solution-erp/.claude/workflows/runs/2026-08-01-S169-bookend-open/sub-ring1-audit-open-S169.md

sub-ring1-audit — @open S169 (phiên-LOGIC L10 window-1) — 2026-08-01

Vai: ring1-audit — KIỂM ĐỘC-LẬP vòng tooling/harvest. Read-only · propose-only · no-self-exempt (tao ≠ H1, ≠ H2). Nhiệm-vụ: verify per-claim output H1 + H2, KHÔNG re-chạy việc đo; falsify ≥2; tự tái-dựng ≥1 số CÓ-THỂ-SAI; thách-CLEAN bắt buộc. Ghi từng mục, flush ngay (4/4 vai wave này dính #53).

---

§0. PIN + FAIL-SAFE — input TỒN-TẠI, tuần-tự C4b THOẢ

Kiểm	Đo	Kết
run-folder	.claude/workflows/runs/2026-08-01-S169-bookend-open/	✅ tồn tại
H1 output	sub-tooling-auditor-open-S169.md — 23.236 B, mtime Aug 1 21:29	✅ khớp pin byte-chính-xác
H2 output	sub-harvest-curator-open-S169.md — 26.137 B, mtime Aug 1 21:34	✅ tồn tại (pin không khai byte)
H1 có END	END tooling-auditor-open-S169 — VERDICT=PASS_WITH_FLAGS — 10 finding (:216)	✅
H2 có END	END harvest-curator-open-S169 — VERDICT=GATE-FAIL — 8 finding (:260)	✅
Tuần-tự C4b	mtime tao (ghi lúc ~21:4x) > mtime H1 (21:29) và H2 (21:34)	✅ chấm bản ĐÃ-XONG, không chấm bản dở

⇒ KHÔNG NO-OP. Có measure thật ⇒ chấm thật.

🔴 Khai trước (bài E1/S150 + S162 + S168): vòng-KIỂM chạy SAU vòng-ĐO ⇒ mọi số đếm-đĩa có thể ĐÃ DỜI. Gặp vênh tao hỏi "H1/H2 sai, hay đã-được-xử/đo-tại-pin-khác?" TRƯỚC khi chấm TRƯỢT.

🔴 KHÔNG lặp 7 claim lead đã tự verify (harvest MEMORY 18.781 B · ctx-verifier frontmatter · tiep.md 1 hit · 23/23 dir · auto-memory 59 vs STATUS 31 · investigator-codebase:81 · README:242). Tao soi phần chưa ai chạm.

---

§1. 🔴 THÁCH-CLEAN A — permission-matrix H1 gọi "KHÔNG stale" ⇒ THỦNG (finding R-1, riêng của tao)

H1 :104 khai: "permission-matrix/SKILL.md — :17 + :94 cố ý KHÔNG chép số (B1) … ✅ KHÔNG stale (menu 113 / policy 452 không cần neo vì file không neo số)." Và :102 gói cả 2 skill thành: "CẢ 2 skill được chỉ đích danh đều KHÔNG stale".

1a. Phần H1 nói ĐÚNG — tao xác nhận, và xác nhận MẠNH HƠN H1

Tao KHÔNG đọc 2 dòng H1 trỏ; tao quét MỌI số ≥2 chữ-số trong toàn file (grep -nE "[0-9]{2,}", 178 dòng / 9.409 B):

• Neo dòng H1 đưa CHÍNH XÁC: :17 = "🔴 Số menu-key · số policy = canonical ở docs/STATUS.md … KHÔNG chép số vào file này (B1)" · :94 = "số = |MenuKeys.All| × |Actions| DERIVED; canonical → docs/STATUS.md row Policies — KHÔNG hardcode ở đây". (Không tái phát lỗi neo-lệch-số-dòng S153.)
• Control-âm: grep -nE "\b(113|452|54 menu|~240|216|48 policy|~60)\b" trên skill ⇒ 0 hit. Control-dương (chứng grep CÓ RĂNG, bài S162): cùng pattern trên docs/STATUS.md ⇒ 8 hit. ⇒ số-0 kia là vắng-mặt THẬT, không phải thước chết.
• Tiền-án S119 (54 menu vs "~60" · 216 policy vs :3 "~240" ⟂ :81 "48" · Bg_* chết từ S61) ⇒ đã đóng thật: Bg_* nay là bia-mộ 🧊 có nhãn XOÁ ở :26 + :79.
• Số cứng còn lại tao đối-chứng mã: :56 "× 7 type = 28 leaf" ✅ (4 action × 7 ContractType) · :58 "× 2 type = 6 leaf" ✅.

