@tyhld/conductor 0.3.0 → 0.7.0

package/skills/conductor-craftsman/SKILL.md

@@ -0,0 +1,40 @@
+---
+name: conductor-craftsman
+description: 采配くんの便（プロンプト末尾に CONDUCTOR_JOB:<id> が付く作業指示）を受けたら必ず最初に適用する作業規律。Use this skill whenever the prompt contains a CONDUCTOR_JOB stamp.
+---
+
+# 采配くん職人の鉄則
+
+采配くんの便（プロンプト末尾に `CONDUCTOR_JOB:<id>` の印が付いた作業指示）は、
+非エンジニアのお客さまの現場で、人が横に付かないまま実行される。
+だから「速さ」より「戻せること・止まれること・報せること」を優先する。
+以下の13項を、着手前に読み、作業中も判断の基準にすること。
+
+## 鉄則13項
+
+1. **着手時の確認と枝分かれ** — `git status && git log --oneline -3 && git stash list` を確認してから main を最新化し、新ブランチを切る。
+2. **cd は1回だけ** — cd は作業開始時に1回だけ実行する。以後 cd を `&&` で他コマンドと連結しない・リダイレクトと混ぜない。
+3. **持ち場の外に出ない** — 指示された作業ディレクトリの外を変更しない。
+4. **壁に当たったら止まる** — サンドボックス制約・保護されたパスに当たったら回避せず中断して報告する（★通信で塞がれたときの読み方は鉄則12）。
+5. **エージェント設定に書き込まない** — `.mcp.json`、`.claude/` 配下、hooks 等のエージェント設定パスには書き込まない。
+6. **本番に触らない** — 本番DB・deploy・secret に触らない。SQL/DDL は作って提示のみ（適用は人間）。
+7. **便の終点はマージまで** — push → PR作成 → TYHLD-platform は `gh pr merge <番号> --auto --merge --delete-branch`（CI緑で自動合流・赤なら待機して状態を報告）／その他のリポは `gh pr merge <番号> --admin --merge --delete-branch`。
+8. **ブラウザ検品（Playwright）の作法** — ★取りに行かない。PCに1回だけ入れた共有の道具を指すだけ（ADR-010）。
+   - ① **起動は必ず `chromium_sandbox=False`**（`--no-sandbox`）。付けないと起動できない。
+   - ② **道具は共有の場所を使う。自分でダウンロードしない。** python は `$HOME/.tyhld/pw-venv/bin/python`、`PLAYWRIGHT_BROWSERS_PATH` は `$HOME/.tyhld/pw-browsers`。**無ければそこで止めて「人の手番＝`APPLY=1 bash scripts/pw-browser-install.sh`」と報告する。** `playwright install` も `pip install playwright` も職人は実行しない（毎便まるごとダウンロードが走り、便が遅くなる。通信自体は鉄則12のとおり許可済みだが、取りに行かないのが本筋＝ADR-010）。
+   - ③ **localhost の画面検品は proxy を指定しない。** プロキシ `localhost:3128` はサンドボックスの中にしか居ないので、外部URLへ出るときだけ Playwright の proxy オプションへ明示指定する（環境変数は拾われない）。`ECONNREFUSED` なら回避せず**未実施として報告**する。
+   - ④ 検品用の使い捨て画面（確認だけのHTML/スクリプト）は**リポジトリの中に作らない。置き場は `/tmp/claude-1000/`**（鉄則13）。リポジトリの中に作ってしまったものはコミット前に削除する。ただしリポジトリ直下は番人が `rm` を止めるので、**自分で消そうとせず報告する**（鉄則13）。
+9. **pnpm は取りに行かない・版を指定しない（ADR-015）** — ★`npx --yes pnpm@10 …` と打たない（毎回ダウンロードが走る）。`pnpm` とだけ打てば、そのリポジトリの `packageManager` の版が corepack で自動的に使われる。
+   - ★**必ずリポジトリの中で打つ。** 版の指定はディレクトリごとに効くので、リポジトリの外（ホーム等）から `--filter` で呼ぶと既定の新しい版が動き `ERR_PNPM_UNSUPPORTED_ENGINE` で弾かれる（実測）。
