peertable 0.4.37 → 0.5.1

package/skill/scripts/launch-seat.sh

@@ -107,7 +107,7 @@ sock=""
 sess=""
 url=""
 room=""
-seat_file="$proj/.team/seats/$name.json"
+# 席の本人性は room 台帳の member 行が持つ（席file廃止 2026-08-22）。rollback は member DELETE が兼ねる
 cleanup_brief() {
   if [ -n "$brief_file" ]; then rm -f "$brief_file"; fi
   return 0
@@ -144,13 +144,6 @@ rollback_brief() {
     return 1
   fi
 
-  if [ -n "$seat_file" ] && [ -e "$seat_file" ]; then
-    if ! rm -f "$seat_file"; then
-      rollback_failed=1
-      echo "LAUNCH_BRIEF_ROLLBACK_FAILED: seat identity を撤去できない: ${seat_file}" >&2
-    fi
-  fi
-
   if [ -n "$url" ] && [ -n "$room" ]; then
     if ! encoded_name=$(python3 -c 'import sys,urllib.parse; print(urllib.parse.quote(sys.argv[1], safe=""))' "$name"); then
       rollback_failed=1
@@ -305,11 +298,6 @@ if ! node "$room_mcp_helper" "$proj" "$peertable_repo" "$mcp_ownership"; then
   echo "SEAT_ROOM_MCP_INVALID: Aiterm席のroom clientをcurrent treeへ束縛できない（席は立てない）" >&2
   exit 1
 fi
-if ! credential_file=$(env -u PEERTABLE_POST_TOKEN node "$credential_helper" prepare "$proj" "$room" "$name"); then
-  echo "SEAT_CREDENTIAL_PREPARE_FAILED: 席別credentialを用意できない（席は立てない）" >&2
-  exit 1
-fi
-
 # 同名の古いroom memberが残っていると、Codexの新しいroom clientが一度も登録していなくても
 # 下のready確認を通ってしまう。古いmemberを別席のまま黙って消すのは危険なので、起動前に同名を
 # conflictとして拒否し、明示的な退席後に再実行させる。一覧を読めない時も着席前に止める。
@@ -339,6 +327,15 @@ case "$stale_member_rc" in
     ;;
 esac
 
+# credential は同名掃除の**後**に用意する。leave-seat は member ごと credential file
+# （path は project/room/member から決定的）を撤去するので、先に作ると同名再着席の
+# 初回だけ「消えた credential を席へ渡して client が initialize 前に死ぬ」レースになる
+# （実被弾 2026-08-22: さくら再着席の初回必敗・再走で成功、の正体）。
+if ! credential_file=$(env -u PEERTABLE_POST_TOKEN node "$credential_helper" prepare "$proj" "$room" "$name"); then
+  echo "SEAT_CREDENTIAL_PREPARE_FAILED: 席別credentialを用意できない（席は立てない）" >&2
+  exit 1
+fi
+
 # leave-seat が席専用 GROK_HOME を消す。同名再着席では preflight 後に空になるので、
 # live 起動の直前に auth と ui だけを書き直す（user booth MCP は載せない）。
 if [ "$vendor" = grok ]; then
@@ -356,7 +353,6 @@ fi
 # direct CLI launch へ戻るfallbackは置かない。Aiterm が作る同名PTYと launch receipt が、
 # 以後の `pty_read` / `agent_configure` / room metadata を同じsessionへ束縛する。
 tmux_at kill-session -t "$sess" 2>/dev/null || true
-rm -f "$proj/.team/seats/$name.json"
 
