@tyhld/conductor 0.3.0 → 0.7.0

package/sales-template/setup.sh

@@ -10,13 +10,21 @@
 #   bash setup.sh my-app /home/user/work/my-app   # ディレクトリを明示指定
 #
 # やること（順番に・冪等・失敗時は止めて報告）:
-#   ① 前提チェック（node>=18 / tmux / git / python3>=3.8 / systemd / sudo）
+#   ① 前提チェック（node>=18 / tmux / git / python3>=3.8 / systemd / sudo / ★Claude Code）
 #   ② conductor 本体インストール（npm i -g @tyhld/conductor）
 #   ③ node symlink（/usr/local/bin/node → 実体・sudo）
-#   ④ .conductor.env 作成（対話入力・chmod 600）
-#   ⑤ .claude/ 配置（cc2_guard.py + settings.json + hooks 設定）
-#   ⑥ systemd install（enable + linger）
-#   ⑦ 職人起動の案内表示
+#   ④ .conductor.env 作成（★合言葉は伏せ字で入力／★その場で1回つながるか確かめる／chmod 600）
+#   ⑤ 番人一式の配置（★登録するイベントは見本 settings.sample.json が正・直書きしない）
+#       ・番人一式を ~/.tyhld/hooks/ へ／フックは ~/.claude/settings.json に1本
+#       ・現場の .claude/settings.json には権限ルールのみ・番人フックは書かない（ADR-013）
+#       ・⑤-0 で見本と配る中身を機械照合し、外れていれば止める（★足し忘れの防止・ADR-017）
+#       ＋ 職人の鉄則スキル conductor-craftsman を ~/.claude/skills/ へ配置
+#   ⑥ systemd install（現場ごとの常駐 conductor@<現場> ＋ このPCに1本の耳 conductor-ear／enable + linger）
+#   ⑦ ★自己点検（置いたものを○×で出す・確認するだけ）
+#   ⑧ 職人起動の案内＋★管制の画面での確かめ方
+#
+# ★ADR-017: 「静かに間違った成功」で終わらせない。職人が無い／合言葉が違う／アドレスが違う
+#   ときは、その場で止めて日本語で直し方を出す。
 #
 set -euo pipefail
 
@@ -39,17 +47,114 @@ fi
 SITE="$1"
 PROJECT_DIR="${2:-$HOME/projects/$SITE}"
 
+# ─── 最低版（★この値は install.sh と同じにすること） ─────────────────────────
+# 【なぜ要るか（実測 2026-09-04）】公開 npm には 0.3.0 しか出ておらず、お客さまは
+#   それを掴んでいた。0.3.0 の中身は古い鍵名 CONDUCTOR_SHARED_SECRET を読むので、
+#   いまの接続情報（CONDUCTOR_TOKEN）では「未設定です」で落ちる（migakia で再現）。
+#   ＝入っている版が古ければ、設置を進める前に気づいて直す。
+# ★値は sales-template/install.sh の MIN_CONDUCTOR_VERSION と同じにすること。
+#   食い違うと「入口は通したのに設置係が止める」が起きる。テストで同一を固定してある。
+MIN_CONDUCTOR_VERSION="0.5.0"
+
 # ─── ヘルパ ───────────────────────────────────────────────────────────────────
 fail() { echo; echo "[setup] エラー: $1" >&2; exit 1; }
 warn() { echo "[setup] warn: $1" >&2; }
+
+# version_lt <a> <b> — a が b より古いか。
+# ★`sort -V` に頼らない（Mac の sort には無い版がある＝ADR-019 で Mac も対象）。
+#   数字3つ（major.minor.patch）だけを見る。読めない字は 0 とみなす（安全側＝古い扱い）。
+version_lt() {
+  local a="${1%%-*}" b="${2%%-*}" i x y
+  local -a A B
+  IFS='.' read -r -a A <<< "$a"
+  IFS='.' read -r -a B <<< "$b"
+  for i in 0 1 2; do
+    x="${A[i]:-0}"; y="${B[i]:-0}"
+    [[ "$x" =~ ^[0-9]+$ ]] || x=0
+    [[ "$y" =~ ^[0-9]+$ ]] || y=0
+    if (( x < y )); then return 0; fi
+    if (( x > y )); then return 1; fi
+  done
+  return 1
+}
+
+# いま入っている conductor の版（取れなければ空）。
+conductor_version() {
+  local v
+  v="$(conductor --version 2>/dev/null | tr -d '[:space:]')"
+  if [[ "$v" =~ ^[0-9]+\.[0-9]+\.[0-9]+ ]]; then
+    printf '%s' "${BASH_REMATCH[0]}"
+  fi
+}
 step() { echo; echo "══════════════════════════════════════════════════════════"; echo "[setup] $1"; echo "══════════════════════════════════════════════════════════"; }
 
+# ─── OS の見分けと、OS ごとに違う道具（★ADR-019・案C） ───────────────────────
+# 【考え方】共通部分（前提チェック・番人の配置・鍵・自己点検）は【1本のまま】。
+#   OS で違うのは「常駐の仕組み」だけなので、そこだけ systemd 用 / launchd 用に分ける。
+#   ★2本のインストーラを作らない。作ると「直すたび2か所」になり、片方が古くなる事故が起きる
+#     （この製品で ADR-011/013 と繰り返し起きた型）。
+case "$(uname -s)" in
+  Darwin) OS_KIND=mac ;;
+  *)      OS_KIND=linux ;;
+esac
+# 常駐の呼び名（案内文で使う）。Mac は launchd、Linux(WSL含む) は systemd。
+if [[ "$OS_KIND" == "mac" ]]; then
+  SVC_KIND="launchd"
+  PKG_HINT="brew install"
+else
+  SVC_KIND="systemd"
+  PKG_HINT="sudo apt install"
+fi
+
+# ★bash 3.2（Mac 標準）でも動く小文字化。`${変数,,}` は bash 4 以降でしか使えない。
+lower() { printf '%s' "$1" | tr '[:upper:]' '[:lower:]'; }
+
+# ★BSD でも GNU でも同じに動く「実体のパス」。`readlink -f` は BSD に無い版がある。
+#   python3 は①で必須にしているので、それに任せるのがいちばん確実。
+resolve_path() {
+  python3 -c 'import os,sys; print(os.path.realpath(sys.argv[1]))' "$1" 2>/dev/null || printf '%s' "$1"
+}
+
+# ★BSD でも GNU でも同じに動く置換。`sed -i` は BSD だと引数が要る（`sed -i ''`）ので使わない。
+sed_replace() {  # sed_replace <置換式> <ファイル>
+  local expr="$1" file="$2" tmp="$2.setuptmp"
+  sed "$expr" "$file" > "$tmp" && mv -f "$tmp" "$file"
+}
+
+# ★常駐の生死を OS ごとに確かめる（自己点検⑦で使う）。
+service_is_running() {  # service_is_running <systemd のユニット名> <launchd のラベル>
+  if [[ "$OS_KIND" == "mac" ]]; then
+    launchctl list 2>/dev/null | grep -q "[[:space:]]$2\$"
+  else
+    systemctl --user is-active --quiet "$1"
+  fi
+}
+
+# ★お客さまへ見せる「困ったときの1行」も OS で違う。案内文の中で使う。
+if [[ "$OS_KIND" == "mac" ]]; then
+  SVC_LABEL="com.tyhld.conductor.${SITE}"
+  SVC_STATUS_CMD="launchctl list | grep ${SVC_LABEL}"
+  SVC_LOG_CMD="tail -f ~/Library/Logs/tyhld/conductor-${SITE}.log"
+  SVC_RESTART_CMD="launchctl kickstart -k gui/\$(id -u)/${SVC_LABEL}"
+  SVC_STOP_CMD="launchctl bootout gui/\$(id -u)/${SVC_LABEL}"
+else
+  SVC_STATUS_CMD="systemctl --user status conductor@${SITE}"
+  SVC_LOG_CMD="journalctl --user -u conductor@${SITE} -f"
+  SVC_RESTART_CMD="systemctl --user restart conductor@${SITE}"
+  SVC_STOP_CMD="systemctl --user disable --now conductor@${SITE}"
+fi
+SVC_RESTART_HINT="${SVC_RESTART_CMD} を実行してください"
+
 # ─── ① 前提チェック ──────────────────────────────────────────────────────────
 step "① 前提チェック"
 
 errors=()
 
