healthlog/openspec/changes/archive/2026-08-04-aktivnaya-proverka-novyh-sekcij/review/triage.md

# Триаж ревью: aktivnaya-proverka-novyh-sekcij

## Сводка

- **Профиль:** deep, режим по графу. **Гейт:** зелёный (exit 0 дважды,
  покрытие диффа 96%, 2 непокрытые строки — унаследованный пробел `main.go`).
- **Сверка состава с профилем:** расхождений нет. Deep — 7–8 проходов
  (`docs/review.md`, итог по конвейеру); запущено 7, восьмой (`reimpl`) —
  по триггеру, и триггер не сработал (см. границы покрытия).
- **Проходы поимённо:**
  - `gate` — отработал, 2 находки, зелёный;
  - `specs` — отработал, 5 находок + наблюдения вне спеки;
  - `code` — отработал, 3 находки;
  - `adversary` — отработал, 4 находки с прогнанными оракулами + 3 свойства
    без построенного пути;
  - `ops` — отработал, 2 находки, обязательные вопросы отвечены;
  - `architecture` — отработал, 2 находки + 1 правка «дешевле до мерджа»;
  - `reimpl` — **не запускался**: триггер «новое правило слияния, идентичности
    или разбора» не сработал — изменение вводит наблюдение поверх существующей
    логики;
  - `triage` — этот отчёт.
- **Счёт:** на входе 19 именованных находок, после дедупликации по причине —
  13. В отчёте: 2 блокируют, 4 сейчас, 6 в гипотезах, 2 promote, 1 подтверждённая
  не влезла в потолок (названа в границах покрытия).
- Находка №1 найдена тремя проходами независимо — это подняло её приоритет;
  подтверждением служит прогнанный оракул, а не согласие проходов.
- Совпадений с «Типовыми ложноположительными» из `docs/review.md` нет; отсев
  шёл по проектному списку.

## Блокирует мердж

### Отказ слияния навсегда съедает событие о новой секции — владелец о ней не узнает никогда

- Файл: `internal/fold/fold.go:214-222`
- Severity: major
- Confidence: high
- Оракул: `tmp/adv/lost_event_test.go`, перепрогнан триажем — FAIL
  воспроизведён: запись об отказе (`delivery fold failed`) не несёт
  `uncovered_new`, при этом `fail` пишет `residue.uncovered` в колонку
  (`fold.go:587`), и следующая доставка считает `ecg` виденным. Путь достижим:
  `context.DeadlineExceeded` не транзиентен, тело ~63 МиБ держит блокировку
  5.019 с (замер adversary).
- Последствие: единственная возможность события «поток начал приносить новую
  секцию» — первая доставка с этим именем. Если её свёртка упала на слиянии,
  событие теряется молча и не повторяется: имя уже записано как виденное.
  Прямое нарушение требования дельта-спеки «Отказ свёртки не глотает событие»
  и класс «молчание» — самый дорогой после порчи данных.
- Предложение: в ветви отказа слияния передавать `novelty` в остаток:
  `s.fail(ctx, deliveryID, err, parseResidue{uncovered: parsed.Uncovered,
  skipped: skippedEntities(parsed), novelty: novelty})`. Тест из
  `tmp/adv/lost_event_test.go` перенести в постоянные.
- Найдено проходом: specs, code, adversary (дедуплицировано; оракул один)
- Действие: инлайн

### Вывод команды обещает «журнал не приносил», хотя носитель перечня обрезается и обнуляется — оператор поверит пустоте, которой нельзя верить

- Файл: `cmd/healthlog/uncovered.go:71-95`
- Severity: major
- Confidence: high
- Оракул: дословный пункт дельта-спеки —
  `openspec/changes/aktivnaya-proverka-novyh-sekcij/specs/uncovered-sections/spec.md:198-203`:
  «Система SHALL называть границы перечня в спеке **и в выводе команды**, а не
  обещать „всё, что поток когда-либо приносил"». Вывод границ не называет, а
  пустая ветвь печатает ровно запрещённое обещание: «Непокрытых секций журнал
  не приносил.»
- Последствие: перечень производен от колонки, которую обрезает разбор
  (32 имени на доставку) и обнуляет пересборка (тела, удалённые ретеншеном,
  список теряют). Пустой вывод после ретеншена или вытеснения читается как
  «поток ничего не приносил» — оператор примет решение по неполному ответу,
  считая его полным.
- Предложение: переписать пустую ветвь («в учётных записях журнала непокрытых
  имён нет») и добавить в вывод строку границ носителя (обрезка разбором,
  обнуление пересборкой). Закрепить сквозным тестом `runUncovered` на непустой
  базе — он же закрывает критерий приёмки К3 и находку specs о его отсутствии.
- Найдено проходом: specs
- Действие: инлайн