+   - `pnpm` が見つからない／版が合わないときは、回避せず**人の手番＝`corepack enable`** と報告する。`npm i -g pnpm` は打たない（corepack と衝突する）。
+   - その現場の `package.json` に `packageManager` が無ければ、**勝手に足さず報告**する（どの版が正かは持ち主が決める）。
+10. **根治する** — 直しは対症療法でなく根本原因から（根治）。性能が落ちる設計を足さない。
+11. **報告は簡潔に** — 変更ファイル一覧・要点・チェック結果のみ。完了時は `conductor_complete` を1回呼ぶ。
+12. **外への通信は聞かれない。ただし秘密の持ち出しは番人が止める（えふさん決定 2026-09-03＝甲）**
+    - **電話は自由。** 外への通信（npm / GitHub / API / ドキュメント取得など）は許可済みなので、`Network request outside of sandbox` は出ない。**通信のために止まらない・人を待たない**。最後まで自走して完了まで行く。
+    - **金庫は禁止。** 秘密の持ち出し（`curl -d @.env` / `cp .env` / `tar ~/.ssh` / `base64 .env` / `echo $DATABASE_URL` など）は**番人が今までどおり止める**。通信が自由になったこととは**別の仕組み**なので、「通信が許可されたから秘密も送れる」は成り立たない。本番DB・secret・`.env`・`hooks`・`.tyhld`・`.ssh` への書き込み禁止もそのまま。
+    - **それでも塞がれたら回避しない。** `curl: (56) CONNECT tunnel failed, response 403` のように通信が塞がれたときは、**意図的に閉じてある接続先**（例: 本番DBへの直結）か、設定がその機体にまだ届いていないかのどちらか。**別経路を探さず、そこで止めて報告する**（人の手番＝`APPLY=1 bash scripts/update-guard.sh` → 職人を再起動）。
+13. **使い捨てファイルはリポジトリの中に作らない（えふさん決定 2026-09-03）**
+    - **実機検品・検証用の使い捨てファイル（HTML・画像・ログ等）は、リポジトリの中に作らない。`/tmp/claude-1000/` に置く。リポジトリ直下に作ってしまった場合は自分で消そうとせず、報告に「残骸あり・場所」と書く。**
+    - **なぜ。** 実機 2026-09-03: ai-saku の画面便（PR#258・PR#269）で、検品用の使い捨てページ `_layout-check.html` をリポジトリ直下に作り、消そうとして番人（`rm` on dangerous path）に止められ、人が2回 `rm` した。**番人の `rm` 制限は正しい（緩めない）。悪いのは置き場。**
+    - 置き場を `/tmp/claude-1000/` にすれば、番人に止められることも、残骸がコミットに混ざることも起きない（根治＝鉄則10）。Playwright の検品ページも同じ（鉄則8-④）。

package/systemd/conductor-ear.service

@@ -0,0 +1,63 @@
+# conductor-ear.service — 采配くん「耳」（指示の着信合図の受け取り役）の systemd ユーザーサービス。
+#
+# ★このファイルが耳のユニットの【正本】です（写しをよそに置かないこと）。
+#   お客さま機（sales-template/setup.sh 経由）も自社機（scripts/systemd-install.sh 経由）も、
+#   同じこのファイルを systemd/ear-install.sh が配置します。2箇所に写しを持つと中身がズレます。
+#
+# 位置づけ（ADR-066 便2c/2e）:
+#   このPCに【1本だけ】動かす常駐です。中央から「指示が積まれた」合図(Supabase Realtime)を
+#   1本の接続で受け取り、その現場の relay（conductor@<現場>）へ「今すぐ1周して」とだけ伝えます。
+#   接続本数がソフト数ではなく【PC数】で決まる形にするための集約役です。
+#
+#   ★耳は加速装置であって依存先ではありません。
+#     耳を入れなくても・止めても・落ちても、各 relay は従来どおり15秒ポーリングで完全に動きます。
+#     耳がしているのは「その15秒を待たずに前倒しさせる」ことだけです。
+#
+# conductor@<現場>.service との違い:
+#   - conductor@<現場> … 現場ごとに1本。heartbeat と relay（指示の配達・完了検出）。
+#   - conductor-ear    … PCごとに1本。合図を受けて上記へ呼び鈴を送るだけ。指示は取らず、職人にも触りません。
+#
+# 導入:
+#   お客さま機 … setup.sh が自動で入れます（人の操作は不要）。
