devcontour-harness 0.1.0-alpha.6 → 0.1.0-alpha.7

package/README.md

@@ -5,7 +5,7 @@ Headless-движок исполнения инженерных поручени
 интеграция с принятой веткой через compare-and-swap и машинный результат с SHA
 и доказательствами.
 
-> Статус: `0.1.0-alpha.6` — предварительный выпуск (alpha). Договоры
+> Статус: `0.1.0-alpha.7` — предварительный выпуск (alpha). Договоры
 > `v1alpha1` могут измениться между alpha-версиями; закрепляйте точную версию.
 > Файл → ревью плана → кандидат → интеграция → принятие → результат JSON, с
 > ограниченным восстановлением, повторным использованием кандидата, бюджетами,
@@ -27,7 +27,7 @@ Headless-движок исполнения инженерных поручени
 Из npm — точная версия (воспроизводимо) или последняя alpha по тегу:
 
 ```sh
-npm install --save-exact devcontour-harness@0.1.0-alpha.6   # точная версия
+npm install --save-exact devcontour-harness@0.1.0-alpha.7   # точная версия
 # или: npm install --save-exact devcontour-harness@alpha     # текущая alpha
 npx harness --version
 ```
@@ -117,6 +117,24 @@ PASS» нет. Адаптеры хоста реализуют порты `Execut
 `devcontour-harness/schemas/<имя>.schema.json`. Декларации используют типы
 Node.js: TypeScript-потребителю нужен `@types/node` (или `skipLibCheck`).
 
+## Выпуск 0.1.0-alpha.7
+
+Исправление учёта команд reviewer в `inspection` ревью кода. Подробно —
+[заметки выпуска](docs/release-notes/0.1.0-alpha.7.md).
+
+- `inspection` собирается controller из событий runtime и журнала проверок
+  `run_check` одного вызова reviewer: запуски probe теперь засчитываются, а
+  команда с ненулевым кодом — выполнение, а не `diff-only`
+  ([review-probes](docs/review-probes.md#итог-inspection-что-reviewer-действительно-выполнил)).
+- Старт probe подтверждается на границе исполнения; отказ до старта, отменённый
+  до запуска вызов и резерв бюджета выполнением не считаются. Уже отменённый
+  вызов больше не запускает команду.
+- Gates, бюджеты, правила находок и принятия не менялись: `inspection` по-прежнему
+  не влияет на решение.
+
+Записи alpha.6 читаются без пересчёта; состояние с новыми записями `inspection`
+alpha.6 не читает — откат только через копию ([upgrade](docs/upgrade.md)).
+
 ## Выпуск 0.1.0-alpha.6
 
 Ядро работает как прежде; всё новое подключается явно. Подробно —

package/docs/quickstart.md

@@ -13,7 +13,7 @@
 ```sh
 mkdir harness-demo && cd harness-demo
 npm init -y >/dev/null
-npm install --save-exact devcontour-harness@0.1.0-alpha.6
+npm install --save-exact devcontour-harness@0.1.0-alpha.7
 npx harness --version
 npx harness doctor
 ```

