@takagaki/cortex-decisions-viewer 0.12.72 → 0.12.73

package/dist/build.js

@@ -56,6 +56,7 @@ const gray_matter_1 = __importDefault(require("gray-matter"));
 const marked_1 = require("marked");
 const sanitize_html_1 = __importDefault(require("sanitize-html"));
 const repo_1 = require("./repo");
+const rederivation_1 = require("./rederivation");
 // 直近のGold昇格で追加されたレコードのパス集合。レコード生成の各所から参照するのでモジュールスコープに置く
 // （引数で引き回すと呼び出し側の改修が広範囲になる）。build() の冒頭で1回だけ解決する。
 let LATEST_PATHS = new Set();
@@ -661,6 +662,28 @@ async function readFleetSources(repoRoot) {
     }
     return { externalSources, slackWorkspaces, internalSources, pipelines, capabilities, fleetGeneratedAt, secretSources, secretSpaces, checks, githubOwners, backlogTarget, tools };
 }
+/**
+ * 区画のレコードに帯を載せ、用語集の並びを活性度にする（#665 便 12b）。
+ *
+ * 🔴 **帳簿が無い案件では、渡された配列をそのまま返す**（帯のキーも付かない・並びも従来のまま）。
+ * 44 案件のうち帳簿を持つのは栓 `rederive` を入れた案件だけなので、ここが「何もしない」に
+ * 倒れることが**既定の経路**である。
+ *
+ * 🔴 **突き合わせはビルド時にここで閉じる**（`proposals` と同じ）。画面側でパスを組み立て直すと、
+ * `repoPathOf` が `editUrl` 由来なので **`repoBaseUrl` が無い案件で帯が黙って消える**。
+ */
+function attachRederived(records, recordsRel, ctx, nowIso) {
+    if (!ctx)
+        return records;
+    const pathOf = (r) => (recordsRel ? `${recordsRel}/${r.fileName}` : r.fileName);
+    for (const r of records) {
+        const band = (0, rederivation_1.rederivedBandOf)(pathOf(r), ctx.ledgers, ctx.identities, ctx.miss);
+        // **帯が立たないレコードにはキーごと付けない**（空の器を通さない）
+        if (band)
+            r.rederived = band;
+    }
+    return (0, rederivation_1.orderByActivity)(records, pathOf, ctx.ledgers, nowIso);
+}
 /**
  * AIからの更新提案（`.cortex/gold-proposals.json`）を読む。
  *
@@ -1875,6 +1898,20 @@ async function build(opts) {
     // 同一プロセスで2回ビルドしても前回の値が残らないよう、毎回入れ替える
     PROPOSALS_BY_PATH = await readGoldProposals(repoRoot);
     PROPOSAL_PATHS_MATCHED = new Set();
+    // 再導出の 3 帳簿（#665 便 12b）。**帳簿が無い案件では帯も並び替えも作らない**ので、
+    // 読めたときだけ git の素性を取りに行く（帳簿を持たない 44 案件で git の呼び出しを増やさない）
+    const ledgers = await (0, rederivation_1.readRederivationLedgers)(repoRoot);
+    const rederive = ledgers.confirmation.size || ledgers.activity.size
+        ? {
+            ledgers: ledgers,
+            // 🔴 **`repoRoot` で走らせる**（`collectAiChangeHistory` の `process.cwd()` に倣わない）。
+            // あちらは「リポジトリルートで実行すること」が前提の既存の制約だが、こちらは repoRoot を
+            // 既に知っている（帳簿をそこから読んでいる）。Decisions ディレクトリから CLI を叩いた
+            // ときも pathspec が当たり、帯が黙って消えない
+            identities: ledgers.confirmation.size ? (0, repo_1.collectGoldCommitIdentities)(repoRoot) : new Map(),
+            miss: { unresolved: new Set() },
+        }
+        : null;
     const decisions = [];
     for (const fileName of mdFiles) {
         const raw = await node_fs_1.promises.readFile(path.join(dirAbs, fileName), "utf8");
@@ -1885,6 +1922,8 @@ async function build(opts) {
     let homeGrounding;
     let homeUpdatedAt;
     const sections = [];
+    // グラフに渡す区画（**並べ替える前**の配列を持つ。上の sections とレコードの実体は同じ）
+    const graphSections = [];
     if (knowledgeRoot) {
         try {
             const raw = await node_fs_1.promises.readFile(path.join(knowledgeRoot, "Home.md"), "utf8");
@@ -1915,12 +1954,22 @@ async function build(opts) {
                 continue;
             const recordsDir = path.join(knowledgeRoot, e.name, "records");
             const records = await loadGenericRecords(recordsDir, exclude, repo.baseUrl, repo.branch);
+            // 「人が確認した版から変わりました」の帯と、用語集の並び（#665 便 12b）。
+            // **帳簿を持たない案件では 1 件も付かず、並びもそのまま**（下の attachRederived）
+            const ordered = attachRederived(records, toRepoRelative(recordsDir), rederive, opts.generatedAt);
             // レコード0件でもタブは出す（空状態から「＋AIで登録」できる導線になる）。
             // records/ 自体が無いディレクトリ（その区画が未導入の案件）はタブにしない
-            if (records.length || (await isDirectory(recordsDir)))
-                sections.push({ name: e.name, records });
+            if (records.length || (await isDirectory(recordsDir))) {
+                sections.push({ name: e.name, records: ordered });
+                // 🔴 **グラフには並べ替える前の配列を渡す**（実装レビュー）。`computeLayout` は
+                // レコードの並びを入力に初期座標を決めるので、一覧の並びが活性度で動くと
+                // **点と線は同じなのに地図の絵が毎晩組み変わる**（cortex-context で 1414/1414 の
+                // 座標が動くのを実測）。並びが効くのは一覧だけ、という約束をここで固定する
+                graphSections.push({ name: e.name, records: records });
+            }
         }
         sections.sort((a, b) => a.name.localeCompare(b.name, "ja"));
+        graphSections.sort((a, b) => a.name.localeCompare(b.name, "ja"));
     }
     // 新しい順（date降順→id降順）
     decisions.sort((a, b) => {