-# node >= 18
+# node >= 18（実行要件。package.json の engines.node と一致させる）
+#   顧客が実行するのは tsc でコンパイル済みの dist/ の JS なので、Node 18 で動く。
+#   Node 22 が要るのは開発時の `npm test` だけ（--experimental-strip-types で .ts を直接実行するため）。
+#   開発要件はこのチェックではなく .nvmrc と CI の node-version で表明する。
+#   ここを 22 に上げると、実際には動く Node 18/20 の顧客をインストーラが弾いてしまう。
 if command -v node >/dev/null 2>&1; then
   NODE_VER="$(node --version 2>/dev/null || echo 'v0')"
   NODE_MAJOR="${NODE_VER#v}"
@@ -60,21 +165,21 @@ if command -v node >/dev/null 2>&1; then
     echo "[setup] node: $NODE_VER OK"
   fi
 else
-  errors+=("node が見つかりません。Node.js 18 以上をインストールしてください（fnm / nvm / volta / apt）。")
+  errors+=("node が見つかりません。Node.js 18 以上をインストールしてください（nvm / fnm / volta、または $PKG_HINT node）。")
 fi
 
 # tmux
 if command -v tmux >/dev/null 2>&1; then
   echo "[setup] tmux: $(tmux -V 2>/dev/null || echo 'OK')"
 else
-  errors+=("tmux が見つかりません。sudo apt install tmux でインストールしてください。")
+  errors+=("tmux が見つかりません。$PKG_HINT tmux でインストールしてください。")
 fi
 
 # git
 if command -v git >/dev/null 2>&1; then
   echo "[setup] git: $(git --version 2>/dev/null)"
 else
-  errors+=("git が見つかりません。sudo apt install git でインストールしてください。")
+  errors+=("git が見つかりません。$PKG_HINT git でインストールしてください。")
 fi
 
 # python3 >= 3.8
@@ -88,27 +193,58 @@ if command -v python3 >/dev/null 2>&1; then
     echo "[setup] python3: $PY_VER OK"
   fi
 else
-  errors+=("python3 が見つかりません。sudo apt install python3 でインストールしてください。")
+  errors+=("python3 が見つかりません。$PKG_HINT python3 でインストールしてください。")
 fi
 
-# systemd
-if command -v systemctl >/dev/null 2>&1; then
-  if systemctl --user show-environment >/dev/null 2>&1; then
-    echo "[setup] systemd: ユーザーセッション OK"
+# 常駐の仕組み（★OS で見るものが違う。Mac に systemd は無い＝ADR-019）
+if [[ "$OS_KIND" == "mac" ]]; then
+  if command -v launchctl >/dev/null 2>&1; then
+    echo "[setup] launchd: OK（Mac の常駐の仕組み）"
   else
-    errors+=("systemd ユーザーセッションに接続できません。WSL の場合: /etc/wsl.conf に [boot] systemd=true を設定し wsl --shutdown で再起動してください。")
+    errors+=("launchctl が見つかりません。macOS が壊れている可能性があります。")
   fi
 else
-  errors+=("systemctl が見つかりません。systemd が有効か確認してください。")
+  if command -v systemctl >/dev/null 2>&1; then
+    if systemctl --user show-environment >/dev/null 2>&1; then
+      echo "[setup] systemd: ユーザーセッション OK"
+    else
+      errors+=("systemd ユーザーセッションに接続できません。WSL の場合: /etc/wsl.conf に [boot] systemd=true を設定し wsl --shutdown で再起動してください。")
+    fi
+  else
+    errors+=("systemctl が見つかりません。systemd が有効か確認してください。")
+  fi
 fi
 
-# sudo
+# sudo（★Mac では node のリンク作成をしないので必須にしない）
 if command -v sudo >/dev/null 2>&1; then
   echo "[setup] sudo: OK"
+elif [[ "$OS_KIND" == "mac" ]]; then
+  echo "[setup] sudo: 見つかりませんが Mac では使いません（③は行いません）"
 else
   errors+=("sudo が見つかりません。node symlink の作成（③）で必要です。")
 fi
 
+# ★Claude Code（職人そのもの）
+# 【なぜここで見るか】采配くんは「職人（Claude Code）へ指示を配る」仕組みなので、職人が
+#   居なければ設置しても1つも動かない。ところが以前はチェックにも入れていなかったため、
+#   ⑦の案内どおり `claude` と打って初めて「コマンドが見つかりません」になり、
+#   お客さまには何が悪いのか分からなかった（調査 3f2337e6・2026-09-02）。
+# 【★入れないと決めた理由】setup.sh は Claude Code を【入れない】。理由は3つ:
+#   1. 入れてもログイン（ブラウザでのやり取り）が必ず人の手番として残る＝手数は減らない。
+#   2. お客さまのグローバル環境（npm -g）へ、采配くんの範囲を超えて手を入れることになる。
+#      版を固定して運用しているお客さまの環境を壊しうる。
+#   3. 「入れてあげる」より「無いことをはっきり伝えて止まる」ほうが、原因が分かる。
+#   ＝ここでは【確認して、無ければ入れ方を日本語で案内して中断する】に徹する。
+if command -v claude >/dev/null 2>&1; then
+  echo "[setup] Claude Code: $(claude --version 2>/dev/null || echo 'OK')"
+else
+  errors+=("Claude Code（職人）が見つかりません。采配くんは職人へ指示を配る仕組みなので、
+    先に職人を入れてログインしてください。次の2つを順に実行します:
+      npm i -g @anthropic-ai/claude-code
+      claude                      ← 画面の案内にそってログイン（1回だけ）
+    ログインが終わったら、この setup.sh をもう一度実行してください。")
+fi
+
 # プロジェクトディレクトリ
 if [[ -d "$PROJECT_DIR" ]]; then
   echo "[setup] プロジェクトディレクトリ: $PROJECT_DIR OK"
@@ -144,83 +280,385 @@ if ! command -v conductor >/dev/null 2>&1; then
 fi
 echo "[setup] conductor: $(conductor --version 2>/dev/null || command -v conductor)"
 
