用途：在 Convex 自有部署中把生产错误变成经过认证的修复 PR，人类保留合并按钮，机器负责调查、修复与验证。
主要能力：GUARD 通过 deploy-guard 预先声明同意范围；CAPTURE 依赖 sentinel 捕获生产错误（缺失时提示安装并停止）；TRIAGE 区分瞬时、配置、代码/模式缺陷；ROOT-CAUSE 在 findings 总线上用 convex-insights、convex-advisor、convex-reviewer/convex-authz 生成带证据的发现；REPAIR 按 fixCapability 在分支上修复；CERTIFY 要求 tsc --noEmit 通过、模式变更经 migrate-rehearse 在带生产快照的预览上验证、复现触发输入并确认错误消失、无新总线发现；PROPOSE 提交含证据、原始错误和可逆性说明的 PR；PROMOTE 经 deploy-guard 同意后部署并复查 sentinel 表确认错误签名不再出现。
限制：永不自动合并或自动部署；未通过认证的修复只报告“无法认证”；瞬时报错重试或忽略，配置错误交 env 处理，不猜测密钥；仅预批准的修复类别（验证器、缺失索引、所有权检查、非破坏性回填）可自动准备，破坏性或模糊变更一律交人工；根因不明时停止并报告；所有操作写入仅追加的可审计记录，数据留在用户自有部署中。