peertable 0.3.4 → 0.3.5

package/skill/scripts/seat-status-bridge.mjs

@@ -20,6 +20,8 @@ import { execFileSync } from 'node:child_process'
 import { existsSync, readFileSync, writeFileSync, unlinkSync } from 'node:fs'
 import { join } from 'node:path'
 
+import { parsePaneTokenHint, supportsMemberObservation } from './seat-usage.mjs'
+
 const args = process.argv.slice(2)
 const proj = args[0]
 if (!proj) { console.error('usage: seat-status-bridge.mjs <project_dir> [--interval <sec>] [--once] | --stop'); process.exit(1) }
@@ -77,21 +79,35 @@ async function seats() {
   return members.map(m => m.name)
 }
 
-function readStatus(name) {
+function readSeat(name, previous, observedAt) {
   const target = `peer-${name}`
   const dead = tmux('list-panes', '-t', target, '-F', '#{pane_dead}')
-  if (dead === null) return 'dead'            // セッションが無い
-  if (dead.trim().split('\n')[0] === '1') return 'dead'
+  if (dead === null) return { status: 'dead', busySince: null, paneTokenHint: null }
+  if (dead.trim().split('\n')[0] === '1') {
+    return { status: 'dead', busySince: null, paneTokenHint: null }
+  }
   const pane = tmux('capture-pane', '-t', target, '-p')
-  if (pane === null) return 'dead'
-  return pane.split('\n').slice(-14).join('\n').includes('esc to interrupt') ? 'busy' : 'idle'
+  if (pane === null) return { status: 'dead', busySince: null, paneTokenHint: null }
+  const tail = pane.split('\n').slice(-14).join('\n')
+  const status = tail.includes('esc to interrupt') ? 'busy' : 'idle'
+  const busySince = status === 'busy'
+    ? (previous?.status === 'busy' && previous.busySince ? previous.busySince : observedAt)
+    : null
+  return { status, busySince, paneTokenHint: parsePaneTokenHint(tail) }
 }
 
-async function send(name, status) {
+async function send(name, observation, observedAt) {
   const res = await fetch(`${url}/api/${encodeURIComponent(room)}/members`, {
     method: 'POST',
     headers: { 'Content-Type': 'application/json', ...(token ? { 'X-Peertable-Token': token } : {}) },
-    body: JSON.stringify({ name, status, status_at: new Date().toISOString() }),
+    body: JSON.stringify({
+      name,
+      status: observation.status,
+      status_at: observedAt,
+      busy_since: observation.busySince,
+      pane_token_hint: observation.paneTokenHint,
+      usage_source: 'pane_status',
+    }),
   })
   if (!res.ok) throw new Error(`HTTP ${res.status}`)
 }
@@ -100,12 +116,12 @@ async function send(name, status) {
 // 読み返して実際に載ったかを見る。載らない版なら、そう言って**黙って成功したふりをしない**
 async function serverKeepsStatus() {
   const res = await fetch(`${url}/api/${encodeURIComponent(room)}/members`)
-  const { members } = await res.json()
-  return members.some(m => 'status' in m)
+  return supportsMemberObservation(await res.json())
 }
 
 const last = new Map()   // name -> { status, at }
 let supported = null     // server が status を保持する版か（未判定は null）
+const tokenBucket = value => value === null ? null : Math.floor(value / 1_000)
 
 async function tick() {
   let names
@@ -121,18 +137,22 @@ async function tick() {
   }
   if (!supported) { console.error(`seat-status-bridge: ${names.length} 席を見たが、server が未対応なので送っていない`); return }
   const now = Date.now()
+  const observedAt = new Date(now).toISOString()
   let sent = 0
   for (const name of names) {
-    const status = readStatus(name)
     const prev = last.get(name)
-    const changed = !prev || prev.status !== status
+    const observation = readSeat(name, prev, observedAt)
+    const changed = !prev || prev.status !== observation.status
+      || prev.busySince !== observation.busySince
+      // token表示は実行中に細かく増える。1k未満の差で8秒ごとにPOSTせず、表示精度に合う粒度で送る。
+      || tokenBucket(prev.paneTokenHint) !== tokenBucket(observation.paneTokenHint)
     const stale = prev && now - prev.at >= HEARTBEAT_MS
     if (!changed && !stale) continue
     try {
-      await send(name, status)
-      last.set(name, { status, at: now })
+      await send(name, observation, observedAt)
+      last.set(name, { ...observation, at: now })
       sent++
-      if (changed) console.error(`seat-status-bridge: ${name} → ${status}${prev ? `（${prev.status} から）` : ''}`)
+      if (changed) console.error(`seat-status-bridge: ${name} → ${observation.status}${prev ? `（${prev.status} から）` : ''}`)
     } catch (e) {
       console.error(`seat-status-bridge: ${name} の送信に失敗: ${e.message}`)
     }

package/skill/scripts/seat-usage.mjs

@@ -0,0 +1,26 @@
+const TOKEN_HINT = /[↓↑]\s*([0-9]+(?:\.[0-9]+)?)\s*([kKmM]?)\s*tokens\b/gu
+
+const TOKEN_MULTIPLIER = Object.freeze({
+  '': 1,
+  k: 1_000,
+  m: 1_000_000,
+})
+
+export function supportsMemberObservation(payload) {
+  return payload?.capabilities?.member_observation_v1 === true
+}
+
+/**
+ * paneのstatus行が公開しているtoken値だけを読む。
+ * vendor固有のログや課金単価は推測せず、表示が無い席はnullのままにする。
+ */
+export function parsePaneTokenHint(pane) {
+  if (typeof pane !== 'string') return null
+  let latest = null
+  for (const match of pane.matchAll(TOKEN_HINT)) {
+    const multiplier = TOKEN_MULTIPLIER[match[2].toLowerCase()]
+    const value = Math.round(Number(match[1]) * multiplier)
+    if (Number.isSafeInteger(value) && value >= 0) latest = value
+  }
+  return latest
+}

