peertable 0.3.6 → 0.3.8

package/skill/scripts/launch-seat.sh

@@ -1,17 +1,26 @@
 #!/bin/bash
 # 席を1つ立てる（tmux 作成 → env 注入 → エージェント起動 → 既知ダイアログ通過 → 着席確認）。
-# usage: launch-seat.sh <project_dir> <name> <model> [vendor] [effort] [brief]
-#   vendor: claude（既定）/ codex
+# usage: launch-seat.sh <project_dir> <name> <model> <vendor> <effort> [brief]
+#   vendor: claude / codex
+#   effort: 必須。既定値をコードへ埋めない——席を立てる時に決める（オーナー裁定）
 #   brief:  着席が成立したら送る着任指示（省略時は送らない）
 #
 # room 名・server URL・モード・plan key は <project>/.team/setup-state.json から読む（setup.sh の後に呼ぶ）。
 # 書込トークンは環境変数 PEERTABLE_POST_TOKEN、無ければ ~/.config/peertable.env から取る。
 # tmux は aiterm-mcp と同じソケットへ作るので、立てた席はそのまま pty_read / pty_send で読める。
 set -e
-proj="$1"; name="$2"; model="$3"; vendor="${4:-claude}"; effort="$5"; brief="$6"
-[ -n "$proj" ] && [ -n "$name" ] && [ -n "$model" ] || { echo "usage: launch-seat.sh <project_dir> <name> <model> [vendor] [effort] [brief]" >&2; exit 1; }
+proj="$1"; name="$2"; model="$3"; vendor="$4"; effort="$5"; brief="$6"
+[ -n "$proj" ] && [ -n "$name" ] && [ -n "$model" ] && [ -n "$vendor" ] && [ -n "$effort" ] || {
+  echo "usage: launch-seat.sh <project_dir> <name> <model> <vendor> <effort> [brief]" >&2; exit 1;
+}
+if [ "$vendor" = "claude" ]; then
+  case "$effort" in
+    low|medium|high|xhigh|max) ;;
+    *) echo "unknown effort: ${effort}（claude は low|medium|high|xhigh|max）" >&2; exit 1 ;;
+  esac
+fi
 
-sock="${PEERTABLE_TMUX_SOCKET:-${TMPDIR}claude-tmux-sockets/claude.sock}"
+sock=$(node "$(dirname "$0")/tmux-socket.mjs")
 sess="peer-$name"
 state="$proj/.team/setup-state.json"
 read -r room url mode plan <<EOF
@@ -34,6 +43,10 @@ tmux -S "$sock" kill-session -t "$sess" 2>/dev/null || true
 # **消すのは同名の自分の分だけ**——`peer-*` を一括で消すと同じマシンの別卓を巻き込む。
 rm -f "$proj/.team/seats/$name.json"
 tmux -S "$sock" new-session -d -s "$sess" -x 200 -y 50 -c "$proj"
+# Codex の closed env には launcher 自身でなく、今作った session の識別子を渡す。
+# 自己申告の observe が別 pane を指すと、稼働状態・起床とも別席を誤操作する。
+seat_tmux=$(tmux -S "$sock" display-message -p -t "$sess" '#{socket_path}')
+seat_tmux_pane=$(tmux -S "$sock" display-message -p -t "$sess" '#{pane_id}')
 
 # 素性は席の env にも入れる。client が**登録のたびに**載せるので、member の状態が失われても戻る
 env_line="export PEERTABLE_URL=$url PEERTABLE_ROOM=$room PEERTABLE_MEMBER=$name PEERTABLE_POST_TOKEN=$PEERTABLE_POST_TOKEN"
@@ -56,7 +69,7 @@ case "$vendor" in
     # Codex には channels が無いので room は stdio MCP として差す。
     # `[mcp_servers.X.env]` は closed mode（親 env を継がない）ので全変数を明示列挙する
     # （caveat `codex-cli-v0-130-0-mcp-servers-x-env-block-is-closed-mode-parent-env-not-inherited`）。
-    envtbl="PATH=\\\"$PATH\\\",PEERTABLE_URL=\\\"$url\\\",PEERTABLE_ROOM=\\\"$room\\\",PEERTABLE_MEMBER=\\\"$name\\\",PEERTABLE_POST_TOKEN=\\\"$PEERTABLE_POST_TOKEN\\\""
+    envtbl="PATH=\\\"$PATH\\\",PEERTABLE_URL=\\\"$url\\\",PEERTABLE_ROOM=\\\"$room\\\",PEERTABLE_MEMBER=\\\"$name\\\",PEERTABLE_POST_TOKEN=\\\"$PEERTABLE_POST_TOKEN\\\",TMUX=\\\"$seat_tmux\\\",TMUX_PANE=\\\"$seat_tmux_pane\\\""
     cmd="codex --model $model -C $proj --dangerously-bypass-approvals-and-sandbox"
     # Codexのeffortは環境変数だけでは適用されない。member metadataへ表示する値と、
     # 実際の推論設定を同じ引数から渡して食い違わせない。
@@ -179,10 +192,10 @@ fi
 # **欄が無い登録で既存の素性を消さない**（upsert）ことが前提である。
 # effort は渡された時だけ入れる——欄が無い＝「不明」ではなく「CLI 既定で走っている」。
 # ここが失敗しても席は着席済みなので落とさない。ただし黙っては飲まない。
-meta=$(python3 - "$name" "$vendor" "$model" "$effort" <<'PY'
+meta=$(python3 - "$name" "$vendor" "$model" "$effort" "$sock" "$sess" <<'PY'
 import json, sys
-name, vendor, model, effort = sys.argv[1:5]
-body = {'name': name, 'vendor': vendor, 'model': model}
+name, vendor, model, effort, sock, sess = sys.argv[1:7]
+body = {'name': name, 'vendor': vendor, 'model': model, 'observe': {'tmux_socket': sock, 'tmux_target': sess}}
 if effort:
     body['effort'] = effort
 print(json.dumps(body))
@@ -205,7 +218,7 @@ try:
 except Exception:
     members = []
 m = next((x for x in members if x.get('name') == sys.argv[1]), {})
-print('yes' if m.get('model') else 'no')
+print('yes' if m.get('model') and m.get('observe', {}).get('tmux_target') else 'no')
 PY
 )
   if [ "$stored" = yes ]; then
@@ -217,6 +230,12 @@ else
   echo "metadata の登録に失敗した: 席は着席済みで、参加者一覧に素性が出ないだけ（room の到達性とトークンを確認）" >&2
 fi
 
