Mapa do Sistema

Status: ACTIVE | Ultima revisao: S152 (2026-03-30)

Arquitetura

DASHBOARD (browser) → HTTP/WS → SERVIDOR (VPS FastAPI) → HTTP polling 1-3s → EAs MT5 (MQL5)

Fluxo de Uma Implementacao

 IDEIA / BUG REPORT
      │
      ▼
 CLAUDE INVESTIGA
      │ ←── [100%] Guardian injeta patterns relevantes (59 ativos)
      │ ←── [100%] Spec-loader carrega docs por topico
      │ ←── [100%] Agent-router sugere subagent (VPS/EA/Dashboard)
      │
      ▼
 CLAUDE EDITA CODIGO
      │ ←── [aviso] protect-specs.sh AVISA ao mexer em whitepaper (relaxado em S322; nao bloqueia)
      │ ←── [100%] frontend-lint.py BLOQUEIA globals soltos, CSS injection
      │ ←── [100%] af-stress-protocol.sh AVISA stress test se AF mudou
      │
      ▼
 CLAUDE COMMITA
      │ ←── [100%] validate-commit.sh BLOQUEIA:
      │       • Secrets no staged
      │       • Spec protegido sem [allow-spec]
      │       • .mqh mudou sem EA_BUILD++
      │       • Drift codigo ↔ spec (via spec-code-map.json)
      │       • 3+ arquivos codigo sem memory
      │
      │ ←── [100%] post-commit:
      │       • git push vps master (background)
      │       • sync-docs-vps.sh → specs mudados vao pro /guide
      │
      │ ←── [100%] post-commit-learn.sh sugere /learn se commit tipo fix:
      │
      ▼
 CLAUDE FAZ DEPLOY
      │ ←── [100%] pre-deploy-quality.sh BLOQUEIA se property tests falharem
      │ ←── [100%] protect-ea-deploy.sh BLOQUEIA cp/mv .ex5 direto
      │ ←── [100%] post-deploy-verify.sh checa saude apos deploy
      │
      ▼
 SESSAO TERMINA
      │ ←── [100%] auto-capture.py BLOQUEIA se licoes nao capturadas
      │ ←── [100%] verify-memory.sh verifica memoria salva
      │
      ▼
 PROXIMA SESSAO
      │ ←── [100%] Guardian com novo pattern aprendido
      └── CICLO SE REPETE (auto-melhoria continua)

Hierarquia de Garantias

Regra de ouro: Se algo precisa ser 100%, precisa de HOOK. Regra so no CLAUDE.md nao basta.

Hooks por Categoria

Bloqueantes (BLOCK — impedem a acao)

Alertas (WARN — avisam mas permitem)

Silenciosos (monitoram sem interferir)

Background (24/7 na VPS)

Ferramentas de Browser

Skills (invocadas manualmente ou por keyword)

Auto-Melhoria (ciclo Patterns)

Bug encontrado → /learn captura pattern → Guardian injeta na proxima sessao
     │                                              │
     │                                              ▼
     │                                    Claude evita repetir
     │                                              │
     └──── 3x repetido? → Promover pro CLAUDE.md ──┘

• 59 patterns ativos no Guardian
• 112 licoes no KnowledgeHub universal
• Feedback automatico: cada sessao alimenta scores dos patterns
• Lifecycle: patterns 50+ sessoes sem hit → candidatos a aposentar

Harness

Para quem chega agora. Este é o mapa do maquinário que vigia o próprio trabalho neste
projeto: o que existe, onde mora, o que garante de verdade e onde ele é frágil.
Números medidos em 2026-08-01 — envelhecem; o comando para remedir está no fim.

Em uma frase

O harness é um sistema imunológico: um conjunto de fiscais automáticos que rodam sozinhos
antes, durante e depois de cada ação, mais um acervo de lições que se injeta no contexto por
palavra-chave. Ele existe porque regra escrita em documento acerta ~90% das vezes, e trava
automática acerta 100%.

O tamanho, medido

Peso real: os fiscais consomem ~12% do relógio de uma sessão. Em 96.702 execuções
medidas, 94,1% não produziram nada — o silêncio é o estado normal e esperado.

As quatro camadas, da mais forte para a mais fraca

Esta hierarquia é a coisa mais importante deste guia. Ela decide onde escrever uma regra
nova.

Anti-padrão nº 1 do projeto: regra importante só no CLAUDE.md. Se precisa ser 100%,
precisa de fiscal.

Corolário medido, e ele já custou caro: quando duas regras do harness se contradizem, a
contradição não fica neutra — vence a que tem trava, em silêncio. Mudou a doutrina? Procure
o hook que injeta a versão velha, ou ela continua valendo.

Onde cada coisa mora

O ciclo de trabalho

/brainstorm  →  desenha, e a spec nasce com as linhas de verificação obrigatórias
     ↓
/plan        →  quebra em tarefas; a última já inclui a conferência adversarial
     ↓
/rapid       →  até 3 arquivos, teste-primeiro
     ↓
/validate    →  roteiro → 5 lentes em paralelo → junta achados → cético
     ↓
/learn       →  lição capturada NA HORA, nunca "depois"

A porta do cético é o /validate. Disparar revisor por fora entrega achado pingado e faz
o dono remontar o quadro de cabeça — é desperdício medido, não preferência de estilo.

Quando a revisão termina

Esta foi a última reforma grande, e ela mudou uma coisa que valia desde sempre.

O laço fecha quando uma passada devolve zero achado de gravidade alta ou crítica. Média e
baixa viram nota — não contam, não bloqueiam, não viram card.

Rede: orçamento de 8 revisores por obra. Conserto nascido de achado gasta do orçamento
e nunca o reabre.

Por quê: aplicando a matemática clássica de inspeção de software aos nossos próprios 307
achados, a estimativa é de ~3.884 defeitos existentes — achamos 7,9%. Revisar até zerar não
termina, e não é por indisciplina. Detalhe, fontes e o preço da troca:
specs/decisions/0038-portao-por-gravidade-e-orcamento-de-revisao.md.

O que conta como alta ou crítica não é a olho: a régua com os quatro níveis, a pergunta que
decide cada um e exemplos reais está em
specs/regua-de-gravidade-do-cetico.md.

As travas que mais importam

Não estão aqui todas as 60 — só as que protegem coisa que não volta:

Onde o harness é frágil (dito sem enfeite)

Método, para o número ser auditável (sem isto ele não vale nada — ver o aviso abaixo):
denominador = arquivos .py/.sh em .claude/hooks/, fora as bibliotecas _* e os
próprios arquivos de teste; corpus = todo arquivo de teste enumerado do disco (rglob),
fora .venv*, .git e worktrees — deu 992 arquivos em 26 pastas. "Tem rede" = o nome do
fiscal aparece em algum desses arquivos.

⚠️ Terceira versão destes números. As duas primeiras estavam erradas, pelo MESMO motivo,
e a segunda foi a correção da primeira.

Versão	Publicado	Erro
1ª	137 de 220 e 28 de 60	contei exit 2 dentro de comentário como bloqueio; busquei testes em 1 pasta
2ª	106 de 210 e 1 de 53	busquei em 3 pastas — o repositório tem 26. Faltaram .claude/hooks/tests/ (27 arquivos) e a raiz de .claude/hooks/ (8)
3ª	a tabela acima	corpus enumerado do disco, denominador sem libs nem testes

A 2ª versão foi publicada junto com a lição P756, que ensina exatamente a não fazer
isso — e cuja primeira redação repetia o defeito, afirmando que "o repositório tem três
pastas de teste". Quem achou foi um cético independente, relendo a correção.

(Da 1ª versão sobra ainda um acerto: check-ws-auth-tracker.py foi tirado da lista de
"código morto" — é chamado por validate-commit.sh:1076 e tem 11 testes.)

Ressalva de contagem: 1 dos 52 é falso-bloqueador. check-delegation-prompt-report.py
está registrado só em PostToolUse — ali o arquivo já foi salvo, então o exit 2 vira
recado, não impedimento. O próprio hook diz isso no cabeçalho; a contagem é que não distinguia.

O buraco maior: teste de fiscal não prova que o fiscal é chamado

Achado em 2026-08-01 por cético independente, e confirmado com medição própria: sete fiscais
nunca rodaram uma única vez, e um deles guarda dinheiro.

A causa não estava em nenhum deles. Estava no registro em .claude/settings.json: o padrão
Edit(*/static/js/*) exige um diretório antes de static, e o caminho que o harness casa
não tem. Comparação limpa, em 125.351 registros de telemetria:

Os sete que estavam mudos: p284-no-raw-prop-name-compare (guarda de dinheiro — impede duas
contas da mesma empresa de virarem par), frontend-lint, check-trycatch-around-api,
check-cross-layer-rule-dup, check-error-msg-jargon, check-state-machine-drift e
check-test-token-login. Os 16 gates foram corrigidos ((*/ → (*).

A lição, que vale para todo o repositório: um teste de fiscal roda o arquivo do fiscal
direto, com um pacote montado à mão. Ele prova que a lógica dele decide certo. Ele não
prova que o harness algum dia entrega esse pacote a ele. São duas perguntas, e só a segunda
diz se a proteção existe de verdade:

Por isso a tabela de fraqueza acima ("1 de 53 sem teste") diz menos do que parecia: cobertura de
teste alta convivia com sete guardas desligadas. Um fiscal com 0 execuções e 8 testes verdes é
pior que um sem teste nenhum — porque o verde convence.

Conferência periódica (quais fiscais estão registrados e nunca dispararam):

python scripts/quality/fiscais-mudos.py

Como conferir se este guia envelheceu

python scripts/quality/regua_de_corte.py --versao-min 2

Ele mede peso, silêncio e categoria de cada fiscal na janela recente. Se os números aqui
divergirem muito dele, ele está certo e este documento está velho.

Para descer mais fundo

A Obra do Harness

Status: DRAFT — o diagnóstico está fechado; o desenho não foi aprovado
Tier: L — toca o injetor de contexto, o portão do commit, o quadro de metas, o acervo de lições e o ciclo inteiro de 12 passos; atravessa .claude/hooks/, scripts/quality/, memory/ e specs/.
Autor: Claude + Usuário
Data: 2026-08-10
Sessão: obra do harness, sessão 1
Última conferência contra o CÓDIGO: 2026-08-11, sonda de 5 lentes + 5 céticos — os cinco vereditos voltaram SOBREVIVE: NÃO e 20 números foram corrigidos, três deles invertendo a leitura anterior (§3.19). (Revisões anteriores: 2026-08-10, a 1ª achou 6 contradições; a 2ª achou mais 15, quase todas criadas pela própria 1ª — ver §18)

Esta é a SSoT (fonte única da verdade) desta obra. Toda decisão, medição e mudança de
rumo entra aqui. Se algo só existe na conversa, considere que não existe — foi
exatamente esse o defeito que originou a obra.

Substitui: o primeiro desenho de 5 portões, derrubado no mesmo dia (ver §9).

⚠️ Nota de nascimento, e ela prova a tese da obra: esta spec foi escrita sem a linha
Tier: e o guarda que exige a seção de pós-implementação deixou passar em silêncio —
porque, não achando a declaração de tamanho, ele libera. É o defeito nº 2 do dono
("mentir que terminou") acontecendo dentro do documento que existe para curá-lo.
No acervo há 78 specs com tamanho indeterminado contra 72 L e 16 M.

0. ⏱️ A obra em 60 segundos

Para quem chega agora, ou volta depois de uma compactação. Se você só ler esta seção, sai
sabendo o suficiente para decidir se continua lendo.

O estado, sem enfeite: o diagnóstico está maduro e caro (três varreduras, uma sonda de 11
ajudantes, ~3,2 milhões de tokens, nove céticos). O desenho está zerado. Esta spec vale pelo
que ela impede de ser re-proposto (§8 e §9), não pelo que ela já entregou.

⚠️ E ela já mentiu de novo: em 11/08 três dos seus números estavam invertidos e um não
fechava com a própria aritmética (§3.19). O CA-4 — "a spec não se contradiz" — reprovou pela
terceira vez. Isto não é sinal de que a revisão falhou; é o custo conhecido de um documento
que carrega número medido. A defesa que funciona é a D19: conferir o código, nunca este texto.

🧭 Onde está cada coisa

🧭 A divisão de papéis entre este documento e a lista de execução (2026-08-13)

Este arquivo é o por quê: diagnóstico, números, decisões e desenhos mortos. A lista do
o quê fazer mora em specs/os-vigias-do-harness.md, com
13 metas que fecham por commit (fecha meta N @os-vigias-do-harness) — logo o estado é
escrito por máquina e duas conversas podem trabalhar nele sem se atropelar.

Por que a separação, e não uma lista aqui: este arquivo tem 2.043 linhas e status DRAFT. Uma
lista de estado dentro dele seria a segunda lista respondendo "o que falta?" — o defeito
que esta obra existe para combater. Um documento, um papel.

⚠️ E a lista de execução carrega, no topo, as TRÊS ideias que este documento já matou com
medição (D2 a poda dos mudos §3.14-B · o despachante único §3.12 · a régua de custo §3.15).
Elas foram re-propostas em 2026-08-13 por quem não tinha lido este arquivo — a lição P779 em
estado puro. O apontador cruzado existe para que isso não aconteça uma terceira vez.

📖 Como manter este documento

Estas regras existem para o documento não apodrecer — que é o defeito nº 1 de spec nesta casa.

1. 🎯 O alvo — nas palavras do dono

"os projetos do github que prometem resolver o principal problema da LLM em planos, que é
esquecer as coisas, mentir que terminou X coisa, isso é grave, meu foco é esse"
— 2026-08-10

"agora confio mais em pegar algo pronto e copiar e melhorar aquilo que já está
comprovando" — 2026-08-10

São dois defeitos, não um harness bonito. Tudo que entrar nesta obra tem que matar um dos
dois. O resto é enfeite e fica de fora.