⇒ Trên trục H1 ĐO (neo số canonical), claim của H1 ĐẠT.

1b. 🔴 Nhưng file STALE trên trục H1 KHÔNG đo — lệch 49 key SỐNG

MenuKeys.cs:72-84 (mã hiện tại):

public static readonly int[] KhkkGroupNumbers = [2, 3, 4, 5, 6, 7, 8];          // 7 nhóm
public static readonly string[] KhkkLeafActions =
    ["WfView", "List", "Create", "Pending", "Approved", "Deleted"];             // 6 action
// 49 key theo thứ tự: group n → 6 leaf của n → group n+1 → …
public static readonly string[] KhkkGroupMenuKeys = …                            // 7 × 7 = 49

và MenuKeys.cs:244 ⇒ .. KhkkGroupMenuKeys NẰM TRONG All (tức 49 key này sinh policy thật). Thêm :123 — "🔴 8 key này VÀO All ⇒ sinh 32 policy AwV2_KhkkN{1..8}.{R,C,U,D}".

Skill mô-tả cây key SỐNG (:60-61):

KeHoachKyKet (root — const VÀO `All` @S161 W1 ⇒ sinh 4 policy …; Mig 69 KHKK)
  └── Khkk_G1 "Kế hoạch ký kết HĐ (NCC-TP)"   (DbInitializer.cs:1780-1787)

⇒ chỉ NHÓM 1. Và :28 khai "6 leaf Khkk_* grant TỪNG DÒNG riêng (seeder DbInitializer.cs:2107 grant root + 6 leaf explicit)".

Đo: grep -nE "Khkk_G[2-8]|49 key|nhóm duyệt|AwV2_Khkk" trên skill ⇒ 0 hit. Control-dương: grep -c "Khkk_G1" ⇒ 1 hit ⇒ grep có răng, 0-hit là vắng-mặt THẬT.

Lai-lịch (chứng đây KHÔNG phải time-drift của tao):

Vật	Thời điểm
K4a land 8 nhóm × 6 leaf	88e7ecf 2026-08-01 10:10:11 — "K4a+K4b SP-002 sidebar 8 nhom x 6 leaf … (0-mig)"
skill last-touch	bd68f71 2026-07-31 21:47 (mtime đĩa Jul 31 09:42)
H1 quét	2026-08-01 21:29
⇒ K4a land TRƯỚC H1 quét ~11 giờ. Không phải "đã-được-xử sau lượt đo"; là stale có thật tại thời điểm H1 tuyên sạch.

1c. 2 con-trỏ CHẾT trong chính 2 dòng trên (class con-trỏ-chết, tao tự dính @S168)

Neo trong skill	Trỏ tới hôm nay
DbInitializer.cs:1780-1787 (:61, cho Khkk_G1)	🔴 seed user Solutions (tra.bui@solutions.com.vn, phuong.nguyen@…) — 0 liên-quan KHKK
DbInitializer.cs:2107 (:28, "grant root + 6 leaf")	🔴 leaf PE-workflow (peWfOrder, PeWorkflowTypeLeaf) — 0 liên-quan KHKK

1d. Vì sao đây là lỗi ĐÁNG, không phải bới lông

Chính file này tự chẩn bệnh ở :79: "cây trên từng liệt nó như ĐANG SỐNG tới S164 (cùng bệnh header :26 đã vá @S122 — vá header quên vá CÂY = dư-lượng bất-đối-xứng)". ⇒ Đây là tái-phát ĐỜI 2 của đúng lớp file tự khai: lần này header/B1 sạch (H1 soi đúng chỗ đó), CÂY lại stale. Người tra "KHKK nhóm 3 báo access denied" mở đúng skill này, thấy cây chỉ có Khkk_G1, sẽ kết luận key không tồn tại — trong khi Khkk_G3_* có trong All và có policy.

