@tyhld/conductor 0.3.0 → 0.6.0

package/dist/cli.js

@@ -6,14 +6,19 @@
  *   POST {CONDUCTOR_URL}/api/conductor/report
  * へ、起動直後に1回 + 以後 CONDUCTOR_INTERVAL_SEC 秒ごとに生存報告(heartbeat)を送る。
  *
- * 認可は共有シークレットの Bearer のみ（API 側 env CONDUCTOR_SHARED_SECRET と一致させる）。
+ * 認可はテナントトークンの Bearer のみ（env CONDUCTOR_TOKEN。中央 TY Auth 発行の値）。
  * 鍵はコードに書かず、必ず環境変数で渡す。
  */
-import { execFileSync } from 'node:child_process';
-import { readFileSync } from 'node:fs';
+import { execFileSync, spawnSync } from 'node:child_process';
+import { existsSync, readFileSync } from 'node:fs';
 import { fileURLToPath } from 'node:url';
 import os from 'node:os';
-import { createRelayState, relayTick, tmuxHasSession } from './relay.js';
+import { createRelayState, parseAgentKind, relayTick, tmuxHasSession } from './relay.js';
+import { createRelayRunner } from './relay-runner.js';
+import { registerNudgeTarget, unregisterNudgeTarget, watchNudges, } from './nudge.js';
+import { startEar } from './ear.js';
+import { loadEarConfig } from './ear-routing.js';
+import { ensureEnvFilePermissions } from './env-file-perm.js';
 /** git コマンドを安全に実行し、失敗したら null を返す（git でない/未インストール等）。 */
 function git(args) {
     try {
@@ -83,12 +88,12 @@ function fail(message) {
 /** 環境変数＋引数から設定を組み立てる。必須が無ければここで終了する。 */
 function loadConfig(args) {
     const url = (process.env.CONDUCTOR_URL ?? '').trim();
-    const secret = (process.env.CONDUCTOR_SHARED_SECRET ?? '').trim();
+    const token = (process.env.CONDUCTOR_TOKEN ?? '').trim();
     if (!url) {
         fail('環境変数 CONDUCTOR_URL が未設定です（例: CONDUCTOR_URL=https://<your-conductor-host>）');
     }
-    if (!secret) {
-        fail('環境変数 CONDUCTOR_SHARED_SECRET が未設定です（中央APIと同じ共有シークレットを渡してください）');
+    if (!token) {
+        fail('環境変数 CONDUCTOR_TOKEN が未設定です（中央 TY Auth が発行したテナントトークンを渡してください）');
     }
     const machine = (process.env.CONDUCTOR_MACHINE ?? '').trim() || os.hostname();
     const status = (args.status ?? 'working').trim();
@@ -106,6 +111,8 @@ function loadConfig(args) {
         }
         intervalSec = parsed;
     }
+    // ★職人の種類（ADR-021）。未設定・知らない値は 'claude'（後退させない）。
+    const agentKind = parseAgentKind(process.env.CONDUCTOR_AGENT_KIND);
     // relay 設定（既定 off。off の間は既存の heartbeat 挙動を一切変えない）。
     const relayEnabled = /^(1|true|yes|on)$/i.test((process.env.CONDUCTOR_RELAY_ENABLED ?? '').trim());
     let relayIntervalSec = 15;
@@ -117,9 +124,19 @@ function loadConfig(args) {
         }
         relayIntervalSec = parsed;
     }
+    // 承認プロンプト待ちの間だけ使う短い間隔（既定3秒）。読み方は上の2つと同じ流儀。
+    let promptIntervalSec = 3;
+    const rawPromptInterval = (process.env.CONDUCTOR_RELAY_PROMPT_INTERVAL_SEC ?? '').trim();
+    if (rawPromptInterval) {
+        const parsed = Number(rawPromptInterval);
+        if (!Number.isFinite(parsed) || parsed <= 0) {
+            fail(`CONDUCTOR_RELAY_PROMPT_INTERVAL_SEC は正の数で指定してください（指定値: "${rawPromptInterval}"）`);
+        }
+        promptIntervalSec = parsed;
+    }
     return {
         url: url.replace(/\/+$/, ''),