+if "$(dirname "$0")/ensure-bridge.sh" "$proj" seat-status; then
+  echo "seat-status-bridge: 起動確認済み"
+else
+  echo "seat-status-bridge の起動確認に失敗した（席は着席済み）" >&2
+fi
+
 if [ -n "$brief" ]; then
   sleep 2
   tmux -S "$sock" send-keys -t "$sess" "$brief"

package/skill/scripts/run-bridge.mjs

@@ -21,10 +21,12 @@
 // 生死の作法は Lattice ADR 0157 に倣う: 自分の pid を記録に置き、起動時に前の記録を掃除し、
 // 止まらなければ黙って諦めず typed error で落ちる。
 import { execFile } from 'node:child_process'
-import { existsSync, readFileSync, unlinkSync, writeFileSync } from 'node:fs'
+import { existsSync, readFileSync, renameSync, unlinkSync, writeFileSync } from 'node:fs'
 import { join } from 'node:path'
 import { promisify } from 'node:util'
 
+import { resolvePostToken } from './seat-usage.mjs'
+
 const run = promisify(execFile)
 const [proj, ...rest] = process.argv.slice(2)
 if (!proj) {
@@ -121,10 +123,12 @@ if (rest[0] === '--stop') process.exit(0)
 
 const state = JSON.parse(readFileSync(join(proj, '.team', 'setup-state.json'), 'utf8'))
 const { room, server_url: url } = state
-const token = process.env.PEERTABLE_POST_TOKEN ?? ''
+// launch-seat.sh:25-27 と同じ解決規則（env が先・無ければ `~/.config/peertable.env`）。
+// **`export` の有無に常駐の生死を握らせない**——seat-status-bridge が同じ依存で4時間死んだ（2026-08-10）
+const token = resolvePostToken(process.env)
 if (token.length === 0) {
   // 投稿できないブリッジは何も返せない。起きてから黙って何もしない常駐を作らない
-  console.error('RUN_BRIDGE_TOKEN_MISSING: PEERTABLE_POST_TOKEN が無い（export し忘れていないか）')
+  console.error('RUN_BRIDGE_TOKEN_MISSING: 書込トークンが無い（環境変数 PEERTABLE_POST_TOKEN か ~/.config/peertable.env）')
   process.exit(1)
 }
 
@@ -162,12 +166,21 @@ const runSummaries = new Map()      // run_ref -> 直近に記録した要約
 const interventions = new Map()     // `${run_ref}\0${task_id}` -> 直近に観測した介入の形
 const closedRuns = new Set()        // closed を観測した run。以後 poll しない
 let pollTicks = 0
+let readyRecorded = false
+function markReady() {
+  if (readyRecorded) return
+  const temp = `${record}.tmp`
+  writeFileSync(temp, JSON.stringify({ ...JSON.parse(readFileSync(record, 'utf8')), ready_at: new Date().toISOString() }) + '\n')
+  renameSync(temp, record)
+  readyRecorded = true
+}
 