1e. Phán

Claim H1	Verdict
A16 · permission-matrix :17/:94 không neo số canonical (B1 tôn trọng)	ĐẠT (control 2 chiều)
A17 · neo dòng :17 + :94 chính xác	ĐẠT
A18 · "permission-matrix KHÔNG stale" (tuyên trần, không giới-hạn trục)	🔴 TRƯỢT — lệch 49 key sống + 2 con-trỏ chết
A19 · "CẢ 2 skill được chỉ đích danh đều KHÔNG stale" (dẫn xuất)	🔴 TRƯỢT (kéo theo A18)

🔴 Class: 1 THƯỚC HẸP → 1 KẾT-LUẬN RỘNG. H1 đo "có neo số canonical không?" rồi tuyên "không stale" — 2 vị-từ khác nhau. Đúng lớp "2 thước 1 báo cáo" tao bắt @S162 (H1 dùng nợ-tích-luỹ cho ef-core-migration, "đợt này" cho contract-workflow), nay đổi hình: 1 thước, 2 độ-rộng kết-luận.

📌 Nợ S162 của tao đã đóng ở lượt khác: contract-workflow (tao bắt mù-KHKK @S162) — không nằm trong lượt này.

---

§2. TRỤC-2 — H2 BÁC detector C11 ("14 → thật 9"). Người ĐÚNG hơn máy ở 4/5 claim, nhưng con số 14 KHÔNG PHẢI của C11

2a. Tái-dựng số "9" — tao đếm lại độc lập ⇒ KHỚP TUYỆT ĐỐI

Tao chạy trên cả 23 vai (không chỉ 10 vai H2 liệt), thước theo NỘI-DUNG:

for d in .claude/agent-memory/*/; do echo "$(basename $d) $(grep -c 'S168' $d/MEMORY.md)"; done

Vai có ≥1 hit S168	hit
reviewer	5
cicd-monitor	2
ctx-curator · ctx-verifier · ring1-audit	1 mỗi vai

⇒ 5/23 có · 18/23 KHÔNG. Thu hẹp về đúng 10 vai đẻ artifact ở runs/2026-08-01-S168-bookend-close/: harvest-curator 0 · lead-gap-auditor 0 · lead-stale-auditor 0 · tooling-auditor 0 · ring2-audit 0 · harness-refine 0 · harness-eval 0 · harness-audit 0 · ctx-audit 0 · ring1-audit 1 ⇒ 9/10 chưa seed. ✅ Số 9 của H2 tái-dựng ĐƯỢC, khớp từng vai. (Và F-1 coverage 1/10 cũng khớp.)

2b. 3 claim cấu-trúc về mã C11 — đọc scripts/governance-detectors.ps1, cả 3 ĐÚNG

H2 nói	Mã thật	Phán
:1821 $c11Flags = TỔNG (a)+(b)	$c11Flags++ ở :1788 (nhánh a FLAG-khuôn) và :1813 (nhánh b diary-delta)	✅ ĐẠT
:1794 chỉ khớp ^sub-<role>[-.] ⇒ sót *-return.md	verbatim '^sub-' + [regex]::Escape($role) + '[-.]' ⇒ harness-audit-return.md không khớp	✅ ĐẠT
sót lead-* (2 vai H24 vô hình ở nhánh b)	dir vai = lead-gap-auditor; file = sub-lead-gap-close-S168.md ⇒ ^sub-lead-gap-auditor[-.] không khớp	✅ ĐẠT
"vá NỬA VỜI: sửa bộ lọc FILE mà quên sửa regex ROLE"	:1771 filter = `'^(sub-.+	.+-return).md$'(CÓ nạp-return), comment :1768-69` khai rõ ý-định @S159

(Bổ sung tao đo, H2 không nêu: nhánh (a) lọc bằng $roleNameRx = '(?i)(lead-stale|lead-gap|ring2-audit)' :1762 ⇒ lead-gap CÓ bị nhánh (a) soi. Nên câu H2 "2 vai H24 vô hình" chỉ đúng ở nhánh (b) — H2 đã viết đúng giới-hạn đó. Không trừ điểm.)

2c. 🔴 NHƯNG: con số 14 KHÔNG PHẢI output của C11 — H2 dừng sớm đúng 1 nấc

H2 trích :1821 để lập luận. Chính dòng đó bác luôn tiền-đề của H2:

Write-Host ("  C11 FLAG-khuon + diary-delta flags = {0} [INFORM-only, LOW, NOT folded into TOTAL baseline]{1}" …)

⇒ Script tự khai ĐỦ CẢ 2 NHÁNH trong nhãn. Không có chỗ nào script in ra chuỗi "14 flag diary-0-delta".

