solution-erp/.claude/workflows/runs/2026-08-01-S168-bookend-close/sub-ring1-audit-close-S168.md

RING1-CLOSE-S168: KIEM-PASS-WITH-4-TRUOT — 52Đ/4T trên 56 claim — H1 28Đ/2T (F-3 under-count 6→7 site `D:\Backups`, sót `docs/architecture.md:220` vì pattern tự thu-hẹp) · H2 24Đ/2T (tự-đính-chính NGƯỢC: "24 hit" @S162 vốn ĐÚNG — 24=số LẦN, 22=số DÒNG ⇒ baseline giao S169 lẫn đơn-vị, kỳ sau sẽ đọc thành "+2 corruption ảo") · thách-CLEAN 1 chịu (`permission-matrix` fresh THẬT tới tầng `[Authorize]`) / 1 THỦNG (C5 mù lane-chết: `sub-reviewer-c2-l3.md` 188 B Verdict "(ĐANG LÀM)", 0 diary biết) · falsify 6 phép, 1 BROKE vào CHÍNH TAO.

# ring1-audit — KIỂM vòng tooling/harvest @close S168

> Vai KIỂM độc-lập (C4/C4b) trên số của H1 `tooling-auditor` + H2 `harvest-curator`.
> Read-only · propose-only · lead single-writer. no-self-exempt: tao KHÔNG phải H1/H2.
> Ghi-đĩa-liên-tục (chống #53): mỗi verdict append ngay khi chấm.

## (i) PIN + fail-safe — verify TỒN-TẠI

| # | Input | Path | Size | mtime | Verdict pin |
|---|---|---|---|---|---|
| P1 | H1 tooling-auditor | `.claude/workflows/runs/2026-08-01-S168-bookend-close/sub-tooling-auditor-close-S168.md` | 17.719 B | 2026-08-01 19:35 | ✅ TƯƠI |
| P2 | H2 harvest-curator | `…/sub-harvest-curator-close-S168.md` | 26.844 B | 2026-08-01 19:38 | ✅ TƯƠI |
| P3 | run.md phiên | `…/run.md` | 4.515 B | 2026-08-01 19:31 | ✅ |

**PIN = ĐỦ ⇒ KHÔNG NO-OP. Tiến hành chấm.**
Tuần-tự C4b: mtime file tao > mtime P1 (19:35) và P2 (19:38) — chạy SAU con-đo, đúng thứ-tự.

---

## (iv-a) TỰ TÁI-DỰNG SỐ LOAD-BEARING — roster 23 (6 nguồn độc-lập + so TẬP)

| Engine/nguồn | Lệnh | Kết quả |
|---|---|---|
| R1 `git ls-files` (KHÔNG ls/glob) | `git ls-files '.claude/agents/*.md' \| grep -v README \| wc -l` | **23** |
| R2 `find` | `find .claude/agents -maxdepth 1 -name '*.md' -not -name 'README.md'` | **23** |
| R3 agent-memory dir | `find .claude/agent-memory -mindepth 1 -maxdepth 1 -type d` | **23** |
| R4 `hmw.js` VALID_ROLES (awk, strip `//`) | dòng 23..42, đếm `'[a-z0-9-]*'` | **23** |
| R5 **so TẬP** (mạnh hơn so SỐ) | `diff <(hmw.js names) <(disk names)` | **SET_IDENTICAL_23** — 0 dòng lệch |
| R6 C5 orphan-scope | xem dưới | — |

✅ **A-ROSTER ĐẠT** — H1 báo 23 khớp 4 bề-mặt + 1 pointer; tao tái-dựng ĐỘC-LẬP 4 engine + **1 phép so TẬP** (H1 không làm phép này): tên trong `hmw.js` và tên file trên đĩa **trùng khít từng phần-tử**, không chỉ trùng tổng. Roster 23 = số CÓ RĂNG.

### 🔴 F-A — BROKE VÀO CHÍNH TAO (tự khai, lần thứ 3 trong sự-nghiệp vai này)
Vòng-1 tao parse `VALID_ROLES` bằng python regex `VALID_ROLES\s*=\s*\[(.*?)\]` (non-greedy) → ra **18**, suýt tố H1 bịa số 23.
Truy nguyên: `awk 'NR>=22 && /\]/'` cho thấy dấu `]` ĐẦU TIÊN sau dòng 22 nằm ở **`hmw.js:39`**, trong comment `owner-decision [2] TÁCH` — tức **comment của CHÍNH PERSONA TAO** cắt cụt regex của tao ở đúng phần-tử `'ring1-audit'` (#18/23).
H1 dùng anchor `^\]` (dòng 43) = **đúng**, tao dùng non-greedy = **sai**.
⇒ Cùng class với `grep -c f || echo 0` (@S153) và `grep -v Snapshot` (@S162): **thuốc-đo của tao hỏng, không phải con-đo sai.** Luật tự áp lại: parse mảng nhiều dòng có comment ⇒ PHẢI anchor `^\]`, cấm non-greedy.

