peertable 0.3.3 → 0.3.5

package/skill/scripts/seat-usage.mjs

@@ -0,0 +1,26 @@
+const TOKEN_HINT = /[↓↑]\s*([0-9]+(?:\.[0-9]+)?)\s*([kKmM]?)\s*tokens\b/gu
+
+const TOKEN_MULTIPLIER = Object.freeze({
+  '': 1,
+  k: 1_000,
+  m: 1_000_000,
+})
+
+export function supportsMemberObservation(payload) {
+  return payload?.capabilities?.member_observation_v1 === true
+}
+
+/**
+ * paneのstatus行が公開しているtoken値だけを読む。
+ * vendor固有のログや課金単価は推測せず、表示が無い席はnullのままにする。
+ */
+export function parsePaneTokenHint(pane) {
+  if (typeof pane !== 'string') return null
+  let latest = null
+  for (const match of pane.matchAll(TOKEN_HINT)) {
+    const multiplier = TOKEN_MULTIPLIER[match[2].toLowerCase()]
+    const value = Math.round(Number(match[1]) * multiplier)
+    if (Number.isSafeInteger(value) && value >= 0) latest = value
+  }
+  return latest
+}

package/skill/scripts/setup.sh

@@ -51,6 +51,29 @@ else
   mode=lattice
 fi
 
+# Lattice 併用モードは、公開CLIをprojectへ何か置く前に確定する。通常はglobal installされた
+# lattice を使い、release前のsource treeを実測する時だけ `LATTICE_CLI` で同じtreeのbinを明示する。
+# **work-order adapter binary はもう要らない**（配車を撤去したので登録しない）。ここで見るのは
+# CLI の存在だけで、席が `todo status` / `run intake` を叩ける前提の確認である。
+lattice_cli=""
+if [ "$mode" = "lattice" ]; then
+  lattice_cli="${LATTICE_CLI:-$(command -v lattice 2>/dev/null || true)}"
+  [ -n "$lattice_cli" ] || { echo "ERROR: lattice CLI が見つからない" >&2; exit 1; }
+  [ -x "$lattice_cli" ] || { echo "ERROR: lattice CLI が実行可能fileでない: $lattice_cli" >&2; exit 1; }
+  lattice_cli=$(node -e 'process.stdout.write(require("node:fs").realpathSync(process.argv[1]))' "$lattice_cli")
+
+  # config_refはgit root相対の公開契約。subdirectoryをprojectとして受けると別の
+  # `.lattice/` を作ってしまうので、黙って親repoへ登録せずtypedに止める。
+  project_root=$(node -e 'process.stdout.write(require("node:fs").realpathSync(process.argv[1]))' "$proj")
+  git_root=$(git -C "$proj" rev-parse --show-toplevel 2>/dev/null || true)
+  [ -n "$git_root" ] || { echo "ERROR: Lattice 併用モードのprojectはgit repositoryでなければならない: $proj" >&2; exit 1; }
+  git_root=$(node -e 'process.stdout.write(require("node:fs").realpathSync(process.argv[1]))' "$git_root")
+  [ "$project_root" = "$git_root" ] || {
+    echo "ERROR: project_dirはgit rootを指さなければならない: project=$project_root git_root=$git_root" >&2
+    exit 1
+  }
+fi
+
 mkdir -p "$tdir/roles"
 cp "$tpl/charter.md" "$tdir/CLAUDE.md"
 if [ "$mode" = "standalone" ]; then
@@ -92,6 +115,27 @@ fi
 
 lattice_preexisting=false
 [ -d "$proj/.lattice" ] && lattice_preexisting=true
+runtime_preexisting=false
+[ -d "$proj/.lattice/runtime" ] && runtime_preexisting=true
+
+# adapter registry/config/spool はhost固有のruntime stateであり、sourceとして追跡しない。
+# `.lattice/`の一部を正本として追跡するprojectでもruntimeだけをroot相対で除外する。
+added_runtime_exclude=false
+if [ "$mode" = "lattice" ] && [ -d "$proj/.git" ] \
+  && ! grep -qx '/\.lattice/runtime/' "$proj/.git/info/exclude" 2>/dev/null; then
+  mkdir -p "$proj/.git/info"
+  echo '/.lattice/runtime/' >> "$proj/.git/info/exclude"
+  added_runtime_exclude=true
+fi
+
+# **機械配車の口はもう作らない。** 2026-08-09 のオーナー裁定（改・裁定1）で、Lattice が席へ
+# 仕事を配る向きは撤回された。席は自分で `todo start` してから `run intake` するので、
+# work-order adapter の登録も spool（orders/reports）も要らない。**setup がここで adapter を
+# 必須化していると、adapter binary が無い環境で新しい卓が立たなくなる**（配車をしないのに）。
+# 既存 project に前の卓が作った registry が残っていても触らない——他 adapter や進行中 run の
+# 所有物を含みうるので、setup が消す対象ではない。
+work_order_adapter=false
+work_order_spool_ref=""
 
