W1-C5: 管家骨架（唤醒矩阵 + 审计日志 + dead-man 心跳 fail-closed）

[randypanding]

父意图: #161 | 宪法: §2/§6/§11 | 波次: W1 | 依赖: 无 | 预算: BUDGET-01
.github workflows 属 C1 须附 ADR。

任务

管家骨架：唤醒矩阵前三行落地——reconcile（6h）、账本刷新（15min）、
预算检查（1h）；每次运行产出审计日志条目（INV-12）；digest 纪律；
外部 dead-man 心跳 + 缺席即停自动合并。

AC（Given-When-Then）

• AC-1 (api): Given 任一管家 workflow 运行，When 检查运行记录，Then 存在触发器类型与审计日志条目（谁唤醒/干了什么/花了多少）；无触发器的运行不存在（INV-12）。
• AC-2 (e2e): Given 人为制造的状态-产物不一致（卡死/孤儿标签），When reconcile 运行，Then 开 needs-human issue 或纠正，台账有记录。
• AC-3 (e2e，负向): Given 心跳被人为暂停，When 缺席超时到达，Then 自动合并被关闭（fail-closed 实测）+ P0 issue。
• AC-4 (api): Given 预算检查，When BYOK 用量/Actions 分钟超阈，Then 熔断动作与 issue 记录符合 contract.yaml。

blastRadius（预测）

Cloudbird-Software/.github: .github/workflows/**, governance/**

[randypanding]

需求输入：#98（已关闭）的 SLI 面板指标并入本卡账本/dashboard 设计参考——重点是其已定义的 SLI 口径（自动合并率、check 延迟、revert 次数），账本 JSON 状态块应兼容这些字段。

[randypanding]

/claim

[randypanding]

W1-C5 进度报告（管家骨架）

• ADR-0057 已合并：agent-registry PR#70（ADR-0057-butler-skeleton-wake-matrix.md）——前三行范围/INV-12 审计形态/dead-man 双侧/共用熔断变量/dashboard 守卫/回滚=删 workflow。
• 实现 PR 已开、checks 全绿、保持 OPEN（等主代理按序合并）：feat(butler): 管家骨架——唤醒矩阵前三行+审计日志+dead-man fail-closed（W1-C5 #168，ADR-0057） #173（分支 w1c5-butler）。清单：butler.yaml（前三行+阈值）、butler-audit.sh（INV-12 审计行）、butler-reconcile.yml+.sh（6h 三类检查）、butler-ledger.yml（15min，C3 脚本 [ -f ] 守卫未落地保持绿）、cost-check cron 6h→1h（:23）+头尾审计行（判定零改动）、butler-heartbeat.yml（*/30 ping 侧）、butler-deadman-trip.yml（repository_dispatch trip 侧，共用 AUTO_MERGE_DISABLED）、docs/deadman-setup.md（owner runbook）、gate.yml 登记新脚本。

本地实测证据（关键行）

AC-1 审计形态（四形态均实测）：

AUDIT | butler=reconcile | trigger=manual | run_id=local | repo=local | started=2026-08-21T11:26:41Z | duration_s=2 | outcome=running | actions={"phase": "start", "repos": 1, "stale_in_progress_days": 0, ...}
AUDIT | butler=cost-check | trigger=schedule | ... | outcome=tripped | actions={"phase": "done"}   ← 注入 100% 档，exit 1
AUDIT | butler=ledger-refresh | trigger=workflow_dispatch | ... | actions={"skipped": "dashboard-scripts-not-landed(W1-C3)", "board_sync": "absent"}  ← 守卫路径保持绿
AUDIT | butler=deadman-ping | trigger=schedule | ... | outcome=warn | actions={"deadman": "unconfigured"}  ← DEADMAN_PING_URL 未配，不红

