@things-factory/headless-twin 10.0.8 → 10.0.10

package/server/service/twin-instance/twin-instance.ts

@@ -1,19 +1,21 @@
 import { CreateDateColumn, Entity, Index, Column, RelationId, ManyToOne, PrimaryGeneratedColumn, UpdateDateColumn } from 'typeorm'
-import { ObjectType, Field, ID, Int } from 'type-graphql'
+import { ObjectType, Field, ID } from 'type-graphql'
 
 import { Domain, ScalarObject } from '@things-factory/shell'
+import { User } from '@things-factory/auth-base'
+import { modelColumnTransformer } from '../../engine/model-vocabulary.js'
 
 /*
  * TwinInstance — 트윈 인스턴스 레지스트리(재부팅 복구의 앵커).
- * 복구(DB→replay)는 board(마스터 청사진)가 있어야 이벤트를 상태로 되짚을 수 있다 → board·kind 를 영속.
- * 이벤트(TwinEvent)와 달리 가변(status/revision 갱신) — 인스턴스의 "현재 등록 상태".
- * board 는 simple-json(멀티DB 이식 — postgres/mysql/sqlite/mssql/oracle 공통).
+ * 복구(DB→replay)는 model(마스터 청사진)가 있어야 이벤트를 상태로 다시 계산할 수 있다 → model·kind 를 영속.
+ * 이벤트(TwinEvent)와 달리 가변(status 갱신) — 인스턴스의 "현재 등록 상태".
+ * model 는 simple-json(멀티DB 이식 — postgres/mysql/sqlite/mssql/oracle 공통).
  * (CLAUDE.md: 모든 @ObjectType/@Field 는 영문 description 필수.)
  */
 @Entity()
 @Index('ix_twin_instance_0', (e: TwinInstance) => [e.domain, e.instanceId], { unique: true })
 @Index('ix_twin_instance_1', (e: TwinInstance) => [e.domain, e.spaceId]) // 공간→인스턴스 1급 질의(공간 중심 존재론)
-@ObjectType({ description: 'Registry of a hosted twin runtime instance — anchors reboot recovery (board + kind).' })
+@ObjectType({ description: 'Registry of a hosted twin runtime instance — anchors reboot recovery (model + kind).' })
 export class TwinInstance {
   @PrimaryGeneratedColumn('uuid')
   @Field(type => ID, { description: 'Unique identifier of the registry record.' })
@@ -30,31 +32,82 @@ export class TwinInstance {
   @Field({ description: 'Twin runtime instance id (unique within a domain).' })
   instanceId: string
 
+  /**
+   * **사람이 부르는 이름** — 업무키(`instanceId`)와 나란히 두는 표시명(프레임워크 엔티티 규약).
+   *
+   * ── 왜 업무키와 이름을 나눠 두나 ─────────────────────────────────────────────
+   * `instanceId` 는 URL·저널·구독이 전부 쓰는 **계약**이라 바꿀 수 없다. 반대로 이름은 바뀌고,
+   * 중복되고(사이트 둘에 "도장" 이 있는 것이 정상), 언어마다 다르다. 둘을 한 컬럼에 담으면 개명이
+   * 곧 다른 트윈이 되고 재동기가 끊긴다 — 그래서 나눈다(이 저장소에서 식별자가 밖에서 오는 것은
+   * 전부 이 규약을 쓴다: `spaceId`·`locationId`·`equipmentId`·`operationKey`).
+   *
+   * 나눴으면 **이름을 반드시 함께 둬야 한다.** 이 자리가 없던 동안 사이트 이름은 model 안에만 있어서
+   * 목록이 `crew-two` 만 보였다 — 나누기만 하고 절반을 빼먹으면 화면에는 id 만 남는다.
+   *
+   * 원본이 이름을 말하지 않으면 비운다(id 를 베끼지 않는다).
+   */
+  @Column({ nullable: true })
+  @Field({ nullable: true, description: 'Human name of this twin (the site name from its master). Empty when the source does not name it — never copied from instanceId.' })
+  name?: string
+
   @Column({ nullable: true })
-  @Field({ nullable: true, description: 'Domain kernel kind: wms | yms | mes.' })
-  kind?: string
+  @Field({ nullable: true, description: 'Longer description when the source provides one.' })
+  description?: string
+
+  /* 어느 도메인 커널이 이 트윈을 운영하는가. 커널 없는 트윈은 없으므로 비어 있을 수 없다
+     (`TwinEngine.start`·`register` 모두 필수 인자로 받는다). */
+  @Column()
+  @Field({ description: 'Domain kernel kind: wms | yms | mes.' })
+  kind: string
 
