{ "schema": "erabazu.public-catalog/v1", "language": "ja", "notice": "ERABAZU工房のCandidate技術検査を通過した部品群。公開・認証・出荷可否とは別の状態です。", "items": [ { "id": "A-01", "category": "A/認証・認可", "kind": "Tsugite", "title": "トークン検証 — トークン検証継手（Tsugite）", "summary": "トークン検証継手（Tsugite）は、裏方の認証基盤（OIDC/OAuth・JWT）から受け取ったトークンの主張（claims）を検め、alg・aud・iss・exp と、署名が検証済みかどうかの印（signature_valid）のどれか一つでも合わなければ通さない継手（つぎて）です（fail-closed）。署名そのものの検証はしません。signature_valid は呼び出し側が検証して渡します。", "problem": "「ログインできた」で終わってしまい、トークンの検証の中身が見えないことを防ぎます。alg: none や許可していない alg、別の相手向けの aud、pin していない発行者、期限切れのトークンを、判定の段階で必ず止めるための検めです。", "use_when": [ "OIDC/OAuth のトークンの alg・aud・iss・exp を、決めた規則どおりに検めたいとき。", "alg: none や許可していない alg（例: HS256）のトークンを確実に拒否したいとき。", "署名の検証は自分の側（pin した JWKS・鍵）で済ませ、その結果と claims の突き合わせを、通信のない純粋な関数で判定したいとき。", "トークンの正当性の判定結果を、認可の判定（policy-facts）や監査・来歴（token-facts）の核へ継ぎたいとき。" ], "do_not_use_when": [ "トークンの署名そのものを検証してほしいとき。この継手は署名を検証しません。signature_valid（真偽値）を呼び出し側から受け取り、それが検証済みでなければ拒否するだけです。", "IdP や JWKS の取得までまかせたいとき。取得は含みません。", "nbf・iat・kid を検めたいとき、または aud が配列のトークンを扱いたいとき。aud は 1 つの値として照合し、配列の aud は扱いません。", "認可（誰に何を許すか）を決めたいとき。認可の判定は policy-facts 核へ渡します。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "alg を検めます。alg: none と、許可一覧（allowed_algs）に無い alg（例: HS256）は拒否します。", "aud を検めます。許可した aud（allowed_aud）と一致しない aud（aud の混同）は拒否します。", "iss を検めます。pin した iss（allowed_iss）以外の発行者は拒否します。", "exp を検めます。猶予（leeway_seconds、既定 0）を含めて期限を過ぎたトークンと、exp が無いトークンは拒否します。", "signature_valid を検めます。署名が検証済みでない（signature_valid が真でない）トークンは拒否します。", "どれか一つでも外れたら { ok: false, errors: [...] } を返し、通しません（fail-closed）。" ], "what_it_does_not_do": [ "トークンの署名の実際の検証（pin した JWKS・鍵による検証）はしません。signature_valid は呼び出し側が検証して渡す値で、この継手はその値を信じて判定します。", "IdP・JWKS の取得はしません。通信をしない判定だけの部品で、port もありません。", "nbf・iat・kid は検めません。配列の aud も扱いません。", "検めるのは claims の alg・aud・iss・exp・signature_valid の 5 つだけです。カタログの一言にある「失効」は、この継手では exp による期限切れの拒否（leeway 込み）として扱います。", "実 JWKS・鍵には、この部品の中ではつないでいません。配備するときに pin します。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "IdP の使い方の雛形ではありません。" ], "integration": "src/guards.js の verifyClaims(cfg, claims, now) を呼びます（純粋な関数で、通信はしません）。cfg には allowed_algs・allowed_aud・allowed_iss・leeway_seconds を、claims には { alg, aud, iss, exp, signature_valid } を、now には検証時刻（秒）を渡すと、{ ok: true, errors: [] } か { ok: false, errors: [...] } を返します。利用側が用意するもの: トークンの署名の検証（pin した JWKS・鍵）とその結果の signature_valid、IdP・JWKS の取得。port は無く、外部への副作用はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-02", "category": "A/認証・認可", "kind": "Tsugite", "title": "認可判定の参照 — 認証・認可の拡張継手（Tsugite）", "summary": "認証・認可の拡張継手（Tsugite）は、A-02 では、外の判断点が出した許可の判断を参照として、pin した許可の方針で検めてから基盤へ運び、戻った receipt を契約どおりに照合する継手（つぎて）です。許可の評価（RBAC/ABAC）はしません。判断は外のもので、PERMIT を受け取っても許可の権限は導きません。検めが一つでも外れれば、送らず、受理しません（fail-closed）。", "problem": "外の判断点の許可の判断を受け渡すとき、pin していない方針の判断を運んでしまうこと、判断を名乗る receipt から許可の権限を導いてしまうこと、そして判断を受け取ったことを承認と取り違えることを防ぎます。", "use_when": [ "外の判断点が出した許可の判断を、参照（decision_ref）として、pin した許可の方針（policy_refs）の範囲でだけ基盤へ運びたいとき。", "運んだ結果を、request_id・request_digest・参照の一致で照合してから受け取りたいとき。DONE の result には decision・decision_ref・permission_authority が添えられます。", "判断の受け渡しで外への効果を起こしたくないとき。許可の判断の参照の副作用は NONE です。", "基盤の障害で結果が不明になっても、同じ request_id を二度送らず、lookup で解きたいとき。" ], "do_not_use_when": [ "RBAC/ABAC で「この人はこれをしてよいか」を評価させたいとき。この継手は外の判断点の判断を参照として運ぶ継手で、許可の評価の機能は含みません。", "受け取った PERMIT を許可の権限として使いたいとき。PERMIT を受け取っても許可の権限は導かず、permission_authority を導いたと名乗る receipt は受理しません。", "判断が正しいかを確かめたいとき。許可の判断そのものは確かめません（外の判断と基盤の役目）。", "すぐに使える判断点がほしいとき。実の基盤（どの判断点か）は含まず、未定です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "A-02 だけの部品を求めるとき。この継手は A-02・A-04・A-05・A-06・A-07 を契約上 1 つの部品として担い、試験と検査も共通です。A-01 は token-verify 継手、A-03・A-08 は session 継手が担います。" ], "what_it_checks": [ "方針を検めます。pin していない許可の方針の要求は送りません。空の一覧は何も許しません。", "本人の参照と参照の形を検めます。メールアドレス・電話番号の形の本人の参照、パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "許可の権限を導いたと名乗る receipt は受理しません。", "receipt の request_id・request_digest・参照が要求と一致しなければ受理しません。request_digest を偽った receipt も受理しません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は lookup で解きます。" ], "what_it_does_not_do": [ "許可の評価をしません。この継手は外の判断点の判断を参照として運ぶ継手で、RBAC/ABAC の評価の機能は含みません。許可の判断は外の判断点、許可の方針の事実は核（policy-facts）の役目です。", "PERMIT は許可の権限ではありません。判断を受け取ったことから、許可・権限を導きません。", "判断を受け取ったことは承認ではありません（approval: false）。", "実の基盤（どの判断点か）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "直接の識別子のすべてを見分けるものではありません。検出はメールアドレスと電話番号の代表的な形だけです。", "特定の IdP や判断点の使い方の雛形ではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/identity-ext/v1 でつなぎます。createIdentityExtClient({ cfg, port }) の submit(request) に AuthzDecisionRefRequest を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。DONE の result: decision・decision_ref・permission_authority。cfg には pin する一覧 6 つ（policy_refs ほか）がどれも要ります。利用側が用意するもの: 基盤への port（submit、任意で lookup）。副作用は NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-03", "category": "A/認証・認可", "kind": "Tsugite", "title": "セッション管理 — セッション・失効伝播継手（Tsugite）", "summary": "セッション・失効伝播継手（Tsugite）は、session store への開く（OPEN）・再開（RESUME）・終了（TERMINATE）・失効（REVOKE）の操作を、期限・同時数・既知の状態を検めてから送り、store が返す受領（SessionReceipt）を照合してから session の状態を進める継手（つぎて）です。一つでも合わなければ、送らず、session を使える扱いにしません（fail-closed）。", "problem": "「ログイン状態」は当然のものと思われがちですが、期限を過ぎた session、同時数の上限を超えた session、失効・終了したはずの session が使われ続けることがあります。この継手は、session の発行・再開・終了・失効を検めて送り、store の受領を照合できない限り、その session を使える扱いにしないための検めです。", "use_when": [ "session の発行・再開・終了・失効を、外部の session store に対して行い、その結果を照合してから状態を進めたいとき。", "session の最長の長さ（max_session_seconds）と同時に使える数の上限（max_concurrency）を、開く時点で必ず守らせたいとき。", "ある時刻にある session を使ってよいかを、照合済み・開いている・期限内・未確定の操作が無い、のすべてがそろうときだけ「使ってよい」と判定したいとき。", "store の障害で結果が分からないとき、その session を解決まで使えない扱いにしたいとき。" ], "do_not_use_when": [ "session があることを、本人確認や権限の代わりにしたいとき。session は本人確認でも権限でもありません（authority: NOT_DERIVED、approval: false）。", "トークンそのものを検証したいとき。それは A-01（token-verify-tsugite）の役目で、この継手は session の操作と失効の伝播だけを扱います。", "すぐに使える session store がほしいとき。実 session store は含まず、どれにつなぐかはまだ決まっていません。", "session の期限や同時数の上限そのものを決めてほしいとき。決定は核（session-facts・policy-facts・timestamp-facts）の役目で、この継手は上限と状態を受け取って検めるだけです。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "同時数を検めます。同時に使える session の上限（max_concurrency）を超える OPEN は送りません。", "期限と時刻を検めます。期限の巻き戻しと時刻の巻き戻しを拒否します。OPEN には期限（expiry）と同時数の上限（concurrency_limit）を必須とし、OPEN 以外では期限・同時数を変えさせません。", "失効・終了した session の再開を拒否します。store が失効後に RESUMED と返したら、受理せず停止します。", "受領（SessionReceipt）を照合します。操作と食い違う状態（session_state は op から決まる。NONE・UNKNOWN も照合しない）、別の session の受領、request_digest の偽りがあれば受理せず、以後は HALTED にします。", "権限や本人確認を持ち込む受領を拒否します。authority を導いたもの、検証者の無い本人確認済み（VERIFIED）は受理しません。", "SecretRef の隣に生の秘密が置かれた要求を拒否します。", "失効（REVOKE）の受領には伝播の参照を必須とし、pin した伝播先すべてに証拠つきで届くまでは「未完了」（REVOKED_PROPAGATION_INCOMPLETE）とします。詳しくは A-08（失効伝播）で扱います。", "store の障害は UNKNOWN とし、その session は解決まで使えない扱いにします。" ], "what_it_does_not_do": [ "session は本人確認でも権限でもありません。どの結果にも authority: NOT_DERIVED と approval: false が付きます。", "トークンの検証はしません。A-01（token-verify-tsugite）の役目です。", "実 session store と伝播先（各サービスの失効受付）を含みません。どれにつなぐか、port の実装、pin する対象は未定で、接続するときに別の関門で決めます。", "session の上限や規則を決めません。決定は核（session-facts・policy-facts・timestamp-facts）の役目で、この継手は受け取った上限と状態を検めるだけです。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。なお、OPEN の必須項目などで契約より厳しくした点があります。", "A-03 と A-08 は契約上 1 つの部品です。ID ごとの行（A-03・A-08）が、この部品を指します。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "session store の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/request-receipt-group/v1 でつなぎます。createSessionClient({ cfg, port }) の apply に SessionOpRequest（OPEN・RESUME・TERMINATE・REVOKE）を渡すと、APPLIED・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED・REVOKED_EVERYWHERE・REVOKED_PROPAGATION_INCOMPLETE を返します（approval: false 付き）。isUsable(session_ref, now) で使えるかを判定。利用側が用意するもの: store と伝播の port（apply・propagation）。副作用: EXTERNAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-04", "category": "A/認証・認可", "kind": "Tsugite", "title": "多要素・ステップアップ（問いかけと照合を運ぶ） — 認証・認可の拡張継手（Tsugite）", "summary": "認証・認可の拡張継手（Tsugite）は、A-04 では、追加認証の問いかけ（CHALLENGE）と照合（VERIFY）の要求を、pin した要素と資格情報の参照で検めてから基盤へ運び、戻った receipt を契約どおりに照合する継手（つぎて）です。照合は、この継手が同じ本人へ送った問いかけに対してだけ行います。追加認証を満たしても許可や権限ではありません。検めが一つでも外れれば、送らず、受理しません（fail-closed）。", "problem": "重要な操作の直前に追加認証を挟むとき、送っていない問いかけや別の本人の問いかけに対して照合してしまうこと、token の形の値をそのまま運んでしまうこと、そして追加認証を満たしたことを許可と取り違えることを防ぎます。", "use_when": [ "重要な操作の直前だけ、追加認証の問いかけを基盤へ送り、その答えを照合したいとき。", "追加認証の要素を、許す要素の一覧（allowed_factors）の範囲にとどめたいとき。", "照合を、この継手が同じ本人へ送って CHALLENGED と照合した問いかけに限りたいとき。状態は CHALLENGE→CHALLENGED・FAILED・UNKNOWN、VERIFY→SATISFIED・FAILED・UNKNOWN です。", "運んだ結果を、request_id・request_digest・参照の一致で照合してから受け取りたいとき。DONE の result には step_up_state・satisfied・authorization が添えられます。", "基盤の障害で結果が不明になっても、同じ request_id を二度送らず、lookup で解きたいとき。" ], "do_not_use_when": [ "追加認証を満たしたことを、操作の許可として使いたいとき。満たしても許可や権限ではなく、許可を導いたと名乗る receipt は受理しません。", "追加認証が正しいか、資格情報が有効かを確かめたいとき。これらは確かめません（外の判断と基盤の役目）。", "秘密や token の値そのものを運びたいとき。秘密・token の bytes は運ばず、参照だけです。", "すぐに使える追加認証の基盤がほしいとき。実の基盤（どの IdP か）は含まず、未定です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "A-04 だけの部品を求めるとき。この継手は A-02・A-04・A-05・A-06・A-07 を契約上 1 つの部品として担い、試験と検査も共通です。A-01 は token-verify 継手、A-03・A-08 は session 継手が担います。" ], "what_it_checks": [ "要素を検めます。許す一覧にない要素、契約にない要素の要求は送りません。空の一覧は何も許しません。", "照合の相手を検めます。この継手が送っていない問いかけ、別の本人への問いかけ、失敗した問いかけに対する照合は送りません（REFUSED）。", "資格情報の参照を検めます。pin していない資格情報の要求は送りません。資格情報の参照・assertion_ref が bytes や token の形なら、pin されていても送りません。", "本人の参照と参照の形を検めます。メールアドレス・電話番号の形の本人の参照、パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "追加認証から許可を導いたと名乗る receipt は受理しません。", "receipt の request_id・request_digest・参照が要求と一致しないもの、外への効果を増やすもの、効果が UNKNOWN のものは受理しません。受理できない receipt が来たら停止します（HALTED）。" ], "what_it_does_not_do": [ "追加認証を満たしたことは、許可や権限ではありません。許可の判断は外の判断点と人・組織の役目で、継手は送る前と受け取った後の検めだけをします。", "追加認証の正しさ・資格情報の有効さは確かめません（外の判断と基盤の役目）。", "満たしたことは承認ではありません（approval: false）。", "実の基盤（どの IdP か）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "すべての秘密を見分けるものではありません。token や鍵の形の検出は代表的な形だけを見る網で、本当の守りは pin した参照の一覧です。直接の識別子の検出もメールアドレスと電話番号の代表的な形だけです。", "特定の IdP の使い方の雛形ではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/identity-ext/v1 でつなぎます。createIdentityExtClient({ cfg, port }) の submit(request) に StepUpAuthRequest を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。DONE の result: step_up_state・satisfied・authorization。cfg に pin する一覧 6 つが要ります。利用側が用意するもの: port（submit、任意で lookup）。副作用: 問いかけ EXTERNAL_REVERSIBLE、照合 NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-05", "category": "A/認証・認可", "kind": "Tsugite", "title": "サービス間認証（ワークロードの認証を運ぶ） — 認証・認可の拡張継手（Tsugite）", "summary": "認証・認可の拡張継手（Tsugite）は、A-05 では、ワークロード（サービス）の認証の要求を、pin したワークロードと資格情報の参照で検めてから基盤へ運び、戻った receipt を契約どおりに照合する継手（つぎて）です。秘密や token の bytes は運ばず、参照だけを運びます。認証できたことから権限は導きません。検めが一つでも外れれば、送らず、受理しません（fail-closed）。", "problem": "サービス同士の認証を基盤へ運ぶとき、pin していないワークロードや資格情報で要求を出してしまうこと、資格情報の bytes や token の形の値をそのまま運んでしまうこと、そして認証できたことを権限と取り違えることを防ぎます。", "use_when": [ "サービス（ワークロード）同士の認証の要求を、pin したワークロード（workload_refs）と資格情報の参照（credential_refs）の範囲でだけ基盤へ運びたいとき。", "資格情報を bytes ではなく参照だけで扱いたいとき。", "運んだ結果を、request_id・request_digest・参照の一致で照合してから受け取りたいとき。DONE の result には auth_state・authority が添えられます。", "基盤の障害で結果が不明になっても、同じ request_id を二度送らず、lookup で解きたいとき。" ], "do_not_use_when": [ "Workload Identity や mTLS の仕組みそのものがほしいとき。この継手はワークロードの認証の要求を参照で運ぶ継手で、その仕組みの機能は含みません。", "ワークロードが認証できたことを、権限として使いたいとき。権限は導かず、ワークロードの権限を導いたと名乗る receipt は受理しません。", "資格情報が有効かを確かめたいとき。資格情報の有効さは確かめません（外の判断と基盤の役目）。", "資格情報や token の値そのものを運びたいとき。秘密・token の bytes は運ばず、参照だけです。", "すぐに使える認証の基盤がほしいとき。実の基盤は含まず、未定です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "A-05 だけの部品を求めるとき。この継手は A-02・A-04・A-05・A-06・A-07 を契約上 1 つの部品として担い、試験と検査も共通です。A-01 は token-verify 継手、A-03・A-08 は session 継手が担います。" ], "what_it_checks": [ "ワークロードを検めます。pin していないワークロードの要求は送りません。空の一覧は何も許しません。", "資格情報の参照を検めます。pin していない資格情報の要求は送りません。資格情報の参照・assertion_ref が bytes や token の形なら、pin されていても送りません。", "参照の形を検めます。パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "ワークロードの権限を導いたと名乗る receipt は受理しません。", "receipt の request_id・request_digest・参照が要求と一致しなければ受理しません。request_digest を偽った receipt も受理しません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。" ], "what_it_does_not_do": [ "Workload Identity・mTLS の仕組みそのものは含みません。ワークロードの認証の要求を、参照で検めて運ぶだけです。", "認証できたことは権限ではありません。身元や資格情報の状態から、許可・権限を導きません。", "資格情報の有効さは確かめません（外の判断と基盤の役目）。認証できたことは承認でもありません（approval: false）。", "実の基盤を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "すべての秘密を見分けるものではありません。token や鍵の形の検出は代表的な形だけを見る網で、本当の守りは pin した参照の一覧です。", "特定の IdP の使い方の雛形ではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/identity-ext/v1 でつなぎます。createIdentityExtClient({ cfg, port }) の submit(request) に WorkloadAuthRequest を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。DONE の result: auth_state・authority。cfg に pin する一覧 6 つ（workload_refs ほか）が要ります。利用側が用意するもの: 基盤への port（submit、任意で lookup）。副作用は NONE か EXTERNAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-06", "category": "A/認証・認可", "kind": "Tsugite", "title": "APIキー発行・回転（参照で運ぶ・鍵を開示させない） — 認証・認可の拡張継手（Tsugite）", "summary": "認証・認可の拡張継手（Tsugite）は、A-06 では、API キーの発行（ISSUE）・回転（ROTATE）・失効（REVOKE）の要求を、pin した鍵と秘密の置き場所の参照で検めてから基盤へ運び、戻った receipt を契約どおりに照合する継手（つぎて）です。鍵の bytes は運ばず、鍵の中身を開示する receipt は受理しません。検めが一つでも外れれば、送らず、受理しません（fail-closed）。", "problem": "外部連携の API キーを払い出し・回し・失効させるとき、pin していない鍵や置き場所を扱ってしまうこと、鍵の bytes をそのまま運んでしまうこと、基盤が鍵の中身を返してくるのを受け取ってしまうこと、そして鍵の状態を権限と取り違えることを防ぎます。", "use_when": [ "API キーの発行・回転・失効の要求を、pin した鍵（key_refs）と鍵の置き場所（secret_refs）の範囲でだけ基盤へ運びたいとき。", "新しい鍵を、中身ではなく置き場所の参照（secret_ref）だけで受け渡したいとき。secret_ref は ISSUE・ROTATE のときだけ必須で、状態は ISSUE→ISSUED_REF・ROTATE→ROTATED_REF・REVOKE→REVOKED か FAILED です。", "運んだ結果を、request_id・request_digest・参照の一致で照合してから受け取りたいとき。DONE の result には key_state・key_material_disclosed が添えられます。", "基盤の障害で結果が不明になっても、同じ request_id を二度送らず、lookup で解きたいとき。" ], "do_not_use_when": [ "鍵の中身を受け取りたいとき。鍵の中身を開示する receipt は受理しません。", "鍵の保管そのものがほしいとき。この継手は発行・回転・失効の要求を参照で基盤へ運ぶ継手で、鍵の保管は含みません（どの鍵の保管かは未定）。", "鍵が有効であることを、許可や権限として使いたいとき。資格情報が有効でも、許可や権限ではありません。", "資格情報が有効かを確かめたいとき。資格情報の有効さは確かめません（外の判断と基盤の役目）。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "A-06 だけの部品を求めるとき。この継手は A-02・A-04・A-05・A-06・A-07 を契約上 1 つの部品として担い、試験と検査も共通です。A-01 は token-verify 継手、A-03・A-08 は session 継手が担います。" ], "what_it_checks": [ "鍵と置き場所を検めます。pin していない鍵、pin していない秘密の置き場所の要求は送りません。空の一覧は何も許しません。", "secret_ref を検めます。鍵の形の secret_ref は、pin されていても送りません。REVOKE に secret_ref を付けた要求も送りません。", "鍵の中身を開示する receipt は受理しません。", "参照の形を検めます。パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "receipt の request_id・request_digest・参照が要求と一致しなければ受理しません。request_digest を偽った receipt も受理しません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。" ], "what_it_does_not_do": [ "鍵の中身を運ばず、受け取りません。扱うのは鍵と置き場所の参照だけです。", "鍵の状態から許可・権限を導きません。資格情報の有効さも確かめません（外の判断と基盤の役目）。", "発行・回転・失効ができたことは承認ではありません（approval: false）。", "実の基盤（どの鍵の保管か）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "すべての秘密を見分けるものではありません。token や鍵の形の検出は代表的な形だけを見る網で、本当の守りは pin した参照の一覧です。", "特定の鍵の保管サービスの使い方の雛形ではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/identity-ext/v1 でつなぎます。createIdentityExtClient({ cfg, port }) の submit(request) に ApiKeyLifecycleRequest を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。DONE の result: key_state・key_material_disclosed。cfg に pin する一覧 6 つが要ります。利用側が用意するもの: 基盤への port（submit、任意で lookup）。副作用は EXTERNAL_REVERSIBLE（FAILED は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-07", "category": "A/認証・認可", "kind": "Tsugite", "title": "委任・代理（on-behalf-of）の参照 — 認証・認可の拡張継手（Tsugite）", "summary": "認証・認可の拡張継手（Tsugite）は、A-07 では、人・組織から受け取った根拠がある委任の参照だけを検めてから基盤へ運び、戻った receipt を契約どおりに照合する継手（つぎて）です。ERABAZU は委任の権限を作りません。委任の権限は、外の人・組織の根拠からだけ来ます。検めが一つでも外れれば、送らず、受理しません（fail-closed）。", "problem": "「本人に代わって」の委任を基盤へ運ぶとき、人・組織の根拠の無い委任を運んでしまうこと、ERABAZU 自身を委任の出どころにしてしまうこと、そして委任の権限を作ったと名乗る receipt を受け取ってしまうことを防ぎます。", "use_when": [ "人・組織が出した委任の根拠を recordAuthorityEvidence(evidence_ref, origin) で受け取り（origin は HUMAN か ORGANIZATION だけ）、その根拠がある委任の参照だけを基盤へ運びたいとき。", "委任の当事者を、メールアドレス・電話番号ではなく仮名の参照だけで扱いたいとき。", "委任の受け渡しで外への効果を起こしたくないとき。委任の参照の副作用は NONE です。", "運んだ結果を、request_id・request_digest・参照の一致で照合してから受け取りたいとき。DONE の result には delegation_state・authority_origination が添えられます。", "基盤の障害で結果が不明になっても、同じ request_id を二度送らず、lookup で解きたいとき。" ], "do_not_use_when": [ "委任の権限を ERABAZU に作らせたいとき、または権限の受け渡しそのものをさせたいとき。この継手は委任の参照を運ぶ継手で、ERABAZU は委任の権限を作りません。", "人・組織の根拠が無いまま委任を運びたいとき。その要求は送りません（REFUSED）。", "委任が本物かを確かめたいとき。委任の根拠の中身は検めず、人・組織から受け取った参照かだけを見ます。", "すぐに使える基盤がほしいとき。実の基盤は含まず、未定です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "A-07 だけの部品を求めるとき。この継手は A-02・A-04・A-05・A-06・A-07 を契約上 1 つの部品として担い、試験と検査も共通です。A-01 は token-verify 継手、A-03・A-08 は session 継手が担います。" ], "what_it_checks": [ "委任の根拠を検めます。根拠の無い委任、recordAuthorityEvidence で受け取っていない根拠による委任、出どころを ERABAZU とした委任は送りません。", "委任の権限を作ったと名乗る receipt は受理しません。", "当事者の参照と参照の形を検めます。メールアドレス・電話番号の形の参照、パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "receipt の request_id・request_digest・参照が要求と一致しなければ受理しません。request_digest を偽った receipt も受理しません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は lookup で解きます。" ], "what_it_does_not_do": [ "ERABAZU は委任の権限を作りません。委任の権限は外の人・組織の根拠からだけ来ます。この継手は委任の参照を運ぶ継手で、権限の受け渡しの機能は含みません。", "委任の根拠の中身（本物の委任か）は検めません。人・組織から受け取った参照かだけを見ます。", "委任を運べたことは承認ではありません（approval: false）。", "実の基盤を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "直接の識別子のすべてを見分けるものではありません。検出はメールアドレスと電話番号の代表的な形だけです。", "特定の IdP の使い方の雛形ではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/identity-ext/v1 でつなぎます。createIdentityExtClient({ cfg, port }) の recordAuthorityEvidence(evidence_ref, origin) で人・組織の根拠を受け取ってから、submit(request) に DelegationRefRequest を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED を返します（どれも approval: false）。DONE の result: delegation_state・authority_origination。利用側が用意するもの: 基盤への port（submit、任意で lookup）。副作用は NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-08", "category": "A/認証・認可", "kind": "Tsugite", "title": "失効伝播 — セッション・失効伝播継手（Tsugite）", "summary": "セッション・失効伝播継手（Tsugite）は、session の失効（REVOKE）を store へ送って受領を照合し、pin した伝播先すべてから証拠つきの到達の受領がそろうまで失効を「未完了」とする継手（つぎて）です。未完了のあいだも、その session は使えない扱いにします（fail-closed）。", "problem": "「ログアウトしたのに残る」事故を防ぎます。失効を一か所で受け付けただけで「全体に行き渡った」と扱ってしまうこと、そして証拠の無い到達の知らせや pin していない先からの知らせを信じてしまうことを防ぎ、失効を全系へ行き渡らせたかを照合できる形で確かめるための検めです。", "use_when": [ "ログアウトや失効を、決めた伝播先（propagation_targets）すべてに届けたかどうかを、到達の受領で確かめたいとき。", "どの伝播先にまだ届いていないかを知りたいとき。未完了のときは、届いていない先（missing_targets）を添えて返します。", "受領の不整合で停止している最中でも、失効だけは止めずに送りたいとき。この継手が知らない session の失効も受け付けます。", "失効した session が、その後に再開されないようにしたいとき。" ], "do_not_use_when": [ "伝播先への失効の送り届けそのものをまかせたいとき。到達は、port（propagation）が返す到達の受領で検めるだけで、伝播先の実装は含みません。", "すぐに使える伝播先や session store がほしいとき。実 session store と伝播先（各サービスの失効受付）は未定です。", "トークンそのものを失効・検証したいとき。トークンの検証は A-01（token-verify-tsugite）の役目で、この継手は session の操作と失効の伝播だけを扱います。", "失効が行き渡ったことを、本人確認や権限・承認として扱いたいとき。どの結果も authority: NOT_DERIVED・approval: false です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "伝播先の欠けを検めます。pin した伝播先のどれか一つでも到達の受領が無ければ、完了とせず REVOKED_PROPAGATION_INCOMPLETE を返します。", "到達の証拠を検めます。証拠（evidence_ref）の無い到達の知らせは、届いたとは認めません。", "伝播先の pin を検めます。pin していない先からの到達の知らせは、届いたとは認めません。", "失効の受領を照合します。REVOKE の受領には伝播の参照を必須とし、状態の食い違い（REVOKE なら REVOKED）、別の session の受領、request_digest の偽りがあれば受理しません。", "失効後の残存を拒否します。失効・終了した session は再開せず、store が失効後に RESUMED と返したら受理せず停止します。", "失効が完了していても未完了でも、その session は使えない扱いにします。store の障害（UNKNOWN）のときも、解決まで使えない扱いです。" ], "what_it_does_not_do": [ "伝播先へ失効を届ける仕組みそのものは持ちません。到達の受領の形（target_ref・session_ref・revoked・evidence_ref）は契約に無く、継手の側の定めです。", "実 session store と伝播先（各サービスの失効受付）を含みません。port の実装と pin する対象は未定で、接続するときに別の関門で決めます。", "トークンの検証・失効はしません。トークンの検証は A-01（token-verify-tsugite）の役目です。", "失効が行き渡ったことは、本人確認でも権限でもありません（authority: NOT_DERIVED、approval: false）。", "A-08 は A-03（セッション管理）と契約上 1 つの部品です。ID ごとの行（A-03・A-08）が、この部品を指します。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "session store の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/request-receipt-group/v1 でつなぎます。createSessionClient({ cfg, port }) の apply に REVOKE の SessionOpRequest を渡すと、REVOKED_EVERYWHERE か REVOKED_PROPAGATION_INCOMPLETE（missing_targets 付き）などを返します（authority: NOT_DERIVED・approval: false 付き）。伝播先は cfg の propagation_targets に pin します。利用側が用意するもの: store の port（apply）と、到達の受領の一覧を返す port（propagation）。副作用は EXTERNAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-09", "category": "A/認証・認可", "kind": "Tsugite", "title": "組織ドメインの管理権の照会 — 組織のドメインの管理権の照会の継手（Tsugite）", "summary": "組織のドメインの管理権の照会の継手（Tsugite）は、組織のドメインに置かれた印を、DNS TXT（`_kokoroamu.`）か HTTPS の決まった場所（`/.well-known/kokoroamu-org.json`）で port に照会させ、返った receipt（OrgDomainControlReceipt）を契約どおりに照合して、受け取ったままの答えを運ぶ継手（つぎて）です。照会できた・印が見つかったことを、管理権の証明として扱いません（fail-closed）。", "problem": "「ドメインを確認しました」と言うとき、どこを読み、どの答えを信じたかが見えなくなることを防ぎます。名前や URL はドメインだけから組み立て、転送・TLS・DNSSEC・大きさを検め、受け取ったままの答えを digest とともに運びます。照会を管理権の証明と取り違えず、答えを別の目的に使い回しません。", "use_when": [ "組織のドメインに置かれた印を、DNS TXT（`_kokoroamu.`、method DNS_TXT）か HTTPS の決まった場所（`/.well-known/kokoroamu-org.json`、method HTTPS_WELL_KNOWN）で照会し、その答えをあとで読む側へ渡したいとき。", "呼ぶ側にはドメインだけを渡させ、DNS の名前・URL・port 番号・path は呼ぶ側に決めさせたくないとき。", "1 つのドメインを、目的ごとに別々の照会で使いたいとき（今の目的の表は `seat8`）。目的は依頼と答えの両方に入り、答えは別の目的に使い回しません（reusable_for_other_purpose false）。", "TXT の行を受け取った順のまま、HTTPS の本文を bytes（base64）のまま、それぞれの digest とともに残したいとき。" ], "do_not_use_when": [ "印を読んで、目的と鍵 ID を照合し、期限を決めたいとき。それは A-10 の部品（org-domain-claim-primitive）と規則・人の役目で、この継手は照会だけをします。", "照会の結果を、そのまま管理権の証明として使いたいとき。この継手の答えは、管理権を認めるものではありません（ownership_decision NOT_DERIVED）。", "任意の URL・port 番号・path を照会したいとき。要求にその欄は無く、受け取りません。", "すぐに使える照会の仕組みがほしいとき。実の DNS・HTTPS への照会は 0 回で、port の実装・resolver・信頼する CA の一覧・設定の値は、接続するときに別の関門で決めます。", "照会の記録を長く残したいとき。記録はこの継手の中だけで、再起動で消えます。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "設定と目的を検めます。要求の contract_pin が設定 contract_schema_digest と違うとき、設定が無いとき、目的が allowed_purposes に無いとき、resolver が resolver_profile_refs に無いときは送りません（REFUSED）。空の表は何も許しません。", "receipt の名前と URL が、ドメインから組み立てたものと同じことを照合します。答えの目的・ドメイン・鍵 ID が依頼と違う receipt は受理しません。", "答えの中身を照合します。TXT の順・行数・digest、本文の大きさ・digest・content type（JSON か text、charset=utf-8 だけ）が合わない答えは受理しません。受け取りと要求の文字列は、正しい Unicode のときだけ受け取ります。", "転送と TLS を検めます。別のホスト・http・上限を超える転送をたどった答えは受理しません（たどらなかった転送は REDIRECT_REFUSED）。TLS の検めが外れた FOUND・NOT_FOUND、DNSSEC の BOGUS を含む答え、TIMEOUT の途中の答えも受理しません。", "つないだアドレス（connected_address）を検めます。IANA の特別用途アドレスの登録の、そのアドレスを含むいちばん狭い行で global のものだけを受け取ります。NAT64 の prefix の中へつないだ答えは、RFC 6052 で取り出した中の IPv4 も global のときだけ受け取ります。", "判断しない印と効果を照合します。claim_evaluation NOT_PERFORMED・ownership_decision NOT_DERIVED・side effect NONE を守らない receipt は受理せず、照合できない receipt のあとは停止します（RECEIPT_REJECTED のあとは HALTED）。", "同じ request_id の違う中身は送りません。port の障害や時間切れ（limits.timeout_ms と猶予 1 秒）は UNKNOWN とし、同じ要求を送り直して解きます（port.lookup があればまずそれで）。" ], "what_it_does_not_do": [ "印（`v=kokoroamu-org1`）を読む・目的と鍵 ID を照合する・期限を決める・管理権を認めることはしません。照会できた・印が見つかったことは、管理権の証明ではありません。", "解決したアドレスがすべて global だったか、cookie・資格情報を送らなかったか、名前と URL を実際にドメインから組み立てたかは確かめません（port の役目）。この継手が検めるのは、receipt の connected_address が global であることまでです。", "DNSSEC の SECURE・INSECURE、TLS の 3 つの検めの結果、TTL は port の申告で、この継手は形と組み合わせだけを検めます。", "global の範囲の表は、IANA の登録をページとして読んだ写しで、生の登録の bytes とは照らしていません。公開の前に生の CSV と照らし直す必要があります。", "local の NAT64 の prefix を知りません。nat64 を返さない port の答えでは、local の prefix の中に埋められた IPv4 が global かを照らせません。", "何も書きません（side effect NONE）。運べた・照会できたことは承認ではありません（どの結果にも approval: false が付きます）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/org-domain-control/v1（OrgDomainControlRequest / OrgDomainControlReceipt）でつなぎます。createOrgDomainControlClient({ cfg, port }) の submit(request) は、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（常に approval: false）。利用側の用意: 照会の port（submit と任意の lookup）と cfg（contract_schema_digest・allowed_purposes・resolver_profile_refs）。副作用: NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-10", "category": "A/認証・認可", "kind": "Primitive", "title": "組織ドメインの印の読み取り — 組織のドメインの印の読み取りと照合の部品（Primitive）", "summary": "組織のドメインの印の読み取りと照合の部品（Primitive）は、会社（組織）が自分のドメインに置いた印（DNS TXT の `_kokoroamu.` の行、または HTTPS の `/.well-known/kokoroamu-org.json` の JSON 文書）を、照会で受け取った生の答えから読み、目的と鍵 ID の完全一致で照合して、期限つきの記録（claim）を作る単独の部品です。読めない行・ほかの用途の行は捨てずに事実として返します。", "problem": "印の書き方の揺れや期限切れは、表から見えません。この部品は、知らない欄・重なる欄・知らない版の印を読まず、目的は呼ぶ側の allowed_purposes にあるものだけを通します。1 つのドメインの確認が別の目的に流用されて権限が広がることを防ぎ、期限は観測の時刻と日数から決めます。", "use_when": [ "DNS TXT の答え（txt_records）か、well-known の本文（body_base64・content_type）から、印（目的と鍵 ID）の一覧を読みたいとき（parseMarks）。", "ある目的・ある鍵 ID の印があるかを文字列の完全一致で確かめ、domain・method・purpose・key_id・observed_at・expires_at の記録（claim）を作りたいとき（checkClaim）。", "読めない行・ほかの用途の行（SPF など）を、黙って捨てずに理由つき（ignored の reason）で残したいとき。", "記録が期限の内かを、渡した時刻（at）で確かめたいとき（isClaimCurrent。外なら reason は NOT_YET_OBSERVED か EXPIRED）。", "記録から、attestation の属性（domain: と purpose: をこの順に 1 つずつ）を作りたいとき（claimToAttestationAttributes）。", "時計・乱数・外の接続を持たない、決定的な処理として手元で呼びたいとき。目的の表は部品の中に持たず、呼ぶ側が allowed_purposes で渡します。" ], "do_not_use_when": [ "印がそのドメインから来たこと（DNS の名前・DNSSEC・HTTPS の証明書・リダイレクト）を確かめたいとき。この部品は、渡された答えがそのドメインのものだとして読みます。照会とその検めは、照会の部品（A-09 の案）と呼ぶ側の役目です。", "ドメインの持ち主の本人性（個人・組織の実在）を確かめたいとき。この部品が読むのは、ドメインを管理していることの印だけです。", "大文字・末尾の点・前後の空白を含むドメインや IP アドレスを、直して受け取ってほしいとき。名前は直さずに INVALID_DOMAIN で断ります。", "国際化ドメインを Unicode の形で渡したいとき。xn-- の形だけを受け取り、punycode の中身は確かめません。", "有効期間を 90 日より長くしたいとき。valid_days は 1〜90 の整数だけで、外れると INVALID_VALID_DAYS で止めます。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "DNS TXT の行は、最初の欄がちょうど決まった版の名前（`v=kokoroamu-org1`）で、残りが purpose=<目的> と key=<鍵 ID> を 1 つずつのときだけ印として読みます。知らない欄・重なる欄・空の欄・欠けた欄・知らない版の行は読まず、ignored に理由（UNKNOWN_FIELD・DUPLICATE_FIELD・MISSING_FIELD・UNKNOWN_VERSION・MALFORMED_MARK など）を付けて返します。", "4096 文字を超える行は TOO_LONG、UTF-8 でない行（{ undecodable_base64 } の形）は復号せずに NOT_UTF8、文字列でない行は NOT_TEXT として ignored に入れます。txt_records が配列でない・64 個を超えるときは INVALID_RECORDS・TOO_MANY_RECORDS で止めます。", "well-known の本文は、content_type が application/json・text/plain（任意で ; charset=utf-8）でないとき UNSUPPORTED_CONTENT_TYPE、body_base64 が正準の base64 でない・復号して 64 KiB を超えるとき INVALID_BODY で止めます。UTF-8 でない・JSON でない・文書の形が違う・entries が 1000 個を超える本文は、NOT_UTF8・NOT_JSON・MALFORMED_DOCUMENT・TOO_MANY_ENTRIES の事実で返します。", "purpose が allowed_purposes に無いときは matched: false で、reasons に PURPOSE_NOT_ALLOWED を記します。同じ鍵 ID でも、ほかの目的の印では通さず KEY_UNDER_OTHER_PURPOSE を記します。", "目的と鍵 ID は文字列の完全一致で比べます。鍵 ID は大文字と小文字を区別し、Unicode の正規化・大文字小文字の畳み込みはしません。", "domain・purpose・key_id・allowed_purposes・observed_at・valid_days・marks の形が違うとき、INVALID_DOMAIN・INVALID_PURPOSE・INVALID_KEY_ID・INVALID_ALLOWED_PURPOSES・INVALID_OBSERVED_AT・INVALID_VALID_DAYS・INVALID_MARKS で止めます。ドメインは 242 文字まで、時刻は UTC の Z の形で 2000〜9998 年、marks は 2000 個までです。", "isClaimCurrent・claimToAttestationAttributes に渡す claim の形が違うとき（余分なキー・期限が observed_at より後でない・90 日を超える）、INVALID_CLAIM で止めます。at の形が違うときは INVALID_AT です。claimToAttestationAttributes だけは OrgDomainClaimError を投げます。", "入力がオブジェクトでないとき INVALID_INPUT、source が DNS_TXT・HTTPS_WELL_KNOWN のどちらでもないとき UNKNOWN_SOURCE で止めます。止めたときは { ok: false, errors: [{ code }] } を返します。" ], "what_it_does_not_do": [ "matched: true は、渡された答えの中にこの目的とこの鍵 ID の印があったという事実だけです。ドメインの持ち主の本人性、印がそのドメインから来たこと、attestation に署名してよいことは示しません。署名するかは呼ぶ側が決めます。", "DNS・HTTPS の照会はしません。外の境界・状態・乱数を持たず、時計も読みません（時刻はすべて入力）。", "目的の表は持ちません。どの目的を許すか（allowed_purposes）は呼ぶ側が渡します。", "JSON の重なるキーは JSON.parse のとおり最後の値を使い、重なりを見つけて断ることはしません。", "{ undecodable_base64 } の値は復号しません。正準の base64 か・本当に UTF-8 でないかは確かめず（受け取りの側で検めること）、その形の行を印として読みません。", "記録（claim）ができたことは、承認ではありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "DNS や HTTPS の照会の雛形ではありません。" ], "integration": "src/org-domain-claim.js の parseMarks・checkClaim・isClaimCurrent（投げない）と claimToAttestationAttributes（投げる）を呼びます。parseMarks は txt_records か body_base64・content_type を受け取り marks と ignored を返します。checkClaim は domain・purpose・key_id・allowed_purposes・marks・observed_at・valid_days を受け取り matched・reasons・claim を返します。答えの形は契約 org-domain-control/v1 に合わせています。副作用・状態・資格情報は無く、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "A-11", "category": "A/認証・認可", "kind": "Component", "title": "組織ドメインの管理権の確かめ — 組織のドメインの管理権の確かめの部品（Component）", "summary": "組織のドメインの管理権の確かめの部品（Component）は、照会の継手（A-09）と印の照合の部品(Primitive)（A-10）を束ね、check({ domain, purpose, key_id }) を 1 回で行う部品です。まず DNS TXT（`_kokoroamu.`）を照会し、目的と鍵 ID がちょうど一致する印があり期限内なら MATCHED（dns_txt）。そうでなければ HTTPS の well-known を照会し、一致すれば MATCHED（https_well_known）。両方が答えて一致が無ければ NOT_FOUND、決められないときは UNAVAILABLE です（fail-closed）。MATCHED は管理権の判断ではありません。", "problem": "組織の確認の画面の裏で、照会の順と断る条件を決めておくための部品です。ほかの目的・ほかの鍵の印で通してしまうこと、別のドメイン・目的・鍵・確かめ方の答えを取り違えること、決められないのに「無い」と決めてしまうこと、期限の判断を自分で作ってしまうことを防ぎます。", "use_when": [ "組織のドメインに、決めた目的と鍵 ID（16 桁の小文字 hex）の印があるかを、DNS を先に、次に HTTPS の順で 1 回の呼び出しで確かめたいとき。", "照会してよい目的を設定の表（allowed_purposes、1〜64 個。今は `seat8`）に限り、表に無い目的では照会もしないようにしたいとき。", "結果を MATCHED・NOT_FOUND・UNAVAILABLE の 3 つで受け取り、「両方が答えて一致が無い」と「決められなかった（後でやり直せる）」を分けて扱いたいとき。", "印の期限の判断を、A-10 の isClaimCurrent に、照会の受け取りの後に読んだ時刻で任せたいとき（記録の有効日数は valid_days、1〜90）。", "MATCHED のとき、決めた照会の受け取りの request_id（receipt_ref）と照会を送る前の時刻（observed_at）を、後の記録に添えたいとき。" ], "do_not_use_when": [ "MATCHED を、ドメインの管理権の判断・署名してよいことの根拠として使いたいとき。MATCHED は「この目的とこの鍵 ID の印が、照会の時点でこのドメインの DNS か well-known にあった」という事実だけです。", "同じ端末・ドメインへの照会の回数の上限まで任せたいとき。回数の上限は呼ぶ側の規則と人の役目です。", "答えない照会の port を直接つなぐとき。この部品は待ち時間を切らないので、check が終わりません（本物の A-09 のクライアントは limits.timeout_ms に 1 秒を足した時間で UNKNOWN を返します）。", "receipt_ref が指す受け取りを、再起動の後も引けることが要るとき。A-09 のクライアントの記録はプロセスの中だけで、再起動で消えます。呼ぶ側の記録に頼ります。", "attestation の属性まで作らせたいとき。A-10 の claimToAttestationAttributes は使いません。属性を作るのは呼ぶ側です。", "本物の DNS・HTTPS で確かめた部品が要るとき。実の照会は 0 回です。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "options が足りない・形が違うとき INVALID_OPTIONS で止めます。check の入力がオブジェクトでない・読めないとき INVALID_INPUT、domain が契約の DomainName（242 文字まで）でないとき INVALID_DOMAIN、purpose が表に無いとき PURPOSE_NOT_ALLOWED、key_id が 16 桁の小文字 hex でないとき INVALID_KEY_ID で断ります。断るときは照会 0 回・時計を読まず、state は null です。", "時計が投げた・数でない・2000〜9998 年の外のとき、CLOCK_FAILED でそこで止めて UNAVAILABLE にします（それ以上照会しません）。", "A-09 の答えが REFUSED のとき LOOKUP_REFUSED、UNKNOWN のとき LOOKUP_UNKNOWN、RECEIPT_REJECTED か HALTED のとき LOOKUP_HALTED、DONE 以外（ALREADY_DONE を含む）のとき LOOKUP_NOT_DONE、下位の部品が例外を投げた・reject したとき PORT_FAILED で、MATCHED にしません。", "DONE でも、結果が聞いたドメイン・目的・鍵 ID・確かめ方を写していない・approval が false でない・result が無いとき、RESULT_MISMATCH で使いません。", "照会が答えられなかったとき（TIMEOUT・FAILED・TLS_FAILED・REDIRECT_REFUSED・知らない状態）LOOKUP_FAILED にします。FAILED は理由（PRIVATE_ADDRESS・DNSSEC_BOGUS・CONTENT_TYPE_REFUSED など）によらず「答えられない」です。", "A-10 の parseMarks が印を読めないとき MARKS_UNREADABLE、checkClaim が真偽値の matched を返さない・聞いたものと違う claim を返すとき CLAIM_UNCHECKED、isClaimCurrent が current: true を返さないとき（NOT_YET_OBSERVED・EXPIRED など）CLAIM_NOT_CURRENT で、MATCHED にしません。", "設定と目的の表は作るときに写し、A-10 へ渡す表も写します。後から options や表を書き換えられても、次の check は広がりません。" ], "what_it_does_not_do": [ "組織のドメインの管理権の確かめの部品は継手ではありません。自分の Request/Receipt は無く、外への照会は、束ねた A-09 の継手が自分の契約（org-domain-control/v1）で行います。この部品自身は外へ触れず、照会も読むだけです（side effect NONE）。", "照会の検め（受け取りの照合・転送・TLS・DNSSEC・つないだアドレス・content type）は A-09 の側に、印の読み取り・照合・期限は A-10 の側に残ります。印がそのドメインから来たことは A-09 と port の役目で、この部品は A-09 の DONE を信じます。", "MATCHED は、管理権の判断でも、権限でも承認でもありません（approval: false・authority: NOT_DERIVED、derives_authority: false）。", "受け取りの queried_at（port の申告）と時計の食い違いは照らしません。照会の待ち時間も、この部品は切りません。", "本物の DNS・HTTPS には一度も照会していません。試験とファズは代役で、結線の検めは本物の A-09・A-10 のコードと、A-09 の試験用の代役の port を相手に確かめました。", "目的の表の置き場所と、今の目的のほかの名前は、この部品では決めていません（契約の残り）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の DNS サービス・HTTP クライアントの使い方の雛形ではありません。" ], "integration": "src/org-domain-check.js の createOrgDomainCheck(options) で作り、{ ok, errors, instance } を返します。options は allowed_purposes・contract_schema_digest・resolver_profile_ref・limits・valid_days・request_prefix・clock・ports です。check は { ok, errors, state, method, observed_at, receipt_ref, approval: false, … } を返します。