2. 📏 Os 6 critérios de avaliação

Toda peça — nossa ou copiada — passa por estes seis. Os três marcados 🔑 são os que mudaram
o rumo desta pesquisa e não estavam na lista inicial.

Os critérios 3 e 4 são os dois defeitos do dono, em forma de pergunta.

3. 🔢 O que foi MEDIDO — cada um com o comando

Regra: nenhum número entra aqui sem a fonte. Onde a fonte é fraca, está dito.

📅 Leia a data antes do número (D19). Tudo aqui foi medido em 2026-08-10 — a obra
tem um dia de vida —, mas em momentos diferentes do dia, e isso importa:

Seções	Quando	Reconferidas depois?
3.1 a 3.11	madrugada	❌ não — são janelas móveis, e refazê-las custa a varredura inteira (§8.1)
3.12 a 3.14	manhã	✅ pelos três céticos da obra dos guardas
3.15 a 3.18	tarde	✅ nasceram de cético, com o número reproduzido

Seção marcada ✅ descreve defeito morto; sem ✅, o defeito está vivo na data indicada.

3.1 Manutenção: a ferramenta consome mais que o produto

Reconferido em 2026-08-11 (§3.19). A coluna "% que é conserto" é a medida mais estável
do eixo: nenhuma das quatro se moveu mais de 1 ponto em 24 horas.

git log -n 99999 --since="30 days ago" --format='%s' -- .claude/hooks/ | grep -cE '^fix(\(|:)'  # 380
git rev-list --count --since="30 days ago" HEAD -- .claude/hooks/                               # 687

A tela custa 3× menos que os guardas para manter, no mesmo repositório e no mesmo mês. É a
prova de que 55% não é lei da natureza — é escolha de desenho em algum lugar.

⚠️ Armadilha medida: git log --since=... | wc -l devolve 50 quando o real é 2.092.
Erro de 40×, reproduzido 4 vezes. Use sempre git rev-list --count. (A causa é o rtk, não
o git — §10.)

⛔ Armadilha nova, e ela custou a conclusão principal desta seção (lição P927):
janela deslizante medida ontem não se compara com ela mesma hoje. O "2.101 → 2.177" parecia
aceleração de 70 commits e era queda de 49 — ao avançar um dia, a janela ganha o dia novo
e perde um dia inteiro na outra ponta. Agravante: a medição de 10/08 foi feita no MEIO de um
dia que fechou com 142 commits. Tendência só se mede com janelas fixas e disjuntas, com
--until explícito e hora na data (--since=2026-08-11 devolve 0 onde --since="2026-08-11 00:00" devolve 18).

3.2 A pilha de guardas está acelerando — a direção sobrevive, a magnitude está em disputa

git log -n 99999 --since='7 days ago' --diff-filter=A --format='' --name-only -- '.claude/hooks/*.py' '.claude/hooks/*.sh'

⚠️ As duas colunas aceleram, e é só isso que se pode afirmar. A diferença entre elas não é
desaceleração — é divergência de fórmula, e a fórmula de 10/08 não ficou registrada. Testado
em 11/08: sem filtrar as subpastas (tests/, _lib/), o número de 7 dias salta de 16 para
41 — ou seja, o pathspec sozinho explica um fator de 2,6×. Enquanto a fórmula de ontem não
for recuperada, não use a comparação entre as colunas, só a tendência dentro de cada uma.

💡 Lição de método: eu reportei 34/semana, um revisor me corrigiu para 13,3, e os dois
estavam certos — era aceleração. Número em uma janela só mente. (E a lição de 11/08
completa a de 10/08: número na mesma janela, medido em dois dias, mente igual — P927.)

3.3 ⛔ Teste não protege guarda — A ATRIBUIÇÃO DOS GRUPOS ESTAVA INVERTIDA (11/08)

Esta seção afirmava um fato que a §8 usa para excluir uma ideia. O fato caiu; a exclusão
perde a base. É o achado mais grave da sonda de §3.19.

O que o código diz: o 87 é quem TEM rede, não quem está sem. A fonte é o campo
guardas de .claude/canarios/_exercitados.json, e o próprio
painel_de_guardas.py:505-517 documenta que esse
arquivo lista quem a bateria RODA. O sinal estava trocado.

python -c "import json;d=json.load(open('.claude/canarios/_exercitados.json',encoding='utf-8'));print(len(d['guardas']))"   # 87
pytest .claude/hooks/tests/test_p846_quarto_arquivo_sem_plano.py   # 19 passed — e ele consta "sem rede"
pytest scripts/tests/test_p600_fala_que_nao_chega.py               # 116 passed — idem

⚠️ O que fica de pé e o que cai:

Consequência que atravessa o documento: a §8 exclui "escrever teste para cada guarda" com o
motivo "medido: guarda com teste conserta 3,35× mais". Esse motivo está suspenso — a linha
foi marcada lá também. A causa que o repositório dá para o fenômeno segue de pé e é outra, escrita
em replay_fiscal.py:3:

"Escrevi um fiscal novo, escrevi 23 testes, todos passaram, e o fiscal errava 13 de 14 vezes
em produção — precisão de 7%. Os testes mediam o fiscal contra a minha IMAGINAÇÃO do que eu
falo. O replay mede contra o transcrito real."

3.4 O portão de etapa que já existe está morto

A casa construiu a fechadura e nunca cortou a chave. E o formato que dispara portão é
evitado; o que não dispara é adotado espontaneamente.

3.5 A lição é escrita bem e devolvida mal

Guardar não é lembrar. O injetor escolhe 3 por turno sobre 875 candidatas — a conta não
fecha por construção.

3.6 Remendo empilhado na mesma raiz

Régua usada: a própria da casa, max(Jaccard, Overlap) ≥ 0,3
(check-pattern-duplicate.py:125).

⚠️ Honestidade: minha hipótese era que o acervo inteiro fosse repetição. Não é. A
régua vê palavras, não raízes, então subconta — mas eu estava exagerando e o número corrigiu.

3.7 O injetor de contexto engolia 37% do que deveria entregar — ✅ CONSERTADO em 2026-08-10

✅ CONSERTADO no commit 4f5b8cf77, no mesmo dia em que foi achado. O descarte deixa
recibo visível na saída ([SUMIU: <lente> <n>ch]) e grava no log de erro. Rede permanente:
.claude/hooks/tests/test_descarte_deixa_recibo.py, 7 testes.

⚠️ Esta seção ficou 8 horas descrevendo como VIVO um defeito já morto — e isso custou um
desenho inteiro. À tarde, oito ajudantes leram esta spec, não leram o código, e propuseram
consertar o que já estava consertado. Foi o defeito crítico nº 1 do quarto desenho
(§9.1). A lição virou a decisão D19.

A linha do defeito é unified-context-injector.py:199:
um continue sem chamar o registrador de erro que o próprio arquivo mantém.

Rodando o injetor ao vivo com prompt rico, a lente de sugestão de agente desaparece
inteira, calada. É o critério 4 (falha calada) no coração da máquina.

Por que isto é o achado mais grave da obra: numa conversa, o dono percebe quando eu
esqueço. Num laço autônomo não há ninguém — as travas sumiriam em 1 turno a cada 3 e o
erro andaria sozinho por horas.

3.8 O quadro de metas depende de eu lembrar — e a adoção medida é 9%

Correção contra a §6.2 desta própria spec, que marcava a peça como "manter" sem ler o que
ela diz sobre si mesma.

O comentário está no próprio código, em
meta_da_obra.py:270:

"escrever fecha meta N na mensagem do commit depende de EU LEMBRAR — e a lei desta casa
diz que humano lembrando morre."

Consequência de desenho: propagar o formato sem apagar a lista à mão não mata o quarto
lugar de verdade — cria o quinto.

3.9 Números que derrubaram propostas minhas

Piso de processo medido nesta máquina: python + imports típicos = 51,2 ms; bash vazio =
17,1 ms. Cada guarda paga dois arranques.

⚠️ Aqui havia um número que caiu: esta seção afirmava que "~76% do tempo é só ligar
processo". A sonda de §3.12 mediu 22,5% — o 76% era uma estimativa de piso dividida
pela duração média, não uma medição do trabalho real. Fica como registro, no passado, porque
ele sustentou uma proposta (o porteiro único) que morreu por causa disso.

3.10 A LEI DOS 9% — o achado mais acionável da obra

Medida em três mecanismos idênticos, independentes um do outro. Nasceu de o dono contar como
usa o roadmap: "tenho noção pelo número de cards" — ou seja, o produto do roadmap é o
número, e card aberto depois de pronto é mentira no único número que ele lê.

Os três são a mesma coisa: uma frase na mensagem do commit.

git log -n 99999 --since='30 days ago' --regexp-ignore-case --extended-regexp --grep='(fecha|closes|resolve) #[0-9]+' --oneline

A lei, em uma frase: mecanismo que depende de eu lembrar de escrever uma frase chega a
~9%; a mesma frase, com um lembrete no momento de escrever, chega a 83%.

A diferença entre 9% e 83% não é desenho — é o lembrete no instante certo. E o lembrete é
a peça mais barata do repertório: já foi provada aqui, em 3.013 commits.

Detalhe que reforça: dos 209 usos de fecha #N em toda a história, 208 aconteceram nos
últimos 90 dias e 170 nos últimos 30. O hábito é novo e está crescendo — mas a taxa
está travada em 8%. Crescimento de uso não conserta taxa de adoção.

3.11 ⚠️ A INVERSÃO — datada em 22-29/07, e é PATAMAR, não incêndio novo

Achado do ângulo advogado-do-diabo da terceira varredura. Refeito com janelas fixas em
2026-08-11 (§3.19), depois que o cético derrubou a leitura de "acelerou desde ontem".

A série em semanas FIXAS e disjuntas — é ela que mostra tendência; a janela deslizante não
mostra (P927):

git rev-list --count --since="2026-08-05 00:00" --until="2026-08-12 00:00" HEAD                                     # 546
git rev-list --count --since="2026-08-05 00:00" --until="2026-08-12 00:00" HEAD -- .claude/ scripts/                # 329
git rev-list --count --since="2026-08-05 00:00" --until="2026-08-12 00:00" HEAD -- server/ static/ Experts/ Include/ # 128

A inversão tem ~3 semanas de idade e as duas últimas semanas são planas (60,9% → 60,3%).
Isso muda a natureza do problema: não é um pico da semana desta obra, é o patamar em que a
casa passou a viver. E os 60,3% são piso, não teto — há 334 commits em 30 dias que não
caem em nenhum dos dois lados (specs/ 397, memory/ 119, .claude/knowledge/ 23 na mesma
janela), e boa parte disso é documentação da própria ferramenta.

⛔ A linha de 30 dias de 10/08 não fecha com a própria aritmética e foi descartada: o mesmo
briefing dizia 1.161 commits de harness em 2.101 totais, que é 55,3%, não 42,0% — e 42,0% de
2.101 daria 882. Não use aquela linha como base de nada. Medida hoje, a janela de 30 dias dá
45,4% × 43,1%.

⚠️ Interseção declarada (D25): 82 commits em 30 dias (8,5%) tocam ferramenta e
produto e são contados dos dois lados — em 7 dias são 15, em 180 dias são 382. As percentagens
acima somam mais de 100% por isso, e não por erro.

Ressalvas honestas, dos dois lados:

A frase do advogado do diabo, que fica registrada porque é a consequência real:

"Com 60,7% da semana na ferramenta, o próximo defeito que o dono vai sentir não vai ser 'o
agente esqueceu' — vai ser uma conta de prop firm morrendo enquanto eu conserto o guarda que
fiscaliza o guarda."

3.12 ✅ A sonda do despachante — a premissa caiu, e o conserto foi outro

2026-08-10, conferido no código e nos números. 223.392 execuções, janela de 2,74 dias.
O dono pediu para medir antes de construir; foi o que evitou construir a coisa errada.

Os guardas de um lote já rodam em PARALELO — em 10 de 10 eventos o relógio do lote fica
colado no guarda mais lento, não na soma.

A régua que nasceu daqui — quanto do relógio cada guarda POSSUI: num lote paralelo,
acelerar o mais lento só rende até o segundo colocado. Então o valor de um guarda é a
soma, sobre os lotes em que ele foi campeão, de (ele − o segundo). Com essa régua o ranking
muda, e o teto total é 16,5 a 21,2 min/dia de 84,4 min/dia de relógio da frota.

O conserto que saiu disso (commit 27688bfd1): dois guardas pagavam o preço inteiro
sem ter nada a julgar — porque o discriminador barato estava por último.

O padrão não foi inventado aqui: dangerous-commands.sh já usava esse atalho desde
2026-07-21, com o mesmo comentário explicando o porquê. Foi extensão, não invenção.

⚠️ A bancada mentiu, e a telemetria de produção me pegou. Os dois primeiros atalhos
mediram 9,5× e 5,1× na bancada e renderam ~1,0× em produção. A causa: eles
procuravam o texto-gatilho no pacote inteiro, e o pacote de um Edit carrega o
conteúdo do arquivo — como o trabalho de rotina desta casa é escrever sobre código, o
atalho quase nunca disparava. Consertado nos commits bde1c907a e 99b6ee1c9: agora leem o
caminho de verdade, e o caso realista foi de 375,2 → 72,2 ms e 173,3 → 44,0 ms.

Como eu descobri, e o método vale mais que o conserto: o antes/depois da telemetria dava
pior depois — inclusive nos guardas que eu não tinha tocado. Usei os 97 guardas
intocados como CONTROLE: a mediana deles ficou 1,74× mais lenta na mesma janela, porque
a máquina estava sob carga (eu mesmo, com 15 ajudantes e baterias). Sem o controle eu teria
concluído "piorou" — ou, pior, teria acreditado na bancada.