   /*
    * realityMode — 이 트윈의 현실이 어디서 오는가(runtime-state-model §0·§1 "지속 현실 하나 + 여러 렌즈"의 ① 선언).
    * 'mirror'         = 현실은 외부 실물 시스템. 트윈=순수 렌즈, 재기동 시 실물서 재동기(startLive).
    * 'sim-world'      = 트윈이 낳은 타임라인이 곧 진실이며 이어진다 → 재기동 시 저널서 resume(현실 지속).
    * 'sim-experiment' = seed 재현형. 재기동 = 같은 우주 재실행(저널 reset, revision 0) — 백지 시작이 버그가 아니라 선언된 거동.
-   * 미선언(레거시)은 'sim-experiment'로 간주(가장 보수적 — 기존 데모 거동 보존).
+   *
+   * **비어 있을 수 없다.** 이 값은 재기동 거동을 구분하는 선언이고, 없으면 읽는 쪽마다 각자
+   * 기본값을 고르게 된다 — 같은 트윈이 부르는 자리에 따라 다르게 재기동하는 길이다.
+   * 선언을 생략한 프로비저닝은 `register` 가 `DEFAULT_REALITY_MODE` 로 **각인해서 저장한다**.
+   * 즉 "미선언" 이라는 상태 자체를 저장소에 두지 않는다.
    */
-  @Column({ nullable: true })
-  @Field({ nullable: true, description: "Reality source declaration: 'mirror' (external system is truth, resync on reboot) | 'sim-world' (generated timeline is truth and persists, resume on reboot) | 'sim-experiment' (seed-reproducible, resets on reboot). Absent ⇒ treated as sim-experiment." })
-  realityMode?: string
+  @Column()
+  @Field({ description: "Reality source declaration: 'mirror' (external system is truth, resync on reboot) | 'sim-world' (generated timeline is truth and persists, resume on reboot) | 'sim-experiment' (seed-reproducible, resets on reboot)." })
+  realityMode: string
+
+  /* 읽을 때 어휘 세대를 흡수한다(`nodes`/`movers`/`equipmentList` → `locations`/`equipment`).  (vocabulary-guard: allow — 세대 이름 없이는 설명할 수 없다.)
+     자리마다 리더를 쓰게 하면 다음에 추가되는 자리가 또 빠지고, 빠진 것은 오류가 아니라 **빈 공장**이라
+     조용하다(2026-08-06: 모델러 엔티티 목록이 통째로 비었다). 상세 `engine/model-vocabulary.ts`. */
+  @Column({ type: 'simple-json', nullable: true, transformer: modelColumnTransformer })
+  @Field(type => ScalarObject, { nullable: true, description: 'TwinModelDef blueprint (locations/equipment) required to replay events into state. Older stored boards used nodes/movers/equipmentList; they are normalised on read so consumers see one vocabulary.' }) // vocabulary-guard: allow — 옛 어휘를 흡수하는 것이 이 코드의 일이다(세대 이름을 적어야 흡수할 수 있다)
+  model?: any
 
+  /*
+   * 로컬 선언 겹 — **구조는 원천이, 수는 우리가.**
+   *
+   * 요금 단가·계약 정보·축전지 충전율처럼 원 시스템이 모르는 값을 넣는 자리다. `model` 에 직접 쓰지
+   * 않는 이유는 그것이 **원천의 사본**이기 때문이다: 다시 읽기가 사본을 새로 그리면 직접 쓴 값은 조용히
+   * 사라진다(요금이 사라지면 금액도 사라지고, 사용자는 이유를 알 수 없다).
+   *
+   * 그래서 여기 남기고, 모델을 그릴 때마다 그 위에 얹는다(`engine/local-declarations`). 얹힌 값에는
+   * `source: 'local'` 이 붙는다 — 커널 계약의 `PropertySource` 축(`reference` ↔ `local`)이고, 「밖에서
+   * 참조해 온 값이냐, 이 안에서 정한 값이냐」에 답한다.
+   *
+   * **이름에 장소 낱말을 쓰지 않는다**(옛 이름 `siteDeclarations`): 이 코드에서 `site` 는 **외부
+   * 시스템이 부르는 사업장**이고(SAP `P3`·Oracle `W01` 이 같은 현장), 여기 담기는 것은 그 외부 시스템이
+   * **모르는** 값이다 — 이름이 내용과 정반대였다. `space` 도 아니다: 그것은 「어디」에 답하고 이 축은
+   * 「누가 말했나」에 답한다.
+   */
   @Column({ type: 'simple-json', nullable: true })
-  @Field(type => ScalarObject, { nullable: true, description: 'BoardDef blueprint (locations/equipment) required to replay events into state.' })
-  board?: any
+  @Field(type => ScalarObject, { nullable: true, description: "Locally-declared values layered on top of the reference-derived model (tariff, contract, state of charge) — values whose authority sits here, not in the source system. Kept apart from `model` so a resync cannot silently drop them." })
+  localDeclarations?: any
 
   @Column({ nullable: true })
-  @Field({ nullable: true, description: 'Owning space id (co-location anchor). Promoted from board.spaceId — first-class "space → its twins" query (space-centered ontology).' })
+  @Field({ nullable: true, description: 'Owning space id (co-location anchor). Promoted from model.spaceId — first-class "space → its twins" query (space-centered ontology).' })
   spaceId?: string
 
   @Column({ nullable: true })
-  @Field({ nullable: true, description: 'Owning area id within the space (optional scope). Promoted from board.areaId.' })
+  @Field({ nullable: true, description: 'Owning area id within the space (optional scope). Promoted from model.areaId.' })
   areaId?: string
 
   @Column({ nullable: true })
@@ -64,19 +117,49 @@ export class TwinInstance {
   /*
    * purpose — 이 인스턴스가 운영 트윈인지, 격리된 벤치 사본인지 1급 선언(이름 접두사가 아니라 속성으로 구별).
    * 'bench' 는 규모/부하 실험용 격리 사본 — 목록·정리·안전 가드가 이 속성을 키로 동작(운영 트윈 무오염 보장).
-   * 미선언(레거시)은 'operational' 로 간주.
+   *
+   * **비어 있을 수 없다.** 프로비저닝이 `register` 에서 'operational' 로 각인하고, 벤치 사본만
+   * `setPurpose` 로 뒤집는다. 예전에는 비워 둔 채 읽는 쪽에서 메웠는데, 그러면 "운영이라고 선언된 것"
+   * 과 "아무도 말하지 않은 것" 이 같은 값으로 보여서 벤치 격리가 추측에 기대게 된다.
    */
-  @Column({ nullable: true })
-  @Field({ nullable: true, description: "Instance purpose: 'operational' (real twin) | 'bench' (isolated copy for scale/load experiments). Absent ⇒ operational." })
-  purpose?: string
+  @Column()
+  @Field({ description: "Instance purpose: 'operational' (real twin) | 'bench' (isolated copy for scale/load experiments)." })
+  purpose: string
 
