peertable 0.3.3 → 0.3.5

package/skill/scripts/change-effort.sh

@@ -0,0 +1,139 @@
+#!/bin/bash
+# 明示DMの本人要請を確認し、親が席を新effortで再起動する。
+# usage: change-effort.sh <project_dir> <member> <effort> [parent_name]
+#
+# 会話contextは引き継がない。作業状態はroomログ・工程正本・gitから再着任で回収する。
+# busy席は止めず、起動失敗時は旧effortでの再起動を1回だけ明示rollbackする。
+set -eu
+
+proj="${1:-}"; name="${2:-}"; effort="${3:-}"; parent="${4:-bell}"
+[ -n "$proj" ] && [ -n "$name" ] && [ -n "$effort" ] || {
+  echo "EFFORT_CHANGE_ARGS_INVALID: usage: change-effort.sh <project_dir> <member> <effort> [parent_name]" >&2
+  exit 2
+}
+case "$name:$parent" in
+  *[!A-Za-z0-9._:-]*) echo "EFFORT_CHANGE_ARGS_INVALID: member/parent名に使えない文字がある" >&2; exit 2 ;;
+esac
+
+state="$proj/.team/setup-state.json"
+[ -f "$state" ] || { echo "EFFORT_CHANGE_STATE_MISSING: $state" >&2; exit 1; }
+read -r room url <<EOF
+$(python3 -c "import json;d=json.load(open('$state'));print(d['room'],d['server_url'])")
+EOF
+
+if [ -z "${PEERTABLE_POST_TOKEN:-}" ] && [ -f "$HOME/.config/peertable.env" ]; then
+  . "$HOME/.config/peertable.env"
+fi
+[ -n "${PEERTABLE_POST_TOKEN:-}" ] || { echo "EFFORT_CHANGE_TOKEN_MISSING" >&2; exit 1; }
+
+members=$(curl -sf "$url/api/$room/members") || {
+  echo "EFFORT_CHANGE_ROOM_UNREACHABLE: membersを読めない" >&2; exit 1;
+}
+meta=$(printf '%s' "$members" | python3 -c '
+import json,sys
+name=sys.argv[1]
+member=next((m for m in json.load(sys.stdin).get("members",[]) if m.get("name")==name),None)
+if not member or member.get("vendor") not in ("claude","codex") or not member.get("model"):
+    raise SystemExit(1)
+print("\t".join((member["vendor"],member["model"],member.get("effort") or "")))
+' "$name") || { echo "EFFORT_CHANGE_MEMBER_METADATA_MISSING: ${name} のvendor/modelが要る" >&2; exit 1; }
+IFS=$'\t' read -r vendor model old_effort <<EOF
+$meta
+EOF
+
+case "$vendor" in
+  claude)
+    case "$effort" in low|medium|high|xhigh|max) ;; *)
+      echo "EFFORT_CHANGE_UNSUPPORTED: claude/${model} は low|medium|high|xhigh|max" >&2; exit 1 ;;
+    esac
+    ;;
+  codex)
+    catalog=$(codex debug models 2>/dev/null) || {
+      echo "EFFORT_CHANGE_MODEL_CATALOG_UNAVAILABLE: codex debug models" >&2; exit 1;
+    }
+    if ! printf '%s' "$catalog" | python3 -c '
+import json,sys
+model,effort=sys.argv[1:3]
+entry=next((m for m in json.load(sys.stdin).get("models",[]) if m.get("slug")==model),None)
+levels=[] if entry is None else [x.get("effort") for x in entry.get("supported_reasoning_levels",[])]
+raise SystemExit(0 if effort in levels else 1)
+' "$model" "$effort"; then
+      echo "EFFORT_CHANGE_UNSUPPORTED: codex/${model} は effort=${effort} をcatalogで提供していない" >&2
+      exit 1
+    fi
+    ;;
+esac
+
+messages=$(curl -sf "$url/api/$room/messages") || {
+  echo "EFFORT_CHANGE_ROOM_UNREACHABLE: messagesを読めない" >&2; exit 1;
+}
+request_seq=$(printf '%s' "$messages" | python3 -c '
+import json,sys
+name,parent,effort=sys.argv[1:4]
+rows=json.load(sys.stdin).get("messages",[])
+def addressed(row,target):
+    return row.get("to")==target or target in row.get("to_names",[])
+def exact_dm(row,target):
+    return row.get("to")==target and not row.get("to_names")