O que eu tinha recusado — e o dono mandou consertar na raiz. sync-memory-on-stop.sh
possuía 2,17 min/dia, e eu me recusei a aplicar o atalho barato em bash: o discriminador
teria que comparar caminhos, e o caminho de uma worktree contém o do projeto como
prefixo. Em bash, isso trocaria 0,3 s por perda de lição.

Medindo para o card #915, apareceu algo pior — e vale mais que o tempo. O
grep -Fvx -f dele contra o caderno real (54.917 linhas / 8,1 MB) não terminou em
600 s, e o prazo do gancho é 10 s. Ou seja: desde que o caderno cresceu, toda
sessão de worktree encerrada teve esse guarda morto no meio, calado, e a lição daquela
sessão nunca voltou. A telemetria registrou as 327 execuções como "ok" — porque, de
fora, morrer no prazo e não ter nada a dizer são a mesma coisa.

Consertado na raiz (commit 7d12bdd67): o arquivo virou Python — um processo em vez de
oito. A comparação virou conjunto (linear), e a pergunta "estou numa worktree?" virou
identidade de diretório (os.path.samefile), que ignora grafia e não cai na armadilha
do prefixo — a mesma armadilha que me fez recusar o conserto em bash simplesmente não
existe em Python.

Rede: .claude/hooks/tests/test_sync_memory_on_stop.py, 9 testes com repositórios de
mentira em pasta temporária — inclui o teto de 5 s com 60 mil linhas, que é a regressão da
bomba, e um teste que declara a lacuna que o guarda NÃO cobre (a grafia POSIX do Git Bash,
/c/Users/...). Lição: P895.

Por que a lacuna é declarada em vez de consertada: medidos 1.084 de 1.084 pacotes
reais, todos trazem o caminho com contrabarra. A grafia POSIX é alcançável no papel e
inalcançável na prática — e o teste existe justamente para que a próxima pessoa saiba disso
sem ter que descobrir de novo.

3.12-B 🧹 A família dos seis: todo git status acordava os porteiros do commit

Achado depois dos primeiros consertos, no mesmo método: medir com carga relevante e
irrelevante. Medido e conferido em 2026-08-10.
Fonte dos números: bancada local, cada guarda alimentado com o pacote real de um
git status e de um git commit, 15 amostras por guarda, mediana — não é um comando
colável; é reprodutível rodando o guarda com o pacote na entrada padrão.

Seis guardas nasceram do mesmo molde e todos começam pela mesma pergunta de verdade
(git commit). Mas o atalho barato deles só saía quando o comando não tinha git — então
git status, git log e git diff, os comandos mais frequentes da casa, atravessavam e
pagavam um interpretador Python cada um.

Filtrar por commit é superset estrito da regra real: todo comando que casa
\bgit\s+commit\b contém, por definição, a palavra commit — inclusive
git commit --no-verify, que é o caso que a sentinela do portão existe para pegar.

E o atalho revelou o segundo custo, que era maior: com o trabalho caro cortado, o que
sobrou no relógio foi o preâmbulo — as três linhas que todo guarda roda antes de qualquer
decisão ($(cat) para ler o pacote, $(dirname) para achar a pasta). Dois processos por
guarda, em todo evento, mesmo quando não há nada a julgar. Trocados por expansão nativa do
bash: IFS= read -r -d '' e ${BASH_SOURCE[0]%/*}.

O caminho inteiro, medido na mesma máquina, com git status:

Individualmente, agora: 22,6 / 22,8 / 23,1 / 23,4 / 24,8 ms. O piso do bash nesta máquina é
21,3 ms — os cinco custam o arranque do interpretador e praticamente nada além disso. O
portão (validate-commit.sh) saiu de 309,7 para 65,6 ms (4,72×) só com o atalho.

⚠️ Nota de honestidade sobre a medição, e ela é a lição P900 se cobrando: numa passada
o check-price-single-door.sh apareceu com 140,9 ms. Era ruído de carga — repetindo com
15 amostras deu 24,8 ms (mínimo 22,0). Número solitário não vira conclusão.

Rede: 57 testes (test_familia_check_atalho_commit.py), incluindo um que lê a linha do
atalho e cobra que ela continue filtrando por commit — é o que impede alguém de alargá-la
de novo sem perceber — e outro que exige stderr limpo quando o guarda não bloqueia, que
é a rede que teria pego o defeito da contrabarra (§3.14).

3.13 ✅ A LEI DO CARIMBO funciona — e o "171" era ruído

Replay do motor real (scripts/check-carimbo-de-fato.py) contra o conteúdo de cada arquivo
na época, commit a commit, nos 6.002 commits de 90 dias. 2026-08-10.

A explicação inteira está na data. A lei existe desde 29/07, mas o portão nativo
(.git/hooks/commit-msg chamando validate-commit.sh) só foi ligado em 07/08. Antes
disso ela só rodava na cópia que roda antes do git add, com a lista errada. Os três escapes
reais são todos anteriores a 07/08.

Ela morde HOJE — testado, não deduzido. Criei um guarda de mentira com dente e sem
carimbo, pus na fila do git e rodei o portão: saída 2, com a mensagem certa. O portão
inteiro levou ~60 s (a bateria rodou 15 arquivos em 58,6 s — não os 446 s que o comentário
do próprio arquivo cita para o caso pior).

⚠️ O limite dela, medido junto: com o arquivo fora da fila do git, o portão sai em
1,17 s e não vê nada. A lei enxerga o que o git enxerga — nem mais, nem menos.

Resíduo consertado no mesmo dia (commit 658b4f5b0): p600-fala-que-nao-chega.py e
p846-quarto-arquivo-sem-plano.py eram os dois legados que barravam sem declarar o fato.
Ambos carimbados.

3.14 ⚔️ O que três céticos independentes fizeram com a obra dos guardas

2026-08-10. Três agentes de contexto limpo, três lentes distintas, disparados em paralelo
sobre o mesmo diff. Um deles me derrubou — e é o mais valioso dos três.

O defeito que o terceiro achou, e por que ele importa mais que o tempo que a obra ganhou:
a expansão nativa do bash corta no /. Num caminho do Windows (C:\...\guarda.sh) ela não
acha barra nenhuma e devolve . — então source ./_telemetry.sh falhava, log_hook_event
deixava de existir e todo bloqueio parava de ser registrado, em silêncio.

🕳️ E aqui está o buraco na minha própria rede: os 52 testes passavam com o source
quebrado, porque só olhavam o código de saída. O guarda liberava certo, com o canal de
erro gritando No such file or directory, e ninguém via. Virou teste permanente:
guarda que não bloqueia tem que sair calado.

O presente que ninguém pediu: a troca do atalho de git por commit curou um mudo
pré-existente. Com tabulação entre as duas palavras (git⇥commit), o filtro antigo — que
procurava git com espaço literal — não casava, e os cinco guardas saíam calados. Medido pelo
cético: antes exit=0, agora exit=2. Um portão que não barrava passou a barrar.

O que ficou como nota, e não virou código (baixa, com o número que a torna inalcançável):
o corte do valor no JSON não desescapa, então um caminho contendo aspa emudeceria o guarda —
e aspa é ilegal em nome de arquivo no Windows. O leitor de pacote tem custo linear, e pesaria
acima de ~10 KB — o máximo real medido é 6,8 KB.

As sete lições que a obra deixou (todas no acervo, todas com dado):

Palavra de conclusão desta frente, pelo vocabulário P676: Blindado — três céticos
independentes, nenhum achado ALTO ou CRÍTICO aberto. (O preço, dito: os dois últimos commits
de conserto não têm cético em cima deles — conserto nascido de achado gasta orçamento e não
reabre o laço.)

3.14-B 🎯 A sonda que matou a ideia de podar os guardas mudos

2026-08-10, antes de escrever uma linha do quinto desenho. A primeira coisa que a sonda fez
foi matar a minha ideia favorita — e é para isso que ela existe.

A ideia era: "41,5% dos guardas nunca bloquearam nem falaram; podar esses resolve a
manutenção". Parecia óbvia e estava errada.

A manutenção mora nos guardas que funcionam. Podar 41,5% da pilha devolveria menos de um
quarto do esforço — e custaria a proteção que os podados eventualmente dariam. A D2, tomada de
manhã contra a poda por tempo, ganha aqui a segunda perna: não paga por manutenção também.

⚠️ Esta seção esteve FALTANDO até a segunda revisão de 10/08. Os números existiam, tinham
sido medidos e tinham matado uma ideia — e nada disso entrou na spec; só uma menção de passagem
dentro da §3.15. É a lição P884 em estado puro: eu estreito o escopo em silêncio, e quem lê
não tem como saber de onde veio a conclusão.

E foi desta sonda que nasceu a régua que morreu na sequência — a mesma população, olhada por
outro ângulo, com uma aritmética errada. Ver §3.15.

3.15 ⛔ A RÉGUA DE CUSTO POR GUARDA MORREU no dia em que nasceu

2026-08-10, tarde. Três céticos independentes atacaram o quinto desenho; os três derrubaram
algo meu, e o terceiro reproduziu a minha régua na casa decimal antes de demoli-la.

A régua era: custo de um guarda = toques de conserto no git ÷ (bloqueios + falas). Com ela
eu afirmei que guarda que julga texto custa 200× mais que guarda que julga fato. Os seis
defeitos, todos medidos:

E o erro que teria custado caro: eu propus aposentar check-declare-done-sem-ritual.py
dizendo que ele tinha zero bloqueios. A telemetria diz 22 bloqueios em 31 horas — ele é o
3º guarda que mais barra coisa na casa inteira. E ele julga TEXTO, o que faz dele o
falsificador da minha tese, dentro dos dados que eu usei para escrevê-la.

🏠 A resposta estava em casa, escrita antes de eu errar. O próprio
scripts/quality/painel_de_guardas.py já adverte contra exatamente este viés de janela, no
comentário de FATIA_RECENTE — "julgar pela janela é o defeito que este par existe para
consertar". A casa documentou o defeito e eu o repeti. É a lição P779 em estado puro.

(A versão anterior desta nota citava números de linha. Eles envelheceram em três horas,
quando eu mesmo mexi no arquivo — por isso a citação agora é pelo nome do conceito.)

O que sobrevive da régua: nada como número. Como pergunta, sim: "quanto conserto este
guarda consome por ato útil?" continua sendo a pergunta certa — e responder exige janela alinhada,
ATOS = 0 virando "sem medida" em vez de "caro", e a população filtrada para guardas de verdade.

3.16 ✅ O carimbo de conclusão rendia ZERO em 116 execuções — CONSERTADO em 2026-08-10

✅ CONSERTADO no commit 3e26c68a4, no mesmo dia. A causa não era o gatilho, nem o papel,
nem a decisão: era de onde ele lia. O cético grava o laudo em disco antes de responder
e só depois monta a resposta com o bloco de escopo no fim — dois pedaços em dois lugares, e o
guarda escolhia um. Agora carimba() junta as duas fontes.

Prova com o código real contra os laudos reais (livro desviado para pasta temporária):
17 laudos → 0 carimbos antes, 4 depois — e os 4 são exatamente os de veredito positivo.
Rede: 4 testes novos, 326 verdes em toda a família.

⚠️ E um número meu que estava errado, pelo mesmo erro da P908 — cometido 40 minutos depois
de eu escrevê-la. Eu disse "2,9% dos laudos trazem o bloco". Esse número mistura duas
populações separadas por uma mudança: a instrução que manda o cético declarar o escopo entrou
às 05:37 do mesmo dia.

População	Laudos	Com o bloco
Antes da instrução	478	0 — 0,0%
Depois da instrução	49	15 — 30,6%

A adesão nunca foi 2,9%: era zero antes e 30,6% depois. Janela misturada vira número que
engana, e o alvo do engano fui eu mesmo.

O texto abaixo é o diagnóstico como estava antes do conserto, mantido porque é o que explica a causa.

Medido em 2026-08-10 por mim e, independentemente, por dois céticos. É o defeito real que
sobrou de pé depois de os três movimentos do quinto desenho caírem.

carimba-blindado-do-cetico.py nasceu às 06:36 de 10/08 (commit 05684ea70) e está
registrado em SubagentStop. Ele faz, derivado, o que o quinto desenho ia construir à mão:
lê o laudo do cético e sobe o degrau do livro de bordo — sem sinal → mexido → testado → validado → blindado.

A causa, reproduzida na bancada: ele exige que o laudo traga um bloco declarando onde o
cético olhou. Medido nos laudos que existem em disco:

O formato só foi cumprido quando o assunto era o formato. É a mesma família da lei dos 9%:
mecanismo que depende de alguém lembrar de escrever um bloco no fim rende 2,9%.

⚠️ Não consertar por reflexo. A saída provável não é cobrar melhor o bloco — é
derivar o escopo do que o cético já produz, coerente com a D13. Mas isso é desenho, e o
desenho desta obra morreu cinco vezes. Mede primeiro.

3.17 ✅ O painel dizia bloqueios e queria dizer bloqueios em PreToolUse — CONSERTADO

✅ CONSERTADO no commit 046510e42, no mesmo dia. O campo virou bloqueios_no_portao
— o nome carrega o escopo — e nasceu um segundo, bloqueios_fora_do_portao, para o número
parar de sumir. Os dois saem juntos na ficha; só o do portão entra na taxa de "apita demais",
porque fora dele a saída 2 é o protocolo do evento, não trabalho travado.

A prova, contra a telemetria real: 359 bloqueios estavam invisíveis, em 4 guardas.