---

## 🔴 T-H1-F3 — SITE THỨ 7 `D:\Backups` (H1 under-count 6 → 7) — ĐÃ CHỨNG BẰNG `git show HEAD`

**Vật thể (path + dòng + chuỗi NGUYÊN VĂN):**
```
docs/architecture.md:220
- Backup SQL: daily full + 15min log → D:\Backups
```
**Vì sao H1 mù:** H1 tự khai phạm-vi ở §PHAM-VI: *"sweep D:\ … mở bằng `Backups.SolutionErp` (2 lần mở, 2 pattern khác nhau — lần đầu `D:\Backups` **0-hit giả** rồi Read tay…⇒ đã đổi pattern)"*.
Dòng `:220` chứa `D:\Backups` **KHÔNG kèm `\SolutionErp`** ⇒ pattern hẹp `Backups.SolutionErp` **không thể khớp**. H1 vá cái 0-hit-giả bằng cách **thu hẹp**, và chính chỗ thu hẹp che mất hit THẬT.
⇒ Đúng class `feedback_absence_looks_like_clean` ("phép trích RỖNG đọc thành sạch") — **đời 2 trong CÙNG 1 phiên**.

**🔴 Suýt tự-bác TRUE-finding vì đĩa dời dưới chân (time-drift, bài E1@S150):**
- Đo lần 1 (~19:44): `grep -rn` **1 hit** + `sed -n '215,222p'` in ra đúng dòng đó ⇒ 2 lệnh độc-lập cùng thấy.
- Đo lần 2 (~19:50) sau khi lead báo "sweep 0 hit": `grep -rnF` rc=1 **0 hit** · python **0 hit** · control-dương `C:\Backups` = **6 hit** ⇒ lệnh CÓ RĂNG, không phải trích-rỗng.
- Phân-xử bằng PIN thay vì bằng suy-đoán: `stat` = mtime **19:48:27** · `git status` = ` M docs/architecture.md` · **`git show HEAD:docs/architecture.md`** vẫn còn `- Backup SQL: … → D:\Backups`.
- `git diff` working-tree cho thấy chính lead vừa vá, và ghi trong dấu ngoặc: *"site thứ 7 này lọt lưới H1 vì không chứa chuỗi `Backups\SolutionErp`, `ring1-audit` bắt"*.
⇒ **Kết luận: finding THẬT tại thời-điểm H1 đo (19:35) và tại lúc tao đo; 0-hit của lead là do lead VỪA VÁ (19:48), KHÔNG mâu-thuẫn.** Nếu tao tin số mới nhất mà không hỏi *"sai, hay đã-được-xử?"* thì tao đã **tự xoá một finding đúng**.

**VERDICT: H1 F-3 phần "**6 site cùng-lớp**" = TRƯỢT (under-count, thật = 7).** Phần "6 site đã liệt đều đúng" = ĐẠT (xác minh cả 6 nay là `C:\`, xem bảng dưới). `iis-deploy-runbook` SẠCH = ĐẠT.