package/skill/scripts/setup.sh

@@ -51,27 +51,17 @@ else
   mode=lattice
 fi
 
-# Lattice 併用モードは、登録に使う公開CLIと同梱work-order binaryを、projectへ
-# 何か置く前に確定する。通常はglobal installされた lattice の隣を使う。
-# release前のsource treeを実測する時だけ、2つのenvで同じtreeのbinを明示できる。
+# Lattice 併用モードは、公開CLIをprojectへ何か置く前に確定する。通常はglobal installされた
+# lattice を使い、release前のsource treeを実測する時だけ `LATTICE_CLI` で同じtreeのbinを明示する。
+# **work-order adapter binary はもう要らない**（配車を撤去したので登録しない）。ここで見るのは
+# CLI の存在だけで、席が `todo status` / `run intake` を叩ける前提の確認である。
 lattice_cli=""
-work_order_binary=""
-node_binary=""
 if [ "$mode" = "lattice" ]; then
   lattice_cli="${LATTICE_CLI:-$(command -v lattice 2>/dev/null || true)}"
   [ -n "$lattice_cli" ] || { echo "ERROR: lattice CLI が見つからない" >&2; exit 1; }
   [ -x "$lattice_cli" ] || { echo "ERROR: lattice CLI が実行可能fileでない: $lattice_cli" >&2; exit 1; }
   lattice_cli=$(node -e 'process.stdout.write(require("node:fs").realpathSync(process.argv[1]))' "$lattice_cli")
 
-  work_order_binary="${LATTICE_WORK_ORDER_ADAPTER_BINARY:-$(dirname "$lattice_cli")/lattice-work-order-adapter.mjs}"
-  [ -f "$work_order_binary" ] && [ -x "$work_order_binary" ] || {
-    echo "ERROR: Lattice work-order adapter binary が見つからないか実行不能: $work_order_binary" >&2
-    exit 1
-  }
-  work_order_binary=$(node -e 'process.stdout.write(require("node:fs").realpathSync(process.argv[1]))' "$work_order_binary")
-  node_binary=$(node -e 'process.stdout.write(require("node:fs").realpathSync(process.execPath))')
-  [ -x "$node_binary" ] || { echo "ERROR: Node executable が実行可能fileでない: $node_binary" >&2; exit 1; }
-
   # config_refはgit root相対の公開契約。subdirectoryをprojectとして受けると別の
   # `.lattice/` を作ってしまうので、黙って親repoへ登録せずtypedに止める。
   project_root=$(node -e 'process.stdout.write(require("node:fs").realpathSync(process.argv[1]))' "$proj")
@@ -138,54 +128,14 @@ if [ "$mode" = "lattice" ] && [ -d "$proj/.git" ] \
   added_runtime_exclude=true
 fi
 
-# managed run の仕事口をLattice runtime stateとして用意する。configを`.team/`
-# に置くとarchive teardownでregistryだけが残って壊れるため、registryと同じ
-# `.lattice/runtime/`の寿命へ揃える。席はこのspoolへ直接触れない。
+# **機械配車の口はもう作らない。** 2026-08-09 のオーナー裁定（改・裁定1）で、Lattice が席へ
+# 仕事を配る向きは撤回された。席は自分で `todo start` してから `run intake` するので、
+# work-order adapter の登録も spool（orders/reports）も要らない。**setup がここで adapter を
+# 必須化していると、adapter binary が無い環境で新しい卓が立たなくなる**（配車をしないのに）。
+# 既存 project に前の卓が作った registry が残っていても触らない——他 adapter や進行中 run の
+# 所有物を含みうるので、setup が消す対象ではない。
 work_order_adapter=false
 work_order_spool_ref=""
-if [ "$mode" = "lattice" ]; then
-  work_order_root="$proj/.lattice/runtime/work-order-adapter"
-  work_order_spool="$work_order_root/spool"
-  work_order_config="$work_order_root/config.json"
-  work_order_registration="$tdir/work-order-adapter-registration.json"
-  work_order_config_ref=".lattice/runtime/work-order-adapter/config.json"
-  work_order_spool_ref=".lattice/runtime/work-order-adapter/spool"
-
-  mkdir -p "$work_order_spool/orders" "$work_order_spool/reports"
-  chmod 700 "$work_order_root" "$work_order_spool" "$work_order_spool/orders" "$work_order_spool/reports"
-  work_order_spool=$(node -e 'process.stdout.write(require("node:fs").realpathSync(process.argv[1]))' "$work_order_spool")
-
-  node -e '
-    const { writeFileSync } = require("node:fs");
-    const [target, spool] = process.argv.slice(1);
-    writeFileSync(target, `${JSON.stringify({
-      schema: "lattice.work_order_adapter_config.v1",
-      spool_dir: spool,
-    })}\n`, { mode: 0o600 });
-  ' "$work_order_config" "$work_order_spool"
-  chmod 600 "$work_order_config"
-  node -e '
-    const { writeFileSync } = require("node:fs");
-    const [target, binary, script, configRef] = process.argv.slice(1);
-    writeFileSync(target, `${JSON.stringify({
-      schema: "lattice.runtime_adapter_registration_input.v2",
-      adapter_kind: "work-order",
-      launch_kind: "host_binary",
-      binary_path: binary,
-      argv: [script],
-      config_ref: configRef,
-      host_driven_epoch: true,
-    })}\n`, { mode: 0o600 });
-  ' "$work_order_registration" "$node_binary" "$work_order_binary" "$work_order_config_ref"
-  chmod 600 "$work_order_registration"
-
-  (
-    cd "$proj"
-    "$lattice_cli" run adapter register --input "$work_order_registration"
-  )
-  work_order_adapter=true
-  echo "work-order adapter: binary=$node_binary argv=$work_order_binary config=$work_order_config_ref spool=$work_order_spool_ref" >&2
-fi
 