+requests=[r for r in rows if r.get("from")==name and exact_dm(r,parent)
+          and r.get("body")==f"[effort変更依頼] {effort}"]
+if not requests: raise SystemExit(1)
+req=max(requests,key=lambda r:r.get("seq",0))
+marker="request #{}".format(req.get("seq",0))
+completed=[r for r in rows if r.get("from")==parent and addressed(r,name)
+           and str(r.get("body","")).startswith("[effort変更]")
+           and marker in str(r.get("body",""))]
+if completed and max(r.get("seq",0) for r in completed)>=req.get("seq",0): raise SystemExit(1)
+print(req["seq"])
+' "$name" "$parent" "$effort") || {
+  echo "EFFORT_CHANGE_REQUEST_REQUIRED: ${name} → ${parent} の『[effort変更依頼] ${effort}』新着DMが要る" >&2
+  exit 1
+}
+
+sock="${PEERTABLE_TMUX_SOCKET:-${TMPDIR:-/tmp/}claude-tmux-sockets/claude.sock}"
+sess="peer-$name"
+tmux -S "$sock" has-session -t "$sess" 2>/dev/null || {
+  echo "EFFORT_CHANGE_SEAT_MISSING: ${sess}" >&2; exit 1;
+}
+screen=$(tmux -S "$sock" capture-pane -t "$sess" -p -S -25 2>/dev/null) || {
+  echo "EFFORT_CHANGE_SEAT_UNREADABLE: $sess" >&2; exit 1;
+}
+case "$screen" in
+  *"esc to interrupt"*) echo "EFFORT_CHANGE_SEAT_BUSY: ${sess} は処理中。本人がidleになってから再実行する" >&2; exit 1 ;;
+esac
+
+launch="$(dirname "$0")/launch-seat.sh"
+brief="effortが${effort}へ変更され、席を再起動しました。.team/roles/member.mdと工程正本・roomログから再着任し、進行中taskを続けてください。"
+if ! "$launch" "$proj" "$name" "$model" "$vendor" "$effort" "$brief"; then
+  echo "EFFORT_CHANGE_RESTART_FAILED: effort=${effort}。旧effort=${old_effort:-default}へrollbackする" >&2
+  rollback_brief="effort変更に失敗して旧設定へrollbackしました。.team/roles/member.mdと工程正本・roomログから再着任してください。"
+  if "$launch" "$proj" "$name" "$model" "$vendor" "$old_effort" "$rollback_brief"; then
+    echo "EFFORT_CHANGE_ROLLED_BACK: ${name} は旧effort=${old_effort:-default}で再着席" >&2
+  else
+    echo "EFFORT_CHANGE_ROLLBACK_FAILED: ${name} の席を手動で復旧する必要がある" >&2
+  fi
+  exit 1
+fi
+
+members_after=$(curl -sf "$url/api/$room/members") || {
+  echo "EFFORT_CHANGE_CHANGED_BUT_UNVERIFIED: 席は再起動済み、membersを読めない" >&2; exit 1;
+}
+if ! printf '%s' "$members_after" | python3 -c '
+import json,sys
+name,effort=sys.argv[1:3]
+m=next((m for m in json.load(sys.stdin).get("members",[]) if m.get("name")==name),{})
+raise SystemExit(0 if m.get("effort")==effort else 1)
+' "$name" "$effort"; then
+  echo "EFFORT_CHANGE_CHANGED_BUT_UNVERIFIED: 席は再起動済み、member metadataがeffort=${effort}でない" >&2
+  exit 1
+fi
+
+old_label="${old_effort:-default}"
+history=$(python3 -c 'import json,sys;print(json.dumps({"from":sys.argv[1],"to":sys.argv[2],"body":f"[effort変更] {sys.argv[1]} が {sys.argv[2]} の effort を {sys.argv[3]} → {sys.argv[4]} に変更（席を再起動 / request #{sys.argv[5]}）"},ensure_ascii=False))' "$parent" "$name" "$old_label" "$effort" "$request_seq")
+if ! curl -sf -o /dev/null -X POST "$url/api/$room/messages" \
+  -H "X-Peertable-Token: $PEERTABLE_POST_TOKEN" -H 'content-type: application/json' -d "$history"; then
+  echo "EFFORT_CHANGE_CHANGED_BUT_HISTORY_FAILED: ${name} はeffort=${effort}で再着席済み、room履歴の記録に失敗" >&2
+  exit 1
+fi
+
+echo "EFFORT_CHANGE_OK: ${name} ${old_label} → ${effort}（request #${request_seq} / parent=${parent}）"