---

## (ii-a) VERDICT PER-CLAIM — H1 `tooling-auditor` (26 claim)

| # | Claim H1 | Tao đo lại (engine ĐỘC-LẬP) | Verdict |
|---|---|---|---|
| A1 | `.claude/agents/*.md`=24, trừ README=23 | `git ls-files`=23 · `find`=23 | **ĐẠT** |
| A2 | `hmw.js` VALID_ROLES đếm phần-tử=23 | awk anchor `^\]` dòng 23..42 = **23** | **ĐẠT** |
| A3 | `agent-memory/*/`=23 dir | `find -mindepth1 -maxdepth1 -type d`=23 | **ĐẠT** |
| A4 | `STATUS:476` roster row=23 | đọc đĩa `:476` = 23 | **ĐẠT** |
| A5 | `agents/README` = B1-pointer, KHÔNG chép tổng | grep README: 0 dòng chép tổng-số roster | **ĐẠT** |
| A6 | **so TẬP** (tao thêm, H1 KHÔNG làm) | `diff` tên hmw.js ⟂ tên đĩa = **SET_IDENTICAL_23** | **ĐẠT+** |
| A7 | gotchas `grep -c '^### '`=86 | 86 · entry cuối `:1389` = `### 86 … (Session 167)` | **ĐẠT** |
| A8 | STATUS:473 Gotchas=86 khớp | đọc đĩa = 86 | **ĐẠT** |
| A9 | STATUS:472 Tests=644 (45D+599I) | đọc đĩa `:472` = 644 PASS | **ĐẠT** |
| A10 | STATUS:465 Migrations=71 | đọc đĩa `:465` = **71** | **ĐẠT** |
| A11 | STATUS:479 Bundle đo LIVE @S168 cicd #444 | đọc đĩa `:479` có #444 + 2 hash | **ĐẠT** |
| A12 | STATUS:6 CURRENT = Mig71·97bảng·644·gotcha86·roster23·8/8 | đọc đĩa `:6` khớp toàn bộ | **ĐẠT** |
| A13 | **F-1** STATUS:8 còn "CÒN NỢ: trang GĐ3 chưa làm" ngược `:6` | đọc `:8` — câu nợ CÒN NGUYÊN, cùng khối CURRENT | **ĐẠT** (F-1 thật) |
| A14 | 6 skill project, 0 thêm/bớt | `ls -d .claude/skills/*/`=6, đúng 6 tên | **ĐẠT** |
| A15 | `~/.claude/skills/`=23 standalone | `ls -d`=23 | **ĐẠT** |
| A16 | `.claude/commands/*.md`=19 | `ls`=19 | **ĐẠT** |
| A17 | S168 ship 0 migration mới (Mig vẫn 71) | STATUS:465=71 · 0 file mig mới trong window | **ĐẠT** |
| A18 | permission-matrix PASS vì route mới dùng key CŨ, 0 key mới | **thách-CLEAN A** dưới — verify tận `[Authorize]` | **ĐẠT** |
| A19 | **F-2** ef-core SKILL.md bảng dừng row 69, thiếu 70/71 | **lead ĐÃ VÁ** — nay có row 70 (`:92`) + 71 (`:93`); `git log` xác nhận bảo-trì-theo-row ⇒ F-2 đúng tại thời-điểm đo | **ĐẠT** (lead vá) |
| A20 | **F-3** 6 site `D:\Backups` cùng-lớp | 6/6 site nay = `C:\` (lead vá) **NHƯNG tổng thật = 7** | **TRƯỢT** (under-count, xem T-H1-F3) |
| A21 | `iis-deploy-runbook` SẠCH, không nhắc `D:\` | grep -F toàn skill: 0 hit `D:\` | **ĐẠT** |
| A22 | plugin **18 installed / 15 enabled / 3 disabled** | **python `json.load`** (H1 dùng đọc-text): 18/15/3 · DISABLED_SET khớp đúng 3 tên | **ĐẠT** |
| A23 | marketplace = **37** | `ls -d …/plugins/*/`=**37** | **ĐẠT** |
| A24 | settings: model `claude-opus-5[1m]` · effort `xhigh` · defaultMode `bypassPermissions` | json: model+effort khớp; `defaultMode` **nằm lồng trong `permissions{}`**, KHÔNG ở top-level — giá-trị ĐÚNG, chỗ khai không nói nesting | **ĐẠT-rìa** |
| A25 | Project `.claude/settings.json` không override plugin/model **(chỉ hooks)** | `PROJ_KEYS = ['autoMemoryDirectory','hooks']` ⇒ **2 khoá, không phải "chỉ hooks"**; phần load-bearing (0 override plugin/model) ĐÚNG | **TRƯỢT-rìa LOW** (minh-oan: kết-luận không đổi) |
| A26 | **F-4** `investigator-codebase.md:81` = "40 migration hiện tại" (thật 71) | `sed -n '81p'` = `- 40 migration hiện tại (Mig 34-40 Phase 10 G-* port)` nguyên văn; canonical STATUS:465 = **71** ⇒ lệch **31 mig**, F-4 THẬT | **ĐẠT** |
| A27 | Sweep 22 persona: **21/22 sạch** literal live-count | tao quét lại lớp-con "mig-literal" (`migration hiện tại`) trên toàn `.claude/agents/*.md` = **đúng 1 hit duy nhất** (chính `investigator-codebase:81`) — 🔴 phạm-vi tao khai: chỉ chứng được **lớp-con mig**, KHÔNG chứng trọn lớp "literal live-count" | **ĐẠT-hẹp** |

**Ghi chú A19/A20 (chống phạt-oan):** cả hai đã được **lead vá SAU khi H1 đo** (H1 pin HEAD `2255766` @19:35). Tao không chấm TRƯỢT vì "nay đã sạch" — tao chấm theo **trạng-thái tại pin của con-đo**. A20 TRƯỢT là vì **phạm-vi đếm sai ngay tại pin đó** (7 site tồn tại lúc 19:35, `git show HEAD` chứng), không vì lead vá.