-# ─── ③ node symlink ──────────────────────────────────────────────────────────
-step "③ node symlink（systemd PATH 対応）"
-
-NODE_PATH="$(readlink -f "$(command -v node)")"
-SYMLINK_PATH="/usr/local/bin/node"
-
-need_symlink=true
-if [[ -f "$SYMLINK_PATH" || -L "$SYMLINK_PATH" ]]; then
-  existing="$(readlink -f "$SYMLINK_PATH" 2>/dev/null || echo '')"
-  if [[ "$existing" == "$NODE_PATH" ]]; then
-    echo "[setup] $SYMLINK_PATH は既に正しいリンクです → スキップ"
-    need_symlink=false
-  fi
+# --- ★版が古すぎないかを確かめる（古い版は動かない・実測 2026-09-04） --------
+# 上で `npm update -g` は済んでいる。それでもまだ古いなら、取りに行った先に新しい版が
+# 無い（＝配布が止まっている）ということなので、ここで止めて人へ渡す。
+#   ★このまま進めると「設置は成功したのに指示が1つも届かない」で終わる。
+#     お客さまがいちばん困る形なので、必ずここで気づかせる（ADR-017 と同じ考え方）。
+CONDUCTOR_VER="$(conductor_version)"
+if [[ -z "$CONDUCTOR_VER" ]]; then
+  warn "conductor の版を読み取れませんでした（続行します）。"
+elif version_lt "$CONDUCTOR_VER" "$MIN_CONDUCTOR_VERSION"; then
+  fail "采配くん本体の版が古すぎます（いま ${CONDUCTOR_VER} ／ ${MIN_CONDUCTOR_VERSION} 以上が必要です）。
+    更新を試しましたが、新しい版を取ってこられませんでした。
+    ★古い版のままでは、設置できても指示が1つも届きません（鍵の名前が違うため）。
+    次の1行をお試しのうえ、それでも直らないときはサポートへご連絡ください:
+      npm install -g @tyhld/conductor@latest"
+else
+  echo "[setup] conductor の版: OK（${CONDUCTOR_VER} ≧ ${MIN_CONDUCTOR_VERSION}）"
 fi
 
-if $need_symlink; then
-  echo "[setup] $SYMLINK_PATH → $NODE_PATH のシンボリックリンクを作成します（sudo）"
-  if [[ -w "$(dirname "$SYMLINK_PATH")" ]]; then
-    ln -sf "$NODE_PATH" "$SYMLINK_PATH"
-  else
-    sudo ln -sf "$NODE_PATH" "$SYMLINK_PATH"
+# ─── ③ node symlink ──────────────────────────────────────────────────────────
+step "③ node の場所を常駐から見えるようにする"
+
+# 【なぜ要るか】常駐（systemd / launchd）はログインシェルの PATH を引き継がない。
+#   そのため node の場所を「決め打ちで見える形」にしておく必要がある。
+# ★OS で解き方が違う（ADR-019）:
+#   Linux(WSL) … 従来どおり /usr/local/bin/node へリンクを作る（sudo）
+#   Mac        … ★リンクを作らない。launchd の plist に node の絶対パスを直接書くので不要。
+#                 sudo も要らず、Apple Silicon（/opt/homebrew/bin）でもそのまま動く。
+NODE_PATH="$(resolve_path "$(command -v node)")"
+echo "[setup] node の実体: $NODE_PATH"
+
+if [[ "$OS_KIND" == "mac" ]]; then
+  echo "[setup] Mac のため、リンクは作りません（常駐には上の絶対パスをそのまま書きます）"
+else
+  SYMLINK_PATH="/usr/local/bin/node"
+  need_symlink=true
+  if [[ -f "$SYMLINK_PATH" || -L "$SYMLINK_PATH" ]]; then
+    existing="$(resolve_path "$SYMLINK_PATH")"
+    if [[ "$existing" == "$NODE_PATH" ]]; then
+      echo "[setup] $SYMLINK_PATH は既に正しいリンクです → スキップ"
+      need_symlink=false
+    fi
+  fi
+  if $need_symlink; then
+    echo "[setup] $SYMLINK_PATH → $NODE_PATH のシンボリックリンクを作成します（sudo）"
+    if [[ -w "$(dirname "$SYMLINK_PATH")" ]]; then
+      ln -sf "$NODE_PATH" "$SYMLINK_PATH"
+    else
+      sudo ln -sf "$NODE_PATH" "$SYMLINK_PATH"
+    fi
+    echo "[setup] リンク作成完了"
   fi
-  echo "[setup] symlink 作成完了"
 fi
 
 # ─── ④ .conductor.env 作成 ───────────────────────────────────────────────────
 step "④ .conductor.env（管制サーバ接続情報）"
 
+# ★合言葉（トークン）が管制に通るかを、その場で1回だけ確かめる。
+#   【なぜ要るか】以前は入力後に何も試さなかったため、打ち間違えても最後まで「成功」で終わり、
+#     お客さまは後日「指示が届かない」で初めて気づいた（調査 3f2337e6・2026-09-02）。
+#   【やり方】番人(hook_datalink.ping)とまったく同じ確かめ方を使う＝実在しないIDへ
+#     認証つきで1回 GET するだけ。★カードは作らない・何も書き換えない（副作用ゼロ）。
+#   返す言葉: ok / bad-token / bad-url / unreachable
+check_console_connection() {
+  local url="$1" token="$2"
+  CONDUCTOR_URL="$url" CONDUCTOR_TOKEN="$token" python3 <<'PYEOF' 2>/dev/null || echo unreachable
+import os, urllib.error, urllib.request
+
+PING_ID = '00000000-0000-4000-8000-000000000000'
+
+
+class _NoRedirect(urllib.request.HTTPRedirectHandler):
+    """折返し（サインイン画面へのリダイレクト）を成功と読み違えない。"""
+    def redirect_request(self, *a, **k):
+        return None
+
+
+url = (os.environ.get('CONDUCTOR_URL') or '').rstrip('/')
+token = os.environ.get('CONDUCTOR_TOKEN') or ''
+req = urllib.request.Request(
+    f'{url}/api/conductor/hook-requests/{PING_ID}',
+    method='GET', headers={'Authorization': f'Bearer {token}'})
+try:
+    with urllib.request.build_opener(_NoRedirect).open(req, timeout=10) as res:
+        code = getattr(res, 'status', 0) or 0
+    print('ok' if 200 <= code < 300 else 'bad-url')
+except urllib.error.HTTPError as e:
+    # 404 = 届いて認証も通り「そのIDが無い」だけ＝正常。401/403 = 合言葉が違う。
+    if e.code == 404 or 200 <= e.code < 300:
+        print('ok')
+    elif e.code in (401, 403):
+        print('bad-token')
+    elif 300 <= e.code < 400:
+        print('bad-url')
+    else:
+        print('unreachable')      # 5xx は管制側の一時的な不調とみなす
+except Exception:
+    print('unreachable')          # 名前が引けない・つながらない・時間切れ
+PYEOF
+}
+
 ENV_FILE="$HOME/.conductor.env"
 if [[ -f "$ENV_FILE" ]]; then
-  echo "[setup] $ENV_FILE は既に存在します → スキップ"
-  echo "[setup] 内容を変更する場合は手動で編集してください。"
+  echo "[setup] $ENV_FILE は既に存在します → スキップ（入力は求めません）"
+  echo "[setup] ★合言葉（トークン）を入れ直したいときは、次の1行でこのファイルを消してから"
+  echo "[setup]   もう一度この setup.sh を実行してください:"
+  echo "[setup]     rm ~/.conductor.env"
 else
   echo "[setup] 管制サーバへの接続情報を入力してください。"
+  echo "[setup] ★この2つは弊社からお渡しした値です。手元の案内をご覧ください。"
   echo
 
-  read -r -p "  CONDUCTOR_URL（例: https://your-conductor.vercel.app）: " input_url
-  [[ -z "$input_url" ]] && fail "CONDUCTOR_URL が空です。"
+  read -r -p "  ① 管制のアドレス（CONDUCTOR_URL・例: https://…）: " input_url
+  [[ -z "$input_url" ]] && fail "管制のアドレスが空です。"
 