-        secret,
+        token,
         machine,
         site,
         status,
@@ -127,6 +144,8 @@ function loadConfig(args) {
         intervalSec,
         relayEnabled,
         relayIntervalSec,
+        promptIntervalSec,
+        agentKind,
     };
 }
 /** 1回分の報告を送る。送信結果（HTTPステータス）をログ表示する。 */
@@ -144,7 +163,7 @@ async function sendReport(cfg) {
         const res = await fetch(`${cfg.url}/api/conductor/report`, {
             method: 'POST',
             headers: {
-                Authorization: `Bearer ${cfg.secret}`,
+                Authorization: `Bearer ${cfg.token}`,
                 'Content-Type': 'application/json',
             },
             body: JSON.stringify(body),
@@ -175,14 +194,49 @@ async function start(args) {
     }, cfg.intervalSec * 1000);
     // ADR-029 relay。CONDUCTOR_RELAY_ENABLED=true のときだけ別インターバルで回す。
     // heartbeat とは独立。off の間は何も起きない（既存挙動を壊さない）。
-    let relayTimer = null;
+    //
+    // ★適応ポーリング: 固定 setInterval ではなく「1回走らせて → 次回の間隔を状況で決める」自己再
+    //   スケジュール（setTimeout チェーン）にする。承認プロンプトで職人が止まっている間だけ速く回し
+    //   （promptIntervalSec・既定3秒）、それ以外は従来どおり（relayIntervalSec・既定15秒）。
+    //   ねらい: 人を待たせている現場だけ速くする。待機中の現場まで速くすると、体感は変わらないのに
+    //   中央への問い合わせ（＝Vercel の実行回数）だけが増えてしまう。
+    //   ★relayTick を await するので、前回が終わってから次を積む＝多重起動しない
+    //     （relayTick 側の running ガードも従来どおり残っている＝二重の防御）。
+    //   ★ADR-066 便2c: この回し役(createRelayRunner)は「合図が来たら1周を前倒しする」入口も兼ねる。
+    //     合図を運ぶのは耳の常駐(conductor ear / PCに1本)から届くプロセス間の呼び鈴だけで、
+    //     relay 自身は Realtime 接続を張らない（便2bで各relayに入れた耳は撤去した）。
+    //     ポーリングの間隔はこれまでどおり（15秒/承認待ち3秒）。耳が死んでいる間の保険として残す。
+    let relayRunner = null;
+    let nudgeWatcher = null;
     if (cfg.relayEnabled) {
         console.log(`[relay] 有効: site=${cfg.site} interval=${cfg.relayIntervalSec}s ` +
+            `（承認待ちの間だけ ${cfg.promptIntervalSec}s に短縮）` +
             `（tmuxセッション "${cfg.site}" がアイドルのときだけ送信します）`);
         const relayState = createRelayState();
-        relayTimer = setInterval(() => {
-            void relayTick(cfg, relayState);
-        }, cfg.relayIntervalSec * 1000);
+        relayRunner = createRelayRunner({
+            tick: () => relayTick(cfg, relayState),
+            // 承認プロンプト待ちの間だけ短い間隔。それ以外は従来どおり
+            // （★間隔は耳を付けても変えない＝線が切れている間はこのポーリングがそのまま肩代わりする保険）。
+            nextDelayMs: () => (relayState.promptPending ? cfg.promptIntervalSec : cfg.relayIntervalSec) * 1000,
+            onError: (err) => {
+                // ループは絶対に止めない（1回の失敗で relay が死ぬと配達も承認も止まる）。
+                const msg = err instanceof Error ? err.message : String(err);
+                console.log(`[relay] site=${cfg.site} tick で例外: ${msg}（次回に再試行）`);
+            },
+        });
+        void relayRunner.run(); // 起動直後に1回。以後は自分で次を積む。
+        // ADR-066 便2c: 耳の常駐(conductor ear / この機に1本)からの呼び鈴を受ける。
+        //   ・自分の合図ファイル（空ファイル）を用意する＝「この現場のrelayが動いている」の名簿登録も兼ねる。
+        //   ・呼び鈴が鳴ったらポーリング1周を前倒しするだけ。合図に中身は無く、指示は従来どおり取得APIから取る。
+        //   ・呼び鈴が来なくても・耳が落ちていても、上のポーリングがそのまま動く（耳は加速装置であって依存先ではない）。