---

## 🔴 T-H2-N3 — H2 "TỰ ĐÍNH-CHÍNH" MỘT SỐ VỐN ĐÚNG (nợ tự-khai #3 = SAI). Class: **lẫn ĐƠN-VỊ dòng ⟂ lần**

H2 §1.2 + §11-nợ#3 tuyên: *"TỰ ĐÍNH CHÍNH BASELINE CỦA CHÍNH TAO: diary S162 ghi '24 hit/12 file' — **HIT thật = 22, không phải 24** (lần 2 tao sai kiểu này)… Baseline ĐÚNG cho kỳ sau = **22 hit / 11 file**"*, repro-command `git grep -c -F $'\xef\xbf\xbd' HEAD -- .claude`.

**Tao đo 2 ĐƠN-VỊ tại 2 MỐC (cùng 1 engine git, chỉ đổi flag `-c` ⟂ `-o`):**

| Mốc | `git grep -c` = **số DÒNG** có ≥1 U+FFFD | `git grep -o \| wc -l` = **số LẦN** xuất hiện |
|---|---|---|
| `e5123ff` (S162 closeout) | **22** trên **12** file | **24** |
| `HEAD` (S168) | **22** trên **11** file | **24** |

**Chứng minh đơn-vị bằng 1 file cụ-thể** — `runs/2026-07-29-S159-bookend-open/sub-ring1-audit-open-S159.md`:
- python byte-count = **5 lần** · số dòng chứa = **3** (dòng 144 ×2 · 172 ×1 · 184 ×2)
- `git grep -c` → **3** · `git grep -o | wc -l` → **5**. H2 ghi file này "(3)"; tao ghi "(5)". **Cả hai đều đúng — KHÁC ĐƠN-VỊ.**

⇒ **Số "24" mà H2 ghi @S162 KHÔNG SAI — nó là số LẦN, và số lần @S162 đúng bằng 24.** H2 đo lại bằng công-cụ **đếm DÒNG** (`perl -ne` cũng chỉ `$n++` 1 lần/dòng dù dòng có 2 ký-tự), thấy 22, rồi kết-luận mình từng sai. **Việc "tự đính-chính" chính là cái sai.**

**Hệ-quả load-bearing (vì sao đây không phải bắt-bẻ chữ):**
1. Baseline giao cho **S169** = "22 hit / 11 file". Kỳ sau ai đo bằng **bất kỳ thước đếm-lần nào** (python byte-count, `grep -o`, `rg -c --count-matches`) sẽ ra **24** ⇒ đọc thành **"+2 corruption MỚI"** ⇒ truy-lùng bóng-ma. Đây **đúng class tao đã bắt H2 @S153** (`H2-11 MED BROKE — baseline S154 phantom`) ⇒ **tái phát đời 3**.
2. Lịch-sử bị ghi sai: dòng "lần 2 tao sai kiểu đếm này" vu oan cho chính H2 ở S162, làm hỏng lai-lịch.
3. Câu chuyện **moved-not-cut của H2 vẫn ĐÚNG và nay MẠNH HƠN**: tổng bảo-toàn ở **cả hai** đơn-vị (22→22 dòng · 24→24 lần), chỉ file 12→11 — đúng như H2 phân-tích. Tao **không** lật kết-luận Corruption PASS.

**Đề-xuất (propose-only):** baseline S169 ghi **cả 2 đơn-vị + tên thước**: `22 DÒNG / 24 LẦN / 11 file` — `git grep -c`(dòng) ⟂ `git grep -o|wc -l`(lần); và **rút lại** dòng tự-buộc-tội ở §11-nợ#3.