Guarda	No portão	Fora	Execuções
check-declare-done-sem-ritual.py	0	23	242
notify-subagent.py	0	319	522
auto-capture.py	0	10	234
check-nonexistence-claim.py	0	7	240

Rede: 4 testes novos — um cobra que o nome curto não volte, outro roda contra a telemetria
real e falha se o guarda de Stop reaparecer com zero. 103 verdes na bateria do painel.

O diagnóstico abaixo é como estava antes do conserto, mantido porque explica a causa.

Conferido no código em 2026-08-10 — e não era bug, era decisão de desenho documentada.

O comentário do campo, no próprio painel, declarava: "só PreToolUse — bloqueio nos outros
eventos tem outro sentido". E faz sentido: saída 2 em Stop é o protocolo daquele evento, não
trabalho barrado.

O defeito é o nome. Um campo chamado bloqueios que vale zero para um guarda que barra 22
vezes por dia leva quem consome o painel — eu — à conclusão exata oposta.

Isto é a lição P788 acontecendo no instrumento de medição da casa: um proxy barato de
observar vira o número em que se confia, e ele produz confiança porque produz número.

3.17-B ✅ A coerência da spec virou máquina — e ela achou um defeito na primeira passada

2026-08-10, ordem do dono: "sweetspot e robusto". O sweetspot não era peça nova.

O defeito que motivou: contagem que fica para trás numa revisão aconteceu três vezes num
dia, sempre pelo mesmo mecanismo — a revisão acrescenta seções, e todo número escrito no
resumo envelhece no mesmo instante. É conferível por máquina, então passou a ser.

Onde entrou, e por que aí: scripts/quality/referencias_da_spec.py já existia, já fazia a
metade documento × código (o padrão DOCER) e já era chamado pelo portão do commit.
Ganhou a segunda metade — documento × ele mesmo:

Custo no dia-a-dia: zero. Não é gancho, não roda em todo comando — roda onde o verificador
já rodava. Zero guarda novo, zero peça nova: é a D18 cumprida por absorção.

E ela achou um defeito na primeira passada: a lista de "arquivos protegidos, não mexer"
desta spec protegia o caminho antigo server/signals.py, que não existe no repositório. Os reais são
server/af/signals.py e server/routes/signals.py — e o segundo ficava de fora da
proteção enquanto o texto dava a impressão contrária.

A contagem que não dá para adivinhar: o autor DECLARA. A conferência de decisões funciona
porque | **D7** | é convenção inequívoca — mas ela não generaliza, e a primeira versão parou
aí, deixando "21 medições" sem conferência com a justificativa de que "generalizar acusaria
prosa legítima". É verdade, e mesmo assim era desculpa: o problema não era o filtro, era o
texto não dizer o que estava contando.

A saída é a mesma da indústria quando a ferramenta não pode adivinhar a intenção — uma
anotação inline, invisível no texto renderizado, da família de # type: ignore e
<!-- prettier-ignore -->:

| O que já se sabe? | <!--conta:secoes:3-->21 medições, todas com fonte |

⚠️ E há um número aqui que eu deliberadamente NÃO anotei: os "5 desenhos mortos". A spec
tem 3 seções 9.x, porque dois dos cinco desenhos não ganharam seção própria. Anotar
secoes:9 faria a ferramenta cobrar 3 onde o texto diz 5 — e a resposta certa não é mudar
o texto para 3, que estaria errado. Contagem que não é derivável do documento não deve ser
anotada; anotar seria trocar um número velho por uma conferência falsa.

Rede: 60 testes na bateria. A maioria é de ruído — de propósito, porque aviso que erra
é desligado mentalmente. Dois rodam contra esta spec, um contra as 325 specs reais.

⚔️ E dois céticos independentes derrubaram a primeira versão dela

A peça foi entregue como "nível sênior" e submetida a duas lentes. As duas devolveram
PARCIAL, e — sem se falarem — apontaram o mesmo mecanismo raiz.

A raiz era uma só: a metade nova não herdou os dois filtros que a metade velha tinha há
meses — exigir a barra no caminho, e recusar caminho de fora do repositório. Um conserto, no
mesmo lugar, matando o falso positivo de 58% e a travessia.

Depois da reforma: 0 acusações nas 325 specs · 21 de 21 casos de prova como
esperado (os 7 typos passaram a morder; os 4 falsos positivos calaram) · custo das 325 caiu
de 1.224 para 915 ms, porque o cache pagou mais do que os filtros custaram.

⚠️ O que ficou DECLARADO e não consertado, porque não dá para consertar honestamente: a
cobertura do detector de linha é 1,9% — ele só morde se o arquivo encolher 68%. O
defeito que motivou a peça (a citação que envelheceu em 3 horas) não é pego por ele. Com
zero falso positivo ele ainda vale o que custa, mas não é o que eu disse que era.

3.18 💸 O custo de oportunidade, com nome e idade

Medido pelo advogado do diabo em 2026-08-10, sobre os 111 commits do espelho do roadmap. É o
número que a D16 (não congelar) precisa encarar de frente.

Entre os parados, três que envolvem dinheiro real: o canário que precisa passar antes de entrar
conta real de mesa proprietária (#381), a morte por piso passando em silêncio
(#592/#594/#595) e o anti-troca de dia cego das 22h às 00h (#627).

E a ressalva que esta spec fazia caiu. A §3.11 dizia "7 dias é janela curta". Em 14 dias
a inversão persiste: 58,3% ferramenta contra 29,6% produto. São duas semanas, não uma.

O que o roadmap revelou, contra a minha hipótese: o número de cards não cresce por falta de
fechamento — fecha #N já responde por ~75% dos fechamentos, com apenas 8% dos commits
usando-o. Ele cresce por criação: cerca de 340 cards nasceram em 20 dias.

⚠️ Nenhum número desta seção foi reconferido em 11/08. Os cards moram no Postgres e a sonda
de §3.19 foi só-leitura de git e disco. Esta é a maior mancha de "não conferido" que sobrou.

3.19 🔬 A sonda de 2026-08-11 — cinco lentes, cinco céticos, cinco SOBREVIVE: NÃO

Disparada antes de escrever o sexto desenho, cumprindo a D19 (conferir o código, nunca
esta spec) e o CA-5 (medição que matou uma ideia tem seção própria). 11 ajudantes ·
1.150.445 tokens · 37 minutos. Nenhuma linha de código escrita; nenhuma peça proposta.

O veredito, em uma frase: o diagnóstico da obra continua de pé e do tamanho que ela dizia —
o que caiu foi a leitura dele, e as duas pistas que eu tinha para o sexto desenho.

As três inversões — o que a spec afirmava e o que o código diz

As duas pistas que a sonda MATOU

O que sobrou ACIONÁVEL — três fatos, cada um com número

O preço da D6 (zero descartes) — é baixo, e a palavra "nunca" não se sustenta

44 guardas (23% dos 191 registrados) não registraram bloqueio nem fala na janela medida e
constam sem rede. O que eles custaram:

⛔ O cético anulou a palavra "nunca", e o motivo importa mais que o número. As duas janelas,
lado a lado (D25): telemetria = 25,64 h contra git = 90 dias — razão 84:1. E as
25,6 h não são escolha analítica: são o resto de uma poda automática
(rotacao_telemetria.py:45, teto de 200 mil linhas,
guarda 150 mil). A janela ENCOLHE conforme a casa fica mais movimentada — então guarda de
evento raro (deploy, compactação, Playwright) aparece mudo por artefato de poda.

Duas provas de que a classificação é frágil:

• Cortando a amostra ao meio (12,7 h cada), 28 guardas de ~190 (15%) trocam de rótulo —
  incluindo loop-detector.py, orcamento-de-cetico.py, block-sync-subagent.py,
  completeness-critic.py e canonical-carteiro-enforcer.py.
• Nenhum dos 44 tem poder estatístico para "nunca". O bloqueador mais raro medido da casa é
  o loop-detector.py: 2 bloqueios em 6.673 execuções (1 a cada 3.336). Pela regra de três,
  descartar essa taxa exigiria 10.010 execuções; o maior dos 44 tem 6.143, dezenove
  rodaram menos de 100 vezes e dois rodaram menos de 10.

A frase honesta é: "44 guardas não registraram ato em 25,6 horas". Não é "44 guardas
inúteis".

A casa não sabe quantos guardas tem

Quatro denominadores em circulação, e dois scripts da própria casa discordam em 7 lendo o mesmo
settings.json:

Sem um denominador único, toda percentagem sobre "os guardas" é indefinida — e há 29
ferramentas de medição em scripts/quality/.

O inventário do CA-1 — o que JÁ existe e não precisa ser construído

Hipótese testada e DESCARTADA: guarda órfão genuíno — 0 confirmados. Dos 53 candidatos do
grep ingênuo, ~20 foram abertos à mão e todos eram falso-positivo por indireção (fan-out do
unified-context-injector.py, ou instalador de gancho nativo ensure-*-commit-hook.sh).

⚠️ O que a sonda NÃO conseguiu ver

Lista obrigatória (P884): eu estreito o escopo em silêncio e o dono precisa perguntar "cadê o
resto?".

🔎 A lição de método que a sonda pagou, e que vale além desta obra: três dos vinte números
corrigidos caíram pelo mesmo defeito — janela relativa usada para afirmar tendência. Virou
a lição P927. Qualquer número medido em --since='N days ago' nesta spec deve ser lido
como fotografia daquele instante, nunca como ponto de uma série.

3.20 🎯 A RAIZ do "sem rede": a verdade de cobertura é uma fotografia que ninguém retira

Medido em 2026-08-11, logo depois da §3.19, seguindo a diretriz do dono: "focando na raiz e
não no sintoma, e também focando em unificação". Esta seção existe porque a medição matou
uma hipótese minha e achou outra — é o CA-5.

O sintoma é conhecido: ~100 guardas aparecem como "sem rede", e a §3.19 mediu ≥29% de
falso-positivo nessa conta. A causa não é a que eu supus.

A hipótese que eu tinha, e o que a matou

"O painel só olha 2 das 10 pastas de teste da casa
(painel_de_guardas.py:71), então perde os
testes que moram fora delas."

❌ Falsa como causa principal. O código diz o contrário, e o próprio docstring da função já
tinha aprendido a lição em 02/08:

"CITAÇÃO NÃO É COBERTURA. A primeira versão marcava 'tem teste' todo guarda cujo NOME
aparecesse em algum arquivo de teste. Medido: isso marcava 98 guardas, e 44 deles nunca eram
rodados. A verdade de terreno é outra: quem tem rede é quem a bateria RODA."
— painel_de_guardas.py:498-507

As duas pastas são o plano B, usado só quando o arquivo de verdade some — e o painel
avisa na tela quando cai nele ("só CITAÇÃO em teste (fonte fraca)"). O desenho está certo.

A causa real — dois defeitos que se somam

O estado do arquivo de verdade, hoje:

git log -n 8 --format='%h %ad %s' --date=short -- .claude/canarios/_exercitados.json
python -c "import json;print(json.load(open('.claude/canarios/_exercitados.json',encoding='utf-8'))['medido_em'])"

⛔ Por que isto não é a raiz que eu disse que era — derrubado no mesmo dia

Esta seção afirmava, em 11/08 pela manhã:

~~"toda decisão de aposentar, absorver ou proteger um guarda depende deste número. A D6 ×
D8 é decidida por ele. A régua de utilidade mínima da §7.2 é decidida por ele."~~

FALSO, e é a D19 violada por mim: herdei a frase do texto da própria spec sem abrir o
código. É a mesma causa de morte do quarto desenho (§9.1), cometida na seção escrita para
denunciá-la.

E o "~100 mal classificados" também encolheu, pelo mesmo tipo de erro — eu contei quem está
fora da lista guardas e chamei de "desconhecido", mas o arquivo tem três listas:

O próprio produtor documenta a escolha de régua: "contando qualquer execução, o painel diria
25 guardas sem rede; contando só quem julgou um pacote, são 102"
(derivar_canarios.py:77-80). A distância entre 25
e ~100 é escolha de régua, não fotografia velha.

O que SOBROU de verdade desta seção

O defeito é real, e é menor e mais preciso do que eu escrevi: um instrumento de tela
apresenta 35 guardas que ele nunca mediu como se fossem "sem rede" — afirma o que não
sabe. É o defeito nº 2 do dono ("mentir que terminou") dentro do medidor, e vale conserto.
O que ele não é: um número que decide alguma coisa.

E a LEI da obra continua valendo para a fotografia — só não com a importância que eu dei:

Escrito por máquina disparada por evento = vive. Escrito por humano que precisa
lembrar = morre — inclusive quando existe lembrete automático.**

⚠️ A armadilha que qualquer conserto ingênuo cai

Colheita PARCIAL é pior que colheita velha. Se o gatilho for pendurado no portão do commit,
que roda uma bateria seletiva (§3.19: "porteiro seletivo, 40 de 129"), o resultado seria
"os guardas cujo teste não rodou desta vez perderam a rede" — o instrumento passaria a
mentir ativamente em vez de apenas envelhecer.

A saída de desenho que isso obriga: o artefato tem que deixar de ser fotografia que
precisa estar completa e virar livro-caixa que acumula, com data por guarda. Aí colheita
parcial soma em vez de apagar, e a idade fica visível por guarda em vez de global.

Nenhuma linha foi escrita. O desenho vai a cético antes — é o que ficou 250× mais barato (§9.0).

⚔️ O primeiro cético desta seção derrubou um número MEU, desta mesma seção

Lente "a peça já existe" — a que matou cinco desenhos. Veredito: SOBREVIVE: SIM, as quatro
portas confirmaram o diagnóstico. Mas ele achou quatro defeitos adjacentes, e o primeiro é meu.

