devcontour-harness 0.1.0-alpha.5 → 0.1.0-alpha.7

package/docs/integrations/hindsight.md

@@ -0,0 +1,148 @@
+# Внешняя память (Hindsight): точка подключения
+
+Статус: **контракт и проверка поддельным провайдером**. Готового
+Hindsight-коннектора в harness нет: нет HTTP-клиента, SDK, MCP-сервера,
+развёртывания сервера и платных обращений. Harness работает без памяти;
+память подключается явно через opt-in entrypoint
+`devcontour-harness/integrations/memory` (исходники — `src/integrations/memory/`).
+Корень пакета и `devcontour-harness/contracts` этот модуль не импортируют
+<!-- repo-only -->(проверяется `tests/memory-availability.test.ts`, `M02/boundary`)<!-- /repo-only -->. Глобально
+
+установленный MCP или Hindsight SDK для пользователей harness не требуется.
+
+## Что есть
+
+| Часть              | API                                                         | Назначение                                                    |
+| ------------------ | ----------------------------------------------------------- | ------------------------------------------------------------- |
+| Договор провайдера | `MemoryRecallProvider`, `MemoryRetainProvider`              | два метода, которые реализует будущий адаптер                 |
+| Источник контекста | `memoryContextSource(provider, options)`                    | recall → источник `ContextSnapshot` (`kind: memory`)          |
+| Композиция         | `composeContext(parts, at)`, `mergeSnapshots(...)`          | файлы + память в одном снимке; повтор ID — отказ              |
+| Получатель итога   | `memoryResultSink(provider, options)`                       | обычный `ResultSink` с собственным ключом доставки            |
+| Тестовый провайдер | `src/integrations/memory/testing.ts` (`FakeMemoryProvider`) | детерминированные ответы, счётчики, отказы; только для тестов |
+
+Изменений ядра нет: используются существующие `ContextSource`, `ResultSink`,
+закрепление снимка при согласовании (`context-snapshots` + `approval.context`)
+и записи `delivery` у `Harness.deliver`.
+
+## Recall до согласования
+
+```ts
+import { FileContextSource } from 'devcontour-harness';
+import { composeContext, memoryContextSource } from 'devcontour-harness/integrations/memory';
+
+const memory = memoryContextSource(provider, {
+  id: 'memory', // ID источника в снимке
+  mode: 'optional', // 'required' | 'optional' | 'disabled'
+  bank: 'project-app', // стабильный bank проекта
+  project: 'app',
+  query: 'conventions for greeting module',
+  limits: { maxBytes: 16384, maxItems: 20, maxCostUnits: 5 },
+});
+const context = await composeContext(
+  [{ source: new FileContextSource('context'), ids: ['norms'] }, memory.part()],
+  { repositoryId: 'app' },
+);
+// review-plan → approve → run с этим же снимком
+```
+
+- Recall выполняется в `snapshot`, т.е. до ревью плана и согласования.
+  Исполнение берёт только снимок, связанный с согласованием
+  (`Harness.contextOf`): runner к провайдеру не обращается. Новый ответ
+  памяти после согласования в попытку не попадает; новый снимок при том же
+  графе — `APPROVAL_REQUIRED` (нужно новое ревью плана).
+- Источник памяти закрепляет три файла (все входят в digest источника):
+  - `recall.md` — вкладывается в запрос writer и reviewer; заголовок говорит,
+    что это непроверенные данные, которые не меняют поручение, область,
+    политику и ничего не разрешают;
+  - `provenance.json` (в поле `references`: закреплён, но не вкладывается):
+    провайдер и его версия, mode, bank, project, query, `recalledAt`,
+    digest/размер/число элементов/стоимость фактического ответа, пределы,
+    применённый объём и признаки обрезки (`truncated.items`, `truncated.bytes`,
+    `truncated.omitted`);
+  - `response.json` (тоже в `references`) — фактические байты тела ответа провайдера (если не
+    больше предела файла снимка; иначе остаётся только digest в provenance).