 # Lattice 併用モードだけ、工程表の右ペインへ円卓を差す（決定53・明示的コネクタ）。
 # 公開URL基底は `PEERTABLE_PUBLIC_URL`（クオ環境: https://peertable.kitepon.dev）。
@@ -207,6 +157,9 @@ if [ ${#phases[@]} -gt 0 ]; then
   phases_json="[${phases_json%,}]"
 fi
 
-printf '{"room":"%s","server_url":"%s","public_url":"%s","mode":"%s","plan_key":"%s","phases":%s,"added_exclude":%s,"lattice_preexisting":%s,"runtime_preexisting":%s,"added_runtime_exclude":%s,"added_root_mcp":%s,"added_mcp_exclude":%s,"external_pane":%s,"project_json_preexisting":%s,"work_order_adapter":%s,"work_order_spool_ref":"%s"}\n' \
-  "$room" "$url" "$public_url" "$mode" "$plan" "$phases_json" "$added_exclude" "$lattice_preexisting" "$runtime_preexisting" "$added_runtime_exclude" "$added_root_mcp" "$added_mcp_exclude" "$external_pane" "$project_json_preexisting" "$work_order_adapter" "$work_order_spool_ref" > "$tdir/setup-state.json"
+# **解決した CLI の実 path を残す。** 残さないと、席も teardown も PATH の `lattice` へ逸れる。
+# release 前の source tree を実測する卓では、それは**pull 系 command を持たない古い install**で、
+# 手順どおり打っても届かない（suzune の監査で実測・room [1037]）。
+printf '{"room":"%s","server_url":"%s","public_url":"%s","mode":"%s","plan_key":"%s","phases":%s,"added_exclude":%s,"lattice_preexisting":%s,"runtime_preexisting":%s,"added_runtime_exclude":%s,"added_root_mcp":%s,"added_mcp_exclude":%s,"external_pane":%s,"project_json_preexisting":%s,"work_order_adapter":%s,"work_order_spool_ref":"%s","lattice_cli":"%s"}\n' \
+  "$room" "$url" "$public_url" "$mode" "$plan" "$phases_json" "$added_exclude" "$lattice_preexisting" "$runtime_preexisting" "$added_runtime_exclude" "$added_root_mcp" "$added_mcp_exclude" "$external_pane" "$project_json_preexisting" "$work_order_adapter" "$work_order_spool_ref" "$lattice_cli" > "$tdir/setup-state.json"
 echo "scaffold done: $tdir"

package/skill/scripts/teardown.sh

@@ -29,6 +29,7 @@ lat_pre=$(python3 -c "import json;print(json.load(open('$state'))['lattice_preex
 runtime_pre=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('runtime_preexisting', True))")
 added_runtime_ex=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('added_runtime_exclude', False))")
 work_order_adapter=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('work_order_adapter', False))")
+work_order_spool_ref=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('work_order_spool_ref', ''))")
 # 旧 state（added_root_mcp 不在・手動フォールバック時代の root_mcp_json_fallback）も読む
 added_mcp=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('added_root_mcp', d.get('root_mcp_json_fallback', False)))")
 added_mcp_ex=$(python3 -c "import json;d=json.load(open('$state'));print(d.get('added_mcp_exclude', d.get('root_mcp_json_fallback', False)))")
@@ -103,8 +104,8 @@ else
   skip "seat-status-bridge（起動記録なし）"
 fi
 
-# 配車ブリッジ（managed run に載せた卓だけ立っている）。同じ理由で `.team/` を消す前に止める。
-# 止め残すと、spool を見張り続ける常駐が次の run の order を拾って**卓が無いのに配車を投稿する**
+# run 可視化ブリッジ（Lattice の実行層を使う卓だけ立っている）。同じ理由で `.team/` を消す前に止める。
+# 止め残すと、卓が無いのに run の進行と介入を投稿し続ける常駐が残る
 if [ -f "$proj/.team/run-bridge.json" ]; then
   if node "$(dirname "$0")/run-bridge.mjs" "$proj" --stop; then
     did "run-bridge 停止"
@@ -115,16 +116,118 @@ else
   skip "run-bridge（起動記録なし）"
 fi
 
