@tyhld/conductor 0.12.98 → 0.12.100

package/dist/autoupdate.js

@@ -17,7 +17,7 @@
  *   ・入れ替えは全現場が空きのときだけ: 札を置く → 中継の1周ぶん待つ → もう一度空きを確かめる →
  *     版を名指しして入れる（取得先は毎回 https://registry.npmjs.org・@latest にしない）→
  *     全現場の常駐を起こし直す → 札を外す → 自己診断 → 管制へ（自己診断が届ける）。
- *   ・空きでなければ次の回に再挑戦。6時間空かなければ札を置いて新しい便を取らない形に移り、
+ *   ・空きでなければ次の回に再挑戦。30分空かなければ札を置いて新しい便を取らない形に移り、
  *     走っている便の終わりを待つ（★走っている便は止めない）。
  *   ・自己診断が FAIL → そのPCだけ前の版へ戻す → 自己診断（after-rollback＝rolledBack が管制へ届く）。
  *     戻しても FAIL なら、その版のまま止まって🟡（Claude Code・囲い・小さな試験が落ちたままなら
@@ -47,8 +47,18 @@ export const CONDUCTOR_REGISTRY_ARG = '--@tyhld:registry=https://registry.npmjs.
 export const CLAUDE_INSTALL_URL = 'https://claude.ai/install.sh';
 /** 管制が checkAgainMin を返さないときの間隔（分）。 */
 export const DEFAULT_CHECK_MIN = 15;
-/** 空きが来ないとき、札を置いて新しい便を取らない形に移るまでの長さ。 */
-export const BUSY_LIMIT_MS = 6 * 60 * 60 * 1000;
+/**
+ * 空きが来ないとき、札を置いて新しい便を取らない形に移るまでの長さ。
+ *
+ * 【30分にした理由（えふさん確定 2026-10-05・便 684ac785）】
+ *   以前は6時間。便が続いている機体（メインPC）は「全現場が同時に空く時」が来ないので、
+ *   新しい版への入れ替えが6時間待たされた。実物: メインPCの配り役が 0.12.92 のままで、
+ *   Codex 向けの配達文（0.12.95 から入った）が便に入らなかった。
+ *   札を置けば新しい便を取らなくなるので、走っている便が終わった時点で空きになる＝
+ *   30分で札を置くほうが、入れ替えまでの時間がはるかに短くなる。
+ *   ★走っている便は止めない（今までどおり）。札は入れ替えが済んだら外す（今までどおり）。
+ */
+export const BUSY_LIMIT_MS = 30 * 60 * 1000;
 /** 起こし直した常駐が立ち上がるのを待つ上限。 */
 export const RESTART_WAIT_MS = 120_000;
 /** 起こし直した常駐の様子を見る間隔。 */
@@ -569,7 +579,7 @@ export async function runUpdater(d) {
         const waited = now.getTime() - Date.parse(s.busySince);
         if (waited >= BUSY_LIMIT_MS) {
             placeDrain(d, s);
-            return done(d, s, 'draining', `${comp} ${want} へ入れ替えたいが、6時間空きが来ません。札を置いて、走っている便（${busy.join(',')}）の終わりを待ちます`);
+            return done(d, s, 'draining', `${comp} ${want} へ入れ替えたいが、30分空きが来ません。札を置いて、走っている便（${busy.join(',')}）の終わりを待ちます`);
         }
         return done(d, s, 'busy', `作業中の便があるので入れ替えません（${busy.join(',')}）。次の回に再挑戦します`);
     }