+        const registered = registerNudgeTarget(cfg.site);
+        if (registered !== null) {
+            console.log(`[relay] 合図の受け口: ${registered}（耳からの「今すぐ1周」を受けます）`);
+        }
+        nudgeWatcher = watchNudges(cfg.site, () => {
+            console.log(`[relay] site=${cfg.site} 耳から合図 → 指示の取得を前倒しします`);
+            void relayRunner?.run();
+        });
     }
     // Ctrl+C で綺麗に停止。
     // ※ 中央APIは status を idle|working のみ受理し offline は受け付けない
@@ -190,14 +244,40 @@ async function start(args) {
     //   そのため終了時は余計な送信をせず、タイマーを止めて静かに終わる。
     const stop = () => {
         clearInterval(timer);
-        if (relayTimer)
-            clearInterval(relayTimer);
+        // 適応スケジューラは setTimeout チェーン。次回の予約を消し、走行中でも再スケジュールさせない。
+        relayRunner?.stop();
+        // 呼び鈴の見張りも畳み、名簿からも自分を外す（耳が空振りの呼び鈴を鳴らさないように）。
+        nudgeWatcher?.stop();
+        if (cfg.relayEnabled)
+            unregisterNudgeTarget(cfg.site);
         console.log('\n[conductor] 停止しました。');
         process.exit(0);
     };
     process.on('SIGINT', stop);
     process.on('SIGTERM', stop);
 }
+/**
+ * `conductor ear`: この機に1本だけ動かす「耳」。合図を受けて各現場の relay へ呼び鈴を送る。
+ *   指示は取らず、職人にも触らない。落ちても各relayは15秒ポーリングで完全に動き続ける。
+ */
+function runEarCommand() {
+    let cfg;
+    try {
+        cfg = loadEarConfig();
+    }
+    catch (err) {
+        fail(err instanceof Error ? err.message : String(err));
+    }
+    const ear = startEar(cfg);
+    console.log('[ear] 停止するには Ctrl+C を押してください。');
+    const stop = () => {
+        ear.stop();
+        console.log('\n[ear] 停止しました。');
+        process.exit(0);
+    };
+    process.on('SIGINT', stop);
+    process.on('SIGTERM', stop);
+}
 /** package.json の version を返す（読めなければ 'unknown'）。dist/cli.js からは ../package.json。 */
 function readVersion() {
     try {
@@ -212,16 +292,38 @@ function readVersion() {
 function printVersion() {
     console.log(readVersion());
 }
+/**
+ * `conductor setup <現場名> [フォルダ]` — 同梱のインストーラをそのまま実行する（ADR-018）。
+ *
+ * 【なぜ要るか】配布物の中に setup.sh は入っているが、お客さまは「それがどこにあるか」を
+ *   知らない。案内に `$(npm root -g)/@tyhld/conductor/sales-template/setup.sh` のような
+ *   道のりを書かせると、貼り間違いが起きるうえ、非エンジニアには意味が読めない。
+ *   ★このコマンドがあれば「conductor setup <現場名>」の1行で済む。
+ * 【やること】自分（dist/cli.js）から見た相対位置のインストーラを、引数をそのまま渡して呼ぶ。
+ *   ★中身の判断はすべて setup.sh 側。ここは場所を知っているだけの入口。
+ */
+function runSetupCommand(argv) {
+    const setup = fileURLToPath(new URL('../sales-template/setup.sh', import.meta.url));
+    if (!existsSync(setup)) {
+        fail(`インストーラが見つかりません: ${setup}\n` +
+            '  配布物が壊れている可能性があります。次の1行で入れ直してください:\n' +
+            '    npm i -g @tyhld/conductor');
+    }
+    const r = spawnSync('bash', [setup, ...argv], { stdio: 'inherit' });
+    process.exit(r.status ?? 1);
+}
 function printUsage() {
     console.log([
         '@tyhld/conductor — 生存報告(heartbeat)常駐CLI',
         '',
         '使い方:',
-        '  conductor start [-s <site>] [-t <idle|working>] [-a <lastAction>]',
+        '  conductor start [-s <site>] [-t <idle|working>] [-a <lastAction>]  現場ごとの常駐（heartbeat＋relay）',