 # Lattice 併用モードだけ、工程表の右ペインへ円卓を差す（決定53・明示的コネクタ）。
 # 公開URL基底は `PEERTABLE_PUBLIC_URL`（クオ環境: https://peertable.kitepon.dev）。
@@ -113,6 +157,9 @@ if [ ${#phases[@]} -gt 0 ]; then
   phases_json="[${phases_json%,}]"
 fi
 
-printf '{"room":"%s","server_url":"%s","public_url":"%s","mode":"%s","plan_key":"%s","phases":%s,"added_exclude":%s,"lattice_preexisting":%s,"added_root_mcp":%s,"added_mcp_exclude":%s,"external_pane":%s,"project_json_preexisting":%s}\n' \
-  "$room" "$url" "$public_url" "$mode" "$plan" "$phases_json" "$added_exclude" "$lattice_preexisting" "$added_root_mcp" "$added_mcp_exclude" "$external_pane" "$project_json_preexisting" > "$tdir/setup-state.json"
+# **解決した CLI の実 path を残す。** 残さないと、席も teardown も PATH の `lattice` へ逸れる。
+# release 前の source tree を実測する卓では、それは**pull 系 command を持たない古い install**で、
+# 手順どおり打っても届かない（suzune の監査で実測・room [1037]）。
+printf '{"room":"%s","server_url":"%s","public_url":"%s","mode":"%s","plan_key":"%s","phases":%s,"added_exclude":%s,"lattice_preexisting":%s,"runtime_preexisting":%s,"added_runtime_exclude":%s,"added_root_mcp":%s,"added_mcp_exclude":%s,"external_pane":%s,"project_json_preexisting":%s,"work_order_adapter":%s,"work_order_spool_ref":"%s","lattice_cli":"%s"}\n' \
+  "$room" "$url" "$public_url" "$mode" "$plan" "$phases_json" "$added_exclude" "$lattice_preexisting" "$runtime_preexisting" "$added_runtime_exclude" "$added_root_mcp" "$added_mcp_exclude" "$external_pane" "$project_json_preexisting" "$work_order_adapter" "$work_order_spool_ref" "$lattice_cli" > "$tdir/setup-state.json"
 echo "scaffold done: $tdir"

package/skill/scripts/teardown.sh

@@ -26,6 +26,10 @@ room=$(python3 -c "import json;print(json.load(open('$state'))['room'])")
 url=$(python3 -c "import json;print(json.load(open('$state'))['server_url'])")
 added=$(python3 -c "import json;print(json.load(open('$state'))['added_exclude'])")
 lat_pre=$(python3 -c "import json;print(json.load(open('$state'))['lattice_preexisting'])")
+runtime_pre=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('runtime_preexisting', True))")
+added_runtime_ex=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('added_runtime_exclude', False))")
+work_order_adapter=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('work_order_adapter', False))")
+work_order_spool_ref=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('work_order_spool_ref', ''))")
 # 旧 state（added_root_mcp 不在・手動フォールバック時代の root_mcp_json_fallback）も読む
 added_mcp=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('added_root_mcp', d.get('root_mcp_json_fallback', False)))")
 added_mcp_ex=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('added_mcp_exclude', d.get('root_mcp_json_fallback', False)))")
@@ -100,6 +104,132 @@ else
   skip "seat-status-bridge（起動記録なし）"
 fi
 