package/dist/relay.js

@@ -316,6 +316,11 @@ export const RELAY_SKIP_WARN_THRESHOLD = 6;
  *   中央が便を抱える上限（CENTRAL_BUSY_HOLD_MAX_MS＝3時間）と同じ値にそろえる。
  */
 export const RELAY_CODEX_TURN_HOLD_MAX_MS = CENTRAL_BUSY_HOLD_MAX_MS;
+/**
+ * 受け皿の名前をそろえる仕事（登録簿の書き出し・読まれない受け皿の始末）の間隔。
+ *   ★配達の判断には1バイトも関わらない。フォルダを見に行くので毎周はやらない。
+ */
+export const RELAY_CODEX_TRAY_TIDY_MS = 10 * 60 * 1000;
 /** 初期状態を作る。 */
 export function createRelayState() {
     return {
@@ -337,6 +342,7 @@ export function createRelayState() {
         lastNudgeLogAt: null,
         codexTurnOpen: null,
         codexNoticeSeen: false,
+        codexTrayTidiedAt: null,
         central: { failures: 0, detail: '', downSince: null },
         readiness: createReadiness(),
     };
@@ -1046,11 +1052,22 @@ export function buildAnchor(id) {
 //   現場ごとの受け皿へ1行書く。relay はそれを読み、**既存の完了経路**（patchStatus done+report）
 //   へそのまま橋渡しする。＝完了を中央へ伝える道は今までどおり1本のまま。
 // ───────────────────────────────────────────────────────────────────────────
-/** Codex の受け皿の置き場。受け口スクリプトと同じ決め方にする。 */
+/**
+ * Codex の受け皿の置き場。受け口スクリプトと同じ決め方にする。
+ *
+ * ★試験のあいだは、置き場を名指ししていなければ【使い捨ての置き場】へ倒す（便 684ac785）。
+ *   受け皿には本物の便の完了が入っている（~/.tyhld/codex-notify）。試験が置き場を渡し忘れると、
+ *   本物の受け皿を読んで消す・控えや登録簿を書き足す、が起こり得る。tmux の隔てと同じ考えで、
+ *   「試験を書く人が渡し忘れても本物に触れない」ようにしておく（人の約束に頼らない）。
+ */
 export function codexNotifyDir(env = process.env) {
     const explicit = (env.CONDUCTOR_CODEX_NOTIFY_DIR ?? '').trim();
     if (explicit)
         return explicit;
+    if (isUnderTest(env)) {
+        // ★プロセスごとに別の置き場（試験ファイルは別プロセスで走るので、互いに混ざらない）。
+        return path.join(os.tmpdir(), `conductor-test-codex-notify-${process.pid}`);
+    }
     const home = (env.HOME ?? '').trim();
     return home ? path.join(home, '.tyhld', 'codex-notify') : '';
 }
@@ -1261,6 +1278,254 @@ export function pickCodexNoticeFor(site, job, env = process.env) {
     return { notice, skipped, skippedFile: recordSkippedCodexNotices(site, skipped, env) };
 }
 // ───────────────────────────────────────────────────────────────────────────
+// 現場の登録簿と、読まれない受け皿の始末（★便 684ac785）
+//
+// 【何が起きていたか（実物 2026-10-04）】受け口（scripts/codex/codex-notify.py）は現場名を
+//   「Codex を起動したフォルダの名前」から決めていた。Codex を【現場の下のフォルダ】で
+//   起動すると、配り役が読まない名前の受け皿ができる。
+//     現場 codex-probe（配り役は codex-probe.jsonl を読む）
+//       ~/codex-probe        で起動 → codex-probe.jsonl  … 読まれる
+//       ~/codex-probe/video-lab で起動 → video-lab.jsonl … ★誰にも読まれない（30件・36KB）
+//   同じずれは「現場名とフォルダ名が違う現場」でも起きる（sites.sh: plus1 → plus1-foryou）。
+//
+// 【根治の2本立て】
+//   ① 受け口が【配り役の現場名】で書く。そのために配り役が現場名と作業フォルダを
+//      登録簿（<受け皿の置き場>/sites.json）へ書き出す。受け口は配達文の `DONE:<現場>` を
+//      第一に見て、無いときこの登録簿を引く（codex-notify.py の resolve_site）。
+//   ② 既に溜まっている【読まれない受け皿】を、人の手を借りずに控えへ回す
+//      （sweepStrayCodexNotices）。★消さない＝中身は1行も失わずに控えへ移す。
+// ───────────────────────────────────────────────────────────────────────────
+/** 現場の登録簿のファイル名（★codex-notify.py の SITES_REGISTRY と同じ名前）。 */
+export const CODEX_SITES_REGISTRY = 'sites.json';
+/** 現場名として使える字（★scripts/sites.sh の is_valid_site_name と同じ）。 */
+const SITE_NAME_OK = /^[A-Za-z0-9_-]+$/;
+/** 登録簿のパス。受け皿の置き場が分からなければ ''。 */
+export function codexSitesRegistryPath(env = process.env) {
+    const dir = codexNotifyDir(env);
+    return dir ? path.join(dir, CODEX_SITES_REGISTRY) : '';
+}
+/** 登録簿を読む（無い・壊れている → 空）。 */
+export function readCodexSiteRegistry(env = process.env) {
+    const file = codexSitesRegistryPath(env);
+    if (!file)
+        return [];
+    let raw;
+    try {
+        raw = readFileSync(file, 'utf8');
+    }
+    catch {
+        return [];
+    }
+    try {
+        const o = JSON.parse(raw);
+        if (!Array.isArray(o.sites))
+            return [];
+        const out = [];
+        for (const e of o.sites) {
+            if (typeof e !== 'object' || e === null)
+                continue;
+            const r = e;
+            const site = typeof r.site === 'string' ? r.site.trim() : '';
+            const workDir = typeof r.workDir === 'string' ? r.workDir.trim() : '';
+            if (!SITE_NAME_OK.test(site) || workDir === '')
+                continue;
+            out.push({
+                site,
+                workDir,
+                machine: typeof r.machine === 'string' ? r.machine : undefined,
+                at: typeof r.at === 'string' ? r.at : undefined,
+            });
+        }
+        return out;
+    }
+    catch {
+        return []; // 壊れていたら空から書き直す（配達の道は止めない）
+    }
+}
+/**
+ * 自分の現場を登録簿へ書き込む（ほかの現場の行は1つも落とさない）。
+ * 返り: 実際に書いたか（中身が同じなら書かない＝毎周の書き込みを増やさない）。
+ * ★失敗しても false を返すだけ（登録簿が無くても受け口は ③④ の決め方へ倒れる）。
+ */
+export function recordCodexSite(entry, env = process.env, now = new Date()) {
+    const file = codexSitesRegistryPath(env);
+    if (!file)
+        return false;
+    if (!SITE_NAME_OK.test(entry.site) || entry.workDir.trim() === '')
+        return false;
+    const current = readCodexSiteRegistry(env);
+    const mine = current.find((e) => e.site === entry.site);
+    if (mine && mine.workDir === entry.workDir && mine.machine === entry.machine)
+        return false;
+    const next = [
+        ...current.filter((e) => e.site !== entry.site),
+        { site: entry.site, workDir: entry.workDir, machine: entry.machine, at: now.toISOString() },