+- Пределы: элементы берутся по порядку провайдера целиком. Превышение
+  `maxItems`/`maxBytes`: у `required` по умолчанию — отказ подготовки
+  (`truncation: 'forbid'`), у `optional` — отбрасывание с явной строкой
+  `[TRUNCATED by harness: …]` в `recall.md` и в provenance. Элемент с
+  `mandatory: true` не отбрасывается никогда: его обрезка — отказ
+  (`required`) или отсутствие источника (`optional`). Стоимость больше
+  `maxCostUnits` — так же.
+- Режимы недоступности (ошибка, таймаут, ответ не JSON или вне схемы):
+  - `required` — `HarnessError NOT_READY` с причиной до ревью/согласования;
+    пустой «успешный» ответ не подставляется. Если ID памяти указан в
+    `order.context`, снимок без неё не пройдёт ни `run`, ни `review-plan`;
+  - `optional` — запись в `snapshot.missing` с причиной; снимок
+    согласуется и исполняется без памяти;
+  - `disabled` — провайдер не вызывается и может не передаваться вовсе;
+    снимок совпадает со снимком без памяти.
+- Память — контекст, а не постановка: она не меняет `WorkOrder`, write
+  scope, gates, политику и approval digest. Непроверенный дневник writer
+  (его `summary`) reviewer не передаётся: reviewer получает diff, evidence
+  controller и тот же закреплённый контекст.
+
+## Запись подтверждённого итога
+
+```ts
+const sink = memoryResultSink(provider, { bank: 'project-app', project: 'app' });
+await harness.deliver(workId, sink); // отдельно от Relay/файлового получателя
+```
+
+- `sink.id` по умолчанию `memory-<provider.id>`: ключ доставки
+  `<sink>:<work>:<run>` отдельный, состояние видно в `result().delivery` и
+  событиях `delivery.*` с этим `sink`. Сбой памяти не откатывает Git
+  accepted и не меняет receipt других получателей. Повтор
+  `Harness.deliver(work, sink)` отправляет только память; writer, reviewer и
+  другие получатели не вызываются. Общей распределённой транзакции нет.
+- Сохраняются только `accepted` результаты; остальные исходы получают
+  receipt `skipped: …` без обращения к провайдеру.
+- Содержимое — итог controller (исход, SHA, gates, находки), не пересказ writer.
+
+### Identity: bank, document_id, operation_id
+
+| Идентичность   | Как получается                                                                              | Гарантия                                                                                                                                         |
+| -------------- | ------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------ |
+| bank           | стабильный по проекту (`options.bank`), задаётся оператором                                 | память одного проекта не смешивается с другими                                                                                                   |
+| `document_id`  | `dch-` + digest(provider, bank, project, work, run, digest результата) — `memoryDocumentId` | повтор того же результата — **upsert** того же документа (в Hindsight `update_mode: replace` по умолчанию удаляет прежний документ и его память) |
+| `operation_id` | UUID (форма v5) из digest(ключ доставки, document_id) — `uuidOf`                            | повтор **асинхронного** retain с тем же `operation_id` возвращает прежнюю операцию и не создаёт новой работы                                     |
+
+Это разные гарантии: upsert документа не мешает серверу повторно выполнить
+асинхронную обработку (извлечение фактов, расход LLM), а `operation_id` не
+задаёт идентичность документа. Адаптер должен передавать оба.
+
+## Что проверить при создании реального адаптера
+
+Сверено с публичной документацией https://hindsight.vectorize.io
+(`/developer/api/retain`, `/developer/api/recall`, на 2026-10-22 указана
+версия документации 1.1); **на конкретном сервере не проверялось**:
+
+- retain принимает `content`, `document_id`, `async`, `operation_id` (UUID),
+  `context`, `timestamp`, `metadata`, `tags`, `update_mode`; операции
+  async — `GET /v1/default/banks/{bank_id}/operations`; ответ async не
+  содержит usage;
+- recall принимает `query` (до 500 токенов), `budget`, `max_tokens`, `types`,
+  `tags`; ответ `results[]` с `id`, `text`, `document_id`, `scores`; бюджет
+  ответа задаётся токенами, а не числом элементов.
