用途
Plan 用于从目标或候选规范生成或修订一份自包含的执行规范（execution specification），涵盖迁移、证明与回滚规划。其核心语义表示是执行规范本身；EPG-v1 是可选派生导出，并非普通规划的前提。Plan 不创建用户权限、运行时事实、变更许可或实现证明，也不选择执行消费者。
主要能力
- 治理候选规范：将候选与用户权限、仓库证据结合，产出受治理的需求与架构，再推导可执行动作、证据条件分支、证明与回滚，最终形成一份自包含的
<proposed_plan>。 - 区分权威来源：用户需求主导预期行为；仓库工件确立当前事实与既有义务，但不否决已授权的变更。候选机制默认是提议手段，除非当前权威将其变为必需结果、硬约束或兼容性义务。
- 支持三种调用方式：
spec-to-plan：裸$plan的默认方式，包括候选规范文本。direct：仅用于字面$plan direct，接受决策完整的意图。revise：$plan revise或对现有 plan_id 的明确修订。
- 支持三种输出格式：
--format human：默认，完整执行规范，无需 EPG。--format json：仅显式 EPG-v1 导出，原始 JSON，无散文或围栏。--format both：完整规范后接其 EPG-v1 导出。
- 在 spec-to-plan 中，
full为默认；显式gate-only或challenge-only在该检查后停止；repair仅更改受影响部分及其推导。
使用方式
调用时先阅读相关代码、测试、模式、迁移、配置、历史、先前计划和提供的证据，再提出必要问题。仅就重要用户判断、私有约束、不可逆批准或工件无法解决的权威冲突提问。
对于 spec-to-plan 或 revise，需先阅读 specification-governance.md 再治理候选。direct 跳过该前端流程，但不跳过后续义务。需恢复需求、非目标、兼容性、固定决策、证明标准和回滚，区分选定手段与默认值。
架构选择时，当边界是活跃语义决策，阅读 architectonic-specification.md，比较仓库原生候选与保留、领域限制、更强表示/所有权、消融/归一化。当架构改变动作结构时，阅读 architectonic-policy-synthesis.md。
推导动作时阅读 action-contract.md，生成依赖有序、有界动作，包含精确目标、预期变更、保留不变量、观察、证明和失败路径。实现包含迁移与退役。
精炼结果时，policy-synthesis-fixed-point.md 单独拥有透镜与停止规则。当计划选择或更改重要机制、表示、所有者、准入领域或证明策略时，评估一个最强非显而易见的可准入私有挑战者。
身份、修订与持久化方面，阅读 source-binding.md。每个完整计划需命名稳定 ID、修订版本、权威目标、目标对象、已检查的仓库状态和重要失效条件。修订需恢复精确的先前规范与身份，重新考虑最早受影响决策，传输动作与证明，并发出完整新修订。
人类输出需阅读 human-projection.md，使用以下分段：Summary、Governed Specification、Architecture Decisions、Implementation Sequence、Decision Points and Branches、Proof, Rollback, and Done-State、Plan Identity and Source。省略空/不适用部分，但绝不省略必需语义。
适用场景
当主要交付物是规范、执行计划、迁移/推出计划、证明与回滚计划或计划修订时，隐式调用。不要抢占实现、调试、审查、无规划意图的事实解释、架构考古或发散选项。执行所有者可在内部规划而不丢弃请求的执行。
限制
- 不创建用户权限、运行时事实、变更许可或实现证明。
- 不选择执行消费者。
- 不编造哈希或源事实。
- 普通计划无需存储；请求保存的人类计划使用普通选定的 Markdown 路径。规划工件不授权实现变更。
- 对于显式 EPG 导出或存储 EPG 修订，需阅读 epg-export.md，保留现有线格式与 Ledger 保管，新导出准入更严格。绝不静默迁移旧存储或将缺失的遗留源认证为执行完整。
- 人类输出不得声称 EPG 验证。成功的 json 导出仅包含其精确验证的 EPG 字节。
- 未解决的完成状态依赖会阻止成功合成。
- 不发出迭代历史、无操作行、收据、就绪证书或声称所有可能设计已穷尽。