+# run 可視化ブリッジ（Lattice の実行層を使う卓だけ立っている）。同じ理由で `.team/` を消す前に止める。
+# 止め残すと、卓が無いのに run の進行と介入を投稿し続ける常駐が残る
+if [ -f "$proj/.team/run-bridge.json" ]; then
+  if node "$(dirname "$0")/run-bridge.mjs" "$proj" --stop; then
+    did "run-bridge 停止"
+  else
+    miss "run-bridge 停止に失敗（常駐が残る）— 上の _STOP_FAILED を見て手で止める"
+  fi
+else
+  skip "run-bridge（起動記録なし）"
+fi
+
+# run の close は成果が既定branchへ着地した証拠ではない。bridgeを止めてから、`run list`が挙げる
+# **active run** の landing report を読む。**旧版は spool の work order から run を逆算していた**が、
+# 配車が無くなって order が出ないので、装置に直接聞く形へ変えた（改・裁定1）。
+# **`run list` は closed run を返さない**（実装で除外される）ので、ここで見えるのは未 close の分だけ
+# である。closed 済み run の着地は `run close` の返値が landing report を含むので**その時点で読む**。
+# `.lattice/runs` を直に走査して補わない——consumer contract 違反で、旧 orders の保持は配車の復活になる。
+# 全 closed の再列挙が要るなら Lattice 側の公開面を足す別課題であって、ここで迂回実装しない。
+# 未着地・未pushは判断結果なので `lattice run landing` 自体はexit 0を返し、teardownも止めない。
+# **CLI の出力と exit code を先に単独で取る。** `cmd | python3` にすると pipeline の rc は
+# python のものになり、**CLI が rc≠0 で typed error JSON を返しても parser が `active_runs` 欠落を
+# 空配列として飲んで「active run なし」に化ける**（suzune の監査で実測・room [948]）。
+# 沈黙する偽 green は、着地の見落としをそのまま「確認済み」に見せる——いちばん避けたい壊れ方である。
+lattice_cli="${LATTICE_CLI:-$(command -v lattice 2>/dev/null || true)}"
+run_list_json=""
+run_list_rc=0
+if [ -n "$lattice_cli" ] && [ -x "$lattice_cli" ]; then
+  run_list_json=$(cd "$proj" && "$lattice_cli" run list --json 2>&1) || run_list_rc=$?
+fi
+if [ -z "$lattice_cli" ] || [ ! -x "$lattice_cli" ]; then
+  miss "run landing — LATTICE_CLIが実行可能fileを指さず、着地状態を読めない: ${lattice_cli:-未設定}"
+elif [ "$run_list_rc" != "0" ]; then
+  miss "run landing — run list が rc=${run_list_rc} で失敗: $(printf '%s' "$run_list_json" | head -c 200)"
+elif ! run_refs=$(printf '%s' "$run_list_json" | python3 -c '
+import json, sys
+
+# schema と active_runs を要求する。**typed error JSON も別 schema も黙って空扱いにしない。**
+# f-string の中でバックスラッシュ付きの引用符を使わない——shell の single-quoted `python3 -c`
+# へ `\"` がそのまま届き、**Python が SyntaxError で落ちる**（kanade の監査で実測・room [957]）。
+# 値は先に変数へ取り出して、f-string には名前だけを置く。
+raw = sys.stdin.read()
+try:
+    listed = json.loads(raw)
+except json.JSONDecodeError as error:
+    sys.exit(f"run list がJSONでない: {error}")
+if not isinstance(listed, dict):
+    sys.exit(f"run list がobjectでない: {type(listed).__name__}")
+actual_schema = listed.get("schema")
+if actual_schema != "lattice.run_list.v1":
+    sys.exit(f"run list の schema が違う: {actual_schema}")
+active = listed.get("active_runs")
+if not isinstance(active, list):
+    sys.exit(f"run list に active_runs 配列が無い: {type(active).__name__}")
+# **entry を filter で捨てない。** 1件でも読めない entry があれば、active な run を落として
+# 「なし」に見せることになる（suzune の監査で実測・room [956]）。全件を要求して、
+# 満たさなければ非ゼロで落ちる。外部 versioned JSON の境界で fallback しない。
+refs = []
+for index, entry in enumerate(active):
+    if not isinstance(entry, dict):
+        sys.exit(f"active_runs[{index}] がobjectでない: {type(entry).__name__}")
+    ref = entry.get("run_ref")
+    if not isinstance(ref, str) or not ref:
+        sys.exit(f"active_runs[{index}] に run_ref 文字列が無い")
+    refs.append(ref)
+print("\n".join(sorted(refs)))
+' 2>&1); then
+  miss "run landing — run listを解釈できない: $(printf '%s' "$run_refs" | head -c 200)"
+elif [ -z "$run_refs" ]; then
+  skip "run landing（active runなし）"
+else
+  while IFS= read -r run_ref; do
+    [ -n "$run_ref" ] || continue
+    if landing_report=$(cd "$proj" && "$lattice_cli" run landing --run "$run_ref" 2>&1); then
+      unlanded_count=""
+      if unlanded_count=$(printf '%s' "$landing_report" | python3 -c '
+import json, sys
+
+raw = sys.stdin.read()
+try:
+    report = json.loads(raw)
+except json.JSONDecodeError as error:
+    sys.exit(f"run landing がJSONでない: {error}")
+if not isinstance(report, dict):
+    sys.exit(f"run landing がobjectでない: {type(report).__name__}")
+actual_schema = report.get("schema")
+if actual_schema != "lattice.run_landing_report.v1":
+    sys.exit(f"run landing の schema が違う: {actual_schema}")
+receipts = report.get("accepted_receipts")
+if not isinstance(receipts, list):
+    sys.exit("run landing に accepted_receipts 配列が無い")
+for index, receipt in enumerate(receipts):
+    if not isinstance(receipt, dict) or not isinstance(receipt.get("landed"), bool):
+        sys.exit(f"accepted_receipts[{index}] の landed が真偽値でない")
+print(sum(1 for receipt in receipts if not receipt["landed"]))
+' 2>&1); then
+        did "run landing ${landing_report}"
+        if [ "$unlanded_count" != 0 ]; then
+          echo "未着地 ${unlanded_count}本: run ${run_ref} の受理済み成果が canonical default branch へ着地していない" >&2
+        fi
+      else
+        miss "run landing $run_ref — reportを解釈できない: ${unlanded_count}"
+      fi
+    else
+      miss "run landing $run_ref — ${landing_report}"
+    fi
+  done <<EOF
+$run_refs
+EOF
+fi
+
+# setupが新しく作ったhost固有runtimeだけを撤去する。既存runtimeは他adapterや進行中runの
+# 所有物を含み得るので触らない。runtimeを先に消してからexcludeを戻し、teardown後に
+# untracked stateが露出する順序逆転を防ぐ。
+# **配車を撤去した後の setup は `.lattice/runtime/` を作らない**ので、新しい卓ではここは常に
+# skip になる。判定を残してあるのは、**配車時代に立てた卓を畳む時**にだけ効くからである
+# （その卓の setup-state は `work_order_adapter: true` を持つ）。
+if yes_ "$work_order_adapter" && ! yes_ "$runtime_pre"; then
+  rm -rf "$proj/.lattice/runtime"
+  did ".lattice/runtime/ 撤去（配車時代の setup が新規作成したhost固有state）"
+elif yes_ "$work_order_adapter"; then
+  skip ".lattice/runtime/（setup 以前から存在）"
+else
+  skip ".lattice/runtime/（setup は runtime state を作っていない）"
+fi
+
 # 外部ペイン（決定53）。`.team/` を消す前に戻す——退避先が `.team/` の中にある
 ext=$(python3 -c "import json;print(json.load(open('$state')).get('external_pane', False))")
 pj_pre=$(python3 -c "import json;print(json.load(open('$state')).get('project_json_preexisting', False))")
@@ -121,7 +251,7 @@ if [ "$mode" = archive ]; then
     python3 -c "
 import json,sys,urllib.request
 req=urllib.request.Request('$url/api/$room/messages', method='POST',
-  data=json.dumps({'from':'system','to':'all','body':'''$body'''}).encode(),
+  data=json.dumps({'from':'system','to':'system','body':'''$body'''}).encode(),
   headers={'Content-Type':'application/json','X-Peertable-Token':'$PEERTABLE_POST_TOKEN'})
 urllib.request.urlopen(req, timeout=10).read()
 " 2>/dev/null && did "解散の区切りを履歴へ" || skip "解散の区切り（投稿できず・撤去は続行）"
@@ -179,6 +309,14 @@ else
   skip "exclude の /.mcp.json（setup が足していない）"
 fi
 
