внутренняя модель перестроена вокруг аудиозаписи

- audiorecords вместо transcribe_jobs: приложения (texts, structures,
  recognitions, record_events, topics) живут своими коллекциями, ссылки на
  исходник и на приведённую копию перестали переставляться
- рубеж называет достигнутое, отказ стал признаком остановки с причиной, а
  сторожей стало двое: число отказов и время в рубеже
- воркеры потеряли специализацию, их число задаётся [pipeline] workers, шаг
  выбирается по рубежу, а захват отдаёт идентификатор и признак захвата

openspec/specs/intake/spec.md

@@ -18,18 +18,22 @@ Telegram, дописывает его сюда.
 Сервис SHALL принимать запись от внешней программы запросом `POST /api/audio` с
 телом `multipart/form-data` и полем `audio` **только от узнанного отправителя**.
 Запрос без сессии MUST получать код `401`, и по нему MUST не заводиться ни файл,
-ни задача расшифровки. Принятая запись от узнанного отправителя MUST быть
-сохранена и получить заведённую под неё задачу расшифровки в состоянии
-`created`; ответ MUST нести идентификатор задачи полем `job_id` и её состояние
-полем `status`.
+ни аудиозапись. Принятая запись от узнанного отправителя MUST быть сохранена и
+получить заведённую под неё аудиозапись на рубеже `uploaded`; ответ MUST нести
+идентификатор записи полем `job_id` и её рубеж полем `status`.
+
+Значение рубежа в ответе изменилось: прежде приём отдавал `created`. Перечень
+состояний назван проектом необратимым, и ломка объявлена прямо — состояние
+теперь называет достигнутое, а не предстоящее, и `created` в новом перечне нет
+вовсе.
+
+Имена полей ответа нормативны и MUST остаться прежними: контракт HTTP API
+объявлен проектом необратимым, и переименование поля ломает внешнюю программу
+молча. Меняются значения поля рубежа, а не его имя.
 
 Отказ по отсутствию сессии наступает **раньше** чтения тела: запись, за которую
 не заплатит узнанный отправитель, не должна попасть даже в память.
 
-Имена полей ответа нормативны: контракт HTTP API объявлен проектом необратимым,
-и переименование поля ломает внешнюю программу молча. Появление отказа без
-сессии — намеренная ломка этого контракта: до неё приём стоял открытым наружу.
-
 Приём не судит о годности записи сам: расширение он берёт из имени файла, а
 пригодность содержимого узнаёт у источника метаданных.
 
@@ -61,30 +65,30 @@ Telegram, дописывает его сюда.
 - **AND** отправитель предъявил сессию
 - **WHEN** программа шлёт `POST /api/audio` с полем `audio`
 - **THEN** ответ имеет код `201`, а в теле лежат непустой `job_id` и `status`
-  со значением `created`
+  со значением `uploaded`
 - **AND** содержимое записи целиком лежит в хранилище одним файлом
-- **AND** владельцем заведённой задачи стоит предъявитель сессии
+- **AND** владельцем заведённой аудиозаписи стоит предъявитель сессии
 
 #### Scenario: Сессия не даёт учётной записи пользователя
 
 - **GIVEN** предъявлена сессия владельца панели
 - **WHEN** он шлёт `POST /api/audio` с полем `audio`
 - **THEN** ответ имеет код `403`
-- **AND** ни файла, ни задачи не заводится
+- **AND** ни файла, ни аудиозаписи не заводится
 
 #### Scenario: Сессии нет
 
 - **WHEN** программа шлёт `POST /api/audio` с полем `audio` без сессии
 - **THEN** ответ имеет код `401`
-- **AND** ни файла, ни задачи не заводится
-- **AND** тело ответа не несёт данных задачи
+- **AND** ни файла, ни аудиозаписи не заводится
+- **AND** тело ответа не несёт данных записи
 
 #### Scenario: Поля с записью нет
 
 - **GIVEN** отправитель предъявил сессию
 - **WHEN** программа шлёт `POST /api/audio` без поля `audio`
 - **THEN** ответ имеет код `400` и сообщение об отсутствии записи
-- **AND** ни файла, ни задачи не заводится
+- **AND** ни файла, ни аудиозаписи не заводится
 
 #### Scenario: Размеру записи приём не судья
 
@@ -237,58 +241,86 @@ Telegram, дописывает его сюда.
 
 ### Requirement: Опрос готовности задачи
 
-Сервис SHALL отдавать состояние задачи расшифровки по запросу
-`GET /api/status/:id` **только её владельцу**. Запрос без сессии MUST получать
-код `401`, и тело такого ответа MUST не нести ни состояния задачи, ни текста
-расшифровки. Ответ владельцу MUST нести идентификатор полем `job_id`, состояние
-полем `status` и время заведения полем `created_at`, а текст расшифровки полем
-`transcription_text`, и это поле MUST отсутствовать в ответе, пока текста нет:
-пустая строка на месте отсутствующего текста читается как «расшифровка пуста».
+Сервис SHALL отдавать рубеж аудиозаписи по запросу `GET /api/status/:id`
+**только её владельцу**. Запрос без сессии MUST получать код `401`, и тело
+такого ответа MUST не нести ни рубежа записи, ни текста расшифровки. Ответ
+владельцу MUST нести идентификатор полем `job_id`, рубеж полем `status` и время
+заведения полем `created_at`, а текст расшифровки полем `transcription_text`, и
+это поле MUST отсутствовать в ответе, пока текста нет: пустая строка на месте
+отсутствующего текста читается как «расшифровка пуста».
 