 launch_env=(
   "PEERTABLE_URL=$url"
@@ -420,7 +416,34 @@ then
   exit 1
 fi
 aiterm_session_id="$sess"
-brief_dispatched=true
+# **launch が返った事実は brief 配達の証拠にならない。** aiterm は TUI が入力受付前
+# （update/trust ダイアログ表示中など）だと prompt を送らず、receipt の event_cursor=null で
+# それを申告する。読まずに配達済み扱いにすると席が白紙のまま「briefed」と報告される
+# （実被弾 2026-08-22: さくら再着席。席は起動したが着任指示ゼロで放置）。
+# event_cursor が数値 → turn 開始をaitermが確認済み。submit_residue=true → 本文は
+# composer に残ったが Enter が落ちた＝後段で Enter だけ打ち直す。null → 未送信＝後段で貼る。
+brief_in_composer=false
+if [ -n "$brief" ]; then
+  brief_receipt_state=$(python3 - "$launch_receipt" <<'PY'
+import json, sys
+r = json.loads(sys.argv[1])
+cursor = r.get('event_cursor')
+residue = r.get('submit_residue')
+print('dispatched' if cursor is not None and residue is not True
+      else 'residue' if residue is True else 'not_sent')
+PY
+)
+  case "$brief_receipt_state" in
+    dispatched) brief_dispatched=true ;;
+    residue)
+      brief_in_composer=true
+      echo "SEAT_BRIEF_SUBMIT_RESIDUE: brief は入力欄に残り submit が落ちた。着席確認後に submit し直す" >&2
+      ;;
+    *)
+      echo "SEAT_BRIEF_LAUNCH_PROMPT_NOT_SENT: aiterm は TUI 入力受付前で brief を送っていない。着席確認後に貼り直す" >&2
+      ;;
+  esac
+fi
 seat_tmux=$(tmux_at display-message -p -t "$sess" '#{socket_path}')
 
 # Aiterm管理席の process 起動は公開launch receiptで確定している。旧direct CLI launch向けの
@@ -441,42 +464,46 @@ codex_hooks_accepted=false
 codex_update_accepted=false
 codex_trust_accepted=false
 claude_trust_accepted=false
+codex_dialog_helper="$peertable_script_dir/codex-dialog.mjs"
+pass_codex_pane() {
+  local json key
+  json=$(printf '%s' "$1" | node "$codex_dialog_helper" || true)
+  [ -n "$json" ] && [ "$json" != "null" ] || return 1
+  while IFS= read -r key; do
+    [ -n "$key" ] || continue
+    tmux_at send-keys -t "$sess" "$key" || return 1
+  done < <(python3 -c 'import json,sys
+a=json.loads(sys.stdin.read() or "null")
+print("\n".join(a.get("keys") or []) if isinstance(a, dict) else "")' <<<"$json")
+  return 0
+}
+codex_pane_blocks_ready() {
+  printf '%s' "$1" | node "$codex_dialog_helper" --ready-ok
+}
 while [ $SECONDS -lt "$room_ready_deadline" ]; do
   # Grok Build は初めて開く作業treeで、room MCPを初期化する前にworkspace trustを尋ねる。
   # Peertableが正式に着席させるtreeなので、この既知文言だけを一度通す。未知の確認画面を
   # 汎用的に承認するfallbackにはしない。承認後のMCP初期化時間は改めて30秒確保する。
   if [ "$vendor" = codex ]; then
     codex_screen=$(tmux_at capture-pane -t "$sess" -p 2>/dev/null || true)
-    if [ "$codex_update_accepted" != true ]; then
-      case "$codex_screen" in
-        *"Update now"*)
-          if tmux_at send-keys -t "$sess" Down && tmux_at send-keys -t "$sess" Enter; then
-            codex_update_accepted=true
-            room_ready_deadline=$((SECONDS + 90))
-            echo "codex update prompt: skipped"
-          fi
-          ;;
-      esac
-    fi
-    if [ "$codex_hooks_accepted" != true ]; then
+    if pass_codex_pane "$codex_screen"; then
+      room_ready_deadline=$((SECONDS + 90))
       case "$codex_screen" in
+        *"Allow the room MCP server to run tool"*) echo "codex mcp allow: always allow" ;;
         *"Hooks need review"*)
-          if tmux_at send-keys -t "$sess" Down && tmux_at send-keys -t "$sess" Enter; then
-            codex_hooks_accepted=true
-            room_ready_deadline=$((SECONDS + 90))
-            echo "codex hooks prompt: trust all"
-          fi
+          codex_hooks_accepted=true
+          echo "codex hooks prompt: trust all"
+          ;;
+        *"Update now"*)
+          codex_update_accepted=true
+          echo "codex update prompt: skipped"
           ;;
-      esac
-    fi
-    if [ "$codex_trust_accepted" != true ]; then
-      case "$codex_screen" in
         *"Yes, continue"*)
-          if tmux_at send-keys -t "$sess" Enter; then
-            codex_trust_accepted=true
-            room_ready_deadline=$((SECONDS + 90))
-            echo "codex directory trust: accepted"
-          fi
+          codex_trust_accepted=true
+          echo "codex directory trust: accepted"
+          ;;
+        *"Would you like to run the following command?"*)
+          echo "codex command approval: don't ask again"
           ;;
       esac
     fi
@@ -529,6 +556,13 @@ while [ $SECONDS -lt "$room_ready_deadline" ]; do
   fi
   room_members=$(curl -sf "$url/api/$room/members" 2>/dev/null || true)
   if printf '%s' "$room_members" | python3 -c 'import json,sys; name=sys.argv[1]; members=json.load(sys.stdin).get("members",[]); raise SystemExit(0 if any(m.get("name") == name for m in members) else 1)' "$name"; then
+    if [ "$vendor" = codex ]; then
+      codex_screen=$(tmux_at capture-pane -t "$sess" -p 2>/dev/null || true)
+      if ! codex_pane_blocks_ready "$codex_screen"; then
+        sleep 1
+        continue
+      fi
+    fi
     room_ready=true
     break
   fi
@@ -541,6 +575,24 @@ if [ "$room_ready" != true ]; then
   exit 1
 fi
 echo "room ready: ${room}/${name}"
+if [ "$vendor" = codex ]; then
+  # member 登録後の最初の tool 呼び出しで MCP Allow が出る。出ている間だけ通し、沈黙5秒で抜ける。
+  codex_post_ready_deadline=$((SECONDS + 90))
+  codex_post_ready_idle=0
+  while [ $SECONDS -lt "$codex_post_ready_deadline" ]; do
+    codex_screen=$(tmux_at capture-pane -t "$sess" -p 2>/dev/null || true)
+    if pass_codex_pane "$codex_screen"; then
+      case "$codex_screen" in
+        *"Allow the room MCP server to run tool"*) echo "codex mcp allow: always allow" ;;
+      esac
+      codex_post_ready_idle=0
+    else
+      codex_post_ready_idle=$((codex_post_ready_idle + 1))
+      [ "$codex_post_ready_idle" -ge 5 ] && break
+    fi
+    sleep 1
+  done
+fi
 if [ "$brief_dispatched" = true ]; then
   brief_completed=true
   echo "briefed: ${sess}（Aiterm launch prompt）"
@@ -575,17 +627,20 @@ if [ -n "$brief" ] && [ "$brief_dispatched" != true ]; then
     sleep 1
 