   @Column({ nullable: true })
   @Field({ nullable: true, description: 'For a bench copy: the source spaceId it was copied from (provenance).' })
   copyOf?: string
 
-  @Column({ type: 'int', nullable: true })
-  @Field(type => Int, { nullable: true, description: 'Last persisted state revision observed for this instance.' })
-  revision?: number
+  /**
+   * **이 트윈을 다시 읽는 방법** — 어떤 원본에서 나왔나(`MasterOrigin`).
+   *
+   * 트윈은 원본을 비출 뿐이므로(ADR-0028) 원본이 달라지면 다시 읽어야 한다. 그런데 이 자리가 없던
+   * 동안 트윈은 **자기가 무엇에서 나왔는지 몰랐다** — 어댑터로 들어온 트윈은 `TwinReference` 행이
+   * 있었지만 템플릿으로 세운 트윈에는 아무 표식도 없었고, 그래서 첫날의 모습에 영원히 머무는
+   * 트윈이 만들어졌다. 원천이 무엇이든 여기 한 자리에 남긴다.
+   *
+   * **비어 있을 수 있다** — 이 자리가 생기기 전에 만들어진 트윈이 그렇다. 그때는 "다시 읽을 수
+   * 없다" 가 사실이므로 화면이 그대로 말한다(짐작해 채우지 않는다).
+   */
+  @Column({ type: 'simple-json', nullable: true })
+  @Field(type => ScalarObject, {
+    nullable: true,
+    description:
+      "How this twin's master can be produced again — {kind:'reference', source} or {kind:'template', templateId, params}. Absent means this twin cannot be re-read from its source."
+  })
+  origin?: any
+
+  /*
+   * `revision` 컬럼은 **없앴다**(2026-08-08).
+   *
+   * `ADR-0015` 가 "정의만 있고 write 안 됨 — 프로비저닝에서 최신 저널 revision 을 반영하도록
+   * 채운다" 고 적어 두었는데, 채우지 않는 편이 맞다. 저널의 최신 번호는 **저널이 아는 사실**이고
+   * (`TwinEngine.list` 가 `MAX(revision)` 으로 낸다), 여기 복제하면 **같은 사실의 집이 둘**이 된다.
+   * 이 세션에만 그 부류를 셋 겪었다(`model.operations` 두 집 · `materials` 두 집 · tenantId 중복).
+   *
+   * 복제한 값은 반드시 어긋난다 — 저널은 틱마다 늘고 이 컬럼은 저장할 때만 갱신되므로, 화면이
+   * 어느 쪽을 읽느냐로 다른 숫자가 나온다. 그 조용한 어긋남을 만들 이유가 없다.
+   */
 
   @CreateDateColumn()
   @Field({ nullable: true, description: 'Timestamp when the instance was first registered.' })
@@ -85,4 +168,26 @@ export class TwinInstance {
   @UpdateDateColumn()
   @Field({ nullable: true, description: 'Timestamp when the instance registry row was last updated.' })
   updatedAt?: Date
+
+  /*
+   * 누가 만들고 누가 고쳤나 — **이 행은 사람이 만든다**(프로비저닝은 사용자 행위)이므로 규약의
+   * 풀세트를 갖는다. 투영 행(자리·설비·공정)은 반대로 인제스트가 그린 것이라 저자가 사람이 아니고,
+   * 그 저자는 `sourceRef`+`ingestedAt` 이 이미 말한다 — 그래서 그쪽에는 두지 않는다.
+   *
+   * 비어 있을 수 있다: 부팅 자동 프로비저닝처럼 **사람이 없는 경로**로 만들어진 행이 그렇다.
+   * 그때 아무 사용자를 적어 넣으면 감사 기록이 거짓이 된다.
+   */
+  @ManyToOne(type => User, { nullable: true })
+  @Field(type => User, { nullable: true, description: 'The user who first provisioned this twin. Empty when it was created by a system path (boot provisioning).' })
+  creator?: User
+
+  @RelationId((e: TwinInstance) => e.creator)
+  creatorId?: string
+
+  @ManyToOne(type => User, { nullable: true })
+  @Field(type => User, { nullable: true, description: 'The user who last changed this twin registry row.' })
+  updater?: User
+
+  @RelationId((e: TwinInstance) => e.updater)
+  updaterId?: string
 }

package/server/service/twin-journal/twin-journal-query.ts

@@ -6,6 +6,8 @@ import { buildNextCursor, cursorSortings, getQueryBuilderFromListParams, getRepo
 import { TwinEvent } from '../twin-event/twin-event.js'
 import { TwinEventList } from '../twin-event/twin-event-type.js'
 import { TwinEngine } from '../../engine/index.js'
+import { pickAxes } from '../../engine/state-axes.js'
+import { digestAttentions } from '../../engine/attention-digest.js'
 import { computeTwinKpi, resolveTwinTargets } from '../../engine/kpi-query.js'
 