O A1 importa mais pelo que ele é do que pelo tamanho. O argumento sobrevive inteiro em 305 —
o que não sobrevive é a confiança, e este é o documento cuja única função é não mentir. Foi
achado por um cético lendo o rascunho três horas depois de eu escrever a §3.19, que existe
justamente para registrar 20 números que eu tinha errado. (A §0 avisa que revisar documento
longo cria contradição nova. Esta é a prova, ao vivo, no mesmo dia.)

O A2 muda o desenho, e para pior. O remendo global era o risco marcado como "o que mata o
desenho", e a mitigação que eu tinha era "o mecanismo já está provado no conftest". Não
está: a peça citada como precedente restaura, esta não. Ligar por import deixaria
subprocess.run, Popen e spec_from_file_location remendados até o processo morrer.
Consequência: o movimento do gatilho passa a exigir aplica()/devolve() no plugin — deixou
de ser fiação de 1 linha.

✅ O que FOI FEITO: o painel parou de chamar de "sem rede" quem ele nunca mediu

Do desenho morto sobrou um conserto, e ele é no consumidor, não no produtor. Entregue em
2026-08-11.

A regra, em uma frase: "não está na lista" tinha duas causas, e o painel chamava as
duas de sem rede — afirmando o que não sabia sobre metade delas.

O estado certo já existia no arquivo, criado pelo mesmo raciocínio 9 dias antes, e o
docstring de classificar já explicava por quê:

"porta_usada aceita None de propósito: ... Tratar None como False seria chamar de
'sem tráfego' o que na verdade é 'não medido' — o erro de 2026-08-02, em escala."
— painel_de_guardas.py:221-223

Era o mesmo erro, no eixo do lado. É a lição P779 em cheio: a resposta estava em casa, no
arquivo que o desenho já estava lendo.

A prova, no dado real — a linha do bootstrap antes e depois:

antes:  2 evento sem canal · 100 sem rede ·  0 nao da pra dizer · 0 sem trafego · 78 saudavel
depois: 2 evento sem canal ·  70 sem rede · 31 nao da pra dizer · 0 sem trafego · 78 saudavel

A armadilha que o próprio teste da casa pegou, e vale registrar: a primeira versão do
conserto tratava "a fonte não diz quem mais ela viu" como "não medido" — e isso apagaria o
estado sem rede inteiro para qualquer base antiga. O teste ponta a ponta que já existia
ficou vermelho e me corrigiu. A regra final é mais estreita: o nao da pra dizer só aparece
com prova positiva de que a colheita enxergou parte do mundo.

⚠️ O que este conserto NÃO faz, dito: não regenera a colheita (ela segue de 03/08, sem
gatilho), não muda os 71 legítimos, e não faz o número decidir nada — o painel continua
imprimindo e devolvendo 0. Ele faz o relatório dizer a verdade, que era o tamanho honesto do
problema.

3.21 🚪 O gancho que já está na porta certa — e não abre o envelope (2026-08-11)

Nasceu da cobrança da lição P884: a pesquisa entregou 6 peças e o desenho cobriu 2.
Antes de desenhar o sétimo, varri no CÓDIGO o que cada uma das seis já tem — que é a lente
CA-1, a que matou 5 dos 6 desenhos. Desta vez ela rodou antes, não depois.

O que a pesquisa dizia, e o que o código diz

A pesquisa-spec-driven-e-harness.md §10 marca dois dos quatro momentos de verificar como
buraco: "antes da 1ª linha de código" ❌ falta, e "as N tarefas têm N provas?" ⚠️
"existe o mecanismo, falta ligar ao plano". A segunda afirmação está errada — e a
primeira está certa por um motivo diferente do que a pesquisa supunha.

A medição

# o medidor completo ficou no rascunho da sessão; a regra que ele aplica:
# tarefa = cabeçalho `##|### (Task|Fatia|Frente|Peça|Bloco|A1…)`; comando = ferramenta
# executável (python/pytest/npx/curl/git/psql/ssh/bash/scripts/) em qualquer posição
# de uma linha com rótulo de verificação, ou nas 5 linhas seguintes.
ls ~/.claude/plans/*.md | wc -l

⛔ O RESTO DESTA MEDIÇÃO FOI DERRUBADO no mesmo dia, por três céticos independentes. Ficam
registrados como o que são — um ponto arbitrário dentro de uma faixa larga:

A regra publicada aqui não reproduz os números publicados aqui — ela gera 126/82/55. Um dos
dois está errado e não dá para saber qual, porque o medidor foi descartado no rascunho.

🎯 A leitura honesta: "quantas tarefas carregam comando de prova" não tem resposta
conhecida nesta casa. Não existe gabarito contado à mão, e o mesmo corpo de 19 planos já
devolveu 3,6%, 58,1%, 87,1%, 22,1% e 67,3% conforme quem conta. O que
sobrevive é a pergunta, não o número.

A causa raiz, e ela é mais interessante que o número: os 19 planos usam 15 formas de
marcar uma tarefa e 23 de declarar a verificação dela, com rotatividade de ~1 forma nova por
plano. Nada nunca exigiu uma gramática — então qualquer leitor automático não lê um formato,
adivinha um dialeto. E o próprio plan.md alimenta a confusão: manda o campo se chamar
Verificacao na linha 133 e escreve Validacao nas linhas 100, 111 e 197.

🚪 A porta: o gancho certo já existe, no instante certo, e não lê o plano

plan-approved-task-tracker.py roda em PostToolUse ExitPlanMode — o momento exato da
aprovação do plano, antes da primeira linha de código. É o momento que a pesquisa chamou de
"a única peça do mercado que vale enxerto".

Confirmado em 26 chamadas reais de ExitPlanMode nos transcritos (eu tinha escrito 5 — era
uma fatia; a varredura completa dos 519 arquivos, deduplicada por identificador de chamada, dá
26): o campo plan chega com 4.604 a 23.038 caracteres, e planFilePath vem em 25 das
26. E a varredura de .claude/hooks/ por planFilePath / .claude/plans devolve uma linha
só — uma fixture de teste passando "..." como espaço reservado
(tests/test_plan_task_tracker.py:54). Nenhum guarda da casa lê o texto de um plano.

🎯 A frase que resume: o sensor já está de pé na porta certa, com o envelope na mão, e
nunca o abriu. Não falta guarda novo — falta abrir o envelope.

⚠️ O medidor errou primeiro, e vale registrar

A primeira versão deu 3,6% e estava errada: ela exigia que a linha começasse com a
ferramenta, e a forma real é - **Verificação:** \cd server && pytest …`— o rótulo vem antes. Falso negativo em **13 de 13** tarefas de um plano. Uma versão anterior a essa, frouxa demais (qualquer crase contava), deu **87,1%**. **Os três números saíram do mesmo dado.** Só a conferência à mão de um plano separou o verdadeiro dos dois falsos — é o anti-padrão *"medidor caseiro"* da/sonda`, pego dentro da própria sonda.

As outras quatro peças, conferidas no código

3.22 🚨 A obra já existia, está IMPLEMENTADA desde 27/05, e a corrente dela está partida em dois elos (2026-08-11)

Achado a partir de duas perguntas do dono — "já não temos a skill plan e o template pra spec?"
e "e a spec template, achou ela?". As duas eram a lente CA-1, e as duas mudaram a resposta.
Esta seção é a mais importante da spec: ela mostra que sete desenhos tentaram inventar um
sistema que esta casa desenhou, construiu, testou com 42 casos e declarou IMPLEMENTADO há dois
meses e meio.**

O que existe — specs/harness-3-portoes.md, S384, 2026-05-27

Ela ataca, nomeando, os mesmos quatro furos que a pesquisa de agosto "descobriu": premissa
não re-ancorada · cobertura por arquivo em vez de por requisito · sensor visual decidido no chute
· juiz funcional sendo o mesmo cérebro. Cita as mesmas fontes (harness engineering, ATDD,
"quem julga tem que ser ferramenta que devolve 0/1").

🔗 A corrente, elo por elo — e ela decai até quase zero

O contrato tem três elos. Medidos:

# elo 3, o mais fácil de reconferir:
git log --format=%B -n 4000 | grep -ciE 'prova\s*:\s*CA[-_ ]?\w+\s+via'

🎯 A causa, e ela não é desleixo

O elo 2 nunca foi construído. O .claude/commands/plan.md não menciona critério de aceite uma
única vez — nem CA-N, nem Prova:. E git log -S "Prova: CA" nesses arquivos volta vazio:
a linha que o guarda espera nunca existiu no template que deveria emiti-la.

O stage-sensor-gate.py declara no próprio texto que o token é "mandado pelo template do
/plan". Ele foi construído contra um produtor que não foi construído junto.

🔎 Esta é a D8 ao contrário e vale como lei: a casa criou uma peça nova (o portão) sem
criar o elo que a alimenta — e o resultado não foi um portão ruim, foi um portão mudo por
dois meses e meio, disparando em todo commit e nunca vendo nada. Peça nova precisa nascer com
quem a alimenta, não só com quem a chama.

⚠️ O que isto NÃO autoriza a fazer ainda

Ligar o elo 2 hoje emitiria Prova: CA-N apontando para critérios que 90% das specs não têm
carimbados. E o elo 3 tem dente: [visual] sem prova de navegador barra o commit. Ligar a
corrente com dois elos fracos transforma um guarda correto em falso-alarme — que é o defeito que
esta obra mais mediu. Decisão do dono, 11/08: conferir antes de ligar. Os dois furos foram
conferidos e estão acima; o terceiro (o acervo de specs sem carimbo) segue aberto.

3.23 🧩 A obra do painel, triada — 5 peças que servem, 4 que não (2026-08-11)

O dono mandou analisar specs/painel-de-progresso-do-harness.md, fechada em 11/08 com 10 de 11
metas. Veredito: ela fez bem, e o resultado mais transferível dela não é o painel — é que
medir encolheu a meta em 6 de 11 casos (metas 3, 4, 6, 8, 11 encolheram; a 9 foi cancelada
por já estar pronta). Esta seção é a triagem, obrigatória pela lição P884: o que entra E o que
fica de fora, com motivo.

🎯 O achado que vale mais que os nove: dois EIXOS, não dois vocabulários

Três sistemas desta casa respondem à mesma família de pergunta. Descobri hoje que dois deles
são complementares e nunca foram ligados:

O primeiro e o terceiro já estão alinhados — mesmas palavras, mesmo significado, sem
conflito. O que falta é o fio entre os dois primeiros: se o commit da tarefa carregasse
Prova: CA-N via [journey], o carimbo do degrau sairia sozinho, sem ninguém digitar. É a
mesma obra vista de dois lados, feita com dois meses e meio de distância — e o elo que falta é
exatamente o da §3.22.

🔧 As obras avulsas do outro chat, e onde elas moram

O dono perguntou por elas por nome (travamento de commit, "pythons fantasmas"). As duas
primeiras têm spec; a terceira é peça de uma delas.

⚠️ O defeito daquela obra que também é NOSSO

1.261 linhas de spec para uma obra de dois dias. É o mesmo inchaço deste documento, e a
própria seção de pós-implementação dela confessa ter carregado uma régua revogada em
01/08 — dentro da spec de uma obra que existe para perseguir documento que mente.

4. 🎯 As decisões tomadas

Numeradas, com data e motivo. Decisão sem motivo volta a ser discutida.

4-B. 🎚️ A cobrança da D17 — qual dos três alvos cada movimento move

O dono recusou escolher um alvo. A consequência que ele mesmo apontou é esta tabela:
movimento que não move nenhum dos três sai do desenho.**

O quinto desenho foi escrito e morreu (§9.0). Fica registrado o que ele propunha e o que
cada movimento moveria — porque proposta morta sem motivo escrito volta em duas semanas:

Os seis movimentos já executados, medidos pela mesma régua — não são o desenho, são
consertos avulsos achados durante a medição:

O que essa tabela denuncia, e continua denunciando: dos seis movimentos executados, só
dois tocam 🧹 manutenção, e nenhum a ataca de frente — que é justamente o eixo em que a
§3.11 mostra a casa a 3-4× da referência de mercado. O sexto desenho, se houver, tem que
atacar a coluna do meio — ou repete o padrão dos cinco anteriores.

🔎 E há um padrão nos seis que vale mais que a tabela: nenhum deles foi desenhado.
Todos apareceram durante uma medição, olhando um número que não fazia sentido. Cinco
desenhos morreram; seis consertos nasceram de sondas. É a evidência mais forte desta obra a
favor do passo 2 do fluxo da casa — medir antes de desenhar.

5. 🗺️ O ciclo completo — 12 passos

Cor do veredito = critério 3 (o que sobra em disco). É o critério do defeito "eu esqueço".

O padrão: passo que produz arquivo sobrevive; passo que produz conversa evapora.
Os três vermelhos são exatamente os três que só produzem conversa.

Onde o spec-kit fica: cobre 7 dos 12 (passos 1, 2, 3, 5, 6, 7, 8). Não tem os passos
4, 9, 10, 11 e 12. Cinco a um a nosso favor — e o único que ele tem e nós não é o passo 7.

6. 📋 O mapa do fluxo atual

Vocabulário: manter = está bom · melhorar = existe e está furado · substituir =
o defeito é de desenho · descartar = não paga o que custa.

6.1 O que o dono digita

6.2 O que roda sozinho

A coluna conferido é a D19 em forma de tabela: sem data, a linha é história, não estado.

Placar atualizado: 16 manter · 5 melhorar · 2 substituir · 0 descartar. (Duas peças entraram
no mapa nesta revisão — elas existiam e não estavam listadas, que é a mesma falha da §3.14-B.)

# a conferência do mutation_check, que derrubou o "nunca ligado a nada":
grep -n "mutation_check" scripts/quality/pre-deploy.sh

6.3 Onde as coisas ficam

Placar: 14 manter · 6 melhorar · 2 substituir · 0 descartar.

7. 🏆 O placar dos projetos de fora

Confiança: medido = li o código ou a issue · inferido = deduzido do desenho.