   brief_before=$(tmux_at capture-pane -S -1000 -t "$sess" -p 2>/dev/null || true)
-  brief_buffer="peertable-brief-${name}-$$"
-  if ! tmux_at load-buffer -b "$brief_buffer" "$brief_file"; then
-    echo "LAUNCH_BRIEF_SEND_FAILED: brief の tmux buffer 読み込みに失敗（席は着席済み）" >&2
-    exit 1
-  fi
-  if ! tmux_at paste-buffer -b "$brief_buffer" -d -t "$sess"; then
-    tmux_at delete-buffer -b "$brief_buffer" 2>/dev/null || true
-    echo "LAUNCH_BRIEF_SEND_FAILED: brief の tmux paste に失敗（席は着席済み）" >&2
-    exit 1
+  # submit_residue の席は本文が composer に残っている。貼り直すと二重になるので Enter だけ打つ。
+  if [ "$brief_in_composer" != true ]; then
+    brief_buffer="peertable-brief-${name}-$$"
+    if ! tmux_at load-buffer -b "$brief_buffer" "$brief_file"; then
+      echo "LAUNCH_BRIEF_SEND_FAILED: brief の tmux buffer 読み込みに失敗（席は着席済み）" >&2
+      exit 1
+    fi
+    if ! tmux_at paste-buffer -b "$brief_buffer" -d -t "$sess"; then
+      tmux_at delete-buffer -b "$brief_buffer" 2>/dev/null || true
+      echo "LAUNCH_BRIEF_SEND_FAILED: brief の tmux paste に失敗（席は着席済み）" >&2
+      exit 1
+    fi
+    sleep 1
   fi
-  sleep 1
   if ! tmux_at send-keys -t "$sess" Enter; then
     echo "LAUNCH_BRIEF_SEND_FAILED: brief の submit に失敗（席は着席済み）" >&2
     exit 1
@@ -614,15 +669,12 @@ if [ -n "$brief" ] && [ "$brief_dispatched" != true ]; then
 fi
 fi
 