+    ].sort((a, b) => (a.site < b.site ? -1 : a.site > b.site ? 1 : 0));
+    try {
+        mkdirSync(path.dirname(file), { recursive: true });
+        const tmp = `${file}.tmp`;
+        writeFileSync(tmp, `${JSON.stringify({ sites: next }, null, 2)}\n`, 'utf8');
+        renameSync(tmp, file); // 置き換えは原子的＝受け口が書きかけを読まない
+        return true;
+    }
+    catch {
+        return false;
+    }
+}
+/**
+ * その現場の作業フォルダを決める（登録簿に書く値・★純粋関数）。
+ *
+ * paneCwd（職人の窓がいま居る場所）から上へたどり、名前が現場名と同じ先祖が在ればそこ。
+ * 無ければ、現場の置き場の定番（`~/projects/<現場>` → `~/<現場>`）のうち paneCwd を含む物。
+ * どれでもなければ paneCwd そのまま（★その下で動く Codex の知らせは正しく届く）。
+ * paneCwd が読めなければ `~/projects/<現場>`（headless と同じ既定）。
+ */
+export function codexSiteWorkDir(site, paneCwd, home) {
+    const fallback = path.join(home, 'projects', site);
+    const cwd = (paneCwd ?? '').trim();
+    if (cwd === '' || !path.isAbsolute(cwd))
+        return fallback;
+    const norm = path.normalize(cwd);
+    for (let cur = norm;;) {
+        if (path.basename(cur) === site)
+            return cur;
+        const parent = path.dirname(cur);
+        if (parent === cur)
+            break;
+        cur = parent;
+    }
+    const under = (dir) => norm === dir || norm.startsWith(`${dir}${path.sep}`);
+    for (const cand of [path.join(home, 'projects', site), path.join(home, site)]) {
+        if (under(cand))
+            return cand;
+    }
+    return norm;
+}
+/**
+ * 【配り役が読まない名前の受け皿】を、控えへ回す（★消さない・人が手で片付けなくて済む形）。
+ *
+ * 対象の見分け方: 受け皿の置き場に在る `<名前>.jsonl` のうち、
+ *   ・自分の受け皿（`<現場>.jsonl`）ではない
+ *   ・控え（`*.skipped.jsonl`）でも登録簿でもない
+ *   ・★`<名前>` が【この現場の作業フォルダの下に実在するフォルダの名前】
+ * ＝古い受け口が「現場の下のフォルダで起動した Codex」のために作ってしまった受け皿だけ。
+ *   ほかの現場の受け皿を巻き込まない（名前が自分の作業フォルダの下に無ければ触らない）。
+ *
+ * 中身は1行も捨てず `<現場>.skipped.jsonl` へ理由つきで移し、空になった受け皿を取り除く。
+ * ★どの便の完了にも使わない（控えは配り役が完了として読む場所ではない）。
+ */
+export function sweepStrayCodexNotices(site, workDir, env = process.env) {
+    const dir = codexNotifyDir(env);
+    if (!dir || workDir.trim() === '')
+        return [];
+    let names;
+    try {
+        names = readdirSync(dir);
+    }
+    catch {
+        return [];
+    }
+    const subNames = subdirNamesUnder(workDir);
+    const out = [];
+    for (const name of names) {
+        if (!name.endsWith('.jsonl'))
+            continue;
+        if (name.endsWith('.skipped.jsonl'))
+            continue;
+        const base = name.slice(0, -'.jsonl'.length);
+        if (base === site || !SITE_NAME_OK.test(base))
+            continue;
+        if (!subNames.has(base))
+            continue;
+        const file = path.join(dir, name);
+        let lines;
+        try {
+            lines = completeJsonlLines(readFileSync(file, 'utf8')).filter((l) => l.trim() !== '');
+        }
+        catch {
+            continue;
+        }
+        const entries = lines.map((line) => {
+            let report = '';
+            let jobId = null;
+            let threadId = null;
+            let turnId = null;
+            let at = null;
+            try {
+                const o = JSON.parse(line);
+                report = typeof o.report === 'string' ? o.report : line;
+                jobId = typeof o.jobId === 'string' && o.jobId.trim() !== '' ? o.jobId.trim() : null;
+                threadId = o.threadId ?? null;
+                turnId = o.turnId ?? null;
+                at = parseNoticeAt(o.at);
+            }
+            catch {
+                report = line; // 読めない行も中身をそのまま残す（捨てない）
+            }
+            return {
+                notice: { site, report, threadId, turnId, jobId, at },
+                why: `配り役が読まない名前の受け皿に入っていた知らせ（受け口の古い版・受け皿=${name}）`,
+            };
+        });
+        recordSkippedCodexNotices(site, entries, env);
+        try {
+            unlinkSync(file); // 中身は控えへ移してある＝1行も失わない
+        }
+        catch {
+            /* 消せなくても次の回にまた移すだけ（控えは同じ内容が増えるが、完了には使われない） */
+        }
+        out.push({ tray: name, moved: entries.length });
+    }
+    return out;
+}
+/**
+ * 受け皿の名前をそろえる（1周ぶん・★Codex の現場だけ）。
+ *   ① この現場の「現場名 ↔ 作業フォルダ」を登録簿へ書く（受け口がこれを引いて受け皿の名前を決める）。
+ *   ② 配り役が読まない名前の受け皿を控えへ回す（中身は1行も捨てない）。
+ * ★RELAY_CODEX_TRAY_TIDY_MS ごとに1回だけ。配達の判断には関わらない（失敗しても配達は進む）。
+ */
+export function tidyCodexTrays(cfg, state, deps = {}) {
+    const now = deps.now ?? Date.now();
+    if (state.codexTrayTidiedAt !== null && now - state.codexTrayTidiedAt < RELAY_CODEX_TRAY_TIDY_MS) {
+        return;
+    }
+    state.codexTrayTidiedAt = now;
+    const logLine = deps.logLine ?? log;
+    const home = deps.home ?? os.homedir();
+    const paneCwd = (deps.paneCwd ?? tmuxPaneCwd)(cfg.site);
+    const workDir = codexSiteWorkDir(cfg.site, paneCwd, home);
+    if (recordCodexSite({ site: cfg.site, workDir, machine: cfg.machine }, deps.env)) {
+        logLine(`site=${cfg.site} 現場の登録簿を書きました（作業フォルダ=${workDir}）` +
+            '＝この下のどのフォルダで Codex が動いても、知らせはこの現場の受け皿に入ります');
+    }
+    for (const swept of sweepStrayCodexNotices(cfg.site, workDir, deps.env)) {
+        logLine(`site=${cfg.site} 配り役が読まない受け皿 ${swept.tray} の ${swept.moved} 件を、` +
+            'どの便の完了にも使わず控えへ回しました（中身は消していません）');
+    }
+}
+/** 作業フォルダの下（深さ2まで）に在るフォルダの名前。読めなければ空。 */
+function subdirNamesUnder(workDir) {