package/docs/release-notes/0.1.0-alpha.7.md

@@ -0,0 +1,71 @@
+# devcontour-harness 0.1.0-alpha.7
+
+Исправление учёта фактически выполненных команд reviewer в `inspection` ревью
+кода. Gates, `maxAttempts`, бюджеты попыток и повторов, правила находок, защиты
+worktree и принятие target ref не менялись: `inspection` по-прежнему описывает
+evidence и не влияет на решение.
+
+## Что исправлено
+
+- **Проверки reviewer не учитывались.** На пилоте alpha.6 reviewer запускал
+  проверки через `run_check` (в том числе объявленные gates), а `inspection`
+  оставался `diff-only` с пустым списком команд: учитывались только shell-события
+  Codex. Теперь итог собирает controller из событий runtime и журнала
+  `probes.jsonl` одного вызова reviewer; самоотчёт модели по-прежнему ничего не
+  подтверждает.
+- **Ненулевой код выхода превращал выполнение в `diff-only`.** Режим зависел от
+  наличия команды с кодом 0. Теперь `mode: commands` — любая подтверждённая
+  выполненная команда; провал теста — исход, а не отсутствие выполнения.
+- **Уже отменённый вызов проверки запускал команду.** Слушатель отмены на уже
+  отменённом сигнале не срабатывал, и команда шла до таймаута. Теперь такой
+  вызов — `cancelled` без запуска.
+- **Код и вывод терялись при сбое после исхода** (уборка временных каталогов,
+  сохранение evidence gate): исход сохраняется как `error`/`environment` с
+  кодом и выводом.
+- **Короткий секрет портил разбор событий Codex** и служебные значения
+  записи: события разбираются из немаскированного потока только в памяти,
+  маскируются поля текста до обрезки; сохраняемые журналы маскированы, как и
+  раньше.
+
+## Граница старта
+
+Запуск probe засчитывается по признаку `started`, полученному на границе
+исполнения `runCheck`: без песочницы — порождение процесса, в песочнице — метка,
+которую обёртка создаёт перед `exec`. Отказ до старта, исчерпанный бюджет,
+неизвестный gate, отменённый до запуска вызов, резерв `start` и `abandoned`
+выполнением не считаются; они перечислены в `inspection.excluded`.
+
+## Изменения договора
+
+Только добавления и nullable — подробно в
+[review-probes](../review-probes.md#итог-inspection-что-reviewer-действительно-выполнил):
+
+- `inspection.source`: новые значения `controller-probes`,
+  `runtime-and-controller`;
+- `inspection.commands[].exitCode` может быть `null`; новые необязательные
+  `origins`, `status`, `failure`, `gate`, `note`;
+- новые необязательные `inspection.context`, `total`, `excluded`,
+  `excludedTotal`, `invalid`;
+- строки исхода `probes.jsonl` и `review.json.probes`: `started`, `scope`,
+  `exitCode`, `note`;
+- `runCheck` возвращает `started` и принимает `onStart`; `command()` —
+  `onSpawn`, `onRawStdout`.
+
+Полный `inspection` в `run-result` не добавлен; публичные схемы, кроме
+`execution-document`, не менялись.
+
+## Совместимость
+
+alpha.7 читает состояние alpha.6 без преобразования и без пересчёта прежних
+`inspection`, digest и решений. Направление одностороннее: строгая схема alpha.6
+не принимает новые значения `source`, `exitCode: null` и новые поля, поэтому
+откат с alpha.7 — только восстановлением копии состояния, сделанной до
+обновления ([upgrade](../upgrade.md)). Потребителю, разбирающему `inspection`,
+нужно принять новые значения enum и nullable `exitCode`; признак выполнения —
+`mode`.
+
+## Проверка выпуска
+
+`npm run check` (lint, typecheck, schemas, build, весь набор тестов, package
+smoke) на macOS arm64, Node.js 24.3.0. Матрица приёмки IN01–IN20; независимая
+приёмка другой моделью воспроизвела IN01–IN19 собственными прогонами.

package/docs/review-probes.md

@@ -85,6 +85,85 @@ To run a declared gate, call run_check with exactly {"gate":"domain"}, {"gate":"
 оценивает движок; probe не записывает evidence gate, не ставит технический PASS и не двигает
 target ref.
 