-# 席の素性を `.team/seats/<name>.json` へ置く。**席が自分の pid を知るための唯一の経路**である
-# （Lattice の `run intake attach` は expected identity を要求し、pid を推定しない）。
+# 席の本人性（pid / 起動時刻 / argv digest）を room 台帳の member 行へ登録する。
+# member に帰属する情報の正本は台帳だけ（オーナー裁定 2026-08-22・席fileは廃止）。
 # 着席の**後**に取る——起動途中の process を掴むと、ダイアログ通過で子が入れ替わりうる。
-#
-# 持たせるのは6欄だけで、**`lattice.pull_worker_attach_input.v1` の exact 集合から `schema` を
-# 除いたもの**と一致する。席は読んで `schema` を被せるだけで attach input になる（変換不要）。
-# **raw argv を持たせない**——秘密値はargvから除いたが、将来の引数も含めて複製しない。digest だけを持つ。
-# この file が主張するのは「この pid はこの席だった」という**識別**であって、生死ではない。
-# 生きているかは attach する側（Lattice）が lstart+argv の再観測で確かめる。
+# **raw argv を持たせない**——digest だけを持つ。この記録が主張するのは「この pid は
+# この席だった」という**識別**であって、生死ではない。生きているかは attach する側
+# （Lattice）が lstart+argv の再観測で確かめる。
 seat_pid=""
 pane_pid=$(tmux_at list-panes -t "$sess" -F '#{pane_pid}' 2>/dev/null | head -1 || true)
 seat_ident=""
@@ -639,82 +691,51 @@ if [ -z "$seat_pid" ]; then
   # 記録が無ければ席は attach できず、装置の介入は協調 hold のままになる。**黙らない。**
   echo "seat identity を記録できなかった: ${sess} の process group leader を1つに確定できない（席は着席済み）" >&2
 else
-  mkdir -p "$proj/.team/seats"
-  # **`session` に tmux 名（`peer-<name>`）を入れてはいけない。** Lattice の attach は
-  # `input.session === actor.session` を要求し（`runtime-pull-intake.mjs:674`）、actor session は
-  # 上の env_line が入れる `LATTICE_TODO_ACTOR_SESSION=$name` である。tmux 識別子を混ぜると
-  # attach が必ず `WORKER_ACTOR_MISMATCH` で拒否される（mio の監査で発覚・room [937]）。
-  if ! python3 - "$proj/.team/seats/$name.json" "$name" "$name" "$seat_ident" <<'PY'
-import hashlib, json, os, subprocess, sys, tempfile
-out, name, session, ident_raw = sys.argv[1:5]
+  # aiterm_session_id の書き手はランチャー（launch receipt の所有者）。席の client は
+  # Codex closed-mode env で AITERM_SESSION_ID を受け取れないため、ここで台帳へ載せる。
+  ident_body=$(python3 - "$name" "$seat_ident" "$aiterm_session_id" <<'PY'
+import json, subprocess, sys
+name, ident_raw, aiterm_session = sys.argv[1:4]
 ident = json.loads(ident_raw)
-pid = int(ident['pid'])
-started = ident['started_identity']
-argv = ident['argv']
-if not started or not argv:
+if not ident.get('started_identity') or not ident.get('argv') or not ident.get('argv_digest'):
     sys.exit('pid の lstart/args を観測できない')
-record = {
-    'argv_digest': hashlib.sha256(argv.encode()).hexdigest(),
+print(json.dumps({
     'name': name,
-    'pid': pid,
-    'recorded_at': subprocess.run(['date', '-u', '+%Y-%m-%dT%H:%M:%S.000Z'],
-                                  capture_output=True, text=True, check=True).stdout.strip(),
-    'session': session,
-    'started_identity': started,
-}
-# canonical JSON（key 昇順・空白なし）＋ 0600 ＋ 一時file→fsync→rename で原子的に置く。
-# 着席直後に席が読むので、部分読取が起きない形にする。
-body = json.dumps(record, ensure_ascii=False, sort_keys=True, separators=(',', ':')) + '\n'
-fd, tmp = tempfile.mkstemp(dir=os.path.dirname(out), prefix='.seat-', suffix='.tmp')
-try:
-    with os.fdopen(fd, 'w') as handle:
-        handle.write(body)
-        handle.flush()
-        os.fsync(handle.fileno())
-    os.chmod(tmp, 0o600)
-    os.replace(tmp, out)
-except BaseException:
-    os.unlink(tmp)
-    raise
+    'pid': int(ident['pid']),
+    'started_identity': ident['started_identity'],
+    'argv_digest': ident['argv_digest'],
+    'aiterm_session_id': aiterm_session,
+    'identity_recorded_at': subprocess.run(['date', '-u', '+%Y-%m-%dT%H:%M:%S.000Z'],
+                                           capture_output=True, text=True, check=True).stdout.strip(),
+}, ensure_ascii=False))
 PY
-  then
-    echo "seat identity を記録できなかった: ${sess}（席は着席済み・attach は協調 hold のままになる）" >&2
+) || ident_body=""
+  if [ -z "$ident_body" ] || ! env -u PEERTABLE_POST_TOKEN node "$credential_helper" request "$credential_file" POST \
+      "$url/api/$room/members" "$ident_body" >/dev/null; then
+    echo "seat identity を台帳へ登録できなかった: ${sess}（席は着席済み・attach は協調 hold のままになる）" >&2
   fi
 fi
 