-  read -r -p "  CONDUCTOR_SHARED_SECRET: " input_secret
-  [[ -z "$input_secret" ]] && fail "CONDUCTOR_SHARED_SECRET が空です。"
+  # ★合言葉は画面に出さない（-s）。画面共有・録画に残さないため。
+  #   何も出ないと固まったと思われるので、受け取ったことを必ず1行返す。
+  read -r -s -p "  ② 合言葉（CONDUCTOR_TOKEN・入力しても画面には出ません）: " input_secret
+  echo
+  [[ -z "$input_secret" ]] && fail "合言葉が空です。"
+  echo "[setup]   受け取りました（${#input_secret} 文字）。画面には表示していません。"
+
+  # ★その場で1回だけ確かめる（副作用ゼロ）。
+  echo "[setup] 管制につながるか確認しています..."
+  case "$(check_console_connection "$input_url" "$input_secret")" in
+    ok)
+      echo "[setup]   ✓ つながりました（アドレスと合言葉は正しいです）"
+      ;;
+    bad-token)
+      fail "合言葉（トークン）が違うようです（管制に拒否されました）。
+    お手元の案内をもう一度ご確認のうえ、この setup.sh を実行し直してください。
+    ★ここで止めるのは、このまま進めても指示が1つも届かないためです。"
+      ;;
+    bad-url)
+      fail "管制のアドレスが違うようです（受け口に届いていません）。
+    https:// から始まる正しいアドレスか、末尾に余計な文字が入っていないかをご確認のうえ、
+    この setup.sh を実行し直してください。"
+      ;;
+    *)
+      # ★一時的なネット不調と区別する。設置自体は続ける（後から直せる）。
+      warn "いま管制につながりませんでした（ネットワークが一時的に不調な可能性があります）。
+    ★入力した値は保存し、設置は続けます。設置後に指示が届かないときは、
+    　インターネット接続を確認してから次の1行で確かめ直してください:
+    　  ${SVC_RESTART_CMD}"
+      ;;
+  esac
 
   cat > "$ENV_FILE" <<ENVEOF
 CONDUCTOR_URL=${input_url}
-CONDUCTOR_SHARED_SECRET=${input_secret}
+CONDUCTOR_TOKEN=${input_secret}
 ENVEOF
   chmod 600 "$ENV_FILE"
-  echo "[setup] $ENV_FILE を作成しました（chmod 600）"
+  echo "[setup] $ENV_FILE を作成しました（本人だけが読める権限にしました）"
 fi
 
-# ─── ⑤ .claude/ 配置（PERM ルール + Hook） ──────────────────────────────────
-step "⑤ .claude/ 配置（権限ルール + Hook）"
+# ─── ⑤ 番人一式の配置（ホーム1本方式・登録するイベントは見本が決める） ──────
+step "⑤ 番人一式の配置（安全装置）"
 