@@ -1934,13 +1983,23 @@ async function build(opts) {
     // **突き合わなかった提案の件数をビルドログに出す。** path が1文字違うだけで
     // 画面から静かに消えるので、出さないと「提案が出ない」の原因に辿り着けない。
     // 表示からは落とす（どのレコードの話か分からない提案は、出しても行動につながらない）
+    // 🔴 **帯が静かに消える経路を 1 行残す（設計レビュー 🟡10）。** `changed_by` の sha が
+    // git の窓（fetch-depth 2000）の外にあると、人か機械か見分けられない＝帯が立たない。
+    // 画面には出さない（利用者が動ける症状ではない）が、ログに無いと「帯が出ない」の原因を
+    // 「夜間がまだ書いていない」と切り分けられない
+    if (rederive && rederive.miss.unresolved.size) {
+        const shas = [...rederive.miss.unresolved];
+        console.warn(`gold-confirmation.json: 変更のコミット ${shas.length} 件を git の履歴で引けませんでした` +
+            `（浅い clone か履歴の窓の外。人か機械か見分けられないので帯は出しません）: ` +
+            shas.slice(0, 3).map((s) => s.slice(0, 8)).join(", ") + (shas.length > 3 ? " ほか" : ""));
+    }
     const unmatched = [...PROPOSALS_BY_PATH.keys()].filter((k) => !PROPOSAL_PATHS_MATCHED.has(k));
     if (unmatched.length) {
         console.warn(`gold-proposals.json: レコードに突き合わない提案が ${unmatched.length} 件ありました（表示しません）: ` +
             unmatched.slice(0, 5).join(", ") + (unmatched.length > 5 ? " ほか" : ""));
     }
     const contentEntries = await scanContent(repoRoot, knowledgeRoot ? path.basename(knowledgeRoot) : null, repo.baseUrl, repo.branch);
-    const graph = buildGraph(decisions, home, sections, contentEntries, targetUrls, repo.baseUrl, repo.branch, refs);
+    const graph = buildGraph(decisions, home, graphSections, contentEntries, targetUrls, repo.baseUrl, repo.branch, refs);
     computeLayout(graph); // 各ノードに x/y を書き込む（クライアントはこれを初期位置に使いウォームアップ省略）
     // データソースと自動化（fleet-status.json 由来）。無ければ undefined でセクション非表示。
     const fleet = await readFleetSources(repoRoot);

package/dist/commit-classify.js

@@ -0,0 +1,157 @@
+"use strict";
+/**
+ * コミットを **人／機械／不明** の 3 値に分ける（#665 便 12b・#432 裁定 5-4 / 5-7）。
+ *
+ * ## 🔴 これは写しで、正本は engine にある
+ *
+ * 正本: cortex-engine `scripts/observe/commit-classify.mjs`。表（入力 → 3 値）:
+ * cortex-engine `test/observe-commit-classify.test.mjs` の 12 行。
+ * **写すのはこの表で、実装を書き写すのではない**——同じ入力を両方に流して突き合わせる
+ * （`connection-state-keys.mjs` の写しと同じ流儀）。tools 側の表は
+ * `test/fixtures/commit-classify-contract.json` にあり、`commit-classify-parity.test.mjs`
+ * が全行を流す。**engine が判定を変えたらこの fixture を差し替える**（テストは書き換えない）。
+ *
+ * 🔴 **tools 側で規則を足さない。** 「再導出:」のような件名を足したくなっても、足す先は
+ * engine の正本（写しに足すと、正本と写しが逆向きにずれて契約テストが意味を失う）。
+ *
+ * ## なぜ `repo.ts` の `classifyCommit` と別に置くのか
+ *
+ * `repo.ts` のものは**別の問い**に答える 3 値（human / migration / ai）で、画面の
+ * 「AI による最近の変更」が使っている。あれを揃えるのは #646 の便で、この便では触らない
+ * ——揃えると 44 案件の既存の画面（履歴の節）が同時に変わる。ここは**新しい帯の条件だけ**が
+ * 使う判定で、**既定は「不明」**（証拠が無ければ倒さない）。
+ *
+ * ## 裁定（2026-09-17・#432 のコメント 5-4）
+ *
+ * > Claude Code 経由の push も「人が書いた」に数える（責任の所在で決める。人の名義で本人が
+ * > 結果を見て push している）。件数の閾値は設けない。「機械」に数えるのは**夜間処理・
+ * > マイグレーション・一括取り込みだけ**。
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.DELETE_SUBJECT_RE = exports.CONFIRM_SUBJECT_RE = exports.MIGRATION_REASON = void 0;
+exports.looksLikeMigrationSubject = looksLikeMigrationSubject;
+exports.operatedByKind = operatedByKind;
+exports.classifyGoldCommit = classifyGoldCommit;
+exports.isMachineRewrite = isMachineRewrite;
+/**
+ * 機械の名義（**この 3 経路だけ**が機械）。`why` は `reason` にそのまま出る。
+ *
+ * 🔴 **`reason` の綴りは帯の条件が読む**（マイグレーションだけは帯を立てない・#665）。
+ * 綴りを変えるなら正本と fixture と `MIGRATION_REASON` を同時に見ること。
+ */
+const MACHINE_SUBJECTS = [
+    { re: /^自動追記/, why: "夜間処理" },
+    { re: /^自動生成/, why: "夜間処理" },
+    { re: /^週次整理/, why: "夜間処理（週次）" },
+    { re: /^(?:マイグレーション|migrate:|chore\(migrate\))/i, why: "マイグレーション" },
+    { re: /^一括取り込み/, why: "一括取り込み" },
+];
+/** マイグレーションの `reason`。**帯を立てない側に倒す鍵の 1 枚目**（#665 決定表 4d） */
+exports.MIGRATION_REASON = "マイグレーション";
+/**
+ * 🔴 **「引っ越し」の綴りの 2 枚目**（`repo.ts:230` の写し・設計レビュー 🔴1）。
+ *
+ * 正本の `MACHINE_SUBJECTS` のマイグレーションの行は件名の**頭**を `マイグレーション` /
+ * `migrate:` / `chore(migrate)` で見るが、**艦隊の実際の件名は
+ * `エンジンマイグレーションを適用（schema_version更新）`** で、頭が「エンジン」なので
+ * 当たらない（実測: レコードを触った 127 件のうち 93 件が「機械の名義」の枝に落ち、
+ * engine の `isMigration()` では 0 件になる＝`changed_by` から除かれていない）。
+ *
+ * この 1 枚が無いと、**引っ越しの翌朝に確認済みのレコード全件へ帯が出る**——実データの
+ * コミットの 53.6% が引っ越しで、中身は 1 文字も変わっていない。
+ *
+ * ⚠️ これは**正本に足すべき規則**（申し送り済み）。正本が拾うようになってもこの枚は
+ * 害にならない（両方が「引っ越し」と言うだけ）ので、**消すのは正本が実件名を拾ったあと**。
+ * 綴りは画面の「AI による最近の変更」が使う `repo.ts` の判定とそろえてある——ずれると
+ * 「履歴からは隠れているのに帯は立つ」という食い違った 1 ページができる（🔴7）。
+ */
+const MIGRATION_SUBJECT_RE = /^(エンジン)?マイグレーション|^スキーマ移行|^schema[_-]?version|^(apply\s+)?[a-z ]*migration/i;
+/** 件名が「データ構造の引っ越し」の規約か（`repo.ts` の綴り） */
+function looksLikeMigrationSubject(subject) {
+    return MIGRATION_SUBJECT_RE.test(String(subject || ""));