package/skill/scripts/launch-seat.sh

@@ -17,6 +17,10 @@ state="$proj/.team/setup-state.json"
 read -r room url mode plan <<EOF
 $(python3 -c "import json;d=json.load(open('$state'));print(d['room'],d['server_url'],d['mode'],d.get('plan_key') or '-')")
 EOF
+# setup が解決した CLI の実 path。**席が PATH の `lattice` へ逸れないため**に渡す
+# （release 前の source tree では、PATH の install は pull 系 command を持たない）。
+# 無い卓（旧 setup-state）では空になり、席は既定どおり `lattice` を使う。
+lattice_cli=$(python3 -c "import json;print(json.load(open('$state')).get('lattice_cli') or '')")
 
 if [ -z "${PEERTABLE_POST_TOKEN:-}" ] && [ -f "$HOME/.config/peertable.env" ]; then
   . "$HOME/.config/peertable.env"
@@ -24,6 +28,11 @@ fi
 
 # 前の卓の残骸を回収してから立てる（同名セッションが残ると起動が黙って古い席に化ける）
 tmux -S "$sock" kill-session -t "$sess" 2>/dev/null || true
+
+# 素性記録（.team/seats/<name>.json）の掃除は**ここ**でやる。席を起こす経路は全席が必ず通るので、
+# 死んだ記録がここで必ず消える（ADR 0157）。teardown や人が叩くコマンドに置くと、誰も叩かず溜まる。
+# **消すのは同名の自分の分だけ**——`peer-*` を一括で消すと同じマシンの別卓を巻き込む。
+rm -f "$proj/.team/seats/$name.json"
 tmux -S "$sock" new-session -d -s "$sess" -x 200 -y 50 -c "$proj"
 
 # 素性は席の env にも入れる。client が**登録のたびに**載せるので、member の状態が失われても戻る
@@ -32,6 +41,7 @@ env_line="$env_line PEERTABLE_VENDOR=$vendor PEERTABLE_MODEL=$model"
 [ -n "$effort" ] && env_line="$env_line PEERTABLE_EFFORT=$effort"
 if [ "$mode" = "lattice" ]; then
   env_line="$env_line PEERTABLE_PLAN=$plan LATTICE_TODO_ACTOR_HOST=${LATTICE_TODO_ACTOR_HOST:-mac} LATTICE_TODO_ACTOR_SESSION=$name LATTICE_TODO_ACTOR_AGENT=$name"
+  [ -n "$lattice_cli" ] && env_line="$env_line LATTICE_CLI=$lattice_cli"
 fi
 tmux -S "$sock" send-keys -t "$sess" "$env_line" Enter
 sleep 1
@@ -48,6 +58,9 @@ case "$vendor" in
     # （caveat `codex-cli-v0-130-0-mcp-servers-x-env-block-is-closed-mode-parent-env-not-inherited`）。
     envtbl="PATH=\\\"$PATH\\\",PEERTABLE_URL=\\\"$url\\\",PEERTABLE_ROOM=\\\"$room\\\",PEERTABLE_MEMBER=\\\"$name\\\",PEERTABLE_POST_TOKEN=\\\"$PEERTABLE_POST_TOKEN\\\""
     cmd="codex --model $model -C $proj --dangerously-bypass-approvals-and-sandbox"
+    # Codexのeffortは環境変数だけでは適用されない。member metadataへ表示する値と、
+    # 実際の推論設定を同じ引数から渡して食い違わせない。
+    [ -n "$effort" ] && cmd="$cmd -c 'model_reasoning_effort=\"$effort\"'"
     cmd="$cmd -c 'mcp_servers.room.command=\"peertable-client\"'"
     cmd="$cmd -c \"mcp_servers.room.env={$envtbl}\""
     ;;
@@ -94,6 +107,73 @@ fi
 
 echo "seated: ${sess}（${vendor} / ${model}${effort:+ / $effort} / room=${room} / mode=${mode}）"
 