port は domainControl.submit（A-09 の継手のクライアント）と A-10 の parseMarks・checkClaim・isClaimCurrent。資格情報は不要です。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-01", "category": "B/暗号・信頼", "kind": "Tsugite", "title": "署名（KMS/HSM） — KMS署名継手（Tsugite）", "summary": "KMS署名継手（Tsugite）は、裏方の署名 API（Cloud KMS/HSM）の前に立ち、採択済みの schema・context と、RFC 8785 で正準化した payload だけを受け付け、sequence と previous_hash の連鎖を検めてから署名を頼み、返った署名を pin した公開鍵（PEM）で検証してから返す継手（つぎて）です。一つでも合わなければ KMS を呼ばず拒否します（fail-closed）。", "problem": "成果物や記録に電子署名するとき、任意のバイト列に署名してしまうこと、採択していない形式や context に署名してしまうこと、署名の順番（sequence）や前とのつながり（previous_hash）が崩れたまま署名してしまうことを防ぎます。署名 API を、任意の入力を受けない fail-closed の部品にするための検めです。", "use_when": [ "成果物・記録への電子署名を、採択した schema・context と正準化した payload に限って行いたいとき。", "署名を context ごとの追記専用（append-only）の鎖（sequence の単調増加と previous_hash の連鎖）に並べたいとき。", "返ってきた署名を、公開鍵を都度取りに行かず、pin した PEM でその場で検証してから使いたいとき。", "Cloud KMS の AsymmetricSign（EC_SIGN_P256_SHA256）を、JSON 鍵を置かない認証（attached SA / ADC）と鍵単位の最小権限で使う構成にしたいとき。" ], "do_not_use_when": [ "任意のバイト列やファイルにそのまま署名したいとき。canonical_payload は RFC 8785 で正準化した文字列に限り、任意の payload は拒否します。", "正準化もこの継手にまかせたいとき。RFC 8785 の正準化は呼び出し側が行います。", "実際の Cloud KMS・Firestore につないだ状態で試験済みの部品がほしいとき。この部品の試験は、ローカルの P-256 鍵と in-memory の store で行っており、本番の Cloud KMS・Firestore への接続は確かめていません。", "署名を、承認や決裁として扱いたいとき。この継手は検めて署名を継ぐだけで、権限は与えません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは融合核（Kernel）が担います。" ], "what_it_checks": [ "schema と context を検めます。採択していない schema・context、誤った context（wrong-context）は、KMS を呼ばず 422 で拒否します。", "sequence を検めます。巻き戻し・重複・整数でない sequence は、KMS を呼ばず拒否します。", "previous_hash を検めます。直前の payload の SHA-256（または GENESIS）とつながらないもの、genesis の規則違反（approval の genesis が定まっていない場合を含む）は拒否します。", "payload を検めます。canonical_payload が無いもの、任意の payload は拒否します。", "payload の中身を依頼と照らします。payload の context・schema_version が依頼と同じときだけ署名し、違う payload には署名しません。", "知らない鍵の指定は 400 で拒否します。鍵は erabazu_publisher か approval_checkpoint です。", "署名を検証します。KMS が返した署名を pin した公開鍵（PEM）で検証できなければ、署名を返さず 500 とします。" ], "what_it_does_not_do": [ "この部品の試験（単体試験とファズ）では、本番の Cloud KMS・Firestore には接続していません。試験はローカルの P-256 鍵と in-memory の store で行いました。別に、2026-08-15 に本番の ERABAZU HSM 鍵で synthetic の context（erabazu.synthetic-test）に署名し、pin した PEM で検証できた記録があります。", "canonical_payload の正準化（RFC 8785）はしません。呼び出し側が行います。", "任意の入力には署名しません。context・schema・正準化した payload に限ります。", "GET /latest が返す次の sequence・previous_hash は目安（ヒント）です。署名の可否は POST /sign の検めで決まります。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "署名 API の使い方の雛形ではありません。" ], "integration": "POST /sign に { key, context, schema_version, sequence, previous_hash, canonical_payload } を渡すと、200（signature_der_base64（ECDSA DER）・payload_sha256・verified_with_pinned_pem: true など）、400（知らない鍵）、422（fail-closed、reasons 付き）、500（pin した鍵で検証できない。署名なし）のどれかを返します。入口は src/server.js（handleSign）、設定は app_kms_config.json。利用側が用意するもの: signer の port（本番は Cloud KMS）と store の port（getLatest・commit。本番は Firestore）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-02", "category": "B/暗号・信頼", "kind": "Primitive", "title": "署名検証（pinned） — 署名検証（pinned）の部品（Primitive）", "summary": "署名検証（pinned）の部品（Primitive）は、bytes の上の署名を、使う側が固定した（pinned）公開鍵で手元で検証する単独の部品です。alg は Ed25519 と ES256 だけで、鍵は pinned（key_id → { alg, public_key_jwk }）からだけ取り、要求が鍵を持ち込むことはできません。verify は例外を投げずに { ok, errors } を返し、受け取れない値は決まったコードで止めます（fail-closed）。", "problem": "受領物が「本物か」を誰も確かめない、という困りごとに対して、出所・完全性を手元で検証します。そのとき、要求が持ち込んだ鍵で照合してしまうこと、alg を取り違えること、秘密鍵の JWK を pinned に入れた設定の誤り、Node.js の取り込みが受け取ってしまう正準でない符号化を、先に止めます。", "use_when": [ "受け取った bytes の署名を、使う側が決めて固定した（pinned）公開鍵だけで検証したいとき。", "alg が Ed25519（RFC 8032 の R||S）か ES256（P-256 の ECDSA・SHA-256、署名は IEEE P1363 の r||s の 64 bytes）の署名を検証したいとき。", "例外を投げない検証が要るとき。verify は { ok, errors } を返し、例外を投げず、入力を書き換えません。", "JSON の値の署名を検証したいとき。I-08 の部品で正準の bytes にしてから、この部品に渡します。", "時計・乱数・環境の locale に左右されず、外の境界・状態を持たない処理として、手元で呼びたいとき。依存パッケージはありません。" ], "do_not_use_when": [ "署名者が誰か（身元）を確かめたいとき。署名が正しいことは、pinned の鍵の持ち主がこの bytes に署名したことだけを示します。", "どの鍵を pin するか・鍵の更新と失効・key_id の割り当てを任せたいとき。これらはこの部品の外（使う側・trust の管理）で決めます。", "署名の bytes を一意の識別子に使いたいとき。ES256 の署名は malleable（(r, n - s) も正しい）で、low-S を強制しません。", "Ed25519・ES256 のほかの alg（EdDSA・ES384・RS256・none など）や、DER の形の ES256 署名、事前にハッシュした値を検証したいとき。", "JWS の全体（ヘッダー・payload の組み立て・base64url の区切り）を扱いたいとき。この部品は署名の bytes の検証だけを受け持ちます。", "Ed25519 の厳密さ（小さい位数の点・正準でない点・RFC 8032 と ZIP-215 などの違い）を自分の決まりで揃えたいとき。OpenSSL の実装に従い、小さい位数の点の公開鍵も断りません。", "Node.js v24.21.0 のほかの版（OpenSSL の版の違いを含む）で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "要求が素のオブジェクトでないとき NOT_A_REQUEST、alg・key_id・signature・bytes のほかのフィールド（鍵を持ち込む public_key_jwk・seed など）を持つとき UNKNOWN_FIELD で止めます。", "alg が \"Ed25519\" でも \"ES256\" でもないとき（大文字小文字の違い・none を含む）UNSUPPORTED_ALGORITHM、key_id が 1〜256 文字の文字列でないとき INVALID_KEY_ID で止めます。", "signature が正準の base64url でないとき（パディング・標準の base64 の文字・空白・余りの bit）MALFORMED_SIGNATURE、読むと 64 bytes でないとき（DER を含む）INVALID_SIGNATURE_LENGTH で止めます。", "bytes が Uint8Array でないとき（文字列・ほかの型付き配列・DataView・Proxy）、NOT_BYTES で止めます。", "pinned が素のオブジェクトでないとき INVALID_PINNED_SET、pinned のどこか（列挙しない項目を含む）に秘密のメンバーを持つ JWK があるとき、どの key_id でも PRIVATE_KEY_REFUSED で止めます。", "key_id が pinned の自分のメンバーに無いとき（__proto__ などのプロトタイプの名前を含む）UNKNOWN_KEY、pinned の項目・JWK の形が違うか曲線の上に無い点のとき INVALID_PINNED_KEY で止めます。", "要求の alg と pinned の alg が違うとき ALG_MISMATCH、bytes・署名・鍵のどれかが違うとき（Ed25519 の S + L を含む）SIGNATURE_INVALID を返します。", "入力を調べること自体が例外になるとき（getter・Proxy の罠など）、INSPECTION_FAILED を返し、例外を投げません。入力は一度だけ読み、取り込みにはこの関数が作り直した JWK を渡します。" ], "what_it_does_not_do": [ "鍵の配布・pin の決定・更新と失効（trust の管理）、JWS・manifest の組み立ては含みません。", "署名の作成はしません。秘密鍵を扱うのは KMS などの継手で、この部品は秘密のメンバーを持つ JWK を受け取りません。", "楕円曲線の計算は Node.js の crypto（OpenSSL）に任せ、独立には確かめていません。ファズのオラクルも同じ crypto を別の取り込み方で呼ぶだけです。", "RFC 8032 の例は 1 つ（例 1）だけで確かめ、ES256 は公開の既知の答えの代わりに、実行時に作った鍵の署名で確かめました。", "署名が正しいことは、署名者の身元・法的な受け入れ・権限・承認ではありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "ほかの部品・継手の中の署名の検証との互換は確かめていません。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の署名のライブラリの使い方の雛形ではありません。" ], "integration": "src/signature-verify.js の verify(request, pinned) を呼びます（投げません）。受け取るのは、alg・key_id・signature・bytes（Uint8Array）だけの素のオブジェクト request と、key_id → { alg, public_key_jwk }（公開の JWK だけ）の素のオブジェクト pinned です。返すのは { ok: true, errors: [] } か { ok: false, errors: [{ code }] }（code は error_taxonomy）。鍵は pinned で受け取り、取りに行きません。副作用（NONE）・状態・外の接続・資格情報は無く、利用側が用意するものはありません。依存は Node.js の組み込みの crypto と util だけです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-03", "category": "B/暗号・信頼", "kind": "Component", "title": "保管時暗号（envelope） — 保管時暗号（envelope）の部品（Component）", "summary": "保管時暗号（envelope）の部品（Component）は、データを封筒暗号にするために、KMS で DEK を作る・包んだ鍵をほどく継手（kms-envelope）と、手元で AES-256-GCM の封筒を作る・開く部品(Primitive)（envelope-encrypt）を束ねる部品です。KMS から受け取るのは handle と包んだ鍵の参照だけで、DEK は port の中の withDataKey から、同じプロセスの中で手元の seal・open にだけ渡ります。封筒の key_ref・包んだ鍵の参照・KMS の鍵が合わなければ KMS に送らず、暗号化の文脈が違えば開きません（fail-closed）。", "problem": "「暗号化されているはず」の裏で、平文の DEK が部品の結果や状態に残ること、包んだ鍵の参照や KMS の鍵の合わない封筒を KMS に送ってしまうこと、暗号化の文脈が違う封筒・改ざんされた封筒・違う aad の封筒を開いてしまうことを防ぎます。", "use_when": [ "データ（plaintext、Uint8Array）を、KMS で作らせた DEK で封筒にしたいとき（encrypt）。ports.kms に kms-envelope の継手のクライアント、ports.seal・open に envelope-encrypt の Primitive を注入します。", "平文の DEK を、KMS の port の外に出さずに使いたいとき。port の中の keyAccess.withDataKey(handle, fn) が DEK を fn に渡し、この部品は fn の外へ DEK を出しません。", "暗号化の文脈を object_ref と context_digest（64 桁の 16 進）に結び付け、違う文脈の封筒を開かないようにしたいとき。", "封筒・包んだ鍵（wrapped_key）・暗号化の文脈の digest をまとめて保管し、decrypt で開きたいとき。開く前に、封筒の key_ref と包んだ鍵の参照、KMS の鍵が合うかを確かめます。" ], "do_not_use_when": [ "暗号化できた・開けたことを、データを使ってよいこと・権限・承認として使いたいとき。暗号化はアクセス制御ではなく、どの結果にも approval: false・authorization: NOT_DERIVED が付きます。", "包んだ鍵・封筒の保管や鍵の回転も任せたいとき。保管は呼び出し側、鍵の回転は B-05 の継手の役目です。", "DEK がメモリーから確実に消えることを当てにしたいとき。DEK を port の中に閉じ込めること・ゼロで消すことは port の役目で、確かめていません。", "同じ入力から同じ封筒を作りたいとき。IV は Primitive が乱数で作るので、封筒は毎回違います。", "16 MiB を超える平文、64 KiB を超える aad を扱うとき。上限は Primitive のままです。", "本物の KMS で確かめた部品が要るとき。本物の KMS には一度も接続していません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "options が足りない・形が違う・参照が不正・port の関数が無いとき INVALID_OPTIONS、入力の形が違うとき（bytes でない・context_digest が 64 桁の 16 進でない・wrapped_key の形など）INVALID_INPUT、getter が例外を投げたとき INSPECTION_FAILED で止めます。", "封筒の key_ref と包んだ鍵の参照、または包んだ鍵の KMS の鍵と自分の kms_key_ref が合わないとき、KMS に送らずに WRAPPED_KEY_MISMATCH で止めます。", "暗号化の文脈が違うとき、KMS が見つければ CONTEXT_MISMATCH、継手が自分の記録から見つければ送らずに KMS_REFUSED で、開きません。", "封筒が改ざんされた・aad が違うなど Primitive の open が ok: true を返さないとき OPEN_REFUSED（認証の失敗を含む）、seal が ok: true を返さないとき SEAL_REFUSED で止めます。", "KMS の継手の結果が分からないとき KMS_UNKNOWN、送らなかったとき KMS_REFUSED、receipt を照合できず停止した・GENERATED に包んだ鍵の参照や版が無いとき KMS_HALTED、DENIED・KEY_DISABLED・FAILED など望んだ状態でないとき KMS_DENIED で止めます。", "handle が無い・継手が使えると true ちょうどで答えないとき HANDLE_NOT_USABLE、withDataKey が投げた・結果を返さない・32 bytes の DEK を渡さないとき KEY_ACCESS_FAILED で止めます。", "timestamp が date-time の文字列を返さない・投げたとき CLOCK_FAILED、前の操作が終わっていないとき BUSY で止めます（同時に 1 つの操作だけ）。", "開いた平文がその封筒を作った平文と同じであること、何かが違うのに開いた回が 0 であることを、別に書いた手本と突き合わせるファズで毎回確かめました（不一致と fail-open は 0）。" ], "what_it_does_not_do": [ "保管時暗号（envelope）の部品は継手ではありません。自分の Request/Receipt は無く、KMS とのやり取りは束ねた kms-envelope の継手が自分の契約（kms-envelope/v1）で行います。その要求はどれも intended_side_effect NONE で、この部品自身は外へ触れません。", "束ねた部品の意味（包めた・開けた ≠ 使ってよい）は、それぞれの部品の側に残ります。", "暗号化できた・開けたことは、承認でも権限でもありません（approval: false・authorization: NOT_DERIVED・plaintext_key_material: NOT_TRANSPORTED、derives_authority: false）。", "DEK も handle も持ち続けず、結果に鍵の中身は入りません。状態は通し番号だけで、再起動で消えます。", "包んだ鍵・封筒の保管、鍵の回転（B-05）、データを使ってよいかの判断はしません。DEK を port の中に閉じ込めること・期限やプロセスの終わりにゼロで消すことは port の役目で、確かめていません。", "本物の KMS には一度も接続していません。単体試験とファズは代役で、本物の 2 部品のコードとの結線は、DEK を中に持つ port の代役を相手に確かめました。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の KMS の使い方の雛形ではありません。" ], "integration": "src/envelope-encryption.js の createEnvelopeEncryption(options) で作ります。受け取るのは kms_key_ref・request_prefix・ports・任意の timestamp で、{ ok, errors, instance } を返します。encrypt は envelope・wrapped_key・encryption_context_digest を、decrypt は plaintext を返し、どの結果にも approval: false が付きます。利用側が用意する port は kms（kms-envelope の継手のクライアント）、keyAccess.withDataKey、seal・open（envelope-encrypt）です。副作用は NONE で、資格情報は port が持ちます。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-04", "category": "B/暗号・信頼", "kind": "Primitive", "title": "伝送時暗号（TLS/mTLS） — 伝送時暗号（TLS/mTLS）の構成検証の部品（Primitive）", "summary": "伝送時暗号（TLS/mTLS）の構成検証の部品（Primitive）は、TLS の構成のオブジェクトを、固定した profile（erabazu.primitive/tls-config/modern-2026/v1）の規則 R1〜R10 に照らして検める単独の部品です。TLS そのものはしません（接続しない・証明書を読まない）。規則に合わない値は、決まったコードと位置で止め、違反はすべて決まった順で返します（fail-closed）。", "problem": "「鍵マークだけ見て終わり」という困りごとに対して、TLS の構成そのものを版つきの規則で検めます。TLS 1.0/1.1・SSL、弱い cipher、相手の証明書やホスト名を確かめない設定、証明書や鍵の中身（PEM・base64 の塊）の混入を、黙って通しません。", "use_when": [ "TLS の構成（min_version・max_version・ciphers_tls12・reject_unauthorized・verify_hostname・ca_refs・client_auth・alpn）を、使う前に規則 R1〜R10 で検めたいとき。", "TLS 1.2 を許す構成で、cipher を ECDHE の AEAD 6 つの名前の一覧（allowlist）だけに限りたいとき。", "mTLS のサーバー側の設定として、相手の証明書を求めるとき（client_auth.required が true）に、信頼の起点の参照（client_auth.ca_refs）が揃っているかを検めたいとき。", "違反を 1 つずつでなく、すべて決まった順（R1 → … → R10）で、コードと位置（JSON Pointer）付きで受け取りたいとき。", "時計・乱数・環境の locale・外の状態に左右されず、外の境界を持たない処理として手元で呼びたいとき。verify は例外を投げず、入力を書き換えません。" ], "do_not_use_when": [ "経路の暗号化・相互認証そのもの（TLS の接続）をしてほしいとき。この部品は構成を検めるだけで、接続しません。", "証明書そのもの（期限・鍵の長さ・署名のアルゴリズム・鎖）、失効（CRL・OCSP）、相手の名前の一致を確かめたいとき。", "証明書の発行・更新や、構成をサーバー・ロードバランサー・クラウドの設定に当てはめることを求めるとき。発行・更新は B-09、当てはめは継手の側に残ります。", "OpenSSL の cipher 文字列（: で区切る・! で除く・HIGH などのまとまり）をそのまま検めたいとき。受け取るのは cipher の名前の配列だけです。", "TLS 1.3 の cipher suite・鍵交換のグループ（曲線）・署名のアルゴリズム・セッションの再開・0-RTT を決めたいとき。profile では決めていません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "構成が素のオブジェクトでないとき NOT_A_CONFIG、決めていないキー（__proto__ を含む）があるとき UNKNOWN_KEY、必須のキーが無いとき（値が undefined を含む）MISSING_KEY で止めます。", "SSLv2・SSLv3・TLSv1・TLSv1.1 のとき VERSION_TOO_OLD、ほかの正しくない版の値のとき INVALID_VERSION、max_version が min_version より下のとき VERSION_RANGE_INVERTED で止めます。", "TLS 1.2 を許すのに ciphers_tls12 が無いとき CIPHERS_REQUIRED、空の配列や cipher 文字列のとき INVALID_CIPHER_LIST で止めます。", "許した 6 つのほかの cipher（CBC・RC4・3DES・NULL・anon・export・静的 RSA・DHE・TLS 1.3 の名前・大文字小文字や空白の違い・配列の穴）のとき、CIPHER_NOT_ALLOWED で止めます。", "reject_unauthorized が true でないとき REJECT_UNAUTHORIZED_REQUIRED、verify_hostname が true でないとき VERIFY_HOSTNAME_REQUIRED で止めます（\"true\"・1 も違反です）。", "ca_refs が空のとき INVALID_CA_REFS、参照に PEM の印があるとき CA_REF_LOOKS_LIKE_PEM、128 文字超えや + = 改行を含むとき CA_REF_LOOKS_LIKE_BLOB、決めた文字の並びでないとき INVALID_CA_REF で止めます。", "client_auth の形が違うとき INVALID_CLIENT_AUTH、required が true なのに client_auth.ca_refs が無いか空のとき CLIENT_CA_REFS_REQUIRED、alpn が空のとき INVALID_ALPN、id が表示できる ASCII でないとき INVALID_ALPN_ID で止めます。", "値を調べること自体が例外になるとき（Proxy の罠・例外を投げる getter）、INSPECTION_FAILED を返し、例外を投げません。getter は値ごとに 1 回だけ読み、その写しで検めます。" ], "what_it_does_not_do": [ "経路の暗号化・相互認証を名前に持つ項目ですが、この部品は TLS の構成を検めるだけで、TLS の接続・証明書の読み込みは含みません。構成が規則に合うことは、接続を確かめたことではありません。", "証明書そのもの（期限・鍵の長さ・署名のアルゴリズム・鎖）、失効（CRL・OCSP）、相手の名前の一致は確かめません。", "実行環境（Node.js・OpenSSL・ロードバランサーなど）がこの構成を本当に守るか、名前の書き方を受け取るかは確かめていません（tls に渡していません）。", "ca_refs の参照が何を指すか・解決できるかは確かめません。見た目の検めなので、128 文字以内で決めた文字の並びに合う文字列は参照として受け取ります。", "許す cipher の一覧は 2026-09-30 の判断です。後で弱くなった場合は profile の版を上げて直します。", "構成が規則に合うことは、受け入れてよいことではありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のサーバーやクラウドの TLS 設定の雛形ではありません。" ], "integration": "src/tls-config.js の verify(config) を呼びます（投げません）。受け取るのは、min_version・max_version・ciphers_tls12・reject_unauthorized・verify_hostname・ca_refs・client_auth・alpn の 8 つのキーだけの素のオブジェクトです。返すのは { ok: true, errors: [] } か { ok: false, errors: [{ code, path }, ...] }（code は error_taxonomy、path は JSON Pointer。違反は規則の順にすべて並ぶ）。実際の設定の文字列にするのは使う側です。副作用（NONE）・状態・外の接続・資格情報は無く、利用側が用意するものはありません。依存は Node.js の組み込みだけです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-05", "category": "B/暗号・信頼", "kind": "Tsugite", "title": "鍵管理・回転 — 鍵管理・回転の継手（Tsugite）", "summary": "鍵管理・回転の継手（Tsugite）は、外の KMS・HSM へ鍵の操作（鍵を作る・新しい版を作る＝回転・primary を替える・版を無効にする・有効に戻す・破棄を予約する・予約を取り消す・様子を見る）の要求（KeyLifecycleRequest）を検めてから運び、返った receipt（KeyLifecycleReceipt）を契約どおりに照合する継手（つぎて）です。鍵の中身は運びません。検めが一つでも外れれば、送らず、受理しません（fail-closed）。", "problem": "鍵の版の無効化や破棄の予約を、人・組織の権限の証拠なしに送ってしまうこと、ENABLED でない版を primary にしてしまうこと、短すぎる猶予で破棄を予約してしまうこと、そして鍵の操作が通ったことを鍵を使う許可と取り違えることを防ぎます。", "use_when": [ "外の KMS・HSM で鍵を作り、新しい版を作って（回転）primary を替える操作を、契約どおりに検めてから運びたいとき。", "版の無効化と破棄の予約を、その鍵・版・op に結ばれた人・組織の権限の証拠を受け取ったときだけ送りたいとき。証拠は 1 回の変更で使い切ります。", "破棄を、すぐにではなく猶予（1 日以上、設定の下限以上）を置いた予約としてだけ行い、CANCEL_DESTROY で DISABLED に戻せるようにしたいとき。", "primary にする版を、この継手が ENABLED と照合した版だけに限りたいとき。" ], "do_not_use_when": [ "鍵をすぐに破棄したいとき。すぐに破棄する op は契約にありません。", "回転の方針（いつ回すか・何世代残すか）を検めたいとき。これは手元の Primitive の役目で、この継手には入っていません。rotation_policy_ref は運ぶだけです。", "鍵を使って暗号化・署名したいとき。暗号化は KMS envelope の継手（B-03 では部品(Component) がこれを束ねます）、署名は B-01 KMS 署名の継手の役目です。", "鍵の中身（公開鍵を含む）を受け渡したいとき。この継手は鍵の中身を運ばず、公開鍵も参照だけです。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える KMS・HSM への接続がほしいとき。実の KMS・HSM には一度も接続しておらず、port の実装・資格情報・設定の値は接続するときに別の関門で決めます。" ], "what_it_checks": [ "設定を検めます。設定が無い、一覧に無い KMS・鍵の仕様、下限（min_destroy_window_seconds）の無い破棄の予約、下限や 1 日より短い猶予は送りません。", "権限の証拠を検めます。証拠の欄が無い、証拠を受け取っていない、出どころが違う（HUMAN・ORGANIZATION でないものを含む）、ほかの鍵・版・op の subject digest、使い切った証拠では、無効化・破棄の予約を送りません。", "primary の替え先を検めます。知らない版・ENABLED でない版、食い違う版の記録があれば SET_PRIMARY_VERSION を送りません。", "参照と要求の形を検めます。ドライブ・..・制御文字・行区切り・空白や PEM を含む参照、Ref でない request_id、契約に無い op（DESTROY を含む）、op が使わない欄、op ごとの必須の欄の欠けは送りません。", "receipt を照合します。request_digest の偽り、別の request_id・KMS・鍵・版、op の食い違い、表の外の状態、効果を増やす・不明な効果、断ったのに効果がある receipt は受理せず、停止します（HALTED）。", "鍵の中身・公開鍵そのものを載せた receipt、鍵を使う許可（authorization）を導いた receipt は受理しません。", "破棄の時刻を検めます。猶予より手前・過去の破棄の時刻、時刻の無い予約、DESTROY_SCHEDULED でないのに時刻がある receipt、DISABLED に戻らない CANCEL_DESTROY は受理しません。", "結果の分からない送信は同じ要求の再送（lookup）で解き、解けるまでほかは送りません。同じ request_id で別の中身の要求は送りません。" ], "what_it_does_not_do": [ "権限の証拠を作りません。版の無効化と破棄の予約には、部品の外の人・組織の証拠が入力として要ります（HUMAN_OR_ORGANIZATION_EVIDENCE_FOR_KEY_DISABLE_AND_DESTROY）。証拠の中身（誰が出したか・期限・本物か）も読みません。", "鍵の操作が通っても、鍵を使う許可でも業務の承認でもありません（authorization は NOT_DERIVED、approval: false）。", "鍵の中身を保管しません。この継手は鍵の操作の要求を運ぶ継手で、鍵の中身は運ばず・持たず、回転の方針を決める機能も含みません。", "KMS 側の破棄の猶予が要求より短いか、予約どおりに破棄されたか、取り消しが効いたかは、KMS の答え（DESCRIBE）でしか知りません。", "参照の欄が鍵の中身でないことは、形でしか確かめられません。短い符号化された鍵の文字列を参照と見分けることはできません。", "版の状態の記録はこの継手の中だけにあり、再起動で消えます。ほかの者が KMS で版の状態を変えると記録は古くなります。資格情報は port 側が持ちます（HELD_BY_PORT）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。契約も変えません（schema authority は NOT_SPECIFIED）。", "特定のクラウド KMS・HSM の鍵管理 API の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/key-lifecycle/v1 でつなぎます。createKeyLifecycleClient({ cfg, port }) の submit(request) に KeyLifecycleRequest を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED を返します（どれも approval: false）。無効化・破棄の予約の前に recordAuthorityEvidence で証拠を渡します。利用側が用意するもの: KMS・HSM への port（submit、任意で lookup）。副作用: 破棄の予約は EXTERNAL_IRREVERSIBLE、DESCRIBE は NONE、ほかは EXTERNAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-06", "category": "B/暗号・信頼", "kind": "Tsugite", "title": "信頼タイムスタンプ（RFC3161） — タイムスタンプ継手（Tsugite）", "summary": "タイムスタンプ継手（Tsugite）は、時刻認証局（TSA）から返った時刻トークンの欄を、こちらが頼んだ内容（ハッシュ・nonce）と pin した TSA・時刻のずれ・精度の上限に照らして検め、一つでも合わなければ信頼しない継手（つぎて）です（fail-closed）。RFC 3161 の DER の解析はせず、署名の検証は 6 つの欄の JSON に対して行います。", "problem": "契約や検査で「いつ存在したか」を示すとき、別のハッシュに差し替えられた時刻トークン、使い回し（リプレイ）されたトークン、pin していない TSA のトークン、ずれや精度が大きすぎる時刻を、そのまま信じてしまうことを防ぎます。返ってきた時刻を検めてから来歴へ継ぐための検めです。", "use_when": [ "TSA から受け取った時刻トークンが、こちらの送ったハッシュ（message_imprint）と nonce に一致するかを必ず確かめたいとき。", "使う TSA を pin し、時刻のずれ（max_skew_seconds）と精度（max_accuracy_seconds）の上限を決めて検めたいとき。", "トークンの欄の署名を、pin した公開鍵（PEM）で検証したいとき（署名は DER 形式・sha256）。", "「いつ存在したか」を来歴の核（provenance-facts）へ継ぎたいとき。" ], "do_not_use_when": [ "TSA が返す RFC 3161 の DER（ASN.1）形式のトークンを、そのまま渡して検めたいとき。この継手は DER を解析しません。トークンは 6 つの欄を取り出した形で渡す必要があり、署名の検証の対象も、その 6 つの欄の JSON です。", "TSA へのタイムスタンプの依頼や、TSA の証明書の取得・pin までまかせたいとき。TSA への通信は含みません（port は無し）。", "時刻トークンを発行したいとき。src/tsa.js の signToken は試験用の TSA の代役で、本物の TSA ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "imprint を検めます。トークンの message_imprint が、こちらの送ったハッシュと一致しなければ（差し替え）信頼しません。", "nonce を検めます。こちらの nonce がそのまま返っていなければ（リプレイ）信頼しません。", "TSA を検めます。pin していない TSA（tsa_id）のトークンは信頼しません。", "時刻を検めます。基準の時刻とのずれが上限を超えるもの、精度（accuracy_seconds）が上限を超えるもの、gen_time が整数でないものは信頼しません。", "ハッシュのアルゴリズムを検めます。採択していないアルゴリズムは信頼しません。", "署名を検めます。verifyToken は、渡された signature_valid が真でなければ信頼しません。verifyTokenSignature は、改ざんされたトークンや別の鍵の署名を、pin した公開鍵で検証できないものとして偽を返します。" ], "what_it_does_not_do": [ "RFC 3161 の DER（ASN.1）形式の解析はしません。署名の対象は、トークンの 6 つの欄（message_imprint・hash_algo・tsa_id・nonce・gen_time・accuracy_seconds）の JSON です。", "実 TSA への通信と、TSA の証明書の取得・pin はしません。配備のときに決めます。", "verifyToken は署名そのものを検証しません。signature_valid（真偽値）を受け取って判定します。署名の検証は verifyTokenSignature で別に行います。", "試験では ECDSA P-256 の鍵と試験用の TSA の代役（signToken）を使っています。実 TSA は叩いていません。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "TSA API の使い方の雛形ではありません。" ], "integration": "src/guards.js の verifyToken(cfg, request, token, refTime) に、request { hash, nonce, hash_algo }、token { message_imprint, hash_algo, tsa_id, nonce, gen_time, accuracy_seconds, signature_valid }、基準の時刻（秒）を渡すと { ok, errors } を返します。src/tsa.js の verifyTokenSignature(pinnedPubPem, fields, derSignature) は 6 つの欄の署名を検証し真偽値を返します。含まないもの: RFC 3161 の DER の解析、TSA への通信、TSA の証明書の取得と pin（配備のときに決めます）。port は無し。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-07", "category": "B/暗号・信頼", "kind": "Primitive", "title": "ハッシュ・内容アドレス — ハッシュ・内容アドレスの部品（Primitive）", "summary": "ハッシュ・内容アドレスの部品（Primitive）は、bytes の sha256、契約で使う型つきの digest（domain・algorithm・value・target）、内容アドレス（sha256:）を作り、照合する単独の部品です。受け取るのは bytes だけです。照合は形・アルゴリズム・値（定数時間の比較）・期待した domain と target を検め、{ ok, errors } を返して例外を投げません（fail-closed）。", "problem": "provenance・reconcile の土台として内容から一意の指紋を作り、照合するときに、bytes と文字列を取り違えること、形の違う digest や別のアルゴリズムを受け取ってしまうこと、domain・target を取り違えて照合してしまうことを防ぎます。", "use_when": [ "bytes から sha256（小文字 64 桁の hex）や内容アドレス（sha256:）を作りたいとき。", "契約で使う型つきの digest（{ domain, algorithm: \"sha256\", value, target }）を作り、照合したいとき。domain と target は名札で、ハッシュには混ぜません。", "digest を bytes と照合するときに、期待した domain・target を渡して取り違えを止めたいとき。", "例外を投げない照合が要るとき。verifyDigest と parseContentAddress は { ok, errors } を返し、例外を投げません。", "JSON の値の digest を取りたいとき。I-08 の部品で正準の bytes にしてから、この部品に渡します。", "時計・乱数・環境の locale に左右されず、外の境界・状態を持たない処理として、手元で呼びたいとき。" ], "do_not_use_when": [ "文字列をそのまま渡したいとき。この部品は文字列を受け取りません（NOT_BYTES）。文字列は、使う側が決まった文字コード（UTF-8 など）で bytes にしてから渡します。", "digest の一致で、出どころを証明したいとき。一致は出どころの証明ではありません。署名の検証は B-02 です。", "sha256 のほかのアルゴリズムが要るとき。", "bytes の大きさの上限が要るとき。上限は持たず、大きさの上限は I-06 の部品か使う側で決めます。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "bytes（Uint8Array）でないとき（文字列・数・配列・ArrayBuffer・ほかの型付き配列）、NOT_BYTES で止めます。", "domain の形が違うとき INVALID_DOMAIN、target が空・文字列でない・1024 文字を超えるとき INVALID_TARGET で止めます。", "digest が 4 つのキーだけのオブジェクトでないとき（キーの余り・欠け・digest が無い）、NOT_A_DIGEST で止めます。", "algorithm が sha256 でないとき UNSUPPORTED_ALGORITHM、value が小文字 64 桁の hex でないとき（大文字・長さ違い）MALFORMED_VALUE で止めます。", "bytes の sha256 が value と違うとき、定数時間の比較（crypto.timingSafeEqual）で VALUE_MISMATCH を返します。", "期待した domain・target と違うとき DOMAIN_MISMATCH・TARGET_MISMATCH、expect がオブジェクトでないとき INVALID_EXPECTATION で止めます。", "内容アドレスが sha256:<小文字 64 桁の hex> でないとき、MALFORMED_CONTENT_ADDRESS で止めます。" ], "what_it_does_not_do": [ "文字列の bytes 化・JSON の正準化はしません。文字列は使う側が bytes にし、JSON の値は I-08 の部品で正準の bytes にしてから渡します。", "digest の一致は出どころの証明ではありません。署名の検証（B-02）や鍵の管理は含みません。", "digest が一致したことは、中身が正しいことでも、受け入れてよいことでもありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "sha256 のほかのアルゴリズムは扱いません。", "継手の中にある digests.js の写し（19 個）を、まだこの部品に置き換えていません。bytes では写しの sha256hex と byte 単位で同じ値ですが、写しは文字列も受け取って UTF-8 としてハッシュし、この部品は bytes だけを受け取ります。置き換えは互換表を確かめた後の別の作業です。", "要求の正準化＋sha256（requestDigestValue）と、どのフィールドを digest に入れるかは決めません。使う側（各継手・契約）に残ります。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のハッシュのライブラリの使い方の雛形ではありません。" ], "integration": "src/digest.js の verifyDigest(digest, bytes, expect) を呼びます（投げません）。受け取るのは、4 つのキーだけの digest、bytes（Uint8Array。Buffer を含む）、任意の expect（{ domain, target }）です。返すのは { ok: true, errors: [] } か { ok: false, errors: [{ code }] }（code は error_taxonomy）。sha256Hex・digest・contentAddress は受け取れない値で DigestError を投げ、parseContentAddress は投げません。副作用（NONE）・状態・外の接続・資格情報は無く、利用側が用意するものはありません。依存は Node.js の組み込みの crypto だけです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-08", "category": "B/暗号・信頼", "kind": "Primitive", "title": "乱数・nonce（CSPRNG） — 乱数・nonce の部品（Primitive）", "summary": "乱数・nonce の部品（Primitive）は、OS の CSPRNG（Node.js の crypto.randomBytes）の上の薄い包みです。randomBytes(n)（1〜1024 bytes）、nonce（hex か base64url）、randomInt(maxExclusive)（1〜2^48 の範囲で一様）を作ります。受け持つのは引数の検め・出力の形・randomInt の棄却法だけで、乱数の質そのものは OS と Node.js の crypto に任せます。", "problem": "「弱いと全部崩れる裏方」である乱数の作り方を固定します。出どころを OS の CSPRNG に固定して差し替えられないようにし、使う側の seed を受け取らず、長さ・符号化・範囲を検め、randomInt は x mod m の偏りを作らない棄却法で一様にします。出どころが失敗したときは値を作らずに止めます（fail-closed）。", "use_when": [ "OS の CSPRNG から、決まった長さ（1〜1024 bytes）の bytes を引きたいとき。", "nonce を小文字の hex か、パディングなしの base64url（RFC 4648 の URL と名前に安全な字母）の文字列で作りたいとき。", "0 以上 max_exclusive 未満の整数を、1〜2^48 の範囲（2^48 を含む）で偏りなく作りたいとき。", "使う側の seed が混じらないことを入口で守りたいとき。seed のフィールドは UNKNOWN_FIELD で断ります。", "例外を投げない呼び方が要るとき。generate(request) は { ok, errors, value } を返し、例外を投げません。" ], "do_not_use_when": [ "乱数の質（予測できないこと・偏りのなさ）の確かめを求めるとき。この部品は確かめておらず、OS と Node.js の crypto.randomBytes に任せています。", "用途に足りる長さの判断を任せたいとき。長さは使う側が決め、1 byte の nonce も受け取ります。", "再現できる（決定的な）値が要るとき。値は呼ぶたびに OS の CSPRNG から引き、再現できません（設計どおり）。", "1 回に 1024 bytes を超える bytes や、2^48 を超える範囲の整数、bigint・文字列の数を扱いたいとき。", "fork したプロセス・仮想マシンの複製などで使うとき。そこでの OS の CSPRNG の振る舞いは確かめていません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "要求が素のオブジェクトでないとき（配列・Map・クラスのインスタンスなど）、NOT_A_REQUEST で止めます。", "kind が \"bytes\"・\"nonce\"・\"int\" のどれでもないとき（プロトタイプの名前を含む）UNKNOWN_KIND、決まったフィールドのほか（seed を含む）を持つとき UNKNOWN_FIELD で止めます。", "length・bytes が 1〜1024 の整数（number）でないとき（0・1024 超え・小数・文字列・bigint）、INVALID_LENGTH で止めます。", "encoding が \"hex\" でも \"base64url\" でもないとき INVALID_ENCODING、max_exclusive が 1〜2^48 の整数（number）でないとき INVALID_BOUND で止めます。", "乱数の出どころが投げた・長さの違う値や bytes でない値を返したとき、または randomInt で 64 回続けて捨てたとき、値を作らず ENTROPY_UNAVAILABLE で止めます。", "要求を調べること自体が例外になるとき（getter・Proxy の罠など）、generate は INSPECTION_FAILED を返します。フィールドは一度だけ読み、検めた値だけを使います。" ], "what_it_does_not_do": [ "「予測不能な値の生成」を名前に持つ項目ですが、この部品は乱数の質（予測できないこと・偏りのなさ）を確かめていません。OS と Node.js の crypto.randomBytes に任せています。統計の試験は大きな偏りを見る煙の試験で、NIST SP 800-22 などの正式な統計試験ではありません。", "どの用途に何 bytes 使うか（nonce の一意性・トークンの強さ）は判断しません。使う側が決めます。", "出どころの失敗（ENTROPY_UNAVAILABLE）は、差し替えた出どころで確かめました。実際の OS の CSPRNG を失敗させては確かめていません。", "使う側の seed や、出どころを差し替える手段は受け取りません。公開の入口の module.exports は凍結してあり、内部の makeRandom は出していません。", "値ができたことは、使う側の目的に長さが足りることでも、乱数の質が正式な試験で確かめられたことでもありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の乱数のライブラリの使い方の雛形ではありません。" ], "integration": "src/random.js の generate(request) を呼びます（投げません）。受け取るのは { kind: \"bytes\", length }・{ kind: \"nonce\", bytes, encoding }・{ kind: \"int\", max_exclusive } のどれかです。返すのは { ok: true, errors: [], value }（Buffer・文字列・整数）か { ok: false, errors: [{ code }] }（code は error_taxonomy）。randomBytes・nonce・randomInt は受け取れないとき RandomError を投げます。副作用（NONE）・状態・外の接続・資格情報は無く、利用側が用意するものはありません。依存は Node.js の組み込みの crypto と util だけです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-09", "category": "B/暗号・信頼", "kind": "Tsugite", "title": "証明書発行・更新（ACME） — 証明書の発行・更新（ACME）の継手（Tsugite）", "summary": "証明書の発行・更新（ACME）の継手（Tsugite）は、ACME（RFC 8555）の認証局へ、注文（NEW_ORDER。更新は renewal_of_ref つきの新しい注文）・challenge の一覧・応答の準備ができたことの知らせ・注文の状態の確かめ・発行の依頼（FINALIZE）・証明書の取り出しの要求（AcmeRequest）を検めてから運び、返った receipt（AcmeReceipt）を照合する継手（つぎて）です。発行できたことを、名前の正当な所有や信頼として扱いません（fail-closed）。", "problem": "取り消せない発行（FINALIZE）を、注文と名前の合わない CSR や、人・組織の根拠なしに依頼してしまうこと、そして名前や公開鍵の違う証明書を受け取ったまま使ってしまうことを防ぎます。発行は Certificate Transparency に公に記録されるため、送る前と受け取った後の両方で検めます。", "use_when": [ "TLS 証明書を ACME の認証局から取得し、更新（renewal_of_ref つきの新しい注文）するときの要求を、契約どおりに検めてから運びたいとき。", "発行の依頼を、この directory・注文・CSR・名前の主体（authority_subject_digest）に結ばれた人・組織の根拠を受け取ったときだけ送りたいとき。", "CSR の名前が注文の名前とちょうど同じで、CSR の中身と公開鍵の sha256 が要求の digest と同じことを確かめてから発行を依頼したいとき。", "取り出した証明書の名前と公開鍵を、連鎖を読み戻して注文・CSR と照合してから受け取りたいとき。" ], "do_not_use_when": [ "証明書を失効させたいとき。失効（REVOKE）は v1 の契約に無く、別の判断が要ります。", "challenge の応答（HTTP のファイル・DNS の記録）を置きたいとき。それは別の port の役目で、この継手は challenge の参照と digest を返すだけです。", "更新の時期や期限切れを判断させたいとき。この継手は有効期間の形と前後を検めるだけで、その判断はしません。", "TLS の構成を検めたいとき。それは手元の Primitive（B-04）の役目です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える認証局への接続がほしいとき。実の認証局には一度も接続しておらず、port の実装・account 鍵の結び付け（JWS の署名）・nonce・設定の値は接続するときに別の関門で決めます。" ], "what_it_checks": [ "設定を検めます。設定が無い・一覧が空、一覧に無い directory・account 鍵・名前、名前を覆わないワイルドカード、DNS でない・大文字・重なる・空・昇順でない名前の注文は送りません。", "発行の根拠を検めます。根拠を受け取っていない、出どころが違う（HUMAN・ORGANIZATION でないものを含む）、別の注文・CSR・名前・名前の順に結ばれた根拠では、FINALIZE を送りません。", "CSR を検めます。CSR を読めない、中身や公開鍵の sha256 が digest と違う、名前の欠け・余り・違い、注文の外の CN、SAN や extensionRequest が二つある CSR では、FINALIZE を送りません。", "注文の順番を検めます。知らない注文、directory や account 鍵の変わった注文、pending でない注文・challenge への知らせ、ready でない注文の FINALIZE、valid でない・この継手が FINALIZE していない注文の取り出しは送りません。", "参照と要求の形を検めます。..・ドライブ・制御文字・行区切りを含む参照、空白を含む account 鍵の参照、account 鍵の秘密鍵の欄、REVOKE、ほかの op の欄、Ref でない request_id は送りません。", "receipt を照合します。request_digest の偽り、別の op・directory・注文、名前の所有や信頼を導いた receipt、効果を増やす・小さく言う・不明な効果、注文や challenge の状態の後戻りは受理せず、停止します（HALTED）。", "証明書を照合します。leaf_names の欠け・余り・違い、CSR と違う公開鍵、連鎖を読み戻せない・sha256 が違う、有効期間の違い、名乗りと読み戻した leaf の食い違いがあれば、照合済みにしません。", "DER の読み取りで、最小でない長さ・高いタグ番号・後ろに余るバイトを受け付けません。" ], "what_it_does_not_do": [ "発行の根拠を作りません。FINALIZE には、部品の外の人・組織の根拠が入力として要ります（HUMAN_OR_ORGANIZATION_EVIDENCE_FOR_CERTIFICATE_ISSUANCE）。根拠の記録が本当に人・組織から来たかも確かめません。", "発行できた・取り出せたことは、名前の正当な所有でも信頼でもありません（name_ownership・trust_decision は NOT_DERIVED、approval: false）。ドメインを持っていることは確かめません。", "証明書の自動の取得・更新を自分で回しません。この継手は ACME の要求を運ぶ継手で、更新の時期の判断、challenge の応答を置くこと、失効（REVOKE）の機能は含みません。", "CSR の自己署名と、証明書の署名・連鎖・失効・信頼は検めません。leaf は連鎖の先頭の証明書とみなします。", "CSR と証明書は、要る DER だけを読む小さな読み取りで、試験は手元で組み立てた P-256 の CSR と証明書だけです。実の認証局が出した証明書では確かめていません。認証局が公開鍵の書き方を変えると、同じ鍵でも照合済みになりません。", "注文の状態と受け取った根拠はこの継手の中だけにあり、再起動で消えます。名前は小文字の ASCII だけを扱います。account 鍵などの資格情報は port 側が持ちます（HELD_BY_PORT）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。契約も変えません（schema authority は NOT_SPECIFIED）。", "特定の認証局の ACME クライアントの雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/acme-certificate/v1 でつなぎます。createAcmeClient({ cfg, port }) の submit(request, csr) に AcmeRequest を渡すと（csr は FINALIZE のときだけ）、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED を返します（どれも approval: false）。FINALIZE の前に recordAuthorityEvidence で根拠を渡します。利用側が用意するもの: 認証局への port（submit・readChain、任意で lookup）。副作用: FINALIZE は EXTERNAL_IRREVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-11", "category": "B/暗号・信頼", "kind": "Primitive", "title": "Merkle 木（根・包含証明） — Merkle 木（根・包含証明）の部品（Primitive）", "summary": "Merkle 木（根・包含証明）の部品（Primitive）は、bytes の葉の並びから、RFC 9162 の 2.1 節（Certificate Transparency v2）の Merkle Tree Hash（SHA-256）で根を作り、包含証明と一貫性証明を作って検める単独の部品です。どの操作も投げずに { ok, errors } を返し、形の悪い入力は決まったコードで止め、照合の不一致は verified: false（エラーではない）で返します。", "problem": "「束ねて署名した」の中身を、後から照らす土台になります。束ねた木の根に署名しておけば、ある葉が含まれていることを包含証明で部分的に確かめられ、追記した後の木が前の木を先頭に持つことを一貫性証明で確かめられます。葉と節の前置き（0x00・0x01）で、葉と節を取り違えた偽の葉を防ぎます。", "use_when": [ "bytes の葉の並びから、RFC 9162 の木の根（小文字 64 桁の hex）を作りたいとき（merkleRoot）。", "ある葉が根に含まれることを示す包含証明（audit_path）を作り、検めたいとき（inclusionProof・verifyInclusion）。", "追記で大きくなる記録について、古い木が新しい木の先頭であることを示す一貫性証明を作り、検めたいとき（consistencyProof・verifyConsistency）。", "照合の不一致（証明・葉・番号・根の取り違え、足りない・余る証明）を、例外ではなく verified: false で受け取りたいとき。", "時計・乱数・外の接続を持たない、決定的な処理として手元で呼びたいとき。依存パッケージはありません。" ], "do_not_use_when": [ "透明性ログが要るとき。この部品は木を保存・追記せず、署名つきの木の頭（STH）・ログの監視・gossip・ログの ID を扱いません。", "証明だけで大きいほうの木の大きさを決めたいとき。証明の通り道で形が同じ別の大きさでも true になることがあります。大きさと根は、署名された記録から取ってください。", "SHA-256 のほかのハッシュが要るとき、または 1,048,576 葉より大きな木・ログの証明を検めたいとき（BAD_SIZE）。", "old_size が 0 の一貫性や、大きさの同じ木（old_size = new_size）の一貫性を確かめたいとき。BAD_SIZE で止めます。同じ大きさなら、使う側が根を直接比べます。", "奇数のときに右端を複製する形（Bitcoin 型）の木が要るとき。この部品は複製せず、右端をそのまま上の段へ上げます。", "大きな木で証明を何度も作る使い方の速さが要るとき。証明を作るたびに渡された葉から木を作り直し（O(n)）、その速さは測っていません。葉の合計の bytes の上限も持たず、メモリーと時間は呼ぶ側の持ち分です。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "leaves が配列でない、要素が bytes（Uint8Array）でない（穴・getter・ほかの型付き配列・ArrayBuffer・DataView・Proxy で包んだ bytes を含む）、引数がオブジェクトでないとき、NOT_BYTES_LIST で止めます。", "葉が 1,048,576 個を超えるときは要素を読む前に TOO_MANY_LEAVES、葉 1 つが 64 MiB を超えるときはハッシュの前に LEAF_TOO_LARGE で止めます。", "index・leaf_index が整数でない・負・木の大きさ以上のとき、INDEX_OUT_OF_RANGE で止めます。verifyInclusion でも、照合の失敗ではなくエラーとする厳しいほうの読みです。", "tree_size が 1〜1,048,576 の整数でないとき、old_size・new_size が 0 < old_size < new_size ≤ 1,048,576 の整数でないとき、BAD_SIZE で止めます。", "root・old_root・new_root と証明の要素が小文字 64 桁の hex の文字列でないとき BAD_HEX、audit_path・proof が配列でないとき BAD_PROOF_SHAPE で止めます。", "証明の要素の書き換え・抜け・追加・入れ替え、葉・番号・根の取り違えは通しません（verified: false）。作った証明は、同じ根と大きさで必ず true になります。", "止めるときは、決まった順で最初に見つけた 1 つのコードだけを返します。getter を呼ばず、調べると例外になる値（Proxy の罠など）でも投げません。" ], "what_it_does_not_do": [ "署名はしません（根への署名は B-12）。時刻の証明もしません（B-06）。根が誰のものか・いつのものかは言いません。", "verified: true は、SHA-256 の衝突が無い限り、渡された葉が渡された根と大きさの木に含まれる（または古い木が新しい木の先頭である）と言えるというだけです。根が正しいこと、中身が正しいこと、受け入れてよいことは示しません。", "木・証明・記録を保存しません。呼び出しの間に状態を持たず、記録の保存と追記の管理は使う側（H-11 など）に残ります。", "比較は定数時間ではありません（根と証明は秘密ではない前提）。強さは SHA-256 の衝突・原像の困難さに頼ります。", "certificate-transparency の試験の 1〜8 葉の根は試験に書き写した値で、元のファイルを取り寄せて照合してはいません（定義から手で組んだ値と一致することで確かめました）。", "根・証明・照合の結果は、承認ではありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の透明性ログ（CT のログ・Trillian など）の雛形ではありません。" ], "integration": "src/merkle.js の merkleRoot・inclusionProof・verifyInclusion・consistencyProof・verifyConsistency を呼びます（どれも投げません）。