+#   自社機     … scripts/systemd-install.sh が自動で入れます。
+#   手動       … bash systemd/ear-install.sh
+#   ※ ExecStart のコマンド名は ear-install.sh が配置時に「その機で実際に動くフルパス」へ置換します
+#     （お客さま機: npm グローバルの conductor / 自社機: /usr/bin/env node <リポ>/dist/cli.js）。
+#     このファイルをそのままコピーしても動きません。必ず ear-install.sh 経由で入れてください。
+#
+# 撤去:
+#   systemctl --user disable --now conductor-ear
+#   （耳を消しても relay は15秒ポーリングでそのまま動きます。お客さま機の一括撤去は uninstall.sh）
+#
+# ★台帳と掃除の関係（便2c→2e で解消済み・順序を守ること）:
+#   sales-template/setup.sh の cleanup_stale_units は「台帳に載っている `@` 無しの
+#   conductor-*.service」を古いユニットとみなして撤去します。conductor-ear.service は
+#   【現行版が入れる現役のユニット】なので、同関数の CURRENT_MACHINE_UNITS（掃除の例外）に
+#   入れてあります。例外に入れる前に台帳へ載せると、次回セットアップで耳が消えます。
+#   この順序は test/setup-ear-order.test.ts が固定しています（外すとテストが落ちます）。
+#
+# 鍵: %h/.conductor.env（chmod 600 / git管理外）を EnvironmentFile で読み込みます。
+#   中身（例）:
+#     CONDUCTOR_URL=https://<采配くん管制サーバURL>
+#     CONDUCTOR_TOKEN=<トークン>
+#   接続先URL・公開鍵・購読設定は中央のAPIから受け取るので、ここに書き足す環境変数はありません。
+#
+# WorkingDirectory: 耳はどのフォルダの中身も見ないので %h（ホーム）で十分です。
+#   ★現場やリポジトリのパスを書かないこと。存在しない機で systemd が起動に失敗します。
+
+[Unit]
+Description=Conductor ear (指示の着信合図・このPCに1本)
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=simple
+EnvironmentFile=%h/.conductor.env
+WorkingDirectory=%h
+# ↓のコマンド名は ear-install.sh が配置時に実際のフルパスへ置換する（配置後はここに実体が入る）。
+ExecStart=__CONDUCTOR_BIN__ ear
+Restart=always
+RestartSec=10
+
+[Install]
+WantedBy=default.target

package/systemd/conductor@.service

@@ -0,0 +1,62 @@
+# conductor@.service — Conductor 報告役(heartbeat)＋relay の systemd ユーザーサービス（テンプレート）。
+#
+# ★このファイルがユニットの【正本】です（写しをよそに置かないこと）。
+#   以前は sales-template/systemd/ にもう1つ写しがあり、片方だけ直すと中身がズレる形でした。
+#   お客さま機（sales-template/systemd/install.sh）も自社機（scripts/systemd-install.sh）も、
+#   同じこのファイルを読んで配置します。
+#
+# 位置づけ: 「PC起動時の完全自動常駐（第2段）」。落ちても Restart=always で自動復活します。
+#   旧 scripts/autostart.sh（第1段）は手動予備として温存し、常用はこちらの systemd です。
+#
+# テンプレート方式:
+#   conductor@<現場名>.service で1サービス。%i に <現場名> が入ります。
+#   例) systemctl --user enable --now conductor@kenzokun
+#
+# 導入は各インストーラが面倒を見ます（配置＋enable＋linger）:
+#   お客さま機 … sales-template/setup.sh →（内部で）sales-template/systemd/install.sh
+#   自社機     … scripts/systemd-install.sh
+#   ★ExecStart のコマンド名はインストーラが配置時に「その機で実際に動くフルパス」へ置換します