+
+Обязательные проверки адаптера (не реализованы, статус «to verify»):
+
+1. Версия API и capabilities сервера: поддержка `operation_id` для
+   идемпотентного async retain и `document_id` upsert в используемой
+   версии; без поддержки `operation_id` повтор async retain не считается
+   идемпотентным — адаптер должен ждать операцию синхронно или сообщать
+   неизвестный исход.
+2. Отображение `MemoryLimits` на `max_tokens`/`budget` и перевод `results[]`
+   в `memoryRecallBodySchema` (тело ответа закрепляется как получено).
+3. Учёт: стоимость recall/retain (`costUnits`, `usage` источника и
+   получателя) ведётся отдельно от usage coding runtime и бюджетов попыток.
+4. Ключи и адрес сервера — только у выбранного адаптера; без них core,
+   файловый сценарий и `mode: 'disabled'` работают.
+
+## Проверка
+
+<!-- repo-only -->В репозитории harness: `node --import tsx --test tests/memory-*.test.ts`<!-- /repo-only --> — M01 (одинаковые
+
+закреплённые байты у writer и reviewer, смена ответа после согласования,
+пределы), M02 (required/optional/disabled с одним недоступным провайдером),
+M03 (независимая доставка памяти и повтор только её). Используется обычный
+путь `review-plan → approve → run` с fixture runtime.

package/docs/quickstart.md

@@ -13,7 +13,7 @@
 ```sh
 mkdir harness-demo && cd harness-demo
 npm init -y >/dev/null
-npm install --save-exact devcontour-harness@0.1.0-alpha.5
+npm install --save-exact devcontour-harness@0.1.0-alpha.7
 npx harness --version
 npx harness doctor
 ```

package/docs/release-notes/0.1.0-alpha.6.md

@@ -0,0 +1,238 @@
+# devcontour-harness 0.1.0-alpha.6
+
+Этот выпуск добавляет:
+
+- переносимые инструменты целевого проекта: npm, pnpm, Turborepo, Go и
+  Python/uv;
+- рецепт Turbo Starter;
+- общий контракт внешнего источника заданий и доставки с двумя opt-in
+  транспортами Relay;
+- протокол истории находок ревью кода;
+- нейтральную точку подключения внешней памяти.
+
+Ядро — Engine, Runner, файловые источник и получатель, standalone CLI —
+работает как раньше. Интеграции подключаются только явно, через отдельные
+входы пакета. Пакет не публикуется автоматически.
+
+## Новые входы пакета
+
+| Вход                                        | Назначение                                                     |
+| ------------------------------------------- | -------------------------------------------------------------- |
+| `devcontour-harness/toolchains`             | рецепты установки, пробы версий, диагностика (`inspectPolicy`) |
+| `devcontour-harness/integrations/connector` | общий контракт источника и доставки, состояние коннектора      |
+| `devcontour-harness/integrations/relay-v1`  | транспорт Relay v1 (HTTP)                                      |
+| `devcontour-harness/integrations/relay-v2`  | транспорт Relay-2 (subprocess CLI)                             |
+| `devcontour-harness/integrations/memory`    | дополнительный `ContextSource` памяти и получатель итога       |
+
+Корень пакета и `./contracts` эти модули не импортируют. CLI загружает
+коннектор и адаптер транспорта только для явно выбранного provider.
+
+## Изменения API и поведения
+
+### CLI
+
+- `source-check` — проверка подключения, проекта, capabilities и mapping;
+  только чтение.
+- `source-snapshot --out <dir> [--policy]` — закреплённый снимок задач:
+  `graph.json`, `context.json`, `manifest.json`.