+        '  conductor ear                                                     この機に1本の「耳」（合図の受け取り役）',
+        '  conductor setup <現場名> [フォルダ]                                 采配くんをこのPCに設置する（初回の1回だけ）',
         '',
         '必須の環境変数:',
         '  CONDUCTOR_URL            中央(devlog-tracker)のベースURL',
-        '  CONDUCTOR_SHARED_SECRET  共有シークレット（中央APIと一致させる）',
+        '  CONDUCTOR_TOKEN          テナントトークン（中央 TY Auth が発行した値）',
         '',
         '任意の環境変数:',
         '  CONDUCTOR_MACHINE        PC識別名（既定: os.hostname()）',
@@ -230,18 +332,41 @@ function printUsage() {
         'relay（ADR-029 段階3 / 既定off。tmuxセッション名=site の現場が対象）:',
         '  CONDUCTOR_RELAY_ENABLED       true で relay 有効（既定: false）',
         '  CONDUCTOR_RELAY_INTERVAL_SEC  relayポーリング間隔・秒（既定: 15）',
+        '  CONDUCTOR_RELAY_PROMPT_INTERVAL_SEC  承認待ちの間だけ使う短い間隔・秒（既定: 3）',
+        '',
+        '耳（ADR-066 / この機に1本だけ動かす常駐。systemd の conductor-ear.service 推奨）:',
+        '  conductor ear は、指示が積まれた合図(Supabase Realtime)をPCにつき1本の接続で受け取り、',
+        '  その現場の relay へ「今すぐ1周」だけを伝えます（合図に指示本文もトークンも載りません）。',
+        '  接続先・鍵・購読設定は中央のAPIから受け取るため、追加の環境変数はありません。',
+        '  ★耳が動いていなくても、各relayは上記の間隔のポーリングでこれまでどおり完全に動きます。',
+        '  CONDUCTOR_NUDGE_DIR      耳→relay の合図ファイル置き場（既定: $XDG_RUNTIME_DIR/conductor）',
         '',
         '例:',
         '  CONDUCTOR_URL=https://<your-conductor-host> \\',
-        '    CONDUCTOR_SHARED_SECRET=*** conductor start',
+        '    CONDUCTOR_TOKEN=*** conductor start',
+        '  CONDUCTOR_URL=https://<your-conductor-host> \\',
+        '    CONDUCTOR_TOKEN=*** conductor ear',
     ].join('\n'));
 }
 async function main() {
     const args = parseArgs(process.argv.slice(2));
     switch (args.command) {
         case 'start':
+            // ★常駐に入る前に、接続設定（~/.conductor.env）の権限を 600 へ揃える。
+            //   設置のときの chmod だけでは塞がらない（実機で 644 になっていた）ので、
+            //   起動のたびに自分で直す。失敗しても止まらない（この後の未設定チェックに任せる）。
+            ensureEnvFilePermissions();
             await start(args);
             break;
+        case 'ear':
+            // 耳も同じ鍵を使う常駐なので、同じ揃えをかける。
+            ensureEnvFilePermissions();
+            runEarCommand();
+            break;
+        case 'setup':
+            // ★引数はそのまま setup.sh へ渡す（judgement は全部インストーラ側）。
+            runSetupCommand(process.argv.slice(3));
+            break;
         case 'version':
         case '-v':
         case '--version':

package/dist/ear-routing.js

@@ -0,0 +1,57 @@
+/**
+ * @tyhld/conductor — ADR-066 便2c 耳の「判断」だけを集めたモジュール（外部I/Oなし＝単体テスト可能）。
+ *
+ * 耳の仕事は突き詰めると3つの判断しかない:
+ *   ① 受け取った合図を、どの現場の relay へ渡すか（渡さないか）
+ *   ② トークン要求に添える現場名をどれにするか
+ *   ③ 動くのに要る設定が揃っているか
+ * ここを純粋関数にしておけば、他社・他PC・止まっている現場への空振りが構造的に起きないことを
+ * テストで固定できる。実際の接続・ファイル操作は src/ear.ts 側にある。
+ */
+import os from 'node:os';
+/**
+ * 合図をどこへ渡すかを決める純粋関数。
+ *   - 宛先が名簿（このPCで relay が動いている現場）にある → その現場へ渡す。
+ *   - 宛先がこのPCで動いていない現場 → 無視してログだけ残す（ADR-066 確定設計3）。
+ *   - 宛先が読めない(null) → 動いている全現場へ渡す（安全側。受け手は取得APIを1回叩くだけで、