+}
+/** 機械の名義（名前）。`…[bot]` は GitHub のアプリ名義の綴り */
+const MACHINE_NAME_RE = /(?:^|\s)(?:github-actions|dependabot|renovate)(?:\[bot\])?$|\[bot\]$/i;
+/**
+ * 「人の名義とは言えない」メール。`[bot]@users.noreply.github.com` は機械の名義だが、
+ * `actions@github.com` のような汎用の名義は「誰が押したか分からない」＝**不明**に倒す。
+ */
+const BOT_EMAIL_RE = /\[bot\]@users\.noreply\.github\.com$/i;
+const ANONYMOUS_EMAIL_RE = /^(?:actions@github\.com|noreply@github\.com|no-reply@github\.com)$/i;
+/** 人が Gold を直した印（tools の intake が書く件名。`repo.ts` と同じ綴り） */
+exports.CONFIRM_SUBJECT_RE = /^Gold確認[:：]/;
+exports.DELETE_SUBJECT_RE = /^(?:レコード削除|Gold削除)/;
+/** `Operated-By:` trailer の値から**経路だけ**を取る（値そのものは持ち回さない・PII） */
+function operatedByKind(trailerValue) {
+    const v = String(trailerValue || "").trim();
+    if (!v)
+        return "none";
+    return /^basic:/.test(v) ? "basic" : "portal";
+}
+/**
+ * コミット 1 件を 3 値に分ける（正本と同じ順序・同じ規則）。
+ *
+ * 名前を `classifyCommit` にしない——`repo.ts` に同名で**別の問い**に答える関数があり、
+ * 取り違えると画面の履歴の節と帯の条件が静かに入れ替わる。
+ */
+function classifyGoldCommit({ authorName = "", authorEmail = "", committerName: _committerName = "", subject = "", body = "", } = {}) {
+    const trailer = (String(body).match(/^Operated-By:\s*(.+)$/m) || [])[1] || "";
+    const kind = operatedByKind(trailer);
+    // **検証済みか**は名乗り券の有無だけで決める（`basic:` は券が無いときの既定＝自己申告）
+    const verified = kind === "portal";
+    const confirmer = (String(subject).match(exports.CONFIRM_SUBJECT_RE)
+        ? String(subject).replace(exports.CONFIRM_SUBJECT_RE, "").trim()
+        : null) || null;
+    const out = (by, reason) => ({
+        by,
+        verified: by === "human" ? verified : false,
+        reason,
+        operatedByKind: kind,
+        confirmer,
+    });
+    // ---- 1. 機械（夜間処理・マイグレーション・一括取り込みだけ） ----
+    const machineSubject = MACHINE_SUBJECTS.find((m) => m.re.test(String(subject)));
+    if (machineSubject)
+        return out("machine", machineSubject.why);
+    if (MACHINE_NAME_RE.test(String(authorName).trim()))
+        return out("machine", "機械の名義");
+    if (BOT_EMAIL_RE.test(String(authorEmail).trim()))
+        return out("machine", "機械の名義（メール）");
+    // ---- 2. 人（**Claude Code 経由の push もここ**・裁定 5-4） ----
+    // 🔴 `Co-Authored-By: Claude` / `Generated with Claude Code` を**機械の証拠にしない**。
+    // 人の名義で本人が結果を見て push しているので、責任の所在は人にある
+    if (String(subject).match(exports.CONFIRM_SUBJECT_RE))
+        return out("human", "人が確認した（件名）");
+    if (exports.DELETE_SUBJECT_RE.test(String(subject)))
+        return out("human", "人が消した（件名）");
+    if (kind !== "none")
+        return out("human", "画面からの操作（Operated-By）");
+    const name = String(authorName).trim();
+    const email = String(authorEmail).trim();
+    if (name && email && !ANONYMOUS_EMAIL_RE.test(email))
+        return out("human", "人の名義の push");
+    // ---- 3. 既定は不明（裁定 5-7） ----
+    // 名義が空・汎用の名義（`actions@github.com`）は「誰が押したか分からない」
+    return out("unknown", "名義から人か機械か決められない");
+}
+/**
+ * **帯を立てる側の機械の書き直しか**（#665 決定表 4c・4d）。
+ *
+ * 機械の 3 経路（夜間処理・引っ越し・一括取り込み）のうち**引っ越しだけを外す**。実データの
+ * コミットの 53.6% が引っ越しで、中身は 1 文字も変わっていない（`repo.ts:199-207` の実測）
+ * ので、これで帯を立てると全レコードに帯が出る。engine も `changed_by` を作るときに
+ * `isMigration()` を当てているが（`history.mjs:145`）、**それは正本の綴りしか拾わない**うえに
+ * **古い帳簿・作り直し前の帳簿を読む夜がある**ので、写し側でも外す。
+ *
+ * 🔴 **判定は 2 枚の OR**（設計レビュー 🔴1）: 正本の `reason` と `repo.ts` の綴り。
+ * **どちらかが「引っ越し」と言えば立てない**（片方だけに頼ると実件名が素通りする）。
+ */
+function isMachineRewrite(c, subject) {
+    if (c.by !== "machine")
+        return false;
+    if (c.reason === exports.MIGRATION_REASON)
+        return false;
+    if (looksLikeMigrationSubject(subject))
+        return false;
+    return true;
+}

package/dist/rederivation.js

@@ -0,0 +1,369 @@
+"use strict";
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.emptyLedgers = exports.LEDGER_VERSION = void 0;
+exports.parseLedger = parseLedger;
+exports.readRederivationLedgers = readRederivationLedgers;
+exports.parseInjectedNow = parseInjectedNow;
+exports.activityScore = activityScore;
+exports.rederivedBandOf = rederivedBandOf;
+exports.orderByActivity = orderByActivity;
+/**
+ * 再導出の 3 帳簿を読み、帯「人が確認した版から変わりました」と用語集の並びを作る（#665 便 12b）。
+ *
+ * | 帳簿 | 何を持つか | 書き手 |
+ * | --- | --- | --- |
+ * | `.cortex/gold-confirmation.json` | レコードごとの「人が確認した版」と、そこから変わったか（**sha だけ**） | 夜間（全置換・git から作り直せる） |
+ * | `.cortex/gold-rederivation.json` | 書き直しの根拠の件数・shadow の「書くつもりだった差分」 | 夜間（追記・区画ごとの節） |
+ * | `.cortex/gold-activity.json` | 「最後に見た日」と触れた日の列（＋観測の到達点 `cursor`） | 夜間（追記・剪定つき） |
+ *
+ * 形の正本は cortex-engine `scripts/rederive/ledgers.mjs` と `docs/cortex-derived-files.md`。
+ *