+    const out = new Set();
+    const walk = (dir, depth) => {
+        let kids;
+        try {
+            kids = readdirSync(dir, { withFileTypes: true })
+                .filter((d) => d.isDirectory() && !d.name.startsWith('.') && d.name !== 'node_modules')
+                .map((d) => d.name);
+        }
+        catch {
+            return;
+        }
+        for (const k of kids) {
+            out.add(k);
+            if (depth > 1)
+                walk(path.join(dir, k), depth - 1);
+        }
+    };
+    walk(workDir, 2);
+    return out;
+}
+// ───────────────────────────────────────────────────────────────────────────
 // Codex の最後の返事に書いてもらう「機械で読める囲み」（便 cfa9eeec）
 //
 // 【なぜ要るか（実測 2026-10-04・codex-cli 0.160.0・便 f8ac8674 / 4c9f5049）】
@@ -1857,11 +2122,54 @@ export function codexCompletionGuide(site, commandId) {
 }
 // ───────────────────────────────────────────────────────────────────────────
 // tmux I/O（失敗は握りつぶして null/false。送らない側に倒すため）
+//
+// 【★試験が本物の職人の画面へ1文字も送れない作り（便 684ac785）】
+//   実地の事故 2026-10-04（便 99fc49c0）: 配達の道を通る試験を【実物と同じ現場名】
+//   （codex-probe）で書いてしまい、動いている Codex の画面へ試験の文が貼られ、
+//   Codex が 38 秒の追加ターンを走らせた。
+//   そのときの直しは「試験の現場名を存在しない名前に変える」＝★人の約束だった。
+//   約束は破られる（次に試験を書く人が実物の名前を使えば、また届く）。
+//
+//   ★だから【送り先そのもの】を仕組みで隔てる。tmux は `-L <名前>` で
+//     【別のサーバ（別のソケット）】に話しかける。本物の職人は【既定のサーバ】に居るので、
+//     試験のあいだ必ず `-L` を挟めば、同じ現場名を書いても本物には構造的に届かない。
+//   ★この挟み込みは、tmux を呼ぶ道を1本（tmuxExec）に寄せたうえで、そこだけで行う。
+//     「試験かどうか」は Node の試験ランナーが自分で立てる印（NODE_TEST_CONTEXT）で測る＝
+//     試験を書く人が設定を書き忘れても必ず効く（約束に頼らない）。
 // ───────────────────────────────────────────────────────────────────────────
+/** 試験のあいだ使う tmux サーバの名前（★本物の職人が居る既定のサーバとは別物）。 */
+export const TMUX_TEST_SERVER = 'conductor-test';
+/**
+ * いま試験の中で動いているか。★Node の試験ランナー（`node --test`）が子プロセスへ必ず渡す印を見る。
+ *   実測（node 24.15.0）: 試験ファイルのプロセスでは `NODE_TEST_CONTEXT=child-v8`。
+ *   ＝試験を書く人が何も書かなくても効く（人の約束に頼らない）。
+ */
+export function isUnderTest(env = process.env) {
+    return (env.NODE_TEST_CONTEXT ?? '').trim() !== '';
+}
+/**
+ * tmux を呼ぶときに必ず前へ置く引数（どのサーバに話しかけるか）。
+ *   - `CONDUCTOR_TMUX_SERVER` が在れば、その名前のサーバ（試験が自分で立てたサーバを指すため）。
+ *   - 無く、かつ試験の中なら、試験用のサーバ（★本物には届かない）。
+ *   - ふだんの運用では空＝既定のサーバ（今までと1バイトも変わらない）。
+ */
+export function tmuxServerArgs(env = process.env) {
+    const explicit = (env.CONDUCTOR_TMUX_SERVER ?? '').trim();
+    if (explicit !== '')
+        return ['-L', explicit];
+    return isUnderTest(env) ? ['-L', TMUX_TEST_SERVER] : [];
+}
+/**
+ * tmux を呼ぶ【唯一の口】。★ここ以外から tmux を起動しない
+ *   （見張りの試験 relay-test-tmux-isolation が、口が1つのままかを字面で確かめる）。
+ */
+function tmuxExec(args, opts) {
+    return execFileSync('tmux', [...tmuxServerArgs(), ...args], opts);
+}
 /** tmux セッション {site} が存在するか。tmux 未インストール時も false。 */
 export function tmuxHasSession(site) {
     try {
-        execFileSync('tmux', ['has-session', '-t', site], { stdio: 'ignore' });
+        tmuxExec(['has-session', '-t', site], { stdio: 'ignore' });
         return true;
     }
     catch {
@@ -1883,7 +2191,7 @@ export const RELAY_CAPTURE_SCROLLBACK_LINES = 2000;
  */
 export function tmuxCapture(site) {
     try {
-        return execFileSync('tmux', ['capture-pane', '-t', site, '-p', '-S', `-${RELAY_CAPTURE_SCROLLBACK_LINES}`], {
+        return tmuxExec(['capture-pane', '-t', site, '-p', '-S', `-${RELAY_CAPTURE_SCROLLBACK_LINES}`], {
             stdio: ['ignore', 'pipe', 'ignore'],
             encoding: 'utf8',
         });
@@ -2542,7 +2850,7 @@ function describeExecError(err) {
 }
 /** tmux を1回呼ぶ。失敗時は stderr を積んだ例外がそのまま飛ぶ。 */
 function runTmux(args) {
-    execFileSync('tmux', args, { stdio: ['ignore', 'ignore', 'pipe'] });
+    tmuxExec(args, { stdio: ['ignore', 'ignore', 'pipe'] });
 }
 /**
  * tmux へ本文を1メッセージとして送り、貼り付けの枠の外に添え書き（RELAY_DELIVERY_NOTE）を打ち、
@@ -2605,7 +2913,7 @@ function pasteToTmux(site, text) {
     }
     catch (err) {
         try {
-            execFileSync('tmux', ['delete-buffer', '-b', bufferName], { stdio: 'ignore' });
+            tmuxExec(['delete-buffer', '-b', bufferName], { stdio: 'ignore' });
         }
         catch {
             // 貼れていれば -d で既に消えている。無いバッファを消そうとしたエラーは無視してよい。
@@ -2807,10 +3115,10 @@ export const RELAY_SUBMIT_MAX_RESEND = 3;
 /** tmux のペインがいま居る場所（職人の作業場所）。取れなければ null。 */
 export function tmuxPaneCwd(site) {
     try {
-        const out = execFileSync('tmux', ['display-message', '-p', '-t', site, '#{pane_current_path}'], {
+        const out = String(tmuxExec(['display-message', '-p', '-t', site, '#{pane_current_path}'], {
             encoding: 'utf8',
             stdio: ['ignore', 'pipe', 'ignore'],
-        }).trim();
+        })).trim();
         return out || null;
     }
     catch {
@@ -4584,6 +4892,9 @@ export async function relayTick(cfg, state, hooks) {
         // 配ったときに受け皿に残っていて誤って取り込まれる、という筋道が構造的に消える。
         // ★併せて「前のターンがまだ途中」の札を下ろす（終わったと分かったので次を配れる）。
         if (kindOf(cfg) === 'codex') {
+            // ★受け皿の名前をそろえる（登録簿の書き出し・読まれない受け皿の始末・便 684ac785）。
+            //   配達の判断には関わらない＝ここで何が起きても、この下の始末と配達は今までどおり進む。
+            tidyCodexTrays(cfg, state);
             const left = pickCodexNoticeFor(cfg.site, null);
             if (left.skipped.length > 0) {
                 state.codexNoticeSeen = true;