 // **どの run を見るかは `run list` から取る。** 旧版は order の worktree_path から run dir を
 // 切り出していたが、その order がもう出ないので、装置に聞く形へ変えた。
 // `selection: 'pull'` だけを対象にする——legacy automatic run は席が居ないので中継しても意味がない。
 async function pullRunRefs() {
   const listed = await lattice(['run', 'list', '--json'])
+  markReady()
   return (listed.active_runs ?? [])
     .filter(entry => entry.selection === 'pull' && typeof entry.run_ref === 'string')
     .map(entry => entry.run_ref)

package/skill/scripts/seat-status-bridge.mjs

@@ -6,21 +6,25 @@
 // AI は使わない。読むのは `tmux capture-pane -p` の末尾だけで、席へは1バイトも送らない。
 //
 // 判定（2026-08-08 実測。**推測でパターンを書かない**）:
-//   busy = pane の末尾に `esc to interrupt` が在る。Claude 席のステータス行にも Codex 席の `Working (…)` にも
-//          同じ文字列が入るので **vendor 分岐が要らない**。実行中の動名詞（Cogitating/Coalescing/Effecting/
-//          Gallivanting/Fermenting/Symbioting…）は**毎回変わる**ので判定に使わない——語で照合すると全席を
-//          idle と誤判定して、画面が嘘をつく
-//   dead = tmux セッションが無い／`pane_dead=1`
-//   idle = 生きていて busy でない
+//   busy    = pane の末尾に `esc to interrupt` が在る。Claude 席のステータス行にも Codex 席の `Working (…)` にも
+//             同じ文字列が入るので **vendor 分岐が要らない**。実行中の動名詞（Cogitating/Coalescing/Effecting/
+//             Gallivanting/Fermenting/Symbioting…）は**毎回変わる**ので判定に使わない——語で照合すると全席を
+//             idle と誤判定して、画面が嘘をつく
+//   blocked = 既知の承認ダイアログ文言が末尾に在る（`esc to interrupt` は消えている）。2026-08-08 実測:
+//             確認ダイアログで停止した席が busy と `esc to interrupt` 不在から idle 側に誤判定され、
+//             動けない席へ卓が代走を申し出るところまで進んだ。判定順は busy → blocked → idle
+//             （承認プロンプト表示中は `esc to interrupt` が消えるので、この順で正しい）
+//   dead    = tmux セッションが無い／`pane_dead=1`
+//   idle    = 生きていて busy でも blocked でもない
 //
 // 送信は「変化した時」＋「変化が無くても心拍」の2本立て。変化時だけだと、**bridge が死んだのか状態が
 // 変わっていないのかを server が区別できない**（決定58 の liveness と cursor の分離と同じ形）。
 // server 側は最終受信からの経過で `unknown` へ落とす——古い状態を出し続けるのが最悪だから。
 import { execFileSync } from 'node:child_process'
-import { existsSync, readFileSync, writeFileSync, unlinkSync } from 'node:fs'
+import { existsSync, readFileSync, renameSync, writeFileSync, unlinkSync } from 'node:fs'
 import { join } from 'node:path'
 
-import { parsePaneTokenHint, supportsMemberObservation } from './seat-usage.mjs'
+import { classifyPaneTail, decideBridgeContinuation, deriveMissingSession, parsePaneTokenHint, resolvePostToken, resolveSeatObservation, resolveTmuxSocket, supportsMemberObservation } from './seat-usage.mjs'
 
 const args = process.argv.slice(2)
 const proj = args[0]
@@ -67,31 +71,46 @@ if (existsSync(pidPath)) {
 const setup = JSON.parse(readFileSync(setupPath, 'utf8'))
 const url = setup.server_url
 const room = setup.room
-const token = process.env.PEERTABLE_POST_TOKEN ?? ''
+// launch-seat.sh:25-27 と同じ解決規則（env が先・無ければ `~/.config/peertable.env`）。
+// **起こす側の shell の env に依存しない**——依存していた時、`export` 欠落だけで常駐が丸ごと死んだ
+const token = resolvePostToken(process.env)
 writeFileSync(pidPath, JSON.stringify({ pid: process.pid, started_at: new Date().toISOString() }) + '\n')
 
-const tmux = (...a) => { try { return execFileSync('tmux', a, { encoding: 'utf8', stdio: ['ignore', 'pipe', 'ignore'] }) } catch { return null } }
+// 記述子がある席は既定 socket を要らない。曖昧な既定 socket のせいで観測可能な席まで止めないよう、
+// legacy 席を読む時だけ解決する。
+let defaultSocketResolution = null
+let resolutionLogged = false
+let readyRecorded = false
+const defaultSocket = () => {
+  if (defaultSocketResolution === null) defaultSocketResolution = resolveTmuxSocket(process.env)
+  return defaultSocketResolution.socket
+}
+const tmux = (socket, ...a) => { try { return execFileSync('tmux', ['-S', socket, ...a], { encoding: 'utf8', stdio: ['ignore', 'pipe', 'ignore'] }) } catch { return null } }
 
 // 監視するのは room の members に居る席だけ。tmux の `peer-*` を全部拾うと、同じマシンで走る別の卓を晒す
 async function seats() {
   const res = await fetch(`${url}/api/${encodeURIComponent(room)}/members`)
   const { members } = await res.json()
-  return members.map(m => m.name)
+  return members
 }
 