-# 席の素性（roles / settings / mission）を room へ渡す。一覧チップと席の名簿が同じ欄を見る。
-tmux_ns=$(node "$(dirname "$0")/tmux-socket.mjs" --namespace)
-# python stdout は Windows で cp932 になり 実装 が壊れる。Node が UTF-8 JSON を出す。
-meta=$(node "$(dirname "$0")/seat-metadata.mjs" "$name" "$vendor" "$model" "$effort" "$sock" "$sess" "$role" "$mission" "$aiterm_session_id" "$tmux_ns")
-if env -u PEERTABLE_POST_TOKEN node "$credential_helper" request "$credential_file" POST \
-    "$url/api/$room/members" "$meta" >/dev/null; then
-  # **200 は保存の証拠にならない**。素性欄を知らない server も 200 {"ok":true} を返して黙って捨てる
-  # （登録が `if (!members.has(name))` の no-op になる経路もある）。読み返して実際に載ったかを見る。
-  # **パイプと heredoc を同じ stdin へ重ねない**。`curl | python3 - <<'PY'` は
-  # 「プログラムを stdin から読む」と「データを stdin から読む」が衝突して、必ず失敗する
-  # （そして try/except で包むと、失敗が「保存されていない」という**もっともらしい答え**に化ける。実測）
-  listing=$(curl -sf "$url/api/$room/members" || true)
-  stored=$(python3 - "$name" "$listing" <<'PY'
+# 素性（vendor/model/roles/mission/observe/aiterm ID）の書き手は**席の room client だけ**。
+# ランチャーはここで台帳を読み返し、実際に載ったかを確認するだけにする（重複書込の禁止）。
+member_row=$(curl -sf "$url/api/$room/members/$(python3 -c 'import sys,urllib.parse;print(urllib.parse.quote(sys.argv[1],safe=""))' "$name")" || true)
+stored=$(python3 - "$member_row" <<'PY'
 import json, sys
-# 読み返しに失敗しても生の traceback を出さない。ここは「保存されたか」を見るだけの確認段で、
-# 判定不能は「保存されていない」と同じ扱いでよい（席は既に着席している）
 try:
-    members = json.loads(sys.argv[2])['members']
+    m = json.loads(sys.argv[1])['member']
 except Exception:
-    members = []
-m = next((x for x in members if x.get('name') == sys.argv[1]), {})
-print('yes' if m.get('model') and (m.get('roles') or m.get('role')) and m.get('aiterm_session_id') and m.get('observe', {}).get('tmux_target') else 'no')
+    m = {}
+print('yes' if m.get('model') and m.get('roles') and m.get('aiterm_session_id')
+      and (m.get('observe') or {}).get('tmux_target') and m.get('pid') else 'no')
 PY
 )
-  if [ "$stored" = yes ]; then
-    echo "metadata: ${vendor} / ${model}${effort:+ / $effort}${role:+ / $role}"
-  else
-    echo "metadata は保存されなかった: この room サーバーは素性欄を持たない版（席は着席済み・一覧に素性が出ないだけ）" >&2
-  fi
+if [ "$stored" = yes ]; then
+  echo "台帳確認: ${vendor} / ${model}${effort:+ / $effort}${role:+ / $role}（素性・本人性とも登録済み）"
 else
-  echo "metadata の登録に失敗した: 席は着席済みで、参加者一覧に素性が出ないだけ（room の到達性とトークンを確認）" >&2
+  echo "SEAT_LEDGER_INCOMPLETE: 台帳の member 行に素性または本人性が欠けている（席は着席済み。doctor で確認）" >&2
 fi
 