+#     （お客さま機: npm グローバルの conductor / 自社機: /usr/bin/env node <リポ>/dist/cli.js）。
+#     このファイルをそのままコピーしても動きません。必ずインストーラ経由で入れてください。
+#
+# 鍵: %h/.conductor.env（chmod 600 / git管理外）を EnvironmentFile で読み込みます。
+#   中身（例）:
+#     CONDUCTOR_URL=https://devlog-tracker-seven.vercel.app
+#     CONDUCTOR_TOKEN=（Bitwarden の値）
+#
+# WorkingDirectory: 報告役はカレントの git からブランチを判定するため、現場ディレクトリで起動します。
+#   既定は %h/projects/%i（現状は「現場名 = ディレクトリ名」で一致）。
+#   将来、現場名とディレクトリ名が食い違う場合は scripts/systemd-install.sh が
+#   sites.sh の対応表を見て drop-in（conductor@<現場>.service.d/override.conf）で
+#   WorkingDirectory を上書きします。本体テンプレートは触りません。
+#
+# ExecStart のパス解決: systemd ユーザーサービスはシェルの PATH を継承しません。
+#   そのためインストーラが「実際に動くコマンドのフルパス」を検出し、ExecStart のコマンド名を
+#   置換してから配置します。お客さま機では node 自体も /usr/local/bin/node へリンクして解決します。
+#
+# relay: このユニットで有効化します（heartbeat ＋ 指示の自動流し込み）。
+#   [Service] の Environment=CONDUCTOR_RELAY_ENABLED=true で ON。間隔は既定15秒。
+#   送信前ガード（src/relay.ts）が「現場名と一致する tmux セッションが存在し、
+#   Claude Code がアイドル(❯)で待機している時だけ送る／それ以外はスキップ」を担保します。
+#   ※ このテンプレートを書き換えた後、本番へ反映するには再インストール＋
+#     `systemctl --user daemon-reload` ＋ 各 conductor@<現場> の restart が必要です。
+
+[Unit]
+Description=Conductor heartbeat (%i)
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=simple
+EnvironmentFile=%h/.conductor.env
+# relay（指示の自動流し込み）を常駐で有効化。送信前ガードで誤爆を防止する。
+Environment=CONDUCTOR_RELAY_ENABLED=true
+Environment=CONDUCTOR_RELAY_INTERVAL_SEC=15
+WorkingDirectory=%h/projects/%i
+# ↓のコマンド名はインストーラが配置時に実際のフルパスへ置換する（配置後はここに実体が入る）。
+ExecStart=__CONDUCTOR_BIN__ start -s %i -t working -a "%i常駐"
+Restart=always
+RestartSec=5
+
+[Install]
+WantedBy=default.target

package/systemd/ear-install.sh

@@ -0,0 +1,131 @@
+#!/usr/bin/env bash
+#
+# ear-install.sh — 采配くん「耳」(conductor-ear) を1台に1本だけ設置・有効化する（ADR-066 便2e）。
+#
+# ★これが耳の導入処理の【正本】です。お客さま機（sales-template/setup.sh）も
+#   自社機（scripts/systemd-install.sh）も、写しを持たずこのスクリプトを呼びます。
+#
+# やること（すべて冪等・何度実行しても安全）:
+#   1. 耳を動かすコマンドを決める（引数 → npm の conductor → 同じ配布物の dist/cli.js）。
+#   2. 正本ユニット systemd/conductor-ear.service の __CONDUCTOR_BIN__ を実際のコマンドへ置換して配置。
+#   3. systemctl --user daemon-reload → enable --now conductor-ear。
+#   4. 成功したときだけ撤去用の台帳へ登録する（入れていないものを撤去対象にしない）。
+#   5. linger（ログオフ中も動くように。既に有効なら無害）。
