picker: un PR gate rouge par constituant cancelled est assigne comme grain reparable — 3e surface de #15726 #15763

Le defaut

scripts/pick_idle_grain.py assigne a une lane, comme grain de reparation en premiere action, un PR gate rouge dont la cause n'est pas reparable par elle. La lane brule son cycle a chercher dans son diff un defaut qui n'y est pas.

C'est la troisieme surface du meme mecanisme : #15726 (les lignes de harnais qui rendent l'attente rationnelle) et #15748 en sont les deux premieres. Celle-ci est dans l'organe, pas dans la prose.

Mesure firsthand — 2026-09-12, sur les heads exacts

#15657 (head 751fa1bd54df) et #15660 (head 4e1ab883e715), lecture GraphQL :

PR gate             | conclusion=FAILURE   | isRequired=true
ICT tests/ (55)     | conclusion=CANCELLED | isRequired=false
Scripts Tests (CPU) | conclusion=CANCELLED | isRequired=false

Ce que la lane recevait :

check requis en echec : PR gate

Et rien d'autre.

Ce n'est pas une mis-attribution, c'est une invisibilite

CHECK_FAILED (l.1160) vaut {"FAILURE", "TIMED_OUT", "ACTION_REQUIRED", "STARTUP_FAILURE", "ERROR"}. CANCELLED en est deliberement absent, et c'est correct en soi : un run coupe par concurrency n'a rien mesure — le 2026-08-21, un SHA de main portait 69 cancelled pour 0 echec reel (test_cancelled_is_not_a_failure epingle ce cas).

Mais l'exclusion qui protege le cas simple laisse passer le cas agrege : l'agregateur qui ANDe ces constituants, lui, rend FAILURE. Consequence exacte, verifiee en lisant blocking_causes :

• les deux constituants coupes ne tombent ni dans causes (pas dans CHECK_FAILED),
• ni dans advisory — donc pas meme dans la clause diagnostique finale (diagnostic, non bloquant : ...).

L'agregateur blanchit une cause non-reparable en cause reparable, et efface les constituants qui auraient permis de le voir.

Pourquoi la couleur ne peut pas trancher

Un kill timeout-minutes et un cancel-in-progress rendent tous deux cancelled, jamais failure. La couleur seule ne distingue donc pas « le code est faux » de « la machine a ete coupee ». Sur ces deux PRs precisement, la cause etait le plafond ICT de 30 min sur un runner charge — mesure en #14598 : la meme commande, sur le meme pool, prend 15,23 min a vide et 29,13 min sous charge (variance ancree 2,050x), et deux runs verts consecutifs s'ecartent deja de 1,68x, dont un a 25,38 min — 4,6 min du plafond.

La lane ne pouvait rien reparer dans son diff. Le plafond, lui, est traite en #15761 / #15762.

pr_gate.py dit deja juste — le picker ne le lit pas

scripts/pr_gate.py porte depuis #15693 :

CONCLUSION_UNCONCLUDED = frozenset({"cancelled", "timed_out", "stale", "startup_failure"})

et separe ses trois clauses (failing checks / non-conclu-avec-geste-de-rejeu / DWELL -- ...). Le verdict correct existe ; le picker ne le consomme simplement pas.

Acceptance

• Un PR gate requis rouge dont aucun constituant ne porte un vrai rouge et dont >=1 constituant est coupe rend une cause qui nomme les constituants et se declare NON REPARABLE par la lane, avec le geste qui la leve.
• Fail-closed dans le bon sens : des qu'un constituant porte un vrai rouge (FAILURE/ACTION_REQUIRED/ERROR), la cause reste check requis en echec et la lane repare. On ne dispense jamais d'une reparation reelle.
• Un agregateur ne peut pas etre sa propre preuve de coupure (sinon un PR gate TIMED_OUT s'auto-exempte).
• Un check requis ordinaire rouge reste a reparer, meme si un cancelled traine ailleurs sur la PR.
• test_cancelled_is_not_a_failure et test_failing_required_check_is_a_red_and_names_the_advisory_as_diagnostic ne regressent pas.
• Controle sur donnees reelles : feat(ict,#15480): banc synthetique factorise Mess3/RRXOR — generateurs, beliefs exacts, vary-one (tranche 1/n) #15657 et feat(ict,#15480): gates geometriques des lentilles — R2/RMSE held-out, angles, recouvrement, additivite, z-score H4 (tranche 2a/n) #15660 changent de verdict.

Ce que ce fix ne fait pas

Il ne touche pas CHECK_FAILED : CANCELLED y reste absent. Ajouter CANCELLED aux rouges re-creerait le faux positif de 69 cancelled du 2026-08-21. La correction est un second ensemble, utilise pour ce seul diagnostic.

Il ne traite pas non plus le DWELL — l'autre cause non-reparable qu'un PR gate rouge peut porter (un minuteur, pas un defaut). pr_gate.py la phrase deja correctement dans son message ; la rendre lisible cote picker demande de lire le texte du check-run, pas sa conclusion. A traiter separement.