+# 席の素性を `.team/seats/<name>.json` へ置く。**席が自分の pid を知るための唯一の経路**である
+# （Lattice の `run intake attach` は expected identity を要求し、pid を推定しない）。
+# 着席の**後**に取る——起動途中の process を掴むと、ダイアログ通過で子が入れ替わりうる。
+#
+# 持たせるのは6欄だけで、**`lattice.pull_worker_attach_input.v1` の exact 集合から `schema` を
+# 除いたもの**と一致する。席は読んで `schema` を被せるだけで attach input になる（変換不要）。
+# **raw argv を持たせない**——Codex 起動の argv には `PEERTABLE_POST_TOKEN` が載るので、
+# 保存すれば秘密の複製になる（2026-08-09 実測）。digest だけを持つ。
+# この file が主張するのは「この pid はこの席だった」という**識別**であって、生死ではない。
+# 生きているかは attach する側（Lattice）が lstart+argv の再観測で確かめる。
+seat_pid=""
+pane_pid=$(tmux -S "$sock" list-panes -t "$sess" -F '#{pane_pid}' 2>/dev/null | head -1 || true)
+if [ -n "$pane_pid" ]; then
+  # pane の子で pid===pgid のものが席本体。pane_pid（shell）を渡すと Lattice の直接 OS 観測が
+  # 「worker process group を無関係 process と共有している」で正しく落ちる。
+  # **1件でなければ推測で選ばない**（run-bridge.mjs の seatWorkerPid と同じ規律）。
+  leaders=$(ps -Ao pid=,ppid=,pgid= | awk -v p="$pane_pid" '$2==p && $1==$3 {print $1}')
+  if [ "$(printf '%s\n' "$leaders" | grep -c .)" = "1" ]; then seat_pid=$(printf '%s' "$leaders" | tr -d ' \n'); fi
+fi
+if [ -z "$seat_pid" ]; then
+  # 記録が無ければ席は attach できず、装置の介入は協調 hold のままになる。**黙らない。**
+  echo "seat identity を記録できなかった: ${sess} の process group leader を1つに確定できない（席は着席済み）" >&2
+else
+  mkdir -p "$proj/.team/seats"
+  # **`session` に tmux 名（`peer-<name>`）を入れてはいけない。** Lattice の attach は
+  # `input.session === actor.session` を要求し（`runtime-pull-intake.mjs:674`）、actor session は
+  # 上の env_line が入れる `LATTICE_TODO_ACTOR_SESSION=$name` である。tmux 識別子を混ぜると
+  # attach が必ず `WORKER_ACTOR_MISMATCH` で拒否される（mio の監査で発覚・room [937]）。
+  if ! python3 - "$proj/.team/seats/$name.json" "$name" "$name" "$seat_pid" <<'PY'
+import hashlib, json, os, subprocess, sys, tempfile
+out, name, session, pid = sys.argv[1:5]
+pid = int(pid)
+started = subprocess.run(['/bin/ps', '-o', 'lstart=', '-p', str(pid)],
+                         capture_output=True, text=True, check=True).stdout.strip()
+argv = subprocess.run(['/bin/ps', '-o', 'args=', '-p', str(pid)],
+                      capture_output=True, text=True, check=True).stdout.strip()
+if not started or not argv:
+    sys.exit('pid の lstart/args を観測できない')
+record = {
+    'argv_digest': hashlib.sha256(argv.encode()).hexdigest(),
+    'name': name,
+    'pid': pid,
+    'recorded_at': subprocess.run(['date', '-u', '+%Y-%m-%dT%H:%M:%S.000Z'],
+                                  capture_output=True, text=True, check=True).stdout.strip(),
+    'session': session,
+    'started_identity': started,
+}
+# canonical JSON（key 昇順・空白なし）＋ 0600 ＋ 一時file→fsync→rename で原子的に置く。
+# 着席直後に席が読むので、部分読取が起きない形にする。
+body = json.dumps(record, ensure_ascii=False, sort_keys=True, separators=(',', ':')) + '\n'
+fd, tmp = tempfile.mkstemp(dir=os.path.dirname(out), prefix='.seat-', suffix='.tmp')
+try:
+    with os.fdopen(fd, 'w') as handle:
+        handle.write(body)
+        handle.flush()
+        os.fsync(handle.fileno())
+    os.chmod(tmp, 0o600)
+    os.replace(tmp, out)
+except BaseException:
+    os.unlink(tmp)
+    raise
+PY
+  then
+    echo "seat identity を記録できなかった: ${sess}（席は着席済み・attach は協調 hold のままになる）" >&2
+  fi
+fi
+
 # 席の素性（vendor / model / effort）を room へ渡す。参加者一覧のホバー表示に使う。
 # 席自身の client も起動時に `{name}` だけで登録するので、server 側は
 # **欄が無い登録で既存の素性を消さない**（upsert）ことが前提である。

package/skill/scripts/parent-join.sh

@@ -1,14 +1,13 @@
 #!/bin/bash
-# 親（ベル等）が room へ着卓し、必要なら kickoff を投げる。
-# usage: parent-join.sh <project_dir> [name] [kickoff_file] [model] [effort]
-#   name 既定は bell。kickoff_file を渡すとその本文を全員宛で1回投稿する
-#   （複数行・記号を安全に運ぶためファイル渡しにしている。引数のインライン渡しはしない）。
+# 親（ベル等）が room へ着卓する。
+# usage: parent-join.sh <project_dir> [name] [model] [effort]
+#   name 既定は bell。broadcast廃止に伴いkickoff投稿は行わない。
 #   model / effort は任意。親はオーナーの対話セッション（決定40）なので、席と違って
 #   起動時に確定した値を script が知らない——**渡された時だけ**参加者一覧の素性として登録する。
 #   渡さなければ欄ごと出ない（「不明」ではなく「素性を名乗っていない」）。
 # 親は MCP を後付けできないので room へは HTTP API 直で入る（決定40 の operating notes）。
 set -e
-proj="$1"; name="${2:-bell}"; kickoff="$3"; model="$4"; effort="$5"
+proj="$1"; name="${2:-bell}"; model="$3"; effort="$4"
 state="$proj/.team/setup-state.json"
 room=$(python3 -c "import json;print(json.load(open('$state'))['room'])")
 url=$(python3 -c "import json;print(json.load(open('$state'))['server_url'])")
@@ -35,18 +34,4 @@ curl -sf -X POST "$url/api/$room/members" \
   -d "$member" > /dev/null
 echo "joined: ${name}（room=${room}）"
 