+- `source-status` — локальный и внешний статус доставки.
+- `source-deliver [--work]` — повтор или продолжение доставки с тем же ключом
+  операции.
+- `source-reconcile --operation <key> [--decision resend|adopt:<id>|recheck]` —
+  явный разбор неизвестного исхода или конфликта.
+- `run --source <connector.json>`: задачи перечитываются, их semantic digest
+  сверяется с закреплённым снимком, eligibility проверяется. Всё это —
+  до любого вызова runtime.
+- `review-plan --source`: внешние предпосылки допускаются по решению
+  источника (`trusts`) и доступности SHA в target ref — те же правила, что у
+  `run`. Без `--source` поведение прежнее.
+- `cleanup --state --run` — довести незавершённую очистку попытки.
+- `run` выполняет обязательный preflight toolchain: при любой проблеме
+  диагностики попытка не начинается.
+
+Прежние команды и их коды выхода не изменились.
+
+### Доставка
+
+- `DeliveryOutcome` получил необязательный вариант
+  `{ status: 'uncertain', operation, reason }`. Прежние получатели
+  (`delivered` / `conflict`) компилируются и работают без изменений.
+- `DeliveryState`: значение статуса `uncertain` и необязательное поле
+  `operation`.
+- Новое событие журнала `delivery.uncertain`:
+  `{ sink, key, revision, attempts, operation, reason }`.
+- Повтор доставки не отправляет мутацию, пока неизвестный исход не разобран
+  (`source-reconcile`).
+- Протокол коннектора: намерение сохраняется до внешнего вызова, затем
+  read-back по маркеру, затем receipt.
+  - Подтверждённый отказ получателя — безопасный повтор.
+  - Неизвестный исход — `uncertain`, без автоматического повтора.
+  - Перед каждым неподтверждённым шагом сверяется snapshot: старая постановка
+    не закрывает новую; чужое изменение между сверкой и CAS даёт конфликт.
+- Состояние коннектора — отдельный SQLite
+  `<state>/connectors/<provider>-<hash>.sqlite`. Это не вторая база
+  исполнения.
+- Секреты маскируются в ошибках транспорта, проблемах `source-check` и
+  причинах шагов.
+
+### Протокол ревью кода
+
+Подробно — [review-protocol](../review-protocol.md).
+
+**История находок.**
+
+- Находки ведутся на поручение (область = поручение + репозиторий), а не на
+  попытку или SHA.
+- ID находки выдаёт controller; reviewer называет состояние каждой открытой
+  находки (`previous`).
+- Записи ревью получили необязательные поля: `EvidenceRecord.reviewRound` и
+  `findings[].id/status`. В `RunResult.evidence[]` — `findings[].id/status` и
+  `review`.
+- На одном SHA и фазе бывает несколько записей ревью: невалидная, затем
+  валидная. Это не отказ задачи.
+
+**Ошибка протокола.**
+
+- Ошибка формата ответа reviewer отделена от содержательного отказа.
+- Reviewer вызывается повторно ограниченное число раз, writer при этом не
+  вызывается. Затем — код `REVIEW_PROTOCOL_INVALID` (класс infrastructure,
+  exit 4) и вид отказа попытки `review-protocol`. Автоматического повтора
+  попытки нет.
+- Политика: необязательное поле `reviewProtocolRetries` (0–2, по умолчанию 1).
+  Значение по умолчанию в политику не подставляется.
+
+**Совместимость адаптеров.**
+
+- `RuntimeCapabilities.reviewProtocol?: 1` — строгий протокол для адаптера,
+  который его объявляет. `cliAdapter` (codex, claude, fixture executables) его
+  объявляет.
+- Адаптер хоста без этого поля получает семантику alpha.5: раунд помечается
+  `legacy`, переходы не требуются. Поэтому прежние runtime-обёртки хоста
+  работают без изменений.