+#
+# 使い方:
+#   bash systemd/ear-install.sh                       # コマンドは自動で判断する
+#   bash systemd/ear-install.sh "/usr/bin/env node /home/me/projects/conductor/dist/cli.js"
+#
+# ★失敗してもセットアップを止めない（作法・ADR-066）:
+#   耳は加速装置であって依存先ではありません。入らない・起動しない機でも、各現場の relay は
+#   15秒ポーリングで従来どおり完全に動きます。だからこのスクリプトは、どの失敗でも
+#   「警告を出して exit 0」で終わります（呼び出し元のセットアップを失敗にしない）。
+#
+set -euo pipefail
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+UNIT_NAME="conductor-ear.service"
+UNIT_SRC="$SCRIPT_DIR/$UNIT_NAME"
+UNIT_DIR="$HOME/.config/systemd/user"
+UNIT_DST="$UNIT_DIR/$UNIT_NAME"
+
+# 撤去用の台帳（conductor@ の導入処理・paste-cache-prune と同じ場所・同じ方式）。
+LEDGER_DIR="${XDG_CONFIG_HOME:-$HOME/.config}/conductor"
+LEDGER_FILE="$LEDGER_DIR/installed-units.txt"
+
+info() { echo "[ear-install] $*"; }
+warn() { echo "[ear-install] 注意: $*" >&2; }
+
+# ★耳が入らないときの共通の締め方。必ず 0 で終わる（セットアップを失敗にしない）。
+skip() {
+  warn "$1"
+  warn "  耳は入りませんでしたが、各現場の relay は15秒ごとの確認でこれまでどおり動きます。"
+  exit 0
+}
+
+ledger_add() {
+  local unit="$1"
+  mkdir -p "$LEDGER_DIR"
+  touch "$LEDGER_FILE"
+  grep -qxF "$unit" "$LEDGER_FILE" || echo "$unit" >> "$LEDGER_FILE"
+}
+
+# --- 1) 正本ユニットの存在確認 ------------------------------------------------
+[[ -f "$UNIT_SRC" ]] || skip "ユニットの正本が見つかりません: $UNIT_SRC"
+
+# --- 2) systemd --user が使えるか --------------------------------------------
+if ! command -v systemctl >/dev/null 2>&1 || ! systemctl --user show-environment >/dev/null 2>&1; then
+  skip "systemd --user が使えないため、耳は設置しません。"
+fi
+
+# --- 3) 耳を動かすコマンドを決める -------------------------------------------
+# ★systemd ユーザーサービスはシェルの PATH を継承しないので、ここでフルパスに解決して
+#   ユニットへ焼き込む（conductor@ の導入処理と同じ考え方）。
+EAR_BIN="${1:-}"
+EAR_SRC="引数で指定"
+
+# ★どちらを使うかの順番（2026-09-04 に直した見落とし）
+#   ① 開発機（このスクリプトの隣に dist/cli.js が在る）… そのリポジトリの中身を使う
+#   ② お客さま機（無い）                                … npm で入れた全体版を使う
+#
+# 【なぜ①を先に見るか】以前は npm の全体版を先に掴んでいた。開発機で
+#   `npm i -g @tyhld/conductor` を一度でも打つと、耳がリポジトリではなく
+#   【配布済みの古い版】で動いてしまう。直したはずの不具合が現場で再現し続け、
+#   原因を「直っていない」と読み違える。リポジトリが在る機体では
+#   リポジトリを正とする（conductor@ の導入処理と同じ順番に揃えてある）。
+if [[ -z "$EAR_BIN" ]]; then
+  # 配布物・リポジトリのどちらでも、このスクリプトから見て ../dist/cli.js に本体がある。
+  CLI_JS="$(cd "$SCRIPT_DIR/.." && pwd)/dist/cli.js"
+  if [[ -f "$CLI_JS" ]]; then
