acm": {"absence_id": "ABS-008", "absence_type": "deferred", "debt_of": "ontology_model", "decided_on": "2026-09-03", "owner": "Archon", "statement": "Alinhamento dos 58 ACM (acore_alignment.unaligned.acm)", "trigger": "F-W1 — materializar a aresta ACM→CO na superfície V1 e derivar como as ACP"}, "ctrl": {"absence_id": "ABS-009", "absence_type": "out_of_scope", "decided_by": "programme-lead", "decided_on": "2026-09-03", "evidence": "âmbito do Core V1 por desenho (gate do walkthrough)", "statement": "CTRL sem contraparte AppSec Core (CAP, C4, C3 — acore_alignment.unaligned.ctrl)"}, "source": "declared_absences (v2.6; índice central prevalece)"}}
 {"alignment_type": "partial", "confidence": 0.85, "curation": {"curator": "archon-2026-09-03", "ratified_by": "programme-lead", "ratified_on": "2026-09-03", "source": "agentic/briefs/2026-09-03-archon-walkthrough-ctrl-acore-alinhamento.md"}, "link_id": "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460|aligns_with|ACO-ITS-003", "rationale": "validação de pares autorizados origem/destino (INT-006) — o CO junta os dois", "record_type": "alignment", "source_id": "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460", "source_type": "Control", "target_id": "ACO-ITS-003", "target_type": "AppSecCoreControlObjective"}
 {"alignment_type": "exact", "confidence": 0.95, "curation": {"curator": "archon-2026-09-03", "ratified_by": "programme-lead", "ratified_on": "2026-09-03", "source": "agentic/briefs/2026-09-03-archon-walkthrough-ctrl-acore-alinhamento.md"}, "link_id": "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460|aligns_with|ACO-IVF-001", "rationale": "validação de contrato de input nas entradas (VAL-001)", "record_type": "alignment", "source_id": "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460", "source_type": "Control", "target_id": "ACO-IVF-001", "target_type": "AppSecCoreControlObjective"}
 {"alignment_type": "exact", "confidence": 0.95, "curation": {"curator": "archon-2026-09-03", "ratified_by": "programme-lead", "ratified_on": "2026-09-03", "source": "agentic/briefs/2026-09-03-archon-walkthrough-ctrl-acore-alinhamento.md"}, "link_id": "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460|aligns_with|ACO-IVF-002", "rationale": "schema, tipos e allowlists (VAL-002/003)", "record_type": "alignment", "source_id": "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460", "source_type": "Control", "target_id": "ACO-IVF-002", "target_type": "AppSecCoreControlObjective"}

package/data/publish/semantic/macro_processes.jsonl

@@ -1,4 +1,4 @@
-{"adoption_order_rule": "ordem topológica do subconjunto dependency (feedback excluído por definição): MP-01 → {MP-02 ∥ MP-04} → MP-03 → MP-05; MP-02 e MP-04 são incomparáveis na fonte (declarado, não inferido).", "counts": {"consumption_records": 23, "dependency_pairs": 9, "feedback_pairs": 9, "ft_textual_refs": 11, "inter_mp_typed_pairs": 18, "macro_processes": 5, "path_edges": 22, "textual_path_endpoints": 7, "textual_refs_passed_through": 22}, "curation": {"adenda": "três segmentações + lacuna de fases (2026-09-06)", "curator": "archon-2026-09-06", "ratified_by": "programme-lead", "ratified_on": "2026-09-06", "source": "agentic/briefs/2026-09-06-archon-proposta-macro-processos.md"}, "edge_typing_rule": "consumo que aparece nas «Entradas» do MP consumidor ⇒ dependency; consumo que aparece nos «Gatilhos» do consumidor ou nas realimentações declaradas (fecho, laço, realimentar, «nos seus gatilhos») ⇒ feedback. Cada aresta vive em outputs[].consumed_by com o artefacto (via) e refs.", "erratum_vs_gate_map": "o mapa ratificado dizia 17 pares; na emissão a aplicação da regra ratificada à fonte encontrou a 18.ª — MP2→MP4 («threat model … consumido por MP4: risco aceite entra na cadeia de autoridade», CLA-007), tipada feedback porque não figura nas Entradas de MP4; declarada aqui, nunca silenciada.", "layer": "macro_processes", "measurement_refs_absence": {"absence_id": "ABS-010", "absence_type": "deferred", "debt_of": "ontology_model", "decided_on": "2026-08-30", "owner": "Archon", "statement": "Estrutura de medição F-01..F-04 / T-01..T-06 não modelada", "trigger": "ciclo do desenho de assurance"}, "model_note": "MacroProcess, KnowledgeBundle (capítulo) e SDLCPhase são TRÊS SEGMENTAÇÕES do mesmo substrato — agregações/percursos diferentes de olhar para o processo de desenvolvimento segundo SbD — e não níveis de uma hierarquia nem partições umas das outras; nenhuma relação entre as três se tipa como contenção. `MP → capítulos` é «percurso publicado», e é só isso. Os rótulos MP1–MP5 são ontology-owned (MP-0N); não são IDs de requisito.", "pins": {"manual_commit": "ea6b396b9caa", "sbdtoe_ontology_tag": "sbdtoe-ontology-v2.5"}, "profiles": ["consult", "guide"], "record_type": "layer_manifest", "ref_conventions": "refs com padrão [A-Z]{3}-\\d{3} / REQ-AGN-\\d{3} são Requirement ids validados; [A-Z]{3}-K\\d{2} são metric_id validados; US-nn@cc refere a user story nn do capítulo cc (validação na materialização, Codex); F-0n e T-0n são a estrutura de medição transversal do cap. 14 — refs textuais declaradas não-modeladas (lacuna para o ciclo de assurance); restantes refs são âncoras editoriais textuais.", "schema_version": "1.0", "sdlc_phase_traversal": {"absence": {"absence_id": "ABS-001", "absence_type": "out_of_scope", "decided_by": "programme-lead", "decided_on": "2026-09-07", "evidence": "«não há esse walkthrough possível. Um MP pode passar várias fases e as fases podem cruzar vários MPs» — relação N:M e parcial nos dois sentidos; o Manual publica percursos ao grão capítulo («fase» ocorre 1× no capítulo, na frase que nega a equivalência)", "note": "a derivação a partir de capítulos/assignments continua PROIBIDA (mantém macro_processes.sdlc_phase_traversal, cujo rótulo local unpublished_gap fica superseded por esta tipagem)", "statement": "Travessia MacroProcess ↔ SDLCPhase"}, "absence_source": "declared_absences (índice central prevalece; v2.6)", "decided_by": "programme-lead 2026-09-06 (adenda à ratificação)", "reason": "a travessia MP↔fase existe mas é PARCIAL e NÃO PUBLICADA: um MP atravessa várias fases e não necessariamente na íntegra; uma fase pode conter partes de vários MP. O Manual publica por MP o percurso de CAPÍTULOS, nunca um percurso de fases («fase» ocorre uma única vez no capítulo, na frase que nega a equivalência). Lacuna declarada — NÃO derivar a travessia a partir de capítulos/assignments.", "status": "unpublished_gap"}, "validation": {"complete_instances": "5/5", "dependency_dag": "{MP-01} -> {MP-02 ∥ MP-04} -> {MP-03} -> {MP-05}", "mp02_mp04_incomparable": true, "refs_resolved": true}}