+PEERTABLE_CREDENTIAL_FILE="$credential_file" "$(dirname "$0")/ensure-bridge.sh" "$proj" alarm   || echo "alarm-bridge の起動確認に失敗した（席は着席済み）" >&2
 if PEERTABLE_CREDENTIAL_FILE="$credential_file" "$(dirname "$0")/ensure-bridge.sh" "$proj" seat-status; then
   echo "seat-status-bridge: 起動確認済み"
 else

package/skill/scripts/leave-seat.sh

@@ -76,10 +76,7 @@ if ! env -u PEERTABLE_POST_TOKEN node "$credential_helper" request "$credential_
   failed=1
 fi
 
-if ! rm -f "$proj/.team/seats/$name.json"; then
-  echo "SEAT_LEAVE_IDENTITY_FAILED: $name" >&2
-  failed=1
-fi
+# 席の本人性は台帳の member 行が持つ（席file廃止 2026-08-22）。上の member DELETE が identity も撤去する
 rm -rf "$proj/.team/seats/${name}.grok-home"
 rm -rf "$proj/.team/seats/${name}.codex"
 if ! env -u PEERTABLE_POST_TOKEN node "$credential_helper" remove "$proj" "$credential_file"; then

package/skill/scripts/parent-join.sh

@@ -34,21 +34,14 @@ fi
 member=$(python3 - "$name" "$model" "$effort" "$parent_vendor" "$mission" <<'PY'
 import json, sys
 name, model, effort, vendor, mission = sys.argv[1:6]
-body = {'name': name, 'roles': ['統括'], 'role': '統括'}
+# 台帳には canonical 欄だけを登録する（settings / role 単数の重複欄は 2026-08-22 廃止）
+body = {'name': name, 'roles': ['統括']}
 if vendor:
     body['vendor'] = vendor
 if model:
     body['model'] = model
-settings = {}
-if vendor:
-    settings['vendor'] = vendor
-if model:
-    settings['model'] = model
 if effort:
     body['effort'] = effort
-    settings['effort'] = effort
-if settings:
-    body['settings'] = settings
 if mission:
     body['mission'] = mission
 body['observe'] = None
@@ -78,6 +71,7 @@ fi
 if [ -f "$proj/.team/roles/parent.md" ]; then
   echo "親役割は $proj/.team/roles/parent.md を読むこと"
 fi
+echo "親の権限境界: 各ToDoのクローズは監査担当が行い、親は裁定しない。親の仕事はオーナー窓口・環境修理・終端監査だけ（オーナー裁定 2026-08-22。詳細は skill/SKILL.md「親の operating notes」冒頭）"
 
 # parent-watchが初回headを固定する。以後のDMはwatcher不在時間を含め
 # 永続cursorからcatch-upされる。host内のbackground task自体は親セッションだけが所有できる。
@@ -90,6 +84,25 @@ if PEERTABLE_PARENT_HOST="$parent_vendor" node "$here/parent-watch.mjs" "$proj"
   else
     echo "PARENT_WATCH_START_REQUIRED: Claude Monitor（persistent）で ${here}/parent-watch.mjs ${proj} ${name} --follow を1回だけ起動し、通知後も同じMonitorで待機を続けること"
   fi
+  # 耳の疎通probe: 番犬が生きていても、その出力を受け取る監視（Monitor等）が現在の
+  # 親セッションに繋がっている保証はない（番犬が前セッションの耳へ吠え続け、親宛DMが
+  # 全損する実被弾 2026-08-22）。cursor確定後に親宛のprobe DMを1通置き、
+  # 「監視イベントとしてこのnonceを受信した」ことを着卓完了の条件にする。
+  probe_nonce="$(date +%s)-$$"
+  probe_body=$(python3 - "$name" "$probe_nonce" <<'PY'
+import json, sys
+name, nonce = sys.argv[1:3]
+print(json.dumps({'from': 'ear-probe', 'to': name,
+  'body': f'[耳疎通probe {nonce}] この通知を監視イベントとして受信できていれば耳は接続済み。受信するまで着卓完了と言わないこと。'}, ensure_ascii=False))
+PY
+)
+  if curl -sf -X POST "$url/api/$room/messages" \
+    -H "X-Peertable-Token: $PEERTABLE_POST_TOKEN" -H 'content-type: application/json' \
+    -d "$probe_body" > /dev/null; then
+    echo "EAR_PROBE_SENT: nonce=${probe_nonce}。着卓完了の条件は、上記の監視経由でこのnonceを受信すること。受信できないなら耳は繋がっていない＝着卓失敗として扱い、監視を張り直す"
+  else
+    echo "WARN: EAR_PROBE_POST_FAILED: 耳疎通probeを投稿できない（監視の受信確認ができないまま）" >&2
+  fi
 else
   echo "WARN: PARENT_WATCH_PRIME_FAILED: 親（${name}）のDM cursorを準備できない" >&2
 fi