引数は leaves・index・leaf・leaf_index・tree_size・audit_path・root・old_size・new_size・old_root・new_root・proof を持つオブジェクトで、葉は Uint8Array、根と証明の要素は小文字 64 桁の hex です。返すのは { ok: true, errors: [], ... } か { ok: false, errors: [{ code }] }。副作用・状態・外の接続・資格情報は無く、利用側が用意する port はありません。依存は Node.js の組み込みだけです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-12", "category": "B/暗号・信頼", "kind": "Primitive", "title": "手元の鍵での署名（Ed25519） — 手元の鍵での署名（Ed25519）の部品（Primitive）", "summary": "手元の鍵での署名（Ed25519）の部品（Primitive）は、呼ぶ側が持つ Ed25519 の秘密鍵（Node.js の KeyObject）で bytes に署名し、署名（詰め物なしの base64url）と、導いた公開鍵の SPKI DER の sha256（指紋）を返す単独の部品です。秘密鍵は KeyObject でだけ受け取り、書き出さず・保管せず・返しません。どの操作も投げずに { ok, errors } で返します（fail-closed）。", "problem": "記録への署名の裏で、鍵をどう扱うかは見えません。この部品は、bytes・PEM・JWK などで秘密鍵を持ち回る使い方を断り、秘密鍵を KeyObject でだけ受け取ります。形の違う鍵・署名は決まったコードで止め、止めるときは署名を返しません。", "use_when": [ "呼ぶ側が持つ Ed25519 の秘密鍵で、bytes（16 MiB まで）に署名したいとき（sign）。何に署名するか（Merkle 木の根や正準の bytes など）は使う側が決めます。", "どの鍵で署名したかを、公開鍵の SPKI DER の sha256（public_key_spki_sha256）で示したいとき（sign・publicKeyFingerprint）。", "署名した直後に往復の確かめをしたいとき（verify。違えば verified: false で、エラーではない）。", "同じ鍵と同じ message から、いつも同じ署名が要るとき（RFC 8032 の Ed25519 の pure。時計・乱数を使わない）。", "KMS・HSM を使わず、手元の鍵で署名したいとき。この部品は KMS・HSM・鍵の保管庫とは話しません。" ], "do_not_use_when": [ "使う側が pin した鍵で署名を検証したいとき。verify は往復の確かめで、その代わりではありません。pin した鍵での検証は B-02 です。", "鍵の保管・入れ替え・失効や、HSM・KMS での署名が要るとき。この部品は扱いません。", "秘密鍵を bytes・文字列・PEM・JWK・WebCrypto の CryptoKey で渡したいとき。KEY_NOT_KEYOBJECT で止めます。", "Ed25519 のほかの種類の鍵（EC・RSA・X25519・Ed448・共通鍵）で署名したいとき。KEY_TYPE_UNSUPPORTED で止めます。", "16 MiB を超える message に署名したいとき。MESSAGE_TOO_LARGE で止めます。", "サイドチャネル（時間・電力）への強さが要るとき。確かめていません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "引数が素のオブジェクトでない、または決まった欄のほかを持つとき、INVALID_ARGUMENT で止めます。引数を読むこと自体が例外になるとき（getter や Proxy の罠）は INSPECTION_FAILED です。", "message が Uint8Array でないとき NOT_BYTES、16 MiB を超えるとき MESSAGE_TOO_LARGE で止めます。", "鍵が KeyObject でないとき（PEM・DER・JWK・bytes・CryptoKey・KeyObject を装ったもの・KeyObject の Proxy・欄が無い）、KEY_NOT_KEYOBJECT で止めます。", "KeyObject でも種類が違うとき（sign に公開鍵、verify に秘密鍵、共通鍵・EC・RSA・X25519・Ed448）、KEY_TYPE_UNSUPPORTED で止めます。", "key_id が Ref（印字できる ASCII の空白を除く 1〜200 文字、\"..\" を含まず、/ と \\ で始まらない）でないとき、INVALID_KEY_ID で止めます。", "signature が詰め物なしの正準の base64url で 64 bytes の文字列でないとき（詰め物・標準の base64・余りの bits が 0 でない・長さ違い）、INVALID_SIGNATURE で止めます。", "署名の 1 bit の反転、S + L の署名、ほかの message・ほかの鍵の署名は verified: false になります。", "引数の欄はそれぞれ一度だけ読み、getter が違う値を返しても、検めた値だけを使います。" ], "what_it_does_not_do": [ "署名は「この秘密鍵を持つ誰かがこの bytes に署名した」ことだけを示します。承認・中身が正しいこと・受け入れてよいこと・署名者が誰かの証明ではありません。誰が署名してよいかの判断は、この部品の外です。", "この部品は秘密鍵を書き出さず（export を呼ばない）、保管せず、ログに出さず、結果に入れません。ただし、呼ぶ側が渡した KeyObject を消すことはしません（消すのは GC 任せ）。", "key_id は呼ぶ側の名札で、鍵と結びついているかを確かめません。どの鍵かを確かめるには public_key_spki_sha256 を使います。", "Ed25519 の計算そのものは Node.js の crypto（OpenSSL）に任せています。確かめたのは RFC 8032 の 7.1 の TEST 1〜3 と、実行時に作った鍵での Node の crypto との突き合わせまでです。", "verify の厳しさ（小さい位数の公開鍵・正準でない点など）は OpenSSL に従い、S + L の署名のほかの境目は確かめていません。B-02 との突き合わせもしていません。", "署名・指紋・照合の結果は、承認ではありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の署名ライブラリの使い方の雛形ではありません。" ], "integration": "src/local-sign.js の sign({ message, private_key, key_id })・publicKeyFingerprint({ public_key })・verify({ message, public_key, signature }) を呼びます（どれも投げません）。sign は { ok: true, errors: [], algorithm: \"Ed25519\", key_id, signature, public_key_spki_sha256 } を返します（signature は 86 文字の base64url）。止めるときは { ok: false, errors: [{ code }] }。KeyObject は呼ぶ側が作って持ちます。副作用・状態・外の接続は無く、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "B-13", "category": "B/暗号・信頼", "kind": "Adopted", "title": "重ね署名の確かめ（.amupkg）の受け入れ部品（Adopted）", "summary": "重ね署名の確かめ（.amupkg）の受け入れ部品（Adopted）は、.amupkg を Runtime に渡す前に、目録・自分用の署名・wi-t.com の重ね署名を、固定した起点（root-usb-1）の trust bundle の鍵と失効で確かめ、PASS か REFUSE を返す部品です。別の書き手が作った部品を、元の版（33f2b1c）の bytes を書き換えずに受け入れたもので、ERABAZU が足したのはこの説明書と工房のファズだけです。", "problem": "「確かめ済み」の裏で、どの鍵と失効を見たかは見えません。この部品は、重ね署名が無い・正しくないものを REFUSE にして通さず（fail-closed）、本物の鍵・取得先・起点を部品の中に固定して引数で差し替えさせず、trust の巻き戻りや同じ generation の別の bytes を断ります。結果には、見た trust と目録の digest を facts として添えます。", "use_when": [ ".amupkg の bytes（Uint8Array）を Runtime に渡す前に、完全性・自分用の署名・重ね署名・trust・失効・結び付けを確かめ、verdict（PASS か REFUSE）・code・stage・facts を受け取りたいとき（verifyAmupkg。投げません）。", "PASS の後に Runtime で開いたとき、返った amupkg_digest が sha256: ＋ facts.manifest_digest と同じかを照らすための値を受け取りたいとき。この照らし合わせは使う側が行います。", "trust bundle を取りに行き、確かめに通ったものだけを store の port に保存したいとき（refreshTrust）。取れないときは、保存したものか、部品に焼き込んだ gen 10 で判定を続けます。", "trust の鮮度を区別したいとき。新しい受け入れは trust の next_update まで、受け入れ済みのものは next_update から 30 日まで動かし、過ぎれば COUNTERSIG_TRUST_STALE・COUNTERSIG_TRUST_EXPIRED で止めます。", "PASS したものだけを受け入れの記録に残し（recordAdmitted）、trust・受け入れた数・確かめの版を見たいとき（status）。", "どの元の版の bytes を受け入れたかを、元の commit（33f2b1c）と 36 本のファイルの sha256 で照らせる部品が要るとき。" ], "do_not_use_when": [ "利用者が持ち込む .amupkg を、固定した見本（pinnedDigests）で通したいとき。固定した見本を守るのは、使う側のプログラムのコード署名で、部品はそれを確かめません。利用者が持ち込む .amupkg には使えません。", "本物の鍵で署名した重ね署名が PASS することを、工房で確かめた結果として扱いたいとき。工房はそれを確かめていません（工房の試験とファズは、使い捨ての起点と鍵だけを使います）。", "PASS を、承認・販売の許可・中身が正しいことの印として使いたいとき。PASS は「出所・完全性・確認の範囲を確かめた」ことだけです。", "ZIP のファイルの bytes をまるごと同じものに限りたいとき。PASS は目録と目録に載ったファイルと署名で決まるので、その用途では facts.archive_digest（ZIP 全体の sha256）を使います。", "利用者に見せる文（display の title_ja・detail_ja）を、そのまま本番の文として使いたいとき。display は仮の文です。", "元の版が直ったときに、自動で新しい版を使いたいとき。自動では追いません（auto_follow: false）。新しい版は写し直して検査し直します。trust の新しい generation（gen 11 以降）が出たときも検査し直します。", "Node.js v24.21.0 のほかの版で使うとき。元は Node.js 20 以上の ES module ですが、工房はほかの版を確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "確かめる順は、完全性 → 署名のファイルが目録に無いこと → 自分用の署名 → 固定した見本 → 重ね署名のファイル → 重ね署名の形 → trust（起点・鮮度）→ 重ね署名の鍵と署名 → 失効 → 結び付け、です。止めたときは、code と stage（integrity・self_signature・countersignature・trust・pinned）を返します。", "ZIP が上限（96 MiB・2000 件・1 件 64 MiB・合計 192 MiB・倍率 100）を超える・安全でない名前・読めないとき PKG_ARCHIVE_UNSAFE、載ってよいファイル・区分の決まりに合わないとき AMUPKG_SECTION_INVALID、目録の sha256・区分の digest が合わないとき AMUPKG_DIGEST_MISMATCH、目録の profile が扱えないとき AMUPKG_PROFILE_UNSUPPORTED、署名のファイルが目録に載っているとき MANIFEST_LISTS_SIGNATURE_FILE で止めます。", "自分用の署名が無いとき SELF_SIGNATURE_MISSING、目録に合わないとき SELF_SIGNATURE_INVALID、自分用の鍵が失効しているとき SELF_KEY_REVOKED で止めます。", "重ね署名のファイルが無い（COUNTERSIG_MISSING）・読めない（COUNTERSIG_UNREADABLE）・schema や purpose が違う・期限がある（期限は持たない決まり）・確認の範囲（scope_id・scope_version）が無い・重ね署名者が wi-t.com でない・この .amupkg の自分用の鍵と署名に結び付いていない（COUNTERSIG_SELF_SIGNER_MISMATCH）とき、それぞれのコードで止めます。", "重ね署名の鍵が trust bundle に無い（COUNTERSIGNER_KEY_UNKNOWN）・重ね署名専用でない・方式が違う・失効している、重ね署名の署名が合わない（COUNTERSIG_SIGNATURE_INVALID）、その重ね署名が失効している（COUNTERSIG_REVOKED）とき、REFUSE にします。", "trust bundle が確かめられない（取れない・保存も焼き込みも使えない）とき COUNTERSIG_TRUST_UNAVAILABLE で止めます。trust の取得は 1 ファイル 256 KiB・10 秒までで、redirect を追いません。trust の巻き戻りと、同じ generation の別の bytes は断ります。", "正しい .amupkg を 1 回ごとに 1 つの壊し方（目録の対象のファイルの書き換え・消し・足し、重ね署名の差し替え、別の鍵での署名の作り直し、ランダムな bytes の書き換えなど）で変えて答えと突き合わせる 1,000,000 回のファズを工房の検査で走らせ、不一致と fail-open が 0 でした（Node.js v24.21.0）。" ], "what_it_does_not_do": [ "PASS は「出所・完全性・確認の範囲を確かめた」ことだけで、承認・販売の許可・中身の正しさではありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "部品が確かめるのは、目録と、目録に載ったファイルと、署名だけです。ZIP の中のファイルの外にある bytes（末尾など）は確かめの対象外で、Runtime も使いません。ファイルの bytes をまるごと同じにしたいときは facts.archive_digest（末尾に足すと変わる）を使います。", "固定した見本（pinnedDigests）を守るのは使う側のプログラムのコード署名で、部品はそれを確かめません。利用者が持ち込む .amupkg には使えません。", "本物の trust（gen 10）には重ね署名の鍵 wi-t-countersigner-ed25519.v1 が載っていて、その鍵で署名されていない重ね署名は COUNTERSIG_SIGNATURE_INVALID になります。部品に焼き込んだ trust も gen 10 です。ただし、本物の鍵で署名した重ね署名が PASS することは、工房では確かめていません。工房の試験とファズは本物の秘密鍵を使わず、使い捨ての起点と鍵だけを使います。", "これは ERABAZU が作った確かめの実装ではありません。別の書き手が作った部品を、bytes を書き換えずに受け入れたものです（36 本の sha256 と元の出所の記録で照らします）。中身・確かめの順番・止めるコード・API は元の設計のままです。受け入れたファイルには LICENSE・LICENSES/CC0-1.0.md・NOTICE もあり、NOTICE は元の書き手が足したものです。", "Runtime の実行ファイルとの通し（flow）は、工房の検査では動かしていません（実行ファイルが無い）。元のリポジトリの CI（run 37588955237）で PASS しています。元の試験は 54 件（pass 53・skip 1）です。", "store の port に trust と受け入れの記録を書き、fetch の port で trust の 4 つのファイルを読みます（LOCAL_REVERSIBLE）。部品のメモリーには状態を持たず、資格情報も使いません。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "src/index.mjs（ES module）の createCountersignatureVerifier({ store, fetch?, now?, log?, pinnedDigests? }) で instance を作り、await instance.verifyAmupkg(bytes, { admit? }) を呼びます。store（read・write）は必須の port、fetch（null なら取りに行かない）・now・log は省けます。返すのは { verdict, code, stage, facts, display } です。factory の引数の形が違うときと、bytes が Uint8Array でないときだけ TypeError を投げます。依存は Node.js の組み込み（node:crypto・WebCrypto）だけです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [ { "path": "vendor/kokoroamu-trust-f99fdbe/bytes.mjs", "license": "MPL-2.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/canonical-json.mjs", "license": "MPL-2.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/purposes.mjs", "license": "MPL-2.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/roots.mjs", "license": "MPL-2.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/trust-index.mjs", "license": "MPL-2.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/trust-v1/bundle.json", "license": "CC0-1.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/trust-v1/bundle.sig.json", "license": "CC0-1.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/trust-v1/publishers.json", "license": "CC0-1.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/trust-v1/publishers.sig.json", "license": "CC0-1.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/trust-v1/revocations.json", "license": "CC0-1.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/trust-v1/revocations.sig.json", "license": "CC0-1.0" }, { "path": "vendor/kokoroamu-trust-f99fdbe/verify-core.mjs", "license": "MPL-2.0" } ] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-01", "category": "C/保管・永続化", "kind": "Tsugite", "title": "オブジェクト保管 — オブジェクト保管継手（Tsugite）", "summary": "オブジェクト保管継手（Tsugite）は、ファイルや blob の保存（put）と読み出し（get）を、外部の object backend へ中継する継手（つぎて）です。put は検めた要求だけを送り、backend が返す受領（ObjectReceipt）を契約どおりに照合します。get は返ってきた中身（bytes）の digest を自分で計算し、期待値と一致して受領も照合できたときだけ中身を渡します。一つでも合わなければ受理しません（fail-closed）。", "problem": "「保存した」で終わらせてしまうこと、つまり backend の受領や申告をそのまま信じて、化けた中身や偽った保存物を正しいものとして扱ってしまうことを防ぎます。読み出した中身は backend の「一致した」という申告だけでは検証済みにせず、自分で digest を計算して突き合わせます。", "use_when": [ "ファイルや blob を外部の object backend に保存し、読み出したいとき。", "読み出した中身を、backend の申告ではなく自分で計算した digest で確かめてから使いたいとき。", "受け付ける content-type と大きさの上限を決め、中身の種類を偽ったもの（magic bytes と合わないもの）を通したくないとき。", "同じ中身を二重に保存したくないとき、また一度書いたら上書きしない（WORM）対象を守りたいとき。受領が確定しないまま再送する場合は、照会（lookup）で解きます。", "部分書込や偽の受領が出たら、人が確かめるまで保存を止めたいとき。" ], "do_not_use_when": [ "application/pdf・image/png・image/jpeg・text/plain・application/json 以外の content-type を、中身の種類まで確かめて扱いたいとき。magic bytes で確かめられるのはこの 5 種だけで、確かめられない型は通しません。", "保持期間・TTL（C-08）やアーカイブ（C-09）のための削除・ライフサイクルの操作が要るとき。この継手には含まれていません（後続）。", "put の成功を「中身が正しいと確かめた」と扱いたいとき。put の成功は中身の検証済みではありません（content_verified: false）。", "保存の成功を、承認や決裁として扱いたいとき。どの成功も承認ではありません。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの object store につなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "要求の型を検めます。追加のフィールド、決まった値（const）と違う値、side effect の条件に反するものは送りません。", "pin した backend の版を検めます。pin していない backend の版（backend_profile_revision）への要求は送りません。", "中身の種類と大きさを検めます。magic bytes と合わない content-type（種類の偽り）、上限を超える大きさは送りません。", "二重保存と上書きを検めます。同じ object_ref・同じ digest は二重に保存せず（ALREADY_STORED）、WORM の対象への上書きは送りません。", "get で読み出した中身の digest を自分で計算し、期待値と合わなければ中身を渡しません（GET_REJECTED）。読み出し時の改ざんを拒否します。", "受領（ObjectReceipt）を照合します。request_digest を偽った受領、部分書込（MISMATCH）があれば受理せず、以後は停止します（HALTED）。", "backend の障害（500 の応答、書いた後の失敗）は UNKNOWN とし、保存済みとして扱いません。再送は照会（lookup）で解きます。", "秘密の渡し方を検めます。SecretRef は secret-ref/v2 の場所だけを受け付け、SecretRef の隣に置いた生の秘密や、HUMAN_CREDENTIAL の種類は拒否します。" ], "what_it_does_not_do": [ "化けていないかを決めるのは核（integrity-facts）の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "put の成功は中身の検証済みではなく（content_verified: false）、どの成功も承認ではありません（approval: false）。", "実 backend を含みません。どの object store につなぐか、port の実装、pin する対象（endpoint・受領の形式）は未定で、接続するときに別の関門で決めます。", "保持期間・TTL（C-08）やアーカイブ（C-09）の削除・ライフサイクルの拡張は含みません。", "magic bytes で中身の種類を確かめられるのは、application/pdf・image/png・image/jpeg・text/plain・application/json だけです。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "object store の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/object-store/v1 でつなぎます。createObjectStoreClient({ cfg, port }) の put(ObjectPutRequest, bytes)・get(ObjectGetRequest) は、STORED・GET_VERIFIED・GET_REJECTED・REFUSED・UNKNOWN・HALTED などを返します（どれにも approval: false）。利用側が用意するもの: object backend への port（put・get、任意で lookup）。副作用は WORM が EXTERNAL_IRREVERSIBLE、OVERWRITE が EXTERNAL_REVERSIBLE、get は NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-02", "category": "C/保管・永続化", "kind": "Tsugite", "title": "保管完全性検証 — 保管完全性継手（Tsugite）", "summary": "保管完全性継手（Tsugite）は、保管先から読み戻した物が化けていないかを、書いたときの記録（recorded）と読み戻したときの観測（observed）の突き合わせで確かめる継手（つぎて）です。ハッシュ・大きさ・ハッシュアルゴリズムのどれか一つでも合わなければ、信頼しません（fail-closed）。ハッシュの計算と保管先への読み書きは、呼び出し側が行います。", "problem": "保管した物が、気づかないうちに化けてしまうこと（沈黙のビット腐敗）や、改ざん・すり替えを見逃して、そのまま使ってしまうことを防ぎます。大きさが一致しただけでは内容の一致とはみなさず、ハッシュの一致を別に求めます。", "use_when": [ "保管先から読み戻した物が、書いたときと同じかを確かめたいとき（checksum や ETag で化けていないか）。", "ネットワークの中継（proxy）を置かずに、呼び出し側のライブラリとして完全性を確かめたいとき。", "採択したハッシュアルゴリズムだけを受け付け、それ以外のアルゴリズムの結果を信頼したくないとき。", "ハッシュと大きさを、自分の側ですでに計算・取得していて、その突き合わせだけを任せたいとき。" ], "do_not_use_when": [ "ハッシュの計算や、保管先への書き込み・読み戻しまでこの継手にさせたいとき。これらは含まれておらず、呼び出し側が行って結果を渡します。", "記録（recorded）を残していない物を確かめたいとき。書いたときの hash・size・algo が無ければ、突き合わせられず、信頼しません。", "特定の保管 API の ETag の形式に、今すぐ合わせて使いたいとき。実際の保管 API と ETag の形式は、配備するときに config で決めます。", "SHA-256 以外のハッシュで確かめたいとき。確かめた範囲は SHA-256 の内容ハッシュです。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "ハッシュを突き合わせます。記録と観測のハッシュが合わなければ（ビット腐敗・改ざん）、信頼しません（ok: false）。", "大きさを突き合わせます。記録と観測の大きさが合わなければ、信頼しません。", "大きさが同じでも、内容のハッシュが違えば信頼しません（大きさだけの一致では通しません）。", "ハッシュアルゴリズムを検めます。記録と観測でアルゴリズムが違うもの、採択していないアルゴリズムは信頼しません。", "欠落を検めます。ハッシュや大きさが欠けていれば、信頼しません。" ], "what_it_does_not_do": [ "ハッシュを計算しません。保管先への書き込みも読み戻しもしません。呼び出し側が行い、その結果（recorded と observed）を渡します。", "backend につなぐ port を持ちません。この継手は、渡された値を突き合わせる純粋な関数だけです。", "require_size を false にすると、大きさの一致を求めなくなります（既定は true）。", "実際の保管 API と ETag の形式は決めていません。配備するときに config で決めます。", "完全性の事実を核としてまとめ、署名の対象や来歴に継ぐのは核（integrity-facts・provenance-facts）の側です。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "保管 API の使い方の雛形ではありません。" ], "integration": "入口は src/guards.js の verifyIntegrity(cfg, recorded, observed)（純粋な関数）です。recorded に書いたときに記録した { hash, size, algo }、observed に読み戻したときに観測した { hash, size, algo } を渡すと、一致すれば { ok: true, errors: [] }、合わなければ { ok: false, errors: [...] } を返します。cfg は allowed_algos（採択したアルゴリズム）と require_size（既定 true）。port は無く、ハッシュの計算と保管先への読み書きは利用側が用意します。実行環境は Node.js（依存パッケージなし）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-03", "category": "C/保管・永続化", "kind": "Tsugite", "title": "トランザクション書込 — トランザクション書込継手（Tsugite）", "summary": "トランザクション書込継手（Tsugite）は、pin した backend・許可した論理の target・操作ごとの本体の digest を検めてから、全部か無しか（ALL_OR_NOTHING）の transaction を DB へ送り、DB が返す受領（TransactionalWriteReceipt）を照合する継手（つぎて）です。部分コミットは異常として停止し、ABORTED は外への効果が無いと照合できたときだけ受け取ります（fail-closed）。", "problem": "DB に「保存されたはず」と思い込んでしまうこと、つまり半分だけ書けた transaction を成功として扱ってしまうことを防ぎます。COMMITTED はすべての操作が入ったと照合できたとき、ABORTED は何も入っていないと照合できたときだけ受け取ります。", "use_when": [ "複数の書き込みを、一貫性を保ったまま DB に書きたいとき（すべて入るか、何も入らないか）。", "DB が返す受領をそのまま信じず、要求（request_id・request_digest）と target の一致を照合してから、書けたと扱いたいとき。", "書き込み先を、pin した backend と許可した論理の target に限りたいとき。ファイルシステムの路を target にさせたくないとき。", "同じ要求を二度コミットしたくないとき。受領が確定しないまま再送する場合は、照会（lookup）で解きます。", "部分コミットや偽の受領が出たら、人が確かめるまで書き込みを止めたいとき。" ], "do_not_use_when": [ "同じ契約 storage-persistence/v1 に属する C-05〜C-09 の機能が要るとき。この継手には含めていません。", "書き込みの成功を、承認や決裁として扱いたいとき。書けたことは承認ではありません。", "すぐに使える DB がほしいとき。実 DB は含まず、どの backend につなぐかはまだ決まっていません。", "ファイルシステムの路（先頭の / や \\、..）に書きたいとき。target にしません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "送り先を検めます。pin していない backend、許可していない target、ファイルシステムの路の target への要求は送りません。", "操作と本体を検めます。本体の改ざん（digest の不一致）、本体の過不足、同じ操作の重複、操作の数や本体の大きさが上限を超えるものは送りません。", "部分コミットを受理しません。COMMITTED は全件、ABORTED は 0 件で外への効果が無いことを求め、外れれば受理せず、以後は停止します（HALTED）。", "side effect を検めます。受領の side effect は要求の宣言から減らすことだけを認め、増やした受領は受理しません。COMMITTED は意図した side effect と一致する必要があります。", "受領（TransactionalWriteReceipt）を照合します。request_digest を偽った受領、別の target の受領は受理せず、以後は停止します（HALTED）。", "DB の障害は UNKNOWN とし、書けたとして扱いません。同じ request_id は二度コミットせず、再送は照会（lookup）で解きます。" ], "what_it_does_not_do": [ "一貫性を決めるのは核（reconcile-facts・policy-facts）の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "書けたことは承認ではありません（approval: false）。", "実 DB を含みません。どの backend につなぐか、port の実装、pin する対象は未定で、接続するときに別の関門で決めます。", "同じ契約 storage-persistence/v1 の C-05〜C-09 は含みません。優先順位の案では、継手を作らない（decision-only）か後回し（DEFER）です。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "DB クライアントの雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/storage-persistence/v1 でつなぎます。createTxClient({ cfg, port }) の write(TransactionalWriteRequest, payloads)（payloads は { op_ref: bytes }）は、COMMITTED・ABORTED・REFUSED・UNKNOWN・HALTED などを返します（どれにも approval: false）。利用側が用意するもの: DB への port（commit と、任意で lookup）。副作用は要求で宣言する EXTERNAL_REVERSIBLE か EXTERNAL_IRREVERSIBLE（ABORTED は NONE か LOCAL_REVERSIBLE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-04", "category": "C/保管・永続化", "kind": "Tsugite", "title": "追記専用台帳 — 監査台帳継手（Tsugite）", "summary": "監査台帳継手（Tsugite）は、改変不能なイベント履歴を追記専用（append-only）の backend に積むときに、pin した台帳・通番（sequence）・二重追記の有無を検めてから送り、返る受領（AuditAppendReceipt）を照合できたときだけ台帳の先頭（head）を進める継手（つぎて）です。一つでも合わなければ、送らず、受理しません（fail-closed）。", "problem": "外部の追記専用の保管先にイベントを積み重ねるとき、手元の台帳の先頭と保管先の実際がずれること（通番の巻き戻し・飛び、同じイベントの二重の追記、障害で結果が分からない書き込み）を防ぎます。受領を照合できない追記では台帳の先頭を進めないので、台帳の続き方を信頼できる状態に保てます。", "use_when": [ "改変不能なイベント履歴を、外部の追記専用 backend に 1 件ずつ積み重ねたいとき。", "決まった 1 つの台帳（ledger_id・ledger_profile_revision・contract_revision で pin したもの）にだけ追記したいとき。", "通番が巻き戻ったり飛んだりしない、一本の続き方を保ちたいとき。", "同じイベントを二重に追記したくないとき。二重かどうかは event_id と封筒の digest で見分け、受領が確定しないまま再送する場合は照会（lookup）で解きます。", "台帳の先頭・未解決の送信・停止の有無を、手元で確かめながら追記を進めたいとき（state() が { head, pending, halted } を返します）。" ], "do_not_use_when": [ "書き換えや削除ができる保管先として使いたいとき。この継手は追記だけを扱います。", "イベントの本文そのものを台帳に積みたいとき。封筒には契約のフィールドだけを載せ、本文の混入は拒否します。", "透明性ログ（Merkle の包含証明）が要るとき。この継手の範囲外です。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの追記専用サービスにつなぐかはまだ決まっていません。", "追記の成功を、承認や決裁として扱いたいとき。追記の成功は承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "pin した台帳を検めます。pin していない台帳への追記は送りません。", "通番（sequence）を検めます。台帳の先頭から見て通番が巻き戻っている・飛んでいるときは、送らず、受理しません。", "二重の追記を止めます。同じ event_id・同じ内容がもう追記済みなら backend に送らず ALREADY_APPENDED を返し、同じ event_id で内容が違うときは REFUSED を返します。", "未解決の送信があるあいだは、次の封筒を送らず REFUSED を返します。結果が分からなかった送信は照会（lookup）で解きます。", "backend の障害（500 の応答や一部だけの書き込み）は UNKNOWN とし、台帳の先頭を進めません。", "受領（AuditAppendReceipt）の台帳・通番・event_id・対象が、送った封筒と食い違うときは受理せず、台帳の先頭を進めません。", "受領に不整合があれば停止します（HALTED）。人が確かめるまで追記しません。", "本文が混じった封筒、封筒の大きさの上限（max_envelope_bytes）を超えるイベント、種類を偽った封筒（content-type の偽り）を拒否します。" ], "what_it_does_not_do": [ "台帳が改変できないかどうかを決めるのは核（provenance-facts・integrity-facts）の役目です。この継手がするのは、送る前の検めと受領の照合だけです。", "追記の成功は承認ではありません（approval: false）。", "実 backend を含みません。どの追記専用サービスにつなぐか、port の実装、pin する対象（endpoint・受領の形式）は未定で、接続するときに別の関門で決めます。", "透明性ログ（Merkle の包含証明）は扱いません。", "backend の認証に使う秘密（SecretRef）の解決はしません。port 側の責務です。", "C-04 専用の部品ではありません。H-01（改変不能監査ログ）・H-08（改ざん検知チェーン）・H-02（アクセスログ）と同じ 1 つの部品が担い、試験と検査も共通です。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-ledger/v1 でつなぎます。createLedgerClient({ cfg, port }) の append(envelope) に AuditEventEnvelope を渡すと APPENDED_VERIFIED・ALREADY_APPENDED・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。cfg は pin する台帳と封筒の上限。state() は { head, pending, halted }。利用側は追記専用 backend への port（append、任意で lookup）を用意します。副作用は EXTERNAL_IRREVERSIBLE（取り消せない書き込み）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-05", "category": "C/保管・永続化", "kind": "Tsugite", "title": "冪等書込（WAL） — 保管ライフサイクル継手（Tsugite）", "summary": "保管ライフサイクル継手（Tsugite）は、保管の backend への冪等書込（IdempotentWrite）の要求を、pin した backend・許可した論理の target・書込の中身の上限で検めてから送り、backend が返す receipt を契約どおりに照合する継手（つぎて）です。外への効果は高々 1 回で、一つでも合わなければ、送らず、受理しません（fail-closed）。", "problem": "保管先への書き込みを再送したときに同じ内容を二重に書いてしまうこと、同じ冪等キーで別の中身を書いてしまうこと、そして backend の receipt を確かめないまま「書けた」と扱ってしまうことを防ぎます。", "use_when": [ "再送があっても、保管 backend への書き込みの外への効果を高々 1 回にしたいとき。", "重複で効果なし（DEDUP_HIT）と返ったときも、保管されている中身が送った中身と同じかを確かめてから受け取りたいとき。", "書込の中身の digest を自分で確かめ、大きさの上限を超える中身を送りたくないとき。", "backend の障害で結果が分からないとき、同じ request_id を二度送らず、照会（lookup）で解きたいとき。" ], "do_not_use_when": [ "トランザクション書込が要るとき。C-03 のトランザクション書込は別の部品（transactional-write-tsugite）です。", "重複かどうかの決定をこの継手に任せたいとき。重複の検出は核（reconcile-facts）の役目です。", "ファイルシステム上の場所を書き先にしたいとき。target は論理の target だけで、ファイルシステムの target は拒否します。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの保管サービスにつなぐかはまだ決まっていません。", "書けたことを、承認や決裁として扱いたいとき。書けたことは承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "要求の型を検めます。追加のフィールド、決まった値（const）と違う値、ファイルシステムの target、pin していない backend・許可していない target への要求は送りません。", "同じ冪等キーで別の中身を書く要求は送りません（REFUSED）。", "書込の中身を検めます。大きさの上限を超える中身、digest と合わない（改ざんされた）中身は送りません。", "重複（DEDUP_HIT）の receipt が新しい効果を伴っていれば受理しません。DEDUP_HIT は効果なし（NONE）でなければなりません。", "保管された中身（stored_digest）が送った中身と違えば、DEDUP_HIT でも受理しません。同じキーで別の中身は異常として扱います。", "receipt を照合します。request_digest の偽り、別の target の receipt、外への効果を増やす receipt は受理せず、以後停止します（HALTED）。", "backend の障害は UNKNOWN とし、同じ request_id を二度送りません。未解決の送信があるときは REFUSED を返し、backend に送りません。", "FAILED・REFUSED・SIMULATED の receipt は、効果なし（NONE）でなければ受理しません。" ], "what_it_does_not_do": [ "重複かどうかを決めるのは核（reconcile-facts）の役目です。この継手がするのは、送る前の検めと受け取った後の照合だけです。", "書けたことは承認ではありません（approval: false）。", "実 backend を含みません。どの保管サービスにつなぐか、port の実装、pin する対象は未定で、接続するときに別の関門で決めます。", "この項目だけの別の部品ではありません。C-05〜C-09 と H-06・F-04 は契約上 1 つの部品（tsugite/storage-persistence/lifecycle）で、この項目はその冪等書込の面で、F-04（冪等キー処理）も同じ面で担います。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "保管サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/storage-persistence/v1 でつなぎます。createStorageLifecycleClient({ cfg, port }) の submit(request, bytes) に IdempotentWrite の要求と書込の中身 bytes（必須）を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返し、DONE に dedup_result を添えます（どれにも approval: false）。利用側が用意するもの: 保管 backend の port（submit、任意で lookup）と、backend・target・上限の設定。副作用は EXTERNAL_*（DEDUP_HIT は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-06", "category": "C/保管・永続化", "kind": "Tsugite", "title": "バックアップ・スナップショット — 保管ライフサイクル継手（Tsugite）", "summary": "保管ライフサイクル継手（Tsugite）は、保管の backend へのスナップショット（Snapshot）の要求を、pin した backend と許可した論理の target で検めてから送り、backend が返す receipt を契約どおりに照合する継手（つぎて）です。一つでも合わなければ、送らず、受理しません（fail-closed）。", "problem": "スナップショットの要求を送るとき、許可していない対象を送ってしまうこと、そして backend の receipt が本当にその対象のものかを確かめないまま「取れた」と扱ってしまうことを防ぎます。この継手が照合できたスナップショットだけが、模擬の復元（C-07）の元になります。", "use_when": [ "保管の backend に論理の target のスナップショットの要求を送り、receipt を照合できてから、取れたことを事実として受け取りたいとき。", "スナップショットの receipt を、その snapshot_ref の中身の digest（content_digest）と対にして照合したいとき。", "照合できたスナップショットだけを、模擬（SYNTHETIC）・dry-run の復元の元として扱いたいとき。", "backend の障害で結果が分からないとき、同じ request_id を二度送らず、照会（lookup）で解きたいとき。" ], "do_not_use_when": [ "スナップショットから実際に戻すこと（本番の PITR）まで求めるとき。実際に壊す復元は範囲外で、復元は模擬・dry-run だけです。", "ファイルシステム上の場所の複製を取りたいとき。target は論理の target だけで、ファイルシステムの target は拒否します。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの保管サービスにつなぐかはまだ決まっていません。", "取れたことを、承認や決裁として扱いたいとき。取れたことは承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "要求の型を検めます。追加のフィールド、決まった値（const）と違う値、ファイルシステムの target、pin していない backend・許可していない target への要求は送りません。", "receipt を照合します。request_digest の偽り、別の target の receipt、外への効果を増やす receipt は受理せず、以後停止します（HALTED）。", "スナップショットの receipt の効果は、取り消せる外部への効果（EXTERNAL_REVERSIBLE）までです。それより効果を増やす receipt は受理しません。", "照合できたスナップショットを state() の snapshots に残し、照合していないスナップショットからの復元の要求は送りません。", "FAILED・REFUSED・SIMULATED の receipt は、効果なし（NONE）でなければ受理しません。", "backend の障害は UNKNOWN とし、同じ request_id を二度送りません。未解決の送信があるときは REFUSED を返し、backend に送りません。" ], "what_it_does_not_do": [ "スナップショットが照合できたことは、そこから実際に戻せることを確かめたものではありません。実際に壊す復元（本番の PITR）は範囲外です。", "何をいつ取るかの決定は核の役目です。この継手がするのは、送る前の検めと受け取った後の照合だけです。", "取れたことは承認ではありません（approval: false）。", "実 backend を含みません。どの保管サービスにつなぐか、port の実装、pin する対象は未定で、接続するときに別の関門で決めます。", "この項目だけの別の部品ではありません。C-05〜C-09 と H-06・F-04 は契約上 1 つの部品（tsugite/storage-persistence/lifecycle）で、この項目はそのスナップショットの面です。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "保管サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/storage-persistence/v1 でつなぎます。createStorageLifecycleClient({ cfg, port }) の submit(request) に Snapshot の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返し、DONE に snapshot_ref・snapshot_state を添えます（どれにも approval: false）。利用側が用意するもの: 保管 backend の port（submit、任意で lookup）と、pin する backend・許可する target の設定。副作用は取り消せる外部への効果（EXTERNAL_REVERSIBLE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-07", "category": "C/保管・永続化", "kind": "Tsugite", "title": "復旧・PITR（模擬・dry-run だけ） — 保管ライフサイクル継手（Tsugite）", "summary": "保管ライフサイクル継手（Tsugite）は、復旧（Restore）の要求を模擬（SYNTHETIC）と dry-run に限って検めてから送り、backend が返す receipt を契約どおりに照合する継手（つぎて）です。実際に壊す復元（本番の PITR）はせず、その要求は送りません。元にできるのは、この継手が照合したスナップショットだけです（fail-closed）。", "problem": "復元の要求を送るとき、照合していないスナップショットから戻そうとすること、dry-run なのに「適用した」とする結果を信じてしまうこと、実際に壊す復元の要求が送られてしまうことを防ぎます。この継手が扱うのは模擬・dry-run の復元だけで、実際にある時点へ戻すことはしません。", "use_when": [ "照合済みのスナップショットを元に、模擬（SYNTHETIC）または dry-run の復元の要求を送り、その receipt を照合したいとき。", "dry-run の復元の結果として、効果なし（NONE）の receipt だけを受け取りたいとき。", "復元の元を、この継手が CREATED と照合したスナップショットに限りたいとき。" ], "do_not_use_when": [ "実際にある時点へ戻したいとき（本番の PITR）。実際に壊す復元は範囲外で、契約も模擬・dry-run だけを定めます。この継手はその要求を送りません。", "事故のときに実際に復旧する手段として使いたいとき。この継手は実際の復旧をしません。", "この継手が照合していないスナップショットから戻したいとき。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの保管サービスにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "実際に壊す復元のモードの要求は送りません。", "この継手が CREATED と照合していないスナップショットからの復元の要求は送りません。", "dry-run の要求に「適用した」とする receipt は受理しません。APPLIED_SYNTHETIC は模擬（SYNTHETIC）の要求のときだけ受け取ります。", "復元の receipt の効果は、効果なし（NONE）か手元で取り消せる効果（LOCAL_REVERSIBLE）までで、dry-run は NONE だけです。効果を増やす receipt は受理しません。", "request_digest の偽り、別の target の receipt は受理せず、以後停止します（HALTED）。", "要求の型を検めます。追加のフィールド、決まった値（const）と違う値、ファイルシステムの target、pin していない backend・許可していない target への要求は送りません。", "FAILED・REFUSED・SIMULATED の receipt は、効果なし（NONE）でなければ受理しません。", "backend の障害は UNKNOWN とし、同じ request_id を二度送りません。未解決の送信があるときは REFUSED を返し、backend に送りません。" ], "what_it_does_not_do": [ "実際の復旧はしません。実際に壊す復元（本番の PITR）は範囲外で、契約も模擬・dry-run だけを定めます。DONE に添える restore_state は、模擬・dry-run の復元の結果です。", "ファズは backend を叩かず、試験は保管 backend の代役を使っています。実際の backend である時点へ戻せることは確かめていません。", "何をいつ戻すかの決定は核の役目です。この継手がするのは、送る前の検めと受け取った後の照合だけです。", "模擬の復元が照合できたことは承認ではありません（approval: false）。", "実 backend を含みません。どの保管サービスにつなぐか、port の実装、pin する対象は未定で、接続するときに別の関門で決めます。", "この項目だけの別の部品ではありません。C-05〜C-09 と H-06・F-04 は契約上 1 つの部品（tsugite/storage-persistence/lifecycle）で、この項目はその模擬の復元の面です。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/storage-persistence/v1 でつなぎます。createStorageLifecycleClient({ cfg, port }) の submit(request) に Restore の要求（模擬か dry-run）を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返し、DONE に restore_state を添えます（どれにも approval: false）。利用側が用意するもの: 保管 backend の port（submit、任意で lookup）。副作用は NONE か LOCAL_REVERSIBLE（dry-run は NONE）で、実際の復旧は含みません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-08", "category": "C/保管・永続化", "kind": "Tsugite", "title": "保持・TTL — 保管ライフサイクル継手（Tsugite）", "summary": "保管ライフサイクル継手（Tsugite）は、保持（Retention）の要求（EVALUATE・RETAIN・EXPIRE）を、pin した保持方針と論理の target で検めてから送り、receipt を契約どおりに照合する継手（つぎて）です。取り消せない削除（EXPIRE）は、設定 allow_expire（既定 false）で許し、リーガルホールドの無い対象にだけ送ります（fail-closed）。", "problem": "保持期限による削除を backend へ送るとき、許していない削除やリーガルホールド中の対象の削除を送ってしまうこと、期限切れの判定だけのはずが削除されたと扱うこと、backend の receipt を確かめないまま「消せた」と扱うことを防ぎます。", "use_when": [ "保持方針に沿った削除（EXPIRE）の要求を、設定で許したときだけ backend へ送りたいとき。", "リーガルホールドの事実（核・人の決定）を受け取り、以後その対象の EXPIRE を送らないようにしたいとき。", "削除せずに、期限切れかどうかの判定（EVALUATE）だけを backend に求めたいとき。", "消せたこと（deleted: true）を、EXPIRE の receipt が EXPIRED と照合できたときだけ事実として扱いたいとき。" ], "do_not_use_when": [ "保持期限やリーガルホールドをこの継手に決めさせたいとき。その決定は核と人の役目で、この継手は事実を受け取って守るだけです。", "期限が来たら自動で消す仕組みそのものがほしいとき。この継手は渡された保持の要求を検めて送るだけで、EXPIRE は設定 allow_expire が true でなければ送りません。", "期限で別の階層へ移したいとき。階層の移動は Archive の要求で、C-09 アーカイブ・階層化の面です。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの保管サービスにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "設定 allow_expire が true でないとき、EXPIRE を送りません。", "リーガルホールド中の対象には EXPIRE を送りません。", "EVALUATE の receipt が削除を伴っていれば受理しません。EVALUATE の EXPIRED は期限切れの判定だけで、削除ではありません。", "RETAIN に EXPIRED を返す receipt は、異常として受理しません。", "pin した一覧にない保持方針の要求は送りません。", "要求の型を検めます。追加のフィールド、決まった値（const）と違う値、ファイルシステムの target、pin していない backend・許可していない target への要求は送りません。", "receipt を照合します。request_digest の偽り、別の target の receipt、外への効果を増やす receipt は受理せず、以後停止します（HALTED）。", "FAILED・REFUSED・SIMULATED の receipt は、効果なし（NONE）でなければ受理しません。backend の障害は UNKNOWN とし、同じ request_id を二度送りません。" ], "what_it_does_not_do": [ "保持期限の決定・リーガルホールドの決定はしません。核（redact-facts・policy-facts）と人の役目で、この継手はその事実を受け取って守るだけです。", "消せたことは承認ではありません（approval: false）。", "実 backend を含みません。どの保管サービスにつなぐか、port の実装、pin する対象は未定で、接続するときに別の関門で決めます。", "この項目だけの別の部品ではありません。C-05〜C-09 と H-06・F-04 は契約上 1 つの部品（tsugite/storage-persistence/lifecycle）で、この項目はその保持の面で、H-06（保持強制）も同じ面で担います。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "保管サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/storage-persistence/v1 でつなぎます。createStorageLifecycleClient({ cfg, port }) の submit(request) に Retention の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返し、DONE に decision・deleted・effect を添えます（どれにも approval: false）。利用側が用意するもの: 保管 backend の port（submit、任意で lookup）と、pin する保持方針・allow_expire の設定。副作用は EXPIRE が EXTERNAL_IRREVERSIBLE、ほかは NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-09", "category": "C/保管・永続化", "kind": "Tsugite", "title": "アーカイブ・階層化 — 保管ライフサイクル継手（Tsugite）", "summary": "保管ライフサイクル継手（Tsugite）は、保管の backend への階層の移動（Archive）の要求を、pin した階層と許可した論理の target で検めてから送り、backend が返す receipt を契約どおりに照合する継手（つぎて）です。一つでも合わなければ、送らず、受理しません（fail-closed）。", "problem": "データを別の階層へ移す要求を送るとき、pin していない階層や許可していない対象へ送ってしまうこと、そして backend の receipt を確かめないまま「移せた」と扱ってしまうことを防ぎます。", "use_when": [ "古いデータを、pin した階層へ移す要求を backend へ送りたいとき。", "移した結果（transition_state・archive_ref）を、receipt を照合できてから事実として受け取りたいとき。", "backend の障害で結果が分からないとき、同じ request_id を二度送らず、照会（lookup）で解きたいとき。" ], "do_not_use_when": [ "どのデータをいつ移すかをこの継手に決めさせたいとき。決定は核の役目で、この継手は送る前と受け取った後の検めだけです。", "取り消せない削除を伴わせたいとき。アーカイブの効果は取り消せる外部への効果（EXTERNAL_REVERSIBLE）までで、取り消せない削除は保持（C-08）の EXPIRE の扱いです。", "ファイルシステム上の場所へ移したいとき。target は論理の target だけで、ファイルシステムの target は拒否します。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの保管サービスにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "pin していない階層への移動の要求は送りません。", "要求の型を検めます。追加のフィールド、決まった値（const）と違う値、ファイルシステムの target、pin していない backend・許可していない target への要求は送りません。", "アーカイブの receipt の効果は、取り消せる外部への効果（EXTERNAL_REVERSIBLE）までです。それより効果を増やす receipt は受理しません。", "request_digest の偽り、別の target の receipt は受理せず、以後停止します（HALTED）。", "FAILED・REFUSED・SIMULATED の receipt は、効果なし（NONE）でなければ受理しません。", "backend の障害は UNKNOWN とし、同じ request_id を二度送りません。未解決の送信があるときは REFUSED を返し、backend に送りません。" ], "what_it_does_not_do": [ "何をいつ移すかの決定は核の役目です。この継手がするのは、送る前の検めと受け取った後の照合だけです。", "移せたことは承認ではありません（approval: false）。", "実 backend を含みません。どの保管サービスにつなぐか、port の実装、pin する対象は未定で、接続するときに別の関門で決めます。", "この項目だけの別の部品ではありません。C-05〜C-09 と H-06・F-04 は契約上 1 つの部品（tsugite/storage-persistence/lifecycle）で、この項目はその階層の移動の面です。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "保管サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/storage-persistence/v1 でつなぎます。createStorageLifecycleClient({ cfg, port }) の submit(request) に Archive の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返し、DONE に transition_state・archive_ref を添えます（どれにも approval: false）。