 /*
@@ -14,6 +16,20 @@ import { computeTwinKpi, resolveTwinTargets } from '../../engine/kpi-query.js'
  * twinReplay : 내구 저널을 replay 해 상태 재구성(재부팅 복구·시간여행) — untilRevision 으로 임의 과거.
  * (실시간 스트림은 twinState subscription, 명령은 twin-control mutation. 이건 '질의' 표면.)
  */
+/**
+ * 시각 필터 값을 날짜로 — 배열(between)이면 원소마다.
+ *
+ * 못 읽는 값은 **그대로 둔다.** 여기서 지어내면 사용자가 요청하지 않은 구간을 조회하게 된다.
+ */
+function toDateValue(v: any): any {
+  const one = (x: any) => {
+    if (x instanceof Date) return x
+    const t = typeof x === 'string' ? Date.parse(x) : NaN
+    return Number.isNaN(t) ? x : new Date(t)
+  }
+  return Array.isArray(v) ? v.map(one) : one(v)
+}
+
 @Resolver()
 export class TwinJournalQuery {
   @Query(returns => [TwinEvent], {
@@ -30,8 +46,8 @@ export class TwinJournalQuery {
   ): Promise<TwinEvent[]> {
     const where: any = { domain: { id: context.state.domain.id }, instanceId }
     if (eventType) where.eventType = eventType
-    /* 시각 커서(untilTime, ISO) 우선 — eventTime ≤ T(공유 clock). eventTime 은 ISO 문자열 컬럼이라 lexicographic 비교 성립. */
-    if (untilTime != null) where.eventTime = LessThanOrEqual(untilTime)
+    /* 시각 커서(untilTime, ISO) 우선 — eventTime ≤ T(공유 clock). 컬럼이 날짜라 **날짜로 넘긴다.** */
+    if (untilTime != null) where.eventTime = LessThanOrEqual(new Date(untilTime))
     else if (fromRevision != null && toRevision != null) where.revision = Between(fromRevision, toRevision)
     else if (fromRevision != null) where.revision = MoreThanOrEqual(fromRevision)
     else if (toRevision != null) where.revision = LessThanOrEqual(toRevision)
@@ -89,7 +105,16 @@ export class TwinJournalQuery {
       pagination: { page: params.pagination?.page ?? 1, limit },
       /* 기본 정렬은 시각 내림차순 — 여러 트윈을 합칠 때 공통 축은 revision(트윈별 카운터)이 아니라
        * **시각**이다. revision 으로 섞으면 서로 다른 트윈의 무관한 카운터가 뒤엉킨다. */
-      sortings: params.sortings?.length ? params.sortings : [{ name: 'eventTime', desc: true }]
+      sortings: params.sortings?.length ? params.sortings : [{ name: 'eventTime', desc: true }],
+      /*
+       * 시각 필터는 **날짜로 바꿔서** 질의 빌더에 넘긴다.
+       *
+       * 화면은 ISO 문자열(`2026-08-07T11:00:00.000Z`)을 보내는데 eventTime 은 날짜 컬럼이고,
+       * sqlite 는 그것을 공백 구분 형식(`2026-08-07 11:00:00.000`)으로 저장한다. 문자열 그대로
+       * 비교하면 사전식으로 어긋나 **오류 없이 빈 결과**가 나온다(실측으로 확인했다).
+       * 화면이 날짜를 어떻게 적어 보내든 서버가 받아 주는 편이 맞다 — 계약을 좁히는 대신 경계에서 옮긴다.
+       */
+      filters: (params.filters ?? []).map(f => (f.name === 'eventTime' ? { ...f, value: toDateValue(f.value) } : f))
     }
 
     const qb = getQueryBuilderFromListParams({
@@ -97,7 +122,7 @@ export class TwinJournalQuery {
       params: effective,
       domain,
       /* 전부 인덱스 가능한 승격 컬럼 — 자유 검색어는 서버가 이 축들로 펼친다. */
-      searchables: ['epc', 'orderId', 'locationId', 'moverId', 'bizStep', 'eventType'],
+      searchables: ['epc', 'orderId', 'locationId', 'moverId', 'bizStep', 'eventType', 'correlationId'],
       /* 정렬은 인덱스가 받쳐 주는 축으로만 — 큰 저널에서 임의 컬럼 정렬은 전체 정렬 스캔이다. */
       sortables: ['eventTime', 'revision', 'eventType', 'bizStep'],
       defaultLimit: 100,
@@ -116,7 +141,7 @@ export class TwinJournalQuery {
   }
 