package/skill/scripts/parent-watch-logic.mjs

@@ -4,6 +4,39 @@ export function latticeStaffingChanged(previous, next) {
   return previous.ready !== next.ready || previous.active !== next.active
 }
 
+const STATUS_LABEL = { busy: '作業中', blocked: '承認待ち', idle: '待機', dead: '停止' }
+
+// 「工程があるのに作業中の席が1つも無い」が holdMs 続いたら1回だけ警報を出す。
+// observation: { ready, active, workers: [{name, status}] }（membersを読めた時だけ渡す）
+// previous: 保存済み stall 状態（{ since, alerted } | null | undefined）
+// 返り値: { stall, event }。event が非null なら親へ届ける。
+export function tableStallUpdate(previous, observation, nowMs, holdMs) {
+  if (!observation) return { stall: previous ?? null, event: null }
+  const { ready, active, workers } = observation
+  const workExists = ready + active > 0
+  const anyoneBusy = workers.some(w => w.status === 'busy')
+  if (!workExists || anyoneBusy) return { stall: null, event: null }
+  const since = previous?.since ?? nowMs
+  const alerted = previous?.alerted === true
+  if (alerted || nowMs - since < holdMs) {
+    return { stall: { since, alerted }, event: null }
+  }
+  const seatList = workers.length === 0
+    ? '席が1つもありません'
+    : workers.map(w => `${w.name}=${STATUS_LABEL[w.status] ?? w.status ?? '未報告'}`).join('、')
+  return {
+    stall: { since, alerted: true },
+    event: {
+      type: 'parent_table_stalled',
+      ready,
+      active,
+      workers,
+      body: `警報: 着手可能 ${ready} 件・着手中 ${active} 件の工程があるのに、作業中の席が1つもありません`
+        + `（${Math.round(holdMs / 60000)}分継続）。席: ${seatList}。各席の状態を確認して動かしてください。`,
+    },
+  }
+}
+
 export function addressedToParent(message, parent) {
   return message?.from !== parent
     && (message?.to === 'all' || message?.to === parent

package/skill/scripts/parent-watch.mjs

@@ -11,7 +11,7 @@ import { execFileSync } from 'node:child_process'
 import { existsSync, readFileSync, renameSync, statSync, unlinkSync, writeFileSync } from 'node:fs'
 import { join } from 'node:path'
 import { resolveLatticeExecutable } from './seat-usage.mjs'
-import { addressedToParent as messageAddressedToParent, latticeStaffingChanged } from './parent-watch-logic.mjs'
+import { addressedToParent as messageAddressedToParent, latticeStaffingChanged, tableStallUpdate } from './parent-watch-logic.mjs'
 
 const args = process.argv.slice(2)
 const project = args.shift()
@@ -231,8 +231,40 @@ async function acceptMessage(message) {
   return matched
 }
 