+if yes_ "$added_runtime_ex"; then
+  grep -vx '/\.lattice/runtime/' "$proj/.git/info/exclude" > "$proj/.git/info/exclude.tmp" || true
+  mv "$proj/.git/info/exclude.tmp" "$proj/.git/info/exclude"
+  did "exclude から /.lattice/runtime/ を撤去"
+else
+  skip "exclude の /.lattice/runtime/（setup が足していない）"
+fi
+
 if yes_ "$added"; then
   grep -vx '\.team/' "$proj/.git/info/exclude" > "$proj/.git/info/exclude.tmp" || true
   mv "$proj/.git/info/exclude.tmp" "$proj/.git/info/exclude"

package/skill/scripts/wakeup-bridge.mjs

@@ -1,5 +1,5 @@
 #!/usr/bin/env node
-// Codex 席の起床ブリッジ。room の SSE を購読し、その席宛（または全員宛）の新着が来たら
+// Codex 席の起床ブリッジ。room の SSE を購読し、明示的にその席宛の新着が来たら
 // tmux の席へ素送信して起こす。Claude 席は channels が同じ役をするので対象外。
 //
 // usage: wakeup-bridge.mjs <project_dir> <seat> [seat...]     起動（前面。nohup で常駐させる）
@@ -66,9 +66,10 @@ const pending = new Map(seats.map(s => [s, []]))
 