利用側が用意するもの: 保管 backend の port（submit、任意で lookup）と、pin する backend・階層（tiers）・許可する target の設定。副作用は EXTERNAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-10", "category": "C/保管・永続化", "kind": "Component", "title": "生データの保管（追記だけ） — raw の保管（追記だけ・内容アドレス・区画分け）の部品（Component）", "summary": "raw の保管の部品（Component）は、取得した raw を型にはめずに、retention_class（pii・business・evidence）ごとに別の保管先へ追記だけで置く部品です。取得の記録の部品(Primitive)（N-09）で fetch.json を作り、渡した bytes が記録の name・byte_size・sha256 と合うことを確かめ、payload を記録の順に、最後に fetch.json を冪等書込の継手（C-05）で書きます。冪等キーはパスです。read は C-01 の継手で期待する sha256 を添えて読み、digest が合ったときだけ bytes を返します。削除・上書きの操作はありません。", "problem": "「保存してある」の裏で、元のまま残っているかは誰も確かめません。この部品は、記録と合わない bytes を置くこと、一度置いたキーを別の中身で上書きすること、PII をほかの区画と混ぜること、読んだ bytes が置いたものと違うのに使ってしまうことを防ぎます。", "use_when": [ "取得したファイル（1〜10000 個）と fetch.json を、raw///payload/ と raw///fetch.json のキーで、追記だけで 1 回だけ置きたいとき（store）。", "保持区分ごとに保管先を分け、PII の区画には、ほかの区画と別の backend・別のクライアントを当てたいとき。どの書込も、その取得の retention_class の区画の target にだけ送ります。", "PARTIAL の取得も、取れた分をほかと同じに残したいとき。続きは次の取得で、別の fetched_at の別のフォルダーになります。", "置いた raw を、期待する sha256 を添えて読み、継手の検めの後に自分でも sha256 を計算し直して、合ったときだけ bytes の写しを受け取りたいとき（read）。", "結果の分からなかった書込を、同じ要求で送り直して残りの書込を続けたいとき（resolvePending）。同じ取得をもう一度 store すれば、書けた分は DEDUP_HIT で続きから書けます。" ], "do_not_use_when": [ "保持の期間を数える・期限で消す・PII の期間の決まりを守らせることまで任せたいとき。この部品は区画を分けて置くだけです。保持と削除は backend の方針（C-08 など）の側です。", "取得した中身がプラットフォームの中身と同じかを確かめたいとき。確かめるのは、渡した bytes が N-09 の記録の name・byte_size・sha256 と合うことだけです。", "PII の区画が本当に別のストレージであることを確かめたいとき。確かめるのは backend_profile_ref の文字列とクライアントのオブジェクトが違うことまでで、2 つの名前が同じ物を指していても見分けられません。", "ファイルの大きさの上限をこの部品に任せたいとき。上限は C-05 の継手の max_payload_bytes で決めます。大きなファイルは送るたびに写しを作ります。", "ほかのプロセスや再起動の前に書いたキーまで、この部品に RAW_CONFLICT で見分けさせたいとき。控えはプロセスの中だけで、そのキーは継手と backend が断ります（どちらでも上書きはしません）。", "同じ request_prefix の 2 つのインスタンスで、同じクライアントを使いたいとき。継手が同じ request_id を ALREADY_DONE で答え、別の要求が前の答えで返ります。request_prefix はクライアントごとに一意にします。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "options が足りない・形が違う・区画が 3 つちょうどでない・2 つの区画が同じ保管先・pii がほかの区画と同じ backend かクライアント・port の関数が無いとき、INVALID_OPTIONS で止めます。", "操作の入力の形が違うとき（欄の過不足、files が 1〜10000 個の素の配列でない、name の重なり、bytes が Uint8Array でない、read の key が raw/ で始まらない など）INVALID_INPUT、getter が例外を投げたとき INSPECTION_FAILED で止めます。", "N-09 が記録を作らないとき FETCH_RECORD_REFUSED（N-09 の errors を添える）、N-09 が例外を投げたとき FETCH_RECORD_PORT_FAILED、答えが食い違うとき（canonical の sha256・正準形・schema・入力の欄・folder_stamp・files の形）FETCH_RECORD_INVALID で、何も送りません。", "渡した files が記録の files と合わないとき、FILE_MISMATCH で何も送りません。errors[0] に name と reason（MISSING・SIZE・DIGEST・EXTRA）を添えます。", "書込の計画のキーに、この部品が前に別の sha256 を送っているとき、RAW_CONFLICT で何も送りません（追記だけ・上書きしない）。", "書込の結果が分からないとき STORE_UNKNOWN で同じ要求を保ち、保留の間の store を STORE_PENDING で止めます。継手が送らなかったとき WRITE_REFUSED、停止・receipt の照合の失敗・結果が APPLIED か DEDUP_HIT でないとき WRITE_FAILED で、次へ進みません。", "read で、保管物が無いとき OBJECT_NOT_FOUND、digest が合わないとき（継手の GET_REJECTED か、自分で計算し直した sha256 の違い）DIGEST_MISMATCH、結果が分からないとき READ_UNKNOWN、送らなかったとき READ_REFUSED、停止・形の違いのとき READ_FAILED で、bytes を返しません。", "timestamp が RFC 3339 の UTC（Z）の実在する日時を返さない・投げたとき CLOCK_FAILED で何も送らず、前の操作が終わっていないとき BUSY で止めます。" ], "what_it_does_not_do": [ "raw の保管の部品は継手ではありません。自分の Request/Receipt は無く、書込と読出しという外への効果は、束ねた C-05・C-01 の継手がそれぞれの契約で起こします。この部品自身は外へ触れません。", "束ねた部品の意味（記録できた ≠ 取得の正しさ・書けた ≠ 受け入れ・読めた ≠ 中身の正しさ）は、それぞれの部品の側に残ります。", "削除・上書きの操作はありません。送るのは IdempotentWriteRequest と ObjectGetRequest だけです。保持の期間は数えず、消しません。", "書けたこと・読めたことは、中身の正しさでも受け入れでも承認でもありません（approval: false・authority: NOT_DERIVED、derives_authority: false）。", "C-05 のキーと C-01 の object_ref が同じ保管物を指すか（書いた raw を read で読めるか）は backend profile の役目です。試験では同じ保管物を指す代役で確かめました。", "本物の N-09・C-05・C-01 には、この部品の試験では接続していません。単体試験とファズは代役で、本物との結線は別の結線の検めで確かめます。状態（送ったキーの控え・保留）はプロセスの中だけで、再起動で消えます。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のデータレイク・オブジェクトストレージの雛形ではありません。" ], "integration": "src/raw-store.js の createRawStore(options) で作ります。受け取るのは partitions { pii, business, evidence }・request_prefix・ports・任意の timestamp で、{ ok, errors, instance } を返します。操作は store・read・resolvePending・status で、どの結果にも approval: false が付きます。利用側が用意する port は fetchRecord（N-09）、区画ごとの write..submit（C-05 の継手のクライアント）と read..get（C-01 の継手のクライアント）です。副作用は束ねた継手が起こし（EXTERNAL_REVERSIBLE）、資格情報は port が持ちます。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "C-11", "category": "C/保管・永続化", "kind": "Component", "title": "区分ごとの世代バックアップ — 区画ごとの世代バックアップと復元の検めの部品（Component）", "summary": "区画ごとの世代バックアップと復元の検めの部品（Component）は、保持区分（pii・business・evidence）ごとに、別の保管先・別のクライアント・別の世代の数え方でバックアップを取る部品です。backup はスナップショットの継手（C-06）で作らせ、照合できたものだけを世代の記録として冪等書込の継手（C-05）で残します。verifyRestore は模擬の復元（C-07、DRY_RUN か SYNTHETIC）だけを送り、復元した中身の digest が世代の content_digest と C-02 の継手で一致したときだけ「復元できると確かめた」にします。", "problem": "バックアップは戻すときまで試されません。この部品は、照合できないスナップショットを世代にすること、PII をほかの区画と混ぜること、世代を上書きすること、確かめていないバックアップを「復元できる」と扱うことを防ぎます。", "use_when": [ "区画ごとにスナップショットを作らせ、照合できたものを次の世代として backup//.json に 1 回だけ記録したいとき（backup）。世代の番号は last_seq + 1 から、書けた世代だけで数えます。", "記録した世代から SYNTHETIC の模擬の復元を送り、readRestored が返す復元した中身の digest を、世代の content_digest と照合したいとき（verifyRestore）。", "世代が keep_generations を超えたことを、over_limit の事実として受け取りたいとき。古い世代は消しません。", "区画ごとの世代と確かめの結果（restore_verified）・保留を一覧したいとき（status）。", "結果の分からなかった送信を、その区画だけ保留にし、同じ要求で送り直したいとき（resolvePending）。保留の間も、ほかの区画は止まりません。" ], "do_not_use_when": [ "本番への復元（実際に壊す復元）をしたいとき。送るのは DRY_RUN か SYNTHETIC だけで、本番で復元できるかは確かめていません。", "古い世代を期限で消したいとき。keep_generations は over_limit の事実を返すだけで、消すのは backend の保持（C-08 など）の役目です。", "取ったばかりのバックアップを「復元できる」と扱いたいとき。verifyRestore の digest の照合（SYNTHETIC・readRestored あり）が済むまで restore_verified: false です。readRestored が無い・DRY_RUN のときは digest_verified: null です。", "スナップショットの content_digest が中身を正しく表しているか、readRestored が本当に復元した中身から digest を計算したかまで確かめたいとき。この部品は返った値どうしを照合するだけです。", "再起動の前に取った世代を、そのまま verifyRestore したいとき。状態はプロセスの中だけで、再起動後は last_seq を渡して数え直し、前のプロセスの世代は verifyRestore の対象になりません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "options が足りない・形が違う・区画が 3 つちょうどでない・2 つの区画が同じ保管先・keep_generations や last_seq の形・port の関数が無いとき INVALID_OPTIONS、操作の入力の形が違うとき INVALID_INPUT、getter が例外を投げたとき INSPECTION_FAILED で止めます。", "スナップショットの結果が分からないとき SNAPSHOT_UNKNOWN（同じ要求を保つ）、送らなかったとき SNAPSHOT_REFUSED、CREATED でない・停止・結果や content_digest の形が違うとき SNAPSHOT_FAILED で、世代にしません。", "世代の記録の書込の結果が分からないとき RECORD_UNKNOWN（同じ要求を保つ）、送らなかったとき（同じキーの別の中身を含む）RECORD_REFUSED、停止・結果が APPLIED か DEDUP_HIT でないとき RECORD_FAILED で、世代として数えません。", "verifyRestore で、この部品が記録した世代として無い snapshot_ref のとき UNKNOWN_GENERATION で止めます。", "復元の結果が分からないとき RESTORE_UNKNOWN、継手が送らなかった・backend が復元を断ったとき RESTORE_REFUSED、停止・知らない restore_state・DRY_RUN なのに適用したと言ったとき RESTORE_FAILED で止めます。", "復元した digest が世代の content_digest と合わないとき（C-02 が ok: true でない、sha256 でない、値が違う）RESTORE_DIGEST_MISMATCH（digest_verified: false）、readRestored が投げた・形が違うとき RESTORED_READ_FAILED、C-02 の関数が投げたとき INTEGRITY_PORT_FAILED（どちらも digest_verified: null）で、確かめにしません。", "その区画に結果の分からない送信があるとき CLASS_PENDING、保留が無いのに resolvePending を呼ぶと NOTHING_PENDING、timestamp が実在する日時を返さないとき CLOCK_FAILED、前の操作が終わっていないとき BUSY で止めます。" ], "what_it_does_not_do": [ "区画ごとの世代バックアップと復元の検めの部品は継手ではありません。自分の Request/Receipt は無く、スナップショット・模擬の復元・世代の記録の書込という外への効果は、束ねた継手（C-05・C-06・C-07）がそれぞれの契約で起こします。この部品自身は外へ触れません。", "束ねた部品の意味（作れた ≠ 中身の正しさ・模擬の復元 ≠ 本番の復元・照合できた ≠ 承認）は、それぞれの部品の側に残ります。", "削除・保持・アーカイブの要求は送らず、古い世代を消しません。世代は上書きしません。", "結果は承認ではありません（approval: false・authority: NOT_DERIVED、derives_authority: false）。", "世代の記録が保存されたのに結果が崩れたときは、その seq のキーが backend に残り、次の backup の記録は断られ続けます（fail-closed）。直すのは呼び出し側で、last_seq を合わせます。", "本物の storage-lifecycle・storage-integrity の継手と backend には、この部品の試験では接続していません。単体試験とファズは代役で、本物との結線は別の結線の検めで確かめます。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のバックアップ製品の雛形ではありません。" ], "integration": "src/backup.js の createBackup(options) で作り、{ ok, errors, instance } を返します。options は policies { pii, business, evidence }（target・keep_generations・任意の last_seq）・request_prefix・ports・任意の timestamp です。操作は backup・verifyRestore・resolvePending・status で、結果に approval: false が付きます。port は区画ごとの storage..submit（storage-lifecycle の継手のクライアント）・verifyIntegrity（C-02）・任意の readRestored です。資格情報は port が持ちます。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-01", "category": "D/通知・配信", "kind": "Tsugite", "title": "メール配信（transactional） — メール配信継手（Tsugite）", "summary": "メール配信継手（Tsugite）は、確認・領収・リマインドなどのメールを、pin した宛先・検証済みの同意・最小化の記録・本文の digest・宛先偽装の無いヘッダー・冪等キーを検めてからメール backend へ送り、backend が返す受領（NotificationReceipt）を契約どおりに照合する継手（つぎて）です。一つでも合わなければ送りません（fail-closed）。", "problem": "メールを「届いた」で終わらせてしまうこと、つまり宛先を偽ったメールや同意の無いメール、化けたメールを送ってしまうこと、そして送れたことを届いたことと取り違えることを防ぎます。送れた状態（REQUESTED）は到達ではなく、delivered: false として扱います。", "use_when": [ "確認・領収・リマインドなどのメールを、外部のメール backend から送りたいとき。", "送り先を、pin した宛先の表（recipient_ref とメールアドレス）に限りたいとき。", "検証済みの同意が無い宛先や、bounce・苦情を記録した宛先には送りたくないとき。", "同じメールを二重に送りたくないとき。受領が確定しないまま再送する場合は、照会（lookup）で解きます。", "偽の受領が出たら、人が確かめるまで送信を止めたいとき。" ], "do_not_use_when": [ "SMS・push・chat で送りたいとき。この継手は email だけで、ほかの channel は範囲外です。", "到達の確認（D-05）や、bounce・苦情の判定（D-06）をこの継手にさせたいとき。これらは核の側で、この継手はその結果を受け取るだけです。", "Cc・Bcc で複数の相手に送りたいとき。To はちょうど 1 つで pin した宛先と一致する必要があり、Cc・Bcc・Resent-* は送りません。", "送信の成功を、到達や承認として扱いたいとき。送れたことは到達ではなく、到達は承認ではありません。同意も Authority ではありません。", "すぐに使えるメール backend がほしいとき。実メール backend（SMTP・各社の API）は含まず、どれにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "宛先の偽装を検めます。To が pin した宛先と合わない、To が 2 つある、Cc・Bcc がある、ヘッダーに CR/LF の注入があるメールは送りません。pin していない宛先にも送りません。", "同意を検めます。同意の無い送信、検証されていない同意での送信は送りません。", "bounce・苦情を記録した宛先には送りません。", "本文を検めます。digest と合わない本文（改ざん）や、上限を超える大きさの本文は送りません。", "二重送信を検めます。同じ idempotency_key はもう一度送りません（ALREADY_SENT）。", "受領（NotificationReceipt）を照合します。request_digest を偽った受領、証拠の無い delivered、UNKNOWN を送信に格上げした受領、side effect の食い違いは受理せず、以後は停止します（HALTED）。", "backend の障害は UNKNOWN とし、送信として扱いません。再送は照会（lookup）で解きます。", "秘密の渡し方を検めます。SecretRef の隣に生の秘密を置いた要求は拒否します。" ], "what_it_does_not_do": [ "宛先の許可・配信の同意・本文の最小化を決めるのは核（policy-facts・consent-facts・redact-facts）の役目です。この継手は、その結果を受け取って検めるだけです。", "送れたことは到達ではありません（REQUESTED は delivered: false）。どの結果も承認ではありません（approval: false）。", "実メール backend（SMTP・各社の API）を含みません。port の実装と pin する対象は未定で、接続するときに別の関門で決めます。", "email 以外の channel（SMS・push・chat）は扱いません。", "到達の確認（D-05）と、bounce・苦情の判定（D-06）はしません。その結果を受け取るだけです。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "メール API の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/request-receipt-group/v1 でつなぎます。createMailClient({ cfg, port }) の send(NotificationRequest, bytes, verifiedConsents) は、SENT・ALREADY_SENT・FAILED・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。bounce・苦情は recordSuppression で渡します。利用側が用意するもの: メール backend への port（send と、任意で lookup）。副作用は取り消せない外部への送信（EXTERNAL_IRREVERSIBLE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-02", "category": "D/通知・配信", "kind": "Tsugite", "title": "SMS 配信 — SMS・push 配信継手（Tsugite）", "summary": "SMS・push 配信継手（Tsugite）は、SMS の通知要求（NotificationRequest、channel sms）を、pin した宛先表・検証済みの同意・最小化の記録・冪等キー・本文の digest と上限・SMS の本文の形で検めてから送信基盤へ渡し、戻った受領（NotificationReceipt）を契約どおりに照合する継手（つぎて）です。SMS を運ぶ継手で、本人確認の機能は含みません。一つでも合わなければ送りません（fail-closed）。", "problem": "SMS を送るとき、pin していない番号や形の崩れた番号（E.164 でない番号）へ送ってしまうこと、同意や最小化の記録が無いまま送ること、同じ通知を二度送ること、そして「依頼した」を「届いた」「読まれた」と取り違えることを防ぎます。", "use_when": [ "通知の SMS を、pin した宛先表の番号（E.164）にだけ送りたいとき。", "送る前に、検証済みの同意と本文の最小化の記録があることを確かめたいとき（どちらも設定で必須にできます）。", "同じ通知を二度送りたくないとき。冪等キーを必須にし、受領が確定しないまま再送する場合は照会（lookup）で解きます。", "不達・苦情のあった宛先に、以後は送りたくないとき（recordSuppression）。", "依頼した・届いた・読まれた・確認されたを、それぞれの証拠で分けて扱いたいとき。" ], "do_not_use_when": [ "本人確認に使いたいとき。この継手は SMS の通知要求を運ぶ継手で、本人確認の機能は含みません。SMS が届いた・読まれたことは、本人を確かめたことではありません。", "メール・Webhook の channel で送りたいとき。channel は sms・push だけです。D-01 は mail 継手、D-04 は notify 継手です。", "送れたこと・届いたことを、承認や決裁として扱いたいとき。送れた・届いたは承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える送信基盤がほしいとき。実の送信基盤（どの SMS のサービスか）は含まず、まだ決まっていません。" ], "what_it_checks": [ "宛先を検めます。pin した宛先表に無い宛先、止めた宛先（不達・苦情）、要求の channel と宛先の channel が合わないもの、email・webhook の channel の要求は送りません。", "宛先表の形を検めます。SMS の宛先は E.164（+ と国番号から 7〜15 桁）で、表に 1 件でも形の崩れた宛先（E.164 でない・空白を含む）があれば、表全体を使いません。", "SMS の本文を検めます。UTF-8 として正しくない本文、改行のほかの制御文字を含む本文は送りません。", "本文の digest の改ざんと、上限（max_payload_bytes）を超える本文を送りません。", "同意と最小化を検めます。設定で必須にしたとき、同意が無い・検証されていない要求、最小化の記録が無い要求は送りません。", "冪等キーの無い要求は送りません。同じ冪等キーは二度送りません（ALREADY_SENT）。", "送信基盤の認証は SecretRef の場所だけを運びます。SecretRef の欄に秘密そのものが入った要求は送りません。", "受領（NotificationReceipt）を照合します。証拠の無い到達・既読・確認の状態、message_id の無い送信、side effect の食い違い、request_digest の偽りは受理せず、そのあとは停止します（HALTED）。送信基盤の障害は UNKNOWN とし、送信として扱いません。" ], "what_it_does_not_do": [ "本人確認はしません。SMS の通知要求を運ぶ継手で、本人確認の機能は含みません。届いた・読まれたは、本人の確認ではありません。", "送れたことは到達ではありません。SENT の delivered は、到達の証拠がある状態のときだけ true です。依頼しただけ（REQUESTED）は届いたではありません。", "SMS の文字数（分割・文字コードによる上限）は見ません。上限は bytes だけです。", "同意が有効か・最小化が十分かを決めるのは核（consent-facts・redact-facts）の役目で、宛先の許可は policy-facts の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "実の送信基盤を含みません。どのサービスにつなぐか、port の実装と宛先表は未定で、接続するときに別の関門で決めます。", "送れた・届いたは承認ではありません（approval: false）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/request-receipt-group/v1（channel sms）でつなぎます。createSmsPushClient({ cfg, port }) の send(NotificationRequest, bytes, verifiedConsents) は、SENT・ALREADY_SENT・FAILED・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。利用側が用意するもの: 送信基盤への port（send と、任意で lookup）と、cfg の宛先表 recipients。副作用は取り消せない外部への送信（EXTERNAL_IRREVERSIBLE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-03", "category": "D/通知・配信", "kind": "Tsugite", "title": "プッシュ通知 — SMS・push 配信継手（Tsugite）", "summary": "SMS・push 配信継手（Tsugite）は、push の通知要求（NotificationRequest、channel push）を、pin した宛先表（端末の参照）・検証済みの同意・最小化の記録・冪等キー・本文の digest と上限・push の本文の形で検めてから送信基盤へ渡し、戻った受領（NotificationReceipt）を契約どおりに照合する継手（つぎて）です。push の本文で送り先を差し替えさせず、一つでも合わなければ送りません（fail-closed）。", "problem": "push 通知を送るとき、本文に送り先（token・to・topic など）を入れて pin していない端末へ差し替えてしまうこと、同意や最小化の記録が無いまま送ること、同じ通知を二度送ること、そして「依頼した」を「届いた」「読まれた」と取り違えることを防ぎます。", "use_when": [ "push 通知を、pin した宛先表の端末の参照（空白の無い参照）にだけ送りたいとき。", "送り先は宛先表だけで決め、本文（JSON）から送り先を変えさせたくないとき。", "送る前に、検証済みの同意と本文の最小化の記録があることを確かめたいとき（どちらも設定で必須にできます）。", "同じ通知を二度送りたくないとき。冪等キーを必須にし、受領が確定しないまま再送する場合は照会（lookup）で解きます。", "不達・苦情のあった宛先に、以後は送りたくないとき（recordSuppression）。", "依頼した・届いた・読まれた・確認されたを、それぞれの証拠で分けて扱いたいとき。" ], "do_not_use_when": [ "push の本文の中身の意味（通知として正しいか）を確かめたいとき。この継手が止めるのは送り先の差し替えだけです。", "メール・Webhook の channel で送りたいとき。channel は sms・push だけです。D-01 は mail 継手、D-04 は notify 継手です。", "送れたこと・届いたことを、承認や決裁として扱いたいとき。送れた・届いたは承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える送信基盤がほしいとき。実の送信基盤（どの push のサービスか）は含まず、まだ決まっていません。" ], "what_it_checks": [ "宛先を検めます。pin した宛先表に無い宛先、止めた宛先（不達・苦情）、要求の channel と宛先の channel が合わないもの、email・webhook の channel の要求は送りません。", "宛先表の形を検めます。push の宛先は空白の無い端末の参照で、表に 1 件でも形の崩れた宛先があれば、表全体を使いません。", "push の本文を検めます。UTF-8 の JSON オブジェクトでない本文と、token・to・topic・registration_ids・condition・target を持つ本文（送り先の差し替え）は送りません。", "本文の digest の改ざんと、上限（max_payload_bytes）を超える本文を送りません。", "同意と最小化を検めます。設定で必須にしたとき、同意が無い・検証されていない要求、最小化の記録が無い要求は送りません。", "冪等キーの無い要求は送りません。同じ冪等キーは二度送りません（ALREADY_SENT）。", "送信基盤の認証は SecretRef の場所だけを運びます。SecretRef の欄に秘密そのものが入った要求は送りません。", "受領（NotificationReceipt）を照合します。証拠の無い到達・既読・確認の状態、message_id の無い送信、side effect の食い違い、request_digest の偽りは受理せず、そのあとは停止します（HALTED）。送信基盤の障害は UNKNOWN とし、送信として扱いません。" ], "what_it_does_not_do": [ "送れたことは到達ではありません。SENT の delivered は、到達の証拠がある状態のときだけ true です。依頼しただけ（REQUESTED）は届いたではありません。", "push の本文の中身の意味（通知として正しいか）は見ません。止めるのは送り先の差し替えだけです。", "同意が有効か・最小化が十分かを決めるのは核（consent-facts・redact-facts）の役目で、宛先の許可は policy-facts の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "実の送信基盤を含みません。どのサービスにつなぐか、port の実装と宛先表は未定で、接続するときに別の関門で決めます。", "送れた・届いたは承認ではありません（approval: false）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の SMS・push サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/request-receipt-group/v1（channel push）でつなぎます。createSmsPushClient({ cfg, port }) の send(NotificationRequest, bytes, verifiedConsents) は、SENT・ALREADY_SENT・FAILED・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。利用側が用意するもの: 送信基盤への port（send と、任意で lookup）と、cfg の宛先表 recipients。副作用は取り消せない外部への送信（EXTERNAL_IRREVERSIBLE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-04", "category": "D/通知・配信", "kind": "Tsugite", "title": "Webhook 配信 — 通知配信継手（Tsugite）", "summary": "通知配信継手（Tsugite）は、外部へ Webhook などのイベント通知を送る前に、その通知を送ってよいかだけを判定する継手（つぎて）です。pin した宛先・許可したイベント・冪等キー・署名済みの payload・重複の無さを検め、一つでも欠ければ「送らない」と判定します（fail-closed）。送信・再送・payload の署名はしません。送る前の判定だけです。", "problem": "連携の裏配管として外部へ通知を送るとき、pin していない宛先（任意の URL）へ送ってしまうこと（SSRF）、許可していないイベントを送ってしまうこと、同じ通知を二重に送ってしまうこと、署名の無い payload を送ってしまうことを、送る前の判定で防ぎます。", "use_when": [ "自分の送信処理の前に置いて、Webhook などの通知を送ってよいかを判定させたいとき。", "送り先を pin した宛先の集合に限り、任意の URL への送出を拒否したいとき（anti-SSRF）。", "送ってよいイベントの種別を、許可した一覧（allowlist）に限りたいとき。", "もう送った冪等キーの集合を自分で持っていて、同じ通知の二重送信を送る前に止めたいとき。" ], "do_not_use_when": [ "Webhook を実際に送る部品、失敗したときに再送する部品、payload に署名する部品がほしいとき。この継手はどれもしません。送る前の判定だけです。", "送った通知が届いたかを、受領（receipt）で確かめたいとき。到達の receipt の検めは含みません。", "payload の署名そのものを検めたいとき。署名済みかどうかは、呼び出し側が渡す真偽値（payload_signed）で判定します。", "冪等キーや署名の要求を外したまま使うとき。require_idempotency_key・require_signed_payload を false にすると、その検めが外れます。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "宛先を検めます。pin した宛先の集合の外への通知は、送らないと判定します（任意の URL への送出を拒否。SSRF）。", "イベントを検めます。許可していないイベント種別の通知は、送らないと判定します。", "冪等キーを検めます。冪等キーの無い通知は、送らないと判定します（require_idempotency_key が既定の true のとき）。", "署名を検めます。payload_signed が真でない（未署名の）通知は、送らないと判定します（require_signed_payload が既定の true のとき）。", "重複を検めます。渡された「もう送った冪等キーの集合」にあるキーの通知は、二重送信として送らないと判定します。" ], "what_it_does_not_do": [ "Webhook を送信しません。失敗したときの再送もしません。payload に署名もしません。これらは利用側が行います。", "到達の受領（receipt）を検めません。この継手がするのは送る前の判定だけです。", "冪等キーと署名の要求は設定で外せます。require_idempotency_key・require_signed_payload を false にすると、その検めが外れ、冪等キーの欠落・未署名を理由には止めなくなります（どちらも既定は true）。", "もう送った冪等キーの集合（delivered）を保持しません。呼び出し側が渡します。", "実際の配信 API と署名の方式は決めていません。配備するときに config で決めます。", "配信の同意や承認の経路、配信の来歴は核（consent-facts・provenance-facts）の側です。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "通知 API の使い方の雛形ではありません。" ], "integration": "入口は src/guards.js の evaluate(cfg, request, delivered)（純粋な関数。送る前の判定）です。request に { recipient, event_type, idempotency_key, payload_signed }、delivered にもう送った冪等キーの集合 { key: 1 } を渡すと、送ってよければ { ok: true, errors: [] }、だめなら { ok: false, errors: [...] } を返します。cfg は allowed_recipients・allowed_events・require_idempotency_key・require_signed_payload。port は無く、送信・再送・署名・receipt の検めは利用側が用意します。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-05", "category": "D/通知・配信", "kind": "Tsugite", "title": "配信到達・開封確認 — メッセージングの拡張継手（Tsugite）", "summary": "メッセージングの拡張継手（Tsugite）は、配信の証拠の問い合わせ（DeliveryEvidence の要求）を契約の型で検めてから基盤へ運び、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。依頼した・届いた・読まれた・確認されたの各段を別の証拠として扱い、届いたことを業務の受け入れと取り違えません（fail-closed）。", "problem": "届いた・読まれたを事実として残すとき、問い合わせた段とは別の段の証拠を受け取ってしまうこと、そして配信の証拠から業務の受け入れを導いてしまうことを防ぎます。", "use_when": [ "届いた・読まれた・確認されたを、段ごとの証拠として基盤に問い合わせ、照合してから記録したいとき。", "上の段の確認から、下の段の確認や業務の受け入れを推し量らせたくないとき。", "同意や監査のために、依頼しただけの状態と届いた状態を分けて残したいとき。", "受領に不整合が出たら、そこで止めたいとき（HALTED）。", "同じ問い合わせを二度送りたくないとき。受領が確定しないまま再送する場合は照会（lookup）で解きます。" ], "do_not_use_when": [ "受け取った側が処理したか（業務として受け入れたか）を確かめたいとき。この継手は確かめません。", "メッセージの本文を載せたいとき。この継手はメッセージの中身を扱わず、参照だけを運びます。", "通知そのものを送りたいとき。送信は D-01 の mail 継手、D-02・D-03 の SMS と push の継手、D-04 の notify 継手が担います。", "届いたことを、承認や決裁として扱いたいとき。届いたは承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える基盤がほしいとき。実の基盤（どの配信の証拠の仕組みか）は含まず、まだ決まっていません。" ], "what_it_checks": [ "問い合わせた段（evidence_kind）の証拠だけを受理します。別の段の証拠を返す受領は受理せず、停止します。", "業務の受け入れを名乗る受領（配信の証拠から業務の受け入れを導くもの）は受理せず、停止します。", "参照を検めます。空の参照、パス（.. を含む）の参照、追加のフィールドは拒否します。空の一覧は何も許しません。", "side effect を検めます。配信の証拠の問い合わせは side effect 無し（NONE）です。外への効果を増やす受領と、効果が不明（UNKNOWN）な受領は受理しません。", "別の要求の受領（request_digest の偽り）は受理しません。照合できない受領のあとは停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は照会（lookup）で解きます。" ], "what_it_does_not_do": [ "配信の証拠を自ら作る仕組みは含みません。配信の証拠の問い合わせを基盤へ運び、戻った受領を照合するだけです。どの配信の証拠の仕組みにつなぐかは未定で、接続するときに別の関門で決めます。", "届いた・読まれた・確認されたは、業務の受け入れではありません。受け取った側が処理したかは確かめません。", "業務の受け入れの判断は核と人の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "届いたは承認ではありません（approval: false）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のキューやメッセージ基盤の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/messaging-ext/v1 でつなぎます。createMessagingExtClient({ cfg, port }) の submit(request) に DeliveryEvidence の要求 を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。DONE の result には evidence_kind・evidence_state・confirmed・business_acceptance が付きます。利用側が用意するもの: 基盤への port（submit と、任意で lookup）と、cfg で pin する一覧。副作用は 無し（NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-06", "category": "D/通知・配信", "kind": "Tsugite", "title": "バウンス・苦情の記録 — メッセージングの拡張継手（Tsugite）", "summary": "メッセージングの拡張継手（Tsugite）は、不達（バウンス）と苦情の記録（BounceComplaint の要求）を契約の型で検めてから基盤へ運び、戻った受領（receipt）を契約どおりに照合して、止めたか（suppression_state・suppressed）を返す継手（つぎて）です。一時的な保留（DEFERRAL）を止める理由として扱わず、一つでも合わなければ送らず、受理しません（fail-closed）。", "problem": "不達・スパム申告（苦情）を記録するとき、一時的な保留まで宛先を止める理由にしてしまうこと、効果が不明な受領や別の要求の受領を受け取ってしまうこと、同じ記録を二度送ることを防ぎます。", "use_when": [ "不達・スパム申告（苦情）を基盤に記録し、止めた状態（suppression_state・suppressed）を受け取りたいとき。", "一時的な保留（DEFERRAL）では宛先を止めたくないとき。", "止めた宛先を、利用側で送信の継手（mail・SMS と push）へ渡したいとき。この継手は、渡すための状態を返します。", "受領に不整合が出たら、そこで止めたいとき（HALTED）。" ], "do_not_use_when": [ "送信の停止まで任せたいとき。この継手は状態を返すだけで、止めた宛先を送信の継手（mail・SMS と push）へ渡すのは利用側の役目です。", "メッセージの本文を載せたいとき。この継手はメッセージの中身を扱わず、参照だけを運びます。", "止めたことを、承認や決裁として扱いたいとき。どの結果も承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える基盤がほしいとき。実の基盤（どのキュー・発行購読・配信の証拠の仕組みか）は含まず、まだ決まっていません。" ], "what_it_checks": [ "一時的な保留（DEFERRAL）で宛先を止めようとする記録は拒否します。DEFERRAL と、止めない記録（NOT_SUPPRESSED）の side effect は無し（NONE）です。", "side effect を検めます。不達・苦情の記録の side effect は NONE か EXTERNAL_REVERSIBLE です。意図より外への効果を増やす受領と、効果が不明（UNKNOWN）な受領は受理しません。", "参照を検めます。空の参照、パス（.. を含む）の参照、追加のフィールドは拒否します。空の一覧は何も許しません。", "別の要求の受領（request_digest の偽り）は受理しません。照合できない受領のあとは停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は照会（lookup）で解きます。" ], "what_it_does_not_do": [ "止めた宛先を送信の継手（mail・SMS と push）へ渡しません。この継手は状態を返すだけです。", "不達・苦情の記録を運ぶ継手で、苦情の中身の判断や送信の評価（レピュテーション）の管理の機能は含みません。", "止める・再送するの方針を決めるのは核（policy-facts）と人の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "実の基盤を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "どの結果も承認ではありません（approval: false）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のキューやメッセージ基盤の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/messaging-ext/v1 でつなぎます。createMessagingExtClient({ cfg, port }) の submit(request) に BounceComplaint の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。DONE の result には event・suppression_state・suppressed が付きます。利用側が用意するもの: 基盤への port（submit と、任意で lookup）と、cfg で pin する一覧。副作用は NONE か EXTERNAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-07", "category": "D/通知・配信", "kind": "Tsugite", "title": "メッセージキュー — メッセージングの拡張継手（Tsugite）", "summary": "メッセージングの拡張継手（Tsugite）は、キューへの出し入れ（Queue の要求。ENQUEUE・DEQUEUE・ACK）を、pin したキューと冪等キーで検めてから基盤へ運び、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。二重に積まず、積んだことを届いたことと取り違えません。一つでも合わなければ送らず、受理しません（fail-closed）。", "problem": "非同期の受け渡しにキューを使うとき、pin していないキューへ積むこと、同じメッセージを二重に積むこと、同じ冪等キーで別の中身を積むこと、そして積んだことを受け取った側の処理と取り違えることを防ぎます。", "use_when": [ "非同期の受け渡しで、pin したキューにだけ積み（ENQUEUE）・取り出し（DEQUEUE）・ACK を運びたいとき。", "同じメッセージを二重に積みたくないとき。ENQUEUE には idempotency_key を必須にし、重複（DEDUP_HIT）は新しい効果なしとして扱います。", "受領の状態が操作（op）に対応しているかを確かめてから受け取りたいとき。", "受領に不整合が出たら、そこで止めたいとき（HALTED）。" ], "do_not_use_when": [ "取り出した側が処理したか（業務として受け入れたか）を確かめたいとき。この継手は確かめません。", "メッセージの本文を載せたいとき。この継手はメッセージの中身を扱わず、参照だけを運びます。", "積んだことを、承認や決裁として扱いたいとき。積んだは承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える基盤がほしいとき。実の基盤（どのキューの仕組みか）は含まず、まだ決まっていません。" ], "what_it_checks": [ "pin していないキューへの要求は送りません。", "参照を検めます。空の参照、パス（.. を含む）の参照、追加のフィールドは拒否します。空の一覧は何も許しません。", "idempotency_key の無い ENQUEUE は送りません。同じ冪等キーで別の中身の要求は送りません（REFUSED）。", "重複（DEDUP_HIT）なのに新しい効果が付いた受領と、DEQUEUE への DEDUP_HIT は受理しません。", "操作に対応しない状態の受領は受理しません（ENQUEUE→ENQUEUED か DEDUP_HIT、DEQUEUE→DEQUEUED、ACK→ACKED、または FAILED だけ）。", "side effect を検めます。キューの操作は EXTERNAL_REVERSIBLE（DEDUP_HIT・FAILED は NONE）です。意図より外への効果を増やす受領と、効果が不明（UNKNOWN）な受領は受理しません。", "別の要求の受領（request_digest の偽り）は受理しません。照合できない受領のあとは停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は照会（lookup）で解きます。" ], "what_it_does_not_do": [ "キューそのものは含みません。キューへの出し入れの要求を運ぶ継手です。どの基盤につなぐか、port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "積んだこと・取り出したことは、受け取った側が処理したこと（業務として受け入れたこと）ではありません。確かめません。", "重複の検出や、止める・再送するの方針を決めるのは核（reconcile-facts・policy-facts）と人の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "積んだは承認ではありません（approval: false）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のキューやメッセージ基盤の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/messaging-ext/v1 でつなぎます。createMessagingExtClient({ cfg, port }) の submit(request) に Queue の要求 を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。DONE の result には queue_state が付きます。利用側が用意するもの: 基盤への port（submit と、任意で lookup）と、cfg で pin する一覧。副作用は EXTERNAL_REVERSIBLE（DEDUP_HIT・FAILED は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-08", "category": "D/通知・配信", "kind": "Tsugite", "title": "Pub/Sub ファンアウト — メッセージングの拡張継手（Tsugite）", "summary": "メッセージングの拡張継手（Tsugite）は、発行と購読（PubSub の要求。PUBLISH・SUBSCRIBE・UNSUBSCRIBE）を、pin した話題（topic）とイベントのスキーマで検めてから基盤へ運び、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。発行したことを受け取られたことと取り違えません（received: NOT_OBSERVED）。一つでも合わなければ送らず、受理しません（fail-closed）。", "problem": "1 対多の配信に発行と購読を使うとき、pin していない話題への発行・購読、スキーマを pin していないイベントの発行、そして発行したことを購読側が受け取ったことと取り違えることを防ぎます。", "use_when": [ "pin した話題にだけ、発行（PUBLISH）・購読（SUBSCRIBE）・購読の解除（UNSUBSCRIBE）を運びたいとき。", "発行するイベントに、pin したイベントのスキーマ（event_schema_ref）を必ず付けたいとき。", "発行したことと、受け取られたことを分けて扱いたいとき。", "同じ発行を二度送りたくないとき。受領が確定しないまま再送する場合は照会（lookup）で解きます。", "受領に不整合が出たら、そこで止めたいとき（HALTED）。" ], "do_not_use_when": [ "購読側が受け取ったか・処理したかを確かめたいとき。received は観測しておらず（NOT_OBSERVED）、業務として受け入れたかも確かめません。", "メッセージの本文を載せたいとき。この継手はメッセージの中身を扱わず、参照だけを運びます。", "発行したことを、承認や決裁として扱いたいとき。発行したは承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える基盤がほしいとき。実の基盤（どの発行購読の仕組みか）は含まず、まだ決まっていません。" ], "what_it_checks": [ "pin していない話題、pin していないイベントのスキーマへの要求は送りません。", "イベントのスキーマ（event_schema_ref）の無い PUBLISH は送りません。", "参照を検めます。空の参照、パス（.. を含む）の参照、追加のフィールドは拒否します。空の一覧は何も許しません。", "操作に対応しない状態の受領は受理しません（PUBLISH→PUBLISHED、SUBSCRIBE→SUBSCRIBED、UNSUBSCRIBE→UNSUBSCRIBED、または FAILED だけ）。", "side effect を検めます。発行と購読は EXTERNAL_REVERSIBLE（FAILED は NONE）です。意図より外への効果を増やす受領と、効果が不明（UNKNOWN）な受領は受理しません。", "別の要求の受領（request_digest の偽り）は受理しません。照合できない受領のあとは停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は照会（lookup）で解きます。" ], "what_it_does_not_do": [ "発行と購読の要求を基盤へ運ぶ継手で、1 対多に配る（ファンアウト）機能そのものは含みません。", "発行したことは、受け取られたことではありません（received: NOT_OBSERVED）。", "実の基盤を含みません。どの発行購読の仕組みにつなぐか、port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "業務の受け入れの判断は核と人の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "発行したは承認ではありません（approval: false）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のキューやメッセージ基盤の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/messaging-ext/v1 でつなぎます。createMessagingExtClient({ cfg, port }) の submit(request) に PubSub の要求 を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。DONE の result には pubsub_state・received: NOT_OBSERVED が付きます。利用側が用意するもの: 基盤への port（submit と、任意で lookup）と、cfg で pin する一覧。副作用は EXTERNAL_REVERSIBLE（FAILED は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "D-09", "category": "D/通知・配信", "kind": "Tsugite", "title": "デッドレター処理 — メッセージングの拡張継手（Tsugite）", "summary": "メッセージングの拡張継手（Tsugite）は、デッドレターの操作（DeadLetter の要求。PARK・REDRIVE・PURGE）を、pin したデッドレター（dlq_refs）で検めてから基盤へ運び、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。取り消せない消去（PURGE）は設定 allow_purge: true のときだけ運び、一つでも合わなければ送らず、受理しません（fail-closed）。", "problem": "失敗したメッセージの退避にデッドレターを使うとき、pin していないデッドレターを操作すること、設定で許していないのに取り消せない消去（PURGE）をしてしまうこと、そして効果が意図より大きい受領を受け取ってしまうことを防ぎます。", "use_when": [ "失敗したメッセージの退避のために、pin したデッドレターへの PARK・REDRIVE を運びたいとき。", "取り消せない消去（PURGE）を、設定で明示して許したときだけ運びたいとき（allow_purge の既定は false）。", "同じ操作を二度送りたくないとき。受領が確定しないまま再送する場合は照会（lookup）で解きます。", "受領に不整合が出たら、そこで止めたいとき（HALTED）。" ], "do_not_use_when": [ "消してよいかの判断を任せたいとき。消してよいかの判断は核と人の役目です。", "メッセージの本文を載せたいとき。この継手はメッセージの中身を扱わず、参照だけを運びます。", "退避・消去の成功を、承認や決裁として扱いたいとき。どの結果も承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える基盤がほしいとき。実の基盤（どのデッドレターの仕組みか）は含まず、まだ決まっていません。" ], "what_it_checks": [ "pin していないデッドレターへの要求は送りません。", "設定 allow_purge: true でないときの PURGE は送りません。", "参照を検めます。空の参照、パス（.. を含む）の参照、追加のフィールドは拒否します。空の一覧は何も許しません。", "操作に対応しない状態の受領は受理しません（PARK→PARKED、REDRIVE→REDRIVEN、PURGE→PURGED、または FAILED だけ）。", "side effect を検めます。PARK・REDRIVE は EXTERNAL_REVERSIBLE、PURGE は EXTERNAL_IRREVERSIBLE、FAILED は NONE です。意図より外への効果を増やす受領と、効果が不明（UNKNOWN）な受領は受理しません。", "別の要求の受領（request_digest の偽り）は受理しません。照合できない受領のあとは停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は照会（lookup）で解きます。" ], "what_it_does_not_do": [ "PURGE で消したものは取り消せません（EXTERNAL_IRREVERSIBLE）。この継手は、設定で許したかを検めるだけです。", "デッドレターの操作の要求を運ぶ継手で、失敗したメッセージを自ら見つけて退避する機能は含みません。", "消してよいかの判断は核と人の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "実の基盤を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "どの結果も承認ではありません（approval: false）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のキューやメッセージ基盤の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/messaging-ext/v1 でつなぎます。createMessagingExtClient({ cfg, port }) の submit(request) に DeadLetter の要求 を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。DONE の result には dlq_state が付きます。利用側が用意するもの: 基盤への port（submit と、任意で lookup）と、cfg で pin する一覧。副作用は PARK・REDRIVE が EXTERNAL_REVERSIBLE、PURGE が EXTERNAL_IRREVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-01", "category": "E/スケジュール・ワークフロー", "kind": "Tsugite", "title": "定時トリガ（cron） — 仕事の制御継手（Tsugite）", "summary": "仕事の制御継手（Tsugite）は、実行基盤への要求（Request）を pin した一覧で検めてから送り、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。定時トリガ（cron）としては、予定（ScheduleTrigger）の登録・更新・停止の要求を検めて実行基盤のスケジューラへ送り、受領の予定の状態と次の起動を照合します。起動そのものは実行基盤が行います。", "problem": "毎日・毎時の起動を外部のスケジューラに任せるとき、pin していない予定や起動の指定を登録してしまうこと、止めた予定に次の起動が残っていると読み違えること、受領を照合しないまま「登録できた」と扱うことを防ぎます。登録できたことを業務の許可と取り違えないための検めです。", "use_when": [ "毎日・毎時の起動の予定を外部のスケジューラに登録・更新・停止するとき、要求を pin した予定（schedule_refs）と起動の指定（trigger_spec_refs）で検めてから送りたいとき。", "スケジューラの受領をそのまま信じず、受領の状態が要求（op）に対応するもの（REGISTER→REGISTERED、UPDATE→UPDATED、DISABLE→DISABLED）か、効果のない FAILED かを照合してから扱いたいとき。", "同じ要求を二度送りたくないとき。結果が分からなかった送信は照会（lookup）で解きます。", "受領が照合できないとき、以後の送信を止めたいとき（HALTED）。" ], "do_not_use_when": [ "予定どおりに起動したかを確かめたいとき。この継手が見るのは登録の受領だけで、起動したかどうかは見ません。", "スケジューラそのものがほしいとき。実の実行基盤は含まず、どのスケジューラにつなぐかはまだ決まっていません。", "予定を登録できたことを、その仕事を実行してよいという業務の許可として扱いたいとき。何をいつ実行してよいかの決定は核（policy-facts）の役目です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "参照を検めます。pin していない予定・起動の指定、空の参照、パスや .. を含む参照は送りません。空の一覧は何も許しません。", "受領の状態は、要求（op）に対応するもの（REGISTER→REGISTERED、UPDATE→UPDATED、DISABLE→DISABLED）か、効果のない FAILED（副作用なし・次の起動なし）だけを受け取ります。それ以外は受理しません。", "止めた・失敗した予定に次の起動（next_fire_ref）が付いた受領を受理しません。", "受領の request_id・request_digest・参照が要求と一致しないとき（request_digest の偽り）、受理しません。", "外への効果を増やす受領と、効果が分からない（UNKNOWN）受領を受理しません。効果は、どこまで及ぶかと取り消せるかの両方で、要求の意図以下でなければなりません。", "受領が照合できなければ停止し（HALTED）、以後は送りません。同じ request_id は二度送らず、実行基盤の障害は UNKNOWN として照会（lookup）で解きます。" ], "what_it_does_not_do": [ "予定どおりに起動したかは見ません（登録の受領だけを見ます）。起動そのものは実行基盤が行います。", "何をいつ実行してよいかの決定（policy-facts）と重複の検出（reconcile-facts）は核の役目です。業務の許可・再試行の許可・補償の承認は核と人の役目で、この継手がするのは送る前と受け取った後の検めだけです。", "積めた・実行できた・完了したは承認ではありません。どの結果にも approval: false が付きます。", "実の実行基盤（どのスケジューラ・キュー・ロックの仕組みか）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のスケジューラやキューの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/workflow-jobs/v1 でつなぎます。createWorkflowClient({ cfg, port }) の submit(request) に ScheduleTrigger の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します。