AC-2 检出能力（真实 API 只读干跑，BUTLER_DRY_RUN=1）：

• STALE_DAYS_OVERRIDE=0 → 5 张 W1 in-progress 卡全部判 stale，needs-human 动作逐卡触发；
• 真实孤儿标签 6 个检出：.github#156 仍挂 [state:in-progress]、W0-C1: 第一期 LLM 接入与计量（secret + wrapper + AR-3 修订 ADR） #130-134 仍挂 [state:done]；
• 幂等去重：草稿 issue [butler] stale-in-progress: .github#164 （停滞 0d 达阈值）——幂等去重测试草稿（W1-C5） #172（标题含 .github#164 ）被 needs_human_find 命中且同日去重跳过——OK needs-human 已开（#172）且今日已评论，跳过（防灌水）: .github#164（[butler] stale-in-progress: .github#164 （停滞 0d 达阈值）——幂等去重测试草稿（W1-C5） #172 已验证后关闭留痕）。

fail-closed：reconcile 无 GH_TOKEN → AUDIT ... outcome=infra-fail + exit 2（不静默）；heartbeat 坏 URL 两次失败 → exit 1（心跳管道故障变红可见）。

自检：bash -n 全部新脚本+workflow inline 块全过；yaml.safe_load 21 文件全过；cost-check 注入两档（ok/tripped）exit 码与审计行正确、org 变量无写副作用（仍 404 未置位）。

待办（依赖合并/owner）

• AC-2/AC-3 真实演习需 workflow 在 main（PR body 已写明演习步骤）；主代理合并 feat(butler): 管家骨架——唤醒矩阵前三行+审计日志+dead-man fail-closed（W1-C5 #168，ADR-0057） #173 后如本卡仍在线将执行演习并回贴证据。
• owner 手工步骤（runbook：docs/deadman-setup.md）：注册外部 dead-man 服务（grace=60min）→ gh secret set DEADMAN_PING_URL --org → 失败回调配置（repository_dispatch）。未配置期 heartbeat 走 WARN 不红（骨架期预期）。

[randypanding]

AC-1~4 演习证据汇总（PR #173 + 修复 #181 已合并）：

• AC-1：每次运行有触发器与审计行——deadman/canary/reconcile 各 run 日志均含 AUDIT | butler=… | trigger=… | duration_s=… | actions={…}（run 32484269208 / 32484413154 实证）
• AC-2：人为僵尸认领（演习卡：reconcile 僵尸认领检测（W1-C5 AC-2，自动关闭） #186）→ reconcile 检出 → needs-human [butler] stale-in-progress: .github#186 （停滞 0d 达阈值） #187 开立 ✓（run 32484413154，注入 stale_days_override=0）
• AC-3：deadman trip 两轮——首演抓出变量创建端点 bug（修复 fix(butler): 熔断变量创建端点勘误（POST 集合端点+value 字符串）（W1-C5 #168，ADR-0057） #181，连带修好 cost-check 潜伏 bug），复演 run 32484269208 workflow 自行创建 AUTO_MERGE_DISABLED=true + P0 P0 dead-man trip：管家缺席，自动合并已停（AUTO_MERGE_DISABLED=true） #180 幂等 + 变红 ✓；复位+留痕关闭 ✓
• AC-4：cost-check cron 已收 1h（feat(butler): 管家骨架——唤醒矩阵前三行+审计日志+dead-man fail-closed（W1-C5 #168，ADR-0057） #173），注入通道两档实测 exit 0/1（C5 子代理本地），审计行接入（fix(butler): 熔断变量创建端点勘误（POST 集合端点+value 字符串）（W1-C5 #168，ADR-0057） #181）
• 演习产物已全部清理留痕（P0 dead-man trip：管家缺席，自动合并已停（AUTO_MERGE_DISABLED=true） #180/[P0] holdout 泄漏诱饵命中：canary marker 出现在 workflow 日志 #185/演习卡：reconcile 僵尸认领检测（W1-C5 AC-2，自动关闭） #186/[butler] stale-in-progress: .github#186 （停滞 0d 达阈值） #187/[butler] stale-in-progress: .github#168 （停滞 0d 达阈值） #188-193 关闭）
• 真实发现转 owner：closed issue 挂 state:* 的孤儿标签口径（见 管家 reconcile 报告：14 仓一致性扫描（僵尸卡/孤儿标签/隔离超时） #193 留痕）
• owner 手工项：外部 dead-man 服务注册 + DEADMAN_PING_URL secret（runbook docs/deadman-setup.md）