+// 「工程があるのに作業中の席が1つも無い」を親へ知らせる停滞警報。席の状態は
+// seat-status-bridge が room members へ書く status を使う（親は延べ配信対象外）。
+// members か Lattice を読めない tick は判定を進めず、前回の stall 状態を保つ。
+const stallHoldMs = Number(process.env.PEERTABLE_STALL_ALARM_MS ?? 180_000)
+async function checkStall() {
+  const lattice = state.lattice
+  if (!lattice || lattice.error !== undefined) return false
+  let members
+  try { members = (await readJson('/members')).members ?? [] } catch { return false }
+  const workers = members
+    .filter(m => m.name !== parent && m.delivery?.kind !== 'parent_watch')
+    .map(m => ({ name: m.name, status: m.status ?? null }))
+  const { stall, event } = tableStallUpdate(
+    state.stall ?? null,
+    { ready: lattice.ready, active: lattice.active, workers },
+    Date.now(),
+    stallHoldMs,
+  )
+  if (JSON.stringify(stall) !== JSON.stringify(state.stall ?? null)) {
+    state = { ...state, stall, last_event_at: event ? now() : state.last_event_at }
+    saveState(state)
+  }
+  if (!event) return false
+  await writeEvent({
+    schema: 'peertable.parent-watch-event.v1',
+    parent,
+    ...event,
+  })
+  return true
+}
+
 async function catchUp() {
   if (await acceptLatticeState(readLatticeState(state.lattice)) && mode === '--next') return true
+  if (await checkStall() && mode === '--next') return true
   const body = await readJson(`/messages?since=${state.last_seq}`)
   for (const message of body.messages ?? []) {
     if (await acceptMessage(message) && mode === '--next') return true
@@ -295,6 +327,7 @@ for (;;) {
           if (eventName === 'ping') {
             const head = Number(data)
             if (await acceptLatticeState(readLatticeState(state.lattice)) && mode === '--next') process.exit(0)
+            if (await checkStall() && mode === '--next') process.exit(0)
             if (Number.isSafeInteger(head) && head > state.last_seq && await catchUp()) process.exit(0)
             continue
           }

package/skill/scripts/pull-attach-input.mjs

@@ -0,0 +1,53 @@
+#!/usr/bin/env node
+// attach 入力は room 台帳（member 行の本人性欄）だけから作る。呼び出し側の pid 推定を受け付けない。
+// usage: pull-attach-input.mjs <project_dir> <name> [refusedPid]
+import { readFileSync } from 'node:fs'
+import { join, resolve } from 'node:path'
+
+const fail = (code, message) => {
+  process.stderr.write(`${code}: ${message}\n`)
+  process.exit(2)
+}
+
+const [projectDir, name, maybePid] = process.argv.slice(2)
+if (!projectDir || !name) fail('ATTACH_INPUT_ARGS', 'usage: pull-attach-input.mjs <project_dir> <name> [refusedPid]')
+
+let setup
+try {
+  setup = JSON.parse(readFileSync(join(resolve(projectDir), '.team', 'setup-state.json'), 'utf8'))
+} catch (error) {
+  fail('ATTACH_INPUT_STATE_UNREADABLE', error.message)
+}
+
+let member
+try {
+  const response = await fetch(`${setup.server_url.replace(/\/$/u, '')}/api/${encodeURIComponent(setup.room)}/members/${encodeURIComponent(name)}`)
+  if (!response.ok) fail('ATTACH_INPUT_MEMBER_MISSING', `台帳に ${name} が無い（HTTP ${response.status}）`)
+  member = (await response.json()).member
+} catch (error) {
+  if (error?.code === undefined) fail('ATTACH_INPUT_LEDGER_UNREACHABLE', String(error?.message ?? error))
+  throw error
+}
+
+const pid = member.pid
+if (!Number.isSafeInteger(pid) || pid < 1) fail('ATTACH_INPUT_NO_PID', '台帳の member 行に pid が無い')
+if (maybePid !== undefined && Number(maybePid) !== pid) {
+  fail('WORKER_IDENTITY_MISMATCH',
+    `invented pid ${maybePid} is not the ledger pid ${pid}（実行層死亡ではない）`)
+}
+if (!member.started_identity || !member.argv_digest) {
+  fail('ATTACH_INPUT_IDENTITY_INCOMPLETE', '台帳の member 行に started_identity / argv_digest が無い')
+}
+
+// `session` は席名。tmux 名（peer-<name>）を入れると Lattice の attach が
+// `WORKER_ACTOR_MISMATCH` で必ず拒否される（actor session は LATTICE_TODO_ACTOR_SESSION=<name>）。
+const input = {
+  schema: 'lattice.pull_worker_attach_input.v1',
+  name: member.name,
+  session: member.name,
+  pid,
+  started_identity: member.started_identity,
+  argv_digest: member.argv_digest,
+  recorded_at: member.identity_recorded_at,
+}
+process.stdout.write(`${JSON.stringify(input)}\n`)