As colunas 3, 5 e 6 são inferidas — nenhuma ferramenta foi instalada.

7.1 Por que nenhum é 10/10 — as quatro brigas

A quarta é a decisiva, e é visível no placar: a única ferramenta que julga com máquina é a
menor por três ordens de grandeza (7 estrelas contra 126 mil). Não é talento — é
consequência. Portão que serve a 126 mil pessoas só pode conferir o que é universal.

O que isso significa aqui: o motivo de nenhum ser 10/10 é o motivo pelo qual o nosso
pode ser — um usuário, uma máquina, um jeito de rodar teste.

O preço: ninguém mantém a nossa ferramenta. Bug no spec-kit, 126 mil pessoas acham. Bug
aqui, o dono acha — e a conta já é 673 consertos/mês contra 363 do produto.

7.2 📏 A régua da indústria para guardas — o que sobreviveu ao cético

Pergunta do dono, literal: "qual o sweetspot pra guardas em hooks? quero entender onde
podemos estar errando". Cinco ângulos + síntese + cético, 2026-08-10. O cético derrubou 3 dos
5 movimentos e 2 dos 5 achados — o que está abaixo é só o que sobrou de pé.

A frase que resume: a indústria não limita quantos porteiros o prédio tem — limita quanto
tempo você fica parado na portaria. Nós vínhamos contando porteiro.

O único movimento que sobreviveu ao cético — e que morreu na sonda, um dia depois. Era
um despachante por evento, em vez de dois processos Python por guarda: hoje 230 dos 233
ganchos rodam python _medidor.py <guarda>, dois arranques cada. O teto estimado era 4,2×
(o "8,16×" que a síntese citou não existe na fonte — o cético abriu o benchmark: são 6,75× /
8,36× / 12,85×, e a causa lá é reescrita em Rust, não despachante).

⛔ Este movimento está MORTO desde 2026-08-10. A sonda de §3.12 mediu o que a régua de
fora não podia saber: os guardas de um lote já rodam em paralelo. Um despachante
sequencial seria 2,7× PIOR; paralelo daria 1,46×, não 4,2×. Foi a D3 sendo
confirmada por medição própria depois de ter sido tomada por estimativa. O que a régua de
fora devolveu de útil não foi o movimento — foi a régua (D20: a pergunta certa é "quanto
tempo se fica parado", não "são guardas demais?").

A ressalva que o cético fez e que fica registrada: nenhuma fonte de fora cobre o eixo em que
somos genuinamente diferentes — o guarda aqui fala dentro do contexto de quem decide, não
num relatório que alguém abre depois. Toda transferência de número acima é por analogia, não
por equivalência.

8. ❌ O que fica de FORA — e por quê

Seção obrigatória. Lição P884: eu estreito o escopo em silêncio e o dono precisa perguntar
"cadê o resto?".

8.1 O que a revisão de 2026-08-10 não conferiu

A P884 obriga esta lista: eu estreito o escopo em silêncio e o dono precisa perguntar
"cadê o resto?". Aqui está o resto, dito antes de ele perguntar.

9. ⚰️ Por que os desenhos morreram — sete, quase todos pelo mesmo defeito

Registrado para não ser re-proposto. Todos devolveram SOBREVIVE: NÃO de um cético de contexto limpo.

9.-2 O sétimo desenho (2026-08-11, noite) — morreu três vezes, por três motivos diferentes

Três céticos em paralelo, lentes distintas. Os três devolveram SOBREVIVE: NÃO — foi a
primeira vez nesta obra que o placar deu 3 de 3. Nenhuma linha de código escrita.

O que ele propunha: o gancho plan-approved-task-tracker.py, que roda na aprovação do plano
e já recebe o texto inteiro dele, passaria a ler o plano e a nomear as tarefas sem comando
de prova, no lembrete que ele já injeta.

🔎 A causa raiz é a mesma de sempre, num disfarce novo. Desta vez eu não li a spec em vez do
código — eu medi. Mas medi com régua que eu mesmo escrevi, sem gabarito contado à mão, e
tratei o resultado como fato. É a lição P935, registrada por mim duas horas antes, cometida
dentro do desenho escrito para consertar medição.

O que sobreviveu, e é bastante:

1. A porta está certa. O gancho é o único ponto do ciclo em que plano, pedido e código
   coexistem — e nenhum guarda da casa lê plano (CA-1 confirmada por três varreduras).
2. O canal entrega. Achado o registro literal da injeção chegando ao modelo: 90 ocorrências
   em 18 conversas. Não é o defeito do sexto desenho.
3. A raiz é outra, e os dois céticos convergiram nela sem combinar: o problema não é ler o
   plano depois de pronto — é que não existe gramática para escrevê-lo (15 formas de marcar
   tarefa × 23 de declarar verificação; ~1 forma nova por plano). O lugar do conserto é onde o
   plano nasce, não onde ele é lido.
4. Duas saídas sem parser nenhum, ambas com falso positivo estruturalmente impossível:
   pendurar o pedido na carga do TaskCreate (que é gravada, vira estado derivado e um sensor
   0/1 pode conferir depois, no portão do commit) · ou injetar "o plano está em X, releia as
   verificações antes da 1ª edição" usando o planFilePath que já chega — sem acusar ninguém
   por nome.

9.-1 O sexto desenho (2026-08-11) — morreu por não ter perguntado quem decide

Três céticos em paralelo, lentes distintas. R1 (a peça já existe) devolveu SOBREVIVE: SIM;
R3 (isto acerta o alvo?) devolveu SOBREVIVE: NÃO com 4 achados altos ou críticos. Nenhuma
linha de código foi escrita.

O que ele propunha: dar gatilho automático à colheita de cobertura dos guardas (o plugin
escuta_de_canarios carregado por conftest.py), e transformar o artefato de fotografia em
livro-caixa com data por guarda.

O que sobreviveu, e é pouco mas é real: o princípio do livro-caixa (o recibo é derivado,
não escrito à mão — D13 cumprida, ao contrário do quinto desenho), e um conserto de 1 linha
no consumidor que entrega a parte honesta sem nada do risco (§3.20).

🔎 A causa raiz da morte, e ela é a mesma de sempre: eu construí sobre a frase "toda
decisão depende deste número", que estava nesta spec e que eu nunca conferi no código.
É a D19 violada dentro da seção escrita para denunciá-la — e a quinta vez que um desenho
morre por ler o documento em vez do repositório.

A diferença desta vez: o cético que matou levou 18,5 minutos e o desenho nunca entrou
na spec como proposta. O ciclo de matar ideia ruim continua barato.

9.0 O quinto desenho (2026-08-10, tarde) — morreu em 7 minutos, e isso é o progresso

Três céticos, três lentes, 1.135 s o mais longo. Contra os 15 ajudantes e 1,82 milhão de
tokens que o quarto levou para morrer.

A diferença desta vez: nenhuma linha de código foi escrita, o desenho nunca entrou na spec, e
o custo total foi de três agentes. O ciclo de matar ideia ruim ficou ~250× mais barato — que
é, sozinho, o único resultado de desenho que esta obra produziu até agora.

9.1 O quarto desenho (2026-08-10, tarde) — e este morreu por culpa desta spec

Duas varreduras, 15 ajudantes, 1,82 milhão de tokens. Dois relatórios, dois SOBREVIVE: NÃO.

A causa raiz, e ela é minha: consertei um guarda de manhã, não atualizei a spec, e à tarde
o desenho inteiro foi construído em cima do texto velho. A spec que existe para ser a fonte da
verdade virou a fonte do erro. Decisão que nasceu daqui: D19.

9.2 O primeiro desenho (2026-08-10, manhã)

Três defeitos do portão existente, reproduzidos:

10. ❓ Perguntas abertas

Ordenadas por quanto elas travam o próximo passo. As respondidas ficam, com a resposta —
apagá-las faria a pergunta voltar em duas semanas.

✅ A FILA DE PESQUISA ESVAZIOU EM 2026-08-19 (meta 15 da obra os-vigias-do-harness).
14 das 17 perguntas têm veredito: 8 respondidas, 6 aposentadas com o motivo escrito.

As 3 que sobram não são pesquisa — são o desenho do G2 em si, e por isso não se
respondem lendo nem medindo: como atacar o esquecimento (🔴 é a obra, 5 desenhos mortos
atrás dela), onde se conserta — onde o plano é lido ou onde ele nasce (🔴 a pista viva) e
o quinto desenho move a coluna manutenção (🔴). Enquanto elas estiverem abertas, o que
falta é decidir e construir, não medir.

⚠️ Aposentar não é resolver, e a diferença está dita linha a linha. Três delas
(N provas · a lição é a certa · os 115 guardas prestam) foram aposentadas porque
responder exigiria um gabarito humano ou um sinal de utilidade que não existe — o preço
de reabrir está escrito em cada uma. Duas (colunas do placar · passo 7) não eram
pergunta: eram decisão já tomada, guardada em forma de dúvida.

11. 📚 Onde estão as pesquisas

As redes que a obra deixou (101 testes, todos verdes em 2026-08-10):

Fontes externas que mudaram o rumo:

11-B. 👥 Dois chats no mesmo repositório — o desenho aguenta?

Pergunta do dono, 2026-08-10. Não é hipótese: há outro chat trabalhando no repositório
neste momento, na mesma branch, no mesmo working tree (.git compartilhado via Dropbox).

O que foi medido

Peça por peça

O buraco, com todas as letras

Working tree compartilhado não gera conflito de merge — gera sobrescrita. Se dois chats
editam o mesmo documento, o git nem percebe: não há duas versões para reconciliar, há um
arquivo e a última gravação venceu. A fonte da verdade é a peça mais frágil do desenho.

Consequência de desenho, registrada: quanto mais estado desta obra for derivado
(lido do git, do banco, da telemetria) e menos escrito à mão, mais ela aguenta dois
chats. Toda vez que a escolha aparecer, ela pende para o derivado — e o motivo não é elegância,
é este.

12. ✅ Critérios de aceite

Carimbo de sensor: [logic] = teste automatizado · [journey] = fluxo ponta a ponta ·
[visual] = tela real. Estes são os critérios da fase de desenho; os da construção nascem
quando o desenho for aprovado.

• [~] CA-0 [logic]: todo número da §3 reproduz rodando o comando escrito ao lado dele
  → ⚠️ PARCIAL, e a falha está nomeada: §3.1, §3.2, §3.10 e §3.11 trazem o comando.
  §3.12, §3.12-B, §3.13 e §3.14 não trazem — os números delas vêm de bancada com 15
  amostras e de replay, que não cabem numa linha de comando. Fonte declarada em cada uma;
  reprodutível não é o mesmo que colável, e a spec passa a dizer qual dos dois é
• [ ] CA-1 [logic]: nenhuma peça proposta já existe no repositório — auditoria com busca
  registrada, com o comando na própria spec (foi o defeito crítico dos dois desenhos mortos)
  → ❌ REPROVOU de novo no quinto desenho, 10/08 — e foi a 5ª vez. Dos três movimentos
  propostos, dois já existiam: um nascido 8 horas antes, outro 22 dias antes e
  já instalado. Este critério não é opinião: é o defeito reincidente número um da obra
• [ ] CA-2 [logic]: toda proposta declara os três: quem julga, qual o recibo e a
  garantia honesta (100% de gancho · ~90% de texto · depende do dono)
  → ⚠️ PARCIAL: o quinto desenho declarava quem julga e qual o recibo, mas não a
  garantia — e foi exatamente ali que ele caiu: o recibo proposto era escrito à mão,
  sem nada que o verificasse, contra a D13 da própria spec
• [x] CA-3 [journey]: esta spec sobrevive a uma compactação — alguém que só tenha o
  arquivo consegue retomar a obra sem a conversa. É a decisão D10 virando teste
  → ✅ PASSOU em 2026-08-10, no caso real: esta conversa foi compactada e a obra foi
  retomada a partir do arquivo. Mas o teste denunciou o buraco que a §0 veio tapar:
  815 linhas sem porta de entrada obrigam a ler tudo para saber se vale ler. O critério
  passa a exigir também a §0 em dia

• [ ] CA-4 [logic]: a spec não se contradiz — nenhum número afirmado como fato numa
  seção pode estar derrubado em outra
  → ❌ REPROVOU DUAS VEZES no mesmo dia, e a segunda é a informativa:
  | Revisão | Achados | De onde vieram |
  |---|---|---|
  | 1ª | 6 | medições da madrugada derrubando afirmações da noite anterior |
  | 2ª | 15 | ⚠️ quase todos criados pela própria 1ª revisão — contagens que ficaram para trás (13 medições, 23 decisões, 4 desenhos), citações de linha que envelheceram em 3 horas, e o §0 se contradizendo consigo mesmo |

  A lição que isso ensina, e que a 1ª revisão não sabia: revisar um documento longo
  cria contradição nova, porque a revisão acrescenta seções e as contagens ficam para
  trás. Conferir contagem e citação de linha passa a ser parte do fecho de toda revisão,
  não um extra

  → ❌ REPROVOU PELA TERCEIRA VEZ em 2026-08-11, e desta vez o defeito é de outra
  natureza — não é contagem desatualizada, é fato invertido:
  | Revisão | Achados | Natureza |
  |---|---|---|
  | 3ª (sonda de §3.19) | 20 | 3 inversões de leitura, 1 linha que não fecha com a própria aritmética, e 16 correções de método (janela, denominador, unidade) |

  O que a terceira ensina, e é a mais dura: as duas primeiras revisões liam o
  documento; esta leu o código. Nenhuma quantidade de auto-revisão acha um número
  invertido — só a medição acha. É a D19 sendo provada pela terceira vez, e o motivo de
  CA-1 e CA-4 nunca poderem ser marcados de forma permanente
  - [x] CA-5 [logic] ⬅️ novo, e nasceu APROVADO: nenhuma medição que matou uma ideia
  pode ficar de fora — se um número mudou o rumo, ele tem seção própria, não menção de
  passagem
  → ✅ corrigido em 10/08: a sonda que matou a poda dos guardas mudos (23,7% da
  manutenção, 63,1% de fix:) existia, tinha matado uma ideia e não estava na spec —
  só citada dentro de outra seção. Virou a §3.14-B. É a lição P884 virando critério

13. 🔬 Lentes de pesquisa

Alternativas descartadas e o motivo: ver §8, que é obrigatória e não pode ficar vazia.

