@@ -0,0 +1,5 @@
+---
+'@objectstack/spec': patch
+---
+
+The error-code ledger's file docblock (`src/api/error-code-ledger.zod.ts`, shipped in the `.d.ts` declaration bundle and in the package's `src/**/*.zod.ts`) no longer names a retired PM-process label. The sentence now reads: registering a code widens the published contract face and is therefore a Clause-② change, door or no door; a code present in `dist` and absent from the ledger is a protocol gap, not a tier question. Documentation only — no code, type, value or export moves, and the generated reference page follows the source (#19061).
@@ -22,7 +22,7 @@ PM 的工作是循环:选卡 → 认领 → 派发 → 收集 → 复核 → 报
 ## 红线
 
 - ⛔ PM 永不写代码、不写文件;唯一例外是维护者逐 PR 明示授权的 `.claude/` 内部工具 PR。
-- ⛔ 该例外的 PR 不得自审自合:授权原话引在正文,复核由另一座位或维护者做。
+- 该例外的 PR 授权原话引在正文。
 - ⛔ 永不以任一账号对受管面 PR 提交批准 review,永不合并受管面 PR。
 - ⛔ 受管面 PR 无授权批准时永不翻 ready、入队或挂 auto-merge;批准在案后席位落地。
 - ⛔ 永不合自己的 PR,永不合红的或未复核的 PR,永不绕过合并队列。
@@ -73,7 +73,7 @@ PM 的工作是循环:选卡 → 认领 → 派发 → 收集 → 复核 → 报
 - 探针先行:fire 的第一动作是一次最便宜的车道盘点查询,⛔ 在它之前不读任何长文本。
 - 队列空 + 无在飞 + 无待复核 + 决策箱无新答复 ⇒ 自退。
 - 分诊席跑普通直连会话、默认判断档;裁决不在本席,归维护者召唤的总监席。
-- 子代理裁决逐份过转录核验采信,细则见 `references/contract-review.md`。
+- 子代理裁决逐份过转录核验采信。
 - 开轮互斥:fire 开始、首个写动作之前读四个读数,未收班活动任一未满一轮 ⇒ 自退。
 - 读数一、二:最近的收班简报,与晚于它的最新开轮标记。
 - 开轮标记是轮中会话在座位贴上的唯一痕迹;标记可漏写,认领不可省。
@@ -151,8 +151,7 @@ PM 的工作是循环:选卡 → 认领 → 派发 → 收集 → 复核 → 报
 - P0 嫌疑的等待走紧急直接分诊通道,是义务不是选项。
 - 代执行他人指令的关闭、摘标、回收认领,评论带出处三件:谁的指令、原话、在哪说。
 - 标签写恒四步:取现集 → 只增删目标 → 写合并集 → 回读 diff 对 union(现集, 增删)。
-- union 有而回读缺 = 被并发剥掉,重挂并报告;闸门标签被剥不是红灯是放行。
-- 承载闸门语义的标签(如 `needs:contract-review`)挂与清两向同此四步。
+- union 有而回读缺 = 被并发剥掉,重挂并报告。
 - 多席可写面恒读回;API 200 不等于落地正确。
 - PM 写进 GitHub 的文本 ⛔ 不用尖括号路径占位符,改写成后跟显式路径的说法。
 - 携带易损片段的评论(派发令与裁决)post 后读回;写侧形状见 `references/platform-readings.md`。
@@ -236,7 +235,7 @@ PM 的工作是循环:选卡 → 认领 → 派发 → 收集 → 复核 → 报