DONE に schedule_state・next_fire_ref を添えます。利用側が用意するもの: 実行基盤への port（submit、任意で lookup）と cfg の schedule_refs・trigger_spec_refs。副作用は EXTERNAL_REVERSIBLE（重複・拒否・失敗は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-02", "category": "E/スケジュール・ワークフロー", "kind": "Tsugite", "title": "遅延ジョブ — 仕事の制御継手（Tsugite）", "summary": "仕事の制御継手（Tsugite）は、実行基盤への要求（Request）を pin した一覧で検めてから送り、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。遅延ジョブとしては、N 分後に実行する仕事（DelayedJob）の要求を pin したジョブで検めて実行基盤へ送り、受領の積み込みの状態（enqueue_state）と worker の割当て（worker_assignment_ref）を照合します。時間を待って実行するのは実行基盤です。", "problem": "リマインドのように後で実行する仕事を外部の実行基盤に預けるとき、pin していないジョブを積むこと、同じ仕事を二重に積むこと、失敗した積み込みに worker が割り当たったと読み違えることを防ぎます。積めたことを業務の許可と取り違えないための検めです。", "use_when": [ "N 分後に実行する仕事を外部の実行基盤に預けるとき、pin したジョブ（job_refs）だけを送りたいとき。", "同じ仕事を二重に積みたくないとき。重複（DEDUP_HIT）は新しい効果なしとして受け取り、同じ冪等キーで別の中身は送りません。", "実行基盤の受領をそのまま信じず、契約どおりに照合してから積めたとしたいとき。", "結果が分からなかった送信を、二度送らずに照会（lookup）で解きたいとき。" ], "do_not_use_when": [ "積んだ仕事が予定の時刻に実行されたかを確かめたいとき。この継手が見るのは積み込みの受領だけで、実行されたかは見ません。", "時間を待って実行する仕組みそのものがほしいとき。実の実行基盤は含まず、どの仕組みにつなぐかはまだ決まっていません。", "積めたことを、その仕事を実行してよいという業務の許可として扱いたいとき。何をいつ実行してよいかの決定は核（policy-facts）の役目です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "参照を検めます。pin していないジョブ、空の参照、パスや .. を含む参照は送りません。空の一覧は何も許しません。", "同じ冪等キーで別の中身の要求は送りません。重複（DEDUP_HIT）に新しい効果が付いた受領は受理しません。", "失敗した積み込みに worker の割当て（worker_assignment_ref）が付いた受領を受理しません。", "受領の状態が要求に対応しないとき、受理しません。", "受領の request_id・request_digest・参照が要求と一致しないとき（request_digest の偽り）、受理しません。", "外への効果を増やす受領と、効果が分からない（UNKNOWN）受領を受理しません。効果は、どこまで及ぶかと取り消せるかの両方で、要求の意図以下でなければなりません。", "受領が照合できなければ停止し（HALTED）、以後は送りません。同じ request_id は二度送らず、実行基盤の障害は UNKNOWN として照会（lookup）で解きます。" ], "what_it_does_not_do": [ "積んだ仕事が実行されたかは見ません（積み込みの受領だけを見ます）。時間を待って実行するのは実行基盤です。", "何をいつ実行してよいかの決定（policy-facts）と重複の検出（reconcile-facts）は核の役目です。業務の許可・再試行の許可・補償の承認は核と人の役目で、この継手がするのは送る前と受け取った後の検めだけです。", "積めた・実行できた・完了したは承認ではありません。どの結果にも approval: false が付きます。", "実の実行基盤（どのスケジューラ・キュー・ロックの仕組みか）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のスケジューラやキューの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/workflow-jobs/v1 でつなぎます。createWorkflowClient({ cfg, port }) の submit(request) に DelayedJob の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します。DONE に enqueue_state・worker_assignment_ref を添えます。利用側が用意するもの: 実行基盤への port（submit、任意で lookup）と cfg の job_refs。副作用は EXTERNAL_REVERSIBLE（重複・拒否・失敗は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-03", "category": "E/スケジュール・ワークフロー", "kind": "Tsugite", "title": "タスクキュー・ワーカー — 仕事の制御継手（Tsugite）", "summary": "仕事の制御継手（Tsugite）は、実行基盤への要求（Request）を pin した一覧で検めてから送り、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。タスクキュー・ワーカーとしては、重い処理のタスク（TaskEnqueue）の要求と中身の bytes を、pin したキューと中身の digest・上限で検めて実行基盤のキューへ送り、受領の積み込みの状態と worker の割当てを照合します。タスクを実行するのは実行基盤です。", "problem": "重い処理を後ろで回すためにキューへ積むとき、途中で改ざんされた中身や大きすぎる中身を積むこと、同じタスクを二重に積むこと、失敗した積み込みに worker が割り当たったと読み違えることを防ぎます。", "use_when": [ "重い処理を後ろで回すため、pin したキュー（queue_refs）にだけタスクを積みたいとき。", "キューに積む中身（bytes）の digest と上限（max_payload_bytes）を、送る前に自分で確かめたいとき。", "同じタスクを二重に積みたくないとき。重複（DEDUP_HIT）は新しい効果なしとして受け取り、同じ冪等キーで別の中身は送りません。", "結果が分からなかった送信を、二度送らずに照会（lookup）で解きたいとき。" ], "do_not_use_when": [ "積んだタスクが実行されたかを確かめたいとき。この継手が見るのは積み込みの受領だけで、実行されたかは見ません。", "キューの仕組みそのものがほしいとき。実の実行基盤は含まず、どのキューにつなぐかはまだ決まっていません。", "積めたことを、その処理を実行してよいという業務の許可として扱いたいとき。何をいつ実行してよいかの決定は核（policy-facts）の役目です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "参照を検めます。pin していないキュー、空の参照、パスや .. を含む参照は送りません。空の一覧は何も許しません。", "中身を検めます。要求の payload_digest（対象は task_ref）と中身の bytes が合わないとき（改ざん）は送りません。TaskEnqueue は bytes が必須です。", "上限（max_payload_bytes）を超える中身は送りません。", "同じ冪等キーで別の中身の要求は送りません。重複（DEDUP_HIT）に新しい効果が付いた受領は受理しません。", "失敗した積み込みに worker の割当て（worker_assignment_ref）が付いた受領を受理しません。", "受領の request_id・request_digest・参照が要求と一致しないとき（request_digest の偽り）、受理しません。", "外への効果を増やす受領と、効果が分からない（UNKNOWN）受領を受理しません。効果は、どこまで及ぶかと取り消せるかの両方で、要求の意図以下でなければなりません。", "受領が照合できなければ停止し（HALTED）、以後は送りません。同じ request_id は二度送らず、実行基盤の障害は UNKNOWN として照会（lookup）で解きます。" ], "what_it_does_not_do": [ "積んだタスクが実行されたかは見ません（積み込みの受領だけを見ます）。タスクを実行するのは実行基盤です。", "何をいつ実行してよいかの決定（policy-facts）と重複の検出（reconcile-facts）は核の役目です。業務の許可・再試行の許可・補償の承認は核と人の役目で、この継手がするのは送る前と受け取った後の検めだけです。", "積めた・実行できた・完了したは承認ではありません。どの結果にも approval: false が付きます。", "実の実行基盤（どのスケジューラ・キュー・ロックの仕組みか）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のスケジューラやキューの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/workflow-jobs/v1 でつなぎます。createWorkflowClient({ cfg, port }) の submit(request, bytes) に TaskEnqueue の要求と bytes（必須）を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します。DONE に enqueue_state・worker_assignment_ref を添えます。利用側が用意するもの: 実行基盤への port（submit、任意で lookup）と cfg の queue_refs・max_payload_bytes（必須）。副作用は EXTERNAL_REVERSIBLE（重複・拒否・失敗は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-04", "category": "E/スケジュール・ワークフロー", "kind": "Tsugite", "title": "ワークフロー統括（saga） — 仕事の制御継手（Tsugite）", "summary": "仕事の制御継手（Tsugite）は、実行基盤への要求（Request）を pin した一覧で検めてから送り、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。ワークフロー統括（saga）としては、サガの手順（SagaStep）の前進（FORWARD）と補償（COMPENSATE）の要求を、pin したサガと手順で検めて実行基盤へ送り、受領の手順の状態を照合します。サガの調停は実行基盤が行い、補償できたことを人の取消しの承認と取り違えません。", "problem": "多段処理が途中で失敗して巻き戻すとき、補償の参照が無い補償を送ること、効果の分からない手順や取り消せない手順を許しなく送ること、補償できたことを人の取消しの承認として扱ってしまうことを防ぎます。", "use_when": [ "多段処理の手順を、pin したサガ（saga_refs）と手順（step_refs。補償の手順も含む）だけで送りたいとき。", "途中失敗の巻き戻しで、補償の要求（COMPENSATE）を補償の手順の参照つきでだけ送りたいとき。", "受領の手順の状態が要求に対応するか（FORWARD→EXECUTED・FAILED・SKIPPED、COMPENSATE→COMPENSATED・FAILED・SKIPPED）を照合したいとき。", "取り消せない効果の手順を、設定で明示したとき（allow_irreversible: true）だけ送りたいとき。既定は false です。" ], "do_not_use_when": [ "補償できたことを、人の取消しの承認として扱いたいとき。承認は核と人の役目で、受領からは NOT_DERIVED だけを受け取ります。", "手順を実行できたことを、業務の許可として扱いたいとき。業務の許可を導く受領は受理しません。", "サガの調停（多段処理の状態機械）そのものがほしいとき。調停は実行基盤の側で、実の実行基盤は含まず、どれにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "参照を検めます。pin していないサガや手順、空の参照、パスや .. を含む参照は送りません。空の一覧は何も許しません。", "補償の手順の参照が無い補償（COMPENSATE）は送りません。", "意図した効果が UNKNOWN の手順は送りません。取り消せない効果の手順は、設定 allow_irreversible: true のときだけ送ります。", "受領の手順の状態が要求に対応しないとき、受理しません。", "補償の承認や業務の許可を導く受領を受理しません（NOT_DERIVED だけを受け取ります）。", "受領の request_id・request_digest・参照が要求と一致しないとき（request_digest の偽り）、受理しません。", "外への効果を増やす受領と、効果が分からない（UNKNOWN）受領を受理しません。効果は、どこまで及ぶかと取り消せるかの両方で、要求の意図以下でなければなりません。", "受領が照合できなければ停止し（HALTED）、以後は送りません。同じ request_id は二度送らず、実行基盤の障害は UNKNOWN として照会（lookup）で解きます。" ], "what_it_does_not_do": [ "サガの調停（多段処理の状態機械）は実行基盤の役目で、この継手は持ちません。巻き戻しそのものも行わず、補償の要求を検めて送り、受領を照合するだけです。", "補償できても人の取消しの承認ではありません。成功はどれも承認ではなく、どの結果にも approval: false が付きます。", "何をいつ実行してよいかの決定（policy-facts）と重複の検出（reconcile-facts）は核の役目です。業務の許可・再試行の許可・補償の承認は核と人の役目で、この継手がするのは送る前と受け取った後の検めだけです。", "実の実行基盤（どのスケジューラ・キュー・ロックの仕組みか）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のスケジューラやキューの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/workflow-jobs/v1 でつなぎます。createWorkflowClient({ cfg, port }) の submit(request) に SagaStep の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します。DONE に step_state・compensation_authorization・business_authorization を添えます。利用側が用意するもの: 実行基盤への port（submit、任意で lookup）と cfg の saga_refs・step_refs・allow_irreversible。副作用は手順ごとの意図どおり（SKIPPED は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-05", "category": "E/スケジュール・ワークフロー", "kind": "Tsugite", "title": "分散ロック — 仕事の制御継手（Tsugite）", "summary": "仕事の制御継手（Tsugite）は、実行基盤への要求（Request）を pin した一覧で検めてから送り、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。分散ロックとしては、ロック（Lock）の取得（ACQUIRE）・更新（RENEW）・解放（RELEASE）の要求を、pin したロックとこの継手の holder（holder_ref）と上限以内の期限で検めて実行基盤へ送り、受領のロックの状態を照合します。排他そのものは実行基盤の役目で、リーダー選出はしません。", "problem": "同時実行の排他を外部のロックの仕組みに任せるとき、他の holder のロックに触ること、期限の無いロックや上限を超える期限のロックを取ること、結果が分からない（UNKNOWN）ときに「持っている」と読み違えることを防ぎます。持っていないロックを持っていると扱わないための検めです。", "use_when": [ "同時実行の排他を外部のロックの仕組みに任せるとき、pin したロック（lock_refs）を、この継手の holder（holder_ref）だけで扱いたいとき。", "ロックに期限を付け、期限の上限（max_lock_ttl_seconds）を超えない ACQUIRE・RENEW だけを送りたいとき。", "「持っている」（held: true）を、受領の状態が ACQUIRED・HELD のときだけにしたいとき。UNKNOWN からは導きません。", "fencing token（fencing_token_ref）を、持っているロック（ACQUIRED・HELD）の受領でだけ受け取りたいとき。" ], "do_not_use_when": [ "この継手でリーダー選出（E-06）をしたいとき。この継手の契約にリーダー選出の種類は無く、選出の任期や他の持ち主の観測も持ちません。E-06 は、この継手の分散ロックを束ねる部品(Component)（リーダー選出の部品）が担います。", "排他が正しく守られることを、この継手に頼りたいとき。ロックの排他の正しさは実行基盤の役目で、この継手は holder と期限と受領の整合だけを見ます。", "ロックの仕組みそのものがほしいとき。実の実行基盤は含まず、どのロックの仕組みにつなぐかはまだ決まっていません。", "ロックを持てたことを、その処理を実行してよいという業務の許可として扱いたいとき。何をいつ実行してよいかの決定は核（policy-facts）の役目です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "参照を検めます。pin していないロック、空の参照、パスや .. を含む参照は送りません。空の一覧は何も許しません。", "この継手の holder ではない holder のロックの要求は送りません。他が持っていれば DENIED で、効果なしとして受け取ります。", "期限の無い ACQUIRE・RENEW と、上限（max_lock_ttl_seconds）を超える期限の要求は送りません。", "受領の状態が要求に対応しないとき（ACQUIRE→ACQUIRED・HELD・DENIED・UNKNOWN、RENEW→HELD・EXPIRED・DENIED・UNKNOWN、RELEASE→RELEASED・EXPIRED・DENIED・UNKNOWN 以外）、受理しません。", "解放したロックなど、持っていないロックに fencing token が付いた受領を受理しません。UNKNOWN から「持っている」を導きません。", "リーダー選出（E-06）の種類の要求は、この継手の契約に種類が無いので受け付けません。", "受領の request_id・request_digest・参照が要求と一致しないとき（request_digest の偽り）、受理しません。", "外への効果を増やす受領と効果が分からない（UNKNOWN）受領を受理せず、照合できない受領で停止します（HALTED）。同じ request_id は二度送らず、実行基盤の障害は UNKNOWN として照会（lookup）で解きます。" ], "what_it_does_not_do": [ "リーダー選出はしません。E-06 は、この継手を束ねる部品(Component)（リーダー選出の部品）が担います。この継手自身には選出の種類はありません。", "ロックの排他の正しさは実行基盤の役目です。この継手は holder と期限と受領の整合だけを見ます。", "何をいつ実行してよいかの決定（policy-facts）と重複の検出（reconcile-facts）は核の役目です。業務の許可・再試行の許可・補償の承認は核と人の役目で、この継手がするのは送る前と受け取った後の検めだけです。", "積めた・実行できた・完了したは承認ではありません。どの結果にも approval: false が付きます。", "実の実行基盤（どのスケジューラ・キュー・ロックの仕組みか）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のスケジューラやキューの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/workflow-jobs/v1 でつなぎます。createWorkflowClient({ cfg, port }) の submit(request) に Lock の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します。DONE に lock_state・held・fencing_token_ref を添えます。利用側が用意するもの: 実行基盤への port（submit、任意で lookup）と cfg の lock_refs・holder_ref・max_lock_ttl_seconds。副作用は EXTERNAL_REVERSIBLE（重複・拒否・失敗は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-06", "category": "E/スケジュール・ワークフロー", "kind": "Component", "title": "リーダー選出 — リーダー選出の部品（Component）", "summary": "リーダー選出の部品（Component）は、冗長な構成で 1 つだけを動かすために、E-05 分散ロックの継手を束ねてリーダーを選ぶ部品です。立候補・期限の前の更新・降りるを行い、ロックを握れて fencing token があり、リースの期限（送る前の時刻 + ttl − 安全余裕）より前のときだけ「リーダー」と答えます。拒否・期限切れ・結果不明・障害・時計の逆行では、すぐリーダーでなくなります（fail-closed）。リーダーであることは権限ではありません。", "problem": "可用性の裏で、同じロックを取り合う 2 つの参加者が同時にリーダーを名乗ること（ロックの基盤が正しいとき）、受領の遅れの分だけ期限を長く見てしまうこと、fencing token の無いままリーダーを名乗ることを防ぎます。", "use_when": [ "冗長な構成で、処理を 1 つの参加者だけに動かしたいとき。E-05 分散ロックの継手のクライアント（submit(LockRequest) を持つもの）を lock として注入します。", "立候補（campaign）・期限の前の更新（renew）・降りる（resign）・今リーダーかの確認（status）を、例外を投げない操作で行いたいとき。", "リーダーのときに fencing token（fencing_token_ref）を受け取り、書込み先に渡したいとき。leader が true のときは必ず fencing_token_ref があります。", "期限を、ロックを頼む前に読んだ時刻 + ttl − 安全余裕で短く見積もりたいとき。時刻は注入した単調な時計（clock.now()）だけから取ります。", "降りたら、ロックの解放の結果によらず、手元ではすぐリーダーでないことにしたいとき。" ], "do_not_use_when": [ "リーダーであることを、権限や承認として使いたいとき。どの結果にも approval: false と authority: NOT_DERIVED が付きます。", "古いリーダーの書込みを、この部品で止めたいとき。fencing token で古いリーダーの書込みを止めるのは書込み先の役目で、この部品は token を渡すだけです。", "「リーダー」を、ロックの基盤の最新の状態そのものとして扱いたいとき。「リーダー」はこの参加者の手元の判定です。", "再起動をまたいでリーダーを続けたいとき。状態はこのプロセスの中だけで、再起動の後は立候補し直すまでリーダーでありません。", "本物のロックの基盤で確かめた部品が要るとき。本物の基盤には一度も接続しておらず、代役のロックだけで確かめました。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "options が足りない・形が違うとき（ttl が 1〜3600 の外、安全余裕が ttl 以上、submit の無い lock、now の無い clock、.. を含む参照）、INVALID_OPTIONS で止めます。", "前の操作が終わっていないとき、2 つ目を BUSY で止めます（同時に 1 つの操作だけ）。", "リーダーでないのに更新しようとしたとき NOT_LEADER、期限を過ぎてからの更新のとき LEASE_EXPIRED で、ロックへ送りません。ロックが基盤の側で切れていたときも LEASE_EXPIRED です。", "ほかの参加者がロックを握っているとき LOCK_DENIED、結果が DONE でないとき（UNKNOWN・REFUSED・ALREADY_DONE・HALTED など）や held が true でないとき LOCK_UNKNOWN で、リーダーでないとします。", "握れたのに fencing token が無いとき NO_FENCING_TOKEN、ロックのクライアントが例外を投げたとき PORT_FAILED で、リーダーを名乗りません。", "時計が戻ったとき、リースを捨てて CLOCK_WENT_BACKWARDS で止めます。", "期限を延ばすのは、status が DONE で held が true、かつ fencing token があるときだけです。同じロックを取り合う 2 つの参加者が同時にリーダーを名乗らないことを、ファズで毎回確かめました。" ], "what_it_does_not_do": [ "リーダー選出の部品は継手ではありません。自分の Request/Receipt は無く、ロックの取得・更新・解放という外への効果は、束ねた E-05 の継手が自分の契約（workflow-jobs/v1）で起こします。この部品自身は外へ触れません。", "束ねた E-05 の継手の意味（受領の照合・承認ではない）は、継手の側に残ります。", "リーダーであることは権限でも承認でもありません（approval: false・authority: NOT_DERIVED、derives_authority: false）。", "fencing token を使った書込みの守りはしません。古いリーダーの書込みを止めるのは書込み先の役目です。", "ロックの基盤の正しさ（線形化・時計のずれ・分断のときの振る舞い）は確かめません。安全性は、その正しさと、呼び出し側が決める安全余裕の見積もりに頼ります。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の調整サービスの使い方の雛形ではありません。" ], "integration": "src/leader.js の createLeaderElection(options) で作ります。受け取るのは lock_ref・holder_ref・ttl_seconds・renew_margin_ms・lock・任意の clock と timestamp で、{ ok, errors, instance } を返します。campaign・renew・resign（Promise）と status は { ok, errors, leader, fencing_token_ref, approval: false, … } を返します。利用側が用意する port は lock.submit(request)（E-05 の継手のクライアント）です。副作用は束ねた継手が起こし（EXTERNAL_REVERSIBLE）、資格情報は port が持ちます。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-07", "category": "E/スケジュール・ワークフロー", "kind": "Tsugite", "title": "デバウンス・スロットル — 仕事の制御継手（Tsugite）", "summary": "仕事の制御継手（Tsugite）は、実行基盤への要求（Request）を pin した一覧で検めてから送り、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。デバウンス・スロットルとしては、間引き（Throttle）の要求を pin した間引きの方針で検めて実行基盤へ送り、受領の判定（decision・allowed・retry_after_ref）を照合します。間引きの判定そのものは実行基盤が行います。", "problem": "連打や多重起動を抑える判定を外部の実行基盤に任せるとき、pin していない方針で問い合わせること、許可（ALLOW）の判定に再試行の時刻（retry_after_ref）が付いた食い違った受領を受け取ること、受領を照合しないまま判定を使うことを防ぎます。", "use_when": [ "連打・多重起動の抑制の判定を、pin した間引きの方針（throttle_policies）でだけ実行基盤に問い合わせたいとき。", "実行基盤の判定をそのまま信じず、要求と受領の一致（request_id・request_digest）を照合してから使いたいとき。", "間引きの問い合わせを、外への効果なし（NONE）として扱いたいとき。効果の付いた受領は受理しません。" ], "do_not_use_when": [ "間引きの判定そのものをこの継手に期待するとき。判定は実行基盤の役目で、実の実行基盤は含まず、どれにつなぐかはまだ決まっていません。", "デバウンス専用の要求の種類を求めるとき。契約の種類は間引き（Throttle）で、デバウンス専用の種類はありません。", "判定の許可（allowed）を、その処理を実行してよいという業務の許可として扱いたいとき。何をいつ実行してよいかの決定は核（policy-facts）の役目です。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "参照を検めます。pin していない間引きの方針、空の参照、パスや .. を含む参照は送りません。空の一覧は何も許しません。", "許可（ALLOW）の判定に再試行の時刻（retry_after_ref）が付いた受領を受理しません。", "受領の状態が要求に対応しないとき、受理しません。", "受領の request_id・request_digest・参照が要求と一致しないとき（request_digest の偽り）、受理しません。", "外への効果を増やす受領と、効果が分からない（UNKNOWN）受領を受理しません。効果は、どこまで及ぶかと取り消せるかの両方で、要求の意図以下でなければなりません。", "受領が照合できなければ停止し（HALTED）、以後は送りません。同じ request_id は二度送らず、実行基盤の障害は UNKNOWN として照会（lookup）で解きます。" ], "what_it_does_not_do": [ "間引きの判定はしません。判定は実行基盤が行い、この継手は要求を検めて送り、受領の判定を照合するだけです。", "何をいつ実行してよいかの決定（policy-facts）と重複の検出（reconcile-facts）は核の役目です。業務の許可・再試行の許可・補償の承認は核と人の役目で、この継手がするのは送る前と受け取った後の検めだけです。", "積めた・実行できた・完了したは承認ではありません。どの結果にも approval: false が付きます。", "実の実行基盤（どのスケジューラ・キュー・ロックの仕組みか）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のスケジューラやキューの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/workflow-jobs/v1 でつなぎます。createWorkflowClient({ cfg, port }) の submit(request) に Throttle の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します。DONE に decision・allowed・retry_after_ref を添えます。利用側が用意するもの: 実行基盤への port（submit、任意で lookup）と cfg の throttle_policies。副作用は無し（NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-08", "category": "E/スケジュール・ワークフロー", "kind": "Tsugite", "title": "ジョブ状態照会 — 仕事の制御継手（Tsugite）", "summary": "仕事の制御継手（Tsugite）は、実行基盤への要求（Request）を pin した一覧で検めてから送り、戻った受領（receipt）を契約どおりに照合する継手（つぎて）です。ジョブ状態照会としては、ジョブ状態（JobStatus）の照会を pin したジョブで検めて実行基盤へ送り、受領の状態（status）・再試行できるか（retryable）・失敗の参照（failure_ref）を照合します。完了を業務の受け入れと、再試行できるを再試行の許可と取り違えません。", "problem": "「終わった?」に答えるためにジョブの状態を実行基盤に尋ねるとき、完了を業務の受け入れと、再試行できるを再試行の許可と取り違えること、たどれない失敗の参照を受け取ることを防ぎます。", "use_when": [ "進捗・完了の確認を、pin したジョブ（job_refs）でだけ実行基盤に問い合わせたいとき。", "失敗の参照（failure_ref）を、ai-execution-error の記録へ解決できるときだけ受け取りたいとき。", "完了や再試行できるを、業務の受け入れ・再試行の許可と分けて扱いたいとき。受領からは NOT_DERIVED だけを受け取ります。", "照会を外への効果なし（NONE）として扱いたいとき。効果の付いた受領は受理しません。" ], "do_not_use_when": [ "失敗の記録の中身を検めたいとき。failure_ref が指す ai-execution-error の記録の中身は検めません（解決できるかだけを見ます）。", "完了を業務の受け入れとして、再試行できるを再試行の許可として扱いたいとき。どちらも核と人の役目です。", "ジョブの状態を持つ仕組みそのものがほしいとき。実の実行基盤は含まず、どれにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "参照を検めます。pin していないジョブ、空の参照、パスや .. を含む参照は送りません。空の一覧は何も許しません。", "failure_ref が解決できないとき、または解決の手段（port.resolveFailureRef）が無いときは受領を受理せず、以後は停止します（HALTED）。", "failure_ref は FAILED・CANCELLED のときだけ受け取ります。", "再試行の許可や業務の受け入れを導く受領を受理しません（NOT_DERIVED だけを受け取ります）。", "受領の状態が要求に対応しないとき、受理しません。UNKNOWN の状態から実行や許可を導きません。", "受領の request_id・request_digest・参照が要求と一致しないとき（request_digest の偽り）、受理しません。", "外への効果を増やす受領と、効果が分からない（UNKNOWN）受領を受理しません。効果は、どこまで及ぶかと取り消せるかの両方で、要求の意図以下でなければなりません。", "受領が照合できなければ停止し（HALTED）、以後は送りません。同じ request_id は二度送らず、実行基盤の障害は UNKNOWN として照会（lookup）で解きます。" ], "what_it_does_not_do": [ "failure_ref が指す ai-execution-error の記録の中身は検めません（解決できるかだけを見ます）。", "完了は業務の受け入れではなく、再試行できるは再試行の許可ではありません。成功はどれも承認ではなく、どの結果にも approval: false が付きます。", "何をいつ実行してよいかの決定（policy-facts）と重複の検出（reconcile-facts）は核の役目です。業務の許可・再試行の許可・補償の承認は核と人の役目で、この継手がするのは送る前と受け取った後の検めだけです。", "実の実行基盤（どのスケジューラ・キュー・ロックの仕組みか）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のスケジューラやキューの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/workflow-jobs/v1 でつなぎます。createWorkflowClient({ cfg, port }) の submit(request) に JobStatus の要求を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します。DONE に status・retryable・failure_ref・retry_authorization・business_acceptance を添えます。利用側が用意するもの: 実行基盤への port（submit、任意で lookup、failure_ref があるとき必須の resolveFailureRef）と cfg の job_refs。副作用は無し（NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-09", "category": "E/スケジュール・ワークフロー", "kind": "Component", "title": "読み取り専用の集計の実行 — 読み取り専用の集計の実行の部品（Component）", "summary": "読み取り専用の集計の実行の部品（Component）は、入力を検めて読み、集計の結果を副本として書く部品です。入力はどれも期待する sha256 を添えて C-01 の継手で読み、digest が合ったものだけを JSON として読みます。集計器（fn）には凍った写しを渡します。fn の出力は RFC 8785 の bytes にし、系譜の記録（部品(Primitive) H-10）と一緒に、中身でアドレスしたキーへ冪等書込の継手（C-05）で書きます。fn は同じプロセスの中で動き、安全のための隔離ではありません。", "problem": "集計表の数字がどの入力から出たかは、表に出ません。この部品は、入力の集合・集計器の版・出力のハッシュを系譜として残します。あわせて、検めていない入力で集計すること、集計器に保管物を書き換えさせること、出力で入力の場所を上書きすることを防ぎます。", "use_when": [ "1〜1000 個の入力（key と sha256）を検めて読み、信頼できる集計器 fn で集計し、出力を out//<入力の集合の digest>/<出力の sha256>.json に 1 回だけ書きたいとき（run）。", "fn に、キーの順の凍った配列 [{ key, sha256, data }] だけを渡し、元の bytes や読んだ値そのものは渡したくないとき。", "出力の隣に、入力の Ref（@sha256:）・集計器の ref と version・出力のハッシュを結んだ系譜の記録を残したいとき。", "ほかの集計器の出力を、次の集計の入力にしたいとき。出力の場所は集計器ごとで、自分の出力の場所と重ならない入力は読めます。", "結果の分からなかった書込を、同じ要求で送り直したいとき（resolvePending）。同じ run をもう一度すれば、出力は DEDUP_HIT になります。" ], "do_not_use_when": [ "信頼できない集計器を隔離して動かしたいとき。fn は同じプロセスで動き、process・require・グローバルの値・時計・乱数・ネットワークに触れられ、時間とメモリの上限もありません。この部品が守るのは「入力を書き換えさせない」ことだけです。", "集計の正しさや、fn が決定的であることを確かめたいとき。系譜は使った入力・集計器の版・出力のハッシュの記録で、集計の正しさの証明ではありません。", "fn に小数を返させたいとき。出力は RFC 8785（rfc8785-restricted/v1）なので、小数は受け取りません。", "入力・出力の大きさの上限をこの部品に任せたいとき。上限は読出しと書込の継手の設定で決めます。", "入力の JSON の重複したキーや、安全な整数を超える数を検めたいとき。JSON.parse のとおりに読み、fn に渡る値として検めません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "options が足りない・形が違うとき INVALID_OPTIONS、run の入力の形が違うとき INVALID_INPUT、同じキーが 2 回以上あるとき DUPLICATE_INPUT、入力のキーが出力の場所 out/ と同じかその下にあるとき INPUT_OUTPUT_OVERLAP で、何も読みません。", "C-01 の継手が NOT_FOUND を返したとき INPUT_NOT_FOUND、GET_REJECTED を返した・自分で計算し直した sha256 が違うとき INPUT_DIGEST_MISMATCH、結果が分からないとき READ_UNKNOWN、送らなかったとき READ_REFUSED、停止・形の違いのとき READ_FAILED で、fn を呼ばず何も書きません。", "入力の bytes が UTF-8 の JSON でないとき（BOM を含む）、INPUT_NOT_JSON で fn を呼びません。", "fn が例外を投げたとき（凍った入力を strict mode で書き換えようとした場合を含む）AGGREGATOR_FAILED、fn の値が RFC 8785 で正準化できない・同期の値でないとき OUTPUT_NOT_JSON（reason を添える）で、何も書きません。", "H-10 が例外を投げたとき LINEAGE_FAILED、ok: true を返さないとき LINEAGE_REFUSED、記録の形や count・出力の digest と大きさ・tool・recorded_at・schema が今回の実行と合わないとき LINEAGE_INVALID で、何も書きません。", "書込の結果が分からないとき WRITE_UNKNOWN で保留にし、保留の間の run を WRITE_PENDING で止めます。送らなかったとき WRITE_REFUSED、停止・結果が APPLIED か DEDUP_HIT でないとき WRITE_FAILED です。", "timestamp が RFC 3339 の UTC（Z）の実在する日時を返さないとき CLOCK_FAILED、前の操作が終わっていないとき BUSY、保留が無いのに resolvePending を呼ぶと NOTHING_PENDING です。" ], "what_it_does_not_do": [ "読み取り専用の集計の実行の部品は継手ではありません。自分の Request/Receipt は無く、書込という外への効果は、束ねた C-05 の継手が自分の契約で起こします（読出しは NONE）。この部品自身は外へ触れません。", "束ねた部品の意味（読めた ≠ 中身の正しさ・系譜は集計の正しさの証明ではない・書けた ≠ 受け入れ）は、それぞれの部品の側に残ります。集計器そのものと集計の正しさは、この部品に入りません。", "書けたことは、集計の正しさでも承認でもありません（approval: false・authority: NOT_DERIVED・aggregation_correctness: NOT_VERIFIED、derives_authority: false）。", "fn を隔離しません（sandbox ではありません）。fn の時間とメモリにも上限を設けません。", "C-05 のキーと C-01 の object_ref が同じ保管物を指すか、出力を後で C-01 で読めるかは backend の設定の役目です。", "本物の object-store・storage-lifecycle の backend と H-10 の本物のコードには、この部品の試験では接続していません。単体試験とファズは代役です。状態（保留の書込）はプロセスの中だけで、再起動で消えます。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の集計ツール・BI の雛形ではありません。" ], "integration": "src/sandbox-run.js の createSandboxRun(options) で作り、{ ok, errors, instance } を返します。options は output_target・request_prefix・ports・任意の timestamp です。run({ inputs, aggregator: { ref, version, fn } }) は、書けたとき output_key・lineage_key・written などを添え、結果に approval: false が付きます。port は read.get（C-01 の継手のクライアント）・lineage（H-10 の recordLineage）・write.submit（C-05 の継手のクライアント）です。副作用は束ねた継手が起こし、資格情報は port が持ちます。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "E-10", "category": "E/スケジュール・ワークフロー", "kind": "Primitive", "title": "安全側の長さの写し — 安全側の長さの写しの部品（Primitive）", "summary": "安全側の長さの写しの部品（Primitive）は、P-05（制約・割当・時間枠）へ渡す前に、工程の見積りの幅 duration { min, max } を上限 { min: max, max: max } に写す単独の部品です。{ unknown: true } は変えず、ほかの欄はそのまま写します。元の min・max を projected に残し、変換の profile と写した入力の digest を返します。丸めず・詰めず、範囲の外と形の違う値は決まったコードと位置で止めます（fail-closed）。P-05 は呼びません。", "problem": "予定が「入る」と出た裏で、楽観の長さ（min）で置いたかは見えません。P-05 は工程を duration.min の長さで置くので、この写しを通すと max の長さで置かれます。たとえば不可分の 10〜20 分の工程は 20 分として扱われ、10 分の枠には入りません。どちらの長さで判定したかは、projection_profile と projected_tasks_digest で記録できます。", "use_when": [ "工程の並び（0〜200 件）の duration を、見積りの上限 max で置く形に写してから P-05 に渡したいとき（projectDurations）。どの工程も { min, max } なら { max, max } になり、min = max ならそのままです。", "どの工程の長さを変えたかを、元の値つきで残したいとき。projected に、変えた工程だけを { id, from: { min, max }, to: { min, max } } で並びの順に載せます。", "どの入力を P-05 に渡したかを後から照らしたいとき。写した tasks の正準の JSON（キーを UTF-16 の符号単位の順、余白なし）の UTF-8 の sha256 を projected_tasks_digest として返します。", "長さの分からない工程（{ unknown: true }）を推し量らずにそのまま残し、その id を unknown に並べて受け取りたいとき。", "工程のほかの欄（requires・resource・window など）を、値として同じまま新しいデータに写したいとき。入力は書き換えません。", "例外を投げず、状態を持たない処理として、手元で呼びたいとき。時計・乱数・環境の locale を使わず、同じ入力には同じ答えを返します。" ], "do_not_use_when": [ "楽観の長さ（min のまま）で判定したいとき。その判定はこの部品を通しません。P-05 が自分で max を使うのではなく、使う側がこの写しを明示して通します。", "配置の可否を知りたいとき。この部品は P-05 を呼ばず、配置の可否を言いません。P-05 の答え（feasible など）は P-05 の事実のままです。", "工程の形（requires・resource・window など）を検めたいとき。そのまま写すだけで、検めるのは P-05 です。", "見積りの max が正しいかを確かめたいとき。この部品は見ません。", "200 件を超える工程、100,000,000 分を超える長さ、32 段を超える入れ子の欄を扱いたいとき。決まったコードで止めます。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "tasks が素の配列でない（配列の派生クラスを含む）とき INVALID_TASKS、200 件を超えるとき TOO_MANY_TASKS で止めます。", "id が無い・getter・1〜128 の符号単位の文字列でない・単独のサロゲートがあるとき INVALID_ID、同じ id が 2 回あるとき DUPLICATE_ID（2 回目の位置）で止めます。", "duration が無い・getter、{ min, max }（ほかのキーなし）か { unknown: true } でない、min・max が整数でない・範囲の外、min が 1 より小さい、max が min より小さいとき、INVALID_DURATION で止めます。丸めず・詰めません。", "要素が素のオブジェクトでない（穴・null・継いだもの）、symbol・単独のサロゲートのキー、ほかの欄に getter・関数・undefined・整数でない数・安全でない整数・Date などの素でないオブジェクト・穴、入れ子 32 段を超えるとき、MALFORMED_TASK で止めます。", "値を調べること自体が例外になるとき（Proxy の罠など）、例外を出さずに INSPECTION_FAILED で止めます。getter は呼びません。", "止めたときは、決まった順で最初に見つけた 1 件のコードと位置（path。JSON Pointer）を返し、写した tasks は返しません。", "結果を、別の書き方の独立オラクル（isWellFormed、比較関数での並べ替え、配列の線形の探索）と突き合わせるファズ（1,000,000 回）で、写した tasks・projected・unknown・digest と止めるコード・path の不一致、fail-open が 0 であることを確かめました。", "本物の P-05（solveSchedule）に不可分の 10〜20 分の工程と 15 分の枠を渡すと、そのままでは feasible、この部品で写した後は infeasible（INDIVISIBLE_TOO_LONG）になることを、手元で 1 例だけ確かめました。" ], "what_it_does_not_do": [ "P-05 との結線は手元で 1 例だけ確かめました。部品の束は P-05 を含まないので、単体試験には入っていません。", "写すのは duration だけです。見積りの max が正しいかも、工程のほかの欄の形も検めません。", "配置はしません。写した結果は配置の可否ではなく、承認でもなく（result_is_approval: false）、権限も作りません（derives_authority: false）。", "外の境界・状態・時計・乱数を持ちません。副作用は NONE で、資格情報も使いません。", "入出力の形は v1 で定めたもので、既存の実装はありません（新規）。P-05 の契約は変えていません。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のスケジューラーの使い方の雛形ではありません。" ], "integration": "src/duration-projection.js の projectDurations(tasks) を呼びます（投げません。入力を書き換えません）。受け取るのは { id, duration, ... } の素のオブジェクトの素の配列（200 件まで）です。返すのは { ok: true, errors: [], projection_profile, tasks, projected, unknown, projected_tasks_digest } か { ok: false, errors: [{ code, path }] }。写した tasks を P-05 に渡すのは使う側です。副作用・状態・外の接続・資格情報は無く、依存は Node.js の組み込みの crypto だけで、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "F-01", "category": "F/耐障害・流量制御", "kind": "Primitive", "title": "レート制限・クォータ — レート制限・クォータの部品（Primitive）", "summary": "レート制限・クォータの部品（Primitive）は、キーごとのトークンバケット（token bucket）で、呼び出しの回数や量を抑える単独の部品です。バケットの量は整数で持ち、小数を使わずに補充します。足りなければ RATE_LIMITED と、待てばちょうど取れるようになる最短の retry_after_ms を返し、状態を変えません（fail-closed）。状態はインスタンスごと・このプロセスのメモリーの中だけです。", "problem": "「制限に達しました」を返す裏側で、1 つのプロセスの中の呼び出しの速さを抑えるときに、丸めで余計に通すこと、足りないのに量を減らしてしまうこと、知らないキーを無限に覚えてメモリーを使い切ることを防ぎます。", "use_when": [ "1 つのプロセスの中で、キーごとに呼び出しの回数や量を抑えたいとき（take(key, n)）。", "止めたときに、待てばちょうど通る最短のミリ秒（retry_after_ms）を返したいとき。1 ms 前では通りません。", "バケットを減らさずに残りを見たいとき（peek は新しいキーを作りません）。キーを忘れて満杯に戻したいとき（reset）、満杯のバケットだけを忘れたいとき（prune）。", "時計を注入して、試験で結果を決定的にしたいとき。注入した時計の値の列が同じなら、同じ操作の列は同じ結果になります。", "例外を投げない呼び方が要るとき。ファクトリーとインスタンスのメソッドは例外を投げません。" ], "do_not_use_when": [ "複数のプロセス・マシンで数を共有するレート制限が要るとき。状態はインスタンスごと・このプロセスのメモリーの中だけで、ほかのプロセス・インスタンス・マシンとは共有しません。分散したレート制限ではありません。", "再起動をまたいで数を残したいとき。プロセスを再起動すると数は消え、すべてのキーが満杯に戻ります。", "プロバイダーのクォータ・上限を問い合わせたり変えたりしたいとき。それは外の境界で、別の継手の役目です。", "時間の窓で数える方式（固定窓・スライド窓）や、キーごとに違う上限が要るとき。", "スレッド（worker_threads）の間で 1 つのインスタンスを共有したいとき。1 つのイベントループの中で使う前提です。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "トークンが足りないとき、RATE_LIMITED と remaining・retry_after_ms を返し、バケットを変えません。", "options がオブジェクトでない・読むと例外が起きるとき INVALID_OPTIONS、知らないオプションのとき UNKNOWN_OPTION、型・範囲が違うとき INVALID_OPTION（field に名前）で止めます。書き間違いを黙って無視しません。", "空から満杯までの時間が安全な整数のミリ秒を超えるとき、retry_after_ms を正確に返せないので REFILL_TOO_SLOW で止めます。", "key が 1〜256 文字の文字列でないとき INVALID_KEY、n が 1 以上の安全な整数でないとき INVALID_AMOUNT、n が capacity を超えるとき REQUEST_TOO_LARGE で止めます。", "新しいキーが max_keys を超えるとき、状態を作らずに TOO_MANY_KEYS で止めます。", "時計が受け取った一番新しい時刻より前に戻ったとき CLOCK_WENT_BACKWARDS、clock.now() が例外を投げたとき CLOCK_FAILED、安全な整数を返さないとき INVALID_CLOCK_VALUE で止めます。" ], "what_it_does_not_do": [ "複数のプロセス・マシンの間で数を共有しません。状態はこのプロセスのメモリーの中だけで、再起動で消えます。分散したレート制限（共有の記憶が要るもの）はこの部品ではありません。", "名前の「クォータ」のうち、プロバイダーのクォータ・上限の問い合わせや変更はしません。それは外の境界で、別の継手の役目です。この部品はプロセスの中の数え方だけです。", "プロバイダーの API のクォータ・レート制限の数え方と一致するとは確かめていません。", "進みすぎた時計（未来の値）は見分けられません。既定の時計（process.hrtime.bigint）の単調さは Node.js に任せています。", "誰にどれだけ許すかという業務の意味は決めません。それは Kernel と使う側の役目です。", "通したことは、その呼び出しを行ってよいという許可でも、プロバイダーの側のクォータが残っていることの証明でもありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のレート制限のライブラリやサービスの使い方の雛形ではありません。" ], "integration": "src/rate-limit.js の createRateLimiter(options) を呼びます（投げません）。options は { capacity, refill_tokens, refill_interval_ms, max_keys, clock } だけで、clock は任意。返すのは { ok, errors, instance }。instance の take(key, n) は { ok, errors, remaining, retry_after_ms }、peek・reset・prune は remaining・removed・keys を返します。止めたときは errors の code（error_taxonomy）です。副作用（NONE）・外の接続・資格情報・port は無く、状態はプロセスのメモリー、依存は Node.js の組み込みだけです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "F-02", "category": "F/耐障害・流量制御", "kind": "Primitive", "title": "サーキットブレーカ — サーキットブレーカの部品（Primitive）", "summary": "サーキットブレーカの部品（Primitive）は、直近の件数の窓で失敗を数え、CLOSED → OPEN → HALF_OPEN → CLOSED／OPEN と移る単独の部品です。呼ぶ前に allow() で聞き、結果を record({ outcome }) で渡します。失敗かどうかは呼ぶ側が決めます。対応する allow の無い結果は UNKNOWN_TRIAL で止めて数えません（fail-closed）。状態はインスタンスごと・このプロセスのメモリーの中だけです。", "problem": "1 つのプロセスの中で、失敗の続く相手への呼び出しを一時止めるときに、前の呼び出しの遅れた結果や前の回の試しで HALF_OPEN が勝手に閉じてしまうこと、止めたときに状態が変わってしまうことを防ぎます。", "use_when": [ "1 つのプロセスの中で、失敗の続く相手への呼び出しを一時止めたいとき。呼ぶ前に allow() で聞き、結果を record で渡します。", "直近 window_size 件の中の FAILURE の件数（failure_threshold 件以上）で OPEN にしたいとき。", "OPEN の間に、次に試せるまでのちょうどのミリ秒（retry_after_ms）を返したいとき。", "HALF_OPEN の試しを trial_id で結びつけ、どの結果がどの試しのものかを取り違えたくないとき。", "時計を注入して、試験で結果を決定的にしたいとき。乱数を使いません（trial_id は通し番号）。", "例外を投げない呼び方が要るとき。ファクトリーとインスタンスのメソッドは例外を投げません。" ], "do_not_use_when": [ "複数のプロセス・マシンで状態を共有するブレーカが要るとき。状態はインスタンスごと・このプロセスのメモリーの中だけで、ほかのプロセス・インスタンス・マシンとは共有しません。", "再起動をまたいで OPEN を保ちたいとき。プロセスを再起動すると CLOSED の空の窓に戻り、相手がまだ落ちていても数え直します。", "時間の窓（直近 N 秒）・失敗の率・遅い呼び出しで数えたいとき。件数の窓だけです。", "HALF_OPEN で複数の試しの成功を待ってから閉じたいとき。最初に届いた試しの結果で決めます。", "試しの結果を必ず record できないとき。試しの期限は持たず、結果が来ないと HALF_OPEN_BUSY のまま次の試しを出しません。", "スレッド（worker_threads）の間で 1 つのインスタンスを共有したいとき、または Node.js v24.21.0 のほかの版で使うとき（NOT_VERIFIED）。" ], "what_it_checks": [ "OPEN の間、allow() は CIRCUIT_OPEN と retry_after_ms を返します。1 ms 前では試しを出しません。", "対応する allow の無い結果（HALF_OPEN・OPEN で trial_id が無い、知らない trial_id、前の回や無効になった試しの trial_id、CLOSED で trial_id がある）のとき、数えずに UNKNOWN_TRIAL で止め、状態を変えません。", "この回の試しを half_open_max_trials 件出し終えて結果がまだ来ていないとき、HALF_OPEN_BUSY で止めます。", "record の引数が { outcome, trial_id? } だけのオブジェクトでない・trial_id が文字列でないとき INVALID_RECORD、outcome が \"SUCCESS\"・\"FAILURE\" でない（大文字小文字も区別）とき INVALID_OUTCOME で止めます。", "options がオブジェクトでないとき INVALID_OPTIONS、知らないオプションのとき UNKNOWN_OPTION、型・範囲が違うとき（failure_threshold が window_size を超えるものを含む）INVALID_OPTION で止めます。", "時計が受け取った一番新しい時刻より前に戻ったとき CLOCK_WENT_BACKWARDS、clock.now() が例外を投げたとき CLOCK_FAILED、安全な整数を返さないとき INVALID_CLOCK_VALUE で止めます。" ], "what_it_does_not_do": [ "複数のプロセス・マシンの間で状態を共有しません。状態はこのプロセスのメモリーの中だけで、再起動で消えます。共有するブレーカはこの部品ではありません。", "名前の「障害の連鎖を止める」のうち、どの結果を失敗とみなすか（例外・応答を見た分類）はしません。呼ぶ側が決めた SUCCESS／FAILURE だけを数えます。", "止めたときに何をするか（F-07 の代わりの候補・F-03 の再試行など）は決めず、呼び出しそのものもしません。使う側の役目です。", "state() は時計を読みません。open_ms たった後も、allow() を呼ぶまで OPEN を返します。", "進みすぎた時計（未来の値）は見分けられません。既定の時計（process.hrtime.bigint）の単調さは Node.js に任せています。ほかのサーキットブレーカのライブラリの移り方・既定値と同じだとは言いません。", "allow() が通したことは、その呼び出しを行ってよいという許可でも、相手が回復したことの証明でもありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のサーキットブレーカのライブラリの使い方の雛形ではありません。" ], "integration": "src/circuit-breaker.js の createCircuitBreaker(options) を呼びます（投げません）。options は failure_threshold・window_size・open_ms・half_open_max_trials・clock（任意）だけ。返す instance の allow() は state・trial_id?・retry_after_ms?、record({ outcome, trial_id? }) は state、state() は窓の件数・opened_at などを返します。どれも { ok, errors } を持ち、止めたときは errors の code（error_taxonomy）です。副作用（NONE）・外の接続・資格情報・port は無く、状態はプロセスのメモリーです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "F-03", "category": "F/耐障害・流量制御", "kind": "Primitive", "title": "リトライ（指数バックオフ） — リトライ（指数バックオフ）の部品（Primitive）", "summary": "リトライ（指数バックオフ）の部品（Primitive）は、1 つの操作の再試行を数え、次の試行の時刻を決める単独の部品です。遅延は上限つきの指数バックオフ（exponential backoff）を整数の ms で計算し、jitter \"full\" では注入された乱数で選びます。操作は実行せず、待ちもしません。冪等でない（idempotent: false）操作の再試行は NOT_IDEMPOTENT で止めます（fail-closed）。状態はインスタンスごと・このプロセスのメモリーの中だけです。", "problem": "「たまに直る」一時失敗を再試行するときに、冪等でない操作を再試行してしまうこと、idempotent の言い忘れを通してしまうこと、無限の再試行や遅延の桁あふれを起こすこと、知らないキーを黙って無視することを防ぎます。", "use_when": [ "1 つの操作の再試行の回数（max_attempts。最初の試行を含む）と、次の試行の時刻（not_before_ms）を、1 つのプロセスの中で管理したいとき。", "上限つきの指数バックオフの遅延 min(max_ms, base_ms × multiplier^(attempt-1)) を、整数の ms で計算したいとき（computeDelay は状態を持たない純関数です）。", "jitter \"full\" で、[0, 遅延] の整数の遅延を注入した乱数で選びたいとき。", "冪等でない操作は、最初の試行だけを許し、再試行を止めたいとき（idempotent: false）。", "時計と乱数を注入して、試験で結果を再現したいとき。", "例外を投げない呼び方が要るとき。工場・computeDelay・インスタンスの操作は例外を投げません。" ], "do_not_use_when": [ "複数のプロセス・インスタンスの再試行の合計を数えたいとき。状態はインスタンスごと・このプロセスのメモリーの中だけで、プロセスやインスタンスをまたいで共有しません。", "再起動をまたいで試行の回数を残したいとき。状態はプロセスが終われば消えます。", "操作の実行や、not_before_ms までの待ち（タイマー）を部品に任せたいとき。どちらも呼ぶ側の役目です。", "Equal Jitter・Decorrelated Jitter や、整数でない multiplier（1.5 など）が要るとき。jitter は none と full だけ、multiplier は整数だけです。", "予測できない乱数の質が要るとき。注入した乱数は、戻り値が範囲の整数かだけを検めます。