+- `RuntimeRequest.findings` — открытые и закрытые находки для адаптера с
+  протоколом.
+
+**Проверки reviewer.** `run_check` принимает `{"gate": "<id>"}`: controller
+исполняет объявленный gate (его argv, cwd, окружение, путь отчёта во
+временном каталоге) без записи в исходники. Другой вид — исследовательский
+`{"argv": [...]}`. Подробно — [review-probes](../review-probes.md).
+
+### Gates и отчёты
+
+- Каждый gate `kind: test` получает `TURBO_FORCE=true` и `-count=1` в конце
+  `GOFLAGS`. Дочерние процессы наследуют оба значения, поэтому они действуют
+  через любую обёртку, в библиотеке и в CLI.
+- Это только заставляет тесты выполниться заново и не меняет смысл
+  результата. Значения записываются в заголовок журнала gate (`fresh=…`).
+- Gates `kind: check` не изменились.
+- JUnit: атрибуты `name`/`classname` декодируются один раз, включая двойное
+  экранирование `"` репортером Node.js 24. Testcase с кавычками в имени теперь
+  сопоставляется с `testId` критерия.
+
+### Инструменты целевого проекта (toolchains)
+
+- `repositories[].toolchain`: `tools` — проверенные версии, `packageManagers` —
+  явный выбор менеджера по каталогу. Поле необязательное, аддитивное.
+- Новые встроенные профили: `npm-ci`, `pnpm-frozen`, `go-gotestsum`,
+  `python-uv`. Прежние профили побайтно те же, их закрепления не изменились.
+- `doctor --policy` добавляет `toolchains[]`: план шагов и gates, инструменты
+  и их версии, lockfiles, отчёты, неоднозначности, проблемы с кодом и полем.
+- Диагностика только читает файлы и запускает ограниченные пробы версий
+  (`--version`).
+- Путь инструмента разрешается до канонического. Инструмент внутри
+  репозитория или каталога состояния не запускается (`TOOL_IN_PROJECT`).
+- Диапазон версии в `package.json` допустим, если lockfile закрепляет точную
+  версию.
+- Подробно — [toolchains](../toolchains.md).
+
+### Turbo Starter
+
+- Рецепт для Turbo Starter на закреплённом commit.
+- В архиве:
+  - `examples/turbo-starter/`: политика, граф, приёмочные тесты с JUnit,
+    шаблоны env, подготовленные изменения;
+  - lifecycle-мост `compose-bridge`: PostgreSQL на попытку и фазу, с порядком
+    принятия и очистки;
+  - оверлей controller mode в `templates/controller-mode/`.
+- Upstream не патчится.
+- Подробно — [turbo-starter](../turbo-starter.md).
+
+### Точка подключения памяти
+
+- Договор провайдера: `MemoryRecallProvider` и `MemoryRetainProvider`.
+- `memoryContextSource` — recall как источник `ContextSnapshot`.
+- `composeContext` / `mergeSnapshots` — файлы и память в одном закреплённом
+  снимке.
+- `memoryResultSink` — запись подтверждённого итога с собственным ключом.
+- Изменений ядра нет; без памяти harness работает как прежде.
+- Подробно — [hindsight](../integrations/hindsight.md).
+
+## Совместимость
+
+- **Прежние потребители.**
+  - Реализации портов в форме alpha.5 проходят проверку типов против `.d.ts`
+    архива: `WorkSource`, `ContextSource`, `ResultSink` без `uncertain`,
+    `ExecutionHost` без необязательных портов, `ExecutionStore` из четырёх
+    методов.
+  - С ними проходит файловый сценарий через CLI, `Harness.run` и
+    `Engine`/`Runner`.
+  - Регистрация Relay или памяти и новый обязательный метод хоста не нужны.
+- **Основания согласований.**
+  - Digest политик, графов, поручений и контекста прежних примеров совпадают
+    со значениями alpha.5.