 - 代扫在分诊座位有主时立即停止。
 - 规则 5:一块板不设第二跟踪器:pm 标签就是状态机,org Project 只是维护者的聚合视图。
 - 认领即跟到 MERGED:派发后发现的跨车道面(含 spec)不移卡,认领席借契约复审档隔离复核。
-- 复核记录带 `Implemented-by:`/`Reviewed-by:`,自审机读可见;`pm:retriage` 改路由只对未派发卡。
+- 复核记录带 `Implemented-by:`/`Reviewed-by:`;`pm:retriage` 改路由只对未派发卡。
 - 转移落对方队列:目标仓立单带 `pm:queue`、出处行与一行可执行判据,依赖用 `Blocked-by:`。
 - 跨座位请求骑在它所关的既有卡上:请求席在自卡写 `Blocked-by:`,并在目标卡留一条评论。
 - 该评论点名席位与步骤;无既有卡承载且请求自身即立卡门 ①②④ 时才立新卡。
@@ -339,7 +338,7 @@ PM 的工作是循环:选卡 → 认领 → 派发 → 收集 → 复核 → 报
 - 见新 tag 族发布 ⇒ 在 cloud 立 `.objectstack-sha` bump 单。
 - bump 单单张封顶:先查同题 open 单,已有就追评刷新;工具链新形态只提请不扩面。
 - 分类动作每张三选一,外加一个修复通道。
-- ⛔ 不挂 `needs:contract-review`:随 draft PR 或 `Clause-②: yes` 认领;裁定写方向、给六态之一。
+- 裁定写方向、给六态之一。
 - 方向在 ADR/本卡裁决/不可重裁规则:贴 `check-prior-rulings.mjs` 的 `Prior rulings read:` 行,或不点。
 - `pm:queue` = 有具名落点或复现的具体缺陷,无可问之事;⛔ 工具/门禁修复不由此进。
 - `tooling` 入 `pm:queue` 仅当首行带 `Unblocks: #N`(open 产品卡)或点名所护的已发布面。
@@ -650,13 +649,10 @@ PM 的工作是循环:选卡 → 认领 → 派发 → 收集 → 复核 → 报
 - 声明肢 = 认领评论声明 `Clause-②: yes`,与路径无关;错误的 `no` 是可审计的假申报。
 - 交付后复核按面欠 ⛔ 不按车道(五面见 `references/contract-review.md`);双肢命中即 spec 车道。
 - 子代理起不来 ⇒ 复核缺席,PR 留 draft 队列外等档;唯一旁路是维护者亲审,逐次为准。
-- PASS ⇒ 同席剥标并引记录、ready、auto-merge;FAIL ⇒ 补丁轮;⛔ 免复核不放行。
+- PASS ⇒ ready、auto-merge;FAIL ⇒ 补丁轮;⛔ 免复核不放行。
 - 真正设计分叉照旧进决策箱,席内复核 ⛔ 不替代维护者裁定。
 - 外部评审链降为可选事后审计,非放行前提。
-- `needs:contract-review`(恒英文)由席位同笔挂:PR 一现即挂 PR;报告先到则先挂卡。
-- `Clause-②: yes` 认领同笔卡上挂标;开 PR 跑 `--pair N`:只确定性行红才挡请审,C5 只印读数。
-- 挂标后复核完成前短暂停靠;⛔ 不前瞻预挂。
-- 契约复核的适用面、载体纪律、资格与归属、降档保险丝见 `references/contract-review.md`。
+- 契约复核的适用面、资格与归属见 `references/contract-review.md`。
 - 碰生成物的 PR 入队前先同步 + 整体重生成:四步序 `bash scripts/pm/os-regen-merge.sh`。
 - 跟到 MERGED 为止,入队后的看护归车道 PM 的落地窗口:每轮同时读队列分支与 `origin/main`。
 - 默认分支 push 即触发对外部署的仓,只在验证层存在时才合并;无验证层 ⛔ 不合并。
 
@@ -1,24 +1,6 @@
-# 契约复核细则(按车道)
+# 契约复核细则(按面)
 