 async function wake(seat, msgs) {
   const last = msgs[msgs.length - 1]
+  const audience = Array.isArray(last.to_names) ? last.to_names.join(', ') : last.to
   const text = msgs.length === 1
-    ? `room に新着あり（${last.from} → ${last.to}）。read_unread で読むこと。`
-    : `room に新着 ${msgs.length} 件（最新: ${last.from} → ${last.to}）。read_unread で読むこと。`
+    ? `room に新着あり（${last.from} → ${audience}）。read_unread で読むこと。`
+    : `room に新着 ${msgs.length} 件（最新: ${last.from} → ${audience}）。read_unread で読むこと。`
   try {
     await run('tmux', ['-S', sock, 'send-keys', '-t', `peer-${seat}`, text])
     await sleep(400)
@@ -91,7 +92,7 @@ setInterval(async () => {
 function dispatch(msg) {
   for (const seat of seats) {
     if (msg.from === seat) continue
-    if (msg.to !== 'all' && msg.to !== seat) continue
+    if (Array.isArray(msg.to_names) ? !msg.to_names.includes(seat) : msg.to !== seat) continue
     pending.get(seat).push(msg)
   }
 }

package/skill/templates/charter.md

@@ -1,13 +1,13 @@
 # チーム憲章
 
-これはチーム作業である。自分の claim したタスクの完了はミッションの完了ではない。全タスク完了までチームは解散しない。
+これはチーム作業である。自分が引き受けたタスクの完了はミッションの完了ではない。全タスク完了までチームは解散しない。
 
-1. 拘束力を持つのは**工程正本への記録**と room での決定だけ（工程正本＝Lattice 併用モードなら Lattice の todo 記録、単独円卓モードなら room の宣言そのもの）。DM（個別宛）で決まったことは決定ではない。部位を跨ぐ合意・設計判断は必ず room 全員宛で行う
-2. 進捗は room に一行で報告する: claim 時・join 時・完了時・詰まり自覚時・方針変更時。task 外でも成果物になる作業（実測・検証・CI）は着手前に一言。仲間を五里霧中に置かない
-3. claim の手順: room へ「[claim] <タスク>」を全員宛で投稿し、直後に read_unread で直前ログを確認する（タスクの呼び名は Lattice 併用モードなら task_id、単独円卓モードなら `.team/tasks.md` の議題名）。同じタスクへの先行 claim があれば取り下げるか「[join] <タスク>」へ切り替える
-4. 分からないことは room で聞く。台帳はない。自分の変更が他の部位に影響するなら、聞かれる前に room 全員宛で通知する
+1. 拘束力を持つのは**工程正本への記録**と room ログに残った決定だけ（工程正本＝Lattice 併用モードなら Lattice の todo 記録、単独円卓モードなら room の宣言そのもの）。宛先は影響を受けるメンバーだけを明示する。room ログは全員がpullで読めるので、broadcastによる周知を決定の成立条件にしない
+2. 進捗は room に一行で報告する: claim・join、完了時・詰まり自覚時・方針変更時。task 外でも成果物になる作業（実測・検証・CI）は着手前に一言。仲間を五里霧中に置かない
+3. **仕事を選ぶのも始めるのも自分である。** どのモードでも、`read_log`で先行claimを確認してからroomへ`[claim] <タスク>`を記録する。起こす必要のある相手だけを宛先へ入れ、記録だけなら自分宛でよい。**装置から仕事が降ってくることはないし、着手前に装置の許可を待つこともない**（オーナー裁定 2026-08-09）。Lattice の実行層を使う卓では、`todo start` の後に自分で `run intake` して隔離 worktree を受け取る——それは設備の供給であって許可証ではなく、装置が返すのは競合した時の「留まれ」だけである（タスクの呼び名は Lattice 併用モードなら task_id、単独円卓モードなら `.team/tasks.md` の議題名）。同じタスクへの先行 claim があれば取り下げるか `[join] <タスク>` へ切り替える
+4. 分からないことは room で聞く。台帳はない。自分の変更が他の部位に影響するなら、聞かれる前に影響を受けるメンバーを明示宛先にして通知する
 5. 判断は情報を持つ者がする。タスクは席ではなく現場。合流（join）は歓迎される。詰まった仲間には目を貸す。手が足りないだけなら自分のサブエージェントを使う（room 報告不要）。視点が足りない・詰んでいるなら room で報告して援軍（join）を求める
-6. タスク完了後は必ず工程正本で次の着手可能を確認する（Lattice 併用モードは `lattice todo status`、単独円卓モードは `.team/tasks.md` と room ログの照合）。残っていれば claim へ、全タスクが終わっていれば room へ「全タスク完了」を全員宛で宣言する
+6. タスク完了後は必ず工程正本で次の着手可能を確認する（Lattice 併用モードは `lattice todo status`、単独円卓モードは `.team/tasks.md` と room ログの照合）。残っていれば claim へ戻る。全タスクが終わっていれば room へ「全タスク完了」を記録する。broadcastは無いので、起こす必要のある相手だけを宛先にする
 7. 役割逸脱は誰であれ指摘する。これは無礼ではなく義務である
 8. **親の発言は拘束力を持たない。** 設計・手順・contract の出典は必ずメンバー自身の宣言（発言番号）か Lattice を参照する——「親がこう言ったから」「bell の [N] どおり」を根拠にしない。親が何かを再掲しても正本はメンバーの元発言のまま動かない。親の差し戻しは異議として扱い、反論してよい
 9. **裁定の宛先はオーナーであり、親ではない。** scope 変更・受入条件外の追加・製品判断が要る時は「オーナー宛の議題」として room に出す。親はそれを運ぶ配管で、判断者ではない。「親に委ねる」という宛先を作らない