+# run の close は成果が既定branchへ着地した証拠ではない。bridgeを止めてから、`run list`が挙げる
+# **active run** の landing report を読む。**旧版は spool の work order から run を逆算していた**が、
+# 配車が無くなって order が出ないので、装置に直接聞く形へ変えた（改・裁定1）。
+# **`run list` は closed run を返さない**（実装で除外される）ので、ここで見えるのは未 close の分だけ
+# である。closed 済み run の着地は `run close` の返値が landing report を含むので**その時点で読む**。
+# `.lattice/runs` を直に走査して補わない——consumer contract 違反で、旧 orders の保持は配車の復活になる。
+# 全 closed の再列挙が要るなら Lattice 側の公開面を足す別課題であって、ここで迂回実装しない。
+# 未着地・未pushは判断結果なので `lattice run landing` 自体はexit 0を返し、teardownも止めない。
+# **CLI の出力と exit code を先に単独で取る。** `cmd | python3` にすると pipeline の rc は
+# python のものになり、**CLI が rc≠0 で typed error JSON を返しても parser が `active_runs` 欠落を
+# 空配列として飲んで「active run なし」に化ける**（suzune の監査で実測・room [948]）。
+# 沈黙する偽 green は、着地の見落としをそのまま「確認済み」に見せる——いちばん避けたい壊れ方である。
+lattice_cli="${LATTICE_CLI:-$(command -v lattice 2>/dev/null || true)}"
+run_list_json=""
+run_list_rc=0
+if [ -n "$lattice_cli" ] && [ -x "$lattice_cli" ]; then
+  run_list_json=$(cd "$proj" && "$lattice_cli" run list --json 2>&1) || run_list_rc=$?
+fi
+if [ -z "$lattice_cli" ] || [ ! -x "$lattice_cli" ]; then
+  miss "run landing — LATTICE_CLIが実行可能fileを指さず、着地状態を読めない: ${lattice_cli:-未設定}"
+elif [ "$run_list_rc" != "0" ]; then
+  miss "run landing — run list が rc=${run_list_rc} で失敗: $(printf '%s' "$run_list_json" | head -c 200)"
+elif ! run_refs=$(printf '%s' "$run_list_json" | python3 -c '
+import json, sys
+
+# schema と active_runs を要求する。**typed error JSON も別 schema も黙って空扱いにしない。**
+# f-string の中でバックスラッシュ付きの引用符を使わない——shell の single-quoted `python3 -c`
+# へ `\"` がそのまま届き、**Python が SyntaxError で落ちる**（kanade の監査で実測・room [957]）。
+# 値は先に変数へ取り出して、f-string には名前だけを置く。
+raw = sys.stdin.read()
+try:
+    listed = json.loads(raw)
+except json.JSONDecodeError as error:
+    sys.exit(f"run list がJSONでない: {error}")
+if not isinstance(listed, dict):
+    sys.exit(f"run list がobjectでない: {type(listed).__name__}")
+actual_schema = listed.get("schema")
+if actual_schema != "lattice.run_list.v1":
+    sys.exit(f"run list の schema が違う: {actual_schema}")
+active = listed.get("active_runs")
+if not isinstance(active, list):
+    sys.exit(f"run list に active_runs 配列が無い: {type(active).__name__}")
+# **entry を filter で捨てない。** 1件でも読めない entry があれば、active な run を落として
+# 「なし」に見せることになる（suzune の監査で実測・room [956]）。全件を要求して、
+# 満たさなければ非ゼロで落ちる。外部 versioned JSON の境界で fallback しない。
+refs = []
+for index, entry in enumerate(active):
+    if not isinstance(entry, dict):
+        sys.exit(f"active_runs[{index}] がobjectでない: {type(entry).__name__}")
+    ref = entry.get("run_ref")
+    if not isinstance(ref, str) or not ref:
+        sys.exit(f"active_runs[{index}] に run_ref 文字列が無い")
+    refs.append(ref)
+print("\n".join(sorted(refs)))
+' 2>&1); then
+  miss "run landing — run listを解釈できない: $(printf '%s' "$run_refs" | head -c 200)"
+elif [ -z "$run_refs" ]; then
+  skip "run landing（active runなし）"
+else
+  while IFS= read -r run_ref; do
+    [ -n "$run_ref" ] || continue
+    if landing_report=$(cd "$proj" && "$lattice_cli" run landing --run "$run_ref" 2>&1); then
+      unlanded_count=""
+      if unlanded_count=$(printf '%s' "$landing_report" | python3 -c '
+import json, sys
+
+raw = sys.stdin.read()
+try:
+    report = json.loads(raw)
+except json.JSONDecodeError as error:
+    sys.exit(f"run landing がJSONでない: {error}")
+if not isinstance(report, dict):
+    sys.exit(f"run landing がobjectでない: {type(report).__name__}")
+actual_schema = report.get("schema")
+if actual_schema != "lattice.run_landing_report.v1":
+    sys.exit(f"run landing の schema が違う: {actual_schema}")
+receipts = report.get("accepted_receipts")
+if not isinstance(receipts, list):
+    sys.exit("run landing に accepted_receipts 配列が無い")
+for index, receipt in enumerate(receipts):
+    if not isinstance(receipt, dict) or not isinstance(receipt.get("landed"), bool):
+        sys.exit(f"accepted_receipts[{index}] の landed が真偽値でない")
+print(sum(1 for receipt in receipts if not receipt["landed"]))
+' 2>&1); then
+        did "run landing ${landing_report}"
+        if [ "$unlanded_count" != 0 ]; then
+          echo "未着地 ${unlanded_count}本: run ${run_ref} の受理済み成果が canonical default branch へ着地していない" >&2
+        fi
+      else
+        miss "run landing $run_ref — reportを解釈できない: ${unlanded_count}"
+      fi
+    else
+      miss "run landing $run_ref — ${landing_report}"
+    fi
+  done <<EOF
+$run_refs
+EOF
+fi
+
 # setupが新しく作ったhost固有runtimeだけを撤去する。既存runtimeは他adapterや進行中runの
 # 所有物を含み得るので触らない。runtimeを先に消してからexcludeを戻し、teardown後に
 # untracked stateが露出する順序逆転を防ぐ。
+# **配車を撤去した後の setup は `.lattice/runtime/` を作らない**ので、新しい卓ではここは常に
+# skip になる。判定を残してあるのは、**配車時代に立てた卓を畳む時**にだけ効くからである
+# （その卓の setup-state は `work_order_adapter: true` を持つ）。
 if yes_ "$work_order_adapter" && ! yes_ "$runtime_pre"; then
   rm -rf "$proj/.lattice/runtime"
-  did ".lattice/runtime/ 撤去（setup が新規作成したhost固有state）"
+  did ".lattice/runtime/ 撤去（配車時代の setup が新規作成したhost固有state）"
 elif yes_ "$work_order_adapter"; then
   skip ".lattice/runtime/（setup 以前から存在）"
 else
-  skip ".lattice/runtime/（work-order adapter登録なし）"
+  skip ".lattice/runtime/（setup は runtime state を作っていない）"
 fi
 