+ * ## 🔴 帳簿が無い・壊れている・古い形の案件は「今までと 1 バイトも同じ画面」
+ *
+ * 44 案件に配られる画面で、帳簿を持つのは栓 `rederive` を入れた案件だけ（既定オフ）。
+ * **読めないものは空**として正常に続ける（`readGoldProposals` と同じ規律）。空のときは
+ * 帯の器も並び替えも一切作らない——「知らないことは、キーが無いことで表す」。
+ *
+ * ## 🔴 生成時刻を持ち込まない・score を焼かない
+ *
+ * 活性度（順位）は**帳簿の日付の列からビルド時に計算する**（#432 問い 5-D）。時計は
+ * 引数で注入する（`generatedAt`）——`new Date()` を中で読むと、固定日付のテストが
+ * 実時間と比べられて**ある日から赤くなる**（作業規約「日付爆弾」）。
+ */
+const promises_1 = __importDefault(require("node:fs/promises"));
+const node_path_1 = __importDefault(require("node:path"));
+const commit_classify_1 = require("./commit-classify");
+/** 帳簿の版（違ったら空として扱う・engine `LEDGER_VERSION`） */
+exports.LEDGER_VERSION = 1;
+/** 帯を出す区画。**用語とメンバーだけ**（Decisions は積み上げ・Rules は便 13） */
+const BAND_SECTION_RE = /^Cortex\/(?:Glossary|Members)\/records\/[^/]+\.md$/;
+/** 並びを変える区画。**用語集だけ**（メンバーの並びは便 14） */
+const ORDER_SECTION_RE = /^Cortex\/Glossary\/records\/[^/]+\.md$/;
+/** ACT-R base-level の減衰（#432 裁定 5-5: d = 0.5） */
+const ACTR_DECAY = 0.5;
+/**
+ * 経過日数の下限（日）。**同じ日に触れられた行で 0 の −0.5 乗（＝∞）を作らない。**
+ * 0.5 日＝「今日触れられた」を半日前として数える（ACT-R の実装で普通に使う丸め）。
+ */
+const MIN_ELAPSED_DAYS = 0.5;
+const emptyLedgers = () => ({
+    confirmation: new Map(),
+    rederivation: new Map(),
+    activity: new Map(),
+});
+exports.emptyLedgers = emptyLedgers;
+/**
+ * `version` が違う・壊れている・オブジェクトでない → **null（空として扱って続ける）**。
+ * engine `parseLedger` と同じ判定。
+ */
+function parseLedger(text) {
+    try {
+        const parsed = JSON.parse(String(text || ""));
+        if (!parsed || typeof parsed !== "object" || Array.isArray(parsed))
+            return null;
+        if (Number(parsed.version) !== exports.LEDGER_VERSION)
+            return null;
+        return parsed;
+    }
+    catch {
+        return null;
+    }
+}
+/** 1 本読む。無い（ENOENT）ことは警告しない（既定の状態）。壊れているときだけ 1 行残す */
+async function readOne(repoRoot, file) {
+    let raw;
+    try {
+        raw = await promises_1.default.readFile(node_path_1.default.join(repoRoot, ".cortex", file), "utf8");
+    }
+    catch (e) {
+        if (e?.code !== "ENOENT") {
+            console.warn(`${file} を読めませんでした（帯と並びは出さずに続けます）: ${String(e)}`);
+        }
+        return null;
+    }
+    const parsed = parseLedger(raw);
+    // **壊れている・版が違うときは 1 行残す。** 静かに 0 件になると、帯が出ない理由が
+    // 「夜間がまだ書いていない」のか「読めていない」のか切り分けられない
+    if (!parsed)
+        console.warn(`${file} の形式か version が想定と違います（帯と並びは出さずに続けます）`);
+    return parsed;
+}
+const asRecord = (v) => v != null && typeof v === "object" && !Array.isArray(v) ? v : null;
+/**
+ * 3 帳簿を読む。**フィールドは明示で列挙し、素通しはしない**（`readGoldProposals` の流儀）——
+ * engine は単独で版を上げるので、画面が知らないキーが必ず先に入る。
+ */
+async function readRederivationLedgers(repoRoot) {
+    const out = (0, exports.emptyLedgers)();
+    const conf = await readOne(repoRoot, "gold-confirmation.json");
+    const records = asRecord(conf?.records);
+    if (records) {
+        for (const [p, v] of Object.entries(records)) {
+            const row = asRecord(v);
+            const confirmed = asRecord(row?.confirmed);
+            if (!confirmed)
+                continue;
+            // 🔴 **基準コミットが空の行も持つ**（実装レビュー）。帯は作れない（差分も戻すも
+            // 指す先が無い）が、**「人が確認した」という事実は並びが使う**——ここで落とすと、
+            // 確認済みなのに先頭群から黙って外れる。帯の側（`rederivedBandOf`）で落とす
+            const commit = confirmed.commit != null ? String(confirmed.commit) : "";
+            const changedBy = Array.isArray(row?.changed_by)
+                ? row.changed_by.map((s) => String(s)).filter((s) => s !== "")
+                : [];
+            out.confirmation.set(p, {
+                at: confirmed.at != null ? String(confirmed.at) : "",
+                by: confirmed.by != null ? String(confirmed.by) : "",
+                verified: confirmed.verified === true,
+                commit: commit,
+                changedBy: changedBy,
+            });
+        }
+    }
+    const red = await readOne(repoRoot, "gold-rederivation.json");
+    const redSections = asRecord(red?.sections);
+    if (redSections) {
+        for (const section of Object.values(redSections)) {
+            const rows = asRecord(section);
+            if (!rows)
+                continue;
+            for (const [p, v] of Object.entries(rows)) {
+                const row = asRecord(v);
+                if (!row)
+                    continue;
+                // 根拠の件数。**数でないものは null**（「0 件」と「知らない」を言い分ける）
+                const n = Number(row.evidence);
+                out.rederivation.set(p, {
+                    evidence: row.evidence != null && Number.isFinite(n) && n >= 0 ? Math.floor(n) : null,