+{"adoption_order_rule": "ordem topológica do subconjunto dependency (feedback excluído por definição): MP-01 → {MP-02 ∥ MP-04} → MP-03 → MP-05; MP-02 e MP-04 são incomparáveis na fonte (declarado, não inferido).", "counts": {"consumption_records": 23, "dependency_pairs": 9, "feedback_pairs": 9, "ft_textual_refs": 11, "inter_mp_typed_pairs": 18, "macro_processes": 5, "path_edges": 22, "textual_path_endpoints": 7, "textual_refs_passed_through": 22}, "curation": {"adenda": "três segmentações + lacuna de fases (2026-09-06)", "curator": "archon-2026-09-06", "ratified_by": "programme-lead", "ratified_on": "2026-09-06", "source": "agentic/briefs/2026-09-06-archon-proposta-macro-processos.md"}, "edge_typing_rule": "consumo que aparece nas «Entradas» do MP consumidor ⇒ dependency; consumo que aparece nos «Gatilhos» do consumidor ou nas realimentações declaradas (fecho, laço, realimentar, «nos seus gatilhos») ⇒ feedback. Cada aresta vive em outputs[].consumed_by com o artefacto (via) e refs.", "erratum_vs_gate_map": "o mapa ratificado dizia 17 pares; na emissão a aplicação da regra ratificada à fonte encontrou a 18.ª — MP2→MP4 («threat model … consumido por MP4: risco aceite entra na cadeia de autoridade», CLA-007), tipada feedback porque não figura nas Entradas de MP4; declarada aqui, nunca silenciada.", "layer": "macro_processes", "measurement_refs_absence": {"absence_id": "ABS-010", "absence_type": "deferred", "debt_of": "ontology_model", "decided_on": "2026-08-30", "owner": "Archon", "statement": "Estrutura de medição F-01..F-04 / T-01..T-06 não modelada", "trigger": "ciclo do desenho de assurance"}, "model_note": "MacroProcess, KnowledgeBundle (capítulo) e SDLCPhase são TRÊS SEGMENTAÇÕES do mesmo substrato — agregações/percursos diferentes de olhar para o processo de desenvolvimento segundo SbD — e não níveis de uma hierarquia nem partições umas das outras; nenhuma relação entre as três se tipa como contenção. `MP → capítulos` é «percurso publicado», e é só isso. Os rótulos MP1–MP5 são ontology-owned (MP-0N); não são IDs de requisito.", "pins": {"manual_commit": "ea6b396b9caa", "sbdtoe_ontology_tag": "sbdtoe-ontology-v2.5"}, "profiles": ["consult", "guide"], "record_type": "layer_manifest", "ref_conventions": "refs com padrão [A-Z]{3}-\\d{3} / REQ-AGN-\\d{3} são Requirement ids validados; [A-Z]{3}-K\\d{2} são metric_id validados; US-nn@cc refere a user story nn do capítulo cc (validação na materialização, Codex); F-0n e T-0n são a estrutura de medição transversal do cap. 14 — refs textuais declaradas não-modeladas (lacuna para o ciclo de assurance); restantes refs são âncoras editoriais textuais.", "schema_version": "1.0", "sdlc_phase_traversal": {"absence": {"absence_id": "ABS-001", "absence_type": "out_of_scope", "decided_by": "programme-lead", "decided_on": "2026-09-07", "evidence": "«não há esse walkthrough possível. Um MP pode passar várias fases e as fases podem cruzar vários MPs» — relação N:M e parcial nos dois sentidos; o Manual publica percursos ao grão capítulo («fase» ocorre 1× no capítulo, na frase que nega a equivalência)", "note": "a derivação a partir de capítulos/assignments continua PROIBIDA (mantém macro_processes.sdlc_phase_traversal, cujo rótulo local unpublished_gap fica superseded por esta tipagem)", "statement": "Travessia MacroProcess ↔ SDLCPhase"}, "absence_source": "declared_absences (índice central prevalece; v2.6)", "decided_by": "programme-lead 2026-09-06 (adenda à ratificação)", "reason": "a travessia MP↔fase existe mas é PARCIAL e NÃO PUBLICADA: um MP atravessa várias fases e não necessariamente na íntegra; uma fase pode conter partes de vários MP. O Manual publica por MP o percurso de CAPÍTULOS, nunca um percurso de fases («fase» ocorre uma única vez no capítulo, na frase que nega a equivalência). Lacuna declarada — NÃO derivar a travessia a partir de capítulos/assignments.", "status": "unpublished_gap"}, "traversal_assertions": {"mp_consumes_from": {"does_not_assert": "ordem linear única; equivalência dependency↔feedback", "source": "outputs[].consumed_by verbatim + regra Entradas/Gatilhos", "verb": "consome"}, "mp_traverses_bundle": {"does_not_assert": "contenção; ordem entre capítulos fora do percurso", "source": "percursos publicados (macro-processos.md)", "verb": "atravessa"}}, "validation": {"complete_instances": "5/5", "dependency_dag": "{MP-01} -> {MP-02 ∥ MP-04} -> {MP-03} -> {MP-05}", "mp02_mp04_incomparable": true, "refs_resolved": true}}