+## Итог `inspection`: что reviewer действительно выполнил
+
+`review.json.inspection` и `EvidenceRecord.inspection` ревью кода — один и тот же объект. Его
+собирает controller для **одного вызова reviewer** из двух наблюдений: событий runtime этого
+вызова (Codex `item.completed`/`command_execution`) и журнала проверок `probes.jsonl` этого
+вызова. Самоотчёт модели (`execution.commands`, `reproduction.executed`, runId в тексте) ничего
+не подтверждает.
+
+- `mode: commands` — подтверждена хотя бы одна выполненная команда; `reason: null`. Ненулевой
+  код, таймаут или отмена после старта и ошибка среды после старта выполнение не отменяют.
+- `mode: diff-only` — подтверждённых выполнений нет; `commands: []`, `reason` объясняет.
+- `commands` — не PASS: тесты могли упасть, gates и вердикт оценивает движок. Принятие по-прежнему
+  зависит только от обязательных gates и валидного вердикта; `commands` не лечит невалидный ответ,
+  изменённое дерево или проваленный gate, а неуспешный probe сам не создаёт находку.
+
+### Граница старта
+
+Запуск probe засчитывается по признаку `started` из `runCheck`: без песочницы — процесс порождён
+(событие `spawn`), в песочнице — обёртка создала метку старта перед `exec` (запуск самой обёртки
+не считается). Признак отмечается на границе и переживает исключение после неё.
+
+| Событие                                                                                   | В `commands` |
+| ----------------------------------------------------------------------------------------- | ------------ |
+| Команда завершилась с любым кодом                                                         | да           |
+| `timeout`/`cancelled` после старта (код `null`, частичный вывод)                          | да           |
+| `error`/`environment` после старта (сеть закрыта песочницей, EPERM, сбой записи evidence) | да           |
+| `failed`/`report`: код 0, JUnit отсутствует или испорчен                                  | да           |
+| Неизвестный gate, бюджет исчерпан, нет executable, отказ песочницы или scratch до старта  | нет          |
+| Вызов отменён до запуска (`cancelled`, команда не исполнялась)                            | нет          |
+| Только резерв `start`, `abandoned`, битая строка, объект без формы исхода                 | нет          |
+
+Незасчитанные записи перечислены в `inspection.excluded` с причиной; полная диагностика — в
+`review.json.probes` и журнале.
+
+### Форма
+
+| Смысл                           | JSON path              | Тип и значения                                                                                                                                                                       |
+| ------------------------------- | ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
+| Источник итога                  | `source`               | `codex-events`, `unavailable` (прежние), `controller-probes`, `runtime-and-controller`                                                                                               |
+| Вызов reviewer                  | `context`              | `{attempt, phase: candidate\|integration, sha, call}`; `attempt` — ID попытки, не runId probe                                                                                        |
+| Все подтверждённые операции     | `total`                | целое ≥ 0                                                                                                                                                                            |
+| Происхождение команды           | `commands[].origins[]` | `{type: "runtime", runtime, item: string\|null}` или `{type: "controller", runId}`                                                                                                   |
+| Код выхода                      | `commands[].exitCode`  | целое или `null` (неизвестен: таймаут, отмена, старая проекция без кода)                                                                                                             |
+| Исход                           | `commands[].status`    | `completed`/`failed` (runtime); `passed`/`failed`/`timeout`/`cancelled`/`error` (probe)                                                                                              |
+| Неуспех не в коде               | `commands[].failure`   | `environment`, `report`                                                                                                                                                              |
+| Gate                            | `commands[].gate`      | ID объявленного gate                                                                                                                                                                 |
+| Пояснение controller            | `commands[].note`      | строка ≤ 2000                                                                                                                                                                        |
+| Не засчитано                    | `excluded[]`           | `{runId, status, reason}`, `reason`: `not-started`, `legacy-unconfirmed`, `foreign-scope`, `unknown-status`, `unfinished`, `abandoned`; не более 100, полное число — `excludedTotal` |
+| Строки журнала без формы исхода | `invalid`              | целое ≥ 0                                                                                                                                                                            |
+
+Пределы: не более 100 команд; `command` ≤ 12000 символов; `output` ≤ 4000 (stdout и stderr через
+перевод строки, при нехватке места — хвосты обоих примерно поровну); `note` ≤ 2000. Потоки probe
+в журнале по-прежнему ограничены хвостом 8000 с маркером `…`. Порядок: команды runtime в порядке
+потока, затем запуски probe в порядке журнала; при превышении сохраняются последние 100, а
+`mode` вычисляется по всему набору. Пользовательский текст маскируется до обрезки; перечисления и
+идентификаторы controller не маскируются.
+
+### Идентичность и область
+
+Операция одна только при надёжной идентичности: один runId probe; один item ID в потоке runtime;
+явная структурированная связь наблюдения runtime с runId probe (origin `controller` у команды
+runtime) — тогда у операции оба происхождения. Одинаковый argv с разными runId — две операции;
+совпадение текста, вывода или замаскированных аргументов не склеивает.
+
+Каждый исход в журнале несёт `scope: {attempt, phase, sha, call}`. Запись с явно чужими
+попыткой, фазой, SHA или вызовом (или gate с чужими `phase`/`sha`) не засчитывается
+(`excluded`, `foreign-scope`). `call-2` не получает команд `call-1`, integration — команд
+candidate; общий бюджет проверок логического ревью по-прежнему считается по журналам всех вызовов.
+
+### Старые записи
+
+Прежние `inspection` (без новых полей, в том числе противоречивые `diff-only` с командой) и
+evidence без `inspection` читаются как есть; чтение не пересчитывает итог, digest и решение.
+Для отдельной агрегации старых данных: завершённые события runtime засчитываются как раньше;
+записи probe без `started` со статусом `passed`/`failed` — выполнение (код и вывод, если их нет,
+остаются неизвестными: `exitCode: null`, пустой `output`); `error`/`timeout`/`cancelled` без
+подтверждения старта не засчитываются (`legacy-unconfirmed`) — это ограничение старых данных.
+Явный `started: false` главнее правила старых записей.
+
 ## Рецепт: путь отчёта из переменной controller
 