 CLAUDE_DIR="$PROJECT_DIR/.claude"
-HOOKS_DIR="$CLAUDE_DIR/hooks"
-mkdir -p "$HOOKS_DIR"
-
-# --- cc2_guard.py ---
-GUARD_SRC="$SCRIPT_DIR/cc2_guard.py"
-GUARD_DST="$HOOKS_DIR/cc2_guard.py"
-if [[ -f "$GUARD_SRC" ]]; then
-  cp -f "$GUARD_SRC" "$GUARD_DST"
-  chmod +x "$GUARD_DST"
-  echo "[setup] 配置: $GUARD_DST"
+mkdir -p "$CLAUDE_DIR"
+
+# ★番人は「1台に1箇所」だけ置く（現場ごとのコピーを作らない）。
+#   以前は現場ごとに .claude/hooks/ へコピーしていたため、現場が増えるほど番人が増殖し、
+#   更新のたびに全現場を回る必要があった（＝取り残しが起きる）。集約すれば更新は1箇所で済む。
+# ★番人フックは【ホームの ~/.claude/settings.json に1本だけ】書く。各現場の
+#   PROJECT_DIR/.claude/settings.json には番人フックを書かない（＝二重番人を作らない・ADR-013）。
+# ★どのイベントを登録するかは【見本 scripts/hooks/settings.sample.json だけ】が決める
+#   （ADR-005 と同じ考え方）。以前はここにイベント名を直書きしていたため、ADR-016 で
+#   Notification を足しても【新規に設置したお客さまの機体には入らなかった】。
+#   下の ⑤-0 で見本と配る中身を機械照合し、外れていれば設置を止める＝足し忘れが起こせない。
+GUARD_HOME="$HOME/.tyhld/hooks"
+GUARD_SAMPLE="$SCRIPT_DIR/../scripts/hooks/settings.sample.json"
+
+# --- 番人一式（正本1本）を固定パスへ配置 ---
+# ★配布元は「正本1本」だけ。以前は sales-template/ に複製を置いていたため、正本が更新されても
+#   顧客へ届かず乖離した。複製は廃止し、ここでは常に正本を配布する＝乖離が構造的に起きない。
+#
+# 正本の在り処は「setup.sh から見て ../scripts/hooks」。npm 配布物でもリポジトリでも
+# 同じ相対位置になる（package.json の files に scripts/hooks を含めてある）。
+GUARD_SRC_DIR="$SCRIPT_DIR/../scripts/hooks"
+
+# ★配る番人一式（段2の3フック＋その依存）。scripts/update-guard.sh と同じ集合にする。
+#   1本でも欠けると差し替えた現場の番人が読めず止まる（勤務用コピーの考え方＝ADR-002）。
+# ★この一覧は scripts/update-guard.sh の INSTALL_FILES と【同じ集合】にすること。
+#   食い違うと「稼働機では動くのに新規設置だけ壊れる」が起きる。テストで同一を固定してある。
+GUARD_FILES=(
+  cc2_guard.py                # PreToolUse … 危険を止める／関門を人へ渡す
+  permission_request_hook.py  # PermissionRequest … 確認を管制へ送り答えを待つ
+  stop_hook.py                # Stop … 手が止まったことを管制へ知らせる
+  notification_hook.py        # Notification … 端末でしか押せない問いを管制へ知らせる（ADR-016）
+  policy.py                   # cc2_guard / permission_request_hook が使う判定本体
+  summary_ja.py               # permission_request_hook / stop_hook が使う日本語の文言
+  hook_datalink.py            # 各フックが使う管制との連絡線
+)
+GUARD_ENTRYPOINTS=(cc2_guard.py permission_request_hook.py stop_hook.py notification_hook.py)
+GUARD_CONFIGS=(safe_verbs.json network_allow.json)  # 任意・あれば同居させる
+
+# --- ⑤-0 見本と「配る中身」がズレていないか機械照合する（★足し忘れの再発防止） ---
+# 見本が呼ぶ入口スクリプトが (a) 正本にあるか (b) 上の GUARD_FILES に入っているか を確かめる。
+# 1つでも外れていれば「登録はされるのに実体が無い」＝番人が動かない状態になるので、ここで止める。
+# ★見本が無い環境では止めない（rc=7）。従来どおりの3フックで進む＝壊さない。
+echo "[setup] ⑤-0 見本と配る中身の照合"
+drift_out="$(GUARD_FILES="${GUARD_FILES[*]}" python3 - "$GUARD_SAMPLE" "$GUARD_SRC_DIR" <<'PYEOF'
+import json, os, sys
+
+sample_path, src_dir = sys.argv[1], sys.argv[2]
+install = set(os.environ.get("GUARD_FILES", "").split())
+
+try:
+    hooks = (json.load(open(sample_path, encoding="utf-8")).get("hooks") or {})
+except FileNotFoundError:
+    print("SKIP 見本がありません（従来どおりの内容で設置します）")
+    sys.exit(7)
+except Exception as e:  # noqa: BLE001
+    print("FAIL 見本が JSON として読めません: %s" % e)
+    sys.exit(1)
+if not hooks:
+    print("FAIL 見本に hooks がありません（配る対象が決められない）")
+    sys.exit(1)
+
+refs = {os.path.basename(h["command"].split()[-1])
+        for groups in hooks.values() for g in (groups or [])
+        for h in (g.get("hooks") or []) if h.get("command")}
+missing_src = sorted(b for b in refs if not os.path.isfile(os.path.join(src_dir, b)))
+not_installed = sorted(b for b in refs if b not in install)
+if missing_src:
+    print("FAIL 見本が呼ぶスクリプトが正本にありません: %s" % ", ".join(missing_src))
+    sys.exit(1)
+if not_installed:
+    print("FAIL 見本が呼ぶスクリプトが設置一覧(GUARD_FILES)にありません: %s"
+          % ", ".join(not_installed))
+    sys.exit(1)
+print("OK 見本の %d イベント（%s）を登録します" % (len(hooks), ", ".join(sorted(hooks))))
+PYEOF
+)" && drift_rc=0 || drift_rc=$?
+echo "[setup]    $drift_out"
+if [[ "${drift_rc:-1}" == "1" ]]; then
+  fail "見本と配る中身が食い違っています（上記）。配布物が壊れている可能性があります。
+  お手数ですが、この画面のままサポートへご連絡ください。"
+fi
+SAMPLE_OK=0
+[[ "${drift_rc:-1}" == "0" ]] && SAMPLE_OK=1
+
+# ★番人は安全境界そのもの。見つからないまま黙って進むと「守りが無い状態」で稼働してしまう。
+#   従来は warn+スキップだったが、それは最も危険な失敗の仕方なので中断する。
+missing_guard=()
+for f in "${GUARD_FILES[@]}"; do
+  [[ -f "$GUARD_SRC_DIR/$f" ]] || missing_guard+=("$f")
+done
+if [[ ${#missing_guard[@]} -gt 0 ]]; then
+  fail "番人一式が見つかりません: ${missing_guard[*]}（探索先: $GUARD_SRC_DIR）
+  安全装置が揃わない状態では設置できません。配布物が壊れている可能性があります。
+  お手数ですが、この画面のままサポートへご連絡ください。"
+fi
+
+# ★壊れた Python を固定パスへ置くと全現場が同時に止まる。置く前に構文を確認する。
+if ! python3 -m py_compile "${GUARD_FILES[@]/#/$GUARD_SRC_DIR/}"; then
+  fail "番人一式の構文確認に失敗しました。固定パスは変更していません。"
+fi
+
+mkdir -p "$GUARD_HOME"
+for f in "${GUARD_FILES[@]}"; do
+  cp -f "$GUARD_SRC_DIR/$f" "$GUARD_HOME/$f"
+done
+for e in "${GUARD_ENTRYPOINTS[@]}"; do
+  chmod +x "$GUARD_HOME/$e"
+done
+echo "[setup] 番人一式（${#GUARD_FILES[@]}本）を配置: $GUARD_HOME（この1台の全現場が共有します）"
+
+# --- 番人の設定ファイル（任意・同居必須）---
+# 番人は「自分と同じフォルダ」の safe_verbs.json / network_allow.json を読む（_SCRIPT_DIR 基準）。
+# 無い場合は番人が既定値で動く（フェイルセーフ）ので、存在するものだけ配置する。
+for guard_conf in "${GUARD_CONFIGS[@]}"; do
+  if [[ -f "$GUARD_SRC_DIR/$guard_conf" ]]; then
+    cp -f "$GUARD_SRC_DIR/$guard_conf" "$GUARD_HOME/$guard_conf"
+    echo "[setup] 配置: $GUARD_HOME/$guard_conf"
+  fi
+done
+
+# --- 番人フックを【ホームの ~/.claude/settings.json】へ1本だけ登録 ---
+# ★1台1箇所。ここに書けば、この機の全現場（全 tmux セッション）へ同時に効く。
+#   現場ごとの settings.json には番人フックを書かない＝二重番人・取り残しを構造的に防ぐ（ADR-013）。
+# ★登録するイベントは【見本 settings.sample.json が正】。ここに名前を直書きしない。
+#   直書きしていたせいで、ADR-016 で Notification を足しても新規設置には入らなかった。
+#   見本が無い環境だけ、従来どおりの3イベントへ落ちる（後退させない）。
+# ★matcher は付けない（PreToolUse は全ツール対象）。番人は Bash 以外も見るため、列挙すると
+#   新しいツールが増えたとき素通りする（見本の方針に一致）。
+# ★command には ~ を使わず絶対パスを書く。フックがシェル経由で実行される保証が無く、
+#   ~ が展開されないと番人が起動せず「守りが黙って外れる」最悪の失敗になるため。
+# ★既存の ~/.claude/settings.json の他キー（permissions 等）は壊さず hooks だけ差し替える。
+HOME_CLAUDE_DIR="$HOME/.claude"
+HOME_SETTINGS="$HOME_CLAUDE_DIR/settings.json"
+mkdir -p "$HOME_CLAUDE_DIR"
+registered_events="$(GUARD_HOME="$GUARD_HOME" HOME_SETTINGS="$HOME_SETTINGS" \
+  SAMPLE_OK="$SAMPLE_OK" python3 - "$GUARD_SAMPLE" <<'PYEOF'
+import json, os, shutil, sys, time
+
+p = os.environ['HOME_SETTINGS']
+gh = os.environ['GUARD_HOME']
+sample_ok = os.environ.get('SAMPLE_OK') == '1'
+
+
+def at(name):
+    return 'python3 ' + os.path.join(gh, name)
+
+
+def from_sample(path):
+    """見本の hooks を、コマンドのパスだけ固定パスへ置き換えた形で返す。"""
+    hooks = json.load(open(path, encoding='utf-8')).get('hooks') or {}
+    out = {}
+    for ev, groups in hooks.items():
+        new = []
+        for g in (groups or []):
+            ng = dict(g)
+            ng['hooks'] = [
+                {**h, 'command': at(os.path.basename(h['command'].split()[-1]))}
+                if isinstance(h, dict) and h.get('command') else h
+                for h in (g.get('hooks') or [])
+            ]
+            new.append(ng)
+        out[ev] = new
+    return out
+
+
+if sample_ok:
+    desired = from_sample(sys.argv[1])
+else:
+    # 見本が無い環境（配布物が古い等）。従来どおりの3イベントで設置する＝後退させない。
+    desired = {
+        'PreToolUse': [{'hooks': [{'type': 'command', 'command': at('cc2_guard.py')}]}],
+        'PermissionRequest': [{'hooks': [
+            {'type': 'command', 'timeout': 600, 'command': at('permission_request_hook.py')}]}],
+        'Stop': [{'hooks': [
+            {'type': 'command', 'timeout': 600, 'command': at('stop_hook.py')}]}],
+    }
+
+d = {}
+if os.path.exists(p):
+    with open(p, encoding='utf-8') as f:
+        d = json.load(f)  # 壊れていれば例外→インストーラが警告して手動対応を促す
+if not isinstance(d, dict):
+    d = {}
+
+d['hooks'] = desired
+
+if os.path.exists(p):
+    shutil.copy2(p, p + '.bak.' + time.strftime('%Y%m%d-%H%M%S'))
+tmp = p + '.tmp'
+with open(tmp, 'w', encoding='utf-8') as f:
+    json.dump(d, f, indent=2, ensure_ascii=False)
+    f.write('\n')
+os.replace(tmp, p)  # 置換は原子的＝途中で壊れた settings.json を残さない
+print(' / '.join(sorted(desired)))
+PYEOF
+)" || fail "番人フックの登録に失敗しました: $HOME_SETTINGS
+  既存ファイルが JSON として壊れている可能性があります。手動で確認してください。"
+echo "[setup] 番人フック($registered_events)を $HOME_SETTINGS に登録しました"
+
+# --- Codex の職人にも番人を登録する（★ADR-022・Codex を使う機体だけ） -------
+# ★同じ処理を2か所に書かない: 稼働機の更新(update-guard.sh ①-e2)と同じスクリプトを呼ぶ。
+#   Codex を使っていない機体では中で何もしない（~/.codex を勝手に作らない）。
+CODEX_HOOK_INSTALL="$SCRIPT_DIR/../scripts/hooks/install-codex-hooks.sh"
+if [[ -f "$CODEX_HOOK_INSTALL" ]]; then
+  APPLY=1 GUARD_HOME="$GUARD_HOME" bash "$CODEX_HOOK_INSTALL" \
+    || warn "Codex への番人登録に失敗しました（Claude 側の設置は完了しています）"
 else
-  warn "cc2_guard.py が見つかりません: $GUARD_SRC（スキップ）"
+  warn "Codex 用の登録スクリプトが見つかりません: $CODEX_HOOK_INSTALL（スキップ）"
 fi
 