   /**
-   * 업무 KPI — 시간창 처리량·소요시간·자원 점유. 저널을 **접어서** 만든다(새 계측을 심지 않는다).
+   * 업무 KPI — 시간창 처리량·소요시간·자원 점유. 저널을 **접어서** 만든다(새 계측을 주입하지 않는다).
    *
    * `twinMetrics`(초당 이벤트 수 = 인프라 부하)와 **다른 것**이다: 이건 "지난 한 시간에 몇 건 처리했고
    * 한 건에 얼마나 걸렸나" 다. 이름이 비슷해 헷갈리기 쉬우므로 설명에 명시한다.
@@ -126,7 +151,7 @@ export class TwinJournalQuery {
    */
   @Query(returns => ScalarObject, {
     description:
-      'Windowed business KPI folded from the event journal, for one space (every running twin in it, folded together — averaging per-twin percentiles would be wrong) or one twin: throughput (completed tasks / orders), lead / work / wait time distributions (p50·p90), and per-resource busy ratio. Distinct from twinMetrics, which reports infrastructure throughput (events per second). When toTime is omitted the window ends at the twin\'s own last recorded event time, not wall clock — a simulated twin lives on its own clock, so asking for \'the last hour\' in real time would always find nothing. The basis used is reported in window.basis. Pass groupBy (resource | taskKind | location | order | area | shift) to break the same window down by that perspective. The shift axis is **computed, not stored**: the journal records only times, and the shift is derived from each completion\'s time plus the declared site shifts and time zone — so correcting a shift definition re-counts history correctly instead of leaving it frozen under the old boundaries. Sites that declare no shifts report every group as unknown rather than inventing shift names — per-group numbers use the same rules as the totals, so group counts sum to the total, and groups beyond groupLimit are reported as groups.truncated (how many groups) and groups.truncatedTasks (how much work those groups held) rather than silently dropped. Pass compareTo (previous | yesterday) to fold the same-length window shifted back and get comparison.delta (current minus that window); when the comparison window has no records, comparison.measured is false and no delta is produced rather than reporting zero change. Passing groupBy together with compareTo crosses the two: each group carries prevTasks / deltaTasks / deltaWorkP50Ms, groups absent from the comparison window are flagged isNew (no delta, so growth is not implied), and groups that had work before but none now are returned in groups.disappeared so a stopped area is never silently missing from the table. Area breakdown needs board locations to carry a parent area; when they do not, groups.note says so instead of implying there was no work. When the journal read hits its row cap, eventsCapped is true and every number is a lower bound — narrow the window and ask again rather than reading the smaller figures as a drop in performance. When operational targets are set for the space or instance, `targets` carries the verdicts [{metric, actual, target, direction, met, ratio}] — ratio is normalised so that 1 or more is always good, letting throughput and duration metrics be compared on one scale. A metric with no target, or with no measurement in the window, is absent from `targets` rather than reported as a miss, because a period with no work would otherwise read as a perfect score on duration metrics. Completions are counted in the window they complete; starts are looked up before the window, and any completion whose start was not found is reported in `unpaired` rather than silently dropped.'
+      'Windowed business KPI folded from the event journal, for one space (every running twin in it, folded together — averaging per-twin percentiles would be wrong) or one twin: throughput (completed tasks / orders), lead / work / wait time distributions (p50·p90), and per-resource busy ratio. Distinct from twinMetrics, which reports infrastructure throughput (events per second). When toTime is omitted the window ends at the twin\'s own last recorded event time, not wall clock — a simulated twin lives on its own clock, so asking for \'the last hour\' in real time would always find nothing. The basis used is reported in window.basis. Pass groupBy (resource | taskKind | location | order | area | shift) to break the same window down by that perspective. The shift axis is **computed, not stored**: the journal records only times, and the shift is derived from each completion\'s time plus the declared site shifts and time zone — so correcting a shift definition re-counts history correctly instead of leaving it frozen under the old boundaries. Sites that declare no shifts report every group as unknown rather than inventing shift names — per-group numbers use the same rules as the totals, so group counts sum to the total, and groups beyond groupLimit are reported as groups.truncated (how many groups) and groups.truncatedTasks (how much work those groups held) rather than silently dropped. Pass compareTo (previous | yesterday) to fold the same-length window shifted back and get comparison.delta (current minus that window); when the comparison window has no records, comparison.measured is false and no delta is produced rather than reporting zero change. Passing groupBy together with compareTo crosses the two: each group carries prevTasks / deltaTasks / deltaWorkP50Ms, groups absent from the comparison window are flagged isNew (no delta, so growth is not implied), and groups that had work before but none now are returned in groups.disappeared so a stopped area is never silently missing from the table. Area breakdown needs model locations to carry a parent area; when they do not, groups.note says so instead of implying there was no work. When the journal read hits its row cap, eventsCapped is true and every number is a lower bound — narrow the window and ask again rather than reading the smaller figures as a drop in performance. When operational targets are set for the space or instance, `targets` carries the verdicts [{metric, actual, target, direction, met, ratio}] — ratio is normalised so that 1 or more is always good, letting throughput and duration metrics be compared on one scale. A metric with no target, or with no measurement in the window, is absent from `targets` rather than reported as a miss, because a period with no work would otherwise read as a perfect score on duration metrics. Completions are counted in the window they complete; starts are looked up before the window, and any completion whose start was not found is reported in `unpaired` rather than silently dropped. Pass baselinePeriods (1-14, with baselineStride day | week) to fold the same time-of-day window on each of the last N days (or the same weekday on each of the last N weeks) and get `baseline.metrics` — per metric the distribution of those windows (min / median / max) plus where the current window sits: `rank` (1 = smallest, direction-free) and `standing` (best | better-than-typical | typical | worse-than-typical | worst, which does apply the metric direction). This answers what a single comparison cannot: comparing to yesterday alone is useless if yesterday was also bad. Every requested window is returned in `samples` with `measured` true or false — windows without records are kept and counted (measuredCount vs requested) rather than dropped, so "the last 7 days" never silently means 3. No position is reported when the current window has no value or fewer than two baseline windows were measured; `noPosition` says which, because a missing distribution drawn as neutral would read as "typical". The baseline is produced even when the current window itself has no records, since that is exactly when knowing the usual level matters (a stopped line).'
   })
   async twinKpi(
     @Ctx() context: ResolverContext,
@@ -147,7 +172,11 @@ export class TwinJournalQuery {
     /** 축의 상한(기본 20, 최대 100). 넘치면 잘라내고 잘린 수를 알린다. */
     @Arg('groupLimit', type => Int, { nullable: true }) groupLimit?: number,
     /** 비교 기준 — 같은 길이의 앞 구간(previous)이나 하루 전 같은 시간(yesterday). */
-    @Arg('compareTo', { nullable: true }) compareTo?: string
+    @Arg('compareTo', { nullable: true }) compareTo?: string,
+    /** 여러 구간 동시 비교 — 최근 N 구간의 같은 시간대 분포(1~14). */
+    @Arg('baselinePeriods', type => Int, { nullable: true }) baselinePeriods?: number,
+    /** 분포의 간격 — day(같은 시간대) | week(같은 요일·시간대). 기본 day. */
+    @Arg('baselineStride', { nullable: true }) baselineStride?: string
   ): Promise<any> {
     /* 테넌트 격리 — 트윈 지정이면 소속을 확인한다. 공간 지정이면 대상 해소가 도메인 목록에서
      * 이뤄지므로(computeTwinKpi) 남의 트윈이 섞이지 않는다. 조용한 빈 결과가 아니라 명시 실패. */
@@ -168,7 +197,10 @@ export class TwinJournalQuery {
       lookbackMinutes,
       groupBy: groupBy as any,
       groupLimit,
-      compareTo: compareTo as any
+      compareTo: compareTo as any,
+      ...(baselinePeriods && baselinePeriods > 0
+        ? { baseline: { periods: baselinePeriods, stride: (baselineStride as any) === 'week' ? 'week' : 'day' } }
+        : {})
     })
   }
 