 Gate пригоден для probe, если команда пишет JUnit в `HARNESS_REPORT_PATH` (или

package/docs/upgrade.md

@@ -7,13 +7,13 @@
 
 ## Версии
 
-| Что             | Правило                                                                     |
-| --------------- | --------------------------------------------------------------------------- |
-| Пакет           | `0.1.0-alpha.N`; выпущенная версия неизменяема (тот же номер — те же байты) |
-| Публичный API   | `devcontour-harness/v1alpha1`                                               |
-| Политика        | `policyVersion: 1`                                                          |
-| Состояние       | `stateVersion: 1`                                                           |
-| Отчёты и корпус | `version: 1` (отчёт свойств, договор проверки, корпус, receipt среды)       |
+| Что | Правило |
+| --------------- | --------------------------------------------------------------------------- || --------------------
+| Пакет | `0.1.0-alpha.N`; выпущенная версия неизменяема (тот же номер — те же байты) |
+| Публичный API | `devcontour-harness/v1alpha1` |
+| Политика | `policyVersion: 1` |
+| Состояние | `stateVersion: 1` |
+| Отчёты и корпус | `version: 1` (отчёт свойств, договор проверки, корпус, receipt среды) |
 
 Для `0.x`: patch — совместимые исправления; minor — отдельно описанные
 изменения договора, включая несовместимые. Неизвестная версия входа, политики
@@ -21,19 +21,20 @@
 