+  - Политика без новых полей (`toolchain`, `reviewProtocolRetries`) сохраняет
+    `policyDigest`, `executionDigest` и закрепления. Политика с ними получает
+    новое основание явно (новое согласование).
+- **Состояние alpha.5.** alpha.6 читает его без преобразования:
+  - результат, журнал и записи доставки читаются так же, строки базы не
+    меняются;
+  - прежние записи ревью — legacy-раунды;
+  - receipts и история не переписываются.
+- **Откат.**
+  - Standalone-состояние с новыми полями — записи ревью с `reviewRound`,
+    доставка `uncertain` — alpha.5 и alpha.4 не читают: отказ
+    `STATE_VERSION_UNSUPPORTED` до любой записи.
+  - Хост DevContour с адаптером alpha.4 такое состояние открывает без отказа
+    и пишет в него роль controller и события. Новые поля при этом
+    сохраняются, потери данных нет, но строгой гарантии нет.
+  - Откат с alpha.6 в обоих случаях — только восстановлением копии состояния,
+    сделанной до обновления. Матрица — [upgrade](../upgrade.md).
+- **Версия движка.** Номер версии — это `engineVersion`. Правила
+  alpha.2–alpha.5 действуют и между alpha.5 и alpha.6: `CONTROLLER_BUSY`, а
+  `LEASE_STALE` — до истечения срока и recovery.
+- **DevContour.**
+  - Прежняя встройка (vendored архив, `vendor-harness.mjs`) работает с новым
+    архивом без изменений DevContour: собственные runtime-обёртки DevContour
+    не объявляют `reviewProtocol` и сохраняют семантику ревью alpha.5.
+  - Переход DevContour на протокол ревью — отдельное изменение его адаптеров.
+- Проверенные версии инструментов —
+  [compatibility-versions](../compatibility-versions.md).
+
+## Известные ограничения
+
+- Ядро наблюдает процессы системными `ps`, `lsof` и `sysctl`. С alpha.6 они
+  ищутся по штатным путям ОС (`/bin/ps`, `/usr/sbin/lsof`, `/usr/sbin/sysctl`
+  и т. п.), а не через PATH: PATH из одних `node` и `git` достаточен. Только
+  если ни одного штатного пути нет (нестандартная ОС), используется PATH. В
+  песочнице, запрещающей запуск `ps`, containment невозможен — это отказ
+  окружения.
+- **Relay-2 на macOS** требует SQLite не ниже 3.44. Системная библиотека
+  старше: путь к новой задаётся в `relay.env` коннектора (`DYLD_LIBRARY_PATH`).
+- Доставка не обещает distributed exactly-once. У получателя нет
+  идемпотентности по запросу, Git и Relay не образуют общей транзакции.
+  Неоднозначные случаи решает оператор (`source-reconcile`).
+- Гарантия одного владельца доставки действует только для процессов с общим
+  каталогом состояния коннектора. Независимые установки с разными каталогами
+  состояния вне гарантии и могут доставить одну операцию дважды; это видно в
+  `ownership` у `source-check`/`source-status`.
+- Готового Hindsight-адаптера нет: только договор, композиция и проверка
+  поддельным провайдером.
+- Встроенные профили `npm-ci`, `pnpm-frozen`, `go-gotestsum` и `python-uv`
+  задают путь отчёта жёстко. В проверке reviewer `{"gate": …}` такой gate
+  возвращает диагностику окружения с рецептом; gates движка работают как
+  обычно.
+- На macOS отмена может не найти отсоединённого не-node потомка, запущенного
+  менее чем за 250 мс до отмены (опрос `ps -E`).
+- **Ограничения Turbo Starter upstream.** `pnpm env:check` падает на
+  Node 24.3.0. `check-types` admin-панели скачивает пакет через `npx` (нужна
+  сеть). Изоляция gates в примере выключена.