@@ -180,9 +212,30 @@ export class TwinJournalQuery {
     @Arg('instanceId') instanceId: string,
     @Arg('untilRevision', type => Int, { nullable: true }) untilRevision: number,
     @Arg('untilTime', { nullable: true }) untilTime: string,
-    @Ctx() context: ResolverContext
+    @Ctx() context: ResolverContext,
+    /*
+     * 필요한 축만 — 지도는 `locations`·`attentions` 만 쓰는데 상태를 통째로 받고 있었다(실 저널로
+     * 재 보니 트윈 하나가 최대 710KB, 같은 공간에 셋이면 약 2MB). 화면 전용 질의를 만들지 않고
+     * 호출부가 축을 말한다(무방언 — 어휘가 화면 이름이 아니라 상태의 축이다).
+     * 말하지 않으면 자르지 않는다(기존 호출부 무영향).
+     */
+    @Arg('axes', type => [String], { nullable: true }) axes?: string[],
+    /*
+     * 신호는 몇 건만 필요한가 — 레일은 20건을 그리고 나머지는 "N건 더" 라고만 말한다. 그런데 신호가
+     * 많은 트윈은 그 전량이 108KB 다(`hatio-yard` 397건). 상위 N 만 보내고 **전체 개수와 자리별
+     * 최고 심각도는 전량을 근거로** 함께 보낸다 — 레일은 잘라도 되지만 지도 색은 잘라선 안 된다.
+     * 말하지 않으면 자르지 않는다.
+     */
+    @Arg('attentionLimit', type => Int, { nullable: true }) attentionLimit?: number
   ): Promise<any> {
-    return TwinEngine.recover(context.state.domain.id, instanceId, untilRevision ?? undefined, untilTime ?? undefined)
+    const state = await TwinEngine.recover(context.state.domain.id, instanceId, untilRevision ?? undefined, untilTime ?? undefined)
+    const picked = pickAxes(state, axes)
+    /* 오타를 조용히 넘기지 않는다 — 화면이 빈 채로 뜨는 이유를 아무도 모르게 되는 것이 가장 나쁘다. */
+    if (picked.unknown.length) console.warn(`[twin] twinReplay: unknown axes ignored for "${instanceId}": ${picked.unknown.join(', ')}`)
+    if (!attentionLimit || !picked.state?.attentions) return picked.state
+    const d = digestAttentions(picked.state.attentions, attentionLimit)
+    /* 잘랐다는 사실을 값으로 남긴다 — 개수만 줄어들면 화면은 "괜찮아졌다" 로 읽는다. */
+    return { ...picked.state, attentions: d.attentions, attentionTotal: d.attentionTotal, severityByLocation: d.severityByLocation }
   }
 
   @Query(returns => ScalarObject, {
@@ -197,7 +250,7 @@ export class TwinJournalQuery {
     @Arg('unitsPerDay', type => Float) unitsPerDay: number,
     /**
      * 가용 시간을 잴 기준 주의 시작(ISO, 월요일). 공휴일이 없는 평상주여야 한다 —
-     * 공휴일은 연간 가용량을 따로 깎지, 이 공장의 평상시 천장을 정하지 않는다.
+     * 공휴일은 연간 가용량을 따로 깎지, 이 공장의 평상시 상한을 정하지 않는다.
      */
     @Arg('sampleWeekStart', { nullable: true }) sampleWeekStart: string,
     @Ctx() context: ResolverContext
@@ -209,8 +262,8 @@ export class TwinJournalQuery {
     if (!(unitsPerDay > 0)) throw new Error('unitsPerDay must be greater than zero')
 
     /*
-     * 기준 주를 안 주면 **이번 주 월요일**을 쓴다. 그 주에 공휴일이 끼면 천장이 조금 낮게 나오는데,
-     * 그것은 조용한 오류가 아니라 **이번 주의 실제 가용 시간**이라 답으로서 정직하다. 평상시 천장을
+     * 기준 주를 안 주면 **이번 주 월요일**을 쓴다. 그 주에 공휴일이 끼면 상한이 조금 낮게 나오는데,
+     * 그것은 조용한 오류가 아니라 **이번 주의 실제 가용 시간**이라 답으로서 정직하다. 평상시 상한을
      * 보려는 호출자는 평상주를 지정한다.
      */
     const base = sampleWeekStart ? Date.parse(sampleWeekStart) : Date.now()
@@ -221,9 +274,50 @@ export class TwinJournalQuery {
     return TwinEngine.capacity(context.state.domain.id, { instanceId, spaceId }, unitsPerDay, monday)
   }
 