 ## Матрица форматов
 
-| Состояние, записанное…                                                         | Читает 0.1.0-alpha.1     | Читает 0.1.0-alpha.2     | Читает 0.1.0-alpha.6 | Пишет поверх | Примечание                                                                                                                                               |
-| ------------------------------------------------------------------------------ | ------------------------ | ------------------------ | -------------------- | ------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------- |
-| standalone `stateVersion: 1` версией alpha.1                                   | да                       | да                       | да                   | да           | одна база SQLite: документ, события, локальные записи                                                                                                    |
-| хост, центральная база                                                         | да (через адаптер)       | да (через адаптер)       | да (через адаптер)   | да           | данные не переносятся; новые поля необязательны                                                                                                          |
-| хост, базы компонентов                                                         | да (через адаптер)       | да (через адаптер)       | да (через адаптер)   | да           | нужна копия всех баз при остановленных writers                                                                                                           |
-| alpha.2 после штатной остановки controller                                     | да                       | да                       | да                   | да           | роль controller снята — нового поля в состоянии нет                                                                                                      |
-| alpha.2 с живой или брошенной ролью controller                                 | **нет**, отказ до записи | да                       | да                   | —            | роль хранит `engineVersion`; строгая схема alpha.1 его не знает → откат через копию                                                                      |
-| alpha.4 с совместной проверкой                                                 | **нет**, отказ до записи | **нет**, отказ до записи | да                   | —            | проверка хранит `engineVersion`; прежние версии его не знают → откат через копию                                                                         |
-| alpha.6 standalone с записями ревью нового протокола или доставкой `uncertain` | **нет**, отказ до записи | **нет**, отказ до записи | да                   | —            | `reviewRound`, `findings[].id/status`, статус доставки `uncertain`; alpha.4/alpha.5 отказывают `STATE_VERSION_UNSUPPORTED` до записи → откат через копию |
-| alpha.6, хост DevContour (адаптер alpha.4)                                     | —                        | —                        | да (через адаптер)   | да           | адаптер DevContour alpha.4 открывает такое состояние без отказа и пишет роль controller и события; новые поля сохраняются → для отката всё равно копия   |
-| неизвестная `stateVersion`                                                     | нет, отказ до записи     | нет, отказ до записи     | нет, отказ до записи | нет          | `STATE_VERSION_UNSUPPORTED`, exit 4                                                                                                                      |
-
-Столбец alpha.2 относится и к alpha.3; alpha.4 и alpha.5 читают все строки, кроме неизвестной `stateVersion` и строк alpha.6 с новыми полями (standalone — отказ до записи). Каждая следующая версия добавляет сюда свой столбец. Отказ неизвестного
+| Состояние, записанное…                                                         | Читает 0.1.0-alpha.1     | Читает 0.1.0-alpha.2     | Читает 0.1.0-alpha.6    | Читает 0.1.0-alpha.7 | Пишет поверх | Примечание                                                                                                                                                                                 |
+| ------------------------------------------------------------------------------ | ------------------------ | ------------------------ | ----------------------- | -------------------- | ------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
+| standalone `stateVersion: 1` версией alpha.1                                   | да                       | да                       | да                      | да                   | да           | одна база SQLite: документ, события, локальные записи                                                                                                                                      |
+| хост, центральная база                                                         | да (через адаптер)       | да (через адаптер)       | да (через адаптер)      | да (через адаптер)   | да           | данные не переносятся; новые поля необязательны                                                                                                                                            |
+| хост, базы компонентов                                                         | да (через адаптер)       | да (через адаптер)       | да (через адаптер)      | да (через адаптер)   | да           | нужна копия всех баз при остановленных writers                                                                                                                                             |
+| alpha.2 после штатной остановки controller                                     | да                       | да                       | да                      | да                   | да           | роль controller снята — нового поля в состоянии нет                                                                                                                                        |
+| alpha.2 с живой или брошенной ролью controller                                 | **нет**, отказ до записи | да                       | да                      | да                   | —            | роль хранит `engineVersion`; строгая схема alpha.1 его не знает → откат через копию                                                                                                        |
+| alpha.4 с совместной проверкой                                                 | **нет**, отказ до записи | **нет**, отказ до записи | да                      | да                   | —            | проверка хранит `engineVersion`; прежние версии его не знают → откат через копию                                                                                                           |
+| alpha.6 standalone с записями ревью нового протокола или доставкой `uncertain` | **нет**, отказ до записи | **нет**, отказ до записи | да                      | да                   | —            | `reviewRound`, `findings[].id/status`, статус доставки `uncertain`; alpha.4/alpha.5 отказывают `STATE_VERSION_UNSUPPORTED` до записи → откат через копию                                   |
+| alpha.6, хост DevContour (адаптер alpha.4)                                     | —                        | —                        | да (через адаптер)      | да (через адаптер)   | да           | адаптер DevContour alpha.4 открывает такое состояние без отказа и пишет роль controller и события; новые поля сохраняются → для отката всё равно копия                                     |
+| alpha.7 с новым `inspection` ревью кода                                        | не проверялось           | не проверялось           | **нет** (строгая схема) | да                   | —            | новые значения `source`, `exitCode: null`, `origins`/`context`/`excluded`; строгая схема alpha.6 их не принимает, поведение прежних версий при открытии не проверялось → откат через копию |
+| неизвестная `stateVersion`                                                     | нет, отказ до записи     | нет, отказ до записи     | нет, отказ до записи    | нет, отказ до записи | нет          | `STATE_VERSION_UNSUPPORTED`, exit 4                                                                                                                                                        |
+
+Столбец alpha.2 относится и к alpha.3; alpha.4 и alpha.5 читают все строки, кроме неизвестной `stateVersion` и строк alpha.6 с новыми полями (standalone — отказ до записи) и строки alpha.7. Каждая следующая версия добавляет сюда свой столбец. Отказ неизвестного
 формата до записи проверяют тесты совместимости пакета
 <!-- repo-only -->(`tests/compatibility.test.ts`)<!-- /repo-only -->.
 