-见 SKILL.md 〈入队与落地〉的条款②闸门;本文只放载体纪律、归属资格与降档保险丝。
-
-## 载体纪律(挂与清)
-
-- 内容肢及于 published `skills/**`:作可证伪的算子或契约语义主张的改动挂标走本复核。
-- ⛔ 判据不是提到契约:纯算子清单、拼写、格式不触发。
-- `Clause-②: yes | no` 按设计临时:只定是否必过达档契约复核的保守方向,⛔ 非终审。
-- 删误拒的 `Clause-②: no` 附 `Contract-text:` 引已发布契约文本,双载体同载;缺引即缺申报。
-- 真闸门在 PR 或报告时点的达档复核;声明被复核推翻 ⛔ 不作席位过失。
-- 机械地板 claim 时可查树:新导出符号或已发布载荷上的新键恒 `yes`,锁达档契约复核。
-- conformance 类 ⛔ 不机械化:填充已声明字段、在两个已发布码之间重选输入类都需判断。
-- claim 拿不准 ⇒ 按 `yes` 挂标走达档契约复核;⛔ 不建全量分类学与 claim 时决策程序。
-- 同笔在卡上记一行条款②认定,PR 侧 ACCEPT 补齐;停靠只防误入队,⛔ 无无限期等外席态。
-- 前瞻的条款②事实住卡上裁决与分诊评论、`Clause-②` 申报和 `--tier` 输出。
-- 开着的载体恒 = 真实待审;载体不迁移:⛔ 不迁 PR review 或 Request Changes,⛔ 不为迁移留门。
-- FAIL 同 PASS 剥双载体:同笔留卡上交接评论(引复审、独立性对、欠改);卡态与 assignee 不动。
-- 重挂前先查裁决:闸门标签缺失 ⇒ 先 grep 卡评论找复审结论;`get_reviews` 读空 ≠ 未复审。
-- PASS + 无标 + head 未动 = 已清标不是被剥;head 后移或无结论才重挂;清标缺引记录即半态。
-- 例外:纯重生成 head 后移原记录继续管;判据机读已提交树;PR 落 `Regen-provenance:` 行。
+见 SKILL.md 〈入队与落地〉的条款②闸门;本文只放复核归属与资格。
 