+                    commit: row.commit != null ? String(row.commit) : "",
+                });
+            }
+        }
+    }
+    const act = await readOne(repoRoot, "gold-activity.json");
+    const actSections = asRecord(act?.sections);
+    if (actSections) {
+        for (const section of Object.values(actSections)) {
+            const rows = asRecord(section);
+            if (!rows)
+                continue;
+            for (const [p, v] of Object.entries(rows)) {
+                const row = asRecord(v);
+                if (!row)
+                    continue;
+                const recent = Array.isArray(row.recent)
+                    ? row.recent.map((d) => String(d)).filter((d) => /^\d{4}-\d{2}-\d{2}$/.test(d))
+                    : [];
+                const n = Number(row.n);
+                out.activity.set(p, {
+                    lastSeen: row.last_seen != null ? String(row.last_seen) : "",
+                    n: Number.isFinite(n) && n > 0 ? Math.floor(n) : 0,
+                    recent: recent,
+                });
+            }
+        }
+    }
+    return out;
+}
+/** `YYYY-MM-DD` を「その日の正午（UTC）」として読む（時刻を持たない日付に時差を持ち込まない） */
+function dayMs(date) {
+    const m = /^(\d{4})-(\d{2})-(\d{2})$/.exec(date);
+    if (!m)
+        return null;
+    return Date.UTC(Number(m[1]), Number(m[2]) - 1, Number(m[3]), 12, 0, 0);
+}
+/**
+ * 注入された時計を epoch にする。
+ *
+ * 🔴 **ISO とは限らない**（実装レビュー）。`cli.ts` が作る既定の生成時刻は
+ * `2026-09-18 07:41 UTC` の形で、`Date.parse` が読めるのは V8 の非標準の親切に過ぎない。
+ * 同じ形を正規化する器が `pending-ops.ts` にもある（`pendingSiteTimeMs`）。
+ * ここでは**両方の形を明示で受ける**——読めない値は `null`（＝並びを従来のままにする側）。
+ */
+function parseInjectedNow(nowIso) {
+    const raw = String(nowIso || "").trim();
+    if (!raw)
+        return null;
+    const direct = Date.parse(raw);
+    if (Number.isFinite(direct))
+        return direct;
+    // `YYYY-MM-DD HH:MM UTC` → `YYYY-MM-DDTHH:MMZ`
+    const m = /^(\d{4}-\d{2}-\d{2})[ T](\d{2}:\d{2}(?::\d{2})?)\s*(?:UTC|Z)?$/.exec(raw);
+    if (!m)
+        return null;
+    const fixed = Date.parse(`${m[1]}T${m[2]}Z`);
+    return Number.isFinite(fixed) ? fixed : null;
+}
+/**
+ * 活性度（ACT-R base-level）**B = ln Σ_j t_j^(−0.5)**。
+ *
+ * `t_j` は触れた日から `nowIso`（注入した時計）までの経過日数。**score は帳簿に焼かない**
+ * ——式を変えたときに全件の再生成が要らないように、入力（日付の列）だけを持つ（裁定 5-5）。
+ *
+ * 引ける日付が 1 つも無ければ `null`（「活性度を知らない」＝並びを従来のままにする側）。
+ */
+function activityScore(entry, nowIso) {
+    if (!entry)
+        return null;
+    const now = parseInjectedNow(nowIso);
+    if (now == null)
+        return null;
+    // 同じ日が 2 度入っていても 1 回だけ数える（engine 側でも重複は畳んでいる）
+    const days = [...new Set(entry.recent.length ? entry.recent : entry.lastSeen ? [entry.lastSeen] : [])];
+    let sum = 0;
+    for (const d of days) {
+        const ms = dayMs(d);
+        if (ms == null)
+            continue;
+        const elapsed = Math.max((now - ms) / 86400000, MIN_ELAPSED_DAYS);
+        sum += Math.pow(elapsed, -ACTR_DECAY);
+    }
+    if (sum <= 0)
+        return null;
+    const score = Math.log(sum);
+    // 🔴 **有限でない score は「知らない」に倒す**（設計レビュー 🔴6）。比較子が NaN を返すと
+    // `Array.sort` の順序は未定義で、並びが**呼ぶたびに変わる**（帳簿の壊れ方が並びの総崩れになる）。
+    // 未来の日付（時計のずれ・手で書いた帳簿）は上の下限で潰れるので、ここは最後の網
+    return Number.isFinite(score) ? score : null;
+}
+/**
+ * そのレコードに帯を立てるか（#665 の**決定表**・上から順に評価し、当たった行で終わる）。
+ *
+ * | 順 | 条件 | 結果 |
+ * | --- | --- | --- |
+ * | 1 | path が用語・メンバーのレコードでない | 立てない |
+ * | 2 | `confirmation` に行が無い／基準コミットが空／確認日が日時として読めない | 立てない |
+ * | 3 | `changed_by` が空 | 立てない |
+ * | 4 | `changed_by` の 1 件ずつに 4a〜4e を当てて**残りが 0 件** | 立てない |
+ * | 4a | sha が基準コミットと同じ | その sha を落とす |
+ * | 4b | sha が git の窓に無い | 落とす（**不明**・`miss.unresolved` に数える） |
+ * | 4c | 分類が「人」または「不明」 | 落とす |
+ * | 4d | **どちらかの綴りで引っ越し** | 落とす |
+ * | 4e | author 日付が確認日**以前**（epoch 比較） | 落とす |
+ * | 5 | 残りのうち最も新しい author 日付を「書き直した日」にする | **立てる** |
+ * | 6 | 根拠は、帳簿の行の `commit` が `changed_by` に入っているときだけ出す | 出す／出さない |
+ * | 7 | 基準コミットが削除のコミットなら「戻す」を出さない（`baseDeleted`） | — |
+ *
+ * @param miss 立たなかった理由を数える器（呼び出し側で 1 つ作って全レコードで共有する）
+ */
+function rederivedBandOf(recordPath, ledgers, identities, miss) {
+    if (!BAND_SECTION_RE.test(recordPath))
+        return null;
+    const conf = ledgers.confirmation.get(recordPath);
+    // 基準コミットが空の行はここで落とす（読み手は並びのために持っている）
+    if (!conf || !conf.commit || !conf.changedBy.length)
+        return null;
+    // 確認日が読めない帳簿では「後か前か」を言えないので立てない（順序の確かめが要）
+    const confirmedMs = Date.parse(conf.at);
+    if (!Number.isFinite(confirmedMs))
+        return null;
+    let newest = null;
+    /** 確認より後の**人**のコミットの最新（帳簿が前の夜のもので、基準点がまだ動いていない夜） */
+    let newestHuman = 0;