@@ -135,6 +136,22 @@ recovery.
 (новое согласование). Встроенные профили alpha.5 побайтно прежние; новые
 профили — новые id (`npm-ci`, `pnpm-frozen`, `go-gotestsum`, `python-uv`).
 
+### alpha.7: учёт выполненных команд reviewer
+
+Формат `stateVersion: 1` прежний. `inspection` в `review.json` и evidence ревью кода получает
+новые значения и необязательные поля ([review-probes](review-probes.md#итог-inspection-что-reviewer-действительно-выполнил)):
+`source` — также `controller-probes` и `runtime-and-controller`; `commands[].exitCode` может
+быть `null`; новые `commands[].origins/status/failure/gate/note`, `context`, `total`,
+`excluded`, `excludedTotal`, `invalid`. Строки исхода в `probes.jsonl` несут `started` и
+`scope`; `review.json.probes` — `exitCode`, `started`, `scope`, `note`.
+
+Направление совместимости одностороннее: alpha.7 читает записи alpha.6 и ранее без
+пересчёта; строгая схема alpha.6 не принимает новый `source`, `exitCode: null` и новые поля,
+поэтому состояние с такими записями alpha.6 не читает. Потребителю, разбирающему
+`inspection`, нужно принять новые значения `source`, nullable `exitCode` и необязательные
+поля; признак выполнения — `mode`, а не наличие кода 0. Откат — как для alpha.6: только
+восстановлением копии состояния, сделанной до обновления.
+
 ## Перед обновлением
 
 1. **Остановить записывающих.** Запретить новые выдачи (`harness pause`),
@@ -176,11 +193,11 @@ recovery.
 
 ## Откат
 
-| Ситуация                              | Действие                                                                                                                                                        |
-| ------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------- |
-| Изменения исходников до выкатки       | Вернуться к проверенной паре коммитов/версий в отдельном checkout или revert-коммитами; страховочную ветку не переписывать                                      |
-| Только пакет, формат данных совместим | Остановить writers → вернуть прежнюю версию (архив или точную версию npm), зависимость и lock → `harness doctor` → возобновить                                  |
-| Новая версия уже изменила формат      | Остановить writers → восстановить согласованную копию вместе с совместимой версией пакета → сверить Git refs и артефакты (ниже); простого понижения версии мало |
+| Ситуация | Действие |
+| ------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------- || --------------------
+| Изменения исходников до выкатки | Вернуться к проверенной паре коммитов/версий в отдельном checkout или revert-коммитами; страховочную ветку не переписывать |
+| Только пакет, формат данных совместим | Остановить writers → вернуть прежнюю версию (архив или точную версию npm), зависимость и lock → `harness doctor` → возобновить |
+| Новая версия уже изменила формат | Остановить writers → восстановить согласованную копию вместе с совместимой версией пакета → сверить Git refs и артефакты (ниже); простого понижения версии мало |
 