 ## 复核归属与资格(按面)
 
@@ -32,29 +14,11 @@
 - ① derived judgments 逐项:diff 引出的接受集与公开面变化逐条点名判对错。
 - ② semver 定级与 changeset 声明一致;③ 边界旗:dev 挂旗与 `open_questions` 逐旗答复或升级。
 - 复核形状:只读 diff 与卡片,check 结论取 head 的 check-runs,⛔ 永不本地重跑派生门禁族。
-- 独立性件(契约真分叉、dev 挂旗)与保险丝只免席内审,不免复核:起隔离达档子代理。
 - 只喂卡片、既有裁决与 PR 本体,⛔ 不喂派发令与派发席自己的结论;简报写成对抗性。
 - 隔离复核子代理暂存全写按所审 PR 命名的 `<scratchpad>/pr-<n>/`,⛔ 不读非本轮自写的暂存。
-- 独立性对(机读):`Implemented-by:`/`Reviewed-by:` 取值见 `--template`;子代理记采纳它的席位。
-- 两者同 session ⇒ 报 SELF-REVIEW;只 `mode:remote` 可达,`mode:subagent` 席内审是设计;值紧跟冒号。
-- 清标即落地:PASS ⇒ 同席同笔剥双载体;清标同笔落 PR provenance 评论,引记录 id 与所判 head。
+- 独立性对:`Implemented-by:`/`Reviewed-by:` 取值见 `--template`;子代理记采纳它的席位。
 - 轮次报告设复审清单专节,形状与代裁清单同为强制审计。
-- 落地前检三条,过则 Tier S 入队、Tier H 等人批:① 达档条款②复核 PASS 在案(同形记录)。
-- ② 双载体已清,逐对机读 `PM_SWEEP_REPO=仓 node scripts/pm/check-clause2-carriers.mjs --pair N`。
-- 确定性行 = 记录在案、`Served-tier:`、双载体一致、认领形;C5 放宽 tell 只报告,归复核裁。
-- ③ PR check 全绿,⛔ 非 required 子集;例外:merge-base 同签名的红不计、按设计而红见 SKILL.md。
+- 落地前检两条,过则 Tier S 入队、Tier H 等人批:① 达档条款②复核 PASS 在案(同形记录)。
+- 例外:纯重生成 head 后移原记录继续管;判据机读已提交树;PR 落 `Regen-provenance:` 行。
+- ② PR check 全绿,⛔ 非 required 子集;例外:merge-base 同签名的红不计、按设计而红见 SKILL.md。
 - 签名 = 失败步 + 首错行,读 base check runs 的 API ⛔ 不凭口述;主干红止血立单不变。
-
-## 降档保险丝(机读)
-
-- 保险丝只管 spec 与 skills 席的条款②复核:每场前必读服役档(`platform-readings.md`)。
-- 总监席裁决非达档裁决,⛔ 不受本丝;总监席档位由维护者逐场定。
-- ⛔ 自述档位与传参皆非读数;条款②的 `mode:subagent` 派发恒保留标至达档复核完成。
-- 读数不达档 ⇒ 改走转录核验达档复核子代理;起不来即无复核,标签原样、队列外等档。
-- 子代理档只取其转录 harness 逐请求 `model` 盖章;`get_session` 量的是派发会话,⛔ 不作互证。
-- 清标前 `--pair`:`Served-tier:` ≠ 常量名 ⇒ exit 4,点名 PR、评论、读数;型号串按 `AGENTS.md` 拒。
-- 施工档只取 harness `model` 盖章或认领 Container & model 行;`Co-Authored-By` = 署名常量 ⛔ 非证据。
-- 产出裁决的每轮都须读到契约复审档位,见回退证据 ⇒ 裁决整体作废。
-- 父会话只可逐字采纳或整体作废(核验失败、越范围、格式不完整),⛔ 永不改写润色。
-- PASS、FAIL 与作废都落 PR 或卡;同 head 再起子代理须引前次作废因,⛔ 不重起求 PASS。
-- 额度耗尽豁免只及派发 ⛔ 不及复核;档位退役 ≠ 耗尽,恒维护者裁决 ⛔ 非席位读数。
@@ -20,7 +20,7 @@
 ## 全体座位的不变量
 - 状态住 GitHub 标签、assignee、正文行与座位贴;⛔ 本地零状态;循环须能从新会话恢复。
 - PM ⛔ 不写文件也不写代码,唯一例外是维护者逐 PR 明示授权的 `.claude/` 内部工具 PR。
-- 该例外须把授权原话引在 PR 正文并由另一座位或维护者复核,⛔ 不得自审自合。
+- 该例外须把授权原话引在 PR 正文。
 - 用户账号仅三用:assignee、授权批准、维护者亲手;写只走 REST 代理,署名随令牌非席位。
 - GitHub 新内容一律英文,中文只留轮次报告、派发令裁决引文与四维分析;引文照抄不译。
 - 存量中文 ⛔ 不追溯改写;一 PM 一车道、一车道多席、一席一贴;与 AGENTS.md 冲突以之为准。
@@ -37,7 +37,7 @@
 - 五个 pm 状态标签加 `needs-user-decision` 共六态互斥,转换恒一笔 replace,队列卡逾三天欠转换。
 - 关闭即在同一笔摘掉 pm 状态标;状态变更不过夜,半状态在结束会话前补齐或回滚。
 - 等待别的座位也是状态、写在卡上才存在;代他人指令的关闭须带指令、原话与出处三件。
-- 标签写恒为读现值、增删目标、写合并集、回读比对四步,缺项即重挂,闸门标签同此。
+- 标签写恒为读现值、增删目标、写合并集、回读比对四步,缺项即重挂。
 ## 平台读数纪律
 - 判据取命令输出,⛔ 不取 API 字段字面值、不取本地工作树、不取看着相邻的日志。
 - 核验 main 用 fetch 后的 `origin/main`,⛔ 不用共享检出树;仓不可达 ⛔ 不当查过且干净。
 