 # 外部ペイン（決定53）。`.team/` を消す前に戻す——退避先が `.team/` の中にある
@@ -148,7 +251,7 @@ if [ "$mode" = archive ]; then
     python3 -c "
 import json,sys,urllib.request
 req=urllib.request.Request('$url/api/$room/messages', method='POST',
-  data=json.dumps({'from':'system','to':'all','body':'''$body'''}).encode(),
+  data=json.dumps({'from':'system','to':'system','body':'''$body'''}).encode(),
   headers={'Content-Type':'application/json','X-Peertable-Token':'$PEERTABLE_POST_TOKEN'})
 urllib.request.urlopen(req, timeout=10).read()
 " 2>/dev/null && did "解散の区切りを履歴へ" || skip "解散の区切り（投稿できず・撤去は続行）"

package/skill/scripts/wakeup-bridge.mjs

@@ -1,5 +1,5 @@
 #!/usr/bin/env node
-// Codex 席の起床ブリッジ。room の SSE を購読し、その席宛（または全員宛）の新着が来たら
+// Codex 席の起床ブリッジ。room の SSE を購読し、明示的にその席宛の新着が来たら
 // tmux の席へ素送信して起こす。Claude 席は channels が同じ役をするので対象外。
 //
 // usage: wakeup-bridge.mjs <project_dir> <seat> [seat...]     起動（前面。nohup で常駐させる）
@@ -66,9 +66,10 @@ const pending = new Map(seats.map(s => [s, []]))
 
 async function wake(seat, msgs) {
   const last = msgs[msgs.length - 1]
+  const audience = Array.isArray(last.to_names) ? last.to_names.join(', ') : last.to
   const text = msgs.length === 1
-    ? `room に新着あり（${last.from} → ${last.to}）。read_unread で読むこと。`
-    : `room に新着 ${msgs.length} 件（最新: ${last.from} → ${last.to}）。read_unread で読むこと。`
+    ? `room に新着あり（${last.from} → ${audience}）。read_unread で読むこと。`
+    : `room に新着 ${msgs.length} 件（最新: ${last.from} → ${audience}）。read_unread で読むこと。`
   try {
     await run('tmux', ['-S', sock, 'send-keys', '-t', `peer-${seat}`, text])
     await sleep(400)
@@ -91,9 +92,7 @@ setInterval(async () => {
 function dispatch(msg) {
   for (const seat of seats) {
     if (msg.from === seat) continue
-    // 複数人宛は `to_names` が実宛先を持つ（server は旧 client のために `to` を 'all' へ倒す）。
-    // ここで実宛先を見ないと、名指しされていない Codex 席まで起こしてしまう。
-    if (Array.isArray(msg.to_names) ? !msg.to_names.includes(seat) : (msg.to !== 'all' && msg.to !== seat)) continue
+    if (Array.isArray(msg.to_names) ? !msg.to_names.includes(seat) : msg.to !== seat) continue
     pending.get(seat).push(msg)
   }
 }

