добавлен словарь категориальных значений HAE → коды HealthKit

- фазы сна, контекст пульса и имена тренировок попадают в реестр
  `category_value` (миграция 00010): строка хранится дословно, выведенный код
  лежит рядом отдельной записью, а не полем внутри точки
- словарь и синонимы кодов живут в бинаре (`internal/healthkit`); локаль из
  `Accept-Language` сужает поиск, но в ключ реестра не входит — заголовков в
  сыром архиве нет
- наблюдение входит в отпечаток витрины, выведенный код — нет: он производная
  от словаря, а не от журнала

docs/security.md

@@ -32,8 +32,10 @@ disabled`, `read auth disabled`), но стартовать не отказыв
   значения, метки времени, имена источников и устройств, имена секций, `id`
   тренировок и записей, содержимое маршрута.
 - **Заголовки доставки** — включая `automation-id`, `automation-aggregation`,
-  `User-Agent`, `Accept-Language`, `Upload-Complete`; они пишутся в `delivery` и
-  участвуют в выводе слоя. Заголовки полуправдивы: `automation-aggregation`
+  `User-Agent`, `Accept-Language`, `Upload-Complete`; они пишутся в `delivery`,
+  участвуют в выводе слоя, а `Accept-Language` — ещё и в выводе кода
+  категориального значения (тег ограничен по длине и по форме, не тег даёт
+  пустую локаль). Заголовки полуправдивы: `automation-aggregation`
   реальной гранулярности не описывает (разведка, находка 33).
 - **Размер тела** — предела на одну сущность нет; наблюдалось 63 МиБ на одной
   координате и 768 МиБ пика кучи на теле 40 МиБ.
@@ -57,6 +59,15 @@ disabled`, `read auth disabled`), но стартовать не отказыв
   отчёт, имеет названный предел длины.
 - **Ключ сущности** — `род секции + id` из HealthKit для `record`, `id` для
   `workout`. `id` приходит из тела.
+- **Ключ наблюдённого категориального значения** — `метрика + поле + значение`.
+  Значение приходит из тела дословно и уезжает в первичный ключ: предел на него
+  назван числом (128 байт), число различных значений одной доставки ограничено
+  (64), и **граница применяется при накоплении, а не при выдаче** — иначе
+  накопитель растёт вместе с телом, а тело контролирует отправитель (измерено:
+  миллион различных значений в теле 60 МиБ поднимал пик процесса с 780 до
+  1002 МиБ). Значение, которое разбор JSON подменил (невалидный UTF-8, одинокий
+  суррогат), наблюдением не считается вовсе: в ключ обязано попасть то, что
+  пришло, а не то, что получилось.
 - **Файл базы и каталог архива** — из конфига, не из запроса.
 
 ## Что разграничивает доступ