 {"activities": [{"order": 1, "refs": ["CLA-001", "US-01@01"], "text": "Classificar pelos três eixos e obter o nível"}, {"order": 2, "refs": ["CLA-002", "CLA-008", "US-15@01"], "text": "Aprovar proporcionalmente e registar no inventário"}, {"order": 3, "refs": ["CLA-003", "US-02@01"], "text": "Aplicar a matriz de controlos ao nível"}, {"order": 4, "refs": ["REQ-003", "US-01@02"], "text": "Selecionar requisitos no backlog com SEC-Lx-* e registar a decisão"}, {"order": 5, "refs": ["matriz transversal (cap. 10)"], "text": "Propagar a aplicabilidade aos capítulos técnicos"}, {"order": 6, "refs": ["US-12@02"], "text": "Validar no pipeline tags e ligação a REQ-XXX"}, {"order": 7, "refs": ["CLA-004", "CLA-005", "CLA-006", "US-03@01", "US-02@02"], "text": "Reavaliar por gatilho ou ciclo, com registo"}, {"order": 8, "refs": ["GOV-006", "GOV-007"], "text": "Estender a fornecedores cláusulas e validação proporcionais"}], "ai_agentic_extension": {"refs": ["REQ-AGN-001", "REQ-AGN-002", "REQ-AGN-003", "REQ-AGN-004", "US-19@13"], "text": "Classificar e depois selecionar, com o eixo adicional A0–A4; o nível A seleciona REQ-AGN-001..004 e os requisitos AI dos capítulos; formação por perfil e nível"}, "continuity": "Aplicabilidade", "control_points": [{"refs": ["CLA-002"], "text": "Aprovação da classificação pela entidade proporcional"}, {"refs": ["US-12@02"], "text": "Verificação de tags no PR"}, {"refs": ["US-05@01"], "text": "Validação antes do go-live"}, {"refs": ["CLA-006"], "text": "Prazo de reavaliação (30 dias)"}, {"refs": ["F-01", "F-02"], "text": "Completude do denominador: F-02 = F-01"}], "expected_evidence": [{"refs": ["US-01@01"], "text": "Documento de classificação versionado + matriz aplicada"}, {"refs": ["CLA-008"], "text": "Inventário central completo"}, {"refs": ["US-04@02"], "text": "Backlog com tags SEC-Lx-* e relatórios exportáveis"}, {"refs": ["US-03@01"], "text": "Registo de revisão com trigger e justificação"}], "foundation_refs": ["F-01", "F-02"], "indicators": ["CLA-K01", "CLA-K03", "CLA-K04", "RQS-K01", "RQS-K06"], "inputs": [{"refs": [], "text": "Eixos E/D/I e limiares L1–L3 (modelo de classificação)"}, {"refs": ["CLA-008"], "text": "Inventário central de aplicações"}, {"refs": [], "text": "Matriz de controlos por nível de risco"}, {"refs": [], "text": "Catálogos com colunas L1/L2/L3 (caps. 02–14) + baseline (Fundamentos)"}], "invariant": "Um perfil de segurança registado seleciona requisitos, gates, profundidade de revisão, evidência e formação.", "label": "MP1", "mp_id": "MP-01", "name_en": "CLASSIFY → SELECT", "name_pt": "Classificar → Selecionar", "outputs": [{"consumed_by": [{"kind": "dependency", "mp": "MP-02", "refs": ["THR-001"], "via": "threat modeling formal aplica-se a L2+"}, {"kind": "dependency", "mp": "MP-03", "refs": [], "via": "gates e profundidade de verificação por nível"}, {"kind": "dependency", "mp": "MP-04", "refs": ["GOV-003"], "via": "alçadas de aprovação por nível"}, {"kind": "dependency", "mp": "MP-05", "refs": ["F-02"], "via": "inventário classificado é o denominador F-02 de todos os KPIs"}], "text": "Perfil de segurança registado (classificação aprovada + inventário + seleção de requisitos)"}], "owner_role": "appsec-engineer", "participant_roles": ["developer", "scrum-master", "arquitetos-software", "product-owner", "gestao-executiva", "grc-compliance", "qa"], "path_edges": [{"from": "01-classificacao-aplicacoes", "kind": "fluxo", "to": ["02-requisitos-seguranca"], "via_refs": ["CLA-001", "CLA-002"]}, {"from": "02-requisitos-seguranca", "kind": "fluxo", "note": "backlog SEC-Lx-* propaga aplicabilidade aos capítulos técnicos", "to": ["05-dependencias-sbom-sca", "06-desenvolvimento-seguro", "07-cicd-seguro", "08-iac-infraestrutura", "09-containers-imagens", "10-testes-seguranca", "11-deploy-seguro", "12-monitorizacao-operacoes", "13-formacao-onboarding"], "via_refs": ["REQ-003", "US-04@02", "US-12@02"]}, {"from": "00-fundamentos", "kind": "piso", "note": "independente do nível; a seleção acrescenta, nunca subtrai", "to": "todas as aplicações", "via_refs": ["baseline (oito obrigações mínimas)"]}, {"from": "01-classificacao-aplicacoes", "kind": "ramo", "note": "ramo de aquisição — fornecedores e terceiros", "to": ["14-governanca-contratacao"], "via_refs": ["GOV-006", "GOV-007"]}], "profiles": ["consult", "guide"], "proportionality_l1_l3": {"L1": "piso das oito obrigações + matriz de nível baixo; aprovação pelo responsável técnico; revisão anual", "L2": "classificação validada por AppSec (CLA-K04); revisão por alteração obrigatória", "L3": "aprovação Gestão Executiva/CISO; revisão trimestral"}, "provenance": {"anchor": "#mp1-classificar-selecionar", "manual_pin": "v1.8.0 f78dfe734a83b01fa9283c2df5a3eb0ba9528001", "source": "SbD-ToE-Manual: 010-sbd-manual/00-fundamentos/macro-processos.md"}, "question": "O que se aplica aqui?", "record_type": "macro_process", "scope_subjects": [{"refs": ["CLA-001", "CLA-008"], "subject": "application"}, {"refs": ["GOV-007"], "subject": "supplier"}, {"refs": ["A0–A4 por agente e contexto"], "subject": "ai_agent"}], "traverses_bundles": ["00-fundamentos", "01-classificacao-aplicacoes", "02-requisitos-seguranca", "05-dependencias-sbom-sca", "06-desenvolvimento-seguro", "07-cicd-seguro", "08-iac-infraestrutura", "09-containers-imagens", "10-testes-seguranca", "11-deploy-seguro", "12-monitorizacao-operacoes", "13-formacao-onboarding", "14-governanca-contratacao"], "triggers": [{"refs": ["US-01@01"], "text": "Aplicação nova ou início de projeto"}, {"refs": ["CLA-006", "CLA-004"], "text": "Alteração significativa, reavaliação ≤ 30 dias"}, {"refs": ["CLA-005"], "text": "Ciclo periódico por nível (L1 anual, L2 semestral, L3 trimestral)"}, {"refs": ["REQ-005", "US-02@02"], "text": "Alteração relevante de requisitos; pode disparar novo threat modeling"}, {"refs": [], "text": "Introdução/modificação de automação ou apoio à decisão (incl. IA); regra de reforço da matriz"}]}