Vậy 14 ở đâu ra? Tao truy nguồn:

• run.md:22 của chính run-folder này: | detectors | **TOTAL 48** + INFORM **14** (S168 là 50+10 ⇒ −2 TOTAL, +4 INFORM) |
• Write-InformFlag (:74-82) tăng MỘT biến toàn cục duy nhất $script:InformCount++ (:81).
• Call-site Write-InformFlag = 18 chỗ; chỉ 2 chỗ thuộc C11 (:1785 nhánh a · :1810 nhánh b). 16 chỗ còn lại thuộc net khác.
• Dòng tổng-kết :1961 liệt đích danh:

  INFORM-ONLY (new nets C6 cite-2-tier + H24-4 pending-flip + H24-5 counter-ancestor-classify + C9 hmw-width-drift + C11 h24-flag-form + C12 raw-engine-bypass): {0}

⇒ "INFORM 14" = tổng gộp của SÁU net (C6 · H24-4 · H24-5 · C9 · C11 · C12), không phải C11, càng không phải nhánh diary-0-delta.

Hệ quả cho lập luận của H2: F-4 tuyên "số thật vai chưa seed = 9, không phải 14" ⇒ đặt cạnh nhau 2 đại-lượng khác VŨ-TRỤ, khác ĐƠN-VỊ, khác VỊ-TỪ:

	"9"	"14"
vũ-trụ	10 vai đẻ artifact ở 1 folder	mọi flag INFORM trên mọi run-folder mtime ≥ 2026-07-24 (:1722)
đơn-vị	VAI	FLAG
vị-từ	grep -c "S168" trong diary	6 net khác nhau, phần lớn 0 liên-quan diary

🔴 Và chiều của sai-số còn chưa xác lập: nếu hỏi đúng câu C11 hỏi (vai chạy mà chưa seed, phủ cả roster) thì số của tao ở §2a là 18/23 — LỚN hơn 14. Nên đọc "detector over-count 56%" là có thể ngược dấu. Chỉ số 9 mới an-toàn, và chỉ trong phạm-vi 10 vai của folder S168-close.

🔴 Class: đúng lớp H2 vừa bị bỏng @S168 (git grep -c = DÒNG 22 vs -o|wc -l = LẦN 24 ⇒ H2 tự nhận tội oan). S168 bỏng vì lẫn đơn-vị trong cùng 1 thước; S169 bỏng vì lẫn đơn-vị GIỮA 2 thước. Đời 2, đổi hình. Ghi nhận: C.2b của H2 có tự dặn "corruption baseline phải kèm ĐƠN-VỊ" và đã thi hành nghiêm ở C.4 (đếm-FILE ⟂ đếm-LẦN) — nhưng không mang kỷ-luật đó sang D.2, nơi nó cần y hệt.

⚖️ Quy lỗi cho đúng cửa: nhãn sai "14 flag diary-0-delta" KHÔNG do detector — script gắn nhãn trung-thực ở cả :1821 lẫn :1961. Nhãn sai sinh ở lớp BÁO-CÁO. F-4 của H2 gói cả hai vào một dòng đọc như "máy hỏng" ⇒ đề-xuất vá sẽ nhắm sai chỗ (sửa regex là đúng và vẫn nên làm; sửa "over-count" là không có bệnh đó).

2d. Phán trục-2

#	Claim H2	Verdict
B-1	$c11Flags = tổng (a)+(b)	ĐẠT
B-2	regex ^sub-<role>[-.] sót *-return.md	ĐẠT
B-3	sót lead-gap/lead-stale ở nhánh (b)	ĐẠT
B-4	"vá nửa vời" (file-filter vá, role-regex quên)	ĐẠT
B-5	số thật vai chưa seed (10 vai S168-close) = 9	ĐẠT — tái-dựng khớp từng vai
B-6	:1808 so mtime ⇒ âm-tính-giả do hook wal-flush tự-commit	⚪ KHÔNG CHẤM — mã có so mtime (đúng), nhưng cơ-chế gây âm-tính-giả chỉ nêu, chưa đo (cần 1 ca git log mới hơn artifact mà diary không có delta nội-dung). Claim hợp lý, chưa có bằng-chứng
B-7	tiền-đề "Detector C11 diary-0-delta = 14"	🔴 TRƯỢT — 14 = tổng INFORM của 6 net (:1961), không phải C11
B-8	F-4 "số thật = 9, không phải 14"	🔴 TRƯỢT — so xuyên vũ-trụ/đơn-vị/vị-từ; chiều sai-số chưa xác lập (cùng câu hỏi, phủ roster ⇒ 18)

---