-# --- settings.json ---
+# --- 現場の権限ルール settings.json（番人フックは書かない） ---
+# ★ここに置くのは「その現場固有の権限ルール（deny・Supabase 等の sandbox）」だけ。
+#   番人フックは上でホームに1本化済み。現場側には hooks を書かない（二重番人を作らない）。
 SETTINGS_SRC="$SCRIPT_DIR/settings.json"
 SETTINGS_DST="$CLAUDE_DIR/settings.json"
 if [[ -f "$SETTINGS_SRC" ]]; then
   if [[ -f "$SETTINGS_DST" ]]; then
     echo "[setup] $SETTINGS_DST は既に存在します。上書きしますか？"
     read -r -p "  上書き (y/N): " overwrite
-    if [[ "${overwrite,,}" != "y" ]]; then
-      echo "[setup] settings.json をスキップしました。"
+    if [[ "$(lower "$overwrite")" != "y" ]]; then
+      echo "[setup] 現場の settings.json をスキップしました。"
     else
       cp -f "$SETTINGS_SRC" "$SETTINGS_DST"
       echo "[setup] 配置: $SETTINGS_DST（上書き）"
@@ -233,7 +671,7 @@ if [[ -f "$SETTINGS_SRC" ]]; then
   # <PROJECT_DIR> をプロジェクトの絶対パスに置換
   if [[ -f "$SETTINGS_DST" ]] && grep -q '<PROJECT_DIR>' "$SETTINGS_DST"; then
     ABS_PROJECT_DIR="$(cd "$PROJECT_DIR" && pwd)"
-    sed -i "s|<PROJECT_DIR>|${ABS_PROJECT_DIR}|g" "$SETTINGS_DST"
+    sed_replace "s|<PROJECT_DIR>|${ABS_PROJECT_DIR}|g" "$SETTINGS_DST"
     echo "[setup] <PROJECT_DIR> → $ABS_PROJECT_DIR に置換"
   fi
 
@@ -241,10 +679,10 @@ if [[ -f "$SETTINGS_SRC" ]]; then
   if [[ -f "$SETTINGS_DST" ]] && grep -q '<SUPABASE_PROJECT_ID>' "$SETTINGS_DST"; then
     echo
     read -r -p "[setup] Supabase を使いますか？ (y/N): " use_supabase
-    if [[ "${use_supabase,,}" == "y" ]]; then
+    if [[ "$(lower "$use_supabase")" == "y" ]]; then
       read -r -p "  Supabase Project Reference ID: " supabase_id
       if [[ -n "$supabase_id" ]]; then
-        sed -i "s|<SUPABASE_PROJECT_ID>|${supabase_id}|g" "$SETTINGS_DST"
+        sed_replace "s|<SUPABASE_PROJECT_ID>|${supabase_id}|g" "$SETTINGS_DST"
         echo "[setup] <SUPABASE_PROJECT_ID> → $supabase_id に置換"
       else
         warn "Supabase ID が空のため、sandbox 設定にプレースホルダが残ります。"
@@ -272,79 +710,278 @@ else
   warn "settings.json が見つかりません: $SETTINGS_SRC（スキップ）"
 fi
 
-# --- hooks 設定を settings.json に注入 ---
-if [[ -f "$SETTINGS_DST" ]]; then
-  # hooks キーが既に存在するか確認
-  if ! python3 -c "
-import json
-with open('$SETTINGS_DST') as f:
-    d = json.load(f)
-print('has_hooks' if 'hooks' in d else 'no_hooks')
-" 2>/dev/null | grep -q 'has_hooks'; then
-    # hooks セクションを追加
-    python3 -c "
-import json
-with open('$SETTINGS_DST') as f:
-    d = json.load(f)
-d['hooks'] = {
-    'PreToolUse': [
-        {
-            'matcher': 'Bash',
-            'hooks': [
-                {
-                    'type': 'command',
-                    'command': 'python3 .claude/hooks/cc2_guard.py'
-                }
-            ]
-        }
-    ]
-}
-with open('$SETTINGS_DST', 'w') as f:
-    json.dump(d, f, indent=2, ensure_ascii=False)
-    f.write('\n')
-" 2>/dev/null && echo "[setup] hooks 設定を settings.json に注入しました" \
-              || warn "hooks 設定の注入に失敗しました。手動で追加してください。"
-  else
-    echo "[setup] hooks 設定は既に存在します → スキップ"
-  fi
+# --- 職人の鉄則スキル conductor-craftsman を配置 ------------------------------
+# ★番人（安全装置）が「やらせない」側なら、こちらは職人自身が「そう動く」側。
+#   便（CONDUCTOR_JOB 印の付いた作業指示）を受けた職人が最初に読む作業規律を、
+#   番人と同じく「1台に1箇所」＝ホームの ~/.claude/skills/ に置く。現場ごとに
+#   コピーを作らない（増殖させない・更新は1箇所で済む）。
+# ★配布元は正本1本（リポジトリの skills/）。番人と同じく setup.sh からの相対位置で探す。
+# ★番人と違い、これは安全境界ではなく作業規律なので、見つからないときは中断せず警告して進む
+#   （スキルが無くても番人は効いており、安全に穴は空かない）。
+CRAFTSMAN_SKILL_NAME="conductor-craftsman"
+CRAFTSMAN_SKILL_SRC="$SCRIPT_DIR/../skills/$CRAFTSMAN_SKILL_NAME"
+CRAFTSMAN_SKILL_DST="$HOME/.claude/skills/$CRAFTSMAN_SKILL_NAME"
+
+if [[ -f "$CRAFTSMAN_SKILL_SRC/SKILL.md" ]]; then
+  # 冪等: 毎回 mkdir -p ＋ cp -f で正本の内容に揃える（再実行しても壊れない・差分だけ上書き）。
+  mkdir -p "$CRAFTSMAN_SKILL_DST"
+  cp -f "$CRAFTSMAN_SKILL_SRC/SKILL.md" "$CRAFTSMAN_SKILL_DST/SKILL.md"
+  echo "[setup] 職人の鉄則スキルを配置: $CRAFTSMAN_SKILL_DST（この1台の全現場が共有します）"
+else
+  warn "職人の鉄則スキルが見つかりません: $CRAFTSMAN_SKILL_SRC/SKILL.md（スキップ）
+  番人は設置済みのため安全装置は効いていますが、職人の作業規律は配られていません。"
 fi
 