---

## (ii-b) VERDICT PER-CLAIM — H2 `harvest-curator` (26 claim)

| # | Claim H2 | Tao đo lại (engine ĐỘC-LẬP) | Verdict |
|---|---|---|---|
| B1 | Corruption census = **11 file** (liệt tên) | python byte-walk `os.walk` (H2 dùng perl+xargs): **11 file, TẬP TRÙNG KHÍT từng path** | **ĐẠT** |
| B2 | "22 hit" | đúng dưới đơn-vị **DÒNG** (`git grep -c`) | **ĐẠT** |
| B3 | "baseline S162 '24' là **SAI**, đúng = 22" | @`e5123ff`: DÒNG=22 · **LẦN=24** ⇒ số 24 vốn ĐÚNG | **TRƯỢT** (tự-đính-chính mới là cái sai) |
| B4 | Baseline giao S169 = "22 hit/11 file" | không khai đơn-vị ⇒ thước đếm-LẦN ra 24 ⇒ **+2 ảo**; tái phát class `H2-11@S153` | **TRƯỢT** |
| B5 | 0 corruption MỚI sinh trong S168 | 11 file đều ngoài window `-newermt 15:45` | **ĐẠT** |
| B6 | `reviewer` moved-not-cut (archive có S168) | `grep -c S168 archive/2026-07.md` = **3** | **ĐẠT** |
| B7 | `cicd` `_INDEX` **3/3 lời hứa có hàng thật** | `1c6d77a`→2026-08 (1) · `aaed699`→2026-08 (1) · `88e7ecf`→2026-07 (1) | **ĐẠT** |
| B8 | 2 "mojibake" là **dương-giả** do `cut -c1-260` | census của TAO: `cicd/MEMORY.md` và `archive/2026-08.md` **KHÔNG nằm** trong 11 file ⇒ 0 U+FFFD thật ⇒ xác nhận dương-giả | **ĐẠT** |
| B9 | `find .claude -type d -empty` = 0 | đo lại = **0** | **ĐẠT** |
| B10 | Stray `fe-user/.claude`, chuỗi RỖNG 0 file | `find -type f` = **0**; *(lead đã rmdir chuỗi con lúc 19:39:49 — nay còn dir gốc)* | **ĐẠT** |
| B11 | `.gitignore:118 fe-*/.claude/` che detector | đọc đĩa `:116-118` đúng nguyên văn | **ĐẠT** |
| B12 | 23 role-dir | `find -mindepth1 -maxdepth1 -type d` = 23 | **ĐẠT** |
| B13 | Coverage 3 vai: ctx-verifier 1 · reviewer 5 · cicd 2 | đếm lại: **1 / 5 / 2** khớp từng con | **ĐẠT** |
| B14 | **F-COV-1** `sub-k8-dryrun.md` — 0/23 diary có spawn-record | tao quét **5 pattern** (`k8-dryrun`·`K8 dry-run`·`dry-run E2E`·`ZZTEST`·`sub-k8`) × 23 diary = **0 hit toàn bộ**; control-dương `S168`→4 file ⇒ lệnh CÓ RĂNG | **ĐẠT** (bản tao mạnh hơn bản H2) |
| B15 | **F-COV-2** `run.md` S164 tick sai | đọc `:29` "BLOCKED-SẠCH" · `:30` `☐ chờ K8-prep` · `:31` `☐ chặn bởi B0` · `:40` "B4 — fan-out build **7/8**" · `:41` `- [ ] B5` ⇒ **5 dòng** (H2 nói 4) | **ĐẠT** |
| B16 | **F-CMP-1** `Evidence:` = 0 hit trên L1 cả 4 vai | đếm lại: 0/0/0/0 | **ĐẠT** |
| B17 | `reviewer` có `Evidence:` ở tầng archive | `grep -c` = **14** | **ĐẠT** |
| B18 | C5 `TOTAL_DIR=79` | `ls -d runs/*/` = **79** | **ĐẠT** |
| B19 | C5 `WITH_run.md=76` | `find -mindepth2 -maxdepth2 -name run.md` = **76** | **ĐẠT** |
| B20 | C5 **ORPHAN=0** | vòng-lặp riêng của tao trên 76 dir có `run.md` = **0** | **ĐẠT** |
| B21 | 3 dir không `run.md` (2× S117 spec-only + S144-bootstrap) | liệt ra đúng **3 tên**; mở ruột: 2 dir S117 chỉ có 1 file `spec-*.md`, S144 có `bootstrap-synthesis.md` | **ĐẠT** |
| B22 | Sàn-5 = 0/0 vacuous | `grep -c run= WAL` = 0 · session-log = 0 | **ĐẠT** |
| B23 | 0-byte memory = 0 ca (23/23 byte>0) | vòng `stat` 23 dir: `HAVE_MEMORY=23 ZERO=0` | **ĐẠT** |
| B24 | DEDUP: 4 vai đã có hit S168 | 5/2/1/1 khớp tuyệt đối | **ĐẠT** |
| B25 | Bảng L1 byte (8 vai) | `stat` lại **8/8 khớp từng byte** (18518·17236·18781·22452·20062·20332·19342·14442) | **ĐẠT** |
| B26 | Nợ tự-khai #1: vòng-1 báo nhầm 5 orphan do `-maxdepth 1` | vòng-lặp maxdepth-2 của tao xác nhận 5 folder `2026-06-18-*` CÓ artifact ở depth 2 ⇒ tự-khai TRUNG THỰC | **ĐẠT** |

**Soi riêng phần H2 TỰ-KHAI 4 nợ (đề-bài yêu-cầu):** nợ #1 ✅ thành-thật (tao verify được) · nợ #2 ✅ thành-thật (census của tao xác nhận 2 file 0 U+FFFD) · nợ #4 ✅ thành-thật (L1 18.781 B đúng từng byte) · **nợ #3 ❌ KHÔNG chỉ "thành-thật hay không" — nó SAI THEO CHIỀU NGƯỢC: H2 nhận tội cho một việc mình làm ĐÚNG.** ⇒ Tự-khai của H2 **quá tay ở đúng 1 chỗ**, và chỗ đó đẻ ra baseline hỏng cho S169.