+  @Query(returns => ScalarObject, {
+    nullable: true,
+    description:
+      'Operations capability of a twin for a time window (ISA-95 Part 4 OperationsCapability): per operation the ceiling for that window split into Committed (already promised), Unattainable (lost to resources that cannot be used — down, held, off-shift, expired qualification) and Available (what is left). Answers "can we take more work?" — which the steady-state rate alone cannot. Null when the twin is not running.'
+  })
+  async twinOperationsCapability(
+    @Arg('instanceId', { nullable: true }) instanceId: string,
+    @Arg('spaceId', { nullable: true }) spaceId: string,
+    @Arg('unitsPerDay', type => Float) unitsPerDay: number,
+    /** 능력을 물을 구간 — **구간 없이 능력은 존재하지 않는다**(표준 StartTime/EndTime). */
+    @Arg('fromTime') fromTime: string,
+    @Arg('toTime') toTime: string,
+    @Arg('sampleWeekStart', { nullable: true }) sampleWeekStart: string,
+    @Ctx() context: ResolverContext
+  ): Promise<any> {
+    if (instanceId && !(await TwinEngine.ownsRegistered(context.state.domain.id, instanceId))) {
+      throw new Error(`twin instance not found in this tenant: ${instanceId}`)
+    }
+    if (!instanceId && !spaceId) throw new Error('either spaceId or instanceId is required')
+    if (!(unitsPerDay > 0)) throw new Error('unitsPerDay must be greater than zero')
+    /* 구간은 **부르는 쪽이 말해야 한다** — 기본값을 두면 화면마다 다른 구간을 보면서 같은 값으로 읽는다. */
+    const from = Date.parse(fromTime)
+    const to = Date.parse(toTime)
+    if (Number.isNaN(from) || Number.isNaN(to)) throw new Error(`window is not a valid ISO time: ${fromTime} ~ ${toTime}`)
+    if (to <= from) throw new Error(`window is inverted: ${fromTime} ~ ${toTime}`)
+
+    /* 기준 주 규율은 `twinCapacity` 와 같다(같은 계산을 쓰므로 같은 주를 골라야 한다). */
+    const base = sampleWeekStart ? Date.parse(sampleWeekStart) : from
+    if (Number.isNaN(base)) throw new Error(`sampleWeekStart is not a valid ISO time: ${sampleWeekStart}`)
+    const d = new Date(base)
+    const monday = Date.UTC(d.getUTCFullYear(), d.getUTCMonth(), d.getUTCDate() - ((d.getUTCDay() + 6) % 7))
+
+    return TwinEngine.operationsCapability(
+      context.state.domain.id,
+      { instanceId, spaceId },
+      unitsPerDay,
+      monday,
+      { fromTime, toTime }
+    )
+  }
+
   @Query(returns => ScalarObject, {
     description:
-      "Structural revisions a twin has been through, newest last: when each took effect, how many journal events happened under it, and what changed from the previous one (counts by location type and equipment kind). The board itself is not returned — a revision holds the whole plant, but what a person wants is the difference."
+      "Structural revisions a twin has been through, newest last: when each took effect, how many journal events happened under it, and what changed from the previous one (counts by location type and equipment kind). The model itself is not returned — a revision holds the whole plant, but what a person wants is the difference."
   })
   async twinStructures(@Arg('instanceId') instanceId: string, @Ctx() context: ResolverContext): Promise<any> {
     /* 이력 질문이므로 **등록부**에 소유를 묻는다 — 꺼진 트윈의 이력도 읽을 수 있어야 한다. */

package/server/service/twin-lifecycle/twin-lifecycle-mutation.ts

@@ -1,10 +1,10 @@
-import { Arg, Ctx, Mutation, Query, Resolver } from 'type-graphql'
+import { Arg, Ctx, Mutation, Query, Resolver, Directive} from 'type-graphql'
 
 import { ScalarObject } from '@things-factory/shell'
 
 import { TwinEngine } from '../../engine/index.js'
 
-import type { BoardDef } from '@operato/twin-kernel'
+import type { TwinModelDef } from '@operato/twin-kernel'
 
 /* 도메인 어휘 카탈로그(시스템별 노드 타입) — 커널이 SSOT. 앱/UI 는 이걸 소싱하고 재선언하지 않는다(방언 금지).
  * 조합은 domain-catalog.ts 가 소유 — 리졸버와 서버측 소비자(board-ai 도구 등)가 같은 형태를 본다. */
@@ -14,49 +14,54 @@ import { domainCatalog } from './domain-catalog.js'
  * 트윈 인스턴스 생명주기 채널 — 프로비저닝(상향, ADR-0015).
  * State/Command/Scenario 는 이미 running 인 인스턴스를 다루지만, 이 채널은 인스턴스 자체를 만들고/설정하고/없앤다.
  * 생명주기: provision(save, 미기동) → start → stop → delete. 모두 domain 스코프(context.state.domain.id).
- * board(BoardDef+layout)=구조, scenario=자극 은 분리 — 여기선 구조만 세운다. 자극은 controlTwinScenario 로.
+ * model(TwinModelDef+layout)=구조, scenario=자극 은 분리 — 여기선 구조만 세운다. 자극은 controlTwinScenario 로.
  */
 @Resolver()
 export class TwinLifecycleMutation {
-  /** 프로비저닝(저장, 미기동) — 구조를 레지스트리에 등록만. 재프로비전 시 구조 변경이면 저널 purge(엔진). */
-  @Mutation(returns => Boolean, {
-    description: 'Provision (save) a twin instance structure (kind: wms|yms|mes) from a BoardDef without starting it.'
-  })
-  async saveTwinInstance(
-    @Arg('instanceId') instanceId: string,
-    @Arg('kind') kind: string,
-    @Arg('board', type => ScalarObject) board: any,
-    @Ctx() context: ResolverContext
-  ): Promise<boolean> {
-    await TwinEngine.provision(context.state.domain.id, instanceId, kind, board as BoardDef)
-    return true
-  }
+  /*
+   * `saveTwinInstance` 는 **없앴다**(2026-08-08, ADR-0028).
+   *
+   * 트윈의 구조를 임의의 model 로 덮어쓰는 문이었고, 유일한 소비자는 손저작 편집기였다.
+   * 구조는 원본에서 온다 — 템플릿(`createFromTemplate`)이나 커넥터(`ingestMaster`)가 그 길이다.
+   * 문을 열어 두면 화면만 지워도 다음 소비자가 다시 생긴다.
+   *
+   * 시뮬 트윈을 세우는 것은 여전히 가능하다. 다만 그 입구는 **원본을 만드는 쪽**이지
+   * 트윈을 고치는 쪽이 아니다(ADR-0029 — 시뮬레이터는 원본의 한 종류).
+   */
 