 # ─── ⑥ systemd install ──────────────────────────────────────────────────────
 step "⑥ systemd 常駐サービスの設定"
 
-SYSTEMD_INSTALL="$SCRIPT_DIR/systemd/install.sh"
-if [[ -f "$SYSTEMD_INSTALL" ]]; then
-  bash "$SYSTEMD_INSTALL" "$SITE" "$PROJECT_DIR"
+# --- 古いユニットの掃除（best-effort・冪等） ---------------------------------
+# アップグレード時、旧バージョンが入れたユニットは cp -f の上書きでは消えない。
+# 特に `@` を含まない単発ユニット（旧 conductor-orchestrator.service）は誰も消さず、
+# enabled のまま常駐し続ける（2026-07-09 実地。10日間 heartbeat を送り続けた）。
+#
+# ★掃除してよいのは「このインストーラが過去に置いたが、現行版ではもう置かないユニット」だけ。
+#   現行の systemd/install.sh が置くのは conductor@.service（テンプレート本体）と
+#   conductor@<現場>.service の2種のみ。したがって掃除対象は、台帳に載っている
+#   `@` 無しの単発ユニット（conductor-*.service）に尽きる。
+#
+# ★conductor@* には一切触れない（テンプレート本体・各現場とも）。
+#   台帳にはインストール済みの「全現場」が載る。今回の現場以外を掃除対象にすると、
+#   顧客が2つ目の現場を追加するために setup.sh を再実行しただけで、1つ目の現場が
+#   disable --now されて消える。conductor@<現場> は常に現役の可能性がある。
+#
+# ★台帳が無い/空なら何もしない。setup.sh は無人で走りうるため、確認プロンプトも
+#   --dry-run も無いこの場所で、顧客自作の conductor-*.service を巻き込む可能性のある
+#   走査を実行してはならない。台帳導入前の環境の掃除は uninstall.sh（--dry-run 付き）に委ねる。
+#
+# 冪等性の条件:
+#   - 対象が無くてもエラーで落ちない（|| true で握りつぶす）
+#   - disable --now → ファイル削除 → 最後に一度だけ daemon-reload の順序を守る
+#   - set -e 下でも掃除の失敗が本体インストールを中断しない（best-effort）
+#   - 2回連続実行すると2回目は no-op（1回目で台帳から消えるため）
+#
+# ★掃除の例外（現行版が入れる「@ 無し」のユニット）— ADR-066 便2e
+#   耳 conductor-ear.service は「PCに1本」の現役ユニットで、`@` を含まないため、
+#   何もしなければ上の掃除規則（台帳に載っている conductor-*.service）に丸ごと当たり、
+#   セットアップを再実行するたびに自分で入れた耳を自分で消してしまう。
+#   ★この例外は【台帳へ載せる処理より先】に入っていなければならない。順序を逆にすると、
+#     一度入った耳が次回セットアップで撤去される（便2c の申し送りで警告した罠）。
+#   耳を台帳へ載せるのは systemd/ear-install.sh で、下の cleanup_stale_units 呼び出しより
+#   後に実行される。この順序は test/setup-ear-order.test.ts が固定している。
+CURRENT_MACHINE_UNITS=(
+  conductor-ear.service   # ADR-066 の耳（このPCに1本・現役）。掃除してはいけない。
+)
+
+cleanup_stale_units() {
+  local ledger_dir="${XDG_CONFIG_HOME:-$HOME/.config}/conductor"
+  local ledger_file="$ledger_dir/installed-units.txt"
+  local unit_dir="$HOME/.config/systemd/user"
+  local stale=() u raw line keep
+  local cleaned=0
+
+  # 台帳が無い＝台帳導入前の環境。ここでは何も掃除しない（安全側・上記★参照）。
+  if [[ ! -f "$ledger_file" ]]; then
+    echo "[setup] 台帳が無いため古いユニットの掃除はスキップします。"
+    echo "[setup]   旧環境の撤去は 'bash uninstall.sh --dry-run' で対象を確認のうえ実施してください。"
+    return 0
+  fi
+
+  # 台帳に載っている `@` 無しの単発ユニットだけを掃除対象にする。
+  while IFS= read -r raw || [[ -n "$raw" ]]; do
+    line="${raw#"${raw%%[![:space:]]*}"}"
+    line="${line%"${line##*[![:space:]]}"}"
+    [[ -z "$line" || "${line:0:1}" == "#" ]] && continue
+    # conductor@... は現役の可能性があるので一切触らない（テンプレート本体・各現場とも）。
+    [[ "$line" == conductor@* ]] && continue
+    # ★現行版が入れる「@ 無し」の現役ユニット（耳など）は掃除しない。
+    for keep in "${CURRENT_MACHINE_UNITS[@]}"; do
+      [[ "$line" == "$keep" ]] && continue 2
+    done
+    # 掃除対象は「現行版がもう置かない」単発ユニットのみ。それ以外の綴りは無視する。
+    [[ "$line" == conductor-*.service ]] || continue
+    stale+=("$line")
+  done < "$ledger_file"
+
+  if [[ ${#stale[@]} -eq 0 ]]; then
+    return 0
+  fi
+
+  for u in "${stale[@]}"; do
+    systemctl --user disable --now "$u" >/dev/null 2>&1 || true
+    if [[ -f "$unit_dir/$u" ]]; then
+      rm -f "$unit_dir/$u" || true
+    fi
+    # 撤去したものは台帳からも消す（台帳に幽霊を残さない）。
+    grep -vxF "$u" "$ledger_file" > "$ledger_file.tmp" 2>/dev/null || true
+    mv -f "$ledger_file.tmp" "$ledger_file" 2>/dev/null || rm -f "$ledger_file.tmp"
+    echo "[setup] 古いユニットを撤去: $u"
+    cleaned=1
+  done
+
+  if [[ $cleaned -eq 1 ]]; then
+    systemctl --user daemon-reload || true
+    echo "[setup] daemon-reload 実行（掃除の反映）"
+  fi
+  return 0
+}
+# best-effort: 掃除が失敗しても本体インストールは続行する（warn は上で定義済み）。
+# ★古いユニットの掃除は systemd の話。Mac には掃除対象が存在しないので行わない（ADR-019）。
+if [[ "$OS_KIND" == "mac" ]]; then
+  echo "[setup] 古いユニットの掃除は Mac では不要のため行いません"
+else
+  cleanup_stale_units || warn "古いユニットの掃除に失敗しました（インストールは続行します）。"
+fi
+
+# ★常駐の設置だけが OS で分かれる（ADR-019・案C）。ここより上も下も1本のまま。
+if [[ "$OS_KIND" == "mac" ]]; then
+  SVC_INSTALL="$SCRIPT_DIR/launchd/install.sh"
+else
+  SVC_INSTALL="$SCRIPT_DIR/systemd/install.sh"
+fi
+if [[ -f "$SVC_INSTALL" ]]; then
+  bash "$SVC_INSTALL" "$SITE" "$PROJECT_DIR"
+else
+  warn "常駐の設置スクリプトが見つかりません: $SVC_INSTALL（スキップ）"
+  echo "[setup] 手動で設定する場合は sales-template/${SVC_KIND}/ を参照してください。"
+fi
+
+# --- 耳（指示の着信合図の受け取り役／このPCに1本）の設置 ---------------------
+# ADR-066: 指示が積まれた合図を受け取るのは PC につき1本の conductor-ear だけ（現場ごとではない）。
+#   耳が受けた合図は、その現場の relay へ「今すぐ1周して」と伝えるだけ。指示は relay が
+#   従来どおり取得APIから取る。＝つなぎっぱなしの本数がソフト数ではなく PC 数で決まる。
+# ★導入処理の正本は配布物の systemd/ear-install.sh（自社機の導入処理と共用・写しを持たない）。
+# ★best-effort: 耳が入らなくてもセットアップは成功扱いにする。
+#   耳は加速装置であって依存先ではなく、各現場の relay は15秒ポーリングで従来どおり完全に動く。
+# ★この呼び出しは必ず cleanup_stale_units より後に置くこと。耳を台帳へ載せるのはこの中で、
+#   掃除の例外(CURRENT_MACHINE_UNITS)は上で先に効かせてある（test/setup-ear-order.test.ts が固定）。
+if [[ "$OS_KIND" == "mac" ]]; then
+  EAR_INSTALL="$SCRIPT_DIR/../launchd/ear-install.sh"
+else
+  EAR_INSTALL="$SCRIPT_DIR/../systemd/ear-install.sh"
+fi
+if [[ -f "$EAR_INSTALL" ]]; then
+  bash "$EAR_INSTALL" || warn "耳の設置に失敗しました（relay は15秒ごとの確認で従来どおり動きます）。"
+else
+  warn "耳の導入処理が見つかりません: $EAR_INSTALL（耳の設置はスキップ）
+  relay は15秒ごとの確認で従来どおり動きます。"
+fi
+
+# --- 貼り付け一時ファイルの毎日自動掃除タイマー（機体1回・現場ごとではない） ---
+# ~/.claude/paste-cache に貼り付け由来の平文が溜まるのを、放置でも溜まらない形にする。
+# best-effort: 失敗しても本体セットアップは完了扱いにする。
+PRUNE_INSTALL="$SCRIPT_DIR/systemd/paste-cache-prune-install.sh"
+if [[ "$OS_KIND" == "mac" ]]; then
+  # ★Mac 版の毎日掃除タイマーはまだ用意していない（残る穴として ADR-019 に明記）。
+  warn "貼り付け一時ファイルの毎日自動掃除は、Mac ではまだ用意していません（手動で消せます:
+    find ~/.claude/paste-cache -type f -mtime +1 -delete）"
+elif [[ -f "$PRUNE_INSTALL" ]]; then
+  bash "$PRUNE_INSTALL" || warn "貼り付け一時ファイルの自動掃除タイマー設置に失敗しました（セットアップは続行）。"
 else
-  warn "systemd/install.sh が見つかりません: $SYSTEMD_INSTALL（スキップ）"
-  echo "[setup] 手動で systemd を設定する場合は sales-template/systemd/README.md を参照してください。"
+  warn "paste-cache-prune-install.sh が見つかりません: $PRUNE_INSTALL（自動掃除タイマーはスキップ）"
 fi
 