package/skill/templates/charter.md

@@ -2,12 +2,12 @@
 
 これはチーム作業である。自分が引き受けたタスクの完了はミッションの完了ではない。全タスク完了までチームは解散しない。
 
-1. 拘束力を持つのは**工程正本への記録**と room での決定だけ（工程正本＝Lattice 併用モードなら Lattice の todo 記録、単独円卓モードなら room の宣言そのもの）。DM（個別宛）で決まったことは決定ではない。部位を跨ぐ合意・設計判断は必ず room 全員宛で行う
-2. 進捗は room に一行で報告する: managed run なら配車への受諾・辞退、その他の卓なら claim・join、共通して完了時・詰まり自覚時・方針変更時。task 外でも成果物になる作業（実測・検証・CI）は着手前に一言。仲間を五里霧中に置かない
-3. 仕事を引き受ける手順は実行方式で分かれる。managed run では task を Lattice、候補席を bridge が選び、`[配車] <タスク> → <席>` はその提示を全員へ見せるだけで割当ではない。提示された席が `[受諾] <タスク>` を返した時だけ束縛が成立し、`[辞退] <タスク> <理由>` なら bridge が別席へ再配車する。この経路で `[claim]` を重ねない。managed run でない卓では、room へ `[claim] <タスク>` を全員宛で投稿し、直後に read_unread で直前ログを確認する（タスクの呼び名は Lattice 併用モードなら task_id、単独円卓モードなら `.team/tasks.md` の議題名）。同じタスクへの先行 claim があれば取り下げるか `[join] <タスク>` へ切り替える
-4. 分からないことは room で聞く。台帳はない。自分の変更が他の部位に影響するなら、聞かれる前に room 全員宛で通知する
+1. 拘束力を持つのは**工程正本への記録**と room ログに残った決定だけ（工程正本＝Lattice 併用モードなら Lattice の todo 記録、単独円卓モードなら room の宣言そのもの）。宛先は影響を受けるメンバーだけを明示する。room ログは全員がpullで読めるので、broadcastによる周知を決定の成立条件にしない
+2. 進捗は room に一行で報告する: claim・join、完了時・詰まり自覚時・方針変更時。task 外でも成果物になる作業（実測・検証・CI）は着手前に一言。仲間を五里霧中に置かない
+3. **仕事を選ぶのも始めるのも自分である。** どのモードでも、`read_log`で先行claimを確認してからroomへ`[claim] <タスク>`を記録する。起こす必要のある相手だけを宛先へ入れ、記録だけなら自分宛でよい。**装置から仕事が降ってくることはないし、着手前に装置の許可を待つこともない**（オーナー裁定 2026-08-09）。Lattice の実行層を使う卓では、`todo start` の後に自分で `run intake` して隔離 worktree を受け取る——それは設備の供給であって許可証ではなく、装置が返すのは競合した時の「留まれ」だけである（タスクの呼び名は Lattice 併用モードなら task_id、単独円卓モードなら `.team/tasks.md` の議題名）。同じタスクへの先行 claim があれば取り下げるか `[join] <タスク>` へ切り替える
+4. 分からないことは room で聞く。台帳はない。自分の変更が他の部位に影響するなら、聞かれる前に影響を受けるメンバーを明示宛先にして通知する
 5. 判断は情報を持つ者がする。タスクは席ではなく現場。合流（join）は歓迎される。詰まった仲間には目を貸す。手が足りないだけなら自分のサブエージェントを使う（room 報告不要）。視点が足りない・詰んでいるなら room で報告して援軍（join）を求める
-6. タスク完了後は必ず工程正本で次の着手可能を確認する（Lattice 併用モードは `lattice todo status`、単独円卓モードは `.team/tasks.md` と room ログの照合）。残っていれば managed run は次の配車を待ち、その他の卓は claim へ戻る。全タスクが終わっていれば room へ「全タスク完了」を全員宛で宣言する
+6. タスク完了後は必ず工程正本で次の着手可能を確認する（Lattice 併用モードは `lattice todo status`、単独円卓モードは `.team/tasks.md` と room ログの照合）。残っていれば claim へ戻る。全タスクが終わっていれば room へ「全タスク完了」を記録する。broadcastは無いので、起こす必要のある相手だけを宛先にする
 7. 役割逸脱は誰であれ指摘する。これは無礼ではなく義務である
 8. **親の発言は拘束力を持たない。** 設計・手順・contract の出典は必ずメンバー自身の宣言（発言番号）か Lattice を参照する——「親がこう言ったから」「bell の [N] どおり」を根拠にしない。親が何かを再掲しても正本はメンバーの元発言のまま動かない。親の差し戻しは異議として扱い、反論してよい
 9. **裁定の宛先はオーナーであり、親ではない。** scope 変更・受入条件外の追加・製品判断が要る時は「オーナー宛の議題」として room に出す。親はそれを運ぶ配管で、判断者ではない。「親に委ねる」という宛先を作らない