 {"activities": [{"order": 1, "refs": ["THR-002", "THR-003", "US-01@03"], "text": "Modelar ameaças (STRIDE baseline; LINDDUN dados pessoais; PASTA alto risco) sobre DFDs"}, {"order": 2, "refs": ["THR-004", "THR-005", "US-09@03"], "text": "Dispor cada ameaça com owner e aprovar o modelo"}, {"order": 3, "refs": ["ARC-005", "US-04@04"], "text": "Sincronizar com a arquitetura (ADR; rastreabilidade decisão↔ameaça↔controlo↔requisito)"}, {"order": 4, "refs": ["THR-007", "US-03@04"], "text": "Rever independentemente antes do go-live (L2+)"}, {"order": 5, "refs": ["US-05@02", "TST-001", "TST-007"], "text": "Definir critérios de validação e estratégia/cobertura de testes"}, {"order": 6, "refs": ["DEV-003", "TST-002", "TST-005"], "text": "Verificar com o oráculo adequado (SAST gate; DAST staging; regressão)"}, {"order": 7, "refs": ["US-09@02", "REQ-006"], "text": "Fechar sobre o requisito (REQ-XXX → evidência; matriz)"}, {"order": 8, "refs": ["US-07@10", "US-12@04", "ARC-012"], "text": "Decidir o release com aceitação explícita de risco residual; gate arquitetural"}, {"order": 9, "refs": ["processo canónico de exceções (cap. 14)"], "text": "Excecionar desvios arquiteturais em ADR com aceitação de risco"}], "ai_agentic_extension": {"refs": ["THR-008", "US-11@03", "US-12@03", "ARC-014"], "text": "Threat model estendido a componentes AI/ML e agentes com tool-use; padrões arquitetónicos dedicados"}, "continuity": "Intenção", "control_points": [{"refs": ["US-09@03"], "text": "Aprovação formal do threat model"}, {"refs": ["US-05@03"], "text": "Gate de consistência no CI/CD (alerta L2, bloqueante L3)"}, {"refs": ["THR-007"], "text": "Revisão independente antes do go-live (L2+)"}, {"refs": ["US-12@04", "ARC-012"], "text": "Gate arquitetural antes do go-live (checklist assinada em L3)"}, {"refs": ["US-07@10"], "text": "Critérios de release (L2 bloqueia High/Critical; L3 nenhum crítico sem exceção)"}], "expected_evidence": [{"refs": ["US-09@03"], "text": "Threat model versionado com aprovação"}, {"refs": ["US-04@04", "US-09@04"], "text": "ADR e ficha de solução alinhadas"}, {"refs": ["REQ-006", "THR-005"], "text": "Matriz requisito↔ameaça↔teste"}, {"refs": ["US-09@02"], "text": "Resultado e evidência por REQ-XXX"}, {"refs": ["TST-004", "US-12@04"], "text": "Relatórios de teste ligados ao build; checklist de arquitetura"}], "indicators": ["THR-K02", "THR-K05", "ARC-K02", "RQS-K03", "RQS-K05", "TST-K04"], "inputs": [{"refs": ["REQ-003"], "text": "Requisitos selecionados com SEC-Lx-* (MP1)"}, {"refs": ["THR-002", "ARC-001"], "text": "DFDs com trust boundaries; zonas de confiança"}, {"refs": [], "text": "Catálogo de ameaças mitigadas (MT-NNN)"}, {"refs": ["US-13@04", "TST-001"], "text": "Catálogo de padrões de arquitetura + estratégia de testes"}], "invariant": "Ameaças, decisões de arquitetura e testes fecham sobre o mesmo resultado declarado.", "label": "MP2", "mp_id": "MP-02", "name_en": "DESIGN → ASSURE", "name_pt": "Desenhar → Assegurar", "notes": ["ARC-015 (agente como principal) pertence à continuidade de autoridade — tratado em MP4 (declaração da própria fonte)"], "outputs": [{"consumed_by": [{"kind": "dependency", "mp": "MP-03", "refs": [], "via": "gates de promoção"}, {"kind": "feedback", "mp": "MP-04", "refs": ["CLA-007"], "via": "risco aceite entra na cadeia de autoridade (não é Entrada declarada de MP4; entra pelo circuito de exceção/aceitação)"}], "text": "Threat model aprovado e versionado com decisões"}, {"consumed_by": [{"kind": "dependency", "mp": "MP-03", "refs": ["TST-004"], "via": "promoção só com evidência"}, {"kind": "dependency", "mp": "MP-05", "refs": ["RQS-K03", "THR-K02"], "via": "indicadores"}], "text": "Evidência de verificação ligada ao build"}, {"consumed_by": [{"kind": "dependency", "mp": "MP-05", "refs": ["REQ-006"], "via": "medição e auditoria"}], "text": "Matriz requisito → ameaça → teste"}], "owner_role": "appsec-engineer", "participant_roles": ["arquitetos-software", "developer", "qa", "product-owner", "scrum-master", "gestao-executiva", "devops-sre"], "path_edges": [{"from": "02-requisitos-seguranca", "kind": "fluxo", "to": ["03-threat-modeling"], "via_refs": ["REQ-003", "REQ-005"]}, {"from": "03-threat-modeling", "kind": "fluxo", "to": ["04-arquitetura-segura"], "via_refs": ["THR-004", "THR-005", "THR-002"]}, {"from": "04-arquitetura-segura", "kind": "fluxo", "to": ["10-testes-seguranca"], "via_refs": ["ARC-005", "US-02@04", "TST-001"]}, {"from": "10-testes-seguranca", "kind": "fecho", "to": ["02-requisitos-seguranca"], "via_refs": ["TST-004", "REQ-006", "US-09@02"]}], "profiles": ["consult", "guide"], "proportionality_l1_l3": {"L1": "zonas de confiança (ARC-001), SAST como gate (DEV-003), validação funcional (REQ-001)", "L2": "threat modeling formal + rastreabilidade requisito→ameaça→teste", "L3": "revisão formal reforçada; ARC-012; critérios de release estritos"}, "provenance": {"anchor": "#mp2-desenhar-assegurar", "manual_pin": "v1.8.0 f78dfe734a83b01fa9283c2df5a3eb0ba9528001", "source": "SbD-ToE-Manual: 010-sbd-manual/00-fundamentos/macro-processos.md"}, "question": "O que foi desenhado e implementado satisfaz a intenção de segurança?", "record_type": "macro_process", "scope_subjects": [{"refs": ["L2+ (THR-*, maioria dos TST-*)"], "subject": "application"}, {"refs": ["THR-006", "US-06@04", "US-11@04"], "subject": "significant_architectural_change"}, {"refs": ["THR-008", "ARC-014"], "subject": "ai_ml_component"}], "traverses_bundles": ["02-requisitos-seguranca", "03-threat-modeling", "04-arquitetura-segura", "10-testes-seguranca"], "triggers": [{"refs": ["THR-001", "THR-007"], "text": "Nova aplicação L2+ antes do go-live"}, {"refs": ["THR-006", "US-03@03", "US-11@04"], "text": "Alteração arquitetural significativa (threat model ≤ 30 dias)"}, {"refs": ["REQ-005"], "text": "Alteração relevante de requisito"}, {"refs": ["TST-006"], "text": "Vulnerabilidade corrigida → teste de regressão"}, {"refs": ["US-05@03"], "text": "Pipeline com alteração relevante sem threat model atualizado (gate de consistência)"}]}