14. ⚠️ Estimativa de risco

15. 🧱 Non-goals (NÃO mexer)

• Arquivos protegidos: Experts/, Include/CopyTrade/, server/af/,
  server/routes/signals.py, migrations/. Nada desta obra toca o robô, o motor de hedge ou
  o caminho de ordem.

  ⚠️ Esta lista protegia um arquivo que não existe. O caminho antigo server/signals.py
  foi substituído em 2026-08-10 — ele não está no repositório; os reais são
  server/af/signals.py (já coberto por server/af/) e server/routes/signals.py. Quem
  lesse acreditaria estar protegido, e o arquivo de verdade ficava de fora. Quem achou
  foi o verificador de referências, na mesma passada em que ele ganhou a metade nova.
  ⚠️ Esta lista é documentação, não proteção — o guarda lê uma lista fixa de 6 arquivos
  num acervo de 494 specs. Ela vale como contrato lido, e fica pronta para o dia em que a
  spec for registrada.

• Comportamento preservado: todo o fluxo que o dono digita hoje continua funcionando
  igual. Zero descartes (D6).
• Fora de escopo: desempenho, tempo de relógio, aposentadoria de guardas (D2, D3).
• Sem refactor: os 15 guardas que concentram 43,3% do conserto ficam como estão nesta
  obra — quebrá-los é obra separada.

16. 🧭 Superfície que a obra cria

• Endpoint novo? Nenhum, por enquanto.
• Decisão com trade-off significativo? Sim — as 27 decisões da §4 merecem virar
  registro de decisão próprio (specs/decisions/) quando o desenho for aprovado. Pendente.
  (As quatro que mais merecem, por serem as que alguém tentaria re-litigar: D3 porteiro
  único, D16 não congelar, D18 guarda novo apaga velho, D19 conferir o código.)
• Feature de risco (dinheiro, posição real, morte de conta)? Não. A obra não toca
  nada que mexa em conta ou ordem.

17. 🔒 Post-implementação

• [ ] /validate em LOOP ate uma passada sem achado ALTO nem CRITICO

(Média e baixa viram NOTA: não contam pro fecho, não bloqueiam e não viram card.)

18. 📔 Diário de bordo

As 18 Regras

Este arquivo é para o dono, não para a máquina. Ele explica, sem uma linha de jargão, as 18
regras que eu sigo para decidir se uma coisa vale a pena, como fazer, e quando dizer que acabou.
O texto técnico mora em .claude/skills/sweetspot/references/clausulas.md; aqui fica a versão
que se lê de fora.

⚠️ Isto é uma SEGUNDA CÓPIA das mesmas regras, e duas cópias divergem — então a ordem de quem
vence vai escrita na primeira tela. Se este guia e o arquivo técnico discordarem sobre o que uma
regra manda, o técnico vence. A duplicação é decisão, não descuido: obrigar você a abrir o
arquivo técnico para entender a própria régua era o mesmo que não ter régua.

⚠️ Os números deste guia são fotografias, não medidores. Onde eu digo "48 de 189" ou "6.109
execuções", eu vi aquilo num dia. O placar que se atualiza sozinho fica em
.claude/skills/sweetspot/references/placar.md. Número que envelhece e ninguém reconta é a falha
que estas próprias regras mais perseguem — e um guia leigo não pode carregar os comandos de
reconferir sem virar o jargão que ele veio substituir. O preço está dito: a ordem de grandeza
está aqui, o valor exato mora lá.

🏗️ ANTES DE TUDO: onde esta skill FICA — e o que ela nunca prometeu resolver

⚠️ Esta seção existe porque eu me perdi, e o dono viu antes de mim. Passei uma obra medindo
uma coisa e chamando de melhoria da sweetspot. Eram camadas diferentes, e confundi-las é o
erro mais caro que dá para cometer aqui.

A pergunta dele, que abriu o assunto: "isso é pra skill sweetspot ou é outro conceito?"
Era outro conceito.

As três camadas, e por que uma skill não pode ser as três

                    ┌─────────────────────────────┐
   uma decisão ──►  │ 1. QUE AÇÃO ISSO DISPARA?   │  ◄── NÃO é "que pergunta é essa"
                    │    dá pra desfazer?          │      é "o que acontece se der errado"
                    │    quem mais é atingido?     │
                    └──────────────┬──────────────┘
                                   │
              ┌────────────────────┴────────────────────┐
              ▼                                         ▼
   🔒 IRREVERSÍVEL / ATINGE FORA              🔧 REVERSÍVEL / SÓ AQUI DENTRO
   subir pra produção · dinheiro               card · formato · conserto
   apagar · mensagem em seu nome               medir · escrever spec
              │                                          │
              ▼                                          ▼
   ┌──────────────────────┐                ┌─────────────────────────────┐
   │ PORTÃO DURO          │                │ 2. A RÉGUA DECIDE           │
   │ mecanismo, não texto │                │    ◄── É AQUI que a         │
   │ ⚠️ confiança alta    │                │        `sweetspot` mora     │
   │ NÃO compra passagem  │                └──────────────┬──────────────┘
   └──────────┬───────────┘                               │
              ▼                                           ▼
        ⏳ PARA E ESPERA                    ┌─────────────────────────────┐
                                            │ 3. MEDIR CONTRA O QUE ELE   │
                                            │    DE FATO RESPONDEU        │
                                            └─────────────────────────────┘

⛔ Por que delegar TUDO a uma skill é o desenho errado

A tabela de garantias desta casa já responde: hook vale ~100%, texto vale ~90%. Uma skill é
texto. Pôr o portão do irreversível dentro dela seria trocar uma parede por um lembrete.

E a literatura de 2026 diz a mesma coisa com outras palavras: "alta confiança não compra o
direito de fazer uma ação irreversível sem supervisão". O padrão adotado em produção classifica
cada ação por reversibilidade e raio de estrago — e só depois deixa a régua julgar.

✅ A boa notícia: este desenho já está montado aqui, só não estava nomeado. O portão já é
hook; a skill já é a camada 2.

📐 O que a medição de 2026-08-28 provou sobre a camada 1

Os quatro níveis da literatura foram testados nos 929 pares — e aqui eles são DOIS, não quatro:

Os intervalos não se sobrepõem — a separação é real. Mas os tiers 2, 3 e 4 são
indistinguíveis entre si (25,9% · 24,5% · 24,1%), então o eixo é binário: irreversível, ou
não.

⚠️ E o ganho preditivo global é pequeno, porque o tier 1 é só 18% dos casos:

Os três praticamente empatam. A leitura honesta: a reversibilidade funciona como portão
binário, não como preditor.

⚠️ E o caminho que parecia óbvio e a literatura DERRUBA

Medir a minha confiança e usá-la como portão é o conserto intuitivo — e é o que falha:

Fontes: Knowing When to Ask for Help · Act or
Escalate? · On Verbalized Confidence
Scores ·
confidence-escalation

🔍 O buraco que sobra, dito com todas as letras

A camada 1 tem mecanismo só nas duas pontas que já viraram hook — subir pra produção e as
três ferramentas de produção. Fora delas, ela vive em texto, e eu obedeço ~90% das vezes.

✅ E os 90% estão funcionando, medido: no tier irreversível a delegação cai para 10,7%
contra 24,7% no resto. Comparado ao que a literatura mede — agentes que escalam de menos
por padrão —, estamos do lado certo da falha.

Sintoma de que isso quebrou: eu subir algo para produção sem parar e perguntar.

python .claude/medicoes/2026-08-28-variacoes-da-regua/reversibilidade.py

Os 6 Princípios de Decisão — o mapa das 18 regras

Você não precisa decorar número nenhum. Cada regra tem um NOME curto; o número existe só para a
máquina anotar a nota dela. Quando eu disser "parei pela do teto", é destas que estou falando.

O eixo do tempo foi o dono quem viu, olhando Unificação e Caminho único: "uma pra arrumar
e outra pra já nascer certo". O padrão se repete em quase toda família — quase sempre há uma
regra que age antes e outra que age depois.

Quem escreveu cada uma

A maioria tem nome consagrado lá fora, e onde há nome ele vem marcado com 📚 no verbete —
conte os 📚 e você tem o número deste arquivo, sem precisar acreditar em mim. Isso não é
enfeite: nome de indústria carrega décadas de gente aprendendo na dor.

(A primeira versão desta linha dizia "quinze das 18" — um número que não se confere lendo o
arquivo, porque nem todo verbete com âncora traz o 📚. Um revisor contou 11 e me derrubou.
Afirmação que o próprio documento não sustenta é a falha que a regra Conta o pedaço persegue,
cometida no documento que a explica.)

Família 1 — O jeito único

"se as coisas tiverem um meio só de fazer tal coisa, nada nasce quebrado" — palavras do dono,
e são quase literalmente as da indústria.

⬜ Caminho único — o que impede o defeito de nascer

Que exista UM jeito de fazer aquilo.

No dia-a-dia: tomada de três pinos. Ninguém precisa de aviso, de treinamento nem de fiscal —
o plugue errado simplesmente não entra.

Como sei que cumpri: eu conto quantos jeitos de fazer aquilo existem hoje. Mais de um, e o
defeito vai nascer no jeito não pavimentado — é só questão de tempo.

📚 Lá fora chama-se caminho pavimentado, e a frase que resume é governa-se por construção, não
por inspeção.

⚠️ E não é ordem, é conveniência — isto muda tudo. A literatura é explícita: não é "você DEVE
usar", é "se usar, sua vida fica mais fácil". A porta que ninguém usa não é caminho único — é
mais um jeito.

O caso mais usado dela: FALAR com você

(Isto era a regra Canal único, a 18ª. Aposentada em 21/08 por decisão do dono: ela era um caso particular vestido de princípio — "todo aviso sai pela mesma porta" é literalmente "que exista um jeito só de fazer aquilo". Caso particular só pega o caso dele, e foi por isso que ela terminou com zero acertos. O conteúdo ficou; a regra separada, não.)

Todo aviso sai pela mesma porta, no mesmo formato: o que houve · onde · o que fazer agora.

No dia-a-dia: correspondência chega na caixa do correio. Bilhete jogado por cima do muro
também "foi entregue" — e ninguém lê.

A porta única não serve para o seu caso? Mude a porta. Nunca abra a segunda.

⚠️ Foi a mais fraca de todas, e vale contar por quê — porque a história é sobre régua, não sobre
a regra. Medido em 21/08, com duas réguas diferentes:

A distância entre 91 e 8 é a resposta inteira. Converter 91 arquivos para consertar 8 casos
observados é exatamente o que a regra Sweetspot proíbe. E o pior dos 8 nem é um arquivo do tipo
que uma conversão em massa alcançaria.

Família 2 — Procurar, não lembrar

As três falharam pelo mesmo motivo — eu procurei de cabeça — e as três foram consertadas do
mesmo jeito: colar o comando que rodei. É a família mais coesa das seis.

(Esta seção esteve aninhada sob Unificação até 21/08, e o lugar errado ensinava a regra
errada como dona do caso mais usado dela. A cláusula Canal único foi fundida em Caminho único, não em Unificação.)

🟦 Unificação — o que arruma depois que já separou

Ao juntar duas peças que fazem a mesma coisa, a que fica tem que ter as garantias das duas.

No dia-a-dia: duas fechaduras na mesma porta e você vai ficar com uma. A nova é bonita e tem
chave eletrônica; a velha é feia e tem tranca de segurança. Ficando com a nova sem olhar, a
porta perdeu a tranca — e ninguém percebe até alguém empurrar.

Nunca a mais nova, nunca a mais usada, nunca a mais limpa. A que fica é a SOMA.

Como sei que cumpri: escrevo uma tabela lado a lado — o que a condenada tinha, o que a eleita
tem, cada item marcado como levado ou descartado com motivo. Se eu não consigo listar o que
a condenada fazia, eu não a li o bastante para apagá-la.

⚠️ Caso real: elegi a mais nova e 88 peças rodaram um dia inteiro com uma proteção a menos.
A "velha" tinha um limite de tempo que a nova não tinha.

📚 Lá fora chama-se a cerca de Chesterton: não derrube a cerca antes de descobrir por que ela
foi posta. Há literatura específica sobre agente de IA removendo o que não entende — que foi
exatamente o que aconteceu nas 88.

E se somar as garantias sair caro, não unifique. Duas peças de propósito é decisão legítima.

🟦 Os irmãos

Achou um defeito, vá procurar os parentes dele — por busca, nunca de cabeça.

No dia-a-dia: o eletricista achou uma tomada queimada. O bom vai olhar as outras do mesmo
circuito antes de guardar a caixa. O ruim troca a tomada e vai embora.

Como sei que cumpri: eu colo a busca que rodei e quantas coisas ela achou. Dizer "procurei"
não vale — não dá para conferir.

É a pior de todas na minha ficha — mais falhas que acertos, e o número exato muda toda semana
(ele mora no placar, não aqui). Nas vezes que errei, eu tinha lido a regra, achei que sabia de
cabeça, e o irmão estava 25 linhas acima, no mesmo arquivo.