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "idempotent: false の操作で RETRYABLE_FAILURE を記録した後は HALTED になり、次の試行を NOT_IDEMPOTENT で止めます（回数が残っていても）。idempotent が無い・真偽値でないときは INVALID_IDEMPOTENT で止めます（既定値を置きません）。", "not_before_ms より前の試行のとき TOO_EARLY（not_before_ms と retry_after_ms を付けて）、試行の回数が max_attempts に達したとき RETRIES_EXHAUSTED で止めます。", "試行と記録が交互でないとき（試行中の nextAttempt は ATTEMPT_IN_FLIGHT、試行の無い record は NO_ATTEMPT_IN_FLIGHT）、終わった後の試行・記録は RUN_FINISHED で止めます。", "record の input が { outcome } だけでない、または outcome が SUCCESS・RETRYABLE_FAILURE・FINAL_FAILURE でないとき、INVALID_OUTCOME で止めます。", "options・policy が素のオブジェクトでないとき INVALID_OPTIONS、知らないキーのとき UNKNOWN_OPTION（key を付けて）、attempt・base_ms・max_ms・multiplier・jitter・max_attempts が範囲の外のとき、それぞれの INVALID_* で止めます。", "random が関数でないとき INVALID_RANDOM、[0, 遅延] の整数を返さない・例外を投げたとき RANDOM_OUT_OF_RANGE で止めます。", "clock が now() を持たないとき INVALID_CLOCK、clock.now() が 0 以上の安全な整数を返さない・例外を投げたとき CLOCK_INVALID、前に読んだ値より戻ったとき CLOCK_WENT_BACKWARDS で止めます。", "止めた操作（ok: false）は、試行の回数・段階・not_before_ms を変えません。" ], "what_it_does_not_do": [ "状態はこのプロセスのメモリーの中だけで、プロセスやインスタンスの間で共有せず、再起動で消えます。複数のプロセスにまたがる再試行の数え方には使えません。", "名前の「一時失敗の再試行」のうち、再試行の実行はしません。操作の実行と not_before_ms までの待ち（タイマー）は呼ぶ側です。", "失敗が一時的か（RETRYABLE か FINAL か）、業務として再試行してよいかは決めません。idempotent と outcome は呼ぶ側の申告をそのまま使い、正しいかを確かめません。", "相手の Retry-After やレート制限の応答は読みません（継手の側）。全体の待ち時間の制限は F-06、呼ぶこと自体を止めるのは F-02 の役目です。", "時計の単調さは、戻ったときに止めるだけで、保つのは注入した側です。ファズの手本は実装と同じ書き手が同じ仕様から別に書いたもので、仕様の読み違いが両方にあれば見つかりません。", "nextAttempt が ok でも、操作を実行してよいという許可ではありません。retry_allowed: true は業務として再試行すべきかの判断ではありません（result_is_approval: false、derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のリトライのライブラリの使い方の雛形ではありません。" ], "integration": "src/retry.js の createRetryRun(options) を呼びます（投げない工場）。options は max_attempts・base_ms・max_ms・multiplier・jitter・idempotent（必須）・clock・random だけ。返す instance の nextAttempt() は attempt・not_before_ms、record({ outcome }) は state・retry_allowed、snapshot() は状態を返します。computeDelay(policy, random) は delay_ms を返す純関数です。どれも { ok, errors } を持ち、止めたときは code（error_taxonomy）です。副作用（NONE）・外の接続・資格情報・port は無く、状態はプロセスのメモリーです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "F-04", "category": "F/耐障害・流量制御", "kind": "Primitive", "title": "冪等キー処理 — 冪等キー処理の部品（Primitive）", "summary": "冪等キー処理の部品（Primitive）は、新しい要求（段・op_id・中身の digest）を、渡された台帳（前に受けた要求と、その結果の digest）と比べて、はじめて（NEW）・同じものの送り直しで結果あり（DUPLICATE_SAME）・同じものの送り直しで結果がまだ無い（DUPLICATE_PENDING）・同じ ID の別の中身（CONFLICT）のどれかに分ける単独の部品です。段は REQUEST・ATTEMPT・DELIVERY で、段ごとに別に数えます。受け取れない入力は、決まったコードと位置で止めます（fail-closed）。", "problem": "再送で同じ処理が二重に動くことを防ぐための見分けです。同じ ID で中身の違う要求を、同じものの送り直しとして通すこと、結果の分からない送り直しを新しい実行として扱うこと、形の違う台帳の行を黙って読み飛ばすことを防ぎます。", "use_when": [ "新しい要求が、渡された台帳にある要求の送り直しかどうかを、冪等の鍵（段・op_id）と中身の digest（payload_digest）の完全一致で見分けたいとき（classify）。", "同じものの送り直しに、前の結果の digest を返したいとき。DUPLICATE_SAME の result_digest は、台帳のその行の result_digest そのものです。", "結果がまだ無い行（result_digest が null）への送り直しを、もう一度動かさない印 DUPLICATE_PENDING として受け取りたいとき。もう一度動かす判断にはせず、照合を待つための印です。", "同じ ID で中身が違う要求を CONFLICT として見分けたいとき。同じ ID の中身の違いを見ずに、ID だけで重複を決める見分けとは違います。", "要求の受付（REQUEST）・試行（ATTEMPT）・届け（DELIVERY）を段ごとに別に数えたいとき。段が違えば、同じ op_id でも比べません。counts に段ごとの別々の op_id の数を返します。", "例外を投げず、入力を書き換えず、状態を持たない処理として、手元で呼びたいとき。同じ入力には同じ答えを返します。" ], "do_not_use_when": [ "台帳の保存・読み出しや、ほかの呼び出し・保存済みの台帳との重複を見たいとき。比べるのは引数の中だけで、台帳を保存・読み出すのは Host など、この部品の外の側です。", "同時に来た 2 つの要求の競り合いを決めたいとき。どちらを先にするかは、台帳を書く側（Host）が決めます。", "要求を断る・記録する・知らせる、または送り直しを実行したいとき。CONFLICT は断る要求の印を返すだけで、断る・記録する・知らせるのは使う側の仕事です。送り直しの実行・時計・保存もしません。", "見た目が同じ op_id（é と e + 結合文字、A と a、前後の空白の違い）を同じものとして扱いたいとき。op_id は UTF-16 の符号単位の完全一致だけで比べます。", "digest を大文字・sha256: の接頭辞つきで渡したいとき。digest は変換せず、小文字 16 進 64 桁のほかは INVALID_DIGEST で止めます。中身から digest を作る規則（正準化 I-08、ハッシュ B-07 など）は使う側が決め、台帳と要求の両方を同じ規則で作ります。", "100,000 行を超える台帳を 1 回で扱いたいとき。使う側で分けます。分けると、分けた先の行との重複は見分けません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "request が素のオブジェクトでない（継いだもの・クラスのもの・null の原型を含む）、stage・op_id・payload_digest が自分のデータのプロパティでない（無い・getter）とき、MALFORMED_REQUEST で止めます。", "ledger が素の配列でないとき INVALID_LEDGER、100,000 行を超えるとき TOO_MANY_ENTRIES、行が素のオブジェクトでない（穴・getter の行を含む）か 4 つの欄が自分のデータのプロパティでないとき MALFORMED_ENTRY で止めます。", "stage が REQUEST・ATTEMPT・DELIVERY のどれでもない（小文字・箱の文字列を含む）とき INVALID_STAGE、op_id が文字列でない・空のとき INVALID_OP_ID、256 の UTF-16 の符号単位を超えるとき OP_ID_TOO_LONG で止めます。", "payload_digest が小文字 16 進 64 桁の文字列でない（大文字・接頭辞・桁違い・16 進でない・箱の文字列・配列・null）、result_digest がその形の文字列でも null でもないとき、INVALID_DIGEST で止めます。", "台帳に同じ（段・op_id）の行が 2 回あるとき、中身が同じでも DUPLICATE_LEDGER_ENTRY（2 回目の位置）で止めます。値を調べること自体が例外になるとき（Proxy の罠など）は INSPECTION_FAILED です。", "__proto__・constructor などの名前も、ただの op_id として比べます（Map で比べ、オブジェクトの名前に使いません）。getter は呼びません。", "止めたときは、決まった順で最初に見つけた 1 件のコードと位置（path。JSON Pointer）を返し、decision などは返しません。", "結果を、Map も Set も使わずに台帳を前から順に探す書き方の独立オラクルと突き合わせるファズ（1,000,000 回）で、不一致と fail-open が 0 であることを確かめました。" ], "what_it_does_not_do": [ "NEW は「渡された台帳に無い」だけで、実行してよいという意味ではありません。渡されていない台帳（ほかの場所・保存前のもの）との重複は分かりません。", "中身の digest が本当に中身から作られたかは見ません（渡された digest を比べるだけ）。DUPLICATE_SAME の結果の digest が正しいかも見ません。", "上限ちょうどの 100,000 行を受け取ることは、単体試験だけで確かめました（ファズは上限を超えるものだけ）。", "外の境界・状態・時計・乱数を持たず、保存もしません。副作用は NONE で、資格情報も使いません。", "見分けの結果は承認ではなく（result_is_approval: false）、権限も作りません（derives_authority: false）。", "入出力の形は v1 で定めたもので、既存の実装はありません（新規）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の冪等キーのライブラリの使い方の雛形ではありません。" ], "integration": "src/idempotency-ledger.js の classify(request, ledger) を呼びます（投げません。入力を書き換えません）。受け取るのは { stage, op_id, payload_digest } の素のオブジェクトと、{ stage, op_id, payload_digest, result_digest } の行の素の配列（100,000 行まで）です。返すのは { ok: true, errors: [], decision, matched_index, result_digest, counts } か { ok: false, errors: [{ code, path }] }。副作用・状態・外の接続・資格情報は無く、依存は Node.js の組み込みだけで、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "F-05", "category": "F/耐障害・流量制御", "kind": "Primitive", "title": "同時実行制限（bulkhead） — 同時実行制限（bulkhead）の部品（Primitive）", "summary": "同時実行制限（bulkhead）の部品（Primitive）は、区画（compartment）ごとに、同時に動かす数（max_concurrent）と待ち行列の長さ（max_queue）を制限する単独の部品です。空きがあれば token、満員で待ち行列に空きがあれば ticket を渡し、どちらも満杯なら BULKHEAD_FULL で止めます（fail-closed）。制限はインスタンスごと・このプロセスのメモリーの中だけで、分散の制限ではありません。", "problem": "1 つのプロセスの中で、一部の仕事の暴走が同じプロセスのほかの仕事を巻き添えにしないように区画を分けるときに、上限を超えて枠を渡すこと、二重の release や偽の token で枠を余計に空けてしまうことを防ぎます。", "use_when": [ "1 つのプロセスの中で、名前で区切った区画ごとに同時に動かす数と待ち行列の長さを制限したいとき。区画どうしは独立で、ある区画が満杯でもほかの区画に影響しません。", "満員のときに、待ち行列に入れて FIFO で繰り上げたいとき。release の結果の promoted に繰り上がった token が入り、待っている側は poll で知ります。", "待たずにすぐ断りたい区画があるとき（max_queue 0）。", "待ち行列から外したいとき（cancel）。cancel した ticket は繰り上がりません。", "例外を投げない呼び方が要るとき。工場とインスタンスの操作は例外を投げません。" ], "do_not_use_when": [ "複数のプロセス・マシンをまたぐ同時実行の制限（分散のセマフォ・共有の数え上げ）が要るとき。状態はインスタンスごと・このプロセスのメモリーの中だけで、プロセスやインスタンスをまたいで共有しません。", "再起動をまたいで枠の数を残したいとき。状態は再起動で消えます。", "待ちの期限（タイムアウト）が要るとき。待ちすぎを止めるのは F-06 か呼ぶ側です。", "待っている側を通知・Promise で起こしたいとき。この部品は待っている側を起こしません。", "release を忘れた token の枠を自動で回収したいとき。期限による回収・漏れの検出はありません。", "優先度・重み・公平さの調整が要るとき。区画の中は FIFO だけです。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "区画の枠も待ち行列も満杯のとき、BULKHEAD_FULL（compartment に名前）で止めます。上限を超えて枠を渡しません。", "このインスタンスが渡した token そのものでないとき（同じ形の偽物・別のインスタンスの物・ticket との取り違え）UNKNOWN_TOKEN、もう release した token のとき TOKEN_ALREADY_RELEASED で止め、枠を空けません。", "このインスタンスが渡した ticket でないとき UNKNOWN_TICKET、cancel 済みのとき TICKET_CANCELLED、繰り上がった後の cancel のとき TICKET_ALREADY_GRANTED で止めます。", "acquire の区画名が作った時の区画に無いとき（constructor・toString などのプロトタイプの名前を含む）、UNKNOWN_COMPARTMENT で止めます。", "options が素のオブジェクトでないとき INVALID_OPTIONS、知らないキーのとき UNKNOWN_OPTION、区画が 0 個か 257 個以上のとき INVALID_COMPARTMENTS、区画名・区画の値・max_concurrent・max_queue の形や範囲が違うとき、それぞれの INVALID_* で止めます。", "clock が now() を持たないとき INVALID_CLOCK、clock.now() が 0 以上の安全な整数を返さない・例外を投げたとき CLOCK_INVALID、前に読んだ値より戻ったとき CLOCK_WENT_BACKWARDS で止めます。", "止めた操作（ok: false）は、枠・待ち行列・token・ticket を変えません。" ], "what_it_does_not_do": [ "複数のプロセス・マシンの合計は制限しません。状態はこのプロセスのメモリーの中だけで、再起動で消えます。分散の制限は外の境界を持つので、この部品ではなく継手の側です。", "名前の「一部の暴走を隔離」のうち、暴走の検出や停止はしません。区画ごとに同時に動かす数と待ち行列の長さを制限するだけです。", "待ちの期限・待っている側の起こし方・release を忘れた枠の回収は持ちません。", "token は同じプロセスの中の取っ手で、所有の証明・権限・実行の許可ではありません。受け取った側がほかへ渡すことは止めません（result_is_approval: false、derives_authority: false）。", "ファズの手本は実装と同じ書き手が同じ仕様から別に書いたもので、仕様の読み違いが両方にあれば見つかりません。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のセマフォ・プールのライブラリの使い方の雛形ではありません。" ], "integration": "src/bulkhead.js の createBulkhead({ compartments, clock? }) を呼びます（投げない工場）。返す instance の acquire(name) は token（queued: false）か ticket（queued: true）、release(token) は compartment・promoted、poll(ticket) は granted と token、cancel(ticket) は compartment、snapshot() は区画ごとの active・queued を返します。どれも { ok, errors } を持ち、止めたときは errors の code（error_taxonomy）です。副作用（NONE）・外の接続・資格情報・port は無く、状態はプロセスのメモリーです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "F-06", "category": "F/耐障害・流量制御", "kind": "Primitive", "title": "タイムアウト・期限伝播 — タイムアウト・期限伝播の部品（Primitive）", "summary": "タイムアウト・期限伝播の部品（Primitive）は、注入された単調な時計（clock.now()、ミリ秒）の上に絶対の期限を作り、親から子へ期限と取消しを伝える単独の部品です。子の期限は親より延びません。取消しはこのプロセスの中の印で、外の処理が止まったことは意味しません。受け取れない値・戻った時計は決まったコードで止めます（fail-closed）。状態はこのプロセスのメモリーの中だけです。", "problem": "1 つのプロセスの中で処理を重ねて呼ぶときに、子の期限が親より延びてしまうこと、時計が戻って期限切れが取り消されてしまうこと、取消しが子孫に伝わらないことを防ぎ、待ちすぎ（ハング）を読み取れるようにします。", "use_when": [ "1 つのプロセスの中で、処理の期限を作り、呼び出しの先へ残り時間（remaining_ms）を渡したいとき。外の API を呼ぶ継手に残り時間を渡す側の共通の部品になる候補です。", "子の期限を min(親の期限, 今 + 自分の timeout) にして、伝播で期限が広がらないようにしたいとき（child）。", "自分と子孫すべてに取消しの印をつけたいとき（cancel）。cancel は時計を読まないので、時計が壊れていても取消しはできます。", "期限の状態（ACTIVE・EXPIRED・CANCELLED）と、取消しの理由・由来（SELF・ANCESTOR）を読みたいとき（status・expired）。", "時計を注入して、試験で結果を決定的にしたいとき。壁時計（Date）・タイマー・乱数は使いません。", "例外を投げない呼び方が要るとき。工場も instance のメソッドも例外を投げません。" ], "do_not_use_when": [ "プロセスをまたぐ・分散した期限の伝播（ヘッダーで送るなど）が要るとき。状態はこのプロセスのメモリーの中だけで、プロセス間・分散の共有も永続化もしません。", "再起動をまたいで期限を残したいとき。プロセスを終えると状態は消えます。", "外の処理（相手先の API など）を取り消したいとき。取消しはこのプロセスの中の印だけで、外の取消しは使う側か継手がそれぞれの契約で行います。", "期限の時刻に知らせ（タイマー）が要るとき。使う側が読んだときに分かるだけです。", "1 つの木を長く持ち、期限を 10,000 個を超えて作るとき。期限を手放す操作は無く、終わった期限もメモリーに残って数に入ります。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "時計の読みが、その木で読んだ一番大きな値より小さいとき、記録を変えずに CLOCK_WENT_BACKWARDS で止めます。一度 EXPIRED になった期限は ACTIVE に戻りません。", "期限切れか取消し済みの期限に子を作ろうとしたとき、DEADLINE_ALREADY_OVER で止めます。", "timeout_ms が 1〜2,147,483,647 の安全な整数でないとき（0・負・小数・NaN・文字列・上限超え）、INVALID_TIMEOUT で止めます。", "clock が now() を持たないとき INVALID_CLOCK、clock.now() が投げた・0〜MAX_CLOCK_MS の有限の数を返さないとき INVALID_CLOCK_READING、parent の木と別の clock を渡したとき CLOCK_MISMATCH で止めます。", "parent がこの部品が作った期限の instance でないとき（写しを含む）、INVALID_PARENT で止めます。", "選択肢がオブジェクトでない・許されないキーがある・読むと投げるとき INVALID_OPTIONS、reason_code が英大文字で始まる英大文字・数字・_ の 1〜64 文字でないとき INVALID_REASON で止めます。", "木の期限の数が 10,000 個（MAX_DEADLINES_PER_TREE）に達したとき、TOO_MANY_DEADLINES で止めます。" ], "what_it_does_not_do": [ "状態はこのプロセスのメモリーの中だけで、プロセス間・分散で共有せず、プロセスを終えると消えます。名前の「期限伝播」は、このプロセスの中の親から子への伝播だけで、プロセスをまたぐ伝播（ヘッダーで送るなど）はしません。", "名前の「タイムアウト」のうち、処理を止めることはしません。取消しはこのプロセスの中の印（local_only: true）で、外の処理の取消しや、その成否は扱いません。外の取消しは各継手とその契約の側です。", "期限の時刻に知らせることはしません（タイマーを持ちません）。", "注入した時計が本当に単調かは確かめられません（戻った読みを止めるだけ）。既定の時計の単調さは Node.js の process.hrtime.bigint に依ります。どの継手・ライブラリの期限の形とも互換を確かめていません。", "残り時間・期限切れ・取消しは、この部品の時計と印の上の事実だけで、外の処理が止まったこと・終わったこと・やり直してよいことではありません（result_is_approval: false、derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定のライブラリ（AbortController など）の使い方の雛形ではありません。" ], "integration": "src/deadline.js の createDeadline({ timeout_ms, clock?, parent? }) を呼びます（投げない工場）。返す instance の remaining() は remaining_ms・state、expired() は expired・cancelled・over、child({ timeout_ms }) は子の instance、cancel({ reason_code }) は newly_cancelled・local_only: true、status() は state・deadline_at・cancelled を返します。どれも { ok, errors } を持ち、止めたときは code（error_taxonomy）です。副作用（NONE）・外の接続・資格情報・port は無く、状態はプロセスのメモリーです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "F-07", "category": "F/耐障害・流量制御", "kind": "Primitive", "title": "フォールバック — フォールバックの部品（Primitive）", "summary": "フォールバックの部品（Primitive）は、外（方針・Owner・使う側）で決めた「並びつきの許可リスト」の通りに、失敗のあと次の候補へ進んでよいかを 1 歩ずつ決める単独の部品です。候補を足さず、並べ替えず、飛ばさず、許しを広げません。候補の呼び出しはせず、id を返すだけです。形の違う許可リスト・報告は決まったコードで止めます（fail-closed）。状態は実行 1 回分・このプロセスのメモリーの中だけです。", "problem": "「一部使えるが動く」ように次の候補へ切り替えるときに、決めていない候補へ移ること、並びを飛ばすこと、許されない失敗のあとで切り替えること、断られた後に別のコードで試し直すこと、作った後に許可リストを書き換えられることを防ぎます。", "use_when": [ "AI の provider・model、保存先などの切り替えを、外で決めた並びの通りにだけ行わせたいとき。", "失敗のコードごとに、次の候補へ進んでよいかを決めたいとき。next は、失敗したのが今の候補で、そのコードがすぐ次の候補の allowed_after にあるときだけ、次の候補の id を返します。", "切り替えの歩数に上限（max_steps、0〜31）を置きたいとき。", "時計・乱数・環境を使わない、決定的な判定が要るとき。", "例外を投げない呼び方が要るとき。工場も instance のメソッドも例外を投げません。" ], "do_not_use_when": [ "複数のプロセス・マシンで実行の状態を共有したいとき。状態は実行 1 回分・このプロセスのメモリーの中の instance だけで、プロセス間の共有も永続化もしません。", "再起動をまたいで今の候補・歩数を残したいとき。プロセスを終えると状態は消えます。", "どの候補を並べるか・どの失敗で切り替えてよいかを部品に決めさせたいとき。それは外（方針・Owner・使う側）で決めます。", "候補の呼び出し・待ち時間・再試行・遮断まで任せたいとき。期限は F-06、再試行は F-03、遮断は F-02 です。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "error_code が、すぐ次の候補の allowed_after に無いとき、FALLBACK_NOT_ALLOWED で止め、その回の実行を終えます。断られた後に別のコードで試し直せません。", "failed_id が今の候補でないとき（前の候補・後の候補・知らない id）、状態を変えずに OUT_OF_ORDER で止めます。", "今の候補が最後のとき NO_MORE_CANDIDATES、歩数が max_steps に達したとき MAX_STEPS_REACHED で止め、その回の実行を終えます。終わった後の next は RUN_ENDED です。", "first を 2 回呼んだとき ALREADY_STARTED、first の前に next を呼んだとき NOT_STARTED、next の報告が failed_id と error_code だけのオブジェクトでないとき INVALID_REQUEST で止めます。", "candidates が配列でない・空・32 個を超えるとき INVALID_CANDIDATES、id の形が違うとき INVALID_CANDIDATE_ID、同じ id が 2 つあるとき DUPLICATE_CANDIDATE_ID で止めます。", "allowed_after の形が違うとき（形の違うコード・重なるコード・64 個超え・最初の候補で空でない・2 番目からの候補で空）INVALID_ALLOWED_AFTER、max_steps が 0〜31 の安全な整数でないとき INVALID_MAX_STEPS、選択肢の形が違うとき INVALID_OPTIONS で止めます。", "作った後に呼び出し側が許可リストの配列を書き換えても、結果は変わりません（写しを持ちます）。" ], "what_it_does_not_do": [ "状態は実行 1 回分・このプロセスのメモリーの中だけで、プロセスやマシンの間で共有せず、プロセスを終えると消えます。プロセスをまたぐ・分散した実行の状態は扱いません。", "名前の「縮退運転」のうち、縮退した動作そのものはしません。provider や model を選ばず・切り替えず・呼び出さず、外で決めた並びの次の id を返すだけです。候補を呼ぶのは使う側と各継手です。", "許可リストの中身が正しいか（その候補に切り替えてよいか・費用や扱うデータの範囲が同じか）は判断しません。外で決めたものを守るだけです。", "失敗のコードが本当かは確かめられません。コードの意味も解釈せず、文字列の完全一致だけを見ます。", "次の候補の id は「外で決めた許可リストの上で次へ進んでよい」ことだけで、その候補を呼んでよい権限・費用の承認・結果の正しさではありません（result_is_approval: false、derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "どの継手・ライブラリのフォールバックの形とも、互換を確かめていません。" ], "integration": "src/fallback.js の createFallback({ candidates, max_steps }) を呼びます（投げない工場）。candidates は { id, allowed_after } の並び（1〜32 個）です。返す instance の first() は最初の候補 { id }、next({ failed_id, error_code }) は次の候補 { id }・index・step・allowed_by、status() は state（READY・ACTIVE・ENDED）・current・steps・end_code を返します。止めたときは errors の code（error_taxonomy）です。副作用（NONE）・時計・外の接続・資格情報・port は無く、候補を呼び出すのは使う側です。依存は無い純 JS です。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-01", "category": "G/決済・資金", "kind": "Tsugite", "title": "決済オーソリ — 決済の運び継手（Tsugite）", "summary": "決済の運び継手（Tsugite）は、決済オーソリの要求（PaymentAuthRequest）を、pin した支払い方法と、お金が動く操作を許す設定（allow_money_movement）で検めてから決済基盤へ運び、戻った receipt（PaymentAuthReceipt）を契約どおりに照合する継手（つぎて）です。どれかが外れれば、送らず、受理しません（fail-closed）。", "problem": "決済オーソリを外の決済基盤へ運ぶとき、許していないのにお金が動く操作を送ってしまうこと、pin していない支払い方法を使ってしまうこと、そしてお金が動いたか分からない receipt や業務の承認を名乗る receipt を信じてしまうことを防ぎます。決済の成功を業務の承認と取り違えないための検めです。", "use_when": [ "決済オーソリ（AUTHORIZE）の要求を外の決済基盤へ運び、戻った receipt が op に合う状態（AUTHORIZED）かを照合してから結果として扱いたいとき。", "お金が動く操作を、設定 allow_money_movement: true で明示的に許したときだけ送りたいとき（既定は送りません）。", "使ってよい支払い方法を、pin した一覧（method_refs。カード番号ではない参照）に限りたいとき。", "同じオーソリを二度動かしたくないとき。冪等キーを必須にし、同じ request_id は二度送らず、障害のあとの再送は照会（lookup）で解きます。" ], "do_not_use_when": [ "決済できたことを、業務の承認として扱いたいとき。決済の成功は業務の承認ではありません（business_approval は運びから導きません）。", "額・通貨・税・手数料の正しさを確かめたいとき。この継手は確かめません（外の判断と人・組織の役目です）。", "オーソリ済みの記録を再起動の後も持ち続けたいとき。記録はこの継手の中だけで、再起動で消えます（永続化は接続するときに別の関門で決めます）。", "すぐに実の決済基盤につなぎたいとき。実の決済基盤・PSP・銀行には一度も接続しておらず、port の実装も含みません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "お金を動かす許可を検めます。allow_money_movement が true でないとき、または真偽値でないとき、お金が動く操作は送りません（REFUSED）。", "pin した一覧を検めます。pin していない支払い方法、空・パス・.. を含む参照は送りません。空の一覧は何も許しません。", "冪等キーを検めます。冪等キーの無いオーソリ、同じキーで別の中身の要求は送りません。", "オーソリの記録を検めます。この継手が AUTHORIZED と照合していない支払いの確定、取消の後の確定、二度目の確定は送りません。", "receipt を照合します。op と合わない状態、辞退なのに効果を名乗る receipt、外への効果を増やす receipt、別の要求の receipt（request_digest の偽り）は受理せず、以後は停止します（HALTED）。", "お金が動いたか分からない receipt（効果 UNKNOWN）は受け取らず、以後は停止します（HALTED）。人の確認へ回します。", "業務の承認を名乗る receipt は受理しません。", "同じ request_id は二度送りません。決済基盤の障害は UNKNOWN とし、再送は照会（lookup）で解いて、二度動かしません。" ], "what_it_does_not_do": [ "決済の成功は業務の承認ではありません。どの結果にも approval: false が付きます。業務の承認は核（approval-facts）と人・組織の役目です。", "実の決済基盤・PSP・銀行には一度も接続していません。実の課金・送金は 0 回です。port の実装、pin する一覧、お金を動かす許可は、接続するときに別の関門で決めます。", "額・通貨・税・手数料の正しさは確かめません（外の判断と人・組織の役目です）。", "決済基盤の認証に使う秘密は持ちません。秘密は port 側が持ちます（HELD_BY_PORT）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の決済サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/payment-rails/v1 でつなぎます。createPaymentRailsClient({ cfg, port }) の submit(request) に PaymentAuthRequest を渡すと、DONE（result に op・auth_state・business_approval）・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 決済基盤への port（submit、任意で lookup）。副作用: オーソリの操作は EXTERNAL_IRREVERSIBLE、辞退・保留・失敗などは NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-02", "category": "G/決済・資金", "kind": "Tsugite", "title": "売上確定・取消 — 決済の運び継手（Tsugite）", "summary": "決済の運び継手（Tsugite）は、売上の確定（CAPTURE）と取消（VOID）を、オーソリの要求（PaymentAuthRequest）として運ぶ継手（つぎて）です。確定・取消は、この継手が AUTHORIZED と照合し、まだ確定・取消していない支払いだけを送り、戻った receipt（PaymentAuthReceipt）を契約どおりに照合します。どれかが外れれば、送らず、受理しません（fail-closed）。", "problem": "オーソリした支払いを確定・取消するとき、オーソリしていない支払いを確定してしまうこと、取消した支払いを確定してしまうこと、同じ支払いを二度確定してしまうこと、そしてお金が動いたか分からない receipt や業務の承認を名乗る receipt を信じてしまうことを防ぎます。確定できたことを業務の承認と取り違えないための検めです。", "use_when": [ "この継手でオーソリ（AUTHORIZED と照合済み）した支払いを、確定（CAPTURE→CAPTURED）または取消（VOID→VOIDED）として外の決済基盤へ運び、戻った receipt が op に合う状態かを照合してから結果として扱いたいとき。", "確定を、設定 allow_money_movement: true で明示的に許したときだけ送りたいとき（既定は送りません）。", "確定・取消の後に、同じ支払いを二度確定しないようにしたいとき。", "決済基盤の障害のあとに再送するとき、照会（lookup）で解いて二度動かさないようにしたいとき。" ], "do_not_use_when": [ "ほかの経路でオーソリした支払いを確定・取消したいとき。確定・取消は、この継手が AUTHORIZED と照合した支払いだけです。", "オーソリ済みの記録を再起動の後も持ち続けたいとき。記録はこの継手の中だけで、再起動で消えます（永続化は接続するときに別の関門で決めます）。", "確定できたことを、業務の承認として扱いたいとき。決済の成功は業務の承認ではありません（business_approval は運びから導きません）。", "額・通貨・税・手数料の正しさを確かめたいとき。この継手は確かめません（外の判断と人・組織の役目です）。", "すぐに実の決済基盤につなぎたいとき。実の決済基盤・PSP・銀行には一度も接続しておらず、port の実装も含みません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "オーソリの記録を検めます。この継手が AUTHORIZED と照合していない支払いの確定・取消、取消の後の確定、二度目の確定は送りません（REFUSED）。", "お金を動かす許可を検めます。allow_money_movement が true でないとき、または真偽値でないとき、確定を含むお金が動く操作は送りません（REFUSED）。", "参照を検めます。空・パス・.. を含む参照は送りません。空の一覧は何も許しません。", "receipt を照合します。op と合わない状態（CAPTURE なら CAPTURED、VOID なら VOIDED でないもの）、辞退なのに効果を名乗る receipt、外への効果を増やす receipt、別の要求の receipt（request_digest の偽り）は受理せず、以後は停止します（HALTED）。", "お金が動いたか分からない receipt（効果 UNKNOWN）は受け取らず、以後は停止します（HALTED）。人の確認へ回します。", "業務の承認を名乗る receipt は受理しません。", "同じ request_id は二度送りません。決済基盤の障害は UNKNOWN とし、再送は照会（lookup）で解いて、二度動かしません。" ], "what_it_does_not_do": [ "確定の成功は業務の承認ではありません。どの結果にも approval: false が付きます。業務の承認は核（approval-facts）と人・組織の役目です。", "実の決済基盤・PSP・銀行には一度も接続していません。実の課金・送金は 0 回です。port の実装、pin する一覧、お金を動かす許可は、接続するときに別の関門で決めます。", "オーソリ済みの支払いの記録は、この継手の中だけに持ちます（再起動で消えます）。永続化はしません（接続するときに別の関門で決めます）。", "額・通貨・税・手数料の正しさは確かめません（外の判断と人・組織の役目です）。", "決済基盤の認証に使う秘密は持ちません。秘密は port 側が持ちます（HELD_BY_PORT）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の決済サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/payment-rails/v1 でつなぎます。createPaymentRailsClient({ cfg, port }) の submit(request) に、op が CAPTURE か VOID の PaymentAuthRequest を渡すと、DONE（result に op・auth_state・business_approval）・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 決済基盤への port（submit、任意で lookup）。副作用: 確定・取消は EXTERNAL_IRREVERSIBLE、辞退・保留・失敗などは NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-03", "category": "G/決済・資金", "kind": "Tsugite", "title": "冪等課金 — 決済の運び継手（Tsugite）", "summary": "決済の運び継手（Tsugite）は、冪等な課金の要求（IdempotentChargeRequest）を、冪等キー・pin した支払い方法・お金が動く操作を許す設定（allow_money_movement）で検めてから決済基盤へ運び、戻った receipt（IdempotentChargeReceipt）を契約どおりに照合する継手（つぎて）です。同じ冪等キーは重複として扱い、新しい効果を認めません（fail-closed）。", "problem": "課金を外の決済基盤へ運ぶとき、再送や重複で二度課金してしまうこと、同じキーで別の中身を送ってしまうこと、重複なのに効果を名乗る receipt を信じてしまうことを防ぎます。課金の成功を業務の承認と取り違えないための検めでもあります。", "use_when": [ "二重課金を防ぐために、課金の要求に冪等キーを必須にし、同じキーの要求を重複（DEDUP_HIT、新しい効果なし）として扱いたいとき。", "課金を、設定 allow_money_movement: true で明示的に許したときだけ送りたいとき（既定は送りません）。", "戻った receipt が要求に合う課金の状態かを照合してから、結果（charge_state・charged）として扱いたいとき。", "決済基盤の障害のあとに再送するとき、照会（lookup）で解いて二度動かさないようにしたいとき。" ], "do_not_use_when": [ "課金できたことを、業務の承認として扱いたいとき。課金の成功は業務の承認ではありません（business_approval は運びから導きません）。", "課金と入金の突き合わせをしたいとき。突き合わせは外の判断と人・組織の役目で、この継手はしません（対になる核は reconcile-facts です）。", "額・通貨・税・手数料の正しさを確かめたいとき。この継手は確かめません。", "すぐに実の決済基盤につなぎたいとき。実の決済基盤・PSP・銀行には一度も接続しておらず、port の実装も含みません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "お金を動かす許可を検めます。allow_money_movement が true でないとき、または真偽値でないとき、お金が動く操作は送りません（REFUSED）。", "冪等キーを検めます。冪等キーの無い課金、同じキーで別の中身の要求は送りません。", "重複なのに効果を名乗る receipt は受理しません。重複（DEDUP_HIT）の効果は NONE です。", "pin した一覧を検めます。pin していない支払い方法、空・パス・.. を含む参照は送りません。空の一覧は何も許しません。", "receipt を照合します。op と合わない状態、辞退なのに効果を名乗る receipt、外への効果を増やす receipt、別の要求の receipt（request_digest の偽り）は受理せず、以後は停止します（HALTED）。", "お金が動いたか分からない receipt（効果 UNKNOWN）は受け取らず、以後は停止します（HALTED）。人の確認へ回します。", "業務の承認を名乗る receipt は受理しません。", "同じ request_id は二度送りません。決済基盤の障害は UNKNOWN とし、再送は照会（lookup）で解いて、二度動かしません。" ], "what_it_does_not_do": [ "課金の成功は業務の承認ではありません。どの結果にも approval: false が付きます。業務の承認は核（approval-facts）と人・組織の役目です。", "額・通貨・税・手数料の正しさ、明細の突き合わせは確かめません（外の判断と人・組織の役目です）。", "実の決済基盤・PSP・銀行には一度も接続していません。実の課金・送金は 0 回です。port の実装、pin する一覧、お金を動かす許可は、接続するときに別の関門で決めます。", "決済基盤の認証に使う秘密は持ちません。秘密は port 側が持ちます（HELD_BY_PORT）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の決済サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/payment-rails/v1 でつなぎます。createPaymentRailsClient({ cfg, port }) の submit(request) に IdempotentChargeRequest を渡すと、DONE（result に charge_state・charged・business_approval）・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 決済基盤への port（submit、任意で lookup）。副作用: 課金は EXTERNAL_IRREVERSIBLE、重複・辞退・失敗などは NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-04", "category": "G/決済・資金", "kind": "Component", "title": "請求書生成 — 請求書生成の部品（Component）", "summary": "請求書生成の部品（Component）は、1 枚の請求書を、税の事実の計算（部品(Kernel) G-07）→ 文書（継手 J-01 の PDF_RENDER）→ 保存（継手 C-05、請求書番号を冪等キー）→ 記録（継手 H-01 の監査台帳）の段で発行する部品です。G-07 の事実に足りない入力や記載事項の欠けがあれば、文書を作らずに事実だけを返します。段の結果が分からないときはその段で止め、同じ番号・同じ中身の issue でその段から続けます（fail-closed）。請求書番号は呼び出し側が決めて渡します。", "problem": "会計の裏で、記載事項の欠けや足りない入力のある請求書が文書・保存・台帳に進んでしまうこと、同じ番号で別の中身の請求書を発行してしまうこと、保存を二重にしてしまうこと、請求書の中身を台帳へ渡してしまうことを防ぎます。", "use_when": [ "1 枚の請求書を、計算 → 文書 → 保存 → 記録 の順で、前の段が済んでから次の段へ進めて発行したいとき（issue）。", "税の事実を G-07 の computeInvoiceTax で出させ、need_input や記載事項の欠けがあれば、文書を作らずにそのまま need_input・missing に添えて受け取りたいとき。invoice・tax_table・taxpayer_profile は G-07 の入力そのままです。", "PDF を、請求書番号を冪等キー（invoice/<番号>）にして、C-05 の継手で 1 回だけ保存したいとき。結果が APPLIED か DEDUP_HIT のときだけ保存済みです。", "発行の事実を、H-01 の継手で追記専用（append-only）の台帳に AuditEventEnvelope として記録したいとき。台帳へ渡すのは digest だけで、請求書の中身は渡しません。", "結果の分からなかった段を、同じ番号・同じ中身の issue で、同じ要求・同じ封筒のまま送り直したいとき。", "請求書番号ごとの段と digest を確かめたいとき（status）。" ], "do_not_use_when": [ "発行できたこと（ISSUED）を、請求の承認・相手への送付・債権の成立・記載事項の法的な十分さとして使いたいとき。", "発行できたことを、税額が税務上正しいことを示すものとして使いたいとき。発行できたことは税務上正しいことを示すものではありません。税の事実は G-07 のままで、事実の正本は税率の表と事業者の選択です。", "請求書番号の採番・一意性・連番を任せたいとき。呼び出し側の役目です。", "相手への送付・受領、入金・債権の管理まで任せたいとき。外部の電子請求の送付・受領の継手は、この部品に入りません。", "PDF のレイアウトや、記載事項が PDF に実際に載っていることを確かめたいとき。G-07 の記載事項の検めは、入力の申告に対するものです。", "再起動をまたいで途中の段を続けたいとき。状態はこのプロセスの中だけで、再起動で途中の段と保った要求は消えます（保存は冪等キーで二重になりませんが、台帳の封筒は作り直されます）。", "本物の文書生成・保存・台帳の backend で確かめた部品が要るとき。本物の backend には一度も接続していません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "options が足りない・形が違う・参照が不正・port の関数が無いとき INVALID_OPTIONS、入力の形が違うとき（欄の過不足・請求書番号の形など）INVALID_INPUT、getter が例外を投げたとき INSPECTION_FAILED で止めます。", "G-07 が ok: true を返さないとき TAX_INPUT_INVALID（tax_errors を添える）、G-07 の関数が投げたとき PORT_FAILED、事実の形が違う・inference か advice が null でないとき TAX_FACTS_INVALID で、文書を作りません。", "G-07 の事実に need_input があるとき NEEDS_INPUT（推測で埋めない）、記載事項の欠けがあるとき REQUIRED_ITEMS_MISSING（直し方は言わない）で、書類を作る前に止め、保存も記録もしません。", "同じ請求書番号で別の中身（請求書・税率の表・事業者の選択のどれか）のとき INVOICE_NUMBER_REUSED で止めます。発行済みの番号へのもう一度の issue は already_issued: true を返します。", "文書の継手の結果が分からないとき RENDER_UNKNOWN、送らなかったとき RENDER_REFUSED、変換できなかった・部分だけ・停止・空の PDF のとき RENDER_FAILED で、保存へ進みません。", "保存の継手の結果が分からないとき STORE_UNKNOWN（同じ要求を保つ）、送らなかったとき STORE_REFUSED（同じ冪等キーで別の中身を含む）、停止した・結果が APPLIED・DEDUP_HIT でないとき STORE_FAILED で、記録へ進みません。", "台帳の継手の結果が分からないとき（state() が投げた場合を含む）LEDGER_UNKNOWN（同じ封筒を保つ）、台帳が断った・先頭が進んで封筒がつながらない・先頭の形が不正なとき LEDGER_REFUSED で、発行済みにしません。", "timestamp が date-time の文字列を返さない・投げたとき CLOCK_FAILED、前の操作が終わっていないとき BUSY で止めます（同時に 1 つの操作だけ）。" ], "what_it_does_not_do": [ "請求書生成の部品は継手ではありません。自分の Request/Receipt は無く、文書の変換・保存・台帳への追記という外への効果は、束ねた J-01・C-05・H-01 の継手がそれぞれの契約で起こします。この部品自身は外へ触れません。", "束ねた部品の意味（事実だけ・変換できた ≠ 中身の確認・保存できた ≠ 受け入れ・記録できた ≠ 承認）は、それぞれの部品の側に残ります。", "発行できたことは、請求の承認・債権の成立・記載事項の法的な十分さではありません（approval: false・claim: NOT_DERIVED・legal_sufficiency: NOT_VERIFIED、derives_authority: false）。", "発行できたことは、税務上正しいことを示すものではありません。税務の判断はせず、事実だけを返し、直し方を返しません（税務相談は税理士の独占業務です）。", "請求書番号の採番・一意性・連番、相手への送付・受領、請求の承認、入金・債権の管理はしません。", "本物の文書生成・保存・台帳の backend には一度も接続していません。単体試験とファズは代役で、本物の 4 部品のコードとの結線は、各継手の試験用の代役を相手に確かめました。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の請求書ソフトの使い方の雛形ではありません。" ], "integration": "src/invoice.js の createInvoiceIssuance(options) で作ります。受け取るのは参照・store_target・ledger・ports・任意の timestamp で、{ ok, errors, instance } を返します。issue と status の結果には approval: false が付き、段に進んだ請求書は stage と digest を添えます。利用側が用意する port は taxFacts（G-07）・render.transform（J-01）・store.submit（C-05）・ledger.append と state（H-01）です。副作用は束ねた継手が起こし（EXTERNAL_IRREVERSIBLE）、資格情報は port が持ちます。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-05", "category": "G/決済・資金", "kind": "Tsugite", "title": "サブスク・継続課金 — 決済の運び継手（Tsugite）", "summary": "決済の運び継手（Tsugite）は、定期課金の要求（SubscriptionBillingRequest）の請求（BILL_CYCLE）・一時停止（PAUSE）・再開（RESUME）・解約（CANCEL）を、pin した一覧と、お金が動く操作を許す設定（allow_money_movement）で検めてから決済基盤へ運び、戻った receipt（SubscriptionBillingReceipt）を照合する継手（つぎて）です。外れれば送らず、受理しません（fail-closed）。", "problem": "定期課金を外の決済基盤へ運ぶとき、許していない請求や再開を送ってしまうこと、同じ請求を二度送ってしまうこと、op と合わない状態の receipt やお金が動いたか分からない receipt を信じてしまうことを防ぎます。", "use_when": [ "定期課金の請求（BILL_CYCLE→BILLED）・一時停止（PAUSE→PAUSED）・再開（RESUME→RESUMED）・解約（CANCEL→CANCELLED）を外の決済基盤へ運び、receipt が op に合う状態かを照合したいとき。", "お金が動く操作（請求・再開）を、設定 allow_money_movement: true で明示的に許したときだけ送りたいとき（既定は送りません）。", "請求に冪等キーを必須にし、同じキーの請求を重複（DEDUP_HIT、新しい効果なし）として扱いたいとき。", "決済基盤の障害のあとに再送するとき、照会（lookup）で解いて二度動かさないようにしたいとき。" ], "do_not_use_when": [ "請求できたことを、業務の承認として扱いたいとき。定期課金の成功は業務の承認ではありません（business_approval は運びから導きません）。", "額・通貨・税・手数料の正しさを確かめたいとき。この継手は確かめません（外の判断と人・組織の役目です）。", "すぐに実の決済基盤につなぎたいとき。実の決済基盤・PSP・銀行には一度も接続しておらず、port の実装も含みません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "お金を動かす許可を検めます。allow_money_movement が true でないとき、または真偽値でないとき、お金が動く操作は送りません（REFUSED）。", "冪等キーを検めます。冪等キーの無い請求（BILL_CYCLE）、同じキーで別の中身の要求は送りません。", "重複なのに効果を名乗る receipt は受理しません。重複（DEDUP_HIT）の効果は NONE です。", "pin した一覧を検めます。pin していない支払い方法、空・パス・.. を含む参照は送りません。空の一覧は何も許しません。", "receipt を照合します。op と合わない状態、辞退なのに効果を名乗る receipt、外への効果を増やす receipt、別の要求の receipt（request_digest の偽り）は受理せず、以後は停止します（HALTED）。", "お金が動いたか分からない receipt（効果 UNKNOWN）は受け取らず、以後は停止します（HALTED）。人の確認へ回します。", "業務の承認を名乗る receipt は受理しません。", "同じ request_id は二度送りません。決済基盤の障害は UNKNOWN とし、再送は照会（lookup）で解いて、二度動かしません。" ], "what_it_does_not_do": [ "定期課金の成功は業務の承認ではありません。どの結果にも approval: false が付きます。業務の承認は核（approval-facts）と人・組織の役目です。", "額・通貨・税・手数料の正しさは確かめません（外の判断と人・組織の役目です）。", "実の決済基盤・PSP・銀行には一度も接続していません。実の課金・送金は 0 回です。port の実装、pin する一覧、お金を動かす許可は、接続するときに別の関門で決めます。", "決済基盤の認証に使う秘密は持ちません。秘密は port 側が持ちます（HELD_BY_PORT）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の決済サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/payment-rails/v1 でつなぎます。createPaymentRailsClient({ cfg, port }) の submit(request) に SubscriptionBillingRequest を渡すと、DONE（result に billing_state・business_approval）・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 決済基盤への port（submit、任意で lookup）。副作用: 定期課金の操作は EXTERNAL_IRREVERSIBLE、重複・辞退・失敗などは NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-06", "category": "G/決済・資金", "kind": "Tsugite", "title": "支払・送金（payout） — 決済の運び継手（Tsugite）", "summary": "決済の運び継手（Tsugite）は、支払い（payout）の要求（PayoutRequest）を、人・組織から受け取った根拠の参照・pin した支払い先・お金が動く操作を許す設定（allow_money_movement）で検めてから決済基盤へ運び、戻った receipt（PayoutReceipt）を契約どおりに照合する継手（つぎて）です。ERABAZU は支払いの許可を作らず、根拠が無ければ送りません（fail-closed）。", "problem": "事業者への支払いを外の決済基盤へ運ぶとき、人・組織の根拠が無いまま送ってしまうこと、pin していない支払い先へ送ってしまうこと、支払いの許可を名乗る receipt を信じてしまうことを防ぎます。支払えることを支払いの許可と取り違えないための検めです。", "use_when": [ "事業者への支払いを、人・組織が出した根拠を recordAuthorityEvidence(evidence_ref, origin) で受け取った後だけ運びたいとき（origin は HUMAN か ORGANIZATION だけ。この操作はチャージバックの受け入れの根拠も受け取ります）。", "支払い先を、pin した一覧（payout_destinations）に限りたいとき。", "支払いを、設定 allow_money_movement: true で明示的に許したときだけ送りたいとき（既定は送りません）。", "同じ支払いを二度動かしたくないとき。冪等キーを必須にし、同じ request_id は二度送らず、障害のあとの再送は照会（lookup）で解きます。" ], "do_not_use_when": [ "この継手に支払いの許可を出させたいとき。ERABAZU は支払いの許可を作りません。支払いの実行は人の役目です（Kernel と同じ承認の境界）。", "根拠が本物か、額・通貨・税・手数料が正しいかを確かめたいとき。この継手はどちらも確かめません（外の判断と人・組織の役目です）。", "すぐに実の決済基盤につなぎたいとき。実の決済基盤・PSP・銀行には一度も接続しておらず、port の実装も含みません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "根拠を検めます。根拠の参照が無い支払い、recordAuthorityEvidence で受け取っていない根拠を使う支払い、origin が ERABAZU の根拠は送りません。", "支払いの許可を名乗る receipt は受理しません。", "お金を動かす許可を検めます。allow_money_movement が true でないとき、または真偽値でないとき、お金が動く操作は送りません（REFUSED）。", "pin した一覧を検めます。pin していない支払い先、空・パス・.. を含む参照は送りません。空の一覧は何も許しません。", "冪等キーを検めます。冪等キーの無い支払い、同じキーで別の中身の要求は送りません。", "receipt を照合します。op と合わない状態、辞退なのに効果を名乗る receipt、外への効果を増やす receipt、別の要求の receipt（request_digest の偽り）は受理せず、以後は停止します（HALTED）。", "お金が動いたか分からない receipt（効果 UNKNOWN）は受け取らず、以後は停止します（HALTED）。人の確認へ回します。", "同じ request_id は二度送りません。決済基盤の障害は UNKNOWN とし、再送は照会（lookup）で解いて、二度動かしません。" ], "what_it_does_not_do": [ "支払えたことは支払いの許可ではありません。result の payout_authorization も運びから導かず、どの結果にも approval: false が付きます。", "支払いの許可の中身（本物の根拠か）、額・通貨・税・手数料の正しさは確かめません（外の判断と人・組織の役目です）。", "実の決済基盤・PSP・銀行には一度も接続していません。実の課金・送金は 0 回です。port の実装、pin する一覧、お金を動かす許可は、接続するときに別の関門で決めます。", "決済基盤の認証に使う秘密は持ちません。秘密は port 側が持ちます（HELD_BY_PORT）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の決済サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/payment-rails/v1 でつなぎます。createPaymentRailsClient({ cfg, port }) の recordAuthorityEvidence(evidence_ref, origin) で根拠を受けた後、submit(request) に PayoutRequest を渡すと、DONE（result に payout_state・payout_authorization）・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED を返します（どれも approval: false）。利用側が用意するもの: 決済基盤への port（submit、任意で lookup）。副作用: EXTERNAL_IRREVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-07", "category": "G/決済・資金", "kind": "Kernel", "title": "税計算 — 税計算の部品（Kernel）", "summary": "税計算の部品（Kernel）は、日本の消費税（標準税率 10%・軽減税率 8%・旧税率 8%）について、適格請求書（または適格簡易請求書）1 枚の明細から、税率ごとの対価の合計と消費税額等、記載事項の欠けを事実として返す単独の部品です。税率はコードに持たず、渡された税率の表（期間と国・地方の内訳つき）から選び、端数処理の方法は事業者の設定から請求書の日付で選びます。表や設定で決まらないものは推測せず need_input にし、形の違う入力は決まったコードと位置で止めます（fail-closed）。inference と advice はいつも null です。", "problem": "「税込」の裏で、税額を明細ごとに丸めてしまうこと、浮動小数点の誤差が税額に入ること、コードに持った税率で計算してしまうこと、表や設定で決まらない入力を推測で埋めてしまうことを防ぎます。税額の端数処理は、1 枚につき税率ごとに 1 回だけです。", "use_when": [ "適格請求書（QUALIFIED）か適格簡易請求書（SIMPLIFIED）1 枚の明細（1〜1000 件）から、税率ごとの対価の合計と消費税額等を事実として出したいとき。", "税額の端数処理を、1 枚につき税率（率の内訳 rate・national_rate・local_rate の組）ごとに 1 回だけ、事業者の設定の方法（FLOOR 切捨て・CEIL 切上げ・HALF_UP 四捨五入）で行いたいとき。明細ごと・表の行ごとには丸めません。", "税抜（TAX_EXCLUDED）か税込（TAX_INCLUDED）か（1 枚に 1 つ）に応じて、税額を浮動小数点を使わず正確な分数で出したいとき。金額と率は 10 進の文字列で渡します。", "税率を、使う側が渡す税率の表（行ごとの期間・国と地方の内訳・出典つき）から選びたいとき。