---

## (iv-b) THÁCH-CLEAN BẮT BUỘC — 2 mặt, **1 CHỊU / 1 THỦNG**

### ✅ A — skill H1 gọi "fresh": `permission-matrix` (mặt ① PASS) — **CHỊU**
H1 lập-luận: route mới `PUT /contract-signing-plans/{id}/lines/{lineId}` dùng policy **key CŨ** `KeHoachKyKet.Update` ⇒ 0 key mới ⇒ ma-trận không cần đổi.
Tao KHÔNG tin lời khai, soi tận **tầng authz** (bài gotcha #82 "grant = 2 layer"):
- `src/Backend/SolutionErp.Api/Controllers/ContractSigningPlansController.cs:108-109` = `[HttpPut("{id:guid}/lines/{lineId:guid}")]` + **`[Authorize(Policy = "KeHoachKyKet.Update")]`** — policy THẬT, không phải `[Authorize]` trần.
- Skill có biết module KHKK không? `KeHoachKyKet`=3 · `KHKK`=10 · "Kế hoạch ký kết"=1. **Control-dương** `PurchaseEvaluation`=3, **control-âm** `ZZNOTEXIST`=0 ⇒ grep CÓ RĂNG.
⇒ `permission-matrix` **fresh THẬT**, không phải "fresh vì không ai mở ra xem". **H1 PASS ĐỨNG.**
🔴 **Đối-chứng nợ CỦA CHÍNH TAO:** @S162 tao bắt `contract-workflow` mù KHKK (0 hit `SigningPlan|Khkk`). Đo lại nay: `SigningPlan`=2 · `Khkk`=4 · `KeHoachKyKet`=1 · `PipelineStage`=1 (commit `e5123ff`) ⇒ **nợ S162 của tao ĐÃ ĐÓNG**, xác nhận bằng đo chứ không bằng trí nhớ.

### 🔴 B — folder H2 gọi "ĐÓNG" (C5 PASS 0-orphan) — **THỦNG (finding MỚI, cả H1 lẫn H2 đều không thấy)**
Tao không re-chạy vòng-lặp của H2 (chấm lại cùng phép = vô-nghĩa). Tao **săn mắt-xích yếu nhất**: với mỗi folder được chứng-nhận đóng, lấy **artifact-đóng NHỎ NHẤT**, rồi mở ruột cái nhỏ nhất toàn hệ.
Kết quả: nhỏ nhất = **188 B**, nằm trong chính folder việc-chính `2026-07-31-S164-4gd-khkk-fanout/`:
```
.claude/workflows/runs/2026-07-31-S164-4gd-khkk-fanout/sub-reviewer-c2-l3.md   (188 B, TOÀN VĂN)
# c2-l3
LANE 3/3 review cụm-2 (`sub-invest-fable-b2-cum2.md`) — lens ĐO-ĐƯỢC + THỨ TỰ.
Trạng thái: **(ĐANG LÀM)**
## Findings
(đang append)
## Verdict
(ĐANG LÀM)
```
- Đây là **skeleton nấc-2** (`#53` sub-class): lane review 3/3 **chết giữa chừng, Verdict rỗng**. 2 lane anh-em cùng cụm đã xong (`c2-l1` 13.360 B · `c2-l2` 13.360 B) ⇒ **lane 3 chết một mình**.
- Truy tiếp: `c2-l3` có ai nhận không? `agent-memory/reviewer/{MEMORY.md, archive/2026-07.md}` = **0 hit** (4 pattern) · `run.md` S164 = **0 nhắc** · `b1b-review-synthesis.md` = **0 nhắc**. **Không một chỗ nào trên đĩa biết lane này chết.**
- Quét rộng toàn `runs/`: 6 file `sub-*.md` chứa chuỗi "(ĐANG LÀM)/(đang append)", nhưng 5 file kia đều 6–26 KB (dùng chữ đó trong thân bài); **duy nhất file 188 B là stub thật**. Control-dương: 170 file `sub-*.md` có chuỗi `VERDICT` ⇒ lệnh có răng.