## Стоит исправить сейчас

### Одна битая строка `uncovered_sections` роняет и сверку (вечный WARN-дребезг), и команду перечня целиком, не называя виновника

- Файл: `internal/store/uncovered.go:37,92-98,167-186`
- Severity: major
- Confidence: high
- Оракул: тест триажа `tmp/triage/jsoneach_test.go` — воспроизведено:
  `SQL logic error: malformed JSON (1)` на весь запрос; с
  `AND json_valid(uncovered_sections)` битая строка пропускается, живая
  считается. Достижимо не штатным путём (`json.Marshal` битого не пишет):
  ручная правка, будущая миграция мимо кода, восстановление БД. Схемной защиты
  `CHECK(json_valid(...))` в миграции 00005 нет.
- Последствие: `json_each` над невалидным JSON — ошибка всего запроса, а guard
  `notEmptyList` проверяет только `'[]'` и `''`. Итог: сверка новизны вечно
  `unknown=true` (постоянный WARN, неотличимый от занятости базы), а
  `healthlog uncovered` отказывает целиком и не говорит, какая строка битая.
- Предложение: добавить `AND json_valid(uncovered_sections)` в `notEmptyList`
  (действует на оба запроса) — проверено, чинит.
- Найдено проходом: ops
- Действие: инлайн

### Обоснование «индекс не нужен» стоит на замере не того случая: в заявленном сценарии скан почти полный на каждой доставке, а `LIMIT` не ограничивает работу

- Файл: `internal/store/uncovered.go:49-64,177-186`; `docs/architecture.md:383-387`
- Severity: minor (факт high, операционная угроза low)
- Confidence: high
- Оракул: `tmp/adv/seen_cost_test.go` — журнал 105 000: имя с первой встречей в
  начале — 31 мкс, в хвосте — 13.9 мс, новое — 14.1 мс. Ранний выход `LIMIT 1`
  окупается только для имени из **начала** журнала; в заявленном сценарии
  (секция начала приезжать недавно) первая встреча — в хвосте, и цена платится
  на каждой доставке, а не «один раз за жизнь имени». Плюс `EXPLAIN QUERY PLAN`
  для `UncoveredSections` (ops): `SCAN d`, `USE TEMP B-TREE FOR GROUP BY` —
  `--limit 5` стоит столько же, сколько `--limit 200`.
- Последствие: сегодня терпимо (~14 мс × 288 доставок ≈ 4 с чтения в сутки),
  но записанное рассуждение, на котором держится решение «индекса нет»,
  неверно, и следующая задача обопрётся на него как на факт. Вдобавок числа
  замера разошлись между двумя местами: `uncovered.go:53-58` — 28 мкс / 45 мс;
  `architecture.md:383-386` — 18 мкс / 46 мс / 57 мс (находка gate и code).
- Предложение (развилка, варианты):
  - (а) принять цену и переписать обоснование в `uncovered.go` и
    `architecture.md` честно (худший случай — почти полный скан на доставку),
    заодно свести разошедшиеся числа и оставить их в одном месте со ссылкой из
    другого — ноль кода, минуты работы;
  - (б) завести индекс или таблицу первых встреч имён — миграция плюс правка
    `docs/database.md`; окупится только если различных имён станет много;
  - (в) ничего не менять — отвергается: обоснование записано неверно.
- Найдено проходом: adversary, ops (дедуплицировано: одна причина — оценка
  стоимости снята на нерепрезентативном случае); расхождение чисел — gate, code
- Действие: развилка