+ *     queued が無ければ何も起きない＝ポーリング1周の前倒しと同じで無害）。
+ *   - 名簿が空（relay が1つも動いていない） → 渡す先が無いので無視。
+ */
+export function routeSignal(signalSite, runningSites) {
+    if (runningSites.length === 0) {
+        return { kind: 'ignore', reason: 'この機で動いている現場がありません' };
+    }
+    if (signalSite === null) {
+        return { kind: 'nudge', sites: [...runningSites] };
+    }
+    if (runningSites.includes(signalSite)) {
+        return { kind: 'nudge', sites: [signalSite] };
+    }
+    return { kind: 'ignore', reason: `現場 ${signalSite} はこの機で動いていません` };
+}
+/**
+ * トークン要求に添える現場名を選ぶ純粋関数。
+ *   既存API(POST /api/conductor/realtime-token)は現場名を要るが、購読は machine 単位なので
+ *   どの現場を添えても受け取る合図は同じ。実在する現場（＝今このPCで動いている現場）から選ぶことで、
+ *   在りもしない現場名を送って中央に弾かれることを避ける（中央側の変更は要らない）。
+ *   1つも動いていなければ null＝耳は張らずに待つ。
+ */
+export function pickSiteForToken(runningSites) {
+    return runningSites.length > 0 ? runningSites[0] : null;
+}
+/**
+ * 耳が動くのに要る設定を環境変数から組み立てる。鍵はコードに書かず env からのみ受け取る。
+ *   足りなければ例外＝はっきり止める（黙って動かないのがいちばん困る）。
+ */
+export function loadEarConfig(env = process.env) {
+    const url = (env.CONDUCTOR_URL ?? '').trim();
+    const token = (env.CONDUCTOR_TOKEN ?? '').trim();
+    if (!url) {
+        throw new Error('環境変数 CONDUCTOR_URL が未設定です（例: CONDUCTOR_URL=https://<your-conductor-host>）');
+    }
+    if (!token) {
+        throw new Error('環境変数 CONDUCTOR_TOKEN が未設定です（中央 TY Auth が発行したテナントトークンを渡してください）');
+    }
+    const machine = (env.CONDUCTOR_MACHINE ?? '').trim() || os.hostname();
+    return { url: url.replace(/\/+$/, ''), token, machine };
+}

package/dist/ear.js

@@ -0,0 +1,57 @@
+/**
+ * @tyhld/conductor — ADR-066 便2c「耳」の常駐（PCに1本）。
+ *
+ * 【役割】この機に1本だけ Supabase Realtime を張り、指示の着信合図を受け取って、
+ *   その現場の relay プロセスへ「今すぐ1周して」とだけ伝える。それ以上のことはしない。
+ *     - 指示は取らない（取るのは relay の仕事＝既存の取得API）。
+ *     - 職人（tmux）には一切触らない。
+ *     - 合図に本文・トークンを載せない（載せる場所を作らない＝空ファイルの touch）。
+ *
+ * 【なぜ独立した常駐にしたか（便2bの根治）】
+ *   便2b では relay プロセスごとに Realtime を張っていた。接続本数が「PC数 × 現場数」で増え、
+ *   1000社×12ソフトなら1万2千本になる。耳を1本に集約すれば、本数はソフト数ではなく【PC数】で決まる。
+ *
+ * 【耳が落ちても何も壊れない】
+ *   耳は加速装置であって依存先ではない。耳が落ちている・合図が来ない・購読設定が無い・
+ *   supabase-js が入っていない——どの場合も、各 relay は従来どおり15秒ポーリングで完全に動く。
+ *   耳がしているのは「その15秒を待たずに1周を前倒しさせる」ことだけ。
+ *
+ * 判断（振り分け・現場の選び方・設定の読み取り）は src/ear-routing.ts に分けてある（単体テスト用）。
+ */
+import { startRealtimeEar } from './realtime.js';
+import { listRegisteredSites, sendNudge } from './nudge.js';
+import { pickSiteForToken, routeSignal } from './ear-routing.js';
+const log = (msg) => console.log(`[ear] ${new Date().toLocaleTimeString()} ${msg}`);
+/**
+ * 耳を起動する（`conductor ear`）。この機に1本だけ動かす想定。
+ *   ★2本動いても壊れない（合図が二重に届いても、受け手は取得APIを1回余計に叩くだけ）。
+ *     とはいえ無駄なので、常駐は systemd の conductor-ear.service で1本に保つ。
+ */
+export function startEar(cfg) {
+    log(`開始: machine=${cfg.machine} url=${cfg.url}`);
+    log('この機に1本だけ合図の線を張り、各現場のrelayへ「今すぐ1周」を伝えます（指示は取りません）。');
+    return startRealtimeEar(cfg, {
+        // 既存APIの realtime-token は現場名を要る。今このPCで動いている現場から1つ選んで添える