🔴 **Ý nghĩa (vì sao đây là lỗ, không phải bắt-bẻ):** số **0 orphan** của H2 vẫn **ĐÚNG** — tao tự tái-dựng ra đúng 0. Nhưng **phép đo C5 chỉ hỏi "folder có TỒN-TẠI ≥1 file kiểu sub-*/synthesis không"**, tức **đo bằng TÊN + kích-thước>0, không đo NỘI-DUNG**. Đó đúng là **anti-pattern #1 mà chính H2 tự cấm mình** và đã tự vấp 1 lần trong phiên này (nợ #1). Hệ-quả: **một lane chết vẫn làm folder trông "đóng"**, và tri-thức của nó (review cụm-2 lane 3) bốc hơi im-lặng — **cùng họ với F-COV-1**, nhưng ở tầng **TRONG folder** thay vì tầng lượt.
**Đề-xuất (propose-only):** C5 thêm 1 vị-từ rẻ — artifact-đóng phải có `VERDICT`/`END` **hoặc** ≥1 KB; dưới ngưỡng ⇒ liệt "lane-chết" riêng, không tính vào 0-orphan.

---

## (iii) FALSIFY-LOG — 6 phép (2 HELD / 4 BROKE, **1 BROKE vào CHÍNH TAO**)

| # | Phép thử phủ-định | Kết quả |
|---|---|---|
| **F-A** | *"H1 bịa roster 23 — parse `VALID_ROLES` ra 18"* | **BROKE VÀO CHÍNH TAO.** Regex non-greedy của tao chết ở `]` trong comment `owner-decision [2]` (`hmw.js:39`) — **comment của chính persona tao**. Đo lại bằng anchor `^\]` = 23. H1 **HELD**. |
| **F-B** | *"F-3 của H1 đủ 6 site, không sót"* | **BROKE.** Sót site thứ **7** `docs/architecture.md:220`. H1 thu-hẹp pattern để chữa 0-hit-giả ⇒ chính chỗ thu-hẹp che hit thật. |
| **F-B'** | *(tự phản-biện F-B)* "site 7 là dương-giả — lead sweep 0 hit" | **F-B SỐNG SÓT.** `git show HEAD:docs/architecture.md` **vẫn còn** `D:\Backups`; `git diff` cho thấy lead vá lúc 19:48 (SAU H1 19:35 và sau đo của tao). 0-hit của lead = **đã-được-xử**, không phải tao sai. Control-dương `C:\Backups`=6 hit ⇒ lệnh có răng. |
| **F-C** | *"H2 tự-đính-chính đúng — 24 là số sai"* | **BROKE.** 24 = số LẦN, 22 = số DÒNG; @`e5123ff` LẦN=**24** ⇒ số cũ ĐÚNG. H2 nhận tội oan cho chính mình + giao baseline lẫn đơn-vị cho S169. |
| **F-D** | *"C5 0-orphan là số nới — quét cả 79 dir sẽ lòi orphan"* | **HELD.** Quét 79 ra 2 ứng-viên, **cả 2 nằm đúng trong 3 dir H2 đã KHAI MIỄN** (S117 spec-only). Mở ruột: đúng là chỉ có `spec-*.md`. ⇒ khác biệt là **PHẠM-VI đã khai**, không phải sai. *(bài S150: so TẬP, đừng so SỐ)* |
| **F-E** | *"F-COV-1 vô giá-trị — H2 chỉ grep mỗi chữ `K8`, hụt là đương nhiên"* | **HELD, và mạnh hơn.** Tao thay bằng **5 pattern** khác nhau + control-dương: vẫn **0/23 diary**. Tri-thức lượt K8 dry-run mất thật. |
| **F-F** | *"Corruption PASS + C5 0-orphan = sạch, không moi thêm được"* | **BROKE ở mặt khác.** Số đúng nhưng **phép đo mù nội-dung** ⇒ lộ `sub-reviewer-c2-l3.md` 188 B lane-chết, 0 nơi nào ghi nhận. |

---

## (ii-c) 3 CLAIM H1 CHẤM BỔ-SUNG (F-5 · F-6 · F-7)

| # | Claim H1 | Tao đo lại | Verdict |
|---|---|---|---|
| A28 | **F-5** HANDOFF trễ 1 cửa-sổ | `grep -c` trên `docs/HANDOFF.md`: `644`=**0** · `081557b`=**0** · `0bfadc2`=**0** · `#444`=**0** · `639`=**1**. Control-dương `S168`=8 ⇒ lệnh CÓ RĂNG ⇒ HANDOFF thiếu trọn window-6 | **ĐẠT** |
| A28-bis | *(caveat tao tự nêu)* H1 khai `8/8 wave`=0-hit | pattern RỘNG hơn `8/8` của tao = **4 hit** ⇒ 0-hit của H1 đúng với **cụm 3 chữ** `8/8 wave`, KHÔNG có nghĩa doc chưa từng nhắc `8/8`. Không lật F-5 (4 neo kia đã đủ), nhưng **chớ đọc thành "HANDOFF mù hoàn toàn"** | **ĐẠT-có-caveat** |
| A29 | **F-6** HANDOFF còn hỏi slot (63) đã chốt+đã ship | `docs/HANDOFF.md:9` còn nguyên `**(63) 🔴🔴 BLOCKER MẠCH CHÍNH — GĐ3 cây-4-folder ĐỒNG-NHẤT, 2 quyết**` | **ĐẠT** |
| A30 | **F-7** luật fixture-TEST 0 bề-mặt bên | 4 pattern (`fixture TEST`·`ADMIN_TEST`·`test.drafter`·`master thật`) × 4 file (STATUS·HANDOFF·CLAUDE·rules) = **0 hit toàn bảng** | **ĐẠT** |