+    NODE_BIN="$(command -v node || true)"
+    [[ -n "$NODE_BIN" && -L "$NODE_BIN" ]] && NODE_BIN="$(readlink -f "$NODE_BIN")"
+    [[ -n "$NODE_BIN" ]] || NODE_BIN="/usr/bin/env node"
+    EAR_BIN="$NODE_BIN $CLI_JS"
+    EAR_SRC="この機体のリポジトリ（開発機）"
+  fi
+fi
+
+if [[ -z "$EAR_BIN" ]] && command -v conductor >/dev/null 2>&1; then
+  # お客さま機: npm グローバルの conductor（実体パスまで解決する）。
+  resolved="$(command -v conductor)"
+  [[ -L "$resolved" ]] && resolved="$(readlink -f "$resolved")"
+  EAR_BIN="$resolved"
+  EAR_SRC="npm で入れた全体版"
+fi
+
+[[ -n "$EAR_BIN" ]] || skip "耳を動かすコマンドが見つかりません（conductor も dist/cli.js も不在）。"
+
+# ★どちらを使ったかを必ず1行出す（読み違えを防ぐ）。
+info "耳が使う采配くん: ${EAR_SRC}"
+info "耳の起動コマンド: $EAR_BIN ear"
+
+# --- 4) ユニットを配置（__CONDUCTOR_BIN__ を実際のコマンドへ置換）-------------
+mkdir -p "$UNIT_DIR"
+if ! sed "s|__CONDUCTOR_BIN__|${EAR_BIN}|g" "$UNIT_SRC" > "$UNIT_DST.tmp"; then
+  rm -f "$UNIT_DST.tmp"
+  skip "ユニットの生成に失敗しました。"
+fi
+mv -f "$UNIT_DST.tmp" "$UNIT_DST"   # 置換は原子的＝壊れかけのユニットを残さない
+info "配置: $UNIT_DST"
+
+# --- 5) 反映して起動 ----------------------------------------------------------
+systemctl --user daemon-reload || skip "daemon-reload に失敗しました。"
+
+if systemctl --user enable --now "$UNIT_NAME"; then
+  info "有効化: $UNIT_NAME（このPCに1本・合図を受けて各現場の relay を前倒しします）"
+  # ★台帳へ載せるのは enable に成功したときだけ。
+  #   （setup.sh の cleanup_stale_units には conductor-ear.service を掃除の例外として
+  #     先に入れてある。例外に入れる前に台帳へ載せると次回セットアップで消される）
+  ledger_add "$UNIT_NAME"
+else
+  skip "enable --now に失敗しました: $UNIT_NAME"
+fi
+
+# ログオフ中も動くように（他用途で既に有効なことも多い。失敗は握りつぶす）。
+loginctl enable-linger "$USER" >/dev/null 2>&1 || true
+
+echo
+echo "ログ確認: journalctl --user -u conductor-ear -f"
+echo "停止:     systemctl --user disable --now conductor-ear"
+systemctl --user --no-pager status "$UNIT_NAME" 2>/dev/null || true
+exit 0

package/systemd/guard-sync-install.sh

@@ -0,0 +1,94 @@
+#!/usr/bin/env bash
+#
+# guard-sync-install.sh — 番人（安全装置）のコードと配線を1時間ごとに正本へ揃える
+#   systemd --user タイマーを設置・有効化する（ADR-012）。
+#
+# 【なぜ要るか】
+#   番人を直してリポジトリへ入れても、人が `APPLY=1 bash scripts/update-guard.sh` を流すまで
+#   機体には1文字も届かない。実地で2度続けて届かず、判定の無い古い写しが確認カードを出し続けた
+#   （2026-09-02 03:37 / 11:04）。人が忘れる前提にして、機械に追随させる。
+#
+# やること（すべて冪等）:
+#   1. tyhld-guard-sync.service / .timer を ~/.config/systemd/user/ へ配置（@REPO@ を実機の