+        //（購読は machine 単位なので、どの現場を添えても受け取る合図は同じ）。中央側の変更は不要。
+        siteForToken: () => pickSiteForToken(listRegisteredSites()),
+        onSignal: (signalSite) => {
+            const route = routeSignal(signalSite, listRegisteredSites());
+            if (route.kind === 'ignore') {
+                log(`合図(site=${signalSite ?? '不明'})は渡しません: ${route.reason}`);
+                return;
+            }
+            for (const site of route.sites) {
+                const result = sendNudge(site);
+                if (result === 'sent') {
+                    log(`合図 → 現場 ${site} のrelayへ「今すぐ1周」を伝えました`);
+                }
+                else if (result === 'no-target') {
+                    log(`現場 ${site} のrelayが見当たりません（15秒ポーリングで拾われます）`);
+                }
+                else {
+                    log(`現場 ${site} への伝達に失敗しました（15秒ポーリングで拾われます）`);
+                }
+            }
+        },
+    });
+}

package/dist/env-file-perm.js

@@ -0,0 +1,67 @@
+/**
+ * 接続設定ファイル（~/.conductor.env）の権限を、常駐の起動時に 600 へ揃える。
+ *
+ * 【なぜ要るか（実測 2026-09-03・調査便 01c1d2d5）】
+ *   `setup.sh` ④ はこのファイルを作るときに `chmod 600` している。それでも開発機では
+ *   実際に **644（同じ機体の別ユーザーからも読める）** になっていた。中身は
+ *   `CONDUCTOR_URL` と `CONDUCTOR_TOKEN`＝中央へ入る鍵そのものなので、読めてはいけない。
+ *
+ *   644 になる道は「作るとき」以外にいくらでもある：人が `cp` や `mv` で置き直した／
+ *   エディタが書き戻した／バックアップから復元した／別のPCから持ってきた。
+ *   つまり **作る瞬間に一度 chmod するだけでは塞がらない**（実際に塞がっていなかった）。
+ *
+ * 【根治の考え方】
+ *   設置のときに1回直すのではなく、**常駐が起動するたびに自分で確かめて直す**。
+ *   常駐は必ず起動するので、どんな経路で 644 になっても次の起動で 600 に戻る。
+ *   ★お客さま機でも同じ穴が出るのを、手順書ではなく構造で塞ぐ（`setup.sh` は変えない）。
+ *
+ * 【安全側の作り】
+ *   ここは常駐の入口なので、**何があっても例外を投げない**。読めない・直せないときは
+ *   1行警告して先へ進むだけ（設定が無ければ、この後の CONDUCTOR_URL 未設定チェックが
+ *   今までどおり止める）。権限を直せなかったことで常駐そのものを止めはしない。
+ */
+import { chmodSync, statSync } from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+/** 接続設定ファイルに求める権限（所有者だけが読み書き）。 */
+export const ENV_FILE_MODE = 0o600;
+/** 既定の接続設定ファイルの場所（systemd の EnvironmentFile=%h/.conductor.env と同じ）。 */
+export function defaultEnvFilePath() {
+    return path.join(os.homedir(), '.conductor.env');
+}
+/**
+ * 接続設定ファイルの権限を 600 に揃える。
+ *
+ * @param file  対象のファイル。既定は `~/.conductor.env`。
+ * @param logFn 1行ログの出し先（テストから差し替えられるように引数にしてある）。
+ * @returns     何をしたか。★例外は投げない。
+ */
+export function ensureEnvFilePermissions(file = defaultEnvFilePath(), logFn = console.log) {
+    let mode;
+    try {
+        // ★lstat ではなく stat。近道(symlink)で置かれていても、実体の権限を直したい。
+        mode = statSync(file).mode & 0o777;
+    }
+    catch (err) {
+        const code = err?.code;
+        if (code === 'ENOENT')
+            return 'absent';
+        logFn(`[conductor] warn: 接続設定 ${file} の権限を見られませんでした（${code ?? err}）`);
+        return 'failed';
+    }
+    if (mode === ENV_FILE_MODE)
+        return 'ok';
+    try {
+        chmodSync(file, ENV_FILE_MODE);
+    }
+    catch (err) {
+        const code = err?.code;
+        logFn(`[conductor] warn: 接続設定 ${file} が ${mode.toString(8)} のままです` +
+            `（600 に直せませんでした: ${code ?? err}）。中身は中央へ入る鍵なので、` +
