Дозакрыты находки ревью по слиянию сущностей

- Правило покрытия получило второй разряд (условный, как у точек), запрет
  вырождения формы и счёт содержательных элементов ряда: скелет из скаляров и
  ряд из null больше не затирают маршрут. Победитель внутри доставки стал
  функцией множества версий — общим помощником с точками, — а провенанс
  поднимается и при совпавшем хеше, иначе отложенная доставка возвращала витрину
  к прежнему содержимому.
- Одно поле не того типа больше не уносит сущность, а пропуски видны в учётной
  записи доставки (миграция 00008, NULL = «не измерялось»); каноническая форма
  считается один раз и вне транзакции; откат бинаря поверх новой схемы отказывает
  на старте; текст ошибки разбора не несёт значений из тела.
- Ревью кода профилем deep (девять проходов) нашло две регрессии и обе закрыты:
  безусловный второй разряд запирал законный досчёт навсегда, а выбор победителя
  был квадратичен по числу присланных версий одного ключа.

docs/conventions.md

@@ -66,6 +66,12 @@
   При сомнении логируем факт наличия, не значение.
 - Данные о здоровье — чувствительные. Тела запросов пишем только на `DEBUG`
   и с обрезкой по длине.
+- **Текст ошибки разбора не содержит значений из входа** — только род токена
+  (словарём JSON, не именем типа языка) и смещение. Инвариант выше обходится
+  одним `fmt.Errorf("%v", tok)`: тело в 8 МиБ дало текст ошибки в 8 МиБ, и он
+  уехал атрибутом `error` на уровень `WARN`. Предел держит само сообщение, а не
+  обрезка на стороне логирующего: обрезка живёт в другом месте и о новой ошибке
+  разбора не узнает.
 
 ## Конфигурация
 
@@ -105,6 +111,22 @@
   пересборкой молча.
 - Любое значение из чужого JSON, попадающее в ключ, в лог или в отчёт, имеет
   названный предел длины (имена непокрытых секций, `id` сущности).
+- **Колонка, по которой принимается необратимое решение, отличает ноль от «не
+  измерялось».** Миграция, добавляющая такую колонку, не подставляет ноль
+  историческим строкам: ноль означает «проверено, пусто», а не «не знаем», и
+  подстановка выдаёт неизмеренное за измеренное — с видом измерения. Пример:
+  `delivery.skipped_entities`, по которому ретеншен решает, можно ли удалить
+  тело.
+- **Метка изменения строки меняется только при изменении содержимого.** Апдейт,
+  трогающий одни метаданные (провенанс, ссылки), `updated_at` не двигает — иначе
+  она становится меткой касания, и запрос «что изменилось с момента X» получает
+  столько ложных изменений, сколько раз источник переприслал то же самое (у
+  тренировки — двадцать шесть).
+- **Новая производная от разбора колонка в момент появления вносится в перечень
+  того, что пересборка не переносит.** Перечень — единственное место, где это
+  сказано, и следующий автор решает по нему; поле, не внесённое туда, однажды
+  перенесут «для полноты учёта», и витрина снова станет функцией предыдущего
+  прогона.
 - Временные метки — `TEXT` в RFC 3339, **UTC**, суффикс `Z`. Фиксированная
   ширина сохраняет лексикографическую сортировку = хронологию. Единая точка
   генерации — `store.Now()`, а не дефолт в схеме: забытая вставка должна
@@ -129,3 +151,13 @@
   и та же доставка меняла витрину при каждой пересборке. Ревью дизайна этого
   не увидело, ревью кода увидело только перебором троек. Правилом линтера не
   выражается — отсюда проза.
+- **В тот же перебор обязана входить версия с содержимым, равным одной из уже
+  присланных, и пара «равная каноническая форма, разные байты».** Три версии с
+  разными хешами ветку «содержание равно» не посещают ни разу — а именно на ней
+  устаревал провенанс, и живая витрина расходилась с пересборкой молча. Пара с
+  равной формой ловит другое: неединственный минимум, при котором победителем
+  оказывается просто первый в срезе, то есть порядок элементов на проводе.
+- **Изменение правила разбора или слияния сопровождается замером на живом
+  архиве, и ответ «пересворачивать нечего» произносится с числом.** Утверждение
+  без числа не отличается от предположения, а цена ошибки здесь — необратимое
+  решение о судьбе тел.