同梱の表は bundledTaxTable() が写しを返し、ほかの表を tax_table として渡すこともできます。", "記載事項の欠け（氏名又は名称・登録番号・取引年月日・取引の内容・軽減税率の対象である旨など）を、計算と同じ呼び出しで一覧にしたいとき。欠けがあっても計算は止めません。", "同じ請求書から、キーの並びに関係なく同じ invoice_digest（RFC 8785 の正準 JSON の sha256）と、byte 単位で同じ出力が要るとき。時計・乱数・環境の locale を使いません。" ], "do_not_use_when": [ "期間の集計（売上税額・仕入税額の積上げ計算、割戻し計算との選択）、簡易課税のみなし仕入率、2割特例、輸入消費税が要るとき。この部品は請求書 1 枚の中で閉じる計算だけです。", "非課税・不課税・免税の判定、源泉徴収、ほかの国の税が要るとき。カタログの一言「消費税・源泉等」のうち、源泉徴収は含みません。", "品目が軽減税率の対象かどうか、経過措置が当たるかどうかを判定させたいとき。呼び出し側が rate_class と rate_id の名指しで決めて渡します。", "登録番号が国税庁の公表サイトの登録簿にあるかを確かめたいとき。T と 13 桁の数字の形だけを検め、登録簿には照会しません。", "負の金額（値引き・返品・対価の返還等）を含む請求書を扱うとき。v1 は負の金額を受け取らず、NEGATIVE_AMOUNT で止めます。", "ほかの国の通貨の金額を扱うとき。UNSUPPORTED_CURRENCY で止めます。", "税額の国・地方への分け方が要るとき。国と地方の内訳は率だけを出します。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "引数が { invoice, tax_table, taxpayer_profile } の 3 つだけを持つ素のオブジェクトでないとき INVALID_ARGUMENT、値を調べること自体が例外になるとき（Proxy の罠など）INSPECTION_FAILED で止めます。getter・クラスのインスタンス・穴のある配列・__proto__ のキーは受け取らず、素のデータに写してから検めます。", "請求書の形が違うとき（知らないキー・足りないキー・語彙の外の値・単独のサロゲート・明細が 0 件か 1000 件を超える・reduced_marker が true 以外）INVALID_INVOICE、日付が実在する暦の日でないとき INVALID_DATE、同じ line_id の明細が 2 つあるとき DUPLICATE_LINE_ID で止めます。", "金額が { value, scale, currency } の決まった形でないとき（scale が 0〜6 の整数でない・小数の桁数が scale と違う）MALFORMED_AMOUNT、金額が負のとき NEGATIVE_AMOUNT、通貨が違うとき UNSUPPORTED_CURRENCY で止めます。", "税率の表の形が違うとき（出典の url が https でない場合を含む）INVALID_TAX_TABLE、行に出典が無いとき MISSING_SOURCE、率が決まった形でない・0 のとき MALFORMED_RATE、national_rate + local_rate が rate と等しくないとき RATE_SPLIT_MISMATCH で止めます。", "期間の終わりが始まりより前のとき INVALID_PERIOD、同じ rate_id の行が 2 つあるとき DUPLICATE_RATE_ID、同じ区分の行の期間が重なるとき OVERLAPPING_RATE_ROWS、事業者の設定の形が違うとき（端数処理の方法が FLOOR・CEIL・HALF_UP 以外など）INVALID_PROFILE で止めます。", "取引の日が無いとき、取引の日に当たる行が表に無いとき、名指しの rate_id が表に無い・区分が違う・日が合わないとき、請求書の日付に当たる端数処理の設定が 0 件か 2 件以上のときは、推測せず need_input にし、groups を空、invoice_totals を null にします（途中までの計算を出しません）。", "記載事項（消法57の4①②、インボイスQ&A 問54・問58）のうち、氏名又は名称・登録番号（形だけ）・取引年月日・取引の内容と軽減税率の対象である旨・交付を受ける事業者の名称（適格請求書だけ）を入力の欄から、税率ごとの合計・適用税率・税額を載せるかを presentation の申告から検め、無いものを required_items の missing に並べます。", "結果を、src の補助関数を使わずに規則から書き直した独立オラクルと突き合わせるファズで、不一致と fail-open が 0 であることを確かめました。" ], "what_it_does_not_do": [ "返すのは税の事実だけです。inference と advice はいつも null で、出力のどの文字列にも直し方や判断の語を入れません。approval は false、authority は NOT_DERIVED です（derives_authority: false）。", "結果は事実の提示であって、税務上の判断ではなく、申告が正しいことを示すものでもなく、税務の判断や申告の代行でもありません。税務相談は税理士の独占業務です。経過措置の当否・品目の区分・登録番号が登録簿にあるかは、この部品の外で確かめます。", "期間の集計（積上げ計算・割戻し計算の選択の当否）、簡易課税、2割特例、輸入消費税、非課税・不課税・免税の判定、源泉徴収、ほかの国の税は扱いません。", "標準税率の明細に reduced_marker が付いていることは検めません（記載事項の欠けとしても出しません）。sales_tax_method・taxation_method は形を検めて写すだけで、計算には使いません。", "税込で通貨の最小単位未満を含む金額を渡し、切上げ・四捨五入で税額が合計を超えると、税抜の合計は負の値になります。そのまま事実として出し、直しません。", "同梱の表は 2026-10-01 時点の国税庁の資料による 3 行だけです。2014-04-01 より前の税率と、成立していない改正案は入っていません。表に行の無い期間の取引の日は need_input になります。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "src/tax-facts.js の computeInvoiceTax({ invoice, tax_table, taxpayer_profile }) を呼びます（例外を投げません）。受け取るのは請求書（明細 lines・presentation など）、税率の表（行ごとの率の内訳・期間・出典）、事業者の設定（rounding）です。返すのは { ok: true, errors: [], facts }（groups・invoice_totals・required_items・need_input、inference: null・advice: null）か { ok: false, errors: [{ code, where }] }（where は JSON Pointer）です。副作用（NONE）・状態・外の接続・資格情報は無く、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-08", "category": "G/決済・資金", "kind": "Tsugite", "title": "為替レートの取得 — 決済の運び継手（Tsugite）", "summary": "決済の運び継手（Tsugite）は、為替レートの要求（FxRateRequest）を、pin した通貨の組（fx_pairs）とレートの出どころ（rate_sources）で検めてから運び、戻った receipt（FxRateReceipt）を契約どおりに照合する継手（つぎて）です。観測したレートは権威ではなく、権威を名乗る receipt は受理しません（fail-closed）。", "problem": "為替レートを外から取ってくるとき、pin していない通貨の組や出どころのレートを使ってしまうこと、観測したレートを権威として扱ってしまうことを防ぎます。", "use_when": [ "pin した通貨の組と出どころに限って為替レートを観測して運び、結果（rate_state・rate_ref）として受け取りたいとき。", "受け取ったレートを、権威ではない観測値として扱う前提で使いたいとき（rate_authority は運びから導きません）。" ], "do_not_use_when": [ "通貨の変換（換算）をしたいとき。この継手は為替レートの取得（観測したレートの運搬）の継手で、換算の機能は含みません。", "観測したレートを、権威のあるレートとして扱いたいとき。観測したレートは権威ではありません。", "すぐに実の決済基盤につなぎたいとき。実の決済基盤・PSP・銀行には一度も接続しておらず、port の実装も含みません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "pin した一覧を検めます。pin していない通貨の組、pin していないレートの出どころ、空・パス・.. を含む参照は送りません。空の一覧は何も許しません。", "権威を名乗るレートの receipt は受理しません。", "外への効果を増やす receipt は受理しません。為替レートの要求の効果は NONE です。", "op と合わない状態の receipt、別の要求の receipt（request_digest の偽り）は受理せず、以後は停止します（HALTED）。", "効果が分からない receipt（効果 UNKNOWN）は受け取らず、以後は停止します（HALTED）。", "同じ request_id は二度送りません。決済基盤の障害は UNKNOWN とし、再送は照会（lookup）で解いて、二度動かしません。" ], "what_it_does_not_do": [ "為替レートの要求を運ぶ継手で、換算（通貨の変換）の機能は含みません。", "観測したレートは権威ではありません。どの結果にも approval: false が付きます。", "額・通貨・税・手数料の正しさは確かめません（外の判断と人・組織の役目です）。", "実の決済基盤・PSP・銀行には一度も接続していません。実の課金・送金は 0 回です。port の実装、pin する一覧、お金を動かす許可は、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の決済サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/payment-rails/v1 でつなぎます。createPaymentRailsClient({ cfg, port }) の submit(request) に FxRateRequest を渡すと、DONE（result に rate_state・rate_ref・rate_authority）・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 決済基盤への port（submit、任意で lookup）。副作用: NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-09", "category": "G/決済・資金", "kind": "Tsugite", "title": "突合用の明細取り込み（processor） — 決済の運び継手（Tsugite）", "summary": "決済の運び継手（Tsugite）は、明細の取り込みの要求（StatementIntakeRequest）を、pin した明細の出し手（processors）で検めてから運び、戻った receipt（StatementIntakeReceipt）を契約どおりに照合する継手（つぎて）です。明細を運んでも突き合わせではなく、突き合わせを名乗る receipt は受理しません（fail-closed）。", "problem": "決済の明細を外から取り込むとき、pin していない出し手の明細を取り込んでしまうこと、明細を運んだことを明細と入金の突き合わせが済んだことと取り違えることを防ぎます。", "use_when": [ "pin した明細の出し手に限って明細を取り込んで結果（intake_state）として受け取り、突き合わせは核（reconcile-facts）や人・組織に任せたいとき。", "取り込みと突き合わせを分けて扱いたいとき。突き合わせを名乗る receipt は受理せず、reconciliation は運びから導きません。" ], "do_not_use_when": [ "明細と入金の突き合わせをしたいとき。この継手は突き合わせをしません。明細の突き合わせは外の判断と人・組織の役目です。", "明細の額・通貨・税・手数料の正しさを確かめたいとき。この継手は確かめません。", "すぐに実の決済基盤につなぎたいとき。実の決済基盤・PSP・銀行には一度も接続しておらず、port の実装も含みません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "pin した一覧を検めます。pin していない明細の出し手、空・パス・.. を含む参照は送りません。空の一覧は何も許しません。", "突き合わせを名乗る receipt は受理しません。", "外への効果を増やす receipt は受理しません。明細の取り込みの効果は NONE か EXTERNAL_REVERSIBLE（FAILED は NONE）です。", "op と合わない状態の receipt、別の要求の receipt（request_digest の偽り）は受理せず、以後は停止します（HALTED）。", "効果が分からない receipt（効果 UNKNOWN）は受け取らず、以後は停止します（HALTED）。", "同じ request_id は二度送りません。決済基盤の障害は UNKNOWN とし、再送は照会（lookup）で解いて、二度動かしません。" ], "what_it_does_not_do": [ "明細の突き合わせはしません。明細を運んでも突き合わせではなく、result の reconciliation も運びから導きません。", "取り込めたことは承認ではありません。どの結果にも approval: false が付きます。", "額・通貨・税・手数料の正しさは確かめません（外の判断と人・組織の役目です）。", "実の決済基盤・PSP・銀行には一度も接続していません。実の課金・送金は 0 回です。port の実装、pin する一覧、お金を動かす許可は、接続するときに別の関門で決めます。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の決済サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/payment-rails/v1 でつなぎます。createPaymentRailsClient({ cfg, port }) の submit(request) に StatementIntakeRequest を渡すと、DONE（result に intake_state・reconciliation）・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 決済基盤への port（submit、任意で lookup）。副作用: NONE か EXTERNAL_REVERSIBLE（FAILED は NONE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-10", "category": "G/決済・資金", "kind": "Tsugite", "title": "チャージバックの申し立て — 決済の運び継手（Tsugite）", "summary": "決済の運び継手（Tsugite）は、チャージバックの要求（DisputeRequest）の申し立て（OPEN）・証拠の提出（SUBMIT_EVIDENCE）・観測（OBSERVE）・受け入れ（ACCEPT）を検めてから運び、戻った receipt（DisputeReceipt）が op どおりの状態かを照合する継手（つぎて）です。受け入れは、人・組織の根拠を受け取った後で、お金が動く操作として設定で許したときだけ送ります。運んでも解決の権限ではありません（fail-closed）。", "problem": "チャージバックを外の決済基盤へ運ぶとき、証拠の参照の無い提出を送ってしまうこと、人・組織の根拠の無いまま受け入れ（ACCEPT）を送ってしまうこと、解決の権限を名乗る receipt を信じてしまうことを防ぎます。受け入れは取り消せない業務の判断なので、根拠があるときだけ運びます。", "use_when": [ "チャージバックの申し立て（OPEN→OPENED）・証拠の提出（SUBMIT_EVIDENCE→EVIDENCE_SUBMITTED）・観測（OBSERVE→OBSERVED）・受け入れ（ACCEPT→ACCEPTED）を運び、receipt が op に合う状態かを照合したいとき。", "チャージバックの解決を人・組織の判断に残し、運びからは解決の権限（resolution_authority）を導かないようにしたいとき。", "チャージバックの受け入れ（ACCEPT）を、人・組織が出した根拠を recordAuthorityEvidence で受け取った後だけ、設定 allow_money_movement: true で許したときだけ運びたいとき。" ], "do_not_use_when": [ "人・組織の根拠が無いまま、または設定 allow_money_movement が true でないまま、チャージバックを受け入れたい（ACCEPT）とき。この継手は送りません（REFUSED）。", "チャージバックを解決したいとき、または返金をしたいとき。この継手はチャージバックの申し立て・証拠の提出・観測・受け入れを運ぶ継手で、解決の権限は無く、返金の機能は含みません。受け入れを運んでも解決ではありません。", "受け入れの根拠が本物の判断かを確かめたいとき。この継手は、人・組織から受け取った参照かだけを見ます。", "すぐに実の決済基盤につなぎたいとき。実の決済基盤・PSP・銀行には一度も接続しておらず、port の実装も含みません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "受け入れの根拠を検めます。根拠の参照が無い受け入れ（ACCEPT）、recordAuthorityEvidence で受け取っていない根拠を使う受け入れ、origin が ERABAZU の根拠の受け入れは送りません。受け入れ以外の op に根拠の欄を付けた要求も送りません。", "お金を動かす許可を検めます。allow_money_movement が true でないとき、または真偽値でないとき、受け入れ（ACCEPT）は送りません（REFUSED）。", "証拠の参照の無い証拠の提出は送りません。参照が空・パス・.. を含むものも送りません。", "解決の権限を名乗る receipt は受理しません。", "外への効果を増やす receipt は受理しません。効果は、観測は NONE、申し立て・証拠の提出は EXTERNAL_REVERSIBLE、受け入れは EXTERNAL_IRREVERSIBLE（FAILED は NONE）です。", "op と合わない状態の receipt、別の要求の receipt（request_digest の偽り）は受理せず、以後は停止します（HALTED）。", "効果が分からない receipt（効果 UNKNOWN）は受け取らず、以後は停止します（HALTED）。", "同じ request_id は二度送りません。決済基盤の障害は UNKNOWN とし、再送は照会（lookup）で解いて、二度動かしません。" ], "what_it_does_not_do": [ "チャージバックの解決はしません。受け入れ（ACCEPT）を運んでも解決の権限ではなく、どの結果にも approval: false が付きます。解決は外の判断と人・組織の役目です。", "受け入れの根拠の中身（本物の判断か）は確かめません。人・組織から受け取った参照かだけを見ます。ERABAZU は争いを認める判断を作りません。", "実の決済基盤・PSP・銀行には一度も接続していません。実の課金・送金は 0 回です。port の実装、pin する一覧、お金を動かす許可は、接続するときに別の関門で決めます。", "決済基盤の認証に使う秘密は持ちません。秘密は port 側が持ちます（HELD_BY_PORT）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の決済サービスの使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/payment-rails/v1 でつなぎます。createPaymentRailsClient({ cfg, port }) の recordAuthorityEvidence で根拠を受けた後、submit(request) に DisputeRequest を渡すと、DONE（result に dispute_state・resolution_authority）・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED を返します（どれも approval: false）。利用側が用意するもの: port。副作用: 観測は NONE、申し立て・証拠の提出は EXTERNAL_REVERSIBLE、受け入れは EXTERNAL_IRREVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-11", "category": "G/決済・資金", "kind": "Primitive", "title": "金額の 10 進表現 — 金額の 10 進表現（文字列＋scale）の部品（Primitive）", "summary": "金額の 10 進表現（文字列＋scale）の部品（Primitive）は、金額を { value, scale, currency }（10 進の整数の文字列・小数点の位置・通貨のコード）で持ち、10 進の文字列からの読み取り、末尾の 0 を削る正規化、同じ通貨の足し算・比較・等しさ、10 進の文字列への書き出しをする単独の部品です。計算は BigInt だけで、浮動小数点を使わず、丸めません。", "problem": "小数の誤差で、金額が端数の分だけずれる事故を防ぎます。浮動小数点を使わないので誤差が入らず、38 桁に収まらない結果は黙って丸めずに止めます。受け取れない値は、決まったコードと位置で止めます。", "use_when": [ "10 進の文字列（-?[0-9]+(.[0-9]+)?、ASCII の数字だけ）を、通貨のコードとあわせて金額に読みたいとき（parseDecimal）。scale は書かれた小数の桁数のままで、正規化しません。", "末尾の 0 を削り、scale を最小にした金額にそろえたいとき（normalize。0 は { value: \"0\", scale: 0 }）。", "同じ通貨の 2 つの金額を、丸めずに足したいとき（add。結果は正規化した金額）。", "scale によらず、数の大小（compare の -1・0・1）や等しさ（equal）を知りたいとき。equal は通貨が違えば false で、エラーではありません。", "金額を、小数の桁数がちょうど scale の 10 進の文字列に書き出したいとき（toText）。parseDecimal(toText(a)) は同じ value・scale に戻ります。", "時計・乱数・環境の locale・外の接続を持たない、決定的な処理として手元で呼びたいとき。" ], "do_not_use_when": [ "丸め・掛け算・割り算・為替の換算が要るとき。この部品は扱いません。", "記号や桁区切りの付いた表示用の文字列が要るとき。表示用の整形は L-03 の部品の役目です。", "通貨のコードが ISO 4217 の表にあるか、通貨ごとの小数の桁数に合うかを確かめたいとき。この部品は形（英大文字 3 字）だけを検めます。", "38 桁・scale 18 を超える金額を扱うとき。表せないので止めます（TOO_MANY_DIGITS・INVALID_SCALE）。", "整数部の先頭の 0 を断りたいとき。parseDecimal は先頭の 0 を受け取って捨てます。より狭い形が要るときは、使う側で検めます。", "text の長さの上限が要るとき。上限は持たず、大きさの上限は I-06 の部品か使う側で決めます。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "引数が素のオブジェクトでない、決めたキーの外を持つ、getter・列挙しないプロパティ・symbol のキーを持つ、値を調べること自体が例外になるとき（Proxy の罠など）、INVALID_ARGUMENT で止めます。getter は呼びません。", "text・value が文字列でないとき（数として渡された値・NaN・Infinity・bigint・無いキー）、NOT_A_STRING で止めます。", "text が -?[0-9]+(.[0-9]+)? の形でないとき（指数・+・空白・桁区切り・\"1.\"・\".5\"・全角の数字・改行）、INVALID_DECIMAL_TEXT で止めます。", "value が -?[0-9]+ の形でない・先頭に余分な 0 があるとき INVALID_VALUE、\"-0\" などの負の 0 のとき NEGATIVE_ZERO で止めます。", "桁が 38 を超えるとき（足し算の結果を含む）TOO_MANY_DIGITS、scale が 0〜18 の整数でないとき（-0・小数・文字列）や小数の桁数が 18 を超えるとき INVALID_SCALE で止めます。", "currency が英大文字 3 字の文字列でないとき INVALID_CURRENCY、add・compare の 2 つの金額の通貨が違うとき CURRENCY_MISMATCH で止めます。", "止めたときは、決まった順で最初の 1 つだけを、コード（code）と位置（where。JSON Pointer で、2 つの金額の操作では /a・/b から始まる）で返します。" ], "what_it_does_not_do": [ "丸め・掛け算・割り算・為替の換算・表示用の整形はしません。", "計算できたことは、金額が業務として正しいことでも、受け入れてよいことでもありません。", "通貨ごとの小数の桁数には照らしません。ISO 4217 の表に無いコードでも、形が合えば受け取ります。", "全角・ほかの文字体系の数字は受け取りません。数字は ASCII の 0〜9 だけです。", "計算の結果は、承認ではありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の 10 進数のライブラリの使い方の雛形ではありません。" ], "integration": "src/decimal-amount.js の parseDecimal({ text, currency })・normalize(amount)・add(a, b)・compare(a, b)・equal(a, b)・toText(amount) を呼びます（どれも投げません）。金額は { value, scale, currency }（value は符号を除いて 38 桁までの整数の文字列、scale は 0〜18 の整数、currency は英大文字 3 字）です。返すのは { ok: true, errors: [], amount | result | equal | text } か { ok: false, errors: [{ code, where }] }。副作用・状態・外の接続・資格情報は無く、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-12", "category": "G/決済・資金", "kind": "Kernel", "title": "取引の事象 ID — 取引の事象 ID（txn_id）の部品（Kernel）", "summary": "取引の事象 ID（txn_id）の部品（Kernel）は、取引・証憑の事実（kind・source・occurred_on・amount・counterparty）から、決まった規則で事象の ID（txn_id）を出す単独の部品です。ハッシュする形を RFC 8785 の正準 JSON にして SHA-256 をとり、先頭 16 bytes を小文字の hex 32 文字にします。必要な事実が無いときは推測せず need_input にし、形の違う入力は決まったコードと位置で止めます（fail-closed）。inference と advice はいつも null です。", "problem": "二重計上を防ぐ照合の鍵には、同じ事実からいつも同じ値が要ります。金額の末尾の 0 と scale の書き方の違い、入力のキーの順、浮動小数点の誤差、raw_refs のような出どころの参照によって、同じ事実の ID が変わってしまうことを防ぎます。", "use_when": [ "取引・証憑の事実から、二重計上を防ぐ照合の鍵として、同じ事実から同じ値になる事象の ID（txn_id）を作りたいとき。", "同じ値の金額を、scale の書き方によらず同じ ID にしたいとき。金額は BigInt で末尾の 0 を削って scale を最小にし、浮動小数点を使いません。通貨・符号・値が違えば別の ID です。", "取引先を、出どころの ID（id_in_source）か名前で表したいとき。id_in_source があって空でなければそれだけを使い、無ければ名前を NFKC にして前後の空白を削ったものを使います。", "必要な事実が欠けているときに、推測で埋めず、無い事実の位置（JSON Pointer）の一覧 missing を受け取りたいとき。state は need_input で、エラーではありません。", "ID と一緒に、ハッシュした形（hashed）と、その正準 JSON の文字列（canonical）も受け取り、ID の元を確かめたいとき。", "時計・乱数・環境の locale を使わず、入力のキーの順によらない、決定的な出力が要るとき。外の境界・状態はありません。" ], "do_not_use_when": [ "2 つの記録が同じ取引かどうかを判断させたいとき。同じ欄の値を持つ別々の取引（同じ日・同じ金額・同じ取引先の 2 回の買い物など）は同じ txn_id になります。区別は source_key の役目で、G-13・G-14 の部品が扱います。", "表記のゆれを寄せたいとき。大文字と小文字、(株) と 株式会社、ゼロ幅の文字、空白の数の違いは別の ID になります。別名の候補を出すことは、この部品に含みません。", "kind（evidence か transaction か）・source・id_in_source を決めさせたいとき。どれも呼び出し側が決めて渡します。kind は申告されたものを使い、判定しません。", "記録の形の検め・supersedes の扱い・重複のまとまり分けが要るとき。記録の形と supersedes は G-13、同一性の基準は G-14 の部品の範囲です。", "ID が衝突しないことを前提にしたいとき。txn_id は 128 bit に切り詰めたハッシュで、衝突しないことは約束しません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。NFKC は Node.js（ICU）の String.prototype.normalize によるため、Unicode の版が変わると結果が変わりえます。" ], "what_it_checks": [ "引数が 6 つのキー（kind・source・occurred_on・amount・counterparty・raw_refs）だけを持つ素のオブジェクトでないとき、getter・列挙しないプロパティ・symbol のキーを持つとき（raw_refs を除く）、値を調べること自体が例外になるとき（Proxy の罠など）は INVALID_ARGUMENT で止めます。", "kind が evidence・transaction でないとき INVALID_KIND、source が ^[a-z0-9][a-z0-9_-]{0,62}$ の文字列でないとき INVALID_SOURCE、occurred_on が YYYY-MM-DD の実在する暦の日（0001〜9999 年）でないとき INVALID_DATE で止めます。", "amount が { value, scale, currency } だけを持つ素のオブジェクトでないとき、value が -?[0-9]+ の形でない（先頭の 0・\"-0\"・符号を除いて 38 桁を超える）とき、scale が 0〜18 の整数でない（-0 を含む）とき、currency が英大文字 3 字でないときは INVALID_AMOUNT で止めます。", "counterparty が { id_in_source, name } のうちだけを持つ素のオブジェクトでないとき、どちらかが文字列か null でないとき、単独のサロゲートを含むときは INVALID_COUNTERPARTY で止めます。id_in_source があるときも、名前の形は検めます。", "形の違う欄が 1 つでもあれば、無い欄があってもエラー（{ ok: false }）にし、最初に見つけた 1 つだけを返します。検める順は 引数の形 → kind → source → occurred_on → amount → counterparty です。", "raw_refs は読まず（形も検めず、getter も呼ばず）、ID に入れません。検めた値とハッシュする値は同じです。", "結果を、src の補助関数も src/canonical.js も crypto も使わずに規則から書き直した独立オラクル（SHA-256 も純 JS）と突き合わせるファズで、不一致と fail-open が 0 であることを確かめました。NFKC だけはオラクルも同じ関数を使います。", "15 件の既知の答え（test/known-answers.json）で試験しています。正準の文字列は規則から手で書き、txn_id は src を使わない純 JS の SHA-256 で求めたものです。G-13 の部品と同じ答えを共有します。" ], "what_it_does_not_do": [ "返すのは事実だけです。inference と advice はいつも null で、出力のどの文字列にも判断の語を入れません。結果は承認ではなく（result_is_approval: false）、権限も作りません（derives_authority: false）。", "事象 ID は決まった欄から決まった規則で作った値で、記帳や突合の判断ではありません。2 つの記録が同じ取引かどうかは決めません。", "id_in_source は正規化しません（前後の空白も含めてそのまま使います）。名前は NFKC と前後の空白の削りだけで、それ以上は寄せません。", "通貨のコードは形（英大文字 3 字）だけを検め、ISO 4217 の表とは照らしません。", "id_in_source と name の長さの上限は持ちません。NFKC・正準化・ハッシュには長さに比例する時間がかかります。大きさの上限は I-06 の部品か使う側で決めます。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "src/txn-id.js の computeTxnId(input) を呼びます（例外を投げません）。受け取るのは { kind, source, occurred_on, amount: { value, scale, currency }, counterparty: { id_in_source?, name? }, raw_refs? } です。返すのは { ok: true, errors: [], facts }（state・txn_id・hashed・canonical・missing、inference: null・advice: null）か { ok: false, errors: [{ code, where }] }（where は JSON Pointer）です。副作用（NONE）・状態・外の接続・資格情報は無く、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-13", "category": "G/決済・資金", "kind": "Kernel", "title": "取引・突合の記録の検め — 共通形の取引・突合の記録の検めの部品（Kernel）", "summary": "共通形の取引・突合の記録の検めの部品（Kernel）は、共通形の取引（erabazu.common.txn/1）の欄をすべて検め、txn_id が G-12 の事象 ID の規則で計算し直した値と同じかを確かめる単独の部品です。突合（erabazu.common.match/1）は取引とは別の記録として検めます。取引の集合について supersedes の鎖の事実と古い順の鎖を出しますが、どの版が正しいかは決めません。形の違う入力は決まったコードと位置で止めます（fail-closed）。inference と advice はいつも null です。", "problem": "帳簿の元になる記録の形は、誰も見ないまま使われがちです。記録に書かれた txn_id を言い分のまま信じること、突合の情報を取引の記録に書き込んでしまうこと、supersedes の鎖の切れ・循環・枝分かれに気づかないことを防ぎます。", "use_when": [ "共通形の取引 1 件を、閉じた形（schema・txn_id・kind・occurred_on・amount・counterparty・lines・source・raw_refs・probe_version・extracted_at と、任意の supersedes・source_key）として検めたいとき（checkTxn）。", "記録の txn_id が、kind・source・occurred_on・amount・counterparty から G-12 の規則で計算した値と同じかを確かめたいとき。違えば TXN_ID_MISMATCH と、計算し直した値 recomputed_txn_id を返します。", "突合の記録（evidence_txn・transaction_txn・basis・matcher_version・confidence）を、取引とは別の記録として検めたいとき（checkMatch）。取引の欄を持つ突合の記録は受け取りません。", "取引の集合（10,000 件まで）について、supersedes の鎖を古い順に並べ、相手が無い・同じ id・別の source・循環・枝分かれを problems として受け取りたいとき（checkSupersedesChain）。", "時計・乱数・環境の locale を使わない、決定的な出力が要るとき。checkSupersedesChain の結果は入力の並びにもよりません。外の境界・状態はありません。" ], "do_not_use_when": [ "どの版が正しいか・どれを使うかを決めさせたいとき。supersedes の鎖の事実を並べるだけです。", "評価（為替の換算など）や、重複のまとまり分けが要るとき。まとまり分けは G-14 の部品の範囲です。", "突合の evidence_txn・transaction_txn が実在する取引か、それぞれの kind が合っているかを確かめたいとき。id の形と 2 つが違うことだけを検めます。", "明細の金額の合計が取引の金額と合うか、明細の通貨が取引の通貨と同じかを確かめたいとき。どちらも検めません。", "欠けた事実を集めたいとき。記録の欄が足りなければ need_input ではなく INVALID_RECORD で止めます。この部品は保存された記録の検めで、無い事実の一覧を出す G-12 とは役割が違います。", "中身を直しても txn_id が変わらない訂正を、同じ集合で扱いたいとき。同じ txn_id が 2 件ある集合は DUPLICATE_TXN_ID で止まります。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。NFKC は実行環境の ICU によるため、Unicode の版が変わると名前の正規化の結果が変わることがあります。" ], "what_it_checks": [ "記録が素のデータでないとき（getter・クラスのインスタンス・穴のある配列・symbol のキー・__proto__ のキー・入れ子 8 段や配列 10,000 要素を超える）、知らないキー・足りないキーがあるとき INVALID_RECORD、値を調べること自体が例外になるとき INSPECTION_FAILED で止めます。", "schema が違うとき INVALID_SCHEMA、txn_id・supersedes などが小文字の hex 32 文字でないとき INVALID_TXN_ID、kind が語彙の外のとき INVALID_KIND、日付が実在する暦の日でないとき INVALID_DATE、金額の形が違うとき INVALID_AMOUNT で止めます。", "取引先が空（id_in_source が空で、NFKC と trim の後の name も空）か形が違うとき INVALID_COUNTERPARTY、明細・数量の形が違うとき INVALID_LINES、source の形が違うとき INVALID_SOURCE、raw_refs が 1〜1024 件の重複のない Ref の配列でないとき INVALID_RAW_REFS で止めます。", "probe_version の形が違うとき INVALID_PROBE_VERSION、extracted_at が RFC 3339 の日時でない（うるう秒・小文字の t と z を含む）とき INVALID_TIME、source_key の形が違うとき INVALID_SOURCE_KEY で止めます。検めは決まった順で、最初に当たった 1 つだけを返します。", "txn_id を記録の言い分のまま信じず、G-12 の規則で計算し直して比べます。違えば TXN_ID_MISMATCH で止めます。", "突合の記録が素のデータでない・知らないキー（取引の欄を含む）・足りないキーがあるとき、basis・matcher_version・confidence（exact・probable・manual）の形が違うとき INVALID_MATCH、2 つの id が同じとき SAME_TXN_MATCHED で止めます。", "鎖の引数が { txns } だけの素のオブジェクトでないとき INVALID_ARGUMENT、同じ txn_id が 2 件あるとき DUPLICATE_TXN_ID で止めます。問題のある辺（相手が無い・同じ id・別の source・枝分かれ・循環）は鎖につながず、SUPERSEDES_ で始まるコードの事実として problems に出します。", "結果を、src の補助関数を使わずに規則から書き直した独立オラクルと突き合わせるファズで、不一致と fail-open が 0 であることを確かめました。NFKC と SHA-256 は、オラクルも Node.js の同じ関数を使います。" ], "what_it_does_not_do": [ "返すのは記録の形と規則との一致の事実だけです。inference と advice はいつも null、approval は false で、権限も作りません（derives_authority: false）。入力の名前・説明の文字列はそのまま写します。", "結果は、取引の中身が正しいこと・どの版が正しいことの判断ではありません。会計の判断や記帳の代行でもありません。突合の当否・kind の当否・金額の評価（為替など）は、この部品の外です。", "kind（evidence か transaction か）は宣言をそのまま受け取り、判定しません。", "raw_refs が指す取得物が実在するか、probe_version が実在する版かは検めません（形だけ）。通貨の英大文字 3 字も形だけを検め、ISO 4217 の一覧とは照らしません。", "G-12 の部品そのものは読み込まず、規則の写しを中に持ちます。写しが同じことは、両方の既知の答えを試験で照らすことと、一度だけの突き合わせで確かめました。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "src/txn-record.js の checkTxn(record)・checkMatch(record)・checkSupersedesChain({ txns }) を呼びます（例外を投げません。入力を書き換えません）。返すのは { ok: true, errors: [], facts } か { ok: false, errors: [{ code, where }] }（where は JSON Pointer。TXN_ID_MISMATCH は recomputed_txn_id も持つ）です。checkTxn の facts は txn_id・hashed・canonical・supersedes・source_key、鎖では chains と problems です。副作用（NONE）・状態・外の接続・資格情報は無く、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "G-14", "category": "G/決済・資金", "kind": "Kernel", "title": "取引の同一性の基準 — 取引の同一性の基準の部品（Kernel）", "summary": "取引の同一性の基準の部品（Kernel）は、呼び出し側が宣言した同一性の基準（source_key か、日付・金額・取引先から選んだ composite_key）に従って、取引の記録を同じ鍵のまとまりに分ける単独の部品です。宣言した鍵が無い記録は推測せず need_input に並べます。まとまりの中で欄が違えば differing: true にするだけで、統合も削除もしません。曖昧一致はしません。inference と advice はいつも null です。", "problem": "「同じ取引か」の判断の土台として、宣言した基準で同じ鍵になる記録をまとめます。鍵の無い記録を推測で埋めること、似た名前・近い日付・近い金額を同じものとして寄せてしまうこと、まとめるときに記録の違いを捨ててしまうことを防ぎます。", "use_when": [ "記録にプラットフォームの取引 id（source_key）があり、それだけを鍵にまとめたいとき（basis: source_key）。identity_key は \"sk:\" と source_key をつないだ文字列です。", "id が無く、日付（occurred_on）・金額（amount）・取引先（counterparty）から 1〜3 個を選んで鍵にしたいとき（basis: composite_key）。鍵は選んだ欄だけの RFC 8785 の正準 JSON の SHA-256（小文字の hex 64 文字）です。", "金額の scale の違いや取引先の名前の全角と半角の違いを、G-12 の事象 ID と同じ正規化で同じ鍵にしたいとき。金額は末尾の 0 を削って scale を最小にし、取引先は id_in_source が空でなければそれだけ、無ければ名前を NFKC にして前後の空白を削ります。", "宣言した鍵が無い記録を、推測で鍵を作らず need_input として受け取りたいとき。各記録は groups か need_input のどちらかにちょうど 1 回入ります。", "同じ鍵のまとまりの中で記録の欄の有無や値が違うことを、differing として知りたいとき。書いたままの値で比べるので、scale・全角と半角のような表現の違いも違いとして数えます。", "時計・乱数・環境の locale を使わない、決定的な出力が要るとき。groups は identity_key の順、refs と need_input は入力の順です。" ], "do_not_use_when": [ "似た名前・近い日付・近い金額の候補を出したいとき。曖昧一致はしません。取引先の名前は NFKC と前後の空白の除去だけで、それ以上は寄せません。", "記録の統合・削除や、どれを残すか（supersedes）を決めさせたいとき。まとまりを出すだけです。", "ほかの source の記録を混ぜて、source_key でまとめたいとき。記録に source の欄が無いので、source_key が偶然同じでも区別しません。呼び出し側が source ごとに渡します。", "宣言が composite_key のときに source_key も鍵に使いたいとき。宣言に従い、source_key は鍵に使いません（differing には数えます）。", "基準を部品に選ばせたいとき。どの基準を使うかは呼び出し側が宣言します。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。NFKC は実行環境の ICU によるため、Unicode の版が変わると名前の正規化の結果が変わることがあります。" ], "what_it_checks": [ "引数が { declaration, records } の 2 つのデータプロパティだけの素のオブジェクトでないとき INVALID_ARGUMENT、値を調べること自体が例外になるとき（Proxy の罠など）INSPECTION_FAILED で止めます。getter・クラスのインスタンス・穴のある配列・__proto__ のキーは受け取りません。", "宣言の basis が source_key・composite_key でないとき、知らないキーがあるとき（source_key に fields を付けたものを含む）、fields が occurred_on・amount・counterparty から 1〜3 個の重なりのない配列でないとき INVALID_DECLARATION で止めます。", "records が素のデータの配列（10,000 件まで・入れ子 8 段まで）でないとき、記録に知らないキーがある・ref が無いか Ref の形でないとき INVALID_RECORDS、同じ ref の記録が 2 つあるとき DUPLICATE_REF で止めます。", "与えられた欄（source_key・occurred_on・amount・counterparty）の形が違うときは、宣言で使わない欄でも INVALID_FIELD で止めます。source_key の空文字も止めます。取引先が { } や空の文字列だけのときは、形の誤りではなく欄が無いもの（need_input）とします。", "検めは決まった順（引数 → declaration → 記録ごとの形 → ref の重なり）で、最初に当たった 1 つだけを返します。", "結果を、src の補助関数を使わずに規則から書き直した独立オラクルと突き合わせるファズで、不一致と fail-open が 0 であることを確かめました。NFKC と SHA-256 は、オラクルも Node.js の同じ関数を使います。" ], "what_it_does_not_do": [ "返すのは事実だけです。inference と advice はいつも null、approval は false で、権限も作りません（derives_authority: false）。入力の ref・source_key はそのまま写します。", "結果は、宣言した基準で同じ鍵になるかの事実で、同じ取引だという判断・どれを残すかの判断ではありません。重複の判断や記帳の代行でもありません。", "曖昧な重複の候補出し（suggest-dup）・別名の寄せ（suggest-alias）・統合・削除・supersedes の決定は含みません。", "通貨の英大文字 3 字は形だけを検め、ISO 4217 の一覧とは照らしません。", "G-12 の部品そのものは読み込まず、正規化の規則の写しを中に持ちます。写しは、Node.js の外の sha256sum で求めた既知の答え 4 件で確かめました。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "src/identity-rule.js の groupByIdentity({ declaration, records }) を呼びます（例外を投げません）。declaration は { basis: \"source_key\" | \"composite_key\", fields? }、records は { ref, source_key?, occurred_on?, amount?, counterparty? } の配列です。返すのは { ok: true, errors: [], facts }（groups・need_input など、inference: null・advice: null）か { ok: false, errors: [{ code, where }] } です。副作用・状態・外の接続・資格情報は無く、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-01", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "改変不能監査ログ — 監査台帳継手（Tsugite）", "summary": "監査台帳継手（Tsugite）は、検めた監査イベント封筒（AuditEventEnvelope）だけを追記専用（append-only）の backend へ送り、backend が返す受領（AuditAppendReceipt）を契約の式どおりに照合してから、台帳の先頭を進める継手（つぎて）です。一つでも合わなければ、送らず、受理しません（fail-closed）。", "problem": "監査の記録を外部の追記専用の保管先へ送るとき、型の崩れた封筒や本文の混じった封筒を送ってしまうこと、そして保管先の受領が正しいかを確かめないまま「記録できた」と扱ってしまうことを防ぎます。照合できない追記を信頼しないための検めです。", "use_when": [ "誰が何をしたかを、後から消せない形で残す監査ログを、外部の追記専用 backend に記録したいとき。", "backend から返る受領をそのまま信じず、契約の式（連鎖のハッシュ・通番・digest）で照合してから記録済みとしたいとき。", "同じイベントを二重に追記したくないとき。受領が確定しないまま再送する場合は、照会（lookup）で解きます。", "受領に不整合が出たら、人が確かめるまで追記を止めたいとき。" ], "do_not_use_when": [ "監査イベントの本文そのものを保管したいとき。封筒には契約のフィールドだけを載せ、本文の混入は拒否します。", "透明性ログ（Merkle の包含証明）が要るとき。この継手の範囲外です。", "追記の成功を、承認や決裁として扱いたいとき。追記の成功は承認ではありません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの追記専用サービスにつなぐかはまだ決まっていません。" ], "what_it_checks": [ "封筒の型を検めます。追加のフィールド、決まった値（const）と違う値、genesis の規則に反するものは送りません。", "pin した台帳を検めます。pin していない台帳への追記は送りません。", "連鎖（previous_hash）と通番（sequence）を検めます。前のハッシュの改ざん、通番の巻き戻し・飛びがあれば、送らず、受理しません。", "digest を検めます。ハッシュは契約の式（RFC 8785 に制限した正準化と sha256。genesis の previous_hash_value は空文字）で計算し、式と違うものは受理しません。", "受領（AuditAppendReceipt）を照合します。event_digest の偽り、連鎖のハッシュの誤り、台帳・通番・event_id・対象の食い違いがあれば、受理しません。", "受領に不整合があれば停止します（HALTED）。人が確かめるまで追記しません。", "backend の障害（500 の応答や一部だけの書き込み）は UNKNOWN とし、台帳の先頭を進めません。", "本文が混じった封筒、大きすぎるイベント、種類を偽った封筒（content-type の偽り）、同じイベントの二重の追記を拒否します。" ], "what_it_does_not_do": [ "改変できないかどうかを決めるのは核（provenance-facts・integrity-facts）の役目です。この継手がするのは、送る前の検めと受領の照合だけです。", "追記の成功は承認ではありません（approval: false）。", "実 backend を含みません。どの追記専用サービスにつなぐか、port の実装、pin する対象（endpoint・受領の形式）は未定で、接続するときに別の関門で決めます。", "透明性ログ（Merkle の包含証明）は扱いません。", "backend の認証に使う秘密（SecretRef）の解決はしません。port 側の責務です。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "監査 backend の使い方の雛形ではありません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-ledger/v1 でつなぎます。createLedgerClient({ cfg, port }) の append(envelope) に AuditEventEnvelope を渡すと、APPENDED_VERIFIED・ALREADY_APPENDED・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false が付きます）。利用側が用意するもの: 追記専用 backend への port（append と、任意で lookup）。pin する endpoint と受領の形式、認証の SecretRef の解決も port 側。副作用は取り消せない外部への書き込み（EXTERNAL_IRREVERSIBLE）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-02", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "アクセスログ — 監査台帳継手（Tsugite）", "summary": "監査台帳継手（Tsugite）は、「誰が何を見たか」の閲覧の記録を、監査の出来事（AuditEventEnvelope）として追記専用（append-only）の backend へ追記するときに使う継手（つぎて）です。検めた封筒だけを送り、返る受領（AuditAppendReceipt）を照合できたときだけ台帳の先頭を進めます。一つでも合わなければ、送らず、受理しません（fail-closed）。", "problem": "閲覧の記録を外部の追記専用の保管先へ積むとき、型の崩れた封筒や本文の混じった封筒を送ってしまうこと、同じ記録の二重の追記、通番の巻き戻り・飛び、そして保管先の受領が正しいかを確かめないまま「記録できた」と扱ってしまうことを防ぎます。", "use_when": [ "閲覧の記録（誰が何を見たか）を、監査の出来事として、外部の追記専用 backend に 1 件ずつ追記したいとき。", "閲覧を捉えて AuditEventEnvelope にする側（利用側）を自分で用意でき、その封筒の追記と照合だけをこの継手に任せたいとき。", "backend から返る受領を、契約の式（連鎖のハッシュ・通番・digest）で照合してから、記録済みとしたいとき。", "同じ閲覧の記録を二重に追記したくないとき。受領が確定しないまま再送する場合は、照会（lookup）で解きます。", "受領に不整合が出たら、人が確かめるまで追記を止めたいとき。" ], "do_not_use_when": [ "閲覧そのものを検知・収集したいとき。閲覧を捉えて出来事にするのは利用側の役目で、この継手は追記を運んで照合するだけです。", "閲覧した内容そのもの（本文）を台帳に積みたいとき。封筒には契約のフィールドだけを載せ、本文の混入は拒否します。", "記録を書き換えたり削除したりしたいとき。この継手は追記だけを扱います。", "透明性ログ（Merkle の包含証明）が要るとき。この継手の範囲外です。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの追記専用サービスにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "封筒の型を検めます。追加のフィールド、決まった値（const）と違う値、genesis の規則に反するもの、種類を偽った封筒（content-type の偽り）は送りません。", "pin した台帳を検めます。pin していない台帳への追記は送りません。", "連鎖（previous_hash）と通番（sequence）を検めます。前のハッシュの改ざん、通番の巻き戻し・飛びがあれば、送らず、受理しません。", "同じ event_id・同じ内容がもう追記済みなら backend に送らず ALREADY_APPENDED を返し、同じ event_id で内容が違うときは REFUSED を返します。", "受領（AuditAppendReceipt）を照合します。event_digest の偽り、連鎖のハッシュの誤り、台帳・通番・event_id・対象の食い違いがあれば、受理しません。", "受領に不整合があれば停止します（HALTED）。人が確かめるまで追記しません。", "backend の障害（500 の応答や一部だけの書き込み）は UNKNOWN とし、台帳の先頭を進めません。", "本文が混じった封筒と、大きさの上限（max_envelope_bytes）を超えるイベントを拒否します。" ], "what_it_does_not_do": [ "閲覧を捉えることも、閲覧の出来事を作ることもしません。それは利用側の役目で、この継手は追記を運んで照合するだけです。", "追記の成功は承認ではありません（approval: false）。", "実 backend を含みません。どの追記専用サービスにつなぐか、port の実装、pin する対象（endpoint・受領の形式）は未定で、接続するときに別の関門で決めます。", "透明性ログ（Merkle の包含証明）は扱いません。backend の認証に使う秘密（SecretRef）の解決もしません（port 側の責務です）。", "H-02 専用の部品ではありません。H-01（改変不能監査ログ）・C-04（追記専用台帳）・H-08（改ざん検知チェーン）と同じ 1 つの部品が担い、試験と検査も共通です。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-ledger/v1 でつなぎます。createLedgerClient({ cfg, port }) の append(envelope) に、閲覧の記録を表す AuditEventEnvelope を渡すと、APPENDED_VERIFIED・ALREADY_APPENDED・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。利用側が用意するもの: 閲覧を封筒にする処理と、追記専用 backend への port（append、任意で lookup）。副作用は EXTERNAL_IRREVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-03", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "同意記録ストア — 監査・プライバシー継手（Tsugite）", "summary": "監査・プライバシー継手（Tsugite）は、同意の取得・撤回の記録と問い合わせの要求（ConsentRecord）を、pin した目的と範囲で検めてから同意台帳の基盤へ運び、戻った receipt を契約どおりに照合する継手（つぎて）です。一つでも外れれば、送らず、受理しません（fail-closed）。同意台帳そのものは含みません。", "problem": "同意の取得・撤回を外部の同意台帳へ記録するとき、pin していない目的・範囲での記録、本人のメールアドレスや電話番号をそのまま送ってしまうこと、そして記録できたことを同意の権限（consent authority）と取り違えることを防ぎます。同意の記録は事実で、権限ではありません。", "use_when": [ "同意の取得（RECORD_GRANT）と撤回（RECORD_WITHDRAWAL）の履歴を、外部の同意台帳の基盤に追記したいとき。", "記録した同意の状態を問い合わせ（QUERY）で確かめたいとき。問い合わせの副作用は NONE です。", "本人を仮名の参照だけで運び、メールアドレス・電話番号の形を基盤へ送りたくないとき。", "同意の目的と範囲を、pin した一覧（purpose_refs・scope_refs）に限りたいとき。空の一覧は何も許しません。", "基盤から返る receipt をそのまま信じず、request_id・request_digest・record_digest で照合してから記録済みとしたいとき。" ], "do_not_use_when": [ "同意が有効かどうかを判断させたいとき。法的な判断はせず、人・組織と核の役目です。", "記録できたことを同意の権限として使いたいとき。consent_authority は NOT_DERIVED か人・組織に固定され、継手は導きません。", "記録した同意を消したり書き換えたりしたいとき。同意の記録は追記だけで、取り消せない外部への書き込み（EXTERNAL_IRREVERSIBLE）です。撤回は RECORD_WITHDRAWAL として記録します。", "すぐに使える同意台帳がほしいとき。実の基盤（同意台帳）は含まず、port の実装と pin する一覧は接続するときに別の関門（gate）で決めます。", "個人情報を網羅的に見分けたいとき。直接の識別子の検出は、メールアドレスと電話番号の代表的な形だけです。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "H-03 だけの部品を求めるとき、またはほかの H の項目を担わせたいとき。この継手は H-03・H-04・H-05・H-07・H-09 を契約上 1 つの部品として担い、試験と検査も共通です。H-01・H-08 は監査台帳継手、H-06 は保管ライフサイクル継手（C-08）、H-02 は監査台帳か observability の sink が担います。" ], "what_it_checks": [ "本人の参照と参照の形を検めます。メールアドレス・電話番号の形の本人の参照、空の参照、パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "目的と範囲を検めます。pin していない目的（purpose）・範囲（scope）の要求は送りません。", "op と副作用の対応を検めます。QUERY は NONE、RECORD_GRANT・RECORD_WITHDRAWAL は EXTERNAL_IRREVERSIBLE で、対応しない要求・receipt は送らず、受理しません。", "receipt の状態と record_digest を検めます。op に答えていない状態（RECORD_GRANT なら GRANTED か UNKNOWN、RECORD_WITHDRAWAL なら WITHDRAWN か UNKNOWN 以外）、ほかの同意の record_digest（target が consent_ref と違う）は受理しません。", "同意の権限を導いたと名乗る receipt は受理しません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt、request_digest を偽った receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は lookup で解きます。" ], "what_it_does_not_do": [ "同意が有効か、同意の権限があるかは判断しません。同意の記録は事実で、権限ではありません。", "要る同意・足りない同意・承認経路の事実を扱うのは核（consent-facts。同意を与えません）、保持の事実を扱うのは核（policy-facts）の役目で、法的な権利は人・組織の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "実の基盤（同意台帳）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "個人情報のすべてを見分けるものではありません。直接の識別子の検出は、メールアドレスと電話番号の代表的な形だけを見る網です。", "記録できたことは承認ではありません（approval: false）。", "プライバシー法令への適合を約束するものではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-privacy/v1 でつなぎます。createAuditPrivacyClient({ cfg, port }) の submit(request) に ConsentRecord の Request を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 基盤への port（submit、任意で lookup）と cfg の purpose_refs・scope_refs。