docs(mandates): контракт M6 — кореневий мандат рівно один, подвійний підпис escalates_to

[vitaliytv]

Що змінено

Дві точкові правки в docs/architecture/mandates.md, секція «## Нормативний контракт (M6 фаза 0)» (наздогін ревʼю PR #67, вже влитого в main):

1. Баг валідатора кореневого мандата. Було: «Валідатор... відхиляє: більше нуля мандатів з escalates_to: null» — це помилково відхиляло і єдиний легальний корінь. Стало: валідатор відхиляє, якщо кількість мандатів з escalates_to: null ≠ 1 (нуль або більше одного) — узгоджено з формулюванням parse_mandates («більше/менше одного кореневого мандата»). Та сама умова додана явним пунктом у validate_mandate_change.

2. Подвійний підпис зміни escalates_to. Було: змінює лише новий escalates_to-адресат (згода прийняти роль) — недостатньо, бо власник міг би односторонньо перевести маршрут ескалації на «зручнішого» наглядача, залишивши делегатора рівня вище (відповідального за організацію нагляду — директорська модель, vision.md «Дельта») без відома. Стало: подвійний підпис — (а) новий escalates_to-адресат приймає роль; (б) поточний (замінюваний) escalates_to-власник підтверджує саму зміну маршруту. Оновлено рядок таблиці схеми і відповідний пункт validate_mandate_change.

Change-файл: .changes/260809-1731.md (patch/Fixed).

Навіщо

Точність нормативного контракту напряму впливає на дві незалежні реалізації (delta-застосунок у репо task, mandate-crate в mt-rust) — обидва мокатимуть/валідуватимуть за цією схемою.

Ревʼюеру

• Статус лінту: npx @7n/rules lint — чистий вихід, exit 0 (одне нове слово делегатор додано автофіксом у .cspell.json).
• База гілки — свіжий origin/main (уже містить злитий PR docs(mandates): нормативний контракт M6 фаза 0 — Дельта #67), тож диф тут — лише ці дві правки.

🤖 Generated with Claude Code