-  /** 기동 — board 를 주면 provision+start, 없으면 레지스트리에 저장된 구조로 start. */
+  /** 기동 — model 를 주면 provision+start, 없으면 레지스트리에 저장된 구조로 start. */
+  @Directive('@privilege(category: "twin", privilege: "mutation", domainOwnerGranted: true, superUserGranted: true)')
   @Mutation(returns => Boolean, {
-    description: 'Start a twin runtime instance and begin the worker tick. If board is given it provisions first; otherwise it starts from the saved registry board.'
+    description: 'Start a twin runtime instance and begin the worker tick. If model is given it provisions first; otherwise it starts from the saved registry model.'
   })
   async startTwinInstance(
     @Arg('instanceId') instanceId: string,
     @Ctx() context: ResolverContext,
     @Arg('kind', { nullable: true }) kind?: string,
-    @Arg('board', type => ScalarObject, { nullable: true }) board?: any
+    @Arg('model', type => ScalarObject, { nullable: true }) model?: any
   ): Promise<boolean> {
     const domainId = context.state.domain.id
     // 시각 기준은 **공간**이 갖는다(테넌트 아님) — 교대의 HH:MM 을 어느 기준으로 읽나.
-    if (board) TwinEngine.start(instanceId, domainId, kind ?? 'wms', await TwinEngine.withSpaceTimeBase(board as BoardDef, domainId))
+    if (model) {
+      /* model 를 함께 주는 것은 프로비저닝이다 — 그러면 종류도 말해야 한다.
+         예전에는 `kind ?? 'wms'` 로 메웠는데, 종류를 빠뜨린 야드/생산 트윈이 **창고로 조용히 기동**했다. */
+      if (!kind) throw new Error('kind is required when model is given — it decides which domain kernel runs this twin')
+      TwinEngine.start(instanceId, domainId, kind, await TwinEngine.withSpaceTimeBase(model as TwinModelDef, domainId))
+    }
     else await TwinEngine.startFromRegistry(domainId, instanceId)
     return true
   }
 
+  @Directive('@privilege(category: "twin", privilege: "mutation", domainOwnerGranted: true, superUserGranted: true)')
   @Mutation(returns => Boolean, { description: 'Stop a running twin runtime instance by its id (only if it belongs to the current domain).' })
   async stopTwinInstance(@Arg('instanceId') instanceId: string, @Ctx() context: ResolverContext): Promise<boolean> {
     if (!TwinEngine.owns(context.state.domain.id, instanceId)) return false // 테넌트 격리 — 남의 도메인 트윈 정지 차단
-    await TwinEngine.stop(instanceId)
+    await TwinEngine.stop(context.state.domain.id, instanceId)
     return true
   }
 
   /** 삭제 — 정지 + 레지스트리 삭제 + 저널 purge(domain 스코프). */
+  @Directive('@privilege(category: "twin", privilege: "mutation", domainOwnerGranted: true, superUserGranted: true)')
   @Mutation(returns => Boolean, { description: 'Delete a twin instance: stop it, remove the registry entry and purge its event journal.' })
   async deleteTwinInstance(@Arg('instanceId') instanceId: string, @Ctx() context: ResolverContext): Promise<boolean> {
     await TwinEngine.remove(context.state.domain.id, instanceId)
@@ -64,13 +69,25 @@ export class TwinLifecycleMutation {
   }
 
   /** 관리 목록 — 등록된 인스턴스 전체(kind/status/running/revision/노드·무버 수). 데이터 없으면 빈 배열. */
+  /**
+   * **이 공간의 트윈 id 들** — 한 현실을 여러 렌즈가 비추므로 공간을 물으면 그 렌즈 전부를 답한다.
+   *
+   * 화면이 전체 목록을 받아 걸러 쓰던 규칙을 서버로 모은다. 예측 화면은 같은 확장을 한 파일에서
+   * **두 번** 복제하고 있었고, 규칙이 흩어지면 한쪽만 고쳐진다. 떠 있지 않은 것도 포함한다 —
+   * 공간에 무엇이 있는지는 기동 여부와 다른 사실이다.
+   */
+  @Query(returns => [String], { description: 'Ids of the twins that live in a space (all its lenses), running or not.' })
+  async twinSpaceInstanceIds(@Arg('spaceId') spaceId: string, @Ctx() context: ResolverContext): Promise<string[]> {
+    return TwinEngine.instanceIdsOfSpace(context.state.domain.id, spaceId)
+  }
+
   @Query(returns => [ScalarObject], { description: 'List provisioned twin instances in the current domain with management metadata.' })
   async twinInstanceList(@Ctx() context: ResolverContext): Promise<any[]> {
     return TwinEngine.list(context.state.domain.id)
   }
 
-  /** 단건 상세 — 프로비저닝 에디터용 board(구조+layout) 포함. */
-  @Query(returns => ScalarObject, { nullable: true, description: 'Get one provisioned twin instance with its BoardDef (structure + layout) for editing.' })
+  /** 단건 상세 — 프로비저닝 에디터용 model(구조+layout) 포함. */
+  @Query(returns => ScalarObject, { nullable: true, description: 'Get one provisioned twin instance with its TwinModelDef (structure + layout) for editing.' })
   async twinInstanceDetail(@Arg('instanceId') instanceId: string, @Ctx() context: ResolverContext): Promise<any | null> {
     return TwinEngine.detail(context.state.domain.id, instanceId)
   }