-if [ -n "$kickoff" ]; then
-  # JSON の組み立てはヒアドキュメントで行う。`-c` にインラインで書くと本文の `{...}`
-  # をシェルのブレース展開が刻んで壊す（2026-08-08 実測）
-  body=$(python3 - "$name" "$kickoff" <<'PY'
-import json, sys
-print(json.dumps({'from': sys.argv[1], 'to': 'all', 'body': open(sys.argv[2]).read().strip()}))
-PY
-)
-  curl -sf -X POST "$url/api/$room/messages" \
-    -H "X-Peertable-Token: $PEERTABLE_POST_TOKEN" -H 'content-type: application/json' \
-    -d "$body" > /dev/null
-  echo "kickoff posted: $kickoff"
-fi
-
 curl -sf "$url/api/$room/members" | python3 -c "import json,sys;print('members:', ', '.join(m['name'] for m in json.load(sys.stdin)['members']))"

package/skill/scripts/run-bridge.mjs

@@ -0,0 +1,259 @@
+#!/usr/bin/env node
+// Lattice の pull 型 run を円卓へ可視化する常駐。**AI ではない**し、**席へ1バイトも送らない**。
+//
+// usage: run-bridge.mjs <project_dir> [--lattice <path>]   起動（前面。nohup で常駐させる）
+//        run-bridge.mjs <project_dir> --stop               停止
+//
+// **この常駐は仕事を配らない。** 2026-08-09 のオーナー裁定（改・裁定1）で、装置が席を選んで
+// 仕事を配る向きは撤回された——**作業を選ぶのも始めるのも AI** であり、Lattice がやるのは
+// 着手済み ToDo 間の競合判定と介入だけである。旧版が持っていた席選定・`[配車]` 投稿・
+// `[受諾]`/`[辞退]` の再配車・work report の書き込みは、その向きの部品なので**全部落とした**。
+//
+// 残った役目は2つだけで、**どちらも読み取りである**:
+//   1. pull run の進行（`lattice run observe`）を、変化した時だけ room へ1行返す
+//   2. 装置が出した介入（hold）を、その作業を始めた席宛に room へ返す
+//
+// **この常駐は必須経路ではない。** 席は自分で `run intake` / `attach` / `accept` を打ち、
+// 介入は `run intake intervention` で自分でも読めるので、bridge が落ちていても作業は進む——
+// 見えなくなるだけである（peertable 決定63・相互独立）。
+// 書き込む先は room だけで、spool にも run store にも1バイトも書かない。
+//
+// 生死の作法は Lattice ADR 0157 に倣う: 自分の pid を記録に置き、起動時に前の記録を掃除し、
+// 止まらなければ黙って諦めず typed error で落ちる。
+import { execFile } from 'node:child_process'
+import { existsSync, readFileSync, unlinkSync, writeFileSync } from 'node:fs'
+import { join } from 'node:path'
+import { promisify } from 'node:util'
+
+const run = promisify(execFile)
+const [proj, ...rest] = process.argv.slice(2)
+if (!proj) {
+  console.error('usage: run-bridge.mjs <project_dir> [--lattice <path>] | <project_dir> --stop')
+  process.exit(1)
+}
+
+const record = join(proj, '.team', 'run-bridge.json')
+const alive = pid => { try { process.kill(pid, 0); return true } catch { return false } }
+const sleep = ms => new Promise(r => setTimeout(r, ms))
+const log = line => console.log(`[${new Date().toISOString()}] ${line}`)
+
+// pid だけを頼りに signal を送らない（ADR 0157）。**pid は再利用される**ので、記録した
+// 起動時刻（ps の lstart）と command line を照合し、通った相手にだけ送る。照合が合わない記録は
+// 「自分の常駐ではない誰か」なので、掃除はしても**殺さない**。
+async function processFacts(pid) {
+  let stdout
+  try { ({ stdout } = await run('/bin/ps', ['-o', 'lstart=,command=', '-p', String(pid)])) }
+  catch { return null }
+  const line = stdout.split('\n')[0]?.trim() ?? ''
+  if (line.length === 0) return null
+  // lstart は固定幅の `Sun Aug  9 08:11:02 2026`（5 token）。残りが command line
+  const parts = line.split(/\s+/)
+  return { startIdentity: parts.slice(0, 5).join(' '), command: parts.slice(5).join(' ') }
+}
+
+async function stopRecorded({ strict = false } = {}) {
+  if (!existsSync(record)) return
+  const stored = JSON.parse(readFileSync(record, 'utf8'))
+  const { pid } = stored
+  const facts = await processFacts(pid)
+  if (facts === null || !alive(pid)) {
+    unlinkSync(record); log(`死んだ記録を掃除した（pid ${pid}）`); return
+  }
+  const sameProcess = stored.start_identity === undefined
+    ? false   // 旧形式の記録は再認証できない＝殺さない
+    : facts.startIdentity === stored.start_identity
+      && facts.command.includes('run-bridge.mjs')
+      && facts.command.includes(proj)
+  if (!sameProcess) {
+    unlinkSync(record)
+    const detail = `pid ${pid} は記録した常駐ではない（観測: ${facts.startIdentity} / ${facts.command.slice(0, 120)}）`
+    if (strict) {
+      console.error(`RUN_BRIDGE_RECORD_STALE: ${detail}。**signal は送っていない**——`