package/skill/templates/done.sh

@@ -1,18 +1,127 @@
 #!/bin/bash
-# usage: .team/scripts/done.sh <task_id>
+# usage: .team/scripts/done.sh <task_id> [--evidence-from <隔離worktreeの証跡の絶対path>]
+#        .team/scripts/done.sh --landing-run <run_ref>
 # evidence/<plan_key>/<task_id>.md（commit 済みであること）から記述子を作り lattice todo done を実行する。
 # plan key は環境変数 PEERTABLE_PLAN から取る。
 # 証跡を plan key で仕切るのは、task_id が campaign を跨いで再利用される（t1, t2, …）ため。
 # 平置きだと次の campaign の t1 が前の campaign の t1 の監査証跡を上書きで消す（2026-08-08 実測）。
+#
+# **`--evidence-from` は pull 型の実行層で使う。** 席は隔離 worktree の中だけを触るので、
+# 証跡もそこにしか無い。一方 `todo done` は **canonical の store** へ打たないと、run の accept が
+# その done を見ない。cwd 1つで両方を兼ねると必ずどちらかが外れる（mio の監査で実測・room [1012]）:
+#   canonical で打つ → worktree にしか無い証跡を読めない
+#   worktree で打つ → worktree 側の `.lattice/todo` を書き、canonical の accept が見ない
+# なので **証跡の blob/digest は worktree の file から、`todo done` は canonical の cwd/store へ**、と
+# 明示的に分ける。**canonical へ証跡を別書きして通すのは禁止**——「worktree の中だけ」の契約を
+# 破りながら green にする偽装になる。
+#
+# 成立する理由: linked worktree は canonical と object DB を共有するので、canonical の cwd から
+# `git hash-object -w <worktree の絶対path>` で書いた blob はそのまま canonical で読める。
+# evidence verifier は descriptor.path の working tree 実在を見ず、object DB の blob と digest、
+# 読み出し時の `rev-list --all` 到達性を見る（mio が実 repo で確認・room [1016]）。
 set -e
+# `todo done` と run receipt の accept は別の正本を持つ。landing-only mode は accept の直後に
+# 同じ run ref を受け取り、受理済み receipt の着地だけを表示する。accept 自体はここへ吸収しない。
+if [ "${1:-}" = "--landing-run" ]; then
+  [ "$#" = 2 ] || {
+    echo "ERROR: --landing-run には run ref を1つ渡すこと（usage: done.sh --landing-run <run_ref>）" >&2
+    exit 1
+  }
+  run_ref="$2"
+  [ -n "$run_ref" ] || { echo "ERROR: --landing-run には run ref を渡すこと" >&2; exit 1; }
+  lattice_cli="${LATTICE_CLI:-$(command -v lattice 2>/dev/null || true)}"
+  if [ -z "$lattice_cli" ] || [ ! -x "$lattice_cli" ]; then
+    echo "着地状態を読めない: LATTICE_CLIが実行可能fileを指さない（${lattice_cli:-未設定}）" >&2
+    exit 0
+  fi
+  landing_report=""
+  landing_rc=0
+  landing_report=$("$lattice_cli" run landing --run "$run_ref" 2>&1) || landing_rc=$?
+  if [ "$landing_rc" != 0 ]; then
+    echo "着地状態を読めない: run landing が rc=${landing_rc} で失敗: ${landing_report}" >&2
+    exit 0
+  fi
+  unlanded_count=""
+  if ! unlanded_count=$(printf '%s' "$landing_report" | python3 -c '
+import json, sys
+raw = sys.stdin.read()
+try:
+    report = json.loads(raw)
+except json.JSONDecodeError as error:
+    sys.exit(f"run landing がJSONでない: {error}")
+if not isinstance(report, dict):
+    sys.exit(f"run landing がobjectでない: {type(report).__name__}")
+actual_schema = report.get("schema")
+if actual_schema != "lattice.run_landing_report.v1":
+    sys.exit(f"run landing の schema が違う: {actual_schema}")
+receipts = report.get("accepted_receipts")
+if not isinstance(receipts, list):
+    sys.exit("run landing に accepted_receipts 配列が無い")
+for index, receipt in enumerate(receipts):
+    if not isinstance(receipt, dict) or not isinstance(receipt.get("landed"), bool):
+        sys.exit(f"accepted_receipts[{index}] の landed が真偽値でない")
+print(sum(1 for receipt in receipts if not receipt["landed"]))
+' 2>&1); then
+    echo "着地状態を読めない: ${unlanded_count}" >&2
+    exit 0