副作用は記録が EXTERNAL_IRREVERSIBLE、QUERY が NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-04", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "データ主体要求（DSAR）処理（運ぶだけ・判断しない） — 監査・プライバシー継手（Tsugite）", "summary": "監査・プライバシー継手（Tsugite）は、本人からの請求（DSAR）の要求を検めてから DSAR の窓口の基盤へ運び、戻った receipt を契約どおりに照合する継手（つぎて）です。DSAR は運ぶだけで、請求に応じるか・何を開示するか・削除するかは判断せず、実行もしません。検めが一つでも外れれば、送らず、受理しません（fail-closed）。", "problem": "DSAR を外部の DSAR の窓口へ運ぶとき、本人のメールアドレスや電話番号をそのまま送ってしまうこと、取り消せない効果や不明な効果を運搬の意図にしてしまうこと、そして運べたことを法的な権利（legal entitlement）の判断と取り違えることを防ぎます。", "use_when": [ "DSAR の要求を、本人の仮名の参照だけで DSAR の窓口の基盤へ運びたいとき。", "運んだ結果を、request_id・request_digest・参照の一致で照合してから確かめたいとき。DONE の result には transport_state・dsar_type・legal_entitlement が添えられます。", "運搬の副作用を NONE〜EXTERNAL_REVERSIBLE の範囲にとどめたいとき。取り消せない効果・不明な効果は意図にできません。", "基盤の障害で結果が不明になっても、同じ request_id を二度送らず、lookup で解きたいとき。" ], "do_not_use_when": [ "請求に応じる権利があるか、何を開示してよいかを判断させたいとき。法的な判断はせず、人・組織と核の役目です。", "開示・削除の請求に応じる窓口そのもの、あるいは開示・削除を実行する仕組みがほしいとき。この継手は DSAR の要求を基盤へ運ぶだけで、削除するかどうかは人・組織が決めます。実の基盤（DSAR の窓口）も含みません。", "運べたことを法的な権利の判断として使いたいとき。legal_entitlement は NOT_DERIVED か人・組織に固定され、継手は導きません。", "取り消せない効果を DSAR の運搬の意図にしたいとき。その要求は送りません。", "個人情報を網羅的に見分けたいとき。直接の識別子の検出は、メールアドレスと電話番号の代表的な形だけです。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "H-04 だけの部品を求めるとき、またはほかの H の項目を担わせたいとき。この継手は H-03・H-04・H-05・H-07・H-09 を契約上 1 つの部品として担い、試験と検査も共通です。H-01・H-08 は監査台帳継手、H-06 は保管ライフサイクル継手（C-08）、H-02 は監査台帳か observability の sink が担います。" ], "what_it_checks": [ "本人の参照と参照の形を検めます。メールアドレス・電話番号の形の本人の参照、空の参照、パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "DSAR の意図を検めます。取り消せない効果・不明な効果を意図にした要求は送りません。", "法的な権利を判断したと名乗る receipt は受理しません。", "receipt の request_id・request_digest・参照が要求と一致しなければ受理しません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt、request_digest を偽った receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は lookup で解きます。" ], "what_it_does_not_do": [ "法的な判断をしません。請求に応じる権利があるか、何を開示してよいかは、人・組織と核の役目です。要る同意・足りない同意の事実は核（consent-facts）が扱い、同意を与えません。", "開示・削除を決めず、実行もしません。DSAR は運ぶだけで、削除するかどうかは人・組織が決めます。DSAR の運搬は法的な権利の判断ではありません。", "実の基盤（DSAR の窓口）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "個人情報のすべてを見分けるものではありません。直接の識別子の検出は、メールアドレスと電話番号の代表的な形だけを見る網です。", "運べたことは承認ではありません（approval: false）。", "プライバシー法令への適合を約束するものではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-privacy/v1 でつなぎます。createAuditPrivacyClient({ cfg, port }) の submit(request) に DSAR の Request を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。DONE の result: transport_state・dsar_type・legal_entitlement。利用側が用意するもの: DSAR の窓口の基盤への port（submit、任意で lookup）。副作用は NONE〜EXTERNAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-05", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "PII 検出・秘匿パイプライン — 監査・プライバシー継手（Tsugite）", "summary": "監査・プライバシー継手（Tsugite）は、黒塗り（redaction）の処理の要求（RedactionPipeline）を、pin した黒塗りの定義で検めてから黒塗りの処理の基盤へ運び、戻った receipt を契約どおりに照合する継手（つぎて）です。塗る処理そのもの、何を塗るかの決定、塗れているかの確認はしません。外れれば、送らず、受理しません（fail-closed）。", "problem": "黒塗りの処理を外部の基盤へ任せるとき、pin していない定義での処理、入力を上書きした結果や外への効果を持つ黒塗りを受け取ること、一部だけ塗れた結果（PARTIAL）を「全部塗れた」と扱うこと、そして黒塗りを開示の許可と取り違えることを防ぎます。", "use_when": [ "黒塗りの処理を、pin した黒塗りの定義（redaction_manifests）に限って基盤へ運びたいとき。", "黒塗りの結果を入力と別の参照（output_ref）で受け取り、入力を上書きさせたくないとき。", "一部だけ塗れた結果（PARTIAL）を、全部塗れた結果と区別したいとき。PARTIAL では fully_redacted: false です。", "黒塗りの副作用を NONE か手元で取り消せるもの（LOCAL_REVERSIBLE）にとどめたいとき。DONE の result には redaction_state・fully_redacted・output_ref・disclosure_authorization が添えられます。" ], "do_not_use_when": [ "何を黒塗りにするかを決めさせたいとき。その決定は核（redact-facts）の役目です。", "黒塗りが正しく塗れているか（見落とし）を確かめたいとき。この継手は receipt の状態と出力の参照だけを見ます。", "機微な情報を網羅的に検出する機能がほしいとき。直接の識別子の検出は、本人の参照に置かれたメールアドレスと電話番号の代表的な形だけを見る網で、すべての個人情報を見分けるものではありません。", "黒塗りを開示の許可として使いたいとき。disclosure_authorization は NOT_DERIVED か人・組織に固定され、継手は導きません。", "すぐに使える黒塗りの処理の基盤がほしいとき。実の基盤は含まず、port の実装と pin する一覧は接続するときに別の関門（gate）で決めます。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "H-05 だけの部品を求めるとき、またはほかの H の項目を担わせたいとき。この継手は H-03・H-04・H-05・H-07・H-09 を契約上 1 つの部品として担い、試験と検査も共通です。H-01・H-08 は監査台帳継手、H-06 は保管ライフサイクル継手（C-08）、H-02 は監査台帳か observability の sink が担います。" ], "what_it_checks": [ "黒塗りの定義を検めます。pin していない定義（redaction manifest）の要求は送りません。", "入力を上書きした receipt（出力が入力と同じ参照）は受理しません。", "外への効果を持つ黒塗りの receipt は受理しません。黒塗りの副作用は NONE か LOCAL_REVERSIBLE で、FAILED は NONE です。", "開示の許可を導いたと名乗る receipt は受理しません。", "PARTIAL を「全部塗れた」と扱いません（fully_redacted: false）。", "本人の参照と参照の形を検めます。メールアドレス・電話番号の形の本人の参照、空の参照、パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt、request_digest を偽った receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は lookup で解きます。" ], "what_it_does_not_do": [ "塗る処理そのものはしません。黒塗りの処理は基盤の役目で、継手は要求を検めて運び、receipt を照合するだけです。実の基盤（黒塗りの処理）は含まず、port の実装と pin する一覧は接続するときに別の関門で決めます。", "何を黒塗りにするかは決めません。核（redact-facts）の役目です。", "黒塗りが正しく塗れているか（見落とし）は確かめません。receipt の状態と出力の参照だけを見ます。", "個人情報のすべてを見分けるものではありません。直接の識別子の検出は、メールアドレスと電話番号の代表的な形だけを見る網です。", "黒塗りは開示の許可ではありません。塗れたことも承認ではありません（approval: false）。", "プライバシー法令への適合を約束するものではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-privacy/v1 でつなぎます。createAuditPrivacyClient({ cfg, port }) の submit(request) に RedactionPipeline の Request を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 基盤への port（submit、任意で lookup）と cfg の redaction_manifests。副作用は NONE か LOCAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-06", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "保持強制 — 保管ライフサイクル継手（Tsugite）", "summary": "保管ライフサイクル継手（Tsugite）は、保持（Retention）の要求（RetentionRequest。EVALUATE・RETAIN・EXPIRE）を、pin した保持方針と論理の target で検めてから保管の backend へ送り、receipt を契約どおりに照合する継手（つぎて）です。取り消せない削除（EXPIRE）は、設定 allow_expire（既定 false）で許し、リーガルホールドの無い対象にだけ送ります（fail-closed）。", "problem": "期限での削除・保全の要求を backend へ送るとき、許していない削除やリーガルホールド中の対象の削除を送ってしまうこと、期限切れの判定だけのはずが削除されたと扱うこと、backend の receipt を確かめないまま「消せた」と扱うことを防ぎます。", "use_when": [ "保持方針に沿った保持の要求（RetentionRequest）を、検めてから保管の backend へ運びたいとき。", "削除（EXPIRE）の要求を、設定 allow_expire で許したときだけ送りたいとき。", "リーガルホールドの事実（核・人の決定）を受け取り、以後その対象の EXPIRE を送らないようにしたいとき。", "削除せずに、期限切れかどうかの判定（EVALUATE）だけを backend に求めたいとき。", "消せたこと（deleted: true）を、EXPIRE の receipt が EXPIRED と照合できたときだけ事実として扱いたいとき。" ], "do_not_use_when": [ "期限が来たら自動で削除・保全する仕組みそのものがほしいとき。期限での削除・保全の実行は基盤の役目で、この継手は渡された保持の要求を運んで照合するだけです。", "保持期限やリーガルホールドをこの継手に決めさせたいとき。その決定は核と人の役目で、この継手は事実を受け取って守るだけです。", "期限で別の階層へ移したいとき。階層の移動は Archive の要求で、C-09 の面です。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの保管サービスにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "設定 allow_expire が true でないとき、EXPIRE を送りません。", "リーガルホールド中の対象には EXPIRE を送りません。", "EVALUATE の receipt が削除を伴っていれば受理しません。EVALUATE の EXPIRED は期限切れの判定だけで、削除ではありません。", "RETAIN に EXPIRED を返す receipt は、異常として受理しません。", "pin した一覧にない保持方針の要求は送りません。", "要求の型を検めます。追加のフィールド、決まった値（const）と違う値、ファイルシステムの target、pin していない backend・許可していない target への要求は送りません。", "receipt を照合します。request_digest の偽り、別の target の receipt、外への効果を増やす receipt は受理せず、以後停止します（HALTED）。", "FAILED・REFUSED・SIMULATED の receipt は、効果なし（NONE）でなければ受理しません。backend の障害は UNKNOWN とし、同じ request_id を二度送りません。" ], "what_it_does_not_do": [ "期限での削除・保全を実行しません。実行は基盤の役目で、この継手は保持の要求を運んで照合するだけです。", "保持期限の決定・リーガルホールドの決定はしません。核（redact-facts・policy-facts）と人の役目で、この継手はその事実を受け取って守るだけです。", "消せたことは承認ではありません（approval: false）。", "実 backend を含みません。どの保管サービスにつなぐか、port の実装、pin する対象は未定で、接続するときに別の関門で決めます。", "H-06 専用の部品ではありません。C-05〜C-09 と F-04 と同じ 1 つの部品が担い、H-06 は C-08 の保持（RetentionRequest）の面です。試験と検査も共通です。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。" ], "integration": "契約 erabazu.candidate/certified-tsugite/storage-persistence/v1 でつなぎます。createStorageLifecycleClient({ cfg, port }) の submit(request) に RetentionRequest を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返し、DONE に decision・deleted・effect を添えます（どれにも approval: false）。利用側が用意するもの: 保管 backend の port（submit、任意で lookup）と、保持方針・allow_expire の設定。副作用は EXPIRE が EXTERNAL_IRREVERSIBLE、ほかは NONE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-07", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "リーガルホールド（運ぶだけ・判断も凍結もしない） — 監査・プライバシー継手（Tsugite）", "summary": "監査・プライバシー継手（Tsugite）は、リーガルホールド（LegalHold）の設定（PLACE）と解除（RELEASE）の要求を、人・組織から受け取った根拠の参照があるときだけ、pin した範囲で検めてリーガルホールドの仕組みの基盤へ運び、receipt を照合する継手（つぎて）です。運ぶだけで、削除の凍結そのものも、ホールドが必要かの判断もしません。外れれば送らず、受理しません（fail-closed）。", "problem": "リーガルホールドを外部の仕組みへ運ぶとき、人・組織の根拠が無いまま運んでしまうこと、人・組織以外や ERABAZU 自身を出どころとする根拠で運んでしまうこと、そして運べたことをリーガルホールドの権限と取り違えることを防ぎます。", "use_when": [ "人・組織が出したリーガルホールドの根拠の参照を添えて、設定・解除の要求を基盤へ運びたいとき。根拠は recordAuthorityEvidence(evidence_ref, origin) で受け取ります（origin は HUMAN か ORGANIZATION だけ）。", "リーガルホールドの範囲を、pin した一覧（scope_refs）に限りたいとき。", "receipt の状態が op に答えている（PLACE→PLACED、RELEASE→RELEASED）か FAILED であることを照合してから、運べたとしたいとき。DONE の result には hold_state・legal_hold_authority が添えられます。", "基盤の障害で結果が不明になっても、同じ request_id を二度送らず、lookup で解きたいとき。" ], "do_not_use_when": [ "リーガルホールドが必要かを判断させたいとき。法的な判断はせず、人・組織と核の役目です。", "根拠が本物の決定かを確かめたいとき。根拠の中身は検めず、人・組織から受け取った参照かどうかだけを見ます。", "運べたことをリーガルホールドの権限として使いたいとき。legal_hold_authority は NOT_DERIVED か人・組織に固定され、継手は導きません。", "削除の凍結を行う仕組みそのものがほしいとき。この継手は要求を運ぶだけで、実の基盤（リーガルホールドの仕組み）は含まず、port の実装と pin する一覧は接続するときに別の関門（gate）で決めます。", "人・組織の根拠がまだ無いとき。根拠の無い要求は送りません（REFUSED）。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "H-07 だけの部品を求めるとき、またはほかの H の項目を担わせたいとき。この継手は H-03・H-04・H-05・H-07・H-09 を契約上 1 つの部品として担い、試験と検査も共通です。H-01・H-08 は監査台帳継手、H-06 は保管ライフサイクル継手（C-08）、H-02 は監査台帳か observability の sink が担います。" ], "what_it_checks": [ "根拠の有無を検めます。人・組織の根拠が無い要求は送りません（REFUSED）。", "根拠の出どころを検めます。人・組織（HUMAN・ORGANIZATION）以外からの根拠、ERABAZU を出どころとする根拠では運びません。", "範囲を検めます。pin していない範囲の要求は送りません。", "リーガルホールドの権限を名乗る receipt は受理しません。", "receipt の状態を検めます。op に答えていない状態（PLACE→PLACED、RELEASE→RELEASED、FAILED のどれでもないもの）は受理しません。", "本人の参照と参照の形を検めます。メールアドレス・電話番号の形の本人の参照、空の参照、パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt、request_digest を偽った receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は lookup で解きます。" ], "what_it_does_not_do": [ "リーガルホールドが必要かを判断しません。法的な判断は人・組織と核の役目です。", "リーガルホールドの根拠を作りません（ERABAZU は根拠を作りません）。根拠の中身（本物の決定か）も検めず、人・組織から受け取った参照かどうかだけを見ます。", "削除の凍結（保全）を自分では行いません。要求を基盤へ運び、receipt を照合するだけです。実の基盤は含みません。", "保持・リーガルホールドの方針の事実を扱うのは核（policy-facts）、権限は人・組織の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "運べたことはリーガルホールドの権限ではなく、承認でもありません（approval: false）。", "プライバシー法令への適合を約束するものではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-privacy/v1 でつなぎます。createAuditPrivacyClient({ cfg, port }) の recordAuthorityEvidence(evidence_ref, origin) で根拠を受け取った後、submit(request) に LegalHold の Request を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 基盤への port（submit、任意で lookup）と cfg の scope_refs。副作用は EXTERNAL_REVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-08", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "改ざん検知チェーン — 監査台帳継手（Tsugite）", "summary": "監査台帳継手（Tsugite）は、監査イベント封筒（AuditEventEnvelope）を前のハッシュ（previous_hash）でつなぐ改ざん検知（tamper-evident）の連鎖について、連鎖と digest を契約の式どおりに検めてから追記専用（append-only）の backend へ送り、返る受領（AuditAppendReceipt）の連鎖のハッシュを照合する継手（つぎて）です。一つでも合わなければ、送らず、受理しません（fail-closed）。", "problem": "ハッシュでつないだ監査の連鎖は、どこかで前のハッシュが書き換えられたり、digest の計算の仕方が食い違ったりすると、改ざんを見つける力を失います。この継手は、送る前の封筒と保管先の受領の両方を同じ契約の式で検め、式と合わない連鎖を送らず、受理しないことで、照合できない連鎖を信頼しないようにします。", "use_when": [ "監査イベントを、前のハッシュでつないだ改ざん検知の連鎖として外部の追記専用 backend に残したいとき。", "連鎖のハッシュを、決まった式（RFC 8785 に制限した正準化と sha256）でそろえて計算・照合したいとき。", "保管先が返す受領の event_digest や連鎖のハッシュをそのまま信じず、送った封筒から計算し直して照合してから記録済みとしたいとき。", "連鎖の食い違いが見つかったら、人が確かめるまで追記を止めたいとき。", "封筒の検めと受領の照合だけを、backend を呼ばずに試したいとき。純粋な関数 checkEnvelope と checkReceipt が { ok, errors } を返します。" ], "do_not_use_when": [ "透明性ログ（Merkle の包含証明）が要るとき。この継手が扱うのは前のハッシュでつなぐ連鎖で、包含証明は範囲外です。", "改ざんがあったかどうかの最終の判断を、この継手に任せたいとき。改変不能かの決定は核（provenance-facts・integrity-facts）の役目です。", "RFC 8785 に制限した正準化と sha256 ではない、別のハッシュの式を使いたいとき。式の違うハッシュは受理しません。", "監査イベントの本文そのものを連鎖に載せたいとき。封筒には契約のフィールドだけを載せ、本文の混入は拒否します。", "すぐに使える保管先がほしいとき。実 backend は含まず、どの追記専用サービスにつなぐかはまだ決まっていません。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "前のハッシュ（previous_hash）を、台帳の先頭（head）と照らして検めます。previous_hash が書き換えられた封筒は、送らず、受理しません。", "連鎖のハッシュを契約の式で計算し直します。RFC 8785 に制限した正準化と sha256 で求め、正準化していない形で計算したハッシュは受理しません。", "連鎖の始まり（genesis）の規則を検めます。genesis の previous_hash_value は空文字として計算し、genesis の規則に反する封筒は送りません。", "digest を検めます。digest の対象（domain）を取り違えて計算したものは受理しません。", "受領（AuditAppendReceipt）を照合します。event_digest の偽り、連鎖のハッシュの誤り、台帳・通番・event_id・対象の食い違いがあれば、受理しません（RECEIPT_REJECTED）。", "受領に不整合があれば停止します（HALTED）。人が確かめるまで追記しません。", "通番（sequence）の巻き戻し・飛びがあれば、送らず、受理しません。連鎖の順番が崩れた追記を通しません。" ], "what_it_does_not_do": [ "改変不能かどうか、改ざんがあったかどうかを決めるのは核（provenance-facts・integrity-facts）の役目です。この継手がするのは、送る前の検めと受領の照合だけです。", "透明性ログ（Merkle の包含証明）は扱いません。", "実 backend を含みません。どの追記専用サービスにつなぐか、port の実装、pin する対象（endpoint・受領の形式）は未定で、接続するときに別の関門で決めます。", "backend の認証に使う秘密（SecretRef）の解決はしません。port 側の責務です。", "追記の成功は承認ではありません（approval: false）。", "契約とハッシュの式を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "H-08 専用の部品ではありません。H-01（改変不能監査ログ）・C-04（追記専用台帳）・H-02（アクセスログ）と同じ 1 つの部品が担い、試験と検査も共通です。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-ledger/v1 でつなぎます。createLedgerClient({ cfg, port }) の append(envelope) に AuditEventEnvelope を渡すと APPENDED_VERIFIED・ALREADY_APPENDED・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれにも approval: false）。検めだけなら checkEnvelope と checkReceipt が { ok, errors } を返します。利用側は追記専用 backend への port（append、任意で lookup）を用意します。副作用は EXTERNAL_IRREVERSIBLE（取り消せない書き込み）。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-09", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "規制レポート出力（運ぶだけ・当局の受理ではない） — 監査・プライバシー継手（Tsugite）", "summary": "監査・プライバシー継手（Tsugite）は、規制報告（RegulatoryReport）の要求と報告の中身（bytes）を、pin した報告の形式・提出先と、digest・上限で検めてから規制当局の窓口の基盤へ運び、receipt を照合する継手（つぎて）です。運ぶだけで、報告の中身は利用側が渡し、届けたことは規制当局の受理ではありません。外れれば送らず、受理しません（fail-closed）。", "problem": "規制報告を外部の提出窓口へ運ぶとき、pin していない形式や提出先へ送ること、書き換わった中身や大きすぎる中身を送ること、許していない取り消せない提出をしてしまうこと、そして届けたことを規制当局の受理と取り違えることを防ぎます。", "use_when": [ "規制報告の形式と提出先を、pin した一覧（report_profiles・report_destinations）に限りたいとき。", "報告の中身（bytes）の digest と上限（max_report_bytes）を確かめてから運びたいとき。max_report_bytes は報告を使うとき必須です。", "取り消せない提出を、設定 allow_irreversible: true のときだけに限りたいとき（既定は false）。", "生成（GENERATED）と届けた（DELIVERED）を副作用と照らして区別したいとき。GENERATED は NONE か LOCAL_REVERSIBLE、DELIVERED は EXTERNAL_* です。DONE の result には delivery_state・delivered・regulatory_acceptance が添えられます。" ], "do_not_use_when": [ "規制当局が受理したかを知りたいとき。届けた報告は規制当局の受理ではなく、regulatory_acceptance は NOT_DERIVED か人・組織に固定され、継手は導きません。", "届いた先が pin した提出先かを receipt で確かめたいとき。規制報告の receipt には提出先の欄が無く、確かめられるのは送る前の pin だけです。", "報告の中身を作らせたいとき。中身は利用側が submit(request, bytes) の bytes として渡し、継手が確かめるのは digest と上限です。", "法的な判断をさせたいとき。この継手は法的な判断をせず、人・組織と核の役目です。", "すぐに使える提出の窓口がほしいとき。実の基盤（規制当局の窓口）は含まず、port の実装と pin する一覧は接続するときに別の関門（gate）で決めます。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。", "H-09 だけの部品を求めるとき、またはほかの H の項目を担わせたいとき。この継手は H-03・H-04・H-05・H-07・H-09 を契約上 1 つの部品として担い、試験と検査も共通です。H-01・H-08 は監査台帳継手、H-06 は保管ライフサイクル継手（C-08）、H-02 は監査台帳か observability の sink が担います。" ], "what_it_checks": [ "報告の形式と提出先を検めます。pin していない形式（report profile）・提出先（report destination）の要求は送りません。", "報告の中身を検めます。bytes の digest が合わないもの、上限を超えるものは送りません。", "取り消せない提出を検めます。allow_irreversible: true でなければ送りません。", "状態と副作用の対応を検めます。GENERATED なのに外への効果を名乗る receipt、DELIVERED なのに効果の無い receipt は受理しません。", "規制当局の受理を導いたと名乗る receipt は受理しません。", "本人の参照と参照の形を検めます。メールアドレス・電話番号の形の本人の参照、空の参照、パスや .. を含む参照（path traversal）、追加のフィールドは送りません。", "外への効果を増やす receipt、効果が UNKNOWN の receipt、request_digest を偽った receipt は受理しません。受理できない receipt が来たら停止します（HALTED）。", "同じ request_id は二度送りません。基盤の障害は UNKNOWN とし、再送は lookup で解きます。" ], "what_it_does_not_do": [ "規制当局の受理を導きません。届けたことは受理ではなく、承認でもありません（approval: false）。", "届いた先を receipt で確かめません。規制報告の receipt には提出先の欄が無く、送る前の pin だけで検めます。", "報告の中身について継手が確かめるのは digest と上限だけです。法的な判断はしません（人・組織と核の役目）。", "法的な権利・開示の許可は人・組織の役目です。この継手がするのは、送る前と受け取った後の検めだけです。", "実の基盤（規制当局の窓口）を含みません。port の実装と pin する一覧は未定で、接続するときに別の関門で決めます。", "プライバシー法令への適合を約束するものではありません。契約も変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/audit-privacy/v1 でつなぎます。createAuditPrivacyClient({ cfg, port }) の submit(request, bytes) に RegulatoryReport の Request と中身の bytes を渡すと、DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED のどれかを返します（どれも approval: false）。利用側が用意するもの: 基盤への port（submit、任意で lookup）と cfg（pin する形式・提出先、max_report_bytes、allow_irreversible）。副作用は NONE〜EXTERNAL_*。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-10", "category": "H/監査・統制・プライバシー", "kind": "Primitive", "title": "系譜（lineage）の記録 — 系譜（lineage）の記録の部品（Primitive）", "summary": "系譜（lineage）の記録の部品（Primitive）は、集計に使った入力の集合（Ref の一覧）・集計器の参照と版・出力の bytes から系譜の記録（erabazu.lineage/1）を作り、あとで入力と出力から計算し直して照合する単独の部品です。入力の順は結果を変えず、重複は黙って除かずに断ります。照合の違いはエラーではなく、違った欄の一覧で返します。集計器は動かしません。", "problem": "数字の出どころを後で問われたときの裏付けになります。どの入力を使い、どの集計器の版で、どの出力ができたかを、入力の集合のハッシュ・集計器の版・出力のハッシュとして残します。重複した入力を黙って除かないので、どの入力を使ったかの数え違いを隠しません。", "use_when": [ "集計の入力の集合・集計器の参照と版・出力の bytes・記録の時刻から、系譜の記録を作りたいとき（recordLineage）。", "入力の集合を、並べ順に左右されない digest にしたいとき。inputs を UTF-16 の符号単位の順に並べた配列の、RFC 8785 の正準 JSON の sha256 です。", "あとで入力と出力から計算し直し、記録と同じかを確かめたいとき（checkLineage。違いは matches: false と mismatched の一覧で、エラーではない）。", "どの欄が違ったか（input_set.count・input_set.digest・output.digest・output.size）を知りたいとき。", "時計・乱数・外の接続を持たない、決定的な処理として手元で呼びたいとき。recorded_at は呼ぶ側が渡します。" ], "do_not_use_when": [ "集計器が正しいこと・出力が正しいことの証明が要るとき。この部品は集計器を動かさず、系譜は使ったものの記録です。", "本当にその版で動かしたか・その時刻かを確かめたいとき。tool の ref・version と recorded_at は渡された値をそのまま記録し、照合では形だけを検めて値は比べません。", "inputs の Ref が実在する入力を指すか、その中身を確かめたいとき。Ref の形だけを検め、中身が変わっても Ref が同じなら digest は同じです。", "記録そのものの改ざんを止めたいとき。それは署名（B-12）や封（H-11）の側の役目です。", "時差の付いた時刻（+09:00 など）やうるう秒で記録したいとき。recorded_at は UTC の Z だけで、ほかは INVALID_TIME で止めます。", "入力を 1,048,576 個より多く扱うとき。INVALID_INPUTS で止めます。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "inputs に同じ文字列が 2 回以上あるとき、黙って除かずに DUPLICATE_INPUT で止めます（文字列の完全一致で比べ、大文字と小文字は別の入力）。", "inputs が素の配列でない、穴・余分なプロパティ・getter の要素を持つ、Ref でない要素を持つ、1,048,576 個を超えるとき、INVALID_INPUTS で止めます。", "tool_ref が Ref でない、tool_version が 1〜200 文字でない・制御文字や対になっていないサロゲートを含むとき INVALID_TOOL、output_bytes が Uint8Array でないとき NOT_BYTES で止めます。", "recorded_at が RFC 3339 の UTC（Z）の形でない、または実在しない日時（2 月 30 日・24 時・60 秒など）のとき、INVALID_TIME で止めます。", "checkLineage の record の形が違うとき（欄の過不足・schema の違い・負の count・小文字 64 桁の hex でない digest など）、INVALID_RECORD と最初に見つけた欄の名前（field）で止めます。", "引数が素のオブジェクトでない・決まった欄のほかを持つとき INVALID_ARGUMENT、引数を読むこと自体が例外になるとき INSPECTION_FAILED で止めます。欄はそれぞれ一度だけ読みます。" ], "what_it_does_not_do": [ "系譜は「何を使って何ができたか」の記録で、集計器が正しいこと・出力が正しいこと・記録が改ざんされていないことの証明ではありません。matches: true は、渡した入力と出力が記録と同じだったことだけを示します。", "記録を保管しません。状態・時計・外の接続を持ちません。", "inputs が 0 個でも記録を作ります（count 0、digest は \"[]\" の sha256）。0 個を断ることはしません。", "SHA-256 の計算そのものは Node.js の crypto に任せていて、ファズのオラクルも同じ crypto を使います。", "正準化は I-08 の部品のコードの写し（src/canonical.js）を使います。写しの中の分岐そのものは、この部品の試験では通りません（写しの試験は I-08 の側）。", "記録・照合の結果は、承認ではありません（result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の来歴（provenance）の仕様の実装ではありません。" ], "integration": "src/lineage.js の recordLineage({ inputs, tool_ref, tool_version, output_bytes, recorded_at }) と checkLineage({ record, inputs, output_bytes }) を呼びます（投げません）。record は schema（erabazu.lineage/1）・input_set（count・digest）・tool（ref・version）・output（digest・size）・recorded_at です。返すのは record か matches・mismatched で、止めるときは { ok: false, errors: [{ code }] } です。副作用・状態・外の接続・資格情報は無く、利用側が用意する port はありません。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-11", "category": "H/監査・統制・プライバシー", "kind": "Component", "title": "封印（追記式の署名・日次の根） — 封印（追記式の署名・日次の根）の部品（Component）", "summary": "封印の部品（Component）は、Merkle 木（部品(Primitive) B-11）・手元の鍵での署名（部品(Primitive) B-12）・冪等書込の継手（C-05）・任意の固定の port（H-01 の形）を束ねる部品です。appendSeal は、呼ぶ側が渡した前の封印の記録の鎖を検め、足したファイルを含む新しい根に署名した記録を、次の seq の別の物として書きます。finalizeDay は区画ごとの鎖を検めて日の根を作り、seal/roots/.json と署名した日の記録を書き、固定の port があれば固定します。どの結果も承認ではなく、時刻の権威でもありません。", "problem": "生データが後から書き換えられていないことの裏付けのための部品です。署名し直さない書き換えや信頼しない鍵の記録に続けて書くこと、証明や呼ぶ側の言う木の大きさを信じること、記録を上書きすること、固定できていないのに固定したと言うことを防ぎます。", "use_when": [ "区画（folder_ref）に足したファイル（name と sha256、1〜10000 個）ごとに、前の記録の鎖に続く署名した封印の記録を /seal/.json に 1 回だけ書きたいとき（appendSeal）。", "日ごとに、区画の根を folder_ref の順に束ねた日の根を作り、canonical({ seal_date, root }) の形のファイルと、署名した日の記録を書きたいとき（finalizeDay）。日の記録は時計を含まないので、同じ鎖からは同じ bytes になります。", "日の根を、注入した固定の port（H-01 の append と同じ形）で外へ固定し、その receipt を seal/roots/.anchor.json に残したいとき。固定の port は根のファイルと日の記録が書けた後にだけ呼びます。", "署名した 1 件の記録に対して、ファイルの包含の証明を検めたいとき（verifyFile）。証明を鎖から作りたいとき（proveFile）。", "署名を、秘密鍵を閉じ込めた sign の port に任せ、この部品に秘密鍵を渡したくないとき。署名するのは keys の最初の鍵だけで、ほかの鍵は前の記録の検めにだけ使います。", "結果の分からなかった書込・固定を、同じ要求・同じ bytes・同じ envelope で送り直したいとき（resolvePending）。" ], "do_not_use_when": [ "固定の port を付けずに、「この日時に存在した」ことの裏付けとして使いたいとき。固定の port が無ければ anchored: false で、記録は「これが署名した内容」だけです。sealed_at は注入した時計の値で、時刻の権威ではありません（信頼できる時刻は B-06）。", "署名を、ファイルの中身や取得の正しさ・業務の判断・承認として使いたいとき。署名は「keys の鍵の持ち主がこの bytes に署名した」ことだけです。", "鍵の置き場所・保管・入れ替え・失効まで任せたいとき。この部品の外で、どの鍵をいつまで信じるかは決めていません。", "verifyFile だけで鎖まで確かめたいとき。verifyFile は記録 1 件の署名と包含だけを検め、信頼する鍵で誤った tree_size に署名された記録は見分けられません。鎖の検めは appendSeal・finalizeDay・proveFile で行います。", "この部品に保管を読ませたいとき。この部品は保管を読みません。鎖は呼ぶ側が保管から読んで渡します。保管に無い版の記録を渡されると、それに続く記録を書き、以後その区画は SEAL_CHAIN_BROKEN で止まります（直すのは人）。", "固定の port 付きの finalizeDay のやり直しを、成功として受け取りたいとき。固定の記録は anchor_status を含むので中身が変わり、保管が断って WRITE_REFUSED で終わります。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED）。" ], "what_it_checks": [ "options が足りない・形が違う・keys が 1〜16 個でない・key_id や指紋が重なる・port の関数が無いとき INVALID_OPTIONS、操作の入力の形が違うとき INVALID_INPUT、getter が例外を投げたとき INSPECTION_FAILED で止めます。", "渡した鎖が検めを通らないとき（正準化・欄・schema・folder_ref・seq・名前の重なり・tree_size・prev_entry_sha256・信頼する鍵の署名・前の根との一貫性・ファイルから計算し直した根）、SEAL_CHAIN_BROKEN で何も書きません。errors[0] に folder_ref・at・reason を添えます。", "tree_size と根は、署名した記録とファイルの数から取り直します。一貫性・包含の証明や呼ぶ側の言う大きさは使いません（RFC 9162 の証明は木の大きさを縛りません）。", "足すファイルの名前が重なる・鎖に既にあるとき DUPLICATE_NAME、finalizeDay で同じ folder_ref が 2 回あるとき DUPLICATE_FOLDER、区画の記録が 10000 件かファイルが 100000 個を超えるとき SEAL_LIMIT_EXCEEDED で止めます。", "sign の port が投げた・ok でないとき SIGN_FAILED、結果が Ed25519・最初の鍵の key_id と指紋でない・最初の鍵の公開鍵での往復の検めが通らないとき SIGNER_MISMATCH、B-11・B-12 の port の故障や形の違いのとき MERKLE_PORT_FAILED・VERIFY_PORT_FAILED で、書きません。", "書込の結果が分からないとき WRITE_UNKNOWN、送らなかったとき WRITE_REFUSED、停止・結果が APPLIED か DEDUP_HIT でないとき WRITE_FAILED です。固定の port の結果が分からないとき ANCHOR_UNKNOWN、断ったとき ANCHOR_REFUSED、停止・receipt の照合の失敗・形の違いのとき ANCHOR_FAILED で、anchored: true にしません。保留の間の appendSeal・finalizeDay は SEAL_PENDING です。", "verifyFile で、記録が正準化できない・形が違う・信頼する鍵の署名でないとき ENTRY_UNVERIFIED、証明の tree_size が記録と違う・leaf_index が大きすぎるとき PROOF_NOT_FOR_ENTRY、proveFile で名前が鎖に無いとき NAME_NOT_SEALED です。", "timestamp が RFC 3339 の UTC（Z）の実在する日時を返さないとき CLOCK_FAILED、前の操作が終わっていないとき BUSY、保留が無いのに resolvePending を呼ぶと NOTHING_PENDING です。" ], "what_it_does_not_do": [ "封印の部品は継手ではありません。自分の Request/Receipt は無く、書込は束ねた C-05 の継手が自分の契約で、固定は注入した port がその契約で起こします（台帳への追記・Git の push は取り消せない効果です）。この部品自身は外へ触れません。", "束ねた部品の意味（根が正しい ≠ 中身が正しい・署名 ≠ 承認・固定した ≠ 権威ある時刻で刻んだ）は、それぞれの部品の側に残ります。", "どの結果も、承認でも権限でも時刻の権威でもありません（approval: false・authority: NOT_DERIVED・timestamp_authority: NOT_DERIVED、derives_authority: false）。", "外への固定の強さは、注入した固定の port とその先の強さまでです。この部品は port が固定したと言ったことと receipt を記録するだけで、固定先を自分では確かめません。", "上書き・削除の要求は送りません。秘密鍵を見ません（sign の port の中だけ）。", "単体試験とファズは代役です（ファズの署名の代役は Ed25519 ではなく、速さのための SHA-512 の代役）。本物の B-11・B-12・C-05・H-01 との結線は、別の結線の検めで確かめました。Git の固定は、成功する経路だけを結線で確かめ、断り・衝突・non-fast-forward の経路は試していません。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の透明性ログや署名の製品の雛形ではありません。" ], "integration": "src/seal.js の createSeal(options) で作り、{ ok, errors, instance } を返します。options は target・request_prefix・keys・ports・任意の timestamp です。操作は appendSeal・finalizeDay・verifyFile・proveFile・resolvePending・status で、結果に approval: false が付きます。port は merkle（B-11 の 5 つの関数）・sign（秘密鍵を閉じ込めた closure）・verify と publicKeyFingerprint（B-12）・write.submit（C-05 の継手のクライアント）・任意の anchor.append です。資格情報は port が持ちます。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "H-12", "category": "H/監査・統制・プライバシー", "kind": "Tsugite", "title": "封印の根の Git への固定 — 封印の根の Git への固定の継手（Tsugite）", "summary": "封印の根の Git への固定の継手（Tsugite）は、日次の封印の根のファイル（seal/roots/YYYY-MM-DD.json）を、Git の決まった枝へ前の版（parent_commit）の子として commit し、fast-forward で push する要求（SealAnchorRequest）を検めてから port へ運び、返った receipt（SealAnchorReceipt）を照合する継手（つぎて）です。追記だけで、外れたら送らず、受理しません（fail-closed）。", "problem": "「いつの時点の根か」を外から照らせるようにします。そのとき、根を上書きしてしまうこと、同じ日付に別の根を固定してしまうこと、push の結果が見えないまま二重に commit してしまうこと、commit の日時を時刻の権威と取り違えることを防ぎます。", "use_when": [ "封印の部品が書いた日次の根のファイルを、Git のリポジトリへ追記だけで固定したいとき。", "送る前に、要求の root_digest からファイルの中身 canonical({seal_date, root}) を作り直し、その sha256 が file_digest と同じことを確かめたいとき。", "1 つの日付に 1 つの根を守りたいとき。食い違い（CONFLICT）の日付は、人の判断まで送りません。", "push の結果が見えないとき、相手の側（branch の先頭と path のファイル）を読んで解いてから送り直したいとき（port.inspect と SealInspectRequest / SealInspectReceipt）。" ], "do_not_use_when": [ "根そのもの（Merkle の計算・署名）を作りたい・確かめたいとき。それは封印の部品の役目で、この継手は根の digest からファイルの digest を作り直して照らすだけです。", "信頼できる時刻で刻みたいとき。commit の日時もホストの push の時刻も観測です。信頼できる時刻は B-06（RFC 3161）の継手で別に刻みます。", "履歴の書き換え（上書き・force-push・amend・削除）をしたいとき。要求にも設定にもその欄はありません。", "特定の Git ホスティング（GitHub など）の API や git コマンドの使い方の雛形がほしいとき。この継手はその雛形ではありません。", "すぐに使える固定先がほしいとき。実の Git・remote への commit・push は 0 回で、port の実装・資格情報・ブランチ保護の設定は、接続するときに別の関門で決めます。", "表の業務ロジックを組みたいとき。この継手は裏方・インフラの API 専用で、業務ロジックは部品（Kernel）が担います。" ], "what_it_checks": [ "設定と要求を検めます。repository・branch・committer は設定の一覧（repositories・branches・committer_refs）の中だけです。branch_ref は git check-ref-format に合うものだけで、暦に無い seal_date は送りません。空の一覧は何も許しません。", "ファイルの digest を照らします。作り直した sha256 と file_digest が違う要求は送りません。committed_file_digest が違う receipt、ANCHORED の parent_commit が依頼と違う receipt、changed_paths がちょうど [path] でない receipt は受理しません。", "追記だけを守ります。history_rewrite が NOT_PERFORMED でない receipt は受理しません。設定に知らないキー（force_push など）があれば、何も送りません。", "日付の状態を照合します。知っている日付に別の根は送りません。知っている日付への 2 度目の ANCHORED、知っている根と違う ALREADY_ANCHORED は受理せず、停止します（HALTED）。", "commit の桁を照合します。commit_id は依頼の parent_commit と同じ桁（40 桁か 64 桁、リポジトリの形式）のときだけ受け取ります。", "効果を増やす receipt、FAILED のほかで効果の不明な receipt、状態の表の外の receipt、別の要求の receipt は受理せず、停止します。ANCHORED の効果は EXTERNAL_IRREVERSIBLE、ほかは NONE（FAILED は NONE か UNKNOWN）です。", "結果の見えない push（port の障害、FAILED・UNKNOWN の receipt）は UNKNOWN（未解決）とし、成功にも失敗の確定にもしません。相手の側を読めないときは送り直さず、解けるまでほかの要求も送りません。", "push の資格情報は参照（committer_ref）だけです。committer_refs に封印の署名の鍵の参照（seal_signing_key_refs）が入っている設定は、誤りとして拒否します。" ], "what_it_does_not_do": [ "commit の中身が本当にその親とその変更か、push が fast-forward だったか、読んだ答えが本当の Git の状態かは確かめません（port の申告。この継手は git のオブジェクトを読みません）。", "日付の状態はこの継手の中だけで、再起動で消えます。この継手が知らない日付の上書きは見分けられません。上書き・force-push の禁止は、repository のブランチ保護で別に守ります。", "commit の日時・host_time の正しさも順序も確かめません。どちらも時刻の権威ではありません（commit_date_authority・timestamp_authority は NOT_DERIVED）。", "根そのものの正しさは確かめません。CONFLICT の解決は人の判断です。", "固定できたことは承認ではなく、権威ある時刻で刻んだことでも、根が正しいことでもありません（どの結果にも approval: false が付きます）。", "契約を変えません。契約の権威（schema authority）は、まだ定まっていません（NOT_SPECIFIED）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。" ], "integration": "契約 erabazu.candidate/certified-tsugite/seal-anchor-git/v1（SealAnchorRequest / SealAnchorReceipt、読む口 SealInspectRequest / SealInspectReceipt）でつなぎます。createSealAnchorClient({ cfg, port, clock }) の submit(request) は DONE・ALREADY_DONE・REFUSED・UNKNOWN・RECEIPT_REJECTED・HALTED を返します（常に approval: false）。利用側の用意: Git の port（submit、任意の lookup・inspect）と cfg の一覧。副作用: ANCHORED だけ EXTERNAL_IRREVERSIBLE。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "I-01", "category": "I/検証・無害化・安全", "kind": "Primitive", "title": "入力スキーマ検証 — 入力スキーマ検証の部品（Primitive）", "summary": "入力スキーマ検証の部品（Primitive）は、JSON の値を、JSON Schema 2020-12 の全体ではなく決まった一部（profile json-schema-subset/v1）で検める単独の部品です。使えるキーワードは決まった 28 個だけで、ほかのキーワード（format を含む）はスキーマごと断ります（黙って読み飛ばしません）。結果は { ok, errors } で、止めるときは最初の 1 件のコードと位置（JSON Pointer）を返します（fail-closed）。", "problem": "入力の形の妥当性を検めるときに、知らないキーワード・外の $ref・壊れた値を黙って読み飛ばして「通った」ことにしてしまうことを防ぎます。使えるキーワードを固定し、一部の外のものはスキーマごと断ります。", "use_when": [ "JSON の値の形（type・required・properties・additionalProperties・長さ・範囲・pattern・enum・const など）を、決まった一部のキーワードで検めたいとき（validate）。", "スキーマそのものが一部の中に収まっているかを、インスタンスなしで先に確かめたいとき（checkSchema）。", "止めた理由を、コード・instance_path・schema_path（JSON Pointer）の最初の 1 件として、決まった順で受け取りたいとき。", "getter を呼ばず、スキーマとインスタンスを 1 回だけ読んだ写しで検めたいとき（途中で中身が変わらない）。", "時計・乱数・環境の locale に左右されず、外の境界・状態を持たない処理として手元で呼びたいとき。validate と checkSchema は例外を投げません。" ], "do_not_use_when": [ "JSON Schema 2020-12 の全体が要るとき。使えるのは決まった 28 のキーワードだけで、format は検めずに断ります。", "いまの実物の契約のスキーマ（00a の 17 本）をそのまま検めたいとき。17 本はどれも一部の外（format・runtime_validator_contract・uniqueItems・hash_computation・外の $ref）を使うので、スキーマごと断られます。", "外の文書・$id による基底の URI・$anchor・$dynamicRef を使う $ref が要るとき。$ref は \"#\" と \"#/$defs/<名前>\" だけです。", "信頼できないスキーマの pattern をそのまま使うとき。正規表現の爆発（ReDoS）は止めず、評価の回数の上限は正規表現の中の時間を数えません。", "文字列・配列の長さや const・enum の比較の大きさに上限が要るとき。上限は持たず、I-06 の部品か使う側で決めます。", "2^53 以上の整数を integer として扱いたいときや、見た目が同じ文字列を同じとして扱いたいとき。integer は安全な整数だけで、Unicode の正規化はしません。", "Node.js v24.21.0 のほかの版で使うとき。ほかの版は確かめていません（NOT_VERIFIED。RegExp の u フラグの Unicode の版はエンジンに依ります）。" ], "what_it_checks": [ "一部の外のキーワード（format を含む）が、どこにあっても（使われない $defs の中でも）あるとき、根でない $schema・$id・$defs があるとき、スキーマごと UNSUPPORTED_KEYWORD で止めます。", "$schema が 2020-12 でないとき UNSUPPORTED_DIALECT、$ref の形が違うとき（外の文書・アンカー・% ・~ の書き方）UNSUPPORTED_REF、名前が $defs に無いとき UNRESOLVED_REF で止めます。", "インスタンスを進めずに回る $ref があるとき、たどり着くかどうかに関わらず REF_CYCLE で止めます。", "キーワードの値の形が違うとき（空の enum・重なる required や type・負の数・配列の形の items・if の無い then）INVALID_SCHEMA、pattern が作れないとき INVALID_PATTERN で止めます。", "スキーマが JSON の値でないとき（getter を含む）SCHEMA_NOT_JSON、インスタンスが JSON の値でないとき（undefined・関数・NaN・bigint・Date・穴のある配列・symbol のキー・getter など）INSTANCE_NOT_JSON で止めます。", "入れ子が 256 段を超えるとき SCHEMA_TOO_DEEP・INSTANCE_TOO_DEEP、評価の深さが 512 に届くとき EVALUATION_TOO_DEEP、評価の回数が 1,000,000 を超えるとき EVALUATION_LIMIT で止めます。not・anyOf・oneOf・if の中で届いても「通らない」に化けません。", "インスタンスがスキーマに合わないとき、TYPE_MISMATCH・REQUIRED_MISSING・ADDITIONAL_PROPERTY・PATTERN_MISMATCH・ONE_OF_MANY_MATCHED など、キーワードごとの決まったコードで止めます。2^53 以上の整数は integer に当てはまりません。", "値を調べること自体が例外になるとき（Proxy の罠など）、INSPECTION_FAILED を返し、例外を投げません。Proxy が答えを変えても、1 回だけ読んだ写しを検めるので途中で結果が変わりません。" ], "what_it_does_not_do": [ "JSON Schema の全体ではなく一部だけを扱います（決まった 28 のキーワード）。format は検めずに断り、外の文書・$anchor・$dynamicRef の $ref も断ります。", "実物の契約のスキーマ（00a の 17 本）は、どれも一部の外として断られます。一部は黙って広げておらず、一部を広げるか、契約の側を一部に合わせるかは別の決定です。", "公式の JSON-Schema-Test-Suite にはかけていません。既知の答えは、この部品の試験に書いたものです。", "pattern の正規表現の爆発（ReDoS）は止めません。信頼できないスキーマの pattern は使う側で制限します。", "スキーマに合うことは形の検めで、値の中身が正しいことでも、受け入れてよいことでも、許可でもありません（意味の判断は Kernel、承認は人。result_is_approval: false）。権限も作りません（derives_authority: false）。", "工房の検査に通ったことは、認証ではありません。出荷してよいかは評価しておらず、公開もしておらず、権限も与えません。", "特定の JSON Schema のライブラリの使い方の雛形ではありません。" ], "integration": "src/schema-validate.js の validate(schema, instance) を呼びます（投げません）。checkSchema(schema) はスキーマだけを検め（投げません）、assertValid は合わなければ SchemaValidateError を投げます。受け取るのは、決まったキーワードだけのスキーマと、JSON の値のインスタンスです。返すのは { ok: true, errors: [] } か { ok: false, errors: [{ code, instance_path, schema_path }] }（最初の 1 件。code は error_taxonomy）。外の $ref は読みに行きません。副作用（NONE）・状態・外の接続・資格情報は無く、利用側が用意するものはありません。依存は Node.js の組み込みだけです。", "license": { "identifier": "LicenseRef-WIT-ERABAZU-Parts-1.0", "text_url": "licenses/LICENSE_JA.md", "english_text_available": false, "other_licenses": [] }, "test_summary": { "status": "工房の技術検査PASS", "fuzz_runs": 1000000, "mismatches": 0, "fail_open": 0, "node_version": "v24.21.0", "note": "保存された検査記録の結果です。実サービスへの接続や出荷可否の評価とは別です。" } }, { "id": "I-02", "category": "I/検証・無害化・安全", "kind": "Primitive", "title": "出力エンコード — 出力エンコードの部品（Primitive）", "summary": "出力エンコードの部品（Primitive）は、文字列を、決めた 1 つの出力先（context）の中で文字として読まれる形にする単独の部品です。context は html_text・html_attribute_quoted・url_component・json_in_html_script の 4 つだけです。決めていない context・文字列でない値・単独のサロゲート・長すぎる入力は、決まったコードで止めます（fail-closed）。HTML の無害化（sanitize）ではありません。", "problem": "文字列を HTML・URL・ や