+        + '本物の常駐が別 pid で生きている可能性があるので、`ps` で確認して手で止めること')
+      process.exit(1)
+    }
+    log(`RUN_BRIDGE_RECORD_STALE: ${detail}。signal を送らずに記録だけ掃除した`)
+    return
+  }
+  process.kill(pid, 'SIGTERM')
+  for (let i = 0; i < 25 && alive(pid); i++) await sleep(200)
+  if (alive(pid)) {
+    process.kill(pid, 'SIGKILL')
+    for (let i = 0; i < 15 && alive(pid); i++) await sleep(200)
+  }
+  if (alive(pid)) {
+    console.error(`RUN_BRIDGE_STOP_FAILED: pid ${pid} が SIGKILL でも止まらない`)
+    process.exit(1)
+  }
+  if (existsSync(record)) unlinkSync(record)
+  log(`前のブリッジを停止した（pid ${pid}）`)
+}
+
+// **引数の検査は前のブリッジを止めるより先にやる。** 逆順にすると、旧版の command line
+// （spool dir と席名つき）で叩いた人が「動いているブリッジを殺してから起動に失敗する」——
+// 正典が旧形式を載せていた期間があるので、これは実際に起きる（自分で踏んで気づいた）。
+// `--stop` はここを通さない。止めるだけの呼び出しに `--lattice` は要らない。
+let latticeCli = 'lattice'
+if (rest[0] !== '--stop') {
+  // `--lattice <path>` は任意。既定は PATH 上の `lattice`。**release 前の source tree を実測する時**は
+  // ここで実物を指す。PATH の install は publish 済みの版なので、**version 表示が同じでも**
+  // 未 publish の schema を読めず `INVALID_RUN_STORE` 等で落ちる（2026-08-09 に卓で3件実測）。
+  const latticeFlag = rest.indexOf('--lattice')
+  if (latticeFlag >= 0) {
+    latticeCli = rest[latticeFlag + 1] ?? ''
+    if (latticeCli.length === 0) {
+      console.error('RUN_BRIDGE_ARGS_INVALID: --lattice には実行可能な path を渡すこと')
+      process.exit(1)
+    }
+    rest.splice(latticeFlag, 2)
+  }
+  if (rest.length > 0) {
+    // 旧版は spool dir と席名を受けていた。**黙って無視すると、配車が来ないのを不具合と読む。**
+    console.error(`RUN_BRIDGE_ARGS_INVALID: 余分な引数 ${rest.join(' ')}。`
+      + '**この常駐はもう配車をしないので spool dir も席名も取らない**（改・裁定1）。'
+      + '席は自分で run intake を打ち、bridge は run の進行と介入を room へ返すだけである')
+    process.exit(1)
+  }
+}
+
+await stopRecorded({ strict: rest[0] === '--stop' })
+if (rest[0] === '--stop') process.exit(0)
+
+const state = JSON.parse(readFileSync(join(proj, '.team', 'setup-state.json'), 'utf8'))
+const { room, server_url: url } = state
+const token = process.env.PEERTABLE_POST_TOKEN ?? ''
+if (token.length === 0) {
+  // 投稿できないブリッジは何も返せない。起きてから黙って何もしない常駐を作らない
+  console.error('RUN_BRIDGE_TOKEN_MISSING: PEERTABLE_POST_TOKEN が無い（export し忘れていないか）')
+  process.exit(1)
+}
+
+// 記録には pid だけでなく**起動時刻と command line**を入れる。停止側はこれで再認証する
+const selfFacts = await processFacts(process.pid)
+if (selfFacts === null) {
+  console.error('RUN_BRIDGE_SELF_UNOBSERVABLE: 自分の process を ps で観測できない')
+  process.exit(1)
+}
+writeFileSync(record, JSON.stringify({
+  pid: process.pid, start_identity: selfFacts.startIdentity, command: selfFacts.command,
+  room, server_url: url, started_at: new Date().toISOString(),
+}) + '\n')
+const cleanup = () => { if (existsSync(record)) unlinkSync(record); process.exit(0) }
+process.on('SIGTERM', cleanup)
+process.on('SIGINT', cleanup)
+
+async function post(to, body) {
+  const res = await fetch(`${url}/api/${encodeURIComponent(room)}/messages`, {
+    method: 'POST',
+    headers: { 'content-type': 'application/json', 'x-peertable-token': token },
+    body: JSON.stringify({ from: 'run-bridge', to, body }),
+  })
+  if (!res.ok) throw new Error(`room post ${res.status}`)
+}
+
+// cwd を project へ固定する。run ref は repo 相対なので、bridge がどこから起こされても解決する。
+// **絶対 path を渡すと公開 CLI が `INVALID_RUN_REF` で拒否する**（2026-08-09 の t11 で実測）。
+async function lattice(args) {
+  const { stdout } = await run(latticeCli, args, { cwd: proj, maxBuffer: 8 * 1024 * 1024 })
+  return JSON.parse(stdout)
+}
+
+const runSummaries = new Map()      // run_ref -> 直近に記録した要約
+const interventions = new Map()     // `${run_ref}\0${task_id}` -> 直近に観測した介入の形
+const closedRuns = new Set()        // closed を観測した run。以後 poll しない
+let pollTicks = 0
+
+// **どの run を見るかは `run list` から取る。** 旧版は order の worktree_path から run dir を