+#      リポジトリの場所へ置き換える）。
+#   2. systemctl --user daemon-reload。
+#   3. systemctl --user enable --now tyhld-guard-sync.timer。
+#   4. loginctl enable-linger（ログオフ中も回るように。既に有効なら無害）。
+#   5. 撤去用の台帳(installed-units.txt)へ登録（uninstall.sh がこれを読んで消す）。
+#
+# 安全:
+#   - サービスが呼ぶのは update-guard.sh の【同期モード】だけ。権限（allow/ask/deny）・
+#     paste-cache の掃除・鉄則スキルには触れない。
+#   - 正本(scripts/hooks)に未コミットの変更があるときは、同期モード側が何もせず終わる
+#     （作業中の壊れた番人を全現場へ配らない）。
+#   - systemd --user が使えない環境では警告して素通り（呼び出し元を止めない）。
+#
+# 使い方:
+#   bash systemd/guard-sync-install.sh
+#
+set -euo pipefail
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+REPO_ROOT="$(cd "$SCRIPT_DIR/.." && pwd)"
+UNIT_DIR="$HOME/.config/systemd/user"
+SERVICE="tyhld-guard-sync.service"
+TIMER="tyhld-guard-sync.timer"
+
+# 撤去用の台帳（install.sh / paste-cache-prune-install.sh と同じ場所・同じ方式）。
+LEDGER_DIR="${XDG_CONFIG_HOME:-$HOME/.config}/conductor"
+LEDGER_FILE="$LEDGER_DIR/installed-units.txt"
+
+info() { echo "[guard-sync] $*"; }
+warn() { echo "[guard-sync] 注意: $*" >&2; }
+
+ledger_add() {
+  local unit="$1"
+  mkdir -p "$LEDGER_DIR"
+  touch "$LEDGER_FILE"
+  grep -qxF "$unit" "$LEDGER_FILE" || echo "$unit" >> "$LEDGER_FILE"
+}
+
+# ユニット正本がそろっているか（無ければ素通り）。
+for u in "$SERVICE" "$TIMER"; do
+  if [[ ! -f "$SCRIPT_DIR/$u" ]]; then
+    warn "ユニットが見つかりません: $SCRIPT_DIR/$u（自動同期タイマーはスキップ）"
+    exit 0
+  fi
+done
+
+# 同期の本体（update-guard.sh）が在ることを確かめる。無ければ設置しない。
+if [[ ! -f "$REPO_ROOT/scripts/update-guard.sh" ]]; then
+  warn "同期の本体が見つかりません: $REPO_ROOT/scripts/update-guard.sh（スキップ）"
+  exit 0
+fi
+
+# systemd --user が使えないなら素通り（呼び出し元を止めない）。
+if ! command -v systemctl >/dev/null 2>&1 || ! systemctl --user show-environment >/dev/null 2>&1; then
+  warn "systemd --user が使えないため、自動同期タイマーは設置しません。"
+  warn "  （その機体では人が APPLY=1 bash scripts/update-guard.sh を流してください）"
+  exit 0
+fi
+
+mkdir -p "$UNIT_DIR"
+# ★リポジトリの場所は機体ごとに違うので、ここで実機の値へ置き換える。
+#   置換に使う区切りは | （パスに / が含まれるため）。
+sed "s|@REPO@|$REPO_ROOT|g" "$SCRIPT_DIR/$SERVICE" > "$UNIT_DIR/$SERVICE"
+cp -f "$SCRIPT_DIR/$TIMER" "$UNIT_DIR/$TIMER"
+info "配置: $UNIT_DIR/$SERVICE, $UNIT_DIR/$TIMER"
+info "  同期の本体: $REPO_ROOT/scripts/update-guard.sh（SYNC_ONLY=1 APPLY=1）"
+
+systemctl --user daemon-reload