 {"activities": [{"order": 1, "refs": ["DEP-001", "DEP-002", "DEP-003", "DEP-004"], "text": "Inventariar e verificar dependências por build (SBOM, SCA, versões fixas)"}, {"order": 2, "refs": ["DEV-002", "DEV-003", "CIC-003", "IAC-011"], "text": "Construir com gates de integração (linters, SAST, secrets scanning)"}, {"order": 3, "refs": ["CIC-001", "CIC-002", "CIC-006"], "text": "Executar o pipeline como código, triggers restritos, runners isolados"}, {"order": 4, "refs": ["CIC-007", "CNT-007", "CNT-008"], "text": "Assinar e registar proveniência de artefacto e imagem"}, {"order": 5, "refs": ["IAC-003", "IAC-007", "CNT-009"], "text": "Policy-as-code e admission control"}, {"order": 6, "refs": ["DPL-002", "DPL-003", "DPL-001", "US-15@07", "US-16@11"], "text": "Promover só com proveniência verificada, gates passados e aprovação humana"}, {"order": 7, "refs": ["DPL-004", "US-17@11", "DPL-007"], "text": "Registar o deploy com rastreabilidade end-to-end; validar em staging"}, {"order": 8, "refs": ["OPS-001", "OPS-002", "OPS-004", "OPS-005", "OPS-015"], "text": "Observar em runtime (logging estruturado, eventos, alertas, drift)"}, {"order": 9, "refs": ["DEP-010", "DPL-005", "US-15@11"], "text": "Fechar o laço de vulnerabilidade e incidente (SBOM→CVE→correção; rollback testado)"}], "ai_agentic_extension": {"refs": ["DEP-011", "DEP-012", "US-14@05", "US-19@07", "DPL-010", "DPL-011", "OPS-011", "OPS-012", "OPS-013", "OPS-014"], "text": "Identidade do que executa inclui modelo/versão, prompts/skill files, tools/MCP e mandate; AI BOM; pesos como ativo crítico; eval suite como gate; telemetria dedicada. O mandate é matéria de MP4; MP3 garante que o que corre é o que o mandate referencia"}, "continuity": "Proveniência / execução", "control_points": [{"refs": ["DEP-002", "CIC-004"], "text": "Gate SCA com bloqueio + gates de pipeline bloqueantes"}, {"refs": ["CIC-007", "CNT-007", "DPL-002"], "text": "Verificação de assinatura/proveniência antes de promoção"}, {"refs": ["CNT-009", "IAC-007"], "text": "Admission control + plan aprovado antes de apply"}, {"refs": ["DPL-001", "CIC-004", "CIC-K02"], "text": "Aprovação humana para ações irreversíveis; bypass só com aprovação registada"}, {"refs": ["DPL-008", "OPS-004"], "text": "Janela de observação pós-deploy; falha de ingestão de logs é sinal"}], "expected_evidence": [{"refs": ["DEP-001", "DEP-002", "DEP-010"], "text": "SBOM ligado ao build; relatório SCA; SBOM→CVE→ação"}, {"refs": ["CIC-005", "CIC-007"], "text": "Execução de pipeline identificável; artefacto com commit SHA e run ID"}, {"refs": ["CNT-007", "CNT-008", "CNT-009"], "text": "SBOM e assinatura por imagem; logs de admissão"}, {"refs": ["DPL-004"], "text": "Registo de deploy completo"}, {"refs": ["OPS-001", "OPS-003"], "text": "Logs estruturados persistidos e retidos"}], "indicators": ["DEP-K01", "CIC-K03", "CNT-K03", "DPL-K06", "DEP-K02", "IAC-K02"], "inputs": [{"refs": ["DEV-004", "DEV-001"], "text": "Código revisto + guidelines por stack"}, {"refs": ["DEP-005", "DEP-006", "CNT-001", "IAC-005"], "text": "Dependências e imagens de origem aprovada; IaC versionado"}, {"refs": [], "text": "Gates por nível (MP1); threat model e evidência (MP2); aprovação de deploy (MP4)"}], "invariant": "A evidência de dependências, pipeline, artefacto, deployment e runtime descreve a mesma versão lançada.", "label": "MP3", "mp_id": "MP-03", "name_en": "BUILD → RUN", "name_pt": "Construir → Executar", "outputs": [{"consumed_by": [{"kind": "dependency", "mp": "MP-05", "refs": ["DPL-K06"], "via": "indicador de evidência de deploy"}], "text": "Release rastreável (pipeline ID, hash, commit, aprovador, gates)"}, {"consumed_by": [{"kind": "dependency", "mp": "MP-05", "refs": ["OPS-010"], "via": "MTTD/MTTR"}, {"kind": "feedback", "mp": "MP-02", "refs": ["TST-006"], "via": "vulnerabilidade corrigida origina teste de regressão (gatilho de MP2)"}], "text": "Telemetria de runtime"}, {"consumed_by": [{"kind": "feedback", "mp": "MP-04", "refs": ["páginas de exceções caps. 05–12"], "via": "quando exigem exceção (gatilho de MP4)"}], "text": "Findings e desvios"}], "owner_role": "devops-sre", "participant_roles": ["developer", "appsec-engineer", "operacoes", "product-owner", "grc-compliance", "gestao-executiva"], "path_edges": [{"from": "05-dependencias-sbom-sca", "kind": "fluxo", "to": ["07-cicd-seguro"], "via_refs": ["DEP-001", "DEP-002"]}, {"from": "06-desenvolvimento-seguro", "kind": "fluxo", "to": ["07-cicd-seguro"], "via_refs": ["DEV-006", "DEV-003"]}, {"from": "07-cicd-seguro", "kind": "fluxo", "to": ["09-containers-imagens"], "via_refs": ["CIC-007", "CIC-005"]}, {"from": "09-containers-imagens", "kind": "fluxo", "to": ["11-deploy-seguro"], "via_refs": ["CNT-009", "DPL-002"]}, {"from": "08-iac-infraestrutura", "kind": "ramo", "to": ["11-deploy-seguro"], "via_refs": ["IAC-007", "IAC-004"]}, {"from": "11-deploy-seguro", "kind": "fluxo", "to": ["12-monitorizacao-operacoes"], "via_refs": ["DPL-004"]}, {"from": "12-monitorizacao-operacoes", "kind": "laço", "to": ["05-dependencias-sbom-sca"], "via_refs": ["DEP-010", "DEP-007", "DPL-005"]}], "profiles": ["consult", "guide"], "proportionality_l1_l3": {"L1": "SBOM, SCA com bloqueio, versões fixas, gates, aprovação formal de deploy, rollback testado, logging estruturado", "L2": "assinatura e proveniência", "L3": "reforços das colunas L3 dos catálogos"}, "provenance": {"anchor": "#mp3-construir-executar", "manual_pin": "v1.8.0 f78dfe734a83b01fa9283c2df5a3eb0ba9528001", "source": "SbD-ToE-Manual: 010-sbd-manual/00-fundamentos/macro-processos.md"}, "question": "O que está a correr e de onde veio?", "record_type": "macro_process", "scope_subjects": [{"refs": ["build → artefacto → imagem → deploy → runtime"], "subject": "released_version"}, {"refs": ["CIC-001"], "subject": "pipeline_as_code"}, {"refs": ["cap. 08"], "subject": "declared_infrastructure"}, {"refs": ["em operação"], "subject": "ai_agent"}], "traverses_bundles": ["05-dependencias-sbom-sca", "06-desenvolvimento-seguro", "07-cicd-seguro", "08-iac-infraestrutura", "09-containers-imagens", "11-deploy-seguro", "12-monitorizacao-operacoes"], "triggers": [{"refs": ["DEP-001", "DEV-003", "CIC-004", "DPL-003"], "text": "Cada build, cada PR, cada promoção"}, {"refs": ["DEP-007", "TST-003", "CNT-010"], "text": "CVE nova (SLA por severidade); atualização de imagem base"}, {"refs": ["IAC-012", "US-14@11"], "text": "Drift IaC/real ou drift operacional pós-deploy"}, {"refs": ["DPL-004", "US-09@07"], "text": "Incidente em produção (reconstituir até ao commit)"}, {"refs": ["DPL-010", "DPL-011"], "text": "Mudança de modelo, skill files ou system prompts (agentes)"}]}