-function readSeat(name, previous, observedAt) {
-  const target = `peer-${name}`
-  const dead = tmux('list-panes', '-t', target, '-F', '#{pane_dead}')
-  if (dead === null) return { status: 'dead', busySince: null, paneTokenHint: null }
+function readSeat(member, previous, observedAt) {
+  // まず記述子だけで解決する。socket が無い記述子／記述子なしの場合だけ既定を調べる。
+  const target = resolveSeatObservation(member, null) ?? resolveSeatObservation(member, defaultSocket())
+  if (target === null) return deriveMissingSession(previous)
+  const dead = tmux(target.socket, 'list-panes', '-t', target.target, '-F', '#{pane_dead}')
+  // セッションが見つからない。tmux 席を持たない member（親など）は一度も観測できないので送らない
+  // （`previous` が無い＝一度も観測できていない）。過去に観測できていた席が消えたなら実際に落ちた
+  if (dead === null) return deriveMissingSession(previous)
   if (dead.trim().split('\n')[0] === '1') {
     return { status: 'dead', busySince: null, paneTokenHint: null }
   }
-  const pane = tmux('capture-pane', '-t', target, '-p')
+  const pane = tmux(target.socket, 'capture-pane', '-t', target.target, '-p')
   if (pane === null) return { status: 'dead', busySince: null, paneTokenHint: null }
   const tail = pane.split('\n').slice(-14).join('\n')
-  const status = tail.includes('esc to interrupt') ? 'busy' : 'idle'
-  const busySince = status === 'busy'
-    ? (previous?.status === 'busy' && previous.busySince ? previous.busySince : observedAt)
+  const status = classifyPaneTail(tail)
+  const busySince = status === 'busy' || status === 'blocked'
+    ? ((previous?.status === 'busy' || previous?.status === 'blocked') && previous.busySince ? previous.busySince : observedAt)
     : null
   return { status, busySince, paneTokenHint: parsePaneTokenHint(tail) }
 }
@@ -123,25 +142,67 @@ const last = new Map()   // name -> { status, at }
 let supported = null     // server が status を保持する版か（未判定は null）
 const tokenBucket = value => value === null ? null : Math.floor(value / 1_000)
 