+            'chmod 600 を人の手で打ってください');
+        return 'failed';
+    }
+    logFn(`[conductor] 接続設定 ${file} の権限を ${mode.toString(8)} から 600 へ直しました` +
+        '（中身は中央へ入る鍵なので、所有者以外に読ませない）');
+    return 'fixed';
+}

package/dist/nudge.js

@@ -0,0 +1,172 @@
+/**
+ * @tyhld/conductor — ADR-066 便2c「耳 → relay」の合図線（プロセス間の軽い呼び鈴）。
+ *
+ * 【何のためか】
+ *   便2b では relay プロセスごとに Realtime 接続を張っていた。これだと接続本数が
+ *   「PC数 × そのPCの現場数」で増える（1000社×12ソフトなら1万2千本）。
+ *   便2c では Realtime を張るのは PC に1本の耳(conductor-ear)だけにし、耳から各現場の relay へは
+ *   この合図線で「今すぐ1周して」とだけ伝える。
+ *
+ * 【方式＝空ファイルの touch（inotify）】
+ *   - 合図の置き場は1つのフォルダ。現場ごとに `<現場名>.nudge` という【空ファイル】を置く。
+ *   - relay は起動時に自分のファイルを作り（＝自己申告の名簿にもなる）、フォルダを見張る。
+ *   - 耳は該当ファイルを空のまま書き直すだけ。relay の見張りが起きて tick を前倒しする。
+ *
+ * 【なぜこの方式か】
+ *   ① 合図に中身が無い（常に空ファイル）＝指示本文もトークンも構造的に載らない。
+ *   ② 常駐の待ち受けポートを開けない・鍵も要らない。同じユーザーのプロセス同士なので権限も素直。
+ *   ③ relay が居なければファイルが無い＝耳は「この現場はこのPCで動いていない」と判断できる。
+ *   ④ 見張りが張れなくても・耳が落ちていても、relay は15秒ポーリングで完全に動く（加速装置であって依存先ではない）。
+ *
+ * 置き場は XDG_RUNTIME_DIR（/run/user/<uid> 等・再起動で消えるtmpfs）を第一候補にする。
+ * 合図は「その瞬間だけ意味がある使い捨て」なので、PCを再起動したら残骸ごと消えるのが正しい。
+ */
+import { existsSync, mkdirSync, readdirSync, rmSync, watch, writeFileSync } from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+/** 合図ファイルの拡張子。この綴りのファイルだけを名簿とみなす。 */
+export const NUDGE_SUFFIX = '.nudge';
+/** 同じ合図が連続で届いたときに束ねる幅(ms)。inotify は1回の書き込みで複数回鳴ることがある。 */
+export const NUDGE_DEBOUNCE_MS = 100;
+const log = (msg) => console.log(`[nudge] ${new Date().toLocaleTimeString()} ${msg}`);
+/**
+ * 合図の置き場を決める純粋関数（環境変数を引数で受け取る＝テスト可能）。
+ *   1. CONDUCTOR_NUDGE_DIR … 明示指定（試験・特殊環境用）
+ *   2. XDG_RUNTIME_DIR/conductor … systemd ユーザーサービスなら必ずある。再起動で消えるのが望ましい。
+ *   3. <一時フォルダ>/conductor-<ユーザーid> … 上が無い環境の受け皿。他ユーザーと混ざらないよう id を付ける。
+ */
+export function resolveNudgeDir(env = process.env, tmpDir = os.tmpdir(), uid = String(typeof process.getuid === 'function' ? process.getuid() : 'user')) {
+    const explicit = (env.CONDUCTOR_NUDGE_DIR ?? '').trim();
+    if (explicit !== '')
+        return explicit;
+    const runtime = (env.XDG_RUNTIME_DIR ?? '').trim();
+    if (runtime !== '')
+        return path.join(runtime, 'conductor');
+    return path.join(tmpDir, `conductor-${uid}`);
+}
+/**
+ * 現場名から合図ファイル名を作る純粋関数。
+ *   現場名は tmux セッション名でもあるので普通は英数字だが、フォルダ区切りや `..` が紛れ込んでも
+ *   置き場の外を指さないよう、区切り文字だけは潰しておく（合図線が置き場の外に出ない保証）。
+ */
+export function nudgeFileName(site) {
+    const safe = site.replace(/[/\\]/g, '_').replace(/^\.+/, '_');
+    return `${safe}${NUDGE_SUFFIX}`;
+}
+/** 合図ファイル名から現場名を戻す純粋関数（名簿を読むときに使う）。合図ファイルでなければ null。 */
+export function siteFromNudgeFileName(fileName) {
+    if (!fileName.endsWith(NUDGE_SUFFIX))
+        return null;
+    const site = fileName.slice(0, -NUDGE_SUFFIX.length);
+    return site === '' ? null : site;
+}
+/** 合図ファイルの絶対パス。 */
+export function nudgePath(site, dir = resolveNudgeDir()) {
+    return path.join(dir, nudgeFileName(site));
+}
+/**
+ * この現場の relay が動いていることを名簿に載せる（＝空の合図ファイルを用意する）。
+ *   起動のたびに呼んでよい（冪等）。作れなければ null を返すだけで、relay は従来どおり動き続ける。