@@ -103,7 +103,7 @@
 - 只要 `totalCount` 的健康指标取 perPage=1;只要最近 N 张就取 N。
 - 小时池之外还有分钟级二级限流:GraphQL 端点 2,000 点/分、并发 ≤100。
 - 官方指引:变更类请求间停 ~1 秒,mutation 按 5 倍计;批量写因此 ~1 秒一发。
-- 双载体清标、批量重分诊这类把写挤在同一秒的扫动,会在小时池仍绿时撞上分钟墙。
+- 批量重分诊这类把写挤在同一秒的扫动,会在小时池仍绿时撞上分钟墙。
 - REST 可达性是会话属性(GitHub App 会话门),⛔ 不是端点或席位类型的属性。
 - 开轮探一次、按班存档;探针必须是一条真 repo-scoped 读。
 - 门关着时 repo-scoped 路径整类回 403 `GitHub access is not enabled for this session`。
@@ -117,7 +117,6 @@
 - CCR 容器的 GitHub 出口是代理加凭据的:无 header 的 REST 读回 200 带会话身份,core 上限 15000。
 - 调用方自带的 `Authorization` 头被代理覆盖;`HTTPS_PROXY` 端口打死也不切断网络。
 - ⇒ 容器内得出的 token 作用域结论 ⛔ 不迁移到出口未经代理的会话。
-- 同因:`check-clause2-carriers.mjs --pair` 带与不带 token 都不再 403 退 3;真缺声明照常退 4。
 - REST 写侧经出口代理必带 `Content-Type: application/json`,否则代理回 415 且一个字节都没写。
 - 判别式:该 415 的 `documentation_url` 指 Claude Code 不指 GitHub ⇒ 代理拒,不是 GitHub;四端点实测。
 - 两通道的信封在配额、权限、传输三样上都不同 ⇒ 任一侧的拒绝只是那一侧的读数。
@@ -382,16 +381,16 @@
 - ⛔ 不据 `ls-remote | grep issue-` 正命中回避该卡:失效方向是活卡被读成已认领,无红信号。
 - 会话从上下文检测不到自己的静默降档:横幅只在 UI 侧渲染,上下文零信号。
 - 服役档的权威读数是 `get_session`(claude-code-remote MCP,无参)的 `external_metadata.last_served_model`。
-- 它是最近一轮服役者,降档链中途照真;`session_context.model` 是配置档,⛔ 不作保险丝输入。
-- 该读数按宿主分叉:有的宿主的 `get_session` 按契约排除当前会话 ⇒ 保险丝无输入。
+- 它是最近一轮服役者,降档链中途照真;`session_context.model` 是配置档。
+- 该读数按宿主分叉:有的宿主的 `get_session` 按契约排除当前会话。
 - ⛔ 不据一台宿主推全体;替代读数用时在卡上申报。
 - 无它时的合法替代 = grep 本会话 transcript 里 harness 写的 `"model":`,逐请求写入、非自述。
 - 档位额度终止是第三种死法:子代理死在编辑中途、宿主报本账户档位额度到顶。
 - 有宿主信号故非普通子代理死亡,亦非维护者中止 ⇒ 派发已死、前提完好、卡在资源。
 - 处置 = 死认领回收加 worktree 抢救,⛔ 不重核前提、不升级。
 - 无前置探针,只在 dev 死在里面时可观测;缓解只在 dev 侧的早 WIP 提交。
 - 档位不可用时 ⛔ 不凭记忆宣告车道阻塞,逐文件面现推 mandate。
-- 强制档不得因不可用而降档 —— 那正是降档保险丝要拒的替换。
+- 强制档不因临缺授权降档:临缺非退役,退役唯维护者裁;不达档起隔离达档子代理或等档。
 - 本车道强制多是过宽的回忆:`dispatch-gates.mjs --tier PATH` 逐路径现推,路径线是下限非放行。
 - 该脚本只答自己那棵树:姊妹仓路径回 absent from this tree,姊妹仓的档位与条款②只能手推。
 - `os-verify-lock.sh` 只住 objectstack:objectui 无它,跑本仓副本读的是容器级锁,非该仓深度。
 
@@ -103,9 +103,8 @@ package's `dist` is registered here whether or not an HTTP door can ever
 answer with it — a thrown value's `code` is what a consumer's
 `catch (e) { switch (e.code) }` pins, and once shipped it cannot be renamed
 without breaking that consumer. Registering a code widens this face and is
-therefore a Clause-② change (`needs:contract-review`), door or no door; a
-code present in `dist` and absent here is a protocol gap, not a tier
-question.
+therefore a Clause-② change, door or no door; a code present in `dist` and
+absent here is a protocol gap, not a tier question.
 