### Несостоявшаяся сверка не называет причину: `uncovered_seen_unknown=true` без ошибки, разбираться не по чему

- Файл: `internal/fold/fold.go:514-522`; `internal/store/uncovered.go:111`
- Severity: minor
- Confidence: high
- Оракул: положение конвенции `docs/conventions/logging.md` (проход code);
  чтение кода — `novelty()` отбрасывает `err` из `SectionsSeenBefore` молча,
  из-за чего `clipCoord` в тексте ошибки `sectionSeenOnce` — мёртвый
  предохранитель: ошибка никуда не доезжает.
- Последствие: оператор видит «сверка не состоялась, новыми объявлены все
  имена», но не видит, почему — занятость, отмена, битая строка (см. находку
  про `json_valid`) неразличимы. Молчание причины при говорящем признаке.
- Предложение: при `unknown` доводить причину до записи — либо логировать в
  `novelty()`, либо нести ошибку в `sectionNovelty` до атрибутов чекпоинта /
  записи об отказе.
- Найдено проходом: specs, code, adversary (дедуплицировано)
- Действие: инлайн

### Сообщение чекпоинта вводит третий термин мимо словаря — операторский контракт (grep, алерты) затвердеет с неверным именем

- Файл: `internal/fold/fold.go` (msg `"delivery folded, unseen section name"`)
- Severity: minor
- Confidence: high
- Оракул: словарь изменения — `uncovered` (состояние) и `new` (событие);
  «unseen» не существует ни в спеке, ни в атрибутах (атрибут называется
  `uncovered_new` — виден в прогоне `tmp/adv/dupclip_test.go`).
- Последствие: после мерджа сообщение — операторский контракт; grep и алерты
  завяжутся на «unseen», и переименование станет дороже с каждой неделей.
  Сейчас — одна строка и один тест.
- Предложение: переименовать msg в термины словаря, например
  `"delivery folded, uncovered section new"`.
- Найдено проходом: architecture
- Действие: инлайн

## Гипотезы без доказательства

- **Вторая сериализация журнального ключа** (`received_at || ' ' || id` +
  `splitJournalKey`, `internal/store/uncovered.go:180-181,216-226`) —
  корректность лексикографического сравнения держится на незакреплённой
  фиксированной ширине `FormatTime`. Оракула (теста, ломающего ширину) не
  построено; понижено до гипотезы. Дешёвая страховка — тест-шпилька на ширину
  формата. (architecture, minor/medium)
- **Два SQL-пути в `SectionsSeenBefore`** (одно имя / батч,
  `internal/store/uncovered.go:84-87`) — экономия быстрого пути ≈ 13 с чтения
  в сутки; вопрос «что опытный человек удалил бы». Последствие — только цена
  сопровождения двух запросов; ущерб не построен. Если владелец возьмёт
  вариант (б) развилки про индекс — вопрос снимется сам. (architecture,
  minor/low)
- **Сценарий «Отложенная доставка события не порождает» не закреплён тестом** —
  держится на порядке двух блоков в `fail` (`fold.go:546-565`); перестановка
  при рефакторинге даст дребезг события на каждом проходе занятой базы.
  (specs, minor)
- **Ветвь новизны при переменной части в ключе навсегда занимает `msg`** — если
  HAE начнёт класть в ключ переменную часть, каждая доставка будет «с новой
  секцией» и чекпоинт станет постоянным WARN. Путь не построен (наблюдённые
  ключи стабильны). (adversary, свойство без пути)
- **Два снимка в `UncoveredSections` (count и перечень) могут разойтись на
  единицу** — два запроса без общей транзакции; окно — конкурентная запись
  между ними. Команда диагностическая, ущерб — косметика остатка. (adversary,
  свойство без пути)
- **Поведение вне спеки, исход не меняющее:** флаг `-limit` не заказан спекой;
  `context.Background()` вместо `signal.NotifyContext` (у соседнего `reindex` —
  второе). Оставлено на решение оркестратора без severity. (specs)

## Promote candidates

- **`CHECK (json_valid(...))` для JSON-колонок в будущих миграциях** — схемная
  защита, которой не хватило в 00005; правило для `docs/conventions/` или
  чек миграций в гейте. (из находки ops про битую строку)
- **«Число замера живёт в одном месте, остальные ссылаются»** — числа одного
  замера разошлись между `uncovered.go` и `architecture.md` уже до мерджа;
  класс тот же, что у записи 2026-08-04 в `docs/review.md` (числа, на которых
  стоит нормативный текст, читаются как факт и не перепроверяются). (gate, code)

## Границы покрытия

**Прогон:** профиль deep, режим по графу. База диффа — рабочее дерево
(HEAD == master). Гейт зелёный, exit 0 дважды; diff-coverage 96%.