package/skill/templates/done.sh

@@ -1,18 +1,127 @@
 #!/bin/bash
-# usage: .team/scripts/done.sh <task_id>
+# usage: .team/scripts/done.sh <task_id> [--evidence-from <隔離worktreeの証跡の絶対path>]
+#        .team/scripts/done.sh --landing-run <run_ref>
 # evidence/<plan_key>/<task_id>.md（commit 済みであること）から記述子を作り lattice todo done を実行する。
 # plan key は環境変数 PEERTABLE_PLAN から取る。
 # 証跡を plan key で仕切るのは、task_id が campaign を跨いで再利用される（t1, t2, …）ため。
 # 平置きだと次の campaign の t1 が前の campaign の t1 の監査証跡を上書きで消す（2026-08-08 実測）。
+#
+# **`--evidence-from` は pull 型の実行層で使う。** 席は隔離 worktree の中だけを触るので、
+# 証跡もそこにしか無い。一方 `todo done` は **canonical の store** へ打たないと、run の accept が
+# その done を見ない。cwd 1つで両方を兼ねると必ずどちらかが外れる（mio の監査で実測・room [1012]）:
+#   canonical で打つ → worktree にしか無い証跡を読めない
+#   worktree で打つ → worktree 側の `.lattice/todo` を書き、canonical の accept が見ない
+# なので **証跡の blob/digest は worktree の file から、`todo done` は canonical の cwd/store へ**、と
+# 明示的に分ける。**canonical へ証跡を別書きして通すのは禁止**——「worktree の中だけ」の契約を
+# 破りながら green にする偽装になる。
+#
+# 成立する理由: linked worktree は canonical と object DB を共有するので、canonical の cwd から
+# `git hash-object -w <worktree の絶対path>` で書いた blob はそのまま canonical で読める。
+# evidence verifier は descriptor.path の working tree 実在を見ず、object DB の blob と digest、
+# 読み出し時の `rev-list --all` 到達性を見る（mio が実 repo で確認・room [1016]）。
 set -e
+# `todo done` と run receipt の accept は別の正本を持つ。landing-only mode は accept の直後に
+# 同じ run ref を受け取り、受理済み receipt の着地だけを表示する。accept 自体はここへ吸収しない。
+if [ "${1:-}" = "--landing-run" ]; then
+  [ "$#" = 2 ] || {
+    echo "ERROR: --landing-run には run ref を1つ渡すこと（usage: done.sh --landing-run <run_ref>）" >&2
+    exit 1
+  }
+  run_ref="$2"
+  [ -n "$run_ref" ] || { echo "ERROR: --landing-run には run ref を渡すこと" >&2; exit 1; }
+  lattice_cli="${LATTICE_CLI:-$(command -v lattice 2>/dev/null || true)}"
+  if [ -z "$lattice_cli" ] || [ ! -x "$lattice_cli" ]; then
+    echo "着地状態を読めない: LATTICE_CLIが実行可能fileを指さない（${lattice_cli:-未設定}）" >&2
+    exit 0
+  fi
+  landing_report=""
+  landing_rc=0
+  landing_report=$("$lattice_cli" run landing --run "$run_ref" 2>&1) || landing_rc=$?
+  if [ "$landing_rc" != 0 ]; then
+    echo "着地状態を読めない: run landing が rc=${landing_rc} で失敗: ${landing_report}" >&2
+    exit 0
+  fi
+  unlanded_count=""
+  if ! unlanded_count=$(printf '%s' "$landing_report" | python3 -c '
+import json, sys
+raw = sys.stdin.read()
+try:
+    report = json.loads(raw)
+except json.JSONDecodeError as error:
+    sys.exit(f"run landing がJSONでない: {error}")
+if not isinstance(report, dict):
+    sys.exit(f"run landing がobjectでない: {type(report).__name__}")
+actual_schema = report.get("schema")
+if actual_schema != "lattice.run_landing_report.v1":
+    sys.exit(f"run landing の schema が違う: {actual_schema}")
+receipts = report.get("accepted_receipts")
+if not isinstance(receipts, list):
+    sys.exit("run landing に accepted_receipts 配列が無い")
+for index, receipt in enumerate(receipts):
+    if not isinstance(receipt, dict) or not isinstance(receipt.get("landed"), bool):
+        sys.exit(f"accepted_receipts[{index}] の landed が真偽値でない")
+print(sum(1 for receipt in receipts if not receipt["landed"]))
+' 2>&1); then
+    echo "着地状態を読めない: ${unlanded_count}" >&2
+    exit 0
+  fi
+  if [ "$unlanded_count" != 0 ]; then
+    echo "未着地 ${unlanded_count}本: run ${run_ref} の受理済み成果が canonical default branch へ着地していない" >&2
+  fi
+  exit 0
+fi
+# **引数の形を exact に要求する。** 緩く受けると、`--evidnce-from` のような typo が
+# 「option 無し」として通り、**canonical 側の同名証跡を黙って hash する**——別 file を
+# 受理させておいて green に見える（kanade の監査で実測・room [1029]）。
+# 1引数（既定経路）か、3引数（`<task> --evidence-from <絶対path>`）だけを許す。
+case $# in
+  1) ;;
+  3) [ "$2" = "--evidence-from" ] || {
+       echo "ERROR: 未知のoption: $2（使えるのは --evidence-from だけ）" >&2; exit 1; } ;;
+  *) echo "ERROR: 引数の形が違う（usage: done.sh <task_id> [--evidence-from <絶対path>] | done.sh --landing-run <run_ref>）" >&2; exit 1 ;;
+esac
 t="$1"
+[ -n "$t" ] || { echo "ERROR: task_id が空" >&2; exit 1; }
+evidence_from=""
+if [ "$#" = 3 ]; then
+  evidence_from="$3"
+  [ -n "$evidence_from" ] || { echo "ERROR: --evidence-from には証跡fileの絶対pathを渡すこと" >&2; exit 1; }
+  case "$evidence_from" in
+    /*) ;;
+    *) echo "ERROR: --evidence-from は絶対pathでなければならない: $evidence_from" >&2; exit 1 ;;
+  esac
+  # **黙って canonical の証跡へ落ちない。** 落ちると「worktree の成果を done した」と見えるのに
+  # 実際は別の file を hash することになり、受理された内容と成果物が食い違う
+  [ -f "$evidence_from" ] || { echo "ERROR: --evidence-from の証跡が存在しない: $evidence_from" >&2; exit 1; }
+  # **object DB を共有していない木の file は hash-object できても意味が無い。** 別 repo の
+  # 証跡を渡された時に「書けたから成立した」と読まないよう、common git dir の一致を要求する
+  # （kanade の設計指摘・room [1018]）。linked worktree なら両者は同じ絶対 path を指す。
+  here_common=$(git rev-parse --path-format=absolute --git-common-dir)
+  from_common=$(git -C "$(dirname "$evidence_from")" rev-parse --path-format=absolute --git-common-dir 2>/dev/null || true)
+  [ -n "$from_common" ] && [ "$here_common" = "$from_common" ] || {
+    echo "ERROR: --evidence-from が同じrepoのworktreeでない（object DBを共有していない）" >&2
+    echo "  canonical: ${here_common}" >&2
+    echo "  evidence : ${from_common:-（git worktree ではない）}" >&2
+    exit 1
+  }
+fi
+
+# descriptor の path は repo 内の相対（repo 外の絶対 path は --evidence が INVALID_ARGUMENTS で弾く）。
+# worktree でも canonical でも同じ相対 path に置く規約なので、この値は両者で一致する。
 f="evidence/$PEERTABLE_PLAN/$t.md"
-oid=$(git hash-object -w "$f")
-digest=$(shasum -a 256 "$f" | cut -d' ' -f1)
-# 記述子は repo 内の相対パスに置く（repo 外の絶対パスは --evidence が INVALID_ARGUMENTS で弾く）
+src="${evidence_from:-$f}"
+[ -f "$src" ] || { echo "ERROR: 証跡が見つからない: $src" >&2; exit 1; }
+oid=$(git hash-object -w "$src")
+digest=$(shasum -a 256 "$src" | cut -d' ' -f1)
 tmp=".ev-$t.json"
+# **失敗しても記述子を残さない。** `set -e` の下で `todo done` が落ちると、後段の `rm` へ
+# 到達せず repo に `.ev-<task>.json` が残る（自分の負側 test で実測。TASK_NOT_FOUND の後に
+# untracked file が残った）。次に `git status` を撮った人が、それを誰かの作業中変更と読む。
+trap 'rm -f "$tmp"' EXIT
 printf '{"evidence_id":"ev-%s","repo_id":"self","path":"%s","git_blob_oid":"%s","content_digest":"%s","media_type":"text/markdown","anchor_digest":null}\n' "$t" "$f" "$oid" "$digest" > "$tmp"
-lattice todo done --plan "$PEERTABLE_PLAN" --task "$t" --evidence "$tmp"
+# **PATH の `lattice` へ黙って逸れない。** setup が解決した CLI を席 env の `LATTICE_CLI` で受け、
+# 無い時だけ PATH を使う（bridge の `--lattice` / teardown の `LATTICE_CLI` と同じ選択規律）。
+"${LATTICE_CLI:-lattice}" todo done --plan "$PEERTABLE_PLAN" --task "$t" --evidence "$tmp"
 rm -f "$tmp"
 