 ### Сверка Git после восстановления базы
 

package/lib/agents/cli-adapter.js

@@ -279,9 +279,16 @@ export function cliAdapter(runtime, options = {}) {
                 diagnostics: { exitCode: null, reason: redact(reason).slice(0, 500), log: logPath },
             });
             let result;
+            // События runtime для inspection разбираются до маскирования (иначе
+            // короткий секрет портит `item.completed`), текст полей маскируется
+            // при разборе; сырой поток только в памяти и не сохраняется.
+            let raw = '';
             try {
                 result = await command(argv, r.cwd, {
                     contain: { dirs: review ? [] : r.sandbox.writable },
+                    ...(review
+                        ? { onRawStdout: (text) => void (raw = (raw + text).slice(-2_000_000)) }
+                        : {}),
                     onOutput: (stream, text) => {
                         if (logged >= 10_000_000)
                             return;
@@ -333,7 +340,7 @@ export function cliAdapter(runtime, options = {}) {
                 model,
                 runtimeVersion: version,
                 usage,
-                ...(review ? { inspection: inspectReview(runtime, result.stdout) } : {}),
+                ...(review ? { inspection: inspectReview(runtime, raw, redact) } : {}),
             };
             const diagnostics = (why) => ({
                 exitCode: result.code,

package/lib/agents/inspect.d.ts

@@ -1,6 +1,60 @@
 import type { EvidenceRecord } from '../contracts/index.ts';
+import { type ProbeJournal } from './review-probe.ts';
 type ReviewInspection = NonNullable<EvidenceRecord['inspection']>;
+export type InspectionContext = NonNullable<ReviewInspection['context']>;
+/** Пределы итога: число команд и длины сохраняемых строк (docs/review-probes.md). */
+export declare const inspectionLimits: {
+    readonly commands: 100;
+    readonly command: 12000;
+    readonly output: 4000;
+    readonly note: 2000;
+    readonly excluded: 100;
+};
 export declare const unobservedReview: () => ReviewInspection;
-/** Что reviewer действительно выполнил — по событиям runtime, а не по словам модели. */
-export declare function inspectReview(runtime: string, output: string): ReviewInspection;
+/**
+ * Что reviewer действительно выполнил — по событиям runtime, а не по словам
+ * модели. Завершённая команда — выполнение при любом коде выхода: ненулевой
+ * код — исход проверки, а не признак того, что её не было. Повтор события
+ * того же item ID — одна команда.
+ */
+export declare function inspectReview(runtime: string, output: string, redact?: (text: string) => string): ReviewInspection;
+/**
+ * Итог `inspection` одного вызова reviewer: события runtime этого вызова и
+ * журнал проверок controller этого вызова. Самоотчёт модели (`execution`,
+ * `reproduction.executed`, runId в тексте) сюда не входит.
+ *
+ * Операция одна, если совпадает надёжная идентичность: runId запуска
+ * controller, item ID runtime внутри его потока или явная структурированная
+ * связь наблюдения runtime с runId controller (origin `controller` у команды
+ * runtime). Совпадение текста, вывода или замаскированных аргументов
+ * операции не склеивает.
+ *
+ * Порядок: команды runtime в порядке потока, затем запуски controller в
+ * порядке журнала; при превышении предела сохраняются последние
+ * {@link inspectionLimits.commands}, `total` — число всех подтверждённых.
+ * Mode — по всему набору. Пользовательский текст маскируется до обрезки;
+ * перечисления и идентификаторы controller не маскируются.
+ */
+export declare function reviewInspection(input: {
+    /** Наблюдение runtime (ответ адаптера); нет — runtime его не дал. */
+    runtime?: ReviewInspection;
+    /** Журнал проверок controller этого вызова или сохранённая проекция `review.json.probes`. */
+    journal?: ProbeJournal;
+    context: InspectionContext;
+    redact?: (text: string) => string;
+}): ReviewInspection;
+/**
+ * Маскирование сохранённого inspection: только свободный текст (`command`,
+ * `output`, `note`, `reason`) и с обрезкой до пределов после маски — замена
+ * секрета может удлинить строку. Перечисления, origins, контекст и
+ * идентификаторы controller не маскируются — короткий секрет, совпавший с
+ * их частью, не делает запись невалидной.
+ */
+export declare function redactInspection(inspection: ReviewInspection, redact: (text: string) => string): ReviewInspection;
+/**
+ * Сохранённая проекция `review.json.probes` (alpha.6 и ранее: без кода, вывода и
+ * признака старта) как журнал для {@link reviewInspection}. Пересчёт старого
+ * состояния не выполняется: это вход для отдельной агрегации старых данных.
+ */
+export declare function journalFromProjection(probes: unknown): ProbeJournal;
 export {};