+ */
+export function registerNudgeTarget(site, dir = resolveNudgeDir()) {
+    try {
+        mkdirSync(dir, { recursive: true });
+        const file = nudgePath(site, dir);
+        writeFileSync(file, ''); // 中身は常に空。合図に情報を載せない（載せる場所を作らない）。
+        return file;
+    }
+    catch (err) {
+        log(`合図の受け口を用意できません（${err instanceof Error ? err.message : String(err)}）。15秒ポーリングで動きます`);
+        return null;
+    }
+}
+/**
+ * 名簿から自分を外す（relay を綺麗に止めるとき）。
+ *   ★外し損ねても害は無い（耳が空振りの呼び鈴を1回鳴らすだけ）。置き場は再起動で消える場所なので、
+ *   異常終了で残った名残も自然に消える。だから失敗は握り潰してよい。
+ */
+export function unregisterNudgeTarget(site, dir = resolveNudgeDir()) {
+    try {
+        rmSync(nudgePath(site, dir), { force: true });
+    }
+    catch {
+        /* 残っても害が無いので黙って諦める */
+    }
+}
+/** 名簿に載っている現場（＝このPCで relay が動いている現場）の一覧。読めなければ空配列。 */
+export function listRegisteredSites(dir = resolveNudgeDir()) {
+    try {
+        return readdirSync(dir)
+            .map((f) => siteFromNudgeFileName(f))
+            .filter((s) => s !== null)
+            .sort();
+    }
+    catch {
+        return []; // 置き場がまだ無い＝relay が1つも動いていない。
+    }
+}
+/**
+ * ある現場の relay へ「今すぐ1周して」を伝える（空ファイルを書き直すだけ）。
+ *   名簿に無い現場（relay が動いていない）へは送らない＝耳が空振りの見張りを起こさない。
+ */
+export function sendNudge(site, dir = resolveNudgeDir()) {
+    const file = nudgePath(site, dir);
+    if (!existsSync(file))
+        return 'no-target';
+    try {
+        writeFileSync(file, ''); // 空のまま書き直す＝inotify が鳴る。中身は運ばない。
+        return 'sent';
+    }
+    catch {
+        return 'error';
+    }
+}
+/**
+ * 自分の現場宛ての合図を見張る（relay 側）。
+ *   - 見張るのは【フォルダ】。ファイル単体を見張ると、作り直されたときに見失う。
+ *   - 連続した合図は NUDGE_DEBOUNCE_MS で束ねる（1回の書き込みで複数回鳴ることがあるため）。
+ *   - 張れない環境（inotify が使えない等）では、ログを残して見張りを諦める。
+ *     ★これは「遅くなる」だけで壊れない。指示は15秒ポーリングが従来どおり拾う。
+ */
+export function watchNudges(site, onNudge, dir = resolveNudgeDir()) {
+    const target = nudgeFileName(site);
+    let last = 0;
+    let watcher = null;
+    try {
+        mkdirSync(dir, { recursive: true });
+        watcher = watch(dir, (_event, fileName) => {
+            if (fileName === null || fileName.toString() !== target)
+                return;
+            const t = Date.now();
+            if (t - last < NUDGE_DEBOUNCE_MS)
+                return;
+            last = t;
+            onNudge();
+        });
+        watcher.on('error', (err) => {
+            log(`合図の見張りが止まりました（${err.message}）。15秒ポーリングで動き続けます`);
+            try {
+                watcher?.close();
+            }
+            catch {
+                /* 片付けの失敗は無視 */
+            }
+            watcher = null;
+        });
+    }
+    catch (err) {
+        log(`合図の見張りを張れません（${err instanceof Error ? err.message : String(err)}）。15秒ポーリングで動き続けます`);
+        watcher = null;
+    }
+    return {
+        stop: () => {
+            try {
+                watcher?.close();
+            }
+            catch {
+                /* 片付けの失敗は無視 */
+            }
+            watcher = null;
+        },
+    };
+}