+// 送信の結果を数えて返す。**呼び出し側が「1件も届いていない」を判定できる形にする**——
+// 数えないと、失敗を1行ずつ吐きながら永久に常駐する（2026-08-10 に4時間そうなった）
+const NOTHING_ATTEMPTED = { attempted: 0, failed: 0 }
+
+function hasDescriptor(member) {
+  return member?.observe && typeof member.observe === 'object'
+    && typeof member.observe.tmux_target === 'string' && member.observe.tmux_target.length > 0
+}
+
+function logResolution(members) {
+  if (resolutionLogged) return
+  resolutionLogged = true
+  const descriptors = members.filter(hasDescriptor).length
+  const legacy = members.length - descriptors
+  if (legacy === 0) {
+    console.error(`seat-status-bridge: 観測記述子 ${descriptors} 席、legacy 0 席、既定 socket は未使用`)
+    return
+  }
+  const resolved = defaultSocketResolution ?? resolveTmuxSocket(process.env)
+  defaultSocketResolution = resolved
+  const detail = resolved.error
+    ? `${resolved.source} (${resolved.error.code}: ${resolved.candidates.join(', ')})`
+    : `${resolved.source} (${resolved.socket})`
+  console.error(`seat-status-bridge: 観測記述子 ${descriptors} 席、legacy ${legacy} 席、既定 socket=${detail}`)
+}
+
+function recordReady() {
+  if (readyRecorded) return
+  readyRecorded = true
+  const record = JSON.parse(readFileSync(pidPath, 'utf8'))
+  const temporary = `${pidPath}.${process.pid}.tmp`
+  writeFileSync(temporary, JSON.stringify({ ...record, ready_at: new Date().toISOString() }) + '\n')
+  renameSync(temporary, pidPath)
+}
+
 async function tick() {
-  let names
-  try { names = await seats() } catch (e) { console.error(`seat-status-bridge: members を読めない: ${e.message}`); return }
+  let members
+  try { members = await seats() } catch (e) { console.error(`seat-status-bridge: members を読めない: ${e.message}`); return NOTHING_ATTEMPTED }
   // **送る前に、server が status を持つ版かを確かめる。**
   // 現行の `POST /members` は、既存メンバーでも `<名前> が参加した` を必ず room へ流す（`post()` が
   // `if (!members.has(name))` の外にある）。status を保持しない版へ投げると、**保存されないうえに
   // 席全員を起こす system 発言を撒く**——2026-08-08 に私がこれで6件撒いて全席を1ターン起こした。
   // 保持する版かどうかは GET で分かるので、**分かるまで投げない**。
   if (supported === null) {
-    try { supported = await serverKeepsStatus() } catch { return }   // 判定できない間は送らない
+    try { supported = await serverKeepsStatus() } catch { return NOTHING_ATTEMPTED }   // 判定できない間は送らない
+    recordReady()
     if (!supported) console.error('seat-status-bridge: この room サーバーは稼働状態を保持しない版（GET /members に status が無い）。送信すると保存されないうえに system 発言を撒くので、送信しない')
   }
-  if (!supported) { console.error(`seat-status-bridge: ${names.length} 席を見たが、server が未対応なので送っていない`); return }
+  logResolution(members)
+  if (!supported) { console.error(`seat-status-bridge: ${members.length} 席を見たが、server が未対応なので送っていない`); return NOTHING_ATTEMPTED }
   const now = Date.now()
   const observedAt = new Date(now).toISOString()
   let sent = 0
-  for (const name of names) {
+  let skipped = 0
+  let failed = 0
+  for (const member of members) {
+    const { name } = member
     const prev = last.get(name)
-    const observation = readSeat(name, prev, observedAt)
+    const observation = readSeat(member, prev, observedAt)
+    // tmux 席を持たない member（親など）は一度も観測できないので送らない（deriveMissingSession が null を返す）
+    if (observation === null) { skipped++; continue }
     const changed = !prev || prev.status !== observation.status
       || prev.busySince !== observation.busySince
       // token表示は実行中に細かく増える。1k未満の差で8秒ごとにPOSTせず、表示精度に合う粒度で送る。
@@ -154,15 +215,49 @@ async function tick() {
       sent++
       if (changed) console.error(`seat-status-bridge: ${name} → ${observation.status}${prev ? `（${prev.status} から）` : ''}`)
     } catch (e) {
+      failed++
       console.error(`seat-status-bridge: ${name} の送信に失敗: ${e.message}`)
     }
   }
   // 0件でも0件と言う（条件付きログにしない。沈黙する失敗を作らない・決定58）
-  console.error(`seat-status-bridge: ${names.length} 席を見て ${sent} 件送った`)
+  console.error(`seat-status-bridge: ${members.length} 席を見て ${sent} 件送った（tmux席を持たず観測対象外: ${skipped}）`)
+  return { attempted: sent + failed, failed }
+}
+
+// **書けることを実証してから常駐に入る。** `serverKeepsStatus()` は GET で「保存する版か」を
+// 確かめる先例なのに、書込側は確かめずに常駐していた——だから「起動は成功したのに1件も届かない」
+// という**見分けのつかない状態**が存在できた（2026-08-10 実測: トークン欠落で全件403のまま4時間）。
+// 送るものが1件も無い tick は失敗ではない（席がまだ立っていない卓が正常にありうる）。
+const FAILED_TICK_LIMIT = 10 // wakeup-bridge の連続失敗停止と同じ本数
+
+function die(code, message) {
+  console.error(`${code}: ${message}`)
+  try { unlinkSync(pidPath) } catch { /* 既に消えている＝目的は達成されている */ }
+  process.exit(1)
+}
+
+let failedTicks = 0
+let provenWritable = false
+
+async function guardedTick() {
+  const { attempted, failed } = await tick() ?? NOTHING_ATTEMPTED
+  const decided = decideBridgeContinuation({ attempted, failed, provenWritable, failedTicks, limit: FAILED_TICK_LIMIT })
+  provenWritable = decided.provenWritable
+  failedTicks = decided.failedTicks
+  if (decided.verdict === 'write_denied') {
+    die('SEAT_STATUS_BRIDGE_WRITE_DENIED',
+      `送信 ${attempted} 件がすべて失敗し、一度も書けていない。常駐しない——書けない常駐は、`
+      + '起動していない場合と同じ結果（点が出ない）を、起動しているように見せる。'
+      + '書込トークン（環境変数 PEERTABLE_POST_TOKEN か ~/.config/peertable.env）と room の到達性を確認すること')
+  }
+  if (decided.verdict === 'unreachable') {
+    die('SEAT_STATUS_BRIDGE_UNREACHABLE',
+      `${FAILED_TICK_LIMIT} 回連続で全件送信に失敗した。黙って再試行を続けるゾンビを作らない（決定54）`)
+  }
 }
 
 process.on('SIGTERM', () => { try { unlinkSync(pidPath) } catch {} process.exit(0) })
 process.on('SIGINT', () => { try { unlinkSync(pidPath) } catch {} process.exit(0) })
 
-await tick()
-if (!once) setInterval(tick, interval * 1000)
+await guardedTick()
+if (!once) setInterval(() => { guardedTick() }, interval * 1000)

package/skill/scripts/seat-usage.mjs

@@ -1,5 +1,12 @@
+import { readFileSync, readdirSync } from 'node:fs'
+import { execFileSync } from 'node:child_process'
+import { homedir } from 'node:os'
+import { join } from 'node:path'
+
 const TOKEN_HINT = /[↓↑]\s*([0-9]+(?:\.[0-9]+)?)\s*([kKmM]?)\s*tokens\b/gu
 
+const POST_TOKEN_LINE = /^\s*(?:export\s+)?PEERTABLE_POST_TOKEN\s*=\s*(.*)$/
+
 const TOKEN_MULTIPLIER = Object.freeze({
   '': 1,
   k: 1_000,
@@ -10,6 +17,142 @@ export function supportsMemberObservation(payload) {
   return payload?.capabilities?.member_observation_v1 === true
 }
 