+    for (const sha of conf.changedBy) {
+        // 4a. 基準コミット自身が並んでいる帳簿（作り直し前・手で書いたもの）に引っかからない
+        if (sha === conf.commit)
+            continue;
+        const id = identities.get(sha);
+        if (!id) {
+            // 4b. 窓の外・浅い clone ＝ 見分けられない（不明）。**画面には出さずログに数える**
+            //（設計レビュー 🟡10: 帯が静かに消える経路がこれ）
+            if (miss)
+                miss.unresolved.add(sha);
+            continue;
+        }
+        // 4e. 🔴 **確認より後であることを git の日付（epoch）で確かめる。** `changed_by` は engine が
+        // 「基準点より後」で作るが、帳簿は前の夜のものが残りうる（全置換に失敗した回・人が後から
+        // 確認して基準点が動いた回）。ここを外すと**確認より前の変更で帯が立つ**。
+        // ⚠️ 「後か」の真の正本は engine が見た git のトポロジ順（`history.mjs:141-145`）で、
+        // ここは**安全網**。author 日付は rebase・cherry-pick で前後しうるので、
+        // ずれたときは「立てない」側に倒れる（設計レビュー 🟡12）
+        const ms = Date.parse(id.at);
+        if (!Number.isFinite(ms) || ms <= confirmedMs)
+            continue;
+        // 4c・4d. 機械の書き直しだけを残す（件名は分類と同じものを渡す）
+        const classified = (0, commit_classify_1.classifyGoldCommit)({
+            authorName: id.authorName,
+            authorEmail: id.authorEmail,
+            subject: id.subject,
+            body: id.body,
+        });
+        if (!(0, commit_classify_1.isMachineRewrite)(classified, id.subject)) {
+            if (classified.by === "human" && ms > newestHuman)
+                newestHuman = ms;
+            continue;
+        }
+        if (!newest || ms > newest.ms)
+            newest = { at: id.at, ms: ms };
+    }
+    if (!newest)
+        return null;
+    // 🔴 **人が最後に言ったなら立てない。** engine は基準点を「最後に人が触ったコミット」に
+    // 置くので、正しい帳簿の `changed_by` に人のコミットは入らない（`history.mjs:141`）。
+    // だが前の夜の帳簿が残った朝には「機械の書き直し → その後の人の編集」が並びうる。
+    // そこで帯を立てると、**「戻す」がその人の新しい編集ごと基準コミットへ戻す**——この機能で
+    // いちばん重い壊れ方なので、既定（立てない側）に倒す。engine が次の夜に基準点を動かす
+    if (newestHuman > newest.ms)
+        return null;
+    // 6. 根拠の件数は「この帯のコミットの記録」から出す（別の夜の数字を並べない）
+    const red = ledgers.rederivation.get(recordPath);
+    const evidence = red && red.evidence != null && red.commit && conf.changedBy.includes(red.commit)
+        ? red.evidence
+        : null;
+    // 7. 基準コミットが削除のコミットか（窓の外なら分からないので false 側＝リンクは出す。
+    // プロンプト側に「取れなかったときの逃げ道」を書いてある）
+    const base = identities.get(conf.commit);
+    const baseDeleted = base ? commit_classify_1.DELETE_SUBJECT_RE.test(base.subject) : false;
+    return {
+        confirmedAt: conf.at,
+        confirmedBy: conf.by,
+        confirmedVerified: conf.verified,
+        baseCommit: conf.commit,
+        changedAt: newest.at,
+        ...(evidence != null ? { evidence: evidence } : {}),
+        ...(baseDeleted ? { baseDeleted: true } : {}),
+    };
+}
+/**
+ * 用語集の並び（#432 裁定 5-5）。**確認済みは先頭群・群の中は活性度の降順。**
+ *
+ * - 活性度を持つレコードが 1 件も無い区画は **1 バイトも触らない**（帳簿が無い案件は従来順）
+ * - 活性度を知らないレコードは群の末尾へ、**元の並びのまま**（安定）
+ * - 用語集だけ（メンバーの並びは便 14・Decisions と Rules は対象外）
+ *
+ * @param records 区画のレコード（`repoPathOf` で引けるパスを持つもの。並びは変えずに新しい配列を返す）
+ */
+function orderByActivity(records, pathOf, ledgers, nowIso) {
+    if (!records.length)
+        return records;
+    // この区画が並べ替えの対象か（用語集で、活性度の行が 1 件以上あるか）
+    const scored = records.map((r, i) => {
+        const p = pathOf(r);
+        const inSection = ORDER_SECTION_RE.test(p);
+        return {
+            r: r,
+            i: i,
+            confirmed: inSection && ledgers.confirmation.has(p),
+            score: inSection ? activityScore(ledgers.activity.get(p), nowIso) : null,
+        };
+    });
+    if (!scored.some((s) => s.score != null))
+        return records;
+    return scored
+        .slice()
+        .sort((a, b) => {
+        // 1. 確認済みは先頭群（群の境目は活性度より強い）
+        if (a.confirmed !== b.confirmed)
+            return a.confirmed ? -1 : 1;
+        // 2. 群の中は活性度の降順。知らないものは群の末尾
+        if (a.score != null && b.score != null && a.score !== b.score)
+            return b.score - a.score;
+        if ((a.score == null) !== (b.score == null))
+            return a.score == null ? 1 : -1;
+        // 3. 同点は元の並び（安定・日付降順 → タイトル昇順がそのまま残る）
+        return a.i - b.i;
+    })
+        .map((s) => s.r);
+}

package/dist/render.js

@@ -4666,6 +4666,34 @@ button.site-icon[aria-busy="true"] .site-icon-plus { opacity: 0; }
 .promote-btn:disabled { opacity: .6; cursor: default; }
 /* 何を上げようとしているか（リポジトリ上のパス）。リンクではないので控えめな色にする */
 .promote-target { font-size: 12.5px; word-break: break-all; color: var(--muted); margin: 0 0 12px; }
+/* ---- 人が確認した版から変わりました（#665 便 12b）----
+   🔴 **警告の色（黄・赤）にしない。** 機械が書き直したことは事故ではなく設計どおりの動き
+   （用語と役割が話に出た翌朝に現実へ追随する）。裁定 5-1 の「文言に評価語なし」を色にも通し、