package/docs/release-notes/0.1.0-alpha.7.md

@@ -0,0 +1,71 @@
+# devcontour-harness 0.1.0-alpha.7
+
+Исправление учёта фактически выполненных команд reviewer в `inspection` ревью
+кода. Gates, `maxAttempts`, бюджеты попыток и повторов, правила находок, защиты
+worktree и принятие target ref не менялись: `inspection` по-прежнему описывает
+evidence и не влияет на решение.
+
+## Что исправлено
+
+- **Проверки reviewer не учитывались.** На пилоте alpha.6 reviewer запускал
+  проверки через `run_check` (в том числе объявленные gates), а `inspection`
+  оставался `diff-only` с пустым списком команд: учитывались только shell-события
+  Codex. Теперь итог собирает controller из событий runtime и журнала
+  `probes.jsonl` одного вызова reviewer; самоотчёт модели по-прежнему ничего не
+  подтверждает.
+- **Ненулевой код выхода превращал выполнение в `diff-only`.** Режим зависел от
+  наличия команды с кодом 0. Теперь `mode: commands` — любая подтверждённая
+  выполненная команда; провал теста — исход, а не отсутствие выполнения.
+- **Уже отменённый вызов проверки запускал команду.** Слушатель отмены на уже
+  отменённом сигнале не срабатывал, и команда шла до таймаута. Теперь такой
+  вызов — `cancelled` без запуска.
+- **Код и вывод терялись при сбое после исхода** (уборка временных каталогов,
+  сохранение evidence gate): исход сохраняется как `error`/`environment` с
+  кодом и выводом.
+- **Короткий секрет портил разбор событий Codex** и служебные значения
+  записи: события разбираются из немаскированного потока только в памяти,
+  маскируются поля текста до обрезки; сохраняемые журналы маскированы, как и
+  раньше.
+
+## Граница старта
+
+Запуск probe засчитывается по признаку `started`, полученному на границе
+исполнения `runCheck`: без песочницы — порождение процесса, в песочнице — метка,
+которую обёртка создаёт перед `exec`. Отказ до старта, исчерпанный бюджет,
+неизвестный gate, отменённый до запуска вызов, резерв `start` и `abandoned`
+выполнением не считаются; они перечислены в `inspection.excluded`.
+
+## Изменения договора
+
+Только добавления и nullable — подробно в
+[review-probes](../review-probes.md#итог-inspection-что-reviewer-действительно-выполнил):
+
+- `inspection.source`: новые значения `controller-probes`,
+  `runtime-and-controller`;
+- `inspection.commands[].exitCode` может быть `null`; новые необязательные
+  `origins`, `status`, `failure`, `gate`, `note`;
+- новые необязательные `inspection.context`, `total`, `excluded`,
+  `excludedTotal`, `invalid`;
+- строки исхода `probes.jsonl` и `review.json.probes`: `started`, `scope`,
+  `exitCode`, `note`;
+- `runCheck` возвращает `started` и принимает `onStart`; `command()` —
+  `onSpawn`, `onRawStdout`.
+
+Полный `inspection` в `run-result` не добавлен; публичные схемы, кроме
+`execution-document`, не менялись.
+
+## Совместимость
+
+alpha.7 читает состояние alpha.6 без преобразования и без пересчёта прежних
+`inspection`, digest и решений. Направление одностороннее: строгая схема alpha.6
+не принимает новые значения `source`, `exitCode: null` и новые поля, поэтому
+откат с alpha.7 — только восстановлением копии состояния, сделанной до
+обновления ([upgrade](../upgrade.md)). Потребителю, разбирающему `inspection`,
+нужно принять новые значения enum и nullable `exitCode`; признак выполнения —
+`mode`.
+
+## Проверка выпуска
+
+`npm run check` (lint, typecheck, schemas, build, весь набор тестов, package
+smoke) на macOS arm64, Node.js 24.3.0. Матрица приёмки IN01–IN20; независимая
+приёмка другой моделью воспроизвела IN01–IN19 собственными прогонами.