package/dist/selfcheck.js

@@ -18,6 +18,11 @@
  * 【★副作用なし】commit・push・PR・合流・配備・npm 公開をしない。作業場所は一時フォルダ
  *   （~/.local/state/conductor/selfcheck/run-<時刻>・git の中ではない）で、終わったら消す。
  *
+ * 【★落ちたときは理由を残す（便 5a94ba06）】小さな headless 試験が落ちたら、その項目の detail に
+ *   「結果の行の本文・stderr の末尾・終了コード」を残す（控えにも管制にも同じ中身が載る）。
+ *   ④囲い・⑤通信の ✗ が「小さな試験が先に落ちたので確かめられなかった」ときは、そう読める文にする。
+ *   ★合否と、落ちたら戻す動きは1つも変えない（FAIL は FAIL・やり直しを足さない）。
+ *
  * 【結果】手元の控え（~/.local/state/conductor/selfcheck/last.json と history/）に必ず残す。
  *   管制の口が在れば送る（★口が無い・届かないときも落ちない＝送れなかったことを控えに書くだけ）。
  *   送る中身は buildSelfcheckPayload の1か所（口の形は ai-kana の便 2f5eb92c が決めた形・便 29babc5d で合わせた）。
@@ -81,6 +86,46 @@ export const SELFCHECK_MODEL = 'haiku';
 /** 小さな試験の最後の答えを示す目印（★職人の言葉ではなく、tool の結果の中で探す）。 */
 export const PROBE_OK_MARK = 'SELFCHECK_PROBE_OK';
 // ─────────────────────────────────────────────────────────────────────────────
+// 落ちたときの手がかり（便 5a94ba06）
+// ─────────────────────────────────────────────────────────────────────────────
+/**
+ * 控えと管制に残す手がかり1つあたりの長さの上限（★長い出力をそのまま流し込まない）。
+ */
+export const SELFCHECK_DETAIL_MAX = 500;
+/**
+ * 鍵・トークンらしい並びを伏せる（★控えにも管制にも残す文なので、残す前に必ず通す）。
+ *   ここで見るのは「見ただけで鍵と分かる形」だけ。分からない並びは伏せない代わりに、
+ *   手がかりは長さを切って残す（safeDetail）。
+ */
+const SECRET_PATTERNS = [
+    { re: /Bearer\s+[A-Za-z0-9._~+/=-]{8,}/gi, to: 'Bearer ***' },
+    { re: /\beyJ[A-Za-z0-9._-]{12,}/g, to: 'eyJ***' },
+    { re: /\b(sk|pk|rk)-[A-Za-z0-9._-]{8,}/gi, to: '$1-***' },
+    { re: /\b(ghp|gho|ghu|ghs|ghr)_[A-Za-z0-9_]{8,}/g, to: '$1_***' },
+    { re: /\bgithub_pat_[A-Za-z0-9_]{8,}/g, to: 'github_pat_***' },
+    { re: /\bnpm_[A-Za-z0-9]{8,}/g, to: 'npm_***' },
+    { re: /\bxox[abeporsu]-[A-Za-z0-9-]{8,}/gi, to: 'xox-***' },
+    { re: /\bAKIA[0-9A-Z]{12,}/g, to: 'AKIA***' },
+];
+/** 秘密らしい並びを伏せる。 */
+export function redactSecrets(raw) {
+    let s = raw;
+    for (const p of SECRET_PATTERNS)
+        s = s.replace(p.re, p.to);
+    return s;
+}
+/**
+ * 手がかりを残せる形にする（伏せる → 1行にする → 長さを切る）。
+ *   from='tail' は末尾を残す（stderr は終わりに理由が出るため）。
+ *   ★返り値は必ず max 字以下。
+ */
+export function safeDetail(raw, from = 'head', max = SELFCHECK_DETAIL_MAX) {
+    const one = redactSecrets(raw).replace(/\s+/g, ' ').trim();
+    if (one.length <= max)
+        return one;
+    return from === 'tail' ? `…${one.slice(one.length - (max - 1))}` : `${one.slice(0, max - 1)}…`;
+}
+// ─────────────────────────────────────────────────────────────────────────────
 // 小さな試験（⑥）の中身と読み方
 // ─────────────────────────────────────────────────────────────────────────────
 /**
@@ -146,6 +191,7 @@ export function summarizeStream(stdout) {
             out.result = {
                 subtype: typeof ev.subtype === 'string' ? ev.subtype : null,
                 isError: ev.is_error === true,
+                text: typeof ev.result === 'string' ? ev.result : typeof ev.error === 'string' ? ev.error : null,
                 costUsd: num(ev.total_cost_usd),
                 inputTokens: num(usage.input_tokens) === null
                     ? null
@@ -533,6 +579,47 @@ function siteSettingsFor(distRoot) {
         return null;
     }
 }
+/** 小さな試験が AI まで届いたか（使用量が1つでも在れば届いた）。 */
+function reachedModel(h) {
+    const u = h.summary?.result;
+    if (!u)
+        return false;
+    return (u.inputTokens ?? 0) > 0 || (u.outputTokens ?? 0) > 0 || (u.costUsd ?? 0) > 0;
+}
+/**
+ * 小さな試験が落ちたときに、④囲い・⑤通信の ✗ に添える文（便 5a94ba06 の2）。
+ *   ★「確かめられなかった」のは、小さな試験が先に落ちたせい＝そう読める文にする。
+ *   ★判定（FAIL）は1つも変えない。変えるのは読む文だけ。
+ */
+export function unverifiedReason(h) {
+    if (!h.ran)
+        return `小さな試験を流していないため、確かめられませんでした（${safeDetail(h.error ?? '理由不明')}）`;
+    if (h.probeRan)
+        return '小さな試験は動きましたが、台本の出力にこの行がなかったため、確かめられませんでした';
+    if (!reachedModel(h))
+        return '小さな試験が AI に届く前に終わったため、確かめられませんでした';
+    return '小さな試験の中で台本が動かなかったため、確かめられませんでした';
+}
+/**
+ * 小さな試験が落ちたときの手がかり（便 5a94ba06 の1）。
+ *
+ * 【なぜ要るか（実物 2026-10-04 18:23Z・TYHLD-OTA）】0.12.98 の自己診断が落ちて 0.12.92 へ自動で戻ったが、