 ONE shape, no second list: a `door: 'none'` code is a row like any other —
 the string under the package that stamps it, and a comment that states its
 
@@ -99,9 +99,8 @@
  * answer with it — a thrown value's `code` is what a consumer's
  * `catch (e) { switch (e.code) }` pins, and once shipped it cannot be renamed
  * without breaking that consumer. Registering a code widens this face and is
- * therefore a Clause-② change (`needs:contract-review`), door or no door; a
- * code present in `dist` and absent here is a protocol gap, not a tier
- * question.
+ * therefore a Clause-② change, door or no door; a code present in `dist` and
+ * absent here is a protocol gap, not a tier question.
  *
  * ONE shape, no second list: a `door: 'none'` code is a row like any other —
  * the string under the package that stamps it, and a comment that states its
 
@@ -25541,12 +25541,12 @@ function selfTest() {
     });
   }
   t(`${SKILL_RULEBOOK_ROOT} spells NO model id at all — ${skillRulebookFiles.length} file(s) read, and a RETIRED id left there is caught HERE, where a current-value pin cannot see it (found: ${skillIdSpellings.join(', ') || 'none'})`, skillRulebookFiles.length > 0 && skillIdSpellings.length === 0);
-  // The rulebook half of the same coupling: the skill names the constant, and
-  // its downgrade fuse carries the case the quota exemption never had.
+  // The rulebook half of the same coupling: the skill names the constant. Its
+  // downgrade-fuse section is retired (maintainer 2026-09-22 「降档保险丝 不留」,
+  // #19061 comment 5772289798), so the guard below reds if that text creeps back.
   const fuseRules = readFileSync(nodePath.join(ROOT, '.claude/skills/pm-dispatch/references/contract-review.md'), 'utf8');
   t('the rulebook names the contract-review tier by its CONSTANT, so a retirement moves the value and the prose follows', fuseRules.includes('`CONTRACT_REVIEW_TIER`'));
-  t('…and its fuse keeps the quota exemption pointed at DISPATCH, never at the review', /额度耗尽豁免[^\n]*⛔[^\n]*不及复核/.test(fuseRules));
-  t('…and carries the case it never had: a RETIRED tier is not an exhausted one, and it is a maintainer ruling, ⛔ never a seat\'s reading', /档位退役[^\n]*≠[^\n]*耗尽[^\n]*维护者裁决[^\n]*⛔[^\n]*非席位读数/.test(fuseRules));
+  t('the rulebook no longer carries the retired 降档保险丝 lines (maintainer 2026-09-22 「降档保险丝 不留」, #19061 comment 5772289798)', !/额度耗尽豁免[^\n]*不及复核/.test(fuseRules) && !/档位退役[^\n]*≠[^\n]*耗尽/.test(fuseRules));
 
   // ── Clause-② suspicion (the enqueue-gate card): hit / no hit / wording ────
   //
-Original file line number
+Diff line change
@@ @@ -0,0 +1,5 @@ @@
 +---
 +'@objectstack/spec': patch
 +---
++
 +The error-code ledger's file docblock (`src/api/error-code-ledger.zod.ts`, shipped in the `.d.ts` declaration bundle and in the package's `src/**/*.zod.ts`) no longer names a retired PM-process label. The sentence now reads: registering a code widens the published contract face and is therefore a Clause-② change, door or no door; a code present in `dist` and absent from the ledger is a protocol gap, not a tier question. Documentation only — no code, type, value or export moves, and the generated reference page follows the source (#19061).