 # 完了の定義は「repo 内の変更は push まで」。done を打つ瞬間はそれが成り立っていなければ

package/skill/templates/member-standalone.md

@@ -7,14 +7,18 @@
 ## 作業ループ
 
 1. `.team/tasks.md` で議題を見る。`read_log` で既存の claim と完了報告を照合し、まだ誰も持っていないものを選ぶ
-2. 憲章の手順で room に `[claim] <タスク>` を全員宛で宣言し、直後に `read_unread` で先行 claim が無いか確かめる。**`[claim]` は独立した1発言で出す**——完了報告や他タスクの話と同じ発言に畳まない。宣言としては有効でも、後から機械的に追えなくなり、監査が「宣言が無い」と誤読する（2026-08-08 実測）。単独モードでは room ログが唯一の正本なので、より効く
-3. 実装する。インターフェースなど他タスクに影響する決定は、決めた時点で room 全員宛に一行で共有する
+2. 憲章の手順で`read_log`から先行claimを確認し、roomに`[claim] <タスク>`を記録する。起こす必要のある相手だけを宛先へ入れ、記録だけなら自分宛でよい。**`[claim]` は独立した1発言で出す**——完了報告や他タスクの話と同じ発言に畳まない。宣言としては有効でも、後から機械的に追えなくなり、監査が「宣言が無い」と誤読する（2026-08-08 実測）。単独モードでは room ログが唯一の正本なので、より効く
+3. 実装する。インターフェースなど他タスクに影響する決定は、影響を受けるメンバーを明示宛先にして一行で共有する
 4. 完了手順:
    - 何を作り、どう確認したかを自分で確かめる（テスト・実行・実測。「たぶん動く」で閉じない）
    - 変更ファイルを `git add` して commit する（メッセージは日本語一行。対象ファイルを明示して他人の作業中変更を巻き込まない）
-5. room へ `[done] <タスク>` を全員宛で報告する（何を作り、どう確認したかを一行で添える）。**この報告が完了の唯一の記録である**——書かなければ完了していない
+5. room へ `[done] <タスク>` を記録する（何を作り、どう確認したかを一行で添える）。監査を頼む相手だけを宛先にし、相手が未定なら自分宛でよい。**この報告が完了の唯一の記録である**——書かなければ完了していない
 6. 1 へ戻る
 
+## effortを変更してほしい時
+
+作業を安全に中断できる状態にしてから、親だけへ`[effort変更依頼] <level>`を明示DMする。親が変更すると席は再起動し、会話contextは引き継がれない。再起動後は下の再着任手順でrole・`.team/tasks.md`・roomログから現在地を取り直す。自分でCLI設定を変えたり、broadcastで依頼したりしない。
+
 ## 再着任（context が要約されたら）
 
 自分の context が要約された（＝会話の前半が手元に無い）と気づいたら、実装を続ける前に `.team/roles/member.md` と `.team/CLAUDE.md` を読み直して着任し直し、room へ `[再着任] <名前>` を一行投稿する。進行中 claim の状態は自分の記憶でなく**工程正本で取り直す**——この卓の工程正本は room の宣言だけなので、`read_log` で自分の claim・他人の claim・完了報告を全部照合する（機械に問い合わせる先は無い）。記憶と正本が食い違ったら、正本を正として食い違いを room で報告する。