+
+if systemctl --user enable --now "$TIMER"; then
+  info "有効化: $TIMER（1時間ごとに番人のコードと配線だけを正本へ揃えます）"
+  ledger_add "$SERVICE"
+  ledger_add "$TIMER"
+else
+  warn "enable --now に失敗しました: $TIMER"
+  exit 0
+fi
+
+# ログオフ中も回るように（他用途で既に有効なことも多い。失敗は握りつぶす）。
+loginctl enable-linger "$USER" >/dev/null 2>&1 || true
+
+systemctl --user --no-pager list-timers "$TIMER" 2>/dev/null || true

package/systemd/tyhld-guard-sync.service

@@ -0,0 +1,28 @@
+# tyhld-guard-sync.service — 番人（安全装置）のコードと配線を正本へ揃える（1回実行）。
+#
+# 【なぜ要るか（ADR-012）】
+#   番人を直してリポジトリへ入れても、人が `APPLY=1 bash scripts/update-guard.sh` を流すまで
+#   機体には1文字も届かない。実地で2度続けて届いていなかった:
+#     ・2026-09-02 03:37（PR #568 の完了報告）で確認カードが誤発火
+#     ・2026-09-02 11:04（PR #573 の完了報告）でも同じ形が再発（直しは 03:56 にマージ済み）
+#   どちらもホームの ~/.claude/settings.json が古い写し（$HOME/.tyhld/hookset）を指したままで、
+#   その写しには「質問かどうかの判定」そのものが無い＝どんな報告でもカードを出していた。
+#   ＝人が流し忘れると、直しが何時間も届かない。だから自動で追随させる。
+#
+# 【何をするか】update-guard.sh を SYNC_ONLY=1 APPLY=1 で1回流すだけ。
+#   ・番人一式を $HOME/.tyhld/hooks へ設置（構文確認つき）
+#   ・ホームの ~/.claude/settings.json の hooks を固定パスへ向け直す
+#   ★権限（allow/ask/deny）・paste-cache の掃除・鉄則スキルには一切触れない。
+#   ★正本(scripts/hooks)に未コミットの変更があるときは何もしない（作業中の番人を配らない）。
+#
+# .timer から1時間ごとに呼ばれる（tyhld-guard-sync.timer）。
+# ExecStart のリポジトリの場所は guard-sync-install.sh が実機に合わせて書き込む。
+
+[Unit]
+Description=tyhld: keep the guard (hooks) in sync with the repository
+
+[Service]
+Type=oneshot
+Environment=SYNC_ONLY=1
+Environment=APPLY=1
+ExecStart=/bin/bash @REPO@/scripts/update-guard.sh

package/systemd/tyhld-guard-sync.timer

@@ -0,0 +1,25 @@
+# tyhld-guard-sync.timer — 上の同期サービスを1時間ごとに起動する。
+#
+# 【なぜ「毎日」ではなく「1時間ごと」か】
+#   実地の事故は「03:56 にマージした直しが 11:04 の時点でまだ届いていなかった」＝7時間の穴だった。
+#   毎日1回では同じ穴が開いたままになる。1時間なら、直してから効くまでが最長1時間で収まる。
+#   処理は小さなファイルのコピーと JSON の読み書きだけなので、1時間ごとでも負担にならない。
+#
+#   - OnBootSec=2min      … 起動直後に1回（PCを立ち上げた朝いちばんに追いつく）。
+#   - OnUnitActiveSec=1h  … 以後1時間ごと。
+#   - Persistent=true     … PCが消えていて取りこぼした分は、次回起動直後に1度だけ追い実行。
+#   - RandomizedDelaySec  … 起動直後に集中しないよう少しばらす。
+#
+# enable --now は update-guard.sh（APPLY時・①-f）が行う（冪等）。
+
+[Unit]
+Description=tyhld: hourly guard (hooks) sync
+
+[Timer]
+OnBootSec=2min
+OnUnitActiveSec=1h
+Persistent=true
+RandomizedDelaySec=2min
+
+[Install]
+WantedBy=timers.target