## TỰ-KHAI LỖI CỦA CHÍNH TAO TRONG LƯỢT NÀY (2 ca, ghi thật)
1. **F-A** — regex non-greedy ra roster 18, suýt tố oan H1 (chi tiết §F-A). Lần thứ **3** trong sự-nghiệp vai này tao hỏng-thước: `grep -c || echo 0` (S153) → `grep -v Snapshot` (S162) → `[…]` non-greedy (S168). **Cả 3 đều là "thước của tao", không phải "con-đo sai".**
2. **Con-trỏ chết trong chính bảng của tao:** hàng A26 lúc đầu ghi *"xác minh dưới §falsify F-C"* nhưng F-C rốt cuộc là phép thử của **H2**, không phải F-4 ⇒ con-trỏ treo. Đã sửa tại chỗ thành verdict thật (**ĐẠT**) + thêm A27. Đây đúng thứ tao vẫn bắt người khác (pointer-integrity) ⇒ khai ra, không lặng lẽ vá.

---

## CHỐT — TALLY + PHẠM-VI

| Vòng | Claim | ĐẠT | TRƯỢT |
|---|---|---|---|
| H1 `tooling-auditor` | **30** (A1–A30) | **28** | **2** — A20 (F-3 under-count 6→7) · A25 (rìa LOW: "chỉ hooks" thật ra 2 khoá) |
| H2 `harvest-curator` | **26** (B1–B26) | **24** | **2** — B3 (tự-đính-chính SAI: 24 vốn đúng) · B4 (baseline S169 lẫn đơn-vị ⇒ phantom +2) |
| **TỔNG** | **56** | **52** | **4** |

**Xếp hạng 4 TRƯỢT:** MED ×3 (A20 · B3 · B4 — đều đẻ hậu-quả kỳ sau) · LOW ×1 (A25, kết-luận không đổi).
**Finding MỚI của riêng tao (không nằm trong 12 finding H1+H2):** **R-1** — C5 chứng-nhận folder "đóng" bằng TÊN+size>0 nên **mù lane-chết**: `runs/2026-07-31-S164-4gd-khkk-fanout/sub-reviewer-c2-l3.md` 188 B, Verdict "(ĐANG LÀM)", **0 hit** ở diary/run.md/synthesis.

**🔴 KHÔNG-CHẠM-ĐƯỢC (khai thẳng, KHÔNG làm tròn thành ĐẠT):**
1. Nấc plugin *assigned/used* — H1 tự khai không đo được; tao **cũng không** (chỉ đo được *installed/enabled*).
2. F-9 `cicd-monitor` **hậu-restart runtime** — persona không hot-reload; tao chỉ xác nhận được **file-land**, không xác nhận được hành-vi runtime.
3. Lớp RỘNG "literal live-count" của 22 persona — tao chỉ chứng được **lớp-con mig** (A27 ĐẠT-hẹp), không chứng trọn lớp ⇒ con số "21/22 sạch" của H1 **chưa được tao xác nhận đầy đủ**.
4. FID-1 (tác-giả `sub-k8-dryrun.md`) — H2 chuyển `reviewer`; **ngoài trục tao**, không chấm.

**Trạng-thái 2 vật đã dời sau khi con-đo chốt (time-drift, ghi để kỳ sau khỏi phạt oan):** F-2 (skill +2 row Mig 70/71) · F-3 6 site → `C:\` · **site thứ 7 `docs/architecture.md:220` ĐÃ VÁ @S168 bởi lead** (working-tree, chưa commit lúc tao đo) · chuỗi con `fe-user/.claude/agent-memory/reviewer/` đã `rmdir` (dir gốc `fe-user/.claude` **còn**).

END sub-ring1-audit-close-S168 — VERDICT=KIEM-PASS-WITH-4-TRUOT — TOTAL=52Đ/4T — COVERAGE=56 claim (H1 30 + H2 26) + 6 falsify (2 HELD/4 BROKE) + thách-CLEAN 2 mặt (1 chịu/1 thủng) + 4 mục KHÔNG-CHẠM khai riêng