+// 切り出していたが、その order がもう出ないので、装置に聞く形へ変えた。
+// `selection: 'pull'` だけを対象にする——legacy automatic run は席が居ないので中継しても意味がない。
+async function pullRunRefs() {
+  const listed = await lattice(['run', 'list', '--json'])
+  return (listed.active_runs ?? [])
+    .filter(entry => entry.selection === 'pull' && typeof entry.run_ref === 'string')
+    .map(entry => entry.run_ref)
+    .filter(ref => !closedRuns.has(ref))
+    .sort()
+}
+
+function summarize(observation) {
+  const intakes = observation.intakes ?? []
+  const held = intakes.filter(entry => entry.intervention?.state === 'hold').map(entry => entry.task_id)
+  const accepted = intakes.filter(entry => entry.accepted_head_sha !== null).map(entry => entry.task_id)
+  const working = intakes.filter(entry => entry.accepted_head_sha === null).map(entry => entry.task_id)
+  return `intake=[${working}] accepted=[${accepted}] hold=[${held}] closed=${observation.closed}`
+}
+
+// 介入は**その作業を始めた席**へ返す。誰が始めたかは観測が持っている（`intake.actor.agent`）ので、
+// bridge が Todo store の内部構造を読みに行く必要はない。
+function interventionText(runRef, intake) {
+  const reason = intake.intervention?.reason ?? '(理由なし)'
+  return [
+    `[介入] ${intake.task_id} — ${intake.intervention?.state}`,
+    `run: ${runRef}`,
+    `理由: ${reason}`,
+    `worktree: ${intake.worktree_path}`,
+    '',
+    '装置が競合を見て**留まれ**と言っている。作業を止めて room で調整するか、',
+    `解消したら \`lattice run intake intervention --run ${runRef} --task ${intake.task_id}\` で読み直す。`,
+  ].join('\n')
+}
+
+async function pollRuns() {
+  let refs
+  try { refs = await pullRunRefs() }
+  catch (error) {
+    // 観測できないことを黙らない。**沈黙を「異常なし」の証拠にしない**
+    const detail = String(error?.stderr ?? error?.message ?? error).split('\n')[0].slice(0, 200)
+    log(`run list 失敗: ${detail}`)
+    return
+  }
+  for (const ref of refs) {
+    let observation
+    try { observation = await lattice(['run', 'observe', '--run', ref]) }
+    catch (error) {
+      const detail = String(error?.stderr ?? error?.message ?? error).split('\n')[0].slice(0, 200)
+      const summary = `observe 失敗: ${detail}`
+      // 1 run の失敗で他の run の報告を止めない
+      if (runSummaries.get(ref) !== summary) { runSummaries.set(ref, summary); log(`${ref}: ${summary}`) }
+      continue
+    }
+
+    // 介入は run 要約より先に返す。**留まれという指示が要約の後ろに埋もれない**ようにする
+    for (const intake of observation.intakes ?? []) {
+      const key = `${ref}\0${intake.task_id}`
+      const shape = `${intake.intervention?.state}\0${intake.intervention?.reason ?? ''}`
+      if (interventions.get(key) === shape) continue   // 変化が無い間は鳴らさない
+      interventions.set(key, shape)
+      if (intake.intervention?.state !== 'hold') continue   // none は静かに通す（通知は要らない）
+      const seat = intake.actor?.agent
+      if (typeof seat !== 'string' || seat.length === 0) {
+        // broadcast は存在しない。宛先不明を黙らせず、local logへtypedに残す。
+        log(`RUN_BRIDGE_RECIPIENT_UNKNOWN: 介入の宛先を決められない: ${ref} ${intake.task_id}`)
+        continue
+      }
+      log(`介入: ${ref} ${intake.task_id} → ${seat}（${intake.intervention.reason ?? ''}）`)
+      await post(seat, interventionText(ref, intake))
+    }
+
+    const summary = summarize(observation)
+    if (runSummaries.get(ref) !== summary) {
+      runSummaries.set(ref, summary)
+      log(`run 進行: ${ref} ${summary}`)
+    }
+    // closed は終端。最後の状態をlocal logへ記録してから外す
+    if (observation.closed === true) {
+      closedRuns.add(ref)
+      log(`run 終端を観測したので poll を止める: ${ref}`)
+    }
+  }
+  // 変化が無い時も1分に1回は件数を出す（沈黙を「異常なし」の証拠にしない）
+  pollTicks += 1
+  if (pollTicks % 6 === 1) log(`pull run ${refs.length} 件を観測中`)
+}
+
+log(`bridge start: room=${room} project=${proj} pid=${process.pid}（配車はしない・観測と中継だけ）`)
+for (;;) {
+  try { await pollRuns() }
+  catch (error) { log(`run 観測に失敗（続行する）: ${error.message}`) }
+  await sleep(10_000)
+}