+   下書きの帯（.draft-note の黄）・未記入の帯（.home-unfilled の赤）と**見た目で役割を分ける**。
+   帯は症状の 1 行・その下に判断に要る値・一手は右に寄せる（2026-09-02 の規則） */
+.rederived-note {
+  display: flex; flex-wrap: wrap; gap: 10px 14px; align-items: center;
+  background: #eff6ff; border: 1px solid #93c5fd; border-radius: 8px;
+  padding: 10px 14px; margin: 12px 0 4px; line-height: 1.7;
+}
+.rederived-body { flex: 1 1 320px; min-width: 0; }
+.rederived-title { font-size: 14.5px; font-weight: 700; color: #1e40af; }
+.rederived-meta { font-size: 13px; color: #1d4ed8; }
+.rederived-actions {
+  flex: 0 0 auto; margin-left: auto;
+  display: flex; flex-wrap: wrap; gap: 10px; align-items: center;
+}
+.rederived-btn {
+  flex: 0 0 auto; white-space: nowrap; text-decoration: none; cursor: pointer;
+  padding: 6px 14px; border-radius: 999px; border: 1px solid #1d4ed8;
+  background: #fff; color: #1d4ed8; font-size: 13px; font-weight: 600;
+}
+.rederived-btn:hover { background: #dbeafe; }
+/* 戻す（ディープリンク）は「押すと何かが起きる」側なので塗る */
+.rederived-btn-back { background: #1d4ed8; color: #fff; }
+.rederived-btn-back:hover { background: #1e40af; color: #fff; }
+/* リンクを作れない案件（リポジトリのURLが無い）では、どの版かを短縮SHAで残す */
+.rederived-base { font-size: 12.5px; color: var(--muted); }
 /* ---- Home（案件の自己記述）---- */
 /* 未記入の警告。**画面でいちばん強い赤にする**——27案件中24案件が未記入のまま
    毎晩のAI生成が走っている状態で、控えめに出しても読まれない */
@@ -6195,6 +6223,99 @@ ${calendarAddUrl.toString()}
     return note;
   }
 
+  /* -------------------------------------------------------------------------
+   * 人が確認した版から変わりました（#665 便 12b・.cortex/ の 3 帳簿由来）
+   * -------------------------------------------------------------------------
+   * 機械（夜間の再導出）が、人が確認したあとでこのレコードを書き直したときだけ出す帯。
+   * **条件はビルド側が決めてある**（rederivation.ts の決定表）ので、画面は
+   * rec.rederived の**有無だけ**を見る——画面側でパスを組み立て直して判定すると、
+   * リポジトリのURLが無い案件で帯が黙って消える（設計レビュー 🔴4）。
+   *
+   * 🔴 **評価語を書かない**（裁定 5-1）。「勝手に」「注意」は書かず、症状・日付・件数と
+   * 一手だけを出す。説明（なぜ毎晩変わるのか）は書かない——同じページの
+   * 「AI による最近の変更」が変わった行そのものを持っている。
+   */
+
+  /** 帯に出す 1 行。券の無い確認（自己申告）は名前を権威として出さない（#432 5-A） */
+  function rederivedMetaText(b) {
+    var parts = [];
+    var who = b.confirmedBy
+      ? "（" + b.confirmedBy + (b.confirmedVerified ? "" : "・自己申告") + "）"
+      : "";
+    parts.push("確認 " + ahDate(b.confirmedAt) + who);
+    parts.push("書き直し " + ahDate(b.changedAt));
+    // **「根拠」は言えるときだけ**（この帯のコミットの記録が帳簿に無ければ出さない）
+    if (typeof b.evidence === "number") parts.push("根拠 " + b.evidence + " 件");
+    return parts.join("／");
+  }
+  /** ブランチ名を URL に入れる（release/x のような / を %2F に化けさせない） */
+  function refForUrl(ref) {
+    return encodeURIComponent(String(ref || "")).split("%2F").join("/");
+  }
+  /**
+   * 確認した版との差分（GitHub の compare・基準コミット…HEAD）。
+   *
+   * ⚠️ compare は**リポジトリ全体**の比較で、このレコードだけの差分に絞る URL は GitHub に無い。
+   * レコード単位の「変わった行」は同じページの「AI による最近の変更」が持つので、帯は
+   * 「確認した版から今までの間に何があったか」への入口に留める（決定ログに覆し方あり）。
+   */
+  function rederivedDiffEl(b) {
+    if (!SITE.repoBaseUrl) {
+      var short = b.baseCommit.length > 8 ? b.baseCommit.slice(0, 8) : b.baseCommit;
+      return el("span", { class: "rederived-base", text: "確認した版 " + short });
+    }
+    var href = SITE.repoBaseUrl + "/compare/" + refForUrl(b.baseCommit) + "..." + refForUrl(SITE.branch || "HEAD");
+    return el("a", {
+      class: "rederived-btn", href: href, target: "_blank", rel: "noopener",
+      text: "確認した版との差分",
+    });
+  }
+  /**
+   * 確認した版に戻す（claude.ai/code のディープリンク・裁定 5-2「v1 はディープリンク」）。
+   *
+   * **出さない場合が 3 つある**: 基準コミットが「レコード削除」のコミット（そのコミットに
+   * この path が無く空振りする）・ディープリンクを組めない（リポジトリのURLが無い）・
+   * 対象のパスが引けない。押せない口を出さない。
+   *
+   * 🔴 プロンプトに**人の名前を入れない**（confirmed.by は件名由来の任意文字列）。
+   * 🔴 パスは**引用符でくるむ**（用語のファイル名には空白が入る。実データで 5 件）。
+   * 🔴 コミットが手元に無いとき（浅い clone）の逃げ道を 2 段で書く（設計レビュー 🔴8）。
+   */
+  function rederivedRestoreEl(rec, b) {
+    if (b.baseDeleted) return null;
+    if (!REPO_SLUG) return null;
+    var p = repoPathOf(rec);
+    if (!p) return null;
+    var prompt = [
+      "このレコードを、人が確認した版の内容に戻してください。",
+      "対象のファイル: " + p,
+      "確認した版のコミット: " + b.baseCommit,
+      'git checkout ' + b.baseCommit + ' -- "' + p + '" を実行してください（ファイル名に空白が入ることがあるので引用符を外さないでください）。',
+      "そのコミットが手元に無い（bad object と出る）ときは、git fetch origin " + b.baseCommit + " を先に実行してください。それでも取れないときは、GitHub でそのコミットのこのファイルを開き、本文を写してください。",
+      "ほかのファイルは 1 つも触らないでください。",
+      "書き込む前に、戻したあとの内容を提示して承認を得てください。",
+    ].join("\\n");
+    return aiLink("rederived-btn rederived-btn-back", prompt, "確認した版に戻す");
+  }
+  /** 詳細ページの帯。rec.rederived が無いレコードでは **1 要素も作らない** */
+  function rederivedNote(rec) {
+    var b = rec && rec.rederived;
+    if (!b) return null;