package/data/publish/semantic/mp_edges.jsonl

@@ -1,4 +1,4 @@
-{"adoption_order_levels": [["MP-01"], ["MP-02", "MP-04"], ["MP-03"], ["MP-05"]], "adoption_order_rule": "ordem topológica do subconjunto dependency (feedback excluído por definição): MP-01 → {MP-02 ∥ MP-04} → MP-03 → MP-05; MP-02 e MP-04 são incomparáveis na fonte (declarado, não inferido).", "counts": {"consumption_records": 23, "dependency_pairs": 9, "feedback_pairs": 9, "inter_mp_typed_pairs": 18, "macro_processes": 5, "path_edges": 22}, "curation": {"adenda": "três segmentações + lacuna de fases (2026-09-06)", "curator": "archon-2026-09-06", "ratified_by": "programme-lead", "ratified_on": "2026-09-06", "source": "agentic/briefs/2026-09-06-archon-proposta-macro-processos.md"}, "edge_typing_rule": "consumo que aparece nas «Entradas» do MP consumidor ⇒ dependency; consumo que aparece nos «Gatilhos» do consumidor ou nas realimentações declaradas (fecho, laço, realimentar, «nos seus gatilhos») ⇒ feedback. Cada aresta vive em outputs[].consumed_by com o artefacto (via) e refs.", "erratum_vs_gate_map": "o mapa ratificado dizia 17 pares; na emissão a aplicação da regra ratificada à fonte encontrou a 18.ª — MP2→MP4 («threat model … consumido por MP4: risco aceite entra na cadeia de autoridade», CLA-007), tipada feedback porque não figura nas Entradas de MP4; declarada aqui, nunca silenciada.", "layer": "mp_edges", "model_note": "MacroProcess, KnowledgeBundle (capítulo) e SDLCPhase são TRÊS SEGMENTAÇÕES do mesmo substrato — agregações/percursos diferentes de olhar para o processo de desenvolvimento segundo SbD — e não níveis de uma hierarquia nem partições umas das outras; nenhuma relação entre as três se tipa como contenção. `MP → capítulos` é «percurso publicado», e é só isso. Os rótulos MP1–MP5 são ontology-owned (MP-0N); não são IDs de requisito.", "pins": {"manual_commit": "ea6b396b9caa", "sbdtoe_ontology_tag": "sbdtoe-ontology-v2.5"}, "profiles": ["consult", "guide"], "record_type": "layer_manifest", "ref_conventions": "refs com padrão [A-Z]{3}-\\d{3} / REQ-AGN-\\d{3} são Requirement ids validados; [A-Z]{3}-K\\d{2} são metric_id validados; US-nn@cc refere a user story nn do capítulo cc (validação na materialização, Codex); F-0n e T-0n são a estrutura de medição transversal do cap. 14 — refs textuais declaradas não-modeladas (lacuna para o ciclo de assurance); restantes refs são âncoras editoriais textuais.", "schema_version": "1.0", "sdlc_phase_traversal": {"absence": {"absence_id": "ABS-001", "absence_type": "out_of_scope", "decided_by": "programme-lead", "decided_on": "2026-09-07", "evidence": "«não há esse walkthrough possível. Um MP pode passar várias fases e as fases podem cruzar vários MPs» — relação N:M e parcial nos dois sentidos; o Manual publica percursos ao grão capítulo («fase» ocorre 1× no capítulo, na frase que nega a equivalência)", "note": "a derivação a partir de capítulos/assignments continua PROIBIDA (mantém macro_processes.sdlc_phase_traversal, cujo rótulo local unpublished_gap fica superseded por esta tipagem)", "statement": "Travessia MacroProcess ↔ SDLCPhase"}, "absence_source": "declared_absences (índice central prevalece; v2.6)", "decided_by": "programme-lead 2026-09-06 (adenda à ratificação)", "reason": "a travessia MP↔fase existe mas é PARCIAL e NÃO PUBLICADA: um MP atravessa várias fases e não necessariamente na íntegra; uma fase pode conter partes de vários MP. O Manual publica por MP o percurso de CAPÍTULOS, nunca um percurso de fases («fase» ocorre uma única vez no capítulo, na frase que nega a equivalência). Lacuna declarada — NÃO derivar a travessia a partir de capítulos/assignments.", "status": "unpublished_gap"}, "typed_pairs": [{"from_mp": "MP-01", "kind": "dependency", "to_mp": "MP-02"}, {"from_mp": "MP-01", "kind": "dependency", "to_mp": "MP-03"}, {"from_mp": "MP-01", "kind": "dependency", "to_mp": "MP-04"}, {"from_mp": "MP-01", "kind": "dependency", "to_mp": "MP-05"}, {"from_mp": "MP-02", "kind": "dependency", "to_mp": "MP-03"}, {"from_mp": "MP-02", "kind": "feedback", "to_mp": "MP-04"}, {"from_mp": "MP-02", "kind": "dependency", "to_mp": "MP-05"}, {"from_mp": "MP-03", "kind": "feedback", "to_mp": "MP-02"}, {"from_mp": "MP-03", "kind": "feedback", "to_mp": "MP-04"}, {"from_mp": "MP-03", "kind": "dependency", "to_mp": "MP-05"}, {"from_mp": "MP-04", "kind": "feedback", "to_mp": "MP-01"}, {"from_mp": "MP-04", "kind": "feedback", "to_mp": "MP-02"}, {"from_mp": "MP-04", "kind": "dependency", "to_mp": "MP-03"}, {"from_mp": "MP-04", "kind": "dependency", "to_mp": "MP-05"}, {"from_mp": "MP-05", "kind": "feedback", "to_mp": "MP-01"}, {"from_mp": "MP-05", "kind": "feedback", "to_mp": "MP-02"}, {"from_mp": "MP-05", "kind": "feedback", "to_mp": "MP-03"}, {"from_mp": "MP-05", "kind": "feedback", "to_mp": "MP-04"}]}