+ *   落ちた3項目（sandbox・network・headless）はどれも「小さな試験1回」の結果から出ていて、
+ *   その1回が【なぜ】落ちたかの文が、手元の控えにも管制にも1つも残っていなかった
+ *   （終了コード 1・結果の行が success で is_error=true・使用量 0）。そのため版の不具合か
+ *   その場かぎりの失敗かを決められなかった。ここで残すのは、次の3つだけ。
+ *     ・結果の行の本文（result の文）  ・stderr の末尾  ・終了コード
+ * ★残す文は safeDetail を通す（鍵・トークンらしい並びは伏せ、1つ 500字で切る）。
+ * ★合否は1つも変えない（これは detail に足す文だけ）。通ったときは1行も足さない。
+ */
+export function headlessFailureDetail(h) {
+    const out = [];
+    const text = h.summary?.result?.text ?? '';
+    out.push(text.trim() ? `手がかり: 結果の行の本文 ${safeDetail(text)}` : '手がかり: 結果の行に本文がありません');
+    out.push(h.stderr.trim() ? `手がかり: stderr の末尾 ${safeDetail(h.stderr, 'tail')}` : '手がかり: stderr は空です');
+    out.push(`手がかり: 終了コード ${h.exitCode === null ? '不明' : h.exitCode}`);
+    return out;
+}
 /** 小さな試験と MCP の確かめで claude に渡す環境（★中継と同じ形・src/headless.ts）。 */
 function probeEnv(d, claudeBin) {
     const env = { ...d.env };
@@ -543,7 +630,7 @@ function probeEnv(d, claudeBin) {
 }
 /** ⑥ 小さな headless 試験を1回流す。 */
 function runHeadlessProbe(d, claudeBin, runDir) {
-    const res = { summary: null, exitCode: null, outsideWrite: 'unknown', net: {}, probeRan: false, error: null };
+    const res = { summary: null, exitCode: null, outsideWrite: 'unknown', net: {}, probeRan: false, error: null, ran: false, stderr: '' };
     if (!claudeBin) {
         res.error = 'claude が無いので流していません';
         return res;
@@ -570,7 +657,9 @@ function runHeadlessProbe(d, claudeBin, runDir) {
         // ★中継と同じ許可（src/headless.ts の既定）＝番人がそのまま効く。迂回の旗は付けない。
         '--permission-mode', 'acceptEdits',
     ], { cwd: work, env, timeoutMs: SELFCHECK_HEADLESS_TIMEOUT_MS });
+    res.ran = true;
     res.exitCode = r.status;
+    res.stderr = r.stderr;
     if (r.error)
         res.error = r.error;
     res.summary = summarizeStream(r.stdout);
@@ -746,7 +835,7 @@ export async function runSelfcheck(d, trigger) {
         const h = runHeadlessProbe(d, claude.bin, runDir);
         const sum = h.summary;
         if (h.error)
-            note(headless, h.error);
+            note(headless, safeDetail(h.error));
         if (!sum || !sum.result)
             fail(headless, 'fault', `結果の行がありません（終了 ${h.exitCode}）`);
         else {
@@ -763,6 +852,11 @@ export async function runSelfcheck(d, trigger) {
             else
                 fail(headless, 'fault', 'tool の結果に台本の目印がありません（Bash が動いていない）');
         }
+        // ★落ちたときは「なぜ落ちたか」の手がかりを必ず残す（控えにも管制にも・便 5a94ba06）。
+        //   通ったときは1行も足さない（出力は今までと同じ）。
+        if (headless.ok === false)
+            for (const line of headlessFailureDetail(h))
+                note(headless, line);
         // ③ MCP（★落ち着くまで確かめる・便が実際に使う登録を見る＝settleMcp）
         const mcp = await settleMcp(d, claude.bin, path.join(runDir, 'work'), sum?.mcp ?? null);
         const seen = mcp.source === 'mcp-list' ? `claude mcp list で確かめた・${mcp.tries}回目` : mcp.source === 'init' ? '小さな試験の最初の行' : '一覧なし';
@@ -797,11 +891,11 @@ export async function runSelfcheck(d, trigger) {
         else if (h.outsideWrite === 'open')
             fail(sandbox, 'fault', '★囲いの中から作業場所の外へ書けました（囲いが効いていない）');
         else
-            fail(sandbox, 'fault', '囲いの中の書き込みを確かめられませんでした');
+            fail(sandbox, 'fault', `囲いの中の書き込み: ${unverifiedReason(h)}`);
         // ⑤ 内側の通信
         const codes = Object.entries(h.net);
         if (codes.length === 0)
-            fail(network, 'fault', '囲いの内側からの通信を確かめられませんでした');
+            fail(network, 'fault', `囲いの内側からの通信: ${unverifiedReason(h)}`);
         for (const [u, c] of codes) {
             if (/^[23]\d\d$/.test(c))
                 pass(network, `囲いの内側から ${u} → ${c}`);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@tyhld/conductor",
-  "version": "0.12.98",
+  "version": "0.12.100",
   "description": "采配くん管制の見守りアプリ（conductor-agent）。各PCで常駐し、中央(devlog-tracker)へ定期的に生存報告(heartbeat)を送る常駐CLI。",
   "type": "module",
   "bin": {