+    var note = el("div", { class: "rederived-note" }, [
+      el("div", { class: "rederived-body" }, [
+        el("div", { class: "rederived-title", text: "人が確認した版から変わりました" }),
+        el("div", { class: "rederived-meta", text: rederivedMetaText(b) }),
+      ]),
+    ]);
+    var actions = el("div", { class: "rederived-actions" });
+    var diff = rederivedDiffEl(b);
+    if (diff) actions.appendChild(diff);
+    var back = rederivedRestoreEl(rec, b);
+    if (back) actions.appendChild(back);
+    if (actions.children.length) note.appendChild(actions);
+    return note;
+  }
+
   // ---------- Gold の確認済み昇格（status: draft → active） ----------
   //
   // 内容がそのまま正しいとき、**編集せずに所有権だけ引き取る**ための最短経路。
@@ -17446,6 +17567,11 @@ ${calendarAddUrl.toString()}
     var dn2 = draftNote(r);
     if (dn2) app.appendChild(dn2);
 
+    // 人が確認した版から機械が書き直したときの帯（#665）。**下書きの帯の次・提案の前**
+    // ——「この記録は誰のものか」の話をまとめ、根拠の一覧（提案）より前に置く
+    var rd2 = rederivedNote(r);
+    if (rd2) app.appendChild(rd2);
+
     var pr2 = proposalsSection(r, r._section);
     if (pr2) app.appendChild(pr2);
 

package/dist/repo.js

@@ -7,6 +7,7 @@ exports.normalizeToHttps = normalizeToHttps;
 exports.classifyCommit = classifyCommit;
 exports.isFrontmatterKeyRename = isFrontmatterKeyRename;
 exports.collectAiChangeHistory = collectAiChangeHistory;
+exports.collectGoldCommitIdentities = collectGoldCommitIdentities;
 exports.lastSubstantiveUpdate = lastSubstantiveUpdate;
 const node_child_process_1 = require("node:child_process");
 /**
@@ -757,6 +758,73 @@ const LAST_UPDATE_RENAME_OPT = "--find-renames=50%";
  * ここでは使わない——差分の取得にもう1回 git を呼ぶ割に、Home.md ではマイグレーションの
  * 件名規約で落ちる形しか観測されていない（適用しないと決めた・設計レビュー承認済み）。
  */
+/* ===========================================================================
+ * レコードを触ったコミットの素性（帯「人が確認した版から変わりました」の材料・#665）
+ * ===========================================================================
+ * `.cortex/gold-confirmation.json` の `changed_by` は **sha だけ**を持つ。人が確認した
+ * 版から「**機械が**書き直したか」を見分けるには、その sha の author・件名・本文
+ *（`Operated-By:` trailer）が要る——帳簿には無いので git から取る。
+ *
+ * 🔴 **レコード数に依存しない 1 回の `git log`。** 「ビルド1回につき git は2回」の規律
+ *（`collectAiChangeHistory`）に**3 回目**を足す形になるが、per-path で呼ばない点は保つ。
+ * sha を並べて `git log --no-walk <sha…>` にしない——sha の数（実データで 54・多い案件では
+ * 数百）でコマンドラインが伸び、ARG_MAX と「履歴に無い sha で log 全体が落ちる」に当たる。
+ */
+/**
+ * 素性を読むコミット数の上限。
+ *
+ * ビューアのビルドは **fetch-depth 2000** で checkout する（engine `build-viewer.yml`）ので、
+ * それ以上遡っても届かない。窓の外・浅い clone の sha は**見分けられない＝「不明」**に倒れ、
+ * 帯は立たない（既定は不明・#432 裁定 5-7）。差分や本文を読まない軽い pass なので、
+ * 履歴の窓とそろえて広く取る。
+ */
+const GOLD_IDENTITY_MAX_COMMITS = 2000;
+/** 本文（`%B`）の前に置く印。件名の区切り（US）とは別の文字にする（件名にも本文にも現れない） */
+const RSEP = "";
+/**
+ * レコードを触ったコミットの素性を sha で引ける表にする（新しい順に上限まで）。
+ *
+ * git が無い・リポジトリでない・浅い clone で届かない sha は**表に載らない**
+ *（呼び出し側は「載っていない sha は不明」として扱うこと）。
+ */
+function collectGoldCommitIdentities(cwd) {
+    const out = gitLog(cwd, [
+        "log",
+        `-n${GOLD_IDENTITY_MAX_COMMITS}`,
+        "--no-color",
+        // 本文まで読むので、コミットの境目（NUL）と本文の始まり（RSEP）を別の印で固定する。
+        // 件名に US が混ざっても壊れないよう、下で 5 つ目以降を件名として繋ぎ直す
+        `--format=%x00%H%x1f%aI%x1f%an%x1f%ae%x1f%s%x1e%B`,
+        "--",
+        RECORD_PATHSPEC,
+    ], "レコードを触ったコミットの素性");
+    const map = new Map();
+    // 🔴 **行で切らない（NUL で切る）。** 本文は複数行なので、1 行 1 コミットの読み方は使えない
+    for (const chunk of out.split(NUL)) {
+        if (!chunk)
+            continue;
+        const at = chunk.indexOf(RSEP);
+        const head = at === -1 ? chunk : chunk.slice(0, at);
+        // 本文の末尾の改行は git が付けるもので、trailer の判定（行頭 ^）には影響しない
+        const body = at === -1 ? "" : chunk.slice(at + RSEP.length);
+        const parts = head.split(US);
+        const sha = parts[0] || "";
+        if (!sha)
+            continue;
+        // 同じ sha が 2 度出ることは無いが、出ても新しい側（先に出たもの）を残す
+        if (map.has(sha))
+            continue;
+        map.set(sha, {
+            sha: sha,
+            at: parts[1] || "",
+            authorName: parts[2] || "",
+            authorEmail: parts[3] || "",
+            subject: parts.slice(4).join(US),
+            body: body,
+        });
+    }
+    return map;
+}
 function lastSubstantiveUpdate(cwd, repoPath) {
     // 🔴 **浅い clone を最初に弾く。** 浅い clone では境界コミットが親を持たないため、
     // このファイルを触っていない直近のコミットまで `A <path>` として現れる（実測）。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@takagaki/cortex-decisions-viewer",
-  "version": "0.12.72",
+  "version": "0.12.73",
   "description": "Cortexの意思決定記録（Decisions/*.md）を静的サイトにビルドして閲覧する。各レコードに「Edit on GitHub」リンクを付与する。",
   "license": "UNLICENSED",
   "private": false,