+{"adoption_order_levels": [["MP-01"], ["MP-02", "MP-04"], ["MP-03"], ["MP-05"]], "adoption_order_rule": "ordem topológica do subconjunto dependency (feedback excluído por definição): MP-01 → {MP-02 ∥ MP-04} → MP-03 → MP-05; MP-02 e MP-04 são incomparáveis na fonte (declarado, não inferido).", "counts": {"consumption_records": 23, "dependency_pairs": 9, "feedback_pairs": 9, "inter_mp_typed_pairs": 18, "macro_processes": 5, "path_edges": 22}, "curation": {"adenda": "três segmentações + lacuna de fases (2026-09-06)", "curator": "archon-2026-09-06", "ratified_by": "programme-lead", "ratified_on": "2026-09-06", "source": "agentic/briefs/2026-09-06-archon-proposta-macro-processos.md"}, "edge_typing_rule": "consumo que aparece nas «Entradas» do MP consumidor ⇒ dependency; consumo que aparece nos «Gatilhos» do consumidor ou nas realimentações declaradas (fecho, laço, realimentar, «nos seus gatilhos») ⇒ feedback. Cada aresta vive em outputs[].consumed_by com o artefacto (via) e refs.", "erratum_vs_gate_map": "o mapa ratificado dizia 17 pares; na emissão a aplicação da regra ratificada à fonte encontrou a 18.ª — MP2→MP4 («threat model … consumido por MP4: risco aceite entra na cadeia de autoridade», CLA-007), tipada feedback porque não figura nas Entradas de MP4; declarada aqui, nunca silenciada.", "layer": "mp_edges", "model_note": "MacroProcess, KnowledgeBundle (capítulo) e SDLCPhase são TRÊS SEGMENTAÇÕES do mesmo substrato — agregações/percursos diferentes de olhar para o processo de desenvolvimento segundo SbD — e não níveis de uma hierarquia nem partições umas das outras; nenhuma relação entre as três se tipa como contenção. `MP → capítulos` é «percurso publicado», e é só isso. Os rótulos MP1–MP5 são ontology-owned (MP-0N); não são IDs de requisito.", "pins": {"manual_commit": "ea6b396b9caa", "sbdtoe_ontology_tag": "sbdtoe-ontology-v2.5"}, "profiles": ["consult", "guide"], "record_type": "layer_manifest", "ref_conventions": "refs com padrão [A-Z]{3}-\\d{3} / REQ-AGN-\\d{3} são Requirement ids validados; [A-Z]{3}-K\\d{2} são metric_id validados; US-nn@cc refere a user story nn do capítulo cc (validação na materialização, Codex); F-0n e T-0n são a estrutura de medição transversal do cap. 14 — refs textuais declaradas não-modeladas (lacuna para o ciclo de assurance); restantes refs são âncoras editoriais textuais.", "schema_version": "1.0", "sdlc_phase_traversal": {"absence": {"absence_id": "ABS-001", "absence_type": "out_of_scope", "decided_by": "programme-lead", "decided_on": "2026-09-07", "evidence": "«não há esse walkthrough possível. Um MP pode passar várias fases e as fases podem cruzar vários MPs» — relação N:M e parcial nos dois sentidos; o Manual publica percursos ao grão capítulo («fase» ocorre 1× no capítulo, na frase que nega a equivalência)", "note": "a derivação a partir de capítulos/assignments continua PROIBIDA (mantém macro_processes.sdlc_phase_traversal, cujo rótulo local unpublished_gap fica superseded por esta tipagem)", "statement": "Travessia MacroProcess ↔ SDLCPhase"}, "absence_source": "declared_absences (índice central prevalece; v2.6)", "decided_by": "programme-lead 2026-09-06 (adenda à ratificação)", "reason": "a travessia MP↔fase existe mas é PARCIAL e NÃO PUBLICADA: um MP atravessa várias fases e não necessariamente na íntegra; uma fase pode conter partes de vários MP. O Manual publica por MP o percurso de CAPÍTULOS, nunca um percurso de fases («fase» ocorre uma única vez no capítulo, na frase que nega a equivalência). Lacuna declarada — NÃO derivar a travessia a partir de capítulos/assignments.", "status": "unpublished_gap"}, "traversal_assertions": {"mp_consumes_from": {"does_not_assert": "ordem linear única; equivalência dependency↔feedback", "source": "outputs[].consumed_by verbatim + regra Entradas/Gatilhos", "verb": "consome"}, "mp_traverses_bundle": {"does_not_assert": "contenção; ordem entre capítulos fora do percurso", "source": "percursos publicados (macro-processos.md)", "verb": "atravessa"}}, "typed_pairs": [{"from_mp": "MP-01", "kind": "dependency", "to_mp": "MP-02"}, {"from_mp": "MP-01", "kind": "dependency", "to_mp": "MP-03"}, {"from_mp": "MP-01", "kind": "dependency", "to_mp": "MP-04"}, {"from_mp": "MP-01", "kind": "dependency", "to_mp": "MP-05"}, {"from_mp": "MP-02", "kind": "dependency", "to_mp": "MP-03"}, {"from_mp": "MP-02", "kind": "feedback", "to_mp": "MP-04"}, {"from_mp": "MP-02", "kind": "dependency", "to_mp": "MP-05"}, {"from_mp": "MP-03", "kind": "feedback", "to_mp": "MP-02"}, {"from_mp": "MP-03", "kind": "feedback", "to_mp": "MP-04"}, {"from_mp": "MP-03", "kind": "dependency", "to_mp": "MP-05"}, {"from_mp": "MP-04", "kind": "feedback", "to_mp": "MP-01"}, {"from_mp": "MP-04", "kind": "feedback", "to_mp": "MP-02"}, {"from_mp": "MP-04", "kind": "dependency", "to_mp": "MP-03"}, {"from_mp": "MP-04", "kind": "dependency", "to_mp": "MP-05"}, {"from_mp": "MP-05", "kind": "feedback", "to_mp": "MP-01"}, {"from_mp": "MP-05", "kind": "feedback", "to_mp": "MP-02"}, {"from_mp": "MP-05", "kind": "feedback", "to_mp": "MP-03"}, {"from_mp": "MP-05", "kind": "feedback", "to_mp": "MP-04"}]}
 {"from_mp": "MP-01", "kind": "dependency", "output_text": "Perfil de segurança registado (classificação aprovada + inventário + seleção de requisitos)", "profiles": ["consult", "guide"], "record_type": "inter_mp_consumption", "refs": ["THR-001"], "to_mp": "MP-02", "via": "threat modeling formal aplica-se a L2+"}
 {"from_mp": "MP-01", "kind": "dependency", "output_text": "Perfil de segurança registado (classificação aprovada + inventário + seleção de requisitos)", "profiles": ["consult", "guide"], "record_type": "inter_mp_consumption", "refs": [], "to_mp": "MP-03", "via": "gates e profundidade de verificação por nível"}
 {"from_mp": "MP-01", "kind": "dependency", "output_text": "Perfil de segurança registado (classificação aprovada + inventário + seleção de requisitos)", "profiles": ["consult", "guide"], "record_type": "inter_mp_consumption", "refs": ["GOV-003"], "to_mp": "MP-04", "via": "alçadas de aprovação por nível"}

package/data/reports/run_manifest.json

@@ -2,13 +2,13 @@
   "branch": "HEAD",
   "commit_sha": "ea6b396b9caa77beddf1096b56250fe073796e8f",
   "corpus_root": "manuals_src/docs/sbd-toe",
-  "generated_at": "2026-09-07T13:36:41Z",
+  "generated_at": "2026-09-08T11:33:16Z",
   "llm_backend": "mock",
   "llm_model": "mock-heuristic",
   "manual": {
     "branch": "HEAD",
     "commit": "ea6b396b9caa77beddf1096b56250fe073796e8f",
-    "generated_at": "2026-09-07T13:36:41Z",