⚠️ E ela falhou de novo em 21/08, dentro do commit que criou este guia. Busquei uma frase e
declarei "9 irmãos, todos atualizados"; um revisor independente refez a busca sem diferenciar
maiúscula de minúscula e achou mais dois vivos — um deles em caixa alta, no cabeçalho da
regra Sweetspot, dizendo quatro sobre uma tabela de cinco. Busca que só pega a grafia que
você lembrou é busca de memória com roupa de comando.

📚 Lá fora chama-se análise de variantes. O Google mede uma coisa assustadora: metade dos
ataques novos que eles encontram são variantes de um bug que já tinha sido corrigido — porque
ninguém foi olhar os irmãos depois do conserto.

🟦 Aberto/Fechado

Coisa nova entra por um encaixe. Se para acrescentar eu preciso abrir o motor que já funciona, eu
paro.

No dia-a-dia: a caixa de ferramentas tem slots. Régua nova entra num slot vazio. Você não
serra a caixa para caber a régua — e se serrar, todas as outras ferramentas ficam bambas.

Como sei que cumpri: eu colo a busca pelo encaixe. "Não havia encaixe" dito de cabeça é
opinião; a busca colada é fato.

📚 Este é seu E é da indústria ao mesmo tempo: é o O do SOLID, de 1988. Até 20/08 esta regra
existia aqui sem o nome — eu tinha traduzido a ideia e apagado o rótulo, e quando você releu a
lista não reconheceu o próprio critério. Nome consagrado carrega literatura; apelido meu carrega
só a minha explicação.

É a que mais pega defeito de todas (o número está no placar, que se atualiza sozinho). E mesmo
assim falhou 6 vezes numa obra só — e nas 6 o encaixe existia. Numa delas, a peça certa estava
importada 1.260 linhas acima, no mesmo arquivo.

⚠️ E ela falhou de novo em 21/08, com a variante mais traiçoeira: o encaixe tinha DUAS metades e
eu achei uma. Para este guia aparecer na página do site, é preciso (1) copiar o arquivo pra
máquina e (2) inscrevê-lo na lista de páginas. Eu fiz a primeira, colei a busca, e prometi a você
duas vezes que ele apareceria sozinho. Não apareceria. O comentário do próprio código dizia a
frase que me desmentia: "copiar é automático, publicar não". Encaixe achado não é encaixe
completo — a pergunta certa é "esta é a única metade?"

⬜ O mundo já resolveu

Antes de desenhar, ver se já existe. A ordem é: casa → internet → casa de novo.

No dia-a-dia: antes de inventar gambiarra para a porta que range, você olha na sua caixa de
ferramentas. Não achou? Pergunta o nome da peça na loja — e volta para casa procurar de
novo com o nome certo, porque muitas vezes ela estava lá e você não sabia como se chama.

A volta é a parte que quase todo mundo pula, e ela é medida: em 12 de 12 achados derrubados
por revisor independente, a resposta já estava neste projeto. Ir direto para a internet não é
diligência — é pular a fonte que tinha a resposta.

Mas quando eu não sei nomear o que procuro, a internet é o dicionário. Um nome técnico vindo de
fora destravou 307 achados que já estavam no disco aqui. O dado estava dentro; o nome estava
fora.

A pergunta não é "como faço isso melhor?" — é "isso deveria ser feito assim?"

Foi esta regra que trouxe todos os nomes de indústria deste guia, num único dia: descobrimos que
quatro regras nossas já eram padrão consagrado sem o nome, e que a nossa análise de causa tinha
dois dos três passos que a definição canônica exige.

Família 3 — O número honesto

Cinco regras, uma pergunta só: esse número quer dizer o quê? É a maior família, e não por
acaso — quase todo erro caro que eu cometi aqui começou num número sem régua.

⬜ Alarme ou ferramenta — declare ANTES de ver o número

A mesma quietude significa o oposto nos dois casos.

No dia-a-dia: um extintor que nunca foi usado está ótimo. Uma furadeira que nunca foi
usada foi dinheiro jogado fora.

Quem chega com o número sem ter declarado antes é ferramenta, sem apelação — senão eu escolho o
rótulo depois de ver o número, que é o mesmo que não ter régua.

⚠️ Aqui mora um buraco que eu achei comparando com a literatura, e ele era numa regra minha:
dizer que alarme calado = está funcionando é conclusão que não se tira olhando. Extintor
quieto pode estar cheio ou vazio. A literatura de controles é explícita: proteção silenciosa
exige teste ativo. Hoje a regra exige a prova que exercita — e a peça que faz isso já rodava
aqui, só faltava a regra depender dela.

⬜ Conta o pedaço

Meça o trecho que você vai mexer, nunca a peça inteira — e todo número vem com a régua ao lado.

No dia-a-dia: uma tomada não funciona. Você não conta quantas vezes a casa é usada; conta
quantas vezes aquela tomada é usada. Pode ser a da geladeira ou a de trás do armário, e a
decisão é oposta.

A segunda metade é mais importante que a primeira. Número sem régua não quer dizer nada:

28 trechos repetidos          ← errado: "trecho" não quer dizer nada
2 LINHAS INTEIRAS idênticas   ← certo: dá para conferir

⚠️ O caso, e ele é meu: reportei 28 onde havia 2. Contei com uma janela que passa de
palavra em palavra, então o mesmo pedaço era contado uma vez por posição. O número chegou até você
como fato.

⚠️ E aconteceu de novo no dia seguinte, neste próprio guia: publiquei "55 de 189 usam o canal"
misturando duas contagens — o numerador incluía subpastas, o denominador não. O número certo é
48. Régua misturada é o defeito que esta família inteira existe para pegar, e ele me pegou duas
vezes em dois dias.

📚 Lá fora chama-se definição operacional, do Deming, e a frase dele é a régua inteira: "não
existe valor verdadeiro de coisa nenhuma; existe o resultado de aplicar um procedimento". Mudou o
jeito de contar, mudou o número.

Sintoma de que eu errei: você pergunta "28 o quê, exatamente?" e eu preciso voltar no código
para lembrar como contei.

⬜ Peça nova precisa de caso

Quantas vezes a situação já aconteceu de verdade? Zero na janela que dá para medir = não
construo.

No dia-a-dia: não compre guarda-chuva porque pode chover. Compre quando tiver se molhado.

E se já existe peça cuidando daquele mesmo momento, eu mudo ela em vez de criar a próxima.

O número que sustenta isso aqui dentro: temos cerca de 210 travas registradas, a maioria
nunca agiu, e cerca de 8% delas estão quebradas neste momento — e cada uma vira manutenção para
sempre. Se eu não consigo dizer numa frase por que a minha é diferente, eu não construo.

(A frase antes dizia "8% de chance de nascer quebrada", e isso é outra coisa: o número mede
quantas estão quebradas hoje, não quantas nascem assim. Uma é foto, a outra é taxa — e eu não
medi a taxa. Um revisor pegou.)

📚 Lá fora chama-se YAGNI — "você não vai precisar disso", do Extreme Programming. A nossa é
mais dura que a original: lá diz "não construa para o futuro imaginado"; aqui é não construa
até o caso ter acontecido E sido contado.

🟦 Sweetspot

A maior garantia pelo menor custo que se paga TODO DIA. Números escritos antes de qualquer
código:

No dia-a-dia: alarme de carro que dispara com o vento não é segurança, é barulho — em uma
semana você desliga. E aí, no dia que precisava, ele não estava ligado.

⚠️ O corte do Valor não é enfeite. Sem ele, a régua mataria a trava de comandos perigosos
desta casa: 6.109 passagens pelo portão do commit, para 2 bloqueios. Ela fica calada em 99,9%
das vezes porque comando perigoso é raro. Peça muda e barata é alarme de incêndio: fica.

(A régua vai junto de propósito: são as passagens pelo portão, não as execuções totais, que
naquele dia foram 6.324. Trocar um pelo outro é a mesma família de erro que a regra Conta o pedaço persegue, e um revisor pegou este aqui.)

📚 O Google mede alarme por quatro atributos, e dois são iguais aos nossos. O Silencia é o
quinto, e nasceu de um buraco achado em 21/08: faltava medir quanto tempo o alarme fica tocando
depois que o problema acabou. Alarme vermelho permanente não é sinal, é parede — e é exatamente o
estado de um alarme desta casa hoje.

🟦 O número decide?

Antes de escolher uma coisa porque ela teve a melhor nota, prove que a nota separa as duas.
Ordem sua, de 28/08: "este é um princípio primordial, testes robustos pra medição".

No dia-a-dia: duas balanças de farmácia, uma marcando 80,1 kg e outra 80,3. Você não
conclui que a segunda é mais pesada — a diferença cabe dentro do erro do aparelho. É preciso
saber de quanto o aparelho erra antes de acreditar na diferença.

O caso que a criou foi meu, e eu ia errar: pontuei sete réguas contra um gabarito e o placar
deu 66,7% · 63,3% · 63,3%. Escolhi a primeira. Quatro conferências depois, nenhuma
sustentava a escolha — a vantagem inteira era de 3 respostas certas, e uma delas até
inverteu quem ficou em primeiro.

⚠️ Ela NÃO manda fazer conta em toda medição. "5 casos em 1.481 arquivos" não precisa de
nada disso — ali não há duas opções disputando. Ela só acorda quando o número vai ESCOLHER.

O que ela custa: uns 10 minutos quando dispara, e às vezes não há amostra que baste. Aí a
saída honesta é dizer "não consegui distinguir" e escolher pelo critério de sempre — dizendo
que foi assim.

Como você vê que eu falhei nela: eu te apresentar um pódio cuja diferença é de um ou dois
casos.

⬜ Não medi

"Não sei" é resposta. "Achei que" não é.

No dia-a-dia: o mecânico que diz "não testei o freio, não deu tempo" é honesto e você decide
o que fazer. O que diz "o freio deve estar bom" é o perigoso.

Não consegui medir? Escrevo "não medi X" e sigo. Proibido inventar um medidor caseiro para
produzir o número que eu quero, e proibido abrir investigação de meia hora por causa disso. Seguir
calado é que não vale.

⚠️ Cuidado que um revisor pegou: dizer "não medi" não me libera para construir. Sem esta
linha, eu escapava da regra Peça nova precisa de caso só dizendo que não tinha medido.

Família 4 — O silêncio não vale

Três regras sobre o que eu deixo de dizer. Nenhuma delas é sobre código: são sobre o que
chega até você no fim.

🟦 Robusto

Todo caminho de erro diz, escrito, o que faz quando dá problema: tranca, ou abre avisando o que
se perde.

No dia-a-dia: a catraca do prédio quando falta luz. Ela pode travar (ninguém entra, nem
morador) ou destravar (todo mundo entra, inclusive quem não devia). As duas são decisões
válidas. O inaceitável é ninguém saber qual delas o prédio escolheu.

Não existe "não vai quebrar". Existe "quando quebrar, faz isto" — e isto vai escrito na
própria linha, não na cabeça de quem construiu. Quando nada está escrito, o padrão é trancar.

📚 Lá fora chama-se padrão à prova de falha, e é de 1975. O que a nossa acrescenta: lá diz que
o padrão deve ser o estado seguro; aqui a escolha vai escrita, porque padrão implícito é
exatamente onde o "abre calado" se esconde.

⚠️ A própria trava de segurança desta casa tem 20 saídas de erro e nenhuma declaração — e duas
delas devolvem "nada encontrado", que ali significa o comando passa.

⬜ As três linhas

Toda entrega termina com três coisas, e a falta de qualquer uma reprova sozinha:

O QUE ELA NÃO PEGA .... um caso concreto que pode mesmo acontecer
O QUE ELA COBRA ....... um número medido, nunca um adjetivo
COMO SABER QUE FALHOU . o sintoma, e onde ele aparece

No dia-a-dia: a bula do remédio. Para que serve, a dose, e o efeito colateral. Remédio sem
bula funciona igual — até o dia que não funciona.

É a que mais some no aperto. Quando a resposta está longa e eu quero fechar, é a primeira coisa
que eu corto — e é justamente ela que impede a entrega de virar propaganda.

🟦 A palavra

Três palavras com sentido travado, ditas sem você perguntar.

No dia-a-dia: a diferença entre "montei o carro", "o mecânico conferiu" e "rodou 1.000 km
na estrada". As três são verdade; só a terceira você aposta a viagem.

Zero produção = Entregue, por mais teste e revisão que a obra tenha levado. Esta parte é rigor
acima do que a indústria costuma exigir, e nasceu de um caso concreto: usei Blindado numa peça
com 15 provas verdes e 3 revisores independentes — que nunca disparou uma vez sequer, por um
defeito conhecido do fornecedor.

Família 5 — Onde é a causa

🟦 A raiz, não o sintoma

Consertar o que causou, não o que apareceu — e são TRÊS passos, não dois.

No dia-a-dia: o teto pinga. Passo 1: a telha está trincada. Passo 2: se eu trocar a
telha e continuar pingando, eu estava errado — e escrevo isso ANTES de trocar. Passo 3: o que
impede a trinca de voltar no ano que vem.

O passo 2 é o que separa causa de palpite. Causa que não tem jeito de estar errada é sintoma com
nome bonito.

O passo 3 é novo e nasceu de um buraco meu: eu explicava a causa lindamente e o aprendizado
morria no texto. Consertei três defeitos numa manhã e nenhum dos três virou proteção — viraram
parágrafo. O quarto lugar da mesma falha só não voltou porque um humano leu.

"Não deixei proteção, e o motivo é X" é resposta legítima. O que não vale é o silêncio, que se lê
como "está resolvido".

⬜ Está sangrando? — a exceção legítima

Defeito acontecendo neste minuto se conserta antes de qualquer discussão.

No dia-a-dia: a casa está alagando. Você fecha o registro primeiro e descobre depois qual cano
estourou. Discutir a causa com a água subindo é luxo.