+/** aiterm-mcp の POSIX 既定ソケット規則。 */
+export function defaultTmuxSocket(env) {
+  return join(env.TMPDIR || '/tmp', 'claude-tmux-sockets', 'claude.sock')
+}
+
+const defaultTmuxProbe = {
+  serverAlive(socket) {
+    try {
+      execFileSync('tmux', ['-S', socket, 'ls'], { stdio: 'ignore' })
+      return true
+    } catch {
+      return false
+    }
+  },
+  listAitermSockets() {
+    try {
+      return readdirSync('/tmp')
+        .filter(name => /^aiterm-.*\.sock$/u.test(name))
+        .map(name => join('/tmp', name))
+    } catch {
+      return []
+    }
+  },
+}
+
+/**
+ * 明示設定、既定、検証済み発見の順で tmux socket を決める。
+ * 見つからない既定値は launch-seat.sh が新しい server を作るために必要なので返す。
+ */
+export function resolveTmuxSocket(env, probe = defaultTmuxProbe) {
+  if (env.PEERTABLE_TMUX_SOCKET) {
+    return { socket: env.PEERTABLE_TMUX_SOCKET, source: 'explicit', candidates: [], error: null }
+  }
+  const fallback = defaultTmuxSocket(env)
+  if (probe.serverAlive(fallback)) {
+    return { socket: fallback, source: 'default', candidates: [], error: null }
+  }
+  const candidates = probe.listAitermSockets().filter(socket => probe.serverAlive(socket))
+  if (candidates.length === 1) {
+    return { socket: candidates[0], source: 'discovered', candidates, error: null }
+  }
+  if (candidates.length > 1) {
+    return {
+      socket: null,
+      source: 'none',
+      candidates,
+      error: { code: 'PEERTABLE_TMUX_SOCKET_AMBIGUOUS', message: '検証済み aiterm socket が複数あります' },
+    }
+  }
+  return { socket: fallback, source: 'default', candidates: [], error: null }
+}
+
+/** member の自己申告を優先し、無い既存 member だけ旧 session 名へ互換フォールバックする。 */
+export function resolveSeatObservation(member, defaultSocket) {
+  const observe = member?.observe
+  if (observe && typeof observe === 'object' && typeof observe.tmux_target === 'string' && observe.tmux_target) {
+    const socket = observe.tmux_socket || defaultSocket
+    return socket ? { socket, target: observe.tmux_target, source: 'descriptor' } : null
+  }
+  return defaultSocket && member?.name
+    ? { socket: defaultSocket, target: `peer-${member.name}`, source: 'legacy' }
+    : null
+}
+
+/**
+ * `~/.config/peertable.env` の本文から書込トークンを読む。**`export` の有無に依存しない。**
+ * 2026-08-10 実測: `export` を落とした設定ファイルを `source` した shell から `nohup node …` で
+ * 起こした bridge は、トークンを持たないまま常駐して **4時間 HTTP 403 を撃ち続けた**。
+ * 起こす側の shell の書き方に、常駐の生死を握らせない。
+ */
+export function parsePostTokenEnvFile(text) {
+  if (typeof text !== 'string') return null
+  for (const line of text.split('\n')) {
+    const matched = POST_TOKEN_LINE.exec(line)
+    if (!matched) continue
+    let value = matched[1].trim()
+    const quoted = (value.startsWith('"') && value.endsWith('"')) || (value.startsWith("'") && value.endsWith("'"))
+    if (quoted && value.length >= 2) value = value.slice(1, -1)
+    if (value) return value
+  }
+  return null
+}
+
+/**
+ * launch-seat.sh:25-27 と同じ解決規則で書込トークンを決める（env が先・無ければ設定ファイル）。
+ * 規則を二重に書かない——bash 側だけが自力解決を持ち、.mjs 側が起こす側の env に丸投げしていたのが
+ * 上記 403 の構造的な原因だった。readFile は試験のための注入口で、既定は実ファイルを読む。
+ */
+export function resolvePostToken(env, readFile = path => { try { return readFileSync(path, 'utf8') } catch { return null } }) {
+  if (env.PEERTABLE_POST_TOKEN) return env.PEERTABLE_POST_TOKEN
+  return parsePostTokenEnvFile(readFile(join(env.HOME || homedir(), '.config', 'peertable.env'))) ?? ''
+}
+
+/**
+ * 送信結果から常駐を続けてよいかを決める。**「一度も書けていない」と「一度は書けたが今落ちている」を
+ * 分ける**——前者は起動不良で、常駐しても「点が出ない」という**起動していない場合と同じ結果**を
+ * 「起動している」ように見せてしまう。だから常駐に入らせない。後者は途中の障害なので、
+ * 連続 limit 回で止める（黙って再試行を続けるゾンビを作らない・決定54）。
+ * 送るものが1件も無い tick は失敗ではない（席がまだ立っていない卓が正常にありうる）。
+ */
+export function decideBridgeContinuation({ attempted, failed, provenWritable, failedTicks, limit }) {
+  if (attempted === 0) return { verdict: 'idle', provenWritable, failedTicks }
+  if (failed < attempted) return { verdict: 'ok', provenWritable: true, failedTicks: 0 }
+  const next = failedTicks + 1
+  if (!provenWritable) return { verdict: 'write_denied', provenWritable, failedTicks: next }
+  return { verdict: next >= limit ? 'unreachable' : 'degraded', provenWritable, failedTicks: next }
+}
+
+/**
+ * tmux セッションが見つからない席の扱いを決める。**tmux 席を持たない member（親など）は
+ * 一度も観測できない**ので `null`（送らない）。**過去に観測できていた席が消えたら実際に落ちた**
+ * ので `dead` を返す。previous は直前に送信できた観測（`{status,...}` か undefined）。
+ */
+export function deriveMissingSession(previous) {
+  return previous ? { status: 'dead', busySince: null, paneTokenHint: null } : null
+}
+
+// launch-seat.sh:74-77 と docs/plan.md §11 が実測で記録した既知ダイアログ文言の集合
+export const BLOCKED_MARKERS = [
+  '1. Yes, I trust this folder',
+  '1. I am using this for local development',
+  '1. Yes, continue',
+  'Do you want to proceed?',
+]
+
+/**
+ * pane 末尾の生文字列から画面状態を判定する。判定順は busy → blocked → idle
+ * （承認プロンプト表示中は `esc to interrupt` が消えるので busy を先に見る）。
+ */
+export function classifyPaneTail(tail) {
+  if (typeof tail !== 'string') return 'idle'
+  if (tail.includes('esc to interrupt')) return 'busy'
+  if (BLOCKED_MARKERS.some(marker => tail.includes(marker))) return 'blocked'
+  return 'idle'
+}
+
 /**
  * paneのstatus行が公開しているtoken値だけを読む。
  * vendor固有のログや課金単価は推測せず、表示が無い席はnullのままにする。

