As quatro invariantes

como é imposto

É imposto estruturalmente por runWithGuards (packages/adapters/src/adapter-core.ts:118) e verificado ao vivo — o handoff registra um 429 real aparecendo como uma falha tipada. O núcleo de orquestração restabelece a mesma fronteira uma camada acima com runDebateSafe / runSwarmSafe (packages/harness/src/core.ts:314-334), de modo que um throw dentro de um passo de council ou swarm também vira um valor. Governado por ADR-0009.

type Result<T, E> =
  | { ok: true;  value: T }     // caminho feliz
  | { ok: false; error: E };   // caminho de erro — tipado, nunca lançado

// quem chama SEMPRE checa o discriminante .ok antes de usar .value
const r = await runWithGuards(/* … */);
if (!r.ok) return r;        // a falha é um valor que você propaga
use(r.value);

o padrão, em todo lugar: dependências chegam como argumentos, nunca como import de concretos

O DebateEngine, o scoring e o verifier recebem um AdapterRegistry injetado (packages/council/src/debate.ts:71-83). A camada ETL roteia todo o IO por um FsPort injetável — "every function here is testable in-memory" (packages/etl/src/index.ts:12). E o funil recebe um registry de adapters injetado, então trocar por um registry offline torna o run inteiro $0 e hermético (packages/harness/src/funnel.ts:79-81).

// dependências chegam como argumentos → teste com fakes
runDebate({ board, pack, adapters, requestId });   // adapters injetados
runT0Pipeline(corpusDir, { fs });                   // FsPort injetado → em memória
runFunnel(corpusDir, { adapters: offlineRegistry }); // registry offline → $0, hermético

content-addressed por construção

O id é resolvido por runIdFor(spec) (packages/swarm/src/orchestrator.ts:168) — um hash sobre o JSON canônico (chaves ordenadas) do spec. Os stores são endereçados por conteúdo por SHA-256 sobre esse mesmo JSON canônico, então re-anexar conteúdo idêntico é um no-op: re-runs convergem em vez de duplicar.

// run dirs: <baseDir>/runs/<runId> · events.jsonl append-only + checkpoint.json
// stores endereçados por SHA-256 sobre JSON canônico (chaves ordenadas) →
// re-anexar conteúdo idêntico é no-op → re-runs convergem, não duplicam
const runId = runIdFor(spec);   // muda 1 campo do spec ⇒ outro id ⇒ outro run-dir

dissenso como propriedade do sistema

• O Verifier maker-checker é read-only por arquitetura: ele aceita apenas views readonly, não expõe nenhuma superfície de adapter ou mutação, e prova claims atômicos com oráculos determinísticos sobre a evidência estruturada — nunca sobre a prosa do maker (packages/council/src/verifier.ts:19-99).
• "Contrarian-last" é imposto no board-load — contrarian_not_last é um erro DURO de carregamento (packages/council/src/board.ts:142-149) — e realizado como sequenciamento real pelo engine (fases seriais, membros paralelos).