-Отказ без сессии MUST не зависеть от того, есть такая задача или нет: иначе по
-кодам ответа перебирается список заведённых задач.
+Видов текста у записи больше одного, поэтому ответ MUST называть вид, который
+отдаёт: в поле `transcription_text` уходит **сырая расшифровка**, и только она.
+Вычитанный текст этим полем MUST не подменяться — иначе значение поля менялось бы
+у одной и той же записи от того, успел ли отработать необязательный шаг, а
+контракт объявлен необратимым. Отдача «последнего записанного» текста MUST не
+применяться: она делает ответ функцией порядка записи, а не состояния записи.
 
-Задача, принадлежащая другому, MUST отвечать тем же, чем отвечает неизвестный
-идентификатор, — кодом `404` и тем же телом. То же MUST относиться к задаче без
+Перечень значений поля `status` MUST совпадать с перечнем рубежей конвейера:
+`uploaded`, `normalized`, `submitted`, `transcribed`, `done`. Прежних значений
+`created`, `converted`, `transcribe`, `failed` и `dead` в ответе MUST не быть.
+Это объявленная ломка публичного контракта: рубеж называет достигнутое, а отказ
+перестал быть состоянием.
+
+Остановленная запись MUST отдавать рубеж, на котором она остановлена, и MUST
+нести признак остановки отдельным полем `halted` со значением истины. Машинный
+текст отказа MUST в ответ не попадать: он принадлежит журналу владельца сервиса,
+а не отправителю. Отправитель узнаёт о неудаче ответом там, откуда пришла
+запись, — это нормирует capability `pipeline`.
+
+Отказ без сессии MUST не зависеть от того, есть такая запись или нет: иначе по
+кодам ответа перебирается список заведённых записей.
+
+Запись, принадлежащая другому, MUST отвечать тем же, чем отвечает неизвестный
+идентификатор, — кодом `404` и тем же телом. То же MUST относиться к записи без
 владельца: запись, принятая ботом, по этому адресу не достаётся никому.
 
-#### Scenario: Задача найдена
+#### Scenario: Запись найдена
 
 - **GIVEN** отправитель предъявил сессию
-- **WHEN** он спрашивает состояние своей задачи
+- **WHEN** он спрашивает рубеж своей записи
 - **THEN** ответ имеет код `200` и несёт `job_id`, `status` и `created_at`
+- **AND** значение `status` принадлежит перечню рубежей конвейера
+
+#### Scenario: Запись остановлена
+
+- **GIVEN** запись остановлена признаком на рубеже приведения
+- **WHEN** владелец спрашивает её рубеж
+- **THEN** поле `status` несёт рубеж приведения
+- **AND** поле `halted` несёт истину
+- **AND** машинного текста отказа в ответе нет
 
 #### Scenario: Сессии нет
 
-- **WHEN** программа спрашивает состояние заведённой задачи без сессии
+- **WHEN** программа спрашивает рубеж заведённой записи без сессии
 - **THEN** ответ имеет код `401`
-- **AND** тело ответа не несёт ни состояния задачи, ни текста расшифровки
+- **AND** тело ответа не несёт ни рубежа записи, ни текста расшифровки
 
-#### Scenario: Без сессии неизвестная задача неотличима от заведённой
+#### Scenario: Без сессии неизвестная запись неотличима от заведённой
 
-- **WHEN** программа без сессии спрашивает состояние заведённой задачи, а затем
-  состояние по неизвестному идентификатору
+- **WHEN** программа без сессии спрашивает рубеж заведённой записи, а затем
+  рубеж по неизвестному идентификатору
 - **THEN** оба ответа имеют код `401`
 
-#### Scenario: Чужая задача неотличима от неизвестной
+#### Scenario: Чужая запись неотличима от неизвестной
 
-- **GIVEN** задача заведена одним вошедшим
-- **WHEN** её состояние спрашивает другой вошедший
+- **GIVEN** запись заведена одним вошедшим
+- **WHEN** её рубеж спрашивает другой вошедший
 - **THEN** ответ имеет код `404` и то же тело, что и ответ по неизвестному
   идентификатору
-- **AND** тело ответа не несёт ни состояния задачи, ни текста расшифровки
+- **AND** тело ответа не несёт ни рубежа записи, ни текста расшифровки
 
 #### Scenario: Расшифровки ещё нет
 
 - **GIVEN** отправитель предъявил сессию
-- **WHEN** он спрашивает состояние своей задачи, которая ещё не дошла до текста
+- **WHEN** он спрашивает рубеж своей записи, которая ещё не дошла до текста
 - **THEN** поля `transcription_text` в ответе нет вовсе
 
-#### Scenario: Задачи с таким идентификатором нет
+#### Scenario: Записи с таким идентификатором нет
 
 - **GIVEN** отправитель предъявил сессию
-- **WHEN** программа спрашивает состояние по неизвестному идентификатору
-- **THEN** ответ имеет код `404` и сообщение о ненайденной задаче
+- **WHEN** программа спрашивает рубеж по неизвестному идентификатору
+- **THEN** ответ имеет код `404` и сообщение о ненайденной записи
 
 ### Requirement: Поднятые входы видны наблюдателю