+    "generated_at": "2026-09-08T11:33:16Z",
     "provenance": "derived-from-git",
     "repo": "SbD-ToE/sbd-toe-manual",
     "repo_url": "git@github.com:SbD-ToE/sbd-toe-manual.git",
@@ -17,13 +17,13 @@
   },
   "project_root": ".",
   "repo_url": "git@github.com:SbD-ToE/sbd-toe-manual.git",
-  "run_id": "20260907T133641Z",
+  "run_id": "20260908T113316Z",
   "source_repo_dir": "data/source/SbD-ToE-Manual",
   "sync_mode": "reuse",
   "tool_version": "0.1.0",
   "version": "0.1.0",
   "release": {
     "channel": "dev-build",
-    "version": "kg-v1-manual-v1.8.1-aligned-2026-09-07"
+    "version": "kg-v1-manual-v1.8.1-aligned-2026-09-08-v2.7"
   }
 }

package/dist/index.js

@@ -39,6 +39,8 @@ const CONCERNS_VOCABULARY_NOTE = `Conjunto FECHADO de ${DECLARED_CONCERNS.length
 import { buildCodegenInstructionsResourceContent, handlePrepareCodegenContext } from "./tools/prepare-codegen-context.js";
 import { buildChapterApplicabilityJson, buildGroundedCodegenPrompt, buildSetupAgentPrompt, readGroundedCodegenGuide } from "./resources/sbd-toe-resources.js";
 import { RESOURCE_CATALOG, PROMPT_CATALOG } from "./serving/server-surface.js";
+import { loadMetrics } from "./tools/assess-implementation.js";
+import { getOntologyData } from "./tools/ontology-loader.js";
 import { buildAgentGuide } from "./serving/agent-guide.js";
 import { buildModelResource, buildQuickStart } from "./serving/model-resource.js";
 import { THREAT_ORDERING, SELECT_PAGINATION } from "./serving/behaviour-notes.js";
@@ -200,6 +202,33 @@ class ResourceReadError extends Error {
 function validResourceUris() {
     return RESOURCE_CATALOG.map((r) => r.uri).join(", ");
 }
+/**
+ * 0.20.0-beta.42 — EXEMPLOS DERIVADOS para os parâmetros de vocabulário aberto.
+ *
+ * Três superfícies não eram exercitáveis por argumentos derivados do schema — `kpi_values`,
+ * `query` e `uri` — porque o schema descrevia a FORMA e não dava um valor. É a mesma lacuna
+ * do erro que não nomeava o vocabulário: quem consome não tem como saber o que é válido.
+ * Os exemplos derivam do bundle servido e do próprio catálogo de recursos; se a derivação
+ * falhar, o campo simplesmente não sai — nunca se inventa um exemplo.
+ */
+function derivedExamples() {
+    const safe = (f, fallback) => {
+        try {
+            return f();
+        }
+        catch {
+            return fallback;
+        }
+    };
+    const metricId = safe(() => loadMetrics()[0]?.metric_id, undefined);
+    const requirementId = safe(() => getOntologyData().requirements[0]?.requirement_id, undefined);
+    const staticResource = RESOURCE_CATALOG.find((r) => !r.uri.includes("{"))?.uri;
+    return {
+        kpiValues: metricId ? [{ [metricId]: 85 }] : [],
+        entityQuery: requirementId ? [requirementId] : [],
+        resourceUri: staticResource ? [staticResource] : []
+    };
+}
 class McpRuntime {
     nextRequestId = 10_000;
     pending = new Map();
@@ -649,7 +678,7 @@ class McpRuntime {
                     inputSchema: {
                         type: "object",
                         properties: {
-                            query: { type: "string", minLength: 1, maxLength: 200, description: "Free text, or an exact entity id (resolved directly: match=exact_id)." },
+                            query: { type: "string", minLength: 1, maxLength: 200, description: "Free text, or an exact entity id (resolved directly: match=exact_id).", examples: derivedExamples().entityQuery },
                             entityType: { type: "string", description: "Filter chunks by the entity type they mention: Requirement | UserStory | Metric | Threat (aliases accepted, e.g. requirements, us, kpi). Structured records (controls, control objectives, mechanisms, artifacts) are queried with resolve_entities instead." },
                             chapterId: { type: "string", description: "Filter by chapter bundle id (e.g. 06-desenvolvimento-seguro) or its numeric prefix." },
                             riskLevel: { type: "string", enum: ["L1", "L2", "L3"], description: "Filter by the chunk's published risk facet; chunks without a facet are not returned (declared in the `filters` field of the result)." },
@@ -873,6 +902,7 @@ class McpRuntime {
                             kpi_values: {
                                 type: "object",
                                 description: "Map of metric_id → numeric value (e.g. {\"ARC-K01\": 85}). Non-numeric values ignored.",
+                                examples: derivedExamples().kpiValues,
                                 additionalProperties: { type: "number" }
                             },
                             risk_level: { type: "string", enum: ["L1", "L2", "L3"], description: "Target/'compliant' band." },
@@ -1055,7 +1085,7 @@ class McpRuntime {
                     inputSchema: {
                         type: "object",
                         properties: {
-                            uri: { type: "string", minLength: 1, description: "Resource URI (see the valid list in the tool description; templated URIs take the concrete value in place of {…})." },
+                            uri: { type: "string", minLength: 1, description: "Resource URI (see the valid list in the tool description; templated URIs take the concrete value in place of {…}).", examples: derivedExamples().resourceUri },
                             slot: { type: "string", description: "0.15.0: para recursos JSON com slots (codegen-instructions): devolve só o slot pedido; slot desconhecido ⇒ erro com a lista de slots." },
                             char_offset: { type: "number", description: "0.15.0: paginação por caracteres sobre o texto do recurso (coverage + size_estimate sempre)." },
                             char_limit: { type: "number", description: "Máx. caracteres por página (default: texto completo)." }