+  fi
+  if [ "$unlanded_count" != 0 ]; then
+    echo "未着地 ${unlanded_count}本: run ${run_ref} の受理済み成果が canonical default branch へ着地していない" >&2
+  fi
+  exit 0
+fi
+# **引数の形を exact に要求する。** 緩く受けると、`--evidnce-from` のような typo が
+# 「option 無し」として通り、**canonical 側の同名証跡を黙って hash する**——別 file を
+# 受理させておいて green に見える（kanade の監査で実測・room [1029]）。
+# 1引数（既定経路）か、3引数（`<task> --evidence-from <絶対path>`）だけを許す。
+case $# in
+  1) ;;
+  3) [ "$2" = "--evidence-from" ] || {
+       echo "ERROR: 未知のoption: $2（使えるのは --evidence-from だけ）" >&2; exit 1; } ;;
+  *) echo "ERROR: 引数の形が違う（usage: done.sh <task_id> [--evidence-from <絶対path>] | done.sh --landing-run <run_ref>）" >&2; exit 1 ;;
+esac
 t="$1"
+[ -n "$t" ] || { echo "ERROR: task_id が空" >&2; exit 1; }
+evidence_from=""
+if [ "$#" = 3 ]; then
+  evidence_from="$3"
+  [ -n "$evidence_from" ] || { echo "ERROR: --evidence-from には証跡fileの絶対pathを渡すこと" >&2; exit 1; }
+  case "$evidence_from" in
+    /*) ;;
+    *) echo "ERROR: --evidence-from は絶対pathでなければならない: $evidence_from" >&2; exit 1 ;;
+  esac
+  # **黙って canonical の証跡へ落ちない。** 落ちると「worktree の成果を done した」と見えるのに
+  # 実際は別の file を hash することになり、受理された内容と成果物が食い違う
+  [ -f "$evidence_from" ] || { echo "ERROR: --evidence-from の証跡が存在しない: $evidence_from" >&2; exit 1; }
+  # **object DB を共有していない木の file は hash-object できても意味が無い。** 別 repo の
+  # 証跡を渡された時に「書けたから成立した」と読まないよう、common git dir の一致を要求する
+  # （kanade の設計指摘・room [1018]）。linked worktree なら両者は同じ絶対 path を指す。
+  here_common=$(git rev-parse --path-format=absolute --git-common-dir)
+  from_common=$(git -C "$(dirname "$evidence_from")" rev-parse --path-format=absolute --git-common-dir 2>/dev/null || true)
+  [ -n "$from_common" ] && [ "$here_common" = "$from_common" ] || {
+    echo "ERROR: --evidence-from が同じrepoのworktreeでない（object DBを共有していない）" >&2
+    echo "  canonical: ${here_common}" >&2
+    echo "  evidence : ${from_common:-（git worktree ではない）}" >&2
+    exit 1
+  }
+fi
+
+# descriptor の path は repo 内の相対（repo 外の絶対 path は --evidence が INVALID_ARGUMENTS で弾く）。
+# worktree でも canonical でも同じ相対 path に置く規約なので、この値は両者で一致する。
 f="evidence/$PEERTABLE_PLAN/$t.md"
-oid=$(git hash-object -w "$f")
-digest=$(shasum -a 256 "$f" | cut -d' ' -f1)
-# 記述子は repo 内の相対パスに置く（repo 外の絶対パスは --evidence が INVALID_ARGUMENTS で弾く）
+src="${evidence_from:-$f}"
+[ -f "$src" ] || { echo "ERROR: 証跡が見つからない: $src" >&2; exit 1; }
+oid=$(git hash-object -w "$src")
+digest=$(shasum -a 256 "$src" | cut -d' ' -f1)
 tmp=".ev-$t.json"
+# **失敗しても記述子を残さない。** `set -e` の下で `todo done` が落ちると、後段の `rm` へ
+# 到達せず repo に `.ev-<task>.json` が残る（自分の負側 test で実測。TASK_NOT_FOUND の後に
+# untracked file が残った）。次に `git status` を撮った人が、それを誰かの作業中変更と読む。
+trap 'rm -f "$tmp"' EXIT
 printf '{"evidence_id":"ev-%s","repo_id":"self","path":"%s","git_blob_oid":"%s","content_digest":"%s","media_type":"text/markdown","anchor_digest":null}\n' "$t" "$f" "$oid" "$digest" > "$tmp"
-lattice todo done --plan "$PEERTABLE_PLAN" --task "$t" --evidence "$tmp"
+# **PATH の `lattice` へ黙って逸れない。** setup が解決した CLI を席 env の `LATTICE_CLI` で受け、
+# 無い時だけ PATH を使う（bridge の `--lattice` / teardown の `LATTICE_CLI` と同じ選択規律）。
+"${LATTICE_CLI:-lattice}" todo done --plan "$PEERTABLE_PLAN" --task "$t" --evidence "$tmp"
 rm -f "$tmp"
 