**Запускалось:** gate, specs, code, adversary, ops, architecture, triage.
Оракулы adversary прогнаны в `./tmp/adv`, оракул триажа — `./tmp/triage`.
`task verify:archive` прогнан оркестратором — зелёный, 90 с.

**Не запускалось:**

- `reimpl` — триггер `docs/review.md` («новое правило слияния, идентичности или
  разбора») не сработал: изменение наблюдает поверх существующей логики, правил
  не двигает. Если считать сверку новизны «правилом наблюдения» — это
  расширительное чтение триггера; решение не запускать принял оркестратор, и
  класс «независимая реализация нашла бы другую форму» не покрыт.
- `task verify:busy` — не гонялся. Именно он проверил бы поведение новой сверки
  при удерживаемой блокировке (ветвь `uncovered_seen_unknown` — ровно про
  занятую базу). Изменение правил разбора/слияния не двигает, поэтому
  обязательный порог CLAUDE.md формально не задет, но ветвь unknown проверена
  только юнит-тестами, не прогоном.

**Не влезло в потолок (подтверждено, но ниже линии):**

- Два разных ключа, совпадающих в первых 64 байтах, дают дубль после
  `clipSection`: одна доставка показана в перечне как две
  (`internal/store/uncovered.go:177-186`, `count(*)` считает строки
  `json_each`, а не доставки). Оракул: `tmp/adv/dupclip_test.go`, перепрогнан —
  FAIL воспроизведён. Вероятность мизерная (нужны имена длиннее 64 байт с общим
  префиксом), последствие — неверное число в диагностической команде. Чинится
  `count(DISTINCT d.received_at || ' ' || d.id)` либо дедупликацией имён после
  обрезки на разборе.
- Непокрытые строки диспетчера подкоманд `cmd/healthlog/main.go:34-35` —
  унаследованный пробел (весь `main()` 0% и до изменения). (gate)

**Что запущенные проходы не могли проверить по построению:**

- `gate` — только механизируемое; «в Go так не пишут» не проверяет никто (см.
  ниже).
- `specs` — судит против записанной спеки; сами границы спеки: отказ слияния
  как исход в дельте не описан (находка №1 стоит на общем требовании «не
  глотает событие»); приоритет ветви новизны над событиями потери содержания
  (`EntitiesHeld`, `PointsErased`) — выбор кода, не спеки; `Deliveries` считает
  пары (доставка, элемент массива) — семантика зафиксирована кодом.
- `adversary` — три свойства названы без построенного пути (перечислены в
  гипотезах); не построенный путь не означает недостижимый.
- `ops` — истории инцидентов у нового кода нет; поведение под реальным потоком
  не наблюдалось. Сигналов о молчании потока нет — существующий пробел, не
  этого диффа.
- `architecture` — судит форму, не поведение; шов `loggedFold`/`breakSeenQuery`
  рассмотрен и находкой не признан.
- `triage` — ничего нового не находит по построению; пропуск любого прохода —
  пропуск триажа тоже.

**Целиком на человеке** (`docs/review.md`, «Недоступно проверке» — два списка,
намеренно раздельных):

*Не проверит ни один проход:* реальный профиль нагрузки (телефон шлёт молча и
непрерывно); поведение HAE за пределами наблюдённого; полнота словаря переводов
после обновления iOS; секции, которых поток ещё не приносил (`symptoms`, `ecg`,
`heartRateNotifications`, `cycleTracking`, `medications`) — для этого изменения
это особенно прямо: команда `uncovered` написана ровно про них, и судить можно
только форму кода, не встречу с реальностью. Плюс общее: история инцидентов,
поведение внешних систем в их версиях, завязка потребителей на текущее
поведение, вопрос «а нужна ли эта функциональность вообще».

*Перестали проверять сознательно:* `verify:archive`/`verify:busy` вне гейта
(в этом прогоне archive прогнан, busy — нет, см. выше); класс «в Go так не
пишут» — не покрыт вовсе после упразднения `idiom` (запись 2026-08-02); класс
«чего нет в зрелой реализации такого узла» — вне профиля `design`.

**Документы проекта:** всё нужное было на месте — инварианты `CLAUDE.md`
(severity брались из них, не выводились), `docs/review.md` с журналом, типовыми
ложноположительными и обоими списками «Недоступно проверке». Ни один проход не
заявил недостающего документа; отдельных строк деградации нет.