package/skill/scripts/setup.sh

@@ -162,4 +162,17 @@ fi
 # 手順どおり打っても届かない（suzune の監査で実測・room [1037]）。
 printf '{"room":"%s","server_url":"%s","public_url":"%s","mode":"%s","plan_key":"%s","phases":%s,"added_exclude":%s,"lattice_preexisting":%s,"runtime_preexisting":%s,"added_runtime_exclude":%s,"added_root_mcp":%s,"added_mcp_exclude":%s,"external_pane":%s,"project_json_preexisting":%s,"work_order_adapter":%s,"work_order_spool_ref":"%s","lattice_cli":"%s"}\n' \
   "$room" "$url" "$public_url" "$mode" "$plan" "$phases_json" "$added_exclude" "$lattice_preexisting" "$runtime_preexisting" "$added_runtime_exclude" "$added_root_mcp" "$added_mcp_exclude" "$external_pane" "$project_json_preexisting" "$work_order_adapter" "$work_order_spool_ref" "$lattice_cli" > "$tdir/setup-state.json"
+
+# 稼働状態ブリッジを起こす。**teardown が止めるのと対称にする**——「起こすかは卓の任意」だった間、
+# 手で `nohup` する経路が2つの失敗を招いた: 起こし忘れと、**トークンを持たないシェルで起こす**
+# （2026-08-10 実測: `export` 欠落の設定ファイルを source した shell から起こした常駐が、
+# 4時間 HTTP 403 を撃ち続け、参加者一覧には点が1つも出なかった＝起こしていないのと見分けがつかない）。
+# AI は使わず席へも1バイト送らないので卓の作業を邪魔しない。**書けない時は常駐せずに死ぬ**ので、
+# ここで壊れた常駐が黙って残ることは無い。setup-state.json を読むので、必ずその後で起こす。
+if "$repo/skill/scripts/ensure-bridge.sh" "$proj" seat-status; then
+  echo "seat-status-bridge: ready_at を確認した（ログ $tdir/seat-status-bridge.log・停止は teardown が行う）"
+else
+  echo "seat-status-bridge: 起動を確認できなかった（ログ $tdir/seat-status-bridge.log）" >&2
+fi
+
 echo "scaffold done: $tdir"