 # 完了の定義は「repo 内の変更は push まで」。done を打つ瞬間はそれが成り立っていなければ

package/skill/templates/member-standalone.md

@@ -7,14 +7,18 @@
 ## 作業ループ
 
 1. `.team/tasks.md` で議題を見る。`read_log` で既存の claim と完了報告を照合し、まだ誰も持っていないものを選ぶ
-2. 憲章の手順で room に `[claim] <タスク>` を全員宛で宣言し、直後に `read_unread` で先行 claim が無いか確かめる。**`[claim]` は独立した1発言で出す**——完了報告や他タスクの話と同じ発言に畳まない。宣言としては有効でも、後から機械的に追えなくなり、監査が「宣言が無い」と誤読する（2026-08-08 実測）。単独モードでは room ログが唯一の正本なので、より効く
-3. 実装する。インターフェースなど他タスクに影響する決定は、決めた時点で room 全員宛に一行で共有する
+2. 憲章の手順で`read_log`から先行claimを確認し、roomに`[claim] <タスク>`を記録する。起こす必要のある相手だけを宛先へ入れ、記録だけなら自分宛でよい。**`[claim]` は独立した1発言で出す**——完了報告や他タスクの話と同じ発言に畳まない。宣言としては有効でも、後から機械的に追えなくなり、監査が「宣言が無い」と誤読する（2026-08-08 実測）。単独モードでは room ログが唯一の正本なので、より効く
+3. 実装する。インターフェースなど他タスクに影響する決定は、影響を受けるメンバーを明示宛先にして一行で共有する
 4. 完了手順:
    - 何を作り、どう確認したかを自分で確かめる（テスト・実行・実測。「たぶん動く」で閉じない）
    - 変更ファイルを `git add` して commit する（メッセージは日本語一行。対象ファイルを明示して他人の作業中変更を巻き込まない）
-5. room へ `[done] <タスク>` を全員宛で報告する（何を作り、どう確認したかを一行で添える）。**この報告が完了の唯一の記録である**——書かなければ完了していない
+5. room へ `[done] <タスク>` を記録する（何を作り、どう確認したかを一行で添える）。監査を頼む相手だけを宛先にし、相手が未定なら自分宛でよい。**この報告が完了の唯一の記録である**——書かなければ完了していない
 6. 1 へ戻る
 
+## effortを変更してほしい時
+
+作業を安全に中断できる状態にしてから、親だけへ`[effort変更依頼] <level>`を明示DMする。親が変更すると席は再起動し、会話contextは引き継がれない。再起動後は下の再着任手順でrole・`.team/tasks.md`・roomログから現在地を取り直す。自分でCLI設定を変えたり、broadcastで依頼したりしない。
+
 ## 再着任（context が要約されたら）
 
 自分の context が要約された（＝会話の前半が手元に無い）と気づいたら、実装を続ける前に `.team/roles/member.md` と `.team/CLAUDE.md` を読み直して着任し直し、room へ `[再着任] <名前>` を一行投稿する。進行中 claim の状態は自分の記憶でなく**工程正本で取り直す**——この卓の工程正本は room の宣言だけなので、`read_log` で自分の claim・他人の claim・完了報告を全部照合する（機械に問い合わせる先は無い）。記憶と正本が食い違ったら、正本を正として食い違いを room で報告する。