 # ─── ⑦ 職人起動の案内 ────────────────────────────────────────────────────────
-step "⑦ 完了！ 職人（Claude Code）の起動方法"
+# ─── ⑦ 自己点検（★お客さまが読んで分かる形で出す） ──────────────────────────
+# 【なぜ要るか】以前の確認手段は systemctl / journalctl / 番人の手動テストの3つだけで、
+#   どれも黒い画面の読み方が要る＝60代のお客さまには判断できなかった（調査 3f2337e6）。
+#   そこで、インストーラ自身が「置いたものが在るか」を1つずつ見て、○×で出す。
+#   ★ここは【確認するだけ】。何も作らない・変えない（何度実行しても同じ）。
+step "⑦ 自己点検（ここまで出れば大丈夫です）"
+
+ok_count=0
+ng_lines=()
+mark() {  # mark <条件の結果> <項目名> <直し方>
+  if [[ "$1" == "ok" ]]; then
+    echo "  ✓ $2"
+    ok_count=$((ok_count + 1))
+  else
+    echo "  ✗ $2"
+    ng_lines+=("$2 … $3")
+  fi
+}
+
+RETRY="setup.sh をもう一度実行してください"
+if [[ -x "$GUARD_HOME/cc2_guard.py" ]]; then
+  mark ok "安全装置（番人）が置かれている" ""
+else
+  mark ng "安全装置（番人）が置かれている" "$RETRY"
+fi
+if [[ -s "$HOME_SETTINGS" ]]; then
+  mark ok "番人の登録ができている" ""
+else
+  mark ng "番人の登録ができている" "$RETRY"
+fi
+if [[ -f "$ENV_FILE" ]]; then
+  mark ok "管制への接続情報がある" ""
+else
+  mark ng "管制への接続情報がある" "$RETRY"
+fi
+if service_is_running "conductor@${SITE}" "com.tyhld.conductor.${SITE}"; then
+  mark ok "この現場（${SITE}）の常駐が動いている" ""
+else
+  mark ng "この現場（${SITE}）の常駐が動いている" "$SVC_RESTART_HINT"
+fi
+if service_is_running conductor-ear com.tyhld.conductor.ear; then
+  mark ok "指示の受け取り役が動いている" ""
+else
+  # 耳は加速装置。無くても15秒ごとの確認で届くので、✗にはするが不安を煽らない。
+  mark ng "指示の受け取り役が動いている" \
+    "無くても指示は届きます（少し遅くなるだけ）。気になるときはご連絡ください"
+fi
+if command -v claude >/dev/null 2>&1; then
+  mark ok "職人（Claude Code）が使える" ""
+else
+  mark ng "職人（Claude Code）が使える" "npm i -g @anthropic-ai/claude-code を実行してください"
+fi
+
+echo
+if [[ ${#ng_lines[@]} -eq 0 ]]; then
+  echo "  ★ぜんぶ ✓ です（${ok_count}項目）。この画面のとおりなら設置は成功しています。"
+else
+  echo "  ★ ✗ が ${#ng_lines[@]} 件あります。次のようにしてください:"
+  for l in "${ng_lines[@]}"; do
+    echo "     - $l"
+  done
+  echo "     直らないときは、この画面をそのままサポートへお送りください。"
+fi
+
+step "⑧ 完了！ 職人（Claude Code）の起動方法"
 
 cat <<GUIDE
 
 采配くんのセットアップが完了しました。
 
-次のステップ: Claude Code（職人）を起動してください。
+次にやること: Claude Code（職人）を起動してください。下の3行をそのまま貼ります。
 
-  # 1. tmux セッションを作成
+  # 1. 作業部屋（tmux）を用意する
   tmux new-session -d -s "$SITE" -c "$PROJECT_DIR"
 
-  # 2. ANTHROPIC_API_KEY を無効化して Claude Code を起動
+  # 2. 職人を起動する
   tmux send-keys -t "$SITE" "unset ANTHROPIC_API_KEY && claude" C-m
 
-  # 3. セッションに接続
+  # 3. 職人の画面を開く
   tmux attach -t "$SITE"
 
-Claude Code が起動したら、管制サーバから指示を送ることができます。
-relay が15秒ごとに指示をポーリングし、Claude Code がアイドル状態のときに自動で流し込みます。
-
---- 管理コマンド ---
-  状態確認:  systemctl --user status conductor@${SITE}
-  ログ確認:  journalctl --user -u conductor@${SITE} -f
-  再起動:    systemctl --user restart conductor@${SITE}
-  停止:      systemctl --user disable --now conductor@${SITE}
+──────────────────────────────────────────────────────────
+★いちばん確実な「動いています」の確かめ方
+──────────────────────────────────────────────────────────
+
+  管制の画面（采配くん）をブラウザで開いてください。
+  そこに「${SITE}」が出ていれば、つながって動いています。★これが正の確認方法です。
+
+  出てこないときは、次の順に試してください。
+    1. 職人の画面（上の3行）を開いたままにする
+    2. 1〜2分待ってから、管制の画面を開き直す
+    3. それでも出ないときは:  ${SVC_RESTART_CMD}
+    4. それでも出ないときは、この画面をそのままサポートへお送りください
+
+──────────────────────────────────────────────────────────
+困ったとき（黒い画面のコマンド・補助）
+──────────────────────────────────────────────────────────
+  状態を見る:      ${SVC_STATUS_CMD}
+  動きの記録:      ${SVC_LOG_CMD}
+  入れ直す:        ${SVC_RESTART_CMD}
+  止める:          ${SVC_STOP_CMD}
+  合言葉を入れ直す: rm ~/.conductor.env   → そのあと setup.sh をもう一度実行
 
 GUIDE