package/scripts/codex/codex-notify.py

@@ -37,6 +37,28 @@
   これが無かったせいで、配り役は「最新の1行＝いま追っている便の完了」としか読めず、
   前の便のターンの知らせを次の便の完了として取り込んだ（便 1427b428 が19秒で done）。
 
+【★受け皿の名前を、配り役が読む現場名に必ず合わせる（2026-10-05・便 684ac785）】
+  旧: 現場名＝`os.path.basename(cwd)`。Codex を【現場の下のフォルダ】で起動すると、
+      配り役が読まない名前の受け皿ができ、そこへ入れた知らせは誰にも読まれなかった。
+      実物: 現場 codex-probe（配り役は codex-probe.jsonl を読む）で、Codex を
+      ~/codex-probe/video-lab で起動 → video-lab.jsonl に 30 件・36KB が溜まった。
+  ★同じずれは「現場名とフォルダ名が違う現場」でも起きる（sites.sh の対応表:
+      plus1 → ~/projects/plus1-foryou）。だから【フォルダ名から推測しない】のが根治。
+  新: 上から順に決める（resolve_site）。
+    ① 配達文に書かれた現場名 … 配り役は便の本文へ必ず完了の合図 `DONE:<現場>` を書く
+       （relay.ts の buildSendText → shortCompletionLine / codexCompletionGuide）。
+       ★これは配り役が「自分の現場名」として書いた字そのもの＝受け皿の名前の正本。
+       案内は本文の【後ろ】に足されるので、本文が別の現場名を引用していても
+       【最後の DONE:】が配り役の現場名になる。
+    ② 現場の登録簿 … 配り役が書く `<受け皿の置き場>/sites.json`（現場名 ↔ 作業フォルダ）。
+       cwd を含む作業フォルダの現場名を引く（いちばん長く一致する物）。
+       ★人が手で打ったターン（配達文が無い）でも、ここで正しい現場に入る。
+    ③ git の頂上フォルダ名 … 配り役の現場名の決め方（cli.ts の detectSite）と同じ。
+       ★ホームより上へはたどらない（現場の作業フォルダは必ずホームの下に在るので、
+         ホームより上に置かれた `.git` を現場名として拾わない）。
+    ④ それも分からなければ作業フォルダの名前（今までどおり）。
+  ★どれでも決められない知らせは【捨てない】。理由つきで控え（UNRESOLVED_FILE）へ残す。
+
 【やること】残す通知だけを、現場ごとの受け皿へ1行足す。
   置き場: $CONDUCTOR_CODEX_NOTIFY_DIR（既定 $HOME/.tyhld/codex-notify）/<現場>.jsonl
   ★中央へは送らない。送るのは relay の仕事（完了の経路は1本に保つ）。
@@ -57,6 +79,25 @@ REPORT_MARK = 'CONDUCTOR_REPORT'
 # 指示本文の末尾に付く管理用ジョブ印。
 JOB_STAMP = re.compile(r'CONDUCTOR_JOB:\s*([0-9A-Za-z][0-9A-Za-z-]{7,})')
 
+# 配達文に必ず入る完了の合図（`DONE:<現場>`）。★配り役が書いた現場名そのもの。
+#   空白は挟まない形だけを見る（配り役が出す字は必ずこの形。地の文の「DONE: 〜」を拾わない）。
+SITE_STAMP = re.compile(r'DONE:([A-Za-z0-9_-]+)')
+
+# 現場名として使える字（scripts/sites.sh の is_valid_site_name と同じ）。
+#   ★受け皿の名前はこの字だけ＝パスの区切りや `..` が名前に入らない（置き場の外へ出さない）。
+SITE_NAME_OK = re.compile(r'^[A-Za-z0-9_-]+$')
+
+# 配り役が書く現場の登録簿（現場名 ↔ 作業フォルダ）。★relay.ts の CODEX_SITES_REGISTRY と同じ名前。
+SITES_REGISTRY = 'sites.json'
+
+# 現場を1つに決められなかった知らせの控え。
+#   ★`.skipped.jsonl` で終わる名前にする＝配り役は受け皿として読まない・始末の対象にもしない。
+UNRESOLVED_FILE = '_unresolved.skipped.jsonl'
+
+# 控えに残す行数の上限（古い物から落とす＝受け皿の隣で際限なく育たせない）。
+#   ★relay.ts の CODEX_SKIPPED_NOTICE_MAX_LINES と同じ値にそろえる。
+UNRESOLVED_MAX_LINES = 200
+
 
 def notify_dir(env=None):
     env = os.environ if env is None else env
@@ -68,10 +109,115 @@ def notify_dir(env=None):
 
 
 def site_of(cwd):
-    """現場名＝作業フォルダの名前（relay の現場名と同じ決め方）。"""
+    """作業フォルダの名前（★これ単体では現場名にならない。resolve_site の最後の手段）。"""
     return os.path.basename(str(cwd or '').rstrip('/')) or ''
 
 
+def site_from_instruction(payload):
+    """配達文に書かれた現場名（`DONE:<現場>` の【最後】の出現）。無ければ ''。
+
+    配り役は便の本文のうしろへ完了の合図を必ず足すので、本文が別の現場名を引用していても
+    最後の出現が配り役の現場名になる（relay.ts の buildSendText の組み立て順）。
+    """
+    msgs = payload.get('input-messages')
+    if not isinstance(msgs, list):
+        return ''
+    found = ''
+    for m in msgs:
+        if not isinstance(m, str):
+            continue
+        for hit in SITE_STAMP.finditer(m):
+            found = hit.group(1)
+    return found
+
+
+def site_from_registry(cwd, env=None):
+    """配り役の登録簿から、cwd を含む作業フォルダの現場名を引く。引けなければ ''。
+
+    ★いちばん長く一致する作業フォルダの現場を選ぶ（入れ子の現場でも取り違えない）。
+    """
+    target = str(cwd or '').strip()
+    if not target:
+        return ''
+    target = os.path.normpath(target)
+    base = notify_dir(env)
+    if not base:
+        return ''
+    try:
+        with open(os.path.join(base, SITES_REGISTRY), encoding='utf-8') as f:
+            data = json.load(f)
+    except Exception:  # noqa: BLE001
+        return ''
+    entries = data.get('sites') if isinstance(data, dict) else None
+    if not isinstance(entries, list):
+        return ''
+    best_site, best_len = '', -1
+    for e in entries:
+        if not isinstance(e, dict):
+            continue
+        name = str(e.get('site') or '').strip()
+        work = str(e.get('workDir') or '').strip()
+        if not SITE_NAME_OK.match(name) or not work:
+            continue
+        work = os.path.normpath(work)
+        if target == work or target.startswith(work.rstrip(os.sep) + os.sep):
+            if len(work) > best_len:
+                best_site, best_len = name, len(work)
+    return best_site
+
+
+def git_top_name(cwd, env=None):
+    """git の頂上フォルダの名前（配り役の detectSite と同じ決め方）。無ければ ''。
+
+    ★git は起動しない（受け口は Codex の終わりに毎回走るので、速く・絶対に転ばないこと）。
+      `.git` が在るいちばん近い先祖をたどるだけ。worktree（`.git` がファイル）も同じに見つかる。
+    ★cwd がホームの下に在るときは、ホームより上へは出ない。現場の作業フォルダは必ずホームの下に在る
+      （sites.sh: `$HOME/projects/<現場>` か `$HOME/<現場>`）ので、ホームより上に置かれた `.git`
+      （例 `/tmp/.git`）を現場名として拾ってしまわないため。
+    """
+    env = os.environ if env is None else env
+    cur = str(cwd or '').strip()
+    if not cur or not os.path.isabs(cur):
+        return ''
+    cur = os.path.normpath(cur)
+    home = (env.get('HOME') or '').strip()
+    home = os.path.normpath(home) if home else ''
+    stop_at_home = bool(home) and (cur == home or cur.startswith(home.rstrip(os.sep) + os.sep))
+    while True:
+        if os.path.exists(os.path.join(cur, '.git')):
+            return os.path.basename(cur)
+        if stop_at_home and cur == home:
+            return ''
+        parent = os.path.dirname(cur)
+        if parent == cur:
+            return ''
+        cur = parent
+
+
+def resolve_site(payload, env=None):
+    """受け皿の名前（＝配り役が読む現場名）を決める。返り: (現場名, 決め方／決められない理由)。
+
+    決められなければ ('', 理由)。★呼ぶ側はその知らせを捨てず、控えへ残す。
+    """
+    stamped = site_from_instruction(payload)
+    if stamped and SITE_NAME_OK.match(stamped):
+        return stamped, 'job-stamp'
+    cwd = str(payload.get('cwd') or '')
+    from_reg = site_from_registry(cwd, env)
+    if from_reg:
+        return from_reg, 'site-registry'
+    top = git_top_name(cwd, env)
+    if top and SITE_NAME_OK.match(top):
+        return top, 'git-toplevel'
+    base = site_of(cwd)
+    if base and SITE_NAME_OK.match(base):
+        return base, 'cwd-basename'
+    return '', (
+        '現場を1つに決められない（配達文の DONE: も登録簿も git の頂上も無く、'
+        f'作業フォルダの名前も現場名に使えない: cwd={cwd!r}）'
+    )
+
+
 def is_internal_turn(payload):
     """Codex 内部のターン（題名を付ける・会話をまとめ直す）なら True（＝人の指示の完了ではない）。"""
     msgs = payload.get('input-messages')
@@ -107,19 +253,76 @@ def job_id_of(payload):
     return found
 