package/skill/scripts/teardown.sh

@@ -60,17 +60,23 @@ fi
 
 # ---- 席（tmux）の終了。**`.team/` を消す前**に、この room の member だけを畳む ----
 # `peer-*` を全部畳むと、同じマシンの別の卓を巻き込む（bridge が members 起点にしているのと同じ理由）
-sock="${PEERTABLE_TMUX_SOCKET:-${TMPDIR}claude-tmux-sockets/claude.sock}"
-seats=$(python3 "$(dirname "$0")/archive-room-log.py" --members "$url" "$room" 2>/dev/null || true)
-if [ -z "$seats" ]; then
+sock=$(node "$(dirname "$0")/tmux-socket.mjs")
+members_json=$(python3 "$(dirname "$0")/archive-room-log.py" --members --json "$url" "$room" 2>/dev/null || true)
+seat_names=$(python3 "$(dirname "$0")/archive-room-log.py" --members "$url" "$room" 2>/dev/null || true)
+member_lines=$(python3 -c 'import json,sys; [print(json.dumps(x,separators=(",",":"))) for x in json.loads(sys.stdin.read())]' <<<"$members_json" 2>/dev/null || true)
+if [ -z "$members_json" ]; then
   miss "席の終了 — member 一覧が取れず、畳む相手を特定できない。手で確認: tmux -S \"$sock\" list-sessions | grep peer-"
 else
   closed=0
-  for name in $seats; do
-    if tmux -S "$sock" has-session -t "peer-$name" 2>/dev/null; then
-      tmux -S "$sock" kill-session -t "peer-$name" && closed=$((closed + 1))
+  while IFS= read -r member; do
+    [ -n "$member" ] || continue
+    name=$(python3 -c 'import json,sys; print(json.loads(sys.argv[1])["name"])' "$member")
+    target=$(python3 -c 'import json,sys; x=json.loads(sys.argv[1]); print((x.get("observe") or {}).get("tmux_target") or "peer-" + x["name"])' "$member")
+    member_sock=$(python3 -c 'import json,sys; x=json.loads(sys.argv[1]); print((x.get("observe") or {}).get("tmux_socket") or sys.argv[2])' "$member" "$sock")
+    if tmux -S "$member_sock" has-session -t "$target" 2>/dev/null; then
+      tmux -S "$member_sock" kill-session -t "$target" && closed=$((closed + 1))
     fi
-  done
+  done <<<"$member_lines"
   if [ "$closed" -gt 0 ]; then did "席の終了（${closed}席）"; else skip "席の終了（生きている席なし）"; fi
   left=$(tmux -S "$sock" list-sessions 2>/dev/null | grep -c '^peer-' || true)
   [ "${left:-0}" -eq 0 ] || echo "teardown: [注記] 他の卓の peer-* が ${left}件 残っている（この卓のものではないので畳まない）"
@@ -242,12 +248,12 @@ if [ "$mode" = archive ]; then
   if [ -z "${PEERTABLE_POST_TOKEN:-}" ]; then
     miss "メンバー登録の解除 — TOKEN_MISSING: \`~/.config/peertable.env\` の定義が \`export\` 付きでないと子 process へ渡らない"
     echo "teardown: [手当] 参加者は次で外せる: curl -X DELETE \"$url/api/$room/members/<名前>\" -H \"X-Peertable-Token: \$PEERTABLE_POST_TOKEN\"" >&2
-  elif [ -z "$seats" ]; then
+  elif [ -z "$seat_names" ]; then
     skip "メンバー登録の解除（一覧が取れていない）"
   else
     # 履歴に解散の区切りを残す。**部屋が続く以上、どこで卓が変わったかが読めないと
     # 過去ログが一続きの会話に見えてしまう**（次の campaign の発言と地続きになる）
-    body="解散。この卓はここまで。参加者: ${seats}。部屋と過去ログはこのまま残り、次の卓も同じ部屋で続く。"
+    body="解散。この卓はここまで。参加者: ${seat_names}。部屋と過去ログはこのまま残り、次の卓も同じ部屋で続く。"
     python3 -c "
 import json,sys,urllib.request
 req=urllib.request.Request('$url/api/$room/messages', method='POST',
@@ -256,10 +262,12 @@ req=urllib.request.Request('$url/api/$room/messages', method='POST',
 urllib.request.urlopen(req, timeout=10).read()
 " 2>/dev/null && did "解散の区切りを履歴へ" || skip "解散の区切り（投稿できず・撤去は続行）"
     n=0
-    for name in $seats; do
+    while IFS= read -r member; do
+      [ -n "$member" ] || continue
+      name=$(python3 -c 'import json,sys,urllib.parse; print(urllib.parse.quote(json.loads(sys.argv[1])["name"], safe=""))' "$member")
       c=$(curl -s -o /dev/null -w '%{http_code}' -X DELETE "$url/api/$room/members/$name" -H "X-Peertable-Token: $PEERTABLE_POST_TOKEN" || true)
       [ "$c" = 200 ] && n=$((n + 1))
-    done
+    done <<<"$member_lines"
     did "メンバー登録の解除（${n}名）— **部屋と過去ログは残す**（$url/$room）"
   fi
 # room 削除は --purge だけ。トークンを要する唯一の段で、ここだけが外部サービスへの依存境界

package/skill/scripts/tmux-socket.mjs

@@ -0,0 +1,10 @@
+#!/usr/bin/env node
+import { resolveTmuxSocket } from './seat-usage.mjs'
+
+const result = resolveTmuxSocket(process.env)
+if (result.error?.code === 'PEERTABLE_TMUX_SOCKET_AMBIGUOUS') {
+  console.error(`${result.error.code}: ${result.candidates.join(', ')}`)
+  process.exit(1)
+}
+if (process.argv.includes('--source')) console.log(result.source)
+else console.log(result.socket)