package/skill/scripts/seat-status-bridge.mjs

@@ -20,6 +20,8 @@ import { execFileSync } from 'node:child_process'
 import { existsSync, readFileSync, writeFileSync, unlinkSync } from 'node:fs'
 import { join } from 'node:path'
 
+import { parsePaneTokenHint, supportsMemberObservation } from './seat-usage.mjs'
+
 const args = process.argv.slice(2)
 const proj = args[0]
 if (!proj) { console.error('usage: seat-status-bridge.mjs <project_dir> [--interval <sec>] [--once] | --stop'); process.exit(1) }
@@ -77,21 +79,35 @@ async function seats() {
   return members.map(m => m.name)
 }
 
-function readStatus(name) {
+function readSeat(name, previous, observedAt) {
   const target = `peer-${name}`
   const dead = tmux('list-panes', '-t', target, '-F', '#{pane_dead}')
-  if (dead === null) return 'dead'            // セッションが無い
-  if (dead.trim().split('\n')[0] === '1') return 'dead'
+  if (dead === null) return { status: 'dead', busySince: null, paneTokenHint: null }
+  if (dead.trim().split('\n')[0] === '1') {
+    return { status: 'dead', busySince: null, paneTokenHint: null }
+  }
   const pane = tmux('capture-pane', '-t', target, '-p')
-  if (pane === null) return 'dead'
-  return pane.split('\n').slice(-14).join('\n').includes('esc to interrupt') ? 'busy' : 'idle'
+  if (pane === null) return { status: 'dead', busySince: null, paneTokenHint: null }
+  const tail = pane.split('\n').slice(-14).join('\n')
+  const status = tail.includes('esc to interrupt') ? 'busy' : 'idle'
+  const busySince = status === 'busy'
+    ? (previous?.status === 'busy' && previous.busySince ? previous.busySince : observedAt)
+    : null
+  return { status, busySince, paneTokenHint: parsePaneTokenHint(tail) }
 }
 
-async function send(name, status) {
+async function send(name, observation, observedAt) {
   const res = await fetch(`${url}/api/${encodeURIComponent(room)}/members`, {
     method: 'POST',
     headers: { 'Content-Type': 'application/json', ...(token ? { 'X-Peertable-Token': token } : {}) },
-    body: JSON.stringify({ name, status, status_at: new Date().toISOString() }),
+    body: JSON.stringify({
+      name,
+      status: observation.status,
+      status_at: observedAt,
+      busy_since: observation.busySince,
+      pane_token_hint: observation.paneTokenHint,
+      usage_source: 'pane_status',
+    }),
   })
   if (!res.ok) throw new Error(`HTTP ${res.status}`)
 }
@@ -100,12 +116,12 @@ async function send(name, status) {
 // 読み返して実際に載ったかを見る。載らない版なら、そう言って**黙って成功したふりをしない**
 async function serverKeepsStatus() {
   const res = await fetch(`${url}/api/${encodeURIComponent(room)}/members`)
-  const { members } = await res.json()
-  return members.some(m => 'status' in m)
+  return supportsMemberObservation(await res.json())
 }
 
 const last = new Map()   // name -> { status, at }
 let supported = null     // server が status を保持する版か（未判定は null）
+const tokenBucket = value => value === null ? null : Math.floor(value / 1_000)
 
 async function tick() {
   let names
@@ -121,18 +137,22 @@ async function tick() {
   }
   if (!supported) { console.error(`seat-status-bridge: ${names.length} 席を見たが、server が未対応なので送っていない`); return }
   const now = Date.now()
+  const observedAt = new Date(now).toISOString()
   let sent = 0
   for (const name of names) {
-    const status = readStatus(name)
     const prev = last.get(name)
-    const changed = !prev || prev.status !== status
+    const observation = readSeat(name, prev, observedAt)
+    const changed = !prev || prev.status !== observation.status
+      || prev.busySince !== observation.busySince
+      // token表示は実行中に細かく増える。1k未満の差で8秒ごとにPOSTせず、表示精度に合う粒度で送る。
+      || tokenBucket(prev.paneTokenHint) !== tokenBucket(observation.paneTokenHint)
     const stale = prev && now - prev.at >= HEARTBEAT_MS
     if (!changed && !stale) continue
     try {
-      await send(name, status)
-      last.set(name, { status, at: now })
+      await send(name, observation, observedAt)
+      last.set(name, { ...observation, at: now })
       sent++
-      if (changed) console.error(`seat-status-bridge: ${name} → ${status}${prev ? `（${prev.status} から）` : ''}`)
+      if (changed) console.error(`seat-status-bridge: ${name} → ${observation.status}${prev ? `（${prev.status} から）` : ''}`)
     } catch (e) {
       console.error(`seat-status-bridge: ${name} の送信に失敗: ${e.message}`)
     }