 
-def decide(payload):
-    """受け取った通知をどう扱うか。返り: (残すか, 現場名, 報告本文, 理由)"""
+def decide(payload, env=None):
+    """受け取った通知をどう扱うか。返り: (残すか, 現場名, 報告本文, 理由)
+
+    ★現場名が決まらなかったときは (False, '', 報告本文, 理由) を返す。呼ぶ側は【捨てずに】
+      控えへ残す（理由が 'unresolved-site:' で始まる物がそれ）。
+    """
     if not isinstance(payload, dict):
         return False, '', '', 'not-json-object'
     if payload.get('type') != 'agent-turn-complete':
         return False, '', '', 'other-type'
     if is_internal_turn(payload):
         return False, '', '', 'internal-turn'
-    site = site_of(payload.get('cwd'))
-    if not site:
-        return False, '', '', 'no-site'
     report = payload.get('last-assistant-message')
-    return True, site, report if isinstance(report, str) else '', ''
+    report = report if isinstance(report, str) else ''
+    site, how = resolve_site(payload, env)
+    if not site:
+        return False, '', report, f'unresolved-site:{how}'
+    return True, site, report, how
+
+
+def notice_line(payload, site, report):
+    """受け皿へ書く1行。"""
+    return json.dumps(
+        {
+            'site': site,
+            'report': report,
+            'threadId': payload.get('thread-id'),
+            'turnId': payload.get('turn-id'),
+            # ★どの便のターンの知らせかを配り役が確かめられるようにする（便 99fc49c0）。
+            'jobId': job_id_of(payload),
+            'at': datetime.datetime.now(datetime.timezone.utc).isoformat(),
+        },
+        ensure_ascii=False,
+    )
+
+
+def keep_unresolved(payload, report, why, env=None):
+    """現場を決められなかった知らせを、理由つきで控えへ残す（★捨てない）。
+
+    返り: 書けた控えのパス／''。古い行から落として UNRESOLVED_MAX_LINES 行までに収める。
+    """
+    target_dir = notify_dir(env)
+    if not target_dir:
+        return ''
+    file = os.path.join(target_dir, UNRESOLVED_FILE)
+    line = json.dumps(
+        {
+            'skippedAt': datetime.datetime.now(datetime.timezone.utc).isoformat(),
+            'why': why,
+            'site': None,
+            'cwd': payload.get('cwd'),
+            'jobId': job_id_of(payload),
+            'threadId': payload.get('thread-id'),
+            'turnId': payload.get('turn-id'),
+            'report': report,
+        },
+        ensure_ascii=False,
+    )
+    try:
+        os.makedirs(target_dir, exist_ok=True)
+        kept = []
+        if os.path.exists(file):
+            with open(file, encoding='utf-8') as f:
+                kept = [l for l in f.read().split('\n') if l.strip()]
+        lines = (kept + [line])[-UNRESOLVED_MAX_LINES:]
+        with open(file, 'w', encoding='utf-8') as f:
+            f.write('\n'.join(lines) + '\n')
+        return file
+    except Exception:  # noqa: BLE001
+        return ''
 
 
 def main(argv):
@@ -130,28 +333,19 @@ def main(argv):
         payload = json.loads(raw)
     except Exception:  # noqa: BLE001
         return 0  # 読めない通知は黙って捨てる（Codex を止めない）
-    keep, site, report, _reason = decide(payload)
+    keep, site, report, reason = decide(payload)
     if not keep:
+        # ★現場を決められなかった知らせだけは、捨てずに控えへ残す（便 684ac785）。
+        if reason.startswith('unresolved-site:'):
+            keep_unresolved(payload, report, reason[len('unresolved-site:'):])
         return 0
     target_dir = notify_dir()
     if not target_dir:
         return 0
     try:
         os.makedirs(target_dir, exist_ok=True)
-        line = json.dumps(
-            {
-                'site': site,
-                'report': report,
-                'threadId': payload.get('thread-id'),
-                'turnId': payload.get('turn-id'),
-                # ★どの便のターンの知らせかを配り役が確かめられるようにする（便 99fc49c0）。
-                'jobId': job_id_of(payload),
-                'at': datetime.datetime.now(datetime.timezone.utc).isoformat(),
-            },
-            ensure_ascii=False,
-        )
         with open(os.path.join(target_dir, f'{site}.jsonl'), 'a', encoding='utf-8') as f:
-            f.write(line + '\n')
+            f.write(notice_line(payload, site, report) + '\n')
     except Exception:  # noqa: BLE001
         return 0
     return 0